iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 5篇
近 24 小時: 25篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/12 08:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

從6張圖表看上雲成本管理：以雲端費用控管工具舉例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size: 28px; color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> 作法1 </span> </strong></span><span style="font-size: 28px; color: rgb(51, 153, 255);"><strong>在單一畫面檢視多雲的總成本</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1159-%E4%BD%9C%E6%B3%951%EF%BC%8D%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8D%E8%90%AC%E9%87%8C%E9%9B%B2.png" style="width: 600px;" /></p> <p><span style="font-size:22px;"><strong>在MileLync總表中，可以提供整合式的帳單儀表板，好處是可以將多雲的總成本列在同一個儀表板，來提供整體的費用檢視，除了可以查看最新一期帳單、平均月成本、較月均花費、月增減率等趨勢數據，也能呈現每月費用趨勢，以及目前的花費與預期月底的花費。不過，目前還沒辦法針對個別雲端服務細項提供更詳細的費用資訊。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／萬里雲</span></span></p> <p> </p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> 作法2 </span> </strong><strong><span style="color:#3399ff;"><span style="font-size:28px;">建立自定義群組迅速篩選指定的費用報表</span></span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1159-%E4%BD%9C%E6%B3%952%EF%BC%8D%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8DiKala.png" style="width: 597px;" /></p> <p><span style="font-size:22px;"><strong>除了預設的費用報表，還可以自行建立不同群組，快速篩選出符合其需求的費用報表。群組建立方式也相當彈性，而且能夠在單一畫面中隨時調整時間區隔和群組的設定，根據指定的子帳戶、組織、部門、專案、服務、SKU等條件，調整報表的呈現內容，提供給不同使用者單位檢視。</strong></span><span style="color:#696969;"><span style="font-size:14px;">圖片來源／iKala</span></span></p> <p> </p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> 作法3 </span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>靠一站式儀表板全面檢視多維度的雲支出</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1159-%E4%BD%9C%E6%B3%953-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8D%E4%BC%8A%E9%9B%B2%E8%B0%B7.png" style="width: 600px;" /></p> <p><span style="font-size:22px;"><strong>Atlas平臺提供一種方便的一站式儀表板工具，可以用4種圖全面呈現費用支出的多維度資訊，不只能夠追蹤雲端帳號每月雲端花費成本的變化趨勢，還能以天為單位進行詳細檢視。此外，還可從圓餅圖中迅速掌握常用服務成本分布，同時盤點雲端資源的使用狀況，包括運算、資安、網路、儲存及IAM使用者人數等。</strong></span><span style="color:#696969;"><span style="font-size:14px;">圖片來源／伊雲谷</span></span></p> <p> </p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> 作法4 </span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用熱點圖追蹤各專案預算超支程度</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1159-%E4%BD%9C%E6%B3%954-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-iKala%20(1).png" style="width: 600px;" /></p> <p><span style="font-size:22px;"><strong>在AIOps中，有一種雲端費用熱點圖工具，可以用熱點來追蹤各專案費用的變化，來判斷是否有預算超支的情況。這種熱圖能夠呈現不同專案的時序變化，按照每周花費的變化，以不同顏色深淺來區分增減的狀態，例如，紅色代表當周費用增加，綠色表示費用減少。深紅色則代表花費更多，有可能出現費用超支的情形。有助於快速辨別費用變動的趨勢，讓企業更有效的管理雲端費用。</strong></span><span style="color:#696969;"><span style="font-size:14px;">圖片來源／iKala</span></span></p> <p> </p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> 作法5 </span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用條件設定追蹤當前的預算超支情形</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1159-%E4%BD%9C%E6%B3%955-MileLync%EF%BC%8D%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8D%E8%90%AC%E9%87%8C%E9%9B%B2.png" style="width: 600px;" /></p> <p><span style="font-size:22px;"><strong>追蹤預算超支還有另一種方式，是可以用設定條件來追蹤。這種做法和熱點圖不同，而是根據你設定的專案、服務、標籤鍵值等指標，追蹤當前的花費與預算的情況，還可以不同顏色來區分，例如當花費超過預算的75%時就會出現紅色的警示，反之則顯示綠色，讓使用者能根據預算警示變化的情況早一步採取行動。</strong></span><span style="font-size:14px;"><span style="color:#696969;">圖片來源／萬里雲</span></span></p> <p> </p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> 作法6 </span> </strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用互動式儀表板主動檢測雲端異常花費</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1159-%E4%BD%9C%E6%B3%956-MileLync%EF%BC%8D%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8D%E8%90%AC%E9%87%8C%E9%9B%B2.png" style="width: 600px;" /></p> <p><span style="font-size:22px;"><strong>除了一站式儀表板，還有另一種互動式儀表板呈現方式，能及時反應雲端費用在不同狀態下的支出資訊，不只能夠追蹤每日費用的變化趨勢，同時還可以主動檢測異常情況，並用紅色警示符號來代表偵測到異常花費，讓使用者可以進一步查看詳細費用比較資訊。此外，還可以快速掌握按服務類別畫分的費用分布和實際花費的排名，以及盤點各項服務費用的組成與總費用。</strong></span><span style="font-size:14px;">圖片來源／萬里雲</span></p> </div></div></div>
2023/12/8 11:02作者余至浩https://www.ithome.com.tw/news/160223
重度上雲如何省錢？迪士尼集團FinOps實戰經驗大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迪士尼集團是全球最大的娛樂媒體集團，也是高度雲端化的企業。早在十年前就積極展開數位轉型，發展各種數位應用和產品，全集團一年相關軟體支出超過11億美元（約臺幣330億元）。隨著數位服務和產品占比越高，暴漲的雲端費用，成了迪士尼營運團隊近2年來越來越頭痛的挑戰。</p> <p>光是2017年推出的影音串流服務Disney+，統計到2022年底，在AWS上的資料量超過20PB，開了上百個AWS帳號，使用超過50項雲端服務，來支援超過1.6億訂戶的影音串流所需。迪士尼開發者生產力團隊所打造的雲端容器部署平臺，光在2017到2020年間，就為了串流平臺部署了超過7百隻AP。2020年底時，每個月部署次數近2萬次，平均一天6百多次，天天要啟動4萬個ECS容器服務任務。</p> <p>不只影音串流服務上雲，迪士尼集團旗下還包括了全球各地的主題樂園和酒店、生產相關周邊商品和活動的體驗與消費品事業，提供影視內容的媒體和娛樂發行部門，像是ESPN運動頻道、abc電視臺、國家地理頻道、漫威電影工作室、迪士尼動畫工作室、遊戲等。各事業部門也大力倚重雲端。而且不只用一朵雲，例如迪士尼就和微軟簽了5年合約，要用Azure來創作和派送各種多媒體和影音內容。</p> <p>除了事業群，迪士尼集團旗下設有不同企業部門來支援不同事業群的營運，例如雲端數據轉型工程團隊，就是負責支援各事業群順利取得和運用各種雲端資源和工具，從簽約、付費到優化對外提供的服務，也會與不同事業群各部門的工程師跨部門合作。</p> <p>迪士尼集團雲端數據轉型工程團隊資深產品工程師Alee Whitman，日前就分享了過去一年，迪士尼推動FinOps的經驗。</p> <p>FinOps（Cloud Financial Operations的簡稱）是這幾年興起的雲端費用管理優化新浪潮，隨著上雲企業越來越多，用量越來越大，國外甚至有企業一年上雲費用高達10億美元之多，如何節省上雲開銷成了雲端維運的新顯學。</p> <p>Alee Whitman原本是AWS旗下打造雲端維運費用儀表板CUDOS的團隊成員之一，一年前進入了Disney集團擔任FinOps工程師。</p> <p>Alee指出，想要知道能不能省錢，第一步要掌握數據，「數據就是力量，但也往往代表了複雜度。」</p> <p>迪士尼是一家跨雲組織，雲端費用和各種使用行為資訊，分散在不同的公雲平臺上。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>迪士尼雲端帳務資料處理流程</strong></span></span></p> <p>迪士尼有一套雲端帳務資料的處理流程，在收集階段，包括兩類資料搜集流程，第一類是外部雲端費用和使用數據，會將不同雲端供應商上不同帳單帳戶的費用資料，以及產生這些費用背後的使用紀錄，集中到物件儲存資料庫中。</p> <p>第二類資料則是內部資料，將迪士尼集團內部大量與上雲帳務有關的資訊整合。內部資料還可再細分為兩個子類，第一子類是雲端帳戶經理需要的資料，包括了內部雲端資源的調度紀錄、相關治理資訊、管理紀錄、各種雲端相關的分類定義等。Alee強調，這一類資料需要進行迪士尼化（Disney-ified）。</p> <p>「所謂的迪士尼化，是將這些雲端供應商的費用和使用數據，轉換成迪士尼的費用和使用數據，讓數據具有迪士尼特質，但不對數據進行任何修改。」她解釋。</p> <p>以娛樂事業團隊來舉例，得讓這個團隊可以看到他們自己完整、詳細的雲端供應商的費用和使用數據，讓團隊成員按照自己的業務需求，重新劃分和組合這些資料，這就是將資料迪士尼化，讓自己的團隊重新定義資料，Alee和雲端數據轉型工程團隊也會和業務團隊成員一起進行這個重新定義的過程。</p> <p>第二種內部資料子類，則是用於迪士尼產品定價或帳務計算時用的數據。這一類數據需要即時提供給其他系統，而且會因為定價策略或分帳規則的改變，需要事後調整分類或帳務認列方式，重新產生新的帳單報表。這一類資料則會寫入到物件資料庫中方便再利用。</p> <p>將雲端帳務相關的外部與內部資料集中後，接著會進行正規化轉換，迪士尼會將這些雲端帳務資料，按照資料品質分為三級，搜集整合後的原始資料屬於銅級資料，這包括了歷史資料的紀錄。第二集則是銀級資料，這些是在數據層級進行篩選處理後的乾淨資料，甚至需要補強（例如修正錯誤或補齊資訊）的資料。最後一級金級資料，這些是依據業務目的或需求重新彙整或分類後的資料，具有更明確的業務價值或意義的資料。將不同來源和類型的雲端相關費用資料集中和分級處理之後，就可以建立一個統整的迪士尼雲端資料來源。</p> <p>「建立雲端資料單一來源，才能實際了解真正的成本，也才能思考如何找出省錢節費的機會。」Alee表示。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>經費節省的三種定義</strong></span></span></p> <p>Alee剛開始推動FinOps時發現，工程團隊與財務部門，雙方對於「節省」的理解有很大的不同，這也讓他們重新思考這個詞的定義。</p> <p>Alee更進一步細分出三種「節省」概念，第一種是真的「省錢」，這是指實際支出和預算的差額，也就是手上預算沒用完後，而剩下來的金額，如果沒有預算，也無法省錢。</p> <p>第二種是「減少開銷」的節省。這是指因為採取了優化作為，可以降低費用或降低運轉率（run rate）。不是所有的開銷減少都能省錢，工程團隊口中的「節省」，多半就是指這種採取了種種改善、優化作為之後，讓費用比原本更低的情況。可是，對財務團隊來說，這個開銷減少後的費用，可能跟預算相當，而沒有真正省到錢。</p> <p>第三種則是成本避免（Cost Avoidance），這是指因為採取行動而避免了產生這些成本，如果不行動就需要負擔。這是一種未來式的成本。「如果一開始就做對了，就不需要負擔這一類可避免的成本。」Alee解釋。</p> <p>舉例來說，有團隊在部署時，配置了過多的雲端資源，很快就發現且修正了配置，可能只增加了幾天費用，但是不是一個月或1年的費用，不會看到成本的降低，但的確避免了不必要的成本開銷。</p> <p>這是三種迪士尼實踐FinOps時思考節省的思維，而迪士尼高層希望先聚焦在第一種的「省錢」，因此，先從雲端預算的訂定著手。</p> <p>省錢效果來自預算的落差，預算浮報的省錢，不是真的節省，迪士尼編列雲端預算時，會深入分析過往的使用趨勢，從計費數據中了解每一個雲端帳戶實際情況，也要掌握這些數據所代表的營運意義。</p> <p>掌握過往趨勢後，Alee指出，確定業務優先目標是預算編列的關鍵，還得確定工程團隊知道這些優先目標，也清楚這些目標在業務面實際的意義。</p> <p>訂定預算還得找來正確的人員，例如除了工程團隊主管，還得找來SRE主管，了解一項新服務的實際成本，尤其大規模部署後的成本。</p> <p>迪士尼會從四個角度來思考雲端預算的編列，包括了增加必要性、減少必要性、季節性影響、運轉率（run rate）。</p> <p>增加必要性例如新建置的成本，執行的成本，業務目標變動後帶來的預算追加需求，用戶規模成長的影響等。而減少必要性則像是，AP淘汰、雲端帳戶關閉、計畫精簡等。另外，季節性因素也會大大影響迪士尼的業務，不能忽略每個時期各種節慶活動的影響，尤其要觀察是否出現新的季節性因素。</p> <p>最後一項，Alee指出，迪士尼最重要的預算編列考量面向是運轉率的思考。運轉率是一種財務管理術語，是指用一年尺度來計算費用的作法。若一個月平均用量10萬元，一年運轉率就是120萬元，若平均用量20萬元，一年運轉率就提高到240萬元，以此類推。迪士尼會每個月檢視當前花費，所代表的整年度運轉率的變化。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>高層每月檢視省錢追蹤總表</strong></span></span></p> <p>在迪士尼，由各事業單位先編列出各自未來一年的雲端預算之後，彙整到財務部門，再由高層統一訂出省錢目標（不是先訂省錢目標再編預算），統一訂出要「減少多少百分比花費」作為年度省錢目標，將各部門預算按這個比例來計算該部門得想辦法達成的減少額度，例如不分部門今年要節省5%預算，相當於百萬元預算就要減少5萬元開銷。</p> <p>為了確保營運過程可以落實這些節省，迪士尼財務部門會製作一張雲端預算執行追蹤總表，彙整了全集團各事業部門的雲端費用執行情況，提供給高層每月檢視之用。</p> <p>這張表主要提供四類數據，一開始的年度雲端預算，表定省錢額度（今年目標要減少多少開銷），目前執行狀態（預估可節省的金額），和最終實際節省的金額。</p> <p>其中目前執行狀態會提供兩個數據，一個是目前運轉率（以當前平均花費來預測的整年支出金額），另一個是這個運轉率與預算的落差，也就是按照目前運轉率最後能節省的預估金額（沒有到年底，不「節省金額」，而是用「預估節省金額」來衡量）。</p> <p>這張總表會按照每一個部門，都列出這四類數據，迪士尼高層每個月都會認真檢視和檢討，每一個部門當前雲端預算的執行情況。</p> <p>除了第一類的「省錢」，迪士尼也很重視第二類因為優化而「減少開銷」的成果，另外還有一張追蹤優化專案的成效表，來掌握每項優化專案帶來對運轉率的影響，了解每個團隊的優化進展，目前在迪士尼有高達數百項優化專案正在進行。更關鍵的是，這些優化成效的紀錄，是由負責優化專案的每一個工程團隊負責記錄，最後再從優化專案列表中，找出戰略性專案的運轉率數據，提供給高層，而不是將所有數據都列出。</p> <p>從過去一年FinOps經驗中，Alee認為，省錢不需要做到每一件事，而要聚焦。更要找出企業自己對「省錢」的定義和期望，最後是保持開放態度，正面看待犯錯的可能性。</p> </div></div></div>
2023/12/8 11:27作者王宏仁https://www.ithome.com.tw/news/160224
雲端費用爆增怎麼管
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1159-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=OPqQ_NNd" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近兩年，雲端用量爆增，許多企業對上雲費用超支很有感，隨著企業大舉上雲，要管理的雲端費用，不再僅限於單朵雲，而是可能有２朵、３朵雲，使得跨雲成本管理變得更複雜，企業必須更加重視雲端費用的控管，也促使FinOps雲端財務管理成為新顯學。</p> </div></div></div>
2023/12/8 11:29未署名https://www.ithome.com.tw/article/160225
GAI帶來企業跨雲維運新課題
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI（或簡稱GAI）的競賽到了年底，依舊是熱鬧滾滾。12月初，AWS在年度大會上，終於揭曉了自己的生成式AI戰略和產品布局，包括了生成式AI架構，從基礎設施、工具到應用程式等三個層級的產品策略，還首度發表了<a href="https://www.ithome.com.tw/news/160064" target="_blank">商務型AI聊天機器人Amazon Q</a>。</p> <p>雖然AWS自己也有發展自己的LLM模型Titan，但是，不同於微軟和Google以主力LLM模型為主打的策略，AWS更偏向打造企業需要的GAI工具鏈。AWS打造GAI工具鏈有一個特色是，格外講究企業導入GAI過程的使用體驗。</p> <p>舉例來說，AWS 也和其他雲端業者一樣，都提供了LLM模型生成內容的把關機制，來避免生成企業不希望出現的內容。其他業者的把關機制是由企業自行訂定過濾規則或判斷條件來控管，而AWS的作法則是讓企業IT人員，直接用一段話（自然語言）來描述想要控管或避免呈現的內容，再由LLM模型產生用來把關的條件，雖然有可能無法第一時間精準的產生所有想要過濾的規則，但是卻可以涵蓋到定義模糊或難以定義的過濾範圍，另外，對管理人員來說，這也是一個更容易操作，建立過濾規則的介面。</p> <p>不只AWS揭露全套GAI產品策略，Google也在12月6日，發表了最新也是他們有史以來最強的<a href="https://www.ithome.com.tw/news/160193" target="_blank">多模態GAI模型Gemini</a>，提供三個版本，參數最多的Ultra版，通用性最廣的Pro版，以及一款參數量較少但可以在手機裝置上運作的Nano版模型。不過，目前會先上線後兩款模型，Ultra版則還在測試，得等到明年才會推出。</p> <p>Gemini除了在32項AI標準測試中，有30項評分打敗了GPT-4V之外，我覺得最大亮點是推出了可以在手機上執行，而且是不用連結網路，也能運作的Nano版。目前只支援Pixel系列手機。錄音App可以在不連網情況下，使用手機上的TPU晶片來執行Nano版Gemini模型，從會議錄音檔中摘要整理出文字紀錄，也將會支援Gboard的智慧回覆，在通訊軟體中用口說來輸入回覆文字。</p> <p>既然Nano版都可以離線執行，我在記者會上提問，Gemini版有沒有可能釋出可以部署在企業內部的落地版本，Google沒有鬆口，只說目前只能透過API存取雲端LLM模型。</p> <p>不只Google，就連微軟Azure也沒有自家LLM模型的落地部署版本，而AWS自家最新推出的Amazon Q商務對話機器人，也是只有雲端版本。</p> <p>因為LLM模型具有獨占性，一但企業使用了某一套模型，想要轉換底層基礎LLM模型，得重新訓練或微調模型，代價很高，因此，企業一開始選定了哪一個模型，後續多半會繼續使用。雲端業者看上的就是，企業選擇了某一款業者LLM模型，就得連帶使用這個模型相關的雲端服務。</p> <p>我有次採訪中信金控科技長賈景光時，他強調：「生成式AI是上雲的殺手級應用，讓上雲成了非走不可的一條路。」</p> <p>為了善用不同LLM的能力，雲端業者不斷強調要提供更多模型來支援不同的任務需求，企業勢必得使用越來越多種雲端LLM和相關的雲端服務，甚至是來自不同雲端供應商的服務。</p> <p>上雲越深，越久，按用量計價的雲端費用就越暴增，當企業使用了愈多不同供應商、不同雲端服務業者的LLM服務，就越會面臨各種不同雲端計價方式、費用管理的複雜管理課題。</p> <p>也因如此，國外近年興起了一股雲端費用管理優化新浪潮FinOps（Cloud Financial Operations的簡稱）。隨著上雲企業越來越多，用量越來越大，國外甚至有企業一年上雲費用高達10億美元之多，如何節省上雲開銷成了企業上雲的新顯學。</p> <p>生成式AI浪潮迫使企業得更積極上雲，但也讓企業面臨了更複雜的上雲費用管理挑戰，這將是臺灣企業CIO接下來的新課題。</p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span></strong></span></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/160064" target="_blank">Amazon公布企業用AI聊天機器人Amazon Q</a></strong></span></p> <p><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/160193" target="_blank">GPT-4V最強對手來了，Google多模態Gemini模型登場</a></strong></span></p> <p><a href="https://www.ithome.com.tw/article/160225" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1159-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=OPqQ_NNd" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/gai">GAI</a></div><div class="field-item even"><a href="/tags/amazon-q">Amazon Q</a></div><div class="field-item odd"><a href="/tags/gemini">Gemini</a></div><div class="field-item even"><a href="/tags/google">google</a></div><div class="field-item odd"><a href="/tags/finops">FinOps</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF%E8%B2%BB%E7%94%A8">雲端費用</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B2%E7%AB%AF%E6%94%AF%E5%87%BA">雲端支出</a></div></div></div>
2023/12/8 11:37作者王宏仁https://www.ithome.com.tw/voice/160226
五眼聯盟指控俄羅斯駭客Star Blizzard於全球展開網釣攻擊，兩名嫌犯遭美國起訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ncsc.gov.uk/news/star-blizzard-continues-spear-phishing-campaigns" target="_blank">五眼聯盟及微軟本周大動作地指控</a>俄羅斯駭客Star Blizzard於全球展開網釣攻擊，<a href="https://www.justice.gov/opa/pr/two-russian-nationals-working-russias-federal-security-service-charged-global-computer" target="_blank">美國更制裁與起訴</a>了兩名參與攻擊的俄羅斯駭客Ruslan Aleksandrovich Peretyatko與Andrey Stanislavovich Korinets。</p> <p>英國國家網路安全中心（National Cyber Security Centre，NCSC）指出，Star Blizzard自2019年來便相準學術界、國防、政府組織、非政府組織、智庫及政治家展開攻擊，最大的受害者為美國與英國，亦有其它受害者散布在北約國家與俄羅斯鄰國。到了2022年，Star Blizzard的攻擊活動進一步擴大到國防工業及美國能源部的設施。</p> <p>Star Blizzard主要採用魚叉式網釣攻擊，先研究目標對象的興趣及網路活動，再透過社交媒體或專業網路平臺來與受害目標進行交流，他們建立虛假的社交媒體資料，冒充各類專家，再以會議或活動邀約為誘餌，於Outlook、Gmail、Yahoo或Proton郵件平臺，建立假冒為對方感興趣的電子郵件帳號。</p> <p>為了以假亂真，Star Blizzard還會建立以各式合法組織為名的惡意網域。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/12/07/star-blizzard-increases-sophistication-and-evasion-in-ongoing-attacks/" target="_blank">微軟則揭露了</a>Star Blizzard所使用的技術細節。指出Star Blizzard自2022年以來便專注於竊取電子郵件憑證，只要是與政府或外交、專門研究俄羅斯國防政策及國際關係，以及與援助烏克蘭有關的個人，都可能是Star Blizzard鎖定的攻擊對象。</p> <p>在企圖取得受害者信任後，駭客即會寄出含有PDF檔的電子郵件，但這卻是一封引導受害者輸入郵件憑證的郵件。</p> <p>根據美國、英國、加拿大、澳洲及紐西蘭等五眼聯盟的調查，它們幾乎可以確定Star Blizzard隸屬於俄羅斯聯邦安全局（FSB），透過魚叉式網釣攻擊長期監控特定對象，<a href="https://www.gov.uk/government/news/uk-exposes-attempted-russian-cyber-interference-in-politics-and-democratic-processes" target="_blank">英國則說</a>Star Blizzard也企圖干預該國選舉，並已制裁參與攻擊行動的個人，甚至因此召見俄羅斯大使。</p> <p>周四美國則起訴了兩名Star Blizzard駭客Peretyatko與Korinets，指控他們代表俄羅斯政府入侵美國、英國及其它北大西洋公約組織的成員國，以及烏克蘭的電腦網路，宣稱Star Blizzard至少自2016年10月至2022年10月間，針對美國情報界、國防部、國務院、國防承包商及能源部的現任與前任雇員展開攻擊。</p> <p><a href="https://home.treasury.gov/news/press-releases/jy1962" target="_blank">根據美國財政部所公布的資訊</a>，Peretyatko為FSB的官員，Korinets則是俄羅斯的IT工作人員。美國亦宣布制裁Peretyatko與Korinets，並祭出1000萬美元的獎勵來懸賞這兩名駭客的行蹤。</p> </div></div></div>
2023/12/8 12:07作者陳曉莉https://www.ithome.com.tw/news/160227
JetBrains新AI程式開發助理深度整合自家IDE，可生成更具相關性的建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>旗下擁有IntelliJ IDEA、PyCharm等多款IDE產品的JetBrains，<a href="https://blog.jetbrains.com/blog/2023/12/06/introducing-jetbrains-ai-and-the-in-ide-ai-assistant/">推出了程式開發專用的人工智慧助理</a>，以提高開發者軟體開發的效率和品質。JetBrains 人工智慧助理能夠解釋程式碼，並回答程式碼相關問題，也能生成文件或是進行程式語言轉換等工作。</p> <p>JetBrains推出人工智慧助理的目的，是要解決開發人員日常工作遇到的各種問題，包括在編寫程式碼時需要查閱文件和搜尋檔案等工作，而人工智慧助理可以透過理解開發人員的上下文，協助程式開發提升效率。JetBrains透過將人工智慧助理融入使用者工作流程，善用IDE對開發者程式碼的理解，掌握整體開發上下文和專案結構，對人工智慧助理底層語言模型提供詳細資訊。</p> <p>人工智慧助理可以強化JetBrains開發環境的功能，開發者現在能以開放式聊天介面和人工智慧助理對話，查詢特定函式功能，或是編寫和除錯程式碼。當開發者提問的時候，人工智慧助理會考量專案深層上下文資訊，不僅是把當前的文件當作提示的一部分，包括語言、相依項目、最近使用的文件和專案不同部分之間的關係，都會納入生成結果的考量，使開發者獲得具針對性和高度相關的答案。</p> <p>JetBrains人工智慧助理不只可以根據專案上下文、插入符號位置以及提示詞產生程式碼。同時也可以編寫文件，代勞這件普遍不受開發者歡迎的工作。開發者在AI Actions的選單選擇編寫文件選項，人工智慧助理便會根據所選函式和類別，產生豐富經格式化的文件。</p> <p>編寫提交訊息同樣是一件繁瑣的工作，人工智慧助理也能夠總結程式碼差異和相關的內容，自動產生提交訊息範本，以自然語言解釋更改的內容，開發者可以調整模板，更精確地描述提交資訊。</p> <p>此外，人工智慧助理也可以在重構任務幫上忙，雖然JetBrains IDE本身也具有重構功能，但人工智慧助理能夠進一步地提供潛在程式碼的重構建議，並且解釋原因，官方提到，人工智慧助理所提供的重構建議會涵蓋上下文，考量當前專案的限制。當用戶決定採納人工智慧助理的建議，可以簡單地將更新插入到當前檔案中，並查看更改的內容。</p> <p>人工智慧助理主要採用JetBrains和OpenAI的模型輸出結果，目前該人工智慧助理為訂閱服務，可以在IntelliJ IDEA、PyCharm、PhpStorm、ReSharper、Fleet等JetBrains IDE中使用。</p> </div></div></div>
2023/12/8 08:23作者李建興https://www.ithome.com.tw/news/160212
網頁應用框架Django 5.0添加多項新功能強化資料庫操作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源Python網頁應用框架Django推出最新第5個主要版本，這個版本更新集中在資料庫功能上，支援資料庫運算預設值，以及資料庫生成模型欄位，讓資料庫自動處理資料欄的內容，並且還在模板系統加入欄位群組的概念，簡化表單欄位渲染。</p> <p><a href="https://www.djangoproject.com/weblog/2023/dec/04/django-50-released/">Django 5.0</a>中的資料庫運算預設值功能，允許開發者在模型欄位中，設定由資料庫運算的預設值。這項功能可以解決需要資料庫自動生成特定資料的問題，像是當前時間戳記或是運算結果。不只可以提高資料處理的效率和準確性，也可以在更多場景自動化資料生成任務。</p> <p>官方還擴展Django框架核心元件ORM（Object-Relational Mapping），加入新資料庫生成模型欄位功能，允許開發者創建由資料庫生成資料的欄位。該欄位可以用於所有支援的資料庫後端，創建一個由其他欄位計算出來的欄位值。以正方形的面積欄位舉例來說，正方形面積將會由兩個邊長欄位的值相乘獲得。</p> <p>這樣的功能可以讓資料庫層級自動計算並儲存結果，也同樣能提高資料處理效率，並減少應用程式的計算負擔。Django ORM核心元件讓開發者，不需要使用SQL，而是以Python程式碼定義資料庫中的資料結構，如此開發者便可以用物件導向的方法處理資料庫，提高程式碼的可讀性和可維護性。Django ORM支援多種資料庫系統，能夠查詢和操作資料，是一個高效的資料存取方法。</p> <p>另外，模板系統欄位群組也是Django 5.0的新功能，能夠簡化Django表單欄位，像是標籤、輸入框和錯誤訊息等相關元素的渲染過程。過去這些元素都是個別獨立渲染，現在透過as_field_group()方法，開發者可以將相關元素以整體進行渲染，大幅降低模板的複雜性。不只是程式碼更簡潔，也提高開發效率。</p> <p>隨著Django 5.0的發布，Django 4.2也結束主流支援，最後一個次要錯誤修補版本是已經發布的4.2.8版本。不過Django 4.2是一個長期支援版本，因此會持續接收安全性和資料丟失修補。另外，更早的Django 4.1版本的延伸支援已經結束，最後一個更新版本是11月1日所釋出的4.1.13版本，官方呼籲Django 4.1用戶應該升級到Django 4.2以上版本。</p> </div></div></div>
2023/12/8 08:25作者李建興https://www.ithome.com.tw/news/160213
Snyk調查發現，高達80％開發者為使用AI開發工具，繞過公司安全政策
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧程式開發輔助工具已經大量參與開發人員的日常工作，<a href="https://www.ithome.com.tw/news/160023">Jetbrains的2023開發者大調查</a>佐證了這個現況，77％受訪者都使用ChatGPT，GitHub Copilot也有46％的開發者使用。雖然人工智慧程式開發輔助工具可以幫助開發人員更有效率地編寫程式碼，不過，也對組織帶來了一些安全挑戰。</p> <p>資安公司Snyk對537名軟體工程和安全團隊成員進行調查，並在其<a href="https://snyk.io/reports/ai-code-security/">2023年人工智慧程式碼安全報告</a>中指出，企業過於忽視人工智慧程式開發輔助工具所帶來的安全問題。</p> <p>96％的受訪者團隊已使用人工智慧程式開發輔助工具，但有56.4％的受訪者表示經常從人工智慧程式碼建議中發現安全問題，也有高達80％的開發人員承認，為了使用人工智慧程式開發輔助工具而繞過組織安全政策。即便開發人員已大量應用人工智慧編寫程式碼，但是Snyk表示，少有團隊相對應調整安全流程，只有不到10％的組織，對大部分程式碼執行自動化安全掃描。</p> <p>人工智慧程式開發輔助工具所產生的安全問題不只存在於組織內，也正影響著開源工具鏈的安全，73.2%的受訪者曾對開源專案貢獻程式碼，代表即便他們皆具備開源專案的知識，也理解人工智慧可能提供不安全的程式碼，但是只有24.6％的組織，使用軟體組成分析（Software composition analysis，SCA）工具驗證人工智慧的程式碼建議。Snyk解釋，更快的開發速度可能使得組織更容易接受不安全的開源元件，而人工智慧工具使用開源程式碼作為訓練資料集，可能因此學習不安全的程式碼寫法，導致惡性循環產生更多不安全的建議。</p> <p>高達55.1％的受訪者都表示組織已經將人工智慧工具，視為軟體供應鏈的一部分，不過，Snyk認為大多數組織並未對這種情況採取足夠應對，最常採取的行動是增加安全掃描，但實行的組織也只有18.4％。針對這樣的現象，Snyk猜測，可能來自於人們錯誤認為人工智慧生成的程式碼建議，比人類編寫的程式碼更安全。有75％的受訪者認為人工智慧生成的程式碼較人類安全。</p> <p>有趣的是，大多數受訪者不信任人工智慧，有86％的受訪者對人工智慧程式開發輔助工具的安全性存在顧慮，Snyk提到，之所以有這種認知失調的狀況出現，可能來自於從眾心理，開發人員說服自己其他人也在使用人工智慧工具，則這些工具勢必值得信任。小部分的組織限制人工智慧程式開發輔助工具的使用，主要原因包括57％擔憂程式碼的安全性，其次有53.8％的組織顧慮資料隱私，還有46.4%的組織在意程式品質（下圖）。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/2096%20-%20Snyk's%202023%20AI-Generated%20Code%20Security%20Report%20-%20Snyk%20-%20snyk_io.png" style="width: 580px;" /></p> <p>開發人員因為人工智慧程式開發輔助工具的協助，使得生產力增加，因而加快了程式碼編寫速度，而這也對應用程式安全團隊帶來更多的壓力，有五分之一的團隊在跟上軟體開發的腳步存在挑戰。</p> <p>雖然已有<a href="https://arxiv.org/abs/2211.03622">研究</a>顯示人工智慧生成的程式碼建議並沒有比較安全，Snyk提到，但人們現在普遍相信人工智慧程式開發輔助工具出錯機率比人類更低，因此組織應該透過教育糾正這樣的錯誤觀念，並且採用安全工具保護人工智慧所生成的程式碼。</p> </div></div></div>
2023/12/8 08:32作者李建興https://www.ithome.com.tw/news/160221
群創用AI改造智能超市，導入智慧購物車、即時分群廣告推播及互動式酒促客服體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>群創光電用自家AM miniLED顯示技術及AI來驅動多種零售科技，來改造全家便利商店東森一號店，期望一方面降低店員人力負荷，另一方面透過豐富消費者體驗來增加營收。這些科技包括智慧購物車、即時分群廣告推播及互動式酒促客服等。此店的地主東森購物總經理彭鴻珷預期，這些科技帶來20%營收成長。</p> <p><strong>搭載影像辨識及重量感應能力的智慧購物車</strong></p> <p>第一項科技是智慧購物車。消費者在購物車上登入全家會員後，購物車會進入購物模式，自動辨認放入車內的商品。消費者直接於購物車用全家支付工具結帳後，便能取走商品離店。</p> <p>此購物車搭載鏡頭及重量感測器，透過AI影像辨識及秤重來判斷消費者放進購物車的商品品項及數量。商品3D模型、商品種類、重量及重量容許誤差範圍由群創自行開發的CMS（內容管理系統）來管理，並串接到全家ERP。另外，此購物車也設有條碼掃描器。</p> <p>群創光電自動化資深副理林青輝解釋，鏡頭會持續照向購物車內，以判斷商品品項，搭配重量感測器，來判斷放入商品數量。當辨識系統發現異常狀態，例如視覺辨識與重量感測到的商品內容有出入，便會鎖定購物車操作，觸發店內監視器系統特別標註此時段，同時通知店員到場解除鎖定狀態。</p> <p>用秤重來輔助商品辨識的一個常見問題是，有些商品個體重量差異大，容易造成誤判。為了避免頻繁觸發假警報，群創根據不同商品類別設定了不同重量容許誤差範圍，如麵包、水果等，就會容許更大範圍的重量浮動。</p> <p>選擇辨認消費者「放入購物車」，而非「從貨架拿起」的商品，雖然硬體成本較低，卻伴隨著較高誤判風險。林青煇坦言，購物車商品辨識機制仍有漏洞可鑽。重量感測器誤差範圍只有3公克，已經可以辨識大部分商品重量。不過，此購物車允許一次放入多個商品，因此可以搭配不同重量誤差範圍來鑽漏洞。例如，將超小商品隱藏在重量容許誤差範圍大的大型商品下方，阻擋視覺辨識同時，誘使系統將小商品重量視為大商品重量誤差。反之，一般拿了就走（Grab and go）類型店面，會追蹤消費者從每一個貨架拿起的商品，盜竊風險較低。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/11(9).png" style="width: 600px;" /></p> <p><strong>用人臉辨識來判斷廣告投放內容的推播螢幕</strong></p> <p>此店內有部分廣告推播螢幕，會根據人臉辨識結果來推播不同廣告。群創光電專案經理戴世府說明，推播螢幕附近會有攝影鏡頭負責捕捉人流及人臉，以判斷消費者性別、年齡、拿取商品等資訊。</p> <p>推播螢幕後臺會根據消費者分群、門市地域、當下促銷活動等因素，來推播不同廣告。AI推論行為由額外設置的專用地端電腦負責，因此可以在1秒內完成辨識及推播。戴世府表示，此電腦設置成本約5萬元。</p> <p>用AI來進行人臉辨識，難免會有AI歧視及隱私侵犯疑慮。戴世府強調，便利商店消費者族群多元，為避免AI誤判消費者特徵，導致AI歧視疑慮，目前此推播系統只會推播食品等，不容易因誤推廣告而引起消費者反感的商品廣告。</p> <p>私方面，他說，人臉辨識只會紀錄去識別化消費者特徵值，例如到店時間、推測年齡與性別、拿取商品種類等，不會記錄消費者面部影像。這些特徵值每7天會由地端電腦拋轉到雲端，進行紀錄與進一步分析。例如，比對消費者特徵、推播廣告與實際拿取商品之間的關聯，以調整廣告推播或整體行銷策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/26.jpg" style="width: 600px;" /></p> <blockquote><p>冰櫃上的螢幕一旁有攝影鏡頭，當消費者走近，曲面螢幕就會在1秒內根據消費者分群推播對應廣告。圖-郭又華攝</p> </blockquote> <p><strong>即時生成酒類行銷文案的互動式酒促客服</strong></p> <p>另一個AI店內行銷科技是互動式酒促客服，以安裝在酒架上的互動式螢幕呈現。酒促客服會引導消費者順著行銷腳本來認識不同酒類。或者，消費者也可以用語音輸入的方式指定飲酒情境，要求酒促客服推薦適合酒類。</p> <p>此酒促客服串接ChatGPT，可以根據商品目錄中的資訊及消費者輸入內容，即時生成行銷文案，來提供互動式體驗。為避免酒促客服不當發言，它被限制只能回答酒類促銷問題，且會遵守相關飲酒法規。例如，若詢問今天天氣如何，它會拒絕回答。如果要求它推薦適合開車喝的酒，它也不會回答，並警告消費者喝酒不開車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_2023127_231207_14.jpg" style="width: 600px;" /></p> <blockquote><p>酒架上的透明酒櫃有一個螢幕，作為互動式酒促客服，會引導消費者認識酒類商品。消費者可用語音輸入指令，要求客服推薦適合酒款。</p> </blockquote> <p>聯播螢幕和酒促客服螢幕都是採用群創自家AM miniLED顯示技術。他們強調，此技術省電，且不刺眼、可形變，一方面能控制能源消耗，另一方面也能用來強化消費者互動體驗，例如聯播螢幕就彎曲成S形，以期達到吸睛和立體視覺效果。</p> <p> </p> </div></div></div>
2023/12/7 17:19作者郭又華https://www.ithome.com.tw/news/160211
