iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

ONNX Runtime 1.17讓開發者可在瀏覽器訓練模型，支援聯合學習用例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟更新AI推論與訓練加速引擎ONNX Runtime（ORT），加入<a href="https://cloudblogs.microsoft.com/opensource/2024/02/06/on-device-training-training-a-model-in-browser/">網頁訓練功能</a>，讓開發者在瀏覽器中啟用模型訓練功能，使得裝置的上資料能夠藉由瀏覽器進行聯合學習和個人化應用，在保護使用者隱私的同時，也能發展創新應用。</p> <p>從1.8版本開始，ORT提供瀏覽器內推論功能，讓開發人員可以部署跨平臺可移植機器學習模型，支援在CPU和GPU進行推論，處理過程透過WebGL和WebGPU進行，而隨著WebGPU的發展，瀏覽器擁有更強的圖形和運算能力，也就能夠在瀏覽器進行更多的機器學習應用。</p> <p>而在最新的ONNX Runtime 1.17中，現在進一步支援在瀏覽器訓練機器學習模型，這個訓練子模型透過ORT Web NPM套件提供。微軟強調，原本用於推理的ORT Web二進位檔案大小並不會改變，即便匯入訓練子模組，開發者還是可以使用推論功能。</p> <p>目前的模型訓練只支援以CPU單執行緒運算，網頁模型訓練功能的主要由兩個部分組成，分別是WebAssembly二進位檔案和JavaScript套件。由於要讓開發者可以在瀏覽器使用CPU來訓練機器學習模型，ONNX Runtime提供訓練功能應用程式介面C API，但是瀏覽器不能直接執行C語言程式碼，所以需要用上WebAssembly。</p> <p>WebAssembly是可以在網頁瀏覽器執行的低階語言，能夠將不同語言編寫的程式碼，轉換成在瀏覽器中高效運作的格式，如此開發者便可以在瀏覽器直接使用ONNX Runtime訓練功能。微軟將ONNX Runtime模型訓練用的C++程式碼，封裝成WebAssembly C API，並使用Emscripten工具將該API編譯成.wasm二進位檔案。</p> <p>JavaScript API則簡化並抽象了存取WebAssembly API的過程，管理諸如緩衝區轉換和WebAssembly堆疊管理等工作。ORT Web套件會評估執行環境，確認適當的配置，像是單指令流多資料流（SIMD）的可用性等，並利用動態載入選擇性使用訓練二進位檔案。</p> <p>微軟提到，在開始ONNX Runtime訓練之前，存在離線的準備步驟。開發者需要運用ONNX生態系工具產生需要的ONNX構件（artifacts），該離線步驟不會在訓練模型的邊緣裝置上進行，而是會先在沒有訓練資料的個人機器和伺服器完成，待構件準備完成後，便可以傳輸到邊緣裝置，開始在邊緣裝置上進行網頁訓練。</p> <p>瀏覽器中使用ONNX Runtime訓練可以支援聯合學習應用，並且讓開發者可以在瀏覽器中更好地發展機器學習應用。聯合學習是一種機器學習技術，讓多個裝置協作訓練模型，但是又不需要共享資料。</p> <p>ONNX Runtime讓開發者在單一瀏覽器會話（Session）中訓練模型，支援開發者在瀏覽器中探索和實驗機器學習模型的過程，且訓練的模型並不需要供未來使用，這類實驗通常是暫時的，也就是當瀏覽器關閉，訓練的模型和結果皆不會保存。微軟計畫之後也要支援其他裝置上訓練場境，像是保證用戶資料隱私的個人化模型。</p> </div></div></div>
2024/2/12 17:04作者李建興https://www.ithome.com.tw/news/161262
YouTube開源腳本範例，協助創作者自動化影片編輯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YouTube在GitHub成立新組織YouTubeLabs，<a href="https://opensource.googleblog.com/2024/02/youtube-releases-scripts-to-help-partners-and-creators-optimize-work.html">提供公開可用的腳本</a>，幫助YouTube合作夥伴與創作者自動化常見的使用案例，降低管理YouTube內容所需付出的成本。現在YouTube於YouTubeLabs的code-samples儲存庫中，提供一系列應對各種情境的開源腳本。</p> <p>開源腳本適用的情境包括批次編輯影片、分析YouTube的分析資料、下載並分析YouTube Studio內容管理報告，以及內容普及和國際化等任務。這些腳本主要仰賴公開的YouTube API以及Google API，Google也附上了詳細的文件和註解，方便用戶能夠依需求修改。</p> <p>考慮降低程式碼存取障礙，讓用戶可以盡可能以最少的配置和安裝用到這些程式碼，因此Google採用Colab（Google Colaboratory）和Apps Script工具。Colab是免費的雲端Jupyter筆記本環境，讓用戶可以簡單在瀏覽器操作Python程式碼，而且透過與Google Drive整合可方便儲存構件。Apps Script則是無伺服器平臺，供開發者編寫可在Google伺服器上運作的腳本。</p> <p>Google認為，這項措施將有助於提升YouTube生態系的開放性和可擴展性，同時也支援創作者和開發者社群，使其更有效地管理和擴展YouTube頻道的影響力。YouTubeLabs中的開源程式碼範例，可以讓YouTube合作夥伴與創作者更簡單地進行自動化操作，減少手動處理的需求，進而提高效率。</p> </div></div></div>
2024/2/12 17:37作者李建興https://www.ithome.com.tw/news/161263
可使用Gemini 的Google One AI進階版正式推出，臺灣也已上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上星期宣布(<a href="https://www.ithome.com.tw/news/161254">https://www.ithome.com.tw/news/161254</a>) Bard改名為Gemini及收費的Gemini 進階版方案。為了增加誘因，Google也宣布推出Google One AI進階版方案，最大賣點是消費者可在Gmail、Docs、Sheets、Slides與Meet應用程式中，免費使用Gemini。</p> <p>上周Google執行長Sundar Pichai<a href="https://twitter.com/sundarpichai/status/1755988540037730738">透過X公開宣布</a>Google One突破1億訂閱用戶，並希望剛推出的AI進階版方案持續Google One這股成長動能。</p> <p></p><div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">We just crossed 100M Google One subscribers! Looking forward to building on that momentum with our new AI Premium Plan (launched yesterday) offering AI features like Gemini Advanced, plus Gemini in Gmail, Docs + more coming soon. <a href="https://t.co/m7zAVop7P6">https://t.co/m7zAVop7P6</a> <a href="https://t.co/sMdwJeq0iU">pic.twitter.com/sMdwJeq0iU</a></p> <p>— Sundar Pichai (@sundarpichai) <a href="https://twitter.com/sundarpichai/status/1755988540037730738?ref_src=twsrc%5Etfw">February 9, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p>Google One AI進階版作為雲端硬碟Google One的新增版本，使用此項服務的用戶需登入個人Google帳戶，如果沒有Google帳戶，則需要建立帳戶。Google One AI進階版價格和Gemini 進階版同為20美元（新臺幣650元），差異在於在Google服務可免費使用Gemini（目前僅支援英文版AI功能），並提供2 TB儲存空間。</p> <p>目前Google One AI進階版已在臺灣等多個個國家上線，加入者可獲得2個月免費試用。值得注意的是，雖然Google One有家庭共享方案，但Google提醒，Gemini不能提供其他家庭成員使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Google One AI 進階版PLAN.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20One%20AI%20%E9%80%B2%E9%9A%8E%E7%89%88PLAN.png" style="width: 600px;" /></a></p> </div></div></div>
2024/2/12 18:17作者林妍溱https://www.ithome.com.tw/news/161264
傳蘋果買了高達32家AI新創公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>分析機構<a href="http://stocklytics.com/content/apple-sets-new-record-acquires-32-ai-startups-in-2023-the-highest-among-major-tech-companies/">Stocklytics引述Statista</a>分析各大廠近年的AI公司收購數量。其中蘋果以32家居冠，其次是Google、Meta、微軟及Amazon，也都買了10家到21家。</p> <p>Stocklytics 財務分析師Edith Reads指出，在AI武力競賽期間，相對微軟及Google在已經成名的AI公司身上做了巨額投資，蘋果則是完成多家AI新創公司的交易。透過收購潛力AI新創公司，蘋果得以取得優秀人材、創新科技及強化在關鍵AI領域佔得優勢，以確保在未來技術產業版圖的競爭實力．</p> <p><a href="https://s4.itho.me/sites/default/files/images/Statista artificial intelligence startups acquisitions.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Statista%20artificial%20intelligence%20startups%20acquisitions.png" style="width: 400px;" /></a></p> <p>在收購的AI公司方面，根據Stocklytics報導，蘋果2020年買下可理解自然語言提供協助的語音助理，意在強化Siri；2023年3月，該公司買下WaveOne影像壓縮技術供應商；其他生力軍包括Emotient、Laserlike、Drive.AI和AI.Music，其技術可整合於iPhone、Apple Watch及Mac電腦等。</p> <p>對於公司合併，蘋果向來公開表達的立場是：他們偶爾會買下小型公司，但不會公開評論其收購目的。</p> <p>最新統計也呼應蘋果執行長Tim Cook上個月財報會議指出，蘋果投入大量時間及心力，以便將生成式AI整合到其軟體平臺。該公司也計畫在今年內，陸續公布研發成果細節。</p> <p>關於公司本身發展的AI技術成果，蘋果去年12月公布多模態AI模型Ferret，上周又<a href="https://www.ithome.com.tw/news/161244">開源</a>可根據自然語言指令編修圖片的多模態AI模型MGIE。</p> </div></div></div>
2024/2/12 16:05作者李宗翰https://www.ithome.com.tw/news/161261
思科準備裁撤數千名員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《路透社》（Reuters）<a href="https://www.reuters.com/business/cisco-cut-thousands-jobs-it-seeks-focus-high-growth-areas-sources-2024-02-09/">上周引述消息來源報導</a>，網通設備大廠思科（Cisco）計畫重整業務並展開裁員，可能波及數千名員工，目前尚未確定實際裁員人數，猜測將於本周三（2/14）公布財報一同揭露。</p> <p>思科目前的全球員工數為84,900人，上一次大裁員是在2022年裁撤了4,000名人力，約占當時總員工數的5%，去年則裁撤數百名員工。</p> <p>根據報導，此次思科的組織重整行動是為了專注於追求高度成長的領域，不過，目前思科尚未回應《路透社》或其他媒體的詢問。</p> <p>眾多的科技業者在這一年來大規模縮減人力，從Amazon、Alphabet、微軟到Nokia，都裁撤了超過1萬名員工，根據<a href="https://layoffs.fyi/">Layoffs.fyi網站的統計</a>，去年總計有1,191家科技公司裁撤超過26萬名人力，今年以來，也已經有上百家科技公司裁撤逾3萬名人力。</p> </div></div></div>
2024/2/12 12:54作者陳曉莉https://www.ithome.com.tw/news/161259
法國兩家支付業者外洩客戶個資，波及法國總人口數的一半
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國資料保護機構<a href="https://www.cnil.fr/fr/violation-de-donnees-de-deux-operateurs-de-tiers-payant-la-cnil-ouvre-une-enquete-et-rappelle-aux">CNIL上周宣布</a>，該機構正在調查兩家支付業者者Viamedis與Almerys的資料外洩事件，這兩家業者替許多健康保險業者提供第三方支付服務，並在今年1月遭到網路攻擊，外洩了逾3,300萬名客戶的個資。目前法國約有6,800萬的人口，等於有接近一半民眾的個資遭駭。</p> <p>不過，根據《通用資料保護規則》（GDPR）的規定，受害用戶必須由Viamedis與Almerys直接並單獨通知，因此CNIL並無法取得相關資料，只能建議受害者對於所收到有關醫療保險的請求時必須提高警覺，並定期檢查帳戶的活動。</p> <p>外洩資料涵蓋了投保人與家人的各種資訊，包括社會安全碼、出生日期、健保業者的名稱，以及合約內容。而醫療資訊、金融資訊、郵政資料與電話號碼則未受到影響。</p> </div></div></div>
2024/2/12 13:09作者李宗翰https://www.ithome.com.tw/news/161260
Mozilla執行長將在二月底下臺，將尋求繼任者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Firefox開發商Mozilla執行長Mitchell Baker二月底下臺，將另尋下任掌舵者。</p> <p>Baker上周五親自在官方部落格<a href="https://blog.mozilla.org/en/mozilla/a-new-chapter-for-mozilla-laura-chambers-expanded-role/" target="_blank">宣布此事</a>。Baker是在2019年從Chris Beard接下執行長一職。在此之前，Baker擔任Mozilla董事。她解釋，5年來她同時在轉變期領導Mozilla，又要監管公司更大使命，但顯然二者都必須有專人全職投入。在卸下執行長一職，Baker將退回Mozilla公司執行董事一職。</p> <p>Baker遺缺將由董事成員<a href="https://www.linkedin.com/in/chamberslaura/" target="_blank">Laura Chambers</a>接任暫時執行長直到年底。她在三年前加入Mozilla。在此之前Chamers曾在Airbnb、PayPal、eBay任職，其職責在強化願景和策略，以及致力核心產品如Firefox瀏覽器的開發，與開發新產品的能力。</p> <p>Mozilla近年面臨極大挑戰。Firefox曾是排名僅次Google Chrome的瀏覽器，但近年逐漸流失用戶。根據市調公司<a href="https://gs.statcounter.com/browser-market-share" target="_blank">StatCounter的資料</a>，截至今年1月，Firefox在各平臺市占僅剩3.3%，落在蘋果Safari（18.86%）及微軟Edge（5.35%）之後。Mozilla力圖開發能帶進營收的新服務，本月稍早<a href="https://www.ithome.com.tw/news/161231" target="_blank">推出Mozilla Monitor Plus</a>付費訂閱服務，可在用戶個資外洩時通知用戶。</p> </div></div></div>
2024/2/10 19:17作者林妍溱https://www.ithome.com.tw/news/161257
Linux基金會偕Google、IBM業界聯手研發後量子加密演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為因應量子電腦可能破解現有加密演算法，<a href="https://www.linuxfoundation.org/press/announcing-the-post-quantum-cryptography-alliance-pqca" target="_blank">Linux基金會上周宣布</a>與Google、IBM、AWS等業者，以及研究與開發人員組成後量子加密聯盟（Post-Quantum Cryptography Alliance，PQCA），以提供新一代加密演算法的技術資源。</p> <p>PQCA創始會員包括Amazon Web Services（AWS）、思科、Google、IBM、Nvidia、以及滑鐵盧大學等組織，目的是成為後量子時代加密演算法開源專案的中心基地，提供符合美國國安局針對商用國家安全演算法套件（Commercial National Security Algorithm 2.0）網路安全公告的函式庫、套件給需要人士和組織。</p> <p>為此，PQCA將以創始會員業者過去十年來的後量子加密法研發成果為基礎，進行多項技術專案，包括評估、開發和部署後量子演算法的技術專案。之後Linux基金會將提供軟體實作以促進不同產業採用後量子加密演算法。這些技術基礎包括美國國家標準及技術研究院（National Institute of Standard and Technology，NIST）後量子加密標準化專案所選定第一批4種演算法，包括CRYSTALS-Kyber、CRYSTALS-Dilithium、Falcon及SPHINCS+。</p> <p>PQCA已啟動的專案之一，是由滑鐵盧大學2014年推動的開放量子安全（Open Quantum Safe）專案，它是全世界第一批抗量子演算法的開源碼專案。另一專案則為PQ程式碼套件專案（PQ Code Package），將建立配合未來抗量子加密標準，像是ML-KEM演算法的軟體實作。</p> <p>PQCA的現有資源可在其<a href="https://pqca.org/" target="_blank">官網</a>或<a href="https://github.com/pqca" target="_blank">GitHub</a>取得。PQCA也歡迎其他產學組織加入。</p> <p>值得一提的是，也提供量子雲服務、研發量子硬體的微軟並未加入。</p> </div></div></div>
2024/2/10 19:44作者林妍溱https://www.ithome.com.tw/news/161258
Google釋出可大規模建置GNN的函式庫TensorFlow GNN 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布<a href="https://blog.research.google/2024/02/graph-neural-networks-in-tensorflow.html">TensorFlow GNN 1.0</a>（TF-GNN），這是一個可用於大規模建立圖神經網路（Graph Neural Network，GNN）的函式庫，支援在機器學習框架TensorFlow中建立和訓練模型，並且從龐大的資料儲存中擷取輸入圖（Graph）。</p> <p>圖神經網路是一個重要且強大的技術，結合圖的連接性，以及節點和邊上的輸入特徵，可對整個圖進行預測，用於解決化學領域，預測分子的反應方式等問題，或是對個別節點進行預測，像是可以根據文件的參照文獻預測文件的主題，也能對潛在的邊進行預測，讓零售業用於預測不同產品一起被購買的機率。</p> <p>除了用於圖預測之外，GNN還能夠作為連結傳統神經網路應用與圖資料的橋樑，以連續的方式，對圖的離散關係資訊進行編碼，使其自然地融入在另一個深度學習系統中。</p> <p>而Google現在於TensorFlow中添加TF-GNN這個方便的工具，供開發者可以大規模建立GNN。TF-GNN是專為處理異構圖設計的工具，而所謂的異構圖，是指圖中的節點和邊，可以代表不同類型的物件和關係，以社交網路為例，節點可以代表人或是團體，而邊則代表節點之間的關係，如朋友關係或是追蹤關係。不同類型的節點和邊，能夠表示現實世界中物件及之間的關係。</p> <p>在TensorFlow中，異構圖會被封裝成一個稱為tfgnn.GraphTensor的物件，這是一個複合張量類型，也就是在一個Python類別中整合了多個張量，GraphTensor儲存了圖的結構和特徵，包括附加在節點、邊上的特徵，以及整個圖的特徵。</p> <p>開發者可以透過高階的Python類神經網路函式庫Keras API中的Layers物件操作，或是直接使用tfgnn.GraphTensor原始類型，來定義GraphTensor的可訓練轉換。這代表開發者可以像設計一般神經網路層那樣設計和訓練GNN模型，進而處理和學習圖資料的複雜結構和特徵。TF-GNN讓在深度學習框架中，處理和學習圖結構變得直覺和方便，特別是用於處理那些複雜關係和多種類物件的圖資料。</p> </div></div></div>
2024/2/10 00:34作者李建興https://www.ithome.com.tw/news/161253
Nvidia、微軟、OpenAI等200餘業者加入美政府號召的AI安全同盟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國政府號召成立AI安全產學同盟，以促進AI安全，獲得Nvidia、微軟、OpenAI等200多家業者加入響應。</p> <p>美商務部長Gina Raimondo周四<a href="https://www.commerce.gov/news/press-releases/2024/02/biden-harris-administration-announces-first-ever-consortium-dedicated" target="_blank">宣布成立美國AI安全協會同盟</a>（U.S. AI Safety Institute Consortium，AISIC），聯合AI開發商、使用者、學界、政府、產業研究人員及公民組織，旨在開發部署安全與值得信賴的AI。</p> <p>美總統拜登去年發布AI安全行政命令，宣布設立安全標準及保護AI創新二大目標，AISIC依此成立。</p> <p>該同盟成員涵括200多家廠商、組織等，AI、雲端、網路安全相關的主要業者都到齊了，包括Amazon、蘋果、Nvidia、高通、微軟、Google、OpenAI、Anthropic、Hugging Face、IBM、HPE、思科等，他們將致力於建立AI安全的新量測科學方法。</p> <p>這是美國政府部門最新一項推動AI安全政策性行動。去年拜登的行政命令中，要求AI公司將提交安全測試報告，並要求雲端業者向美國商務部通報訓練AI模型的外國客戶，以防範中國的AI國安威脅。<a href="https://www.ithome.com.tw/news/161093" target="_blank">截至1月底</a>，包括國土安全部、能源、財政或運輸等9大部會已完成了AI使用的基礎架構風險評估，而商務部可望不久後，將公布要求雲端平臺提供國外客戶訓練AI資訊的命令。</p> </div></div></div>
2024/2/10 00:44作者林妍溱https://www.ithome.com.tw/news/161256
微軟更新VS Code Python與Jupyter擴充套件，重點強化程式碼除錯能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出了<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-february-2024-release/">VS Code Python與Jupyter擴充套件2月更新</a>，除了預設安裝Python除錯器擴充套件之外，Jupyter擴充套件也內建變數檢視器，方便開發者監控變數狀態。Pylance擴充套件則引入新的診斷規則，可以進一步最佳化程式碼品質。另外，VS Code新支援觸發中斷點（Triggered Breakpoint），協助開發者靈活且精確地找出程式碼錯誤。</p> <p>Python除錯器擴充套件現在會預設和Python擴充套件一起安裝。微軟提到，Python除錯器擴充套件的功能，目的在於將除錯功能和Python擴充套件功能分開，以避免相容性的問題。這確保即便是Python擴充套件放棄支援舊版Python版本，開發者也可以繼續使用這些版本除錯專案，而不需要降級Python擴充套件。</p> <p>Jupyter擴充套件在執行和除錯面板中，新增了一個實驗性變數檢視器，該內建變數檢視器可用於查看筆記本核心中的變數，協助開發者在程式碼執行時，監控程式中的變數，對於程式碼除錯特別好用，因為開發者可以即時監控變數的值。</p> <p>Pylance擴充套件也加入了新的診斷規則。Pylance是Python語言伺服器擴充功能，是以微軟的Pyright靜態型別檢查器為基礎建置，提供了一系列強化Python程式開發體驗的功能。在Pyright最新的更新中，reportGeneralTypeIssues診斷規則已經被修改，允許開發者對診斷進行更細緻的控制，這個改變現在也於Pylance中調整。</p> <p>這項變更使開發者可以更精確地控制哪些型別問題應該被報告，更好地適應不同的開發需求和專案標準，藉由這種細緻的控制，開發者可以根據偏好和專案特定要求，調整型別檢查的嚴格程度，在確保程式碼品質的同時，保有開發的靈活度。</p> <p>VS Code現在還支援觸發中斷點，觸發中斷點是在遇到另一個中斷點時，自動啟用的中斷點，可用於診斷當特定條件發生後才出現的錯誤，使開發者精確控制除錯過程，只在特定的執行路徑或是條件啟用部分中斷點，能夠在複雜程式碼或是在難以重現的錯誤出現時，更深入地理解程式碼的執行流程，精確定位問題所在。</p> </div></div></div>
2024/2/10 00:56作者李建興https://www.ithome.com.tw/news/161255
Google Play Protect將加強防堵金融詐欺，新加坡先行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2024/02/piloting-new-ways-to-protect-Android-users-from%20financial-fraud.html" target="_blank">Google本周宣布</a>，將進一步加強Google Play Protect對金融詐欺的防堵能力，在Android用戶嘗試自瀏覽器、傳訊程式或檔案管理員等來源安裝程式時，會自動分析並封鎖那些可能使用敏感許可的程式，並率先於新加坡展開測試；像是可接收簡訊（RECEIVE_SMS）、閱讀簡訊（READ_SMS）、可用來讀取或忽略其它程式通知（BIND_Notifications），以及無障礙等許可（Accessibility），因為這些許可經常被用來進行金融詐欺。</p> <p>Google在2017年推出的Google Play Protect可在使用者自Google Play下載程式時進行程式的安全檢查，也會檢查使用者裝置是否存在來自其它來源的潛在有害應用程式，也可能從裝置中停用或刪除有害程式，針對潛在有害或垃圾程式提出警告，有時可重置應用程式許可權，並防止安裝未經驗證的應用程式。</p> <p>去年10月，Google進一步發表Google Play Protect的強化即時掃描功能，會針對使用者所安裝的、從未掃描過的應用程式進行即時掃描，並將程式中的重要訊號傳送至Google Play Protect的後端架構進行程式碼等級的評估，再將結果傳送予使用者。該功能目前已部署至新加坡、印度、泰國及巴西的Android裝置上。</p> <p>本周的新功能則主要是為了預防來自網路側載來源的金融詐欺，包括那些利用瀏覽器、傳訊程式或檔案管理員所安裝的程式，即時檢查這些程式所宣告的許可權是否涉及RECEIVE_SMS、READ_SMS、BIND_Notifications與Accessibility，因為這些許可經常遭到詐騙份子濫用，包括攔截簡訊與通知的一次性密碼，或是查看螢幕上的內容。</p> <p>根據Google針對採用敏感許可權之主要詐騙惡意程式家族的分析，有超過95%的安裝都是來自於網路側載來源。因此，當新加坡用戶要從網路側載程式時，只要相關程式宣告了上述任何一個許可，Google Play Protect即會自動阻止其安裝，並向用戶說明。</p> <p>這次Google是與新加坡的網路安全局（Cyber Security Agency，CSA）合作，並已通過新加坡政府的測試，將會在具備Google Play服務的Android裝置上推出。</p> </div></div></div>
2024/2/9 17:24作者陳曉莉https://www.ithome.com.tw/news/161252
Windows也有Sudo了！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>之前就有用戶猜測，Windows 11將會提供類UNIX作業系統中的Sudo程式，果真微軟現在於Windows 11 Insider Preview Build 26052中，<a href="https://devblogs.microsoft.com/commandline/introducing-sudo-for-windows/">加入適用於Windows的Sudo</a>，允許用戶直接從未提升權限的控制臺執行提升權限指令。目前微軟已經在GitHub開源Sudo for Windows專案。</p> <p>Sudo已經是類UNIX作業系統用戶熟悉且廣泛使用的工具，允許普通使用者不需要切換到Root使用者，就可執行特定的管理指令。當前Windows也有提供提升權限操作，但是方法都不如Sudo的方便，現在Sudo for Windows讓用戶在使用提升權限指令時，不需要事先開啟提升權限控制臺，或是執行繁瑣的操作。如此不只提高了效率，也提升操作安全性，因為使用者可以更精確地控制要使用提升權限執行的指令。</p> <p>現在用戶要在Windows使用Sudo，需要先從在設定中的開發人員頁面，開啟Sudo選項，或是從提升權限的控制臺對話中，以指令啟動Sudo。</p> <p>Sudo for Windows提供了三種配置選項，供用戶在不同情境下使用，第一種是在新視窗中執行的預設選項，系統會在一個新的提升權限視窗中執行指令；第二種則是關閉輸入選項，系統會在當前視窗以提升權限執行指令，但是不接受任何輸入，適用於不需要進一步輸入的指令；第三種則是行內（Inline）選項，讓提升權限的指令在當前視窗中運作，並且接受輸入和顯示輸出，類似其他作業系統的Sudo行為。</p> <p>當用戶使用Sudo從命令列提升程序權限時，系統會彈出UAC對話框，要求使用者確認權限提升，之後程序便會根據使用者選擇的配置選項運作。在新視窗中執行的選項，新視窗會使用和該視窗相同的工作目錄和環境變數，而關閉輸入和行內選項，sudo.exe會啟動一個新的提升權限程序，原始未提升的sudo.exe與提升權限的sudo.exe建立遠端程序呼叫（RPC）連線，資訊會從未提升的sudo實例傳遞到提升權限的實例。</p> <p>也就是說，來自未提升程序的控制臺控制碼（Handle）會被傳遞到已提升權限的程序，因此提升的程序可以讀取輸入，並且寫入輸出到未提升的程序，但是關閉輸入配置因為不會傳遞控制臺的控制碼，因此無法讀取使用者輸入。</p> <p>使用者需要特別注意行內模式可能存在安全風險，因為中等完整性程序（Medium Integrity Process）可能控制提升權限程序，而關閉輸入模式這類風險較低，畢竟無法讀取用戶的輸入。</p> </div></div></div>
2024/2/9 17:38作者李建興https://www.ithome.com.tw/news/161249
Google Bard改名為Gemini，推出綁2TB硬碟的Google One AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周開發人員<a href="https://www.ithome.com.tw/news/161175" target="_blank">發現</a>Google Bard將改名的消息，<a href="https://blog.google/technology/ai/google-gemini-update-sundar-pichai-2024/" target="_blank">Google昨（8）日正式宣布Bard改名為Gemini</a>，與全新付費版本Gemini Advanced及結合2TB雲端硬碟的Google One AI Premium方案。</p> <p>Google執行長Sundar Pichai指出，去年12月Google<a href="https://www.ithome.com.tw/news/160193" target="_blank">宣布</a>多模態AI模型Gemini，標示Gemini時代的來臨，但隨著Gemini發展，它不再只是模型，而是整個生態系，涵括用戶使用的產品、開發用的API及平臺。</p> <p>Gemini原本是Bard的底層模型，昨日Google宣布Bard將反映技術核心，更名為Gemini，將支援40種語言，上線地區則為除了英國及歐洲經濟區以外的150餘國。Workspace和Google Cloud中的AI助理，也會在這波品牌變革中換上新名字。</p> <p>Gemini聊天機器人有二個版本，一是免費AI聊天機器人，二是全新付費版本Gemini Advanced。Gemini Advanced（下圖）主打以最強大AI模型版本Ultra 1.0為底層。Ultra 1.0號稱是首個在大量多任務語言理解（massive multitask language understanding，MMLU）上超越人類專家的AI模型，它整合使用57種主題，包括數學、物理、歷史、法律、醫學和倫理學等來測試知識及問題解決能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0209-gemini%20advanced-1.png" style="width: 450px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0209-google%20gemini%20advanced-2.png" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Google</span></span></p> <p><a href="https://gemini.google.com/advanced" target="_blank">Gemini Advanced</a>收費標準為每人每月20美元（或650元臺幣）。雖然Advanced版的模型較強大，且可用在Gmail、Docs上，可惜<a href="https://www.reddit.com/r/Android/comments/1alv9of/gemini_advanced_get_access_to_googles_most/" target="_blank">Reddit用戶發現</a>，Advanced版無法分享給家庭成員。</p> <p>免費的Gemini則是以Gemini Pro 1.0模型為底層模型。</p> <p>在App方面，Gemini已推出<a href="https://gemini.google.com/app" target="_blank">Web版</a>及<a href="https://play.google.com/store/apps/details?id=com.google.android.apps.bard" target="_blank">Android版</a>。為改良Gemini App採用的技術，用戶與Gemini的對話會經由人工審查員處理，因此，Google提醒用戶勿輸入不想讓別人看到或供Google使用的內容。至於iOS版，用戶需以Google App存取這服務。</p> <p>之前<a href="https://9to5google.com/2024/02/03/google-bard-gemini-rebrand-android-app-date/" target="_blank">有媒體發現</a>，Gemini Android App是由Google Assistant App改寫，因此，下載Gemini Android版App後，Assistant App就會變成Gemini。</p> <p>Gemini模型將支援Google服務，包括Workspace和Google Cloud。隨同品牌變更，Workspace AI助理Duet AI將改名為Gemini for Workspace，即將推出的全新<a href="https://one.google.com/explore-plan/gemini-advanced" target="_blank">Google One AI進階版方案</a>，可讓消費者直接在Gmail、Docs、Sheets、Slides與Meet免費使用Gemini。</p> <p>Google Cloud的Duet AI未來幾個星期內也會改名Gemini，協助文件作業、寫程式、防範網路攻擊等。Google下周會再進一步公布Gemini在開發及Cloud方面的新功能。</p> </div></div></div>
2024/2/9 18:03作者林妍溱https://www.ithome.com.tw/news/161254
FCC解釋性裁決認定自動語音電話使用AI生成語音非法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>依據《電話消費者保護法》（TCPA）<a href="https://www.fcc.gov/document/fcc-makes-ai-generated-voices-robocalls-illegal">FCC做出了一項解釋性裁決</a>，認定使用人工智慧生成語音進行通話，在TCPA下會被視為人工（Artificial）語音，也就是說，執法單位現在不僅能針對人工智慧語音生成的騷擾電話所造成的負面結果採取行動，也能打擊在騷擾電話中採用人工智慧生成語音的行為。</p> <p>人工智慧在增進人們生活品質與生產力的同時，也帶來詐欺與誤導訊息等負面影響，FCC主席Jessica Rosenworcel指出，不法份子使用人工智慧生成語音，在未經請求的騷擾電話中，勒索家庭成員，模仿名人甚至誤導選民。州檢察長將會運用新工具打擊這些詐騙，讓公眾免受詐欺和誤導資訊的侵害。</p> <p>事實上，這些詐騙電話在過去幾年逐漸增加，生成式人工智慧被濫用於模仿名人、政治候選人，或是家庭成員來混淆視聽、傳播錯誤資訊。在美國雖然各州檢察長，過去只能打擊人工智慧語音生成的騷擾電話所造成的結果，像是詐欺等行為，但現在FCC所做的這項解釋性裁定，這代表人工智慧生成語音現在被納入現有法律框架中，適用人工或是預錄語音訊息的規範，讓騷擾電話中使用人工智慧語音的行為本身成為非法，擴大執法機構可根據法律追究行為者責任的途徑。</p> <p>《電話消費者保護法》是FCC用於限制垃圾電話的主要法律，其限制自動電話撥號系統、人工或預錄語音訊息的撥號行為，根據FCC的規定，要求電話行銷人員在自動撥打消費者電話時，必須事先獲得消費者的書面同意，而這項解釋性裁決確認人工智慧產生的聲音，也需要符合相同的標準。</p> </div></div></div>
2024/2/9 16:09作者李建興https://www.ithome.com.tw/news/161250
OpenAI將標記DALL·E 3輸出圖像為AI生成內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/161227">在Meta之後</a>，OpenAI也<a href="https://help.openai.com/en/articles/8912793-c2pa-in-dall-e-3">公布</a>標記人工智慧生成圖片的措施。OpenAI採用C2PA標準，在DALL·E 3輸出中加上後設資料，讓使用者更容易辨識由人工智慧所生成的圖片。C2PA是一種開放技術標準，讓內容發布者、企業和其他組織在媒體嵌入後設資料，以驗證其來源和相關資訊，C2PA並非僅適用於人工智慧生成的圖像，相同標準已經被相機製造商、新聞機構採用，以證明其媒體內容和來源。</p> <p>OpenAI會在網頁版和API使用DALL·E 3模型生成的圖像中加入C2PA後設資料，這項變更將會在2月12日向所有行動裝置用戶推出，人們可以使用Content Credentials Verify等網站來檢查圖像是否透過OpenAI的工具，並由底層DALL·E 3所產生。</p> <p>官方提到，C2PA後設資料並不能一勞永逸地解決來源問題，因為後設資料容易被有意或是無意地移除。目前社交媒體平臺在上傳圖像時也都會刪除後設資料，因此缺少後設資料的圖像，可能是也可能不是由ChatGPT或是OpenAI API所產生。</p> <p>影像加上C2PA後設資料，會些微影響圖像大小，像是透過API所生成的PNG圖片，原本3.1 MB的大小會微幅增加至3.2 MB，增幅約為3％，由API生成的287k WebP圖檔，則會增加5％至302k，而原本透過ChatGPT生成287k的WebP圖檔，會在添加C2PA後設資料後變為381k，檔案大小增加32％。官方提到，這些增加對延遲的影響可忽略不計，而且也不會影響圖像生成的品質。</p> <p>嵌入到生成圖像的後設資料，在ChatGPT與OpenAI API部分略有不同，透過API生成的圖像會包含一個簽章，以表明由底層DALL·E 3模型所產生，而透過ChatGPT生成時，會包含一個附加清單，記載內容由ChatGPT創建以呈現雙重來源，初始後設資料清單顯示圖像使用DALL·E 3建立，而第二個後設資料清單顯示該影像是在ChatGPT介面生成。</p> <p>在生成圖片中加上後設資料，能夠讓用戶更容易辨識圖片來源，進一步提高數位資訊可信度。目前只有ChatGPT或是OpenAI DALL·E 3模型API服務產生的圖像才會擁有C2PA後設資料，文字和語音輸出則還不會包含來源相關後設資料。</p> </div></div></div>
