iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 142篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/13
最近更新: 11/14 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.5%4 篇
發言者: 公職、政治人物 25.0%公司、團體 25.0%網友、民眾 25.0%尚未標記 25.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

6
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社3筆關係
中央社2筆關係
日經中文網1筆關係
東森新聞1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

零售IT雙周報第29期：不只是Chatbot！L'Oréal's推出AI化妝顧問，利用膚質檢測及AR試用進一步提升購買…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 重點新聞(0211~0224) #AI購物助手 #即時儀容分析 #生成式AI #美妝零售IT L'Oréal's推出AI化妝顧問App，利用膚質檢測及AR試用進一步提升購買意願 <a href="https://www.youtube.com/watch?v=pArGshMSoNo&">L'Oréal's揭露了一個手機AI化妝顧問App</a>。根據現場示範，除了一般導購型聊天機器人會有的功能外，這個虛擬顧問還可以根據消費者現場拍攝的照片，透過電腦視覺技術分析出皺紋、色斑沉澱、肌膚緊緻程度等細節，並根據分析結果提供保養及化妝建議，同時推薦L'Oréal's商品。此App還有AR模擬試用功能，來進一步強化消費者購買意願。 L'Oréal's表示，此AI虛擬顧問不只整合了10個LLM來強化對話功能，訓練資料還用了他們自家資料平臺的商品資料、色彩科學資料、化妝顧問資料，以及皮膚學資料，包括15萬張由皮膚科醫生親自標註的圖片，來強化化妝流程推薦及膚質檢測功能。 #打掃機器人 #行銷機器人 #門市狀況分析 日本全家啟用清潔兼店內行銷用機器人，未來還可以充當巡邏員通知店員店內狀況 日本全家便利商店在<a href="https://www.family.co.jp/company/news_releases/2024/20240131_01.html">300家門市導入清潔兼行銷用的多功能機器人</a>。此機器人除了清潔功能外，還配備了小螢幕，會顯示產品資訊和活動公告。機身還可作為迷你貨價，擺放著促銷商品供拿取。 未來，日本全家還計畫增設AI鏡頭，於店內移動同時記錄現場狀況，可以用作後續分析不同時間段銷售情況，以及即時通知店員補貨等用途。 <img alt="" src="https://s4.itho.me/sites/default/files/images/jpfmm.jpg" style="width: 600px;" /> #店內數位行銷 #社群媒體零售 #生成式AI 連鎖便利商店Extramiles導入AI驅動的店內互動式行銷體驗 美國有上千家分店的連鎖便利商店Extramiles<a href="https://news.samsung.com/us/samsung-fuels-new-era-of-in-store-engagement/">開始嘗試導入店內AI互動式行銷購物體驗</a>。做法是，於店內人流量高的地方放置互動式螢幕，平時呈現與促銷商品相關的社群媒體內容，或是根據當地一周天氣預報，播放對應情境廣告。 在某些實驗店中，此互動式體驗還有生成式AI虛擬店員功能，可以接受語音或文字輸入，來與顧客互動，提供購物建議或商品知識小測驗。 <img alt="" src="https://s4.itho.me/sites/default/files/images/exm.jpg" style="width: 600px;" /> 此螢幕還搭載了足跡分析功能，分析人流流向、潛在購買意圖、銷售轉換等資訊，來建議店家變更呈現的數位內容或互動式硬體擺放位置，以提升顧客參與度。 #個人化推薦 #商品探索 #AI工程 eBay轉移商品推薦思維的歷程 2021年，eBay發現，就算用再怎麼現代化的AI技術來改造推薦系統，傳統思維下的商品推薦做法，還是有難以打破的瓶頸。eBay AI長Nitzan Mekel-Bobrov說，要為每一個顧客打造專屬的商品探索旅途，必須跳脫行之有年的思維束縛，從顧客角度出發重新改造推薦模式。 新舊做法的關鍵差別是判斷商品關聯性的角度。以往做法是預先替商品分類，再假設商品相似性等於關聯性，進行推薦。新做法則是從顧客行為出發，推論他們如何認知商品關聯性。這個關聯性是多元的，不只注重相似性，也可能是任何其他能連結起商品的概念。eBay是如何嘗試升級舊有推薦做法，轉移到新做法後有哪些改變？<a href="https://www.ithome.com.tw/news/161416">請看本刊第1170期封面故事</a> #沉浸式電商體驗 #裝潢模擬 Wayfair推出VR頭戴式裝置用的模擬裝潢App 室內裝潢是相對仰賴實體購物體驗的零售類別，不過美國最大家居與裝潢電商Wayfair持續在不同通路推出購物體驗，嘗試模擬消費者實體觀看家具的體驗。 這次，在VR頭戴式裝置Apple Vision Pro上市沒多久，<a href="https://www.prnewswire.com/news-releases/wayfair-announces-decorify-app-for-apple-vision-pro-302053738.html">他們便於此平臺推出沉浸式裝潢模擬體驗。</a>消費者可以上傳自家室內空間圖片，或是使用預設房間圖片，在其中模擬不同家具擺設，以及不同裝潢風格。模擬完畢，便能直接對Wayfair電商下單購買。 <img alt="" src="https://s4.itho.me/sites/default/files/images/wfapvp.png" style="width: 600px;" /> #RMN #CTV Walmart花23億美元買下智慧電視業者Vizio，以進一步發展RMN電視通路 Walmart和智慧電視業者Vizio簽定協議，<a href="https://corporate.walmart.com/news/2024/02/20/walmart-agrees-to-acquire-vizio-holding-corp-to-facilitate-accelerated-growth-of-walmart-connect-through-vizio-s-smartcast-operating-system">以23億美元收購Vizio及其智慧電視作業系統</a>（SmartCast Operating System）。Walmart表示，這個收購的主要用意是，要將Walmart線上購物及RMN觸角深入更多家庭的電視中。 目前，Walmart是與和另一家智慧電視內容廠商巨頭Roku合作，來遞送電商和廣告內容。Vizio旗下整合串流內容平臺SmartCast有超過1,800萬組活躍帳號，CTV生態圈規模接近Roku。 #上雲 #ERP #SCM #倉儲管理 #訂價策略 墨西哥超市老牌雜貨超市Waldo's Dollar Mart的上雲歷程 在墨西哥有超過800家分店的連鎖雜貨超市Waldo's Dollar Mart自2020年，為了積極拓展營運規模及提升整體營運效率，<a href="https://www.oracle.com/news/announcement/waldos-dollar-mart-streamlines-retail-operations-with-oracle-cloud-2024-02-20/">開始了一系列上雲作業</a>。 首先，他們從核心的ERP著手，改採用雲端ERP，之後將其他系統陸續搬上雲端，包括採購、收據比對、訂價策略、倉儲管理等，下一步則要將運輸管理系統也上雲。為了上雲，他們在IT面現代化了超過62套舊有應用程式，同時在業務面改善了既有存貨管理、策略規畫和預算擬定等流程。 更多零售IT動態： 1. <a href="https://www.aboutamazon.com/news/retail/amazon-rufus">Amazon推出對話式AI購物助理Rufus</a> 2. <a href="https://corporate.walmart.com/news/2024/01/30/walmarts-augmented-reality-optical-try-on-lets-customer-visualize-customize-fits">Walmart的AR試穿戴技術開始支援眼鏡類商品</a> 3. <a href="https://www.etsy.com/news/etsys-journey-to-become-the-ultimate-gifting-destination">巨型手工藝品電商Etsy推出AI禮物挑選助手，可透過文字輸入或簡單互動式選單來探索送禮用商品</a> 4. 無獨有偶的，設計類電商Pinkoi也在手機版網頁中推出了AI送禮助手 5. 酷澎導入中華電信隱碼技術，將消費者電話號碼及包裹號碼轉換成代碼或部分遮蔽以保護消費者個資 資料來源：iThome整理，2023年2月 責任編輯：郭又華 圖片來源：日本全家、三星、Wayfair </div></div></div>
2024/2/23 12:17作者郭又華https://www.ithome.com.tw/news/161435
Google將關閉Gmail的HTML檢視功能，但沒要終止Gmail
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 雖然Google經常關閉多項用戶眾多的服務，但Gmail一旦關閉可能會引發全球性的災難。Google關閉的只是Gmail基本HTML檢視功能。 近日一則關於Gmail標題為「Google is Sunsetting Gmail」的假消息，<a href="https://twitter.com/growing_daniel/status/1760750195980292189" target="_blank">宣稱</a>Google要在2024年8月1日關閉Gmail。有鑒於Gmail對眾多用戶的重要性，本訊息也引發網路數百萬人點閱及轉貼。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0223-gmail-%E5%81%87%E6%B6%88%E6%81%AF.png" style="width: 592px;" /> 主要媒體如《<a href="https://techcrunch.com/2024/02/22/google-is-killing-gmails-basic-html-view-in-2024/" target="_blank">Techcrunch</a>》、《<a href="https://www.theverge.com/2024/2/22/24080435/gmail-isnt-going-anywhere" target="_blank">The Verge</a>》、《<a href="https://gizmodo.com/no-google-isn-t-sunsetting-gmail-1851279685" target="_blank">Gizmodo</a>》都澄清報導這是假消息；Google並沒有要終止Gmail服務。 媒體報導，這假消息是用Google去年關閉Gmail基本HTML檢視的公告文字修改而成。<a href="https://www.ithome.com.tw/news/158969" target="_blank">去年8月，Google預告</a>，Gmail中的基本HTML檢視（Basic HTML View）模式將在2024年1月退役，屆時所有原本採用該模式的介面，都將自動轉成標準檢視（Standard View）模式。 雖然基本HTML模式是較古早的服務，但仍然<a href="https://news.ycombinator.com/item?id=37558372" target="_blank">引發不少用戶表達遺憾</a>。基本HTML模式是因應網路頻寬不大的地區用戶所需，最大好處就是可在網路較慢的狀態下使用，而且支援早期版本的瀏覽器。而且若用戶環境設有多個代理伺服器，現有Gmail載入即受到延遲性問題困擾。 目前這已成定局。<a href="https://support.google.com/mail/answer/15049?hl=en" target="_blank">Google支援頁面</a>提醒基本HTML檢視功能用戶儘快轉換到標準版本。此外，若用戶也同時使用螢幕畫面縮放功能（screen magnifier），<a href="https://support.google.com/mail/answer/14297617" target="_blank">Google建議</a>可在標準模式中啟用緊湊檢視（compact view）收信匣功能，可以讓介面變得清爽，讀取較多內容，這可以點入Gmail右上方「設定」，當中「快速設定」的「密集度」找到。 另外，用戶也可以取消Gmail收信分類、關閉郵件讀取視窗、重要信件標記等方式放大信件讀取空間。「設定」區中的「Inbox（收信匣）」中找到「類別」（共有5類），將「促銷」、「社交」類別取消勾勾，所有信就會集中在收信匣中，和基本HTML模式相同。 </div></div></div>
2024/2/23 13:04作者林妍溱https://www.ithome.com.tw/news/161439
【推薦思維從平臺角度轉為顧客角度】eBay推薦系統大改革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 商品推薦是零售業的核心課題。從實體商店將類似或互補商品陳列在一起，到現今電商以數據驅動RMN廣告，「如何呈現出顧客會有購買興趣的商品」，是一個不同時代有不同答案的亙古問題。 有2兆元交易額、1.35億名活躍會員、17億項商品的電商平臺eBay，正在嘗試交出新時代的答案卷。 「電商領域中，99%個人化推薦系統還在用老舊的典範──把商品相似性當作關聯性。」eBay AI長Nitzan Mekel-Bobrov直言。 早在2010年，eBay工程部落格的開站文章中，當時的eBay數據探勘主管Junling Hu便提到，他們新引入了協同過濾（Collaborative Filtering），將購買紀錄相似的顧客分群，再推薦分群中不同顧客曾購買的商品給彼此，是當時相似性推薦的主流技術。 這15年間，隨著技術進步，他們開始逐漸開始應用機器學習、深度學習等技術來強化推薦系統，更於2021年，聘任首任AI長Nitzan Mekel-Bobrov，主導推薦在內的AI做法。 eBay AI長分別在Boston Scientific、Capital One跟Booking.com等不同領域的大型企業擔任了超過13年高階數據工程主管，不過過往並沒有零售業經驗。剛加入eBay時，他聽說零售業界強調個人化推薦，且有AI模型可以預測顧客間相似度，感到非常好奇。「結果我花了一個月研究，才發現這種說法根本是認知失調。」他不諱言。 Nitzan Mekel-Bobrov認為，零售業絕大多數的推薦模型，仍是基於商品相似性2大原則：第一個是先前提到的協同過濾，第二則是內容過濾（Content-based Filtering），比前者更加簡單，單純依據商品特徵相似度來推薦商品。 許多複雜或利用先進技術的推薦系統，背後原理依然與此2原則脫不了關係。Nitzan Mekel-Bobrav舉例，透過深度學習技術，AI模型可以從非常多維度來分析商品，將這些維度轉換為嵌入向量（Embedding Vector），再利用K-近鄰演算法（KNN，K-nearest Neibourgh）等方法，從向量空間中找出最接近的商品。這種做法仍屬於內容過濾法精神。 另一個例子是，有些號稱以顧客興趣為中心的AI模型，會比較一系列的商品點擊紀錄，甚至進而預測下一個商品點擊行為。不過，「這仍是從商品相似性為出發點，還把一個活生生的人化約成區區幾個滑鼠點擊。」Nitzan Mekel-Bobrav吐槽。 相似性推薦法已經不夠有效 多年來，eBay也是從商品相似性出發，來進行個人化推薦。 這種思維帶來的最大限制是，不論技術上如何先進，判斷商品相不相似，都是基於電商對商品的分類方法，以及對相似性的定義。這意味著，就算有一組商品，在顧客認知中具有高度關聯性，只要這些商品各自被歸類到差異很大分類中，系統便無法推薦。 Nitzan Mekel-Bobrav指出：「這限制了商品探索階段的可能性，打擊了顧客體驗和廣告投報率，進而影響交易量。」 為了嘗試涵蓋更多顧客角度，eBay會賦予1種商品多種分類。以Jordan 1運動鞋為例，他們將這個商品分類在「服飾／男性／足類商品」、「服飾／男性／運動類商品」、「收藏品／服飾／足類商品」等，共12種分類下。不過，不論電商如何分類商品，顧客眼中都可能有更多種截然不同的分類方法。這對於有1.35億名活躍會員、17億項商品的eBay來說，尤其如此。 相似性推薦法另一個明顯短版是，利用KNN、ANN（大約近鄰演算法，Approximate Nearest Neighbour）等找出向量最接近商品的方法來做推薦，有可能因為同性質的商品數量過多，而使推薦內容枯燥無味，甚至全是不同賣家上架的相同商品。 他以自家電商頁面為例，eBay商品頁面會有類似商品版位及交叉銷售版位，前者是用來呈現同款不同價位商品及類似款項商品，後者則是用於顧客商品探索，主要呈現互補品或其他關聯商品。延續Jordan 1鞋子的案例，進入商品頁面，這2種推薦商品版位，呈現出來的商品全都是同款鞋子。這是因為，eBay站上有太多人在賣同款鞋，即使交叉銷售版位會檢索嵌入向量鄰近度稍微遠一點的商品，還是只會找到同款鞋。 這種現象，等於使eBay失去了讓顧客探索更多不同商品，促成更多訂單的機會。不只如此，顧客還可能因為購物體驗乏味，而直接離開網站，甚至減少未來造訪頻率。 漸進迭代式的改造推薦系統，先固本再革新 Nitzan Mekel-Bobrav認為，推薦系統最關鍵的課題就是，有效尋找高關聯性（Relevance）商品，引起顧客購買興趣。他強調，商品關聯性由顧客定義，而非平臺。這正是為什麼，eBay必須打破實行二十幾年的商品相似性推薦思維，採用一種新推薦方法，讓具有不同角度及背景的顧客，都能找到在他們眼中具關聯性的商品。 商品相似性推薦法將商品相似性與關聯性畫上等號。過往，eBay會制定一套理解商品的分類框架，再將顧客行為化簡為靜態的商品特徵數據，來匹配鄰近分類商品。這種做法聚焦商品數據，顧客數據顆粒度通常較為粗糙。 2021年起，eBay的推薦系統核心思維，開始採取不一樣的新做法，改從顧客行為出發，猜測顧客眼中的商品關聯性──不只根據相似性，也可能包括互補性、替代性，或其他關係。他們用接近即時的方法跟隨顧客旅途，蒐集顧客行為時序，不斷猜測顧客興趣，再根據興趣推論顧客如何連結起商品。 從平臺單一角度出發，分析單一種關聯性因素，轉變成從上億個顧客角度出發，分析多種關聯性因素，需要處理更大量、更細緻的顧客及商品數據，難度較商品相似推薦方法高不少。 不過，對eBay來說都是，要多增加一個數據維度來支援推薦系統，都是一件龐大且艱難的工程。因為，他們的商品高達17億項，而且類型多元，許多商品是非規格商品，甚至是不會重複上架的一次性販售商品。許多常見的數據處理方法，難以規模化來套用到eBay這種量級和複雜度。例如，對每一件商品紀錄上千維度的元數據，再計算出這些元數據間的種種關聯，以eBay規模來說是一件成本極高的事情。 eBay建設推薦機制的超高難度，使他們轉移推薦典範時並非一蹴而就，而是從強化既有推薦做法開始，先訓練出自己的語言模型，來處理商品文字資訊，再加入了更多維度及模態的商品數據，作為推薦依據。他們還得想辦法優化龐大模型的運算量，來縮短推薦系統的計算延遲，也能處理更多更複雜的數據。 對商品數據累積足夠的理解後，他們開始擴大蒐集及分析更多種類、更細緻的顧客行為，要從顧客角度，描繪出專屬每一個人的商品關聯性框架。 <a href="https://www.ithome.com.tw/news/161430" target="_blank"> 系列報導 1 </a><a href="http://www.ithome.com.tw/news/161430" target="_blank">為何eBay要推翻用了25年的傳統推薦？</a> <a href="https://www.ithome.com.tw/news/161429" target="_blank">系列報導 2</a> <a href="https://www.ithome.com.tw/news/161429" target="_blank">超級個人化推薦是eBay下一步目標</a> </div></div></div>
2024/2/23 10:41作者郭又華https://www.ithome.com.tw/news/161416
【成也分類，敗也分類，平臺角度推薦典範最大瓶頸】為何eBay要推翻用了25年的傳統推薦？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 二十幾年來，舉凡入口頁面、商品搜尋頁面、比價欄位、類似商品欄位、交叉銷售欄位、廣告商品欄位，甚至所謂「個人化推薦」欄位，eBay都遵循著同一套電商行之有年的傳統推薦思維，來推薦商品。 這套傳統作法就是商品相似性的推薦，以顧客所選擇或正在觀看的「主商品」作為比較基準，和不同「候選推薦商品」比較特徵，再根據相似性排序，推薦最相近的商品給顧客。 這些年來，eBay不斷強化推薦技術，例如從比對單字出現頻率的TF-IDF來計算相似性，走到利用NLP模型比對商品標題之間的語意。他們也持續增加不同維度的商品特徵，來進一步比較商品不同面向的相似性。甚至，會根據推薦情境，將主商品替換成其他資訊，例如商品搜尋條件、顧客最近瀏覽的商品等。 強化推薦技術時，eBay不惜投入大量時間、人力及硬體支出成本，反覆進行大規模、小顆粒度的測試和優化。他們動輒為了一個功能執行上千次實驗，或訓練多個版本的AI模型，只為了盡可能提升商品推薦關聯性。例如，為了強化相似性推薦系統理解商品敘述的能力，他們用了超過30億條商品標題，先後訓練了2個專屬NLP模型，再微調一次後，才投入實際應用。 這些做法升級當下，都有帶來或多或少的成效。不過，不論這些技術如何演進，歸根究柢都是在比較商品之間特徵相似性，並且假設，相似性高等於關聯性高，關聯性高等於顧客購買意願高。 以30億條商品標題訓練專屬NLP模型，強化語意相似性理解 25年來，eBay嘗試過各種商品相似性的推薦作法。最常用來比較的商品特徵是商品標題。多年來，他們比較商品標題的方法也很傳統，利用已經問世50年的詞彙出現頻率計算法TF-IDF，以及語意交集聯集比較法雅卡爾相似係數等統計學方法，來計算商品標題相似性。 直到2020年代，eBay才開始轉而使用NLP模型來進行語意嵌入向量（Embedding Vector）比對。他們採用當時主流的BERT家族模型。試用了優化版本的BERT模型RoBERTa後，他們發現使用NLP模型來推論相似性的效果明顯高於傳統統計學方法。為了盡可能提升相似性推論準確度，他們用自家30億筆歷史商品標題及2.5億條維基百科上的英、德、法、義、西語語句作為訓練資料，自行打造一個專屬BERT模型eBERT。接著，為了節省運算成本，eBay透過知識蒸餾模型壓縮法，以eBERT為老師網路，訓練出較輕量的學生網路MicroBERT。 為了再進一步改善MicroBERT模型推論相似性的效果，eBay又加入商品同時點擊（Co-clicking）數據，利用InfoNCE損失函數來微調此模型，以縮短相似商品間嵌入向量距離。微調後模型稱為Siamese MicroBERT，用來投入實際推薦場景。 可是，就算用了熱門的BERT模型，甚至嘗試了多種優化和改良方式，但是，eBay以商品標題資料來訓練的模型，仍舊是傳統商品相似性思維的推薦結果。 整合圖片與文字嵌入向量，同時比較多模態商品特徵 用文字來比較商品相似性後，eBay開始嘗試結合圖文相似度來比對商品。 過往，他們雖然有利用AI模型生成圖片和文字模態嵌入向量，但兩者是獨立儲存、處理，難以並用。實務上，推薦系統還是以商品標題的文字嵌入向量，作為主要推薦依據。只從商品標題文字相似性來推薦，可能會發生文字描述接近，但照片不相似，甚至品質低、圖文不符，使顧客失去興趣。 為了有效應用圖片向量於推薦，他們將圖和文向量投影到同一個向量空間，合併成圖文合一的多模態嵌入向量後，再來比較相似性。他們用TransH知識圖譜模型，將圖文嵌入向量投影到同一個超平面，以確保圖文嵌入向量代表同一件商品。Triplet loss損失函數則用於最小化相似商品的嵌入向量。經過這些處理，eBay便能並用商品圖片及文字嵌入向量，來比較商品相似性。 他們使用Siamese雙塔模型，進行2次嵌入向量比較，根據相似性來計算主商品及推薦商品同時被點擊機率，相似性越高越能提高顧客點擊推薦商品機率。 第1次是比較商品自身的圖片與文字嵌入向量距離，來排除圖文不符對相似性的削弱。第2次，將主商品與推薦商品，各自的圖文嵌入向量捉對比較相似性。 自此，eBay的推薦模型，從文字推薦，發展到了多模態，文字結合圖片的商品特徵，來比較商品相似性。雖然eBay推薦技術往前跨了一大步，但仍舊是聚焦在商品相似性，透過商品相似性無法做到的事，就算用了圖片結合文字，還是做不到。 轉化顧客行為成商品特徵，與商品資訊投影到同一個向量空間 他們不是不知道顧客數據的重要性，也曾用顧客數據來解決沒有主商品的推薦比較，但是，受限於商品相似性思維的框架，就算拿到顧客數據，還是回頭用來強化商品相似性，而沒有真正發揮顧客數據中興趣維度的價值。 像是在eBay首頁、「與你最近瀏覽相似」等欄位，有時還沒取得顧客瀏覽的主商品資訊，eBay用了一個號稱「顧客導向」的排序模型，分為「深度」與「廣度」2部分的架構。在深度面，eBay將顧客瀏覽及搜尋的商品，以及這些行為的頻率和順序，轉化為對應商品特徵，作為「顧客向量」，來會充當一般推薦情境的主商品角色，進行比較。 另外在廣度面，eBay採用了記憶商品常見銷售情況及顧客行為特徵，來建立一般性的推薦（而非個人化）的資訊，例如熱門商品、關聯商品及顧客習慣。綜合這2個架構的輸出數據，此模型便能在顧客沒有點擊主商品時，根據顧客過往行為來推薦商品。 雖然他們用了顧客行為數據建立「顧客向量」來推薦商品，但是，這個「顧客向量」，只是從顧客行為提取出一系列商品特徵，用來與推薦商品進行相似性比較，仍未跳脫以商品相似性為推薦基礎的精神。 商品相似性典範限制了思維及推薦效果 eBay對商品相似性的重視根深蒂固，每當要優化推薦方法時，他們第一個想法就是：「如何強化相似性推論？」 比如說，他們有一個收費的相似性商品推薦廣告版面，採用梯度提升樹（Gradient Boosted Tree）來訓練背後的推薦模型，採用了多種排序演算法，包括熱門度、商品品質及相似性，為了提高廣告轉換率，放大了熱門度對排序的影響。 如此一來，透過這個版面推薦的商品，可能會出現與主商品差異很大的產品，例如高價手錶頁面，出現了價格和外觀都與主商品相差甚遠的產品。 當eBay團隊發現了這個問題時，就直接選擇提高商品相似性的權重，反而沒有近一步細究、微調模型中不同因素的權重。他們誤以為，只要調整相似性就能讓推薦商品更具關聯性，也更能引起消費者購買。 甚至，他們刻意排除熱門度的影響，他們微調出一個新模型，來過濾舊模型的結果。新模性移除了所有與熱門度有關的排序功能，加入了一個購買機率的目標函式，賦予更高權重給相似性分數高的商品。不過，套用新模型後推薦結果，並沒有如預期全面提高顧客的購買率，只有部分商品有效。 這個結果反映出，還有其他需要考慮的影響因素，但是eBay團隊，發現推薦機制出問題時，習慣把商品相似性視為萬靈丹，什麼都先從這個角度來思考解法。 eBay這種改善推薦機制的做法，不是在實驗「哪一個推薦要素錯了」，而只是聚焦在「如何強化相似性權重、強化多少」。這種過度強調商品相似性的思維，侷限了他們工程團隊的思考空間。 歷年來，eBay不斷改善推薦機制，確實有效提升了以相似性為基礎的推薦方法。不過，Nitzan Mekel-Bobrav坦言，要打破eBay推薦機制面臨的瓶頸，不是靠現代化舊有做法。就算相似性推薦做得再極致，此思維原本無法處理的推薦情境，仍然無法處理。 他認為，eBay機制要有所突破，必須要從根本改變思維。首先，定義商品關聯性時，要跳脫25年來對相似性的執著，考量到更多因素。 不只如此，他們還要跳脫平臺本位思考角度，否則，當顧客有興趣的商品不被平臺視為同一分類，就算關聯性對一般人顯而易見，商品相似性推薦系統仍無法推薦。新思維應改從顧客角度出發，嘗試理解顧客如何認知自家商品，根據每一個顧客的興趣來調整商品分類和理解方法，才能做到超級個人化的商品推薦。 <a href="https://www.ithome.com.tw/news/161429" target="_blank"> </a><a href="https://www.ithome.com.tw/news/161429" target="_blank">後續報導請見</a><a href="https://www.ithome.com.tw/news/161429" target="_blank"> 超級個人化推薦是eBay下一步目標</a> </div></div></div>
2024/2/23 10:41作者郭又華https://www.ithome.com.tw/news/161430
【顧客角度全新推薦典範，要以顧客興趣為核心】超級個人化推薦是eBay下一步目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 想像一個Lebron James球迷，在eBay購買了一雙該球員聯名的球鞋，這時，如果eBay推薦系統是一個老練的推銷員，應該要推薦什麼商品給他？ 答案很可能不會是再一雙球鞋，而是介紹其他Lebron James蒐藏品，像是球員卡、珍藏版畫，或是其他連顧客自己都不知道存在，但可能會有興趣的周邊商品。這是因為，比起短時間內購買一堆球鞋，看到每個有趣的小東西都買一份，更符合一般人消費習慣。 「70% Gen Z認為商品探索是網購最棒的環節。」eBay AI長Nitzan Mekel-Bobrov笑道：「我跟年輕人至少在這點上有共識。」不過，eBay並沒有Lebron James這個商品分類，商品相似性推薦系統無從得知這些商品之間的關聯性，因此這位球迷不會有機會發掘偶像各式周邊商品，而是看到一整排自己已經買過的球鞋。 為了使推薦系統能像老練推銷員一般觀察，並勾起顧客興趣，eBay必須要轉移到以顧客新推薦典範。要做到這點，Nitzan Mekel-Bobrov認為，必須理解顧客興趣，同時熟知自家商品。這也意味著，eBay推薦系統典範轉移不須摒棄過往相似性推薦時代的技術建設，而是以過往累積的商品理解為基礎，加入顧客觀察，來綜合判斷應推薦商品。 新舊典範的關鍵差別是判斷商品關聯性的角度。以往做法是假設商品相似性等於關聯性，將顧客行為化簡為靜態的商品或商品分類數據，再匹配鄰近分類商品。 新做法則是從顧客行為出發，推論他們如何認知商品關聯性。這個關聯性是多元的，不只注重相似性，也可能是任何其他能連結起商品的概念。 為了做到這點，eBay勾勒出顧客旅途，從看似無關的行為中，猜測背後購買興趣，再動態推薦相關商品。這也意味著，隨著系統對顧客了解更深，同一個顧客在旅途不同階段瀏覽同一件主商品，可能會看到不同的推薦商品，且這些推薦商品不會受到eBay預設分類方法限制。 為了打造這種超級個人化的商品探索體驗，近一、兩年，他們開始大力研究，如何進一步從顧客數據挖掘出更多有用資訊，來強化商品推薦機制。 從顧客行為數據回推推薦效果，而非相似性 新典範下，eBay開始更深入的分析顧客行為數據，並用來強化推薦效果。一個例子是，增加顧客行為數據維度，來改善相似商品廣告欄位的推薦效果。 這是一個依據成交金額來抽成廣告費用的促銷廣告版面，當顧客瀏覽A產品，透過這個廣告推薦，實際購買了B產品時，才將A產品與B產品視為有關聯，作為後續相似性推薦的重要參考。當其他人看了A產品，也會推薦B產品給他。若沒有完成購買行為，則一律視為無關聯性。 這種高度聚焦於購買行為的設計，雖然能有效帶來購買轉換，不過也衍生出3個問題。 第一是偽陰性問題。通常，顧客頂多只會從推薦欄位中購買一件商品，其他商品就算具有高關聯性，也會被標註為無關聯性。再來，購買行為相較於其他顧客行為，數量稀少不少，因此可以用來強化推薦系統的數據相對少。第三，此機制沒有考慮到其他類型行為，也可能代表不同程度的購買興趣。 eBay嘗試加入更多過往顧客行為到推薦模型中，來因應上面3個問題，不過還要得客服兩個挑戰，首先，要判斷哪些行為標籤具有足夠影響力，應該納入考量。接著，要賦予這些行為適當權重，否則推薦效果反而會低於原本設計。 為了解決這2個挑戰，eBay根據不同行為標籤與標籤超參數組合，訓練出2,000個以上的模型來投入實驗，並且分開測試網頁版商城及行動App商城，才決定點擊、加入購物車、開價、點擊馬上購買按鈕、加入觀察清單、購買等行為標籤以及其權重，並將新模型投入全球商城中。 不問推薦商品與瀏覽中的主商品多相似，只問顧客有沒有興趣，來決定推薦排序，這便是新典範中，以顧客角度觀看商品的精神。 以顧客旅途為出發點，打造更即時、更不受既有認知限制的超級個人化體驗 不只要從一系列相似商品中，根據顧客歷史行為進一步推測顧客興趣程度。eBay還要分析顧客在整個eBay商城中的旅途，即時找出其興趣，推測此顧客眼中如何看待商品關聯性，並用來這個角度來分類商品，進行推薦。 eBay舊有推薦法蒐集的顧客行為不多，主要是顧客點擊、購買及搜尋數據。為了更深入分析顧客興趣，他們將顧客商城內的行為整理成63種事件，分別屬於探索、商品清單、瀏覽、搜尋、決策、支付、送貨、再訪8個階段，以此來勾勒出顧客旅途。 eBay不只會紀錄這63種事件的發生時間，再轉化為事件順序嵌入向量（Sequence Embedding），還會進一步紀錄每個事件的持續時間，轉化為時間嵌入向量（Time Embedding）來代表此事件的重要性。 接著，他們將兩著結合成點擊流嵌入向量（Click Stream Embedding），再與自家商品的知識圖譜（Knowledge Graph）比照，動態形成興趣圖譜（Interest Graph），來推論商品對於顧客來說，可能有哪些關聯性。 Nitzan Mekel-Bobrov說，事件順序及時間嵌入向量都是利用雙向長短記憶網路（Bi-directional Long Short-Term Memory，BiLSTM）計算出來的，需要耗費巨大運算資源，因此業界通常不會做到如此精細，但eBay認為，這對於深度且即時了解顧客興趣至關重要。 系統會根據這些動態推論的顧客興趣及關聯性，產生商品分類，作為推薦依據。這樣一來，便能跳脫原本eBay用相似性建立的商品分類，每一個顧客都會有專屬自己的分類方法。 新做法不只使eBay能擺脫自己分類觀點的限制。Nitzan Mekel-Bobrov補充，顧客數據分析到如此精細，可以做到所謂「多方向性」的顧客興趣理解。 「一般的個人化是單方向的作法，數據累積越多，越有可能累積到錯誤或過時資訊，而且系統不容易及時遺忘這些不適用的資訊。」他補充，像圖文向量的「顧客向量」就一種靜態資料，取得後要更新很難，若可以更即時了解顧客興趣，便更容易根據顧客旅途來快速反應，增加、移除或修正系統對於顧客興趣的了解。 例如，系統雖然一開始判斷顧客喜歡玩具相機，當顧客點擊更多復古木製玩具類相機，系統便會更新對興趣的理解，改認定對方喜歡復古木製玩具相機，在這個過程來累積顧客興趣理解，增加或修正興趣標籤，這是一種個人化的優化方向。 不過，當顧客開始點擊更多非相機類的復古木製玩具時，系統便會移除相機這個標籤，改為判斷顧客興趣是復古木製玩具，移除顧客興趣標籤，這是與前一個優化方向相反的作法，透過排除噪音來提高個人化。顧客若點擊其他材質的玩具，或是對特定類型復古木製玩具展現興趣，系統對顧客興趣理解也可以「橫向」移動到其他類興趣的標籤。「這些移動都是根據動態產生的顧客興趣圖譜，而不是預定義的商品分類。」Nitzan Mekel-Bobrov強調。 追蹤顧客探索旅程的每一個行為，透過多種優化做法來更新對顧客興趣的，正是eBay發展超級個人化的關鍵一步。 <a href="https://www.ithome.com.tw/article/161431" target="_blank"> 相關報導 <img alt="" src="https://s4.itho.me/sites/default/files/images/1170-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P1-open-%E5%8F%88%E8%8F%AF-960X420%20%E6%8B%B7%E8%B2%9D_0.jpg" style="width: 550px;" /></a> </div></div></div>
2024/2/23 10:42作者郭又華https://www.ithome.com.tw/news/161429
拍賣龍頭AI長的挑戰
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 全球最大拍賣網站eBay，在3年前，聘了一位當時少見的AI長Nitzan Mekel-Bobrov。這位留著一臉落腮鬍的AI長，擔任過醫療設備商Boston Scientific、金融集團Capital One和旅遊巨頭Booking.com的數據高階主管，這是他第一次進入零售電商產業。 以AI長職位，而非資料長來聘任，因為eBay高層對他的期待很不一樣，希望這位AI長可以確保eBay「神奇且負責任地提供AI增強的顧客體驗。」 陌生的零售產業經驗，讓Nitzan Mekel-Bobrov具有不一樣的眼光，可以從第三者的角度，更客觀地看到eBay的不足和問題。上任第一年，他就做了一個大膽的決定，推翻eBay用了二十多年的推薦系統運作模式。 eBay一年交易金額高達2兆元，多達1.35億名活躍會員每個月打開eBay，從17億件商品中，找到自己鍾意的那一項。想要提高交易量，如何靠商品推薦來吸引顧客購買是一大關鍵。 可是，不同於沃爾瑪、Amazon這類B2C的電商，eBay是C2C的商業模式，上架的商品，來自上億賣家，上架的商品五花八門，許多很難用制式的商品規格來描述， 甚至有很多商品是不會再次上架的一次性販售商品，再加上上億人、數十億件商品的規模，想要打造出一套好的推薦系統，是一個非常艱難的挑戰。過去二十年來，eBay以商品相似性為基底，發展出了一套複雜的推薦機制。 這麼多年來，eBay不斷改良和優化自己的推薦系統，從最早比對商品標題單字出現頻率來計算相似性的TF-IDF作法，到近十年開始利用越來越成熟的NLP模型，來分析商品標題的語意。 eBay甚至以當年超級熱門的BERT模型為基礎，用30億筆歷史商品標題及2.5億條維基百科上的英、德、法、義、西語語句作為訓練資料，發展出了一套自家的NLP模型eBERT，結合了多種模型壓縮和優化方式，最後微調出一套模型稱為Siamese MicroBERT，來分析十多億則商品標題的相似性。 後來，不只文字，還結合了圖片嵌入向量作法，讓商品外觀成為相似性比對的新維度，透過圖文向量來找出優先推薦的高相似性商品，當顧客瀏覽一個商品介紹網頁時，就會跳出相關的推薦產品。 但是，這位AI長到任後，一看到eBay這個用了十多年的推薦模式，就直言，這種只靠商品資訊來計算相似性的推薦，就算做到極致，還是有局限。預設相似越高的商品，對顧客會有同樣的吸引力，這種做法其實沒有辦法反映出顧客真正的興趣，甚至當顧客興趣轉換時，也無法動態修正推薦的結果。 「eBay推薦機制要有所突破，思維上必須要有根本性的改變。」他說。 他認為eBay必須跳脫平臺本位思考角度，改從顧客角度思考，嘗試理解顧客如何認知自家商品，以此作為推薦的依據。 重新以顧客角度來思考推薦本質，eBay開始聚焦顧客上站逛商品的探索行為，追蹤63類事件來描繪顧客的購物旅程，想辦法理解在這個過程中，顧客的興趣變化，來設計新一代的推薦系統。 這正是全球最大拍賣網站AI長過去三年，最重要的課題。 <a href="https://www.ithome.com.tw/article/161431" target="_blank"> 相關報導 <img alt="" src="https://s4.itho.me/sites/default/files/images/1170-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P1-open-%E5%8F%88%E8%8F%AF-960X420%20%E6%8B%B7%E8%B2%9D_0.jpg" style="width: 550px;" /></a> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ebay">eBay</a></div><div class="field-item odd"><a href="/tags/%E5%95%86%E5%93%81%E6%8E%A8%E8%96%A6">商品推薦</a></div><div class="field-item even"><a href="/tags/%E9%9B%B6%E5%94%AE%E6%A5%AD">零售業</a></div><div class="field-item odd"><a href="/tags/%E6%8E%A8%E8%96%A6%E7%B3%BB%E7%B5%B1">推薦系統</a></div><div class="field-item even"><a href="/tags/%E5%80%8B%E4%BA%BA%E5%8C%96%E5%95%86%E5%93%81%E6%8E%A8%E8%96%A6">個人化商品推薦</a></div><div class="field-item odd"><a href="/tags/ai%E9%95%B7">AI長</a></div></div></div>
2024/2/23 10:46作者王宏仁https://www.ithome.com.tw/voice/161432
Gemini多元化矯枉過正，遭Google暫停人物圖像生成功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Google AI聊天機器人Gemini因近日多起在產製歷史人物圖像生成時，發生種族方面的錯誤，Google已暫時關閉其人物圖像生成功能。 <a href="https://twitter.com/Google_Comms/status/1760603321944121506" target="_blank">Google稍早透過X官方帳號表示</a>，團隊正在解決近日Gemini圖像生成功能的問題。為此該公司將暫停人物圖像生成功能，很快會再重新推出改善版本。 <a href="https://twitter.com/Google_Comms/status/1760603321944121506" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0223-google%20gemini-600-1.png" style="width: 590px;" /></a> 此事是發生在用戶本周利用由Bard改名後的Gemini生成人物圖像的功能。但不少用戶發現Gemini生成的一些人物圖像有離譜錯誤，而歷史人物圖片上特別明顯，例如<a href="https://twitter.com/nypost/status/1760623631283954027" target="_blank">生成非裔的美國開國元勛</a>、看起<a href="https://twitter.com/vocalcry/status/1760150802641854519" target="_blank">來不像Larry Page及Sergey Brin的Google創辦人</a>，以及亞洲臉孔的納粹軍官、非裔天主教教宗等。顯然用以設計Gemini生成內容的平等、多元化原則套用在歷史人物上並不完全適用。 <a href="https://twitter.com/nypost/status/1760623631283954027" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0223-google%20gemini-New%20York%20Post(2).png" style="width: 280px;" /></a> <a href="https://twitter.com/vocalcry/status/1760150802641854519" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0223-google%20gemini-Circe(1).png" style="width: 280px;" /></a> Google昨日已獲報Gemini產生歷史人物圖像發生不精確的問題。<a href="https://twitter.com/Google_Comms/status/1760354549481546035" target="_blank">Google坦承</a>Gemini的AI圖像生成功能的確產出各種人物，通常這是好事，因為使用者來自世界各地，但此時卻有點尷尬。 Gemini產品經理Jack Krawczyk在稍早的X貼文上指出（現已刪除），Google設計Gemini的圖像生成功能乃為了反映其全球使用者組成結構。 這不是生成式AI第一次出現圖片爭議。去年Midjourney的免費版AI圖片生成服務<a href="http://www.ithome.com.tw/news/156224" target="_blank">被人濫用生成</a>天主教教宗方濟各（Pope Francis）穿著貌似知名品牌的外套，脖子上還掛著十字架項鍊。微軟的圖片AI生成工具也<a href="https://www.ithome.com.tw/news/161083" target="_blank">被用來產生</a>知名藝人Taylor Swift的不雅照，但微軟隨後修正這項問題。 由於出錯容易引發爭議甚至當局介入，主要業者從OpenAI到微軟、Google、Meta等任何圖片或影片AI生成服務上線前，都會設下使用限制並找來專業團隊執行攻擊演練，防止濫用。 </div></div></div>
2024/2/23 11:26作者林妍溱https://www.ithome.com.tw/news/161434
Cloud周報第194期:微軟Azure推出碳優化、碳洞察新工具，能協助用戶優化和管理雲端使用的碳排放
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 重點新聞（02/8～02/21） VMware GCP Google率先支援VMware新制，讓企業能通過授權轉移將地端的VCF環境搬上GCP平臺 在VMware全面改為訂閱制後，在三大公雲中，Google率先以行動相挺。兩家公司最近宣布了一項授權轉移計劃，讓VMware企業用戶未來可以通過授權移轉的方式，將其本地部署的VCF（VMware Cloud Foundation）環境搬上GCP平臺。 透過這項計畫，企業在可以更容易在本地資料中心和GCP平臺之間移動VCF軟體的授權，這意味企業可以將本地部署的VCF訂閱授權轉為GCP平臺上的授權，而不需要在GCP平臺重新購買VCF軟體授權才能用。反之亦然，企業也能將GCP平臺上的VCF授權轉移到本地環境中。 在VMware舊制時，Google Cloud就已在VMware Engine服務中提供各種VMware元件，包括vSphere、NSX 、HCX、vSAN等。而在新制下，VMware表示，企業可以從VMware Engine平臺中獲得VCF平臺的完整功能。 這項授權轉移方案預計將在今年第二季公布。 雲端永續 微軟 微軟推出兩款碳優化管理新工具，助用戶優化Azure雲端使用的碳排放 為實現雲端永續發展目標，微軟最近推出了兩項新工具，讓Azure開發人員能夠優化和管理Azure雲端使用的溫室氣體排放。其中一個是Azure碳優化工具，這是一個免費工具，透過該工具，不僅可以提供Azure使用所產生的排放資訊，還能針對這些數據提出相關建議，進而提高雲端效率並降低碳排放。 第二個工具是Azure排放洞察工具，作為Microsoft Fabric永續發展資料服務方案的一部分提供，透過這個工具，將使數據分析師和工程師能夠存取Fabric中的Azure排放數據，進行相關查詢和了解Azure資源的排放水平，從而進一步進行分析和製作進階報告。 目前，Azure帳戶管理者也已經能夠在排放影響儀表板中查看其組織內的雲端排放視圖。透過此功能，他們能夠追蹤和監控特定資源或工作負載的碳排放量變化，以改善組織的碳足跡。 目前這兩款工具仍處於預覽版階段。 上雲 Waldo雜貨超市 墨西哥老牌雜貨超市Waldo's Dollar Mart為加速轉型擁抱雲端，以達成年開設70家新店的目標 <img alt="" src="https://s4.itho.me/sites/default/files/images/rc24-waldos.jpg" style="width: 600px;" /> 在墨西哥有家擁有超過800家門市的老牌雜貨超市Waldo's Dollar Mart，近幾年積極展開數位轉型而開始大力擁抱雲端，以加速營運決策和提供顧客更好地購物體驗。 在Waldo自2020左右展開上雲後，一開始就先從核心的ERP著手，改採用雲端ERP，之後將其他系統陸續搬上雲端，包括零售採購、發票比對、商品訂價、倉庫管理、供應鏈管理等。 由於Waldo許多應用程式都已相當老舊，為了能夠上雲，Waldo重新梳理了超過62個舊有應用程式，讓這些應用能夠跟著現代化，同時簡化了既有業務流程，包括庫存管理、規劃和預算流程等，對齊雲端發展目標。 Waldo's Dollar Mart首席資訊長Laura Andrade Ortega 表示：透過上雲，不僅可以提供提高的營運效率和更好決策，也能加快開店的速度，支援其每年開設約70家新店的目標，滿足實體店和線上客戶需求。 Acrobat GenAI助理 Adobe雲端版PDF軟體Acrobat也有GenAI助理功能了 <img alt="" src="https://s4.itho.me/sites/default/files/images/8898.png" style="width: 600px; height: 338px;" /> 近來，Adobe積極搶進生成式 AI領域，不僅在Creative Cloud套件中推出運用Firefly生成式AI 技術支援Photoshop繪圖的新功能，現在進一步把這項能力帶進旗下Adobe Document Cloud雲端套件中的PDF軟體Acrobat，為其加入生成式 AI助理的功能。 使用AI助理時，使用者只需在介面中點選右上角的「AI Assistant」按鈕，就可以啟動該功能。 Acroba借助在Acrobat Liquid Mode行動閱讀模式中運用的機器學習模型，讓AI助理更容易理解PDF內部結構和內容，可以為使用者產生長篇文件的重點摘要、提供獨特觀點，並回答用戶提問。 Acrobat中的AI助理不僅會針對PDF文件中整理出的重點提供連結，方便用戶迅速在文件中找到該原始段落，後續還能協助設計報告或簡報排版、語調，以及草擬電子郵件，並將完成的檔案壓縮成合適大小，方便與他人分享。 不只PDF文件能用，使用者可以使用它處理各種文件格式，包括Word、PowerPoint或常見會議記錄格式等。不過，目前Acroba AI助理還是beta版本。 雲端市場 三大公雲 企業GenAI強烈需求帶動雲支出增長！第四季全球全球雲端基礎設施服務市場創新高，達737億美元 <img alt="" src="https://s4.itho.me/sites/default/files/images/8989.jpg" style="width: 600px; height: 428px;" /> 市場研究機構Synergy Research Group去年第四季調查顯示，在企業GenAI強烈需求帶動下，全球企業在雲端基礎設施服務支出創新高，達737億美元，比前一年同期增長超過120億美元。第四季成長率為20%，2023全年達到19%成長率。 從公有雲市占率來看，前三名市占合計達73%，亞馬遜AWS雖有些微幅下滑但仍以31％市占排名第一，而第二名的微軟Azure本季市占明顯增加，達到24％，正逐漸縮小與AWS的差距。至於Google Cloud的市占為11％，並沒有明顯變動。 從地理畫分來看，亞太地區成長最為強勁，包括印度、中國、澳洲和日本較同期都呈現出平均20％以上的成長，美國地區成長雖然僅有16%，但仍是當前規模最大的雲端市場。 義大利國防部 軍事太空雲 義大利國防部有意將雲端資料中心搬上太空 義大利國防部最近啟動了一個名為MILSCA的研究計畫，旨在建立一個軍用太空雲架構，以便能夠將地面雲端資料中心移至太空中，建造軍事太空雲。 有別於地面上傳統的雲，這個太空雲能在太空中提供高效能運算（HPC）和儲存服務，確保更快速的資訊處理和共享能力，更高的安全或靈活彈性，作為政府和軍隊的使用。 該計畫要求建立一個衛星群，每顆衛星的單精度性能可達250 teraFLOPS（每秒1兆次浮點運算），同時在軌道上儲存至少100TB的資料。除了資料處理速度更快，由於資料是從太空傳傳輸，因此通訊較地面系統更不易受到干擾。 圖片來源／Adobe、Synergy Research Group、Oracle、微軟 更多Cloud動態 1.微軟Azure Stack HCI超融合式基礎結構平臺已可支援部署Azure雲端虛擬桌面 2.瞄準小型企業行銷需求，Salesforce推出結合GenAI的行銷雲服務Marketing Cloud Growth 3.微軟重砸32億歐元將用於發展德國雲端與AI 4.AWS去年第4季營收達242億美元，較同期成長13% 資料來源：iThome整理，2024年2月 <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/2/23 08:27作者余至浩https://www.ithome.com.tw/news/161389