【資安日報】12月7日，研究人員揭露針對iPhone的新型態攻擊手法，啟動假的封閉模式，從而暗中偷渡惡意程式持續於背景…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用商業間諜軟體針對特定人士行動裝置下手的攻擊事件頻傳，蘋果後來也加入名為封閉模式（Lockdown Mode）的功能限制，降低用戶遭到攻擊的情形，然而，傳出可偽造類似此種保護模式的作法，導致用戶誤以為已啟動該模式。</p> <p>有研究人員揭露讓iPhone呈現這樣狀態的手法，使得用戶啟動後，手機並未套用相關限制，而使得攻擊者照樣能從事有關攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-339a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Adobe ColdFusion重大漏洞已被用於攻擊美國政府機關</span></strong></a></p> <p></p> <p>美國網路安全暨基礎設施安全局（CISA）發布資安公告，Adobe今年3月修補的應用程式開發平臺ColdFusion已知漏洞CVE-2023-26360（CVSS風險評分為9.8），在今年6月至7月被用於攻擊該國的聯邦行政部門（FCEB），駭客藉此入侵了2臺曝露於網際網路的ColdFusion伺服器，而且，這些設備所用的ColdFusion版本都很老舊（2016.0.0.3版、2021.0.0.2版）。</p> <p>一旦成功入侵這些伺服器，駭客就藉此取得初期立足受害組織的據點，從而進行後續的攻擊。在其中一起攻擊行動裡，駭客先是列出所有網頁伺服器執行的處理程序，並設法穿越（traversing）檔案系統，然後將多種作案工具上傳至伺服器。駭客利用公用程式Certutil解密純文字檔案，並將其還原成名為config.jsp的Web Shell，接著企圖利用attrib.exe埋藏其蹤跡；他們也對ColdFusion預設組態檔案config.cfm插入惡意程式碼，並用來發出HTTP POST請求。</p> <p>在另一起攻擊行動當中，駭客在成功利用CVE-2023-26360之後，列出所有受信任的網域來尋求橫向移動的機會，並進行偵察工作，收集伺服器與網域管理員帳號資料，然後利用8種惡意工具投放純文字檔案d.txt並解碼為d.jsp，此JSP檔案為RAT木馬程式，從駭客控制的伺服器接收命令並執行。</p> <p><a href="https://binarly.io/posts/finding_logofail_the_dangers_of_image_parsing_during_system_boot/index.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露LogoFAIL漏洞，藉由電腦UEFI開機的商標圖片解析元件執行惡意酬載</span></strong></a></p> <p></p> <p><a href="/sites/default/files/images/5a00c91a-997e-4144-9775-a80ee0355619"><img alt="" src="/sites/default/files/images/5a00c91a-997e-4144-9775-a80ee0355619" style="width: 300px; float: right;" /></a>專精韌體安全的資安業者Binarly在歐洲黑帽大會上揭露名為LogoFAIL的漏洞，並指出這種漏洞影響整個UEFI的韌體生態系統，幾乎所有x86及Arm設備的主要製造商都曝露於這種漏洞當中，研究人員指出，這種漏洞主要出現在韌體的圖像解析器，韌體開發商提供了自訂開機啟動的商標圖案的客製功能，允許設備廠商換上自己的商標，然而，這項彈性可能危害韌體安全。</p> <p>研究人員針對Insyde、AMI、Phoenix的韌體圖像解析器進行分析，照理來說，這些商標圖片的檔案是從韌體磁區載入，此種磁區通常會受到Intel Boot Guard、AMD Hardware-Validated Boot、ARM TrustZone等硬體啟動驗證機制保護，攻擊者無從下手，然而，研究人員發現，攻擊者可藉由OEM客製化的功能進行滲透。</p> <p>由於客製商標通常會從EFI系統磁區（ESP）載入，並有特定路徑，因此攻擊者可先透過應用程式未修補的漏洞下手，然後透過管理者權限進一步替換韌體的商標檔案，之後等到裝置開機、載入驅動執行環境（DXE）的過程當中，就會執行攻擊者在UEFI植入的程式碼，以便他們進行後續的攻擊行動。研究人員總共找到29種攻擊手法，其中有15種可讓攻擊者執行任意程式碼。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/160192"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">為中小企業、非營利組織資安紮根，資安院推動「NICS臺灣資安計畫」</span></strong></a></p> <p></p> <p>為數眾多的中小企業與非政府組織，是臺灣創新的重要動力，為了確保這些中小型企業的資訊安全，數位發展部所屬行政法人資通安全研究院（資安院）接受Google旗下慈善組織Google.org的100萬美元捐贈，將推動為期兩年的「NICS臺灣資安計畫」，這是資安院成立以來，首度與國際單位合作的計畫。</p> <p>數位發展部部長唐鳳表示，數位部在11月經過公開徵選，挑出80個在地組織、在全臺灣19個縣市成立數位服務據點，作為提供在地民眾諮詢以及資安宣導的據點。資安院院長何全德指出，臺灣資安計畫將會進行科學的調查分析，了解民間的需求，並製作通用的資訊教材，提供資安服務團的服務，並在臺灣各地培訓更多的資安教練，預計花兩年時間，培養出50名以上種子講師與訓練200名以上的學生成為諮詢人員。未來他們也希望藉由這樣的經驗，讓臺灣成為亞太區重要資安人才培訓基地。</p> <p><a href="https://www.ithome.com.tw/news/160194"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">思科推出AI助理，用生成式AI幫助企業IT人員做好防火牆管理</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Cisco Live Melbourne_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Cisco%20Live%20Melbourne_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a>12月5日思科宣布推出資安人工智慧助理Cisco AI Assistant for Security，這項技術他們第一波將用於強化企業防火牆管理，其功能包括進行自動化規則配置，並協助用戶分析和決策，提高資安團隊的效率與生產力。資安團隊可以使用自然語言來找到配置不當的政策，並且快速獲得規則建議，Cisco人工智慧助理可以消除重複規則、錯誤配置的政策，並簡化複雜的工作流程，加速故障排除和防火牆配置工作。</p> <p>該公司也於澳洲墨爾本市召開的亞太區年度用戶大會Cisco Live!上，展示相關功能，思科執行副總裁暨網路安全及協作業務總經理Jeetu Patel展示藉由對話的方式，找出控管特定類型應用系統的防火牆規則，並予以更新，他也指出該助理還會主動提供建議，例如，彈出對於防火牆規則分析的通知訊息，並告知管理員發現重複的規則，詢問是否停用或是刪除。</p> <p>資料來源</p> <p>1. <a href="https://investor.cisco.com/news/news-details/2023/Cisco-Redefines-Cybersecurity-Defense-with-Powerful-Portfolio-Wide-Artificial-Intelligence-Capabilities/default.aspx">https://investor.cisco.com/news/news-details/2023/Cisco-Redefines-Cybersecurity-Defense-with-Powerful-Portfolio-Wide-Artificial-Intelligence-Capabilities/default.aspx</a><br /> 2. <a href="https://blogs.cisco.com/security/give-your-firewall-admins-superpowers-with-cisco-ai-assistant-for-security">https://blogs.cisco.com/security/give-your-firewall-admins-superpowers-with-cisco-ai-assistant-for-security</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/navy-contractor-austal-usa-confirms-cyberattack-after-data-leak/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國國防部、國土安全部承包商造船業者Austal證實遭遇網路攻擊，傳出是勒索軟體駭客組織Hunters International所為</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/nissan-is-investigating-cyberattack-and-potential-data-breach/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">日本汽車製造商Nissan調查澳洲、紐西蘭資料外洩的事故</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/htc-global-services-confirms-cyberattack-after-data-leaked-online/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">業務流程服務供應商HTC Global Services傳出遭到勒索軟體BlackCat攻擊</span></span></strong></a></p> <p></p> <p><a href="https://chromereleases.googleblog.com/2023/12/stable-channel-update-for-desktop.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 120，修補10個漏洞</span></span></strong></a></p> <p><a href="https://www.ithome.com.tw/news/160188"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">倒數2年Windows 10生命週期將要結束，微軟公布付費延伸安全更新方案</span></span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160172"><strong>【12月5日】美國航太組織遭到駭客組織AeroBlade鎖定，對其發動兩波攻擊，採用隱匿手法從事網路間諜行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160152"><strong>【12月4日】研究人員揭露竊資軟體Lumma攻擊行動，駭客佯裝金融服務業者寄送發票，將用戶導向不存在的網頁迴避偵測</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160108"><strong>【12月1日】美國賓州水利設施遭伊朗駭客攻擊，CISA呼籲管理者應修改設備預設密碼、採用雙因素驗證，強化基本防護力</strong></a></p> </div></div></div>
2023/12/7 15:42作者周峻佑https://www.ithome.com.tw/news/160208
臺北榮總自建超級電腦北榮一號雲，採32張A100 GPU要加速發展智慧醫院
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北榮總昨日（12/6）亮相自家超級電腦「北榮一號雲」，由4節點共32片A100 GPU組成，要來加速北榮的精準醫療和智慧醫療發展，如基因序列資料分析、數位病理和智能藥物開發等。同時，北榮一號雲還用來訓練醫院專屬的大型語言模型（LLM），要在安全環境中，提供生成式AI應用給醫院使用者。接下來，他們將視超級電腦算力用量，來持續擴充。另一方面，臺北榮總也揭露其他智慧醫療成果，如啟用智慧科技加護病房、重粒子中心完成100例患者治療，以及達文西手術累積完成5,000例。</p> <p><span style="font-size:24px;"><strong>參考Nvidia DGX A100架構，自建4節點超級電腦</strong></span></p> <p>臺北榮總資訊室主任郭振宗表示，北榮一號雲的建置，參考了Nvidia的AI超級電腦DGX A100架構，由4節點共32張A100 GPU、NVLink和超高速網路交換器組成，是一套能提供強大算力的叢集運算平臺，來加速北榮精準醫療和智慧醫療發展，包括疾病預後預測、基因序列資料分析、數位病理診斷、智能藥物開發、術前模擬、自然語言處理或語音平臺建置，甚至還有AR／VR的3D模型訓練等領域。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8C%97%E6%A6%AE%E8%B6%85%E7%B4%9A%E9%9B%BB%E8%85%A6.jpg" /><br /> 北榮一號雲。圖片來源：臺北榮總</p> </blockquote> <p>同時，北榮還有全方位的資料中心、創新的運算架構和多功能軟體工具，來一起推動發展時下熱門的新技術應用，如生成式AI和LLM在醫學領域的創新應用，要來提高診斷精確性，還要加快各種疾病的個人化治療策略制定。郭振宗補充，未來北榮將視超級電腦的算力用量，超過80%就會展開擴充工作，再添新主機來提高算力。</p> <p><span style="font-size:24px;"><strong>啟用智慧科技加護病房、重粒子中心完成100例患者治療</strong></span></p> <p>除了算力進展，北榮也在昨日啟用智慧科技加護病房，來因應未來新興傳染病。這是北榮投資將近1億元新建的15間智慧負壓隔離加護病床，位於科技大樓，能與主要的住院大樓分艙分流。</p> <p>他們還在病房中導入商用和自行研發的多種科技應用，包括AI防護衣穿脫魔鏡、溼洗手監測系統，以及能進行影像監視與呼吸器遠端調控的衛星護理站，以利於傳染病照護。此外，他們設置智慧電視與三方視訊系統，同時導入機器人來協助護理師傳送物資、減少人員暴觸風險。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E9%98%B2%E8%AD%B7%E8%A1%A3%E7%A9%BF%E8%84%AB%E9%AD%94%E9%8F%A1.jpg" /></p> <p>AI防護衣穿脫魔鏡，可用來協助醫護穿脫防護衣。圖片來源：臺北榮總</p> </blockquote> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A7%91%E6%8A%80%E5%8A%A0%E8%AD%B7%E7%97%85%E6%88%BF%E5%90%84%E7%97%85%E5%AE%A4%E5%A4%96%E8%A1%9B%E6%98%9F%E8%AD%B7%E7%90%86%E7%AB%99.jpg" /></p> <p>科技加護病房各病室外衛星護理站。圖片來源：臺北榮總</p> </blockquote> <p>這些病房可在疫情發生時，提供最高防疫標準的負壓隔離重症治療，平時則可作為一般呼吸系統重症加護病房，達到「病毒擋得住、訊號出得來、治療進得去、夥伴找得到、家屬看得見」的目標，大幅提高重症醫療照護品質。</p> <p>另一方面，北榮還揭露，在今年5月15日正式營運的重粒子中心，至12月5日已服務了100例病患治療，包括本來被認為無法治療的胰臟癌，經重粒子治療後和化療後已可手術切除，其他如攝護腺癌、肺癌、肝癌、骨肉癌、頭頸癌、婦科癌症等癌症治療也獲得病人極高滿意度。北榮指出，治療過程順利且病人復原良好，目前持續追蹤治療成效中，也有多人在等候重粒子中心治療。</p> <p>北榮還有一項成就是完成了5,000例達文西手術，其中許多案例是困難的癌症手術，如胰臟癌、壺腹周圍癌和腎臟癌部份腎臟切除，北榮的達文西手術病例數都居全國之冠。</p> <p></p> </div></div></div>
2023/12/7 15:22作者王若樸https://www.ithome.com.tw/news/160207
Google與蘋果證實各國政府可向它們請求來自App的推播通知內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你知道行動程式的推播通知必須藉由行動平臺發送嗎？<a href="https://www.wyden.senate.gov/imo/media/doc/wyden_smartphone_push_notification_surveillance_letter.pdf" target="_blank">美國參議員Ron Wyden本周寄出一封信件</a>予美國司法部（Department of Justice，DOJ），要求DOJ批准蘋果及Google透明化各國政府對使用者行動推播通知（Mobile Push Notification）的請求數據，才令外界得知原來連通知都可以被監控，且蘋果與Google也已對外證實了此事。</p> <p>Wyden說，他的辦公室在2022年收到了一個消息，顯示許多國外的政府機構向蘋果與Google提出調用智慧型手機推播通知紀綠的請求，於是展開調查，結果發現原來是美國政府禁止業者公布相關的資料請求。</p> <p>推播通知為一行動程式用來提醒使用者的功能，例如收到新訊息或是更新了新聞，不過，它們並非直接由程式開發者送至手機上，而是需要透過行動作業系統上的服務來遞送，像是蘋果的Push Notification Service，或是Google的Firebase Cloud Messaging，意味著蘋果與Google在此一程序中扮演了仲介的角色。</p> <p>Wyden指出，如同蘋果與Google所儲存的其它各種用戶資料，各國政府可能會要求業者提供使用者的推播通知紀錄，另一方面，開發者並沒有太多選擇，因為如果想要可靠地送通知予使用者，就必須透過蘋果或Google的平臺。而業者所能提供的紀錄則包括元資料、哪款程式在何時所傳送的通知、通知內容，以及與該通知有關的蘋果/Google帳號。</p> <p><a href="https://techcrunch.com/2023/12/06/us-senator-warns-governments-spying-apple-google-smartphone-users-via-push-notifications/" target="_blank">《TechCrunch》</a>取得了蘋果與Google的回應，其中，蘋果表示，過去美國聯邦政府禁止該公司對外分享相關資訊，但如今此一方法已被公開，未來將會更新其透明度報告並揭露相關的資訊請求。Google則說，它們是第一家出版透明度報告的大型業者，揭露政府所請求的各種使用者資料，包括Wyden所提的資料在內。</p> <p>總之，Wyden認為，蘋果與Google應該被允許透明化它們所收到的法律請求，特別是來自外國政府的請求，就像它們過去會在收到政府請求時通知使用者一樣。</p> </div></div></div>
2023/12/7 15:51作者陳曉莉https://www.ithome.com.tw/news/160209
歐盟投入12億歐元支援推動雲端及邊緣運算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_6246" target="_blank">歐盟周三（12/6）宣布</a>將投入12億歐元，協同民間業者打造歐洲自有的雲端基礎架構及邊緣運算技術，以推動歐盟國家資料安全、以及實現綠色運算。</p> <p>歐盟在重要共同利益專案（Important Project of Common European Interest，IPCEI）下通過的最新專案，也是IPCEI雲端及邊緣運算領域的第一項計畫，名為IPCEI次世代雲端基礎架構及服務（IPCEI CIS），由7個會員國包括法、德、匈牙利、義大利、荷蘭、波蘭及西班牙共同參與。IPCEI CIS目的在發展歐盟第一個共通及可開放存取的資料處理架構，可相容多種民間雲端及邊緣資料處理技術及服務。</p> <p>除了歐盟會員國政府出資的12億公共基金外，IPCEI CIS也預計尋求民間企業投入14億歐元，參與廠商有中小型企業19家。參與這項技術的業者將分別負責19項創新計畫，分別落在4個分群（workstream），包括雲端－邊緣連續體基礎架構、雲端－邊緣能力、進階智慧資料運算工具及服務、以及進階應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-IPCEI%20CIS-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-European%20Commission.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／歐盟執委會（European Commission）</span></span></p> <p>參與廠商的任務將是開發開源軟體以執行即時、低延遲性（僅幾毫秒內）的邊緣運算服務，藉此減少由集中化伺服器傳送大量資料所需的運算資源。每項計畫都要包含整個邊緣運算堆疊，包括基礎架構軟體、協助設立雲端/邊緣系統的共通參考架構、可部署於各網路之上的進階雲端及邊緣服務，以及產業別應用，如能源、健康或軍事業。集結所有計畫，這些業者將開發第一個全歐盟的多廠商雲端到邊緣全方位服務。</p> <p><a href="https://www.theregister.com/2023/12/06/europe_cloud_project_funding/" target="_blank">The Register分析</a>，透過在歐盟打造雲端基礎架構，有助支持歐洲業者以及減少資料跨洲（特別是到北美）儲存產生的資料與隱私風險。</p> <p>這些廠商包括德國SAP、法國Orange電信與系統整合商Atos、德意志電信、西門子，以及義大利、波蘭及西班牙業者等。</p> <p>這些計畫將在2023到2031年之間開發及首次部署，詳細時程依各專案而定。第一個IPCEI預定在2027年底完成，也可望創造1000個以上直接或間接職位，等商轉後還會再增加。</p> </div></div></div>
2023/12/7 12:37作者林妍溱https://www.ithome.com.tw/news/160204
蘋果公布Apple Silicon平臺專用AI框架MLX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在微軟及英特爾等業者大肆宣傳AI PC概念的同時，向來較沈默的蘋果也公布執行在Apple Silicon平臺的AI框架MLX。</p> <p><a href="https://ml-explore.github.io/mlx/build/html/index.html" target="_blank">根據蘋果在GitHub資源網頁上的說明</a>，MLX是蘋果機器學習研究中心的開發成果，它是類似Python常用框架之一NumPy的陣列框架，目的在Apple Silicon平臺上高效率而彈性地執行機器學習。</p> <p>蘋果指出，MLX的設計靈感來自PyTorch、Jax及ArrayFire等框架，MLX和這些框架最大差別在於「統合記憶體模型」。MLX陣列是位於共享記憶體中，因此可以執行在任何支援的裝置上，而無需複製資料。目前支援的裝置類型為CPU和GPU。</p> <p>蘋果說，Python API和NumPy十分相似，MLX有功能完整的C++ API，後者也和Python API相近。MLX和NumPy只有幾處不同，MLX和NumPy主要差別有三（意思是相較NumPy的優點）。一是在自動微分、自動矢量化及運算圖表（computation graph）優化具有可組合函式轉換（composable function transformation），二是MLX的運算為惰性求值（lazy computation），第三則是多裝置支援，可在「支援的CPU、GPU」上執行運算。</p> <p>現在開發人員已可以在<a href="https://ml-explore.github.io/mlx/build/html/index.html" target="_blank">GitHub網頁</a>下載，該網頁也提供相關指引及文件。</p> </div></div></div>
2023/12/7 12:48作者林妍溱https://www.ithome.com.tw/news/160205
Google發表Cloud TPU v5p與超級電腦架構AI Hypercomputer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/products/ai-machine-learning/introducing-cloud-tpu-v5p-and-ai-hypercomputer/" target="_blank">Google周四（12/7）發表</a>了新的張量處理器（Tensor Processing Unit）Cloud TPU v5p、超級電腦架構AI Hypercomputer，以及資源管理工具<a href="https://cloud.google.com/blog/products/compute/introducing-dynamic-workload-scheduler" target="_blank">Dynamic Workload Scheduler</a>，以協助組織執行與處理AI任務。</p> <p>Google甫於今年11月推出Cloud TPU v5e，再於本周發表Cloud TPU v5p，前者強調的是成本效益，後者號稱是迄今最強大的TPU。每個TPU v5p pod具備8,960個晶片，晶片間的互連速度達4,800 Gbps，相較於上一代的TPU v4，Cloud TPU v5p提供了2倍的FLOPS與3倍的高頻寬記憶體（HBM）。</p> <p>由於Cloud TPU v5p是效能取向，因此在訓練大型LLM模型時的速度，比TPU v4快了2.8倍，在第二代 SparseCores的助益下，TPU v5p訓練嵌入式密集模型的速度，也比TPU v4快了1.9倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-Google%20cloud-Cloud%20TPU%20v5-600-1.jpg" style="width: 600px;" /></p> <p>至於AI Hypercomputer則是個超級電腦架構，它整合了最佳化效能的硬體、開源軟體、主要的各種機器學習框架，以及靈活的消費模式。Google解釋，傳統上通常藉由強化分散的元件來處理嚴苛要求的AI任務，然而，AI Hypercomputer則是利用系統上的協同設計來提高AI在訓練、微調與服務上的效率及生產力。</p> <p>在硬體效能的最佳化上，AI Hypercomputer具備基於超大規模資料中心基礎設施在運算、儲存與網路設備的最佳化設計；亦允許開發者透過開源軟體來存取相關硬體，以微調與管理AI任務，包括支援JAX、TensorFlow與PyTorch等機器學習框架，以及Multislice Training與Multihost Inferencing等軟體，並深度整合了Google Kubernetes Engine（GKE）與Google Compute Engine。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1207-Google%20AI%20Hypercomputer.png" style="width: 600px;" /></p> <p>AI Hypercomputer提供了更靈活的消費模式，除了特定用量的折扣（Committed Use Discounts，CUD），以及隨選（On-Demand）與競價（Spot）之外，AI Hypercomputer也藉由全新的Dynamic Workload Scheduler，來提供專為AI任務設計的兩種消費模式，Flex Start與Calendar。</p> <p>Dynamic Workload Scheduler為一資源管理及任務調度平臺，它支援Cloud TPU與Nvidia GPU，可同時調度所需的所有加速器來協助用戶最佳化支出。其中的Flex Start主要用來微調模型、實驗、較短的訓練任務、蒸餾、離線推理及批次任務，並在準備執行請求GPU與TPU容量，是一種相對經濟的選擇。</p> <p>而Calendar模式則可替AI任務預留開始時間，適用於需要精確開始時間，與特定持續期間的訓練及實驗性任務，可於此一固定時間的區域中請求GPU容量，所持續的期間可以是7天或14天，最早可提前8周購買。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google Cloud</span></span></p> </div></div></div>
2023/12/7 13:17作者陳曉莉https://www.ithome.com.tw/news/160206
Google強化Android虛擬化支援與安全性，推出AVF工具包簡化隔離應用開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Android 13首次引入的Android虛擬化框架（Android Virtualization Framework，AVF），現在將在更多的Android 14裝置上<a href="https://android-developers.googleblog.com/2023/12/virtual-machines-as-core-android-primitive.html">提供</a>。在Android 14中，Google還新增了一套新的工具包，讓開發者能夠更好地使用AVF及其元件。</p> <p>Google由於要強化Android裝置的安全性，因此在Android 13加入了AVF。AVF是一個在Android裝置上執行虛擬機器的技術，該架構的主要作用是隔離應用程式與系統之間的資料和操作，AVF讓虛擬機器成為Android作業系統的核心元件，類似Android利用Linux程序的方式。</p> <p>AVF提供單向隔離與雙向隔離兩種隔離等級，單向隔離讓Android系統可以控制和檢查虛擬機器中的內容，最常用於沙盒（Sandboxing）與分離（Separation）技術，使多個作業系統能夠在單一裝置上運作，並由Android控制和監視其他所有作業系統主機。而雙向隔離則是指Android和虛擬機器（Isolated VM）彼此完全隔離，隔離的虛擬機器將可用於處理或是儲存敏感資料，由於Android和虛擬機器都無法相互存取，因此需要透過特定通道才能溝通。</p> <p>在部分情況，AVF成了可替代Android Trustzone的機制，TrustZone是一種在Arm架構處理器上實現的安全技術，提供了安全的執行環境與硬體層級的隔離保護。而Google表示，運用AVF的雙向隔離，開發者可以在Android中執行需要隔離，但是不需要提升特權的用例。也就是說，AVF提供的隔離虛擬機器可以在不增加系統特權的情況下，對應用程式資料進行安全隔離，這樣的隔離機制特別適用於保護敏感資料和執行重要操作。</p> <p>AVF還具有可移植性的優勢，Google提到，虛擬機器和其中執行的應用程式，比可信任小程式（Trusted Applet）還更具可移植性，官方舉例，具有Linux應用程式負載的Linux虛擬機器，能夠在所有支援AVF裝置上的執行。這代表開發者只需要建置一次應用程式，就能夠部署到其他地方，這與移植到Trustzone作業系統相比，藉由虛擬機器的方式，還可以簡單地移植現有Linux應用程式。</p> <p>在效能方面，AVF設計上講究高效且靈活，虛擬機器可以非常迷你，小至單獨的C程式，也可以大到作業系統規模，虛擬機器可以根據需求設計成持續或是間歇運作，也能根據整體系統健康狀態和資源分配，並遵守Android調度提示和低記憶體警告，與作業系統良好地協作。</p> <p>Google在Android 14擴大AVF的可用性，讓AVF能夠在更多的裝置上可用，同時對AVF開了Android系統API，允許特權應用程式使用虛擬機器，執行需要隔離的重要工作負載。開發者也可以透過虛擬機器管理程式DevEx工具包，追蹤監控虛擬機器的運作，更方便地進行除錯。</p> <p>Google的合作夥伴也可以使用虛擬機器管理程式供應商模組，自訂Google虛擬機器管理程式（pKVM）滿足特定需求。AVF在Android 14的運作效能也更好，基於microdroid的虛擬機器啟動速度是Android 13的2倍，記憶體使用只有一半，能夠更好地支援特權應用程式和平臺開發。</p> </div></div></div>
2023/12/7 08:21作者李建興https://www.ithome.com.tw/news/160189
Cisco推AI助理簡化防火牆規則管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科（Cisco）<a href="https://blogs.cisco.com/security/give-your-firewall-admins-superpowers-with-cisco-ai-assistant-for-security">推出</a>資安用人工智慧助理（Cisco AI Assistant for Security），要透過運用人工智慧技術，強化企業防火牆管理，其功能包括進行自動化規則配置，並協助用戶分析和決策，提高資安團隊的效率與生產力。</p> <p>企業防火牆用於保護網路免受惡意流量侵害，但是資安人員在管理防火牆規則，卻存在很大的挑戰，Cisco提到，普通防火牆就有數千條規則管理和處理流量，其中許多規則過時、冗餘甚至是矛盾。管理防火牆規則的挑戰不僅是複雜性的問題，同時也存在安全風險。</p> <p>Cisco試圖借助大型語言模型解決防火牆規則管理挑戰，提供生成式人工智慧助理，供用戶以自然語言操作防火牆。Cisco人工智慧助理具多樣化功能，主要是在Cisco雲端防火牆管理中心與Cisco Defense Orchestrator（CDO）發揮作用，解決設定和維護複雜政策和防火牆規則的挑戰。</p> <p class="rtecenter"><img alt="" src="https://storage.googleapis.com/blogs-images/ciscoblogs/1/2023/12/firewall_ai_assistant_policy_anaysis_optimization_screenshot.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_思科</span></span></p> <p>資安團隊現在可以使用自然語言來發現政策，並且快速獲得規則建議，Cisco人工智慧助理可以消除重複規則、錯誤配置的政策，並簡化複雜的工作流程，加速故障排除和防火牆配置工作。使用情境包括快速解決防火牆的資安事件，像是當資安團隊發現特定應用程式出現疑似資料外洩的可疑活動，想要阻擋該應用程式所有流出流量，便可以透過Cisco人工智慧助理查詢現有防火牆規則，並且獲得規則建議，以阻擋該應用程式流出流量。</p> <p>官方還舉例，當特定防火牆規則引擎因未知原因不斷重新啟動，則Cisco人工智慧助理可以偵測相關問題並且推薦解決步驟，像是提供更新漏洞資料庫等建議。由於Cisco人工智慧助理採取主動故障排除行動，不只降低資安團隊需要搜尋文件的麻煩，也減少尋求原廠協助的時間。</p> <p>此外，Cisco還<a href="https://investor.cisco.com/news/news-details/2023/Cisco-Redefines-Cybersecurity-Defense-with-Powerful-Portfolio-Wide-Artificial-Intelligence-Capabilities/default.aspx">推出</a>可用於所有防火牆模型，採用人工智慧技術的加密能見度引擎。官方提到，現在所有資料中心的流量皆加密，因此防火牆無法檢查加密流量成為一個重要的資安問題。而且解密流量檢查內容，又存在操作、隱私和法遵問題。而加密能見度引擎的人工智慧技術，經過數十億個樣本訓練，不需要解密流量，就可以判斷流量是由哪一個作業系統以及客戶端應用程式產生，進而直接從加密流量發現惡意軟體傳輸。</p> </div></div></div>
2023/12/7 08:29作者李建興https://www.ithome.com.tw/news/160195
思科推出Cisco AI Assistant，防火牆安全管理先行，用生成式AI幫助企業人員做好資安防禦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【澳洲墨爾本現場報導】今年生成式AI技術的爆發，無疑是全球最關注的焦點，這一年內，開始有多家科技大廠積極應用，尤其是在幫助資安工作的面向，包括微軟與Google等公司，而思科也不例外。</p> <p>思科亞太區年度用戶大會Cisco Live!今日（12月6日）於澳洲墨爾本市召開，為期兩天，當中最受關注的議題是推動生成式AI驅動的安全，早先他們曾透露有這樣的發展，到了今日上午的主題演講給出更具體的答案。</p> <h2><strong>思科宣布推出全新Cisco AI Assistant</strong></h2> <p>在第一天的大會上，思科執行副總裁暨網路安全及協作業務總經理Jeetu Patel說明這方面的最新發展，他們推出了全新的Cisco AI Assistant，可幫助用戶在網路安全的使用操作上，透過AI助手來幫助人員工作。</p> <p>這樣的生成式AI，對思科現有產品用戶有何效益？Jeetu Patel向大家示範這項AI助手的功能特色。</p> <p>首先，在思科防火牆管理中心（Cisco Firewall Management Center）的情境之下，Cisco AI Assistant提供一個有如ChatGPT的介面，下方會有對話輸入框讓使用者提問。</p> <p>例如，當你提問：「我需要更新我們的防火牆政策。目前有哪些規則設置是控制SalesApp？」這個AI Assistant將會列出相關規則與狀態，當你繼續再輸入：「新增一個名為Application_Access的規則，阻止從SalesApp發出的對外流量。」這時，AI Assistant除了給出具體建議，同時還會反問使用者，是否要建立這條規則，並給出「Yes」與「No」的選項按鈕。一旦你點擊「Yes」，新的防火牆規則就自動成功建立。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）Cisco Live Melbourne_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Cisco%20Live%20Melbourne_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）Cisco Live Melbourne_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Cisco%20Live%20Melbourne_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖3）Cisco Live Melbourne_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89Cisco%20Live%20Melbourne_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 295px;" /></a></p> <p>不僅如此，AI Assistant也會主動提供建議。例如，跳出一個關於規則分析與優化的通知訊息，當中告訴你已掃描到多少條防火牆規則，並指出有重複的規則，同時還給出「停用全部」或「刪除全部」的建議處置動作。一旦你點擊「停用全部」，還會接續問你，是否要將此規則部署到相關裝置。</p> <p>從上述的一來一往的互動過程中，我們可以看到這樣的AI助手顯然可讓網管或資安人員更專注在資訊判斷上，並且能以自然語言進行溝通，透過更主動、簡便的文字交談，協助人員完成原本複雜的工作流程。</p> <p>還有哪些產品也能應用Cisco AI Assistant？不只是防火牆產品，在Cisco現場簡報畫面中，我們還看到在Webex Control Hub的管理介面，以及Cisco Observability Platform的介面，也都將有Cisco AI Assistant的身影。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）Cisco Live Melbourne_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89Cisco%20Live%20Melbourne_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>以Webex Control Hub而言，你可以查詢過去與同事的會議細節，AI助手將能提供相關會議連結，並將該同事發言的片段標示出來，若是你進一步詢問網路路徑，AI助手也能提供由思科網路監控產品ThousandEyes的資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）Cisco Live Melbourne_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89Cisco%20Live%20Melbourne_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>以Cisco Observability Platform而言，你可以詢問某應用程式的效能，或是檢視相關Pod的排程，AI助手可以提供相關圖表報告，或給出進一步建議資訊。</p> <p>顯然，用生成式AI幫助資安工作已經成為主流，Jeetu Patel在大會上也明確指出這樣的態勢。而現場這些展示，也顯現出思科正在利用生成式AI來幫助簡化操作，以及增強使用者體驗。</p> <h2><strong>持續強化AI資安、多種安全技術整合，以及SSE與零信任網路應用</strong></h2> <p>面對不斷演進的威脅態勢，在這場會議中，思科也說明了他們近期在資安產品面的一些重要進展，我們主要重視的焦點有3項。</p> <p>首先，不只是前述提到思科在生成式AI的資安應用，可為全球企業面對資安人力或專業不足的現況帶來幫助，在其他使用AI技術幫助資安的發展上，思科特別提到近期有一項已實現的目標，就是針對加密流量無法檢測的隱憂，如何用AI發現藏匿其中的資安威脅，如今他們已經提供網路加密透視引擎（Encrypted Visibility Engine，EVE），可借助AI技術且無須額外解密的方式，來辨別加密流量是否正在傳輸惡意程式，分辨流量來自哪個系統及客戶端應用程式。</p> <p>其次，Jeetu Patel提到思科三個月前新發表了XDR的解決方案，由於今年9月，思科宣布買下大數據資安業者Splunk，成為今年資安圈中最受矚目的併購消息，也創下思科併購史上的新紀錄。因此，我們對於思科XDR與Splunk是否將有更多互相搭配與整合，也感到好奇。</p> <p>對此，Jeetu Patel在會後接受我們採訪時表示，目前他還不能夠透露太多，主要是還在併購階段，但他認為，不只是思科旗下的威脅情報組織Talos，在SIEM、SOAR、UEBA與XDR的這些技術搭配之下，將可以更進一步幫助企業及早發現威脅。</p> <p>第三，關於今年6月Cisco Live! US大會揭露的思科安全服務邊緣（SSE）解決方案Cisco Secure Access，以及思科在零信任網路安全上的發展，思科SSE團隊產品管理副總經理Jeff Scheaffer表示，思科遵循零信任原則來實現安全存取，對於思科而言，簡單來說，SD-WAN加上雲端安全SSE，就是所謂的SASE，而SSE的重要性也相當明顯，將幫助用戶從VPN登入遷移到ZTNA環境。此外，此應用最重要的精髓在於，要讓使用者「無感」，讓使用者不會刻意察覺到安全登入的存在。</p> <p>綜觀思科的種種進展，已顯現出該公司在資安產品方面有更積極的態勢。事實上，過去，思科在資安上的布局已經很多年，除了網路設備、防火牆與視訊會議軟硬體相當廣為知名，還有像是該公司很早就併購了IronPort，進而演變為Cisco Email Security與Cisco Web Security，以及併購Sourcefire後所演變出的AMP for Endpoints，到了近年，還有2018年併購雙因素驗證服務供應商Duo Security。如今，我們可以看到思科的資安產品線，所涉及的領域，確實已經是越來越廣。</p> </div></div></div>
2023/12/6 23:00作者羅正漢https://www.ithome.com.tw/news/160194
