iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 26篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 18:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Apple將在iOS 17.4升級iMessage添加後量子加密協定PQ3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple因應未來量子電腦對當前加密協定帶來的風險，將全面<a href="https://security.apple.com/blog/imessage-pq3/">升級iMessage</a>的加密機制，添加比安全通訊軟體<a href="https://www.ithome.com.tw/news/158852">Signal</a>使用PQXDH協定更強大的後量子加密協定PQ3，使得iMessage成為加密安全最強健的通訊軟體。</p> <p>雖然當前市面上的通訊軟體，不少使用RSA、橢圓曲線和Diffie-Hellman金鑰交換等經典的公鑰加密技術，在裝置間建立端對端加密連線，而這些演算法也都被證明為困難的數學問題，要解開這些數學問題所需要的運算量，超越古典電腦的能力範圍。不過這個情況將在量子電腦時代改變，一臺足夠強大的量子電腦，其理論運算速度足以威脅當前加密通訊的安全性。</p> <p>雖然目前擁有這種能力的量子電腦還沒被開發出來，但是資源豐富的攻擊者，可以先大量收集加密資料和檔案，待未來強大的量子電腦出現，就能進行破解讀取加密的內容。</p> <p>為了降低未來量子電腦帶來的風險，密碼學界一直在研究不需要量子電腦，就能夠執行的後量子加密演算法，也就是可以在當前古典電腦上運作，同時也能夠免受未來已知量子電腦威脅的協定。在去年9月的時候，Signal率先宣布加入對PQXDH協定，成為第一個擁有後量子安全性的大型通訊應用。</p> <p>Apple持續強化iMessage的安全性，從2011年開始預設提供端到端加密，在2019年Apple將iMessage原本所使用的RSA加密協定，升級到更安全的橢圓曲線加密方法，並透過安全區（Secure Enclave）保護裝置上的加密金鑰，而現在Apple也要在iMessage加入後量子安全性，使其成為加密安全性等級三的通訊應用程式。</p> <p>Apple指出，Signal支援PQXDH協定為安全性等級二的通訊軟體。等級二代表在提供端到端加密之外，應用程式還添加後量子安全性，但是其後量子加密技術僅用於初始金鑰建立的過程，而這代表在建立通訊連接時使用的金鑰，的確足以抵抗量子運算攻擊，但是一旦連接建立，後續的通訊不一定受同等級的保護，因此當對話的金鑰材料洩漏或是沒有更換，攻擊者便可能利用洩漏的金鑰解密過去或是未來的通訊內容。</p> <p>Apple強調，他們並非只是以新演算法取代現有演算法，而是重建了iMessage的加密協定。iMessage在採用PQ3協定之後，將成為加密安全性等級三的通訊軟體，該等級要求通訊軟體不僅在初始金鑰建立需要使用後量子加密，在之後的訊息交換過程也必須受後量子加密保護，確保即便金鑰洩露，也不會影響整個對話的安全性。</p> <p>此外，等級三的後量子金鑰需要定期更新，防止洩漏的金鑰被大量用來解密大量通訊內容，而這樣的設計能夠對抗目前最先進的攻擊者，即便在未來量子電腦時代，也能確保通訊的安全性。在通訊過程，裝置會定期產生新的加密金鑰，新金鑰無法從過去的加密金鑰計算出來，此設計能夠有效防止洩漏的金鑰，被攻擊者用於解密過去或是未來的訊息。</p> <p>PQ3採用混合式設計結合後量子演算法和當前使用的橢圓曲線演算法，這種設計提供雙重保障，即便後量子演算法存在漏洞或是被破解，仍有橢圓曲線演算法提供保護，確保PQ3提供的安全性不低於現有的橢圓曲線演算法。而且PQ3能夠平衡訊息大小，避免因為增加安全性而額外產生過多的運算開銷，並使用形式驗證（Formal Verification）方法，保證新協定的安全與強健。</p> <p>在PQ3協定中，每臺裝置都會在本地生成一組公鑰，並將這些公鑰傳送到Apple伺服器進行iMessage註冊。在初始金鑰建立階段，發送方裝置會獲取接收方裝置的公鑰，並且對第一則訊息生成後量子加密金鑰。PQ3採用名為Kyber的後量子公鑰演算法，該演算法經過全球密碼學社群的嚴謹檢查，並<a href="https://www.ithome.com.tw/tech/151925">被美國國家標準暨技術研究院（NIST）認可</a>。</p> <p>iMessage仍繼續使用經典的加密演算法驗證發送者身分，以及驗證Contact Key Verification帳戶金鑰，Apple提到，這些機制無法透過未來的量子電腦進行追溯攻擊。攻擊者要嘗試將自己插入iMessage對話中，需要有一臺在通訊前或是當下，能夠破解身分驗證金鑰的量子電腦，Apple認為攻擊者要具備這樣的能力還需要很多年，他們會考量量子電腦的發展，評估加入量子身分驗證的必要性。</p> <p>iOS 17.4、iPadOS 17.4、macOS 14.4和watchOS 10.4中的iMessage，就會開始採用PQ3協定，目前已經在相對應的開發者預覽版和測試版中進行測試，支援PQ3協定的裝置間通訊，就會自動升級使用後量子加密協定。Apple預計在今年就會將受支援的對話，全部轉移使用PQ3協定。</p> </div></div></div>
2024/2/23 08:27作者李建興https://www.ithome.com.tw/news/161425
IBM資安調查發現駭客傾向盜用合法憑證，而非直接入侵企業網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM X-Force發布<a href="https://www.ibm.com/reports/threat-intelligence">Threat Intelligence Index 2024資安調查報告</a>，相較前一年企業面對的資安環境發生變化，攻擊者使用被盜或是洩漏的憑證進行網路攻擊增加了71％，32％的資安事件與資料竊取和洩漏有關，比起加密勒索，攻擊者更傾向於竊用和直接出售資料。X-Force也提到，隨著人工智慧解決方案的市占率快速增長，攻擊者將更有動機針對相關技術，投資開發具成本效益的攻擊工具。</p> <p>攻擊者將焦點轉移到成本較低的攻擊途徑，盜用受害者的合法憑證是2023年最常見的攻擊入口點，X-Force團隊發現針對Microsoft Windows Active Directory憑證的Kerberoasting攻擊，事件數增加了100％，這代表著攻擊者獲取身分進行攻擊的方式發生改變，X-Force解釋，攻擊者更多的是登入合法帳戶，而非直接入侵網路。攻擊者發現組織要區分憑證是合理使用還是濫用存在困難，因此更傾向藉由社交工程或是詐騙手段取得受害者的合法憑證，而非尋找系統的弱點進行入侵。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0223-IBM_X-Force_Threat%20Intelligence%20Index%202024-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0223-IBM_X-Force_Threat%20Intelligence%20Index%202024-1.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／IBM X-Force</span></span></p> <p>企業對於勒索事件的防禦率持續提升，雖然勒索事件仍是目前最常見的行動目標（Action on Objective）占20％，但是X-Force觀察到勒索事件下降幅度達11.5％，大型企業現在會積極防禦勒索軟體的部署，並且選擇不支付贖金換取解密，直接重建以防勒索軟體掌握控制權。</p> <p>而資料竊取和洩漏事件則成為企業最常見的攻擊影響，占比達到32％，有更多攻擊團體偏好使用這種方式獲取收益。根據X-Force的觀察，過去專注勒索軟體的攻擊團體，對資料竊取有越來越大的興趣，同時也有一些新的資料竊取工具冒出頭，諸如Rhadamanthys、LummaC2和StrelaStealer等都在2023年活躍，這惡意軟體使用急劇上升，事件數增加了266％。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0223-IBM_X-Force_Threat%20Intelligence%20Index%202024-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0223-IBM_X-Force_Threat%20Intelligence%20Index%202024-2.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／IBM X-Force</span></p> <p>X-Force也分析，當前人工智慧主導市場的地位，代表著人工智慧攻擊面的成熟，當單一人工智慧技術的市占接近50％，或者當市場整合到三種或是更少的技術時，資安攻擊生態系就會投資開發針對性的工具和攻擊途徑。也就是說當人工智慧技術在市場達到一定的普及率，尤其是被少數技術主導市場，當攻擊這些人工智慧技術變得有利可圖時，就會成為攻擊者的主要目標。</p> <p>製造業連續三年都是遭受最多攻擊的產業，而遭受攻擊最頻繁的10大產業中，製造業占了事件總數的25.7％，而在這些事件中，惡意軟體是最主要的行動目標占45％，勒索軟體則占總數的17％。</p> </div></div></div>
2024/2/23 08:51作者李建興https://www.ithome.com.tw/news/161427
每天執行1.6億任務的高盛證券資料庫，如何建立可觀察性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高盛是全球超大型投資集團之一，他們有一套用來分析龐大證券交易風險和估價的關鍵平臺SecDB，來協助高盛集團旗下的交易員，評估什麼時候買哪一些股票的風險有多大。這個平臺，正是讓高盛證券交易員們一年獲利數十億美元的關鍵系統。</p> <p>SecDB平臺已經用了30年，每天要執行1.6億個任務，目前負責維護這套系統的開發人力超過了3千人。這套系統還設計了自己專屬的程式語言Slang，多年來累計超過了2億行Slang的程式碼。目前全球有1萬3千名使用者，不只是交易員，還有許多分析人員。這套系統一但出現問題，甚至發生短暫當機，不只會影響了高盛的證券交易的風險評估，甚至連高盛銀行的業務都會有影響。這是高盛全集團的關鍵系統之一。</p> <p><strong>SecDB串接全球上萬資料庫，可支援25億個連線數</strong></p> <p>為了支援各種不同的使用情境，SecDB平臺也發展出了許多原生應用，串接了1萬多個分散在全球的物件資料庫，所能支援的連線數超過25億個連線，每秒接收的流入資料頻寬多達164TB，對外流出的資料頻寬，更是達到每秒8PB的海量資料。可以說，SecDB和伴隨的相關應用，組合成了一個龐大的分析生態圈，而SecDB平臺就是其中的關鍵核心。</p> <p>如何強化一個發展了30年的龐大老舊系統，是非常困難的挑戰，尤其近幾年，這套系統韌性面對的局勢，每一年都在改變，可能來自各式各樣的新興網路威脅，新興金融使用情境，新興技術的汰換和進化，這些變化再再考驗了SecDB系統的韌性。為了更徹底掌握SecDB系統的運作情況，3年前，高盛開始打造這套關鍵系統的可觀察性能力。</p> <p>原本的SecDB平臺為了提供高速分析能力，採用了記憶體式鍵值（Key-value）資料庫，並採取了叢集架構的設計，由一個保持最終一致性的複寫叢集群組，高盛稱其為Ring AP，把資料寫入到這個叢集群組中的任何一個資料庫節點成員，來建立高度分散式的效能。</p> <p>在這個群組中的資料庫節點，例如有紐約SecDB資料庫，倫敦SecDB，香港SecDB資料庫，彼此之間還會透過一支同步程式SecSync，可以自動更新和移除彼此不一致的地方來確保，資料庫的最終一致性。</p> <p><strong>舊有時間序列資料分析工具，不擅長即時維運分析</strong></p> <p>數十年來，SecDB資料庫團隊也打造過好幾種監控機制，最近主要使用的監控矩陣SecDB Metrics，是以時間序列資料庫來搜集各種事件後，進行例行檢查，也能用來來診斷各式各樣的已知問題。例如資料庫組態可用記憶體限制、連線限制數的問題等。而資料庫管理人員也常用一款時間序列資料分析工具PlotTool，運用各種數值分析，來了解這些時間序列資料的維運效能。</p> <p>例如高盛資料庫管理人員曾用PlotTool來繪製出資料庫所用記憶體的變化趨勢，原有標準配置的記憶體配置上限是 60GB，但從分析趨勢可以看到資料庫的記憶體用量需求越來越大，就可以在特定時間後，將上限值拉高到70GB。用這樣的繪圖工具來看記憶體用量的長期變化趨勢，可以更視覺化地觀察維運作法上需要調整之處。</p> <p>高盛用了多年的時間序列資料庫和PlotTool都是好用的維運工具，雖然有用，但是還是有所不足，因為這些適合用來觀察長期趨勢，而不是即時性的系統監控機制。尤其，就有監測矩陣所用的時間序列資料庫，適合用來儲存即時的金融資料和分析這些金融資料，但是，不擅長用於即時維運系統訊號的處理。</p> <p>3年前，高盛開始另外用批次處理程式，來產生各種分析報表，若有異常或需要注意的訊號，也只能透過電子郵件通知相關人員來處理，時效性比較不足。</p> <p>可是，這幾年來，SecDB平臺串接的資料庫越來越多，產生的電子郵件通知數量和各種維護問題越來越多，高盛發現，他們需要一個平臺，可以立即注意到關鍵事件出現。</p> <p><strong>採用開源事件監控平臺Prometheus打造可觀察性架構</strong></p> <p>高盛SecDB平臺團隊和SRE團隊討論後，決定使用開源事件監控平臺Prometheus，用這個Prometheus 自己的數據查詢語言PromQL來開發監控機制，並改用Prometheus的通報管理功能Alertmanager來發送異常通報。</p> <p>為了避免影響到原有的資料庫，高盛打造了一隻探測程式，並在SecDB所在的每一臺主機上，會放了一個Daemon程序，可以和外部的探測程式溝通，將搜集這臺主機上的運作狀態Log數據，這隻探測程式還會將各種事件和Log資料，整理成Prometheus格式的資料，再匯入到SRE團隊管理的Prometheus主機上，最後，資料庫團隊可以在Prometheus所有SecDB平臺的狀態儀表板。</p> <p>在這個SecDB儀表板上，可以看過過去6個小時內，每一分鐘，每一臺SecDC主機的數據變化，例如每一分鐘使用了多少記憶體，資料庫讀取的利用率有多高等等。透過這些搜集主機狀態的觀察手段，可以建立整個Ring AP叢集群組中，每一臺主機、每一個資料庫的監測儀表板。</p> <p>高盛使用了PromQL規則來定義各種事件的觸發條件，來判斷不同事件需要驅動哪一種等級的維運高風險通報。多數不緊急的事件只需要發出後續追蹤處理的通知，但是對於關鍵事件，則會觸發一個特別的通報機制稱為 PagerDuty，直接發布通報給待命工程師。</p> <p><strong>盡可能避免影響原有平臺，採用指標伺服器從旁搜集遙測資料</strong></p> <p>高盛SecDB團隊打造可觀察性功能時，有一個大前提是，盡可能避免影響到SecDB平臺的系統來搜集需要的SecDB平臺Log資料。所以，他們後來的作法，不是在SecDB平臺系統中增加監測機制，而是改在每一個SecDB所部署的主機上，用Daemon程序來安裝一個指標伺服器（Metrics Server），用來可以提供這臺主機的即時資料庫遙測，一但主機發生任何狀況發生，都可以立即看到。這個指標伺服器，跟主機上的SecDB平臺資料庫，共用同樣的記憶體，位在同樣的環境中，也就可以用來代表SecDB所在主機的狀態。這個即時監測手段，讓高盛的資料庫團隊能夠用新的角度來思考他們的基礎架構。</p> <p>不過，這個指標伺服器，因為高併發運作和鎖定問題，無法使用現成的Prometheus函式庫，後來，高盛乾脆自己開發了新版的指標伺服器元件。新版指標伺服器不只可以搜集主機數據，還可以搜集到資料庫內部的遙測數據，包括資料庫透過內部工作流程進行交易的狀態資訊，這就大大提供了過去看不到的透明度。多達二、三十種資料庫的運作行為，像是新增一筆紀錄，刪除紀錄，開始交易，交易資訊取得等行為，都可以即時看到狀態資訊的變化。</p> <p><strong>新版指標伺服器不只可以搜集到SecDB所在主機的遙測數據，連資料庫內部運作行為的數據也能搜集</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SecDB-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%AB%98%E7%9B%9B.png" /></p> <p>因為這套DecDB在全球各地都有節點，如紐約SecDB資料庫節點、倫敦節點、香港節點等，後來，高盛將這套監控架構發展成了全球多區域的架構，每個區域各有一套自己的Prometheus，遙測資料先集中到各地SecDB的Prometheus後，再把資料匯入到SRE團隊的Prometheus上來提供整合性儀表板。高盛SRE團隊也會提供了SecDB的SLO達成情況，方便資料庫團隊追蹤每一天的維運狀態。 </p> <p>因為SecDB是全球運作，而且是24小時都不能停，而且得支援全球不同時區的需求。每個區域會有6個待命工程師，每周輪流接手，來和全球的待命團隊（SRE）成員合作。為了各區域值班待命工程師的工作銜接，也讓他們有能力處理更多示警通報的管理，高盛還打造了一個SOS系統，紀錄每一起事件的處理情況，方便不同區域之間的工作交接。</p> <p><strong>高盛打造了一個SOS系統，來紀錄每一起事件的處理清況，方便全球不同時區團隊的工作交接。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SOS%E7%B3%BB%E7%B5%B1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%AB%98%E7%9B%9B.png" /></p> <p>2023年，高盛完成了SecDB平臺的可觀察性架構之後，開始將這個機制延伸到其他SecDB平臺的各種相關應用，預計在2024年涵蓋到所有相關應用，都要納入同一套可觀察性架構下。</p> <p> </p> </div></div></div>
2024/2/23 05:36作者王宏仁https://www.ithome.com.tw/news/161428
AI趨勢周報第244期：Hugging Face開源最大合成資料集Cosmopedia
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0216～0222)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hugging Face </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 合成資料 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Cosmopedia </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Hugging Face開源最大的合成資料集Cosmopedia</strong></span></p> <p>Hugging Face最近發布資料集Cosmopedia v0.1，是目前最大的合成資料集，內容全由Mixtral 7b指令模型生成，包含3,000多萬個檔案。這些內容有教科書文字、部落格文章、故事和WikiHow文章等類型，共250億個Token。</p> <p>團隊表示，他們希望以生成合成資料的方式，來涵蓋RefinedWeb和RedPajama等資料集中的世界知識。Cosmopedia資料集除了有各種類型文章，還顯示基本資訊供使用者參考，如提示、合成內容、初始資料來源、標記長度、文字格式（如教科書、部落格文章）和目標受眾等。同時，團隊也提供較小的子資料集Cosmopedia-100k，來供使用者輕鬆管理和使用。Hugging Face表示，這次釋出的資料集僅0.1版本，他們還有很大的進步空間，盼納入更多主題，來推進合成資料的研究與應用。<a href="https://huggingface.co/datasets/HuggingFaceTB/cosmopedia/viewer/auto_math_text/train?p=1">（詳全文）</a></p> <p><img alt="" src="https://capture.dropbox.com/t5hGWSR35ATXtSpz" /><img alt="" src="https://cdn-uploads.huggingface.co/production/uploads/61c141342aac764ce1654e43/V7MGV2OrCfLO5TxKPUXs4.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Groq </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>突破GPU瓶頸！Groq用LPU推論引擎提供最快LLM服務</strong></span></p> <p>2016年成立的科技公司Groq，這幾天成為全球AI社群最關注的話題，因為它的執行速度飛快，更有不少人將Groq與ChatGPT作比較，發現ChatGPT花了60秒生成答案，Groq只花12秒。</p> <p>不過，Groq主要開發的並非聊天機器人或模型，而是語言處理單元（LPU）推論引擎。目前主流的AI系統多半在GPU上執行，但LPU的設計，能克服LLM在GPU運算密度與記憶體頻寬上的兩大瓶頸。Intuition Machine共同創辦人<a href="https://twitter.com/IntuitMachine/status/1759941976927924682">Carlos Perez</a>說明，Groq用編譯器技術來最佳化極簡而高效能的架構，避開了複雜性，有別於主流做法。他表示，Groq架構的核心是個單純支援平行吞吐量的裸機，如同一個專為機器學習設計的ASIC，還能用客製化的編譯器來支援不同模型。</p> <p>目前，Groq支援標準機器學習框架如PyTorch、TensorFlow和ONNX等，但僅用於推論，LPU推論引擎並不支援機器學習訓練。Groq歡迎硬體供應商、軟體供應商、雲端服務供應商或AI加值服務開發商尋求合作，也提供Groq API與Groq Compiler來執行LLM應用。<a href="https://wow.groq.com/why-groq/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LoRA </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微調 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>LoRA Land服務來了，集結25個微調模型效能可勝GPT-4</strong></span></p> <p>大型語言模型服務公司Predibase推出LoRA Land服務，提供25個微調的大型語言模型。這些模型都以Mistral-7b開源模型為基礎，由Predibase對不同任務最佳化，表現不只比原始基礎模型好，甚至也比GPT-4好。Predibase指出，由於Transformer預訓練模型越來越大，很難在資源有限的條件下，適用於下游任務。於是，Predibase用參數高效能微調（PEFT）和量化低階適應（QLoRA）的壓縮技術，來減少微調參數數量與記憶體使用量，同時盡可能兼顧模型效能。</p> <p>接著，他們將這些最佳實踐整合至平臺中，實現每個微調模型的GPU成本降低至8美元以下，而且透過Predibase所開發的大型語言模型開源平臺LoRAX，使用者可在單一GPU上執行和部署數百個經最佳化的大型語言模型，還能使用無伺服器微調終端，亦即不需專用GPU資源，也能執行模型。這麼做的好處是，可以大幅降低成本，而且，Predibase提供可擴展基礎設施，可依據用戶的需求擴展微調模型數量，用戶需要用到GPU時，也不需要等待GPU冷啟動，能更快測試和迭代模型。<a href="https://predibase.com/blog/lora-land-fine-tuned-open-source-llms-that-outperform-gpt-4">（詳全文）</a></p> <p><img alt="" src="https://images.ctfassets.net/ft0odixqevnv/YeKN68pQ2371BzaoPo2PN/db8a4963d1833e97e9ec10ca092e9daf/Predibase_Fine-Tuned_Mistral-7b_vs._GPT-4_27.4.png?w=2390&h=1556&q=100&fm=webp&bg=transparent" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemma </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gemini </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google開源AI模型Gemma，可在筆電上執行</strong></span></p> <p>繼日前揭露大型語言模型（LLM）Gemini 1.5版後，Google最近又發布開源模型Gemma兩個版本，讓開發者在雲端、資料中心甚至筆電上就能自建和執行AI模型。進一步來說，Gemma是輕量開源模型，由Google DeepMind和Google其他團隊開發。據Google測試，不論在推論、數學、撰寫程式上，Gemma 7B都超越Llama 2 7B，而在多項測試上，也超越開源模型Mistral 7B。</p> <p>此外，Gemma可整合Kaggle、Colab notebook等常見工具，以及Hugging Face、MaxText、Nvidia MeMo和TensorRT-LLM等。為吸引開發者使用Gemma，Google還提供Kaggle notebook、Colab免費方案，以及300美元的Google Cloud點數。同時，為讓外部使用者進行負責任AI評估，Google最近也發布負責任生成式AI工具包，包括能以簡單範例建立安全分類器的工具、模型除錯及負責任模型開發與部署指引。<a href="https://blog.google/technology/developers/gemma-open-models/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Benchmark_chart_new.width-1000.format-webp.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> BigQuery </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> RAG </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 向量搜尋 </span></strong></span></p> <p><span style="font-size:22px;"><strong>BigQuery推出向量搜尋功能，還支援RAG</strong></span></p> <p>BigQuery開始提供向量搜尋功能了，使用者能在BigQuery中進行向量相似性搜尋，還能使用檢索強化生成（RAG）。通常，向量搜尋也稱為近似最鄰近（ANN）搜尋，能在高維空間中快速找到與特定向量最相近的向量。BigQuery的向量搜尋功能能讓使用者對儲存於BigQuery的高維資料集，進行快速且準確的搜尋，可支援新資料處理和AI應用在內的多種用法，如使用大型語言模型進行語義搜尋，或病歷、交通事故、圖像等相似性搜尋，還能結合RAG來強化生成式AI工作。</p> <p>BigQuery的向量搜尋功能提供了一種簡單且直覺的語法，類似BigQuery現有的文字搜尋功能，進而簡化向量搜尋與SQL原語組合。此外，專門處理自然語言處理工作流程的LangChain框架，也能與BigQuery向量搜尋功能搭配使用，強化自然語言處理，讓Python開發者更輕鬆整合，並與其他第三方框架一起使用。<a href="https://cloud.google.com/blog/products/data-analytics/introducing-new-vector-search-capabilities-in-bigquery">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LOMO </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 記憶體 </span></strong></span></p> <p><span style="font-size:22px;"><strong>復旦大學開源優化器LOMO，大幅降低LLM訓練的記憶體資源</strong></span></p> <p>最近，上海復旦大學開源一款大型語言模型（LLM）優化器LOMO，能降低訓練LLM的記憶體用量，微調所有參數。進一步來說，訓練LLM需要大量GPU資源，因此降低LLMs訓練的門檻，一直是AI社群的努力方向。目前的主流方法是參數高效微調（PEFT），即只微調模型部分參數，來降低訓練成本。</p> <p>而復旦大學團隊決定從另個角度解決問題，即使用有限資源來對LLM的全部參數微調。他們開發一套低記憶體優化器（LOMO），融合了梯度計算和參數更新，來降低記憶體使用量。</p> <p>經團隊測試，聯合使用LOMO和現有的記憶體節省技術，與DeepSpeed標準方法相比，能將記憶體使用量降低為10.8％。他們點出，這個做法能在單一配備8個RTX 3090的電腦上，每個顯存為24GB的情況下，對650億參數（即65B）模型的全部參數進行微調。<a href="https://github.com/OpenLMLab/LOMO/blob/main/README.md">（詳全文）</a></p> <p><img alt="" src="https://github.com/OpenLMLab/LOMO/raw/main/assets/LOMO.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 監管 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 詐騙 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國FTC提案強化AI監管，加強打詐</strong></span></p> <p>美國政府最近針對AI科技帶來的負面影響採取一系列行動，比如美國聯邦通訊委員會先是裁定AI生成的語音即人工語音，需符合自動語音電話的規範，現在則是美國聯邦交易委員會（FTC）提出行政法規修訂，加強打擊用AI冒充商業和政府機構的詐騙犯罪。</p> <p>FTC先就冒充個人提出補充公告（Supplemental Notice）來徵詢公眾意見，討論重點包括提供創建圖像、影片和文字服務的AI平臺，在知道其所提供的商品被用於冒充並詐騙消費者時，這些公司是否應視為違法。第二種FTC要打擊的是偽造政府、商業電子郵件和網址，比如創建介面與真實官方網站相似，但網域名稱在拼寫上錯誤的假網站。第三種則是虛假暗示自身與政府或商業關聯，詐騙犯使用讓人誤以為他們代表政府機構或商業實體的語言或術語等行為。FTC將擁有更多權力，來追訴和阻止這些詐騙行為。<a href="https://www.ftc.gov/news-events/news/press-releases/2024/02/ftc-proposes-new-protections-combat-ai-impersonation-individuals">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PDF </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Adobe </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI助理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Adobe PDF軟體加入AI助理</strong></span></p> <p>Adobe PDF讀取與編輯軟體Reader、Acrobat最近加入AI助理功能，使用者可更容易讀取、理解和分享PDF文件或簡報。Adobe最近也對這個AI助理展開公測。這個AI助理整合了Reader和Acrobat的工作流程，可為使用者產生長篇文件的重點摘要、提供洞察並回答用戶提問。AI助理能自動整理出重點，還能草擬電子郵件、設計報告或簡報的排版、語調、濃縮文件長度，更方便分享給其他人。使用者按下「複製」鍵即可貼到Email或簡報中。不只如此，AI助理還能進行智慧引述，使用者也能點入驗證AI助理的答案來源，重點摘要也會提供連結，方便在文件中找到原始段落。<a href="https://news.adobe.com/news/news-details/2024/Adobe-Brings-Conversational-AI-to-Trillions-of-PDFs-with-the-New-AI-Assistant-in-Reader-and-Acrobat/default.aspx">（詳全文）</a></p> <p>圖片來源／Hugging Face、Predibase、Google、上海復旦大學</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 美國法律資料公司釋出法律專用大語言系列模型KL3M</strong></p> <p><strong>2. Amazon發表歷來最大語音合成AI模型BASE TTS，但未開源人</strong></p> <p>資料來源：iThome整理，2024年2月</p> </div></div></div>
2024/2/23 00:56作者王若樸https://www.ithome.com.tw/news/161426
日本中小型銀行展開核心系統上雲潮，和IT廠商打造共享核心系統雲端平臺，13間銀行計畫4年內先上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，日本中小型銀行掀起一波核心系統上雲潮。今年二月初，日本地方銀行橫濱銀行和東日本銀行的母公司康科迪亞金融集團宣布，未來將聯合其他四間銀行，考慮在2030年應用日本IT大廠NTT Data建造的共享型核心系統雲端平臺，實現核心系統上雲。同日，日本地方銀行京都銀行宣布，將聯合其他12間銀行，在2028年應用這套平臺，實現核心系統輕量化，並將營運資源集中至轉型策略發展。</p> <p>NTT Data也在同天跟著宣布，將在今年四月起開發「整合銀行雲」，一個共享銀行核心系統的雲端平臺。這個服務將會涵蓋硬體設備、中間軟體和資料中心建置，也會將銀行的共享型核心系統轉為開放架構，遷移至雲端平臺上運作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/111800-01.png" style="width: 600px;" /></p> <blockquote><p>NTT Data計畫打造共享銀行核心系統的雲端平臺，除了會涵蓋硬體設備、中間軟體和資料中心建置，也會應用自家開發的開放架構框架將核心系統轉換為開放架構，汰換大型主機。（圖片來源：NTT Data）</p> </blockquote> <p>NTT Data表示，這項計畫將會分階段實施。首先，他們已經在2024年協助橫濱銀行在內的五間地方銀行成功轉型核心系統，將他們的共用核心交易處理系統轉為開放架構，汰換大型主機。有了這個階段性成功，他們將邁入第二階段，預計在四年內打造出「整合銀行雲」，並應用至13間銀行共用的核心系統，實現核心系統上雲。第三階段則是擴大應用範圍，將更多共享型核心系統應用至這個雲端平臺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/020800-02(1).png" style="width: 600px;" /></p> <blockquote><p>NTT Data計畫以三階段打造「整合銀行雲」，並逐步將共享核心系統遷移至平臺中。第一階段是在2024年1月將共享型核心系統MEJAR改為開放系統架構，第二階段是在2028年上線「整合銀行雲」，適用13間銀行，第三階段則是在2030年擴大應用範圍，應用至MEJAR系統。（圖片來源：NTT Data）</p> </blockquote> <p>若計畫順利實施，2030年日本至少會有18間中小型銀行完成核心系統上雲，同時汰換大型主機，未來更將有40間採用的四個共享銀行核心系統在同個雲端平臺上運作。</p> <h3>日本地方銀行採共享型核心系統運作已有20年</h3> <p>在日本，中小型銀行數量眾多，這些銀行主要經營特定區域，稱為地方銀行，數量高達64間。2000年期間，日本地方銀行開始發展共享型核心系統，關鍵原因有三，第一，地方銀行的營運成本有限，透過共享核心系統有助減少營運成本。第二，地方銀行發展區域不同，競爭關係較低，增加多家銀行合作的可能性。第三，當合作的地方銀行業務規模和型態相似，系統就不需要額外客製化修改，協作效率高，同時有助於發展規模經濟。</p> <p>在日本這一批使用共享核心系統的地方銀行中，又有超過四成採用NTT Data開發的核心系統。早在2004年，13間地方銀行就組成「地方銀行聯合中心」，開始以共享核心系統運作。後來，有些大型地方銀行因營運成本考量，也加入共享核心系統的行列。</p> <p>目前，NTT Data建置的共享型核心交易處理系統目前發展出了四個體系，分別為地方銀行聯合中心、MEJAR、STELLA CUBE，和BeSTAcloud，約有40間銀行使用。其中，地方銀行聯合中心是由NTT Data建置和營運的核心系統中心，將首先應用至整合銀行雲，MEJAR則是以日本最大地方銀行橫濱銀行為首，其核心系統中心同樣由NTT Data建置，但是由銀行端負責營運。今年，NTT Data和橫濱銀行合作將核心系統MEJAR轉為開放架構後，預計在2030年把MEJAR遷移至整合銀行雲。</p> <h3>日立和富士通等大型主機主要供應商接連退場，日本地方銀行和IT廠商不得不轉型</h3> <p>日本地方銀行啟動這波大型主機汰換潮，早在2017年就開始醞釀。當時，多家業者開始退出大型主機市場，不僅日立宣布退出大型主機製造業務，富士通也在去年宣布結束既有的大型主機製造和銷售。這個市場前景讓地方銀行面臨內外夾擊，一方面傳統大型主機技術老舊，導致系統無法支援現代化應用，相關營運人才也逐漸短缺，阻礙了銀行內部發展現代科技，另一方面，大型主機製造商僅剩海外廠商IBM，日北本土廠商接連退場，長久下來恐發生IBM獨大的技術綁定問題。</p> <p>這個趨勢不僅讓銀行業開始面對轉型難題，系統供應商也同樣面臨威脅。直到去年，NTT Data建置的四個共享型核心系統仍是在日立和富士通的大型主機上運作，兩家廠商紛紛退場，NTT Data也不得不開始汰換大型主機。</p> <h3>日本地方銀行和IT廠商展開核心系統轉換計畫，雙方皆以全行上雲作為發展目標</h3> <p>面對這個威脅，NTT Data在2017年就宣布開始研究將核心系統轉換為開放架構，汰換大型主機，更要以核心系統上雲作為發展目標。2019年，NTT Data打造出一套開放架構框架，能協助原先在大型主機上開發的應用程式至開放架構中運作。這套框架也是今年初協助MEJAR系統轉為開放架構的關鍵，耗時三年，橫濱銀行和NTT Data成功讓五家銀行共用的核心系統，從大型主機搬遷至開放系統架構中運作，完成整合銀行雲第一階段任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1708501802485.jpg" style="width: 600px;" /></p> <blockquote><p>NTT Data開發出一套開放架構框架，名為PITON，可作為部分中間軟體，協助在大型主機運作的核心系統轉換至開放架構上。（圖片來源：NTT Data）</p> </blockquote> <p>2017年不只IT廠商動起來，日本地方銀行也展開核心系統上雲計畫。以橫濱銀行和東日本銀行為例，他們從2010年代後期開始，就開啟系統上雲的計畫。他們分為三階段上雲，第一階段是將人事和總務系統等非交易相關的系統上雲。第二階段，是將與核心系統數據連接規模較小的系統上雲，例如，各種業務系統。接下來，他們將頻繁與核心系統進行數據連接，且規模較大的系統上雲，例如營業融資系統和數據庫。橫濱銀行預計，2024年底前，全行將有超過54%的系統上雲。最後關鍵，則是在2030年考慮採用「整合銀行雲」，來實現全行系統上雲。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-02-22%20132709.png" style="width: 600px;" /></p> <blockquote><p>2010康科迪亞金融集團旗下的橫濱銀行和東日本銀行自2010年代後期開始進行全行上雲計畫，分三階段實施，從與核心交易處理系統無關連、小規模系統連接到頻繁連接的系統分段上雲。預計2024年全行超過54%系統上雲。（圖片來源：康科迪亞金融集團）</p> </blockquote> <p>「整合銀行雲」的概念則是從2021年開始醞釀，當時，18間地方銀行組成研究小組，將這個概念列入研究主題，探討如何透過合作提升系統營運效率。2022年，NTT Data正式宣布整合銀行雲的計畫，當時僅是說明這項計畫，尚未正式啟動開發，就已震撼了日本IT界與銀行業。</p> <p>直到今年二月初，NTT Data和多家地方銀行完成系統轉換後，雙方才正式宣布啟動整合銀行雲開發計畫，預計2028年13間銀行共享的核心系統上雲，2030年5間銀行共享的核心系統上雲，再研議擴大應用剩餘的兩套核心系統，最終目標是讓多達40間日本地方銀行在同一套基礎設施上運作核心系統。</p> <p></p> </div></div></div>
2024/2/22 16:48作者李昀璇https://www.ithome.com.tw/news/161421
【資安日報】2月22日，鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定企業臉書帳號的大規模網路攻擊行動，去年7月、8月，資安業者WithSecure、Zscaler揭露<a href="https://www.ithome.com.tw/news/158628">名為DuckTail的竊資軟體攻擊行動</a>，這起事故是越南駭客特別針對數位行銷及廣告領域的人才下手，藉由職場社群網站LinkedIn尋找目標。</p> <p>但類似的手法，最近又有新的發現。資安業者Group-IB發現另一起專門針對越南企業組織而來的攻擊行動，對方使用另一款竊資軟體VietCredCare，從事攻擊行動迄成約有一年半，受害組織遍及當地三分之二省份。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.group-ib.com/blog/vietcredcare-stealer/"><strong style="font-size: 22px;">竊資軟體VietCredCare鎖定越南企業臉書帳號，將其用於投放廣告或是詐騙</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/VietCredCare-1-24.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VietCredCare-1-24.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB揭露從2022年10月發現的竊資軟體VietCredCare，此惡意程式專門針對越南的使用者而來，攻擊者的主要目標是接管受害企業的臉書帳號。</p> <p>根據研究人員的調查，使用此竊資軟體的駭客滲透9個當地政府機關、12個省的公共服務入口網站、65所大學、4家電子商務平臺、21家銀行、12個當地主要企業。而在越南63個省份當中，44個省出現受害組織，而且有超過半數（50.9%）位於河內，其次是胡志明市、峴港，分別有32.9%、3.3%。</p> <p>研究人員指出，此竊資軟體特別之處在於，它具備自動過濾臉書帳號連線階段（Session）的Cookie，並能識別臉書帳號是否用於管理廣告，以及投放廣告的額度等資訊。而對於該惡意軟體的散布途徑，研究人員推測是透過網路釣魚來進行，駭客透過社群網站貼文，聲稱提供Excel、Word、Acrobat Reader等軟體，一旦使用者上當，電腦就有可能被植入VietCredCare。</p> <p><a href="https://sysdig.com/blog/ssh-snake/"><strong style="font-size: 22px;">惡意軟體SSH-Snake竊取SSH金鑰，於受害組織網路進行橫向移動</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/image2-76.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2-76.png" style="width: 300px; float: right;" /></a>資安業者Sysdig指出，自今年1月公開提供的網路拓樸架構呈現工具SSH-Snake，已有駭客拿來用於攻擊行動。</p> <p>此工具為Bash Shell指令碼，研究人員形容是「能夠自我修改的蠕蟲程式」，能夠自動從特定檔案路徑和Shell的事件記錄檔案當中，挖掘受害主機上的SSH帳密、私鑰，從而在網路環境進行橫向移動。</p> <p>特別的是，此指令碼檔案在第1次執行的時候，會進行自我修改，使得檔案大小產生變化，其方法是將所有的註釋、空格、不必要的函數刪除。有別於一般的指令碼，SSH-Snake能在所有類型的裝置上運作，並完全以無檔案（Fileless）的方式進行，同時還能自我複製及散布。</p> <p><a href="https://blog.talosintelligence.com/google-cloud-run-abuse/"><strong style="font-size: 22px;">無伺服器服務Google Cloud Run遭到濫用，駭客拿來散布金融木馬</strong></a></p> <p></p> <p>思科威脅情報小組Talos指出，他們從去年9月發現，來自巴西的駭客濫用無伺服器服務Google Cloud Run來大規模散布惡意程式，這些包含了Astaroth（又名 Guildma）、Mekotio、Ousaban等金融木馬，他們看到駭客主要目標是拉丁美洲，但也有歐洲國家的使用者受害。</p> <p>這些駭客在釣魚郵件大多使用西班牙文，但也有使用義大利文、葡萄牙文的情況。這些釣魚郵件通常使用發票或稅務文件為誘餌，有時駭客還會冒充稅務機關來從事攻擊。而這些釣魚郵件的共通點就是內含Google Cloud Run的URL，收信人一旦照做，就會下載MSI安裝程式，而有可能導致電腦被植入木馬程式。</p> <p>研究人員指出，駭客偏好這項雲端服務的原因，在於Google為新用戶提供免費點數等豐富資源，且能快速部署網頁應用程式，而該服務在大多數企業組織的資安防護系統會視為合法流量。</p> <p><a href="https://www.trellix.com/blogs/research/ransomhouse-am-see/"><strong style="font-size: 22px;">勒索軟體RansomHouse透過自動化工具MrAgent，攻擊VMware虛擬化平臺</strong></a></p> <p>資安業者Trellix與Northwave聯手，發現勒索軟體駭客組織RansomHouse近期使用的新工具MrAgent，此惡意程式專門針對虛擬化平臺VMware ESXi而來，主要功能是識別主機的系統、關閉防火牆，然後在虛擬機器管理程式（hypervisor）部署勒索軟體，從而入侵所有虛擬機器（VM），而以上過程全部都是自動化執行。</p> <p>攻擊者也能透過C2對MrAgent下達命令，從而竄改虛擬機器管理程式的密碼、指定勒索軟體加密的參數，同時能置換虛擬機器管理程式監控工具的啟動畫面，從而向IT人員顯示勒索訊息。</p> <p>特別的是，雖然該惡意程式主要目標是VMware ESXi，但研究人員指出，MrAgent同時有Linux和Windows版本，兩者具備相同的核心功能，但在Windows版當中，部分工作是透過PowerShell執行。</p> <p><a href="https://psi.de/#19022024"><strong style="font-size: 22px;">為能源供應商提供軟體解決方案的PSI Software證實遭遇勒索軟體攻擊</strong></a></p> <p></p> <p>2月15日能源供應商提供軟體解決方案的PSI Software傳出遭遇網路攻擊，該公司為了降低資料遺失的風險，切斷包含電子郵件系統在內的多個IT系統連線。</p> <p>到了19日該公司更新調查結果，指出他們遭遇了勒索軟體攻擊，但沒有透露攻擊者的身分。而對於這起事故受害的情況，他們表示尚未發現客戶端的PSI系統受害的情況，但該公司也無法透過遠端連線來進行維護作業。</p> <p><a href="https://udn.com/news/amp/story/7321/7773406"><strong style="font-size: 22px;">民眾購買溫泉旅館泡湯券疑個資外洩遭詐騙，旅館及IT業者竟稱沒有發生資料外洩事故，此事與他們無關</strong></a></p> <p></p> <p>趙姓婦人於2020年10月、2021年11月間委託同事、家人訂購37張北投麗禧溫泉酒店溫泉券，事後卻接到詐騙電話要她配合操作「解除分期付款」而上當，遭騙近10萬元，憤而指控麗禧與建置訂購系統的墨攻公司未依個人資料保護法進行相關防護措施，導致她的個資遭到竊取，求償金錢損失及精神慰撫金，並要求兩家公司停止使用並刪除她的個資。</p> <p>值得留意的是，本起訴訟當中，麗禧、墨攻提出數發部數位產業署2023年的函文，表示他們只有遭到網路攻擊，而非個資外洩事件，強調墨攻訂購系統在2021年8月、11月遭到攻擊與個資外洩無因果關係，但後來臺灣高等法院認為，這項說法不足以證明個資外流與系統遭駭無關。</p> <p>高院民事法庭發現，詐騙集團在趙婦最後1次使用訂票系統後才撥打電話，對話內容完全掌握使用的銀行帳戶等細節。由於前述網路攻擊外洩個資超過5千筆，卻僅有她1人受騙，高等法院認為兩者之間沒有相當因果關係，但兩家公司仍要賠償精神慰撫金。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/screenconnect-critical-bug-now-under-attack-as-exploit-code-emerges/"><strong style="font-size: 22px;">ConnectWise針對遠端桌面連線軟體ScreenConnect身分驗證繞過漏洞提出警告，已出現攻擊行動</strong></a></p> <p></p> <p>2月19日資安業者ConnectWise發布資安公告，指出旗下的遠端桌面連線系統ScreenConnect存在路徑穿越漏洞CVE-2024-1708 、身分驗證繞過漏洞CVE-2024-1709，CVSS風險評分為8.4、10分，影響23.9.7以前版本的ScreenConnect，該公司發布23.9.8版修補上述漏洞，並對雲端服務代管版本screenconnect.com、hostedrmm.com進行處置。當時資安業者Huntress公布概念性驗證攻擊（PoC），並透過Censys威脅分析平臺找到超過8,800臺ScreenConnect伺服器。</p> <p>值得留意的是，20日ConnectWise更新公告，指出上述漏洞已被用於攻擊行動，他們公布駭客所使用的IP位址，供IT人員防堵相關攻擊。但可能是因為這些漏洞造成的影響極為嚴重，隔日該公司宣布破例取消授權限制，讓未購買維護合約的用戶也能安裝新版軟體來緩解漏洞。</p> <p>資料來源</p> <p>1. <a href="https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8">https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8</a><br /> 2. <a href="https://www.huntress.com/blog/a-catastrophe-for-control-understanding-the-screenconnect-authentication-bypass">https://www.huntress.com/blog/a-catastrophe-for-control-understanding-the-screenconnect-authentication-bypass</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161395"><strong style="font-size: 22px;">資安院接手TWCERT/CC業務，可全天候受理民間企業資安事件通報</strong></a></p> <p></p> <p>自今年元旦開始，資安院正式接手TWCERT/CC業務，帶來最顯著且立即的改變，就是民間企業資安事件的通報，全天候都有值班人員負責；但資安院為了不與民爭利，主要是以第二線技術支援和諮詢角色，協助受駭企業檢視鑑識報告，是否有找到根因、評估回應措施是否合適。</p> <p>資安院副院長兼發言人吳啟文表示，原先資安事故的通報，企業可隨時透過電子郵件告知TWCERT/CC，但只有上班時間才有員工處理，處理不夠即時；由於資安院已有24小時值班的資安監控中心（SOC），接手相關業務後可處理非上班時間接獲的資安事故通報，而能夠大幅提升處理時效。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/north-korean-hackers-linked-to-defense-sector-supply-chain-attack/"><strong><span style="font-size: 20px;">德國、韓國提出警告，北韓駭客針對全球國防單位從事網路間諜行動</span></strong></a></p> <p><strong><a href="https://medium.com/s2wblog/kimsuky-disguised-as-a-korean-company-signed-with-a-valid-certificate-to-distribute-troll-stealer-cfa5d54314e2"><span style="font-size: 20px;">北韓駭客Kimsuky利用Go竊資軟體Troll與後門程式GoBear，針對韓國而來</span></a></strong></p> <p><a href="https://blog.talosintelligence.com/new-zardoor-backdoor/"><strong><span style="font-size: 20px;">沙烏地阿拉伯伊斯蘭組織遭鎖定，被植入後門程式Zardoor</span></strong></a></p> <p><a href="https://www.volexity.com/blog/2024/02/13/charmingcypress-innovating-persistence/"><strong><span style="font-size: 20px;">伊朗駭客組織Charming Kitten鎖定中東人士散布後門Basicstar</span></strong></a></p> <p><strong><a href="https://www.securityweek.com/chrome-122-firefox-123-patch-high-severity-vulnerabilities/"><span style="font-size: 20px;">Google、Mozilla發布瀏覽器大改版Chrome 122、Firefox 123，修補高風險漏洞</span></a></strong></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161398"><strong>【2月21日】中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161355"><strong>【2月20日】勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161344"><strong>【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</strong></a></p> </div></div></div>