2024/2/9 16:19作者李建興https://www.ithome.com.tw/news/161251
蘋果App Store上出現仿冒的LastPass程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.lastpass.com/2024/02/warning-fraudulent-app-impersonating-lastpass-currently-available-in-apple-app-store/" target="_blank">密碼管理程式LastPass周三（2/7）警告</a>，蘋果的App Store上出現了仿冒的LastPass程式，此一名為LassPass Password Manager的程式不僅與合法程式名稱雷同，商標及介面也類似，蘋果已於LastPass發布訊息的隔天將其下架，但並未說明此一程式是如何登上審核嚴格的App Store。</p> <p>LastPass指出，此一仿冒LastPass的行動程式（如下圖所示）雖然複製了LastPass的品牌與使用者介面，但仔細簡單檢查該程式所張貼的螢幕截圖，會發現拼字上的錯誤（將Las[t]Pass改為Las[s]Pass），並有其它跡象顯示該程式是騙人的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0209-Fraudulent%20App-LastPass-Apple%20App%20Store.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／LastPass</span></span></p> <p>該假冒程式的開發者為Parvati Patel，而合法LastPass Password Manager程式的開發者則是LogMeIn, Inc（如下圖所示），其實許多使用者亦對LogMeIn不熟悉，這是因為LastPass在2015年被LogMeIn併購之後，再被拆分而獨立經營，且LogMeIn又在2022年更名為GoTo。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-02-07-at-4_20_38-PM.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／LastPass</span></p> <p>LastPass主要是用來儲放及管理使用者各項服務的密碼，目前並不確定該偽造的程式是否為惡意，或是對使用者造成任何傷害，LastPass提供了合法的程式下載連結，同時要求蘋果將侵犯商標的程式下架。</p> </div></div></div>
2024/2/9 14:11作者陳曉莉https://www.ithome.com.tw/news/161246
迪士尼以15億美元成為Epic Games股東
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迪士尼（The Walt Disney Company）與打造《要塞英雄》（Fortnite）遊戲的美國遊戲暨平臺開發商Epic Games周三（2/7）<a href="https://thewaltdisneycompany.com/disney-and-epic-games-fortnite/" target="_blank">宣布策略聯盟</a>，將共同創造一個全新的遊戲及娛樂宇宙，同時迪士尼也宣布將以15億美元成為Epic Games股東，根據<a href="https://www.theinformation.com/features/exclusive" target="_blank">《The Information》</a>的報導，迪士尼將取得9%的Epic Games股份。</p> <p>同為串流影片供應商，迪士尼發展遊戲服務的策略與Netflix不同，<a href="https://www.ithome.com.tw/news/145775" target="_blank">Netflix把各種遊戲當作串流服務的一部分</a>，以吸引更多或留住現有的使用者。然而，根據迪士尼的規畫，該公司將與Epic Games共同開發一個全新的遊戲宇宙，此一宇宙除了提供世界級的遊戲體驗，能與《要塞英雄》互動之外，還會利用Unreal引擎整合來自迪士尼、皮克斯、漫威、星際大戰、阿凡達與其它品牌的內容、角色及故事，令玩家能在遊戲中以獨特的迪士尼方式來表達自己。</p> <p>迪士尼執行長Robert Iger表示，這是迪士尼進軍遊戲世界最大的一次投資，迫不及待地想讓全球粉絲以突破性的方式，來體驗他們喜愛的迪士尼故事與世界。</p> <p>過去迪士尼主要將旗下的品牌授權給遊戲業者，由遊戲出版商或工作室負責開發，例如索尼（Sony）出版的《蜘蛛人》（Spider-Man）。目前市場上已有9款由迪士尼授權的遊戲，每款遊戲的銷售金額都超過10億美元。</p> <p>不過，迪士尼與Epic Games之間的交易還需通過監管機關的審核。</p> </div></div></div>
2024/2/9 15:20作者陳曉莉https://www.ithome.com.tw/news/161248
Google Bard改名為Gemini，推出綁20TB硬碟的Google One AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周開發人員<a href="https://www.ithome.com.tw/news/161175" target="_blank">發現</a>Google Bard將改名的消息，<a href="https://blog.google/technology/ai/google-gemini-update-sundar-pichai-2024/" target="_blank">Google昨（8）日正式宣布Bard改名為Gemini</a>，與全新付費版本Gemini Advanced及結合20TB雲端硬碟的Google One AI Premium方案。</p> <p>Google執行長Sundar Pichai指出，去年12月Google<a href="https://www.ithome.com.tw/news/160193" target="_blank">宣布</a>多模態AI模型Gemini，標示Gemini時代的來臨，但隨著Gemini發展，它不再只是模型，而是整個生態系，涵括用戶使用的產品、開發用的API及平臺。</p> <p>Gemini原本是Bard的底層模型，昨日Google宣布Bard將反映技術核心，更名為Gemini，將支援40種語言，上線地區則為除了英國及歐洲經濟區以外的150餘國。Workspace和Google Cloud中的AI助理，也會在這波品牌變革中換上新名字。</p> <p>Gemini聊天機器人有二個版本，一是免費AI聊天機器人，二是全新付費版本Gemini Advanced。Gemini Advanced（下圖）主打以最強大AI模型版本Ultra 1.0為底層。Ultra 1.0號稱是首個在大量多任務語言理解（massive multitask language understanding，MMLU）上超越人類專家的AI模型，它整合使用57種主題，包括數學、物理、歷史、法律、醫學和倫理學等來測試知識及問題解決能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0209-gemini%20advanced-1.png" style="width: 450px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0209-google%20gemini%20advanced-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p><a href="https://gemini.google.com/advanced" target="_blank">Gemini Advanced</a>收費標準為每人每月20美元（或650元臺幣）。雖然Advanced版的模型較強大，且可用在Gmail、Docs上，可惜<a href="https://www.reddit.com/r/Android/comments/1alv9of/gemini_advanced_get_access_to_googles_most/" target="_blank">Reddit用戶發現</a>，Advanced版無法分享給家庭成員。</p> <p>免費的Gemini則是以Gemini Pro 1.0模型為底層模型。</p> <p>在App方面，Gemini已推出<a href="https://gemini.google.com/app" target="_blank">Web版</a>及<a href="https://play.google.com/store/apps/details?id=com.google.android.apps.bard" target="_blank">Android版</a>。為改良Gemini App採用的技術，用戶與Gemini的對話會經由人工審查員處理，因此，Google提醒用戶勿輸入不想讓別人看到或供Google使用的內容。至於iOS版，用戶需以Google App存取這服務。</p> <p>之前<a href="https://9to5google.com/2024/02/03/google-bard-gemini-rebrand-android-app-date/" target="_blank">有媒體發現</a>，Gemini Android App是由Google Assistant App改寫，因此，下載Gemini Android版App後，Assistant App就會變成Gemini。</p> <p>Gemini模型將支援Google服務，包括Workspace和Google Cloud。隨同品牌變更，Workspace AI助理Duet AI將改名為Gemini for Workspace，即將推出的全新<a href="https://one.google.com/explore-plan/gemini-advanced" target="_blank">Google One AI進階版方案</a>，可讓消費者直接在Gmail、Docs、Sheets、Slides與Meet免費使用Gemini。</p> <p>Google Cloud的Duet AI未來幾個星期內也會改名Gemini，協助文件作業、寫程式、防範網路攻擊等。Google下周會再進一步公布Gemini在開發及Cloud方面的新功能。</p> </div></div></div>
2024/2/9 13:33作者林妍溱https://www.ithome.com.tw/news/161245
蘋果開源圖片編修AI模型MGIE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年公布多模態AI模型<a href="https://www.ithome.com.tw/news/160517" target="_blank">Ferret</a>後，蘋果本月稍早又開源可根據自然語言提示編修圖片的多模態AI模型MGIE，可以更精確完成修圖或改良圖片。</p> <p>這個AI模型是蘋果和加州大學聖塔巴巴拉分校研究人員合作開發，預定今年5月在國際表徵學習大會（International Conference of Learning Representation，ICLR）上發表。</p> <p>MGIE意為MLLM導引圖片編輯（MLLM-Guided Image Editing），目的在解決現有AI圖片編輯模型的問題。研究人員說明，指令為基礎的圖片編輯AI模型，可根據自然語言指令操控圖片而無需精細描述或遮罩。但是人類下的指令往往太短，現有AI方法無法理解和遵循。多模態大型語言模型（multimodal large language model，MLLM）具跨模態理解，且能生成視覺回應，研究小組於是利用MLLM協助產生圖片編輯指令的新方法，稱為MGIE。</p> <p>MGIE程式碼主體來自LLaVA（Large Language and Vision Assistant），能從人類提示得出表現指令，並提供清楚而明確的圖片編輯指引。例如，當使用者輸入「讓天空更藍」的文字，MGIE則會推出「讓天空部份的飽和感增加20%」。透過端到端的訓練，MGIE模型能同時產生視覺化想像，並進行圖片像素的操控。</p> <p>MGIE可用於多種圖片編修目的，包括依用戶指令編修、或像Photoshop一樣修圖（如裁切、旋轉、翻面、調整大小）。它也能針對局部編修，像是對人臉、眼睛、衣服或飾品等部位強化，也可以提升照片整體品質，像是亮度、對比、清晰度或色彩平衡度，或是套用繪畫風格，如素描、油畫和卡通畫風。</p> <p><a href="https://github.com/apple/ml-mgie" target="_blank">蘋果已將MGIE經由GitHub開源</a>，包括程式碼、範例與授權，供有興趣的使用者下載，也可以在<a href="https://huggingface.co/spaces/tsujuifu/ml-mgie" target="_blank">Hugging Face</a>試用。</p> <p>這是蘋果最新公開的AI研發成果，但並非蘋果的官方發布。上星期蘋果執行長Tim Cook在季報分析師會議中<a href="https://www.theverge.com/2024/2/1/24058647/apple-ceo-tim-cook-teases-generative-ai-iphone" target="_blank">透露今年內將推出自有生成式AI功能</a>。</p> </div></div></div>
2024/2/8 19:30作者林妍溱https://www.ithome.com.tw/news/161244
OpenAI將標記DALL·E 3輸出圖像為AI生成內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/161227">在Meta之後</a>，OpenAI也<a href="https://help.openai.com/en/articles/8912793-c2pa-in-dall-e-3">公布</a>標記人工智慧生成圖片的措施。OpenAI採用C2PA標準，在DALL·E 3輸出中加上後設資料，讓使用者更容易辨識由人工智慧所生成的圖片。C2PA是一種開放技術標準，讓內容發布者、企業和其他組織在媒體嵌入後設資料，以驗證其來源和相關資訊，C2PA並非僅適用於人工智慧生成的圖像，相同標準已經被相機製造商、新聞機構採用，以證明其媒體內容和來源。</p> <p>OpenAI會在網頁版和API使用DALL·E 3模型生成的圖像中加入C2PA後設資料，這項變更將會在2月12日向所有行動裝置用戶推出，人們可以使用Content Credentials Verify等網站來檢查圖像是否透過OpenAI的工具，並由底層DALL·E 3所產生。</p> <p>官方提到，C2PA後設資料並不能一勞永逸地解決來源問題，因為後設資料容易被有意或是無意地移除。目前社交媒體平臺在上傳圖像時也都會刪除後設資料，因此缺少後設資料的圖像，可能是也可能不是由ChatGPT或是OpenAI API所產生。</p> <p>影像加上C2PA後設資料，會些微影響圖像大小，像是透過API所生成的PNG圖片，原本3.1 MB的大小會微幅增加至3.2 MB，增幅約為3％，由API生成的287k WebP圖檔，則會增加5％至302k，而原本透過ChatGPT生成287k的WebP圖檔，會在添加C2PA後設資料後變為381k，檔案大小增加32％。官方提到，這些增加對延遲的影響可忽略不計，而且也不會影響圖像生成的品質。</p> <p>嵌入到生成圖像的後設資料，在ChatGPT與OpenAI API部分略有不同，透過API生成的圖像會包含一個簽章，以表明由底層DALL·E 3模型所產生，而透過ChatGPT生成時，會包含一個附加清單，記載內容由ChatGPT創建以呈現雙重來源，初始後設資料清單顯示圖像使用DALL·E 3建立，而第二個後設資料清單顯示該影像是在ChatGPT介面生成。</p> <p>在生成圖片中加上後設資料，能夠讓用戶更容易辨識圖片來源，進一步提高數位資訊可信度。目前只有ChatGPT或是OpenAI DALL·E 3模型API服務產生的圖像才會擁有C2PA後設資料，文字和語音輸出則還不會包含來源相關後設資料。</p> </div></div></div>
2024/2/8 20:05作者李建興https://www.ithome.com.tw/news/161240
Go 1.22終於修正長期存在的for迴圈變數共享問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發團隊釋出<a href="https://go.dev/blog/go1.22">Go 1.22</a>版本，這個版本除了在語言層面有更新，修正了長久存在的for迴圈問題之外，也強化了效能並且擴充函式庫，透過改進記憶體和設定檔指引最佳化（Profile-Guided Optimization，PGO）使得程式執行更加高效。</p> <p>Go 1.22語言變更主要是解決for迴圈中變數共享的問題，在之前的Go版本中，在for迴圈中啟動的goroutine如果直接使用迭代變數，可能會因為變數共享而出現非預期的結果。這個問題已經存在一段時間，也是Go新手在編寫程式的時候常會遇到的陷阱，現在這個問題終於在Go 1.22被解決了，迭代變數在每次迭代時都能被正確的捕獲，並在goroutine內部使用，減少開發者寫出臭蟲程式碼的可能性。</p> <p>另一個語言變更則是Go 1.22加入整數的範圍迭代支援，這是一個新的語言功能，該功能讓固定次數的迭代操作更加直覺且方便。這兩個變更進一步改善了Go的安全性與易用性。</p> <p>新版Go的效能也有改進，Go的執行環境記憶體最佳化，將CPU效能提高約1％到3％，同時也減少大多數Go程式的記憶體開銷約1％。在Go 1.21中，Go編譯器新增設定檔指引最佳化功能，設定檔指引最佳化會根據程式實際運作配置來最佳化編譯，進而提高執行效率，在Go 1.22中新增改進的去虛擬化功能，允許更多介面方法呼叫的靜態分派（Static Dispatch）。啟用設定檔指引最佳化的多數程式都會有2％到14％的效能提升。</p> <p>開發者也能夠在這個版本用到新的函式庫像是math/rand/v2套件，其提供更簡單、一致的API，提供高品質且快速的偽隨機生成演算法（Pseudo-Random Generation Algorithm），對於需要隨機生成功能的應用程式特別好用。</p> </div></div></div>
2024/2/8 20:07作者李建興https://www.ithome.com.tw/news/161241
IBM推適用中小企業的大型主機LinuxONE 4 Express
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM推出<a href="https://newsroom.ibm.com/2024-02-06-New-IBM-LinuxONE-4-Express-to-Offer-Cost-Savings-and-Client-Value-through-a-Cyber-Resilient-Hybrid-Cloud-and-AI-Platform">LinuxONE 4 Express</a>，這是一款針對中小型企業和新興資料中心環境設計的大型主機，目的在於將LinuxONE的效能、安全性和人工智慧功能，擴展至更廣泛的用戶群。其預配置的機架安裝系統，能夠在具成本效益的情況下，讓企業快速啟動工作負載，開始利用平臺處理數位資產管理、人工智慧醫療影像等各種新舊用例。</p> <p>IBM提到，當前企業在將業務轉移到線上的過程，容易形成由孤立技術堆疊所組成的混合雲環境，而這並不利於業務整合和引入人工智慧技術。LinuxONE 4 Express則鎖定此需求，讓新創和中小型企業從基礎開始有意識地建置混合雲策略，因此隨著業務的成長和市場需求變化，LinuxONE 4 Express能夠靈活地擴展，以滿足日益增加的工作負載和效能要求。</p> <p>IBM LinuxONE 4 Express採用Telum處理器，擁有高效能運算能力，適合處理資料密集型應用和人工智慧推理運算，其配備GDPS，以及擁有HyperSwap的IBM DS8000系列儲存，並執行Red Hat OpenShift Container Platform環境，可用性可達到99.999999％。而LinuxONE 4 Express採用機架安裝形式，可提供靈活部署需求，讓企業能將其整合到現有的資料中心架構當中。</p> <p>IBM LinuxONE 4 Express是一個針對新創與中小企業的解決方案，其擁有的功能能夠支援新興用例。LinuxONE 4 Express提供安全平臺，具有保護機敏資料的機密運算能力，而內建的硬體基礎安全技術Secure Execution for Linux，可以隔離個別工作負載免受外部攻擊甚至是內部威脅，而這對於數位資產應用是一個重要的功能。</p> <p>而LinuxONE 4 Express所搭載的Telum處理器，可供企業存放人工智慧與重要資料於LinuxONE系統上，實現在資料儲存處執行資料分析，在像是健康保險公司需要即時分析大量醫療紀錄，以驗證索賠的情境，可加速業務決策速度。</p> <p>IBM還指出，IBM LinuxONE 4 Express可讓企業簡化IT環境，將資料庫整合到LinuxONE系統上降低成本，與x86伺服器相比，將Linux工作負載移至IBM LinuxONE 4 Express，可讓企業在5年內的總擁有成本節省超過52％。</p> </div></div></div>
2024/2/8 20:10作者李建興https://www.ithome.com.tw/news/161242
微軟更新Copilot圖像創作功能，並在平衡模式採用新模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟公司推出<a href="https://blogs.microsoft.com/blog/2024/02/07/delivering-copilot-for-everyone/">Copilot更新</a>，這次更新範圍包括copilot.microsoft.com網站，還有iOS與Android應用商店中的Copilot應用程式。用戶存取Copilot將會看到更為簡潔的外觀和使用體驗，除了介面的更新之外，微軟還新增了建議提示詞輪播功能，藉以更好地呈現Copilot的功能。</p> <p>微軟也在Copilot添加更多的圖像創作功能，藉由使用Designer功能，用戶不僅可以創建圖像，現在還能在Copilot內直接進行線上圖像編輯，讓用戶不中斷創作工作流程保持聊天的流暢度。這些圖像編輯包括用戶可以突出顯示特定物體，無論是強化顏色使其更加醒目，或是模糊圖像背景讓主題更加突出，甚至使用畫素藝術風格等特效重新建立圖像都能夠完成。</p> <p>Copilot Pro訂閱用戶還可以在不離開聊天的情況下調整圖像大小，並在正方形和橫幅布局重新生成圖像，微軟預告，他們還將在Copilot中推出Designer GPT功能，提供用戶沈浸式且專用的畫布，在Copilot中迅速將想法轉為實際成果。</p> <p>另外，微軟副總裁暨Copilot、Bing工程與產品部門負責人Jordi Ribas，則在社交平臺X上<a href="https://twitter.com/JordiRib1/status/1755249265604239444/photo/1">公布</a>Copilot的平衡模式現在採用一個稱為Deucalion的新模型，他提到，Deucalion模型經過微調，使Copilot平衡模式回應更加豐富且快速。</p> <p>根據微軟的資料，在過去一年Copilot使用量暴增，已經建立超過50億次聊天和50億張圖像，而這也促使了Edge和Bing市占持續增加。</p> </div></div></div>
2024/2/8 18:53作者李建興https://www.ithome.com.tw/news/161239
微軟Azure AD測試以自拍驗證登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>變臉詐騙（Business Email Compromise，BEC）攻擊氾濫，微軟本周為原名Azure AD的Entra Verified ID<a href="https://www.microsoft.com/en-us/security/blog/2024/02/06/microsoft-entra-verified-id-introduces-face-check-in-preview/" target="_blank">預覽臉部驗證功能Face Check</a>，讓企業員工可以臉部登入公司帳號。</p> <p>Face Check是以Azure AI服務為基礎，在微軟的Entra Verified ID身分驗證外再加入一層防護。它可即時比對用戶手機自拍相片及其身分文件（如駕照或護照）中的相片，並提供比對信心水準結果。由於Face Check只分享比對結果，不牽涉任何身分資料，可確保用戶隱私同時確認員工身分。</p> <p>這項方案也允許企業App以Request Service REST API呼叫執行Face Check，以比對員工即時自拍和儲存的驗證相片、身分證或特定數位證明。這讓企業可實作自助服務情境，像是啟用passkey或重設密碼。企業的服務臺也能要求Face Check以比對經驗證的員工相片。</p> <p>現在Face Check方案的Request Service REST API，透過合作夥伴Dun & Bradstreet、Au10tix、LexisNexis Risk Solutions及IDEMIA支援工作、教育及政府ID。微軟接下來幾個星期，會再將API擴大到支援其他身分屬性，像是工作紀錄，或法律實體驗證。</p> <p>微軟正在預覽測試Face Check，並邀請使用者<a href="https://learn.microsoft.com/en-us/entra/verified-id/using-facecheck" target="_blank">試用</a>。</p> <p>微軟三月份的Microsoft Secure數位大會將公布進一步Entra安全方案。</p> </div></div></div>
2024/2/8 19:17作者林妍溱https://www.ithome.com.tw/news/161243
當AIoT跨入金融服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-lu_se_jin_rong_ke_ji_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">五南圖書</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較於直接訴諸於一般消費者的金融創新服務（B2C），奇雲國際的創新服務內容則是由公司場域出發（B2B），但卻開始撼動原有金融服務的經營邏輯。</p> <p>首先在保險服務上，近年不論是特斯拉或是國內創星物聯等車聯網公司，都強調以使用者為中心的UBI保單與彈性保費設計；但奇雲國際卻將服務場域由個人保險延伸到產物保險，尤其是高危險場域的保險計算，包括化學工廠、中鋼中油，乃至高科技公司如台積電等。過去這類高危險企業的產物保險金額高，也因此必須發展出再保險市場來分散風險。然而，奇雲國際的智能監控卻強調零風險與即時風險管理的重要性。換句話說，最有效的風險管理就在於即時預警、防患於未然。也因此，未來產物保險在保費計算上，有機會加入智能監控的保費調整機制，或作為優良廠商與風險評估依據。</p> <p>相較於金融科技業者對傳統金融服務所帶來的直接衝擊，AIoT這類智能監控服務之科技公司，反而扮演協助金融服務升級的智慧好夥伴。</p> <p><span style="font-size:28px;"><strong><span style="color:#3399ff;">智慧監控突圍金融服務</span></strong></span></p> <p>創辦於2014年的奇雲國際以智慧監控為核心技術，並將服務延伸到車隊管理、UBI保單、場域工安與廢棄物管理服務。</p> <p>台灣車輛高達八成以上都已承保第三人責任險，大貨車保費雖然每輛高達20萬元，事故發生後的最高理賠金額約400萬元。但若由UBI（Usage Based Insurance）保單設計邏輯，僅單純從減省保費以鼓勵優良駕駛的角度來看，如優良駕駛每個月減省15%保費。因實際支付保費多為車隊，這項保費減省設計並未直接回饋給司機，反而必須思考其他獎勵機制與管理設計。此外，與其每個月調降保費的事後獎勵，在車隊管理上更講求即時有效的監控管理，避免意外發生才是關鍵。</p> <p>奇雲國際的核心技術是物聯網科技（AIoT），包括雷達偵測、ADAS（先進駕駛輔助系統）、DVR（車用影像監視）行車視野輔助、維修保護等。主要用於大貨車等車隊管理系統。毫米波雷達的偵測角度可達120度廣角，主要安裝於車角（柱），可偵測120度、直徑3公尺的扇形面積。雷達偵測有三大用途：一是廣域感應，可掃描120度廣角範疇。二是主動式提醒，雷達會透過閃燈或鳴叫方式提醒駕駛，駕駛無須額外查看。三是輕巧體積小，不會造成車體負擔。</p> <p>在車隊管理上，雷達報告每秒會詳細記錄偵測障礙物的時間點，協助重現事故現場。雷達報表包括日期、時間、地址（經緯度）、車速、急剎車、剎車燈、急轉彎、方向燈、車前盲區、右A柱盲區、車後盲區等資訊。</p> <p>至於先進駕駛輔助系統ADAS功能有以下三項：一是智慧輔助，可自動偵測車道偏移、提醒駕駛，並減少事故發生。二是車距偵測，可解決前車車距問題，即時影像提醒。三是駕駛專注偵測，可識別駕駛眼神飄移並發出警示，避免昏睡、分心等危險駕駛行為。ADAS主機可自主偵測車輛行駛狀態，依據車速判定碰撞警示距離，內建視訊輸出、音訊輸出與攝影機。其中，攝影機偵測角度約上下33度，左右44度。另有附屬設備功能DMS駕駛監控系統（Driver Monitoring System），系統以高端影像技術偵測駕駛瞳孔變化與臉部變化，在駕駛人員產生疲勞與分心時，即時發出聲光預警。</p> <p>車用影像監視（DVR）則有以下功能：一是雲端記錄，包括盲區影音與方向燈使用記錄將同時上傳雲端，事故發生時可作為還原現場依據。二是掃盡盲區，根據不同車種提供適合的掃盲方案，運用多種警示方式，提升司機警覺，以減少事故發生損失。</p> <p>這三項數位科技的整合應用範疇則有車隊管理系統、智能減碳車隊，與攜帶式管理平台（APP）。以最主要的車隊管理系統來說，奇雲科技提供智慧車隊的監控管理、即時地圖監控、即時影像監控、冷鏈系統監控、酒測監控系統，與駕駛身分管理。</p> <p>奇雲國際總經理李雅芳說明，即時監控與篩選（real time tracking & sorting）正是智能監控系統的核心能力，這有助於車隊管理的效率與效益之大幅提升。奇雲國際並由此發展出八種以上的模組化服務，包括駕駛行為風險分析、異常警告管理、數據分析報表、行駛里程管理、行駛風險時段、車況管理、實時車輛跟蹤、區域管理等。</p> <p>奇雲國際並發展出視覺化的碳排儀表板，可有效管理每個月的累計加油量、怠速時數與碳排放量。奇雲國際估算，以3,000輛車的車隊計算，導入智能監控系統可有效降低20%碳排油耗、降低29%事故發生率，與降低34%維修成本，估計一年可節省約1.5萬噸的二氧化碳排放。</p> <p>此外，奇雲國際的車隊管理服務也進一步延伸到車輛派遣服務。原本奇雲國際就已針對車輛的行駛路徑發展出一連串的數據管理內容，包括行駛中、離線、怠速、超速等服務；而這些服務內容僅針對單一車輛的車況管理與駕駛行為分析，若再加上「自動路順」的路線優化管理，就有進一步達到減排效益，甚至可減省人員。</p> <p>近年來，奇雲國際的智慧監控系統服務也由車隊管理進一步延伸到「場域監控」，包括具有高度公共安全警戒的化學品工廠、建築場域與工廠等。</p> <p>「以裝載化學品的油罐車為例，我們必須確認駕駛有穿防護衣、輪檔有確認止滑、有接地、有靜電等一系列工序。接著，我們還必須確認內裝液化化學品的存量變化等，這些都是公安管理的細節，也需要專業領域知識的協助。」奇雲國際資深主管說明。</p> <p>2023年，「奇雲2.0-AI智慧場域」提出場域監控服務的解決方案，包括智慧場域、智慧地磅、智慧倉儲、智慧車牌、智慧存量、智慧儲能等服務。奇雲國際並由規劃（plan）、執行（do）、稽核（check）、行動（act）發展出一系列的智能監控服務。「規劃」著重在訂定廠內作業查核點，「執行」則以設置適合硬體收集現場訊號，「稽核」在設定勾稽規則並發送異常警報，而「行動」則在調查異常原因並進行改善。由此所發展的智能監控服務則有大數據分析、雲端運算、IoT工廠管理、地磅串接、車牌辨識、影像辨識、即時液位、人工智慧等服務。</p> <p>例如智慧倉儲可以辨識儲存區、成品區進出貨數量，無須人工清點，這對於庫存管理大有效益。而智慧地磅則可以自動化辨別車牌並智慧對應車重，省去人工登記，還可以避免疏失與偽造。車牌辨識則讓AI作為管理者的眼睛，幫忙協助辨識車牌。</p> <p>又如目前已發展的光電建築服務，奇雲國際可依照客戶需求提供客製化的智慧綠建築解決方案，具備能源效益、減碳、隔熱與美學等，服務內容則包括智慧儲能、即時監控、微電網管理、安全工程、多款零件等。從能源管理面，光電建築連結智能監控，即可透過手機監控整天的用電比例，並計算電費。</p> <p>2023年，奇雲國際並進一步將場域監控服務延伸到更難以量化管理的廢棄物管理，尤其是和台積電等多家上市櫃公司之合作，將有機會發展廢棄物的清運、處理，與再運用。奇雲國際資深主管直言，儲能管理與廢棄物管理不但和永續議題息息相關，也是更具高難度與高進入障礙的服務內容，可謂奇雲AIoT 3.0服務。<strong>（本文摘錄整理自《綠色金融科技與多元商模創新》第十章，五南圖書出版提供）</strong></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_五南</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E7%B6%A0%E8%89%B2%E9%87%91%E8%9E%8D%E7%A7%91%E6%8A%80-600.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 綠色金融科技與多元商模創新</strong></p> <p>歐素華／著</p> <p>五南圖書出版</p> <p>定價：450元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E7%B6%A0%E8%89%B2%E9%87%91%E8%9E%8D%E7%A7%91%E6%8A%80-250.jpg" style="width: 200px;" /></p> <p><a href="https://www.emba.scu.edu.tw/people/770" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_東吳大學</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>歐素華</strong></p> <p>東吳大學數位貨幣與金融研究中心執行長，國立政治大學科技管理與智慧財產研究所博士。</p> <p>過去曾擔任財經記者，碩士論文為金融監理，博士論文為科學家的跨域研發與團隊管理。主要研究領域為商業模式創新、金融科技、媒體創新、創業管理、行動研究等。學術論文分別獲得2019年「第九屆聯電經營管理論文獎─傑出研究獎與優等獎」、「111年度管理學報論文獎—年度最佳實用價值論文」、2022年「第13屆證券暨期貨金椽獎─研究建言獎佳作獎」、2023年「數位轉型教學個案優良獎」。</p> </div></div></div>
2024/2/8 14:47未署名https://www.ithome.com.tw/article/161238
【資安月報】2024年1月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年1月的資安月報中，最引發我們關注的就是，美國司法部宣布瓦解了由國家級駭客打造的殭屍網路KV Botnet，以及該國針對SOHO設備製造商發布Secure by Design警報，特別的是，這兩個不同層面的新聞事件，其實在某種程度上存在著一定的關聯。</p> <p>事實上，我們在今年1月，也正好報導了上述提到的<a href="https://www.ithome.com.tw/news/160862">Security by Design警報</a>。因為這個警報系列，是美國網路安全暨基礎設施安全局（CISA）去年底才剛剛新推出不久，不同於過去都是聚焦在最新攻擊與軟體漏洞。</p> <p>這樣的轉變，讓我們可以明顯感受到，這個談論許久的「安全設計（Security by Design）」議題，不僅再次浮上檯面，並且成為連國家政府將要積極推動的重要工作項目。</p> <h2><strong>不只破壞中國駭客組織挾持的殭屍網路，同時針對SOHO設備製造商發布Secure by Design警報</strong></h2> <p>首先，我們先來聊聊殭屍網路，這是指攻擊者藉由入侵裝置並連結而成的網路。攻擊者可以控制殭屍網路，執行有組織且有惡意意圖的任務，而且受害者多半不知道自己的裝置被感染，已經成為駭客發動網路攻擊時的幫兇。</p> <p>近年來，已有資安業者示警，指出駭客組織入侵家用路由器來建立自己的物聯網殭屍網路的態勢，是持續升溫。而為了因應這類網路威脅，最近幾年，我們看到美國政府經常與多國執法單位聯手，發起掃蕩殭屍網路的行動。</p> <p>這次美國政府所發起的新一項行動，目標是破壞由中國駭客組織Volt Typhoon所挾持的殭屍網路KV Botnet。</p> <p>這次事件之所以引發更高關注，是因為微軟去年5月發現Volt Typhoon鎖定美國與關島的重大基礎設施攻擊，然後去年12月，資安業者Lumen揭露了殭屍網路KV-botnet，並指出Volt Typhoon會使用該殭屍網路發動攻擊。</p> <p>因此，這次破壞殭屍網路的行動，可說是美方政府對Volt Typhoon的反制，讓對方在未來這一段期間，無法立即利用這個殭屍網路來發動攻擊。</p> <p>綜觀這樣的事件，我們其實是可以看出美國政府是如何應對的，整體上他們是以多管齊下的方式，從不同層面來一起因應。</p> <p>例如，在面對中國駭客組織Volt Typhoon威脅的過程中，一方面，他們重視該國關鍵CI防護的強化，另一方面，他們也破壞了該組織使用的KV-botnet殭屍網路，以緩解對方可能伺機發動的攻勢。</p> <p>這次值得我們一提的是，美國政府在摧毀殭屍網路方面採取了更積極的行動──不只破壞殭屍網路KV Botnet，還要求通知裝置所有者，並且向SOHO裝置製造商發布指引</p> <p>簡單來說，過去我們已經看過美國聯邦調查局（FBI）破壞殭屍的情形，就是接管其控制權，透過遠端方式刪除當中的惡意程式，以及採取額外措施來中斷受駭裝置與殭屍網路的連結。而這次美國FBI所採取的行動，也就是針對美國境內屬百臺遭受KV-botnet控制的私人SOHO路由器而來。</p> <p>但這次，我們更是注意到，美國CISA也在美國司法部公告的同一日，發布了第三則Security by Design警報，而當中的內容，就是針對中國駭客組織Volt Typhoon的惡意網路活動而來，並聚焦於敦促SOHO 路由器製造商要有安全設計的實踐。</p> <p>換言之，為了預防網路設備再次被殭屍網路感染，FBI不只著手聯繫設備供應商，要求這些供應商向受害者提供通知，讓用戶知道他們的裝置曾經發生遭駭一事，以及知道可以有的應對方式。</p> <p>現在，還更進一步對SOHO路由器製造商發布警報，說明供應商的決策能幫助全球減少相關危害，並提供可遵循的原則，要製造商能夠主動消除相關風險，而不是依賴客戶去執行與防範，因為過去經驗證明這並不可行。</p> <p>因此，在給予<a href="https://www.cisa.gov/resources-tools/resources/secure-design-alert-security-design-improvements-soho-device-manufacturers?utm_source=FBI&utm_medium=press_release&utm_campaign=SbD_SOHO">SOHO設備製造商的Secure by Design警報</a>中，我們可以看到一些重點，我們整理如下：</p> <p>●應在SOHO路由器網頁管理介面（WMIs）的產品設計與開發階段，就消除可被攻擊者利用的弱點。</p> <p>●應調整產品預設配置，讓設備可以有自動更新的能力，並將網頁管理介面（WMI）設置在區域網路（LAN）端的連接埠，這意味著可在內部網絡中存取與操作，而不是在外部網路中可見或可存取。同時，需要手動操作才能移除相關安全設定。</p> <p>●做到產品的漏洞修補與揭露，並將這些漏洞做到準確的分類，以免受到Volt Typhoon活動與其他網路威脅的侵害。</p> <p>無論如何，產品要有基於安全的設計、要有預設的安全……，我們早已經看到許多科技大廠強調其重要性，分享這方面工作的推動與落實經驗，但我們更期盼的是，所有的製造商都在進行軟體開發之餘，都能共同重視Security by Design的問題。</p> <p>儘管近年不論歐洲、美國、日本、亞洲等國，都在物聯網資安的立法有新的進展，但我們從美國CISA的推動上來看，他們更是明確指出，資安防護並不只是用戶層面的問題，產品製造商也必須負起責任，對於政府而言，不能單靠法規遵循，迫使廠商解決這個問題，及早建立這樣的意識、落實安全設計，才能有效減少產品資安風險。</p> <h2><strong>這次破壞行動儘管意義重大，但沒有結束，持續打擊中國政府惡意網路行動需要更多投入</strong></h2> <p>另一方面，除了關心SOHO設備製造商的Secure by Design實踐，臺灣民眾應該也要知道的是，對於中國駭客組織Volt Typhoon的威脅，美國FBI也在美國司法部公布這次成果的同日，一連發布了3則新聞。</p> <p>他們的局長Christopher Wray在出席眾議院特別委員會時指出，大眾很少關注中國駭客組織瞄準他們的關鍵基礎設施——包括他們的水處理廠、電網、石油和天然氣管道、運輸系統。但現在，每個美國人都面臨風險，需要他們大家都能去特別注意。</p> <p>這樣的說法，我們認為，即便放在臺灣也很適合，對於我國遭受中國駭客網路攻擊、遭受資訊戰的情形，社會大眾需要更多的關注與認知，例如，多知道我們遭受網路攻擊的現況，多了解事件背後的多方知識，多從邏輯角度去思考，才能減少被似是而非、觀念錯置的手法操弄。</p> <p>另外，Christopher Wray也強調，這次破壞殭屍網路的意義相當重大，原因在於，這次Volt Typhoon的入侵相當隱密，很可能會在美中一旦爆發衝突時，用以摧毀美國水處理廠、電網、石油和天然氣管道、運輸系統等重要資源，並對美國民眾造成直接傷害，又或是在中國入侵臺灣，限制美國援助臺灣的能力。因此，這次破壞行動，對於抵抗中國政府惡意網路攻擊的威脅而言，並非事件的結尾，FBI還需要爭取更多資源、預算，來增加人力，來增強資安上的反應能力，以及加強情報收集與分析能力。</p> <p>這點也令我們相關有所感觸，因為就連FBI局長都在強調，一旦美國關鍵CI遭受嚴重網路攻擊，他們的資安防護做得不好，影響的不只美國民眾，也會影響該國援助臺灣的能力。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/160702"><span style="color: rgb(178, 34, 34);">【資安週報】2024年1月2日到1月5日</span></a></strong></h2> <p>新的一年到來，首要關注的漏洞消息是，去年底有研究人員揭露SSH通訊協定的漏洞問題，可透過Terrapin新手法進行攻擊，但1月3日Shadowserver基金會指出，網路上仍可發現近1,100萬臺的大量伺服器未因應，依然存在CVE-2023-48795漏洞的風險。