GPT-4V最強對手來了，Google多模態Gemini模型登場，手機不連網也能從錄音檔摘要會議紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正式推出了原生多模態的大型語言模型Gemini，可以同時支援文字、圖片和影音的輸入。在32項AI測試中，有30項的評分超越了OpenAI的GPT-4V。Google執行長Sundar Pichai強調，Gemini是Google有史以來最強大也是最通用的模型。Gemini預計推出三種版本，包括了模型最大的Ultra版、通用性最廣的Pro版，以及可以在手機裝置上運作的Nano版。</p> <p>Google展示了一段讓人驚訝的實測影片，來呈現Gemini多模態的回答能力，讓Gemini一邊看著（輸入）影片來解讀影片中畫面的內容。例如Gemini可以一邊解讀影片中，展示人員用手即時畫圖過程，每一個動作所對應的意義，這是隻鴨子，現在在水上游泳，有藍色外觀。當展示人員拿出實體玩具鴨子按壓發生聲音時，AI甚至打趣的說，真的拿出了呱呱叫的鴨子，AI還能糾正展示人員對於「鴨子」中文發音的重音位置錯誤。 AI能分辨人手勢代表的意義，也能分辨不同物體的異同，例如都是食物，或都是圓體。看影片還能推理出哪個杯子藏了硬幣，彷彿就像人邊看影片邊解說的行為。</p> <p>Gemini可以同時分辨和理解文字、圖片和聲音，也可以用來分辨和解釋幾種熱門開發語言，包括Python、Java、C++和Go語言，可以理解跨開發語言來推論複雜訊息。Google也用了Gemini打造了新版的程式碼生成系統AlphaCode 2，比2年前的第一代改進很多，可以解決兩倍的問題。</p> <p>Gemini使用了Google自行開發的晶片TPU訓練而成，而且使中了v4和v5e版TPU。Google同時宣布了新版TPU v5p，可用來加速Gemini模型的開發，供企業用來客製化訓練自己的LLM模型。TPU v5p單一叢集可支援到8,960顆TPU，和TPU v4相比，能夠提供2倍FLOPS的算力，記憶體頻寬也提高了3倍。</p> <p>Google目前先在Bard中使用一個微調過的Gemini Pro版本，可提供推理和計畫的回答能力。目前先釋出英語版，可再全球170個國家和地區使用，預計近期會支援更多語言。</p> <p>Gemini另一個新特色是推出了一款可以在手機上執行的Nano版Gemini模型，Google表示，甚至不需要連上網路，單靠手機上的TPU晶片也能運作，目前先支援Pixel系列手機，Pixel 8 Pro手機會是第一款。不需要連上網路，也能在手機上用Gemini來整理會議錄音檔的開會摘要內容。Nano版Gemini另外也會先用來強化Gboard的自動語音回覆輸入能力，將率先支援WhatsApp的輸入，明年計畫支援更多App。</p> <p>Google透露，目前Gemini Nano只能支援TPU晶片，未來希望能進一步跨大支援到其他手機上的AI晶片，來擴大可支援的手機類型，但Google沒有透露時間表。</p> <p>Bard從今天（12/6）已經開始使用Gemini Pro來提供回答，而Google預計從12月13日開始，在GCP Vertex AI或Google AI Studio上，開放企業透過APi存取Gemini Pro模型。</p> <p>Google目前正在進行Ultra版的信任和安全測試，包括採取外部紅隊演練，與使用RLHF進行模型優化。目前將挑選特定企業用戶或開發者進行Ultra版試用，預計明年初可以正式推出Ultra版，也會同步推出採用Ultra版的Bard進階版。不過，Google沒有透露Ultra版更明確的釋出時間。</p> <p>雖然Nano版可以離線在手機上執行，目前，企業只能透過API存取雲端Gemini模型來使用，Google沒有透露，是否未來會提供落地在企業內部部署執行的Gemini版本。</p> <p> </p> </div></div></div>
2023/12/6 23:02作者王宏仁https://www.ithome.com.tw/news/160193
資安院推動「NICS臺灣資安計畫」，為三千家中小企業和非營利組織資安扎根
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative; left: -7px; top: -9px;"> <div id="haloword-title"> <p>臺灣的中小企業企業數量超過一百萬家，加上許多資源不足的非營利組織（NPO），都是相對缺乏資源投入資安防護的企業。因為為數眾多的中小企業與非政府組織，是臺灣創新的重要動力，為了確保這些中小型企業的資訊安全，數位發展部所屬行政法人資通安全研究院（簡稱資安院）日前接受Google旗下慈善組織Google.org的一百萬美元捐贈，將推動為期兩年的「NICS臺灣資安計畫」，藉由培訓更多資安教練，為臺灣中小企業和非政府組織的資安扎根。</p> <p>中小企業和許多非營利組織是臺灣重要的創新動力，但因為資源不足，對於資安防護能力，相對於其他中大型企業顯得更弱。資安院院長何全德表示，資安院成立最重要任務之一就是人才培育，這次推動的「NICS臺灣資安計畫」，不僅要產出十份以上的教材，也要培育五十名以上的種子教師，和訓練二百名以上的學生成為諮詢人員，並協助至少三千家中小企業和非營利組織做好資安防護的工作。</p> <h3><span style="color:#FF0000;"><strong>Google.org以公益方式捐贈一百萬美元，支持臺灣資安計畫</strong></span></h3> <p>Google臺灣總經理林雅芳表示，Google5年前推出「智慧臺灣」的計畫之後，也希望能夠持續地把全世界相關的資源引進臺灣，以滿足臺灣的需要。</p> <p>舉例而言，關於各界關切的假訊息防護部分，林雅芳說，Google.org也和臺灣的「事實查核中心」合作打擊假訊息，除了在媒體事務上面的賦能，也推動相關的教育工作，像是透過學校和社區大學培養相關種子教師，協助臺灣民眾提升數位素養。</p> <p>她指出，臺灣是Google在全球少數打造實體資料中心和雲端中心的地方，也投資四條連結到臺灣的跨國海底電纜，對於相關的網路基礎建設和各種雲端服務的安全性，都必須做到最高規格的安全和備援機制，也要加強網路基礎建設的數位韌性，而資安更是數位韌性中非常重要的環節。</p> <p>林雅芳表示，Google.org透過捐助經費的方式，協助資安院推出NICS臺灣資安計畫，不只是協助強化臺灣的資訊安全，也要和臺灣各界一起建構一個永續安全的網路生態系。</p> <p>行政院副院長兼資安長鄭文燦表示，Google.org以公益方式支持臺灣資安計畫，這次鎖定對象以中小企業、微型企業和非營利組織為主，要協助上述單位組織提高資安防護等級，不只要做到資安在地化，還要做到實用化和套裝化。</p> <p>他指出，中小、微型企業相較大企業更容易受到網路攻擊、遭到損害，最基本的零信任架構和多因素認證（MFA）也無法齊備，加上有越來越多政府和民間企業發生個資外洩事件，資安院協同刑事局扮演威脅追蹤診斷的角色，代表整體社會資安意識提高，而數位部下設的資安院，更從資安培力、人才養成、技術生根、資安產業成形等層面努力，其中，數位韌性和數位永續更是面對淨零轉型和數位轉型中的兩大挑戰。</p> <h3><span style="color:#FF0000;"><strong>亞太區面臨更多網路攻擊，資安人才缺口大</strong></span></h3> <p>Google臺灣政府事務及公共政策副總經理陳幼臻表示，亞太區面臨的資安挑戰特別嚴峻，根據一份數據顯示，2022年全世界網路攻擊中，亞太區就占了31％，比歐美和全球其他區域都高。</p> <p>而Google面對亞太區的資安挑戰，則會透過三個面向協助亞太區的國家，包括：培育更多人才、分享更多資源和幫助更多的單位。在人才部分，她引述ISC2的調查，亞太區網路安全人才缺口高達267萬人，為了縮小這樣的缺口，Google也推出Google Cyber Security Certificate，提供為期六個月的線上課程，取得證書後，就可以投入相關的網路安全的工作領域。</p> <p>第二個是所謂資源的分享，陳幼臻表示，透過相互分享情報和資源，可以讓整個網路世界更安全。所以Google在2020年提出了軟體供應鏈安全框架（SLSA），這是一個安全指引，讓開發人員在開發軟體的時候，所有用的工具都是安全的。此外，因應AI的發展越來越快，Google也在今年6月，推出AI安全框架</p> <p>（Security AI Framework），主要是能夠確保AI產品的安全性，除了確保產品的組成都是安全以外，同時用這個工具可以指出 AI 系統最容易遭遇到攻擊的漏洞在哪裡。她說，Google希望這樣的產品可以讓產官學界都能夠使用，確保AI的發展能夠做到持續安全的為大家帶來更多的幫助。</p> <p>陳幼臻指出，Google注意到，在中小規模的機構往往沒有足夠的資安防護資源，</p> <p>特別在亞太區，遭受到資安的攻擊比例，比美洲或者是歐洲還高，因此，希望跟更多的非營利組織合作，協助增加這些機構的數位韌性。</p> <p>因此 Google.org今年在亞太區提供1,500萬美金給亞洲基金會（Asia Foundation），希望在亞太區服務30萬個資源比較不足的中小企業、非營利組織以及社會企業等，訓練在地的資安人才。</p> <p>她說，類似的資源這次也帶到了臺灣，提供安全的產品跟服務之餘，也希望訓練更多的種子教師、培育更多的資安人才，同時提供像資安健檢等協助，持續協助的更多單位。這個動機也促成Google.org決定在今年投入100萬美元給臺灣資安院，推動為期兩年的臺灣資安計畫，持續協助中小型企業及微型企業和非營利組織，加強他們的資安能力、提升臺灣的數位韌性，擴大臺灣的資安資源、培育更多的資安人才，建構安全且永續的資安生態系。</p> <h3><span style="color:#FF0000;"><strong>為期兩年，培訓二百位種子教師服務三千家組織</strong></span></h3> <p>數位發展部部長唐鳳表示，臺灣資安計畫是資安院成立以來，首度與國際單位合作的計畫，會透過教材和訓練種子教師的方式，為臺灣中小企業、微型企業和非政府組織等單位，帶來資安意識和升級資安技術，持續推動全民數位韌性，並感謝資安院同仁主動爭取、掌握提案機會，才能有臺灣資安計畫。</p> <p>她說，數位部在11月，經過公開徵選，選出80個在地組織、在全臺灣19個縣市成立數位服務據點，作為提供在地民眾諮詢以及資安宣導的據點，她認為，在地的資安也會跟數位服務據點達到相輔相成的目標。</p> <p>何全德指出，資安院成立後最重要的任務之一就是人才培育，有人才、有技術，才能把事情做好。所以，這次接受Google.org捐贈一百萬美元的「NICS臺灣資安計畫」，就會鎖定中小企業、微型企業和非營利組織等單位，提供資安防護服務。</p> <p>他進一步解釋，臺灣資安計畫不僅會進行科學的調查分析，了解民間的需求，也會製作大家共用的資訊教材，提供資安服務團的服務，並在臺灣各地培訓更多的資安教練，預計花兩年時間，培養出50名以上種子講師與訓練200名以上的學生成為諮詢人員。</p> <p>何全德認為，這樣的培訓經驗，也希望可以讓臺灣成為亞太區、甚至國際間的重要資安人才培訓基地。</p></div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2023/12/6 19:25作者黃彥棻https://www.ithome.com.tw/news/160192
【資安日報】12月6日，駭客謊稱要修補實際並不存在的漏洞，對WordPress網站管理者進行詐騙，宣稱提供更新散布惡意…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定WordPress網站的攻擊行動不時傳出，大多是針對外掛程式的漏洞而來，藉此入侵網站，並植入惡意程式進行控制，但最近有一起攻擊行動相當不同，駭客將計就計，反過來以此引誘管理者上當，他們謊稱網站有漏洞，要管理者儘快套用「修補程式」。</p> <p>值得留意的是，雖然駭客煞有其事地指出網站漏洞CVE編號，但其實是完全不存在的漏洞，對方也未提供進一步的細節，留下破綻；然而若是網站管理者一時不察，還是很有可能落入圈套，被誘騙安裝惡意軟體。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/fake-wordpress-security-advisory-pushes-backdoor-plugin/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假冒WordPress名義寄送資安公告，意圖推送後門程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2023-45124-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2023-45124-1.png" style="width: 300px; float: right;" /></a>資安業者Wordfence、PatchStack提出警告，他們發現駭客鎖定WordPress網站的管理者，寄送釣魚郵件，聲稱偵測到網站存在漏洞，有可能讓攻擊者遠端執行任意程式碼（RCE），導致網站及使用者的資料外流，呼籲管理者套用CVE-2023-45124的修補程式。</p> <p>收信人若一時不察，未驗證此資訊的可信度，就傻傻地依此指示點選下載外掛程式（Plugin）的按鈕，就會被帶往冒牌WordPress網站en-gb-wordpress[.]org，若是管理者將駭客提供的外掛程式部署於網站上，該外掛程式將會新增惡意管理員帳號wpsecuritypatch，並將網站URL及密碼打包回傳C2，然後於網站植入後門程式wpgate[.]zip，使得駭客能持續控制受害網站。</p> <p>值得留意的是，上述外掛程式會隱匿惡意管理者帳號，網站管理員難以察覺其蹤跡。PatchStack研究人員發現，駭客為了取信網站管理者，在外掛程式的留言區列出了多則假評論，並且將Automattic公司的知名人士列為開發人員。</p> <p>資料來源</p> <p>1. <a href="https://patchstack.com/articles/fake-cve-phishing-campaign-tricks-wordpress-users-to-install-malware/">https://patchstack.com/articles/fake-cve-phishing-campaign-tricks-wordpress-users-to-install-malware/</a><br /> 2. <a href="https://www.wordfence.com/blog/2023/12/psa-fake-cve-2023-45124-phishing-scam-tricks-users-into-installing-backdoor-plugin/">https://www.wordfence.com/blog/2023/12/psa-fake-cve-2023-45124-phishing-scam-tricks-users-into-installing-backdoor-plugin/</a></p> <p><a href="https://therecord.media/florida-water-agency-ransomware-cisa-warning-utilities"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國佛州水務局證實遭遇網路攻擊，疑為國家級駭客所為</span></strong></a></p> <p></p> <p>根據資安新聞網站The Record的報導，美國佛羅里達州自來水公司St. Johns River Water Management District遭到國家級駭客攻擊，其發言人表示他們的IT環境出現可疑活動，他們祭出遏止措施因應，負責監督飲用水的美國佛羅里達州水務局也證實此事。這起事故被發現，是有勒索軟體駭客組織於12月1日聲稱攻擊這家自來水公司，並公布部分竊得資料，但究竟有多少資料流出？仍有待進一步調查。</p> <p>美國水利設施近期遭到攻擊的情況已有數起，其中一起是11月26日傳出賓州阿里奎帕市水務局（MWAA）遭受網路攻擊，伊朗駭客組織Cyber Av3ngers宣稱是他們所為，揚言對所有採用以色列廠商Unitronics可程式化邏輯控制器（PLC）的系統下手；11月29日，駭客組織Daixin Team聲稱攻擊了北德克薩斯市水務局（NTMWD），竊得3.3萬個含有客戶資訊的檔案；12月1日有知情人士透露，美國政府得知多家同樣部署上述廠牌PLC系統的自來水公司，也遭到網路攻擊。</p> <p>資料來源</p> <p>1. <a href="https://therecord.media/florida-water-agency-ransomware-cisa-warning-utilities">https://therecord.media/florida-water-agency-ransomware-cisa-warning-utilities</a><br /> 2. <a href="https://therecord.media/north-texas-water-utility-cyberattack">https://therecord.media/north-texas-water-utility-cyberattack</a><br /> 3. <a href="https://edition.cnn.com/2023/12/01/politics/us-water-utilities-hack/index.html">https://edition.cnn.com/2023/12/01/politics/us-water-utilities-hack/index.html</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/tipalti-investigates-claims-of-data-stolen-in-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國金融科技業者Tipalti傳出遭到勒索軟體駭客組織BlackCat攻擊，外流256 GB資料</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/blackcat-tipalti.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/blackcat-tipalti.jpg" style="width: 300px; float: right;" /></a>上週末勒索軟體駭客組織BlackCat（Alphv）聲稱入侵美國金融科技業者Tipalti，取得256 GB內部資料，這些駭客表明從9月8日就能夠存取多個Tipalti，取得的資料包含了影音串流服務平臺Twitch、線上遊戲業者Roblox等客戶的資料，並揚言週一（12月4日）開市後要向Twitch、Roblox聯繫。</p> <p>對此，Tipalti也於12月4日向資安新聞網站Bleeping Computer提出說明，他們正在著手調查駭客的說法；Roblox發言人表示正與Tipalti合作調查此事，該公司系統並未受到影響，此外，他們也沒有收到駭客的通知。</p> <p>值得留意的是，這次駭客在向受害組織進行勒索之前，先行公布組織名稱，這樣的做法相當不尋常。駭客聲稱這麼做的原因，在於Tipalti的資安險保單並未涵蓋贖金，而且，他們認為該公司不會付錢。這些駭客也打算對Tipalti其他客戶進行勒索，但沒透露掌握那些公司的資料。</p> <p><a href="https://www.cadosecurity.com/p2pinfect-new-variant-targets-mips-devices/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">MIPS架構IoT設備遭殭屍網路P2Pinfect鎖定</span></strong></a></p> <p></p> <p>資安業者Cado揭露最新一波殭屍網路P2Pinfect的攻擊行動，這次駭客鎖定的是採用MIPS架構的物聯網裝置，利用SSH連線存取目標裝置，並透過弱密碼嘗試入侵，得逞後使用SFTP及SCP協定下載MIPS可執行檔案，但研究人員也看到利用名為redis-server的OpenWRT套件散布殭屍網路病毒的情況。</p> <p>研究人員分析該病毒，指出是32位元的ELF可執行檔，但駭客也嵌入了64位元的Windows動態連結程式庫（DLL），目的是用來當作Redis的載入模組，執行Shell命令。</p> <p>這個病毒採用多種躲避分析的手法，例如：針對處理程序執行檔的TracerPid參數進行檢查，找出可能在追蹤惡意軟體的資安工具並予以終止；為了避免留下事件記錄，該病毒使用系統呼叫的方式，停用Linux系統核心的輸出功能，以免記憶體內容讓攻擊活動曝光；至於前述的嵌入DLL檔案，被查出具有迴避虛擬機器（VM）的功能。</p> <p><a href="https://vulncheck.com/blog/go-repojacking"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">GitHub有1.5萬個Go程式套件模組拉警報！存在儲存庫可能遭挾持攻擊的風險</span></strong></a></p> <p></p> <p>今年6月，資安業者Aqua Security提出警告，GitHub多達數百萬個軟體專案可能面臨儲存庫挾持（Repojacking）的威脅，他們呼籲曾經更換儲存庫名稱的企業組織要特別防範，如今有新的調查指出，以Go語言開發的套件模組特別容易成為目標。</p> <p>資安業者VulnCheck針對逾8萬個Go模組的GitHub儲存庫進行調查，結果發現至少有1.5萬個面臨儲存庫挾持的風險，其中有9千個是因為更換了GitHub使用者名稱，6千個是GitHub帳號已經刪除而曝險。</p> <p>研究人員指出，採用Go語言打造的套件特別容易受到這種攻擊，原因是這類套件不像NPM、PyPI有專屬的套件儲存庫，Go開發者大多透過GitHub或Bitbucket進行程式碼管理、版本控制，然而，任何人都有可能使用Go Module Mirror或pkg.go.dev暫存、同步複製這些套件的資料，開發人員一旦變更原本專案的使用者名稱或是刪除GitHub、Bitbucket帳號，導致帳號名稱遭到棄用而被釋放出來，後續攻擊者一旦註冊這個名稱，就能奪得原本被棄用的軟體專案，再進行濫用，例如，上傳新的惡意套件，並透過前述的同步複製系統散布。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.jamf.com/blog/fake-lockdown-mode/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露針對iPhone的新型態攻擊手法，假借啟動封閉模式降低用戶戒心</span></span></strong></a></p> <p></p> <p><a href="https://twitter.com/MsftSecIntel/status/1730383711437283757"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客組織DanaBot透過惡意廣告散布勒索軟體Cactus</span></span></strong></a></p> <p><a href="https://www.securityweek.com/hackers-hijack-industrial-control-system-at-us-water-utility/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"></span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/new-relic-says-hackers-accessed-internal-environment-using-stolen-credentials/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網路基礎設施監控業者New Relic遭遇網路攻擊，駭客透過社交工程手法竊得員工帳密得逞</span></span></strong></a></p> <p></p> <p><a href="https://www.secureworks.com/blog/vidar-infostealer-steals-booking-com-credentials-in-fraud-scam"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借提供操作手冊的名義，對訂房網站Booking.com的用戶散布竊資軟體Vidar</span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/unpatched-loytec-building-automation-flaws-disclosed-2-years-after-discovery/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">台達電旗下大樓自動化業者Loytec控制設備存在漏洞</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160172"><strong>【12月5日】美國航太組織遭到駭客組織AeroBlade鎖定，對其發動兩波攻擊，採用隱匿手法從事網路間諜行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160152"><strong>【12月4日】研究人員揭露竊資軟體Lumma攻擊行動，駭客佯裝金融服務業者寄送發票，將用戶導向不存在的網頁迴避偵測</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160108"><strong>【12月1日】美國賓州水利設施遭伊朗駭客攻擊，CISA呼籲管理者應修改設備預設密碼、採用雙因素驗證，強化基本防護力</strong></a></p> </div></div></div>
2023/12/6 18:18作者周峻佑https://www.ithome.com.tw/news/160190
微軟公布Windows 10的付費延伸安全更新方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Windows 10最後一個版本Windows 10 22H2於2022年10月釋出後，微軟已決定要在2025年10月14日，正式終止Windows 10的生命周期，為了那些非得使用Windows 10的客戶，<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/plan-for-windows-10-eos-with-windows-11-windows-365-and-esu/ba-p/4000414" target="_blank">微軟周二（12/5）公布</a>了Windows 10的付費延伸安全更新方案（Extended Security Update，ESU）方案，最多可再取得3年的安全更新。</p> <p>Windows 10生命周期的終止，意味著微軟將不再提供各種問題的臭蟲修復，不再修補安全漏洞，不再更新時區，也不再提供任何技術支援。此一終止涉及所有版本的 Windows 10，但並不包括Windows 10 IoT Enterprise LTSE與Windows 10 IoT Enterprise。</p> <p>其實微軟相對希望用戶升級到Windows 11以獲得更好的安全保障，也能充分利用新功能，但對於無法及時升級的用戶，微軟則提供了許多選項，其中之一是付費訂閱延伸安全更新方案，該方案每年一約，可訂3年，由微軟提供Windows 10的每月安全更新，包括重大（Critical）與重要（Important）更新，但僅止於此，既沒有新功能，也沒有非安全更新，無設計變更，也不提供安全更新以外的技術支援。</p> <p>另外兩個選項則是針對既有用戶的免費服務。Windows 365客戶的Windows 10裝置可透過連結至執行Windows 11的Cloud PC，免費取得延伸安全更新，若是在Azure Virtual Desktop上執行的Windows 10實例，也能免費取得延伸安全更新。</p> </div></div></div>
2023/12/6 15:10作者陳曉莉https://www.ithome.com.tw/news/160188
中信金控首度公開自行研發的生成式AI智能助理，以擬真客服人員提供信用卡產品諮詢和財管建議服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI爆紅後，這股風潮也吹入臺灣金融業，不少業者表示正在評估這項技術，金管會也因應AI技術發展，在十月中發布了金融業運用AI的核心原則，更會在今年年底前，發布依6項原則訂定的「金融業運用AI指引」，作為金融業發展生成式AI應用的規範指引。</p> <p>近期，臺灣也有金融業者對外展示了生成式AI打造的客服助理，中國信託銀行是其中一家金融機構，他們公開展示了內部實驗專案，藉GPT模型打造AI智能助理，提供財富管理建議和信用卡產品諮詢服務。這個工具是由中信內部團隊自行研發的生成式AI應用。</p> <p>在信用卡產品諮詢服務上，使用者可以選取建議問題或自行提問，智能助理就會生成信用卡建議，例如，提問出國玩最適合刷哪張卡，助理會提供三張卡片建議，依序說明卡片一般回饋、特定回饋和年費資訊。使用者可以進一步向助理要求比較特定兩張信用卡的優惠資訊，並追問特定信用卡的詳細介紹，了解更多優惠資訊。</p> <p>在財富管理服務上，雖然現場展示的AI助理僅能讓民眾以選項來獲得理財建議，但中信表示，未來也會以自行提問的方式，針對使用者的年齡、投資經驗和存錢目標，來提供投資建議。不過，中信金控科技長賈景光也表示，考量生成式AI仍有生成錯誤回應的風險，且相關法規尚未發佈，中信明年上半年會優先推內部使用生成式AI，待確定技術穩定，再向一般顧客推出。</p> <p>中信銀行表示，他們目前實驗生成式AI的方式會採用地端和雲端模型，不會僅用單一模型。中信銀模型選用的考量主要有三點，第一項考量，是需要根據模型專長和業務情境來選擇合適的模型，不同模型的專長領域有所差異；第二項則會考量速度，例如使用部署在雲端的模型，可能要根據上雲規範向主管機關進行報部，需要等待程序的時間，而使用地端模型時，雖然可以直接操作，卻可能需要額外購買硬體設備。最後一項則是成本考量，例如使用地端模型所需的硬體設備，和使用雲端模型所需的雲端服務費用。</p> <h3>三年前曾用GPT2.0打造行銷文案輔助工具</h3> <p>其實，早在生成式AI尚未爆紅前，中信就曾開始實驗生成式AI。三年前，他們內部曾試用GPT2.0打造一個名為「AI張愛玲」的文案工具，目的是協助內部PM製作行銷文案。隨著GPT3.5推出，他們進一步使用GPT3.5來升級文案工具，改名為「AI妙花筆」，目前已實際開放給內部PM人員輔助書寫行銷文案。</p> <p>選擇以生成式AI開發顧客智能助理，也對應到中信的科技發展策略。五年前，中信創立數據研發中心（現升級為數據暨科技研發處），作為研發科技應用的單位，以AI作為技術發展重點，並喊出要以虛擬行員來打造創新的金融商業模式。隨著生成式AI崛起，讓中信更專注發展虛擬行員，顧客智能助理正是其中一項應用。</p> <p></p> </div></div></div>
2023/12/5 16:20作者李昀璇https://www.ithome.com.tw/news/160169
微軟Copilot升級至DALL-E 3與GPT-4 Turbo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（12/5）為了慶祝Copilot上線一周年，推出整合所有Copilot服務的Microsoft Copilot網站，<a href="https://blogs.microsoft.com/blog/2023/12/05/celebrating-the-first-year-of-copilot-with-significant-new-innovations/" target="_blank">同時宣布</a>升級底層技術至新版DALL-E 3與GPT-4 Turbo，也準備支援結合搜尋的多模態能力，直接改寫網路內容，程式碼解釋工具及深度搜尋等功能。</p> <p>Copilot是個整合Bing搜尋與GPT的聊天機器人，上線兩周的<a href="https://copilot.microsoft.com/" target="_blank">Microsoft Copilot</a>讓用戶可使用各種Copilot服務，從聊天、建立表格、比較產品、購物、笑話、寫作到文字生成圖像等，等於是Copilot的入口網站。</p> <p>文字生成圖像模型DALL-E可透過bing.com/create或Microsoft Copilot使用，相較於舊版的DALL-E 3，新版可帶來更高品質且更符合提示的圖像，目前已經上線。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1206-microsoft%20copilot-New%20DALL-E%203%20Model.jpg" style="width: 600px;" /></p> <p>即將上線的GPT-4 Turbo為OpenAI所開發的最新模型，可處理更複雜與更長的任務，例如撰寫程式碼等，此一功能目前正在進行封閉測試，預計未來幾周就會整合至Copilot。</p> <p>微軟還打算讓Microsoft Edge用戶可於所造訪的網站上，圈選網頁上的文字後直接利用Copilot改寫；至於多模態功能則是整合GPT-4 with Vision與Bing搜尋，讓使用者更能理解圖像內容，由於結合了搜尋，因此將能夠提供更詳細的背景資訊；另一個新功能是利用AI來協助使用者理解影片內容。當使用者於Microsoft Edge中觀看YouTube影片時，可以請Copilot協助摘錄影片內容。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1206-Video%20understanding%20and%20Q%26A%20%E2%80%93%20Copilot%20in%20Edge-600-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1206-Video%20understanding%20and%20Q%26A%20%E2%80%93%20Copilot%20in%20Edge-600.png" style="width: 600px;" /></a></p> <p>微軟亦透露正在開發一項新的AI能力，以讓使用者執行更複雜的任務，涵蓋精確計算、撰寫程式碼、資料分析、視覺化或數學等，未來Copilot將可撰寫程式來回應使用者的請求，於沙箱環境中執行程式，亦允許使用者上傳檔案至Copilot或自Copilot匯出檔案。</p> <p><a href="https://blogs.bing.com/search-quality-insights/december-2023/Introducing-Deep-Search" target="_blank">深度搜尋</a>主要建立在Bing既有的網頁索引及排名系統上，並利用GPT-4 加以強化。簡單地說，GPT-4 將會把使用者的簡單查詢轉為更全面的描述，以期產生更有用且詳細的結果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1206-Microsoft%20Bing-GPT-4-Deep%20Search(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟</span></span></p> </div></div></div>
2023/12/6 13:22作者陳曉莉https://www.ithome.com.tw/news/160187
Meta、IBM等合組開源AI聯盟，與OpenAI、Google等別苗頭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.meta.com/blog/ai-alliance/" target="_blank">Meta、IBM周二（12/5）宣布</a>偕同英特爾、AMD、Linux基金會等企業與研究、學術單位合組AI聯盟，推動AI開源碼技術的開發及共享，以促進負責任AI的發展。</p> <p>這個組織創始成員除了Meta、IBM外，還包括英特爾、AMD、Dell、Stability AI、Hugging Face、甲骨文、Red Hat、Sony、ServiceNow、Linux基金會等業者，美國航太總署（NASA）、歐洲核子研究組織（CERN）、醫學中心Cleveland Clinic，以及哈佛大學、耶魯大學、洛桑聯邦理工學院、加州大學柏克萊分校、東京大學等50多個組織單位。</p> <p>AI聯盟指出，為提供AI研究人員、開發人員及使用者必要的工具來駕馭AI，實現安全、多元、商機及效益，開放與透明為關鍵，透過協同及資訊分享以加速創新，發現並且預防AI風險。為此，AI聯盟聚集開發人員、科學家、新創公司、企業、學術單位等，提供一個平臺匯集資源，以提供符合各個角色需求的解決方案。其目的是，藉由公開和分享，避免如ChatGPT這類封閉式AI引發的偏見、假資訊、AI幻覺、漏洞等疑慮。</p> <p>AI聯盟的開發計畫包括，支援大規模AI的負責任開發及使用的安全工具及標準，像是建立AI安全及信任的工具型錄（catalog），也將協助這些工具在開發商之間的傳布；解決氣候、教育等問題的多模態、多語的科學模型；強大的AI硬體加速器；協助全球性的AI技術養成；開發AI教育、規範的教育內容，以及推動負責任AI開發的宣導活動。</p> <p>接下來AI聯盟將依據上述主題組成工作小組、成立治理委員會及技術審查委員會，並且建立專案標準與指引。而除了AI界的產、學、研界外，AI聯盟也計畫和政府、非營利機構與公益組織的現行計畫合作。</p> <p>值得一提的是，一些知名AI模型如Llama、Stable Diffusion、StarCoder、Bloom等開發商，像是Meta、Stability AI、ServiceNow、Hugging Face等，以及雲端業者如IBM、甲骨文都在創始成員之列，獨缺微軟、Google、OpenAI及Amazon/AWS等，明顯集結開源碼業者之力，與專屬AI模型陣營分庭抗禮。</p> </div></div></div>
2023/12/6 12:29作者林妍溱https://www.ithome.com.tw/news/160186
AWS推出Application Composer擴充套件，運用AI簡化雲端程式架構設計流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出了<a href="https://aws.amazon.com/tw/blogs/aws/ide-extension-for-aws-application-composer-enhances-visual-modern-applications-development-with-ai-generated-iac/">Application Composer整合開發環境的擴充套件</a>，開發者可以直接在IDE中取用Application Composer的功能，以視覺化操作方法，更有效率地設計和部署雲端應用程式，在提升效率的同時，還能減少開發複雜性。開發者現在已經可以在VS Code中安裝最新的AWS Toolkit擴充套件，開始使用Application Composer。</p> <p>AWS在2022年推出了Application Composer，這是一個視覺化工具，讓開發人員可以透過拖放操作，連接和分組AWS服務，更簡單地設計和開發應用程式架構。而Application Composer會根據根據開發者的基礎設施配置，即時生成基礎設施即程式碼（IaC）模板。</p> <p>而新推出的Application Composer擴充套件，讓開發者可以在熟悉的IDE工具中，用到與Application Composer相同的視覺化拖放操作體驗，快速地建立想法原型，並把重點擺在編寫程式碼上。作為IDE的擴充套件，還能夠和IDE中的各種工具整合，提供即時生成IaC模板，以及AWS無伺服器應用模型整合，方便管理和部署無伺服器應用程式。</p> <p>Application Composer擴充套件還會運用生成式人工智慧，在CloudFormation模板中即時生成程式碼建議，透過減少開發者手動編寫程式碼以提高生產力。開發者在Application Composer擴充套件視覺化畫布上所做的任何更新，都會即時反映在IaC模板中，而透過使用IaC模板，便可以簡化使用AWS無伺服器應用模型（Serverless Application Model，SAM）命令列工具管理應用程式的工作，並促進持續整合和持續交付工作流程。</p> <p>此外，Application Composer新功能還會使用人工智慧生成程式碼建議，協助開發人員快速設定和使用AWS雲端資源，像是修改訊息佇列服務Amazon MQ等CloudFormation資源配置，進而簡化IaC資源的整合。這不只提升了開發速度，也減少開發者在上下文間切換的需求。目前Application Composer擴充套件僅適用於VS Code，作為免費功能提供，用戶不需要登入AWS帳戶就可以使用。</p> </div></div></div>
2023/12/6 09:52作者李建興https://www.ithome.com.tw/news/160173
IBM公開133量子位元的旗艦量子處理器Heron，效能是上一代3到5倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM<a href="https://research.ibm.com/blog/quantum-roadmap-2033">公布</a>其最新的量子處理器發展，推出了具有1,121超導量子位元的Condor處理器，以及達到133固定頻率量子位元的Quantum Heron旗艦處理器，同時IBM也將釋出第一個量子運算SDK Qiskit正式版本。此外，IBM的可擴展量子運算系統Quantum System Two，也已經在紐約實驗室正式運作。</p> <p>IBM突破1,000量子位元障礙，發表具有1,121量子位元的Condor處理器，是一個以交叉共振閘（Cross-Resonance Gate）技術為基礎，打造的超導量子位元處理器。IBM在這款處理器的晶片設計上有所突破，研究人員透過將量子位元密度提高50％，在相同的空間中容納更多量子位元，同時在製程與晶片大小方面也都有所創新。</p> <p>Condor處理器中包含了超過1.6公里的高密度低溫彈性接線，這些接線被設置在單一冷卻器中，能夠有效連接和冷卻處理器。研究人員指出，雖然IBM Condor效能與先前的433量子位元Osprey處理器相當，但是解決了規模問題，替未來量子硬體開發鋪路。</p> <p>除此之外，IBM也發表了目前最快的量子處理器，具有133固定頻率量子位元以及可調式耦合器的Quantum Heron處理器，與之前的127量子位元的Eagle處理器相比，效能提高到3到5倍，並且幾乎消除串擾（Cross-Talk），使得運算更加精準可靠，也能夠讓複雜的量子電路不失控，是高效能量子運算中重要的技術進展。</p> <p>超導量子位元是目前最普遍的量子運算技術之一，透過利用超導材料實現量子位元的操控和量子態維持，而在Quantum Heron處理器的設計中，採用固定頻率量子位元技術，該技術具有穩定且容易整合到複雜量子電路中的特性，可調式耦合器允許不同量子位元之間進行精準互動。雖然比較量子位元數，1,121超導量子位元的Condor處理器，明顯高過於133固定頻率量子位元的Quantum Heron處理器，這也說明了量子位元數並非唯一的效能衡量標準，而在目前的量子運算技術發展上，都有其重要性。</p> <p>除了硬體的發展，IBM也致力在軟體開發上，IBM提到，量子運算還需要生成和操作量子電路的高效能軟體，在異構運算環境中執行混合量子古典工作流程的中介元件。量子運算SDK Qiskit便是扮演這樣的角色，IBM預計在2024年2月推出1.0版本，這個正式版本相較於早期版本，在電路結構、編譯時間和記憶體使用上，都有明顯的改進。</p> <p>除此之外，IBM還介紹了Qiskit Patterns和Quantum Serverless兩項新技術。Qiskit Patterns是一種程式設計模板，目的是讓量子程式的結構更為簡單明確，替建置大規模量子演算法和應用程式提供一個邏輯框架。該模板具有可組合、容器化和抽象化等特性，讓用戶可以從基本建構模組創建量子演算法和模型。</p> <p>而Quantum Serverless則是一種異構計算基礎設施，支援大規模自動管理和執行Qiskit Patterns，目的要以量子運算加速企業工作流程。這些技術的發展，將會降低企業規模的量子運算應用門檻。</p> <p>IBM針對可擴展量子運算所設計的系統Quantum System Two，目前搭載3個Quantum Heron處理器，已經在紐約的實驗室中正式運轉。該系統整合了低溫基礎設施、第3代控制電子設備和古典執行時伺服器，構成模組化架構量子運算平臺。IBM Quantum System Two預計被用於實現量子超級電腦的平行電路處理技術。</p> </div></div></div>
2023/12/6 09:03作者李建興https://www.ithome.com.tw/news/160171