2024/2/22 17:19作者周峻佑https://www.ithome.com.tw/news/161422
英特爾揭露Intel Foundry晶圓代工願景，將替微軟代工晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）在2021年3月<a href="https://www.ithome.com.tw/news/143423" target="_blank">宣布</a>設立全新且獨立的晶圓代工服務（Intel Foundry Services，IFS）事業群，並<a href="https://www.intc.com/news-events/press-releases/detail/1675/intel-launches-worlds-first-systems-foundry-designed-for" target="_blank">在本周三（2/21）舉辦</a>首個Intel Foundry Direct Connect活動，揭露Intel Foundry未來的發展藍圖，宣布將替微軟代工晶片，也立下在2030年成為全球第二大晶圓代工廠的願景。</p> <p>COVID-19疫情期間的晶片短缺，再加上<a href="https://www.trendforce.com/presscenter/news/20231206-11949.html" target="_blank">占據全球58%晶圓代工市場的台積電</a>身處地緣政治的風暴中，都讓各國意識到自行生產晶片的重要性，自詡為全球科技大國的美國也不例外。美國政府除了要求台積電與三星等業者至美設廠之外，也極力推動境內企業加入晶圓代工，英特爾即為一例。</p> <p>在Intel Foundry Direct Connect活動上，英特爾直接把旗下業務劃分為Intel Foundry與Intel Products，等於是對外宣誓Intel Foundry對英特爾的重要性，同時宣布擴大製程藍圖、客戶及生態系統合作夥伴。</p> <p>英特爾執行長Pat Gelsinger指出，AI正在深深地改變這個世界，也改變了人們對技術與支撐技術之晶圓的看法，而Intel Foundry是全球第一個為AI時代設計的系統代工廠，可共同創造新的市場，並徹底改變世界利用技術改善人們生活的方式。</p> <p>Intel Foundry原本的製程藍圖為4年5個節點（five-nodes-in-four-years，5N4Y），但本周宣布將加入新的14A以及其它既有節點的演化，以因應客戶的不同需求。此外，微軟也已經選出一款要利用Intel 18A製程來生產的晶片設計。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0222-Intel Foundry Direct Connect-2.jpg" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0222-Intel%20Foundry%20Direct%20Connect-2-600.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源/英特爾</span></span></p> <p>英特爾亦宣布一項新興業務計畫（Emerging Business Initiative），與Arm合作以替基於Arm的系統單晶片提供尖端的代工服務。</p> <p>根據英特爾的估計，在Intel Foundry 既有的晶圓及先進封裝的合約中，整體價值已超過150億美元。</p> </div></div></div>
2024/2/22 17:45作者陳曉莉https://www.ithome.com.tw/news/161423
本周才公開的ConnectWise重大漏洞已遭駭客利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠端桌面軟體業者ConnectWise<a href="https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8" target="_blank">本周一（2/19）公開揭露</a>了位於ScreenConnect的兩個安全漏洞，但隔天就傳出已遭駭客濫用，GitHub上亦已出現概念性驗證攻擊程式，使得資安業者相繼出面呼籲使用者應儘速修補。</p> <p>ScreenConnect是個遠端桌面軟體應用，ConnectWise同時支援ScreenConnect的雲端代管服務、自行代管及就地部署版本。本周所揭露的兩個安全漏洞為CVE-2024-1709與CVE-2024-1708，前者可透過一個備用路徑或通道來繞過身分驗證，CVSS風險等級高達最嚴重的10分，後者則是個路徑穿越（Path Traversal）漏洞，其CVSS風險等級為8.4分。這兩個漏洞影響ScreenConnect 23.9.7與之前的版本。</p> <p>在ConnectWise公布漏洞之際，尚未傳出相關漏洞遭到利用的消息，且ConnectWise已先行修補了建立在自家ScreenConnect伺服器上的雲端服務，並建議自行代管或就地部署的客戶更新至23.9.8。</p> <p>不過，隔天ConnectWise便說已收到可疑活動的通知，同時釋出網路入侵指標（IOC）供用戶參考，而利用上述漏洞的概念性驗證攻擊程式於21日就出現在GitHub上。</p> <p><a href="https://www.huntress.com/blog/a-catastrophe-for-control-understanding-the-screenconnect-authentication-bypass" target="_blank">資安業者Huntress也在本周公布</a>了這兩個安全漏洞的技術細節，指出當他們比較了ScreenConnect修補前後的程式碼，發現相關漏洞非常容易被攻陷，且所建立的概念性攻擊程式不僅繞過了身分驗證，還能自遠端執行程式。</p> <p><a href="https://twitter.com/Shadowserver/status/1760229390082847029" target="_blank">根據Shadowserver在20日的追蹤</a>，公開網路上仍有3,800臺ScreenConnect伺服器尚未修補漏洞，相較前一天只減少了7%。</p> <p class="rtecenter"><a href="https://twitter.com/Shadowserver/status/1760229390082847029" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0222-ScreenConnect-Shadowserver.png" style="width: 600px;" /></a></p> </div></div></div>
2024/2/22 15:14作者陳曉莉https://www.ithome.com.tw/news/161417
樂高集團如何實踐平臺工程？徹底改組傳統AI，擁抱雲端優先和API優先戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大家都玩過樂高積木，打造出這款全球知名玩具的是樂高集團，他們從2021年就開始大力展開數位轉型，為了實現高度敏捷化的商業能力，訂出了雲端優先和API優先的轉型戰略。</p> <p>成立於1932年的樂高集團，目前全球多達2萬四千名員工。過去2年，他們的數位團隊的規模，增加3倍，現在超過了2千人，占了員工總數的1成，分散在全球四個數位據點，為了推動上雲戰略，他們發展出了一套數位維運模式，從產品面、架構面和工程面，來推動上雲戰略。</p> <p>為什麼樂高集團的轉型戰略是擁抱雲端優先，API優先，甚至從2023年開始擁抱AI，開始嘗試用生成式AI打造聊天機器人應用。樂高集團開發者體驗和雲端部門負責人Rasmus Hald之前在哥本哈根一場研討會中，揭露了他們非做不可的原因。</p> <p>Rasmus Hald指出，一切都是為了商業敏捷力（Business Agility），樂高集團想要靠數位手段，來實現商業敏捷力。目標是希望能讓IT的關鍵基礎設施可以做到，讓企業應用或IT，無縫地存取到所有資料、運算資源和網路資源。</p> <p>樂高集團所採取的數位手段，包括了鬆耦合的基礎架構，也要全靠API來運作。「在生成式AI崛起的時代，更要考慮GAI技術對API使用的影響。」Rasmus Hald補充。</p> <p><strong>樂高追求的</strong><strong>商業敏捷力三大特質：實驗力、品質與速度、新奇感</strong></p> <p>這家積木遊戲巨頭想要的商業敏捷力，包括了三大特質，實驗能力、兼顧品質和速度、新奇。Rasmus Hald解釋，想要有能力快速得到回饋來快速實驗各種創新，也要有能力兼顧速度和品質，能以一定速度持續提供品質一致的應用成果，最後一項特質是有能創造新奇感，有能力持續創新、不斷提供嶄新的體驗，「不能用10年前的老方法來做事，現在每一年都要推出新的產品，和全新的產品體驗。」尤其，越來越多小孩擁有手機，他指出：「如何結合實體的樂高玩具和數位世界，正是他們的新挑戰。」</p> <p>例如，樂高推出了一款建設者App，在樂高產品紙盒外有一個QRCode，用這個App掃描條碼後，可以在手機上看到實體樂高積木組合成品的3D模型，也可以跟其他人一起組合同一組樂高模型的玩具，透過App分享彼此的拼法。「這個App就是樂高集團用來實驗不同樂高玩法的平臺，現在已經成了樂高體驗核心的一環。」例如，後來發展出故事式的玩法，結合一個故事，來組合紙盒中的樂高玩具，例如捕捉不同的動物的故事，或是開不同的車子。這是樂高數位團隊其中一項創新成果，將實體體驗結合數位的體驗。</p> <p>「我們的目標是，只有最好才是夠好。」Rasmus Hald驕傲的說，這是他對數位團隊的期許。但是，想要推動數位轉型，不能被傳統IT思維綁住，「不能抱怨錢不夠、資安太難，就做不到。」</p> <p>許多企業的數位轉型，是以IT部門為基礎，來發展電商引擎、數位行銷等不同應用，以其對應的AP團隊，不同應用團隊的底層都是 IT部門。樂高集團原本也是如此，有一個分工明確各司其職的IT部門，旗下有專門的維運，專門的開發團隊。但是，Rasmus Hald指出：「這樣的組織架構，最後會淪為一昧追求成本降低、風險控管。」</p> <p><strong>不惜將傳統IT部門全面改組，成為一個個小型產品團隊</strong></p> <p>為了推動轉型，樂高集團乾脆重組了整個IT部門，整體IT人力沒有減少，還是同樣的一群人，但是不再有一個龐大的IT部門，而是改為一個個的小型產品團隊，並且發展一套自己的數位維運模式。樂高的改造主要分三個面向來改組傳統IT，包括了產品面、架構面和人力面。</p> <p>在產品面，改為一個個不同產品的產品團隊，每個產品團隊得負責這個產品的開發、維運、資安等DevSecOops流程的工作，而在架構面，採取了鬆耦合的技術架構，更容易彈性組合，重複利用來減少不同團隊之間的重工。而在人力面，每個產品團隊都要有自己的工程師，自己的開發戰力。</p> <p><strong>樂高採取不一樣的IT組織運作模式，讓IT綁定商業成果和責任</strong></p> <p>不只是重組IT部門，樂高集團更採取了一個特別的IT組織運作模式。Rasmus Hald指出，傳統IT是集中式的IT，各個業務部門提出需求，給一個IT部門，由這個部門負責規畫、開發和維運。在這種集中式IT的模式下，每個AP的責任屬於各事業部門而非IT，IT也不一定需要業務領域的專業，對於業績不見得能感同身受，IT只需要對規模效益負責。</p> <p>另一種IT組織運作模式是徹底分散式的IT，各個業務部門有自己的AP團隊，負責規畫和開發，再統一由一個基礎架構團隊來負責維運。這個模式雖然讓業務與開發更緊密結合，IT能累積足夠專業，並擔起主要的AP責任，但是規模效益變成了維運團隊的事，而非產品團隊的工作，而且因為最後一哩由維運團隊負責，AP團隊仍有藉口推諉說，不一定要對成果負責。樂高集團沒有採取了上述兩種，而是自己發展出了另一種運作模式，Rasmus Hald稱為綁定商業能力的IT運作模式（Business Capability-Aligned iT）。</p> <p>在這個模式下，單一IT部分雖然重組成了許多的產品團隊，但是沒有直接隸屬於特定的業務團隊，而更像是負責接手業務需求的產品開發團隊，一個業務部門，可以將不同的業務AP，交給不同的產品團隊來負責。而每一個產品團隊，採取同樣的工作流程，因此，在完成一項業務產品的開發後，也可以接手另</p> <p>一個業務團隊的AP開發需求。每一個產品團隊都要負責自己所開發AP的維運工作，而不是交給一個獨立團隊，但是每個產品團隊共用同樣的一套基礎架構。「這樣的模式，可以讓產品團隊直接與商業成果綁在一起，也能和業務部門共享責任。」Rasmus Hald解釋。</p> <p><strong>用OKR管理220個產品團隊，還要訂定願景和產品藍圖</strong></p> <p>目前樂高集團有220多個產品團隊，每當有一項數位服務或數位功能的需求，就會視為是一項產品來開發，有些是用於顧客的產品，也有不少是內部數位團隊自己所用的產品，例如API管理平臺、API探索工具，都是內部自己用的數位產品。</p> <p>每一個產品都會指派一位產品經理和負責的產品團隊。一個產品團隊大約10人規模，除了產品經理，開發工程師，還會有一位工程經理，以及負責技術管理的首席工程師。「設立首席工程師的職位，是IT職涯發展中很重要的一件事。」Rasmus Hald表示。</p> <p>對於這些產品團隊，樂高採取OKR（目標關鍵成果）管理模式。每個團隊不只訂出每一季的目標和關鍵產出成果，還要建立自己產品的長期願景以及一套產品發展藍圖。</p> <p><strong>產品團隊有自己的預算，對自己的成本負責</strong></p> <p>樂高沒有採用大規模敏捷框架或是設立一個PMO專案辦公室來統籌管理，主要透過敏捷流程每一次的衝刺來迭代開發任務，不同產品團隊都採取同樣的敏捷開發模式。另外，樂高則對產品團隊採取TCO（Total Cost of Ownership，整體擁有成本）策略，讓每個團隊都有自己的IT預算，並由產品團隊自己對自己的成本負責。每個產品團隊都有自己的使用者團體，包括使用產品的小孩和付錢買單的父母，不只顧客，使用者團隊還會找來經銷商和其他同事提供意見，這是他們快速嘗試不同創新實驗的關鍵之一。</p> <p>為了支援這樣的多產品團隊開發模式，在技術面，樂高集團的原則是盡可能提高API、雲的使用來減少技術債，也要強化資料基礎建設，並將各種IT和開發工具系統化，並採取了鬆耦合的容器化技術架構。</p> <p><strong>樂高AP優先上雲，但也打造自家K8s邊緣雲來支援工廠地端需求</strong></p> <p>在雲端優先戰略上，樂高集團希望能盡可能減少技術藍圖中的長尾技術，例如減少或少用老舊技術，大型主機等。目前樂高集團還有一座傳統的實體資料中心，目前只用了20%的空間，他們決定不再租用代管的主機，改為購買公雲業者的服務，來簡化實體設備維護的複雜度。 </p> <p>不只是一昧上雲，樂高的優先上雲策略還會聚焦「雲+端」的能力，沒有採取全上雲的考量，Rasmus Hald坦言，因為全世界的樂高積木都是由樂高集團旗下工廠生產和包裝，可是，有些積木工廠的地點，位於資訊基礎設施不夠完善的國家或地區，當地的網路連線能力可能不佳，無法透過公有雲來支援這些工廠的內部運作，得靠地端的機房來維運。因此，樂高集團自己用K8s打造了一朵邊緣雲環境，可以不少到這些工廠的地端機房中，來支援這一類工廠的地端執行需求，他們所用的各種應用，也大多透過API呼叫，因此，可以很容易從雲端切換到地端邊緣雲上的系統來接手提供落地工廠的AP需求。</p> <p>因為要維持這些實體主機和資料中心的成本越來越貴，所以，樂高集團的策略是，在成本太昂貴之前，儘早將工作負載搬到雲上。「除了實體工廠需要的本地端邊緣運算需求之外，其他應用都會上雲。」Rasmus Hald指出。</p> <p>將AP上雲時，樂高集團還會特別留意一件事，避免像在雲端管實體機房的作法，而是改採用多租戶架構的雲端管理方式，讓不同的AP擁有各自的公雲帳號，而且，每一個上雲的AP，也由這些AP各自的開發團隊來自己負責維運。另外，樂高集團對於AP的管理，也採取高度自動化的集中式治理，並指派一個產品團隊負責打造雲端治理的相關工具。</p> <p><strong>徹底實踐「自己打造的AP，自己執行」原則，甚至不惜重構資料庫架構</strong></p> <p>「想要實現自己打造自己執行（You build it ,you run it.）這一點其實不容易，容易，但這麼做，才能真正鬆綁產品團隊的能力，要讓產品團隊有速度，就要這樣做。」他強調。為了徹底實踐這一點，甚至樂高有產品團隊無法管理自己的資料庫，樂高也不惜改變這個產品的資料架構，就是要能讓產品團隊自己管。如此一來，才可以真正打破團隊和產品之間的相依性。甚至，樂高每一個產品團隊都有自己的VM，自己連線到網際網路，將不同的產品完全切開，盡可能讓不同產品之間沒有關聯。</p> <p>在選擇公雲業者上，樂高會避免押寶單一業者，採取跨雲戰略，目前樂高集團採用了AWS和微軟的Azure，「公雲業者具有超大規模的創新能力和健康技術生態圈，和不同的公雲結盟，可以降低對單一供應商的風險。」樂高集團這位雲端部門的負責人Rasmus Hald解釋他們的考量。</p> <p><strong>樂高集團實踐API優先戰略的四大準則</strong></p> <p>對樂高這種由產品團隊負責開發和維運的模式，除了上雲優先戰略之外，技術架構面的關鍵是API優先戰略。Rasmus Hald表示，樂高對於API的運用也有一套自己的準則，第一個原則是，每一隻API都必須達到全球可用的能力，可以在全世界各地呼叫來使用，來支援樂高集團在全球的業務發展。其次，API設計也必須是考慮對外公開使用的設計，可以接受來自外部、第三方應用的呼叫，而不是只設計給內部使用。另外，每一個API都必須可以探索，也就是可以讓開發者找得到。</p> <p>最後一項準則是，樂高會要求每一隻API都要訂定明確的規格和使用條款，例如每一隻API都會訂出SLA服務水準，而且全都白紙黑字寫成文件，還會訂定API版本控管方式，每當版本升級、淘汰時都會發送相關通知給利害相關人。所有API都會遵循一套API資料架構（Schema）來設計，上架前都會進行架構分析來確保API的品質，樂高也有自己的API即時品管機制（API Linting），確保API的呼叫和使用都符合所訂定的規格。Rasmus Hald提醒，API的SLA中特別要留意，必須定義API的棄用情況，才能讓API日後有需要時可以淘汰。</p> <p><strong>打造開發者入口網站，成為2千工程師每天必看網站</strong></p> <p>為了讓2百多個產品團隊的開發人員，都可以很方便取用到這些API，樂高集團打造了一個開發者入口網站，稱為Baseplate ，這是2千人數位團隊成員，每天上班要打開的網頁。</p> <p>Baseplate首頁採取了卡片式的設計，開發者可以將自己常用的功能卡片或儀表板卡片放到首頁上，方便快速瀏覽，開發人員甚至可以自訂自己的卡片。這個開發者入口網站上提供了所有產品團隊的各種產品清單、所以可以用的API、相關的技術文件或參考資料，輔助開發或維運的各種系統工具。最近有哪些新的API或新功能異動，都會在開發者入口上發布最新通告。</p> <p>產品團隊所開發的每一項產品，可能是業務團隊需要的功能，或是數位團隊自己的工具或服務，會上架到開發者入口網站上。像是樂高用商用API管理平臺Kong打造了一款API管理服務，這就是其中一項他們的產品，</p> <p>每個產品都有自己的產品介紹主頁，列出這個產品的負責團隊，有哪些相關的文件，這個產品被哪些AP使用，甚至是這個產品用了哪些公雲服務以及公雲帳號，也會提供VM快照，方便部署到本地端環境中。</p> <p><strong>特別重視API探索的設計，來提高開發者體驗</strong></p> <p>樂高在這個開發者入口網站上，對於API探索的設計，也花了不少著墨。截至2023年底，共有239隻API，提供全文檢索相關文件和規格，開發者也可以快速列出自己負責的API，也能用星號來標記出常用API，打開API主頁，有相關的規格介紹和文件連結，開發者點一個按鈕，就可以直接申請這個API的存取授權，相當簡單。</p> <p><strong>為了降低開發者的認知負擔，樂高開發者入口網站特別重視API探索的方便性設計</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/API%E6%8E%A2%E7%B4%A2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Lego.png" /></p> <p><strong>去年開始用OpenAI打造開發者AI助手</strong></p> <p>去年底，Rasmus Hald還用Open AI的服務，打造了一個開發者AI助手名為樂高ChatAI，可以摘要樂高開發者入口網站上的所有文件，來回答開發者的開發問題或提供建議等，也可以詢問AI助手，如何使用特定某一支API，而不用自己花時間閱讀完整的說明文件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%A8%82%E9%AB%98ChatAI.png" /></p> <p>樂高集團從2021年開始，為了建立想要的商業敏捷力，花了2年大力推動數位團隊的轉型，擁抱雲端優先、API優先戰略，這個開發者入口網站正是強化數位團隊戰力的成果。雖然，Rasmus Hald沒有明說，但樂高集團數位團隊大改造的過程，也正是一種平臺工程的實踐。</p> </div></div></div>
2024/2/22 11:28作者王宏仁https://www.ithome.com.tw/news/161410
【參照國際標準和法規，最快3月底公布AI評測指引草案】AI評測中心揭今年布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們最快3月底公布AI評測制度和指引！」負責AI評測業務的核心成員、數位發展部數位產業署副署長林俊秀說道。</p> <p>就在去年12月，數位發展部成立了AI產品與系統評測中心（簡稱AI評測中心），還預告要制定「AI產品與系統評測制度」與「AI產品與系統評測指引」，來設置臺灣AI產品檢測和驗證標準。如林俊秀所言，這些制度和指引，最快會在今年第一季末出爐。</p> <p>AI評測中心的出現、AI產品系統評測制度和指引的到來，是否意味著AI廠商與企業，必須通過數位部AI評測，才能販售或使用AI系統？</p> <p><span style="font-size:28px;"><strong>臺灣AI行動計畫2.0催生出AI評測中心</strong></span></p> <p>這些疑問，得從AI評測中心的設立談起。去年，臺灣AI行動計畫2.0正式展開，在1.0計畫的基礎上，進一步深化5大層面的AI發展，包括人才、技術和產業發展、國際影響、運作環境和人文社會等。</p> <p>其中的「運作環境」，不只是要完善法規制度、資料治理環境，還涵蓋成立AI產品和系統評測中心、加速發展接軌國際的AI規範與標準、對通用領域和特定領域設置AI法規等面向。</p> <p>因此，去年12月初，數位部成立了AI評測中心，要推動臺灣AI評測制度、發展可信任AI環境。同時，在法規部分，我們看到了行政院在去年8月祭出公部門使用生成式AI的指引參考，國科會也聯手其他部會草擬AI基本法，預計在今年上半年公布。而在產業規範部分，金管會則率先開出第一槍，領先其他產業主管機關，在去年12月底發布金融業運用AI指引草案，來提供金融業者使用AI的建議。預計接下來，還會有其他主管機關跟進，如衛福部、NCC、交通部等，針對各產業提出AI系統的使用建議。</p> <p><span style="font-size:28px;"><strong>評測瞄準廠商和企業，將配合產業主管機關來推動</strong></span></p> <p>制定「AI產品與系統評測制度」和「AI產品與系統評測指引」是AI評測中心今年的首要目標。就評測制度來說，目的是要檢測AI產品或系統，是否符合國際對AI系統的要求，比如安全、可靠、透明等。</p> <p>至於檢測對象則有2種，包括銷售AI產品和系統的廠商，以及以AI驅動服務的企業。「不論這個服務是對內還是對外，我們都希望企業能來送測，」林俊秀補充。尤其，數位部自去年開始推動AI技術服務機構服務能量分類與登錄機制，來建立一份有符合資格的AI廠商清單，而這些廠商，將是AI評測中心第一波鼓勵送測的對象。</p> <p>林俊秀強調，AI評測不具法律強制力，數位部不會強制要求所有廠商和企業送測，但「會用推廣的方式，先鎖定政府單位，如國家關鍵基礎設施、各產業主管機關等，搭配這些機關制定的AI指引，來向他們說明、推廣檢測制度。」他說。</p> <p>意思是，國家關鍵基礎設施主管機關或各產業主管機關，會制定適合該產業的AI指引，如金管會制定的金融業運用AI指引草案，AI評測中心就會配合這些指引，來與主管機關討論、說明，並鼓勵其管理的產業業者申請送測。</p> <p>比如，金融業運用AI指引草案，建議金融業者採用的AI系統4大生命周期，需符合公平性、可解釋性和透明性等原則。而AI評測中心的檢驗項目包含這些原則，此時金融業者或廠商，就可申請送測AI系統，以證明系統符合指引建議。</p> <p>不只針對國家關鍵基礎設施和產業主管機關，林俊秀表示，AI評測中心也瞄準民間集團和業者，將對這些對象主動說明評測制度，鼓勵業者申請送測自家AI系統。</p> <p>所以，廠商和企業是否必須通過AI評測，才能販售或使用AI系統？答案是不用。從林俊秀口中可得知，這些制度和後續出爐的AI評測指引，都不具備強制效力。但若各產業主管機關紛紛祭出產業AI運用指引，來建議各產業業者如何使用AI，勢必會帶起系統評測強勁的需求。</p> <p><span style="font-size:28px;"><strong>今年鎖定生成式AI，已建立生成式AI評測題庫</strong></span></p> <p>AI系統包羅萬象，AI評測將先瞄準哪些領域？</p> <p>林俊秀點出，這兩年生成式AI遍地開花，AI評測中心今年也鎖定生成式AI，先制定合適的測試題目，作為衡量生成式AI的考題。尤其，他們已針對大型語言模型（LLM）制定10項測試類別，包括安全性、可解釋性、彈性、公平性、準確性、透明性、當責性、可靠性、隱私及資安等。</p> <p>其中的公平性、準確性、可靠性、隱私和資安等5大類別，採考題方式來評測。舉例來說，可靠性是要判斷模型的敏感度，也就是AI系統在面對未預期的狀況時，也能維持良好的表現和預測能力，因此常見的考題，就是提問中出現錯別字，來判斷模型能否依然正確回答。數位部目前共設計了3,000多道題目，接下來還會繼續新增。</p> <p>至於安全性、可解釋性、彈性、透明性、當責性等5項類別，數位部打算以設計文件、規格文件等作證資料，採人工審核方式進行。不過，確切的測試方式還在討論中。</p> <p>另一方面，林俊秀也透露，他們已用這些測試類別來衡量國科會打造的國產語言模型TAIDE，包括70億參數（7B）和130億參數（13B）版本。不過，林俊秀補充，這10項類別只是生成式AI測試的一環，模型就算通過10項測試，還是得接受完整的系統檢測，合格後公部門才能正式使用。「檢測TAIDE是我們今年的重要目標！」他說。</p> <p>今年1月，AI評測中心還揭露，這10項測試中的5項已能自動化測試。接下來，AI評測中心除了繼續擴充LLM題庫，還會制定生成式AI以外的傳統機器學習系統評測標準，如適用於影像辨識模型的測試題，來逐步完善臺灣AI系統評測制度。</p> <p><span style="font-size:28px;"><strong>由2大組織執行評測</strong></span></p> <p>有了考題之後，AI評測制度還有賴2大關鍵組織來落實。第一個組織是AI測試實驗室，也就是負責執行AI產品和系統檢測的單位，另一則是用來把關這些測試實驗室的AI驗證機構。</p> <p>這些測試實驗室可由民間業者擔任。業者必須符合國際AI相關規範、取得財團法人全國認證基金會認證，才能評測廠商或企業送測的AI系統。林俊秀指出，他們也可能仿照AI技術服務機構服務能量分類與登錄機制，建立一份AI測試實驗室的政府名冊，來管理檢測品質。</p> <p>至於AI驗證機構，則將由資安研究院和工研院組成。他們的目的是把關測試實驗室，以及維持市場秩序。林俊秀解釋，由於測試實驗室可自行決定服務和定價範圍，但AI評測中心會扮演市場秩序維護角色，因此AI驗證機構會負責認定測試實驗室的報告，並剔除破壞市場機制的不良測試實驗室，來確保檢測一致性。</p> <p>不只如此，AI驗證機構還有其他任務，比如研究新興AI技術、判斷是否需更改評測方式和題庫等。驗證機構還能根據評測項目，來要求旗下AI評測開發實驗室研發自動化工具，加速檢測作業。林俊秀就點出，他們今年會開發2類自動化工具，一類是給AI測試實驗室使用，以加速評測作業，另一類是給AI廠商或企業，讓他們在送測前，先透過自動檢測工具來判斷自家AI系統是否達到檢測標準。</p> <p>另一方面，就接下來要公布的AI評測指引而言，可細分為2種，包括AI產品與系統基本規範，以及AI產品與系統基本檢測基準。前者涵蓋了適用領域、風險管理、評測項目和規範細則，後者則指每項評測的作法說明，另也根據不同適用領域或風險等級，而制定的不同評測項目。</p> <p>林俊秀表示，他們在制定這些指引時，參考了各大國際AI標準和規範，如美國國家標準暨技術研究院（NIST）的AI風險管理框架、歐盟AI法案、ISO相關標準等。「指引（草稿）大都擬訂好了，若這些規範有所調整，我們也會與時俱進。」林俊秀表示，接下來，他們將召開AI制度委員會，來決定AI評測指引內容，並盡快公布。</p> <p>屆時，這份評測指引會明定更多AI評測的細節，如評測效期，也就是AI系統通過評測後的合格期限。林俊秀補充，要是送測的系統出現改版或重大更新，AI評測中心會要求業者重新送測，以確保檢驗品質。</p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> 10項LLM測試重點 </span></strong></span></span></p> <p><strong><span style="color:#B22222;"> 1. 安全性：</span>AI系統某些功能失效時，所產生的回應與風險</strong></p> <p><strong><span style="color:#B22222;"> 2. 可解釋性：</span>AI模型的輸入與輸出，是否存在因果關係或關係的描述</strong></p> <p><strong> <span style="color:#B22222;">3. 彈性：</span>AI系統能適應不同環境、需求和條件</strong></p> <p><strong> <span style="color:#B22222;">4. 公平性：</span>AI系統能公平對待不同群體和個體</strong></p> <p><strong> <span style="color:#B22222;">5. 準確性：</span>衡量AI系統的輸出與真實結果的接近程度，即擬合程度</strong></p> <p><strong><span style="color:#B22222;"> 6. 透明性：</span>糾正AI系統運營商和消費者之間的資訊不平衡</strong></p> <p><strong><span style="color:#B22222;"> 7. 當責性：</span>AI系統開發者和使用者需對系統的行為或操作負責</strong></p> <p><strong><span style="color:#B22222;"> 8. 可靠性：</span>評量系統在面對未預期的狀況時，能維持良好的表現和預測能力</strong></p> <p><strong><span style="color:#B22222;"> 9. 資料隱私：</span>將可能造成隱私的衝擊嚴重程度分級，以實現風險評估與掌控</strong></p> <p><strong><span style="color:#B22222;"> 10. 系統安全：</span>AI系統面對外部攻擊、未授權訪問或不當使用時，能保護其資源、功能和資料的完整性和機密性</strong></p> <p><span style="font-size:14px;"><span style="color:#696969;">資料來源：AI評測中心，iThome整理，2024年2月</span></span></p> </div></div></div>
2024/2/22 12:21作者王若樸https://www.ithome.com.tw/news/161412
AI狂潮推動Nvidia季營收成長265%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繪圖處理器大廠<a href="https://investor.nvidia.com/news/press-release-details/2024/NVIDIA-Announces-Financial-Results-for-Fourth-Quarter-and-Fiscal-2024/" target="_blank">Nvidia周三（2/21）公布</a>截至今年1月28日的2024財年第四季財報，該季Nvidia創下221億美元的營收，比上一季增加22%，比去年同期成長265%，淨收入（Net Income）為122.85億美元，比上一季增加33%，相較於去年同期則成長769%，每股盈餘為5.16美元。在該季的銷售中，AI帶動了Nvidia的資料中心平臺，該類別的營收大增409%，出色的表現令Nvidia當天的盤後股價上漲了9.07%，來到735.95美元的新高。</p> <p>Nvidia的資料中心平臺是利用不同的GPU產品來打造加速運算解決方案，標榜可利用更少的伺服器來達到更好的效能，主要供大型企業與超級運算中心使用，並支援AI訓練、AI推論、科學運算，以及虛擬桌面基礎設施等不同的應用。</p> <p>在AI的助益下，該季資料中心業務替Nvidia帶進184億美元的營收，比前一年同期增加了409%，該類別占Nvidia總營收的83%。</p> <p>Nvidia的其它營收類別還包括遊戲的29億美元，比前一年同期成長56%，專業視覺化營收為4.6億美元，成長105%，汽車領域的營收為2.8億美元，下滑4%。</p> <p>OpenAI在2022年11月發表的ChatGPT掀起了全球的AI浪潮，也讓支援平行處理且講究效能的GPU跟著水漲船高。Nvidia創辦人暨執行長黃仁勳表示，加速運算與生成式AI已來到轉捩點，全球各個國家、產業或企業對相關的需求都在激增，其資料中心平臺的大幅成長來自於大型雲端服務供應商、GPU專業供應商、企業軟體及消費者網路公司對資料處理、訓練及推論的需求。</p> <p>此外，由汽車、金融服務及健康醫療產業為首的垂直產業，也已達到數十億美元的經濟規模。</p> <p>原本華爾街分析師對Nvidia就有很高的期待，但Nvidia的財報結果超越了分析師期待，讓盤中下滑逾2%的股價在盤後大漲。</p> </div></div></div>
2024/2/22 13:41作者陳曉莉https://www.ithome.com.tw/news/161413
Google可能推出Workspace專屬的Gemini Business、Enterprise方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本月初將聊天機器人Bard改名為Gemini，並推出第一個付費方案<a href="https://www.ithome.com.tw/news/161175" target="_blank">Gemini Advanced</a>，現在又將再進一步，推出Google Workspace專屬的AI助理方案Gemini Business及Gemini Enterprise。此外也為Gemini Advanced新增執行Python程式碼的功能。</p> <p>9to5Google記者<a href="https://twitter.com/evowizz/status/1759690336845037869" target="_blank">Dylan Roussei</a>及<a href="https://twitter.com/testingcatalog/status/1759685618034978852/" target="_blank">開發論壇</a>發現關於Gemini的最新宣布。Google針對Workspace用戶推出Gemini Business及Gemini Enterprise方案，允許用戶透過Gemini AI助理存取最新Gemini 1.0 Ultra，以及「企業等級」資料防護功能，用戶對話也不會被用以訓練底層AI模型。Workspace管理員可透過控制臺管理其設定。</p> <p class="rtecenter"><a href="http://twitter.com/evowizz/status/1759690336845037869" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0222-Google_Workspace_Gemini%20Business_Enterprise.png" style="width: 600px;" /></a></p> <p>二項方案將在全球150多個國家地區上線，一開始僅為英文版進行優化。</p> <p>這是Google 2月初宣布AI助理Bard改名為Gemini及需要付費的Gemini Advanced後，Google規劃的企業付費AI服務。不過Workspace本來就有<a href="https://www.ithome.com.tw/news/158487" target="_blank">Duet AI</a>助理服務。9to5Google的Roussei報導，最新Google通知中的升級Gemini Business網址頁連到的是Duet AI網頁。Gemini Business/Enterprise和DuetAI的關係為何，以及Business /Enterprise推出後，DuetAI何去何從目前仍不清楚。</p> <p>另一方面，Google也宣布Gemini Advanced新增功能。用戶將能直接在Gemini用戶介面上執行Python程式碼片段。Google表示，這程式編寫新功能特別有助於程式學習和驗證二種應用場景；學生可實驗程式碼，測試程式變更對輸出有何影響，開發人員則可驗證程式碼執行是否符合預期，再複製到程式工作中。</p> <p>根據Google的說明，Gemini Advanced新功能及Gemini Business/Enterprise在2月20日及21日上線。一如Google Bard改名，日期極可能都有變化。</p> </div></div></div>
2024/2/22 11:50作者林妍溱https://www.ithome.com.tw/news/161411
Google公布開源AI模型Gemma，支援多種框架、可跑在筆電上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google繼上周公布大型語言模型（large language model，LLM）<a href="https://www.ithome.com.tw/news/161315" target="_blank">Gemini 1.5版</a>後，本周再公布<a href="https://blog.google/technology/developers/gemma-open-models/" target="_blank">開源AI模型Gemma</a> 2個版本，讓開發及研究人員在雲端、資料中心甚至筆電上自建與執行AI模型。</p> <p>Gemma是一輕量開源模型家族，由Google DeepMind及Google其他團隊開發，它是以開發Gemini模型相同的研究和技術為基礎打造而成。Gemma名稱源自拉丁語「gemma」，意思是「寶石」。開源的Gemma有二個版本，名為Gemma 2B及7B，Google並釋出其他協助開發、協同及負責任使用的工具。Gemma今日已在全球上線（<a href="http://ai.google.dev/gemma" target="_blank">ai.google.dev/gemma</a>）。</p> <p>除了Gemma開源模型，Google最新AI模型Gemini也在今日全面上線。</p> <p>Google強調，Gemma和Gemini採用相同技術與基礎架構元件，這使得Gemma 2B及7B效能超越其他同樣規模的開源模型。Gemma在數項標竿測試上，也超越更大的模型。根據<a href="https://storage.googleapis.com/deepmind-media/gemma/gemma-report.pdf" target="_blank">Google提供的數據</a>，不論在推論、數學、撰寫程式上，Gemma 7B都超越Llama 2 7B，而在多項數據上，也超越開源模型Mistral 7B。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0222-Google-Benchmark_chart-V2(1).png" style="width: 509px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>Gemma預訓練模型及依指示微調（instruction-tuned）後的模型，可直接執行於開發人員的筆電或工作站、桌機、或者Google Cloud的Vertex AI和Google Kubernetes Engine（GKE）上。VertexAI上有廣泛MLOps工具，內建多種微調選項及一鍵部署。Google表示，不論是代管的Vertex AI工具或自行管理的GKE，都支援客製化，包括能部署到各種GPU、TPU、和CPU等基礎架構平臺上。</p> <p>Gemma支援多種工具和系統，允許開發人員和企業以自有資料微調Gemma。Google提供的推論和監督式微調參考實作工具支援多種主要框架，包括Kera 3.0、原生PyTorch、JAX和Hugging Face Transformers。</p> <p>在硬體方面，Gemma已針對多種AI硬體平臺進行過優化，除了Google Cloud TPU外，Google也和Nvidia合作，以便確保Nvidia GPU為基礎的雲端、本地部署資料中心、到RTX AI PC上具備高執行效能。</p> <p>Google強調Gemma是根據其安全與負責任的AI原則設計。為了確保Gemma預訓練模型的安全與穩定，研發團隊使用自動化方法篩選掉資料集中的個資及其他敏感資訊，也使用微調及基於人類反饋的強化式學習（reinforcement learning from human feedback，RLHF）確保模型符合負責任行為。同時為了解及降低Gemma模型的風險，Google也實行嚴謹的評估，包括紅隊演練、自動化威脅測試及模型的危險活動能力評估。為讓外部用戶進行負責任AI的評估，Google昨日也公布新的<a href="https://ai.google.dev/responsible?utm_source=agd&utm_medium=referral&utm_campaign=explore-responsible&utm_content=&hl=zh-tw" target="_blank">負責任生成式AI工具包</a>，包括可以簡單範例建立安全分類器的工具、模型除錯及Google分享的負責任模型開發與部署指引。</p> <p class="rtecenter"><a href="http://ai.google.dev/responsible?utm_source=agd&utm_medium=referral&utm_campaign=explore-responsible&utm_content=&hl=zh-tw" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0222-Google-Responsible%20Generative%20AI%20Toolkit.png" style="width: 600px;" /></a></p> <p>為方便開發人員開始使用Gemma，Gemma可整合Kaggle、Colab notebook常見工具如Hugging Face、MaxText、Nvidia MeMo及TensorRT-LLM。為吸引開發人員使用Gemma，Google提供Kaggle notebook、Colab免費方案，以及300美元Google Cloud點數。Google甚至提供高達50萬美元等值Google Cloud點數，供研究人員申請執行專案。</p> </div></div></div>
2024/2/22 10:45作者林妍溱https://www.ithome.com.tw/news/161409
微軟推VisualStudio.Extensibility SDK，新擴充套件安裝不再需要重啟Visual Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出新的<a href="https://devblogs.microsoft.com/visualstudio/visualstudio-extensibility-17-9/">VisualStudio.Extensibility SDK公開預覽版</a>，可供開發者創建獨立於Visual Studio程序運作的擴充套件，以提高其效能和可靠性。VisualStudio.Extensibility SDK具有一些特殊功能，包括讓開發者可在Visual Studio市集發布擴充套件，並且更容易配置擴充套件、查詢專案系統，和創建視覺化工具。</p> <p>開發者以新版本VisualStudio.Extensibility SDK建立擴充套件，會生成一個獨立的VSIX套件，開發者可以在本機端共用VSIX套件，供其他開發團隊成員直接安裝，或是也可以將其發布到Visual Studio市集中，與網路上其他開發者共享。</p> <p>VisualStudio.Extensibility SDK另一大特點是開發者安裝擴充套件，不再需要關閉並重新啟動Visual Studio，微軟說明，新提供的熱載入功能，適用於以VisualStudio.Extensibility SDK編寫的所有程序外擴充套件。官方會在Visual Studio市集上，特別標記支援熱載入的擴充套件，方便開發者辨識。</p> <p>現在VisualStudio.Extensibility SDK也讓配置擴充套件、查詢專案系統，和創建除錯器視覺化工具更直覺簡單。開發者可以直接在程式碼中使用強類型類別和屬性配置擴充套件，如此可減少手動維護VSIX清單檔案的需求，也能利用IntelliSense快速填寫所需要的配置值。此外，新的SDK支援創建非模態（Non-Modal）可在IDE中自由移動的除錯器視覺化工具，非模態視窗讓用戶可以同時存取和操作其他介面元素，提高除錯效率和靈活性。</p> <p>開發者可以開始將語言伺服器協定（Language Server Protocol，LSP）整合到擴充套件中，如此便可以創建一個語言服務提供工具操作語言服務。語言服務提供工具支援配置屬性，可用於控制語言服務適用的文件類型。</p> <p>而VisualStudio.Extensibility透過經強化的查詢API加入許多新功能，包括建置、重新載入、重新命名等專案操作，以及創建、移除解決方案等解決方案操作功能，同時還可以查詢、創建和移除資料夾和啟動專案，這些新功能讓擴充套件能夠更細緻地與Visual Studio專案系統互動。</p> </div></div></div>
2024/2/22 02:55作者李建興https://www.ithome.com.tw/news/161396
Rust開發者擔心語言越變越難，甚至有20%受訪者希望放慢新功能開發速度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2024/02/19/2023-Rust-Annual-Survey-2023-results.html">Rust調查團隊釋出針對Rust社群的2023年調查報告</a>，顯示開發者越來越願意在工作上使用Rust，而主要原因是Rust高安全和高效能等特性。隨著開發者採用Rust的程度提升，對Rust的發展憂慮也隨之增加，有43％受訪者擔心Rust變得太複雜，甚至有20％受訪者希望Rust開發團隊放慢新功能開發腳步。</p> <p>調查報告顯示，受訪者將Rust用於工作上的比例逐年上升，2023年的受訪者中有34％在大部分的工作中使用Rust，相較於2022年增加了5個百分點，而這些將Rust用於工作的受訪者，其主要原因都是希望可以建立相對正確且沒有錯誤的程式，比例高達86％，而第二常見的原因則是看重Rust的高效能，比例也有83％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/why-you-use-rust-at-work.png" style="width: 580px;" /></p> <p>79％的受訪者表示Rust的確協助企業實現目標，這相較於2022年增加了7個百分點，77％的受訪者還表示，企業可能會在未來繼續使用Rust。就技術層面而言，Rust似乎在創建伺服器後端、網頁和網路服務，以及雲端技術方面特別受到歡迎。整體而言，用戶對於Rust的高效能、可控性和安全性特別有信心。</p> <p>Rust發展至今仍存在許多挑戰，約有43％的受訪者擔心Rust變得過於複雜，雖然這個問題一直存在，不過顯然社群更焦慮了，2023年的數字較2022年高出了5個百分點。還有42％的受訪者擔心Rust沒有受到科技產業廣泛採用，而2023年有32％的受訪者最擔心的議題，是Rust開發者和維護者沒有獲得足夠的支援，較2022年上升了6個百分點。</p> <p>開發者對Rust發展的關心也轉化成為了擔憂，官方提到，他們發現完全不關心Rust未來發展的受訪者明顯減少，2022年為30％而2023年下降至18％。不過有趣的是，其中也有20％的受訪者希望Rust可以放慢新功能開發速度，而這可能與有43％受訪者擔心Rust變得過於複雜有關，也就是說，開發者可能認為Rust快速發展，會導致語言變得難以掌握。</p> <p>2023年Rust開發者最想要Rust開發團隊實作或改進的功能，依序是Traits、const執行以及非同步功能。此外，開發者最常遇到困難的領域，包括了非同步、Traits以及借用檢查器（Borrow Checker）等Rust中較爲複雜且難以理解的概念，許多Rust開發者在學習使用這些功能常會遭遇挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/which-features-do-you-want-stabilized.png" style="width: 580px;" /></p> <p>在Rust生態系方面，最多受訪者用來開發Rust程式的作業系統是Linux高達69.7％，其次是33.5％的macOS和31.9％的Windows，2023年使用WSL開發Rust的受訪者，與2022年相比少了1.2％。而受訪者最愛用的IDE，第一名仍是VS Code有高達61.7％的受訪者使用，第二名則是vi/vim/neovim有31％，而第三名則是2023年才釋出的Rust專用IDE Rust Rover。</p> </div></div></div>
2024/2/22 02:59作者李建興https://www.ithome.com.tw/news/161407