</p> <p>在新興威脅焦點上，以Google服務cookies可被劫持的後續揭露最受關注，還有勒索軟體Zeppelin2與竊資軟體Meduza的最新動向。<br /> （一）前陣子名為PRISMA的駭客聲稱能夠竊取Google服務相關cookie，引起廣泛關注，如今我們終於看到有資安業者揭露其攻擊手法與原理，指出駭客除了鎖定Chrome瀏覽器中名為token_service的表單，進而取得的GAIA ID/token，另一關鍵，更是鎖定Google文件未提及的MultiLogin端點跨服務同步機制，這個端點是Google OAuth系統的重要環節。這也顯示，攻擊者對於Google內部身分驗證機制，有著更深層的研究與理解。<br /> （二）勒索軟體Zeppelin2傳出被他人破解的消息，近日有駭客在地下論壇散布的原始碼與建置工具，資安界憂心遭更多不肖分子利用。<br /> （三）有駭客在地下社群與Telegram頻道廣為宣傳新版竊資軟體Meduza，由於標榜功能豐富，以及可針對更多應用程式下手，而受到資安業者重視。<br /> （四）關於新型態DLL搜尋順序挾持手法的揭露值得留意，駭客可濫用系統資料夾WinSXS，進而繞過Windows 10及11防護措施，這樣的手法將讓攻擊更加隱密。</p> <p>在上述Google服務cookies劫持的手法揭露之外，我們認為同樣值得關注的是，近期社群平臺X（推特）的企業組織帳號遭不明手法劫持的安全問題，最近報導了兩篇資安新聞，其中一篇是資安業者本身也發生遭盜用的情形。</p> <p>首先是有資安業者CloudSEK揭露，隨著去年底X推出新的驗證帳號方案，但駭客為了假冒企業帳號，目前也正利用各種技術來偽造或盜竊具有金色認證標章；隔沒幾天，資安業者Mandiant發生X帳號遭盜用情形，被利用於假冒加密貨幣錢包供應商Phantom名義的詐騙活動，後續Mandiant表示已取回帳號，並指出已啟用MFA仍遭挾持，目前仍在調查原因。近日資安團體MalwareHunterTeam也指出，發現不少非營利組織、政治人物的X帳號，同樣遭劫持與盜用的情況。</p> <p>在資安事件方面，這星期我們看到國際間發生食品零售業、保險業、外送平臺業者、政府單位與企業受害的狀況。</p> <p>首先要注意的是零售服務業，近日瑞典食品零售供應商Coop遭駭，目前傳出遭勒索軟體駭客組織Cactus攻擊；保險業者也要當心，伊朗發生大規模資料外洩事件，該批資料涉及23家保險業者，駭客這波攻擊竟能一次鎖定如此多家保險業者，相當不尋常；還有外送平臺業者，伊朗Snappfood平臺發生資料外洩，研究人員發現1名SnappFood員工的電腦感染StealC竊資軟體，使得公司帳密外洩與資料遭存取。其他重大事件包括：澳洲法院也傳出遭駭客入侵，造成聽證會錄音恐外流的情形；全錄（Xerox）的美國分公司Xerox Business Solutions（XBS）遭遇網路攻擊，部分個資外洩。</p> <h2><a href="https://www.ithome.com.tw/news/160834"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年1月8日到1月12日</span></strong></a></h2> <p>2024年才剛開始沒多久，已有相當多的漏洞消息需要留意，包括零時差漏洞攻擊、已知漏洞遭鎖定利用，以及漏洞修補等不同面向：</p> <p>（一）這星期又有駭客發動零時差漏洞攻擊。此次被鎖定的目標，是Ivanti的VPN產品Ivanti Connect Secure，以及網路安全存取產品Ivanti Policy Secure，當中2個零時差漏洞已被成功利用，分別是CVE-2024-21887與CVE-2023-46805，有資安業者研判是中國國家支持的駭客組織所為。<br /> （二）我們看到美國CISA公布的新消息指出，有多個去年已知漏洞近期開始發現遭鎖定利用。包括：Adobe ColdFusion的兩個漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-38203">CVE-2023-38203</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-29300">CVE-2023-29300</a>），Apache Superset的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-27524">CVE-2023-27524</a>），蘋果多款產品的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-41990">CVE-2023-41990</a>），Joomla的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-23752">CVE-2023-23752</a>），微軟SharePoint Server的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-29357">CVE-2023-29357</a>），除此之外，還有D-Link DSL-2750B的2016年老舊漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2016-20017">CVE-2016-20017</a>），先前的資安日報尚未提及，在此補上。。<br /> （三）適逢微軟等多家廠商的每月例行安全性更新釋出，需要大家關注相關消息，並且儘快著手修補。例如：微軟本月修補49個安全漏洞，當中有兩個是重大等級。還有其他漏洞修補消息，包括：臺灣NAS廠商威聯通針對QTS等多項產品的修補，思科針對Unity Connection重大漏洞修補，Bosch智慧扳手（氣動扳手）也存在一系列漏洞。<br /> 另外，去年5月Apache基金會雖然修補RocketMQ重大漏洞CVE-2023-33246，但近期有開發團隊的成員指出，這項弱點尚未得到完整修復，後續修補動向需密切關注。</p> <p>在資安威脅態勢上，勒索軟體攻擊仍是關注重點，SMTP走私手法與關鍵基礎與電信受害情形也引起我們的關注，我們整理相關消息如下。<br /> ●勒索軟體Akira的危害在12月增加，引起芬蘭國家網路安全中心（NCSC-FI）示警，不僅針對已知路由器漏洞攻擊，並針對儲存資料的NAS系統下手。<br /> ●微軟SQL Server用戶注意！勒索軟體Mimic正發起鎖定此系統的攻擊行動，對方的目標是曝露於網際網路的SQL Server，其手法包含濫用PowerShell指令碼，並將深度混淆處理的Cobalt Strike酬載注入Windows內建的處理程序SndVol.exe。<br /> ●新型態SMTP走私（SMTP Smuggling）攻擊手法，有人提出具體分析，問題在於SMTP伺服器的進出流程中，處理資料結尾序列不一致，導致攻擊者可能偷渡SMTP命令。<br /> ●在關鍵基礎設施與電信領域方面，相關業者也要留意，包括荷蘭IT業者與電信公司遭滲透的揭露，以及木馬程式AsyncRAT鎖定美國關鍵基礎設施的揭露。其他可留意的惡意程式動向，包括FBot鎖定雲端及SaaS平臺，以及後門程式SpectralBlur鎖定Mac電腦設備。</p> <p>另一個要注意的資安威脅，在於企業社群平臺的帳號安全問題。繼日前資安業者Mandiant的Ｘ帳號被盜用後，遭張貼加密貨幣詐騙活動，如今有更多事件登上新聞版面，甚至美國證券交易委員會的X帳號都遭盜用，被假冒其名義公布宣稱比特幣ETF商品核准上市的消息。隔日，美國SEC才正式宣布，批准11檔比特幣現貨ETF交易。其他被盜的X企業帳號還包括：區塊鏈資安業者CertiK、網路設備業者Netgear、現代汽車中東及非洲的帳號。由於過往多是名人帳號遭駭，但近期事件集中發生在X平臺，並且都是企業組織官方帳號被盜，是否有不尋常的新手法出現，需要持續追蹤。</p> <h2><a href="https://www.ithome.com.tw/news/160940"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年1月15日到1月19日</span></strong></a></h2> <p>這一星期的漏洞利用威脅情形，有兩個新事件需要特別留意，一是Citrix NetScaler設備管理介面存在零時差漏洞，包括CVE-2023-6548、CVE-2023-6549，已被用於攻擊行動；另一是Google修補Chrome的V8 JavaScript引擎的<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-0519">CVE-2024-0519漏洞</a>，同樣已遭成功利用。</p> <p>還有兩個已知漏洞遭利用的狀況，包括：Laravel網頁應用程式框架在2018年修補的已知漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2018-15133">CVE-2018-15133</a>，另一個是這段期間資安日報未報導的漏洞<a href="http://nvd.nist.gov/vuln/detail/CVE-2023-35082">CVE-2023-35082</a>，這個弱點存在行動裝置管理平臺MobileIron Core，以及EPMM。特別的是，關於上述鎖定Laravel的攻擊，我們從美國FBI與CISA近期近期的示警，可以發現是惡意程式Androxgh0st的攻擊行動所為。</p> <p>還有多家業者發布漏洞修補公告，需要企業採取行動，包括Oracle第1季例行安全更新發布，Atlassian修補Confluence的漏洞，GitLab修補零點擊帳號劫持漏洞，以及Juniper修補防火牆及交換器重大漏洞。</p> <p>在國內資安消息方面，近日有多家上市櫃公司發布資安事件重大訊息，而且短短一週之內，居然發生三起的情況，格外引人注目。我們整理如下：</p> <p>（一）上市半導體設備業京鼎精密在1月16日公告，部份資訊系統遭受駭客網路攻擊。</p> <p>（二）上市印刷電路板廠恩德科技在1月17日公告，部份資訊系統遭受駭客網路攻擊。</p> <p>（三）上市運動休閒業者<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=171732&SPOKE_DATE=20240119&COMPANY_ID=8462">柏文健康事業在1月19日公告</a>，說明旗下「健身工廠」會員個資遭駭客竊取。本期資安日報尚未提及，在此補上。</p> <p>值得關注的是，京鼎精密發生2024年首起上市櫃資安事件，而且狀況相當特別，因為駭客的勒索訊息，還藉由竄改京鼎公司的網站於16日上午公諸於外，行徑非常囂張。</p> <p>關於健身工廠會員個資遭竊，他們的公告這方面消息的時機有爭議，因為他們載明的事實發生日是去年7月30日，但竟然等到2024年1月才曝光，這顯然違反「應於資安事件發生次一營業日開盤前2小時公告」，而且拖延幾乎長達半年時間。依照先前資料外洩的公司諾貝兒遭到主管機關開罰的經驗，金管會應同樣會對此祭出處分。</p> <p>另一家同樣在去年11月遭到網路駭客攻擊的雄獅，交通部近期<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=193507&SPOKE_DATE=20240117&COMPANY_ID=2731">依違反個人資料保護法第27條第1項，開罰200萬元</a>。</p> <p>還有一項值得警惕的事件，是KKday前員工跳槽對手Klook所涉的外洩營業機密案，最近調查局資安工作站更詳細說明其手法與事發過程，包括利用未修改的預設密碼、不法登入KKday系統等，並起訴涉案3人。</p> <p>在資安威脅焦點方面，近期鎖定蘋果電腦、Docker主機的惡意軟體，引發研究人員重視。他們的研究對象是3款針對macOS的竊資軟體，包括KeySteal、Atomic Stealer、CherryPie，經過調查分析之後，他們指出這類惡意程式普遍具有繞過作業系統內建XProtect的能力；近期有攻擊者鎖定易受攻擊的Docker主機部署惡意容器，當中使用了網路流量交換軟體9hits盜取流量，相當罕見。</p> <p>最後，還有兩個涉及GPU與UEFI的漏洞揭露，都是去年夏天已經通報、如今分別有資安業者對外揭露相關細節，並指出問題所在。</p> <p>例如，被命名為LeftoverLocals的漏洞CVE-2023-4969，影響蘋果、AMD、高通的GPU產品。研究人員重點提醒，如WebGPU的許多GPU框架，存在著未充分隔離記憶體的狀況；UEFI開源參考實現TianoCore EDK II存在9個漏洞，統稱為PixieFAIL，研究人員並指出，其他廠商的UEFI解決方案也受波及，包括Arm、系微（Insyde）、AMI、Phoenix Technologie與微軟。由於廠商們的修補時程未定，不確定是否修補相當棘手。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/161048"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年1月22日到1月26日</span></strong></a></h2> <p>這一星期的漏洞利用消息，分別是關於蘋果、VMware與Atlassian的三大漏洞。</p> <p>（一）蘋果修補已遭成功利用的零時差漏洞CVE-2024-23222，該漏洞影響iPhone、Mac、iPad 與Apple TV，可能導致任意程式碼執行，這也是蘋果今年修補的第一個零時差漏洞。</p> <p>（二）最近有駭客針對VMware去年10月修補vCenter伺服器的漏洞CVE-2023-34048攻擊。但Mandiant最新研究調查指出，這個漏洞至少從2021年開始就被利用，意味當時已有零時差漏洞攻擊存在，並指出攻擊者是中國駭客組織UNC3886。</p> <p>（三）上週Atlassian才修補DevOps協作平臺Confluence的重大漏洞CVE-2023-22527，現在已經發現遭駭客鎖定利用，有資安研究團隊示警，他們指出發現逾600個IP位址嘗試利用該漏洞發動攻擊。</p> <p>還有其他業者發布漏洞修補公告，也需要企業採取行動，包括持續整合工具Jenkins修補了12個Jenkins主程式及外掛程式漏洞，以及VMware修補雲端基礎架構自動化平臺Aria Automation重大漏洞。</p> <p>在資安事件焦點方面，以微軟、HPE接連向美國證交所（SEC）提交8-K表單通報資安事故，引發外界重視。</p> <p>因為兩家公司陸續公布的資訊顯示，其雲端電子郵件環境遭到俄羅斯駭客組織Midnight Blizzard入侵。目前不確定兩起事件是否有關，而且時間點也不同，微軟是在1月12日發現狀況，調查出駭客約從去年11月下旬開始攻擊；HPE是在去年12月12日收到通知，研判事故與另一起6月獲報的事件有關。</p> <p>另外，還有大型服飾集團VF Corp針對去年12月資安事故，二度向SEC提交文件，補充說明該事故的最新消息。</p> <p>在勒索軟體的威脅態勢上，2024年仍持續傳出有多家企業遇害，影響IT產業、服務業，以及水資源處理業者。例如，芬蘭IT服務與企業雲端代管業者Tietoevry，全球速食連鎖業者Subway，英國水資源處理業者Southern Water，以及水資源處理業者Veolia的北美分公司。</p> <p>還有一項惡意活動情形，我們認為值得特別留意，是關於惡意流量系統的揭露，不僅是過去這類新聞較少，近期更是有兩家資安業者都發布這方面的研究內容。</p> <p>一是駭客使用Parrot TDS植入合法網站的伺服器，將受害者帶往惡意網站，針對這些指令碼進行分析，根據資安廠商的研究人員的分析，可分成4個版本，並發現最新版本的混淆手法更進化，採用不同的陣列索引，可影響特徵碼偵測機制；另一是駭客使用VexTrio控制多個TDS網路，且運作方式都不一樣，資安研究人員認為，這是他們在一個月內首次發現基於DNS的新TDS，並指出攻擊者通常使用「atob()」與「String.fromCharCode()」的 JavaScript，目的是隱藏其程式碼。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160880">2023年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160289">2023年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158096">2023年7月資安月報</a></h3> <h3> </h3> </div></div></div>
2024/2/8 11:30作者羅正漢https://www.ithome.com.tw/news/161237
VS Code現在支援Hey Code語音指令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://code.visualstudio.com/updates/v1_86#_accessibility">更新</a>VS Code釋出1.86版本，這個版本有一個重大的功能更新，是讓開發者可以使用Hey Code語音指令，開始與Copilot Chat進行語音對話。該功能隸屬於VS Code的無障礙功能，開發者只要啟用accessibility.voice.keywordActivation設定，就可以讓VS Code開始監聽Hey Code語音指令以啟動語音對話。語音辨識只在電腦本地端運算，不會發送至任何伺服器，以確保開發者的隱私安全。</p> <p>語音對話提供多種啟用選項，以符合不同的使用情境，其中chatInView選項允許開發者從聊天檢視頁面啟動語音聊天，方便地直接進行對話。而quickChat選項讓開發者可以透過快速聊天控制項，迅速與Copilot開始語音聊天，inlineChat則可以在編譯器的程式碼行內開始語音聊天。</p> <p>開發者希望可以靈活地與Copilot互動，便可以使用chatInContext選項，當開發者的焦點在編輯器中，就會從行內聊天啟動語音，否則會從聊天檢視頁面啟動。這些選項讓開發者根據當前的工作環境和需求，選擇適合的語音對話啟動方式。</p> <p>當VS Code使用麥克風辨識出Hey Code指令時，狀態列的小麥克風圖示便會出現相對應的指示，在語音聊天完成之後，VS Code會回到監聽Hey Code指令的狀態，等待開發者重新開啟另一個對話。</p> <p>開發者要使用這項新功能，需要安裝GitHub Copilot Chat與VS Code Speech擴充套件。GitHub Copilot Chat可在VS Code中，提供對話式人工智慧協助，而VS Code Speech會在VS Code的聊天介面，提供語音轉文字功能，該擴充套件不需要網路連接，語音資料僅會在用戶電腦本地端處理。</p> <p>除了Hey Code語音指令，VS Code還更新自動儲存功能，在1.86中自動儲存功能變得更強大，能夠在檔案中存在錯誤標記時停用自動儲存，避免外部工具對包含錯誤的檔案進行操作。另外，VS Code也可以限制僅儲存工作區檔案。</p> </div></div></div>
2024/2/8 00:24作者李建興https://www.ithome.com.tw/news/161233
Google推localllm命令列工具，支援本機CPU執行大型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出了一組稱為<a href="https://cloud.google.com/blog/products/application-development/new-localllm-lets-you-develop-gen-ai-apps-locally-without-gpus">localllm</a>的工具和函式庫，透過與Google雲端全託管開發環境Cloud Workstations的整合，讓開發者可以使用本機端CPU和記憶體執行大型語言模型，藉以消除人工智慧應用程式開發對GPU運算資源的需求。</p> <p>開發使用大型語言模型的應用程式面臨許多挑戰，例如GPU資源稀缺便會對開發造成阻礙，而Google推出了新興解決方案，透過讓開發者在Cloud Workstations中運用本地CPU和記憶體，就足以執行大型語言模型。</p> <p>該新方法是藉由結合量化模型、Cloud Workstations和localllm工具達成。所謂的量化模型，是指經過最佳化，可以在有限運算資源本地裝置執行的人工智慧模型，這些模型的記憶體使用和處理能力更加高效，因此能夠在智慧型手機、筆記型電腦和各種邊緣裝置上運作。由於量化模型經過最佳化，會使用較低精度的資料類型進行計算，相較於使用標準的32位元浮點數，能以相同的運算資源進行更快速的處理。</p> <p>量化技術也有助於減少人工智慧對記憶體的需求，透過降低表示模型權重和啟動（Activation）的位元數，減少整體模型大小，進而適應儲存容量有限的裝置。由於量化模型在精度和模型尺寸更小，因此可以更快地執行運算，實現更快的推理速度。</p> <p>Google釋出的localllm，讓開發者可以透過命令列工具，存取HuggingFace中的量化模型，在不受GPU可用性限制的情況下運用大型語言模型。Google提到，localllm儲存庫提供了完整的框架和工具，讓開發者在Cloud Workstation上直接於本地執行大型語言模型，甚至是在任何具有足夠CPU資源的機器上執行大型語言模型。</p> <p>因此開發者可以將大型語言模型整合到應用程式開發工作流程中，而不影響效能或生產力，而且透過localllm，開發者可以直接在Google雲端生態系中使用大型語言模型，這種整合簡化了開發流程，降低開發對遠端伺服器和外部服務的依賴程度。由於大幅降低對GPU運算資源的需求，也就最佳化資源利用率，進而降低了開發成本。</p> <p>在本地端的CPU和記憶體上執行大型語言模型，也就代表開發者可以更完全地掌握敏感資料，localllm讓開發者降低資料傳輸還有第三方存取相關的風險，進而強化資料的安全性與隱私性。</p> </div></div></div>
2024/2/8 00:34作者李建興https://www.ithome.com.tw/news/161235
Linux基金會宣布成立聯盟促進後量子密碼學發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會推出<a href="https://www.linuxfoundation.org/press/announcing-the-post-quantum-cryptography-alliance-pqca">後量子密碼學聯盟（Post-Quantum Cryptography Alliance，PQCA）</a>，目的是要推動後量子密碼學的進步，希望可以透過生產標準化演算法，解決軟體實作解決量子運算所帶來的加密安全挑戰。聯盟初始會員包括AWS、Google、IBM與Nvidia等11個組織。</p> <p>後量子密碼學是一種針對量子電腦的潛在能力，所開發的加密技術，其主要目標是要在未來量子電腦成為實際威脅時，能夠保護資訊安全免受侵害。針對未來的安全挑戰，包括量子計算所帶來的威脅，美國國家安全局推薦一系列加密標準和指南，稱為商業國家安全演算法套件2.0（CNSA 2.0）。</p> <p>而後量子密碼學聯盟的目標是成為組織和開源專案，所需生產就緒函式庫和軟體套件的中樞，使其應用能夠符合CNSA 2.0的資安建議。該聯盟將從事各種技術專案，包括開發軟體以評估、設計和部署新的後量子演算法，透過提供軟體實作促進後量子密碼學在產業中的實際應用。</p> <p>這些工作會基於許多聯盟創始會員，長年在後量子密碼學所奠定的基礎，啟動專案之一是開放量子安全專案（Open Quantum Safe），該專案在2014年於滑鐵盧大學中成立，是目前致力於後量子密碼學開源軟體的專案。後量子密碼學聯盟也會創建新的程式碼套件專案，建立高品質生產就緒軟體實作，支援即將推出諸如ML-KEM演算法等後量子密碼學標準。</p> </div></div></div>
2024/2/8 00:44作者李建興https://www.ithome.com.tw/news/161236
【資安日報】2月7日，求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了竊取大量使用者資料，不少攻擊行動鎖定電商網站而來，甚至發展出側錄使用者信用卡的手法Magecart，但現在，也有專門針對提供其他服務的網站而來的情況。</p> <p>最近資安業者Group-IB揭露的ResumeLooters攻擊行動，就是針對求職網站而來，駭客的主要目標是亞太地區，其中，又以印度和臺灣的災情最嚴重。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.group-ib.com/blog/resumelooters/"><strong style="font-size: 22px;">駭客組織ResumeLooters利用SQL注入、XSS攻擊求職網站，竊取逾200萬人個資</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/resumelooters-distribution.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/resumelooters-distribution.png" style="width: 300px; float: right;" /></a>資安業者Group-IB去年11月發現專門針對亞太地區的求職網站及零售業者的大規模網站攻擊，駭客組織ResumeLooters自2023年初開始，透過SQL注入攻擊的方式，企圖竊取網站上的使用者資料庫，當中不只包含姓名、電話號碼、電子郵件信箱、生日，還有工作經歷及其他敏感資料，而在部分攻擊行動裡，駭客則對求職網站進行跨網站指令碼（XSS）攻擊，從而在這些網站植入網路釣魚表單。</p> <p>研究人員在去年11月、12月，總共發現有65個網站遭到攻擊，大部分位於亞太地區國家，其中又以印度、臺灣、泰國的網站最多，但巴西、美國、土耳其、俄羅斯也有網站受害。根據他們的統計，總共遭竊的個資達到2,188,444筆，其中510,259筆已確認是從求職網站流出。而對於駭客攻擊這些網站的過程，研究人員指出採用了不少現成工具，像是資料庫滲透測試工具SQLmap，網站漏洞掃描工具Acunetix、Beef Framework、X-Ray，以及滲透測試工具Metasploit。</p> <p>而對於這些駭客的來歷，研究人員表示並不清楚，但指出駭客使用中文名稱的Telegram帳號，且於使用中文的群組兜售資料，攻擊過程也有部分工具使用中文版本，因此，這些駭客很有可能來自中國。</p> <p><a href="https://www.ncsc.nl/documenten/publicaties/2024/februari/6/mivd-aivd-advisory-coathanger-tlp-clear"><strong style="font-size: 22px;">荷蘭軍事網路遭中國駭客入侵，利用Fortinet防火牆漏洞植入木馬程式</strong></a></p> <p></p> <p>荷蘭軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）發布聯合公告指出，該國國防部去年遭到中國網路間諜入侵，並植入後門程式。而對於這起事故的受害規模，他們評估少於50個使用者受害，主要目標非機密專案的研發團隊，以及2個與之合作的第三方研究機構，他們認為，這起攻擊行動不光針對荷蘭，與他們結盟的國家也是目標。</p> <p>MIVD與AIVD指出，他們在受害組織的網路環境當中，發現駭客利用Fortinet設備SSL VPN漏洞CVE-2022-42475（CVSS風險評分為9.8），對FortiGate防火牆設備植入RAT木馬Coathanger，此惡意程式透過攔截系統呼叫的方式來隱匿行跡，值得留意的是，即使IT人員將防火牆重開機或是更新韌體，該惡意程式仍會持續運作。</p> <p><a href="https://therecord.media/iran-linked-hackers-claim-attack-on-albania-census-org"><strong style="font-size: 22px;">阿爾巴尼亞研究所傳出遭到網路攻擊，部分系統受到影響，疑為伊朗駭客所為</strong></a></p> <p></p> <p>1月31日阿爾巴尼亞統計研究所（INSTAT）傳出遭到網路攻擊，該研究機構確認部分系統受到影響，但強調去年人口普查的資料並非本次事故的攻擊目標，他們的技術團隊隨即啟動緊急應變措施，來保護相關資料，並防止損害進一步擴大。阿爾巴尼亞網路機構AKCESK與該國警方聯手，協助INSTAT復原受影響的系統。</p> <p>而對於攻擊者的身分，自稱是Homeland Justice的伊朗駭客組織聲稱是他們所為，並上傳影片做為證據，表明已偷到100 TB內部資料，但並未公布部分檔案，外界無法確認其真實性。</p> <p>資料來源</p> <p>1. <a href="https://www.facebook.com/institutistatistikave/posts/pfbid02aMQi8UxE6sYD2HE6viCfU1BXEpxnpEPfUNrvQFpykErGAFWt1fFoiYZxnDBLQqv4l">https://www.facebook.com/institutistatistikave/posts/pfbid02aMQi8UxE6sYD2HE6viCfU1BXEpxnpEPfUNrvQFpykErGAFWt1fFoiYZxnDBLQqv4l</a><br /> 2. <a href="https://cesk.gov.al/deklarate-zyrtare-5/">https://cesk.gov.al/deklarate-zyrtare-5/</a><br /> 3. <a href="https://t.me/justice_homeland/451">https://t.me/justice_homeland/451</a></p> <p><a href="https://cert.gov.ua/article/6277422"><strong style="font-size: 22px;">2千臺烏克蘭電腦遭到惡意軟體PurpleFox攻擊</strong></a></p> <p></p> <p>1月31日烏克蘭電腦緊急應變小組（CERT-UA）指出，當地一家國營企業遭遇駭客組織UAC-0027攻擊，駭客對其電腦植入名為PurpleFox的惡意程式（亦稱DirtyMoe），至少有2千臺電腦受到感染。</p> <p>CERT-UA指出，此惡意程式通常會在使用者執行MSI安裝程式的過程進行感染，並能夠藉由已知漏洞或是暴力破解等方式，進行橫向感染，而且，該惡意程式具有Rootkit元件，導致受害者難以清除。</p> <p>他們從1月20日至31日對受害電腦進行監控，結果找到了486個C2伺服器的IP位址，大部分位於中國。</p> <p><a href="https://www.securonix.com/blog/security-advisory-steadyursa-attack-campaign-targets-ukraine-military/"><strong style="font-size: 22px;">俄羅斯駭客組織Shuckworm攻擊烏克蘭軍方，利用PowerShell後門程式進行滲透</strong></a></p> <p></p> <p>資安業者Securonix揭露鎖定烏克蘭軍事人員而來的網釣攻擊行動Steady#URSA，俄羅斯駭客組織Shuckworm疑似透過釣魚郵件，挾帶內含Windows捷徑檔案（LNK）的壓縮檔，為引誘收信人點選，這些捷徑檔的名稱都與烏克蘭城市或是軍事用語有關，而且，圖示被設置成與影片檔案相同的內容。一旦收信人開啟LNK檔案，電腦就會透過隱藏視窗及命令列執行PowerShell，最終電腦就會被植入PowerShell後門程式Subtle-Paws。</p> <p>此後門程式可從C2接收攻擊者的命令並執行，並能在所有磁碟建立LNK執行惡意機碼，從而透過外接裝置進行橫向移動。研究人員指出，由於烏克蘭軍方許多系統都是設置於隔離網路（Air-gapped），而在這起行動當中，他們看到攻擊者完全都是透過USB裝置，在不同系統之間散布惡意程式，因而得逞。</p> <p><a href="https://gur.gov.ua/content/znyshchyly-vorozhu-planietu-detali-kiberataky-proty-tsentru-kosmichnoi-hidrometeorolohii-rf.html"><strong style="font-size: 22px;">俄羅斯太空氣象研究中心遭到烏克蘭駭客攻擊，破壞2 PB資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/20240124-01-03.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20240124-01-03.jpeg" style="width: 300px; float: right;" /></a>1月24日烏克蘭國防部情報總局表示，駭客組織BO Team入侵俄羅斯天文研究機構太空氣象遠東科學研究中心（Far Eastern Scientific Research Center of Space Hydrometeorology），並對其中的大型資料庫Planet下手，從280臺伺服器抹除2 PB資料，預估至少損失1千萬美元。</p> <p>駭客破壞的檔案涵蓋氣象及衛星資料，廣泛提供俄羅斯國防部、航太局等多個部門使用，烏克蘭國防部情報總局指出，除了資料儲存設備、伺服器、工作站電腦，資料中心的空調系統、緊急電源供應系統也遭到癱瘓。但究竟駭客如何破壞資料，該單位並未說明。</p> <p><a href="https://www.txone.com/news/txone-networks-published-annual-report-2023/"><strong style="font-size: 22px;">勒索軟體是工業控制系統與操作科技環境的頭號威脅</strong></a></p> <p></p> <p>資安業者TXOne Networks與市場調查公司Frost & Sullivan聯手，針對操作科技（OT）與工業控制系統（ICS）的網路安全態勢進行調查，指出勒索軟體是這些網路環境當中最為嚴重的威脅。</p> <p>他們針對2023年186起發生於美國、德國、阿拉伯聯合大公國（UAE）、日本的OT資安事故進行分析，結果發現有近半數（47%）與勒索軟體攻擊有關，其次則是漏洞攻擊和惡意軟體感染，分別有38%、37%，值得留意的是，這些事故當中，有超過三分之一（35%）也與人為不慎的操作錯誤有關。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-event-log-zero-day-flaw-gets-unofficial-patches/"><strong style="font-size: 22px;">零時差漏洞EventLogCrasher影響所有版本Windows</strong></a></p> <p></p> <p>研究人員Florian向微軟通報名為EventLogCrasher的漏洞，該漏洞存在於Windows作業系統的事件檢視器（EventLog）服務，一旦攻擊者發送惡意的UNICODE_STRING物件，並透過遠端程序呼叫（RPC）型態的事件檢視器通訊協定傳送至名為ElfrRegisterEventSourceW的方法，就有機會造成相關元件當掉，影響所有版本Windows工作站及伺服器作業系統，1月23日研究人員發布概念性驗證（PoC）攻擊影片。值得留意的是，研究人員指出，微軟獲報後認為該弱點與2022年另一個漏洞重複，因此不予處理。</p> <p>對此，提供漏洞微修補的資安業者0patch也對此漏洞的影響進一步說明，表示一旦攻擊者取得了低權限，讓事件檢視器當機3次，此項服務就可能完全停止，而使得資安資訊及事件管理系統（SIEM）、入侵偵測系統（IDS）直接受到影響，無法截取事件記錄進行分析，而使得攻擊者有時間能執行進一步的攻擊，例如暴力破解、執行whoami，或是利用遠端服務的弱點等，0patch針對Windows 7及Windows Server 2008 R2以上的作業系統，提供該漏洞的微修補程式。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/floesen_/status/1749809453367779758">https://twitter.com/floesen_/status/1749809453367779758</a><br /> 2. <a href="https://blog.0patch.com/2024/01/the-eventlogcrasher-0day-for-remotely.html">https://blog.0patch.com/2024/01/the-eventlogcrasher-0day-for-remotely.html</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-android-local-elevation-flaw-impacting-7-oems/"><strong style="font-size: 22px;">研究人員公布安卓本地權限提升漏洞的概念性驗證程式，影響至少7個廠牌行動裝置</strong></a></p> <p></p> <p>Meta紅隊演練團隊Red Team X於9月向Google通報CVE-2023-45779，這項漏洞存在於安卓作業系統開源專案（AOSP）的Apex模組，起因是使用了測試金鑰進行不安全的簽署，從而讓攻擊者有機會推送惡意更新，並進行權限提升。</p> <p>Apex模組的主要功能，是讓OEM廠商能夠推送特定系統元件更新，而無須發布完整的OTA檔案，照理來說，這些廠商必須使用自己的私鑰簽章，但在安卓的原始碼裡，卻是使用相同的公鑰來進行，這代表任何人都能藉由這種管道推送更新。研究人員確認華碩Zenfone 9、微軟Surface Duo 2、Nokia G50、Nothing Phone 2、Vivo X90 Pro、聯想Tab M10 Plus、Fairphone 5存在上述漏洞，三星Galaxy S23、Google Pixel、小米Redmi Note 12、Sony Xperia 1 V等多款手機不受影響。</p> <p>對此，Google於12月發布修補程式，並打算在下一個大改版Android 15更進一步處理這項弱點。</p> <p>資料來源</p> <p>1. <a href="https://rtx.meta.security/exploitation/2024/01/30/Android-vendors-APEX-test-keys.html">https://rtx.meta.security/exploitation/2024/01/30/Android-vendors-APEX-test-keys.html</a><br /> 2. <a href="https://source.android.com/docs/security/bulletin/2023-12-01">https://source.android.com/docs/security/bulletin/2023-12-01</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180109&SPOKE_DATE=20240205&COMPANY_ID=4721"><strong><span style="font-size: 20px;">化學材料廠美琪瑪部分資訊系統遭網路攻擊</span></strong></a></p> <p></p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=170130&SPOKE_DATE=20240205&COMPANY_ID=2736"><strong><span style="font-size: 20px;">旅館業者富野傳出分公司資訊系統遭網路攻擊</span></strong></a></p> <p></p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/65b9290a-b22e-4ae7-93e7-5acb84357297.shtml"><strong><span style="font-size: 20px;">針對去年發生的資料外洩事故，電信業者Verizon證實6.3萬名員工個資流出</span></strong></a></p> <p></p> <p><strong><a href="https://blog.google/threat-analysis-group/commercial-surveillance-vendors-google-tag-report/"><span style="font-size: 20px;">Google指控2023年8成零時差漏洞遭商業間諜軟體供應商濫用</span></a></strong></p> <p></p> <p><strong><a href="https://source.android.com/docs/security/bulletin/2024-02-01"><span style="font-size: 20px;">Google發布2月份安卓例行更新，修補46個漏洞</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161212"><strong>【2月6日】駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161188"><strong>【2月5日】知名遠端桌面連線軟體AnyDesk證實伺服器遭駭並撤換程式碼簽章</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161155"><strong>【2月2日】美國下令聯邦機構限時切斷Ivanti Connect Secure與內部網路環境之間的連線並著手清查</strong></a></p> </div></div></div>
2024/2/7 16:35作者周峻佑https://www.ithome.com.tw/news/161232
Google發布《Buying Spying》報告，公開商業間諜軟體產業的運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在<a href="https://www.ithome.com.tw/news/161203" target="_blank">美國宣布</a>將針對散布間諜軟體的個人進行簽證限制的隔天，Google出版了長達30項的<a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/documents/Buying_Spying_-_Insights_into_Commercial_Surveillance_Vendors_-_TAG_report.pdf" target="_blank">《Buying Spying》報告</a>，公開商業間諜軟體產業的運作。</p> <p>Google威脅分析小組（Threat Analysis Group，TAG）長期以來追蹤全球約40家商業監控供應商（Commercial Surveillance Vendors，CSV），這些供應商負責提供付費服務及工具，整合了用來繞過各種安全機制的攻擊鏈，同時供應間諜軟體及必要的基礎設施，以蒐集目標對象的資料。</p> <p>這些CSV的主要客戶為各國政府，攻擊對象則涵蓋記者、人權捍衛者、異議份子與政治對手，它們之所以引起Google TAG的注意，最大因素可能來自於CSV所利用的零時差漏洞，有一半是針對Google產品與Android系統。</p> <p>根據TAG的統計，自2014年以來，在波及Google產品的72個零時差漏洞中，有35個源自於各家CSV，而且這是個保守估計，TAG相信這些CSV所利用的零時差漏洞一定更多，只是尚未被發現。</p> <p>TAG指出，倘若各國政府曾經獨占了最尖端的技術，那麼那個時代已然結束，因為TAG現在所發現的最先進的攻擊工具中，絕大多數都是來自於這些私人的商業監控供應商，光是在2023年所發現的25個已遭攻擊的零時差漏洞，便有20個源自CSV。</p> <p>與尋常的軟體產業一樣，CSV採用了不同的方法於間諜軟體市場中保持競爭力，它們建立關係以向政府客戶提供間諜軟體，並藉由專業性、協作或收購來提供有競爭力的產品。</p> <p>TAG於報告中描述了Cy4Gate與RCS Lab、Intellexa、Negg Group、NSO Group及Variston等CSV業者的操作手法，包括它們如何宣傳與交付自家的間諜軟體產品，報告中也採訪了曾受到攻擊的受害者。</p> <p>其中，2014年於義大利創立的Cy4Gate開發了鎖定Android與iOS平臺的Epeius間諜軟體，使用至少3個Android零時差漏洞，並在2022年收購了同樣位於義大利的RCS Lab，成立於1993年的RCS Lab宣稱可提供高度可靠的電子監控解決方案，並開發與銷售名為Hermit的間諜軟體。儘管已合併，但Cy4Gate與RCS Lab仍保持獨立運作，以各自的產品替不同的客群提供服務。</p> <p>最後，Google則呼籲，只要各國政府擁有購買商業監控技術的需求，該產業便會持續茁壯，繼續開發及銷售間諜軟體，而現在應該是政府、產業及民間社會共同改變其結構的時候了，以免相關技術進一步地蔓延。</p> </div></div></div>
