iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 26篇
近 24 小時: 27篇
近 7 天: 142篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 18:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 141 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

OpenAI公布短影片生成AI模型Sora，能理解指示、產出複雜場景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨（5）日<a href="https://openai.com/sora" target="_blank">公布最新生成式AI模型Sora</a>，未來能讓使用者輸入文字即可產生短影片，目前已展開不公開的安全及功能測試。</p> <p>Sora可依據用戶輸入的文字描述，產生最長1分鐘的高畫質影片。Sora能生成具有多個角色、特定動作及具備精準主題細節及背景的複雜場景影片。其底層模型對語言有深度理解能力，使其能精確解釋用戶的提示要求，產生能表達鮮明情感的人物，它也能在簡單一則短影片建立多個場景，並以同樣的角色和視覺風格貫穿多場景。目前OpenAI已提供合作的紅隊演練測試人員，以及少部分視覺設計、攝影師、製片人員試用Sora以取得專業反饋意見。</p> <p class="rtecenter"><a href="https://cdn.openai.com/sora/videos/italian-pup.mp4" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/60216-sora%20by%20openai-600-1.jpg" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>Sora類似Meta和Google釋出的類似AI模型，分別名為<a href="https://www.ithome.com.tw/news/159897" target="_blank">Emu Video</a>及<a href="https://www.ithome.com.tw/node/160487" target="_blank">VideoPoet</a>。</p> <p>從技術層面而言，Sora是一個擴散模型，能從一個看似靜態噪音（static noise）的影格開始，逐步透過去除噪音生成一則影片。Sora是在DALL-E及GPT模型的研究基礎上發展，它使用DALL-E 3的重描述（recaptioning）技術，能為視覺訓練資料產生高度描述文字，因此能依循用戶文字指令產生影片。除了根據文字指示外，該模型也能將靜態圖片動態化以生成影片。Sora能從無到有生成全新影片，也能延長現有影片，或是將遺失的影格補上。</p> <p>OpenAI表示，Sora是運行能理解及模擬真實世界的模型之基礎，該公司相信是實現通用人工智慧（Artificial General Intelligence，AGI）的重要里程碑。</p> <p>不過Sora目前還有待加強，因它對複雜場景的描繪，以及特定因果關係的理解還有問題。例如它的人物可能咬了口餅乾，但餅乾卻沒有咬痕。它有時也會搞混提示的細節，例如左、右搞錯，或無法精準描述發生一段時間的事件，例如無法跟著攝影機的軌跡移動。</p> <p>在將Sora公開給大眾使用前，OpenAI正在強化安全測試。該公司正在進行紅隊演練，以評估假訊息、仇恨內容及偏見對模型的影響。開發團隊也正在打造偵測誤導性內容的工具，像是偵測分類器，能在Sora生成影片時加以判讀。</p> <p>為提供辨識，該公司計畫未來將該模型部署到OpenAI產品中時，在其生成的影片加入C2PA metadata。<a href="https://www.ithome.com.tw/news/161227" target="_blank">C2PA是Meta和業界聯盟合作發展的AI內容辨識標準</a>，OpenAI已經<a href="https://www.ithome.com.tw/news/161251" target="_blank">在DALL-E3生成的圖像中加入C2PA metadata</a>。</p> <p>此外，OpenAI也會利用團隊現有安全技術為Sora加入安全措施，像是文字分類器會拒絕違反使用政策的提示，圖像分類器則會檢視影片的影格，以確保符合政策。該公司也承諾和立法機關、教育人士及藝術家合作以減少其對AI的疑慮。</p> </div></div></div>
2024/2/16 14:51作者林妍溱https://www.ithome.com.tw/news/161312
曾一度排名122，Go語言本月首次進入Tiobe Index排名前10
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.tiobe.com/tiobe-index/">Tiobe Index排名2月</a>的看點在於，Go語言在推出約15年後，來到Tiobe Index排名第8名，而這是Go語言自推出以來最高名次。有趣的是，Go語言曾經在2015年的時候跌落至第122名，在經過開發團隊的努力，才在2024年達到Tiobe Index新高峰。</p> <p>Go語言在推出時名聲響亮，Tiobe執行長Paul Jansen說：「Google在2009年11月發表Go，Go一砲而紅，在那時期Google所做的一切都是魔法，像是在Go出現前的Gmail、Google Maps和Google Docs。」因此Google推出第一個自己的語言Go時也受到高度關注，僅在發布後的2個月，Go即獲得了Tiobe年度語言獎。</p> <p>但是熱潮過後Go語言便慢慢退燒，甚至在2015年一度跌落至Tiobe Index排名第122名。不過在之後，Go開發團隊採取了嚴格的半年一次發布節奏持續更新，在2016年時，以Go開發的Docker和Kubernetes在2016年開始變得熱門，Go才逐漸重新獲得人氣。</p> <p>目前Go被應用於後端程式設計、網頁服務、API開發等各種軟體領域，Paul Jansen指出，因為Go在產業界逐漸受到廣泛採用，因此他認為Go有長期維持在Tiobe Index前10名的實力。另外，他也提到，Google最近剛推出被視為是C++替代程式語言的Carbon，也在這個月首次進入前100名。</p> <p>Tiobe Index前5名穩定由Python、C、C++、Java、C#占據，接著JavaScript、SQL也都是Tiobe Index排名前10名的常客，值得注意的是去年同期排名第24的古老語言Fortran，在這個月已經前進至11名。組合語言則從去年同期的第9名往後退至14名。</p> <p>Tiobe Index是程式語言受歡迎程度的指標，程式語言的評分基礎，來自全球熟練程式語言工程師的數量、第三方供應商，以及Google、Amazon、維基百科、Bing等熱門網站與搜尋引擎。不過這個月的評分來源略有變動，YouTube和百度不再被用於Tiobe Index，因此各程式語言分數在短期可能會有些微浮動。</p> </div></div></div>
2024/2/16 08:13作者李建興https://www.ithome.com.tw/news/161309
【資安日報】2月15日，臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客意圖藉由網路攻擊來操縱國家重要選舉的情況，可說是越來越常見，而這樣的情況，也出現在臺灣上個月舉行的總統與立委大選。</p> <p>根據資安業者Trellix的觀察，他們發現中國駭客在選舉的前一天，企圖透過網路攻擊找出能用於抹黑的資料，研究人員認為駭客選擇此時間點的原因在於，一旦找到相關的資訊大肆散布，候選人將沒有足夠時間進行澄清，而有機會左右選舉的結果。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trellix.com/blogs/research/cyberattack-on-democracy-escalating-cyber-threats-immediately-ahead-of-taiwan-2024-presidential-election/"><strong style="font-size: 22px;">2024臺灣大選期間曾出現資安危機，中國駭客網路攻擊頻率倍增，可能是為了散布抹黑訊息，以影響選情</strong></a></p> <p></p> <p>1月13日臺灣進行總統與立委選舉，選前中國不斷文攻武嚇，並揚言若是民進黨繼續執政，將使得兩岸關係遠離和平，有研究人員選後一個月公布選前觀察到的網路攻擊態勢。2月13日資安業者Trellix指出，他們發現在投票當天前的24小時之內，針對臺灣企業組織而來的網路攻擊活動大幅增加，從1月11日的1,758起，在12日達到了4,371起，增加超過一倍，但到了選舉當天，攻擊次數顯著下降，剩下1千多次。</p> <p>而對於大選前1天攻擊行動激增的情況，研究人員認為，駭客的目的可能是為了收集對特定候選人具有破壞性的資訊，來進行抹黑，企圖左右社會大眾的輿論，影響最終的選舉結果。</p> <p>根據他們的遙測資料，部分惡意流量針對政府機關、警察單位、金融機構而來，研判攻擊者想要挖掘犯罪記錄、銀行對帳資料、保險資訊、政府內部通訊的內容。</p> <p><a href="https://s4.itho.me/sites/default/files/images/cyberattack-on-democracy-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/cyberattack-on-democracy-1.jpg" style="width: 580px;" /></a></p> <p><a href="https://www.sentinelone.com/labs/chinas-cyber-revenge-why-the-prc-fails-to-back-its-claims-of-western-espionage/"><strong style="font-size: 22px;">中國政府聯合官方媒體、當地資安業者，散布美國情報單位從事駭客行為的言論</strong></a></p> <p></p> <p>資安業者SentinelOne指出，在2021年7月美國、英國、歐盟譴責中國駭客利用Exchange Server漏洞發動大規模攻擊，指控中國在網路空間不負責任的行為，引起各國政府的不滿。對此，中國當局與官方媒體、資安業者聯手，2022年初開始大肆宣傳、指控美國政府對其進行駭客活動。</p> <p>研究人員對其內容進行分析，結果發現，中國針對美國政府進行駭客攻擊的指控，普遍缺乏相關的技術分析及證據來佐證，他們看到在2023年之前，這些來自中國的「調查報告」都會引用外流、舊的美國情報資料，但到了2023年中，中國直接在官方媒體《環球時報》上，指控美國情報單位入侵武漢地震監測中心的地震監測系統，但內容完全未經證實。</p> <p><a href="https://www.ithome.com.tw/news/161281"><strong style="font-size: 22px;">國家級駭客將AI當作網路攻擊的武器</strong></a></p> <p></p> <p>2月14日微軟與OpenAI聯手提出警告，表示多個國家的國家級駭客已在攻擊行動裡濫用大型語言模型（LLM），兩家公司指出，這些駭客主要是利用OpenAI的服務查詢開源工具、翻譯文件，然後尋找程式碼漏洞，並產生部分所需的程式碼。</p> <p>這些駭客組織運用LLM的目的也有所差異，例如：中國駭客Charcoal Typhoon用來調查企業及資安工具、對程式碼除錯、產生網路釣魚的內容；Salmon Typhoon則是用來調查情報組織、撰寫程式碼；伊朗駭客Crimson Sandstorm用於產生程式碼、網路釣魚內容，以及研究迴避偵測的方法；北韓駭客Emerald Sleet將其用於識別亞太地區國防相關組織，並尋找曝露的弱點；俄羅斯駭客Forest Blizzard則是用於研究衛星通訊。</p> <p>資料來源</p> <p>1. <a href="https://openai.com/blog/disrupting-malicious-uses-of-ai-by-state-affiliated-threat-actors">https://openai.com/blog/disrupting-malicious-uses-of-ai-by-state-affiliated-threat-actors</a><br /> 2. <a href="https://www.microsoft.com/en-us/security/blog/2024/02/14/staying-ahead-of-threat-actors-in-the-age-of-ai/">https://www.microsoft.com/en-us/security/blog/2024/02/14/staying-ahead-of-threat-actors-in-the-age-of-ai/</a></p> <p><a href="https://blog.lastpass.com/2024/02/warning-fraudulent-app-impersonating-lastpass-currently-available-in-apple-app-store/"><strong style="font-size: 22px;">密碼管理應用程式LastPass出現冒牌貨，公然在蘋果App Store市集上架</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/LassPass-2024-02-07-at-4_20_27-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LassPass-2024-02-07-at-4_20_27-PM.png" style="width: 300px; float: right;" /></a>2月7日密碼管理解決方案業者LastPass提出警告，他們得知蘋果App Store市集出現冒牌的LastPass應用程式LassPass Password Manager，不僅程式名稱雷同，商標及介面也相似，開發者卻明顯不同──正牌的LastPass Password Manager開發者是母公司LogMeIn, Inc，冒牌應用程式的開發者則是Parvati Patel。</p> <p>對此，蘋果在LastPass發出警告的同日，下架冒牌應用程式，但並未說明該App為何能夠通過此市集嚴格的審核流程。</p> <p><a href="https://www.cisa.gov/news-events/alerts/2024/02/12/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 22px;">美國警告郵件伺服器Roundcube的XSS漏洞已被用於攻擊行動</strong></a></p> <p></p> <p>2月12日美國網路安全暨基礎設施安全局（CISA）提出警告，郵件伺服器Roundcube的跨網站指令碼（XSS）漏洞CVE-2023-43770（CVSS風險評分為6.1）已被用於攻擊行動，將其加入已遭利用的漏洞名單（KEV），並要求聯邦機構於3月4日前完成修補。</p> <p>攻擊者一旦利用這項漏洞，就有可能藉由純文字的訊息連結，並與使用者進行互動，進而存取特定資訊，Roundcube開發團隊於去年9月推出1.4.14、1.5.4、1.6.3版予以修補。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/patch-tuesday-adobe-warns-of-critical-flaws-in-widely-deployed-software/"><strong style="font-size: 22px;">Adobe發布2月例行更新，修補逾30個漏洞</strong></a></p> <p></p> <p>本週Adobe發布二月份的例行更新，總共修補超過30個漏洞，其中最值得留意的是電子商務平臺Adobe Commerce及Magento Open Source，該公司修補了重大層級的跨網站指令碼（XSS）漏洞CVE-2024-20719、作業系統命令注入漏洞CVE-2024-20720，這些漏洞一旦遭到利用，攻擊者就有可能執行任意程式碼，CVSS風險評分皆達到9.1。</p> <p>另一個也相當值得留意的是PDF應用程式Acrobat、PDF檢視器Acrobat Reader，該公司也修補多個重大層級的漏洞CVE-2024-20726、CVE-2024-20727、CVE-2024-20728、CVE-2024-20730、CVE-2024-20731，這些漏洞與越界寫入（OBW）、記憶體釋放後濫用（UAF）、整數溢位有關，而可能放任攻擊者執行各種程式碼，CVSS風險評分介於7.8至8.8分。</p> <p>資料來源</p> <p>1. <a href="https://helpx.adobe.com/security/products/magento/apsb24-03.html">https://helpx.adobe.com/security/products/magento/apsb24-03.html</a><br /> 2. <a href="https://helpx.adobe.com/security/products/acrobat/apsb24-07.html">https://helpx.adobe.com/security/products/acrobat/apsb24-07.html</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-fortinet-rce-bug-is-actively-exploited-cisa-confirms/"><strong style="font-size: 22px;">Fortinet旗下SSL VPN元件存在RCE漏洞，傳出已出現攻擊行動</strong></a></p> <p></p> <p>2月8日資安業者Fortinet針對防火牆作業系統FortiOS、網頁安全閘道FortiProxy發布資安公告，指出上述系統存在越界寫入（OBW）漏洞CVE-2024-21762，一旦攻擊者利用這項漏洞，就有機會在未經授權的情況下，藉由發出偽造的HTTP請求，遠端執行任意程式碼或是命令，CVSS風險評為9.6，影響6.0至7.4.2版FortiOS、1.0至7.4.2版FortiProxy，值得留意的是，這項漏洞已被用於實際攻擊行動。</p> <p>次日，美國網路安全暨基礎設施安全局（CISA）也證實出現相關攻擊行動的情況，將此漏洞列入已遭利用的漏洞名單（KEV），要求聯邦機構2月16日前採取緩解措施。</p> <p>資料來源</p> <p>1. <a href="https://www.fortiguard.com/psirt/FG-IR-24-015">https://www.fortiguard.com/psirt/FG-IR-24-015</a><br /> 2. <a href="https://www.cisa.gov/news-events/alerts/2024/02/09/cisa-adds-one-known-exploited-vulnerability-catalog">https://www.cisa.gov/news-events/alerts/2024/02/09/cisa-adds-one-known-exploited-vulnerability-catalog</a></p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-february-2024-patch-tuesday-fixes-2-zero-days-73-flaws/"><strong style="font-size: 22px;">微軟發布2月例行更新，修補2個零時差漏洞</strong></a></p> <p></p> <p>2月13日微軟發布本月份例行修補（Patch Tuesday），總共緩解73個漏洞，其中有16個權限提升漏洞、3個安全功能繞過漏洞、30個遠端執行程式碼（RCE）漏洞、5個資訊洩漏漏洞、9個阻斷服務（DoS）漏洞，以及10個可被用於欺騙的漏洞。</p> <p>值得留意的是，本次修補的漏洞當中，有2個已被用於攻擊行動的零時差漏洞CVE-2024-21351、CVE-2024-21412，前者可被用於繞過Windows SmartScreen防護措施，但該公司並未透露此漏洞遭到利用的情形。</p> <p>另一個漏洞CVE-2024-21412則與網際網路捷徑檔案（.URL）有關，而有可能繞過Mark of the Web（MoTW）警示機制。通報該漏洞的趨勢科技指出，駭客組織DarkCasino（亦稱Water Hydra）鎖定金融市場的交易者而來，藉此漏洞散布惡意軟體DarkMe。</p> <p>資料來源</p> <p>1. <a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Feb">https://msrc.microsoft.com/update-guide/releaseNote/2024-Feb</a><br /> 2. <a href="https://www.trendmicro.com/en_us/research/24/b/cve202421412-water-hydra-targets-traders-with-windows-defender-s.html">https://www.trendmicro.com/en_us/research/24/b/cve202421412-water-hydra-targets-traders-with-windows-defender-s.html</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.justice.gov/opa/pr/international-cybercrime-malware-service-dismantled-federal-authorities-key-malware-sales"><strong style="font-size: 22px;">美國搗毀木馬程式Warzone RAT的基礎設施</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/seizedwebsite-final.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/seizedwebsite-final.png" style="width: 300px; float: right;" /></a>2月9日美國司法部（DOJ）宣布，在馬爾他的警方與總檢察長辦公室，以及美國聯邦調查局（FBI）的支持下展開行動，7日逮捕了涉嫌散布惡意程式Warzone RAT的27歲嫌犯Daniel Meli，此人被指控4項罪行，包含對於受到保護的電腦造成未經授權的損害、非法銷售及宣傳電子攔截設備等。波士頓聯邦調查局查獲warzone.ws等4個與該惡意程式有關的網域。</p> <p>另一方面，奈及利亞31歲的Onyeoziri Odinakachi王子於1月30日被馬薩諸塞州陪審團起訴，根據相關文件，這名嫌犯從2019年6月至2023年3月，對購買、使用Warzone RAT的客戶提供線上支援，2月7日奈及利亞執法人員逮捕此人。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blog.aquasec.com/snap-trap-the-hidden-dangers-within-ubuntus-package-suggestion-system"><strong><span style="font-size: 20px;">Ubuntu的「命令找不到」工具有可能被濫用於散布惡意軟體</span></strong></a></p> <p></p> <p><strong><a href="https://www.securityweek.com/sap-patches-critical-vulnerability-exposing-user-business-data/"><span style="font-size: 20px;">SAP修補ABA程式碼注入漏洞，若不修補恐曝露業務資料</span></a></strong></p> <p><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-addresses-270-vulnerabilities/"><strong><span style="font-size: 20px;">西門子發布2月例行更新，公告270個漏洞</span></strong></a></p> <p><strong><a href="https://www.securityweek.com/chipmaker-patch-tuesday-amd-and-intel-patch-over-100-vulnerabilities/"><span style="font-size: 20px;">AMD、Intel發布2月更新，修補逾100個漏洞</span></a></strong></p> <p></p> <p><a href="https://www.marketscreener.com/quote/stock/VARTA-AG-646256/news/VARTA-AG-VARTA-affected-by-cyber-attack-45941947/"><strong><span style="font-size: 20px;">德國電池製造商Varta遭遇網路攻擊，被迫暫停生產作業</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161232"><strong>【2月7日】求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161212"><strong>【2月6日】駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161188"><strong>【2月5日】知名遠端桌面連線軟體AnyDesk證實伺服器遭駭並撤換程式碼簽章</strong></a></p> </div></div></div>
2024/2/15 16:52作者周峻佑https://www.ithome.com.tw/news/161289
DNSSEC存在重大設計缺陷，特製封包可導致DNS服務癱瘓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國資安研究機構同時也是歐洲最大的資安研究中心National Research Center for Applied Cybersecurity ATHENE，<a href="https://www.athene-center.de/en/news/press/key-trap">發現</a>域名系統安全擴充（Domain Name System Security Extensions，DNSSEC）設計存在一個重大缺陷，允許攻擊者執行KeyTrap攻擊，洪水輸送有問題的封包就能讓所有實作DNSSEC驗證的DNS系統，以及公共DNS提供者如Google和Cloudflare癱瘓。</p> <p>DNSSEC是一系列針對DNS設計的安全擴充，其主要的功能是要保證DNS查詢結果的真實性和完整性。DNS是可以將人類可讀的域名轉換成為機器可讀IP地址的系統，但是原始的DNS並未包含足夠的安全措施，存在DNS污染、中間人攻擊等安全風險，而DNSSEC增加了一系列重要的功能來解決這些問題。</p> <p>ATHENE團隊所發現的KeyTrap新型攻擊，主要是利用受廣泛使用的DNS服務軟體BIND 9上的高嚴重性漏洞<a href="https://kb.isc.org/docs/cve-2023-50387">CVE-2023-50387</a>，攻擊者只要使用特別製作的DNSSEC簽章區域回應，就能使DNSSEC驗證解析器CPU資源耗盡。CVE-2023-50387允許攻擊者透過洪水攻擊，攻擊目標解析器，大幅降低解析器的效能，達到阻擋合法用戶存取DNS解析服務的目的。</p> <p>簡單來說，由於BIND 9在處理DNSSEC簽章區域的回應時存在問題，因此攻擊者只要向DNS發送大量濫用該缺陷的查詢，就可以迅速耗盡DNS解析器的CPU資源，進而導致服務中斷或是效能明顯下降。</p> <p>CVE-2023-50387漏洞的CVSS分數為7.5，影響多個BIND 9版本，就連受支援的預覽版本也存在該漏洞。雖然透過完全停用DNSSEC驗證就可以免受該漏洞影響，但因為DNSSEC本身就是強化DNS安全的機制，因此停用DNSSEC驗證並非上策。目前更好的做法是更新<a href="https://www.isc.org/blogs/2024-bind-security-release/">BIND至9.16.48、9.18.24和9.19.21</a>等版本。</p> <p>而這些新版本也修正了BIND 9另一個CVSS分數同樣為7.5，作用類似KeyTrap的<a href="https://kb.isc.org/docs/cve-2023-50868">CVE-2023-50868</a>漏洞，該漏洞會在DNSSEC驗證解析器處理使用NSEC3的DNSSEC簽章區域回應時，發生CPU耗盡的問題。NSEC3是一種DNSSEC的規範，主要用於證明DNS查詢的否定回應，也就是證明特定DNS記錄不存在的狀況，可以提供更好的保護機制避免區域走訪攻擊。</p> <p>攻擊者同樣也可以利用CVE-2023-50868洪水攻擊目標解析器，由於解析器必須耗費大量CPU資源處理這些查詢，因此同樣也會降低解析器的效能，影響正常的DNS查詢服務。</p> <p>KeyTrap漏洞並非新漏洞，早在1999年網際網路標準RFC 2535就已經存在，在2012年的時候，該漏洞就已經進入DNSSEC驗證、標準RFC 6781和RFC 6840的實作要求中。至少在2000年8月就已經出現在Bind9 DNS解析器中，並於2007年被帶入Unbound DNS解析器程式碼中。</p> <p>不過，即便KeyTrap漏洞存在約25年，雖沒有被解決，但也沒有發現積極利用該漏洞的攻擊案例，研究團隊解釋，這其實並不奇怪，因為DNSSEC驗證要求使得要找出這個漏洞變得困難，要利用該漏洞需要結合許多要求。</p> <p>KeyTrap要解決並不容易，因為KeyTrap的問題並非是軟體實作錯誤，而是DNSSEC設計的根本問題，研究團隊提到，他們一直與主要供應商合作，試圖解決實作的問題，但是要完全解決該漏洞，需要重新思考DNSSEC底層設計理念，也就是需要修改DNSSEC標準。</p> </div></div></div>
2024/2/15 17:28作者李建興https://www.ithome.com.tw/news/161286
Stability AI公開下一代圖像生成模型Stable Cascade，比SDXL更快更好
