iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

導入CDNA3架構、192GB記憶體，AMD新資料中心GPU來了
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_instinct_mi300x_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年11月，AMD發表資料中心GPU產品Instinct MI200系列，時隔兩年之後的現在，他們終於推出新一代產品Instinct MI300X，採用CDNA3架構，導入先進的3D封裝與小晶片（chiplet）技術，而能提供更強大的運算效能。</p> <p>相較於上一代產品<a href="https://www.ithome.com.tw/review/147860">MI250X</a>，MI300X的運算單元數量增加幅度逼近40％（304個對上220個），記憶體容量達到1.5倍（192 GB HBM3對上128 GB HBM2e），記憶體最大頻寬為1.7倍（5.3 TB/s對上3.2 TB/s）；在資料型別上，MI300X可支援FP8與稀疏（sparsity）等數學計算，種種新增與強化特色，皆為了支撐AI與高效能運算類型的工作負載而來。</p> <p>在產品的使用上，MI300X本身的外形採用開放運算計畫（OCP）訂定的加速器模組標準（OAM），能讓廠商將其置入既有支援這類外形GPU的伺服器配置當中，可加速這類AI硬體平臺的採用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300-PFM2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-PFM2.jpg" style="width: 500px;" /></a></p> <h3><span style="color:#0000FF;"><strong>GPU架構重新設計，提供數量略勝一籌與記憶體配置彈性更大的GPU分割方式</strong></span></h3> <p>根據AMD公布的CDNA3架構白皮書指出，此架構重新畫分處理器的運算、記憶體、通訊元件，並且橫跨了異質封裝，MI300X整合8個垂直堆疊的「加速器複合晶粒（XCD）」——採用台積電5奈米製程，以及4個「I/O晶粒（IOD）」——採用台積電6奈米製程，以此涵蓋整個系統基礎架構，所有元件全部連接AMD Infinity Fabric技術當中，可接取8個高頻寬記憶體堆疊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300-CDNA3-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-CDNA3-1.jpg" style="width: 600px;" /></a></p> <p>AMD表示，以最底層的技術架構來看，GPU核心在存取向量與矩陣資料時的運算吞吐量，可透過原生支援稀疏資料（sparse data）而獲得強化；而從巨觀角度而言，這樣從本質重新思考實作方式，搭配重新設計的快取與記憶體階層，可隨著運算量的增加而溫和地擴展執行規模，同時也整合快取一致性予以優先看待。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD CDNA 3 architecture memory architecture diagram.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20CDNA%203%20architecture%20memory%20architecture%20diagram.jpg" style="width: 600px;" /></a></p> <p>以MI300X為例，這款獨立GPU聚焦加速運算的應用，本身結合8個XCD，對於機器學習處理的運算精度降低資料（reduced precision data），最大可提供3.4到6.8倍的吞吐量，若用於FP8型別的資料，最大可提供2.6 PFLOPS效能，若處理使用單精度與雙精度的典型高效能運算工作負載，吞吐量可增加1.7到3.4倍，單個GPU的FP64矩陣運算效能為163.4 TFLOPS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-12-07-CDNA 3 diagram_svg.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-07-CDNA%203%20diagram_svg.jpg" style="width: 600px;" /></a></p> <p>就CDNA3的運算單元而言，最大的改善是在矩陣核心單元（Matrix Core Unit），著重AI與機器學習的應用——針對頂尖訓練與推論常用的既有資料型別，強化運算吞吐量，其中一個關鍵是使用更緊緻的資料型別，可一併節省記憶體與快取容量資源的使用，改善吞吐量的同時，也降低耗電量，舉例來說，若使用FP16與BF16，可獲得3倍的效能提升，若使用INT8，效能增長幅度達到6.8倍（相較於MI250X）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CU%20of%20the%20AMD%20CDNA%203%20architecture.jpg" style="width: 600px;" /></p> <p>AMD CDNA 3 Matrix Core在資料型別上，新支援最便於使用的TF32，以及透過最小規模提供最大效能的FP8，也支援FP8的兩種變體，一是5位元指數搭配2位元尾數的E5M2，用於AI訓練，一是4位元指數搭配3位元尾數，用於AI推論，兩者都列於OCP訂定的8位元浮點數規格。</p> <p>在CDNA3架構中，與先前世代差異最大的部分在於運算單元外面的記憶體階層，經過重新設計架構之後，可充分運用多個異質小晶片的優勢，促成共同封裝在處理器的小晶片，能有一致的快取使用。</p> <p>AMD認為，這樣的記憶體階層重新設計，真正開放了XCD內部的L2快取共享，而L2快取隨著位於IOD的最末階快取AMD Infinity Cache的加入，有了本質的變化，部分記憶體原生的功能被移除而提升到AMD Infinity Cache來執行——L2快取變成最低階的快取，會由硬體來自動維護一致性，在此同時，記憶體可在運算單元維持更豐富的資源混合，可將它們從一致性流量當中隔離，並且針對連至AMD Infinity Fabric網路的介面進行最佳化處理。</p> <p>值得注意的是，AMD在CDNA3架構當中，也提供將單個GPU分割為多個虛擬GPU的功能，令人聯想到Nvidia的多執行個體GPU（MIG），目前已在Ampere架構與Hopper架構資料中心GPU產品提供（A100、H100最多可設置7個GPU執行個體，A30是4個）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300 series.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300%20series.jpg" style="width: 500px;" /></a></p> <p>由於AMD Instinct MI300X包含8個XCD，這些硬體單元可各自分開、個別運作，形成多個虛擬GPU，最多能設置8塊區域，每一塊對應一個XCD，而且這裡也支援單根I/O虛擬化技術（SR-IOV），提供區分為多個虛擬功能（Virtual Functions，VF）的隔離執行機制，每個虛擬功能不能存取其他虛擬功能、實體功能（PF）的資訊或狀態。</p> <p>MI300X內建的高頻寬記憶體也能根據GPU的分割而區隔，可設置為一大塊或4大塊，也能從GPU分割當中個別設定，AMD稱之為單體NUMA分割（NUMA partitions per socket，NPS），這些記憶體分區數量可等同或小於GPU分割數量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MI300X Partitioning and Virtualization.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MI300X%20Partitioning%20and%20Virtualization.png" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>標榜運算效能可超越競爭對手的產品</strong></span></h3> <p>在大型語言模型（LLM）的使用上，AMD也特別強調MI300X的表現優於其他競爭產品。根據他們的內部測試，與市面上當紅的Nvidia H100 HGX整合多個資料中心GPU的平臺相比，同樣執行參數多達1,760億個的Bloom模型、使用DeepSpeed執行推論運算時，採用AMD Instinct Platform同樣匯集8個MI300X於一機的伺服器，吞吐量可達到1.6倍。若以單個GPU而言，要用於Llama2這類具有700億個參數大型語言模型的推論，AMD表示，MI300X是市場上唯一有辦法能承擔運算需求的產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300-PFM1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-PFM1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300-PFM3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-PFM3.jpg" style="width: 600px;" /></a></p> <p>基於這樣的配置與性能，他們認為MI300X可簡化企業級大型語言模型的運算系統部署，並且達到更理想的總體擁有成本。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300-Perform1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-Perform1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD MI300-Perform2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-Perform2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300-Perform3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-Perform3.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300-Perform4.jpg" style="width: 600px;" /></p> <p>關於有意採用的雲端服務業者方面，微軟在11月中舉行的Ignite年度用戶大會期間，搶先預告將推出採用這款GPU的運算服務ND MI300X v5；到了12月初AMD舉行的Advancing AI發表會，Oracle Cloud Infrastucture預告將會在裸機運算服務當中，推出搭配MI300X的解決方案，將支援該公司發展超級叢集網路OCI Supercluster，當中將配備超快速的RDMA網路技術，並表示他們的生成式AI服務很快就會支援MI300X。社群網站公司Meta也表示，他們將會擴展與AMD的合作，並在自家資料中心將MI300X用於AI推論的工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20ND%20MI300X%20v5%20VM.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20GPU%20in%20Microsoft-2023-11-15.jpg" style="width: 298px;" /></p> <p>在伺服器廠商的部分，Dell、Supermicro、聯想也在這場活動前來站臺表達支持，並預告將推出搭配這款GPU的機型。</p> <p>以Dell為例，旗下的6U、8-GPU伺服器<a href="https://www.ithome.com.tw/review/156425">PowerEdge XE9680</a>，目前可搭配8個Nvidia頂級資料中心GPU（A100或H100），未來將提供搭配AMD Instinct MI300X的組態；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell-MI300X-2023-12-07-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell-MI300X-2023-12-07-2.jpg" style="width: 600px;" /></a></p> <p>Supermicro將在H13世代的產品當中，推出6U、8-GPU伺服器AS-8125GS-TNMR2，搭配2顆AMD EPYC 9004處理器；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro2-MI300X-2023-12-07.jpg" style="width: 600px;" /></p> <p>聯想表示，ThinkSystem平臺將會提供8-GPU伺服器，搭配2顆AMD EPYC處理器，預計2024年上半推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Lenovo2-MI300X-2023-12-07.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Lenovo2-MI300X-2023-12-07.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>AMD Instinct MI300X</strong><br /> ●原廠：AMD<br /> ●建議售價：廠商未提供<br /> ●外形：OAM<br /> ●晶片製程：微影製程TSMC 5nm FinFET，主動中介層晶粒製程TSMC 6nm FinFET<br /> ●I/O介面：PCIe 5.0 x16<br /> ●GPU架構：AMD CDNA3<br /> ●GPU核心：304個運算單元，19,456個串流處理器，1,216個矩陣核心<br /> ●GPU記憶體：192 GB HBM3<br /> ●記憶體最大頻寬：5.3 TB/s<br /> ●運算效能：FP64向量運算尖峰值為81.7 TFLOPS<br /> ●支援運算API：ROCm<br /> ●Infinity Fabric Links：7個<br /> ●耗電量：750瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/26 18:10作者李宗翰https://www.ithome.com.tw/review/160523
避免馬祖斷訊重演，中華電信以微波作為海纜中斷備援通訊系統強化通訊韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2023年2月，馬祖因與臺灣之間的台馬第二海纜中斷，影響當地通訊服務，僅剩台馬第三海纜維持通訊服務（台馬第一海纜已除役），但不到一周時間，第三海纜也因不明原因斷纜，兩條海纜雙斷，導致馬祖地區網路斷線、手機無法通訊，引起當地民眾抱怨。在NCC關切下，中華電信向國際海纜船申請搶修之外，也緊急以微波作為備援通訊，恢復馬祖地區基本的語音通話、國家安全、關鍵設施通訊服務，但是這起事件也引起外界關心臺灣通訊網路韌性。</p> <p>過去，海纜經常受到地震或颱風影響，或是因為附近航行的貨輪下錨，周邊的海砂船、拖網漁船影響，導致每底的海纜中斷，每當發生類似事件，中華電信需申請國際海纜船維修，但因為臺灣並非聯合國認可國家，或是維修重要性低於其他國際海纜，海纜船維修耗日費時，且需要花費高昂的費用。</p> <p>有鑑於此，2022年中華電信在臺灣與馬祖之間啟動一項通訊備援計畫，將原本用於偏遠山區村落提供寬頻網路服務普及的微波通訊技術，運用在臺灣與馬視建立備援通訊，強化臺灣與離島間的通訊韌性，因此在2022年12月於陽明山的第一微波站，提供臺灣與馬祖之間微波通訊，頻寬達2.2Gbps。</p> <p><span style="color:#B22222;"><strong>不斷擴大微波備援頻寬</strong></span></p> <p>2023年2月台馬第二、第三海纜先後中斷後，他門從中南部調用微波天線支援，在第一微波站擴頻至3.8Gbps，備援率只有42.2%，僅提供馬祖基本的語音通話、國安通訊，雖然提升當地用戶寬頻上網服務，但仍不足以滿足原本的寬頻上網、MOD等需求。</p> <p>他們不斷擴大微波頻寬容量，今年5月在第一微波站啟動L4G微波新建案，頻寬提高至4.4Gbps，到今年9月再以新技術擴頻，提高頻段使用效率，將微波頻寬擴大至6.6Gbps，然而，即使微波頻寬一再增加，仍不及海纜中斷之前馬祖地區用戶流量峰值的10.27Gbps，換言之，僅靠第一微波站擴容，頻寬尚不足以支援馬祖地區原本的流量需求。</p> <p>為此，他們選擇同樣在陽明山另一處現有微波發射站原址，在高架塔上架設微波天線，作為對第二微波站。此外，也根據微波的穿波、反射、吸收等特性選址，綜合海拔高度、無遮蔽可視傳輸路徑等因素，在中部某個山區設置第三微波站，在海拔2,000公尺高度，以水泥灌漿穩固基座建設35米高架，並附掛2組4個微波天線。在第二及第三微波站於2023年12月啟用後，臺灣對馬祖的微波頻寬一舉增至10.6Gbps，備援率達到103.2%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9600.jpg" style="width: 600px; height: 800px;" /></p> <p>目前台馬海纜雖已完成維修，恢復當地通訊服務，三個微波站、系統作為備援通訊系統，未來若海纜再次發生中斷，能夠緊急以微波提供當地通訊服務。</p> <p>中華電信網路分公司總經理簡志誠表示，建置微波系統的過程相當不易，例如在新建的第三微波站，需由專業的工程人員，配合山上多變的天候施工，架設35米的高架塔，也需吊車吊掛12呎（直徑360公分）的大型天線，將微波天線固定在高架塔，工程師測試調整天線的高度、角度，讓微波發射調整為最佳狀態。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/9700.jpg" style="width: 600px; height: 321px;" /></p> <p><strong>如上圖所示，中華電信固網維運處處長林學彥表示，中華電信針對台馬間微波備援，已建置3個微波站，總頻寬達到10.6Gbps。微波頻寬足以對台馬訊務達到全備援。</strong></p> <p>在第二、第三微波站建立後，微波系統頻寬一舉達到10.6Gbps，換言之，未來馬祖若再因海纜中斷，當地的軍警政消、民生電路、行動及固網寬頻上網、影視服務都可由微波系統來支援，並透過第一、二、三微波店也能分散微波系統，降低微波站集中的風險。因應馬祖地區未來增加的訊務量，中華電信規畫建置第四個微波站。</p> <p>不只馬祖地區，金門、澎湖等離島也需要建置備援的通訊系統，但簡志誠表示，由於微波系統需架設在高處，金門、澎湖缺乏足夠的高山，使微波系統建置上受限。</p> <p>除了微波系統，中華電信近期也取得OneWeb低軌衛星服務在臺灣的獨家代理，將在2024年配合數位部「應變或戰時應用新興科技強化通訊網路數位韌性」計畫，在國內布建700個，以及國外3個LEO衛星終端站點熱點，並且運用衛星通訊的特性，在國內離島、偏遠地區及重要的行動通訊節點等地的行動通訊基地臺，透過衛星鏈路和核心網路建立連線，確保當緊急狀態時，國內通訊仍能正常運作，強化我國的通訊網路韌性。不過，相較於微波，低軌衛星服務頻寬約數百Mbps，頻寬較低，在天災或戰爭等緊急狀態下，當地面通訊網路服務中斷，仍能維持國安、關鍵設施基本通訊，不致完全通訊中斷。</p> </div></div></div>
2023/12/26 18:14作者蘇文彬https://www.ithome.com.tw/news/160550
電玩廠商Ubisoft險遭駭客竊取900GB電玩帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發知名電玩《湯姆克蘭西Tom Clancy》、《極地戰嚎FarCry》及《阿凡達：潘朵拉邊境》的法國電玩開發商Ubisoft上周傳出遭駭，但及時行動避免了被駭客竊取重要的客戶資料。</p> <p><a href="https://twitter.com/vxunderground/status/1738093190538760574" target="_blank">資安業者VX-underground指出</a>，上周一名不知名的駭客存取了Ubisoft的網路，大約48小時後，公司管理員才發現異狀，並及時註銷了存取憑證。這名駭客還告訴VX-underground，他們打算竊取最新電玩《湯姆克蘭西之虹彩六號：圍城Rainbow 6 Siege》的用戶資料及其他資訊900GB。</p> <p>在這次行動中，攻擊者一度成功存取Ubisoft SharePoint、Teams、Confluence及MongoDB Atlas，還透過暗網分享存取這些系統的螢幕擷圖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1226-ubisoft%20MongoDB%20Atlas-600.png" style="width: 461px;" /></p> <p><a href="https://twitter.com/vxunderground/status/1738144068788494722" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_VX-underground</span></span></a></p> <p>Sony旗下開發電玩《蜘蛛人》的Play Station電玩業者Insomniac Games，<a href="https://www.pcmag.com/news/sony-investigates-alleged-hack-of-spider-man-developer-insomniac-games" target="_blank">二周前才因勒索軟體Rhysida入侵</a>，被駭客於暗網公開1.6TB資料，包括大量簡報檔、圖片、電玩影片及公司業務及HR資料。</p> <p>至於Ubisoft，<a href="https://www.ithome.com.tw/news/150067" target="_blank">這家業者去年</a>還和Nvidia、三星及微軟等知名企業成為青少年駭客集團Lapsus$一連串駭入行動的受害者。</p> </div></div></div>
2023/12/26 12:08作者林妍溱https://www.ithome.com.tw/news/160546
Fedora Asahi Remix釋出正式版，Apple Silicon終於可順跑Linux
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Asahi Linux與Fedora合作，在今年8月初的時候原本預告，於當月底將會釋出第一個支援Apple Silicon的Linux版本，但沒想到用戶一等就等到了年底，現在終於釋出<a href="https://asahilinux.org/fedora/">Fedora Asahi Remix</a>。該版本支援M1和M2系列的MacBook、Mac Mini、Mac Studio和iMac裝置，Mac Pro則還需要再等等。</p> <p>Fedora Asahi Remix提供KDE Plasma以及GNOME桌面環境，預設採用Wayland顯示伺服器協定，開發團隊提到，他們採用最新的桌面和顯示伺服器技術，能夠和Apple的硬體良好整合，供用戶體驗滑順的操作和視覺體驗，就如同使用macOS一樣，不會有任何撕裂感或是故障。</p> <p>KDE Plasma還支援HiDPI，甚至可同時跨多個不同比例的螢幕顯示。隨著接下來的Wayland更新，還將會支援HDR和螢幕瀏海（Notch），而對於需要使用X11較舊的程式，也可透過XWayland獲得全面支援。</p> <p>Fedora Asahi Remix繪圖API採用非標準的OpenGL 3.3，提供GPU加速幾何著色器和Transform Feedback等功能，而官方提到，Fedora Asahi Remix也附帶了第一個也是唯一一個通過Apple Silicon認證的OpenGL ES 3.1實作。OpenGL ES（Embedded Systems）是OpenGL的衍伸版本，專為嵌入式系統和行動裝置設計。</p> <p>Fedora Asahi Remix支援開放圖形標準，並遵循官方和產業標準，還經過相對應的測試套件驗證，確保應用程式、遊戲按預期進行渲染。同時，開發團隊也正著手開發OpenGL 4.x和Vulkan的支援，屆時提供的Apple Silicon繪圖能力，將超越僅仰賴Metal此專有圖形API所能實現的效果。</p> <p>在音效方面，開發團隊開發了Linux生態系中第一個整合數位訊號處理器（DSP）解決方案，因此用戶只需要安裝Fedora Asahi Remix，便可獲得高品質音訊輸出，不需要進行任何設定。同時，開發團隊也與PipeWire和WirePlumber專案合作，實現完全自動且透明的DSP配置。</p> <p>而團隊還開發了專用的Bankstown低音增強技術和開源Smart Amp實作，能夠提供完整的音量和動態範圍，在筆記型電腦上也能夠提供良好的音質，而且也針對DSP處理的調度和功耗進行最佳化，更好地延長電池續航力。</p> </div></div></div>
2023/12/26 08:12作者李建興https://www.ithome.com.tw/news/160531
Android出現可繞過生物辨識保護的銀行木馬Chameleon變種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Threat Fabric<a href="https://www.threatfabric.com/blogs/android-banking-trojan-chameleon-is-back-in-action">發現</a>變種Android銀行木馬Chameleon的身影，且活動範圍已經從澳洲和波蘭，擴散至英國和義大利用戶。變種Chameleon有兩個重要的新功能，首先是具有繞過裝置生物辨識保護的能力，另外則是可以顯示HTML頁面，因此在具有Android 13受限制設定（Restricted Settings）功能的裝置，也可以啟用輔助功能服務。經強化的變種Chameleon更複雜也更具適應性，對於使用者造成更大的安全威脅。</p> <p>在今年1月，Threat Fabric發現銀行木馬Chameleon能夠偽裝成合法的行動銀行應用程式，透過網路釣魚頁面欺騙使用者。資安研究人員第一次在網路上發現Chameleon的時候，其仍處在開發階段，具有各種日誌記錄器、有限的惡意功能，並有明確但未使用的指令，都暗示木馬的發展方向和潛在能力。</p> <p>Chameleon這類銀行木馬主要針對銀行應用程式和加密貨幣服務，操縱受害者的裝置，以代理功能假冒受害者執行操作，並濫用Android的輔助功能達到帳號接管（Account Takeover）和裝置接管（Device Takeover）的目的。攻擊者採取多種方式發布Chameleon，但主要是透過網路釣魚頁面，將其偽裝成為合法應用程式，並使用合法的CDN發布檔案。過去Chameleon主要是偽裝成澳洲稅務局和波蘭受歡迎的銀行應用程式。</p> <p>而經過幾個月資安人員再次發現Chameleon，已經是改進後的版本，除了繼承先前版本的功能之外，還加入進階功能，Chameleon變種透過惡意軟體Zombinder散布，並且冒充成為Google Chrome應用程式，同時也擴大攻擊區域，擴展至英國和義大利。</p> <p>新的Chameleon變種有一項引人注意的功能，是在收到來自C2伺服器的特定指令時，可以啟動對Android 13裝置的檢查。當Chameleon變種發現自己被安裝在Android 13裝置上，且該裝置對應用程式活動加以限制的時候，便會動態回應顯示HTML頁面，提示用戶啟用輔助服務。而輔助服務對於Chameleon要成功執行裝置接管攻擊是個重要關鍵。</p> <p>此外，Chameleon變種還能中斷裝置生物辨識操作功能，藉由運用KeyguardManager API和AccessibilityEvent，根據圖形、PIN碼或密碼等不同的鎖定機制，評估鎖定螢幕的狀態。當滿足特定條件時，Chameleon可以使用AccessibilityEvent動作，將生物辨識認證轉換成PIN碼認證，如此在繞過生物辨識提示後，Chameleon木馬就能隨意解鎖裝置。</p> <p>雖然攻擊者無法操縱與存取生物辨識資料，但是透過強制回退到標準認證，攻擊者能透過鍵盤紀錄竊取圖形、PIN碼或密碼金鑰，接著就能運用輔助操作，使用先前竊取的PIN碼或密碼解鎖裝置，進而完全繞過生物辨識的保護。</p> <p>Chameleon變種還有任務調度和活動控制功能，除了繞過裝置生物辨識保護和顯示HTML頁面的能力，Chameleon在更新後也加入其他銀行木馬的功能，例如使用AlarmManager API進行任務調度。研究人員提到，雖然任務調度在木馬中很常見，但是Chameleon的特別之處在於其動態調度的能力，能夠有效處理輔助功能和活動。</p> <p>Chameleon變種在發現輔助功能被停用的時候，能夠從輔助模式切換到usagestats模式，並啟動注入行動發起覆蓋攻擊，也就是在受害者的裝置上顯示假冒介面，讓受害者誤以為覆蓋的介面是合法應用程式，欺騙用戶輸入敏感資訊，像是憑證、信用卡等資訊。</p> </div></div></div>
2023/12/25 21:34作者李建興https://www.ithome.com.tw/news/160528
Google開發交通模擬模型助加速大型活動後車輛離場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google研究院與西雅圖交通部合作，<a href="https://blog.research.google/2023/12/simulations-illuminate-path-to-post.html">開發</a>模擬交通引導計畫，並將研究結果實際應用在道路交通上。在2023年8月和11月期間，雙方在多個有數千名參加者的大型活動中進行實驗，採用新的路由政策，並以動態訊息號誌（Dynamic Message Signs，DMS）引導車輛，成功將離開體育場的平均車行時間降低7分鐘。</p> <p>研究人員指出，從體育場撤離人群的問題，從古羅馬競技場建立以來，一直到今天仍尚未找到有效的解決辦法。而解決此一問題的現代方法是採用數位雙生（Digital Twins），這項技術藉由在虛擬環境複製現實交通網路，重建每一個街道和十字路口的布局，甚至是所有車流量的細節，協助專家研究各種交通問題。</p> <p>Google研究團隊新開發針對西雅圖體育場周邊地區的交通模擬模型，藉由使用開源模擬軟體SUMO（Simulation of Urban MObility），盡可能精確地重現特定時間的交通狀況。SUMO的行為模型可以協助研究人員描述交通動態，像是跟車、變換車道和遵守限速等駕駛人做決策的方式。另外，研究團隊還利用Google地圖提供的資料，來定義網路結構和各種路段靜態屬性，諸如車道數、限速和交通號誌等。</p> <p>該模型的一個重要輸入資料是車行需求。為了計算此一需求，研究團隊需要將特定都市區域的道路網路劃分為不同的區域，以這些區域為基礎定義車行需求。所謂的車行需求，指得是在特定時間區間，從一個出發區域（Origin）到目標區域（Destination）的預期車行數量，簡單來說就是特定時間內，有多少車輛要從A地前往B地，並以OD矩陣的形式表示。</p> <p>研究人員透過匯集匿名車行統計資料，獲得出發地區和目標區域之間的預期初始車行數量，結合初始車行需求和路段速度、車行時間和車輛數量等交通統計資料，來校準OD，以確實重現特定事件當時的情境。該模型對西雅圖T-Mobile Park和Lumen Field周邊多個活動進行交通模擬，採用匿名交通統計資料來評估準確性，以理解不同路由政策對該地區壅塞的影響。</p> <p>西雅圖警察局提供了最需要改進的擁擠路線，Google研究人員開發新的路由策略，使用模擬模型對其進行評估。要達到更快疏散交通的目的，新的政策將南北行交通從較近的閘道路口，路由到更遠的高速功路閘道，以縮短等待時間。同時還嘗試向活動交通流量開放高乘載車道（HOV Lane），以便更有效利用道路容量。同時也推薦駕駛人經由替代路線，或是不同車道之間共享負載，以便更快抵達體育場閘道。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEg2TMCOc-7sYPAHOoFvwEcRlAACKZjelEvcYajm7EgoPS4il1TxabdxuOTjNZ81N0bXurNwpq_w9i-U0wupOjHnES3A0uRPwiTO1KpmI1PDffBOZt4rxagHmwra3hweXVtBx3NRPxZ7VSw75NsygwD2ijowkTSUUATiOUhlEAIVJ2W3EmoYKGE1LmPIdHds/s16000/SouthboundSpokane.gif" style="width: 580px;" /></p> <p>研究人員對不同交通條件、活動時間和參加者人數的活動進行建模，並且模擬活動後車輛離開體育場抵達目的區域的時間。藉由計算政策實施前後的車行時間，來衡量每項政策的效益，在考慮可行性後，西雅圖交通部在大型活動期間，使用動態訊息號誌建議駕駛採取替代路線到達目的地，引導30％的車輛行經特定的路線和閘道，最終平均節省7分鐘的車行時間。</p> <p>這項研究的貢獻在於展現模擬技術在交通規畫和政策評估的應用潛力，透過模擬可使交通網路規畫者了解利用率低的路段，並評估不同路由政策的效果，以實現更好的交通空間分布。</p> </div></div></div>
2023/12/25 21:40作者李建興https://www.ithome.com.tw/news/160530
【資安週報】2023年12月18日到12月22日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期又有零時差漏洞攻擊出現，特別的是，Google在發現的一日之後就緊急修補，基本上，這個漏洞CVE-2023-7024是由於WebRTC中的堆積緩衝區溢位造成，而我們也注意到，微軟也在同日修補了Edge瀏覽器上的這項漏洞。由於此漏洞在外部已有遭成功利用的情形，加上WebRTC的影響範圍不小，因此用戶與採用WebRTC的業者都要儘速因應。</p> <p>還有兩個網路設備漏洞，包括：臺廠威聯通（QNAP）網路影像錄影系統VioStor 4.0的漏洞CVE-2023-47565，以及日廠FXC的AE1021/AE1021PE路由器漏洞。這是因為Amakai在11月21日曾透露在近期發現殭屍網路InfectedSlurs的攻擊行動，是利用NVR與路由器的零時差漏洞來散布，到了12月6日與14日終於有了答案，受害裝置包括日本FXC與臺廠威聯通。特別的是，威聯通其實早在2014年就已釋出5.0版修補此一漏洞問題，因此雙方均呼籲尚未修補用戶盡速更新，<a href="https://www.fxc.jp/news/20231206">FXC的路由器則是在12月6日釋出新版修補</a>，本星期的資安日報並未提及，在此補上。</p> <p>另一方面，零時差漏洞修補很重要，但也不應該看到黑影就開槍，需認清消息來源與查證。最近就有這樣的例子，以色列國家網路管理局（INCD）就提出警告，有人假冒F5的名義，以cert@f5[.]support寄送零時差漏洞修補的釣魚信，但該網域就只是取類似名稱的混淆手法，企圖引誘不察的使用者上當，以散布資料破壞程式。</p> <p>在最新威脅態勢方面，關於進入遠端伺服器通常仰賴的SSH連線加密機制，最近有資料傳輸安全問題要注意，有研究團隊揭露針對SSH協定的Terrapin攻擊手法，並指出SSH協定中的3個漏洞（CVE-2023-48795、CVE-2023-46445與CVE-2023-46446），說明遠端攻擊者將得以繞過完整性檢查。</p> <p>另一個要注意的情形，有資安業者指出駭客為了持續規避惡意程式被偵測，濫用合法平臺的意向有所轉變，因為濫用程式碼管理平臺GitHub存放惡意程式的情形顯著增加，不像先前都是利用雲端檔案共享服務Dropbox、Google Drive、Discord等。</p> <p>在資安威脅與事件方面，國際間持續有知名企業組織遇害的消息，受害產業遍及雲端服務、IT、電信及服務業，我們整理如下：<br /> （一）義大利雲端服務業者Westpole遭網路攻擊，不僅<a href="https://www.padigitale.it/wp-content/uploads/2023/12/Comunicato_Stampa_PADigitale_DEF_19122023-1.pdf">波其到他們的客戶PA Digitale</a>，並導致該國公部門及市政府的多項服務癱瘓。<br /> （二）資料庫系統開發商MongoDB遭網路攻擊，部分系統遭未經授權存取。<br /> （三）Sony旗下遊戲開發商Insomniac Games遭勒索軟體Rhysida攻擊<br /> （四）旗下擁有Timberland、North Face等服裝品牌的威富（VF）集團，向美國SEC提交網路攻擊事件8-k表單，說明12月13日發現未經授權存取，關閉部分IT系統，導致營運被迫中斷。<br /> （五）美國電信服務供應商揭露用戶資料外洩，原因是他們未及時修補Citrix Bleed漏洞（CVE-2023-4966），在修補後兩日的安全檢查時，發現內部系統在前幾天遭未經授權存取。<br /> （六）針對勒索軟體Play威脅，美國多個安全機構聯手發布警告，指出已有300多個企業組織受害，並揭露入侵手法與防護建議。</p> <p>此外，金融產業要注意的是，有資安業者揭露駭客今年利用JavaScript指令碼進行網頁注入攻擊的態勢，能源產業同樣要當心，近日伊朗傳出全國有7成加油站遭網路攻擊而服務中斷，被迫手動作業。</p> <p>在臺灣，有兩起資安相關消息，一是金門租車業者金豐租車公告遭網路攻擊，並提醒民眾當心詐騙，另一事件非典型資安事件，金管會針對國泰世華銀行前理財專員涉挪用客戶款項的裁罰中，特別強調該銀行的缺失在於，雖然有報表記錄了理專與客戶在短期間內以相同IP位址及載具登入網銀的狀況，但卻沒有了解IP相同的原因或持續追蹤監控。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160387"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月18日】新型態惡意軟體NKAbuse濫用區塊鏈進行傳輸資料、接收C2命令的工作，鎖定墨西哥、哥倫比亞、越南而來</span></strong></a></h3> <p style="margin: 0px;">為了讓攻擊源頭難以被找到，駭客無所不用其極改變遠端控制惡意程式的方法，其中最常見的手段，就是濫用各式各樣合法的雲端服務來充當C2伺服器，讓資安系統無法直接依據流量的來源，來識別是否為攻擊行動。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">但最近有人使用更隱匿的手法，他們濫用名為New Kind of Network的區塊鏈網路，藉此傳送檔案及下達命令。</p> <h3><a href="https://www.ithome.com.tw/news/160433"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月19日】金融木馬威脅在2023年爆增，惡意程式家族較去年多出接近一倍，600款行動應用程式用戶成駭客鎖定的目標</span></strong></a></h3> <p style="margin: 0px;">使用手機操作網路銀行或進行線上交易，如今可說是相當普遍，越來越多駭客也受到這股潮流吸引而發動金融木馬程式攻擊，將其偽裝成知名的銀行應用程式、行動支付App、加密貨幣錢包，企圖將使用者帳戶裡的資產提領一空。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">根據資安業者Zimperium的調查，這種惡意軟體的攻擊行動在2023年出現大幅增加的現象，研究人員提及，此類惡意程式現今普遍具備自動轉帳模組（Automated Transfer System，ATS），駭客也很有可能藉由電話客服作為散布的管道（Telephone-Based Attack Delivery，TBAD）。</p> <p><a href="https://www.ithome.com.tw/news/160449"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月20日】FBI破獲勒索軟體BlackCat暗網網站，但駭客一天內奪回並揚言報復，預計攻擊醫院和核電廠</span></strong></a></p> <p style="margin: 0px;">近期歐美國家取締網路犯罪組織的執法行動大有斬獲，例如，1月破壞勒索軟體Hive的基礎設施，8月摧毀70萬臺電腦組成的QBot殭屍網路等，駭客因此元氣大傷、消聲匿跡一段時日。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">12月19日再度傳出美國FBI宣布奪下勒索軟體駭客組織BlackCat網站，但對方在一天內又取回網站，顯然這次執法行動受到阻礙。駭客表示，只要是在獨立國家國協以外的企業組織，都可能是他們的目標。</p> <h3><a href="https://www.ithome.com.tw/news/160484"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月21日】Sony旗下遊戲開發商遭勒索軟體Rhysida攻擊並導致開發中的遊戲資料外流</span></strong></a></h3> <p>與勒索軟體駭客Rhysida有關的攻擊行動不斷發生，這樣的情況先後引起美國衛生與公眾服務部（HHS）、<a href="https://www.cisa.gov/news-events/alerts/2023/11/15/cisa-fbi-and-ms-isac-release-advisory-rhysida-ransomware">網路安全暨基礎設施安全局（CISA）</a>提出警告，這些駭客上週再度犯案而引起關注，原因是受害組織是日本科技大廠Sony旗下的遊戲開發商Insomniac Games。</p> <p>值得留意的是，這起事故並非該集團首度遭到攻擊。今年9月，<a href="https://www.ithome.com.tw/news/159013">有兩組駭客聲稱竊得Sony內部資料</a>；隔月Sony證實遭遇MOVEit Transfer零時差漏洞攻擊，旗下遊戲主機開發商Sony Interactive Entertainment曝露約6,800人個資。</p> <h3><a href="https://www.ithome.com.tw/news/160502"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【12月22日】巴勒斯坦駭客對以色列組織聲稱提供F5 BIG-IP「零時差漏洞修補程式」來破壞電腦所有檔案</span></strong></a></h3> <p>針對社會大眾的假消息相當氾濫，但現在也有針對IT人員而來的假漏洞資訊，若是未經查證很有可能上當。例如，有人針對WordPress網站的管理者而來，<a href="https://www.ithome.com.tw/news/160247">發送資安公告謊稱網站有特定CVE編號的漏洞</a>，從而對網站部署後門。</p> <p>而類似的手法，現在也被駭客用於對敵對國家企業組織發動攻擊。以色列組織收到聲稱F5 BIG-IP系列應用程式資安產品存在零時差漏洞的傳言，呼籲IT人員儘速套用他們提供的「更新程式」。但實際上，這是攻擊者捏造的消息，被鎖定的組織收到的資訊當中，僅提及要修補零時差漏洞，並未透露細節而形成破綻。</p> <p> </p> </div></div></div>
2023/12/25 18:30作者羅正漢https://www.ithome.com.tw/news/160518
專訪K8s核心App小組主席，揭露K8s未來2年重心要支援GAI運算
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2014年Docker問世掀起了雲原生浪潮，隔年，Google就發表了Kubernetes（簡稱K8s）。Google主任工程師Janet Kuo正是在2015那一年加入了K8s團隊，是這個平臺第一代推手之ㄧ，一路參與至今。</p> <p>2015年，Janet剛進入Google要選擇部門時，遇到Kubernetes（簡稱K8s）團隊開始招募人手。K8s創辦人告訴Janet，如果加入這個部門，不只能改變全世界執行雲端運算的方式，讓AP更有效率，自己開發的程式碼，還可以在全世界的機器上執行。</p> <p>聽到這個新專案將有極大的影響力，Janet決定加入。當時K8s團隊約30人規模，分散在矽谷、西雅圖和華沙三個據點。在數萬名員工的Google中，這是一個很小的團隊，沒想到卻打造出了一個影響全世界雲端產業的關鍵平臺。</p> <p>K8s部門下設立了不同的SIG（興趣小組），各自負責開發不同功能的元件，Janet是Application SIG小組的主席和技術領導人。這個小組主要負責維護Workload API，還有開發者部署常用的Deployment元件和Jobs元件等。Janet也曾擔任過KubeCon總召，要負責規畫該年活動所有的演講。</p> <h3><span style="color: rgb(255, 0, 0);"><strong>K8s近10年最大貢獻是成為雲原生技術的共通標準</strong></span></h3> <p>Janet觀察，Kubernetes近十年來最重要的貢獻是，讓任何部署都可以很容易轉移。因為K8s提供了一個一致的標準，不用考慮在哪一朵雲或是在哪一種環境中執行。讓AP從一個環境很容易就可以轉移到任何一個環境。</p> <p>K8s現在可以支援從雲到端各種不同的環境，來提供統一個管理。有一個雲端供應商的SIG，就是想辦法確保K8s對各種環境都是中立，不偏袒任何一家。一方面會有相容測試來確保每一家業者的K8s服務或K8s環境，都能提供主要核心功能。</p> <p>另一方面，K8s專案也會將個別雲端業者維護的程式，移出K8s核心，確保核心沒有一個限定雲端使用的程式，來確保K8s的通用性，不會受限於雲。這是為了讓K8s可以適應各種更複雜的環境。「K8s所有的東西都是開源，想要自己改就能動手。正因為開源，就不會偏袒任何一方，也才確保使用者優先的立場。」Janet指出。</p> <p>隨著越來越多人用，K8s成了業界逼準，也讓企業更容易招募人才，甚至連雲原生Cloud Native這個詞都是在Kubernetes誕生後才出現。現在基於Kubenetes架構上可能多達數百款雲原生工具或技術，涵蓋了打造一隻AP所需要的每一層工具，例如不同服務之間溝通的Server Mesh或是用來打造Serverless服務的工具都有。開發工程師不用熟悉大量細節，就能打造出一隻Serverless應用。「從底層控制，到最上層，都可以用同一個框架。」她補充。</p> <p>有了這樣一套雲原生技術的共通標準，所有AP只要用雲原生方式，就能相互溝通，也能有很好的整合。如此一來，Janet表示，只要使用Kubernetes，所有使用者和開發者，都可以更有效率地部署程式碼，不只可以加速企業開發速度，各種新應用和新技術的發展腳步也可以更快。 </p> <p>「大家都熟悉同一套技術，用來搭建API的工具更可以重複使用，」這正是K8s帶來的另一個重要價值，她解釋：「容易擴充，任何人都可以在這個平臺上打造自己要的API，訂定自己要的維運邏輯。」這個特性也促成K8s周邊的生態圈非常發達，任人很容易就能利用其他人開發的建置工具。 </p> <h3><strong><span style="color:#FF0000;">為何K8s可以成為打造任何平臺的萬用平臺</span></strong></h3> <p>首次來臺在Kubernetes summit開場主題演講時，Janet特別推薦K8s的API工具，這是一用打造客製化API操作叢集的機制，稱為Kubernetes API，很容易就可以快速打造出一支客製化API，與K8s後端叢集互動。「這個工具最重要的意義是，提供了一種標準化的API產生方式，也是一種快速擴充的工具，這是發展生態圈的重要基礎。」她強調。</p> <p>「Kubernetes API改變了人們打造平臺的方式。」Janet指出。她指的平臺，像是維運人員或是SRE所打造的平臺，如企業維運平臺，或是內部開發者平臺，可以讓開發者更快速部署自家AP，不用從頭打造AP運作底層的每一個細節。這類平臺會提供像是應用程式驗證、AP範本、部署樣板等，讓開發團隊參考，也可以預先考慮基礎架構的資安機制來設計等。「在K8s問世前，要打造這類的基礎架構維運平臺非常複雜也相當耗時。」她補充。</p> <p>Janet指出：「Kubernetes能夠成為一個可以打造任何平臺的平臺，關鍵就是透過Kubernetes API來管理自己的AP，也能結合企業政策，更能管理AP背後的基礎架構，建立自動化管理又容易擴充的維運平臺。」</p> <p>原本K8s的核心API約可以滿足8成的常見維運使用，若企業想要增加自己需要的客製化功能，一是向社群提出新功能提案，慢慢等待社群的釋出。另一個作法是用Aggregated API Server來自己開發一隻專屬API，「這個做法很有彈性，但相對複雜許多。」Janet補充。</p> <h3><span style="color:#FF0000;"><strong>K8s客製化API最常用也是最推薦的作法</strong></span></h3> <p>她推薦的是第三種方法，這也是最多人採用的做法，就是是使用CustomResourceDefinition API（簡稱CRD API）來定義一隻Kubernetes API，成為Kubernetes API Server可以管理的延伸API之一。</p> <p>CRD API也是K8s內建API，只要定義好API的資料架構，很快就能建立一隻新的API，更關鍵的是，「這隻客製化API，用起來就像是K8s內建的API，」她補充，如可以支援多版本功能，讓開發者自行選擇要用的版本。透過CRD API產生的API還能與Kubectl整合，直接在命令列中呼叫。更關鍵的是，透過CRD定義的API，容易與K8s生態圈其他的產品整合。許多K8s生態圈的產品，例如無伺服器框架Knative，都是透過CRD來打造產品的API。</p> <p>這個K8s API很適合用於發展開發者平臺，企業需要快速產生各種API來操作他們的AP，只要定義了資源，撰寫出控制器，可以簡化一隻API的開發，甚至可以切換到不同資源的環境中使用。從維運角度來看，透過K8s API可以提供一個標準的API產生框架，開發者平臺若能讓開發人員透過同一套標準化方式和管道，來產生新的API，就更容易打造一個自助式的內部API管理平臺，可以讓維運人員更有效率，也能夠讓AP開發人力更聚焦在商業邏輯。</p> <h3><span style="color:#FF0000;"><strong>K8s發展戰略轉向：從底層調度轉向應用層，GAI優化是新方向</strong></span></h3> <p>Kubernetes的版本發展速度很快，今年底很快就會釋出1.29版。身為K8s核心的Application元件小組技術領導者，Janet透露：「未來最大的發展方向是，如何讓K8s更有效率也更有擴充性。對於新崛起的生成式AI的工作負載。也要思考如何提供更好支援。」</p> <p>追求更好的效率和擴充性，是K8s一直以來的發展目標，但是，提供生成式AI（GAI）更好的支援，則是今年開始的新方向。例如在Janet所領導的Application小組正在規畫，如何調整K8s的Jobs API，讓ML工作量在K8s執行得更順利。</p> <p>「K8s的發展已經從運算資源的調度，開始延伸思考到應用目標，」Janet強調：「這是K8s發展戰略上很大的改變，從底層轉到應用層。」K8s開始針對特定情境的應用，尤其是未來非常重要的應用，例如GAI運算的支援，將是K8s未來2年的重要方向。</p> <p>K8s既有的設計，還沒有考慮到GAI運算任務特性來優化。例如AI/ML運算任務之間需要傳遞參數資料，K8s有一個可用於一次性處理或批次平行處理任務的Jobs功能，採取了無態式處理的設計，「不同Jobs之間無法傳遞狀態，就不適合用來處理AI/ML運算。」Janet坦言，開發者通常得自己得花額外力氣，自己處理這個問題。</p> <p>雖然開發者可以在K8s平臺之外自行傳遞Jobs的狀態，「若能在K8s底層，提供這類Jobs間的狀態傳遞能力，K8s就能更容易支援AI/ML工作流程，或是支援不斷迭代的AI訓練方式。」</p> <p>Janet提出另一個支援AI/ML運算的K8s優化方向是，考慮增加Jobs底層的Log機制，讓K8s維運人員更容易搜集這些Jobs的執行數據來優化效能，可以用來支援特別講究效能的AI任務。「K8s希望讓AI工作量更有效率地在K8s上執行，也想讓Jobs API支援各種AI工作量的需求。」</p> <p>不過，Janet坦言，K8s核心不會引進生成式AI技術，但是，她認為，GAI可以協助來產生更有效率的k8s配置等，也很適合用於學習K8s。例如可以自動生成YAML配置檔的維運AI助手，成為K8s學習助理，或是用AI來推薦K8s工具。「不少人抱怨K8s太難學了，我希望GAI可以降低K8s的上手門檻。」未來甚至使用者只要說，幫我建置什麼樣的Ap，在哪裡執行，GAI就可以自動產生相關的配置，甚至自動建立相關的叢集。 </p> <p>2015年，Janet這位第一代K8s團隊推手剛加入時，最苦惱的是當年沒有人想用，她的團隊花了一年到處說服和尋找使用案例。直到2016年，Pokemon GO遊戲爆紅，上市兩個月下載量超過5億次。</p> <p>雖然直到2023年，不論Google或是Niantic，都沒有透露Pokemon Go到底用了多少伺服器來撐住爆量玩家的連線和運算需求，只透露比原本預期的最大流量，還暴增了50倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pokemon-go-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google.png" /></p> <p>但在Pokemon Go正式上線的同一天（2016年7月6日），Kubernetes發布了1.3版，單一容器叢集可以支援到2千個節點，最多可支援6萬個Pod叢集，相當於最大可以提供到1.2億個容器。</p> <p>Janet沒有透露更多細節只說，這個遊戲完全在K8s上執行，他們是第一個案例，也是有史以來的最大規模的K8s叢集。好不容易才說服他們願意公開，讓Google對外宣傳。大家才知道，原來Kubernets可以處理到這麼龐大的流量，而且是來自全球使用者。</p> <p>當時才數十人規模的K8s團隊全都派去支援Niantic，連Janet也不例外。「對外公開那一刻，我覺得參與K8s的打造，真的是太好了，那是我最有成就感的一刻。」文王宏仁</p> <p> </p> </div></div></div>
