iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 05:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Netflix開源可最佳化eBPF串流效能的工具bpftop
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Netflix公開了一款內部的命令列工具<a href="https://netflixtechblog.com/announcing-bpftop-streamlining-ebpf-performance-optimization-6a727c1ae2e5">bpftop</a>，該工具目的在於最佳化和監控eBPF程式效能，Netflix提到，由於他們逐漸增加採用eBPF技術的比例，因此也就需要更嚴謹地看待相關系統，確保既能發揮eBPF的好處，又不會造成系統過度負載，進而保證營運效率。</p> <p>eBPF（Extended Berkeley Packet Filter）是一種網路技術，用於作業系統核心執行網路相關過濾和分析功能，目前已經發展成為一個強大的工具，可進行各種核心層面的監測和操作，包括效能監測、網路安全、系統追蹤和日誌紀錄等。</p> <p>eBPF在Linux核心中運作，允許用戶自定義程式碼在核心中安全地運作，且不需要更改核心原始碼和載入核心模組，而這樣的靈活性，讓開發者可以動態地在系統上執行高效資料處理和分析程式，對於提高效能、強化安全和進行精細的系統控制非常有用。</p> <p>而Netflix的bpftop便是建立在eBPF基礎之上的命令列工具，bpftop可提供動態即時檢視圖，顯示執行中的eBPF程式平均執行時間、每秒事件數，以及估計總CPU使用率。而bpftop的優勢是能夠在工具活動時才啟用效能統計，以最小化效能開銷，同時bpftop提供時間序列表使用戶能夠清楚檢視統計資料，進而發現異常模式和趨勢。</p> <p>Bpftop使eBPF程式的效能最佳化過程變得簡單，用戶可有效地進行基準測試、程式碼改進，並且建立起即時回饋循環。官方提到，如果沒有bpftop的輔助，最佳化工作便需要手動計算，而這會使流程複雜得多。</p> </div></div></div>
2024/2/28 14:18作者李建興https://www.ithome.com.tw/news/161523
eBay與VMware等知名品牌的棄置網域被用來發送垃圾郵件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以色列資安業者<a href="https://labs.guard.io/subdomailing-thousands-of-hijacked-major-brand-subdomains-found-bombarding-users-with-millions-a5e5fb892935" target="_blank">Guardio近日揭露</a>了一起大規模的廣告/網釣郵件惡意活動SubdoMailing，主要利用眾多已遭知名品牌棄置的網域名稱或子網域來躲過電子郵件過濾機制，同時披露了執行該活動的組織ResurrecAds。受害品牌涵蓋MSN、VMware、McAfee、The Economist、Cornell University、CBS、Swatch與eBay等。</p> <p>Guardio追蹤了SubdoMailing近60天來的活動，顯示有超過8,000個網域名稱、逾1.3萬個子網域被駭客接管，每天傳送超過500萬封垃圾或惡意電子郵件。</p> <p>Guardio指出，駭客主要利用的媒介為CNAME與SPF。其中，CNAME的全名為Canonical Name，是網域名稱系統（DNS）中的一種資源紀錄，它能夠將A網域名稱對應到B網域名稱，以Guardio所發現的一個濫用marthastewart.msn.com網域名稱的活動為例，這是微軟MSN服務的子網域，它的CNAME紀錄被對應到msnmarthastewartsweeps.com，而後者是微軟在2001年5月所申請的網域，但在同年8月就被棄置。</p> <p>在2022年9月，駭客挾持了已無內容的marthastewart.msn.com，發現其CNAME紀錄中的msnmarthastewartsweeps.com屬於無人網域，於是便註冊了該網域，而能夠以等同於MSN的身分來發送電子郵件，躲過了電子郵件過濾機制。</p> <p>SPF全名則是寄件者政策框架（Sender Policy Framework），為一電子郵件驗證方式，可確保發送郵件的伺服器有權自發送者的網域寄出郵件，通常是在網域的DNS中存放了可用來代替該網域傳送郵件的伺服器及網域的SPF紀錄。</p> <p>然而，當品牌網域的電子郵件或行銷服務供應商不再運作，或者是這些供應商棄置了原來所使用的網域名稱時，駭客就會馬上取得這些網域的所有權，進而以品牌的名義發送大量的垃圾、廣告或惡意郵件。