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI發表新的文字轉圖像模型<a href="https://stability.ai/news/introducing-stable-cascade">Stable Cascade</a>，其建立在Würstchen架構上，可以簡單地在消費級硬體上訓練和微調。經過官方的測試，Stable Cascade不只效能較好，產生的結果也比SDXL更好。Stable Cascade模型的相關資料已經在GitHub頁面上公開，不過僅採用非商用授權，僅允許非商業用途使用。</p> <p>Stable Cascade將文字轉換成為圖像，會經過三個步驟A、B與C流程，分別是潛在生成階段的步驟C，以及潛在解碼階段的步驟A與步驟B。潛在生成階段中，用戶的輸入會被轉換成為壓縮的24x24潛在表示，也就是小型圖像資料，這些小型圖像資料會被傳遞給潛在解碼階段。潛在解碼階段的工作則是類似Stable Diffusion變分自編碼器（VAE）的角色，將壓縮的潛在表示解碼成高解析度圖像。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/model-overview.jpg" style="width: 580px;" /></p> <p>簡單來說，Stable Cascade步驟C就是將用戶的指令，轉換成一張小型且簡化的圖像草稿，草稿僅包含重要的資訊，接著草稿被輸入到步驟A與步驟B，並被加入更多細節並且放大，形成一張詳細且高解析度的圖片。由於將文字條件生成的步驟C，以及解碼到高解析度畫素空間的步驟A、B分離，因此便可以單獨對步驟C進行額外的訓練和微調，包括ControlNets和LoRAs的訓練。</p> <p>官方解釋，這與訓練一個類似大小的Stable Diffusion模型相比，節省的成本可達16倍。雖然步驟A與步驟B也可以選擇性進行微調以獲得更多控制，但對大多數用途來說，其帶來的額外好處有限，因此用戶只要訓練步驟C，並且使用原始狀態的步驟A和步驟B即可達到良好的成果。</p> <p>Stability AI發布步驟C和步驟B各兩種模型，步驟C具有10億參數與36億參數模型，而步驟B有7億與15億參數兩種模型。官方建議用戶使用步驟C的36億參數模型，以擁有最高品質的輸出，而對於追從低硬體要求的用戶則可以選擇10億參數版本的模型。至於步驟B的兩個模型，都能提供良好的結果，只是15億參數的模型更擅長重建細節。</p> <p>由於Stable Cascade的模組化方法，推理使用的顯示卡記憶體約只需要20 GB，而使用更小的模型則需要的記憶體量也會降低。</p> <p>Stable Cascade在與Playground v2、SDXL、SDXL Turbo、Würstchen v2文字轉圖形生成模型比較，無論是提示詞對齊（Prompt Alignment）和美學品質上，Stable Cascade幾乎都是表現最佳的模型。而且在推理速度的比較上，即便Stable Cascade最大的模型比Stable Diffusion XL多出14億參數，仍然具有更快的推理速度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/comparison.png" style="width: 580px;" /></p> <p>官方提到，這代表Stable Cascade在架構設計和高度壓縮的潛在空間上，都有較好的效率，可以在保持高品質輸出的同時，又能維持高效的推理速度。而除了標準文字轉圖像生成之外，Stable Cascade也具有生成圖像變體，還有以圖像生成圖像的能力。</p> <p>Stability AI不只發布Stable Cascade，也同時將用於訓練、微調、ControlNet和LoRA的所有程式碼一併公開，以降低研究人員實驗此架構的障礙。</p> </div></div></div>
2024/2/15 17:35作者李建興https://www.ithome.com.tw/news/161297
Slack發表可總結、摘錄及問問題的Slack AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://slack.com/intl/en-gb/blog/news/slack-ai-has-arrived" target="_blank">Slack於本周三（2/14）發表了整合人工智慧的Slack AI服務</a>，可提供客製化的答案，替使用者總結頻道（Channel）的重點，以及摘錄對話串（Thread），初期支援英文及Enterprise Grid方案的客戶，但並未對外揭露價格。</p> <p>在正式發表之前，Slack已與許多客戶合作測試過Slack AI，包括SpotOn、Uber及Anthropic等，它們發現透過Slack AI平均每周可替使用者省下97分鐘，他們原本利用這些時間來尋找答案，提煉知識或激發靈感。</p> <p>Slack AI的功能之一為個人化搜尋，它在使用者搜尋問題時，可根據使用者企業的公開通訊內容與個人對話來客製化答案，從行銷專案、公司政策、過去決策、尋找主題專家到定義特定的縮寫等。頻道回顧功能則可替使用者總結任何頻道的重點，包括尚未閱讀的訊息、過去7天的重點，亦可統整自訂日期期間的重點。對話串的摘要則可呈現長期對話的重點摘要，每個摘要也都附上了明確的來源。</p> <p>Slack強調，Slack AI運作於Slack的基礎設施上，所使用的各種大型語言模型（LLM）都是由Slack代管，採用與Slack一致的安全實踐及合規標準，並不會與LLM供應商分享客戶資料，也不會利用客戶資料來訓練LLM。</p> <p>根據Slack的統計，在Slack AI現身之前，該平臺的客戶便已打造了可搭配Slack使用的13,400種AI工具，合作夥伴亦已將AI整合到眾多的Slack應用中，未來Slack亦將導入更多的AI來提高用戶的生產力。</p> </div></div></div>
2024/2/15 15:06作者陳曉莉https://www.ithome.com.tw/news/161285
推出視訊會議App，思科挺進蘋果空間運算平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/webex_for_apple_vision_pro-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>響應蘋果2月2日正式推出頭戴式空間運算裝置Apple Vision Pro，三大雲端視訊會議服務平臺陸續宣布支援。例如，<a href="https://apps.apple.com/tw/app/zoom-one-platform-to-connect/id546505307?platform=appleVisionPro">Zoom在1月29日率先宣布推出App</a>，提供虛擬分身（Personas），以及空間型態的Zoom會議體驗（Spatial Zoom experience）；兩天後，微軟預告旗下多款App將支援Apple Vision Pro，其中包含了<a href="https://apps.apple.com/tw/app/microsoft-teams/id1113153706?platform=appleVisionPro">Teams</a>，諸如開會、文字交談、語音通話、工作推動，所有通訊與協同作業的功能均可使用，與會者可在視訊通話過程中以虛擬分身的形象呈現，同時，也能運用無邊際畫布（Infinite Canvas）開啟各種App，在進行Teams會議與文字交談時，將其擴展成任何尺寸的畫面，並放置在視野當中的任何位置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zoom in Apple Store-Vision Pro.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zoom%20in%20Apple%20Store-Vision%20Pro.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Teams in Apple Store-Vision Pro.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Teams%20%20in%20Apple%20Store-Vision%20Pro.jpg" style="width: 298px;" /></a></p> <p>至於Webex，思科在2月初舉行的Cisco Live 2024 Amsterdam用戶大會期間，宣布推出為Apple Vision Pro設計的App，提供可沉浸於整個虛擬空間的會議體驗，以眼睛、手勢、話語進行操作，並且能運用此裝置特有的虛擬分身，以及空間音訊（Spatial Audio）等技術，產生極致、自然的操作體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Webex%20in%20Apple%20Store-Vision%20Pro.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Webex for Apple Vision Pro-0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Webex%20for%20Apple%20Vision%20Pro-0.jpg" style="width: 298px;" /></a></p> <p>思科強調，這支App能夠充分使用visionOS內建的各種原生功能，提供彈性的呈現方式，大幅提升使用者的多工處理能力。</p> <p>例如，以此進入Webex會議後，我們可自行安排不同與會者的視訊畫面位置，以及區隔出來的內容共享視窗，並透過兩指捏合（pinch）、單指拖動（drag）等手勢，將這些影像放大至真實尺寸，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Webex%20for%20Apple%20Vision%20Pro-3.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/apple-vision-pro-augemented-reality-view-with-webex-messaging-at-webex-meetings.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/apple-vision-pro-augemented-reality-view-with-webex-whiteboarding-and-webex-meetings.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/apple-vision-pro-augemented-reality-view-with-webex-whiteboarding-and-webex-meetings.jpg" style="width: 298px;" /></a></p> <p>也可以運用無邊際畫布的功能，從中調整多個視窗大小與陳列位置，而毋須受制於固定的視窗；而在虛擬身分的功能裡面，可動態、自然地呈現與會者的臉部與手部動作，使其他與會者能在Webex看見戴著Apple Vision Pro裝置的人員的這些動態。</p> <p>同時，Webex用戶也能在這樣的空間運算環境下，繼續使用這套視訊會議原本提供的各種功能，保有熟悉的操作體驗。例如，內建的AI背景噪音消除、多國語言即時翻譯、隱藏字幕（closed captions），以及思科2021年合併Slido而得到的線上投票與問答功能，協助與會者聚焦討論議題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Webex for Apple Vision Pro-4j.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Webex%20for%20Apple%20Vision%20Pro-4j.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Webex for Apple Vision Pro-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Webex%20for%20Apple%20Vision%20Pro-4.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Webex for Apple Vision Pro-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Webex%20for%20Apple%20Vision%20Pro-2.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Webex%20for%20Apple%20Vision%20Pro-5.jpg" style="width: 298px;" /></p> <p>如果在Webex會議進行的過程當中，我們需要移動到其他地方，也能將會議連線從Apple Vision Pro換成Mac電腦或iPhone手機，只需打開Webex App、按下參與會議按鍵。而在行事曆功能的整合之下，與會者可看到接下來即將召開的會議，若要參加，只需使用捏合的手勢即可。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Webex for Apple Vision Pro</strong><br /> ●原廠：Cisco<br /> ●建議售價：Webex Business每人每月20美元●支援裝置與作業系統：Apple Vision，visionOS 1.0以上版本<br /> ●檔案大小：562.7 MB<br /> ●整合功能：AI背景噪音消除、即時翻譯、隱藏字幕、即時投票與問答（Slido）<br /> ●操作方式：手勢<br /> ●視訊會議切換裝置：Mac、iPhone</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/15 16:49作者李宗翰https://www.ithome.com.tw/review/161279
祖克柏宣稱Quest 3優於蘋果的Vision Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>售價高達3,499美元的蘋果空間運算設備<a href="https://www.ithome.com.tw/news/160739" target="_blank">Apple Vision Pro甫於本月於美國上市</a>，然而，<a href="https://www.cultofmac.com/846550/vision-pro-returns/" target="_blank">市場上不僅傳出</a>有許多首批購買Apple Vision Pro的使用者想要退貨，身為競爭對手的Meta執行長祖克柏（Mark Zuckerberg）更<a href="https://www.instagram.com/p/C3TkhmivNzt/" target="_blank">透過自己的Instagram帳號表示</a>，自家出品的Quest 3不僅比Apple Vision Pro更有價值，也是個更好的產品。</p> <p>祖克柏說，他原本就認為Quest 3會更有價值，畢竟它的價格只有Apple Vision Pro的1/7，但在他試用了Apple Vision Pro之後，他發現Quest 3不僅更有價值，也是個更好的產品。</p> <p>祖克柏解釋，不同的公司對於頭戴式裝置作出了各自的設計決策，而令它們展現不同的優點，只是他沒想到蘋果為了該設備的品質，會犧牲掉那麼多東西，包括舒適度與價格，此外，Apple Vision Pro在移動時還會模糊。事實上，那些曾經體驗過Apple Vision Pro的媒體都驚豔於它的品質，<a href="https://www.ithome.com.tw/news/157260" target="_blank">唯獨對於該設備的價格及舒適度有意見</a>。</p> <p>Apple Vision Pro的售價為3,499美元，<a href="https://www.ithome.com.tw/news/159030" target="_blank">去年10月上市的Quest 3則是499.99美元</a>，此外，前者根據配置的重量介於600~650公克之間，Quest 3重約515公克，兩者的電池續航力最多都只有兩小時。</p> <p>先前祖克柏即認為Apple Vision Pro只是配備了更高解析度的顯示器，並利用所有的技術來推動它，而在祖克柏親自試用過之後，他進一步覺得Quest 3是個更好的產品，而且方便戴著走動。</p> <p>一名宣稱擁有所有Quest版本、HTC、Pimax及Apple Vision Pro等VR裝置的使用者<a href="https://www.reddit.com/r/OculusQuest/comments/1ahw0yj/apple_vision_pro_vs_meta_quest_3_key_differences/" target="_blank">22marks透過Reddit發表他的感想</a>，指出Apple Vision Pro無疑擁有更好的視覺體驗，在瀏覽照片及看電影上是頂級的，但並不值這個價格，在這個價格上應該要有更好的表現。</p> <p>不過，22marks也認為其實蘋果是在嘗試一個新的事物，企圖取代電腦，而Meta則是著重於遊戲，兩者是無法比較的。</p> <p>對於Apple Vision Pro感到失望的人似乎不少，根據<a href="https://www.cultofmac.com/846550/vision-pro-returns/" target="_blank">《Cult of Mac》</a>的報導，該報已經看到了數十篇打算在14天的退貨期限內，將Apple Vision Pro退還給蘋果的文章。此外，《Cult of Mac》還在X上<a href="https://twitter.com/cultofmac/status/1757835608024887362" target="_blank">舉行了非正式投票</a>，約莫有超過4成的使用者以不同的理由打算將它退貨。</p> </div></div></div>
2024/2/15 14:34作者陳曉莉https://www.ithome.com.tw/news/161283
DuckDuckGo推出不需帳號就能同步密碼的新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隱私搜尋引擎暨瀏覽器業者DuckDuckGo周三（2/14）<a href="https://spreadprivacy.com/password-sync-backup/" target="_blank">更新其瀏覽器產品</a>，允許使用者在不登入帳號的情況下同步不同裝置上的書籤與密碼。</p> <p>DuckDuckGo瀏覽器原本就支援使用者將其它瀏覽器上的書籤與密碼匯入DuckDuckGo，本周的新功能則是讓DuckDuckGo上的書籤與密碼能與其它裝置上的DuckDuckGo瀏覽器同步，而且無需註冊或登入該瀏覽器。</p> <p>DuckDuckGo指出，在使用Chrome時，使用者很可能已經登入了Google帳號，主要是因為Google經常要求用戶登入，這固然很方便，透過帳號登入可隨時取得自己的書籤或密碼，唯一的缺點是這等於允許Google蒐集更多用戶的活動資料，並用以投放目標式廣告。</p> <p>而DuckDuckGo則提供了隱私同步及備份功能，允許使用者在不同的裝置上同步瀏覽器上所儲存的書籤與密碼，還能備份密碼與書籤，或是將它們遷移到新的裝置上，且完全無需登入，支援Android、iOS、Windows及macOS等平臺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-duckduckgo-Sync%20and%20Back%20Up-02.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／DuckDuckGo</span></span></p> <p>該功能是透過掃描二維條碼或是輸入字串來連結不同的裝置，同步完成後，還可將備份的Recovery PDF存放於安全的地方，當裝置遺失或毀損時，即可利用Recovery PDF來存取這些同步的資料。</p> </div></div></div>
2024/2/15 14:48作者陳曉莉https://www.ithome.com.tw/news/161284
Mozilla裁員近60人，未來將聚焦AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周才宣布執行長換人的Mozilla本周將裁減近60名人力，並將縮減多項專案，將資源聚焦在AI、手機App等領域。</p> <p>Mozilla對媒體表示，將裁減5%員工，約60名人力，同時也會縮減數項產品的投資，以便著重於更有成功機會的領域。<a href="https://www.theregister.com/2024/02/14/mozilla_layoffs_ai_pivot/" target="_blank">The Register報導</a>，VPN Relay、Mastodon社群平臺mozilla.social、協同平臺Hubs被縮減資源。<a href="https://siliconangle.com/2024/02/13/mozilla-lays-off-60-workforce-will-now-concentrate-ai-firefox/" target="_blank">Silicon Valley</a>則報導，上周才公布的付費個資外洩監控服務Mozilla Monitor Plus也不在發展重點之列。</p> <p>至於未來，Mozilla將聚焦Firefox Mobile與AI，認為還有很大成長空間。Mozilla在上個月底才<a href="https://blog.mozilla.org/en/mozilla/mozillas-biggest-ai-moments/" target="_blank">宣布</a>AI是Mozilla實現以人為優先、可信任、開放使命的重點工作。Mozilla 2022年在Mozilla Ventures下投資3,500萬美元發展負責任AI，並投入3,000萬美元研發資金以開發Mozilla.AI的可信任AI專案。Mozilla相信該公司能為產業「建立更好的AI模型」。</p> <p>上周Mozilla才<a href="https://www.ithome.com.tw/news/161257?fbclid=IwAR01EWaF_DV22At3nKt7SnMMA7N1aywbfEHriM85ZZkWHMXeZj8EqVn73os" target="_blank">宣布</a>執行長Mitchell Baker將在接任近5年後卸任，將尋求繼任者，期間由董事Laura Chambers擔任臨時執行長，負責「強化願景和策略，以及致力核心產品如Firefox瀏覽器與新產品的開發」。</p> </div></div></div>
2024/2/15 12:26作者林妍溱https://www.ithome.com.tw/news/161280
微軟與OpenAI證實大型語言模型已被各國駭客用來協助網路攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟與OpenAI在本周三（2/14）發布了一項AI時代的新興威脅研究報告，證實各國國家級駭客已利用大型語言模型（LLM）來協助攻擊，涵蓋中國駭客Charcoal Typhoon與Salmon Typhoon，伊朗駭客Crimson Sandstorm，北韓駭客Emerald Sleet，以及俄羅斯駭客Forest Blizzard，而OpenAI則進一步採取行動，關閉了與上述駭客組織有關的用戶帳號。</p> <p>微軟威脅情報中心（Microsoft Threat Intelligence Center，MTIC）長期關注與追蹤逾300個駭客組織，其中包括160個國家級駭客組織，以及50個勒索軟體集團，這些駭客組織部署了各種數位身分來攻擊基礎設施。微軟持續分析駭客利用新技術來擴大能力或躲避偵測的行為，並與OpenAI合作監控駭客如何利用AI及各種LLM。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2024/02/14/staying-ahead-of-threat-actors-in-the-age-of-ai/" target="_blank">微軟表示</a>，目前尚未觀察到駭客因使用AI而產生特別新穎或獨特的攻擊，但將與OpenAI共同確保ChatGPT等AI技術被安全及負責任地使用，因而採取措施破壞駭客的相關資產及帳號，改善對OpenAI LLM技術及使用者的保護，以避免遭到濫用或攻擊，同時也將替雙方的模型建立防護欄與安全機制。</p> <p><a href="https://openai.com/blog/disrupting-malicious-uses-of-ai-by-state-affiliated-threat-actors" target="_blank">根據雙方的調查</a>，這些國家級駭客目前主要是利用OpenAI的服務來查詢開源資訊，翻譯，尋找程式碼漏洞，以及執行基本的程式碼撰寫任務。</p> <p>其中，Charcoal Typhoon使用OpenAI的服務來研究不同的公司及網路安全工具，替程式碼除錯或是生成腳本，也以AI來建立可作為網釣攻擊的內容。Salmon Typhoon則是使用OpenAI的服務來翻譯技術論文，檢索各個情報組織及區域型駭客組織的公開資訊，也用來協助撰寫程式，以及研究於系統上隱藏程序的常見方法。</p> <p>Crimson Sandstorm以OpenAI的服務生成程式及網頁開發腳本，或是生成網釣內容，以及研究惡意程式可躲避偵測的方法。Emerald Sleet則是利用OpenAI的服務來辨識亞太地區國防領域的專家及組織，尋找公開漏洞，協助基本的程式撰寫任務，以及生成網釣內容。Forest Blizzard 主要使用OpenAI服務來研究開源的衛星通訊協定與雷達成像技術，也用它來撰寫程式。</p> <p>整體而言，這些國家級駭客使用OpenAI服務的方式與一般使用者大致相同，只是所生成的內容、撰寫的程式或是查詢的資訊，都是為了要展開攻擊。</p> <p>微軟與OpenAI認為，目前的模型對駭客的幫助有限，但為了領先這些重大且不斷演變的威脅，雙方將採取多管齊下的策略來遏止駭客組織，包括禁用帳號、終止服務，或是限制對資源的存取；同時與其它AI生態系統合作以交換駭客組織的資訊；不斷改善AI系統的保護機制；透明化駭客對AI系統的濫用資訊以與全球共同防範。</p> </div></div></div>
2024/2/15 12:56作者陳曉莉https://www.ithome.com.tw/news/161281
微軟Patch Tuesday修補2零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Feb" target="_blank">微軟本周二釋出二月份Patch Tuesday安全更新</a>，修補了73項漏洞，包括2項已有攻擊程式的零時差漏洞。</p> <p>2項零時差漏洞中，一為<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21412" target="_blank">CVE-2024-21412</a>，影響網際網路捷徑檔的安全功能。攻擊者可傳送假造的惡意檔案誘使目標用戶點選連結，以下載或開啟檔案，繞過一般Windows會跳出提醒用戶當心的對話視窗。但微軟指出，攻擊者無法強迫用戶讀取這個檔案內容，因此本漏洞風險值為8.1。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21412" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-%E5%BE%AE%E8%BB%9F-patch-CVE-2024-21412.png" style="width: 575px;" /></a></p> <p>本漏洞由趨勢科技的Zero Day Initiative的Peter Girnus通報，他發現國家駭客組織DarkCasino（Water Hydra）利用本漏洞攻擊金融交易平臺，在用戶裝置內植入RAT木馬程式DarkMe。</p> <p>第二項零時差漏洞為<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21351" target="_blank">CVE-2024-21351</a>，影響Windows SmartScreen的安全功能。本功能可在用戶試圖從網路下載Word、Excel或PowerPoint等檔案時，在檔案加上Mark of the Web標示符。當用戶開啟檔案時，Windows SmartScreen會檢查MotW標示符是否顯示檔案來自網際網路，若是則會執行名譽檢查。濫用這項功能漏洞將可讓檔案跳過檢查開啟，導致遠端程式碼執行。本漏洞風險值為7.6。本漏洞濫用者身分不詳。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21351" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-%E5%BE%AE%E8%BB%9F-patch-CVE-2024-21351.png" style="width: 576px;" /></a></p> <p>本月修補的漏洞中，5項為重大風險。其中<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21413" target="_blank">CVE-2024-21413</a>影響Outlook，該漏洞以預覽視窗為攻擊路徑，可讓攻擊者傳送的檔案繞過「保護的檢視」而在編輯模式開啟。因漏洞濫用不需用戶互動，風險值達9.8。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21413" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-%E5%BE%AE%E8%BB%9F-patch-CVE-2024-21413.png" style="width: 541px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21410" target="_blank">CVE-2024-21410</a>為影響Exchange Server的權限擴張漏洞，風險值9.8。攻擊者可利用之前得手的NTLM憑證，透過NTLM relay攻擊存取受害者Exchange Server駭入企業網路環境。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21410" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-%E5%BE%AE%E8%BB%9F-patch-CVE-2024-21410.png" style="width: 586px;" /></a></p> <p>此外，<a href="https://www.rapid7.com/blog/post/2024/02/13/patch-tuesday-february-2024/" target="_blank">資安業者Rapid 7</a>提到<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21357" target="_blank">CVE-2024-21357</a>為影響Windows Pragmatic General Multicast（PGM）的遠端程式碼執行漏洞。雖然微軟認為攻擊僅限和攻擊者同一網段，且無法執行跨多網段（WAN）攻擊而將風險值列為7.5，但在自有風險評級中，卻列為重大。另一值得注意的是，微軟甚至針對已過了支援生命周期終點的Windows Server 2008釋出更新以修補本漏洞。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21357" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-%E5%BE%AE%E8%BB%9F-patch-CVE-2024-21357(1).png" style="width: 440px;" /></a></p> </div></div></div>