Apple將在iOS 17.4升級iMessage添加後量子加密協定PQ3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Apple因應未來量子電腦對當前加密協定帶來的風險，將全面<a href="https://security.apple.com/blog/imessage-pq3/">升級iMessage</a>的加密機制，添加比安全通訊軟體<a href="https://www.ithome.com.tw/news/158852">Signal</a>使用PQXDH協定更強大的後量子加密協定PQ3，使得iMessage成為加密安全最強健的通訊軟體。 雖然當前市面上的通訊軟體，不少使用RSA、橢圓曲線和Diffie-Hellman金鑰交換等經典的公鑰加密技術，在裝置間建立端對端加密連線，而這些演算法也都被證明為困難的數學問題，要解開這些數學問題所需要的運算量，超越古典電腦的能力範圍。不過這個情況將在量子電腦時代改變，一臺足夠強大的量子電腦，其理論運算速度足以威脅當前加密通訊的安全性。 雖然目前擁有這種能力的量子電腦還沒被開發出來，但是資源豐富的攻擊者，可以先大量收集加密資料和檔案，待未來強大的量子電腦出現，就能進行破解讀取加密的內容。 為了降低未來量子電腦帶來的風險，密碼學界一直在研究不需要量子電腦，就能夠執行的後量子加密演算法，也就是可以在當前古典電腦上運作，同時也能夠免受未來已知量子電腦威脅的協定。在去年9月的時候，Signal率先宣布加入對PQXDH協定，成為第一個擁有後量子安全性的大型通訊應用。 Apple持續強化iMessage的安全性，從2011年開始預設提供端到端加密，在2019年Apple將iMessage原本所使用的RSA加密協定，升級到更安全的橢圓曲線加密方法，並透過安全區（Secure Enclave）保護裝置上的加密金鑰，而現在Apple也要在iMessage加入後量子安全性，使其成為加密安全性等級三的通訊應用程式。 Apple指出，Signal支援PQXDH協定為安全性等級二的通訊軟體。等級二代表在提供端到端加密之外，應用程式還添加後量子安全性，但是其後量子加密技術僅用於初始金鑰建立的過程，而這代表在建立通訊連接時使用的金鑰，的確足以抵抗量子運算攻擊，但是一旦連接建立，後續的通訊不一定受同等級的保護，因此當對話的金鑰材料洩漏或是沒有更換，攻擊者便可能利用洩漏的金鑰解密過去或是未來的通訊內容。 Apple強調，他們並非只是以新演算法取代現有演算法，而是重建了iMessage的加密協定。iMessage在採用PQ3協定之後，將成為加密安全性等級三的通訊軟體，該等級要求通訊軟體不僅在初始金鑰建立需要使用後量子加密，在之後的訊息交換過程也必須受後量子加密保護，確保即便金鑰洩露，也不會影響整個對話的安全性。 此外，等級三的後量子金鑰需要定期更新，防止洩漏的金鑰被大量用來解密大量通訊內容，而這樣的設計能夠對抗目前最先進的攻擊者，即便在未來量子電腦時代，也能確保通訊的安全性。在通訊過程，裝置會定期產生新的加密金鑰，新金鑰無法從過去的加密金鑰計算出來，此設計能夠有效防止洩漏的金鑰，被攻擊者用於解密過去或是未來的訊息。 PQ3採用混合式設計結合後量子演算法和當前使用的橢圓曲線演算法，這種設計提供雙重保障，即便後量子演算法存在漏洞或是被破解，仍有橢圓曲線演算法提供保護，確保PQ3提供的安全性不低於現有的橢圓曲線演算法。而且PQ3能夠平衡訊息大小，避免因為增加安全性而額外產生過多的運算開銷，並使用形式驗證（Formal Verification）方法，保證新協定的安全與強健。 在PQ3協定中，每臺裝置都會在本地生成一組公鑰，並將這些公鑰傳送到Apple伺服器進行iMessage註冊。在初始金鑰建立階段，發送方裝置會獲取接收方裝置的公鑰，並且對第一則訊息生成後量子加密金鑰。PQ3採用名為Kyber的後量子公鑰演算法，該演算法經過全球密碼學社群的嚴謹檢查，並<a href="https://www.ithome.com.tw/tech/151925">被美國國家標準暨技術研究院（NIST）認可</a>。 iMessage仍繼續使用經典的加密演算法驗證發送者身分，以及驗證Contact Key Verification帳戶金鑰，Apple提到，這些機制無法透過未來的量子電腦進行追溯攻擊。攻擊者要嘗試將自己插入iMessage對話中，需要有一臺在通訊前或是當下，能夠破解身分驗證金鑰的量子電腦，Apple認為攻擊者要具備這樣的能力還需要很多年，他們會考量量子電腦的發展，評估加入量子身分驗證的必要性。 iOS 17.4、iPadOS 17.4、macOS 14.4和watchOS 10.4中的iMessage，就會開始採用PQ3協定，目前已經在相對應的開發者預覽版和測試版中進行測試，支援PQ3協定的裝置間通訊，就會自動升級使用後量子加密協定。Apple預計在今年就會將受支援的對話，全部轉移使用PQ3協定。 </div></div></div>
2024/2/23 08:27作者李建興https://www.ithome.com.tw/news/161425
IBM資安調查發現駭客傾向盜用合法憑證，而非直接入侵企業網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> IBM X-Force發布<a href="https://www.ibm.com/reports/threat-intelligence">Threat Intelligence Index 2024資安調查報告</a>，相較前一年企業面對的資安環境發生變化，攻擊者使用被盜或是洩漏的憑證進行網路攻擊增加了71％，32％的資安事件與資料竊取和洩漏有關，比起加密勒索，攻擊者更傾向於竊用和直接出售資料。X-Force也提到，隨著人工智慧解決方案的市占率快速增長，攻擊者將更有動機針對相關技術，投資開發具成本效益的攻擊工具。 攻擊者將焦點轉移到成本較低的攻擊途徑，盜用受害者的合法憑證是2023年最常見的攻擊入口點，X-Force團隊發現針對Microsoft Windows Active Directory憑證的Kerberoasting攻擊，事件數增加了100％，這代表著攻擊者獲取身分進行攻擊的方式發生改變，X-Force解釋，攻擊者更多的是登入合法帳戶，而非直接入侵網路。攻擊者發現組織要區分憑證是合理使用還是濫用存在困難，因此更傾向藉由社交工程或是詐騙手段取得受害者的合法憑證，而非尋找系統的弱點進行入侵。 <a href="https://s4.itho.me/sites/default/files/files/0223-IBM_X-Force_Threat%20Intelligence%20Index%202024-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0223-IBM_X-Force_Threat%20Intelligence%20Index%202024-1.png" style="width: 600px;" /></a> 圖片來源／IBM X-Force 企業對於勒索事件的防禦率持續提升，雖然勒索事件仍是目前最常見的行動目標（Action on Objective）占20％，但是X-Force觀察到勒索事件下降幅度達11.5％，大型企業現在會積極防禦勒索軟體的部署，並且選擇不支付贖金換取解密，直接重建以防勒索軟體掌握控制權。 而資料竊取和洩漏事件則成為企業最常見的攻擊影響，占比達到32％，有更多攻擊團體偏好使用這種方式獲取收益。根據X-Force的觀察，過去專注勒索軟體的攻擊團體，對資料竊取有越來越大的興趣，同時也有一些新的資料竊取工具冒出頭，諸如Rhadamanthys、LummaC2和StrelaStealer等都在2023年活躍，這惡意軟體使用急劇上升，事件數增加了266％。 <a href="https://s4.itho.me/sites/default/files/files/0223-IBM_X-Force_Threat%20Intelligence%20Index%202024-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0223-IBM_X-Force_Threat%20Intelligence%20Index%202024-2.png" style="width: 600px;" /></a> 圖片來源／IBM X-Force X-Force也分析，當前人工智慧主導市場的地位，代表著人工智慧攻擊面的成熟，當單一人工智慧技術的市占接近50％，或者當市場整合到三種或是更少的技術時，資安攻擊生態系就會投資開發針對性的工具和攻擊途徑。也就是說當人工智慧技術在市場達到一定的普及率，尤其是被少數技術主導市場，當攻擊這些人工智慧技術變得有利可圖時，就會成為攻擊者的主要目標。 製造業連續三年都是遭受最多攻擊的產業，而遭受攻擊最頻繁的10大產業中，製造業占了事件總數的25.7％，而在這些事件中，惡意軟體是最主要的行動目標占45％，勒索軟體則占總數的17％。 </div></div></div>
2024/2/23 08:51作者李建興https://www.ithome.com.tw/news/161427
每天執行1.6億任務的高盛證券資料庫，如何建立可觀察性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 高盛是全球超大型投資集團之一，他們有一套用來分析龐大證券交易風險和估價的關鍵平臺SecDB，來協助高盛集團旗下的交易員，評估什麼時候買哪一些股票的風險有多大。這個平臺，正是讓高盛證券交易員們一年獲利數十億美元的關鍵系統。 SecDB平臺已經用了30年，每天要執行1.6億個任務，目前負責維護這套系統的開發人力超過了3千人。這套系統還設計了自己專屬的程式語言Slang，多年來累計超過了2億行Slang的程式碼。目前全球有1萬3千名使用者，不只是交易員，還有許多分析人員。這套系統一但出現問題，甚至發生短暫當機，不只會影響了高盛的證券交易的風險評估，甚至連高盛銀行的業務都會有影響。這是高盛全集團的關鍵系統之一。 SecDB串接全球上萬資料庫，可支援25億個連線數 為了支援各種不同的使用情境，SecDB平臺也發展出了許多原生應用，串接了1萬多個分散在全球的物件資料庫，所能支援的連線數超過25億個連線，每秒接收的流入資料頻寬多達164TB，對外流出的資料頻寬，更是達到每秒8PB的海量資料。可以說，SecDB和伴隨的相關應用，組合成了一個龐大的分析生態圈，而SecDB平臺就是其中的關鍵核心。 如何強化一個發展了30年的龐大老舊系統，是非常困難的挑戰，尤其近幾年，這套系統韌性面對的局勢，每一年都在改變，可能來自各式各樣的新興網路威脅，新興金融使用情境，新興技術的汰換和進化，這些變化再再考驗了SecDB系統的韌性。為了更徹底掌握SecDB系統的運作情況，3年前，高盛開始打造這套關鍵系統的可觀察性能力。 原本的SecDB平臺為了提供高速分析能力，採用了記憶體式鍵值（Key-value）資料庫，並採取了叢集架構的設計，由一個保持最終一致性的複寫叢集群組，高盛稱其為Ring AP，把資料寫入到這個叢集群組中的任何一個資料庫節點成員，來建立高度分散式的效能。 在這個群組中的資料庫節點，例如有紐約SecDB資料庫，倫敦SecDB，香港SecDB資料庫，彼此之間還會透過一支同步程式SecSync，可以自動更新和移除彼此不一致的地方來確保，資料庫的最終一致性。 舊有時間序列資料分析工具，不擅長即時維運分析 數十年來，SecDB資料庫團隊也打造過好幾種監控機制，最近主要使用的監控矩陣SecDB Metrics，是以時間序列資料庫來搜集各種事件後，進行例行檢查，也能用來來診斷各式各樣的已知問題。例如資料庫組態可用記憶體限制、連線限制數的問題等。而資料庫管理人員也常用一款時間序列資料分析工具PlotTool，運用各種數值分析，來了解這些時間序列資料的維運效能。 例如高盛資料庫管理人員曾用PlotTool來繪製出資料庫所用記憶體的變化趨勢，原有標準配置的記憶體配置上限是 60GB，但從分析趨勢可以看到資料庫的記憶體用量需求越來越大，就可以在特定時間後，將上限值拉高到70GB。用這樣的繪圖工具來看記憶體用量的長期變化趨勢，可以更視覺化地觀察維運作法上需要調整之處。 高盛用了多年的時間序列資料庫和PlotTool都是好用的維運工具，雖然有用，但是還是有所不足，因為這些適合用來觀察長期趨勢，而不是即時性的系統監控機制。尤其，就有監測矩陣所用的時間序列資料庫，適合用來儲存即時的金融資料和分析這些金融資料，但是，不擅長用於即時維運系統訊號的處理。 3年前，高盛開始另外用批次處理程式，來產生各種分析報表，若有異常或需要注意的訊號，也只能透過電子郵件通知相關人員來處理，時效性比較不足。 可是，這幾年來，SecDB平臺串接的資料庫越來越多，產生的電子郵件通知數量和各種維護問題越來越多，高盛發現，他們需要一個平臺，可以立即注意到關鍵事件出現。 採用開源事件監控平臺Prometheus打造可觀察性架構 高盛SecDB平臺團隊和SRE團隊討論後，決定使用開源事件監控平臺Prometheus，用這個Prometheus 自己的數據查詢語言PromQL來開發監控機制，並改用Prometheus的通報管理功能Alertmanager來發送異常通報。 為了避免影響到原有的資料庫，高盛打造了一隻探測程式，並在SecDB所在的每一臺主機上，會放了一個Daemon程序，可以和外部的探測程式溝通，將搜集這臺主機上的運作狀態Log數據，這隻探測程式還會將各種事件和Log資料，整理成Prometheus格式的資料，再匯入到SRE團隊管理的Prometheus主機上，最後，資料庫團隊可以在Prometheus所有SecDB平臺的狀態儀表板。 在這個SecDB儀表板上，可以看過過去6個小時內，每一分鐘，每一臺SecDC主機的數據變化，例如每一分鐘使用了多少記憶體，資料庫讀取的利用率有多高等等。透過這些搜集主機狀態的觀察手段，可以建立整個Ring AP叢集群組中，每一臺主機、每一個資料庫的監測儀表板。 高盛使用了PromQL規則來定義各種事件的觸發條件，來判斷不同事件需要驅動哪一種等級的維運高風險通報。多數不緊急的事件只需要發出後續追蹤處理的通知，但是對於關鍵事件，則會觸發一個特別的通報機制稱為 PagerDuty，直接發布通報給待命工程師。 盡可能避免影響原有平臺，採用指標伺服器從旁搜集遙測資料 高盛SecDB團隊打造可觀察性功能時，有一個大前提是，盡可能避免影響到SecDB平臺的系統來搜集需要的SecDB平臺Log資料。所以，他們後來的作法，不是在SecDB平臺系統中增加監測機制，而是改在每一個SecDB所部署的主機上，用Daemon程序來安裝一個指標伺服器（Metrics Server），用來可以提供這臺主機的即時資料庫遙測，一但主機發生任何狀況發生，都可以立即看到。這個指標伺服器，跟主機上的SecDB平臺資料庫，共用同樣的記憶體，位在同樣的環境中，也就可以用來代表SecDB所在主機的狀態。這個即時監測手段，讓高盛的資料庫團隊能夠用新的角度來思考他們的基礎架構。 不過，這個指標伺服器，因為高併發運作和鎖定問題，無法使用現成的Prometheus函式庫，後來，高盛乾脆自己開發了新版的指標伺服器元件。新版指標伺服器不只可以搜集主機數據，還可以搜集到資料庫內部的遙測數據，包括資料庫透過內部工作流程進行交易的狀態資訊，這就大大提供了過去看不到的透明度。多達二、三十種資料庫的運作行為，像是新增一筆紀錄，刪除紀錄，開始交易，交易資訊取得等行為，都可以即時看到狀態資訊的變化。 新版指標伺服器不只可以搜集到SecDB所在主機的遙測數據，連資料庫內部運作行為的數據也能搜集 <img alt="" src="https://s4.itho.me/sites/default/files/images/SecDB-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%AB%98%E7%9B%9B.png" /> 因為這套DecDB在全球各地都有節點，如紐約SecDB資料庫節點、倫敦節點、香港節點等，後來，高盛將這套監控架構發展成了全球多區域的架構，每個區域各有一套自己的Prometheus，遙測資料先集中到各地SecDB的Prometheus後，再把資料匯入到SRE團隊的Prometheus上來提供整合性儀表板。高盛SRE團隊也會提供了SecDB的SLO達成情況，方便資料庫團隊追蹤每一天的維運狀態。 因為SecDB是全球運作，而且是24小時都不能停，而且得支援全球不同時區的需求。每個區域會有6個待命工程師，每周輪流接手，來和全球的待命團隊（SRE）成員合作。為了各區域值班待命工程師的工作銜接，也讓他們有能力處理更多示警通報的管理，高盛還打造了一個SOS系統，紀錄每一起事件的處理情況，方便不同區域之間的工作交接。 高盛打造了一個SOS系統，來紀錄每一起事件的處理清況，方便全球不同時區團隊的工作交接。 <img alt="" src="https://s4.itho.me/sites/default/files/images/SOS%E7%B3%BB%E7%B5%B1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%AB%98%E7%9B%9B.png" /> 2023年，高盛完成了SecDB平臺的可觀察性架構之後，開始將這個機制延伸到其他SecDB平臺的各種相關應用，預計在2024年涵蓋到所有相關應用，都要納入同一套可觀察性架構下。 </div></div></div>
2024/2/23 05:36作者王宏仁https://www.ithome.com.tw/news/161428
AI趨勢周報第244期：Hugging Face開源最大合成資料集Cosmopedia
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 重點新聞(0216～0222) Hugging Face 合成資料 Cosmopedia Hugging Face開源最大的合成資料集Cosmopedia Hugging Face最近發布資料集Cosmopedia v0.1，是目前最大的合成資料集，內容全由Mixtral 7b指令模型生成，包含3,000多萬個檔案。這些內容有教科書文字、部落格文章、故事和WikiHow文章等類型，共250億個Token。 團隊表示，他們希望以生成合成資料的方式，來涵蓋RefinedWeb和RedPajama等資料集中的世界知識。Cosmopedia資料集除了有各種類型文章，還顯示基本資訊供使用者參考，如提示、合成內容、初始資料來源、標記長度、文字格式（如教科書、部落格文章）和目標受眾等。同時，團隊也提供較小的子資料集Cosmopedia-100k，來供使用者輕鬆管理和使用。Hugging Face表示，這次釋出的資料集僅0.1版本，他們還有很大的進步空間，盼納入更多主題，來推進合成資料的研究與應用。<a href="https://huggingface.co/datasets/HuggingFaceTB/cosmopedia/viewer/auto_math_text/train?p=1">（詳全文）</a> <img alt="" src="https://capture.dropbox.com/t5hGWSR35ATXtSpz" /><img alt="" src="https://cdn-uploads.huggingface.co/production/uploads/61c141342aac764ce1654e43/V7MGV2OrCfLO5TxKPUXs4.png" /> Groq LPU LLM 突破GPU瓶頸！Groq用LPU推論引擎提供最快LLM服務 2016年成立的科技公司Groq，這幾天成為全球AI社群最關注的話題，因為它的執行速度飛快，更有不少人將Groq與ChatGPT作比較，發現ChatGPT花了60秒生成答案，Groq只花12秒。 不過，Groq主要開發的並非聊天機器人或模型，而是語言處理單元（LPU）推論引擎。目前主流的AI系統多半在GPU上執行，但LPU的設計，能克服LLM在GPU運算密度與記憶體頻寬上的兩大瓶頸。Intuition Machine共同創辦人<a href="https://twitter.com/IntuitMachine/status/1759941976927924682">Carlos Perez</a>說明，Groq用編譯器技術來最佳化極簡而高效能的架構，避開了複雜性，有別於主流做法。他表示，Groq架構的核心是個單純支援平行吞吐量的裸機，如同一個專為機器學習設計的ASIC，還能用客製化的編譯器來支援不同模型。 目前，Groq支援標準機器學習框架如PyTorch、TensorFlow和ONNX等，但僅用於推論，LPU推論引擎並不支援機器學習訓練。Groq歡迎硬體供應商、軟體供應商、雲端服務供應商或AI加值服務開發商尋求合作，也提供Groq API與Groq Compiler來執行LLM應用。<a href="https://wow.groq.com/why-groq/">（詳全文）</a> LoRA 微調 LLM LoRA Land服務來了，集結25個微調模型效能可勝GPT-4 大型語言模型服務公司Predibase推出LoRA Land服務，提供25個微調的大型語言模型。這些模型都以Mistral-7b開源模型為基礎，由Predibase對不同任務最佳化，表現不只比原始基礎模型好，甚至也比GPT-4好。Predibase指出，由於Transformer預訓練模型越來越大，很難在資源有限的條件下，適用於下游任務。於是，Predibase用參數高效能微調（PEFT）和量化低階適應（QLoRA）的壓縮技術，來減少微調參數數量與記憶體使用量，同時盡可能兼顧模型效能。 接著，他們將這些最佳實踐整合至平臺中，實現每個微調模型的GPU成本降低至8美元以下，而且透過Predibase所開發的大型語言模型開源平臺LoRAX，使用者可在單一GPU上執行和部署數百個經最佳化的大型語言模型，還能使用無伺服器微調終端，亦即不需專用GPU資源，也能執行模型。這麼做的好處是，可以大幅降低成本，而且，Predibase提供可擴展基礎設施，可依據用戶的需求擴展微調模型數量，用戶需要用到GPU時，也不需要等待GPU冷啟動，能更快測試和迭代模型。<a href="https://predibase.com/blog/lora-land-fine-tuned-open-source-llms-that-outperform-gpt-4">（詳全文）</a> <img alt="" src="https://images.ctfassets.net/ft0odixqevnv/YeKN68pQ2371BzaoPo2PN/db8a4963d1833e97e9ec10ca092e9daf/Predibase_Fine-Tuned_Mistral-7b_vs._GPT-4_27.4.png?w=2390&h=1556&q=100&fm=webp&bg=transparent" /> Gemma Google Gemini Google開源AI模型Gemma，可在筆電上執行 繼日前揭露大型語言模型（LLM）Gemini 1.5版後，Google最近又發布開源模型Gemma兩個版本，讓開發者在雲端、資料中心甚至筆電上就能自建和執行AI模型。進一步來說，Gemma是輕量開源模型，由Google DeepMind和Google其他團隊開發。據Google測試，不論在推論、數學、撰寫程式上，Gemma 7B都超越Llama 2 7B，而在多項測試上，也超越開源模型Mistral 7B。 此外，Gemma可整合Kaggle、Colab notebook等常見工具，以及Hugging Face、MaxText、Nvidia MeMo和TensorRT-LLM等。為吸引開發者使用Gemma，Google還提供Kaggle notebook、Colab免費方案，以及300美元的Google Cloud點數。同時，為讓外部使用者進行負責任AI評估，Google最近也發布負責任生成式AI工具包，包括能以簡單範例建立安全分類器的工具、模型除錯及負責任模型開發與部署指引。<a href="https://blog.google/technology/developers/gemma-open-models/">（詳全文）</a> <img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Benchmark_chart_new.width-1000.format-webp.webp" /> BigQuery RAG 向量搜尋 BigQuery推出向量搜尋功能，還支援RAG BigQuery開始提供向量搜尋功能了，使用者能在BigQuery中進行向量相似性搜尋，還能使用檢索強化生成（RAG）。通常，向量搜尋也稱為近似最鄰近（ANN）搜尋，能在高維空間中快速找到與特定向量最相近的向量。BigQuery的向量搜尋功能能讓使用者對儲存於BigQuery的高維資料集，進行快速且準確的搜尋，可支援新資料處理和AI應用在內的多種用法，如使用大型語言模型進行語義搜尋，或病歷、交通事故、圖像等相似性搜尋，還能結合RAG來強化生成式AI工作。 BigQuery的向量搜尋功能提供了一種簡單且直覺的語法，類似BigQuery現有的文字搜尋功能，進而簡化向量搜尋與SQL原語組合。此外，專門處理自然語言處理工作流程的LangChain框架，也能與BigQuery向量搜尋功能搭配使用，強化自然語言處理，讓Python開發者更輕鬆整合，並與其他第三方框架一起使用。<a href="https://cloud.google.com/blog/products/data-analytics/introducing-new-vector-search-capabilities-in-bigquery">（詳全文）</a> LOMO LLM 記憶體 復旦大學開源優化器LOMO，大幅降低LLM訓練的記憶體資源 最近，上海復旦大學開源一款大型語言模型（LLM）優化器LOMO，能降低訓練LLM的記憶體用量，微調所有參數。進一步來說，訓練LLM需要大量GPU資源，因此降低LLMs訓練的門檻，一直是AI社群的努力方向。目前的主流方法是參數高效微調（PEFT），即只微調模型部分參數，來降低訓練成本。 而復旦大學團隊決定從另個角度解決問題，即使用有限資源來對LLM的全部參數微調。他們開發一套低記憶體優化器（LOMO），融合了梯度計算和參數更新，來降低記憶體使用量。 經團隊測試，聯合使用LOMO和現有的記憶體節省技術，與DeepSpeed標準方法相比，能將記憶體使用量降低為10.8％。他們點出，這個做法能在單一配備8個RTX 3090的電腦上，每個顯存為24GB的情況下，對650億參數（即65B）模型的全部參數進行微調。<a href="https://github.com/OpenLMLab/LOMO/blob/main/README.md">（詳全文）</a> <img alt="" src="https://github.com/OpenLMLab/LOMO/raw/main/assets/LOMO.png" /> AI 監管 詐騙 美國FTC提案強化AI監管，加強打詐 美國政府最近針對AI科技帶來的負面影響採取一系列行動，比如美國聯邦通訊委員會先是裁定AI生成的語音即人工語音，需符合自動語音電話的規範，現在則是美國聯邦交易委員會（FTC）提出行政法規修訂，加強打擊用AI冒充商業和政府機構的詐騙犯罪。 FTC先就冒充個人提出補充公告（Supplemental Notice）來徵詢公眾意見，討論重點包括提供創建圖像、影片和文字服務的AI平臺，在知道其所提供的商品被用於冒充並詐騙消費者時，這些公司是否應視為違法。第二種FTC要打擊的是偽造政府、商業電子郵件和網址，比如創建介面與真實官方網站相似，但網域名稱在拼寫上錯誤的假網站。第三種則是虛假暗示自身與政府或商業關聯，詐騙犯使用讓人誤以為他們代表政府機構或商業實體的語言或術語等行為。FTC將擁有更多權力，來追訴和阻止這些詐騙行為。<a href="https://www.ftc.gov/news-events/news/press-releases/2024/02/ftc-proposes-new-protections-combat-ai-impersonation-individuals">（詳全文）</a> PDF Adobe AI助理 Adobe PDF軟體加入AI助理 Adobe PDF讀取與編輯軟體Reader、Acrobat最近加入AI助理功能，使用者可更容易讀取、理解和分享PDF文件或簡報。Adobe最近也對這個AI助理展開公測。這個AI助理整合了Reader和Acrobat的工作流程，可為使用者產生長篇文件的重點摘要、提供洞察並回答用戶提問。AI助理能自動整理出重點，還能草擬電子郵件、設計報告或簡報的排版、語調、濃縮文件長度，更方便分享給其他人。使用者按下「複製」鍵即可貼到Email或簡報中。不只如此，AI助理還能進行智慧引述，使用者也能點入驗證AI助理的答案來源，重點摘要也會提供連結，方便在文件中找到原始段落。<a href="https://news.adobe.com/news/news-details/2024/Adobe-Brings-Conversational-AI-to-Trillions-of-PDFs-with-the-New-AI-Assistant-in-Reader-and-Acrobat/default.aspx">（詳全文）</a> 圖片來源／Hugging Face、Predibase、Google、上海復旦大學 AI近期新聞 1. 美國法律資料公司釋出法律專用大語言系列模型KL3M 2. Amazon發表歷來最大語音合成AI模型BASE TTS，但未開源人 資料來源：iThome整理，2024年2月 </div></div></div>
2024/2/23 00:56作者王若樸https://www.ithome.com.tw/news/161426
日本中小型銀行展開核心系統上雲潮，和IT廠商打造共享核心系統雲端平臺，13間銀行計畫4年內先上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 近年來，日本中小型銀行掀起一波核心系統上雲潮。今年二月初，日本地方銀行橫濱銀行和東日本銀行的母公司康科迪亞金融集團宣布，未來將聯合其他四間銀行，考慮在2030年應用日本IT大廠NTT Data建造的共享型核心系統雲端平臺，實現核心系統上雲。同日，日本地方銀行京都銀行宣布，將聯合其他12間銀行，在2028年應用這套平臺，實現核心系統輕量化，並將營運資源集中至轉型策略發展。 NTT Data也在同天跟著宣布，將在今年四月起開發「整合銀行雲」，一個共享銀行核心系統的雲端平臺。這個服務將會涵蓋硬體設備、中間軟體和資料中心建置，也會將銀行的共享型核心系統轉為開放架構，遷移至雲端平臺上運作。 <img alt="" src="https://s4.itho.me/sites/default/files/images/111800-01.png" style="width: 600px;" /> <blockquote>NTT Data計畫打造共享銀行核心系統的雲端平臺，除了會涵蓋硬體設備、中間軟體和資料中心建置，也會應用自家開發的開放架構框架將核心系統轉換為開放架構，汰換大型主機。（圖片來源：NTT Data） </blockquote> NTT Data表示，這項計畫將會分階段實施。首先，他們已經在2024年協助橫濱銀行在內的五間地方銀行成功轉型核心系統，將他們的共用核心交易處理系統轉為開放架構，汰換大型主機。有了這個階段性成功，他們將邁入第二階段，預計在四年內打造出「整合銀行雲」，並應用至13間銀行共用的核心系統，實現核心系統上雲。第三階段則是擴大應用範圍，將更多共享型核心系統應用至這個雲端平臺。 <img alt="" src="https://s4.itho.me/sites/default/files/images/020800-02(1).png" style="width: 600px;" /> <blockquote>NTT Data計畫以三階段打造「整合銀行雲」，並逐步將共享核心系統遷移至平臺中。第一階段是在2024年1月將共享型核心系統MEJAR改為開放系統架構，第二階段是在2028年上線「整合銀行雲」，適用13間銀行，第三階段則是在2030年擴大應用範圍，應用至MEJAR系統。（圖片來源：NTT Data） </blockquote> 若計畫順利實施，2030年日本至少會有18間中小型銀行完成核心系統上雲，同時汰換大型主機，未來更將有40間採用的四個共享銀行核心系統在同個雲端平臺上運作。 <h3>日本地方銀行採共享型核心系統運作已有20年</h3> 在日本，中小型銀行數量眾多，這些銀行主要經營特定區域，稱為地方銀行，數量高達64間。2000年期間，日本地方銀行開始發展共享型核心系統，關鍵原因有三，第一，地方銀行的營運成本有限，透過共享核心系統有助減少營運成本。第二，地方銀行發展區域不同，競爭關係較低，增加多家銀行合作的可能性。第三，當合作的地方銀行業務規模和型態相似，系統就不需要額外客製化修改，協作效率高，同時有助於發展規模經濟。 在日本這一批使用共享核心系統的地方銀行中，又有超過四成採用NTT Data開發的核心系統。早在2004年，13間地方銀行就組成「地方銀行聯合中心」，開始以共享核心系統運作。後來，有些大型地方銀行因營運成本考量，也加入共享核心系統的行列。 目前，NTT Data建置的共享型核心交易處理系統目前發展出了四個體系，分別為地方銀行聯合中心、MEJAR、STELLA CUBE，和BeSTAcloud，約有40間銀行使用。其中，地方銀行聯合中心是由NTT Data建置和營運的核心系統中心，將首先應用至整合銀行雲，MEJAR則是以日本最大地方銀行橫濱銀行為首，其核心系統中心同樣由NTT Data建置，但是由銀行端負責營運。今年，NTT Data和橫濱銀行合作將核心系統MEJAR轉為開放架構後，預計在2030年把MEJAR遷移至整合銀行雲。 <h3>日立和富士通等大型主機主要供應商接連退場，日本地方銀行和IT廠商不得不轉型</h3> 日本地方銀行啟動這波大型主機汰換潮，早在2017年就開始醞釀。當時，多家業者開始退出大型主機市場，不僅日立宣布退出大型主機製造業務，富士通也在去年宣布結束既有的大型主機製造和銷售。這個市場前景讓地方銀行面臨內外夾擊，一方面傳統大型主機技術老舊，導致系統無法支援現代化應用，相關營運人才也逐漸短缺，阻礙了銀行內部發展現代科技，另一方面，大型主機製造商僅剩海外廠商IBM，日北本土廠商接連退場，長久下來恐發生IBM獨大的技術綁定問題。 這個趨勢不僅讓銀行業開始面對轉型難題，系統供應商也同樣面臨威脅。直到去年，NTT Data建置的四個共享型核心系統仍是在日立和富士通的大型主機上運作，兩家廠商紛紛退場，NTT Data也不得不開始汰換大型主機。 <h3>日本地方銀行和IT廠商展開核心系統轉換計畫，雙方皆以全行上雲作為發展目標</h3> 面對這個威脅，NTT Data在2017年就宣布開始研究將核心系統轉換為開放架構，汰換大型主機，更要以核心系統上雲作為發展目標。2019年，NTT Data打造出一套開放架構框架，能協助原先在大型主機上開發的應用程式至開放架構中運作。這套框架也是今年初協助MEJAR系統轉為開放架構的關鍵，耗時三年，橫濱銀行和NTT Data成功讓五家銀行共用的核心系統，從大型主機搬遷至開放系統架構中運作，完成整合銀行雲第一階段任務。 <img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1708501802485.jpg" style="width: 600px;" /> <blockquote>NTT Data開發出一套開放架構框架，名為PITON，可作為部分中間軟體，協助在大型主機運作的核心系統轉換至開放架構上。（圖片來源：NTT Data） </blockquote> 2017年不只IT廠商動起來，日本地方銀行也展開核心系統上雲計畫。以橫濱銀行和東日本銀行為例，他們從2010年代後期開始，就開啟系統上雲的計畫。他們分為三階段上雲，第一階段是將人事和總務系統等非交易相關的系統上雲。第二階段，是將與核心系統數據連接規模較小的系統上雲，例如，各種業務系統。接下來，他們將頻繁與核心系統進行數據連接，且規模較大的系統上雲，例如營業融資系統和數據庫。橫濱銀行預計，2024年底前，全行將有超過54%的系統上雲。最後關鍵，則是在2030年考慮採用「整合銀行雲」，來實現全行系統上雲。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-02-22%20132709.png" style="width: 600px;" /> <blockquote>2010康科迪亞金融集團旗下的橫濱銀行和東日本銀行自2010年代後期開始進行全行上雲計畫，分三階段實施，從與核心交易處理系統無關連、小規模系統連接到頻繁連接的系統分段上雲。預計2024年全行超過54%系統上雲。（圖片來源：康科迪亞金融集團） </blockquote> 「整合銀行雲」的概念則是從2021年開始醞釀，當時，18間地方銀行組成研究小組，將這個概念列入研究主題，探討如何透過合作提升系統營運效率。2022年，NTT Data正式宣布整合銀行雲的計畫，當時僅是說明這項計畫，尚未正式啟動開發，就已震撼了日本IT界與銀行業。 直到今年二月初，NTT Data和多家地方銀行完成系統轉換後，雙方才正式宣布啟動整合銀行雲開發計畫，預計2028年13間銀行共享的核心系統上雲，2030年5間銀行共享的核心系統上雲，再研議擴大應用剩餘的兩套核心系統，最終目標是讓多達40間日本地方銀行在同一套基礎設施上運作核心系統。  </div></div></div>
2024/2/22 16:48作者李昀璇https://www.ithome.com.tw/news/161421
【資安日報】2月22日，鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 鎖定企業臉書帳號的大規模網路攻擊行動，去年7月、8月，資安業者WithSecure、Zscaler揭露<a href="https://www.ithome.com.tw/news/158628">名為DuckTail的竊資軟體攻擊行動</a>，這起事故是越南駭客特別針對數位行銷及廣告領域的人才下手，藉由職場社群網站LinkedIn尋找目標。 但類似的手法，最近又有新的發現。資安業者Group-IB發現另一起專門針對越南企業組織而來的攻擊行動，對方使用另一款竊資軟體VietCredCare，從事攻擊行動迄成約有一年半，受害組織遍及當地三分之二省份。 <h3>【攻擊與威脅】</h3> <a href="https://www.group-ib.com/blog/vietcredcare-stealer/">竊資軟體VietCredCare鎖定越南企業臉書帳號，將其用於投放廣告或是詐騙</a>  <a href="https://s4.itho.me/sites/default/files/images/VietCredCare-1-24.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VietCredCare-1-24.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB揭露從2022年10月發現的竊資軟體VietCredCare，此惡意程式專門針對越南的使用者而來，攻擊者的主要目標是接管受害企業的臉書帳號。 根據研究人員的調查，使用此竊資軟體的駭客滲透9個當地政府機關、12個省的公共服務入口網站、65所大學、4家電子商務平臺、21家銀行、12個當地主要企業。而在越南63個省份當中，44個省出現受害組織，而且有超過半數（50.9%）位於河內，其次是胡志明市、峴港，分別有32.9%、3.3%。 研究人員指出，此竊資軟體特別之處在於，它具備自動過濾臉書帳號連線階段（Session）的Cookie，並能識別臉書帳號是否用於管理廣告，以及投放廣告的額度等資訊。而對於該惡意軟體的散布途徑，研究人員推測是透過網路釣魚來進行，駭客透過社群網站貼文，聲稱提供Excel、Word、Acrobat Reader等軟體，一旦使用者上當，電腦就有可能被植入VietCredCare。 <a href="https://sysdig.com/blog/ssh-snake/">惡意軟體SSH-Snake竊取SSH金鑰，於受害組織網路進行橫向移動</a>  <a href="https://s4.itho.me/sites/default/files/images/image2-76.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2-76.png" style="width: 300px; float: right;" /></a>資安業者Sysdig指出，自今年1月公開提供的網路拓樸架構呈現工具SSH-Snake，已有駭客拿來用於攻擊行動。 此工具為Bash Shell指令碼，研究人員形容是「能夠自我修改的蠕蟲程式」，能夠自動從特定檔案路徑和Shell的事件記錄檔案當中，挖掘受害主機上的SSH帳密、私鑰，從而在網路環境進行橫向移動。 特別的是，此指令碼檔案在第1次執行的時候，會進行自我修改，使得檔案大小產生變化，其方法是將所有的註釋、空格、不必要的函數刪除。有別於一般的指令碼，SSH-Snake能在所有類型的裝置上運作，並完全以無檔案（Fileless）的方式進行，同時還能自我複製及散布。 <a href="https://blog.talosintelligence.com/google-cloud-run-abuse/">無伺服器服務Google Cloud Run遭到濫用，駭客拿來散布金融木馬</a>  思科威脅情報小組Talos指出，他們從去年9月發現，來自巴西的駭客濫用無伺服器服務Google Cloud Run來大規模散布惡意程式，這些包含了Astaroth（又名 Guildma）、Mekotio、Ousaban等金融木馬，他們看到駭客主要目標是拉丁美洲，但也有歐洲國家的使用者受害。 這些駭客在釣魚郵件大多使用西班牙文，但也有使用義大利文、葡萄牙文的情況。這些釣魚郵件通常使用發票或稅務文件為誘餌，有時駭客還會冒充稅務機關來從事攻擊。而這些釣魚郵件的共通點就是內含Google Cloud Run的URL，收信人一旦照做，就會下載MSI安裝程式，而有可能導致電腦被植入木馬程式。 研究人員指出，駭客偏好這項雲端服務的原因，在於Google為新用戶提供免費點數等豐富資源，且能快速部署網頁應用程式，而該服務在大多數企業組織的資安防護系統會視為合法流量。 <a href="https://www.trellix.com/blogs/research/ransomhouse-am-see/">勒索軟體RansomHouse透過自動化工具MrAgent，攻擊VMware虛擬化平臺</a> 資安業者Trellix與Northwave聯手，發現勒索軟體駭客組織RansomHouse近期使用的新工具MrAgent，此惡意程式專門針對虛擬化平臺VMware ESXi而來，主要功能是識別主機的系統、關閉防火牆，然後在虛擬機器管理程式（hypervisor）部署勒索軟體，從而入侵所有虛擬機器（VM），而以上過程全部都是自動化執行。 攻擊者也能透過C2對MrAgent下達命令，從而竄改虛擬機器管理程式的密碼、指定勒索軟體加密的參數，同時能置換虛擬機器管理程式監控工具的啟動畫面，從而向IT人員顯示勒索訊息。 特別的是，雖然該惡意程式主要目標是VMware ESXi，但研究人員指出，MrAgent同時有Linux和Windows版本，兩者具備相同的核心功能，但在Windows版當中，部分工作是透過PowerShell執行。 <a href="https://psi.de/#19022024">為能源供應商提供軟體解決方案的PSI Software證實遭遇勒索軟體攻擊</a>  2月15日能源供應商提供軟體解決方案的PSI Software傳出遭遇網路攻擊，該公司為了降低資料遺失的風險，切斷包含電子郵件系統在內的多個IT系統連線。 到了19日該公司更新調查結果，指出他們遭遇了勒索軟體攻擊，但沒有透露攻擊者的身分。而對於這起事故受害的情況，他們表示尚未發現客戶端的PSI系統受害的情況，但該公司也無法透過遠端連線來進行維護作業。 <a href="https://udn.com/news/amp/story/7321/7773406">民眾購買溫泉旅館泡湯券疑個資外洩遭詐騙，旅館及IT業者竟稱沒有發生資料外洩事故，此事與他們無關</a>  趙姓婦人於2020年10月、2021年11月間委託同事、家人訂購37張北投麗禧溫泉酒店溫泉券，事後卻接到詐騙電話要她配合操作「解除分期付款」而上當，遭騙近10萬元，憤而指控麗禧與建置訂購系統的墨攻公司未依個人資料保護法進行相關防護措施，導致她的個資遭到竊取，求償金錢損失及精神慰撫金，並要求兩家公司停止使用並刪除她的個資。 值得留意的是，本起訴訟當中，麗禧、墨攻提出數發部數位產業署2023年的函文，表示他們只有遭到網路攻擊，而非個資外洩事件，強調墨攻訂購系統在2021年8月、11月遭到攻擊與個資外洩無因果關係，但後來臺灣高等法院認為，這項說法不足以證明個資外流與系統遭駭無關。 高院民事法庭發現，詐騙集團在趙婦最後1次使用訂票系統後才撥打電話，對話內容完全掌握使用的銀行帳戶等細節。由於前述網路攻擊外洩個資超過5千筆，卻僅有她1人受騙，高等法院認為兩者之間沒有相當因果關係，但兩家公司仍要賠償精神慰撫金。 <h3>【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/security/screenconnect-critical-bug-now-under-attack-as-exploit-code-emerges/">ConnectWise針對遠端桌面連線軟體ScreenConnect身分驗證繞過漏洞提出警告，已出現攻擊行動</a>  2月19日資安業者ConnectWise發布資安公告，指出旗下的遠端桌面連線系統ScreenConnect存在路徑穿越漏洞CVE-2024-1708 、身分驗證繞過漏洞CVE-2024-1709，CVSS風險評分為8.4、10分，影響23.9.7以前版本的ScreenConnect，該公司發布23.9.8版修補上述漏洞，並對雲端服務代管版本screenconnect.com、hostedrmm.com進行處置。當時資安業者Huntress公布概念性驗證攻擊（PoC），並透過Censys威脅分析平臺找到超過8,800臺ScreenConnect伺服器。 值得留意的是，20日ConnectWise更新公告，指出上述漏洞已被用於攻擊行動，他們公布駭客所使用的IP位址，供IT人員防堵相關攻擊。但可能是因為這些漏洞造成的影響極為嚴重，隔日該公司宣布破例取消授權限制，讓未購買維護合約的用戶也能安裝新版軟體來緩解漏洞。 資料來源 1. <a href="https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8">https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8</a> 2. <a href="https://www.huntress.com/blog/a-catastrophe-for-control-understanding-the-screenconnect-authentication-bypass">https://www.huntress.com/blog/a-catastrophe-for-control-understanding-the-screenconnect-authentication-bypass</a> <h3>【資安防禦措施】</h3> <a href="https://www.ithome.com.tw/news/161395">資安院接手TWCERT/CC業務，可全天候受理民間企業資安事件通報</a>  自今年元旦開始，資安院正式接手TWCERT/CC業務，帶來最顯著且立即的改變，就是民間企業資安事件的通報，全天候都有值班人員負責；但資安院為了不與民爭利，主要是以第二線技術支援和諮詢角色，協助受駭企業檢視鑑識報告，是否有找到根因、評估回應措施是否合適。 資安院副院長兼發言人吳啟文表示，原先資安事故的通報，企業可隨時透過電子郵件告知TWCERT/CC，但只有上班時間才有員工處理，處理不夠即時；由於資安院已有24小時值班的資安監控中心（SOC），接手相關業務後可處理非上班時間接獲的資安事故通報，而能夠大幅提升處理時效。 <h3>【其他新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/north-korean-hackers-linked-to-defense-sector-supply-chain-attack/">德國、韓國提出警告，北韓駭客針對全球國防單位從事網路間諜行動</a> <a href="https://medium.com/s2wblog/kimsuky-disguised-as-a-korean-company-signed-with-a-valid-certificate-to-distribute-troll-stealer-cfa5d54314e2">北韓駭客Kimsuky利用Go竊資軟體Troll與後門程式GoBear，針對韓國而來</a> <a href="https://blog.talosintelligence.com/new-zardoor-backdoor/">沙烏地阿拉伯伊斯蘭組織遭鎖定，被植入後門程式Zardoor</a> <a href="https://www.volexity.com/blog/2024/02/13/charmingcypress-innovating-persistence/">伊朗駭客組織Charming Kitten鎖定中東人士散布後門Basicstar</a> <a href="https://www.securityweek.com/chrome-122-firefox-123-patch-high-severity-vulnerabilities/">Google、Mozilla發布瀏覽器大改版Chrome 122、Firefox 123，修補高風險漏洞</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/161398">【2月21日】中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況</a> <a href="https://www.ithome.com.tw/news/161355">【2月20日】勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿</a> <a href="https://www.ithome.com.tw/news/161344">【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</a> </div></div></div>
2024/2/22 17:19作者周峻佑https://www.ithome.com.tw/news/161422
英特爾揭露Intel Foundry晶圓代工願景，將替微軟代工晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 英特爾（Intel）在2021年3月<a href="https://www.ithome.com.tw/news/143423" target="_blank">宣布</a>設立全新且獨立的晶圓代工服務（Intel Foundry Services，IFS）事業群，並<a href="https://www.intc.com/news-events/press-releases/detail/1675/intel-launches-worlds-first-systems-foundry-designed-for" target="_blank">在本周三（2/21）舉辦</a>首個Intel Foundry Direct Connect活動，揭露Intel Foundry未來的發展藍圖，宣布將替微軟代工晶片，也立下在2030年成為全球第二大晶圓代工廠的願景。 COVID-19疫情期間的晶片短缺，再加上<a href="https://www.trendforce.com/presscenter/news/20231206-11949.html" target="_blank">占據全球58%晶圓代工市場的台積電</a>身處地緣政治的風暴中，都讓各國意識到自行生產晶片的重要性，自詡為全球科技大國的美國也不例外。美國政府除了要求台積電與三星等業者至美設廠之外，也極力推動境內企業加入晶圓代工，英特爾即為一例。 在Intel Foundry Direct Connect活動上，英特爾直接把旗下業務劃分為Intel Foundry與Intel Products，等於是對外宣誓Intel Foundry對英特爾的重要性，同時宣布擴大製程藍圖、客戶及生態系統合作夥伴。 英特爾執行長Pat Gelsinger指出，AI正在深深地改變這個世界，也改變了人們對技術與支撐技術之晶圓的看法，而Intel Foundry是全球第一個為AI時代設計的系統代工廠，可共同創造新的市場，並徹底改變世界利用技術改善人們生活的方式。 Intel Foundry原本的製程藍圖為4年5個節點（five-nodes-in-four-years，5N4Y），但本周宣布將加入新的14A以及其它既有節點的演化，以因應客戶的不同需求。此外，微軟也已經選出一款要利用Intel 18A製程來生產的晶片設計。 <a href="https://s4.itho.me/sites/default/files/files/0222-Intel Foundry Direct Connect-2.jpg" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0222-Intel%20Foundry%20Direct%20Connect-2-600.jpg" style="width: 600px;" /></a> 圖片來源/英特爾 英特爾亦宣布一項新興業務計畫（Emerging Business Initiative），與Arm合作以替基於Arm的系統單晶片提供尖端的代工服務。 根據英特爾的估計，在Intel Foundry 既有的晶圓及先進封裝的合約中，整體價值已超過150億美元。 </div></div></div>