【資安日報】2月21日，中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府資助的駭客佯裝成資安公司，在全球從事網路間諜活動，過往通常是藉由研究人員找到的蛛絲馬跡，才能揭露駭客暗中從事多年的行為，但最近有一批文件的曝光，間接反映了這樣的情形，而引起資安圈的高度討論。</p> <p>根據一位臺灣資安研究員的揭露，中國資安業者「安洵信息」發生內部資料外洩，而導致中國當局網路間諜活動曝光，當中提及該公司從事網路間諜行動的經驗，並說明他們使用的作案工具，雖然資料的來源與真實性仍有待進一步確認，但根據其內容來看，他們提供了各式各樣的網路攻擊服務，很有可能聽從中國政府的指示對指定目標下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://twitter.com/AzakaSekai_/status/1759326049262019025"><strong style="font-size: 22px;">中國資安業者安洵信息內部資料在GitHub公開，曝露中國政府對西方國家的網路間諜攻擊手段</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GGpis78bQAAezgE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGpis78bQAAezgE.jpg" style="width: 300px; float: right;" /></a>一位名為「安坂星海」的臺灣資安研究員發現，有人將中國資安業者「安洵信息」的內部資料上傳到程式碼儲存庫GitHub，聲稱該公司欺瞞中國當局，且財務出現問題，其產品的品質低落，並招致員工抱怨。這些資料也透露該公司替客戶（中國政府）滲透印度、泰國、越南、韓國、北約組織的政府機關。</p> <p>研究人員指出，這些資料很有可能來自該公司專門研發間諜軟體的部門，其軟體平臺能挖掘使用者X（推特）帳號登記的電話號碼及電子郵件信箱，並對特定帳號的動態進行即時監控，甚至能冒用帳號來進行發文、刪文、轉推、按讚。該公司針對Windows、macOS、Linux、iOS、安卓等作業系統，自製RAT木馬程式Hector，其中Windows版木馬號稱能迴避95%防毒軟體偵測，此外，公司還開發外觀與行動電源極為相似的「Wi-Fi抵近攻擊系統（Wi-Fi Near Field Attack System）」。在業務運作上，這家公司同時經營DDoS殭屍網路，所用的病毒檔案大小僅有29 KB，此殭屍網路號稱能產生10至100Gbps的流量。除此之外，還有APT攻擊的教戰手則，並能透過分析郵件、中國社群網站平臺內容來從事間諜行動的說明文件。</p> <p>而對於這些資料外流的原因，新聞網站大紀元認為，很有可能是員工對公司及薪資不滿所致；另一個新聞媒體Coinlive指出，該公司員工曾討論如何販賣國家機密，或是製作色情聊天網站來維持生計。</p>  <p>資料來源</p> <p>1. <a href="https://twitter.com/AzakaSekai_/status/1759326049262019025">https://twitter.com/AzakaSekai_/status/1759326049262019025</a><br /> 2. <a href="https://www.epochtimes.com.tw/n433151/陸網安公司文件外流-曝光中共網攻手段.html">https://www.epochtimes.com.tw/n433151/陸網安公司文件外流-曝光中共網攻手段.html</a><br /> 3. <a href="https://www.coinlive.com/zh/news/inside-story-of-an-xun-self-built-pornographic-websites-phishing-and">https://www.coinlive.com/zh/news/inside-story-of-an-xun-self-built-pornographic-websites-phishing-and</a></p> <p><a href="https://blog.talosintelligence.com/tinyturla-next-generation/"><strong style="font-size: 22px;">非政府組織遭俄羅斯駭客組織Turla鎖定，植入後門程式TinyTurla-NG</strong></a></p> <p>思科威脅情報團隊Talos與非政府組織電腦緊急應變小組（CERT.NGO）聯手，發現俄羅斯駭客Turla使用新的後門程式TinyTurla-NG（TTNG），研究人員去年12月看到駭客以波蘭的非政府組織（NGO）為目標，部署該後門程式並藉由已被入侵的WordPress網站充當C2伺服器，這些網站也被對方用來代管惡意PowerShell指令碼TurlaPower-NG。</p> <p>研究人員指出，駭客通常是在其他工具失效，或是不慎觸發了受害環境的資安系統警報時，才會使用該後門程式來進行最後的嘗試。而對於PowerShell指令碼TurlaPower-NG的用途，研究人員指出是竊取受害電腦資料，再交由前述的後門程式回傳。根據惡意程式編譯的時間，這起攻擊行動可能在去年11月開始。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cactus-ransomware-claim-to-steal-15tb-of-schneider-electric-data/"><strong style="font-size: 22px;">施耐德電機傳出資料外洩，勒索軟體Cactus聲稱竊得1.5 TB資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Schneider Electric Cactus leak.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Schneider%20Electric%20Cactus%20leak.png" style="width: 300px; float: right;" /></a>1月17日能源管理暨自動化龍頭施耐德電機傳出遭到攻擊，導致該公司的Resource Advisor雲端平臺服務面臨中斷。施耐德電機也證實他們的永續發展業務部門遭到網路攻擊，且資料遭到竊取，如今出現進一步的發展。</p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Cactus聲稱，他們1個月前入侵施耐德電機的網路環境，竊得1.5 TB資料，提供25 MB檔案供買家檢驗，並附上數名美國民眾的護照，以及保密協議文件的掃描檔案。但究竟有那些資料遭竊，目前仍不得而知。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.darkreading.com/application-security/joomla-xss-bugs-open-millions-websites-rce"><strong style="font-size: 22px;">內容管理系統Joomla存在XSS漏洞，恐被攻擊者用於遠端執行任意程式碼</strong></a></p> <p></p> <p>2月20日開源內容管理系統Joomla修補跨網站指令碼（XSS）漏洞CVE-2024-21726，此漏洞發生的原因在於不充分的內容過濾機制，而有可能導致特定元件出現XSS弱點，他們發布5.0.3、4.4.3版Joomla予以修補。</p> <p>找到該漏洞的資安業者Sonar Source指出，該漏洞主要出現在Joomla的核心過濾器元件，一旦攻擊者加以利用，就有可能誘騙管理員點選惡意連結，從而遠端執行任意程式碼（RCE），研究人員不願透露更多細節，但呼籲網站管理者應儘速套用新版軟體來緩解漏洞。</p> <p>資料來源</p> <p>1. <a href="https://developer.joomla.org/security-centre/929-20240205-core-inadequate-content-filtering-within-the-filter-code.html">https://developer.joomla.org/security-centre/929-20240205-core-inadequate-content-filtering-within-the-filter-code.html</a><br /> 2. <a href="https://www.sonarsource.com/blog/joomla-multiple-xss-vulnerabilities/">https://www.sonarsource.com/blog/joomla-multiple-xss-vulnerabilities/</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161379"><strong style="font-size: 22px;">國際執法機構關閉34臺LockBit伺服器，凍結逾200個加密貨幣帳號，逮捕2名嫌犯</strong></a></p> <p></p> <p>有許多關注勒索軟體LockBit動態的研究人員及資安新聞媒體發現，該組織架設於暗網的網站已遭執法單位控制，如今這樣的情況也得到證實。</p> <p>2月20日歐洲刑警組織（Europol）發出聲明，由英國國家刑事局（National Crime Agency，NCA）發起的執法行動Operation Cronos，在10個國家的執法部門投入相關工作，並由歐洲刑警組織及歐洲司法組織從中進行協調之下，成功關閉該組織架設於荷蘭、德國、芬蘭、法國、瑞士、澳洲、美國、英國的34臺伺服器，並凍結超過200個加密貨幣帳戶，同時在波蘭及烏克蘭逮捕2名嫌犯。</p> <p>NCA已控制了LockBit的基礎設施及暗網網站，並表示他們取得了原始碼，同時發現駭客並未依照承諾，刪除已付贖金的受害組織資料。<a href="https://www.ithome.com.tw/news/161386">日本警方已打造LockBit 3.0的解密工具</a>，受害者可從No More Ransom網站取得。</p> <p>資料來源</p> <p>1. <a href="https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation">https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation</a><br /> 2. <a href="https://www.nationalcrimeagency.gov.uk/news/nca-leads-international-investigation-targeting-worlds-most-harmful-ransomware-group">https://www.nationalcrimeagency.gov.uk/news/nca-leads-international-investigation-targeting-worlds-most-harmful-ransomware-group</a><br /> 3. <a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#Lockbit30">https://www.nomoreransom.org/zht_Hant/decryption-tools.html#Lockbit30</a></p> <p><a href="https://www.aielectionsaccord.com/uploads/2024/02/Press-Release-AI-Elections-Accord-16-Feb-2024.pdf"><strong style="font-size: 22px;">科技龍頭承諾共同對抗與選舉有關的AI欺騙性內容</strong></a></p> <p></p> <p>2月16日微軟、Google、Meta、OpenAI、IBM等全球20家科技龍頭在慕尼黑安全會議（Munich Security Conference，MSC）發出共同聲明，為防止由AI產生的欺騙性內容干預2024年的全球選舉活動，他們將共同努力偵測及打擊有害的AI內容。</p> <p>這些科技業者具體提出8項承諾，分別是開發及導入可用來減少欺騙性AI選舉內容的技術與工具；評估相關模型並理解可能帶來欺騙性AI選舉內容的風險；試圖在社群網站平臺偵測相關的有害內容；尋找適當解決在平臺上所偵測到的欺騙性內容；培養跨產業對欺騙性AI內容的防禦能力；向大眾揭露如何解決問題的透明度；繼續與全球民間社會組織或學術界交流；支持對大眾意識、媒體素養及整個社會復原能力的推動。</p> <p>此外，微軟特別設置檢舉平臺，供全球候選人通報疑似由AI產生的欺騙性內容。</p> <p><a href="https://www.linuxfoundation.org/press/announcing-the-post-quantum-cryptography-alliance-pqca"><strong style="font-size: 22px;">為應對量子運算的安全挑戰，Linux基金會成後量子密碼學聯盟</strong></a></p> <p>2月6日Linux基金會宣布成立後量子密碼學聯盟（Post-Quantum Cryptography Alliance，PQCA），主要目的是要促進後量子密碼學進步，期望透過製作高保證性的軟體，來實踐標準化演算法的目標，從而支援持續開發並產生新的後量子演算法的標準化，初始會員包括AWS、Google、IBM、Nvidia等11家企業組織。</p> <p>該聯盟將打造程式庫及軟體套件的中樞，以符合美國國家安全局（NSA）推薦的加密指南「商業國家安全演算法套件2.0（Commercial National Security Algorithm Suite 2.0，CNSA 2.0）」的資安建議。此外，PQCA將從事各式專案，包括開發軟體來評估、設計、部署新的後量子演算法，透過提供軟體實作，進而促進後量子密碼學在產業中實際應用。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cadosecurity.com/migo-a-redis-miner-with-novel-system-weakening-techniques/"><strong><span style="font-size: 20px;">惡意軟體Migo停用Redis伺服器的安全機制，將其用於挖礦</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/connectwise-urges-screenconnect-admins-to-patch-critical-rce-flaw/"><span style="font-size: 20px;">ConnectWise針對遠端桌面連線軟體ScreenConnect身分驗證繞過漏洞提出警告</span></a></strong></p> <p></p> <p><a href="https://www.threatfabric.com/blogs/anatsa-trojan-returns-targeting-europe-and-expanding-its-reach"><strong><span style="font-size: 20px;">安卓金融木馬Anatsa再度現身Google Play市集，鎖定歐洲國家而來</span></strong></a></p> <p></p> <p><a href="https://www.hackread.com/israeli-nso-group-mms-fingerprint-attack-whatsapp/"><strong><span style="font-size: 20px;">以色列商業間諜公司NSO Group利用WhatsApp漏洞，利用MMS指紋追蹤用戶</span></strong></a></p> <p></p> <p><strong><a href="https://arxiv.org/abs/2402.11423"><span style="font-size: 20px;">研究人員揭露濫用無線充電器的攻擊手法VoltSchemer，有可能注入語音命令、燒毀手機</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161355"><strong>【2月20日】勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161344"><strong>【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161326"><strong>【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</strong></a></p> </div></div></div>
2024/2/21 17:54作者周峻佑https://www.ithome.com.tw/news/161398
MedTech醫療科技雙周報第32期：美政府調查發現FHIR採用率增加，但也有挑戰要面對
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0201～0215）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">ONC</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FHIR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料互通 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美政府：FHIR採用率增加，也有挑戰要克服</strong></span></p> <p>2月中，美國國家醫療IT協調辦公室（ONC）揭露一項調查結果，盤點全美141家數位醫療廠商使用標準化API的狀況，發現大多數廠商已使用FHIR標準來整合電子健康記錄系統。進一步來說，美國在2020年就立下法源依據，即《21世紀醫療法最終規則》，來強制要求使用符合FHIR標準的合格API，以促進資料標準化、簡化FHIR與第三方應用的串接。這個規則要求廠商在2022年12月31日前，必須採用FHIR標準和相應的實作指引（IG），而這次揭露的調查數據，正是在截止日前蒐集到的結果。</p> <p>ONC指出，在當時的截止期限前，大約四分之三的廠商已使用FHIR標準，且他們的App與不只一個電子健康記錄系統整合。調查數據顯示，只有25%的廠商App只與單一個電子健康記錄系統整合。ONC表示，雖然這些數據意味著FHIR API應用的初期成功，但還有些挑戰要克服。因為，調查發現，FHIR對特定應用情境的支援有限，導致廠商會使用不同類型的API，且57%的受試廠商表示同時使用專有API和標準化API，另有11%的廠商使用專有API和非標準化API。</p> <p>再來，大約半數的廠商表示FHIR費用高昂，另各有十分之四的受訪者分別點出，他們缺乏實際的臨床測試數據、缺乏對API實用性的理解，造成應用的障礙。ONC承認，這些調查結果證實了美國醫療IT社群提出的擔憂，也就是目前合格API的範圍有限，還有費用、資料存取與開發者支援等使用門檻。這些課題，也是ONC接下來要解決的問題。<a href="https://www.healthit.gov/buzz-blog/research-and-scientific-advancement/digital-health-company-experiences-using-ehr-apis">（詳全文）</a></p> <p><img alt="" src="https://www.healthit.gov/buzz-blog/wp-content/uploads/2024/02/Picture1.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">NIH</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子病歷系統 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>三分之一IT員工將退休，美國國衛院：是時候換電子病歷系統了</strong></span></p> <p>早在20年多前，美國國衛院（NIH）就為國內最大的研究型醫院開發一套電子病歷系統，名為臨床研究資訊系統（the Clinical Research Information System）。但最近在AFCEA Bethesda’s Health IT高峰會論壇上，NIH臨床中心資訊長Jon McKeeby表示，這套電子病歷系統很快就會換新了。</p> <p>這是因為，他帶領的120名NIH IT團隊中，已有40多人達到退休年齡。這些人員的離開，「將使系統變得非常複雜，（我們）只能仰賴特定人才和技能，導致系統維護困難，」Jon McKeeby說。也因此，NIH正與美國政府成立的非營利技術研究組織Mitre討論合作，至今已為新的電子病歷系統收集1,000多項需求。他們認為，根據這些需求打造的新系統，將能加速NIH採用AI，來解讀非結構化資料、支援臨床決策，還能持續監控資料模型。<a href="https://federalnewsnetwork.com/it-modernization/2024/02/nih-seeks-new-ai-friendly-ehr-to-make-better-use-of-health-care-data/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 瑞典 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 營養 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高齡化 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>預防長者營養不良，瑞典政府推動數位營養記錄計畫</strong></span></p> <p>根據美國醫療資訊與管理系統學會HIMSS旗下媒體Healthcare IT，瑞典奧斯特松德市官員Helle Sörensen指出，瑞典政府為確保年長者營養均衡、保持身體健康，因此展開營養記錄數位化計畫，要打造一套系統，來記錄長者的營養攝取狀況。Helle Sörensen表示，瑞典正面臨老齡化挑戰，80歲以上、需要政府協助的長者越來越多，但年輕勞動力卻不斷減少。因此，瑞典政府計畫展開多種數位化專案，不只要提高工作流程效率，還要藉此落實預防醫學。</p> <p>意思是，瑞典政府希望年長者自給自足的時間更長，來減少對護理的需求。Helle Sörensen認為，這套數位營養記錄系統能更有效分析患者飲食，讓醫護人員更了解患者狀況。她將在今年3月的HIMSS 24大會上揭露更多細節。<a href="https://www.healthcarefinancenews.com/news/digital-nutrition-registration-aiding-pop-health-efforts-sweden">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 認知障礙 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> iPad </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>美醫療新創用AI分析手繪時鐘，可偵測輕度認知障礙</strong></span></strong></p> <p>哈佛醫學院神經學教授、美國智慧醫療新創Linus Health的共同創辦人Alvaro Pascual-Leone日前接受美國HIMSS旗下媒體Healthcare IT訪問時，揭露了與團隊研發的輕度認知障礙AI偵測應用。他表示，判斷認知障礙的權威方法是請患者用紙筆畫出一個時鐘和數字，以及指定時間的指針。這個方法看似簡單，卻是個重要指標，因為它需要一個人的視覺空間能力、執行力、記憶力和規畫能力等神經認知能力。其中，醫師會觀察患者繪圖時的表現，來判斷患者認知能力的狀況，而非只看最終結果。</p> <p>不過，Alvaro Pascual-Leone點出，有經驗的醫師並不多，要找出輕度認知障礙患者並不容易。於是他與團隊開發一套數位應用，利用iPad和數位筆，來讓患者繪製時鐘、數字和指定的時間，並在3分鐘內完成風險分析。他表示，他們收集的細微指標高達數百個，如手部運動的變化、螢幕上的壓力、數字的位置、圓圈的繪製方式等。完成測試後，醫師和患者會收到綠、黃或紅色分數。要是患者存在認知障礙，系統會根據個人狀況，建議可行的作法，比如個人化的運動、飲食、認知技能活動、聽力測試等，或進一步到專業檢測機構進行大腦測試，或建議轉診等。Alvaro Pascual-Leone認為，這種數位化的偵測方法，可降低失智症風險、及早介入認知障礙。<a href="https://www.healthcareitnews.com/news/ai-enabled-digital-health-tech-catches-mild-cognitive-impairment-early">（詳全文）</a></p> <p><img alt="" src="https://marvel-b1-cdn.bc0a.com/f00000000292125/linushealth.com/hs-fs/hubfs/Multiple%20Devices%20-%20Healthcare%20Delivery%202.png?width=2016&height=1057&name=Multiple%20Devices%20-%20Healthcare%20Delivery%202.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">萬芳醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 院外醫療 </span></strong></span></p> <p><span style="font-size:22px;"><strong>萬芳醫院新院長上任，3大目標瞄準院外醫療、AI和三院整合</strong></span></p> <p>萬芳醫院於於1月底進行第八任院長交接，由新院長劉燦宏接棒，並提出三大發展目標，包括高齡整合、醫療科一科一AI、三院整合。進一步來說，第一個目標是因應人口老化趨勢，萬芳醫院將強化遠距醫療、社區醫療、居家醫療等院外醫療，並整合社區長照資源，要將萬芳醫院打造為大臺北南區的示範醫院。</p> <p>第二個目標則是推動「醫療科一科一AI，一科多BI」策略，要全面落實智慧管理和推動價值醫療。劉燦宏還提出打造全智慧病房計畫，要透過自動化減少護理人力負擔、透過中央監控減少人力移動，來提升醫療體系照護效能。第三個目標則是要配合北醫大學校政策，推動三院整合。這是因為，過去，萬芳醫院、北醫附醫、雙和醫院的競爭關係大於合作，若要在激烈的醫療競爭中取勝，就得跨院合作。因此，劉燦宏表示，三院應善用北醫大人才資源，來發揮更大的影響力。<a href="https://old.wanfang.gov.tw/p2_news_detail.aspx?dd=1036">（詳全文）</a></p> <p><img alt="" src="https://old.wanfang.gov.tw/Upload/Global/1130131.jpg" style="width: 692px; height: 402px;" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">睡眠偵測 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 三星 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FDA </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>三星App睡眠偵測功能獲美FDA核准</strong></span></strong></p> <p>三星電子最近宣布旗下三星Health Monitor App的睡眠呼吸中止症偵測功能，獲美國食品藥物管理局FDA認證，成為第一款獲得美官方此類許可的App。三星該功能獲得的認證屬於新創中低風險醫材（De Novo）類別，使用者可用Galaxy Watch和手機，透過Health App量測睡眠呼吸，而無需使用傳統醫療器材。</p> <p>睡眠呼吸中止症偵測功能可在兩晚的睡眠監測期間，偵測到中到重度的呼吸短暫停止，這種症狀會導致氧氣供應不足，影響睡眠品質，導致白天疲倦和注意力不佳，也會增加高血壓、冠狀動脈疾病及心律不症、中風等疾病風險。而三星透過演算法，偵測睡眠呼吸中止或睡眠偵測，主要是透過量測的血氧飽和度數值以演算法推算得出，他們接下來還計畫將健康偵測功能整合到更小的穿戴裝置上。<a href="https://news.samsung.com/global/samsungs-sleep-apnea-feature-on-galaxy-watch-first-of-its-kind-cleared-by-us-fda?utm_source=rss&utm_medium=direct">（詳全文）</a></p> <p><img alt="" src="https://img.global.news.samsung.com/global/wp-content/uploads/2024/02/FDA-Sleep-Apnea-Feature_main1.jpg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 超音波 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 華碩 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>華碩手持無線超音波新添3項AI功能</strong></span></strong></p> <p>華碩日前優化旗下手持無線超音波產品，新添３項AI輔助功能，包括語音控制、一鍵優化和自動量測。其中語音控制可讓醫師直接語音輸入，設定20多種超音波參數，來簡化執行超音波掃描時的繁瑣作業。一鍵優化可自動判斷當下的掃瞄部位，來提供最佳化影像，至於自動量測，則可在掃瞄過程中自動運算結果數值，免去冗長的人工操作流程。華碩也表示，這次版本更新預計在2月底前釋出，使用者可至Google Play Store或Apple Store更新ASUS MediConnect應用程式，就能使用新添的3大AI輔助功能。<a href="https://press.asus.com/tw/news/asus-ai-medical-imaging-advancements-2024/">（詳全文）</a></p> <p><img alt="" src="https://press.asus.com/images/20240131104616309_s.jpg" /></p> <p>圖片來源／ONC、Linus Health、萬芳醫院、三星、華碩</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. <a href="https://www.businesswire.com/news/home/20240215458797/en/Vital%E2%80%99s-ERAdvisor-Earns-Top-Marks-in-KLAS-Spotlight-Report">洛杉磯兒童醫院推出急診App</a>，可即時查詢醫療資料和出院進度</strong></strong></p> <p><strong><strong>2. <a href="https://www.federalregister.gov/documents/2024/02/02/2024-01693/medications-for-the-treatment-of-opioid-use-disorder">美國政府准許醫療機構用遠距方式評估成癮藥物新患者</a></strong></strong></p> <p>資料來源：iThome整理，2024年2月</p> </div></div></div>
2024/2/21 18:28作者王若樸https://www.ithome.com.tw/news/161406
打造雲原生應用開發軍火庫，紅帽推出企業級內部開發平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/developer-hub-u-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供企業級開放原始碼軟體解決方案，向來是紅帽的強項，而在2023年全球高峰會的主題演講開場沒多久，就由總裁暨執行長Matt Hicks發表一款與過往大異其趣的產品，名為Red Hat Developer Hub（RHDH），</p> <p><a href="https://s4.itho.me/sites/default/files/images/rhdh-2023-05-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/rhdh-2023-05-1.jpg" style="width: 400px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/rhdh-2023-05-2.jpg" style="width: 400px;" /></p> <p>這是透過多種已支援與堅定發展的框架、專門用來加速開發流程的單一網站入口，是架構在<a href="https://backstage.io/">開放原始碼專案Backstage</a>而成，此專案最初由音樂串流平臺Spotify創立、2020年捐贈雲端原生運算基金會（CNCF）進行培育，在2022年10月，<a href="https://developers.redhat.com/articles/2022/10/24/red-hat-joins-backstageio-community">紅帽宣布加入Backstage社群</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Backstage-overview-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Backstage-overview-2023.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Backstage-2020-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Backstage-2020-05.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Backstage-2021-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Backstage-2021-2.jpg" style="width: 298px;" /></a></p> <p>在產品推出時程的規畫上，紅帽當時打算在2023年下半提供RHDH的開發者預覽版本，並提供Backstage的外掛，到了今年1月中， RHDH正式發表1.0版、提供完整支援。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-2.jpg" style="width: 600px;" /></a></p> <p>為此我們向紅帽臺灣分公司詢問其產品定位與特色，他們表示，Red Hat Developer Hub是企業的內部開發平臺，是為了因應軟體開發堆疊日益複雜、標準不一，以及部門之間溝通效率低等問題而生的產品，面向的對象是企業開發者市場。</p> <p>與其他開發者工具相比，紅帽認為RHDH獨特之處，在於構建企業開發者專用的平臺、框架，而不是個別的工具，它提供很多簡化開發流程的軟體模板及外掛程式，開發團隊能夠自由選擇，並具備企業級安全特性與可擴充性、支援最新的開發堆疊。相較於紅帽自家其他產品，則是填補在企業內部統一開發平臺領域的需求。</p> <p>而從解決方案的組成來看，RHDH不僅運用Backstage，也建構在紅帽的<a href="https://www.ithome.com.tw/tags/openshift">OpenShift</a>、<a href="https://www.ithome.com.tw/tags/RHEL">RHEL</a>、Ansible，皆是該公司開放混合雲平臺的基礎，也是打造平臺工程服務（Platform engineering services）的重要產品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RH%20Developer%20Flow.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/IDP-2023-08-onboarding.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IDP-2023-08-onboarding.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>採用開放原始碼Backstage，同時提供軟體範本、外掛</strong></span></h3> <p>去年5月發表之際，紅帽強調，RHDH這個經由他們持續發展、維護、調校的Backstage版本，可橫跨Git這類程式碼驅動的應用程式部署環境、容器應用平臺Kubernetes、Red Hat OpenShift，改善開發者體驗，以企業與組織自行管理的網站入口，提供各種批准使用、精心挑選的必要工具、程式語言與資源，以便建立高品質的應用程式，協助發揮軟體技能價值，並減少各種不必要的工作摩擦與認知負擔過重等問題，藉此提升開發速度，而不犧牲創新的能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-Learning.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-Learning.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-gpt2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-gpt2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-B.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-B.jpg" style="width: 600px;" /></a></p> <p>RHDH也提供預先定義與構建、支援的多種範本，加速應用程式開發。例如，備有Golden Path範本（Golden Path Templates，GPT），能以更快、安全的方式簡化應用系統上線流程，毋須被迫削減重要的工作流程步驟。紅帽表示，這類範本可快速追蹤開發、確保結構與一致性，之所以稱為Golden，是因為這些能為開發者提供可依循的最佳實務，使程式碼能夠連貫、具有擴衝性，並且易於維護，開發者能透過預先組建與支援的方法建構與部署軟體的特定部分，而不需學習所有技術細節。而在範本的使用上，能讓開發者以自助的方式取用，可運用最理想的方式來修正程式臭蟲或實作功能，從而加速整體開發流程的進行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IDP-2023-08-2.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-GPT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-GPT.jpg" style="width: 600px;" /></a></p> <p>同時，紅帽也開發外掛套件Red Hat Plug-ins for Backstage，可用於所有的Backstage環境，當中提供6個外掛程式，以便將多種關鍵系統整合到Backstage，對於採用不同平臺與Kubernetes版本的開發者而言，能夠獲得更多彈性與一致的操作體驗，並且不影響流程運作的效率與速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/developer-hub-plug-ins.jpg" style="width: 600px;" /></p> <p>舉例來說，Topology外掛可支援Kubernetes的應用拓樸呈現；Open Cluster Management外掛能運用開放叢集管理平臺（OCM）的MultiClusterHub、MultiCluster Engine，呈現多個叢集的狀態；Quay外掛可改善容器映像登錄系統Quay的整合與互動速度，紅帽在此列出容器映像細部資訊，以及已部署映像的資安漏洞；Keycloak後端外掛提供身分認證與授權，可協助平臺工程師在Backstage載入這套Kubernetes身分與存取管理系統的使用者與群組設定，並支援多種身分認證供應端的使用、將其套用到Backstage實體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-Quay2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-Quay2.jpg" style="width: 600px;" /></a></p> <p>在GitOps持續交付（CD）的自動化處理上，紅帽在此提供Argo CD外掛，可協助追蹤這套系統在Backstage的服務運作狀態；針對橫跨所有服務執行的CI/CD流程，這裡備有Tekton外掛，可檢視所有Tekton執行的多種管線與各自的狀態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHDH-ArgoCD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-ArgoCD.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHDH-Tekton.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-Tekton.jpg" style="width: 600px;" /></a></p> <p>關於Backstage這套企業內部開發平臺可運用的各種範本，以及外掛，紅帽也特別成立了<a href="https://janus-idp.io/">Project Janus</a>統籌、推動後續的發展。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Janus Templates.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Janus%20Templates.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Janus Plugins.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Janus%20Plugins.jpg" style="width: 298px;" /></a></p> <h3><span style="color:#0000FF;"><strong>正式版登場，增添RBAC安全控管，提供更多外掛</strong></span></h3> <p>隨著RHDH 1.0今年1月推出，不只是持續強化自助式服務網站入口、標準化的軟體範本，以及更完善的技術支援，也加入不少新功能。</p> <p>首先，是多人DevOps協作環境相當需要的角色存取控制（RBAC）。紅帽在此增添了系統管理者（administrator）的角色，可透過團隊、群組、使用者等組織階層架構，實施更完善的存取控制，這項機制也能運用多個REST API端點，針對許可政策與角色，提供新增、刪除、更新的機制，也能取出全部或特定的資訊，使企業能在RHDH管理存取許可與工作角色。</p> <p>第二，新支援動態外掛（dynamic plugins）的使用。RHDH 1.0本身總共提供43個外掛套件，涵蓋資料分析、身分與存取管理、叢集管理、容器管理、安全性、持續部署等應用類型，持續部署就占了一半以上（24個），其次是身分與存取管理（7個）。</p> <p>上述的角色存取控制功能，也是透過外掛的形式來供應，紅帽表示，系統管理者能基於團隊內部的角色差異，管理使用者存取RHDH這個內部開發網站入口的權限，這樣的外掛可連接企業的身分認證供應環境、對應本身自定的工作角色，藉此讓使用者得到適當的許可，而能存取軟體型錄與相關的資料。</p> <p>而在動態外掛的支援上，紅帽列出47個之多，涵蓋開放原始碼的DevOps軟體，例如，除了先前曾提及的Kubernetes、Keycloak、OCM、Tekton、Quay，還能支援Scaffolder、Techdocs、Lighthouse、GitHub、Gitlab、Regex、Jenkins、Jfrog Artifactory、Jira，以及商用、雲端服務平臺，像是Azure Devops、Azure Container Registry（ACR）、ServiceNow、SonarQube、Datadog、Dynatrace、PagerDuty、TechRadar、Nexus Repository Manager、3scale。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CNCF Backstages.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CNCF%20Backstages.jpg" style="width: 600px;" /></a></p> <p>基本上，RHDH採用與Backstage相同的外掛架構，企業能透過這種方式將新功能整合至本身的開發工具鏈，而在引進動態外掛的相關功能之後，RHDH已預先載入指定的套件，用戶也能自行安裝這些套件、透過側載方式在RHDH執行個體運作，不需重新編譯程式碼或組建整個容器，並且能透過快速、簡易的方式，更新、移除各種擴充套件，而不需歷經繁瑣的變更程序，例如，將這套內部開發平臺進行停機，程式碼的修改與重組，以及Backstage基本環境的重新部署。</p> <p>紅帽目前已建立多款支援RHDH使用、通過驗證的外掛，貢獻至Backstage社群，能幫用戶克服相容性風險與運作層面的問題，而對於RHDH而言，本身也能執行、適用於社群所開發出來的外掛，促使在他們的環境使用時，可獲得更大的控制力與設置彈性。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Red Hat Developer Hub 1.0</strong><br /> ●原廠：Red Hat<br /> ●建議售價：廠商未提供<br /> ●平臺需求：Red Hat OpenShift<br /> ●安裝形式與管道：Helm Chart套件，經由OpenShift Dedicated或OpenShift Container Platform的Helm型錄，或是ArtifactHUB<br /> ●主要功能：建立與維護開發者專屬網站入口，提供集中檢視所有工具與開發資源的儀表板；針對雲端原生應用程式開發，提供企業級最佳實務的自助式服務與存取安全護欄；針對整個企業的開發人員，提供安全與治理<br /> ●技術來源：開放原始碼軟體專案Backstage</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/21 18:13作者李宗翰https://www.ithome.com.tw/review/161337
Predibase發布LoRA Land服務，集結25個微調模型之力效能可勝GPT-4
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型語言模型服務公司Predibase推出了一個名為<a href="https://predibase.com/blog/lora-land-fine-tuned-open-source-llms-that-outperform-gpt-4">LoRA Land</a>的服務，該服務的特點在於集合了25個經微調的大型語言模型，這些模型都是以開源的Mistral-7b模型作為基礎，Predibase針對不同任務對Mistral-7b進行最佳化，使其在不同領域的任務，能夠表現得比原始基礎模型甚至是GPT-4更好，而且更具成本效益。</p> <p>官方認為，隨著Transformer預訓練模型的參數數量不斷增加，大型語言模型參數高達數十億個，這使得這些模型難以適用於下游任務，尤其是資源和預算有限的環境中。而Predibase採取的作法，是運用參數高效微調（PEFT）和量化低階適應（Quantized Low Rank Adaptation，QLoRA）技術，來減少微調參數數量和記憶體使用量，權衡模型效能與效率。</p> <p>藉由將這些最佳實踐整合至平臺中，使每個微調模型的GPU成本降低至8美元以下，而且透過Predibase所開發的大型語言模型開源平臺LoRAX，讓用戶可以在單一GPU上執行和部署數百個經過最佳化的大型語言模型，提供無伺服器微調終端，這代表用戶不需要專用GPU資源來執行模型。</p> <p>官方提到，這項作法的好處是可以大幅降低成本，因為用戶在不需要用到GPU時，便不需要支付費用。而且Predibase提供可擴展的基礎設施，可依據用戶的需求擴展微調模型數量，用戶需要用到GPU時，也不需要等待GPU冷啟動，可以更快地測試和迭代模型。</p> <p>而根據官方所提供的評估指標（下圖），針對25個任務最佳化的模型，可以在大部分的任務中贏過GPT-4和基礎模型。根據任務不同，經微調的模型的效能可比基礎模型高70％，並且贏過GPT-4模型4%到15％，而且這25個可以完全以LoRAX在單一A100 GPU運作，唯有程式碼生成任務微調模型效能明顯低於GPT-4。官方表示，他們建立LoRA Land的目的是要說明，較小且針對特定任務微調的模型，能以更具經濟效益方式，超越商業替代方案。</p> <p class="rtecenter"><a href="https://images.ctfassets.net/ft0odixqevnv/YeKN68pQ2371BzaoPo2PN/db8a4963d1833e97e9ec10ca092e9daf/Predibase_Fine-Tuned_Mistral-7b_vs._GPT-4_27.4.png?w=2390&h=1556&q=100&fm=png&bg=transparent" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Predibase_Fine-Tuned_Mistral-7b_vs__GPT-4_27_4.png" style="width: 580px; height: 378px;" /></a></p> </div></div></div>
2024/2/21 16:32作者李建興https://www.ithome.com.tw/news/161392
靠容器化微服務架構翻新核心，凱基證券追求快穩準與創新關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>證券業是個對於交易速度非常敏感的行業，時時刻刻都在跟時間賽跑，特別是與銀行業相比，證券業面對的是毫秒甚至微秒等級的速度競爭。這是臺灣證券業一直以來面臨的IT挑戰。</p> <p>為了提高系統處理速度，甚至加速IT轉型，凱基證券不惜翻新核心系統，甚至採用了雲原生容器化微服務架構，打造新一代證券核心系統，就是為了能夠更快推出新服務，彈性應對市場變化，快速回應顧客的需求。這正是凱基證券核心轉型的關鍵一步。</p> <p>一手推動凱基證券系統核心轉型的關鍵人物，正是凱基證券亞太區資訊長黃榮林。</p> <p>在富邦IT服務快30年的黃榮林，曾一手主導富邦金控集團各子公司的系統整併，還負責集團旗下所有公司的IT基礎設施維運與監控，包括機房管理、網路、資安等，以確保能夠提供穩定、不中斷的金融服務。</p> <p>2018年從富邦退休後，凱基證券進一步延攬黃榮林擔任該公司亞太區資訊長一職，希望能夠借助他在金融業IT方面的豐富經驗，協助他們進行系統整併並加速轉型。他加入後，不僅負責臺灣的IT維運，還包辦了香港、泰國、印尼、新加坡等地的維運工作。</p> <p><span style="font-size:28px;"><strong>證券業面對的是毫秒甚至微秒等級的速度競爭壓力</strong></span></p> <p>相較於金融業中的銀行、產險和壽險業，證券業最大的不同之處在於，因為客戶有即時下單的需求，因此對於交易速度的要求極高。「若與銀行業相比，證券業的速度感受可能高達上千倍的差異。」黃榮林直言。</p> <p>在整個交易流程中，從客戶下單、風險檢核，一直到交易所的回應，每個環節都得在極短的時間內完成。</p> <p>黃榮林表示，以風控檢核為例，針對每位線上客戶的下單，同時有10～20萬名用戶，凱基證券目前在處理時間已經可以縮短到了微秒以下。這僅僅是整個交易的一環，從客戶下單、風控檢核到交易所的回應，整個過程僅需毫秒以下完成。</p> <p>不僅僅是追求交易速度，黃榮林還非常重視系統的穩定性、資料的準確與準時性、資安，以及提供顧客有感的創新服務。因此，他上任後，對於凱基證券的IT在未來科技發展中，確立了最基本的主軸，即要做到快、穩、準、安全與創新。</p> <p><span style="font-size:28px;"><strong>沿用多年的證券核心系統，面臨到必須汰換的難題</strong></span></p> <p>臺灣自2020年逐筆交易制度上路後，吸引許多國內及國外法人客戶參與臺灣證券市場，促使交易量大幅成長，短短一年間，成交數量快速增長，到2021年已經達到6.79億筆，成交總額更創下了新高，達到95.52兆元。</p> <p>身為國內第二大券商的凱基證券，面對市場交易量的爆增，持續提升交易系統的速度並優化服務，來應對來自證券市場的大量交易需求。</p> <p>但是凱基證券面對的IT考驗不僅於此。凱基證券目前約9成交易來自電子交易，涵蓋4種交易管道，包括行動裝置、PC（超級大三元、全球理財網）、Web以及API。這些年來，隨著交易型態的改變，交易管道和服務型態也更多元且多樣，可是，凱基證券的核心系統已經沿用多年，也面臨到必須要汰換的難題。</p> <p>尤其在臺灣，證券業已成為一個規模龐大的行業，與國外將證券僅視為金融機構一項業務不同，因此，證券公司需要有自己的核心系統，可是，黃榮林坦言，全世界沒有任何一家業者專門為證券業提供核心系統的套裝軟體，加上臺灣的交易模式跟國外模式不一樣，需要提供給客戶更多樣的選擇，這也成了證券業的IT挑戰。</p> <p>一方面，在IT競爭激烈的環境下，凱基證券面臨著推出越來越多新服務和功能的需求。可是，儘管公司的服務和功能不斷擴展，其核心系統仍然採用傳統的大型主機架構，長期下來，不僅導致系統無法支援現代化的應用，而且由於相關技術人力短缺，找不到合適的人才，也難以引進新IT技術，進一步阻礙了凱基證券的發展腳步。</p> <p>為了解決這個問題，凱基證券決定汰換核心系統，打造全新的證券核心系統，甚至黃榮林一開始就決定採用容器技術和微服務架構展開核心系統轉型，逐步取代現有的大型主機架構。</p> <p>「證券業核心若不轉變，可能面臨市場淘汰的威脅，唯有率先行動，比同業更快的速度推出服務和新功能，方能保有未來核心的競爭力。」黃榮林說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1170-CXO%E6%8A%BD%E8%A8%80-PNG.png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>用容器技術和微服務打造新一代證券核心系統</strong></span></p> <p>為何新核心系統需要採用容器化微服務架構？黃榮林以搭火車來比喻，就像搭車時，如果途中要停很多站點，速度就不容易快，但如果換成直達車，例如從臺北開往高雄，只在中途的臺中停靠，這樣的方式就會更迅速。因此，他強調：「新系統的速度要比原來的大型主機快50％，容器和微服務是實現這目標的最佳選擇。」</p> <p>他進一步說明，傳統系統設計都是單體式設計，當要改台股的交易系統，可能就會牽扯到基金、複委託平臺等方面。如果希望在App中新增股票交易的功能，也可能牽涉到很多相關連的元素也要跟著調整，每次修改都需要整體測試，而在過程中容易發生問題，例如修改A影響到B。</p> <p>他指出，在微服務架構下，系統被拆解成更小的功能模組，一旦有新的業務要推出，可以使用最小單元進行應用組合，進而提升開發速度，相較於傳統的架構更具敏捷與彈性。</p> <p>新系統因為採用雲原生架構設計，意謂著以後它不僅可以在公雲上進行遷移，同時也能與目前業界中廣泛應用的現代IT技術接軌。即使在交易所未來開放上雲時，凱基證券可以更快速地應對，進而保持競爭力。</p> <p>凱基證券自2023年開始展開核心系統轉型推動計畫，規畫逐步拆分大型主機系統的功能，轉向容器化微服務架構，並優先完成帳務中台的架構轉換。</p> <p>黃榮林期望透過系統核心的轉型，能夠大幅改善開發速度、縮短服務推出（time-to-market)的時間，更訂下減半50％的目標。</p> <p>「在臺灣，至今尚未有任何一家證券業採用快速開發的Cloud Ready概念來打造新核心系統。我們的目標是在未來五年內實現核心轉型。」他說道。</p> <p>目前凱基證券核心大型主機包含多套系統，之後不會全部系統轉為容器架構。他指出，有的系統分拆後會單獨存在，並會透過拆模組方式重組，其中交易模組會先轉換為新架構，接著是其他周邊的模組，針對所有系統都會使用的共用模組，例如監控、認證、訊息溝通等，則會建立一套，其他系統都可以用。</p> <p>雖然微服務架構具有許多優點，但也存在著一些先天的限制。他舉例，每支微服務呼叫可能需要接近微秒，因此，對於需要低延遲的模組，特別是那些會影響下單的模組，就不會將其納入微服務架構中，比如主機連線的模組。至於其他不影響下單流程的功能模組，則會儘量使用微服務架構，以提升開發速度與系統靈活度。</p> <p>他表示，這樣的架構設計能夠在保證速度要求的情況下，最大化微服務的運用，從而提高整體系統的效能。</p> <p>凱基證券不僅僅要翻新IT架構朝向現代化IT轉型，就連開發方法也跟著一起轉變。</p> <p>凱基證券的軟體開發方法，在2022年開始採用現代化架構常用的DevOps敏捷開發做法，來逐步取代傳統的瀑布式開發方式，以縮短程式開發與迭代周期，讓應用服務能更快上線。</p> <p>除了翻新IT架構和採用新的開發方法，凱基證券近幾年也採用了不少數位科技工具，來優化內外服務或提高作業效率。例如，凱基證券自2020年開始導入RPA機器人流程自動化服務，迄今已累積超過100支RPA，運用在IT、人事、財管、法務、交結等不同業務，協助處理具有重複性高、固定規則的人工作業，而且不僅僅在臺灣，還擴展至海外據點，實現至少70～80％人力成本的節省。</p> <p><span style="font-size:28px;"><strong>迄今已累積超過百支RPA，涵蓋IT、人事、財管、法務及交結等</strong></span></p> <p>以RPA在IT部門的應用來舉例，過去在非AD環境下，遇到新員工加入、員工離職或者職務調動時，資訊人員往往需要耗費大量時間來處理ID帳號的新增、移除以及重新指派授權等工作，後來他們將這項繁瑣工作交由自動化的RPA處理，使得人力成本節省了90%。</p> <p>除此之外，凱基證券也持續翻新系統，例如自2020年起，他們針對OA、人資、財會、採購等系統進行汰換，改用新系統來取代，以提升作業效率與優化流程。此外，凱基證券已將地端OA系統搬上公雲，提供內部郵件收發、資料備份和團隊遠端協作的使用。</p> <p><span style="font-size:28px;"><strong>靠建置ITOM平臺，能即時監測證券網路、服務和基礎設施運作</strong></span></p> <p>為了提高整體IT維運與管理效率，凱基證券後來還建置了一套IT維運管理平臺（ITOM），可以將證券網路、服務和基礎設施的維運資訊整合到一個大型螢幕牆中來查看，協助IT人員進行維運與監控。這套系統在2022年上線後，像在證券網路監控方面，使得人員透過ITOM平臺內建的儀表板，可以即時查看凱基證券在亞太區所有連線狀況，包含臺灣72個據點和海外4個國家。一旦偵測到連線異常時，系統會立即發出警示，通知相應負責人員進行處理。</p> <p>凱基證券這些年在AI應用也有不少投入，例如2021年推出智能客服，能夠回答客戶在證券方面的問題，提供即時且準確的解答。凱基證券現在進一步整合AI技術，使智能客服的回應能夠不斷進化，變得越來越聰明。</p> <p>凱基證券內部已經開始利用生成式AI技術協助進行中英內容的翻譯，並計畫未來擴展至問答服務，包括協助營業員回答有關交結進度、買賣權證手續費率、稅率等問題。不僅如此，凱基證券還計畫在客戶服務和產品開發運用AI技術，其中包括AI理財服務。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>凱基證券亞太區資訊長黃榮林</strong></p> <p>學歷：大同大學通訊工程碩士</p> <p>經歷：在富邦從事IT長達27年，曾擔任富邦銀行技術支援部長、富邦金控系統支援處處長、富邦銀行資訊營管部長等多項職務。2018年從富邦退休後，隨後加入凱基證券擔任亞太區資訊長一職，開始推動以快、穩、準、安全與創新，作為IT未來科技發展主軸</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 公司檔案 </span></span></strong></p> <p><strong>凱基證券</strong></p> <p>成立時間：1988年</p> <p>地址：臺北市明水路700號</p> <p>網址：<a href="http://www.kgi.com.tw">www.kgi.com.tw</a></p> <p>主要業務：提供證券、期貨交易輔助業務、期貨自營業務、財富管理業務、國際證券業務及其他經主管機關核准之相關業務</p> <p>員工數：3千多人</p> <p>董事長：許道義</p> <p>總經理：方維昌</p> <p>營收：約138億元（2022年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：亞太區資訊長</p> <p>資訊部門主管姓名：黃榮林</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2020年：導入RPA流程自動化、開始逐步汰換OA、人資、財會、採購等舊有的系統，改用新系統</p> <p>●2021年：智能客服推出上線</p> <p>●2022年：自行建置一套IT維運管理平臺ITOM，可用於證券網路、服務和基礎設施的維運與監控、在軟體開發流程中開始導入DevOps做法</p> <p>●2023年：開始利用容器和微服務展開核心系統的轉型，打造全新的證券系統，逐步取代現有的大型主機架構</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1170-cio-960.jpg" width="960" height="420" alt="" title="凱基證券亞太區資訊長黃榮林　（攝影／洪政偉）" /></div></div></div>