2024/2/15 11:40作者林妍溱https://www.ithome.com.tw/news/161278
三星App睡眠偵測功能獲美FDA核准
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/global/samsungs-sleep-apnea-feature-on-galaxy-watch-first-of-its-kind-cleared-by-us-fda?utm_source=rss&utm_medium=direct" target="_blank">三星電子本周宣布</a>三星Health Monitor App的睡眠呼吸中止症偵測功能，已獲得美國食品藥物管理局（Food and Drug Administration，FDA）認證，成為第一款獲得美官方此類許可的App。</p> <p>三星的睡眠呼吸中止症偵測功能獲得FDA新創中低風險醫材（De Novo）的認證，讓用戶可以用Galaxy Watch及手機以Health App量測，無需使用傳統醫療器材。去年10月這款App才獲得韓國食品藥物安全部（Ministry of Food and Drug Safety，MFDS）的核准。</p> <p>睡眠呼吸中止症偵測功能可在二晚的睡眠監測期間，偵測到中到重度的呼吸短暫停止，這種症狀會導致氧氣供應不足，影響睡眠品質問題，導致白天疲倦及注意力不佳，也會增加高血壓、冠狀動脈疾病及心律不症、中風風險。通常睡眠呼吸中止或睡眠偵測是透過量測到的血氧飽和度數值以演算法推算而成。</p> <p>這是三星為其Health App取得最新的健康量測官方認證。三星2022及2023年分別獲得<a href="https://news.samsung.com/tw/galaxy-watch%E8%A1%80%E5%A3%93%E7%9B%A3%E6%B8%AC%E5%8A%9F%E8%83%BD-%E7%82%BA%E5%B8%95%E9%87%91%E6%A3%AE%E6%B0%8F%E7%97%87%E6%82%A3%E8%80%85%E5%AE%88%E8%AD%B7%E5%81%A5%E5%BA%B7" target="_blank">血壓</a>及<a href="https://news.samsung.com/tw/%E4%B8%89%E6%98%9F%E5%AE%A3%E5%B8%83galaxy-watch%E7%B3%BB%E5%88%97%E6%94%AF%E6%8F%B4%E5%BF%83%E5%BE%8B%E4%B8%8D%E6%95%B4%E9%80%9A%E7%9F%A5%E5%8A%9F%E8%83%BD%E7%8D%B2fda%E6%A0%B8%E5%87%86" target="_blank">心律不整</a>功能的FDA認證，允許用戶以Galaxy Watch 4以後產品量測健康。</p> <p>這使得在睡眠呼吸中止或血氧值偵測上，三星將超越蘋果Apple Watch。蘋果Apple Watch被判定侵害Masimo專利及美國國際貿易管理署命令下，蘋果決定從Apple Watch 9及Ultra 2移除血氧值量測功能。</p> <p>事實上，三星還計畫將健康偵測功能整合到更小的穿戴裝置上。三星在今年消費電子展（CES）上展示智慧戒指Galaxy Ring。這款智慧戒指預計今年第3季到2025年初之間推出4種尺寸。</p> </div></div></div>
2024/2/15 09:21作者林妍溱https://www.ithome.com.tw/news/161275
OpenAI更新ChatGPT增加記憶能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI公開了更多<a href="https://openai.com/blog/memory-and-new-controls-for-chatgpt">ChatGPT記憶功能</a>細節，並且開始向一小部分ChatGPT免費與付費版用戶推出。ChatGPT記憶功能將可以記住與用戶討論的內容，以用於將來的聊天中，用戶可以選擇關閉該功能，或是管理ChatGPT的記憶。另外，ChatGPT中所提供的公開GPT模型，也同樣可以擁有記憶能力。</p> <p>記憶功能讓用戶能夠要求ChatGPT記住特定的聊天內容，或是由ChatGPT自行選擇想要記住的資訊，使得用戶不再需要不停地重複已經說過的資訊，ChatGPT的記憶能力會隨著用戶使用次數增加越來越好，記住包括用戶偏好的會議紀錄格式、生活資訊，甚至曾經提及小孩喜歡的動物等資訊。</p> <p>用戶可以隨時從設定中的個人化頁籤中關閉記憶功能，如此用戶便無法建立與使用ChatGPT的記憶，而用戶也可以要求ChatGPT忘記特定內容，除了直接在聊天中指示ChatGPT忘記，也能從設定中查看和清除特定記憶。OpenAI正在評估ChatGPT應該記住的資訊，因為記憶功能帶來了額外的隱私和安全疑慮，官方會評估並且減少偏見，引導ChatGPT避免記住健康資訊等敏感資訊，除非用戶明確要求。</p> <p>值得注意的是，ChatGPT的記憶會隨著與用戶的互動變化，而且不會與特定的對話關聯，也就是說，用戶刪除聊天並不會刪除記憶，用戶必須直接刪除記憶本身才能讓ChatGPT遺忘特定資訊。</p> <p>記憶功能對Team與Enterprise用戶特別有用，ChatGPT能記得用戶的風格和偏好，並以過去的互動作為基礎，使用戶可以更方便地獲得相關且有用的回應，例如，ChatGPT可以記住用戶的語氣和格式偏好，並直接將其應用到部落格草稿中，而當用戶曾經說明所使用的程式語言和框架，ChatGPT也會記住偏好並於後續提供相關的回應。</p> <p>ChatGPT中各種公開的GPT模型，也擁有獨立的記憶功能，例如可協助用戶尋找下一本讀物的Books GPT，會記得用戶喜歡的書籍類型以及自訂偏好，用戶不再需要重複輸入。建置者可以選擇為其GPT模型啟用記憶體功能，而用戶記憶並不會與建置者共享。</p> <p>由於OpenAI會使用用戶的內容包括記憶改進ChatGPT模型，因此用戶如果不同意OpenAI使用其資料，需要主動從資料控制中關閉，官方強調，OpenAI不會使用ChatGPT Team與Enterprise用戶的內容。當用戶想要與ChatGPT在不使用記憶功能的情況下聊天，可以選擇開啟臨時聊天，如此ChatGPT便不會使用記憶，而且內容也不會被OpenAI用於改進模型。</p> <p>ChatGPT的自訂指令仍然有效，自訂指令讓用戶直接指導ChatGPT需要了解的資訊，以及回應的方法，因此如果用戶有明確的資訊或是說明希望ChatGPT知道，可以將其添加到自訂指令中。</p> </div></div></div>
2024/2/15 08:23作者李建興https://www.ithome.com.tw/news/161269
.NET 9第一預覽版來了！重點仍是雲端原生與AI支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟才發布.NET 8不久，<a href="https://devblogs.microsoft.com/dotnet/our-vision-for-dotnet-9/">.NET 9第一預覽版</a>已經到來。.NET 9的重點仍在於效能提升、雲端原生與人工智慧開發支援，微軟透過改進Visual Studio、VS Code和C#開發工具包，要讓.NET開發更為簡單，並且與Azure服務更好地整合，使開發者可以簡單部署.NET應用程式到雲端。</p> <p>微軟強調，他們過去一直在強化雲端原生應用程式的基礎設施，改進諸如執行時效能以及應用程式監控功能。而這些工作會在.NET 9中繼續，並且讓開發者更容易部署應用程式到常見的生產基礎設施和服務上，例如Kubernetes環境或是使用託管資料庫和快取服務等，這些改進會從.NET技術堆疊各個層面著手。</p> <p>而這些工作的重點之一，便是在.NET 8就加入的.NET Aspire技術框架，其提供一系列支援開發者的工具和服務，目的是要降低建立雲端應用程式的成本和複雜度，並且縮短程式開發到生產的過程。微軟希望藉由.NET Aspire專案，讓雲端應用程式的開發和部署更加快速且經濟。</p> <p>在.NET 9中，微軟會改進Visual Studio、VS Code，加入.NET Aspire新的開發和部署功能，包括元件配置、除錯支援，並且全面整合開發者儀表板，開發者將可以更簡單地管理和監控應用程式，並使用新的開發工具來提升開發效率。開發者也將可以從Visual Studio、VS Code，結合使用Azure Developer CLI，將應用程式快速部署到Azure容器中，微軟希望透過提供更簡單的部署流程，使得應用程式上雲更加快速直接。</p> <p>持續改進Native AOT（Ahead-of-Time Compilation）是提升.NET 9效能的重點之一。Native AOT是微軟.NET近期重點發展的程式碼編譯技術，可以將.NET應用程式的中介語言（Intermediate Language，IL）程式碼轉換成機器碼。其與傳統JIT（Just-In-Time）編譯不同之處在於，JIT在應用程式執行時才將中介語言程式碼轉換成為機器碼，而Native AOT的轉換則是發生在應用程式執行之前，因此能夠提升應用程式的啟動速度和執行效率，減少執行時消耗的資源。</p> <p>.NET 9強調採用webapiaot模板最佳化Web API應用程式，這包括了應用程式修剪與Native AOT編譯的支援，這將能夠協助開發者進一步建立更輕量且高效，適合雲端和邊緣運算環境的應用程式。由於目前要以Native AOT編譯程式碼，需要安裝和使用一些開發者不常用的工具，而微軟承諾將會擴展Visual Studio對AOT的支援，降低使用Native AOT的障礙。</p> <p>而在.NET 9對人工智慧開發支援，著重於讓開發者更容易使用新的人工智慧技術與OpenAI服務。.NET 9會提供更多函式庫和文件，協助開發者使用OpenAI服務及其他開源模型，包括本地端與雲端模型的支援。微軟也會持續投資跨平臺機器學習框架ML.NET，強化向量資料庫與人工智慧工作負載的支援，讓開發者更容易將人工智慧功能整合到應用程式中。</p> <p>目前微軟已經開放.NET 9第一預覽版供開發者下載測試，同時，也釋出.NET Aspire Preview 3，提供改進後的儀表板介面，以及Azure OpenAI、Kafka、Oracle與MySQL等新元件支援。</p> </div></div></div>
2024/2/15 08:26作者李建興https://www.ithome.com.tw/news/161273
Nvidia推出Chat with RTX應用程式，供用戶在本地端自訂AI聊天機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia釋出一款示範性應用程式<a href="https://blogs.nvidia.com/blog/chat-with-rtx-available-now/">Chat with RTX</a>，展示了一種讓用戶在本地端，將自有文件、筆記和各種資料連接至大型語言模型，並運用進階人工智慧技術自訂聊天機器人的方法。官方強調，由於所有操作都在Windows RTX個人電腦或工作站中本地進行，因此可快速且安全地執行查詢。</p> <p>Chat with RTX允許用戶在本地端Windows電腦上，運用檢索增強生成（Retrieval-Augmented Generation，RAG）、TensorRT-LLM和RTX加速等技術，快速自訂生成式人工智慧聊天機器人。用戶<a href="https://www.nvidia.com/en-us/ai-on-rtx/chat-with-rtx-generative-ai/">需要使用</a>GeForce RTX 30、40系列以上的GPU，或是RTX Ampere、Ada Generation GPU，以及至少8 GB顯示卡記憶體。檢索增強生成是一項結合整合技術和生成式模型的人工智慧方法，其目的是透過從大量資料檢索相關資訊，來強化模型的生成能力，進而提高生成內容的準確性和相關性。</p> <p>用戶可以將個人電腦本地端文件作為資料集，連接諸如Mistral或Llama 2等開源大型語言模型，快速進行各種查詢。Chat with RTX支援多種檔案格式，包括.txt、.pdf、.doc/.docx和.xml，將應用程式指向包含這些文件的資料夾，Chat with RTX在數秒內就能將其載入。文件也能夠包含YouTube影片和播放列表的資訊，透過將影片網址添加到Chat with RTX，便可以在聊天機器人中整合相關知識進行上下文查詢，獲得諸如旅行建議或是各種教學課程資源。</p> <p>官方指出，因為Chat with RTX在Windows個人電腦和工作站中本地運作，因此可以很快地獲得查詢結果，而且用戶的資料只會保留在裝置上。Chat with RTX不仰賴雲端大型語言模型服務，而是在本機個人電腦上處理敏感資料，因此不會與第三方共享資料，而且也不需要網路連線。</p> <p>Chat with RTX展示RTX GPU加速大型語言模型的能力，該應用程式是根據TensorRT-LLM RAG開發者參考專案建置而成，任何人都可以從GitHub上取得，甚至也可以使用該參考專案來開發和部署自己的檢索增強生成RTX應用程式。</p> </div></div></div>
2024/2/15 08:42作者李建興https://www.ithome.com.tw/news/161274
CISA、OpenSSF合作套件儲存庫安全框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>套件儲存庫遭駭引發軟體供應鏈安全風險事件愈來愈普遍，<a href="https://openssf.org/blog/2024/02/08/openssf-securing-software-repositories-working-group-releases-principles-for-package-repository-security/">開源軟體基金會（OpenSSF）本周公布</a>套件儲存庫安全原則（Principles for Package Repository Security），供開發人員評估套件庫的安全性。</p> <p>套件儲存庫安全原則是一個套件安全性評估框架，以協助開發人員評估並提升套件安全性。本框架是美國網路安全與基礎架構安全管理署（Cybersecurity and Infrastructure Security Agency，CISA）及OpenSSF確保軟體儲存庫工作小組的合作成果。CISA去年9月公佈開源碼軟體安全藍圖，以提升套件管理員軟體的安全性為首要任務。</p> <p>開源碼套件廣為企業組織使用，濫用開源碼相依性可能透過軟體供應鏈影響廣大用戶，因此套件儲存庫是強化開源生態圈安全性、防範攻擊風險的關鍵。一個簡單的安全措施，像是具備帳號發現政策，都有助於提升整體安全性。但另一方面，許多套件儲存庫維護單位，都是資源擷据的非營利組織，想提升安全性力不從心。</p> <p>套件儲存庫安全原則即是提供給這些套件庫維護單位的資源。該框架是在現有安全原則如Python的<a href="https://github.com/psf/fundable-packaging-improvements/blob/master/FUNDABLES.md">Packaging Fundable Improvements</a>之上，結合多個套件儲存庫平台的建議發展而成。本框架針對套件儲存庫4種能力定義4層級安全成熟度。4類能力包括驗證（authentication）、授權（authorization）、一般能力，以及指令行介面（command-line interface，CLI）工具。套件儲存庫營運平台可依此自評安全成熟度，並制訂長期改善計畫。</p> <p>OpenSSF建議套件儲存庫平台可透過本框架實作套件的安全強化規定。一般流程是，儲存庫決定需強化的安全能力，為其撰寫社群審查和許可草案，使其成為套件平台上的運作基本原則，除非有資金籌措問題。OpenSSF希望本框架能奠定基礎，使套件儲存庫平台自行發展安全強化的長期計畫。</p> <p>OpenSSF也鼓勵套件儲存庫善用產學界的資金資源加速草擬安全強化規定。像是OpenSSF的Alpha-Omega已支援Rust、Python軟體基金會、Homebrew、Sovereign 科技基金也曾資助RubyGems及Python Package Index。</p> <p>OpenSFF強調這框架並非強制性規定，此外，也歡迎更多組織對框架提供反饋意見。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Principles%20for%20Package%20Repository%20Security_1.jpg" style="width: 600px;" /></p> <p> </p> </div></div></div>
2024/2/14 15:26作者林妍溱https://www.ithome.com.tw/news/161271
Rhysida勒索軟體被研究人員破解，釋出解密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南韓研究人員近日破解勒索軟體Rhysida的資料加密方法，並且釋出解密金鑰。</p> <p>南韓國民大學研究人員在韓國網際網路與安全管理署（Korea Internet and Security Agency，KISA）的經費支持下，研究發現Rysida的加密方法一個實作漏洞，進而找出破解之道，透過<a href="https://arxiv.org/abs/2402.06440">本月發表的論文公佈</a>破解成果。</p> <p>Rhysida在2023年下半造成重大災情。該勒索軟體組織去年12月曾聲稱成功入侵Sony旗下的電玩公司Insomniac Games，竊得正在製作的遊戲內部資料，以及取得該公司員工護照檔案。</p> <p>為避免被防毒軟體偵測，Rhysida使用AES-–256–CTR演算法對檔案採用間歇性加密方法。這種加密法之下，只要對被加密的檔案再次加密就能解密，前提是必須計算出正確加密位置。研究人員發現，Rhysida對受害檔案加密時會增加檔案位元大小，因此減去附加的資料位元即可正確計算出加密位置，再以加密金鑰進行間歇性加密，藉此完成解密。</p> <p>這項研究是Rhysida勒索軟體首個成功破解的計畫，可望不久後，會透過KISA的網站公開供下載。KISA一直以來就提供多種勒索軟體解密金鑰供企業與個人下載。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Rysida%20Ransomware%20Decrypting_2.jpg" style="width: 600px;" /></p> </div></div></div>
2024/2/14 14:52作者林妍溱https://www.ithome.com.tw/news/161270
蘋果正式允許iOS App開發商在第三方程式市集上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月底蘋果宣佈於歐盟開放第三方市集與外部支付，本周<a href="https://developer.apple.com/news/?id=e59yuu15">宣布</a>實際作法，讓開發人員將iOS App上架第三方程式市集。</p> <p>已同意新條款的開發人員可以透過App Store Connect及App Store Connect API設定軟體市集通路及市集App，並使用TestFlight測試這些功能。TestFlight也能支援使用第三方瀏覽器引擎的App，及第三方供應商提供的支付機制，並能連到外部網站。</p> <p>這是蘋果在歐盟數位市場法（Digital Markets Act, DMA）下被迫做出的開放。蘋果<a href="https://developer.apple.com/news/?id=e59yuu15">一月底宣布</a>針對iOS、Safari及App Store在27個歐盟國家開放第三方程式市集、瀏覽器引擎及支付機制，釋出600多項新API及多種開發工具及文件。</p> <p>蘋果不久後還將開放歐盟（及其他地區）的開發人員的應用分析報告擴及App Store及iOS App，讓他們可以更清楚了解其App的表現。開發人員可透過新的App Store Connect API（Analytics Reports API）取得50多款新報告分析App效能，新增了更多量測值，像是使用者互動、App使用、App商務交易、框架使用等協助改善。</p> <p>最新政策將隨著iOS 17.4正式版於3月上線正式實行。</p> <p>蘋果也在本周將這波最新變更透過<a href="https://developer.apple.com/events/view/upcoming-events?q=Request%20a%20consultation%20about%20the%20changes%20to%20apps%20distributed%20in%20the%20European%20Union">線上諮詢</a>及<a href="https://developer.apple.com/events/view/upcoming-events?q=labs">線上實驗室</a>說明最新變更。</p> </div></div></div>
2024/2/13 17:17作者林妍溱https://www.ithome.com.tw/news/161267
Gemini拒絕執行要求，無法整合自家服務，Google承諾改善
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Bard改名為Gemini後有諸多令人不盡滿意的地方，包括拒絕執行用戶交辦任務、限制太多、無法整合Google現有服務等，Google表示將對有問題的地方加速改善。</p> <p>上周Google聊天機器人Bard改名為Gemini，Gemini產品經理<a href="https://twitter.com/JackK/status/1756114082632220717">Jack Krawczyk說明</a>收到的用戶正、反評價。其中用戶有正面迴響的地方，包括它的寫作風格、給用戶建議很有創意的字詞與想法、回應速度、不用罄回應上限、連線品質、回應的圖片品質、以及和Gmail、Maps的整合度。</p> <p>他也說明一些用戶反映的問題，並說Google將會及早解決。首先是Gemini會拒絕用戶某些指令，Google視為第一要務。其次，Gemini的安全護欄原則，導致它不願回應用戶要求，甚至還出令人啼笑皆非的情形，Google也會設法修正，並承諾提供開發人員需要的程式直譯器（interpreter）。</p> <p>用戶並反映，Gemini App還有很多地方用不到，而且App還不夠完善。Gemini App已在拉丁美洲、亞太區、加拿大上線，Google說會儘快在英國及歐洲地區推出，並改善Android App中指示上傳的選擇，還表示會儘快增加Gemini和行事曆、提醒通知及例行工作整合的擴充功能。</p> <p>Google這次似乎相當重視用戶的意見。Google回應X平台上，用戶把Gemini整合Google Workspace帳號、整合新聞的API、查詢最新股價／市值、及上傳PDF檔的要求，表示正在進行中，也正在檢查iOS平台上的執行問題。</p> <p> </p> </div></div></div>
2024/2/13 17:53作者林妍溱https://www.ithome.com.tw/news/161268
DARPA將繼續資助微軟發展拓撲量子位元電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國防高等研究計畫署（Defense Advanced Research Projects Agency ，DARPA）將<a href="https://cloudblogs.microsoft.com/quantum/2024/02/08/darpa-selects-microsoft-to-continue-the-development-of-a-utility-scale-quantum-computer/">繼續資助微軟Azure Quantum開發拓樸量子位元（Topological Qubit）技術</a>，以發展實用規模（utility-scale）的量子電腦，以解決對於傳統電腦而言，難以解決的困難問題。DARPA的US2QC計畫專門投資具有前景，以創新方式設計和建造可擴展量子電腦的公司，而微軟所發展的拓樸量子位元技術便是DARPA的投資目標之一。</p> <p>量子運算是運用量子力學原理進行資訊處理和運算的技術，與傳統電腦系統不同，量子電腦使用量子位元作為資訊編碼的基本單位，而非傳統的二進位制位元。但因為量子位元很容易出錯，在擴展時，錯誤也就跟著被放大，而且在縮放時，會更加複雜。因此為了解決這個問題，微軟Azure Quantum設計以拓樸量子位元技術為基礎的容錯量子電腦。</p> <p>拓樸量子位元是具有內建錯誤保護機制的量子位元，微軟解釋，拓樸量子位元的特別之處在於體積小、速度快，且可以進行數位控制，因此具有可擴展性。微軟預估使用拓樸量子位元技術建造的電腦，足以擴展解決對傳統電腦過於複雜的化學、材料科學等領域的商業問題。</p> <p>微軟<a href="https://quantum.microsoft.com/en-us/explore/concepts/topological-qubits">解釋</a>，量子電腦要能夠解決複雜的科學和商業問題，至少需要一百萬個穩定的量子位元，這些量子位元能夠執行1千萬兆次操作，且錯誤率需要遠低於千分之一，但目前的量子系統的量子位元數只有數百個，而且錯誤率在1％到0.1％之間。他們認為，拓樸量子位元是實現可擴展、低錯誤率量子運算的關鍵。</p> <p>微軟指出，一臺拓樸量子位元電腦可在單一晶片上，控制超過1百萬個物理量子位元，而這足以在實際的時間框架內，執行非常複雜的運算，而且這臺量子電腦的體積小到可以放在衣櫥裡。</p> <p>拓樸量子位元與基於離子、電子和光子等基本粒子的量子位元技術不同，拓樸量子位元以物質的拓樸狀態為基礎，由於量子資訊是儲存在物理系統的拓樸屬性中，而非單一粒子或是原子的屬性中，因此被認為是目前最為穩定的量子位元。</p> <p>微軟的拓樸量子位元技術因其創新性和潛力，被DARPA選中並持續獲得投資。隨著與DARPA進入下一階段的合作，微軟Azure Quantum團隊將會開發一個拓樸量子位元電腦容錯原型（FTP），來證明建置和操作實用規模量子電腦的可行性。</p> <p>FTP的設計重點，在於處理儲存在多個邏輯量子位元中的資訊，這些量子位元代表著成千上萬的物理量子位元，進而替可擴展量子電腦建立基準。DARPA的測試和評估專家會對FTP架構設計進行評估，而DARPA也會在微軟的開發過程中，獨立驗證微軟的科學發現成果。</p> <p>受<a href="https://www.darpa.mil/news-events/2023-01-31a">DARPA US2QC計畫資助的公司</a>，除了發展拓樸量子位元技術的微軟之外，還有運用光子進行量子運算的PsiQuantum，以及使用光學捕捉原子量子屬性進行量子運算的Atom Computing。</p> </div></div></div>
2024/2/12 18:48作者李建興https://www.ithome.com.tw/news/161265
太空科技圈進入百家爭鳴新局面