2023/12/25 18:38作者王宏仁https://www.ithome.com.tw/news/160529
Fintech周報第226期：歐洲純網銀bunq推出生成式AI助理，能統整存戶消費模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2023/12/18~12/24金融科技精選新聞</span></span></h3> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 純網銀 </span></strong></span></p> <h3>歐洲純網銀bunq推出生成式AI助理，能統整存戶消費模式</h3> <p>歐洲第二大純網銀bunq近期推出生成式AI助理Finn，一個建置於App中的Chatbot，能回答帳戶使用者的消費問題。使用者可以詢問助理自己在特定種類的消費額，例如每個月平均在食物和日用品的花費，甚至是彙整使用者在特定平臺的消費額，如一年在亞馬遜的消費總額。</p> <p>這個助理也能根據交易地點、時間回應問題，例如，回應使用者上周去過的地點，或是回應使用者過去在某個地點的消費額。不過，Finn僅能回應消費相關問題，不會提供投資建議。目前，這個助理正在測試階段，使用者需要開戶才能參與試用。bunq表示，目前他們在歐盟地區的用戶數量已達1100萬。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融檢查</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端資安 </span></strong></span></h1> <h3>金管會發布113年金檢重點，首度明列雲端資安和虛擬資產平臺業者</h3> <p>因應今年八月金管會發布的新版上雲規範，金檢局今日公布113年金檢重點，不僅將資安列為重點關注項目，也將雲端業者資安納入其中。檢查局在各業別檢查項目中新增跨境委外的定期查核，例如金融機構針對雲端業者的資安和風險管控措施。</p> <p>除了雲端委外項目，金管會今年甫納管的虛擬資產平臺及交易業務事業(VASP)，也被列為明年重點金檢關注項目。金管會檢查局主要針對業者的防制洗錢、打擊資恐及反武器擴散的落實情形進行金檢。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲央行</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核心系統現代化 </span></strong></span></h1> <h3>澳洲央行明年將加強跨行資金移轉及公債交割系統，更要展開核心系統現代化計畫</h3> <p>澳洲央行近期發布一項<a href="https://www.tenders.gov.au/Atm/Show/94f2cf9d-5c72-4766-889c-3eb783eef463">招標案</a>，揭露了明年的兩項重大IT計畫。一項是核心系統現代化，一項是加強跨行資金移轉及公債交割系統（the Reserve Bank Information and Transfer System,RITS）。去年10月，澳洲央行的系統當機，全國長達五小時無法進行快速交割服務，以及小額結算和交割服務。澳洲央行當時表示，當機主因是管理虛擬伺服器的軟體在更新時發生故障，進而讓RITS系統無法傳送或接收特定檔案，也影響結算通知傳送。</p> <p>因應這項缺失，澳洲央行今年強調要加強支付系統的基礎設施，更在今年1月開始對即時總額清算系統的營運環境進行全面審查。審查結果的建議中包括，以自動化流程提升系統管理的效率、加強風險管理框架，和建立反饋機制等。</p> <h1 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國開放銀行</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VRP </span></strong></span></h1> <h3>英國公布開放銀行新進展，非自動轉帳的可變定期支付功能將在明年第三季起分階段上路</h3> <p>目前，英國有九間銀行實施「可變定期支付」（Variable Recurring Payments）開放銀行API，讓消費者能在銀行提供的平臺連接自己的銀行帳戶，定期自動付款，例如，支付信用卡費或訂閱服務。雖然過往消費者也能在銀行App上對自己的帳戶直接扣款，但無法在一個頁面中管理所有定期支付的服務，開放VRP <span style="color: rgb(0, 0, 0);">API</span>後，消費者能管理自己同意向哪些機構定期付款，和限制每個服務的付款權限。</p> <p>近期，英國金融監管機構宣布將進一步發展「非自動轉帳VRP」（non-sweeping Variable Recurring Payments）功能，讓民眾能藉由銀行App管理更多金額不定的經常性開銷，且能與非個人或企業帳戶進行轉帳，例如，向政府繳交水電費和稅金。第一階段確定在明年第三季實施，將開放對公共事業、金融機構，和對地方、中央政府的支付功能。</p> <h1 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 香港金管局</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據共享 </span></strong></span></h1> <h3>香港金管局宣布展開銀行間帳戶數據共享先導計畫</h3> <p>香港金管局近期宣布展開「銀行同業帳戶數據共享」（IADS）先導計劃，在顧客授權的情況下，銀行間可以彼此共享顧客帳戶數據。這項計畫將於明年1月1日開展，共有28家銀行參與，可以共享涵蓋個人、企業的存款帳戶資訊，包括帳戶狀態、結餘和交易資訊。金管局預計銀行業將逐步開發創新服務，例如，簡話信貸申請流程、帳戶資訊總覽，和以數據驅動的客製服務。</p> <h1 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 38.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位證券沙盒</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 分散式帳本技術 </span></strong></span></h1> <h3>英國將實施數位證券沙盒，讓業者驗證以分散式帳本技術作為金融基礎設施的可行性</h3> <p>英國在今年六月正式通過《金融服務與市場法》，正式納管加密貨幣。為了讓數位資產技術被金融市場採用，近期，英國金融監管機構確立了數位證券沙盒的實施方法<span style="color:#000000;">，讓參與者能在現行法規尚未完善的情況下，將數位資產技術合法化，例如分散式帳本技術。不過，沙盒測試期間也會有一定的限制，例如，在入沙盒前期，可能會設定交易和結算總額上限，隨著參與者證明其穩定性再逐步解決限制。</span></p> <p><span style="color: rgb(0, 0, 0);">數位證券沙盒</span><span style="color: rgb(0, 0, 0);">開放現有金融市場基礎設施供應商、有意願發展數位資產技術的傳統金融機構，和科技新創業者參與，目前，英國政府共收到19件有意參與首次沙盒測試的申請書，遞件業者包括金融機構和科技新創。根據英國金融監管機構先前發布的諮詢結果，幾乎全數業者都同意數位證券沙盒為期五年的測試期。</span></p> <p></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">責任編輯／李昀璇</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／bunq</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2023年12月</p> </div></div></div>
2023/12/25 14:00作者李昀璇https://www.ithome.com.tw/news/160521
【資安日報】12月25日，駭客集團UAC-0099鎖定烏克蘭組織並利用WinRAR漏洞植入惡意程式LonePage
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客近期利用WinRAR漏洞CVE-2023-38831的情況，有越來越頻繁的趨勢，而且有不少是國家級駭客組織從事相關攻擊。攻擊者利用該漏洞最重要的原因之一，就是此壓縮軟體並未內建自動更新機制，使用者若不手動升級新版軟體，就會持續曝露在這項漏洞當中，而使得對方有機會成功利用。</p> <p>最近有研究人員針對駭客組織UAC-0099的攻擊行動進行調查，結果發現，這些駭客散布惡意軟體的管道，其中一種就是這項WinRAR漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.deepinstinct.com/blog/threat-actor-uac-0099-continues-to-target-ukraine"><strong style="font-size: 22px;">烏克蘭組織遭到駭客集團UAC-0099鎖定，利用WinRAR漏洞植入惡意程式LonePage</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig1-Attack-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig1-Attack-flow.png" style="width: 300px; float: right;" /></a>月烏克蘭電腦緊急應變小組（CERT-UA）對駭客組織UAC-0099的網路釣魚提出警告，透露對方使用的工具之後，資安業者Deep Instinct進一步調查並公布細節，他們指出駭客的主要目標是境外公司的烏克蘭員工，最終是在受害電腦植入惡意程式LonePage。</p> <p>對方在攻擊行動中可能會利用法院傳票的名義，向收信人寄送釣魚郵件，其中一種郵件挾帶WinRAR自解壓縮檔，收信人若是依照指示執行，就有可能觸發偽裝成DOCX文件檔案的捷徑檔（LNK），然後執行帶有惡意內容的PowerShell程式碼，該程式碼對2個以Base64編碼的大型雙位元物件（BLOB）進行解碼，並將輸出結果寫入特定的VBS及DOCX檔案，接著此程式碼會開啟DOCX檔案當作誘餌，並建立排程工作：每隔3分鐘啟動VBS惡意程式LonePage。此惡意程式向C2伺服器發出請求，並下載鍵盤記錄程式、竊資軟體和螢幕截圖工具，以便在受害電腦進一步發動攻擊。</p> <p>值得留意的是，這些駭客散布LonePage的管道很多，也包含利用HTML應用程式檔案（HTA）、ZIP壓縮檔做為釣魚信附件的情況。其中，若是收信人使用WinRAR打開ZIP檔附件，就會觸發該壓縮軟體的漏洞CVE-2023-38831（CVSS風險評分為7.8）。</p> <p><a href="https://www.seqrite.com/blog/operation-rusticweb-targets-indian-govt-from-rust-based-malware-to-web-service-exfiltration/"><strong style="font-size: 22px;">印度政府機關遭Rust惡意程式鎖定，駭客對其進行Operation RusticWeb攻擊行動</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Operation-RusticWeb-fig1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Operation-RusticWeb-fig1.png" style="width: 300px; float: right;" /></a>資安業者Seqrite揭露針對印度政府人員的網路釣魚攻擊行動Operation RusticWeb，駭客約從今年10月開始，假借多個單位的名義等名義來從事攻擊，被冒用的單位包括：印度行政服務（IAS）、陸軍福利教育委員會（AWES）、人權組織Kailash Satyarthi兒童基金會、國防部。</p> <p>駭客先是傳送ZIP壓縮檔，內含偽裝成PDF文件的捷徑（LNK）檔案，使用者一旦開啟，電腦就會執行PowerShell從特定網域下載、執行PS1指令碼，從而導致電腦被植入Rust打造的竊資軟體。此惡意程式可讓駭客竊取檔案、收集系統資訊及IP位址等資訊，但無法竊取瀏覽器、即時通訊軟體、加密貨幣錢包的個資。</p> <p>12月研究人員又看到另一種攻擊手段，那就是透過帶有惡意VBA巨集的釣魚文件檔案，執行經過加密處理的PowerShell指令碼，最終於受害電腦部署竊資軟體，但駭客這次罕見地替惡意程式加上數位簽章，聲稱提供的是思科VPN系統的用戶端程式元件AnyConnect Web Helper。而對於攻擊者的身分，研究人員認為，這些駭客與巴基斯坦駭客組織Transparent Tribe（APT36）、SideCopy有關。</p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/battleroyal-darkgate-cluster-spreads-email-and-fake-browser-updates"><strong style="font-size: 22px;">美國、加拿大遭到鎖定，駭客組織BattleRoyal對其散布惡意程式DarkGate</strong></a></p> <p></p> <p>資安業者Proofpoint揭露名為BattleRoyal的駭客組織攻擊行動，從9月至11月之間，這個團體對美國及加拿大的企業組織發起超過20次社交工程攻擊，企圖散布惡意軟體DarkGate。</p> <p>此攻擊引起研究人員注意的原因，在於對方在過程當中使用兩種以上的流量交付系統（Traffic Delivery System，TDS），其中駭客最常使用的是404網頁，以及名為Keitaro的TDS。攻擊者通常會寄送帶有特定URL檔案的電子郵件，一旦收信人點選，就有可能先後被導向上述兩種TDS系統，電腦便會被重新導向新的URL下載VBS指令碼，並執行Shell命令下載AutoIT指令碼檔案（AU3），最終導致受害電腦被植入DarkGate。研究人員指出，駭客使用的URL捷徑檔案當中，利用Windows SmartScreen防護機制（MoTW）漏洞CVE-2023-36025，而且，駭客在微軟發布修補程式之前就已經開始利用這項漏洞。</p> <p>而這些駭客後來也假借瀏覽器更新的名義，向使用者散布DarkGate，但在11月底至12月初，他們改以NetSupport取代DarkGate，但前後行動的共通點在於，他們都企圖引誘使用者執行URL檔案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture1_49.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture1_49.png" style="width: 580px;" /></a></p> <p><a href="https://blog.sucuri.net/2023/12/magecart-wordpress-plugin-injects-malicious-user-credit-card-skimmer.html"><strong style="font-size: 22px;">惡意WordPress外掛程式鎖定電商網站而來，目標是發動Magecart信用卡側錄攻擊</strong></a></p> <p></p> <p>資安業者Sucuri揭露針對WordPress電商網站的Magecart攻擊行動，駭客尋找網站外掛程式的漏洞，目的是部署名為WordPress Cache Addons的惡意外掛程式，將其植入mu-plugins資料夾，以便在WordPress主控臺將其隱藏，網站管理員只能透過FTP檔案傳輸程式或是特定的外掛程式（如Advanced File Manager），才有機會將其清除。</p> <p>這個惡意外掛程式有哪些作用？可透過假結帳網頁，竊取客戶的信用卡資料，特別的是，這個假網頁還能顯示信用卡發卡機構，意圖降低使用者的警覺。此外，駭客為了能夠持續控制受害網站，他們也建立了管理員帳號，但這個帳號無法在WordPress主控臺看到。</p> <p><a href="https://www.threatfabric.com/blogs/android-banking-trojan-chameleon-is-back-in-action"><strong style="font-size: 22px;">安卓金融木馬Chameleon停用指紋辨識功能，並竊取PIN碼來接管手機</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-Dec-13-2023-09-01-56-4869-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-Dec-13-2023-09-01-56-4869-PM.png" style="width: 300px; float: right;" /></a>資安業者ThreatFabric針對今年1月出現的安卓金融木馬Chameleon進行追蹤，結果發現近期駭客使用了新的手法，攻擊範圍也從澳洲、波蘭，延伸到英國及義大利。</p> <p>研究人員指出，新版Chameleon主要透過名為Zombinder的工具散布，駭客大多假借提供Chrome應用程式的名義來發動攻擊，值得留意的是，此金融木馬針對新版安卓的防護機制加入罕見功能，其中一種是偵測到目標裝置執行Android 13以上的作業系統，C2就會對該惡意程式下達命令，顯示HTML網頁並要求使用者啟用無障礙輔助服務（Accessibility Service），若是使用者依照指示批准使用，裝置就有可能遭到挾持（Device Takeover，DTO），從而繞過Google在新版作業系統加入的防濫用機制。</p> <p>另一種則是突破生物辨識的功能，駭客先是偵測裝置螢幕、鍵盤防護狀態，然後在特定條件下將生物辨識切換成PIN碼驗證，從而讓該木馬程式能隨意解除鎖定。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/160520"><strong style="font-size: 22px;">Chrome將會於背景自動偵測外洩密碼、可疑擴充程式</strong></a></p> <p></p> <p>12月21日Google宣布<a href="https://blog.google/products/chrome/google-chrome-december-2023-update/">將為Chrome提供新的安全功能</a>，其中電腦版的<a href="https://blog.google/products/chrome/5-tips-to-stay-safer-online-with-chrome/#:~:text=2.%20A%20more%20proactive%20Safety%20Check">Safety Check模組</a>將會在背景自動執行，偵測使用者密碼是否出現外洩的情況，或是瀏覽器安裝的擴充套件是否含有潛在威脅，若是察覺異狀，將會在瀏覽器功能選單顯示通知。</p> <p>此外，若是某些網站長時間沒有存取，此功能模組也會自動撤銷相關的網站權限，假如不常存取的網站發送大量通知，也會建議用戶停用。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/europol-warns-443-online-shops-infected-with-credit-card-stealers/"><strong><span style="font-size: 20px;">歐洲刑警組織警告逾400個電商網站遭駭，被植入信用卡側錄程式</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/ubisoft-says-its-investigating-reports-of-a-new-security-breach/"><strong><span style="font-size: 20px;">遊戲開發商Ubisoft傳出遭網路攻擊，駭客宣稱目標是《虹彩六號：圍攻行動》的內部資料</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/nissan-australia-cyberattack-claimed-by-akira-ransomware-gang/"><strong><span style="font-size: 20px;">勒索軟體Akira聲稱攻擊Nissan澳洲分公司，竊得100 GB內部資料</span></strong></a></p> <p></p> <p><a href="https://www.netskope.com/blog/a-look-at-the-nim-based-campaign-using-microsoft-word-docs-to-impersonate-the-nepali-government"><strong><span style="font-size: 20px;">駭客利用Word檔案作為誘餌，散布Nim惡意程式</span></strong></a></p> <p></p> <p><a href="https://www.zscaler.com/blogs/security-research/threat-actors-exploit-cve-2017-11882-deliver-agent-tesla"><strong><span style="font-size: 20px;">老舊方程式編輯器漏洞再被利用，駭客拿來散布竊資軟體Agent Tesla</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160502"><strong>【12月22日】巴勒斯坦駭客對以色列組織聲稱提供F5 BIG-IP「零時差漏洞修補程式」來破壞電腦所有檔案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160484"><strong>【12月21日】 Sony旗下遊戲開發商遭勒索軟體Rhysida攻擊並導致開發中的遊戲資料外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160449"><strong>【12月20日】 FBI破獲勒索軟體BlackCat暗網網站，但駭客一天內奪回並揚言報復，預計攻擊醫院和核電廠</strong></a></p> </div></div></div>
2023/12/25 17:10作者周峻佑https://www.ithome.com.tw/news/160527
設計類電商Pinkoi發表AI模型，能自動化調整RMN投廣及個人化推薦非規格化商品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>設計類垂直電商Pinkoi發表自建AI模型「生活風格智慧模型」。這個模型由625萬會員的72億筆行為數據、5.2萬設計品牌數據，以及110萬商品數據等資料訓練而成，可以進行個人化推薦、自動化RMN行銷方案規畫，以及呈現個人化商家商城頁面等功能。</p> <p>Pinkoi表示，生活風格智慧模型是一個多功能模型，應用了自然語言處理（NLP）、電腦視覺（CV）、圖學模型（Graphical model）、深度學習（Deep learning）等技術，能從不同模態的數據中提取多維度洞察、為商品及消費者貼標、分類標籤，並用這些標籤來執行多種推薦功能，甚至排列組合商城頁面的設計元素。</p> <p>Pinkoi技術長李讓說明了生活風格智慧模型的由來。早在2015年，他們就想利用AI來進行商城個人化推薦。「我們試過規則式推薦法，以及外部開源推薦模型，成效都不好。」他推測，Pinkoi作為設計類垂直電商，與一般電商有幾個關鍵差別，導致較通用的既有解決方案不適用。例如，站上商品多為非規格品，商品元數據格式和內容比較特別，不只如此，消費者購買設計類商品的動機和行為模式也有別於一般消費性商品。</p> <p>沒有現成解方，Pinkoi只好自己從頭做。他們從建立訓練資料集開始，慢慢為數十萬件非規格商品建立元數據及屬性貼標，再用這些數據來訓練AI推薦模型，並逐步改善模型推薦成效，也新增了更多功能模組。</p> <p>隨著模型版本迭代，這個模型不再只有推薦功能，還可以為商品、消費者行為、消費者人際關係，以及商家過往表現來貼標、分類，再用這些標籤來強化自身推薦功能。李讓表示，現在至少有8成商品標籤都是由AI自動貼上。即使商品本身一個標籤都沒有，此模型也能利用CV及NLP等技術，根據商品外觀來貼上不同維度、不同語言的標籤。</p> <p>此模型替消費者貼標時，則會綜合商品標籤、消費者站上行為及消費輪廓類似的KOC（Key Opinion Consumer，關鍵意見消費者）購物行為來貼標。負責RMN的Pinkoi SaaS產品負責人李少昱補充，傳統Lookalike（類似受眾）分眾方法，大多只會用年齡層、性別、偏好商品類別等較表面的標籤來分析消費者。Pinkoi則會分析更細緻的站上行為，例如常常於不同頁面來回切換等購物習慣。</p> <p>生活風格智慧模型今年最大里程碑是，模型分類能力更強，讓Pinkoi工程師更容易提取不同標籤分類，來開發出不同類型的推薦功能。</p> <p><strong>用消費者長期購物人格標籤強化商品推薦</strong></p> <p>最主要也最基本的推薦功能是個人化商品推薦，主要根據商品貼標及消費者貼標，來決定消費者瀏覽商城時看到的商品及RMN廣告。</p> <p>今年，生活風格智慧模型有能力將消費者標籤進一步區分為長期「購物人格」和短期「即時動機」2大類標籤，進一步強化了推薦能力。購物人格是由價值主張、興趣、地域性文化、風格等4大分類標籤組成，即時動機則包含聖誕節送禮、婚禮布置等透露短期消費目的標籤。</p> <p>李讓說明，有了長期購物人格標籤，可以使推薦結果更個人化，做到兩個人進行一模一樣的操作（展現即時動機），仍會分別收到不同商品推薦。甚至，Pinkoi不必被動等待消費者表明本次造訪網站的動機，就可以主動推薦合適商品和品牌給消費者──他們今年利用這個能力，推出了主動推播型RMN廣告格式。</p> <p>Pinkoi表示，將長期購物人格標籤投入個人化推薦方法至今，消費者商品點擊率、瀏覽頁面數，以及網站瀏覽時間，分別提升了50%、22%、25%。</p> <p><strong>用品牌表現標籤強化RMN廣告投放參數推薦功能</strong></p> <p>利用生活風格智慧模型更細緻的品牌貼標能力，今年Pinkoi上線了RMN自動化投廣參數設定功能。此模型會根據品牌過往數據及相似品牌數據標籤，來推論品牌行銷需求，並自動設定廣告出價、行銷受眾、廣告成效指標等廣告投放參數。廣告主只要花費30秒輸入行銷預算跟促銷商品，再確認AI推薦參數，即能完成廣告設定。廣告投放期間，系統還會根據表現每天微調行銷策略。</p> <p><strong>用品牌及消費者標籤做到品牌商城頁面元素排列</strong></p> <p>今年11月，他們上線了品牌個人化版面服務。根據品牌及造訪消費者標籤，生活風格智慧模型會重新排列品牌商城頁面的元素，為不同消費者呈現出不同商城樣貌。Pinkoi表示，此功能最多可以排列組合出上萬種商城版面。</p> <p>除了使用生活風格智慧模型來進行貼標和推薦，Pinkoi也於網站中導入其他AI應用，包括串接LLM來協助商家翻譯商品規格描述，以及即時翻譯客服對話等。</p> <p> </p> </div></div></div>
2023/12/25 17:18作者郭又華https://www.ithome.com.tw/news/160485
AWS明年2月底自動對MySQL 5.7與PostgreSQL 11資料庫，啟用RDS延伸支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS<a href="https://aws.amazon.com/tw/blogs/aws/your-mysql-5-7-and-postgresql-11-databases-will-be-automatically-enrolled-into-amazon-rds-extended-support/">宣布</a>從2024年2月29日開始，Amazon Aurora和Amazon RDS上的MySQL 5.7和PostgreSQL 11資料庫，將自動註冊加入Amazon RDS延伸支援。官方提到，這能夠避免資料庫在自動升級至主要版本時，發生意外停機和相容性問題，讓用戶能夠更好地控制資料庫升級的時機。</p> <p>資料庫版本在生命周期結束之前，MySQL和PostgreSQL的開源社群會管理各自引擎的更新，每一季都會發布一個次要版本，修補安全漏洞和臭蟲，直到主要版本達到社群生命周期結束，之後社群便不再提供修補程式。</p> <p>Amazon RDS延伸支援是AWS在今年9月推出的功能，當Amazon Aurora或Amazon RDS上的關聯式資料庫服務在標準支援結束之後，用戶可以透過支付費用，繼續使用資料庫主要引擎版本。AWS將接手修補重要錯誤、漏洞和CVE，在最多3年期間向用戶發布修補程式，對社群生命周期結束的資料庫提供支援。</p> <p>當應用程式相依於特定版本的MySQL或PostgreSQL，用戶能以Amazon RDS延伸支援繼續使用該資料庫。從2023年12月開始，用戶可以從API或是控制臺中選擇加入RDS延伸支援，未採用RDS延伸支援的資料庫，將會在2024年3月1日自動更新引擎版本。</p> <p>自動更新會將Aurora MySQL 2更新至Aurora MySQL 3，而RDS for MySQL 5.7則會更新至RDS for MySQL 8.0，而PostgreSQL 11相關的Aurora與RDS資料庫服務，也會自動升級至PostgreSQL 15。也就是說，當用戶未及時搬遷應用程式至MySQL 8.0或PostgreSQL 15，這項自動升級可能會破壞用戶的應用程式，或是產生不可預期的行為。</p> <p>因此AWS現在透過自動註冊RDS延伸支援，避免用戶因為預期外資料庫主要版本升級，所導致的相容性問題或是停機，並且獲得更多的時間和控制權，按照組織的時間表規畫和測試資料庫升級，與此同時還能持續獲得安全性和錯誤修復。</p> <p>目前Amazon RDS延伸支援已對所有執行MySQL 5.7與PostgreSQL 11、或更高版本的Amazon Aurora和Amazon RDS執行個體開放，在2024年標準支援日期結束後，用戶不需要手動選擇，即會自動啟用3年的延續支援。</p> <p>對於在EC2執行個體上自行部署的資料庫伺服器，AWS建議用戶可以搬遷至Aurora MySQL、Amazon Aurora PostgreSQL和Amazon RDS上，以便在社群生命周期結束後，還可以繼續使用這些資料庫版本，更有餘裕地安排資料庫版本搬遷，讓過渡期更平順。</p> <p>RDS延伸支援的定價是按vCPU每小時計算，AWS解釋RDS延伸支援收費的原因，在於他們需要投入額外的開發人員，開發CVE和錯誤修補程式，因此AWS也就只向在資料庫生命周期結束後，還需要RDS延伸支援的用戶收費。</p> </div></div></div>
2023/12/25 08:39作者李建興https://www.ithome.com.tw/news/160513
導入LLM技術幫忙管理Azure雲服務環境，微軟釋出AI助手預覽
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/evelynozzie_2-1699921980502-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三大公有雲業者爭相發展生成式AI輔助操作功能，例如，微軟在11月中舉行的Ignite年度IT專業人員用戶大會，宣布更多冠上Microsoft Copilot的功能服務，而針對涵蓋邊緣到雲端的Azure環境維運需求，他們推出Copilot for Azure，提供簡化日常系統管理作業的AI功能，可透過統一的對話互動方式，在理解用戶的角色與工作目標的脈絡之下，執行應用程式與IT基礎架構的設計、營運、調校，以及障礙排除，這項功能可橫跨邊緣與雲端環境，協助用戶以更有效率的操作方式，深入了解工作負載的狀態，更懂得運用以往不熟悉的Azure功能，以及調度指揮各種任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20preview-2023-11-15.jpg" style="width: 600px;" /></p> <p>IT人員若要使用Copilot for Azure，主要是經由Azure網站入口的管理主控臺來進行，目前已開放預覽測試，用戶需填寫線上表單申請存取試用，未來將開放Microsoft Azure行動App，以及Azure CLI命令列介面。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-15-微軟-EvelynOzzie_0-1699921980473.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-15-%E5%BE%AE%E8%BB%9F-EvelynOzzie_0-1699921980473.jpg" style="width: 300px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Copilot for Azure App.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20App.jpg" style="width: 128px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Copilot for Azure App2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20App2.jpg" style="width: 150px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20Progess.jpg" style="width: 600px;" /></p> <p>透過文字交談對話的互動形式，這項AI輔助功能，可回答日常管理Azure面臨的各種問題，產生查詢、執行任務，並以安全的方式代表操作者執行各種處理，過程中，能提供高品質的推薦資訊，而在依此建議採取動作時，也能同時遵循所屬組織本身的政策與隱私保護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Copilot for Azure preview-2023-11-15-QA1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20preview-2023-11-15-QA1.jpg" style="width: 600px;" /></a></p> <p>在AI與資料技術的運用上，Copilot for Azure結合多種大型語言模型（LLM）、Azure控制層（control plane），以及針對用戶的Azure環境與啟用Azure Arc架構的數位資產洞察分析，並基於Azure承諾保護用戶資料安全性與隱私的框架，實現上述這些處理。</p> <p>基本上，這項AI助手在推論、分析、詮釋時，所憑藉的內容來自多種資訊管道，包含：Azure 的部署與管理服務Azure Resource Manager（ARM），可大量查詢特定訂閱服務內容、探索資源使用效率的ARM延伸服務Azure Resource Graph（ARG），以及成本與用量資料、文件庫、技術支援、最佳實務指引等。</p> <p>包含Azure環境設置的各種管理工具、遵循的政策、治理面向、角色存取控制在內，這些機制觸及的相同資料與多種介面，Copilot for Azure都可以存取，微軟表示，Azure團隊正在持續強化Copilot對於每種服務與功能的理解，促使Copilot變得更有用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Copilot for Azure coverage.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20coverage.png" style="width: 200px;" /></a></p> <p>關於Copilot for Azure的4大基本功能，微軟提出說明。首先，在設計方面上，AI助手將協助用戶建立與設置Azure服務，而且能符合組織的政策要求。在營運方面上，AI助手能幫忙的部分是回答問題、編寫複雜的指令，以及管理資源。在障礙排除方面上，AI助手能橫跨多種Azure服務進行調度，產生洞察分析，能夠以摘要的方式敘述問題、識別原因，以及提出解決方案的建議。而在調校方面上，AI助手可針對用戶環境提供推薦作法，改善Azure使用的成本、延展性，以及可靠性。</p> <p>在Copilot for Azure可應用的場景上，微軟目前提出幾個例子。首先是協助用戶了解雲端環境的狀態，AI助手可利用Azure雲端服務專屬的Kusto 查詢語言（KQL），建構在Azure Resource Graph平臺進行查詢的語句，能加速產生Azure資源與部署環境的洞察分析內容。對於新手與專家而言，均可透過這項功能輕鬆從Azure Resource Graph Explorer的介面，開啟、檢視生成的查詢語句內容，達成資源管理的目的之餘，也能確保這些指令精準反映所要提出的問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-15-微軟-EvelynOzzie_0-1700076807023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-15-%E5%BE%AE%E8%BB%9F-EvelynOzzie_0-1700076807023.jpg" style="width: 600px;" /></a></p> <p>第二個例子，是成本開銷與效能的管理。Copilot for Azure可協助用戶理解發票、費用支出的模式、變更，以及本體以外的部分，它能推薦最理想的成本配置。基本上，AI助手可協助雲端開支的分析、估算，以及最佳化配置，我們可以向它詢問為何某月某日的費用暴增，以及花費最多錢的訂閱服務，可立即根據用戶的用量、帳單、成本等資料產生解答。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-15-微軟-EvelynOzzie_2-1699921980502.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-15-%E5%BE%AE%E8%BB%9F-EvelynOzzie_2-1699921980502.jpg" style="width: 600px;" /></a></p> <p>在效能管理上，Copilot for Azure整合應用程式監控服務Azure Application Insights的Code Optimizations，可透過進階的AI演算法，偵測程式碼導致的CPU與記憶體用量的效能相關問題，並提供修正這些狀況的建議。同時，AI助手可針對.NET應用程式，執行探查與分類，找出可使用的程式碼內容調整建議。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-15-微軟-EvelynOzzie_3-1699921980514.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-15-%E5%BE%AE%E8%BB%9F-EvelynOzzie_3-1699921980514.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Copilot for Azure Code Optimization.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20Code%20Optimization.jpg" style="width: 298px;" /></a></p> <p>為了能善用雲端資源監視器Azure Monitor對每種Azure資源提供的豐富量測指標，Copilot for Azure協助用戶找到這些項目，也提供分析結果的圖表呈現與摘要內容，以便後續執行更深入的探索、異常偵測，進而分析意外的變更動作，並且提供解決這些問題的建議。</p> <p>除了輔佐網頁介面的操作，Copilot for Azure也能幫忙Azure CLI的命令列與指令碼使用，用戶可藉此輕鬆、快速了解實現特定操作所需要用到的命令與參數，如果需要多個命令去完成一項任務，AI助手可以產生一段遵循Azure最佳實務的指令碼，而這樣的內容可直接在Azure網站入口Azure Cloud Shell執行，或是存成副本以用於重複執行或自動化處理作業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-15-微軟-EvelynOzzie_4-1699921980575-CLI.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-15-%E5%BE%AE%E8%BB%9F-EvelynOzzie_4-1699921980575-CLI.jpg" style="width: 500px;" /></a></p> <p>線上技術支援與障礙排除也是Copilot for Azure主打特色，它能提供源於Azure線上文件，以及內建的特定服務診斷與排解問題工具，產生處理這些狀況的洞察分析，當中將會快速提供逐步操作的指引，協助選擇正確的工具，可處理CPU高使用率、網路問題、記憶體傾印、擴展資源等需求增加的問題，並且提供指向正確文件的網址連結；若還是無法解決，用戶可提出請求，AI助手會導引至可提供進一步協助的技術支援服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Copilot for Azure preview-2023-11-15-Scale.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Copilot%20for%20Azure%20preview-2023-11-15-Scale.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>微軟Copilot for Azure</strong><br /> ●原廠：微軟<br /> ●建議售價：預覽期間免費提供<br /> ●存取方式：Azure入口網站<br /> ●採用技術：大型語言模型、Azure控制層、Azure資源探索服務Azure Resource Graph<br /> ●服務存取範圍：Azure與啟用Azrue Arc的資產，受限於Azure既有存取管理與保護機制（Azure角色型動作控管、特權身分管理、Azure Policy、資源鎖定）<br /> ●前端收集資料範圍：使用者參與資料（對話階段數量和持續時間、特定對話階段使用的技能、肯定、否定、意見反應），使用者輸入的提示與AI的回應不會用於訓練、進階訓練或改善Azure OpenAI用於產生回應的基礎模型</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/25 12:08作者李宗翰https://www.ithome.com.tw/review/160514
GM停售Chevrolet Blazer EV電動車以修復軟體問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國通用汽車公司（General Motors Company，GM）上周五（12/22）召回了甫於本月正式發售的全新電動休旅車Chevrolet Blazer EV，並宣布暫時停售，以修復軟體問題。</p> <p><a href="https://www.chevrolet.com/electric/blazer-ev" target="_blank">Blazer EV</a>是Chevrolet品牌的首款全電動休旅車，其電池續航力為324英里，電池保固為8年或10萬英里，售價為60,215美元。</p> <p>不過，Chevrolet向<a href="https://www.autonews.com/regulation-safety/chevy-blazer-ev-sales-halted-fix-software-quality-issue" target="_blank">《Automotive News》</a>證實，已得知少數Blazer EV車主遇到與軟體相關的問題，因此決定召回尚未交車的Blazer EV，並暫停銷售，既有的車主則可於之後透過經銷商進行軟體更新。</p> <p>Chevrolet的召回顯然與《Edmunds》及《InsideEVs》的報導有關。《Edmunds》為知名的汽車評論網站，在兩個月前購買了Blazer EV，試開了約1,600英里後，<a href="https://www.edmunds.com/car-news/2024-chevy-blazer-ev-long-term-faults.html" target="_blank">就發現23個問題</a>。</p> <p>根據《Edmunds》的測試，他們一天之內就在Blazer EV看到8則不同的警告資訊，之後陸續發生窗戶無法開關及螢幕顯示器故障的問題，重置之後它好了一陣子，接著又開始故障，還彈出許多錯誤訊息，之後《Edmunds》決定把車子交給經銷商修理，但已經兩周了還沒好。</p> <p>另一個汽車評論網站<a href="https://insideevs.com/reviews/701169/2024-blazer-ev-stranded-broken/" target="_blank">《InsideEVs》的記者Kevin Williams則說</a>，他試開Blazer EV時，發現很難把車子對準充電器，一路上汽車的資訊娛樂系統偶爾會故障，像是螢幕變成空白，使得他必須用iPhone來導航，最後充電系統竟然故障了，使得他只好把車子留給當地的經銷商。</p> <p>Chevrolet則坦承，該公司的工程師正在修復相關的軟體問題，包括螢幕，以及在公共充電站所出現的充電問題。</p> </div></div></div>
2023/12/25 12:12作者陳曉莉https://www.ithome.com.tw/news/160519
Chrome將會於背景自動偵測外洩密碼及可疑擴充程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/google-chrome-december-2023-update/" target="_blank">Google上周宣布</a>將更新Chrome的效能與安全功能，其桌面版Chrome的Safety Check將會自動於背景執行，以偵測使用者密碼是否外洩，以及是否安裝了可疑的擴充程式，並主動提醒使用者，另外也允許使用者儲存Chrome上的分頁群組（Tab groups），以將它同步至其它桌面裝置上。</p> <p>Safety Check是Chrome團隊替使用者設計的安全檢查功能，先前該團隊一直鼓勵使用者應定期執行Safety Check，以偵測使用者的密碼是否外洩、所安裝的擴充程式是否有潛在威脅、是否使用最新版的Chrome，或是需要注意的網站存取權限。</p> <p>不過，現在該團隊決定讓Safety Check自動於背景執行，且在察覺上述異樣時主動於設定選單中跳出通知，還會自動撤銷很久沒有造訪的網站存取權限，不管是存取使用者的位置或是麥克風，此外，Safety Check還會標記那些使用者很少交流的網站所顯示的大量通知，以方便使用者直接將它們封鎖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-chrome-safety%20check-600.jpg" style="width: 568px;" /></p> <p>上個月Google讓Chrome瀏覽器可呈現每個分頁的記憶體使用量，並提供節省模式，啟用該模式的Chrome會釋出閒置分頁所占用的記憶體，以分配給正在使用中分頁或其它應用程式，現在Google則新增了一項功能，允許使用者指定特定分頁保持活躍狀態而不釋出記憶體。</p> <p>另一項Chrome準備新增的功能為分頁群組的儲存及同步功能。分頁群組（Tab groups）功能可替分頁設定主題與顏色，整理雜亂的分頁，新版Chrome將允許使用者儲存分頁群組，以將它們同步到其它的桌面裝置上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-Chrome%20update-Saved%20tab%20groups-600.png" style="width: 600px;" /></p> <p>Google強調，明年的Chrome還會借助AI模型Gemini的能力，以帶來更有用及更聰明的功能。</p> </div></div></div>
2023/12/25 12:26作者陳曉莉https://www.ithome.com.tw/news/160520
蘋果公布多模態AI模型Ferret
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼12月開始，蘋果陸續公布其AI開發及研發成果。<a href="https://github.com/apple/ml-ferret" target="_blank">蘋果上周再公布</a>多模態大型語言模型（multimodal large language model，MLLM）Ferret及相關標竿測試工具與資料集。</p> <p>多模態意謂Ferret能接受文字、聲音、影像或數據的輸入。根據<a href="https://arxiv.org/abs/2310.07704v1" target="_blank">蘋果10月公布</a>Ferret的研究論文說明，Ferret能理解任何形狀或任何圖片顆粒（granularity），且能準確定位（ground）開放字彙的描述。要將引用（refer）及定位能力整合到LLM中，Ferret採用新式的混合區域表徵（hybrid region representation）技術，可整合個別方位和連續性的特徵，以表示圖片中的某一區域。為提取出區域中的連續特徵，蘋果研究人員提出一種空間感知的視覺採樣器，它能處理不同形狀多種稀疏性。這使得Ferret可以接受多樣化區域輸入，像是點、bounding boxes、自由形式的形狀。為提升Ferret的能力，蘋果團隊使用了GRIT資料集（Ground-and-Refer Instruction-Tuning），後者為是一個廣大的refer-and-ground指令微調資料集，包含110萬個樣本，內有豐富的階層化空間知識，以及9.5萬個負樣本，以便提升模型的判斷力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-g%20Ferret%E2%80%99s%20referring%20and%20grounding%20capabilities.png" style="width: 600px;" /></p> <p>最後蘋果得到的模型Ferret-13B，和Kosmos-2、GPT4-ROI、LLaVA、Shikra等MLLM比較，在傳統引用及定位任務具有優異效能，此外，在區域為基礎、需要本地化的多模態對話、細節描述，以及複雜推理等任務，都優於其他MLLM。在視覺化比較任務，蘋果說它的模型展現優異的空間理解及常識推理能力。此外，蘋果宣稱其物件幻覺也較Shikra、InstructBLIP、MiniGPT4、LLaVA、MM-GPT及 mPLUG-Owl等知名MLLM少很多。</p> <p>蘋果公布了Ferret7B、130B二模型的程式碼、GRIT資料集、<a href="https://github.com/apple/ml-ferret/tree/main/ferret/eval/ferret_gpt4_data" target="_blank">標竿測試工具Ferret-Bench</a>，上周也公布了<a href="http://github.com/apple/ml-ferret#checkpoints" target="_blank">Ferret 70B及130B檢核點（checkpoint）</a>。</p> <p>這是蘋果公布最新AI研發成果。<a href="https://www.ithome.com.tw/news/160205" target="_blank">12月初蘋果公布</a>Apple Silicon平臺專用AI框架MLX、以及能在裝置端執行LLM的方法，<a href="https://www.ithome.com.tw/news/160490" target="_blank">後者能在邊緣裝置執行</a>DRAM兩倍大的LLM，可節省執行LLM所需的運算資源，也更能確保隱私。</p> </div></div></div>