2024/2/21 16:51作者余至浩https://www.ithome.com.tw/people/161394
資安院接手TWCERT/CC業務，民間企業資安事件通報從8x5改為24x7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國家資通安全研究院（簡稱資安院）於今年元旦，正式接手TWCERT/CC的業務，資安院副院長兼發言人吳啟文表示，資安院原先已經承接原技服中心，針對《資安法》列管的政府機關和關鍵基礎設施的資安通報，以及應變作業，自接手TWCERT/CC業務後，所有不是《資安法》納管的非公務機關，都可以依循原有TWCERT/CC資安事件通報管道通報資安事件。</p> <p>但通報的時間，吳啟文說，從原本僅限上班時間才能通報的8x5，進一步提升，成為全天候都有人值班的24x7通報方式，因為資安院原先就有24小時值班的SOC（資安監控中心），可以同步接手TWCERT/CC民間企業下班時間後發生的資安事件通報作業。</p> <p>吳啟文指出，剛開始接手TWCERT/CC業務的最高原則，就是要做到「服務不中斷、品質再提升」，除了要維持原有系統的穩定，也會盤點和觀察如何進一步優化既有系統。</p> <p>不過，他也坦言，因為非公務機關的資安事件通報沒有法源依據，因此現階段的資安事件通報並不具強制力，所以，即便不受《資安法》納管的非公務機關（民間企業）可做到全天候都能通報資安事件，但要真正做到實質提升非公務機關協處資安事件能力，仍是未來要繼續努力的目標。</p> <h2><strong>TWCERT/CC關鍵在於協調，不妨礙依需求成立不同的CERT</strong></h2> <p>TWCERT/CC全名是臺灣電腦網路危機處理暨協調中心（Taiwan Computer Emergency Response Team / Coordination Center），最早於1998年9月在中山大學成立，2000年1月由臺灣網路資訊中心（TWNIC）接手維運；國家中山科學研究院則在2014年8月承接TWCERT/CC相關業務；臺灣網路資訊中心（TWNIC）於2019年1月二度接手相關的維運服務；資安院則在數位部希望能夠統籌重要資安業務的指導下，2024年1月接手TWCERT/CC的營運業務。</p> <p>TWCERT/CC服務範疇包括：情資交流、事件應變、國際合作和意識提升，關鍵字就是協調（Coordination），而CERT/CC是全球性的組織，每個國家都只會有一個協調中心（CERT/CC）的存在，負責和其他國際資安組織互動、協調與進行情資分享等業務，但各國仍會依據需求，設立其他不同性質的CERT。</p> <p>舉例而言，負責政府機關資安事件應變處理的TWNCERT（國家電腦事件處理中心）原先由技服中心承接，現在業務已經轉移到資安院之後，則不具備協調中心的CC功能，但因為該單位主要負責政府和關鍵基礎設施的資安事件緊急通報，以及應變處理，便成立TWNCERT處理相關事宜。</p> <p>另外，國家通訊傳播委員會（NCC）成立的NCC-CERT，負責強化通傳事業辦理資安事件通報應變的組織，現在正式名稱為「國家通訊暨網際安全中心（National Communications and Cyber Security Center，NCCSC）」，也建置網路運作管理平臺（C-NOC）、資安監控平臺（C-SOC）、資安通報應變平臺（C-CERT）及資訊分析與分享平臺（C-ISAC），再以自動化銜接方式將該等平臺納入NCCSC，以整體掌握及處理通傳事業設施障礙及資安事件。</p> <h2><strong>民間企業通報資安事件，TWCERT/CC扮演第二線角色</strong></h2> <p>資安院承接前技服中心處理公務機關的資安事件通報應變處理的業務，多年下來，已經累積相當豐富的經驗，不管是從事前偵測、事中鑑識以及事後分析，都已經具備完整的技術量能。</p> <p>吳啟文表示，資安院新承接的TWCERT/CC業務，則是將既有的服務範圍，從原本的公務機關與關鍵基礎設施，進一步擴展到民間企業的資安事件通報，而對於TWCERT/CC而言，有些原本的業務將與資安院業務銜接，並視業務量能增聘人員，民間資安事件通報協處的部分，也會新增一個事件協調組負責。</p> <p>此時，TWCERT/CC便可以扮演公務機關與民間企業的橋樑，從公務機關供應鏈攻擊的資安事件過程中，主動掌握民間企業受駭的事證；相對地，也可以從協助民間企業進行資安事件應處和分析的過程中，將所掌握的資安情資，回饋到公務機關的資安平臺上，作為資安事件的偵測和防護之用。他認為，透過這種公私協力的合作方式，也可以強化雙邊資安防護能力。</p> <p>但吳啟文強調，資安院是數位發展部所屬的行政法人，所有的預算都來自政府，也承接政府的專案，為了避免與民爭利，受駭企業除了向警調機關報案，也可以同時向TWCERT/CC通報資安事件，但過程中TWCERT/CC不會在第一線直接協助受駭企業，進行相關的資安鑑識或事件分析，這部分工作仍由一般民間資安公司協助處理。</p> <h2><strong>以技術專業協助企業判別資安蟑螂</strong></h2> <p>但他說，TWCERT/CC還是會以技術輔導的專業角度，扮演第二線支援的角色，協助受駭企業判斷，確認與其合作的資安公司是否已找到被入侵的根因，另一方面，也可以協助受駭企業評估，了解資安公司建議的應變措施是否切實有效等等。</p> <p>吳啟文強調，許多企業發生資安事件時，除非原先就有配合的資安業者，不然，在面對、處理資安事件的當下，經常是心慌意亂、不知所措，這時候就可能會遇到許多「資安蟑螂」。</p> <p>他表示，這些資安蟑螂可能是低價搶生意，卻無法提供真正的資安鑑識與資安分析等服務；也可能價格看似合理，但提供的資安服務並不到位，並無法協助企業找出入侵的根因，甚至連建議的因應措施都流於片面，不適用該受駭企業。</p> <p>因此，吳啟文認為，此時TWCERT/CC扮演的第二線支援角色，就可以從技術專業的角度，協助受駭企業檢視，了解資安廠商提供的資安鑑識報告內容是否完整，也可以幫忙評估，確認資安廠商建議的因應措施是否切實、可行等等。</p> <p>在此同時，他說，TWCERT/CC會以綜整分析的角度，掌握該起企業受駭資安事件的處理情形，並蒐集相關的重要跡證，例如惡意程式樣本或是IoC（Indicators of Compromise，入侵威脅指標）等，並能分析各個跡證之間的關聯性，判斷該起資安事件是否有針對特定對象或使用特定的攻擊手法的趨勢，若有，就可以將相關的分析結果進一步轉換成資安情資，公告周知，甚至可以進一步提供該攻擊手法的資安預警。</p> <h2><strong>TWCERT/CC知名度不足是最大挑戰</strong></h2> <p>吳啟文表示，接手TWCERT/CC時，已針對他們的網站、資安情資分享的TW-ISAC，以及提供惡意程式檢測服務的Virus Check等三套對外提供服務的系統，完成內部檢測、移交以及持續維運的動作；至於內部系統包括：電子報服務系統、情資分享平臺的工單系統，和查詢網域和IP的Whois查詢平臺，在完成移交後，也進行相關的檢測與盤點。</p> <p>他說，資安院檢視TWCERT/CC內外部的系統，也已經規畫TW-ISAC及Virus Check的升級改版進度，其中，針對惡意程式檢測的Virus Check平臺，由於自建沙箱檢測機制，可藉此掌握民間企業組織的受駭趨勢。</p> <p>資安院原本在協助政府和關鍵基礎設施資安事件通報應處時，也難免遇到一些個資外洩的事件，當接手TWCERT/CC業務並將通報範疇擴及民間企業時，吳啟文表示，TWCERT/CC雖然不提供第一線服務，但會依據國發會「防止非公務機關個資外洩精進措施」，訂定非公務機關個資相關系統防護參考基準，作為針對個資外洩的強化技術面的檢查參考依據。</p> <p>由於CERT/CC是全球性的組織，所以，吳啟文表示，TWCERT/CC的重要任務之一就是參與國際資安組織的活動，掌握全球資安最新發展趨勢，維持並擴展資安情資的交流管道，接軌國際資安資訊共享與分析交流平臺，加強國內資安事件通報應變作業。</p> <p>例如，資安業界熟知的CVE漏洞編號，是由美國非營利組織MITRE負責維運，但這個漏洞編號除了MITRE可以制定，MITRE也授權一些國家級CERT或企業，可以指派相關的CVE漏洞編號，TWCERT/CC則是MITRE授權的CAN（CVE numbering authority）成員。</p> <p>吳啟文指出，持續針對臺灣ICT產品的漏洞，提供可信賴的漏洞通報管道，並繼續維持CVE漏洞發布品質為最高品質Provider等級，也是TWCERT/CC未來繼續努力的目標。</p> <p>然而，他也提到，目前TWCERT/CC最大的挑戰在於知名度不足。無論資安事件通報應變協處或漏洞通報等等，對多數民間企業甚至一般民眾而言，TWCERT/CC相對缺乏公信力，以及互信程度。</p> <p>因此，他說，未來TWCERT/CC將善用資安院長期對公務機關的資安防護經驗，協同金管會、證交所等單位擴大舉辦資安推廣活動，也提供資安教育訓練，提升企業聯盟會員的資安防護意識，並且透過交流活動，吸引更多企業加入及合作。</p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/2/21 16:58作者黃彥棻https://www.ithome.com.tw/news/161395
中醫大附醫揭露MedLM應用新進展，瞄準AI護理輔助3場景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中醫大附醫今日（2/21）揭露使用Google MedLM醫療生成式AI系列模型最新進展，用來打造AI輔助護理師應用，並在現場展示3種初期應用情境，比如判斷傷口照片、產出護理文字描述與建議，以及判讀病人表情、評估疼痛指數並產出文字說明，還有一種是協助護理師分析病人飲食，如根據食物照片和文字指令，來分析食物組成與熱量等。除了這3種情境，中醫大附醫還正嘗試其他應用領域，如判斷患者手術傷口、體液等，來產出文字報告和建議，同時，他們也計畫優化醫院醫療資訊系統（HIS），來整合純文字記錄與照片，便於護理師交班、快速理解病人狀況。</p> <p><span style="font-size:22px;"><strong>探索Google MedLM應用潛力，這次要減輕護理師工作負荷</strong></span></p> <p>Google MedLM是指醫療領域專用的多模態基礎模型服務，不只有Med PaLM 2大模型驅動，還包含最新的多模態模型Gemini，可處理一系列醫學相關的文字、影像和聲音等資訊，比如根據醫學影像產出文字報告，或進行重點摘要等。MedLM提供2種方案，一是較大的MedLM模型，可處理複雜的任務，另一是中等模型，可讓使用者用自己的資料微調，以便在不同任務間擴展。</p> <p>去年中，中醫大附醫副院長李光申赴美國Google總部參訪時，就決定展開合作，要讓醫院使用MedLM、優化臨床工作流程。去年12月，中醫大附醫揭露Google MedLM第一波應用方向，要打造AI輔助醫師，來協助醫護診斷疾病、規畫治療方案、病患教育和醫學教育研究等。</p> <p>今日，中醫大附醫進一步揭露另一大MedLM應用方向，鎖定繁重的護理師工作，打造AI輔助護理師。MedLM是多模態模型，可處理影像、文字、聲音等資訊，中醫大附醫人工智慧中心副主任王韋竣解釋，MedLM應用於護理領域有幾項優勢，比如系統可分析病人或傷口照片，並生成初步評估，來提供護理師更全面的描述。同理，MedLM也能用來補足因工作負荷而未能詳盡記錄的案例，此外還能根據圖片自動產生護理記錄，來減少護理師手動輸入的時間。</p> <p>他以展示的應用情境為例，當護理師進行床邊照護時，可用手機拍攝患者狀況，如患者壓瘡傷口，上傳照片至「AI輔助護理師」並下文字指令（像是評估壓瘡分級、描述壓瘡外觀、給予照護建議和衛教建議等），MedLM會分析傷口、給出回覆，如三級壓瘡、外觀為皮膚完整性喪失等，以及護理師照護和患者衛教建議。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8323.JPG" /></p> <p>圖為傷口照片，右側上方則為文字指令。</p> </blockquote> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8324.JPG" /></p> <p>將上圖照片和文字指令輸入AI輔助護理師後，即可得到相對應的回答。</p> </blockquote> <p>另一種圖片分析情境，是由護理師拍攝疼痛患者臉部照片，上傳至AI輔助護理師後下文字指令（如根據頭痛患者表情評估疼痛指數並描述表情，接著給予照護建議和衛教資訊），系統便會產出相應的答案。（如下圖）</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8321.JPG" /></p> <p>護理師可拍攝痛疼患者表情，並上傳至AI輔助護理師，以文字指令詢問疼痛指數評估與建議。</p> </blockquote> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8322.JPG" /></p> <p>AI輔助護理師可分析圖片和文字指令，產出相對應的回答。</p> </blockquote> <p>還有一種情境是分析病人飲食，在拍攝便當照片、上傳後，可下「這份餐點有296克，分析食物組成並估算熱量」的文字指令，MedLM便會產出相應答案，如食物組成可給出「雞胸肉100公克、紫米飯100公克、水煮蛋50公克、花椰菜20公克等」，熱量估算部分則能根據公克數回覆，如「雞胸肉100公克x165大卡/100公克=165大卡、水煮蛋50公克x78大卡/100公克=39大卡」。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8327.JPG" /></p> <p>AI輔助護理師還可分析飲食，包括食物組成與熱量估算（未拍攝到此部分）。</p> </blockquote> <p><span style="font-size:22px;"><strong>持續探索其他護理領域應用場景，還要優化HIS</strong></span></p> <p>目前，中醫大附醫採用MedLM服務中的大模型版本，先來探索不同應用場景與成效，也因此還未使用自家資料來微調模型，這些應用情境也還在初期嘗試階段。王韋竣表示，目前MedLM護理應用的準確率還在可接受範圍，接下來將繼續優化並嘗試其他護理場景的應用可能，如判斷病人痰液等體液照片、手術傷口照片，或是兒童糞便照片等，並產出相對應的文字描述供護理人員參考。</p> <p>他也提到，中醫大附醫正在思考如何整合HIS，來讓病歷系統包含圖文資料。因為，過去病歷記錄系統是將文字與圖片分開，等於一套系統是文字記錄、另一套系統記錄影像，於是護理師查看時，多以文字記錄為主。而MedLM應用包含圖文，「若能整合圖片和文字資料、同時顯示，對護理師交班的資訊掌握就更清楚，也更客觀，」王韋竣說。</p> <p></p> </div></div></div>
2024/2/21 15:35作者王若樸https://www.ithome.com.tw/news/161390
使用Signal傳訊程式終於可以不用秀出電話號碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>端對端加密傳訊程式<a href="https://signal.org/blog/phone-number-privacy-usernames/" target="_blank">Signal周二（2/20）宣布</a>，將以使用者名稱（Username）取代電話號碼，作為用戶展開與對方聯繫的途徑，且除了原本就在通訊錄上存有用戶電話號碼的使用者之外，其預設值已不再秀出電話號碼。</p> <p>創立於2014年的Signal是個強調安全及隱私的傳訊程式，支援文字、語音及視訊通訊，所有的通訊都採用端對端加密，在當時是罕見的，而受到許多注重隱私的使用者青睞。</p> <p>不過，Signal最為人所詬病的一件事就是它對電話號碼的堅持。它利用電話號碼來當作使用者的身分識別，註冊時也必須使用電話號碼進行身分驗證，因此，利用Signal交流的用戶都會得知彼此的電話號碼。</p> <p>本周Signal終於變更了此一政策，儘管註冊時仍需透過電話號碼來收取驗證碼，但允許用戶建立一個獨特的使用者名稱來發起對話，用戶只要生成一個QR碼或連結，讓對方連至使用者名稱，雙方就能展開交流。</p> <p>Signal的使用者名稱與一般社交網站的概念並不相同，其功能僅限於用來建立連結，Signal用戶可以隨時變更使用者名稱，且Signal並不提供使用者名稱的搜尋功能。此外，該使用者名稱亦與Signal個人檔案名稱不同，用戶的個人檔案並不會出現使用者名稱。</p> <p>除了以使用者名稱來取代電話號碼以發起對話之外，Signal也加強了對電話號碼的保護。包括其預設值關閉了電話號碼的顯示功能，除非對方的通訊錄上原本就存有用戶電話，另也讓用戶得以控制是否允許他人透過電話號碼，在Signal上找到他。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-Signal%20usernames-phone%20number%20private-960.jpg" style="width: 600px;" /></p> <p>現階段上述功能皆仍處於測試階段，預計未來幾周便會部署至所有用戶。</p> </div></div></div>
2024/2/21 15:36作者陳曉莉https://www.ithome.com.tw/news/161391
日本警方釋出Lockbit 3.0勒索軟體解密工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Lockbit 3.0勒索軟體受害者能自救了！近日英國國家犯罪局（NCA）發起一項打擊該組織的網路犯罪行動，並在歐洲刑警組織（Europol）負責居中協調下，與法國、德國、荷蘭、瑞典、澳洲、加拿大、日本、美國、瑞士執法單位，<a href="https://www.ithome.com.tw/news/161379">聯手摧毀勒索軟體LockBit的基礎設施，扣押其外洩網站，凍結與該組織犯罪相關的加密或幣帳戶</a>，引發國際與資安界的關注。</p> <p>這次行動之所以備受關注，是因為LockBit已是全球在2022年與2023年最活躍的勒索軟體集團。尤其2023年多國網路安全機構的一份共同報告中，即指出全球受害組織超過1,600多個，不法所得超過9千萬美元。臺灣也有不少企業遭其所害，例如，去年的台積電供應商擎昊科技，最近的半導體設備大廠京鼎精密等多家上市櫃與非上市櫃公司。</p> <p>特別的是，全球警方宣布攻陷LockBit時，提到未來幾天或幾周會有解密工具釋出，今天（21日）我們發現，在打擊勒索軟體網路犯罪的No More Ransom計畫網站上，已有日本警方提供Lockbit 3.0 Ransom解密工具，可以幫助受害者恢復被加密的資料。</p> <p>關於Lockbit 3.0 Ransom解密工具的提供，據日本媒體日經報導，日本警方在20日正式宣布推出這款解密工具，並表示在他們逆向工程破解之下，去年12月時就已經提供給歐洲刑警組織，當時已證明解密工具有效。只是，通常解密工具的開發不會公開，因為這可能讓攻擊者採取新的對策，如今則在國際執法行動聯合下，已成功接管勒索軟體LockBit的基礎設施，因此日本警方決定將解密工具公開。</p> <p>而我們<a href="https://www.nomoreransom.org/en/decryption-tools.html#Lockbit30">在No More Ransom上</a>，也看到Lockbit 3.0 Ransom解密工具的使用指南，目前是0.5版，說明了用戶在下載檔案（Decryption_Checker_for_LockBit.zip）後，當中包含了兩個工具，可用於評估受害者能否解密與復原資料。而他們也坦承，已經盡了最大之力，但仍無法保證能夠幫助所有受害者。</p> <p>簡單來說，第一個工具是解密ID檢查器（Decryption ID checker），這個工具會將受害用戶的特定解密ID，跟執法機構已知的解密金鑰列表做比對。一旦找到相符的金鑰，就表示受害用戶的情況可能有解密的解決方案，接著將可依照收到的指引來操作，</p> <p>第二個工具是LockBit 3.0的解密檢查器（Check Decrypt for LockBit 3.0），這個工具會收集有關解密的診斷資料，幫助用戶判斷是否有可能解密一部分被加密的檔案。</p> <p>目前我們看到這兩個工具都是命令列工具，指南中也提到這兩個工具無須安裝，可在離線環境中使用。不過，依照過往經驗而言，若是要讓普遍受害者下載後都能自行使用，No More Ransom平臺通常會要求提供圖形使用者介面（GUI）版本的解密工具，或許這也是解密工具使用指南還是0.5版的原因。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖3）Lockbit 3_0 Ransom解密工具.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%963%EF%BC%89Lockbit%203_0%20Ransom%E8%A7%A3%E5%AF%86%E5%B7%A5%E5%85%B7.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）Lockbit 3_0 Ransom解密工具.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89Lockbit%203_0%20Ransom%E8%A7%A3%E5%AF%86%E5%B7%A5%E5%85%B7.jpg" style="width: 600px;" /></a></p> </div></div></div>
2024/2/21 12:09作者羅正漢https://www.ithome.com.tw/news/161386
Adobe為PDF軟體加入AI助理，可製作摘要、也支援Word、PowerPoint
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Adobe本周<a href="https://news.adobe.com/news/news-details/2024/Adobe-Brings-Conversational-AI-to-Trillions-of-PDFs-with-the-New-AI-Assistant-in-Reader-and-Acrobat/default.aspx" target="_blank">宣布</a>公測為PDF讀取與編輯軟體Reader、Acrobat加入AI助理，可讓用戶更容易讀取、理解和分享PDF文件或簡報。</p> <p>Adobe最新計畫是為Acrobat、Reader加入生成式AI對話引擎AI助理（AI Assistant），目前已釋出beta版。整合進二項應用程式工作流程（workflow）的AI助理，可為使用者產生長篇文件的重點摘要、提供洞見、回答用戶提問。AI助理並能自動整理出重點，並草擬電子郵件、設計報告或簡報的排版、語調、濃縮文件長度，便於分享給他人。用戶按下「複製」鍵即可貼到電子郵件或簡報中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-Adobe%20Reader%20Acrobat-AI%20Assistant-2.png" style="width: 600px;" /></p> <p>在Acrobat/Reader中的AI助理是使用早前推出的手機版PDF生成式AI助理Acrobat Liquid Mode相同的AI及機器學習模型。這些模型對PDF文件和內容有深度理解能力，可確保AI助理輸出品質和穩定性。</p> <p>除了摘錄重點及草擬電子郵件、報告及簡報格式外，AI助理其他功能包括智慧引述，方便用戶點入驗證AI助理提供的答案來源，而重點也提供連結，讓用戶可在文件中找到原始段落。Adobe也強調所有用戶對話都不會儲存，或未經用戶同意而用於訓練AI助理的模型。此外，在其他文件類型，例如Word、PowerPoint、會議聽寫紀錄中也能使用AI助理。</p> <p>整合AI助理的Acrobat/Reader標準及Pro Individual版，及Teams版訂閱方案已以英語Beta版上線，供桌機版及Web版用戶及Acrobat Pro測試人員下載試用，也提供企業用戶不公開測試版。Adobe表示未來幾天到幾星期還會為英文桌機版Reader App加入新功能，其他語言版本則會於之後推出。</p> <p>今天的宣布是Adobe PDF應用生成式AI方案的一環。除了免費的AI助理功能，用戶也可訂閱付費方案，可在AI助理日後正式版上線後，使用完整AI功能。Adobe計畫未來AI助理可支援多種文件型態、來源。</p> <p>在此之前，去年Adobe也宣布其他AI產品，包括圖片生成式AI工具Firefly及影片生成工具Adobe Express。</p> </div></div></div>
2024/2/21 12:36作者林妍溱https://www.ithome.com.tw/news/161387
Groq以LPU推論引擎提供全球最快LLM服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2016年便創立的Groq在這幾天成為全球AI社群最關注的話題，X上開始出現以Groq LPU推論引擎來執行大型語言模型（LLM）的展示，顯示它的執行速度飛快，更有不少人將Groq與ChatGPT作比較，在兩個機器人聊天室中<a href="https://twitter.com/JosttenSackitey/status/1759708283609530857" target="_blank">輸入同樣的提示</a>，ChatGPT花了60秒生成了答案，Groq卻只花了12秒。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-GroqInc_ChatGPT_image%20by%20Jostten%20on%20X.png" style="width: 600px;" /></p> <p>不過，Groq主要開發的並非聊天機器人或模型，而是語言處理單元（Language Processing Unit，LPU）推論引擎（LPU Inference Engine）。</p> <p>Groq於<a href="https://wow.groq.com/why-groq/" target="_blank">官網上</a>闡明，該公司的任務是設立生成式AI（GenAI）推論速度的標準，以實現生活上的即時AI應用，所開發的LPU推論引擎為一新型態的端對端處理單元系統，可替諸如AI語言應用等具順序元件的運算密集應用提供全球最快的推論服務。</p> <p>現代的AI系統多半是在GPU上執行，而LPU的設計是為了克服LLM在運算密度與記憶體頻寬上的兩大瓶頸，就LLM而言，其運算能力大過CPU與GPU。</p> <p>Intuitive Machines共同創辦人暨架構長<a href="https://twitter.com/IntuitMachine/status/1759941976927924682" target="_blank">Carlos Perez指出</a>，在新一代的AI晶片新創公司中，Groq以一種完全不同的方法脫穎而出，聚焦於利用編譯器技術來最佳化極簡而高效能的架構，此一以編譯器為優先的設計避開了複雜性，轉而追求效率。</p> <p>Perez說明，Groq架構的核心是個單純支援平行吞吐量的裸機，如同一個專為機器學習設計的ASIC，但有別於只具備固定功能的ASIC，Groq可利用客製化的編譯器來支援不同的模型，流線型架構再加上智慧型編譯器令它與眾不同。</p> <p>相較於像是GPU等利用許多元件堆疊而成的AI晶片，可能含有無關的硬體或顯得臃腫，Groq則回歸基本原則，意識到機器學習的工作負載是關於簡單的資料類型及操作，藉由消除通用硬體或局部性等概念，最大化其吞吐量與效能。</p> <p>LPU Inference Engine在推論上究竟有多快？可以從AI應用平臺<a href="https://github.com/ray-project/llmperf-leaderboard" target="_blank">Anyscale對8款不同LLM推論供應商的測試中</a>（下圖）看到，在基於700億參數的模型上，Anyscale於各推論平臺上輸入了150個請求，同時計算它們每秒所回應的Token數量，而Groq的LPU推論引擎吞吐量即以185個Token，遠遠領先第二名Anyscale的66個Token。</p> <p class="rtecenter"><a href="http://github.com/ray-project/llmperf-leaderboard" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-LLMPerf%20Leaderboard-ray-project-GitHub-70B%20Models-Output%20Tokens%20Throughput%20(tokens%EF%BC%8Fs).jpg" style="width: 600px;" /></a></p> <p>現階段Groq支援標準的機器學習框架，包括PyTorch、TensorFlow及ONNX等，但僅用於推論，LPU推論引擎並不支援機器學習訓練。Groq歡迎硬體供應商、軟體供應商、雲端服務供應商或AI加值服務開發商尋求合作，也提供Groq API與Groq Compiler來執行LLM應用，使用者則可直接造訪<a href="https://groq.com/" target="_blank">Groq官網</a>來試用其推論能力，目前官網上使用的模型為Llama 2與Mixtral。</p> </div></div></div>
2024/2/21 13:20作者陳曉莉https://www.ithome.com.tw/news/161388
DevOps快報第2期：React今年推出19新版，jQuery揭露8年大改版，Go終於解決新手最困擾的迴圈問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2024/1/19～2/20 精選開發相關新聞：開發技術與工具篇</strong></p> <p><strong>第二期DevOps主要聚焦在開發技術和開發工具的更新，在2024年初有不少開發工具、開發框架和開發語言的更新，老牌jQuery終於出現8年後的大改版，推出了4.0的beta版，2年沒有大改版的React也預告今年會推出下一個重大新版19。Go語言則終於修正了讓許多新手困擾的For迴圈老問題。微軟.NET在第9版也將持續聚焦雲原生、AI支援和效能三大重點來優化，VS Code開始支援語音指令，Visual Studio則要更緊密整合GitHub Copilot，一邊寫程式碼，隔行也能直接輸入Copilot提問。網頁開發者愛用的SQLite也全面改寫了JSON函數，開始支援JSONB格式</strong></p> <p><strong><span style="color:#FF8C00;">#JavaScript #前端開發框架 #React</span><br /> React計畫今年底前釋出19新版，Instagram用的React編譯器會先開源釋出</strong></p> <p>經過2年，React社群準備在今年釋出19新版，最近也在React官網上公布了目前正在開發中的新功能，包括了先前處於研究階段的新版React Compiler，開發團隊準備要將這個功能納入到React的正式功能。目前這個編譯器已經用於Instagram的正式環境上，React計畫運用到Meta其他更多服務和產品上，目前正準備釋出第一個React Compiler的開源版本。這個React編譯器可以套用需要的JavaScript規則和React規則更安全地編譯程式碼，這些規則可以用來限制開發者所能做的事，來兼顧程式碼的安全性和效能。有多項新功能進入候選發布通路中，包括了文件後設資料、資產載入、Actions功能。</p> <p>另外，React也宣布今年將正式推出下一個重要的版本React 19，例如Web Components。React核心開發成員Andrew Clark也透露多項新版的變動和功能，例如useMemo、useCallback和memo會整合到React編譯器中，useContext會改為use(Contect）、<Context.Provider>會改為<Context>等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/React%E6%96%B0%E7%89%88%E5%AE%A3%E5%B8%83.png" /></p> <p><strong><span style="color:#FF8C00;">#網頁開發 #jQuery #IE瀏覽器棄用</span><br /> 相隔8年，jQuery終於再次大改版推出4.0，更預告5.0將取消IE 11支援</strong></p> <p>距離上次大改版已經過了8年，知名JavaScript函式庫終於在2024年迎來jQuery 4.0.0 Beta版本，上一次大改版是在2016年發布的3.0正式版。jQuery 4.0.0有許多重大更改，包括取消IE 10以前的支援，並且刪除已棄用的API，以及放棄支援一些過於複雜行為。同時，還新增支援可信類別（Trusted Type），強化安全性防禦跨站腳本（XSS）攻擊。</p> <p>jQuery 4.0刪除了許多內部函式，或是已經在瀏覽器中具有原生等效功能的函式，諸如jQuery.trim()、jQuery.isArray()與jQuery.isFunction()等13個。還移除了內部使用的陣列方法如push、sort和splice方法，直接改使用陣列函式，可以讓jQuery更符合現代JavaScript標準和最佳實踐，也讓函式庫更加精簡。</p> <p>4.0版處理焦點事件的順序也有變化，不再覆蓋瀏覽器原生行為，除了IE之外，所有瀏覽器都會遵循當前W3C規範，順序為blur、focusout、focus和focusin。jQuery.ajax新增對二進位資料FormData的支援。開發者可以在使用jQuery.ajax進行網路請求時，直接傳送表單資料和其他二進位檔案，不需要進行額外的處理和轉換。</p> <p>jQuery 4.0加入了對可信類別的支援，而這是一個重要的安全性強化功能，另外也改進對內容安全政策（CSP）的支援。開發者也可以使用官方發布的jQuery Migrate外掛工具，辨識程式碼相容性問題。jQuery 4.0提供了精簡版本，藉由移除非同步程式開發機制Deferreds和回呼列表管理功能Callbacks，使體積現在小於20 KB。</p> <p>不只發布了4.0 beta版，官方還宣布了5.0的開發計畫，從4.0開始分階段，取消對IE的支援，4.0不再支援IE 10以及更早版本，5.0則將進一步取消對IE 11的支援。</p> <p> <strong><span style="color:#FF8C00;">#雲原生開發 #AI支援 #.NET框架</span><br /> .NET 9預覽版來了，雲原生、AI支援和效能是三大改進重點</strong></p> <p>3個月前，微軟才發布.NET 8，隨即在2月中公布了.NET 9預覽版。.NET 9仍聚聚焦三大發展重點，效能提升、雲原生與AI開發的支援。微軟也同步改進Visual Studio、VS Code和C#開發工具包，要讓.NET開發更為簡單，並且與Azure服務更好地整合，使開發者可以簡單部署.NET應用程式到雲端。<br /> 微軟持續從.NET技術堆疊各個層面，來強化.NET 9對雲原生應用基礎架構的改進，例如讓開發者更容易部署應用程式到常見的生產基礎設施和服務，例如Kubernetes環境或是使用託管資料庫和快取服務等。另外，.NET 9也持續改進微軟最新的程式碼編譯技術Native AOT來提高效能。另外，新版也將採用了支援Native AOT編譯的webapiaot模板最佳化Web API應用程式。<br /> 對人工智慧開發的支援上，新版將著重於讓開發者更容易使用新的人工智慧技術與OpenAI服務，會提供更多函式庫和文件，協助開發者使用OpenAI服務及其他開源模型，包括本地端與雲端模型的支援。</p> <p><strong>#新手困擾 #Go語言<br /> Go終於修正老問題， 1.22解決for迴圈變數共享問題</strong></p> <p>在Go語言1.22新版中，解決了for迴圈中變數共享的問題，在之前的Go版本中，在for迴圈中啟動的goroutine如果直接使用迭代變數，可能會因為變數共享而出現非預期的結果。這是存在多年的老問題，也是Go新手編寫程式的時候常會遇到的陷阱，終於在Go 1.22版被解決了，迭代變數在每次迭代時都能被正確的捕獲，並在goroutine內部使用，減少開發者寫出臭蟲程式碼的可能性。新版增加了整數的範圍迭代支援，這是一個新的語言功能，讓固定次數的迭代操作更加直覺且方便。這兩個變更進一步改善了Go的安全性與易用性。</p> <p><strong>#RUST語言 #C++互通性<br /> Google捐款100萬美元給Rust基金會，要改善C++與Rust互通性</strong></p> <p>因為大量Android元件和Google產品使用了Rust語言，最近Google捐了100萬美元給Rust基金會，指名要專門用來改善Rust程式碼與C++程式碼之間的互通性，尤其要用來改善老舊C++程式碼與Rust程式碼的互通。另外，Google也承諾要進一步改善Rust的稽核工具，會將Google許多開源專案用的程式碼稽核工具，發展到Rust語言的程式碼稽核上。</p> <p><strong>#網頁開發 #SQLite資料庫 #JSONB<br /> 網頁開發者愛用的SQLite關鍵更新，3.45新版全面改寫JSON函數支援JSONB格式</strong></p> <p>知名資料庫SQLite發布最新的3.45版本，JSON SQL函式有重大更新，重寫了所有得JSON函式，並且改用新的內部解析樹格式JSONB，JSONB格式可以序列化並儲存在資料庫中，避免在使用JSON值時，還需要進行不必要的重複解析，因此透過支援JSONB，SQLite在處理JSON資料能夠更高效靈活。</p> <p>SONB能夠將JSON的解析樹，以BLOB二進位的形式儲存在磁碟上，且可以減少應用程式讀取和更新JSON值的解析和渲染開銷，比起JSON，JSONB使用更小的磁碟空間，在處理速度上更快。支援JSONB，也讓SQLite能更好地與其他二進位JSON格式系統整合。</p> <p><strong><span style="color:#FF8C00;">#語音控制 #軟體開發 #VS Code</span><br /> 用講的也能寫程式，VS Code開始支援Hey Code語音指令</strong></p> <p>在VS Code的1.86版本有一個重大的功能更新，開發者可以使用Hey Code語音指令，開始與Copilot Chat進行語音對話。該功能隸屬於VS Code的無障礙功能，開始後可以讓VS Code監聽Hey Code語音指令以啟動語音對話。語音辨識只在電腦本地端運算，不會發送至任何伺服器，以確保開發者的隱私安全。可支援多種使用情境，chatInView選項允許開發者從聊天檢視頁面啟動語音聊天，方便地直接進行對話。而quickChat選項讓開發者可以透過快速聊天控制項，迅速與Copilot開始語音聊天，inlineChat則可以在編譯器的程式碼行內開始語音聊天。開發者要使用這項新功能，需要安裝GitHub Copilot Chat與VS Code Speech擴充套件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VSCode-%E8%AA%9E%E9%9F%B3%E6%8E%A7%E5%88%B6.png" /></p> <p><strong><span style="color:#FF8C00;">#AI輔助軟體開發 #Github Copilot</span><br /> Visual Studio 17.10更緊密整合GitHub Copilot，能直接在一行行程式碼中與Copilot互動</strong></p> <p>微軟釋出Visual Studio 2022的17.10版第一個預覽版，更緊密整合最新GitHub Copilot，像是開發者可以使用斜線指令加速工作流程，替常見開發任務具體目標設定斜線指令，像是/explain可代表Explain the code等，讓開發者不需要編寫冗長的問題，就能獲得更精準的答案。此外，開發者可在Visual Studio進行行內聊天，直接於檔案中與Copilot互動並獲得建議，並即時查看差異。</p> <p>微軟參考社群意見嘗試重新建構自訂體驗，在Visual Studio 17.10引入統一設定功能。從這個新版本開始，提供開發者更多自由和介面，來調整和配置開發環境設定。例如，讓用戶可以在全域層級進行設定，或是在更具體的層級進行自訂，像是特定解決方案和或是資料夾層級，使用戶能夠更細緻地控制不同專案的設定，並可依據每個專案的需求進行調整。另外在17.9版的第三個預覽版則持續強化程式碼搜尋功能，不只擴大了搜尋範圍，也強化文字支援，預設程式碼搜尋功能時啟用精確文字比對，搜尋範圍涵蓋之前所不會有的註解和區域變數，使得程式碼搜尋更加全面且高效。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VS1710-Inline%20Chat.png" /></p> <p><strong><span style="color:#FF8C00;">#Python套件 #Jupyter套件</span><br /> VS Code兩大AI開發套件小更新，Jupyter擴充套件內建變數檢視器</strong></p> <p>微軟釋出了VS Code Python與Jupyter擴充套件2月更新，除了預設安裝Python除錯器擴充套件之外，Jupyter擴充套件也內建變數檢視器，在執行和除錯面板中，新增了一個實驗性變數檢視器，該內建變數檢視器可用於查看筆記本核心中的變數，協助開發者在程式碼執行時，監控程式中的變數，對於程式碼除錯特別好用，因為開發者可以即時監控變數的值。 Python語言伺服器擴充功能，是以微軟的Pyright靜態型別檢查器為基礎建置，提供了一系列強化Python程式開發體驗的功能，這次更新也引入新的診斷規則，可以進一步最佳化程式碼品質。</p> <p><strong><span style="color:#FF8C00;">#次世代網頁IDE #行動平臺模擬器</span><br /> Web開發工具Project IDX新增Android與iOS模擬器，更方便打造跨平臺應用</strong></p> <p>Google近日更新了次世代Web開發工具Project IDX，將Android與iOS模擬器帶入瀏覽器中，可以讓開發者從工作區進行開發、測試和除錯，多步驟和多平臺流程都被整合到同一個地方，而運用iOS模擬，開發者可以在工作時確認應用程式的布局和行為。目前這些功能還在實驗性階段。</p> <p>另外也增加了更多的模板，針對Astro、Go、Python/Flask、Qwik、Lit、Preact、Solid.js和Node.js添加新模板，開發者可以使用這些模板，直接開始進行專案開發，減少配置的時間，將更多時間花在創建程式邏輯上。IDX新提供的功能和資源，也讓應用程式建置、測試和部署更方便，可以自動偵測應用程式和服務所需的網路連接埠，並調整防火牆設定准許流量進出，開發者不需要進行額外配置，且用戶不需要在本地端進行安裝，就可以直接在工作區中，立即執行命令列工具、腳本和公用程式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IDX.png" /></p> <p><strong><span style="color:#FF8C00;">#測試框架 #容器化測試</span><br /> 微軟釋出全新輕量級MSTest測試框架執行工具，能簡化測試環境還能進行容器化測試</strong></p> <p>微軟推出用於MSTest測試的輕量級執行工具MSTest Runner，這是一個，可將MSTest測試建置為獨立可移植執行檔的工具，僅一個控制臺應用程式就可託管和執行測試，不再需要諸如vstest.console、dotnet test或Visual Studio等工具，能在效能與儲存資源有限的裝置上，也可以使用生成的控制臺應用程式實際進行測試。除了簡化測試環境之外，MSTest Runner也可以進行容器化測試，在沒有dotnet SDK的Docker容器中，執行針對dotnet應用程式的測試。</p> <p><strong><span style="color:#FF8C00;">#Sudo #Windows #新管理者指令</span><br /> Windows也有Sudo指令！能在沒有權限的控制臺執行特定管理指令</strong></p> <p>微軟於Windows 11 Insider Preview Build 26052中，加入適用於Windows的Sudo，允許用戶直接從未提升權限的控制臺執行提升權限指令，不需要事先開啟提升權限控制臺，或是執行繁瑣的操作。如此不只提高了效率，也提升操作安全性，因為使用者可以更精確地控制要使用提升權限執行的指令。目前微軟已經在GitHub開源Sudo for Windows專案。這項新功能提供3種用法，第一是在新視窗中執行的預設選項，在一個新的提升權限視窗中執行指令；第二種是關閉輸入選項，系統會在當前視窗以提升權限執行指令，但是不接受任何輸入，適用於不需要進一步輸入的指令；第三種則是行內（Inline）選項，讓提升權限的指令在當前視窗中運作，並且接受輸入和顯示輸出，類似其他作業系統的Sudo行為。</p> <p><strong><span style="color:#FF8C00;">#網頁開發環境 #JavaScript執行環境</span><br /> 啟動超快的JavaScript執行環境Bun推出Shell工具，可支援三大主流OS</strong></p> <p>效能超快的JavaScript推出了新功能Bun Shell，解決在JavaScript中執行Shell困難的問題。Bun Shell使用上簡單直覺，具有豐富的功能，可以在Windows、macOS和Linux跨平臺上使用。去年9月正式推出的Bun是一個講求快速JavaScript執行環境與多合一工具包，啟動速度是Node.js的4倍，可用於執行、建置、測試和除錯JavaScript與TypeScript程式。Bun Shell是一種嵌入式語言和直譯器，可以讓用戶直接在JavaScript或TypeScript程式中執行Shell指令，不需要額外的轉換和打包。而且在Bun Shell中，所有模板變數都會自動跳脫（Escape)，以增加Shell指令執行的安全性。另外，諸如重新導向、管線命令（Pipe）、環境變數等常見Shell功能，Bun Shell也一應俱全。</p> <p><strong><span style="color:#FF8C00;">#日期和時間API #JavaScript執行環境</span><br /> JavaScript執行環境Deno推出1.40，新增好用的日期和時間操作API</strong></p> <p>以Rust語言寫成的JavaScript執行環境Deno推出1.40版本，加入好用的日期和時間操作Temporal API，同時，開發者也將可以使用最新的裝飾器（Decorator）語法，使程式碼的目的和行為更加明確。Temporal API的出現主要是要解決JavaScript中，與Date物件有關的複雜性，傳統Date物件在處理日期和時間方面存在許多問題，像是時區處理不易，日期計算不一致等。</p> <p> <strong>更多新聞</strong></p> <ul> <li>高效協作程式碼編輯器Zed開源並推出協作服務，開發者分享連結就能開始共同編寫程式碼</li> </ul> <p><strong>@資料來源：iThome整理，2024年2月<br /> 責任編輯：王宏仁</strong></p> </div></div></div>
2024/2/21 12:04作者王宏仁https://www.ithome.com.tw/news/161385
Walmart以23億美元收購智慧電視業者Vizio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零售業巨人<a href="https://corporate.walmart.com/news/2024/02/20/walmart-agrees-to-acquire-vizio-holding-corp-to-facilitate-accelerated-growth-of-walmart-connect-through-vizio-s-smartcast-operating-system" target="_blank">Walmart昨（20）日宣布</a>以23億美元收購智慧電視業者Vizio，以擴增串流平臺用戶及廣告營收。</p> <p>Walmart和Vizio簽定協議，以每股11.5美元，總價近23億美元現金收購Vizio及其智慧電視作業系統（SmartCast Operating System）。</p> <p>創立於2002年的Vizio以銷售連網電視及整合串流內容平臺SmartCast知名。Vizio SmartCast方案自2008年創立以來，用戶數成長將近4倍，現有超過1,800萬帳號。Vizio電視內建串流平臺Platform+業務提供包含廣告的免費內容，目前廣告直銷客戶超過500家，涵括財星500大企業。Platform+目前是Vizio最大廣告業務，也是公司最主要營收來源。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-SmartCast-vizio.png" style="width: 600px;" /></p> <p>收購Vizio及SmartCastOS可讓Walmart提供電視與家庭娛樂及媒體內容，也能開闢廣告營收模式。雙方表示，Vizio可強化Walmart封閉式多頻道媒體業務Walmart Connect美國地區業務，其廣告解決方案有助於擴大Walmart廣告業務涵蓋率及能力，並配合Walmart電視品牌及連網電視平臺擴大合併效益。</p> <p>Walmart本身已有自家電視品牌Onn。藉由收購Vizio，可增強其在平價智慧串流內容市場的市占率及實力，對抗Amazon和Roku。</p> <p>這樁交易下，Vizio將整併至Walmart美國分公司。本收購案已獲得Vizio董事會無異議通過，並等待主管機關核准。Vizio有權在45天內終止交易。一旦完成交易，Vizio將不再在股市掛牌。</p> </div></div></div>
2024/2/21 10:46作者林妍溱https://www.ithome.com.tw/news/161380
傳Reddit出售平臺內容授權給AI業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2024-02-16/reddit-is-said-to-sign-ai-content-licensing-deal-ahead-of-ipo?sref=10lNAhZ9" target="_blank">《彭博》</a>引述消息人士報導，知名論壇Reddit將平臺內容的使用授權出售給一家AI公司以訓練模型。</p> <p>今年稍早<a href="https://www.ithome.com.tw/news/161051" target="_blank">媒體報導</a>Reddit正在籌備IPO，最快今年三月將掛牌上市。《彭博》報導，為了向投資人說明其獲利能力，年初Reddit透露了以每年6,000萬美元的代價出售內容授權給一家名稱不詳的AI業者供其訓練模型，以挹注公司營收。目前Reddit今年營收估計為8億美元。</p> <p>作為最大線上論壇，Reddit的內容近年成為AI業者的重要訓練資料集來源，但該公司並不樂意內容被免費使用。Reddit去年4月<a href="https://www.ithome.com.tw/news/156469" target="_blank">修改</a>服務條款。公司執行長Steve Huffman也對媒體表示計畫對訓練AI模型的公司收費。Reddit去年就<a href="https://www.ithome.com.tw/news/159428" target="_blank">傳出</a>計畫封鎖Google搜尋，希望AI業者付費使用平臺上的內容。</p> <p>相對的，OpenAI、Google等公司在早期濫用免費內容，遭到媒體及網路內容平臺抵制後，也從善如流，改循合作付費管道取得內容存取權利。<a href="https://www.ithome.com.tw/news/160332" target="_blank">媒體報導</a>，OpenAI已先後和《Business Insider》母公司Axel Springer、美聯社、<a href="https://arstechnica.com/information-technology/2024/02/your-reddit-posts-may-train-ai-models-following-new-60-million-agreement/" target="_blank">CNN</a>、福斯新聞及《時代雜誌》等新聞內容出版商簽定授權，同意其存取平臺上的新聞內容。</p> <p>Reddit這樁交易的買主是誰則不得而知。不過《彭博》分析，Reddit出售平臺內容授權也證明其實現獲利能力，有助於推升其IPO市值，目前估計為50億美元。</p> </div></div></div>
2024/2/21 10:55作者林妍溱https://www.ithome.com.tw/news/161384
期刊論文使用AI生成的圖片太不科學，出版商Frontiers緊急撤回
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近國際科學期刊出版社Frontiers所出版的論文<a href="https://www.frontiersin.org/articles/10.3389/fcell.2024.1386861/full">《Cellular functions of spermatogonial stem cells in relation to JAK/STAT signaling pathway》</a>受到學術界的矚目，並且在社交平臺X被熱烈討論，原因是這篇通過同儕審查的論文，其配圖被發現是以生成式人工智慧產生，不過，圖片內容卻不符合解剖學，圖片文字還存在拼字錯誤。目前該篇論文已被Frontiers撤回。</p> <p>Frontiers是一個出版多個學術期刊的出版社，涵蓋生命科學、工程、社會科學等領域，透過同儕審查確保發表內容的品質，目的在促進學術研究的開放。《Cellular functions of spermatogonial stem cells in relation to JAK/STAT signaling pathway》這篇具有爭議的論文，被質疑究竟如何通過同儕審查。</p> <p>論文作者是中國西安市紅會醫院脊椎外科研究人員Xinyu Guo、Liang Dong與Dingjun Hao，於2月13日在《Frontiers in Cell and Developmental Biology》期刊發表。<a href="https://twitter.com/DrCJ_Houldcroft/status/1758111493181108363">X用戶Dr. CJ Houldcroft首先發現</a>並發文說：「呃，圖1是如何通過同儕審查的？！」該篇論文第一張配圖是一隻擁有不合理生殖器的老鼠，更有其他X用戶指出圖2、圖3（下圖）內容也非常不合理，甚至出現無法辨識的文字。該篇論文由印度國家動物營養和生理研究所（ICAR）研究人員Binsila B. Krishnan，以及西北醫療研究人員Jingbo Dai兩位專家進行同儕審查。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/2251%20-%20%20-%20.jpg" style="width: 580px; height: 357px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/2252%20-%20%20-%20.jpg" style="width: 580px; height: 322px;" /></p> <p>科學誠信顧問<a href="https://twitter.com/MicrobiomDigest/status/1758183183773024528">Elisabeth Bik在X平臺標記Frontiers官方帳號</a>，質疑Frontiers為何要發表含有人工智慧生成圖片的拙劣論文。Frontiers編輯部展開調查，隨後決定撤回該篇論文，並且發表聲明，指出該篇論文使用人工智慧生成圖片，且文章未達《Frontiers in Cell and Developmental Biology》期刊編輯與科學嚴謹標準。</p> <p>即便該篇論文已經被撤回，卻也引發人們對學術誠信的擔憂，質疑同儕審查不夠嚴謹，有網友甚至開玩笑表示，除了圖片是由人工智慧生成之外，內容可能也是由人工智慧審查。外媒<a href="https://venturebeat.com/ai/science-journal-retracts-peer-reviewed-article-containing-ai-generated-nonsensical-images/">VentureBeat</a>翻出Frontiers在2020年所發布的新聞，證實了這樣的可能性。Frontiers開發了一個稱為<a href="https://www.frontiersin.org/news/2020/07/01/artificial-intelligence-peer-review-assistant-aira/">AIRA</a>的人工智慧工具，用於協助學術期刊同儕審查，AIRA能夠藉由自動化檢查，快速提供包括語言品質評估、圖表完整性、抄襲偵測和利益衝突辨識等20多項建議。</p> <p>雖然隨著人工智慧工具的發展，未來可能依然會發生類似的事件，不過這也間接凸顯了開放科學的價值，在讀者可以自由參與學術研究的過程，有更多人可以監督論文品質，確保學術研究的透明度和可信度。</p> </div></div></div>