2024/2/7 15:43作者陳曉莉https://www.ithome.com.tw/news/161228
Mozilla推出可移除使用者外洩個資的Mozilla Monitor Plus訂閱服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/en/mozilla/introducing-mozilla-monitor-plus-a-new-tool-to-automatically-remove-your-personal-information-from-data-broker-sites/" target="_blank">Mozilla本周發表了全新的訂閱服務Mozilla Monitor Plus</a>，得以協助使用者自資料掮客的網站上移除個人資料，每月訂閱費用為9.99美元，年費則是107.88美元。</p> <p>Mozilla Monitor Plus的前身為2018年推出的Firefox Monitor，當時是與Have I Been Pwned合作，在使用者輸入自己的電子郵件位址時，就可顯示自己的資料曾因哪些服務被入侵而外洩，迄今已有超過1,000萬名使用者註冊該服務。而Mozilla Monitor Plus則會偵測使用者的資料是否出現在逾190家的資料掮客網站上，並自動協助使用者提出請求，要求這些網站移除使用者個資。</p> <p>Mozilla提供了一次性的Mozilla Monitor Plus免費服務，允許使用者偵測自己的個資出現在哪些掮客網站上，並請求它們將之移除，但使用該服務必須輸入姓名、所居住的城市及州別、生日及電子郵件。Mozilla解釋，這些資訊是用來進行精確搜尋的必要資訊，相關資訊將受到Mozilla隱私政策的保護。</p> <p>此外，該服務還能檢視高風險資訊是否已外洩，涵蓋社會安全碼、信用卡資訊、銀行帳戶及PIN碼等，並提供修復及解決建議。</p> <p>若實際訂閱了Mozilla Monitor Plus，該服務便會每月定期替使用者掃描個資是否出現在這些掮客網站上，協助將它們刪除，同時通知使用者。</p> <p>Mozilla Monitor Plus為Mozilla所推出的第三項付費訂閱服務，先前曾推出月費為9.99美元、年費為59.88美元的Mozilla VPN服務，以及可隱藏真實電子郵件信箱的Firefox Relay服務，月費為0.99美元。</p> </div></div></div>
2024/2/7 16:08作者陳曉莉https://www.ithome.com.tw/news/161231
歷經數年開發的jQuery 4.0 Beta版本釋出，具多項重大更新並逐步停止支援IE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>輕巧、快速且功能豐富的JavaScript函式庫jQuery，在2016年發布3.0正式版之後，終於在2024年迎來<a href="https://blog.jquery.com/2024/02/06/jquery-4-0-0-beta/">jQuery 4.0.0 Beta版本</a>。經過了這麼多年的開發，jQuery 4.0.0有許多重大更改，包括取消IE 10以前的支援，並且刪除已棄用的API，以及放棄支援一些過於複雜行為。同時，還新增支援可信類別（Trusted Type），強化安全性防禦跨站腳本（XSS）攻擊。</p> <p>jQuery 4.0不再支援IE 10以及更早版本，官方解釋，他們計畫分階段取消支援，會在jQuery 5.0進一步取消對IE 11的支援。目前官方先刪除專門支援IE 11之前版本的程式碼，而這樣的修剪也減少867 gzip位元組大小，進一步加快終端用戶載入頁面的時間。jQuery同時也放棄支援其他老舊的瀏覽器，包括Edge Legacy、iOS <11、Firefox <65和Android瀏覽器，如果開發者仍需要支援這些瀏覽器，就必須繼續使用jQuery 3.x版本。</p> <p>許多函式已經在之前版本中被棄用，而在jQuery 4.0這個主要版本，官方也一併進行清理，官方指出，jQuery 4.0刪除的函式多是內部函式，或是已經在瀏覽器中具有原生等效功能的函式，諸如jQuery.trim()、jQuery.isArray()與jQuery.isFunction()等13個。</p> <p>jQuery開發團隊還進行了一項重要變更，便是移除了push、sort和splice方法。jQuery原型（Prototype）擁有與其他jQuery函式不同行為的陣列方法，並且始終僅供內部使用，jQuery開發團隊現在決定不再透過jQuery原型來使用這些方法，而是直接使用陣列函式。這樣的變更讓jQuery更符合現代JavaScript標準和最佳實踐，也讓函式庫本身更加精簡。</p> <p>而jQuery 4.0在處理焦點事件的順序也有變化，這些焦點事件分別為focusin、focusout、focus和blur。這些焦點事件長期在各瀏覽器中執行順序不一致，直到最近各瀏覽器終於在事件順序上取得共識，但是這個順序與jQuery過去所選擇的順序不同，現在jQuery 4.0不再覆蓋瀏覽器原生行為，除了IE之外，所有瀏覽器都會遵循當前W3C規範，順序為blur、focusout、focus和focusin。</p> <p>jQuery.ajax新增對二進位資料FormData的支援。過去二進位資料並不被視為已知的資料類型，而會被轉換成字串，這種行為需要停用資料轉換並以手動處理，不過，現在開發團隊決定讓這個過程自動化。加入對FormData的支援，代表開發者可以在使用jQuery.ajax進行網路請求時，直接傳送表單資料和其他二進位檔案，不需要進行額外的處理和轉換。這項變更在技術上是一個重大變化，官方認為，此行為更接近開發者預期。</p> <p>jQuery 4.0加入了對可信類別的支援，而這是一個重要的安全性強化功能。可信類別為一項網頁安全標準，透過限制網站可以執行的腳本防止跨站腳本攻擊，在支援可信類別的瀏覽器中，開發者可以自訂一組可信類別，並將不可信的輸入轉換為可信類別確保網站安全性。</p> <p>另外，jQuery 4.0還改進對內容安全政策（CSP）的支援。雖然一些AJAX請求已經透過使用<script>標籤維護諸如跨網域等屬性，但jQuery 4.0現在更傾向在大多數非同步腳本請求中使用<script>標籤，避免因為使用行內腳本（Inline Scripts）而導致CSP錯誤。</p> <p>從jQuery 3.0或更高版本升級到jQuery 4.0預期不會有相容性問題，開發者也可以使用官方發布的jQuery Migrate外掛工具，辨識程式碼相容性問題。jQuery 4.0更新了精簡版本（Slim Build），藉由移除非同步程式開發機制Deferreds和回呼列表管理功能Callbacks，使體積現在小於20 KB。</p> </div></div></div>
2024/2/7 16:15作者李建興https://www.ithome.com.tw/news/161229
Meta企圖建立辨識AI內容的產業標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2024/02/labeling-ai-generated-images-on-facebook-instagram-and-threads/" target="_blank">Meta本周揭露</a>，正在與合作夥伴共同開發用來辨識AI內容的通用技術標準，包括目前較為普及的AI圖像辨識標準，以及相較之下較不普遍的AI影片及AI音訊辨識標準，以期在遭到大規模濫用之前先行一步保護使用者。Meta計畫未來幾個月就會基於相關標準，於臉書、Instagram及Threads上標註由AI生成的圖像。</p> <p>其實Meta已針對自家Meta AI功能所生成的圖像，提供Imagined with AI標籤以供使用者辨識，但此一標籤僅限於來自Meta AI的圖像，無法擴及其它工具或平臺所生成的AI作品。於是Meta著手與Partnership on AI（PAI）等論壇合作，共同發展C2PA及IPTC等各種標準，以用來辨識來自Google、OpenAI、微軟、Adobe、Midjourney與Shutterstock等採用不同技術的AI圖像。</p> <p>根據Meta的說明，來自Meta AI的生成式圖像具備兩種AI標記，一種是直接呈現於圖像上的可見標記，另一種則是出現在圖像檔案中的元資料與不可見的浮水印，當中，不可見標記的作法剛好與PAI的最佳實作一致。</p> <p>於是Meta開始與PAI及其它合作夥伴共同建置各種工具，以用來大規模辨識這些隱藏於AI作品中的不可見標記，因為上述的Google、OpenAI與微軟等業者，也都在以它們工具所建置的AI圖像中加入了元資料。</p> <p>只不過，現階段業者才開始將標記功能加到圖像生成器中，尚未擴及影片與音訊生成器，使得Meta決定推出暫時性功能，讓使用者在分享AI生成影片及音訊的內容時自行揭露，以便Meta將它們加上AI標籤。倘若使用者不從，那麼Meta可能會施以罰則，此外，Meta亦打算針對那些可能帶來重大影響的AI內容上嵌入更明顯的標籤以示警告。</p> <p>Meta指出，這可能是目前最先進的作法，只是還未能延伸至所有由AI生成的內容，而且人們還有許多可移除不可見標記的方法，使得該公司決定多管齊下，包括開發可自動偵測缺乏不可見標記之AI內容的分類器，或是尋找讓人們更難移除或變更不可見浮水印的方法，以及打造一個名為Stable Signature的技術，可直接將浮水印功能整合到某些影像生成器的生成程序中，非常適用於開源模型。</p> <p>Meta認為，AI既是劍也是盾牌，除了不肖份子利用它來創造虛假內容以欺騙使用者之外，該公司使用AI系統來偵測平臺上的仇恨言論及其它有害內容，將仇恨言論的普及率調降至0.01-0.02%，等同於使用者每1萬次的瀏覽，只會看到一、兩個內容含有仇恨言論。</p> <p>未來幾個月，使用者在臉書、Instagram或Threads上所看的AI生成圖像，不管它們是採用何種技術所生成，只要可被基於標準的指標所偵測到，都會出現標籤。</p> </div></div></div>
2024/2/7 13:29作者陳曉莉https://www.ithome.com.tw/news/161227
強調開放社交網路的BlueSky正式開放使用者下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Twitter共同創辦人Jack Dorsey重新建立的微型部落格BlueSky，在經歷了近一年的<a href="https://www.ithome.com.tw/news/155714" target="_blank">邀請測試</a>之後，本周二（2/6）<a href="https://bsky.social/about/blog/02-06-2024-join-bluesky" target="_blank">正式開放所有使用者下載</a>。</p> <p>BlueSky在介面上與Twitter非常類似，同時採用類似Twitter的藍色商標，只不過Twitter的商標是一隻藍鳥，而BlueSky則是一隻藍色蝴蝶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0207-bluesky%20UI.png" style="width: 600px;" /></p> <p>然而，強調開放的BlueSky底層架構與Twitter截然不同。它採用自行開發的聯邦宇宙（Fediverse）協定AT Protocol，可連結其它基於Fediverse的社交平臺，且使用者的個人檔案與貼文都是可攜的。</p> <p>此外，它具備客製化的動態主題，使用者可自行選擇想看到的貼文種類，從新聞、文化、藝術、動物到政治等；除了根據社群守則所制定的審核標準之外，使用者亦可自行增添審核機制，過濾那些不想觸及的內容。BlueSky亦計畫在未來幾周推出標籤服務，推動第三方組織建立特定的審核機制以供用戶使用，例如由事實查核組織針對各種傳聞所建立的標籤。</p> <p>值得注意的是，由於AT Protocol的設計基礎在於公開交流，因此使用者所有的貼文、按讚或封鎖都是公開的，在BlueSky上並無私有資料，但亦允許使用者刪除所張貼的文章或照片。</p> <p>在邀請測試期間，BlueSky已吸引全球逾300萬名使用者加入，本周全面開放的BlueSky同時支援Android、iOS及桌面平臺。</p> </div></div></div>
2024/2/7 12:18作者陳曉莉https://www.ithome.com.tw/news/161226
微軟開始預覽Windows 11裝置運用NPU加速機器學習模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/directx/introducing-neural-processor-unit-npu-support-in-directml-developer-preview/">發布</a>DirectML 1.13.1和ONNX Runtime 1.17，展開DirectML對神經處理單元（NPU）的開發者預覽支援。這個開發者預覽支援一部分模型，使得這些模型可以在搭載Intel Core Ultra處理器和AI Boost功能的Windows 11裝置上運作。</p> <p>DirectML是一種低階API，替硬體供應商提供通用抽象層，供應用程式存取其機器學習加速器，適用於所有DirectX 12相容裝置，包括GPU與NPU。而NPU是一種專為機器學習工作負載設計的處理單元，適合用於計算密集、不需要圖型介面互動的工作負載。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Thomas_Hannaford_0-1706743576738%20(1).png" style="width: 228px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／英特爾</span></span></p> <p>這個預覽版本是微軟與三星合作開發而成，<a href="https://community.intel.com/t5/Blogs/Tech-Innovation/Artificial-Intelligence-AI/Scaling-AI-in-Samsung-PCs-with-Intel-AI-Boost-and-Microsoft/post/1565905">三星筆電</a>採用Intel Core Ultra處理器和AI Boost技術，以及Windows DirectML API來加速人工智慧工作負載。透過利用NPU來加速部分機器學習模型的運算，使得應用程式可以更快地處理人工智慧任務，諸如語音辨識和圖像處理等。</p> <p>目前DirectML對NPU支援，僅適用於搭載Intel Core Ultra處理器的裝置，執行特定經最佳化的機器學習模型，部分模型可能完全無法執行，或是存在高延遲、低準確度的問題。而功能正常但沒有被選入這個預覽版本的模型，可能存在一些可靠性和穩定性問題。微軟正持續擴大支援範圍。</p> </div></div></div>
2024/2/7 10:44作者李建興https://www.ithome.com.tw/news/161223
Google開發可在裝置上順暢執行的文字轉圖像模型MobileDiffusion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開發了可以在行動裝置上，以次秒（Subsecond）速度執行文字轉圖像的模型<a href="https://blog.research.google/2024/01/mobilediffusion-rapid-text-to-image.html">MobileDiffusion</a>。MobileDiffusion是一種高效的擴散模型，在iOS和Android高階裝置上，能在半秒內生成512x512的高品質圖像。MobileDiffusion相較於其他圖像生成模型小上許多，只有5.2億參數特別適用於行動應用部署。</p> <p>當前文字轉圖像擴散模型越來越成熟，使用者只要輸入文字提示，模型就可生成高品質圖像，但是先進的模型動輒擁有數十億個參數，因此執行成本也非常高昂，需要強大的桌面電腦或是伺服器才能快速運算。</p> <p>研究人員指出，造成文字轉圖像擴散模型效能低落的主要原因有兩個，第一是擴散模型固有設計需要迭代去噪生成圖像，而這需要對模型進行多次評估，第二則是文字轉圖像擴散模型網路架構的高複雜性，通常具有數十億參數導致運算成本高昂。</p> <p>由於這些效能上的障礙，儘管在行動裝置上執行生成式人工智慧模型，具有強化用戶體驗、高隱私性的好處，但目前研究仍相對較少。當然還是有一些提升文字轉圖像擴散模型效率的研究，像是透過數值求解器或是蒸餾技術，減少模型的功能評估數量（Number of Function Evaluations，NFE），希望藉由降低評估所帶來的運算負擔。但即便如此，由於模型架構仍然非常複雜，在行動裝置上即便是少量的評估步驟，仍然可能執行地很慢。</p> <p>MobileDiffusion則是研究人員試圖突破行動裝置有限運算能力的限制，藉由仔細檢視Stable Diffusion中UNet架構每個組成部分和計算操作，設計出高效文字轉圖像擴散模型。MobileDiffusion遵循潛在擴散模型的設計，具有文字編碼器、擴散UNet和圖像解碼器，研究人員使用適用於行動裝置的小模型CLIP-ViT/L14，作為MobileDiffusion文字編碼器，並將改進效率的重點，擺在擴散UNet和圖像解碼器上。</p> <p>擴散UNet是一種深度學習模型架構，用於生成或是轉換圖像，本身是一種特殊的卷積神經網路，其特點是具有對稱的U型結構，有助於模型在進行圖像處理時保留細節資訊。研究人員主要使用兩種方法來來提升擴散UNet的效率，第一是在模型瓶頸處，也就是資訊最集中的地方，使用更多的Transformer區塊以降低計算量，第二是使用輕量級可分離卷積。卷積區塊主要用於圖像特徵擷取，但是傳統卷積操作計算量大，因此研究人員透過使用可分離卷積，在不降低模型效能的情況下，減少需要的計算量。</p> <p>除了擴散UNet，研究人員也著手最佳化圖像解碼器，透過訓練變分自編碼器（Variational Autoencoder，VAE）簡化圖像表示，使圖像資訊能縮小至原圖八分之一，減少儲存和計算需求，並使用簡化版的解碼器明顯提高效能，在降低延遲接近50％的情況下，還可以維持甚至提升圖像品質。研究人員還採用了DiffusionGAN混合模型實現一步採樣，這是一種結合擴散模型和生成對抗網路（GAN）的新技術，能夠一步驟生成圖像，相較於傳統的多步驟方法快上不少。</p> <p>雖然MobileDiffusion只有5.2億個參數，卻可以生成不同領域的高品質圖像。由於MobileDiffusion只需要半秒鐘便可以在行動裝置上生成512x512圖像，因此可以在用戶邊輸入文字提示的同時，迅速生成圖像，能應用於行動裝置創造各種即時圖像生成體驗。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgc9IegNp6IHze1sPewUyoR_WouBi8jMhiThcaavD0SXFld3788eA89uyOP6gpmdCXSZMMuacrgQMJ61ygVJsLfE51tqTmmYS0C-GI9SaF_hEGlhTp_zTFXdW_AgXIP5CLCejKQVCsPrhycF8p_Rj9qQHR0J_kTO8Md7VT5R47IMJHinO6dkHn23lUlU7rf/s16000/image2.gif" style="width: 290px;" /><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhpz0XGSpMH9OVTd865uusar0AeXtu_26HD3tHzJHm2iEVeLYynBhi6pl0tidIYOoJVamc-NplnsNPCNl3vMX-qjqEZCYtndsl-9YjulMpLiDbP3Uws9cZ5ITjb0C3MNaVNC5mh-kbyKZYXn5rxBAuPLaHg_56ZAJfPOrkBfh44goI3CnEW-XZFDUvJgWAV/s16000/image5.gif" style="width: 290px;" /></p> </div></div></div>
2024/2/7 09:52作者李建興https://www.ithome.com.tw/news/161221
Google投百萬美元給Rust基金會，要強化C++與Rust互通性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://foundation.rust-lang.org/news/google-contributes-1m-to-rust-foundation-to-support-c-rust-interop-initiative/" target="_blank">Google向Rust基金會捐贈100萬美元</a>，主要是要改善Rust和C++程式語言之間的互通性。Rust基金會董事會主席暨Google會員總監Lars Bergstrom提到，他們相信Rust等記憶體安全語言對於提升安全性有著關鍵性的作用，且各領域存在迫切需要被解決的記憶體安全問題。Google之所以資助互通計畫，是因為Rust與C++有更大的互通性是Rust被採用的關鍵，也能讓更多組織和社群從記憶體安全的系統中受惠。</p> <p>而Rust基金會執行長Dr. Rebecca Rumbul提到，對於產品中擁有數百萬行C++程式碼的組織來說，要在合理的時間內用Rust重寫程式碼可能是不切實際的事。在Google的資助下，Rust基金會創建了新的互通性計畫，要使原本大量使用C++的組織，也能順利地轉移使用Rust。</p> <p>互通性計畫的目標，是支援現有的C++程式碼，能夠與Rust程式碼無縫互通，影響範圍涵蓋了全新程式碼、產品附加功能的程式碼，還有組織逐漸將當前C++程式碼搬移到Rust重新編寫的程式碼。基金會建議雇用一名或是多名互通計畫工程師，並提供資源以擴展現有的互通性工作，建構系統整合，甚至使用人工智慧進行C++到Rust的轉換。</p> <p>隨著Rust基金會開始著手制定互通計畫，他們也發現Rust專案許多成員，早已開始對Rust和C++互通性做出貢獻，像是Rust基金會銀級成員KDAB，就努力藉由使用Qt框架開發雙向Rust和C++綁定，也就是讓Rust和C++能夠透過Qt相互操作和整合，使開發者可以在同一應用程式或專案，靈活地使用兩種語言。</p> <p>Google近年在Android作業系統中大量採用Rust，以提高記憶體安全性，進而大幅減少記憶體安全漏洞，從2019年到2022年，Android記憶體漏洞數從222個降低至85個。Rust的使用不僅提升了安全性，也最佳化了系統的效能和穩定性。目前Android 13中有約21%程式碼使用Rust開發，涵蓋多個系統元件和功能。</p> </div></div></div>
2024/2/7 10:07作者李建興https://www.ithome.com.tw/news/161222
Fintech周報第230期：國內金融業者推出內部使用的生成式AI應用，玉山銀行和凱基人壽首先揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">1/27~2/6金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 玉山銀行</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <h3>玉山銀行揭露AI發展策略，先對內部推出通用型GAI平臺</h3> <p>去年底，金管會公布金融業運用AI指引草案，即便草案仍在60天的公開徵詢意見期間，不少金融業者已開始擬定新的AI發展策略，布局生成式AI應用。玉山銀行近期揭露，內部正在積極拓展AI服務，要從制度、人才、資訊和服務四大構面著手發展AI。</p> <p>首先，在制度方面，由智能金融處負責AI研發與落地，推動行銷、流程、服務、風管、賦能五大AI服務模組，以及生成式AI應用。他們透過跨團隊的方式兼顧技術演進和監管需求。在AI運用原則和政策上，玉山以產學合作形式，和學界共同研擬AI治理框架與風險管理機制。</p> <p>更重要的是，玉山已在內部推出可作為OA智能助理的通用型GAI平臺。該平臺可輸入和輸出多種格式，包含文字、照片、聲音、影像和檔案等，平臺的知識庫有金融業專有業務場景知識，和金融產品資訊，能讓員工因應不同業務需求推出特定型GAI服務，例如，生成市場資訊摘要、法規文件比對與程式碼教學等工作。</p> <p>去年11月，玉山就曾公開展示內部的生成式AI應用。他們利用生成式AI建立智能回覆生成Chatbot，創造法律搜尋引擎，協助人員快速掌握內外部法條關聯。系統中提供文本比對功能，能自動比對公司內部法條。內部人員只要輸入提問，就能了解對應的公司內部規範和相關法規內容。</p> <p>此外，玉山也展開上雲計畫，目標在雲端平臺上建立資料湖，同時，以混合雲架構進行自動化資料上雲與資料品質監控等工作，並發展雲端備援與備份機制。在人才方面，玉山除了透過黑客松、主題工作坊和教育訓練課程培養內部AI能力，也透過輪調和兼任的方式培育人才。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 凱基人壽</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <h3>凱基人壽以生成式AI打造內部教練，協助提升業務員能力</h3> <p>凱基人壽近期揭露一項內部應用，他們以生成式AI打造業務員教練，名為「智能對練2.0」。這套系統能模擬客戶設定，並與業務員進行情境式對答，訓練業務員的應對能力，還能快速彙整業務員所需資訊，讓業務員能以問答的方式取得摘要，快速掌握商品專業知識和銷售技能。</p> <p>凱基人壽表示，率先將生成式AI技術導入業務員訓練系統後，未來計畫透過生成式AI，快速彙整業務員手冊的資訊，協助業務員提高學習效率。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 萬事達卡</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>萬事達卡導入生成式AI，偵測盜刷或詐欺交易</h3> <p>近期，萬事達卡宣布將推出導入生成式AI的交易偵測解決方案，藉由生成式AI的能力，掃描一兆個數據，以預測交易是否含有詐欺可能。</p> <p>萬事達卡表示，初步結果顯示，模型導入生成式AI後，平均提升20%的詐欺偵測能力，在部分情況中甚至能提升三倍的效果。此外，導入生成式AI也能提高精確性，減少85%以上的誤報數量。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 2024年施政重點 </span></strong></span></h3> <h3>金管會公布2024年多項金融科技政策時程</h3> <p>金管會近期揭露今年多項金融科技推動事項和辦理時程，涵蓋電子支付、AI、金融FIDO、保險數位轉型、資料共享、雲端服務和資安與聯防措施等。例如，金管會將在年底前發布跨市場資料共享的資料治理指引，在今年第一季備查銀行公會所報的「金融機構運用AI技術作業規範」，正式實施規範，以及在今年第二季核准電支跨機構共用平臺提供「跨境」消費功能，讓民眾在境外商家也能以電支App付費。</p> <p>此外，保險科技也是今年推動重點。除了要在年底前完成10件以上的創新型保險服務試辦案審查，金管會也將在第三季檢討修正「保險業辦理電子商務應注意事項」，擴大業務範圍，增加可辦理的網路投保和網路保險服務。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 主題式推廣 </span></strong></span></h3> <h3>金管會選定「防範詐騙及金融犯罪」作為今年金融科技主題式推廣活動</h3> <p>金管會去年推出綠色金融科技的主題式推廣活動，輔導企業開發出一套防漂綠方案，協助金融業和主管機關審查人員判斷企業是否有漂綠疑慮，或是進一步追蹤企業的永續行為。</p> <p>今年，金管會選定金融防詐的主題，希望提升金融機構在偵測、防範及應對詐騙案件的效率。金管會預計在今年第一季啟動聯合自主實證機制，金融業者可以與科技業者合作，運用隱私強化技術和AI等技術，針對防範詐騙及金融犯罪議題研發解決方案。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 德意志銀行 </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 裁員 </span></strong></span></h3> <h3>導入自動化並優化工作流程後，德意志銀行預計裁減3500個職位減少營運成本</h3> <p>德意志銀行在2022年提出一項預計縮減25億歐元成本的計畫，截至2023年，公司已成功縮減9億歐元開銷。不過，依照計畫目標，尚需縮減16億歐元成本。德意志銀行表示，他們將藉由兩項措施實現計畫目標。</p> <p>第一，更新基礎設施和導入技術，包括汰換應用程式和改進營運模式。第二，優化銀行平臺，重新設計前後端流程，例如，簡化工作流程和導入自動化。德意志銀行表示，這些措施將導致減少3500個職位，主要為非面向顧客的工作領域。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 匯豐銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨境支付 </span></strong></span></h3> <h3>匯豐銀行推出跨境支付App，挑戰英國純網銀</h3> <p>匯豐銀行在1月推出一款名為Zing的跨境支付App，使用者可以持有10種外幣，支援超過30種幣種支付和轉帳，只要註冊即可使用，不必額外辦理匯豐銀行業務。這項業務目前只在英國推出，不過，匯豐銀行計畫在未來幾個月內將Zing推向其他地區，打造一個全球性的跨境支付平臺。</p> <p>Zing推出後引起英國金融圈的討論，連英國純網銀Wise都歡迎匯豐加入跨國匯款的競爭，讓跨境匯款的手續費更加透明化。金融科技評論家Chris Skinner指出，匯豐已挖角不少金融科技業人員進入Zing，更投資了金融科技公司，並喊出要將Zing打造為全球性的國際支付平臺，可見匯豐拓展創新業務的野心。目前，匯豐銀行在全球擁有3900萬用戶數，涵蓋62個國家和地區，有利於將業務推展至全球。</p> <p></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-02-06%20144331.png" style="width: 600px;" /></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年2月</p> </div></div></div>
2024/2/6 15:41作者李昀璇https://www.ithome.com.tw/news/161210
【資安日報】2月6日，駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大約3、4年前，<a href="https://www.ithome.com.tw/news/139454">用深度學習（Deep Learning）進行AI影像合成的假訊息及詐騙手法Deepfake出現</a>，引起資安界高度關注，而最近有2起事故再度讓Deepfake帶來的威脅浮上檯面。</p> <p>其中之一是網路上有人利用<a href="https://www.ithome.com.tw/news/161083">這類技術產生知名歌手Taylor Swift的色情照片</a>；而另一起則是直接造成財務損失，駭客用於對跨國企業財務人員的視訊會議詐騙，利用該公司高階主管網路上公開的影片進行合成，讓這名員工信以為真。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;">跨國企業遭到Deepfake視訊會議詐騙，損失2億港幣</strong></p> <p></p> <p>根據香港電臺、Hong Kong Free Press、CNN等媒體的報導，香港警方指出，他們接獲跨國公司報案，員工收到來自該公司駐英國財務長的電子郵件，通知要進行秘密交易。</p> <p>起初這名員工認為是釣魚郵件而產生懷疑，但在進行視訊會議通話後放下戒心，因為所有與會者的長相、聲音都像認識的同事，所以，該名員工依照對方指示，向5個銀行帳號匯入2億港元（相當於2,560萬美元、新臺幣8億元），直到他向公司總部進一步確認才驚覺上當。香港警方表示，除了受害者，其他參與這場會議的人士全部都是歹徒由Deepfake產生而成。</p> <p>資料來源</p> <p>1. <a href="https://news.rthk.hk/rthk/ch/component/k2/1739101-20240204.htm">https://news.rthk.hk/rthk/ch/component/k2/1739101-20240204.htm</a><br /> 2. <a href="https://hongkongfp.com/2024/02/05/multinational-loses-hk200-million-to-deepfake-video-conference-scam-hong-kong-police-say/">https://hongkongfp.com/2024/02/05/multinational-loses-hk200-million-to-deepfake-video-conference-scam-hong-kong-police-say/</a><br /> 3. <a href="https://edition.cnn.com/2024/02/04/asia/deepfake-cfo-scam-hong-kong-intl-hnk/index.html">https://edition.cnn.com/2024/02/04/asia/deepfake-cfo-scam-hong-kong-intl-hnk/index.html</a></p> <p><a href="https://unit42.paloaltonetworks.com/mispadu-infostealer-variant/"><strong style="font-size: 22px;">金融木馬Mispadu透過Windows SmartScreen漏洞滲透</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/chrome_oiAVjBMx2B_20240206-1602-11924.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/chrome_oiAVjBMx2B_20240206-1602-11924.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks針對近期金融木馬Mispadu的攻擊行動提出警告，駭客以Delphi打造惡意程式，並透過釣魚郵件散布，主要針對拉丁美洲而來，而在去年的攻擊行動裡，駭客利用ZIP壓縮檔案挾帶網際網路捷徑檔案（.URL），鎖定墨西哥用戶下手，但也有歐洲地區用戶受害。</p> <p>一旦使用者開啟這個捷徑檔，就會觸發Windows SmartScreen防護機制的漏洞CVE-2023-36025（CVSS風險評分為8.8），從而繞過上述機制的警示訊息，於受害電腦植入Mispadu，該惡意程式啟動時，會根據使用者的地理位置來採取對應的攻擊流程，並與C2連線將電腦資料外流。</p> <p><a href="https://www.sentinelone.com/blog/backdoor-activator-malware-running-rife-through-torrents-of-macos-apps/"><strong style="font-size: 22px;">後門程式Activator假借macOS應用程式散布，停用作業系統內建的防護機制</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-02-01-at-10_45_27 AM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-02-01-at-10_45_27%E2%80%AFAM.jpg" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露鎖定Mac電腦而來的攻擊行動，駭客假借提供付費軟體的破解版本，目的是散布能夠洗劫加密貨幣錢包的後門程式Activator。</p> <p>針對這支惡意軟體的活動，有其他資安公司展開進一步調查。資安業者SentinelOne指出，駭客宣稱超過70款付費應用程式的破解工具，企圖大規模感染Mac電腦，目的很可能是要建立macOS作業系統的殭屍網路，或是用來散布其他惡意程式。研究人員針對駭客提供的破解軟體進行分析，指出當中包含付費版軟體，以及名為Activator的破解程式，一旦使用者啟用破解工具，電腦就會要求輸入管理員密碼，但若是照做，就會關閉Gatekeeper，電腦就會允許任意來源的應用程式執行；接著Activator便會檢查電腦上是否含有Python元件，然後運用嵌入的程式碼停用通知中心，從而在使用者看不到通知的情況下，部署名為LaunchAgent的工具，並且從遠端下載、執行Python指令碼。</p> <p>值得注意的是，多數防毒軟體無法偵測這些破解工具，因為研究人員將他們找到的逾70個Activator檔案，傳送到惡意程式分析網站VirusTotal進行分析，結果部分僅有少數防毒引擎視為有害，甚至有些檔案全數防毒引擎皆標示無害。</p> <p><a href="https://www.akamai.com/blog/security-research/fritzfrog-botnet-new-capabilities-log4shell"><strong style="font-size: 22px;">殭屍網路FritzFrog利用Log4Shell及PwnKit漏洞散布惡意程式</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/fritzfrog-botnet-new-capabilities-log4shell-fig4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fritzfrog-botnet-new-capabilities-log4shell-fig4.png" style="width: 300px; float: right;" /></a>點對點（P2P）殭屍網路FritzFrog從2020年開始出現，所使用的電腦病毒是以Go語言打造而成，可協助駭客透過SSH暴力破解手法，攻擊x86及Arm主機並進行控制，將其用於挖礦，最近出現了新的手法。</p> <p>資安業者Akamai揭露名為Frog4Shell的攻擊行動，他們發現經營殭屍網路FritzFrog的駭客在所用的病毒程式加入新的功能，其中最引起研究人員關注的手法，是利用2021年揭露的漏洞Log4Shell，鎖定醫療保健、教育單位、政府部門而來。研究人員指出，過往這些駭客針對曝露在網際網路的主機下手，但現在也對內部主機發動攻擊，原因是企業在資源有限的情況下，通常會優先修補對外的伺服器，而對內主機就有可能被忽視而未進行相關的處理。</p> <p>他們看到此惡意程式呼叫特定的Go功能函數，來識別能夠存取的子網路，然後掃描8080、8090、8888、9000連接埠，尋找存在Log4Shell的目標，成功控制後從指定的LDAP主機下載Java類別檔並執行，最終於受害主機植入殭屍網路病毒。值得留意的是，駭客為了提升權限，過程中還會利用名為PwnKit的漏洞（CVE-2021-4034），而且，為了避免行蹤曝光，對方在執行FritzFrog的過程會儘可能在記憶體進行。</p> <p><a href="https://twitter.com/Shadowserver/status/1754145361029960189"><strong style="font-size: 22px;">Ivanti Connect Secure的SSRF零時差漏洞遭到多組駭客利用</strong></a></p> <p></p> <p>1月上旬Ivanti公布SSL VPN系統Connect Secure（ICS）零時差漏洞CVE-2023-46805、CVE-2024-21887，經過調查之後，又於31日發現伺服器請求偽造（SSRF）零時差漏洞CVE-2024-21893，但並未透露被用於攻擊行動的細節，最近有研究團隊公布分析結果。</p> <p>2月4日Shadowserver基金會提出警告，他們發現在資安業者Rapid7發布概念性驗證程式碼（PoC）之前，多個駭客組織透過逾170個IP位址，嘗試發動漏洞利用攻擊。值得留意的是，這項漏洞的利用量，明顯較其他ICS弱點來得多，這突顯駭客鎖定的目標出現了轉變，而且，駭客是在PoC公布之前就開始從事攻擊行動，代表駭客已掌握利用這項漏洞的作法。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hpe-investigates-new-breach-after-data-for-sale-on-hacking-forum/"><strong style="font-size: 22px;">HPE傳出內部資料流出駭客論壇，該公司著手調查駭客的說法</strong></a></p> <p></p> <p>今年1月IT業者HPE向美國政府通報，他們的Microsoft 365電子郵件服務遭駭，攻擊者身分是俄羅斯駭客組織APT29（亦稱Cozy Bear、Midnight Blizzard），如今再傳資料外洩事故，有人將該公司的資料流入駭客論壇兜售。</p> <p>根據資安新聞網站Bleeping Computer的報導，名為IntelBroker的駭客組織於駭客論壇上宣稱握有HPE的內部資料，包括存取CI/CD環境的資料、系統事件記錄、組態檔案、Token，以及該公司備份系統StoreOnce的檔案等資料。</p> <p>對此，HPE全球通訊資深總監Adam R. Bauer向該新聞網站表示，他們對上述駭客的說法知情，並著手調查此事，但根據他們初步調查的結果，目前尚未發現遭到入侵的跡象，HPE產品及服務不受影響，他們也沒有遭到勒索。