2024/2/22 17:45作者陳曉莉https://www.ithome.com.tw/news/161423
本周才公開的ConnectWise重大漏洞已遭駭客利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 遠端桌面軟體業者ConnectWise<a href="https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8" target="_blank">本周一（2/19）公開揭露</a>了位於ScreenConnect的兩個安全漏洞，但隔天就傳出已遭駭客濫用，GitHub上亦已出現概念性驗證攻擊程式，使得資安業者相繼出面呼籲使用者應儘速修補。 ScreenConnect是個遠端桌面軟體應用，ConnectWise同時支援ScreenConnect的雲端代管服務、自行代管及就地部署版本。本周所揭露的兩個安全漏洞為CVE-2024-1709與CVE-2024-1708，前者可透過一個備用路徑或通道來繞過身分驗證，CVSS風險等級高達最嚴重的10分，後者則是個路徑穿越（Path Traversal）漏洞，其CVSS風險等級為8.4分。這兩個漏洞影響ScreenConnect 23.9.7與之前的版本。 在ConnectWise公布漏洞之際，尚未傳出相關漏洞遭到利用的消息，且ConnectWise已先行修補了建立在自家ScreenConnect伺服器上的雲端服務，並建議自行代管或就地部署的客戶更新至23.9.8。 不過，隔天ConnectWise便說已收到可疑活動的通知，同時釋出網路入侵指標（IOC）供用戶參考，而利用上述漏洞的概念性驗證攻擊程式於21日就出現在GitHub上。 <a href="https://www.huntress.com/blog/a-catastrophe-for-control-understanding-the-screenconnect-authentication-bypass" target="_blank">資安業者Huntress也在本周公布</a>了這兩個安全漏洞的技術細節，指出當他們比較了ScreenConnect修補前後的程式碼，發現相關漏洞非常容易被攻陷，且所建立的概念性攻擊程式不僅繞過了身分驗證，還能自遠端執行程式。 <a href="https://twitter.com/Shadowserver/status/1760229390082847029" target="_blank">根據Shadowserver在20日的追蹤</a>，公開網路上仍有3,800臺ScreenConnect伺服器尚未修補漏洞，相較前一天只減少了7%。 <a href="https://twitter.com/Shadowserver/status/1760229390082847029" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0222-ScreenConnect-Shadowserver.png" style="width: 600px;" /></a> </div></div></div>
2024/2/22 15:14作者陳曉莉https://www.ithome.com.tw/news/161417
樂高集團如何實踐平臺工程？徹底改組傳統AI，擁抱雲端優先和API優先戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 大家都玩過樂高積木，打造出這款全球知名玩具的是樂高集團，他們從2021年就開始大力展開數位轉型，為了實現高度敏捷化的商業能力，訂出了雲端優先和API優先的轉型戰略。 成立於1932年的樂高集團，目前全球多達2萬四千名員工。過去2年，他們的數位團隊的規模，增加3倍，現在超過了2千人，占了員工總數的1成，分散在全球四個數位據點，為了推動上雲戰略，他們發展出了一套數位維運模式，從產品面、架構面和工程面，來推動上雲戰略。 為什麼樂高集團的轉型戰略是擁抱雲端優先，API優先，甚至從2023年開始擁抱AI，開始嘗試用生成式AI打造聊天機器人應用。樂高集團開發者體驗和雲端部門負責人Rasmus Hald之前在哥本哈根一場研討會中，揭露了他們非做不可的原因。 Rasmus Hald指出，一切都是為了商業敏捷力（Business Agility），樂高集團想要靠數位手段，來實現商業敏捷力。目標是希望能讓IT的關鍵基礎設施可以做到，讓企業應用或IT，無縫地存取到所有資料、運算資源和網路資源。 樂高集團所採取的數位手段，包括了鬆耦合的基礎架構，也要全靠API來運作。「在生成式AI崛起的時代，更要考慮GAI技術對API使用的影響。」Rasmus Hald補充。 樂高追求的商業敏捷力三大特質：實驗力、品質與速度、新奇感 這家積木遊戲巨頭想要的商業敏捷力，包括了三大特質，實驗能力、兼顧品質和速度、新奇。Rasmus Hald解釋，想要有能力快速得到回饋來快速實驗各種創新，也要有能力兼顧速度和品質，能以一定速度持續提供品質一致的應用成果，最後一項特質是有能創造新奇感，有能力持續創新、不斷提供嶄新的體驗，「不能用10年前的老方法來做事，現在每一年都要推出新的產品，和全新的產品體驗。」尤其，越來越多小孩擁有手機，他指出：「如何結合實體的樂高玩具和數位世界，正是他們的新挑戰。」 例如，樂高推出了一款建設者App，在樂高產品紙盒外有一個QRCode，用這個App掃描條碼後，可以在手機上看到實體樂高積木組合成品的3D模型，也可以跟其他人一起組合同一組樂高模型的玩具，透過App分享彼此的拼法。「這個App就是樂高集團用來實驗不同樂高玩法的平臺，現在已經成了樂高體驗核心的一環。」例如，後來發展出故事式的玩法，結合一個故事，來組合紙盒中的樂高玩具，例如捕捉不同的動物的故事，或是開不同的車子。這是樂高數位團隊其中一項創新成果，將實體體驗結合數位的體驗。 「我們的目標是，只有最好才是夠好。」Rasmus Hald驕傲的說，這是他對數位團隊的期許。但是，想要推動數位轉型，不能被傳統IT思維綁住，「不能抱怨錢不夠、資安太難，就做不到。」 許多企業的數位轉型，是以IT部門為基礎，來發展電商引擎、數位行銷等不同應用，以其對應的AP團隊，不同應用團隊的底層都是 IT部門。樂高集團原本也是如此，有一個分工明確各司其職的IT部門，旗下有專門的維運，專門的開發團隊。但是，Rasmus Hald指出：「這樣的組織架構，最後會淪為一昧追求成本降低、風險控管。」 不惜將傳統IT部門全面改組，成為一個個小型產品團隊 為了推動轉型，樂高集團乾脆重組了整個IT部門，整體IT人力沒有減少，還是同樣的一群人，但是不再有一個龐大的IT部門，而是改為一個個的小型產品團隊，並且發展一套自己的數位維運模式。樂高的改造主要分三個面向來改組傳統IT，包括了產品面、架構面和人力面。 在產品面，改為一個個不同產品的產品團隊，每個產品團隊得負責這個產品的開發、維運、資安等DevSecOops流程的工作，而在架構面，採取了鬆耦合的技術架構，更容易彈性組合，重複利用來減少不同團隊之間的重工。而在人力面，每個產品團隊都要有自己的工程師，自己的開發戰力。 樂高採取不一樣的IT組織運作模式，讓IT綁定商業成果和責任 不只是重組IT部門，樂高集團更採取了一個特別的IT組織運作模式。Rasmus Hald指出，傳統IT是集中式的IT，各個業務部門提出需求，給一個IT部門，由這個部門負責規畫、開發和維運。在這種集中式IT的模式下，每個AP的責任屬於各事業部門而非IT，IT也不一定需要業務領域的專業，對於業績不見得能感同身受，IT只需要對規模效益負責。 另一種IT組織運作模式是徹底分散式的IT，各個業務部門有自己的AP團隊，負責規畫和開發，再統一由一個基礎架構團隊來負責維運。這個模式雖然讓業務與開發更緊密結合，IT能累積足夠專業，並擔起主要的AP責任，但是規模效益變成了維運團隊的事，而非產品團隊的工作，而且因為最後一哩由維運團隊負責，AP團隊仍有藉口推諉說，不一定要對成果負責。樂高集團沒有採取了上述兩種，而是自己發展出了另一種運作模式，Rasmus Hald稱為綁定商業能力的IT運作模式（Business Capability-Aligned iT）。 在這個模式下，單一IT部分雖然重組成了許多的產品團隊，但是沒有直接隸屬於特定的業務團隊，而更像是負責接手業務需求的產品開發團隊，一個業務部門，可以將不同的業務AP，交給不同的產品團隊來負責。而每一個產品團隊，採取同樣的工作流程，因此，在完成一項業務產品的開發後，也可以接手另 一個業務團隊的AP開發需求。每一個產品團隊都要負責自己所開發AP的維運工作，而不是交給一個獨立團隊，但是每個產品團隊共用同樣的一套基礎架構。「這樣的模式，可以讓產品團隊直接與商業成果綁在一起，也能和業務部門共享責任。」Rasmus Hald解釋。 用OKR管理220個產品團隊，還要訂定願景和產品藍圖 目前樂高集團有220多個產品團隊，每當有一項數位服務或數位功能的需求，就會視為是一項產品來開發，有些是用於顧客的產品，也有不少是內部數位團隊自己所用的產品，例如API管理平臺、API探索工具，都是內部自己用的數位產品。 每一個產品都會指派一位產品經理和負責的產品團隊。一個產品團隊大約10人規模，除了產品經理，開發工程師，還會有一位工程經理，以及負責技術管理的首席工程師。「設立首席工程師的職位，是IT職涯發展中很重要的一件事。」Rasmus Hald表示。 對於這些產品團隊，樂高採取OKR（目標關鍵成果）管理模式。每個團隊不只訂出每一季的目標和關鍵產出成果，還要建立自己產品的長期願景以及一套產品發展藍圖。 產品團隊有自己的預算，對自己的成本負責 樂高沒有採用大規模敏捷框架或是設立一個PMO專案辦公室來統籌管理，主要透過敏捷流程每一次的衝刺來迭代開發任務，不同產品團隊都採取同樣的敏捷開發模式。另外，樂高則對產品團隊採取TCO（Total Cost of Ownership，整體擁有成本）策略，讓每個團隊都有自己的IT預算，並由產品團隊自己對自己的成本負責。每個產品團隊都有自己的使用者團體，包括使用產品的小孩和付錢買單的父母，不只顧客，使用者團隊還會找來經銷商和其他同事提供意見，這是他們快速嘗試不同創新實驗的關鍵之一。 為了支援這樣的多產品團隊開發模式，在技術面，樂高集團的原則是盡可能提高API、雲的使用來減少技術債，也要強化資料基礎建設，並將各種IT和開發工具系統化，並採取了鬆耦合的容器化技術架構。 樂高AP優先上雲，但也打造自家K8s邊緣雲來支援工廠地端需求 在雲端優先戰略上，樂高集團希望能盡可能減少技術藍圖中的長尾技術，例如減少或少用老舊技術，大型主機等。目前樂高集團還有一座傳統的實體資料中心，目前只用了20%的空間，他們決定不再租用代管的主機，改為購買公雲業者的服務，來簡化實體設備維護的複雜度。 不只是一昧上雲，樂高的優先上雲策略還會聚焦「雲+端」的能力，沒有採取全上雲的考量，Rasmus Hald坦言，因為全世界的樂高積木都是由樂高集團旗下工廠生產和包裝，可是，有些積木工廠的地點，位於資訊基礎設施不夠完善的國家或地區，當地的網路連線能力可能不佳，無法透過公有雲來支援這些工廠的內部運作，得靠地端的機房來維運。因此，樂高集團自己用K8s打造了一朵邊緣雲環境，可以不少到這些工廠的地端機房中，來支援這一類工廠的地端執行需求，他們所用的各種應用，也大多透過API呼叫，因此，可以很容易從雲端切換到地端邊緣雲上的系統來接手提供落地工廠的AP需求。 因為要維持這些實體主機和資料中心的成本越來越貴，所以，樂高集團的策略是，在成本太昂貴之前，儘早將工作負載搬到雲上。「除了實體工廠需要的本地端邊緣運算需求之外，其他應用都會上雲。」Rasmus Hald指出。 將AP上雲時，樂高集團還會特別留意一件事，避免像在雲端管實體機房的作法，而是改採用多租戶架構的雲端管理方式，讓不同的AP擁有各自的公雲帳號，而且，每一個上雲的AP，也由這些AP各自的開發團隊來自己負責維運。另外，樂高集團對於AP的管理，也採取高度自動化的集中式治理，並指派一個產品團隊負責打造雲端治理的相關工具。 徹底實踐「自己打造的AP，自己執行」原則，甚至不惜重構資料庫架構 「想要實現自己打造自己執行（You build it ,you run it.）這一點其實不容易，容易，但這麼做，才能真正鬆綁產品團隊的能力，要讓產品團隊有速度，就要這樣做。」他強調。為了徹底實踐這一點，甚至樂高有產品團隊無法管理自己的資料庫，樂高也不惜改變這個產品的資料架構，就是要能讓產品團隊自己管。如此一來，才可以真正打破團隊和產品之間的相依性。甚至，樂高每一個產品團隊都有自己的VM，自己連線到網際網路，將不同的產品完全切開，盡可能讓不同產品之間沒有關聯。 在選擇公雲業者上，樂高會避免押寶單一業者，採取跨雲戰略，目前樂高集團採用了AWS和微軟的Azure，「公雲業者具有超大規模的創新能力和健康技術生態圈，和不同的公雲結盟，可以降低對單一供應商的風險。」樂高集團這位雲端部門的負責人Rasmus Hald解釋他們的考量。 樂高集團實踐API優先戰略的四大準則 對樂高這種由產品團隊負責開發和維運的模式，除了上雲優先戰略之外，技術架構面的關鍵是API優先戰略。Rasmus Hald表示，樂高對於API的運用也有一套自己的準則，第一個原則是，每一隻API都必須達到全球可用的能力，可以在全世界各地呼叫來使用，來支援樂高集團在全球的業務發展。其次，API設計也必須是考慮對外公開使用的設計，可以接受來自外部、第三方應用的呼叫，而不是只設計給內部使用。另外，每一個API都必須可以探索，也就是可以讓開發者找得到。 最後一項準則是，樂高會要求每一隻API都要訂定明確的規格和使用條款，例如每一隻API都會訂出SLA服務水準，而且全都白紙黑字寫成文件，還會訂定API版本控管方式，每當版本升級、淘汰時都會發送相關通知給利害相關人。所有API都會遵循一套API資料架構（Schema）來設計，上架前都會進行架構分析來確保API的品質，樂高也有自己的API即時品管機制（API Linting），確保API的呼叫和使用都符合所訂定的規格。Rasmus Hald提醒，API的SLA中特別要留意，必須定義API的棄用情況，才能讓API日後有需要時可以淘汰。 打造開發者入口網站，成為2千工程師每天必看網站 為了讓2百多個產品團隊的開發人員，都可以很方便取用到這些API，樂高集團打造了一個開發者入口網站，稱為Baseplate ，這是2千人數位團隊成員，每天上班要打開的網頁。 Baseplate首頁採取了卡片式的設計，開發者可以將自己常用的功能卡片或儀表板卡片放到首頁上，方便快速瀏覽，開發人員甚至可以自訂自己的卡片。這個開發者入口網站上提供了所有產品團隊的各種產品清單、所以可以用的API、相關的技術文件或參考資料，輔助開發或維運的各種系統工具。最近有哪些新的API或新功能異動，都會在開發者入口上發布最新通告。 產品團隊所開發的每一項產品，可能是業務團隊需要的功能，或是數位團隊自己的工具或服務，會上架到開發者入口網站上。像是樂高用商用API管理平臺Kong打造了一款API管理服務，這就是其中一項他們的產品， 每個產品都有自己的產品介紹主頁，列出這個產品的負責團隊，有哪些相關的文件，這個產品被哪些AP使用，甚至是這個產品用了哪些公雲服務以及公雲帳號，也會提供VM快照，方便部署到本地端環境中。 特別重視API探索的設計，來提高開發者體驗 樂高在這個開發者入口網站上，對於API探索的設計，也花了不少著墨。截至2023年底，共有239隻API，提供全文檢索相關文件和規格，開發者也可以快速列出自己負責的API，也能用星號來標記出常用API，打開API主頁，有相關的規格介紹和文件連結，開發者點一個按鈕，就可以直接申請這個API的存取授權，相當簡單。 為了降低開發者的認知負擔，樂高開發者入口網站特別重視API探索的方便性設計 <img alt="" src="https://s4.itho.me/sites/default/files/images/API%E6%8E%A2%E7%B4%A2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Lego.png" /> 去年開始用OpenAI打造開發者AI助手 去年底，Rasmus Hald還用Open AI的服務，打造了一個開發者AI助手名為樂高ChatAI，可以摘要樂高開發者入口網站上的所有文件，來回答開發者的開發問題或提供建議等，也可以詢問AI助手，如何使用特定某一支API，而不用自己花時間閱讀完整的說明文件。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%A8%82%E9%AB%98ChatAI.png" /> 樂高集團從2021年開始，為了建立想要的商業敏捷力，花了2年大力推動數位團隊的轉型，擁抱雲端優先、API優先戰略，這個開發者入口網站正是強化數位團隊戰力的成果。雖然，Rasmus Hald沒有明說，但樂高集團數位團隊大改造的過程，也正是一種平臺工程的實踐。 </div></div></div>
2024/2/22 11:28作者王宏仁https://www.ithome.com.tw/news/161410
【參照國際標準和法規，最快3月底公布AI評測指引草案】AI評測中心揭今年布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 「我們最快3月底公布AI評測制度和指引！」負責AI評測業務的核心成員、數位發展部數位產業署副署長林俊秀說道。 就在去年12月，數位發展部成立了AI產品與系統評測中心（簡稱AI評測中心），還預告要制定「AI產品與系統評測制度」與「AI產品與系統評測指引」，來設置臺灣AI產品檢測和驗證標準。如林俊秀所言，這些制度和指引，最快會在今年第一季末出爐。 AI評測中心的出現、AI產品系統評測制度和指引的到來，是否意味著AI廠商與企業，必須通過數位部AI評測，才能販售或使用AI系統？ 臺灣AI行動計畫2.0催生出AI評測中心 這些疑問，得從AI評測中心的設立談起。去年，臺灣AI行動計畫2.0正式展開，在1.0計畫的基礎上，進一步深化5大層面的AI發展，包括人才、技術和產業發展、國際影響、運作環境和人文社會等。 其中的「運作環境」，不只是要完善法規制度、資料治理環境，還涵蓋成立AI產品和系統評測中心、加速發展接軌國際的AI規範與標準、對通用領域和特定領域設置AI法規等面向。 因此，去年12月初，數位部成立了AI評測中心，要推動臺灣AI評測制度、發展可信任AI環境。同時，在法規部分，我們看到了行政院在去年8月祭出公部門使用生成式AI的指引參考，國科會也聯手其他部會草擬AI基本法，預計在今年上半年公布。而在產業規範部分，金管會則率先開出第一槍，領先其他產業主管機關，在去年12月底發布金融業運用AI指引草案，來提供金融業者使用AI的建議。預計接下來，還會有其他主管機關跟進，如衛福部、NCC、交通部等，針對各產業提出AI系統的使用建議。 評測瞄準廠商和企業，將配合產業主管機關來推動 制定「AI產品與系統評測制度」和「AI產品與系統評測指引」是AI評測中心今年的首要目標。就評測制度來說，目的是要檢測AI產品或系統，是否符合國際對AI系統的要求，比如安全、可靠、透明等。 至於檢測對象則有2種，包括銷售AI產品和系統的廠商，以及以AI驅動服務的企業。「不論這個服務是對內還是對外，我們都希望企業能來送測，」林俊秀補充。尤其，數位部自去年開始推動AI技術服務機構服務能量分類與登錄機制，來建立一份有符合資格的AI廠商清單，而這些廠商，將是AI評測中心第一波鼓勵送測的對象。 林俊秀強調，AI評測不具法律強制力，數位部不會強制要求所有廠商和企業送測，但「會用推廣的方式，先鎖定政府單位，如國家關鍵基礎設施、各產業主管機關等，搭配這些機關制定的AI指引，來向他們說明、推廣檢測制度。」他說。 意思是，國家關鍵基礎設施主管機關或各產業主管機關，會制定適合該產業的AI指引，如金管會制定的金融業運用AI指引草案，AI評測中心就會配合這些指引，來與主管機關討論、說明，並鼓勵其管理的產業業者申請送測。 比如，金融業運用AI指引草案，建議金融業者採用的AI系統4大生命周期，需符合公平性、可解釋性和透明性等原則。而AI評測中心的檢驗項目包含這些原則，此時金融業者或廠商，就可申請送測AI系統，以證明系統符合指引建議。 不只針對國家關鍵基礎設施和產業主管機關，林俊秀表示，AI評測中心也瞄準民間集團和業者，將對這些對象主動說明評測制度，鼓勵業者申請送測自家AI系統。 所以，廠商和企業是否必須通過AI評測，才能販售或使用AI系統？答案是不用。從林俊秀口中可得知，這些制度和後續出爐的AI評測指引，都不具備強制效力。但若各產業主管機關紛紛祭出產業AI運用指引，來建議各產業業者如何使用AI，勢必會帶起系統評測強勁的需求。 今年鎖定生成式AI，已建立生成式AI評測題庫 AI系統包羅萬象，AI評測將先瞄準哪些領域？ 林俊秀點出，這兩年生成式AI遍地開花，AI評測中心今年也鎖定生成式AI，先制定合適的測試題目，作為衡量生成式AI的考題。尤其，他們已針對大型語言模型（LLM）制定10項測試類別，包括安全性、可解釋性、彈性、公平性、準確性、透明性、當責性、可靠性、隱私及資安等。 其中的公平性、準確性、可靠性、隱私和資安等5大類別，採考題方式來評測。舉例來說，可靠性是要判斷模型的敏感度，也就是AI系統在面對未預期的狀況時，也能維持良好的表現和預測能力，因此常見的考題，就是提問中出現錯別字，來判斷模型能否依然正確回答。數位部目前共設計了3,000多道題目，接下來還會繼續新增。 至於安全性、可解釋性、彈性、透明性、當責性等5項類別，數位部打算以設計文件、規格文件等作證資料，採人工審核方式進行。不過，確切的測試方式還在討論中。 另一方面，林俊秀也透露，他們已用這些測試類別來衡量國科會打造的國產語言模型TAIDE，包括70億參數（7B）和130億參數（13B）版本。不過，林俊秀補充，這10項類別只是生成式AI測試的一環，模型就算通過10項測試，還是得接受完整的系統檢測，合格後公部門才能正式使用。「檢測TAIDE是我們今年的重要目標！」他說。 今年1月，AI評測中心還揭露，這10項測試中的5項已能自動化測試。接下來，AI評測中心除了繼續擴充LLM題庫，還會制定生成式AI以外的傳統機器學習系統評測標準，如適用於影像辨識模型的測試題，來逐步完善臺灣AI系統評測制度。 由2大組織執行評測 有了考題之後，AI評測制度還有賴2大關鍵組織來落實。第一個組織是AI測試實驗室，也就是負責執行AI產品和系統檢測的單位，另一則是用來把關這些測試實驗室的AI驗證機構。 這些測試實驗室可由民間業者擔任。業者必須符合國際AI相關規範、取得財團法人全國認證基金會認證，才能評測廠商或企業送測的AI系統。林俊秀指出，他們也可能仿照AI技術服務機構服務能量分類與登錄機制，建立一份AI測試實驗室的政府名冊，來管理檢測品質。 至於AI驗證機構，則將由資安研究院和工研院組成。他們的目的是把關測試實驗室，以及維持市場秩序。林俊秀解釋，由於測試實驗室可自行決定服務和定價範圍，但AI評測中心會扮演市場秩序維護角色，因此AI驗證機構會負責認定測試實驗室的報告，並剔除破壞市場機制的不良測試實驗室，來確保檢測一致性。 不只如此，AI驗證機構還有其他任務，比如研究新興AI技術、判斷是否需更改評測方式和題庫等。驗證機構還能根據評測項目，來要求旗下AI評測開發實驗室研發自動化工具，加速檢測作業。林俊秀就點出，他們今年會開發2類自動化工具，一類是給AI測試實驗室使用，以加速評測作業，另一類是給AI廠商或企業，讓他們在送測前，先透過自動檢測工具來判斷自家AI系統是否達到檢測標準。 另一方面，就接下來要公布的AI評測指引而言，可細分為2種，包括AI產品與系統基本規範，以及AI產品與系統基本檢測基準。前者涵蓋了適用領域、風險管理、評測項目和規範細則，後者則指每項評測的作法說明，另也根據不同適用領域或風險等級，而制定的不同評測項目。 林俊秀表示，他們在制定這些指引時，參考了各大國際AI標準和規範，如美國國家標準暨技術研究院（NIST）的AI風險管理框架、歐盟AI法案、ISO相關標準等。「指引（草稿）大都擬訂好了，若這些規範有所調整，我們也會與時俱進。」林俊秀表示，接下來，他們將召開AI制度委員會，來決定AI評測指引內容，並盡快公布。 屆時，這份評測指引會明定更多AI評測的細節，如評測效期，也就是AI系統通過評測後的合格期限。林俊秀補充，要是送測的系統出現改版或重大更新，AI評測中心會要求業者重新送測，以確保檢驗品質。 10項LLM測試重點 1. 安全性：AI系統某些功能失效時，所產生的回應與風險 2. 可解釋性：AI模型的輸入與輸出，是否存在因果關係或關係的描述 3. 彈性：AI系統能適應不同環境、需求和條件 4. 公平性：AI系統能公平對待不同群體和個體 5. 準確性：衡量AI系統的輸出與真實結果的接近程度，即擬合程度 6. 透明性：糾正AI系統運營商和消費者之間的資訊不平衡 7. 當責性：AI系統開發者和使用者需對系統的行為或操作負責 8. 可靠性：評量系統在面對未預期的狀況時，能維持良好的表現和預測能力 9. 資料隱私：將可能造成隱私的衝擊嚴重程度分級，以實現風險評估與掌控 10. 系統安全：AI系統面對外部攻擊、未授權訪問或不當使用時，能保護其資源、功能和資料的完整性和機密性 資料來源：AI評測中心，iThome整理，2024年2月 </div></div></div>
2024/2/22 12:21作者王若樸https://www.ithome.com.tw/news/161412
AI狂潮推動Nvidia季營收成長265%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 繪圖處理器大廠<a href="https://investor.nvidia.com/news/press-release-details/2024/NVIDIA-Announces-Financial-Results-for-Fourth-Quarter-and-Fiscal-2024/" target="_blank">Nvidia周三（2/21）公布</a>截至今年1月28日的2024財年第四季財報，該季Nvidia創下221億美元的營收，比上一季增加22%，比去年同期成長265%，淨收入（Net Income）為122.85億美元，比上一季增加33%，相較於去年同期則成長769%，每股盈餘為5.16美元。在該季的銷售中，AI帶動了Nvidia的資料中心平臺，該類別的營收大增409%，出色的表現令Nvidia當天的盤後股價上漲了9.07%，來到735.95美元的新高。 Nvidia的資料中心平臺是利用不同的GPU產品來打造加速運算解決方案，標榜可利用更少的伺服器來達到更好的效能，主要供大型企業與超級運算中心使用，並支援AI訓練、AI推論、科學運算，以及虛擬桌面基礎設施等不同的應用。 在AI的助益下，該季資料中心業務替Nvidia帶進184億美元的營收，比前一年同期增加了409%，該類別占Nvidia總營收的83%。 Nvidia的其它營收類別還包括遊戲的29億美元，比前一年同期成長56%，專業視覺化營收為4.6億美元，成長105%，汽車領域的營收為2.8億美元，下滑4%。 OpenAI在2022年11月發表的ChatGPT掀起了全球的AI浪潮，也讓支援平行處理且講究效能的GPU跟著水漲船高。Nvidia創辦人暨執行長黃仁勳表示，加速運算與生成式AI已來到轉捩點，全球各個國家、產業或企業對相關的需求都在激增，其資料中心平臺的大幅成長來自於大型雲端服務供應商、GPU專業供應商、企業軟體及消費者網路公司對資料處理、訓練及推論的需求。 此外，由汽車、金融服務及健康醫療產業為首的垂直產業，也已達到數十億美元的經濟規模。 原本華爾街分析師對Nvidia就有很高的期待，但Nvidia的財報結果超越了分析師期待，讓盤中下滑逾2%的股價在盤後大漲。 </div></div></div>
2024/2/22 13:41作者陳曉莉https://www.ithome.com.tw/news/161413
Google可能推出Workspace專屬的Gemini Business、Enterprise方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Google本月初將聊天機器人Bard改名為Gemini，並推出第一個付費方案<a href="https://www.ithome.com.tw/news/161175" target="_blank">Gemini Advanced</a>，現在又將再進一步，推出Google Workspace專屬的AI助理方案Gemini Business及Gemini Enterprise。此外也為Gemini Advanced新增執行Python程式碼的功能。 9to5Google記者<a href="https://twitter.com/evowizz/status/1759690336845037869" target="_blank">Dylan Roussei</a>及<a href="https://twitter.com/testingcatalog/status/1759685618034978852/" target="_blank">開發論壇</a>發現關於Gemini的最新宣布。Google針對Workspace用戶推出Gemini Business及Gemini Enterprise方案，允許用戶透過Gemini AI助理存取最新Gemini 1.0 Ultra，以及「企業等級」資料防護功能，用戶對話也不會被用以訓練底層AI模型。Workspace管理員可透過控制臺管理其設定。 <a href="http://twitter.com/evowizz/status/1759690336845037869" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0222-Google_Workspace_Gemini%20Business_Enterprise.png" style="width: 600px;" /></a> 二項方案將在全球150多個國家地區上線，一開始僅為英文版進行優化。 這是Google 2月初宣布AI助理Bard改名為Gemini及需要付費的Gemini Advanced後，Google規劃的企業付費AI服務。不過Workspace本來就有<a href="https://www.ithome.com.tw/news/158487" target="_blank">Duet AI</a>助理服務。9to5Google的Roussei報導，最新Google通知中的升級Gemini Business網址頁連到的是Duet AI網頁。Gemini Business/Enterprise和DuetAI的關係為何，以及Business /Enterprise推出後，DuetAI何去何從目前仍不清楚。 另一方面，Google也宣布Gemini Advanced新增功能。用戶將能直接在Gemini用戶介面上執行Python程式碼片段。Google表示，這程式編寫新功能特別有助於程式學習和驗證二種應用場景；學生可實驗程式碼，測試程式變更對輸出有何影響，開發人員則可驗證程式碼執行是否符合預期，再複製到程式工作中。 根據Google的說明，Gemini Advanced新功能及Gemini Business/Enterprise在2月20日及21日上線。一如Google Bard改名，日期極可能都有變化。 </div></div></div>
2024/2/22 11:50作者林妍溱https://www.ithome.com.tw/news/161411
Google公布開源AI模型Gemma，支援多種框架、可跑在筆電上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Google繼上周公布大型語言模型（large language model，LLM）<a href="https://www.ithome.com.tw/news/161315" target="_blank">Gemini 1.5版</a>後，本周再公布<a href="https://blog.google/technology/developers/gemma-open-models/" target="_blank">開源AI模型Gemma</a> 2個版本，讓開發及研究人員在雲端、資料中心甚至筆電上自建與執行AI模型。 Gemma是一輕量開源模型家族，由Google DeepMind及Google其他團隊開發，它是以開發Gemini模型相同的研究和技術為基礎打造而成。Gemma名稱源自拉丁語「gemma」，意思是「寶石」。開源的Gemma有二個版本，名為Gemma 2B及7B，Google並釋出其他協助開發、協同及負責任使用的工具。Gemma今日已在全球上線（<a href="http://ai.google.dev/gemma" target="_blank">ai.google.dev/gemma</a>）。 除了Gemma開源模型，Google最新AI模型Gemini也在今日全面上線。 Google強調，Gemma和Gemini採用相同技術與基礎架構元件，這使得Gemma 2B及7B效能超越其他同樣規模的開源模型。Gemma在數項標竿測試上，也超越更大的模型。根據<a href="https://storage.googleapis.com/deepmind-media/gemma/gemma-report.pdf" target="_blank">Google提供的數據</a>，不論在推論、數學、撰寫程式上，Gemma 7B都超越Llama 2 7B，而在多項數據上，也超越開源模型Mistral 7B。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0222-Google-Benchmark_chart-V2(1).png" style="width: 509px;" /> 圖片來源_Google Gemma預訓練模型及依指示微調（instruction-tuned）後的模型，可直接執行於開發人員的筆電或工作站、桌機、或者Google Cloud的Vertex AI和Google Kubernetes Engine（GKE）上。VertexAI上有廣泛MLOps工具，內建多種微調選項及一鍵部署。Google表示，不論是代管的Vertex AI工具或自行管理的GKE，都支援客製化，包括能部署到各種GPU、TPU、和CPU等基礎架構平臺上。 Gemma支援多種工具和系統，允許開發人員和企業以自有資料微調Gemma。Google提供的推論和監督式微調參考實作工具支援多種主要框架，包括Kera 3.0、原生PyTorch、JAX和Hugging Face Transformers。 在硬體方面，Gemma已針對多種AI硬體平臺進行過優化，除了Google Cloud TPU外，Google也和Nvidia合作，以便確保Nvidia GPU為基礎的雲端、本地部署資料中心、到RTX AI PC上具備高執行效能。 Google強調Gemma是根據其安全與負責任的AI原則設計。為了確保Gemma預訓練模型的安全與穩定，研發團隊使用自動化方法篩選掉資料集中的個資及其他敏感資訊，也使用微調及基於人類反饋的強化式學習（reinforcement learning from human feedback，RLHF）確保模型符合負責任行為。同時為了解及降低Gemma模型的風險，Google也實行嚴謹的評估，包括紅隊演練、自動化威脅測試及模型的危險活動能力評估。為讓外部用戶進行負責任AI的評估，Google昨日也公布新的<a href="https://ai.google.dev/responsible?utm_source=agd&utm_medium=referral&utm_campaign=explore-responsible&utm_content=&hl=zh-tw" target="_blank">負責任生成式AI工具包</a>，包括可以簡單範例建立安全分類器的工具、模型除錯及Google分享的負責任模型開發與部署指引。 <a href="http://ai.google.dev/responsible?utm_source=agd&utm_medium=referral&utm_campaign=explore-responsible&utm_content=&hl=zh-tw" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0222-Google-Responsible%20Generative%20AI%20Toolkit.png" style="width: 600px;" /></a> 為方便開發人員開始使用Gemma，Gemma可整合Kaggle、Colab notebook常見工具如Hugging Face、MaxText、Nvidia MeMo及TensorRT-LLM。為吸引開發人員使用Gemma，Google提供Kaggle notebook、Colab免費方案，以及300美元Google Cloud點數。Google甚至提供高達50萬美元等值Google Cloud點數，供研究人員申請執行專案。 </div></div></div>
2024/2/22 10:45作者林妍溱https://www.ithome.com.tw/news/161409
微軟推VisualStudio.Extensibility SDK，新擴充套件安裝不再需要重啟Visual Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟推出新的<a href="https://devblogs.microsoft.com/visualstudio/visualstudio-extensibility-17-9/">VisualStudio.Extensibility SDK公開預覽版</a>，可供開發者創建獨立於Visual Studio程序運作的擴充套件，以提高其效能和可靠性。VisualStudio.Extensibility SDK具有一些特殊功能，包括讓開發者可在Visual Studio市集發布擴充套件，並且更容易配置擴充套件、查詢專案系統，和創建視覺化工具。 開發者以新版本VisualStudio.Extensibility SDK建立擴充套件，會生成一個獨立的VSIX套件，開發者可以在本機端共用VSIX套件，供其他開發團隊成員直接安裝，或是也可以將其發布到Visual Studio市集中，與網路上其他開發者共享。 VisualStudio.Extensibility SDK另一大特點是開發者安裝擴充套件，不再需要關閉並重新啟動Visual Studio，微軟說明，新提供的熱載入功能，適用於以VisualStudio.Extensibility SDK編寫的所有程序外擴充套件。官方會在Visual Studio市集上，特別標記支援熱載入的擴充套件，方便開發者辨識。 現在VisualStudio.Extensibility SDK也讓配置擴充套件、查詢專案系統，和創建除錯器視覺化工具更直覺簡單。開發者可以直接在程式碼中使用強類型類別和屬性配置擴充套件，如此可減少手動維護VSIX清單檔案的需求，也能利用IntelliSense快速填寫所需要的配置值。此外，新的SDK支援創建非模態（Non-Modal）可在IDE中自由移動的除錯器視覺化工具，非模態視窗讓用戶可以同時存取和操作其他介面元素，提高除錯效率和靈活性。 開發者可以開始將語言伺服器協定（Language Server Protocol，LSP）整合到擴充套件中，如此便可以創建一個語言服務提供工具操作語言服務。語言服務提供工具支援配置屬性，可用於控制語言服務適用的文件類型。 而VisualStudio.Extensibility透過經強化的查詢API加入許多新功能，包括建置、重新載入、重新命名等專案操作，以及創建、移除解決方案等解決方案操作功能，同時還可以查詢、創建和移除資料夾和啟動專案，這些新功能讓擴充套件能夠更細緻地與Visual Studio專案系統互動。 </div></div></div>
2024/2/22 02:55作者李建興https://www.ithome.com.tw/news/161396
Rust開發者擔心語言越變越難，甚至有20%受訪者希望放慢新功能開發速度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://blog.rust-lang.org/2024/02/19/2023-Rust-Annual-Survey-2023-results.html">Rust調查團隊釋出針對Rust社群的2023年調查報告</a>，顯示開發者越來越願意在工作上使用Rust，而主要原因是Rust高安全和高效能等特性。隨著開發者採用Rust的程度提升，對Rust的發展憂慮也隨之增加，有43％受訪者擔心Rust變得太複雜，甚至有20％受訪者希望Rust開發團隊放慢新功能開發腳步。 調查報告顯示，受訪者將Rust用於工作上的比例逐年上升，2023年的受訪者中有34％在大部分的工作中使用Rust，相較於2022年增加了5個百分點，而這些將Rust用於工作的受訪者，其主要原因都是希望可以建立相對正確且沒有錯誤的程式，比例高達86％，而第二常見的原因則是看重Rust的高效能，比例也有83％。 <img alt="" src="https://s4.itho.me/sites/default/files/images/why-you-use-rust-at-work.png" style="width: 580px;" /> 79％的受訪者表示Rust的確協助企業實現目標，這相較於2022年增加了7個百分點，77％的受訪者還表示，企業可能會在未來繼續使用Rust。就技術層面而言，Rust似乎在創建伺服器後端、網頁和網路服務，以及雲端技術方面特別受到歡迎。整體而言，用戶對於Rust的高效能、可控性和安全性特別有信心。 Rust發展至今仍存在許多挑戰，約有43％的受訪者擔心Rust變得過於複雜，雖然這個問題一直存在，不過顯然社群更焦慮了，2023年的數字較2022年高出了5個百分點。還有42％的受訪者擔心Rust沒有受到科技產業廣泛採用，而2023年有32％的受訪者最擔心的議題，是Rust開發者和維護者沒有獲得足夠的支援，較2022年上升了6個百分點。 開發者對Rust發展的關心也轉化成為了擔憂，官方提到，他們發現完全不關心Rust未來發展的受訪者明顯減少，2022年為30％而2023年下降至18％。不過有趣的是，其中也有20％的受訪者希望Rust可以放慢新功能開發速度，而這可能與有43％受訪者擔心Rust變得過於複雜有關，也就是說，開發者可能認為Rust快速發展，會導致語言變得難以掌握。 2023年Rust開發者最想要Rust開發團隊實作或改進的功能，依序是Traits、const執行以及非同步功能。此外，開發者最常遇到困難的領域，包括了非同步、Traits以及借用檢查器（Borrow Checker）等Rust中較爲複雜且難以理解的概念，許多Rust開發者在學習使用這些功能常會遭遇挑戰。 <img alt="" src="https://s4.itho.me/sites/default/files/images/which-features-do-you-want-stabilized.png" style="width: 580px;" /> 在Rust生態系方面，最多受訪者用來開發Rust程式的作業系統是Linux高達69.7％，其次是33.5％的macOS和31.9％的Windows，2023年使用WSL開發Rust的受訪者，與2022年相比少了1.2％。而受訪者最愛用的IDE，第一名仍是VS Code有高達61.7％的受訪者使用，第二名則是vi/vim/neovim有31％，而第三名則是2023年才釋出的Rust專用IDE Rust Rover。 </div></div></div>
2024/2/22 02:59作者李建興https://www.ithome.com.tw/news/161407
【資安日報】2月21日，中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 中國政府資助的駭客佯裝成資安公司，在全球從事網路間諜活動，過往通常是藉由研究人員找到的蛛絲馬跡，才能揭露駭客暗中從事多年的行為，但最近有一批文件的曝光，間接反映了這樣的情形，而引起資安圈的高度討論。 根據一位臺灣資安研究員的揭露，中國資安業者「安洵信息」發生內部資料外洩，而導致中國當局網路間諜活動曝光，當中提及該公司從事網路間諜行動的經驗，並說明他們使用的作案工具，雖然資料的來源與真實性仍有待進一步確認，但根據其內容來看，他們提供了各式各樣的網路攻擊服務，很有可能聽從中國政府的指示對指定目標下手。 <h3>【攻擊與威脅】</h3> <a href="https://twitter.com/AzakaSekai_/status/1759326049262019025">中國資安業者安洵信息內部資料在GitHub公開，曝露中國政府對西方國家的網路間諜攻擊手段</a>  <a href="https://s4.itho.me/sites/default/files/images/GGpis78bQAAezgE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGpis78bQAAezgE.jpg" style="width: 300px; float: right;" /></a>一位名為「安坂星海」的臺灣資安研究員發現，有人將中國資安業者「安洵信息」的內部資料上傳到程式碼儲存庫GitHub，聲稱該公司欺瞞中國當局，且財務出現問題，其產品的品質低落，並招致員工抱怨。這些資料也透露該公司替客戶（中國政府）滲透印度、泰國、越南、韓國、北約組織的政府機關。 研究人員指出，這些資料很有可能來自該公司專門研發間諜軟體的部門，其軟體平臺能挖掘使用者X（推特）帳號登記的電話號碼及電子郵件信箱，並對特定帳號的動態進行即時監控，甚至能冒用帳號來進行發文、刪文、轉推、按讚。該公司針對Windows、macOS、Linux、iOS、安卓等作業系統，自製RAT木馬程式Hector，其中Windows版木馬號稱能迴避95%防毒軟體偵測，此外，公司還開發外觀與行動電源極為相似的「Wi-Fi抵近攻擊系統（Wi-Fi Near Field Attack System）」。在業務運作上，這家公司同時經營DDoS殭屍網路，所用的病毒檔案大小僅有29 KB，此殭屍網路號稱能產生10至100Gbps的流量。除此之外，還有APT攻擊的教戰手則，並能透過分析郵件、中國社群網站平臺內容來從事間諜行動的說明文件。 而對於這些資料外流的原因，新聞網站大紀元認為，很有可能是員工對公司及薪資不滿所致；另一個新聞媒體Coinlive指出，該公司員工曾討論如何販賣國家機密，或是製作色情聊天網站來維持生計。  資料來源 1. <a href="https://twitter.com/AzakaSekai_/status/1759326049262019025">https://twitter.com/AzakaSekai_/status/1759326049262019025</a> 2. <a href="https://www.epochtimes.com.tw/n433151/陸網安公司文件外流-曝光中共網攻手段.html">https://www.epochtimes.com.tw/n433151/陸網安公司文件外流-曝光中共網攻手段.html</a> 3. <a href="https://www.coinlive.com/zh/news/inside-story-of-an-xun-self-built-pornographic-websites-phishing-and">https://www.coinlive.com/zh/news/inside-story-of-an-xun-self-built-pornographic-websites-phishing-and</a> <a href="https://blog.talosintelligence.com/tinyturla-next-generation/">非政府組織遭俄羅斯駭客組織Turla鎖定，植入後門程式TinyTurla-NG</a> 思科威脅情報團隊Talos與非政府組織電腦緊急應變小組（CERT.NGO）聯手，發現俄羅斯駭客Turla使用新的後門程式TinyTurla-NG（TTNG），研究人員去年12月看到駭客以波蘭的非政府組織（NGO）為目標，部署該後門程式並藉由已被入侵的WordPress網站充當C2伺服器，這些網站也被對方用來代管惡意PowerShell指令碼TurlaPower-NG。 研究人員指出，駭客通常是在其他工具失效，或是不慎觸發了受害環境的資安系統警報時，才會使用該後門程式來進行最後的嘗試。而對於PowerShell指令碼TurlaPower-NG的用途，研究人員指出是竊取受害電腦資料，再交由前述的後門程式回傳。根據惡意程式編譯的時間，這起攻擊行動可能在去年11月開始。 <a href="https://www.bleepingcomputer.com/news/security/cactus-ransomware-claim-to-steal-15tb-of-schneider-electric-data/">施耐德電機傳出資料外洩，勒索軟體Cactus聲稱竊得1.5 TB資料</a>  <a href="https://s4.itho.me/sites/default/files/images/Schneider Electric Cactus leak.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Schneider%20Electric%20Cactus%20leak.png" style="width: 300px; float: right;" /></a>1月17日能源管理暨自動化龍頭施耐德電機傳出遭到攻擊，導致該公司的Resource Advisor雲端平臺服務面臨中斷。施耐德電機也證實他們的永續發展業務部門遭到網路攻擊，且資料遭到竊取，如今出現進一步的發展。 根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Cactus聲稱，他們1個月前入侵施耐德電機的網路環境，竊得1.5 TB資料，提供25 MB檔案供買家檢驗，並附上數名美國民眾的護照，以及保密協議文件的掃描檔案。但究竟有那些資料遭竊，目前仍不得而知。 <h3>【漏洞與修補】</h3> <a href="https://www.darkreading.com/application-security/joomla-xss-bugs-open-millions-websites-rce">內容管理系統Joomla存在XSS漏洞，恐被攻擊者用於遠端執行任意程式碼</a>  2月20日開源內容管理系統Joomla修補跨網站指令碼（XSS）漏洞CVE-2024-21726，此漏洞發生的原因在於不充分的內容過濾機制，而有可能導致特定元件出現XSS弱點，他們發布5.0.3、4.4.3版Joomla予以修補。 找到該漏洞的資安業者Sonar Source指出，該漏洞主要出現在Joomla的核心過濾器元件，一旦攻擊者加以利用，就有可能誘騙管理員點選惡意連結，從而遠端執行任意程式碼（RCE），研究人員不願透露更多細節，但呼籲網站管理者應儘速套用新版軟體來緩解漏洞。 資料來源 1. <a href="https://developer.joomla.org/security-centre/929-20240205-core-inadequate-content-filtering-within-the-filter-code.html">https://developer.joomla.org/security-centre/929-20240205-core-inadequate-content-filtering-within-the-filter-code.html</a> 2. <a href="https://www.sonarsource.com/blog/joomla-multiple-xss-vulnerabilities/">https://www.sonarsource.com/blog/joomla-multiple-xss-vulnerabilities/</a> <h3>【資安防禦措施】</h3> <a href="https://www.ithome.com.tw/news/161379">國際執法機構關閉34臺LockBit伺服器，凍結逾200個加密貨幣帳號，逮捕2名嫌犯</a>  有許多關注勒索軟體LockBit動態的研究人員及資安新聞媒體發現，該組織架設於暗網的網站已遭執法單位控制，如今這樣的情況也得到證實。 2月20日歐洲刑警組織（Europol）發出聲明，由英國國家刑事局（National Crime Agency，NCA）發起的執法行動Operation Cronos，在10個國家的執法部門投入相關工作，並由歐洲刑警組織及歐洲司法組織從中進行協調之下，成功關閉該組織架設於荷蘭、德國、芬蘭、法國、瑞士、澳洲、美國、英國的34臺伺服器，並凍結超過200個加密貨幣帳戶，同時在波蘭及烏克蘭逮捕2名嫌犯。 NCA已控制了LockBit的基礎設施及暗網網站，並表示他們取得了原始碼，同時發現駭客並未依照承諾，刪除已付贖金的受害組織資料。<a href="https://www.ithome.com.tw/news/161386">日本警方已打造LockBit 3.0的解密工具</a>，受害者可從No More Ransom網站取得。 資料來源 1. <a href="https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation">https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation</a> 2. <a href="https://www.nationalcrimeagency.gov.uk/news/nca-leads-international-investigation-targeting-worlds-most-harmful-ransomware-group">https://www.nationalcrimeagency.gov.uk/news/nca-leads-international-investigation-targeting-worlds-most-harmful-ransomware-group</a> 3. <a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#Lockbit30">https://www.nomoreransom.org/zht_Hant/decryption-tools.html#Lockbit30</a> <a href="https://www.aielectionsaccord.com/uploads/2024/02/Press-Release-AI-Elections-Accord-16-Feb-2024.pdf">科技龍頭承諾共同對抗與選舉有關的AI欺騙性內容</a>  2月16日微軟、Google、Meta、OpenAI、IBM等全球20家科技龍頭在慕尼黑安全會議（Munich Security Conference，MSC）發出共同聲明，為防止由AI產生的欺騙性內容干預2024年的全球選舉活動，他們將共同努力偵測及打擊有害的AI內容。 這些科技業者具體提出8項承諾，分別是開發及導入可用來減少欺騙性AI選舉內容的技術與工具；評估相關模型並理解可能帶來欺騙性AI選舉內容的風險；試圖在社群網站平臺偵測相關的有害內容；尋找適當解決在平臺上所偵測到的欺騙性內容；培養跨產業對欺騙性AI內容的防禦能力；向大眾揭露如何解決問題的透明度；繼續與全球民間社會組織或學術界交流；支持對大眾意識、媒體素養及整個社會復原能力的推動。 此外，微軟特別設置檢舉平臺，供全球候選人通報疑似由AI產生的欺騙性內容。 <a href="https://www.linuxfoundation.org/press/announcing-the-post-quantum-cryptography-alliance-pqca">為應對量子運算的安全挑戰，Linux基金會成後量子密碼學聯盟</a> 2月6日Linux基金會宣布成立後量子密碼學聯盟（Post-Quantum Cryptography Alliance，PQCA），主要目的是要促進後量子密碼學進步，期望透過製作高保證性的軟體，來實踐標準化演算法的目標，從而支援持續開發並產生新的後量子演算法的標準化，初始會員包括AWS、Google、IBM、Nvidia等11家企業組織。 該聯盟將打造程式庫及軟體套件的中樞，以符合美國國家安全局（NSA）推薦的加密指南「商業國家安全演算法套件2.0（Commercial National Security Algorithm Suite 2.0，CNSA 2.0）」的資安建議。此外，PQCA將從事各式專案，包括開發軟體來評估、設計、部署新的後量子演算法，透過提供軟體實作，進而促進後量子密碼學在產業中實際應用。 <h3>【其他新聞】</h3> <a href="https://www.cadosecurity.com/migo-a-redis-miner-with-novel-system-weakening-techniques/">惡意軟體Migo停用Redis伺服器的安全機制，將其用於挖礦</a>  <a href="https://www.bleepingcomputer.com/news/security/connectwise-urges-screenconnect-admins-to-patch-critical-rce-flaw/">ConnectWise針對遠端桌面連線軟體ScreenConnect身分驗證繞過漏洞提出警告</a>  <a href="https://www.threatfabric.com/blogs/anatsa-trojan-returns-targeting-europe-and-expanding-its-reach">安卓金融木馬Anatsa再度現身Google Play市集，鎖定歐洲國家而來</a>  <a href="https://www.hackread.com/israeli-nso-group-mms-fingerprint-attack-whatsapp/">以色列商業間諜公司NSO Group利用WhatsApp漏洞，利用MMS指紋追蹤用戶</a>  <a href="https://arxiv.org/abs/2402.11423">研究人員揭露濫用無線充電器的攻擊手法VoltSchemer，有可能注入語音命令、燒毀手機</a>  <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/161355">【2月20日】勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿</a> <a href="https://www.ithome.com.tw/news/161344">【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</a> <a href="https://www.ithome.com.tw/news/161326">【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</a> </div></div></div>
