iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

中醫大附醫揭露MedLM應用新進展，瞄準AI護理輔助3場景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中醫大附醫今日（2/21）揭露使用Google MedLM醫療生成式AI系列模型最新進展，用來打造AI輔助護理師應用，並在現場展示3種初期應用情境，比如判斷傷口照片、產出護理文字描述與建議，以及判讀病人表情、評估疼痛指數並產出文字說明，還有一種是協助護理師分析病人飲食，如根據食物照片和文字指令，來分析食物組成與熱量等。除了這3種情境，中醫大附醫還正嘗試其他應用領域，如判斷患者手術傷口、體液等，來產出文字報告和建議，同時，他們也計畫優化醫院醫療資訊系統（HIS），來整合純文字記錄與照片，便於護理師交班、快速理解病人狀況。</p> <p><span style="font-size:22px;"><strong>探索Google MedLM應用潛力，這次要減輕護理師工作負荷</strong></span></p> <p>Google MedLM是指醫療領域專用的多模態基礎模型服務，不只有Med PaLM 2大模型驅動，還包含最新的多模態模型Gemini，可處理一系列醫學相關的文字、影像和聲音等資訊，比如根據醫學影像產出文字報告，或進行重點摘要等。MedLM提供2種方案，一是較大的MedLM模型，可處理複雜的任務，另一是中等模型，可讓使用者用自己的資料微調，以便在不同任務間擴展。</p> <p>去年中，中醫大附醫副院長李光申赴美國Google總部參訪時，就決定展開合作，要讓醫院使用MedLM、優化臨床工作流程。去年12月，中醫大附醫揭露Google MedLM第一波應用方向，要打造AI輔助醫師，來協助醫護診斷疾病、規畫治療方案、病患教育和醫學教育研究等。</p> <p>今日，中醫大附醫進一步揭露另一大MedLM應用方向，鎖定繁重的護理師工作，打造AI輔助護理師。MedLM是多模態模型，可處理影像、文字、聲音等資訊，中醫大附醫人工智慧中心副主任王韋竣解釋，MedLM應用於護理領域有幾項優勢，比如系統可分析病人或傷口照片，並生成初步評估，來提供護理師更全面的描述。同理，MedLM也能用來補足因工作負荷而未能詳盡記錄的案例，此外還能根據圖片自動產生護理記錄，來減少護理師手動輸入的時間。</p> <p>他以展示的應用情境為例，當護理師進行床邊照護時，可用手機拍攝患者狀況，如患者壓瘡傷口，上傳照片至「AI輔助護理師」並下文字指令（像是評估壓瘡分級、描述壓瘡外觀、給予照護建議和衛教建議等），MedLM會分析傷口、給出回覆，如三級壓瘡、外觀為皮膚完整性喪失等，以及護理師照護和患者衛教建議。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8323.JPG" /></p> <p>圖為傷口照片，右側上方則為文字指令。</p> </blockquote> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8324.JPG" /></p> <p>將上圖照片和文字指令輸入AI輔助護理師後，即可得到相對應的回答。</p> </blockquote> <p>另一種圖片分析情境，是由護理師拍攝疼痛患者臉部照片，上傳至AI輔助護理師後下文字指令（如根據頭痛患者表情評估疼痛指數並描述表情，接著給予照護建議和衛教資訊），系統便會產出相應的答案。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8321.JPG" /></p> <p>護理師可拍攝痛疼患者表情，並上傳至AI輔助護理師，以文字指令詢問疼痛指數評估與建議。</p> </blockquote> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8322.JPG" /></p> <p>AI輔助護理師可分析圖片和文字指令，產出相對應的回答。</p> </blockquote> <p>還有一種情境是分析病人飲食，在拍攝便當照片、上傳後，可下「這份餐點有296克，分析食物組成並估算熱量」的文字指令，MedLM便會產出相應答案，如食物組成可給出「雞胸肉100公克、紫米飯100公克、水煮蛋50公克、花椰菜20公克等」，熱量估算部分則能根據公克數回覆，如「雞胸肉100公克x165大卡/100公克=165大卡、水煮蛋50公克x78大卡/100公克=39大卡」。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8327.JPG" /></p> <p>AI輔助護理師還可分析飲食，包括食物組成與熱量估算（未拍攝到此部分）。</p> </blockquote> <p><span style="font-size:22px;"><strong>持續探索其他護理領域應用場景，還要優化HIS</strong></span></p> <p>目前，中醫大附醫採用MedLM服務中的大模型版本，先來探索不同應用場景與成效，也因此還未使用自家資料來微調模型，這些應用情境也還在初期嘗試階段。王韋竣表示，目前MedLM護理應用的準確率還在可接受範圍，接下來將繼續優化並嘗試其他護理場景的應用可能，如判斷病人痰液等體液照片、手術傷口照片，或是兒童糞便照片等，並產出相對應的文字描述供護理人員參考。</p> <p>他也提到，中醫大附醫正在思考如何整合HIS，來讓病歷系統包含圖文資料。因為，過去病歷記錄系統是將文字與圖片分開，等於一套系統是文字記錄、另一套系統記錄影像，於是護理師查看時，多以文字記錄為主。而MedLM應用包含圖文，「若能整合圖片和文字資料、同時顯示，對護理師交班的資訊掌握就更清楚，也更客觀，」王韋竣說。</p> <p></p> </div></div></div>
2024/2/21 15:35作者王若樸https://www.ithome.com.tw/news/161390
使用Signal傳訊程式終於可以不用秀出電話號碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>端對端加密傳訊程式<a href="https://signal.org/blog/phone-number-privacy-usernames/" target="_blank">Signal周二（2/20）宣布</a>，將以使用者名稱（Username）取代電話號碼，作為用戶展開與對方聯繫的途徑，且除了原本就在通訊錄上存有用戶電話號碼的使用者之外，其預設值已不再秀出電話號碼。</p> <p>創立於2014年的Signal是個強調安全及隱私的傳訊程式，支援文字、語音及視訊通訊，所有的通訊都採用端對端加密，在當時是罕見的，而受到許多注重隱私的使用者青睞。</p> <p>不過，Signal最為人所詬病的一件事就是它對電話號碼的堅持。它利用電話號碼來當作使用者的身分識別，註冊時也必須使用電話號碼進行身分驗證，因此，利用Signal交流的用戶都會得知彼此的電話號碼。</p> <p>本周Signal終於變更了此一政策，儘管註冊時仍需透過電話號碼來收取驗證碼，但允許用戶建立一個獨特的使用者名稱來發起對話，用戶只要生成一個QR碼或連結，讓對方連至使用者名稱，雙方就能展開交流。</p> <p>Signal的使用者名稱與一般社交網站的概念並不相同，其功能僅限於用來建立連結，Signal用戶可以隨時變更使用者名稱，且Signal並不提供使用者名稱的搜尋功能。此外，該使用者名稱亦與Signal個人檔案名稱不同，用戶的個人檔案並不會出現使用者名稱。</p> <p>除了以使用者名稱來取代電話號碼以發起對話之外，Signal也加強了對電話號碼的保護。包括其預設值關閉了電話號碼的顯示功能，除非對方的通訊錄上原本就存有用戶電話，另也讓用戶得以控制是否允許他人透過電話號碼，在Signal上找到他。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-Signal%20usernames-phone%20number%20private-960.jpg" style="width: 600px;" /></p> <p>現階段上述功能皆仍處於測試階段，預計未來幾周便會部署至所有用戶。</p> </div></div></div>
2024/2/21 15:36作者陳曉莉https://www.ithome.com.tw/news/161391
日本警方釋出Lockbit 3.0勒索軟體解密工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Lockbit 3.0勒索軟體受害者能自救了！近日英國國家犯罪局（NCA）發起一項打擊該組織的網路犯罪行動，並在歐洲刑警組織（Europol）負責居中協調下，與法國、德國、荷蘭、瑞典、澳洲、加拿大、日本、美國、瑞士執法單位，<a href="https://www.ithome.com.tw/news/161379">聯手摧毀勒索軟體LockBit的基礎設施，扣押其外洩網站，凍結與該組織犯罪相關的加密或幣帳戶</a>，引發國際與資安界的關注。</p> <p>這次行動之所以備受關注，是因為LockBit已是全球在2022年與2023年最活躍的勒索軟體集團。尤其2023年多國網路安全機構的一份共同報告中，即指出全球受害組織超過1,600多個，不法所得超過9千萬美元。臺灣也有不少企業遭其所害，例如，去年的台積電供應商擎昊科技，最近的半導體設備大廠京鼎精密等多家上市櫃與非上市櫃公司。</p> <p>特別的是，全球警方宣布攻陷LockBit時，提到未來幾天或幾周會有解密工具釋出，今天（21日）我們發現，在打擊勒索軟體網路犯罪的No More Ransom計畫網站上，已有日本警方提供Lockbit 3.0 Ransom解密工具，可以幫助受害者恢復被加密的資料。</p> <p>關於Lockbit 3.0 Ransom解密工具的提供，據日本媒體日經報導，日本警方在20日正式宣布推出這款解密工具，並表示在他們逆向工程破解之下，去年12月時就已經提供給歐洲刑警組織，當時已證明解密工具有效。只是，通常解密工具的開發不會公開，因為這可能讓攻擊者採取新的對策，如今則在國際執法行動聯合下，已成功接管勒索軟體LockBit的基礎設施，因此日本警方決定將解密工具公開。</p> <p>而我們<a href="https://www.nomoreransom.org/en/decryption-tools.html#Lockbit30">在No More Ransom上</a>，也看到Lockbit 3.0 Ransom解密工具的使用指南，目前是0.5版，說明了用戶在下載檔案（Decryption_Checker_for_LockBit.zip）後，當中包含了兩個工具，可用於評估受害者能否解密與復原資料。而他們也坦承，已經盡了最大之力，但仍無法保證能夠幫助所有受害者。</p> <p>簡單來說，第一個工具是解密ID檢查器（Decryption ID checker），這個工具會將受害用戶的特定解密ID，跟執法機構已知的解密金鑰列表做比對。一旦找到相符的金鑰，就表示受害用戶的情況可能有解密的解決方案，接著將可依照收到的指引來操作，</p> <p>第二個工具是LockBit 3.0的解密檢查器（Check Decrypt for LockBit 3.0），這個工具會收集有關解密的診斷資料，幫助用戶判斷是否有可能解密一部分被加密的檔案。</p> <p>目前我們看到這兩個工具都是命令列工具，指南中也提到這兩個工具無須安裝，可在離線環境中使用。不過，依照過往經驗而言，若是要讓普遍受害者下載後都能自行使用，No More Ransom平臺通常會要求提供圖形使用者介面（GUI）版本的解密工具，或許這也是解密工具使用指南還是0.5版的原因。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖3）Lockbit 3_0 Ransom解密工具.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%963%EF%BC%89Lockbit%203_0%20Ransom%E8%A7%A3%E5%AF%86%E5%B7%A5%E5%85%B7.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）Lockbit 3_0 Ransom解密工具.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89Lockbit%203_0%20Ransom%E8%A7%A3%E5%AF%86%E5%B7%A5%E5%85%B7.jpg" style="width: 600px;" /></a></p> </div></div></div>
2024/2/21 12:09作者羅正漢https://www.ithome.com.tw/news/161386
Adobe為PDF軟體加入AI助理，可製作摘要、也支援Word、PowerPoint
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Adobe本周<a href="https://news.adobe.com/news/news-details/2024/Adobe-Brings-Conversational-AI-to-Trillions-of-PDFs-with-the-New-AI-Assistant-in-Reader-and-Acrobat/default.aspx" target="_blank">宣布</a>公測為PDF讀取與編輯軟體Reader、Acrobat加入AI助理，可讓用戶更容易讀取、理解和分享PDF文件或簡報。</p> <p>Adobe最新計畫是為Acrobat、Reader加入生成式AI對話引擎AI助理（AI Assistant），目前已釋出beta版。整合進二項應用程式工作流程（workflow）的AI助理，可為使用者產生長篇文件的重點摘要、提供洞見、回答用戶提問。AI助理並能自動整理出重點，並草擬電子郵件、設計報告或簡報的排版、語調、濃縮文件長度，便於分享給他人。用戶按下「複製」鍵即可貼到電子郵件或簡報中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-Adobe%20Reader%20Acrobat-AI%20Assistant-2.png" style="width: 600px;" /></p> <p>在Acrobat/Reader中的AI助理是使用早前推出的手機版PDF生成式AI助理Acrobat Liquid Mode相同的AI及機器學習模型。這些模型對PDF文件和內容有深度理解能力，可確保AI助理輸出品質和穩定性。</p> <p>除了摘錄重點及草擬電子郵件、報告及簡報格式外，AI助理其他功能包括智慧引述，方便用戶點入驗證AI助理提供的答案來源，而重點也提供連結，讓用戶可在文件中找到原始段落。Adobe也強調所有用戶對話都不會儲存，或未經用戶同意而用於訓練AI助理的模型。此外，在其他文件類型，例如Word、PowerPoint、會議聽寫紀錄中也能使用AI助理。</p> <p>整合AI助理的Acrobat/Reader標準及Pro Individual版，及Teams版訂閱方案已以英語Beta版上線，供桌機版及Web版用戶及Acrobat Pro測試人員下載試用，也提供企業用戶不公開測試版。Adobe表示未來幾天到幾星期還會為英文桌機版Reader App加入新功能，其他語言版本則會於之後推出。</p> <p>今天的宣布是Adobe PDF應用生成式AI方案的一環。除了免費的AI助理功能，用戶也可訂閱付費方案，可在AI助理日後正式版上線後，使用完整AI功能。Adobe計畫未來AI助理可支援多種文件型態、來源。</p> <p>在此之前，去年Adobe也宣布其他AI產品，包括圖片生成式AI工具Firefly及影片生成工具Adobe Express。</p> </div></div></div>
2024/2/21 12:36作者林妍溱https://www.ithome.com.tw/news/161387
Groq以LPU推論引擎提供全球最快LLM服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2016年便創立的Groq在這幾天成為全球AI社群最關注的話題，X上開始出現以Groq LPU推論引擎來執行大型語言模型（LLM）的展示，顯示它的執行速度飛快，更有不少人將Groq與ChatGPT作比較，在兩個機器人聊天室中<a href="https://twitter.com/JosttenSackitey/status/1759708283609530857" target="_blank">輸入同樣的提示</a>，ChatGPT花了60秒生成了答案，Groq卻只花了12秒。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-GroqInc_ChatGPT_image%20by%20Jostten%20on%20X.png" style="width: 600px;" /></p> <p>不過，Groq主要開發的並非聊天機器人或模型，而是語言處理單元（Language Processing Unit，LPU）推論引擎（LPU Inference Engine）。</p> <p>Groq於<a href="https://wow.groq.com/why-groq/" target="_blank">官網上</a>闡明，該公司的任務是設立生成式AI（GenAI）推論速度的標準，以實現生活上的即時AI應用，所開發的LPU推論引擎為一新型態的端對端處理單元系統，可替諸如AI語言應用等具順序元件的運算密集應用提供全球最快的推論服務。</p> <p>現代的AI系統多半是在GPU上執行，而LPU的設計是為了克服LLM在運算密度與記憶體頻寬上的兩大瓶頸，就LLM而言，其運算能力大過CPU與GPU。</p> <p>Intuitive Machines共同創辦人暨架構長<a href="https://twitter.com/IntuitMachine/status/1759941976927924682" target="_blank">Carlos Perez指出</a>，在新一代的AI晶片新創公司中，Groq以一種完全不同的方法脫穎而出，聚焦於利用編譯器技術來最佳化極簡而高效能的架構，此一以編譯器為優先的設計避開了複雜性，轉而追求效率。</p> <p>Perez說明，Groq架構的核心是個單純支援平行吞吐量的裸機，如同一個專為機器學習設計的ASIC，但有別於只具備固定功能的ASIC，Groq可利用客製化的編譯器來支援不同的模型，流線型架構再加上智慧型編譯器令它與眾不同。</p> <p>相較於像是GPU等利用許多元件堆疊而成的AI晶片，可能含有無關的硬體或顯得臃腫，Groq則回歸基本原則，意識到機器學習的工作負載是關於簡單的資料類型及操作，藉由消除通用硬體或局部性等概念，最大化其吞吐量與效能。</p> <p>LPU Inference Engine在推論上究竟有多快？可以從AI應用平臺<a href="https://github.com/ray-project/llmperf-leaderboard" target="_blank">Anyscale對8款不同LLM推論供應商的測試中</a>（下圖）看到，在基於700億參數的模型上，Anyscale於各推論平臺上輸入了150個請求，同時計算它們每秒所回應的Token數量，而Groq的LPU推論引擎吞吐量即以185個Token，遠遠領先第二名Anyscale的66個Token。</p> <p class="rtecenter"><a href="http://github.com/ray-project/llmperf-leaderboard" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-LLMPerf%20Leaderboard-ray-project-GitHub-70B%20Models-Output%20Tokens%20Throughput%20(tokens%EF%BC%8Fs).jpg" style="width: 600px;" /></a></p> <p>現階段Groq支援標準的機器學習框架，包括PyTorch、TensorFlow及ONNX等，但僅用於推論，LPU推論引擎並不支援機器學習訓練。Groq歡迎硬體供應商、軟體供應商、雲端服務供應商或AI加值服務開發商尋求合作，也提供Groq API與Groq Compiler來執行LLM應用，使用者則可直接造訪<a href="https://groq.com/" target="_blank">Groq官網</a>來試用其推論能力，目前官網上使用的模型為Llama 2與Mixtral。</p> </div></div></div>
2024/2/21 13:20作者陳曉莉https://www.ithome.com.tw/news/161388
DevOps快報第2期：React今年推出19新版，jQuery揭露8年大改版，Go終於解決新手最困擾的迴圈問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2024/1/19～2/20 精選開發相關新聞：開發技術與工具篇</strong></p> <p><strong>第二期DevOps主要聚焦在開發技術和開發工具的更新，在2024年初有不少開發工具、開發框架和開發語言的更新，老牌jQuery終於出現8年後的大改版，推出了4.0的beta版，2年沒有大改版的React也預告今年會推出下一個重大新版19。Go語言則終於修正了讓許多新手困擾的For迴圈老問題。微軟.NET在第9版也將持續聚焦雲原生、AI支援和效能三大重點來優化，VS Code開始支援語音指令，Visual Studio則要更緊密整合GitHub Copilot，一邊寫程式碼，隔行也能直接輸入Copilot提問。網頁開發者愛用的SQLite也全面改寫了JSON函數，開始支援JSONB格式</strong></p> <p><strong><span style="color:#FF8C00;">#JavaScript #前端開發框架 #React</span><br /> React計畫今年底前釋出19新版，Instagram用的React編譯器會先開源釋出</strong></p> <p>經過2年，React社群準備在今年釋出19新版，最近也在React官網上公布了目前正在開發中的新功能，包括了先前處於研究階段的新版React Compiler，開發團隊準備要將這個功能納入到React的正式功能。目前這個編譯器已經用於Instagram的正式環境上，React計畫運用到Meta其他更多服務和產品上，目前正準備釋出第一個React Compiler的開源版本。這個React編譯器可以套用需要的JavaScript規則和React規則更安全地編譯程式碼，這些規則可以用來限制開發者所能做的事，來兼顧程式碼的安全性和效能。有多項新功能進入候選發布通路中，包括了文件後設資料、資產載入、Actions功能。</p> <p>另外，React也宣布今年將正式推出下一個重要的版本React 19，例如Web Components。React核心開發成員Andrew Clark也透露多項新版的變動和功能，例如useMemo、useCallback和memo會整合到React編譯器中，useContext會改為use(Contect）、<Context.Provider>會改為<Context>等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/React%E6%96%B0%E7%89%88%E5%AE%A3%E5%B8%83.png" /></p> <p><strong><span style="color:#FF8C00;">#網頁開發 #jQuery #IE瀏覽器棄用</span><br /> 相隔8年，jQuery終於再次大改版推出4.0，更預告5.0將取消IE 11支援</strong></p> <p>距離上次大改版已經過了8年，知名JavaScript函式庫終於在2024年迎來jQuery 4.0.0 Beta版本，上一次大改版是在2016年發布的3.0正式版。jQuery 4.0.0有許多重大更改，包括取消IE 10以前的支援，並且刪除已棄用的API，以及放棄支援一些過於複雜行為。同時，還新增支援可信類別（Trusted Type），強化安全性防禦跨站腳本（XSS）攻擊。</p> <p>jQuery 4.0刪除了許多內部函式，或是已經在瀏覽器中具有原生等效功能的函式，諸如jQuery.trim()、jQuery.isArray()與jQuery.isFunction()等13個。還移除了內部使用的陣列方法如push、sort和splice方法，直接改使用陣列函式，可以讓jQuery更符合現代JavaScript標準和最佳實踐，也讓函式庫更加精簡。</p> <p>4.0版處理焦點事件的順序也有變化，不再覆蓋瀏覽器原生行為，除了IE之外，所有瀏覽器都會遵循當前W3C規範，順序為blur、focusout、focus和focusin。jQuery.ajax新增對二進位資料FormData的支援。開發者可以在使用jQuery.ajax進行網路請求時，直接傳送表單資料和其他二進位檔案，不需要進行額外的處理和轉換。</p> <p>jQuery 4.0加入了對可信類別的支援，而這是一個重要的安全性強化功能，另外也改進對內容安全政策（CSP）的支援。開發者也可以使用官方發布的jQuery Migrate外掛工具，辨識程式碼相容性問題。jQuery 4.0提供了精簡版本，藉由移除非同步程式開發機制Deferreds和回呼列表管理功能Callbacks，使體積現在小於20 KB。</p> <p>不只發布了4.0 beta版，官方還宣布了5.0的開發計畫，從4.0開始分階段，取消對IE的支援，4.0不再支援IE 10以及更早版本，5.0則將進一步取消對IE 11的支援。</p> <p> <strong><span style="color:#FF8C00;">#雲原生開發 #AI支援 #.NET框架</span><br /> .NET 9預覽版來了，雲原生、AI支援和效能是三大改進重點</strong></p> <p>3個月前，微軟才發布.NET 8，隨即在2月中公布了.NET 9預覽版。.NET 9仍聚聚焦三大發展重點，效能提升、雲原生與AI開發的支援。微軟也同步改進Visual Studio、VS Code和C#開發工具包，要讓.NET開發更為簡單，並且與Azure服務更好地整合，使開發者可以簡單部署.NET應用程式到雲端。<br /> 微軟持續從.NET技術堆疊各個層面，來強化.NET 9對雲原生應用基礎架構的改進，例如讓開發者更容易部署應用程式到常見的生產基礎設施和服務，例如Kubernetes環境或是使用託管資料庫和快取服務等。另外，.NET 9也持續改進微軟最新的程式碼編譯技術Native AOT來提高效能。另外，新版也將採用了支援Native AOT編譯的webapiaot模板最佳化Web API應用程式。<br /> 對人工智慧開發的支援上，新版將著重於讓開發者更容易使用新的人工智慧技術與OpenAI服務，會提供更多函式庫和文件，協助開發者使用OpenAI服務及其他開源模型，包括本地端與雲端模型的支援。</p> <p><strong>#新手困擾 #Go語言<br /> Go終於修正老問題， 1.22解決for迴圈變數共享問題</strong></p> <p>在Go語言1.22新版中，解決了for迴圈中變數共享的問題，在之前的Go版本中，在for迴圈中啟動的goroutine如果直接使用迭代變數，可能會因為變數共享而出現非預期的結果。這是存在多年的老問題，也是Go新手編寫程式的時候常會遇到的陷阱，終於在Go 1.22版被解決了，迭代變數在每次迭代時都能被正確的捕獲，並在goroutine內部使用，減少開發者寫出臭蟲程式碼的可能性。新版增加了整數的範圍迭代支援，這是一個新的語言功能，讓固定次數的迭代操作更加直覺且方便。這兩個變更進一步改善了Go的安全性與易用性。</p> <p><strong>#RUST語言 #C++互通性<br /> Google捐款100萬美元給Rust基金會，要改善C++與Rust互通性</strong></p> <p>因為大量Android元件和Google產品使用了Rust語言，最近Google捐了100萬美元給Rust基金會，指名要專門用來改善Rust程式碼與C++程式碼之間的互通性，尤其要用來改善老舊C++程式碼與Rust程式碼的互通。另外，Google也承諾要進一步改善Rust的稽核工具，會將Google許多開源專案用的程式碼稽核工具，發展到Rust語言的程式碼稽核上。</p> <p><strong>#網頁開發 #SQLite資料庫 #JSONB<br /> 網頁開發者愛用的SQLite關鍵更新，3.45新版全面改寫JSON函數支援JSONB格式</strong></p> <p>知名資料庫SQLite發布最新的3.45版本，JSON SQL函式有重大更新，重寫了所有得JSON函式，並且改用新的內部解析樹格式JSONB，JSONB格式可以序列化並儲存在資料庫中，避免在使用JSON值時，還需要進行不必要的重複解析，因此透過支援JSONB，SQLite在處理JSON資料能夠更高效靈活。</p> <p>SONB能夠將JSON的解析樹，以BLOB二進位的形式儲存在磁碟上，且可以減少應用程式讀取和更新JSON值的解析和渲染開銷，比起JSON，JSONB使用更小的磁碟空間，在處理速度上更快。支援JSONB，也讓SQLite能更好地與其他二進位JSON格式系統整合。</p> <p><strong><span style="color:#FF8C00;">#語音控制 #軟體開發 #VS Code</span><br /> 用講的也能寫程式，VS Code開始支援Hey Code語音指令</strong></p> <p>在VS Code的1.86版本有一個重大的功能更新，開發者可以使用Hey Code語音指令，開始與Copilot Chat進行語音對話。該功能隸屬於VS Code的無障礙功能，開始後可以讓VS Code監聽Hey Code語音指令以啟動語音對話。語音辨識只在電腦本地端運算，不會發送至任何伺服器，以確保開發者的隱私安全。可支援多種使用情境，chatInView選項允許開發者從聊天檢視頁面啟動語音聊天，方便地直接進行對話。而quickChat選項讓開發者可以透過快速聊天控制項，迅速與Copilot開始語音聊天，inlineChat則可以在編譯器的程式碼行內開始語音聊天。開發者要使用這項新功能，需要安裝GitHub Copilot Chat與VS Code Speech擴充套件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VSCode-%E8%AA%9E%E9%9F%B3%E6%8E%A7%E5%88%B6.png" /></p> <p><strong><span style="color:#FF8C00;">#AI輔助軟體開發 #Github Copilot</span><br /> Visual Studio 17.10更緊密整合GitHub Copilot，能直接在一行行程式碼中與Copilot互動</strong></p> <p>微軟釋出Visual Studio 2022的17.10版第一個預覽版，更緊密整合最新GitHub Copilot，像是開發者可以使用斜線指令加速工作流程，替常見開發任務具體目標設定斜線指令，像是/explain可代表Explain the code等，讓開發者不需要編寫冗長的問題，就能獲得更精準的答案。此外，開發者可在Visual Studio進行行內聊天，直接於檔案中與Copilot互動並獲得建議，並即時查看差異。</p> <p>微軟參考社群意見嘗試重新建構自訂體驗，在Visual Studio 17.10引入統一設定功能。從這個新版本開始，提供開發者更多自由和介面，來調整和配置開發環境設定。例如，讓用戶可以在全域層級進行設定，或是在更具體的層級進行自訂，像是特定解決方案和或是資料夾層級，使用戶能夠更細緻地控制不同專案的設定，並可依據每個專案的需求進行調整。另外在17.9版的第三個預覽版則持續強化程式碼搜尋功能，不只擴大了搜尋範圍，也強化文字支援，預設程式碼搜尋功能時啟用精確文字比對，搜尋範圍涵蓋之前所不會有的註解和區域變數，使得程式碼搜尋更加全面且高效。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VS1710-Inline%20Chat.png" /></p> <p><strong><span style="color:#FF8C00;">#Python套件 #Jupyter套件</span><br /> VS Code兩大AI開發套件小更新，Jupyter擴充套件內建變數檢視器</strong></p> <p>微軟釋出了VS Code Python與Jupyter擴充套件2月更新，除了預設安裝Python除錯器擴充套件之外，Jupyter擴充套件也內建變數檢視器，在執行和除錯面板中，新增了一個實驗性變數檢視器，該內建變數檢視器可用於查看筆記本核心中的變數，協助開發者在程式碼執行時，監控程式中的變數，對於程式碼除錯特別好用，因為開發者可以即時監控變數的值。 Python語言伺服器擴充功能，是以微軟的Pyright靜態型別檢查器為基礎建置，提供了一系列強化Python程式開發體驗的功能，這次更新也引入新的診斷規則，可以進一步最佳化程式碼品質。</p> <p><strong><span style="color:#FF8C00;">#次世代網頁IDE #行動平臺模擬器</span><br /> Web開發工具Project IDX新增Android與iOS模擬器，更方便打造跨平臺應用</strong></p> <p>Google近日更新了次世代Web開發工具Project IDX，將Android與iOS模擬器帶入瀏覽器中，可以讓開發者從工作區進行開發、測試和除錯，多步驟和多平臺流程都被整合到同一個地方，而運用iOS模擬，開發者可以在工作時確認應用程式的布局和行為。目前這些功能還在實驗性階段。</p> <p>另外也增加了更多的模板，針對Astro、Go、Python/Flask、Qwik、Lit、Preact、Solid.js和Node.js添加新模板，開發者可以使用這些模板，直接開始進行專案開發，減少配置的時間，將更多時間花在創建程式邏輯上。IDX新提供的功能和資源，也讓應用程式建置、測試和部署更方便，可以自動偵測應用程式和服務所需的網路連接埠，並調整防火牆設定准許流量進出，開發者不需要進行額外配置，且用戶不需要在本地端進行安裝，就可以直接在工作區中，立即執行命令列工具、腳本和公用程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IDX.png" /></p> <p><strong><span style="color:#FF8C00;">#測試框架 #容器化測試</span><br /> 微軟釋出全新輕量級MSTest測試框架執行工具，能簡化測試環境還能進行容器化測試</strong></p> <p>微軟推出用於MSTest測試的輕量級執行工具MSTest Runner，這是一個，可將MSTest測試建置為獨立可移植執行檔的工具，僅一個控制臺應用程式就可託管和執行測試，不再需要諸如vstest.console、dotnet test或Visual Studio等工具，能在效能與儲存資源有限的裝置上，也可以使用生成的控制臺應用程式實際進行測試。除了簡化測試環境之外，MSTest Runner也可以進行容器化測試，在沒有dotnet SDK的Docker容器中，執行針對dotnet應用程式的測試。</p> <p><strong><span style="color:#FF8C00;">#Sudo #Windows #新管理者指令</span><br /> Windows也有Sudo指令！能在沒有權限的控制臺執行特定管理指令</strong></p> <p>微軟於Windows 11 Insider Preview Build 26052中，加入適用於Windows的Sudo，允許用戶直接從未提升權限的控制臺執行提升權限指令，不需要事先開啟提升權限控制臺，或是執行繁瑣的操作。如此不只提高了效率，也提升操作安全性，因為使用者可以更精確地控制要使用提升權限執行的指令。目前微軟已經在GitHub開源Sudo for Windows專案。這項新功能提供3種用法，第一是在新視窗中執行的預設選項，在一個新的提升權限視窗中執行指令；第二種是關閉輸入選項，系統會在當前視窗以提升權限執行指令，但是不接受任何輸入，適用於不需要進一步輸入的指令；第三種則是行內（Inline）選項，讓提升權限的指令在當前視窗中運作，並且接受輸入和顯示輸出，類似其他作業系統的Sudo行為。</p> <p><strong><span style="color:#FF8C00;">#網頁開發環境 #JavaScript執行環境</span><br /> 啟動超快的JavaScript執行環境Bun推出Shell工具，可支援三大主流OS</strong></p> <p>效能超快的JavaScript推出了新功能Bun Shell，解決在JavaScript中執行Shell困難的問題。Bun Shell使用上簡單直覺，具有豐富的功能，可以在Windows、macOS和Linux跨平臺上使用。去年9月正式推出的Bun是一個講求快速JavaScript執行環境與多合一工具包，啟動速度是Node.js的4倍，可用於執行、建置、測試和除錯JavaScript與TypeScript程式。Bun Shell是一種嵌入式語言和直譯器，可以讓用戶直接在JavaScript或TypeScript程式中執行Shell指令，不需要額外的轉換和打包。而且在Bun Shell中，所有模板變數都會自動跳脫（Escape)，以增加Shell指令執行的安全性。另外，諸如重新導向、管線命令（Pipe）、環境變數等常見Shell功能，Bun Shell也一應俱全。</p> <p><strong><span style="color:#FF8C00;">#日期和時間API #JavaScript執行環境</span><br /> JavaScript執行環境Deno推出1.40，新增好用的日期和時間操作API</strong></p> <p>以Rust語言寫成的JavaScript執行環境Deno推出1.40版本，加入好用的日期和時間操作Temporal API，同時，開發者也將可以使用最新的裝飾器（Decorator）語法，使程式碼的目的和行為更加明確。Temporal API的出現主要是要解決JavaScript中，與Date物件有關的複雜性，傳統Date物件在處理日期和時間方面存在許多問題，像是時區處理不易，日期計算不一致等。</p> <p> <strong>更多新聞</strong></p> <ul> <li>高效協作程式碼編輯器Zed開源並推出協作服務，開發者分享連結就能開始共同編寫程式碼</li> </ul> <p><strong>@資料來源：iThome整理，2024年2月<br /> 責任編輯：王宏仁</strong></p> </div></div></div>
2024/2/21 12:04作者王宏仁https://www.ithome.com.tw/news/161385
Walmart以23億美元收購智慧電視業者Vizio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零售業巨人<a href="https://corporate.walmart.com/news/2024/02/20/walmart-agrees-to-acquire-vizio-holding-corp-to-facilitate-accelerated-growth-of-walmart-connect-through-vizio-s-smartcast-operating-system" target="_blank">Walmart昨（20）日宣布</a>以23億美元收購智慧電視業者Vizio，以擴增串流平臺用戶及廣告營收。</p> <p>Walmart和Vizio簽定協議，以每股11.5美元，總價近23億美元現金收購Vizio及其智慧電視作業系統（SmartCast Operating System）。</p> <p>創立於2002年的Vizio以銷售連網電視及整合串流內容平臺SmartCast知名。Vizio SmartCast方案自2008年創立以來，用戶數成長將近4倍，現有超過1,800萬帳號。Vizio電視內建串流平臺Platform+業務提供包含廣告的免費內容，目前廣告直銷客戶超過500家，涵括財星500大企業。Platform+目前是Vizio最大廣告業務，也是公司最主要營收來源。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-SmartCast-vizio.png" style="width: 600px;" /></p> <p>收購Vizio及SmartCastOS可讓Walmart提供電視與家庭娛樂及媒體內容，也能開闢廣告營收模式。雙方表示，Vizio可強化Walmart封閉式多頻道媒體業務Walmart Connect美國地區業務，其廣告解決方案有助於擴大Walmart廣告業務涵蓋率及能力，並配合Walmart電視品牌及連網電視平臺擴大合併效益。</p> <p>Walmart本身已有自家電視品牌Onn。藉由收購Vizio，可增強其在平價智慧串流內容市場的市占率及實力，對抗Amazon和Roku。</p> <p>這樁交易下，Vizio將整併至Walmart美國分公司。本收購案已獲得Vizio董事會無異議通過，並等待主管機關核准。Vizio有權在45天內終止交易。一旦完成交易，Vizio將不再在股市掛牌。</p> </div></div></div>
2024/2/21 10:46作者林妍溱https://www.ithome.com.tw/news/161380
傳Reddit出售平臺內容授權給AI業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2024-02-16/reddit-is-said-to-sign-ai-content-licensing-deal-ahead-of-ipo?sref=10lNAhZ9" target="_blank">《彭博》</a>引述消息人士報導，知名論壇Reddit將平臺內容的使用授權出售給一家AI公司以訓練模型。</p> <p>今年稍早<a href="https://www.ithome.com.tw/news/161051" target="_blank">媒體報導</a>Reddit正在籌備IPO，最快今年三月將掛牌上市。《彭博》報導，為了向投資人說明其獲利能力，年初Reddit透露了以每年6,000萬美元的代價出售內容授權給一家名稱不詳的AI業者供其訓練模型，以挹注公司營收。目前Reddit今年營收估計為8億美元。</p> <p>作為最大線上論壇，Reddit的內容近年成為AI業者的重要訓練資料集來源，但該公司並不樂意內容被免費使用。Reddit去年4月<a href="https://www.ithome.com.tw/news/156469" target="_blank">修改</a>服務條款。公司執行長Steve Huffman也對媒體表示計畫對訓練AI模型的公司收費。Reddit去年就<a href="https://www.ithome.com.tw/news/159428" target="_blank">傳出</a>計畫封鎖Google搜尋，希望AI業者付費使用平臺上的內容。</p> <p>相對的，OpenAI、Google等公司在早期濫用免費內容，遭到媒體及網路內容平臺抵制後，也從善如流，改循合作付費管道取得內容存取權利。<a href="https://www.ithome.com.tw/news/160332" target="_blank">媒體報導</a>，OpenAI已先後和《Business Insider》母公司Axel Springer、美聯社、<a href="https://arstechnica.com/information-technology/2024/02/your-reddit-posts-may-train-ai-models-following-new-60-million-agreement/" target="_blank">CNN</a>、福斯新聞及《時代雜誌》等新聞內容出版商簽定授權，同意其存取平臺上的新聞內容。</p> <p>Reddit這樁交易的買主是誰則不得而知。不過《彭博》分析，Reddit出售平臺內容授權也證明其實現獲利能力，有助於推升其IPO市值，目前估計為50億美元。</p> </div></div></div>
2024/2/21 10:55作者林妍溱https://www.ithome.com.tw/news/161384
期刊論文使用AI生成的圖片太不科學，出版商Frontiers緊急撤回