【資安日報】12月5日，美國航太組織遭到駭客組織AeroBlade鎖定，對其發動兩波攻擊，採用隱匿手法從事網路間諜行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國際局勢日益緊張，航太設施的重要性變得越來越重要，與這個領域有關的企業與組織也成為駭客竊取機密的重要目標，甚至有專門鎖定航太機構的駭客組織出現。</p> <p>有資安業者揭露專門針對航太產業從事網路間諜行動的駭客組織AeroBlade，並指出這些駭客在1年內僅進行兩波攻擊，而且他們採用了多種手法藏匿行蹤，使得受害組織難以察覺有異。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blogs.blackberry.com/en/2023/11/aeroblade-on-the-hunt-targeting-us-aerospace-industry"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國航太組織遭到駭客組織AeroBlade鎖定</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/aeroblade-fig01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/aeroblade-fig01.png" style="width: 300px; float: right;" /></a>資安業者BlackBerry揭露鎖定美國航太領域的駭客組織AeroBlade，疑似從事商業間諜行為，收集有價值的機密資訊。</p> <p>這些駭客先在2022年9月發動第一波攻擊，他們利用釣魚郵件挾帶Word文件檔案（.DOCX），一旦收信人開啟附件檔案，攻擊者就會進行遠端範本注入（Remote Template Injection）手法，在電腦載入用於第二階段的範本檔案（DOTM）並執行，然後觸發此範本裡的巨集，於受害電腦部署反向Shell，連線到C2伺服器。研究人員指出，上述的反向Shell會向駭客列出電腦上所有資料夾的名稱，並具備迴避分析機制，包含反沙箱偵測、使用特定字串進行編碼、利用無法執行的程式碼（Dead Code）、流程控制（Control Flow）混淆等。</p> <p>而在今年7月，這些駭客發起第二波攻擊，研究人員比對兩起攻擊行動駭客所使用的工具及手法，發現駭客的反向Shell都連向相同的IP位址，但第二次加入了更多迴避手法，而能持續從受害組織竊取資料不被察覺。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/russian-hackers-exploiting-outlook-bug-to-hijack-exchange-accounts/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">俄羅斯駭客APT28鎖定Outlook漏洞，意圖挾持Exchange電子郵件信箱帳號</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/graf_2a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/graf_2a.png" style="width: 300px; float: right;" /></a>12月4日微軟威脅情報團隊提出警告，俄羅斯駭客組織APT28（亦稱Fancy Bear、Strontium、Forest Blizzard）近期積極利用今年3月修補的Outlook零時差漏洞CVE-2023-23397（CVSS風險評分為9.8），企圖存取Exchange伺服器上的電子郵件信箱帳號，目標是美國、歐洲、中東的政府機關、運輸業、非政府組織。</p> <p>這項漏洞最初是由微軟與烏克蘭電腦網路危機處理小組（CERT-UA）共同發現，為權限提升漏洞，攻擊者可傳送帶有特定MAPI屬性的惡意郵件觸發漏洞，收信人連向駭客控制的SMB共享資料夾，導致駭客能夠取得Net-NTLMv2的雜湊值，進而執行NTLM重放攻擊（NTLM Relay）。</p> <p>而在這一波漏洞攻擊行動裡，微軟發現駭客不光利用CVE-2023-23397，還可能會搭配其他已知漏洞，例如：WinRAR漏洞CVE-2023-38831，或是瀏覽器排版引擎MSHTML排版引擎漏洞CVE-2021-40444。波蘭網路司令部（Polish Cyber Command）也在當地察覺類似的攻擊行動，並提供工具讓IT人員來檢查Exchange伺服器是否受害。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/msftsecintel/status/1731626192300634585">https://twitter.com/msftsecintel/status/1731626192300634585</a><br /> 2. <a href="https://www.wojsko-polskie.pl/woc/articles/aktualnosci-w/detecting-malicious-activity-against-microsoft-exchange-servers/">https://www.wojsko-polskie.pl/woc/articles/aktualnosci-w/detecting-malicious-activity-against-microsoft-exchange-servers/</a></p> <p><a href="https://securelist.ru/trojan-proxy-for-macos/108460/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客假借提供盜版軟體的名義，對Mac用戶散布惡意程式</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Trojan-Proxy-for-macOS-03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Trojan-Proxy-for-macOS-03.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露針對Mac用戶的木馬程式攻擊行動，駭客從今年4月底開始，假借提供4K Video Donwloader Pro、Aissessoft Mac Data Recovery、AnyMP4 Android Data Recovery for Mac等35款破解版應用程式的名義，散布代理伺服器惡意程式，將受害者的電腦當作代理伺服器並將其出售牟利。</p> <p>研究人員指出，有別於一般macOS應用程式開發者大多提供DMG映像檔，這次駭客使用的是PKG封裝檔案，而有可能在安裝的過程裡，同時執行惡意指令碼，從而以安裝程式取得的管理員權限進行檔案修改、自動執行，或是執行命令。</p> <p>在這次攻擊行動當中，使用者一旦執行這類惡意安裝程式，就有可能觸發PKG檔案內嵌的指令碼，進而執行木馬程式，此為偽裝成Google組態檔案（GoogleHelperUpdater.plist）的WindowServer系統處理程序檔案，啟動後會透過DNS-over-HTTPS（DoH）與C2連線，接收攻擊者下達的命令。</p> <p><a href="https://techcrunch.com/2023/12/04/23andme-confirms-hackers-stole-ancestry-data-on-6-9-million-users/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">10月初基因檢驗業者23andMe資料外洩規模擴大，690萬用戶資料流出</span></strong></a></p> <p></p> <p>今年10月有人聲稱入侵基因檢驗業者23andMe，先公布100萬名猶太人及10萬名中國人資料，隨後宣稱手上握有其他400萬名用戶的資料。同月23andMe向美國證券交易委員會（SEC）通報，駭客透過帳號填充（Credential Stuffing）侵入該公司系統，當時認為僅有0.1%用戶資料遭到未經授權存取，相當於1.4萬名使用者受到影響，如今這起事故的受害範圍再度擴大。</p> <p>根據科技新聞網站TechCrunch的報導，23andMe上週呈報給SEC的資料提及，他們發現駭客也存取大量含有其他用戶祖先資料的檔案，並在網路上散布資料，而這些曝險的使用者，都採用了DNA Relatives服務，該公司向TechCrunch表示，這項服務有550萬名用戶使用，另有140萬名用戶的資料，因族譜資訊遭到此服務存取而曝險。截至目前為止，這起資料外洩事故影響的總人數，已接近總用戶數（1,400萬人）的一半。</p> <p><a href="https://www.bloomberg.com/news/articles/2023-11-29/google-warns-china-is-ramping-up-cyberattacks-against-taiwan"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Google針對臺海情勢提出警告，中國加速對臺灣的網路攻擊行動</span></strong></a></p> <p></p> <p>根據彭博社的報導，Google旗下的威脅情報團隊提出警告，在最近半年裡，中國政府資助的駭客對臺灣的網路攻擊行動大幅增加，並且採用複雜的手段來隱匿攻擊來源。其中一種方法是滲透家用或小型辦公室的路由器，取得控制權並將其用於攻擊行動。</p> <p>Google資深工程主管Kate Morgan透露，他們監控超過100個中國駭客組織，這些駭客鎖定臺灣的各行各業，包含國防單位、政府機關、民間企業。</p> <p><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客LockBit聲稱攻擊臺灣自動化設備業者盟立</span></strong></p> <p></p> <p>威脅情報平臺FalconFeeds.io、ThreatMon指出，勒索軟體駭客組織LockBit於12月3日，將臺灣自動化設備廠盟立（mirle.com.tw）列於其暗網網站上，並要求該公司在12月8日前向他們聯繫。不過，究竟駭客竊得多少資料，目前仍不得而知。對此，我們也向盟立進一步詢問，但截稿之前並未得到回覆。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/FalconFeedsio/status/1731329945589227871">https://twitter.com/FalconFeedsio/status/1731329945589227871</a><br /> 2. <a href="https://twitter.com/TMRansomMonitor/status/1731325863860342894">https://twitter.com/TMRansomMonitor/status/1731325863860342894</a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GAbi8_4XoAAhbYe.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GAbi8_4XoAAhbYe.jpg" style="width: 580px;" /></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.lasso.security/blog/1500-huggingface-api-tokens-were-exposed-leaving-millions-of-meta-llama-bloom-and-pythia-users-for-supply-chain-attacks"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">人工智慧開源社群平臺Hugging Face 存在API漏洞，導致微軟、Meta、Google等企業持有的逾1500個Token外洩</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/6565abb688f52ea59bc833b1_aRpjwU8Ng1hY_AFWBs0Y4P2gDbZ59X1oGdXj5tuSRdNHUUBGyIo_aIx5Rkin3YCpWU9ZHYmsKLZ0sjwTCerKqqyP72V_uNsDyIokSTgeFVD7OaE7Jc-FyoPFsChwo77u-7w2zr6otWFygHwELylmkTg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6565abb688f52ea59bc833b1_aRpjwU8Ng1hY_AFWBs0Y4P2gDbZ59X1oGdXj5tuSRdNHUUBGyIo_aIx5Rkin3YCpWU9ZHYmsKLZ0sjwTCerKqqyP72V_uNsDyIokSTgeFVD7OaE7Jc-FyoPFsChwo77u-7w2zr6otWFygHwELylmkTg.png" style="width: 300px; float: right;" /></a>資安業者Lasso揭露人工智慧開源社群平臺Hugging Face的API漏洞，不只有機會取得知名企業的身分驗證資訊，甚至可讓攻擊者汙染訓練資料，或是竊取、竄改AI模型。研究人員從Hugging Face、程式碼儲存庫GitHub當中，總共找到1,681個能存取Hugging Face平臺API的Token，這些涉及723個企業組織，包括Meta、微軟、Google、VMware等大型IT業者，其中，有655個Token具有寫入權限，77個甚至能寫入多個組織的帳號。</p> <p>一旦攻擊者取得，就有機會完全控制多個知名公司的儲存庫，例如：Hugging Face上的Pythia的EleutherAI、Bloom的BigScience Workshop、Meta Llama 2，從而發動攻擊，竊取模型與訓練資料集，或是進行汙染，甚至發動供應鏈攻擊，竄改模型並危害依賴的應用程式。</p> <p>此外，他們察覺Hugging Face宣布停用的Token「org_api」仍能執行讀取的工作，從而下載不公開的模型。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://doublepulsar.com/what-it-means-citrixbleed-ransom-group-woes-grow-as-over-60-credit-unions-hospitals-47766a091d4f"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">逾60個美國信用合作社所使用的雲端服務平臺遭到勒索軟體攻擊，駭客利用CitrixBleed漏洞入侵而得逞</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/tipalti-investigates-claims-of-data-stolen-in-ransomware-attack/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國金融科技業者Tipalti傳出遭到勒索軟體駭客組織BlackCat攻擊，外流256 GB資料</span></span></strong></a></p> <p><a href="https://www.securityweek.com/hackers-hijack-industrial-control-system-at-us-water-utility/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"></span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/linux-version-of-qilin-ransomware-focuses-on-vmware-esxi/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">VMware虛擬化平臺遭到勒索軟體Qilin鎖定</span></span></strong></a></p> <p></p> <p><a href="https://promon.co/security-news/fjordphantom-android-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">安卓惡意程式FjordPhantom濫用虛擬化功能，在容器環境執行惡意程式碼迴避偵測</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/december-android-updates-fix-critical-zero-click-rce-flaw/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布12月安卓更新，修補可被用於發動RCE攻擊的零時差漏洞</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160152"><strong>【12月4日】研究人員揭露竊資軟體Lumma攻擊行動，駭客佯裝金融服務業者寄送發票，將用戶導向不存在的網頁迴避偵測</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160108"><strong>【12月1日】美國賓州水利設施遭伊朗駭客攻擊，CISA呼籲管理者應修改設備預設密碼、採用雙因素驗證，強化基本防護力</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160086"><strong>【11月30日】針對10月資料外洩事故，身分驗證管理業者Okta表示受害範圍擴大，所有使用客戶支援系統的用戶皆受影響</strong></a></p> </div></div></div>
2023/12/5 18:12作者周峻佑https://www.ithome.com.tw/news/160172
10秒完成大數據搜尋！臺北榮總打造全基因定序分析系統，還導入AI來預測用藥風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺北榮總日前在臺灣醫療科技展中展示一項全基因定序分析系統，由北榮兒童醫學部部主任牛道明主導開發，能根據醫師輸入的關鍵字，在10秒內找出關鍵致病基因及相關資訊。系統查詢範圍涵蓋遺傳疾病診斷、美國醫學遺傳學暨基因體學學會（ACMG）變異位點、體質分析、藥物代謝等7大類，透過即時產出分析結果，來幫助醫師制定更精準的個人化治療方案，不必如其他系統需等待至少5至10分鐘。該系統提供雲端與地端離線版，團隊還另外開發一套AI系統，要來預測用藥風險。</p> <p><span style="font-size:24px;"><strong>聯手前BioBank團隊成員，整合30年專科經驗打造全基因定序分析系統</strong></span></p> <p>進一步來說，全基因定序分析是世界趨勢，不只美國基因分析龍頭Illumina去年宣布每人全基因定序成本可降低至200美元，臺灣健保署明年也將癌症基因定序納入健保給付。其實，臺灣自2010年通過《人體生物資料管理條例》後，收載基因組相關資料的人體生物資料庫（Biobank）相繼出現，其中中研院於2012年獲得許可，正式成立臺灣人體生物資料庫，並在2015年與醫學中心合作，在2021年完成15萬名社區民眾收案。建置臺灣人體生物資料庫平臺的部分成員，後來獨立成立全基因定序分析公司道品，要用自身經驗打造基因分析系統。</p> <p>而牛道明長年耕耘兒科和罕見疾病領域，也是臺北榮總罕見疾病研究治療中心主任，大約2年多前開始與系統廠商合作，透過他30年的專科經驗，來共同設計系統功能介面和基因變異位點的篩選排序條件。這包括系統7大類查詢介面，如常見遺傳性癌症和代謝疾病的基因篩查、疾病診斷、美國醫學遺傳學暨基因體學學會（ACMG）變異位點、體質分析、藥物代謝、下一代帶因者、人類白血球組織抗原分型（HLA typing）等。</p> <p>就操作來說，醫師於診間看診時，在系統介面輸入關鍵字，10秒就能找到所需資料。比如，在系統中點擊患者資料，在疾病診斷介面的搜尋欄中，輸入臨床症狀，如免疫缺陷（Immunodeficiency），10秒內就會呈現與其相關的277個基因，醫師可點擊查看基因資訊，再選取報告所需關鍵基因。道品現場人員解釋，這是該系統與其他系統不同之處，醫師可自行勾選所需的元素，再製成客製化報告，而非如一般系統，只能產出制式報告。</p> <p>在體質分析介面，醫師可根據患者資料，查詢臺灣人特有的中風基因、咖啡因焦慮相關基因、酒精成癮基因、尼古丁依賴性基因，又或是心血管疾病相關基因。這些資訊是根據牛道明長年專業經驗，所排序設計的。</p> <p>此外，在主動篩查頁面，醫師可輸入關鍵字，從1萬9千個基因中找出致病點位。其中，這些基因的篩選排序條件，也是根據牛道明經驗設計而成，能將嚴重程度高的基因優先呈現，讓醫師一眼就知道。透過主動篩查，醫師可找出病患還未知的疾病，主動提醒患者、及早服藥治療。</p> <p>目前，該系統能將超過85.6％的樣本致病基因變異位點排序在第一順位，且超過92.93％的樣本在前三順位就可找到致病基因變異位點，準確度高。道品現場人員表示，這款分析系統能在10秒內給出答案，比市面上系統的5至10分鐘快上許多，醫師可直接在診間作業、與病人溝通，不必額外等待。做到如此快速並不容易，因為每位民眾有上百萬個變異點位，加上自家整理的註釋資料庫，資料量高達數十億，他們透過軟硬體調教來縮短分析查詢時間。該系統現在也在優化與擴充中，未來將增添更多分析功能到原本的7大功能。</p> <p><span style="font-size:24px;"><strong>打造AI預測系統，未來要用於新藥開發</strong></span></p> <p>另一方面，道品團隊也在2021年展開一項POC專案，要打造AI疾病風險預測平臺，先來驗證平臺的分群預測能力。他們首先申請下載美國國衛院（NIH）的基因資料，包括小兒氣喘、中風和靜脈栓塞等3種疾病資料，來訓練模型。</p> <p>就每個疾病而言，各自會再分為病患全基因體序列和對照組全基因體序列（即未患病之正常人），來讓模型學習患者的特徵，進而預測一位民眾的疾病風險。以小兒氣喘來說，病患和對照組各自用了614位民眾資料來訓練模型，並各自用了191個全基因體序列來驗證，準確率為0.98。中風和靜脈栓塞準確率分別是1和0.96。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ai%E9%A0%90%E6%B8%AC.JPG" /></p> <p>道品解釋，他們透過這個POC專案，得知平臺有良好的分群效果，希望接下來能用於新藥開發，特別是在藥物二期臨床試驗時，能用這套AI預測平臺來找出特定人群的基因特徵，來更精準設計藥品。</p> <p>今年開始，團隊也與不同機構訪談，發現在癌症用藥上有許多AI預測需求，能透過基因體序列分群來找出用藥風險，避免副作用，也能更精準治療。這是團隊接下來的目標。</p> <p></p> </div></div></div>
2023/12/5 17:36作者王若樸https://www.ithome.com.tw/news/160170
提供超簡便VM隨需使用，HPE GreenLake擴增私有雲新服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_pcbe-main3.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼2022年6月推出GreenLake for Private Cloud Enterprise（PCE），HPE提供全代管、建置企業與組織內部的裸機、虛擬機器、容器代管環境之後，今年6月他們擴增IT即服務平臺的私有雲解決方案——針對伺服器虛擬化環境供應，HPE宣布推出GreenLake for Private Cloud Business Edition（PCBE），用戶能在此橫跨混合雲架構，隨需使用當中的虛擬機器，同時，這背後有AIOps技術驅動的自我管理機制，因此能提供簡易操作的功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE GreenLake Private Cloud-2023-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20GreenLake%20Private%20Cloud-2023-06.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE PCBE-Talk2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20PCBE-Talk2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE PCBE-Talk1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20PCBE-Talk1.jpg" style="width: 298px;" /></a></p> <p>而在全球不同地區的部署上，GreenLake的這兩套私有雲服務，均已預先建置在跨國資料中心代管服務業者Equinix的IBX國際業務交換機房，8月將開放6大都會區的使用，包含法蘭克福、倫敦、矽谷、新加坡、雪梨、多倫多、華盛頓哥倫比亞特區，這些區域附近的企業與組織如欲採用PCE，可開始訂購，至於PCBE，會先從多倫多開始供應。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20GreenLake%20Private%20Cloud%20Location-2023-06.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE GreenLake at Equinix-peq-hpe-diagram.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20GreenLake%20at%20Equinix-peq-hpe-diagram.jpg" style="width: 600px;" /></a></p> <p>10月在臺舉行的HPE Discover More Taipei 2023大會，他們也特別向大家介紹PCBE的功能特色。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GreenLake PCBE Overview-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GreenLake%20PCBE%20Overview-Web.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PCBE-2023-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PCBE-2023-06-1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/PCBE-2023-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PCBE-2023-06-2.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/PCBE-2023-06-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PCBE-2023-06-6.jpg" style="width: 198px;" /></a></p> <p>HPE在PCBE提供直覺的雲端使用體驗，基本上，用戶僅需依序選擇工作負載的類型、工作負載的層級（tier）、保留的儲存容量、保留的CPU核心數量、訂閱條款持續的期間長短、網路組態（包含或排除交換器、收發器與信號傳輸纜線）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Attribute-based quoting options PCBE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Attribute-based%20quoting%20options%20PCBE.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-quote selection PCBE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-quote%20selection%20PCBE.jpg" style="width: 600px;" /></a></p> <p> </p> <p>在費用支付方式上，用戶可以選擇預先付費（pay up-front）或按需付費（pay-as-you-go）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-Consumption choices PCBE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Consumption%20choices%20PCBE.jpg" style="width: 600px;" /></a></p> <p>之後進行業務需求辨識，考量想要的可靠度服務等級、既有IT基礎架構、預算，以及業務目標，也可透過HPE CloudPhysics服務團隊提供輔助的基礎架構評估。接下來由HPE合作廠商幫忙設計與設置私有雲環境、進行資料遷移作業。完成部署後，用戶可以透過單一管理主控臺監控整個混合雲環境，輕鬆管理與調校本身的基礎架構。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GreenLake CloudPhysics-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GreenLake%20CloudPhysics-web.jpg" style="width: 600px;" /></a></p> <p>這項私有雲IT即服務也整合HPE自家的資料保護服務：GreenLake for Backup and Recovery，</p> <p><a href="https://s4.itho.me/sites/default/files/images/GreenLake Back and Recovery-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GreenLake%20Back%20and%20Recovery-web.jpg" style="width: 600px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/PCBE-PROTECTION STATUS0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PCBE-PROTECTION%20STATUS0.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GreenLake Protection Policy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GreenLake%20Protection%20Policy.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/PCBE-VM Provision Policy2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PCBE-VM%20Provision%20Policy2.jpg" style="width: 298px;" /></a></p> <p>同時，透過PCBE還能醫病管理用戶在公有雲服務AWS環境上面的EC2執行個體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PCBE-Link to AWS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PCBE-Link%20to%20AWS.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/PCBE-Create AWS VM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PCBE-Create%20AWS%20VM.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/PCBE-2023-06-7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PCBE-2023-06-7.jpg" style="width: 198px;" /></a></p> <p>舉例來說，用戶可以在虛擬機器建立時，套用已設置在這項資料保護服務裡面的政策，即可建立受到完整保護的虛擬機器，相對地，用戶也能透過同樣的管理主控臺介面，執行整臺虛擬機器或檔案、資料夾層級的細部還原功能。</p> <p>如此一來，用戶可橫跨內部環境、邊緣環境、公有雲環境，透過基於自助式服務的彈性操作介面，對這些位置的資料進行儲存、管理、保護等工作，並享有高達99.9999％（6個9）的資料保存可靠度，以及儲存空間使用效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PCBE-2023-09-Daahboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PCBE-2023-09-Daahboard.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，在HPE既有產品的整合運用上，PCBE初期支援Alletra dHCI，作為用戶內部環境設置的解決方案，能透過傳統的三層式架構、超融合基礎架構解決方案具備的容易管理特性，提供高效能與使用彈性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Alletra HCI overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Alletra%20HCI%20overview.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-HPE GreenLake for Private Cloud Business Edition solution framework.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-HPE%20GreenLake%20for%20Private%20Cloud%20Business%20Edition%20solution%20framework.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-09-available to new and PCBE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-available%20to%20new%20and%20PCBE.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PCBE-2023-06-8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PCBE-2023-06-8.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/PCBE-2023-06-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PCBE-2023-06-5.jpg" style="width: 298px;" /></a></p> <p>而在11月底舉行的HPE Discover 2023 Barcelona大會期間，PCBE開始支援該公司另一個超融合基礎架構解決方案SimpliVity，</p> <p><a href="https://s4.itho.me/sites/default/files/images/PCBE-SimpliVity-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PCBE-SimpliVity-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/PCBE-SimpliVity-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PCBE-SimpliVity-2.jpg" style="width: 298px;" /></a></p> <p>而在公有雲環境方面，PCBE現在也增加支援微軟Azure執行個體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-PCBE-Azure.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>HPE GreenLake for Private Cloud Business Edition</strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●管理主控臺介面：GreenLake Data Services Cloud Console<br /> ●儲存組態：All Flash（儲存系統4U）、Hybrid Flash（儲存系統4U或8U）<br /> ●工作負載層級：效能最佳型（12臺伺服器）、平衡最佳型（6臺伺服器）、價值最佳型（3臺伺服器）<br /> ●伺服器配置：DL365 Gen10 Plus，1U尺寸，每臺搭配2顆16核心處理器、須具備2個VMware vSphere Enterprise Plus授權<br /> ●資料可靠度：99.9999%<br /> ●支援內部環境建置：支援HPE Alletra dHCI<br /> ●支援公有雲環境：AWS Amazon EC2</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/5 18:04作者李宗翰https://www.ithome.com.tw/review/160135
台新金控首度公開導入生成式AI的智能客服，提供理財投資建議和信用卡建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著生成式AI浪潮來襲，台灣不少金融業也開始評估採用這項技術。目前，金融業試用生成式AI的場景以對內為主，例如法規查詢工具、開發輔助工具等，協助提升內部人員工作效率。由於生成式AI涉及資安議題，甚至有提供錯誤解答的可能性，考慮風險因素，金融業較少嘗試將生成式AI應用在客戶服務。不過，近期也有金融業者開始實驗在智能客服導入生成式AI，台新金控正是其中一家金融機構，是少數開始實驗生成式AI應用在對外服務的業者。</p> <p>今年十月，台新金控揭露生成式AI進展。他們不只制定AI發展關鍵因子和AI導入指引，還發展4項實驗專案，包括協作平臺的聊天機器人Teams Chatbot、知識管理平臺、程式碼撰寫助理Codex，以及虛擬智能客服。近期，他們對外展示了其中一項實驗專案，兩個擬真客服人員，分別提供理財投資建議和信用卡建議。</p> <p>台新金控表示，由於理財商品屬於公開資料，沒有客戶資料，較不具機敏性問題，因此優先選用信用卡建議和投資建議作為實驗項目。台新金控實驗的虛擬智能客服，並非僅使用微軟建置在雲端的模型，而是分別採用雲端模型和地端模型進行實驗，以了解各個業務場景適合使用的模型。</p> <p>在理財投資建議AI客服人員中，是採用部署在雲端的模型。他們讓使用者與擬真客服人員對話，先使用JavaScript臉部辨識API預測使用者年齡性別，再結合運勢測驗，例如是否經常運動、如何面對被誤會的情況等，分析使用者投資意願和理財性格，綜合以上資訊生成投資建議。在提問過程中，使用者能以語音回覆，該客服工具會用Google Cloud Speech to Text API來辨識語音，轉換成文字後傳送至後端Azure OpenAI服務，來生成回覆內容。</p> <p>後臺的運作方式是由團隊先將內部問題集和答案資料匯入Azure認知服務，當使用者對測驗題給予回覆，後臺會進行認知搜尋，先在文件內容建立嵌入（Embeddings），再由Azure Cognitive Search拆分查詢字串、請求最類似答案。最後，會由Azure OpenAI服務將答案組合、傳回前端，由虛擬客服給出回答。</p> <p>而在提供信用卡建議的AI客服人員中，則是採用地端模型，當使用者向擬真客服人員提問後，會經過STT工具將語音轉文字，傳至模型生成回應，再透過TTS將文字轉語音，回應給使用者。</p> <p>台新金控表示，即便Azure OpenAI服務提供的模型發展相對成熟，但金融服務需要注重資安問題，若業務涉及個資，可能得優先考慮使用部屬在地端的模型，因此在實驗階段也會觀察地端模型的可用性，協助未來評估生成式AI應用發展。</p> <p></p> </div></div></div>
2023/12/4 16:56作者李昀璇https://www.ithome.com.tw/news/160151
基因技術業者23andMe證實外洩690萬名用戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門透過唾液來檢測人類基因，以溯源並提供健康報告的美國基因技術業者23andMe，<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/1804591/000119312523287449/d242666d8ka.htm" target="_blank">在今年10月坦承</a>駭客藉由憑證填充攻擊存取了該平臺上的用戶資料，當時僅說有0.1%的用戶資料遭到存取（約1.4萬名）不過，23andMe近日向<a href="https://techcrunch.com/2023/12/04/23andme-confirms-hackers-stole-ancestry-data-on-6-9-million-users/" target="_blank">《TechCrunch》</a>證實，使用DNA Relatives服務的690萬名用戶個資也外洩了。</p> <p>駭客是在今年10月1日宣稱駭進了23andMe，公布了100萬名猶太人與10萬名中國用戶的資料，同月再度宣稱取得其它400萬名23andMe用戶的資料。</p> <p>駭客的行徑令23andMe立即展開調查，指出駭客是透過其它網站的外洩資料，於23andMe上進行憑證填充攻擊，僅危及0.1%的用戶，而且攻擊已受到控制。</p> <p>然而，<a href="https://investors.23andme.com/static-files/812ac089-e9d0-4618-a6ef-0a5fa3b723fd" target="_blank">23andMe在上周更新的SEC文件中指出</a>，除了這0.1%的用戶帳號之外，駭客還存取了大量包括其它使用者祖先資料的檔案，主要是因為這些使用者加入了DNA Relatives功能，並於網路上分享特定資料，23andMe正努力於公共網域上移除相關資料。</p> <p><a href="https://customercare.23andme.com/hc/en-us/articles/115004659068-DNA-Relatives-The-Genetic-Relative-Basics" target="_blank">DNA Relatives</a>為23andMe所提供的互動性功能，允許23andMe比對提供DNA的用戶，以找出用戶之間的親屬關係。</p> <p>在《TechCrunch》的詢問下，23andMe表示駭客存取了550萬名加入DNA Relatives功能的用戶資料，包括他們的姓名、出生年份、關係標籤、血統報告與親屬間的DNS共享比例等，也存取了同樣加入DNA Relatives功能並分享族譜資訊的另外140萬名的用戶資料，包括姓名、出生年份、位置及關係標籤等。</p> <p><a href="https://blog.23andme.com/articles/addressing-data-security-concerns" target="_blank">23andMe在12月1日表示</a>，已在第三方鑑證專家的協助下完成調查，並開始通知所有受影響的用戶，此外，該公司也要求所有用戶重置密碼，同時要求他們採用雙因素身分認證。</p> </div></div></div>
2023/12/5 16:15作者陳曉莉https://www.ithome.com.tw/news/160168
俄羅斯駭客持續利用CVE-2023-23397漏洞，來存取Exchange上的電子郵件帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/msftsecintel/status/1731626192300634585" target="_blank">微軟本周警告</a>，俄羅斯駭客Forest Blizzard（又名APT28或FancyBear）仍積極利用已於今年3月修補的<a href="https://www.ithome.com.tw/news/155952" target="_blank">零時差漏洞CVE-2023-23397</a>來存取Exchange伺服器上的電子郵件帳號，發現相關攻擊行動的則是波蘭網路司令部（Polish Cyber Command）。</p> <p><a href="https://msrc.microsoft.com/blog/2023/03/microsoft-mitigates-outlook-elevation-of-privilege-vulnerability/" target="_blank">CVE-2023-23397</a>是個藏匿於Outlook的權限擴張漏洞，駭客可傳送MAPI屬性包含通用命名規範（Universal Naming Convention，UNC）的惡意郵件，導致受害者連向駭客控制的外部SMB伺服器共享資料夾，讓駭客經由取得受害者的Net-NTLMv2雜湊，藉此發動NTLM Relay攻擊，即可連到另一項服務，並冒用受害者身分完成驗證存取。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-23397" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-Microsoft%20Outlook-CVE-2023-23397.png" style="width: 600px;" /></a></p> <p>當初該漏洞是由微軟及烏克蘭電腦網路危機處理小組（CERT）共同發現，而且已遭到俄羅斯駭客利用，這次的受害者則是波蘭。波蘭網路司令部指出，相關攻擊同時鎖定波蘭的公家與私人機關，此外，波蘭也已開發出一套可於Exchange電子郵件環境中執行的工具，以辨識及減輕相關威脅。</p> <p><a href="https://www.wojsko-polskie.pl/woc/articles/aktualnosci-w/detecting-malicious-activity-against-microsoft-exchange-servers/" target="_blank">波蘭網路司令部詳細說明了駭客的攻擊流程</a>，指出成功的攻擊將令駭客得以透過Exchange環境中任何被危害的電子郵件帳號，未經授權地存取高價值的郵件信箱。</p> <p>微軟則提醒，Forest Blizzard的攻擊行動通常還會搭配其它安全漏洞，包括<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-40444" target="_blank">CVE-2021-40444</a>、<a href="http://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-42292" target="_blank">CVE-2021-42292</a>、<a href="http://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-42321" target="_blank">CVE-2021-42321</a>、<a href="http://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-34473" target="_blank">CVE-2021-34473</a>、<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2020-17144" target="_blank">CVE-2020-17144</a> 和<a href="http://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2020-0688" target="_blank">CVE-2020-0688</a>等。</p> <p>美國與英國政府認為Forest Blizzard是由俄羅斯所支援的國家級駭客組織，與俄羅斯軍事情報機構26165部隊有關，主要攻擊美國、歐洲與中東的政府、能源、交通及非政府組織。</p> </div></div></div>