2024/2/21 09:32作者李建興https://www.ithome.com.tw/news/161378
美國FTC提案強化人工智慧技術監管，打擊AI相關冒充詐騙行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦政府近期接連針對人工智慧科技帶來的負面影響採取行動，先是<a href="https://www.ithome.com.tw/news/161250">FCC裁定</a>認為人工智慧生成的語音即人工語音，需要符合自動語音電話的規範，而現在美國聯邦交易委員會（FTC）也提出<a href="https://www.ftc.gov/news-events/news/press-releases/2024/02/ftc-proposes-new-protections-combat-ai-impersonation-individuals">行政法規修訂</a>，加強打擊冒充商業和政府機構的詐騙犯罪。</p> <p>FTC先就冒充個人提出補充公告（Supplemental Notice）以徵詢公眾意見，規則變更將擴大當前對冒充政府和企業的詐騙保護，官方提到，有鑒於冒充詐欺案投訴大幅增加，而且包括深偽在內的人工智慧技術加劇詐騙損害。這些原因驅使FTC積極採取行動檢測並阻止冒充詐欺。</p> <p>FTC尋求公眾對修訂法規的意見，討論的重點包括提供創建圖像、影片和文字服務的人工智慧平臺，在知道其所提供的商品被用於冒充並詐騙消費者時，這些公司是否應被視為違法。</p> <p>FTC主席Lina M. Khan提到，詐騙犯罪者正使用人工智慧工具，高精準度且大規模地冒充個人。當FTC提案的法規修訂最終通過，官方認為可強化其解決人工智慧詐騙問題的能力，並替受到傷害的消費者提供補救。</p> <p>除了補充公告尋求公眾意見之外，FTC也已完成對政府和商業冒充規則的最終制定，FTC將能夠直接在聯邦法院提起訴訟，要求利用政府或是商業機構身份的詐騙犯，退還不法所得金錢。而這項法規的修訂之所以重要，是因為在2021年AMG Capital Management LLC對上FTC的案子中，最高法院的裁決明顯限制了FTC迫使被告歸還受害消費者金錢的能力。</p> <p>FTC提到，近年政府和企業冒充詐騙已造成消費者數十億美元損失，而在2023年向FTC提交的詐騙報告大幅增加。而該修訂法規將授權執法機構更有效地打擊詐騙，允許FTC在特定情況下，就詐騙直接向聯邦法院尋求金錢賠償。</p> <p>主要打擊三種詐騙行為，第一種是使用政府印章或是商業標誌進行通訊的行為，當詐騙犯罪者在與消費者通訊時，無論是透過郵件或是線上，不當使用政府、企業的官方標誌或是徽章，以增加詐騙訊息可信度，將成為FTC主要打擊目標之一。</p> <p>第二種FTC要打擊的詐騙行為則是偽造政府、商業電子郵件和網址，諸如創建介面與真實官方網站相似，但是網域名稱在拼寫上錯誤的假網站，試圖誤導消費者以為假網站是真正官方溝通管道的行為。第三種則是虛假暗示自身與政府或商業關聯，詐騙犯罪者使用讓人認爲他們代表政府機構或是商業實體的語言或是術語等行為。FTC將擁有更多權力追訴和阻止這些詐騙行為。</p> <p>這兩項內容將會出現在美國《聯邦公報》，政府與商業冒充最終規則將會於《聯邦公報》公布日起30天後生效。而對於補充公告規則公告（SNPRM）的公眾評論期，將會在《聯邦公報》發布日起開放60天，讓公眾提出意見和回饋。</p> </div></div></div>
2024/2/21 08:26作者李建興https://www.ithome.com.tw/news/161376
國際執法機構關閉34臺LockBit伺服器，凍結逾200個加密貨幣帳戶，逮捕兩名嫌犯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由美國、英國等10個國家組成，並由歐洲刑警組織（Europol）負責居中協調的克羅諾斯行動（Operation Cronos），於<a href="https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation" target="_blank">周二（2/20）宣布</a>已摧毀勒索軟體LockBit的基礎設施，包括關閉LockBit位於全球各個國家的34臺伺服器，接管其技術基礎設施及外洩網站，凍結逾200個與該犯罪組織有關的加密貨幣帳戶，控制或刪除了1.4萬個負責滲透或與基礎設施有關的流氓帳號，逮捕了2名嫌犯，<a href="https://www.justice.gov/opa/pr/us-and-uk-disrupt-lockbit-ransomware-variant" target="_blank">美國</a>也拘留兩名LockBit服務的聯盟夥伴（Affiliate），以及起訴兩名共謀發動LockBit攻擊的俄羅斯人。</p> <p>LockBit勒索軟體現身於2020年1月，為全球最活躍的勒索軟體之一，它以勒索軟體即服務（RaaS）的模式運作，由勒索軟體組織的開發者負責設計軟體，並招募聯盟夥伴負責部署攻擊，前者負責維護軟體與控制臺，後者則專門辨識並非法存取目標系統，在成功滲透目標對象之後，再利用控制臺於受害網路部署LockBit。</p> <p>該勒索軟體集團採用三重勒索形式，除了傳統的以加密及外洩機密資料作為要脅之外，還加上了分散式服務阻斷攻擊。</p> <p>LockBit的攻擊行動遍及全球，受害者包括航太龍頭業者<a href="https://www.ithome.com.tw/news/159565" target="_blank">波音（Boeing）</a>、<a href="https://www.ithome.com.tw/news/159766" target="_blank">中國工商銀行</a>、<a href="https://www.ithome.com.tw/news/157660" target="_blank">日本名古屋港</a>及台積電供應商<a href="https://www.ithome.com.tw/news/157629" target="_blank">擎昊</a>等，已知的受害者超過2,000家，得手的贖金超過1.2億美元。相關的贖金由LockBit開發團隊及聯盟夥伴共享，後者平均取得贖金的75%。</p> <p>參與克羅諾斯行動的國家包括美國、英國、法國、德國、荷蘭、瑞典、澳洲、加拿大、日本與瑞士，並由Europol負責協調，在長達數月的行動中，Europol組織了27次的行動會議，以及4次為期一周的技術衝刺，各國執法機構也透過Europol的資訊通道SIENA交換上千則的行動資訊。</p> <p>此次的行動是由有英國FBI之稱的英國國家打擊犯罪調查局（National Crime Agency，NCA）主導，亦由<a href="https://www.nationalcrimeagency.gov.uk/news/nca-leads-international-investigation-targeting-worlds-most-harmful-ransomware-group" target="_blank">NCA接管</a>LockBit的資料外洩網站，並說最近一周每天都會透過此一位於暗網中的LockBit網站來披露LockBit自家的能力及營運狀況，也宣稱已自LockBit的系統取得了該平臺的原始碼及大量情報，包括其合作對象及聯盟夥伴。</p> <p class="rtecenter"><img alt="" src="https://www.nationalcrimeagency.gov.uk/images/Feb2024/Cronos.png" style="width: 600px;" /></p> <p>NCA指出，他們在LockBit的系統上所發現的機密資料包括那些已支付贖金的企業，代表就算支付了贖金，駭客也不一定會依照承諾刪除資料。</p> <p>在克羅諾斯行動所關閉的34臺伺服器中，有28臺為LockBit聯盟夥伴所有，其它的則是用來竊取及傳輸受害者資料的Stealbit基礎設施，它們散布在美國、英國、荷蘭、德國、芬蘭、法國、瑞士與澳洲。</p> <p>除了成功入侵LockBit網路並摧毀其基礎設施之外，NCA還取得了逾1,000個解密金鑰，將在未來幾天或幾周用來協助英國受害者解密，而Europol則說相關的解密工具已於No More Ransom網站上免費供應。不過，目前（2/20）在No More Ransom網站上搜尋LockBit並無結果。</p> <p>目前已有兩名LockBit集團的成員分別在波蘭及烏克蘭遭到逮捕，而美國與法國則發出了3份的國際逮捕令及5份的起訴書。</p> <p>安全研究團隊<a href="https://twitter.com/vxunderground/status/1759732862335504773" target="_blank">vx-underground引用了LockBit開發者的說法</a>，指出這些執法機構是透過CVE-2023-3824安全漏洞攻陷他們的基礎設施，這是個<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-3824" target="_blank">CVSS風險評分高達9.8的PHP漏洞</a>，成功的攻擊將可造成記憶體毀損或自遠端執行程式。</p> </div></div></div>
2024/2/21 08:50作者陳曉莉https://www.ithome.com.tw/news/161379
Flutter 3.19持續更新渲染引擎Impeller，Android支援度再提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布最新<a href="https://medium.com/flutter/whats-new-in-flutter-3-19-58b1aae242d2">Flutter 3.19版本</a>，該版本擁有許多功能更新，包括框架與API改進，以及執行效能和渲染Impeller引擎的最佳化。Flutter開始提供Gemini Google AI Dart SDK，供開發者方便開發人工智慧應用，並讓開發者更精細地控制小工具（Widget）的動畫，並且擴展支援Windows Arm64平臺。</p> <p>Flutter開發團隊推出Gemini Google AI Dart SDK測試版，其背後採用Google最新的人工智慧模型Gemini，使得開發者可以在Dart或Flutter應用程式中，整合生成式人工智慧功能。目前開發者已經可以從pub.dev下載使用google_generative_ai套件以及相關資源，以遵循Dart語法特性的方式整合Gemini API，僅用單一程式碼庫，就可開發Android、iOS、網頁、macOS、Windows和Linux智慧應用程式。</p> <p>在框架改進上，Flutter強化了滾動行為的可配置性，允許開發者透過將MultiTouchDragStrategy.latestPointer設定為ScrollBehavior，設置與觸控點數無關的滾動行為，並且修復SingleChildScrollView與ReorderableList的崩潰問題和意外行為，提升了整體的穩定性和使用體驗。此外，此版本更新加入新的AnimationStyle小工具，讓使用者可以覆蓋小工具中的預設動畫行為，賦予開發者更多靈活性與控制能力。</p> <p>Flutter 3.19的無障礙功能也獲得強化，添加SemanticsProperties無障礙辨識符號，改進對語義節點的標示。這些節點代表了應用程式的結構與可操作元素，諸如按鈕、連結和文字欄位等，透過改進節點的標示，Flutter可以提供更豐富且準確的資訊給仰賴輔助技術的用戶。這些框架、小工具與無障礙功能的改進，進一步提升Flutter應用程式的開發效率和可用性。</p> <p>Flutter用來取代Skia的渲染引擎Impeller，於Flutter 3.13時已在iOS上運作良好，而Flutter 3.16時，官方也鼓勵開發者可以在支援跨平臺繪圖API Vulkan的Android裝置上，開始嘗試使用Impeller，而經過數個月的開發，現在Impeller對OpenGL後端的支援，已經提升到與Vulkan相同的程度，目前幾乎所有Android裝置上的Flutter應用程式，都可以使用Impeller正確渲染，只剩下諸如自定義著色器和外部貼圖等功能尚未支援。</p> <p>新版Flutter提供開發者更好的GPU追蹤能力，在採用Metal的iOS、macOS、模擬器裝置，以及Vulkan的Android裝置上，Flutter引擎現在可以於除錯和分析建置的時間軸，回報每一個影格的GPU時間。不過目前在非Vulkan的Android裝置，Flutter可能會錯誤回報GPU時間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_m3qW6u7Q4mNfTKxN.jpg" style="width: 380px;" /></p> <p>該版本值得一提的更新，還有Impeller在背景過濾器和模糊功能上的效能改進，由於Impeller之前會錯誤請求螢幕貼圖讀取功能，經過修正之後，在基準測試中包含多個背景濾鏡的場景，效能改進可達20％至70％。</p> <p>同時Flutter開發團隊也改進背景過濾器，使其不再完全仰賴模板緩衝區（Stencil Buffer）的資料，避免不必要的資源使用。在具有Vulkan後端的Impeller Pixel 7 Pro裝置上，動畫進階混合模式平均GPU影格時間從55毫秒下降到16毫秒，且90％的光柵化執行緒CPU時間，從約110毫秒降低至22毫秒</p> <p>Flutter開發團隊還持續擴展Flutter 3.19支援的平臺，現在Flutter也開始支援Windows Arm64，此更新對在Windows Arm64平臺，原生高效能執行Flutter應用程式是重要的一步。</p> </div></div></div>
2024/2/21 09:15作者李建興https://www.ithome.com.tw/news/161377
【資安日報】2月20日，勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2019年出現的勒索軟體LockBit在全球橫行，是最近2至3年最具威脅的勒索軟體。根據美國政府的統計，自2020年該勒索軟體駭客組織已發起超過1,700次攻擊，以美國而言，他們向受害組織總共索討了9,100萬美元的不法所得。這些駭客甚至還<a href="https://www.ithome.com.tw/news/151655">設立漏洞懸賞專案</a>，尋求各界尋找該勒索軟體的漏洞，囂張的程度可見一斑。</p> <p>如此猖獗的態勢，也引起多個國家的執法單位採取行動。最近有許多在追蹤該勒索軟體動態的研究人員發現，執法單位已拿下該組織暗網的網站，這些駭客也對他們的附屬組織證實遭遇「資安事件」。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.aquasec.com/headcrab-2.0-evolving-threat-in-redis-malware-landscape"><strong style="font-size: 22px;">惡意軟體HeadCrab 2.0行蹤更加隱密，以無檔案型態入侵Redis伺服器進行挖礦</strong></a></p> <p>1年前資安業者Aqua Security發現專門鎖定Redis伺服器的殭屍網路病毒HeadCrab，當時已控制超過1,200伺服器，並將其用於挖礦，如今駭客的手法再度升級，殭屍網路規模更大，有另外1,100臺伺服器也遭到控制。</p> <p>研究人員指出，他們在蜜罐陷阱（Honeypot）當中，看到此殭屍網路病毒升級版HeadCrab 2.0，最大的變化在於攻擊者載入此惡意軟體的方式。原本駭客會將惡意程式的共用物件檔案（shared object file，副檔名為SO）儲存於受害伺服器，但新版病毒的傳播方式，則是透過Redis的通訊管道進行，並存放於無檔案的位置（fileless location，應指系統記憶體，因為Redis是一種In-memory資料庫），從而大幅減少留下數位蹤跡的情況，回避資安系統的磁碟掃描功能。</p> <p>另一個與舊版惡意程式的差異，則是在於與C2伺服器的通訊方式，原本駭客利用自定的Redis命令進行互動而容易被察覺，而新版本採用預設的MGET命令，駭客在命令當中挾帶特定參數，讓惡意程式得以確認是來自C2的命令，而對Redis的使用者而言，MGET命令仍能正常運作，使得惡意軟體的行蹤變得更加隱密。</p> <p><a href="https://www.cadosecurity.com/the-nine-lives-of-commando-cat-analysing-a-novel-malware-campaign-targeting-docker/"><strong style="font-size: 22px;">加密貨幣挾持攻擊Commando Cat鎖定曝露的Docker API下手</strong></a></p> <p>資安業者Cado揭露今年出現的加密貨幣挾持攻擊行動Commando Cat，駭客鎖定曝露在網際網路的Docker API，並使用透過Docker映像建立工具Commando而產生的容器進行部署，然後進行容器逃逸，並在Docker主機執行惡意酬載，目的是竊取AWS、GCP、Azure等雲端服務的帳密資料，並利用這些主機從事挖礦工作。</p> <p>攻擊者先是藉由部署Docker做為初始的入侵管道，然後從自己控制的伺服器對目標主機派送一系列的酬載，透過開源工具Commando部署容器並執行惡意命令，使用chroot命令逃脫至容器範圍之外，接著，對方會檢查是否存在特定的服務，才會繼續執行下個階段的行動，在受害主機植入SSH金鑰、後門程式、竊資軟體，最終部署挖礦軟體XMRig。</p> <p>研究人員指出，駭客在執行部分惡意程式的過程中，將檔案存放於記憶體暫存資料夾/dev/shm，使得資安人員調查駭客的蹤跡變得更加困難，他們根據攻擊者使用Shell指令碼、C2伺服器的IP位址，發現與駭客組織TeamTNT手法有所重疊，推測是由其他駭客模仿其手法發起的攻擊行動。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=155714&SPOKE_DATE=20240219&COMPANY_ID=2421"><strong style="font-size: 22px;">散熱風扇製造商建準遭遇加密攻擊，強調資料未外流、未遭到勒索</strong></a></p> <p>2月19日散熱風扇製造商建準發布重大訊息，指出其資訊系統於早上遭到加密攻擊，他們找到加密來源並阻斷加密，正著手恢復系統。而對於本次事故帶來的影響，該公司強調，資料無外洩的疑慮，他們也沒有遭到勒索，目前評估對於營運無重大影響。</p> <p>對於後續的改善措施，該公司表示將強化現有的資安政策、系統架構安全、員工資安教育的落實，並全面提升網路安全等級。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://research.checkpoint.com/2024/the-risks-of-the-monikerlink-bug-in-microsoft-outlook-and-the-big-picture/"><strong style="font-size: 22px;">微軟收信軟體Outlook存在重大漏洞Moniker Link，有可能被用於發動RCE攻擊</strong></a></p> <p>微軟在2月例行更新（Patch Tuesday）針對收信軟體Outlook修補重大漏洞CVE-2024-21413，一旦攻擊者觸發漏洞，就有機會在未經身分驗證的情況下，繞過Office Protected View防護機制，而有機會遠端執行任意程式碼（RCE），CVSS風險評分為9.8。</p> <p>通報此漏洞的資安業者Check Point公布更多細節，他們指出攻擊者若是使用file://通訊協定，並在URL加入驚嘆號，就有機會繞過Office對於惡意連結的防護機制。研究人員指出，這項漏洞發生的原因，在於函式功能MkParseDisplayName的不安全API引起，因此這項漏洞有可能影響其他應用程式。</p> <p>研究人員指出，攻擊者一旦成功利用CVE-2024-21413，就有機會竊取NTLM帳密資料，或是藉由惡意Office文件執行任意程式碼，他們將這項漏洞命名為Moniker Link，呼籲所有Outlook使用者要儘速套用更新程式。</p> <p><a href="https://www.bleepingcomputer.com/news/security/over-28-500-exchange-servers-vulnerable-to-actively-exploited-bug/"><strong style="font-size: 22px;">近10萬臺Exchange Server恐曝露權限提升漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GGsygfEXkAALYLE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGsygfEXkAALYLE.jpg" style="width: 300px; float: right;" /></a>2月13日微軟修補Exchange權限提升漏洞CVE-2024-21410（CVSS風險評分為9.8），隔日表示該漏洞已被用於攻擊行動，但有研究人員提出警告，仍有不少伺服器尚未修補而曝險。</p> <p>Shadowserver基金會指出，他們在2月17日進行掃描，全球約有9.7萬臺可能曝露相關風險的郵件伺服器，其中最嚴重的是德國和美國，分別有22,903臺、19,434臺，其次是英國、法國、奧地利，分別有3,665臺、3,074臺、2,987臺。值得留意的是，臺灣也有曝露該弱點的郵件伺服器，有777臺。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/Shadowserver/status/1759555706166902819">https://twitter.com/Shadowserver/status/1759555706166902819</a><br /> 2. <a href="https://dashboard.shadowserver.org/statistics/combined/visualisation/?date_range=1&source=exchange&source=exchange6&tag=cve-2024-21410%2B&tag=possible-cve-2024-21410%2B&dataset=unique_ips&limit=20&group_by=geo&count_as=avg&scale=lin&style=table">https://dashboard.shadowserver.org/statistics/combined/visualisation/?date_range=1&source=exchange&source=exchange6&tag=cve-2024-21410%2B&tag=possible-cve-2024-21410%2B&dataset=unique_ips&limit=20&group_by=geo&count_as=avg&scale=lin&style=table</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-disrupted-by-global-police-operation/"><strong style="font-size: 22px;">11個國家執法單位切斷勒索軟體駭客組織LockBit的運作</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GGur2R5XYAAbVRq.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGur2R5XYAAbVRq.jpg" style="width: 300px; float: right;" /></a>惡名昭彰的勒索軟體駭客組織LockBit的暗網網站傳出遭到執法單位扣押，此網站目前顯示由英國國家刑事局（National Crime Agency，NCA）控制，並指出這是美國聯邦調查局（FBI）與11個國家聯手，進行的執法行動Operation Cronos成果，他們自格林威治標準時間2月20日上午11時30分，已經中斷LockBit提供的網路犯罪服務。</p> <p>資安研究團隊VX-Underground指出，執法單位至少查封22個Tor網站，目前該組織的網站不是顯示被歐洲刑警組織（Europol）查獲的網頁，就是處於離線的狀態；該網站旗下的駭客若是登入系統，也會看到相關訊息：執法單位已掌握原始碼、受害組織名單、勒索金額，很快就會找上他們。</p> <p>究竟執法單位如何成功拿下網站？該駭客組織認為應該是藉由PHP重大漏洞CVE-2023-3824（CVSS風險評分為9.8）來達成。經營LockBit的團隊也向旗下成員成為發出通知，證實遭遇資安事故，但傳送的管道有兩種說法，資安業者AzAl Security認為是透過電子郵件，而VX-Underground指出可能是透過即時通訊軟體Tox或是XMPP。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/vxunderground/status/1759693943942287543">https://twitter.com/vxunderground/status/1759693943942287543</a><br /> 2. <a href="https://twitter.com/vxunderground/status/1759708760929390879">https://twitter.com/vxunderground/status/1759708760929390879</a><br /> 3. <a href="https://twitter.com/vxunderground/status/1759732862335504773">https://twitter.com/vxunderground/status/1759732862335504773</a><br /> 4. <a href="https://twitter.com/azalsecurity/status/1759740340209172548">https://twitter.com/azalsecurity/status/1759740340209172548</a><br /> 5. <a href="https://twitter.com/vxunderground/status/1759795956218778068">https://twitter.com/vxunderground/status/1759795956218778068</a></p> <p><a href="https://www.justice.gov/opa/pr/justice-department-conducts-court-authorized-disruption-botnet-controlled-russian"><strong style="font-size: 22px;">美國破壞俄羅斯駭客APT28經營的殭屍網路Moobot</strong></a></p> <p>俄羅斯駭客組織APT28利用殭屍網路病毒Moobot入侵搭載EdgeOS作業系統的Ubiquiti路由器，組成以家用與小型辦公室（SOHO）設備形成的殭屍網路，將其用於代理惡意流量，並對於美國及其盟國進行網路釣魚，或是竊取帳密的攻擊行動，如今美國政府對其出手。</p> <p>2月15日美國司法部（DOJ）宣布，聯邦調查局（FBI）取得法院死亡灰燼行動（Operation Dying Ember）的許可，遠端存取遭到入侵的路由器，清除殭屍網路病毒及其他惡意檔案，為防止及俄羅斯駭客再度控制，FBI也修改路由器的防火牆規則，並收集與內容無關的路由資訊，來監控是否有駭客試圖嘗試入侵的跡象。</p> <p>而這是繼1月美國摧毀中國駭客Volt Typhoon經營的殭屍網路KV-Botnet之後，今年第2波清理相關基礎設施的執法行動。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/alpha-netwalker-ransomware"><strong><span style="font-size: 20px;">研究人員揭露勒索軟體Alpha，疑為NetWalker東山再起</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/cactus-ransomware-claim-to-steal-15tb-of-schneider-electric-data/"><span style="font-size: 20px;">施耐德電機傳出資料外洩，勒索軟體Cactus聲稱竊得1.5 TB資料</span></a></strong></p> <p></p> <p><a href="https://www.fortinet.com/blog/threat-research/android-spynote-moves-to-crypto-currencies"><strong><span style="font-size: 20px;">安卓間諜軟體SpyNote冒充加密貨幣錢包，意圖洗劫受害者存款</span></strong></a></p> <p></p> <p><a href="https://threatresearch.ext.hp.com/hp-wolf-security-threat-insights-report-q4-2023/"><strong><span style="font-size: 20px;">駭客偏好利用PDF惡意程式，藉此散布WikiLoader、Ursnif、DarkGate</span></strong></a></p> <p></p> <p><strong><a href="https://www.securityweek.com/eset-patches-high-severity-privilege-escalation-vulnerability/"><span style="font-size: 20px;">ESET修補高風險權限提升漏洞，影響Windows端點、Exchange Server、SharePoint Server、Azure等多項防護產品線</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161344"><strong>【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161326"><strong>【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161319"><strong>【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</strong></a></p> </div></div></div>
2024/2/20 14:45作者周峻佑https://www.ithome.com.tw/news/161355
K1打算以每股0.55美元買下MariaDB
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甫於2022年12月，藉由與特殊目的收購公司合併而登上紐約股市的開源資料庫軟體業者MariaDB，<a href="https://investors.mariadb.com/news/news-details/2024/Announcement-Regarding-Possible-Offer/default.aspx" target="_blank">上周收到</a>來自K1 Investment Management的非約束性收購要約，K1<a href="https://k1.com/meridian/" target="_blank">打算</a>以每股0.55美元的價格買下MariaDB已發行與即將發行的所有股份，而不管MariaDB賣不賣，很可能都會下市。</p> <p>MariaDB為開源關聯性資料庫MySQL的分支，是為了因應MySQL遭到甲骨文併購而開發的，旨在維持開源並與MySQL相容，它在2022年12月19日登上紐約股市（NYSE）時，開盤價為11.55美元，但最終以6.7美元作收，此後的股價便不曾再超越第一天的收盤價，更在去年6月因連續30天交易日的平均收盤價低於1美元，因不符合NYSE上市公司守則的802.01C條款而收到通知。</p> <p><a href="https://nyseguide.srorules.com/listed-company-manual/09013e2c8556747d?searchId=1150133367" target="_blank">根據該條款</a>，只要是股價連續30個交易日低於1美元，或是連續30個交易日的市值低於5,000萬美元，都被視為不符上市規定，若未能在一定的期間內改善，NYSE便會啟動停牌與退市程序。</p> <p>儘管MariaDB承諾改善，但自收到NYSE通知以來，其收盤價從未超過1美元。MariaDB上周公布了截至2023年12月31日的<a href="https://investors.mariadb.com/news/news-details/2024/MariaDB-Files-First-Quarter-Fiscal-2024-Financial-Results/default.aspx" target="_blank">2024財年第一季財報</a>，指出該季的年度經常性收入（ARP）成長了11%，虧損880萬美元，優於前一年同期所虧損的1,270萬美元。</p> <p>去年9月，創投業者Runa Capital曾<a href="https://investors.mariadb.com/news/news-details/2023/Announcement-Regarding-Possible-Offer/default.aspx" target="_blank">計畫</a>買下MariaDB，但最終由Runa Capital的關係企業RP Ventures借了2,650萬美元予MariaDB。</p> <p>K1公布收購要約的時間點為2月16日，當天MariaDB的收盤價為0.34美元，雖然K1的收購價為0.55美元，但因有前車之鑑，不確定會不會成真，MariaDB盤後股價只微幅上漲了2.79%，達0.3495美元。目前MariaDB的市值僅有2,300萬美元，而K1所提出的收購價估值則約為3,700萬美元。</p> </div></div></div>
2024/2/20 14:34作者陳曉莉https://www.ithome.com.tw/news/161353
知名勒索軟體LockBit遭全球警方攻陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早就被多國政府鎖定的<a href="https://www.ithome.com.tw/news/157357" target="_blank">知名勒索軟體LockBit</a>傳出已遭全球警方聯手攻陷，根據<a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-disrupted-by-global-police-operation/" target="_blank">《BleepingComputer》</a>的報導，LockBit位於洋蔥網路上的資料外洩官網已出現被扣押的訊息，而專門蒐集惡意程式原始碼的<a href="https://twitter.com/vxunderground/status/1759697172101022176?s=20" target="_blank">vxunderground也透過X</a>披露了此一消息。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0220-The%20LockBit%20data%20leak%20site-under%20the%20control%20of%20The%20National%20Crime%20Agency%20of%20the%20UK-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Malwarebytes.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Malwarebytes</span></span></p> <p>LockBit會被攻陷並不令人意外，包括美國、澳洲、加拿大、英國、法國、德國及紐西蘭的網路安全機構去年5月就曾共同發表<a href="https://www.ithome.com.tw/news/157357" target="_blank">有關LockBit的研究報告</a>，指出LockBit是全球在2022年與2023年最活躍的勒索軟體集團，全球受害組織超過1,653個，光是美國的受害者就支付超過9,100萬美元的贖金。</p> <p>依據《BleepingComputer》的截圖，多國執法機構已接管了LockBit的資料外洩網站，而LockBit的員工亦向vxunderground證實它們已被FBI攻陷，LockBit聯盟的成員嘗試登入時，也已看到平臺已被FBI、英國及歐洲刑警組織<a href="https://twitter.com/vxunderground/status/1759708760929390879" target="_blank">接管的訊息</a>，指出國際警方已取得LockBit的原始碼、受害者資料、勒索的金額、所竊取的資料，以及聊天紀錄等。</p> <p>英國的國家犯罪調查局（National Crime Agency，NCA）已向媒體證實了此事，並計畫於本周公布更多的細節。</p> </div></div></div>
2024/2/20 12:43作者陳曉莉https://www.ithome.com.tw/news/161352
有1.3萬的Wyze用戶意外連到別人的監視器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發監視器等數位家庭產品的<a href="https://forums.wyze.com/t/update-on-investigation-of-2-16-24-security-issue/291002" target="_blank">Wyze Labs本周坦承</a>，上周五（2/16）服務臨時中斷再重啟之後，出現了安全問題，使得1.3萬名用戶可看到來自其它帳號的縮圖及監視影片，目前已修復並已採取預防措施，開始寄送郵件通知所有用戶。</p> <p>Wyze解釋，此一服務中斷事件源自於合作夥伴AWS，讓所有Wyze裝置在周五凌晨停擺了數小時，在試圖將裝置重新上線時，有用戶發現他們在自己的事件（Events）標籤中，看到的是別人的縮圖與事件影片（Event Videos），促使該公司展開調查。</p> <p>調查後確認約有1.3萬名用戶收到來自別人家監視器的縮圖，當中有1,504名用戶點選了這些縮圖，大多數的點選只會放大縮圖，但有一些例子可以直接看到事件影片。整體而言，有0.25%的Wyze帳號受到影響。</p> <p>Wyze說明，此一安全意外是因該公司最近於系統上整合了一個第三方的快取客戶端函式庫，然而，它承受不住龐大數量的裝置同時重新上線，負載過大令它搞混了裝置ID與用戶ID，而把某些資料連至錯誤的帳號。</p> <p>為了確保此事不再發現，該公司在用戶連至事件影片時新增了一層驗證機制，也修改系統以繞過快取檢查，正在尋找其它可通過壓力測試的新快取客戶端函式庫。</p> <p>2017年成立的Wyze有許多爭議，除了被Johnson Controls子公司Sensormatic與小米控告侵犯專利之外，在2019年曾外洩240萬名用戶資料，也曾<a href="https://www.ithome.com.tw/news/150222" target="_blank">遭資安業者Bitdefender批評</a>不修補可被存取SD卡的安全漏洞。</p> </div></div></div>
2024/2/20 11:46作者陳曉莉https://www.ithome.com.tw/news/161351
Android 15第一預覽版已推出，強化硬體支援與動態效能管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google著手開發新版Android，現已釋出<a href="https://android-developers.googleblog.com/2024/02/first-developer-preview-android15.html">Android 15第一預覽版</a>。該新版本Android讓應用程式能更好地運用硬體，像是相機、GPU和顯示螢幕等，並開始支援Google新的廣告技術隱私沙箱（Privacy Sandbox），還更新動態效能框架（Android Dynamic Performance Framework，ADPF），供應用程式更好地與作業系統在電源與熱控管上協作。</p> <p>在Android 15，Google開始將隱私沙箱整合進廣告管理工具Android AD服務中，允許廣告商和開發者採用新的廣告技術向用戶推送廣告。傳統網路廣告模式，廣告商通常需要仰賴第三方Cookie等追蹤技術來收集用戶資料，向用戶推送針對性的廣告，但是由於隱私上的顧慮，目前各方瀏覽器都開始預設封鎖第三方Cookie，而Chrome也計畫在2024年第一季，開始移除1％用戶的第三方Cookie，並在第三季逐漸分批移除。</p> <p>而Google所提出的隱私沙箱計畫，便是希望創建更具隱私的廣告生態系來替代第三方Cookie，提供廣告商和開發者包括聚合、匿名化技術來處理用戶資料，希望減少廣告對個人資料的仰賴。不過，目前Apple和Mozilla都以保護用戶隱私為由，拒絕支援隱私沙箱Topics API。</p> <p>Android 15的檔案完整性管理員新增API，使系統可以運用Linux核心中fs-verity功能，自動加密簽章保護檔案，Google提到，該新功能將能提高Android安全性，防止潛在的惡意軟體和未經授權的檔案修改，不讓攻擊者破壞應用程式的功能和資料。</p> <p>Google透過通用MIDI封包（UMP）通訊，在Android 13提供USB連接MIDI 2.0裝置的支援。MIDI 2.0是一種較新的音樂數位介面（Musical Instrument Digital Interface，MIDI）標準，相較之前的版本，提供較高的解析度與更好的表現力，也具有更多的控制功能。</p> <p>現在Android 15，Google要進一步將通用MIDI封包擴展至虛擬MIDI應用，這代表音樂創作應用現在可以控制合成器應用，就像是透過USB連接到實體的MIDI 2.0裝置一樣。這項功能的擴展使得應用程式之間，可以透過MIDI 2.0標準互動和控制，如此即便沒有實體MIDI硬體，用戶還是可以運用這些應用進行音樂創作和表演。</p> <p>Android 15加入新擴充，使得開發者對裝置上的相機硬體和演算法有更多的控制能力，包括低光強化以提升相機預覽的亮度，還提供閃光燈強度進階調整能力，使得用戶在拍照時，能夠運用單次閃光和長時間閃光模式下，精確控制閃光強度。</p> <p>Google也持續投資Android動態效能框架（Android Dynamic Performance Framework，ADPF），來強化Android裝置的動態效能。ADPF是一套API，供遊戲和效能密集應用程式能夠與Android裝置的電源和熱管理系統更直接的互動。</p> <p>而Android 15上的ADPF將會於提示會話（Hint Session）機制新增省電模式，指示特定相關執行緒優先考慮節能而非效能，適用長時間在背景運作的工作負載。提示會話是一種允許應用程式對系統提出效能相關建議或是提示的機制，藉以協助系統了解應用程式當前效能需求，讓系統可以根據需求，調整電源和熱管理系統。</p> <p>新的ADPF提示會話機制還能夠提供CPU和GPU工作時長報告，允許系統調整CPU和GPU頻率，以更好地滿足工作負載需求。Android 15現在還會透過預測熱餘量閾值（Thermal Headroom Threshold）解釋可能的熱限制狀態，這將有助於應用程式判斷裝置是否即將進行熱降頻。</p> <p><a href="https://developer.android.com/about/versions/15/overview#timeline">Google預計將會在6月推出Beta第三測試版</a>，屆時將達到平臺穩定性，該里程碑後開發者可以進行最終相容性測試。若未更新應用程式整合SDK和函式庫支援Android 15，下游應用程式和遊戲開發者可能會遭Google封鎖。</p> </div></div></div>
2024/2/20 08:17作者李建興https://www.ithome.com.tw/news/161347
BigQuery現提供向量搜尋功能支援RAG用例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>BigQuery現在開始<a href="https://cloud.google.com/blog/products/data-analytics/introducing-new-vector-search-capabilities-in-bigquery">提供向量搜尋功能</a>，供用戶能在BigQuery中進行向量相似性搜尋。向量搜尋通常也被稱作近似最鄰近（Approximate Nearest-Neighbor，ANN）搜尋，能夠在高維空間中快速找到與特定向量最相近的向量。</p> <p>BigQuery的向量搜尋功能允許用戶對儲存於BigQuery的高維資料集，進行快速且準確的搜尋，支援新資料處理和人工智慧應用在內的多種用例，諸如使用大型語言模型進行語義搜尋，或是病歷、交通事故、圖像等相似性搜尋，以及結合檢索強化生成（RAG）技術，強化生成式人工智慧工作負載。</p> <p>BigQuery的向量搜尋功能提供了一種簡單且直覺的語法，類似BigQuery現有的文字搜尋功能，進而簡化向量搜尋與SQL原語組合，供用戶在BigQuery處理各種資料。向量搜尋功能支援BigQuery嵌入生成功能，針對大型語言模型或是預訓練模型，或是也可以支援以其他方式生成的嵌入。當底層表格資料發生變化時，BigQuery向量索引也會跟著自動更新，用戶也可監控索引更新進度。</p> <p>LangChain框架可以與BigQuery向量搜尋功能搭配使用，強化自然語言處理。LangChain能夠用於編寫和管理自然語言處理任務工作管線，而BigQuery對LangChain的支援，讓Python開發者方便進行整合，並與其他第三方框架一起使用。向量搜尋功能所提供的VECTOR_SEARCH向量搜尋函式，已經針對分析用例最佳化，能夠有效處理大批次的查詢，而在處理小量輸入資料時，也能夠提供低延遲推理結果。</p> <p>藉由BigQuery與Vertex AI的整合，用戶可以在同一資料上進行快速、低延遲的線上預測，另外，BigQuery內建的資料治理功能也能派上用場，提供資料遮罩、行級、列級的安全政策。</p> </div></div></div>
2024/2/20 08:22作者李建興https://www.ithome.com.tw/news/161350