2023/12/25 10:26作者林妍溱https://www.ithome.com.tw/news/160517
Wasmer JS SDK讓瀏覽器也能執行Python、Bash和FFmpeg
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注發展WebAssembly技術與工具的公司Wasmer，推出一個稱為<a href="https://wasmer.io/posts/introducing-the-wasmer-js-sdk">Wasmer JS SDK</a>的JavaScript函式庫，供開發者可在瀏覽器中執行各種WASI和WASIX套件。Wasmer JS SDK的特色在於，能夠支援多執行緒、訊號（Signal）、子程序（Subprocess）功能，並執行諸如Python、Bash、FFmpeg等UNIX程式。</p> <p>WebAssembly原本是專為網頁應用設計的低階程式語言，其運作效能接近機器碼，可以被快速載入和執行，對於遊戲、影片編輯和模擬運算等需要大量計算資源的應用特別有用，且於WebAssembly程式在沙盒環境中運作，可確保用戶免受惡意程式碼的影響。</p> <p>雖然WebAssembly起初是針對瀏覽器環境設計，這也使得其在瀏覽器外的應用場景遇到一些限制。當考慮將WebAssembly應用於伺服器端和其他非瀏覽器環境時，便出現對更廣泛系統互通性的需求，例如檔案系統存取和網路通訊等功能。為了解決這些限制，WebAssembly開發團隊也就著手制定了WASI（WebAssembly System Interface）。</p> <p>WASI目標是建立一個標準化系統介面，以方便WebAssembly模組可以在不同的環境中，以一致且安全的方式與作業系統進行互動。WASI基於WebAssembly的安全和可移植性原則，並且在原有的基礎上增加許多系統級功能，透過WASI使得WebAssembly的應用場景，從原本的瀏覽器環境擴展到了伺服器端、雲端運算、物聯網裝置等更廣泛的領域。</p> <p>Wasmer在今年6月的時候，推出WASI與可移植作業系統介面（Portable Operating System Interface，POSIX）的超集合 WASIX。由於WASI並不支援所有POSIX，所以Wasmer希望透過推出WASIX，強化現有WASI ABI（Application Binary Interface），並增加額外非侵入式的系統呼叫擴充。簡單來說，WASI僅提供基本的系統操作，而WASIX可視為WASI的擴充，提供更廣泛的系統呼叫和功能，WASIX並非要取代WASI，而是要作為一個相容的WASI擴充解決方案。</p> <p>而現在Wasmer推出JS SDK，是要回頭解決WebAssembly在瀏覽器中所遇到的限制和挑戰，提供更多方便功能。WebAssembly在瀏覽器中並不支援像是檔案系統存取和網路通訊等系統級功能，而Wasmer JS SDK則透過支援WASI和WASIX擴充，讓WebAssembly也可以在瀏覽器執行複雜的操作。</p> <p>Wasmer JS SDK簡化瀏覽器中部署和執行WebAssembly模組的過程，提供一套易於使用的API，讓開發者可以快速載入和執行模組，不需要開發者進行繁瑣的手動配置。而且Wasmer JS SDK還提供經過最佳化的WebAssembly執行環境，提高模組的執行效能和資源管理。</p> <p>雖然JavaScript本身是單執行緒運作，但是透過JS Workers，Wasmer JS SDK能夠在瀏覽器中啟用類似多執行緒的功能。官方解釋，JS Workers API與典型的執行緒API不同，因為沒有執行緒的Join同步處理方法，JS Workers是透過訊息通道和主執行緒溝通。因此JS Workers得以重用主WebAssembly程序中的共享記憶體，並在更改時通知記憶體，進而允許類UNIX執行緒透過JS Workers運作。</p> <p>此外，在傳統類UNIX系統中，fork()是一個用於創建子程序的系統呼叫，但要在瀏覽器中執行fork()，是一個非常具有挑戰的工作，因為瀏覽器通常不提供這種底層系統存取能力，要執行fork()就需要轉儲堆疊並在不同的程序中恢復堆疊。而Wasmer JS SDK使用asyncify將程式凍結在堆疊中，在新建立的Worker中還原。</p> <p>Wasmer API採用特殊的容器格式，可以同時供應WebAssembly資源和檔案系統資源，這代表程式可以一次下載所有檔案系統相依套件。Wasmer JS SDK還內建檔案系統API，進而實現更豐富的功能。</p> <p>借助Wasmer JS SDK，開發者可以在瀏覽器中執行多媒體處理工具FFmpeg，執行影片和音訊檔案編輯工作，而且瀏覽器中也可以運作CPython，因此開發者可以在網頁應用中直接執行Python腳本。甚至開發者還可以在瀏覽器中執行Bash Shell，這將可在網頁應用程式帶來強大的命令列操作功能。</p> </div></div></div>
2023/12/25 08:36作者李建興https://www.ithome.com.tw/news/160512
Stability AI開發者平臺開始提供影片生成模型API服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI在其開發者平臺<a href="https://stability.ai/news/introducing-stable-video-diffusion-api?utm_source=linkedin&utm_medium=website&utm_campaign=blog">新增Stable Video Diffusion基礎模型</a>，提供影片生成服務。Stable Video Diffusion API能在平均41秒內，生成包括25影格（Frame）由模型生成的畫面，還有24個由FILM（Frame Interpolation for Large Motion）內插產生的影格畫面，形成一段連續的2秒影片。</p> <p>Stable Video Diffusion是Stability AI才剛推出的新模型，以擴散模型為基礎，可接受使用者文字指令生成影片。該模型採用原本用於2D圖像生成的潛在擴散模型（Latent Diffusion Model，LDM），加入時間層，並使用小型、高品質的資料集加以訓練而成。</p> <p>Stability AI當初發布兩個版本的Stable Video Diffusion模型，分別是能夠生成14影格與25影格的影片，而現在最新釋出的API服務，則是採用25影格的版本。Stable Video Diffusion API可應用在廣告、行銷、電視、和遊戲各領域，供開發者以程式化的方式存取影片生成模型。</p> <p>官方指出，Stable Video Diffusion的重點在於效能和安全性，除了加入24影格的FILM內插畫面，使影片看起來更加順暢之外，還採用浮水印安全措施。透過新API，開發人員可以使用該模型的所有功能，包括控制運動強度、支援各種布局與解析度，以1024x576、768x768和576x1024解析度生成影片，並相容於jpg和png等影像格式。另外，開發者也可以運用種子相關（Seed-based）基礎，選擇重複或隨機生成影片，最終的影片輸出為MP4格式，以滿足發布於各種應用和平臺的需求。</p> <p>FILM內插是一種影像處理技術，目的是要在兩個既有的影格中間，生成一個或是多個中間影格，該技術主要用於提高影片的影格數，使運動看起來更加流暢，或是用於製作慢動作特效。FILM內插特別適合處理畫面中物體移動較快的場景，因為該演算法能夠估算物體在連續影格中的運動路徑，並根據估算生成新影格，如此不只可增強視覺效果，也可在維持影片品質的前提下，讓動作更加順暢。</p> <p>當前的影像生成模型大都以擴散模型作為基礎，包括Meta的影片生成模型<a href="https://www.ithome.com.tw/news/159897">Emu Video</a>。不過，Google最新的<a href="https://www.ithome.com.tw/news/160487">VideoPoet</a>模型則採用不同策略，藉由擴展多模態大型語言模型的能力來生成影片，Google指出，因為大型語言模型在多種模態上優秀的學習能力，因此單一模型就能執行各種影片生成任務，包括文字轉影片、圖片轉影片、影片風格化，影片補繪與擴繪，甚至是影片轉音訊等。</p> </div></div></div>
2023/12/25 08:41作者李建興https://www.ithome.com.tw/news/160515
Ai Pin將於明年三月在美出貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由蘋果前設計師及軟體開發員工設計的創新無螢幕穿戴裝置Ai Pin，將在明年三月開始在美國出貨。</p> <p>Humane於11月<a href="https://www.ithome.com.tw/news/159732" target="_blank">公布成品</a>並開放美國用戶預購，上周Humane透過<a href="https://twitter.com/Humane/status/1738247468154778110" target="_blank">X官方帳號宣布</a>，Ai Pin將自2024年3月起出貨。出貨會根據消費者下單順序進行。</p> <p>參與過iPhone、Mac電腦及Apple Watch的蘋果前介面設計師Imran Chaudhri及軟體工程師Bethany Bongiorno成立的Humane 7月<a href="https://www.ithome.com.tw/news/157595" target="_blank">公布以AI為基礎的穿戴裝置Ai Pin</a>。Ai Pin可放在口袋、別在胸口的裝置，具有聲控、連網功能，及內建麥克風、1,300萬像素相機及投影機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0703-Co-Founder%20%26%20Chairman%20of%20Humane-Imran%20Chaudhri%20at%20TED-A%2BB-960.jpg" style="width: 600px;" /></p> <p>在規格方面，Ai Pin內建8核心Qualcomm Snapdragon處理器、4GB記憶體與32GB儲存空間，作業系統為專為AI設計的Cosmos，配備1,300萬畫素的相機，以及麥克風與喇叭。Ai Pin支援多種連網技術，包括eSim、Wi-Fi 5、藍牙、Beacon、GPS，以及T-Mobile為Ai pin推出專屬的行動數據網路。Ai Pin系統使用的AI來自OpenAI與微軟的合作。</p> <p>許多人認為Ai Pin是運算裝置的一大革命性創新。它沒有螢幕，使用者只以聲音或投放在掌心或桌面的光學介面和Ai Pin後端的系統互動，以執行搜尋、翻譯、查詢信件或行事曆、傳訊或打電話等任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/ai%20pi%20complete%20system-600(2).png" style="width: 600px;" /></p> <p>不過獲得這新式體驗的代價不低。Ai Pin及配件售價699美元，但還需搭配每月24美元的T-Mobile專用門號服務，包含無限通話、簡訊與資料傳輸及雲端儲存及AI存取。</p> <p>Humane尚未公布Ai Pin在其他地區上市的時程。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Humane</span></span></p> </div></div></div>
2023/12/25 09:01作者林妍溱https://www.ithome.com.tw/news/160516
Google Cloud搭載Nvidia H100 GPU的運算服務正式上線
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_a3-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI暴紅一整年，<a href="https://www.ithome.com.tw/review/152926">Nvidia資料中心GPU產品H100</a>成為整個IT市場追捧的重要物資，不只是伺服器廠商推出多款設備，大型公有雲業者也陸續發表搭配這款GPU的運算服務。以正式上線的時間為基準，<a href="https://www.ithome.com.tw/review/158051">AWS今年6月底正式推出Amazon EC2 P5</a>，微軟Azure在3月發表ND H100 v5，8月在美國東部與美國中南部這兩個地區的資料中心正式開始提供這項GP運算服務，若是有意採用的企業與組織，需到Azure網站填寫需求表單、輸入預計執行的虛擬機器數量、虛擬機器保留期間、用途，以及企業與組織的員工規模，再由相關地區的微軟業務團隊與其聯繫、洽談後續的試用。到了11月，微軟Azure發表新的GPU運算服務NC H100 v5系列，能用於中型的AI模型的訓練與生成式AI推論，以及主打支援機密運算特色的GPU運算服務NCC H100 v5系列，這兩款服務目前都處於公開預覽測試的狀態。</p> <p>至於Google Cloud，在5月舉行的Google I/O大會期間，預告將推出搭配Nvidia H100的運算服務A3，由於此服務當時處於封閉預覽狀態，企業與組織若要進行評估，需填寫線上表單申請試用。</p> <p><img alt="" src="/sites/default/files/images/A3-2023-05-What's%20new%20in%20Google%20Cloud-2.jpg" style="width: 600px;" /></p> <p>A3本身配備那些新技術？就運算層面而言，它搭配8個Nvidia H100 GPU，提供3倍的運算吞吐能力，而GPU之間的資料傳輸，會透過Nvidia發展的新一代高速I/O介面：NVLink 4.0與第四代NVSwitch，雙向傳輸頻寬可達3.6 TB/s；處理器與記憶體也升級到新一代規格，預計搭配<a href="https://www.ithome.com.tw/tech/155638">英特爾第四代Xeon Scalable</a>，以及2TB容量的DDR5-4800；在網路層面上，A3採用他們訂製設計的基礎設施處理器（IPU），亦即英特爾的IPU ASIC E2000，提供200 Gbps的網路傳輸介面，當中導入IPU硬體卸載、特製的跨伺服器GPU通訊堆疊，以及支援Nvidia集結通訊程式庫（NCCL）最佳化處理，能將A3的網路頻寬提升至10倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3-Nvidia-2023-08-1-Web.jpg" style="width: 600px;" /></p> <p>採用Nvidia H100之餘，由於A3設置在Google自詡最先進的網路環境，因此，也連帶獲得多種效益。</p> <p>首先，在該公司現行的GPU運算服務當中，A3率先配備他們訂製設計的基礎設施處理器（IPU），亦即英特爾的IPU ASIC E2000，提供200 Gbps的網路傳輸介面。在IPU的幫忙之下，雲端運算服務底層伺服器GPU之間的資料傳輸，不需經過CPU，而且源自其他虛擬機器的網路與資料流量，可跨越個別網路介面傳輸，因此，相較於Google Cloud<a href="https://cloud.google.com/blog/products/compute/a2-vms-with-nvidia-a100-gpus-are-ga">既有的GPU運算服務A2</a>，新登場的A3網路頻寬可提升至10倍，而且能提供低延遲與高穩定的連線。</p> <p>在底層交織網路的配置上，A3坐落在Google Cloud發展的資料中心網路環境Jupiter，可支援數萬個GPU互連，本身也能使用可完整運用所有頻寬、支援重新設置的光纖網路連接方式，提供隨需調整網路拓樸的彈性，可針對各種結構的工作負載，提供足夠的頻寬，與費用較高的市售交織網路相比，Jupiter能帶來相近的使用成效，但具有更低的總體持有成本。</p> <p>關於AI運算效能的表現上，A3最大可供應26 ExaFlops的處理能力，可顯著減少訓練大型機器學習模型的所需時間與成本。若用在AI推論，A3的成效更為顯著，若以A2的運算效能為基準，A3領先幅度可達到30倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3-Nvidia-2023-08-2-Web.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3-Nvidia-2023-08-3-web.jpg" style="width: 600px;" /></p> <p>到了8月底舉行的Google Cloud Next大會期間，該公司宣布A3將於下個月正式推出，支援大型AI模型的處理。而在這項運算服務的組態與特色的描述，大致與先前相同，但也補充一些細節，例如，搭配的英特爾第四代Xeon Scalable處理器會是2顆，而網路效能改善源於IPU的部分，Google Cloud此時將這項連線加速裝置稱為Titanium網路卡。除此之外，他們也特別公布一個使用案例：因推出生成式AI繪圖應用而舉世聞名的Midjourney，他們的平臺採用Google Cloud今年新推出的兩個GPU運算服務，其中的A3可提供2倍的圖片生成速度（相較於搭配A100 GPU的環境）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3%20Launch-2023-08-keynote-web.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3-Nvidia-2023-08-4-web.jpg" style="width: 600px;" /></p> <p>經過幾個月的等待，A3最近終於正式開放供應。根據Google Cloud release notes的12月21日公告，A3在Compute Engine上架，目前在亞太、歐洲、北美共5個區域的資料中心，均可選用A3。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3%20console1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP A3-release notes.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3-release%20notes.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/GCP A3-Documentation.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20A3-Documentation.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/GCP Machine series recommendation by workload type.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Machine%20series%20recommendation%20by%20workload%20type.jpg" style="width: 198px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Google Cloud A3</strong><br /> ●原廠：Google Cloud<br /> ●建議售價：新加坡資料中心（asia-southeast1）每月58,456.41美元<br /> ●處理器：英特爾第四代Xeon Scalable（Xeon Platinum 8481C）<br /> ●提供服務規模選擇與組態：a3-highgpu-8g，208顆虛擬處理器、1872 GiB記憶體、儲存空間最大為257 TB、8個Nvidia H100 GPU、網路頻寬為1,000 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/22 19:45作者李宗翰https://www.ithome.com.tw/review/160499
【資安日報】12月22日，巴勒斯坦駭客對以色列組織聲稱提供F5 BIG-IP「零時差漏洞修補程式」來破壞電腦所有檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對社會大眾的假消息相當氾濫，但現在也有針對IT人員而來的假漏洞資訊，若是未經查證很有可能上當。例如，有人針對WordPress網站的管理者而來，<a href="https://www.ithome.com.tw/news/160247">發送資安公告謊稱網站有特定CVE編號的漏洞</a>，從而對網站部署後門。</p> <p>而類似的手法，現在也被駭客用於對敵對國家企業組織發動攻擊。以色列組織收到聲稱F5 BIG-IP系列應用程式資安產品存在零時差漏洞的傳言，呼籲IT人員儘速套用他們提供的「更新程式」。但實際上，這是攻擊者捏造的消息，被鎖定的組織收到的資訊當中，僅提及要修補零時差漏洞，並未透露細節而形成破綻。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/fake-f5-big-ip-zero-day-warning-emails-push-data-wipers/"><strong style="font-size: 22px;">巴勒斯坦駭客聲稱對F5 BIG-IP零時差漏洞提出警告，藉此散布資料破壞程式</strong></a></p> <p>以色列國家網路管理局（INCD）提出警告，有人假冒F5的名義（<a href="mailto:[email protected]">[email protected]</a>）寄送釣魚信，佯稱網路上出現大規模的F5 BIG-IP零時差漏洞攻擊，並提供更新軟體，呼籲該國企業組織的IT人員儘速套用，以免遭到相關攻擊。</p> <p>然而IT人員一旦照做，安裝對方提供的「更新程式」，電腦就會執行駭客的資料破壞軟體（Wiper），而有可能導致磁碟裡的資料遭到摧毀。INCD指出，駭客對Windows、Linux電腦使用不同的惡意程式來發動攻擊，並透過Telegram頻道，將受害電腦的系統資訊回傳給攻擊者。</p> <p>而對於攻擊者的身分，名為Handala的巴勒斯坦駭客組織向資安新聞網站Bleeping Computer透露是他們所為，並指出他們的資料破壞軟體已部署到許多以色列組織的網路環境，但該新聞網站無法確認這項消息是否屬實。</p> <p>資料來源</p> <p>1. <a href="http://www.gov.il/he/Departments/publications/reports/alert_1687">http://www.gov.il/he/Departments/publications/reports/alert_1687</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/fake-f5-big-ip-zero-day-warning-emails-push-data-wipers/">https://www.bleepingcomputer.com/news/security/fake-f5-big-ip-zero-day-warning-emails-push-data-wipers/</a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ALERT-CERT-IL-W-1687.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ALERT-CERT-IL-W-1687.png" style="width: 580px;" /></a></p> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/instagram-phishing-targets-backup-codes/"><strong style="font-size: 22px;">佯稱用戶侵犯著作權的網釣攻擊行動再度出現，這次目標是Instagram的備用雙因素驗證碼</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Instagram-Phishing-8.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Instagram-Phishing-8.png" style="width: 300px; float: right;" /></a>宣稱使用者在社群網站侵犯他人著作權的網路釣魚攻擊不時傳出，但近期出現新型態的攻擊手法，而使得情況變得更為複雜。資安業者Trustwave發現針對Instagram用戶的網路釣魚攻擊行動，駭客佯裝Meta，聲稱收信人的Instagram帳號因侵犯著作權而遭到檢舉，若不提出申訴，帳號就會在12小時後永久刪除。</p> <p>一旦收信人點選前往填寫申訴表單的按鈕，就會被帶往由Bio Sites建置的網站，然後再重新導向到真正的釣魚網站，一旦收信人依照指示輸入資料，相關資料便會回傳給攻擊者。</p> <p>比較特別的是，起初攻擊者引誘目標填寫帳號、密碼的時候，該網站還會確認收信人是否啟用Instagram雙因素驗證（MFA）機制，藉此要求受害者提供該社群網站的備用密碼，從而繞過雙因素驗證流程。</p> <p><a href="https://www.imperva.com/blog/imperva-detects-undocumented-8220-gang-activities/"><strong style="font-size: 22px;">Oracle WebLogic伺服器漏洞遭到駭客組織8220鎖定，用於散布惡意程式</strong></a></p> <p></p> <p>資安業者Imperva揭露中國駭客組織8220最近一波的攻擊行動，這些駭客針對Java應用程式伺服器軟體Oracle Weblogic Server下手，植入惡意程式，並將其資源用於挖礦。</p> <p>研究人員指出，這些駭客並非首度對Oracle Weblogic Server發動攻擊，他們先前曾利用此系統的漏洞CVE-2021-44228、CVE-2017-3506下手，這次攻擊也有使用，但值得留意的是，本次對方在散布惡意程式的過程裡，又試圖利用另一個遠端執行任意程式碼漏洞CVE-2020-14883。此漏洞可讓攻擊者在未通過身分驗證的情況下，藉由工具鏈執行程式碼，而且，攻擊者通常會將其與身分驗證繞過漏洞CVE-2020-14882串連使用，從而盜竊、外流帳密資料，或是削弱其防護。對於駭客利用CVE-2020-14883的方式，研究人員看到兩種手法，一是藉由載入XML檔案，從而呼叫另一個檔案並執行作業系統命令；另一是利用不同的工具鏈來執行JavaScript程式碼，駭客在受害主機上植入Agent Tesla、rhajk、nasqa等惡意程式來從事攻擊行動。</p> <p>而對於受害範圍，研究人員看到美國、南非、西班牙、哥倫比亞、墨西哥都有受害組織，這些企業隸屬醫療保健、電信、金融服務領域，但駭客似乎是隨機挑選目標，沒有特別針對某些國家或是產業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2023-12-11-at-9_05_51-AM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2023-12-11-at-9_05_51-AM.png" style="width: 580px;" /></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2023/12/stable-channel-update-for-desktop_20.html"><strong style="font-size: 22px;">Google發布Chrome 120更新，修補WebRTC元件零時差漏洞</strong></a></p> <p></p> <p>12月20日Google推出Chrome電腦版120.0.6099.129、120.0.6099.130，目的是修補存在於WebRTC元件的記憶體堆疊緩衝區溢位漏洞CVE-2023-7024。</p> <p>這項漏洞是19日Google旗下的威脅分析小組（TAG）通報，並發現已有攻擊程式出現，促使該公司隔日發布更新，此為今年Google修補的第8個Chrome零時差漏洞。</p>  <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://investor.cisco.com/news/news-details/2023/Cisco-to-Acquire-Isovalent-to-Define-the-Future-of-Multicloud-Networking-and-Security/default.aspx"><strong style="font-size: 22px;">為強化公有雲產品線安全，思科買下雲端資安新創Isovalent</strong></a></p> <p></p> <p>12月21日思科宣布併購開源雲端網路安全供應商Isovalent，目的是強化思科公有雲的資訊安全，並透露將於2024財年的第3季完成合併，但沒有公布交易金額。</p> <p>Isovalent主要經營eBPF及Cilium兩大專案，其中，eBPF可於作業系統核心執行沙箱程式，讓開發人員安全且有效地擴充核心能力，而無需變更核心程式碼或載入額外模組；另一專案Cilium，則是基於eBPF的開源雲端解決方案，用來提供、保護與觀察工作負載之間的網路連線。Isovalent再藉由這兩大專案的能力，提供各種雲端安全解決方案。</p> <p>在買下Isovalent之後，思科承諾將繼續透過Cilium的開源力量，打造獨特的多雲安全及網路功能，未來也會繼續建置與提供Isovalent產品，而Isovalent團隊則將併入思科資安事業部。</p> <p><a href="https://www.ithome.com.tw/news/160450"><strong style="font-size: 22px;">身分驗證解決方案業者Okta買下以色列資安新創Spera Security</strong></a></p> <p>12月19日身分驗證管理平臺業者Okta宣布，為擴大身分威脅偵測及資安狀態管理能力，他們買下以色列資安新創Spera Security，雙方預計在明年2月1日開始的第一財季完成併購作業。根據以色列科技新聞網站Calcalist的報導，這筆交易的金額介於1億至1.3億美元。</p> <p>資料來源</p> <p>1. <a href="https://www.okta.com/blog/2023/12/okta-acquisition-advances-identity-powered-security/">https://www.okta.com/blog/2023/12/okta-acquisition-advances-identity-powered-security/</a><br /> 2. <a href="https://www.calcalistech.com/ctechnews/article/bjhjagkda">https://www.calcalistech.com/ctechnews/article/bjhjagkda</a></p> <p> </p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/openai-rolls-out-imperfect-fix-for-chatgpt-data-leak-flaw/"><strong><span style="font-size: 20px;">OpenAI修補ChatGPT可能導致資料外洩的弱點，但研究人員認為攻擊者仍有機會繞過</span></strong></a></p> <p><a href="https://news.sophos.com/en-us/2023/12/19/inhospitality-malspam-campaign-targets-hotel-industry/"><strong><span style="font-size: 20px;">竊資軟體RedLine、Vidar鎖定旅館而來</span></strong></a></p> <p></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/12/new-metastealer-malvertising-campaigns"><strong><span style="font-size: 20px;">竊資軟體MetaStealer透過惡意廣告散布</span></strong></a></p> <p></p> <p><a href="https://twitter.com/MsftSecIntel/status/1737895715911700830"><strong><span style="font-size: 20px;">伊朗駭客APT33鎖定國防產業，散布惡意程式FalseFont</span></strong></a></p> <p><a href="https://www.resecurity.com/blog/article/cybercriminals-impersonate-uae-federal-authority-for-identity-and-citizenship-on-the-peak-of-holidays-season"><strong><span style="font-size: 20px;">中國駭客Smishing Triad鎖定阿拉伯聯合大公國，發送手機簡訊或iMessage從事網路釣魚攻擊</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160484"><strong>【12月21日】 Sony旗下遊戲開發商遭勒索軟體Rhysida攻擊並導致開發中的遊戲資料外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160449"><strong>【12月20日】 FBI破獲勒索軟體BlackCat暗網網站，但駭客一天內奪回並揚言報復，預計攻擊醫院和核電廠</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160433"><strong>【12月19日】金融木馬威脅在2023年爆增，惡意程式家族較去年多出接近一倍，600款行動應用程式用戶成駭客鎖定的目標</strong></a></p> </div></div></div>
2023/12/22 15:51作者周峻佑https://www.ithome.com.tw/news/160502
零售IT雙周報第26期：土耳其鐘錶珠寶店Konyalı Saat導入AI店面影像分析系統，強化保全、人力調度及店內行銷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(1210~1223)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI影像辨識</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店內營運優化</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店內行銷分析</span></span><br /> 土耳其連鎖鐘錶珠寶店導入AI店面影像分析系統，不只強化保全，還能輔助人力調度及店內行銷</strong></p> <p>土耳其老牌連鎖鐘錶珠寶店Konyalı Saat於全部40家店面<a href="https://www.idisglobal.com/index/latest_view/2970">導入AI店面影像分析系統</a>，不只能用於強化保全，還能輔助門市管理及店內行銷。</p> <p>此分析系統用解析度1080p以上鏡頭捕捉店內影像，並與Konyalı Saat的POS和ERP系統串接，能將商品內容及即時結帳資訊納入分析。除了根據影像內容來分析人流及可疑行為，還能於結帳畫面中同步標註POS端登記的結帳金額，以利管理人員事後觀察是否有可疑交易。不只如此，此系統可以追蹤線下商品行銷轉換率以及分析店內人力調度效率，來輔助店長及行銷人員決策。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生物特徵辨識</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#科技歧視</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#科技法規</span></span></strong></p> <p><strong>美國連鎖藥局Rite Aid使用面部辨識科技涉嫌歧視及騷擾顧客，遭當局禁用生物辨識科技5年</strong></p> <p>日前<a href="https://www.ftc.gov/news-events/news/press-releases/2023/12/rite-aid-banned-using-ai-facial-recognition-after-ftc-says-retailer-deployed-technology-without?">美國聯邦貿易委員會（FTC）宣布</a>，禁止美國老牌連鎖藥局Rite Aid 5年內使用AI面部辨識科技。根據FTC公告，禁止原因是，Rite Aid過往應用面部辨識科技於保全系統時，不僅刻意對顧客隱瞞他們有使用生物辨識科技來監控，還在誤判情況下縱容店員騷擾、跟蹤及指控顧客。不只如此，這個面部辨識系統對有色人種的誤報率更高，而Rite Aid沒有有效處理科技歧視問題。Rite Aid則發布聲明否認這些指控，但表示尊重FTC決定。</p> <p>FTC表示，這是他們第一次因為生物辨識科技使用不當而祭出處分，並重申會積極管制企業利用生物特徵辨識來進行監控的應用情況是否合規。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#外部通路</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#傳產轉型</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#會員經營</span></span><br /> 中華海洋生技串接資訊流出奇招，不靠通路也要經營第一方會員數據</strong></p> <p>生技傳產中華海洋生技近年開始<a href="https://www.ithome.com.tw/people/160495">布局第一方會員及銷售數據經營</a>。他們面臨的問題是，9成營收來自數量多、組成複雜的外部通路，難以串接通路IT系統來蒐集數據。</p> <p>不過，他們沒有選擇開始大幅建設直營通路，而是採取MGM模式（Member get member，舊客帶新客），甚至反過來，經由消費者來串聯起外部通路之間的資訊流，以擬定進一步數位行銷做法、並強化營運決策。</p> <p>為了執行這個策略，他們將會員溝通介面、ERP、公益禮券、POS、EC、CRM、以及會員資料後臺都現代化，並打通內部系統間數據流。接著，他們開始準備外部資訊流串聯。明年開始，他們計畫於商品包裝貼上RFID標籤，來追蹤貨號。從工廠出貨前，利用感應器快速登記每批貨號分別送達哪個外部通路。</p> <p>另一方面，他們透過集點等誘因，鼓勵會員在外部通路購入商品後，登記消費紀錄到會員系統。這樣一來，中華海洋生技不用與外部通路的IT系統串聯，也可以連結起商品銷售通路、購買時間、會員身分等資訊，整理出商品於全臺不同通路的銷售情況及會員輪廓。</p> <p><font color="#ffffff"><span style="background-color: rgb(0, 153, 255);"><b>#個人化推薦</b></span></font> <font color="#ffffff"><span style="background-color: rgb(0, 153, 255);"><b>#非規格商品貼標</b></span></font> <font color="#ffffff"><span style="background-color: rgb(0, 153, 255);"><b>#RMN</b></span></font><br /> <strong>Pinkoi用AI強化個人化推薦、RMN投廣及多種電商經營輔助功能</strong></p> <p>設計類垂直電商Pinkoi日前發表自建AI模型「生活風格智慧模型」。這個模型由625萬會員的72億筆行為數據、5.2萬設計品牌數據，以及110萬商品數據等資料訓練而成，具備自然語言處理、電腦視覺及預測推薦功能。</p> <p>Pinkoi會用此模型來為站上商品及消費者來自動貼標。利用電腦視覺功能，此模型會分析商品外觀，再用NLP功能生成多語言、多維度的標籤。Pinkoi技術長李讓表示，至少有8成商品標籤都是由AI自動生成。替消費者貼標時，則會綜合商品貼標、消費者站上行為及消費輪廓類似的KOC（Key Opinion Consumer，關鍵意見消費者）購物行為，來推論出長期「購物人格」和短期「即時動機」2大類標籤。此模型接著會綜合商品和消費者標籤，來推薦消費者於商城及RMN廣告所見商品。</p> <p>此模型推薦功能還會應用於RMN投廣參數建議。當品牌主要投放廣告時，只要設定行銷預算及促銷商品，系統便會根據品牌過往數據及相似品牌數據，自動設定廣告出價、行銷受眾、廣告成效指標等參數。</p> <p>Pinkoi還用此模型來打造品牌個人化版面服務，根據造訪消費者的屬性不同，替商家調整品牌商城元素，最多可以排列組合出上萬種商城版面。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧購物車</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#面部辨識</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#線下分眾行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI客服</span></span><br /> 群創用AI改造智能超市，導入智慧購物車、即時分群廣告推播及互動式酒促客服體驗</strong></p> <p><a href="https://www.ithome.com.tw/news/160211">群創光電用自家顯示技術及AI技術來改造全家便利商店東森一號店</a>。第一項科技是智慧購物車。此購物車搭載鏡頭及重量感測器，透過AI影像辨識及秤重來判斷消費者放進購物車的商品品項及數量。商品規格等參數由由群創自行開發的CMS來管理，並串接到全家ERP。當購物車發現視覺辨識與重量感測到的商品內容有出入等異常時，會鎖定購物車並通知店員。</p> <p>第二項是用人臉辨識來判斷廣告投放內容的推播螢幕。推播後臺會根據消費者分群、門市地域、當下促銷活動等因素，1秒內完成辨識及廣告推播。為了AI歧視及隱私侵犯疑慮，目前此系統只會推播食品類商品等較不易產生歧視的廣告，也只會紀錄去識別化消費者特徵值。這些特徵值每7天會由地端電腦拋轉到雲端，進行紀錄與進一步分析，以優化行銷策略。</p> <p>另一個AI店內行銷科技是串接了ChatGPT的互動式酒促客服。安裝在酒架上的互動式螢幕會引導消費者順著行銷腳本來認識不同酒類。消費者還可以用語音輸入的方式指定飲酒情境，要求酒促客服推薦適合酒類。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fmmh.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://seekingalpha.com/article/4655062-five-below-inc-five-q3-2023-earnings-call-transcript">有約1,000家供應商的美國五元店Five Below將用科技強化庫存需求預測、補貨以及追蹤商品在供應鏈中的動態</a></p> <p>2. 圖像社群媒體Pinterest開始用AI分辨女性服飾商品適合的尺寸，並於商品搜尋功能中加入尺寸分類</p> <p>3. <a href="https://innovation.ebayinc.com/tech/product/new-social-caption-generator-uses-ai-to-help-sellers-post-more-easily/">eBay也推出生成式AI行銷文案生成工具，能根據產品圖片產生文案並根據商家提示調整內容</a></p> <p>4. <a href="https://www.dynamicyield.com/shopping-muse/">個人化推薦引擎巨頭Dynamic Yield也推出聊天機器人，根據圖文輸入及消費者過往數據來推薦商品。</a></p> <p>資料來源：iThome整理，2023年11月</p> <p>責任編輯：郭又華</p> </div></div></div>
2023/12/22 17:26作者郭又華https://www.ithome.com.tw/news/160503
Google緊急修補Chrome零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2023/12/stable-channel-update-for-desktop_20.html" target="_blank">Google周三（12/20）緊急更新</a>了支援Windows、Linux與macOS的桌面版Chrome，此次的更新只為了修補一個已遭到駭客濫用的零時差漏洞CVE-2023-7024，同時它也是今年第8個Chrome零時差漏洞。</p> <p>CVE-2023-7024為WebRTC的堆積緩衝區溢位漏洞，是由Google自家的威脅分析小組（Threat Analysis Group，TAG）在12月19日所提報，當時並已發現針對該漏洞的攻擊程式。由於這類的漏洞通常會造成程式當掉或是允許駭客執行任意程式，促使Google隔天就釋出修補。</p> <p>這已是Google今年所修補的第8個Chrome零時差漏洞，前面的7個中，有3個與V8引擎有關，2個與Skia繪圖引擎有關，一個與WebP圖像格式有關，還有一個位於libvpx中的vp8編碼函式庫。</p> </div></div></div>
2023/12/22 13:13作者陳曉莉https://www.ithome.com.tw/news/160497