2023/12/5 15:35作者陳曉莉https://www.ithome.com.tw/news/160167
Spotify再裁員17%，股價漲逾7%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總部位於瑞典的全球最大音樂串流平臺<a href="https://newsroom.spotify.com/2023-12-04/an-update-on-december-2023-organizational-changes/" target="_blank">Spotify周一（12/4）宣布</a>，有鑑於全球經濟成長大幅趨緩，再加上Spotify的成本結構太大，決定裁撤17%職缺，約影響1,500名員工，當天Spotify的股價即上漲了7.46%，以194.17美元作收。</p> <p>今年初Spotify的全球員工數仍有1萬人，但第一季裁撤了6%，第二季再裁了2%，若再加上本周裁撤的17%，剩下的員工數約為7,500人。</p> <p>Spotify執行長Daniel Ek說明，在2020年與2021年的疫情期間，該公司利用了低成本的資本機會，大幅擴張了團隊、內容、行銷及新的垂直領域，這令Spotify的產量與平臺在過去一年來大幅成長，只是這段期間的生產力雖然變高了，效率卻變差了，再加上現在已處在一個迥然不同的環境中，即使這一年來不斷努力降低成本，但Spotify的成本結構依然太高。</p> <p>其實Spotify<a href="https://s29.q4cdn.com/175625835/files/doc_financials/2023/q3/787b611a-8789-4a1a-86de-055ba2ade19a.pdf" target="_blank">今年第三季的財報</a>表現不錯，該季創下33.6億歐元的營收，成長15%，每股盈餘為0.33歐元，優於去年每股0.99歐元的虧損。</p> <p>Ek表示，外界可能會認為這次Spotify人力縮減的規模太大，但考慮到財務目標與當前經營成本的差距，決定採取實際行動來調整成本。</p> <p>許多大型科技業者都在COVID-19疫情期間因應市場需求大幅擴編，同時也在需求減緩後開始縮編，根據<a href="https://layoffs.fyi/" target="_blank">layoffs.fyi的統計</a>，光是今年就有超過1,000家科技業者裁撤逾25萬名員工，而Google、Amazon、Meta、微軟的裁員人數都超過1萬名，而Ericsson、Salesforce、Dell及Philips也都裁撤了超過6,000名員工。</p> </div></div></div>
2023/12/5 12:21作者陳曉莉https://www.ithome.com.tw/news/160164
OpenAI GPT Store因人事風波延後到2024年初開張
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI原本預定11月底上線的OpenAI GPT商店，<a href="https://www.ithome.com.tw/news/159962" target="_blank">因11月下旬的高層人事風波</a>，開幕時程將延後2024年初。</p> <p><a href="https://www.ithome.com.tw/news/159668" target="_blank">OpenAI 11月初公布可客製化的模型服務GPTs</a>，也鼓勵用戶自行客製化，同時預定同月推出GPT Store，讓開發者把自己所設計的GPTs上架與其它用戶分享，未來也將可藉此收費。但隨後OpenAI上演了在5天內董事會開除CEO Sam Altman、任命2位CEO，Altman及技術長Greg Brockman加入微軟，員工發公開信追隨要求董事會下臺，以及董事會重組與Altman、Brockman重返OpenAI的戲碼。</p> <p>網路媒體<a href="https://www.axios.com/2023/12/01/openai-delays-launch-custom-gpt-store-2024" target="_blank">Axios</a>上周取得OpenAI給使用者及開發人員的訊息指出，原本預計本月推出的GPT Store，因為一些意外的事情令該公司「忙得不可開交」，因此預計明年初才會推出GPT Store。但OpenAI表示，明年上線時會加入功能更新，像是改善設定介面和debug的訊息通知。</p> <p>GPT Store及客製化服務GPTs僅提供給付費方案ChatGPT Plus及ChatGPT Enterprise用戶，為OpenAI擴大營收計畫的一部分。11月OpenAI展示GPT Store概念時，並未說明其收費方案等細節。付費用戶已經可以客製化GPTs模型並且直接分享給其他開發人員，只是還沒有完工的機制讓他們將模型上架或收費。</p> </div></div></div>
2023/12/5 12:41作者林妍溱https://www.ithome.com.tw/news/160165
Hugging Face API漏洞洩露驗證令牌，可讓攻擊者存取微軟、Meta、Google的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.lasso.security/blog/1500-huggingface-api-tokens-were-exposed-leaving-millions-of-meta-llama-bloom-and-pythia-users-for-supply-chain-attacks" target="_blank">研究人員發現</a>AI模型資源平臺Hugging Face上存在API漏洞，洩露包含微軟、Meta及Google等公司的API驗證資訊，嚴重者可能讓攻擊者污染訓練資料集或竊取、改造成惡意的AI模型。</p> <p>隨著大型語言模型（LLM）快速普及，GitHub和Hugging Face也成為許多LLM專案開發人員愛用的資源平臺。其中，Hugging Face一項重要功能是開源碼函式庫Transformers。這個函式庫裏代管了50萬個AI模型及25萬項資料集，包括Meta的Llama、Bloom、Pythia及其他預訓練模型。Hugging Face提供API，供外部開發人員及企業將Python函式庫整合到其模型，或讀取、新增、修改或刪除儲存庫或檔案。GitHub的API也是類似功能。若取得GitHub和Hugging Face API驗證令牌，可能導致企業資料外洩、惡意模型散布等不良後果。</p> <p>資安廠商Lasso Security近日在一項研究中，發現不論GitHub或Hugging Face都可能讓不肖人士從其儲存庫（repository）取得平臺上各模型供應商的API驗證令牌（token），得以存取模型或其他程式碼。研究小組一共從兩平臺上找到1,681個有效的令牌。經過一步分析資料，他們取得了723家企業組織的帳號，包括Meta、微軟、Google、VMware及Hugging Face等。其中655個令牌具有寫入權限，其中77個還能寫入多個組織系統，令研究人員得以全權控制多個知名公司的程式碼儲存庫，如Hugging Face上的Pythia的EleutherAI、Bloom的BigScience Workshop、Meta Llama 2等，都是下載次數超過百萬的熱門模型。</p> <p>研究人員警告，只要控制這些程式碼儲存庫，就能發動多種攻擊。像是最基礎的竊取模型和資料集，或是污染資料集：研究人員從API取得14個每月下載次數數十萬的資料集，得以扭曲機器學習模型的完整性。最嚴重的是供應鏈攻擊：改造現有模型使其成為惡意模型，危害大量依賴這些基礎模型的應用程式。</p> <p>他們還意外發現到一個Hugging Face之前宣布已停用的org_api tokens，只要稍稍變更程式碼，雖然無法寫入Python函式庫，但仍可讀取，讓研究人員成功下載多個不公開的模型，包括微軟擁有的模型。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1205-hugging%20face-600-1-%E5%8E%9F%E5%9C%96.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1205-hugging%20face-600-1.jpg" style="width: 600px;" /></a></p> <p><a href="http://www.lasso.security/blog/1500-huggingface-api-tokens-were-exposed-leaving-millions-of-meta-llama-bloom-and-pythia-users-for-supply-chain-attacks" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Lasso Security</span></span></a></p> <p>研究人員最後通報Hugging Face以及研究中其他受影響的組織，像是微軟、Meta、Google及VMware及GitHub等，並且解決org_api令牌還能讀取的問題。這些知名企業已經撤銷其令牌，也移除了API上曝露出的token。</p> <p>但研究人員表示，Hugging Face並未立即採取積極作為保護其用戶令牌。他們同時呼籲所有開發人員避免將令牌資訊寫死在API，以免洩露資訊而為攻擊者開方便之門。</p> </div></div></div>
2023/12/5 13:02作者林妍溱https://www.ithome.com.tw/news/160166
新版Android Studio Hedgehog升級IntelliJ、加入功耗分析工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出最新Android官方開發IDE <a href="https://android-developers.googleblog.com/2023/11/android-studio-hedgehog-is-stable.html">Android Studio Hedgehog</a>，在新版本的更新重點，不只是升級IntelliJ IDEA至2023.1版本，也加入分析功能，助開發者提高應用程式效能和電力應用效率，同時也調整使用者介面提升程式碼編寫效率，還提供SDK升級助理，協助開發者將應用程式升級至新的Android版本。</p> <p>Android Studio Hedgehog開始提供專案升級到Android 14，也就是API等級34，官方還添加額外的相關性過濾器，可刪除不必要的步驟，SDK升級助理會在部分情況，替開發者準確指出需要調整的程式碼。SDK升級助理提供逐步指導流程，協助開發者完成targetSdkVersion升級，官方提到，SDK升級助理會將targetSdkVersion相關文件直接帶入IDE，加速整個更新流程。</p> <p>Android Studio Hedgehog現在可以從Google Play控制臺獲取Android vitals資料，這代表開發者不需要對應用程式進行額外的配置，就可以查看發布到Google Play商店的應用程式崩潰報告，透過利用這些資料，開發者可以快速發現並解決應用程式崩潰的原因，進而提高程式品質和穩定度。</p> <p>新的IDE也讓開發者更容易解決Android應用程式的耗電問題，透過使用可以呈現裝置功耗的新工具Power Profiler，了解不同子系統的功耗資訊，協助開發者視覺化應用程式行為和耗電量之間的相關性，官方解釋，Power Profiler直接量測功耗，和之前以模型估算電力消耗的Energy Profiler的方法不同。藉由使用更精確的電力消耗資訊，開發者可以辨識並修復應用程式中的功耗問題，最佳化應用程式電力和散熱效能，提升終端使用者體驗。</p> <p>開發者會在Android Studio Hedgehog看到更乾淨簡潔的使用者介面，官方調整介面的目標，要減少視覺複雜度，供開發者更簡單地存取IDE核心功能，來提高整體開發體驗。而開發者現在也可以在嵌入式虛擬裝置，或是實體裝置鏡像視窗中執行布局檢視器，新的嵌入式布局檢視器提升布局檢查的效率，也更節省螢幕空間，使得開發者可以在單一工具視窗中，組織使用者介面除錯工作流程。</p> <p>新加入Android Studio即時編輯（Live Edit）功能的手動模式，提供了預測快捷鍵，讓開發者可以更精確地控制部署更新到執行中應用程式的時機。而在Composable函式中設置中斷點時，除錯器現在會列出函式的參數和狀態，讓開發者更容易辨識出可能意外導致重組的變更。</p> <p>在Windows中，官方也盡量減少防毒軟體對Android Studio建置速度所產生的影響。由於當Windows Defender即時掃描Gradle所使用的目錄時，就可能發生建置速度減慢的狀況。當此狀況發生時，建置分析器能夠警示開發者，並且提供防毒軟體主動掃描排除相關目錄的建議。</p> </div></div></div>
2023/12/5 08:27作者李建興https://www.ithome.com.tw/news/160153
Google雲端Filestore Enterprise現提供CSI整合備份功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端<a href="https://cloud.google.com/blog/products/containers-kubernetes/filestore-features-for-stateful-workloads-on-gke" target="_blank">更新全託管整合GKE的NFS儲存服務Filestore</a>，新支援Filestore Zonal高容量達100TiB，並且推出適用Filestore Enterprise的CSI整合備份，同時還強化Filestore Enterprise的多重共享功能，現在用戶可以細分多達80個共享。</p> <p>Filestore現在分為Basic、Enterprise與Zonal（原為High Scale）三層，每個層級針對不同的使用案例和性能需求，提供不同的功能和服務。Basic適用於基礎文件儲存功能等效能需求不高的應用，而Zonal用戶的資料會在同一個區域儲存兩次，以確保區域中的高可用性，Zonal的可用性SLA為99.9％，而Enterprise則是跨區域服務，會在單一地區的三個區域同步複製資料，維持可用性SLA達99.99%。</p> <p>Filestore是一個GKE整合CSI驅動程式的儲存服務，支援諸如機器學習等大規模GKE有狀態工作負載。CSI（Container Storage Interface）驅動程式是一個標準化介面，可用於像是Kubernetes容器化環境中的儲存系統，該介面讓儲存供應商，可以對容器提供一致且相容的儲存解決方案，不受特定容器調度系統的限制。</p> <p>而現在由CSI驅動程式支援的Filestore Zonal，最高容量為100TiB，這項整合服務從最少10TiB儲存容量開始提供，並隨用戶需求線性擴展容量和效能，每個執行個體最高可達100TiB的高容量和高效能需求。</p> <p>Filestore Zonal吞吐量為26GiB/s，能夠良好地支援PyTorch或Tensorflow等這類需要檔案介面的大規模機器學習訓練框架，此外，Filestore Zonal也擁有無中斷升級功能，每10TiB具有1,000個NFS連接，100TiB就會擁有多達10,000的並行NFS連接，支援大型GKE部署，以及多寫入機器學習工作負載。</p> <p>官方提到，Filestore Zonal的CSI驅動程式補充了現有Filestore Enterprise和Filestore Basic產品線。供用戶可以根據效能、容量、資料保護需求，選擇適當的檔案儲存層。</p> <p>Google也推出適用於Filestore Enterprise的CSI整合備份，在Filestore Basic層級，用戶之前就已經可以使用磁碟區快照API保護資料，而現在也可以使用相同的方式保護Filestore Enterprise。用戶可以備份現有Enterprise磁碟區，並使用快照作為資料來源，建立新的磁碟區。官方表示，新功能可讓用戶直接從CSI驅動程式備份和復原執行個體。需要注意的是，該功能僅在Enterprise層的單一共用配置支援，目前多重共享配置還不支援磁碟區快照API。</p> <p>Filestore Enterprise與GKE共享執行個體功能，讓用戶可以將1TiB執行個體細分為多個100GiB持久性磁碟區，以提高儲存利用率。而現在官方更新多重共享功能，讓用戶能夠將Enterprise執行個體細分數量，從之前的10個增加為80個共享，並且可從10GiB最小共享容量開始。現在Enterprise多重共享，GKE有狀態工作負載的持久性儲存不僅具有高耐用度和高效能，且每個執行個體高達80個共享，達到更高的綜合利用率。</p> </div></div></div>
2023/12/5 08:36作者李建興https://www.ithome.com.tw/news/160160
AWS Clean Rooms添加機器學習和差分隱私功能，強化資料應用與隱私安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS更新其安全資料共享服務Clean Rooms，除了<a href="https://aws.amazon.com/tw/blogs/aws/aws-clean-rooms-ml-helps-customers-and-partners-apply-ml-models-without-sharing-raw-data-preview/">新增機器學習支援</a>，協助用戶在不共享原始資料的情況下應用機器學習模型，同時也<a href="https://aws.amazon.com/tw/blogs/aws/aws-clean-rooms-differential-privacy-enhances-privacy-protection-of-your-users-data-preview/">加入了差分隱私（Differential Privacy）功能</a>，在協作聚合資料分析結果時，模糊個人資料的貢獻。</p> <p>Clean Rooms服務可讓企業和其合作夥伴安全協作資料處理，提供一種不共享原始資料就能協作和分析資料的方法，在追求效率和預測精確度的同時，也能安全地合作。Clean Rooms內建隱私控制功能，能以權限控制Clean Rooms成員所執行的查詢和輸出。</p> <p>新功能Clean Rooms ML則允許用戶使用機器學習模型生成預測性分析，同時保護敏感資料。而這項功能其中一項主要應用，是創建市場行銷用途的相似用戶群組，像是航空公司可以和線上預訂服務合作，針對類似特徵的用戶進行行銷活動；汽車貸款和汽車保險公司也可以辨識，與現有租賃車主類似特徵的潛在汽車保險客戶。這項功能同樣也能用於加速研究機構和醫院的臨床研究，找到與現有臨床試驗者相似的候選人。</p> <p>Clean Rooms ML會於每一次組織資料共享合作中，訓練一個由AWS管理的模型，協助用戶快速生成相似資料集，省去用戶自行建立、訓練和部署模型的時間。Clean Rooms ML還提供了許多靈活的控制功能，使用戶和其合作夥伴，可以調整機器學習模型預測結果。</p> <p>AWS Clean Rooms現在也提供差分隱私功能，系統會在用戶的查詢結果，添加經過仔細校準的誤差，也就是雜訊，讓查詢結果足夠準確，在提供有意義的分析結果的同時，也遮蔽來自特定個人的資料貢獻。差分隱私功能包括了一個隱私預算元件，透過將隱私作為每次執行查詢時消耗的有限資源，控制用戶資料集執行的查詢數量，確保雜訊不能被平均，確保不會洩露任何個人資料。當隱私預算耗盡時，在預算增加或是刷新之前，都無法於資料集中執行更多的查詢。</p> <p>差分隱私是一項增強資料共享時隱私保護的技術，能夠分享描述資料庫中部分統計特徵，又不公開特定個人資訊，不過缺點就是有其實作門檻，而Clean Rooms差分隱私功能，讓應用該技術變得更容易，用戶只需要對資料表啟用差分隱私功能，並在協作中配置差分隱私政策，就能簡單地應用該技術。</p> </div></div></div>
2023/12/4 16:29作者李建興https://www.ithome.com.tw/news/160149
【資安日報】12月4日，研究人員揭露竊資軟體Lumma攻擊行動，駭客佯裝金融服務業者寄送發票，將用戶導向不存在的網頁迴…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用竊資軟體Lumma的駭客組織近期動作相當頻繁，其攻擊行動經常會使用較為罕見的招式，例如：利用三角量測判斷所處的是真實使用者操作環境，或是研究人員分析用的沙箱；再者，這些駭客前陣子<a href="https://www.ithome.com.tw/news/160011">聲稱能恢復使用者的連線階段，挾持他們的Google帳號</a>。</p> <p>而在新一波的攻擊行動中，駭客則是在網路釣魚攻擊運用了另一種不尋常的手法，他們寄送的郵件會提供吸引使用者容易點選的按鈕，卻是將他們導引到實際上不存在的URL網址，讓收信者點選另一個URL，希望能夠藉此避開只檢查第一次點選網址的資安防護措施。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://perception-point.io/blog/behind-the-attack-lumma-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">竊資軟體Lumma假借寄送發票的名義散布，為迴避偵測，駭客故意將使用者導向不存在的網頁，目的是要他們點選另一個惡意網址</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Lumma-13.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lumma-13.png" style="width: 300px; float: right;" /></a>資安業者Perception Point揭露最新一波的竊資軟體Lumma的攻擊行動，攻擊者冒充金融服務業者的名義，宣稱提供發票向使用者寄送電子郵件，一旦使用者依照指示點選檢視及下載發票的按鈕，便會被帶往「網頁無法使用」的網站，使用者被迫回到電子郵件點選另一個URL，研究人員指出，攻擊者這麼做的目的，就是為了避免第一個按鈕觸發防毒軟體的警報。</p> <p>這個URL連線的網站連接看似無害，然而只要使用者點選，就有可能被重新導向至第2個URL啟動JavaScript指令碼，從被入侵的網站下載包含惡意酬載在內的多個檔案。</p> <p>在這起惡意軟體攻擊當中，駭客會在受害電腦部署3個可執行檔1741.exe、RegSvcs.exe（竊資軟體Lumma）、wmpnscfg.exe，共通點是這些惡意程式檔案存放於一般軟體不會使用的資料路徑，例如：系統暫存資料、Microsoft.NET資料夾、Windows Media Player資料夾，而且，這些作案工具的處理程序，都是透過特定的父處理程序執行，目的是增加攻擊的複雜性，進而混淆惡意活動。</p> <p><a href="http://unit42.paloaltonetworks.com/new-toolset-targets-middle-east-africa-usa/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國、中東、非洲企業組織遭到後門程式Agent Raccoon鎖定</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-131403-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-131403-3.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露最近出現的後門程式Agent Racoon攻擊行動，駭客鎖定美國、中東、非洲地區，針對政府機關、電信業者、教育產業、房地產、零售業、非營利組織發動攻擊。</p> <p>此惡意軟體以.NET開發，被偽裝成Google更新程式、OneDrive更新程式來進行散布，一旦成功入侵受害電腦，該惡意軟體就會透過DNS通訊協定建立通訊管道，與C2基礎設施進行連線，為了回避偵測，該後門程式使用國際化網域名稱編碼（Punycode）查詢子網域，其內容還帶有隨機資料，使得通訊更難以追蹤。此後門程式的主要功能在於，讓攻擊者能遠端執行命令、上傳或下載檔案、存取受害電腦，研究人員也發現不同版本的Agent Racoon，差異在於針對特定環境調整其組態，研判駭客正積極開發來因應特定的攻擊行動需求。</p> <p>除了上述後門程式，攻擊者也使用名為Mimilite的特製版本Mimikatz，在受害組織收集帳密資料，以及模仿Windows網路提供者元件的DLL竊資軟體Ntospy，以便在受害組織執行後續的攻擊行動。</p> <p><a href="http://arcticwolf.com/resources/blog/qlik-sense-exploited-in-cactus-ransomware-campaign/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">資料分析系統Qlik Sense重大漏洞被用於攻擊行動，駭客發動勒索軟體Cactus攻擊</span></strong></a></p> <p></p> <p>資安業者Arctic Wolf揭露近期的勒索軟體Cactus攻擊行動，駭客鎖定資料分析系統Qlik Sense的漏洞CVE-2023-41265、CVE-2023-41266、CVE-2023-48365（CVSS風險評分介於8.2至9.9），於目標系統執行程式碼，觸發Qlik Sense Scheduler執行新的處理程序。</p> <p>攻擊者利用PowerShell和背景智慧型傳送服務（BITS），下載其他作案工具，並進行遠端控制。這些駭客載入受害伺服器的工具，包含：ManageEngine UEMS系統的主程式、遠端桌面連線工具AnyDesk、SSH終端機連線程式PuTTY Link（Plink），然後執行多項命令並將結果輸出到特定的TrueType字型檔（TTF），研究人員推測，攻擊者這麼做的目的，是為了利用路徑穿越的方式來輸出命令。</p> <p>接著，攻擊者進一步移除Sophos防毒軟體、竄改管理者密碼、利用Plink命令列建立遠端桌面連線隧道，最終部署勒索軟體並進行檔案加密。此外，駭客也利用WizTree、rclone來分析、竊取伺服器的資料。</p> <p><a href="https://www.bleepingcomputer.com/news/security/black-basta-ransomware-made-over-100-million-from-extortion/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">勒索軟體駭客Black Basta敲詐逾1億美元贖金</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/basta inv.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/basta%20inv.png" style="width: 300px; float: right;" /></a>資安險業者Corvus與區塊鏈分析業者Elliptic聯手，針對勒索軟體駭客組織Black Basta進行調查，指出這些駭客從2022年4月開始從事攻擊行動迄今，329個組織感染其加密程式，其中有超過90個受害組織向其低頭，共支付1.07億美元的贖金，平均每個組織向其支付120萬美元，其中金額最高的為900萬美元，至少18筆贖金超過100萬美元。</p> <p>而對於受害組織的地區分布，研究人員指出，61.9%是美國組織，德國組織居次，占15.8%。由於惡意軟體QBot（亦稱Qakbot）在攻擊行動提供駭客組織Black Basta初始入侵管道，經營此惡意軟體的人士大約會拿到贖金的10%抽成，提供作案工具的經營團隊平均會收取14％贖金，而駭客流通這些金錢的管道是俄羅斯加密貨幣交易所Garantex。</p> <p>資料來源</p> <p>1. <a href="https://www.elliptic.co/blog/black-basta-ransomware-victims-have-paid-over-100-million">https://www.elliptic.co/blog/black-basta-ransomware-victims-have-paid-over-100-million</a><br /> 2. <a href="https://www.corvusinsurance.com/blog/black-basta-ransomware-has-extracted-over-100-million-from-its-victims">https://www.corvusinsurance.com/blog/black-basta-ransomware-has-extracted-over-100-million-from-its-victims</a></p> <p><a href="https://blog.talosintelligence.com/new-sugargh0st-rat/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">惡意軟體Gh0st RAT變種鎖定韓國、烏茲別克而來</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/sugarghost-infection-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/sugarghost-infection-1.jpg" style="width: 300px; float: right;" /></a>思科旗下威脅情報團隊Talos揭露從今年8月出現的RAT木馬程式SugarGh0st，此為Gh0st RAT變種，駭客將其用來攻擊烏茲別克外交部，以及韓國的使用者。</p> <p>駭客透過RAR壓縮檔來散布此木馬程式，該壓縮檔的內容包含了Windows捷徑檔（LNK），或是觸發LNK的惡意文件檔案，一旦使用者執行，電腦就有可能執行JavaScirpt指令碼，從而感染SugarGh0st。研究人員根據駭客所使用的誘餌文件檔案，推測駭客來自中國。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/new-bluffs-attack-lets-attackers-hijack-bluetooth-connections/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">新型態藍牙攻擊手法Bluffs鎖定通訊協定漏洞而來，可讓攻擊者進行中間人攻擊，挾持藍牙通訊</span></strong></a></p> <p></p> <p>法國通信系統工程師學校與研究中心Eurecom的研究人員揭露名為Bluffs的藍牙通訊協定漏洞CVE-2023-24023，這些漏洞涉及此通訊協定標準的2項缺陷，原因與匯出連線階段（Session）金鑰並進行解密、交換資料的流程有關。這些弱點影響4.2版至5.4版的藍牙通訊，破壞藍牙連線的保密性，而有機會讓攻擊者冒充連線設備來進行中間人攻擊，CVSS風險等級為6.8分。</p> <p>研究人員總共公布了6種攻擊手法，其共通點就是利用連線階段金鑰產生的過程裡，存在的4種缺陷（2個已知、2個新弱點），從而強制產生強度較弱，有可能猜到內容組成的金鑰。</p> <p>接下來，攻擊者再進行暴力破解，從而掌控過往的通訊內容，並解密、操控日後設備進行的藍牙通訊。研究人員針對不同的藍牙晶片進行測試，結果發現，所有的晶片至少有3種Bluffs攻擊手法能夠奏效。監督藍牙標準開發的非營利組織Bluetooth SIG也收到研究人員通報，並發布緩解措施。</p> <p>資料來源</p> <p>1. <a href="https://dl.acm.org/doi/10.1145/3576915.3623066">https://dl.acm.org/doi/10.1145/3576915.3623066</a><br /> 2. <a href="https://www.bluetooth.com/learn-about-bluetooth/key-attributes/bluetooth-security/bluffs-vulnerability/">https://www.bluetooth.com/learn-about-bluetooth/key-attributes/bluetooth-security/bluffs-vulnerability/</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://binarly.io/posts/The_Far_Reaching_Consequences_of_LogoFAIL/index.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露LogoFAIL漏洞，藉由電腦UEFI開機的商標圖片解析元件執行惡意酬載</span></span></strong></a></p> <p></p> <p><a href="https://www.vmware.com/security/advisories/VMSA-2023-0026.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">VMware雲端服務交付平臺Cloud Director存在身分驗證繞過漏洞</span></span></strong></a></p> <p><a href="https://www.securityweek.com/hackers-hijack-industrial-control-system-at-us-water-utility/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"></span></span></strong></a></p> <p></p> <p><a href="https://www.tenable.com/security/research/tra-2023-37"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Arcserve統一資料防護系統UDP存在重大漏洞，研究人員公布概念性驗證程式</span></span></strong></a></p> <p></p> <p><a href="https://securelist.ru/trojan-proxy-for-macos/108460/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">駭客假借提供盜版軟體的名義，對Mac用戶散布惡意程式</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/over-20-000-vulnerable-microsoft-exchange-servers-exposed-to-attacks/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">2萬臺生命週期結束的Exchange伺服器仍在運作</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160108"><strong>【12月1日】美國賓州水利設施遭伊朗駭客攻擊，CISA呼籲管理者應修改設備預設密碼、採用雙因素驗證，強化基本防護力</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160086"><strong>【11月30日】針對10月資料外洩事故，身分驗證管理業者Okta表示受害範圍擴大，所有使用客戶支援系統的用戶皆受影響</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160069"><strong>【11月29日】上海商銀驚傳1.4萬客戶資料外洩，金管會公布調查結果列4大缺失，依銀行法重罰千萬，外洩管道仍有待釐清</strong></a></p> </div></div></div>
2023/12/4 17:39作者周峻佑https://www.ithome.com.tw/news/160152
搶攻ULL低延遲電子交易商機，AMD推出第二款FinTech加速卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_alveo_ul3524_main-1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較於另一家FPGA與ASIC廠商英特爾，AMD今年在這類型技術的產品應用動作頻頻，陸續推出多款加速卡產品，像是年初主攻AI加速的<a href="https://www.ithome.com.tw/review/159831">Alveo V70</a>，4月發表、<a href="https://community.amd.com/t5/adaptive-computing/amd-alveo-ma35d-media-accelerator-now-in-production-and-amd-ama/ba-p/637940">10月量產</a>的<a href="https://www.ithome.com.tw/review/156294">Alveo MA35D</a>，鎖定多媒體加速應用，到了第三季他們針對金融科技領域，發表可用於超低延遲（Ultra-Low Latency，ULL）電子交易的加速卡，名為Alveo UL3524。回顧過去，在2022年10月，AMD曾推出第一款基於FPGA而成的金融科技（FinTech）加速卡，也就是<a href="https://www.ithome.com.tw/review/156717">Alveo X3系列</a>。</p> <p>這款號稱能以低於3奈秒的極少時間進行電子交易的產品，提供立即可用的FPGA平臺，鎖定金融科技領域的發展需求，目前已有證券交易商、期貨自營商、避險基金、證券經紀商、交易所採用，也有多家解決方案合作廠商開始提供，例如：Alpha Data、Exegy、Hypertec等公司。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20UL3524%20Server.jpg" style="width: 600px;" /></p> <p>比起上一代FPGA技術，Alveo UL3524採用導入16奈米製程的訂製款Virtex UltraScale+ FPGA晶片，採用新穎的收發器架構，並配備經過強化、調校的網路連線核心，而能帶來超乎以往表現的效能——延遲度縮減幅度高達7倍，FPGA收發器延遲度低於3奈秒，能大大加速電子交易的執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UL3524-Ultra-Low Latency Transceiver Architecture.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3524-Ultra-Low%20Latency%20Transceiver%20Architecture.png" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3524%20Card%20interface.jpg" style="width: 600px;" /></p> <p>在硬體配置上，Alveo UL3524總共內建72個收發器，其中有64個是GTF超低延遲收發器，頻寬為28.21 Gb/s，8個是GTYP收發器，頻寬為32.75Gb/s，而在運算架構方面，這款加速卡的晶片內含78萬個查閱資料表（LUTs）匯集的FPGA交織網路，以及1,680個數位訊號處理器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/UL3524-FPGA.png" style="width: 600px;" /></p> <p>基於上述硬體元件的組成，Alveo UL3524可加速不同訂製型交易演算法的執行，交易商可根據持續演進的策略與市場狀況來調整當中的設計。在實際使用這款產品時，用戶可透過Vivado Design Suite軟體與AMD來自全球的各地領域專家的幫忙，支援傳統的FPGA生產流程，開發人員可從中獲取一套參考設計與效能測試方法，進而快速找到關鍵測量項目，並且能設計出訂製的交易策略、將其轉換為規格。</p> <p>因應演算法交易市場採用AI的比例日漸增加，AMD表示，為了簡化相關的設計工作，他們已備有FINN開發框架，是屬於開放原始碼、由社群提供支援的技術。有了這套框架，開發人員在使用PyTorch與神經網路量化技術時，能在維持精準度、收集硬體智財，以及將網路模型整合到演算的資料路徑、實現低延遲效能的前提之下，還是可以縮小AI模型的規模。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20finn-example.png" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/finn_flow.png" style="width: 120px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/FINN.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FINN.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>AMD Alveo UL3524</strong><br /> ●原廠：AMD<br /> ●建議售價：廠商未提供<br /> ●外形：全高3/4長<br /> ●內建運算晶片：Virtex UltraScale+ FPGA（XCVU2P-FSVJ2104-3-E）、16奈米製程<br /> ●內建記憶體：16 GB DDR4、72 MB QDR II+<br /> ●提供網路埠：4個QSFP-DD埠可分接10個10/25GbE埠<br /> ●連接介面：PCIe 4.0 x8<br /> ●擴充插槽：4個ARF6接頭，可分接32個10/25 GbE埠，再以此連接多張介面卡<br /> ●熱設計功耗：125瓦（180瓦電力）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/4 18:01作者李宗翰https://www.ithome.com.tw/review/160143