【資安日報】2月19日，Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近Ivanti頻繁對於Connect Secure漏洞發布資安公告，並指出部分漏洞已確認被用於攻擊行動，使得這套SSL VPN系統的安全問題再度浮上檯面，然而有研究人員發現，這套系統採用大量早就已經終止支援的元件，而曝露於許多已知漏洞的資安風險。</p> <p>這也突顯Ivanti在2020年買下Pulse Secure公司之後，歷經多次資安漏洞相關事故與爭端之後，此系統竟然被發現至今仍延用老舊架構，並未逐步汰換、更新元件，而使得攻擊者有機會藉由已知漏洞上下其手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.sentinelone.com/labs/sns-sender-active-campaigns-unleash-messaging-spam-through-the-cloud/"><strong style="font-size: 22px;">惡意Python指令碼SNS Sender濫用AWS服務進行簡訊攻擊</strong></a></p> <p></p> <p>資安業者SentinelOne揭露名為SNS Sender的惡意Python指令碼，駭客將其用於濫用AWS Simple Notification Service（SNS）服務，從而發送大量簡訊，散布惡意網址連結，進行網釣簡訊攻擊（Smishing）。</p> <p>研究人員指出，駭客通常假借美國郵政服務（USPS）的名義，聲稱使用者的包裹投遞錯誤，從而要求他們提供可識別的個人資訊（PII）。製作此惡意指令碼的作者ARDUINO_DAS，將其提供給超過150個網路釣魚工具包。照理來說，AWS帳號會因受限於內建的SNS沙箱功能，而無法濫用此服務發送大量簡訊，但研究人員指出，若使用者向AWS客戶支援人員提出說明，由於這些服務只需支付1美元，以及相關異動需求是採用人工審核，有可能因此取消上述的沙箱功能限制，而能將SNS用於散布垃圾簡訊。</p> <p>利用雲端服務來發送垃圾簡訊的情況已非首例，去年散布惡意程式AlienFox的駭客，他們就是使用雲端通訊平臺Twilio發送釣魚簡訊。</p> <p><a href="https://www.recordedfuture.com/russia-aligned-tag-70-targets-european-government-and-military-mail"><strong style="font-size: 22px;">俄羅斯駭客組織Winter Vivern利用郵件伺服器Roundcube漏洞，攻擊歐洲關鍵基礎設施</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tag_70_chart_28741e8d2b.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tag_70_chart_28741e8d2b.png" style="width: 300px; float: right;" /></a>資安業者Recorded Future指出，別名為TAG-70、TA473、UAC-0114的俄羅斯駭客組織Winter Vivern，從去年10月利用郵件伺服器Roundcube的跨網站指令碼（XSS）漏洞，針對超過80個企業組織進行未經授權的存取，對於歐洲政府機關、軍事單位，以及國家關鍵基礎設施而來。這些受害組織當中，位於烏克蘭的最多，占30.9%，喬治亞、波蘭分別占13.6%、12.3%居次，但比利時、法國、捷克、德國、英國也有組織受害。</p> <p>研究人員指出，在烏克蘭戰爭仍持續進行的情況下，這些遭到攻擊的郵件伺服器很有可能曝露烏克蘭在戰爭當中進行的各種努力，像是外交關係、與其他國家之間聯盟的機敏資訊，有可能因此流出而造成影響。而針對伊朗駐俄羅斯、荷蘭大使館遭到攻擊的情況，研究人員認為，這代表伊朗在外交上存在更為廣泛的地緣政治利益考量，特別是該國對俄羅斯、烏克蘭之間的立場；至於鎖定喬治亞政府機關的網路間諜活動，則有可能是為了監視該國打算加入歐盟及北約組織（NATO）的動態。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/a/pawn-storm-uses-brute-force-and-stealth.html"><strong style="font-size: 22px;">俄羅斯駭客組織APT28發動NTLM中繼攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/pawn-storm-updates-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pawn-storm-updates-1.jpg" style="width: 300px; float: right;" /></a>針對代號為Fancy Bear、Strontium、Pawn Storm的俄羅斯駭客組織APT28，資安業者趨勢科技公布其2022年4月至2023年11月的攻擊行動，其共通點是透過多種方式發動NTLM密碼雜湊中繼（NTLM hash relay）攻擊，駭客的目標涵蓋政府機關、國防工業、能源、交通單位、軍隊，範圍遍及歐洲、北美、南美、亞洲、非洲、中東。</p> <p>他們去年12月看到駭客濫用執行EdgeOS作業系統的路由器，將其用來發送網路釣魚郵件，一旦收信人利用微軟收信軟體Outlook開啟，就有機會觸發Outlook權限提升漏洞CVE-2023-23397（CVSS風險評分為9.8）、WinRAR程式碼執行漏洞CVE-2023-38831（CVSS風險評分為7.8），存取使用者的NTLM雜湊密碼來進行中繼攻擊，從而對目標組織的電子郵件信箱進行未經授權的存取。</p> <p>經過研究人員的進一步調查，他們認為駭客在2022年4月就開始利用CVE-2023-23397。到了11月29日至12月11日，這些駭客又對於歐洲各國政府下手，使用webhook[.]site並搭配VPN服務來發送釣魚郵件，這些信件帶有Windows捷徑檔案（LNK），最終導致NTLM密碼雜湊中繼攻擊。</p> <p><a href="https://hub.dragos.com/report/voltzite-espionage-operations-targeting-u.s.-critical-systems"><strong style="font-size: 22px;">中國駭客Volt Typhoon鎖定美國、非洲電力設施的工業控制系統發動攻擊</strong></a></p> <p>五眼聯盟針對中國駭客Volt Typhoon的攻擊行動提出警告，指出這些駭客對於美國關鍵基礎設施進行長時間攻擊，至少埋伏5年，現在有研究人員找到新的發現。</p> <p>專精工業控制系統的資安業者Dragos指出，他們追蹤與Volt Typhoon行蹤有所交集的駭客組織Voltzite，此集團大多鎖定美國及非洲的電力產業，但衛星、電信、災害管理、國防工業等領域也有受害者，這群惡徒幾乎都採用寄生攻擊（LotL）手法，並導入高階的操作安全實務，以確保他們的行動不會反遭滲透。</p> <p>為了藏匿攻擊來源，這些駭客會在受害組織部署各式的Web Shell及快速反向代理伺服器（fast reverse proxy，FRP）工具，來向C2進行通訊，而C2流量通常也藉由遭駭的家用與小型辦公室（SOHO）網路設備及虛擬私人伺服器（VPS）基礎設施來處理。此外，這些駭客通常會藉由竊取帳密資料來進行橫向移動。</p> <p><a href="https://citizenlab.ca/2024/02/paperwall-chinese-websites-posing-as-local-news-outlets-with-pro-beijing-content/"><strong style="font-size: 22px;">中國公關公司架設100多個WordPress網站，冒充世界各地新聞媒體散布對中國有利的訊息</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/paperwall-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/paperwall-7.png" style="width: 300px; float: right;" /></a>加拿大多倫多公民實驗室（Citizen Lab）揭露中國公關公司架設123個網站、假冒歐洲、亞洲、拉丁美洲30個國家新聞媒體，透過發布大量新聞稿，散播有利於中國政府的假資訊，研究人員將這起攻擊行動稱為PaperWall。</p> <p>關於這起活動被發現的原因，起初是10月底義大利新聞網站Il Foglio揭露有6個冒充當地新聞媒體的網站，但他們發現這些網站並未依照該國法律向國家註冊為新聞媒體，而且這6個網站的結構、版面、內容極為相似，並夾雜大量與中國有關的新聞；11月韓國國家網路安全中心（NCSC）也有類似發現，他們看到有18個假冒當地媒體的韓文網站，並指出這些網站由中國公關公司海賣（Shenzhen Haimaiyunxiang Media Co., Ltd.，Haimai）經營。公民實驗室研究人員循線進行調查，截至12月21日為止，共找到123個架設這種新聞網站的網域，這些網站皆以WordPress外掛程式WPBakery建置而成，內容主要來自名為Times Newswire，亦有部分從當地媒體抓取。</p> <p>但值得留意的是，這些網站挾帶特定的政治內容，攻擊對中國不利的人士，例如，研究人員在大部分的PaperWall網站上，看到標題為「Li-Meng Yan完全是謠言製造者」的英文文章，這位是醫學研究員閆麗夢（閻麗夢），曾指控COVID-19病毒源自中國政府實驗室。這起活動至少從2020年開始，雖然目前這些網站的曝光程度非常低，但只要有當地媒體將其內容曝光，就有機會造成影響。</p> <p><a href="https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q4-2023/"><strong style="font-size: 22px;">勒索軟體駭客組織間互通有無，以較少的攻擊次數對工控系統帶來更大傷害</strong></a></p> <p></p> <p>資安業者Dragos針對勒索軟體對工業控制系統（ICS）在2023年第4季造成的威脅態勢進行分析，他們在全球看到204起事故，較前年同期的231起略為下降。</p> <p>其中針對北美、歐洲、亞洲的工業組織或關鍵基礎設施而來的，分別有87、67、30起；從產業別來看，最嚴重的是製造業，有135起事故，占66.1%，其次是交通運輸部門有26起。至於發起相關攻擊行動的駭客組織，勒索軟體LockBit有52起最多，約占四分之一（25.5%），其次是BlackBasta、BlackCat（Alphv），分別有21、14起。</p> <p>研究人員指出，雖然針對工控系統的勒索軟體攻擊事件數量下降，但有幾個現象值得留意，首先，就是駭客持續調整攻擊手法，增加了攻擊成功的機率，例如：LockBit、BlackCat、Royal加入遠端加密（remote encryption）手法，透過端點裝置入侵整個組織；再者，則是偏好利用零時差漏洞（如LockBit使用Citrix Bleed漏洞），而讓防守方措手不及；此外，駭客組織如今也積極與媒體互動，吸引記者報導，甚至提供新聞稿或是接受採訪，企圖操縱社會大眾的看法，來對受害組織進行施壓。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://eclypsium.com/blog/flatlined-analyzing-pulse-secure-firmware-and-bypassing-integrity-checking/"><strong style="font-size: 22px;">研究人員解析Ivanti Connect Secure韌體，發現使用大量已終止支援的元件而容易受到攻擊</strong></a></p> <p>最近1個月Ivanti對旗下的SSL VPN系統Connect Secure（ICS）、NAC系統Policy Secure（IPS）公布5個漏洞，其中超過半數在公布前就被用於攻擊行動，但為何上述的資安系統屢屢成為駭客偏好下手的目標？有研究人員對其韌體進行分析，發現該公司採用多種老舊、已不再受到支援的元件存在風險。</p> <p>專精韌體安全的資安業者Eclypsium取得ICS韌體ICS-9.1.18.2-24467.1版進行分析，結果發現，此韌體底層執行的作業系統竟是已在2020年終止支援的CentOS 6.4，其Linux核心更是在2016年終止支援的2.6.32版，還有很多元件也相當老舊，而可能存在不會被修補的漏洞，例如：2017年終止支援的OpenSSL 1.0.2n、2010年終止支援的Python 2.6.6，以及2001年終止支援、32位元版本的Perl 5.6.1。</p> <p>此外，研究人員也在該系統找出大量弱點，包含973個已登記CVE編號的已知漏洞，其中有396個為高風險層級；他們也從76個Shell指令碼找到1,216個弱點、並在5,392個Python檔案找出5,218個漏洞，再者，該系統所使用的800個憑證當中，有133個已經過期。</p> <p><a href="https://s4.itho.me/sites/default/files/images/pi_screen_6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pi_screen_6.png" style="width: 580px;" /></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://group.ntt/jp/newsrelease/2024/02/16/240216b.html"><strong style="font-size: 22px;">為降低軟體供應鏈資安風險，日本IT業者成立安全透明聯盟，迄今有10家公司參與</strong></a></p> <p></p> <p>為了促進供應鏈的安全，去年9月NTT及NEC兩家日本IT龍頭籌畫「安全透明聯盟（Security Transparency Consortium）」，並於10月11日正式成立，當時參與的公司包括網路設備供應商ALAXALA Networks、思科、資安業者FFRI Security, Inc.、日立、三菱電機等，迄今已有10家企業參與。</p> <p>此聯盟成立的主要目的，是要讓產品供應商、系統整合商、資安業者、採用產品及服務的企業之間進行合作，藉由成員共享圖像化資料的知識與技術，從而基於軟體物料清單（SBOM）來增加相關資料的透明度，最終達到提升整體網路安全的目標。該聯盟打算對SBOM相關的圖像化資料互通制訂對策，並預告在今年春季將進行相關公告。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/wyze-investigating-security-issue-amid-ongoing-outage/"><strong><span style="font-size: 20px;">智慧家庭設備業者Wyze出現服務異常，該公司表示是遭遇資安問題導致</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/alphv-ransomware-claims-loandepot-prudential-financial-breaches/"><span style="font-size: 20px;">勒索軟體駭客組織BlackCat聲稱對LoanDepot、保德信發動攻擊</span></a></strong></p> <p></p> <p><a href="http://www.chainalysis.com/blog/2024-crypto-money-laundering/"><strong><span style="font-size: 20px;">政府機關對加密貨幣服務鬆綁，北韓駭客改以比特幣混合器Yomix洗錢</span></strong></a></p> <p></p> <p><a href="https://cert.europa.eu/publications/threat-intelligence/tlr2023/"><strong><span style="font-size: 20px;">中國、俄羅斯駭客組織針對歐盟發動攻擊，網路釣魚是入侵受害組織的主要管道</span></strong></a></p> <p><strong><a href="https://www.lmgsecurity.com/news/critical-software-vulnerabilities-impacting-credit-unions-discovered-by-lmg-security-researcher-immediate-action-recommended/"><span style="font-size: 20px;">供信用合作社使用的CUSG內容管理系統存在漏洞，攻擊者有機會取得超級管理員權限</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161326"><strong>【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161319"><strong>【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161289"><strong>【2月15日】臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料</strong></a></p> </div></div></div>
2024/2/19 16:18作者周峻佑https://www.ithome.com.tw/news/161344
Visual Studio 17.10緊密整合GitHub Copilot，加入更多生成式AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出了最新的<a href="https://devblogs.microsoft.com/visualstudio/introducing-visual-studio-17-10-preview-1-is-here/" target="_blank">Visual Studio 17.10第一個預覽版</a>。該預覽版更新重點是整合最新GitHub Copilot，提供開發者更多人工智慧功能提升開發生產力，另外，該版本也納入了數個由社群建議的功能，使程式碼版本控制更為便利。</p> <p>透過訂閱GitHub Copilot，開發者能夠在Visual Studio中取得生成式人工智慧程式開發建議，在新版擴充套件，Copilot不僅只是扮演一個聊天機器人角色，還要朝成為結對開發夥伴的方向更進一步。Copilot透過與Visual Studio緊密整合，能夠更好地從專案中收集資訊，進一步提供開發者當前開發環境中有意義的答案。</p> <p>現在開發者可以使用斜線指令加速工作流程，替常見開發任務具體目標設定斜線指令，像是/explain可代表Explain the code等，讓開發者不需要編寫冗長的問題，就能獲得更精準的答案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0219-Visual%20Studio%2017_10_Preview-Slash%20Commands%20for%20Common%20Tasks.png" style="width: 600px;" /></p> <p>此外，開發者可在Visual Studio進行行內聊天，直接於檔案中與Copilot互動並獲得建議，並即時查看差異。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0219-Visual%20Studio%2017_10_Preview-Inline%20Chat.png" style="width: 600px;" /></p> <p>微軟參考社群意見嘗試重新建構自訂體驗，在Visual Studio 17.10引入統一設定功能。從這個新版本開始，提供開發者更多自由和介面，來調整和配置開發環境設定。例如，讓用戶可以在全域層級進行設定，或是在更具體的層級進行自訂，像是特定解決方案和或是資料夾層級，使用戶能夠更細緻地控制不同專案的設定，並可依據每個專案的需求進行調整。</p> <p>開發者可以透過精確的搜尋功能，找到想要調整的設定，而且現在所有設定都會以JSON格式儲存，如此不僅讓設定的儲存更加結構化且易於管理，也讓共享和版本控制變得容易，用戶可以透過編輯JSON檔案快速更改設定，也可以將設定檔與其他人共享，或是在不同的開發環境間簡單移動。另外，微軟也在這些設定選項中，新增重設為預設的功能，以及讓用戶方便發送回饋訊息，供開發團隊進一步改進這些新功能。</p> <p>根據社群的建議，微軟縮短了人工智慧產生Git提交訊息的建議，而且現在可以更容易地在拉取請求應用工作項目，開發者可以使用相關工作項目，查看在拉取請求描述中所參照的工作項目，並將其與Azure DevOps上的拉取請求相關聯。</p> <p>Visual Studio更新現在也會包含推薦的元件，微軟整合了新元件以強化軟體開發體驗，並將其中一些元件推薦添加到安裝的工作負載中。從Visual Studio 17.10開始，當開發者更新Visual Studio時，系統也會自動安裝新的推薦元件。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2024/2/19 16:54作者李建興https://www.ithome.com.tw/news/161345
Fintech周報第231期：日本多家中小型銀行與IT廠商合作展開核心系統上雲計畫，目標2028年上線銀行專用雲端平臺…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2/8~2/17金融科技精選新聞</span></span></h3> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NTT data</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 共享型核心系統 </span></strong></span></h3> <h3>日本多家中小型銀行與IT廠商合作展開核心系統上雲計畫，目標2028年上線銀行專用雲端平臺，共用資料中心、硬體設備和中間軟體</h3> <p>為了解決大型主機老舊、開發人才銳減的問題，日本多家中小型銀行和IT廠商合作展開核心系統上雲計畫。近期，多家日本地方銀行宣布加入IT大廠NTT Data的一項開發計畫，NTT Data將在今年4月開始開發「整合銀行雲」，一個共享銀行系統的雲端平臺。目前，已有18間地方銀行加入計畫，包括由13間銀行組成的日本地方銀行聯合中心。「整合銀行雲」若順利開發完成，就能整合銀行系統所需的硬體設備和中間軟體至NTT Data建立的資料中心，參與計畫的銀行內部將不再需要備有大型主機，有望降低相關營運成本。</p> <p>在日本，中小型銀行數量眾多，這些銀行主要經營特定區域，稱為地方銀行，數量高達64間。其中，多達四成的地方銀行都是採用NTT Data開發的核心系統。今年1月，NTT Data已協助五家地方銀行將自家開發的核心財務系統轉換為開放架構，2028年，NTT Data預計上線整合銀行雲，並在2030年將共享型核心財務系統上架至平臺，再研議擴大應用範圍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/020800-02.png" style="width: 600px;" /></p> <blockquote><p>NTT Data計畫以三階段逐步將共享型核心財務系統整合至「整合銀行雲」，第一階段是在2024年1月將共享型核心財務系統MEJAR改為開放系統架構，第二階段是在2028年上線<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">「整合銀行雲」，第三階段則是在2030年將MEJAR上架至雲端平臺，並研議擴大應用範圍。</span></p> </blockquote> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 保險GAI應用 </span></strong></span></p> <h3>日本保險公司明治安田生命計畫以GAI自動生成客服應對備忘錄</h3> <p>明治安田生命近期宣布，將應用生成式AI在人工輸入資料的工作任務，包括在客服中心自動生成應對客戶的備忘錄，和自動生成業務手冊的問答集。</p> <p>明治安田生命表示，客服中心每年需要處理約55萬筆客戶電話諮詢，通話結束後，客服人員需要人工紀錄諮詢內容，製作客服應答備忘錄。未來，他們會將過往的應答備忘錄供生成式AI模型學習，讓模型自動生成內容，預計能縮短約三成的作業時間。</p> <p>此外，明治安田生命也計畫藉生成式AI自動生成實務手冊問答集。雖然公司內部已經運用AI打造實務手冊問答搜尋系統，但更新問答集仍是以人工進行。因此，明治安田生命希望藉生成式AI取代這項工作，不僅可縮短四成的工作時長，也能生成人工不易發現的問答內容。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲聯邦銀行 </span></strong></span></p> <h3>澳洲聯邦銀行揭露內部已有超過50個GAI應用</h3> <p>澳洲聯邦銀行（CBA）在2023下半年報告中揭露，內部已有超過50個生成式AI應用，並已提升超過500位員工使用AI工具的能力。雖然報告中並未揭露詳細資訊，但近期CBA資訊長在一場活動中表示，公司內部正在測試以生成式AI加強問答工具，協助消金和企金客服人員更快速回應合規性問題，另一方面，也協助貸款業務員處理資訊，讓他們在服務顧客時能快速進行決策。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub Copilot</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳盛銀行 </span></strong></span></h3> <h3>澳盛銀行研究顯示，GitHub Copilot可協助提升約42%的工作速度</h3> <p>澳盛銀行近期發表實驗GitHub Copilot的研究論文，該論文經第十屆國際軟體工程研討會（SEC 2024）審查後接收。去年，澳盛銀行進行為期六週、共100名工程師的測試。他們要求工程師以Python完成多項任務，並將100名工程師分為兩組，一組可以使用GitHub Copilot，另一組則為對照組，僅能搜尋網路資料，或使用Stack Overflow。</p> <p>實驗結果顯示，能使用GitHub Copilot的小組任務完成速度比對照組快約42%，且程式碼較少發生錯誤。但研究也指出，實驗結果無法評估程式碼的安全性。目前，澳盛銀行已經大規模導入這項工具，讓全行千名工程師使用。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Evident AI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI發展 </span></strong></span></h3> <h3>知名銀行AI成熟度指標Evident AI指出，建立自家AI團隊、發表AI研究是成為AI領先銀行的關鍵</h3> <p>Evident AI在去年11月公布全球50大銀行AI成熟度排名，由摩根大通拿下榜首，第一資本排名第二，加拿大皇家銀行排名第三。在這份調查中，Evident AI發現，北美地區的領導銀行在AI發展上能領先歐洲地區銀行的主要原因有三：建立AI研究團隊、發表AI研究論文，和參與AI研討會。其中，領先銀行約在2010年至2020年間，就積極聘請內部AI科學家，累積內部研發能力，凸顯他們對AI人才的重視。</p> <p>Evident AI報告近一步指出，在全球50大銀行發表的AI研究論文中，北美地區銀行的發表數就占了八成，而排名第一的摩根大通甚至占整體45%。該報告認為，銀行若要吸引或留住頂尖AI人才，就須要改變思維方式，例如允許人員發表研究論文、購買運算能力高的設備、讓人員融入學術人才圈，並減少對供應商的依賴。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 加密貨幣</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管 </span></strong></span></h3> <h3>香港金管局提出加密貨幣準備金相關規範</h3> <p>香港金管局近日發布一份諮詢文件，該文件根據國際巴塞爾銀行監管委員會（BCBS）一年多前制訂的標準，規範銀行持有加密貨幣的準備金，是全球首個採用巴塞爾加密貨幣標準的地區。</p> <p>該諮詢文件中，將加密貨幣分為兩大類，每類又分成兩小組。一類是代幣化傳統資產和具有穩定機制的加密資產，其他加密貨幣則屬於另一類。前者的定義幾乎等同已規範的傳統資產，僅是透過加密技術將其代幣化，後者定義的資產中，缺乏流動性且具高度客製化的加密貨幣規範最嚴格。這個規範將在5月初截止徵求意見，預計在2025年7月之後實施。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 個資外洩</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 第三方支付 </span></strong></span></h3> <h3>法國兩家支付業者遭網路攻擊，客戶資料外洩波及法國總人口數的一半</h3> <p>法國資料保護機構（CNIL）在2月7日公布，支付業者Viamedis與Almerys通報他們在1月遭到網路攻擊，外洩了逾3,300萬名客戶的個資。目前法國約有6,800萬的人口，等於有接近一半民眾的個資遭駭。</p> <p>這兩家業者主要業務是提供健康保險業者第三方支付服務，外洩資料涵蓋了投保人與其家人的各種資訊，包括社會安全碼、出生日期、健保業者的名稱，以及合約內容。而醫療資訊、金融資訊、郵政資料與電話號碼則未受到影響。</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">圖片來源／NTT data</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年2月</p> <p> </p> <p></p> </div></div></div>
2024/2/19 10:44作者李昀璇https://www.ithome.com.tw/news/161336
Epic Games宣布要在iOS上建立遊戲商店
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在蘋果因受到《數位市場法》（Digital Markets Act，DMA）的規範，<a href="https://www.ithome.com.tw/news/161035" target="_blank">而決定放寬政策</a>，於歐盟開放第三方程式市集、第三方瀏覽器引擎及第三方支付機制之後，遊戲業者<a href="https://store.epicgames.com/en-US/news/epic-games-store-2023-year-in-review" target="_blank">Epic Games即宣布</a>，已經取得蘋果的開發者帳號，並正在開發iOS上的Epic Games Store，預計於今年上線，而《要塞英雄》（Fortnite）也可望重返iOS平臺。</p> <p>蘋果與Google在2020年8月，因Epic Games在所開發的《要塞英雄》遊戲中，加入了自家的支付機制，雙雙以違反開發者政策為由，將《要塞英雄》下架。除了掀起了Epic Games與這兩大科技業者的訴訟之外，之後的《要塞英雄》只能藉由Google Play以外的途徑下載，而蘋果的App Store亦不再供應該遊戲。</p> <p>然而，《數位市場法》改變了蘋果與Epic Games在歐盟的發展。</p> <p>Epic Games Store是Epic Games在2018年12月推出的數位遊戲發行平臺，支援Windows與macOS，迄今已提供逾2,900款遊戲，每月的活躍用戶數高達7,500萬。</p> <p>Epic Games表示，今年該公司在歐洲將重返iOS，已取得蘋果開發者帳號，很快就會著手開發支援iOS的 Epic Games Store，預計今年便會發表。未來將由Epic Games Sweden AB負責歐洲市場的行動Epic Games Store與《要塞英雄》。</p> <p>除了自家的規畫之外，Epic Games與迪士尼（The Walt Disney Company）在今年2月<a href="https://www.ithome.com.tw/news/161248" target="_blank">宣布結盟</a>，迪士尼以15億美元的注資取得了9%的Epic Games股份，雙方將共同開發以迪士尼角色及故事為主軸的遊戲樂園。</p> </div></div></div>
2024/2/19 14:44作者陳曉莉https://www.ithome.com.tw/news/161341
Container快報第157期：GKE和EKS開始支援K8s 1.29新版，荷蘭第二大銀行用Cilium控管每月16…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#FF0000;">2024/1/15～2/16 精選容器新聞</span><br /> 去年K8s釋出1.29新版後，公雲業者陸續開始在今年初開始支援，包括Google雲的GKE和AWS的EKS，都從今年初開始提供新版。K8s維運的成本控管問題，越來越複雜，K8s成本專案OpenCost的發起者Kubecost也推出了新版產品，除了支援超大規模K8s的成本追蹤之外，還開始運用AI，來預測K8s叢集未來特定日期範圍的成本，讓企業評估上雲費用的未來負擔。另一則值得注意的是VMware改訂閱制和套餐賣法之後，最近公布了停止供應的產品清單，多達59項產品不再單賣或下架了。</strong></p> <p><strong><span style="color:#0000FF;">#Cilium #K8s網管</span><br /> 荷蘭第二大銀行用Cilium建立每月16億次API呼叫的零信任網路控管</strong></p> <p>Rabobank是荷蘭第二大銀行，全球員工近4萬人，開發團隊超過400個。他們有一個5人小組的API平臺團隊，最近用CIlium打造了一套API控管機制，可以建立一個FQDN的網路控管政策，來實現零信任網路，而不用網路IP位址，來控管這上百個開發團隊所用的各種API。他們的基礎架構環境包括了兩套K8s平台，一個是在雲端的AKS叢集，另一個則是在本地端運作的OpenShift叢集，來支援超過400個團隊所用的API平臺的運作，每個月的API呼叫次數超過16億次。原本他們使用了Azure的CNI來控管網路層，但是K8s的網路政策只支援IP列表的控管，尤其許多API在雲端執行時，IP經常會動態變化。要靠IP控管，來建立自動化作業、維護或故障排除，都相當麻煩。</p> <p>後來，他們改用Azure的客製化CNI，搭配Cilium來建立FQDN的白名單網路政策的控管，只需提供網域清單，而不用IP位址，也能全自動進行網路過濾條件的異動，來落實零信任網路政策的要求。另外，Robobank也啟用了Cilium的Hubble可觀察性功能，來監控API的網路流量。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CNCF%E5%85%AC%E5%B8%83%E6%96%B0Cilium_case.png" /></p> <p><strong><span style="color:#0000FF;">#容器調度、#K8s</span><br /> K8s年度效能報告出爐，4成企業容器調度能力更準確不容易過量</strong></p> <p>這是K8s維運管理顧問公司Fairwinds第四年公布K8s效能報告，今年他們追蹤了來自上百家企業，多33萬個K8s工作量的維運情況。有幾項發現，近4成企業過半容器工作量，用了適量的容器規模來實行，這意味著企業的容器利用率，比過去更好。這四成企業更清楚來如過調度合適的容器數量，來符合他們想要的AP執行效能，而不會過度配置。去年多達44%企業，7成工作量都會開啟Root權限，但今年，企業更謹慎控管，下滑到只有30%企業如此。大量容器規模調度用特權提升的企業也減少了15%，更多企業倚賴預先配置的政策或規則來自動調度。<br /> 不過，過時的容器映像檔逐漸成為企業的挑戰，今年近半數企業有9成工作量都會遇到容器映像檔過時問題。另外也有3成企業他們的容器工作量9成發生映像檔漏洞問題，去年只有1成企業有同樣的災情。這容器映像檔的維護和安全更新，成了企業基礎架構維運越來越重要的課題。</p> <p><strong><span style="color:#0000FF;">#Cilium、#OpenTelemetry</span><br /> CNCF公布2023年最活躍的雲原生社群，K8s、OpenTelemetry和Cilium名列前三</strong></p> <p>在今年初時，CNCF公布了2023年最活躍的開源雲原生專案排名，K8s專案向來都是第一名，去年仍有高達3,569名貢獻者，送出4萬多次程式碼更新。活躍度名列第二的是OpenTelemetry專案，隨著可觀察性需求越來越高，這個雲原生開可觀察性框架的發展也越來越蓬勃，去年高達1467名貢獻者，送出近2萬次程式碼更新。活躍度名列第三的是另一個網路可觀察性專案Cilium，雖然這個專案只有443名貢獻者，不到OpenTelemetry專案的三分之一，但在去年也送出了1萬5千次程式碼更新，甚至可以說，平均每位貢獻者的積極程度，比第二名的專案還要高。值得注意的是，API管理平臺Argo專案（896人）和開發者平臺專案Backstage（602人）的貢獻者規模，分別名列第三、四名，這是兩個參與者越來越多的專案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7CNCF_Top_Project.jpeg" /></p> <p><strong><span style="color:#0000FF;">#FinOps、#OpenCost</span><br /> K8s成本工具大升級，Kubecost新版能用AI預測用戶支出</strong></p> <p>K8s成本工具服務商Kubecost推出2.0新版，這是以他們開源捐給CNCF的OpenCost為核心，所打造的同名K8s成本管理工具，新版不只大幅提高了後端API的效能，能以視覺化呈現所有流量的成本，還可以用AI來預測使用者的K8s支出。<br /> 2.0 新的API後端大幅提升效能100倍，處理大規模Kubernetes環境的時候，可以更靈敏地操作Kubecost API和UI，現在可以查詢3年以上的歷史資料，以獲得更長時間的資源利用率趨勢，進行更全面的決策和分析。Kubecost網路監控現在可以提供Pod、命名空間、叢集和雲端服務的成本可見性，以接近即時的速度，視覺化呈現基礎設施中任一部分的成本。透過AI分析歷史Kubernetes和雲端資料，可以提供準確的預測成本波動，也能預測未來特定日期範圍的支出成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/forecasting-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Kubecost.png" /></p> <p><strong><span style="color:#0000FF;">#Hyper-V、#新版Windows Server</span><br /> Windows Server 2025釋出第一個預覽版本，聚焦四大類功能強化</strong></p> <p>微軟最近釋出了下一版的伺服器作業系統Windows Server 2025預覽版，將強化四大類功能，包括了更簡單的熱更新機制，不用重新開機就能更新修補程式。新版也將推出了新一代AD和SMB機制，像是SMB over QUIC，讓用戶可選擇是要透過TCP、RDMA或QUIC等傳輸協定來連結SMB伺服器，過去只有Windows Server Azure版支援更安全的QUIC，現在不管是資料中心或是標準版都支援它。另外也會針對關鍵任務的資料和儲存需求強化，還會強化Hyper-V對AI的支援，例如可以讓多個虛擬機器共享一顆CPU的資源，Hyper-V也會提高NVMe的支援，例如強化IOPs，支援NVme over Fabirc等。新的按量付費訂閱估能也會成為2025的選項之一。<br /> 目前Windows Server正式版是微軟在2021年8月推出的Windows Server 2022，至於下一代的Windows Server 2025正式版，則預計於今年8月發行。</p> <p><strong><span style="color:#0000FF;">#GKE、#重大漏洞修補</span><br /> Google緊急修補GKE重大風險漏洞，資安業者估計高達25萬個GKE受影響</strong></p> <p>資安廠商Orca Security發現在1月底發布了一項GKE的重大風險漏洞，可讓任何具有Google帳號的攻擊者接管配置不當的Kubernetes叢集，進而進行挖礦、阻斷服務攻擊，以及竊取敏感資料等惡意行為。Google已釋出更新，呼籲管理員升級GKE。<br /> 資安業者稱為Sys:All漏洞。在GKE中的system: authenticated群組不單連結驗證過及關鍵用戶的帳號角色，還包含所有Google有效帳號（包括外部人士）。不知情的GKE管理員會因此為這個群組指派過大角色權限，而讓外部人士有機可趁，外部人士可以利用自己的Google OAUth 2.0 bearer token，進行偵察、濫用等惡意活動。Orca Security掃瞄網路發現，25萬個GKE叢集都有該漏洞，其中數百個叢集內的存取資訊，能讓攻擊者在受害環境中橫向移動及存取敏感資訊。</p> <p><strong><span style="color:#0000FF;">#VMware、#vSphere</span><br /> 59項產品受影響！VMware公布停止供應的產品清單</strong></p> <p>隨著VMware轉為訂閱制後，許多獨立產品也精簡為套裝組合，只提供VMware Cloud Foundation（VCF）和VMware vSphere Foundation（VVF）兩個新產品，作為訂閱軟體提供。哪些產品受到影響？VMware官方在1月底時，<a href="https://blogs.vmware.com/cloud-foundation/2024/01/22/vmware-end-of-availability-of-perpetual-licensing-and-saas-services/">終於公布</a>了停止供應（End of Availability，EoA）VMware產品清單，總計59款產品不再以獨立產品、支援與訂閱、SaaS/託管與其他訂閱的形式提供。<br /> 停止供應的有VMware vSphere相關產品，諸如Enterprise Plus、Standard、Storage Appliance與Hypervisor等版本，還有vSAN的ROBO與Desktop等版本，以及NSX與vCloud等相關產品。VMware也宣布終止提供Aria SaaS，但仍會對正在使用Aria SaaS服務的用戶提供支援，直到訂閱期限結束，當訂閱期限結束後，用戶就會需要轉換到VCF或VVF。目前Aria SaaS服務正處於維護模式，因此不會發布新功能，只會對有效訂閱期限內的用戶，提供安全性和關鍵更新。</p> <p><strong><span style="color:#0000FF;">#DevOps、#Docker</span><br /> Docker公司推出組建映像檔代管服務，提供AMD和ARM雙環境部件工具</strong></p> <p>最近Docker公司推出了一項組建映像檔的代管服務Docker Build Cloud，可以在雲端代管企業自己用來部署和組建用的映像檔，來加快部署到不同環境的速度。這項服務提供了一組可以支援AMD和ARM環境的組建工具，原生支援多架構平臺，包括Intel（AMD 64）及Apple Silicon/AWS Graviton（Arm 64）晶片上的組建，可節省設定和維護多個原生Builder的麻煩，讓開發者更容易將自家應用部署到兩個不同架構的環境中。另外也提供了團隊共享的組件快取空間，來加快其他人重複部署同一個映像檔的速度。官方宣稱，新服務號稱可讓個人或團隊成員完成組建（build）速度加快39倍。</p> <p><strong><span style="color:#0000FF;">#容器開發、#Docker</span><br /> Docker桌面版釋出4.27新版，檔案共享的同步功能快10倍</strong></p> <p>年初時，Docker桌面版釋出了今年第一個新版本4.27，最大新特色是大幅強化了檔案共享的同步能力，讓 Docker桌面版VM內的ext4檔案系統上的檔案，更快和本機端環境的檔案同步，在本地主機或VM中的修改，可以快速同步到另一個環境中。官方宣稱最高提高10倍的檔案同步速度。另外，也可以在不同的虛擬檔案系統中，同步超過10萬的檔案，或是GB級的超大檔案。可以支援如VirtioFS、gRPC FUSE、osxfs等虛擬檔案系統。不過，目前檔案共享的同步功能還不支援WSL或Windows容器。</p> <p><strong><span style="color:#0000FF;">#EBS、#ECS</span><br /> AWS容器服務ECS開始原生支援EBS區塊服務</strong></p> <p>Amazon ECS從今年初開始，開始原生支援高效能區塊儲存服務Amazon EBS。不論是在AWS Fargate與Amazon EC2上執行ECS的任務，現在開始都可以配置EBS儲存，使用單一可用區域的低延遲高效能區塊儲存，用戶不需要自己管理儲存或運算資源。已經在9個AWS地區提供，涵蓋美東、美西、歐洲等地區，亞太部分則在新加坡、雪梨和東京地區提供。</p> <p><strong><span style="color:#0000FF;">#FQDN、#K8s</span><br /> GKE開始支援K8s 1.29版，也正式推出FQDN網管政策功能</strong></p> <p>去年底K8s釋出最新的1.29版後，隔了一個月，GKE也1月底中開始支援到1.29版K8s，目前在先在標準版、Redualr和Rapid通路支援，穩定版通路還沒支援到1.29。同時，GKE也宣布1.24版停止支援，目前可支援的版本以1.25～1.29為主，共5個版本的K8s。2月初另外一個重要更新是，GKE網路政策功能正式支援FQDN，對於GKE工作負載對外的網路流量，不論是連結到外部網路或內部環境，都可以透過指定完整網域名稱來建立控管清單，也能結合正則表示式來建立各種規則，可以更彈性支援動態IP的API服務的控管，不需要隨時更新API最新的IP。不過，目前只有GKE企業版支援，也先在1.26、1.27和1.28版支援這項功能。2月其他更新還有增加了Pod對Pod流量加密功能，可以提高單一叢集或跨叢集的節點之間網路傳輸的安全性，包括1.26到最新支援的1.29版都支援這項加密新功能。</p> <p><strong><span style="color:#0000FF;">#EKS、#K8s</span><br /> Amazon EKS也開始支援K8s 1.29版，連Distor版都開始提供新版</strong></p> <p>不只Google雲，AWS也在1月底左右，增加了對新版K8s 1.29版的支援，不只雲端EKS服務更新，AWS所維護的K8s發行版本EKS Distro版，也同步更新到1.29版，連帶使用Distor版來提供企業本地端部署的EKS Anywhere版也同樣更新。目前EKS所支援的K8s版本達到七個版本，從1.23到1.29，其中1.24提供標準支援，但1.23則要付費購買延伸支援。AWS官方特別提醒，企業要升級到1.29版得要特別留意，FlowScheme和PriorityLevelConfiguration這兩項API版本的更新，因為在1.29版中棄用了這兩項API的beta就版，沒有跟著更新，恐怕會導致配置檔出錯，這是比較容易忽略的配置問題。AWS也在新版更新公告中，特別提醒這一點。</p> <p><strong>更多新聞</strong></p> <ul> <li>KSOC發表容器映像檔指紋工具，用eBPF技術快速比對容器映像檔是否遭竄改</li> <li>紅帽捐出可以快速在K8s環境部署Kafka的Strimzi專案，成為CNCF孵化專案</li> </ul> <p>@資料來源：iThome整理，2024年2月</p> <p>責任編輯：王宏仁</p> </div></div></div>
2024/2/19 14:44作者王宏仁https://www.ithome.com.tw/news/161334
【資安週報】2024年2月5日到2月17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2月農曆春節前後，剛好適逢多家廠商發布每月安全更新，包括微軟、Adobe、SAP等多家IT業者，在掌握這些漏洞修補動向之餘，這期間有不少漏洞利用情形，更是需要企業優先重視。我們整理如下：</p> <p>有3個零時差漏洞已遭成功利用：<br /> ●Fortinet在2月8日修補已遭利用的零時差漏洞CVE-2024-21762，這是存在該公司SSL VPN元件的RCE漏洞。<br /> ●微軟在2月13日修補73項漏洞中，有兩個是已遭利用的零時差漏洞，分別是：可繞過網際網路捷徑檔安全功能的CVE-2024-21412，以及可繞過Windows SmartScreen安全功能的CVE-2024-21351。</p> <p>還有4個已知漏洞，在近期被發現遭攻擊者利用，首先是微軟修補Exchange伺服器重大漏洞CVE-2024-21410，隔日該公司示警有攻擊利用，其他包括：Roundcube郵件伺服器去年9月修補的漏洞CVE-2023-43770、Google去年9月修補Chromium V8類型混淆漏洞，以及思科2020年5月修補防火牆產品的資訊洩漏漏洞CVE-2020-3259。</p> <p>在資安事件方面，有3項消息成為焦點，都與上櫃及興櫃公司有關，包括：<br /> ●2月5日，上櫃化學工業美琪瑪的部分資訊系統遭受網路攻擊。<br /> ●同樣2月5日，上櫃觀光富野說明旗下分公司的資訊系統遭網路攻擊。<br /> ●2月15日，興櫃瑩碩生技代子公司公告，揭露歐帕生技醫藥遭遇網路攻擊事件。</p> <p>在這些公告之後，還有其他狀況發生，在此一併補充。關於上述美琪瑪遭網路攻擊，有駭客2月16日於論壇聲稱兜售該公司2TB資料；中華民國紡織業拓展會（紡拓會）也傳出可能遭駭，因為他們被一個勒索軟體組織列為受害者，這類法人協會被鎖定的狀況，可能同樣需要追蹤。</p> <p>醫療健保相關產業也要注意，因為國際上最近有2起相關重大資安事故，例如，羅馬尼亞有1百多家醫院遭網路攻擊，當地網路安全局及衛生部已證實，是醫院服務供應商遭到Backmydata勒索軟體攻擊；法國健保業者客戶傳出資料外洩，由於事件恐波及該國近半數民眾，當地的資料保護機構CNIL針對提供第三方支付的兩家公司Viamedis與Almerys進行調查。</p> <p> 在威脅焦點方面，最近有相當多起資安威脅的揭露，都與中國駭客網路攻擊有關，我們整理如下：<br /> ●資安業者Trellix最近指出，臺灣總統大選投票前一天遭受網路攻擊出現大幅增加，根據他們的遙測資料顯示，部分惡意流量特別針對政府、執法與金融單位。<br /> ●資安業者SentinelOne揭露，中國當局在2022年宣傳美國對其發動駭客攻擊，調查其宣傳內容發現，中國的指控普遍缺乏相關的技術分析及證據。<br /> ●荷蘭軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）發布聯合公告，指出該國國防部去年遭中國網路間諜入侵，並植入後門程式。<br /> ●關於LLM被國家級駭客惡意使用，微軟與OpenAI揭露濫用方式，包括查詢開源資訊、翻譯、找程式碼漏洞等，並指出中、俄、伊、北韓駭客組織都已這麼做。</p> <p>特別的是，繼2023年11月義大利報紙 Il Foglio揭露6個冒充義大利新聞媒體的網站，以及韓國國家網路安全中心（NCSC）揭露18個冒充當地新聞媒體的網站，最近<a href="https://citizenlab.ca/2024/02/paperwall-chinese-websites-posing-as-local-news-outlets-with-pro-beijing-content/">加拿大公民實驗室（Citizen Lab）發表名為Paperwall的報告</a>，揭露至少有123個網站冒充歐洲、亞洲、拉丁美洲當地的新聞機構，目的是宣傳親中內容，經層層追蹤這些網站後發現，都與1家中國公關公司有關。本期日報尚未提及，在此補上。</p> <p>其他值得關注的威脅手法，我們認為有3項消息需要特別留意：<br /> ●香港警方表示，跨國企業員工因為駭客利用Deepfake技術假冒公司主管參加視訊會議，並指示員工轉帳2億港幣，等到事後向總公司確認才發現上當。<br /> ●關於QR Code網釣，有郵件安全業者研究多半是針對高階主管而來，比一般員工高出42倍。<br /> ●資安業者分析能迴避資安防護系統的惡意程式，發現有7成惡意程式會採用隱形（stealth-oriented）手法。</p> <p>在資安防護方面，有兩個重要新聞，分別是對於勒索軟體與量子破密的因應。針對2023年下半造成重大災情的勒索軟體Rhysida，最近有南韓國民大學研究人員找出其實作漏洞進而破解，後續將提供免費解密工具；近年國際間持續看重後量子密碼學的發展，最近Linux基金會更是宣布，與AWS、Cisco、Google、IBM與Nvidia等11個組織成立後量子密碼學聯盟PQCA，希望透過建立開放與合作的環境，開發用於評估、原型設計與部署後量子演算法的軟體。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161188"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月5日】知名遠端桌面連線軟體AnyDesk證實伺服器遭駭並撤換程式碼簽章</span></strong></a></h3> <p>近年來利用遠端桌面連線程式入侵受害電腦，已是駭客偏好的手法之一，但若是提供這類系統的業者遭駭，很有可能讓攻擊者取得大量帳密資料，並將其用於發動攻擊。</p> <p>上週末AnyDesk證實他們有伺服器遭到入侵，並尋求資安業者協助，進行這起事故的後續回應，雖然該公司強調他們尚未得知有使用者受到影響，但有資安業者發現駭客已在地下論壇兜售大量AnyDesk帳密，後續發展有待觀察。</p> <h3><a href="https://www.ithome.com.tw/news/161212"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月6日】駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣</span></strong></a></h3> <p>大約3、4年前，<a href="https://www.ithome.com.tw/news/139454">用深度學習（Deep Learning）進行AI影像合成的假訊息及詐騙手法Deepfake出現</a>，引起資安界高度關注，而最近有2起事故再度讓Deepfake帶來的威脅浮上檯面。</p> <p>其中之一是網路上有人利用<a href="https://www.ithome.com.tw/news/161083">這類技術產生知名歌手Taylor Swift的色情照片</a>；而另一起則是直接造成財務損失，駭客用於對跨國企業財務人員的視訊會議詐騙，利用該公司高階主管網路上公開的影片進行合成，讓這名員工信以為真。</p> <p><a href="https://www.ithome.com.tw/news/161232"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月7日】求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標</span></strong></a></p> <p>為了竊取大量使用者資料，不少攻擊行動鎖定電商網站而來，甚至發展出側錄使用者信用卡的手法Magecart，但現在，也有專門針對提供其他服務的網站而來的情況。</p> <p>最近資安業者Group-IB揭露的ResumeLooters攻擊行動，就是針對求職網站而來，駭客的主要目標是亞太地區，其中，又以印度和臺灣的災情最嚴重。</p> <h3><a href="https://www.ithome.com.tw/news/161289"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月15日】臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料</span></strong></a></h3> <p>駭客意圖藉由網路攻擊來操縱國家重要選舉的情況，可說是越來越常見，而這樣的情況，也出現在臺灣上個月舉行的總統與立委大選。</p> <p>根據資安業者Trellix的觀察，他們發現中國駭客在選舉的前一天，企圖透過網路攻擊找出能用於抹黑的資料，研究人員認為駭客選擇此時間點的原因在於，一旦找到相關的資訊大肆散布，候選人將沒有足夠時間進行澄清，而有機會左右選舉的結果。</p> <h3><a href="https://www.ithome.com.tw/news/161319"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</span></strong></a></h3> <p>民眾透過手機操作網路銀行的情況在全球各地可說是相當普遍，針對手機而來的金融木馬攻擊，在最近2到3年有越來越頻繁的現象，但過往這類惡意程式幾乎都是針對安卓手機而來，如今也出現同時攻擊iPhone用戶的金融木馬程式。</p> <p>本週資安業者Group-IB揭露的金融木馬GoldPickaxe，就是典型的例子。特別之處在於，駭客濫用的管道是蘋果專供開發人員發布測試版應用程式的平臺TestFlight，對這類手機用戶發動攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/161326"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</span></strong></a></h3> <p>這1個月以來，Ivanti公布了5個Connect Secure漏洞，其中有3個在該公司發出公告之前就被用於攻擊行動，也因此這些漏洞後續的情況，引起不少研究人員高度關注。</p> <p>這些漏洞導致IT人員須持續追蹤公告、安排套用緩解措施及部署更新的行程，疲於奔命。話雖如此，研究人員發現，可透過網際網路存取的Ivanti系統，仍有超過半數未修補。</p> <p> </p> </div></div></div>
2024/2/19 11:52作者羅正漢https://www.ithome.com.tw/news/161338
全球科技業者承諾將力抗今年選舉的AI欺騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>包括微軟、Google、Meta、OpenAI及IBM等全球20家科技業者<a href="https://www.aielectionsaccord.com/uploads/2024/02/Press-Release-AI-Elections-Accord-16-Feb-2024.pdf" target="_blank">在日前舉行的慕尼黑安全會議（Munich Security Conference，MSC）上承諾</a>，將共同努力偵測及打擊有害的AI內容，以防止這些欺騙性的AI內容干預2024年的全球選舉活動。今年總計有40個國家舉辦選舉活動，光是還未執行的總統大選就有美國、巴基斯坦、斯里蘭卡及迦納等，還有眾多的普選與議會選舉，投票人數超過40億人。</p> <p>這些科技業者具體提出了8項承諾，分別是開發及導入可用來減少欺騙性AI選舉內容的技術與工具；評估此一承諾範圍內的模型，理解它們可能帶來欺騙性AI選舉內容的風險；試圖偵測相關內容於其平臺上的散布；尋找適當解決在平臺上所偵測到的欺騙性內容；培養跨產業對欺騙性AI內容的防禦能力；向大眾揭露如何解決問題的透明度；繼續與全球民間社會組織或學術界交流；支持對大眾意識、媒體素養及整個社會復原能力的推動。</p> <p>簽署此一承諾的科技業者涵蓋 Adobe、Amazon、Anthropic、Arm、ElevenLabs、Google、IBM、Inflection AI、LinkedIn、McAfee、Meta、微軟、Nota、OpenAI、Snap、Stability AI、TikTok、趨勢科技、Truepic與X。</p> <p>科技業者對此一行動所凝聚的共識來自於今年是個特殊的選舉年，全球在2024年舉行了大量的重要選舉，且民主建立在安全及可靠的選舉之上，而在此一AI急速發展的時代，業者想要確保AI工具不會成為用來散布欺騙內容的選舉武器。</p> <p><a href="https://blogs.microsoft.com/on-the-issues/2024/02/16/ai-deepfakes-elections-munich-tech-accord/" target="_blank">微軟指出</a>，此一協議明確地關注了一系列擁有具體定義的深度造假及濫用行為，所指涉的欺騙性AI選舉內容包括由AI生成的音訊、視訊與圖像，除了偽造候選人的聲明或行為之外，也可能傳遞虛假的投票行為。</p> <p>微軟亦特別為此建立了一個<a href="https://www.microsoft.com/en-us/concern/2024elections" target="_blank">檢舉平臺</a>，讓全球候選人皆可檢舉各種疑似由AI生成、涉及他們的欺騙性內容。</p> </div></div></div>
2024/2/19 12:53作者陳曉莉https://www.ithome.com.tw/news/161339