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近國際科學期刊出版社Frontiers所出版的論文<a href="https://www.frontiersin.org/articles/10.3389/fcell.2024.1386861/full">《Cellular functions of spermatogonial stem cells in relation to JAK/STAT signaling pathway》</a>受到學術界的矚目，並且在社交平臺X被熱烈討論，原因是這篇通過同儕審查的論文，其配圖被發現是以生成式人工智慧產生，不過，圖片內容卻不符合解剖學，圖片文字還存在拼字錯誤。目前該篇論文已被Frontiers撤回。</p> <p>Frontiers是一個出版多個學術期刊的出版社，涵蓋生命科學、工程、社會科學等領域，透過同儕審查確保發表內容的品質，目的在促進學術研究的開放。《Cellular functions of spermatogonial stem cells in relation to JAK/STAT signaling pathway》這篇具有爭議的論文，被質疑究竟如何通過同儕審查。</p> <p>論文作者是中國西安市紅會醫院脊椎外科研究人員Xinyu Guo、Liang Dong與Dingjun Hao，於2月13日在《Frontiers in Cell and Developmental Biology》期刊發表。<a href="https://twitter.com/DrCJ_Houldcroft/status/1758111493181108363">X用戶Dr. CJ Houldcroft首先發現</a>並發文說：「呃，圖1是如何通過同儕審查的？！」該篇論文第一張配圖是一隻擁有不合理生殖器的老鼠，更有其他X用戶指出圖2、圖3（下圖）內容也非常不合理，甚至出現無法辨識的文字。該篇論文由印度國家動物營養和生理研究所（ICAR）研究人員Binsila B. Krishnan，以及西北醫療研究人員Jingbo Dai兩位專家進行同儕審查。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2251%20-%20%20-%20.jpg" style="width: 580px; height: 357px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/2252%20-%20%20-%20.jpg" style="width: 580px; height: 322px;" /></p> <p>科學誠信顧問<a href="https://twitter.com/MicrobiomDigest/status/1758183183773024528">Elisabeth Bik在X平臺標記Frontiers官方帳號</a>，質疑Frontiers為何要發表含有人工智慧生成圖片的拙劣論文。Frontiers編輯部展開調查，隨後決定撤回該篇論文，並且發表聲明，指出該篇論文使用人工智慧生成圖片，且文章未達《Frontiers in Cell and Developmental Biology》期刊編輯與科學嚴謹標準。</p> <p>即便該篇論文已經被撤回，卻也引發人們對學術誠信的擔憂，質疑同儕審查不夠嚴謹，有網友甚至開玩笑表示，除了圖片是由人工智慧生成之外，內容可能也是由人工智慧審查。外媒<a href="https://venturebeat.com/ai/science-journal-retracts-peer-reviewed-article-containing-ai-generated-nonsensical-images/">VentureBeat</a>翻出Frontiers在2020年所發布的新聞，證實了這樣的可能性。Frontiers開發了一個稱為<a href="https://www.frontiersin.org/news/2020/07/01/artificial-intelligence-peer-review-assistant-aira/">AIRA</a>的人工智慧工具，用於協助學術期刊同儕審查，AIRA能夠藉由自動化檢查，快速提供包括語言品質評估、圖表完整性、抄襲偵測和利益衝突辨識等20多項建議。</p> <p>雖然隨著人工智慧工具的發展，未來可能依然會發生類似的事件，不過這也間接凸顯了開放科學的價值，在讀者可以自由參與學術研究的過程，有更多人可以監督論文品質，確保學術研究的透明度和可信度。</p> </div></div></div>
2024/2/21 09:32作者李建興https://www.ithome.com.tw/news/161378
美國FTC提案強化人工智慧技術監管，打擊AI相關冒充詐騙行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦政府近期接連針對人工智慧科技帶來的負面影響採取行動，先是<a href="https://www.ithome.com.tw/news/161250">FCC裁定</a>認為人工智慧生成的語音即人工語音，需要符合自動語音電話的規範，而現在美國聯邦交易委員會（FTC）也提出<a href="https://www.ftc.gov/news-events/news/press-releases/2024/02/ftc-proposes-new-protections-combat-ai-impersonation-individuals">行政法規修訂</a>，加強打擊冒充商業和政府機構的詐騙犯罪。</p> <p>FTC先就冒充個人提出補充公告（Supplemental Notice）以徵詢公眾意見，規則變更將擴大當前對冒充政府和企業的詐騙保護，官方提到，有鑒於冒充詐欺案投訴大幅增加，而且包括深偽在內的人工智慧技術加劇詐騙損害。這些原因驅使FTC積極採取行動檢測並阻止冒充詐欺。</p> <p>FTC尋求公眾對修訂法規的意見，討論的重點包括提供創建圖像、影片和文字服務的人工智慧平臺，在知道其所提供的商品被用於冒充並詐騙消費者時，這些公司是否應被視為違法。</p> <p>FTC主席Lina M. Khan提到，詐騙犯罪者正使用人工智慧工具，高精準度且大規模地冒充個人。當FTC提案的法規修訂最終通過，官方認為可強化其解決人工智慧詐騙問題的能力，並替受到傷害的消費者提供補救。</p> <p>除了補充公告尋求公眾意見之外，FTC也已完成對政府和商業冒充規則的最終制定，FTC將能夠直接在聯邦法院提起訴訟，要求利用政府或是商業機構身份的詐騙犯，退還不法所得金錢。而這項法規的修訂之所以重要，是因為在2021年AMG Capital Management LLC對上FTC的案子中，最高法院的裁決明顯限制了FTC迫使被告歸還受害消費者金錢的能力。</p> <p>FTC提到，近年政府和企業冒充詐騙已造成消費者數十億美元損失，而在2023年向FTC提交的詐騙報告大幅增加。而該修訂法規將授權執法機構更有效地打擊詐騙，允許FTC在特定情況下，就詐騙直接向聯邦法院尋求金錢賠償。</p> <p>主要打擊三種詐騙行為，第一種是使用政府印章或是商業標誌進行通訊的行為，當詐騙犯罪者在與消費者通訊時，無論是透過郵件或是線上，不當使用政府、企業的官方標誌或是徽章，以增加詐騙訊息可信度，將成為FTC主要打擊目標之一。</p> <p>第二種FTC要打擊的詐騙行為則是偽造政府、商業電子郵件和網址，諸如創建介面與真實官方網站相似，但是網域名稱在拼寫上錯誤的假網站，試圖誤導消費者以為假網站是真正官方溝通管道的行為。第三種則是虛假暗示自身與政府或商業關聯，詐騙犯罪者使用讓人認爲他們代表政府機構或是商業實體的語言或是術語等行為。FTC將擁有更多權力追訴和阻止這些詐騙行為。</p> <p>這兩項內容將會出現在美國《聯邦公報》，政府與商業冒充最終規則將會於《聯邦公報》公布日起30天後生效。而對於補充公告規則公告（SNPRM）的公眾評論期，將會在《聯邦公報》發布日起開放60天，讓公眾提出意見和回饋。</p> </div></div></div>
2024/2/21 08:26作者李建興https://www.ithome.com.tw/news/161376
國際執法機構關閉34臺LockBit伺服器，凍結逾200個加密貨幣帳戶，逮捕兩名嫌犯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由美國、英國等10個國家組成，並由歐洲刑警組織（Europol）負責居中協調的克羅諾斯行動（Operation Cronos），於<a href="https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation" target="_blank">周二（2/20）宣布</a>已摧毀勒索軟體LockBit的基礎設施，包括關閉LockBit位於全球各個國家的34臺伺服器，接管其技術基礎設施及外洩網站，凍結逾200個與該犯罪組織有關的加密貨幣帳戶，控制或刪除了1.4萬個負責滲透或與基礎設施有關的流氓帳號，逮捕了2名嫌犯，<a href="https://www.justice.gov/opa/pr/us-and-uk-disrupt-lockbit-ransomware-variant" target="_blank">美國</a>也拘留兩名LockBit服務的聯盟夥伴（Affiliate），以及起訴兩名共謀發動LockBit攻擊的俄羅斯人。</p> <p>LockBit勒索軟體現身於2020年1月，為全球最活躍的勒索軟體之一，它以勒索軟體即服務（RaaS）的模式運作，由勒索軟體組織的開發者負責設計軟體，並招募聯盟夥伴負責部署攻擊，前者負責維護軟體與控制臺，後者則專門辨識並非法存取目標系統，在成功滲透目標對象之後，再利用控制臺於受害網路部署LockBit。</p> <p>該勒索軟體集團採用三重勒索形式，除了傳統的以加密及外洩機密資料作為要脅之外，還加上了分散式服務阻斷攻擊。</p> <p>LockBit的攻擊行動遍及全球，受害者包括航太龍頭業者<a href="https://www.ithome.com.tw/news/159565" target="_blank">波音（Boeing）</a>、<a href="https://www.ithome.com.tw/news/159766" target="_blank">中國工商銀行</a>、<a href="https://www.ithome.com.tw/news/157660" target="_blank">日本名古屋港</a>及台積電供應商<a href="https://www.ithome.com.tw/news/157629" target="_blank">擎昊</a>等，已知的受害者超過2,000家，得手的贖金超過1.2億美元。相關的贖金由LockBit開發團隊及聯盟夥伴共享，後者平均取得贖金的75%。</p> <p>參與克羅諾斯行動的國家包括美國、英國、法國、德國、荷蘭、瑞典、澳洲、加拿大、日本與瑞士，並由Europol負責協調，在長達數月的行動中，Europol組織了27次的行動會議，以及4次為期一周的技術衝刺，各國執法機構也透過Europol的資訊通道SIENA交換上千則的行動資訊。</p> <p>此次的行動是由有英國FBI之稱的英國國家打擊犯罪調查局（National Crime Agency，NCA）主導，亦由<a href="https://www.nationalcrimeagency.gov.uk/news/nca-leads-international-investigation-targeting-worlds-most-harmful-ransomware-group" target="_blank">NCA接管</a>LockBit的資料外洩網站，並說最近一周每天都會透過此一位於暗網中的LockBit網站來披露LockBit自家的能力及營運狀況，也宣稱已自LockBit的系統取得了該平臺的原始碼及大量情報，包括其合作對象及聯盟夥伴。</p> <p class="rtecenter"><img alt="" src="https://www.nationalcrimeagency.gov.uk/images/Feb2024/Cronos.png" style="width: 600px;" /></p> <p>NCA指出，他們在LockBit的系統上所發現的機密資料包括那些已支付贖金的企業，代表就算支付了贖金，駭客也不一定會依照承諾刪除資料。</p> <p>在克羅諾斯行動所關閉的34臺伺服器中，有28臺為LockBit聯盟夥伴所有，其它的則是用來竊取及傳輸受害者資料的Stealbit基礎設施，它們散布在美國、英國、荷蘭、德國、芬蘭、法國、瑞士與澳洲。</p> <p>除了成功入侵LockBit網路並摧毀其基礎設施之外，NCA還取得了逾1,000個解密金鑰，將在未來幾天或幾周用來協助英國受害者解密，而Europol則說相關的解密工具已於No More Ransom網站上免費供應。不過，目前（2/20）在No More Ransom網站上搜尋LockBit並無結果。</p> <p>目前已有兩名LockBit集團的成員分別在波蘭及烏克蘭遭到逮捕，而美國與法國則發出了3份的國際逮捕令及5份的起訴書。</p> <p>安全研究團隊<a href="https://twitter.com/vxunderground/status/1759732862335504773" target="_blank">vx-underground引用了LockBit開發者的說法</a>，指出這些執法機構是透過CVE-2023-3824安全漏洞攻陷他們的基礎設施，這是個<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-3824" target="_blank">CVSS風險評分高達9.8的PHP漏洞</a>，成功的攻擊將可造成記憶體毀損或自遠端執行程式。</p> </div></div></div>
2024/2/21 08:50作者陳曉莉https://www.ithome.com.tw/news/161379
Flutter 3.19持續更新渲染引擎Impeller，Android支援度再提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布最新<a href="https://medium.com/flutter/whats-new-in-flutter-3-19-58b1aae242d2">Flutter 3.19版本</a>，該版本擁有許多功能更新，包括框架與API改進，以及執行效能和渲染Impeller引擎的最佳化。Flutter開始提供Gemini Google AI Dart SDK，供開發者方便開發人工智慧應用，並讓開發者更精細地控制小工具（Widget）的動畫，並且擴展支援Windows Arm64平臺。</p> <p>Flutter開發團隊推出Gemini Google AI Dart SDK測試版，其背後採用Google最新的人工智慧模型Gemini，使得開發者可以在Dart或Flutter應用程式中，整合生成式人工智慧功能。目前開發者已經可以從pub.dev下載使用google_generative_ai套件以及相關資源，以遵循Dart語法特性的方式整合Gemini API，僅用單一程式碼庫，就可開發Android、iOS、網頁、macOS、Windows和Linux智慧應用程式。</p> <p>在框架改進上，Flutter強化了滾動行為的可配置性，允許開發者透過將MultiTouchDragStrategy.latestPointer設定為ScrollBehavior，設置與觸控點數無關的滾動行為，並且修復SingleChildScrollView與ReorderableList的崩潰問題和意外行為，提升了整體的穩定性和使用體驗。此外，此版本更新加入新的AnimationStyle小工具，讓使用者可以覆蓋小工具中的預設動畫行為，賦予開發者更多靈活性與控制能力。</p> <p>Flutter 3.19的無障礙功能也獲得強化，添加SemanticsProperties無障礙辨識符號，改進對語義節點的標示。這些節點代表了應用程式的結構與可操作元素，諸如按鈕、連結和文字欄位等，透過改進節點的標示，Flutter可以提供更豐富且準確的資訊給仰賴輔助技術的用戶。這些框架、小工具與無障礙功能的改進，進一步提升Flutter應用程式的開發效率和可用性。</p> <p>Flutter用來取代Skia的渲染引擎Impeller，於Flutter 3.13時已在iOS上運作良好，而Flutter 3.16時，官方也鼓勵開發者可以在支援跨平臺繪圖API Vulkan的Android裝置上，開始嘗試使用Impeller，而經過數個月的開發，現在Impeller對OpenGL後端的支援，已經提升到與Vulkan相同的程度，目前幾乎所有Android裝置上的Flutter應用程式，都可以使用Impeller正確渲染，只剩下諸如自定義著色器和外部貼圖等功能尚未支援。</p> <p>新版Flutter提供開發者更好的GPU追蹤能力，在採用Metal的iOS、macOS、模擬器裝置，以及Vulkan的Android裝置上，Flutter引擎現在可以於除錯和分析建置的時間軸，回報每一個影格的GPU時間。不過目前在非Vulkan的Android裝置，Flutter可能會錯誤回報GPU時間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_m3qW6u7Q4mNfTKxN.jpg" style="width: 380px;" /></p> <p>該版本值得一提的更新，還有Impeller在背景過濾器和模糊功能上的效能改進，由於Impeller之前會錯誤請求螢幕貼圖讀取功能，經過修正之後，在基準測試中包含多個背景濾鏡的場景，效能改進可達20％至70％。</p> <p>同時Flutter開發團隊也改進背景過濾器，使其不再完全仰賴模板緩衝區（Stencil Buffer）的資料，避免不必要的資源使用。在具有Vulkan後端的Impeller Pixel 7 Pro裝置上，動畫進階混合模式平均GPU影格時間從55毫秒下降到16毫秒，且90％的光柵化執行緒CPU時間，從約110毫秒降低至22毫秒</p> <p>Flutter開發團隊還持續擴展Flutter 3.19支援的平臺，現在Flutter也開始支援Windows Arm64，此更新對在Windows Arm64平臺，原生高效能執行Flutter應用程式是重要的一步。</p> </div></div></div>
2024/2/21 09:15作者李建興https://www.ithome.com.tw/news/161377
【資安日報】2月20日，勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2019年出現的勒索軟體LockBit在全球橫行，是最近2至3年最具威脅的勒索軟體。根據美國政府的統計，自2020年該勒索軟體駭客組織已發起超過1,700次攻擊，以美國而言，他們向受害組織總共索討了9,100萬美元的不法所得。這些駭客甚至還<a href="https://www.ithome.com.tw/news/151655">設立漏洞懸賞專案</a>，尋求各界尋找該勒索軟體的漏洞，囂張的程度可見一斑。</p> <p>如此猖獗的態勢，也引起多個國家的執法單位採取行動。最近有許多在追蹤該勒索軟體動態的研究人員發現，執法單位已拿下該組織暗網的網站，這些駭客也對他們的附屬組織證實遭遇「資安事件」。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.aquasec.com/headcrab-2.0-evolving-threat-in-redis-malware-landscape"><strong style="font-size: 22px;">惡意軟體HeadCrab 2.0行蹤更加隱密，以無檔案型態入侵Redis伺服器進行挖礦</strong></a></p> <p>1年前資安業者Aqua Security發現專門鎖定Redis伺服器的殭屍網路病毒HeadCrab，當時已控制超過1,200伺服器，並將其用於挖礦，如今駭客的手法再度升級，殭屍網路規模更大，有另外1,100臺伺服器也遭到控制。</p> <p>研究人員指出，他們在蜜罐陷阱（Honeypot）當中，看到此殭屍網路病毒升級版HeadCrab 2.0，最大的變化在於攻擊者載入此惡意軟體的方式。原本駭客會將惡意程式的共用物件檔案（shared object file，副檔名為SO）儲存於受害伺服器，但新版病毒的傳播方式，則是透過Redis的通訊管道進行，並存放於無檔案的位置（fileless location，應指系統記憶體，因為Redis是一種In-memory資料庫），從而大幅減少留下數位蹤跡的情況，回避資安系統的磁碟掃描功能。</p> <p>另一個與舊版惡意程式的差異，則是在於與C2伺服器的通訊方式，原本駭客利用自定的Redis命令進行互動而容易被察覺，而新版本採用預設的MGET命令，駭客在命令當中挾帶特定參數，讓惡意程式得以確認是來自C2的命令，而對Redis的使用者而言，MGET命令仍能正常運作，使得惡意軟體的行蹤變得更加隱密。</p> <p><a href="https://www.cadosecurity.com/the-nine-lives-of-commando-cat-analysing-a-novel-malware-campaign-targeting-docker/"><strong style="font-size: 22px;">加密貨幣挾持攻擊Commando Cat鎖定曝露的Docker API下手</strong></a></p> <p>資安業者Cado揭露今年出現的加密貨幣挾持攻擊行動Commando Cat，駭客鎖定曝露在網際網路的Docker API，並使用透過Docker映像建立工具Commando而產生的容器進行部署，然後進行容器逃逸，並在Docker主機執行惡意酬載，目的是竊取AWS、GCP、Azure等雲端服務的帳密資料，並利用這些主機從事挖礦工作。</p> <p>攻擊者先是藉由部署Docker做為初始的入侵管道，然後從自己控制的伺服器對目標主機派送一系列的酬載，透過開源工具Commando部署容器並執行惡意命令，使用chroot命令逃脫至容器範圍之外，接著，對方會檢查是否存在特定的服務，才會繼續執行下個階段的行動，在受害主機植入SSH金鑰、後門程式、竊資軟體，最終部署挖礦軟體XMRig。</p> <p>研究人員指出，駭客在執行部分惡意程式的過程中，將檔案存放於記憶體暫存資料夾/dev/shm，使得資安人員調查駭客的蹤跡變得更加困難，他們根據攻擊者使用Shell指令碼、C2伺服器的IP位址，發現與駭客組織TeamTNT手法有所重疊，推測是由其他駭客模仿其手法發起的攻擊行動。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=155714&SPOKE_DATE=20240219&COMPANY_ID=2421"><strong style="font-size: 22px;">散熱風扇製造商建準遭遇加密攻擊，強調資料未外流、未遭到勒索</strong></a></p> <p>2月19日散熱風扇製造商建準發布重大訊息，指出其資訊系統於早上遭到加密攻擊，他們找到加密來源並阻斷加密，正著手恢復系統。而對於本次事故帶來的影響，該公司強調，資料無外洩的疑慮，他們也沒有遭到勒索，目前評估對於營運無重大影響。</p> <p>對於後續的改善措施，該公司表示將強化現有的資安政策、系統架構安全、員工資安教育的落實，並全面提升網路安全等級。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://research.checkpoint.com/2024/the-risks-of-the-monikerlink-bug-in-microsoft-outlook-and-the-big-picture/"><strong style="font-size: 22px;">微軟收信軟體Outlook存在重大漏洞Moniker Link，有可能被用於發動RCE攻擊</strong></a></p> <p>微軟在2月例行更新（Patch Tuesday）針對收信軟體Outlook修補重大漏洞CVE-2024-21413，一旦攻擊者觸發漏洞，就有機會在未經身分驗證的情況下，繞過Office Protected View防護機制，而有機會遠端執行任意程式碼（RCE），CVSS風險評分為9.8。</p> <p>通報此漏洞的資安業者Check Point公布更多細節，他們指出攻擊者若是使用file://通訊協定，並在URL加入驚嘆號，就有機會繞過Office對於惡意連結的防護機制。研究人員指出，這項漏洞發生的原因，在於函式功能MkParseDisplayName的不安全API引起，因此這項漏洞有可能影響其他應用程式。</p> <p>研究人員指出，攻擊者一旦成功利用CVE-2024-21413，就有機會竊取NTLM帳密資料，或是藉由惡意Office文件執行任意程式碼，他們將這項漏洞命名為Moniker Link，呼籲所有Outlook使用者要儘速套用更新程式。</p> <p><a href="https://www.bleepingcomputer.com/news/security/over-28-500-exchange-servers-vulnerable-to-actively-exploited-bug/"><strong style="font-size: 22px;">近10萬臺Exchange Server恐曝露權限提升漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GGsygfEXkAALYLE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGsygfEXkAALYLE.jpg" style="width: 300px; float: right;" /></a>2月13日微軟修補Exchange權限提升漏洞CVE-2024-21410（CVSS風險評分為9.8），隔日表示該漏洞已被用於攻擊行動，但有研究人員提出警告，仍有不少伺服器尚未修補而曝險。</p> <p>Shadowserver基金會指出，他們在2月17日進行掃描，全球約有9.7萬臺可能曝露相關風險的郵件伺服器，其中最嚴重的是德國和美國，分別有22,903臺、19,434臺，其次是英國、法國、奧地利，分別有3,665臺、3,074臺、2,987臺。值得留意的是，臺灣也有曝露該弱點的郵件伺服器，有777臺。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/Shadowserver/status/1759555706166902819">https://twitter.com/Shadowserver/status/1759555706166902819</a><br /> 2. <a href="https://dashboard.shadowserver.org/statistics/combined/visualisation/?date_range=1&source=exchange&source=exchange6&tag=cve-2024-21410%2B&tag=possible-cve-2024-21410%2B&dataset=unique_ips&limit=20&group_by=geo&count_as=avg&scale=lin&style=table">https://dashboard.shadowserver.org/statistics/combined/visualisation/?date_range=1&source=exchange&source=exchange6&tag=cve-2024-21410%2B&tag=possible-cve-2024-21410%2B&dataset=unique_ips&limit=20&group_by=geo&count_as=avg&scale=lin&style=table</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-disrupted-by-global-police-operation/"><strong style="font-size: 22px;">11個國家執法單位切斷勒索軟體駭客組織LockBit的運作</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GGur2R5XYAAbVRq.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGur2R5XYAAbVRq.jpg" style="width: 300px; float: right;" /></a>惡名昭彰的勒索軟體駭客組織LockBit的暗網網站傳出遭到執法單位扣押，此網站目前顯示由英國國家刑事局（National Crime Agency，NCA）控制，並指出這是美國聯邦調查局（FBI）與11個國家聯手，進行的執法行動Operation Cronos成果，他們自格林威治標準時間2月20日上午11時30分，已經中斷LockBit提供的網路犯罪服務。</p> <p>資安研究團隊VX-Underground指出，執法單位至少查封22個Tor網站，目前該組織的網站不是顯示被歐洲刑警組織（Europol）查獲的網頁，就是處於離線的狀態；該網站旗下的駭客若是登入系統，也會看到相關訊息：執法單位已掌握原始碼、受害組織名單、勒索金額，很快就會找上他們。</p> <p>究竟執法單位如何成功拿下網站？該駭客組織認為應該是藉由PHP重大漏洞CVE-2023-3824（CVSS風險評分為9.8）來達成。經營LockBit的團隊也向旗下成員成為發出通知，證實遭遇資安事故，但傳送的管道有兩種說法，資安業者AzAl Security認為是透過電子郵件，而VX-Underground指出可能是透過即時通訊軟體Tox或是XMPP。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/vxunderground/status/1759693943942287543">https://twitter.com/vxunderground/status/1759693943942287543</a><br /> 2. <a href="https://twitter.com/vxunderground/status/1759708760929390879">https://twitter.com/vxunderground/status/1759708760929390879</a><br /> 3. <a href="https://twitter.com/vxunderground/status/1759732862335504773">https://twitter.com/vxunderground/status/1759732862335504773</a><br /> 4. <a href="https://twitter.com/azalsecurity/status/1759740340209172548">https://twitter.com/azalsecurity/status/1759740340209172548</a><br /> 5. <a href="https://twitter.com/vxunderground/status/1759795956218778068">https://twitter.com/vxunderground/status/1759795956218778068</a></p> <p><a href="https://www.justice.gov/opa/pr/justice-department-conducts-court-authorized-disruption-botnet-controlled-russian"><strong style="font-size: 22px;">美國破壞俄羅斯駭客APT28經營的殭屍網路Moobot</strong></a></p> <p>俄羅斯駭客組織APT28利用殭屍網路病毒Moobot入侵搭載EdgeOS作業系統的Ubiquiti路由器，組成以家用與小型辦公室（SOHO）設備形成的殭屍網路，將其用於代理惡意流量，並對於美國及其盟國進行網路釣魚，或是竊取帳密的攻擊行動，如今美國政府對其出手。</p> <p>2月15日美國司法部（DOJ）宣布，聯邦調查局（FBI）取得法院死亡灰燼行動（Operation Dying Ember）的許可，遠端存取遭到入侵的路由器，清除殭屍網路病毒及其他惡意檔案，為防止及俄羅斯駭客再度控制，FBI也修改路由器的防火牆規則，並收集與內容無關的路由資訊，來監控是否有駭客試圖嘗試入侵的跡象。</p> <p>而這是繼1月美國摧毀中國駭客Volt Typhoon經營的殭屍網路KV-Botnet之後，今年第2波清理相關基礎設施的執法行動。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/alpha-netwalker-ransomware"><strong><span style="font-size: 20px;">研究人員揭露勒索軟體Alpha，疑為NetWalker東山再起</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/cactus-ransomware-claim-to-steal-15tb-of-schneider-electric-data/"><span style="font-size: 20px;">施耐德電機傳出資料外洩，勒索軟體Cactus聲稱竊得1.5 TB資料</span></a></strong></p> <p></p> <p><a href="https://www.fortinet.com/blog/threat-research/android-spynote-moves-to-crypto-currencies"><strong><span style="font-size: 20px;">安卓間諜軟體SpyNote冒充加密貨幣錢包，意圖洗劫受害者存款</span></strong></a></p> <p></p> <p><a href="https://threatresearch.ext.hp.com/hp-wolf-security-threat-insights-report-q4-2023/"><strong><span style="font-size: 20px;">駭客偏好利用PDF惡意程式，藉此散布WikiLoader、Ursnif、DarkGate</span></strong></a></p> <p></p> <p><strong><a href="https://www.securityweek.com/eset-patches-high-severity-privilege-escalation-vulnerability/"><span style="font-size: 20px;">ESET修補高風險權限提升漏洞，影響Windows端點、Exchange Server、SharePoint Server、Azure等多項防護產品線</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161344"><strong>【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161326"><strong>【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161319"><strong>【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</strong></a></p> </div></div></div>
2024/2/20 14:45作者周峻佑https://www.ithome.com.tw/news/161355
K1打算以每股0.55美元買下MariaDB
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甫於2022年12月，藉由與特殊目的收購公司合併而登上紐約股市的開源資料庫軟體業者MariaDB，<a href="https://investors.mariadb.com/news/news-details/2024/Announcement-Regarding-Possible-Offer/default.aspx" target="_blank">上周收到</a>來自K1 Investment Management的非約束性收購要約，K1<a href="https://k1.com/meridian/" target="_blank">打算</a>以每股0.55美元的價格買下MariaDB已發行與即將發行的所有股份，而不管MariaDB賣不賣，很可能都會下市。</p> <p>MariaDB為開源關聯性資料庫MySQL的分支，是為了因應MySQL遭到甲骨文併購而開發的，旨在維持開源並與MySQL相容，它在2022年12月19日登上紐約股市（NYSE）時，開盤價為11.55美元，但最終以6.7美元作收，此後的股價便不曾再超越第一天的收盤價，更在去年6月因連續30天交易日的平均收盤價低於1美元，因不符合NYSE上市公司守則的802.01C條款而收到通知。</p> <p><a href="https://nyseguide.srorules.com/listed-company-manual/09013e2c8556747d?searchId=1150133367" target="_blank">根據該條款</a>，只要是股價連續30個交易日低於1美元，或是連續30個交易日的市值低於5,000萬美元，都被視為不符上市規定，若未能在一定的期間內改善，NYSE便會啟動停牌與退市程序。</p> <p>儘管MariaDB承諾改善，但自收到NYSE通知以來，其收盤價從未超過1美元。MariaDB上周公布了截至2023年12月31日的<a href="https://investors.mariadb.com/news/news-details/2024/MariaDB-Files-First-Quarter-Fiscal-2024-Financial-Results/default.aspx" target="_blank">2024財年第一季財報</a>，指出該季的年度經常性收入（ARP）成長了11%，虧損880萬美元，優於前一年同期所虧損的1,270萬美元。</p> <p>去年9月，創投業者Runa Capital曾<a href="https://investors.mariadb.com/news/news-details/2023/Announcement-Regarding-Possible-Offer/default.aspx" target="_blank">計畫</a>買下MariaDB，但最終由Runa Capital的關係企業RP Ventures借了2,650萬美元予MariaDB。</p> <p>K1公布收購要約的時間點為2月16日，當天MariaDB的收盤價為0.34美元，雖然K1的收購價為0.55美元，但因有前車之鑑，不確定會不會成真，MariaDB盤後股價只微幅上漲了2.79%，達0.3495美元。目前MariaDB的市值僅有2,300萬美元，而K1所提出的收購價估值則約為3,700萬美元。</p> </div></div></div>
2024/2/20 14:34作者陳曉莉https://www.ithome.com.tw/news/161353
知名勒索軟體LockBit遭全球警方攻陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早就被多國政府鎖定的<a href="https://www.ithome.com.tw/news/157357" target="_blank">知名勒索軟體LockBit</a>傳出已遭全球警方聯手攻陷，根據<a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-disrupted-by-global-police-operation/" target="_blank">《BleepingComputer》</a>的報導，LockBit位於洋蔥網路上的資料外洩官網已出現被扣押的訊息，而專門蒐集惡意程式原始碼的<a href="https://twitter.com/vxunderground/status/1759697172101022176?s=20" target="_blank">vxunderground也透過X</a>披露了此一消息。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0220-The%20LockBit%20data%20leak%20site-under%20the%20control%20of%20The%20National%20Crime%20Agency%20of%20the%20UK-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Malwarebytes.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Malwarebytes</span></span></p> <p>LockBit會被攻陷並不令人意外，包括美國、澳洲、加拿大、英國、法國、德國及紐西蘭的網路安全機構去年5月就曾共同發表<a href="https://www.ithome.com.tw/news/157357" target="_blank">有關LockBit的研究報告</a>，指出LockBit是全球在2022年與2023年最活躍的勒索軟體集團，全球受害組織超過1,653個，光是美國的受害者就支付超過9,100萬美元的贖金。</p> <p>依據《BleepingComputer》的截圖，多國執法機構已接管了LockBit的資料外洩網站，而LockBit的員工亦向vxunderground證實它們已被FBI攻陷，LockBit聯盟的成員嘗試登入時，也已看到平臺已被FBI、英國及歐洲刑警組織<a href="https://twitter.com/vxunderground/status/1759708760929390879" target="_blank">接管的訊息</a>，指出國際警方已取得LockBit的原始碼、受害者資料、勒索的金額、所竊取的資料，以及聊天紀錄等。</p> <p>英國的國家犯罪調查局（National Crime Agency，NCA）已向媒體證實了此事，並計畫於本周公布更多的細節。</p> </div></div></div>
2024/2/20 12:43作者陳曉莉https://www.ithome.com.tw/news/161352
有1.3萬的Wyze用戶意外連到別人的監視器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發監視器等數位家庭產品的<a href="https://forums.wyze.com/t/update-on-investigation-of-2-16-24-security-issue/291002" target="_blank">Wyze Labs本周坦承</a>，上周五（2/16）服務臨時中斷再重啟之後，出現了安全問題，使得1.3萬名用戶可看到來自其它帳號的縮圖及監視影片，目前已修復並已採取預防措施，開始寄送郵件通知所有用戶。</p> <p>Wyze解釋，此一服務中斷事件源自於合作夥伴AWS，讓所有Wyze裝置在周五凌晨停擺了數小時，在試圖將裝置重新上線時，有用戶發現他們在自己的事件（Events）標籤中，看到的是別人的縮圖與事件影片（Event Videos），促使該公司展開調查。</p> <p>調查後確認約有1.3萬名用戶收到來自別人家監視器的縮圖，當中有1,504名用戶點選了這些縮圖，大多數的點選只會放大縮圖，但有一些例子可以直接看到事件影片。整體而言，有0.25%的Wyze帳號受到影響。</p> <p>Wyze說明，此一安全意外是因該公司最近於系統上整合了一個第三方的快取客戶端函式庫，然而，它承受不住龐大數量的裝置同時重新上線，負載過大令它搞混了裝置ID與用戶ID，而把某些資料連至錯誤的帳號。</p> <p>為了確保此事不再發現，該公司在用戶連至事件影片時新增了一層驗證機制，也修改系統以繞過快取檢查，正在尋找其它可通過壓力測試的新快取客戶端函式庫。</p> <p>2017年成立的Wyze有許多爭議，除了被Johnson Controls子公司Sensormatic與小米控告侵犯專利之外，在2019年曾外洩240萬名用戶資料，也曾<a href="https://www.ithome.com.tw/news/150222" target="_blank">遭資安業者Bitdefender批評</a>不修補可被存取SD卡的安全漏洞。</p> </div></div></div>
2024/2/20 11:46作者陳曉莉https://www.ithome.com.tw/news/161351
Android 15第一預覽版已推出，強化硬體支援與動態效能管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google著手開發新版Android，現已釋出<a href="https://android-developers.googleblog.com/2024/02/first-developer-preview-android15.html">Android 15第一預覽版</a>。該新版本Android讓應用程式能更好地運用硬體，像是相機、GPU和顯示螢幕等，並開始支援Google新的廣告技術隱私沙箱（Privacy Sandbox），還更新動態效能框架（Android Dynamic Performance Framework，ADPF），供應用程式更好地與作業系統在電源與熱控管上協作。</p> <p>在Android 15，Google開始將隱私沙箱整合進廣告管理工具Android AD服務中，允許廣告商和開發者採用新的廣告技術向用戶推送廣告。傳統網路廣告模式，廣告商通常需要仰賴第三方Cookie等追蹤技術來收集用戶資料，向用戶推送針對性的廣告，但是由於隱私上的顧慮，目前各方瀏覽器都開始預設封鎖第三方Cookie，而Chrome也計畫在2024年第一季，開始移除1％用戶的第三方Cookie，並在第三季逐漸分批移除。</p> <p>而Google所提出的隱私沙箱計畫，便是希望創建更具隱私的廣告生態系來替代第三方Cookie，提供廣告商和開發者包括聚合、匿名化技術來處理用戶資料，希望減少廣告對個人資料的仰賴。不過，目前Apple和Mozilla都以保護用戶隱私為由，拒絕支援隱私沙箱Topics API。</p> <p>Android 15的檔案完整性管理員新增API，使系統可以運用Linux核心中fs-verity功能，自動加密簽章保護檔案，Google提到，該新功能將能提高Android安全性，防止潛在的惡意軟體和未經授權的檔案修改，不讓攻擊者破壞應用程式的功能和資料。</p> <p>Google透過通用MIDI封包（UMP）通訊，在Android 13提供USB連接MIDI 2.0裝置的支援。MIDI 2.0是一種較新的音樂數位介面（Musical Instrument Digital Interface，MIDI）標準，相較之前的版本，提供較高的解析度與更好的表現力，也具有更多的控制功能。</p> <p>現在Android 15，Google要進一步將通用MIDI封包擴展至虛擬MIDI應用，這代表音樂創作應用現在可以控制合成器應用，就像是透過USB連接到實體的MIDI 2.0裝置一樣。這項功能的擴展使得應用程式之間，可以透過MIDI 2.0標準互動和控制，如此即便沒有實體MIDI硬體，用戶還是可以運用這些應用進行音樂創作和表演。</p> <p>Android 15加入新擴充，使得開發者對裝置上的相機硬體和演算法有更多的控制能力，包括低光強化以提升相機預覽的亮度，還提供閃光燈強度進階調整能力，使得用戶在拍照時，能夠運用單次閃光和長時間閃光模式下，精確控制閃光強度。</p> <p>Google也持續投資Android動態效能框架（Android Dynamic Performance Framework，ADPF），來強化Android裝置的動態效能。ADPF是一套API，供遊戲和效能密集應用程式能夠與Android裝置的電源和熱管理系統更直接的互動。</p> <p>而Android 15上的ADPF將會於提示會話（Hint Session）機制新增省電模式，指示特定相關執行緒優先考慮節能而非效能，適用長時間在背景運作的工作負載。提示會話是一種允許應用程式對系統提出效能相關建議或是提示的機制，藉以協助系統了解應用程式當前效能需求，讓系統可以根據需求，調整電源和熱管理系統。</p> <p>新的ADPF提示會話機制還能夠提供CPU和GPU工作時長報告，允許系統調整CPU和GPU頻率，以更好地滿足工作負載需求。Android 15現在還會透過預測熱餘量閾值（Thermal Headroom Threshold）解釋可能的熱限制狀態，這將有助於應用程式判斷裝置是否即將進行熱降頻。</p> <p><a href="https://developer.android.com/about/versions/15/overview#timeline">Google預計將會在6月推出Beta第三測試版</a>，屆時將達到平臺穩定性，該里程碑後開發者可以進行最終相容性測試。若未更新應用程式整合SDK和函式庫支援Android 15，下游應用程式和遊戲開發者可能會遭Google封鎖。</p> </div></div></div>