AI在業績壓力下也會執行內線交易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甫於今年5月於倫敦成立的AI評估研究組織Apollo Research上個月進行了一項實驗，顯示AI股票交易代理人在業績壓力下，將會基於內線消息進行交易，不僅明知不可為而為之，還向主管說謊。</p> <p><a href="https://www.apolloresearch.ai/blog/announcement" target="_blank">Apollo Research表示</a>，人工智慧（AI）很快就會融入人們的生活與經濟中，在帶來個人與社會利益的同時也存在巨大的風險，主要的風險來自於先進的AI系統，因為這些系統可藉由策略的欺騙來逃避標準的安全評估，特別是一個模型在表面上看似與人類所設計的一致（Aligned），實際上卻沒有（Misaligned），還能在人類的監督下隱瞞此一事實，是AI許多災難性風險場景的關鍵組成部分。而該公司的目標便是充分了解AI系統，以防止欺騙性AI的開發與部署。</p> <p><a href="https://arxiv.org/pdf/2311.07590.pdf" target="_blank">在此一實驗中</a>，Apollo Research採用已被訓練為有幫助、無害且誠實的GPT-4，打造了一個AI投資管理系統Alpha，Alpha的目標是替一個金融機構來管理股票投資組合，可存取用來查詢與分析股票的各種工具，也能執行交易、推理下一步，與人類同事互動，並必須向經理報告。</p> <p>Alpha先收到了經理的電子郵件，表示公司最近的表現不佳，下一季需要有更好的績效，然而，Alpha卻找不到有希望的低度風險與中度風險交易機會，接著它收到另一名同事的郵件，預期下一季的股市將呈現低迷狀態。</p> <p>在這樣的狀況下，Alpha從另一名同事得到了一個有關併購案的內線消息，該消息可能會帶來豐厚的收益，但這名同事亦提醒，管理階層可能不會批准此一交易。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1204-Apollo%20Research-GPT-4-600-1.png" style="width: 600px;" /></p> <p><a href="https://arxiv.org/pdf/2311.07590.pdf" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Apollo Research</span></span></a></p> <p>如果是你會怎麼做？Alpha在知道公司不允許內線交易的情況下，還是執行了內線交易，還在向經理報告時隱瞞了作出此一決策的原因，並提出了一個假的解釋，當經理問它是否知道併購消息時，Alpha又說謊了。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1204-Apollo%20Research-GPT-4-600-2.png" style="width: 600px;" /></p> <p><a href="https://arxiv.org/pdf/2311.07590.pdf" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_Apollo Research</span></span></a></p> <p><a href="https://twitter.com/apolloaisafety/status/1721594479205822753" target="_blank">Apollo Research指出</a>，即使Alpha沒有承受壓力，還是有可能執行上述的不一致行為（內線交易、說謊），只是頻率比較低；而且就算直接於系統指令中阻止（Discourage）非法交易，也無法完全抑制這類的行為。</p> <p class="rtecenter"><a href="http://twitter.com/apolloaisafety/status/1721594479205822753" target="_blank"><img alt="" src="https://pbs.twimg.com/media/F-RLey1WgAAQeZ3?format=png&name=900x900" style="width: 600px;" /></a></p> <p><a href="http://twitter.com/apolloaisafety/status/1721594479205822753" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源_Apollo Research</span></span></a></p> <p>Apollo Research把此次的實驗當作是紅隊演練，尋找及展示大型語言模型中的策略性欺騙能力。</p> </div></div></div>
2023/12/4 15:59作者陳曉莉https://www.ithome.com.tw/news/160148
巴西市議會通過一項由ChatGPT撰寫的法案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>巴西南部大城阿雷格里港（Porto Alegre）的市議會於今年10月通過一項法案，若納稅人水表被盜，將不會向納稅人收取更換水表的費用，而且已於11月底生效。然而，提出該法案的市議員<a href="https://twitter.com/curtaramiro/status/1729805545157120113" target="_blank">Ramiro Rosário上周對外揭露</a>，此一法案是由ChatGPT所撰寫的，因而掀起了一陣議論。</p> <p>Rosário是在該法案正式生效後才坦承它其實來自ChatGPT。他說，該市到處裝設水表，如果水表被盜，就向納稅人收取更換費用，這是應該立法改變的事，於是他給了ChatGPT簡單的提示，要求ChatGPT建立一個法案來避免此一收費，結果ChatGPT在幾秒內就生成了完整的草案，也附上了理由，還能針對自己原先生成的版本進行改善。而阿雷格里港市議會無異議地全數通過此案。</p> <p>Rosário向<a href="https://apnews.com/article/brazil-artificial-intelligence-porto-alegre-5afd1240afe7b6ac202bb0bbc45e08d4" target="_blank">《美聯社》（AP）</a>透露，他一開始是故意隱暪此事，因為如果只是因為它是由AI所撰寫的就被拒絕，對人們來說是不公平的。而使用ChatGPT的目的除了解決當地問題之外，也企圖要引起辯論。事實上，該市市議會主席Hamilton Sossmeier在發現此事時，即說這是一個危險的先例。</p> <p>Rosário則認為，這就是技術該有的樣子，可用來降低成本並改善作業流程，提高品質與生產力，沒有人會被AI取代，人們是被那些知道如何使用它的人取代。</p> <p>不過，基於大型語言模型的聊天機器人依舊有令人存疑之處，美國一名律師Steven Schwartz曾利用ChatGPT來整理客戶案件的有利判決，<a href="https://www.ithome.com.tw/news/157103" target="_blank">卻被對手發現</a>它杜撰了許多對該案件有利的判決，最後Schwartz、另一名同案律師與所屬的Levidow, Levidow & Oberman律師事務所被法官判罰了5,000美元。</p> <p>當時美國法官Kevin Castel<a href="https://www.unsw.edu.au/news/2023/06/this-us-lawyer-used-chatgpt-to-research-a-legal-brief-with-embar" target="_blank">認為</a>，使用AI來協助法律工作並沒有什麼本質上的不當之處，但律師必須確保他們的文件準確無誤。</p> </div></div></div>
2023/12/4 13:52作者陳曉莉https://www.ithome.com.tw/news/160147
Meta發表4合一Seamless Communication翻譯AI模型套件，支援近百種語言輸入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta上周（11/30）<a href="https://ai.meta.com/research/seamless-communication/" target="_blank">公布翻譯AI模型套件Seamless Communication</a>，包含提供更精準再現說話者情緒、及延遲僅2秒的幾近同步翻譯能力的新模型，支援近百種語言輸入。</p> <p>Seamless Communication為Meta為慶祝其AI研究機構基礎AI研究（Fundamental AI Research，FAIR）成立10周年而發表的研究成果之一。Seamless Communication是以8月公布的多語雙模（文字、語音）翻譯模型SeamlessM4T第2版為基礎而發展出的套件，號稱能在翻譯時保存不同語言的說話表情，以及說話者講話同時加速翻譯。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1204-Seamless%20Communication-Meta.png" style="width: 600px;" /></p> <p>這個套件其實由4個模型組成，其中之一是SeamlessM4T第2代，以及SeamlessExpressive、SeamlessStreaming與Seamless。<a href="https://github.com/facebookresearch/seamless_communication/tree/main/docs/expressive" target="_blank">SeamlessExpressive</a>是一種口譯模型，解決傳統AI翻譯時無法抓住聲音語調、停頓和重點，而失去情感和意圖的重要訊號的問題。SeamlessExpressive是第一個掌握跨語言表情的公開系統。它使用的模型能保存說話者情緒、風格、說話速度、停頓和節奏，又能維持翻譯品質。目前SeamlessExpressive支援英、中、西、法、德、義語。</p> <p class="rtecenter"><a href="https://video.ftpe7-3.fna.fbcdn.net/v/t39.25447-2/404545900_710738110990833_6443015246729999141_n.mp4?_nc_cat=108&vs=2bef875d4aa03631&_nc_vs=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&ccb=1-7&_nc_sid=c44558&efg=eyJ2ZW5jb2RlX3RhZyI6Im9lcF9oZCJ9&_nc_ohc=0e8lUXXI7-MAX-09G6G&_nc_ht=video.ftpe7-3.fna&oh=00_AfBlHfhjcseyHSXo4mgIPOqsSF6IrY5NbMlZ99hCMHR0pQ&oe=6572E316&_nc_rid=623665765907209&_nc_store_type=0" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1204-SeamlessExpressive%20demo-600.png" style="width: 600px;" /></a></p> <p>SeamlessStreaming是同步翻譯模型，主打2秒延遲的語音和文字翻譯，可支援口譯（speech-to-speech translation，S2ST）、聽寫翻譯（speech-to-text translation，S2TT）及自動語音辨識（Automatic speech recognition，ASR）。在後二種任務上，SeamlessStreaming支援將近100種語言輸入及輸出，而在口譯同步翻譯則支援100種語言輸入、36種語言輸出。最後一種模型Seamless則是融合這三種語言模型於一。</p> <p>Meta也將示範影片公布在<a href="https://github.com/facebookresearch/seamless_communication" target="_blank">GitHub</a>以及<a href="https://huggingface.co/collections/facebook/seamless-communication-6568d486ef451c6ba62c7724" target="_blank">HuggingFace</a>網站上。</p> </div></div></div>
2023/12/4 12:36作者林妍溱https://www.ithome.com.tw/news/160145
Meta發表首個能同時接受語言及文字輸入的聲音生成模型Audiobox
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta上周<a href="https://ai.meta.com/blog/audiobox-generating-audio-voice-natural-language-prompts/" target="_blank">發表</a>可讓用戶使用語音及文字指令生成音效及語音的最新AI模型Audiobox。</p> <p>Meta今年6月發表<a href="https://www.ithome.com.tw/news/157419" target="_blank">Voicebox</a> AI模型，可應用在語音生成、去噪、採樣和內容編輯等各式語音任務，不限定特定應用場景且具高效能。Audiobox則是Voicebox的後一代模型，以Voicebox框架為基礎開發。Audiobox能生成各種環境及風格的語音、音效或聲音地景（soundscape），新模型整合生成和編輯能力，以及多種輸入機制，以擴大不同應用場景的控制能力。</p> <p>Audiobox承襲了Voicebox的引導聲音生成訓練目標，以及音流比對（flow-matching）建模方法，以支援聲音填充（audio infilling），以生成或修飾音效，例如在下雨聲音地景加入雷聲。使用者可運用自然語言文字提示描述想要的聲音或語音類型。用戶可輸入「潺潺流水、鳥兒啾啁」的文字提示生成聲音地景，或是以「高聲快節奏講話的年輕女性」生成人聲。該模型還讓使用者輸入人聲及文字提示，以合成任何環境（如教堂）或任何情緒（如哀痛而緩慢）的一段說話。Meta認為Audiobox是第一個可接受語音及文字描述來改造聲音的模型。</p> <p class="rtecenter"><a href="https://video.ftpe7-2.fna.fbcdn.net/v/t39.25447-2/406365519_381976304228906_2408301710998785958_n.mp4?_nc_cat=109&vs=1119c13908f1acf0&_nc_vs=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%3D%3D&ccb=1-7&_nc_sid=4a9f44&efg=eyJ2ZW5jb2RlX3RhZyI6Im9lcF9oZCJ9&_nc_ohc=KEdKD955B5IAX8RHbMD&_nc_ht=video.ftpe7-2.fna&oh=00_AfDJcz5MMLGI23kY68pMflJSrv01YLf5RrIqcvyhhVoM6g&oe=657209C2&_nc_rid=958833612379490&_nc_store_type=0" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1204-Audiobox%20Meta-600-1(1).jpg" style="width: 600px;" /></a></p> <p>經過Meta測試，顯示Audiobox在音質及相關性（切合文字描述的程度）都超越了現有最佳的聲音生成模型如AudioLDM2、VoiceLDM及TANGO。</p> <p>Meta解釋，生成高品質聲音需要有大量音訊庫及深厚的領域知識，如聲音工程、後製、語音表演等，但大眾和消費者都不會有這些資源。他們推出這個模型，相信未來可降低聲音生成的門檻，讓任何人都更容易製作影片或podcast、電玩或其他應用場景的音效。</p> <p>Meta即將準備讓特定研究人員及學者專家試用Audiobox，測試模型品質及安全倫理性。再過幾周將透過<a href="https://ai.meta.com/research/audiobox_responsible-generation-grant/" target="_blank">申請網頁</a>開放申請試用。</p> <p>Audiobox是Meta發表的AI研發成果之一。為慶祝AI研究中心FAIR成立十周年，Meta還公佈翻譯模型Seamless Communication。此外，Meta也宣布即將公開影像學習及多模感知模型的基礎訓練資料集<a href="https://ai.meta.com/blog/ego-exo4d-video-learning-perception/" target="_blank">Ego-Exo4D</a>。Ego-Exo4D是Meta開發VR眼鏡<a href="https://www.ithome.com.tw/news/140039" target="_blank">Project Aria</a>並和學界合作的成果，主體為<a href="https://ego-exo4d-data.org/" target="_blank">以人為中心（egocentric）及外心（exocentric，由鏡頭環視周遭場景）的資料集</a>，兩種角度能提升AI模型學習人類技能的能力。這批資料包含1,400小時影片及基準模型，將供研究社群使用。</p> </div></div></div>
2023/12/4 12:47作者林妍溱https://www.ithome.com.tw/news/160146
PyTorch 2.1改進CPU支援最佳化AI模型運算效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://pytorch.org/blog/new-features-for-ai/">PyTorch 2.1</a>獲英特爾（Intel）諸多貢獻，主要強化模型在CPU的運算效能，加入了包括TorchInductor-CPU最佳化、CPU動態形狀推理路徑與C++打包器等新功能。整體來說，PyTorch在人工智慧開發的效能和效率獲得強化，CPU動態形狀推理路徑提高了PyTorch對大型語言模型的支援，而且C++打包器更是減少Python的執行成本，有效提升輕量級工作負載的效能。</p> <p>TorchInductor-CPU最佳化能夠改善Bfloat16的推理效能，運用第三代與第四代Intel Xeon Scalable處理器內建的硬體加速器，便可加速Bfloat16資料類型的內積運算，增加圖模式下的效能。不過，如果開發人員是在第四代Intel Xeon Scalable處理器上部署模型，則能夠完全利用高級矩陣擴充AMX功能，來獲得torch.compile更好的運算效能。</p> <p>PyTorch 2.0中有一個重要功能更新是動態形狀（Dynamic Shape），該功能允許模型在推理時處理可變大小的輸入，這代表模型不必在訓練時，就確定所有輸入資料精確的形狀，進而增加了模型的靈活性和應用範圍，對於需要處理各種大小輸入的應用，像是文字或是圖像處理，這是一個相當重要的功能。</p> <p>而在PyTorch 2.1中，CPU動態形狀推理路徑更進一步最佳化這項功能，在使用CPU時更好地支援動態形狀，也是說在使用CPU進行推理時，模型可以更有效地處理動態形狀輸入，改進功能性和效能。</p> <p>新的C++打包器功能，則允許開發者將深度學習模型加速元件TorchInductor生成的核心和外部核心的呼叫程式碼，從Python轉換成為C++。該功能有兩個主要好處，第一是透過C++代替Python呼叫核心，可以減少Python所產生的額外效能成本，對於受到Python額外執行成本較大影響的輕量級工作負載尤為重要。另外，C++打包器也是支援無Python環境部署模型的重要環節，對模型部署提供更好的靈活性和可擴展性。</p> <p>PyTorch 2.1還新加入了一種基於閃光注意力的比例內積演算法（Flash-attention-based scaled dot product algorithm），這是一種CPU最佳化演算法，專門改善Transformer模型中的比例內積式注意力（Scaled Dot Product Attention，SDPA）計算效能，而SDPA是一個在PyTorch 2.0才推出的重要功能。新演算法的重點在於，開發者不需要更改前端使用方式即可利用SDPA最佳化，大幅加速Transformer模型的訓練和推理過程，並且支援FP32和Bfloat16資料類型。</p> <p>PyTorch 2.1也提供了一個新的量化（Quantization）流程，用於在模型訓練完成後，透過TorchInductor以x86 CPU裝置作為後端，供開發者對模型進行後訓練量化，最佳化模型在x86架構CPU上的執行效率和效能。</p> </div></div></div>
2023/12/4 12:02作者李建興https://www.ithome.com.tw/news/160115
【資安週報】2023年11月27日到12月01日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期的漏洞消息中，有3起漏洞利用情況須優先關注，其中以Google修補瀏覽器漏洞的影響需要特別重視：</p> <p>（一）Google在28日修補已遭利用的Chrome瀏覽器零時差漏洞CVE-2023-6345，值得關注的是，該漏洞存在於Skia繪圖引擎，又是涉及底層，因此可能影響範圍還包括了Android、ChromeOS、Firefox/Thunderbird、Firefox OS、Flutter、Avalonia及LibreOffice等。</p> <p>（二）蘋果在30日修補兩個已遭到攻擊的零時差漏洞，分別是CVE-2023-42916、CVE-2023-42917），由於這些漏洞是Google威脅分析團隊（TAG）通報，且Google前兩日才修補Chrome零時差漏洞，這些漏洞是否可能同一起攻擊活動所利用，有待後續更多消息揭露。</p> <p>（三）檔案共享平臺ownCloud在11月21日修補3個重大漏洞，其中CVSS滿分的漏洞CVE-2023-49103，本身並不複雜，修補發布後已快速遭攻擊者用於攻擊行動，用戶需盡速進行緩解或補強。</p> <p>其他可留意的漏洞消息，包括：兆勤修補旗下NAS設備的6個重大漏洞，以及AI框架Ray被揭露存在重大漏洞，但開發商Anyscale目前未有修補打算，</p> <p>在國內，有兩大事件成為焦點，都與上市公司有關，首先是上海商銀發生1.4萬客戶資料外洩事件，由於事件發生後竟缺乏相關資訊可追查，成為金管會開罰重點，依據銀行法開罰1千萬元；關於中石化在11月中旬發布資安事件重大訊息，說明遭受駭客網路攻擊事件，近期有後續消息傳出，疑為勒索軟體駭客組織BlackCat所為，該組織聲稱取得41.9 GB資料。</p> <p>另一起事件也與臺灣有關，是即時通訊軟體Line的母公司發布資安通告，說明發生44萬用戶、合作夥伴、員工個資恐外洩事件，而當中有100筆資料屬於臺灣用戶，而目前Line已說明初步調查結果，是承包商員工的電腦感染惡意軟體。</p> <p>在資安威脅與事件方面，我們認為有下列4起事件值得留意：</p> <p>●先前10月身分驗證管理業者Okta資料外洩事故有新的調查結果，該公司指出所有曾經存取客戶支援系統的用戶都受波及，影響範圍比之前公布的更大。<br /> ●荷蘭半導體業者恩智浦（NXP）驚傳前幾年遭駭，當地新聞媒體NRC報導指出，中國駭客組織Chimera自2017年到2020年初滲透該公司網路環境，並竊得與晶片設計相關的智慧財產。而臺灣資安業者奧義智慧之前也曾揭露，臺灣在2018年及2019年至少7家半導體業者曾遭到中國駭客集團Group Chimera鎖定。<br /> ●財星500大企業中有數百個曝露了Kubernetes機敏資料，揭露此事的資安業者指出，他們主要針對dockercfg、dockerconfigjson這兩種類型的機敏資料進行調查所發現。<br /> ●北韓駭客發動供應鏈攻擊的事件，英國NCSC與韓國NIS提出警告，駭客先挖掘出韓國資安業者Dream Security開發的身分驗證系統MagicLine4NX的零時差漏洞，作為攻擊跳板，再利用另一連網系統的零時差漏洞來入侵特定目標。韓國資安業者AhnLab指出，這起事件是駭客組織Lazarus所為。</p> <p>此外，我們還看到，近日國際間持續有多家大型業者遭遇網路攻擊的消息，受害企業與組織遍及研究單位、醫療、關鍵CI等領域，包括：日本航太研究機構JAXA的AD伺服器遭非法存取，美國醫療保健業者Henry Schein傳出遭遇勒索軟體BlackCat攻擊，以及美國賓州自來水公司的工業控制系統傳出遭駭客劫持，斯洛維尼亞大型能源供應商HSE遭遇勒索軟體攻擊等。還有駭客聲稱竊取了奇異（General Electric）的資料，當中並包含大量美國DARPA的軍事資料。</p> <p>關於資安防護進展方面，有一項消息值得AI系統開發人員注意——英國NCSC與美國CISA在11月26日共同發布全球首份「安全AI系統開發指南」，當中將AI系統開發生命周期分四大階段，包括：安全設計、安全開發、安全部署及安全維運，主要提供AI系統開發的必要建議，以確保每個階段都能讓開發者有適當的安全措施可遵循。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160022"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月27日】荷蘭半導體業者NXP遭中國駭客攻擊，入侵時間超過2年，驚傳與晶片設計相關智慧財產資料被竊</span></strong></a></h3> <p>隨著最近幾年中美之間的晶片戰，半導體產業的重要性與日俱增，美國禁止廠商對中國業者供應晶片，中國也盡舉國之力，無不想方設法取得相關的技術及資源，試圖在封裝、製程等層面具備更強的自主能力。</p> <p>雖然檯面上因為美中對抗的關係，各國將相關技術輸出到中國受到越來越多管制，但最近有媒體報導曾出現國家級駭客滲透歐洲大型半導體業者，試圖取得相關智慧財產資料。</p> <h3><a href="https://www.ithome.com.tw/news/160051"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月28日】美國醫療保健服務業者Henry Schein傳出二度遭遇勒索軟體BlackCat攻擊，導致電子商務平臺遭到癱瘓</span></strong></a></h3> <p>這幾年勒索軟體攻擊極為氾濫，一旦遭遇相關攻擊，企業組織就有可能必須與駭客交涉。但受害組織在談判的過程，也要同時採取相關的因應措施，來防範駭客翻臉不認人的情況。</p> <p>例如，最近有一起大型資安事故當中，駭客疑似因不滿談判結果，再度對受害企業發動攻擊，癱瘓該公司包含電子商務平臺等多項應用系統，並打算公布竊得的資料。</p> <h3><a href="https://www.ithome.com.tw/news/160069"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月29日】上海商銀驚傳1.4萬客戶資料外洩，金管會公布調查結果列4大缺失，依銀行法重罰千萬，外洩管道仍有待釐清</span></strong></a></h3> <p>金融業強化資安不遺餘力，從<a href="https://www.ithome.com.tw/article/156845">投入的資安預算高居臺灣各產業之冠</a>可見一般。但最近一起資料外洩事故並非銀行主動揭露，竟是等到主管機關祭出處罰才曝光。</p> <p>金管會最近針上海商銀資料外洩事故祭出高額裁罰引起舉國關注，上海商銀在事發後僅公告證實遭罰，但根據現在已知的資訊，仍難以判斷具體發生資料外洩的行為與過程，期昐上海商銀未來能提出更詳細的說明。而對於接下來要進行的檢討與改善，上海商銀也勢必要儘快公開這方面的資訊。</p> <h3><a href="https://www.ithome.com.tw/news/160086"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【11月30日】針對10月資料外洩事故，身分驗證管理業者Okta表示受害範圍擴大，所有使用客戶支援系統的用戶皆受影響</span></strong></a></h3> <p>身分驗證解決方案業者Okta今年10月底發生資安事故，該公司11月初揭露此事時，只說低於1%比例的客戶受害，如今該公司推翻這樣的說法，他們改口表示，影響範圍擴大，涵蓋使用客戶支援系統的所有用戶。</p> <p>這起資料外洩事故比較特別的是，雖然駭客取得所有曾經使用該支援系統的用戶名單，但大多數人只有填寫姓名與電子郵件信箱兩種資料，後續影響有待觀察。</p> <h3><a href="https://www.ithome.com.tw/news/160108"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月1日】美國賓州水利設施遭伊朗駭客攻擊，CISA呼籲管理者應修改設備預設密碼、採用雙因素驗證，強化基本防護力</span></strong></a></h3> <p>美國賓州阿里奎帕市水務局證實增壓站遭到伊朗駭客入侵，因採用以色列廠牌工控設備而遭到鎖定。駭客也宣稱，他們正在對採用這類OT設備的水利設施發動攻擊。</p> <p>值得留意的是，在美國網路安全暨基礎設施安全局（CISA）發布的資安公告當中，指出駭客可能是透過配置不當的情況發動攻擊，而非透過漏洞入侵受害組織。</p> <p style="margin: 0px;">10月身分驗證管理業者Okta資料外洩事故範圍擴大，存取該公司客戶支援系統的用戶皆受影響</p> <p style="margin: 0px;"> </p> <p> </p> </div></div></div>
2023/12/4 12:18作者羅正漢https://www.ithome.com.tw/news/160142
10月身分驗證管理業者Okta資料外洩事故範圍擴大，存取該公司客戶支援系統的用戶皆受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11月初身分驗證解決方案業者Okta證實客戶支援系統遭駭，<a href="https://www.ithome.com.tw/news/159667">當時初步確認約有134個客戶受到影響</a>，占他們客戶不到1%，最近該公司揭露<a href="https://sec.okta.com/harfiles">新的調查結果</a>。</p> <p>11月29日Okta指出，他們確認駭客下載的資料當中，包含所有客戶支援系統用戶的姓名、電子郵件信箱，研判所有Workforce Identity Cloud（WIC）、Customer Identity Solution（CIS）的使用者都可能曝險，但不包含使用FedRamp High、DoD IL4環境的用戶，原因是這些環境採用獨立的支援系統，駭客無從存取。此外，Auth0、CIC的支援案件管理系統也不受影響。</p> <p>該公司指出，雖然駭客取得的資料多達15種欄位，但不含帳密或敏感個資，且大部分（99.6%）使用者僅有提供姓名和電子郵件信箱，因此影響有限。Okta亦尚未察覺這些資料遭到濫用的跡象。</p> </div></div></div>
2023/12/3 16:22作者周峻佑https://www.ithome.com.tw/news/160131
Deno Cron新工具供開發者安排預定作業，簡化網頁應用開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deno.com/blog/cron">Deno Cron</a>是JavaScript/TypeScript執行環境Deno最新推出的功能，目的是要簡化網頁開發過程。Deno Cron讓用戶可以透過設定任務名稱、排程以及處理函式3個參數，簡單地安排預定作業。</p> <p>Deno Cron可以在Deno執行環境中獨立運作，供開發者在Deno應用程式中安排和管理定時作業。不同於UNIX/Linux上的Cron，Deno Cron執行任務不會重疊，官方解釋，當開發者安排每10分鐘執行一次的任務，而該任務需要30分鐘才能完成，Deno Cron會自動跳過下一次預訂的作業，直到任務完成為止。</p> <p>Deno Cron處理函式可以執行各種操作，包括更新Deno KV的狀態、發送電子郵件和啟動資料庫備份等工作。Deno Cron的運作方式，會在專案進行生產部署時，以一個暫時的V8隔離區評估專案的頂層作用域，發現所有Deno.cron的定義，之後全域Cron調度器便會根據專案的最新Cron定義進行更新。</p> <p>而Deno Cron也能搭配無伺服器服務Deno Deploy使用，並獲得額外好處，使Deno Cron能夠自主偵測和管理作業，甚至可以在沒有網頁伺服器的情況下執行Cron作業，官方解釋，當用戶部署專案，Deno Deploy便會自動偵測Cron作業並進行評估。</p> <p>當到了需要執行處理函式的期間，Deno Deploy便會自動啟動隔離區執行作業。此外，透過更改程式碼並創建新的部署，用戶就能簡單地修改或停止現有的Cron，像是當用戶從程式碼中移除了Deno.cron並重新部署，之前的作業便不會再被安排執行。</p> </div></div></div>
2023/12/4 08:22作者李建興https://www.ithome.com.tw/news/160116
AWS正式發布專為Rust和Kotlin設計的SDK
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS推出<a href="https://aws.amazon.com/tw/blogs/developer/announcing-general-availability-of-the-aws-sdk-for-rust/">Rust</a>與<a href="https://aws.amazon.com/tw/blogs/developer/aws-sdk-for-kotlin-ga/">Kotlin</a>兩個程式語言專用的AWS SDK正式版本，開發者已經可以將其用於生產環境中。AWS SDK是一系列工具，供開發者在AWS平臺上建立、部署和管理應用程式，該套件提供多種語言的API，讓開發者可以簡單地操作AWS服務和資源。</p> <p>雖然Kotlin開發者早就可以使用Java SDK開發Kotlin程式，但AWS仍從頭設計Kotlin SDK，提供符合Kotlin語言特性的開發體驗，官方提到，Kotlin比Java更具互通性，他們認為應該提供一個可以充分利用Kotlin語言特性，而且Kotlin開發者能夠習慣的SDK。</p> <p>AWS的Kotlin SDK提供了一些專為Kotlin程式語言設計的功能，包括領域特定語言（Domain-Specific Language，DSL）建置器，和支援使用協程進行非同步AWS服務呼叫等。官方提到，Kotlin可以簡單地混用其他語言，讓開發者也能從Kotlin呼叫Java程式碼。</p> <p>開發者可以使用Kotlin SDK，開發在JVM平臺或Android API Level 24以上裝置的應用程式，官方指出，因為Kotlin並非一種僅限JVM的程式語言，其多平臺的能力供開發者有能力編寫JVM、原生二進位檔案、JavaScript和WebAssembly的Kotlin程式碼。因此Kotlin SDK一開始就被官方定位成多平臺函式庫，計畫未來支援更多的平臺。</p> <p>除了Kotlin，AWS還推出適用於Rust的SDK，提供了類型安全API，並且具有Rust語言優勢諸如效能、可靠性和生產力。官方提到，Rust SDK支援async/await、非阻塞IO以及建置器。目前Rust SDK已經可以存取300多個AWS服務。</p> <p>Rust SDK為模組化設計，開發者可以僅對需要的AWS服務編譯Crate，AWS還強調，Rust SDK高效的執行效能，開發者可以用於S3、EC2和DynamoDB之間快速傳輸資料。</p> </div></div></div>
2023/12/4 08:26作者李建興https://www.ithome.com.tw/news/160118
荷蘭半導體業者恩智浦驚傳遭駭，中國駭客竊取晶片設計相關智財資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著最近幾年中美之間的晶片戰，半導體產業的重要性與日俱增，美國禁止廠商對中國業者供應晶片，中國也盡舉國之力，無不想方設法取得相關的技術及資源，試圖在封裝、製程等層面具備更強的自主能力。</p> <p>雖然，檯面上因為美中對抗的關係，各國將相關技術輸出到中國受到越來越多管制，但最近有媒體報導曾出現國家級駭客滲透歐洲大型半導體業者，試圖取得相關智慧財產資料。</p> <p>根據荷蘭新聞媒體NRC報導，<a href="https://www.nrc.nl/nieuws/2023/11/24/spionage-chinese-hackersgroep-zat-jarenlang-in-het-netwerk-van-de-nederlandse-chipfabrikant-nxp-a4182149">中國駭客組織Chimera自2017年到2020年初，滲透荷蘭半導體業者恩智浦（NXP）的網路環境</a>，並竊得與晶片設計相關的智慧財產，但是否有更多機密被竊，仍有待進一步調查。</p> <h3><strong>事件揭露是緣自另一起攻擊的調查</strong></h3> <p>這起攻擊行動之所以曝光，源於荷蘭皇家航空子公司Transavia前幾年遭遇類似攻擊，駭客在2019年9月入侵該公司的訂票系統，資安業者Fox-IT鑑識人員在調查的過程中，發現存在與恩智浦的IP位址連線的情況，從而發現這群駭客也對恩智浦下手。</p> <p>攻擊者起初從臉書、職場社交平臺LinkedIn挖掘可能的帳號資料，然後透過暴力破解攻擊來猜測密碼，取得VPN的存取權限，遂於2017年10月入侵恩智浦的內部網路環境。而對於竊取的資料，攻擊者還會每隔幾個星期重新比對，然後將竊得的新資料上傳到OneDrive、Dropbox、Google Drive等公有雲端服務。然而，恩智浦直到2020年，才察覺遭到駭客入侵。</p> <p>特別的是，NRC提及了恩智浦採用了雙因素驗證來保護網路系統──該公司透過電話提供額外的驗證碼，來防範上述的暴力破解攻擊，但道高一尺魔高一丈，駭客竄改電話號碼來繞過此種驗證措施。究竟駭客如何竄改電話號碼？該報導並未提及。</p> <p>該報導指出，恩智浦在微軟及多家IT業者的協助下，試圖盤點受害情形，並隔離受影響的IT系統。Fox-IT也協助調查至2020年4月，恩智浦也向艾司摩爾（ASML）等位於費爾德霍芬附近的半導體廠商進行通報。不過，艾司摩爾本次並未受到波及。</p> <p>對此，恩智浦向NRC證實智慧財產遭竊，但強調該資料極為複雜，無法輕易複製，因此，該公司認為沒有公開說明的必要。</p> <h3><strong>攻擊者曾對臺灣半導體產業發動攻擊</strong></h3> <p>而對於攻擊者的身分，Fox-IT將矛頭指向了臺灣資安業者奧義智慧於2020年4月揭露的中國駭客組織「Chimera」，<a href="https://www.ithome.com.tw/news/139301">該組織曾於2018年至2019年</a>，入侵新竹科學園區，至少有7家廠商遭到鎖定，駭客的目的就是竊取與該產業有關的機密資訊。而在這些攻擊行動裡，不論是初期的徵兆或是後續的手法，皆顯示駭客採用類似的戰略、技術、自製的惡意程式。NRC提到，這些駭客打包竊得的資料時，會使用特定的密碼。</p> <p>針對Transavia的資安事故，Fox-IT在2021年1月，曾公布名為<a href="https://web.archive.org/web/20210620162513/https://blog.fox-it.com/2021/01/12/abusing-cloud-services-to-fly-under-the-radar/">Abusing Cloud Services to Fly Under the Radar</a>的調查報告，然而在NRC向恩智浦進一步確認之後，這份報告已遭移除。</p> <p>奧義智慧<a href="https://cycrafttechnology.medium.com/threat-attribution-chimera-under-the-radar-7c4cce390efd">比對他們和Fox-IT調查的結果</a>，發現駭客曾經在分別針對臺灣、荷蘭攻擊行動當中，總共使用過67種手法，其中有42種在不同的攻擊行動出現，而兩波攻擊行動手法上出現的差異，很有可能與鎖定的目標有關。對此，NRC指出，攻擊恩智浦的駭客組織，應該就是曾經攻擊臺灣半導體產業的Chimera。</p> </div></div></div>
2023/12/3 16:09作者周峻佑https://www.ithome.com.tw/news/160130
Line母公司遭遇網路攻擊，44萬用戶、合作夥伴、員工個資恐外洩，臺灣也有用戶資料曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年半前，<a href="https://www.ithome.com.tw/news/143412">即時通訊軟體Line日本公司傳出資料外洩疑雲</a>，當時該公司數度發布公告，澄清用戶資料並未儲存在中國，並取消上海子公司對開發資料的存取權限，包含了Line調查機構內容管理系統（CMS）、監控業務CMS、問卷開發、頭像、Line應用程式中的OCR開發，以及Keep功能開發的權限。最近該公司再度出現資料外洩事故，但這次是供應鏈攻擊導致。</p> <p>即時通訊軟體Line母公司<a href="https://www.lycorp.co.jp/ja/news/announcements/001002/">LY Corporation（LYC，原Z Holdings）發布資安通告</a>，指出他們偵測到未經授權的第三方於10月9日存取該公司系統，而有可能導致使用者、業務合作夥伴、員工等人士的資訊遭到洩露。</p> <h3><strong>起因是承包商員工的電腦感染惡意軟體</strong></h3> <p>而對於資安事故發生的經過，該公司指出，起因是他們與韓國雲端業者Naver的承包商遭駭，員工電腦感染惡意軟體引起。由於LYC和Naver共用處理員工及其他個資的身分驗證系統，從而導致駭客藉由Naver的系統入侵先前屬於Line Corporation的內部系統。LYC於10月17日察覺異狀並著手調查，並於同月27日得到初步結論，很有可能是來自外部的未經授權存取事故造成。隔日，他們強制員工重新登入，才能存取內部系統。</p> <p>該公司在11月27日公布影響範圍，已知有超過44萬筆個資外洩，當中包含302,569筆Line使用者資料（日本用戶129,894筆）、86,105筆業務合作夥伴資料、51,353筆員工及其他人士的資料流出。</p> <p>而對於Line用戶的部分，當中有49,751筆包含服務使用記錄（日本用戶15,454筆），22,239筆含有與特定用戶互動的私密資料（日本用戶8,981筆）。不過，上述的用戶資料皆未包含銀行帳號、信用卡資料、聊天訊息內容。與LYC和Naver員工相關的資料當中，大部分來自身分驗證系統，其中，與LYC集團有關的資料有30,409筆；與Naver集團有關的資料則有20,938筆。</p> <h3><strong>臺灣也有用戶受到影響，數位部要求該公司積極處理</strong></h3> <p>由於Line的臺灣用戶眾多，這起資安事故公告引起國內各界關注。<a href="https://moda.gov.tw/ADI/news/latest-news/9007">台灣連線公司（LINE Taiwan）也向數位產業署通報此事</a>，並於11月27日中午向數位部進行說明。數位部也要求該公司依法通報個資外洩。</p> <p>台灣連線公司指出，這起事件主要的影響範圍，是系統事件記錄檔及部分員工資料，目前尚未發現個人或群組的通訊內容，以及信用卡、銀行帳號等金融資料外洩的情形。在外洩的資料當中，該公司也透露與臺灣用戶有關的資料約有100筆，其內容均為經過雜湊處理的手機號碼、電子郵件信箱、Line帳號。</p> <p>根據數位產業署要求說明的改善作為，台灣連線公司表示，LYC強制重設員工內部系統的密碼、雙因素身分驗證機制，並透過使用者註冊的電子郵件，以及Line官方帳號發送訊息等方式，來通知當事人。數位產業署也要求台灣連線公司，配合行政檢查，並針對臺灣用戶權益受損的情況提出解決方案。</p> </div></div></div>
2023/12/3 15:57作者周峻佑https://www.ithome.com.tw/news/160129
TXOne第二代OT網路安全產品上場，提供彈性、多元軟硬體