AI趨勢周報第243期：群創光電開源70億參數的繁中語言模型白龍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0209～0215)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 群創光電 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 白龍 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>群創光電開源繁中LLM和基準測試資料集</strong></span></p> <p>2月初，群創光電智能推進處Text&AIGC研發團隊<a href="https://www.facebook.com/groups/datasci.tw/permalink/7143444135732915/?mibextid=K35XfP">揭露</a>一款自行打造的繁中語言模型Bailong-instruct 7B和基準測試資料集，要推動繁中LLM的發展。進一步來說，該模型中文名為白龍，具70億參數，以壓縮方法QLoRA和團隊自行研發的束帶嵌入（Zip-tie embedding）技術，來大幅降低訓練所需的算力，同時強化模型在繁體中文任務的表現。</p> <p>Bailong-instruct 7B以Llama 2 7B為基礎，透過詞表擴充進行二次預訓練和指令精調而成，是一款類似ChatGPT的指令理解模型，支援繁中和英文。團隊表示，該模型在寫信、摘要生成、閱讀理解等任務的表現良好，此外，根據他們在Hugging Face上公開的資料，白龍模型還可處理多輪對話、開放式問答等多種任務。</p> <p>同時，團隊還釋出一套自建的測試基準資料集Bailong-bench，提供14個中英應用場景來測試模型表現。如同主流評估方法，他們的原理是選定一套LLM（如GPT模型）作為裁判，來評估不同模型回答不同問題的表現，但特別的是，這款Bailong-bench基準測試還添加了模型回答語言與使用者語言一致的考量。經該資料集測試，Bailong-instruct 7B的得分接近ChatGPT（gpt-3.5-turbo-1106），還優於其他開源的繁中LLM，比如在一般場景中，白龍得分為9.2、ChatGPT則是9.9，其餘則是Taiwan-LLM-7B-v2.1-chat的7.7分、Taiwan-LLM-13B-v2.0-chat的8.1分。<a href="https://huggingface.co/INX-TEXT/Bailong-instruct-7B?fbclid=IwAR22LjrWw2LfqOXGLHp3dScUf4uQAM6ozpBP7xLhO7lfvuEb8qLTuaq_0hE">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-02-18%20at%202_10_23%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> V-JEPA </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta公開新影片生成模型V-JEPA</strong></span></p> <p>科技巨頭Meta人工智慧研究團隊，最近揭露用於影片預測的非生成式AI模型V-JEPA，透過預測影片中缺失或被遮蔽的部分，來提高AI對這個世界的理解。V-JEPA的靈感來源，是來自Meta AI首席科學家Yann LeCun在2022年提出的JEPA架構，Meta曾在去年以JEPA架構開發電腦視覺模型I-JEPA，能預測畫面缺失的資訊，來生成圖像。</p> <p>現在，Meta進一步擴展JEPA，發展出能處理影片的V-JEPA。就訓練方法來說，團隊讓模型觀看一系列影片，並將這些影片遮蔽處理，來要求預測器在只有一小部分影片內容的上下文中，填充缺失的內容。這麼做的好處是，讓模型專注於影片的高層次概念，而非鑽牛角尖於對下游任務不重要的細節。V-JEPA採自監督學習方法，使用未標記的資料進行預訓練，只在要模型適應特定任務時，才會使用標籤。V-JEPA還能丟棄不可預測的資訊，提高訓練和採樣效率達1.5到6倍。</p> <p>V-JEPA特點之一是凍結評估（Frozen Evaluations），也就是模型在預訓練後，核心部分不會再改變，只需添加小型專門層即可適應新任務，免除傳統模型對新任務需要全面微調的麻煩。目前，Meta以CC BY-NC授權釋出V-JEPA模型。<a href="https://ai.meta.com/blog/v-jepa-yann-lecun-ai-model-video-joint-embedding-predictive-architecture/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe12-1.fna.fbcdn.net/v/t39.8562-6/427979095_923374739138637_7724069779118251294_n.png?_nc_cat=108&ccb=1-7&_nc_sid=f537c7&_nc_ohc=Ku4zorcFMIAAX_f496m&_nc_ht=scontent.ftpe12-1.fna&oh=00_AfConFFiEFX0mvBV40v265HKJuwNd7eQQ7aiEqXuFst3Sg&oe=65D5458A" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片生成 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Sora </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI揭最新短影片生成AI模型Sora，品質更高了</strong></span></p> <p>OpenAI最近揭露最新生成式AI模型Sora，輸入文字就能產生高品質、最長1分鐘的短影片。進一步來說，Sora是一個擴散模型，能生成多個角色、特定動作和精準主題細節與背景的複雜場景影片，，能從一個看似靜態噪音的影格開始，逐步透過去除噪音生成一則影片。</p> <p>Sora以DALL-E和GPT模型為基礎，使用DALL-E 3的重描述技術，能根據視覺訓練資料產生細緻的描述文字，因此也能貼近用戶的文字指令，來產生影片。同時，該模型也能將靜態圖片動態化。也就是說，Sora能從無到有生成全新影片，也能延長現有影片，或將遺失的影格補上。OpenAI點出，Sora是能理解和模擬真實世界的模型基礎，是實現通用AI的重要里程碑。目前，OpenAI正對Sora進行安全和功能測試。<a href="https://openai.com/sora">（詳全文）</a></p> <p><img alt="" src="https://openai.com/sora?video=zen-garden-gnome" /><img alt="" src="https://s4.itho.me/sites/default/files/images/60216-sora%20by%20openai-600-1.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> .NET </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 雲原生 </span></strong></span></p> <p><span style="font-size:22px;"><strong>.NET 9預覽版來了！聚焦雲原生和AI支援</strong></span></p> <p>微軟才發布.NET 8不久，.NET 9預覽版已經來了！.NET 9的重點仍是效能提升、雲端原生與AI開發支援。首先，微軟在第9版改善了Visual Studio和VS Code，加入.NET Aspire技術框架新的開發和部署功能，如元件配置、除錯支援、全面整合開發者儀表板，來讓開發者更輕鬆管理和監控應用程式。開發者也可從Visual Studio、VS Code，結合使用Azure Developer CLI，將應用程式快速部署到Azure容器，讓應用程式更快上雲。</p> <p>此外，.NET 9還持續改進Native AOT（Ahead-of-Time Compilation），來提高應用程式的啟動速度和執行效率，減少資源消耗。至於.NET 9對AI開發的支援，則是要讓開發者更容易使用新AI技術和OpenAI服務，亦即提供更多函式庫和文件，協助開發者使用OpenAI服務和其他開源模型，包括本地端和雲端模型的支援。微軟也會持續投資跨平臺機器學習框架ML.NET，強化向量資料庫和AI工作負載的支援，讓開發者更容易將AI功能整合到應用程式中。目前，微軟已開放.NET 9預覽版供開發者下載測試。<a href="https://devblogs.microsoft.com/dotnet/our-vision-for-dotnet-9/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多模態 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google發表Gemini 1.5，可支援百萬個Token上下文</strong></span></p> <p>日前，Google發表最新的Gemini 1.5模型，最多可支援長達100萬個Token的脈絡，也就是能一次處理大量資訊，如1小時的影片、11小時的音訊、超過3萬行的程式碼，或70多萬字的內容。</p> <p>這款Gemini 1.5模型主要採用Transformer和新的專家混合（MoE）架構，前者為一大型神經網路，後者則由眾多小型的專家神經網路所組成。MoE模型可根據使用者所輸入的資料類型，選擇性地在神經網路上啟動最相關的專家路徑，因此大幅提高模型效能。根據Google計畫，他們將在原本的Gemini 1.5 Pro服務中採用Gemini 1.5模型，將基本版支援的12.8萬個Token擴大到100萬個。<a href="https://blog.google/technology/ai/google-gemini-next-generation-model-february-2024/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 圖像生成 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Stability AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Stable Cascade </span></strong></span></p> <p><span style="font-size:22px;"><strong>Stability AI發表新一代圖像生成模型，比前一代更省16倍成本</strong></span></p> <p>Stability AI日前發表新一代文字轉圖像模型Stable Cascade，可簡單地在消費級硬體上訓練和微調。就流程來說，Stable Cascade有3步驟將文字轉換為圖像，包括潛在解碼階段的步驟A與步驟B，以及潛在生成階段的步驟C。</p> <p>其中，步驟C是將用戶的指令，轉換成一張小型且簡化的圖像草稿，只包含重要資訊，再將草稿輸入至步驟A和步驟B，同時加入更多細節並放大，形成一張詳細且高解析度的圖片。由於步驟C與步驟A、B分離，因此可單獨對步驟C額外訓練和微調，包括ControlNet和LoRA的訓練。這種設計，讓新模型與訓練一個類似大小的Stable Diffusion模型相比，節省了16倍成本。</p> <p>經測試，Stable Cascade不只效能更好，產生的結果也比前一代模型SDXL更好。目前，Stability AI開源步驟C和步驟B各兩種模型，步驟C有10億參數和36億參數版本，步驟B則有7億和15億參數版本。不只如此，團隊也同時開源用於訓練、微調、ControlNet和LoRA的所有程式碼，但這些開源資料只限非商業使用。<a href="https://stability.ai/news/introducing-stable-cascade">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/collage_1.jpg?itok=NpNNSMsq" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Slack </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摘要 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Slack發表Slack AI服務，可摘要各種訊息</strong></span></p> <p>主打企業溝通軟體的Slack最近發表Slack AI服務，提供多項LLM驅動的個人化功能。首先是個人化搜尋，能在使用者搜尋問題時，根據使用者企業的公開通訊內容和個人對話來客製化答案，涵蓋行銷專案、公司政策、過去決策、尋找主題專家到定義特定的縮寫等領域。再來是頻道回顧功能，能總結任何頻道重點，包括未讀訊息、過去7天的重點，還能統整自訂的日期期間。另一個功能是對話串摘要，可整理長期對話的重點摘要，每個摘要也會附上來源。</p> <p>Slack強調，Slack AI運作於Slack的基礎設施上，所使用的各種LLM都由Slack代管，並不會與LLM供應商分享客戶資料，也不會利用客戶資料來訓練LLM。據Slack統計，在Slack AI出現前，該平臺的使用者已打造可整合Slack使用的13,400種AI工具，合作夥伴亦已將AI整合到眾多的Slack應用中。該服務初期支援英文和Enterprise Grid方案客戶。<a href="https://slack.com/intl/zh-tw/help/articles/25076892548883-%E9%9A%86%E9%87%8D%E4%BB%8B%E7%B4%B9%EF%BC%9ASlack-AI">（詳全文）</a></p> <p><img alt="" src="https://slack.zendesk.com/hc/article_attachments/26243946041747" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 瀏覽器 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ONNX Runtime </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 模型訓練 </span></strong></span></p> <p><span style="font-size:22px;"><strong>開發者可在瀏覽器訓練模型！ONNX Runtime 1.17還支援聯合學習</strong></span></p> <p>微軟更新AI推論與訓練加速引擎ONNX Runtime（ORT），加入網頁訓練功能，讓開發者在瀏覽器中啟用模型訓練功能，如此裝置上的資料就能透過瀏覽器，進行聯合學習和個人化應用。</p> <p>從1.8版本開始，ORT Web提供瀏覽器內推論功能，讓開發者可部署跨平臺、可移植的AI模型，並支援模型在CPU和GPU推論。在最新的ONNX Runtime 1.17中，進一步支援在瀏覽器訓練機器學習模型，該功能主要由2部分組成，分別是WebAssembly二進位檔案和JavaScript套件。由於要讓開發者可以在瀏覽器用CPU來訓練模型，ONNX Runtime提供訓練功能應用程式介面C API，但瀏覽器不能直接執行C語言程式碼，所以需要使用低階語言WebAssembly協助。<a href="https://cloudblogs.microsoft.com/opensource/2024/02/06/on-device-training-training-a-model-in-browser/">（詳全文）</a></p> <p>圖片來源／Meta、OpenAI、Stability AI、Slack</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://openai.com/blog/memory-and-new-controls-for-chatgpt">OpenAI更新ChatGPT增加記憶能力</a>，能記住更多對話內容</strong></p> <p><strong>2. Nvidia推出<a href="https://blogs.nvidia.com/blog/chat-with-rtx-available-now/">Chat with RTX</a>應用程式，供用戶在本地端自訂AI聊天機器人</strong></p> <p><strong>3. Nvidia揭露世界第9名AI超級電腦Eos<a href="https://blogs.nvidia.com/blog/eos/">更多細節</a></strong></p> <p>資料來源：iThome整理，2024年2月</p> </div></div></div>
2024/2/18 02:56作者王若樸https://www.ithome.com.tw/news/161333
Extreme首款Wi-Fi 7基地臺登場，提供6種模式與專屬感測器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/extreme_networks_ap5020_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>年初出現一波商用Wi-Fi 7基地臺新品推出的消息，例如，Fortinet在1月中推出FortiAP 441K與FortiAP 443K，月底Extreme Networks也發布AP5020，支援大頻寬、對於存取延遲敏感的各種應用系統，以及物聯網設備的存取，可用於分散式企業組織，協助建置高效能、安全的網路環境。</p> <p>這款支援802.11be協定的Wi-Fi 7基地臺，支援5個頻段的設計。首先是6 GHz、5 GHz、2.4 GHz這三個頻段，均採用4x4:4的天線通訊架構，可匯聚的總頻寬達到20 Gbps，能支援高密度的使用環境，像是校園、倉儲、醫療照護設施、體育場館；同時，它也配備兩個物聯網專用的無線通訊頻段，支援Thread、Zigbee、藍牙低功耗5.4、IEEE 802.15.4等標準，同時用於多種物聯網應用案例，針對使用不同物聯網通訊協定的感測器、電子貨價標籤、照明設備、資產追蹤裝置，改善網路連線效能，並降低建置複雜性。</p> <p>就運作模式而言，AP5020預計將提供6種之多，初期有兩種，一是2.4 GHz、5 GHz、6 GHz的資料無線通訊（Mode 1），另一是兩個5 GHz搭配6 GHz的資料無線通訊（Mode 3）。後續將透過軟體更新，提供其餘4種模式，屆時企業可選用：兩個5 GHz搭配2.4GHz（Mode 5）、兩個6 GHz搭配5 GHz（Mode 6），以及5 GHz與6 GHz資料無線通訊搭配三頻段感測器（Mode 2）、2.4 GHz與5 GHz資料無線通訊搭配三頻段感測器（Mode 4）。</p> <p>相較之下，該公司先前推出的4款Wi-Fi 6E基地臺：AP4000、AP5010、AP5050、AP3000，僅提供兩種運作模式，其中之一是2.4 GHz、5 GHz、6 GHz資料無線通訊，另一是2.4 GHz、5 GHz資料無線通訊，搭配三頻段感測器（AP3000例外，提供2.4 GHz、5 GHz資料無線通訊，以及5 GHz、6 GHz資料無線通訊等兩種模式）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Extreme AP5020-Software Defined.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Extreme%20AP5020-Software%20Defined.jpg" style="width: 398px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Extreme%20AP5020-RF.png" style="width: 198px;" /></p> <p>之所以能提供這麼多種模式的選擇，主要是因為AP5020具備軟體定義無線通訊（Software-Defined Radios）的功能，而這類特色過去我們曾在<a href="https://www.ithome.com.tw/review/127729">Aerohive的Wi-Fi 6基地臺</a>的產品報導提到，隨著2019年Extreme Networks買下Aerohive之後，此技術終於在Wi-Fi 7產品再次重現。（AP5010提供兩種軟體定義模式，在Wi-Fi 6E產品首開先例）</p> <p>基於此種彈性設置，AP5020不僅能針對2.4 GHz、 5 GHz、6 GHz這三個頻段的資料通訊，提供多種組合搭配，並且支援兩個5 GHz或兩個6 GHz的傳輸，也能透過軟體可程式化機制，實現多種通訊模式，以更理想的方式管理無線網路頻段的運用，產生極致的個人端裝置無線上網效能體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Extreme%20AP5020-6GHz.jpg" style="width: 600px;" /> </p> <p>對於可用軟體設置的無線通訊運作，AP5020也能進行智慧型監控，有助於網管人員根據使用者的環境去調整無線網路的通訊頻率，將基地臺設置成需要的模式。除此之外，這款機型如同Extreme Networks的Wi-Fi基地臺，內建行動網路共存過濾器（Cellular Coexistence Filter，CCF），可減少行動寬頻網路的訊號干擾，並且比照上述Wi-Fi 6E基地臺機型，內建多頻段過濾器，使5 GHz與6 GHz所有可用頻道不會因此受限。</p> <p>同時，AP5020也配備2.4 GHz、5 GHz、6 GHz這三個頻段的專屬感測器，支援2x2的天線架構，可用於持續監控網路環境突然出現的非列管無線裝置，藉此降低資安漏洞濫用活動與網路攻擊的風險。而且，這個感測器還可搭配該公司的無線網路入侵預防系統Extreme AirDefense，以及去年11月發表、今年即將正式推出的SASE解決方案ExtremeCloud Universal ZTNA，強化網路安全存取防護能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/EXTREMECLOUD UNIVERSAL ZTNA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EXTREMECLOUD%20UNIVERSAL%20ZTNA.jpg" style="width: 600px;" /></a></p> <p>在電源與有線網路配置上，AP5020內建1個12伏特的DC電源插孔，以及2個支援PoE的10GbE埠。以網路埠而言，AP5020可藉此透過網路線同時接取電力，並且提供PoE容錯備援機制，確保持續連線，因應醫療照護、製造、教育場域的關鍵應用需求，也能在其中一個網路埠選用PoE的供電裝置模式（PSE）支援，可輸出15.4瓦電力，供其他透過PoE接取網路與電力的設備使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Extreme%20AP5020-PoE.jpg" style="width: 600px;" /></p> <p>關於多個Wi-Fi 7基地臺的集中管理，AP5020可支援該公司營運的雲端管理服務ExtremeCloud IQ，或是設置在企業內部環境的網路控制器ExtremeCloud IQ Controller。這部分功能的設置，似乎與AP5020的作業系統搭配有關，因為AP5020與上述多款Wi-Fi 6E設備一樣，都採用該公司的通用硬體平臺，用戶有兩種Wi-Fi作業系統的選擇，一個是ExtremeCloud IQ Engine OS，另一個是ExtremeCloud IQ Controller Engine OS，可在設備啟用時指定，之後也能變更。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Extreme Networks AP5020</strong><br /> ●原廠：Extreme Networks<br /> ●建議售價：廠商未提供<br /> ●支援無線網路規格：802.11 a/b/g/n/ac/ax/be<br /> ●網路介面：2個10 GbE埠（支援PoE）<br /> ●天線架構：6 GHz、2.4 GHz、5 GHz為4x4:4，MU-MIMO<br /> ●傳輸速度：總共為20 Gbps，6 GHz為11,500 Mbps，5 GHz為5,700 Mbps，2.4GHz為1,300 Mbps<br /> ●支援供電方式：DC、PoE<br /> ●整合其他無線通訊技術：低功耗藍牙、Zigbee、Thread<br /> ●尺寸：25.8 x 25.8 x 41公分<br /> ●重量：1.62公斤<br /> ●集中管理平臺：ExtremeCloud IQ、ExtremeCloud IQ Controller</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/17 17:08作者李宗翰https://www.ithome.com.tw/review/161329
【資安日報】2月17日，近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這1個月以來，Ivanti公布了5個Connect Secure漏洞，其中有3個在該公司發出公告之前就被用於攻擊行動，也因此這些漏洞後續的情況，引起不少研究人員高度關注。</p> <p>這些漏洞導致IT人員須持續追蹤公告、安排套用緩解措施及部署更新的行程，疲於奔命。話雖如此，研究人員發現，可透過網際網路存取的Ivanti系統，仍有超過半數未修補。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/over-13-000-ivanti-gateways-vulnerable-to-actively-exploited-bugs/"><strong style="font-size: 22px;">1.3萬臺Ivanti閘道設備尚未修補近期公布的漏洞</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GGWK0llbcAAUArv.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGWK0llbcAAUArv.jpg" style="width: 300px; float: right;" /></a>自1月10日Ivanti陸續針對旗下的SSL VPN系統Connect Secure（ICS）、NAC系統Policy Secure（IPS）、零信任網路存取閘道系統Neurons for ZTA，公布一系列漏洞CVE-2023-46805、CVE-2024-21887、CVE-2024-21893、CVE-2024-21888、CVE-2024-22024，如今有更多研究人員公布他們的調查結果，指出這些漏洞皆已遭到利用。</p> <p>資安業者Akamai指出，他們看到CVE-2024-22024已被用於攻擊行動，並在2月11日出現高峰，當時有80個IP位址發出24萬次嘗試利用漏洞的行動，對於3萬臺Ivanti主機散布惡意程式。</p> <p>Shadowserver基金會也有類似的發現，他們指出約有3,900臺Ivanti設備曝露於CVE-2024-22024的風險，此外，該基金會也提及仍有1,000臺主機存在CVE-2024-21887的弱點。</p> <p>研究人員Yutaka Sejiyama也公布調查結果，他指出，截至2月15日為止，全球可透過網際網路存取的Ivanti主機有24,239臺，目前約有10,603臺套用1月31日的修補程式，但修補CVE-2024-22024的主機僅有5,107臺，換言之，至少約有1.3萬臺主機尚未修補上述漏洞。</p> <p>資料來源</p> <p>1. <a href="https://www.akamai.com/blog/security-research/2024/feb/scanning-activity-ivanti-cve-february-2024">https://www.akamai.com/blog/security-research/2024/feb/scanning-activity-ivanti-cve-february-2024</a><br /> 2. <a href="https://twitter.com/Shadowserver/status/1757721421252264400">https://twitter.com/Shadowserver/status/1757721421252264400</a><br /> 3. <a href="https://twitter.com/nekono_naha/status/1757971789035245814">https://twitter.com/nekono_naha/status/1757971789035245814</a></p> <p><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a"><strong style="font-size: 22px;">中國駭客組織Volt Typhoon滲透美國關鍵基礎設施長達5年</strong></a></p> <p></p> <p>美國網路安全暨基礎設施安全局（CISA）、國家安全局（NSA）、聯邦調查局（FBI），以及五眼聯盟相關機構聯手，針對中國駭客組織Volt Typhoon攻擊美國關鍵基礎設施的情況提出警告，並指出這些駭客在部分受害組織活動超過5年。</p> <p>這些機構表示，該駭客組織已破壞美國水力設施、廢水處理系統、交通運輸系統、能源、電信業者等關鍵基礎設施的IT網路環境，其攻擊行動當中的主要手法，就是廣泛採用寄生攻擊（LotL），並濫用外流的帳號，以及落實高強度的操作安全，而能夠長時間在受害系統進行活動，並且不被察覺。</p> <p>Volt Typhoon在發動攻擊之前，會廣泛對目標組織的網路架構進行偵察，然後通常利用曝露在網際網路上的路由器、VPN、防火牆等設備，利用已知或未知漏洞得到網路環境的初始存取權限，再透過權限提升漏洞得到管理員的帳密資料，並利用遠端桌面協定（RDP）進行橫向移動至網域控制器（DC），然後採取寄生攻擊在目標網路進行調查，並從網域控制器取得AD的資料庫NTDS.dit，從而完全入侵，並著重存取操作科技（OT）資產的能力。上述機構也針對該組織的攻擊行動，提供防禦措施及入侵指標（IoC）。</p> <p><a href="https://blog.google/threat-analysis-group/commercial-surveillance-vendors-google-tag-report/"><strong style="font-size: 22px;">Google指控2023年8成零時差漏洞被商業間諜軟體供應商濫用</strong></a></p> <p>2月5日美國國務院宣布，他們將針對利用商業間諜軟體進行攻擊行動的人士，限制發給簽證，隔日Google公布他們對這種間諜軟體長期追蹤的調查結果。</p> <p>該公司旗下的威脅分析小組（TAG）追蹤全球約40家商業監控供應商（Commercial Surveillance Vendors，CSV），這些業者提供付費服務及工具，也包含間諜軟體及必要基礎設施，主要客戶為各國政府，攻擊對象涵蓋記者、人權捍衛者、異議份子、政治對手。</p> <p>TAG指出，CSV利用的零時差漏洞，有半數是針對Google產品及安卓系統而來，根據他們的統計，從2014年開始，總共有72個存在於Google產品的零時差漏洞，當中至少有35個是CSV發現並用於間諜軟體。TAG表示，他們發現最先進的攻擊工具當中，絕大多數來自CSV，在去年已被用於攻擊行動的25個零時差漏洞裡，就有20個來自CSV。</p> <p><a href="https://www.fortinet.com/blog/threat-research/info-stealing-packages-hidden-in-pypi"><strong style="font-size: 22px;">竊資軟體WhiteSnake透過惡意PyPI套件散布</strong></a></p> <p></p> <p>資安業者Fortinet揭露新一波的竊資軟體WhiteSnake Stealer攻擊行動，駭客上架nigpal、figflix、telerer、seGMM、fbdebug、sGMM、myGens、NewGends、TestLibs111等PyPI套件，若是開發人員不慎安裝，執行Windows作業系統的電腦就有可能被植入竊資軟體，從而在瀏覽器、加密貨幣錢包，以及網路應用程式WinSCP、CoreFTP、Windscribe、Filezilla、AzireVPN、Snowflake、Steam，還有即時通訊軟體Discord、Signal、Telegram的使用者資料。</p> <p>研究人員指出，駭客在上述套件setup.py檔案當中，嵌入了Base64編碼的原始碼或是Python指令碼，能根據目標裝置的作業系統版本，在PyPI套件安裝的過程中，部署對應的惡意酬載並執行。</p> <p><a href="https://www.darkreading.com/endpoint-security/qr-code-quishing-attacks-execs-email-security"><strong style="font-size: 22px;">針對高階主管的QR Code網釣較一般員工高出42倍</strong></a></p> <p>專注於郵件安全的資安業者Abnormal指出，利用QR Code進行的網路釣魚攻擊（研究人員將其稱做quishing）越來越常見，而且這種型態的網釣攻擊也普遍針對高階主管而來。</p> <p>根據研究人員在2023年第4季進行的調查，高階主管遇到相關攻擊的頻率是一般員工的42倍，其他管理職位的員工，遭受這類的攻擊情況也是非管理職員工的5倍。</p> <p>研究人員指出，由於在企業環境當中，QR Code其中一種主要的使用情境，就是用來簡化多因素驗證（MFA）的流程，因此也有不少攻擊者以這種名義做為誘餌，根據他們的統計，去年第4季的QR Code網釣攻擊當中，有27%是以多因素驗證為誘餌，其次有21%是假借共享檔案的名義發動攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/H1-2024-Threat-Report-Quishing-Attack-Rates.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/H1-2024-Threat-Report-Quishing-Attack-Rates.png" style="width: 580px;" /></a></p> <p><a href="https://www.picussecurity.com/resource/blog/the-picus-red-report-2024-reveals-surge-in-hunter-killer-malware"><strong style="font-size: 22px;">能迴避資安系統的「獵人殺手」惡意程式大幅增加，2023年成長3倍</strong></a></p> <p>資安業者Picus Security針對66.7萬個惡意程式檔案進行分析，並將這些惡意軟體的攻擊行為對應到MITRE ATT&CK框架，結果發現，能迴避資安防護系統的「獵人殺手（Hunter-killer）」惡意程式，於2023年大幅成長，相較於2022年增加了333%，這些惡意程式能妨礙次世代防火牆、防毒軟體、EDR系統的防禦機制運作。此外，有7成的惡意程式採用隱形（stealth-oriented）手法，而使得防禦方在偵測倍受挑戰。</p> <p>研究人員指出，獵人殺手型態的惡意程式主要與3種MITRE ATT&CK手法有關，分別是處理程序注入（T1055）、命令及指令碼解析器（T1059）、削弱防禦能力（T1562）。</p> <p>另一個值得留意的現象，則是駭客在攻擊行動濫用資安防護工具的情況不斷出現，例如：勒索軟體駭客LockBit利用卡巴斯基反rootkit工具TDSSKiller、中國駭客組織Earth Longzhi濫用Zemana Antimalware的驅動程式元件、惡意軟體AuKill的開發者濫用Process Explorer來停用防毒軟體。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://snyk.io/blog/leaky-vessels-docker-runc-container-breakout-vulnerabilities/"><strong style="font-size: 22px;">容器命令列工具runC、映像檔建置工具BuildKit存在弱點Leaky Vessels，攻擊者可用於逃逸容器並取得主機權限</strong></a></p> <p>資安業者Snyk在容器命令列工具runC、映像檔建置工具BuildKit當中，發現了4個漏洞，分別是：CVE-2024-21626、CVE-2024-23651、CVE-2024-23652、CVE-2024-23653，並將其命名為Leaky Vessels，CVSS風險評分介於8.6至10分。</p> <p>一旦上述漏洞遭到利用，攻擊者就能進行容器逃逸，並對底層主機進行未經授權的存取，從而挖掘系統的帳密資料、使用者資料等各式敏感資訊，以便用於下一階段的攻擊。研究人員指出，雖然這些漏洞尚未出現遭到利用的跡象，但由於上述漏洞廣泛影響低階容器引擎元件、容器建置工具，他們呼籲IT人員應檢查容器環境的配置，以及相關軟體供應商近期的更新公告，以便在修補程式發布後儘速修補。</p> <p>對此，維護runC的開發團隊於1月31日發布1.1.12版、Docker同日也對buildkit發布0.12.5版修補上述漏洞，GCP、AWS、Ubuntu也公告將runC更新至1.1.12版。</p> <p><a href="https://blog.jetbrains.com/teamcity/2024/02/critical-security-issue-affecting-teamcity-on-premises-cve-2024-23917/"><strong style="font-size: 22px;">CI/CD軟體平臺TeamCity存在身分驗證繞過漏洞，伺服器有可能遭到挾持</strong></a></p> <p>2月6日JetBrains發布資安公告，指出CI/CD軟體平臺TeamCity存在身分驗證漏洞CVE-2024-23917，一旦遭到利用，攻擊者可在未經身分驗證的情況下，透過HTTP、HTTPS連線存取TeamCity伺服器，且無須進行身分驗證就能得到控制權，該漏洞影響2017.1至2023.11.2版，CVSS風險評分為9.8。</p> <p>該公司發布2023.11.3版TeamCity予以修補，而對於暫時無法升級的本地建置伺服器，該公司也提供外掛程式緩解上述漏洞，他們強調，雲端版本TeamCity Cloud已完成修補，且尚未出現遭到攻擊的跡象。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/free-rhysida-ransomware-decryptor-for-windows-exploits-rng-flaw/"><strong style="font-size: 22px;">韓國研究人員找到勒索軟體Rhysida弱點，提供免費解密工具</strong></a></p> <p></p> <p>2月9日韓國國民大學的研究人員宣布，他們在韓國資訊安全局（KISA）的經費挹注下，成功破解勒索軟體Rhysida資料加密的方法，駭客使用AES-256-CTR演算法對檔案進行間歇性加密（intermittent encryption），研究人員利用他們發現的弱點，從而反向將檔案恢復原本的狀態，KISA在網站上提供了自動解密工具。</p> <p>不過，他們並非首度破解該勒索軟體的研究團隊。研究人員Fabian Wosar指出，在此之前至少有3個團隊找到這項漏洞，但選擇私下協助受害組織解密檔案。該名研究人員表示，他在5月找到漏洞，法國CERT在6月發布未公開的論文，防毒軟體業者Avast去年10月發現該弱點，而對於KISA提供的解密工具，該名研究人員表示只適用於Windows執行檔版的勒索軟體，但無法復原虛擬環境ESXi或PowerShell酬載加密的檔案。</p> <p>資料來源</p> <p>1. <a href="https://arxiv.org/abs/2402.06440">https://arxiv.org/abs/2402.06440</a><br /> 2. <a href="https://seed.kisa.or.kr/kisa/Board/166/detailView.do">https://seed.kisa.or.kr/kisa/Board/166/detailView.do</a><br /> 3. <a href="https://twitter.com/fwosar/status/1757051201533685914">https://twitter.com/fwosar/status/1757051201533685914</a></p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.trellix.com/blogs/research/ransomhouse-am-see/"><strong><span style="font-size: 20px;">勒索軟體RansomHouse透過自動化工具MrAgent，攻擊VMware虛擬化平臺</span></strong></a></p> <p></p> <p><strong><a href="https://www.hackread.com/chatgpt-down-anonymous-sudan-ddos-attacks/"><span style="font-size: 20px;">大型語言模型ChatGPT服務中斷，傳出是駭客組織Anonymous Sudan發動DDoS攻擊所致</span></a></strong></p> <p></p> <p><a href="https://blog.talosintelligence.com/tinyturla-next-generation/"><strong><span style="font-size: 20px;">非政府組織遭俄羅斯駭客組織Turla鎖定，植入後門程式TinyTurla-NG</span></strong></a></p> <p></p> <p><a href="https://www.justice.gov/opa/pr/justice-department-conducts-court-authorized-disruption-botnet-controlled-russian"><strong><span style="font-size: 20px;">美國破壞俄羅斯駭客APT28經營的殭屍網路Moobot</span></strong></a></p> <p></p> <p><strong><a href="https://www.resecurity.com/blog/article/global-malicious-activity-targeting-elections-is-skyrocketing"><span style="font-size: 20px;">鎖定全球選舉的惡意網路活動升溫</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161319"><strong>【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161289"><strong>【2月15日】臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161232"><strong>【2月7日】求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標</strong></a></p> </div></div></div>
2024/2/16 18:32作者周峻佑https://www.ithome.com.tw/news/161326
Meta公開新模型V-JEPA，透過預測影片缺失部分讓AI更理解真實世界
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>建立在Meta首席人工智慧科學家Yann LeCun，所提出的人工智慧模型架構JEPA（Joint Embedding Predictive Architectures），Meta人工智慧研究團隊公開用於影片預測的非生成式人工智慧模型<a href="https://ai.meta.com/blog/v-jepa-yann-lecun-ai-model-video-joint-embedding-predictive-architecture/">V-JEPA</a>，透過預測影片中缺失或是被遮蔽的部分，來有效提升人工智慧對這個世界的理解。</p> <p>Yann LeCun在2022年的時候提出JEPA架構，目標是要建立進階的機器智慧，讓人工智慧可以像人類一樣學習，建立起周圍世界的內在模型，以便學習、適應，並且有效地制定計畫，完成複雜的任務。所謂的內在模型，指得是人類或人工智慧，在大腦或是神經網路中所建構的心智表示，其反映出對於世界的理解或是知識。</p> <p>人類透過觀察周遭世界學習許多知識，研究人員舉牛頓第三運動定理說明，即便是嬰兒（或是貓）在多次將物體從桌面推落並觀察結果之後，皆能直覺理解物體上升必會下降的道理，事實上，人們並不需要花費數個小時學習，閱讀大量的書籍才能得到這個結論。人們藉由觀察世界所建立的內在模型運作非常高效，能夠準確快速地預測這些事物的結果。</p> <p>Meta在2023年的時候，運用JEPA架構開發電腦視覺模型I-JEPA（Image Joint Embedding Predictive Architecture），其特色在於能夠關注真正的圖像重點，而I-JEPA高效能的秘訣在於，能夠以更像人類理解抽象表示的方法，來預測缺失的資訊。而現在Meta進一步擴展JEPA架構，發展可以處理影片的V-JEPA，V即代表影片（Video）。</p> <p>V-JEPA方法類似於I-JEPA，比較圖像的抽象表示而非直接比較畫素本身，V-JEPA與嘗試填充缺失畫素的生成式方法不同，V-JEPA有能力丟棄不可預測的資訊，這使得訓練和採樣效率可提升達1.5到6倍。V-JEPA採用自監督學習方法，使用未標記的資料進行預訓練，唯有於預訓練後，要讓模型適應特定任務的時候才會使用標籤。</p> <p>研究人員訓練V-JEPA的方法，是讓模型觀看一系列的影片，使其能夠掌握世界運作的方式。這些影片會經過遮蔽處理（下圖），透過遮蔽大面積影片內容，要求預測器在只有一小部分影片內容的上下文中，填充缺失的內容，且填充並非填充實際的畫素，而是表示空間中的抽象描述。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/427979095_923374739138637_7724069779118251294_n.png" style="width: 580px;" /></p> <p>研究人員解釋，如果僅是隨機抽選遮蔽影片中的小區塊，則會讓任務過於簡單，使得模型無法真正學習到關於世界的複雜事物。因此Meta特別制定涵蓋空間與時間的遮蔽策略，迫使模型學習並且發展對場景的理解，進一步預測未來的事件或是動作，進而達到對世界更深層次的理解。</p> <p>該方法的優勢讓模型能夠專注於影片的高層次概念，而不會鑽牛角尖於對下游任務不重要的細節，像是人類觀看在有樹木的影片，不會特別關心每片葉子的細微動作一樣，如此便能提高了學習效率和任務適應性。</p> <p>V-JEPA還有一個重要的創新是凍結評估（Frozen Evaluations）的能力，模型在預訓練之後，核心的部分不會再改變，因此只需要在其上添加小型專門層即可適應新任務。該設計避免了傳統模型針對新任務需要全面微調的麻煩，減少學習新任務的資料和時間要求，並使得模型能夠在不同任務中重複使用，諸如動作分類、精細地物體互動辨識以及活動定位等。</p> <p>Meta會繼續擴展V-JEPA模型，從只有處理影片的視覺內容，增加整合音訊實現多模態學習，研究團隊認為，透過更豐富的上下文資訊，將能夠加深模型對影片內容的理解。此外，他們也會繼續強化模型長期規畫和預測能力，使其能夠處理長時間跨度的任務，而這將是發展高階機器智慧的重要方向。Meta現在以創用CC BY-NC授權釋出V-JEPA模型，促進人工智慧領域發展。</p> </div></div></div>
2024/2/17 08:24作者李建興https://www.ithome.com.tw/news/161322
Nvidia進一步揭露其位居TOP 500第9名AI超級電腦Eos的細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia對外進一步<a href="https://blogs.nvidia.com/blog/eos/">公開</a>其資料中心等級的超級電腦Eos，該超級電腦是一個包含多個Nvidia DGX系統的超大規模DGX SuperPOD，在目前全球超級電腦TOP 500排名中位居第9。Nvidia開發者藉由使用Eos的高速運算基礎設施，以及針對Eos系統最佳化的軟體，開發各項人工智慧創新技術。</p> <p>DGX SuperPOD架構是Nvidia所設計的超級運算基礎設施，專門針對人工智慧和高效能運算任務最佳化，透過整合多個Nvidia DGX系統，並於每個DGX系統裝載多個Nvidia GPU，來提供高效能運算能力。DGX SuperPOD還採用Nvidia Quantum InfiniBand網路技術，進行高速且低延遲傳輸，確保系統間能高效協同運作。</p> <p>Eos總共有576個Nvidia DGX H100系統，每個DGX H100系統都搭載8個H100 Tensor Core GPU，因此Eos擁有高達4,608個H100 GPU，而且採用Quantum-2 InfiniBand與其網路內運算技術，網路架構可提供高達400Gb/s的資料傳輸速度，支援訓練複雜人工智慧模型所需的大型資料集移動，使得Eos整體具有18.4 Exaflops的FP8運算效能，可用於處理龐大的人工智慧工作負載，包括訓練大型語言模型、推薦系統和量子模擬等。</p> <p>雖然Nvidia在2023年的時候，就曾在Supercomputing 2023大會上公開過Eos的消息，但這是Nvidia首次進一步揭露Eos的細節以及畫面。</p> </div></div></div>
2024/2/17 08:32作者李建興https://www.ithome.com.tw/news/161328
【資安日報】2月16日，金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>民眾透過手機操作網路銀行的情況在全球各地可說是相當普遍，針對手機而來的金融木馬攻擊，在最近2到3年有越來越頻繁的現象，但過往這類惡意程式幾乎都是針對安卓手機而來，如今也出現同時攻擊iPhone用戶的金融木馬程式。</p> <p>本週資安業者Group-IB揭露的金融木馬GoldPickaxe，就是典型的例子。特別之處在於，駭客濫用的管道是蘋果專供開發人員發布測試版應用程式的平臺TestFlight，對這類手機用戶發動攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.group-ib.com/blog/goldfactory-ios-trojan/"><strong style="font-size: 22px;">金融木馬GoldPickaxe鎖定安卓、iOS裝置而來，盜取受害者臉部資訊用於金融詐欺</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/5-18.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/5-18.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB去年10月公布名為GoldDigger的安卓木馬程式，中國駭客GoldFactory針對越南用戶而來，但研究人員循線追查發現，這些駭客也開始對iOS作業系統下手。</p> <p>研究人員發現這些駭客利用另一款稱為GoldPickaxe的惡意程式，對泰國發動攻擊，對方先是透過即時通訊軟體Line進行網路釣魚，冒充政府機關或是金融機構，引誘使用者安裝冒牌的應用程式，從而在受害者的手機植入GoldPickaxe並於後臺運作，收集受害者臉部的資料、攔截簡訊、要求提供身分證等資料，然後使用名為MicroSocks的元件進行WebSocket通訊，外流上述資料，從而讓駭客能存取受害者的銀行應用程式。研究人員指出，駭客收集臉部辨識資料的目的，很可能與泰國中央銀行去年3月的新規定有關，在進行5萬泰銖（約1,430美元）以上的匯款，使用者必須通過臉部辨識的身分驗證才能執行。</p> <p>值得留意的是，駭客不光透過Google Play市集對安卓用戶散布惡意程式，針對iPhone用戶，他們將被導向TestFlight的網址，或是被要求安裝MDM應用程式，從而在手機裡植入GoldPickaxe。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/b/cve202421412-water-hydra-targets-traders-with-windows-defender-s.html"><strong style="font-size: 22px;">Microsoft Defender SmartScreen零時差漏洞被用於散布惡意程式DarkMe</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/water-hydra-chain-1.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/water-hydra-chain-1.jpeg" style="width: 300px; float: right;" /></a>資安業者趨勢科技指出，他們於去年12月下旬追蹤駭客組織Water Hydra（亦稱DarkCasino）的攻擊行動，研究人員分析駭客使用的技術、策略、程序（TTP），發現當中涉及網際網路捷徑（.URL），以及以網頁為基礎的分散式編輯及版本控制（WebDAV）元件，在這個攻擊鏈裡，駭客利用零時差漏洞CVE-2024-21412（CVSS風險評分為8.1），繞過Microsoft Defender SmartScreen防護措施，最終導致受害電腦感染RAT木馬程式DarkMe，主要的攻擊目標是在金融市場從事交易的人士。</p> <p>在整個攻擊鏈當中，駭客先於外匯交易論壇及股票交易有關的Telegram頻道上，從事網路釣魚活動，利用社交工程技術，假借提供投資建議、技術分析資訊、股票及金融工具的名義，將投資人引導至位於俄羅斯的冒牌加密貨幣資訊網站（fxbulls[.]ru），駭客也發布大量的英語及俄文貼文，藉著回覆問題的同時，散布含有股票資訊圖表的連結，從而引導投資人透過檔案總管開啟惡意WebDAV連結，然後觸發CVE-2024-21412。</p> <p>研究人員指出，這些駭客持續調整他們的感染鏈，今年1月，駭客改以CVE-2024-21412觸發惡意的MSI安裝檔案。</p> <p><a href="https://www.orangecyberdefense.com/fileadmin/general/pdf/Ivanti_Connect_Secure_-_Journey_to_the_core_of_the_DSLog_backdoor.pdf"><strong style="font-size: 22px;">Ivanti Connect Secure的SSRF漏洞已被用於攻擊行動，散布後門程式DSLog</strong></a></p> <p></p> <p>1月31日Ivanti針對旗下的SSL VPN系統Connect Secure、NAC系統Policy Secure、零信任網路存取閘道系統Neurons for ZTA，公布存在於SAML模組的伺服器請求偽造（SSRF）漏洞CVE-2024-21893（CVSS風險評分為8.2），並提及已有攻擊行動出現，事隔不到一週，Shadowserver基金會指出，在2月2日資安業者Rapid7公布概念性驗證（PoC）程式碼前夕，他們也偵測到嘗試利用該漏洞的行為，代表駭客可能已掌握如何利用漏洞，如今有研究人員公布新的調查結果，證實上述推測。</p> <p>資安業者Orange Cyberdefense指出，他們自2月3日淩晨，看到客戶的Ivanti系統出現漏洞濫用攻擊，駭客藉由經過編碼處理的SAML身分驗證請求，先是將系統資訊輸出至可公開存取的檔案（如index2.txt），從而取得root權限，然後竄改目標系統的事件記錄指令碼DSLog.pm，並伺機在程式碼基礎（codebase）注入後門程式DSLog，他們進一步調查，總共找到有670臺主機遭駭。</p> <p>研究人員向受害組織進行通報，6日約有100臺主機已採取回應措施，截至7日，仍有524臺伺服器受到感染。</p> <p><a href="https://securityaffairs.com/159093/cyber-crime/romanian-hospitals-ransomware-attack.html"><strong style="font-size: 22px;">逾100家羅馬尼亞醫院資訊系統因勒索軟體攻擊而癱瘓</strong></a></p> <p></p> <p>2月12日羅馬尼亞國家網路安全局（DNSC）及衛生部證實，當地醫院的服務供應商遭到勒索軟體攻擊，導致多家醫院受到影響，後來指出發動攻擊的勒索軟體名為Backmydata，為Phobos家族的變種，該勒索軟體對當地採用Hipocarate IT平臺的醫院伺服器下手，加密其中的資料。</p> <p>從2月10日開始有醫院傳出受害消息，截至12日總共有21家醫院受到影響，13日增加至25家。另有79家醫院也將相關系統切斷與網際網路的連線，並著手清查。</p> <p>DNSC指出，這起事故對於大多數醫院的影響有限，因為這些醫院幾乎都對相關伺服器定期備份資料，且最近一次備份資料多為3天內執行。13日DNSC公布駭客索討的贖金為3.5個比特幣，相當於15.7萬歐元，並呼籲所有導入該平臺的醫院遵循他們提供的回應措施，不要向駭客低頭、支付贖金。</p> <p>資料來源</p> <p>1. <a href="https://www.dnsc.ro/citeste/atac-cibernetic-ransomware-spitale-Romania">https://www.dnsc.ro/citeste/atac-cibernetic-ransomware-spitale-Romania</a><br /> 2. <a href="https://www.ms.ro/en/press-center/atac-cibernetic-masiv-de-tip-ransomware-asupra-serverelor-de-produc%C8%9Bie-pe-care-ruleaz%C4%83-sistemul-informatic-his/">https://www.ms.ro/en/press-center/atac-cibernetic-masiv-de-tip-ransomware-asupra-serverelor-de-produc%C8%9Bie-pe-care-ruleaz%C4%83-sistemul-informatic-his/</a></p> <p><a href="https://www.cnil.fr/fr/violation-de-donnees-de-deux-operateurs-de-tiers-payant-la-cnil-ouvre-une-enquete-et-rappelle-aux"><strong style="font-size: 22px;">法國健保業者客戶資料外洩，恐波及該國近半數民眾</strong></a></p> <p></p> <p>2月7日法國資料保護機構CNIL指出，他們著手調查支付業者Viamedis與Almerys的資料外洩事件，兩家業者替多家健康保險業者提供第三方支付服務，在今年1月遭到網路攻擊，外洩逾3,300萬名客戶個資，相當於法國接近一半民眾（6,800萬人）的個資流出。