2024/2/20 08:17作者李建興https://www.ithome.com.tw/news/161347
BigQuery現提供向量搜尋功能支援RAG用例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>BigQuery現在開始<a href="https://cloud.google.com/blog/products/data-analytics/introducing-new-vector-search-capabilities-in-bigquery">提供向量搜尋功能</a>，供用戶能在BigQuery中進行向量相似性搜尋。向量搜尋通常也被稱作近似最鄰近（Approximate Nearest-Neighbor，ANN）搜尋，能夠在高維空間中快速找到與特定向量最相近的向量。</p> <p>BigQuery的向量搜尋功能允許用戶對儲存於BigQuery的高維資料集，進行快速且準確的搜尋，支援新資料處理和人工智慧應用在內的多種用例，諸如使用大型語言模型進行語義搜尋，或是病歷、交通事故、圖像等相似性搜尋，以及結合檢索強化生成（RAG）技術，強化生成式人工智慧工作負載。</p> <p>BigQuery的向量搜尋功能提供了一種簡單且直覺的語法，類似BigQuery現有的文字搜尋功能，進而簡化向量搜尋與SQL原語組合，供用戶在BigQuery處理各種資料。向量搜尋功能支援BigQuery嵌入生成功能，針對大型語言模型或是預訓練模型，或是也可以支援以其他方式生成的嵌入。當底層表格資料發生變化時，BigQuery向量索引也會跟著自動更新，用戶也可監控索引更新進度。</p> <p>LangChain框架可以與BigQuery向量搜尋功能搭配使用，強化自然語言處理。LangChain能夠用於編寫和管理自然語言處理任務工作管線，而BigQuery對LangChain的支援，讓Python開發者方便進行整合，並與其他第三方框架一起使用。向量搜尋功能所提供的VECTOR_SEARCH向量搜尋函式，已經針對分析用例最佳化，能夠有效處理大批次的查詢，而在處理小量輸入資料時，也能夠提供低延遲推理結果。</p> <p>藉由BigQuery與Vertex AI的整合，用戶可以在同一資料上進行快速、低延遲的線上預測，另外，BigQuery內建的資料治理功能也能派上用場，提供資料遮罩、行級、列級的安全政策。</p> </div></div></div>
2024/2/20 08:22作者李建興https://www.ithome.com.tw/news/161350
【資安日報】2月19日，Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近Ivanti頻繁對於Connect Secure漏洞發布資安公告，並指出部分漏洞已確認被用於攻擊行動，使得這套SSL VPN系統的安全問題再度浮上檯面，然而有研究人員發現，這套系統採用大量早就已經終止支援的元件，而曝露於許多已知漏洞的資安風險。</p> <p>這也突顯Ivanti在2020年買下Pulse Secure公司之後，歷經多次資安漏洞相關事故與爭端之後，此系統竟然被發現至今仍延用老舊架構，並未逐步汰換、更新元件，而使得攻擊者有機會藉由已知漏洞上下其手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.sentinelone.com/labs/sns-sender-active-campaigns-unleash-messaging-spam-through-the-cloud/"><strong style="font-size: 22px;">惡意Python指令碼SNS Sender濫用AWS服務進行簡訊攻擊</strong></a></p> <p></p> <p>資安業者SentinelOne揭露名為SNS Sender的惡意Python指令碼，駭客將其用於濫用AWS Simple Notification Service（SNS）服務，從而發送大量簡訊，散布惡意網址連結，進行網釣簡訊攻擊（Smishing）。</p> <p>研究人員指出，駭客通常假借美國郵政服務（USPS）的名義，聲稱使用者的包裹投遞錯誤，從而要求他們提供可識別的個人資訊（PII）。製作此惡意指令碼的作者ARDUINO_DAS，將其提供給超過150個網路釣魚工具包。照理來說，AWS帳號會因受限於內建的SNS沙箱功能，而無法濫用此服務發送大量簡訊，但研究人員指出，若使用者向AWS客戶支援人員提出說明，由於這些服務只需支付1美元，以及相關異動需求是採用人工審核，有可能因此取消上述的沙箱功能限制，而能將SNS用於散布垃圾簡訊。</p> <p>利用雲端服務來發送垃圾簡訊的情況已非首例，去年散布惡意程式AlienFox的駭客，他們就是使用雲端通訊平臺Twilio發送釣魚簡訊。</p> <p><a href="https://www.recordedfuture.com/russia-aligned-tag-70-targets-european-government-and-military-mail"><strong style="font-size: 22px;">俄羅斯駭客組織Winter Vivern利用郵件伺服器Roundcube漏洞，攻擊歐洲關鍵基礎設施</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tag_70_chart_28741e8d2b.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tag_70_chart_28741e8d2b.png" style="width: 300px; float: right;" /></a>資安業者Recorded Future指出，別名為TAG-70、TA473、UAC-0114的俄羅斯駭客組織Winter Vivern，從去年10月利用郵件伺服器Roundcube的跨網站指令碼（XSS）漏洞，針對超過80個企業組織進行未經授權的存取，對於歐洲政府機關、軍事單位，以及國家關鍵基礎設施而來。這些受害組織當中，位於烏克蘭的最多，占30.9%，喬治亞、波蘭分別占13.6%、12.3%居次，但比利時、法國、捷克、德國、英國也有組織受害。</p> <p>研究人員指出，在烏克蘭戰爭仍持續進行的情況下，這些遭到攻擊的郵件伺服器很有可能曝露烏克蘭在戰爭當中進行的各種努力，像是外交關係、與其他國家之間聯盟的機敏資訊，有可能因此流出而造成影響。而針對伊朗駐俄羅斯、荷蘭大使館遭到攻擊的情況，研究人員認為，這代表伊朗在外交上存在更為廣泛的地緣政治利益考量，特別是該國對俄羅斯、烏克蘭之間的立場；至於鎖定喬治亞政府機關的網路間諜活動，則有可能是為了監視該國打算加入歐盟及北約組織（NATO）的動態。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/a/pawn-storm-uses-brute-force-and-stealth.html"><strong style="font-size: 22px;">俄羅斯駭客組織APT28發動NTLM中繼攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/pawn-storm-updates-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pawn-storm-updates-1.jpg" style="width: 300px; float: right;" /></a>針對代號為Fancy Bear、Strontium、Pawn Storm的俄羅斯駭客組織APT28，資安業者趨勢科技公布其2022年4月至2023年11月的攻擊行動，其共通點是透過多種方式發動NTLM密碼雜湊中繼（NTLM hash relay）攻擊，駭客的目標涵蓋政府機關、國防工業、能源、交通單位、軍隊，範圍遍及歐洲、北美、南美、亞洲、非洲、中東。</p> <p>他們去年12月看到駭客濫用執行EdgeOS作業系統的路由器，將其用來發送網路釣魚郵件，一旦收信人利用微軟收信軟體Outlook開啟，就有機會觸發Outlook權限提升漏洞CVE-2023-23397（CVSS風險評分為9.8）、WinRAR程式碼執行漏洞CVE-2023-38831（CVSS風險評分為7.8），存取使用者的NTLM雜湊密碼來進行中繼攻擊，從而對目標組織的電子郵件信箱進行未經授權的存取。</p> <p>經過研究人員的進一步調查，他們認為駭客在2022年4月就開始利用CVE-2023-23397。到了11月29日至12月11日，這些駭客又對於歐洲各國政府下手，使用webhook[.]site並搭配VPN服務來發送釣魚郵件，這些信件帶有Windows捷徑檔案（LNK），最終導致NTLM密碼雜湊中繼攻擊。</p> <p><a href="https://hub.dragos.com/report/voltzite-espionage-operations-targeting-u.s.-critical-systems"><strong style="font-size: 22px;">中國駭客Volt Typhoon鎖定美國、非洲電力設施的工業控制系統發動攻擊</strong></a></p> <p>五眼聯盟針對中國駭客Volt Typhoon的攻擊行動提出警告，指出這些駭客對於美國關鍵基礎設施進行長時間攻擊，至少埋伏5年，現在有研究人員找到新的發現。</p> <p>專精工業控制系統的資安業者Dragos指出，他們追蹤與Volt Typhoon行蹤有所交集的駭客組織Voltzite，此集團大多鎖定美國及非洲的電力產業，但衛星、電信、災害管理、國防工業等領域也有受害者，這群惡徒幾乎都採用寄生攻擊（LotL）手法，並導入高階的操作安全實務，以確保他們的行動不會反遭滲透。</p> <p>為了藏匿攻擊來源，這些駭客會在受害組織部署各式的Web Shell及快速反向代理伺服器（fast reverse proxy，FRP）工具，來向C2進行通訊，而C2流量通常也藉由遭駭的家用與小型辦公室（SOHO）網路設備及虛擬私人伺服器（VPS）基礎設施來處理。此外，這些駭客通常會藉由竊取帳密資料來進行橫向移動。</p> <p><a href="https://citizenlab.ca/2024/02/paperwall-chinese-websites-posing-as-local-news-outlets-with-pro-beijing-content/"><strong style="font-size: 22px;">中國公關公司架設100多個WordPress網站，冒充世界各地新聞媒體散布對中國有利的訊息</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/paperwall-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/paperwall-7.png" style="width: 300px; float: right;" /></a>加拿大多倫多公民實驗室（Citizen Lab）揭露中國公關公司架設123個網站、假冒歐洲、亞洲、拉丁美洲30個國家新聞媒體，透過發布大量新聞稿，散播有利於中國政府的假資訊，研究人員將這起攻擊行動稱為PaperWall。</p> <p>關於這起活動被發現的原因，起初是10月底義大利新聞網站Il Foglio揭露有6個冒充當地新聞媒體的網站，但他們發現這些網站並未依照該國法律向國家註冊為新聞媒體，而且這6個網站的結構、版面、內容極為相似，並夾雜大量與中國有關的新聞；11月韓國國家網路安全中心（NCSC）也有類似發現，他們看到有18個假冒當地媒體的韓文網站，並指出這些網站由中國公關公司海賣（Shenzhen Haimaiyunxiang Media Co., Ltd.，Haimai）經營。公民實驗室研究人員循線進行調查，截至12月21日為止，共找到123個架設這種新聞網站的網域，這些網站皆以WordPress外掛程式WPBakery建置而成，內容主要來自名為Times Newswire，亦有部分從當地媒體抓取。</p> <p>但值得留意的是，這些網站挾帶特定的政治內容，攻擊對中國不利的人士，例如，研究人員在大部分的PaperWall網站上，看到標題為「Li-Meng Yan完全是謠言製造者」的英文文章，這位是醫學研究員閆麗夢（閻麗夢），曾指控COVID-19病毒源自中國政府實驗室。這起活動至少從2020年開始，雖然目前這些網站的曝光程度非常低，但只要有當地媒體將其內容曝光，就有機會造成影響。</p> <p><a href="https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q4-2023/"><strong style="font-size: 22px;">勒索軟體駭客組織間互通有無，以較少的攻擊次數對工控系統帶來更大傷害</strong></a></p> <p></p> <p>資安業者Dragos針對勒索軟體對工業控制系統（ICS）在2023年第4季造成的威脅態勢進行分析，他們在全球看到204起事故，較前年同期的231起略為下降。</p> <p>其中針對北美、歐洲、亞洲的工業組織或關鍵基礎設施而來的，分別有87、67、30起；從產業別來看，最嚴重的是製造業，有135起事故，占66.1%，其次是交通運輸部門有26起。至於發起相關攻擊行動的駭客組織，勒索軟體LockBit有52起最多，約占四分之一（25.5%），其次是BlackBasta、BlackCat（Alphv），分別有21、14起。</p> <p>研究人員指出，雖然針對工控系統的勒索軟體攻擊事件數量下降，但有幾個現象值得留意，首先，就是駭客持續調整攻擊手法，增加了攻擊成功的機率，例如：LockBit、BlackCat、Royal加入遠端加密（remote encryption）手法，透過端點裝置入侵整個組織；再者，則是偏好利用零時差漏洞（如LockBit使用Citrix Bleed漏洞），而讓防守方措手不及；此外，駭客組織如今也積極與媒體互動，吸引記者報導，甚至提供新聞稿或是接受採訪，企圖操縱社會大眾的看法，來對受害組織進行施壓。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://eclypsium.com/blog/flatlined-analyzing-pulse-secure-firmware-and-bypassing-integrity-checking/"><strong style="font-size: 22px;">研究人員解析Ivanti Connect Secure韌體，發現使用大量已終止支援的元件而容易受到攻擊</strong></a></p> <p>最近1個月Ivanti對旗下的SSL VPN系統Connect Secure（ICS）、NAC系統Policy Secure（IPS）公布5個漏洞，其中超過半數在公布前就被用於攻擊行動，但為何上述的資安系統屢屢成為駭客偏好下手的目標？有研究人員對其韌體進行分析，發現該公司採用多種老舊、已不再受到支援的元件存在風險。</p> <p>專精韌體安全的資安業者Eclypsium取得ICS韌體ICS-9.1.18.2-24467.1版進行分析，結果發現，此韌體底層執行的作業系統竟是已在2020年終止支援的CentOS 6.4，其Linux核心更是在2016年終止支援的2.6.32版，還有很多元件也相當老舊，而可能存在不會被修補的漏洞，例如：2017年終止支援的OpenSSL 1.0.2n、2010年終止支援的Python 2.6.6，以及2001年終止支援、32位元版本的Perl 5.6.1。</p> <p>此外，研究人員也在該系統找出大量弱點，包含973個已登記CVE編號的已知漏洞，其中有396個為高風險層級；他們也從76個Shell指令碼找到1,216個弱點、並在5,392個Python檔案找出5,218個漏洞，再者，該系統所使用的800個憑證當中，有133個已經過期。</p> <p><a href="https://s4.itho.me/sites/default/files/images/pi_screen_6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pi_screen_6.png" style="width: 580px;" /></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://group.ntt/jp/newsrelease/2024/02/16/240216b.html"><strong style="font-size: 22px;">為降低軟體供應鏈資安風險，日本IT業者成立安全透明聯盟，迄今有10家公司參與</strong></a></p> <p></p> <p>為了促進供應鏈的安全，去年9月NTT及NEC兩家日本IT龍頭籌畫「安全透明聯盟（Security Transparency Consortium）」，並於10月11日正式成立，當時參與的公司包括網路設備供應商ALAXALA Networks、思科、資安業者FFRI Security, Inc.、日立、三菱電機等，迄今已有10家企業參與。</p> <p>此聯盟成立的主要目的，是要讓產品供應商、系統整合商、資安業者、採用產品及服務的企業之間進行合作，藉由成員共享圖像化資料的知識與技術，從而基於軟體物料清單（SBOM）來增加相關資料的透明度，最終達到提升整體網路安全的目標。該聯盟打算對SBOM相關的圖像化資料互通制訂對策，並預告在今年春季將進行相關公告。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/wyze-investigating-security-issue-amid-ongoing-outage/"><strong><span style="font-size: 20px;">智慧家庭設備業者Wyze出現服務異常，該公司表示是遭遇資安問題導致</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/alphv-ransomware-claims-loandepot-prudential-financial-breaches/"><span style="font-size: 20px;">勒索軟體駭客組織BlackCat聲稱對LoanDepot、保德信發動攻擊</span></a></strong></p> <p></p> <p><a href="http://www.chainalysis.com/blog/2024-crypto-money-laundering/"><strong><span style="font-size: 20px;">政府機關對加密貨幣服務鬆綁，北韓駭客改以比特幣混合器Yomix洗錢</span></strong></a></p> <p></p> <p><a href="https://cert.europa.eu/publications/threat-intelligence/tlr2023/"><strong><span style="font-size: 20px;">中國、俄羅斯駭客組織針對歐盟發動攻擊，網路釣魚是入侵受害組織的主要管道</span></strong></a></p> <p><strong><a href="https://www.lmgsecurity.com/news/critical-software-vulnerabilities-impacting-credit-unions-discovered-by-lmg-security-researcher-immediate-action-recommended/"><span style="font-size: 20px;">供信用合作社使用的CUSG內容管理系統存在漏洞，攻擊者有機會取得超級管理員權限</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161326"><strong>【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161319"><strong>【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161289"><strong>【2月15日】臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料</strong></a></p> </div></div></div>
2024/2/19 16:18作者周峻佑https://www.ithome.com.tw/news/161344
Visual Studio 17.10緊密整合GitHub Copilot，加入更多生成式AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出了最新的<a href="https://devblogs.microsoft.com/visualstudio/introducing-visual-studio-17-10-preview-1-is-here/" target="_blank">Visual Studio 17.10第一個預覽版</a>。該預覽版更新重點是整合最新GitHub Copilot，提供開發者更多人工智慧功能提升開發生產力，另外，該版本也納入了數個由社群建議的功能，使程式碼版本控制更為便利。</p> <p>透過訂閱GitHub Copilot，開發者能夠在Visual Studio中取得生成式人工智慧程式開發建議，在新版擴充套件，Copilot不僅只是扮演一個聊天機器人角色，還要朝成為結對開發夥伴的方向更進一步。Copilot透過與Visual Studio緊密整合，能夠更好地從專案中收集資訊，進一步提供開發者當前開發環境中有意義的答案。</p> <p>現在開發者可以使用斜線指令加速工作流程，替常見開發任務具體目標設定斜線指令，像是/explain可代表Explain the code等，讓開發者不需要編寫冗長的問題，就能獲得更精準的答案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0219-Visual%20Studio%2017_10_Preview-Slash%20Commands%20for%20Common%20Tasks.png" style="width: 600px;" /></p> <p>此外，開發者可在Visual Studio進行行內聊天，直接於檔案中與Copilot互動並獲得建議，並即時查看差異。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0219-Visual%20Studio%2017_10_Preview-Inline%20Chat.png" style="width: 600px;" /></p> <p>微軟參考社群意見嘗試重新建構自訂體驗，在Visual Studio 17.10引入統一設定功能。從這個新版本開始，提供開發者更多自由和介面，來調整和配置開發環境設定。例如，讓用戶可以在全域層級進行設定，或是在更具體的層級進行自訂，像是特定解決方案和或是資料夾層級，使用戶能夠更細緻地控制不同專案的設定，並可依據每個專案的需求進行調整。</p> <p>開發者可以透過精確的搜尋功能，找到想要調整的設定，而且現在所有設定都會以JSON格式儲存，如此不僅讓設定的儲存更加結構化且易於管理，也讓共享和版本控制變得容易，用戶可以透過編輯JSON檔案快速更改設定，也可以將設定檔與其他人共享，或是在不同的開發環境間簡單移動。另外，微軟也在這些設定選項中，新增重設為預設的功能，以及讓用戶方便發送回饋訊息，供開發團隊進一步改進這些新功能。</p> <p>根據社群的建議，微軟縮短了人工智慧產生Git提交訊息的建議，而且現在可以更容易地在拉取請求應用工作項目，開發者可以使用相關工作項目，查看在拉取請求描述中所參照的工作項目，並將其與Azure DevOps上的拉取請求相關聯。</p> <p>Visual Studio更新現在也會包含推薦的元件，微軟整合了新元件以強化軟體開發體驗，並將其中一些元件推薦添加到安裝的工作負載中。從Visual Studio 17.10開始，當開發者更新Visual Studio時，系統也會自動安裝新的推薦元件。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2024/2/19 16:54作者李建興https://www.ithome.com.tw/news/161345
Fintech周報第231期：日本多家中小型銀行與IT廠商合作展開核心系統上雲計畫，目標2028年上線銀行專用雲端平臺…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2/8~2/17金融科技精選新聞</span></span></h3> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NTT data</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 共享型核心系統 </span></strong></span></h3> <h3>日本多家中小型銀行與IT廠商合作展開核心系統上雲計畫，目標2028年上線銀行專用雲端平臺，共用資料中心、硬體設備和中間軟體</h3> <p>為了解決大型主機老舊、開發人才銳減的問題，日本多家中小型銀行和IT廠商合作展開核心系統上雲計畫。近期，多家日本地方銀行宣布加入IT大廠NTT Data的一項開發計畫，NTT Data將在今年4月開始開發「整合銀行雲」，一個共享銀行系統的雲端平臺。目前，已有18間地方銀行加入計畫，包括由13間銀行組成的日本地方銀行聯合中心。「整合銀行雲」若順利開發完成，就能整合銀行系統所需的硬體設備和中間軟體至NTT Data建立的資料中心，參與計畫的銀行內部將不再需要備有大型主機，有望降低相關營運成本。</p> <p>在日本，中小型銀行數量眾多，這些銀行主要經營特定區域，稱為地方銀行，數量高達64間。其中，多達四成的地方銀行都是採用NTT Data開發的核心系統。今年1月，NTT Data已協助五家地方銀行將自家開發的核心財務系統轉換為開放架構，2028年，NTT Data預計上線整合銀行雲，並在2030年將共享型核心財務系統上架至平臺，再研議擴大應用範圍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/020800-02.png" style="width: 600px;" /></p> <blockquote><p>NTT Data計畫以三階段逐步將共享型核心財務系統整合至「整合銀行雲」，第一階段是在2024年1月將共享型核心財務系統MEJAR改為開放系統架構，第二階段是在2028年上線<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">「整合銀行雲」，第三階段則是在2030年將MEJAR上架至雲端平臺，並研議擴大應用範圍。</span></p> </blockquote> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 保險GAI應用 </span></strong></span></p> <h3>日本保險公司明治安田生命計畫以GAI自動生成客服應對備忘錄</h3> <p>明治安田生命近期宣布，將應用生成式AI在人工輸入資料的工作任務，包括在客服中心自動生成應對客戶的備忘錄，和自動生成業務手冊的問答集。</p> <p>明治安田生命表示，客服中心每年需要處理約55萬筆客戶電話諮詢，通話結束後，客服人員需要人工紀錄諮詢內容，製作客服應答備忘錄。未來，他們會將過往的應答備忘錄供生成式AI模型學習，讓模型自動生成內容，預計能縮短約三成的作業時間。</p> <p>此外，明治安田生命也計畫藉生成式AI自動生成實務手冊問答集。雖然公司內部已經運用AI打造實務手冊問答搜尋系統，但更新問答集仍是以人工進行。因此，明治安田生命希望藉生成式AI取代這項工作，不僅可縮短四成的工作時長，也能生成人工不易發現的問答內容。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲聯邦銀行 </span></strong></span></p> <h3>澳洲聯邦銀行揭露內部已有超過50個GAI應用</h3> <p>澳洲聯邦銀行（CBA）在2023下半年報告中揭露，內部已有超過50個生成式AI應用，並已提升超過500位員工使用AI工具的能力。雖然報告中並未揭露詳細資訊，但近期CBA資訊長在一場活動中表示，公司內部正在測試以生成式AI加強問答工具，協助消金和企金客服人員更快速回應合規性問題，另一方面，也協助貸款業務員處理資訊，讓他們在服務顧客時能快速進行決策。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub Copilot</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳盛銀行 </span></strong></span></h3> <h3>澳盛銀行研究顯示，GitHub Copilot可協助提升約42%的工作速度</h3> <p>澳盛銀行近期發表實驗GitHub Copilot的研究論文，該論文經第十屆國際軟體工程研討會（SEC 2024）審查後接收。去年，澳盛銀行進行為期六週、共100名工程師的測試。他們要求工程師以Python完成多項任務，並將100名工程師分為兩組，一組可以使用GitHub Copilot，另一組則為對照組，僅能搜尋網路資料，或使用Stack Overflow。</p> <p>實驗結果顯示，能使用GitHub Copilot的小組任務完成速度比對照組快約42%，且程式碼較少發生錯誤。但研究也指出，實驗結果無法評估程式碼的安全性。目前，澳盛銀行已經大規模導入這項工具，讓全行千名工程師使用。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Evident AI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI發展 </span></strong></span></h3> <h3>知名銀行AI成熟度指標Evident AI指出，建立自家AI團隊、發表AI研究是成為AI領先銀行的關鍵</h3> <p>Evident AI在去年11月公布全球50大銀行AI成熟度排名，由摩根大通拿下榜首，第一資本排名第二，加拿大皇家銀行排名第三。在這份調查中，Evident AI發現，北美地區的領導銀行在AI發展上能領先歐洲地區銀行的主要原因有三：建立AI研究團隊、發表AI研究論文，和參與AI研討會。其中，領先銀行約在2010年至2020年間，就積極聘請內部AI科學家，累積內部研發能力，凸顯他們對AI人才的重視。</p> <p>Evident AI報告近一步指出，在全球50大銀行發表的AI研究論文中，北美地區銀行的發表數就占了八成，而排名第一的摩根大通甚至占整體45%。該報告認為，銀行若要吸引或留住頂尖AI人才，就須要改變思維方式，例如允許人員發表研究論文、購買運算能力高的設備、讓人員融入學術人才圈，並減少對供應商的依賴。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 加密貨幣</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管 </span></strong></span></h3> <h3>香港金管局提出加密貨幣準備金相關規範</h3> <p>香港金管局近日發布一份諮詢文件，該文件根據國際巴塞爾銀行監管委員會（BCBS）一年多前制訂的標準，規範銀行持有加密貨幣的準備金，是全球首個採用巴塞爾加密貨幣標準的地區。</p> <p>該諮詢文件中，將加密貨幣分為兩大類，每類又分成兩小組。一類是代幣化傳統資產和具有穩定機制的加密資產，其他加密貨幣則屬於另一類。前者的定義幾乎等同已規範的傳統資產，僅是透過加密技術將其代幣化，後者定義的資產中，缺乏流動性且具高度客製化的加密貨幣規範最嚴格。這個規範將在5月初截止徵求意見，預計在2025年7月之後實施。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 個資外洩</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 第三方支付 </span></strong></span></h3> <h3>法國兩家支付業者遭網路攻擊，客戶資料外洩波及法國總人口數的一半</h3> <p>法國資料保護機構（CNIL）在2月7日公布，支付業者Viamedis與Almerys通報他們在1月遭到網路攻擊，外洩了逾3,300萬名客戶的個資。目前法國約有6,800萬的人口，等於有接近一半民眾的個資遭駭。</p> <p>這兩家業者主要業務是提供健康保險業者第三方支付服務，外洩資料涵蓋了投保人與其家人的各種資訊，包括社會安全碼、出生日期、健保業者的名稱，以及合約內容。而醫療資訊、金融資訊、郵政資料與電話號碼則未受到影響。</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">圖片來源／NTT data</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年2月</p> <p> </p> <p></p> </div></div></div>
2024/2/19 10:44作者李昀璇https://www.ithome.com.tw/news/161336
Epic Games宣布要在iOS上建立遊戲商店
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在蘋果因受到《數位市場法》（Digital Markets Act，DMA）的規範，<a href="https://www.ithome.com.tw/news/161035" target="_blank">而決定放寬政策</a>，於歐盟開放第三方程式市集、第三方瀏覽器引擎及第三方支付機制之後，遊戲業者<a href="https://store.epicgames.com/en-US/news/epic-games-store-2023-year-in-review" target="_blank">Epic Games即宣布</a>，已經取得蘋果的開發者帳號，並正在開發iOS上的Epic Games Store，預計於今年上線，而《要塞英雄》（Fortnite）也可望重返iOS平臺。</p> <p>蘋果與Google在2020年8月，因Epic Games在所開發的《要塞英雄》遊戲中，加入了自家的支付機制，雙雙以違反開發者政策為由，將《要塞英雄》下架。除了掀起了Epic Games與這兩大科技業者的訴訟之外，之後的《要塞英雄》只能藉由Google Play以外的途徑下載，而蘋果的App Store亦不再供應該遊戲。</p> <p>然而，《數位市場法》改變了蘋果與Epic Games在歐盟的發展。</p> <p>Epic Games Store是Epic Games在2018年12月推出的數位遊戲發行平臺，支援Windows與macOS，迄今已提供逾2,900款遊戲，每月的活躍用戶數高達7,500萬。</p> <p>Epic Games表示，今年該公司在歐洲將重返iOS，已取得蘋果開發者帳號，很快就會著手開發支援iOS的 Epic Games Store，預計今年便會發表。未來將由Epic Games Sweden AB負責歐洲市場的行動Epic Games Store與《要塞英雄》。</p> <p>除了自家的規畫之外，Epic Games與迪士尼（The Walt Disney Company）在今年2月<a href="https://www.ithome.com.tw/news/161248" target="_blank">宣布結盟</a>，迪士尼以15億美元的注資取得了9%的Epic Games股份，雙方將共同開發以迪士尼角色及故事為主軸的遊戲樂園。</p> </div></div></div>
2024/2/19 14:44作者陳曉莉https://www.ithome.com.tw/news/161341
Container快報第157期：GKE和EKS開始支援K8s 1.29新版，荷蘭第二大銀行用Cilium控管每月16…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#FF0000;">2024/1/15～2/16 精選容器新聞</span><br /> 去年K8s釋出1.29新版後，公雲業者陸續開始在今年初開始支援，包括Google雲的GKE和AWS的EKS，都從今年初開始提供新版。K8s維運的成本控管問題，越來越複雜，K8s成本專案OpenCost的發起者Kubecost也推出了新版產品，除了支援超大規模K8s的成本追蹤之外，還開始運用AI，來預測K8s叢集未來特定日期範圍的成本，讓企業評估上雲費用的未來負擔。另一則值得注意的是VMware改訂閱制和套餐賣法之後，最近公布了停止供應的產品清單，多達59項產品不再單賣或下架了。</strong></p> <p><strong><span style="color:#0000FF;">#Cilium #K8s網管</span><br /> 荷蘭第二大銀行用Cilium建立每月16億次API呼叫的零信任網路控管</strong></p> <p>Rabobank是荷蘭第二大銀行，全球員工近4萬人，開發團隊超過400個。他們有一個5人小組的API平臺團隊，最近用CIlium打造了一套API控管機制，可以建立一個FQDN的網路控管政策，來實現零信任網路，而不用網路IP位址，來控管這上百個開發團隊所用的各種API。他們的基礎架構環境包括了兩套K8s平台，一個是在雲端的AKS叢集，另一個則是在本地端運作的OpenShift叢集，來支援超過400個團隊所用的API平臺的運作，每個月的API呼叫次數超過16億次。原本他們使用了Azure的CNI來控管網路層，但是K8s的網路政策只支援IP列表的控管，尤其許多API在雲端執行時，IP經常會動態變化。要靠IP控管，來建立自動化作業、維護或故障排除，都相當麻煩。</p> <p>後來，他們改用Azure的客製化CNI，搭配Cilium來建立FQDN的白名單網路政策的控管，只需提供網域清單，而不用IP位址，也能全自動進行網路過濾條件的異動，來落實零信任網路政策的要求。另外，Robobank也啟用了Cilium的Hubble可觀察性功能，來監控API的網路流量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CNCF%E5%85%AC%E5%B8%83%E6%96%B0Cilium_case.png" /></p> <p><strong><span style="color:#0000FF;">#容器調度、#K8s</span><br /> K8s年度效能報告出爐，4成企業容器調度能力更準確不容易過量</strong></p> <p>這是K8s維運管理顧問公司Fairwinds第四年公布K8s效能報告，今年他們追蹤了來自上百家企業，多33萬個K8s工作量的維運情況。有幾項發現，近4成企業過半容器工作量，用了適量的容器規模來實行，這意味著企業的容器利用率，比過去更好。這四成企業更清楚來如過調度合適的容器數量，來符合他們想要的AP執行效能，而不會過度配置。去年多達44%企業，7成工作量都會開啟Root權限，但今年，企業更謹慎控管，下滑到只有30%企業如此。大量容器規模調度用特權提升的企業也減少了15%，更多企業倚賴預先配置的政策或規則來自動調度。<br /> 不過，過時的容器映像檔逐漸成為企業的挑戰，今年近半數企業有9成工作量都會遇到容器映像檔過時問題。另外也有3成企業他們的容器工作量9成發生映像檔漏洞問題，去年只有1成企業有同樣的災情。這容器映像檔的維護和安全更新，成了企業基礎架構維運越來越重要的課題。</p> <p><strong><span style="color:#0000FF;">#Cilium、#OpenTelemetry</span><br /> CNCF公布2023年最活躍的雲原生社群，K8s、OpenTelemetry和Cilium名列前三</strong></p> <p>在今年初時，CNCF公布了2023年最活躍的開源雲原生專案排名，K8s專案向來都是第一名，去年仍有高達3,569名貢獻者，送出4萬多次程式碼更新。活躍度名列第二的是OpenTelemetry專案，隨著可觀察性需求越來越高，這個雲原生開可觀察性框架的發展也越來越蓬勃，去年高達1467名貢獻者，送出近2萬次程式碼更新。活躍度名列第三的是另一個網路可觀察性專案Cilium，雖然這個專案只有443名貢獻者，不到OpenTelemetry專案的三分之一，但在去年也送出了1萬5千次程式碼更新，甚至可以說，平均每位貢獻者的積極程度，比第二名的專案還要高。值得注意的是，API管理平臺Argo專案（896人）和開發者平臺專案Backstage（602人）的貢獻者規模，分別名列第三、四名，這是兩個參與者越來越多的專案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7CNCF_Top_Project.jpeg" /></p> <p><strong><span style="color:#0000FF;">#FinOps、#OpenCost</span><br /> K8s成本工具大升級，Kubecost新版能用AI預測用戶支出</strong></p> <p>K8s成本工具服務商Kubecost推出2.0新版，這是以他們開源捐給CNCF的OpenCost為核心，所打造的同名K8s成本管理工具，新版不只大幅提高了後端API的效能，能以視覺化呈現所有流量的成本，還可以用AI來預測使用者的K8s支出。<br /> 2.0 新的API後端大幅提升效能100倍，處理大規模Kubernetes環境的時候，可以更靈敏地操作Kubecost API和UI，現在可以查詢3年以上的歷史資料，以獲得更長時間的資源利用率趨勢，進行更全面的決策和分析。Kubecost網路監控現在可以提供Pod、命名空間、叢集和雲端服務的成本可見性，以接近即時的速度，視覺化呈現基礎設施中任一部分的成本。透過AI分析歷史Kubernetes和雲端資料，可以提供準確的預測成本波動，也能預測未來特定日期範圍的支出成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/forecasting-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Kubecost.png" /></p> <p><strong><span style="color:#0000FF;">#Hyper-V、#新版Windows Server</span><br /> Windows Server 2025釋出第一個預覽版本，聚焦四大類功能強化</strong></p> <p>微軟最近釋出了下一版的伺服器作業系統Windows Server 2025預覽版，將強化四大類功能，包括了更簡單的熱更新機制，不用重新開機就能更新修補程式。新版也將推出了新一代AD和SMB機制，像是SMB over QUIC，讓用戶可選擇是要透過TCP、RDMA或QUIC等傳輸協定來連結SMB伺服器，過去只有Windows Server Azure版支援更安全的QUIC，現在不管是資料中心或是標準版都支援它。另外也會針對關鍵任務的資料和儲存需求強化，還會強化Hyper-V對AI的支援，例如可以讓多個虛擬機器共享一顆CPU的資源，Hyper-V也會提高NVMe的支援，例如強化IOPs，支援NVme over Fabirc等。新的按量付費訂閱估能也會成為2025的選項之一。<br /> 目前Windows Server正式版是微軟在2021年8月推出的Windows Server 2022，至於下一代的Windows Server 2025正式版，則預計於今年8月發行。</p> <p><strong><span style="color:#0000FF;">#GKE、#重大漏洞修補</span><br /> Google緊急修補GKE重大風險漏洞，資安業者估計高達25萬個GKE受影響</strong></p> <p>資安廠商Orca Security發現在1月底發布了一項GKE的重大風險漏洞，可讓任何具有Google帳號的攻擊者接管配置不當的Kubernetes叢集，進而進行挖礦、阻斷服務攻擊，以及竊取敏感資料等惡意行為。Google已釋出更新，呼籲管理員升級GKE。<br /> 資安業者稱為Sys:All漏洞。在GKE中的system: authenticated群組不單連結驗證過及關鍵用戶的帳號角色，還包含所有Google有效帳號（包括外部人士）。不知情的GKE管理員會因此為這個群組指派過大角色權限，而讓外部人士有機可趁，外部人士可以利用自己的Google OAUth 2.0 bearer token，進行偵察、濫用等惡意活動。Orca Security掃瞄網路發現，25萬個GKE叢集都有該漏洞，其中數百個叢集內的存取資訊，能讓攻擊者在受害環境中橫向移動及存取敏感資訊。</p> <p><strong><span style="color:#0000FF;">#VMware、#vSphere</span><br /> 59項產品受影響！VMware公布停止供應的產品清單</strong></p> <p>隨著VMware轉為訂閱制後，許多獨立產品也精簡為套裝組合，只提供VMware Cloud Foundation（VCF）和VMware vSphere Foundation（VVF）兩個新產品，作為訂閱軟體提供。哪些產品受到影響？VMware官方在1月底時，<a href="https://blogs.vmware.com/cloud-foundation/2024/01/22/vmware-end-of-availability-of-perpetual-licensing-and-saas-services/">終於公布</a>了停止供應（End of Availability，EoA）VMware產品清單，總計59款產品不再以獨立產品、支援與訂閱、SaaS/託管與其他訂閱的形式提供。<br /> 停止供應的有VMware vSphere相關產品，諸如Enterprise Plus、Standard、Storage Appliance與Hypervisor等版本，還有vSAN的ROBO與Desktop等版本，以及NSX與vCloud等相關產品。VMware也宣布終止提供Aria SaaS，但仍會對正在使用Aria SaaS服務的用戶提供支援，直到訂閱期限結束，當訂閱期限結束後，用戶就會需要轉換到VCF或VVF。目前Aria SaaS服務正處於維護模式，因此不會發布新功能，只會對有效訂閱期限內的用戶，提供安全性和關鍵更新。</p> <p><strong><span style="color:#0000FF;">#DevOps、#Docker</span><br /> Docker公司推出組建映像檔代管服務，提供AMD和ARM雙環境部件工具</strong></p> <p>最近Docker公司推出了一項組建映像檔的代管服務Docker Build Cloud，可以在雲端代管企業自己用來部署和組建用的映像檔，來加快部署到不同環境的速度。這項服務提供了一組可以支援AMD和ARM環境的組建工具，原生支援多架構平臺，包括Intel（AMD 64）及Apple Silicon/AWS Graviton（Arm 64）晶片上的組建，可節省設定和維護多個原生Builder的麻煩，讓開發者更容易將自家應用部署到兩個不同架構的環境中。另外也提供了團隊共享的組件快取空間，來加快其他人重複部署同一個映像檔的速度。官方宣稱，新服務號稱可讓個人或團隊成員完成組建（build）速度加快39倍。</p> <p><strong><span style="color:#0000FF;">#容器開發、#Docker</span><br /> Docker桌面版釋出4.27新版，檔案共享的同步功能快10倍</strong></p> <p>年初時，Docker桌面版釋出了今年第一個新版本4.27，最大新特色是大幅強化了檔案共享的同步能力，讓 Docker桌面版VM內的ext4檔案系統上的檔案，更快和本機端環境的檔案同步，在本地主機或VM中的修改，可以快速同步到另一個環境中。官方宣稱最高提高10倍的檔案同步速度。另外，也可以在不同的虛擬檔案系統中，同步超過10萬的檔案，或是GB級的超大檔案。可以支援如VirtioFS、gRPC FUSE、osxfs等虛擬檔案系統。不過，目前檔案共享的同步功能還不支援WSL或Windows容器。</p> <p><strong><span style="color:#0000FF;">#EBS、#ECS</span><br /> AWS容器服務ECS開始原生支援EBS區塊服務</strong></p> <p>Amazon ECS從今年初開始，開始原生支援高效能區塊儲存服務Amazon EBS。不論是在AWS Fargate與Amazon EC2上執行ECS的任務，現在開始都可以配置EBS儲存，使用單一可用區域的低延遲高效能區塊儲存，用戶不需要自己管理儲存或運算資源。已經在9個AWS地區提供，涵蓋美東、美西、歐洲等地區，亞太部分則在新加坡、雪梨和東京地區提供。</p> <p><strong><span style="color:#0000FF;">#FQDN、#K8s</span><br /> GKE開始支援K8s 1.29版，也正式推出FQDN網管政策功能</strong></p> <p>去年底K8s釋出最新的1.29版後，隔了一個月，GKE也1月底中開始支援到1.29版K8s，目前在先在標準版、Redualr和Rapid通路支援，穩定版通路還沒支援到1.29。同時，GKE也宣布1.24版停止支援，目前可支援的版本以1.25～1.29為主，共5個版本的K8s。2月初另外一個重要更新是，GKE網路政策功能正式支援FQDN，對於GKE工作負載對外的網路流量，不論是連結到外部網路或內部環境，都可以透過指定完整網域名稱來建立控管清單，也能結合正則表示式來建立各種規則，可以更彈性支援動態IP的API服務的控管，不需要隨時更新API最新的IP。不過，目前只有GKE企業版支援，也先在1.26、1.27和1.28版支援這項功能。2月其他更新還有增加了Pod對Pod流量加密功能，可以提高單一叢集或跨叢集的節點之間網路傳輸的安全性，包括1.26到最新支援的1.29版都支援這項加密新功能。</p> <p><strong><span style="color:#0000FF;">#EKS、#K8s</span><br /> Amazon EKS也開始支援K8s 1.29版，連Distor版都開始提供新版</strong></p> <p>不只Google雲，AWS也在1月底左右，增加了對新版K8s 1.29版的支援，不只雲端EKS服務更新，AWS所維護的K8s發行版本EKS Distro版，也同步更新到1.29版，連帶使用Distor版來提供企業本地端部署的EKS Anywhere版也同樣更新。目前EKS所支援的K8s版本達到七個版本，從1.23到1.29，其中1.24提供標準支援，但1.23則要付費購買延伸支援。AWS官方特別提醒，企業要升級到1.29版得要特別留意，FlowScheme和PriorityLevelConfiguration這兩項API版本的更新，因為在1.29版中棄用了這兩項API的beta就版，沒有跟著更新，恐怕會導致配置檔出錯，這是比較容易忽略的配置問題。AWS也在新版更新公告中，特別提醒這一點。</p> <p><strong>更多新聞</strong></p> <ul> <li>KSOC發表容器映像檔指紋工具，用eBPF技術快速比對容器映像檔是否遭竄改</li> <li>紅帽捐出可以快速在K8s環境部署Kafka的Strimzi專案，成為CNCF孵化專案</li> </ul> <p>@資料來源：iThome整理，2024年2月</p> <p>責任編輯：王宏仁</p> </div></div></div>