AI趨勢周報第237期：蘋果提出新方法，行動裝置可執行DRAM兩倍大的LLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(1215～1221)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DRAM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>蘋果提出新方法，成功讓邊緣裝置執行DRAM兩倍大的LLM</strong></span></p> <p>蘋果最近提出一種新方法，來解決行動裝置DRAM記憶體不足、難以執行大型語言模型（LLM）的難題。進一步來說，LLM雖有出色的語言處理表現，但需耗費大量運算資源和記憶體，很難在資源有限的邊緣裝置上執行，特別是DRAM有限的行動裝置。</p> <p>於是，蘋果團隊結合2種技術，將模型參數儲存在快閃記憶體上，再依需求，將參數傳送到DRAM，讓行動裝置也有辦法執行原本DRAM無法負荷的LLM應用。這2種技術分別是視窗化（Windowing）和列行合併（Row-column bundling），前者透過重複使用已活化的神經元，來減少資料傳輸，後者針對快閃記憶體的序列資料存取優勢，來增加快閃記憶體讀取資料的大小。團隊測試，採用這些方法，可執行高達DRAM兩倍大的模型，而且與單純的CPU和GPU加載方法相比，推理速度分別提高了4到5倍和20到25倍。</p> <p>這項研究意義重大，因為蘋果計畫將生成式AI功能整合到iOS 18作業系統中，來強化Siri和訊息App體驗，更有效地回答問題和自動完成句子。不只蘋果，三星最近也推出可在行動裝置上執行的語言模型Gauss，並計畫納入2024年初要發布的Galaxy S24手機中，他們還打算將這種語言模型整合到其他手機、筆電和平板電腦等設備。另一方面，Google也推出Gemini Nano低階版語言模型，可在裝置上執行，且預計結合Google Pixel 8手機，要提供錄音App的摘要功能和Gboard智慧鍵盤的智慧回應等功能。<a href="https://browse.arxiv.org/html/2312.11514v1">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影片生成 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google發表影片生成模型VideoPoet</strong></span></p> <p>大型語言模型（LLM）不只能用來生成文字、圖片，還能生成影片。最近，Google研究院就發表了影片生成模型VideoPoet，可執行一系列影片生成任務，包括文字轉影片、圖片轉影片、產生不同風格的影片、影片修復和外擴，以及影片轉音檔等。</p> <p>有別於現有模型分段的做法，VideoPoet的特別之處在於，只用單一個LLM架構就整合多種影片生成能力。VideoPoet以多種標記器（Tokenizer）訓練而成，像是讓模型理解影片和圖片的MAGVIT V2、學習音訊的SoundStream等。</p> <p>經測試，團隊發現，VideoPoet能根據文字提示生成更貼切的影片，也就是文字保真度和動作趣味性比Pika、Stable Video Diffusion、Imagen Video、RunwayML等同類模型表現要好。此外，VideoPoet也擅長零樣本學習，能根據單一文字或圖片輸入，來產出良好且連貫的影片。<a href="https://blog.research.google/2023/12/videopoet-large-language-model-for-zero.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgoUJFpPd377ceVnh3Yi0Y1oM6pVPL_FSEwugxBVKfEwHV8VA-1ZPmddz1VRBtqESjjEP83EJ4HOLLSBmXOVLEODZVFZYUuDiCRyMUIvSaRsxieR-58iAwHPBf7SNeSBU2a3Pm80JOFivTSjZsqlerHxAGg_Ko_8gCDLWWtNAQffyGCNJrw2G5PPG-vSYtz/s16000/image18.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLMOps </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google要打造從端到雲全套GAI工具鏈</strong></span></p> <p>Google在12月發表不少生成式AI工具，不只有大語言模型Gemini，也在AI開發套件Vertex AI上釋出企業用Gemini Pro模型預覽版API，開放企業免費試用。同時，他們也推出Web版AI Studio開發工具，將自家MLOps開發平臺Vertex AI轉為聚焦企業GAI開發的LLMLOps平臺，要涵蓋開發、部署到維運更多模型生命周期階段的需求。</p> <p>進一步來說，就Gemini而言，Google發表高階Ultra版、中階Pro和用於行動裝置的低階Nano版模型等3種版本，Ultra版將可同時辨識和理解文字、圖片與聲音，也能處理幾種熱門開發語言，如Python、Java、C++。而先上架的Gemini Pro模型API預覽版，就是中階款，包括只支援文字輸入和生成的Gemini Pro，以及Gemini Pro Vision端點這2種API，後者可處理文字和影像輸入，但只輸出文字。</p> <p>Google還宣布多項Vertex AI新功能，包含模型增強、與外部資料或API的互動、多模型協作框架、自動化模型評比和更多GAI控制機制。其中，Vertex AI增強工具的主要功能有強化搜尋常用的嵌入檢索機制、設定配置就能快速建置的RAG工具，能串接外部向量資料庫，再以Vertex AI使用Gemini來實現多模態嵌入檢索。Vertex AI也將提供到18種GAI負責任控管機制，來把關生成內容，另也會提供3項模型與外部環境互動的能力，不只有8月推出的預覽版外掛機制（Extension）、讓生成式AI模型即時取得外部資訊，還會新增函數呼叫功能，可將Gemini生成結果自動匯出成一支API或函式程式。另一項新功能是多模型協作調度，Vertex AI將可用來調度多個模型互相搭配，例如在手機上用Nano版模型接收使用者口說的問題，先將問題聲音轉成文字後，再拋轉到雲端的Pro版模型來生成回答、傳給使用者。不過，Google還沒揭露調度框架釋出時程。<a href="https://www.ithome.com.tw/news/160451">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 小模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 監督 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI最新研究：人類有辦法控制比自己更聰明的AI</strong></span></p> <p>人類該如何有效監督比自己還聰明的AI？這是OpenAI今年中提出的問題。他們在7月組隊、展開超對齊（Superalignment）研究，最近揭露最新成果，成功以小模型來監督大模型，在人類開發和管理超級AI的難題上，提供一個新視角。</p> <p>他們採用簡單的方法鼓勵模型，使強模型不受弱監督者的能力限制，甚至在必要時反對弱監督者意見。因此在自然語言處理任務中，他們以GPT-2模型監督GPT-4，產生的模型能力通常介於GPT-3和GPT-3.5，許多GPT-4的能力仍可發揮。這說明了，即便在弱監督的指導下，強大的AI模型也能超越其限制，達到更高水準的表現。亦即，即便人類身為弱監督者，能力和理解可能受限、無法良好地評估強模型，但身為弱監督者仍有能力引導和改善強模型表現，揭示了人類控制先進AI系統的可能性。<a href="https://openai.com/research/weak-to-strong-generalization">（詳全文）</a></p> <p><img alt="" src="https://images.openai.com/blob/7f37b3a2-c7fa-4e5d-b5eb-e0a8c6794223/SuperAlignmentBlog_Artwork_Transparent.png?trim=0,0,0,0&width=2000" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mixtral 8x7B </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Llama 2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SMoE </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟更新DirectML，開始支援NPU</strong></span></p> <p>微軟預告2024年將更新DirectML，將支援神經處理單元（NPU）。NPU是一種專為機器學習工作負載設計的處理單元，適合用於計算密集、不需圖型介面互動的工作負載，目前英特爾新款Core Ultra處理器晶片就內建NPU，也會是第一個可在Windows上使用DirectML技術的NPU。</p> <p>DirectML是一個低階且硬體抽象化的API，能直接存取GPU等各類加速器，來執行機器學習計算。DirectML也能和其他機器學習框架整合，比如跨平臺推理引擎ONNX Runtime、Windows機器學習模型最佳化工具Olive等。得到DirectML支援的NPU，還能加入ONNX生態系，使用如ONNX Model Zoo模型、英特爾Neural Compressor與ONNX Runtime等工具。這次的新支援，對開發者來說，能透過ONNX Runtime等API，將AI模型轉移到英特爾NPU上執行。支援NPU的DirectML預計在2024年初，與最新的ONNX Runtime版本一起釋出。<a href="https://devblogs.microsoft.com/directx/windows-directml-with-npus/">（詳全文）</a></p> <p><img alt="" src="https://devblogs.microsoft.com/windowsai/wp-content/uploads/sites/71/2023/12/DirectML-Platform.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 小語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟Azure AI再添新模型，Phi-2小語言模型也上架</strong></span></p> <p>最近，微軟Azure AI再添生成式AI模型，包括在Azure AI中，公開預覽版的模型即服務（MaaS）平臺納入Meta最新模型Llama 2，在Azure OpenAI服務和Azure AI Studio工具中提供公開預覽版的模型OpenAI GPT-4 Turbo with Vision，另也在Azure AI模型市集中上架6個新模型，包括前陣子新發布的小型語言模型Phi-2。</p> <p>Azure AI的MaaS平臺是微軟在今年11月Ignite大會中發表的新服務。微軟解釋，在Azure AI中，企業可在雲端執行個體中建立VM來部署模型，但有些企業不想處理基礎設施工作，因此催生出MaaS平臺，將模型視為API端點，來讓用戶呼叫模型，猶如使用Azure OpenAI服務一樣，這次在MaaS平臺中新添了Meta的Llama 2系列模型。而在模型市集中，除了新增Phi-2，還納入了文字生成模型DeciLM 7B、文字生成圖像模型DeciDiffussion、程式碼生成模型DeciCoder、Orca2和Mixtral 8x7b等模型。<a href="https://techcommunity.microsoft.com/t5/ai-ai-platform-blog/continuing-to-advance-state-of-the-art-model-and-tooling-support/ba-p/4008407">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Model%20catalog.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Imagen 2 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Vertex AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google推出文字生成圖像模型Imagen 2</strong></span></p> <p>Google最近在自家模型開發和部署平臺Vertex AI中，正式上架文字生成圖像模型Imagen 2，供等待審核的使用者取用。Google指出，Imagen 2的特點包括更高品質的圖像生成、更精準的文字渲染、可製作Logo、產出更貼切的圖說和看圖問答、多支援6種語言，以及符合Google負責任AI原則。其中，精準的文字渲染，能讓生成的圖像更貼近文字提示，而支援的語言除了英文，還新添中文、印度語、日文、韓文、葡萄牙文和西班牙文等。</p> <p>就安全性來說，Google在Imagen 2內建安全機制，確保產生的圖像符合規範。例如，生成圖像整合DeepMind的SynthID浮水印功能，列入白名單的使用者可用來生成肉眼不可見的浮水印。而且，Google還強調版權賠償方法，意味著使用者不必擔心以Imagen 2生成的作品，可能侵害著作權。<a href="https://cloud-google-com.translate.goog/blog/products/ai-machine-learning/imagen-2-on-vertex-ai-is-now-generally-available?_x_tr_sl=auto&_x_tr_tl=zh-TW&_x_tr_hl=zh-TW&_x_tr_pto=wapp ">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/images/Imagen-BlogTout-1_zKElMC5.max-1400x1400.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI評測中心 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公平性 </span></strong></span></p> <p><span style="font-size:22px;"><strong>數位部啟動AI產品與系統評測中心，2024年要成立驗證機構</strong></span></p> <p>在本月初，數位發展部正式啟動AI產品與系統評測中心，要建立公平、可靠的AI產品和系統評測機制，以及可信任AI的發展環境。數位部表示，AI評測中心旗下有制度推動委員會、技術審議小組，將負責制定AI產品與系統評測制度、AI產品與系統評測指引。他們還預告，要在2024年成立驗證機構、測試實驗室，來提供AI評測與驗證服務。</p> <p>目前，AI評測中心已先建立大語言模型的初步評測項目，包含安全性、可解釋性、彈性、公平性、準確性、透明性、當責性、可靠性、隱私及資安等10大類，目前也陸續展開測試，如國科會的TAIDE模型。數位部指出，AI評測中心接下來會推動國內AI模型功效評測工具，並針對不同產品、系統和服務類別，參考國際試驗方法，來發展臺灣的評測工具與系統。<a href="https://moda.gov.tw/ADI/news/latest-news/9295">（詳全文）</a></p> <p>圖片來源／Google、OpenAI、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Google用機器學習技術最佳化編譯器配置，強化模型執行效率</strong></p> <p><strong>2. Mistral AI 將於 2024 年開源 GPT-4 級別模型</strong></p> <p>資料來源：iThome整理，2023年12月</p> </div></div></div>
2023/12/22 11:14作者王若樸https://www.ithome.com.tw/news/160490
【高效率GPU I/O躍居次世代AI資料中心重要角色】輝達GPU直連應用架構的進化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1161-feng_mian_2-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在AI應用熱潮之下，作為運算能力源頭的GPU，成為最關鍵的基礎元件。因而GPU規格及運算能力的進展，也成為當前IT基礎設施發展的焦點。</p> <p>但隨著AI規模擴展，GPU應用涉及的I/O資料傳輸架構，已成為影響AI效能的另一項關鍵要素，影響力不下於GPU本身運算能力的發展。</p> <p>首先，GPU只是運算單元，在執行運算工作之前，必須先從儲存與網路單元載入資料，因而載入資料所經由的I/O傳輸通道效率，將直接影響GPU系統的整體效率。無論GPU運算能力如何強大，如果資料傳輸的I/O延遲過大或頻寬不足，顯然會極大地妨礙GPU運算能力的發揮。也就是說，GPU必須搭配高效能的I/O傳輸架構，才能充分發揮運算能力。</p> <p>其次，儘管GPU的運算能力不斷進步，但面對AI應用所需的龐大運算能力需求，個別GPU很快就會難以負荷，往往必須以多GPU配置的運算節點或多臺GPU伺服器組成運算叢集，才能聚集出足夠的運算能力，這也連帶產生GPU之間的高速通信需求，必須透過高效率的傳輸架構連結多個GPU、成為一個巨大的GPU資源池，這同樣也帶來高效能I/O架構的需求。</p> <p>而隨著AI應用的持續深入與擴大發展，也增強搭配GPU的高效能I/O架構的要求。以往AI應用涉及的資料集規模相對有限，給I/O架構帶來的傳輸壓力也有限，一般標準的伺服器I/O架構大致還能應付。但到了今日，生成式AI技術運用的資料集規模動輒數十TB起跳，下一代大語言模型的資料量還遠高於此，這已遠遠超過一般伺服器I/O架構的承載能力，必須為GPU發展新的高效能I/O架構，才能滿足新一代AI應用的處理能力要求。</p> <p>作為GPU領域領導者的Nvidia（輝達），除了GPU本身的發展，過去十多年來，他們也陸續推出一系列專屬高速I/O技術，包括GPUDirect、NVLink、NVSwitch等，搭配自身GPU。</p> <p>而這一系列高效能I/O技術，也成為Nvidia在GPU之外的另一項「隱形優勢」——Nvidia不僅在GPU本身的效能規格領先群倫，同時還有完整的高效能I/O技術與其配套，兩者相輔相成。相較下，其他GPU競爭廠商，便缺乏這樣完整的配套I/O技術，也制約GPU效能的發揮。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GPUDirect的基本框架</strong></span></span></p> <p>現在Nvidia將他們長期發展的多種GPUDirect技術，整合至Magnum IO軟體技術套件，包含GPUDirect Storage、GPUDirect Peer to Peer（P2P）、GPUDirect RDMA，以及GPUDirect for Video等4種應用架構，簡而言之，可分為下列兩大類型：</p> <p><strong>● GPU與GPU直連：</strong>讓GPU與GPU之間透過PCIe或專屬傳輸介面直連通信，適用於多GPU應用環境，GPUDirect P2P屬於這種應用類型。</p> <p><strong>● GPU與非GPU直連：</strong>讓非GPU的周邊裝置，如網路卡、多媒體視訊處理卡或儲存裝置，透過Nvidia的API與GPU直連通訊，包括：GPUDirect Storage，GPUDirect RDMA、GPUDirect for Video，都屬於這種應用類型。</p> <p>無論哪一種類型，目的都是減少傳輸延遲、提高GPU相關應用的I/O效能。</p> <p>而這一系列GPUDirect技術，其實，是經過十多年的逐步演化、發展而來。最早可追溯到2010年推出的GPUDirect Shared Access，最晚近的則是2019年推出的GPUDirect Storage，應用環境從單一主機的內部通信，擴展到多主機之間，以及與外部裝置間的連接通信，還衍生出NVLink與NVSwitch等2項GPU互連傳輸技術。</p> <p>接下來我們便以發表時間的先後順序，簡要介紹GPUDirect相關技術的發展與演進。</p> <p><span style="color:#B22222;"><strong>GPUDirect Shared Access</strong></span></p> <p>在2010年，隨CUDA 3.1運算架構一同導入的GPUDirect Shared Access，有時也被大家稱為GPUDirect 1.0，或是GPUDirect Shared Memory，存在目的在於，讓Nvidia GPU驅動程式與第3方PCIe裝置（主要是網路卡）驅動程式，共享主機系統記憶體中固定的一塊資料緩衝區，減少兩者間不必要的資料緩衝複製作業。</p> <p>在沒有GPUDirect幫忙的情況下，GPU與網路卡在主機記憶體區域中各自有獨立的資料緩衝區，當GPU要將資料傳送給網路卡時，必須先將資料複製到自身的緩衝區暫存，再複製到網路卡的緩衝區，才能交由網路卡存取。而在有了GPUDirect之後，GPU與網路卡可共用同個資料緩衝區，只需1次複製就能完成資料傳輸，因而也大幅降低了資料傳輸的延遲。</p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 22px;"><strong>GPUDirect技術的起點：GPUDirect Shared Access</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1161-%E5%B0%81%E9%9D%A22-600-(2).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">被稱為GPUDirect 1.0的GPUDirect Shared Access，目的是改善GPU與網路卡之間的傳輸效率。在傳統架構下，GPU與網路卡在主機系統記憶體中，各自有一塊獨立的緩衝區，所以必須經由兩次複製作業，才能完成GPU與網路卡之間的資料傳輸。而透過GPUDirect則能讓兩者共用同一塊固定的緩衝區，因而將資料傳輸所需的複製作業減少一半。<span style="font-size: 14px;">圖片來源／Nvidia</span></span></p> <p><span style="color:#B22222;"><strong>GPUDirect P2P</strong></span></p> <p>Nvidia在2010年推出的GPUDirect Shared Access，是用於單一主機內部GPU與非GPU裝置之間的資料傳輸。接著在2011年，他們推出單一主機內部GPU與GPU直連資料傳輸的GPUDirect P2P，搭配同時推出的CUDA 4.0架構。</p> <p>在傳統的傳輸架構下，GPU與GPU之間的資料傳輸，必須要透過主機端系統記憶體緩衝區的中介，來源端GPU先將資料複製到主機系統記憶體，放在固定的共享緩衝區暫存，之後再將資料複製到目標端GPU的記憶體。</p> <p>透過GPUDirect P2P，可以讓單一主機內的GPU與GPU之間，利用非統一記憶體存取架構（NUMA）的方式，將另一GPU的記憶體映射為當前GPU的虛擬記憶體空間，藉此讓多個GPU之間透過PCIe介面直接存取彼此的顯示記憶體，因而在GPU之間傳輸資料時，省略將資料複製到主機系統記憶體緩衝區的中介，也無須與主機CPU互動，能加速多GPU運算環境的資料傳輸作業，顯著減少存取延遲。</p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 22px;"><strong>為GPU之間提供直連的GPUDirect P2P</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1161-%E5%B0%81%E9%9D%A22-600-(3).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">在傳統架構下，GPU與GPU之間的資料傳輸，須經由主機CPU與系統記憶體的中介。而透過GPUDirect P2P技術，則能讓GPU與GPU之間，以直接記憶體存取技術（DMA），繞開CPU與系統記憶體，直接存取彼此的記憶體，提供直連傳輸應用。<span style="font-size: 14px;">圖片來源／VMware</span></span></p> <p><span style="color:#B22222;"><strong>GPUDirect for Video</strong></span></p> <p>Nvidia在2011年除了推出GPUDirect P2P，也發表GPUDirect for Video，可讓視訊I/O介面卡與GPU直連傳輸，基本上，我們可視為將GPUDirect Shared Access技術，應用到視訊I/O介面卡（如視訊捕捉卡等）的衍生版本。</p> <p>過去沒有GPUDirect for Video技術時，視訊I/O介面卡的視訊資料須經過2次記憶體複製，才能傳送給GPU處理，首先將視訊資料複製到主機系統記憶體的視訊I/O介面卡緩衝區，再複製到主機系統記憶體的GPU緩衝區，所以，視訊I/O介面卡與GPU資料傳輸不同步，整個作業約有10個畫面（frame）延遲。</p> <p>而利用GPUDirect for Video，則能讓視訊I/O介面卡與GPU共用固定的系統記憶體緩衝區，只需一次複製就能完成視訊傳輸，讓視訊I/O介面卡與GPU同步地進行資料傳輸作業，不僅能減少延遲，也降低了主機CPU的負荷。</p> <p><span style="color:#B22222;"><strong>GPUDirect RDMA</strong></span></p> <p>2013年配合CUDA 5.0登場，Nvidia推出GPUDirect RDMA（簡稱GDR），是GPUDirect技術發展歷程的一大關鍵，因為他們首次將直接記憶體存取技術（Direct Memory Access，DMA）導入GPU的I/O架構中，從而為GPU與非GPU之間的資料傳輸效率，帶來根本性的提升。</p> <p>先前推出的幾種用於GPU與非GPU之間的GPUDirect技術，無論GPUDirect Shared Access或是GPUDirect for Video，基本上，都只是傳統基於主機記憶體緩衝區複製架構的改進，資料傳輸路徑仍須經過主機CPU與系統記憶體中介，只是減少了複製次數而已。而GPUDirect RDMA則能透過直接記憶體存取，完全繞開CPU與系統記憶體，讓GPU與網路卡直接傳輸資料。</p> <p>關於GPUDirect RDMA，顧名思義，屬於「遠端」直接記憶體存取（Remote Direct Memory Access）。一般而言，RDMA可讓遠端網路卡直接將資料寫入接收端網路卡位於系統記憶體緩衝區，無須經由主機作業系統與CPU的中介，因而能極大減少延遲與主機CPU負荷，並提高資料吞吐率，以目前來看，InfiniBand與RoCE乙太網路卡是最常見的RDMA網路應用。</p> <p>Nvidia的GPUDirect RDMA架構，則是RDMA技術應用到GPU I/O上的版本，透過Nvidia提供的GDR API，將GPU裝置的記憶體，映射到PCIe匯流排上，從而讓PCIe的其他裝置如網路卡，可繞過主機CPU與系統記憶體，以點對點方式直接存取GPU裝置的記憶體。</p> <p>GPUDirect RDMA與GPUDirect Shared Access，同樣都是用於改善GPU與非GPU裝置間的傳輸效率，但是，GPUDirect Shared Access仍然需要經由主機系統記憶體的中介，需要執行一次資料複製的動作；而GPUDirect RDMA則能繞開主機系統記憶體，透過RDMA架構直接存取GPU記憶體，提供「零複製（Zero Copy）」的能力，效能有了根本性的提高，所以，有了GPUDirect RDMA，也就不再需要GPUDirect Shared Access。</p> <p>但在GPUDirect RDMA，CPU仍參與其中作業，雖然資料傳輸是在GPU記憶體與網路卡之間直接進行，不經CPU，但仍需由CPU負責傳輸路徑控制、傳輸佇列管理，以及傳輸前後的控制。</p> <p>為了將這些傳輸控制作業從CPU卸載出來，Nvidia在2017年推出搭配CUDA 8.0的GPUDirect RDMA Async技術，可讓GPU執行傳輸路徑控制，以及傳輸流程控制，CPU只需負責傳輸佇列與傳輸前後的控制，進一步減輕了CPU的負載，提高了整體效率。</p> <p>比起傳統的I/O傳輸架構，GPUDirect RDMA可將存取的延遲減少將近一半，而GPUDirect RDMA Async又能進一步改善，再將延遲減少近40%。</p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 22px;"><strong>高效率的GPU與網路卡直連架構GPUDirect RDMA</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1161-%E5%B0%81%E9%9D%A22-600-(4).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">在傳統架構下，GPU與網路卡等非GPU裝置之間的資料傳輸作業，都須經由主機CPU與系統記憶體的中介，既增加了延遲，傳輸頻寬也受限。而透過GPUDirect RDMA，則能讓GPU與網路卡直連存取，無須經由主機CPU與系統記憶體。<span style="font-size: 14px;">圖片來源／VMware</span></span></p> <p><span style="color:#B22222;"><strong>NVLink與NVSwitch</strong></span></p> <p>GPUDirect技術一開始是利用PCIe作為傳輸通道，但很快就面臨PCIe傳輸通道頻寬不足的窘境，成為應用上的效能瓶頸。</p> <p>特別是對於多個GPU相互直連應用的GPUDirect P2P來說，2010年代初期當時主流的PCIe 3.0早已不敷所需，即便是新一代的PCIe 4.0，I/O頻寬也略嫌不足，促使Nvidia決定打造自身專屬的GPU直連傳輸通道技術，而其成果便是2016年發表的NVLink技術。</p> <p>NVLink是Nvidia專屬的GPU點對點直連匯流排技術，可突破PCIe傳輸瓶頸，單是第1代的NVLink，就能提供最大160 GB/s總頻寬，相當於PCIe 3.0 x16（32 GB/s）的5倍以上，為GPUDirect P2P提供更充足的傳輸頻寬。</p> <p>到2022年為止，NVLink已經發展4個世代，總傳輸頻寬從160 GB/s逐步提高，達到900 GB/s，每個GPU允許的最大連結鏈路數量也從4個，提高到18個。</p> <p>NVLink相當程度解決GPU相互直連的傳輸頻寬需求，可以將最多8個GPU連結組成一個GPU運算陣列，Nvidia在2016年推出的DGX-1整合應用設備，核心便是透過NVLink互連的8個SXM外形Tesla P100 GPU。</p> <p>然而，如果用戶有更高的運算能力需求，需要連結超過8個以上的GPU，那麼NVLink便難以滿足需求。儘管NVLink能提供相當充裕的傳輸頻寬，但若要在GPU晶片整合更多傳輸鏈路，將大幅增加晶片的面積與複雜性。</p> <p>為此Nvidia所提出的變通方式，是透過額外的NVSwitch交換器晶片，來連結2組NVLink，從而構成最大規模達到16個GPU的運算陣列，</p> <p>Nvidia在2018年推出的DGX-2整合應用設備率先應用NVSwitch的連接技術，透過12顆NVSwitch晶片整合16個SXM外形的Tesla V100 GPU。</p> <p>目前NVSwitch已發展到第3代，支援的GPU直連規模維持在16個，但GPU直連傳輸頻寬已從300 GB/s，提高到900 GB/s，匯聚的總頻寬也提高3倍。</p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 22px;"><strong>擺脫PCIe的制肘，Nvidia發展能提供高效率GPU互連通道的NVLink</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1161-%E5%B0%81%E9%9D%A22-600-(5).png" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105);">最初的GPUDirect P2P使用PCIe作為GPU互連的傳輸通道，但也受到PCIe效能的制肘。而NVLink則為GPU提供了專屬的高速互連通道，傳輸頻寬是PCIe數倍以上。上圖為Dell A100 GPU伺服器的架構圖解，可見到每個A100 GPU雖仍透過PCIe介面與CPU連結，但GPU與GPU另外透過NVLink互連，因而GPU之間的資料傳輸，可免去PCIe帶來的頻寬限制。<span style="font-size: 14px;">圖片來源／Dell</span></span></p> <p><span style="color:#B22222;"><strong>GPUDirect Storage</strong></span></p> <p>隨著AI應用持續的深入與擴大，AI的資料集的規模也不斷擴大，從儲存裝置將資料載入GPU的所需時間越來越長。在許多情況下，AI資料集的規模已超過GPU伺服器本身能容納的範圍，而須搭配外部儲存設備才能容納。如此一來，也使得從本地端儲存裝置到GPU之間的資料傳輸，以及從外部儲存設備到GPU伺服器之間的資料傳輸，成為另一個制約GPU應用的效能瓶頸所在。</p> <p>顯然的，無論GPU本身的效能如何提高，若從儲存設備載入資料的速度過慢，將會大大拖累系統整體的運算處理速度。這也促使Nvidia在2019年推出GPUDirect Storage（簡稱GDS）架構，用於加快從儲存設備載入資料、傳送到GPU伺服器的速度。</p> <p>在傳統傳輸架構下，要從GPU伺服器的本地端儲存裝置，將資料傳送給GPU處理，資料會先經由GPU伺服器的PCIe交換器，複製到伺服器主機CPU記憶體的回彈緩衝區（Bounce Buffer），再複製到GPU記憶體中；而要從外部的儲存設備將資料傳送到GPU，則會經由GPU伺服器上面的網路卡，以及PCIe交換器，先將資料複製到伺服器主機CPU記憶體的回彈緩衝區，再複製到GPU記憶體。整個傳輸過程需要經過多次複製，不僅增加延遲，資料傳輸率也受到GPU與CPU之間的傳輸通道頻寬限制。</p> <p>而GPUDirect Storage則能在儲存設備與GPU之間建立直連傳輸通道，繞開GPU伺服器主機CPU，讓儲存設備利用直接記憶體存取（DMA）技術，直接透過PCIe匯流排將資料寫入GPU記憶體。</p> <p>由於GPUDirect Storage省略將資料複製到主機記憶體（回彈緩衝區）過程，因而能顯著減少延遲，減輕主機CPU的負荷，同時，傳輸效能也不會受到系統記憶體與GPU記憶體的通道頻寬限制，而能大幅提高傳輸速率。</p> <p>有了GPUDirect Storage之後，外部儲存設備可透過網路卡、以RDMA方式，直接將資料傳到GPU記憶體，傳輸速率只受到網路卡與PCIe介面頻寬的限制，因而可以透過匯聚多個高容量網路埠與PCIe通道，提供較傳統傳輸架構高出數倍的傳輸頻寬。</p> <p>而內部儲存裝置（NVMe SSD）也能透過GPUDirect Storage架構，以DMA方式經由主機的PCIe交換器將資料直接寫入GPU記憶體，可利用RAID匯聚多臺儲存裝置進行資料傳輸作業，大幅提高傳輸率。</p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 22px;"><strong>為GPU與儲存裝置之間的存取提供直連傳輸的GPUDirect Storage</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1161-%E5%B0%81%E9%9D%A22-600-(6).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);">在傳統架構下，GPU無論是要從本機的NVMe SSD載入資料，還是要透過網路從外部儲存設備載入資料，都須經由主機CPU與系統記憶體中的回彈緩衝區中介，因而存在著延遲較大，且傳輸頻寬受限的問題。而透過GPUDirect Storage，則能讓本機SSD與外部儲存裝置繞過主機CPU與系統記憶體，與GPU直連傳輸資料，從而大幅減少了延遲，並提供更高的傳輸頻寬。<span style="font-size: 14px;">圖片來源／Nvidia</span></span></p> <p><span style="color:#B22222;"><strong>GPUDirect的部署</strong></span></p> <p>GPUDirect架構的部署，實際上，必須透過軟硬體兩方面的配合。在軟體方面，要安裝Nvidia的一系列GPUDirect相關驅動程式，現在這些驅動程式都被整合在Magnum IO軟體套件。</p> <p>在硬體方面，首先，要啟用特定的GPUDirect功能，GPU必須支援對應的CUDA架構版本，例如，GPUDirect RDMA只需CUDA 5.0以上即可使用，而效率更高的GPUDirect RDMA Async則需CUDA 8.0以上才能支援，所以，較老舊的GPU卡將無法使用這項功能。</p> <p>而在周邊裝置方面，也須搭配硬體廠商提供的GPUDirect支援元件。</p> <p>以GPUDirect RDMA為例，要啟用這套跨遠端的直連傳輸架構，除了必須透過Nvidia的GDR API進行，還需要網路卡廠商的軟體支援。</p> <p>舉例來說，源於Mellanox的InfiniBand網路卡，便透過3項元件支援GPUDirect RDMA：首先，是Nvidia在GDR API所提供的「nvidia」驅動程式；其次，是Mellanox的「mlx＊」驅動程式，用於管理InfiniBand網路卡，並提供直接讀寫點對點PCIe裝置的介面，稱作Mellanox PeerDirect；第3，則是Mellanox的「nv_peer_mem」核心模組，作為Nvidia GDR驅動程式與Mellanox PeerDirect的連接介面，以便讓GPU與InfiniBand網路卡直接傳輸記憶體資料。</p> <p>GPUDirect Storage也是類似的情況，如果我們要啟用這項I/O直連傳輸架構，需要在GPU伺服器主機的作業系統安裝Nvidia的GDS軟體，同時，SSD與外部儲存設備的控制器，也必須支援GDS架構，才能構成GDS直連傳輸。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GPUDirect成為GPU I/O加速架構的共通標準</strong></span></span></p> <p>經過十多年來的研發與應用之後，Nvidia如今的GPUDirect直連傳輸架構，已經發展得相當全面，能夠涵蓋從單機內部直連到多機互連環境，以及GPU對非GPU的直連、GPU對GPU的直連、伺服器與儲存設備的直連，應用形式相當豐富，大致對應了當前GPU應用涉及的主要I/O連結型態。</p> <p>挾著在GPU市佔幾近壟斷性的優勢，Nvidia的GPUDirect形同GPU I/O架構的標準，影響力也逐漸擴大。</p> <p>在GPUDirect這一系列的技術中，最早的GPUDirect Shared Access已經由GPUDirect RDMA取代，而且，基本上，此技術已成為高效能應用取向的高階網路卡必備功能，藉此提供搭配GPU的直連存取能力，包括Mellanox（已屬於Nvidia旗下）、Chelsio、Broadcom與Intel的高階乙太網路卡產品，以及Mellanox的InfiniBand HCA卡，都支援GPUDirect RDMA。就連AWS也加入行列，他們的EC2雲端執行個體的網路卡EFA（Elastic Fabric Adapter），也在2020年開始支援GPUDirect RDMA。</p> <p>而用於高效能GPUDirect P2P互連應用的NVLink，以及NVSwitch介面，也已經是Dell、HPE、Lenovo、Supermicro等各大伺服器廠商支援、旗下高階GPU伺服器產品的標準配備。</p> <p>針對視訊處理應用的GPUDirect for Video，目前有Active Silion、AJA、BitFlow等十多家解決方案廠商支援。</p> <p>而用於搭配儲存設備的GPUDirect Storage，相關支援應用這兩年也有爆發性增長，幾乎所有一線儲存大廠如Dell、HPE、IBM、Hitachi、NetApp，以及重要新創儲存廠商如VAST、Weka等，都先後支援了這套直連傳輸架構。</p> <p>總結這些發展歷程與市場熱烈支持的風潮，我們可以說：當前涉及資料中心GPU的各種軟硬體應用，都已經離不開GPUDirect。</p> <p class="rtecenter"><span style="color:#696969;"><span style="font-size:14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1161-%E5%B0%81%E9%9D%A22-600(1)-JPG.jpg" style="width: 600px;" /></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpu">GPU</a></div><div class="field-item even"><a href="/tags/gpudirect">GPUDirect</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div></div></div>
2023/12/22 11:50作者張明德https://www.ithome.com.tw/tech/160491
正向回饋的究責文化讓團隊更敏捷
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-scrum_mastery-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <blockquote><p><span style="font-size:18px;"><span style="color:#3399ff;"><strong>優秀的ScrumMaster在必要時追究團隊成員的責任。卓越的ScrumMaster會要求團隊肩負起未向隊友究責的責任。</strong></span></span></p> </blockquote> <p>新任Blue Peter團隊ScrumMaster的Vince正主持他的第一個Sprint規劃會議。Vince做的第一件事情是詢問團隊，在這類的會議中他們通常會有哪些規則，因為他想知道團隊希望他如何引導會議進行。他們的回應如下：</p> <p>●<strong>我們準時開始、準時結束</strong></p> <p>●<strong>每個人的意見都應該被聽見</strong></p> <p>●<strong>任何想法都不愚蠢</strong></p> <p>●<strong>沒有電子設備干擾</strong></p> <p>●<strong>這是經過共識做出的決定</strong></p> <p>Vince在活頁掛紙寫下團隊的工作協議，並釘在牆上，開始會議。會議進行不到30分鐘時，團隊成員Janet拿出自己的筆電開始檢查收件匣，並且回覆信件。其他的團隊成員看著Janet，又看看牆上的掛紙，然後又依序望向Janet、Vince，彷彿在說：「那你打算怎麼辦？」</p> <p>Vince思考了一會兒。Vince對於Janet不尊重團隊、會議及她自己的承諾感到失望。不過，他更好奇的是，為什麼團隊中的其他人會覺得無法勸說Janet的行為。</p> <p>Vince決定向團隊詢問此事。「讓我們暫停一下，先回到我們的工作協議。」他開始說：「Janet，我注意到你現在正在使用電腦。而且有幾次你與團隊中的一兩個人互相打斷了對方，以上這些行為似乎都違反了掛紙上的規則。」最後Vince指著他掛在牆上的那張紙進行總結。</p> <p>「我很抱歉。」Janet很快地回答，臉紅地蓋上筆電。</p> <p>「我不是針對你，Janet。」Vince解釋。「你並不是今天唯一違反規則的人，只是你正好是那一個剛剛違反規則的人。我想問大家一個問題：這些協議是否真的反映出你們的預期行為？因為你們不僅違反了自己的規則，也沒有採取行動或要求彼此對規則負責。如果我不在場，你們通常會怎麼做？」隊員們只是互相看了看，聳了聳肩。</p> <p>Vince說：「最終，你們必須讓彼此為工作協議負責，也必須對彼此的行為負責。我們來談談需要做些什麼，才能讓你們自在地遵守規則。」</p> <p>在Vince的協助下，團隊討論了制定協議卻沒能遵守的原因。他們提到為了維護他們都同意的必要規則所遇到的障礙，例如：不被電子設備干擾。Janet解釋，她認為有必要經常檢查電子郵件，因為主管們都希望立即得到回覆。其他人也同意這是一個非常現實的問題，這讓他們有時很難專心開會。但團隊認為不被電子設備干擾的規則仍需保留，因此也提出一些建議，例如：固定的電子郵件休息時間與設定自動回覆，這樣也許可以幫助他們遵守這個承諾。</p> <p>他們還談到讓每個人都有機會發言的重要性，即使會暫時擱置好點子。最終，他們認為規則並不是問題，真正的問題是他們未能讓彼此為這些規則負責。</p> <p>當討論接近尾聲時，團隊一致同意Vince應該再次引導他們完成工作協議的制定。這一次Vince提醒大家，只需納入團隊真正想要、能夠作到，且能承諾的行為，並要求團隊描述這些行為對他們的影響。</p> <p>對於所提出的協議事項，團隊使用DECIDETM卡投票，以決定他們的支持程度，在多次進行和確認之後，團隊贊成、辯護或讓步的所有事項都是他們想要遵循的規則，然後由一位團隊成員將規則寫在活頁掛紙上。Vince確保每位成員都親自寫下至少一條規則。當規則全部寫在掛紙上後，所有團隊成員在上面簽名，然後將其掛在牆上，取代原本的那張掛紙。</p> <p><span style="font-size:28px;"><strong>先問團隊打算如何應對</strong></span></p> <p>身為一位引導者，當Vince注意到團隊偏離了他們自己所聲明與公布的工作協議時，他有多種回應方式。其中一種回應方式是忽略它，畢竟他是團隊的新手。另一種回應方式是質疑團隊或個別成員，為什麼他們違反了30分鐘前自己所公布的規則。</p> <p>在此情況下，Vince選擇指出自己與團隊其他人所觀察到的不同程度的違規行為，並詢問團隊打算如何應對。Vince的舉動非常勇敢。放任這種行為，哪怕只是一次，都會開啟團隊工作協議不是那麼重要的先例。解決問題或直接面對違反規則的人，都會讓團隊知道他也肩負著執行規則的責任。Vince決定讓團隊肩負起解決方案，同時保持中立，這有助於降低防禦行為或對立。</p> <p>在任何情況下，一位卓越的ScrumMaster會自然而然地要求人們為違背承諾負起責任。ScrumMaster經常扮演團隊的良心，尤其是當團隊處於發展的組建（forming）或正軌（norming）階段時。然而，隨著時間的推移，ScrumMaster應該有更高的期望，那就是團隊成員將彼此追究未能履行協議的責任。</p> <p><span style="font-size:28px;"><strong>建立回饋文化</strong></span></p> <p>Scrum團隊、團隊成員以及他們所屬的組織都必須適應頻繁地提供與接受回饋的過程。我們需要對我們的需求狀態、設計決策、估算、優先等級、與其他團隊成員的互動，以及最重要的，我們所打造的事項及其方法等回饋，保持開放的態度。</p> <p>諷刺的是，那些認為自己擅長提供與接受回饋的人，往往是最不擅長的。我在Max Landsberg的著作《The TAO of Coaching》中發現一個簡單的AID模型，這個模型可以提供以下回饋：</p> <p><strong><span style="color:#B22222;">行為（Action）</span></strong>：具體來說，這個人（或團隊）在什麼地方做得好，或做得不好？盡可能客觀，並且要關注行為，而不是人。</p> <p><strong><span style="color:#B22222;">影響（Impact）</span></strong>：這些行為產生了什麼影響？請從自己的觀點出發；而不是：「我聽說…」或「人們一直在說…」。</p> <p><span style="color:#B22222;"><strong>期望結果（Desired outcome）</strong></span>：期望的結果看起來是什麼樣子？</p> <p>在故事中，Vince注意到Janet的行為（在會議期間查看電子郵件）分散了其他人的注意力，並且轉移了她自己對於會議的專注力。不過，他們並沒有責怪Janet違反規則，而是共同想出了一些方法（固定的電子郵件休息時間與自動回覆設定），這讓他們更容易遵守規則，並且還能完全專注於會議。</p> <p>其他還有一些簡單又有效的模型能給予回饋，卓越的ScrumMaster可以將其引入團隊以鼓勵這類做法。但有時僅僅只是從正面的角度關注行為、想法或交付，以及能讓它們變得更好的方法就很足夠了。過去曾有一個與我共事的團隊，他們非常堅持使用「我喜歡這個想法的地方是…」（what I like about that idea is...）這句話。這也成為他們團隊的座右銘，並且還決定將團隊名稱改成「The WILATI'S」。</p> <p>Scrum要求組織、團隊及成員在更規律及有形的基礎上，能夠對於回饋感到自在。這個要求可能會讓某些人感到震驚，同時也可能需要花點時間建立。優秀的ScrumMaster會設法為各方提供必要的回饋，讓他們做出能獲得成功的必要決策。卓越的ScrumMaster會更進一步，創造出一個讓回饋自由流動的環境，並讓回饋成為我們可以在工作中接納、期待及重視的一部分。<strong><span style="color:#696969;">（摘錄整理自《Scrum Mastery中文版》第一章，博碩文化提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_Scrum%20Mastery_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%9A%E7%A2%A9%E6%96%87%E5%8C%96.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_博碩文化</span></span><br /> <strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> Scrum Mastery中文版：從優秀到卓越的僕人式領導力</strong><br /> Geoff Watts／著；精通敏捷志工群／譯<br /> 博碩文化出版<br /> 定價：600元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Scrum%20Mastery_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.png" style="width: 200px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span><br /> <strong>Geoff Watts</strong><br /> Geoff Watts是一位經驗豐富的領導力與績效教練，同時還是國際教練聯盟、全國心理治療師委員會和商業心理學協會成員。他是敏捷開發與 Scrum領域的專家，以幫助人們面臨重大改變時發揮潛力廣為人知。他經常擔任教練、協作與變革等主題的演講者。<a href="https://www.amazon.com/stores/author/B00BYBUQUS/about?ingress=0&visitId=75d3aff0-0f27-41ab-b41e-bcc5c32b2133&store_ref=ap_rdr&ref_=ap_rdr" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></a></p> </div></div></div>
2023/12/22 12:00未署名https://www.ithome.com.tw/article/160432
【AI應用帶動Nvidia新世代GPU儲存I/O架構需求】GPUDirect Storage產品應用大爆發