2024/2/21 17:54作者周峻佑https://www.ithome.com.tw/news/161398
MedTech醫療科技雙周報第32期：美政府調查發現FHIR採用率增加，但也有挑戰要面對
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 重點新聞（0201～0215） ONC FHIR 資料互通 美政府：FHIR採用率增加，也有挑戰要克服 2月中，美國國家醫療IT協調辦公室（ONC）揭露一項調查結果，盤點全美141家數位醫療廠商使用標準化API的狀況，發現大多數廠商已使用FHIR標準來整合電子健康記錄系統。進一步來說，美國在2020年就立下法源依據，即《21世紀醫療法最終規則》，來強制要求使用符合FHIR標準的合格API，以促進資料標準化、簡化FHIR與第三方應用的串接。這個規則要求廠商在2022年12月31日前，必須採用FHIR標準和相應的實作指引（IG），而這次揭露的調查數據，正是在截止日前蒐集到的結果。 ONC指出，在當時的截止期限前，大約四分之三的廠商已使用FHIR標準，且他們的App與不只一個電子健康記錄系統整合。調查數據顯示，只有25%的廠商App只與單一個電子健康記錄系統整合。ONC表示，雖然這些數據意味著FHIR API應用的初期成功，但還有些挑戰要克服。因為，調查發現，FHIR對特定應用情境的支援有限，導致廠商會使用不同類型的API，且57%的受試廠商表示同時使用專有API和標準化API，另有11%的廠商使用專有API和非標準化API。 再來，大約半數的廠商表示FHIR費用高昂，另各有十分之四的受訪者分別點出，他們缺乏實際的臨床測試數據、缺乏對API實用性的理解，造成應用的障礙。ONC承認，這些調查結果證實了美國醫療IT社群提出的擔憂，也就是目前合格API的範圍有限，還有費用、資料存取與開發者支援等使用門檻。這些課題，也是ONC接下來要解決的問題。<a href="https://www.healthit.gov/buzz-blog/research-and-scientific-advancement/digital-health-company-experiences-using-ehr-apis">（詳全文）</a> <img alt="" src="https://www.healthit.gov/buzz-blog/wp-content/uploads/2024/02/Picture1.png" /> NIH 電子病歷系統 AI 三分之一IT員工將退休，美國國衛院：是時候換電子病歷系統了 早在20年多前，美國國衛院（NIH）就為國內最大的研究型醫院開發一套電子病歷系統，名為臨床研究資訊系統（the Clinical Research Information System）。但最近在AFCEA Bethesda’s Health IT高峰會論壇上，NIH臨床中心資訊長Jon McKeeby表示，這套電子病歷系統很快就會換新了。 這是因為，他帶領的120名NIH IT團隊中，已有40多人達到退休年齡。這些人員的離開，「將使系統變得非常複雜，（我們）只能仰賴特定人才和技能，導致系統維護困難，」Jon McKeeby說。也因此，NIH正與美國政府成立的非營利技術研究組織Mitre討論合作，至今已為新的電子病歷系統收集1,000多項需求。他們認為，根據這些需求打造的新系統，將能加速NIH採用AI，來解讀非結構化資料、支援臨床決策，還能持續監控資料模型。<a href="https://federalnewsnetwork.com/it-modernization/2024/02/nih-seeks-new-ai-friendly-ehr-to-make-better-use-of-health-care-data/">（詳全文）</a> 瑞典 營養 高齡化 預防長者營養不良，瑞典政府推動數位營養記錄計畫 根據美國醫療資訊與管理系統學會HIMSS旗下媒體Healthcare IT，瑞典奧斯特松德市官員Helle Sörensen指出，瑞典政府為確保年長者營養均衡、保持身體健康，因此展開營養記錄數位化計畫，要打造一套系統，來記錄長者的營養攝取狀況。Helle Sörensen表示，瑞典正面臨老齡化挑戰，80歲以上、需要政府協助的長者越來越多，但年輕勞動力卻不斷減少。因此，瑞典政府計畫展開多種數位化專案，不只要提高工作流程效率，還要藉此落實預防醫學。 意思是，瑞典政府希望年長者自給自足的時間更長，來減少對護理的需求。Helle Sörensen認為，這套數位營養記錄系統能更有效分析患者飲食，讓醫護人員更了解患者狀況。她將在今年3月的HIMSS 24大會上揭露更多細節。<a href="https://www.healthcarefinancenews.com/news/digital-nutrition-registration-aiding-pop-health-efforts-sweden">（詳全文）</a> 認知障礙 iPad AI 美醫療新創用AI分析手繪時鐘，可偵測輕度認知障礙 哈佛醫學院神經學教授、美國智慧醫療新創Linus Health的共同創辦人Alvaro Pascual-Leone日前接受美國HIMSS旗下媒體Healthcare IT訪問時，揭露了與團隊研發的輕度認知障礙AI偵測應用。他表示，判斷認知障礙的權威方法是請患者用紙筆畫出一個時鐘和數字，以及指定時間的指針。這個方法看似簡單，卻是個重要指標，因為它需要一個人的視覺空間能力、執行力、記憶力和規畫能力等神經認知能力。其中，醫師會觀察患者繪圖時的表現，來判斷患者認知能力的狀況，而非只看最終結果。 不過，Alvaro Pascual-Leone點出，有經驗的醫師並不多，要找出輕度認知障礙患者並不容易。於是他與團隊開發一套數位應用，利用iPad和數位筆，來讓患者繪製時鐘、數字和指定的時間，並在3分鐘內完成風險分析。他表示，他們收集的細微指標高達數百個，如手部運動的變化、螢幕上的壓力、數字的位置、圓圈的繪製方式等。完成測試後，醫師和患者會收到綠、黃或紅色分數。要是患者存在認知障礙，系統會根據個人狀況，建議可行的作法，比如個人化的運動、飲食、認知技能活動、聽力測試等，或進一步到專業檢測機構進行大腦測試，或建議轉診等。Alvaro Pascual-Leone認為，這種數位化的偵測方法，可降低失智症風險、及早介入認知障礙。<a href="https://www.healthcareitnews.com/news/ai-enabled-digital-health-tech-catches-mild-cognitive-impairment-early">（詳全文）</a> <img alt="" src="https://marvel-b1-cdn.bc0a.com/f00000000292125/linushealth.com/hs-fs/hubfs/Multiple%20Devices%20-%20Healthcare%20Delivery%202.png?width=2016&height=1057&name=Multiple%20Devices%20-%20Healthcare%20Delivery%202.png" /> 萬芳醫院 AI 院外醫療 萬芳醫院新院長上任，3大目標瞄準院外醫療、AI和三院整合 萬芳醫院於於1月底進行第八任院長交接，由新院長劉燦宏接棒，並提出三大發展目標，包括高齡整合、醫療科一科一AI、三院整合。進一步來說，第一個目標是因應人口老化趨勢，萬芳醫院將強化遠距醫療、社區醫療、居家醫療等院外醫療，並整合社區長照資源，要將萬芳醫院打造為大臺北南區的示範醫院。 第二個目標則是推動「醫療科一科一AI，一科多BI」策略，要全面落實智慧管理和推動價值醫療。劉燦宏還提出打造全智慧病房計畫，要透過自動化減少護理人力負擔、透過中央監控減少人力移動，來提升醫療體系照護效能。第三個目標則是要配合北醫大學校政策，推動三院整合。這是因為，過去，萬芳醫院、北醫附醫、雙和醫院的競爭關係大於合作，若要在激烈的醫療競爭中取勝，就得跨院合作。因此，劉燦宏表示，三院應善用北醫大人才資源，來發揮更大的影響力。<a href="https://old.wanfang.gov.tw/p2_news_detail.aspx?dd=1036">（詳全文）</a> <img alt="" src="https://old.wanfang.gov.tw/Upload/Global/1130131.jpg" style="width: 692px; height: 402px;" /> 睡眠偵測 三星 FDA 三星App睡眠偵測功能獲美FDA核准 三星電子最近宣布旗下三星Health Monitor App的睡眠呼吸中止症偵測功能，獲美國食品藥物管理局FDA認證，成為第一款獲得美官方此類許可的App。三星該功能獲得的認證屬於新創中低風險醫材（De Novo）類別，使用者可用Galaxy Watch和手機，透過Health App量測睡眠呼吸，而無需使用傳統醫療器材。 睡眠呼吸中止症偵測功能可在兩晚的睡眠監測期間，偵測到中到重度的呼吸短暫停止，這種症狀會導致氧氣供應不足，影響睡眠品質，導致白天疲倦和注意力不佳，也會增加高血壓、冠狀動脈疾病及心律不症、中風等疾病風險。而三星透過演算法，偵測睡眠呼吸中止或睡眠偵測，主要是透過量測的血氧飽和度數值以演算法推算得出，他們接下來還計畫將健康偵測功能整合到更小的穿戴裝置上。<a href="https://news.samsung.com/global/samsungs-sleep-apnea-feature-on-galaxy-watch-first-of-its-kind-cleared-by-us-fda?utm_source=rss&utm_medium=direct">（詳全文）</a> <img alt="" src="https://img.global.news.samsung.com/global/wp-content/uploads/2024/02/FDA-Sleep-Apnea-Feature_main1.jpg" /> 超音波 AI 華碩 華碩手持無線超音波新添3項AI功能 華碩日前優化旗下手持無線超音波產品，新添３項AI輔助功能，包括語音控制、一鍵優化和自動量測。其中語音控制可讓醫師直接語音輸入，設定20多種超音波參數，來簡化執行超音波掃描時的繁瑣作業。一鍵優化可自動判斷當下的掃瞄部位，來提供最佳化影像，至於自動量測，則可在掃瞄過程中自動運算結果數值，免去冗長的人工操作流程。華碩也表示，這次版本更新預計在2月底前釋出，使用者可至Google Play Store或Apple Store更新ASUS MediConnect應用程式，就能使用新添的3大AI輔助功能。<a href="https://press.asus.com/tw/news/asus-ai-medical-imaging-advancements-2024/">（詳全文）</a> <img alt="" src="https://press.asus.com/images/20240131104616309_s.jpg" /> 圖片來源／ONC、Linus Health、萬芳醫院、三星、華碩 MedTech醫療科技近期新聞 1. <a href="https://www.businesswire.com/news/home/20240215458797/en/Vital%E2%80%99s-ERAdvisor-Earns-Top-Marks-in-KLAS-Spotlight-Report">洛杉磯兒童醫院推出急診App</a>，可即時查詢醫療資料和出院進度 2. <a href="https://www.federalregister.gov/documents/2024/02/02/2024-01693/medications-for-the-treatment-of-opioid-use-disorder">美國政府准許醫療機構用遠距方式評估成癮藥物新患者</a> 資料來源：iThome整理，2024年2月 </div></div></div>
2024/2/21 18:28作者王若樸https://www.ithome.com.tw/news/161406
打造雲原生應用開發軍火庫，紅帽推出企業級內部開發平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/developer-hub-u-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 提供企業級開放原始碼軟體解決方案，向來是紅帽的強項，而在2023年全球高峰會的主題演講開場沒多久，就由總裁暨執行長Matt Hicks發表一款與過往大異其趣的產品，名為Red Hat Developer Hub（RHDH）， <a href="https://s4.itho.me/sites/default/files/images/rhdh-2023-05-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/rhdh-2023-05-1.jpg" style="width: 400px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/rhdh-2023-05-2.jpg" style="width: 400px;" /> 這是透過多種已支援與堅定發展的框架、專門用來加速開發流程的單一網站入口，是架構在<a href="https://backstage.io/">開放原始碼專案Backstage</a>而成，此專案最初由音樂串流平臺Spotify創立、2020年捐贈雲端原生運算基金會（CNCF）進行培育，在2022年10月，<a href="https://developers.redhat.com/articles/2022/10/24/red-hat-joins-backstageio-community">紅帽宣布加入Backstage社群</a>。 <a href="https://s4.itho.me/sites/default/files/images/Backstage-overview-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Backstage-overview-2023.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Backstage-2020-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Backstage-2020-05.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Backstage-2021-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Backstage-2021-2.jpg" style="width: 298px;" /></a> 在產品推出時程的規畫上，紅帽當時打算在2023年下半提供RHDH的開發者預覽版本，並提供Backstage的外掛，到了今年1月中， RHDH正式發表1.0版、提供完整支援。 <a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-2.jpg" style="width: 600px;" /></a> 為此我們向紅帽臺灣分公司詢問其產品定位與特色，他們表示，Red Hat Developer Hub是企業的內部開發平臺，是為了因應軟體開發堆疊日益複雜、標準不一，以及部門之間溝通效率低等問題而生的產品，面向的對象是企業開發者市場。 與其他開發者工具相比，紅帽認為RHDH獨特之處，在於構建企業開發者專用的平臺、框架，而不是個別的工具，它提供很多簡化開發流程的軟體模板及外掛程式，開發團隊能夠自由選擇，並具備企業級安全特性與可擴充性、支援最新的開發堆疊。相較於紅帽自家其他產品，則是填補在企業內部統一開發平臺領域的需求。 而從解決方案的組成來看，RHDH不僅運用Backstage，也建構在紅帽的<a href="https://www.ithome.com.tw/tags/openshift">OpenShift</a>、<a href="https://www.ithome.com.tw/tags/RHEL">RHEL</a>、Ansible，皆是該公司開放混合雲平臺的基礎，也是打造平臺工程服務（Platform engineering services）的重要產品。 <img alt="" src="https://s4.itho.me/sites/default/files/images/RH%20Developer%20Flow.jpg" style="width: 600px;" /> <a href="https://s4.itho.me/sites/default/files/images/IDP-2023-08-onboarding.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IDP-2023-08-onboarding.jpg" style="width: 600px;" /></a> <h3>採用開放原始碼Backstage，同時提供軟體範本、外掛</h3> 去年5月發表之際，紅帽強調，RHDH這個經由他們持續發展、維護、調校的Backstage版本，可橫跨Git這類程式碼驅動的應用程式部署環境、容器應用平臺Kubernetes、Red Hat OpenShift，改善開發者體驗，以企業與組織自行管理的網站入口，提供各種批准使用、精心挑選的必要工具、程式語言與資源，以便建立高品質的應用程式，協助發揮軟體技能價值，並減少各種不必要的工作摩擦與認知負擔過重等問題，藉此提升開發速度，而不犧牲創新的能力。 <a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-Learning.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-Learning.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-gpt2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-gpt2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-B.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-B.jpg" style="width: 600px;" /></a> RHDH也提供預先定義與構建、支援的多種範本，加速應用程式開發。例如，備有Golden Path範本（Golden Path Templates，GPT），能以更快、安全的方式簡化應用系統上線流程，毋須被迫削減重要的工作流程步驟。紅帽表示，這類範本可快速追蹤開發、確保結構與一致性，之所以稱為Golden，是因為這些能為開發者提供可依循的最佳實務，使程式碼能夠連貫、具有擴衝性，並且易於維護，開發者能透過預先組建與支援的方法建構與部署軟體的特定部分，而不需學習所有技術細節。而在範本的使用上，能讓開發者以自助的方式取用，可運用最理想的方式來修正程式臭蟲或實作功能，從而加速整體開發流程的進行。 <img alt="" src="https://s4.itho.me/sites/default/files/images/IDP-2023-08-2.jpg" style="width: 600px;" /> <a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-GPT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-GPT.jpg" style="width: 600px;" /></a> 同時，紅帽也開發外掛套件Red Hat Plug-ins for Backstage，可用於所有的Backstage環境，當中提供6個外掛程式，以便將多種關鍵系統整合到Backstage，對於採用不同平臺與Kubernetes版本的開發者而言，能夠獲得更多彈性與一致的操作體驗，並且不影響流程運作的效率與速度。 <img alt="" src="https://s4.itho.me/sites/default/files/images/developer-hub-plug-ins.jpg" style="width: 600px;" /> 舉例來說，Topology外掛可支援Kubernetes的應用拓樸呈現；Open Cluster Management外掛能運用開放叢集管理平臺（OCM）的MultiClusterHub、MultiCluster Engine，呈現多個叢集的狀態；Quay外掛可改善容器映像登錄系統Quay的整合與互動速度，紅帽在此列出容器映像細部資訊，以及已部署映像的資安漏洞；Keycloak後端外掛提供身分認證與授權，可協助平臺工程師在Backstage載入這套Kubernetes身分與存取管理系統的使用者與群組設定，並支援多種身分認證供應端的使用、將其套用到Backstage實體。 <a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-Quay2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-Quay2.jpg" style="width: 600px;" /></a> 在GitOps持續交付（CD）的自動化處理上，紅帽在此提供Argo CD外掛，可協助追蹤這套系統在Backstage的服務運作狀態；針對橫跨所有服務執行的CI/CD流程，這裡備有Tekton外掛，可檢視所有Tekton執行的多種管線與各自的狀態。 <a href="https://s4.itho.me/sites/default/files/images/RHDH-ArgoCD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-ArgoCD.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/RHDH-Tekton.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-Tekton.jpg" style="width: 600px;" /></a> 關於Backstage這套企業內部開發平臺可運用的各種範本，以及外掛，紅帽也特別成立了<a href="https://janus-idp.io/">Project Janus</a>統籌、推動後續的發展。 <a href="https://s4.itho.me/sites/default/files/images/Janus Templates.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Janus%20Templates.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Janus Plugins.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Janus%20Plugins.jpg" style="width: 298px;" /></a> <h3>正式版登場，增添RBAC安全控管，提供更多外掛</h3> 隨著RHDH 1.0今年1月推出，不只是持續強化自助式服務網站入口、標準化的軟體範本，以及更完善的技術支援，也加入不少新功能。 首先，是多人DevOps協作環境相當需要的角色存取控制（RBAC）。紅帽在此增添了系統管理者（administrator）的角色，可透過團隊、群組、使用者等組織階層架構，實施更完善的存取控制，這項機制也能運用多個REST API端點，針對許可政策與角色，提供新增、刪除、更新的機制，也能取出全部或特定的資訊，使企業能在RHDH管理存取許可與工作角色。 第二，新支援動態外掛（dynamic plugins）的使用。RHDH 1.0本身總共提供43個外掛套件，涵蓋資料分析、身分與存取管理、叢集管理、容器管理、安全性、持續部署等應用類型，持續部署就占了一半以上（24個），其次是身分與存取管理（7個）。 上述的角色存取控制功能，也是透過外掛的形式來供應，紅帽表示，系統管理者能基於團隊內部的角色差異，管理使用者存取RHDH這個內部開發網站入口的權限，這樣的外掛可連接企業的身分認證供應環境、對應本身自定的工作角色，藉此讓使用者得到適當的許可，而能存取軟體型錄與相關的資料。 而在動態外掛的支援上，紅帽列出47個之多，涵蓋開放原始碼的DevOps軟體，例如，除了先前曾提及的Kubernetes、Keycloak、OCM、Tekton、Quay，還能支援Scaffolder、Techdocs、Lighthouse、GitHub、Gitlab、Regex、Jenkins、Jfrog Artifactory、Jira，以及商用、雲端服務平臺，像是Azure Devops、Azure Container Registry（ACR）、ServiceNow、SonarQube、Datadog、Dynatrace、PagerDuty、TechRadar、Nexus Repository Manager、3scale。 <a href="https://s4.itho.me/sites/default/files/images/CNCF Backstages.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CNCF%20Backstages.jpg" style="width: 600px;" /></a> 基本上，RHDH採用與Backstage相同的外掛架構，企業能透過這種方式將新功能整合至本身的開發工具鏈，而在引進動態外掛的相關功能之後，RHDH已預先載入指定的套件，用戶也能自行安裝這些套件、透過側載方式在RHDH執行個體運作，不需重新編譯程式碼或組建整個容器，並且能透過快速、簡易的方式，更新、移除各種擴充套件，而不需歷經繁瑣的變更程序，例如，將這套內部開發平臺進行停機，程式碼的修改與重組，以及Backstage基本環境的重新部署。 紅帽目前已建立多款支援RHDH使用、通過驗證的外掛，貢獻至Backstage社群，能幫用戶克服相容性風險與運作層面的問題，而對於RHDH而言，本身也能執行、適用於社群所開發出來的外掛，促使在他們的環境使用時，可獲得更大的控制力與設置彈性。 產品資訊 Red Hat Developer Hub 1.0 ●原廠：Red Hat ●建議售價：廠商未提供 ●平臺需求：Red Hat OpenShift ●安裝形式與管道：Helm Chart套件，經由OpenShift Dedicated或OpenShift Container Platform的Helm型錄，或是ArtifactHUB ●主要功能：建立與維護開發者專屬網站入口，提供集中檢視所有工具與開發資源的儀表板；針對雲端原生應用程式開發，提供企業級最佳實務的自助式服務與存取安全護欄；針對整個企業的開發人員，提供安全與治理 ●技術來源：開放原始碼軟體專案Backstage 【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】 </div></div></div>
2024/2/21 18:13作者李宗翰https://www.ithome.com.tw/review/161337
Predibase發布LoRA Land服務，集結25個微調模型之力效能可勝GPT-4
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 大型語言模型服務公司Predibase推出了一個名為<a href="https://predibase.com/blog/lora-land-fine-tuned-open-source-llms-that-outperform-gpt-4">LoRA Land</a>的服務，該服務的特點在於集合了25個經微調的大型語言模型，這些模型都是以開源的Mistral-7b模型作為基礎，Predibase針對不同任務對Mistral-7b進行最佳化，使其在不同領域的任務，能夠表現得比原始基礎模型甚至是GPT-4更好，而且更具成本效益。 官方認為，隨著Transformer預訓練模型的參數數量不斷增加，大型語言模型參數高達數十億個，這使得這些模型難以適用於下游任務，尤其是資源和預算有限的環境中。而Predibase採取的作法，是運用參數高效微調（PEFT）和量化低階適應（Quantized Low Rank Adaptation，QLoRA）技術，來減少微調參數數量和記憶體使用量，權衡模型效能與效率。 藉由將這些最佳實踐整合至平臺中，使每個微調模型的GPU成本降低至8美元以下，而且透過Predibase所開發的大型語言模型開源平臺LoRAX，讓用戶可以在單一GPU上執行和部署數百個經過最佳化的大型語言模型，提供無伺服器微調終端，這代表用戶不需要專用GPU資源來執行模型。 官方提到，這項作法的好處是可以大幅降低成本，因為用戶在不需要用到GPU時，便不需要支付費用。而且Predibase提供可擴展的基礎設施，可依據用戶的需求擴展微調模型數量，用戶需要用到GPU時，也不需要等待GPU冷啟動，可以更快地測試和迭代模型。 而根據官方所提供的評估指標（下圖），針對25個任務最佳化的模型，可以在大部分的任務中贏過GPT-4和基礎模型。根據任務不同，經微調的模型的效能可比基礎模型高70％，並且贏過GPT-4模型4%到15％，而且這25個可以完全以LoRAX在單一A100 GPU運作，唯有程式碼生成任務微調模型效能明顯低於GPT-4。官方表示，他們建立LoRA Land的目的是要說明，較小且針對特定任務微調的模型，能以更具經濟效益方式，超越商業替代方案。 <a href="https://images.ctfassets.net/ft0odixqevnv/YeKN68pQ2371BzaoPo2PN/db8a4963d1833e97e9ec10ca092e9daf/Predibase_Fine-Tuned_Mistral-7b_vs._GPT-4_27.4.png?w=2390&h=1556&q=100&fm=png&bg=transparent" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Predibase_Fine-Tuned_Mistral-7b_vs__GPT-4_27_4.png" style="width: 580px; height: 378px;" /></a> </div></div></div>
2024/2/21 16:32作者李建興https://www.ithome.com.tw/news/161392
靠容器化微服務架構翻新核心，凱基證券追求快穩準與創新關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 證券業是個對於交易速度非常敏感的行業，時時刻刻都在跟時間賽跑，特別是與銀行業相比，證券業面對的是毫秒甚至微秒等級的速度競爭。這是臺灣證券業一直以來面臨的IT挑戰。 為了提高系統處理速度，甚至加速IT轉型，凱基證券不惜翻新核心系統，甚至採用了雲原生容器化微服務架構，打造新一代證券核心系統，就是為了能夠更快推出新服務，彈性應對市場變化，快速回應顧客的需求。這正是凱基證券核心轉型的關鍵一步。 一手推動凱基證券系統核心轉型的關鍵人物，正是凱基證券亞太區資訊長黃榮林。 在富邦IT服務快30年的黃榮林，曾一手主導富邦金控集團各子公司的系統整併，還負責集團旗下所有公司的IT基礎設施維運與監控，包括機房管理、網路、資安等，以確保能夠提供穩定、不中斷的金融服務。 2018年從富邦退休後，凱基證券進一步延攬黃榮林擔任該公司亞太區資訊長一職，希望能夠借助他在金融業IT方面的豐富經驗，協助他們進行系統整併並加速轉型。他加入後，不僅負責臺灣的IT維運，還包辦了香港、泰國、印尼、新加坡等地的維運工作。 證券業面對的是毫秒甚至微秒等級的速度競爭壓力 相較於金融業中的銀行、產險和壽險業，證券業最大的不同之處在於，因為客戶有即時下單的需求，因此對於交易速度的要求極高。「若與銀行業相比，證券業的速度感受可能高達上千倍的差異。」黃榮林直言。 在整個交易流程中，從客戶下單、風險檢核，一直到交易所的回應，每個環節都得在極短的時間內完成。 黃榮林表示，以風控檢核為例，針對每位線上客戶的下單，同時有10～20萬名用戶，凱基證券目前在處理時間已經可以縮短到了微秒以下。這僅僅是整個交易的一環，從客戶下單、風控檢核到交易所的回應，整個過程僅需毫秒以下完成。 不僅僅是追求交易速度，黃榮林還非常重視系統的穩定性、資料的準確與準時性、資安，以及提供顧客有感的創新服務。因此，他上任後，對於凱基證券的IT在未來科技發展中，確立了最基本的主軸，即要做到快、穩、準、安全與創新。 沿用多年的證券核心系統，面臨到必須汰換的難題 臺灣自2020年逐筆交易制度上路後，吸引許多國內及國外法人客戶參與臺灣證券市場，促使交易量大幅成長，短短一年間，成交數量快速增長，到2021年已經達到6.79億筆，成交總額更創下了新高，達到95.52兆元。 身為國內第二大券商的凱基證券，面對市場交易量的爆增，持續提升交易系統的速度並優化服務，來應對來自證券市場的大量交易需求。 但是凱基證券面對的IT考驗不僅於此。凱基證券目前約9成交易來自電子交易，涵蓋4種交易管道，包括行動裝置、PC（超級大三元、全球理財網）、Web以及API。這些年來，隨著交易型態的改變，交易管道和服務型態也更多元且多樣，可是，凱基證券的核心系統已經沿用多年，也面臨到必須要汰換的難題。 尤其在臺灣，證券業已成為一個規模龐大的行業，與國外將證券僅視為金融機構一項業務不同，因此，證券公司需要有自己的核心系統，可是，黃榮林坦言，全世界沒有任何一家業者專門為證券業提供核心系統的套裝軟體，加上臺灣的交易模式跟國外模式不一樣，需要提供給客戶更多樣的選擇，這也成了證券業的IT挑戰。 一方面，在IT競爭激烈的環境下，凱基證券面臨著推出越來越多新服務和功能的需求。可是，儘管公司的服務和功能不斷擴展，其核心系統仍然採用傳統的大型主機架構，長期下來，不僅導致系統無法支援現代化的應用，而且由於相關技術人力短缺，找不到合適的人才，也難以引進新IT技術，進一步阻礙了凱基證券的發展腳步。 為了解決這個問題，凱基證券決定汰換核心系統，打造全新的證券核心系統，甚至黃榮林一開始就決定採用容器技術和微服務架構展開核心系統轉型，逐步取代現有的大型主機架構。 「證券業核心若不轉變，可能面臨市場淘汰的威脅，唯有率先行動，比同業更快的速度推出服務和新功能，方能保有未來核心的競爭力。」黃榮林說。 <img alt="" src="https://s4.itho.me/sites/default/files/images/1170-CXO%E6%8A%BD%E8%A8%80-PNG.png" style="width: 600px;" /> 用容器技術和微服務打造新一代證券核心系統 為何新核心系統需要採用容器化微服務架構？黃榮林以搭火車來比喻，就像搭車時，如果途中要停很多站點，速度就不容易快，但如果換成直達車，例如從臺北開往高雄，只在中途的臺中停靠，這樣的方式就會更迅速。因此，他強調：「新系統的速度要比原來的大型主機快50％，容器和微服務是實現這目標的最佳選擇。」 他進一步說明，傳統系統設計都是單體式設計，當要改台股的交易系統，可能就會牽扯到基金、複委託平臺等方面。如果希望在App中新增股票交易的功能，也可能牽涉到很多相關連的元素也要跟著調整，每次修改都需要整體測試，而在過程中容易發生問題，例如修改A影響到B。 他指出，在微服務架構下，系統被拆解成更小的功能模組，一旦有新的業務要推出，可以使用最小單元進行應用組合，進而提升開發速度，相較於傳統的架構更具敏捷與彈性。 新系統因為採用雲原生架構設計，意謂著以後它不僅可以在公雲上進行遷移，同時也能與目前業界中廣泛應用的現代IT技術接軌。即使在交易所未來開放上雲時，凱基證券可以更快速地應對，進而保持競爭力。 凱基證券自2023年開始展開核心系統轉型推動計畫，規畫逐步拆分大型主機系統的功能，轉向容器化微服務架構，並優先完成帳務中台的架構轉換。 黃榮林期望透過系統核心的轉型，能夠大幅改善開發速度、縮短服務推出（time-to-market)的時間，更訂下減半50％的目標。 「在臺灣，至今尚未有任何一家證券業採用快速開發的Cloud Ready概念來打造新核心系統。我們的目標是在未來五年內實現核心轉型。」他說道。 目前凱基證券核心大型主機包含多套系統，之後不會全部系統轉為容器架構。他指出，有的系統分拆後會單獨存在，並會透過拆模組方式重組，其中交易模組會先轉換為新架構，接著是其他周邊的模組，針對所有系統都會使用的共用模組，例如監控、認證、訊息溝通等，則會建立一套，其他系統都可以用。 雖然微服務架構具有許多優點，但也存在著一些先天的限制。他舉例，每支微服務呼叫可能需要接近微秒，因此，對於需要低延遲的模組，特別是那些會影響下單的模組，就不會將其納入微服務架構中，比如主機連線的模組。至於其他不影響下單流程的功能模組，則會儘量使用微服務架構，以提升開發速度與系統靈活度。 他表示，這樣的架構設計能夠在保證速度要求的情況下，最大化微服務的運用，從而提高整體系統的效能。 凱基證券不僅僅要翻新IT架構朝向現代化IT轉型，就連開發方法也跟著一起轉變。 凱基證券的軟體開發方法，在2022年開始採用現代化架構常用的DevOps敏捷開發做法，來逐步取代傳統的瀑布式開發方式，以縮短程式開發與迭代周期，讓應用服務能更快上線。 除了翻新IT架構和採用新的開發方法，凱基證券近幾年也採用了不少數位科技工具，來優化內外服務或提高作業效率。例如，凱基證券自2020年開始導入RPA機器人流程自動化服務，迄今已累積超過100支RPA，運用在IT、人事、財管、法務、交結等不同業務，協助處理具有重複性高、固定規則的人工作業，而且不僅僅在臺灣，還擴展至海外據點，實現至少70～80％人力成本的節省。 迄今已累積超過百支RPA，涵蓋IT、人事、財管、法務及交結等 以RPA在IT部門的應用來舉例，過去在非AD環境下，遇到新員工加入、員工離職或者職務調動時，資訊人員往往需要耗費大量時間來處理ID帳號的新增、移除以及重新指派授權等工作，後來他們將這項繁瑣工作交由自動化的RPA處理，使得人力成本節省了90%。 除此之外，凱基證券也持續翻新系統，例如自2020年起，他們針對OA、人資、財會、採購等系統進行汰換，改用新系統來取代，以提升作業效率與優化流程。此外，凱基證券已將地端OA系統搬上公雲，提供內部郵件收發、資料備份和團隊遠端協作的使用。 靠建置ITOM平臺，能即時監測證券網路、服務和基礎設施運作 為了提高整體IT維運與管理效率，凱基證券後來還建置了一套IT維運管理平臺（ITOM），可以將證券網路、服務和基礎設施的維運資訊整合到一個大型螢幕牆中來查看，協助IT人員進行維運與監控。這套系統在2022年上線後，像在證券網路監控方面，使得人員透過ITOM平臺內建的儀表板，可以即時查看凱基證券在亞太區所有連線狀況，包含臺灣72個據點和海外4個國家。一旦偵測到連線異常時，系統會立即發出警示，通知相應負責人員進行處理。 凱基證券這些年在AI應用也有不少投入，例如2021年推出智能客服，能夠回答客戶在證券方面的問題，提供即時且準確的解答。凱基證券現在進一步整合AI技術，使智能客服的回應能夠不斷進化，變得越來越聰明。 凱基證券內部已經開始利用生成式AI技術協助進行中英內容的翻譯，並計畫未來擴展至問答服務，包括協助營業員回答有關交結進度、買賣權證手續費率、稅率等問題。不僅如此，凱基證券還計畫在客戶服務和產品開發運用AI技術，其中包括AI理財服務。 CIO小檔案 凱基證券亞太區資訊長黃榮林 學歷：大同大學通訊工程碩士 經歷：在富邦從事IT長達27年，曾擔任富邦銀行技術支援部長、富邦金控系統支援處處長、富邦銀行資訊營管部長等多項職務。2018年從富邦退休後，隨後加入凱基證券擔任亞太區資訊長一職，開始推動以快、穩、準、安全與創新，作為IT未來科技發展主軸 公司檔案 凱基證券 成立時間：1988年 地址：臺北市明水路700號 網址：<a href="http://www.kgi.com.tw">www.kgi.com.tw</a> 主要業務：提供證券、期貨交易輔助業務、期貨自營業務、財富管理業務、國際證券業務及其他經主管機關核准之相關業務 員工數：3千多人 董事長：許道義 總經理：方維昌 營收：約138億元（2022年） 資訊部門檔案 資訊部門主管職稱：亞太區資訊長 資訊部門主管姓名：黃榮林 IT大事記 ●2020年：導入RPA流程自動化、開始逐步汰換OA、人資、財會、採購等舊有的系統，改用新系統 ●2021年：智能客服推出上線 ●2022年：自行建置一套IT維運管理平臺ITOM，可用於證券網路、服務和基礎設施的維運與監控、在軟體開發流程中開始導入DevOps做法 ●2023年：開始利用容器和微服務展開核心系統的轉型，打造全新的證券系統，逐步取代現有的大型主機架構 </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1170-cio-960.jpg" width="960" height="420" alt="" title="凱基證券亞太區資訊長黃榮林　（攝影／洪政偉）" /></div></div></div>
2024/2/21 16:51作者余至浩https://www.ithome.com.tw/people/161394
資安院接手TWCERT/CC業務，民間企業資安事件通報從8x5改為24x7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 國家資通安全研究院（簡稱資安院）於今年元旦，正式接手TWCERT/CC的業務，資安院副院長兼發言人吳啟文表示，資安院原先已經承接原技服中心，針對《資安法》列管的政府機關和關鍵基礎設施的資安通報，以及應變作業，自接手TWCERT/CC業務後，所有不是《資安法》納管的非公務機關，都可以依循原有TWCERT/CC資安事件通報管道通報資安事件。 但通報的時間，吳啟文說，從原本僅限上班時間才能通報的8x5，進一步提升，成為全天候都有人值班的24x7通報方式，因為資安院原先就有24小時值班的SOC（資安監控中心），可以同步接手TWCERT/CC民間企業下班時間後發生的資安事件通報作業。 吳啟文指出，剛開始接手TWCERT/CC業務的最高原則，就是要做到「服務不中斷、品質再提升」，除了要維持原有系統的穩定，也會盤點和觀察如何進一步優化既有系統。 不過，他也坦言，因為非公務機關的資安事件通報沒有法源依據，因此現階段的資安事件通報並不具強制力，所以，即便不受《資安法》納管的非公務機關（民間企業）可做到全天候都能通報資安事件，但要真正做到實質提升非公務機關協處資安事件能力，仍是未來要繼續努力的目標。 <h2>TWCERT/CC關鍵在於協調，不妨礙依需求成立不同的CERT</h2> TWCERT/CC全名是臺灣電腦網路危機處理暨協調中心（Taiwan Computer Emergency Response Team / Coordination Center），最早於1998年9月在中山大學成立，2000年1月由臺灣網路資訊中心（TWNIC）接手維運；國家中山科學研究院則在2014年8月承接TWCERT/CC相關業務；臺灣網路資訊中心（TWNIC）於2019年1月二度接手相關的維運服務；資安院則在數位部希望能夠統籌重要資安業務的指導下，2024年1月接手TWCERT/CC的營運業務。 TWCERT/CC服務範疇包括：情資交流、事件應變、國際合作和意識提升，關鍵字就是協調（Coordination），而CERT/CC是全球性的組織，每個國家都只會有一個協調中心（CERT/CC）的存在，負責和其他國際資安組織互動、協調與進行情資分享等業務，但各國仍會依據需求，設立其他不同性質的CERT。 舉例而言，負責政府機關資安事件應變處理的TWNCERT（國家電腦事件處理中心）原先由技服中心承接，現在業務已經轉移到資安院之後，則不具備協調中心的CC功能，但因為該單位主要負責政府和關鍵基礎設施的資安事件緊急通報，以及應變處理，便成立TWNCERT處理相關事宜。 另外，國家通訊傳播委員會（NCC）成立的NCC-CERT，負責強化通傳事業辦理資安事件通報應變的組織，現在正式名稱為「國家通訊暨網際安全中心（National Communications and Cyber Security Center，NCCSC）」，也建置網路運作管理平臺（C-NOC）、資安監控平臺（C-SOC）、資安通報應變平臺（C-CERT）及資訊分析與分享平臺（C-ISAC），再以自動化銜接方式將該等平臺納入NCCSC，以整體掌握及處理通傳事業設施障礙及資安事件。 <h2>民間企業通報資安事件，TWCERT/CC扮演第二線角色</h2> 資安院承接前技服中心處理公務機關的資安事件通報應變處理的業務，多年下來，已經累積相當豐富的經驗，不管是從事前偵測、事中鑑識以及事後分析，都已經具備完整的技術量能。 吳啟文表示，資安院新承接的TWCERT/CC業務，則是將既有的服務範圍，從原本的公務機關與關鍵基礎設施，進一步擴展到民間企業的資安事件通報，而對於TWCERT/CC而言，有些原本的業務將與資安院業務銜接，並視業務量能增聘人員，民間資安事件通報協處的部分，也會新增一個事件協調組負責。 此時，TWCERT/CC便可以扮演公務機關與民間企業的橋樑，從公務機關供應鏈攻擊的資安事件過程中，主動掌握民間企業受駭的事證；相對地，也可以從協助民間企業進行資安事件應處和分析的過程中，將所掌握的資安情資，回饋到公務機關的資安平臺上，作為資安事件的偵測和防護之用。他認為，透過這種公私協力的合作方式，也可以強化雙邊資安防護能力。 但吳啟文強調，資安院是數位發展部所屬的行政法人，所有的預算都來自政府，也承接政府的專案，為了避免與民爭利，受駭企業除了向警調機關報案，也可以同時向TWCERT/CC通報資安事件，但過程中TWCERT/CC不會在第一線直接協助受駭企業，進行相關的資安鑑識或事件分析，這部分工作仍由一般民間資安公司協助處理。 <h2>以技術專業協助企業判別資安蟑螂</h2> 但他說，TWCERT/CC還是會以技術輔導的專業角度，扮演第二線支援的角色，協助受駭企業判斷，確認與其合作的資安公司是否已找到被入侵的根因，另一方面，也可以協助受駭企業評估，了解資安公司建議的應變措施是否切實有效等等。 吳啟文強調，許多企業發生資安事件時，除非原先就有配合的資安業者，不然，在面對、處理資安事件的當下，經常是心慌意亂、不知所措，這時候就可能會遇到許多「資安蟑螂」。 他表示，這些資安蟑螂可能是低價搶生意，卻無法提供真正的資安鑑識與資安分析等服務；也可能價格看似合理，但提供的資安服務並不到位，並無法協助企業找出入侵的根因，甚至連建議的因應措施都流於片面，不適用該受駭企業。 因此，吳啟文認為，此時TWCERT/CC扮演的第二線支援角色，就可以從技術專業的角度，協助受駭企業檢視，了解資安廠商提供的資安鑑識報告內容是否完整，也可以幫忙評估，確認資安廠商建議的因應措施是否切實、可行等等。 在此同時，他說，TWCERT/CC會以綜整分析的角度，掌握該起企業受駭資安事件的處理情形，並蒐集相關的重要跡證，例如惡意程式樣本或是IoC（Indicators of Compromise，入侵威脅指標）等，並能分析各個跡證之間的關聯性，判斷該起資安事件是否有針對特定對象或使用特定的攻擊手法的趨勢，若有，就可以將相關的分析結果進一步轉換成資安情資，公告周知，甚至可以進一步提供該攻擊手法的資安預警。 <h2>TWCERT/CC知名度不足是最大挑戰</h2> 吳啟文表示，接手TWCERT/CC時，已針對他們的網站、資安情資分享的TW-ISAC，以及提供惡意程式檢測服務的Virus Check等三套對外提供服務的系統，完成內部檢測、移交以及持續維運的動作；至於內部系統包括：電子報服務系統、情資分享平臺的工單系統，和查詢網域和IP的Whois查詢平臺，在完成移交後，也進行相關的檢測與盤點。 他說，資安院檢視TWCERT/CC內外部的系統，也已經規畫TW-ISAC及Virus Check的升級改版進度，其中，針對惡意程式檢測的Virus Check平臺，由於自建沙箱檢測機制，可藉此掌握民間企業組織的受駭趨勢。 資安院原本在協助政府和關鍵基礎設施資安事件通報應處時，也難免遇到一些個資外洩的事件，當接手TWCERT/CC業務並將通報範疇擴及民間企業時，吳啟文表示，TWCERT/CC雖然不提供第一線服務，但會依據國發會「防止非公務機關個資外洩精進措施」，訂定非公務機關個資相關系統防護參考基準，作為針對個資外洩的強化技術面的檢查參考依據。 由於CERT/CC是全球性的組織，所以，吳啟文表示，TWCERT/CC的重要任務之一就是參與國際資安組織的活動，掌握全球資安最新發展趨勢，維持並擴展資安情資的交流管道，接軌國際資安資訊共享與分析交流平臺，加強國內資安事件通報應變作業。 例如，資安業界熟知的CVE漏洞編號，是由美國非營利組織MITRE負責維運，但這個漏洞編號除了MITRE可以制定，MITRE也授權一些國家級CERT或企業，可以指派相關的CVE漏洞編號，TWCERT/CC則是MITRE授權的CAN（CVE numbering authority）成員。 吳啟文指出，持續針對臺灣ICT產品的漏洞，提供可信賴的漏洞通報管道，並繼續維持CVE漏洞發布品質為最高品質Provider等級，也是TWCERT/CC未來繼續努力的目標。 然而，他也提到，目前TWCERT/CC最大的挑戰在於知名度不足。無論資安事件通報應變協處或漏洞通報等等，對多數民間企業甚至一般民眾而言，TWCERT/CC相對缺乏公信力，以及互信程度。 因此，他說，未來TWCERT/CC將善用資安院長期對公務機關的資安防護經驗，協同金管會、證交所等單位擴大舉辦資安推廣活動，也提供資安教育訓練，提升企業聯盟會員的資安防護意識，並且透過交流活動，吸引更多企業加入及合作。 <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/2/21 16:58作者黃彥棻https://www.ithome.com.tw/news/161395