</p> <p><a href="https://www.cybersecuritydive.com/news/fbi-china-hackers-us-critical-infrastructure/706307/"><strong style="font-size: 22px;">美國聯邦調查局長警告中國駭客正在攻擊美國關鍵基礎設施，目的是在中國政府侵略臺灣時阻止美國行動</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/director-wray-testifies-about-cyber-threats-from-china-013124.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/director-wray-testifies-about-cyber-threats-from-china-013124.jpg" style="width: 300px; float: right;" /></a>1月底美國政府證實，聯邦調查局（FBI）於去年12月取得授權，打擊中國駭客組織Volt Typhoon的攻擊行動，遠端從受到感染的網路裝置當中刪除了KV Botnet殭屍網路病毒。當時網路安全暨基礎設施安全局（CISA）局長Jen Easterly指控，這些駭客埋伏於該國關鍵基礎設施，目的就是打算在美國發生重大危機或是衝突時，發動破壞性的攻擊，如今有其他官員也提出類似的觀點並提出警告。</p> <p>1月31日聯邦調查局局長Christopher Wray在眾議院特別委員會發表致詞時提到，中國駭客正在攻擊美國的關鍵基礎設施，一旦中國政府決定發動攻擊，目標將不限於政治與軍事機構，他認為現在中國的網路攻擊不光只是為未來的軍事行動做準備，而是已經從經濟層面下手，大規模竊取美國智慧財產與相關資料，強調美國政府無法再對其威脅視而不見。</p> <p>根據該國情報中心的評估，中國打算於美國關鍵基礎設施埋入後門，以便在對臺灣發動戰爭時進行破壞，削弱美國援助臺灣的能力，但駭客這麼做，很有可能危及美國民眾的人身安全。</p> <p>資料來源</p> <p>1. <a href="https://www.fbi.gov/news/speeches/director-wrays-opening-statement-to-the-house-select-committee-on-the-chinese-communist-party">https://www.fbi.gov/news/speeches/director-wrays-opening-statement-to-the-house-select-committee-on-the-chinese-communist-party</a><br /> 2. <a href="https://www.fbi.gov/news/stories/china-s-hackers-have-entire-nation-in-their-crosshairs-fbi-director-warns">https://www.fbi.gov/news/stories/china-s-hackers-have-entire-nation-in-their-crosshairs-fbi-director-warns</a><br /> 3. <a href="https://www.fbi.gov/news/testimony/the-ccp-cyber-threats-to-the-american-homeland-and-national-security">https://www.fbi.gov/news/testimony/the-ccp-cyber-threats-to-the-american-homeland-and-national-security</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.pentestpartners.com/security-blog/hacking-electronic-flight-bags-airbus-navblue-flysmart-manager/"><strong style="font-size: 22px;">空中巴士的飛行員應用程式存在漏洞，恐影響飛行安全</strong></a></p> <p></p> <p>滲透測試業者Pen Test Partners指出，空中巴士（Airbus）旗下IT業者Navblue為飛機駕駛人員開發的電子飛行工具包軟體套件Flysmart+存在漏洞，一旦遭到利用，有可能影響飛行安全。</p> <p>研究人員針對該套件的iOS應用程式進行分析，結果發現該軟體停用了蘋果作業系統內建的網路安全機制App Transport Security（ATS），從而允許不安全的連線，而有可能導致中間人攻擊（MitM），此外，上述弱點甚至有可能讓攻擊者從Navblue伺服器裡，下載含有飛機資訊、起飛效能資料的SQLite資料庫，並能竄改飛機的性能資料、機場資料，而有可能造成飛機起飛時尾部撞擊地面，或是偏離跑道。</p> <p>該資安業者於2022年6月進行通報，空中巴士於去年5月表示已向客戶提供緩解措施。</p> <p><a href="https://www.securityweek.com/mitsubishi-electric-factory-automation-flaws-expose-engineering-workstations/"><strong style="font-size: 22px;">三菱電機工業自動化系統存在漏洞，攻擊者可導致系統服務中斷、執行任意程式碼</strong></a></p> <p></p> <p>1月30日日本電子設備製造商三菱電機發布資安公告，指出旗下數款工廠自動化設備存在身分驗證繞過漏洞CVE-2023-6942、遠端執行任意程式碼漏洞CVE-2023-6943，影響EZSocket、FR Configurator2、GT Designer3、GX、MT Works、MELSOFT Navigator、MX系列產品線，CVSS風險評分為7.5、9.8。</p> <p>攻擊者有可能串連上述漏洞，對目標系統進行控制。未經授權的攻擊者可發送特製封包來利用CVE-2023-6942，從而繞過身分驗證流程，接著，攻擊者可進一步遠端呼叫含有惡意程式庫的功能，利用另一個漏洞執行惡意程式碼，最終導致設備的資訊遭到洩露或是摧毀，設備甚至有可能無法運作（DoS）。</p> <p>值得留意的是，三菱電機尚未發布修補程式，他們呼籲管理者應透過網路安全措施來降低風險；美國網路安全暨基礎設施安全局（CISA）也於同日發出警告。</p> <p>資料來源</p> <p>1. <a href="https://www.mitsubishielectric.com/en/psirt/vulnerability/pdf/2023-020_en.pdf">https://www.mitsubishielectric.com/en/psirt/vulnerability/pdf/2023-020_en.pdf</a><br /> 2. <a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-030-02">https://www.cisa.gov/news-events/ics-advisories/icsa-24-030-02</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.securityweek.com/qnap-patches-high-severity-bugs-in-qts-qsync-central/"><strong><span style="font-size: 20px;">威聯通修補NAS作業系統QTS、檔案同步系統Qsync Central高風險漏洞</span></strong></a></p> <p></p> <p><a href="https://thehackernews.com/2024/02/pegasus-spyware-targeted-iphones-of.html"><strong><span style="font-size: 20px;">約旦記者、社會運動人士、人權律師的手機遭間諜軟體Pegasus跟蹤</span></strong></a></p> <p></p> <p><a href="https://www.rti.org.tw/news/view/id/2195149"><strong><span style="font-size: 20px;">菲律賓總統及政府機關網站遭到攻擊，指控攻擊者來自中國</span></strong></a></p> <p><strong><a href="https://www.cna.com.tw/news/aipl/202402050297.aspx"><span style="font-size: 20px;">軍情局內部公文傳出流入駭客論壇，資安署表示情報機關不會向他們通報</span></a></strong></p> <p><strong><a href="https://cert.gov.ua/article/6277422"><span style="font-size: 20px;">美國政府將針對利用間諜軟體從事攻擊的人士祭出制裁，將拒絕提供簽證</span></a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161188"><strong>【2月5日】知名遠端桌面連線軟體AnyDesk證實伺服器遭駭並撤換程式碼簽章</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161155"><strong>【2月2日】美國下令聯邦機構限時切斷Ivanti Connect Secure與內部網路環境之間的連線並著手清查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161129"><strong>【2月1日】Ivanti旗下SSL VPN解決方案的零時差漏洞在修補前傳出第2波攻擊行動</strong></a></p> </div></div></div>
2024/2/6 16:04作者周峻佑https://www.ithome.com.tw/news/161212
開始提供Wi-Fi 7基地臺，Foritinet資安鐵三角添新成員
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/fortinet_fortiap_441k_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>環顧市面上的網路安全設備廠商，針對區域網路的運用，多數會提供整合資安防護與有限、無線網路連線能力的設備，少數提供獨立的Wi-Fi基地臺與網路交換器，像是Sophos的Sophos Wireless與Sophos Switch，以及Fortinet的FortiSwitch與FortiAP。</p> <p>為何身為資安廠商，卻持續同時提供Wi-Fi基地臺與交換器？以Fortinet為例，其實與近年來他們主推的資安鐵三角解決方案有關。透過整合防火牆、網路交換器、無線基地臺等三種設備，達到單一控管，使資安防護從根源的交換器、無線基地臺做起，若發現資安威脅，就可以及早透過單一管控平臺隔絕這些高風險連網裝置，避免橫向感染。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2019-12-Fortinet資安鐵三角-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2019-12-Fortinet%E8%B3%87%E5%AE%89%E9%90%B5%E4%B8%89%E8%A7%92-1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2021-11-FortiAP-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-11-FortiAP-2.jpg" style="width: 398px;" /></a></p> <p>就Wi-Fi新規格的支援來看，以Wi-Fi 6而言，Sophos在2023年8月發表AP6系列基地臺，當中有3款支援Wi-Fi 6，兩款支援Wi-Fi 6E；而Fortinet早在2019年6月，就發表兩款支援Wi-Fi 6的機型，後續擴充為室內型4款、室外型2款、強固型1款、壁掛型1款，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2021-11-FortiAP-1.jpg" style="width: 600px;" /></p> <p>到了2023年上半，他們推出4款支援Wi-Fi 6E的機型，今年1月發表該公司第一批Wi-Fi 7基地臺，機型名為FortiAP 441K與FortiAP 443K。</p> <p>然而，在當前商用Wi-Fi網路設備產品中，已宣布推出Wi-Fi 7基地臺的廠商並不多，何以Fortinet現在就要發表這類產品？他們表示，隨著AR、VR及企業上雲等需求崛起，企業需要更快速的網路支援這些新技術，Wi-Fi 7將是大勢所趨，因此預期今年會有大量Wi-Fi 7設備上市，而在因應市場趨勢變化，以及新技術普及過程當中，常會出現新的漏洞和攻擊面的考量之下，Fortinet決定推出支援Wi-Fi 7的解決方案，守護客戶連網安全。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Fortinet%20FortiAP%20443K%20and%20441K.png" style="width: 600px;" /></p> <p>Fortinet這批網路設備採用高通（Qualcomm）的Networking Pro 1220平臺，與先前我們報導的兆勤WBE660S一樣，支援Wi-Fi 7的相關功能，像是4K QAM、320 MHz頻道、多重連接運作模式（MLO）、多個資源單元（Multi-RU）與前訊穿透（Preamble Puncturing或Punctured Transmission）；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Qualcomm Wi-Fi 7 AP overview-2024-02-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcomm%20Wi-Fi%207%20AP%20overview-2024-02-06-1.jpg" style="width: 600px;" /></a></p> <p>而在Wi-Fi無線通訊頻段上，可使用4個，例如，2.4 GHz、5 GHz、6 GHz各占1個，頻寬分別為20/40MHz、20/40/80/160/240MHz、20/40/80/160/320MHz，可服務的個人端裝置數量最多均為512臺，至於第4個頻段橫跨前述3個頻段，可用來掃描非法使用的Wi-Fi裝置，或協助正常使用；同時，它們也利用4個空間串流（spatial streams）來進行傳輸，以及4x4架構天線收發訊號（2.4 GHz、5 GHz、6 GHz這3個頻段皆為4x4，第4個頻段為2x2）。此外，它們內建兩個10 GbE埠，以及支援低功耗藍牙（BLE）與Zigbee，以及GPS等無線通訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FortiAP-Wi-Fi 7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FortiAP-Wi-Fi%207.jpg" style="width: 600px;" /></a></p> <p>而在網路傳輸效能上，Fortinet的Wi-Fi 7基地臺帶來哪些突破？首先，在連線能力上，FortiAP 441K能在相同的組態下，提供2倍的速度；其次，這些產品支援4K QAM，促成更快的資料傳輸速度，所以，可因應需要大量頻寬的企業應用系統，像視訊串流、協同作業等類型的工具；第三，它們可使用320 MHz頻道，因此能運用更寬廣的頻譜，以改善資料傳輸速度與降低延遲，確保終端使用者的上網體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcom%20Wi-Fi%207-Wider%20Channels.png" style="width: 200px;" /></p> <p>第四，受益於MLO、Preamble Puncturing等機制的幫忙，使得他們Wi-Fi 7基地臺在無線通訊頻道的使用更有彈性，以確保連線具有高度韌性與可靠度，維持業務持續上線運作與生產力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcom-Wi-Fi%207-MLO.jpg" style="width: 398px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcom%20Wi-Fi%207-Puncturing.png" style="width: 600px;" /></p> <p> <span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Fortinet FortiAP 441K</strong><br /> ●原廠：Fortinet<br /> ●建議售價：廠商未提供<br /> ●支援無線網路規格：802.11 a/b/g/n/ac/ax/be<br /> ●網路介面：2個10 GbE埠（支援PoE）<br /> ●天線架構：6 GHz、2.4 GHz、5 GHz為4x4:4，MU-MIMO<br /> ●傳輸速度：總共為21.33 Gbps，6 GHz為11.53 Gbps，5 GHz為8.65 Gbps，2.4GHz為1.15 Gbps<br /> ●支援供電方式：DC、PoE<br /> ●整合其他無線通訊技術：低功耗藍牙、Zigbee<br /> ●尺寸：25 x 25 x 5.75公分<br /> ●重量：1.98公斤<br /> ●集中管理平臺：FortiLAN Cloud、FortiGate</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/6 16:20作者李宗翰https://www.ithome.com.tw/review/161189
現代技術成功閱讀了被火山爆發淹沒的碳化紙卷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://scrollprize.org/grandprize" target="_blank">維蘇威火山挑戰賽（Vesuvius Challenge）周一（2/5）頒發了70萬美元予由Youssef Nader、Luke Farritor及 Julian Schilliger所組成的團隊</a>，因為他們利用電腦視覺與機器學習技術，成功地辨識了2000年前遭維蘇威火山爆發淹沒，且已碳化的赫庫蘭尼姆紙莎草紙卷（Herculaneum Papyri）中的4個段落，以及每個段落中的140個字元。</p> <p>Herculaneum Papyri指的是在羅馬古城赫庫蘭尼姆（Herculaneum）一棟別墅中所發現的逾1,800卷莎草紙（Papyri）卷軸，該別墅在西元79年因維蘇威火山爆發而整個被吞沒，人們一直到18世紀才發現這個被熱泥與灰燼所掩埋的別墅，以及別墅中的大量莎草紙卷軸，之後該建築亦因此被直接命名為莎草紙別墅（Villa of the Papyri）。維蘇威火山挑戰賽鎖定的是存放在義大利圖書館中的800多個卷軸。</p> <p>這些卷軸皆已碳化，而且非常脆弱，當科學家們企圖以物理方式將它們打開時，往往直接使它們化為塵土。</p> <p>維蘇威火山挑戰賽的發想始於2019年，當時肯塔基大學教育實驗室的教授Brent Seales於一個粒子加速器中對赫庫蘭尼姆卷軸進行成像，生成解析度達4 μm 的3D CT掃描。該團隊也掃描並拍攝了帶有可見墨水的卷軸碎片，Seales的學生Stephen Parsons成功地利用機器學習模型偵測到碎片中的墨水，引起科技企業家Nat Friedman與Daniel Gross的注意，而在2023年3月發起維蘇威火山挑戰賽，獎賞任何開發相關工具、技術或發現結果的研究人員。</p> <p>2023年8月，<a href="https://caseyhandmer.wordpress.com/2023/08/05/reading-ancient-scrolls/" target="_blank">JPL創辦人Casey Handmer透過持續數小時地觀察3D CT掃描作品</a>，發現卷軸中有著看起來像是墨水的裂紋圖案，並聲稱已經碳化的卷軸中藏著一封信。</p> <p>接著一名大學生Luke Farritor則開始在閒暇時訓練一個關於裂紋模式的機器學習模型，且模型能力會隨著每一個裂紋的發現而自動精進，再以可見的數十個墨水痕跡與完整字母進行訓練，最終得到了該挑戰賽的「首批字母獎」（First Letters Prize），贏得4萬美元獎金。此一獎項要求參賽者必須在4平方公分的範圍內找到至少10個字母，Farritor找到的是ΠΟΡΦΥΡΑΣ ，是古文的紫色（Porphyras）。</p> <p class="rtecenter"><img alt="" src="https://pbs.twimg.com/media/F8Pnao7bUAANEgr?format=jpg&name=small" style="width: 600px;" /></p> <p><a href="https://twitter.com/natfriedman/status/1712470683207532906" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nat Friedman</span></span></a></p> <p>另一名生物機器人研究生Youssef Nader採用不同的方法，他改善Parsons用在碎片中的機器學習方法，利用領域移轉技術以讓相關模型適用於卷軸，針對卷軸資料進行無監督預訓練，再針對標籤進行微調；Nader還設法找到了字母，並於標籤資料中註釋了看起來像是字母的圖像，不斷地重複進行使得卷軸內產生許多片段的推測性標籤，用不同的方法在同樣的區域找到了一致的ΠΟΡΦΥΡΑΣ，亦替他帶來了1萬美元的獎金。</p> <p>隨後大會亦決定頒發1萬美元獎金予激發選手靈感的Handmer。</p> <p>維蘇威火山挑戰賽是以眾包及累積的方式持續進行著，其中的一項大獎高達70萬美元，要求參賽者必須找出4個段落，每個段落至少140個字元，且有85%的字元是可恢復的，在有了先前的經驗之後，曾獲得3項分割工具獎（Segmentation Tooling Prizes）的Julian Schilliger與兩名得到首批字母獎的Farritor及Nader共同組成了超級團隊，透過3個不同卻相互支援的模型，成功辨識出卷軸中的逾2,000個字元，在超乎標準的情況下拿下了大獎。</p> <p>迄今該挑戰賽的第一階段已成功展開並閱讀了第一卷的5%內容，內容與音樂、感官及快樂有關。簡單地說，此一進展來自於掃描、分割（偵測紙卷中的皺褶並將它們展開或壓平），與墨跡檢測。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0206-Vesuvius%20Challenge-Technical%20Overview.jpg" style="width: 600px;" /></p> <p><a href="https://scrollprize.org/tutorial1" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Vesuvius Challenge官方網站</span></span></a></p> <p>在宣布第一階段大獎得主的同時，該挑戰賽亦宣布將邁入第二階段，指出現階段每平方公分花費了超過100萬美元來製作目前可閱讀的文本，若依照此一價格，分割所有卷軸將耗資數億甚至數十億美元，因此接下來將專注於自動化，第二階段的主要目標便是完善自動分割。</p> <p>維蘇威火山挑戰賽表示，它們在第一階段從一個碳塊中提取了15列從未見過的文本，現在已具備相對成熟的技術，得以虛擬展開莎草紙捲軸並使用機器學習來識別墨水，今年的新目標是從一個捲軸的5%增加到掃描的所有4個卷軸的90%，以替閱讀800個卷軸奠定基礎。</p> </div></div></div>
2024/2/6 16:59作者陳曉莉https://www.ithome.com.tw/news/161220
【提升AI治理能力，促使AI受到廣泛信任】KPMG提出AI風險治理框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對各種生成式AI的應用日益普及，固然帶來便利，但越來越多人更關注AI治理可能面臨的風險。</p> <p>臺灣KPMG安侯企管顧問執行副總經理林大馗表示，進一步參考SSDLC（安全的軟體開發生命周期）、各國家的AI法案和各種AI標準，我們可以發現，如果要落實AI的風險治理，可以先從落實數據治理、雲端治理、資訊治理，接下來，才能再進一步做到AI治理，繼而推動AI治理最終目的：利害關係者都願意相信演算法會做正確的決定。</p> <p>而他認為，不論企業或是組織想要做到AI治理，都應該建立一個可供參考的框架，進而提升AI的信任度，並且做到AI的風險評估，以及AI的治理，這些都會是整個人類社會必須共同面對的重大挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%BD%A5%E6%A3%BB-AI%E6%B2%BB%E7%90%86-AI%E9%A2%A8%E9%9A%AA%E6%B2%BB%E7%90%86%E6%A1%86%E6%9E%B6-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-KPMG.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">參考安全的軟體開發生命周期、各國AI法案和多種AI標準後，KPMG認為，企業與組織若欲落實AI的風險治理，可以先從數據治理、雲端治理、資訊治理之後，再來做到AI治理，目的就是要做到利害關係者，願意相信演算法會做正確的決定。</span></strong><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／KPMG</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>先做到數據、雲端、資訊的治理，才能做到AI治理</strong></span></span></p> <p>「慎始！」林大馗表示，所有的AI應用最重要的，就是剛開始要決定「範圍」，包括：科技應用情境與治理範圍。</p> <p>然後做到「分析」科技應用責任後，再「識別」目標使用者應用的目的與情境，下一步，便可以「評估」AI應用情境與適法性風險。</p> <p>後續須做到「數據治理」：評估數據品質風險，確認資料來源與正確，也須對相關AI應用進行「AI風險評估」；接著進行「資訊治理」：評估其他雲端服務與資訊設備面向衝擊，例如，所運用的演算法是否可能遭受其他攻擊，或是隱私保護缺陷等風險。</p> <p>接著，進入「決定AI應用範圍與發展生命週期階段」，選擇演算法或第三方大型模型，並在AI設計過程「融入隱私與安全」，同時做到保存相關處理記錄，接下來還要進行「演算法調校與測試」：不僅要做到演算法效能與安全分析，還要測試數據深度學習，並且要確認演算法是否能夠滿足需求。</p> <p>最後，在導入、部署與深度學習後，還是要做到「持續監控」與改善，並對使用者進行安全「教育訓練」、宣導與應用推廣，還可以視需求，進行「獨立確信與審驗」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/22-23-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E6%B2%BB%E7%90%86-%E6%8A%BD%E8%A8%80-600.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／KPMG</span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>AI成駭客詐騙、偽冒身分利器，「眼見為憑」將不可信</strong></span></span></p> <p>對於企業和組織而言，又該如何架構AI資安防護呢？林大馗說，包括強化基礎網路架構韌性，以及打造多層次零信任架構（Zero Trust），這些都是可行的方法。</p> <p>他進一步指出，目前AI已經可以做到的方式，包括：使用AI來訓練防禦系統，識別和防禦AI攻擊；也可以建構多層次網路安全措施，提高防禦AI攻擊的有效性。</p> <p>另外，也要做到定期更新安全軟體和修補漏洞，減少AI攻擊的成功率；提高員工的安全意識，可以幫助員工識別和防禦AI攻擊。</p> <p>對此，林大馗提出生成式AI遭網路犯罪集團濫用，提高虛擬犯罪效率的例子。</p> <p>因為這些隱藏在網路背後的虛擬綁匪，已經能夠做到利用語音複製、SIM卡挾持、ChatGPT以及社群網路分析與傾向（SNAP）模型，尋找最有利可圖的目標並執行詐騙。</p> <p>又或者這些網路犯罪份子都開始利用AI工具，建立層層自動化蒐集資訊、發掘魚叉式網路捕鯨，或以愛情詐騙手法攻擊高知名度受害者。他坦言，現在蓬勃發展的生成式AI，已經成為軍火庫，駭客能藉此發動各種網路攻擊、入侵，甚至，可以成功達到詐騙目的。</p> <p>另外，也有駭客成功利用深偽技術（Deepfake）偽冒身分驗證。</p> <p>他表示，現在的AI深偽變臉技術，已經可以製造出逼真的虛假影像和聲音，仿真度極高，加上AI變臉軟體還內建許多來自不同人種的臉部圖片，甚至連名人、明星照片也有，可以讓使用者自由選擇性別及種族。</p> <p>他指出，這些遭到偽冒的深偽影像，就算從正面觀看，都可以做到以假亂真，很容易讓民眾誤判，以為偽冒者是被害者本人、檢警或名人。</p> <p>當生成式AI做到以假亂真，林大馗指出，企業對網路基礎架構也會有縱深防禦要求，從企業組織內部的使用者開始，一直到要面對組織外的風險，在整個工作環境的範圍之內，都必須布建各種基礎的資安防護設備，目的就是要做到建構零信任網路架構，並且能夠即時進行漏洞更新修補。</p> <p>林大馗表示，單靠基礎的資安防護設備，並不足以對抗這些生成式AI對企業、組織甚至是個人帶來的資安風險。</p> <p>所以，我們還必須做到進階防禦強化的要求，例如在公開影片添加專屬雜湊值，或是安全憑證；或善用現階段機會，趁深偽技術存在未能完整學習受複製對象側面的技術缺陷，可要求以生物認證方式來識別對象，左右轉頭90度並維持一小段時間，因為如果是利用深偽技術所偽造的影片，可能會產生人臉閃爍的情況。</p> <p>以其他作法而言，我們可擴大運用「MFA多因子認證」，要求使用者必須通過兩種以上的身分認證機制，之後才能取得授權。</p> <p>另外，可以採用零信任「永不信任、總是驗證」的資訊架構，包含以每個連線為基礎，評估每個資源請求者的存取要求等機制，避免使用一次性驗證後，就可以長時間與完全取用所有服務的傳統做法。</p> <p>甚至，我們要能夠讓使用者建立「眼見不為憑」的警覺，讓一般民眾能夠充分理解到：過去習慣的「有圖有真相」的心態，已經到了必須改變的時候，不然，這就可能淪為一種「看片都上當」的習性。</p> <p class="rtecenter"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B6%B2%E8%B7%AF%E5%9F%BA%E7%A4%8E%E6%9E%B6%E6%A7%8B%E7%B8%B1%E6%B7%B1%E8%A6%81%E6%B1%82_KPMG%E6%8F%90%E4%BE%9B.jpg" style="width: 600px;" /></span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">為了架構足以因應AI資安風險，臺灣KPMG安侯企管顧問執行副總經理林大馗表示，企業必須打造基礎網路架構的韌性，從內部使用者到面對組織外的環境，都必須建構具備零信任的網路縱深防禦，並做到即時漏洞更新。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／KPMG</span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>利用3種方式提升AI方案的可信任度</strong></span></span></p> <p>為了成功推行人工智慧（AI），組織與社會必須能夠相信AI會做出正確的決策，而且AI不會做出錯誤的決定，KPMG目前提出名為「人工智慧風險控制與管理」的框架。</p> <p>這個框架包含3種促進人工智慧解決方案取得信任的方法，希望透過提升演算法的信任，讓「生成式AI」可以提升到「生產力AI」。</p> <p>林大馗指出，這些方式分成：（1）與其他決策方法∕模型來做結果比對；（2）介入理解與驗證人工智慧模型；以及（3）於可控的環境中發展人工智慧解決方案。</p> <p>他也進一步解釋，舉例說明3種方式可能面臨的結果。</p> <p>若以（1）與其他決策方法∕模型來比對結果，可能面臨下列幾種情形，例如：其他可靠的決策方法或許不存在；更換模型或開發替代方案，並非總是可行的；如果有其他決策來源，為何還需要發展人工智慧解決方案？</p> <p>若採用（2）介入理解與驗證人工智慧模型的方法，也可能面對模型或許過於複雜，以至於人類無法予以解釋或理解。因為模型本身使用深度神經網路（Deep Neural Networks），眾所皆知，這項技術的運作原理很難解釋。</p> <p>如果是採用（3）在可控的環境中發展人工智慧解決方案，同樣會面臨挑戰。例如，於安全的環境中，技術人員使用嚴謹的方法論，並不能保證品質結果；在資料科學領域中，使用較嚴謹的方法，與AI領域常用的敏捷與較前瞻的方法，可能有所違背。</p> <p>林大馗坦言，無論用何種方式提高AI解決方案的信任度，但實際上，都有其限制。</p> <p>對此，KPMG發展出一套「人工智慧風險控制與管理的治理框架」，期盼協助組織與企業利用上述三種方法，定義出最優良的控制措施組合。</p> <p class="rtecenter"><strong><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-%E5%BD%A5%E6%A3%BB-AI%E6%B2%BB%E7%90%86-%E5%A6%82%E4%BD%95%E6%8F%90%E5%8D%87%E6%BC%94%E7%AE%97%E6%B3%95%E4%BF%A1%E4%BB%BB-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-KPMG.jpg" style="width: 600px;" /></span></strong></p> <p><strong><span style="color: rgb(105, 105, 105);">為了成功推行人工智慧，組織與社會必須能相信它會做出正確的決策，並且不做出錯誤的決定。KPMG為此提出「人工智慧風險控制與管理」框架，期盼透過三種方法的運用，促使人工智慧解決方案的發展與應用能夠得到更大的信任。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／KPMG</span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>落實AI資安整備度之餘，也必須培養AI治理團隊</strong></span></span></p> <p>面對AI甚至是生成式AI的日益發展，組織、企業甚至是個人是否都已經做好足夠準備？面對AI時代的來臨，又該進行何種前瞻的資安布局呢？</p> <p>林大馗認為，所有的組織和企業應該要做到AI資安整備度分析，以及培養AI治理團隊智識與人才地圖。</p> <p>在AI資安整備度分析方面，我們可以從五個面向來看，包括：人才投入、研發與市場經營、生態鏈合作、基礎建設、法規。</p> <p>先從人才投入的面向來看，企業與組織要能夠做到外部機構的AI資安協同合作、AI安全開發，以及使用AI解決方案的宣導活動，以及制定AI安全性的指引與實務守則。</p> <p>而從研發與市場經營的面向來看，企業須提高對AI安全能力的必要資源投入、制定國家對AI發展的限制與安全規範，落實相關規範與監控機制。</p> <p>針對生態鏈合作的面向，包括AI的API管理、數據品質、資料交換安全、開放資料（Open-Data）治理等，需要處理的內容包括：</p> <p>● AI事件通報與處理</p> <p>● AI威脅、漏洞和安全控制情資</p> <p>● 如何和外部機構合作，有效處理AI相關事件</p> <p>● 定義∕開發∕使用特定的網路安全度量或指標</p> <p>● 監控AI系統生命周期中的安全水平</p> <p>● 要求AI利益相關者進行動態風險評估</p> <p>● 對違反數據和模型完整性進行制裁</p> <p>關於基礎建設面向中，像是數據、演算法、通訊等，都包含在內，要處理的對象，則包括：監控開發人員、關鍵基礎設施廠商等AI利害關係者，都要採取合宜的安全控制措施，以及定義AI利害關係者的安全控制措施。</p> <p>最後的法規面向，涵蓋AI道德規範、AI標準、AI與數據治理相關法規，例如歐盟人工智慧法案（AI Act），以及歐盟個資法GDPR等。因此，我們要處理的內容，包括：法規盤點與風險識別；監控AI資料集的完整性和品質；並建立認證或評估機制，以評估AI系統安全。</p> <p>要能夠推廣和應用AI，企業在AI治理團隊與人才地圖中，除了「詠唱師」，還需要「調音師」。</p> <p>林大馗表示，在人才投入面向，企業成立當責AI治理委員會、制定AI策略與延聘治理顧問，並落實AI安全性的指引與實務守則。</p> <p>如果是在研發與市場經營面向上，企業與組織除了要制定AI策略，以及延聘治理顧問，也必須要設立AI安全稽核師和AI生命週期安全小組。</p> <p>至於生態鏈合作面向上，要成立資安事件管理小組，成立針對AI威脅、漏洞和安全情資的管理小組，以及AI生命週期安全小組，對於AI生態鏈與委外廠商，也必須成立相關的管理小組。</p> <p>至於基礎建設面向上，企業除了要有AI策略與治理顧問，也必須要有AI生態鏈與委外廠商的管理小組，以及網路安全小組。</p> <p>最後在法規面向上，企業則要有數據品質管理的管理小組、數據法規專家小組，以及建立認證或評估機制，以評估AI系統安全性。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>想開發安全可信的AI應用，可依據WEF的指引設計</strong></span></span></p> <p>林大馗認為，對於設計各種AI產品或服務，我們可以參考世界經濟論壇（WEF）在2022年3月發布的指引《Artificial Intelligence for Children》，其內容可以統稱為FIRST指引，當中包括了五大項目，分別是：Fair（公正）、Inclusive（包容）、Responsible（負責）、Safe（安全），以及Transparent（透明）。</p> <p>「公正」是從公司文化和流程層面，解決人們如何開發AI模型，以及AI模型在使用中，所受到道德方面的影響與偏見問題。</p> <p>「包容」則是留意到AI模型如何與來自不同文化，以及不同能力的用戶公平互動，所以，在產品測試的過程中，需要包括不同類型的用戶。</p> <p>所謂的「負責」，主要是因為AI相關產品常反映當下最新的學習科學和科技應用範例，畢竟，最終發展AI，就是要做到如何實現健康的認知、社交、情感或身體發展，並且負起相關的責任。</p> <p>關於「安全」這一項要求，主要是因為AI技術必須做到保護用戶和購買者得數據，因此，應用AI提供產品或服務的公司，應該要披露其如何收集和使用數據及如何保護數據與用戶隱私，也允許用戶隨時選擇退出，並刪除他們的數據。</p> <p>「透明」則是要求提供AI產品或服務的公司，必須要能夠以非技術術語向買家和用戶解釋為什麼使用AI、AI如何工作以及如何解釋AI的決策過程；使用AI的公司也必須承認AI有其侷限性和潛在風險，並開放監督和稽核。</p> <p>林大馗指出，所有組織或企業使用AI的初衷，都是為了提供更好的產品和服務，若能參考這份簡稱為FIRST的AI應用指引，不僅可以提供保護，降低AI對孩童造成的可能風險，也是應用AI時，應該要關注的重點。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/22-23-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E6%B2%BB%E7%90%86-%E5%9C%96%E8%A1%A8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/22-23-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E6%B2%BB%E7%90%86-%E5%9C%96%E8%A1%A8.png" style="width: 600px;" /></a></p> </div></div></div>
2024/2/6 15:43作者黃彥棻https://www.ithome.com.tw/news/161211