2024/2/19 14:44作者王宏仁https://www.ithome.com.tw/news/161334
【資安週報】2024年2月5日到2月17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2月農曆春節前後，剛好適逢多家廠商發布每月安全更新，包括微軟、Adobe、SAP等多家IT業者，在掌握這些漏洞修補動向之餘，這期間有不少漏洞利用情形，更是需要企業優先重視。我們整理如下：</p> <p>有3個零時差漏洞已遭成功利用：<br /> ●Fortinet在2月8日修補已遭利用的零時差漏洞CVE-2024-21762，這是存在該公司SSL VPN元件的RCE漏洞。<br /> ●微軟在2月13日修補73項漏洞中，有兩個是已遭利用的零時差漏洞，分別是：可繞過網際網路捷徑檔安全功能的CVE-2024-21412，以及可繞過Windows SmartScreen安全功能的CVE-2024-21351。</p> <p>還有4個已知漏洞，在近期被發現遭攻擊者利用，首先是微軟修補Exchange伺服器重大漏洞CVE-2024-21410，隔日該公司示警有攻擊利用，其他包括：Roundcube郵件伺服器去年9月修補的漏洞CVE-2023-43770、Google去年9月修補Chromium V8類型混淆漏洞，以及思科2020年5月修補防火牆產品的資訊洩漏漏洞CVE-2020-3259。</p> <p>在資安事件方面，有3項消息成為焦點，都與上櫃及興櫃公司有關，包括：<br /> ●2月5日，上櫃化學工業美琪瑪的部分資訊系統遭受網路攻擊。<br /> ●同樣2月5日，上櫃觀光富野說明旗下分公司的資訊系統遭網路攻擊。<br /> ●2月15日，興櫃瑩碩生技代子公司公告，揭露歐帕生技醫藥遭遇網路攻擊事件。</p> <p>在這些公告之後，還有其他狀況發生，在此一併補充。關於上述美琪瑪遭網路攻擊，有駭客2月16日於論壇聲稱兜售該公司2TB資料；中華民國紡織業拓展會（紡拓會）也傳出可能遭駭，因為他們被一個勒索軟體組織列為受害者，這類法人協會被鎖定的狀況，可能同樣需要追蹤。</p> <p>醫療健保相關產業也要注意，因為國際上最近有2起相關重大資安事故，例如，羅馬尼亞有1百多家醫院遭網路攻擊，當地網路安全局及衛生部已證實，是醫院服務供應商遭到Backmydata勒索軟體攻擊；法國健保業者客戶傳出資料外洩，由於事件恐波及該國近半數民眾，當地的資料保護機構CNIL針對提供第三方支付的兩家公司Viamedis與Almerys進行調查。</p> <p> 在威脅焦點方面，最近有相當多起資安威脅的揭露，都與中國駭客網路攻擊有關，我們整理如下：<br /> ●資安業者Trellix最近指出，臺灣總統大選投票前一天遭受網路攻擊出現大幅增加，根據他們的遙測資料顯示，部分惡意流量特別針對政府、執法與金融單位。<br /> ●資安業者SentinelOne揭露，中國當局在2022年宣傳美國對其發動駭客攻擊，調查其宣傳內容發現，中國的指控普遍缺乏相關的技術分析及證據。<br /> ●荷蘭軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）發布聯合公告，指出該國國防部去年遭中國網路間諜入侵，並植入後門程式。<br /> ●關於LLM被國家級駭客惡意使用，微軟與OpenAI揭露濫用方式，包括查詢開源資訊、翻譯、找程式碼漏洞等，並指出中、俄、伊、北韓駭客組織都已這麼做。</p> <p>特別的是，繼2023年11月義大利報紙 Il Foglio揭露6個冒充義大利新聞媒體的網站，以及韓國國家網路安全中心（NCSC）揭露18個冒充當地新聞媒體的網站，最近<a href="https://citizenlab.ca/2024/02/paperwall-chinese-websites-posing-as-local-news-outlets-with-pro-beijing-content/">加拿大公民實驗室（Citizen Lab）發表名為Paperwall的報告</a>，揭露至少有123個網站冒充歐洲、亞洲、拉丁美洲當地的新聞機構，目的是宣傳親中內容，經層層追蹤這些網站後發現，都與1家中國公關公司有關。本期日報尚未提及，在此補上。</p> <p>其他值得關注的威脅手法，我們認為有3項消息需要特別留意：<br /> ●香港警方表示，跨國企業員工因為駭客利用Deepfake技術假冒公司主管參加視訊會議，並指示員工轉帳2億港幣，等到事後向總公司確認才發現上當。<br /> ●關於QR Code網釣，有郵件安全業者研究多半是針對高階主管而來，比一般員工高出42倍。<br /> ●資安業者分析能迴避資安防護系統的惡意程式，發現有7成惡意程式會採用隱形（stealth-oriented）手法。</p> <p>在資安防護方面，有兩個重要新聞，分別是對於勒索軟體與量子破密的因應。針對2023年下半造成重大災情的勒索軟體Rhysida，最近有南韓國民大學研究人員找出其實作漏洞進而破解，後續將提供免費解密工具；近年國際間持續看重後量子密碼學的發展，最近Linux基金會更是宣布，與AWS、Cisco、Google、IBM與Nvidia等11個組織成立後量子密碼學聯盟PQCA，希望透過建立開放與合作的環境，開發用於評估、原型設計與部署後量子演算法的軟體。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161188"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月5日】知名遠端桌面連線軟體AnyDesk證實伺服器遭駭並撤換程式碼簽章</span></strong></a></h3> <p>近年來利用遠端桌面連線程式入侵受害電腦，已是駭客偏好的手法之一，但若是提供這類系統的業者遭駭，很有可能讓攻擊者取得大量帳密資料，並將其用於發動攻擊。</p> <p>上週末AnyDesk證實他們有伺服器遭到入侵，並尋求資安業者協助，進行這起事故的後續回應，雖然該公司強調他們尚未得知有使用者受到影響，但有資安業者發現駭客已在地下論壇兜售大量AnyDesk帳密，後續發展有待觀察。</p> <h3><a href="https://www.ithome.com.tw/news/161212"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月6日】駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣</span></strong></a></h3> <p>大約3、4年前，<a href="https://www.ithome.com.tw/news/139454">用深度學習（Deep Learning）進行AI影像合成的假訊息及詐騙手法Deepfake出現</a>，引起資安界高度關注，而最近有2起事故再度讓Deepfake帶來的威脅浮上檯面。</p> <p>其中之一是網路上有人利用<a href="https://www.ithome.com.tw/news/161083">這類技術產生知名歌手Taylor Swift的色情照片</a>；而另一起則是直接造成財務損失，駭客用於對跨國企業財務人員的視訊會議詐騙，利用該公司高階主管網路上公開的影片進行合成，讓這名員工信以為真。</p> <p><a href="https://www.ithome.com.tw/news/161232"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月7日】求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標</span></strong></a></p> <p>為了竊取大量使用者資料，不少攻擊行動鎖定電商網站而來，甚至發展出側錄使用者信用卡的手法Magecart，但現在，也有專門針對提供其他服務的網站而來的情況。</p> <p>最近資安業者Group-IB揭露的ResumeLooters攻擊行動，就是針對求職網站而來，駭客的主要目標是亞太地區，其中，又以印度和臺灣的災情最嚴重。</p> <h3><a href="https://www.ithome.com.tw/news/161289"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月15日】臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料</span></strong></a></h3> <p>駭客意圖藉由網路攻擊來操縱國家重要選舉的情況，可說是越來越常見，而這樣的情況，也出現在臺灣上個月舉行的總統與立委大選。</p> <p>根據資安業者Trellix的觀察，他們發現中國駭客在選舉的前一天，企圖透過網路攻擊找出能用於抹黑的資料，研究人員認為駭客選擇此時間點的原因在於，一旦找到相關的資訊大肆散布，候選人將沒有足夠時間進行澄清，而有機會左右選舉的結果。</p> <h3><a href="https://www.ithome.com.tw/news/161319"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</span></strong></a></h3> <p>民眾透過手機操作網路銀行的情況在全球各地可說是相當普遍，針對手機而來的金融木馬攻擊，在最近2到3年有越來越頻繁的現象，但過往這類惡意程式幾乎都是針對安卓手機而來，如今也出現同時攻擊iPhone用戶的金融木馬程式。</p> <p>本週資安業者Group-IB揭露的金融木馬GoldPickaxe，就是典型的例子。特別之處在於，駭客濫用的管道是蘋果專供開發人員發布測試版應用程式的平臺TestFlight，對這類手機用戶發動攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/161326"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</span></strong></a></h3> <p>這1個月以來，Ivanti公布了5個Connect Secure漏洞，其中有3個在該公司發出公告之前就被用於攻擊行動，也因此這些漏洞後續的情況，引起不少研究人員高度關注。</p> <p>這些漏洞導致IT人員須持續追蹤公告、安排套用緩解措施及部署更新的行程，疲於奔命。話雖如此，研究人員發現，可透過網際網路存取的Ivanti系統，仍有超過半數未修補。</p> <p> </p> </div></div></div>
2024/2/19 11:52作者羅正漢https://www.ithome.com.tw/news/161338
全球科技業者承諾將力抗今年選舉的AI欺騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>包括微軟、Google、Meta、OpenAI及IBM等全球20家科技業者<a href="https://www.aielectionsaccord.com/uploads/2024/02/Press-Release-AI-Elections-Accord-16-Feb-2024.pdf" target="_blank">在日前舉行的慕尼黑安全會議（Munich Security Conference，MSC）上承諾</a>，將共同努力偵測及打擊有害的AI內容，以防止這些欺騙性的AI內容干預2024年的全球選舉活動。今年總計有40個國家舉辦選舉活動，光是還未執行的總統大選就有美國、巴基斯坦、斯里蘭卡及迦納等，還有眾多的普選與議會選舉，投票人數超過40億人。</p> <p>這些科技業者具體提出了8項承諾，分別是開發及導入可用來減少欺騙性AI選舉內容的技術與工具；評估此一承諾範圍內的模型，理解它們可能帶來欺騙性AI選舉內容的風險；試圖偵測相關內容於其平臺上的散布；尋找適當解決在平臺上所偵測到的欺騙性內容；培養跨產業對欺騙性AI內容的防禦能力；向大眾揭露如何解決問題的透明度；繼續與全球民間社會組織或學術界交流；支持對大眾意識、媒體素養及整個社會復原能力的推動。</p> <p>簽署此一承諾的科技業者涵蓋 Adobe、Amazon、Anthropic、Arm、ElevenLabs、Google、IBM、Inflection AI、LinkedIn、McAfee、Meta、微軟、Nota、OpenAI、Snap、Stability AI、TikTok、趨勢科技、Truepic與X。</p> <p>科技業者對此一行動所凝聚的共識來自於今年是個特殊的選舉年，全球在2024年舉行了大量的重要選舉，且民主建立在安全及可靠的選舉之上，而在此一AI急速發展的時代，業者想要確保AI工具不會成為用來散布欺騙內容的選舉武器。</p> <p><a href="https://blogs.microsoft.com/on-the-issues/2024/02/16/ai-deepfakes-elections-munich-tech-accord/" target="_blank">微軟指出</a>，此一協議明確地關注了一系列擁有具體定義的深度造假及濫用行為，所指涉的欺騙性AI選舉內容包括由AI生成的音訊、視訊與圖像，除了偽造候選人的聲明或行為之外，也可能傳遞虛假的投票行為。</p> <p>微軟亦特別為此建立了一個<a href="https://www.microsoft.com/en-us/concern/2024elections" target="_blank">檢舉平臺</a>，讓全球候選人皆可檢舉各種疑似由AI生成、涉及他們的欺騙性內容。</p> </div></div></div>
2024/2/19 12:53作者陳曉莉https://www.ithome.com.tw/news/161339
AI趨勢周報第243期：群創光電開源70億參數的繁中語言模型白龍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0209～0215)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 群創光電 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 白龍 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>群創光電開源繁中LLM和基準測試資料集</strong></span></p> <p>2月初，群創光電智能推進處Text&AIGC研發團隊<a href="https://www.facebook.com/groups/datasci.tw/permalink/7143444135732915/?mibextid=K35XfP">揭露</a>一款自行打造的繁中語言模型Bailong-instruct 7B和基準測試資料集，要推動繁中LLM的發展。進一步來說，該模型中文名為白龍，具70億參數，以壓縮方法QLoRA和團隊自行研發的束帶嵌入（Zip-tie embedding）技術，來大幅降低訓練所需的算力，同時強化模型在繁體中文任務的表現。</p> <p>Bailong-instruct 7B以Llama 2 7B為基礎，透過詞表擴充進行二次預訓練和指令精調而成，是一款類似ChatGPT的指令理解模型，支援繁中和英文。團隊表示，該模型在寫信、摘要生成、閱讀理解等任務的表現良好，此外，根據他們在Hugging Face上公開的資料，白龍模型還可處理多輪對話、開放式問答等多種任務。</p> <p>同時，團隊還釋出一套自建的測試基準資料集Bailong-bench，提供14個中英應用場景來測試模型表現。如同主流評估方法，他們的原理是選定一套LLM（如GPT模型）作為裁判，來評估不同模型回答不同問題的表現，但特別的是，這款Bailong-bench基準測試還添加了模型回答語言與使用者語言一致的考量。經該資料集測試，Bailong-instruct 7B的得分接近ChatGPT（gpt-3.5-turbo-1106），還優於其他開源的繁中LLM，比如在一般場景中，白龍得分為9.2、ChatGPT則是9.9，其餘則是Taiwan-LLM-7B-v2.1-chat的7.7分、Taiwan-LLM-13B-v2.0-chat的8.1分。<a href="https://huggingface.co/INX-TEXT/Bailong-instruct-7B?fbclid=IwAR22LjrWw2LfqOXGLHp3dScUf4uQAM6ozpBP7xLhO7lfvuEb8qLTuaq_0hE">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-02-18%20at%202_10_23%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> V-JEPA </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta公開新影片生成模型V-JEPA</strong></span></p> <p>科技巨頭Meta人工智慧研究團隊，最近揭露用於影片預測的非生成式AI模型V-JEPA，透過預測影片中缺失或被遮蔽的部分，來提高AI對這個世界的理解。V-JEPA的靈感來源，是來自Meta AI首席科學家Yann LeCun在2022年提出的JEPA架構，Meta曾在去年以JEPA架構開發電腦視覺模型I-JEPA，能預測畫面缺失的資訊，來生成圖像。</p> <p>現在，Meta進一步擴展JEPA，發展出能處理影片的V-JEPA。就訓練方法來說，團隊讓模型觀看一系列影片，並將這些影片遮蔽處理，來要求預測器在只有一小部分影片內容的上下文中，填充缺失的內容。這麼做的好處是，讓模型專注於影片的高層次概念，而非鑽牛角尖於對下游任務不重要的細節。V-JEPA採自監督學習方法，使用未標記的資料進行預訓練，只在要模型適應特定任務時，才會使用標籤。V-JEPA還能丟棄不可預測的資訊，提高訓練和採樣效率達1.5到6倍。</p> <p>V-JEPA特點之一是凍結評估（Frozen Evaluations），也就是模型在預訓練後，核心部分不會再改變，只需添加小型專門層即可適應新任務，免除傳統模型對新任務需要全面微調的麻煩。目前，Meta以CC BY-NC授權釋出V-JEPA模型。<a href="https://ai.meta.com/blog/v-jepa-yann-lecun-ai-model-video-joint-embedding-predictive-architecture/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe12-1.fna.fbcdn.net/v/t39.8562-6/427979095_923374739138637_7724069779118251294_n.png?_nc_cat=108&ccb=1-7&_nc_sid=f537c7&_nc_ohc=Ku4zorcFMIAAX_f496m&_nc_ht=scontent.ftpe12-1.fna&oh=00_AfConFFiEFX0mvBV40v265HKJuwNd7eQQ7aiEqXuFst3Sg&oe=65D5458A" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片生成 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Sora </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI揭最新短影片生成AI模型Sora，品質更高了</strong></span></p> <p>OpenAI最近揭露最新生成式AI模型Sora，輸入文字就能產生高品質、最長1分鐘的短影片。進一步來說，Sora是一個擴散模型，能生成多個角色、特定動作和精準主題細節與背景的複雜場景影片，，能從一個看似靜態噪音的影格開始，逐步透過去除噪音生成一則影片。</p> <p>Sora以DALL-E和GPT模型為基礎，使用DALL-E 3的重描述技術，能根據視覺訓練資料產生細緻的描述文字，因此也能貼近用戶的文字指令，來產生影片。同時，該模型也能將靜態圖片動態化。也就是說，Sora能從無到有生成全新影片，也能延長現有影片，或將遺失的影格補上。OpenAI點出，Sora是能理解和模擬真實世界的模型基礎，是實現通用AI的重要里程碑。目前，OpenAI正對Sora進行安全和功能測試。<a href="https://openai.com/sora">（詳全文）</a></p> <p><img alt="" src="https://openai.com/sora?video=zen-garden-gnome" /><img alt="" src="https://s4.itho.me/sites/default/files/images/60216-sora%20by%20openai-600-1.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> .NET </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲原生 </span></strong></span></p> <p><span style="font-size:22px;"><strong>.NET 9預覽版來了！聚焦雲原生和AI支援</strong></span></p> <p>微軟才發布.NET 8不久，.NET 9預覽版已經來了！.NET 9的重點仍是效能提升、雲端原生與AI開發支援。首先，微軟在第9版改善了Visual Studio和VS Code，加入.NET Aspire技術框架新的開發和部署功能，如元件配置、除錯支援、全面整合開發者儀表板，來讓開發者更輕鬆管理和監控應用程式。開發者也可從Visual Studio、VS Code，結合使用Azure Developer CLI，將應用程式快速部署到Azure容器，讓應用程式更快上雲。</p> <p>此外，.NET 9還持續改進Native AOT（Ahead-of-Time Compilation），來提高應用程式的啟動速度和執行效率，減少資源消耗。至於.NET 9對AI開發的支援，則是要讓開發者更容易使用新AI技術和OpenAI服務，亦即提供更多函式庫和文件，協助開發者使用OpenAI服務和其他開源模型，包括本地端和雲端模型的支援。微軟也會持續投資跨平臺機器學習框架ML.NET，強化向量資料庫和AI工作負載的支援，讓開發者更容易將AI功能整合到應用程式中。目前，微軟已開放.NET 9預覽版供開發者下載測試。<a href="https://devblogs.microsoft.com/dotnet/our-vision-for-dotnet-9/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多模態 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google發表Gemini 1.5，可支援百萬個Token上下文</strong></span></p> <p>日前，Google發表最新的Gemini 1.5模型，最多可支援長達100萬個Token的脈絡，也就是能一次處理大量資訊，如1小時的影片、11小時的音訊、超過3萬行的程式碼，或70多萬字的內容。</p> <p>這款Gemini 1.5模型主要採用Transformer和新的專家混合（MoE）架構，前者為一大型神經網路，後者則由眾多小型的專家神經網路所組成。MoE模型可根據使用者所輸入的資料類型，選擇性地在神經網路上啟動最相關的專家路徑，因此大幅提高模型效能。根據Google計畫，他們將在原本的Gemini 1.5 Pro服務中採用Gemini 1.5模型，將基本版支援的12.8萬個Token擴大到100萬個。<a href="https://blog.google/technology/ai/google-gemini-next-generation-model-february-2024/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 圖像生成 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Stability AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Stable Cascade </span></strong></span></p> <p><span style="font-size:22px;"><strong>Stability AI發表新一代圖像生成模型，比前一代更省16倍成本</strong></span></p> <p>Stability AI日前發表新一代文字轉圖像模型Stable Cascade，可簡單地在消費級硬體上訓練和微調。就流程來說，Stable Cascade有3步驟將文字轉換為圖像，包括潛在解碼階段的步驟A與步驟B，以及潛在生成階段的步驟C。</p> <p>其中，步驟C是將用戶的指令，轉換成一張小型且簡化的圖像草稿，只包含重要資訊，再將草稿輸入至步驟A和步驟B，同時加入更多細節並放大，形成一張詳細且高解析度的圖片。由於步驟C與步驟A、B分離，因此可單獨對步驟C額外訓練和微調，包括ControlNet和LoRA的訓練。這種設計，讓新模型與訓練一個類似大小的Stable Diffusion模型相比，節省了16倍成本。</p> <p>經測試，Stable Cascade不只效能更好，產生的結果也比前一代模型SDXL更好。目前，Stability AI開源步驟C和步驟B各兩種模型，步驟C有10億參數和36億參數版本，步驟B則有7億和15億參數版本。不只如此，團隊也同時開源用於訓練、微調、ControlNet和LoRA的所有程式碼，但這些開源資料只限非商業使用。<a href="https://stability.ai/news/introducing-stable-cascade">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/collage_1.jpg?itok=NpNNSMsq" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Slack </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摘要 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Slack發表Slack AI服務，可摘要各種訊息</strong></span></p> <p>主打企業溝通軟體的Slack最近發表Slack AI服務，提供多項LLM驅動的個人化功能。首先是個人化搜尋，能在使用者搜尋問題時，根據使用者企業的公開通訊內容和個人對話來客製化答案，涵蓋行銷專案、公司政策、過去決策、尋找主題專家到定義特定的縮寫等領域。再來是頻道回顧功能，能總結任何頻道重點，包括未讀訊息、過去7天的重點，還能統整自訂的日期期間。另一個功能是對話串摘要，可整理長期對話的重點摘要，每個摘要也會附上來源。</p> <p>Slack強調，Slack AI運作於Slack的基礎設施上，所使用的各種LLM都由Slack代管，並不會與LLM供應商分享客戶資料，也不會利用客戶資料來訓練LLM。據Slack統計，在Slack AI出現前，該平臺的使用者已打造可整合Slack使用的13,400種AI工具，合作夥伴亦已將AI整合到眾多的Slack應用中。該服務初期支援英文和Enterprise Grid方案客戶。<a href="https://slack.com/intl/zh-tw/help/articles/25076892548883-%E9%9A%86%E9%87%8D%E4%BB%8B%E7%B4%B9%EF%BC%9ASlack-AI">（詳全文）</a></p> <p><img alt="" src="https://slack.zendesk.com/hc/article_attachments/26243946041747" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 瀏覽器 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ONNX Runtime </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 模型訓練 </span></strong></span></p> <p><span style="font-size:22px;"><strong>開發者可在瀏覽器訓練模型！ONNX Runtime 1.17還支援聯合學習</strong></span></p> <p>微軟更新AI推論與訓練加速引擎ONNX Runtime（ORT），加入網頁訓練功能，讓開發者在瀏覽器中啟用模型訓練功能，如此裝置上的資料就能透過瀏覽器，進行聯合學習和個人化應用。</p> <p>從1.8版本開始，ORT Web提供瀏覽器內推論功能，讓開發者可部署跨平臺、可移植的AI模型，並支援模型在CPU和GPU推論。在最新的ONNX Runtime 1.17中，進一步支援在瀏覽器訓練機器學習模型，該功能主要由2部分組成，分別是WebAssembly二進位檔案和JavaScript套件。由於要讓開發者可以在瀏覽器用CPU來訓練模型，ONNX Runtime提供訓練功能應用程式介面C API，但瀏覽器不能直接執行C語言程式碼，所以需要使用低階語言WebAssembly協助。<a href="https://cloudblogs.microsoft.com/opensource/2024/02/06/on-device-training-training-a-model-in-browser/">（詳全文）</a></p> <p>圖片來源／Meta、OpenAI、Stability AI、Slack</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://openai.com/blog/memory-and-new-controls-for-chatgpt">OpenAI更新ChatGPT增加記憶能力</a>，能記住更多對話內容</strong></p> <p><strong>2. Nvidia推出<a href="https://blogs.nvidia.com/blog/chat-with-rtx-available-now/">Chat with RTX</a>應用程式，供用戶在本地端自訂AI聊天機器人</strong></p> <p><strong>3. Nvidia揭露世界第9名AI超級電腦Eos<a href="https://blogs.nvidia.com/blog/eos/">更多細節</a></strong></p> <p>資料來源：iThome整理，2024年2月</p> </div></div></div>
2024/2/18 02:56作者王若樸https://www.ithome.com.tw/news/161333
Extreme首款Wi-Fi 7基地臺登場，提供6種模式與專屬感測器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/extreme_networks_ap5020_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>年初出現一波商用Wi-Fi 7基地臺新品推出的消息，例如，Fortinet在1月中推出FortiAP 441K與FortiAP 443K，月底Extreme Networks也發布AP5020，支援大頻寬、對於存取延遲敏感的各種應用系統，以及物聯網設備的存取，可用於分散式企業組織，協助建置高效能、安全的網路環境。</p> <p>這款支援802.11be協定的Wi-Fi 7基地臺，支援5個頻段的設計。首先是6 GHz、5 GHz、2.4 GHz這三個頻段，均採用4x4:4的天線通訊架構，可匯聚的總頻寬達到20 Gbps，能支援高密度的使用環境，像是校園、倉儲、醫療照護設施、體育場館；同時，它也配備兩個物聯網專用的無線通訊頻段，支援Thread、Zigbee、藍牙低功耗5.4、IEEE 802.15.4等標準，同時用於多種物聯網應用案例，針對使用不同物聯網通訊協定的感測器、電子貨價標籤、照明設備、資產追蹤裝置，改善網路連線效能，並降低建置複雜性。</p> <p>就運作模式而言，AP5020預計將提供6種之多，初期有兩種，一是2.4 GHz、5 GHz、6 GHz的資料無線通訊（Mode 1），另一是兩個5 GHz搭配6 GHz的資料無線通訊（Mode 3）。後續將透過軟體更新，提供其餘4種模式，屆時企業可選用：兩個5 GHz搭配2.4GHz（Mode 5）、兩個6 GHz搭配5 GHz（Mode 6），以及5 GHz與6 GHz資料無線通訊搭配三頻段感測器（Mode 2）、2.4 GHz與5 GHz資料無線通訊搭配三頻段感測器（Mode 4）。</p> <p>相較之下，該公司先前推出的4款Wi-Fi 6E基地臺：AP4000、AP5010、AP5050、AP3000，僅提供兩種運作模式，其中之一是2.4 GHz、5 GHz、6 GHz資料無線通訊，另一是2.4 GHz、5 GHz資料無線通訊，搭配三頻段感測器（AP3000例外，提供2.4 GHz、5 GHz資料無線通訊，以及5 GHz、6 GHz資料無線通訊等兩種模式）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Extreme AP5020-Software Defined.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Extreme%20AP5020-Software%20Defined.jpg" style="width: 398px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Extreme%20AP5020-RF.png" style="width: 198px;" /></p> <p>之所以能提供這麼多種模式的選擇，主要是因為AP5020具備軟體定義無線通訊（Software-Defined Radios）的功能，而這類特色過去我們曾在<a href="https://www.ithome.com.tw/review/127729">Aerohive的Wi-Fi 6基地臺</a>的產品報導提到，隨著2019年Extreme Networks買下Aerohive之後，此技術終於在Wi-Fi 7產品再次重現。（AP5010提供兩種軟體定義模式，在Wi-Fi 6E產品首開先例）</p> <p>基於此種彈性設置，AP5020不僅能針對2.4 GHz、 5 GHz、6 GHz這三個頻段的資料通訊，提供多種組合搭配，並且支援兩個5 GHz或兩個6 GHz的傳輸，也能透過軟體可程式化機制，實現多種通訊模式，以更理想的方式管理無線網路頻段的運用，產生極致的個人端裝置無線上網效能體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Extreme%20AP5020-6GHz.jpg" style="width: 600px;" /> </p> <p>對於可用軟體設置的無線通訊運作，AP5020也能進行智慧型監控，有助於網管人員根據使用者的環境去調整無線網路的通訊頻率，將基地臺設置成需要的模式。除此之外，這款機型如同Extreme Networks的Wi-Fi基地臺，內建行動網路共存過濾器（Cellular Coexistence Filter，CCF），可減少行動寬頻網路的訊號干擾，並且比照上述Wi-Fi 6E基地臺機型，內建多頻段過濾器，使5 GHz與6 GHz所有可用頻道不會因此受限。</p> <p>同時，AP5020也配備2.4 GHz、5 GHz、6 GHz這三個頻段的專屬感測器，支援2x2的天線架構，可用於持續監控網路環境突然出現的非列管無線裝置，藉此降低資安漏洞濫用活動與網路攻擊的風險。而且，這個感測器還可搭配該公司的無線網路入侵預防系統Extreme AirDefense，以及去年11月發表、今年即將正式推出的SASE解決方案ExtremeCloud Universal ZTNA，強化網路安全存取防護能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/EXTREMECLOUD UNIVERSAL ZTNA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EXTREMECLOUD%20UNIVERSAL%20ZTNA.jpg" style="width: 600px;" /></a></p> <p>在電源與有線網路配置上，AP5020內建1個12伏特的DC電源插孔，以及2個支援PoE的10GbE埠。以網路埠而言，AP5020可藉此透過網路線同時接取電力，並且提供PoE容錯備援機制，確保持續連線，因應醫療照護、製造、教育場域的關鍵應用需求，也能在其中一個網路埠選用PoE的供電裝置模式（PSE）支援，可輸出15.4瓦電力，供其他透過PoE接取網路與電力的設備使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Extreme%20AP5020-PoE.jpg" style="width: 600px;" /></p> <p>關於多個Wi-Fi 7基地臺的集中管理，AP5020可支援該公司營運的雲端管理服務ExtremeCloud IQ，或是設置在企業內部環境的網路控制器ExtremeCloud IQ Controller。這部分功能的設置，似乎與AP5020的作業系統搭配有關，因為AP5020與上述多款Wi-Fi 6E設備一樣，都採用該公司的通用硬體平臺，用戶有兩種Wi-Fi作業系統的選擇，一個是ExtremeCloud IQ Engine OS，另一個是ExtremeCloud IQ Controller Engine OS，可在設備啟用時指定，之後也能變更。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Extreme Networks AP5020</strong><br /> ●原廠：Extreme Networks<br /> ●建議售價：廠商未提供<br /> ●支援無線網路規格：802.11 a/b/g/n/ac/ax/be<br /> ●網路介面：2個10 GbE埠（支援PoE）<br /> ●天線架構：6 GHz、2.4 GHz、5 GHz為4x4:4，MU-MIMO<br /> ●傳輸速度：總共為20 Gbps，6 GHz為11,500 Mbps，5 GHz為5,700 Mbps，2.4GHz為1,300 Mbps<br /> ●支援供電方式：DC、PoE<br /> ●整合其他無線通訊技術：低功耗藍牙、Zigbee、Thread<br /> ●尺寸：25.8 x 25.8 x 41公分<br /> ●重量：1.62公斤<br /> ●集中管理平臺：ExtremeCloud IQ、ExtremeCloud IQ Controller</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/17 17:08作者李宗翰https://www.ithome.com.tw/review/161329