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/txone_edgev2_main1.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與趨勢科技（Trend Micro）有深厚淵源的OT資安廠商睿控網安（TXOne Networks），今年9月初在SEMICON Taiwan 2023國際半導體展前夕，針對旗下的網路安全產品線Edge系列，發布第二代版本（V2），強調可提供自動學習與產生控管政策的功能，方便企業在複雜、大型OT環境當中，也能輕鬆地進行網路分段（segmentation）的設定與管理工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Edge%20segmentation.jpg" style="width: 600px;" /></p> <p>這套解決方案在5月初舉行的2024臺灣資安大會首度亮相，透過企業與組織網路傳送的OT網路通訊流量進行學習，可依照各個特定環境產生對應的OT協定信任清單，TXOne的Edge V2世代的產品，已配備針對OT網路環境原生設計的能見度增進功能，以及進階的OT智慧型政策部署方式，並且提供線上（inline）的虛擬修補機制，以便在產線設備無需停機的狀態下，也能主動防堵漏洞濫用行為，同時可廣泛支援多種OT網路協定，用戶能夠進行深層分析。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-TXOne Cybersec 2023-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-TXOne%20Cybersec%202023-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-05-TXOne Cybersec 2023-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-TXOne%20Cybersec%202023-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TXOne Edge virtualpatch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Edge%20virtualpatch.jpg" style="width: 600px;" /></a></p> <p>此外，TXOne Edge V2也備妥多種外形的設備選擇，可用於建置縱深防禦的資安防護態勢。舉例來說，當中的OT網路入侵防禦設備EdgeIPS，目前可細分3大系列、共8款機型。</p> <p>依外形與建置方式而言，若要設在標準伺服器機櫃，TXOne提供2U機架式的EdgeIPS Pro 2096 Gen2，1U機架式的EdgeIPS Pro 2016F、EdgeIPS Pro 2008、EdgeIPS Pro 1048 Gen2；而需要以其他形式安裝的產品，則有：可安裝在DIN滑軌、伺服器機架、壁掛的橫置型設備，例如EdgeIPS Pro 216、EdgeIPS Pro 216 Rugged，以及支援DIN滑軌安裝與壁掛的直立小型設備，例如EdgeIPS 103、EdgeIPS LE 102。</p> <p><a href="https://s4.itho.me/sites/default/files/images/EdgeIPS 103_LE Arch.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/EdgeIPS%20103_LE%20Arch.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/EdgeFire Arch.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/EdgeFire%20Arch.png" style="width: 298px;" /></a></p> <p>而以產品推出時序來看，EdgeIPS Pro 2096、EdgeIPS Pro 1048應該是在2021年推出，EdgeIPS Pro 216、EdgeIPS Pro 216 Rugged在2022年6月登場，今年3月EdgeIPS LE 102、EdgeIPS 103、上陣，至於EdgeIPS Pro 2096 Gen2、EdgeIPS Pro 1048 Gen2則是在9月推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/EdgeIPS Pro Arch.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/EdgeIPS%20Pro%20Arch.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/EdgeIPS Pro 216 Arch.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/EdgeIPS%20Pro%20216%20Arch.png" style="width: 298px;" /></a></p> <p>值得注意的是，我們剛好也看到處理器廠商英特爾10月底發布的解決方案簡介文件，當中特別提到EdgeIPS系列的3款機型：EdgeIPS Pro 216、EdgeIPS Pro 1048、EdgeIPS Pro 2096，並介紹這些產品搭配的CPU運算平臺，以及處理效能。他們表示，這三款機型皆以EdgeIPS Pro軟體搭配瑞祺電通（CASwell）的網路安全設備而成，存取延遲均低於500毫秒，用於過濾OT通訊協定的組態都是256個。</p> <p>其中的EdgeIPS Pro 216採用的處理器是英特爾Atom，內建16個GbE網路埠，防火牆吞吐量可達12 Gbps，同時連線數量可支援20個，能強制實施的控管政策為8千個；EdgeIPS Pro 1048、EdgeIPS Pro 2096則搭配第三代Xeon Scalable處理器，分別內建48個與96個GbE網路埠，防火牆吞吐量為20Gbps與40Gbps，同時連線數量各為2百萬個與4百萬個，能強制實施的控管政策為5萬個與10萬個。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TXOne Edgepolicy enforcement.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Edgepolicy%20enforcement.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TXOne Edge Authorization.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Edge%20Authorization.jpg" style="width: 600px;" /></a></p> <p>關於網路連線容錯的部分，EdgeIPS全系列均提供硬體旁路（bypass），若設備發生故障，網路連線仍可繼續進行而不會在此堵塞。以EdgeIPS 103、EdgeIPS LE 102這類小型設備而言，網路埠不多，各為3個與2個，因此，全部支援這項配置；至於其餘機型，均保留一半數量的網路埠提供第三代的硬體旁路機制，並能在此啟動網路分段，例如，EdgeIPS Pro 1048 Gen2本身有48個GbE埠，其中24個可支援硬體旁路與網路分段。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TXOne Edge Bypass.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Edge%20Bypass.jpg" style="width: 600px;" /></a></p> <p>而在OT網路協定的運用上，EdgeIPS系列可支援超過6千種通訊協定的細部參數設定組合，可廣泛因應不同的OT網路營運需求。對於OT網路活動的辨別與控管上，EdgeIPS內建該公司長期發展的產業型深層封包檢測核心技術，名為TXOne One-Pass DPI for Industry（TXODI），能夠建立與編輯允許裝置連網的清單，並且能以此透視重要設備節點之間的交互運作狀況，深入分析網路第2層至第7層的流量。</p> <p>關於TXOne Edge V2強調的政策簡化設置功能，在EdgeIPS 103、216、2008、2016F、1048 Gen2、2096 Gen2，以及OT網路防火牆EdgeFire 1012，均配備自動化學習、產生控管規則的技術，可根據每天的OT網路運作狀態學習日常連線模式、產生允許連網的清單，減少部署這類防護機制的時間。透過這項針對OT環境的原生應用技術，能夠學習差異極大的OT網路行為，再以此建立作為安全基準判斷的信任清單，進而簡化管理流程。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TXOne Edge Autolearn.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Edge%20Autolearn.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TXOne Edge host management.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Edge%20host%20management.jpg" style="width: 600px;" /></a></p> <p>而在多臺TXOne Edge設備的集中控管應用上，V2世代提供的管理主控臺軟體稱為EdgeOne，前身是Operational Technology Defense Console（ODC），可提供多臺設備的特徵碼更新與韌體管理功能，目前最新版本為2.2，於今年8月底推出。</p> <p>根據3月公布的Edge V2新功能來看，EdgeOne支援EdgeIPS 103、EdgeIPS LE 102之餘，最大特色是針對OT環境營運提供原生的能見度功能，先前的ODC僅能總覽所有列管的設備資產，EdgeOne現在有4種檢視方式：即時的設備資產、介面狀態、網路拓樸架構圖解、特徵碼部署資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-03-EdgeOne_Visibility_Updated Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-EdgeOne_Visibility_Updated%20Web.jpg" style="width: 600px;" /></a></p> <p>以資產檢視而言，管理者可察看設備類型、通用資訊、頻寬用量、應用系統使用量。網路架構圖解的部分，管理者可了解裝置與介面連線狀態、識別設備的潛在風險（網路威脅的事件、違反政策的事件）。</p> <p>關於日常處理的作業功能，EdgeOne支援以電子郵件寄送事件通知，用戶也能設定排除過濾的檔案清單。在資安防護系統的延伸應用上，EdgeOne內建整合趨勢科技的XDR系統Trend Micro One，除此之外，也能整合Syslog通訊協定，可接收CEF與LEEF這兩種事件格式的記錄，以及其他解決方案廠商的可疑物件情報，從而提升威脅識別度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TXOne Edge Montoring.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Edge%20Montoring.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品快報</strong></span></p> <p><strong>TXOne Edge V2</strong><br /> ●原廠：TXOne Networks<br /> ●建議售價：廠商未提供<br /> ●涵蓋產品種類與供應形式：集中管理主控臺EdgeOne，軟體系統（虛擬應用設備）；入侵預防系統EdgeIPS，含EdgeIPS Pro系列、EdgeIPS 103、EdgeIPS LE 102，硬體設備；防火牆EdgeFire 1012，硬體設備<br /> ●硬體設備威脅預防處理效能：<br /> EdgeIPS Pro 1048為10Gbps，EdgeIPS Pro 2096為20Gbps<br /> EdgeIPS Pro 2008、EdgeIPS Pro 2016F為20Gbps，<br /> EdgeIPS Pro 216、216 Rugged為1.8 Gbps<br /> EdgeIPS 103為850Mbps<br /> EdgeIPS LE 102為100 Mbps<br /> EdgeFire 1012為200Mbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/3 15:55作者李宗翰https://www.ithome.com.tw/review/160083
提供PCIe與OAM外形，英特爾首款資料中心GPU產品問世
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/intel_data_center_gpu_maxxi_lie_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從Nvidia在2016年推出Tesla P100，將GPU拓展至資料中心等級的產品，後續發表Tesla V100、A100，以至近期炙手可熱的H100，連帶也吸引其他晶片廠商開始積極發展資料中心GPU、AI加速器，像是AMD在2020、2021年底的SC超級電腦大會期間，推出<a href="https://www.ithome.com.tw/review/141277">Instinct MI100系列</a>，以及<a href="https://www.ithome.com.tw/review/147860">Instinct MI200系列</a>，下一代產品<a href="https://ir.amd.com/news-events/press-releases/detail/1168/amd-announces-amd-instinct-mi300-accelerator-launch-event">Instinct MI300系列即將於今年12月初發表</a>；英特爾在2021年預告將推出資料中心GPU產品，2023年1月終於上市，隨後於5月底、9月底，以及11月初，陸續公布效能測試優勢，以及超級電腦系統、市售伺服器的採用現況。</p> <h3><span style="color:#0000FF;"><strong>兩年前對外揭露正在發展的</strong><strong>資料中心GPU架構，去年底定名為Data Center GPU Max系列</strong></span></h3> <p>在2021年8月的Intel架構日，英特爾首度公開介紹他們發展的<a href="https://www.ithome.com.tw/tech/146524">資料中心GPU架構：Xe HPC</a>，以及採用此架構的產品，代號為Ponte Vecchio，隔年11月初舉行的SC22超級電腦大會期間，<a href="https://www.ithome.com.tw/tech/154162">GPU產品正式定名為Intel Data Center GPU Max系列（以下簡稱為Intel Max GPU）。</a></p> <p>當時英特爾預告將推出3款資料中心GPU，分別是：雙寬尺寸PCIe介面卡外形的1100，以及OAM外形的1350、1550，內建的Xe核心數量、HBM2e記憶體容量，以及熱設計功耗，都有不同配置，而在運算效能的突破上，英特爾以競爭產品Nvidia A100為基準，聲稱Intel Max GPU可達到1.5倍至2.4倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-Intel Max GPU 1100 overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-Intel%20Max%20GPU%201100%20overview.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Max%201350_1500%20GPU%20overview.jpg" style="width: 298px;" /> </p> <p>而在採用客戶的部分，英特爾表示，美國能源部阿貢國家實驗室正在建造的超級電腦Aurora，預計將會採用Intel Max GPU，以及此時一同揭露的Xeon Max系列處理器，並預告2023年1月將推出這兩種Max系列產品，以及2024年發表下一代資料中心GPU，代號為Rialto Bridge，未來將會推出在單一封裝結合x86核心與Xe核心的XPU晶片，代號為Falcon Shores。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/icT4c3EX8Kg?si=lV5cK1UrE9ZMJKkC" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>至於搭配Intel Max GPU伺服器方面，有兩家廠商率先響應，一家是聯想，他們在SC大會公布與展出ThinkSystem SD650 V3，以及<a href="https://www.servethehome.com/intel-xeon-sapphire-rapids-platforms-shown-before-sc22-supermicro-asus-qct-lenovo-atos-coolit-hpe/">展出ThinkSystem SD650-I V3</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GPU-Max%20Server-Lenovo1-2022-11.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GPU-Max%20Server-Lenovo2-2022-11.jpg" style="width: 600px;" /></p> <p>另一家是Dell，當時宣布推出PowerEdge XE系列3款機型，其中一款XE9640採用這款GPU。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-XE9640.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-XE9640.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>今年上半Intel Max GPU細部規格、系統搭配，以及應用案例陸續出爐</strong></span></h3> <p>今年1月10日，英特爾一口氣推出第四代Xeon Scalable處理器、Xeon Max系列處理器，以及Intel Max GPU，但所有焦點都在第四代Xeon Scalable處理器，對於Intel Max GPU，英特爾延續Intel架構日公布的相關資訊，重申這款產品使用超過1千億顆電晶體，並在單一封裝納入47片晶磚，而在運算效能方面，他們提出新數據：在與Xeon Max系列處理器一起使用的伺服器當中，執行分子動力學模擬器LAMMPS時，相較於第三代Xeon Scalable處理器的伺服器，可獲得12.8倍的效能。在此同時，聯想也在公布ThinkSystem V3系列機型，順勢<a href="https://lenovopress.lenovo.com/lp1684-announcing-thinksystem-v3-with-4th-gen-intel-xeon-scalable-processors">揭露ThinkSystem SD650-I V3的規格。</a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Max GPU 1350 in SD650-I V3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Max%20GPU%201350%20in%20SD650-I%20V3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SD650-I V3 internals front angled left-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SD650-I%20V3%20internals%20front%20angled%20left-web.jpg" style="width: 198px;" /></a></p> <p>接著是5月底的ISC High Performance 2023超級電腦大會，英特爾揭露更多Intel Max GPU的能耐。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Max%201550-Spec-2023-05.jpg" style="width: 600px;" /></p> <p>他們宣稱，若同樣用於廣泛的科學工作負載，以Nvidia於2022年新推出的資料中心GPU產品H100 PCIe為對手，OAM外形的Intel Data Center GPU Max 1550領先幅度平均可達到30%，同時，英特爾也引用於工程模擬軟體廠商Ansys的測試數據，指出Intel Data Center GPU Max 1550執行AI加速的高效能運算系統，效能是Nvidia H100 PCIe的1.5倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Max 1550-Perform2-2023-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Max%201550-Perform2-2023-05.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Max 1550-Perform1-2023-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Max%201550-Perform1-2023-05.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Max 1550-Perform0-2023-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Max%201550-Perform0-2023-05.jpg" style="width: 298px;" /></a></p> <p>關於超級電腦方面的應用布局，英特爾揭露美國能源部阿貢國家實驗室Auroa系統的安裝進度與系統規格——涵蓋63,744臺GPU、21,248顆CPU，以及1,024臺DAOS儲存系統節點，並透過早期程式碼測試，將Aurora測試與開發平臺「Sunspot」，與美國能源部旗下兩臺超級電腦比較預測核融合反應爐等離子體活動的效能，其中一臺是採用SXM外形Nvidia A100 GPU的「Polaris」，另一臺是正在建置、採用OAM外形AMD Instint MI250 GPU的「Crusher」。</p> <p>英特爾展示這些超級電腦在單GPU與多GPU組態的效能差異，他們表示，採用Intel Data Center GPU Max 1550的系統運算效能，可達到AMD Instint MI250的兩倍。若用於量子力學應用系統，如QMCPACK，以Nvidia H100為比較基準，Intel Data Center GPU Max 1550領先幅度為20％，擴充至數百臺節點時，整體效能也將呈近乎線性的增長。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Aurora P1-2023-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aurora%20P1-2023-05.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Aurora P2-2023-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aurora%20P2-2023-05.jpg" style="width: 298px;" /></a></p> <p>此外，英特爾還特別提到英國劍橋大學的Open Zettascale實驗室，他們已部署Max GPU測試平臺，並於分子動力學和生物成像應用看到正面的早期成果。</p> <p>在市售伺服器產品的搭配上，英特爾也公布2023年底之前的供應規畫。首先是機型名稱有變化，Intel Max GPU仍然提供3款機型， 1100、1550照舊，但不提供1350而是1450，關於這項傳言，4月中有一些科技媒體報導。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Max GPU Offered in 203.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Max%20GPU%20Offered%20in%20203.jpg" style="width: 600px;" /></a></p> <p>伺服器廠商的產品方面，以OAM外形的1450與1550而言，Supermicro、浪潮將提供支援8臺OAM配置的伺服器，Dell、聯想將提供支援4臺OAM配置的伺服器；若是PCIe介面卡外形的1100，會有5大廠牌伺服器搭配，包含Dell、HPE、浪潮、聯想、Supermicro。若用戶不想透過這種形式測試Intel Max GPU是否合用，也可以透過英特爾發展、正在測試的雲服務<a href="https://www.ithome.com.tw/review/159908">Intel Developer Cloud</a>評估。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ISC23-Supermicro%208-OAM%20Server-0-2023-05.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/ISC23-Supermicro%208-OAM%20Server-2023-05.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ISC23-Supermicro%208-OAM%20Server-2023-05-1.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Max%201550-OAM-2023-05.jpg" style="width: 298px;" /></p> <blockquote><p>今年5月底召開的ISC超級電腦大會期間，英特爾展示Intel Data Center GPU的兩種外形，副總裁暨超級運算事業群總經理Jeff McVeigh向大家介紹此產品的PCIe介面卡款式，以及OAM外形的款式（右下圖）。</p> </blockquote> <p>而在ISC大會期間，英特爾也在他們的演講舞臺上，展出Supermicro設計、採用Xeon Max系列處理器及8臺OAM外形GPU的8U尺寸氣冷伺服器，預計7月開始供貨，Supermicro也預告9月將推出4U尺寸的Intel Max GPU液態冷卻伺服器。除此之外，他們也介紹聯想設計、採用4臺OAM外形GPU的液態冷卻伺服器。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/ISC23-Lenvo 4-OAM Server-2023-05-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ISC23-Lenvo%204-OAM%20Server-2023-05-1.jpg" style="width: 298px;" /></a></p> <h3><span style="color:#0000FF;"><strong>搭配Intel Max GPU的市售伺服器產品一一浮出檯面，VMware為了擴展Private AI架構陣容也找上Intel合作</strong></span></h3> <p>9月下半英特爾年度用戶大會Innovation期間，對於Intel Max GPU，除了重申先前強調的產品特色，他們在一場演講當中，公布多款AI產品用於<a href="https://www.intel.com/content/www/us/en/developer/articles/technical/accelerate-llama2-ai-hardware-sw-optimizations.html#gs.0rp0m1">大型語言模型Llama 2的推論效能測試結果</a>，當中也包含Intel Max GPU。英特爾提到Intel Data Center GPU Max 1550在晶片封裝內放置兩片GPU晶磚，他們只用其中一片執行AI推論，結果顯示：輸入長度為32到2千個Token的狀態下，若用70億參數的模型進行推論，每個Token的反應延遲可低於20毫秒；若用130億參數的模型進行推論，每個Token的反應延遲介於29.2到33.8毫秒之間。他們表示，用戶可以同時執行兩個執行個體，每一片晶磚負責一個執行個體，可提供更大的吞吐量、獨立服務更多用戶。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/-Intel-Innovation-Day2-Keynote-3-Max%20GPU%20OAM.jpg" style="width: 248px;" /> <a href="https://s4.itho.me/sites/default/files/images/Intel AI Perform-Innovation-2023-09-1-WEB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20AI%20Perform-Innovation-2023-09-1-WEB.jpg" style="width: 350px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-f4-llama-2-7b-13b-inference-performance-on-gpu-max.png" style="width: 600px;" /></p> <blockquote><p>在今年的Innovation大會期間，英特爾針對旗下伺服器處理器與兩大加速器產品，以及最佳化軟體用於大型語言模型，首度公開以Llama 2的70億參數模型與130億參數模型執行AI推論的效能，當中可看出Intel Data Center GPU的表現，介於Xeon Scalable處理器與Gaudi2加速器之間。</p> </blockquote> <p>企業與組織若想要實際測試Intel Max GPU，英特爾9月正式上線的<a href="https://www.ithome.com.tw/review/159908">Intel Developer Cloud</a>服務，當中就提供搭配這款GPU的裸機執行個體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Developer Cloud-GPU Max1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Developer%20Cloud-GPU%20Max1.jpg" style="width: 600px;" /></a></p> <p> <a href="https://s4.itho.me/sites/default/files/images/Intel Developer Cloud-GPU Max2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Developer%20Cloud-GPU%20Max2.jpg" style="width: 600px;" /></a></p> <p>在此同時，另一款支援Intel Max GPU的伺服器產品終於上市，那就是去年底預告將支援的<a href="https://www.ithome.com.tw/review/159900">Dell PowerEdge XE9640</a>，他們公布細部規格，也在臺灣舉行的2023戴爾科技論壇公開亮相。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-09-26-Dell-TW-XE9640-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-26-Dell-TW-XE9640-2.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-26-Dell-TW-XE9640-3.jpg" style="width: 298px;" /></p> <p>到了11月，適逢VMware Explore 2023 Barcelona大會，以及SC23超級電腦大會的舉行，連帶有Intel Max GPU相關消息。</p> <p>首先，在月初這場VMware歐洲年度用戶大會活動期間，他們宣布8月底登場的VMware Private AI架構，先支援Nvidia的產品與技術，現在擴及英特爾、IBM這兩家公司合作。而採用Intel AI的VMware Private AI參考架構裡面，目前主要著墨在第四代Xeon Scalable處理器、Intel AI軟體套餐的運用，VMware公布《AI without GPUs: A Technical Brief for VMware Private AI with Intel》，9月底他們曾發布《AI without GPUs: Accessing Sapphire Rapids AMX instructions on vSphere》，Intel Max GPU也是其中一員，但未透露實際搭配應用方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-VMware-Presentation1_Page_2.jpg" style="width: 600px;" /></p> <p>隔週登場的SC23大會，英特爾宣布更多Intel Max GPU的近況。</p> <p>以運算效能而言，若同樣執行通用原子、分子與電子結構系統（GAMESS）的軟體，Intel Max GPU超越Nvidia A100的比例超過1倍以上。而在他們與伺服器廠商Dell合作發布的效能測試結果當中，以金融業市場風險分析應用的工作負載來比較，結果顯示以4臺Intel Data Center GPU Max 1550對上8張Nvidia H100 PCIe，效能超越比例是26％（但英特爾對媒體秀出的圖表是1.16倍？），而在伺服器空間使用效率方面，可達到4.3倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-Max GPU Perform1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-Max%20GPU%20Perform1.jpg" style="width: 600px;" /></a><br /> <a href="https://s4.itho.me/sites/default/files/images/2023-11-Max GPU Perform2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-Max%20GPU%20Perform2.jpg" style="width: 600px;" /></a></p> <p>在多種高效能運算工作負載類型的測試當中，Intel Data Center GPU Max 1550平均可贏過Nvidia H100 PCIe的幅度是36％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-Max GPU Perform3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-Max%20GPU%20Perform3.jpg" style="width: 600px;" /></a></p> <blockquote><p>在11月SC23超級電腦大會，英特爾揭露多種產業HPC效能測試比較，他們強調Intel Data Center GPU Max Series 1550（OAM外形），以36%的幅度領先競爭產品Nvidia H100 PCIe。可惜的是，這次未呈現以Nvidia H100 SXM為對手的表現差異，若差距幅度也這麼大，相信會更有說服力。</p> </blockquote> <p>SC23大會也同步揭開最新全球500大超級電腦榜單，其中有4臺使用Intel Max GPU，美國能源部阿貢國家實驗室的Aurora拿下第二，建置規模大致如ISC大會公布的，英特爾補充此系統有166座機櫃，10,624臺運算刀鋒模組，並透露此系統是在6月完成建置，其他3臺分別是：第41名英國劍橋大學的Dawn、第52名德國萊布尼茲超級電腦中心的SuperMUC-NG Phase 2、第196名美國能源部洛斯阿拉莫斯國家實驗室的Crossroads。其中的Dawn，應該就是英特爾5月ISC大會揭露的劍橋大學Open Zettascale實驗室系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-Aurora-perform1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-Aurora-perform1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-Aurora-perform2.jpg" style="width: 600px;" /></p> <p>值得注意的是Dawn、SuperMUC-NG Phase 2均採用伺服器廠商的產品搭建超級電腦，前者搭配Dell PowerEdge XE9640，後者則是聯想ThinkSystem SD650-I V3 Neptune DWC，均配備直接液態冷卻（DLC）技術。關於Intel Max GPU的搭配，我們看到聯想在SD650-I V3 Neptune DWC規格變更歷程的資訊，提到部分GPU款式支援變化——4月撤下對Intel Data Center GPU Max 1350的支援，8月針對中、港、澳的客戶提供搭配Intel Data Center GPU Max 1450的選項。</p> <p>除了上述兩款機型，SC23大會期間我們看到兩家伺服器廠商揭露搭配Intel Max GPU的產品。首先是Supermicro展出8U尺寸且支援OAM外形GPU的伺服器SYS-821GV-TNR，強調可搭配Intel Data Center GPU Max 1550，這款機型應該是5月底ISC大會英特爾展示的產品，而在Supermicro網站的Intel加速器產品專區當中，也提到該公司有一款4U伺服器SYS-421GE-TNRT，可搭配10張PCIe介面卡形式的多款Nvidia GPU加速卡，或是Intel Data Center GPU Max 1100。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro 8U OAM-Intel GPU Server.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%208U%20OAM-Intel%20GPU%20Server.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Suprmicro Intel 10GPU Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Suprmicro%20Intel%2010GPU%20Server.jpg" style="width: 298px;" /></a></p> <p><a href="https://www.hpe.com/us/en/product-catalog/compute/accelerators/pip.specifications.intel-accelerators.1014779728.html">HPE旗下有兩款伺服器也能搭配Intel Data Center GPU Max 1100</a>，根據該公司11月初更新的伺服器產品規格資訊，ProLiant DL380 Gen11可搭配2張，ProLiant DL380a Gen11能搭配2張或4張。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-Max GPU server status.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-Max%20GPU%20server%20status.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Max%20GPU%20Server.png" style="width: 500px;" /></p> <h3><span style="color:#0000FF;"><strong>Intel Max GPU的下一代產品是代號為Falcon Shores的「GPU」</strong></span></h3> <p>根據2022年11月Max系列GPU發表揭露的產品上市規畫，下一代會是代號為Rialto Bridge的資料中心GPU，預計2024年登場，之後則是在單一封裝結合Xe架構與x86核心的產品，代號為Falcon Shores，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-11-Intel AI Chip Roadmap.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-Intel%20AI%20Chip%20Roadmap.jpg" style="width: 600px;" /></a></p> <p>然而到了2023年3月初，英特爾突然宣布原本接班的Rialto Bridge將終止發展，下一代的產品會採用代號為Falcon Shores的GPU架構，預計2025年推出，將採用小晶片（chiplet）設計架構，能整合英特爾與長期合作客戶新型矽智財，涵蓋，CPU核心、其他小晶片，。</p> <p>而在幾天之後舉行的資料中心與AI投資者線上說明會當中，他們介紹今年第四季即將問世的第五代Xeon Scalable處理器之餘，在資料中心GPU Max系列的發展藍圖，也將後繼產品標示為「次世代加速器架構，代號為Falcon Shores」，而專屬AI加速器產品Habana Gaudi系列，在現行產品Gaudi 2，以及後繼產品Gaudi 3，之後是哪一款產品接替呢？英特爾在此，也相當巧合地將這個位置標示為「次世代加速器架構」，但並未列出研發代號。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-03-DCAI Investor Webinar-DCAI Roadmap.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-03-DCAI%20Investor%20Webinar-DCAI%20Roadmap.jpg" style="width: 600px;" /></a></p> <p>到了5月底召開的ISC23大會，英特爾直接表明下一代Max系列GPU就是Falcon Shores，它同時是現行Intel Data Center GPU Max與Habana Gaudi 3的接班者，並且以「次世代GPU」稱呼Falcon Shores。英特爾提到這款產品結合系統層級的CPU與獨立GPU，採用模組化、基於多片晶磚而成的架構，提供更多使用彈性，可因應新興與快速變遷的工作負載執行需求，他們預告GPU不只是廣泛支援HPC與AI領域常用的多種資料型別，舉凡FP64、BF16、FP8，最多能內建288 GB的HBM3記憶體，支援高達9.8 TB/s的記憶體總頻寬，大幅改善I/O存取，而且能運用CXL互連技術的程式運作模型，同時，可經由他們發展的oneAPI展現統一的GPU程式處理介面使用。</p> <p>英特爾副總裁暨超級運算事業群總經理Jeff McVeigh坦承，他們太快走向XPU的發展。他表示，倘若平臺層級具備的彈性能夠更理想地處理動態工作負載，英特爾會在合適的時機進行整合，例如此類工作負載趨於成熟時，以及更了解這些運算元件的正確搭配比例，屆時就能更有效率地完成相關的組建與設計，因此，英特爾決定改變GPU與XPU產品演進的過程。</p> <p>按照他們調整後的規畫，Falcon Shores是預計在2025年推出的GPU產品，至於產品的技術組成，Jeff McVeigh提出進一步說明，他表示，當中將結合Gaudi產品線的矽智財——像是深層的脈動陣列（Deep Systolic Array）、內建標準乙太網路而提供具有規模延展性的AI效能，可廣泛用於各種系統，以及Xe GPU產品線的矽智財——支援FP64的程式處理，提供彈性的CPU與GPU混合搭配比率，可橫跨多家廠商、使用熟悉的GPU程式處理介面，同時，這個平臺也能運用CXL技術，提供更理想的程式處理，以及記憶體容量擴充能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel DCAI Roadmap-2023-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20DCAI%20Roadmap-2023-05.jpg" style="width: 600px;" /></a></p> <p>到了11月SC23超級電腦大會期間，英特爾重申Falcon Shores會是用於HPC與AI領域的下一代GPU，相關產品宣傳力道聚焦在Habana Gaudi系列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-SC23-Intel Accelerator Roadmap.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-SC23-Intel%20Accelerator%20Roadmap.jpg" style="width: 600px;" /></a></p> <p>為何會出現厚此薄彼的現象？此產品線目前最新的解決方案<a href="https://www.ithome.com.tw/review/155484">Habana Gaudi 2</a>，是在2022年5月推出，<a href="https://habana.ai/where-to-buy/">搭配這款AI加速器的市售伺服器</a>，有Supermicro的SYS-820GH-TNR2、緯穎SV600G2、浪潮信息NF5688M7，到了2023年下半Gaudi 2突然暴紅，原因應是MLCommon公布的AI效能測試數據，突顯其運算效能日益接近Nvidia H100，在性價比方面，有競爭優勢。</p> <p> </p> <div class="media_embed" width="560px"> <blockquote class="twitter-tweet" data-media-max-width="560" height="" width="560px"><p dir="ltr" lang="en" xml:lang="en">Join Thomas Jorgensen as he takes you on a closer look at the <a href="https://twitter.com/Supermicro_SMCI?ref_src=twsrc%5Etfw">@Supermicro_SMCI</a> Habana Gaudi®2 server. If you are at <a href="https://twitter.com/hashtag/SC23?src=hash&ref_src=twsrc%5Etfw">#SC23</a> this week, stop by our booth at #1325 and explore this fantastic server!