中醫大附醫揭露MedLM應用新進展，瞄準AI護理輔助3場景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 中醫大附醫今日（2/21）揭露使用Google MedLM醫療生成式AI系列模型最新進展，用來打造AI輔助護理師應用，並在現場展示3種初期應用情境，比如判斷傷口照片、產出護理文字描述與建議，以及判讀病人表情、評估疼痛指數並產出文字說明，還有一種是協助護理師分析病人飲食，如根據食物照片和文字指令，來分析食物組成與熱量等。除了這3種情境，中醫大附醫還正嘗試其他應用領域，如判斷患者手術傷口、體液等，來產出文字報告和建議，同時，他們也計畫優化醫院醫療資訊系統（HIS），來整合純文字記錄與照片，便於護理師交班、快速理解病人狀況。 探索Google MedLM應用潛力，這次要減輕護理師工作負荷 Google MedLM是指醫療領域專用的多模態基礎模型服務，不只有Med PaLM 2大模型驅動，還包含最新的多模態模型Gemini，可處理一系列醫學相關的文字、影像和聲音等資訊，比如根據醫學影像產出文字報告，或進行重點摘要等。MedLM提供2種方案，一是較大的MedLM模型，可處理複雜的任務，另一是中等模型，可讓使用者用自己的資料微調，以便在不同任務間擴展。 去年中，中醫大附醫副院長李光申赴美國Google總部參訪時，就決定展開合作，要讓醫院使用MedLM、優化臨床工作流程。去年12月，中醫大附醫揭露Google MedLM第一波應用方向，要打造AI輔助醫師，來協助醫護診斷疾病、規畫治療方案、病患教育和醫學教育研究等。 今日，中醫大附醫進一步揭露另一大MedLM應用方向，鎖定繁重的護理師工作，打造AI輔助護理師。MedLM是多模態模型，可處理影像、文字、聲音等資訊，中醫大附醫人工智慧中心副主任王韋竣解釋，MedLM應用於護理領域有幾項優勢，比如系統可分析病人或傷口照片，並生成初步評估，來提供護理師更全面的描述。同理，MedLM也能用來補足因工作負荷而未能詳盡記錄的案例，此外還能根據圖片自動產生護理記錄，來減少護理師手動輸入的時間。 他以展示的應用情境為例，當護理師進行床邊照護時，可用手機拍攝患者狀況，如患者壓瘡傷口，上傳照片至「AI輔助護理師」並下文字指令（像是評估壓瘡分級、描述壓瘡外觀、給予照護建議和衛教建議等），MedLM會分析傷口、給出回覆，如三級壓瘡、外觀為皮膚完整性喪失等，以及護理師照護和患者衛教建議。（如下圖） <blockquote><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8323.JPG" /> 圖為傷口照片，右側上方則為文字指令。 </blockquote> <blockquote><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8324.JPG" /> 將上圖照片和文字指令輸入AI輔助護理師後，即可得到相對應的回答。 </blockquote> 另一種圖片分析情境，是由護理師拍攝疼痛患者臉部照片，上傳至AI輔助護理師後下文字指令（如根據頭痛患者表情評估疼痛指數並描述表情，接著給予照護建議和衛教資訊），系統便會產出相應的答案。（如下圖） <blockquote><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8321.JPG" /> 護理師可拍攝痛疼患者表情，並上傳至AI輔助護理師，以文字指令詢問疼痛指數評估與建議。 </blockquote> <blockquote><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8322.JPG" /> AI輔助護理師可分析圖片和文字指令，產出相對應的回答。 </blockquote> 還有一種情境是分析病人飲食，在拍攝便當照片、上傳後，可下「這份餐點有296克，分析食物組成並估算熱量」的文字指令，MedLM便會產出相應答案，如食物組成可給出「雞胸肉100公克、紫米飯100公克、水煮蛋50公克、花椰菜20公克等」，熱量估算部分則能根據公克數回覆，如「雞胸肉100公克x165大卡/100公克=165大卡、水煮蛋50公克x78大卡/100公克=39大卡」。 <blockquote><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_8327.JPG" /> AI輔助護理師還可分析飲食，包括食物組成與熱量估算（未拍攝到此部分）。 </blockquote> 持續探索其他護理領域應用場景，還要優化HIS 目前，中醫大附醫採用MedLM服務中的大模型版本，先來探索不同應用場景與成效，也因此還未使用自家資料來微調模型，這些應用情境也還在初期嘗試階段。王韋竣表示，目前MedLM護理應用的準確率還在可接受範圍，接下來將繼續優化並嘗試其他護理場景的應用可能，如判斷病人痰液等體液照片、手術傷口照片，或是兒童糞便照片等，並產出相對應的文字描述供護理人員參考。 他也提到，中醫大附醫正在思考如何整合HIS，來讓病歷系統包含圖文資料。因為，過去病歷記錄系統是將文字與圖片分開，等於一套系統是文字記錄、另一套系統記錄影像，於是護理師查看時，多以文字記錄為主。而MedLM應用包含圖文，「若能整合圖片和文字資料、同時顯示，對護理師交班的資訊掌握就更清楚，也更客觀，」王韋竣說。  </div></div></div>
2024/2/21 15:35作者王若樸https://www.ithome.com.tw/news/161390
使用Signal傳訊程式終於可以不用秀出電話號碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 端對端加密傳訊程式<a href="https://signal.org/blog/phone-number-privacy-usernames/" target="_blank">Signal周二（2/20）宣布</a>，將以使用者名稱（Username）取代電話號碼，作為用戶展開與對方聯繫的途徑，且除了原本就在通訊錄上存有用戶電話號碼的使用者之外，其預設值已不再秀出電話號碼。 創立於2014年的Signal是個強調安全及隱私的傳訊程式，支援文字、語音及視訊通訊，所有的通訊都採用端對端加密，在當時是罕見的，而受到許多注重隱私的使用者青睞。 不過，Signal最為人所詬病的一件事就是它對電話號碼的堅持。它利用電話號碼來當作使用者的身分識別，註冊時也必須使用電話號碼進行身分驗證，因此，利用Signal交流的用戶都會得知彼此的電話號碼。 本周Signal終於變更了此一政策，儘管註冊時仍需透過電話號碼來收取驗證碼，但允許用戶建立一個獨特的使用者名稱來發起對話，用戶只要生成一個QR碼或連結，讓對方連至使用者名稱，雙方就能展開交流。 Signal的使用者名稱與一般社交網站的概念並不相同，其功能僅限於用來建立連結，Signal用戶可以隨時變更使用者名稱，且Signal並不提供使用者名稱的搜尋功能。此外，該使用者名稱亦與Signal個人檔案名稱不同，用戶的個人檔案並不會出現使用者名稱。 除了以使用者名稱來取代電話號碼以發起對話之外，Signal也加強了對電話號碼的保護。包括其預設值關閉了電話號碼的顯示功能，除非對方的通訊錄上原本就存有用戶電話，另也讓用戶得以控制是否允許他人透過電話號碼，在Signal上找到他。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0221-Signal%20usernames-phone%20number%20private-960.jpg" style="width: 600px;" /> 現階段上述功能皆仍處於測試階段，預計未來幾周便會部署至所有用戶。 </div></div></div>
2024/2/21 15:36作者陳曉莉https://www.ithome.com.tw/news/161391
日本警方釋出Lockbit 3.0勒索軟體解密工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Lockbit 3.0勒索軟體受害者能自救了！近日英國國家犯罪局（NCA）發起一項打擊該組織的網路犯罪行動，並在歐洲刑警組織（Europol）負責居中協調下，與法國、德國、荷蘭、瑞典、澳洲、加拿大、日本、美國、瑞士執法單位，<a href="https://www.ithome.com.tw/news/161379">聯手摧毀勒索軟體LockBit的基礎設施，扣押其外洩網站，凍結與該組織犯罪相關的加密或幣帳戶</a>，引發國際與資安界的關注。 這次行動之所以備受關注，是因為LockBit已是全球在2022年與2023年最活躍的勒索軟體集團。尤其2023年多國網路安全機構的一份共同報告中，即指出全球受害組織超過1,600多個，不法所得超過9千萬美元。臺灣也有不少企業遭其所害，例如，去年的台積電供應商擎昊科技，最近的半導體設備大廠京鼎精密等多家上市櫃與非上市櫃公司。 特別的是，全球警方宣布攻陷LockBit時，提到未來幾天或幾周會有解密工具釋出，今天（21日）我們發現，在打擊勒索軟體網路犯罪的No More Ransom計畫網站上，已有日本警方提供Lockbit 3.0 Ransom解密工具，可以幫助受害者恢復被加密的資料。 關於Lockbit 3.0 Ransom解密工具的提供，據日本媒體日經報導，日本警方在20日正式宣布推出這款解密工具，並表示在他們逆向工程破解之下，去年12月時就已經提供給歐洲刑警組織，當時已證明解密工具有效。只是，通常解密工具的開發不會公開，因為這可能讓攻擊者採取新的對策，如今則在國際執法行動聯合下，已成功接管勒索軟體LockBit的基礎設施，因此日本警方決定將解密工具公開。 而我們<a href="https://www.nomoreransom.org/en/decryption-tools.html#Lockbit30">在No More Ransom上</a>，也看到Lockbit 3.0 Ransom解密工具的使用指南，目前是0.5版，說明了用戶在下載檔案（Decryption_Checker_for_LockBit.zip）後，當中包含了兩個工具，可用於評估受害者能否解密與復原資料。而他們也坦承，已經盡了最大之力，但仍無法保證能夠幫助所有受害者。 簡單來說，第一個工具是解密ID檢查器（Decryption ID checker），這個工具會將受害用戶的特定解密ID，跟執法機構已知的解密金鑰列表做比對。一旦找到相符的金鑰，就表示受害用戶的情況可能有解密的解決方案，接著將可依照收到的指引來操作， 第二個工具是LockBit 3.0的解密檢查器（Check Decrypt for LockBit 3.0），這個工具會收集有關解密的診斷資料，幫助用戶判斷是否有可能解密一部分被加密的檔案。 目前我們看到這兩個工具都是命令列工具，指南中也提到這兩個工具無須安裝，可在離線環境中使用。不過，依照過往經驗而言，若是要讓普遍受害者下載後都能自行使用，No More Ransom平臺通常會要求提供圖形使用者介面（GUI）版本的解密工具，或許這也是解密工具使用指南還是0.5版的原因。 <a href="https://s4.itho.me/sites/default/files/images/（網站圖3）Lockbit 3_0 Ransom解密工具.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%963%EF%BC%89Lockbit%203_0%20Ransom%E8%A7%A3%E5%AF%86%E5%B7%A5%E5%85%B7.jpg" style="width: 600px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（網站圖1）Lockbit 3_0 Ransom解密工具.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89Lockbit%203_0%20Ransom%E8%A7%A3%E5%AF%86%E5%B7%A5%E5%85%B7.jpg" style="width: 600px;" /></a> </div></div></div>
2024/2/21 12:09作者羅正漢https://www.ithome.com.tw/news/161386
Adobe為PDF軟體加入AI助理，可製作摘要、也支援Word、PowerPoint
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Adobe本周<a href="https://news.adobe.com/news/news-details/2024/Adobe-Brings-Conversational-AI-to-Trillions-of-PDFs-with-the-New-AI-Assistant-in-Reader-and-Acrobat/default.aspx" target="_blank">宣布</a>公測為PDF讀取與編輯軟體Reader、Acrobat加入AI助理，可讓用戶更容易讀取、理解和分享PDF文件或簡報。 Adobe最新計畫是為Acrobat、Reader加入生成式AI對話引擎AI助理（AI Assistant），目前已釋出beta版。整合進二項應用程式工作流程（workflow）的AI助理，可為使用者產生長篇文件的重點摘要、提供洞見、回答用戶提問。AI助理並能自動整理出重點，並草擬電子郵件、設計報告或簡報的排版、語調、濃縮文件長度，便於分享給他人。用戶按下「複製」鍵即可貼到電子郵件或簡報中。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0221-Adobe%20Reader%20Acrobat-AI%20Assistant-2.png" style="width: 600px;" /> 在Acrobat/Reader中的AI助理是使用早前推出的手機版PDF生成式AI助理Acrobat Liquid Mode相同的AI及機器學習模型。這些模型對PDF文件和內容有深度理解能力，可確保AI助理輸出品質和穩定性。 除了摘錄重點及草擬電子郵件、報告及簡報格式外，AI助理其他功能包括智慧引述，方便用戶點入驗證AI助理提供的答案來源，而重點也提供連結，讓用戶可在文件中找到原始段落。Adobe也強調所有用戶對話都不會儲存，或未經用戶同意而用於訓練AI助理的模型。此外，在其他文件類型，例如Word、PowerPoint、會議聽寫紀錄中也能使用AI助理。 整合AI助理的Acrobat/Reader標準及Pro Individual版，及Teams版訂閱方案已以英語Beta版上線，供桌機版及Web版用戶及Acrobat Pro測試人員下載試用，也提供企業用戶不公開測試版。Adobe表示未來幾天到幾星期還會為英文桌機版Reader App加入新功能，其他語言版本則會於之後推出。 今天的宣布是Adobe PDF應用生成式AI方案的一環。除了免費的AI助理功能，用戶也可訂閱付費方案，可在AI助理日後正式版上線後，使用完整AI功能。Adobe計畫未來AI助理可支援多種文件型態、來源。 在此之前，去年Adobe也宣布其他AI產品，包括圖片生成式AI工具Firefly及影片生成工具Adobe Express。 </div></div></div>
2024/2/21 12:36作者林妍溱https://www.ithome.com.tw/news/161387
Groq以LPU推論引擎提供全球最快LLM服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 2016年便創立的Groq在這幾天成為全球AI社群最關注的話題，X上開始出現以Groq LPU推論引擎來執行大型語言模型（LLM）的展示，顯示它的執行速度飛快，更有不少人將Groq與ChatGPT作比較，在兩個機器人聊天室中<a href="https://twitter.com/JosttenSackitey/status/1759708283609530857" target="_blank">輸入同樣的提示</a>，ChatGPT花了60秒生成了答案，Groq卻只花了12秒。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0221-GroqInc_ChatGPT_image%20by%20Jostten%20on%20X.png" style="width: 600px;" /> 不過，Groq主要開發的並非聊天機器人或模型，而是語言處理單元（Language Processing Unit，LPU）推論引擎（LPU Inference Engine）。 Groq於<a href="https://wow.groq.com/why-groq/" target="_blank">官網上</a>闡明，該公司的任務是設立生成式AI（GenAI）推論速度的標準，以實現生活上的即時AI應用，所開發的LPU推論引擎為一新型態的端對端處理單元系統，可替諸如AI語言應用等具順序元件的運算密集應用提供全球最快的推論服務。 現代的AI系統多半是在GPU上執行，而LPU的設計是為了克服LLM在運算密度與記憶體頻寬上的兩大瓶頸，就LLM而言，其運算能力大過CPU與GPU。 Intuitive Machines共同創辦人暨架構長<a href="https://twitter.com/IntuitMachine/status/1759941976927924682" target="_blank">Carlos Perez指出</a>，在新一代的AI晶片新創公司中，Groq以一種完全不同的方法脫穎而出，聚焦於利用編譯器技術來最佳化極簡而高效能的架構，此一以編譯器為優先的設計避開了複雜性，轉而追求效率。 Perez說明，Groq架構的核心是個單純支援平行吞吐量的裸機，如同一個專為機器學習設計的ASIC，但有別於只具備固定功能的ASIC，Groq可利用客製化的編譯器來支援不同的模型，流線型架構再加上智慧型編譯器令它與眾不同。 相較於像是GPU等利用許多元件堆疊而成的AI晶片，可能含有無關的硬體或顯得臃腫，Groq則回歸基本原則，意識到機器學習的工作負載是關於簡單的資料類型及操作，藉由消除通用硬體或局部性等概念，最大化其吞吐量與效能。 LPU Inference Engine在推論上究竟有多快？可以從AI應用平臺<a href="https://github.com/ray-project/llmperf-leaderboard" target="_blank">Anyscale對8款不同LLM推論供應商的測試中</a>（下圖）看到，在基於700億參數的模型上，Anyscale於各推論平臺上輸入了150個請求，同時計算它們每秒所回應的Token數量，而Groq的LPU推論引擎吞吐量即以185個Token，遠遠領先第二名Anyscale的66個Token。 <a href="http://github.com/ray-project/llmperf-leaderboard" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-LLMPerf%20Leaderboard-ray-project-GitHub-70B%20Models-Output%20Tokens%20Throughput%20(tokens%EF%BC%8Fs).jpg" style="width: 600px;" /></a> 現階段Groq支援標準的機器學習框架，包括PyTorch、TensorFlow及ONNX等，但僅用於推論，LPU推論引擎並不支援機器學習訓練。Groq歡迎硬體供應商、軟體供應商、雲端服務供應商或AI加值服務開發商尋求合作，也提供Groq API與Groq Compiler來執行LLM應用，使用者則可直接造訪<a href="https://groq.com/" target="_blank">Groq官網</a>來試用其推論能力，目前官網上使用的模型為Llama 2與Mixtral。 </div></div></div>
2024/2/21 13:20作者陳曉莉https://www.ithome.com.tw/news/161388
DevOps快報第2期：React今年推出19新版，jQuery揭露8年大改版，Go終於解決新手最困擾的迴圈問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 2024/1/19～2/20 精選開發相關新聞：開發技術與工具篇 第二期DevOps主要聚焦在開發技術和開發工具的更新，在2024年初有不少開發工具、開發框架和開發語言的更新，老牌jQuery終於出現8年後的大改版，推出了4.0的beta版，2年沒有大改版的React也預告今年會推出下一個重大新版19。Go語言則終於修正了讓許多新手困擾的For迴圈老問題。微軟.NET在第9版也將持續聚焦雲原生、AI支援和效能三大重點來優化，VS Code開始支援語音指令，Visual Studio則要更緊密整合GitHub Copilot，一邊寫程式碼，隔行也能直接輸入Copilot提問。網頁開發者愛用的SQLite也全面改寫了JSON函數，開始支援JSONB格式 #JavaScript #前端開發框架 #React React計畫今年底前釋出19新版，Instagram用的React編譯器會先開源釋出 經過2年，React社群準備在今年釋出19新版，最近也在React官網上公布了目前正在開發中的新功能，包括了先前處於研究階段的新版React Compiler，開發團隊準備要將這個功能納入到React的正式功能。目前這個編譯器已經用於Instagram的正式環境上，React計畫運用到Meta其他更多服務和產品上，目前正準備釋出第一個React Compiler的開源版本。這個React編譯器可以套用需要的JavaScript規則和React規則更安全地編譯程式碼，這些規則可以用來限制開發者所能做的事，來兼顧程式碼的安全性和效能。有多項新功能進入候選發布通路中，包括了文件後設資料、資產載入、Actions功能。 另外，React也宣布今年將正式推出下一個重要的版本React 19，例如Web Components。React核心開發成員Andrew Clark也透露多項新版的變動和功能，例如useMemo、useCallback和memo會整合到React編譯器中，useContext會改為use(Contect）、<Context.Provider>會改為<Context>等。 <img alt="" src="https://s4.itho.me/sites/default/files/images/React%E6%96%B0%E7%89%88%E5%AE%A3%E5%B8%83.png" /> #網頁開發 #jQuery #IE瀏覽器棄用 相隔8年，jQuery終於再次大改版推出4.0，更預告5.0將取消IE 11支援 距離上次大改版已經過了8年，知名JavaScript函式庫終於在2024年迎來jQuery 4.0.0 Beta版本，上一次大改版是在2016年發布的3.0正式版。jQuery 4.0.0有許多重大更改，包括取消IE 10以前的支援，並且刪除已棄用的API，以及放棄支援一些過於複雜行為。同時，還新增支援可信類別（Trusted Type），強化安全性防禦跨站腳本（XSS）攻擊。 jQuery 4.0刪除了許多內部函式，或是已經在瀏覽器中具有原生等效功能的函式，諸如jQuery.trim()、jQuery.isArray()與jQuery.isFunction()等13個。還移除了內部使用的陣列方法如push、sort和splice方法，直接改使用陣列函式，可以讓jQuery更符合現代JavaScript標準和最佳實踐，也讓函式庫更加精簡。 4.0版處理焦點事件的順序也有變化，不再覆蓋瀏覽器原生行為，除了IE之外，所有瀏覽器都會遵循當前W3C規範，順序為blur、focusout、focus和focusin。jQuery.ajax新增對二進位資料FormData的支援。開發者可以在使用jQuery.ajax進行網路請求時，直接傳送表單資料和其他二進位檔案，不需要進行額外的處理和轉換。 jQuery 4.0加入了對可信類別的支援，而這是一個重要的安全性強化功能，另外也改進對內容安全政策（CSP）的支援。開發者也可以使用官方發布的jQuery Migrate外掛工具，辨識程式碼相容性問題。jQuery 4.0提供了精簡版本，藉由移除非同步程式開發機制Deferreds和回呼列表管理功能Callbacks，使體積現在小於20 KB。 不只發布了4.0 beta版，官方還宣布了5.0的開發計畫，從4.0開始分階段，取消對IE的支援，4.0不再支援IE 10以及更早版本，5.0則將進一步取消對IE 11的支援。 #雲原生開發 #AI支援 #.NET框架 .NET 9預覽版來了，雲原生、AI支援和效能是三大改進重點 3個月前，微軟才發布.NET 8，隨即在2月中公布了.NET 9預覽版。.NET 9仍聚聚焦三大發展重點，效能提升、雲原生與AI開發的支援。微軟也同步改進Visual Studio、VS Code和C#開發工具包，要讓.NET開發更為簡單，並且與Azure服務更好地整合，使開發者可以簡單部署.NET應用程式到雲端。 微軟持續從.NET技術堆疊各個層面，來強化.NET 9對雲原生應用基礎架構的改進，例如讓開發者更容易部署應用程式到常見的生產基礎設施和服務，例如Kubernetes環境或是使用託管資料庫和快取服務等。另外，.NET 9也持續改進微軟最新的程式碼編譯技術Native AOT來提高效能。另外，新版也將採用了支援Native AOT編譯的webapiaot模板最佳化Web API應用程式。 對人工智慧開發的支援上，新版將著重於讓開發者更容易使用新的人工智慧技術與OpenAI服務，會提供更多函式庫和文件，協助開發者使用OpenAI服務及其他開源模型，包括本地端與雲端模型的支援。 #新手困擾 #Go語言 Go終於修正老問題， 1.22解決for迴圈變數共享問題 在Go語言1.22新版中，解決了for迴圈中變數共享的問題，在之前的Go版本中，在for迴圈中啟動的goroutine如果直接使用迭代變數，可能會因為變數共享而出現非預期的結果。這是存在多年的老問題，也是Go新手編寫程式的時候常會遇到的陷阱，終於在Go 1.22版被解決了，迭代變數在每次迭代時都能被正確的捕獲，並在goroutine內部使用，減少開發者寫出臭蟲程式碼的可能性。新版增加了整數的範圍迭代支援，這是一個新的語言功能，讓固定次數的迭代操作更加直覺且方便。這兩個變更進一步改善了Go的安全性與易用性。 #RUST語言 #C++互通性 Google捐款100萬美元給Rust基金會，要改善C++與Rust互通性 因為大量Android元件和Google產品使用了Rust語言，最近Google捐了100萬美元給Rust基金會，指名要專門用來改善Rust程式碼與C++程式碼之間的互通性，尤其要用來改善老舊C++程式碼與Rust程式碼的互通。另外，Google也承諾要進一步改善Rust的稽核工具，會將Google許多開源專案用的程式碼稽核工具，發展到Rust語言的程式碼稽核上。 #網頁開發 #SQLite資料庫 #JSONB 網頁開發者愛用的SQLite關鍵更新，3.45新版全面改寫JSON函數支援JSONB格式 知名資料庫SQLite發布最新的3.45版本，JSON SQL函式有重大更新，重寫了所有得JSON函式，並且改用新的內部解析樹格式JSONB，JSONB格式可以序列化並儲存在資料庫中，避免在使用JSON值時，還需要進行不必要的重複解析，因此透過支援JSONB，SQLite在處理JSON資料能夠更高效靈活。 SONB能夠將JSON的解析樹，以BLOB二進位的形式儲存在磁碟上，且可以減少應用程式讀取和更新JSON值的解析和渲染開銷，比起JSON，JSONB使用更小的磁碟空間，在處理速度上更快。支援JSONB，也讓SQLite能更好地與其他二進位JSON格式系統整合。 #語音控制 #軟體開發 #VS Code 用講的也能寫程式，VS Code開始支援Hey Code語音指令 在VS Code的1.86版本有一個重大的功能更新，開發者可以使用Hey Code語音指令，開始與Copilot Chat進行語音對話。該功能隸屬於VS Code的無障礙功能，開始後可以讓VS Code監聽Hey Code語音指令以啟動語音對話。語音辨識只在電腦本地端運算，不會發送至任何伺服器，以確保開發者的隱私安全。可支援多種使用情境，chatInView選項允許開發者從聊天檢視頁面啟動語音聊天，方便地直接進行對話。而quickChat選項讓開發者可以透過快速聊天控制項，迅速與Copilot開始語音聊天，inlineChat則可以在編譯器的程式碼行內開始語音聊天。開發者要使用這項新功能，需要安裝GitHub Copilot Chat與VS Code Speech擴充套件。 <img alt="" src="https://s4.itho.me/sites/default/files/images/VSCode-%E8%AA%9E%E9%9F%B3%E6%8E%A7%E5%88%B6.png" /> #AI輔助軟體開發 #Github Copilot Visual Studio 17.10更緊密整合GitHub Copilot，能直接在一行行程式碼中與Copilot互動 微軟釋出Visual Studio 2022的17.10版第一個預覽版，更緊密整合最新GitHub Copilot，像是開發者可以使用斜線指令加速工作流程，替常見開發任務具體目標設定斜線指令，像是/explain可代表Explain the code等，讓開發者不需要編寫冗長的問題，就能獲得更精準的答案。此外，開發者可在Visual Studio進行行內聊天，直接於檔案中與Copilot互動並獲得建議，並即時查看差異。 微軟參考社群意見嘗試重新建構自訂體驗，在Visual Studio 17.10引入統一設定功能。從這個新版本開始，提供開發者更多自由和介面，來調整和配置開發環境設定。例如，讓用戶可以在全域層級進行設定，或是在更具體的層級進行自訂，像是特定解決方案和或是資料夾層級，使用戶能夠更細緻地控制不同專案的設定，並可依據每個專案的需求進行調整。另外在17.9版的第三個預覽版則持續強化程式碼搜尋功能，不只擴大了搜尋範圍，也強化文字支援，預設程式碼搜尋功能時啟用精確文字比對，搜尋範圍涵蓋之前所不會有的註解和區域變數，使得程式碼搜尋更加全面且高效。 <img alt="" src="https://s4.itho.me/sites/default/files/images/VS1710-Inline%20Chat.png" /> #Python套件 #Jupyter套件 VS Code兩大AI開發套件小更新，Jupyter擴充套件內建變數檢視器 微軟釋出了VS Code Python與Jupyter擴充套件2月更新，除了預設安裝Python除錯器擴充套件之外，Jupyter擴充套件也內建變數檢視器，在執行和除錯面板中，新增了一個實驗性變數檢視器，該內建變數檢視器可用於查看筆記本核心中的變數，協助開發者在程式碼執行時，監控程式中的變數，對於程式碼除錯特別好用，因為開發者可以即時監控變數的值。 Python語言伺服器擴充功能，是以微軟的Pyright靜態型別檢查器為基礎建置，提供了一系列強化Python程式開發體驗的功能，這次更新也引入新的診斷規則，可以進一步最佳化程式碼品質。 #次世代網頁IDE #行動平臺模擬器 Web開發工具Project IDX新增Android與iOS模擬器，更方便打造跨平臺應用 Google近日更新了次世代Web開發工具Project IDX，將Android與iOS模擬器帶入瀏覽器中，可以讓開發者從工作區進行開發、測試和除錯，多步驟和多平臺流程都被整合到同一個地方，而運用iOS模擬，開發者可以在工作時確認應用程式的布局和行為。目前這些功能還在實驗性階段。 另外也增加了更多的模板，針對Astro、Go、Python/Flask、Qwik、Lit、Preact、Solid.js和Node.js添加新模板，開發者可以使用這些模板，直接開始進行專案開發，減少配置的時間，將更多時間花在創建程式邏輯上。IDX新提供的功能和資源，也讓應用程式建置、測試和部署更方便，可以自動偵測應用程式和服務所需的網路連接埠，並調整防火牆設定准許流量進出，開發者不需要進行額外配置，且用戶不需要在本地端進行安裝，就可以直接在工作區中，立即執行命令列工具、腳本和公用程式。 <img alt="" src="https://s4.itho.me/sites/default/files/images/IDX.png" /> #測試框架 #容器化測試 微軟釋出全新輕量級MSTest測試框架執行工具，能簡化測試環境還能進行容器化測試 微軟推出用於MSTest測試的輕量級執行工具MSTest Runner，這是一個，可將MSTest測試建置為獨立可移植執行檔的工具，僅一個控制臺應用程式就可託管和執行測試，不再需要諸如vstest.console、dotnet test或Visual Studio等工具，能在效能與儲存資源有限的裝置上，也可以使用生成的控制臺應用程式實際進行測試。除了簡化測試環境之外，MSTest Runner也可以進行容器化測試，在沒有dotnet SDK的Docker容器中，執行針對dotnet應用程式的測試。 #Sudo #Windows #新管理者指令 Windows也有Sudo指令！能在沒有權限的控制臺執行特定管理指令 微軟於Windows 11 Insider Preview Build 26052中，加入適用於Windows的Sudo，允許用戶直接從未提升權限的控制臺執行提升權限指令，不需要事先開啟提升權限控制臺，或是執行繁瑣的操作。如此不只提高了效率，也提升操作安全性，因為使用者可以更精確地控制要使用提升權限執行的指令。目前微軟已經在GitHub開源Sudo for Windows專案。這項新功能提供3種用法，第一是在新視窗中執行的預設選項，在一個新的提升權限視窗中執行指令；第二種是關閉輸入選項，系統會在當前視窗以提升權限執行指令，但是不接受任何輸入，適用於不需要進一步輸入的指令；第三種則是行內（Inline）選項，讓提升權限的指令在當前視窗中運作，並且接受輸入和顯示輸出，類似其他作業系統的Sudo行為。 #網頁開發環境 #JavaScript執行環境 啟動超快的JavaScript執行環境Bun推出Shell工具，可支援三大主流OS 效能超快的JavaScript推出了新功能Bun Shell，解決在JavaScript中執行Shell困難的問題。Bun Shell使用上簡單直覺，具有豐富的功能，可以在Windows、macOS和Linux跨平臺上使用。去年9月正式推出的Bun是一個講求快速JavaScript執行環境與多合一工具包，啟動速度是Node.js的4倍，可用於執行、建置、測試和除錯JavaScript與TypeScript程式。Bun Shell是一種嵌入式語言和直譯器，可以讓用戶直接在JavaScript或TypeScript程式中執行Shell指令，不需要額外的轉換和打包。而且在Bun Shell中，所有模板變數都會自動跳脫（Escape)，以增加Shell指令執行的安全性。另外，諸如重新導向、管線命令（Pipe）、環境變數等常見Shell功能，Bun Shell也一應俱全。 #日期和時間API #JavaScript執行環境 JavaScript執行環境Deno推出1.40，新增好用的日期和時間操作API 以Rust語言寫成的JavaScript執行環境Deno推出1.40版本，加入好用的日期和時間操作Temporal API，同時，開發者也將可以使用最新的裝飾器（Decorator）語法，使程式碼的目的和行為更加明確。Temporal API的出現主要是要解決JavaScript中，與Date物件有關的複雜性，傳統Date物件在處理日期和時間方面存在許多問題，像是時區處理不易，日期計算不一致等。 更多新聞 <ul> <li>高效協作程式碼編輯器Zed開源並推出協作服務，開發者分享連結就能開始共同編寫程式碼</li> </ul> @資料來源：iThome整理，2024年2月 責任編輯：王宏仁 </div></div></div>
2024/2/21 12:04作者王宏仁https://www.ithome.com.tw/news/161385
Walmart以23億美元收購智慧電視業者Vizio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 零售業巨人<a href="https://corporate.walmart.com/news/2024/02/20/walmart-agrees-to-acquire-vizio-holding-corp-to-facilitate-accelerated-growth-of-walmart-connect-through-vizio-s-smartcast-operating-system" target="_blank">Walmart昨（20）日宣布</a>以23億美元收購智慧電視業者Vizio，以擴增串流平臺用戶及廣告營收。 Walmart和Vizio簽定協議，以每股11.5美元，總價近23億美元現金收購Vizio及其智慧電視作業系統（SmartCast Operating System）。 創立於2002年的Vizio以銷售連網電視及整合串流內容平臺SmartCast知名。Vizio SmartCast方案自2008年創立以來，用戶數成長將近4倍，現有超過1,800萬帳號。Vizio電視內建串流平臺Platform+業務提供包含廣告的免費內容，目前廣告直銷客戶超過500家，涵括財星500大企業。Platform+目前是Vizio最大廣告業務，也是公司最主要營收來源。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0221-SmartCast-vizio.png" style="width: 600px;" /> 收購Vizio及SmartCastOS可讓Walmart提供電視與家庭娛樂及媒體內容，也能開闢廣告營收模式。雙方表示，Vizio可強化Walmart封閉式多頻道媒體業務Walmart Connect美國地區業務，其廣告解決方案有助於擴大Walmart廣告業務涵蓋率及能力，並配合Walmart電視品牌及連網電視平臺擴大合併效益。 Walmart本身已有自家電視品牌Onn。藉由收購Vizio，可增強其在平價智慧串流內容市場的市占率及實力，對抗Amazon和Roku。 這樁交易下，Vizio將整併至Walmart美國分公司。本收購案已獲得Vizio董事會無異議通過，並等待主管機關核准。Vizio有權在45天內終止交易。一旦完成交易，Vizio將不再在股市掛牌。 </div></div></div>
2024/2/21 10:46作者林妍溱https://www.ithome.com.tw/news/161380
傳Reddit出售平臺內容授權給AI業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://www.bloomberg.com/news/articles/2024-02-16/reddit-is-said-to-sign-ai-content-licensing-deal-ahead-of-ipo?sref=10lNAhZ9" target="_blank">《彭博》</a>引述消息人士報導，知名論壇Reddit將平臺內容的使用授權出售給一家AI公司以訓練模型。 今年稍早<a href="https://www.ithome.com.tw/news/161051" target="_blank">媒體報導</a>Reddit正在籌備IPO，最快今年三月將掛牌上市。《彭博》報導，為了向投資人說明其獲利能力，年初Reddit透露了以每年6,000萬美元的代價出售內容授權給一家名稱不詳的AI業者供其訓練模型，以挹注公司營收。目前Reddit今年營收估計為8億美元。 作為最大線上論壇，Reddit的內容近年成為AI業者的重要訓練資料集來源，但該公司並不樂意內容被免費使用。Reddit去年4月<a href="https://www.ithome.com.tw/news/156469" target="_blank">修改</a>服務條款。公司執行長Steve Huffman也對媒體表示計畫對訓練AI模型的公司收費。Reddit去年就<a href="https://www.ithome.com.tw/news/159428" target="_blank">傳出</a>計畫封鎖Google搜尋，希望AI業者付費使用平臺上的內容。 相對的，OpenAI、Google等公司在早期濫用免費內容，遭到媒體及網路內容平臺抵制後，也從善如流，改循合作付費管道取得內容存取權利。<a href="https://www.ithome.com.tw/news/160332" target="_blank">媒體報導</a>，OpenAI已先後和《Business Insider》母公司Axel Springer、美聯社、<a href="https://arstechnica.com/information-technology/2024/02/your-reddit-posts-may-train-ai-models-following-new-60-million-agreement/" target="_blank">CNN</a>、福斯新聞及《時代雜誌》等新聞內容出版商簽定授權，同意其存取平臺上的新聞內容。 Reddit這樁交易的買主是誰則不得而知。不過《彭博》分析，Reddit出售平臺內容授權也證明其實現獲利能力，有助於推升其IPO市值，目前估計為50億美元。 </div></div></div>
2024/2/21 10:55作者林妍溱https://www.ithome.com.tw/news/161384
期刊論文使用AI生成的圖片太不科學，出版商Frontiers緊急撤回
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 最近國際科學期刊出版社Frontiers所出版的論文<a href="https://www.frontiersin.org/articles/10.3389/fcell.2024.1386861/full">《Cellular functions of spermatogonial stem cells in relation to JAK/STAT signaling pathway》</a>受到學術界的矚目，並且在社交平臺X被熱烈討論，原因是這篇通過同儕審查的論文，其配圖被發現是以生成式人工智慧產生，不過，圖片內容卻不符合解剖學，圖片文字還存在拼字錯誤。目前該篇論文已被Frontiers撤回。 Frontiers是一個出版多個學術期刊的出版社，涵蓋生命科學、工程、社會科學等領域，透過同儕審查確保發表內容的品質，目的在促進學術研究的開放。《Cellular functions of spermatogonial stem cells in relation to JAK/STAT signaling pathway》這篇具有爭議的論文，被質疑究竟如何通過同儕審查。 論文作者是中國西安市紅會醫院脊椎外科研究人員Xinyu Guo、Liang Dong與Dingjun Hao，於2月13日在《Frontiers in Cell and Developmental Biology》期刊發表。<a href="https://twitter.com/DrCJ_Houldcroft/status/1758111493181108363">X用戶Dr. CJ Houldcroft首先發現</a>並發文說：「呃，圖1是如何通過同儕審查的？！」該篇論文第一張配圖是一隻擁有不合理生殖器的老鼠，更有其他X用戶指出圖2、圖3（下圖）內容也非常不合理，甚至出現無法辨識的文字。該篇論文由印度國家動物營養和生理研究所（ICAR）研究人員Binsila B. Krishnan，以及西北醫療研究人員Jingbo Dai兩位專家進行同儕審查。 <img alt="" src="https://s4.itho.me/sites/default/files/images/2251%20-%20%20-%20.jpg" style="width: 580px; height: 357px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/2252%20-%20%20-%20.jpg" style="width: 580px; height: 322px;" /> 科學誠信顧問<a href="https://twitter.com/MicrobiomDigest/status/1758183183773024528">Elisabeth Bik在X平臺標記Frontiers官方帳號</a>，質疑Frontiers為何要發表含有人工智慧生成圖片的拙劣論文。Frontiers編輯部展開調查，隨後決定撤回該篇論文，並且發表聲明，指出該篇論文使用人工智慧生成圖片，且文章未達《Frontiers in Cell and Developmental Biology》期刊編輯與科學嚴謹標準。 即便該篇論文已經被撤回，卻也引發人們對學術誠信的擔憂，質疑同儕審查不夠嚴謹，有網友甚至開玩笑表示，除了圖片是由人工智慧生成之外，內容可能也是由人工智慧審查。外媒<a href="https://venturebeat.com/ai/science-journal-retracts-peer-reviewed-article-containing-ai-generated-nonsensical-images/">VentureBeat</a>翻出Frontiers在2020年所發布的新聞，證實了這樣的可能性。Frontiers開發了一個稱為<a href="https://www.frontiersin.org/news/2020/07/01/artificial-intelligence-peer-review-assistant-aira/">AIRA</a>的人工智慧工具，用於協助學術期刊同儕審查，AIRA能夠藉由自動化檢查，快速提供包括語言品質評估、圖表完整性、抄襲偵測和利益衝突辨識等20多項建議。 雖然隨著人工智慧工具的發展，未來可能依然會發生類似的事件，不過這也間接凸顯了開放科學的價值，在讀者可以自由參與學術研究的過程，有更多人可以監督論文品質，確保學術研究的透明度和可信度。 </div></div></div>
2024/2/21 09:32作者李建興https://www.ithome.com.tw/news/161378
美國FTC提案強化人工智慧技術監管，打擊AI相關冒充詐騙行為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 美國聯邦政府近期接連針對人工智慧科技帶來的負面影響採取行動，先是<a href="https://www.ithome.com.tw/news/161250">FCC裁定</a>認為人工智慧生成的語音即人工語音，需要符合自動語音電話的規範，而現在美國聯邦交易委員會（FTC）也提出<a href="https://www.ftc.gov/news-events/news/press-releases/2024/02/ftc-proposes-new-protections-combat-ai-impersonation-individuals">行政法規修訂</a>，加強打擊冒充商業和政府機構的詐騙犯罪。 FTC先就冒充個人提出補充公告（Supplemental Notice）以徵詢公眾意見，規則變更將擴大當前對冒充政府和企業的詐騙保護，官方提到，有鑒於冒充詐欺案投訴大幅增加，而且包括深偽在內的人工智慧技術加劇詐騙損害。這些原因驅使FTC積極採取行動檢測並阻止冒充詐欺。 FTC尋求公眾對修訂法規的意見，討論的重點包括提供創建圖像、影片和文字服務的人工智慧平臺，在知道其所提供的商品被用於冒充並詐騙消費者時，這些公司是否應被視為違法。 FTC主席Lina M. Khan提到，詐騙犯罪者正使用人工智慧工具，高精準度且大規模地冒充個人。當FTC提案的法規修訂最終通過，官方認為可強化其解決人工智慧詐騙問題的能力，並替受到傷害的消費者提供補救。 除了補充公告尋求公眾意見之外，FTC也已完成對政府和商業冒充規則的最終制定，FTC將能夠直接在聯邦法院提起訴訟，要求利用政府或是商業機構身份的詐騙犯，退還不法所得金錢。而這項法規的修訂之所以重要，是因為在2021年AMG Capital Management LLC對上FTC的案子中，最高法院的裁決明顯限制了FTC迫使被告歸還受害消費者金錢的能力。 FTC提到，近年政府和企業冒充詐騙已造成消費者數十億美元損失，而在2023年向FTC提交的詐騙報告大幅增加。而該修訂法規將授權執法機構更有效地打擊詐騙，允許FTC在特定情況下，就詐騙直接向聯邦法院尋求金錢賠償。 主要打擊三種詐騙行為，第一種是使用政府印章或是商業標誌進行通訊的行為，當詐騙犯罪者在與消費者通訊時，無論是透過郵件或是線上，不當使用政府、企業的官方標誌或是徽章，以增加詐騙訊息可信度，將成為FTC主要打擊目標之一。 第二種FTC要打擊的詐騙行為則是偽造政府、商業電子郵件和網址，諸如創建介面與真實官方網站相似，但是網域名稱在拼寫上錯誤的假網站，試圖誤導消費者以為假網站是真正官方溝通管道的行為。第三種則是虛假暗示自身與政府或商業關聯，詐騙犯罪者使用讓人認爲他們代表政府機構或是商業實體的語言或是術語等行為。FTC將擁有更多權力追訴和阻止這些詐騙行為。 這兩項內容將會出現在美國《聯邦公報》，政府與商業冒充最終規則將會於《聯邦公報》公布日起30天後生效。而對於補充公告規則公告（SNPRM）的公眾評論期，將會在《聯邦公報》發布日起開放60天，讓公眾提出意見和回饋。 </div></div></div>
2024/2/21 08:26作者李建興https://www.ithome.com.tw/news/161376
國際執法機構關閉34臺LockBit伺服器，凍結逾200個加密貨幣帳戶，逮捕兩名嫌犯