【ChatGPT改變世人對AI的觀點】KPMG解析AI帶來的7大風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從ChatGPT從2023年橫空出世以來，這種一問一答的方式，展現出「類人類」的互動模式，也讓背後的生成式AI模型成為各界關注的熱門議題。</p> <p>當AI變得越來越聰明的時候，有許多人也開始擔心，未來人類應該如何面對這麼聰明的AI。</p> <p>甚至於，也有不少調研預測機構開始在觀察，想了解在未來社會中，究竟會有多少人類社會存在的工作，將可能會進一步被AI所取代。</p> <p>臺灣KPMG安侯企管顧問執行副總經理林大馗表示，回顧2023年，生成式AI對於人類社會帶來了重大衝擊，我們也必須正視並體認到：AI已經是進入2024年後，不管是企業或組織，甚至是個人，都無法被忽視的重要議題。</p> <p>他也表示，當企業營運開始思考未來各種AI發展和應用，以及使用AI提供新產品和服務的同時，必須意識到，包括駭客和各種網路犯罪集團在內，也在使用AI來提高其攻擊入侵和詐騙成功率。</p> <p>因此，隨著AI應用越來越普及，林大馗則點出，AI本身面臨的7種資安風險，並從四步驟拆解AI攻擊鏈，強調AI在某些最新的、專業領域的應用上，仍有其侷限；而AI如今也成為駭客詐騙、偽冒身分利器時，也成為企業和一般民眾必須留意的風險。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>AI在暗黑情境的應用日漸廣泛，資安風險也與日俱增</strong></span></span></p> <p>「AI對人類帶來的威脅，其實比氣候變遷更為急迫，」林大馗特別引述深度學習泰斗、神經網路之父Geoffrey Hinton的觀點指出，人類已經找出減碳的路徑或方向，只要去落實，情況可能會好轉；但關於人工智慧的發展，大家目前根本「置身迷途」。</p> <p>其實，特斯拉執行長馬斯克在2018年3月，就已提出「AI比核彈還要來的危險」的觀點；美國國會在2023年舉辦人工智慧影響的公聽會，聯邦參議員霍利（Josh Hawley）也警告：「生成式AI的規模宛如網際網路的全球布局，可能釀成類似原子彈的巨大災禍」。</p> <p>甚至，ChatGPT推手OpenAI的CEO阿特曼（Sam Altman）也表示，生成式AI的出現好比「印刷機發明」，雖然能夠改善和創造工作，但他對AI可能對世界帶來的危害，更是深感憂心。</p> <p>因此，林大馗也觀察到，隨著AI應用越來越普遍，不僅開始有一些暗黑情境的AI應用，甚至還帶來相關的危機。</p> <p>他說，目前AI的暗黑應用可從三個主要方向來看，包括：深偽（Deepfake）詐欺技術的使用、更有智慧的駭客攻擊，以及更多企業機敏資料外洩的風險。</p> <p>他指出，暗黑的情境也帶來危機，在深偽技術帶來的各種詐欺危機的暗黑情境應用，可以發現兩大發展趨勢。</p> <p>首先，依據世界經濟論壇（WEF）的預測，到了2026年，網路上可能有90%以上的內容將由人工智慧生成。</p> <p>舉例而言，在2023年4月，中國甘肅省網路警察發現搜尋引擎百度出現經查證後確認為虛假消息的新聞，內容聲稱：「甘肅省有一列火車撞到修路工人而導致9起死亡事故。」而這個由AI生成的假新聞，在同一時段，就有21個帳號發布相同文章，更達到1.5萬餘次的瀏覽量。</p> <p>其次，中國大量使用深偽技術，也增加民眾對駭客能夠輕鬆獲取金融資訊的憂慮。</p> <p>根據一篇2023年5月的報導指稱，駭客使用先進的人工智慧軟體，說服中國北方的一名男子將錢轉給他的朋友，實際上，該筆金錢卻轉到一個詐欺帳戶。</p> <p>在駭客攻擊越來越智慧化的暗黑情境應用中，林大馗也觀察到三大發展趨勢。</p> <p>首先，社交工程手法引發的資安事件會大量上升。例如，之前曾發生駭客偽造美國勞工部（DoL）的社交工程郵件，偽冒的網域以dol-gov[.]com取代正確的<a href="mailto:reply@dol">reply@dol</a>[.]gov，藉此取得受駭者微軟365的憑證。</p> <p>其次，因為自動化生成的駭客工具，也大幅降低進入駭客產業的門檻。</p> <p>資安公司Forcepoint的資安研究員Aaron Mulgrew表示，完全沒有任何撰寫程式經驗的他，可用ChatGPT快速寫出國家級複雜程度的惡意軟體，因此，他擔心任何人其實都可以輕鬆用ChatGPT打造駭客武器。</p> <p>第三，ChatGPT本身有個不受OpenAI設計準則規範、可自由發揮的DAN（Do Anything Now）模式，而這種模式一旦遭到濫用，就可以讓ChatGPT產出涉及不道德，或是非法的建議。</p> <p>最後一個暗黑情境的AI應用，則會帶來更多機敏資料外洩的風險。</p> <p>林大馗指出，許多大型企業因為使用生成式AI，而上傳大量機密資料，造成營業秘密外洩疑慮。</p> <p>最知名的案例就是，2023年3月起，因韓國半導體公司三星電子允許員工使用ChatGPT，包括半導體設備測量資料、產品良率等內容，都被存入ChatGPT的資料庫中。</p> <p>因此，這也讓許多企業因擔心公司的商業機密遭到外洩，便禁止員工在公司擁有的資訊設備當中，使用ChatGPT這類型的服務。</p> <p>資安專家Dominic Alvieri也發現，單是Google Play Store軟體市集，假冒ChatGPT名義而推出的「ChatGPT Plus」服務，已經有超過50種惡意App，假冒ChatGPT，試圖魚目混珠，會在上當受騙的使用者裝置植入惡意程式。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1167-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E9%A2%A8%E9%9A%AA-600-1.png" style="width: 543px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>解構AI引發的資安風險成因</strong></span></span></p> <p>因為各種新的AI應用，也讓資安成為重要議題。</p> <p>林大馗表示，AI應用便引發資安攻擊手法的變革。原本的資安攻擊手法，例如：駭客會透過繞道潛伏的方式，滲透到企業內部，但當這些資安攻擊手法再加上AI後，就可以做到深度偽裝後、滲透企業內部，而不被察覺。</p> <p>其他，像是以往的網路攻擊都是透過「知識」驅動，但加上AI後，就會變成是由「資料」驅動造成的網路攻擊。</p> <p>另外，像是駭客原先就能藉由多點突襲的方式入侵企業，現在加上AI之後，就可以做到更精準地攻擊；甚至以往須透過專家創造才能完成的產品，當加入AI之後，就會成為某種「智慧製造」。</p> <p>他認為，AI應用讓原本企業面臨的資安威脅瞬間升級，也變得更難以對應。</p> <p>不過，AI不僅帶動各種網路攻擊手法發生質變，甚至於，AI本身也會面臨資安風險。</p> <p>林大馗歸納出AI在不同階段預計要面對的7大風險成因，他分成：學習偏失、人為錯誤、技術缺陷、流程瑕疵、隱私侵害以及決策誤用等6大類；另外還可以加上第7種：因使用者暴增，而造成演算效能不足的原生風險。</p> <p>學習偏失的主要原因是訓練數據的偏差，例如，使用了過時或不完整的訓練數據母體，或機器學習期的數據與實際情境不一致。</p> <p>至於人為錯誤，則包含設計者或是使用者，對於演算法專業疏失，或其他人為道德與管理問題。</p> <p>林大馗認為，不論學習偏失或是人為錯誤，最主要都是發生在數據感知，以及輸入階段所面臨到的資安風險。</p> <p>他進一步表示，在演算法運算與深度學習階段，所面臨的資安風險有三大類型，分別是：技術缺陷、流程瑕疵，以及隱私侵害等。</p> <p>其中，技術缺陷的資安風險，主要是設計者在演算法開發過程當中，因為缺乏對使用者情境與安全性的完整設計，以及測試，進而產生演算法錯誤（Bugs）。</p> <p>至於流程瑕疵造成的資安風險，主要是因為使用者未瞭解演算法或是技術的限制，進而產生的過度依賴與誤用情境。</p> <p>另一個常見的資安風險，則是因為演算結果濫用，導致侵犯當事人隱私權。</p> <p>至於結果輸出階段與決策階段，林大馗表示，資安風險包括決策者對於分析結果的錯誤解讀或誤用造成的決策誤用，以及演算法運算與決策效率仍待提升，導致演算效能不足的風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1167-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E9%A2%A8%E9%9A%AA-%E6%8A%BD%E8%A8%80-600.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從四個步驟拆解AI資安攻擊狙擊鏈</strong></span></span></p> <p>針對AI所面臨的各種資安風險，我們可以參考美國NIST所推出的MITRE ATLAS框架（Adversarial Threat Landscape for Artificial-Intelligence Systems），也能從MITRE的戰術、技術和程序（TTP），看出AI的確面臨前面提到的6大資安風險，包括學習偏失、人為錯誤、技術缺陷、流程瑕疵、隱私侵害，以及決策誤用等。</p> <p>針對AI的資安攻擊狙擊鏈，我們可以進一步拆解針對AI的攻擊方法，可以拆解成下列主要步驟。</p> <p>一、勘查標的，以及研發攻擊武器</p> <p>二、竊取存取權限</p> <p>三、執行惡意程式，並且匿蹤、擴散</p> <p>四、持續滲透組織，並且造成危害</p> <p>在第一個步驟中，駭客會勘查標的，以及研發攻擊武器。</p> <p>林大馗指出，像駭客等攻擊方，會廣泛利用機器學習模型去了解與熟機各種威脅形式，例如，操縱機器學習模型的輸入、學習如何繞過機器學習模型的安全性，並知道該如何利用機器學習模型的漏洞等。</p> <p>如果再經過進一步的細分，我們可了解從哪些面向操控機器學習模型的輸入，例如分成下列模式：首先是數據注入攻擊，便是攻擊者將惡意數據注入機器學習模型的訓練數據。</p> <p>第二是對抗樣本攻擊，由攻擊者使用對抗樣本，以此欺騙機器學習模型。</p> <p>第三，則是模型竊取攻擊，攻擊者竊取機器學習模型的訓練數據或模型的權重。</p> <p>最後，就是模型劫持攻擊，相關的攻擊者通過控制機器學習模型的輸入，例如Prompt（詠唱）、Injection（注入），或是輸出，以此劫持模型。</p> <p>在這些機器學習模型當中，輸入錯誤資料之後，會改變最後的產出結果。</p> <p>到了步驟二，則是竊取存取權限。</p> <p>林大馗表示，攻擊方可能從供應鏈的某部分，獲取對機器學習系統的初始存取權限，鎖定攻擊的目標系統，可能是一個網路、行動裝置，或是一個感應器。</p> <p>而在這個步驟當中，最重要的目的在於：獲取用戶名稱、密碼、API金鑰，或是藉由網路釣魚、通過利用受信任的第三方外部供應商，進入企業組織內部以獲取相關的存取權限。</p> <p>接著是步驟三，重點在於：執行惡意程式並匿蹤、擴散。</p> <p>也就是說，攻擊方會在機器學習程式碼中放惡意程式碼，例如，可以將惡意程式碼寫入儲存庫；或是當模型存為pickle共享時，便可以使用pickle嵌入攻擊（pickle是Python專屬的序列化∕反序列化模組，可用來儲存機器學習的模型）。</p> <p>最後的步驟便是：持續滲透組織並造成危害。</p> <p>林大馗表示，攻擊方為了避免重新啟動、更改憑據等作為，有可能會中斷他們繼續存取的權限，所以會留下一些文件，而這些文件包括：帳戶操作，也會包含任何保留攻擊者對受感染帳戶的存取權操作，甚至會藉由植入容器鏡像以建立持久性。</p> <p>而在步驟四持續滲透的過程中，攻擊方也會透過下列三種方式，以便達到他們滲透到組織內部的目的。</p> <p>對此，他進一步提出解釋。方式一是繞過防禦，畢竟攻擊方會想盡辦法避免「在整個入侵過程中被偵測到」的技術。</p> <p>方式二則是攻擊方藉由滲透的方式，試圖竊取機器學習的產物，或取得有關機器學習系統的相關資訊。</p> <p>林大馗指出，不論駭客是製作對抗性數據，以影響機器學習模型的結果，或是透過投毒方式使模型的性能變差，還是發起大量請求以癱瘓服務，或者是發送大量無關緊要數據，使組織花時間審查不正確的推論，甚至於是透過加密大量數據，以勒索金錢補償等方式，最終都會影響機器學習模型的正確性及效能。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1167-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E9%A2%A8%E9%9A%AA-600-2(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1167-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E9%A2%A8%E9%9A%AA-600-2.png" style="width: 600px;" /></a></p> <h1> </h1> <h1><span style="color:#3399ff;"><strong>ChatGPT目前仍難承擔專業責任</strong></span></h1> <p><strong>當大家驚艷ChatGPT的互動方式，後續開始察覺ChatGPT回覆的答案其實存在很多錯誤，甚至，後來發現ChatGPT執行的效率也變差了。</strong></p> <p><strong>臺灣KPMG安侯企管顧問執行副總經理林大馗坦言，該如何讓「人工智慧」不要變成「人工誤會」，避免AI成為治理的陷阱，是大家在關注並應用AI時，必須注意的重點。</strong></p> <p><span style="color:#B22222;"><strong>臺灣KPMG實測ChatGPT能否作為報稅顧問</strong></span></p> <p><strong>為了印證生成式AI到底有多聰明，是否真的可以取代專業服務，林大馗表示，他們本身也特別以稅務專業的問題進行測試，驗證「以ChatGPT作為報稅顧問是否可行？」。</strong></p> <p><strong>KPMG稅務服務部執業會計師張智揚實際以臺灣綜合所得稅申報作為情境測試，並將納稅人的家庭成員、撫養狀況、薪資收入、投資獲利等基本資料輸入ChatGPT，之後他們發現，ChatGPT的確能針對單純的個人情況，依據臺灣所得稅法回答出正確的免稅額及扣除額；不過，針對比較複雜的扶養親屬狀況，例如學齡前或七十歲以後的長輩等，ChatGPT提出的答案有誤。</strong></p> <p><strong>若再進一步詢問深入且涉及需要判斷的問題，例如：應該如何申報最有利？或是夫妻應該要合併計稅或分開計稅、實際可列舉扣除項目、是否有其他特別扣除額、列舉扣除額等節稅建議，ChatGPT提供的建議不僅非常侷限，甚至出現錯誤的答案。</strong></p> <p><span style="color:#B22222;"><strong>生成式AI還須克服五大弱點</strong></span><img alt="" src="https://s4.itho.me/sites/default/files/images/1167-%E6%96%B0%E8%81%9E%E5%B0%88%E9%A1%8C-KPMG%20AI%E9%A2%A8%E9%9A%AA-BOX%E5%9C%96%E8%A1%A8.png" style="text-align: center; width: 277px; float: right; margin: 2px;" /></p> <p><strong>林大馗根據他們實測的結果為例表示，目前看來，生成式AI要能提供真正專業顧問諮詢服務，例如稅務專業諮詢等，至少還需要克服五大弱點。</strong></p> <p><strong>他表示，第一個存在的弱點就是對於最新規範適法能力不足，畢竟，生成式AI的訓練樣本並不是最新的資料，所以，只要是針對最新規定的詢問，例如：2023年臺灣綜合所得稅調高免稅額、標準扣除額、薪資與身心障礙特別扣除額、課稅級距，以及2023年新增的民眾協助烏克蘭難民，賑濟烏克蘭捐贈項目得以全額列報捐贈列舉扣除額等相關新規定，生成式AI的ChatGPT都無法正確處理。</strong></p> <p><strong>再者，引導使用者的能力不足。他認為生成式AI需由使用者「完整提問」相關情境，以及背景資料後，才有機會提供正確答案，然而，一般使用者對稅務規則並不熟悉，往往無法提供完整資料或背景說明。</strong></p> <p><strong>第三，經過實際測試發現，ChatGPT處理複雜問題的能力不足。林大馗表示，生成式AI僅能提供簡單稅務問題的基本建議，若遇到複雜的稅務情境，經過東拼西湊而產生錯誤答案的機率非常高。</strong></p> <p><strong>第四個弱點是擔責能力不足。國外已有許多利用生成式AI開發的人工智慧稅務輔助系統，例如加拿大的TaxGPT.ca，但在聲明中即明確提到：TaxGPT.ca目的是提供友好和平易近人的方式，讓使用者開始學習稅務，並不是稅務計算器或專業稅務顧問，所以並無法承擔相關的稅務責任。也就是說，生成式AI提供的答案不管對錯都只是參考，也不需要承擔任何責任和義務。</strong></p> <p><strong>最後一點，就是對於隱私的保護能力不足，林大馗表示，這也是大家最擔心的事情之一。因為報稅資料涉及許多個人隱私，雖然多數生成式AI都強調不會蒐集使用者的隱私，但實際上，有許多實驗證明，系統還是會「暗中記住」線上提問者的個資，而且，使用者也無法確認其資料保護的能力，因此仍存在高度隱私風險。</strong></p> </div></div></div>
2024/2/6 15:08作者黃彥棻https://www.ithome.com.tw/news/161209
社交平臺Snap裁撤10%員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cnbc.com/2024/02/05/snap-to-lay-off-10percent-of-global-workforce-around-500-employees.html" target="_blank">根據《CNBC》報導</a>，美國社交平臺Snap周一（2/5）對內宣布將裁撤10%人力，估計將有500名員工受到影響。Snap發言人亦已向該報證實，該公司正在重組團隊，減少層級以推動面對面的協作。</p> <p>Snap近年來最大規模的縮編行動應該是2022年8月時，當時Snap裁撤了20%的員工，<a href="https://s25.q4cdn.com/442043304/files/doc_financials/2023/q3/Q3-23-Press-Release_FINAL-10-24-23.pdf" target="_blank">根據Snap去年第三季的財報</a>，其全球員工數為5,367人，2022年同期則是6,446人。</p> <p>Snap早期名稱為Snapchat，定位為照片分享程式，主要營收來源為廣告。該公司在去年第三季締造了11.89億美元的營收，成長5%，虧損了3.68億美元，全球每日用戶數為4.06億，成長12%。</p> <p>過去Snap曾收購人臉辨識技術開發業者Looksery、媒體科技公司Bitstrips、軟體研發公司Obvious Engineering、行動搜尋程式Vurb、廣告技術公司Flite、擴增實境新創Cimagine Media，及位置分享程式Zenly等，在2016年從Snapchat更名為Snap，推出Spectacles智慧眼鏡，彰顯出對未來多元化發展的期許。</p> <p>不過，<a href="https://newsroom.snap.com/zh-Hans/less-social-media-more-snapchat" target="_blank">今年Snap開始對外說明</a>該公司並非社交媒體，而是Snapchat，重新強調其創立時的初衷。指出Snapchat一開始就是想取代社交媒體，透過有趣的方式向最親密的親友發送照片與影片訊息，從來都不是為了累積龐大的朋友網路或爭奇鬥豔，而是一個可以展現真實自我的地方。</p> <p>這像是Snap的藍海策略，不再企圖與規模更大的社交平臺競爭，同時鼓勵人們回歸不再粉飾的生活與交流。</p> </div></div></div>
2024/2/6 14:02作者陳曉莉https://www.ithome.com.tw/news/161208
受Okta牽連Cloudflare完成入侵調查，客戶資料與系統均未受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare聘請資安公司CrowdStrike，針對自託管Atlassian伺服器在2023年11月23日遭到攻擊者入侵事件進行調查，完整<a href="https://blog.cloudflare.com/thanksgiving-2023-security-incident">調查報告已經出爐</a>。報告指出這次的攻擊行動是由經驗豐富，而且國家所資助的攻擊者所為，但因為在Cloudflare零信任架構的保護下，官方表示，客戶資料與系統都沒有因為該攻擊事件受影響。</p> <p>Cloudflare被攻擊事件，要追溯至<a href="https://www.ithome.com.tw/news/159667">Okta在2023年10月被入侵</a>，攻擊者從Okta系統獲得一組Cloudflare憑證存取權限。這些洩漏的憑證本應該全部輪換，但是Cloudflare漏了1個服務令牌和3個服務帳戶的憑證。</p> <p>其包含一個Moveworks服務令牌，具有遠端存取Cloudflare Atlassian系統的權限，一個基於SaaS的Smartsheet應用程式所使用的服務帳戶憑證，能夠用於存取Atlassian Jira執行個體，第二個帳戶是Bitbucket服務帳戶，用於存取程式碼管理系統，最後一個則是AWS服務帳戶，但為無法存取全球網路、客戶和敏感資料的環境。</p> <p>這些服務令牌和憑證就是攻擊者進入Cloudflare系統，並且試圖建立持久部署的關鍵，Cloudflare強調，這並非Atlassian、AWS、Moveworks或Smartsheet的錯誤，而是Cloudflare沒有輪換憑證的問題。</p> <p>攻擊者先是在11月14日到17日進行偵查，存取Cloudflare內部的wiki以及錯誤資料庫，11月20日與11月21日測試存取以確認仍可連線。真正的攻擊行動從11月22日開始，攻擊者使用ScriptRunner for Jira建立對Atlassian伺服器的持久存取，並且獲得程式碼管理系統Atlassian Bitbucket存取權限，並嘗試存取Cloudflare巴西資料中心控制臺伺服器，但是並未成功。</p> <p>所有攻擊存取和連線都在11月24日終止，雖然攻擊者在這個攻擊行動中所造成的影響有限，但Cloudflare嚴肅看待該事件，畢竟攻擊者使用了偷來的憑證，存取Atlassian伺服器上的部分檔案和程式碼。在Cloudflare、業界與政府合作調查下，確認這次攻擊來自國家資助攻擊者，其目的是要獲得Cloudflare全球網路持久且廣泛的存取能力。</p> <p>經過CrowdStrike的調查，並沒有發現更多的攻擊者活動，但Cloudflare仍全面輪換所有產品憑證，並且進行徹底的檢查。Cloudflare還將巴西資料中心設備，交由供應商鑑識團隊檢查，確認攻擊者沒有成功入侵的痕跡，不過即便如此，Cloudflare慎重起見仍更換了硬體。</p> </div></div></div>
2024/2/6 10:36作者李建興https://www.ithome.com.tw/news/161200
K8s成本管理工具Kubecost 2.0大更新，採用全新API後端效能提升達百倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>將OpenCost開源專案捐獻給CNCF的Kubernetes成本管理公司Kubecost，推出了同名產品Kubecost第2個主要版本。這個新版本提升大規模效能100倍，且用戶能以視覺化的方式監控所有流量成本，另外，Kubecost 2.0現在還會透過機器學習技術，預測用戶的支出。</p> <p><a href="https://blog.kubecost.com/blog/introducing-kubecost-2.0/">Kubecost 2.0</a>進行了重大升級，採用新的API後端大幅提升效能100倍，同時資源效率提高為3倍，尤其用戶在處理大規模Kubernetes環境的時候，可以更靈敏地操作Kubecost API和UI，而且現在也可以查詢3年以上的歷史資料，以獲得更長時間的資源利用率趨勢，進行更全面的決策和分析。</p> <p>在Kubecost 2.0中，用戶能以更直覺的方式察看Kubernetes和雲端網路成本，Kubecost網路監控現在可以提供Pod、命名空間、叢集和雲端服務的成本可見性，以接近即時的速度，視覺化呈現基礎設施中任一部分的成本。同時，用戶也可以查看流入或是流出的流量成本，或是關注特定的流量路線。用戶透過建立Collections頁面，便能整合查看Kubernetes和雲端成本，Kubecost可消除重複計算的成本，使用戶針對複雜且多方來源的流量查看成本。</p> <p>新加入的自動化工作流程Kubecost Actions，可供用戶最佳化Kubernetes成本，其具有3個核心操作，分別是動態請求調整大小、關閉叢集和關閉命名空間，用戶可以更簡單地創建排程，並且充分利用節約功能。</p> <p>Kubecost 2.0整合機器學習技術，新預測模型能夠利用歷史Kubernetes和雲端資料，提供準確的預測成本波動，並且進行資源分配。用戶可以透過主要監控儀表板的分配、資產和雲端成本探索工具，預測未來特定日期範圍的支出成本。</p> <p>而異常偵測則是成本預測的進一步應用，用戶可以偵測實際支出偏離Kubecost預測支出的時間點，找出意外支出迅速解決超額問題，確保雲端或是Kubernetes支出不會大幅超過預期。</p> </div></div></div>
2024/2/6 10:50作者李建興https://www.ithome.com.tw/news/161201
微軟可能為Windows Server 2025加入類似Linux Sudo指令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個不慎外洩的Windows更新預覽版顯示，下一版Windows Server將提供類似Linux上的Sudo功能。</p> <p>Sudo功能是Linux的控制臺程式，允許低權限用戶必要時能提升自我權限，像是以根權限執行指令，可兼顧安全性及彈性。上周<a href="https://www.windowslatest.com/2024/02/01/first-look-windows-11-is-getting-native-macos-or-linux-like-sudo-command/" target="_blank">《Windows Latest》</a>在一個不慎經由Windows Update釋出給Insider方案的Windows Server 2025更新預覽版發現，也有類似Linux、macOS上的Sudo功能。</p> <p>這新功能位於「設定」頁的管理員選項中，啟動後就能執行sudo指令。分析其設定、顯示細部功能如「在新視窗中開啟」、「關閉輸入」及「在現有視窗inline執行」等。</p> <p>Windows其實已讓用戶利用使用者帳戶控制（UAC）提示來提升權限，但是有些管理員指令如bcdedit及reagentc僅限管理員才能執行。相形之下，sudo功能就彈性得多，允許程式根據Windows設定執行。</p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-is-bringing-the-linux-sudo-command-to-windows-server/" target="_blank">《Bleeping Computer》</a>指出，雖然目前Windows 11任何版本都還未見sudo，但即使加入了也不令人意外。但是就像過去預覽版的情形，在預覽版中實驗的功能，不見得最後會留在正式版中。</p> </div></div></div>
2024/2/6 11:28作者林妍溱https://www.ithome.com.tw/news/161202
美國將對以間諜軟體攻擊記者、民權人士的人限制簽證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.state.gov/announcement-of-a-visa-restriction-policy-to-promote-accountability-for-the-misuse-of-commercial-spyware/" target="_blank">美國國務院昨（5）日宣布</a>，利用間諜軟體對媒體記者、民權人士進行竊聽、竊取資訊等攻擊行動的人士，美國將限制發給簽證。</p> <p><a href="https://www.washingtonpost.com/business/2024/02/05/biden-commercial-spyware-visa-blinken/d7a0aa5c-c45d-11ee-bbc9-9b5ca9b20779_story.html" target="_blank">華盛頓郵報</a>、<a href="https://www.reuters.com/world/us/us-announces-visa-restriction-policy-those-misusing-commercial-spyware-2024-02-05/" target="_blank">路透社</a>、衛報等媒體報導，美國國務卿布林肯（Anthony Blinken）昨日宣布這項決定。這項政策允許下級部會可對牽涉不當使用商業間諜軟體的個人，限制發給簽證。</p> <p>這是美國政府遏止商業間諜軟體濫用的最新舉措。國務院聲明指出，美國對於間諜軟體被誤用於實行壓迫、限制資訊自由流動、及迫害人權感到憂心，商業間諜軟體威脅人們隱私、言論表達、和平集會及交流的自由，也對美國公民造成安全威脅。美國政府重申會持續確保要求涉入使用商業間諜軟體的人追究責任。</p> <p>在此之前美國總統拜登去年三月發布一項行政命令，禁止美國政府不當使用商業間諜軟體對記者、異議人士、政治人物、非政府組織、少數族群人士蒐集其資訊。拜登政府也連同其他36國政府聯合發布政府監控科技的指引原則（名為《自由線上聯盟Freedom Online Coalition》），以減少間諜軟體對人權迫害。</p> <p>此外，美國商務部去年7月公布實體清單，禁止涉入以商業間諜軟體駭入記者、人權運動人士或政府官員手機的四家歐洲開發商。2021年，商務部已經禁止NSO及Candiru等二家公司都是來自以色列，分別開發Pegasus及DevilsTongu。其中Pegasus是近年引起極大外交爭議的間諜軟體，曾被用於監聽加泰隆尼亞總統、西班牙總理、葉門總統、英國首相辦公室及美國國務院，另外也感染了半島電視臺、法國等多國記者的iPhone手機。</p> </div></div></div>
2024/2/6 12:01作者林妍溱https://www.ithome.com.tw/news/161203
瀏覽器互通專案Interop 2023成效佳，Interop 2024鎖定17項技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瀏覽器廠商續推瀏覽器互通，<a href="https://wpt.fyi/interop-2024">Interop 2024</a>繼續把焦點擺在提高網路技術和互通性，確保不同的瀏覽器能夠以相同的方式解釋和顯示網頁內容。Interop 2024所設定的重點領域，包括無障礙功能、CSS巢狀結構與自訂屬性等12個新領域，以及2023年所遺留的5個未完成的領域。</p> <p>Interop是一個由Google、Mozilla、蘋果及微軟等瀏覽器業者，以及Bocoup和Igalia所組成，共同提高瀏覽器間互通性的專案，鼓勵瀏覽器引擎團隊針對特定重點領域進行改進。Interop專案所選擇的技術，有一些已經存在很長的時間部分則是新領域，特別鎖定那些因為存在缺陷，開發者避免使用的功能，目標使其達到可靠的狀態。</p> <p><a href="https://www.webkit.org/blog/14955/the-web-just-gets-better-with-interop/#interop-2023" target="_blank">Webkit開發團隊提到</a>，Interop 2023較Interop 2022更為成功，從2023年1月的資料相比，3大主流瀏覽器技術測試通過率只有48％，而經過1年，通過率已經上升到了95％。實現的功能包括在所有瀏覽器支援P3色彩，該技術終於在推出7年後於所有瀏覽器互通。其他功能還包括表單控制元件支援垂直書寫模式，Subgrid、容器查詢與CSS數學函式等。Interop 2023一開始設定的26個領域，已有20個成功完成。</p> <p>Interop 2024會延續Interop 2023未完成的部分，並且加入新的改進目標。在Interop 2023，無障礙團隊創建了網路平臺測試基礎設施，並且編寫了1,300個新的無障礙測試，這些測試已經被納入到Interop 2024中，鼓勵瀏覽器們強化無障礙功能的支援性。在新的一年，瀏覽器廠商還會擴大對WAI-ARIA標準的覆蓋，以及整合HTML無障礙API映射規範，並且增強display:contents無障礙支援。</p> <p>CSS巢狀是Interop 2024的重點領域，確保瀏覽器們都遵循相同規範消除所有差異。CSS巢狀模組定義了巢狀選擇器的語法，允許樣式規則內嵌另一個樣式規則，使子規則的作用範圍，被限定在父規則所選擇的元素內。CSS巢狀提高了CSS樣式表的可讀性、模組性和可維護性，同時也能減少CSS檔案的大小，減少用戶下載的資料量。</p> <p>近年瀏覽器才開始實作的@property規則，讓開發者能夠以類似瀏覽器引擎定義CSS屬性的方式，來宣告CSS自訂屬性，包括語法、繼承行為和初始值，讓CSS能夠做到過去無法實現的功能。在Interop 2023時，所有穩定瀏覽器通過自訂屬性測試的比例，從4％上升至7.6％，而預覽版的瀏覽器則達到90.7％，Firefox是最後一個支援的瀏覽器。整體支援的工作尚未完成，因此會延續到Interop 2024進行。</p> <p>在HTTPS URLs for WebSocket方面，WebSocket API原本要求使用特殊的網址格式，ws:表示不安全連結，而wss:表示安全連結，但這與經常使用的http:和https:網址格式不同，讓開發者感到不便。為了解決這個問題，瀏覽器將更新WebSocket API，使其能支援http:和https:常見網址格式。</p> <p>在Interop 2024中，IndexedDB也會有所改進。IndexedDB API使開發者可以在物件導向的資料庫中儲存資料，而從2011年以來，IndexedDB的標準化持續進行中，目前所有主要瀏覽器都已經支援第2版和第3版，第2版已經完全互通，而第3版成為Interop 2024重點，將使瀏覽器間實作更加一致。</p> </div></div></div>
2024/2/6 10:16作者李建興https://www.ithome.com.tw/news/161198
AI趨勢周報第241期：號稱真正開源！AI2釋出OLMo語言模型和所有相關資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0126～0201)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI2 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開源 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OLMo </span></strong></span></p> <p><span style="font-size: 22px;"><strong>號稱真正開源！AI2釋出OLMo語言模型和所有相關資料</strong></span></p> <p>艾倫AI研究所（AI2）最近<a href="https://huggingface.co/allenai/OLMo-7B">釋出</a>2款語言模型OLMo 7B和OLMo 1B，而且有別於常見做法、只開源模型權重和推論程式碼，AI2不只釋出OLMo模型，還包括完整的框架，也就是訓練資料、訓練程式碼和評估程式碼等，要樹立真正開源的新典範。他們希望，這個做法能推進開放研究社群的進展，並激發創新。</p> <p>AI2這項研究專案主要與哈佛大學合作展開，參與者還有AMD、Lumi超級電腦、Databricks和華盛頓大學。在這項專案中，他們釋出了一系列AI模型開發的重要資料，首先是完整的預訓練資料集，這個資料集以AI2的Dolma開源資料集為基礎（供3兆個Token）打造，同時包含OLMo語言模型預訓練程式碼。再來是訓練程式碼和模型權重，包括了70億參數（7B）規格的4種版本，每種模型至少都使用2兆個Token訓練，且推論程式碼、訓練指標和訓練日誌也都一併提供。還有一個是評估工具，他們釋出了用於開發階段的評估套件和評估程式碼。Hugging Face的技術長Julien Chaumond還在LinkedIn上指出，AI2釋出的模型、權重、評估指標和訓練程式碼，是開源研究的重要進展。<a href="https://allenai.org/olmo">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AIOps </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI原生網路平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Juniper Networks </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Juniper發表AIOps服務</strong></span></p> <p>網路設備與系統廠商Juniper Networks最近新推一款AIOps服務，也就是AI原生網路平臺，要用AI來提高營運和終端使用者體驗，同時降低網路維運成本，確保裝置、使用者與應用程式的網路連接都安全可靠。</p> <p>進一步來說，Juniper Networks這款平臺是款全端的閉環平臺，透過雲端託管的AIOps服務和虛擬網路助理Marvis，能處理使用者的有線和無線設備、WAN、安全和資料中心網域等管理問題，再加上該平臺提供的AI原生網路數位體驗分身Marvis Minis，能透過AI主動發現和自動修復問題。Juniper Networks表示，與傳統解決方案相比，AI原生網路平臺的營運支出可降低達85％的成本、消除90％的網路故障單，網路事件解決時間還縮短了50％。<a href="https://www.juniper.net/us/en/ai-native-networking-platform.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 評估 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ASPIRE </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI可自我評估輸出對錯！Google釋出新框架</strong></span></p> <p>Google最近揭露一款專為大型語言模型設計的ASPIRE框架，可用來強化語言模型選擇性預測（Selective Prediction）的能力，且在各種問答資料集上，表現都優於目前最先進的選擇性預測方法。ASPIRE框架的重要性，在於能增加LLM的可信度。</p> <p>該框架分為3階段運作，包括特定任務調整、答案採樣和自我評估學習。特定任務調整階段是對已受基礎訓練的LLM進行進階訓練，就好比訓練學生，使其更好地解決特定問題一樣。第二階段則是指，ASPIRE使用學習到的可調參數，對每個訓練問題生成不同的答案，並建立自我評估學習的資料集，生成高可能性輸出序列。在自我評估學習階段，ASPIRE會新添加一組可調節參數，來提高模型自我評估的能力，也就是讓模型學會自己判斷答案的準確性。</p> <p>後來，團隊用CoQA、TriviaQA和SQuAD等3個問答資料集，以及各種開放預訓練的Transformer模型來評估ASPIRE。經ASPIRE調整的小型OPT-2.7B模型，表現超過更大的OPT-30B模型。這項實驗結果表示，只要經過適當調整，即便是較小的語言模型，在部分情境下也能超越較大的語言模型。<a href="https://blog.research.google/2024/01/introducing-aspire-for-selective.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjIwlr34r2t085uhaOx2IbBulTJX2FB2g8LkhTgrKgycgb8cDZaRuht0cFPqmlgSkT5jHOx-rrWywmYAEEfJ0FxlC7ammU8ewrZaVo_My7cCpBNYlfgERRKgFYnF-8LhsWhcyS3KTFdBnhyphenhyphencrenwQxBkbjM8UriPKzji8zDkXYv-5rhRXiE0SlvGmXUV-jt/s1999/image2.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI資源中心 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 負責任AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 隱私安全 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國設立AI資源中心</strong></span></p> <p>美國國家科學基金會（NSF）日前發表國家AI研究資源測試（NAIRR），要實現共享研究基礎設施的願景，第一步是要強化、普及化負責任AI和創新的重大資源，預計為期2年。</p> <p>NAIRR與10個美國聯邦機構，25家企業、非營利和慈善組織合作，如國家科學基金會、美國太空總署、美國國家標準與技術研究院，以及AI2、AWS、AMD、Google、Hugging Face、IBM、微軟、Nvidia等，要讓美國的研究人員和教育者能存取先進的運算、資料集、模型、軟體、訓練等支援。</p> <p>NAIRR分為4個主要領域，首先是可用來存取、分配各種AI資源，並實現開放式AI研究的NAIRR Open，再來是NAIRR Secure，專門支援那些需要隱私和安全的AI研究。第三個是NAIRR Software，負責AI軟體、平臺、工具和服務的研究，最後一個是NAIRR Classroom，目的是要擴大全美的AI研究，包括藉由教育、訓練、使用者支援及外展服務來接觸更多社群。<a href="https://new.nsf.gov/news/democratizing-future-ai-rd-nsf-launch-national-ai">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google Cloud </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Hugging Face </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Vertex AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google Cloud與Hugging Face宣布策略聯盟</strong></span></p> <p>被稱為AI界GitHub的Hugging Face最近與Google Cloud策略聯盟，讓Google Cloud成為Hugging Face的AI訓練和推論的首選服務，雙方也計畫整合彼此服務。</p> <p>Hugging Face的願景是讓所有企業使用開源模型和技術，來打造自己的AI，目前已在平臺上提供將近50萬種共享模型和10萬個資料集。Hugging Face表示，此次將與Google在開放科學、開源、雲和硬體領域進行合作，比如開發者可用Google AI平臺Vertex AI來訓練、微調和部署Hugging Face的模型，並於Google Kubernetes Engine（GKE）上使用Hugging Face專用的深度學習容器。此外，這次合作和允許更多開源開發者存取Cloud TPU v5e，並支援基於Nvidia H100 Tensor Core GPU的A3 VM，也能利用Google Cloud市集替Hugging Face托管平臺進行簡單的管理與計費，包括Inference、Endpoints、Spaces與AutoTrain等。<a href="https://www.prnewswire.com/news-releases/google-cloud-and-hugging-face-announce-strategic-partnership-to-accelerate-generative-ai-and-ml-development-302044380.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 文字審核 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Embedding </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI推出2大新嵌入式模型</strong></span></p> <p>OpenAI最近再度更新旗下產品，包括GPT-4 Turbo預覽模型和文字審核模型，同時還推出了2個新的文字嵌入式模型text-embedding-3-small與text-embedding-3-large。進一步來說，GPT-4 Turbo預覽版可更徹底完成程式碼生成任務，也減少模型有時會落下任務的懶惰狀況，還修復了非英語UTF-8生成的錯誤。審核API則是一款免費工具，能用來幫助使用者辨識有害文字，不管是text-moderation-latest或text-moderation-stable都會採用最新的text-moderation-007版本。</p> <p>至於新模型，則有text-embedding-3-small和text-embedding-3-large，前者的多語言檢索（MIRACL）評測比前一代模型的31.4%提高至44%，常用的英文任務評測（MTEB）則從61%增加至62.3%。而且text-embedding-3-small價格更便宜，其每1,000個標記的費用只要0.00002美元。而text-embedding-3-large最多可建立3,072個維度的嵌入向量，相較於text-embedding-3-small與text-embedding-ada-002，其MIRACL的平均分數為54.9%，每1,000個標記的費用為0.00013美元。OpenAI說明，這2個嵌入式模型能讓開發者在嵌入時，權衡效能與成本，依照實際需求並藉由維度API參數來控制嵌入大小，在不損及重要概念的前提下，減少嵌入成本。<a href="https://openai.com/blog/new-embedding-models-and-api-updates">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Visual Studio Copilot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 命令 </span></strong></span></p> <p><span style="font-size:22px;"><strong>GitHub Copilot加入2大新功能</strong></span></p> <p>微軟更新Visual Studio Copilot聊天擴充套件，添加兩項新功能，第一項是可以指示Copilot執行特定工作的斜線命令（Slash Commands），另一項是上下文變數（Context Variables），開發者可使用符號#，在與Copilot對話中引用特定檔案。</p> <p>進一步來說，斜線命令是一個特殊命令，開發者在與Copilot聊天時，可用斜線命令要求Copilot對程式碼執行特定操作，像是「/doc」新增文件註解、「/explain」則要求Copilot解釋程式碼、「/fix」是要Copilot對所選取的程式碼提出修復建議等。而上下文變數功能，可讓開發者使用符號#，將解決方案中的檔案加入到與Copilot的對話中。當開發者直接引用檔案時，Copilot可存取該檔案內容，並針對該檔案提供更具體的回答，比如開發者可以詢問「#Main.c檔案的運作方式為何？」或「#Calculator.cs檔案的目的是什麼？」Copilot就會根據該檔案提供答案。<a href="https://devblogs.microsoft.com/visualstudio/copilot-chat-slash-commands-and-context-variables/">（詳全文）</a></p> <p><img alt="" src="https://devblogs.microsoft.com/visualstudio/wp-content/uploads/sites/4/2024/01/slash-commands-1-1024x459.jpg" style="width: 1024px; height: 459px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 時空擴散 </span></strong></span></p> <p><span style="font-size:22px;"><strong>可生成5秒高品質影片，Google揭露時空擴散模型Lumiere</strong></span></p> <p>Google最近發表一款影片生成模型Lumiere，是一種文字轉影片的擴散模型，可用來產生真實、多樣且動作連貫的影片。該模型使用時空U-Net（STUNet）架構，可一次生成完整的影片長度，不需經過多次處理。</p> <p>因為，該架構可在空間和時間上同時對訊號降採樣（Downsample），在更緊湊的時空表示中執行大部分運算。也因此，Lumiere能生成更長時間、動作更連貫的影片，可產生長達5秒的影片。Google表示，5秒影片的長度，已經超過大多數媒體作品中平均鏡頭的時長了。</p> <p>就運作流程來說，Lumiere會先由基礎模型在像素空間生成圖像草稿，再透過一系列空間超解析度（SSR）模型，來提高這些圖像的解析度和細節。同時，團隊還採用Multidiffusion方法，來解決SSR時窗不連續的問題，確保影片的一致性和連續性。<a href="https://lumiere-video.github.io/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/wxLr02Dz2Sc?si=gE206nfJlOwFGJEI" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>圖片來源／Google、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://twitter.com/OpenAI/status/1752391522081980855">ChatGPT用戶可在對話中呼叫GPTs</a></strong></p> <p><strong>2. <a href="https://twitter.com/AIatMeta/status/1752013879532782075">Meta釋出700億參數的程式碼生成模型Code Llama</a></strong></p> <p><strong>3. <a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/01/29/fact-sheet-biden-harris-administration-announces-key-ai-actions-following-president-bidens-landmark-executive-order/">美政府要求AI公司提交安全測試報告，雲端業者需通報外國AI客戶</a></strong></p> <p>資料來源：iThome整理，2024年2月</p> </div></div></div>