</p> <p>外洩資料涵蓋投保人與其家人的個資，包括社會安全碼、出生日期、健保業者名稱、合約內容。而醫療資訊、金融資訊、郵政資料、電話號碼並未受到影響。</p> <p><a href="https://cyberscoop.com/atlassian-vulnerability-at-fault-in-gao-breach/"><strong style="font-size: 22px;">美國政府責任署傳出資料外洩，原因是承包商的Confluence伺服器遭駭</strong></a></p> <p></p> <p>美國政府責任署（Government Accountability Office，GAO）傳出資料外洩的情況，起因與該單位的承包商CGI Federal有關。此承包商於1月17日通知GAO，本次的資料外洩事故影響約6,600人，主要是2007年至2017年現任及前員工，以及有業務往來的公司。</p> <p>而對於這起事故發生的原因，CGI Federal發言人Mercedes Marx向資安新聞網站CyberScoop透露，是他們的DevOps協作平臺遭到破壞，過程中駭客利用CVE-2023-22515（CVSS風險評分為10），事發後已根據10月美國網路安全暨基礎設施安全局（CISA）的資安公告進行補救，並與政府和客戶合作來確認受影響的範圍。但為何事發3個月才通知GAO，Mercedes Marx並未提出說明。</p> <p><strong style="font-size: 22px;">美國國防部證實1年前的資料外洩事故，逾2萬名員工受害</strong></p> <p></p> <p>根據新聞網站DefenseScoop的報導，美國國防部（DOD）於2月1日通知員工、前員工、求職者、合作夥伴，他們表示，在2023年2月3日至2月20日，其服務供應商不慎將大量電子郵件曝露在網際網路上，其中部分包含曾在美國國防部就職、應徵人士能夠識別的個人資訊（PII）。但他們尚未發現這些個資遭到濫用的跡象。</p> <p>對此，五角大廈發言人指出，受影響的伺服器在去年2月20日已經移除，並透露這起事故涉及多個部門組織，約有20,600人受到影響。</p> <p>科技新聞網站TechCrunch指出，這起事故在1年前就被發現。研究人員Anurag Sen於2023年2月揭露，美國國防部洩露約3 TB內部電子郵件，並指出部分與美國特種作戰司令部（SOCOM）有關。但為何美國國防部耗費1年來調查此事，目前仍不清楚。</p> <p>資料來源</p> <p>1. <a href="https://defensescoop.com/2024/02/13/dod-notifying-people-year-old-data-breach/">https://defensescoop.com/2024/02/13/dod-notifying-people-year-old-data-breach/</a><br /> 2. <a href="https://techcrunch.com/2024/02/14/department-defense-data-breach-microsoft-cloud-email/">https://techcrunch.com/2024/02/14/department-defense-data-breach-microsoft-cloud-email/</a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/microsoft-new-critical-exchange-bug-exploited-as-zero-day/"><strong style="font-size: 22px;">Exchange伺服器重大漏洞已出現攻擊行動</strong></a></p> <p></p> <p>微軟於2月份例行更新（Patch Tuesday）修補Exchange Server重大漏洞CVE-2024-21410，一旦攻擊者利用這項漏洞，可在未通過身分驗證的情況下，對此郵件伺服器的用戶端（如Outlook）發動NTLM中繼攻擊，從而提升權限，以受害者的身分在Exchange伺服器執行各項作業，CVSS風險評分為9.8。</p> <p>值得留意的是，隔日（14日）<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-21410">該公司更新公告</a>，指出在他們修補之前，這項漏洞已被用於攻擊行動。對此，該公司呼籲IT人員應啟用身分驗證延伸防護（Extended Protection for Authentication，EPA）的功能，來防堵上述漏洞。</p> <p><a href="https://www.expressvpn.com/blog/windows-app-dns-requests/"><strong style="font-size: 22px;">VPN軟體ExpressVPN存在漏洞，恐洩露DNS請求</strong></a></p> <p></p> <p>2月8日ExpressVPN發布資安公告，指出適用於Windows作業系統的12版用戶端應用程式存在漏洞，而有可能導致DNS請求曝光，使得網際網路服務供應商（ISP）伺服器有機會追蹤使用者的上網情形。</p> <p>這項弱點存在於該應用程式的分割隧道（split tunneling）功能，照理來說，用戶的所有DNS請求都是透過該業者不留存事件記錄的DNS伺服器進行處理，避免ISP或他人追蹤使用者瀏覽的網域，但在這項漏洞當中，VPN用戶端軟體會直接將DNS請求導向ISP。</p> <p>對此，ExpressVPN指出此漏洞影響12.23.1至12.72.0版，約有1%的Windows使用者受到波及，他們暫時於新版12.73.0暫時刪除相關功能因應。而對於需要使用分割隧道功能的使用者，該公司建議使用不受影響的10.50.0版。</p> <p><a href="https://forums.ivanti.com/s/article/CVE-2024-22024-XXE-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure"><strong style="font-size: 22px;">Ivanti Conncet Secure出現XXE漏洞，攻擊者有可能存取系統部分資源</strong></a></p> <p></p> <p>2月8日Ivanti發布資安公告，旗下的SSL VPN系統Connect Secure、NAC系統Policy Secure、零信任網路存取解決方案Neurons for ZTA存在漏洞CVE-2024-22024，這項漏洞存在於上述系統的SAML元件，為XML外部實體（XXE）漏洞，攻擊者一旦利用該漏洞，就有可能在未經通過身分驗證的情況下，存取部分受到管制的資源，CVSS風險評分為8.3，該公司強調尚未發現該漏洞遭到利用的證據。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hyundai-motor-europe-hit-by-black-basta-ransomware-attack/"><strong><span style="font-size: 20px;">現代汽車歐洲分公司傳出遭到勒索軟體Black Basta攻擊</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/bank-of-america-warns-customers-of-data-breach-after-vendor-hack/"><span style="font-size: 20px;">美國銀行證實資料外洩，起因是供應商遭駭</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/critical-flaw-in-shim-bootloader-impacts-major-linux-distros/"><strong><span style="font-size: 20px;">開機啟動元件Shim存在重大漏洞，影響多個Linux版本</span></strong></a></p> <p></p> <p><a href="https://psirt.canon/advisory-information/cp2024-001/"><strong><span style="font-size: 20px;">Canon修補7個印表機重大漏洞</span></strong></a></p> <p><strong><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-csrf-KnnZDMj3"><span style="font-size: 20px;">思科修補協作閘道系統Expressway的CSRF漏洞</span></a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161289"><strong>【2月15日】臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161232"><strong>【2月7日】求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161212"><strong>【2月6日】駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣</strong></a></p> </div></div></div>
2024/2/16 16:54作者周峻佑https://www.ithome.com.tw/news/161319
HPE更新2U高密度儲存伺服器，升級CPU運算平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_alletra_storage_server_4120_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一年多前，HPE響應英特爾推出第四代Xeon Scalable處理器，推出多款採用這系列CPU的伺服器，其中也包含高密度儲存伺服器Alletra 4000系列，當時主打兩款機型，我們在2023年11月曾介紹其中一款採用全快閃儲存組態的<a href="https://www.ithome.com.tw/review/159695">Alletra 4110</a>，標榜1U機箱可容納20臺E3.S或2.5吋NVMe固態硬碟，由於可全面支援PCIe 5.0介面，整臺伺服器的儲存頻寬可達315 GB/s，現在來看看另一款Alletra 4120。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Data Storage Server Portfolio-2024.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Data%20Storage%20Server%20Portfolio-2024.jpg" style="width: 600px;" /></a></p> <p>基本上，這款機型是承接HPE Apollo 4200硬體設計特色而持續改良的產品，過去HPE曾推出<a href="https://www.ithome.com.tw/review/106621">Apollo 4200 Gen9（採用Xeon E5 v3系列處理器）</a>、Apollo 4200 Gen10（採用第二代Xeon Scalable系列處理器）、Apollo 4200 Gen10 Plus（採用第三代Xeon Scalable系列處理器），後兩款至今仍可供貨，截至今年2月為止，HPE還在更新它們的規格。</p> <p>Apollo 4200歷代機型最大的共通點在於，搭配的2U機箱前半段採用雙排滑動式磁碟模組，可搭配24臺3.5吋硬碟或48臺2.5吋硬碟，機箱背部還能安裝4臺3.5吋硬碟或6臺2.5吋硬碟，因此，整臺伺服器總共可搭配28臺3.5吋硬碟或54臺2.5吋硬碟，前一代機型Apollo 4200 Gen10 Plus甚至還能在機箱內部放入第三排磁碟模組，能夠額外容納4臺3.5吋硬碟或8臺2.5吋硬碟。</p> <p>對於最新推出的Alletra 4120而言，特色是2U機箱支援混合NVMe儲存組態，前緣可容納24臺3.5吋SAS/SATA硬碟或48臺2.5吋SAS/SATA硬碟，背部能搭配4臺3.5吋SAS/SATA硬碟、6臺2.5吋NVMe/SAS/SATA硬碟，或是12臺E3.S固態硬碟（2023年4月開始提供），而且，由於這款機型可同時支援PCIe 5.0、24G SAS、6G SATA介面，整臺伺服器的儲存頻寬可達225.6 GB/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE 4120-LFF.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204120-LFF.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE 4120-SFF.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204120-SFF.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE 4120-Back3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204120-Back3.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE 4120-Back2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204120-Back2.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE 4120-Back1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204120-Back1.jpg" style="width: 198px;" /></a></p> <p>若對比Apollo 4200 Gen10 Plus，Alletra 4120採用24臺3.5吋硬碟與12臺E3.S固態硬碟時，儲存頻寬領先幅度可達到109％，原因在於能搭配兩倍數量的PCIe 5.0介面NVMe固態硬碟，用於存放快取與中繼資料，以及4張支援3種I/O模式（16G NVMe、24G SAS、6G SATA）的新一代儲存控制器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE 4120-LFF2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%204120-LFF2.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Allerta%204120%20back%20E3S.jpg" style="width: 298px;" /></p> <p>在運算組態的配置上，Alletra 4110與Alletra 4120初期均採用兩顆英特爾第四代Xeon Scalable系列，最大可搭配48核心、熱設計功耗350瓦的款式；記憶體提供24個插槽，支援DDR5-4800，Alletra 4110最大可搭配3 TB（插滿128 GB記憶體），Alletra 4120最大可搭配6 TB（插滿256 GB記憶體）。</p> <p>隨著去年12月中英特爾推出第五代Xeon Scalable系列，這兩款儲存伺服器也在那時發布規格改版，新支援DDR5-5600記憶體，相較於第三代Xeon Scalable系列處理器支援的DDR4-3200記憶體，頻寬提升75％（5600 MT/s vs. 3200 MT/s），但最大容量的配置有變化。例如，Alletra 4110最大可搭配6 TB記憶體，當24個插槽都搭配256 GB的DDR5-4800，能提供6 TB，或是搭配128 GB的DDR5-5600，可提供3 TB；Alletra 4120記憶體容量最大可搭配至4 TB，可安裝16個256 GB的DDR5-4800，可提供4 TB，或是搭配24支128 GB的DDR5-5600，而能提供3 TB，HPE表示，這樣的搭配是因為考量到機箱的整體散熱能力，若需設置6 TB記憶體，可洽詢他們。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Alletra%204120-overview2.jpg" style="width: 600px;" /></p> <p>在此同時，Alletra 4110與Alletra 4120也能搭配1張GPU或FPGA加速卡（全高半長尺寸、熱設計功耗低於75瓦），從2023年12月中更新規格之後，它們都正式支援兩款GPU加速卡：Nvidia的A2與L4。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Alletra 4000 GPU-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Alletra%204000%20GPU-2.jpg" style="width: 600px;" /></a></p> <p>除了上述規格差異，Alletra 4110與Alletra 4120也如同這段時間推出的ProLiant Gen11系列，擁有共同特色。例如，均內建遠端管理平臺iLO6，可延伸硬體信任根，用於保護伺服器的韌體，以及儲存控制器與網路控制器的韌體，支援DMTF的SPDM協定，提供基於憑證的身分驗證，而且，還能支援雲端伺服器管理平臺HPE GreenLake for Compute Ops Management的使用，實施5個因素的身分認證模式（5-factor authentication model）——使用者認證：Multifactor authentication（MFA）、Single Sign-On（SSO），裝置認證：TPM 2.0、iDevID、Silicon Root of Trust，確保伺服器連線安全，而在用戶雲端資料儲存安全性，也設置AES-256加密保護。</p> <p>針對不同資料儲存的應用需求，HPE也將Alletra 4000搭配各種軟體成為解決方案。舉例來說，Alletra 4110用於分散與NoSQL資料庫時，他們提供HPE Solutions with Aerospike；用於機器學習的資料儲存時，他們提供HPE Solutions with WEKA；用於軟體定義儲存時，他們提供HPE Solutions with Qumulo。至於Alletra 4120，可用於主動式資料歸檔（active archives），他們提供HPE Solutions with Scality，以及HPE Solutions with Cohesity。</p> <p>而在需要處理大量資料的超融合基礎架構應用上，Alletra 4000系列也能支援，舉例來說，上述兩款機型均可用於支撐Microsoft Azure Stack HCI。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>HPE Alletra Storage Server 4120</strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U<br /> ●儲存容量：<br /> 機箱前緣24臺3.5吋SAS/SATA硬碟，或48臺2.5吋SAS/SATA硬碟<br /> 機箱背部可安裝12臺E3.S固態硬碟，或4臺3.5吋SAS/SATA硬碟，或6臺2.5吋NVMe/SAS/SATA硬碟<br /> ●I/O介面：PCIe 5.0 x16，8個全高半長插槽（可安裝1張75瓦以下的GPU加速卡或FPGA加速卡）、2個OCP 3.0插槽<br /> ●網路埠：<br /> 可搭配乙太網路網路卡類型，包括單埠（100GbE、200GbE）、雙埠（10GbE、10/25GbE、100GbE）、4埠（GbE、10/25GbE）；OCP 3.0網路卡，包括：雙埠（10GbE、10/25GbE、100GbE）、4埠（GbE、10GbE、10/25GbE）</p> <p>可搭配InfiniBand網路卡類型，包括單埠（NDR、NDR200、HDR/Ethernet 200Gb、HDR100/Ethernet 100Gb）、雙埠（NDR200/Ethernet 200Gb、HDR/Ethernet 200Gb、HDR100/Ethernet 100Gb）<br /> ●處理器：2顆第四代或第五代Xeon Scalable（最大可搭配48核心的款式）<br /> ●記憶體：24個DDR5-5600 RDIMM，最大可擴充至3TB（24支128 GB DDR-4800）或4 TB（16支256 GB DDR-4800）<br /> ●儲存控制器：SR932i-p Gen11x32 Lanes、MR416i-p Gen11 x16 Lanes、MR216i-p Gen11 x16 Lanes<br /> ●電源供應器：2臺（800瓦、1000瓦、1600瓦、1800至2200瓦）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/16 17:38作者李宗翰https://www.ithome.com.tw/review/161310
5G趨勢月報第51期：英國電信測試5G SA網路切片技術，針對遊戲、企業應用優化網路效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>01/11~02/12精選5G趨勢新聞</strong></span></h3> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>英國電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>網路切片</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>英國電信測試5G網路切片技術，針對</strong></span><strong style="font-size: 22px;">遊戲、企業應用優化網路服務品質</strong></p> </div> <div> <p>英國電信（BT）近期與設備商合作，在其研發單位測試5G網路切片應用，針對遊戲、企業、增強型行動寬頻eMBB測試網路切片技術，以驗證網路切片技術如何針對不同頻寬密集應用，確保網路最佳化。</p> <p>在遊戲方面，英國電信測試利用網路切片，確保能提供超過Nvidia GeForce Now串流遊戲服務建議的25Mbps穩定速度，他們發現相較於常規網路，針對遊戲應用切片提供較穩定的遊戲品質及體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/bt.jpg" style="width: 600px; height: 399px;" /></p> <p>另外，英國電信也針對企業應用進行測試，透過URSP政策來設定企業及eMBB切片網路，依照不同應用連接到多個切片網路，在三星Galaxy S23手機上支援穩定的4K視訊串流及企業應用。英國電信指出，企業通訊平臺及視訊應用例如YouTube需要穩定的連線品質，以確保正常運作，透過5G RAN切片技術，讓無線資源得以分配，讓企業應用流量最佳化，改善使用體驗。</p> <p>英國電信並表示，基於5G SA獨立組網的網路切片測試，展示如何依據不同市場需求區分QoS服務品質，維持其需要的網路切片效能，為發展5G SA網路帶來新服務可能性。</p> <p> </p> </div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>遠傳電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>急救</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>遠傳捐助5G救護車及相關設備助南投建立5G急救機制</strong></span></p> </div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5G%E6%95%91%E8%AD%B7%E8%BB%8A.jpg" style="width: 600px; height: 400px;" /></p> <p>遠傳電信捐贈5G救護車及遠距診療平臺、相關設備予南投縣政府消防局，讓救護車載送緊急傷患時，車上救護人員可透過5G和埔里基督教醫院急診團隊連線，針對較嚴重的傷患從遠端提供緊急救護指導。</p> <p>南投縣政府因佔地廣大，且位居臺灣的中央，涵蓋交通不便的偏遠山區，遠傳捐贈的5G救護車，包括支援5G連網的平板電腦，負責影像處理的電腦，車上的攝影機及骨傳導耳機，當載運傷病患抵達醫院之前，可透過5G遠距診療平臺，傳送車上的多角度即時影像及病患的生理數據，讓救護人員能以第一視角影像畫面及耳機，與醫院急救團隊或高級救護員連線互動，針對傷病患者獲得急救指示，院方也能及早作好相關的急救準備，或是縮短轉院作業安排，爭取黃金救援時間。</p> <p>去年，遠傳電信也和澎湖縣政府消防局合作，啟動5G跨海急救機制，針對醫療資源較缺乏的離島，讓澎湖白沙分隊的救護車，載送傷病患時可以和臺北市的高級救護分隊連線，提高急救效率。</p> <div> </div> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>榮總</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧醫療</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>臺北榮總將導入5G專網，結合固網及Wi-Fi訊號加速智慧醫療應用發展</strong></span></p> </div> <div> <p>臺北榮總近期和電信業者簽署合作備忘錄，計畫在院內導入5G專網切片技術，整合固網、Wi-Fi，以多網融合打造高覆蓋的網路環境，提供院內快速、穩定網路環境，來支援智慧醫療應用。</p> <p>雙方將在智慧醫療應用進行合作，主要結合各種醫療資源及數據，以及AI人工智慧，發展醫療服務、個人照護及各種醫療領域研究，例如AI心血管風險分析、AI睡眠呼吸中止篩檢，失智症照護平台等等。</p> <p>配合調整後的通訊診察治療辦法將於今年7月上路，雙方也會在居家照護、遠距醫療進行合作，運用5G IoT、遠距資料傳輸技術，讓在家或居住在偏鄉的病患獲得照護或遠距醫療服務，例如和金門醫院的遠距診療，並且也和榮總新竹分院合作，為尖石鄉、五峰山區提供遠距診療服務。</p> <div> </div> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>號誌控制</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧交通</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>交通部運研所研發5G智慧交通新應用，要讓緊急車輛一路通行無阻</strong></span></p> </div> <div> <p>交通部運研所日前展示研發成果，其中一項智慧交通應用，結合5G打造緊急救援車輛優先通行系統，當消防車、救護車等緊急救援車輛出勤時，向即將通行的路口發送訊號，延長綠燈時間，提高救援效率。</p> <p>運研所先與臺中市政府消防局合作，在一輛消防車上安裝發報器，並在號誌控制器安裝接收器，當車輛通過路口之前，提早向號誌控制器發送訊號，延長路口綠燈，讓消防車行駛方向車輛通行無阻，避免救援車輛卡等待紅燈在車陣中。</p> <p>根據初步試辦的結果，這套救援車輛優先通行系統，使消防車通行率從32%提高至96%，由於延長綠燈時間，消防車輛駕駛通過路口時，也不需要擔心左右來車。交通部運研所計畫先和臺中市試辦，並擴大至救護車輛，視成效未來不排除擴大至全國使用。</p> <div> </div> <div> </div> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>會展中心</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>RAI Amsterdam導入5G 專網，促發展大型商展、會議無線應用</strong></span></p> </div> <div> <p>專門提供大型商業展覽、會議場所的RAI Amsterdam國際會展中心近期導入5G專用網路，借助5G網路高速傳輸、專用網路的安全性，讓商展活動、大型會議活動可以現場直播互動，或是利用相關技術管理參加者。</p> <p>RAI Amsterdam指出，5G專用網路的優點是，能夠安全、快速傳輸資料，相較於Wi-Fi無線網路，5G較少有網路過載的情形發生，同時也能擺脫線纜，提供參展業者更靈活彈性的規畫安排，這項新技術，將在2月即將舉行的大型活動開始採用。</p> <p>RAI認為，新技術對其相當重要，讓大型展覽或會議活動在技術的支持下有更多可能，例如在展場現場以無人機在空中飛行，或是以高畫質傳送影像，進行即時的互動性直播，而不需要布置長長的線纜。另外，透過5G網路支援展覽活動，例如在活動期間負責場地整潔的清潔機器人，或是其他的自主移動裝置，包括自駕車。</p> <div> </div> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>手機</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>生成式AI</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>三星發表新一代旗艦手機Galaxy S24，與Google聯手大打AI牌</strong></span></p> </div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20S24.jpg" style="width: 600px; height: 400px;" /></p> <p>三星近期發表最新旗艦級手機Galaxy S24系列，該款手機最大特色之一為搭載AI功能，可支援Google Cloud的Vertex AI的Gemini Pro及Imagen，利用Gemini多模態模型，讓用戶可透過三星原生手機應用程式產生內容摘要。</p> <p>Galaxy S24採用高通Snapdragon 8 Gen 3行動平臺，強調NPU效能提升，提高手機的AI處理能力。用戶可透過時手機內三星原生應用程式，例如Samsung Note、語音錄製、三星鍵盤的內容摘要功能，三星也強調Gemini Pro提供資訊防護、安全性、隱私及數據合規；至於Imagen 2，用戶可在手機上的媒體瀏覽器，利用內建的生成式相片編輯功能，將照片尺寸調整至最高12MP，所輸出的圖像內含浮水印，並標示是由AI生成的內容。</p> <p>三星強調和Google在AI的合作關係，成為其Gemini Ultra的測試夥伴之一，而Galaxy S24也將支援Gemini Nano，為針對裝置端使用的大型語言模型。</p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"> </p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"> </p> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中華電信</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>IOWN</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>中華電信與富士通聯手，將在臺驗證IOWN全光和無線網路技術</strong></span></p> </div> <div> <p>在5G逐漸普及之下，全球正在探討B5G、6G等下一世代網路技術，因應新的無線網路需求，中華電信近期宣布與富士通合作，利用IOWN（Innovative Optical Wireless Network, IOWN）創新全光無線網絡技術，建構高容量、低延遲、低功耗網路。</p> <p>IOWN推動新的光電通訊技術，以建構高速、大容量通訊、大量運算資源的網路及資訊處理基礎建設，其核心技術之一是採用APN（All-Photonics Network）全光網路，即在通訊網路使用光子學技術建構。中華電信看好IOWN技術，在2020年3月加入IOWN全球論壇，該論壇主要推廣IOWN，以實現新一代的高容量、低延遲、低功耗網路為目標，IOWN論壇透過制定技術文件及PoC規範，鼓勵累積用戶案例，加速商用化的目標。</p> <p>此次中華電信和富士通簽署合作備忘錄，雙方為期2年合作，由富士通將協助在臺灣建置IOWN全光網路技術驗證環境，並推動該技術在國內商用網路的應用，協助IOWN全光網路在臺灣的網路建設及早期商業化。中華電信指出，與富士通合作發展全光網路，可為B5G及6G、AI、雲端運算等創新應用情境，提供更好的光通訊品質，提升國內資通訊服務。</p> <div> </div> <div> <div> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"> </p> <p>圖片來源／三星、遠傳電信、英國電信</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.AT&T與美國政府聯手建置公共安全及急救專用的5G SA網路核心</strong></p> <p><strong>2.國內5G開臺逾3年，NCC：仍有約7成民眾使用4G</strong></p> <p>資料來源：iThome整理，2024年1月</p> <div> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div> </div></div></div>
2024/2/16 16:26作者蘇文彬https://www.ithome.com.tw/news/161311
Google開源內部所使用的檔案辨識系統Magika
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四（2/15）<a href="https://github.com/google/magika" target="_blank">透過GitHub開源</a>了內部所使用、基於深度學習的檔案類型辨識系統Magika，宣稱此一深度學習模型即便是在CPU上運作都能在幾毫秒內準確辨識出檔案類型，效能比現有的其它工具高出20%。</p> <p><a href="https://opensource.googleblog.com/2024/02/magika-ai-powered-fast-and-efficient-file-type-identification.html" target="_blank">Google解釋</a>，要判斷如何處理檔案之前，必須先確認檔案類型。在這50年來，Linux所配備的Libmagic函式庫及檔案公用程式一直是檔案類型辨識的標準，現代的瀏覽器、程式碼編輯器或是各種軟體，都必須仰賴檔案類型偵測來決定如何正確呈現檔案，然而，準確檢測檔案並不容易，因為每種檔案格式都有不同的結構，或者根本沒有結構。此外，文字格式與程式語言在結構上非常類似，迄今不管是Libmagic或是其它檔案類型辨識軟體，都是藉由手工蒐集的啟發式或客製化規則來偵測檔案格式。</p> <p>手動的方法既耗時又容易出錯，因為人類很難手動建立通用規則，特別對安全應用程式更具挑戰性，因為駭客會不斷試圖混淆視聽。</p> <p>為了解決檔案類型偵測的問題，Google研發了Magika，它採用TensorFlow平臺上的Keras函式庫，來設計與訓練一個客製化且高度優化的深度學習模型，用來訓練的資料集含有逾100種檔案類型的2,500萬個檔案，其模型大小只有1MB，並以Onnx作為推論引擎，確保可於幾毫秒內辨識檔案，辨識率超過99%，且在CPU上運作的速度幾乎與非AI工具一樣快。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0216-google-magika-screenshot.png" style="width: 600px;" /></p> <p>當在含有上百種檔案類型的逾100萬個檔案上進行評測時，Magika的效能比其它現有工具高出20%，且在程式檔案或是配置檔案等文字檔上的效能則更佳。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0216-Google-Magika-detection%20quality%20compared%20to%20other%20tools.png" style="width: 600px;" /></p> <p>Google內部已大規模採用Magika，主要負責將Gmail、Drive及Safe Browsing所收到的檔案、傳送至適當的安全或內容政策掃描機制上，根據Google的統計，相較於過去依賴手動規則的系統，Magika的準確性提高了50%。</p> <p>開發者可透過網頁試用Magika，或是將它安裝成一個Python函式庫，也能作為單獨的命令列工具。</p> <p>未來Magika也將被整合至惡意程式分析平臺VirusTotal上，搭配該平臺上部署Google生成式AI的Code Insight 功能，把Magika作為Code Insight分析文件之前的過濾機制，提高VirusTotal的效率及準確性。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/2/16 16:36作者陳曉莉https://www.ithome.com.tw/news/161316
美國商標暨專利辦公室拒絕OpenAI申請GPT及CHATGPT的商標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商標暨專利辦公室（U.S. Patent & Trademark Office，USPTO）在2月6日，<a href="https://tsdr.uspto.gov/documentviewer?caseId=sn97733259&docId=FREF20240206125856&linkId=1#docIndex=0&page=1）與2月9日（https://tsdr.uspto.gov/documentviewer?caseId=sn97733261&docId=FREF20240209093901&linkId=1#docIndex=0&page=1" target="_blank">先後拒絕了OpenAI所提出的GPT及CHATGPT的商標申請</a>，這兩個商標被拒絕的原因是一致的，USPTO認為它們僅是用來描述產品或服務的特色或功能，不得申請商標保護。</p> <p>USPTO在長達68頁的文件中解釋，GPT這個字眼在網路上被廣泛使用，描述基於Transformer的生成式預訓練模型（Generative Pre-Trained Transformer，GPT），指的是可創造近似人類品質之文字與內容，或是能以對話形式回答問題的各種應用，隨處都可看到針對GPT的說明，證明它僅僅是用來描述。</p> <p>USPTO指出，該辦公室不保護描述性商標是擔心商標所有人會藉此抑制市場競爭，或是提出昂貴的侵權訴訟，企業與競爭對手在向大眾描述自己的商品及服務時，應可於廣告或行銷內容中自由使用描述性語言。</p> <p>對於同樣打了回票的CHATGPT，USPTO則解釋，當中的CHAT或GPT在軟體產業都是熱門的字眼，CHAT指的是透過電腦網路同步交換資訊，而GPT則是被廣泛使用的縮寫詞，它們指的是可用來問問題與回答問題的軟體或模型，到處都有組織解釋或提供類似的服務。</p> <p>總之，USPTO也認為CHATGPT只是用來描述服務的功能，不得申請商標保護。</p> <p>其實USPTO在去年就曾拒絕GPT及CHATGPT的商標申請，隨後OpenAI提出上訴，而今再遭拒絕。</p> </div></div></div>
2024/2/16 16:50作者陳曉莉https://www.ithome.com.tw/news/161318
Apple說明因《數位市場法》與安全性考量，停用歐盟iOS主畫面網頁應用程式功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple因應《數位市場法》（Digital Markets Act，DMA），對歐盟市場iOS、Safari和App Store的應用程式發布政策作出變更，重大更新包括允許第三方應用程式商店以及第三方瀏覽器引擎等。不過，歐盟的iPhone使用者卻發現，他們無法在iPhone的主畫面中安裝和執行網頁應用程式，而Apple現在也<a href="https://developer.apple.com/support/dma-and-apps-in-the-eu/#ios-app-eu">更新文件</a>證實該情況並非臭蟲，並說明不允許歐盟使用者使用主畫面網頁應用程式（Home Screen Web Apps）的原因。</p> <p>主畫面網頁應用程式是一種網頁技術，可以讓用戶將網頁應用程式添加到行動裝置的主畫面中，就像是原生應用程式一般，這些網頁應用程式透過瀏覽器存取，當被添加到主畫面後，用戶便可以直接從主畫面啟動，並獲得類似原生應用程式的體驗。</p> <p>這項功能在iPhone支援已久，而Apple還在iOS和iPadOS 16.4進行更新，添加網頁推送等功能，讓用戶不只可以在主畫面釘選網頁應用程式，也可以在主畫面中接受通知，甚至讓應用程式圖標出現計數，而這都讓網頁應用程式的行為，更接近原生應用程式。</p> <p>現在Apple以符合《數位市場法》為由，移除iPhone在歐盟對主畫面網頁應用程式的支援。Apple解釋，目前iOS系統對主畫面網頁應用程式的支援，建立在WebKit的安全架構之上。這代表著主畫面網頁應用程式與iOS原生應用程式的安全性和隱私模型一致，包括儲存空間隔離和強制性系統提示，以每個網站為單位存取隱私功能，確保網站無法存取其他網站的資料，且當每個網頁應用程式需要存取諸如相機、麥克風和位置資訊權限時，系統會強制要求用戶明確授權。</p> <p>儲存空間的隔離和隱私功能的強制性提示，可避免惡意網頁程式從其他網頁應用程式中讀取資料，在重新獲得權限後，進而於未經用戶同意的情況下，存取用戶的相機、麥克風和位置資訊，甚至是未經用戶同意在系統安裝網頁應用程式。</p> <p>而在iOS開放支援第三方瀏覽器引擎後，Apple表示，要解決相關複雜的安全和隱私問題，需要建立一個全新的整合架構。目前iOS沒有這個架構，而且Apple考量《數位市場法》的其他要求，以及主畫面網頁應用程式在用戶中的採用率極低，因此額外開發一套支援多瀏覽器引擎的整合架構，並不符合當前的需求以及優先順序。</p> <p>為此，Apple選擇刪除歐盟的主畫面應用程式功能，不過，歐盟iPhone用戶仍可以將書籤加入到主畫面中，並直接從主畫面存取網站。</p> </div></div></div>
2024/2/16 16:57作者李建興https://www.ithome.com.tw/news/161314
Amazon訓練歷來最大的語音合成AI模型BASE TTS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.amazon.science/publications/base-tts-lessons-from-building-a-billion-parameter-text-to-speech-model-on-100k-hours-of-data" target="_blank">Amazon本周宣布</a>AI開發團隊訓練出歷來最大、高達10億參數的語音合成（text-to-speech，TTS）模型BASE TTS，號稱生成的語音自然度超過現有語音合成系統。</p> <p>BASE TTS模型全名為Big Adaptive Streamable TTS with Emergent abilities，是利用10萬小時公開可取得的語音資料訓練而成的多語、多說話者大型TTS（LTTS）。研究團隊希望以LLM來改進現有TTS系統的聲音品質。</p> <p>BASE TTS以10億參數的自我迴歸（autoregressive）Transformer模型為基礎，並串流式卷積解碼器而成簡單高效率的架構，前者將輸入文字轉換成語音編碼（speechcodes），後者則將語音編碼轉成聲音波形。其語音編碼是以新的語音標記化（tokenization）手法製作，這技術利用位元組對編碼（byte-pair encoding）進行說話者ID識別（disentanglement）及壓縮。</p> <p>Amazon指出，其訓練出的BASE TTS為高度擬真模型，只要幾秒鐘的參考語音範本，即可產出極自然的聲音。<a href="https://arxiv.org/pdf/2402.08093.pdf" target="_blank">研究團隊比較了</a>BASE TTS和開源大規模語音合成系統如YourTTS、Bark、TortoiseTTS在生成的英語語句的優劣。從語音自然度、文字錯誤與和英語人士說話相似度三個面向上，他們認為BASE TTS優於現有系統。研究團隊相信此模型有很廣的用途，像是為因意外或疾病喪失說話能力的患者合成人聲。</p> <p class="rtecenter"><a href="http://arxiv.org/pdf/2402.08093.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0216-BASE%20TTS-by%20Amazon.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>而新LLM模型的「新興能力」（emergent abilities）也是Amazon的重點。所謂新興能力，是指只存在大模型而小模型沒有的能力，例如可以少數樣本訓練，以及在訓練時浮點運算（FLOP）可快速提升。為測試BASE TTS未來在擴充到更大量資料集，能力是否更增強，Amazon團隊又以1萬餘小時資料訓練出的BASE TTS的5億參數小型版本測試。他們根據7個要素來測試這小型版本，包括複合名詞、情感、外國文字、副語言（如音量大小、語調、語氣停頓、聲音表情）、斷句、問題及句型複雜度等，顯示其具備進階的文字理解能力，能在一些複雜的句子上展現自然的音調，並且證明資料量及參數增加，可使模型生成品質跟著提升。</p> <p>BASE TTS支援英文和西語。但為防止本模型被誤用，Amazon決定不開源出來。此外，為免訓練資料影響本模型對弱勢民族、方言、性別的表達能力，Amazon鼓勵未來研究人員測量資料組成的影響，並找出減少偏見、提升多元包容性的方法。</p> <p>Amazon並未說明未來會將這模型用在哪，但可能會在其AWS服務，Amazon Bedrock平臺提供多項AI服務。此外也可能用在正進行改造的Alexa。<a href="https://www.ithome.com.tw/news/160943" target="_blank">媒體報導</a>，Amazon計畫改造Alexa成付費服務，雖然目前遭遇團隊路線紛爭，但預定6月推出。</p> </div></div></div>
2024/2/16 15:29作者林妍溱https://www.ithome.com.tw/news/161313
Google發表Gemini 1.5，可支援長達100萬個Token的脈絡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/ai/google-gemini-next-generation-model-february-2024/#gemini-15" target="_blank">Google周四（2/15）發表</a>了最新的Gemini 1.5模型，它最多可支援長達100萬個Token的脈絡，意謂著它得以一次處理大量資訊，例如1小時的影片，11小時的音訊，超過3萬行的程式碼，或是超過70萬字的內容。最先採用Gemini 1.5模型的產品為Gemini 1.5 Pro，這是Google所推出的中型多模態模型，其標準脈絡長度為12.8萬個Token，但Google允許少數的開發者與企業客戶可透過AI Studio及Vertex AI預覽其100萬個Token的能力。</p> <p>Google Gemini是Google用來挑戰OpenAI GPT的作品，不過，它是個多模態模型，可同時支援文字、圖片及聲音的輸入。Google將Gemini規畫成3種版本，分別是可於手機上運作的Gemini Nano、通用版的Gemini Pro，以及最強大的Gemini Ultra。目前Gemini Nano已被應用在Google Pixel 8及三星Galaxy S24系列手機上，並已開放開發者與企業測試Gemini Pro。</p> <p>而Google<a href="https://www.ithome.com.tw/news/156026" target="_blank">在去年3月發表</a>的AI聊天機器人Bard最初使用的是LaMDA模型，之後改用PaLM模型，再於去年12月升級至Gemini Pro模型，因而<a href="https://www.ithome.com.tw/news/161254" target="_blank">在日前直接將Google Bard更名為Gemini</a>，並推出基於Gemini Ultra 1.0的付費機器人服務，而這也是Gemini Ultra 1.0的首個商品化應用。</p> <p>在Google正努力推動Gemini 1.0之際，還不忘發表最新的Gemini 1.5，緊湊的時程顯現了Google在AI領域積極追趕的強烈企圖。</p> <p>根據Google的說法，Gemini 1.5提供了明顯強化的表現，它奠基於Google基礎模型開發與架構的每一個研究及工程創新之上，以及方法的改變，包括採用新的專家混合（Mixture-of-Experts，MoE）架構，而讓Gemini 1.5的訓練與服務更有效率。Gemini 1.5主要採用Transformer與MoE架構，前者為一大型神經網路，後者則由眾多小型的專家神經網路所組成。</p> <p>Google解釋，MoE模型可根據使用者所輸入的類型，選擇性地於其神經網路上啟動最相關的專家路徑，以大幅提高模型的效能。</p> <p>首個基於Gemini 1.5早期測試版為中型的多模態模型Gemini 1.5 Pro，其效能類似於Gemini Ultra 1.0大型模型，並使用更少的運算。它具備標準的12.8萬個Token的脈絡，同時允許少數的開發者與企業客戶透過AI Studio和Vertex AI於預覽版中測試100萬個Token的脈絡。</p> <p>支援100萬個Token的脈絡代表Gemini 1.5 Pro能夠無縫分析、分類及整理大量內容，例如當提供了阿波羅11號登月任務的402頁紀錄時，它能夠理解、識別與判斷文件中的對話、事件與細節；若是提供一部44分鐘的Buster Keaton無聲電影時，Gemini 1.5 Pro則可準確分析各種情節點與事件，並推論出電影中容易被遺漏的小細節；也能針對10萬行的程式碼給出有用的解決方案、修改或解釋。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/LHKL_210CcU?si=ENjFAkK3Ybgeow86&start=23" title="YouTube video player" width="560px"></iframe></div> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/wa0MT8OwHuk?si=xH2Folk58bB5o5U8&start=20" title="YouTube video player" width="560px"></iframe></div> <p>隨著Gemini 1.5擴大對脈絡長度的支援，Google也正努力優化該模型，以改善延遲，減少運算要求，同時強化使用者體驗。根據Google的規畫，Gemini 1.5 Pro的基本版將支援12.8萬個Token，將隨著模型的改善而擴大到100萬個Token，此外，其實Google內部也已成功測試了使用1,000萬個Token的脈絡。</p> </div></div></div>
2024/2/16 15:57作者陳曉莉https://www.ithome.com.tw/news/161315
OpenAI公布短影片生成AI模型Sora，能理解指示、產出複雜場景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨（5）日<a href="https://openai.com/sora" target="_blank">公布最新生成式AI模型Sora</a>，未來能讓使用者輸入文字即可產生短影片，目前已展開不公開的安全及功能測試。</p> <p>Sora可依據用戶輸入的文字描述，產生最長1分鐘的高畫質影片。Sora能生成具有多個角色、特定動作及具備精準主題細節及背景的複雜場景影片。其底層模型對語言有深度理解能力，使其能精確解釋用戶的提示要求，產生能表達鮮明情感的人物，它也能在簡單一則短影片建立多個場景，並以同樣的角色和視覺風格貫穿多場景。目前OpenAI已提供合作的紅隊演練測試人員，以及少部分視覺設計、攝影師、製片人員試用Sora以取得專業反饋意見。</p> <p class="rtecenter"><a href="https://cdn.openai.com/sora/videos/italian-pup.mp4" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/60216-sora%20by%20openai-600-1.jpg" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>Sora類似Meta和Google釋出的類似AI模型，分別名為<a href="https://www.ithome.com.tw/news/159897" target="_blank">Emu Video</a>及<a href="https://www.ithome.com.tw/node/160487" target="_blank">VideoPoet</a>。</p> <p>從技術層面而言，Sora是一個擴散模型，能從一個看似靜態噪音（static noise）的影格開始，逐步透過去除噪音生成一則影片。Sora是在DALL-E及GPT模型的研究基礎上發展，它使用DALL-E 3的重描述（recaptioning）技術，能為視覺訓練資料產生高度描述文字，因此能依循用戶文字指令產生影片。除了根據文字指示外，該模型也能將靜態圖片動態化以生成影片。Sora能從無到有生成全新影片，也能延長現有影片，或是將遺失的影格補上。</p> <p>OpenAI表示，Sora是運行能理解及模擬真實世界的模型之基礎，該公司相信是實現通用人工智慧（Artificial General Intelligence，AGI）的重要里程碑。</p> <p>不過Sora目前還有待加強，因它對複雜場景的描繪，以及特定因果關係的理解還有問題。例如它的人物可能咬了口餅乾，但餅乾卻沒有咬痕。它有時也會搞混提示的細節，例如左、右搞錯，或無法精準描述發生一段時間的事件，例如無法跟著攝影機的軌跡移動。</p> <p>在將Sora公開給大眾使用前，OpenAI正在強化安全測試。該公司正在進行紅隊演練，以評估假訊息、仇恨內容及偏見對模型的影響。開發團隊也正在打造偵測誤導性內容的工具，像是偵測分類器，能在Sora生成影片時加以判讀。</p> <p>為提供辨識，該公司計畫未來將該模型部署到OpenAI產品中時，在其生成的影片加入C2PA metadata。<a href="https://www.ithome.com.tw/news/161227" target="_blank">C2PA是Meta和業界聯盟合作發展的AI內容辨識標準</a>，OpenAI已經<a href="https://www.ithome.com.tw/news/161251" target="_blank">在DALL-E3生成的圖像中加入C2PA metadata</a>。</p> <p>此外，OpenAI也會利用團隊現有安全技術為Sora加入安全措施，像是文字分類器會拒絕違反使用政策的提示，圖像分類器則會檢視影片的影格，以確保符合政策。該公司也承諾和立法機關、教育人士及藝術家合作以減少其對AI的疑慮。</p> </div></div></div>
2024/2/16 14:51作者林妍溱https://www.ithome.com.tw/news/161312