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 由美國、英國等10個國家組成，並由歐洲刑警組織（Europol）負責居中協調的克羅諾斯行動（Operation Cronos），於<a href="https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation" target="_blank">周二（2/20）宣布</a>已摧毀勒索軟體LockBit的基礎設施，包括關閉LockBit位於全球各個國家的34臺伺服器，接管其技術基礎設施及外洩網站，凍結逾200個與該犯罪組織有關的加密貨幣帳戶，控制或刪除了1.4萬個負責滲透或與基礎設施有關的流氓帳號，逮捕了2名嫌犯，<a href="https://www.justice.gov/opa/pr/us-and-uk-disrupt-lockbit-ransomware-variant" target="_blank">美國</a>也拘留兩名LockBit服務的聯盟夥伴（Affiliate），以及起訴兩名共謀發動LockBit攻擊的俄羅斯人。 LockBit勒索軟體現身於2020年1月，為全球最活躍的勒索軟體之一，它以勒索軟體即服務（RaaS）的模式運作，由勒索軟體組織的開發者負責設計軟體，並招募聯盟夥伴負責部署攻擊，前者負責維護軟體與控制臺，後者則專門辨識並非法存取目標系統，在成功滲透目標對象之後，再利用控制臺於受害網路部署LockBit。 該勒索軟體集團採用三重勒索形式，除了傳統的以加密及外洩機密資料作為要脅之外，還加上了分散式服務阻斷攻擊。 LockBit的攻擊行動遍及全球，受害者包括航太龍頭業者<a href="https://www.ithome.com.tw/news/159565" target="_blank">波音（Boeing）</a>、<a href="https://www.ithome.com.tw/news/159766" target="_blank">中國工商銀行</a>、<a href="https://www.ithome.com.tw/news/157660" target="_blank">日本名古屋港</a>及台積電供應商<a href="https://www.ithome.com.tw/news/157629" target="_blank">擎昊</a>等，已知的受害者超過2,000家，得手的贖金超過1.2億美元。相關的贖金由LockBit開發團隊及聯盟夥伴共享，後者平均取得贖金的75%。 參與克羅諾斯行動的國家包括美國、英國、法國、德國、荷蘭、瑞典、澳洲、加拿大、日本與瑞士，並由Europol負責協調，在長達數月的行動中，Europol組織了27次的行動會議，以及4次為期一周的技術衝刺，各國執法機構也透過Europol的資訊通道SIENA交換上千則的行動資訊。 此次的行動是由有英國FBI之稱的英國國家打擊犯罪調查局（National Crime Agency，NCA）主導，亦由<a href="https://www.nationalcrimeagency.gov.uk/news/nca-leads-international-investigation-targeting-worlds-most-harmful-ransomware-group" target="_blank">NCA接管</a>LockBit的資料外洩網站，並說最近一周每天都會透過此一位於暗網中的LockBit網站來披露LockBit自家的能力及營運狀況，也宣稱已自LockBit的系統取得了該平臺的原始碼及大量情報，包括其合作對象及聯盟夥伴。 <img alt="" src="https://www.nationalcrimeagency.gov.uk/images/Feb2024/Cronos.png" style="width: 600px;" /> NCA指出，他們在LockBit的系統上所發現的機密資料包括那些已支付贖金的企業，代表就算支付了贖金，駭客也不一定會依照承諾刪除資料。 在克羅諾斯行動所關閉的34臺伺服器中，有28臺為LockBit聯盟夥伴所有，其它的則是用來竊取及傳輸受害者資料的Stealbit基礎設施，它們散布在美國、英國、荷蘭、德國、芬蘭、法國、瑞士與澳洲。 除了成功入侵LockBit網路並摧毀其基礎設施之外，NCA還取得了逾1,000個解密金鑰，將在未來幾天或幾周用來協助英國受害者解密，而Europol則說相關的解密工具已於No More Ransom網站上免費供應。不過，目前（2/20）在No More Ransom網站上搜尋LockBit並無結果。 目前已有兩名LockBit集團的成員分別在波蘭及烏克蘭遭到逮捕，而美國與法國則發出了3份的國際逮捕令及5份的起訴書。 安全研究團隊<a href="https://twitter.com/vxunderground/status/1759732862335504773" target="_blank">vx-underground引用了LockBit開發者的說法</a>，指出這些執法機構是透過CVE-2023-3824安全漏洞攻陷他們的基礎設施，這是個<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-3824" target="_blank">CVSS風險評分高達9.8的PHP漏洞</a>，成功的攻擊將可造成記憶體毀損或自遠端執行程式。 </div></div></div>
2024/2/21 08:50作者陳曉莉https://www.ithome.com.tw/news/161379
Flutter 3.19持續更新渲染引擎Impeller，Android支援度再提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Google發布最新<a href="https://medium.com/flutter/whats-new-in-flutter-3-19-58b1aae242d2">Flutter 3.19版本</a>，該版本擁有許多功能更新，包括框架與API改進，以及執行效能和渲染Impeller引擎的最佳化。Flutter開始提供Gemini Google AI Dart SDK，供開發者方便開發人工智慧應用，並讓開發者更精細地控制小工具（Widget）的動畫，並且擴展支援Windows Arm64平臺。 Flutter開發團隊推出Gemini Google AI Dart SDK測試版，其背後採用Google最新的人工智慧模型Gemini，使得開發者可以在Dart或Flutter應用程式中，整合生成式人工智慧功能。目前開發者已經可以從pub.dev下載使用google_generative_ai套件以及相關資源，以遵循Dart語法特性的方式整合Gemini API，僅用單一程式碼庫，就可開發Android、iOS、網頁、macOS、Windows和Linux智慧應用程式。 在框架改進上，Flutter強化了滾動行為的可配置性，允許開發者透過將MultiTouchDragStrategy.latestPointer設定為ScrollBehavior，設置與觸控點數無關的滾動行為，並且修復SingleChildScrollView與ReorderableList的崩潰問題和意外行為，提升了整體的穩定性和使用體驗。此外，此版本更新加入新的AnimationStyle小工具，讓使用者可以覆蓋小工具中的預設動畫行為，賦予開發者更多靈活性與控制能力。 Flutter 3.19的無障礙功能也獲得強化，添加SemanticsProperties無障礙辨識符號，改進對語義節點的標示。這些節點代表了應用程式的結構與可操作元素，諸如按鈕、連結和文字欄位等，透過改進節點的標示，Flutter可以提供更豐富且準確的資訊給仰賴輔助技術的用戶。這些框架、小工具與無障礙功能的改進，進一步提升Flutter應用程式的開發效率和可用性。 Flutter用來取代Skia的渲染引擎Impeller，於Flutter 3.13時已在iOS上運作良好，而Flutter 3.16時，官方也鼓勵開發者可以在支援跨平臺繪圖API Vulkan的Android裝置上，開始嘗試使用Impeller，而經過數個月的開發，現在Impeller對OpenGL後端的支援，已經提升到與Vulkan相同的程度，目前幾乎所有Android裝置上的Flutter應用程式，都可以使用Impeller正確渲染，只剩下諸如自定義著色器和外部貼圖等功能尚未支援。 新版Flutter提供開發者更好的GPU追蹤能力，在採用Metal的iOS、macOS、模擬器裝置，以及Vulkan的Android裝置上，Flutter引擎現在可以於除錯和分析建置的時間軸，回報每一個影格的GPU時間。不過目前在非Vulkan的Android裝置，Flutter可能會錯誤回報GPU時間。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0_m3qW6u7Q4mNfTKxN.jpg" style="width: 380px;" /> 該版本值得一提的更新，還有Impeller在背景過濾器和模糊功能上的效能改進，由於Impeller之前會錯誤請求螢幕貼圖讀取功能，經過修正之後，在基準測試中包含多個背景濾鏡的場景，效能改進可達20％至70％。 同時Flutter開發團隊也改進背景過濾器，使其不再完全仰賴模板緩衝區（Stencil Buffer）的資料，避免不必要的資源使用。在具有Vulkan後端的Impeller Pixel 7 Pro裝置上，動畫進階混合模式平均GPU影格時間從55毫秒下降到16毫秒，且90％的光柵化執行緒CPU時間，從約110毫秒降低至22毫秒 Flutter開發團隊還持續擴展Flutter 3.19支援的平臺，現在Flutter也開始支援Windows Arm64，此更新對在Windows Arm64平臺，原生高效能執行Flutter應用程式是重要的一步。 </div></div></div>
2024/2/21 09:15作者李建興https://www.ithome.com.tw/news/161377
【資安日報】2月20日，勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 自2019年出現的勒索軟體LockBit在全球橫行，是最近2至3年最具威脅的勒索軟體。根據美國政府的統計，自2020年該勒索軟體駭客組織已發起超過1,700次攻擊，以美國而言，他們向受害組織總共索討了9,100萬美元的不法所得。這些駭客甚至還<a href="https://www.ithome.com.tw/news/151655">設立漏洞懸賞專案</a>，尋求各界尋找該勒索軟體的漏洞，囂張的程度可見一斑。 如此猖獗的態勢，也引起多個國家的執法單位採取行動。最近有許多在追蹤該勒索軟體動態的研究人員發現，執法單位已拿下該組織暗網的網站，這些駭客也對他們的附屬組織證實遭遇「資安事件」。 <h3>【攻擊與威脅】</h3> <a href="https://blog.aquasec.com/headcrab-2.0-evolving-threat-in-redis-malware-landscape">惡意軟體HeadCrab 2.0行蹤更加隱密，以無檔案型態入侵Redis伺服器進行挖礦</a> 1年前資安業者Aqua Security發現專門鎖定Redis伺服器的殭屍網路病毒HeadCrab，當時已控制超過1,200伺服器，並將其用於挖礦，如今駭客的手法再度升級，殭屍網路規模更大，有另外1,100臺伺服器也遭到控制。 研究人員指出，他們在蜜罐陷阱（Honeypot）當中，看到此殭屍網路病毒升級版HeadCrab 2.0，最大的變化在於攻擊者載入此惡意軟體的方式。原本駭客會將惡意程式的共用物件檔案（shared object file，副檔名為SO）儲存於受害伺服器，但新版病毒的傳播方式，則是透過Redis的通訊管道進行，並存放於無檔案的位置（fileless location，應指系統記憶體，因為Redis是一種In-memory資料庫），從而大幅減少留下數位蹤跡的情況，回避資安系統的磁碟掃描功能。 另一個與舊版惡意程式的差異，則是在於與C2伺服器的通訊方式，原本駭客利用自定的Redis命令進行互動而容易被察覺，而新版本採用預設的MGET命令，駭客在命令當中挾帶特定參數，讓惡意程式得以確認是來自C2的命令，而對Redis的使用者而言，MGET命令仍能正常運作，使得惡意軟體的行蹤變得更加隱密。 <a href="https://www.cadosecurity.com/the-nine-lives-of-commando-cat-analysing-a-novel-malware-campaign-targeting-docker/">加密貨幣挾持攻擊Commando Cat鎖定曝露的Docker API下手</a> 資安業者Cado揭露今年出現的加密貨幣挾持攻擊行動Commando Cat，駭客鎖定曝露在網際網路的Docker API，並使用透過Docker映像建立工具Commando而產生的容器進行部署，然後進行容器逃逸，並在Docker主機執行惡意酬載，目的是竊取AWS、GCP、Azure等雲端服務的帳密資料，並利用這些主機從事挖礦工作。 攻擊者先是藉由部署Docker做為初始的入侵管道，然後從自己控制的伺服器對目標主機派送一系列的酬載，透過開源工具Commando部署容器並執行惡意命令，使用chroot命令逃脫至容器範圍之外，接著，對方會檢查是否存在特定的服務，才會繼續執行下個階段的行動，在受害主機植入SSH金鑰、後門程式、竊資軟體，最終部署挖礦軟體XMRig。 研究人員指出，駭客在執行部分惡意程式的過程中，將檔案存放於記憶體暫存資料夾/dev/shm，使得資安人員調查駭客的蹤跡變得更加困難，他們根據攻擊者使用Shell指令碼、C2伺服器的IP位址，發現與駭客組織TeamTNT手法有所重疊，推測是由其他駭客模仿其手法發起的攻擊行動。 <a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=155714&SPOKE_DATE=20240219&COMPANY_ID=2421">散熱風扇製造商建準遭遇加密攻擊，強調資料未外流、未遭到勒索</a> 2月19日散熱風扇製造商建準發布重大訊息，指出其資訊系統於早上遭到加密攻擊，他們找到加密來源並阻斷加密，正著手恢復系統。而對於本次事故帶來的影響，該公司強調，資料無外洩的疑慮，他們也沒有遭到勒索，目前評估對於營運無重大影響。 對於後續的改善措施，該公司表示將強化現有的資安政策、系統架構安全、員工資安教育的落實，並全面提升網路安全等級。 <h3>【漏洞與修補】</h3> <a href="https://research.checkpoint.com/2024/the-risks-of-the-monikerlink-bug-in-microsoft-outlook-and-the-big-picture/">微軟收信軟體Outlook存在重大漏洞Moniker Link，有可能被用於發動RCE攻擊</a> 微軟在2月例行更新（Patch Tuesday）針對收信軟體Outlook修補重大漏洞CVE-2024-21413，一旦攻擊者觸發漏洞，就有機會在未經身分驗證的情況下，繞過Office Protected View防護機制，而有機會遠端執行任意程式碼（RCE），CVSS風險評分為9.8。 通報此漏洞的資安業者Check Point公布更多細節，他們指出攻擊者若是使用file://通訊協定，並在URL加入驚嘆號，就有機會繞過Office對於惡意連結的防護機制。研究人員指出，這項漏洞發生的原因，在於函式功能MkParseDisplayName的不安全API引起，因此這項漏洞有可能影響其他應用程式。 研究人員指出，攻擊者一旦成功利用CVE-2024-21413，就有機會竊取NTLM帳密資料，或是藉由惡意Office文件執行任意程式碼，他們將這項漏洞命名為Moniker Link，呼籲所有Outlook使用者要儘速套用更新程式。 <a href="https://www.bleepingcomputer.com/news/security/over-28-500-exchange-servers-vulnerable-to-actively-exploited-bug/">近10萬臺Exchange Server恐曝露權限提升漏洞</a> <a href="https://s4.itho.me/sites/default/files/images/GGsygfEXkAALYLE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGsygfEXkAALYLE.jpg" style="width: 300px; float: right;" /></a>2月13日微軟修補Exchange權限提升漏洞CVE-2024-21410（CVSS風險評分為9.8），隔日表示該漏洞已被用於攻擊行動，但有研究人員提出警告，仍有不少伺服器尚未修補而曝險。 Shadowserver基金會指出，他們在2月17日進行掃描，全球約有9.7萬臺可能曝露相關風險的郵件伺服器，其中最嚴重的是德國和美國，分別有22,903臺、19,434臺，其次是英國、法國、奧地利，分別有3,665臺、3,074臺、2,987臺。值得留意的是，臺灣也有曝露該弱點的郵件伺服器，有777臺。 資料來源 1. <a href="https://twitter.com/Shadowserver/status/1759555706166902819">https://twitter.com/Shadowserver/status/1759555706166902819</a> 2. <a href="https://dashboard.shadowserver.org/statistics/combined/visualisation/?date_range=1&source=exchange&source=exchange6&tag=cve-2024-21410%2B&tag=possible-cve-2024-21410%2B&dataset=unique_ips&limit=20&group_by=geo&count_as=avg&scale=lin&style=table">https://dashboard.shadowserver.org/statistics/combined/visualisation/?date_range=1&source=exchange&source=exchange6&tag=cve-2024-21410%2B&tag=possible-cve-2024-21410%2B&dataset=unique_ips&limit=20&group_by=geo&count_as=avg&scale=lin&style=table</a> <h3>【資安防禦措施】</h3> <a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-disrupted-by-global-police-operation/">11個國家執法單位切斷勒索軟體駭客組織LockBit的運作</a> <a href="https://s4.itho.me/sites/default/files/images/GGur2R5XYAAbVRq.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGur2R5XYAAbVRq.jpg" style="width: 300px; float: right;" /></a>惡名昭彰的勒索軟體駭客組織LockBit的暗網網站傳出遭到執法單位扣押，此網站目前顯示由英國國家刑事局（National Crime Agency，NCA）控制，並指出這是美國聯邦調查局（FBI）與11個國家聯手，進行的執法行動Operation Cronos成果，他們自格林威治標準時間2月20日上午11時30分，已經中斷LockBit提供的網路犯罪服務。 資安研究團隊VX-Underground指出，執法單位至少查封22個Tor網站，目前該組織的網站不是顯示被歐洲刑警組織（Europol）查獲的網頁，就是處於離線的狀態；該網站旗下的駭客若是登入系統，也會看到相關訊息：執法單位已掌握原始碼、受害組織名單、勒索金額，很快就會找上他們。 究竟執法單位如何成功拿下網站？該駭客組織認為應該是藉由PHP重大漏洞CVE-2023-3824（CVSS風險評分為9.8）來達成。經營LockBit的團隊也向旗下成員成為發出通知，證實遭遇資安事故，但傳送的管道有兩種說法，資安業者AzAl Security認為是透過電子郵件，而VX-Underground指出可能是透過即時通訊軟體Tox或是XMPP。 資料來源 1. <a href="https://twitter.com/vxunderground/status/1759693943942287543">https://twitter.com/vxunderground/status/1759693943942287543</a> 2. <a href="https://twitter.com/vxunderground/status/1759708760929390879">https://twitter.com/vxunderground/status/1759708760929390879</a> 3. <a href="https://twitter.com/vxunderground/status/1759732862335504773">https://twitter.com/vxunderground/status/1759732862335504773</a> 4. <a href="https://twitter.com/azalsecurity/status/1759740340209172548">https://twitter.com/azalsecurity/status/1759740340209172548</a> 5. <a href="https://twitter.com/vxunderground/status/1759795956218778068">https://twitter.com/vxunderground/status/1759795956218778068</a> <a href="https://www.justice.gov/opa/pr/justice-department-conducts-court-authorized-disruption-botnet-controlled-russian">美國破壞俄羅斯駭客APT28經營的殭屍網路Moobot</a> 俄羅斯駭客組織APT28利用殭屍網路病毒Moobot入侵搭載EdgeOS作業系統的Ubiquiti路由器，組成以家用與小型辦公室（SOHO）設備形成的殭屍網路，將其用於代理惡意流量，並對於美國及其盟國進行網路釣魚，或是竊取帳密的攻擊行動，如今美國政府對其出手。 2月15日美國司法部（DOJ）宣布，聯邦調查局（FBI）取得法院死亡灰燼行動（Operation Dying Ember）的許可，遠端存取遭到入侵的路由器，清除殭屍網路病毒及其他惡意檔案，為防止及俄羅斯駭客再度控制，FBI也修改路由器的防火牆規則，並收集與內容無關的路由資訊，來監控是否有駭客試圖嘗試入侵的跡象。 而這是繼1月美國摧毀中國駭客Volt Typhoon經營的殭屍網路KV-Botnet之後，今年第2波清理相關基礎設施的執法行動。 <h3>【其他新聞】</h3> <a href="https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/alpha-netwalker-ransomware">研究人員揭露勒索軟體Alpha，疑為NetWalker東山再起</a>  <a href="https://www.bleepingcomputer.com/news/security/cactus-ransomware-claim-to-steal-15tb-of-schneider-electric-data/">施耐德電機傳出資料外洩，勒索軟體Cactus聲稱竊得1.5 TB資料</a>  <a href="https://www.fortinet.com/blog/threat-research/android-spynote-moves-to-crypto-currencies">安卓間諜軟體SpyNote冒充加密貨幣錢包，意圖洗劫受害者存款</a>  <a href="https://threatresearch.ext.hp.com/hp-wolf-security-threat-insights-report-q4-2023/">駭客偏好利用PDF惡意程式，藉此散布WikiLoader、Ursnif、DarkGate</a>  <a href="https://www.securityweek.com/eset-patches-high-severity-privilege-escalation-vulnerability/">ESET修補高風險權限提升漏洞，影響Windows端點、Exchange Server、SharePoint Server、Azure等多項防護產品線</a>  <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/161344">【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</a> <a href="https://www.ithome.com.tw/news/161326">【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</a> <a href="https://www.ithome.com.tw/news/161319">【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</a> </div></div></div>
2024/2/20 14:45作者周峻佑https://www.ithome.com.tw/news/161355
K1打算以每股0.55美元買下MariaDB
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 甫於2022年12月，藉由與特殊目的收購公司合併而登上紐約股市的開源資料庫軟體業者MariaDB，<a href="https://investors.mariadb.com/news/news-details/2024/Announcement-Regarding-Possible-Offer/default.aspx" target="_blank">上周收到</a>來自K1 Investment Management的非約束性收購要約，K1<a href="https://k1.com/meridian/" target="_blank">打算</a>以每股0.55美元的價格買下MariaDB已發行與即將發行的所有股份，而不管MariaDB賣不賣，很可能都會下市。 MariaDB為開源關聯性資料庫MySQL的分支，是為了因應MySQL遭到甲骨文併購而開發的，旨在維持開源並與MySQL相容，它在2022年12月19日登上紐約股市（NYSE）時，開盤價為11.55美元，但最終以6.7美元作收，此後的股價便不曾再超越第一天的收盤價，更在去年6月因連續30天交易日的平均收盤價低於1美元，因不符合NYSE上市公司守則的802.01C條款而收到通知。 <a href="https://nyseguide.srorules.com/listed-company-manual/09013e2c8556747d?searchId=1150133367" target="_blank">根據該條款</a>，只要是股價連續30個交易日低於1美元，或是連續30個交易日的市值低於5,000萬美元，都被視為不符上市規定，若未能在一定的期間內改善，NYSE便會啟動停牌與退市程序。 儘管MariaDB承諾改善，但自收到NYSE通知以來，其收盤價從未超過1美元。MariaDB上周公布了截至2023年12月31日的<a href="https://investors.mariadb.com/news/news-details/2024/MariaDB-Files-First-Quarter-Fiscal-2024-Financial-Results/default.aspx" target="_blank">2024財年第一季財報</a>，指出該季的年度經常性收入（ARP）成長了11%，虧損880萬美元，優於前一年同期所虧損的1,270萬美元。 去年9月，創投業者Runa Capital曾<a href="https://investors.mariadb.com/news/news-details/2023/Announcement-Regarding-Possible-Offer/default.aspx" target="_blank">計畫</a>買下MariaDB，但最終由Runa Capital的關係企業RP Ventures借了2,650萬美元予MariaDB。 K1公布收購要約的時間點為2月16日，當天MariaDB的收盤價為0.34美元，雖然K1的收購價為0.55美元，但因有前車之鑑，不確定會不會成真，MariaDB盤後股價只微幅上漲了2.79%，達0.3495美元。目前MariaDB的市值僅有2,300萬美元，而K1所提出的收購價估值則約為3,700萬美元。 </div></div></div>
2024/2/20 14:34作者陳曉莉https://www.ithome.com.tw/news/161353
知名勒索軟體LockBit遭全球警方攻陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 早就被多國政府鎖定的<a href="https://www.ithome.com.tw/news/157357" target="_blank">知名勒索軟體LockBit</a>傳出已遭全球警方聯手攻陷，根據<a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-disrupted-by-global-police-operation/" target="_blank">《BleepingComputer》</a>的報導，LockBit位於洋蔥網路上的資料外洩官網已出現被扣押的訊息，而專門蒐集惡意程式原始碼的<a href="https://twitter.com/vxunderground/status/1759697172101022176?s=20" target="_blank">vxunderground也透過X</a>披露了此一消息。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0220-The%20LockBit%20data%20leak%20site-under%20the%20control%20of%20The%20National%20Crime%20Agency%20of%20the%20UK-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Malwarebytes.png" style="width: 600px;" /> 圖片來源／Malwarebytes LockBit會被攻陷並不令人意外，包括美國、澳洲、加拿大、英國、法國、德國及紐西蘭的網路安全機構去年5月就曾共同發表<a href="https://www.ithome.com.tw/news/157357" target="_blank">有關LockBit的研究報告</a>，指出LockBit是全球在2022年與2023年最活躍的勒索軟體集團，全球受害組織超過1,653個，光是美國的受害者就支付超過9,100萬美元的贖金。 依據《BleepingComputer》的截圖，多國執法機構已接管了LockBit的資料外洩網站，而LockBit的員工亦向vxunderground證實它們已被FBI攻陷，LockBit聯盟的成員嘗試登入時，也已看到平臺已被FBI、英國及歐洲刑警組織<a href="https://twitter.com/vxunderground/status/1759708760929390879" target="_blank">接管的訊息</a>，指出國際警方已取得LockBit的原始碼、受害者資料、勒索的金額、所竊取的資料，以及聊天紀錄等。 英國的國家犯罪調查局（National Crime Agency，NCA）已向媒體證實了此事，並計畫於本周公布更多的細節。 </div></div></div>
2024/2/20 12:43作者陳曉莉https://www.ithome.com.tw/news/161352
有1.3萬的Wyze用戶意外連到別人的監視器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 專門開發監視器等數位家庭產品的<a href="https://forums.wyze.com/t/update-on-investigation-of-2-16-24-security-issue/291002" target="_blank">Wyze Labs本周坦承</a>，上周五（2/16）服務臨時中斷再重啟之後，出現了安全問題，使得1.3萬名用戶可看到來自其它帳號的縮圖及監視影片，目前已修復並已採取預防措施，開始寄送郵件通知所有用戶。 Wyze解釋，此一服務中斷事件源自於合作夥伴AWS，讓所有Wyze裝置在周五凌晨停擺了數小時，在試圖將裝置重新上線時，有用戶發現他們在自己的事件（Events）標籤中，看到的是別人的縮圖與事件影片（Event Videos），促使該公司展開調查。 調查後確認約有1.3萬名用戶收到來自別人家監視器的縮圖，當中有1,504名用戶點選了這些縮圖，大多數的點選只會放大縮圖，但有一些例子可以直接看到事件影片。整體而言，有0.25%的Wyze帳號受到影響。 Wyze說明，此一安全意外是因該公司最近於系統上整合了一個第三方的快取客戶端函式庫，然而，它承受不住龐大數量的裝置同時重新上線，負載過大令它搞混了裝置ID與用戶ID，而把某些資料連至錯誤的帳號。 為了確保此事不再發現，該公司在用戶連至事件影片時新增了一層驗證機制，也修改系統以繞過快取檢查，正在尋找其它可通過壓力測試的新快取客戶端函式庫。 2017年成立的Wyze有許多爭議，除了被Johnson Controls子公司Sensormatic與小米控告侵犯專利之外，在2019年曾外洩240萬名用戶資料，也曾<a href="https://www.ithome.com.tw/news/150222" target="_blank">遭資安業者Bitdefender批評</a>不修補可被存取SD卡的安全漏洞。 </div></div></div>
2024/2/20 11:46作者陳曉莉https://www.ithome.com.tw/news/161351
Android 15第一預覽版已推出，強化硬體支援與動態效能管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Google著手開發新版Android，現已釋出<a href="https://android-developers.googleblog.com/2024/02/first-developer-preview-android15.html">Android 15第一預覽版</a>。該新版本Android讓應用程式能更好地運用硬體，像是相機、GPU和顯示螢幕等，並開始支援Google新的廣告技術隱私沙箱（Privacy Sandbox），還更新動態效能框架（Android Dynamic Performance Framework，ADPF），供應用程式更好地與作業系統在電源與熱控管上協作。 在Android 15，Google開始將隱私沙箱整合進廣告管理工具Android AD服務中，允許廣告商和開發者採用新的廣告技術向用戶推送廣告。傳統網路廣告模式，廣告商通常需要仰賴第三方Cookie等追蹤技術來收集用戶資料，向用戶推送針對性的廣告，但是由於隱私上的顧慮，目前各方瀏覽器都開始預設封鎖第三方Cookie，而Chrome也計畫在2024年第一季，開始移除1％用戶的第三方Cookie，並在第三季逐漸分批移除。 而Google所提出的隱私沙箱計畫，便是希望創建更具隱私的廣告生態系來替代第三方Cookie，提供廣告商和開發者包括聚合、匿名化技術來處理用戶資料，希望減少廣告對個人資料的仰賴。不過，目前Apple和Mozilla都以保護用戶隱私為由，拒絕支援隱私沙箱Topics API。 Android 15的檔案完整性管理員新增API，使系統可以運用Linux核心中fs-verity功能，自動加密簽章保護檔案，Google提到，該新功能將能提高Android安全性，防止潛在的惡意軟體和未經授權的檔案修改，不讓攻擊者破壞應用程式的功能和資料。 Google透過通用MIDI封包（UMP）通訊，在Android 13提供USB連接MIDI 2.0裝置的支援。MIDI 2.0是一種較新的音樂數位介面（Musical Instrument Digital Interface，MIDI）標準，相較之前的版本，提供較高的解析度與更好的表現力，也具有更多的控制功能。 現在Android 15，Google要進一步將通用MIDI封包擴展至虛擬MIDI應用，這代表音樂創作應用現在可以控制合成器應用，就像是透過USB連接到實體的MIDI 2.0裝置一樣。這項功能的擴展使得應用程式之間，可以透過MIDI 2.0標準互動和控制，如此即便沒有實體MIDI硬體，用戶還是可以運用這些應用進行音樂創作和表演。 Android 15加入新擴充，使得開發者對裝置上的相機硬體和演算法有更多的控制能力，包括低光強化以提升相機預覽的亮度，還提供閃光燈強度進階調整能力，使得用戶在拍照時，能夠運用單次閃光和長時間閃光模式下，精確控制閃光強度。 Google也持續投資Android動態效能框架（Android Dynamic Performance Framework，ADPF），來強化Android裝置的動態效能。ADPF是一套API，供遊戲和效能密集應用程式能夠與Android裝置的電源和熱管理系統更直接的互動。 而Android 15上的ADPF將會於提示會話（Hint Session）機制新增省電模式，指示特定相關執行緒優先考慮節能而非效能，適用長時間在背景運作的工作負載。提示會話是一種允許應用程式對系統提出效能相關建議或是提示的機制，藉以協助系統了解應用程式當前效能需求，讓系統可以根據需求，調整電源和熱管理系統。 新的ADPF提示會話機制還能夠提供CPU和GPU工作時長報告，允許系統調整CPU和GPU頻率，以更好地滿足工作負載需求。Android 15現在還會透過預測熱餘量閾值（Thermal Headroom Threshold）解釋可能的熱限制狀態，這將有助於應用程式判斷裝置是否即將進行熱降頻。 <a href="https://developer.android.com/about/versions/15/overview#timeline">Google預計將會在6月推出Beta第三測試版</a>，屆時將達到平臺穩定性，該里程碑後開發者可以進行最終相容性測試。若未更新應用程式整合SDK和函式庫支援Android 15，下游應用程式和遊戲開發者可能會遭Google封鎖。 </div></div></div>
2024/2/20 08:17作者李建興https://www.ithome.com.tw/news/161347
BigQuery現提供向量搜尋功能支援RAG用例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> BigQuery現在開始<a href="https://cloud.google.com/blog/products/data-analytics/introducing-new-vector-search-capabilities-in-bigquery">提供向量搜尋功能</a>，供用戶能在BigQuery中進行向量相似性搜尋。向量搜尋通常也被稱作近似最鄰近（Approximate Nearest-Neighbor，ANN）搜尋，能夠在高維空間中快速找到與特定向量最相近的向量。 BigQuery的向量搜尋功能允許用戶對儲存於BigQuery的高維資料集，進行快速且準確的搜尋，支援新資料處理和人工智慧應用在內的多種用例，諸如使用大型語言模型進行語義搜尋，或是病歷、交通事故、圖像等相似性搜尋，以及結合檢索強化生成（RAG）技術，強化生成式人工智慧工作負載。 BigQuery的向量搜尋功能提供了一種簡單且直覺的語法，類似BigQuery現有的文字搜尋功能，進而簡化向量搜尋與SQL原語組合，供用戶在BigQuery處理各種資料。向量搜尋功能支援BigQuery嵌入生成功能，針對大型語言模型或是預訓練模型，或是也可以支援以其他方式生成的嵌入。當底層表格資料發生變化時，BigQuery向量索引也會跟著自動更新，用戶也可監控索引更新進度。 LangChain框架可以與BigQuery向量搜尋功能搭配使用，強化自然語言處理。LangChain能夠用於編寫和管理自然語言處理任務工作管線，而BigQuery對LangChain的支援，讓Python開發者方便進行整合，並與其他第三方框架一起使用。向量搜尋功能所提供的VECTOR_SEARCH向量搜尋函式，已經針對分析用例最佳化，能夠有效處理大批次的查詢，而在處理小量輸入資料時，也能夠提供低延遲推理結果。 藉由BigQuery與Vertex AI的整合，用戶可以在同一資料上進行快速、低延遲的線上預測，另外，BigQuery內建的資料治理功能也能派上用場，提供資料遮罩、行級、列級的安全政策。 </div></div></div>
2024/2/20 08:22作者李建興https://www.ithome.com.tw/news/161350
【資安日報】2月19日，Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 最近Ivanti頻繁對於Connect Secure漏洞發布資安公告，並指出部分漏洞已確認被用於攻擊行動，使得這套SSL VPN系統的安全問題再度浮上檯面，然而有研究人員發現，這套系統採用大量早就已經終止支援的元件，而曝露於許多已知漏洞的資安風險。 這也突顯Ivanti在2020年買下Pulse Secure公司之後，歷經多次資安漏洞相關事故與爭端之後，此系統竟然被發現至今仍延用老舊架構，並未逐步汰換、更新元件，而使得攻擊者有機會藉由已知漏洞上下其手。 <h3>【攻擊與威脅】</h3> <a href="https://www.sentinelone.com/labs/sns-sender-active-campaigns-unleash-messaging-spam-through-the-cloud/">惡意Python指令碼SNS Sender濫用AWS服務進行簡訊攻擊</a>  資安業者SentinelOne揭露名為SNS Sender的惡意Python指令碼，駭客將其用於濫用AWS Simple Notification Service（SNS）服務，從而發送大量簡訊，散布惡意網址連結，進行網釣簡訊攻擊（Smishing）。 研究人員指出，駭客通常假借美國郵政服務（USPS）的名義，聲稱使用者的包裹投遞錯誤，從而要求他們提供可識別的個人資訊（PII）。製作此惡意指令碼的作者ARDUINO_DAS，將其提供給超過150個網路釣魚工具包。照理來說，AWS帳號會因受限於內建的SNS沙箱功能，而無法濫用此服務發送大量簡訊，但研究人員指出，若使用者向AWS客戶支援人員提出說明，由於這些服務只需支付1美元，以及相關異動需求是採用人工審核，有可能因此取消上述的沙箱功能限制，而能將SNS用於散布垃圾簡訊。 利用雲端服務來發送垃圾簡訊的情況已非首例，去年散布惡意程式AlienFox的駭客，他們就是使用雲端通訊平臺Twilio發送釣魚簡訊。 <a href="https://www.recordedfuture.com/russia-aligned-tag-70-targets-european-government-and-military-mail">俄羅斯駭客組織Winter Vivern利用郵件伺服器Roundcube漏洞，攻擊歐洲關鍵基礎設施</a> <a href="https://s4.itho.me/sites/default/files/images/tag_70_chart_28741e8d2b.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/tag_70_chart_28741e8d2b.png" style="width: 300px; float: right;" /></a>資安業者Recorded Future指出，別名為TAG-70、TA473、UAC-0114的俄羅斯駭客組織Winter Vivern，從去年10月利用郵件伺服器Roundcube的跨網站指令碼（XSS）漏洞，針對超過80個企業組織進行未經授權的存取，對於歐洲政府機關、軍事單位，以及國家關鍵基礎設施而來。這些受害組織當中，位於烏克蘭的最多，占30.9%，喬治亞、波蘭分別占13.6%、12.3%居次，但比利時、法國、捷克、德國、英國也有組織受害。 研究人員指出，在烏克蘭戰爭仍持續進行的情況下，這些遭到攻擊的郵件伺服器很有可能曝露烏克蘭在戰爭當中進行的各種努力，像是外交關係、與其他國家之間聯盟的機敏資訊，有可能因此流出而造成影響。而針對伊朗駐俄羅斯、荷蘭大使館遭到攻擊的情況，研究人員認為，這代表伊朗在外交上存在更為廣泛的地緣政治利益考量，特別是該國對俄羅斯、烏克蘭之間的立場；至於鎖定喬治亞政府機關的網路間諜活動，則有可能是為了監視該國打算加入歐盟及北約組織（NATO）的動態。 <a href="https://www.trendmicro.com/en_us/research/24/a/pawn-storm-uses-brute-force-and-stealth.html">俄羅斯駭客組織APT28發動NTLM中繼攻擊</a>  <a href="https://s4.itho.me/sites/default/files/images/pawn-storm-updates-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/pawn-storm-updates-1.jpg" style="width: 300px; float: right;" /></a>針對代號為Fancy Bear、Strontium、Pawn Storm的俄羅斯駭客組織APT28，資安業者趨勢科技公布其2022年4月至2023年11月的攻擊行動，其共通點是透過多種方式發動NTLM密碼雜湊中繼（NTLM hash relay）攻擊，駭客的目標涵蓋政府機關、國防工業、能源、交通單位、軍隊，範圍遍及歐洲、北美、南美、亞洲、非洲、中東。 他們去年12月看到駭客濫用執行EdgeOS作業系統的路由器，將其用來發送網路釣魚郵件，一旦收信人利用微軟收信軟體Outlook開啟，就有機會觸發Outlook權限提升漏洞CVE-2023-23397（CVSS風險評分為9.8）、WinRAR程式碼執行漏洞CVE-2023-38831（CVSS風險評分為7.8），存取使用者的NTLM雜湊密碼來進行中繼攻擊，從而對目標組織的電子郵件信箱進行未經授權的存取。 經過研究人員的進一步調查，他們認為駭客在2022年4月就開始利用CVE-2023-23397。到了11月29日至12月11日，這些駭客又對於歐洲各國政府下手，使用webhook[.]site並搭配VPN服務來發送釣魚郵件，這些信件帶有Windows捷徑檔案（LNK），最終導致NTLM密碼雜湊中繼攻擊。 <a href="https://hub.dragos.com/report/voltzite-espionage-operations-targeting-u.s.-critical-systems">中國駭客Volt Typhoon鎖定美國、非洲電力設施的工業控制系統發動攻擊</a> 五眼聯盟針對中國駭客Volt Typhoon的攻擊行動提出警告，指出這些駭客對於美國關鍵基礎設施進行長時間攻擊，至少埋伏5年，現在有研究人員找到新的發現。 專精工業控制系統的資安業者Dragos指出，他們追蹤與Volt Typhoon行蹤有所交集的駭客組織Voltzite，此集團大多鎖定美國及非洲的電力產業，但衛星、電信、災害管理、國防工業等領域也有受害者，這群惡徒幾乎都採用寄生攻擊（LotL）手法，並導入高階的操作安全實務，以確保他們的行動不會反遭滲透。 為了藏匿攻擊來源，這些駭客會在受害組織部署各式的Web Shell及快速反向代理伺服器（fast reverse proxy，FRP）工具，來向C2進行通訊，而C2流量通常也藉由遭駭的家用與小型辦公室（SOHO）網路設備及虛擬私人伺服器（VPS）基礎設施來處理。此外，這些駭客通常會藉由竊取帳密資料來進行橫向移動。 <a href="https://citizenlab.ca/2024/02/paperwall-chinese-websites-posing-as-local-news-outlets-with-pro-beijing-content/">中國公關公司架設100多個WordPress網站，冒充世界各地新聞媒體散布對中國有利的訊息</a> <a href="https://s4.itho.me/sites/default/files/images/paperwall-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/paperwall-7.png" style="width: 300px; float: right;" /></a>加拿大多倫多公民實驗室（Citizen Lab）揭露中國公關公司架設123個網站、假冒歐洲、亞洲、拉丁美洲30個國家新聞媒體，透過發布大量新聞稿，散播有利於中國政府的假資訊，研究人員將這起攻擊行動稱為PaperWall。 關於這起活動被發現的原因，起初是10月底義大利新聞網站Il Foglio揭露有6個冒充當地新聞媒體的網站，但他們發現這些網站並未依照該國法律向國家註冊為新聞媒體，而且這6個網站的結構、版面、內容極為相似，並夾雜大量與中國有關的新聞；11月韓國國家網路安全中心（NCSC）也有類似發現，他們看到有18個假冒當地媒體的韓文網站，並指出這些網站由中國公關公司海賣（Shenzhen Haimaiyunxiang Media Co., Ltd.，Haimai）經營。公民實驗室研究人員循線進行調查，截至12月21日為止，共找到123個架設這種新聞網站的網域，這些網站皆以WordPress外掛程式WPBakery建置而成，內容主要來自名為Times Newswire，亦有部分從當地媒體抓取。 但值得留意的是，這些網站挾帶特定的政治內容，攻擊對中國不利的人士，例如，研究人員在大部分的PaperWall網站上，看到標題為「Li-Meng Yan完全是謠言製造者」的英文文章，這位是醫學研究員閆麗夢（閻麗夢），曾指控COVID-19病毒源自中國政府實驗室。這起活動至少從2020年開始，雖然目前這些網站的曝光程度非常低，但只要有當地媒體將其內容曝光，就有機會造成影響。 <a href="https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q4-2023/">勒索軟體駭客組織間互通有無，以較少的攻擊次數對工控系統帶來更大傷害</a>  資安業者Dragos針對勒索軟體對工業控制系統（ICS）在2023年第4季造成的威脅態勢進行分析，他們在全球看到204起事故，較前年同期的231起略為下降。 其中針對北美、歐洲、亞洲的工業組織或關鍵基礎設施而來的，分別有87、67、30起；從產業別來看，最嚴重的是製造業，有135起事故，占66.1%，其次是交通運輸部門有26起。至於發起相關攻擊行動的駭客組織，勒索軟體LockBit有52起最多，約占四分之一（25.5%），其次是BlackBasta、BlackCat（Alphv），分別有21、14起。 研究人員指出，雖然針對工控系統的勒索軟體攻擊事件數量下降，但有幾個現象值得留意，首先，就是駭客持續調整攻擊手法，增加了攻擊成功的機率，例如：LockBit、BlackCat、Royal加入遠端加密（remote encryption）手法，透過端點裝置入侵整個組織；再者，則是偏好利用零時差漏洞（如LockBit使用Citrix Bleed漏洞），而讓防守方措手不及；此外，駭客組織如今也積極與媒體互動，吸引記者報導，甚至提供新聞稿或是接受採訪，企圖操縱社會大眾的看法，來對受害組織進行施壓。 <h3>【漏洞與修補】</h3> <a href="https://eclypsium.com/blog/flatlined-analyzing-pulse-secure-firmware-and-bypassing-integrity-checking/">研究人員解析Ivanti Connect Secure韌體，發現使用大量已終止支援的元件而容易受到攻擊</a> 最近1個月Ivanti對旗下的SSL VPN系統Connect Secure（ICS）、NAC系統Policy Secure（IPS）公布5個漏洞，其中超過半數在公布前就被用於攻擊行動，但為何上述的資安系統屢屢成為駭客偏好下手的目標？有研究人員對其韌體進行分析，發現該公司採用多種老舊、已不再受到支援的元件存在風險。 專精韌體安全的資安業者Eclypsium取得ICS韌體ICS-9.1.18.2-24467.1版進行分析，結果發現，此韌體底層執行的作業系統竟是已在2020年終止支援的CentOS 6.4，其Linux核心更是在2016年終止支援的2.6.32版，還有很多元件也相當老舊，而可能存在不會被修補的漏洞，例如：2017年終止支援的OpenSSL 1.0.2n、2010年終止支援的Python 2.6.6，以及2001年終止支援、32位元版本的Perl 5.6.1。 此外，研究人員也在該系統找出大量弱點，包含973個已登記CVE編號的已知漏洞，其中有396個為高風險層級；他們也從76個Shell指令碼找到1,216個弱點、並在5,392個Python檔案找出5,218個漏洞，再者，該系統所使用的800個憑證當中，有133個已經過期。 <a href="https://s4.itho.me/sites/default/files/images/pi_screen_6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/pi_screen_6.png" style="width: 580px;" /></a> <h3>【資安防禦措施】</h3> <a href="https://group.ntt/jp/newsrelease/2024/02/16/240216b.html">為降低軟體供應鏈資安風險，日本IT業者成立安全透明聯盟，迄今有10家公司參與</a>  為了促進供應鏈的安全，去年9月NTT及NEC兩家日本IT龍頭籌畫「安全透明聯盟（Security Transparency Consortium）」，並於10月11日正式成立，當時參與的公司包括網路設備供應商ALAXALA Networks、思科、資安業者FFRI Security, Inc.、日立、三菱電機等，迄今已有10家企業參與。 此聯盟成立的主要目的，是要讓產品供應商、系統整合商、資安業者、採用產品及服務的企業之間進行合作，藉由成員共享圖像化資料的知識與技術，從而基於軟體物料清單（SBOM）來增加相關資料的透明度，最終達到提升整體網路安全的目標。該聯盟打算對SBOM相關的圖像化資料互通制訂對策，並預告在今年春季將進行相關公告。 <h3>【其他新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/wyze-investigating-security-issue-amid-ongoing-outage/">智慧家庭設備業者Wyze出現服務異常，該公司表示是遭遇資安問題導致</a>  <a href="https://www.bleepingcomputer.com/news/security/alphv-ransomware-claims-loandepot-prudential-financial-breaches/">勒索軟體駭客組織BlackCat聲稱對LoanDepot、保德信發動攻擊</a>  <a href="http://www.chainalysis.com/blog/2024-crypto-money-laundering/">政府機關對加密貨幣服務鬆綁，北韓駭客改以比特幣混合器Yomix洗錢</a>  <a href="https://cert.europa.eu/publications/threat-intelligence/tlr2023/">中國、俄羅斯駭客組織針對歐盟發動攻擊，網路釣魚是入侵受害組織的主要管道</a> <a href="https://www.lmgsecurity.com/news/critical-software-vulnerabilities-impacting-credit-unions-discovered-by-lmg-security-researcher-immediate-action-recommended/">供信用合作社使用的CUSG內容管理系統存在漏洞，攻擊者有機會取得超級管理員權限</a>  <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/161326">【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</a> <a href="https://www.ithome.com.tw/news/161319">【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</a> <a href="https://www.ithome.com.tw/news/161289">【2月15日】臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料</a> </div></div></div>