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1161-feng_mian_3-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>無論AI或其他類型的高效能運算應用，所使用的資料集規模都在持續暴漲，也給GPU的I/O傳輸架構帶來更大的壓力，連帶也促使Nvidia專門用於搭配GPU的高效率儲存I/O架構——GPUDirect Storage（GDS），相關應用在這2年迅速增長，幾乎成為儲存廠商支援GPU應用的標準架構。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AI資料暴漲催生GPU高速I/O需求</strong></span></span></p> <p>隨著生成式AI技術開始廣泛應用，不僅給GPU的運算能力帶來更大的挑戰，也形成更龐大的I/O傳輸需求。</p> <p>以當前最熱門的大型語言模型為例，GPT-1的訓練資料量不過5GB， GPT-2便增加到40GB，GPT-3更大幅攀升到45TB，而在訓練過程中，光是儲存1次訓練狀態的檢查點，就需要2.45 TB。</p> <p>這樣龐大的資料集，已遠遠超過GPU伺服器的系統記憶體與GPU記憶體容量，必須多次從儲存裝置中讀取資料載入記憶體，才能讓GPU完成訓練工作。更進一步，多數GPU伺服器本身的儲存裝置，也無法容納這樣龐大的資料集，因而必須搭配外部儲存設備，來存放AI訓練資料集。</p> <p>這也意味著，在AI訓練過程中，將會在本地端／外部儲存裝置與GPU之間，產生龐大的資料傳輸流量，也讓從儲存裝置到GPU之間的I/O傳輸效率，成為影響整個AI應用效率的關鍵環節。</p> <p>顯然的，無論GPU的運算能力再強大，如果I/O傳輸效率低落，在運算過程中，將會耗費大量時間在等待儲存裝置的載入資料，而無法充分發揮運算能力。</p> <p>因而GPU必須搭配一套高效率的儲存I/O架構，才能因應AI應用日益龐大的資料集傳輸處理需求，這也促使Nvidia推出GPUDirect Storage架構。</p> <p><span style="font-size: 22px;"><strong><span style="color: rgb(105, 105, 105);">GPU系統的I/O瓶頸（以DGX-2為例）</span></strong></span></p> <p><span style="font-size: 22px;"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/1161-%E5%B0%81%E9%9D%A23-600(1).png" style="width: 392px;" /></span></strong></span></p> <p><span style="color: rgb(105, 105, 105);"><strong>在傳統存取架構下，CPU與GPU之間的PCIe傳輸頻寬，是GPU I/O路徑的瓶頸所在。以Nvidia的DGX-2為例，從上圖可以看出，在傳統傳輸路徑下，CPU到PCIe交換器的頻寬，是其中最小的。DGX-2的GPU連接PCIe交換器的頻寬可達到100GB/s，內接的NVMe SSD則能匯聚出53 GB/s頻寬，對外也能透過8組網路埠匯聚出超過90 GB/s的頻寬，但CPU到PCIe交換器之間的頻寬只有50GB/s，因而成為效能瓶頸。</strong><span style="font-size: 14px;">圖片來源／Nvidia</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GPUDirect Storage的價值</strong></span></span></p> <p>GPUDirect Storage架構的目的，是讓儲存裝置與GPU之間透過直接記憶體存取（DMA）方式傳輸資料，免去繞經主機CPU與系統記憶體帶來的種種問題。</p> <p>如同多數周邊裝置，GPU與儲存裝置之間的資料傳輸，傳統上都必須透過主機CPU與系統記憶體的中介，儲存裝置的資料經由RAID卡（內部儲存裝置）或網路卡（外部儲存設備）送到主機的PCIe匯流排，經由主機CPU複製到系統記憶體的回彈緩衝區（Bounce Buffer）暫存，再傳送到GPU的記憶體。但這樣的資料傳輸程序，也帶來下列3個問題：</p> <p>首先，是造成較大的延遲，資料路經必須經過多個環節的處理，才能載入GPU的記憶體。</p> <p>其次，是傳輸頻寬受限，無論儲存裝置擁有多高的傳輸效能，將資料載入GPU時，都會受到從CPU到GPU之間的PCIe連接頻寬制約。以Nvidia的DGX-2平臺為例，本身的NVMe SSD可透過RAID 0匯聚出53GB/s的傳輸頻寬，也能透過匯聚8個InfiniBand/100GbE網路埠，獲得80到100 GB/s以上的外部傳輸頻寬，但是將資料從本機NVMe SSD或外部儲存設備傳送到GPU時，都會被CPU到GPU之間的PCIe頻寬給綁住，最多只有48到50 GB/s，無法充分發揮儲存設備的傳輸能力。</p> <p>第3，主機CPU必須參與管理整個資料傳輸作業，導致CPU相當大的負荷。</p> <p>而有了GPUDirect Storage，則能讓儲存裝置與GPU之間以DMA或RDMA方式直連存取，一舉解決前述3個問題。</p> <p>首先，儲存裝置的資料只需經由PCIe交換器，就能載入GPU記憶體，大幅減少了延遲。</p> <p>其二，資料傳輸無須經由CPU，因而也不會受到CPU與GPU之間的頻寬所限制，可大幅提高資料傳輸頻寬。</p> <p>其三，由於CPU不參與資料傳輸作業，大幅減輕CPU負荷。</p> <p>Nvidia宣稱，透過GPUDirect Storage可獲得2到8倍的資料傳輸頻寬提升，並降低3.8倍的存取延遲，而多家儲存廠商實測，也證實了這樣的效能提升表現。</p> <p>當GPUDirect Storage應用於內接儲存裝置時，美光以其9400 NVMe SSD的實測顯示，比起傳統I/O路徑，啟用GPUDirect Storage可提升6.4倍的傳輸率，以及7.3倍的回應速度。</p> <p>而GPUDirect Storage應用於外部儲存設備時，VAST Data提出的實測數據也顯示，VAST Data儲存平臺透過8個InfiniBand埠將資料載入DGX-2時，採用傳統傳輸路徑只能達到33GB/s頻寬，CPU利用率則高達99%；而改用GPUDirect Storage傳輸資料，將能獲得超過94 GB/s的持續傳輸頻寬，CPU利用率則只有15%，效益極為顯著。</p> <p><span style="font-size: 22px;"><strong><span style="color: rgb(105, 105, 105);">GPUDirect Storage的基本概念</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1161-%E5%B0%81%E9%9D%A23-600(2).png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">在運作方式上，GPUDirect Storage便是繞過CPU與記憶體的中介，讓儲存裝置與GPU透過直接記憶體存取（DMA）互連，從而減少延遲，並提高傳輸頻寬。</span></strong></p> <p><span style="color: rgb(105, 105, 105);"><strong>在左邊的傳統傳輸架構中，從NVMe SSD傳給GPU的資料，需要經過PCIe交換器、CPU與系統記憶體的中介，一共需要4個步驟才能完成。而在GPUDirect Storage架構下，NVMe SSD只須經由PCIe交換器就能直接將資料傳給GPU，只需2個步驟就能完成，大幅減少了延遲。</strong><span style="font-size: 14px;">圖片來源／Micron</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GPUDirect Storage的部署運作</strong></span></span></p> <p>要啟用GPUDirect Storage，必須同時有軟硬體的配合。</p> <p>在軟體方面，GPU伺服器必須安裝Nvidia的GDS軟體套件，目前這是屬於CUDA SDK套件一部分。在安裝GDS軟體套件之前，還須安裝Nvidia的MLNX_OFED與nvidia-fs.ko這2個軟體元件。前述軟體元件目前都只支援Ubuntu、RHEL、Rocky Linux等Linux系統，所以，GPUDirect Storage目前只能在這些作業系統平臺運作。</p> <p>在硬體方面，要啟用GPUDirect Storage，則需要GPU與儲存裝置等兩方面的相容與支援。</p> <p>在GPU方面，只有較新款的資料中心等級與Quadro桌上型等級GPU平臺，可以運行GPUDirect Storage（詳見Nvidia網站公布的清單）。</p> <p>而在儲存裝置方面，目前已有超過15家儲存廠商，宣布支援GPUDirect Storage架構，產品包含外部儲存設備與內接SSD裝置，外部儲存裝置是以特定的分散式檔案系統或修改的NFS來與GPU平臺連接，內接SSD則是透過修改的EXT4檔案系統。我們接下來便將介紹這些儲存廠商與產品。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>支援GPUDirect Storage的儲存產品</strong></span></span></p> <p>一方面，高效能運算所面對的資料量持續增加，確實日益需要高效率儲存I/O架構才能因應；另一方面，GPUDirect Storage提升I/O傳輸效能的表現，的確十分突出；最後，Nvidia在整個GPU應用領域當中，具有市場壟斷地位，也促使GPUDirect Storage幾乎成為當前儲存設備搭配GPU的傳輸架構標準，受到主流儲存廠商支援。</p> <p>在Nvidia的GPUDirect Storage網頁相關公告，目前特別列出14家支援GPUDirect Storage開發測試的儲存廠商，包括DDN、Dell、HPE、Hitachi、IBM、Kioxia、Liqid、Micron、NetApp、Samsung．ScaleFlux、Supermicro、VAST Data、Weka。其中，有DDN、Dell、HPE、Hitachi Vantara、IBM與NetApp，都是傳統一線儲存設備大廠，同時，還有VAST Data、Weka等新興分散式儲存平臺廠商，以及Kioxia、Samsung與ScaleFlux等NVMe SSD儲存裝置供應商。</p> <p>而在Nvidia的GPUDirect Storage操作文件的系統支援矩陣列表，也列出支援GPUDirect Storage的儲存平臺，包括：HPE Ezmeral、HPE Cray ClusterStor、NetApp ONTAP與搭配BeeGFS的EF平臺、IBM Spectrum Scale（已更名為Storage Scale）、DDN EXAScaler、VAST Data的Universal Storage、Weka的WekaFS，Dell的PowerScale，Hitachi Vantara的HCSF等。大致涵蓋當前市場上常見的分散式儲存平臺與NAS平臺。</p> <p>除了前述列入Nvidia支援清單中的平臺外，還有其他廠商發布支援GPUDirect Storage的消息，包括Pure Storage的FlashBlade，華為的OceanStor A310，以及PEAK:AIO的軟體定義NAS平臺等。</p> <p>其中DDN、Dell、IBM、華為、VAST Data、Weka、PEAK:AIO等廠商，近期也紛紛發布旗下儲存產品運行GPUDirect Storage的實測結果，根據他們得到的數據，透過GPUDirect Storage直連傳輸，可以讓外部儲存設備以80、90 GB/s以上的頻寬，向GPU伺服器傳輸資料。</p> <p>目前奪得最高GPUDirect Storage傳輸速度紀錄的廠商，應該是PEAK:AIO，他們透過HPE的ProLiant DL380 Gen11伺服器來運行PEAK:AIO軟體平臺，並以200GbE/HDR埠分別透過RDMA NFS與NVMe-oF協定連接Nvidia DGX A100 GPU平臺時，單一節點便擁有162 GB/s與202 GB/s傳輸率。第二名是IBM運行Spectrum Scale平臺（現已更名為Storage Scale）的ESS3500，單一節點擁有126 GB/s傳輸率，第三名則是DDN AI400X2（運行EXAScaler平臺），以119 GB/s緊追其後。</p> <p>上述都是屬於外部儲存平臺，支援的是遠端GPUDirect Storage應用。而在內接儲存裝置方面，目前Micron的9400 NVMeSSD，以及ScaleFlux的CSD 2000運算儲存裝置，都可支援內接形式的GPUDirect Storage直連傳輸應用。</p> <p><span style="font-size: 22px;"><strong><span style="color: rgb(105, 105, 105);">典型的GPUDirect Storage應用架構</span></strong></span></p> <p><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/1161-%E5%B0%81%E9%9D%A23-600(3).png" style="width: 430px;" /></span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">這是NetApp的GPUDirect Storage實測架構，為了匯聚更大的傳輸吞吐率，一共使用了4臺AFF A800儲存陣列，透過100/200GbE網路連接2臺DGX A100與2臺Nvidia DGX-1伺服器。每臺A800儲存陣列，DGX A100與DGX-1都有400Gb的對外頻寬。在使用2組、4組、8組A800控制器的情況下，透過GPUDirect Storage分別可得到45.6 GB/s、86.5 GB/s與171 GB/s的傳輸率，顯示能夠此架構可以隨著節點數量而提供線性增長的效能。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／NetApp</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>儲存設備支援AI應用的必備架構</strong></span></span></p> <p>自Nvidia於2019年中發表GPUDirect Storage技術架構後，2020年起開始獲得儲存廠商的支援，接著在2021到2023年之間，支援的廠商迅速增加，尤其是所有主要的一線儲存設備大廠，都已經支援這套傳輸架構。</p> <p>到了現在，我們甚至可以這樣認為，考慮到Nvidia GPU在AI應用中的關鍵地位，以及GPUDirect Storage所提供的效能表現，任何想要支援AI應用的儲存設備，都必須支援這套傳輸架構，才能具備足夠的競爭力。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpu">GPU</a></div><div class="field-item even"><a href="/tags/gpudirect">GPUDirect</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div></div></div>
2023/12/22 12:04作者張明德https://www.ithome.com.tw/tech/160492
Nvidia的護城河是一片海洋
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個月企業級AI運算硬體產品熱鬧滾滾，月初AMD發表Instinct MI300系列，包含資料中心GPU 產品Instinct MI300X，以及融合伺服器CPU與GPU的APU產品Instinct MI300A，月中英特爾在紐約Nasdaq股票交易所發表Core Ultra個人電腦處理器、第五代Xeon Scalable伺服器處理器，預告下一代AI加速晶片Gaudi 3明年如期推出。</p> <p>英特爾執行長回答媒體提問的一句話引發熱議，他說：「We think of the CUDA moat as shallow and small」，許多媒體紛紛引用，一時之間，網路充斥多篇以護城河為題的文章，有些寫為「CUDA護城河又淺又小」，有些則簡化為「Nvidia護城河又淺又小」，相當荒謬之餘，也突顯大家對GPU了解有限。</p> <p>在社群網站Reddit有位網友對此不以為然，提出相當辛辣的評論。他說，「CUDA這條護城河是短淺，但Nvidia投入數千名工程師、耗費超過十年打造這條大護城河，而成為AI領域的要角帶來的潛在利益如此巨大，顯得所有的護城河很小」，接著他表示，「Nvidia的確有弱點，那是因為他們無法製造足夠的GPU滿足所有需求，所以企業被迫將他們的應用執行在其他競爭廠商的產品上，例如，英特爾或其他不是這個產業要角的廠商。」</p> <p><a href="https://www.ithome.com.tw/article/160493" target="_blank">iThome 1161期封面故事的主題「GPU直連I/O崛起」</a>恰巧也與此有關，經過長期的發展，今年GPUDirect技術隨著Nvidia GPU的走紅，我們看到更多企業級儲存廠商積極支援這系列技術，希望搶搭這波AI應用商機。</p> <p>我們長期關注GPU在商業領域的技術發展，一路看著Nvidia拓展多種企業應用場景。他們從專業繪圖處理，踏入桌面虛擬化支援，接著搭上大數據分析與深度學習AI浪潮——他們率先推出DGX系列應用設備，拉抬自家資料中心GPU，並持續擴衝GPU加速軟體開發堆疊，以及各領域專屬應用。</p> <p>時至今日，單是AI的GPU加速程式庫，Nvidia所提供的開發軟體範圍，就已涵蓋高效能運算、機器學習、深度學習、推論，並以CUDA-X AI作為總代稱。在不同產業的應用當中，他們也發展醫療（Clara）、機器人（Isaac）、自動駕駛車輛（Drive）、物聯網／智慧城市（Metropolis）、影視內容協作與XR延展實境（Omniverse）、量子運算（CUDA Quantum）。</p> <p>為了推廣高效能運算的應用，Nvidia也親自投入超級電腦的發展與營運，積極參加世界級的評比，以突顯GPU能耐。例如，在全球500大超級電腦排行榜當中，從2017年到現在為止，該公司總共有10臺超級電腦入列，今年11月他們的EOS系統首度進榜，就奪下全球第9名，2020年進榜的另一臺Selene超級電腦，曾拿下全球第5的佳績。</p> <p>在雲端服務的應用上，Nvidia同樣不惜重本投入大量資源發展。對企業與關注GPU應用的開發人員而言，可能會接觸NGC，這裡提供已針對該公司GPU完成效能調校的軟體資源，大家可透過網站型錄免費下載取得程式庫、應用程式框架、軟體開發套件（SDK）、容器映像、預訓練的AI模型、AI基礎模型，涵蓋深度學習、機器學習、高效能運算、AI等領域。Nvidia也提供付費訂閱服務，企業可購買Nvidia AI Enterprise這類套餐或服務，獲得多人、多團隊的進階支援。</p> <p>關於DGX系統與邊緣AI環境的大量部署需求，Nvidia也分別提供Base Command與Fleet Command這兩項雲端服務來幫忙。</p> <p>而在系統平臺的布局上，Nvidia在2021年偕同伺服器虛擬化軟體大廠VMware，推出了Nvidia AI Enterprise軟體套餐，這幾年也陸續拉攏作業系統大廠Red Hat、Canonical，超融合基礎架構大廠Nutanix，以及伺服器系統大廠Dell、HPE一起推廣；公有雲方面，Nvidia今年上半發表DGX Cloud，找來Oracle Cloud Infrastructure、微軟Azure、Google Cloud共襄盛舉，到了11月底，AWS也答應策略合作。</p> <p>除了上述這些，Nvidia與整個IT產業、不同產業之間，還有許多層面的發展正在密切進行當中，其他對手若要分食大餅或爭取市場青睞非易事，很難在短期內趕上、遑論超越，而對想有更多選擇的企業與廠商而言，改用其他方案的代價與風險很高，就算能自行發展晶片與軟體堆疊架構，雖然有機會獲得技術自主與成本降低等效益，但不能不考慮日後轉換或要同時橫跨其他平臺的需求。</p> <p><a href="https://www.ithome.com.tw/article/160493" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1161-feng_mian_gu_shi_-p1_open-ming_de_-960x420_kao_bei_0.jpg?itok=eiq_4tzq" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/gpu">GPU</a></div><div class="field-item even"><a href="/tags/gpudirect">GPUDirect</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div></div></div>
2023/12/22 12:15作者李宗翰https://www.ithome.com.tw/voice/160494
GPU直連架構崛起
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1161-feng_mian_gu_shi_-p1_open-ming_de_-960x420_kao_bei_0.jpg?itok=eiq_4tzq" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI應用爆發，不僅資料中心GPU持續發展，也促使搭配的I/O架構不斷進化。在GPU市場龍頭輝達的影響力之下，原本專屬該公司的GPUDirect高速I/O架構，逐漸成為整個GPU應用領域標準，受到多家網路與儲存設備廠商普遍支援，形成GPU直連I/O應用生態系</p> </div></div></div>
2023/12/22 12:18作者張明德https://www.ithome.com.tw/article/160493
經營會員數據不靠D2C零售，中華海洋生技出資訊流奇招
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>走進藥局或有機食品店，琳瑯滿目的商品中，除了極少數品牌家喻戶曉，其他品牌，一般人鮮少注意，不是完全乏人問津，就是只在特定社群中具有名氣，卻走不出圈外，攻不進主流市場。</p> <p>這些非主流品牌，未必商品品質不佳，甚至可能投入了鉅額資金來研發、實驗、認證和製造優良商品。只不過，在行銷戰場上，若無法博得消費者目光，只能淹沒於店內其他成千上百項商品之中，成為貨架上少數知名商品的襯托背景。</p> <p>這便是保健品牌中華海洋生技面臨的困境。他們主力保健食品雖然在癌症病友族群中具有一定知名度，卻一直難以打入主流市場。近年來，他們還有意拓展經營範疇，打造生鮮食品、美妝用品、寵物用品等產品線。如何透過行銷來推動新舊產品線進一步成長，成為他們數位轉型主要課題。</p> <p>不過，中華海洋生技要發展數位行銷，有個致命弱點──自有通路占營收比例極低。</p> <p><span style="font-size:28px;"><strong>外部通路分散、人流量少，傳產經營會員挑戰重重</strong></span></p> <p>當品牌沒有管道與消費者直接接觸，除了砸大錢買鋪天蓋地的廣告，大多行銷方法都需要與通路業者合作。例如，共同舉辦大規模行銷活動、交換銷售數據以鎖定行銷分眾、投放廣告於精準行銷型RMN，或於通路線上線下高流量處設置導流機制，轉移到品牌App等自有行銷通路。</p> <p>可是，對許多中小型傳產企業而言，他們不具備足夠行銷預算及IT人力資源，來有效執行這些選項。甚至，他們的品牌知名度或對通路貢獻度不足，導致通路合作意願低。中華海洋生技便是如此。</p> <p>既然無法透過通路來直面消費者行銷，中華海洋生技必須另尋他路，自建與消費者溝通管道。主導數位轉型的中華海洋生技執行副總陳迪智說，他們採取的策略是，透過既有消費者來開發更多潛在消費者，也就是MGM（Member get member，舊客帶新客）甚至反過來，經由消費者來串聯起外部通路之間的資訊流，以擬定進一步數位行銷做法、並強化營運決策。</p> <p>中華海洋生技外部有約1,500家單點藥局、1,500家大小連鎖藥局、近600家醫院及診所家起來，以及1,200家獸醫院，分別販售不同產品線商品。這些通路貢獻了他們9成以上營收，自有通路只有一家直營門市及網路商城。</p> <p>外部通路數量多且組成複雜，導致中華海洋生技要經營消費者品牌認同相當困難。首先，他們難以透過外部通路直接和消費者溝通。不只如此，舉凡通路販售策略、行銷策略、會員機制，以及任何需要IT系統串聯的做法，也都會因為作業過於繁瑣而難以執行，更遑論統一管理。</p> <p>不過，就算難以透過通路接觸消費者，中華海洋生技仍將會員經營視為數位行銷發展戰略的核心。陳迪智分析：「掌握通路重要，是因為通路能接觸客戶。不過追根究柢，掌握客戶的人才是贏家。」</p> <p><span style="font-size:28px;"><strong>以既有品牌優勢為行銷切入點，透過數位行銷通路吸引並經營會員</strong></span></p> <p>陳迪智引用道德經一句話，來說明中華海洋生技的會員經營策略兩面向：「『道為體，術為用。』以品牌價值為行銷主題是道，用科技經營會員數據只是術。」</p> <p>更具體來說，就是從自家明星產品及背後代表的公司價值作為行銷切入點，吸引會員加入，再利用科技掌握會員輪廓和溝通管道，以進一步傳達品牌價值，並推銷其他產品線商品。</p> <p>過往，他們已經有一定程度的自有溝通管道，例如社群媒體粉絲專頁、電商通路、會員紅利兌換系統等。不過，每個子品牌事業群都有自己的粉專，電商與會員等數位系統也沒有串聯，整體布局破碎，各自形成孤島，難以整合數據和導引人流。</p> <p>為了更有效推動行銷策略，陳迪智於2021年帶領團隊著手進行零售系統現代化，目標是建立能統一會員溝通、會員權益行使，以及蒐集、分析這些接觸點數據的整體管道。2年內，由資訊處僅僅4名IT人員開發多個系統的串接API用來整合數位系統，並完成電商及會員系統遷移。</p> <p>首先，他們遷移了電商系統，小型開店平臺轉移到系統串接支援度更高的大型平臺。陳迪智苦笑道，這個過程中，他們因為忽略了特殊行銷模式帶來的系統需求而跌了一跤。</p> <p>中華海洋生技有一個價值行銷模式是消費全額捐贈的公益禮券。不過，開店平臺通常會會設置禮券購買上限。一開始，他們沒有考慮到這個細節，直到簽約了才發現原本選定的開店平臺方案是模組化套裝系統，無法客製化。只好賠上了數十萬違約金，轉移到了另一個平臺，這件事才落幕。</p> <p>2022年，他們自行開發API，陸續串接ERP、公益禮券、POS、EC、CRM、以及會員資料庫等系統，並從舊有網路會員系統入口，改為用Line官方帳號（OA）作為新會員溝通管道，以確保有直接和會員對話的能力，並用專為Line OA設計的CRM類行銷科技，來強化會員經營。</p> <p>2023年，他們嘗試導入有AI數據分析功能的CDP，以期更快速從有限會員數據中，得出更豐富、更能轉化為具體決策或行動的洞察。這一年，他們還開始籌備一個較為少見的做法，意圖使會員成為串聯通路間資訊流的利器，而不只是開發新客戶及增加既有客戶消費量的手段。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1161-CDO-600-PNG.png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>不強推D2C零售，反將會員化為外部通路管理助力</strong></span></p> <p>如何用會員串聯起外部通路資訊流？中華海洋生技規畫的做法是，分別記錄商品出貨資訊及會員消費資訊，再串聯起兩邊資訊。這套做法目前正在籌備中，預計明年年初開始實行。</p> <p>陳迪智說明進一步說明，計畫於商品包裝貼上RFID標籤，作為貨號追蹤機制。從工廠出貨前，利用感應器快速登記每批貨號分別送達哪個外部通路。之所以選用RFID，是因為相較於條碼或QR Code，RFID感應更快，更不會影響既有出貨流程。</p> <p>另一方面，他們透過集點等誘因，鼓勵會員在外部通路購入商品後，登記消費紀錄到會員系統。這樣一來，中華海洋生技就能連結起商品的銷售通路、購買時間、會員身分等資訊，整理出商品於全臺不同通路的銷售情況及會員輪廓。從這些數據的分析，來尋找行銷、產品設計及營運相關洞察。甚至當消費者或通路惡意賤價轉賣商品，中華海洋生技取得這類商品後，可以根據RFID標籤追蹤貨品來源。</p> <p>陳迪智直言，這種追蹤方法遠不如串接IT系統到每一個外部通路來得精細，不過，他們許多產品的回購周期，往往長達數月甚至數年，即使蒐集來的數據時效性略低，也仍然堪用。不只如此，這種做法成本更低，且可以維持行之有年，透過外部通路販售商品的B2B2C商業模式。</p> <p>「掌握通路的根本目的是掌握客戶，與其改變既有商業模式，與外部通路競爭，我們選擇直接經營客戶資料。」陳迪智強調，中華海洋生技的數位轉型計畫是，在既有商業模式基礎新建數位通路，做到資訊流的D2C（品牌直面消費者，Direct to customer），以開啟行銷和再行銷可能。不過，他們決定不擴展直營店面，而是集中資源發展線上販售及行銷通路。</p> <p>甚至，他們未來還打算用線上通路獲得的資訊，來進一步強化與外部通路合作關係。陳迪智說明，雖然掌握自有通路，蒐集數據能更即時、掌握度更高，但他們認為，從B2B2C轉換為D2C販售模式，恐怕會與既有商業合作夥伴產生利益衝突，反而有衍生出其他弊端的潛在風險。</p> <p><span style="font-size:28px;"><strong>數據仍需時間累積，但技術布局能提前準備</strong></span></p> <p>儘管目前有許多數位建設順利落成，陳迪智坦言，現在中華海洋生技在數位轉型路上，面臨了一個難以即刻解決的困境──既有會員數據少，且累積速度緩慢。</p> <p>中華海洋生技銷量最大的是保健食品，需要長期服用，因此消費者通常會批量購買，回購周期長。這意味著，會員數據累積相當緩慢，光是用這些數據來做傳統RFM（前次消費日期、消費頻率、消費金額）分析，都不足以得出有價值的洞察。</p> <p>再來，他們不同產品線會分散於不同類型通路，有著不同消費者族群。例如，寵物用品銷售據點是獸醫院、保健食品是大小藥局和醫院診所、生鮮食品則在有機食品店。各產品線及通路的消費者重疊性低，便難以交叉分析不同族群數據。</p> <p>不只如此，中華海洋生技會員數量原本就不多，只有約4萬人，且許多會員為沉睡會員，沒有持續累積數據。1年前，他們開始轉移會員溝通管道，直到現在，也只有約1成會員成功轉移。</p> <p>會員量體小、數據累積緩慢，陳迪智不諱言，目前中華海洋生技數位轉型的成果難以量化。不過，他們沒有消極等待，而是一方面加速數據蒐集，也同時為未來布局。</p> <p>為了加速累積會員數據，他們於產品中加入刮刮樂積分卡等誘因，來提高消費者登記序號留下紀錄的意願。他們也和獨立社區藥局等需要積極經營在地消費者關係的外部通路合作，要求藥師或店長協助中高齡民眾加入新會員系統和點數紀錄問題。</p> <p>為了能盡快發揮手中少量數據價值，他們今年更導入了CDP，期望利用AI數據分析功能，能從這些數據中挖掘出傳統統計方法難以找出的價值。</p> <p>手上數據少，數位通路流量又低，為什麼現在就導入CDP？陳迪智說，他們不怕目前使用CDP難以見到成效。他認為：「第一方數據是未來數位行銷的重要資產。」他們提前導入CDP的另一個重要目的，是要讓員工提前上手系統介面及操作細節。</p> <p>過往，中華海洋生技在數位轉型之路上，也曾做過短期無法見效，但長期有助會員經營的決策。決定轉移會員溝通管道到Line OA便是一例。陳迪智說，中華海洋生技主力客群多為40至60歲消費者，不熟悉科技。他們當初已經預料到，一旦轉移會員溝通管道，會有許多會員沒接收到轉移通知，或不懂得操作，以至轉移失敗。不過，他們堅信，轉移到通訊軟體是必須忍痛推動的措施，不僅更容易創造與會員一對一溝通機會，還能應用各式行銷科技來輔助會員經營。</p> <p>陳迪智表示，只要確信新系統能協助他們適應未來必然趨勢，公司高層就會支持導入，並提撥所需資源。這也是中華海洋生技一直以來面對數位轉型決策的態度。這正是為什麼，就算目前會員經濟仍處於發展初期階段，中華海洋生技也沒有停下腳步乾等數據累積，而是持續擁抱新技術，為更遠的將來布局。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CDO小檔案 </span></strong></span></p> <p><strong>中華海洋生技執行副總陳迪智</strong></p> <p>學歷：美國賓州州大電機博士候選人</p> <p>經歷：曾任資策會教育訓練處組長，訓練RF工程師，之後陸續擔任聯合報教育事業部總經理等媒體及教育事業高階主管數十年。2021年加入中華海洋生技，推動電商系統升級及內部系統數據整合，以支援會員經營戰略。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>中華海洋生技</strong></p> <p>地址：臺北市松山區八德路四段123-1號1F</p> <p>成立時間：1998年1月26日</p> <p>主要業務：從生態循環養殖起家，發展出保健食品、美妝、寵物食品、鮮食、餐飲等業務</p> <p>員工數：170人</p> <p>年營收：約5億元</p> <p>董事長：張永聲</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事記 </span></strong></span></p> <p>2019年：建立CRM系統，整合客服系統及CTI系統</p> <p>2020年：建立電商系統，導入HRMS、E-Learning線上學院、EIP等系統，整合內部系統AD DS後推動SSO機制</p> <p>2021年：改建電商系統，整併線下POS系統與CRM會員資訊資源</p> <p>2022年：會員系統開始綁定Line OA，提供更多加值服務；並建置線上BI儀表板，提供即時運營資訊</p> <p>2023年：開始導入CDP系統，籌備RFID貨物追蹤機制，預計2024年上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1161qi_-cdo-960.jpg" width="960" height="420" alt="" title="中華海洋生技執行副總陳迪智　（攝影／洪政偉）" /></div></div></div>
2023/12/22 12:34作者郭又華https://www.ithome.com.tw/people/160495
微軟將棄守Windows Mixed Reality
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/whats-new/deprecated-features" target="_blank">微軟近日宣布</a>，將棄守Windows Mixed Reality且會在未來的Windows版本移除它，包括Mixed Reality Portal程式、Windows Mixed Reality for SteamVR及Steam VR Beta皆會受到牽連。</p> <p>Windows Mixed Reality是微軟自2015年起，於Windows 10及Windows 11中所內建的混合實境平臺，允許使用者透過相容的頭戴顯示器體驗擴增實境或虛擬實境應用，包括宏碁、Dell、HP、聯想與三星都曾推出支援Windows Mixed Reality的裝置，以相對便宜的價格挑戰當時的Oculus Rift及HTC Vive裝置。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1222-Windows%20Mixed%20Reality-headsets-%E5%AE%98%E6%96%B9%E5%9C%96-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_微軟檔案照</span></span></p> <p>微軟並未說明為何放棄Windows Mixed Reality，特別是在蘋果MR產品Apple Vision Pro即將於明年上半年問世的前夕。根據Valve的Steam軟、硬體調查，在該平臺上最多人使用的VR裝置為Meta Quest 2，占了41.2%，居次的是Valve Index HMD，占20%，已停產的Oculus Rift S也有11%，但使用Windows Mixed Reality裝置的則僅有5.1%。</p> <p>不過，這並不代表微軟將脫離VR或MR世界，微軟向<a href="https://www.neowin.net/news/microsoft-will-continue-working-on-its-hololens-mixed-reality-headset-for-the-us-army/" target="_blank">《Neowin》</a>透露，未來微軟仍將繼續透過各種硬體及軟體解決方案來支援混合實境及元宇宙。</p> <p>根據<a href="https://www.uploadvr.com/windows-mixed-reality-headset-support-end-date/" target="_blank">《UploadVR》</a>的報導，明年發布的Windows可能就不再包含Windows Mixed Reality，既有的Windows Mixed Reality裝置將無法在缺乏平臺的狀態下運作。</p> </div></div></div>
2023/12/22 13:06作者陳曉莉https://www.ithome.com.tw/news/160496
Google應用多模態大型語言模型解決影片生成任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google揭露最新多模態大型語言模型VideoPoet，該語言模型能夠執行各種影片生成任務，包括文字轉影片、圖片轉影片、影片風格化，影片補繪與擴繪，甚至是影片轉音訊等。該模型特別之處在於VideoPoet是一個大型語言模型，有別於目前大多基於擴散模型的影片生成模型。</p> <p>Google指出，即使是目前最先進的影片生成模型，也只能生成小幅度的動作，在生成大動作的時候，就會出現明顯的破綻。Google探索大型語言模型在影片生成領域的應用，開發出VideoPoet，這是一個能夠執行各種影片生成、任務的大型語言模型，研究人員指出，諸如Imagen Video等影片生成模型，都是以擴散模型為基礎。</p> <p>由於大型語言模型目前在各個領域，包括語言、程式碼和聲音等，都具有極強的處理能力，Google認為大型語言因為在多種模態上優秀的學習能力，已經成為重要的技術標準。因此不同於該領域的其他模型，VideoPoet將影片生成能力整合到單一大型語言模型中，而非仰賴各項針對性任務訓練的獨立元件。</p> <p>影片生成任務採用大型語言模型的優勢，在於可以利用現有的高效訓練基礎設施，但研究人員也指出，大型語言模型的本質上是處理離散的標記（Token），而這對於生成影片是一個挑戰。因此研究人員開發了專用的影片和音訊標記器（Tokenizer），將影片和音訊剪輯片段編碼為離散的標記序列，而這個離散的標記序列也能夠被轉換回原始表示。</p> <p>VideoPoet藉由使用多種標記器，學習處理影片、圖像、音訊和文字等不同模態。當模型根據特定上下文條件生成相對應的標記後，這些標記就可以透過標記器轉換回可查看的表示形式，生成影片和音訊內容。</p> <p>VideoPoet適應短影片格式預設生成縱向影片，並在進行影片風格化時，能夠預測光流（Optical Flow）以及深度資訊（下圖）。同時VideoPoet也可以生成音訊，透過先從模型生成2秒的音訊片段，接著就可在沒有文字指引的情況下，預測接下來的音訊。而這也讓VideoPoet單一模型，就可生成影片和配音。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhQ2eDU0pNOfQJF8cKPOV5QkKthIO3-98jbqyZJ7lFLk7cckq8Gg4FXrro6oikQRxDVDKKz8rg9CU6wihsfU68RnnLkHGxJUeFNGBobjsbJ4VHGFtUg-nerlt2rPiJ9bu8i2VkkXX5yEK650t4ay8F7K2zSW5-TjjkbR61TskVhsaQCw1-8lkP1gMDg96i1/s16000/image16.gif" style="width: 580px; height: 169px;" /></p> <p>VideoPoet能以前一秒的影片預測下1秒的影片，以連續預測的方式達到生成更長影片的目的，而這種方法不只可以有效延長影片，而且經過多次迭代後仍能保持影片主體的外觀不變。VideoPoet生成的影片也能夠以互動的方式編輯，像是改變影片中物體的運動，使其執行不同的動作，且編輯會從影片的第一個影格，或是中段的影格開始，提供了高度可編輯控制性。使用者也可以透過文字提示，添加需要的攝影機運動方式，藉此精確地控制攝影機的移動。</p> <p>經過評估，VideoPoet能夠良好的執行影片生成任務，在多項基準測試中，VideoPoet較其他模型表現更好。研究人員要求評估者根據偏好選擇，在文字準確度方面，平均24％-35％VideoPoet的範例被認為更符合指令描述，而其他模型的比例則為8％-11％。評估者還更傾向選擇VideoPoet範例，認為其中41％-54％範例呈現出更有趣的運動方式，相較於其他模型比例只有11％-21％（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image15.png" style="width: 580px; height: 231px;" /></p> <p>VideoPoet的研究貢獻在於展示大型語言模型的能力，也具有生成高度競爭力影片的能力，特別是在高品質的動作表現方面。研究人員指出，對於未來研究，他們的框架會朝向支援任意形式生成任意形式內容的方向發展。</p> </div></div></div>
2023/12/22 08:30作者李建興https://www.ithome.com.tw/news/160487
Visual Studio 2022供開發者以視覺化方式，查看C++結構、類別的記憶體布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟更新Visual Studio 2022<a href="https://devblogs.microsoft.com/visualstudio/size-alignment-and-memory-layout-insights-for-c-classes-structs-and-unions/">強化</a>C++開發體驗，除了讓開發者可以簡單查看類別、結構（Struct）、聯合（Union）、基礎型別和列舉（Enum）的大小和對齊方式之外，同時，Visual Studio 2022還能視覺化C++類別、結構和聯合的記憶體布局，方便開發者管理記憶體使用和最佳化程式執行效能。</p> <p>C++開發者現在可以更有效率地檢視資料結構的記憶體占用量，以及記憶體的對齊方式。該新功能讓開發者只要將滑鼠懸停在相關的識別碼（Identifier），就能查看快速資訊工具提示，即時檢查類別、結構和聯合的大小和對齊狀況，而這將有助於開發者理解複雜程式中的記憶體布局。</p> <p>在C++中，結構或是類別的大小，主要取決於資料成員的大小，以及為了記憶體對齊所添加的填充，而加入虛擬函式等因素也可能影響其大小。微軟舉例，一個名為SimpleClass的類別，包含整數x和ClassWithVirtualFunction類別物件，具有虛擬函式的類別隱藏一個指向虛擬方法vtable的虛擬指標vptr，這個vptr對於SimpleClass產生了較高的對齊要求，導致占用記憶體空間比預期的8位元組還多，實際上為16位元組（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1222-VS-SizeAndAlignmentExample.png" style="width: 600px;" /></p> <p>官方解釋，這類大小增加是因為第一個類別中的vptr需要8位元組對齊，進而導致編譯器對第二個類別進行填充。虛擬函式影響類別記憶體占用，在過去是難以觀察的細節，而Visual Studio 2022更新功能，使開發者不需要編寫額外的程式碼計算，只要透過簡單的滑鼠操作，即可查看隱藏的記憶體占用資訊。而清晰了解記憶體占用量和對齊方式，有助於開發者最佳化程式的效能和記憶體使用。</p> <p>此外，Visual Studio 2022還加入了記憶體布局檢視圖，這項功能呈現類別、結構和聯合的記憶體排列方式，對於最佳化記憶體布局工作特別有用。開發者現在可以更直覺地查看類別中所有資料成員的填充、偏移和大小。</p> <p>開發者只要將滑鼠游標停留在類別名稱上，無論是宣告還是定義，都會出現一個快速資訊工具提示，除了大小和對齊，也會出現記憶體布局連結，點擊連結開發者即可存取互動式記憶體布局檢視圖，開發者可方便地觀看單個資料成員具體偏移和大小。</p> <p>而且該功能還提供COM類型的v-table記憶體布局檢視圖，協助開發者理解COM物件的基本結構和組織。微軟提到，這將有助於C++開發者提高程式效率和理解度，更容易管理記憶體和處理資料結構。</p> </div></div></div>
2023/12/22 08:37作者李建興https://www.ithome.com.tw/news/160488
傳AWS成長放緩，欲重組業務團隊重振銷售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theinformation.com/articles/aws-overhauls-60-000-person-sales-team-to-fix-fiefdoms-customer-complaints" target="_blank">《The Information》</a>報導，Amazon Web Services（AWS）計畫改組業務部門，以強化營收，避免被微軟及Google迎頭趕上。</p> <p>報導引述消息人士及AWS內部文件指出，AWS業務主管Matt Garman計畫大幅改組員工數超過6萬人的業務部門，以解決業績成長趨緩及其他挑戰。首先，他將把幾個業績策略相衝突的業務團隊整併為一，其次是強化AWS調派技術人員解決客戶問題，因為根據報導，有愈來愈多客戶對現有AWS客服作法表達不滿。</p> <p>雖然以雲端業務來看，AWS市占率大幅領先微軟和Google，但是以成長速度而言，AWS已較對手成長趨緩。最近一季AWS營收成長率為12%，但微軟雲端業務同期成長29%，Google Cloud則成長22%。</p> <p><a href="https://www.srgresearch.com/articles/ai-helps-to-stabilize-quarterly-cloud-market-growth-rate-microsoft-market-share-nudges-up-again" target="_blank">根據Synergy Research Group數據</a>，截自今年第三季，AWS市占（32%）仍超越微軟（23%）及Google（11%），但AWS領先幅度已較過去縮小。<a href="https://www.cnbc.com/2023/10/27/microsoft-azure-outpaced-aws-and-google-cloud-in-latest-quarter.html" target="_blank">分析師指出</a>，原因之一在於微軟Azure服務整合了OpenAI等公司AI技術，加速了雲端業務的成長，而AWS可以說已經在這方面落後對手，正以Bedrock平臺急起直追。</p> <p><a href="https://www.businessinsider.com/amazon-aws-ai-fatigue-sales-challenges-2023-11" target="_blank">《Business Insight》</a>上個月報導，AWS二個重要業務領域表現不佳，包括新創及小型企業部門可能2023年業績無法達標。</p> <p>不過<a href="https://siliconangle.com/2023/12/19/report-aws-reorganize-sales-teams-amid-slowing-cloud-revenue-growth/" target="_blank">AWS發言人駁斥</a>公司成長不及對手的說法，表示AWS不論在客戶數、營收、安全、操作績效及合作夥伴體系都是領導業者，而且就營收絕對值來看，上一季9.2億美元的成績也是市場最大，競爭者成長率大是因為基期較少所致。AWS也強調其他業者雲端業務財報都不像AWS那麼透明，難以直接比較。</p> <p>不過無法否認的是，過去幾年AWS有多名高層離職，涵括業務、行銷及資料中心營運主管。而且低層級經理人員離職率也增加了。人員異動對業務營收必然產生一定影響。</p> <p>《The Information》並非唯一報導AWS組織重整的媒體。11月間<a href="https://www.geekwire.com/2023/internal-memo-amazon-web-services-plans-reorg-of-sales-marketing-and-global-services-team/" target="_blank">《GeekWire》</a>引述AWS內部流傳的備忘錄報導，AWS業務暨行銷副總裁Matt Garman計畫改組業務、行銷及全球服務部門，以便「與客戶服務團隊更有效配合，以提升敏捷度、規模及效率。」</p> </div></div></div>
2023/12/22 08:57作者林妍溱https://www.ithome.com.tw/news/160489
HPE備份即服務涵蓋VMware、SQL Server與AWS公有雲
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/2023-06-greenlake_backup-dashboard_screen_capture-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月我們曾以「公有雲原生備份服務」開啟了雲端備份議題，3月的儲存月報正式介紹「備份即服務（BaaS）」類型的解決方案，6月我們報導了Druva的Data Resiliency Cloud，現在來看看HPE近期主推的GreenLake for Backup and Recovery，在該公司的YouTube頻道當中，近兩個月以來就已陸續上架9支相關影片，絕大多數都為功能技術展示，突顯其容易操作的特色，也顯示他們相當重視且看好。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE GreenLake for Backup and Recovery Arch.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20GreenLake%20for%20Backup%20and%20Recovery%20Arch.png" style="width: 600px;" /></a></p> <p>事實上，這項專攻備份與復原的解決方案，HPE最早是在2021年9月與多種冠上GreenLake品牌的IT即服務（ITaaS）宣布推出，但當時稱為HPE Backup and Recovery Service，直到今年2月發布的第14版，才改名為HPE GreenLake for Backup and Recovery。</p> <p>在起初的HPE Backup and Recovery Service中，主打特色是針對混合雲環境下的虛擬機器的資料備份應用，提供基於政策的調度指揮與自動化處理，執行本機快照、本機備份，以及雲端備份，用戶不需面對管理備份硬體、軟體、雲端基礎架構的負擔。</p> <p>根據HPE在2021年9月公布的部落格文章，以及10月釋出的第一版技術規格文件指出，這項資料保護服務的另一個名稱是HPE Backup and Recovery Service for VMware，是透過SaaS雲端服務型態的管理主控臺Data Services Cloud Console（DSCC）供應，號稱用戶只需3個簡單步驟、5分鐘之內即可完成操作，不需管理儲存媒體伺服器、備份整合應用設備，或是備份目的系統（target），而且能夠從內部環境進行快速復原，也可以在公有雲服務執行更具成本效益的長期備份，藉此抵禦勒索軟體攻擊的威脅，同時，也能採取依用量計價的模式與高效率的資料減量技術，降低資料保護的整體使用成本。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GLBR-DSCC Managed Storage.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GLBR-DSCC%20Managed%20Storage.jpg" style="width: 600px;" /></a></p> <p>HPE表示，這項專為混合雲所組建的備份即服務，初期保護的對象，主要是部署在HPE Alletra儲存系統的VMware工作負載，涵蓋VMFS datastore、Virtual Volumes（vVol）、原始裝置對應儲存（RDM）這三種儲存類型。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-03-HPE GLBR1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-HPE%20GLBR1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-03-HPE GLBR2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-HPE%20GLBR2.png" style="width: 600px;" /></a></p> <p>在2022年上半，HPE Backup and Recovery Service擴大保護範圍，可額外針對部署在Primera、Nimble Storage G5的VMware虛擬機器，提供備份與復原功能，而在VMware儲存區的保護上，能涵蓋盜NFS Datastore。</p> <p>除此之外，HPE的備份即服務也可以保護部署在其他儲存系統的VMware虛擬機器，涵蓋DSCC未整合的HPE儲存系統，例如：MSA系列、3PAR系列、EVA系列、XP系列、Apollo系列儲存伺服器，以及Dell、IBM、NetApp、Pure Storage等廠牌的儲存系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GLBR-DSCC%20Any%20Storage.jpg" style="width: 600px;" /></p> <p>之所以能提供這方面的支援，主要是因為HPE在此整合VMware Virtual Disk Development Kit（VDDK），因此可透過vSphere Storage API – Data Protection（前身為vStorage API for Data Protection，VADP），使用VMware提供的異動資料區塊追蹤（CBT）功能，以此執行備份與復原作業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-03-22-HPE Storage Backup and Recovery Service 1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-03-22-HPE%20Storage%20Backup%20and%20Recovery%20Service%201.jpg" style="width: 600px;" /></a></p> <p>為了預防勒索軟體破壞備份資料，HPE Backup and Recovery Service增設不可變（immutability）的防竄改保護，可用在Local Protection Store、Cloud Protection Store，以及儲存系統上面的快照，以避免備份資料在預先設定的保存期限前，遭到意外刪除或修改，用戶可在保護政策的定義當中設置這項功能。</p> <p>關於公有雲環境的資料保護，HPE Backup and Recovery Service在2022年底正式以原生方式支援AWS EC2執行個體，以及區塊儲存服務EBS的備份與復原，並且增加全域保護政策的設置，用戶可透過單一政策定義企業內部與AWS環境的備份需求；而對於VMware這年下半推出的新版伺服器虛擬化平臺：vSphere 8.0，此時的HPE備份即服務也提供支援。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GLBR-AWS Compute.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GLBR-AWS%20Compute.jpg" style="width: 600px;" /></a></p> <p>到了2023年上半，HPE預告GreenLake for Backup and Recovery將再度擴大保護對象，涵蓋企業內部環境架設的微軟SQL Server資料庫系統，以及公有雲業者AWS的資料庫雲端服務Amazon RDS、容器即服務Amazon EKS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GreenLake for Backup and Recovery provides hybrid cloud data protection.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GreenLake%20for%20Backup%20and%20Recovery%20provides%20hybrid%20cloud%20data%20protection.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GreenLake for Backup and Recovery provides hybrid data protection with components.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GreenLake%20for%20Backup%20and%20Recovery%20provides%20hybrid%20data%20protection%20with%20components.png" style="width: 600px;" /></a></p> <p>而在6月推出的<a href="https://www.ithome.com.tw/review/160135">HPE Private Cloud Business Edition</a>，也整合GreenLake for Backup and Recovery，提供虛擬機器的資料保護功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-06-GreenLake Backup-dashboard_screen_capture.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-06-GreenLake%20Backup-dashboard_screen_capture.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GLBR-2023-06-Hybrid2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GLBR-2023-06-Hybrid2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE PCBE-GLBR-Protection Policy-VM Provision.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20PCBE-GLBR-Protection%20Policy-VM%20Provision.jpg" style="width: 298px;" /></a></p> <p>時至8月，HPE這套備份即服務正式支援微軟SQL Server（2016至2022版），以及AWS Amazon RDS，10月支援Amazon EKS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GLBR-EKS Cluster2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GLBR-EKS%20Cluster2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/GLBR-EKS Cluster1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GLBR-EKS%20Cluster1.jpg" style="width: 298px;" /></a></p> <p>在備份架構上，GreenLake for Backup and Recovery可將資料備份到HPE代管的Cloud Protection Store，以及Local Protection Store。關於採用的備份技術，根據HPE在他們社群部落格的透露，是已使用長達10年、上萬名客戶獲益的StoreOnce Catalyst資料減量協定，當中運用來源端重複資料刪除（source-side deduplication），以及進階壓縮處理，可確保備份過程只將新增且特殊的chunk資料區塊，傳送至Cloud Protection Store與Local Protection Store，能減少資料寫入與網路頻寬耗用。</p> <p>以Local Protection Store而言，儲存容量來自VMFS datastore，透過HPE提供的Protection Store Gateway（PSG）元件，設置這些VMware軟體定義儲存資源，起先最大可設置為63 TB，從2022年第2季起，開放用戶設置到500 TB，而在儲存空間的使用效率（資料減量）的表現上，比起其他廠商的VMware資料保護產品，可達到5倍的領先。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Catalyst-1-2018.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Catalyst-1-2018.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Catalyst-2-2018.jpg" style="width: 600px;" /></p> <p>到了今年，GreenLake for Backup and Recovery提供Local Protection Store另一種使用方式，那就是搭配HPE StoreOnce備份儲存伺服器的實體應用設備，Local Protection Store最大儲存容量取決於設備本身的組態，在儲存空間的使用效率（資料減量）的表現上，相較於其他廠商的VMware資料保護產品，領先幅度可達到8倍，這當中也採用StoreOnce Catalyst技術。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GLBR-StoreOnce-2023-06-29-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GLBR-StoreOnce-2023-06-29-1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20StoreOnce-2023-06-29-1.jpg" style="width: 600px;" /></p> <p>針對更多類型的伺服器虛擬化與軟體定義資料中心平臺的資料保護需求，今年10月，HPE宣布他們的備份即服務支援該公司旗下的超融合基礎架構SimpliVity。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-23-GreenLake Backup and Recovery5-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-23-GreenLake%20Backup%20and%20Recovery5-1.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>HPE GreenLake for Backup and Recovery</strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●供應形式：SaaS雲端服務<br /> ●訂閱方式：每月固定訂閱，為期1、2、3、4、5年，或是實支實付<br /> ●管理主控臺：Data Services Cloud Console<br /> ●組成架構：VMware虛擬機器、儲存系統、Data Orchestrator、Protection Store Gateway、Cloud Protection Store、On-Premises Protection Store<br /> ●支援HPE儲存系統：Alletra Storage MP、Alletra 9000、Alletra 6000、Alletra 6000 dHCI、Alletra 5000、Alletra 5000 dHCI、Nimble G5、Nimble G5 dHCI、Primera C600、Primera A600<br /> ●保護環境：VMware vSphere 8.0/7.0/6.7<br /> ●備份方式：硬碟陣列最佳化備份、CBT備份</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/21 19:21作者李宗翰https://www.ithome.com.tw/review/160415