【資安日報】2月17日，近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這1個月以來，Ivanti公布了5個Connect Secure漏洞，其中有3個在該公司發出公告之前就被用於攻擊行動，也因此這些漏洞後續的情況，引起不少研究人員高度關注。</p> <p>這些漏洞導致IT人員須持續追蹤公告、安排套用緩解措施及部署更新的行程，疲於奔命。話雖如此，研究人員發現，可透過網際網路存取的Ivanti系統，仍有超過半數未修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/over-13-000-ivanti-gateways-vulnerable-to-actively-exploited-bugs/"><strong style="font-size: 22px;">1.3萬臺Ivanti閘道設備尚未修補近期公布的漏洞</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GGWK0llbcAAUArv.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGWK0llbcAAUArv.jpg" style="width: 300px; float: right;" /></a>自1月10日Ivanti陸續針對旗下的SSL VPN系統Connect Secure（ICS）、NAC系統Policy Secure（IPS）、零信任網路存取閘道系統Neurons for ZTA，公布一系列漏洞CVE-2023-46805、CVE-2024-21887、CVE-2024-21893、CVE-2024-21888、CVE-2024-22024，如今有更多研究人員公布他們的調查結果，指出這些漏洞皆已遭到利用。</p> <p>資安業者Akamai指出，他們看到CVE-2024-22024已被用於攻擊行動，並在2月11日出現高峰，當時有80個IP位址發出24萬次嘗試利用漏洞的行動，對於3萬臺Ivanti主機散布惡意程式。</p> <p>Shadowserver基金會也有類似的發現，他們指出約有3,900臺Ivanti設備曝露於CVE-2024-22024的風險，此外，該基金會也提及仍有1,000臺主機存在CVE-2024-21887的弱點。</p> <p>研究人員Yutaka Sejiyama也公布調查結果，他指出，截至2月15日為止，全球可透過網際網路存取的Ivanti主機有24,239臺，目前約有10,603臺套用1月31日的修補程式，但修補CVE-2024-22024的主機僅有5,107臺，換言之，至少約有1.3萬臺主機尚未修補上述漏洞。</p> <p>資料來源</p> <p>1. <a href="https://www.akamai.com/blog/security-research/2024/feb/scanning-activity-ivanti-cve-february-2024">https://www.akamai.com/blog/security-research/2024/feb/scanning-activity-ivanti-cve-february-2024</a><br /> 2. <a href="https://twitter.com/Shadowserver/status/1757721421252264400">https://twitter.com/Shadowserver/status/1757721421252264400</a><br /> 3. <a href="https://twitter.com/nekono_naha/status/1757971789035245814">https://twitter.com/nekono_naha/status/1757971789035245814</a></p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a"><strong style="font-size: 22px;">中國駭客組織Volt Typhoon滲透美國關鍵基礎設施長達5年</strong></a></p> <p></p> <p>美國網路安全暨基礎設施安全局（CISA）、國家安全局（NSA）、聯邦調查局（FBI），以及五眼聯盟相關機構聯手，針對中國駭客組織Volt Typhoon攻擊美國關鍵基礎設施的情況提出警告，並指出這些駭客在部分受害組織活動超過5年。</p> <p>這些機構表示，該駭客組織已破壞美國水力設施、廢水處理系統、交通運輸系統、能源、電信業者等關鍵基礎設施的IT網路環境，其攻擊行動當中的主要手法，就是廣泛採用寄生攻擊（LotL），並濫用外流的帳號，以及落實高強度的操作安全，而能夠長時間在受害系統進行活動，並且不被察覺。</p> <p>Volt Typhoon在發動攻擊之前，會廣泛對目標組織的網路架構進行偵察，然後通常利用曝露在網際網路上的路由器、VPN、防火牆等設備，利用已知或未知漏洞得到網路環境的初始存取權限，再透過權限提升漏洞得到管理員的帳密資料，並利用遠端桌面協定（RDP）進行橫向移動至網域控制器（DC），然後採取寄生攻擊在目標網路進行調查，並從網域控制器取得AD的資料庫NTDS.dit，從而完全入侵，並著重存取操作科技（OT）資產的能力。上述機構也針對該組織的攻擊行動，提供防禦措施及入侵指標（IoC）。</p> <p><a href="https://blog.google/threat-analysis-group/commercial-surveillance-vendors-google-tag-report/"><strong style="font-size: 22px;">Google指控2023年8成零時差漏洞被商業間諜軟體供應商濫用</strong></a></p> <p>2月5日美國國務院宣布，他們將針對利用商業間諜軟體進行攻擊行動的人士，限制發給簽證，隔日Google公布他們對這種間諜軟體長期追蹤的調查結果。</p> <p>該公司旗下的威脅分析小組（TAG）追蹤全球約40家商業監控供應商（Commercial Surveillance Vendors，CSV），這些業者提供付費服務及工具，也包含間諜軟體及必要基礎設施，主要客戶為各國政府，攻擊對象涵蓋記者、人權捍衛者、異議份子、政治對手。</p> <p>TAG指出，CSV利用的零時差漏洞，有半數是針對Google產品及安卓系統而來，根據他們的統計，從2014年開始，總共有72個存在於Google產品的零時差漏洞，當中至少有35個是CSV發現並用於間諜軟體。TAG表示，他們發現最先進的攻擊工具當中，絕大多數來自CSV，在去年已被用於攻擊行動的25個零時差漏洞裡，就有20個來自CSV。</p> <p><a href="https://www.fortinet.com/blog/threat-research/info-stealing-packages-hidden-in-pypi"><strong style="font-size: 22px;">竊資軟體WhiteSnake透過惡意PyPI套件散布</strong></a></p> <p></p> <p>資安業者Fortinet揭露新一波的竊資軟體WhiteSnake Stealer攻擊行動，駭客上架nigpal、figflix、telerer、seGMM、fbdebug、sGMM、myGens、NewGends、TestLibs111等PyPI套件，若是開發人員不慎安裝，執行Windows作業系統的電腦就有可能被植入竊資軟體，從而在瀏覽器、加密貨幣錢包，以及網路應用程式WinSCP、CoreFTP、Windscribe、Filezilla、AzireVPN、Snowflake、Steam，還有即時通訊軟體Discord、Signal、Telegram的使用者資料。</p> <p>研究人員指出，駭客在上述套件setup.py檔案當中，嵌入了Base64編碼的原始碼或是Python指令碼，能根據目標裝置的作業系統版本，在PyPI套件安裝的過程中，部署對應的惡意酬載並執行。</p> <p><a href="https://www.darkreading.com/endpoint-security/qr-code-quishing-attacks-execs-email-security"><strong style="font-size: 22px;">針對高階主管的QR Code網釣較一般員工高出42倍</strong></a></p> <p>專注於郵件安全的資安業者Abnormal指出，利用QR Code進行的網路釣魚攻擊（研究人員將其稱做quishing）越來越常見，而且這種型態的網釣攻擊也普遍針對高階主管而來。</p> <p>根據研究人員在2023年第4季進行的調查，高階主管遇到相關攻擊的頻率是一般員工的42倍，其他管理職位的員工，遭受這類的攻擊情況也是非管理職員工的5倍。</p> <p>研究人員指出，由於在企業環境當中，QR Code其中一種主要的使用情境，就是用來簡化多因素驗證（MFA）的流程，因此也有不少攻擊者以這種名義做為誘餌，根據他們的統計，去年第4季的QR Code網釣攻擊當中，有27%是以多因素驗證為誘餌，其次有21%是假借共享檔案的名義發動攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/H1-2024-Threat-Report-Quishing-Attack-Rates.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/H1-2024-Threat-Report-Quishing-Attack-Rates.png" style="width: 580px;" /></a></p> <p><a href="https://www.picussecurity.com/resource/blog/the-picus-red-report-2024-reveals-surge-in-hunter-killer-malware"><strong style="font-size: 22px;">能迴避資安系統的「獵人殺手」惡意程式大幅增加，2023年成長3倍</strong></a></p> <p>資安業者Picus Security針對66.7萬個惡意程式檔案進行分析，並將這些惡意軟體的攻擊行為對應到MITRE ATT&CK框架，結果發現，能迴避資安防護系統的「獵人殺手（Hunter-killer）」惡意程式，於2023年大幅成長，相較於2022年增加了333%，這些惡意程式能妨礙次世代防火牆、防毒軟體、EDR系統的防禦機制運作。此外，有7成的惡意程式採用隱形（stealth-oriented）手法，而使得防禦方在偵測倍受挑戰。</p> <p>研究人員指出，獵人殺手型態的惡意程式主要與3種MITRE ATT&CK手法有關，分別是處理程序注入（T1055）、命令及指令碼解析器（T1059）、削弱防禦能力（T1562）。</p> <p>另一個值得留意的現象，則是駭客在攻擊行動濫用資安防護工具的情況不斷出現，例如：勒索軟體駭客LockBit利用卡巴斯基反rootkit工具TDSSKiller、中國駭客組織Earth Longzhi濫用Zemana Antimalware的驅動程式元件、惡意軟體AuKill的開發者濫用Process Explorer來停用防毒軟體。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://snyk.io/blog/leaky-vessels-docker-runc-container-breakout-vulnerabilities/"><strong style="font-size: 22px;">容器命令列工具runC、映像檔建置工具BuildKit存在弱點Leaky Vessels，攻擊者可用於逃逸容器並取得主機權限</strong></a></p> <p>資安業者Snyk在容器命令列工具runC、映像檔建置工具BuildKit當中，發現了4個漏洞，分別是：CVE-2024-21626、CVE-2024-23651、CVE-2024-23652、CVE-2024-23653，並將其命名為Leaky Vessels，CVSS風險評分介於8.6至10分。</p> <p>一旦上述漏洞遭到利用，攻擊者就能進行容器逃逸，並對底層主機進行未經授權的存取，從而挖掘系統的帳密資料、使用者資料等各式敏感資訊，以便用於下一階段的攻擊。研究人員指出，雖然這些漏洞尚未出現遭到利用的跡象，但由於上述漏洞廣泛影響低階容器引擎元件、容器建置工具，他們呼籲IT人員應檢查容器環境的配置，以及相關軟體供應商近期的更新公告，以便在修補程式發布後儘速修補。</p> <p>對此，維護runC的開發團隊於1月31日發布1.1.12版、Docker同日也對buildkit發布0.12.5版修補上述漏洞，GCP、AWS、Ubuntu也公告將runC更新至1.1.12版。</p> <p><a href="https://blog.jetbrains.com/teamcity/2024/02/critical-security-issue-affecting-teamcity-on-premises-cve-2024-23917/"><strong style="font-size: 22px;">CI/CD軟體平臺TeamCity存在身分驗證繞過漏洞，伺服器有可能遭到挾持</strong></a></p> <p>2月6日JetBrains發布資安公告，指出CI/CD軟體平臺TeamCity存在身分驗證漏洞CVE-2024-23917，一旦遭到利用，攻擊者可在未經身分驗證的情況下，透過HTTP、HTTPS連線存取TeamCity伺服器，且無須進行身分驗證就能得到控制權，該漏洞影響2017.1至2023.11.2版，CVSS風險評分為9.8。</p> <p>該公司發布2023.11.3版TeamCity予以修補，而對於暫時無法升級的本地建置伺服器，該公司也提供外掛程式緩解上述漏洞，他們強調，雲端版本TeamCity Cloud已完成修補，且尚未出現遭到攻擊的跡象。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/free-rhysida-ransomware-decryptor-for-windows-exploits-rng-flaw/"><strong style="font-size: 22px;">韓國研究人員找到勒索軟體Rhysida弱點，提供免費解密工具</strong></a></p> <p></p> <p>2月9日韓國國民大學的研究人員宣布，他們在韓國資訊安全局（KISA）的經費挹注下，成功破解勒索軟體Rhysida資料加密的方法，駭客使用AES-256-CTR演算法對檔案進行間歇性加密（intermittent encryption），研究人員利用他們發現的弱點，從而反向將檔案恢復原本的狀態，KISA在網站上提供了自動解密工具。</p> <p>不過，他們並非首度破解該勒索軟體的研究團隊。研究人員Fabian Wosar指出，在此之前至少有3個團隊找到這項漏洞，但選擇私下協助受害組織解密檔案。該名研究人員表示，他在5月找到漏洞，法國CERT在6月發布未公開的論文，防毒軟體業者Avast去年10月發現該弱點，而對於KISA提供的解密工具，該名研究人員表示只適用於Windows執行檔版的勒索軟體，但無法復原虛擬環境ESXi或PowerShell酬載加密的檔案。</p> <p>資料來源</p> <p>1. <a href="https://arxiv.org/abs/2402.06440">https://arxiv.org/abs/2402.06440</a><br /> 2. <a href="https://seed.kisa.or.kr/kisa/Board/166/detailView.do">https://seed.kisa.or.kr/kisa/Board/166/detailView.do</a><br /> 3. <a href="https://twitter.com/fwosar/status/1757051201533685914">https://twitter.com/fwosar/status/1757051201533685914</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.trellix.com/blogs/research/ransomhouse-am-see/"><strong><span style="font-size: 20px;">勒索軟體RansomHouse透過自動化工具MrAgent，攻擊VMware虛擬化平臺</span></strong></a></p> <p></p> <p><strong><a href="https://www.hackread.com/chatgpt-down-anonymous-sudan-ddos-attacks/"><span style="font-size: 20px;">大型語言模型ChatGPT服務中斷，傳出是駭客組織Anonymous Sudan發動DDoS攻擊所致</span></a></strong></p> <p></p> <p><a href="https://blog.talosintelligence.com/tinyturla-next-generation/"><strong><span style="font-size: 20px;">非政府組織遭俄羅斯駭客組織Turla鎖定，植入後門程式TinyTurla-NG</span></strong></a></p> <p></p> <p><a href="https://www.justice.gov/opa/pr/justice-department-conducts-court-authorized-disruption-botnet-controlled-russian"><strong><span style="font-size: 20px;">美國破壞俄羅斯駭客APT28經營的殭屍網路Moobot</span></strong></a></p> <p></p> <p><strong><a href="https://www.resecurity.com/blog/article/global-malicious-activity-targeting-elections-is-skyrocketing"><span style="font-size: 20px;">鎖定全球選舉的惡意網路活動升溫</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161319"><strong>【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161289"><strong>【2月15日】臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161232"><strong>【2月7日】求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標</strong></a></p> </div></div></div>
2024/2/16 18:32作者周峻佑https://www.ithome.com.tw/news/161326
Meta公開新模型V-JEPA，透過預測影片缺失部分讓AI更理解真實世界
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>建立在Meta首席人工智慧科學家Yann LeCun，所提出的人工智慧模型架構JEPA（Joint Embedding Predictive Architectures），Meta人工智慧研究團隊公開用於影片預測的非生成式人工智慧模型<a href="https://ai.meta.com/blog/v-jepa-yann-lecun-ai-model-video-joint-embedding-predictive-architecture/">V-JEPA</a>，透過預測影片中缺失或是被遮蔽的部分，來有效提升人工智慧對這個世界的理解。</p> <p>Yann LeCun在2022年的時候提出JEPA架構，目標是要建立進階的機器智慧，讓人工智慧可以像人類一樣學習，建立起周圍世界的內在模型，以便學習、適應，並且有效地制定計畫，完成複雜的任務。所謂的內在模型，指得是人類或人工智慧，在大腦或是神經網路中所建構的心智表示，其反映出對於世界的理解或是知識。</p> <p>人類透過觀察周遭世界學習許多知識，研究人員舉牛頓第三運動定理說明，即便是嬰兒（或是貓）在多次將物體從桌面推落並觀察結果之後，皆能直覺理解物體上升必會下降的道理，事實上，人們並不需要花費數個小時學習，閱讀大量的書籍才能得到這個結論。人們藉由觀察世界所建立的內在模型運作非常高效，能夠準確快速地預測這些事物的結果。</p> <p>Meta在2023年的時候，運用JEPA架構開發電腦視覺模型I-JEPA（Image Joint Embedding Predictive Architecture），其特色在於能夠關注真正的圖像重點，而I-JEPA高效能的秘訣在於，能夠以更像人類理解抽象表示的方法，來預測缺失的資訊。而現在Meta進一步擴展JEPA架構，發展可以處理影片的V-JEPA，V即代表影片（Video）。</p> <p>V-JEPA方法類似於I-JEPA，比較圖像的抽象表示而非直接比較畫素本身，V-JEPA與嘗試填充缺失畫素的生成式方法不同，V-JEPA有能力丟棄不可預測的資訊，這使得訓練和採樣效率可提升達1.5到6倍。V-JEPA採用自監督學習方法，使用未標記的資料進行預訓練，唯有於預訓練後，要讓模型適應特定任務的時候才會使用標籤。</p> <p>研究人員訓練V-JEPA的方法，是讓模型觀看一系列的影片，使其能夠掌握世界運作的方式。這些影片會經過遮蔽處理（下圖），透過遮蔽大面積影片內容，要求預測器在只有一小部分影片內容的上下文中，填充缺失的內容，且填充並非填充實際的畫素，而是表示空間中的抽象描述。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/427979095_923374739138637_7724069779118251294_n.png" style="width: 580px;" /></p> <p>研究人員解釋，如果僅是隨機抽選遮蔽影片中的小區塊，則會讓任務過於簡單，使得模型無法真正學習到關於世界的複雜事物。因此Meta特別制定涵蓋空間與時間的遮蔽策略，迫使模型學習並且發展對場景的理解，進一步預測未來的事件或是動作，進而達到對世界更深層次的理解。</p> <p>該方法的優勢讓模型能夠專注於影片的高層次概念，而不會鑽牛角尖於對下游任務不重要的細節，像是人類觀看在有樹木的影片，不會特別關心每片葉子的細微動作一樣，如此便能提高了學習效率和任務適應性。</p> <p>V-JEPA還有一個重要的創新是凍結評估（Frozen Evaluations）的能力，模型在預訓練之後，核心的部分不會再改變，因此只需要在其上添加小型專門層即可適應新任務。該設計避免了傳統模型針對新任務需要全面微調的麻煩，減少學習新任務的資料和時間要求，並使得模型能夠在不同任務中重複使用，諸如動作分類、精細地物體互動辨識以及活動定位等。</p> <p>Meta會繼續擴展V-JEPA模型，從只有處理影片的視覺內容，增加整合音訊實現多模態學習，研究團隊認為，透過更豐富的上下文資訊，將能夠加深模型對影片內容的理解。此外，他們也會繼續強化模型長期規畫和預測能力，使其能夠處理長時間跨度的任務，而這將是發展高階機器智慧的重要方向。Meta現在以創用CC BY-NC授權釋出V-JEPA模型，促進人工智慧領域發展。</p> </div></div></div>
2024/2/17 08:24作者李建興https://www.ithome.com.tw/news/161322
Nvidia進一步揭露其位居TOP 500第9名AI超級電腦Eos的細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia對外進一步<a href="https://blogs.nvidia.com/blog/eos/">公開</a>其資料中心等級的超級電腦Eos，該超級電腦是一個包含多個Nvidia DGX系統的超大規模DGX SuperPOD，在目前全球超級電腦TOP 500排名中位居第9。Nvidia開發者藉由使用Eos的高速運算基礎設施，以及針對Eos系統最佳化的軟體，開發各項人工智慧創新技術。</p> <p>DGX SuperPOD架構是Nvidia所設計的超級運算基礎設施，專門針對人工智慧和高效能運算任務最佳化，透過整合多個Nvidia DGX系統，並於每個DGX系統裝載多個Nvidia GPU，來提供高效能運算能力。DGX SuperPOD還採用Nvidia Quantum InfiniBand網路技術，進行高速且低延遲傳輸，確保系統間能高效協同運作。</p> <p>Eos總共有576個Nvidia DGX H100系統，每個DGX H100系統都搭載8個H100 Tensor Core GPU，因此Eos擁有高達4,608個H100 GPU，而且採用Quantum-2 InfiniBand與其網路內運算技術，網路架構可提供高達400Gb/s的資料傳輸速度，支援訓練複雜人工智慧模型所需的大型資料集移動，使得Eos整體具有18.4 Exaflops的FP8運算效能，可用於處理龐大的人工智慧工作負載，包括訓練大型語言模型、推薦系統和量子模擬等。</p> <p>雖然Nvidia在2023年的時候，就曾在Supercomputing 2023大會上公開過Eos的消息，但這是Nvidia首次進一步揭露Eos的細節以及畫面。</p> </div></div></div>
2024/2/17 08:32作者李建興https://www.ithome.com.tw/news/161328
【資安日報】2月16日，金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>民眾透過手機操作網路銀行的情況在全球各地可說是相當普遍，針對手機而來的金融木馬攻擊，在最近2到3年有越來越頻繁的現象，但過往這類惡意程式幾乎都是針對安卓手機而來，如今也出現同時攻擊iPhone用戶的金融木馬程式。</p> <p>本週資安業者Group-IB揭露的金融木馬GoldPickaxe，就是典型的例子。特別之處在於，駭客濫用的管道是蘋果專供開發人員發布測試版應用程式的平臺TestFlight，對這類手機用戶發動攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.group-ib.com/blog/goldfactory-ios-trojan/"><strong style="font-size: 22px;">金融木馬GoldPickaxe鎖定安卓、iOS裝置而來，盜取受害者臉部資訊用於金融詐欺</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/5-18.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/5-18.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB去年10月公布名為GoldDigger的安卓木馬程式，中國駭客GoldFactory針對越南用戶而來，但研究人員循線追查發現，這些駭客也開始對iOS作業系統下手。</p> <p>研究人員發現這些駭客利用另一款稱為GoldPickaxe的惡意程式，對泰國發動攻擊，對方先是透過即時通訊軟體Line進行網路釣魚，冒充政府機關或是金融機構，引誘使用者安裝冒牌的應用程式，從而在受害者的手機植入GoldPickaxe並於後臺運作，收集受害者臉部的資料、攔截簡訊、要求提供身分證等資料，然後使用名為MicroSocks的元件進行WebSocket通訊，外流上述資料，從而讓駭客能存取受害者的銀行應用程式。研究人員指出，駭客收集臉部辨識資料的目的，很可能與泰國中央銀行去年3月的新規定有關，在進行5萬泰銖（約1,430美元）以上的匯款，使用者必須通過臉部辨識的身分驗證才能執行。</p> <p>值得留意的是，駭客不光透過Google Play市集對安卓用戶散布惡意程式，針對iPhone用戶，他們將被導向TestFlight的網址，或是被要求安裝MDM應用程式，從而在手機裡植入GoldPickaxe。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/b/cve202421412-water-hydra-targets-traders-with-windows-defender-s.html"><strong style="font-size: 22px;">Microsoft Defender SmartScreen零時差漏洞被用於散布惡意程式DarkMe</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/water-hydra-chain-1.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/water-hydra-chain-1.jpeg" style="width: 300px; float: right;" /></a>資安業者趨勢科技指出，他們於去年12月下旬追蹤駭客組織Water Hydra（亦稱DarkCasino）的攻擊行動，研究人員分析駭客使用的技術、策略、程序（TTP），發現當中涉及網際網路捷徑（.URL），以及以網頁為基礎的分散式編輯及版本控制（WebDAV）元件，在這個攻擊鏈裡，駭客利用零時差漏洞CVE-2024-21412（CVSS風險評分為8.1），繞過Microsoft Defender SmartScreen防護措施，最終導致受害電腦感染RAT木馬程式DarkMe，主要的攻擊目標是在金融市場從事交易的人士。</p> <p>在整個攻擊鏈當中，駭客先於外匯交易論壇及股票交易有關的Telegram頻道上，從事網路釣魚活動，利用社交工程技術，假借提供投資建議、技術分析資訊、股票及金融工具的名義，將投資人引導至位於俄羅斯的冒牌加密貨幣資訊網站（fxbulls[.]ru），駭客也發布大量的英語及俄文貼文，藉著回覆問題的同時，散布含有股票資訊圖表的連結，從而引導投資人透過檔案總管開啟惡意WebDAV連結，然後觸發CVE-2024-21412。</p> <p>研究人員指出，這些駭客持續調整他們的感染鏈，今年1月，駭客改以CVE-2024-21412觸發惡意的MSI安裝檔案。</p> <p><a href="https://www.orangecyberdefense.com/fileadmin/general/pdf/Ivanti_Connect_Secure_-_Journey_to_the_core_of_the_DSLog_backdoor.pdf"><strong style="font-size: 22px;">Ivanti Connect Secure的SSRF漏洞已被用於攻擊行動，散布後門程式DSLog</strong></a></p> <p></p> <p>1月31日Ivanti針對旗下的SSL VPN系統Connect Secure、NAC系統Policy Secure、零信任網路存取閘道系統Neurons for ZTA，公布存在於SAML模組的伺服器請求偽造（SSRF）漏洞CVE-2024-21893（CVSS風險評分為8.2），並提及已有攻擊行動出現，事隔不到一週，Shadowserver基金會指出，在2月2日資安業者Rapid7公布概念性驗證（PoC）程式碼前夕，他們也偵測到嘗試利用該漏洞的行為，代表駭客可能已掌握如何利用漏洞，如今有研究人員公布新的調查結果，證實上述推測。</p> <p>資安業者Orange Cyberdefense指出，他們自2月3日淩晨，看到客戶的Ivanti系統出現漏洞濫用攻擊，駭客藉由經過編碼處理的SAML身分驗證請求，先是將系統資訊輸出至可公開存取的檔案（如index2.txt），從而取得root權限，然後竄改目標系統的事件記錄指令碼DSLog.pm，並伺機在程式碼基礎（codebase）注入後門程式DSLog，他們進一步調查，總共找到有670臺主機遭駭。</p> <p>研究人員向受害組織進行通報，6日約有100臺主機已採取回應措施，截至7日，仍有524臺伺服器受到感染。</p> <p><a href="https://securityaffairs.com/159093/cyber-crime/romanian-hospitals-ransomware-attack.html"><strong style="font-size: 22px;">逾100家羅馬尼亞醫院資訊系統因勒索軟體攻擊而癱瘓</strong></a></p> <p></p> <p>2月12日羅馬尼亞國家網路安全局（DNSC）及衛生部證實，當地醫院的服務供應商遭到勒索軟體攻擊，導致多家醫院受到影響，後來指出發動攻擊的勒索軟體名為Backmydata，為Phobos家族的變種，該勒索軟體對當地採用Hipocarate IT平臺的醫院伺服器下手，加密其中的資料。</p> <p>從2月10日開始有醫院傳出受害消息，截至12日總共有21家醫院受到影響，13日增加至25家。另有79家醫院也將相關系統切斷與網際網路的連線，並著手清查。</p> <p>DNSC指出，這起事故對於大多數醫院的影響有限，因為這些醫院幾乎都對相關伺服器定期備份資料，且最近一次備份資料多為3天內執行。13日DNSC公布駭客索討的贖金為3.5個比特幣，相當於15.7萬歐元，並呼籲所有導入該平臺的醫院遵循他們提供的回應措施，不要向駭客低頭、支付贖金。</p> <p>資料來源</p> <p>1. <a href="https://www.dnsc.ro/citeste/atac-cibernetic-ransomware-spitale-Romania">https://www.dnsc.ro/citeste/atac-cibernetic-ransomware-spitale-Romania</a><br /> 2. <a href="https://www.ms.ro/en/press-center/atac-cibernetic-masiv-de-tip-ransomware-asupra-serverelor-de-produc%C8%9Bie-pe-care-ruleaz%C4%83-sistemul-informatic-his/">https://www.ms.ro/en/press-center/atac-cibernetic-masiv-de-tip-ransomware-asupra-serverelor-de-produc%C8%9Bie-pe-care-ruleaz%C4%83-sistemul-informatic-his/</a></p> <p><a href="https://www.cnil.fr/fr/violation-de-donnees-de-deux-operateurs-de-tiers-payant-la-cnil-ouvre-une-enquete-et-rappelle-aux"><strong style="font-size: 22px;">法國健保業者客戶資料外洩，恐波及該國近半數民眾</strong></a></p> <p></p> <p>2月7日法國資料保護機構CNIL指出，他們著手調查支付業者Viamedis與Almerys的資料外洩事件，兩家業者替多家健康保險業者提供第三方支付服務，在今年1月遭到網路攻擊，外洩逾3,300萬名客戶個資，相當於法國接近一半民眾（6,800萬人）的個資流出。</p> <p>外洩資料涵蓋投保人與其家人的個資，包括社會安全碼、出生日期、健保業者名稱、合約內容。而醫療資訊、金融資訊、郵政資料、電話號碼並未受到影響。</p> <p><a href="https://cyberscoop.com/atlassian-vulnerability-at-fault-in-gao-breach/"><strong style="font-size: 22px;">美國政府責任署傳出資料外洩，原因是承包商的Confluence伺服器遭駭</strong></a></p> <p></p> <p>美國政府責任署（Government Accountability Office，GAO）傳出資料外洩的情況，起因與該單位的承包商CGI Federal有關。此承包商於1月17日通知GAO，本次的資料外洩事故影響約6,600人，主要是2007年至2017年現任及前員工，以及有業務往來的公司。</p> <p>而對於這起事故發生的原因，CGI Federal發言人Mercedes Marx向資安新聞網站CyberScoop透露，是他們的DevOps協作平臺遭到破壞，過程中駭客利用CVE-2023-22515（CVSS風險評分為10），事發後已根據10月美國網路安全暨基礎設施安全局（CISA）的資安公告進行補救，並與政府和客戶合作來確認受影響的範圍。但為何事發3個月才通知GAO，Mercedes Marx並未提出說明。</p> <p><strong style="font-size: 22px;">美國國防部證實1年前的資料外洩事故，逾2萬名員工受害</strong></p> <p></p> <p>根據新聞網站DefenseScoop的報導，美國國防部（DOD）於2月1日通知員工、前員工、求職者、合作夥伴，他們表示，在2023年2月3日至2月20日，其服務供應商不慎將大量電子郵件曝露在網際網路上，其中部分包含曾在美國國防部就職、應徵人士能夠識別的個人資訊（PII）。但他們尚未發現這些個資遭到濫用的跡象。</p> <p>對此，五角大廈發言人指出，受影響的伺服器在去年2月20日已經移除，並透露這起事故涉及多個部門組織，約有20,600人受到影響。</p> <p>科技新聞網站TechCrunch指出，這起事故在1年前就被發現。研究人員Anurag Sen於2023年2月揭露，美國國防部洩露約3 TB內部電子郵件，並指出部分與美國特種作戰司令部（SOCOM）有關。但為何美國國防部耗費1年來調查此事，目前仍不清楚。</p> <p>資料來源</p> <p>1. <a href="https://defensescoop.com/2024/02/13/dod-notifying-people-year-old-data-breach/">https://defensescoop.com/2024/02/13/dod-notifying-people-year-old-data-breach/</a><br /> 2. <a href="https://techcrunch.com/2024/02/14/department-defense-data-breach-microsoft-cloud-email/">https://techcrunch.com/2024/02/14/department-defense-data-breach-microsoft-cloud-email/</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-new-critical-exchange-bug-exploited-as-zero-day/"><strong style="font-size: 22px;">Exchange伺服器重大漏洞已出現攻擊行動</strong></a></p> <p></p> <p>微軟於2月份例行更新（Patch Tuesday）修補Exchange Server重大漏洞CVE-2024-21410，一旦攻擊者利用這項漏洞，可在未通過身分驗證的情況下，對此郵件伺服器的用戶端（如Outlook）發動NTLM中繼攻擊，從而提升權限，以受害者的身分在Exchange伺服器執行各項作業，CVSS風險評分為9.8。</p> <p>值得留意的是，隔日（14日）<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-21410">該公司更新公告</a>，指出在他們修補之前，這項漏洞已被用於攻擊行動。對此，該公司呼籲IT人員應啟用身分驗證延伸防護（Extended Protection for Authentication，EPA）的功能，來防堵上述漏洞。</p> <p><a href="https://www.expressvpn.com/blog/windows-app-dns-requests/"><strong style="font-size: 22px;">VPN軟體ExpressVPN存在漏洞，恐洩露DNS請求</strong></a></p> <p></p> <p>2月8日ExpressVPN發布資安公告，指出適用於Windows作業系統的12版用戶端應用程式存在漏洞，而有可能導致DNS請求曝光，使得網際網路服務供應商（ISP）伺服器有機會追蹤使用者的上網情形。</p> <p>這項弱點存在於該應用程式的分割隧道（split tunneling）功能，照理來說，用戶的所有DNS請求都是透過該業者不留存事件記錄的DNS伺服器進行處理，避免ISP或他人追蹤使用者瀏覽的網域，但在這項漏洞當中，VPN用戶端軟體會直接將DNS請求導向ISP。</p> <p>對此，ExpressVPN指出此漏洞影響12.23.1至12.72.0版，約有1%的Windows使用者受到波及，他們暫時於新版12.73.0暫時刪除相關功能因應。而對於需要使用分割隧道功能的使用者，該公司建議使用不受影響的10.50.0版。</p> <p><a href="https://forums.ivanti.com/s/article/CVE-2024-22024-XXE-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure"><strong style="font-size: 22px;">Ivanti Conncet Secure出現XXE漏洞，攻擊者有可能存取系統部分資源</strong></a></p> <p></p> <p>2月8日Ivanti發布資安公告，旗下的SSL VPN系統Connect Secure、NAC系統Policy Secure、零信任網路存取解決方案Neurons for ZTA存在漏洞CVE-2024-22024，這項漏洞存在於上述系統的SAML元件，為XML外部實體（XXE）漏洞，攻擊者一旦利用該漏洞，就有可能在未經通過身分驗證的情況下，存取部分受到管制的資源，CVSS風險評分為8.3，該公司強調尚未發現該漏洞遭到利用的證據。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hyundai-motor-europe-hit-by-black-basta-ransomware-attack/"><strong><span style="font-size: 20px;">現代汽車歐洲分公司傳出遭到勒索軟體Black Basta攻擊</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/bank-of-america-warns-customers-of-data-breach-after-vendor-hack/"><span style="font-size: 20px;">美國銀行證實資料外洩，起因是供應商遭駭</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/critical-flaw-in-shim-bootloader-impacts-major-linux-distros/"><strong><span style="font-size: 20px;">開機啟動元件Shim存在重大漏洞，影響多個Linux版本</span></strong></a></p> <p></p> <p><a href="https://psirt.canon/advisory-information/cp2024-001/"><strong><span style="font-size: 20px;">Canon修補7個印表機重大漏洞</span></strong></a></p> <p><strong><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-csrf-KnnZDMj3"><span style="font-size: 20px;">思科修補協作閘道系統Expressway的CSRF漏洞</span></a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161289"><strong>【2月15日】臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161232"><strong>【2月7日】求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161212"><strong>【2月6日】駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣</strong></a></p> </div></div></div>
2024/2/16 16:54作者周峻佑https://www.ithome.com.tw/news/161319