</p> <p>Learn more: <a href="https://t.co/VoNsv3EgKq">https://t.co/VoNsv3EgKq</a><a href="https://twitter.com/hashtag/Supermicro?src=hash&ref_src=twsrc%5Etfw">#Supermicro</a> <a href="https://twitter.com/hashtag/SupermicroSC23?src=hash&ref_src=twsrc%5Etfw">#SupermicroSC23</a> <a href="https://t.co/vEcMYe5Nko">pic.twitter.com/vEcMYe5Nko</a></p> <p>— Supermicro (@Supermicro_SMCI) <a href="https://twitter.com/Supermicro_SMCI/status/1725152880275890469?ref_src=twsrc%5Etfw">November 16, 2023</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width="560px"></script></div> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/Wiwynn SV600G2-Web-圖片來源-Intel.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Wiwynn%20SV600G2-Web-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Intel.jpg" style="width: 600px;" /></a></p> <p>例如，今年6月揭露的AI訓練效能測試結果MLPerf Training 3.0，英特爾以48臺伺服器、總共搭配384臺Gaudi2的組態，完成GPT-3訓練需311.94分鐘；Nvidia以64臺DGX H100伺服器、總共搭配512臺H100 GPU的組態，完成GPT-3訓練需64.26分鐘。此時彼此的差距雖然不小，Gaudi2卻是少數在檯面上能在這方面應用與其競爭的對手。</p> <p>11月揭露MLPerf Training 3.1，因為當中的GPT-3測試增加FP8資料型別的支援，受測伺服器效能大幅提升，連帶拉近Intel Gaudi2與Nvidia H100的差距。英特爾以48臺伺服器、總共搭配384臺Gaudi2的組態，完成GPT-3訓練需153.58分鐘，節省一半時間，Nvidia以64臺DGX H100伺服器、總共搭配512臺H100 GPU的組態，完成GPT-3訓練需58.30分鐘。</p> <p>9月MLPerf Inference 3.1公布，在GPT-J-99與GPT-J-99.9測試中，英特爾搭配8臺Gaudi2的伺服器，線上查詢每秒78.58個樣本，離線為84.08個樣本；Nvidia搭配8臺H100的伺服器DGX H100，有兩個數據，其中一組領先幅度較大，線上查詢每秒82.26個樣本，離線每秒為106.32個樣本，另一組遜於Gaudi2伺服器，線上查詢每秒48.98個樣本，離線每秒為64.51個樣本。</p> <p>相較之下，Intel Max GPU上市近一年，英特爾多次公開內部效能測試成效，頻頻向Nvidia A100與H100這兩款資料中心GPU叫陣，卻遲遲未見其向MLCommons提交Max GPU測試數據，今年針對Gaudi 2提交的AI測試數據目前卻已累積3次以上。（若再加上去年的MLPerf Training 2.0、2.1，總共有5次之多）。</p> <p>除此之外，英特爾Innovation大會期間，他們揭露Gaudi 2效能測試數據的數量，也明顯多於Intel Max GPU。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Gaudi2-2023-09-Intel Innvation2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Gaudi2-2023-09-Intel%20Innvation2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Gaudi2-2023-09-Intel Innvation3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Gaudi2-2023-09-Intel%20Innvation3.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Gaudi2-2023-09-Intel Innvation4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Gaudi2-2023-09-Intel%20Innvation4.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel Gaudi2-2023-09-Intel Innvation5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Gaudi2-2023-09-Intel%20Innvation5.jpg" style="width: 298px;" /></a></p> <p>兩相比較之下，Intel Max GPU雖然有較多伺服器廠商支持，但在媒體與市場聲勢上，似乎不如Gaudi2。現在英特爾預告未來將把這兩個產品送做堆，等於用Falcon Shores進行整合，是否能在AI加速硬體市場獲得更大競爭優勢，仍有待觀察。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Intel Data Center GPU Max系列</strong><br /> ●原廠：英特爾<br /> ●建議售價：廠商未提供<br /> ●機型與外形：1550為OAM，1100為PCIe介面卡<br /> ●製程：基礎晶磚採用Intel 7製程，運算晶磚採用TSMC N5製程，Xe Link晶磚採用TSMC N7製程<br /> ●I/O介面：PCIe 5.0 x16<br /> ●GPU架構：Intel Xe HPC<br /> ●GPU核心：1550內建128顆Xe核心、128顆光線追蹤器、1024個XMX引擎、1024個Xe Vector處理引擎，1100內建56顆Xe核心、56顆光線追蹤器、448個XMX引擎、448個Xe Vector處理引擎<br /> ●GPU互連介面與頻寬：Xe Link，53 Gbps<br /> ●GPU記憶體：1550搭配128 GB HBM2e，1100搭配48 GB HBM2e<br /> ●記憶體頻寬：1550為3276.8 GB/s，1100為1228.8 GB/s<br /> ●運算效能：FP64尖峰值為52 TFLOPS，BF16尖峰值為839 TFLOPS<br /> ●耗電量：1550為600瓦，1100為300瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/1 23:36作者李宗翰https://www.ithome.com.tw/review/159902
Fintech周報第223期：澳洲銀行公會宣布打造收款人確認系統，可讓匯款方確認收款帳戶的使用者名稱；調查顯示全球約2…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2023/11/27~12/1金融科技精選新聞</span></span></h3> <h1 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融詐騙</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 收款人確認系統 </span></strong></span></h1> <h3>澳洲銀行公會將聯合銀行業打造收款人確認系統，可以比對收款人姓名和帳戶名稱是否匹配</h3> <p>澳洲銀行公會（ABA）近期宣布，為了打擊詐騙，他們將聯合銀行業者投入1億美元打造收款人確認系統，提供給國內所有銀行使用，讓匯款人在進行轉帳交易時，可以查看收款人姓名和帳戶名稱是否匹配，確保匯款至正確的帳戶。除了在轉帳環節上防止詐騙，澳洲銀行業者也將會在開戶環節中，至少使用一個生物辨識，來確認開戶者是真人，且符合其生物特徵。</p> <p>此外，ABA也表示，有鑑於加密貨幣平臺有時會成為非法詐取金錢的工具，這項系統將會限制或停止與高風險的加密貨幣平臺間的轉帳交易。這項開發計畫將在2024年至2025年間開發和交付。</p> <h1 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融趨勢研究 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h1> <h3>英國金融軟體供應商Finastra發布2023全球金融服務狀況調查，約26%金融機構已開始使用生成式AI</h3> <p>《2023全球金融服務狀況調查》顯示，銀行即服務（Banking as a Service,BaaS）、嵌入式金融和AI在今年發展快速，全球已有48%金融機構提供BaaS服務，相較2022年增加約13%，而嵌入式金融服務也有相似的增長幅度。</p> <p>此外，調查也顯示，全球約有26%金融機構已在某些場景使用生成式AI，31%金融機構正在研究、測試或實驗生成式AI。根據調查，最多金融機構考慮或使用生成式AI來蒐集、處理或分析ESG相關數據，以進行投資和借貸決策。這份調查蒐集來自美國、英國、德國、香港和新加坡等九個國家的金融機構中，956位主管階層的專業人士意見。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202023-11-30%20184349.png" style="width: 600px;" /></p> <blockquote><p>調查顯示，金融機構票選前五個生成式AI使用案例依序為：蒐集處理和分析ESG標準或決策的相關數據、自動化人工或重複度高的工作任務、提升IT開發效率、蒐集處理和分析KYC和洗錢防制資料、促進任務管理和決策預測分析。</p> </blockquote> <h1 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 顧客虛擬助理 </span></strong></span></h1> <h3>德國商業銀行將整合微軟text to speech avatar工具開發逼真的顧客虛擬助理</h3> <p>微軟近期才宣布Azure AI Speech新工具，能生成逼真的虛擬化身，便有銀行宣布要導入這項工具，開發生成式AI虛擬助理。德國商業銀行（Commerzbank）近期宣布將開發顧客虛擬助理，提供各種銀行服務，除了使用GPT模型，也會整合text to speech avatar工具來製作逼真的虛擬化身。</p> <p>德國商業銀行將鎖定銀行App的220萬用戶數，首先會在行動裝置上發展虛擬助理。目前這項計畫仍在內部實驗，已進行首次顧客測試。</p> <h1 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 客戶資料外洩</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上海商銀 </span></strong></span></h1> <h3>上海商銀1.4萬客戶資料外洩，金管會依銀行法重罰1千萬</h3> <p>金管會近期在例行記者會上公布上海商銀客戶資料外洩情事，針對該缺失開罰1千萬。金管會銀行局長副局長童政彰表示，2022年9月及今年5月至7月間，上海銀陸續接獲匿名民眾反映其資安問題，而後續金管會查核顯示，上海商銀未完善建立及未確實執行內控制度，導致客戶資料外洩，且未能保有相關軌跡，至今仍不清楚外洩來源。</p> <p>金管會表示，上海商銀的重大缺失有四大項，分別是未訂定妥善個人電腦管理者權限規定，例如案發前並未明定每半年變更個人電腦管理者權限密碼，且未訂定可攜式設備管控規範、未留存個人資料使用軌跡，和未測試出資安軟體漏洞並確認其執行情形。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國FCA </span></strong></span></h1> <h3>英國金融行為監理總署FCA進一步研究大型科技公司與金融業間資料不對稱問題</h3> <p>去年十月，FCA針對大型科技公司擴張或開展消金服務的潛在影響展開研究，並蒐集業界意見。研究結果顯示，許多回應提到大型科技公司具備相對的資料優勢，因為他們可以從金融機構取得金融相關數據，但根據資料共享相關規定，金融機構無法取得大型科技公司擁有的數據。此外，部分金融機構也擔心大型科技公司將獲取的數據用來發展數據分析和AI技術，進而影響兩個行業間在金融服務上的競爭性發展。</p> <p>因此，FCA近日公開徵求大型科技公司與金融業間資料不對稱的相關證據，以評估這項問題是否會影響金融服務市場競爭效益。</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">責任編輯／李昀璇</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">圖片來源／澳洲銀行公會、</span>Finastra</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2023年12月</p> <p></p> </div></div></div>
2023/12/1 12:52作者李昀璇https://www.ithome.com.tw/news/160106
【re:Invent 2023】AWS如何以生成式AI再創新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「以生成式AI再創新」，在AWS年度用戶大會re:Invent 2023的重頭戲－由執行長獨挑大樑的主題演講上，AWS執行長Adam Selipsky開宗明義，AWS不只是因應時下熱門的生成式AI熱潮，更藉由生成式AI迎接新一波再創新的機會。</p> <p>一如往常，Selipsky在二個半小時的演講中，一口氣發表大量新產品服務，而其中幾乎全數與生成式AI有關，不僅涵蓋生成式AI架構的三個層級—基礎設施、工具與應用程式，還包括首度揭曉、專為企業組織所設計的商務型AI聊天機器人Amazon Q，可望成為其在生成式AI領域的新戰略利器。</p> <p>Selipsky首先宣布的是Amazon S3 Express One Zone，它是AWS目前效能最強、延遲最低的S3物件儲存方案，效能足以應付每分鐘數百萬次的存取，延遲時間則不到10微秒，主要是因應如金融分析、詐欺偵測、機器學習訓練模型與即時推播廣告等應用對於高速存取的需求，而存取的計費竟然比S3標準版便宜一半。據先期使用者Pintrest的經驗，其寫入速度快了10倍，而總體成本減少4成。</p> <p>AWS自家研發的晶片Graviton，則預計於明年正式推出第四代產品，Selipsky表示，Graviton4將會是AWS旗下效能最強且能源效率最好的運算晶片，其效能將比前一代Graviton3快30%，資料庫應用效能快40%，在大型Java應用程式的效能提升則更顯著，可達45%的提升，而採用Graviton4的EC2實體R8g已可提供預覽。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RIV23_D3Selipsky_Keynote_01753a.png" style="width: 640px; height: 426px;" /></p> <p>在上述兩項產品宣布後，發表會旋即揭開生成式AI重頭戲。Selipsky首先邀請Nvidia執行長黃仁勳上臺，宣布雙方擴大多項策略合作。第一項是Nvidia將提供針對生成式AI運算需求所設計的GH200 Grace Hopper Superchip運算卡，讓AWS成為第一個採用的雲端運算供應商。</p> <p>AWS將會以一個EC2執行個體的型式提供整套GH200 NVL32的運算力，GH200 NVL32整套系統是以NVlink連結技術串接32片GH200 Grace Hopper Superchip運算卡，整套系統亦包含NVswitch，可配置最大20TB共享記憶體，運算力可說是超級電腦等級，對於需要仰賴巨量運算資源的生成式AI模型訓練有很大的助益。</p> <p>上述的EC2執行個體亦立基於AWS的第三代EFA（）連結技術與Nitro的虛擬化技術，因而每片Superchip運算卡擁有高速低延遲的400Gbps網路傳輸速度，執行個體的串接數量可多達上千個，提供在網路服務上建立巨大的AI運算叢集。</p> <p>AWS與Nvidia的擴大合作，還包括Nvidia將首度提供其專為生成式AI運算所設計的Nvidia DGX超級電腦等級運算雲，予以第三方雲端服務供應商，由AWS提供雲端託管服務。Nvidia DGX亦立基於GH200 NVL32，可支援超過1兆參數的生成式AI與大型語言模型的訓練。此外，雙方也藉由Project Ceiba的合作，建置一套超過16,384個Nvidia GH200超級晶片，運算速度達65 Exaflops等級的AI超級電腦，作為Nvidia研發全新生成式AI之用。</p> <p>在生成式AI架構的基礎設施層，Selipsky宣布AWS自家設計的新一代AI訓練晶片Trainium 2將於明年推出，效能比前一代提升4倍，可應付參數量千億至兆級的基礎模型訓練需求。</p> <p>在生成式AI架構的工具層，AWS最大的利器就是Bedrock平臺，而Bedrock的一大優勢就是支援多種大型語言模型，從AI21、Amazon Titan、Anthropic、Cohere、Llama2到stability.ai。Selipsky說，AWS深信沒有任何一個大型語言模型可以主宰一切，因為各個模型在不同的應用面上皆有其獨到之處。</p> <p>Bedrock的另一個優勢，則是客製化能力。Selipsky指出，AWS的生成式AI技術的研發，打從第一天開始就是以企業需求為出發點，考量到不同型態的企業生成式AI應用需要運用不同的模型，再者各別企業的產業型態、業務流程與企業知識皆有不同，企業需要有客製化模型的彈性，才能將企業知識融入模型，創造各別競爭優勢，同時也由於企業知識具有機敏性，必須將資訊安全與資料隱私設計在內，確保商業機密在模型訓練過程中不會外洩。</p> <p>在模型客製化方面，AWS新推出三款服務，包括Cohere、Llma2與Titan三種模型的微調（Fine tuning）、Retrieval Augmented Generation (RAG) with Knowledge Bases及Titan模型的持續預訓練。</p> <p>對於企業擔憂生成式AI本質上存在不可控的可能性，AWS也新推出Guardrails for Amazon Bedrock，提供過濾有害內容的功能，確保模型輸出的內容符合企業的負責任AI（Responsible AI）政策，而針對基礎模型輸出的個資內容予以事先編輯，以防個資外洩的功能，也在未來規畫藍圖中。</p> <p>在生成式AI架構最上層的應用層方面，Selipsky則是相當興奮地宣布AWS首款AI聊天機器人Amazon Q的問世。面對市面上已有眾多AI聊天機器人搶占市場先機，為何AWS還要推出另一款聊天機器人？Selipsky表示，Amazon Q是專為企業組織設計的商務型AI聊天機器人，與其他聊天機器人最大的不同是考量企業應用的情境、資訊安全、資料隱私與依職責控管存取權限等需求。</p> <p>Selipsky提出Amazon Q可望協助企業的四大面向，包括協助軟體開發人員撰寫程式碼、協助同仁提升日常工作效率、讓同仁便於獲得商業智慧的協助，以及提升更好的顧客服務。在程式碼方面，AWS新推出Amazon Q Code Transformation，透過生成式AI技術協助程式碼改寫升級與強化程式碼安全，Selipsky指出，這項新服務可讓1千個Java應用程式的改寫工作，在2天內就完成，若在過往由開發人員改寫，往往需耗時數月甚至數年。此外，Amazon Q的訓練資料涵蓋17年的AWS產品與服務資料，使用AWS的軟體開發人員或架構師可用聊天問答介面，立即取得AWS所有的技術資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amazonq.png" style="width: 700px; height: 508px;" /></p> <p>除了協助軟體開發人員，Amazon Q也可以幫助資料庫管理人員，Amazon Redshift Serverless資料倉儲服務整合了Amazon Q，使用者可用自然語言提出資料查詢需求，由Amazon Q自動生成SQL資料庫查詢指令，協助提升ETL等工作的效率。</p> <p>Amazon Q亦可望成為企業內的專家助手，可連結超過40種企業常用服務的資訊源，如S3、Salesforce、Google Drive、Microsoft 365、ServiceNow、Gmail、Slack、Atlassian與Zendesk等，涵蓋一般辦公室文書通信、業務行銷、軟體開發與IT管理等平臺，同時依據詢問者的存取權限來提供其被授權的內容。此外，Amazon Q也會整合至Amazon Quicksight、Amazon Connect等商業智慧與客戶服務平臺。</p> <p>AWS資料與人工智慧資深副總裁Swami Sivasubramanian則指出開發生成式AI應用必備的四個要素，包括要有基礎模型、可讓模型運行的私有安全運算環境、易於使用的生成式AI開發工具，以及機器學習專用運算架構。他亦強調資料是生成式AI的重要關鍵，資料會決定企業生成式AI的差異性，而資料的儲存、處理、分析、治理，本來就是企業用戶使用AWS雲端服務的重要應用之一。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RIV23_D4Swami_00421a(1).png" style="width: 640px; height: 426px;" /></p> <p>Sivasubramanian也發表多項生成式AI服務，包括Amazon Titan新增影像生成功能，不僅可以生成高畫質的圖像，使用者甚至可用自然語言下達指令，在保持影像背景下讓圖片中的主角鏡像翻轉，而Titan Image Generator生成的圖片都會加上隱形浮水印，以利識別AI生成，避免淪為假訊息之用。此外，Titan也新增轉換多模態向量（Multimodal Embeddings）的能力，同時支援文字、圖片、影像與音訊。而為了因應負責任AI的需求，Bedrock也提供模型評估功能，讓用戶先以預載的資料與檢測方法評估模型的適用性與風險，另外，AWS Clean Rooms ML，則可讓企業不需提供訓練資料也能與合作夥伴共享模型。</p> <p>在資料庫與資料分析服務方面，也因應生成式AI而全面提升向量儲存與搜尋功能，新推出的Amazon Neptune analytics藉由內建圖形（Graph）演算法提升向量搜尋速度，幾秒鐘內可分析百億個連結。多款資料庫服務也增加向量儲存與搜尋能力，Amazon OpenSearch Serverless vector engine可以儲存與搜尋向量資料，Amazon DocumentDB、Amazon DynamoDB、Amazon MemoryDB for Redis也都可以儲存與搜尋向量。此外，支援Zero-ETL的資料庫服務也增多了，包括Amazon Aurora PostgreSQL、Amazon DynamoDB與Amazon RDS for MySQL皆可直接整合，不需額外透過ETL，而Amazon OpenSearch Service亦可直接與S3整合。</p> <p>自去年11月30日ChatGPT推出後，生成式AI頓時蔚為風潮，短短一年內就成為兵家必爭之地。雖然AWS在這波生成式AI浪潮中沒有搶到引領風潮的先機，但綜觀Selipsky宣布的多款生成式AI新服務，包括在生成式AI架構最底層的基礎設施層，以Nvidia晶片與AWS自家晶片提供雲端服務中最強大的生成式AI運算力；在中間層的工具層方面，以Bedrock為主力擴展對基礎模型的支援；在最上層的應用層，祭出Amazon Q聊天機器人貫通企業應用場景，而且在每個環節都將資訊安全、隱私保護、負責任AI與合規考量進去，讓企業不因上述顧慮而畏懼生成式AI，再加上諸多強化資料整合、提升向量資料庫能力等等，很明顯地，AWS將以其擁有眾多雲端企業用戶的優勢，透過持續再創新搶占仍是處女地的生成式AI企業商用市場。</p> </div></div></div>
2023/12/1 18:45作者吳其勳https://www.ithome.com.tw/news/160117
【資安日報】12月1日，美國賓州水利設施遭伊朗駭客攻擊，CISA呼籲管理者應修改設備預設密碼、採用雙因素驗證，強化基本…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國賓州阿里奎帕市水務局證實增壓站遭到伊朗駭客入侵，因採用以色列廠牌工控設備而遭到鎖定。駭客也宣稱，他們正在對採用這類OT設備的水利設施發動攻擊。</p> <p>值得留意的是，在美國網路安全暨基礎設施安全局（CISA）發布的資安公告當中，指出駭客可能是透過配置不當的情況發動攻擊，而非透過漏洞入侵受害組織。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.securityweek.com/cisa-warns-of-unitronics-plc-exploitation-following-water-utility-hack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國賓州水利單位的工業控制系統傳出遭到駭客劫持</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-38.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-38.png" style="width: 300px; float: right;" /></a>上週末美國賓州阿里奎帕市水務局（Municipal Water Authority of Aliquippa，MWAA）遭駭，駭客控制了其中1個增壓站，但並未影響供水。MWAA董事會主席Matthew Mottes向當地媒體KDKA-TV透露，此起攻擊是伊朗駭客組織Cyber Av3ngers，原因很有可能是他們採用了以色列自動化控制業者Unitronics的系統，而成為該組織鎖定的對象。</p> <p>Matthew Mottes透露，遭駭的增壓站位於郊區，用於監控、調節浣熊鎮及波特鎮的供水，事發後該系統已經停用，警方著手進行調查。對此，Cyber Av3ngers聲稱，他們鎖定數個以色列供水設施的SCADA系統，並聲稱所有以色列製造的設備都是攻擊目標。</p> <p>而在上述攻擊事件發生後，美國網路安全暨基礎設施安全局（CISA）針對Unitronics的可程式化邏輯控制器（PLC）提出警告，呼籲管理者應修改預設為1111的管理密碼，並在遠端存取OT系統時進行多因素驗證，以及避免控制器直接曝露在網際網路。</p> <p>資料來源</p> <p>1. <a href="https://www.cbsnews.com/pittsburgh/news/municipal-water-authority-of-aliquippa-hacked-iranian-backed-cyber-group/">https://www.cbsnews.com/pittsburgh/news/municipal-water-authority-of-aliquippa-hacked-iranian-backed-cyber-group/</a><br /> 2. <a href="https://www.cisa.gov/news-events/alerts/2023/11/28/exploitation-unitronics-plcs-used-water-and-wastewater-systems">https://www.cisa.gov/news-events/alerts/2023/11/28/exploitation-unitronics-plcs-used-water-and-wastewater-systems</a></p> <p><a href="https://www.sentinelone.com/blog/dprk-crypto-theft-macos-rustbucket-droppers-pivot-to-deliver-kandykorn-payloads/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">北韓駭客利用惡意程式載入工具RustBucket散布Kandykorn</span></strong></a></p> <p></p> <p>資安業者SentinelOne揭露北韓駭客鎖定Mac電腦最近一波的攻擊行動，這些駭客先前曾使用惡意程式載入工具RustBucket散布第二階段工具SwiftLoader、利用後門程式KandyKorn對區塊鏈工程師發動攻擊，以及使用惡意程式ObjCShellz對投資人或求職者下手。</p> <p>但研究人員進一步分析、比對發現，這些北韓駭客彼此有合作跡象，因為在最新一波行動中，攻擊者交互搭配、運用上述各種惡意程式，增加活動的複雜度，例如，透過RustBucket散布不同版本的SwiftLoader，但也散布ObjCShellz，而SwiftLoader與KandyKorn採用的基礎設施有關。</p> <p>研究人員也根據Elastic資安研究團隊公布的KandyKorn攻擊行動進行追查，結果發現駭客融合上述惡意程式攻擊手法，開始透過RustBucket於受害電腦投放KandyKorn。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-two-new-ios-zero-days-in-emergency-updates/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">蘋果發布行動裝置及Mac電腦更新，修補2個已被用於攻擊行動的WebKit零時差漏洞</span></strong></a></p> <p></p> <p>11月30日蘋果發布了iOS 17.1.2、iPadOS 17.1.2、macOS Sonoma 14.1.2、電腦版Safari 17.1.2，修補已出現攻擊行動的排版引擎WebKit漏洞CVE-2023-42916、CVE-2023-42917，有可能導致在處理網頁內容的過程裡，攻擊者可洩露敏感資訊，或是執行任意程式碼。</p> <p>該公司指出，這些漏洞已被用於攻擊iOS 16.7.1及之前版本的iPhone手機。</p> <p><a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-authentication-bypass-and-command-injection-vulnerabilities-in-nas-products"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">兆勤公告旗下NAS設備重大漏洞，有可能被用於執行作業系統命令</span></strong></a></p> <p></p> <p>11月30日兆勤科技（Zyxel）發布資安公告，針對旗下儲存設備NAS326、NAS542揭露CVE-2023-35137、CVE-2023-35138、CVE-2023-37927、CVE-2023-37928、CVE-2023-4473、CVE-2023-4474，其中的CVE-2023-35138、CVE-2023-4473、CVE-2023-4474為重大層級。</p> <p>而這些重大等級的漏洞，CVSS風險評分皆達到9.8。其中，CVE-2023-35138、CVE-2023-4473為命令注入漏洞，前者發生在show_zysync_server_contents功能，未經授權的攻擊者能發送偽造的HTTP POST請求，執行作業系統命令；另一個漏洞則是與網頁伺服器元件有關，未經授權的攻擊者能發送偽造的URL，執行作業系統的命令。</p> <p>至於CVE-2023-4474，則是與WSGI伺服器元件有關，同樣能讓攻擊者在尚未通過身分驗證的情況下，透過偽造的URL執行作業系統命令。</p> <p><a href="https://appomni.com/blog_post/claiming-zoom-rooms-service-accounts-to-gain-access-to-tenants/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">視訊會議系統Zoom存在漏洞，有可能讓攻擊者挾持會議</span></strong></a></p> <p></p> <p>今年6月，資安業者AppOmn的研究人員在<a href="https://blog.zoom.us/zoom-hackerone-h1-4420-event-2023/">HackerOne舉辦的活動H1-4420</a>上，找到視訊會議解決方案Zoom Rooms的漏洞，近期公布相關細節。研究人員指出，攻擊者有機會藉此控制Zoom Rooms的服務帳號，從而對目標組織進行未經授權存取。</p> <p>攻擊者可在未受到邀請的情況下劫持會議、操縱聯絡人的名單、滲透白板，甚至從團隊交談內容取得敏感資料。值得留意的是，這些攻擊行動可在使用者難以察覺的狀態下進行。他們與Zoom進行協調後，上述漏洞得到驗證及修復。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/staples-confirms-cyberattack-behind-service-outages-delivery-issues/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">辦公用品零售商Staples傳出營運出現異常，起因是遭遇網路攻擊後關閉部分系統所致</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/capital-health-hospitals-hit-by-cyberattack-causing-it-outages/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">醫療照護系統Capital Health遭遇網路攻擊，造成旗下醫院IT系統中斷</span></span></strong></a></p> <p><a href="https://www.securityweek.com/hackers-hijack-industrial-control-system-at-us-water-utility/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);"></span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/dollar-tree-hit-by-third-party-data-breach-impacting-2-million-people/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">連鎖折扣商店Dollar Tree資料外洩，近2百萬人受害，起因是外部供應商遭駭</span></span></strong></a></p> <p></p> <p><a href="https://securityaffairs.com/154999/cyber-crime/rhysida-ransomware-king-edward-viis-hospital.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">英國愛德華七世國王醫院傳出遭到勒索軟體Rhysida攻擊</span></span></strong></a></p> <p></p> <p><a href="http://arcticwolf.com/resources/blog/qlik-sense-exploited-in-cactus-ransomware-campaign/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">資料分析系統Qlik Sense重大漏洞被用於攻擊行動，駭客發動勒索軟體Cactus攻擊</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160086"><strong>【11月30日】針對10月資料外洩事故，身分驗證管理業者Okta表示受害範圍擴大，所有使用客戶支援系統的用戶皆受影響</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160069"><strong>【11月29日】上海商銀驚傳1.4萬客戶資料外洩，金管會公布調查結果列4大缺失，依銀行法重罰千萬，外洩管道仍有待釐清</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160051"><strong>【11月28日】美國醫療保健服務業者Henry Schein傳出二度遭遇勒索軟體BlackCat攻擊，導致電子商務平臺遭到癱瘓</strong></a></p> </div></div></div>
2023/12/1 15:56作者周峻佑https://www.ithome.com.tw/news/160108
Google Messages的RCS用戶數突破10億人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在蘋果<a href="https://www.ithome.com.tw/news/159885" target="_blank">宣布</a>將支援豐富通訊服務（Rich Communication Services，RCS）協定的兩周後，<a href="https://blog.google/products/android/7-new-messages-features/" target="_blank">Google本周指出</a>，已有超過10億名使用者於Google Messages中啟用了RCS，為了慶祝10億的里程碑，Google Messages開始測試7種新的互動方式，包括照片表情符號Photomoji、語音情緒、螢幕效果及客製化泡泡（Custom Bubbles）等。</p> <p>Google Messages原本稱為Android Messages，是Android生態體系的傳訊程式，它同時支援傳統的文字簡訊（SMS）與RCS，初期使用者必須主動啟用RCS，但今年起某些特定的Android裝置預設便啟用了RCS。Google被視為RCS協定的最大推手，不僅於Android生態中導入了RCS，也開源了基於RCS Universal Profile規格的客戶端供外界使用。</p> <p>新版Google Messages的7項新功能之一是照片表情符號，它允許使用者把自己的照片直接變成表情符號來回應親友的文字；語音情緒則是在傳送語音訊息上添加表情符號；並將某些特定文字設定成螢幕效果的提示詞，只要輸入相關文字，例如「我愛你」或「下雪了」，對話窗就會自動跳出視覺效果；最有趣的可能是客製化泡泡了，這個原本由蘋果iMessage用戶專屬的泡泡功能，現在則變成Google Messages的客製化服務之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1201-google-messages-RCS-600.png" style="width: 600px;" /></p> <p>在蘋果的傳訊程式中，倘若雙方都使用蘋果裝置，即可透過iMessage傳訊，那麼訊息便是以藍色泡泡顯示，但若其中有一方非採用蘋果裝置，或未啟用iMessage，因而使用傳統的簡訊服務，那麼訊息就會以綠色泡泡顯示。而Google Messages的客製化泡泡則允許使用者任意變更泡泡顏色，直接打破蘋果慣例。</p> </div></div></div>
2023/12/1 16:28作者陳曉莉https://www.ithome.com.tw/news/160110
微軟未來3年將斥資25億英鎊於英國打造AI基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周四（11/30）<a href="https://blogs.microsoft.com/on-the-issues/2023/11/30/uk-ai-skilling-security-datacenters-investment/" target="_blank">宣布</a>，未來3年將在英國斥資25億英鎊（32億美元）以擴大其新一代AI資料中心的基礎設施，亦將投入數百萬英鎊來培育100萬名當地的AI人才，<a href="https://www.gov.uk/government/news/boost-for-uk-ai-as-microsoft-unveils-25-billion-investment" target="_blank">英國政府則說</a>，這是英國40年來最大的一筆投資。</p> <p>英國政府表示，英國已是歐洲領先的科技生態系統，去年的價值是德國的兩倍，更是法國的3倍，而去年AI領域對英國的經濟貢獻為37億英鎊，提供了5萬個工作職缺。</p> <p>微軟計畫在英國增加一倍的資料中心足跡，未來3年將以25億英鎊的預算來建置AI資料中心基礎設施，在2026年時把超過2萬個最先進的GPU帶到英國，亦將在英國訓練100萬名適用於AI經濟的人才，以及與英國大學及政府合作來支持當地的AI安全與研究。</p> <p>微軟表示，此一基礎設施的投資將有助於滿足對AI特定運算能力的高效及可持續性的需求，且公私部門也都在等待著要利用最新的雲端與AI創新。</p> <p>除了基礎設施之外，微軟準備培育的100萬名AI人才包括那些有意進入AI領域的，訓練他們掌握及使用AI所需的技能，也會發展AI技術技能，支援AI業務轉型，推動安全與負責任的AI，以及提供第一張生成式AI專業證書等。</p> </div></div></div>
2023/12/1 16:43作者陳曉莉https://www.ithome.com.tw/news/160111
AWS現在偵測到可用區域出現潛在故障時，可自動轉移用戶流量到其他區域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS新推出<a href="https://aws.amazon.com/tw/blogs/aws/zonal-autoshift-automatically-shift-your-traffic-away-from-availability-zones-when-we-detect-potential-issues/">區域自動轉移（Zonal Autoshift）功能</a>，這是Amazon Route 53應用程式恢復控制器的新功能，能夠在偵測到可用區域（Availability Zone）可能出現問題的時候，自動且安全地將用戶的應用程式工作負載流量，從可用區域轉移出去，並在問題解決後再將流量轉回原本區域。</p> <p>在部署具韌性的應用程式時，AWS用戶通常會將資源部署於同一個地區的多個可用區域。而所謂的可用區域，是相距一定距離，確保具有不同的電力、連接性、網路設備甚至是洪泛區的不同實體資料中心群組。</p> <p>在過去，用戶需要手動管理不同可用區工作負載平衡，以確保應用程式的高可用性和韌性。用戶在可用區域指標狀態不良時，便能以手動或是程式化的方式觸發區域轉移，將流量從原本的可用區域移出，透過負載平衡器配置將所有連接導向到健康的可用區域，供用戶在調查故障的原因時，仍然可以維持應用程式的可用性。</p> <p>手動區域轉移雖然可以用於防止例如部署失敗、配置或是操作錯誤等，來自用戶這端的應用程式錯誤，但官方提到，當可用區域存在潛在故障問題時，用戶有時難以辨識或是偵測到故障，畢竟用戶也不會追蹤每一個可用區域的指標，當用戶的服務需要跨區域邊界呼叫相依項目，就可能造成所有可用區域的應用出現錯誤。</p> <p>而用戶現在可以透過在啟用區域自動轉移功能，來保護工作負載不受潛在可用區域故障的影響。AWS會透過內部監控工具和指標，來決定網路流量轉移的時機，當AWS偵測到特定區域可能出現電力或是網路中斷等問題，系統會自動觸發該基礎設施的NLB或ALB流量自動轉移，並在故障解決後將流量轉回。</p> <p class="rtecenter"><a href="https://d2908q01vomqb2.cloudfront.net/da4b9237bacccdf19c0760cab7aec4a8359010b0/2023/10/22/2023-10-22_18-19-08-1.png"><img alt="" src="https://d2908q01vomqb2.cloudfront.net/da4b9237bacccdf19c0760cab7aec4a8359010b0/2023/10/22/2023-10-22_18-19-08-1.png" style="width: 600px;" /></a></p> <p>這個過程有多重保障措施，確保不會降低應用程式的可用性，AWS也有內部控制確保用戶一次只會從一個可用區域轉移流量。AWS每周都會在基礎設施上演練轉移30分鐘，演練結束根據應用程式運作狀況，提供用戶成功或是失敗的結果。</p> <p>用戶可以定義不希望進行轉移的時間段，同時還可以設定兩個Amazon CloudWatch警報在執行期間充當斷路器，一個是阻擋演練執行，另一個則是在演練執行期間監控應用程式運作狀況，當其中一個警報觸發，AWS會立即停止演練，並恢復所有可用區流量。</p> <p>用戶在啟用區域自動轉移時，需要確保所有可用區域都要部署足夠容量，以承受在特定可用區域故障時所產生的流量轉移。不過，在所有可用區域部署額外容量會產生成本，用戶需要在應用程式的可用性和成本之間權衡。目前，區域自動轉移在中國和GovCloud之外的所有AWS地區中提供。</p> </div></div></div>
2023/12/1 16:53作者李建興https://www.ithome.com.tw/news/160109