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-tai_kong_shang_ye_shi_dai_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從1960年代到2020年，太空中的衛星數量一直是以緩慢穩定的速度增加，總共放了大約兩千五百顆繞著地球轉的衛星，其中大多是替軍事單位、通訊公司、科學家執行任務。這些衛星所費不貲，單單一顆衛星就要花十億美元以上。</p> <p>不過，這個情況在2020到2022年出現驚人變化，衛星數量一下子翻倍到五千顆，下個十年預計還會增加到五萬到十萬顆。包括SpaceX和亞馬遜（Amazon）在內，有幾家公司和國家打算發射數以萬計的衛星，在太空建構網際網路系統。這些衛星會將高速網路服務傳送給目前光纖網路送不到的三十五億人，甚至覆蓋整個地球。</p> <p>不只是太空網際網路，現在已經有成百上千顆衛星繞著地球在拍照錄影，以將近一小時一次的頻率記錄地球上發生的種種事情。不同於舊有間諜衛星把影像提供給政府，這些新的影像衛星是年輕新創公司的產品，幾乎人人都能購買他們拍攝的照片。已經有組織在蒐集分析這些數以萬計的照片，窺探政治、商業的內幕真相，包括北韓的軍事活動、中國的石油產量、開學季到沃爾瑪超市（Walmart）採買的人數、亞馬遜雨林遭到砍伐的速度等。這些新衛星在人工智慧軟體的輔助下，可以窺探監測人類活動的整體狀況，等於是地球的即時記錄系統。</p> <p>之所以有這些進展，主要是因為衛星從來沒有這麼小、這麼便宜過（也是受惠於電子和運算能力的進步，這些進步在日常生活和商業活動都看得到）。這些新衛星並不是動輒一顆十億美元，而是只要十萬到幾百萬美元，尺寸從一副撲克牌、一個鞋盒到一臺冰箱都有，通常是設計成一組一組，形成業界所謂的「星座」（constellation）並共同運作。它們在太空的壽命不長，三、四年就會脫離軌道，在重返地球大氣層時燒毀。成本低，也意味著有更多公司可以在太空多做些事情，諸如通訊、影像、科學或其他任何形式的應用。結果就是，現在有幾百家衛星新創企業已經就定位，希望用自己的瘋狂點子攻占低軌道。</p> <p><span style="font-size:28px;"><strong>天上的大電腦</strong></span></p> <p>整個2021年上半，美國華府軍事圈都在流傳一則傳言：中國正在擴充核武，在中國偏遠地區興建飛彈發射井。</p> <p>德克爾．艾佛樂斯（Decker Eveleth）是從公開情報圈兩個前輩那裡聽到這則武器傳聞。公開情報分析員是專門搜尋公開資料、試圖看穿某些軍事經濟活動的人。爬梳稅收紀錄或軍事合約、分析衛星圖像都是他們洞悉真相的管道，在這些工具的幫助下，他們能揭露北韓飛彈試射或非法運油給被制裁國家的細節。</p> <p>艾佛樂斯是里德學院（Reed College）的大學生，因為有搜尋資料的嗜好，而跟公開情報圈愈走愈近。</p> <p>2021年5月中旬，艾佛樂斯決定拿中國飛彈發射井的傳聞來試試。他先假設那裡的外觀會類似先前發現的一組發射井，當時中國軍方為了掩人耳目，建造充氣圓頂把發射井覆蓋起來，情報分析員把那些白色圓頂稱為「死亡充氣屋」。另外，艾佛樂斯還假設那些圓頂會出現在中國北部沙漠。</p> <p>因為嗜好所需，艾佛樂斯早就申請一個行星實驗室帳號，所以馬上就開始抓照片，把幾千公里的沙漠切成一格一格逐一搜尋，整整花了他一個多月的時間，並在6月底有了重大發現：他找到大約一百二十個白色死亡充氣屋。先前發現的充氣屋最多只有二十幾個，要是艾佛樂斯真的發現一百二十個新的發射井，可能會震驚全世界，也意味新的武器競賽可能已經是進行式。</p> <p>6月27日早上八點，艾佛樂斯聯絡行星實驗室，告知他的發現。鴿子衛星幾個月下來已經拍攝那個區域大量的照片，艾佛樂斯可以利用這些照片的時間順序，還原發射井的興建過程。而為了取得更好、更新的照片，艾佛樂斯詢問行星實驗室，能否調用解析度比較高的天空衛星對準那個區域拍攝，行星實驗室答應幫忙。</p> <p>接下來二十四小時，行星實驗室的工程師從地面接收站發射無線電訊號給衛星星座。衛星上的電腦接收到訊號，衛星就啟動反應輪改變位置，朝向目標，以每秒7.5公里的移動速度連珠砲拍攝那片沙漠。拍到的照片透過無線電傳回地球，解碼後，再用行星實驗室的軟體進行處理。到了28日早上八點四十六分，艾佛樂斯登入行星實驗室的服務項目，不只看到圓頂，還看到為鋪設通訊電纜而挖的溝渠，溝渠一路通到幾個地下設施，很可能就是發射作業中心。</p> <p>艾佛樂斯把照片給記者看，中國核武軍備的報導就登上了多份報紙頭版。美國國務院說這項發現「令人擔憂」，中國報刊則是試圖淡化照片的重要性，說艾佛樂斯只是碰巧發現風場建設的業餘偵探。</p> <p>一個大學生敲敲鍵盤就挖出中國一項重大軍事行動，而且他使用的數百顆衛星艦隊並不是軍隊或政府的所有物，而是民營公司的資產，也就是說任何人都做得到他做的事。</p> <p>我們頭上已經有一個龐大的運算與觀察系統網路，無時無刻在觀看或分析我們的一舉一動，這種技術雖然看起來複雜，但還處於起步階段。相機會改進，數據量會增加，演算法會愈來愈好，人類活動的總和會轉化成一個非比尋常的資料庫，會有人找到方法，用你想像不到或不樂見的方式加以開採。</p> <p><span style="font-size:28px;"><strong>現在的低軌道基本上是無人管理的狀態</strong></span></p> <p>李奧實驗室（LeoLabs）成立於2015年，他們著眼於低軌道需要做些管理才不至於釀災。他們已經興建四座雷達站，能辨識多達幾十萬個在地球軌道運行的物體。</p> <p>李奧實驗室的追蹤系統和軟體所產生的圖像很驚人。你可以看到幾千顆SpaceX星鏈衛星繞著地球，排列成數學網格的形狀，裡面還塞了幾百顆一網公司和行星實驗室的衛星，還有環繞整個地球的碎片區。</p> <p>為了確保自家衛星不會相撞，SpaceX和行星實驗室付錢給李奧實驗室，一旦李奧實驗室發現有發生碰撞的可能，就會通知SpaceX和行星實驗室，這兩家公司會採取行動，利用衛星本身的推進系統將軌道微調一點點。這件事無法用人工處理，因為衛星和物體太多了，李奧實驗室2022年每個月發出的碰撞警報高達四億次，SpaceX和行星實驗室的電腦系統一接到警報，就會自動下指令給衛星，讓衛星根據需要做移動。</p> <p>「現在的低軌道基本上是無人管理的狀態，」李奧實驗室執行長丹．賽伯利（Dan Ceperley）說，「衛星公司在衛星發射前提交一份計畫，說明衛星會避開碰撞，然後還必須拿到與地面通訊的許可，但是計畫提交出去一獲得核可就能夠開始執行。衛星公司就自己去發射，不會有後續追蹤審查。這有點扯，因為這些衛星有長達幾十年的時間都在上面，會跑進各種不同的軌道，完全沒有組織可言。但其實只要稍加組織，我們可以放到太空的衛星會多更多。」</p> <p>李奧實驗室的故事就是新太空競賽的縮影。我們已經走到一家五十人新創公司就可以成為低軌道交通管理系統的地步，有這樣一家公司在做這樣的工作令人安心，但也讓人不安，因為這種工作竟然已經由民營公司接手。我猜想，太空商業產業會有相當長一段時間處於這樣的狀態，介於興奮和可怕之間。<strong><span style="color:#696969;">（本文摘錄整理自《太空商業時代》，天下文化提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E5%A4%AA%E7%A9%BA%E5%95%86%E6%A5%AD%E6%99%82%E4%BB%A3-250.jpg" style="width: 407px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_天下文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 太空商業時代：馬斯克引發的太空經濟革命（When the Heavens Went on Sale）</strong></p> <p>艾胥黎．范思（Ashlee Vance）／著；林錦慧／譯</p> <p>天下文化出版</p> <p>定價：600元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E5%A4%AA%E7%A9%BA%E5%95%86%E6%A5%AD%E6%99%82%E4%BB%A3-300.jpg" style="width: 150px;" /></p> <p><a href="https://commons.m.wikimedia.org/wiki/File:Ashlee_Vance_in_2023.jpg">圖片來源_Cmichel67</a>, <a href="https://creativecommons.org/licenses/by-sa/4.0/deed.en">CC BY-SA 4.0</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>艾胥黎．范思（Ashlee Vance）</strong></p> <p>資深科技記者，曾任職於《經濟學人》、為《紐約時報》報導矽谷和科技產業新聞多年，現任職於《彭博商業周刊》，為該雜誌撰寫了數十篇封面及特別報導，內容涵蓋網絡至DNA序列和太空探索。</p> </div></div></div>
2024/2/12 20:07未署名https://www.ithome.com.tw/article/161266
ONNX Runtime 1.17讓開發者可在瀏覽器訓練模型，支援聯合學習用例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟更新AI推論與訓練加速引擎ONNX Runtime（ORT），加入<a href="https://cloudblogs.microsoft.com/opensource/2024/02/06/on-device-training-training-a-model-in-browser/">網頁訓練功能</a>，讓開發者在瀏覽器中啟用模型訓練功能，使得裝置的上資料能夠藉由瀏覽器進行聯合學習和個人化應用，在保護使用者隱私的同時，也能發展創新應用。</p> <p>從1.8版本開始，ORT提供瀏覽器內推論功能，讓開發人員可以部署跨平臺可移植機器學習模型，支援在CPU和GPU進行推論，處理過程透過WebGL和WebGPU進行，而隨著WebGPU的發展，瀏覽器擁有更強的圖形和運算能力，也就能夠在瀏覽器進行更多的機器學習應用。</p> <p>而在最新的ONNX Runtime 1.17中，現在進一步支援在瀏覽器訓練機器學習模型，這個訓練子模型透過ORT Web NPM套件提供。微軟強調，原本用於推理的ORT Web二進位檔案大小並不會改變，即便匯入訓練子模組，開發者還是可以使用推論功能。</p> <p>目前的模型訓練只支援以CPU單執行緒運算，網頁模型訓練功能的主要由兩個部分組成，分別是WebAssembly二進位檔案和JavaScript套件。由於要讓開發者可以在瀏覽器使用CPU來訓練機器學習模型，ONNX Runtime提供訓練功能應用程式介面C API，但是瀏覽器不能直接執行C語言程式碼，所以需要用上WebAssembly。</p> <p>WebAssembly是可以在網頁瀏覽器執行的低階語言，能夠將不同語言編寫的程式碼，轉換成在瀏覽器中高效運作的格式，如此開發者便可以在瀏覽器直接使用ONNX Runtime訓練功能。微軟將ONNX Runtime模型訓練用的C++程式碼，封裝成WebAssembly C API，並使用Emscripten工具將該API編譯成.wasm二進位檔案。</p> <p>JavaScript API則簡化並抽象了存取WebAssembly API的過程，管理諸如緩衝區轉換和WebAssembly堆疊管理等工作。ORT Web套件會評估執行環境，確認適當的配置，像是單指令流多資料流（SIMD）的可用性等，並利用動態載入選擇性使用訓練二進位檔案。</p> <p>微軟提到，在開始ONNX Runtime訓練之前，存在離線的準備步驟。開發者需要運用ONNX生態系工具產生需要的ONNX構件（artifacts），該離線步驟不會在訓練模型的邊緣裝置上進行，而是會先在沒有訓練資料的個人機器和伺服器完成，待構件準備完成後，便可以傳輸到邊緣裝置，開始在邊緣裝置上進行網頁訓練。</p> <p>瀏覽器中使用ONNX Runtime訓練可以支援聯合學習應用，並且讓開發者可以在瀏覽器中更好地發展機器學習應用。聯合學習是一種機器學習技術，讓多個裝置協作訓練模型，但是又不需要共享資料。</p> <p>ONNX Runtime讓開發者在單一瀏覽器會話（Session）中訓練模型，支援開發者在瀏覽器中探索和實驗機器學習模型的過程，且訓練的模型並不需要供未來使用，這類實驗通常是暫時的，也就是當瀏覽器關閉，訓練的模型和結果皆不會保存。微軟計畫之後也要支援其他裝置上訓練場境，像是保證用戶資料隱私的個人化模型。</p> </div></div></div>
2024/2/12 17:04作者李建興https://www.ithome.com.tw/news/161262
YouTube開源腳本範例，協助創作者自動化影片編輯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YouTube在GitHub成立新組織YouTubeLabs，<a href="https://opensource.googleblog.com/2024/02/youtube-releases-scripts-to-help-partners-and-creators-optimize-work.html">提供公開可用的腳本</a>，幫助YouTube合作夥伴與創作者自動化常見的使用案例，降低管理YouTube內容所需付出的成本。現在YouTube於YouTubeLabs的code-samples儲存庫中，提供一系列應對各種情境的開源腳本。</p> <p>開源腳本適用的情境包括批次編輯影片、分析YouTube的分析資料、下載並分析YouTube Studio內容管理報告，以及內容普及和國際化等任務。這些腳本主要仰賴公開的YouTube API以及Google API，Google也附上了詳細的文件和註解，方便用戶能夠依需求修改。</p> <p>考慮降低程式碼存取障礙，讓用戶可以盡可能以最少的配置和安裝用到這些程式碼，因此Google採用Colab（Google Colaboratory）和Apps Script工具。Colab是免費的雲端Jupyter筆記本環境，讓用戶可以簡單在瀏覽器操作Python程式碼，而且透過與Google Drive整合可方便儲存構件。Apps Script則是無伺服器平臺，供開發者編寫可在Google伺服器上運作的腳本。</p> <p>Google認為，這項措施將有助於提升YouTube生態系的開放性和可擴展性，同時也支援創作者和開發者社群，使其更有效地管理和擴展YouTube頻道的影響力。YouTubeLabs中的開源程式碼範例，可以讓YouTube合作夥伴與創作者更簡單地進行自動化操作，減少手動處理的需求，進而提高效率。</p> </div></div></div>
2024/2/12 17:37作者李建興https://www.ithome.com.tw/news/161263
可使用Gemini 的Google One AI進階版正式推出，臺灣也已上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上星期宣布(<a href="https://www.ithome.com.tw/news/161254">https://www.ithome.com.tw/news/161254</a>) Bard改名為Gemini及收費的Gemini 進階版方案。為了增加誘因，Google也宣布推出Google One AI進階版方案，最大賣點是消費者可在Gmail、Docs、Sheets、Slides與Meet應用程式中，免費使用Gemini。</p> <p>上周Google執行長Sundar Pichai<a href="https://twitter.com/sundarpichai/status/1755988540037730738">透過X公開宣布</a>Google One突破1億訂閱用戶，並希望剛推出的AI進階版方案持續Google One這股成長動能。</p> <p></p><div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">We just crossed 100M Google One subscribers! Looking forward to building on that momentum with our new AI Premium Plan (launched yesterday) offering AI features like Gemini Advanced, plus Gemini in Gmail, Docs + more coming soon. <a href="https://t.co/m7zAVop7P6">https://t.co/m7zAVop7P6</a> <a href="https://t.co/sMdwJeq0iU">pic.twitter.com/sMdwJeq0iU</a></p> <p>— Sundar Pichai (@sundarpichai) <a href="https://twitter.com/sundarpichai/status/1755988540037730738?ref_src=twsrc%5Etfw">February 9, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p>Google One AI進階版作為雲端硬碟Google One的新增版本，使用此項服務的用戶需登入個人Google帳戶，如果沒有Google帳戶，則需要建立帳戶。Google One AI進階版價格和Gemini 進階版同為20美元（新臺幣650元），差異在於在Google服務可免費使用Gemini（目前僅支援英文版AI功能），並提供2 TB儲存空間。</p> <p>目前Google One AI進階版已在臺灣等多個個國家上線，加入者可獲得2個月免費試用。值得注意的是，雖然Google One有家庭共享方案，但Google提醒，Gemini不能提供其他家庭成員使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Google One AI 進階版PLAN.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20One%20AI%20%E9%80%B2%E9%9A%8E%E7%89%88PLAN.png" style="width: 600px;" /></a></p> </div></div></div>
2024/2/12 18:17作者林妍溱https://www.ithome.com.tw/news/161264
傳蘋果買了高達32家AI新創公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>分析機構<a href="http://stocklytics.com/content/apple-sets-new-record-acquires-32-ai-startups-in-2023-the-highest-among-major-tech-companies/">Stocklytics引述Statista</a>分析各大廠近年的AI公司收購數量。其中蘋果以32家居冠，其次是Google、Meta、微軟及Amazon，也都買了10家到21家。</p> <p>Stocklytics 財務分析師Edith Reads指出，在AI武力競賽期間，相對微軟及Google在已經成名的AI公司身上做了巨額投資，蘋果則是完成多家AI新創公司的交易。透過收購潛力AI新創公司，蘋果得以取得優秀人材、創新科技及強化在關鍵AI領域佔得優勢，以確保在未來技術產業版圖的競爭實力．</p> <p><a href="https://s4.itho.me/sites/default/files/images/Statista artificial intelligence startups acquisitions.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Statista%20artificial%20intelligence%20startups%20acquisitions.png" style="width: 400px;" /></a></p> <p>在收購的AI公司方面，根據Stocklytics報導，蘋果2020年買下可理解自然語言提供協助的語音助理，意在強化Siri；2023年3月，該公司買下WaveOne影像壓縮技術供應商；其他生力軍包括Emotient、Laserlike、Drive.AI和AI.Music，其技術可整合於iPhone、Apple Watch及Mac電腦等。</p> <p>對於公司合併，蘋果向來公開表達的立場是：他們偶爾會買下小型公司，但不會公開評論其收購目的。</p> <p>最新統計也呼應蘋果執行長Tim Cook上個月財報會議指出，蘋果投入大量時間及心力，以便將生成式AI整合到其軟體平臺。該公司也計畫在今年內，陸續公布研發成果細節。</p> <p>關於公司本身發展的AI技術成果，蘋果去年12月公布多模態AI模型Ferret，上周又<a href="https://www.ithome.com.tw/news/161244">開源</a>可根據自然語言指令編修圖片的多模態AI模型MGIE。</p> </div></div></div>
2024/2/12 16:05作者李宗翰https://www.ithome.com.tw/news/161261
思科準備裁撤數千名員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《路透社》（Reuters）<a href="https://www.reuters.com/business/cisco-cut-thousands-jobs-it-seeks-focus-high-growth-areas-sources-2024-02-09/">上周引述消息來源報導</a>，網通設備大廠思科（Cisco）計畫重整業務並展開裁員，可能波及數千名員工，目前尚未確定實際裁員人數，猜測將於本周三（2/14）公布財報一同揭露。</p> <p>思科目前的全球員工數為84,900人，上一次大裁員是在2022年裁撤了4,000名人力，約占當時總員工數的5%，去年則裁撤數百名員工。</p> <p>根據報導，此次思科的組織重整行動是為了專注於追求高度成長的領域，不過，目前思科尚未回應《路透社》或其他媒體的詢問。</p> <p>眾多的科技業者在這一年來大規模縮減人力，從Amazon、Alphabet、微軟到Nokia，都裁撤了超過1萬名員工，根據<a href="https://layoffs.fyi/">Layoffs.fyi網站的統計</a>，去年總計有1,191家科技公司裁撤超過26萬名人力，今年以來，也已經有上百家科技公司裁撤逾3萬名人力。</p> </div></div></div>
2024/2/12 12:54作者陳曉莉https://www.ithome.com.tw/news/161259
法國兩家支付業者外洩客戶個資，波及法國總人口數的一半
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國資料保護機構<a href="https://www.cnil.fr/fr/violation-de-donnees-de-deux-operateurs-de-tiers-payant-la-cnil-ouvre-une-enquete-et-rappelle-aux">CNIL上周宣布</a>，該機構正在調查兩家支付業者者Viamedis與Almerys的資料外洩事件，這兩家業者替許多健康保險業者提供第三方支付服務，並在今年1月遭到網路攻擊，外洩了逾3,300萬名客戶的個資。目前法國約有6,800萬的人口，等於有接近一半民眾的個資遭駭。</p> <p>不過，根據《通用資料保護規則》（GDPR）的規定，受害用戶必須由Viamedis與Almerys直接並單獨通知，因此CNIL並無法取得相關資料，只能建議受害者對於所收到有關醫療保險的請求時必須提高警覺，並定期檢查帳戶的活動。</p> <p>外洩資料涵蓋了投保人與家人的各種資訊，包括社會安全碼、出生日期、健保業者的名稱，以及合約內容。而醫療資訊、金融資訊、郵政資料與電話號碼則未受到影響。</p> </div></div></div>
2024/2/12 13:09作者李宗翰https://www.ithome.com.tw/news/161260
Mozilla執行長將在二月底下臺，將尋求繼任者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Firefox開發商Mozilla執行長Mitchell Baker二月底下臺，將另尋下任掌舵者。</p> <p>Baker上周五親自在官方部落格<a href="https://blog.mozilla.org/en/mozilla/a-new-chapter-for-mozilla-laura-chambers-expanded-role/" target="_blank">宣布此事</a>。Baker是在2019年從Chris Beard接下執行長一職。在此之前，Baker擔任Mozilla董事。她解釋，5年來她同時在轉變期領導Mozilla，又要監管公司更大使命，但顯然二者都必須有專人全職投入。在卸下執行長一職，Baker將退回Mozilla公司執行董事一職。</p> <p>Baker遺缺將由董事成員<a href="https://www.linkedin.com/in/chamberslaura/" target="_blank">Laura Chambers</a>接任暫時執行長直到年底。她在三年前加入Mozilla。在此之前Chamers曾在Airbnb、PayPal、eBay任職，其職責在強化願景和策略，以及致力核心產品如Firefox瀏覽器的開發，與開發新產品的能力。</p> <p>Mozilla近年面臨極大挑戰。Firefox曾是排名僅次Google Chrome的瀏覽器，但近年逐漸流失用戶。根據市調公司<a href="https://gs.statcounter.com/browser-market-share" target="_blank">StatCounter的資料</a>，截至今年1月，Firefox在各平臺市占僅剩3.3%，落在蘋果Safari（18.86%）及微軟Edge（5.35%）之後。Mozilla力圖開發能帶進營收的新服務，本月稍早<a href="https://www.ithome.com.tw/news/161231" target="_blank">推出Mozilla Monitor Plus</a>付費訂閱服務，可在用戶個資外洩時通知用戶。</p> </div></div></div>
2024/2/10 19:17作者林妍溱https://www.ithome.com.tw/news/161257
Linux基金會偕Google、IBM業界聯手研發後量子加密演算法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為因應量子電腦可能破解現有加密演算法，<a href="https://www.linuxfoundation.org/press/announcing-the-post-quantum-cryptography-alliance-pqca" target="_blank">Linux基金會上周宣布</a>與Google、IBM、AWS等業者，以及研究與開發人員組成後量子加密聯盟（Post-Quantum Cryptography Alliance，PQCA），以提供新一代加密演算法的技術資源。</p> <p>PQCA創始會員包括Amazon Web Services（AWS）、思科、Google、IBM、Nvidia、以及滑鐵盧大學等組織，目的是成為後量子時代加密演算法開源專案的中心基地，提供符合美國國安局針對商用國家安全演算法套件（Commercial National Security Algorithm 2.0）網路安全公告的函式庫、套件給需要人士和組織。</p> <p>為此，PQCA將以創始會員業者過去十年來的後量子加密法研發成果為基礎，進行多項技術專案，包括評估、開發和部署後量子演算法的技術專案。之後Linux基金會將提供軟體實作以促進不同產業採用後量子加密演算法。這些技術基礎包括美國國家標準及技術研究院（National Institute of Standard and Technology，NIST）後量子加密標準化專案所選定第一批4種演算法，包括CRYSTALS-Kyber、CRYSTALS-Dilithium、Falcon及SPHINCS+。</p> <p>PQCA已啟動的專案之一，是由滑鐵盧大學2014年推動的開放量子安全（Open Quantum Safe）專案，它是全世界第一批抗量子演算法的開源碼專案。另一專案則為PQ程式碼套件專案（PQ Code Package），將建立配合未來抗量子加密標準，像是ML-KEM演算法的軟體實作。</p> <p>PQCA的現有資源可在其<a href="https://pqca.org/" target="_blank">官網</a>或<a href="https://github.com/pqca" target="_blank">GitHub</a>取得。PQCA也歡迎其他產學組織加入。</p> <p>值得一提的是，也提供量子雲服務、研發量子硬體的微軟並未加入。</p> </div></div></div>
2024/2/10 19:44作者林妍溱https://www.ithome.com.tw/news/161258
Google釋出可大規模建置GNN的函式庫TensorFlow GNN 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布<a href="https://blog.research.google/2024/02/graph-neural-networks-in-tensorflow.html">TensorFlow GNN 1.0</a>（TF-GNN），這是一個可用於大規模建立圖神經網路（Graph Neural Network，GNN）的函式庫，支援在機器學習框架TensorFlow中建立和訓練模型，並且從龐大的資料儲存中擷取輸入圖（Graph）。</p> <p>圖神經網路是一個重要且強大的技術，結合圖的連接性，以及節點和邊上的輸入特徵，可對整個圖進行預測，用於解決化學領域，預測分子的反應方式等問題，或是對個別節點進行預測，像是可以根據文件的參照文獻預測文件的主題，也能對潛在的邊進行預測，讓零售業用於預測不同產品一起被購買的機率。</p> <p>除了用於圖預測之外，GNN還能夠作為連結傳統神經網路應用與圖資料的橋樑，以連續的方式，對圖的離散關係資訊進行編碼，使其自然地融入在另一個深度學習系統中。</p> <p>而Google現在於TensorFlow中添加TF-GNN這個方便的工具，供開發者可以大規模建立GNN。TF-GNN是專為處理異構圖設計的工具，而所謂的異構圖，是指圖中的節點和邊，可以代表不同類型的物件和關係，以社交網路為例，節點可以代表人或是團體，而邊則代表節點之間的關係，如朋友關係或是追蹤關係。不同類型的節點和邊，能夠表示現實世界中物件及之間的關係。</p> <p>在TensorFlow中，異構圖會被封裝成一個稱為tfgnn.GraphTensor的物件，這是一個複合張量類型，也就是在一個Python類別中整合了多個張量，GraphTensor儲存了圖的結構和特徵，包括附加在節點、邊上的特徵，以及整個圖的特徵。</p> <p>開發者可以透過高階的Python類神經網路函式庫Keras API中的Layers物件操作，或是直接使用tfgnn.GraphTensor原始類型，來定義GraphTensor的可訓練轉換。這代表開發者可以像設計一般神經網路層那樣設計和訓練GNN模型，進而處理和學習圖資料的複雜結構和特徵。TF-GNN讓在深度學習框架中，處理和學習圖結構變得直覺和方便，特別是用於處理那些複雜關係和多種類物件的圖資料。</p> </div></div></div>
2024/2/10 00:34作者李建興https://www.ithome.com.tw/news/161253
Nvidia、微軟、OpenAI等200餘業者加入美政府號召的AI安全同盟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國政府號召成立AI安全產學同盟，以促進AI安全，獲得Nvidia、微軟、OpenAI等200多家業者加入響應。</p> <p>美商務部長Gina Raimondo周四<a href="https://www.commerce.gov/news/press-releases/2024/02/biden-harris-administration-announces-first-ever-consortium-dedicated" target="_blank">宣布成立美國AI安全協會同盟</a>（U.S. AI Safety Institute Consortium，AISIC），聯合AI開發商、使用者、學界、政府、產業研究人員及公民組織，旨在開發部署安全與值得信賴的AI。</p> <p>美總統拜登去年發布AI安全行政命令，宣布設立安全標準及保護AI創新二大目標，AISIC依此成立。</p> <p>該同盟成員涵括200多家廠商、組織等，AI、雲端、網路安全相關的主要業者都到齊了，包括Amazon、蘋果、Nvidia、高通、微軟、Google、OpenAI、Anthropic、Hugging Face、IBM、HPE、思科等，他們將致力於建立AI安全的新量測科學方法。</p> <p>這是美國政府部門最新一項推動AI安全政策性行動。去年拜登的行政命令中，要求AI公司將提交安全測試報告，並要求雲端業者向美國商務部通報訓練AI模型的外國客戶，以防範中國的AI國安威脅。<a href="https://www.ithome.com.tw/news/161093" target="_blank">截至1月底</a>，包括國土安全部、能源、財政或運輸等9大部會已完成了AI使用的基礎架構風險評估，而商務部可望不久後，將公布要求雲端平臺提供國外客戶訓練AI資訊的命令。</p> </div></div></div>
2024/2/10 00:44作者林妍溱https://www.ithome.com.tw/news/161256
微軟更新VS Code Python與Jupyter擴充套件，重點強化程式碼除錯能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出了<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-february-2024-release/">VS Code Python與Jupyter擴充套件2月更新</a>，除了預設安裝Python除錯器擴充套件之外，Jupyter擴充套件也內建變數檢視器，方便開發者監控變數狀態。Pylance擴充套件則引入新的診斷規則，可以進一步最佳化程式碼品質。另外，VS Code新支援觸發中斷點（Triggered Breakpoint），協助開發者靈活且精確地找出程式碼錯誤。</p> <p>Python除錯器擴充套件現在會預設和Python擴充套件一起安裝。微軟提到，Python除錯器擴充套件的功能，目的在於將除錯功能和Python擴充套件功能分開，以避免相容性的問題。這確保即便是Python擴充套件放棄支援舊版Python版本，開發者也可以繼續使用這些版本除錯專案，而不需要降級Python擴充套件。</p> <p>Jupyter擴充套件在執行和除錯面板中，新增了一個實驗性變數檢視器，該內建變數檢視器可用於查看筆記本核心中的變數，協助開發者在程式碼執行時，監控程式中的變數，對於程式碼除錯特別好用，因為開發者可以即時監控變數的值。</p> <p>Pylance擴充套件也加入了新的診斷規則。Pylance是Python語言伺服器擴充功能，是以微軟的Pyright靜態型別檢查器為基礎建置，提供了一系列強化Python程式開發體驗的功能。在Pyright最新的更新中，reportGeneralTypeIssues診斷規則已經被修改，允許開發者對診斷進行更細緻的控制，這個改變現在也於Pylance中調整。</p> <p>這項變更使開發者可以更精確地控制哪些型別問題應該被報告，更好地適應不同的開發需求和專案標準，藉由這種細緻的控制，開發者可以根據偏好和專案特定要求，調整型別檢查的嚴格程度，在確保程式碼品質的同時，保有開發的靈活度。</p> <p>VS Code現在還支援觸發中斷點，觸發中斷點是在遇到另一個中斷點時，自動啟用的中斷點，可用於診斷當特定條件發生後才出現的錯誤，使開發者精確控制除錯過程，只在特定的執行路徑或是條件啟用部分中斷點，能夠在複雜程式碼或是在難以重現的錯誤出現時，更深入地理解程式碼的執行流程，精確定位問題所在。</p> </div></div></div>