HPE更新2U高密度儲存伺服器，升級CPU運算平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_alletra_storage_server_4120_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一年多前，HPE響應英特爾推出第四代Xeon Scalable處理器，推出多款採用這系列CPU的伺服器，其中也包含高密度儲存伺服器Alletra 4000系列，當時主打兩款機型，我們在2023年11月曾介紹其中一款採用全快閃儲存組態的<a href="https://www.ithome.com.tw/review/159695">Alletra 4110</a>，標榜1U機箱可容納20臺E3.S或2.5吋NVMe固態硬碟，由於可全面支援PCIe 5.0介面，整臺伺服器的儲存頻寬可達315 GB/s，現在來看看另一款Alletra 4120。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Data Storage Server Portfolio-2024.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Data%20Storage%20Server%20Portfolio-2024.jpg" style="width: 600px;" /></a></p> <p>基本上，這款機型是承接HPE Apollo 4200硬體設計特色而持續改良的產品，過去HPE曾推出<a href="https://www.ithome.com.tw/review/106621">Apollo 4200 Gen9（採用Xeon E5 v3系列處理器）</a>、Apollo 4200 Gen10（採用第二代Xeon Scalable系列處理器）、Apollo 4200 Gen10 Plus（採用第三代Xeon Scalable系列處理器），後兩款至今仍可供貨，截至今年2月為止，HPE還在更新它們的規格。</p> <p>Apollo 4200歷代機型最大的共通點在於，搭配的2U機箱前半段採用雙排滑動式磁碟模組，可搭配24臺3.5吋硬碟或48臺2.5吋硬碟，機箱背部還能安裝4臺3.5吋硬碟或6臺2.5吋硬碟，因此，整臺伺服器總共可搭配28臺3.5吋硬碟或54臺2.5吋硬碟，前一代機型Apollo 4200 Gen10 Plus甚至還能在機箱內部放入第三排磁碟模組，能夠額外容納4臺3.5吋硬碟或8臺2.5吋硬碟。</p> <p>對於最新推出的Alletra 4120而言，特色是2U機箱支援混合NVMe儲存組態，前緣可容納24臺3.5吋SAS/SATA硬碟或48臺2.5吋SAS/SATA硬碟，背部能搭配4臺3.5吋SAS/SATA硬碟、6臺2.5吋NVMe/SAS/SATA硬碟，或是12臺E3.S固態硬碟（2023年4月開始提供），而且，由於這款機型可同時支援PCIe 5.0、24G SAS、6G SATA介面，整臺伺服器的儲存頻寬可達225.6 GB/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE 4120-LFF.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204120-LFF.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE 4120-SFF.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204120-SFF.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE 4120-Back3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204120-Back3.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE 4120-Back2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204120-Back2.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE 4120-Back1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204120-Back1.jpg" style="width: 198px;" /></a></p> <p>若對比Apollo 4200 Gen10 Plus，Alletra 4120採用24臺3.5吋硬碟與12臺E3.S固態硬碟時，儲存頻寬領先幅度可達到109％，原因在於能搭配兩倍數量的PCIe 5.0介面NVMe固態硬碟，用於存放快取與中繼資料，以及4張支援3種I/O模式（16G NVMe、24G SAS、6G SATA）的新一代儲存控制器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE 4120-LFF2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204120-LFF2.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Allerta%204120%20back%20E3S.jpg" style="width: 298px;" /></p> <p>在運算組態的配置上，Alletra 4110與Alletra 4120初期均採用兩顆英特爾第四代Xeon Scalable系列，最大可搭配48核心、熱設計功耗350瓦的款式；記憶體提供24個插槽，支援DDR5-4800，Alletra 4110最大可搭配3 TB（插滿128 GB記憶體），Alletra 4120最大可搭配6 TB（插滿256 GB記憶體）。</p> <p>隨著去年12月中英特爾推出第五代Xeon Scalable系列，這兩款儲存伺服器也在那時發布規格改版，新支援DDR5-5600記憶體，相較於第三代Xeon Scalable系列處理器支援的DDR4-3200記憶體，頻寬提升75％（5600 MT/s vs. 3200 MT/s），但最大容量的配置有變化。例如，Alletra 4110最大可搭配6 TB記憶體，當24個插槽都搭配256 GB的DDR5-4800，能提供6 TB，或是搭配128 GB的DDR5-5600，可提供3 TB；Alletra 4120記憶體容量最大可搭配至4 TB，可安裝16個256 GB的DDR5-4800，可提供4 TB，或是搭配24支128 GB的DDR5-5600，而能提供3 TB，HPE表示，這樣的搭配是因為考量到機箱的整體散熱能力，若需設置6 TB記憶體，可洽詢他們。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Alletra%204120-overview2.jpg" style="width: 600px;" /></p> <p>在此同時，Alletra 4110與Alletra 4120也能搭配1張GPU或FPGA加速卡（全高半長尺寸、熱設計功耗低於75瓦），從2023年12月中更新規格之後，它們都正式支援兩款GPU加速卡：Nvidia的A2與L4。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Alletra 4000 GPU-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Alletra%204000%20GPU-2.jpg" style="width: 600px;" /></a></p> <p>除了上述規格差異，Alletra 4110與Alletra 4120也如同這段時間推出的ProLiant Gen11系列，擁有共同特色。例如，均內建遠端管理平臺iLO6，可延伸硬體信任根，用於保護伺服器的韌體，以及儲存控制器與網路控制器的韌體，支援DMTF的SPDM協定，提供基於憑證的身分驗證，而且，還能支援雲端伺服器管理平臺HPE GreenLake for Compute Ops Management的使用，實施5個因素的身分認證模式（5-factor authentication model）——使用者認證：Multifactor authentication（MFA）、Single Sign-On（SSO），裝置認證：TPM 2.0、iDevID、Silicon Root of Trust，確保伺服器連線安全，而在用戶雲端資料儲存安全性，也設置AES-256加密保護。</p> <p>針對不同資料儲存的應用需求，HPE也將Alletra 4000搭配各種軟體成為解決方案。舉例來說，Alletra 4110用於分散與NoSQL資料庫時，他們提供HPE Solutions with Aerospike；用於機器學習的資料儲存時，他們提供HPE Solutions with WEKA；用於軟體定義儲存時，他們提供HPE Solutions with Qumulo。至於Alletra 4120，可用於主動式資料歸檔（active archives），他們提供HPE Solutions with Scality，以及HPE Solutions with Cohesity。</p> <p>而在需要處理大量資料的超融合基礎架構應用上，Alletra 4000系列也能支援，舉例來說，上述兩款機型均可用於支撐Microsoft Azure Stack HCI。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>HPE Alletra Storage Server 4120</strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U<br /> ●儲存容量：<br /> 機箱前緣24臺3.5吋SAS/SATA硬碟，或48臺2.5吋SAS/SATA硬碟<br /> 機箱背部可安裝12臺E3.S固態硬碟，或4臺3.5吋SAS/SATA硬碟，或6臺2.5吋NVMe/SAS/SATA硬碟<br /> ●I/O介面：PCIe 5.0 x16，8個全高半長插槽（可安裝1張75瓦以下的GPU加速卡或FPGA加速卡）、2個OCP 3.0插槽<br /> ●網路埠：<br /> 可搭配乙太網路網路卡類型，包括單埠（100GbE、200GbE）、雙埠（10GbE、10/25GbE、100GbE）、4埠（GbE、10/25GbE）；OCP 3.0網路卡，包括：雙埠（10GbE、10/25GbE、100GbE）、4埠（GbE、10GbE、10/25GbE）</p> <p>可搭配InfiniBand網路卡類型，包括單埠（NDR、NDR200、HDR/Ethernet 200Gb、HDR100/Ethernet 100Gb）、雙埠（NDR200/Ethernet 200Gb、HDR/Ethernet 200Gb、HDR100/Ethernet 100Gb）<br /> ●處理器：2顆第四代或第五代Xeon Scalable（最大可搭配48核心的款式）<br /> ●記憶體：24個DDR5-5600 RDIMM，最大可擴充至3TB（24支128 GB DDR-4800）或4 TB（16支256 GB DDR-4800）<br /> ●儲存控制器：SR932i-p Gen11x32 Lanes、MR416i-p Gen11 x16 Lanes、MR216i-p Gen11 x16 Lanes<br /> ●電源供應器：2臺（800瓦、1000瓦、1600瓦、1800至2200瓦）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/16 17:38作者李宗翰https://www.ithome.com.tw/review/161310
5G趨勢月報第51期：英國電信測試5G SA網路切片技術，針對遊戲、企業應用優化網路效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>01/11~02/12精選5G趨勢新聞</strong></span></h3> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>英國電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>網路切片</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>英國電信測試5G網路切片技術，針對</strong></span><strong style="font-size: 22px;">遊戲、企業應用優化網路服務品質</strong></p> </div> <div> <p>英國電信（BT）近期與設備商合作，在其研發單位測試5G網路切片應用，針對遊戲、企業、增強型行動寬頻eMBB測試網路切片技術，以驗證網路切片技術如何針對不同頻寬密集應用，確保網路最佳化。</p> <p>在遊戲方面，英國電信測試利用網路切片，確保能提供超過Nvidia GeForce Now串流遊戲服務建議的25Mbps穩定速度，他們發現相較於常規網路，針對遊戲應用切片提供較穩定的遊戲品質及體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/bt.jpg" style="width: 600px; height: 399px;" /></p> <p>另外，英國電信也針對企業應用進行測試，透過URSP政策來設定企業及eMBB切片網路，依照不同應用連接到多個切片網路，在三星Galaxy S23手機上支援穩定的4K視訊串流及企業應用。英國電信指出，企業通訊平臺及視訊應用例如YouTube需要穩定的連線品質，以確保正常運作，透過5G RAN切片技術，讓無線資源得以分配，讓企業應用流量最佳化，改善使用體驗。</p> <p>英國電信並表示，基於5G SA獨立組網的網路切片測試，展示如何依據不同市場需求區分QoS服務品質，維持其需要的網路切片效能，為發展5G SA網路帶來新服務可能性。</p> <p> </p> </div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠傳電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>急救</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>遠傳捐助5G救護車及相關設備助南投建立5G急救機制</strong></span></p> </div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5G%E6%95%91%E8%AD%B7%E8%BB%8A.jpg" style="width: 600px; height: 400px;" /></p> <p>遠傳電信捐贈5G救護車及遠距診療平臺、相關設備予南投縣政府消防局，讓救護車載送緊急傷患時，車上救護人員可透過5G和埔里基督教醫院急診團隊連線，針對較嚴重的傷患從遠端提供緊急救護指導。</p> <p>南投縣政府因佔地廣大，且位居臺灣的中央，涵蓋交通不便的偏遠山區，遠傳捐贈的5G救護車，包括支援5G連網的平板電腦，負責影像處理的電腦，車上的攝影機及骨傳導耳機，當載運傷病患抵達醫院之前，可透過5G遠距診療平臺，傳送車上的多角度即時影像及病患的生理數據，讓救護人員能以第一視角影像畫面及耳機，與醫院急救團隊或高級救護員連線互動，針對傷病患者獲得急救指示，院方也能及早作好相關的急救準備，或是縮短轉院作業安排，爭取黃金救援時間。</p> <p>去年，遠傳電信也和澎湖縣政府消防局合作，啟動5G跨海急救機制，針對醫療資源較缺乏的離島，讓澎湖白沙分隊的救護車，載送傷病患時可以和臺北市的高級救護分隊連線，提高急救效率。</p> <div> </div> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>榮總</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧醫療</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>臺北榮總將導入5G專網，結合固網及Wi-Fi訊號加速智慧醫療應用發展</strong></span></p> </div> <div> <p>臺北榮總近期和電信業者簽署合作備忘錄，計畫在院內導入5G專網切片技術，整合固網、Wi-Fi，以多網融合打造高覆蓋的網路環境，提供院內快速、穩定網路環境，來支援智慧醫療應用。</p> <p>雙方將在智慧醫療應用進行合作，主要結合各種醫療資源及數據，以及AI人工智慧，發展醫療服務、個人照護及各種醫療領域研究，例如AI心血管風險分析、AI睡眠呼吸中止篩檢，失智症照護平台等等。</p> <p>配合調整後的通訊診察治療辦法將於今年7月上路，雙方也會在居家照護、遠距醫療進行合作，運用5G IoT、遠距資料傳輸技術，讓在家或居住在偏鄉的病患獲得照護或遠距醫療服務，例如和金門醫院的遠距診療，並且也和榮總新竹分院合作，為尖石鄉、五峰山區提供遠距診療服務。</p> <div> </div> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>號誌控制</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧交通</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>交通部運研所研發5G智慧交通新應用，要讓緊急車輛一路通行無阻</strong></span></p> </div> <div> <p>交通部運研所日前展示研發成果，其中一項智慧交通應用，結合5G打造緊急救援車輛優先通行系統，當消防車、救護車等緊急救援車輛出勤時，向即將通行的路口發送訊號，延長綠燈時間，提高救援效率。</p> <p>運研所先與臺中市政府消防局合作，在一輛消防車上安裝發報器，並在號誌控制器安裝接收器，當車輛通過路口之前，提早向號誌控制器發送訊號，延長路口綠燈，讓消防車行駛方向車輛通行無阻，避免救援車輛卡等待紅燈在車陣中。</p> <p>根據初步試辦的結果，這套救援車輛優先通行系統，使消防車通行率從32%提高至96%，由於延長綠燈時間，消防車輛駕駛通過路口時，也不需要擔心左右來車。交通部運研所計畫先和臺中市試辦，並擴大至救護車輛，視成效未來不排除擴大至全國使用。</p> <div> </div> <div> </div> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>會展中心</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>RAI Amsterdam導入5G 專網，促發展大型商展、會議無線應用</strong></span></p> </div> <div> <p>專門提供大型商業展覽、會議場所的RAI Amsterdam國際會展中心近期導入5G專用網路，借助5G網路高速傳輸、專用網路的安全性，讓商展活動、大型會議活動可以現場直播互動，或是利用相關技術管理參加者。</p> <p>RAI Amsterdam指出，5G專用網路的優點是，能夠安全、快速傳輸資料，相較於Wi-Fi無線網路，5G較少有網路過載的情形發生，同時也能擺脫線纜，提供參展業者更靈活彈性的規畫安排，這項新技術，將在2月即將舉行的大型活動開始採用。</p> <p>RAI認為，新技術對其相當重要，讓大型展覽或會議活動在技術的支持下有更多可能，例如在展場現場以無人機在空中飛行，或是以高畫質傳送影像，進行即時的互動性直播，而不需要布置長長的線纜。另外，透過5G網路支援展覽活動，例如在活動期間負責場地整潔的清潔機器人，或是其他的自主移動裝置，包括自駕車。</p> <div> </div> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>手機</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>生成式AI</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>三星發表新一代旗艦手機Galaxy S24，與Google聯手大打AI牌</strong></span></p> </div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20S24.jpg" style="width: 600px; height: 400px;" /></p> <p>三星近期發表最新旗艦級手機Galaxy S24系列，該款手機最大特色之一為搭載AI功能，可支援Google Cloud的Vertex AI的Gemini Pro及Imagen，利用Gemini多模態模型，讓用戶可透過三星原生手機應用程式產生內容摘要。</p> <p>Galaxy S24採用高通Snapdragon 8 Gen 3行動平臺，強調NPU效能提升，提高手機的AI處理能力。用戶可透過時手機內三星原生應用程式，例如Samsung Note、語音錄製、三星鍵盤的內容摘要功能，三星也強調Gemini Pro提供資訊防護、安全性、隱私及數據合規；至於Imagen 2，用戶可在手機上的媒體瀏覽器，利用內建的生成式相片編輯功能，將照片尺寸調整至最高12MP，所輸出的圖像內含浮水印，並標示是由AI生成的內容。</p> <p>三星強調和Google在AI的合作關係，成為其Gemini Ultra的測試夥伴之一，而Galaxy S24也將支援Gemini Nano，為針對裝置端使用的大型語言模型。</p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"> </p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"> </p> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>IOWN</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>中華電信與富士通聯手，將在臺驗證IOWN全光和無線網路技術</strong></span></p> </div> <div> <p>在5G逐漸普及之下，全球正在探討B5G、6G等下一世代網路技術，因應新的無線網路需求，中華電信近期宣布與富士通合作，利用IOWN（Innovative Optical Wireless Network, IOWN）創新全光無線網絡技術，建構高容量、低延遲、低功耗網路。</p> <p>IOWN推動新的光電通訊技術，以建構高速、大容量通訊、大量運算資源的網路及資訊處理基礎建設，其核心技術之一是採用APN（All-Photonics Network）全光網路，即在通訊網路使用光子學技術建構。中華電信看好IOWN技術，在2020年3月加入IOWN全球論壇，該論壇主要推廣IOWN，以實現新一代的高容量、低延遲、低功耗網路為目標，IOWN論壇透過制定技術文件及PoC規範，鼓勵累積用戶案例，加速商用化的目標。</p> <p>此次中華電信和富士通簽署合作備忘錄，雙方為期2年合作，由富士通將協助在臺灣建置IOWN全光網路技術驗證環境，並推動該技術在國內商用網路的應用，協助IOWN全光網路在臺灣的網路建設及早期商業化。中華電信指出，與富士通合作發展全光網路，可為B5G及6G、AI、雲端運算等創新應用情境，提供更好的光通訊品質，提升國內資通訊服務。</p> <div> </div> <div> <div> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"> </p> <p>圖片來源／三星、遠傳電信、英國電信</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.AT&T與美國政府聯手建置公共安全及急救專用的5G SA網路核心</strong></p> <p><strong>2.國內5G開臺逾3年，NCC：仍有約7成民眾使用4G</strong></p> <p>資料來源：iThome整理，2024年1月</p> <div> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div></div></div>
2024/2/16 16:26作者蘇文彬https://www.ithome.com.tw/news/161311
Google開源內部所使用的檔案辨識系統Magika
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四（2/15）<a href="https://github.com/google/magika" target="_blank">透過GitHub開源</a>了內部所使用、基於深度學習的檔案類型辨識系統Magika，宣稱此一深度學習模型即便是在CPU上運作都能在幾毫秒內準確辨識出檔案類型，效能比現有的其它工具高出20%。</p> <p><a href="https://opensource.googleblog.com/2024/02/magika-ai-powered-fast-and-efficient-file-type-identification.html" target="_blank">Google解釋</a>，要判斷如何處理檔案之前，必須先確認檔案類型。在這50年來，Linux所配備的Libmagic函式庫及檔案公用程式一直是檔案類型辨識的標準，現代的瀏覽器、程式碼編輯器或是各種軟體，都必須仰賴檔案類型偵測來決定如何正確呈現檔案，然而，準確檢測檔案並不容易，因為每種檔案格式都有不同的結構，或者根本沒有結構。此外，文字格式與程式語言在結構上非常類似，迄今不管是Libmagic或是其它檔案類型辨識軟體，都是藉由手工蒐集的啟發式或客製化規則來偵測檔案格式。</p> <p>手動的方法既耗時又容易出錯，因為人類很難手動建立通用規則，特別對安全應用程式更具挑戰性，因為駭客會不斷試圖混淆視聽。</p> <p>為了解決檔案類型偵測的問題，Google研發了Magika，它採用TensorFlow平臺上的Keras函式庫，來設計與訓練一個客製化且高度優化的深度學習模型，用來訓練的資料集含有逾100種檔案類型的2,500萬個檔案，其模型大小只有1MB，並以Onnx作為推論引擎，確保可於幾毫秒內辨識檔案，辨識率超過99%，且在CPU上運作的速度幾乎與非AI工具一樣快。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0216-google-magika-screenshot.png" style="width: 600px;" /></p> <p>當在含有上百種檔案類型的逾100萬個檔案上進行評測時，Magika的效能比其它現有工具高出20%，且在程式檔案或是配置檔案等文字檔上的效能則更佳。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0216-Google-Magika-detection%20quality%20compared%20to%20other%20tools.png" style="width: 600px;" /></p> <p>Google內部已大規模採用Magika，主要負責將Gmail、Drive及Safe Browsing所收到的檔案、傳送至適當的安全或內容政策掃描機制上，根據Google的統計，相較於過去依賴手動規則的系統，Magika的準確性提高了50%。</p> <p>開發者可透過網頁試用Magika，或是將它安裝成一個Python函式庫，也能作為單獨的命令列工具。</p> <p>未來Magika也將被整合至惡意程式分析平臺VirusTotal上，搭配該平臺上部署Google生成式AI的Code Insight 功能，把Magika作為Code Insight分析文件之前的過濾機制，提高VirusTotal的效率及準確性。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/2/16 16:36作者陳曉莉https://www.ithome.com.tw/news/161316
美國商標暨專利辦公室拒絕OpenAI申請GPT及CHATGPT的商標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商標暨專利辦公室（U.S. Patent & Trademark Office，USPTO）在2月6日，<a href="https://tsdr.uspto.gov/documentviewer?caseId=sn97733259&docId=FREF20240206125856&linkId=1#docIndex=0&page=1）與2月9日（https://tsdr.uspto.gov/documentviewer?caseId=sn97733261&docId=FREF20240209093901&linkId=1#docIndex=0&page=1" target="_blank">先後拒絕了OpenAI所提出的GPT及CHATGPT的商標申請</a>，這兩個商標被拒絕的原因是一致的，USPTO認為它們僅是用來描述產品或服務的特色或功能，不得申請商標保護。</p> <p>USPTO在長達68頁的文件中解釋，GPT這個字眼在網路上被廣泛使用，描述基於Transformer的生成式預訓練模型（Generative Pre-Trained Transformer，GPT），指的是可創造近似人類品質之文字與內容，或是能以對話形式回答問題的各種應用，隨處都可看到針對GPT的說明，證明它僅僅是用來描述。</p> <p>USPTO指出，該辦公室不保護描述性商標是擔心商標所有人會藉此抑制市場競爭，或是提出昂貴的侵權訴訟，企業與競爭對手在向大眾描述自己的商品及服務時，應可於廣告或行銷內容中自由使用描述性語言。</p> <p>對於同樣打了回票的CHATGPT，USPTO則解釋，當中的CHAT或GPT在軟體產業都是熱門的字眼，CHAT指的是透過電腦網路同步交換資訊，而GPT則是被廣泛使用的縮寫詞，它們指的是可用來問問題與回答問題的軟體或模型，到處都有組織解釋或提供類似的服務。</p> <p>總之，USPTO也認為CHATGPT只是用來描述服務的功能，不得申請商標保護。</p> <p>其實USPTO在去年就曾拒絕GPT及CHATGPT的商標申請，隨後OpenAI提出上訴，而今再遭拒絕。</p> </div></div></div>
2024/2/16 16:50作者陳曉莉https://www.ithome.com.tw/news/161318
Apple說明因《數位市場法》與安全性考量，停用歐盟iOS主畫面網頁應用程式功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple因應《數位市場法》（Digital Markets Act，DMA），對歐盟市場iOS、Safari和App Store的應用程式發布政策作出變更，重大更新包括允許第三方應用程式商店以及第三方瀏覽器引擎等。不過，歐盟的iPhone使用者卻發現，他們無法在iPhone的主畫面中安裝和執行網頁應用程式，而Apple現在也<a href="https://developer.apple.com/support/dma-and-apps-in-the-eu/#ios-app-eu">更新文件</a>證實該情況並非臭蟲，並說明不允許歐盟使用者使用主畫面網頁應用程式（Home Screen Web Apps）的原因。</p> <p>主畫面網頁應用程式是一種網頁技術，可以讓用戶將網頁應用程式添加到行動裝置的主畫面中，就像是原生應用程式一般，這些網頁應用程式透過瀏覽器存取，當被添加到主畫面後，用戶便可以直接從主畫面啟動，並獲得類似原生應用程式的體驗。</p> <p>這項功能在iPhone支援已久，而Apple還在iOS和iPadOS 16.4進行更新，添加網頁推送等功能，讓用戶不只可以在主畫面釘選網頁應用程式，也可以在主畫面中接受通知，甚至讓應用程式圖標出現計數，而這都讓網頁應用程式的行為，更接近原生應用程式。</p> <p>現在Apple以符合《數位市場法》為由，移除iPhone在歐盟對主畫面網頁應用程式的支援。Apple解釋，目前iOS系統對主畫面網頁應用程式的支援，建立在WebKit的安全架構之上。這代表著主畫面網頁應用程式與iOS原生應用程式的安全性和隱私模型一致，包括儲存空間隔離和強制性系統提示，以每個網站為單位存取隱私功能，確保網站無法存取其他網站的資料，且當每個網頁應用程式需要存取諸如相機、麥克風和位置資訊權限時，系統會強制要求用戶明確授權。</p> <p>儲存空間的隔離和隱私功能的強制性提示，可避免惡意網頁程式從其他網頁應用程式中讀取資料，在重新獲得權限後，進而於未經用戶同意的情況下，存取用戶的相機、麥克風和位置資訊，甚至是未經用戶同意在系統安裝網頁應用程式。</p> <p>而在iOS開放支援第三方瀏覽器引擎後，Apple表示，要解決相關複雜的安全和隱私問題，需要建立一個全新的整合架構。目前iOS沒有這個架構，而且Apple考量《數位市場法》的其他要求，以及主畫面網頁應用程式在用戶中的採用率極低，因此額外開發一套支援多瀏覽器引擎的整合架構，並不符合當前的需求以及優先順序。</p> <p>為此，Apple選擇刪除歐盟的主畫面應用程式功能，不過，歐盟iPhone用戶仍可以將書籤加入到主畫面中，並直接從主畫面存取網站。</p> </div></div></div>
2024/2/16 16:57作者李建興https://www.ithome.com.tw/news/161314
Amazon訓練歷來最大的語音合成AI模型BASE TTS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.amazon.science/publications/base-tts-lessons-from-building-a-billion-parameter-text-to-speech-model-on-100k-hours-of-data" target="_blank">Amazon本周宣布</a>AI開發團隊訓練出歷來最大、高達10億參數的語音合成（text-to-speech，TTS）模型BASE TTS，號稱生成的語音自然度超過現有語音合成系統。</p> <p>BASE TTS模型全名為Big Adaptive Streamable TTS with Emergent abilities，是利用10萬小時公開可取得的語音資料訓練而成的多語、多說話者大型TTS（LTTS）。研究團隊希望以LLM來改進現有TTS系統的聲音品質。</p> <p>BASE TTS以10億參數的自我迴歸（autoregressive）Transformer模型為基礎，並串流式卷積解碼器而成簡單高效率的架構，前者將輸入文字轉換成語音編碼（speechcodes），後者則將語音編碼轉成聲音波形。其語音編碼是以新的語音標記化（tokenization）手法製作，這技術利用位元組對編碼（byte-pair encoding）進行說話者ID識別（disentanglement）及壓縮。</p> <p>Amazon指出，其訓練出的BASE TTS為高度擬真模型，只要幾秒鐘的參考語音範本，即可產出極自然的聲音。<a href="https://arxiv.org/pdf/2402.08093.pdf" target="_blank">研究團隊比較了</a>BASE TTS和開源大規模語音合成系統如YourTTS、Bark、TortoiseTTS在生成的英語語句的優劣。從語音自然度、文字錯誤與和英語人士說話相似度三個面向上，他們認為BASE TTS優於現有系統。研究團隊相信此模型有很廣的用途，像是為因意外或疾病喪失說話能力的患者合成人聲。</p> <p class="rtecenter"><a href="http://arxiv.org/pdf/2402.08093.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0216-BASE%20TTS-by%20Amazon.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>而新LLM模型的「新興能力」（emergent abilities）也是Amazon的重點。所謂新興能力，是指只存在大模型而小模型沒有的能力，例如可以少數樣本訓練，以及在訓練時浮點運算（FLOP）可快速提升。為測試BASE TTS未來在擴充到更大量資料集，能力是否更增強，Amazon團隊又以1萬餘小時資料訓練出的BASE TTS的5億參數小型版本測試。他們根據7個要素來測試這小型版本，包括複合名詞、情感、外國文字、副語言（如音量大小、語調、語氣停頓、聲音表情）、斷句、問題及句型複雜度等，顯示其具備進階的文字理解能力，能在一些複雜的句子上展現自然的音調，並且證明資料量及參數增加，可使模型生成品質跟著提升。</p> <p>BASE TTS支援英文和西語。但為防止本模型被誤用，Amazon決定不開源出來。此外，為免訓練資料影響本模型對弱勢民族、方言、性別的表達能力，Amazon鼓勵未來研究人員測量資料組成的影響，並找出減少偏見、提升多元包容性的方法。</p> <p>Amazon並未說明未來會將這模型用在哪，但可能會在其AWS服務，Amazon Bedrock平臺提供多項AI服務。此外也可能用在正進行改造的Alexa。<a href="https://www.ithome.com.tw/news/160943" target="_blank">媒體報導</a>，Amazon計畫改造Alexa成付費服務，雖然目前遭遇團隊路線紛爭，但預定6月推出。</p> </div></div></div>
2024/2/16 15:29作者林妍溱https://www.ithome.com.tw/news/161313
Google發表Gemini 1.5，可支援長達100萬個Token的脈絡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/ai/google-gemini-next-generation-model-february-2024/#gemini-15" target="_blank">Google周四（2/15）發表</a>了最新的Gemini 1.5模型，它最多可支援長達100萬個Token的脈絡，意謂著它得以一次處理大量資訊，例如1小時的影片，11小時的音訊，超過3萬行的程式碼，或是超過70萬字的內容。最先採用Gemini 1.5模型的產品為Gemini 1.5 Pro，這是Google所推出的中型多模態模型，其標準脈絡長度為12.8萬個Token，但Google允許少數的開發者與企業客戶可透過AI Studio及Vertex AI預覽其100萬個Token的能力。</p> <p>Google Gemini是Google用來挑戰OpenAI GPT的作品，不過，它是個多模態模型，可同時支援文字、圖片及聲音的輸入。Google將Gemini規畫成3種版本，分別是可於手機上運作的Gemini Nano、通用版的Gemini Pro，以及最強大的Gemini Ultra。目前Gemini Nano已被應用在Google Pixel 8及三星Galaxy S24系列手機上，並已開放開發者與企業測試Gemini Pro。</p> <p>而Google<a href="https://www.ithome.com.tw/news/156026" target="_blank">在去年3月發表</a>的AI聊天機器人Bard最初使用的是LaMDA模型，之後改用PaLM模型，再於去年12月升級至Gemini Pro模型，因而<a href="https://www.ithome.com.tw/news/161254" target="_blank">在日前直接將Google Bard更名為Gemini</a>，並推出基於Gemini Ultra 1.0的付費機器人服務，而這也是Gemini Ultra 1.0的首個商品化應用。</p> <p>在Google正努力推動Gemini 1.0之際，還不忘發表最新的Gemini 1.5，緊湊的時程顯現了Google在AI領域積極追趕的強烈企圖。</p> <p>根據Google的說法，Gemini 1.5提供了明顯強化的表現，它奠基於Google基礎模型開發與架構的每一個研究及工程創新之上，以及方法的改變，包括採用新的專家混合（Mixture-of-Experts，MoE）架構，而讓Gemini 1.5的訓練與服務更有效率。Gemini 1.5主要採用Transformer與MoE架構，前者為一大型神經網路，後者則由眾多小型的專家神經網路所組成。</p> <p>Google解釋，MoE模型可根據使用者所輸入的類型，選擇性地於其神經網路上啟動最相關的專家路徑，以大幅提高模型的效能。</p> <p>首個基於Gemini 1.5早期測試版為中型的多模態模型Gemini 1.5 Pro，其效能類似於Gemini Ultra 1.0大型模型，並使用更少的運算。它具備標準的12.8萬個Token的脈絡，同時允許少數的開發者與企業客戶透過AI Studio和Vertex AI於預覽版中測試100萬個Token的脈絡。</p> <p>支援100萬個Token的脈絡代表Gemini 1.5 Pro能夠無縫分析、分類及整理大量內容，例如當提供了阿波羅11號登月任務的402頁紀錄時，它能夠理解、識別與判斷文件中的對話、事件與細節；若是提供一部44分鐘的Buster Keaton無聲電影時，Gemini 1.5 Pro則可準確分析各種情節點與事件，並推論出電影中容易被遺漏的小細節；也能針對10萬行的程式碼給出有用的解決方案、修改或解釋。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/LHKL_210CcU?si=ENjFAkK3Ybgeow86&start=23" title="YouTube video player" width="560px"></iframe></div> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/wa0MT8OwHuk?si=xH2Folk58bB5o5U8&start=20" title="YouTube video player" width="560px"></iframe></div> <p>隨著Gemini 1.5擴大對脈絡長度的支援，Google也正努力優化該模型，以改善延遲，減少運算要求，同時強化使用者體驗。根據Google的規畫，Gemini 1.5 Pro的基本版將支援12.8萬個Token，將隨著模型的改善而擴大到100萬個Token，此外，其實Google內部也已成功測試了使用1,000萬個Token的脈絡。</p> </div></div></div>
2024/2/16 15:57作者陳曉莉https://www.ithome.com.tw/news/161315
OpenAI公布短影片生成AI模型Sora，能理解指示、產出複雜場景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨（5）日<a href="https://openai.com/sora" target="_blank">公布最新生成式AI模型Sora</a>，未來能讓使用者輸入文字即可產生短影片，目前已展開不公開的安全及功能測試。</p> <p>Sora可依據用戶輸入的文字描述，產生最長1分鐘的高畫質影片。Sora能生成具有多個角色、特定動作及具備精準主題細節及背景的複雜場景影片。其底層模型對語言有深度理解能力，使其能精確解釋用戶的提示要求，產生能表達鮮明情感的人物，它也能在簡單一則短影片建立多個場景，並以同樣的角色和視覺風格貫穿多場景。目前OpenAI已提供合作的紅隊演練測試人員，以及少部分視覺設計、攝影師、製片人員試用Sora以取得專業反饋意見。</p> <p class="rtecenter"><a href="https://cdn.openai.com/sora/videos/italian-pup.mp4" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/60216-sora%20by%20openai-600-1.jpg" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>Sora類似Meta和Google釋出的類似AI模型，分別名為<a href="https://www.ithome.com.tw/news/159897" target="_blank">Emu Video</a>及<a href="https://www.ithome.com.tw/node/160487" target="_blank">VideoPoet</a>。</p> <p>從技術層面而言，Sora是一個擴散模型，能從一個看似靜態噪音（static noise）的影格開始，逐步透過去除噪音生成一則影片。Sora是在DALL-E及GPT模型的研究基礎上發展，它使用DALL-E 3的重描述（recaptioning）技術，能為視覺訓練資料產生高度描述文字，因此能依循用戶文字指令產生影片。除了根據文字指示外，該模型也能將靜態圖片動態化以生成影片。Sora能從無到有生成全新影片，也能延長現有影片，或是將遺失的影格補上。</p> <p>OpenAI表示，Sora是運行能理解及模擬真實世界的模型之基礎，該公司相信是實現通用人工智慧（Artificial General Intelligence，AGI）的重要里程碑。</p> <p>不過Sora目前還有待加強，因它對複雜場景的描繪，以及特定因果關係的理解還有問題。例如它的人物可能咬了口餅乾，但餅乾卻沒有咬痕。它有時也會搞混提示的細節，例如左、右搞錯，或無法精準描述發生一段時間的事件，例如無法跟著攝影機的軌跡移動。</p> <p>在將Sora公開給大眾使用前，OpenAI正在強化安全測試。該公司正在進行紅隊演練，以評估假訊息、仇恨內容及偏見對模型的影響。開發團隊也正在打造偵測誤導性內容的工具，像是偵測分類器，能在Sora生成影片時加以判讀。</p> <p>為提供辨識，該公司計畫未來將該模型部署到OpenAI產品中時，在其生成的影片加入C2PA metadata。<a href="https://www.ithome.com.tw/news/161227" target="_blank">C2PA是Meta和業界聯盟合作發展的AI內容辨識標準</a>，OpenAI已經<a href="https://www.ithome.com.tw/news/161251" target="_blank">在DALL-E3生成的圖像中加入C2PA metadata</a>。</p> <p>此外，OpenAI也會利用團隊現有安全技術為Sora加入安全措施，像是文字分類器會拒絕違反使用政策的提示，圖像分類器則會檢視影片的影格，以確保符合政策。該公司也承諾和立法機關、教育人士及藝術家合作以減少其對AI的疑慮。</p> </div></div></div>
2024/2/16 14:51作者林妍溱https://www.ithome.com.tw/news/161312
曾一度排名122，Go語言本月首次進入Tiobe Index排名前10
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.tiobe.com/tiobe-index/">Tiobe Index排名2月</a>的看點在於，Go語言在推出約15年後，來到Tiobe Index排名第8名，而這是Go語言自推出以來最高名次。有趣的是，Go語言曾經在2015年的時候跌落至第122名，在經過開發團隊的努力，才在2024年達到Tiobe Index新高峰。</p> <p>Go語言在推出時名聲響亮，Tiobe執行長Paul Jansen說：「Google在2009年11月發表Go，Go一砲而紅，在那時期Google所做的一切都是魔法，像是在Go出現前的Gmail、Google Maps和Google Docs。」因此Google推出第一個自己的語言Go時也受到高度關注，僅在發布後的2個月，Go即獲得了Tiobe年度語言獎。</p> <p>但是熱潮過後Go語言便慢慢退燒，甚至在2015年一度跌落至Tiobe Index排名第122名。不過在之後，Go開發團隊採取了嚴格的半年一次發布節奏持續更新，在2016年時，以Go開發的Docker和Kubernetes在2016年開始變得熱門，Go才逐漸重新獲得人氣。</p> <p>目前Go被應用於後端程式設計、網頁服務、API開發等各種軟體領域，Paul Jansen指出，因為Go在產業界逐漸受到廣泛採用，因此他認為Go有長期維持在Tiobe Index前10名的實力。另外，他也提到，Google最近剛推出被視為是C++替代程式語言的Carbon，也在這個月首次進入前100名。</p> <p>Tiobe Index前5名穩定由Python、C、C++、Java、C#占據，接著JavaScript、SQL也都是Tiobe Index排名前10名的常客，值得注意的是去年同期排名第24的古老語言Fortran，在這個月已經前進至11名。組合語言則從去年同期的第9名往後退至14名。</p> <p>Tiobe Index是程式語言受歡迎程度的指標，程式語言的評分基礎，來自全球熟練程式語言工程師的數量、第三方供應商，以及Google、Amazon、維基百科、Bing等熱門網站與搜尋引擎。不過這個月的評分來源略有變動，YouTube和百度不再被用於Tiobe Index，因此各程式語言分數在短期可能會有些微浮動。</p> </div></div></div>
2024/2/16 08:13作者李建興https://www.ithome.com.tw/news/161309