12月21日資安日報，Sony旗下遊戲開發商遭勒索軟體Rhysida攻擊並導致開發中的遊戲資料外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與勒索軟體駭客Rhysida有關的攻擊行動不斷發生，這樣的情況先後引起美國衛生與公眾服務部（HHS）、<a href="https://www.cisa.gov/news-events/alerts/2023/11/15/cisa-fbi-and-ms-isac-release-advisory-rhysida-ransomware">網路安全暨基礎設施安全局（CISA）</a>提出警告，這些駭客上週再度犯案而引起關注，原因是受害組織是日本科技大廠Sony旗下的遊戲開發商Insomniac Games。</p> <p>值得留意的是，這起事故並非該集團首度遭到攻擊。今年9月，<a href="https://www.ithome.com.tw/news/159013">有兩組駭客聲稱竊得Sony內部資料</a>；隔月Sony證實遭遇MOVEit Transfer零時差漏洞攻擊，旗下遊戲主機開發商Sony Interactive Entertainment曝露約6,800人個資。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.theverge.com/2023/12/19/24007570/insomniac-games-hack-wolverine-x-men-ryhsida"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Sony旗下遊戲開發商Insomniac Games遭勒索軟體Rhysida攻擊，即將推出的遊戲金鋼狼資料外流</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Insomniac_Rhysida_crisq6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Insomniac_Rhysida_crisq6.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Cyber Daily的報導，12月12日勒索軟體Rhysida聲稱，入侵日本科技大廠Sony旗下的電玩公司Insomniac Games，並竊得正在製作、以漫威金鋼狼為主題的遊戲內部資料，此外，這些駭客似乎也取得該公司員工的護照掃描檔案，其中1名是在迪士尼工作的前員工，另1人則是配音員Yuri Lowenthal──他為遊戲裡的蜘蛛人配音。駭客對上述資料進行拍賣，底價為50個比特幣，約為218萬美元。當時Sony表示正著手調查，並認為旗下其他子公司並未受到影響。</p> <p>事隔一週，這些駭客又有新的動作，根據Cyber Daily的報導，駭客在要脅Insomniac Games付款的期限截止後，於暗網的網站上公布大量該公司內部資料，檔案大小總計1.67 TB，檔案數量超過130萬個，其中有許多資料與前述的金鋼狼電玩遊戲有關。駭客聲稱上傳了98%資料，部分資料則是售出。</p> <p>該新聞網站看到駭客將上傳的資料分成3個部分，第1組與關卡設計及角色素材相關，應該是金鋼狼電玩的資料；另一個部分則是與電玩遊戲蜘蛛人2有關，以及人力資源的資料、Slack頻道的螢幕截圖、數臺員工電腦的內容；此外，這批資料還包含了漫威與Sony簽署的合約，Insomniac Games將製作3款遊戲，第一款就是將於2025年9月上市的「金鋼狼」。</p> <p>資料來源</p> <p>1. <a href="https://www.cyberdaily.au/culture/9931-spider-man-2-developer-insomniac-games-hit-by-rhysida-ransomware-attack">https://www.cyberdaily.au/culture/9931-spider-man-2-developer-insomniac-games-hit-by-rhysida-ransomware-attack</a><br /> 2. <a href="https://www.cyberdaily.au/culture/9959-snikt-rhysida-dumps-more-than-a-terabyte-of-insomniac-games-internal-data">https://www.cyberdaily.au/culture/9959-snikt-rhysida-dumps-more-than-a-terabyte-of-insomniac-games-internal-data</a></p> <p><a href="https://cybersecurity.att.com/blogs/labs-research/behind-the-scenes-jaskagos-coordinated-strike-on-macos-and-windows"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">Go語言竊資軟體JaskaGO鎖定Mac、Windows電腦而來</span></strong></a></p> <p></p> <p>電信業者AT&T旗下的Alien資安實驗室揭露名為JaskaGO的竊資軟體，駭客透過Go語言開發而成，並假借提供CapCut、AnyConnect等應用程式的名義散布。</p> <p>研究人員指出，此竊資軟體約從今年7月出現，初期鎖定Mac電腦用戶而來，但後來駭客也發展出Windows版本。一旦使用者依照指示將其下載到電腦並執行，該惡意程式將會彈出警示訊息，佯稱缺少特定檔案元件而無法正常執行，但實際上該惡意軟體已經在背景開始運作，檢查電腦的處理器數量、系統執行時間、記憶體容量、MAC位址等資訊，確認是否處於虛擬機器（VM）的環境，檢查後若是在真實電腦環境，此竊資軟體就會收集受害電腦的瀏覽器及加密貨幣錢包資料，回傳至C2，並不斷確認、接收攻擊者下達的新命令。</p> <p>研究人員認為，這款惡意程式首先針對macOS作業系統而來，顛覆各界認為Mac電腦較無風險的印象，呼籲這類電腦的使用者也要提高警覺。</p> <p><a href="https://securityintelligence.com/posts/web-injections-back-on-rise-banks-affected-danabot-malware/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">網站注入攻擊鎖定40家銀行、逾5萬民眾帳號資料</span></strong></a></p> <p>IBM的資安團隊揭露從今年3月出現的惡意軟體攻擊，駭客利用JavaScript指令碼進行網頁注入攻擊，企圖竊取北美洲、南美洲、歐洲、日本的40家銀行、客戶總數總共超過5萬名的帳戶資料。</p> <p>研究人員指出，駭客先是鎖定使用者的電腦下手，疑似藉由惡意廣告、網路釣魚等管道，植入惡意程式，接著使用者若是依照指示存取攻擊者控制的惡意網站，上述惡意軟體就會注入新的指令碼標籤，存取外部主機上的指令碼，此為經過混淆處理的指令碼，而有可能載入受害電腦的瀏覽器，從而竄改網頁內容、截取使用者帳密資料，甚至是動態密碼（OTP）。</p> <p>而對於駭客呼叫外部的指令碼的手法，研究人員認為並不尋常。相較於許多攻擊行動的惡意程式，會直接在網頁執行注入攻擊，這次駭客的手法更加隱密，因為大部分的靜態分析檢查機制通常不會將指令碼載入器視為惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/160452"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露SSH連線攻擊手法Terrapin，有可能影響資料傳輸安全</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/terrapin-attack.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/terrapin-attack.png" style="width: 300px; float: right;" /></a>德國波鴻魯爾大學研究人員揭露<a href="https://terrapin-attack.com/">針對SSH通訊協定的新型態攻擊手法Terrapin</a>，過程中將觸發CVE-2023-48795、CVE-2023-46445、CVE-2023-46446等3項漏洞，此攻擊手法有機會破壞SSH安全通道的完整性，從而攔截或修改用戶端與伺服器間傳送的資料，達到洩漏資料與冒用身分等目的。</p> <p>過程中攻擊者可經由前綴截斷（prefix truncation）攻擊，在用戶端與伺服器皆不知情的情況下，刪除SSH通道開頭的加密封包，從而將用於身分驗證的金鑰演算法予以降級，甚至停用OpenSSH 9.5提供的鍵擊時間攻擊（Keystroke Timing Attacks）防禦機制。</p> <p>然而，實際發動Terrapin仍需搭配特定條件，首先是攻擊者必須在網路層能夠攔截、竄改流量，進行中間人（MitM）攻擊，再者，SSH的連線流量，也必須採用特定的演算法處理（如ChaCha20-Poly1305）。</p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/49e711c6-e27c-4340-867c-9a529ab3ca2c.shtml"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國電信服務供應商Xfinity資料外洩，近3,600萬名用戶個資曝光</span></strong></a></p> <p></p> <p>週一（12月18日）美國電信業者Comcast旗下的服務供應商Xfinity證實，他們的Citrix NetScaler伺服器遭遇漏洞攻擊，駭客透過CitrixBleed漏洞（CVE-2023-4966）入侵內部環境，竊得部分用戶資料，最近該公司透露受害範圍。</p> <p>根據他們向緬因州總檢察長辦公室提報的資料，共有35,879,455名用戶受到本次資安事故影響，駭客存取使用者名稱及密碼的雜湊值，也有部分用戶的姓名、聯絡資訊、社會安全碼末4碼、生日等資料外流。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202312200193.aspx"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">1447家上市櫃公司今年底前應配置資安人力，目前仍有超過100家尚未完成</span></span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-f5-big-ip-zero-day-warning-emails-push-data-wipers/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">巴勒斯坦駭客聲稱對F5 BIG-IP零時差漏洞提出警告，藉此散布資料破壞程式</span></span></strong></a></p> <p></p> <p><a href="https://chromereleases.googleblog.com/2023/12/stable-channel-update-for-desktop_20.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Google發布Chrome 120更新，修補WebRTC元件零時差漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/mozilla-patches-firefox-vulnerability-allowing-remote-code-execution-sandbox-escape/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Mozilla發布Firefox 121，修補沙箱逃逸及RCE漏洞</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-releases-patches-for-13-critical-avalanche-rce-flaws/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">行動裝置管理系統Ivanti Avalanche存在13個重大漏洞</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160449"><strong>【12月20日】 FBI破獲勒索軟體BlackCat暗網網站，但駭客一天內奪回並揚言報復，預計攻擊醫院和核電廠</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160433"><strong>【12月19日】金融木馬威脅在2023年爆增，惡意程式家族較去年多出接近一倍，600款行動應用程式用戶成駭客鎖定的目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160387"><strong>【12月18日】新型態惡意軟體NKAbuse濫用區塊鏈進行傳輸資料、接收C2命令的工作，鎖定墨西哥、哥倫比亞、越南而來</strong></a></p> </div></div></div>
2023/12/21 17:03作者周峻佑https://www.ithome.com.tw/news/160484
Khronos完成Vulkan Video編碼擴充，H.264和H.265影像處理可獲硬體加速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>標準制定組織Khronos釋出了跨平臺電腦繪圖API <a href="https://www.khronos.org/blog/khronos-finalizes-vulkan-video-extensions-for-accelerated-h.264-and-h.265-encode">Vulkan 1.3.274</a>，這個版本包含了能以硬體加速H.264和H.265編碼的Vulkan Video擴充功能。因此Vulkan API將可以使用GPU加快H.264和H.265影片的處理，提高整體編碼效率，使得電腦、手機等裝置在進行影片直播、錄影和剪輯等工作，都能夠有更好的效能。</p> <p>Khronos由包括AMD、Apple、英特爾和Nvidia等15家創始會員組成，目的是要建立可免費使用的圖形合成、虛擬實境、擴增實境、平行運算和機器學習等應用API標準，在各種平臺和裝置上的應用程式、中介軟體，都能更加有效地運用硬體加速。Khronos的著名專案有OpenGL、WebGL和OpenCL等。</p> <p>Khronos在2016年推出的Vulkan，與OpenGL同樣都是圖形API，但是Vulkan提供更高效率且直接的硬體控制能力，且因為Vulkan獲得主要軟硬體廠商廣泛的支援，因此Vulkan能夠在Windows、Linux、macOS、iOS和Android平臺上運作，而這個好處在於開發者可以對不同的作業系統和裝置，創建統一的應用程式。</p> <p>最新版Vulkan 1.3.274對H.264和H.265標準的支援工程，可追溯至2021年。當時Vulkan工作組推出一系列臨時擴充功能，被統稱為Vulkan Video，該擴充透過提供各種影片編碼標準，實現影片串流無縫的編碼與解碼。</p> <p>接著在2022年的時候，Vulkan 1.3.238進一步加強對H.264和H.265影片格式的支援，特別是在解碼方面，使得H.264和H.265影片播放可獲得硬體加速。而現在最新的Vulkan 1.3.274則是完成了H.264和H.265影片格式的編碼功能，因此Vulkan不只可以使用硬體加速播放H.264和H.265影片，也能在影片創建和處理上獲得硬體加速。</p> <p>官方解釋，編碼擴充讓開發者可對編碼過程進行低階控制，同時又能保有硬體編碼加速的效率，開發者可以自由調整細節，進行諸如量化索引、算數編碼器（Arithmetic Coder）和去區塊（Deblocking）等。</p> <p>Vulkan框架提供了一種標準、低額外成本且高度可控的方式，運用硬體加速生成H.264和H.265影片，其應用範圍擴及即時低延遲的串流媒體與離線伺服器，都能快速進行轉碼。而且有鑒於產業現在對AV1解編碼器的高需求，官方也承諾即將推出AV1解碼器擴充，而AV1編碼擴充功能也正在開發階段。</p> </div></div></div>
2023/12/21 17:22作者李建興https://www.ithome.com.tw/news/160483
Waymo全自動駕駛安全報告出爐，傷害事故比人類駕駛少了85%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet旗下自駕車子公司<a href="https://thelastdriverlicenseholder.com/2023/12/20/comparing-crash-rates-of-waymo-and-those-of-human-drivers/" target="_blank">Waymo本周發表了一項研究</a>，以Waymo全自動駕駛上路迄今行駛714萬英里（11,424公里）以來所發生的事故，與人類駕駛進行比較，顯示在造成嚴重程度不一的傷害事故中，Waymo Driver比人類駕駛少了85%，若是以警方接獲報案的事故來看，Waymo Driver也比人類駕駛少了57%。</p> <p>Waymo把自家的自動化駕駛系統稱為Waymo Driver，該系統屬於SAE level 4，不管是在車內或遠端都不需有人類駕駛，今年以來Waymo Driver已提供逾70萬次的載客服務，在所行駛的714萬英里中，鳳凰城占了534萬英里，舊金山為176萬英里，洛杉磯則是4.6萬英里。</p> <p>Waymo比較了Waymo Driver與人類駕駛所發生的事故，發現Waymo Driver每百萬英里會發生0.41起或輕或重的傷害事故，人類駕駛每百萬英里發生的傷害事故則是2.78起，意謂著Waymo Driver的傷害事故機率比人類駕駛少了85%。若是根據警方的車禍報告，Waymo Driver每百萬英里發生車禍的次數為2.1起，人類駕駛則是4.85起，也少了57%。</p> <p>不過，Waymo強調，縱使比人類駕駛還安全是自駕車的重點之一，但良好的駕駛習慣也很重要，包括以可靠及可預測的方式來尊重道路上的其它人，避免造成不必要的混亂，該公司正努力於全面改善Waymo Driver的駕駛行為。</p> <p>至於全球電動車龍頭<a href="https://www.tesla.com/VehicleSafetyReport" target="_blank">特斯拉（Tesla）也會定期發表類似的報告</a>，比較人類駕駛、未啟用Autopilot技術的特斯拉，以及啟用Autopilot技術的特斯拉在道路上的安全性，去年第四季的報告顯示，美國人類駕駛平均65.2萬英里就會發生一次車禍，特斯拉大約是每140萬英里就會發生一次車禍，而啟用了Autopilot的特斯拉，則是行駛每485萬英里才會發生一次車禍。</p> </div></div></div>
2023/12/21 15:20作者陳曉莉https://www.ithome.com.tw/news/160470
英國最高法院駁回AI系統DABUS作為發明人的專利申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2019年即開始挑戰全球專利規定，企圖以AI系統DABUS當作專利發明人的申請，<a href="https://www.supremecourt.uk/cases/uksc-2021-0201.html" target="_blank">本周再度被英國最高法院駁回</a>。</p> <p>此事源於一名AI研究人員Stephen Thaler開發了一個人工智慧系統DABUS，再由DABUS發明了兩項技術，一項涉及可變換外型的食物容器，另一項是緊急手電筒，Thaler同時向歐盟、美國、英國、德國、紐西蘭、印度、韓國、以色列、澳洲與南非提出了專利申請，由Thaler擔任專利所有人，但發明人為DABUS。</p> <p>迄今僅有<a href="https://www.ithome.com.tw/news/145997" target="_blank">南非</a>同意讓DABUS成為專利發明人，包括<a href="https://www.ithome.com.tw/news/135191" target="_blank">歐盟</a>、<a href="https://www.ithome.com.tw/news/137356" target="_blank">美國</a>、澳洲與<a href="https://www.tipo.gov.tw/tw/cp-886-897837-9339c-1.html" target="_blank">臺灣</a>都否決了相關的專利申請，原因皆是專利發明人應為自然人，但AI並不是。</p> <p>至於英國同樣也駁回了Thaler的申請，只是Thaler不斷提出上訴，一直到本周英國最高法院判定AI不得為專利發明人。英國最高法院表示，此次的裁判並不涉及由AI創造的技術能否申請專利，主要是釐清專利法中的發明人身分，而該法院認為，法規中所指的發明人必須是自然人。</p> <p>英國最高法院還認為，由於缺乏發明人，使得Thaler也無法申請由DABUS產出的技術專利。</p> </div></div></div>
2023/12/21 14:45作者陳曉莉https://www.ithome.com.tw/news/160463
微軟解決部分Windows 11 PC安裝最新更新後的Wi-Fi連線問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/resolved-issues-windows-11-22h2#3227msgdesc" target="_blank">微軟周二解決</a>近日Windows 11最新更新造成大批用戶無法連上Wi-Fi網路的問題。</p> <p>微軟上周針對Windows 11 22H2及23H2釋出KB5033375（OS Build 22621.2567、OS Build 22631.2567）及KB5032288（OS Build 22621.2792），以解決安全漏洞及改善Windows Copilot問題。但一些用戶上周在安裝更新後於<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/known-issue-rollback-helping-you-keep-windows-devices-protected/ba-p/2176831" target="_blank">微軟討論區</a>及<a href="https://www.reddit.com/r/technology/comments/18kwg5g/windows_11_kb5033375_december_2023_update_breaks/" target="_blank">Reddit</a>反映PC出現無法連上Wi-Fi網卡的情形。解決唯一方法是移除更新。</p> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/resolved-issues-windows-11-22h2#3227msgdesc" target="_blank">微軟周一證實</a>安裝上述更新後會發生特定Wi-Fi網卡連線問題。微軟並未說明問題何在或影響的網卡種類，只說問題僅出現在連上使用802.1x驗證的企業、教育及公共Wi-Fi網路，應該不會發生在家用網路。而且這波問題也只影響Windows 11用戶端，不影響伺服器。</p> <p>微軟解決方案是要用戶安裝<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/known-issue-rollback-helping-you-keep-windows-devices-protected/ba-p/2176831" target="_blank">Known Issue Rollback</a>功能。這項功能用於非安全性的臭蟲修補程式，可將出錯的修補程式回復到之前正常行為。</p> <p>不過微軟提醒，修補過程費時約24小時，才能自動部署到消費裝置或非列管企業裝置。企業列管裝置若已安裝問題更新版本，則可安裝及配置特別的群組原則，該群組可透過「電腦配置」＞「管理員範本」＞「群組原則名稱」中找到。若未能及時安裝解決工具，可移除問題更新暫時解決。</p> </div></div></div>
2023/12/21 12:14作者林妍溱https://www.ithome.com.tw/news/160458
LAION-5B資料集被爆含有兒童性虐待內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://purl.stanford.edu/kh752sm9123" target="_blank">史丹福大學網路觀察站（Stanford Internet Observatory，SIO）近日針對開源資料集LAION-5B展開研究</a>，發現該資料集存在著逾3,000筆可疑的兒童性虐待內容（Child Sexual Abuse Material，CSAM），之後LAION移除了被確認為CSAM的1,008筆相關內容。</p> <p>LAION的全名是Large-scale Artificial Intelligence Open Network（大規模的人工智慧開放網路），為一德國的非營利組織，致力於開源AI模型與資料集，其資料集主要儲存文字及圖像的URL，圖像仍存放在原始網站上。Stability AI與Google都曾利用LAION資料集來訓練AI模型，提供文字生成圖像服務，SIO此次所研究的LAION-5B蒐集了全球網路上58.5億筆的圖像與圖說配對，資料量是前一代LAION-400M的14倍。</p> <p>SIO同時透過PhotoDNA感知雜湊配對、密碼雜湊配對、k-近鄰（k-nearest neighbors）查詢，以及機器學習分類器來尋找LAION-5B所引用的CSAM。</p> <p>這是因為一旦資料集中含有諸如CSAM等不當內容，以該資料集執行訓練的模型就有可能生成不當內容，大型開源資料集可能造成的影響還更加深遠。</p> <p>在得知SIO的研究成果之後，LAION暫時下架了LAION-5B，並移除已確認的1,008筆CSAM。</p> <p><a href="https://www.bloomberg.com/news/articles/2023-12-20/large-ai-dataset-has-over-1-000-child-abuse-images-researchers-find?accessToken=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzb3VyY2UiOiJTdWJzY3JpYmVyR2lmdGVkQXJ0aWNsZSIsImlhdCI6MTcwMzA4MjIxMiwiZXhwIjoxNzAzNjg3MDEyLCJhcnRpY2xlSWQiOiJTNVlTMEZUMEcxS1cwMCIsImJjb25uZWN0SWQiOiJEQUZGOTQ2MjMzOTM0NjI5QURDODEzNDRGQ0QwODBBOSJ9.w7MG7AIwEEsL4pQcvGIzHMXk2Rx2Ev4h68vBIcswv2M" target="_blank">Stability AI向《彭博社》（Bloomberg）表示</a>，該公司的Stable Diffusion模型雖然仰賴LAION-5B，但採用的是經過篩選及微調過的版本。至於<a href="https://www.404media.co/laion-datasets-removed-stanford-csam-child-abuse/" target="_blank">Google則向《404 Media》透露</a>，該公司從未使用過LAION-5B，倒是曾經以LAION-400M訓練過首個Imagen研究模型，但該模型從未發表。</p> <p>研究人員認為，有鑑於種種限制，此一研究所偵測到的CSAM應是被嚴重低估的，且除了CSAM之外，這類的資料集還存在著許多未經同意的親密影像，涉及版權及穩私問題，在理想的狀態下，它們應該僅能被應用在研究環境，而非出現於公開模型上。</p> </div></div></div>
2023/12/21 12:44作者陳曉莉https://www.ithome.com.tw/news/160460
蘋果試圖延後Apple Watch銷售禁令，遭美政府拒絕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對即將生效的Apple Watch銷售禁令，本周美國主管機關國際貿易委員會（International Trade Commission，<a href="https://www.usitc.gov/secretary/fed_reg_notices/337/337_1276_notice12202023sgl.pdf" target="_blank">ITC）拒絕蘋果延後禁令的聲請</a>，令蘋果挽回停售Apple Watch的努力遭到挫敗。</p> <p>本案是蘋果2020年推出具血氧量測功能的Apple Watch 6時，遭到醫材廠商Masimo控告侵害專利權及竊取智財的結果。今年1月法院判決認定蘋果侵害Masimo專利權。雖然5月本案被法院宣佈誤判，不過ITC在調查後，於今年10月維持法院年初判決的侵權決定，並發佈禁止Apple Watch輸入及銷售的命令。美國總統得在60天內否決該禁令。</p> <p>蘋果在10月30日聲請暫緩實施該禁令，不過原告Masimo在11月20日也對ITC提出聲請意圖反制。ITC委員會昨（20）日針對蘋果提出的延後聲請，做出拒絕決議。</p> <p>ITC的決定意味著，若其禁令在60天，即12月25日前，美國總統拜登未出手否決，禁令即會在12月26日生效，使具血氧量測功能的Apple Watch系列不得輸入美國，也不得銷售。</p> <p>除了行政面救濟行動，<a href="https://www.bloomberg.com/news/articles/2023-12-18/apple-plans-rescue-for-17-billion-watch-business-in-face-of-ban" target="_blank">《彭博》</a>報導，蘋果試圖以釋出軟體更新，變更Apple Watch裏血氧量測的演算法以繞過ITC決定。不過報導指出，Masimo認為這並不足夠，因為專利還牽涉硬體設計；除非硬體也變更設計，否則無法避免專利侵權嫌疑。</p> <p>現在拜登否決權可能是最後方法。不過<a href="https://arstechnica.com/gadgets/2023/12/apple-watches-being-pulled-from-stores-this-week-due-to-potential-import-ban/" target="_blank">Ars Technica</a>報導，今年初拜登已經拒絕為Apple Watch侵犯心電圖廠商AliveCor專利否決ITC禁令。Apple Watch未遭到禁售是因為美國專利商標局撤銷了AliveCor的相關專利。因此，蘋果獲得總統關愛眼神的機會微乎其微。</p> <p>因應ITC禁令，本周蘋果宣佈預防性下架措施，停售Apple Watch Series 9及Ultra 2。12月21日先停售Apple.com上的產品，並從12月24日停售實體Apple Watch。不過該禁令僅適用於美國，雖然美國是蘋果最大市場，但對其他地區消費者來說暫無影響。</p> </div></div></div>
2023/12/21 10:37作者林妍溱https://www.ithome.com.tw/news/160457
Cloud周報第190期：VMware軟體銷售模式正式轉型為訂閱服務合約，不再提供永久授權版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>重點新聞（12/14～12/20）</strong></span></h3> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 軟體訂閱制 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">VMware全面終止永久授權的銷售改為訂閱制</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap36(1).png" style="width: 600px;" /></p> <p>博通在11月下旬完成對VMware的收購後， VMware<a href="https://news.vmware.com/company/vmware-by-broadcom-business-transformation">近日宣布</a>未來的產品銷售服務模式有重大的調整，將全面終止買斷授權，改為訂閱制。這意謂著，VMware虛擬化平臺正式全面轉型為訂閱制，不再提供永久授權版。</p> <p>在博通收購VMware之前，VMware已經積極展開轉型，朝向訂閱制銷售模式發展。博通完成收購不到一個月，VMware在本月11日宣布此項消息，表示即日起不再提供永久授權、有效支援與訂閱服務（Support and Subscription,SnS）續訂，以及混合與訂閱購買計畫（HPP/SPP）點數在內的銷售模式，僅以訂閱或定期授權的形式提供。</p> <p>新政策影響VMware產品，涵蓋了VMware Cloud Foundation、vSpherev、vSAN、 NSX、SRM 、HCX、vCloud套件及VMware Aria套件等。</p> <p>為了方便用戶移轉授權，VMware還提供自備訂閱授權選項，針對經過VMware驗證在VCF環境上執行的混合雲端點，提供授權可移植方案。</p> <p>除了銷售模式的轉變之外，VMware強調，VMware Cloud Foundation部門未來的產品發展重心將聚焦兩大服務上，分別為企業混合雲解決方案VMware Cloud Foundation與整合伺服器虛擬化平臺vSphere與智慧營運管理的VMware vSphere Foundation。同時還將提供儲存產品、勒索軟體和災難復原服務以及應用程式平臺服務。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IBM </span></strong></span> </strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲端業務 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">強化AI與雲端業務，IBM重砸21億歐元收購Software AG旗下兩大數據平臺</span></strong></p> <p>近日，IBM宣布以21.3億歐元（相當於731億新臺幣）收購Software AG旗下的兩大數據平臺StreamSets與webMethods，以強化其雲端人工智慧和資料平臺watsonx的數據整合能力，打造更具現代化的應用和整合平臺。</p> <p>1969年成立的Software AG，是德國老牌軟體大廠，過去以提供大型主機交易資料庫和應用整合軟體而聞名，英國超市巨頭Tesco、歐洲航空航太製造商Airbus、美國陸軍、澳洲郵政和西門子等都是其客戶。</p> <p>Software AG目前在全球有1,500多家客戶使用其兩大數據平臺StreamSets與webMethods。前者是資料整合平臺，可以用於建立、重複使用和共享各種資料流（data pipelines）；後者則提供了整合和API管理，包括應用程式和合作夥伴整合、API管理、B2B整合、託管檔案傳輸、建置微服務、高速訊息傳遞和記憶體快取等。</p> <p>IBM表示，隨著StreamSets平臺的加入，未來watsonx將獲得更多的資料取得管道，而webMethods將帶來更多的API管理和整合工具，進一步整合和提升其數據管理能力。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">ESG減碳 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟在臺推出雲端智慧零碳平臺iCX，瞄準中小企業ESG減碳需求</span></strong></p> <p>微軟近日在臺推出了智慧零碳平臺iCX，瞄準臺灣本土中小企業及傳統產業的ESG減碳需求。該平臺是以微軟永續雲為基礎，並由PwC臺灣負責平臺的建置及維運，來協助中小企業打造標準化的ESG數位共享平臺。</p> <p>微軟表示，該平臺可供企業儲存各種商業活動數據，並可以使用微軟永續雲進行分析及預測，來協助企業擬定減碳策略。此外，還能透過Power BI及Azure OpenAI服務，自動生成符合如歐盟CBAM要求的碳排相關報告等。該平臺預計將在2024年中正式上線</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端成本控管 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS釋出雲端成本控管和優化工具，能夠查看單一應用程式每月上雲費用和資源利用</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(5)(1).png" style="width: 600px;" /></p> <p>在最近舉行的AWS re:Invent大會上，AWS推出一系列雲端成本控管和優化工具，包括myApplications、Cost Optimization Hub等。其中，myApplications是AWS管理控制臺的新功能，使企業能夠以應用程式為中心，來管理和監控在AWS上執行應用程式的雲端成本。</p> <p>透過AWS管理控制臺，企業可以使用myApplications工具查看每個應用程式當前成本和預測月底的成本，還能提供應用程式前五大計費服務排名，以及隨時間變化的成本趨勢圖，方便使用者根據應用程式費用變化趨勢來調整雲端用量。</p> <p>除了成本方面，該工具還能顯示運作、安全狀況和效能等方面資訊，並可透過AWS Cost Explorer將AWS資源成本和使用情況以視覺化的方式呈現。目前該功能已在美國東西部、亞太、歐洲及中東區域推出。</p> <p>Cost Optimization Hub則是AWS推出的一項計費和成本管理新功能，可協助企業在跨組織、多AWS區域和AWS帳戶之間以互動方式查詢成本優化建議，例如空閒資源優化或建議資源調整和購買選項。除此之外，AWS還推出新API，讓使用者能夠透過AWS CLI介面使用該API，檢查其AWS免費方案使用情況，確保其符合免費方案的配額和限制。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Duet AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google Cloud正式推出開發者以及資安維運輔助Duet AI</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(5)(1).png" style="width: 600px;" /></p> <p>近日，Google Cloud正式推出了專用於開發人員以及資安維運輔助的生成式AI助手Duet AI，並表示未來幾周內將更新到最新Gemini模型。</p> <p>在開發者輔助方面，現在可以使用Duet AI完成程式碼、生成程式碼與聊天輔助功能，並支援主流IDE開發環境和20種程式語言。此外，Duet AI也能用來簡化重複的開發作業和流程，以及加速故障排除速度與問題修復等工作，與支援企業隱私權、安全和法規遵循要求。</p> <p>在資安維運上，企業也能使用Duet AI強化其資安產品的威脅偵測、應對和預防的能力，Google先在其雲端安全分析平臺Chronicle中提供AI安全輔助，例如透過Duet AI，安全人員可以用自然語言快速完成大量資料的搜索查詢，Duet AI還自動摘要過往案件，以及提供事件修復的建議等。</p> <p>Google計畫在明年初擴大Duet AI服務範圍，可以適用於BigQuery、Looker、資料庫產品、Apigee和Colab Enterprise等服務。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端TPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google發表Cloud TPU v5p，效能比前一代高出2.8倍</span></strong></p> <p>在Google第5代TPU晶片推出沒多久，最近Google進一步發表了更強大的Cloud TPU v5p晶片,號稱是迄今最強大的TPU。相較於上一代的TPU v4,Cloud TPU v5p提供了2倍的FLOPS與3倍的HBM高頻寬記憶體。</p> <p>由於Cloud TPU v5p是效能取向，因此在訓練大型LLM模型時的速度，比TPU v4快了2.8倍，在第二代SparseCores的助益下，TPU v5p訓練嵌入式模型的速度，也比TPU v4快了1.9倍。</p> <p>除了效能提升之外，這代的TPU在pod的可擴展性方面，比TPU v4高出4倍，每個TPU v5p建立的pod擁有8,960個晶片,晶片間的互連速度達4,800Gbps。與TPU v4相比，TPU v5p的pod每秒浮點運算次數(FLOPS)加倍,且單一Pod中的晶片數量加倍，進一步提高訓練速度的性能。</p> <p>值得注意的是，TPU v5p的使用成本相對較高，每晶片每小時為4.2美元，相較之下，TPU v4每晶片每小時的價格僅需3.22美元。</p> <p> </p> <p>圖片來源／AWS、Google Cloud、VMware</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.微軟Azure AI再增添AI模型Llama2、GPT-4 Turbo with Vision</strong></p> <p><strong>2.AWS Amplify開發框架整合CDK，支援MySQL與PostgreSQL資料庫連接</strong></p> <p><strong>3.微軟主權雲服務現已全面推出上線</strong></p> <p><strong>4.Salesforce銷售雲、服務雲正式登上阿里雲</strong></p> <p><strong>資料來源：iThome整理，2023年12月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2023/12/21 09:40作者余至浩https://www.ithome.com.tw/news/160456
SSH連線可能遭前綴截斷攻擊，安全性受考驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國波鴻魯爾大學研究人員發現了一個針對SSH協定的前綴截斷攻擊，稱作<a href="https://terrapin-attack.com/#paper">Terrapin</a>，其涉及的漏洞包括CVE-2023-48795、CVE-2023-46445與CVE-2023-46446。Terrapin攻擊能夠破壞SSH安全通道的完整性，攔截和修改客戶端與伺服器間傳送的資料，以達到洩漏資料與冒用身分等目的。不過研究人員也指出，在網際網路流量中應用Terrapin攻擊相對困難，本地網路是較為合理的攻擊模型。</p> <p>SSH（Secure Shell Protocol）是一種用於網路服務安全存取的協定，可在不安全的網路中提供安全資料通訊。這種協定在各種遠端操作中被廣泛應用，像是讓用戶可以安全地從遠端位置登入到另一臺電腦，或是在遠端伺服器安全地執行命令。而SSH也可用於檔案傳輸，或是將本地連接埠的流量轉送到遠端連接埠。</p> <p>SSH運用先進加密技術，進而確保資料在傳輸過程的安全性和隱私性，而且SSH也支援多種身分驗證機制，強化存取控制的安全性。使用SSH加密的資料在傳輸到目的地時能夠保持原始狀態，免受各種形式的竄改。同時，SSH還能有效抵抗中間人攻擊，這使其成為保護資料傳輸安全的理想選擇。</p> <p>不過現在研究人員發現SSH可受Terrapin攻擊，這代表SSH的安全性正受到挑戰。SSH協定的重要組成部分Binary Packet Protocol，已不再能作為安全通道的保證。在SSH框架下，所有通訊內容包括命令、檔案傳輸和資料，都是透過Binary Packet Protocol這個二進位封包協定傳輸。</p> <p>SSH通道的完整性在3種被廣泛使用的加密模式下可被破壞，攻擊者透過前綴截斷攻擊，即可刪除SSH通道開頭的加密封包，但客戶端和伺服器卻不會發現。研究團隊說明了這項攻擊的實際應用，透過完全破壞SSH擴充協商（RFC 8308），攻擊者可以降級用於身分驗證的公鑰演算法，甚至是關閉OpenSSH 9.5時加入，用於防禦擊鍵時間攻擊（Keystroke Timing Attacks）的機制。</p> <p>同時，研究人員還發現Terrapin攻擊結合其他實作缺陷，還可進行特定攻擊，像是結合AsyncSSH內部狀態機缺陷，可讓攻擊者將受害者的登入重新定向到由攻擊者控制的命令介面。</p> <p>Terrapin攻擊要能成立，首先需要存在主動的中間人攻擊者，能夠攔截並修改TCP/IP層的連線流量，此外，還需要溝通ChaCha20-Poly1305或是任意CBC密碼，並結合Encrypt-then-MAC作為連接加密模式。研究人員提到，因為Terrapin攻擊利用了SSH傳輸層協定的弱點，結合OpenSSH在10多年前所添加，並且已被廣泛採用的加密演算法和加密模式，因此幾乎所有使用者皆暴露在風險之中。</p> <p>由於Terrapin攻擊需要有主動的中間人發動攻擊，這代表攻擊者必須要透過某種方式，攔截和修改客戶端與伺服器端的傳輸資料，這在實際網際網路的運作上有其困難度，因此Terrapin攻擊在本地網路更容易被執行。</p> <p>不過，即便是用戶已經對SSH客戶端和伺服器端進行安全修補，也不代表SSH連接就完全安全，具體來說，OpenSSH和其他供應商實作的嚴格金鑰交換對策，需要客戶端和伺服器端雙方支援才會生效。所以當一個已修補的SSH客戶端連接到未修補的SSH伺服器，或是反之，連接都仍然處於易受攻擊的狀態。</p> <p>研究人員提供了一個以Go編寫的漏洞掃描工具，該工具是一個簡單控制臺應用程式，可用於檢查SSH伺服器或是客戶端是否易受Terrapin攻擊。漏洞掃描工具會連接到SSH伺服器或是監聽傳入的用戶端連線，以偵測是否使用易受攻擊的加密模式，以及是否支援嚴格金鑰交換對策，不過該工具並不會執行正式交握，也不實際執行攻擊。該工具程式碼已經在GitHub上公開。</p> </div></div></div>
2023/12/21 08:36作者李建興https://www.ithome.com.tw/news/160452