2024/2/10 00:56作者李建興https://www.ithome.com.tw/news/161255
Google Play Protect將加強防堵金融詐欺，新加坡先行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2024/02/piloting-new-ways-to-protect-Android-users-from%20financial-fraud.html" target="_blank">Google本周宣布</a>，將進一步加強Google Play Protect對金融詐欺的防堵能力，在Android用戶嘗試自瀏覽器、傳訊程式或檔案管理員等來源安裝程式時，會自動分析並封鎖那些可能使用敏感許可的程式，並率先於新加坡展開測試；像是可接收簡訊（RECEIVE_SMS）、閱讀簡訊（READ_SMS）、可用來讀取或忽略其它程式通知（BIND_Notifications），以及無障礙等許可（Accessibility），因為這些許可經常被用來進行金融詐欺。</p> <p>Google在2017年推出的Google Play Protect可在使用者自Google Play下載程式時進行程式的安全檢查，也會檢查使用者裝置是否存在來自其它來源的潛在有害應用程式，也可能從裝置中停用或刪除有害程式，針對潛在有害或垃圾程式提出警告，有時可重置應用程式許可權，並防止安裝未經驗證的應用程式。</p> <p>去年10月，Google進一步發表Google Play Protect的強化即時掃描功能，會針對使用者所安裝的、從未掃描過的應用程式進行即時掃描，並將程式中的重要訊號傳送至Google Play Protect的後端架構進行程式碼等級的評估，再將結果傳送予使用者。該功能目前已部署至新加坡、印度、泰國及巴西的Android裝置上。</p> <p>本周的新功能則主要是為了預防來自網路側載來源的金融詐欺，包括那些利用瀏覽器、傳訊程式或檔案管理員所安裝的程式，即時檢查這些程式所宣告的許可權是否涉及RECEIVE_SMS、READ_SMS、BIND_Notifications與Accessibility，因為這些許可經常遭到詐騙份子濫用，包括攔截簡訊與通知的一次性密碼，或是查看螢幕上的內容。</p> <p>根據Google針對採用敏感許可權之主要詐騙惡意程式家族的分析，有超過95%的安裝都是來自於網路側載來源。因此，當新加坡用戶要從網路側載程式時，只要相關程式宣告了上述任何一個許可，Google Play Protect即會自動阻止其安裝，並向用戶說明。</p> <p>這次Google是與新加坡的網路安全局（Cyber Security Agency，CSA）合作，並已通過新加坡政府的測試，將會在具備Google Play服務的Android裝置上推出。</p> </div></div></div>
2024/2/9 17:24作者陳曉莉https://www.ithome.com.tw/news/161252
Windows也有Sudo了！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>之前就有用戶猜測，Windows 11將會提供類UNIX作業系統中的Sudo程式，果真微軟現在於Windows 11 Insider Preview Build 26052中，<a href="https://devblogs.microsoft.com/commandline/introducing-sudo-for-windows/">加入適用於Windows的Sudo</a>，允許用戶直接從未提升權限的控制臺執行提升權限指令。目前微軟已經在GitHub開源Sudo for Windows專案。</p> <p>Sudo已經是類UNIX作業系統用戶熟悉且廣泛使用的工具，允許普通使用者不需要切換到Root使用者，就可執行特定的管理指令。當前Windows也有提供提升權限操作，但是方法都不如Sudo的方便，現在Sudo for Windows讓用戶在使用提升權限指令時，不需要事先開啟提升權限控制臺，或是執行繁瑣的操作。如此不只提高了效率，也提升操作安全性，因為使用者可以更精確地控制要使用提升權限執行的指令。</p> <p>現在用戶要在Windows使用Sudo，需要先從在設定中的開發人員頁面，開啟Sudo選項，或是從提升權限的控制臺對話中，以指令啟動Sudo。</p> <p>Sudo for Windows提供了三種配置選項，供用戶在不同情境下使用，第一種是在新視窗中執行的預設選項，系統會在一個新的提升權限視窗中執行指令；第二種則是關閉輸入選項，系統會在當前視窗以提升權限執行指令，但是不接受任何輸入，適用於不需要進一步輸入的指令；第三種則是行內（Inline）選項，讓提升權限的指令在當前視窗中運作，並且接受輸入和顯示輸出，類似其他作業系統的Sudo行為。</p> <p>當用戶使用Sudo從命令列提升程序權限時，系統會彈出UAC對話框，要求使用者確認權限提升，之後程序便會根據使用者選擇的配置選項運作。在新視窗中執行的選項，新視窗會使用和該視窗相同的工作目錄和環境變數，而關閉輸入和行內選項，sudo.exe會啟動一個新的提升權限程序，原始未提升的sudo.exe與提升權限的sudo.exe建立遠端程序呼叫（RPC）連線，資訊會從未提升的sudo實例傳遞到提升權限的實例。</p> <p>也就是說，來自未提升程序的控制臺控制碼（Handle）會被傳遞到已提升權限的程序，因此提升的程序可以讀取輸入，並且寫入輸出到未提升的程序，但是關閉輸入配置因為不會傳遞控制臺的控制碼，因此無法讀取使用者輸入。</p> <p>使用者需要特別注意行內模式可能存在安全風險，因為中等完整性程序（Medium Integrity Process）可能控制提升權限程序，而關閉輸入模式這類風險較低，畢竟無法讀取用戶的輸入。</p> </div></div></div>
2024/2/9 17:38作者李建興https://www.ithome.com.tw/news/161249
Google Bard改名為Gemini，推出綁2TB硬碟的Google One AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周開發人員<a href="https://www.ithome.com.tw/news/161175" target="_blank">發現</a>Google Bard將改名的消息，<a href="https://blog.google/technology/ai/google-gemini-update-sundar-pichai-2024/" target="_blank">Google昨（8）日正式宣布Bard改名為Gemini</a>，與全新付費版本Gemini Advanced及結合2TB雲端硬碟的Google One AI Premium方案。</p> <p>Google執行長Sundar Pichai指出，去年12月Google<a href="https://www.ithome.com.tw/news/160193" target="_blank">宣布</a>多模態AI模型Gemini，標示Gemini時代的來臨，但隨著Gemini發展，它不再只是模型，而是整個生態系，涵括用戶使用的產品、開發用的API及平臺。</p> <p>Gemini原本是Bard的底層模型，昨日Google宣布Bard將反映技術核心，更名為Gemini，將支援40種語言，上線地區則為除了英國及歐洲經濟區以外的150餘國。Workspace和Google Cloud中的AI助理，也會在這波品牌變革中換上新名字。</p> <p>Gemini聊天機器人有二個版本，一是免費AI聊天機器人，二是全新付費版本Gemini Advanced。Gemini Advanced（下圖）主打以最強大AI模型版本Ultra 1.0為底層。Ultra 1.0號稱是首個在大量多任務語言理解（massive multitask language understanding，MMLU）上超越人類專家的AI模型，它整合使用57種主題，包括數學、物理、歷史、法律、醫學和倫理學等來測試知識及問題解決能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0209-gemini%20advanced-1.png" style="width: 450px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0209-google%20gemini%20advanced-2.png" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Google</span></span></p> <p><a href="https://gemini.google.com/advanced" target="_blank">Gemini Advanced</a>收費標準為每人每月20美元（或650元臺幣）。雖然Advanced版的模型較強大，且可用在Gmail、Docs上，可惜<a href="https://www.reddit.com/r/Android/comments/1alv9of/gemini_advanced_get_access_to_googles_most/" target="_blank">Reddit用戶發現</a>，Advanced版無法分享給家庭成員。</p> <p>免費的Gemini則是以Gemini Pro 1.0模型為底層模型。</p> <p>在App方面，Gemini已推出<a href="https://gemini.google.com/app" target="_blank">Web版</a>及<a href="https://play.google.com/store/apps/details?id=com.google.android.apps.bard" target="_blank">Android版</a>。為改良Gemini App採用的技術，用戶與Gemini的對話會經由人工審查員處理，因此，Google提醒用戶勿輸入不想讓別人看到或供Google使用的內容。至於iOS版，用戶需以Google App存取這服務。</p> <p>之前<a href="https://9to5google.com/2024/02/03/google-bard-gemini-rebrand-android-app-date/" target="_blank">有媒體發現</a>，Gemini Android App是由Google Assistant App改寫，因此，下載Gemini Android版App後，Assistant App就會變成Gemini。</p> <p>Gemini模型將支援Google服務，包括Workspace和Google Cloud。隨同品牌變更，Workspace AI助理Duet AI將改名為Gemini for Workspace，即將推出的全新<a href="https://one.google.com/explore-plan/gemini-advanced" target="_blank">Google One AI進階版方案</a>，可讓消費者直接在Gmail、Docs、Sheets、Slides與Meet免費使用Gemini。</p> <p>Google Cloud的Duet AI未來幾個星期內也會改名Gemini，協助文件作業、寫程式、防範網路攻擊等。Google下周會再進一步公布Gemini在開發及Cloud方面的新功能。</p> </div></div></div>
2024/2/9 18:03作者林妍溱https://www.ithome.com.tw/news/161254
FCC解釋性裁決認定自動語音電話使用AI生成語音非法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>依據《電話消費者保護法》（TCPA）<a href="https://www.fcc.gov/document/fcc-makes-ai-generated-voices-robocalls-illegal">FCC做出了一項解釋性裁決</a>，認定使用人工智慧生成語音進行通話，在TCPA下會被視為人工（Artificial）語音，也就是說，執法單位現在不僅能針對人工智慧語音生成的騷擾電話所造成的負面結果採取行動，也能打擊在騷擾電話中採用人工智慧生成語音的行為。</p> <p>人工智慧在增進人們生活品質與生產力的同時，也帶來詐欺與誤導訊息等負面影響，FCC主席Jessica Rosenworcel指出，不法份子使用人工智慧生成語音，在未經請求的騷擾電話中，勒索家庭成員，模仿名人甚至誤導選民。州檢察長將會運用新工具打擊這些詐騙，讓公眾免受詐欺和誤導資訊的侵害。</p> <p>事實上，這些詐騙電話在過去幾年逐漸增加，生成式人工智慧被濫用於模仿名人、政治候選人，或是家庭成員來混淆視聽、傳播錯誤資訊。在美國雖然各州檢察長，過去只能打擊人工智慧語音生成的騷擾電話所造成的結果，像是詐欺等行為，但現在FCC所做的這項解釋性裁定，這代表人工智慧生成語音現在被納入現有法律框架中，適用人工或是預錄語音訊息的規範，讓騷擾電話中使用人工智慧語音的行為本身成為非法，擴大執法機構可根據法律追究行為者責任的途徑。</p> <p>《電話消費者保護法》是FCC用於限制垃圾電話的主要法律，其限制自動電話撥號系統、人工或預錄語音訊息的撥號行為，根據FCC的規定，要求電話行銷人員在自動撥打消費者電話時，必須事先獲得消費者的書面同意，而這項解釋性裁決確認人工智慧產生的聲音，也需要符合相同的標準。</p> </div></div></div>
2024/2/9 16:09作者李建興https://www.ithome.com.tw/news/161250
OpenAI將標記DALL·E 3輸出圖像為AI生成內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/161227">在Meta之後</a>，OpenAI也<a href="https://help.openai.com/en/articles/8912793-c2pa-in-dall-e-3">公布</a>標記人工智慧生成圖片的措施。OpenAI採用C2PA標準，在DALL·E 3輸出中加上後設資料，讓使用者更容易辨識由人工智慧所生成的圖片。C2PA是一種開放技術標準，讓內容發布者、企業和其他組織在媒體嵌入後設資料，以驗證其來源和相關資訊，C2PA並非僅適用於人工智慧生成的圖像，相同標準已經被相機製造商、新聞機構採用，以證明其媒體內容和來源。</p> <p>OpenAI會在網頁版和API使用DALL·E 3模型生成的圖像中加入C2PA後設資料，這項變更將會在2月12日向所有行動裝置用戶推出，人們可以使用Content Credentials Verify等網站來檢查圖像是否透過OpenAI的工具，並由底層DALL·E 3所產生。</p> <p>官方提到，C2PA後設資料並不能一勞永逸地解決來源問題，因為後設資料容易被有意或是無意地移除。目前社交媒體平臺在上傳圖像時也都會刪除後設資料，因此缺少後設資料的圖像，可能是也可能不是由ChatGPT或是OpenAI API所產生。</p> <p>影像加上C2PA後設資料，會些微影響圖像大小，像是透過API所生成的PNG圖片，原本3.1 MB的大小會微幅增加至3.2 MB，增幅約為3％，由API生成的287k WebP圖檔，則會增加5％至302k，而原本透過ChatGPT生成287k的WebP圖檔，會在添加C2PA後設資料後變為381k，檔案大小增加32％。官方提到，這些增加對延遲的影響可忽略不計，而且也不會影響圖像生成的品質。</p> <p>嵌入到生成圖像的後設資料，在ChatGPT與OpenAI API部分略有不同，透過API生成的圖像會包含一個簽章，以表明由底層DALL·E 3模型所產生，而透過ChatGPT生成時，會包含一個附加清單，記載內容由ChatGPT創建以呈現雙重來源，初始後設資料清單顯示圖像使用DALL·E 3建立，而第二個後設資料清單顯示該影像是在ChatGPT介面生成。</p> <p>在生成圖片中加上後設資料，能夠讓用戶更容易辨識圖片來源，進一步提高數位資訊可信度。目前只有ChatGPT或是OpenAI DALL·E 3模型API服務產生的圖像才會擁有C2PA後設資料，文字和語音輸出則還不會包含來源相關後設資料。</p> </div></div></div>
2024/2/9 16:19作者李建興https://www.ithome.com.tw/news/161251
蘋果App Store上出現仿冒的LastPass程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.lastpass.com/2024/02/warning-fraudulent-app-impersonating-lastpass-currently-available-in-apple-app-store/" target="_blank">密碼管理程式LastPass周三（2/7）警告</a>，蘋果的App Store上出現了仿冒的LastPass程式，此一名為LassPass Password Manager的程式不僅與合法程式名稱雷同，商標及介面也類似，蘋果已於LastPass發布訊息的隔天將其下架，但並未說明此一程式是如何登上審核嚴格的App Store。</p> <p>LastPass指出，此一仿冒LastPass的行動程式（如下圖所示）雖然複製了LastPass的品牌與使用者介面，但仔細簡單檢查該程式所張貼的螢幕截圖，會發現拼字上的錯誤（將Las[t]Pass改為Las[s]Pass），並有其它跡象顯示該程式是騙人的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0209-Fraudulent%20App-LastPass-Apple%20App%20Store.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／LastPass</span></span></p> <p>該假冒程式的開發者為Parvati Patel，而合法LastPass Password Manager程式的開發者則是LogMeIn, Inc（如下圖所示），其實許多使用者亦對LogMeIn不熟悉，這是因為LastPass在2015年被LogMeIn併購之後，再被拆分而獨立經營，且LogMeIn又在2022年更名為GoTo。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-02-07-at-4_20_38-PM.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／LastPass</span></p> <p>LastPass主要是用來儲放及管理使用者各項服務的密碼，目前並不確定該偽造的程式是否為惡意，或是對使用者造成任何傷害，LastPass提供了合法的程式下載連結，同時要求蘋果將侵犯商標的程式下架。</p> </div></div></div>
2024/2/9 14:11作者陳曉莉https://www.ithome.com.tw/news/161246
迪士尼以15億美元成為Epic Games股東
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迪士尼（The Walt Disney Company）與打造《要塞英雄》（Fortnite）遊戲的美國遊戲暨平臺開發商Epic Games周三（2/7）<a href="https://thewaltdisneycompany.com/disney-and-epic-games-fortnite/" target="_blank">宣布策略聯盟</a>，將共同創造一個全新的遊戲及娛樂宇宙，同時迪士尼也宣布將以15億美元成為Epic Games股東，根據<a href="https://www.theinformation.com/features/exclusive" target="_blank">《The Information》</a>的報導，迪士尼將取得9%的Epic Games股份。</p> <p>同為串流影片供應商，迪士尼發展遊戲服務的策略與Netflix不同，<a href="https://www.ithome.com.tw/news/145775" target="_blank">Netflix把各種遊戲當作串流服務的一部分</a>，以吸引更多或留住現有的使用者。然而，根據迪士尼的規畫，該公司將與Epic Games共同開發一個全新的遊戲宇宙，此一宇宙除了提供世界級的遊戲體驗，能與《要塞英雄》互動之外，還會利用Unreal引擎整合來自迪士尼、皮克斯、漫威、星際大戰、阿凡達與其它品牌的內容、角色及故事，令玩家能在遊戲中以獨特的迪士尼方式來表達自己。</p> <p>迪士尼執行長Robert Iger表示，這是迪士尼進軍遊戲世界最大的一次投資，迫不及待地想讓全球粉絲以突破性的方式，來體驗他們喜愛的迪士尼故事與世界。</p> <p>過去迪士尼主要將旗下的品牌授權給遊戲業者，由遊戲出版商或工作室負責開發，例如索尼（Sony）出版的《蜘蛛人》（Spider-Man）。目前市場上已有9款由迪士尼授權的遊戲，每款遊戲的銷售金額都超過10億美元。</p> <p>不過，迪士尼與Epic Games之間的交易還需通過監管機關的審核。</p> </div></div></div>
2024/2/9 15:20作者陳曉莉https://www.ithome.com.tw/news/161248
Google Bard改名為Gemini，推出綁20TB硬碟的Google One AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周開發人員<a href="https://www.ithome.com.tw/news/161175" target="_blank">發現</a>Google Bard將改名的消息，<a href="https://blog.google/technology/ai/google-gemini-update-sundar-pichai-2024/" target="_blank">Google昨（8）日正式宣布Bard改名為Gemini</a>，與全新付費版本Gemini Advanced及結合20TB雲端硬碟的Google One AI Premium方案。</p> <p>Google執行長Sundar Pichai指出，去年12月Google<a href="https://www.ithome.com.tw/news/160193" target="_blank">宣布</a>多模態AI模型Gemini，標示Gemini時代的來臨，但隨著Gemini發展，它不再只是模型，而是整個生態系，涵括用戶使用的產品、開發用的API及平臺。</p> <p>Gemini原本是Bard的底層模型，昨日Google宣布Bard將反映技術核心，更名為Gemini，將支援40種語言，上線地區則為除了英國及歐洲經濟區以外的150餘國。Workspace和Google Cloud中的AI助理，也會在這波品牌變革中換上新名字。</p> <p>Gemini聊天機器人有二個版本，一是免費AI聊天機器人，二是全新付費版本Gemini Advanced。Gemini Advanced（下圖）主打以最強大AI模型版本Ultra 1.0為底層。Ultra 1.0號稱是首個在大量多任務語言理解（massive multitask language understanding，MMLU）上超越人類專家的AI模型，它整合使用57種主題，包括數學、物理、歷史、法律、醫學和倫理學等來測試知識及問題解決能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0209-gemini%20advanced-1.png" style="width: 450px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0209-google%20gemini%20advanced-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p><a href="https://gemini.google.com/advanced" target="_blank">Gemini Advanced</a>收費標準為每人每月20美元（或650元臺幣）。雖然Advanced版的模型較強大，且可用在Gmail、Docs上，可惜<a href="https://www.reddit.com/r/Android/comments/1alv9of/gemini_advanced_get_access_to_googles_most/" target="_blank">Reddit用戶發現</a>，Advanced版無法分享給家庭成員。</p> <p>免費的Gemini則是以Gemini Pro 1.0模型為底層模型。</p> <p>在App方面，Gemini已推出<a href="https://gemini.google.com/app" target="_blank">Web版</a>及<a href="https://play.google.com/store/apps/details?id=com.google.android.apps.bard" target="_blank">Android版</a>。為改良Gemini App採用的技術，用戶與Gemini的對話會經由人工審查員處理，因此，Google提醒用戶勿輸入不想讓別人看到或供Google使用的內容。至於iOS版，用戶需以Google App存取這服務。</p> <p>之前<a href="https://9to5google.com/2024/02/03/google-bard-gemini-rebrand-android-app-date/" target="_blank">有媒體發現</a>，Gemini Android App是由Google Assistant App改寫，因此，下載Gemini Android版App後，Assistant App就會變成Gemini。</p> <p>Gemini模型將支援Google服務，包括Workspace和Google Cloud。隨同品牌變更，Workspace AI助理Duet AI將改名為Gemini for Workspace，即將推出的全新<a href="https://one.google.com/explore-plan/gemini-advanced" target="_blank">Google One AI進階版方案</a>，可讓消費者直接在Gmail、Docs、Sheets、Slides與Meet免費使用Gemini。</p> <p>Google Cloud的Duet AI未來幾個星期內也會改名Gemini，協助文件作業、寫程式、防範網路攻擊等。Google下周會再進一步公布Gemini在開發及Cloud方面的新功能。</p> </div></div></div>
2024/2/9 13:33作者林妍溱https://www.ithome.com.tw/news/161245
蘋果開源圖片編修AI模型MGIE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年公布多模態AI模型<a href="https://www.ithome.com.tw/news/160517" target="_blank">Ferret</a>後，蘋果本月稍早又開源可根據自然語言提示編修圖片的多模態AI模型MGIE，可以更精確完成修圖或改良圖片。</p> <p>這個AI模型是蘋果和加州大學聖塔巴巴拉分校研究人員合作開發，預定今年5月在國際表徵學習大會（International Conference of Learning Representation，ICLR）上發表。</p> <p>MGIE意為MLLM導引圖片編輯（MLLM-Guided Image Editing），目的在解決現有AI圖片編輯模型的問題。研究人員說明，指令為基礎的圖片編輯AI模型，可根據自然語言指令操控圖片而無需精細描述或遮罩。但是人類下的指令往往太短，現有AI方法無法理解和遵循。多模態大型語言模型（multimodal large language model，MLLM）具跨模態理解，且能生成視覺回應，研究小組於是利用MLLM協助產生圖片編輯指令的新方法，稱為MGIE。</p> <p>MGIE程式碼主體來自LLaVA（Large Language and Vision Assistant），能從人類提示得出表現指令，並提供清楚而明確的圖片編輯指引。例如，當使用者輸入「讓天空更藍」的文字，MGIE則會推出「讓天空部份的飽和感增加20%」。透過端到端的訓練，MGIE模型能同時產生視覺化想像，並進行圖片像素的操控。</p> <p>MGIE可用於多種圖片編修目的，包括依用戶指令編修、或像Photoshop一樣修圖（如裁切、旋轉、翻面、調整大小）。它也能針對局部編修，像是對人臉、眼睛、衣服或飾品等部位強化，也可以提升照片整體品質，像是亮度、對比、清晰度或色彩平衡度，或是套用繪畫風格，如素描、油畫和卡通畫風。</p> <p><a href="https://github.com/apple/ml-mgie" target="_blank">蘋果已將MGIE經由GitHub開源</a>，包括程式碼、範例與授權，供有興趣的使用者下載，也可以在<a href="https://huggingface.co/spaces/tsujuifu/ml-mgie" target="_blank">Hugging Face</a>試用。</p> <p>這是蘋果最新公開的AI研發成果，但並非蘋果的官方發布。上星期蘋果執行長Tim Cook在季報分析師會議中<a href="https://www.theverge.com/2024/2/1/24058647/apple-ceo-tim-cook-teases-generative-ai-iphone" target="_blank">透露今年內將推出自有生成式AI功能</a>。</p> </div></div></div>
2024/2/8 19:30作者林妍溱https://www.ithome.com.tw/news/161244