【資安日報】2月15日，臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客意圖藉由網路攻擊來操縱國家重要選舉的情況，可說是越來越常見，而這樣的情況，也出現在臺灣上個月舉行的總統與立委大選。</p> <p>根據資安業者Trellix的觀察，他們發現中國駭客在選舉的前一天，企圖透過網路攻擊找出能用於抹黑的資料，研究人員認為駭客選擇此時間點的原因在於，一旦找到相關的資訊大肆散布，候選人將沒有足夠時間進行澄清，而有機會左右選舉的結果。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trellix.com/blogs/research/cyberattack-on-democracy-escalating-cyber-threats-immediately-ahead-of-taiwan-2024-presidential-election/"><strong style="font-size: 22px;">2024臺灣大選期間曾出現資安危機，中國駭客網路攻擊頻率倍增，可能是為了散布抹黑訊息，以影響選情</strong></a></p> <p></p> <p>1月13日臺灣進行總統與立委選舉，選前中國不斷文攻武嚇，並揚言若是民進黨繼續執政，將使得兩岸關係遠離和平，有研究人員選後一個月公布選前觀察到的網路攻擊態勢。2月13日資安業者Trellix指出，他們發現在投票當天前的24小時之內，針對臺灣企業組織而來的網路攻擊活動大幅增加，從1月11日的1,758起，在12日達到了4,371起，增加超過一倍，但到了選舉當天，攻擊次數顯著下降，剩下1千多次。</p> <p>而對於大選前1天攻擊行動激增的情況，研究人員認為，駭客的目的可能是為了收集對特定候選人具有破壞性的資訊，來進行抹黑，企圖左右社會大眾的輿論，影響最終的選舉結果。</p> <p>根據他們的遙測資料，部分惡意流量針對政府機關、警察單位、金融機構而來，研判攻擊者想要挖掘犯罪記錄、銀行對帳資料、保險資訊、政府內部通訊的內容。</p> <p><a href="https://s4.itho.me/sites/default/files/images/cyberattack-on-democracy-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/cyberattack-on-democracy-1.jpg" style="width: 580px;" /></a></p> <p><a href="https://www.sentinelone.com/labs/chinas-cyber-revenge-why-the-prc-fails-to-back-its-claims-of-western-espionage/"><strong style="font-size: 22px;">中國政府聯合官方媒體、當地資安業者，散布美國情報單位從事駭客行為的言論</strong></a></p> <p></p> <p>資安業者SentinelOne指出，在2021年7月美國、英國、歐盟譴責中國駭客利用Exchange Server漏洞發動大規模攻擊，指控中國在網路空間不負責任的行為，引起各國政府的不滿。對此，中國當局與官方媒體、資安業者聯手，2022年初開始大肆宣傳、指控美國政府對其進行駭客活動。</p> <p>研究人員對其內容進行分析，結果發現，中國針對美國政府進行駭客攻擊的指控，普遍缺乏相關的技術分析及證據來佐證，他們看到在2023年之前，這些來自中國的「調查報告」都會引用外流、舊的美國情報資料，但到了2023年中，中國直接在官方媒體《環球時報》上，指控美國情報單位入侵武漢地震監測中心的地震監測系統，但內容完全未經證實。</p> <p><a href="https://www.ithome.com.tw/news/161281"><strong style="font-size: 22px;">國家級駭客將AI當作網路攻擊的武器</strong></a></p> <p></p> <p>2月14日微軟與OpenAI聯手提出警告，表示多個國家的國家級駭客已在攻擊行動裡濫用大型語言模型（LLM），兩家公司指出，這些駭客主要是利用OpenAI的服務查詢開源工具、翻譯文件，然後尋找程式碼漏洞，並產生部分所需的程式碼。</p> <p>這些駭客組織運用LLM的目的也有所差異，例如：中國駭客Charcoal Typhoon用來調查企業及資安工具、對程式碼除錯、產生網路釣魚的內容；Salmon Typhoon則是用來調查情報組織、撰寫程式碼；伊朗駭客Crimson Sandstorm用於產生程式碼、網路釣魚內容，以及研究迴避偵測的方法；北韓駭客Emerald Sleet將其用於識別亞太地區國防相關組織，並尋找曝露的弱點；俄羅斯駭客Forest Blizzard則是用於研究衛星通訊。</p> <p>資料來源</p> <p>1. <a href="https://openai.com/blog/disrupting-malicious-uses-of-ai-by-state-affiliated-threat-actors">https://openai.com/blog/disrupting-malicious-uses-of-ai-by-state-affiliated-threat-actors</a><br /> 2. <a href="https://www.microsoft.com/en-us/security/blog/2024/02/14/staying-ahead-of-threat-actors-in-the-age-of-ai/">https://www.microsoft.com/en-us/security/blog/2024/02/14/staying-ahead-of-threat-actors-in-the-age-of-ai/</a></p> <p><a href="https://blog.lastpass.com/2024/02/warning-fraudulent-app-impersonating-lastpass-currently-available-in-apple-app-store/"><strong style="font-size: 22px;">密碼管理應用程式LastPass出現冒牌貨，公然在蘋果App Store市集上架</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/LassPass-2024-02-07-at-4_20_27-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LassPass-2024-02-07-at-4_20_27-PM.png" style="width: 300px; float: right;" /></a>2月7日密碼管理解決方案業者LastPass提出警告，他們得知蘋果App Store市集出現冒牌的LastPass應用程式LassPass Password Manager，不僅程式名稱雷同，商標及介面也相似，開發者卻明顯不同──正牌的LastPass Password Manager開發者是母公司LogMeIn, Inc，冒牌應用程式的開發者則是Parvati Patel。</p> <p>對此，蘋果在LastPass發出警告的同日，下架冒牌應用程式，但並未說明該App為何能夠通過此市集嚴格的審核流程。</p> <p><a href="https://www.cisa.gov/news-events/alerts/2024/02/12/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 22px;">美國警告郵件伺服器Roundcube的XSS漏洞已被用於攻擊行動</strong></a></p> <p></p> <p>2月12日美國網路安全暨基礎設施安全局（CISA）提出警告，郵件伺服器Roundcube的跨網站指令碼（XSS）漏洞CVE-2023-43770（CVSS風險評分為6.1）已被用於攻擊行動，將其加入已遭利用的漏洞名單（KEV），並要求聯邦機構於3月4日前完成修補。</p> <p>攻擊者一旦利用這項漏洞，就有可能藉由純文字的訊息連結，並與使用者進行互動，進而存取特定資訊，Roundcube開發團隊於去年9月推出1.4.14、1.5.4、1.6.3版予以修補。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/patch-tuesday-adobe-warns-of-critical-flaws-in-widely-deployed-software/"><strong style="font-size: 22px;">Adobe發布2月例行更新，修補逾30個漏洞</strong></a></p> <p></p> <p>本週Adobe發布二月份的例行更新，總共修補超過30個漏洞，其中最值得留意的是電子商務平臺Adobe Commerce及Magento Open Source，該公司修補了重大層級的跨網站指令碼（XSS）漏洞CVE-2024-20719、作業系統命令注入漏洞CVE-2024-20720，這些漏洞一旦遭到利用，攻擊者就有可能執行任意程式碼，CVSS風險評分皆達到9.1。</p> <p>另一個也相當值得留意的是PDF應用程式Acrobat、PDF檢視器Acrobat Reader，該公司也修補多個重大層級的漏洞CVE-2024-20726、CVE-2024-20727、CVE-2024-20728、CVE-2024-20730、CVE-2024-20731，這些漏洞與越界寫入（OBW）、記憶體釋放後濫用（UAF）、整數溢位有關，而可能放任攻擊者執行各種程式碼，CVSS風險評分介於7.8至8.8分。</p> <p>資料來源</p> <p>1. <a href="https://helpx.adobe.com/security/products/magento/apsb24-03.html">https://helpx.adobe.com/security/products/magento/apsb24-03.html</a><br /> 2. <a href="https://helpx.adobe.com/security/products/acrobat/apsb24-07.html">https://helpx.adobe.com/security/products/acrobat/apsb24-07.html</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/new-fortinet-rce-bug-is-actively-exploited-cisa-confirms/"><strong style="font-size: 22px;">Fortinet旗下SSL VPN元件存在RCE漏洞，傳出已出現攻擊行動</strong></a></p> <p></p> <p>2月8日資安業者Fortinet針對防火牆作業系統FortiOS、網頁安全閘道FortiProxy發布資安公告，指出上述系統存在越界寫入（OBW）漏洞CVE-2024-21762，一旦攻擊者利用這項漏洞，就有機會在未經授權的情況下，藉由發出偽造的HTTP請求，遠端執行任意程式碼或是命令，CVSS風險評為9.6，影響6.0至7.4.2版FortiOS、1.0至7.4.2版FortiProxy，值得留意的是，這項漏洞已被用於實際攻擊行動。</p> <p>次日，美國網路安全暨基礎設施安全局（CISA）也證實出現相關攻擊行動的情況，將此漏洞列入已遭利用的漏洞名單（KEV），要求聯邦機構2月16日前採取緩解措施。</p> <p>資料來源</p> <p>1. <a href="https://www.fortiguard.com/psirt/FG-IR-24-015">https://www.fortiguard.com/psirt/FG-IR-24-015</a><br /> 2. <a href="https://www.cisa.gov/news-events/alerts/2024/02/09/cisa-adds-one-known-exploited-vulnerability-catalog">https://www.cisa.gov/news-events/alerts/2024/02/09/cisa-adds-one-known-exploited-vulnerability-catalog</a></p> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-february-2024-patch-tuesday-fixes-2-zero-days-73-flaws/"><strong style="font-size: 22px;">微軟發布2月例行更新，修補2個零時差漏洞</strong></a></p> <p></p> <p>2月13日微軟發布本月份例行修補（Patch Tuesday），總共緩解73個漏洞，其中有16個權限提升漏洞、3個安全功能繞過漏洞、30個遠端執行程式碼（RCE）漏洞、5個資訊洩漏漏洞、9個阻斷服務（DoS）漏洞，以及10個可被用於欺騙的漏洞。</p> <p>值得留意的是，本次修補的漏洞當中，有2個已被用於攻擊行動的零時差漏洞CVE-2024-21351、CVE-2024-21412，前者可被用於繞過Windows SmartScreen防護措施，但該公司並未透露此漏洞遭到利用的情形。</p> <p>另一個漏洞CVE-2024-21412則與網際網路捷徑檔案（.URL）有關，而有可能繞過Mark of the Web（MoTW）警示機制。通報該漏洞的趨勢科技指出，駭客組織DarkCasino（亦稱Water Hydra）鎖定金融市場的交易者而來，藉此漏洞散布惡意軟體DarkMe。</p> <p>資料來源</p> <p>1. <a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Feb">https://msrc.microsoft.com/update-guide/releaseNote/2024-Feb</a><br /> 2. <a href="https://www.trendmicro.com/en_us/research/24/b/cve202421412-water-hydra-targets-traders-with-windows-defender-s.html">https://www.trendmicro.com/en_us/research/24/b/cve202421412-water-hydra-targets-traders-with-windows-defender-s.html</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.justice.gov/opa/pr/international-cybercrime-malware-service-dismantled-federal-authorities-key-malware-sales"><strong style="font-size: 22px;">美國搗毀木馬程式Warzone RAT的基礎設施</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/seizedwebsite-final.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/seizedwebsite-final.png" style="width: 300px; float: right;" /></a>2月9日美國司法部（DOJ）宣布，在馬爾他的警方與總檢察長辦公室，以及美國聯邦調查局（FBI）的支持下展開行動，7日逮捕了涉嫌散布惡意程式Warzone RAT的27歲嫌犯Daniel Meli，此人被指控4項罪行，包含對於受到保護的電腦造成未經授權的損害、非法銷售及宣傳電子攔截設備等。波士頓聯邦調查局查獲warzone.ws等4個與該惡意程式有關的網域。</p> <p>另一方面，奈及利亞31歲的Onyeoziri Odinakachi王子於1月30日被馬薩諸塞州陪審團起訴，根據相關文件，這名嫌犯從2019年6月至2023年3月，對購買、使用Warzone RAT的客戶提供線上支援，2月7日奈及利亞執法人員逮捕此人。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blog.aquasec.com/snap-trap-the-hidden-dangers-within-ubuntus-package-suggestion-system"><strong><span style="font-size: 20px;">Ubuntu的「命令找不到」工具有可能被濫用於散布惡意軟體</span></strong></a></p> <p></p> <p><strong><a href="https://www.securityweek.com/sap-patches-critical-vulnerability-exposing-user-business-data/"><span style="font-size: 20px;">SAP修補ABA程式碼注入漏洞，若不修補恐曝露業務資料</span></a></strong></p> <p><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-addresses-270-vulnerabilities/"><strong><span style="font-size: 20px;">西門子發布2月例行更新，公告270個漏洞</span></strong></a></p> <p><strong><a href="https://www.securityweek.com/chipmaker-patch-tuesday-amd-and-intel-patch-over-100-vulnerabilities/"><span style="font-size: 20px;">AMD、Intel發布2月更新，修補逾100個漏洞</span></a></strong></p> <p></p> <p><a href="https://www.marketscreener.com/quote/stock/VARTA-AG-646256/news/VARTA-AG-VARTA-affected-by-cyber-attack-45941947/"><strong><span style="font-size: 20px;">德國電池製造商Varta遭遇網路攻擊，被迫暫停生產作業</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161232"><strong>【2月7日】求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161212"><strong>【2月6日】駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161188"><strong>【2月5日】知名遠端桌面連線軟體AnyDesk證實伺服器遭駭並撤換程式碼簽章</strong></a></p> </div></div></div>
2024/2/15 16:52作者周峻佑https://www.ithome.com.tw/news/161289
DNSSEC存在重大設計缺陷，特製封包可導致DNS服務癱瘓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國資安研究機構同時也是歐洲最大的資安研究中心National Research Center for Applied Cybersecurity ATHENE，<a href="https://www.athene-center.de/en/news/press/key-trap">發現</a>域名系統安全擴充（Domain Name System Security Extensions，DNSSEC）設計存在一個重大缺陷，允許攻擊者執行KeyTrap攻擊，洪水輸送有問題的封包就能讓所有實作DNSSEC驗證的DNS系統，以及公共DNS提供者如Google和Cloudflare癱瘓。</p> <p>DNSSEC是一系列針對DNS設計的安全擴充，其主要的功能是要保證DNS查詢結果的真實性和完整性。DNS是可以將人類可讀的域名轉換成為機器可讀IP地址的系統，但是原始的DNS並未包含足夠的安全措施，存在DNS污染、中間人攻擊等安全風險，而DNSSEC增加了一系列重要的功能來解決這些問題。</p> <p>ATHENE團隊所發現的KeyTrap新型攻擊，主要是利用受廣泛使用的DNS服務軟體BIND 9上的高嚴重性漏洞<a href="https://kb.isc.org/docs/cve-2023-50387">CVE-2023-50387</a>，攻擊者只要使用特別製作的DNSSEC簽章區域回應，就能使DNSSEC驗證解析器CPU資源耗盡。CVE-2023-50387允許攻擊者透過洪水攻擊，攻擊目標解析器，大幅降低解析器的效能，達到阻擋合法用戶存取DNS解析服務的目的。</p> <p>簡單來說，由於BIND 9在處理DNSSEC簽章區域的回應時存在問題，因此攻擊者只要向DNS發送大量濫用該缺陷的查詢，就可以迅速耗盡DNS解析器的CPU資源，進而導致服務中斷或是效能明顯下降。</p> <p>CVE-2023-50387漏洞的CVSS分數為7.5，影響多個BIND 9版本，就連受支援的預覽版本也存在該漏洞。雖然透過完全停用DNSSEC驗證就可以免受該漏洞影響，但因為DNSSEC本身就是強化DNS安全的機制，因此停用DNSSEC驗證並非上策。目前更好的做法是更新<a href="https://www.isc.org/blogs/2024-bind-security-release/">BIND至9.16.48、9.18.24和9.19.21</a>等版本。</p> <p>而這些新版本也修正了BIND 9另一個CVSS分數同樣為7.5，作用類似KeyTrap的<a href="https://kb.isc.org/docs/cve-2023-50868">CVE-2023-50868</a>漏洞，該漏洞會在DNSSEC驗證解析器處理使用NSEC3的DNSSEC簽章區域回應時，發生CPU耗盡的問題。NSEC3是一種DNSSEC的規範，主要用於證明DNS查詢的否定回應，也就是證明特定DNS記錄不存在的狀況，可以提供更好的保護機制避免區域走訪攻擊。</p> <p>攻擊者同樣也可以利用CVE-2023-50868洪水攻擊目標解析器，由於解析器必須耗費大量CPU資源處理這些查詢，因此同樣也會降低解析器的效能，影響正常的DNS查詢服務。</p> <p>KeyTrap漏洞並非新漏洞，早在1999年網際網路標準RFC 2535就已經存在，在2012年的時候，該漏洞就已經進入DNSSEC驗證、標準RFC 6781和RFC 6840的實作要求中。至少在2000年8月就已經出現在Bind9 DNS解析器中，並於2007年被帶入Unbound DNS解析器程式碼中。</p> <p>不過，即便KeyTrap漏洞存在約25年，雖沒有被解決，但也沒有發現積極利用該漏洞的攻擊案例，研究團隊解釋，這其實並不奇怪，因為DNSSEC驗證要求使得要找出這個漏洞變得困難，要利用該漏洞需要結合許多要求。</p> <p>KeyTrap要解決並不容易，因為KeyTrap的問題並非是軟體實作錯誤，而是DNSSEC設計的根本問題，研究團隊提到，他們一直與主要供應商合作，試圖解決實作的問題，但是要完全解決該漏洞，需要重新思考DNSSEC底層設計理念，也就是需要修改DNSSEC標準。</p> </div></div></div>
2024/2/15 17:28作者李建興https://www.ithome.com.tw/news/161286
Stability AI公開下一代圖像生成模型Stable Cascade，比SDXL更快更好
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI發表新的文字轉圖像模型<a href="https://stability.ai/news/introducing-stable-cascade">Stable Cascade</a>，其建立在Würstchen架構上，可以簡單地在消費級硬體上訓練和微調。經過官方的測試，Stable Cascade不只效能較好，產生的結果也比SDXL更好。Stable Cascade模型的相關資料已經在GitHub頁面上公開，不過僅採用非商用授權，僅允許非商業用途使用。</p> <p>Stable Cascade將文字轉換成為圖像，會經過三個步驟A、B與C流程，分別是潛在生成階段的步驟C，以及潛在解碼階段的步驟A與步驟B。潛在生成階段中，用戶的輸入會被轉換成為壓縮的24x24潛在表示，也就是小型圖像資料，這些小型圖像資料會被傳遞給潛在解碼階段。潛在解碼階段的工作則是類似Stable Diffusion變分自編碼器（VAE）的角色，將壓縮的潛在表示解碼成高解析度圖像。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/model-overview.jpg" style="width: 580px;" /></p> <p>簡單來說，Stable Cascade步驟C就是將用戶的指令，轉換成一張小型且簡化的圖像草稿，草稿僅包含重要的資訊，接著草稿被輸入到步驟A與步驟B，並被加入更多細節並且放大，形成一張詳細且高解析度的圖片。由於將文字條件生成的步驟C，以及解碼到高解析度畫素空間的步驟A、B分離，因此便可以單獨對步驟C進行額外的訓練和微調，包括ControlNets和LoRAs的訓練。</p> <p>官方解釋，這與訓練一個類似大小的Stable Diffusion模型相比，節省的成本可達16倍。雖然步驟A與步驟B也可以選擇性進行微調以獲得更多控制，但對大多數用途來說，其帶來的額外好處有限，因此用戶只要訓練步驟C，並且使用原始狀態的步驟A和步驟B即可達到良好的成果。</p> <p>Stability AI發布步驟C和步驟B各兩種模型，步驟C具有10億參數與36億參數模型，而步驟B有7億與15億參數兩種模型。官方建議用戶使用步驟C的36億參數模型，以擁有最高品質的輸出，而對於追從低硬體要求的用戶則可以選擇10億參數版本的模型。至於步驟B的兩個模型，都能提供良好的結果，只是15億參數的模型更擅長重建細節。</p> <p>由於Stable Cascade的模組化方法，推理使用的顯示卡記憶體約只需要20 GB，而使用更小的模型則需要的記憶體量也會降低。</p> <p>Stable Cascade在與Playground v2、SDXL、SDXL Turbo、Würstchen v2文字轉圖形生成模型比較，無論是提示詞對齊（Prompt Alignment）和美學品質上，Stable Cascade幾乎都是表現最佳的模型。而且在推理速度的比較上，即便Stable Cascade最大的模型比Stable Diffusion XL多出14億參數，仍然具有更快的推理速度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/comparison.png" style="width: 580px;" /></p> <p>官方提到，這代表Stable Cascade在架構設計和高度壓縮的潛在空間上，都有較好的效率，可以在保持高品質輸出的同時，又能維持高效的推理速度。而除了標準文字轉圖像生成之外，Stable Cascade也具有生成圖像變體，還有以圖像生成圖像的能力。</p> <p>Stability AI不只發布Stable Cascade，也同時將用於訓練、微調、ControlNet和LoRA的所有程式碼一併公開，以降低研究人員實驗此架構的障礙。</p> </div></div></div>
2024/2/15 17:35作者李建興https://www.ithome.com.tw/news/161297
Slack發表可總結、摘錄及問問題的Slack AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://slack.com/intl/en-gb/blog/news/slack-ai-has-arrived" target="_blank">Slack於本周三（2/14）發表了整合人工智慧的Slack AI服務</a>，可提供客製化的答案，替使用者總結頻道（Channel）的重點，以及摘錄對話串（Thread），初期支援英文及Enterprise Grid方案的客戶，但並未對外揭露價格。</p> <p>在正式發表之前，Slack已與許多客戶合作測試過Slack AI，包括SpotOn、Uber及Anthropic等，它們發現透過Slack AI平均每周可替使用者省下97分鐘，他們原本利用這些時間來尋找答案，提煉知識或激發靈感。</p> <p>Slack AI的功能之一為個人化搜尋，它在使用者搜尋問題時，可根據使用者企業的公開通訊內容與個人對話來客製化答案，從行銷專案、公司政策、過去決策、尋找主題專家到定義特定的縮寫等。頻道回顧功能則可替使用者總結任何頻道的重點，包括尚未閱讀的訊息、過去7天的重點，亦可統整自訂日期期間的重點。對話串的摘要則可呈現長期對話的重點摘要，每個摘要也都附上了明確的來源。</p> <p>Slack強調，Slack AI運作於Slack的基礎設施上，所使用的各種大型語言模型（LLM）都是由Slack代管，採用與Slack一致的安全實踐及合規標準，並不會與LLM供應商分享客戶資料，也不會利用客戶資料來訓練LLM。</p> <p>根據Slack的統計，在Slack AI現身之前，該平臺的客戶便已打造了可搭配Slack使用的13,400種AI工具，合作夥伴亦已將AI整合到眾多的Slack應用中，未來Slack亦將導入更多的AI來提高用戶的生產力。</p> </div></div></div>
2024/2/15 15:06作者陳曉莉https://www.ithome.com.tw/news/161285
推出視訊會議App，思科挺進蘋果空間運算平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/webex_for_apple_vision_pro-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>響應蘋果2月2日正式推出頭戴式空間運算裝置Apple Vision Pro，三大雲端視訊會議服務平臺陸續宣布支援。例如，<a href="https://apps.apple.com/tw/app/zoom-one-platform-to-connect/id546505307?platform=appleVisionPro">Zoom在1月29日率先宣布推出App</a>，提供虛擬分身（Personas），以及空間型態的Zoom會議體驗（Spatial Zoom experience）；兩天後，微軟預告旗下多款App將支援Apple Vision Pro，其中包含了<a href="https://apps.apple.com/tw/app/microsoft-teams/id1113153706?platform=appleVisionPro">Teams</a>，諸如開會、文字交談、語音通話、工作推動，所有通訊與協同作業的功能均可使用，與會者可在視訊通話過程中以虛擬分身的形象呈現，同時，也能運用無邊際畫布（Infinite Canvas）開啟各種App，在進行Teams會議與文字交談時，將其擴展成任何尺寸的畫面，並放置在視野當中的任何位置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zoom in Apple Store-Vision Pro.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zoom%20in%20Apple%20Store-Vision%20Pro.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Teams in Apple Store-Vision Pro.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Teams%20%20in%20Apple%20Store-Vision%20Pro.jpg" style="width: 298px;" /></a></p> <p>至於Webex，思科在2月初舉行的Cisco Live 2024 Amsterdam用戶大會期間，宣布推出為Apple Vision Pro設計的App，提供可沉浸於整個虛擬空間的會議體驗，以眼睛、手勢、話語進行操作，並且能運用此裝置特有的虛擬分身，以及空間音訊（Spatial Audio）等技術，產生極致、自然的操作體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Webex%20in%20Apple%20Store-Vision%20Pro.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Webex for Apple Vision Pro-0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Webex%20for%20Apple%20Vision%20Pro-0.jpg" style="width: 298px;" /></a></p> <p>思科強調，這支App能夠充分使用visionOS內建的各種原生功能，提供彈性的呈現方式，大幅提升使用者的多工處理能力。</p> <p>例如，以此進入Webex會議後，我們可自行安排不同與會者的視訊畫面位置，以及區隔出來的內容共享視窗，並透過兩指捏合（pinch）、單指拖動（drag）等手勢，將這些影像放大至真實尺寸，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Webex%20for%20Apple%20Vision%20Pro-3.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/apple-vision-pro-augemented-reality-view-with-webex-messaging-at-webex-meetings.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/apple-vision-pro-augemented-reality-view-with-webex-whiteboarding-and-webex-meetings.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/apple-vision-pro-augemented-reality-view-with-webex-whiteboarding-and-webex-meetings.jpg" style="width: 298px;" /></a></p> <p>也可以運用無邊際畫布的功能，從中調整多個視窗大小與陳列位置，而毋須受制於固定的視窗；而在虛擬身分的功能裡面，可動態、自然地呈現與會者的臉部與手部動作，使其他與會者能在Webex看見戴著Apple Vision Pro裝置的人員的這些動態。</p> <p>同時，Webex用戶也能在這樣的空間運算環境下，繼續使用這套視訊會議原本提供的各種功能，保有熟悉的操作體驗。例如，內建的AI背景噪音消除、多國語言即時翻譯、隱藏字幕（closed captions），以及思科2021年合併Slido而得到的線上投票與問答功能，協助與會者聚焦討論議題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Webex for Apple Vision Pro-4j.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Webex%20for%20Apple%20Vision%20Pro-4j.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Webex for Apple Vision Pro-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Webex%20for%20Apple%20Vision%20Pro-4.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Webex for Apple Vision Pro-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Webex%20for%20Apple%20Vision%20Pro-2.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Webex%20for%20Apple%20Vision%20Pro-5.jpg" style="width: 298px;" /></p> <p>如果在Webex會議進行的過程當中，我們需要移動到其他地方，也能將會議連線從Apple Vision Pro換成Mac電腦或iPhone手機，只需打開Webex App、按下參與會議按鍵。而在行事曆功能的整合之下，與會者可看到接下來即將召開的會議，若要參加，只需使用捏合的手勢即可。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Webex for Apple Vision Pro</strong><br /> ●原廠：Cisco<br /> ●建議售價：Webex Business每人每月20美元●支援裝置與作業系統：Apple Vision，visionOS 1.0以上版本<br /> ●檔案大小：562.7 MB<br /> ●整合功能：AI背景噪音消除、即時翻譯、隱藏字幕、即時投票與問答（Slido）<br /> ●操作方式：手勢<br /> ●視訊會議切換裝置：Mac、iPhone</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/15 16:49作者李宗翰https://www.ithome.com.tw/review/161279
祖克柏宣稱Quest 3優於蘋果的Vision Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>售價高達3,499美元的蘋果空間運算設備<a href="https://www.ithome.com.tw/news/160739" target="_blank">Apple Vision Pro甫於本月於美國上市</a>，然而，<a href="https://www.cultofmac.com/846550/vision-pro-returns/" target="_blank">市場上不僅傳出</a>有許多首批購買Apple Vision Pro的使用者想要退貨，身為競爭對手的Meta執行長祖克柏（Mark Zuckerberg）更<a href="https://www.instagram.com/p/C3TkhmivNzt/" target="_blank">透過自己的Instagram帳號表示</a>，自家出品的Quest 3不僅比Apple Vision Pro更有價值，也是個更好的產品。</p> <p>祖克柏說，他原本就認為Quest 3會更有價值，畢竟它的價格只有Apple Vision Pro的1/7，但在他試用了Apple Vision Pro之後，他發現Quest 3不僅更有價值，也是個更好的產品。</p> <p>祖克柏解釋，不同的公司對於頭戴式裝置作出了各自的設計決策，而令它們展現不同的優點，只是他沒想到蘋果為了該設備的品質，會犧牲掉那麼多東西，包括舒適度與價格，此外，Apple Vision Pro在移動時還會模糊。事實上，那些曾經體驗過Apple Vision Pro的媒體都驚豔於它的品質，<a href="https://www.ithome.com.tw/news/157260" target="_blank">唯獨對於該設備的價格及舒適度有意見</a>。</p> <p>Apple Vision Pro的售價為3,499美元，<a href="https://www.ithome.com.tw/news/159030" target="_blank">去年10月上市的Quest 3則是499.99美元</a>，此外，前者根據配置的重量介於600~650公克之間，Quest 3重約515公克，兩者的電池續航力最多都只有兩小時。</p> <p>先前祖克柏即認為Apple Vision Pro只是配備了更高解析度的顯示器，並利用所有的技術來推動它，而在祖克柏親自試用過之後，他進一步覺得Quest 3是個更好的產品，而且方便戴著走動。</p> <p>一名宣稱擁有所有Quest版本、HTC、Pimax及Apple Vision Pro等VR裝置的使用者<a href="https://www.reddit.com/r/OculusQuest/comments/1ahw0yj/apple_vision_pro_vs_meta_quest_3_key_differences/" target="_blank">22marks透過Reddit發表他的感想</a>，指出Apple Vision Pro無疑擁有更好的視覺體驗，在瀏覽照片及看電影上是頂級的，但並不值這個價格，在這個價格上應該要有更好的表現。</p> <p>不過，22marks也認為其實蘋果是在嘗試一個新的事物，企圖取代電腦，而Meta則是著重於遊戲，兩者是無法比較的。</p> <p>對於Apple Vision Pro感到失望的人似乎不少，根據<a href="https://www.cultofmac.com/846550/vision-pro-returns/" target="_blank">《Cult of Mac》</a>的報導，該報已經看到了數十篇打算在14天的退貨期限內，將Apple Vision Pro退還給蘋果的文章。此外，《Cult of Mac》還在X上<a href="https://twitter.com/cultofmac/status/1757835608024887362" target="_blank">舉行了非正式投票</a>，約莫有超過4成的使用者以不同的理由打算將它退貨。</p> </div></div></div>
2024/2/15 14:34作者陳曉莉https://www.ithome.com.tw/news/161283
DuckDuckGo推出不需帳號就能同步密碼的新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隱私搜尋引擎暨瀏覽器業者DuckDuckGo周三（2/14）<a href="https://spreadprivacy.com/password-sync-backup/" target="_blank">更新其瀏覽器產品</a>，允許使用者在不登入帳號的情況下同步不同裝置上的書籤與密碼。</p> <p>DuckDuckGo瀏覽器原本就支援使用者將其它瀏覽器上的書籤與密碼匯入DuckDuckGo，本周的新功能則是讓DuckDuckGo上的書籤與密碼能與其它裝置上的DuckDuckGo瀏覽器同步，而且無需註冊或登入該瀏覽器。</p> <p>DuckDuckGo指出，在使用Chrome時，使用者很可能已經登入了Google帳號，主要是因為Google經常要求用戶登入，這固然很方便，透過帳號登入可隨時取得自己的書籤或密碼，唯一的缺點是這等於允許Google蒐集更多用戶的活動資料，並用以投放目標式廣告。</p> <p>而DuckDuckGo則提供了隱私同步及備份功能，允許使用者在不同的裝置上同步瀏覽器上所儲存的書籤與密碼，還能備份密碼與書籤，或是將它們遷移到新的裝置上，且完全無需登入，支援Android、iOS、Windows及macOS等平臺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-duckduckgo-Sync%20and%20Back%20Up-02.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／DuckDuckGo</span></span></p> <p>該功能是透過掃描二維條碼或是輸入字串來連結不同的裝置，同步完成後，還可將備份的Recovery PDF存放於安全的地方，當裝置遺失或毀損時，即可利用Recovery PDF來存取這些同步的資料。</p> </div></div></div>
2024/2/15 14:48作者陳曉莉https://www.ithome.com.tw/news/161284
Mozilla裁員近60人，未來將聚焦AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周才宣布執行長換人的Mozilla本周將裁減近60名人力，並將縮減多項專案，將資源聚焦在AI、手機App等領域。</p> <p>Mozilla對媒體表示，將裁減5%員工，約60名人力，同時也會縮減數項產品的投資，以便著重於更有成功機會的領域。<a href="https://www.theregister.com/2024/02/14/mozilla_layoffs_ai_pivot/" target="_blank">The Register報導</a>，VPN Relay、Mastodon社群平臺mozilla.social、協同平臺Hubs被縮減資源。<a href="https://siliconangle.com/2024/02/13/mozilla-lays-off-60-workforce-will-now-concentrate-ai-firefox/" target="_blank">Silicon Valley</a>則報導，上周才公布的付費個資外洩監控服務Mozilla Monitor Plus也不在發展重點之列。</p> <p>至於未來，Mozilla將聚焦Firefox Mobile與AI，認為還有很大成長空間。Mozilla在上個月底才<a href="https://blog.mozilla.org/en/mozilla/mozillas-biggest-ai-moments/" target="_blank">宣布</a>AI是Mozilla實現以人為優先、可信任、開放使命的重點工作。Mozilla 2022年在Mozilla Ventures下投資3,500萬美元發展負責任AI，並投入3,000萬美元研發資金以開發Mozilla.AI的可信任AI專案。Mozilla相信該公司能為產業「建立更好的AI模型」。</p> <p>上周Mozilla才<a href="https://www.ithome.com.tw/news/161257?fbclid=IwAR01EWaF_DV22At3nKt7SnMMA7N1aywbfEHriM85ZZkWHMXeZj8EqVn73os" target="_blank">宣布</a>執行長Mitchell Baker將在接任近5年後卸任，將尋求繼任者，期間由董事Laura Chambers擔任臨時執行長，負責「強化願景和策略，以及致力核心產品如Firefox瀏覽器與新產品的開發」。</p> </div></div></div>