2024/2/5 18:24作者王若樸https://www.ithome.com.tw/news/161199
【資安日報】2月5日，知名遠端桌面連線軟體AnyDesk證實伺服器遭駭並撤換程式碼簽章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來利用遠端桌面連線程式入侵受害電腦，已是駭客偏好的手法之一，但若是提供這類系統的業者遭駭，很有可能讓攻擊者取得大量帳密資料，並將其用於發動攻擊。</p> <p>上週末AnyDesk證實他們有伺服器遭到入侵，並尋求資安業者協助，進行這起事故的後續回應，雖然該公司強調他們尚未得知有使用者受到影響，但有資安業者發現駭客已在地下論壇兜售大量AnyDesk帳密，後續發展有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/anydesk-says-hackers-breached-its-production-servers-reset-passwords/"><strong style="font-size: 22px;">遠端桌面連線解決方案業者AnyDesk傳出遭駭，用戶連線帳密資料流入駭客論壇</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gunter-born-anydesk-support-20240125.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/gunter-born-anydesk-support-20240125.png" style="width: 300px; float: right;" /></a>2月2日遠端桌面連線解決方案AnyDesk發布公告，他們在資安稽核的過程當中，發現產線系統（production systems）遭到入侵的跡象，該公司尋求資安業者CrowdStrike協助，進行補救及事件回應。他們撤銷所有與安全相關的帳密，並修復、更換受到影響的系統，該公司也註銷、更換原本用於簽署應用程式的程式碼簽章。該公司指出目前尚未出現用戶裝置受到影響的情況，並強調這起事故與勒索軟體無關。</p> <p>不過，這起事故發生之際，該公司也出現遠端連線服務中斷的現象，引發外界聯想是否有關。1月25日，有人向IT專家Günter Born投訴，自1月20日AnyDesk出現無法連線的情況，授權金鑰也無法使用，通報該公司客戶支援之後，所得到的回應是「伺服器連線異常」，而且，截至1月30日，AnyDesk網站仍然為維護狀態而無法使用。當時，該名專家呼籲用戶，應暫停使用這套遠端桌面連線軟體。在Günter Born公布AnyDesk連線異常的情況後，2月3日，他掌握德國聯邦資訊安全辦公室（BSI）向關鍵基礎設施業者提出警告的情報，2月4日，有2人向他透露，他們發現有人12月底疑似進行嘗試未經授權存取的跡象。</p> <p>而對於AnyDesk帳號資料外洩的情況，已有研究人員看到駭客在駭客論壇兜售相關資料。資安業者Resecurity指出，他們在2月3日看到多組駭客於網路犯罪論壇兜售AnyDesk帳密資料，其中使用匿稱為Jobaaaaa的駭客在暗網論壇Exploit上，聲稱握有1.8萬筆帳密資料。資安業者Hudson Rock根據他們的威脅情報平臺分析結果，認為這名駭客掌握超過3萬筆資料。</p> <p>資料來源</p> <p>1. <a href="https://anydesk.com/en/public-statement">https://anydesk.com/en/public-statement</a><br /> 2. <a href="https://www.borncity.com/blog/2024/01/25/strung-bei-anydesk-jemand-betroffen/">https://www.borncity.com/blog/2024/01/25/strung-bei-anydesk-jemand-betroffen/</a><br /> 3. <a href="https://borncity.com/win/2024/02/03/anydesk-hack-undercover-more-information-and-thoughts-part-2/">https://borncity.com/win/2024/02/03/anydesk-hack-undercover-more-information-and-thoughts-part-2/</a><br /> 4. <a href="https://borncity.com/win/2024/02/04/anydesk-hack-undercover-suspicious-cases-and-more-part-3/">https://borncity.com/win/2024/02/04/anydesk-hack-undercover-suspicious-cases-and-more-part-3/</a><br /> 5. <a href="https://www.resecurity.com/blog/article/following-the-anydesk-incident-customer-credentials-leaked-and-published-for-sale-on-the-dark-web">https://www.resecurity.com/blog/article/following-the-anydesk-incident-customer-credentials-leaked-and-published-for-sale-on-the-dark-web</a><br /> 6. <a href="https://www.linkedin.com/feed/update/urn:li:activity:7159893240748388352/">https://www.linkedin.com/feed/update/urn:li:activity:7159893240748388352/</a></p> <p><a href="https://securityaffairs.com/158329/cyber-crime/network-operators-credentials-found-in-dark-web.html"><strong style="font-size: 22px;">使用免費電子郵件信箱註冊身分釀禍？逾1,500臺網路作業人員的電腦感染竊資軟體，帳密資料流入暗網</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/b7f09ae28626e1ef086dddd18bc1dd17.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/b7f09ae28626e1ef086dddd18bc1dd17.png" style="width: 300px; float: right;" /></a>根據資安新聞網站Bleeping Computer的報導，1月3日西斑牙大型電信業者Orange Spain的歐洲IP位址網路資源協調中心（RIPE NCC）帳號遭到駭客挾持，從而破壞該公司的邊界閘道協定（BGP）及資源公錀基礎設施（RPKI）的配置，導致電信網路服務中斷。資安業者Hudson Rock著手調查此事，指出該電信業者的員工電腦於9月4日感染了竊資軟體Raccoon，而該名員工握有RIPE NCC的帳密，但現在有研究人員提出警告，類似的攻擊行動越來越多。</p> <p>資安業者Resecurity進一步針對暗網進行掃描，發現這裡還有區域網路資訊中心的使用者帳密遭到外洩，例如，亞太網路資訊中心（APNIC）、非洲網路資訊中心（AFRINIC）、拉丁美洲暨加勒比網路資訊中心（LACNIC），共通點是駭客藉由竊資軟體（Infostealer）來盜取相關帳密，總共有1,572個帳號受害，其中有45%用戶啟用了雙因素驗證（2FA），但不曉得帳密已經外流，另有16%察覺電腦感染惡意程式，從而變更密碼並啟用雙因素驗證；14%直到接獲通知才啟用雙因素驗證的功能。</p> <p>研究人員指出，他們發現大多數管理網路的IT人員使用免費電子郵件信箱註冊帳號，而有可能讓駭客更容易取得相關資料，進而發動大規模的網路攻擊。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/hacker-hijacks-orange-spain-ripe-account-to-cause-bgp-havoc/">https://www.bleepingcomputer.com/news/security/hacker-hijacks-orange-spain-ripe-account-to-cause-bgp-havoc/</a><br /> 2. <a href="https://www.infostealers.com/article/infostealer-infection-of-an-orange-employee-results-in-bgp-disruptions/">https://www.infostealers.com/article/infostealer-infection-of-an-orange-employee-results-in-bgp-disruptions/</a><br /> 3. <a href="https://www.resecurity.com/blog/article/hundreds-of-network-operators-credentials-found-circulating-in-dark-web">https://www.resecurity.com/blog/article/hundreds-of-network-operators-credentials-found-circulating-in-dark-web</a></p> <p><a href="https://unit42.paloaltonetworks.com/apateweb-scareware-pup-delivery-campaign/"><strong style="font-size: 22px;">研究人員揭露ApateWeb攻擊行動，駭客企圖散布恐嚇程式、PUP程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-132226-1.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-132226-1.jpeg" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露名為ApateWeb的大規模攻擊行動，駭客利用逾13萬個網域來散布恐嚇軟體（Scareware）、潛在有害軟體（PUP），或是將使用者導向詐騙網頁。他們發現自2022年8月這起攻擊行動升溫，而且，駭客架設的網站每個月有數百萬次點擊，以2023年11月為例，他們在74,711臺裝置封鎖了約350萬次這類連線。</p> <p>而對於這起攻擊行動的流程，研究人員指出，駭客先藉由電子郵件散布URL，若是收信人點選，電腦就會被駭客的集中化基礎設施（ centralized infrastructure）進行跟蹤（track），並回傳系統資訊給後端伺服器，然後分析這些資訊將收信人進行一系列的重新導向，最終投放前述的惡意程式，或是向他們顯示詐騙網頁。</p> <p>值得留意的是，為了迴避偵測，駭客採用多種措施，例如：駭客在電子郵件使用的URL當中加入特定的參數來進行驗證，若是有人直接存取駭客控制的網域，則會被重新導向到搜尋引擎或空白網頁；假如有機器人或爬蟲程式存取，會顯示內部伺服器錯誤的訊息。此外，攻擊者也濫用萬用字元DNS記錄（Wildcard DNS record），從而能夠利用隨機網域產生URL，來增加防禦方偵測的難度。</p> <p><a href="https://blogs.infoblox.com/cyber-threat-intelligence/cybercrime-central-vextrio-operates-massive-criminal-affiliate-program/"><strong style="font-size: 22px;">惡意流量引導系統VexTrio被用於針對逾7萬個網域發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cybercrime-central-vextrio-operates-massive-criminal-affiliate-program-figure_1_vextrio_business_operation-v2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/cybercrime-central-vextrio-operates-massive-criminal-affiliate-program-figure_1_vextrio_business_operation-v2.jpg" style="width: 300px; float: right;" /></a>攻擊者滲透合法網站，植入惡意工具，從而將瀏覽網站的使用者導向惡意網頁的手法，先前有研究人員揭露使用名為Parrot TDS的工具來從事的攻擊行動，<a href="https://www.ithome.com.tw/news/150343">當時駭客控制逾1.6萬個網站來進行</a>，但類似的手法還有其他人馬運用，而且發展成極為龐大的網路犯罪生態圈。</p> <p>資安業者Infoblox揭露名為VexTrio的惡意流量導向系統（TDS），開發此系統的駭客組織與經營惡意程式ClearFake、SocGholish的團隊結盟，入侵逾7萬個網站，從而用於散布惡意程式、進行網路釣魚或是詐騙。</p> <p>研究人員指出，經營VexTrio的駭客自2017年開始提供租賃服務，透過VexTrio將瀏覽合法網站的使用者，導向買家指定的目的地，至少有60個駭客組織使用其服務，其中有部分持續租用VexTrio長達4年。特別的是，上述使用ClearFake、SocGholish駭客組織並未直接將流量導向VexTrio，而是先經過另一套名為Keitaro的TDS，才將流量導向VexTrio，但為何這些駭客要這麼做？研究人員並未說明。</p> <p><a href="https://securelist.com/new-macos-backdoor-crypto-stealer/111778/"><strong style="font-size: 22px;">鎖定Mac電腦的竊資軟體透過DNS記錄向受害電腦散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/macOS_backdoor_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/macOS_backdoor_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露假借提供macOS軟體破解程式的竊資軟體攻擊行動，駭客藉由盜版網站提供PKG檔案，宣稱是已破解的付費版應用程式，但背後的目的是部署竊資軟體。</p> <p>一旦使用者依照指示開啟名為Activator的破解程式，該應用程式就會要求輸入使用者密碼提供權限，然後呼叫AuthorizationExecuteWithPrivileges功能函數來執行Mach-O檔案，並確認電腦上是否具備Python 3程式庫，完成後從C2伺服器下載以Base64編碼的Python指令碼並執行，從而在受害電腦執行任意命令，表面上看起來成功破解付費軟體，而讓使用者降低戒心。</p> <p>接下來，駭客使用罕見的方式來產生C2伺服器的網域，他們使用兩組字串列表並加上5個隨機字母，來取得第3級的網域名稱而能夠進行通訊，然後在一段時間後下載另一個Python指令碼，從而在受害電腦植入竊資軟體。此惡意程式針對macOS Ventura以上版本的作業系統打造，企圖竊取Bitcoin Core和Exodus加密貨幣錢包。</p> <p><a href="https://therecord.media/ukraine-cyberattacks-energy-postal-transportation"><strong style="font-size: 22px;">烏克蘭能源、交通、郵政機構遭遇網路攻擊</strong></a></p> <p>根據資安新聞網站Recorded Future報導，1月25日烏克蘭多家國營的關鍵基礎設施傳出遭到網路攻擊，導致部分服務出現中斷。</p> <p>其中1個受害單位是石油天然氣公司Naftogaz，導致他們的網站及客服中心無法運作，該公司證實資料中心遭到攻擊；另1家受害的是郵政服務業者Ukrposhta，該公司執行長Igor Smelyansky證實，合作夥伴的資訊基礎設施夜間遭到攻擊，導致他們的服務中斷，該公司已恢復支付系統、使用者帳號存取權，以及API的運作。</p> <p>此外，也有交通運輸機構受害，分別是運輸安全監管局DSBT、國家鐵路局Ukrzaliznytsia，DSBT表示資料中心遭到攻擊，網站及名為Shlyah貨運邊境管制系統的運作受到衝擊；Ukrzaliznytsia指出因遭到網路攻擊，乘客無法線上購買部分車票。究竟上述事故的攻擊者身分為何？目前仍不得而知，名為國家網路軍隊（National Cyber Army）的俄羅斯駭客組織聲稱對DSBT出手。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://blog.qualys.com/vulnerabilities-threat-research/2024/01/30/qualys-tru-discovers-important-vulnerabilities-in-gnu-c-librarys-syslog"><strong style="font-size: 22px;">GNU C程式庫glibc存在弱點，有可能讓攻擊者取得root權限，多個版本Linux曝險</strong></a></p> <p>資安業者Qualys揭露GNU C程式庫glibc的本機權限提升（LPE）漏洞CVE-2023-6246，此為記憶體緩衝區溢位漏洞，出現於名為__vsyslog_internal()的功能函數，影響syslog()及vsyslog()兩項功能，攻擊者若是已存取非特權使用者的帳號，就有機會藉由發送偽造的輸入到使用特定事件記錄功能的應用程式，觸發漏洞並得到完整的root權限，CVSS風險評分為8.4。</p> <p>研究人員指出，這項漏洞是開發團隊在2022年8 月製作2.37版的過程中不慎引入，他們確認Debian 12、13版，Ubuntu 23.04、23.10版，Fedora 37至39版都存在這項弱點，並認為其他版本的Linux也可能曝險。</p> <p>研究人員也在上述的功能函數當中，找到CVE-2023-6779和CVE-2023-6780，並指出攻擊者利用的難度較高，他們也在qsort()功能函數找到漏洞，但尚未取得CVE編號。</p>  <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lurie-childrens-hospital-took-systems-offline-after-cyberattack/"><strong><span style="font-size: 20px;">美國芝加哥兒童醫院Lurie遭遇網路攻擊，IT系統被迫離線</span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/clorox-says-cyberattack-caused-49-million-in-expenses/"><strong><span style="font-size: 20px;">針對去年9月遭遇網路攻擊，清潔劑製造商高樂氏損失4,900萬美元</span></strong></a></p> <p><a href="https://www.trendmicro.com/en_us/research/24/a/pawn-storm-uses-brute-force-and-stealth.html"><strong><span style="font-size: 20px;">俄羅斯駭客組織APT28發動NTLM中繼攻擊，鎖定全球企業組織高層下手</span></strong></a></p> <p><strong><a href="https://cert.gov.ua/article/6277422"><span style="font-size: 20px;">2千臺烏克蘭電腦遭到惡意軟體DirtyMoe、PurpleFox攻擊</span></a></strong></p> <p></p> <p><strong><a href="https://www.welivesecurity.com/en/eset-research/vajraspy-patchwork-espionage-apps/"><span style="font-size: 20px;">安卓木馬VajraSpy透過Google Play市集散布</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161155"><strong>【2月2日】美國下令聯邦機構限時切斷Ivanti Connect Secure與內部網路環境之間的連線並著手清查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161129"><strong>【2月1日】Ivanti旗下SSL VPN解決方案的零時差漏洞在修補前傳出第2波攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161098"><strong>【1月31日】美國傳出針對中國駭客Volt Typhoon的攻擊行動採取反制並破壞其基礎設施</strong></a></p> </div></div></div>
2024/2/5 15:19作者周峻佑https://www.ithome.com.tw/news/161188
走向多元化的公有雲檔案服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/11681169qi_-feng_mian_gu_shi_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=KJdv5xsA" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這2年來，透過公有雲提供NFS/SMB檔案儲存服務，出現很大變化，除了各公有雲服務商的原生檔案儲存服務，湧現一大批基於第三方檔案系統的服務，為用戶提供了更多元化的應用選擇。</p> </div></div></div>
2024/2/5 16:38作者張明德https://www.ithome.com.tw/article/161195
【雲端原生平臺、老牌平臺雲端版、雲地混合同場較勁】公有雲檔案儲存服務進入百花齊放時代
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/11681169-feng_mian_-zhu_wen_-960-jpg-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>透過NFS、SMB/CIFS等協定的檔案傳輸，可說是企業IT最基本的儲存應用之一，不過，在公有雲環境提供的各式儲存服務中，檔案（File-level）類型的儲存服務，卻是最晚近才推出的一種。</p> <p>要在公有雲使用NIFS/SMB檔案儲存服務，早期的方式是由用戶自行為執行個體或虛擬機器安裝檔案系統平臺，扮演檔案伺服器角色，但存在建置、管理與擴充上的種種不便，逐漸由SaaS形式的檔案儲存服務取代，用戶只需按需選購檔案儲存空間服務即可，省下建置與管理的麻煩。</p> <p>公有雲的檔案儲存服務，就是以SaaS型式提供的雲端NAS儲存服務，可透過NFS、SMB/CIFS等標準的檔案存取協定，為公有雲執行個體或地端用戶提供檔案儲存空間。這雖然是一項非常基礎的儲存應用，問世時間卻相當晚。</p> <p>物件（Object-level）類型的公有雲儲存服務發展至今，已有15年以上歷史，區塊（Block-level）類型的公有雲儲存服務也有10年以上歷史，相較下，檔案類型的公有雲儲存服務推出至今，僅有6、7年，全面普及更是近5年的事情——直到2018年以後，各大公有雲服務商才總算各自備齊本身供應的檔案儲存服務。</p> <p>然而，為了因應用戶端不同的需求，公有雲檔案儲存服務接下來的發展，走進與另2種儲存服務截然不同的方向。</p> <p>公有雲物件與區塊儲存服務，都是在同一個服務架構下，透過不同的服務層級區分，因應各種應用需求，例如高效能型、低成本型等等。</p> <p>而公有雲檔案儲存服務除了同樣提供不同的服務層級，還提供了基於不同檔案系統的底層架構選擇，類型選擇遠比物件與區塊儲存服務更為多樣化。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>公有雲檔案儲存服務的多元化發展</strong></span></span></p> <p>2016年到2018年問世的第一波公有雲檔案服務，多是基於公有雲服務商自身發展的原生檔案服務平臺，例如，AWS的EFS（Elastic File System），Google Cloud的Filestore。</p> <p>近兩年多來，湧現了另一波基於第3方檔案系統平臺的公有雲檔案儲存服務，例如基於NetApp ONTAP儲存系統的Amazon FSx for NetApp ONTAP，以及Azure NetApp Files，基於Intel DAOS平臺的Google Cloud Parallelstore等，一口氣增加了十多種新的檔案儲存平臺。</p> <p>而這股風潮的起因，在於檔案儲存應用是個複雜、涵蓋面向極為廣泛的領域，不同用戶的應用情境往往天差地遠，難以透過單一平臺來滿足用戶端各式各樣的需求。</p> <p>舉例來說，多數檔案系統都是針對通用型應用而設計，不能應付有極端效能要求的工作負載，所以對特定的大規模或高效能運算（HPC）類型應用而言，需要搭配分散式或平行處理架構的檔案系統，然而這些高效能取向的檔案系統，資料服務功能卻往往相對貧乏。</p> <p>所以有高效能處理需求的用戶，無法選擇一般檔案系統，而需要特定資料保護或其他進階應用功能的用戶，則不適合選擇高效能的平行檔案系統。而這也意味著：沒有任何一套檔案系統平臺能通吃所有用途，涵蓋一般應用到大規模存取以至高效能應用等不同領域。</p> <p>其次，在檔案儲存應用領域，用戶對於檔案系統平臺存在著相對較高的路徑依賴，例如，用戶過去在地端環境熟悉使用某種檔案系統平臺，基於管理、使用，以及對於特定進階功能的熟悉與依賴，即便用戶轉移到雲端環境，往往也依然希望繼續使用同一種檔案系統。</p> <p>這也促使公有雲服務商們在原有原生檔案儲存服務外，又推出基於不同類型檔案系統的服務，以便盡可能涵蓋不同用戶的需求。</p> <p>另一方面，公有雲檔案儲存服務是個十分吸引人的市場，依照雲端檔案儲存服務商Nasui的簡報資料（2021年），公有雲檔案儲存服務年營業額可望達到150億美元，極為可觀，卻沒有任何檔案系統平臺獨占，因而也讓眾多廠商察覺蘊含的商機，進而被吸引，並且積極投入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1168%2B1169-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-600-V2.png" style="width: 559px;" /></p> <p><strong><span style="color:#696969;">由底層檔案系統平臺的發展脈絡來看，目前公有雲上的檔案儲存服務，可以分為基於公有雲服務商自身檔案儲存平臺，以及基於第3方廠商檔案儲存平臺等2大類，而後者又可分為由本地端檔案系統移植雲端，以及純雲端原生檔案系統等2類。</span></strong><span style="font-size:14px;"><span style="color:#696969;">資料來源：iThome整理，2024年2月</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>公有雲檔案儲存服務的類型區分</strong></span></span></p> <p>我們上次探討公雲檔案儲存服務，是在2020年底的封面故事「透視公有雲檔案儲存服務」，當時這個領域的發展還是相對單純，是以各大公有雲服務商旗下的原生檔案儲存服務為主。</p> <p>但時隔3年多，這個領域無論是產品類型還是數量，都已增加許多，已有不下20種服務，也變得更加複雜，</p> <p>因而我們這次改從產品發展脈絡，服務提供形式，以及平臺應用取向等3個方面，來解析這個領域當前的狀況。</p> <p><span style="color:#B22222;"><strong>產品發展脈絡</strong></span></p> <p>當前的公有雲檔案儲存服務，可分為專門針對雲端平臺發展的雲端原生檔案儲存平臺，以及由本地端檔案儲存平臺的雲端版本等2大類型。</p> <p><strong>● 雲端原生檔案儲存平臺</strong></p> <p>主要公有雲服務商的原生檔案儲存服務皆屬這類解決方案，如AWS的EFS、Azure File Storage，Google Cloud的Filestore，Oracle Cloud的File Storage，還有一眾新創廠商的雲端原生檔案儲存平臺，如Panzura的CloudFS，Nasuni的File Data Platform，Egnyte的Cloud File Server，以及LucidLink Filespace等。</p> <p><strong>● 本地端檔案儲存平臺的雲端版本</strong></p> <p>例如：Amazon FSx for Lustre、Amazon FSx for OpenZFS、Amazon FSx for NetApp ONTAP，這三者分別是以Lustre、OpenZFS，以及NetApp ONTAP等地端檔案儲存平臺，移植到AWS雲端環境而成。</p> <p>採取類似型式的解決方案，還有移植自Intel DAOS平臺的Google Cloud Parallelstore，以及移植自NetApp ONTAP平臺的Azure NetApp Files，移植自Dell PowerScale平臺的Dell Apex File Storage for AWS等。</p> <p>除此之外，有些著名的分散式檔案系統，如Qumulo的Qumulo Core、WEKA的WekaFS，VAST Data的Universal Storage，也都提供移植到公有雲的版本，它們同樣屬於這個類型。</p> <p><span style="color:#B22222;"><strong>服務提供形式</strong></span></p> <p>從服務提供形式來看，公有雲檔案儲存服務可以分為兩大類，一種由公有雲服務商直接提供，另一是由第三方廠商經由公有雲服務商的應用程式市集提供。兩者的差別，在於服務的建置者與訂閱管道不同。</p> <p>前者是公有雲服務商自建、自營，並直接提供用戶的服務。如AWS的EFS、Azure的File Storage，Google Cloud的Filestore，這類服務多半是基於公有雲服務商自身的原生檔案系統平臺而成，但也有基於第3方檔案系統平臺的形式，例如AWS的Amazon FSx系列，以及Azure的Azure NetApp Files。</p> <p>後者則是第三方廠商利用公有雲服務商的基礎設施資源建置，再透過公有雲市集提供給用戶訂閱。這類型服務的數量相當多，因為眾多新創廠商都是利用這種形式，向用戶提供檔案儲存服務，如Panzura、Nasuni、WEKA、VAST Data等，都同時透過AWS、Azure，或Google Cloud等公有雲平臺的市集，向用戶提供。</p> <p><span style="color:#B22222;"><strong>儲存平臺應用取向</strong></span></p> <p>從儲存平臺的應用取向，我們可以將當前的公有雲檔案儲存服務，區分為通用型與高效能型等2大類。</p> <p>絕大多數服務都是屬於通用類型，可適用多數用戶常見的工作負載需求。</p> <p>而一些分散式與平行處理架構的檔案儲存平臺，則是專門針對HPC應用類型工作負載而設的高效能型服務，例如：Amazon FSx for Lustre，Azure Managed Lustre、Google Cloud Parallelstore，以及WEKA WekaFS、VAST Data Universal Storage等，憑藉單一檔案系統就能提供百萬甚至數百萬IOPS等級的I/O效能，並為每個用戶端提供數十GB/s等級的傳輸吞吐能力。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>分眾化的多元服務選擇</strong></span></span></p> <p>無論何種類型的公有雲檔案儲存服務，目的都是為公有雲上的執行個體或虛擬機器，提供基於NFS或SMB的檔案存取服務，但除了這個共同點，在部署與管理架構、效能規格、附屬功能等方面，都存在很大差異。</p> <p>對於用戶來說，要從這許多公有雲檔案儲存服務做出選擇，我們認為首要的因素，便是對於相關技術的熟悉程度。若用戶原先在地端環境已有熟悉與習慣使用的檔案系統，當應用環境轉移到公有雲之後，自然是選擇使用基於同一種檔案系統的檔案儲存服務最為便利，無須更動原本的存取架構。</p> <p>如果用戶環境屬於雲地混合型態，那麼，一些提供混合雲應用架構的檔案儲存服務，如Azure File Storage、Amazon FSx for NetApp ONTAP，可以較便利地融合到用戶環境。</p> <p>假使用戶對於檔案系統的平臺沒有特別的習慣偏好或是功能需求，選擇公有雲服務商的原生檔案儲存服務最簡便，與公有雲平臺完全整合。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>公雲檔案儲存服務競爭趨於白熱化</strong></span></span></p> <p>幾年前，我們曾以為公有雲檔案儲存服務會像物件儲存服務，以雲端原生平臺為主。但經過一段時間發展下來，證明了單靠雲端原生平臺，並無法完全滿足用戶端多面向的複雜需求。</p> <p>這樣的局面，也促使許多發展多年的商用與開源的地端檔案系統平臺，紛紛移植到雲端，眾多新創廠商也為此發展新的檔案儲存平臺投入這個領域，促成公有雲檔案儲存服務戰國時代的到來。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1168%2B1169-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-600-PNG.png" style="width: 600px;" /></p> <p><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"><span style="color:#FFFFFF;"> </span><a href="https://www.ithome.com.tw/article/161195" target="_blank"><span style="color:#FFFFFF;">相關報導 </span></a></span></strong></span><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/article/161195" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/11681169qi_-feng_mian_gu_shi_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=KJdv5xsA" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item odd"><a href="/tags/%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">檔案儲存服務</a></div><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">公有雲檔案儲存服務</a></div></div></div>
2024/2/5 16:40作者張明德https://www.ithome.com.tw/tech/161191