OpenAI將標記DALL·E 3輸出圖像為AI生成內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/161227">在Meta之後</a>，OpenAI也<a href="https://help.openai.com/en/articles/8912793-c2pa-in-dall-e-3">公布</a>標記人工智慧生成圖片的措施。OpenAI採用C2PA標準，在DALL·E 3輸出中加上後設資料，讓使用者更容易辨識由人工智慧所生成的圖片。C2PA是一種開放技術標準，讓內容發布者、企業和其他組織在媒體嵌入後設資料，以驗證其來源和相關資訊，C2PA並非僅適用於人工智慧生成的圖像，相同標準已經被相機製造商、新聞機構採用，以證明其媒體內容和來源。</p> <p>OpenAI會在網頁版和API使用DALL·E 3模型生成的圖像中加入C2PA後設資料，這項變更將會在2月12日向所有行動裝置用戶推出，人們可以使用Content Credentials Verify等網站來檢查圖像是否透過OpenAI的工具，並由底層DALL·E 3所產生。</p> <p>官方提到，C2PA後設資料並不能一勞永逸地解決來源問題，因為後設資料容易被有意或是無意地移除。目前社交媒體平臺在上傳圖像時也都會刪除後設資料，因此缺少後設資料的圖像，可能是也可能不是由ChatGPT或是OpenAI API所產生。</p> <p>影像加上C2PA後設資料，會些微影響圖像大小，像是透過API所生成的PNG圖片，原本3.1 MB的大小會微幅增加至3.2 MB，增幅約為3％，由API生成的287k WebP圖檔，則會增加5％至302k，而原本透過ChatGPT生成287k的WebP圖檔，會在添加C2PA後設資料後變為381k，檔案大小增加32％。官方提到，這些增加對延遲的影響可忽略不計，而且也不會影響圖像生成的品質。</p> <p>嵌入到生成圖像的後設資料，在ChatGPT與OpenAI API部分略有不同，透過API生成的圖像會包含一個簽章，以表明由底層DALL·E 3模型所產生，而透過ChatGPT生成時，會包含一個附加清單，記載內容由ChatGPT創建以呈現雙重來源，初始後設資料清單顯示圖像使用DALL·E 3建立，而第二個後設資料清單顯示該影像是在ChatGPT介面生成。</p> <p>在生成圖片中加上後設資料，能夠讓用戶更容易辨識圖片來源，進一步提高數位資訊可信度。目前只有ChatGPT或是OpenAI DALL·E 3模型API服務產生的圖像才會擁有C2PA後設資料，文字和語音輸出則還不會包含來源相關後設資料。</p> </div></div></div>
2024/2/8 20:05作者李建興https://www.ithome.com.tw/news/161240
Go 1.22終於修正長期存在的for迴圈變數共享問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發團隊釋出<a href="https://go.dev/blog/go1.22">Go 1.22</a>版本，這個版本除了在語言層面有更新，修正了長久存在的for迴圈問題之外，也強化了效能並且擴充函式庫，透過改進記憶體和設定檔指引最佳化（Profile-Guided Optimization，PGO）使得程式執行更加高效。</p> <p>Go 1.22語言變更主要是解決for迴圈中變數共享的問題，在之前的Go版本中，在for迴圈中啟動的goroutine如果直接使用迭代變數，可能會因為變數共享而出現非預期的結果。這個問題已經存在一段時間，也是Go新手在編寫程式的時候常會遇到的陷阱，現在這個問題終於在Go 1.22被解決了，迭代變數在每次迭代時都能被正確的捕獲，並在goroutine內部使用，減少開發者寫出臭蟲程式碼的可能性。</p> <p>另一個語言變更則是Go 1.22加入整數的範圍迭代支援，這是一個新的語言功能，該功能讓固定次數的迭代操作更加直覺且方便。這兩個變更進一步改善了Go的安全性與易用性。</p> <p>新版Go的效能也有改進，Go的執行環境記憶體最佳化，將CPU效能提高約1％到3％，同時也減少大多數Go程式的記憶體開銷約1％。在Go 1.21中，Go編譯器新增設定檔指引最佳化功能，設定檔指引最佳化會根據程式實際運作配置來最佳化編譯，進而提高執行效率，在Go 1.22中新增改進的去虛擬化功能，允許更多介面方法呼叫的靜態分派（Static Dispatch）。啟用設定檔指引最佳化的多數程式都會有2％到14％的效能提升。</p> <p>開發者也能夠在這個版本用到新的函式庫像是math/rand/v2套件，其提供更簡單、一致的API，提供高品質且快速的偽隨機生成演算法（Pseudo-Random Generation Algorithm），對於需要隨機生成功能的應用程式特別好用。</p> </div></div></div>
2024/2/8 20:07作者李建興https://www.ithome.com.tw/news/161241
IBM推適用中小企業的大型主機LinuxONE 4 Express
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM推出<a href="https://newsroom.ibm.com/2024-02-06-New-IBM-LinuxONE-4-Express-to-Offer-Cost-Savings-and-Client-Value-through-a-Cyber-Resilient-Hybrid-Cloud-and-AI-Platform">LinuxONE 4 Express</a>，這是一款針對中小型企業和新興資料中心環境設計的大型主機，目的在於將LinuxONE的效能、安全性和人工智慧功能，擴展至更廣泛的用戶群。其預配置的機架安裝系統，能夠在具成本效益的情況下，讓企業快速啟動工作負載，開始利用平臺處理數位資產管理、人工智慧醫療影像等各種新舊用例。</p> <p>IBM提到，當前企業在將業務轉移到線上的過程，容易形成由孤立技術堆疊所組成的混合雲環境，而這並不利於業務整合和引入人工智慧技術。LinuxONE 4 Express則鎖定此需求，讓新創和中小型企業從基礎開始有意識地建置混合雲策略，因此隨著業務的成長和市場需求變化，LinuxONE 4 Express能夠靈活地擴展，以滿足日益增加的工作負載和效能要求。</p> <p>IBM LinuxONE 4 Express採用Telum處理器，擁有高效能運算能力，適合處理資料密集型應用和人工智慧推理運算，其配備GDPS，以及擁有HyperSwap的IBM DS8000系列儲存，並執行Red Hat OpenShift Container Platform環境，可用性可達到99.999999％。而LinuxONE 4 Express採用機架安裝形式，可提供靈活部署需求，讓企業能將其整合到現有的資料中心架構當中。</p> <p>IBM LinuxONE 4 Express是一個針對新創與中小企業的解決方案，其擁有的功能能夠支援新興用例。LinuxONE 4 Express提供安全平臺，具有保護機敏資料的機密運算能力，而內建的硬體基礎安全技術Secure Execution for Linux，可以隔離個別工作負載免受外部攻擊甚至是內部威脅，而這對於數位資產應用是一個重要的功能。</p> <p>而LinuxONE 4 Express所搭載的Telum處理器，可供企業存放人工智慧與重要資料於LinuxONE系統上，實現在資料儲存處執行資料分析，在像是健康保險公司需要即時分析大量醫療紀錄，以驗證索賠的情境，可加速業務決策速度。</p> <p>IBM還指出，IBM LinuxONE 4 Express可讓企業簡化IT環境，將資料庫整合到LinuxONE系統上降低成本，與x86伺服器相比，將Linux工作負載移至IBM LinuxONE 4 Express，可讓企業在5年內的總擁有成本節省超過52％。</p> </div></div></div>
2024/2/8 20:10作者李建興https://www.ithome.com.tw/news/161242
微軟更新Copilot圖像創作功能，並在平衡模式採用新模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟公司推出<a href="https://blogs.microsoft.com/blog/2024/02/07/delivering-copilot-for-everyone/">Copilot更新</a>，這次更新範圍包括copilot.microsoft.com網站，還有iOS與Android應用商店中的Copilot應用程式。用戶存取Copilot將會看到更為簡潔的外觀和使用體驗，除了介面的更新之外，微軟還新增了建議提示詞輪播功能，藉以更好地呈現Copilot的功能。</p> <p>微軟也在Copilot添加更多的圖像創作功能，藉由使用Designer功能，用戶不僅可以創建圖像，現在還能在Copilot內直接進行線上圖像編輯，讓用戶不中斷創作工作流程保持聊天的流暢度。這些圖像編輯包括用戶可以突出顯示特定物體，無論是強化顏色使其更加醒目，或是模糊圖像背景讓主題更加突出，甚至使用畫素藝術風格等特效重新建立圖像都能夠完成。</p> <p>Copilot Pro訂閱用戶還可以在不離開聊天的情況下調整圖像大小，並在正方形和橫幅布局重新生成圖像，微軟預告，他們還將在Copilot中推出Designer GPT功能，提供用戶沈浸式且專用的畫布，在Copilot中迅速將想法轉為實際成果。</p> <p>另外，微軟副總裁暨Copilot、Bing工程與產品部門負責人Jordi Ribas，則在社交平臺X上<a href="https://twitter.com/JordiRib1/status/1755249265604239444/photo/1">公布</a>Copilot的平衡模式現在採用一個稱為Deucalion的新模型，他提到，Deucalion模型經過微調，使Copilot平衡模式回應更加豐富且快速。</p> <p>根據微軟的資料，在過去一年Copilot使用量暴增，已經建立超過50億次聊天和50億張圖像，而這也促使了Edge和Bing市占持續增加。</p> </div></div></div>
2024/2/8 18:53作者李建興https://www.ithome.com.tw/news/161239
微軟Azure AD測試以自拍驗證登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>變臉詐騙（Business Email Compromise，BEC）攻擊氾濫，微軟本周為原名Azure AD的Entra Verified ID<a href="https://www.microsoft.com/en-us/security/blog/2024/02/06/microsoft-entra-verified-id-introduces-face-check-in-preview/" target="_blank">預覽臉部驗證功能Face Check</a>，讓企業員工可以臉部登入公司帳號。</p> <p>Face Check是以Azure AI服務為基礎，在微軟的Entra Verified ID身分驗證外再加入一層防護。它可即時比對用戶手機自拍相片及其身分文件（如駕照或護照）中的相片，並提供比對信心水準結果。由於Face Check只分享比對結果，不牽涉任何身分資料，可確保用戶隱私同時確認員工身分。</p> <p>這項方案也允許企業App以Request Service REST API呼叫執行Face Check，以比對員工即時自拍和儲存的驗證相片、身分證或特定數位證明。這讓企業可實作自助服務情境，像是啟用passkey或重設密碼。企業的服務臺也能要求Face Check以比對經驗證的員工相片。</p> <p>現在Face Check方案的Request Service REST API，透過合作夥伴Dun & Bradstreet、Au10tix、LexisNexis Risk Solutions及IDEMIA支援工作、教育及政府ID。微軟接下來幾個星期，會再將API擴大到支援其他身分屬性，像是工作紀錄，或法律實體驗證。</p> <p>微軟正在預覽測試Face Check，並邀請使用者<a href="https://learn.microsoft.com/en-us/entra/verified-id/using-facecheck" target="_blank">試用</a>。</p> <p>微軟三月份的Microsoft Secure數位大會將公布進一步Entra安全方案。</p> </div></div></div>
2024/2/8 19:17作者林妍溱https://www.ithome.com.tw/news/161243
當AIoT跨入金融服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-lu_se_jin_rong_ke_ji_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">五南圖書</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>相較於直接訴諸於一般消費者的金融創新服務（B2C），奇雲國際的創新服務內容則是由公司場域出發（B2B），但卻開始撼動原有金融服務的經營邏輯。</p> <p>首先在保險服務上，近年不論是特斯拉或是國內創星物聯等車聯網公司，都強調以使用者為中心的UBI保單與彈性保費設計；但奇雲國際卻將服務場域由個人保險延伸到產物保險，尤其是高危險場域的保險計算，包括化學工廠、中鋼中油，乃至高科技公司如台積電等。過去這類高危險企業的產物保險金額高，也因此必須發展出再保險市場來分散風險。然而，奇雲國際的智能監控卻強調零風險與即時風險管理的重要性。換句話說，最有效的風險管理就在於即時預警、防患於未然。也因此，未來產物保險在保費計算上，有機會加入智能監控的保費調整機制，或作為優良廠商與風險評估依據。</p> <p>相較於金融科技業者對傳統金融服務所帶來的直接衝擊，AIoT這類智能監控服務之科技公司，反而扮演協助金融服務升級的智慧好夥伴。</p> <p><span style="font-size:28px;"><strong><span style="color:#3399ff;">智慧監控突圍金融服務</span></strong></span></p> <p>創辦於2014年的奇雲國際以智慧監控為核心技術，並將服務延伸到車隊管理、UBI保單、場域工安與廢棄物管理服務。</p> <p>台灣車輛高達八成以上都已承保第三人責任險，大貨車保費雖然每輛高達20萬元，事故發生後的最高理賠金額約400萬元。但若由UBI（Usage Based Insurance）保單設計邏輯，僅單純從減省保費以鼓勵優良駕駛的角度來看，如優良駕駛每個月減省15%保費。因實際支付保費多為車隊，這項保費減省設計並未直接回饋給司機，反而必須思考其他獎勵機制與管理設計。此外，與其每個月調降保費的事後獎勵，在車隊管理上更講求即時有效的監控管理，避免意外發生才是關鍵。</p> <p>奇雲國際的核心技術是物聯網科技（AIoT），包括雷達偵測、ADAS（先進駕駛輔助系統）、DVR（車用影像監視）行車視野輔助、維修保護等。主要用於大貨車等車隊管理系統。毫米波雷達的偵測角度可達120度廣角，主要安裝於車角（柱），可偵測120度、直徑3公尺的扇形面積。雷達偵測有三大用途：一是廣域感應，可掃描120度廣角範疇。二是主動式提醒，雷達會透過閃燈或鳴叫方式提醒駕駛，駕駛無須額外查看。三是輕巧體積小，不會造成車體負擔。</p> <p>在車隊管理上，雷達報告每秒會詳細記錄偵測障礙物的時間點，協助重現事故現場。雷達報表包括日期、時間、地址（經緯度）、車速、急剎車、剎車燈、急轉彎、方向燈、車前盲區、右A柱盲區、車後盲區等資訊。</p> <p>至於先進駕駛輔助系統ADAS功能有以下三項：一是智慧輔助，可自動偵測車道偏移、提醒駕駛，並減少事故發生。二是車距偵測，可解決前車車距問題，即時影像提醒。三是駕駛專注偵測，可識別駕駛眼神飄移並發出警示，避免昏睡、分心等危險駕駛行為。ADAS主機可自主偵測車輛行駛狀態，依據車速判定碰撞警示距離，內建視訊輸出、音訊輸出與攝影機。其中，攝影機偵測角度約上下33度，左右44度。另有附屬設備功能DMS駕駛監控系統（Driver Monitoring System），系統以高端影像技術偵測駕駛瞳孔變化與臉部變化，在駕駛人員產生疲勞與分心時，即時發出聲光預警。</p> <p>車用影像監視（DVR）則有以下功能：一是雲端記錄，包括盲區影音與方向燈使用記錄將同時上傳雲端，事故發生時可作為還原現場依據。二是掃盡盲區，根據不同車種提供適合的掃盲方案，運用多種警示方式，提升司機警覺，以減少事故發生損失。</p> <p>這三項數位科技的整合應用範疇則有車隊管理系統、智能減碳車隊，與攜帶式管理平台（APP）。以最主要的車隊管理系統來說，奇雲科技提供智慧車隊的監控管理、即時地圖監控、即時影像監控、冷鏈系統監控、酒測監控系統，與駕駛身分管理。</p> <p>奇雲國際總經理李雅芳說明，即時監控與篩選（real time tracking & sorting）正是智能監控系統的核心能力，這有助於車隊管理的效率與效益之大幅提升。奇雲國際並由此發展出八種以上的模組化服務，包括駕駛行為風險分析、異常警告管理、數據分析報表、行駛里程管理、行駛風險時段、車況管理、實時車輛跟蹤、區域管理等。</p> <p>奇雲國際並發展出視覺化的碳排儀表板，可有效管理每個月的累計加油量、怠速時數與碳排放量。奇雲國際估算，以3,000輛車的車隊計算，導入智能監控系統可有效降低20%碳排油耗、降低29%事故發生率，與降低34%維修成本，估計一年可節省約1.5萬噸的二氧化碳排放。</p> <p>此外，奇雲國際的車隊管理服務也進一步延伸到車輛派遣服務。原本奇雲國際就已針對車輛的行駛路徑發展出一連串的數據管理內容，包括行駛中、離線、怠速、超速等服務；而這些服務內容僅針對單一車輛的車況管理與駕駛行為分析，若再加上「自動路順」的路線優化管理，就有進一步達到減排效益，甚至可減省人員。</p> <p>近年來，奇雲國際的智慧監控系統服務也由車隊管理進一步延伸到「場域監控」，包括具有高度公共安全警戒的化學品工廠、建築場域與工廠等。</p> <p>「以裝載化學品的油罐車為例，我們必須確認駕駛有穿防護衣、輪檔有確認止滑、有接地、有靜電等一系列工序。接著，我們還必須確認內裝液化化學品的存量變化等，這些都是公安管理的細節，也需要專業領域知識的協助。」奇雲國際資深主管說明。</p> <p>2023年，「奇雲2.0-AI智慧場域」提出場域監控服務的解決方案，包括智慧場域、智慧地磅、智慧倉儲、智慧車牌、智慧存量、智慧儲能等服務。奇雲國際並由規劃（plan）、執行（do）、稽核（check）、行動（act）發展出一系列的智能監控服務。「規劃」著重在訂定廠內作業查核點，「執行」則以設置適合硬體收集現場訊號，「稽核」在設定勾稽規則並發送異常警報，而「行動」則在調查異常原因並進行改善。由此所發展的智能監控服務則有大數據分析、雲端運算、IoT工廠管理、地磅串接、車牌辨識、影像辨識、即時液位、人工智慧等服務。</p> <p>例如智慧倉儲可以辨識儲存區、成品區進出貨數量，無須人工清點，這對於庫存管理大有效益。而智慧地磅則可以自動化辨別車牌並智慧對應車重，省去人工登記，還可以避免疏失與偽造。車牌辨識則讓AI作為管理者的眼睛，幫忙協助辨識車牌。</p> <p>又如目前已發展的光電建築服務，奇雲國際可依照客戶需求提供客製化的智慧綠建築解決方案，具備能源效益、減碳、隔熱與美學等，服務內容則包括智慧儲能、即時監控、微電網管理、安全工程、多款零件等。從能源管理面，光電建築連結智能監控，即可透過手機監控整天的用電比例，並計算電費。</p> <p>2023年，奇雲國際並進一步將場域監控服務延伸到更難以量化管理的廢棄物管理，尤其是和台積電等多家上市櫃公司之合作，將有機會發展廢棄物的清運、處理，與再運用。奇雲國際資深主管直言，儲能管理與廢棄物管理不但和永續議題息息相關，也是更具高難度與高進入障礙的服務內容，可謂奇雲AIoT 3.0服務。<strong>（本文摘錄整理自《綠色金融科技與多元商模創新》第十章，五南圖書出版提供）</strong></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_五南</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E7%B6%A0%E8%89%B2%E9%87%91%E8%9E%8D%E7%A7%91%E6%8A%80-600.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 綠色金融科技與多元商模創新</strong></p> <p>歐素華／著</p> <p>五南圖書出版</p> <p>定價：450元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E7%B6%A0%E8%89%B2%E9%87%91%E8%9E%8D%E7%A7%91%E6%8A%80-250.jpg" style="width: 200px;" /></p> <p><a href="https://www.emba.scu.edu.tw/people/770" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_東吳大學</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>歐素華</strong></p> <p>東吳大學數位貨幣與金融研究中心執行長，國立政治大學科技管理與智慧財產研究所博士。</p> <p>過去曾擔任財經記者，碩士論文為金融監理，博士論文為科學家的跨域研發與團隊管理。主要研究領域為商業模式創新、金融科技、媒體創新、創業管理、行動研究等。學術論文分別獲得2019年「第九屆聯電經營管理論文獎─傑出研究獎與優等獎」、「111年度管理學報論文獎—年度最佳實用價值論文」、2022年「第13屆證券暨期貨金椽獎─研究建言獎佳作獎」、2023年「數位轉型教學個案優良獎」。</p> </div></div></div>
2024/2/8 14:47未署名https://www.ithome.com.tw/article/161238
【資安月報】2024年1月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年1月的資安月報中，最引發我們關注的就是，美國司法部宣布瓦解了由國家級駭客打造的殭屍網路KV Botnet，以及該國針對SOHO設備製造商發布Secure by Design警報，特別的是，這兩個不同層面的新聞事件，其實在某種程度上存在著一定的關聯。</p> <p>事實上，我們在今年1月，也正好報導了上述提到的<a href="https://www.ithome.com.tw/news/160862">Security by Design警報</a>。因為這個警報系列，是美國網路安全暨基礎設施安全局（CISA）去年底才剛剛新推出不久，不同於過去都是聚焦在最新攻擊與軟體漏洞。</p> <p>這樣的轉變，讓我們可以明顯感受到，這個談論許久的「安全設計（Security by Design）」議題，不僅再次浮上檯面，並且成為連國家政府將要積極推動的重要工作項目。</p> <h2><strong>不只破壞中國駭客組織挾持的殭屍網路，同時針對SOHO設備製造商發布Secure by Design警報</strong></h2> <p>首先，我們先來聊聊殭屍網路，這是指攻擊者藉由入侵裝置並連結而成的網路。攻擊者可以控制殭屍網路，執行有組織且有惡意意圖的任務，而且受害者多半不知道自己的裝置被感染，已經成為駭客發動網路攻擊時的幫兇。</p> <p>近年來，已有資安業者示警，指出駭客組織入侵家用路由器來建立自己的物聯網殭屍網路的態勢，是持續升溫。而為了因應這類網路威脅，最近幾年，我們看到美國政府經常與多國執法單位聯手，發起掃蕩殭屍網路的行動。</p> <p>這次美國政府所發起的新一項行動，目標是破壞由中國駭客組織Volt Typhoon所挾持的殭屍網路KV Botnet。</p> <p>這次事件之所以引發更高關注，是因為微軟去年5月發現Volt Typhoon鎖定美國與關島的重大基礎設施攻擊，然後去年12月，資安業者Lumen揭露了殭屍網路KV-botnet，並指出Volt Typhoon會使用該殭屍網路發動攻擊。</p> <p>因此，這次破壞殭屍網路的行動，可說是美方政府對Volt Typhoon的反制，讓對方在未來這一段期間，無法立即利用這個殭屍網路來發動攻擊。</p> <p>綜觀這樣的事件，我們其實是可以看出美國政府是如何應對的，整體上他們是以多管齊下的方式，從不同層面來一起因應。</p> <p>例如，在面對中國駭客組織Volt Typhoon威脅的過程中，一方面，他們重視該國關鍵CI防護的強化，另一方面，他們也破壞了該組織使用的KV-botnet殭屍網路，以緩解對方可能伺機發動的攻勢。</p> <p>這次值得我們一提的是，美國政府在摧毀殭屍網路方面採取了更積極的行動──不只破壞殭屍網路KV Botnet，還要求通知裝置所有者，並且向SOHO裝置製造商發布指引</p> <p>簡單來說，過去我們已經看過美國聯邦調查局（FBI）破壞殭屍的情形，就是接管其控制權，透過遠端方式刪除當中的惡意程式，以及採取額外措施來中斷受駭裝置與殭屍網路的連結。而這次美國FBI所採取的行動，也就是針對美國境內屬百臺遭受KV-botnet控制的私人SOHO路由器而來。</p> <p>但這次，我們更是注意到，美國CISA也在美國司法部公告的同一日，發布了第三則Security by Design警報，而當中的內容，就是針對中國駭客組織Volt Typhoon的惡意網路活動而來，並聚焦於敦促SOHO 路由器製造商要有安全設計的實踐。</p> <p>換言之，為了預防網路設備再次被殭屍網路感染，FBI不只著手聯繫設備供應商，要求這些供應商向受害者提供通知，讓用戶知道他們的裝置曾經發生遭駭一事，以及知道可以有的應對方式。</p> <p>現在，還更進一步對SOHO路由器製造商發布警報，說明供應商的決策能幫助全球減少相關危害，並提供可遵循的原則，要製造商能夠主動消除相關風險，而不是依賴客戶去執行與防範，因為過去經驗證明這並不可行。</p> <p>因此，在給予<a href="https://www.cisa.gov/resources-tools/resources/secure-design-alert-security-design-improvements-soho-device-manufacturers?utm_source=FBI&utm_medium=press_release&utm_campaign=SbD_SOHO">SOHO設備製造商的Secure by Design警報</a>中，我們可以看到一些重點，我們整理如下：</p> <p>●應在SOHO路由器網頁管理介面（WMIs）的產品設計與開發階段，就消除可被攻擊者利用的弱點。</p> <p>●應調整產品預設配置，讓設備可以有自動更新的能力，並將網頁管理介面（WMI）設置在區域網路（LAN）端的連接埠，這意味著可在內部網絡中存取與操作，而不是在外部網路中可見或可存取。同時，需要手動操作才能移除相關安全設定。</p> <p>●做到產品的漏洞修補與揭露，並將這些漏洞做到準確的分類，以免受到Volt Typhoon活動與其他網路威脅的侵害。</p> <p>無論如何，產品要有基於安全的設計、要有預設的安全……，我們早已經看到許多科技大廠強調其重要性，分享這方面工作的推動與落實經驗，但我們更期盼的是，所有的製造商都在進行軟體開發之餘，都能共同重視Security by Design的問題。</p> <p>儘管近年不論歐洲、美國、日本、亞洲等國，都在物聯網資安的立法有新的進展，但我們從美國CISA的推動上來看，他們更是明確指出，資安防護並不只是用戶層面的問題，產品製造商也必須負起責任，對於政府而言，不能單靠法規遵循，迫使廠商解決這個問題，及早建立這樣的意識、落實安全設計，才能有效減少產品資安風險。</p> <h2><strong>這次破壞行動儘管意義重大，但沒有結束，持續打擊中國政府惡意網路行動需要更多投入</strong></h2> <p>另一方面，除了關心SOHO設備製造商的Secure by Design實踐，臺灣民眾應該也要知道的是，對於中國駭客組織Volt Typhoon的威脅，美國FBI也在美國司法部公布這次成果的同日，一連發布了3則新聞。</p> <p>他們的局長Christopher Wray在出席眾議院特別委員會時指出，大眾很少關注中國駭客組織瞄準他們的關鍵基礎設施——包括他們的水處理廠、電網、石油和天然氣管道、運輸系統。但現在，每個美國人都面臨風險，需要他們大家都能去特別注意。</p> <p>這樣的說法，我們認為，即便放在臺灣也很適合，對於我國遭受中國駭客網路攻擊、遭受資訊戰的情形，社會大眾需要更多的關注與認知，例如，多知道我們遭受網路攻擊的現況，多了解事件背後的多方知識，多從邏輯角度去思考，才能減少被似是而非、觀念錯置的手法操弄。</p> <p>另外，Christopher Wray也強調，這次破壞殭屍網路的意義相當重大，原因在於，這次Volt Typhoon的入侵相當隱密，很可能會在美中一旦爆發衝突時，用以摧毀美國水處理廠、電網、石油和天然氣管道、運輸系統等重要資源，並對美國民眾造成直接傷害，又或是在中國入侵臺灣，限制美國援助臺灣的能力。因此，這次破壞行動，對於抵抗中國政府惡意網路攻擊的威脅而言，並非事件的結尾，FBI還需要爭取更多資源、預算，來增加人力，來增強資安上的反應能力，以及加強情報收集與分析能力。</p> <p>這點也令我們相關有所感觸，因為就連FBI局長都在強調，一旦美國關鍵CI遭受嚴重網路攻擊，他們的資安防護做得不好，影響的不只美國民眾，也會影響該國援助臺灣的能力。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/160702"><span style="color: rgb(178, 34, 34);">【資安週報】2024年1月2日到1月5日</span></a></strong></h2> <p>新的一年到來，首要關注的漏洞消息是，去年底有研究人員揭露SSH通訊協定的漏洞問題，可透過Terrapin新手法進行攻擊，但1月3日Shadowserver基金會指出，網路上仍可發現近1,100萬臺的大量伺服器未因應，依然存在CVE-2023-48795漏洞的風險。</p> <p>在新興威脅焦點上，以Google服務cookies可被劫持的後續揭露最受關注，還有勒索軟體Zeppelin2與竊資軟體Meduza的最新動向。<br /> （一）前陣子名為PRISMA的駭客聲稱能夠竊取Google服務相關cookie，引起廣泛關注，如今我們終於看到有資安業者揭露其攻擊手法與原理，指出駭客除了鎖定Chrome瀏覽器中名為token_service的表單，進而取得的GAIA ID/token，另一關鍵，更是鎖定Google文件未提及的MultiLogin端點跨服務同步機制，這個端點是Google OAuth系統的重要環節。這也顯示，攻擊者對於Google內部身分驗證機制，有著更深層的研究與理解。<br /> （二）勒索軟體Zeppelin2傳出被他人破解的消息，近日有駭客在地下論壇散布的原始碼與建置工具，資安界憂心遭更多不肖分子利用。<br /> （三）有駭客在地下社群與Telegram頻道廣為宣傳新版竊資軟體Meduza，由於標榜功能豐富，以及可針對更多應用程式下手，而受到資安業者重視。<br /> （四）關於新型態DLL搜尋順序挾持手法的揭露值得留意，駭客可濫用系統資料夾WinSXS，進而繞過Windows 10及11防護措施，這樣的手法將讓攻擊更加隱密。</p> <p>在上述Google服務cookies劫持的手法揭露之外，我們認為同樣值得關注的是，近期社群平臺X（推特）的企業組織帳號遭不明手法劫持的安全問題，最近報導了兩篇資安新聞，其中一篇是資安業者本身也發生遭盜用的情形。</p> <p>首先是有資安業者CloudSEK揭露，隨著去年底X推出新的驗證帳號方案，但駭客為了假冒企業帳號，目前也正利用各種技術來偽造或盜竊具有金色認證標章；隔沒幾天，資安業者Mandiant發生X帳號遭盜用情形，被利用於假冒加密貨幣錢包供應商Phantom名義的詐騙活動，後續Mandiant表示已取回帳號，並指出已啟用MFA仍遭挾持，目前仍在調查原因。近日資安團體MalwareHunterTeam也指出，發現不少非營利組織、政治人物的X帳號，同樣遭劫持與盜用的情況。</p> <p>在資安事件方面，這星期我們看到國際間發生食品零售業、保險業、外送平臺業者、政府單位與企業受害的狀況。</p> <p>首先要注意的是零售服務業，近日瑞典食品零售供應商Coop遭駭，目前傳出遭勒索軟體駭客組織Cactus攻擊；保險業者也要當心，伊朗發生大規模資料外洩事件，該批資料涉及23家保險業者，駭客這波攻擊竟能一次鎖定如此多家保險業者，相當不尋常；還有外送平臺業者，伊朗Snappfood平臺發生資料外洩，研究人員發現1名SnappFood員工的電腦感染StealC竊資軟體，使得公司帳密外洩與資料遭存取。