2024/2/19 16:18作者周峻佑https://www.ithome.com.tw/news/161344
Visual Studio 17.10緊密整合GitHub Copilot，加入更多生成式AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟釋出了最新的<a href="https://devblogs.microsoft.com/visualstudio/introducing-visual-studio-17-10-preview-1-is-here/" target="_blank">Visual Studio 17.10第一個預覽版</a>。該預覽版更新重點是整合最新GitHub Copilot，提供開發者更多人工智慧功能提升開發生產力，另外，該版本也納入了數個由社群建議的功能，使程式碼版本控制更為便利。 透過訂閱GitHub Copilot，開發者能夠在Visual Studio中取得生成式人工智慧程式開發建議，在新版擴充套件，Copilot不僅只是扮演一個聊天機器人角色，還要朝成為結對開發夥伴的方向更進一步。Copilot透過與Visual Studio緊密整合，能夠更好地從專案中收集資訊，進一步提供開發者當前開發環境中有意義的答案。 現在開發者可以使用斜線指令加速工作流程，替常見開發任務具體目標設定斜線指令，像是/explain可代表Explain the code等，讓開發者不需要編寫冗長的問題，就能獲得更精準的答案。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0219-Visual%20Studio%2017_10_Preview-Slash%20Commands%20for%20Common%20Tasks.png" style="width: 600px;" /> 此外，開發者可在Visual Studio進行行內聊天，直接於檔案中與Copilot互動並獲得建議，並即時查看差異。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0219-Visual%20Studio%2017_10_Preview-Inline%20Chat.png" style="width: 600px;" /> 微軟參考社群意見嘗試重新建構自訂體驗，在Visual Studio 17.10引入統一設定功能。從這個新版本開始，提供開發者更多自由和介面，來調整和配置開發環境設定。例如，讓用戶可以在全域層級進行設定，或是在更具體的層級進行自訂，像是特定解決方案和或是資料夾層級，使用戶能夠更細緻地控制不同專案的設定，並可依據每個專案的需求進行調整。 開發者可以透過精確的搜尋功能，找到想要調整的設定，而且現在所有設定都會以JSON格式儲存，如此不僅讓設定的儲存更加結構化且易於管理，也讓共享和版本控制變得容易，用戶可以透過編輯JSON檔案快速更改設定，也可以將設定檔與其他人共享，或是在不同的開發環境間簡單移動。另外，微軟也在這些設定選項中，新增重設為預設的功能，以及讓用戶方便發送回饋訊息，供開發團隊進一步改進這些新功能。 根據社群的建議，微軟縮短了人工智慧產生Git提交訊息的建議，而且現在可以更容易地在拉取請求應用工作項目，開發者可以使用相關工作項目，查看在拉取請求描述中所參照的工作項目，並將其與Azure DevOps上的拉取請求相關聯。 Visual Studio更新現在也會包含推薦的元件，微軟整合了新元件以強化軟體開發體驗，並將其中一些元件推薦添加到安裝的工作負載中。從Visual Studio 17.10開始，當開發者更新Visual Studio時，系統也會自動安裝新的推薦元件。 圖片來源／微軟 </div></div></div>
2024/2/19 16:54作者李建興https://www.ithome.com.tw/news/161345
Fintech周報第231期：日本多家中小型銀行與IT廠商合作展開核心系統上雲計畫，目標2028年上線銀行專用雲端平臺…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);">2/8~2/17金融科技精選新聞</h3> <h3> NTT data 共享型核心系統 </h3> <h3>日本多家中小型銀行與IT廠商合作展開核心系統上雲計畫，目標2028年上線銀行專用雲端平臺，共用資料中心、硬體設備和中間軟體</h3> 為了解決大型主機老舊、開發人才銳減的問題，日本多家中小型銀行和IT廠商合作展開核心系統上雲計畫。近期，多家日本地方銀行宣布加入IT大廠NTT Data的一項開發計畫，NTT Data將在今年4月開始開發「整合銀行雲」，一個共享銀行系統的雲端平臺。目前，已有18間地方銀行加入計畫，包括由13間銀行組成的日本地方銀行聯合中心。「整合銀行雲」若順利開發完成，就能整合銀行系統所需的硬體設備和中間軟體至NTT Data建立的資料中心，參與計畫的銀行內部將不再需要備有大型主機，有望降低相關營運成本。 在日本，中小型銀行數量眾多，這些銀行主要經營特定區域，稱為地方銀行，數量高達64間。其中，多達四成的地方銀行都是採用NTT Data開發的核心系統。今年1月，NTT Data已協助五家地方銀行將自家開發的核心財務系統轉換為開放架構，2028年，NTT Data預計上線整合銀行雲，並在2030年將共享型核心財務系統上架至平臺，再研議擴大應用範圍。 <img alt="" src="https://s4.itho.me/sites/default/files/images/020800-02.png" style="width: 600px;" /> <blockquote>NTT Data計畫以三階段逐步將共享型核心財務系統整合至「整合銀行雲」，第一階段是在2024年1月將共享型核心財務系統MEJAR改為開放系統架構，第二階段是在2028年上線「整合銀行雲」，第三階段則是在2030年將MEJAR上架至雲端平臺，並研議擴大應用範圍。 </blockquote> 生成式AI 保險GAI應用 <h3>日本保險公司明治安田生命計畫以GAI自動生成客服應對備忘錄</h3> 明治安田生命近期宣布，將應用生成式AI在人工輸入資料的工作任務，包括在客服中心自動生成應對客戶的備忘錄，和自動生成業務手冊的問答集。 明治安田生命表示，客服中心每年需要處理約55萬筆客戶電話諮詢，通話結束後，客服人員需要人工紀錄諮詢內容，製作客服應答備忘錄。未來，他們會將過往的應答備忘錄供生成式AI模型學習，讓模型自動生成內容，預計能縮短約三成的作業時間。 此外，明治安田生命也計畫藉生成式AI自動生成實務手冊問答集。雖然公司內部已經運用AI打造實務手冊問答搜尋系統，但更新問答集仍是以人工進行。因此，明治安田生命希望藉生成式AI取代這項工作，不僅可縮短四成的工作時長，也能生成人工不易發現的問答內容。 生成式AI 澳洲聯邦銀行 <h3>澳洲聯邦銀行揭露內部已有超過50個GAI應用</h3> 澳洲聯邦銀行（CBA）在2023下半年報告中揭露，內部已有超過50個生成式AI應用，並已提升超過500位員工使用AI工具的能力。雖然報告中並未揭露詳細資訊，但近期CBA資訊長在一場活動中表示，公司內部正在測試以生成式AI加強問答工具，協助消金和企金客服人員更快速回應合規性問題，另一方面，也協助貸款業務員處理資訊，讓他們在服務顧客時能快速進行決策。 <h3> GitHub Copilot 澳盛銀行 </h3> <h3>澳盛銀行研究顯示，GitHub Copilot可協助提升約42%的工作速度</h3> 澳盛銀行近期發表實驗GitHub Copilot的研究論文，該論文經第十屆國際軟體工程研討會（SEC 2024）審查後接收。去年，澳盛銀行進行為期六週、共100名工程師的測試。他們要求工程師以Python完成多項任務，並將100名工程師分為兩組，一組可以使用GitHub Copilot，另一組則為對照組，僅能搜尋網路資料，或使用Stack Overflow。 實驗結果顯示，能使用GitHub Copilot的小組任務完成速度比對照組快約42%，且程式碼較少發生錯誤。但研究也指出，實驗結果無法評估程式碼的安全性。目前，澳盛銀行已經大規模導入這項工具，讓全行千名工程師使用。 <h3> Evident AI AI發展 </h3> <h3>知名銀行AI成熟度指標Evident AI指出，建立自家AI團隊、發表AI研究是成為AI領先銀行的關鍵</h3> Evident AI在去年11月公布全球50大銀行AI成熟度排名，由摩根大通拿下榜首，第一資本排名第二，加拿大皇家銀行排名第三。在這份調查中，Evident AI發現，北美地區的領導銀行在AI發展上能領先歐洲地區銀行的主要原因有三：建立AI研究團隊、發表AI研究論文，和參與AI研討會。其中，領先銀行約在2010年至2020年間，就積極聘請內部AI科學家，累積內部研發能力，凸顯他們對AI人才的重視。 Evident AI報告近一步指出，在全球50大銀行發表的AI研究論文中，北美地區銀行的發表數就占了八成，而排名第一的摩根大通甚至占整體45%。該報告認為，銀行若要吸引或留住頂尖AI人才，就須要改變思維方式，例如允許人員發表研究論文、購買運算能力高的設備、讓人員融入學術人才圈，並減少對供應商的依賴。 <h3> 加密貨幣 金融監管 </h3> <h3>香港金管局提出加密貨幣準備金相關規範</h3> 香港金管局近日發布一份諮詢文件，該文件根據國際巴塞爾銀行監管委員會（BCBS）一年多前制訂的標準，規範銀行持有加密貨幣的準備金，是全球首個採用巴塞爾加密貨幣標準的地區。 該諮詢文件中，將加密貨幣分為兩大類，每類又分成兩小組。一類是代幣化傳統資產和具有穩定機制的加密資產，其他加密貨幣則屬於另一類。前者的定義幾乎等同已規範的傳統資產，僅是透過加密技術將其代幣化，後者定義的資產中，缺乏流動性且具高度客製化的加密貨幣規範最嚴格。這個規範將在5月初截止徵求意見，預計在2025年7月之後實施。 <h3> 個資外洩 第三方支付 </h3> <h3>法國兩家支付業者遭網路攻擊，客戶資料外洩波及法國總人口數的一半</h3> 法國資料保護機構（CNIL）在2月7日公布，支付業者Viamedis與Almerys通報他們在1月遭到網路攻擊，外洩了逾3,300萬名客戶的個資。目前法國約有6,800萬的人口，等於有接近一半民眾的個資遭駭。 這兩家業者主要業務是提供健康保險業者第三方支付服務，外洩資料涵蓋了投保人與其家人的各種資訊，包括社會安全碼、出生日期、健保業者的名稱，以及合約內容。而醫療資訊、金融資訊、郵政資料與電話號碼則未受到影響。 圖片來源／NTT data 責任編輯／李昀璇 資料來源：iThome整理，2024年2月  </div></div></div>
2024/2/19 10:44作者李昀璇https://www.ithome.com.tw/news/161336
Epic Games宣布要在iOS上建立遊戲商店
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 就在蘋果因受到《數位市場法》（Digital Markets Act，DMA）的規範，<a href="https://www.ithome.com.tw/news/161035" target="_blank">而決定放寬政策</a>，於歐盟開放第三方程式市集、第三方瀏覽器引擎及第三方支付機制之後，遊戲業者<a href="https://store.epicgames.com/en-US/news/epic-games-store-2023-year-in-review" target="_blank">Epic Games即宣布</a>，已經取得蘋果的開發者帳號，並正在開發iOS上的Epic Games Store，預計於今年上線，而《要塞英雄》（Fortnite）也可望重返iOS平臺。 蘋果與Google在2020年8月，因Epic Games在所開發的《要塞英雄》遊戲中，加入了自家的支付機制，雙雙以違反開發者政策為由，將《要塞英雄》下架。除了掀起了Epic Games與這兩大科技業者的訴訟之外，之後的《要塞英雄》只能藉由Google Play以外的途徑下載，而蘋果的App Store亦不再供應該遊戲。 然而，《數位市場法》改變了蘋果與Epic Games在歐盟的發展。 Epic Games Store是Epic Games在2018年12月推出的數位遊戲發行平臺，支援Windows與macOS，迄今已提供逾2,900款遊戲，每月的活躍用戶數高達7,500萬。 Epic Games表示，今年該公司在歐洲將重返iOS，已取得蘋果開發者帳號，很快就會著手開發支援iOS的 Epic Games Store，預計今年便會發表。未來將由Epic Games Sweden AB負責歐洲市場的行動Epic Games Store與《要塞英雄》。 除了自家的規畫之外，Epic Games與迪士尼（The Walt Disney Company）在今年2月<a href="https://www.ithome.com.tw/news/161248" target="_blank">宣布結盟</a>，迪士尼以15億美元的注資取得了9%的Epic Games股份，雙方將共同開發以迪士尼角色及故事為主軸的遊戲樂園。 </div></div></div>
2024/2/19 14:44作者陳曉莉https://www.ithome.com.tw/news/161341
Container快報第157期：GKE和EKS開始支援K8s 1.29新版，荷蘭第二大銀行用Cilium控管每月16…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 2024/1/15～2/16 精選容器新聞 去年K8s釋出1.29新版後，公雲業者陸續開始在今年初開始支援，包括Google雲的GKE和AWS的EKS，都從今年初開始提供新版。K8s維運的成本控管問題，越來越複雜，K8s成本專案OpenCost的發起者Kubecost也推出了新版產品，除了支援超大規模K8s的成本追蹤之外，還開始運用AI，來預測K8s叢集未來特定日期範圍的成本，讓企業評估上雲費用的未來負擔。另一則值得注意的是VMware改訂閱制和套餐賣法之後，最近公布了停止供應的產品清單，多達59項產品不再單賣或下架了。 #Cilium #K8s網管 荷蘭第二大銀行用Cilium建立每月16億次API呼叫的零信任網路控管 Rabobank是荷蘭第二大銀行，全球員工近4萬人，開發團隊超過400個。他們有一個5人小組的API平臺團隊，最近用CIlium打造了一套API控管機制，可以建立一個FQDN的網路控管政策，來實現零信任網路，而不用網路IP位址，來控管這上百個開發團隊所用的各種API。他們的基礎架構環境包括了兩套K8s平台，一個是在雲端的AKS叢集，另一個則是在本地端運作的OpenShift叢集，來支援超過400個團隊所用的API平臺的運作，每個月的API呼叫次數超過16億次。原本他們使用了Azure的CNI來控管網路層，但是K8s的網路政策只支援IP列表的控管，尤其許多API在雲端執行時，IP經常會動態變化。要靠IP控管，來建立自動化作業、維護或故障排除，都相當麻煩。 後來，他們改用Azure的客製化CNI，搭配Cilium來建立FQDN的白名單網路政策的控管，只需提供網域清單，而不用IP位址，也能全自動進行網路過濾條件的異動，來落實零信任網路政策的要求。另外，Robobank也啟用了Cilium的Hubble可觀察性功能，來監控API的網路流量。 <img alt="" src="https://s4.itho.me/sites/default/files/images/CNCF%E5%85%AC%E5%B8%83%E6%96%B0Cilium_case.png" /> #容器調度、#K8s K8s年度效能報告出爐，4成企業容器調度能力更準確不容易過量 這是K8s維運管理顧問公司Fairwinds第四年公布K8s效能報告，今年他們追蹤了來自上百家企業，多33萬個K8s工作量的維運情況。有幾項發現，近4成企業過半容器工作量，用了適量的容器規模來實行，這意味著企業的容器利用率，比過去更好。這四成企業更清楚來如過調度合適的容器數量，來符合他們想要的AP執行效能，而不會過度配置。去年多達44%企業，7成工作量都會開啟Root權限，但今年，企業更謹慎控管，下滑到只有30%企業如此。大量容器規模調度用特權提升的企業也減少了15%，更多企業倚賴預先配置的政策或規則來自動調度。 不過，過時的容器映像檔逐漸成為企業的挑戰，今年近半數企業有9成工作量都會遇到容器映像檔過時問題。另外也有3成企業他們的容器工作量9成發生映像檔漏洞問題，去年只有1成企業有同樣的災情。這容器映像檔的維護和安全更新，成了企業基礎架構維運越來越重要的課題。 #Cilium、#OpenTelemetry CNCF公布2023年最活躍的雲原生社群，K8s、OpenTelemetry和Cilium名列前三 在今年初時，CNCF公布了2023年最活躍的開源雲原生專案排名，K8s專案向來都是第一名，去年仍有高達3,569名貢獻者，送出4萬多次程式碼更新。活躍度名列第二的是OpenTelemetry專案，隨著可觀察性需求越來越高，這個雲原生開可觀察性框架的發展也越來越蓬勃，去年高達1467名貢獻者，送出近2萬次程式碼更新。活躍度名列第三的是另一個網路可觀察性專案Cilium，雖然這個專案只有443名貢獻者，不到OpenTelemetry專案的三分之一，但在去年也送出了1萬5千次程式碼更新，甚至可以說，平均每位貢獻者的積極程度，比第二名的專案還要高。值得注意的是，API管理平臺Argo專案（896人）和開發者平臺專案Backstage（602人）的貢獻者規模，分別名列第三、四名，這是兩個參與者越來越多的專案。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7CNCF_Top_Project.jpeg" /> #FinOps、#OpenCost K8s成本工具大升級，Kubecost新版能用AI預測用戶支出 K8s成本工具服務商Kubecost推出2.0新版，這是以他們開源捐給CNCF的OpenCost為核心，所打造的同名K8s成本管理工具，新版不只大幅提高了後端API的效能，能以視覺化呈現所有流量的成本，還可以用AI來預測使用者的K8s支出。 2.0 新的API後端大幅提升效能100倍，處理大規模Kubernetes環境的時候，可以更靈敏地操作Kubecost API和UI，現在可以查詢3年以上的歷史資料，以獲得更長時間的資源利用率趨勢，進行更全面的決策和分析。Kubecost網路監控現在可以提供Pod、命名空間、叢集和雲端服務的成本可見性，以接近即時的速度，視覺化呈現基礎設施中任一部分的成本。透過AI分析歷史Kubernetes和雲端資料，可以提供準確的預測成本波動，也能預測未來特定日期範圍的支出成本。 <img alt="" src="https://s4.itho.me/sites/default/files/images/forecasting-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Kubecost.png" /> #Hyper-V、#新版Windows Server Windows Server 2025釋出第一個預覽版本，聚焦四大類功能強化 微軟最近釋出了下一版的伺服器作業系統Windows Server 2025預覽版，將強化四大類功能，包括了更簡單的熱更新機制，不用重新開機就能更新修補程式。新版也將推出了新一代AD和SMB機制，像是SMB over QUIC，讓用戶可選擇是要透過TCP、RDMA或QUIC等傳輸協定來連結SMB伺服器，過去只有Windows Server Azure版支援更安全的QUIC，現在不管是資料中心或是標準版都支援它。另外也會針對關鍵任務的資料和儲存需求強化，還會強化Hyper-V對AI的支援，例如可以讓多個虛擬機器共享一顆CPU的資源，Hyper-V也會提高NVMe的支援，例如強化IOPs，支援NVme over Fabirc等。新的按量付費訂閱估能也會成為2025的選項之一。 目前Windows Server正式版是微軟在2021年8月推出的Windows Server 2022，至於下一代的Windows Server 2025正式版，則預計於今年8月發行。 #GKE、#重大漏洞修補 Google緊急修補GKE重大風險漏洞，資安業者估計高達25萬個GKE受影響 資安廠商Orca Security發現在1月底發布了一項GKE的重大風險漏洞，可讓任何具有Google帳號的攻擊者接管配置不當的Kubernetes叢集，進而進行挖礦、阻斷服務攻擊，以及竊取敏感資料等惡意行為。Google已釋出更新，呼籲管理員升級GKE。 資安業者稱為Sys:All漏洞。在GKE中的system: authenticated群組不單連結驗證過及關鍵用戶的帳號角色，還包含所有Google有效帳號（包括外部人士）。不知情的GKE管理員會因此為這個群組指派過大角色權限，而讓外部人士有機可趁，外部人士可以利用自己的Google OAUth 2.0 bearer token，進行偵察、濫用等惡意活動。Orca Security掃瞄網路發現，25萬個GKE叢集都有該漏洞，其中數百個叢集內的存取資訊，能讓攻擊者在受害環境中橫向移動及存取敏感資訊。 #VMware、#vSphere 59項產品受影響！VMware公布停止供應的產品清單 隨著VMware轉為訂閱制後，許多獨立產品也精簡為套裝組合，只提供VMware Cloud Foundation（VCF）和VMware vSphere Foundation（VVF）兩個新產品，作為訂閱軟體提供。哪些產品受到影響？VMware官方在1月底時，<a href="https://blogs.vmware.com/cloud-foundation/2024/01/22/vmware-end-of-availability-of-perpetual-licensing-and-saas-services/">終於公布</a>了停止供應（End of Availability，EoA）VMware產品清單，總計59款產品不再以獨立產品、支援與訂閱、SaaS/託管與其他訂閱的形式提供。 停止供應的有VMware vSphere相關產品，諸如Enterprise Plus、Standard、Storage Appliance與Hypervisor等版本，還有vSAN的ROBO與Desktop等版本，以及NSX與vCloud等相關產品。VMware也宣布終止提供Aria SaaS，但仍會對正在使用Aria SaaS服務的用戶提供支援，直到訂閱期限結束，當訂閱期限結束後，用戶就會需要轉換到VCF或VVF。目前Aria SaaS服務正處於維護模式，因此不會發布新功能，只會對有效訂閱期限內的用戶，提供安全性和關鍵更新。 #DevOps、#Docker Docker公司推出組建映像檔代管服務，提供AMD和ARM雙環境部件工具 最近Docker公司推出了一項組建映像檔的代管服務Docker Build Cloud，可以在雲端代管企業自己用來部署和組建用的映像檔，來加快部署到不同環境的速度。這項服務提供了一組可以支援AMD和ARM環境的組建工具，原生支援多架構平臺，包括Intel（AMD 64）及Apple Silicon/AWS Graviton（Arm 64）晶片上的組建，可節省設定和維護多個原生Builder的麻煩，讓開發者更容易將自家應用部署到兩個不同架構的環境中。另外也提供了團隊共享的組件快取空間，來加快其他人重複部署同一個映像檔的速度。官方宣稱，新服務號稱可讓個人或團隊成員完成組建（build）速度加快39倍。 #容器開發、#Docker Docker桌面版釋出4.27新版，檔案共享的同步功能快10倍 年初時，Docker桌面版釋出了今年第一個新版本4.27，最大新特色是大幅強化了檔案共享的同步能力，讓 Docker桌面版VM內的ext4檔案系統上的檔案，更快和本機端環境的檔案同步，在本地主機或VM中的修改，可以快速同步到另一個環境中。官方宣稱最高提高10倍的檔案同步速度。另外，也可以在不同的虛擬檔案系統中，同步超過10萬的檔案，或是GB級的超大檔案。可以支援如VirtioFS、gRPC FUSE、osxfs等虛擬檔案系統。不過，目前檔案共享的同步功能還不支援WSL或Windows容器。 #EBS、#ECS AWS容器服務ECS開始原生支援EBS區塊服務 Amazon ECS從今年初開始，開始原生支援高效能區塊儲存服務Amazon EBS。不論是在AWS Fargate與Amazon EC2上執行ECS的任務，現在開始都可以配置EBS儲存，使用單一可用區域的低延遲高效能區塊儲存，用戶不需要自己管理儲存或運算資源。已經在9個AWS地區提供，涵蓋美東、美西、歐洲等地區，亞太部分則在新加坡、雪梨和東京地區提供。 #FQDN、#K8s GKE開始支援K8s 1.29版，也正式推出FQDN網管政策功能 去年底K8s釋出最新的1.29版後，隔了一個月，GKE也1月底中開始支援到1.29版K8s，目前在先在標準版、Redualr和Rapid通路支援，穩定版通路還沒支援到1.29。同時，GKE也宣布1.24版停止支援，目前可支援的版本以1.25～1.29為主，共5個版本的K8s。2月初另外一個重要更新是，GKE網路政策功能正式支援FQDN，對於GKE工作負載對外的網路流量，不論是連結到外部網路或內部環境，都可以透過指定完整網域名稱來建立控管清單，也能結合正則表示式來建立各種規則，可以更彈性支援動態IP的API服務的控管，不需要隨時更新API最新的IP。不過，目前只有GKE企業版支援，也先在1.26、1.27和1.28版支援這項功能。2月其他更新還有增加了Pod對Pod流量加密功能，可以提高單一叢集或跨叢集的節點之間網路傳輸的安全性，包括1.26到最新支援的1.29版都支援這項加密新功能。 #EKS、#K8s Amazon EKS也開始支援K8s 1.29版，連Distor版都開始提供新版 不只Google雲，AWS也在1月底左右，增加了對新版K8s 1.29版的支援，不只雲端EKS服務更新，AWS所維護的K8s發行版本EKS Distro版，也同步更新到1.29版，連帶使用Distor版來提供企業本地端部署的EKS Anywhere版也同樣更新。目前EKS所支援的K8s版本達到七個版本，從1.23到1.29，其中1.24提供標準支援，但1.23則要付費購買延伸支援。AWS官方特別提醒，企業要升級到1.29版得要特別留意，FlowScheme和PriorityLevelConfiguration這兩項API版本的更新，因為在1.29版中棄用了這兩項API的beta就版，沒有跟著更新，恐怕會導致配置檔出錯，這是比較容易忽略的配置問題。AWS也在新版更新公告中，特別提醒這一點。 更多新聞 <ul> <li>KSOC發表容器映像檔指紋工具，用eBPF技術快速比對容器映像檔是否遭竄改</li> <li>紅帽捐出可以快速在K8s環境部署Kafka的Strimzi專案，成為CNCF孵化專案</li> </ul> @資料來源：iThome整理，2024年2月 責任編輯：王宏仁 </div></div></div>
2024/2/19 14:44作者王宏仁https://www.ithome.com.tw/news/161334
【資安週報】2024年2月5日到2月17日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在2月農曆春節前後，剛好適逢多家廠商發布每月安全更新，包括微軟、Adobe、SAP等多家IT業者，在掌握這些漏洞修補動向之餘，這期間有不少漏洞利用情形，更是需要企業優先重視。我們整理如下： 有3個零時差漏洞已遭成功利用： ●Fortinet在2月8日修補已遭利用的零時差漏洞CVE-2024-21762，這是存在該公司SSL VPN元件的RCE漏洞。 ●微軟在2月13日修補73項漏洞中，有兩個是已遭利用的零時差漏洞，分別是：可繞過網際網路捷徑檔安全功能的CVE-2024-21412，以及可繞過Windows SmartScreen安全功能的CVE-2024-21351。 還有4個已知漏洞，在近期被發現遭攻擊者利用，首先是微軟修補Exchange伺服器重大漏洞CVE-2024-21410，隔日該公司示警有攻擊利用，其他包括：Roundcube郵件伺服器去年9月修補的漏洞CVE-2023-43770、Google去年9月修補Chromium V8類型混淆漏洞，以及思科2020年5月修補防火牆產品的資訊洩漏漏洞CVE-2020-3259。 在資安事件方面，有3項消息成為焦點，都與上櫃及興櫃公司有關，包括： ●2月5日，上櫃化學工業美琪瑪的部分資訊系統遭受網路攻擊。 ●同樣2月5日，上櫃觀光富野說明旗下分公司的資訊系統遭網路攻擊。 ●2月15日，興櫃瑩碩生技代子公司公告，揭露歐帕生技醫藥遭遇網路攻擊事件。 在這些公告之後，還有其他狀況發生，在此一併補充。關於上述美琪瑪遭網路攻擊，有駭客2月16日於論壇聲稱兜售該公司2TB資料；中華民國紡織業拓展會（紡拓會）也傳出可能遭駭，因為他們被一個勒索軟體組織列為受害者，這類法人協會被鎖定的狀況，可能同樣需要追蹤。 醫療健保相關產業也要注意，因為國際上最近有2起相關重大資安事故，例如，羅馬尼亞有1百多家醫院遭網路攻擊，當地網路安全局及衛生部已證實，是醫院服務供應商遭到Backmydata勒索軟體攻擊；法國健保業者客戶傳出資料外洩，由於事件恐波及該國近半數民眾，當地的資料保護機構CNIL針對提供第三方支付的兩家公司Viamedis與Almerys進行調查。 在威脅焦點方面，最近有相當多起資安威脅的揭露，都與中國駭客網路攻擊有關，我們整理如下： ●資安業者Trellix最近指出，臺灣總統大選投票前一天遭受網路攻擊出現大幅增加，根據他們的遙測資料顯示，部分惡意流量特別針對政府、執法與金融單位。 ●資安業者SentinelOne揭露，中國當局在2022年宣傳美國對其發動駭客攻擊，調查其宣傳內容發現，中國的指控普遍缺乏相關的技術分析及證據。 ●荷蘭軍事情報暨安全局（MIVD）、情報暨安全總局（AIVD）發布聯合公告，指出該國國防部去年遭中國網路間諜入侵，並植入後門程式。 ●關於LLM被國家級駭客惡意使用，微軟與OpenAI揭露濫用方式，包括查詢開源資訊、翻譯、找程式碼漏洞等，並指出中、俄、伊、北韓駭客組織都已這麼做。 特別的是，繼2023年11月義大利報紙 Il Foglio揭露6個冒充義大利新聞媒體的網站，以及韓國國家網路安全中心（NCSC）揭露18個冒充當地新聞媒體的網站，最近<a href="https://citizenlab.ca/2024/02/paperwall-chinese-websites-posing-as-local-news-outlets-with-pro-beijing-content/">加拿大公民實驗室（Citizen Lab）發表名為Paperwall的報告</a>，揭露至少有123個網站冒充歐洲、亞洲、拉丁美洲當地的新聞機構，目的是宣傳親中內容，經層層追蹤這些網站後發現，都與1家中國公關公司有關。本期日報尚未提及，在此補上。 其他值得關注的威脅手法，我們認為有3項消息需要特別留意： ●香港警方表示，跨國企業員工因為駭客利用Deepfake技術假冒公司主管參加視訊會議，並指示員工轉帳2億港幣，等到事後向總公司確認才發現上當。 ●關於QR Code網釣，有郵件安全業者研究多半是針對高階主管而來，比一般員工高出42倍。 ●資安業者分析能迴避資安防護系統的惡意程式，發現有7成惡意程式會採用隱形（stealth-oriented）手法。 在資安防護方面，有兩個重要新聞，分別是對於勒索軟體與量子破密的因應。針對2023年下半造成重大災情的勒索軟體Rhysida，最近有南韓國民大學研究人員找出其實作漏洞進而破解，後續將提供免費解密工具；近年國際間持續看重後量子密碼學的發展，最近Linux基金會更是宣布，與AWS、Cisco、Google、IBM與Nvidia等11個組織成立後量子密碼學聯盟PQCA，希望透過建立開放與合作的環境，開發用於評估、原型設計與部署後量子演算法的軟體。 <h3><a href="https://www.ithome.com.tw/news/161188">【2月5日】知名遠端桌面連線軟體AnyDesk證實伺服器遭駭並撤換程式碼簽章</a></h3> 近年來利用遠端桌面連線程式入侵受害電腦，已是駭客偏好的手法之一，但若是提供這類系統的業者遭駭，很有可能讓攻擊者取得大量帳密資料，並將其用於發動攻擊。 上週末AnyDesk證實他們有伺服器遭到入侵，並尋求資安業者協助，進行這起事故的後續回應，雖然該公司強調他們尚未得知有使用者受到影響，但有資安業者發現駭客已在地下論壇兜售大量AnyDesk帳密，後續發展有待觀察。 <h3><a href="https://www.ithome.com.tw/news/161212">【2月6日】駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣</a></h3> 大約3、4年前，<a href="https://www.ithome.com.tw/news/139454">用深度學習（Deep Learning）進行AI影像合成的假訊息及詐騙手法Deepfake出現</a>，引起資安界高度關注，而最近有2起事故再度讓Deepfake帶來的威脅浮上檯面。 其中之一是網路上有人利用<a href="https://www.ithome.com.tw/news/161083">這類技術產生知名歌手Taylor Swift的色情照片</a>；而另一起則是直接造成財務損失，駭客用於對跨國企業財務人員的視訊會議詐騙，利用該公司高階主管網路上公開的影片進行合成，讓這名員工信以為真。 <a href="https://www.ithome.com.tw/news/161232">【2月7日】求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標</a> 為了竊取大量使用者資料，不少攻擊行動鎖定電商網站而來，甚至發展出側錄使用者信用卡的手法Magecart，但現在，也有專門針對提供其他服務的網站而來的情況。 最近資安業者Group-IB揭露的ResumeLooters攻擊行動，就是針對求職網站而來，駭客的主要目標是亞太地區，其中，又以印度和臺灣的災情最嚴重。 <h3><a href="https://www.ithome.com.tw/news/161289">【2月15日】臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料</a></h3> 駭客意圖藉由網路攻擊來操縱國家重要選舉的情況，可說是越來越常見，而這樣的情況，也出現在臺灣上個月舉行的總統與立委大選。 根據資安業者Trellix的觀察，他們發現中國駭客在選舉的前一天，企圖透過網路攻擊找出能用於抹黑的資料，研究人員認為駭客選擇此時間點的原因在於，一旦找到相關的資訊大肆散布，候選人將沒有足夠時間進行澄清，而有機會左右選舉的結果。 <h3><a href="https://www.ithome.com.tw/news/161319">【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</a></h3> 民眾透過手機操作網路銀行的情況在全球各地可說是相當普遍，針對手機而來的金融木馬攻擊，在最近2到3年有越來越頻繁的現象，但過往這類惡意程式幾乎都是針對安卓手機而來，如今也出現同時攻擊iPhone用戶的金融木馬程式。 本週資安業者Group-IB揭露的金融木馬GoldPickaxe，就是典型的例子。特別之處在於，駭客濫用的管道是蘋果專供開發人員發布測試版應用程式的平臺TestFlight，對這類手機用戶發動攻擊。 <h3><a href="https://www.ithome.com.tw/news/161326">【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</a></h3> 這1個月以來，Ivanti公布了5個Connect Secure漏洞，其中有3個在該公司發出公告之前就被用於攻擊行動，也因此這些漏洞後續的情況，引起不少研究人員高度關注。 這些漏洞導致IT人員須持續追蹤公告、安排套用緩解措施及部署更新的行程，疲於奔命。話雖如此，研究人員發現，可透過網際網路存取的Ivanti系統，仍有超過半數未修補。 </div></div></div>
2024/2/19 11:52作者羅正漢https://www.ithome.com.tw/news/161338
全球科技業者承諾將力抗今年選舉的AI欺騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 包括微軟、Google、Meta、OpenAI及IBM等全球20家科技業者<a href="https://www.aielectionsaccord.com/uploads/2024/02/Press-Release-AI-Elections-Accord-16-Feb-2024.pdf" target="_blank">在日前舉行的慕尼黑安全會議（Munich Security Conference，MSC）上承諾</a>，將共同努力偵測及打擊有害的AI內容，以防止這些欺騙性的AI內容干預2024年的全球選舉活動。今年總計有40個國家舉辦選舉活動，光是還未執行的總統大選就有美國、巴基斯坦、斯里蘭卡及迦納等，還有眾多的普選與議會選舉，投票人數超過40億人。 這些科技業者具體提出了8項承諾，分別是開發及導入可用來減少欺騙性AI選舉內容的技術與工具；評估此一承諾範圍內的模型，理解它們可能帶來欺騙性AI選舉內容的風險；試圖偵測相關內容於其平臺上的散布；尋找適當解決在平臺上所偵測到的欺騙性內容；培養跨產業對欺騙性AI內容的防禦能力；向大眾揭露如何解決問題的透明度；繼續與全球民間社會組織或學術界交流；支持對大眾意識、媒體素養及整個社會復原能力的推動。 簽署此一承諾的科技業者涵蓋 Adobe、Amazon、Anthropic、Arm、ElevenLabs、Google、IBM、Inflection AI、LinkedIn、McAfee、Meta、微軟、Nota、OpenAI、Snap、Stability AI、TikTok、趨勢科技、Truepic與X。 科技業者對此一行動所凝聚的共識來自於今年是個特殊的選舉年，全球在2024年舉行了大量的重要選舉，且民主建立在安全及可靠的選舉之上，而在此一AI急速發展的時代，業者想要確保AI工具不會成為用來散布欺騙內容的選舉武器。 <a href="https://blogs.microsoft.com/on-the-issues/2024/02/16/ai-deepfakes-elections-munich-tech-accord/" target="_blank">微軟指出</a>，此一協議明確地關注了一系列擁有具體定義的深度造假及濫用行為，所指涉的欺騙性AI選舉內容包括由AI生成的音訊、視訊與圖像，除了偽造候選人的聲明或行為之外，也可能傳遞虛假的投票行為。 微軟亦特別為此建立了一個<a href="https://www.microsoft.com/en-us/concern/2024elections" target="_blank">檢舉平臺</a>，讓全球候選人皆可檢舉各種疑似由AI生成、涉及他們的欺騙性內容。 </div></div></div>
2024/2/19 12:53作者陳曉莉https://www.ithome.com.tw/news/161339
AI趨勢周報第243期：群創光電開源70億參數的繁中語言模型白龍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 重點新聞(0209～0215) 群創光電 LLM 白龍 群創光電開源繁中LLM和基準測試資料集 2月初，群創光電智能推進處Text&AIGC研發團隊<a href="https://www.facebook.com/groups/datasci.tw/permalink/7143444135732915/?mibextid=K35XfP">揭露</a>一款自行打造的繁中語言模型Bailong-instruct 7B和基準測試資料集，要推動繁中LLM的發展。進一步來說，該模型中文名為白龍，具70億參數，以壓縮方法QLoRA和團隊自行研發的束帶嵌入（Zip-tie embedding）技術，來大幅降低訓練所需的算力，同時強化模型在繁體中文任務的表現。 Bailong-instruct 7B以Llama 2 7B為基礎，透過詞表擴充進行二次預訓練和指令精調而成，是一款類似ChatGPT的指令理解模型，支援繁中和英文。團隊表示，該模型在寫信、摘要生成、閱讀理解等任務的表現良好，此外，根據他們在Hugging Face上公開的資料，白龍模型還可處理多輪對話、開放式問答等多種任務。 同時，團隊還釋出一套自建的測試基準資料集Bailong-bench，提供14個中英應用場景來測試模型表現。如同主流評估方法，他們的原理是選定一套LLM（如GPT模型）作為裁判，來評估不同模型回答不同問題的表現，但特別的是，這款Bailong-bench基準測試還添加了模型回答語言與使用者語言一致的考量。經該資料集測試，Bailong-instruct 7B的得分接近ChatGPT（gpt-3.5-turbo-1106），還優於其他開源的繁中LLM，比如在一般場景中，白龍得分為9.2、ChatGPT則是9.9，其餘則是Taiwan-LLM-7B-v2.1-chat的7.7分、Taiwan-LLM-13B-v2.0-chat的8.1分。<a href="https://huggingface.co/INX-TEXT/Bailong-instruct-7B?fbclid=IwAR22LjrWw2LfqOXGLHp3dScUf4uQAM6ozpBP7xLhO7lfvuEb8qLTuaq_0hE">（詳全文）</a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-02-18%20at%202_10_23%20AM.png" /> 影片生成 Meta V-JEPA Meta公開新影片生成模型V-JEPA 科技巨頭Meta人工智慧研究團隊，最近揭露用於影片預測的非生成式AI模型V-JEPA，透過預測影片中缺失或被遮蔽的部分，來提高AI對這個世界的理解。V-JEPA的靈感來源，是來自Meta AI首席科學家Yann LeCun在2022年提出的JEPA架構，Meta曾在去年以JEPA架構開發電腦視覺模型I-JEPA，能預測畫面缺失的資訊，來生成圖像。 現在，Meta進一步擴展JEPA，發展出能處理影片的V-JEPA。就訓練方法來說，團隊讓模型觀看一系列影片，並將這些影片遮蔽處理，來要求預測器在只有一小部分影片內容的上下文中，填充缺失的內容。這麼做的好處是，讓模型專注於影片的高層次概念，而非鑽牛角尖於對下游任務不重要的細節。V-JEPA採自監督學習方法，使用未標記的資料進行預訓練，只在要模型適應特定任務時，才會使用標籤。V-JEPA還能丟棄不可預測的資訊，提高訓練和採樣效率達1.5到6倍。 V-JEPA特點之一是凍結評估（Frozen Evaluations），也就是模型在預訓練後，核心部分不會再改變，只需添加小型專門層即可適應新任務，免除傳統模型對新任務需要全面微調的麻煩。目前，Meta以CC BY-NC授權釋出V-JEPA模型。<a href="https://ai.meta.com/blog/v-jepa-yann-lecun-ai-model-video-joint-embedding-predictive-architecture/">（詳全文）</a> <img alt="" src="https://scontent.ftpe12-1.fna.fbcdn.net/v/t39.8562-6/427979095_923374739138637_7724069779118251294_n.png?_nc_cat=108&ccb=1-7&_nc_sid=f537c7&_nc_ohc=Ku4zorcFMIAAX_f496m&_nc_ht=scontent.ftpe12-1.fna&oh=00_AfConFFiEFX0mvBV40v265HKJuwNd7eQQ7aiEqXuFst3Sg&oe=65D5458A" /> 影片生成 OpenAI Sora OpenAI揭最新短影片生成AI模型Sora，品質更高了 OpenAI最近揭露最新生成式AI模型Sora，輸入文字就能產生高品質、最長1分鐘的短影片。進一步來說，Sora是一個擴散模型，能生成多個角色、特定動作和精準主題細節與背景的複雜場景影片，，能從一個看似靜態噪音的影格開始，逐步透過去除噪音生成一則影片。 Sora以DALL-E和GPT模型為基礎，使用DALL-E 3的重描述技術，能根據視覺訓練資料產生細緻的描述文字，因此也能貼近用戶的文字指令，來產生影片。同時，該模型也能將靜態圖片動態化。也就是說，Sora能從無到有生成全新影片，也能延長現有影片，或將遺失的影格補上。OpenAI點出，Sora是能理解和模擬真實世界的模型基礎，是實現通用AI的重要里程碑。目前，OpenAI正對Sora進行安全和功能測試。<a href="https://openai.com/sora">（詳全文）</a> <img alt="" src="https://openai.com/sora?video=zen-garden-gnome" /><img alt="" src="https://s4.itho.me/sites/default/files/images/60216-sora%20by%20openai-600-1.jpg" /> .NET 微軟 雲原生 .NET 9預覽版來了！聚焦雲原生和AI支援 微軟才發布.NET 8不久，.NET 9預覽版已經來了！.NET 9的重點仍是效能提升、雲端原生與AI開發支援。首先，微軟在第9版改善了Visual Studio和VS Code，加入.NET Aspire技術框架新的開發和部署功能，如元件配置、除錯支援、全面整合開發者儀表板，來讓開發者更輕鬆管理和監控應用程式。開發者也可從Visual Studio、VS Code，結合使用Azure Developer CLI，將應用程式快速部署到Azure容器，讓應用程式更快上雲。 此外，.NET 9還持續改進Native AOT（Ahead-of-Time Compilation），來提高應用程式的啟動速度和執行效率，減少資源消耗。至於.NET 9對AI開發的支援，則是要讓開發者更容易使用新AI技術和OpenAI服務，亦即提供更多函式庫和文件，協助開發者使用OpenAI服務和其他開源模型，包括本地端和雲端模型的支援。微軟也會持續投資跨平臺機器學習框架ML.NET，強化向量資料庫和AI工作負載的支援，讓開發者更容易將AI功能整合到應用程式中。目前，微軟已開放.NET 9預覽版供開發者下載測試。<a href="https://devblogs.microsoft.com/dotnet/our-vision-for-dotnet-9/">（詳全文）</a> Gemini Google 多模態 Google發表Gemini 1.5，可支援百萬個Token上下文 日前，Google發表最新的Gemini 1.5模型，最多可支援長達100萬個Token的脈絡，也就是能一次處理大量資訊，如1小時的影片、11小時的音訊、超過3萬行的程式碼，或70多萬字的內容。 這款Gemini 1.5模型主要採用Transformer和新的專家混合（MoE）架構，前者為一大型神經網路，後者則由眾多小型的專家神經網路所組成。MoE模型可根據使用者所輸入的資料類型，選擇性地在神經網路上啟動最相關的專家路徑，因此大幅提高模型效能。根據Google計畫，他們將在原本的Gemini 1.5 Pro服務中採用Gemini 1.5模型，將基本版支援的12.8萬個Token擴大到100萬個。<a href="https://blog.google/technology/ai/google-gemini-next-generation-model-february-2024/">（詳全文）</a> 圖像生成 Stability AI Stable Cascade Stability AI發表新一代圖像生成模型，比前一代更省16倍成本 Stability AI日前發表新一代文字轉圖像模型Stable Cascade，可簡單地在消費級硬體上訓練和微調。就流程來說，Stable Cascade有3步驟將文字轉換為圖像，包括潛在解碼階段的步驟A與步驟B，以及潛在生成階段的步驟C。 其中，步驟C是將用戶的指令，轉換成一張小型且簡化的圖像草稿，只包含重要資訊，再將草稿輸入至步驟A和步驟B，同時加入更多細節並放大，形成一張詳細且高解析度的圖片。由於步驟C與步驟A、B分離，因此可單獨對步驟C額外訓練和微調，包括ControlNet和LoRA的訓練。這種設計，讓新模型與訓練一個類似大小的Stable Diffusion模型相比，節省了16倍成本。 經測試，Stable Cascade不只效能更好，產生的結果也比前一代模型SDXL更好。目前，Stability AI開源步驟C和步驟B各兩種模型，步驟C有10億參數和36億參數版本，步驟B則有7億和15億參數版本。不只如此，團隊也同時開源用於訓練、微調、ControlNet和LoRA的所有程式碼，但這些開源資料只限非商業使用。<a href="https://stability.ai/news/introducing-stable-cascade">（詳全文）</a> <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/field/image/collage_1.jpg?itok=NpNNSMsq" /> LLM Slack 摘要 Slack發表Slack AI服務，可摘要各種訊息 主打企業溝通軟體的Slack最近發表Slack AI服務，提供多項LLM驅動的個人化功能。首先是個人化搜尋，能在使用者搜尋問題時，根據使用者企業的公開通訊內容和個人對話來客製化答案，涵蓋行銷專案、公司政策、過去決策、尋找主題專家到定義特定的縮寫等領域。再來是頻道回顧功能，能總結任何頻道重點，包括未讀訊息、過去7天的重點，還能統整自訂的日期期間。另一個功能是對話串摘要，可整理長期對話的重點摘要，每個摘要也會附上來源。 Slack強調，Slack AI運作於Slack的基礎設施上，所使用的各種LLM都由Slack代管，並不會與LLM供應商分享客戶資料，也不會利用客戶資料來訓練LLM。據Slack統計，在Slack AI出現前，該平臺的使用者已打造可整合Slack使用的13,400種AI工具，合作夥伴亦已將AI整合到眾多的Slack應用中。該服務初期支援英文和Enterprise Grid方案客戶。<a href="https://slack.com/intl/zh-tw/help/articles/25076892548883-%E9%9A%86%E9%87%8D%E4%BB%8B%E7%B4%B9%EF%BC%9ASlack-AI">（詳全文）</a> <img alt="" src="https://slack.zendesk.com/hc/article_attachments/26243946041747" /> 瀏覽器 ONNX Runtime 模型訓練 開發者可在瀏覽器訓練模型！ONNX Runtime 1.17還支援聯合學習 微軟更新AI推論與訓練加速引擎ONNX Runtime（ORT），加入網頁訓練功能，讓開發者在瀏覽器中啟用模型訓練功能，如此裝置上的資料就能透過瀏覽器，進行聯合學習和個人化應用。 從1.8版本開始，ORT Web提供瀏覽器內推論功能，讓開發者可部署跨平臺、可移植的AI模型，並支援模型在CPU和GPU推論。在最新的ONNX Runtime 1.17中，進一步支援在瀏覽器訓練機器學習模型，該功能主要由2部分組成，分別是WebAssembly二進位檔案和JavaScript套件。由於要讓開發者可以在瀏覽器用CPU來訓練模型，ONNX Runtime提供訓練功能應用程式介面C API，但瀏覽器不能直接執行C語言程式碼，所以需要使用低階語言WebAssembly協助。<a href="https://cloudblogs.microsoft.com/opensource/2024/02/06/on-device-training-training-a-model-in-browser/">（詳全文）</a> 圖片來源／Meta、OpenAI、Stability AI、Slack AI近期新聞 1. <a href="https://openai.com/blog/memory-and-new-controls-for-chatgpt">OpenAI更新ChatGPT增加記憶能力</a>，能記住更多對話內容 2. Nvidia推出<a href="https://blogs.nvidia.com/blog/chat-with-rtx-available-now/">Chat with RTX</a>應用程式，供用戶在本地端自訂AI聊天機器人 3. Nvidia揭露世界第9名AI超級電腦Eos<a href="https://blogs.nvidia.com/blog/eos/">更多細節</a> 資料來源：iThome整理，2024年2月 </div></div></div>