Google以機器學習技術最佳化編譯器配置，強化模型執行效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://blog.research.google/2023/12/advancements-in-machine-learning-for.html">發表</a>機器學習最新研究，目的是透過改善機器學習編譯器，來提升機器學習工作負載的執行效率，藉由採用機器學習技術最佳化編譯器決策，進一步增加機器學習模型的效能。作為研究的一部分，Google還推出了新資料集TpuGraphs，用以促進機器學習程式最佳化研究。</p> <p>隨著機器學習技術不斷發展，現在的機器學習系統已能理解自然語言，生成對話、圖像和影片等。而這些先進的機器學習模型，主要使用TensorFlow、JAX與PyTorch等機器學習程式開發框架開發和訓練而成，這些框架提供了諸如線性代數運算、神經網路等高階功能。</p> <p>由於機器學習框架透過底層編譯器，自動最佳化使用者的模型，因此機器學習工作負載的效能，很大程度取決於編譯器的效能，研究人員指出，由於編譯器通常仰賴啟發式方法來解決複雜的最佳化問題，而這也常造成效能不佳的原因。</p> <p>機器學習編譯器可以將用戶編寫的程式轉換成為可在硬體上運作的可執行指令，機器學習編譯器必須要解決許多複雜的最佳化問題。而強化機器學習編譯器的效能，也就能夠提升機器學習模型的效能。</p> <p>在編譯器最佳化策略中，分配記憶體布局給所有中介張量是一個關鍵的環節，記憶體布局可以有不同的排列方式，常見的包括列優先與行優先布局，在機器學習的程式中，編譯器需要決定每個中介張量的記憶體布局，而布局的最佳化會影響計算效率。</p> <p>編譯器在分配記憶體布局時，需要權衡局部運算效率和記憶體布局轉換成本，而這個布局分配最佳化的目的，便是在計算效率和記憶體管理間，找到一個最佳平衡點。機器學習技術便可被用來找到該平衡點，透過分析程式的不同特性，像是操作種類、資料大小和結構，預測可以提供最佳效能的記憶體布局。</p> <p>在編譯器中運用學習成本模型，就能有效協助改進經編譯的機器學習模型效率。輸入程式和編譯器配置到學習成本模型中，模型便會輸出程式執行時間預測。</p> <p>雖然原本就存在一些用於程式效能預測資料集，但主要是針對小型子程式，為此，Google建立了TpuGraphs資料集來訓練學習成本模型，特別是針對大型的計算圖（Computational Graph）。由於這是一個用於Google機器學習加速器TPU執行程式的學習成本模型資料集，因此稱作TpuGraphs，主要針對兩種XLA編譯器配置，涵蓋了布局和切割（Tiling）。</p> <p>資料集中的樣本，包含了機器學習工作負載的計算圖、編譯配置，還有使用該配置的執行時間。資料集的內容來自於開源機器學習程式，涵蓋多種熱門模型架構，像是ResNet、EfficientNet、Mask R-CNN和Transformer等。</p> <p>與之前的圖屬性預測資料集相比，TpuGraphs資料集圖的數量是25倍，平均圖大小比現有的機器學習效能預測資料集大770倍。官方指出，隨著資料集的擴大，研究人員第一次可以探索大圖上針對圖層級的預測任務，解決包括可擴展性、訓練效率和模型品質等問題。</p> <p>Google還採用了一種稱為GST（Graph Segment Training）的訓練方法，解決在記憶體容量有限的裝置上，訓練大型圖神經網路的問題。該方法使端到端訓練時間加速達3倍，有效提高訓練的可行性和效率。</p> <p>該篇研究的具體貢獻是將機器學習技術，用於最佳化XLA編譯器配置，加速編譯後模型的執行效率，另外，Google發展TpuGraphs資料集和GST訓練方法高效訓練學習成本模型，預測機器學習程式在特定編譯器配置下的執行時間，以此作為最佳化模型的基礎。</p> </div></div></div>
2023/12/21 08:42作者李建興https://www.ithome.com.tw/news/160455
率先提供OT原生偵測與應變，TXOne工控端點防護大升級
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/txone_stellarone_3.0-filter-options-3-0-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於確保ICS/SCADA這類OT設備本身的安全性需求，趨勢科技與睿控網安（TXOne Networks）過往曾推出資安解決方案，名為Trend Micro Safe Lock（TMSL），2014年12月發布2.0版，2019年第三季推出Trend Micro Safe Lock Intelligent Manager TXOne Edition，2021年上半發表TXOne Stellar系列。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-TXOne%20Semiconductor%20Asset%20Security%20Lifecycle%20Protection.jpg" style="width: 500px;" /></p> <p>其中的一款產品StellarEnforce，採用白名單鎖定防護固定功能的OT設備，像是工業控制系統、POS設備、終端機、Kiosk，免於惡意軟體攻擊與非法使用，而且本身所需要的系統資源較少，不需要定期更新軟體或系統，並且提供隨選即用的防毒掃描功能。</p> <p>另一款則是StellarProtect，提供工業級次世代防毒技術，搭配ICS信任根（root of trust）與進階威脅掃描功能，可在毋須中斷OT設備運作的狀態之下，提供防護，也提供運作行為異常偵測功能，可一併強制實施最低權限的控管，預防非惡意軟體類型的攻擊。同時，這套軟體也提供ICS Application Safeguard、USB Vector Control等兩項防護技術，前者可協助標定ICS設備的處理程序，確保其完整性而不被竄改，後者能在系統管理者的檢核之後，才開放USB埠的使用，預防內部網路的資安威脅。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-TXOne%20StellarProtect%20features.jpg" style="width: 600px;" /></p> <p>關於集中管理主控臺的部分，TXOne提供的產品是StellarOne，可同時控管StellarEnforce與StellarProtect這兩套系統，可分別對應老舊OT設備的防護，以及新型OT設備的防護。</p> <p>經過幾年的改版，StellarEnforce去年11月推出1.3版，之前的版本終止銷售，StellarProtect與StellarOne持續發布更新，今年上半推出2.1版與2.2版，8月正式供應3.0版，9月釋出3.0 SP1版。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TXone%20Stellar%20VERSION.jpg" style="width: 600px;" /></p> <p>而在近期登場的3.0版當中，最大的賣點，是針對「連網與實體設備整合控制系統（CPS）」，亦即新型OT設備，提供偵測與應變機制（CPSDR）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TXOne Stellar Statck.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Stellar%20Statck.jpg" style="width: 600px;" /></a></p> <p>TXOne表示，Stellar 3.0系列能在毋須犧牲OT設備功能或效能的前提之下，支援資安與維運優先的要求，他們號稱這是業界第一套同時完整涵蓋舊型與新型OT設備、提供資安威脅偵測與預防機制的解決方案。基本上，這套系統將提供直覺的管理介面、基於所掌握的資訊而進行自動化處理等特色，提供快速、簡易的建置方式，並且不會因此影響運算資源相當有限的OT設備運作效率。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Stellar-2023-04.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/TXONE StellarProtect and StellarOne.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXONE%20StellarProtect%20and%20StellarOne.jpg" style="width: 600px;" /></a></p> <p>相較於市面上其他從IT領域借用資安概念的非OT原生資安解決方案而言，TXOne 新版Stellar能夠針對每一臺設備進行個別分析，透過源於應用程式、網路、系統、使用者登入、設備資料等類別的遙測，產生如同指紋的安全基準線，之後即可根據這些資訊，突顯危及OT維運可靠性與穩定性的意外行為，以此預防非計畫的變更動作，並且產生警報以補足更廣泛的分析需求，因此不僅能用於對抗已知威脅，還能透過這樣的OT原生CPDR功能，在營運受到影響之前，預先找出非法的系統變更活動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TXOne StellarOne 3_0-Approved Script Behaviors.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20StellarOne%203_0-Approved%20Script%20Behaviors.jpg" style="width: 600px;" /></a></p> <p>CPSDR本身是內建在Stellar進階維運行為異常偵測的功能，會在每個安裝代理程式的設備實際運作期間，持續分析本身的系統、建立獨一無二的基準指紋，隨後搭配採用TXOne提供的工業應用程式儲存庫，執行指紋偏差分析，以及專屬的勒索軟體偵測引擎，進而從個別代理程式的層級找到意料之外的活動與偏差行為，並且將這些造成OT設備不穩定的問題通知集中管理主控臺，即可及早採取預防處理動作，藉此抵禦各種可能影響OT設備穩定度的變更行為。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TXOne Stellar-2023-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Stellar-2023-06-2.jpg" style="width: 600px;" /></a></p> <p>TXOne表示，Stellar的CPSDR會進行兩階段的處理，首先會禁止意外的變更行為，透過持續分析設備的「指紋」，以維護OT設備的穩定度；第二會執行更廣泛的分析，找出導致變更的原因，辨別這些舉動是資安威脅、操作人員的失誤，或是其他行為。</p> <p>除了特殊的CPSDR防護，Stellar發展至今還有一項特色，應該是其他OT資安解決方案較少著墨的，那就是豐富的辨識能力，可精準識別與評估8千種以上的ICS應用程式、設備，以及憑證，這項技術源於TXOne與多家設備製造廠商合作，而能提供廣泛涵蓋各種OT使用情境與脈絡的資料庫。</p> <p><a href="https://s4.itho.me/sites/default/files/images/TXOne Stellar-2023-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/TXOne%20Stellar-2023-06-1.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>TXOne Stellar 3.0</strong><br /> ●原廠：TXOne Networks<br /> ●建議售價：廠商未提供<br /> ●版本：Kiosk精簡版適用銀行業、零售業，ICS完整版適用關鍵基礎設施、製造業、製藥產業<br /> ●組成架構：管理伺服器StellarOne，裝置代理程式：StellarProtect<br /> ●代理程式支援作業系統與版本：OT設備Windows 2000 SP4至11，伺服器Windows 2000 SP4至Server 2022<br /> ●管理伺服器作業系統需求：伺服器虛擬化平臺：VMware vSphere 6.5、Windows Server 2019 Hyper-V<br /> ●管理伺服器硬體需求：4或8顆虛擬處理器，記憶體容量為12 GB、16 GB、32 GB，硬碟25 GB搭配50 GB或100 GB</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2023/12/20 18:30作者李宗翰https://www.ithome.com.tw/review/160376
【資安日報】12月20日，FBI破獲勒索軟體BlackCat暗網網站，但駭客一天內奪回並揚言報復，預計攻擊醫院和核電廠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期歐美國家取締網路犯罪組織的執法行動大有斬獲，例如，1月破壞勒索軟體Hive的基礎設施，8月摧毀70萬臺電腦組成的QBot殭屍網路等，駭客因此元氣大傷、消聲匿跡一段時日。</p> <p>12月19日再度傳出美國FBI宣布奪下勒索軟體駭客組織BlackCat網站，但對方在一天內又取回網站，顯然這次執法行動受到阻礙。駭客表示，只要是在獨立國家國協以外的企業組織，都可能是他們的目標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/fbi-disrupts-blackcat-ransomware-operation-creates-decryption-tool/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國宣布破獲勒索軟體BlackCat的網站，但功敗垂成，駭客似乎奪回控制權</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/blackcat-website-unseizure.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/blackcat-website-unseizure.jpg" style="width: 300px; float: right;" /></a>根據Bleeping Computer、Security Affairs等資安新聞網站的報導，12月7日有多組研究人員發現，勒索軟體駭客組織BlackCat（Alphv）的Tor網站離線，10日傳出是執法行動所致。</p> <p>12月19日美國司法部宣布，聯邦調查局（FBI）在丹麥、德國、英國、荷蘭、德國、澳洲、西班牙、奧地利執法單位，以及歐洲刑警組織的國際合作下，他們成功對此勒索軟體組織進行破壞，FBI開發了檔案復原工具，估計能讓超過500個受害組織無須支付贖金就能還原資料，省下約6,800萬美元的贖金。根據多家新聞網站取得本次行動的搜索令，FBI取得946組Tor網站的公鑰、私鑰，並將資料進行備份。</p> <p>然而，駭客也不是省油的燈，司法部公告發出後，沒隔多久，這些資安新聞媒體再度連到該網站，發現這個網站的頂部加上綠底黑字的標題，表明該網站沒有被司法單位拿下。網頁下半部提到，FBI確實從該組織的部落格取得相關金鑰，原因是他們代管部分主機的資料中心被FBI所控制，但FBI只拿到最近一個半月的資料，也就是約400家受害公司解密的金鑰，但實際上他們還握有逾3千家公司的金鑰，而這些公司將永遠無法復原檔案。另外，這個顯然被駭客奪回的網站也提到，他們對旗下的打手放寬攻擊限制，原本不攻擊的醫院、核電廠現在都可能是目標，唯一的規定就不能攻擊獨立國家國協（CIS）的成員國（包含俄羅斯、白俄羅斯等）。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/alphv-ransomware-site-outage-rumored-to-be-caused-by-law-enforcement/">https://www.bleepingcomputer.com/news/security/alphv-ransomware-site-outage-rumored-to-be-caused-by-law-enforcement/</a><br /> 2. <a href="https://www.justice.gov/opa/pr/justice-department-disrupts-prolific-alphvblackcat-ransomware-variant">https://www.justice.gov/opa/pr/justice-department-disrupts-prolific-alphvblackcat-ransomware-variant</a><br /> 3. <a href="https://www.documentcloud.org/documents/24231386-blackcat-alphv-search-warrant">https://www.documentcloud.org/documents/24231386-blackcat-alphv-search-warrant</a><br /> 4. <a href="https://twitter.com/vxunderground/status/1737167608997097839">https://twitter.com/vxunderground/status/1737167608997097839</a></p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-352a"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">超過300個企業組織遭到勒索軟體Play攻擊</span></strong></a></p> <p></p> <p>美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、澳洲網路安全中心（ACSC）聯手，針對勒索軟體Play的攻擊態勢提出警告，指出自駭客2022年6月從事攻擊行動以來，約有300個企業組織遇害。</p> <p>這些駭客之所以能入侵受害組織，通常利用外流的帳密資料，或者曝露於網際網路的應用程式系統等管道，來達到目的，其中駭客利用的漏洞，包含了Fortinet的SSL VPN系統漏洞CVE-2018-13379、CVE-2020-12812，以及微軟Exchange漏洞ProxyNotShell（CVE-2022-41040和CVE-2022-41082）。</p> <p>成功入侵後駭客利用AdFind、Grixba來進行偵察，並透過GMER、IOBit、PowerTool停用防毒軟體（在某些攻擊行動裡，駭客使用了PowerShell指令碼停用Microsoft Defender），接著駭客利用Cobalt Strike或SystemBC，來進行橫向移動及檔案執行。最終使用WinRAR等壓縮軟體打包竊得資料，並透過WinSCP外流，再採用間歇性加密的方式來破壞檔案。</p> <p><a href="https://thehackernews.com/2023/12/beware-experts-reveal-new-details-on.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">研究人員揭露收信軟體Outlook零點擊漏洞攻擊鏈細節</span></strong></a></p> <p></p> <p>資安業者Akamai揭露他們向微軟通報的漏洞CVE-2023-35384、CVE-2023-36710細節，並指出攻擊者一旦將兩者串連，就有機會對收信軟體Outlook進行零點擊攻擊，從遠端連至受害電腦執行任意程式碼（RCE）。</p> <p>研究人員指出，CVE-2023-35384存在於MapUrlToZone功能函數解析路徑的過程，因此可繞過微軟在3月修補的重大等級Outlook漏洞CVE-2023-23397（CVSS風險評分為9.8），攻擊者若要觸發前述的問題，可寄送特製的電子郵件，一旦收信人透過Outlook接收，電腦就有可能從攻擊者的伺服器下載特殊的聲音檔案，CVSS風險評分為5.4。另一個漏洞CVE-2023-36710，則與名為Audio Compression Manager（ACM）的Windows元件有關，當電腦自動播放上述的聲音檔案，就有可能觸發，使得攻擊者可在受害電腦執行任意程式碼，CVSS風險評分為7.8。</p> <p>為了驗證這兩個漏洞的串連攻擊，研究人員透過IMA ADP編碼器觸發第2個漏洞，過程中使用的聲音檔案大小為1.8 GB，他們根據計算的結果，推測要觸發ACM漏洞所需的檔案，容量至少要1 GB起跳。雖然上述漏洞微軟先後於8月、10月完成修補，但由於CVE-2023-23397已被駭客組織Forest Blizzard廣泛利用，研究人員認為，企業組織需要謹慎防範上述漏洞利用攻擊鏈。</p>  <p>資料來源</p> <p>1. <a href="https://www.akamai.com/blog/security-research/chaining-vulnerabilities-to-achieve-rce-part-one">https://www.akamai.com/blog/security-research/chaining-vulnerabilities-to-achieve-rce-part-one</a><br /> 2. <a href="https://www.akamai.com/blog/security-research/chaining-vulnerabilities-to-achieve-rce-part-two">https://www.akamai.com/blog/security-research/chaining-vulnerabilities-to-achieve-rce-part-two</a></p> <p><a href="https://www.reversinglabs.com/blog/malware-leveraging-public-infrastructure-like-github-on-the-rise"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">駭客濫用程式碼管理平臺GitHub存放惡意程式的情況增加</span></strong></a></p> <p></p> <p>為了迴避資安系統偵測，駭客利用合法的雲端服務，如：Dropbox、Google Drive、Discord來存放惡意程式的做法，相當常見，但現在一改過往採用檔案共享服務的方式，有越來越多駭客改用程式碼儲存庫來從事攻擊行動。</p> <p>資安業者ReversingLabs指出，駭客透過GitHub代管惡意軟體的情況越來越頻繁，他們看到兩種新的手法，一種是濫用程式碼片段分享工具GitHub Gists，原因是駭客藉此代管惡意程式，並不會顯示作者的身分，而能當作另一種文字共享服務Pastebin加以濫用。</p> <p>另一種新手法，則是透過git commit的訊息發送命令，駭客濫用版本控制系統，在受害者電腦安裝惡意程式後，此惡意軟體便會從GitHub複製指定的儲存庫，並檢查該儲存庫的開頭提交訊息是否存在特定字串，從而將其用於解碼Base64演算法處理的訊息，並透過新的處理程序執行Python命令。</p> <p><a href="https://www.kmdn.gov.tw/1117/1271/1272/562001"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">金門租車業者金豐租車傳出資料外洩，呼籲客戶防範詐騙</span></strong></a></p> <p></p> <p>12月8日金門租車業者金豐租車提出警告，有客戶接到來自國外的電話，假冒該租車業者進行詐騙，他們隨即請資安人員著手調查，結果發現該公司遭到國外駭客攻擊，並竊取客戶資料。金豐隨即關閉所有網路權限並確認駭客的足跡，並對客戶提出警告、報警查輯來源IP位址。該公司亦彙整客戶通報的詐騙話術，像是付費會員升等、異常大量訂車、扣錯款項等，並強調若是有任何匯款要求就直接拒絕，因為他們收款的方式只有兩種，一是透過綠界的平臺刷卡，另一種則是門市收取現金。</p> <p>根據金門日報的報導，這起事故發生的原因，是該公司的電腦遭到中國駭客入侵，他們委託工程師進行調查，發現電腦遭到木馬入侵，研判就是客戶資料外洩的原因。金豐表示，截至目前尚未有客戶受害，並表明若有客戶受騙上當，他們會集體向加害者求償。</p> <p>資料來源</p> <p>1. <a href="https://www.facebook.com/kmfun.tw/posts/338947135535287">https://www.facebook.com/kmfun.tw/posts/338947135535287</a><br /> 2. <a href="https://kmfun.tw/?route=information/page&news_id=11">https://kmfun.tw/?route=information/page&news_id=11</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.imperva.com/blog/imperva-detects-undocumented-8220-gang-activities/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">Oracle WebLogic伺服器漏洞遭到駭客組織8220鎖定，用於散布惡意程式</span></span></strong></a></p> <p></p> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/iran-apt-seedworm-africa-telecoms"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">伊朗駭客MuddyWater利用C2基礎設施架構MuddyC2Go對電信業者發動攻擊</span></span></strong></a></p> <p></p> <p><a href="https://securityintelligence.com/posts/web-injections-back-on-rise-banks-affected-danabot-malware/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">網站注入攻擊鎖定40家銀行、逾5萬民眾帳號資料</span></span></strong></a></p> <p></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2023/12/pikabot-distributed-via-malicious-ads"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">惡意軟體PikaBot透過Google廣告散布</span></span></strong></a></p> <p></p> <p><a href="https://www.cisa.gov/news-events/alerts/2023/12/15/cisa-secure-design-alert-urges-manufacturers-eliminate-default-passwords"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">美國CISA呼籲設備製造商捨棄預設密碼的配置</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160433"><strong>【12月19日】金融木馬威脅在2023年爆增，惡意程式家族較去年多出接近一倍，600款行動應用程式用戶成駭客鎖定的目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160387"><strong>【12月18日】新型態惡意軟體NKAbuse濫用區塊鏈進行傳輸資料、接收C2命令的工作，鎖定墨西哥、哥倫比亞、越南而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160355"><strong>【12月15日】小型路由器成中國駭客組織Volt Typhoon下手目標，駭客植入殭屍網路病毒，入侵受害組織進行間諜行動</strong></a></p> </div></div></div>
2023/12/20 16:40作者周峻佑https://www.ithome.com.tw/news/160449
企業用Gemini Pro模型API上架，Google更要打造從端到雲全套GAI工具鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>公雲巨頭紛紛瞄準繼企業生成式AI開發需求，推出了各自的GAI技術架構和開發套件。緊接在11月底AWS揭露GAI產品戰略之後，Google也在12月初，發表了最新也是他們最強的LLM模型Gemini，隔周更在GCP的AI開發套件Vertex AI上釋出了企業用的Gemini Pro版模型預覽版，開放企業免費試用。Google同步推出Web版AI Studio開發工具，也將自家MLOps開發平臺Vertex AI轉為聚焦企業GAI開發的LLMLOps平臺，要涵蓋開發、部署到維運更多模型生命周期階段的需求。</p> <p>Google在12月初正式發表了Gemini，包括高階Ultra版，中階Pro和低階Nano版模型。Gemini Ultra將可以同時分辨和理解文字、圖片和聲音，也可以用來分辨和解釋幾種熱門開發語言，包括Python、Java、C++。Google推出Gemini模型時就強調，與其他知名大型語言模型如GPT、LLama最大差異是將提供一個行動裝置的小參數模型Nano版Gemini。</p> <p>Google先在Vertex AI平臺上架了Gemini Pro模型API預覽版，這是Gemini三款模型中的中階款。又細分為兩款API，目前只支援文字輸入和文字生成的Gemini Pro，最大可以輸入32K個Token，支援38種語言。另外，也提供了Gemini Pro Vision端點，可接受文字和影像輸入，但只能輸出文字，Google在記者會上實測展示時，則可以直接輸入一段影片，讓模型來判讀影片中的元素。Google用「模型端點」而非另一款模型來形容第二款API，意味著，這是同一個Gemini Pro模型，只是多釋出影像功能API來區隔版本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-Vertex-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google.png" /></p> <p><strong>Vertex AI上已經可以選擇Google新版LLM模型Gemini Pro版本，也可使用Geini Pro Vision版本，可直接上傳一段影片，讓模型來分析影片中的元素。</strong></p> <p>Gemini Pro從現在開始提供企業和開發者免費測試，2024年才開始正式收費，輸入和輸出都要計價，將按輸入文字每千字0.00025美元（10萬字約臺幣1元）或每張圖0.0025美元，而輸出則是每千字0.005美元（10萬字約臺幣15元）。</p> <p>而Gemini Pro的SDK目前支援了資料科學主流語言Python、兩大行動平臺Android的Kotlon和iOS應用的Swift，另外還包括了Ｗeb前後端開發主流JavaScript和Node.js語言。從Pro版SDK所支援開發語言種類更可以反映出，Gemini Pro格外注重未來的行動AI應用開發需求。</p> <p>除了自家新模型之外，Vertex AI的模型花園中，也一並增加了文字生成圖片的Imagen 2模型，可以生成更擬真的圖片。另外也將在數周後釋出了一個以Med-PaLM 2模型為主打造的醫療GAI模型產品集稱為MedLM，中國醫藥大學附設醫院將是亞洲第一家採用這款醫療GAI模型的醫學中心。用醫療資料微調過的Med-PaLM 2以85分高分通過了美國醫生執照考試，可以達到醫療專科醫生的回答水準。</p> <h3><span style="color:#FF0000;"><strong>推出Web版AI開發工具，Vertex AI也強化模型開發到部署功能</strong></span></h3> <p>除了新模型上架化，Google也正式推出了免費的Web版GAI開發工具AI Studio，（前身是MakerSuite），預設就是使用Gemini Pro或Gemini Pro Vision來開發AI應用，每分鐘可以免費使用60次模型請求。實測AI Studio，目前已經可以輸入中文，也能產生繁體中文的內容，不過，AI Studio上的Gemini Pro模型目前只支援到2023年8月的資料。</p> <p>Google在今年5月開始大幅升級機器學習開發平臺Vertex AI，更聚焦提供各種生成式AI的開發工具。在這個平臺的模型花園清單上，提供了超過130種通過Google企業級安全品質審查的ML模型，包括了開源和第三方提供的商用模型。在模型客製化上，這個平臺提供了多項微調方法，例如提示設計、LoRA微調、人類回饋增強學習RLHF等。</p> <p>隨著這次新模型釋出同時，Google也宣布了多項Vertex AI更多新功能，從模型增強，與外部資料或API的互動，多模型的協作框架，自動化模型評比，更多GAI控制機制等，逐漸從模型開發，延伸到了模型部署，維運管理等LLM模型的MLOps流程。</p> <p>Vertex AI增強工具主要提供三大功能，包括強化搜尋常用的嵌入檢索機制，設定配置就能快速建置的RAG（檢索增強生成）工具，也可以串接外部的向量資料庫，圖片或影音轉換成向量後可以儲存到向量資料庫，透過Vertex使用Gemini來實現多模態的嵌入檢索，可使用GCP託管或第三方的向量資料庫。Vertex AI將提供到18種不同的GAI控制或負責任控管機制，例如可以自動引用連結檢查，企業基礎正確性比較，或像是不宜用語和不雅影像過濾等。</p> <p>此外，Google也將陸續提供3項模型與外部環境互動的能力，8月先宣布了預覽版外掛機制（Extension），可以連結到外部資料源或是外部應用，讓生成式AI模型可以取得即時的外部資訊，甚至可以代表模型操作者的身份，在授權後取得個人化的AP資料。後續，Google將將新增「函數呼叫」（Function Calling）能力，可以將Gemini生成的結果自動匯出成一隻API或一隻函示程式。企業可以在這隻功能性API中再次優化模型輸出的結果。</p> <h3><span style="color:#FF0000;"><strong>將推出多GAI模型協作的調度框架</strong></span></h3> <p>另外一項將新增的功能是調度（Orchestration）多模型協同運作的能力，Vertex將可以用來調度多個模型互相運作。例如在手機上用Nano版模型接收使用者口說的問題，先將問題聲音轉成文字後，再拋轉到雲端的Pro版模型來生成回答，然後再拋轉給使用者。Google將提供一套調度框架，可以用來串連和連結不同模型共同產生更好的回應內容。不過，Google還沒揭露這套調度框架的釋出時程。</p> <p>在這次新版Gemini預覽版釋出同時，Google也揭露了Vertex AI平臺多項模型評估和部署新功能，模型自動評估矩陣從單一模型評估，新增加了多模型評比功能Auto SxS，可以一對一自動比較兩個模型對指定任務的執行結果，例如進行不同模型的A/B測試之用，或是比較微調前後，或相同模型但不同參數大小的效果。當模型部署上線後，可以追蹤每一次回應從輸入到輸出的速度來了解模型效能。</p> <p>Google新推出的AI Studio與Vertex AI採用了相同的資料安全和隱私控管機制，都可以支援顧客自帶金鑰、VPC控制、存取透明度紀錄和IAM權限控管。Google Cloud執行長Thomas Kurian在發布記者會上強調，企業資料只有企業自己可以存取，其他任何人，就連Google都無法看到模型輸入、輸出或每一項人類回饋到企業模型的資料。</p> <p>今年3月，Google釋出了NoCode的AI工具Vertex AI Studio，主要提供兩種常見企業AI應用的快速開發，包括了「搜尋」和「對話」應用，這兩項應用將會在2024年初開始支援Gemini模型。目前搜尋功能只能針對單一資料來源查詢，2024年時將新增一項「混合搜尋」(Blended Search）應用，只需要輸入一個搜尋指令，就能用Gemini來搜尋不同資料來源上的多模態資料，包括企業內部私有的結構化資料與非結構化資料，還有外部的公開資料。</p> <p>Google預計在2024年初正式推出Gemini模型後，會整合到更多服務中，包括了Google企業級進階搜尋服務將開始支援多模態嵌入向量搜尋。而Duet AI for Workspace明年初也會引進Gemini模型，可以對分析內容提供多模態的進階理解能力。文⊙王宏仁</p> </div></div></div>
2023/12/20 17:30作者王宏仁https://www.ithome.com.tw/news/160451
Okta買下以色列新創資安業者Spera Security
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國身分暨存取管理業者<a href="https://www.okta.com/blog/2023/12/okta-acquisition-advances-identity-powered-security/" target="_blank">Okta周二（12/19）宣布</a>將收購身分安全平臺Spera Security，以擴大Okta的身分威脅偵測與安全狀態管理能力，雙方預計於始於今年2月的2024財年第一季完成交易，<a href="https://www.calcalistech.com/ctechnews/article/bjhjagkda" target="_blank">外傳</a>該筆交易價值1~1.3億美元之間。</p> <p>Okta銷售十多種產品與服務，涵蓋單一簽入、API存取管理、使用者管理、身分驗證、多因素身分驗證、生命周期管理、高階伺服器存取及B2B整合等，而<a href="https://www.spera.security/solution" target="_blank">Spera Security則專注</a>於視覺化組織的身分管理風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1220-spera-600.png" style="width: 480px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Spera Security</span></span></p> <p>Spera Security可將解決方案無縫整合至身分供應商及雲端/就地部署應用，標榜在部署的一個小時內就能產生橫跨整個組織的身分成熟度報告，視覺化組織的身分攻擊表面，以及身分權限與使用的脈絡，在不影響組織業務的情況下強化身分的安全狀態。</p> <p>Okta表示，身分外洩為各組織現階段所面臨的最大攻擊威脅，有86%的外洩源自於網釣攻擊或其它形式的憑證濫用，像是社交工程攻擊或憑證填充等，相關風險更因為雲端應用及服務的龐大帳號數量及複雜度而增加。而Spera Security允許用戶在各種服務中發現威脅及錯誤配置，察覺安全漏洞並確定安全問題的優先順序，亦可協助組織評估其身分基礎設施，以及各種應用與服務的安全狀態。</p> <p>例如Spera Security輕易就能發現已離職員工的帳號，找出那些很久未被使用卻具權限的帳號，以及那些未採用多因素身分驗證的帳號。Spera Security表示，該公司的客戶通常在部署的幾周之內，就能減少75%的重大身分安全問題。</p> <p>Spera Security是個小型團隊，員工人數不超過30人，甫於今年對外募集了1,000萬美元的種子資金。</p> </div></div></div>
2023/12/20 16:43作者陳曉莉https://www.ithome.com.tw/news/160450
沒有及時修補Citrix Bleed漏洞，Comcast外洩近3,600萬名Xfinity用戶資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國Comcast Corporation旗下專門提供有線電視、網路、電話及無線服務的Comcast Cable Communications<a href="https://www.businesswire.com/news/home/20231218979935/en/" target="_blank">（Xfinity）在周一（12/18）坦承</a>，該公司在修補Citrix Bleed漏洞的空窗期間遭到駭客入侵，外洩了用戶資料，<a href="https://apps.web.maine.gov/online/aeviewer/ME/40/49e711c6-e27c-4340-867c-9a529ab3ca2c.shtml" target="_blank">根據該公司提交給緬因州的文件</a>，受影響的用戶數高達35,879,455人。</p> <p>美國雲端運算及虛擬技術服務供應商Citrix Systems在今年的10月10日修補了一個重大安全漏洞CVE-2023-4966，成功的攻擊將會導致未經授權的資料揭露，影響網頁應用交付控制器NetScaler ADC及NetScaler Gateway裝置，此一漏洞是由Citrix內部團隊所發現，修補當時並不知道該漏洞已遭到濫用。</p> <p>然而，<a href="https://www.mandiant.com/resources/blog/remediation-netscaler-adc-gateway-cve-2023-4966" target="_blank">資安業者Mandiant在10月17日指出</a>，駭客自8月下旬便開始利用該漏洞，成功的攻擊將允許駭客取得會話身分驗證令牌，挾持使用者的會話，從而繞過多因素身分驗證或其它驗證要求，倘若在修補前便被攻陷，那麼就算已部署更新程式，已被利用的會話可能會持續存在，由於影響重大，因而又被稱為Citrix Bleed漏洞。</p> <p>Xfinity透過新聞稿表示，CVE-2023-4966漏洞波及包括該公司在內的全球數千家業者，該公司於10月23日部署了更新程式，但在兩天後執行例行性的資安檢查時，發現內部系統在10月16日至19日之間出現未經授權的存取，且確定源自CVE-2023-4966。</p> <p>目前確定駭客已存取了Xfinity用戶的使用者名稱與雜湊密碼，以及部分用戶的姓名、聯絡資訊、社會安全碼的後4碼、生日，或秘密問題與答案。</p> <p>Xfinity於新聞稿中並未公布受影響的用戶數量，而是在提交給緬因州的資料外洩通知中揭露，顯示有接近3,600萬名用戶的資料外洩。</p> <p>Xfinity的資料外洩事件顯然是因沒有及時修補所造成，既未於10月10日的第一時間修補，也沒有在Mandiant公布該漏洞已遭到駭客利用的10月17日修補，而是延至10月23日才修補。</p> <p>現在Xfinity除了要求用戶重設密碼，並建議他們啟用雙因素身分驗證之外，也建議用戶更改那些使用同樣密碼的其它服務的憑證。</p> </div></div></div>
2023/12/20 14:35作者陳曉莉https://www.ithome.com.tw/news/160448
FBI警方查緝BlackCat勒索軟體網站，駭客揚言報復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦調查局（Federal Bureau of Investigation，FBI）本周查緝勒索軟體BlackCat/ALPHV受害者資料公布網站，雖然一度成功，但BlackCat駭客組織隨即宣稱「收復」該網站，也採取報復行動。</p> <p><a href="https://www.justice.gov/opa/pr/justice-department-disrupts-prolific-alphvblackcat-ransomware-variant" target="_blank">美國司法部昨（19）日宣布</a>，FBI連同美國特勤局、德國、丹麥、歐洲刑警（Europol）等國警方破獲BlackCat/ALPHV的電腦網路，以及該集團營運的多個用以公布受害者資料的網站。</p> <p>BlackCat是同一駭客組織的第三代身分。2020年一駭客以DarkSide為名興起，2021年5月對油管業者Colonial Pipeline發動攻擊引發警方追捕關閉後，同年年中以BlackMatter為名出現，但在資安業者Emsisoft駭入其網路製作出一把解密金鑰後，協助警方破獲其網路系統。2021年底駭客又以BlackCat/ALPHV為名再度活動。</p> <p>過去18個月來，BlackCat/ALPHV在全球勒索了數億美元贖金，成為贖金第二多的勒索軟體即服務（ransomware-as-a-service），僅次於Ryuk，也有多國執法機關同時進行調查。單單在美國，遭BlackCat入侵加密的受害者遍及政府、消防、國防工具、製造、醫療、公衛以及一般企業及學校。使用BlackCat網路的駭客會採取雙重勒索（double extortion）手法。竊取受害者敏感資訊並且加密系統，以向受害者勒索贖金以換取解密金鑰，一旦勒索不成就會將竊得的資料公布在暗網網站上作為報復。</p> <p>FBI開發了一項解密工具，供多國警方提供500多個受害者組織得以取回被勒索軟體加密的系統，使其免於6,800萬美元的金錢損失。</p> <p>根據資安新聞網站<a href="https://www.bleepingcomputer.com/news/security/fbi-disrupts-blackcat-ransomware-operation-creates-decryption-tool/" target="_blank">《Bleeping Computer》</a>報導，周二FBI宣布其成功行動後，下周BlackCat在論壇上向其同夥公布收復其資料公布網站。</p> <p>FBI在這次行動中控制了駭客營運部落格的一座資料中心。現在BlackCat駭客和FBI都有註冊網站URL的金鑰，因此兩者可能呈現拉鋸，輪流取得對URL的控制權。</p> <p>但駭客宣稱，FBI只控制了一座資料中心，其他資料中心還在駭客手上。而且FBI雖然取得400家受害公司的金鑰，但由於此次行動，其他3,000多家受害組織將再也拿不回其金鑰。此外，作為此次行動的報復，駭客對其同夥放寛其攻擊限制，除了網路安全主管機關外，其他如醫院、核電廠等都不在限制之內。駭客也強調不會對任何企業要求的贖金打折。</p> <p>《Bleeping Computer》分析，根據歷史經驗可以推知，BlackCat可能很快就會以另一身分重出江湖。</p> </div></div></div>
2023/12/20 12:34作者林妍溱https://www.ithome.com.tw/news/160445
巴基斯坦前總理以Deepfake聲音向群眾發表演說
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>目前身陷囹圄的巴基斯坦前總理日前在AI Deepfake技術協助下，向支持群眾發表虛擬演說。</p> <p>巴基斯坦前總理Imran Khan領導的巴基斯坦正義運動黨（Pakistan Tehreek-e-Insaf，PTI）本周日利用臉書、YouTube及X等社群平臺，<a href="https://www.youtube.com/watch?v=xTxS9WSmbGM" target="_blank">舉行了2024年國會大選第一場為時近5小時的虛擬選舉活動</a>。Khan為巴國前板球國家隊隊長暨慈善家。今年8月他在總理任期間遭控收賄且拒絕配合調查而被捕入獄至今。PTI被禁止集會活動，Khan本人也不被允許參選，以及出現在媒體上。</p> <p>PTI以Khan草擬的演說稿透過律師攜出，由該黨運用一家AI公司ElevenLabs的技術，<a href="https://www.tiktok.com/@pakistanijournal/video/7152050688468602139" target="_blank">以其音訊檔為樣本模擬成其聲音</a>。這場大會穿插Khan過往公開演講的影片及活動照片，他4分鐘的AI演說在虛擬大會中最後播放，影片也說明此為Khan的deep fake聲音。</p> <p>PTI黨希望以社群及AI技術吸引年輕選民支持，也表示Khan是該黨活動的靈魂人物。Khan AI版聲音向群眾表示，他為這次歷史性的嘗試讚美社群平臺，而他對真正自由的渴望更加強烈。</p> <p>即使巴國政府周日為阻止這場線上活動，切斷網路7小時，但該活動仍然從多個平臺上吸引了超過450萬次點閱率。</p> <p><a href="https://www.theguardian.com/world/2023/dec/18/imran-khan-deploys-ai-clone-to-campaign-from-behind-bars-in-pakistan" target="_blank">《The Guardian》</a>引述一些巴國民眾看法，認為聲音太不真實，文法也怪怪的，但是一些用戶仍對PTI黨運用現代科技繞過當局審查的嘗試表示讚揚。</p> </div></div></div>
2023/12/20 12:50作者林妍溱https://www.ithome.com.tw/news/160447
博通收購VMware不滿一個月！VMware宣布全面終止永久授權的銷售改為訂閱制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr" id="docs-internal-guid-a0331b00-7fff-c9b8-714b-50b90346c677">博通在11月<a href="https://www.broadcom.com/company/news/financial-releases/61541">下旬</a>完成對VMware的收購後， VMware近日<a href="https://news.vmware.com/company/vmware-by-broadcom-business-transformation">宣布</a>未來的產品銷售服務模式有重大的調整，將全面終止買斷授權，改為訂閱制。這意謂著，VMware虛擬化平臺正式全面轉型為訂閱制。</p> <p dir="ltr">在博通收購VMware之前，VMware已經積極展開轉型，朝向訂閱制銷售模式來發展。博通完成收購不到一個月，VMware在本月11日宣布此項消息，表示即日起不再提供永久授權、有效支援與訂閱服務 (Support and Subscription, SnS)續訂，以及混合與訂閱購買計畫(HPP/SPP) 點數在內的銷售模式，僅以訂閱或定期授權的形式提供。</p> <p dir="ltr">新政策影響VMware產品，涵蓋了VMware Cloud Foundation、vSphere、vSAN、NSX、SRM、HCX、vCloud套件及VMware Aria套件產品等。</p> <p dir="ltr">VMware表示，新政策實施後，現有企業用戶仍然可以繼續使用他們以永久授權購買的產品。值得注意的是，當永久授權到期之後，需要購買訂閱軟體或定期授權，來補充或替換其當前永久授權的部署基礎架構，無法再以永久授權的形式購買。VMware建議，採用永久授權的用戶可以檢查其永久授權清單，了解更新周期和續約日期，並開始熟悉相關可用訂閱及優惠方案。</p> <p dir="ltr">為了方便用戶移轉授權，VMware還提供自備訂閱授權選項，針對經過VMware驗證在VCF環境上執行的混合雲端點，提供授權可移植性方案。</p> <p dir="ltr">除了銷售模式的轉變之外，VMware強調，未來VMware Cloud Foundation部門的產品發展重心將聚焦兩大服務上，分別為企業混合雲解決方案VMware Cloud Foundation和整合伺服器虛擬化平臺vSphere與智慧營運管理的VMware vSphere Foundation。同時還將提供儲存產品、勒索軟體和災難復原服務以及應用程式平臺服務。</p> <p dir="ltr">上個月，博通以610 億美元完成對VMware 的收購後，VMware以VMware by Broadcom之名，正式納入博通旗下。據報導，博通在完成收購後迅速對VMware進行了組織重組，不僅精簡了超過千人的人力，還將部門整合為4個獨立的部門。</p> <p dir="ltr">根據博通的說法，未來核心重點將協助企業建立和現代化其私有雲和混合雲環境。除了繼續投資和發展VMware Cloud Foundation核心產品，同時還將持續發展加速應用程式部署的VMware Tanzu。此外，還包括應用程式網路和進階安全性服務，以及針對電信和企業邊緣的VMware軟體定義邊緣的相關發展。。</p> </div></div></div>
2023/12/20 11:35作者余至浩https://www.ithome.com.tw/news/160441