其他重大事件包括：澳洲法院也傳出遭駭客入侵，造成聽證會錄音恐外流的情形；全錄（Xerox）的美國分公司Xerox Business Solutions（XBS）遭遇網路攻擊，部分個資外洩。</p> <h2><a href="https://www.ithome.com.tw/news/160834"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年1月8日到1月12日</span></strong></a></h2> <p>2024年才剛開始沒多久，已有相當多的漏洞消息需要留意，包括零時差漏洞攻擊、已知漏洞遭鎖定利用，以及漏洞修補等不同面向：</p> <p>（一）這星期又有駭客發動零時差漏洞攻擊。此次被鎖定的目標，是Ivanti的VPN產品Ivanti Connect Secure，以及網路安全存取產品Ivanti Policy Secure，當中2個零時差漏洞已被成功利用，分別是CVE-2024-21887與CVE-2023-46805，有資安業者研判是中國國家支持的駭客組織所為。<br /> （二）我們看到美國CISA公布的新消息指出，有多個去年已知漏洞近期開始發現遭鎖定利用。包括：Adobe ColdFusion的兩個漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-38203">CVE-2023-38203</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-29300">CVE-2023-29300</a>），Apache Superset的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-27524">CVE-2023-27524</a>），蘋果多款產品的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-41990">CVE-2023-41990</a>），Joomla的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-23752">CVE-2023-23752</a>），微軟SharePoint Server的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-29357">CVE-2023-29357</a>），除此之外，還有D-Link DSL-2750B的2016年老舊漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2016-20017">CVE-2016-20017</a>），先前的資安日報尚未提及，在此補上。。<br /> （三）適逢微軟等多家廠商的每月例行安全性更新釋出，需要大家關注相關消息，並且儘快著手修補。例如：微軟本月修補49個安全漏洞，當中有兩個是重大等級。還有其他漏洞修補消息，包括：臺灣NAS廠商威聯通針對QTS等多項產品的修補，思科針對Unity Connection重大漏洞修補，Bosch智慧扳手（氣動扳手）也存在一系列漏洞。<br /> 另外，去年5月Apache基金會雖然修補RocketMQ重大漏洞CVE-2023-33246，但近期有開發團隊的成員指出，這項弱點尚未得到完整修復，後續修補動向需密切關注。</p> <p>在資安威脅態勢上，勒索軟體攻擊仍是關注重點，SMTP走私手法與關鍵基礎與電信受害情形也引起我們的關注，我們整理相關消息如下。<br /> ●勒索軟體Akira的危害在12月增加，引起芬蘭國家網路安全中心（NCSC-FI）示警，不僅針對已知路由器漏洞攻擊，並針對儲存資料的NAS系統下手。<br /> ●微軟SQL Server用戶注意！勒索軟體Mimic正發起鎖定此系統的攻擊行動，對方的目標是曝露於網際網路的SQL Server，其手法包含濫用PowerShell指令碼，並將深度混淆處理的Cobalt Strike酬載注入Windows內建的處理程序SndVol.exe。<br /> ●新型態SMTP走私（SMTP Smuggling）攻擊手法，有人提出具體分析，問題在於SMTP伺服器的進出流程中，處理資料結尾序列不一致，導致攻擊者可能偷渡SMTP命令。<br /> ●在關鍵基礎設施與電信領域方面，相關業者也要留意，包括荷蘭IT業者與電信公司遭滲透的揭露，以及木馬程式AsyncRAT鎖定美國關鍵基礎設施的揭露。其他可留意的惡意程式動向，包括FBot鎖定雲端及SaaS平臺，以及後門程式SpectralBlur鎖定Mac電腦設備。</p> <p>另一個要注意的資安威脅，在於企業社群平臺的帳號安全問題。繼日前資安業者Mandiant的Ｘ帳號被盜用後，遭張貼加密貨幣詐騙活動，如今有更多事件登上新聞版面，甚至美國證券交易委員會的X帳號都遭盜用，被假冒其名義公布宣稱比特幣ETF商品核准上市的消息。隔日，美國SEC才正式宣布，批准11檔比特幣現貨ETF交易。其他被盜的X企業帳號還包括：區塊鏈資安業者CertiK、網路設備業者Netgear、現代汽車中東及非洲的帳號。由於過往多是名人帳號遭駭，但近期事件集中發生在X平臺，並且都是企業組織官方帳號被盜，是否有不尋常的新手法出現，需要持續追蹤。</p> <h2><a href="https://www.ithome.com.tw/news/160940"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年1月15日到1月19日</span></strong></a></h2> <p>這一星期的漏洞利用威脅情形，有兩個新事件需要特別留意，一是Citrix NetScaler設備管理介面存在零時差漏洞，包括CVE-2023-6548、CVE-2023-6549，已被用於攻擊行動；另一是Google修補Chrome的V8 JavaScript引擎的<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-0519">CVE-2024-0519漏洞</a>，同樣已遭成功利用。</p> <p>還有兩個已知漏洞遭利用的狀況，包括：Laravel網頁應用程式框架在2018年修補的已知漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2018-15133">CVE-2018-15133</a>，另一個是這段期間資安日報未報導的漏洞<a href="http://nvd.nist.gov/vuln/detail/CVE-2023-35082">CVE-2023-35082</a>，這個弱點存在行動裝置管理平臺MobileIron Core，以及EPMM。特別的是，關於上述鎖定Laravel的攻擊，我們從美國FBI與CISA近期近期的示警，可以發現是惡意程式Androxgh0st的攻擊行動所為。</p> <p>還有多家業者發布漏洞修補公告，需要企業採取行動，包括Oracle第1季例行安全更新發布，Atlassian修補Confluence的漏洞，GitLab修補零點擊帳號劫持漏洞，以及Juniper修補防火牆及交換器重大漏洞。</p> <p>在國內資安消息方面，近日有多家上市櫃公司發布資安事件重大訊息，而且短短一週之內，居然發生三起的情況，格外引人注目。我們整理如下：</p> <p>（一）上市半導體設備業京鼎精密在1月16日公告，部份資訊系統遭受駭客網路攻擊。</p> <p>（二）上市印刷電路板廠恩德科技在1月17日公告，部份資訊系統遭受駭客網路攻擊。</p> <p>（三）上市運動休閒業者<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=171732&SPOKE_DATE=20240119&COMPANY_ID=8462">柏文健康事業在1月19日公告</a>，說明旗下「健身工廠」會員個資遭駭客竊取。本期資安日報尚未提及，在此補上。</p> <p>值得關注的是，京鼎精密發生2024年首起上市櫃資安事件，而且狀況相當特別，因為駭客的勒索訊息，還藉由竄改京鼎公司的網站於16日上午公諸於外，行徑非常囂張。</p> <p>關於健身工廠會員個資遭竊，他們的公告這方面消息的時機有爭議，因為他們載明的事實發生日是去年7月30日，但竟然等到2024年1月才曝光，這顯然違反「應於資安事件發生次一營業日開盤前2小時公告」，而且拖延幾乎長達半年時間。依照先前資料外洩的公司諾貝兒遭到主管機關開罰的經驗，金管會應同樣會對此祭出處分。</p> <p>另一家同樣在去年11月遭到網路駭客攻擊的雄獅，交通部近期<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=193507&SPOKE_DATE=20240117&COMPANY_ID=2731">依違反個人資料保護法第27條第1項，開罰200萬元</a>。</p> <p>還有一項值得警惕的事件，是KKday前員工跳槽對手Klook所涉的外洩營業機密案，最近調查局資安工作站更詳細說明其手法與事發過程，包括利用未修改的預設密碼、不法登入KKday系統等，並起訴涉案3人。</p> <p>在資安威脅焦點方面，近期鎖定蘋果電腦、Docker主機的惡意軟體，引發研究人員重視。他們的研究對象是3款針對macOS的竊資軟體，包括KeySteal、Atomic Stealer、CherryPie，經過調查分析之後，他們指出這類惡意程式普遍具有繞過作業系統內建XProtect的能力；近期有攻擊者鎖定易受攻擊的Docker主機部署惡意容器，當中使用了網路流量交換軟體9hits盜取流量，相當罕見。</p> <p>最後，還有兩個涉及GPU與UEFI的漏洞揭露，都是去年夏天已經通報、如今分別有資安業者對外揭露相關細節，並指出問題所在。</p> <p>例如，被命名為LeftoverLocals的漏洞CVE-2023-4969，影響蘋果、AMD、高通的GPU產品。研究人員重點提醒，如WebGPU的許多GPU框架，存在著未充分隔離記憶體的狀況；UEFI開源參考實現TianoCore EDK II存在9個漏洞，統稱為PixieFAIL，研究人員並指出，其他廠商的UEFI解決方案也受波及，包括Arm、系微（Insyde）、AMI、Phoenix Technologie與微軟。由於廠商們的修補時程未定，不確定是否修補相當棘手。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/161048"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年1月22日到1月26日</span></strong></a></h2> <p>這一星期的漏洞利用消息，分別是關於蘋果、VMware與Atlassian的三大漏洞。</p> <p>（一）蘋果修補已遭成功利用的零時差漏洞CVE-2024-23222，該漏洞影響iPhone、Mac、iPad 與Apple TV，可能導致任意程式碼執行，這也是蘋果今年修補的第一個零時差漏洞。</p> <p>（二）最近有駭客針對VMware去年10月修補vCenter伺服器的漏洞CVE-2023-34048攻擊。但Mandiant最新研究調查指出，這個漏洞至少從2021年開始就被利用，意味當時已有零時差漏洞攻擊存在，並指出攻擊者是中國駭客組織UNC3886。</p> <p>（三）上週Atlassian才修補DevOps協作平臺Confluence的重大漏洞CVE-2023-22527，現在已經發現遭駭客鎖定利用，有資安研究團隊示警，他們指出發現逾600個IP位址嘗試利用該漏洞發動攻擊。</p> <p>還有其他業者發布漏洞修補公告，也需要企業採取行動，包括持續整合工具Jenkins修補了12個Jenkins主程式及外掛程式漏洞，以及VMware修補雲端基礎架構自動化平臺Aria Automation重大漏洞。</p> <p>在資安事件焦點方面，以微軟、HPE接連向美國證交所（SEC）提交8-K表單通報資安事故，引發外界重視。</p> <p>因為兩家公司陸續公布的資訊顯示，其雲端電子郵件環境遭到俄羅斯駭客組織Midnight Blizzard入侵。目前不確定兩起事件是否有關，而且時間點也不同，微軟是在1月12日發現狀況，調查出駭客約從去年11月下旬開始攻擊；HPE是在去年12月12日收到通知，研判事故與另一起6月獲報的事件有關。</p> <p>另外，還有大型服飾集團VF Corp針對去年12月資安事故，二度向SEC提交文件，補充說明該事故的最新消息。</p> <p>在勒索軟體的威脅態勢上，2024年仍持續傳出有多家企業遇害，影響IT產業、服務業，以及水資源處理業者。例如，芬蘭IT服務與企業雲端代管業者Tietoevry，全球速食連鎖業者Subway，英國水資源處理業者Southern Water，以及水資源處理業者Veolia的北美分公司。</p> <p>還有一項惡意活動情形，我們認為值得特別留意，是關於惡意流量系統的揭露，不僅是過去這類新聞較少，近期更是有兩家資安業者都發布這方面的研究內容。</p> <p>一是駭客使用Parrot TDS植入合法網站的伺服器，將受害者帶往惡意網站，針對這些指令碼進行分析，根據資安廠商的研究人員的分析，可分成4個版本，並發現最新版本的混淆手法更進化，採用不同的陣列索引，可影響特徵碼偵測機制；另一是駭客使用VexTrio控制多個TDS網路，且運作方式都不一樣，資安研究人員認為，這是他們在一個月內首次發現基於DNS的新TDS，並指出攻擊者通常使用「atob()」與「String.fromCharCode()」的 JavaScript，目的是隱藏其程式碼。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/160880">2023年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160289">2023年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158650">2023年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/158096">2023年7月資安月報</a></h3> <h3> </h3> </div></div></div>
2024/2/8 11:30作者羅正漢https://www.ithome.com.tw/news/161237
VS Code現在支援Hey Code語音指令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://code.visualstudio.com/updates/v1_86#_accessibility">更新</a>VS Code釋出1.86版本，這個版本有一個重大的功能更新，是讓開發者可以使用Hey Code語音指令，開始與Copilot Chat進行語音對話。該功能隸屬於VS Code的無障礙功能，開發者只要啟用accessibility.voice.keywordActivation設定，就可以讓VS Code開始監聽Hey Code語音指令以啟動語音對話。語音辨識只在電腦本地端運算，不會發送至任何伺服器，以確保開發者的隱私安全。</p> <p>語音對話提供多種啟用選項，以符合不同的使用情境，其中chatInView選項允許開發者從聊天檢視頁面啟動語音聊天，方便地直接進行對話。而quickChat選項讓開發者可以透過快速聊天控制項，迅速與Copilot開始語音聊天，inlineChat則可以在編譯器的程式碼行內開始語音聊天。</p> <p>開發者希望可以靈活地與Copilot互動，便可以使用chatInContext選項，當開發者的焦點在編輯器中，就會從行內聊天啟動語音，否則會從聊天檢視頁面啟動。這些選項讓開發者根據當前的工作環境和需求，選擇適合的語音對話啟動方式。</p> <p>當VS Code使用麥克風辨識出Hey Code指令時，狀態列的小麥克風圖示便會出現相對應的指示，在語音聊天完成之後，VS Code會回到監聽Hey Code指令的狀態，等待開發者重新開啟另一個對話。</p> <p>開發者要使用這項新功能，需要安裝GitHub Copilot Chat與VS Code Speech擴充套件。GitHub Copilot Chat可在VS Code中，提供對話式人工智慧協助，而VS Code Speech會在VS Code的聊天介面，提供語音轉文字功能，該擴充套件不需要網路連接，語音資料僅會在用戶電腦本地端處理。</p> <p>除了Hey Code語音指令，VS Code還更新自動儲存功能，在1.86中自動儲存功能變得更強大，能夠在檔案中存在錯誤標記時停用自動儲存，避免外部工具對包含錯誤的檔案進行操作。另外，VS Code也可以限制僅儲存工作區檔案。</p> </div></div></div>
2024/2/8 00:24作者李建興https://www.ithome.com.tw/news/161233
Google推localllm命令列工具，支援本機CPU執行大型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google推出了一組稱為<a href="https://cloud.google.com/blog/products/application-development/new-localllm-lets-you-develop-gen-ai-apps-locally-without-gpus">localllm</a>的工具和函式庫，透過與Google雲端全託管開發環境Cloud Workstations的整合，讓開發者可以使用本機端CPU和記憶體執行大型語言模型，藉以消除人工智慧應用程式開發對GPU運算資源的需求。</p> <p>開發使用大型語言模型的應用程式面臨許多挑戰，例如GPU資源稀缺便會對開發造成阻礙，而Google推出了新興解決方案，透過讓開發者在Cloud Workstations中運用本地CPU和記憶體，就足以執行大型語言模型。</p> <p>該新方法是藉由結合量化模型、Cloud Workstations和localllm工具達成。所謂的量化模型，是指經過最佳化，可以在有限運算資源本地裝置執行的人工智慧模型，這些模型的記憶體使用和處理能力更加高效，因此能夠在智慧型手機、筆記型電腦和各種邊緣裝置上運作。由於量化模型經過最佳化，會使用較低精度的資料類型進行計算，相較於使用標準的32位元浮點數，能以相同的運算資源進行更快速的處理。</p> <p>量化技術也有助於減少人工智慧對記憶體的需求，透過降低表示模型權重和啟動（Activation）的位元數，減少整體模型大小，進而適應儲存容量有限的裝置。由於量化模型在精度和模型尺寸更小，因此可以更快地執行運算，實現更快的推理速度。</p> <p>Google釋出的localllm，讓開發者可以透過命令列工具，存取HuggingFace中的量化模型，在不受GPU可用性限制的情況下運用大型語言模型。Google提到，localllm儲存庫提供了完整的框架和工具，讓開發者在Cloud Workstation上直接於本地執行大型語言模型，甚至是在任何具有足夠CPU資源的機器上執行大型語言模型。</p> <p>因此開發者可以將大型語言模型整合到應用程式開發工作流程中，而不影響效能或生產力，而且透過localllm，開發者可以直接在Google雲端生態系中使用大型語言模型，這種整合簡化了開發流程，降低開發對遠端伺服器和外部服務的依賴程度。由於大幅降低對GPU運算資源的需求，也就最佳化資源利用率，進而降低了開發成本。</p> <p>在本地端的CPU和記憶體上執行大型語言模型，也就代表開發者可以更完全地掌握敏感資料，localllm讓開發者降低資料傳輸還有第三方存取相關的風險，進而強化資料的安全性與隱私性。</p> </div></div></div>
2024/2/8 00:34作者李建興https://www.ithome.com.tw/news/161235
Linux基金會宣布成立聯盟促進後量子密碼學發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會推出<a href="https://www.linuxfoundation.org/press/announcing-the-post-quantum-cryptography-alliance-pqca">後量子密碼學聯盟（Post-Quantum Cryptography Alliance，PQCA）</a>，目的是要推動後量子密碼學的進步，希望可以透過生產標準化演算法，解決軟體實作解決量子運算所帶來的加密安全挑戰。聯盟初始會員包括AWS、Google、IBM與Nvidia等11個組織。</p> <p>後量子密碼學是一種針對量子電腦的潛在能力，所開發的加密技術，其主要目標是要在未來量子電腦成為實際威脅時，能夠保護資訊安全免受侵害。針對未來的安全挑戰，包括量子計算所帶來的威脅，美國國家安全局推薦一系列加密標準和指南，稱為商業國家安全演算法套件2.0（CNSA 2.0）。</p> <p>而後量子密碼學聯盟的目標是成為組織和開源專案，所需生產就緒函式庫和軟體套件的中樞，使其應用能夠符合CNSA 2.0的資安建議。該聯盟將從事各種技術專案，包括開發軟體以評估、設計和部署新的後量子演算法，透過提供軟體實作促進後量子密碼學在產業中的實際應用。</p> <p>這些工作會基於許多聯盟創始會員，長年在後量子密碼學所奠定的基礎，啟動專案之一是開放量子安全專案（Open Quantum Safe），該專案在2014年於滑鐵盧大學中成立，是目前致力於後量子密碼學開源軟體的專案。後量子密碼學聯盟也會創建新的程式碼套件專案，建立高品質生產就緒軟體實作，支援即將推出諸如ML-KEM演算法等後量子密碼學標準。</p> </div></div></div>
2024/2/8 00:44作者李建興https://www.ithome.com.tw/news/161236
【資安日報】2月7日，求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了竊取大量使用者資料，不少攻擊行動鎖定電商網站而來，甚至發展出側錄使用者信用卡的手法Magecart，但現在，也有專門針對提供其他服務的網站而來的情況。</p> <p>最近資安業者Group-IB揭露的ResumeLooters攻擊行動，就是針對求職網站而來，駭客的主要目標是亞太地區，其中，又以印度和臺灣的災情最嚴重。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.group-ib.com/blog/resumelooters/"><strong style="font-size: 22px;">駭客組織ResumeLooters利用SQL注入、XSS攻擊求職網站，竊取逾200萬人個資</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/resumelooters-distribution.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/resumelooters-distribution.png" style="width: 300px; float: right;" /></a>資安業者Group-IB去年11月發現專門針對亞太地區的求職網站及零售業者的大規模網站攻擊，駭客組織ResumeLooters自2023年初開始，透過SQL注入攻擊的方式，企圖竊取網站上的使用者資料庫，當中不只包含姓名、電話號碼、電子郵件信箱、生日，還有工作經歷及其他敏感資料，而在部分攻擊行動裡，駭客則對求職網站進行跨網站指令碼（XSS）攻擊，從而在這些網站植入網路釣魚表單。</p> <p>研究人員在去年11月、12月，總共發現有65個網站遭到攻擊，大部分位於亞太地區國家，其中又以印度、臺灣、泰國的網站最多，但巴西、美國、土耳其、俄羅斯也有網站受害。根據他們的統計，總共遭竊的個資達到2,188,444筆，其中510,259筆已確認是從求職網站流出。而對於駭客攻擊這些網站的過程，研究人員指出採用了不少現成工具，像是資料庫滲透測試工具SQLmap，網站漏洞掃描工具Acunetix、Beef Framework、X-Ray，以及滲透測試工具Metasploit。</p> <p>而對於這些駭客的來歷，研究人員表示並不清楚，但指出駭客使用中文名稱的Telegram帳號，且於使用中文的群組兜售資料，攻擊過程也有部分工具使用中文版本，因此，這些駭客很有可能來自中國。</p> <p><a href="https://www.ncsc.nl/documenten/publicaties/2024/februari/6/mivd-aivd-advisory-coathanger-tlp-clear"><strong style="font-size: 22px;">荷蘭軍事網路遭中國駭客入侵，利用Fortinet防火牆漏洞植入木馬程式</strong></a></p> <p></p> <p>荷蘭軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）發布聯合公告指出，該國國防部去年遭到中國網路間諜入侵，並植入後門程式。而對於這起事故的受害規模，他們評估少於50個使用者受害，主要目標非機密專案的研發團隊，以及2個與之合作的第三方研究機構，他們認為，這起攻擊行動不光針對荷蘭，與他們結盟的國家也是目標。</p> <p>MIVD與AIVD指出，他們在受害組織的網路環境當中，發現駭客利用Fortinet設備SSL VPN漏洞CVE-2022-42475（CVSS風險評分為9.8），對FortiGate防火牆設備植入RAT木馬Coathanger，此惡意程式透過攔截系統呼叫的方式來隱匿行跡，值得留意的是，即使IT人員將防火牆重開機或是更新韌體，該惡意程式仍會持續運作。</p> <p><a href="https://therecord.media/iran-linked-hackers-claim-attack-on-albania-census-org"><strong style="font-size: 22px;">阿爾巴尼亞研究所傳出遭到網路攻擊，部分系統受到影響，疑為伊朗駭客所為</strong></a></p> <p></p> <p>1月31日阿爾巴尼亞統計研究所（INSTAT）傳出遭到網路攻擊，該研究機構確認部分系統受到影響，但強調去年人口普查的資料並非本次事故的攻擊目標，他們的技術團隊隨即啟動緊急應變措施，來保護相關資料，並防止損害進一步擴大。阿爾巴尼亞網路機構AKCESK與該國警方聯手，協助INSTAT復原受影響的系統。</p> <p>而對於攻擊者的身分，自稱是Homeland Justice的伊朗駭客組織聲稱是他們所為，並上傳影片做為證據，表明已偷到100 TB內部資料，但並未公布部分檔案，外界無法確認其真實性。</p> <p>資料來源</p> <p>1. <a href="https://www.facebook.com/institutistatistikave/posts/pfbid02aMQi8UxE6sYD2HE6viCfU1BXEpxnpEPfUNrvQFpykErGAFWt1fFoiYZxnDBLQqv4l">https://www.facebook.com/institutistatistikave/posts/pfbid02aMQi8UxE6sYD2HE6viCfU1BXEpxnpEPfUNrvQFpykErGAFWt1fFoiYZxnDBLQqv4l</a><br /> 2. <a href="https://cesk.gov.al/deklarate-zyrtare-5/">https://cesk.gov.al/deklarate-zyrtare-5/</a><br /> 3. <a href="https://t.me/justice_homeland/451">https://t.me/justice_homeland/451</a></p> <p><a href="https://cert.gov.ua/article/6277422"><strong style="font-size: 22px;">2千臺烏克蘭電腦遭到惡意軟體PurpleFox攻擊</strong></a></p> <p></p> <p>1月31日烏克蘭電腦緊急應變小組（CERT-UA）指出，當地一家國營企業遭遇駭客組織UAC-0027攻擊，駭客對其電腦植入名為PurpleFox的惡意程式（亦稱DirtyMoe），至少有2千臺電腦受到感染。</p> <p>CERT-UA指出，此惡意程式通常會在使用者執行MSI安裝程式的過程進行感染，並能夠藉由已知漏洞或是暴力破解等方式，進行橫向感染，而且，該惡意程式具有Rootkit元件，導致受害者難以清除。</p> <p>他們從1月20日至31日對受害電腦進行監控，結果找到了486個C2伺服器的IP位址，大部分位於中國。</p> <p><a href="https://www.securonix.com/blog/security-advisory-steadyursa-attack-campaign-targets-ukraine-military/"><strong style="font-size: 22px;">俄羅斯駭客組織Shuckworm攻擊烏克蘭軍方，利用PowerShell後門程式進行滲透</strong></a></p> <p></p> <p>資安業者Securonix揭露鎖定烏克蘭軍事人員而來的網釣攻擊行動Steady#URSA，俄羅斯駭客組織Shuckworm疑似透過釣魚郵件，挾帶內含Windows捷徑檔案（LNK）的壓縮檔，為引誘收信人點選，這些捷徑檔的名稱都與烏克蘭城市或是軍事用語有關，而且，圖示被設置成與影片檔案相同的內容。一旦收信人開啟LNK檔案，電腦就會透過隱藏視窗及命令列執行PowerShell，最終電腦就會被植入PowerShell後門程式Subtle-Paws。</p> <p>此後門程式可從C2接收攻擊者的命令並執行，並能在所有磁碟建立LNK執行惡意機碼，從而透過外接裝置進行橫向移動。研究人員指出，由於烏克蘭軍方許多系統都是設置於隔離網路（Air-gapped），而在這起行動當中，他們看到攻擊者完全都是透過USB裝置，在不同系統之間散布惡意程式，因而得逞。</p> <p><a href="https://gur.gov.ua/content/znyshchyly-vorozhu-planietu-detali-kiberataky-proty-tsentru-kosmichnoi-hidrometeorolohii-rf.html"><strong style="font-size: 22px;">俄羅斯太空氣象研究中心遭到烏克蘭駭客攻擊，破壞2 PB資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/20240124-01-03.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/20240124-01-03.jpeg" style="width: 300px; float: right;" /></a>1月24日烏克蘭國防部情報總局表示，駭客組織BO Team入侵俄羅斯天文研究機構太空氣象遠東科學研究中心（Far Eastern Scientific Research Center of Space Hydrometeorology），並對其中的大型資料庫Planet下手，從280臺伺服器抹除2 PB資料，預估至少損失1千萬美元。</p> <p>駭客破壞的檔案涵蓋氣象及衛星資料，廣泛提供俄羅斯國防部、航太局等多個部門使用，烏克蘭國防部情報總局指出，除了資料儲存設備、伺服器、工作站電腦，資料中心的空調系統、緊急電源供應系統也遭到癱瘓。但究竟駭客如何破壞資料，該單位並未說明。</p> <p><a href="https://www.txone.com/news/txone-networks-published-annual-report-2023/"><strong style="font-size: 22px;">勒索軟體是工業控制系統與操作科技環境的頭號威脅</strong></a></p> <p></p> <p>資安業者TXOne Networks與市場調查公司Frost & Sullivan聯手，針對操作科技（OT）與工業控制系統（ICS）的網路安全態勢進行調查，指出勒索軟體是這些網路環境當中最為嚴重的威脅。