2024/2/18 02:56作者王若樸https://www.ithome.com.tw/news/161333
Extreme首款Wi-Fi 7基地臺登場，提供6種模式與專屬感測器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/extreme_networks_ap5020_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 年初出現一波商用Wi-Fi 7基地臺新品推出的消息，例如，Fortinet在1月中推出FortiAP 441K與FortiAP 443K，月底Extreme Networks也發布AP5020，支援大頻寬、對於存取延遲敏感的各種應用系統，以及物聯網設備的存取，可用於分散式企業組織，協助建置高效能、安全的網路環境。 這款支援802.11be協定的Wi-Fi 7基地臺，支援5個頻段的設計。首先是6 GHz、5 GHz、2.4 GHz這三個頻段，均採用4x4:4的天線通訊架構，可匯聚的總頻寬達到20 Gbps，能支援高密度的使用環境，像是校園、倉儲、醫療照護設施、體育場館；同時，它也配備兩個物聯網專用的無線通訊頻段，支援Thread、Zigbee、藍牙低功耗5.4、IEEE 802.15.4等標準，同時用於多種物聯網應用案例，針對使用不同物聯網通訊協定的感測器、電子貨價標籤、照明設備、資產追蹤裝置，改善網路連線效能，並降低建置複雜性。 就運作模式而言，AP5020預計將提供6種之多，初期有兩種，一是2.4 GHz、5 GHz、6 GHz的資料無線通訊（Mode 1），另一是兩個5 GHz搭配6 GHz的資料無線通訊（Mode 3）。後續將透過軟體更新，提供其餘4種模式，屆時企業可選用：兩個5 GHz搭配2.4GHz（Mode 5）、兩個6 GHz搭配5 GHz（Mode 6），以及5 GHz與6 GHz資料無線通訊搭配三頻段感測器（Mode 2）、2.4 GHz與5 GHz資料無線通訊搭配三頻段感測器（Mode 4）。 相較之下，該公司先前推出的4款Wi-Fi 6E基地臺：AP4000、AP5010、AP5050、AP3000，僅提供兩種運作模式，其中之一是2.4 GHz、5 GHz、6 GHz資料無線通訊，另一是2.4 GHz、5 GHz資料無線通訊，搭配三頻段感測器（AP3000例外，提供2.4 GHz、5 GHz資料無線通訊，以及5 GHz、6 GHz資料無線通訊等兩種模式）。 <a href="https://s4.itho.me/sites/default/files/images/Extreme AP5020-Software Defined.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Extreme%20AP5020-Software%20Defined.jpg" style="width: 398px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Extreme%20AP5020-RF.png" style="width: 198px;" /> 之所以能提供這麼多種模式的選擇，主要是因為AP5020具備軟體定義無線通訊（Software-Defined Radios）的功能，而這類特色過去我們曾在<a href="https://www.ithome.com.tw/review/127729">Aerohive的Wi-Fi 6基地臺</a>的產品報導提到，隨著2019年Extreme Networks買下Aerohive之後，此技術終於在Wi-Fi 7產品再次重現。（AP5010提供兩種軟體定義模式，在Wi-Fi 6E產品首開先例） 基於此種彈性設置，AP5020不僅能針對2.4 GHz、 5 GHz、6 GHz這三個頻段的資料通訊，提供多種組合搭配，並且支援兩個5 GHz或兩個6 GHz的傳輸，也能透過軟體可程式化機制，實現多種通訊模式，以更理想的方式管理無線網路頻段的運用，產生極致的個人端裝置無線上網效能體驗。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Extreme%20AP5020-6GHz.jpg" style="width: 600px;" /> 對於可用軟體設置的無線通訊運作，AP5020也能進行智慧型監控，有助於網管人員根據使用者的環境去調整無線網路的通訊頻率，將基地臺設置成需要的模式。除此之外，這款機型如同Extreme Networks的Wi-Fi基地臺，內建行動網路共存過濾器（Cellular Coexistence Filter，CCF），可減少行動寬頻網路的訊號干擾，並且比照上述Wi-Fi 6E基地臺機型，內建多頻段過濾器，使5 GHz與6 GHz所有可用頻道不會因此受限。 同時，AP5020也配備2.4 GHz、5 GHz、6 GHz這三個頻段的專屬感測器，支援2x2的天線架構，可用於持續監控網路環境突然出現的非列管無線裝置，藉此降低資安漏洞濫用活動與網路攻擊的風險。而且，這個感測器還可搭配該公司的無線網路入侵預防系統Extreme AirDefense，以及去年11月發表、今年即將正式推出的SASE解決方案ExtremeCloud Universal ZTNA，強化網路安全存取防護能力。 <a href="https://s4.itho.me/sites/default/files/images/EXTREMECLOUD UNIVERSAL ZTNA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EXTREMECLOUD%20UNIVERSAL%20ZTNA.jpg" style="width: 600px;" /></a> 在電源與有線網路配置上，AP5020內建1個12伏特的DC電源插孔，以及2個支援PoE的10GbE埠。以網路埠而言，AP5020可藉此透過網路線同時接取電力，並且提供PoE容錯備援機制，確保持續連線，因應醫療照護、製造、教育場域的關鍵應用需求，也能在其中一個網路埠選用PoE的供電裝置模式（PSE）支援，可輸出15.4瓦電力，供其他透過PoE接取網路與電力的設備使用。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Extreme%20AP5020-PoE.jpg" style="width: 600px;" /> 關於多個Wi-Fi 7基地臺的集中管理，AP5020可支援該公司營運的雲端管理服務ExtremeCloud IQ，或是設置在企業內部環境的網路控制器ExtremeCloud IQ Controller。這部分功能的設置，似乎與AP5020的作業系統搭配有關，因為AP5020與上述多款Wi-Fi 6E設備一樣，都採用該公司的通用硬體平臺，用戶有兩種Wi-Fi作業系統的選擇，一個是ExtremeCloud IQ Engine OS，另一個是ExtremeCloud IQ Controller Engine OS，可在設備啟用時指定，之後也能變更。 產品資訊 Extreme Networks AP5020 ●原廠：Extreme Networks ●建議售價：廠商未提供 ●支援無線網路規格：802.11 a/b/g/n/ac/ax/be ●網路介面：2個10 GbE埠（支援PoE） ●天線架構：6 GHz、2.4 GHz、5 GHz為4x4:4，MU-MIMO ●傳輸速度：總共為20 Gbps，6 GHz為11,500 Mbps，5 GHz為5,700 Mbps，2.4GHz為1,300 Mbps ●支援供電方式：DC、PoE ●整合其他無線通訊技術：低功耗藍牙、Zigbee、Thread ●尺寸：25.8 x 25.8 x 41公分 ●重量：1.62公斤 ●集中管理平臺：ExtremeCloud IQ、ExtremeCloud IQ Controller 【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】 </div></div></div>
2024/2/17 17:08作者李宗翰https://www.ithome.com.tw/review/161329
【資安日報】2月17日，近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 這1個月以來，Ivanti公布了5個Connect Secure漏洞，其中有3個在該公司發出公告之前就被用於攻擊行動，也因此這些漏洞後續的情況，引起不少研究人員高度關注。 這些漏洞導致IT人員須持續追蹤公告、安排套用緩解措施及部署更新的行程，疲於奔命。話雖如此，研究人員發現，可透過網際網路存取的Ivanti系統，仍有超過半數未修補。 <h3>【攻擊與威脅】</h3> <a href="https://www.bleepingcomputer.com/news/security/over-13-000-ivanti-gateways-vulnerable-to-actively-exploited-bugs/">1.3萬臺Ivanti閘道設備尚未修補近期公布的漏洞</a>  <a href="https://s4.itho.me/sites/default/files/images/GGWK0llbcAAUArv.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGWK0llbcAAUArv.jpg" style="width: 300px; float: right;" /></a>自1月10日Ivanti陸續針對旗下的SSL VPN系統Connect Secure（ICS）、NAC系統Policy Secure（IPS）、零信任網路存取閘道系統Neurons for ZTA，公布一系列漏洞CVE-2023-46805、CVE-2024-21887、CVE-2024-21893、CVE-2024-21888、CVE-2024-22024，如今有更多研究人員公布他們的調查結果，指出這些漏洞皆已遭到利用。 資安業者Akamai指出，他們看到CVE-2024-22024已被用於攻擊行動，並在2月11日出現高峰，當時有80個IP位址發出24萬次嘗試利用漏洞的行動，對於3萬臺Ivanti主機散布惡意程式。 Shadowserver基金會也有類似的發現，他們指出約有3,900臺Ivanti設備曝露於CVE-2024-22024的風險，此外，該基金會也提及仍有1,000臺主機存在CVE-2024-21887的弱點。 研究人員Yutaka Sejiyama也公布調查結果，他指出，截至2月15日為止，全球可透過網際網路存取的Ivanti主機有24,239臺，目前約有10,603臺套用1月31日的修補程式，但修補CVE-2024-22024的主機僅有5,107臺，換言之，至少約有1.3萬臺主機尚未修補上述漏洞。 資料來源 1. <a href="https://www.akamai.com/blog/security-research/2024/feb/scanning-activity-ivanti-cve-february-2024">https://www.akamai.com/blog/security-research/2024/feb/scanning-activity-ivanti-cve-february-2024</a> 2. <a href="https://twitter.com/Shadowserver/status/1757721421252264400">https://twitter.com/Shadowserver/status/1757721421252264400</a> 3. <a href="https://twitter.com/nekono_naha/status/1757971789035245814">https://twitter.com/nekono_naha/status/1757971789035245814</a> <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a">中國駭客組織Volt Typhoon滲透美國關鍵基礎設施長達5年</a>  美國網路安全暨基礎設施安全局（CISA）、國家安全局（NSA）、聯邦調查局（FBI），以及五眼聯盟相關機構聯手，針對中國駭客組織Volt Typhoon攻擊美國關鍵基礎設施的情況提出警告，並指出這些駭客在部分受害組織活動超過5年。 這些機構表示，該駭客組織已破壞美國水力設施、廢水處理系統、交通運輸系統、能源、電信業者等關鍵基礎設施的IT網路環境，其攻擊行動當中的主要手法，就是廣泛採用寄生攻擊（LotL），並濫用外流的帳號，以及落實高強度的操作安全，而能夠長時間在受害系統進行活動，並且不被察覺。 Volt Typhoon在發動攻擊之前，會廣泛對目標組織的網路架構進行偵察，然後通常利用曝露在網際網路上的路由器、VPN、防火牆等設備，利用已知或未知漏洞得到網路環境的初始存取權限，再透過權限提升漏洞得到管理員的帳密資料，並利用遠端桌面協定（RDP）進行橫向移動至網域控制器（DC），然後採取寄生攻擊在目標網路進行調查，並從網域控制器取得AD的資料庫NTDS.dit，從而完全入侵，並著重存取操作科技（OT）資產的能力。上述機構也針對該組織的攻擊行動，提供防禦措施及入侵指標（IoC）。 <a href="https://blog.google/threat-analysis-group/commercial-surveillance-vendors-google-tag-report/">Google指控2023年8成零時差漏洞被商業間諜軟體供應商濫用</a> 2月5日美國國務院宣布，他們將針對利用商業間諜軟體進行攻擊行動的人士，限制發給簽證，隔日Google公布他們對這種間諜軟體長期追蹤的調查結果。 該公司旗下的威脅分析小組（TAG）追蹤全球約40家商業監控供應商（Commercial Surveillance Vendors，CSV），這些業者提供付費服務及工具，也包含間諜軟體及必要基礎設施，主要客戶為各國政府，攻擊對象涵蓋記者、人權捍衛者、異議份子、政治對手。 TAG指出，CSV利用的零時差漏洞，有半數是針對Google產品及安卓系統而來，根據他們的統計，從2014年開始，總共有72個存在於Google產品的零時差漏洞，當中至少有35個是CSV發現並用於間諜軟體。TAG表示，他們發現最先進的攻擊工具當中，絕大多數來自CSV，在去年已被用於攻擊行動的25個零時差漏洞裡，就有20個來自CSV。 <a href="https://www.fortinet.com/blog/threat-research/info-stealing-packages-hidden-in-pypi">竊資軟體WhiteSnake透過惡意PyPI套件散布</a>  資安業者Fortinet揭露新一波的竊資軟體WhiteSnake Stealer攻擊行動，駭客上架nigpal、figflix、telerer、seGMM、fbdebug、sGMM、myGens、NewGends、TestLibs111等PyPI套件，若是開發人員不慎安裝，執行Windows作業系統的電腦就有可能被植入竊資軟體，從而在瀏覽器、加密貨幣錢包，以及網路應用程式WinSCP、CoreFTP、Windscribe、Filezilla、AzireVPN、Snowflake、Steam，還有即時通訊軟體Discord、Signal、Telegram的使用者資料。 研究人員指出，駭客在上述套件setup.py檔案當中，嵌入了Base64編碼的原始碼或是Python指令碼，能根據目標裝置的作業系統版本，在PyPI套件安裝的過程中，部署對應的惡意酬載並執行。 <a href="https://www.darkreading.com/endpoint-security/qr-code-quishing-attacks-execs-email-security">針對高階主管的QR Code網釣較一般員工高出42倍</a> 專注於郵件安全的資安業者Abnormal指出，利用QR Code進行的網路釣魚攻擊（研究人員將其稱做quishing）越來越常見，而且這種型態的網釣攻擊也普遍針對高階主管而來。 根據研究人員在2023年第4季進行的調查，高階主管遇到相關攻擊的頻率是一般員工的42倍，其他管理職位的員工，遭受這類的攻擊情況也是非管理職員工的5倍。 研究人員指出，由於在企業環境當中，QR Code其中一種主要的使用情境，就是用來簡化多因素驗證（MFA）的流程，因此也有不少攻擊者以這種名義做為誘餌，根據他們的統計，去年第4季的QR Code網釣攻擊當中，有27%是以多因素驗證為誘餌，其次有21%是假借共享檔案的名義發動攻擊。 <a href="https://s4.itho.me/sites/default/files/images/H1-2024-Threat-Report-Quishing-Attack-Rates.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/H1-2024-Threat-Report-Quishing-Attack-Rates.png" style="width: 580px;" /></a> <a href="https://www.picussecurity.com/resource/blog/the-picus-red-report-2024-reveals-surge-in-hunter-killer-malware">能迴避資安系統的「獵人殺手」惡意程式大幅增加，2023年成長3倍</a> 資安業者Picus Security針對66.7萬個惡意程式檔案進行分析，並將這些惡意軟體的攻擊行為對應到MITRE ATT&CK框架，結果發現，能迴避資安防護系統的「獵人殺手（Hunter-killer）」惡意程式，於2023年大幅成長，相較於2022年增加了333%，這些惡意程式能妨礙次世代防火牆、防毒軟體、EDR系統的防禦機制運作。此外，有7成的惡意程式採用隱形（stealth-oriented）手法，而使得防禦方在偵測倍受挑戰。 研究人員指出，獵人殺手型態的惡意程式主要與3種MITRE ATT&CK手法有關，分別是處理程序注入（T1055）、命令及指令碼解析器（T1059）、削弱防禦能力（T1562）。 另一個值得留意的現象，則是駭客在攻擊行動濫用資安防護工具的情況不斷出現，例如：勒索軟體駭客LockBit利用卡巴斯基反rootkit工具TDSSKiller、中國駭客組織Earth Longzhi濫用Zemana Antimalware的驅動程式元件、惡意軟體AuKill的開發者濫用Process Explorer來停用防毒軟體。 <h3>【漏洞與修補】</h3> <a href="https://snyk.io/blog/leaky-vessels-docker-runc-container-breakout-vulnerabilities/">容器命令列工具runC、映像檔建置工具BuildKit存在弱點Leaky Vessels，攻擊者可用於逃逸容器並取得主機權限</a> 資安業者Snyk在容器命令列工具runC、映像檔建置工具BuildKit當中，發現了4個漏洞，分別是：CVE-2024-21626、CVE-2024-23651、CVE-2024-23652、CVE-2024-23653，並將其命名為Leaky Vessels，CVSS風險評分介於8.6至10分。 一旦上述漏洞遭到利用，攻擊者就能進行容器逃逸，並對底層主機進行未經授權的存取，從而挖掘系統的帳密資料、使用者資料等各式敏感資訊，以便用於下一階段的攻擊。研究人員指出，雖然這些漏洞尚未出現遭到利用的跡象，但由於上述漏洞廣泛影響低階容器引擎元件、容器建置工具，他們呼籲IT人員應檢查容器環境的配置，以及相關軟體供應商近期的更新公告，以便在修補程式發布後儘速修補。 對此，維護runC的開發團隊於1月31日發布1.1.12版、Docker同日也對buildkit發布0.12.5版修補上述漏洞，GCP、AWS、Ubuntu也公告將runC更新至1.1.12版。 <a href="https://blog.jetbrains.com/teamcity/2024/02/critical-security-issue-affecting-teamcity-on-premises-cve-2024-23917/">CI/CD軟體平臺TeamCity存在身分驗證繞過漏洞，伺服器有可能遭到挾持</a> 2月6日JetBrains發布資安公告，指出CI/CD軟體平臺TeamCity存在身分驗證漏洞CVE-2024-23917，一旦遭到利用，攻擊者可在未經身分驗證的情況下，透過HTTP、HTTPS連線存取TeamCity伺服器，且無須進行身分驗證就能得到控制權，該漏洞影響2017.1至2023.11.2版，CVSS風險評分為9.8。 該公司發布2023.11.3版TeamCity予以修補，而對於暫時無法升級的本地建置伺服器，該公司也提供外掛程式緩解上述漏洞，他們強調，雲端版本TeamCity Cloud已完成修補，且尚未出現遭到攻擊的跡象。 <h3>【資安防禦措施】</h3> <a href="https://www.bleepingcomputer.com/news/security/free-rhysida-ransomware-decryptor-for-windows-exploits-rng-flaw/">韓國研究人員找到勒索軟體Rhysida弱點，提供免費解密工具</a>  2月9日韓國國民大學的研究人員宣布，他們在韓國資訊安全局（KISA）的經費挹注下，成功破解勒索軟體Rhysida資料加密的方法，駭客使用AES-256-CTR演算法對檔案進行間歇性加密（intermittent encryption），研究人員利用他們發現的弱點，從而反向將檔案恢復原本的狀態，KISA在網站上提供了自動解密工具。 不過，他們並非首度破解該勒索軟體的研究團隊。研究人員Fabian Wosar指出，在此之前至少有3個團隊找到這項漏洞，但選擇私下協助受害組織解密檔案。該名研究人員表示，他在5月找到漏洞，法國CERT在6月發布未公開的論文，防毒軟體業者Avast去年10月發現該弱點，而對於KISA提供的解密工具，該名研究人員表示只適用於Windows執行檔版的勒索軟體，但無法復原虛擬環境ESXi或PowerShell酬載加密的檔案。 資料來源 1. <a href="https://arxiv.org/abs/2402.06440">https://arxiv.org/abs/2402.06440</a> 2. <a href="https://seed.kisa.or.kr/kisa/Board/166/detailView.do">https://seed.kisa.or.kr/kisa/Board/166/detailView.do</a> 3. <a href="https://twitter.com/fwosar/status/1757051201533685914">https://twitter.com/fwosar/status/1757051201533685914</a> <h3>【其他新聞】</h3> <a href="https://www.trellix.com/blogs/research/ransomhouse-am-see/">勒索軟體RansomHouse透過自動化工具MrAgent，攻擊VMware虛擬化平臺</a>  <a href="https://www.hackread.com/chatgpt-down-anonymous-sudan-ddos-attacks/">大型語言模型ChatGPT服務中斷，傳出是駭客組織Anonymous Sudan發動DDoS攻擊所致</a>  <a href="https://blog.talosintelligence.com/tinyturla-next-generation/">非政府組織遭俄羅斯駭客組織Turla鎖定，植入後門程式TinyTurla-NG</a>  <a href="https://www.justice.gov/opa/pr/justice-department-conducts-court-authorized-disruption-botnet-controlled-russian">美國破壞俄羅斯駭客APT28經營的殭屍網路Moobot</a>  <a href="https://www.resecurity.com/blog/article/global-malicious-activity-targeting-elections-is-skyrocketing">鎖定全球選舉的惡意網路活動升溫</a>  <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/161319">【2月16日】金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款</a> <a href="https://www.ithome.com.tw/news/161289">【2月15日】臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料</a> <a href="https://www.ithome.com.tw/news/161232">【2月7日】求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標</a> </div></div></div>
2024/2/16 18:32作者周峻佑https://www.ithome.com.tw/news/161326
Meta公開新模型V-JEPA，透過預測影片缺失部分讓AI更理解真實世界
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 建立在Meta首席人工智慧科學家Yann LeCun，所提出的人工智慧模型架構JEPA（Joint Embedding Predictive Architectures），Meta人工智慧研究團隊公開用於影片預測的非生成式人工智慧模型<a href="https://ai.meta.com/blog/v-jepa-yann-lecun-ai-model-video-joint-embedding-predictive-architecture/">V-JEPA</a>，透過預測影片中缺失或是被遮蔽的部分，來有效提升人工智慧對這個世界的理解。 Yann LeCun在2022年的時候提出JEPA架構，目標是要建立進階的機器智慧，讓人工智慧可以像人類一樣學習，建立起周圍世界的內在模型，以便學習、適應，並且有效地制定計畫，完成複雜的任務。所謂的內在模型，指得是人類或人工智慧，在大腦或是神經網路中所建構的心智表示，其反映出對於世界的理解或是知識。 人類透過觀察周遭世界學習許多知識，研究人員舉牛頓第三運動定理說明，即便是嬰兒（或是貓）在多次將物體從桌面推落並觀察結果之後，皆能直覺理解物體上升必會下降的道理，事實上，人們並不需要花費數個小時學習，閱讀大量的書籍才能得到這個結論。人們藉由觀察世界所建立的內在模型運作非常高效，能夠準確快速地預測這些事物的結果。 Meta在2023年的時候，運用JEPA架構開發電腦視覺模型I-JEPA（Image Joint Embedding Predictive Architecture），其特色在於能夠關注真正的圖像重點，而I-JEPA高效能的秘訣在於，能夠以更像人類理解抽象表示的方法，來預測缺失的資訊。而現在Meta進一步擴展JEPA架構，發展可以處理影片的V-JEPA，V即代表影片（Video）。 V-JEPA方法類似於I-JEPA，比較圖像的抽象表示而非直接比較畫素本身，V-JEPA與嘗試填充缺失畫素的生成式方法不同，V-JEPA有能力丟棄不可預測的資訊，這使得訓練和採樣效率可提升達1.5到6倍。V-JEPA採用自監督學習方法，使用未標記的資料進行預訓練，唯有於預訓練後，要讓模型適應特定任務的時候才會使用標籤。 研究人員訓練V-JEPA的方法，是讓模型觀看一系列的影片，使其能夠掌握世界運作的方式。這些影片會經過遮蔽處理（下圖），透過遮蔽大面積影片內容，要求預測器在只有一小部分影片內容的上下文中，填充缺失的內容，且填充並非填充實際的畫素，而是表示空間中的抽象描述。 <img alt="" src="https://s4.itho.me/sites/default/files/images/427979095_923374739138637_7724069779118251294_n.png" style="width: 580px;" /> 研究人員解釋，如果僅是隨機抽選遮蔽影片中的小區塊，則會讓任務過於簡單，使得模型無法真正學習到關於世界的複雜事物。因此Meta特別制定涵蓋空間與時間的遮蔽策略，迫使模型學習並且發展對場景的理解，進一步預測未來的事件或是動作，進而達到對世界更深層次的理解。 該方法的優勢讓模型能夠專注於影片的高層次概念，而不會鑽牛角尖於對下游任務不重要的細節，像是人類觀看在有樹木的影片，不會特別關心每片葉子的細微動作一樣，如此便能提高了學習效率和任務適應性。 V-JEPA還有一個重要的創新是凍結評估（Frozen Evaluations）的能力，模型在預訓練之後，核心的部分不會再改變，因此只需要在其上添加小型專門層即可適應新任務。該設計避免了傳統模型針對新任務需要全面微調的麻煩，減少學習新任務的資料和時間要求，並使得模型能夠在不同任務中重複使用，諸如動作分類、精細地物體互動辨識以及活動定位等。 Meta會繼續擴展V-JEPA模型，從只有處理影片的視覺內容，增加整合音訊實現多模態學習，研究團隊認為，透過更豐富的上下文資訊，將能夠加深模型對影片內容的理解。此外，他們也會繼續強化模型長期規畫和預測能力，使其能夠處理長時間跨度的任務，而這將是發展高階機器智慧的重要方向。Meta現在以創用CC BY-NC授權釋出V-JEPA模型，促進人工智慧領域發展。 </div></div></div>
2024/2/17 08:24作者李建興https://www.ithome.com.tw/news/161322
Nvidia進一步揭露其位居TOP 500第9名AI超級電腦Eos的細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Nvidia對外進一步<a href="https://blogs.nvidia.com/blog/eos/">公開</a>其資料中心等級的超級電腦Eos，該超級電腦是一個包含多個Nvidia DGX系統的超大規模DGX SuperPOD，在目前全球超級電腦TOP 500排名中位居第9。Nvidia開發者藉由使用Eos的高速運算基礎設施，以及針對Eos系統最佳化的軟體，開發各項人工智慧創新技術。 DGX SuperPOD架構是Nvidia所設計的超級運算基礎設施，專門針對人工智慧和高效能運算任務最佳化，透過整合多個Nvidia DGX系統，並於每個DGX系統裝載多個Nvidia GPU，來提供高效能運算能力。DGX SuperPOD還採用Nvidia Quantum InfiniBand網路技術，進行高速且低延遲傳輸，確保系統間能高效協同運作。 Eos總共有576個Nvidia DGX H100系統，每個DGX H100系統都搭載8個H100 Tensor Core GPU，因此Eos擁有高達4,608個H100 GPU，而且採用Quantum-2 InfiniBand與其網路內運算技術，網路架構可提供高達400Gb/s的資料傳輸速度，支援訓練複雜人工智慧模型所需的大型資料集移動，使得Eos整體具有18.4 Exaflops的FP8運算效能，可用於處理龐大的人工智慧工作負載，包括訓練大型語言模型、推薦系統和量子模擬等。 雖然Nvidia在2023年的時候，就曾在Supercomputing 2023大會上公開過Eos的消息，但這是Nvidia首次進一步揭露Eos的細節以及畫面。 </div></div></div>
2024/2/17 08:32作者李建興https://www.ithome.com.tw/news/161328
【資安日報】2月16日，金融木馬GoldPickaxe鎖定泰國安卓與iOS用戶而來，收集臉部辨識資料企圖洗劫存款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 民眾透過手機操作網路銀行的情況在全球各地可說是相當普遍，針對手機而來的金融木馬攻擊，在最近2到3年有越來越頻繁的現象，但過往這類惡意程式幾乎都是針對安卓手機而來，如今也出現同時攻擊iPhone用戶的金融木馬程式。 本週資安業者Group-IB揭露的金融木馬GoldPickaxe，就是典型的例子。特別之處在於，駭客濫用的管道是蘋果專供開發人員發布測試版應用程式的平臺TestFlight，對這類手機用戶發動攻擊。 <h3>【攻擊與威脅】</h3> <a href="https://www.group-ib.com/blog/goldfactory-ios-trojan/">金融木馬GoldPickaxe鎖定安卓、iOS裝置而來，盜取受害者臉部資訊用於金融詐欺</a>  <a href="https://s4.itho.me/sites/default/files/images/5-18.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/5-18.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB去年10月公布名為GoldDigger的安卓木馬程式，中國駭客GoldFactory針對越南用戶而來，但研究人員循線追查發現，這些駭客也開始對iOS作業系統下手。 研究人員發現這些駭客利用另一款稱為GoldPickaxe的惡意程式，對泰國發動攻擊，對方先是透過即時通訊軟體Line進行網路釣魚，冒充政府機關或是金融機構，引誘使用者安裝冒牌的應用程式，從而在受害者的手機植入GoldPickaxe並於後臺運作，收集受害者臉部的資料、攔截簡訊、要求提供身分證等資料，然後使用名為MicroSocks的元件進行WebSocket通訊，外流上述資料，從而讓駭客能存取受害者的銀行應用程式。研究人員指出，駭客收集臉部辨識資料的目的，很可能與泰國中央銀行去年3月的新規定有關，在進行5萬泰銖（約1,430美元）以上的匯款，使用者必須通過臉部辨識的身分驗證才能執行。 值得留意的是，駭客不光透過Google Play市集對安卓用戶散布惡意程式，針對iPhone用戶，他們將被導向TestFlight的網址，或是被要求安裝MDM應用程式，從而在手機裡植入GoldPickaxe。 <a href="https://www.trendmicro.com/en_us/research/24/b/cve202421412-water-hydra-targets-traders-with-windows-defender-s.html">Microsoft Defender SmartScreen零時差漏洞被用於散布惡意程式DarkMe</a>  <a href="https://s4.itho.me/sites/default/files/images/water-hydra-chain-1.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/water-hydra-chain-1.jpeg" style="width: 300px; float: right;" /></a>資安業者趨勢科技指出，他們於去年12月下旬追蹤駭客組織Water Hydra（亦稱DarkCasino）的攻擊行動，研究人員分析駭客使用的技術、策略、程序（TTP），發現當中涉及網際網路捷徑（.URL），以及以網頁為基礎的分散式編輯及版本控制（WebDAV）元件，在這個攻擊鏈裡，駭客利用零時差漏洞CVE-2024-21412（CVSS風險評分為8.1），繞過Microsoft Defender SmartScreen防護措施，最終導致受害電腦感染RAT木馬程式DarkMe，主要的攻擊目標是在金融市場從事交易的人士。 在整個攻擊鏈當中，駭客先於外匯交易論壇及股票交易有關的Telegram頻道上，從事網路釣魚活動，利用社交工程技術，假借提供投資建議、技術分析資訊、股票及金融工具的名義，將投資人引導至位於俄羅斯的冒牌加密貨幣資訊網站（fxbulls[.]ru），駭客也發布大量的英語及俄文貼文，藉著回覆問題的同時，散布含有股票資訊圖表的連結，從而引導投資人透過檔案總管開啟惡意WebDAV連結，然後觸發CVE-2024-21412。 研究人員指出，這些駭客持續調整他們的感染鏈，今年1月，駭客改以CVE-2024-21412觸發惡意的MSI安裝檔案。 <a href="https://www.orangecyberdefense.com/fileadmin/general/pdf/Ivanti_Connect_Secure_-_Journey_to_the_core_of_the_DSLog_backdoor.pdf">Ivanti Connect Secure的SSRF漏洞已被用於攻擊行動，散布後門程式DSLog</a>  1月31日Ivanti針對旗下的SSL VPN系統Connect Secure、NAC系統Policy Secure、零信任網路存取閘道系統Neurons for ZTA，公布存在於SAML模組的伺服器請求偽造（SSRF）漏洞CVE-2024-21893（CVSS風險評分為8.2），並提及已有攻擊行動出現，事隔不到一週，Shadowserver基金會指出，在2月2日資安業者Rapid7公布概念性驗證（PoC）程式碼前夕，他們也偵測到嘗試利用該漏洞的行為，代表駭客可能已掌握如何利用漏洞，如今有研究人員公布新的調查結果，證實上述推測。 資安業者Orange Cyberdefense指出，他們自2月3日淩晨，看到客戶的Ivanti系統出現漏洞濫用攻擊，駭客藉由經過編碼處理的SAML身分驗證請求，先是將系統資訊輸出至可公開存取的檔案（如index2.txt），從而取得root權限，然後竄改目標系統的事件記錄指令碼DSLog.pm，並伺機在程式碼基礎（codebase）注入後門程式DSLog，他們進一步調查，總共找到有670臺主機遭駭。 研究人員向受害組織進行通報，6日約有100臺主機已採取回應措施，截至7日，仍有524臺伺服器受到感染。 <a href="https://securityaffairs.com/159093/cyber-crime/romanian-hospitals-ransomware-attack.html">逾100家羅馬尼亞醫院資訊系統因勒索軟體攻擊而癱瘓</a>  2月12日羅馬尼亞國家網路安全局（DNSC）及衛生部證實，當地醫院的服務供應商遭到勒索軟體攻擊，導致多家醫院受到影響，後來指出發動攻擊的勒索軟體名為Backmydata，為Phobos家族的變種，該勒索軟體對當地採用Hipocarate IT平臺的醫院伺服器下手，加密其中的資料。 從2月10日開始有醫院傳出受害消息，截至12日總共有21家醫院受到影響，13日增加至25家。另有79家醫院也將相關系統切斷與網際網路的連線，並著手清查。 DNSC指出，這起事故對於大多數醫院的影響有限，因為這些醫院幾乎都對相關伺服器定期備份資料，且最近一次備份資料多為3天內執行。13日DNSC公布駭客索討的贖金為3.5個比特幣，相當於15.7萬歐元，並呼籲所有導入該平臺的醫院遵循他們提供的回應措施，不要向駭客低頭、支付贖金。 資料來源 1. <a href="https://www.dnsc.ro/citeste/atac-cibernetic-ransomware-spitale-Romania">https://www.dnsc.ro/citeste/atac-cibernetic-ransomware-spitale-Romania</a> 2. <a href="https://www.ms.ro/en/press-center/atac-cibernetic-masiv-de-tip-ransomware-asupra-serverelor-de-produc%C8%9Bie-pe-care-ruleaz%C4%83-sistemul-informatic-his/">https://www.ms.ro/en/press-center/atac-cibernetic-masiv-de-tip-ransomware-asupra-serverelor-de-produc%C8%9Bie-pe-care-ruleaz%C4%83-sistemul-informatic-his/</a> <a href="https://www.cnil.fr/fr/violation-de-donnees-de-deux-operateurs-de-tiers-payant-la-cnil-ouvre-une-enquete-et-rappelle-aux">法國健保業者客戶資料外洩，恐波及該國近半數民眾</a>  2月7日法國資料保護機構CNIL指出，他們著手調查支付業者Viamedis與Almerys的資料外洩事件，兩家業者替多家健康保險業者提供第三方支付服務，在今年1月遭到網路攻擊，外洩逾3,300萬名客戶個資，相當於法國接近一半民眾（6,800萬人）的個資流出。 外洩資料涵蓋投保人與其家人的個資，包括社會安全碼、出生日期、健保業者名稱、合約內容。而醫療資訊、金融資訊、郵政資料、電話號碼並未受到影響。 <a href="https://cyberscoop.com/atlassian-vulnerability-at-fault-in-gao-breach/">美國政府責任署傳出資料外洩，原因是承包商的Confluence伺服器遭駭</a>  美國政府責任署（Government Accountability Office，GAO）傳出資料外洩的情況，起因與該單位的承包商CGI Federal有關。此承包商於1月17日通知GAO，本次的資料外洩事故影響約6,600人，主要是2007年至2017年現任及前員工，以及有業務往來的公司。 而對於這起事故發生的原因，CGI Federal發言人Mercedes Marx向資安新聞網站CyberScoop透露，是他們的DevOps協作平臺遭到破壞，過程中駭客利用CVE-2023-22515（CVSS風險評分為10），事發後已根據10月美國網路安全暨基礎設施安全局（CISA）的資安公告進行補救，並與政府和客戶合作來確認受影響的範圍。但為何事發3個月才通知GAO，Mercedes Marx並未提出說明。 美國國防部證實1年前的資料外洩事故，逾2萬名員工受害  根據新聞網站DefenseScoop的報導，美國國防部（DOD）於2月1日通知員工、前員工、求職者、合作夥伴，他們表示，在2023年2月3日至2月20日，其服務供應商不慎將大量電子郵件曝露在網際網路上，其中部分包含曾在美國國防部就職、應徵人士能夠識別的個人資訊（PII）。但他們尚未發現這些個資遭到濫用的跡象。 對此，五角大廈發言人指出，受影響的伺服器在去年2月20日已經移除，並透露這起事故涉及多個部門組織，約有20,600人受到影響。 科技新聞網站TechCrunch指出，這起事故在1年前就被發現。研究人員Anurag Sen於2023年2月揭露，美國國防部洩露約3 TB內部電子郵件，並指出部分與美國特種作戰司令部（SOCOM）有關。但為何美國國防部耗費1年來調查此事，目前仍不清楚。 資料來源 1. <a href="https://defensescoop.com/2024/02/13/dod-notifying-people-year-old-data-breach/">https://defensescoop.com/2024/02/13/dod-notifying-people-year-old-data-breach/</a> 2. <a href="https://techcrunch.com/2024/02/14/department-defense-data-breach-microsoft-cloud-email/">https://techcrunch.com/2024/02/14/department-defense-data-breach-microsoft-cloud-email/</a> <h3>【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/security/microsoft-new-critical-exchange-bug-exploited-as-zero-day/">Exchange伺服器重大漏洞已出現攻擊行動</a>  微軟於2月份例行更新（Patch Tuesday）修補Exchange Server重大漏洞CVE-2024-21410，一旦攻擊者利用這項漏洞，可在未通過身分驗證的情況下，對此郵件伺服器的用戶端（如Outlook）發動NTLM中繼攻擊，從而提升權限，以受害者的身分在Exchange伺服器執行各項作業，CVSS風險評分為9.8。 值得留意的是，隔日（14日）<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-21410">該公司更新公告</a>，指出在他們修補之前，這項漏洞已被用於攻擊行動。對此，該公司呼籲IT人員應啟用身分驗證延伸防護（Extended Protection for Authentication，EPA）的功能，來防堵上述漏洞。 <a href="https://www.expressvpn.com/blog/windows-app-dns-requests/">VPN軟體ExpressVPN存在漏洞，恐洩露DNS請求</a>  2月8日ExpressVPN發布資安公告，指出適用於Windows作業系統的12版用戶端應用程式存在漏洞，而有可能導致DNS請求曝光，使得網際網路服務供應商（ISP）伺服器有機會追蹤使用者的上網情形。 這項弱點存在於該應用程式的分割隧道（split tunneling）功能，照理來說，用戶的所有DNS請求都是透過該業者不留存事件記錄的DNS伺服器進行處理，避免ISP或他人追蹤使用者瀏覽的網域，但在這項漏洞當中，VPN用戶端軟體會直接將DNS請求導向ISP。 對此，ExpressVPN指出此漏洞影響12.23.1至12.72.0版，約有1%的Windows使用者受到波及，他們暫時於新版12.73.0暫時刪除相關功能因應。而對於需要使用分割隧道功能的使用者，該公司建議使用不受影響的10.50.0版。 <a href="https://forums.ivanti.com/s/article/CVE-2024-22024-XXE-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure">Ivanti Conncet Secure出現XXE漏洞，攻擊者有可能存取系統部分資源</a>  2月8日Ivanti發布資安公告，旗下的SSL VPN系統Connect Secure、NAC系統Policy Secure、零信任網路存取解決方案Neurons for ZTA存在漏洞CVE-2024-22024，這項漏洞存在於上述系統的SAML元件，為XML外部實體（XXE）漏洞，攻擊者一旦利用該漏洞，就有可能在未經通過身分驗證的情況下，存取部分受到管制的資源，CVSS風險評分為8.3，該公司強調尚未發現該漏洞遭到利用的證據。 <h3>【其他新聞】</h3> <a href="https://www.bleepingcomputer.com/news/security/hyundai-motor-europe-hit-by-black-basta-ransomware-attack/">現代汽車歐洲分公司傳出遭到勒索軟體Black Basta攻擊</a>  <a href="https://www.bleepingcomputer.com/news/security/bank-of-america-warns-customers-of-data-breach-after-vendor-hack/">美國銀行證實資料外洩，起因是供應商遭駭</a>  <a href="https://www.bleepingcomputer.com/news/security/critical-flaw-in-shim-bootloader-impacts-major-linux-distros/">開機啟動元件Shim存在重大漏洞，影響多個Linux版本</a>  <a href="https://psirt.canon/advisory-information/cp2024-001/">Canon修補7個印表機重大漏洞</a> <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-csrf-KnnZDMj3">思科修補協作閘道系統Expressway的CSRF漏洞</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/161289">【2月15日】臺灣總統大選前夕出現大規模網路攻擊，目的疑為找出能抹黑特定候選人的資料</a> <a href="https://www.ithome.com.tw/news/161232">【2月7日】求職網站遭駭客組織ResumeLooters鎖定竊取求職者應徵資料，臺灣、印度是主要目標</a> <a href="https://www.ithome.com.tw/news/161212">【2月6日】駭客利用Deepfake視訊會議從跨國企業員工騙得2億港幣</a> </div></div></div>
2024/2/16 16:54作者周峻佑https://www.ithome.com.tw/news/161319