5G趨勢月報第49期：台灣大哥大、遠傳各自完成合併案，電信市場進入新三雄競局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>11/08~12/14精選5G趨勢新聞</strong></span></h3> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>台灣大哥大</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>台灣之星</b></span></font></p> <p><span style="font-size:22px;"><strong>台灣大哥大完成與台灣之星合併，破千萬用戶躍升第2大電信</strong></span></p> <p>2023年即將結束之際，國內電信市場迎來新的競爭局面。台灣大哥大近期宣布與台灣之星完成合併，合計用戶數來到1,028萬，僅次於中華電信，為國內第二大行動電信業者。</p> <p>這宗合併案被外界稱為台台併，台灣大哥大是在2021年12月與台灣之星達成合併協議，歷經近2年時間向NCC、公平會、證交所等機關申請合併，終於在今年獲得公平會審核通過，並完成IT、網路技術、人員安置、用戶權益、門市整合等準備後，12月1日正式宣布完成合併，合併後的新台灣大哥大用戶數突破1千萬大關，緊追在將近1,300萬用戶的中華電信之後。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TWM-600.jpg" style="width: 600px; height: 399px;" /></p> <p>新台灣大哥大也透過合併，取得更多的無線頻譜資源，以目前5G使用的3.5GHz頻段為例，已有100MHz頻寬，另有700MHz及900MHz低頻段資源。</p> <p>合併後，新台灣大哥大也宣示，未來將從價格競爭走向價值競爭的新局。這意味著，過去3大2小的5家電信時代，業者間彼此祭出價格競爭吸引用戶，台灣之星、亞太電信2家業者過去以低價費率吸引用戶的時代可能成為過去，未來新的三大電信對服務價值競爭已形成默契。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠傳</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>亞太電信</b></span></font></p> <p><span style="font-size:22px;"><strong>遠傳與亞太完成合併! 新電信三雄市場競局成形</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Far-600.jpg" style="width: 600px; height: 450px;" /></p> <p>遠傳電信在12月15日正式合併亞太電信，合併後用戶數超過920萬，挑戰千萬用戶大關，加上台灣大哥大與台灣之星完成合併，至此，國內電信市場進入新的三雄競爭局面。</p> <p>根據遠傳電信的規畫，遠傳現有約1.2萬座基地臺，亞太約有6,500座基地臺，合併後將整併基地臺，預定汰除5千基地臺，未來將有12,500座基地臺。遠傳電信指出，明年1月底將完成第一階段基地臺整併工作，整併後原本亞太電信用戶，網路覆蓋率將提升近1倍，對於原亞太電信用戶，保留原本的SIM卡及費率，手機通訊仍使用GT網路名稱，但是和遠傳電信既有用戶間通話已按網內通話計算。</p> <p>在遠傳與亞太電信、台灣大哥大與台灣之星先後宣布完成合併後，兩家電信公司不約而同宣示，未來不再以價格為競爭手段，將走向以價值取向的競爭。不論是遠傳與台灣大哥大各自透過合併手段取得更多無線頻譜資源，以提升5G網路服務品質，例如上網速度、容量，和中華電信的服務競爭。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>OneWeb</b></span></font></p> <p><span style="font-size:22px;"><strong>中華電信獨家代理OneWeb，明年低軌衛星服務來臺</strong></span></p> <p>低軌衛星服務即將來臺，中華電信近期已和歐洲通訊衛星集團Eutelsat的Eutelsat OneWeb合作，將獨家代理OneWeb低軌衛星服務，OneWeb明年可望覆蓋至臺灣。</p> <p>中華電信代理OneWeb低軌衛星服務，主要用以強化政府及中華電信內部網路韌性，其中政府方面，中華電信參與數位發展部的「應變或戰時應用新興科技強化通訊網路數位韌性」前瞻計畫，以驗證非同步軌道衛星，在緊急或災害導致海纜、固網、行動網路遭破壞，透過衛星維持通訊，提升我國通訊系統韌性的可行性，該計畫將在明年開始，於國內700多處、國外3個站點設立衛星設備進行驗證。</p> <p>中華電信也準備運用代理的低軌衛星服務，強化自身的網路通訊韌性，建構低軌衛星、固網、行動網路、海底電纜、微波通訊的多重網路備援架構，提供政府、民間通訊數位韌性方案。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>行動晶片</b></span></font></p> <p><span style="font-size:22px;"><strong>聯發科推出天璣8300 5G生成式AI行動晶片</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MTK8300-600.jpg" style="width: 600px; height: 600px;" /></p> <p>繼天璣9300之後，聯發科再推出天璣8000系列產品新成員天璣8300，與天璣9300同樣強調生成式AI處理能力，聯發科強調新款行動晶片可推動終端裝置的生成式AI創新，預計採用該晶片的手機將在2023年底上市。</p> <p>天璣8300採用4奈米製程，搭配Armv 9 CPU架構，具有8個CPU核心，由4 個Cortex-A715 效能核心與 4個Cortex-A510能效核心組成，使CPU的最高效能較前一代提高20%，並可節省30%功耗。GPU方面，搭載6核心Mali-G615，效能提高60%、節省55%功耗。</p> <p>聯發科表示，該晶片最多能支援100億參數大型語言模型。內建聯發科AI處理器APU 780，透過生成式AI引擎，整數及浮點運算的效能提升2倍，並支援Transformer運算子加速及混合精度INT4量化技術，AI的整體效為前一代提高3.3倍。</p> <p>在通訊方面，整合3GPP R16 5G晶片，強調針對上網的場景最佳化，即使在訊號較弱的環境仍能連接5G，在Sub 6GHz下支援3載波聚合技術，使5G網路下載速度最快可到5.17Gbps。另外，還支援Wi-Fi 6E，可使用6GHz頻段。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>動物園</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>高雄壽山動物園導入5G專網，打造智慧動物園遊覽體驗</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/zoo-600.jpg" style="width: 600px; height: 450px;" /></p> <p>動物園一向予人傳統印象，現在也積極導入新科技，以打造全新的數位導覽體驗。高雄壽山動物園近期和電信、網通業者合作，在園區內導入5G專網及Wi-Fi 6，利用5G的高速、低延遲，提供遊客趣味性的數位互動體驗。</p> <p>壽山動物園內建置5G SA專網，搭配行動邊緣運算系統，以提供高速傳輸、低延遲，此外，也優化園區內的光纖網路、Wi-Fi無線網路，以確保各項應用的連線品質。利用5G專網及LBS定位應用服務，遊客只要下載動物園App，就能在園內內定位導航、規畫遊園路徑，依照遊園路線推播訊息，介紹每種動物的背景知識、完整介紹。</p> <p>除了在園區路徑導航之外，遊客也能透過5G網路觀看非洲象的串流影像。此外，在室內環境，園方也和廠商合作，提供AR眼鏡，讓民眾可以擴增實境的方式，和虛擬動物互動體驗。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>物流</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>韓國物流業者導入5G專網，克服Wi-Fi訊號涵蓋死角問題</strong></span></p> <p>韓國老牌的物流業者大韓通運（CJ Logistics）近期在韓國利川市佔地約1.2萬坪的物流倉庫導入5G專用網路，以克服原本使用的Wi-Fi網路訊號涵蓋死角問題，提高倉庫管理效率，未來計畫將該倉庫的經驗擴大至韓國400個及海外40個倉庫設施。</p> <p>物流業倉庫的生產效率，主要來自於簡化倉儲揀選流程，將包裏從貨架上揀出，到準備出貨的過程，通過即時的通訊網路，確保揀選到出貨的效率。大韓通運原本使用約300個Wi-Fi無線網路AP，但仍容易有訊號死角、反覆中斷等問題，因此在行動電信設備商協助之下，他們在位於利川市的倉庫先導入5G專用網路，建置22個無線電點。</p> <p>通過5G專用寬頻網路，取代Wi-Fi無線網路，該倉庫以AGV無人搬運車、AMR自主移動機器人，搭配自動化揀選作業，預估提高倉庫的生產力20%。大韓通運表示，網路的連接性作為後勤支援，讓複雜運作過程中設備，可以透過無縫網路、數據交換，彼此協調運作，通過產業專用的頻譜，提高網路穩定性及效能，讓5G專網成為該公司的策略選擇之一。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>郵政</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <p><span style="font-size:22px;"><strong>挪威郵政服務Posten測試導入5G專網</strong></span></p> <p>擁有375年歷史的挪威郵政服務Posten和當地電信商合作，在奧斯陸西北方一處新建物中部署5G專用網路，利用行動網路覆蓋新航廈內部及外部，以傳輸所有營運數據。</p> <p>Posten導入5G專網，目的在減少停機時間，提升資訊安全，並且增加網路靈活性，以支援不同類型倉庫運作。為了確保網路通訊韌性，該建築建置兩條獨立的光纜，分別連接雲端服務及Posten的中央系統，大樓並設計天線以接收衛星通訊作為備援。</p> <p>Posten指出，新建物在規畫之初，即希望測試所有的資料通訊能否建立在行動網路上，使建築的內部、外部的所有設備提供安全的通訊網路，物流倉庫的運作相當仰賴設備隨時處於連網狀態，如果意外發生停機，就會導致生產中止，整個停機成本相當高昂，5G專網提供一個最好的連接方式。</p> <p> </p> <p>圖片來源／聯發科、遠傳電信、高雄壽山動物園、台灣大哥大</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.高通推出Snapdragon 7 Gen 3，AI每瓦效能提升60</strong></p> <p><strong>2.Vodafone在愛丁堡機場布建4G及5G網路</strong></p> <p>資料來源：iThome整理，2023年11月</p> </div></div></div>
2023/12/20 11:49作者蘇文彬https://www.ithome.com.tw/news/160442
Google同意支付7億美元與美國各州和解Google Play的反托拉斯爭議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國36州再加上華盛頓特區的檢察長於2021年，聯手控告Google違反反托拉斯法令，特別是Google Play中所存在的排他性條款及反競爭行為，不過，<a href="https://blog.google/outreach-initiatives/public-policy/reaffirming-choice-and-openness-on-android-and-google-play/" target="_blank">Google周一（12/18）公布</a>了雙方已於今年9月簽署的和解協議，包括同意支付7億美元，放行第三方程式市集，以及支援第三方支付等，此一和解協議仍尚待法院批准。</p> <p>當時各州檢察長們認為Google壟斷了行動作業系統，也壟斷Android程式的散布，藉由技術門檻與條件來限制開發者只能於Google Play上散布程式，強迫OEM業者簽署條款以限制裝置內建第三方市集，亦非法壟斷了Android的程式內購買機制。</p> <p>根據雙方的協議，Google同意支付7億美元的和解金額，其中有6.3億將付給消費者利益基金，另外的0.7億則是付給可供各州使用的基金。</p> <p>除了金錢之外，Google也承諾改善與Google Play有關的策略，指出其實Google早就允許Android裝置安裝第三方應用程式市集，且多數Android裝置都安裝了兩個或以上的程式市集，最新的協議將明確允許OEM業者預裝各種程式市集選項，也透過Android 14改善對第三方程式市集的支援。</p> <p>此外，Android平臺原本就允許使用者側載應用程式，例如直接從開發者的網站上下載程式，只是為了顧及安全，會在使用者下載時提出警告，未來Google將簡化側載流程並更新所使用的語句。</p> <p>對於受到許多批評的支付機制，Google已於許多市場測試對第三方支付的支援，而不一定要使用Android內建的Google支付系統，亦開始允許開發者於付款程序中列出基於下載來源的不同價格，以供使用者選擇。</p> <p>不過，<a href="https://www.epicgames.com/site/en-US/news/epic-v-google-trial-verdict-a-win-for-all-developers" target="_blank">甫贏得與Google之間反托拉斯訴訟的Epic Games</a>同一天就<a href="https://www.epicgames.com/site/en-US/news/statement-on-google-s-settlement-with-state-attorneys-general" target="_blank">批評該和解協議</a>，指出各州原本尋求105億美元的賠償金額，最終卻接受了7億美元的和解，還說開發者透過Google支付系統必須支付30%的費用，但若採用第三方支付系統，依然必須支付26%予Google，此一協議並未解決Google違反競爭的核心問題，Epic Games將繼續追求有意義的補救措施以讓Android生態系統真正的開放。</p> </div></div></div>
2023/12/20 11:49作者陳曉莉https://www.ithome.com.tw/news/160443
Deno 1.39重新支援WebGPU，並持續強化Node.js相容性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JavaScript和TypeScript執行環境<a href="https://deno.com/blog/v1.39#new-deno-coverage-reporters">Deno 1.39</a>更新，加入了許多重要新功能，不只WebGPU支援回歸，強化圖形、遊戲和機器學習功能，還添加新的Deno測試覆蓋報告器，改進程式碼分析功能，而且在Node.js的相容性支援上也有新進展，能夠簡化Node.js開發人員的轉換工作。</p> <p>Deno在2021年的時候嘗試引入WebGPU，但之後因為效能問題，在今年稍早時移除，而現在官方已經解決效能問題，因此重新加入WebGPU支援。WebGPU API提供了一個低階、高效能且跨架構的方法，使開發者能夠以JavaScript編寫GPU應用程式。WebGPU被視為WebGL的後繼者，目前規範已經確定，且Chrome也開始支援該API，Firefox和Safari的支援則還在開發中。</p> <p>GPU在數值的平行運算上，較CPU存在明顯的優勢，這不只可用於加速渲染和遊戲執行，還能在機器學習演算法中高效執行矩陣運算。官方提到，現在Deno中的WebGPU實作，與即將添加到Firefox中的WebGPU實作，具有相同的底層系統，因此可以放心地在該基礎上建置應用。雖然WebGPU規範已經穩定，但是Deno對WebGPU的支援仍處於不穩定階段，因此要在Deno中試用WebGPU，需要加上—unstable-webgpu旗標。</p> <p>Deno 1.39的測試覆蓋率工具還添加了兩種新的報告器，分別是摘要報告器和HTML報告器。摘要報告器是目前的預設報告器，能夠以簡潔的表格形式呈現特定檔案及整體覆蓋率資料，而HTML報告器則會以HTML格式生成測試覆蓋報告。</p> <p>Deno語言伺服器效能在新版本中獲得強化，首先打字體驗更為流暢，且更具回應性，官方對因為需要快速打字，所產生的大量請求進行最佳化，確保開發者的IDE有更流暢的編輯體驗，另外，為了解決殘留語言伺服器執行個體的問題，也加入了超時關閉機制，該功能在開發者關閉編輯器後，便會在一定的時間內強制終止語言伺服器程序。</p> <p>deno compile也有重要更新，特別是對Node.js模組的支援，開發者可以透過使用—unstable-byonm旗標，在Deno專案中直接使用Npm套件，而這可有效橋接了Deno與豐富的Npm生態系。</p> <p>Deno現在支援更多動態匯入模式，而之所以這也是重要更新，是因為Deno需要在deno compile生成的二進位檔案中，靜態地包含所有在執行時匯入的模組，而現在Deno可以處理更廣泛的動態匯入模式，這代表開發者在執行時能夠靈活地匯入所需的模組，如此不止簡化相依項目管理，還進一步確保所有動態引用的模組在執行時都是可用的。</p> <p>Deno 1.39中的寬鬆匯入功能，也簡化了TypeScript程式碼搬遷到Deno的工程，開發者只要使用—unstable-sloppy-imports旗標，就可以在匯入語句省略檔案格式名稱。另外，雖然Deno因為安全顧慮不支援Object.prototype.__proto__，但因為許多Npm套件仍然使用該屬性，因此開發者只要使用—unstable-unsafe-proto旗標，就可以允許啟用該屬性。</p> </div></div></div>
2023/12/20 08:36作者李建興https://www.ithome.com.tw/news/160438
Google在Swift Package Manager新增地圖平臺SDK支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開始於套件管理工具SPM（Swift Package Manager）<a href="https://cloud.google.com/blog/products/maps-platform/google-maps-platform-sdks-for-ios-now-available-through-swift-package-manager">提供</a>Google地圖平臺相關SDK，包括釋出iOS用Maps SDK 8.3.1、Places SDK 8.3.0，以及Navigation SDK 5.3.1。隨著對SPM的支援，相關文件也跟著更新，移除透過其他套件管理工具安裝二進位檔案的說明。</p> <p>不過，官方也提到，除了SPM，開發人員還是可以選擇手動添加SDK相依項目，或是透過Swift與Objective-C套件管理工具CocoaPods添加。供開發團隊可以依據需求，選擇最適合的工作流程和技術堆疊。</p> <p>這項消息對iOS開發者相對重要，因為SPM是Apple官方推薦的套件管理工具，與開發環境Xcode緊密整合，因此透過支援SPM，開發者便可以更方便地在iOS專案中，添加和管理Google地圖、Places和Navigation SDK。</p> <p>過去在Google地圖應用開發上，iOS開發者需要仰賴CocoaPods，或是以手動的方式管理相依項目，而加入SPM的支援，將會讓這個過程更加自動化，開發者可以直接在Xcode添加和管理SDK，只要指定對應SDK的GitHub儲存庫URL，即可將套件相依項目新增至iOS專案，進而提高開發方便性和效率。</p> <p>要讓SPM能夠支援iOS的Google地圖平臺SDK前，需要滿足特定的技術要求。首先SPM需要能夠支援已編譯的二進位檔案，特別是以XCFrameworks形式存在的程式碼。XCFrameworks是一種封裝格式，用於封裝iOS、macOS、watchOS和tvOS編譯的應用程式庫。此外，SPM還需要能夠處理Swift套件中，諸如圖像和字串等非程式碼的資源。</p> <p>由於SPM的這些改進，現在Google地圖平臺SDK才得以整合，因為不僅牽涉程式碼本身，還包括了SDK執行所需的各種額外資源。Google更新了建置和發布基礎設施支援Swift套件發布，同時維持既有CocoaPods和XCFrameworks發布工作流程，並提到，這些變更在發布過程並不會增加任何額外的延遲。</p> </div></div></div>
2023/12/20 08:41作者李建興https://www.ithome.com.tw/news/160440
Akamai發現Windows新漏洞，收到附加音訊檔案Outlook信件就可能遭受RCE攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Akamai研究人員在Windows中新<a href="https://www.akamai.com/blog/security-research/chaining-vulnerabilities-to-achieve-rce-part-one">發現</a>兩個漏洞，分別是CVE-2023-35384與CVE-2023-36710，攻擊者可以連結這兩個漏洞，針對Outlook用戶展開零點擊遠端程式碼執行（Remote Code Execution，RCE）攻擊。目前微軟已經在2023年8月和10月發布修補程式碼，用戶只要安裝10月軟體更新，即可免受漏洞影響。</p> <p>Akamai揭露的零點擊遠端程式碼執行攻擊，起源於今年3月的微軟更新，當時微軟針對CVE-2023-23397漏洞進行修補。該漏洞主要被俄羅斯國家資助的駭客集團Forest Blizzard濫用，透過誘導Outlook客戶端連接到攻擊者的伺服器，並在連接過程傳送NTLM憑證給攻擊者。之後攻擊者便可以離線破解憑證，或是將憑證用於中繼攻擊。</p> <p>這個漏洞的特色在於，攻擊者無需用戶參與，就能透過網際網路遠端發動攻擊。要濫用CVE-2023-23397漏洞，攻擊者會先發送一封精心設計，帶有自動通知聲音的提醒電子郵件，Outlook客戶端在收到信件之後，便會從攻擊者控制的伺服器下載特殊的音訊檔案。雖然微軟在3月的更新中修補了該漏洞，但是Akamai研究人員卻又發現了能夠繞過修補程式的方法，並且指出該Outlook功能引入了巨大且複雜的攻擊面。</p> <p>透過結合新發現的CVE-2023-35384與CVE-2023-36710，研究人員成功在Outlook上實現出完整的遠端程式碼執行攻擊鏈。CVE-2023-35384在這個攻擊鏈扮演關鍵角色，其牽涉Outlook中CreateFile和MapUrlToZone兩個函式在路徑解析的差異，研究人員利用這兩個函式對特定路徑的處理差異繞過安全檢查，迫使Outlook客戶端連接到惡意伺服器，而且這個方法也成功繞過微軟之前的修補。</p> <p>而CVE-2023-36710則是一個存在於音訊壓縮管理器（ACM）程式碼中的整數溢位漏洞。當播放WAV檔案的時候，ACM便會呼叫msacm32.drv中的mapWavePrepareHeader函式，而這個函式存在一個整數溢位漏洞，由於在向GlobalAlloc傳遞加法結果時並沒有先檢查溢位，這使得攻擊者可以透過特定方式讓GlobalAlloc分配一個非常小的緩衝區，並使這個緩衝區溢位，進而可執行任意程式碼。</p> <p>透過利用CVE-2023-35384建立的連接，攻擊者能夠傳送特製的WAV檔案到受害者的系統中，接著利用CVE-2023-36710中的漏洞來執行任意程式碼，這兩個漏洞共同構成了一個完整的攻擊鏈，允許攻擊者遠端控制受影響的系統。</p> <p>Windows用戶只要安裝2023年10月的軟體更新即可受保護，而使用Exchange伺服器的Outlook客戶端，則在安裝2023年3月的軟體更新後，可免受漏洞影響。儘管這些漏洞都已經修復了，但研究人員指出，由於Outlook的攻擊面仍然存在，攻擊者還是可以繼續從該攻擊面中找到新漏洞。</p> </div></div></div>
2023/12/20 08:14作者李建興https://www.ithome.com.tw/news/160435
【資安日報】12月19日，金融木馬威脅在2023年爆增，惡意程式家族較去年多出接近一倍，600款行動應用程式用戶成駭客…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用手機操作網路銀行或進行線上交易，如今可說是相當普遍，越來越多駭客也受到這股潮流吸引而發動金融木馬程式攻擊，將其偽裝成知名的銀行應用程式、行動支付App、加密貨幣錢包，企圖將使用者帳戶裡的資產提領一空。</p> <p>根據資安業者Zimperium的調查，這種惡意軟體的攻擊行動在2023年出現大幅增加的現象，研究人員提及，此類惡意程式現今普遍具備自動轉帳模組（Automated Transfer System，ATS），駭客也很有可能藉由電話客服作為散布的管道（Telephone-Based Attack Delivery，TBAD）。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.zimperium.com/resources/zimperiums-2023-mobile-banking-heists-report-finds-29-malware-families-targeted-1800-banking-apps-across-61-countries-in-the-last-year/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">全球逾1,800個行動應用程式遭銀行木馬鎖定</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/in5Cj8jWlO.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/in5Cj8jWlO.png" style="width: 300px; float: right;" /></a>資安業者Zimperium針對金融木馬的生態進行調查，指出2023年共有29個惡意程式家族從事攻擊行動，鎖定全球61個國家、逾1,800款銀行的手機應用程式而來，最大的受害國家是美國，多達109家銀行成為金融木馬的目標，其次則是英國、義大利，各有48家、44家銀行成為攻擊目標，相較於2022年公布的調查結果（10個惡意程式家族、鎖定約600款應用程式），今年參與攻擊行動的惡意程式與攻擊範圍皆顯著增加。</p> <p>研究人員指出，有別於去年駭客的攻擊對象是銀行與行動支付應用程式，今年擴及加密貨幣、社群軟體、即時通訊應用程式，銀行的應用程式仍為大宗，占全部的61%。</p> <p>今年5大惡意程式家族為Hook、Godfather、Teabot、Xenomorph、Exobot，針對的銀行數量分別是618家、419家、414家、400家、371家，此外，有不少銀行的應用程式成為多組駭客的攻擊目標，例如：Intesa Sanpaolo Mobile、Capital One Mobile、Bank of America等，皆有超過10個惡意程式家族對其出手。</p> <p><a href="https://securityaffairs.com/156065/hacktivism/pro-israel-predatory-sparrow-iran-fuel-stations.html"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">伊朗近7成加油站遭到癱瘓，傳出是以色列駭客組織所為</span></strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Tsacyd7aTt.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tsacyd7aTt.png" style="width: 300px; float: right;" /></a>根據伊朗國家電視臺、以色列媒體的報導，伊朗12月18日遭遇網路攻擊，導致全國約有70%加油站的服務中斷，被迫手動作業，首都德黑蘭受到的影響最嚴重。石油部長Javad Owji證實此事，並指出攻擊者來自國外，仍有超過3成的加油站維持正常運作。</p> <p>而對於攻擊者的身分，上述媒體皆將矛頭指向以色列駭客組織Predatory Sparrow（亦稱Gonjeshke Darande），該組織也聲稱是他們所為，並強調為了避免衝擊當地的緊急服務，他們已特別控制攻擊力道。</p> <p>值得留意的是，這起攻擊事故正逢伊朗打算提高油價，兩者之間是否有所關連？Javad Owji認為與漲價無關。Predatory Sparrow針對伊朗發動攻擊並非首例，今年1月，該組織聲稱攻擊伊斯蘭共和國廣播電視臺（IRIB），並使用資料破壞軟體（Wiper）造成傷害。</p> <p>資料來源</p> <p>1. <a href="https://t.me/GonjeshkeDarandeOfficial/3">https://t.me/GonjeshkeDarandeOfficial/3</a><br /> 2. <a href="https://t.me/GonjeshkeDarandeOfficial/4">https://t.me/GonjeshkeDarandeOfficial/4</a><br /> 3. <a href="https://t.me/GonjeshkeDarandeOfficial/12">https://t.me/GonjeshkeDarandeOfficial/12</a><br /> 4. <a href="http://www.aljazeera.com/news/2023/12/18/iran-says-cyberattack-disrupts-petrol-stations-across-country">http://www.aljazeera.com/news/2023/12/18/iran-says-cyberattack-disrupts-petrol-stations-across-country</a></p> <p><a href="https://www.repubblica.it/tecnologia/2023/12/18/news/attacco_hacker_pubblica_amministrazione-421688193/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">雲端服務供應商Westpole傳出遭到勒索軟體LockBit攻擊，波及義大利政府機關部分服務運作</span></strong></a></p> <p></p> <p>根據義大利媒體La Repubblica的報導，當地雲端服務業者Westpole於12月8日遭到網路攻擊，波及他們的客戶PA Digitale，而這家公司仰賴Westpole提供的平臺Urbi，向義大利各個地方政府與組織提供服務。知情人士透露，駭客使用勒索軟體LockBit 3.0的變種攻擊Westpole，但並未在暗網的網站上列出該公司。</p> <p>此外，PA Digitale也遭到勒索軟體攻擊，從而導致公部門及市政府的多項服務癱瘓，部分以手動操作的方式提供服務。義大利網路安全機構Agenzia per la Cybersicurezza Nazionale（ACN）證實PA Digitale遭遇供應鏈攻擊，並著手協助復原受害組織的資料，有當地媒體指出，這起網路攻擊很有可能衝擊部分政府機關員工本月份的薪資。</p> <p>La Repubblica指出，Westpole目前可能僅復原了約50%的系統，但該公司強調尚未發現資料外洩的跡象。</p>  <p><a href="https://www.bleepingcomputer.com/news/security/vans-and-north-face-owner-vf-corp-hit-by-ransomware-attack/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">服裝品牌Supreme、Timberland、The North Face的母公司VF遭遇資安事故，營運被迫中斷</span></strong></a></p> <p></p> <p>根據資安新聞網站Bleeping Computer、SecurityWeek的報導，旗下擁有Supreme、Vans、Timberland、North Face等13個知名品牌的威富集團（VF Corporation），於上週呈報美國證券交易委員會（SEC）的8-K表單當中，透露了12月13日發生的網路攻擊事件，該公司在察覺網路出現未經授權存取的情況後，關閉了部分IT系統，並聘請外部資安專家遏止災害擴大。</p> <p>攻擊者加密了該公司的部分電腦，並竊取資料，當中含有個資，但受害範圍仍有待確認。而對於這起資安事故帶來的影響，威富認為對業務營運造成重大、長期的衝擊，客戶可能會面臨線上訂單交貨延遲，甚至是無法下單的情況，而全球實體零售門市仍維持正常運作。值得留意的是，由於這起網路攻擊事故發生在聖誕節購物季期間，帶來的衝擊可能會更加嚴重。</p> <p><a href="https://www.businesswire.com/news/home/20231218979935/en/Notice-To-Customers-of-Data-Security-Incident/"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">美國電信服務供應商Xfinity證實遭遇CitrixBleed漏洞攻擊</span></strong></a></p> <p></p> <p>美國電信業者Comcast旗下的子公司Xfinity於12月18日發布聲明，他們在10月25日進行的例行網路安全演練當中，發現內部網路環境出現可疑活動，經過進一步調查，10月16日至19日內部系統出現未經授權存取，而駭客入侵的管道，就是CitrixBleed漏洞（CVE-2023-4966）。</p> <p>11月16日該公司發現攻擊者竊取了客戶的資料，但數量有待確認，12月6日確認駭客存取的資料內容，包含了使用者的名稱、密碼的雜湊值，部分外洩的用戶個資，還涉及姓名、聯絡資訊、社會安全碼末4碼等類型的內容。對此，該公司也要求用戶重設密碼，但沒有透露受害人數。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://twitter.com/MsftSecIntel/status/1735351713907773711"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">聖誕節將至，駭客組織Storm-0539的禮物卡詐騙攻擊行動升溫</span></span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/wordpress-hosting-service-kinsta-targeted-by-google-phishing-ads/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">WordPress網站代管服務Kinsta提出警告，有人透過Google廣告發動攻擊，企圖竊取帳密資料</span></span></strong></a></p> <p></p> <p><a href="https://www.microsoft.com/en-us/security/blog/2023/12/15/patching-perforce-perforations-critical-rce-vulnerability-discovered-in-perforce-helix-core-server/"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">程式碼版本控制系統Perforce Helix Core存在漏洞，攻擊者有可能用於遠端執行任意程式碼</span></span></strong></a></p> <p></p> <p><a href="https://thehackernews.com/2023/12/beware-experts-reveal-new-details-on.html"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">研究人員揭露收信軟體Outlook零點擊漏洞攻擊鏈細節</span></span></strong></a></p> <p></p> <p><a href="https://www.kmdn.gov.tw/1117/1271/1272/562001"><strong><span style="font-size: 20px;"><span style="color: rgb(0, 0, 0);">金門租車業者金豐租車傳出資料外洩，呼籲客戶防範詐騙</span></span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/160387"><strong>【12月18日】新型態惡意軟體NKAbuse濫用區塊鏈進行傳輸資料、接收C2命令的工作，鎖定墨西哥、哥倫比亞、越南而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160355"><strong>【12月15日】小型路由器成中國駭客組織Volt Typhoon下手目標，駭客植入殭屍網路病毒，入侵受害組織進行間諜行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/160333"><strong>【12月14日】 OAuth應用程式身分驗證流程遭到濫用，駭客將其用於發動挖礦攻擊、商業郵件詐騙、散布大量垃圾郵件</strong></a></p> </div></div></div>
2023/12/19 17:39作者周峻佑https://www.ithome.com.tw/news/160433
MedTech醫療科技雙周報第30期：全美28家醫療機構響應白宮AI行政命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（1201～1215）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AI行政命令</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫院 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>全美28家醫療機構響應白宮AI行政命令</strong></span></p> <p>隨著生成式AI興起，越來越多國家制定相關法規，美國總統拜登也在今年10月底簽署AI行政命令，來規範AI的使用。最近，包含麻省總醫院、波士頓兒童醫院在內的全美28家醫療機構集結響應，在本月承諾將遵守FAVES原則，來發展AI應用，也就是使用公平、適當、經驗證、有效且安全的AI來輔助醫療作業。</p> <p>根據FAVES原則，這些機構將在用戶收到AI產生且未經審查或編輯的內容時，通知用戶，並且遵守基礎模型應用的風險管理框架。同時，這些機構還要負責任地調查、設計有價值的AI用途，比如打造促進健康公平的解決方案，或是擴大照護可及性和可負擔性、協調醫療照護作業、減少臨床醫生倦怠等類別的解決方案。</p> <p>另一方面，美國公布AI行政命令後，也要求美國衛生公共服務部（HHS）採取行動，來推動安全可靠、可信任的AI應用。這些行動包括制定負責任AI部署框架、制定相關政策和潛在的監管。該命令還指示HHS啟動新計畫，來記錄AI相關的安全事件，並撥款支援創新，也要確保醫療健康領域的AI部署方遵守非歧視法規。<a href="https://www.whitehouse.gov/briefing-room/blog/2023/12/14/delivering-on-the-promise-of-ai-to-improve-health-outcomes/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 韓國 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 遠距醫療 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 處方藥物 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>南韓擴大遠距醫療計畫，偏鄉地區開放假日、夜間遠距看診</strong></span></p> <p>南韓衛福部日前宣布12月15日正式啟動遠距醫療擴大計畫，包含3大原則，一是將遠距醫療視為實體診療的輔助手段，且要在安全情況下進行，再來是擴大可及性，包括允許過去6個月實體看診過的病患，不論何種疾病，只要在醫生評估、建議下可選擇遠距看診，另也允許98個緊急醫療服務不足的市、縣、區居民，即使沒有實體看診，也能在假日、夜間進行遠距看診。</p> <p>此外，擴大計畫也規定，醫生若認為患者不適合遠距診療，得以建議患者至醫院看診，並不觸犯拒絕提供醫療服務法規。該計畫也限制開藥類別，包括麻醉藥品、事後避孕藥等處方藥。同時，為防止處方造假和竄改，擴大計畫也禁止醫療機構與藥局直接轉帳，另也禁止使用App下載處方。</p> <p>南韓衛福部也表示，他們正與醫界積極溝通，不只拜訪首爾藥學會、醫師協會，還有內科、耳鼻喉科、兒科、家庭醫學、全科醫學會等，來解釋擴大計畫內容與目的，並收集醫界意見，要在接下來的實施過程中持續討論。<a href="https://www.mohw.go.kr/board.es?mid=a10503010100&bid=0027&cg_code=">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">Google</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健康照護 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google推出醫療專用LLM服務MedLM</strong></span></p> <p>經2年探索研究，Google在12月14日發布醫療級大型語言模型（LLM）服務MedLM，以Med-PaLM 2模型為基礎，提供大型和中型2種版本模型，供使用者用來解決醫療業務問題。目前，MedLM開放給Google自家Vertex AI平臺的授權用戶使用，也在全球特定市場提供預覽測試版。</p> <p>Google指出，MedLM中較大的模型是為複雜任務而設計，中型模型則能進行微調，適合在不同任務間進行擴展。他們也分享早期應用案例，比如勤業眾信使用MedLM，加速使用者從聊天機器人中找到所需的照護資源。接下來，Google將以Gemini模型為基礎，發展合適的模型並導入MedLM套件，來提供更多功能。<a href="https://taiwan.googleblog.com/2023/12/medlm-for-the-healthcare-industry.html">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中醫大附醫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MedLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>中醫大附醫採用醫療專科級MedLM打造AI輔助醫師</strong></span></strong></p> <p>中國醫藥大學附設醫院（中醫大附醫）院長周德陽日前宣布，採用Google新發表、以Med-PaLM 2打造的MedLM模型，來發展專科AI助手。在第一階段中，中醫大附醫將打造兩款Chatbot，一是給醫護人員使用的客製化癌症治療指引的專業用Chatbot，另一款是提供病人詢問的化療問答集Chatbot。例如，乳癌2期的病人有賀爾蒙問題，如何安排治療？Med-PaLM 2可在幾秒鐘內提供回答，甚至提供業醫療文獻參考。中醫大附醫是亞洲第一家採用這款醫療生成式AI模型Med-PaLM 2的醫學中心，後續還會發展更多AI助手。</p> <p>目前，中醫大附醫先取得Med-PaLM 2模型的使用權，來進行文字生成式內容的測試。測試時，以檢索增強生成（RAG）方法，參考國際癌症治療指引和中醫大附醫院內的癌症治療指引，來生成治療指引的回答。未來，他們也考慮以指令工程方式，將臺灣健保規則輸入到LLM，來優化回答的內容，更符合臺灣情境。<a href="https://www.cmuh.cmu.edu.tw/NewsInfo/NewsArticle?no=8616">（詳全文）</a></p> <blockquote><p><img alt="" src="https://www.cmuh.cmu.edu.tw//FileUploads/images/%e5%9c%96%e4%b8%89(4).jpg" /></p> <p>Google研究院傑出科學家暨資深總監 Greg Corrado，說明與中醫大附醫等醫學中心合作，測試並部署新的生成式 AI 解決方案，對建立安全且有用的 AI 技術是至關重要的一步。</p> </blockquote> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">臺北榮總 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 超級電腦 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北榮總自建超級電腦北榮一號雲</strong></span></p> <p>臺北榮總在12月6日亮相自家超級電腦「北榮一號雲」，要來加速北榮的精準醫療和智慧醫療發展。臺北榮總資訊室主任郭振宗表示，北榮一號雲的建置，參考了Nvidia的AI超級電腦DGX A100架構，由4節點共32張A100 GPU、NVLink和超高速網路交換器組成，是一套能提供強大算力的叢集運算平臺，要用來發展智慧醫療，包括疾病預後預測、基因序列資料分析、數位病理診斷、智能藥物開發、術前模擬、自然語言處理或語音平臺建置，甚至還有AR／VR的3D模型訓練等。</p> <p>同時，北榮還有全方位資料中心、創新運算架構和多功能軟體工具，來一起推動發展時下熱門的新技術應用，如生成式AI和LLM在醫學領域的創新應用，要來提高診斷精確性、加快各種疾病的個人化治療策略制定。郭振宗補充，未來北榮將視超級電腦的算力用量，超過80%就會展開擴充工作，再添新主機來提高算力。<a href="https://www.ithome.com.tw/news/160207">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8C%97%E6%A6%AE%E8%B6%85%E7%B4%9A%E9%9B%BB%E8%85%A6.jpg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">臺大醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 疾病分類編碼 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>臺大醫院用地端LLM優化疾病分類編碼任務</strong></span></strong></p> <p>臺大醫院揭露AI疾病分類編碼系統新進展，透過訓練本地端大型語言模型（LLM），來優化原系統，1秒就能產生住院病人的國際疾病分類編碼ICD-10-CM/PCS，包含診斷碼及處置碼。進一步來說，這套AI疾病分類編碼系統最初由臺大醫院醫務秘書陳信希領軍、由病歷資訊管理室主任莊秋華擔任計畫主持人，以去識別化的病歷資料和病人多樣態的就醫紀錄資訊，來訓練模型。這項AI疾病分類輔助系統於2022年3月在臺大醫院醫療體系上線，節省14%的人力工時外，還提升準確率。</p> <p>隨著生成式AI技術不斷進步，臺大醫院也訓練地端LLM來優化這套疾分編碼系統。為讓模型具備臨床知識，臺大團隊針對疾分編碼設計專屬訓練策略，結合院內外醫學語料、反覆調校，讓模型具備臨床判斷力。此外，透過周期性模型更新來修正模型預測結果，讓模型能正確預測新興疾病、新醫療技術與其他困難疾病編碼，提升編碼品質和效率。最新版AI疾病分類編碼系統在今年11月上線使用，效能突破先前版本，1秒即可產生住院病人疾病分類編碼。<a href="https://www.ntuh.gov.tw/ntuh/News.action?q_type=A01&q_itemCode=14139&agroup=a">（詳全文）</a></p> <p><img alt="" src="https://www.ntuh.gov.tw/ckfinder_file/ntuh/images/2023%E6%9C%80%E6%96%B0%E6%B6%88%E6%81%AF/20231128%E5%85%BC%E9%A1%A7%E7%A7%91%E6%8A%80%E5%89%B5%E6%96%B0%E4%B8%A6%E7%AC%A6%E5%90%88%E6%B3%95%E8%A6%8F%E8%A6%81%E6%B1%82%20%E8%87%BA%E5%A4%A7%E9%86%AB%E9%99%A2%E9%A6%96%E5%89%B5%E5%88%A9%E7%94%A8%E5%A4%A7%E5%9E%8B%E8%AA%9E%E8%A8%80%E6%A8%A1%E5%9E%8B%20%E8%90%BD%E5%9C%B0%E6%87%89%E7%94%A8%E6%96%BC%E7%96%BE%E7%97%85%E5%88%86%E9%A1%9E%E7%B7%A8%E7%A2%BC%20%E5%8F%96%E5%BE%97%E7%B6%93%E6%BF%9F%E9%83%A8%E6%99%BA%E6%85%A7%E8%B2%A1%E7%94%A2%E5%B1%80%E5%B0%88%E5%88%A9%20%E7%8D%B2%E9%A0%92SNQ%E5%9C%8B%E5%AE%B6%E5%93%81%E8%B3%AA%E6%A8%99%E7%AB%A0%E5%8F%8A%E5%9C%8B%E5%AE%B6%E6%96%B0%E5%89%B5%E7%8D%8E-NTUH%E6%99%BA%E6%85%A7%E7%B7%A8%E7%A2%BC.jpg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 亞東醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 喉癌 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聯邦學習 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>亞東醫院用聯邦學習建早期喉癌嗓音偵測AI</strong></span></strong></p> <p>在今年臺灣醫療科技展中，亞東醫院展示一款早期喉癌嗓音偵測AI，結合了遠距醫療平臺，民眾在醫院App掛號時，就能先錄製5秒「啊」音，讓系統自動分析喉癌風險，準確率達8成。</p> <p>該AI採用英特爾OpenFL聯邦學習架構，自2023年初由亞東醫院發起聯邦學習專案，與臺中榮總和美國一家大學附設醫院使用OpenFL平臺，來訓練模型、讓模型學會辨識喉癌風險的喉音。其中，亞東醫院利用2千筆2-3秒的喉癌患者錄音來訓練模型，另透過英特爾技術協助，能在工作負載不高時自動啟動醫院CPU資源，用來訓練模型。這個AI喉癌嗓音辨識功能整合了遠傳電信開發的遠距醫療平臺，要供偏鄉地區民眾使用，在掛號時就能先自行檢測風險。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6032.jpg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_6037.jpg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 加護病房 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺北榮總 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>北榮啟用智慧科技加護病房</strong></span></strong></p> <p>12月初，臺北榮總啟用智慧科技加護病房，要來因應未來新興傳染病。這是北榮投資將近1億元新建的15間智慧負壓隔離加護病床，位於北榮科技大樓，能與主要的住院大樓分艙分流。</p> <p>他們還在病房中導入商用和自行研發的多種科技，比如AI防護衣穿脫魔鏡、溼洗手監測系統，以及能進行影像監視與呼吸器遠端調控的分散式衛星護理站，以利於傳染病照護。此外，他們設置智慧電視與三方視訊系統，同時導入機器人來協助護理師傳送物資、減少人員暴觸風險。這些病房可在疫情發生時，提供符合防疫標準的負壓隔離重症治療，平時則可作為一般呼吸系統重症加護病房。<a href="https://www.vghtpe.gov.tw/News!one.action?nid=12973&gcode=A01">（詳全文）</a></p> <p>圖片來源／中醫大附醫、臺北榮總、臺大醫院</p> <p>攝影／王若樸</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. <a href="https://www.nhi.gov.tw/News_Content.aspx?n=FC05EB85BD57C709&sms=587F1A3D9A03E2AD&s=1ADF69AAF1A6DD8A">健保署舉辦虛擬健保卡研討會</a>，目前已核發近65張虛擬卡</strong></strong></p> <p><strong><strong>2. 緯謙科技聯手醫電數位打造FHIR平臺，還導入敏盛綜合醫院和智醫城診所</strong></strong></p> <p>資料來源：iThome整理，2023年12月</p> </div></div></div>
2023/12/19 19:20作者王若樸https://www.ithome.com.tw/news/160439