</p> <p>他們針對2023年186起發生於美國、德國、阿拉伯聯合大公國（UAE）、日本的OT資安事故進行分析，結果發現有近半數（47%）與勒索軟體攻擊有關，其次則是漏洞攻擊和惡意軟體感染，分別有38%、37%，值得留意的是，這些事故當中，有超過三分之一（35%）也與人為不慎的操作錯誤有關。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/new-windows-event-log-zero-day-flaw-gets-unofficial-patches/"><strong style="font-size: 22px;">零時差漏洞EventLogCrasher影響所有版本Windows</strong></a></p> <p></p> <p>研究人員Florian向微軟通報名為EventLogCrasher的漏洞，該漏洞存在於Windows作業系統的事件檢視器（EventLog）服務，一旦攻擊者發送惡意的UNICODE_STRING物件，並透過遠端程序呼叫（RPC）型態的事件檢視器通訊協定傳送至名為ElfrRegisterEventSourceW的方法，就有機會造成相關元件當掉，影響所有版本Windows工作站及伺服器作業系統，1月23日研究人員發布概念性驗證（PoC）攻擊影片。值得留意的是，研究人員指出，微軟獲報後認為該弱點與2022年另一個漏洞重複，因此不予處理。</p> <p>對此，提供漏洞微修補的資安業者0patch也對此漏洞的影響進一步說明，表示一旦攻擊者取得了低權限，讓事件檢視器當機3次，此項服務就可能完全停止，而使得資安資訊及事件管理系統（SIEM）、入侵偵測系統（IDS）直接受到影響，無法截取事件記錄進行分析，而使得攻擊者有時間能執行進一步的攻擊，例如暴力破解、執行whoami，或是利用遠端服務的弱點等，0patch針對Windows 7及Windows Server 2008 R2以上的作業系統，提供該漏洞的微修補程式。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/floesen_/status/1749809453367779758">https://twitter.com/floesen_/status/1749809453367779758</a><br /> 2. <a href="https://blog.0patch.com/2024/01/the-eventlogcrasher-0day-for-remotely.html">https://blog.0patch.com/2024/01/the-eventlogcrasher-0day-for-remotely.html</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/exploit-released-for-android-local-elevation-flaw-impacting-7-oems/"><strong style="font-size: 22px;">研究人員公布安卓本地權限提升漏洞的概念性驗證程式，影響至少7個廠牌行動裝置</strong></a></p> <p></p> <p>Meta紅隊演練團隊Red Team X於9月向Google通報CVE-2023-45779，這項漏洞存在於安卓作業系統開源專案（AOSP）的Apex模組，起因是使用了測試金鑰進行不安全的簽署，從而讓攻擊者有機會推送惡意更新，並進行權限提升。</p> <p>Apex模組的主要功能，是讓OEM廠商能夠推送特定系統元件更新，而無須發布完整的OTA檔案，照理來說，這些廠商必須使用自己的私鑰簽章，但在安卓的原始碼裡，卻是使用相同的公鑰來進行，這代表任何人都能藉由這種管道推送更新。研究人員確認華碩Zenfone 9、微軟Surface Duo 2、Nokia G50、Nothing Phone 2、Vivo X90 Pro、聯想Tab M10 Plus、Fairphone 5存在上述漏洞，三星Galaxy S23、Google Pixel、小米Redmi Note 12、Sony Xperia 1 V等多款手機不受影響。</p> <p>對此，Google於12月發布修補程式，並打算在下一個大改版Android 15更進一步處理這項弱點。</p> <p>資料來源</p> <p>1. <a href="https://rtx.meta.security/exploitation/2024/01/30/Android-vendors-APEX-test-keys.html">https://rtx.meta.security/exploitation/2024/01/30/Android-vendors-APEX-test-keys.html</a><br /> 2. <a href="https://source.android.com/docs/security/bulletin/2023-12-01">https://source.android.com/docs/security/bulletin/2023-12-01</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180109&SPOKE_DATE=20240205&COMPANY_ID=4721"><strong><span style="font-size: 20px;">化學材料廠美琪瑪部分資訊系統遭網路攻擊</span></strong></a></p> <p></p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=170130&SPOKE_DATE=20240205&COMPANY_ID=2736"><strong><span style="font-size: 20px;">旅館業者富野傳出分公司資訊系統遭網路攻擊</span></strong></a></p> <p></p> <p><a href="https://apps.web.maine.gov/online/aeviewer/ME/40/65b9290a-b22e-4ae7-93e7-5acb84357297.shtml"><strong><span style="font-size: 20px;">針對去年發生的資料外洩事故，電信業者Verizon證實6.3萬名員工個資流出</span></strong></a></p> <p></p> <p><strong><a href="https://blog.google/threat-analysis-group/commercial-surveillance-vendors-google-tag-report/"><span style="font-size: 20px;">Google指控2023年8成零時差漏洞遭商業間諜軟體供應商濫用</span></a></strong></p> <p></p> <p><strong><a href="https://source.android.com/docs/security/bulletin/2024-02-01"><span style="font-size: 20px;">Google發布2月份安卓例行更新，修補46個漏洞</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161212"><strong>【2月6日】駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161188"><strong>【2月5日】知名遠端桌面連線軟體AnyDesk證實伺服器遭駭並撤換程式碼簽章</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161155"><strong>【2月2日】美國下令聯邦機構限時切斷Ivanti Connect Secure與內部網路環境之間的連線並著手清查</strong></a></p> </div></div></div>
2024/2/7 16:35作者周峻佑https://www.ithome.com.tw/news/161232
Google發布《Buying Spying》報告，公開商業間諜軟體產業的運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在<a href="https://www.ithome.com.tw/news/161203" target="_blank">美國宣布</a>將針對散布間諜軟體的個人進行簽證限制的隔天，Google出版了長達30項的<a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/documents/Buying_Spying_-_Insights_into_Commercial_Surveillance_Vendors_-_TAG_report.pdf" target="_blank">《Buying Spying》報告</a>，公開商業間諜軟體產業的運作。</p> <p>Google威脅分析小組（Threat Analysis Group，TAG）長期以來追蹤全球約40家商業監控供應商（Commercial Surveillance Vendors，CSV），這些供應商負責提供付費服務及工具，整合了用來繞過各種安全機制的攻擊鏈，同時供應間諜軟體及必要的基礎設施，以蒐集目標對象的資料。</p> <p>這些CSV的主要客戶為各國政府，攻擊對象則涵蓋記者、人權捍衛者、異議份子與政治對手，它們之所以引起Google TAG的注意，最大因素可能來自於CSV所利用的零時差漏洞，有一半是針對Google產品與Android系統。</p> <p>根據TAG的統計，自2014年以來，在波及Google產品的72個零時差漏洞中，有35個源自於各家CSV，而且這是個保守估計，TAG相信這些CSV所利用的零時差漏洞一定更多，只是尚未被發現。</p> <p>TAG指出，倘若各國政府曾經獨占了最尖端的技術，那麼那個時代已然結束，因為TAG現在所發現的最先進的攻擊工具中，絕大多數都是來自於這些私人的商業監控供應商，光是在2023年所發現的25個已遭攻擊的零時差漏洞，便有20個源自CSV。</p> <p>與尋常的軟體產業一樣，CSV採用了不同的方法於間諜軟體市場中保持競爭力，它們建立關係以向政府客戶提供間諜軟體，並藉由專業性、協作或收購來提供有競爭力的產品。</p> <p>TAG於報告中描述了Cy4Gate與RCS Lab、Intellexa、Negg Group、NSO Group及Variston等CSV業者的操作手法，包括它們如何宣傳與交付自家的間諜軟體產品，報告中也採訪了曾受到攻擊的受害者。</p> <p>其中，2014年於義大利創立的Cy4Gate開發了鎖定Android與iOS平臺的Epeius間諜軟體，使用至少3個Android零時差漏洞，並在2022年收購了同樣位於義大利的RCS Lab，成立於1993年的RCS Lab宣稱可提供高度可靠的電子監控解決方案，並開發與銷售名為Hermit的間諜軟體。儘管已合併，但Cy4Gate與RCS Lab仍保持獨立運作，以各自的產品替不同的客群提供服務。</p> <p>最後，Google則呼籲，只要各國政府擁有購買商業監控技術的需求，該產業便會持續茁壯，繼續開發及銷售間諜軟體，而現在應該是政府、產業及民間社會共同改變其結構的時候了，以免相關技術進一步地蔓延。</p> </div></div></div>
2024/2/7 15:43作者陳曉莉https://www.ithome.com.tw/news/161228
Mozilla推出可移除使用者外洩個資的Mozilla Monitor Plus訂閱服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/en/mozilla/introducing-mozilla-monitor-plus-a-new-tool-to-automatically-remove-your-personal-information-from-data-broker-sites/" target="_blank">Mozilla本周發表了全新的訂閱服務Mozilla Monitor Plus</a>，得以協助使用者自資料掮客的網站上移除個人資料，每月訂閱費用為9.99美元，年費則是107.88美元。</p> <p>Mozilla Monitor Plus的前身為2018年推出的Firefox Monitor，當時是與Have I Been Pwned合作，在使用者輸入自己的電子郵件位址時，就可顯示自己的資料曾因哪些服務被入侵而外洩，迄今已有超過1,000萬名使用者註冊該服務。而Mozilla Monitor Plus則會偵測使用者的資料是否出現在逾190家的資料掮客網站上，並自動協助使用者提出請求，要求這些網站移除使用者個資。</p> <p>Mozilla提供了一次性的Mozilla Monitor Plus免費服務，允許使用者偵測自己的個資出現在哪些掮客網站上，並請求它們將之移除，但使用該服務必須輸入姓名、所居住的城市及州別、生日及電子郵件。Mozilla解釋，這些資訊是用來進行精確搜尋的必要資訊，相關資訊將受到Mozilla隱私政策的保護。</p> <p>此外，該服務還能檢視高風險資訊是否已外洩，涵蓋社會安全碼、信用卡資訊、銀行帳戶及PIN碼等，並提供修復及解決建議。</p> <p>若實際訂閱了Mozilla Monitor Plus，該服務便會每月定期替使用者掃描個資是否出現在這些掮客網站上，協助將它們刪除，同時通知使用者。</p> <p>Mozilla Monitor Plus為Mozilla所推出的第三項付費訂閱服務，先前曾推出月費為9.99美元、年費為59.88美元的Mozilla VPN服務，以及可隱藏真實電子郵件信箱的Firefox Relay服務，月費為0.99美元。</p> </div></div></div>
2024/2/7 16:08作者陳曉莉https://www.ithome.com.tw/news/161231
歷經數年開發的jQuery 4.0 Beta版本釋出，具多項重大更新並逐步停止支援IE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>輕巧、快速且功能豐富的JavaScript函式庫jQuery，在2016年發布3.0正式版之後，終於在2024年迎來<a href="https://blog.jquery.com/2024/02/06/jquery-4-0-0-beta/">jQuery 4.0.0 Beta版本</a>。經過了這麼多年的開發，jQuery 4.0.0有許多重大更改，包括取消IE 10以前的支援，並且刪除已棄用的API，以及放棄支援一些過於複雜行為。同時，還新增支援可信類別（Trusted Type），強化安全性防禦跨站腳本（XSS）攻擊。</p> <p>jQuery 4.0不再支援IE 10以及更早版本，官方解釋，他們計畫分階段取消支援，會在jQuery 5.0進一步取消對IE 11的支援。目前官方先刪除專門支援IE 11之前版本的程式碼，而這樣的修剪也減少867 gzip位元組大小，進一步加快終端用戶載入頁面的時間。jQuery同時也放棄支援其他老舊的瀏覽器，包括Edge Legacy、iOS <11、Firefox <65和Android瀏覽器，如果開發者仍需要支援這些瀏覽器，就必須繼續使用jQuery 3.x版本。</p> <p>許多函式已經在之前版本中被棄用，而在jQuery 4.0這個主要版本，官方也一併進行清理，官方指出，jQuery 4.0刪除的函式多是內部函式，或是已經在瀏覽器中具有原生等效功能的函式，諸如jQuery.trim()、jQuery.isArray()與jQuery.isFunction()等13個。</p> <p>jQuery開發團隊還進行了一項重要變更，便是移除了push、sort和splice方法。jQuery原型（Prototype）擁有與其他jQuery函式不同行為的陣列方法，並且始終僅供內部使用，jQuery開發團隊現在決定不再透過jQuery原型來使用這些方法，而是直接使用陣列函式。這樣的變更讓jQuery更符合現代JavaScript標準和最佳實踐，也讓函式庫本身更加精簡。</p> <p>而jQuery 4.0在處理焦點事件的順序也有變化，這些焦點事件分別為focusin、focusout、focus和blur。這些焦點事件長期在各瀏覽器中執行順序不一致，直到最近各瀏覽器終於在事件順序上取得共識，但是這個順序與jQuery過去所選擇的順序不同，現在jQuery 4.0不再覆蓋瀏覽器原生行為，除了IE之外，所有瀏覽器都會遵循當前W3C規範，順序為blur、focusout、focus和focusin。</p> <p>jQuery.ajax新增對二進位資料FormData的支援。過去二進位資料並不被視為已知的資料類型，而會被轉換成字串，這種行為需要停用資料轉換並以手動處理，不過，現在開發團隊決定讓這個過程自動化。加入對FormData的支援，代表開發者可以在使用jQuery.ajax進行網路請求時，直接傳送表單資料和其他二進位檔案，不需要進行額外的處理和轉換。這項變更在技術上是一個重大變化，官方認為，此行為更接近開發者預期。</p> <p>jQuery 4.0加入了對可信類別的支援，而這是一個重要的安全性強化功能。可信類別為一項網頁安全標準，透過限制網站可以執行的腳本防止跨站腳本攻擊，在支援可信類別的瀏覽器中，開發者可以自訂一組可信類別，並將不可信的輸入轉換為可信類別確保網站安全性。</p> <p>另外，jQuery 4.0還改進對內容安全政策（CSP）的支援。雖然一些AJAX請求已經透過使用<script>標籤維護諸如跨網域等屬性，但jQuery 4.0現在更傾向在大多數非同步腳本請求中使用<script>標籤，避免因為使用行內腳本（Inline Scripts）而導致CSP錯誤。</p> <p>從jQuery 3.0或更高版本升級到jQuery 4.0預期不會有相容性問題，開發者也可以使用官方發布的jQuery Migrate外掛工具，辨識程式碼相容性問題。jQuery 4.0更新了精簡版本（Slim Build），藉由移除非同步程式開發機制Deferreds和回呼列表管理功能Callbacks，使體積現在小於20 KB。</p> </div></div></div>
2024/2/7 16:15作者李建興https://www.ithome.com.tw/news/161229
Meta企圖建立辨識AI內容的產業標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2024/02/labeling-ai-generated-images-on-facebook-instagram-and-threads/" target="_blank">Meta本周揭露</a>，正在與合作夥伴共同開發用來辨識AI內容的通用技術標準，包括目前較為普及的AI圖像辨識標準，以及相較之下較不普遍的AI影片及AI音訊辨識標準，以期在遭到大規模濫用之前先行一步保護使用者。Meta計畫未來幾個月就會基於相關標準，於臉書、Instagram及Threads上標註由AI生成的圖像。</p> <p>其實Meta已針對自家Meta AI功能所生成的圖像，提供Imagined with AI標籤以供使用者辨識，但此一標籤僅限於來自Meta AI的圖像，無法擴及其它工具或平臺所生成的AI作品。於是Meta著手與Partnership on AI（PAI）等論壇合作，共同發展C2PA及IPTC等各種標準，以用來辨識來自Google、OpenAI、微軟、Adobe、Midjourney與Shutterstock等採用不同技術的AI圖像。</p> <p>根據Meta的說明，來自Meta AI的生成式圖像具備兩種AI標記，一種是直接呈現於圖像上的可見標記，另一種則是出現在圖像檔案中的元資料與不可見的浮水印，當中，不可見標記的作法剛好與PAI的最佳實作一致。</p> <p>於是Meta開始與PAI及其它合作夥伴共同建置各種工具，以用來大規模辨識這些隱藏於AI作品中的不可見標記，因為上述的Google、OpenAI與微軟等業者，也都在以它們工具所建置的AI圖像中加入了元資料。</p> <p>只不過，現階段業者才開始將標記功能加到圖像生成器中，尚未擴及影片與音訊生成器，使得Meta決定推出暫時性功能，讓使用者在分享AI生成影片及音訊的內容時自行揭露，以便Meta將它們加上AI標籤。倘若使用者不從，那麼Meta可能會施以罰則，此外，Meta亦打算針對那些可能帶來重大影響的AI內容上嵌入更明顯的標籤以示警告。</p> <p>Meta指出，這可能是目前最先進的作法，只是還未能延伸至所有由AI生成的內容，而且人們還有許多可移除不可見標記的方法，使得該公司決定多管齊下，包括開發可自動偵測缺乏不可見標記之AI內容的分類器，或是尋找讓人們更難移除或變更不可見浮水印的方法，以及打造一個名為Stable Signature的技術，可直接將浮水印功能整合到某些影像生成器的生成程序中，非常適用於開源模型。</p> <p>Meta認為，AI既是劍也是盾牌，除了不肖份子利用它來創造虛假內容以欺騙使用者之外，該公司使用AI系統來偵測平臺上的仇恨言論及其它有害內容，將仇恨言論的普及率調降至0.01-0.02%，等同於使用者每1萬次的瀏覽，只會看到一、兩個內容含有仇恨言論。</p> <p>未來幾個月，使用者在臉書、Instagram或Threads上所看的AI生成圖像，不管它們是採用何種技術所生成，只要可被基於標準的指標所偵測到，都會出現標籤。</p> </div></div></div>
2024/2/7 13:29作者陳曉莉https://www.ithome.com.tw/news/161227
強調開放社交網路的BlueSky正式開放使用者下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Twitter共同創辦人Jack Dorsey重新建立的微型部落格BlueSky，在經歷了近一年的<a href="https://www.ithome.com.tw/news/155714" target="_blank">邀請測試</a>之後，本周二（2/6）<a href="https://bsky.social/about/blog/02-06-2024-join-bluesky" target="_blank">正式開放所有使用者下載</a>。</p> <p>BlueSky在介面上與Twitter非常類似，同時採用類似Twitter的藍色商標，只不過Twitter的商標是一隻藍鳥，而BlueSky則是一隻藍色蝴蝶。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0207-bluesky%20UI.png" style="width: 600px;" /></p> <p>然而，強調開放的BlueSky底層架構與Twitter截然不同。它採用自行開發的聯邦宇宙（Fediverse）協定AT Protocol，可連結其它基於Fediverse的社交平臺，且使用者的個人檔案與貼文都是可攜的。</p> <p>此外，它具備客製化的動態主題，使用者可自行選擇想看到的貼文種類，從新聞、文化、藝術、動物到政治等；除了根據社群守則所制定的審核標準之外，使用者亦可自行增添審核機制，過濾那些不想觸及的內容。BlueSky亦計畫在未來幾周推出標籤服務，推動第三方組織建立特定的審核機制以供用戶使用，例如由事實查核組織針對各種傳聞所建立的標籤。</p> <p>值得注意的是，由於AT Protocol的設計基礎在於公開交流，因此使用者所有的貼文、按讚或封鎖都是公開的，在BlueSky上並無私有資料，但亦允許使用者刪除所張貼的文章或照片。</p> <p>在邀請測試期間，BlueSky已吸引全球逾300萬名使用者加入，本周全面開放的BlueSky同時支援Android、iOS及桌面平臺。</p> </div></div></div>
2024/2/7 12:18作者陳曉莉https://www.ithome.com.tw/news/161226
微軟開始預覽Windows 11裝置運用NPU加速機器學習模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/directx/introducing-neural-processor-unit-npu-support-in-directml-developer-preview/">發布</a>DirectML 1.13.1和ONNX Runtime 1.17，展開DirectML對神經處理單元（NPU）的開發者預覽支援。這個開發者預覽支援一部分模型，使得這些模型可以在搭載Intel Core Ultra處理器和AI Boost功能的Windows 11裝置上運作。</p> <p>DirectML是一種低階API，替硬體供應商提供通用抽象層，供應用程式存取其機器學習加速器，適用於所有DirectX 12相容裝置，包括GPU與NPU。而NPU是一種專為機器學習工作負載設計的處理單元，適合用於計算密集、不需要圖型介面互動的工作負載。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Thomas_Hannaford_0-1706743576738%20(1).png" style="width: 228px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／英特爾</span></span></p> <p>這個預覽版本是微軟與三星合作開發而成，<a href="https://community.intel.com/t5/Blogs/Tech-Innovation/Artificial-Intelligence-AI/Scaling-AI-in-Samsung-PCs-with-Intel-AI-Boost-and-Microsoft/post/1565905">三星筆電</a>採用Intel Core Ultra處理器和AI Boost技術，以及Windows DirectML API來加速人工智慧工作負載。透過利用NPU來加速部分機器學習模型的運算，使得應用程式可以更快地處理人工智慧任務，諸如語音辨識和圖像處理等。</p> <p>目前DirectML對NPU支援，僅適用於搭載Intel Core Ultra處理器的裝置，執行特定經最佳化的機器學習模型，部分模型可能完全無法執行，或是存在高延遲、低準確度的問題。而功能正常但沒有被選入這個預覽版本的模型，可能存在一些可靠性和穩定性問題。微軟正持續擴大支援範圍。</p> </div></div></div>
2024/2/7 10:44作者李建興https://www.ithome.com.tw/news/161223
Google開發可在裝置上順暢執行的文字轉圖像模型MobileDiffusion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開發了可以在行動裝置上，以次秒（Subsecond）速度執行文字轉圖像的模型<a href="https://blog.research.google/2024/01/mobilediffusion-rapid-text-to-image.html">MobileDiffusion</a>。MobileDiffusion是一種高效的擴散模型，在iOS和Android高階裝置上，能在半秒內生成512x512的高品質圖像。MobileDiffusion相較於其他圖像生成模型小上許多，只有5.2億參數特別適用於行動應用部署。</p> <p>當前文字轉圖像擴散模型越來越成熟，使用者只要輸入文字提示，模型就可生成高品質圖像，但是先進的模型動輒擁有數十億個參數，因此執行成本也非常高昂，需要強大的桌面電腦或是伺服器才能快速運算。</p> <p>研究人員指出，造成文字轉圖像擴散模型效能低落的主要原因有兩個，第一是擴散模型固有設計需要迭代去噪生成圖像，而這需要對模型進行多次評估，第二則是文字轉圖像擴散模型網路架構的高複雜性，通常具有數十億參數導致運算成本高昂。</p> <p>由於這些效能上的障礙，儘管在行動裝置上執行生成式人工智慧模型，具有強化用戶體驗、高隱私性的好處，但目前研究仍相對較少。當然還是有一些提升文字轉圖像擴散模型效率的研究，像是透過數值求解器或是蒸餾技術，減少模型的功能評估數量（Number of Function Evaluations，NFE），希望藉由降低評估所帶來的運算負擔。但即便如此，由於模型架構仍然非常複雜，在行動裝置上即便是少量的評估步驟，仍然可能執行地很慢。</p> <p>MobileDiffusion則是研究人員試圖突破行動裝置有限運算能力的限制，藉由仔細檢視Stable Diffusion中UNet架構每個組成部分和計算操作，設計出高效文字轉圖像擴散模型。MobileDiffusion遵循潛在擴散模型的設計，具有文字編碼器、擴散UNet和圖像解碼器，研究人員使用適用於行動裝置的小模型CLIP-ViT/L14，作為MobileDiffusion文字編碼器，並將改進效率的重點，擺在擴散UNet和圖像解碼器上。</p> <p>擴散UNet是一種深度學習模型架構，用於生成或是轉換圖像，本身是一種特殊的卷積神經網路，其特點是具有對稱的U型結構，有助於模型在進行圖像處理時保留細節資訊。研究人員主要使用兩種方法來來提升擴散UNet的效率，第一是在模型瓶頸處，也就是資訊最集中的地方，使用更多的Transformer區塊以降低計算量，第二是使用輕量級可分離卷積。卷積區塊主要用於圖像特徵擷取，但是傳統卷積操作計算量大，因此研究人員透過使用可分離卷積，在不降低模型效能的情況下，減少需要的計算量。</p> <p>除了擴散UNet，研究人員也著手最佳化圖像解碼器，透過訓練變分自編碼器（Variational Autoencoder，VAE）簡化圖像表示，使圖像資訊能縮小至原圖八分之一，減少儲存和計算需求，並使用簡化版的解碼器明顯提高效能，在降低延遲接近50％的情況下，還可以維持甚至提升圖像品質。研究人員還採用了DiffusionGAN混合模型實現一步採樣，這是一種結合擴散模型和生成對抗網路（GAN）的新技術，能夠一步驟生成圖像，相較於傳統的多步驟方法快上不少。</p> <p>雖然MobileDiffusion只有5.2億個參數，卻可以生成不同領域的高品質圖像。由於MobileDiffusion只需要半秒鐘便可以在行動裝置上生成512x512圖像，因此可以在用戶邊輸入文字提示的同時，迅速生成圖像，能應用於行動裝置創造各種即時圖像生成體驗。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgc9IegNp6IHze1sPewUyoR_WouBi8jMhiThcaavD0SXFld3788eA89uyOP6gpmdCXSZMMuacrgQMJ61ygVJsLfE51tqTmmYS0C-GI9SaF_hEGlhTp_zTFXdW_AgXIP5CLCejKQVCsPrhycF8p_Rj9qQHR0J_kTO8Md7VT5R47IMJHinO6dkHn23lUlU7rf/s16000/image2.gif" style="width: 290px;" /><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEhpz0XGSpMH9OVTd865uusar0AeXtu_26HD3tHzJHm2iEVeLYynBhi6pl0tidIYOoJVamc-NplnsNPCNl3vMX-qjqEZCYtndsl-9YjulMpLiDbP3Uws9cZ5ITjb0C3MNaVNC5mh-kbyKZYXn5rxBAuPLaHg_56ZAJfPOrkBfh44goI3CnEW-XZFDUvJgWAV/s16000/image5.gif" style="width: 290px;" /></p> </div></div></div>
2024/2/7 09:52作者李建興https://www.ithome.com.tw/news/161221