2024/2/15 12:26作者林妍溱https://www.ithome.com.tw/news/161280
微軟與OpenAI證實大型語言模型已被各國駭客用來協助網路攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟與OpenAI在本周三（2/14）發布了一項AI時代的新興威脅研究報告，證實各國國家級駭客已利用大型語言模型（LLM）來協助攻擊，涵蓋中國駭客Charcoal Typhoon與Salmon Typhoon，伊朗駭客Crimson Sandstorm，北韓駭客Emerald Sleet，以及俄羅斯駭客Forest Blizzard，而OpenAI則進一步採取行動，關閉了與上述駭客組織有關的用戶帳號。</p> <p>微軟威脅情報中心（Microsoft Threat Intelligence Center，MTIC）長期關注與追蹤逾300個駭客組織，其中包括160個國家級駭客組織，以及50個勒索軟體集團，這些駭客組織部署了各種數位身分來攻擊基礎設施。微軟持續分析駭客利用新技術來擴大能力或躲避偵測的行為，並與OpenAI合作監控駭客如何利用AI及各種LLM。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2024/02/14/staying-ahead-of-threat-actors-in-the-age-of-ai/" target="_blank">微軟表示</a>，目前尚未觀察到駭客因使用AI而產生特別新穎或獨特的攻擊，但將與OpenAI共同確保ChatGPT等AI技術被安全及負責任地使用，因而採取措施破壞駭客的相關資產及帳號，改善對OpenAI LLM技術及使用者的保護，以避免遭到濫用或攻擊，同時也將替雙方的模型建立防護欄與安全機制。</p> <p><a href="https://openai.com/blog/disrupting-malicious-uses-of-ai-by-state-affiliated-threat-actors" target="_blank">根據雙方的調查</a>，這些國家級駭客目前主要是利用OpenAI的服務來查詢開源資訊，翻譯，尋找程式碼漏洞，以及執行基本的程式碼撰寫任務。</p> <p>其中，Charcoal Typhoon使用OpenAI的服務來研究不同的公司及網路安全工具，替程式碼除錯或是生成腳本，也以AI來建立可作為網釣攻擊的內容。Salmon Typhoon則是使用OpenAI的服務來翻譯技術論文，檢索各個情報組織及區域型駭客組織的公開資訊，也用來協助撰寫程式，以及研究於系統上隱藏程序的常見方法。</p> <p>Crimson Sandstorm以OpenAI的服務生成程式及網頁開發腳本，或是生成網釣內容，以及研究惡意程式可躲避偵測的方法。Emerald Sleet則是利用OpenAI的服務來辨識亞太地區國防領域的專家及組織，尋找公開漏洞，協助基本的程式撰寫任務，以及生成網釣內容。Forest Blizzard 主要使用OpenAI服務來研究開源的衛星通訊協定與雷達成像技術，也用它來撰寫程式。</p> <p>整體而言，這些國家級駭客使用OpenAI服務的方式與一般使用者大致相同，只是所生成的內容、撰寫的程式或是查詢的資訊，都是為了要展開攻擊。</p> <p>微軟與OpenAI認為，目前的模型對駭客的幫助有限，但為了領先這些重大且不斷演變的威脅，雙方將採取多管齊下的策略來遏止駭客組織，包括禁用帳號、終止服務，或是限制對資源的存取；同時與其它AI生態系統合作以交換駭客組織的資訊；不斷改善AI系統的保護機制；透明化駭客對AI系統的濫用資訊以與全球共同防範。</p> </div></div></div>
2024/2/15 12:56作者陳曉莉https://www.ithome.com.tw/news/161281
微軟Patch Tuesday修補2零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Feb" target="_blank">微軟本周二釋出二月份Patch Tuesday安全更新</a>，修補了73項漏洞，包括2項已有攻擊程式的零時差漏洞。</p> <p>2項零時差漏洞中，一為<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21412" target="_blank">CVE-2024-21412</a>，影響網際網路捷徑檔的安全功能。攻擊者可傳送假造的惡意檔案誘使目標用戶點選連結，以下載或開啟檔案，繞過一般Windows會跳出提醒用戶當心的對話視窗。但微軟指出，攻擊者無法強迫用戶讀取這個檔案內容，因此本漏洞風險值為8.1。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21412" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-%E5%BE%AE%E8%BB%9F-patch-CVE-2024-21412.png" style="width: 575px;" /></a></p> <p>本漏洞由趨勢科技的Zero Day Initiative的Peter Girnus通報，他發現國家駭客組織DarkCasino（Water Hydra）利用本漏洞攻擊金融交易平臺，在用戶裝置內植入RAT木馬程式DarkMe。</p> <p>第二項零時差漏洞為<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21351" target="_blank">CVE-2024-21351</a>，影響Windows SmartScreen的安全功能。本功能可在用戶試圖從網路下載Word、Excel或PowerPoint等檔案時，在檔案加上Mark of the Web標示符。當用戶開啟檔案時，Windows SmartScreen會檢查MotW標示符是否顯示檔案來自網際網路，若是則會執行名譽檢查。濫用這項功能漏洞將可讓檔案跳過檢查開啟，導致遠端程式碼執行。本漏洞風險值為7.6。本漏洞濫用者身分不詳。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21351" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-%E5%BE%AE%E8%BB%9F-patch-CVE-2024-21351.png" style="width: 576px;" /></a></p> <p>本月修補的漏洞中，5項為重大風險。其中<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21413" target="_blank">CVE-2024-21413</a>影響Outlook，該漏洞以預覽視窗為攻擊路徑，可讓攻擊者傳送的檔案繞過「保護的檢視」而在編輯模式開啟。因漏洞濫用不需用戶互動，風險值達9.8。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21413" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-%E5%BE%AE%E8%BB%9F-patch-CVE-2024-21413.png" style="width: 541px;" /></a></p> <p><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21410" target="_blank">CVE-2024-21410</a>為影響Exchange Server的權限擴張漏洞，風險值9.8。攻擊者可利用之前得手的NTLM憑證，透過NTLM relay攻擊存取受害者Exchange Server駭入企業網路環境。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21410" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-%E5%BE%AE%E8%BB%9F-patch-CVE-2024-21410.png" style="width: 586px;" /></a></p> <p>此外，<a href="https://www.rapid7.com/blog/post/2024/02/13/patch-tuesday-february-2024/" target="_blank">資安業者Rapid 7</a>提到<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21357" target="_blank">CVE-2024-21357</a>為影響Windows Pragmatic General Multicast（PGM）的遠端程式碼執行漏洞。雖然微軟認為攻擊僅限和攻擊者同一網段，且無法執行跨多網段（WAN）攻擊而將風險值列為7.5，但在自有風險評級中，卻列為重大。另一值得注意的是，微軟甚至針對已過了支援生命周期終點的Windows Server 2008釋出更新以修補本漏洞。</p> <p class="rtecenter"><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-21357" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0215-%E5%BE%AE%E8%BB%9F-patch-CVE-2024-21357(1).png" style="width: 440px;" /></a></p> </div></div></div>
2024/2/15 11:40作者林妍溱https://www.ithome.com.tw/news/161278
三星App睡眠偵測功能獲美FDA核准
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/global/samsungs-sleep-apnea-feature-on-galaxy-watch-first-of-its-kind-cleared-by-us-fda?utm_source=rss&utm_medium=direct" target="_blank">三星電子本周宣布</a>三星Health Monitor App的睡眠呼吸中止症偵測功能，已獲得美國食品藥物管理局（Food and Drug Administration，FDA）認證，成為第一款獲得美官方此類許可的App。</p> <p>三星的睡眠呼吸中止症偵測功能獲得FDA新創中低風險醫材（De Novo）的認證，讓用戶可以用Galaxy Watch及手機以Health App量測，無需使用傳統醫療器材。去年10月這款App才獲得韓國食品藥物安全部（Ministry of Food and Drug Safety，MFDS）的核准。</p> <p>睡眠呼吸中止症偵測功能可在二晚的睡眠監測期間，偵測到中到重度的呼吸短暫停止，這種症狀會導致氧氣供應不足，影響睡眠品質問題，導致白天疲倦及注意力不佳，也會增加高血壓、冠狀動脈疾病及心律不症、中風風險。通常睡眠呼吸中止或睡眠偵測是透過量測到的血氧飽和度數值以演算法推算而成。</p> <p>這是三星為其Health App取得最新的健康量測官方認證。三星2022及2023年分別獲得<a href="https://news.samsung.com/tw/galaxy-watch%E8%A1%80%E5%A3%93%E7%9B%A3%E6%B8%AC%E5%8A%9F%E8%83%BD-%E7%82%BA%E5%B8%95%E9%87%91%E6%A3%AE%E6%B0%8F%E7%97%87%E6%82%A3%E8%80%85%E5%AE%88%E8%AD%B7%E5%81%A5%E5%BA%B7" target="_blank">血壓</a>及<a href="https://news.samsung.com/tw/%E4%B8%89%E6%98%9F%E5%AE%A3%E5%B8%83galaxy-watch%E7%B3%BB%E5%88%97%E6%94%AF%E6%8F%B4%E5%BF%83%E5%BE%8B%E4%B8%8D%E6%95%B4%E9%80%9A%E7%9F%A5%E5%8A%9F%E8%83%BD%E7%8D%B2fda%E6%A0%B8%E5%87%86" target="_blank">心律不整</a>功能的FDA認證，允許用戶以Galaxy Watch 4以後產品量測健康。</p> <p>這使得在睡眠呼吸中止或血氧值偵測上，三星將超越蘋果Apple Watch。蘋果Apple Watch被判定侵害Masimo專利及美國國際貿易管理署命令下，蘋果決定從Apple Watch 9及Ultra 2移除血氧值量測功能。</p> <p>事實上，三星還計畫將健康偵測功能整合到更小的穿戴裝置上。三星在今年消費電子展（CES）上展示智慧戒指Galaxy Ring。這款智慧戒指預計今年第3季到2025年初之間推出4種尺寸。</p> </div></div></div>
2024/2/15 09:21作者林妍溱https://www.ithome.com.tw/news/161275
OpenAI更新ChatGPT增加記憶能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI公開了更多<a href="https://openai.com/blog/memory-and-new-controls-for-chatgpt">ChatGPT記憶功能</a>細節，並且開始向一小部分ChatGPT免費與付費版用戶推出。ChatGPT記憶功能將可以記住與用戶討論的內容，以用於將來的聊天中，用戶可以選擇關閉該功能，或是管理ChatGPT的記憶。另外，ChatGPT中所提供的公開GPT模型，也同樣可以擁有記憶能力。</p> <p>記憶功能讓用戶能夠要求ChatGPT記住特定的聊天內容，或是由ChatGPT自行選擇想要記住的資訊，使得用戶不再需要不停地重複已經說過的資訊，ChatGPT的記憶能力會隨著用戶使用次數增加越來越好，記住包括用戶偏好的會議紀錄格式、生活資訊，甚至曾經提及小孩喜歡的動物等資訊。</p> <p>用戶可以隨時從設定中的個人化頁籤中關閉記憶功能，如此用戶便無法建立與使用ChatGPT的記憶，而用戶也可以要求ChatGPT忘記特定內容，除了直接在聊天中指示ChatGPT忘記，也能從設定中查看和清除特定記憶。OpenAI正在評估ChatGPT應該記住的資訊，因為記憶功能帶來了額外的隱私和安全疑慮，官方會評估並且減少偏見，引導ChatGPT避免記住健康資訊等敏感資訊，除非用戶明確要求。</p> <p>值得注意的是，ChatGPT的記憶會隨著與用戶的互動變化，而且不會與特定的對話關聯，也就是說，用戶刪除聊天並不會刪除記憶，用戶必須直接刪除記憶本身才能讓ChatGPT遺忘特定資訊。</p> <p>記憶功能對Team與Enterprise用戶特別有用，ChatGPT能記得用戶的風格和偏好，並以過去的互動作為基礎，使用戶可以更方便地獲得相關且有用的回應，例如，ChatGPT可以記住用戶的語氣和格式偏好，並直接將其應用到部落格草稿中，而當用戶曾經說明所使用的程式語言和框架，ChatGPT也會記住偏好並於後續提供相關的回應。</p> <p>ChatGPT中各種公開的GPT模型，也擁有獨立的記憶功能，例如可協助用戶尋找下一本讀物的Books GPT，會記得用戶喜歡的書籍類型以及自訂偏好，用戶不再需要重複輸入。建置者可以選擇為其GPT模型啟用記憶體功能，而用戶記憶並不會與建置者共享。</p> <p>由於OpenAI會使用用戶的內容包括記憶改進ChatGPT模型，因此用戶如果不同意OpenAI使用其資料，需要主動從資料控制中關閉，官方強調，OpenAI不會使用ChatGPT Team與Enterprise用戶的內容。當用戶想要與ChatGPT在不使用記憶功能的情況下聊天，可以選擇開啟臨時聊天，如此ChatGPT便不會使用記憶，而且內容也不會被OpenAI用於改進模型。</p> <p>ChatGPT的自訂指令仍然有效，自訂指令讓用戶直接指導ChatGPT需要了解的資訊，以及回應的方法，因此如果用戶有明確的資訊或是說明希望ChatGPT知道，可以將其添加到自訂指令中。</p> </div></div></div>
2024/2/15 08:23作者李建興https://www.ithome.com.tw/news/161269
.NET 9第一預覽版來了！重點仍是雲端原生與AI支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟才發布.NET 8不久，<a href="https://devblogs.microsoft.com/dotnet/our-vision-for-dotnet-9/">.NET 9第一預覽版</a>已經到來。.NET 9的重點仍在於效能提升、雲端原生與人工智慧開發支援，微軟透過改進Visual Studio、VS Code和C#開發工具包，要讓.NET開發更為簡單，並且與Azure服務更好地整合，使開發者可以簡單部署.NET應用程式到雲端。</p> <p>微軟強調，他們過去一直在強化雲端原生應用程式的基礎設施，改進諸如執行時效能以及應用程式監控功能。而這些工作會在.NET 9中繼續，並且讓開發者更容易部署應用程式到常見的生產基礎設施和服務上，例如Kubernetes環境或是使用託管資料庫和快取服務等，這些改進會從.NET技術堆疊各個層面著手。</p> <p>而這些工作的重點之一，便是在.NET 8就加入的.NET Aspire技術框架，其提供一系列支援開發者的工具和服務，目的是要降低建立雲端應用程式的成本和複雜度，並且縮短程式開發到生產的過程。微軟希望藉由.NET Aspire專案，讓雲端應用程式的開發和部署更加快速且經濟。</p> <p>在.NET 9中，微軟會改進Visual Studio、VS Code，加入.NET Aspire新的開發和部署功能，包括元件配置、除錯支援，並且全面整合開發者儀表板，開發者將可以更簡單地管理和監控應用程式，並使用新的開發工具來提升開發效率。開發者也將可以從Visual Studio、VS Code，結合使用Azure Developer CLI，將應用程式快速部署到Azure容器中，微軟希望透過提供更簡單的部署流程，使得應用程式上雲更加快速直接。</p> <p>持續改進Native AOT（Ahead-of-Time Compilation）是提升.NET 9效能的重點之一。Native AOT是微軟.NET近期重點發展的程式碼編譯技術，可以將.NET應用程式的中介語言（Intermediate Language，IL）程式碼轉換成機器碼。其與傳統JIT（Just-In-Time）編譯不同之處在於，JIT在應用程式執行時才將中介語言程式碼轉換成為機器碼，而Native AOT的轉換則是發生在應用程式執行之前，因此能夠提升應用程式的啟動速度和執行效率，減少執行時消耗的資源。</p> <p>.NET 9強調採用webapiaot模板最佳化Web API應用程式，這包括了應用程式修剪與Native AOT編譯的支援，這將能夠協助開發者進一步建立更輕量且高效，適合雲端和邊緣運算環境的應用程式。由於目前要以Native AOT編譯程式碼，需要安裝和使用一些開發者不常用的工具，而微軟承諾將會擴展Visual Studio對AOT的支援，降低使用Native AOT的障礙。</p> <p>而在.NET 9對人工智慧開發支援，著重於讓開發者更容易使用新的人工智慧技術與OpenAI服務。.NET 9會提供更多函式庫和文件，協助開發者使用OpenAI服務及其他開源模型，包括本地端與雲端模型的支援。微軟也會持續投資跨平臺機器學習框架ML.NET，強化向量資料庫與人工智慧工作負載的支援，讓開發者更容易將人工智慧功能整合到應用程式中。</p> <p>目前微軟已經開放.NET 9第一預覽版供開發者下載測試，同時，也釋出.NET Aspire Preview 3，提供改進後的儀表板介面，以及Azure OpenAI、Kafka、Oracle與MySQL等新元件支援。</p> </div></div></div>
2024/2/15 08:26作者李建興https://www.ithome.com.tw/news/161273
Nvidia推出Chat with RTX應用程式，供用戶在本地端自訂AI聊天機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia釋出一款示範性應用程式<a href="https://blogs.nvidia.com/blog/chat-with-rtx-available-now/">Chat with RTX</a>，展示了一種讓用戶在本地端，將自有文件、筆記和各種資料連接至大型語言模型，並運用進階人工智慧技術自訂聊天機器人的方法。官方強調，由於所有操作都在Windows RTX個人電腦或工作站中本地進行，因此可快速且安全地執行查詢。</p> <p>Chat with RTX允許用戶在本地端Windows電腦上，運用檢索增強生成（Retrieval-Augmented Generation，RAG）、TensorRT-LLM和RTX加速等技術，快速自訂生成式人工智慧聊天機器人。用戶<a href="https://www.nvidia.com/en-us/ai-on-rtx/chat-with-rtx-generative-ai/">需要使用</a>GeForce RTX 30、40系列以上的GPU，或是RTX Ampere、Ada Generation GPU，以及至少8 GB顯示卡記憶體。檢索增強生成是一項結合整合技術和生成式模型的人工智慧方法，其目的是透過從大量資料檢索相關資訊，來強化模型的生成能力，進而提高生成內容的準確性和相關性。</p> <p>用戶可以將個人電腦本地端文件作為資料集，連接諸如Mistral或Llama 2等開源大型語言模型，快速進行各種查詢。Chat with RTX支援多種檔案格式，包括.txt、.pdf、.doc/.docx和.xml，將應用程式指向包含這些文件的資料夾，Chat with RTX在數秒內就能將其載入。文件也能夠包含YouTube影片和播放列表的資訊，透過將影片網址添加到Chat with RTX，便可以在聊天機器人中整合相關知識進行上下文查詢，獲得諸如旅行建議或是各種教學課程資源。</p> <p>官方指出，因為Chat with RTX在Windows個人電腦和工作站中本地運作，因此可以很快地獲得查詢結果，而且用戶的資料只會保留在裝置上。Chat with RTX不仰賴雲端大型語言模型服務，而是在本機個人電腦上處理敏感資料，因此不會與第三方共享資料，而且也不需要網路連線。</p> <p>Chat with RTX展示RTX GPU加速大型語言模型的能力，該應用程式是根據TensorRT-LLM RAG開發者參考專案建置而成，任何人都可以從GitHub上取得，甚至也可以使用該參考專案來開發和部署自己的檢索增強生成RTX應用程式。</p> </div></div></div>
2024/2/15 08:42作者李建興https://www.ithome.com.tw/news/161274
CISA、OpenSSF合作套件儲存庫安全框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>套件儲存庫遭駭引發軟體供應鏈安全風險事件愈來愈普遍，<a href="https://openssf.org/blog/2024/02/08/openssf-securing-software-repositories-working-group-releases-principles-for-package-repository-security/">開源軟體基金會（OpenSSF）本周公布</a>套件儲存庫安全原則（Principles for Package Repository Security），供開發人員評估套件庫的安全性。</p> <p>套件儲存庫安全原則是一個套件安全性評估框架，以協助開發人員評估並提升套件安全性。本框架是美國網路安全與基礎架構安全管理署（Cybersecurity and Infrastructure Security Agency，CISA）及OpenSSF確保軟體儲存庫工作小組的合作成果。CISA去年9月公佈開源碼軟體安全藍圖，以提升套件管理員軟體的安全性為首要任務。</p> <p>開源碼套件廣為企業組織使用，濫用開源碼相依性可能透過軟體供應鏈影響廣大用戶，因此套件儲存庫是強化開源生態圈安全性、防範攻擊風險的關鍵。一個簡單的安全措施，像是具備帳號發現政策，都有助於提升整體安全性。但另一方面，許多套件儲存庫維護單位，都是資源擷据的非營利組織，想提升安全性力不從心。</p> <p>套件儲存庫安全原則即是提供給這些套件庫維護單位的資源。該框架是在現有安全原則如Python的<a href="https://github.com/psf/fundable-packaging-improvements/blob/master/FUNDABLES.md">Packaging Fundable Improvements</a>之上，結合多個套件儲存庫平台的建議發展而成。本框架針對套件儲存庫4種能力定義4層級安全成熟度。4類能力包括驗證（authentication）、授權（authorization）、一般能力，以及指令行介面（command-line interface，CLI）工具。套件儲存庫營運平台可依此自評安全成熟度，並制訂長期改善計畫。</p> <p>OpenSSF建議套件儲存庫平台可透過本框架實作套件的安全強化規定。一般流程是，儲存庫決定需強化的安全能力，為其撰寫社群審查和許可草案，使其成為套件平台上的運作基本原則，除非有資金籌措問題。OpenSSF希望本框架能奠定基礎，使套件儲存庫平台自行發展安全強化的長期計畫。</p> <p>OpenSSF也鼓勵套件儲存庫善用產學界的資金資源加速草擬安全強化規定。像是OpenSSF的Alpha-Omega已支援Rust、Python軟體基金會、Homebrew、Sovereign 科技基金也曾資助RubyGems及Python Package Index。</p> <p>OpenSFF強調這框架並非強制性規定，此外，也歡迎更多組織對框架提供反饋意見。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Principles%20for%20Package%20Repository%20Security_1.jpg" style="width: 600px;" /></p> <p> </p> </div></div></div>
2024/2/14 15:26作者林妍溱https://www.ithome.com.tw/news/161271
Rhysida勒索軟體被研究人員破解，釋出解密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南韓研究人員近日破解勒索軟體Rhysida的資料加密方法，並且釋出解密金鑰。</p> <p>南韓國民大學研究人員在韓國網際網路與安全管理署（Korea Internet and Security Agency，KISA）的經費支持下，研究發現Rysida的加密方法一個實作漏洞，進而找出破解之道，透過<a href="https://arxiv.org/abs/2402.06440">本月發表的論文公佈</a>破解成果。</p> <p>Rhysida在2023年下半造成重大災情。該勒索軟體組織去年12月曾聲稱成功入侵Sony旗下的電玩公司Insomniac Games，竊得正在製作的遊戲內部資料，以及取得該公司員工護照檔案。</p> <p>為避免被防毒軟體偵測，Rhysida使用AES-–256–CTR演算法對檔案採用間歇性加密方法。這種加密法之下，只要對被加密的檔案再次加密就能解密，前提是必須計算出正確加密位置。研究人員發現，Rhysida對受害檔案加密時會增加檔案位元大小，因此減去附加的資料位元即可正確計算出加密位置，再以加密金鑰進行間歇性加密，藉此完成解密。</p> <p>這項研究是Rhysida勒索軟體首個成功破解的計畫，可望不久後，會透過KISA的網站公開供下載。KISA一直以來就提供多種勒索軟體解密金鑰供企業與個人下載。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Rysida%20Ransomware%20Decrypting_2.jpg" style="width: 600px;" /></p> </div></div></div>
2024/2/14 14:52作者林妍溱https://www.ithome.com.tw/news/161270
蘋果正式允許iOS App開發商在第三方程式市集上架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月底蘋果宣佈於歐盟開放第三方市集與外部支付，本周<a href="https://developer.apple.com/news/?id=e59yuu15">宣布</a>實際作法，讓開發人員將iOS App上架第三方程式市集。</p> <p>已同意新條款的開發人員可以透過App Store Connect及App Store Connect API設定軟體市集通路及市集App，並使用TestFlight測試這些功能。TestFlight也能支援使用第三方瀏覽器引擎的App，及第三方供應商提供的支付機制，並能連到外部網站。</p> <p>這是蘋果在歐盟數位市場法（Digital Markets Act, DMA）下被迫做出的開放。蘋果<a href="https://developer.apple.com/news/?id=e59yuu15">一月底宣布</a>針對iOS、Safari及App Store在27個歐盟國家開放第三方程式市集、瀏覽器引擎及支付機制，釋出600多項新API及多種開發工具及文件。</p> <p>蘋果不久後還將開放歐盟（及其他地區）的開發人員的應用分析報告擴及App Store及iOS App，讓他們可以更清楚了解其App的表現。開發人員可透過新的App Store Connect API（Analytics Reports API）取得50多款新報告分析App效能，新增了更多量測值，像是使用者互動、App使用、App商務交易、框架使用等協助改善。</p> <p>最新政策將隨著iOS 17.4正式版於3月上線正式實行。</p> <p>蘋果也在本周將這波最新變更透過<a href="https://developer.apple.com/events/view/upcoming-events?q=Request%20a%20consultation%20about%20the%20changes%20to%20apps%20distributed%20in%20the%20European%20Union">線上諮詢</a>及<a href="https://developer.apple.com/events/view/upcoming-events?q=labs">線上實驗室</a>說明最新變更。</p> </div></div></div>
2024/2/13 17:17作者林妍溱https://www.ithome.com.tw/news/161267
Gemini拒絕執行要求，無法整合自家服務，Google承諾改善
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Bard改名為Gemini後有諸多令人不盡滿意的地方，包括拒絕執行用戶交辦任務、限制太多、無法整合Google現有服務等，Google表示將對有問題的地方加速改善。</p> <p>上周Google聊天機器人Bard改名為Gemini，Gemini產品經理<a href="https://twitter.com/JackK/status/1756114082632220717">Jack Krawczyk說明</a>收到的用戶正、反評價。其中用戶有正面迴響的地方，包括它的寫作風格、給用戶建議很有創意的字詞與想法、回應速度、不用罄回應上限、連線品質、回應的圖片品質、以及和Gmail、Maps的整合度。</p> <p>他也說明一些用戶反映的問題，並說Google將會及早解決。首先是Gemini會拒絕用戶某些指令，Google視為第一要務。其次，Gemini的安全護欄原則，導致它不願回應用戶要求，甚至還出令人啼笑皆非的情形，Google也會設法修正，並承諾提供開發人員需要的程式直譯器（interpreter）。</p> <p>用戶並反映，Gemini App還有很多地方用不到，而且App還不夠完善。Gemini App已在拉丁美洲、亞太區、加拿大上線，Google說會儘快在英國及歐洲地區推出，並改善Android App中指示上傳的選擇，還表示會儘快增加Gemini和行事曆、提醒通知及例行工作整合的擴充功能。</p> <p>Google這次似乎相當重視用戶的意見。Google回應X平台上，用戶把Gemini整合Google Workspace帳號、整合新聞的API、查詢最新股價／市值、及上傳PDF檔的要求，表示正在進行中，也正在檢查iOS平台上的執行問題。</p> <p> </p> </div></div></div>
2024/2/13 17:53作者林妍溱https://www.ithome.com.tw/news/161268
DARPA將繼續資助微軟發展拓撲量子位元電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國防高等研究計畫署（Defense Advanced Research Projects Agency ，DARPA）將<a href="https://cloudblogs.microsoft.com/quantum/2024/02/08/darpa-selects-microsoft-to-continue-the-development-of-a-utility-scale-quantum-computer/">繼續資助微軟Azure Quantum開發拓樸量子位元（Topological Qubit）技術</a>，以發展實用規模（utility-scale）的量子電腦，以解決對於傳統電腦而言，難以解決的困難問題。DARPA的US2QC計畫專門投資具有前景，以創新方式設計和建造可擴展量子電腦的公司，而微軟所發展的拓樸量子位元技術便是DARPA的投資目標之一。</p> <p>量子運算是運用量子力學原理進行資訊處理和運算的技術，與傳統電腦系統不同，量子電腦使用量子位元作為資訊編碼的基本單位，而非傳統的二進位制位元。但因為量子位元很容易出錯，在擴展時，錯誤也就跟著被放大，而且在縮放時，會更加複雜。因此為了解決這個問題，微軟Azure Quantum設計以拓樸量子位元技術為基礎的容錯量子電腦。</p> <p>拓樸量子位元是具有內建錯誤保護機制的量子位元，微軟解釋，拓樸量子位元的特別之處在於體積小、速度快，且可以進行數位控制，因此具有可擴展性。微軟預估使用拓樸量子位元技術建造的電腦，足以擴展解決對傳統電腦過於複雜的化學、材料科學等領域的商業問題。</p> <p>微軟<a href="https://quantum.microsoft.com/en-us/explore/concepts/topological-qubits">解釋</a>，量子電腦要能夠解決複雜的科學和商業問題，至少需要一百萬個穩定的量子位元，這些量子位元能夠執行1千萬兆次操作，且錯誤率需要遠低於千分之一，但目前的量子系統的量子位元數只有數百個，而且錯誤率在1％到0.1％之間。他們認為，拓樸量子位元是實現可擴展、低錯誤率量子運算的關鍵。</p> <p>微軟指出，一臺拓樸量子位元電腦可在單一晶片上，控制超過1百萬個物理量子位元，而這足以在實際的時間框架內，執行非常複雜的運算，而且這臺量子電腦的體積小到可以放在衣櫥裡。</p> <p>拓樸量子位元與基於離子、電子和光子等基本粒子的量子位元技術不同，拓樸量子位元以物質的拓樸狀態為基礎，由於量子資訊是儲存在物理系統的拓樸屬性中，而非單一粒子或是原子的屬性中，因此被認為是目前最為穩定的量子位元。</p> <p>微軟的拓樸量子位元技術因其創新性和潛力，被DARPA選中並持續獲得投資。隨著與DARPA進入下一階段的合作，微軟Azure Quantum團隊將會開發一個拓樸量子位元電腦容錯原型（FTP），來證明建置和操作實用規模量子電腦的可行性。</p> <p>FTP的設計重點，在於處理儲存在多個邏輯量子位元中的資訊，這些量子位元代表著成千上萬的物理量子位元，進而替可擴展量子電腦建立基準。DARPA的測試和評估專家會對FTP架構設計進行評估，而DARPA也會在微軟的開發過程中，獨立驗證微軟的科學發現成果。</p> <p>受<a href="https://www.darpa.mil/news-events/2023-01-31a">DARPA US2QC計畫資助的公司</a>，除了發展拓樸量子位元技術的微軟之外，還有運用光子進行量子運算的PsiQuantum，以及使用光學捕捉原子量子屬性進行量子運算的Atom Computing。</p> </div></div></div>
2024/2/12 18:48作者李建興https://www.ithome.com.tw/news/161265
太空科技圈進入百家爭鳴新局面
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-tai_kong_shang_ye_shi_dai_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從1960年代到2020年，太空中的衛星數量一直是以緩慢穩定的速度增加，總共放了大約兩千五百顆繞著地球轉的衛星，其中大多是替軍事單位、通訊公司、科學家執行任務。這些衛星所費不貲，單單一顆衛星就要花十億美元以上。</p> <p>不過，這個情況在2020到2022年出現驚人變化，衛星數量一下子翻倍到五千顆，下個十年預計還會增加到五萬到十萬顆。包括SpaceX和亞馬遜（Amazon）在內，有幾家公司和國家打算發射數以萬計的衛星，在太空建構網際網路系統。這些衛星會將高速網路服務傳送給目前光纖網路送不到的三十五億人，甚至覆蓋整個地球。</p> <p>不只是太空網際網路，現在已經有成百上千顆衛星繞著地球在拍照錄影，以將近一小時一次的頻率記錄地球上發生的種種事情。不同於舊有間諜衛星把影像提供給政府，這些新的影像衛星是年輕新創公司的產品，幾乎人人都能購買他們拍攝的照片。已經有組織在蒐集分析這些數以萬計的照片，窺探政治、商業的內幕真相，包括北韓的軍事活動、中國的石油產量、開學季到沃爾瑪超市（Walmart）採買的人數、亞馬遜雨林遭到砍伐的速度等。這些新衛星在人工智慧軟體的輔助下，可以窺探監測人類活動的整體狀況，等於是地球的即時記錄系統。</p> <p>之所以有這些進展，主要是因為衛星從來沒有這麼小、這麼便宜過（也是受惠於電子和運算能力的進步，這些進步在日常生活和商業活動都看得到）。這些新衛星並不是動輒一顆十億美元，而是只要十萬到幾百萬美元，尺寸從一副撲克牌、一個鞋盒到一臺冰箱都有，通常是設計成一組一組，形成業界所謂的「星座」（constellation）並共同運作。它們在太空的壽命不長，三、四年就會脫離軌道，在重返地球大氣層時燒毀。成本低，也意味著有更多公司可以在太空多做些事情，諸如通訊、影像、科學或其他任何形式的應用。結果就是，現在有幾百家衛星新創企業已經就定位，希望用自己的瘋狂點子攻占低軌道。</p> <p><span style="font-size:28px;"><strong>天上的大電腦</strong></span></p> <p>整個2021年上半，美國華府軍事圈都在流傳一則傳言：中國正在擴充核武，在中國偏遠地區興建飛彈發射井。</p> <p>德克爾．艾佛樂斯（Decker Eveleth）是從公開情報圈兩個前輩那裡聽到這則武器傳聞。公開情報分析員是專門搜尋公開資料、試圖看穿某些軍事經濟活動的人。爬梳稅收紀錄或軍事合約、分析衛星圖像都是他們洞悉真相的管道，在這些工具的幫助下，他們能揭露北韓飛彈試射或非法運油給被制裁國家的細節。</p> <p>艾佛樂斯是里德學院（Reed College）的大學生，因為有搜尋資料的嗜好，而跟公開情報圈愈走愈近。</p> <p>2021年5月中旬，艾佛樂斯決定拿中國飛彈發射井的傳聞來試試。他先假設那裡的外觀會類似先前發現的一組發射井，當時中國軍方為了掩人耳目，建造充氣圓頂把發射井覆蓋起來，情報分析員把那些白色圓頂稱為「死亡充氣屋」。另外，艾佛樂斯還假設那些圓頂會出現在中國北部沙漠。</p> <p>因為嗜好所需，艾佛樂斯早就申請一個行星實驗室帳號，所以馬上就開始抓照片，把幾千公里的沙漠切成一格一格逐一搜尋，整整花了他一個多月的時間，並在6月底有了重大發現：他找到大約一百二十個白色死亡充氣屋。先前發現的充氣屋最多只有二十幾個，要是艾佛樂斯真的發現一百二十個新的發射井，可能會震驚全世界，也意味新的武器競賽可能已經是進行式。</p> <p>6月27日早上八點，艾佛樂斯聯絡行星實驗室，告知他的發現。鴿子衛星幾個月下來已經拍攝那個區域大量的照片，艾佛樂斯可以利用這些照片的時間順序，還原發射井的興建過程。而為了取得更好、更新的照片，艾佛樂斯詢問行星實驗室，能否調用解析度比較高的天空衛星對準那個區域拍攝，行星實驗室答應幫忙。</p> <p>接下來二十四小時，行星實驗室的工程師從地面接收站發射無線電訊號給衛星星座。衛星上的電腦接收到訊號，衛星就啟動反應輪改變位置，朝向目標，以每秒7.5公里的移動速度連珠砲拍攝那片沙漠。拍到的照片透過無線電傳回地球，解碼後，再用行星實驗室的軟體進行處理。到了28日早上八點四十六分，艾佛樂斯登入行星實驗室的服務項目，不只看到圓頂，還看到為鋪設通訊電纜而挖的溝渠，溝渠一路通到幾個地下設施，很可能就是發射作業中心。</p> <p>艾佛樂斯把照片給記者看，中國核武軍備的報導就登上了多份報紙頭版。美國國務院說這項發現「令人擔憂」，中國報刊則是試圖淡化照片的重要性，說艾佛樂斯只是碰巧發現風場建設的業餘偵探。</p> <p>一個大學生敲敲鍵盤就挖出中國一項重大軍事行動，而且他使用的數百顆衛星艦隊並不是軍隊或政府的所有物，而是民營公司的資產，也就是說任何人都做得到他做的事。</p> <p>我們頭上已經有一個龐大的運算與觀察系統網路，無時無刻在觀看或分析我們的一舉一動，這種技術雖然看起來複雜，但還處於起步階段。相機會改進，數據量會增加，演算法會愈來愈好，人類活動的總和會轉化成一個非比尋常的資料庫，會有人找到方法，用你想像不到或不樂見的方式加以開採。</p> <p><span style="font-size:28px;"><strong>現在的低軌道基本上是無人管理的狀態</strong></span></p> <p>李奧實驗室（LeoLabs）成立於2015年，他們著眼於低軌道需要做些管理才不至於釀災。他們已經興建四座雷達站，能辨識多達幾十萬個在地球軌道運行的物體。</p> <p>李奧實驗室的追蹤系統和軟體所產生的圖像很驚人。你可以看到幾千顆SpaceX星鏈衛星繞著地球，排列成數學網格的形狀，裡面還塞了幾百顆一網公司和行星實驗室的衛星，還有環繞整個地球的碎片區。</p> <p>為了確保自家衛星不會相撞，SpaceX和行星實驗室付錢給李奧實驗室，一旦李奧實驗室發現有發生碰撞的可能，就會通知SpaceX和行星實驗室，這兩家公司會採取行動，利用衛星本身的推進系統將軌道微調一點點。這件事無法用人工處理，因為衛星和物體太多了，李奧實驗室2022年每個月發出的碰撞警報高達四億次，SpaceX和行星實驗室的電腦系統一接到警報，就會自動下指令給衛星，讓衛星根據需要做移動。</p> <p>「現在的低軌道基本上是無人管理的狀態，」李奧實驗室執行長丹．賽伯利（Dan Ceperley）說，「衛星公司在衛星發射前提交一份計畫，說明衛星會避開碰撞，然後還必須拿到與地面通訊的許可，但是計畫提交出去一獲得核可就能夠開始執行。衛星公司就自己去發射，不會有後續追蹤審查。這有點扯，因為這些衛星有長達幾十年的時間都在上面，會跑進各種不同的軌道，完全沒有組織可言。但其實只要稍加組織，我們可以放到太空的衛星會多更多。」</p> <p>李奧實驗室的故事就是新太空競賽的縮影。我們已經走到一家五十人新創公司就可以成為低軌道交通管理系統的地步，有這樣一家公司在做這樣的工作令人安心，但也讓人不安，因為這種工作竟然已經由民營公司接手。我猜想，太空商業產業會有相當長一段時間處於這樣的狀態，介於興奮和可怕之間。<strong><span style="color:#696969;">（本文摘錄整理自《太空商業時代》，天下文化提供）</span></strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E5%A4%AA%E7%A9%BA%E5%95%86%E6%A5%AD%E6%99%82%E4%BB%A3-250.jpg" style="width: 407px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_天下文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 太空商業時代：馬斯克引發的太空經濟革命（When the Heavens Went on Sale）</strong></p> <p>艾胥黎．范思（Ashlee Vance）／著；林錦慧／譯</p> <p>天下文化出版</p> <p>定價：600元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-%E5%A4%AA%E7%A9%BA%E5%95%86%E6%A5%AD%E6%99%82%E4%BB%A3-300.jpg" style="width: 150px;" /></p> <p><a href="https://commons.m.wikimedia.org/wiki/File:Ashlee_Vance_in_2023.jpg">圖片來源_Cmichel67</a>, <a href="https://creativecommons.org/licenses/by-sa/4.0/deed.en">CC BY-SA 4.0</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>艾胥黎．范思（Ashlee Vance）</strong></p> <p>資深科技記者，曾任職於《經濟學人》、為《紐約時報》報導矽谷和科技產業新聞多年，現任職於《彭博商業周刊》，為該雜誌撰寫了數十篇封面及特別報導，內容涵蓋網絡至DNA序列和太空探索。</p> </div></div></div>
2024/2/12 20:07未署名https://www.ithome.com.tw/article/161266