【3大公有雲的檔案儲存服務1】AWS的SaaS檔案儲存服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/11681169-awsde_saasdang_an_chu_cun_fu_wu_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在主要的公有雲服務廠商當中，AWS是最積極擴展檔案儲存服務類型態度的，繼自身開發的EFS檔案儲存服務（Elastic File System），又透過Amazon FSx系列檔案儲存服務，引進多種第3方檔案儲存平臺。除此之外，在AWS線上市集（AWS Marketplace），也有多種第3方廠商提供的檔案儲存服務可供訂閱，讓用戶獲得極為豐富的檔案儲存應用形式選擇，總計有不下10種各自基於不同平臺的服務可選，類型也十分齊備，涵蓋辦公室檔案共享到HPC等各種應用取向。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AWS嫡出的EFS檔案儲存服務</strong></span></span></p> <p>EFS是AWS自身的原生檔案儲存服務，可透過NFS 4.0與4.1協定，為AWS EC2執行個體、ECS與EKS容器，以及Fargate、Lambda運算服務，提供檔案儲存空間服務。</p> <p>EFS目前區分為3個層級：EFS標準、EFS不常存取、EFS封存，分別對應經常存取、較少存取，以及靜態保存資料，而且，3者的IOPS效能與傳輸率是相同的，都可提供最大數十萬IOPS與數GB/s等級的效能，彼此的主要差別在於存取延遲與成本，例如，EFS標準型可提供低於1 ms的延遲，EFS不常存取與EFS封存等2種類型，則均為雙位數ms延遲。</p> <p>EFS的用戶可選擇多區域部署、提高可用性，並且搭配跨區域的遠端複製，以及與AWS Backup服務的整合，進一步保護資料，也提供存取控制與加密（靜態與傳輸中），來確保資料安全，防止未授權存取。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Amazon FSx檔案儲存服務系列</strong></span></span></p> <p>FSx檔案儲存服務家族的陣容相當龐大，目前包含FSx for ONTAP、FSx for OpenZFS、FSx for Windows File Server，以及FSx for Lustre等4種，分別是基於ONTAP、OpenZFS、Windows Server，以及Lustre等檔案儲存平臺，可為ECS執行個體、ECS與EKS容器，提供基於NFS或SMB的檔案存取服務。</p> <p>其中的ONTAP，是企業儲存大廠NetApp所長期發展的多協定檔案系統，OpenZFS來自源遠流長、擁有良好口碑的ZFS檔案系統家族，Windows Server是Windows環境的標準檔案儲存平臺，Lustre則是HPC領域應用最普遍的高效能平行檔案系統。</p> <p>在FSx服務中，for ONTAP的儲存空間是由SSD主儲存層，以及硬碟容量池（capacity pool）組成，依照不同層級空間的使用容量，以及資料傳輸量計費，for Lustre同樣分為SSD與硬碟等2層，依不同效能層級的使用容量，以及資料傳輸量計費。for OpenZFS完全基於SSD，依空間使用量、SSD IOPS與資料傳輸量計費。for Windows File Server分為SSD層與硬碟層，依不同層級空間使用量、SSD IOPS，以及資料傳輸量計費。</p> <p>在部署方式上，for ONTAP、for OpenZFS，以及for Windows File Server這3種服務，都提供單區域，以及具備更高可用性的多區域部署，至於for Lustre，則提供基於單區域的持久性與臨時性等2種部署，前者的可用性較高。</p> <p>在效能方面，這4種FSx檔案儲存服務提供的效能等級都在EFS之上，全都擁有低於1 ms的存取延遲，以及10 GB/s以上的傳輸率，其中的for ONTAP、for OpenZFS與for Lustre，都擁有百萬IOPS等級效能，for Windows Server也有數十萬IOPS。</p> <p>在資料服務的功能供應上，FSx系列也比EFS更為豐富，資料保護方面，全部都整合了自動增量備份功能，除了for Lustre，其餘3種都提供快照功能，for ONTAP、for OpenZFS、for Lustre還提供遠端複製。另外4種FSx服務也都提供了AWS EFS服務所沒有的資料減量功能，而且，它們全都提供壓縮的功能，for ONTAP與for Windows Server這兩種服務還額外提供重複資料刪除功能。</p> <p>在安全性方面，AWS的FSx系列檔案儲存服務也都提供了存取控制，以及動態與靜態加密。至於for ONTAP，另外提供WORM一寫多讀與防毒整合功能。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AWS市集中的檔案儲存服務</strong></span></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1168%2B1169-AWS%E7%9A%84SaaS%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99-600-%E5%A4%A7.png" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1168%2B1169-AWS%E7%9A%84SaaS%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99-600-%E5%B0%8F.png" style="width: 600px;" /></a></p> <p>除了AWS官方提供的EFS與FSx系列檔案儲存服務，用戶還能從AWS市集訂閱多種其他廠商提供的檔案儲存服務，其中較重要的包括WEKA、VAST Data、Dell、Qumulo、Panzura、Nasuni等廠商的服務，前2者屬於高效能應用取向，其餘屬於通用應用取向。</p> <p>WEKA的WEKA Data Platform是高效能、高擴展性的檔案與物件儲存系統，在AWS上的WEKA Data Platform是以EC2執行個體作為儲存節點，結合執行個體內含的NVMe儲存裝置，與S3物件儲存區，共同組成了儲存服務空間，目前可達到數百萬IOPS與數百Gbps效能，並提供快照、Snap to Object等資料保護功能，以及資料減量與加密功能，而在用戶計費方式上，則是依照NVMe與物件儲存空間使用量來認定。</p> <p>VAST Data Platform同樣也是強調高效能、高擴展性的檔案與物件儲存系統，並擁有資料減量、快照、物件不可變等資料服務功能，在AWS提供的環境上，他們的儲存服務是使用EC2執行個體來做為儲存節點，並提供基於固定容量月租，以及BYOL等2種授權形式版本。</p> <p>Dell在AWS上提供的檔案儲存服務，是源自PowerScale平臺的Dell Apex File Storage for AWS，不過並非採用一般的SaaS模式，而是基於TB容量的軟體授權，並且需要另外部署。</p> <p>Qumulo在AWS提供的File Storage服務，可支援檔案與物件儲存協定，並分為提供1 TB到30 PB彈性容量的版本，以及1 TB、12 TB、96 TB、103 TB、270 TB、809TB等固定容量授權的版本（其中1TB版本是基於SSD，其餘版本是基於SSD搭配硬碟的混合架構），透過EC2執行個體作為儲存節點，用於部署Qumulo儲存叢軟體，再結合EBS區塊儲存服務來提供儲存空間。</p> <p>Panzura的CloudFS是以取代傳統辦公室NAS應用、管理簡便為訴求的通用型檔案儲存系統，並提供基於不可變唯讀快照的資料保護機制。CloudFS在AWS市集有SaaS版本、BOYL模式版本，以及Gov Cloud政府雲版本等3種，其中SaaS版本又分為Archive、NAS、Collaboration等3種基本版本，各自對應不同等級的效能與容量需求。</p> <p>Nasuni File Data Platform同樣以取代傳統NAS與使用簡便為訴求，以Nasuni自身的UniFS檔案系統為基礎，提供專屬密集備份技術Continuous File Versioning。而在目前的AWS市集中，Nasuni有Essentials、Advanced與Premium等3種版本，均含20TB授權。</p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#FF8C00;"> 跨多雲的NetApp與Dell儲存平臺 </span></strong></span></span></p> <p><strong>檢視了各主要公有雲檔案儲存服務後，我們發現許多廠商都同時在3大公有雲平臺推出基於自身平臺的檔案儲存服務，其中有兩家一線儲存大廠的身影，特別引起我們注意，那就是NetApp與Dell。</strong></p> <p><strong>NetApp可說是最早致力於自身儲存平臺雲端化的一線儲存大廠，早在7、8年前就開始這方面的嘗試，將ONTAP儲存平臺移植到AWS，是地端企業級儲存系統雲端SaaS服務化的先驅。</strong></p> <p><strong>而且他們同時在AWS、Azure與Google Cloud等3大公有雲，提供基於ONTAP平臺的檔案儲存服務，包括AWS的Amazon FSx for NetApp ONTAP、Azure NetApp Files、Google Cloud NetApp Volumes，堪稱公有雲中最活躍的地端移植平臺。</strong></p> <p><strong>雖然這3種SaaS服務都是基於ONTAP平臺而成，但在服務架構與功能上，卻有著微妙的差別。</strong></p> <p><strong>以服務架構而言，Amazon FSx for NetApp ONTAP沒分級，完全依照用量計費。Azure NetApp Files與Google Cloud NetApp Volumes都分為3種效能層級。而功能方面，Amazon FSx提供的較為完整，不僅支援NFS與SMB存取，比起在Azure與Google Cloud供應的同類儲存服務，多了對iSCSI的支援，資料服務的部分，也額外提供資料縮減與WORM一寫多讀功能。</strong></p> <p><strong>繼NetApp後，Dell近兩年來也對儲存平臺的雲端服務化，展現十分積極的態度，以我們這次針對的檔案儲存SaaS服務來說，Dell便在AWS與Google Cloud，推出基於Power Scale平臺的檔案儲存服務，包括在AWS上的Dell Apex File Storage for AWS，以及在Google Cloud上的PowerScale for Google Cloud，可透過Power Scale的OneFS作業系統，提供類型豐富的檔案存取服務。</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%98%8E%E5%BE%B7-Cloud%20ONTAP%20%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-NetApp.png" style="width: 350px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>｜雲端服務化的NetApp ONTAP平臺｜積極推動儲存系統平臺的上雲轉型工程，NetApp同時在3大公有雲提供基於ONTAP平臺的檔案儲存服務，上圖為Amazon FSx for NetApp ONTAP檔案系統設定畫面。</strong><span style="font-size: 14px;">（圖片來源／NetApp）</span></span></p> <p><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/161195" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導 </span></a></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/161195" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/11681169qi_-feng_mian_gu_shi_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=KJdv5xsA" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item odd"><a href="/tags/%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">檔案儲存服務</a></div><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">公有雲檔案儲存服務</a></div><div class="field-item odd"><a href="/tags/saas%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">SaaS檔案儲存服務</a></div><div class="field-item even"><a href="/tags/aws">AWS</a></div></div></div>
2024/2/5 16:40作者張明德https://www.ithome.com.tw/tech/161192
【3大公有雲的檔案儲存服務2】Azure的SaaS檔案儲存服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/11681169-azurede_saasdang_an_chu_cun_fu_wu_-960-jpg-v2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在三大公雲中，微軟Azure的SaaS檔案儲存服務的選擇多元性，居於中段，目前提供3種解決方案，包含Azure自身原生的Azure File Storage，基於NetApp ONTAP儲存平臺的Azure NetApp Files，以及基於Lustre檔案系統的Azure Managed Lustre。</p> <p>而在Azure的線上市集，也有非常多樣化的檔案儲存服務類型可選，包括WEKA、VAST Data、Qumulo、Panzura、Nasuni與LucidLink等廠商，都在這裡推出SaaS檔案儲存服務。另外，微軟也在此提供Avere vFXT for Azure儲存服務，用於檔案系統快取。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Azure本身發展的File Storage檔案儲存服務</strong></span></span></p> <p>Azure File Storage是Azure自身發展的雲端原生SaaS檔案儲存服務，可為雲端上的虛擬機器，或是地端的用戶電腦，提供基於SMB或NFS協定的檔案儲存空間服務。</p> <p>Azure File Storage的儲存空間目前分為4個層級：高階（Premium）、交易最佳化（Transaction optimized）、經常性存取（Hot），以及非經常性存取（Cool），分別對應I/O密集型、大量交易、一般通用，以及靜態保存等不同應用情境，其中的高階型，可提供10萬IOPS等級效能與10GB/s等級傳輸率，標準型則為2萬IOPS與7到14 GB/s傳輸率。對於個別檔案，另有最大60MB/s（標準型）與300MB/s（高階型）的傳輸率上限，高階型可啟用SMB多通道（multichanne）功能，將單一檔案傳輸率上限提高到1GB/s。</p> <p>不同服務層級的計費單位也存在著差異，例如，高階層級是依照用戶布建（provisioned）的容量計費，但毋須為讀寫存取與其他操作付費；其餘3種則是依照實際使用容量計費，但需額外針對存取與其他操作付費。</p> <p>Azure File Storage可搭配Azure的4種不同的分散複製備援模式來部署，包括本地端備援（LRS）、區域備援（ZRS）、異地備援（GRS），以及異地區域備援（GZRS），藉此獲得不同等級的可用性，另外還能搭配快照與Azure Backup備份服務，提供進一步的資料保護。</p> <p>在安全性方面，Azure File Storage提供存取控制、加密功能，以及與Microsoft Defender威脅偵測服務的整合。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Azure NetApp Files服務</strong></span></span></p> <p>Azure NetApp Files是基於NetApp ONTAP平臺而成的檔案儲存服務，可透過NFS與SMB協定，為用戶端應用程式提供儲存空間，搭配跨可用性區域的高可用性部署架構，提供系統失效容錯能力，再結合快照、遠端複製、備份等進階功能來保護資料，並搭配存取控制、加密與Microsoft Defender威脅偵測服務等安全性功能。</p> <p>Azure NetApp Files提供了標準、Premium、Ultra等3種效能等級，分別提供每1TB空間16MB/s、64MB/s，以及128MB/s的傳輸效能，標準級的上限是1.6GB/s，Premium級與Ultra級則是4.5GB/s（啟用large volume選可提高到6.5GB/s與10GB/s），而在I/O處理效能方面，Premium級與Ultra級都可提供45萬IOPS效能，標準級也有32萬IOPS。</p> <p>用戶能依照工作負載的變化，動態地變更服務等級。計費則是依照不同效能等級的空間使用量、不同頻率的遠端複製傳輸量來計算，若用戶使用備份還原功能，也需依資料容量計算月費。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Azure Managed Lustre服務</strong></span></span></p> <p>Lustre是HPC領域是最普遍運用的高效能平行檔案系統，透過Azure Managed Lustre服務，則能讓用戶在Azure環境快速建立Lustre檔案系統。</p> <p>Azure Managed Lustre是使用Azure的SSD區塊儲存服務空間，構成檔案系統空間，並且依照每TB傳輸率，分為4種效能等級：40 MB/s、125 MB/s、250 MB/s、500 MB/s，用戶也依照這4種效能等級的空間使用量付費。</p> <p>Azure Managed Lustre還能與Azure的Blob物件儲存服務整合，以便從物件儲存區匯入資料，或將不常用的資料匯出、放置到成本較低的物件儲存區。</p> <p>基本上，Azure Managed Lustre預設搭配Azure的本地端備援（LRS）機制，提供基本的可用性保護，用戶也可選擇更高階的區域備援（ZRS）或異地備援（GRS）來獲得更高的可用性。在安全性方面，這裡也提供基於網路安全群組的存取控制與加密。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Azure市集中的檔案儲存服務</strong></span></span></p> <p>除前述Azure原生檔案儲存服務，第三方儲存系統廠商，如WEKA、VAST Data、Qumulo、Panzura、Nasuni、LucidLink，也都在Azure市集提供各自的檔案儲存服務。</p> <p>同時，這些廠商（LucidLink除外）也在AWS市集上架同類檔案儲存服務。他們在AWS與Azure市集上架的同類產品，基本上大同小異，只有VAST Data與Qumulo具有較顯著的差異。例如，VAST Data在Azure只提供BOYL授權型式，不像在AWS還有固定容量月租型式；而Qumulo在Azure提供的服務，稱為Azure Native Qumulo Scalable File Service，計費方式有別於在AWS提供的Qumulo File Storage——前者依照不同容量級距與傳輸量計費，後者則依不同容量授權的節點版本計費</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Avere vFXT for Azure檔案快取</strong></span></span></p> <p>微軟在Azure市集還提供特別的Avere vFXT快取服務， Avere vFXT針對是支援HPC應用的高效能、可伸縮處理規模的檔案系統，支援NFS與SMB協定。相較於其他檔案儲存服務，在Azure平臺上，Avere vFXT本身的定位並非保存資料的檔案儲存空間，而是作為加速檔案讀取效能的快取，適合極大量讀取的應用。</p> <p>Avere vFXT for Azure會使用至少3臺虛擬機器組成儲存叢集，並將叢集節點配備的記憶體與固態硬碟做為快取空間，用戶可利用SMB或NFS協定將快取空間掛載給運算叢集。</p> <p>雖然Avere vFXT本身並不實際「儲存」資料，而只是「快取」資料，但是，用戶另外可搭配後端的Blob物件儲存空間，或用戶指定的儲存硬體，作為永久性存放檔案的空間。Avere vFXT本身也不需要授權費用，用戶主要是依照建立叢集使用的基礎資源來付費。</p> <p><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/161195" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導 </span></a></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/161195" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/11681169qi_-feng_mian_gu_shi_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=KJdv5xsA" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item odd"><a href="/tags/%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">檔案儲存服務</a></div><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">公有雲檔案儲存服務</a></div><div class="field-item odd"><a href="/tags/saas%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">SaaS檔案儲存服務</a></div><div class="field-item even"><a href="/tags/azure">Azure</a></div></div></div>
2024/2/5 16:40作者張明德https://www.ithome.com.tw/tech/161193
【3大公有雲的檔案儲存服務3】Google Cloud的SaaS檔案儲存服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/11681169-google_cloudde_saasdang_an_chu_cun_fu_wu_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較<a href="https://www.ithome.com.tw/tech/161192" target="_blank">AWS</a>與<a href="https://www.ithome.com.tw/tech/161193" target="_top">Azure</a>，Google Cloud檔案儲存服務選擇明顯較少，但供應的類型仍算完整，包括自身原生開發的Google Cloud Filestore，基於NetApp ONTAP平臺的Google Cloud NetApp Volumes，還有針對HPC高效能應用、基於Intel DAOS平臺的Parallelstore，另外在Google Cloud市集，也同樣有多家廠商提供的檔案儲存服務可選。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Google Cloud原生檔案儲存服務</strong></span></span></p> <p>Google Cloud Filestore是Google原生的檔案儲存服務，分為基礎（Basic）、企業（Enterprise）、高可擴充性（High Scale）等3種等級，基礎級是搭配硬碟或SSD，其餘都是基於SSD。</p> <p>基礎級的效能水準是1,000 IOPS與180MB/s傳輸率（基於硬碟）或6萬IOPS與1.2GB/s傳輸率（基於SSD），企業級則為5.7萬IOPS與1.2GB/s傳輸率，高可擴充性等級則有96萬IOPS與26GB/s傳輸率。在各大公有雲目前提供的原生檔案儲存服務中，Google Cloud Filestore的高可擴充性等級，算是效能規格最高的一種。</p> <p>Filestore整合備份與快照作為基本的資料保護機制，也能搭配Google Cloud Console的複製指令執行遠端複製。在安全性方面，這裡提供了存取控制與加密功能。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Google Cloud第3方平臺檔案儲存服務</strong></span></span></p> <p>目前包括基於Intel DAOS平臺的Parallelstore，以及基於NetApp ONTAP平臺的Google Cloud NetApp Volumes，提供兩種選擇。</p> <p>Intel DAOS是與Lustre競爭的高效能平行儲存平臺，嚴格來說，DAOS本身更接近物件儲存系統，透過Parallelstore服務，則能讓用戶在Google Cloud環境中，迅速建立Intel DAOS儲存環境。</p> <p>而且，Parallelstore是以執行個體作為儲存節點，使用執行個體內含的NVMe SSD構成儲存空間，用戶端則透過DAOS API存取。目前Parallelstore是非公開的預先發布版狀態，尚未公布銷售與計費資訊。</p> <p>至於Google Cloud NetApp Volumes，則是ONTAP儲存平臺在Google Cloud的版本，分為標準、進階（Premium）、極端（Extreme）等3種效能等級，分別提供每TB空間16 MB/s、64 MB/s到4.5 GB/s，以及128 MB/s到4.5 GB/s的效能，可兼用於NFS與SMB存取，並結合完整的資料保護與安全性機制。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Google Cloud市集中的檔案儲存服務</strong></span></span></p> <p>目前在Google Cloud的市集當中，我們可以找到Dell、DDN、WEKA、Qumulo、Nasuni、Panzura、Quobyte等廠商的檔案儲存服務。</p> <p>其中WEKA、Qumulo、Nasuni、Panzura的服務，也同時在AWS、Azure平臺的市集上架。</p> <p>而Dell的PowerScale for Google Cloud，則是基於Dell PowerScale儲存平臺的雲端版本，類似於Dell在AWS上提供的Dell Apex File Storage for AWS。</p> <p>DDN的EXAScaler Cloud，則是DDN EXAScaler平臺的雲端化版本。EXAScaler 是高效能應用取向的檔案儲存系統，是以開源的Lustre檔案系統為基礎衍生發展而來，在Google Cloud上的雲端版本，是依照部署使用的VM數量，以及搭配VM的磁碟數量與容量來計費。</p> <p>至於Quobyte的File and Object Storage，則是兼具檔案與物件儲存功能的平臺，目前只提供BYOL授權形式。</p> <p><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/161195" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導 </span></a></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/161195" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/11681169qi_-feng_mian_gu_shi_p1-open-ming_de_-960x420_kao_bei_0.jpg?itok=KJdv5xsA" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item odd"><a href="/tags/%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">檔案儲存服務</a></div><div class="field-item even"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">公有雲檔案儲存服務</a></div><div class="field-item odd"><a href="/tags/saas%E6%AA%94%E6%A1%88%E5%84%B2%E5%AD%98%E6%9C%8D%E5%8B%99">SaaS檔案儲存服務</a></div><div class="field-item even"><a href="/tags/google-cloud">Google Cloud</a></div></div></div>
2024/2/5 16:40作者張明德https://www.ithome.com.tw/tech/161194
臺中市數位局主動出擊推智慧城市，3管齊下打造數位市民服務
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何有效遏止空氣污染，是各大縣市府不斷面對的環境課題，也是城市治理的一大考驗。「我們和計程車業者合作，在大街小巷移動的小黃，就是我們的空污感測器！」臺中市數位治理局局長林谷隆說。</p> <p>因為，他們在合作的每一輛計程車行車記錄器旁，多設置一個感測器，能偵測前方車輛的排煙狀態、辨識車牌號碼，並與監理站聯手，來確認這輛車是否定期檢驗排氣，還能加上GPS即時定位資訊，來比對高污染車輛的行經位置和時間、發出排煙檢測通知給車主。一旦發現複檢不合格的車輛，車主就會被開罰，要求限期改善。</p> <p><span style="font-size:28px;"><strong>前年升為一級機關，設定3大目標</strong></span></p> <p>這不是臺中市政府第一次用新技術改善空氣品質。早在聯手計程車業者前，臺中市政府就已導入機車污染AI辨識系統，在特定路口電線桿上，各裝設2支監視器，除了用來抓超速車輛，也能全天辨識排煙異常的機車和車牌號碼，揪出高汙染的烏賊車、追出未定檢的車輛，發送到檢通知單。</p> <p>不只從路上下手，林谷隆指出，近年來，臺中市府還鎖定工廠等空污熱點，來建置空品微型感測器和微型風速風向計，結合了空氣品質感測器數據、測站氣象資料、臺中市內工廠資料、GIS等多種資料，打造出一套空品感測器物聯網平臺，能即時掌握空污熱點的空氣品質。只要偵測到特定物質過高，稽查人員就馬上出動，直擊現場並檢測，若超標就直接開罰。</p> <p>這些對抗空污的措施，正是臺中市數位治理局智慧治理的重要使命之一。因為，數位治理局在2022年12月25日成立之初，臺中市長盧秀燕就賦予了2大使命：智慧治理和推廣應用。其中，智慧治理是要讓市民更便利、資訊更加公開透明，比如提供數位化便民服務、推動遠距辦公、用科技執法揪出超速和烏賊車，推廣應用則要推廣數位市民平臺，整合更多功能，吸引更多民眾使用。</p> <p>為實現這兩大使命，林谷隆制定了3個戰略目標，首先是結合產官學研資源、極力發展臺中市智慧城市應用，再來是整合、優化市政府線上服務，最後是建構數位市民平臺臺中通。</p> <p><span style="font-size:28px;"><strong>目標1：AIoT發展智慧城市應用</strong></span></p> <p>臺中市府第一步先升級IT，在IT採購上，採「集中向上」模式，由數位治理局統一採購電腦、應用軟體、網路和資安設備等，不再像過去由各局處自行處理。這麼做，不只有大量採購可獲得較多授權版應用軟體，還能在源頭一次安裝完資安防護系統，如防毒軟體、GCB和資產軟體等，再分發給各局處使用。「資訊集中向上，資安也集中向上管理了！」林谷隆說。</p> <p>IT集中向上管理後，在智慧城市發展上，數位治理局主動出擊，協助各局處發展智慧應用。比如他們輔助環保局，開發一套河岸揚塵微型監測系統，裝設在大甲溪、大安溪河床上，能即時偵測塵土飛揚狀態。要是超標，就會自動啟動灑水，來降低揚塵影響。</p> <p>與環保局的合作不只如此，去年4月展開的靜城專案，他們結合了環警監聯合稽查，搭配聲音照相、智慧監錄和檢舉通報查緝等多種方法，來降低車輛噪音污染，半年後就查獲了上千輛違規改裝車，比前一年成效好上許多。</p> <p>用科技改善交通，也是智慧城市發展的重要環節。為解決臺中市車流壅塞問題，數位治理局還聯手臺中市交通局，在68處主要道路路口導入智慧動態號誌系統，即時計算各方向車流量，來分配適當的綠燈秒數，改善尖峰時段的塞車狀況。</p> <p>以五權西路為例，用路人從美術館經五權西路上國1南屯交流道車流，最多可節省約3分鐘車程，等於用路人可少停等1、2次紅燈，預估每年節省10萬公升汽油，可以減少近26萬公斤的碳排放量。接下來，他們還要擴大導入這套系統至其他45處路口。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1168%2B1169-CIO-%E6%8A%BD%E8%A8%80-RAW.jpg" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>目標2：整合優化市府線上服務</strong></span></p> <p>數位治理局的第二個目標是整合、優化市政府線上服務。他們盤點過去各局處各自進行的資訊化作業和大數據分析等應用，並集中處理，如彙整分析所需的資料、建置單一入口網站，來提供民眾一站式的市府線上服務。</p> <p>其中一大亮點是服務e櫃檯，這個單一入口網，整合了多達1,711件臺中市府機關各種臨櫃表單，近20種類別，另外還有600多項場地租借和近百項線上申辦項目。這個入口網每年的申辦次數，都超過了3萬次。</p> <p>在這個目標中，「整合」也意味著另一個重要任務：整併App。「我接任時，臺中市府App數量是14個，一年後只剩下10個，4個退場。」林谷隆指出，數位治理局是管理市府App的單位，每年會定期盤點各局處App，來衡量存續的必要性。</p> <p>他們衡量的標準很簡單，「市府App的主要目的是對市民提供服務，不全然取決於它的下載次數，而是對服務的族群，是否有其必要性。」他說。意思是，數位治理局不只透過盤點來找出功能重複或用量少、可淘汰的App，另也針對市民有需要但用量少的App，將其功能整併到其他App中，來淘汰原本功能單一的App。</p> <p>例如，臺中市府有支臺中友善公車App，專門提供低底盤公車資訊和預約候車資訊給所需民眾，但數位局協調交通局，將同性質的資訊整併至臺中公車App中，更簡便有效提供服務。另一個例子是中稅e把照App，它專門提供各種線上繳稅和查詢服務，但民眾只在繳稅期才會使用。當時恰逢地稅局建置線上AI客服系統，因此數位治理局建議，將中稅e把照App相關功能也納入，由地稅局手機也能瀏覽的新官網服務取代，又減少了一支App的維運負擔。</p> <p>面對成效不彰的市府App，他們還有另種解法。林谷隆表示，一支App每年至少需要20萬元資安檢測成本，和10幾萬元的維護費用，因此，數位治理局也開始針對成效不理想的App，來輔導相關局處採用網頁開發技術PWA或RWD，取代建置一整支App，來減少維護App的成本。</p> <p><span style="font-size:28px;"><strong>目標3：建置數位市民平臺臺中通</strong></span></p> <p>數位治理局的第三個目標是將2019年推出的臺中購物節App升級，整合多種市府服務，來轉型成為臺中通暨購物節App。林谷隆指出，這款App只在每年短暫活動時，民眾才會使用，但在2021年的下載量就達109萬次、會員數量大約70萬人，其中55%是臺中市民，很適合擴充發展為市政整合服務平臺。</p> <p>於是，2022年開始，數位治理局從經發局手中接下這款App系統維運，並擴大整合市府服務。為發展成全年度都能使用的數位市民服務平臺，他們還想出了幾種方法。</p> <p>首先是讓臺中通App採用單一帳號來串連各機關服務，讓民眾不必每次重覆填寫基本資料，或記憶多組帳號。同時，數位治理局也陸續將政府服務整合至App，如陳情整合平臺、服務e櫃臺、復康巴士預約等7項。</p> <p>再來是在App中提供加值服務，來提高市民用量。比如整合支付繳費通功能和多種支付工具，方便民眾在App中繳納各種政府規費，此外還整合虛實卡證，如串接圖書館系統，可用來借書。另還有專屬QR Code，能結合網路報名和身分認證，進行簽到退等功能。</p> <p>同時，他們還納入各機關的服務資訊的快速查詢，像是樂齡服務、補助津貼、空氣品質等，去年還介接了敬老愛心卡點數查詢、水情資訊等服務。為吸引更多民眾使用，這款App還提供300多家特約商店的優惠功能，讓持數位市民虛擬卡的民眾享有折扣或優惠。接下來，他們還要將臺中通App的特約店家範圍，擴大到中臺灣地區，如南投，來促進周邊經濟發展。</p> <p>整合如此多功能的臺中通，就像是一支超級App，民眾在單一平臺就能享有各種市政服務。但數位治理局也發現，在整合多項服務至單一App的過程中，也面臨了功能過多、使用體驗不佳的挑戰。因此，他們在去年開始優化UI和UX，將常用或重要功能重新分類、調整版位，來引導民眾找到所需功能。</p> <p><span style="font-size:28px;"><strong>主動出擊，協助各局處發展IT創新和應用</strong></span></p> <p>話鋒一轉，林谷隆坦言，一開始要執行這3大戰略目標並不容易。</p> <p>因為，「數位治理局原本是臺中市政府資訊中心、屬於二級機關，扮演幕僚角色，專門支援其他局處的需求，如協助採購、開發IT應用等。」但，2022年底升級為數位治理局後，「我們成為一級機關，必須要轉變心態，從幕僚角色轉為主動出擊，來規畫、管理臺中市府的IT發展和智慧應用。」前述的空污IoT應用、整併優化市府App，都是數位治理局主動出擊的成果。</p> <p>尤其，數位治理局是臺中市府智慧感測的推動組織，每年盤點各局處智慧感測應用的面向，比如去年有7個局處要發展20個應用，今年則成長到8個局處、32個應用。數位治理局會根據這些數據，來主動出擊，協助這些局處發展智慧應用，甚至去了解未提出應用的局處，共同討論出可行方案，來加速發展新技術。比如，他們就與臺中市勞工局合作，發展一套AI求職建議功能，可根據使用者求職類別和臉型，來推薦適合的穿搭與妝容，甚至還有應試建議。</p> <p>林谷隆認為，智慧感測是推動智慧城市的重要基礎。因為藉由智慧感測應用，才能蒐集資料、優化網路設備、發展後端分析、前端應用和治理，累積智慧化經驗。接下來，數位治理局還要以擬定智慧感測推動框架或指引方式，來要求局處按目標編預算、落實智慧感測應用，推進智慧城市發展。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>臺中市政府數位治理局局長林谷隆</strong></p> <p>學歷：東海大學政治學系博士畢業</p> <p>經歷：曾任臺中市府研究發展考核委員會專門委員、臺中市工商發展投資策進會副總幹事等職，2019年進入臺中市政府服務，2022年12月起擔任臺中市數位治理局首任局長，要加速推動臺中市智慧城市發展，現兼任臺中市政府青年事務諮詢委員、東海大學兼任助理教授等職</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/32_(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)%E8%87%BA%E4%B8%AD%E5%B8%82%E6%94%BF%E5%BA%9C_20240112.jpg" style="width: 250px;" /></p> <p><strong>臺中市政府數位治理局</strong></p> <p>地址：臺中市西屯區臺灣大道三段99號</p> <p>網址：<a href="http://www.taichung.gov.tw">www.taichung.gov.tw</a></p> <p>成立時間：2022年12月25日</p> <p>主要業務：以便民、效率、共創為願景，推動臺中市政府數位服務發展，如數位服務、數位行政、開放資料、軟硬體資源整合的資安管理等</p> <p>員工數：30,418人（不含學校）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位治理局檔案 </span></strong></span></p> <p>直屬主管：林谷隆</p> <p>局處名稱：數位治理局</p> <p>局處人數：64人</p> <p>局處分工：分創新服務科、數位匯流科、整合應用科、系統規畫科</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2005年：臺中縣政府成立資訊處</p> <p>●2007年：臺中市政府計畫處成立資訊科</p> <p>●2010年：臺中縣市合併成立資訊中心</p> <p>●2017年：開始建置空品感測器物聯網平臺</p> <p>●2019年：開始建置臺中購物節App</p> <p>●2020年：啟用機車污染AI辨識系統</p> <p>●2022年：資訊中心升格為數位治理局，管理臺中市府內部智慧感測應用推動業務；開始規畫數位市民平臺臺中通App；上線疫苗預約系統；啟動靜城專案</p> <p>●2023年：辦理ChatGPT講座和進階資安課程，推動區域資安聯防；首次辦理紅藍軍攻防演練；啟用新版資料開放平臺；優化臺中通App，新添虛擬市民卡</p> <p>●2024年：預計對外服務頻寬可提高三倍達到600Mbps</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/11681169-cio-960.jpg" width="960" height="420" alt="" title="臺中市政府數位治理局局長林谷隆　（攝影／洪政偉）" /></div></div></div>
2024/2/5 17:06作者王若樸https://www.ithome.com.tw/people/161196
Hugging Face開源可客製化的AI助理Hugging Chat Assistant
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有AI界GitHub之稱的<a href="https://twitter.com/_philschmid/status/1753429249363452274" target="_blank">Hugging Face上周五（2/2）發表了Hugging Chat Assistant</a>，允許使用者自行打造客製化的AI助理，如同OpenAI於去年11月所推出的<a href="https://www.ithome.com.tw/news/159668" target="_blank">ChatGPT客製化版本GPTs</a>，同時，<a href="https://huggingface.co/chat/assistants" target="_blank">Hugging Face也建立了類似GPT Store的客製化AI助理分享平臺</a>。</p> <p>Hugging Face技術負責人Philipp Schmid表示，Hugging Chat Assistant可用來建立個人化的Hugging Face聊天機器人，得以客製化名稱、角色與描述，且支援所有開放的大型語言模型（LLM），諸如Llama2 或Mixtral，還能客製化系統訊息以控制機器人的行為，也能設定不同的訊息起始語。</p> <p>專門協助企業導入生成式AI應用的GenDojo.ai創辦人<a href="https://twitter.com/AI_NewsWaltz/status/1753488198758527311" target="_blank">Mathieu Trachino比較了Hugging Chat Assistant及GPTs的差別</a>，指出Hugging Chat Assistant可以任選各種模型，從Mixtral、Llama2到OpenChat與Hermes，而且它是免費的，還能跟任何人分享自己設計的聊天機器人。</p> <p>不過，Hugging Chat Assistant目前仍為測試版，尚未具備檢索增強生成（Retrieval-Augmented Generation，RAG）能力，也無法搜尋網頁或是透過AI來生成聊天機器人的圖像。</p> <p>至於GPTs雖然已是正式版，而且支援RAG及圖像生成，但有模型上的限制，也只有ChatGPT Plus與ChatGPT Enterprise等付費會員才能使用。</p> </div></div></div>
2024/2/5 15:34作者陳曉莉https://www.ithome.com.tw/news/161190