</p> <p>Guardio相信，ResurrecAds正持續且大規模地掃描網路上那些曾經存在、之後卻被遺忘的子網域，特別是那些擁有混亂CNAME紀錄的網域，接著快速註冊位於這些CNAME紀錄中的閒置網域，以取得這些品牌網域的控制權。</p> <p>利用這些品牌網域來發送垃圾郵件，不僅能逃過電子郵件過濾機制，還能順便降低使用者的危機意識。除了已發現遭到濫用的逾8,000個網域之外，Guardio還偵測到該數字以每天新增數百個的速度成長。</p> <p>懷疑某個子網域遭到濫用，或是想確定自家子網域安全性的使用者可透過<a href="https://guard.io/subdomailing" target="_blank">Guardio所提供的免費工具</a>進行檢查。</p> </div></div></div>
2024/2/27 17:01作者陳曉莉https://www.ithome.com.tw/news/161522
氣象署啟用第6代超級電腦，建置GPU運算系統加速發展AI天氣測報應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>交通部中央氣象署在周一正式啟用第6代氣象超級電腦，採用富士通[ 富岳] 超級電腦（Fugaku）的商用技術，算力達到10PFlops，為第5代氣象超級電腦的7倍之外，氣象署還額外建置GPU高速運算系統，採用Nvidia A100，加速AI測報及人才培育。</p> <p>在此之前，第5代氣象超級電腦是在2012年建置，採用富士通的「京」超級電腦技術，氣象署新近啟用的第6代超級電腦則是在2021到2023年，以15億元經費，3年3階段建置，去年底完成驗收，終於在本周一正式啟用，以取代第5代氣象超級電腦，第5代超級電腦將移至高雄科工館。</p> <p>第6代超級電腦採用目前在全球500大超級電腦排名第4的「富岳」超級電腦的商用技術，共有15個FX1000機櫃，總算力達10PFlops，為第5代超級電腦的7倍，按照富士通官網說明，FX1000每個機櫃擁有384節點系統，採用水冷式設計，每個節點搭載一顆Arm架構的A64FX處理器，為台積電7奈米製程，內含48個運算核心及4個輔助核心，搭配Tofu Interconnect D連接技術。</p> <p>去年11月公布的全球500大超級電腦排名，氣象署基於內部作業需要，第6代超級電腦分為2個系統，分為10個機櫃及5個機櫃（同地備援），前者以184,320個核心在全球超級電腦排名中排名第69名，後者以92,160個核心位居第140名。</p> <p>氣象署表示，第6代超級電腦啟用後，擴充後的算力，將使區域數值測報模式的水平解析度，從3公里縮減為1公里，對於複雜地形區域例如高山、盆地、海岸有更精細的天氣預測。</p> <p>特別的是，因應AI的快速發展及高效能運算的需求，氣象署也建置GPU架構系統，由24個伺服器組成，共採用192個Nvidia A100 GPU，算力可達2PFlops。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CWA-GPU.jpg" style="width: 600px; height: 270px;" /></p> <p>氣象署也預告將加速AI氣象預報應用發展，整合軟硬體資源，提出氣象署AI發展藍圖，加速天氣測報及跨領域應用，例如以臺灣鄰近區域的數值模式歷史資料作為訓練基礎，開發適用於臺灣鄰近區域的AI高解析度區域天氣預報模式，克服目前作業時效的瓶頸。</p> <p>為了利用這些GPU資源，氣象署指出，將會運用資料科學技術精進前端資料處理、資料同化、預測模式、後處理及傳播4個領域，與國內氣象測報相關的產、學界，以及國網中心合作，共同發展AI測報技術、人才培養，並提升國內高速運算的軟硬體組件產製、系統整合實力。</p> <p>今年為我國超級電腦送舊迎新的一年，除了氣象局啟用第6代超級電腦之外，國網中心將在今年第3季啟用CPU架構的臺灣杉4號，並且正在規畫GPU架構的臺灣杉5號，國網中心也以5年內將算力提升至100到200PFlops為目標，以滿足國內科學研究、AI應用的需求。</p> </div></div></div>
2024/2/27 17:54作者蘇文彬https://www.ithome.com.tw/news/161524
【資安日報】2月27日，知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客註冊特定名稱的網域並用於攻擊行動很常見，而且，過往這類手法最常見的做法，便是註冊與目標組織名稱類似的網域，企圖混淆使用者來達到目的，但最近，研究人員發現使用新型態手法的攻擊行動，駭客能夠繞過垃圾郵件過濾器或是郵件安全閘道的防護。</p> <p>特別的是，這次駭客是尋找知名企業組織棄用許久的網域名稱，並重新註冊納為己有，然後用這些網域、子網域來大量發送惡意郵件。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://labs.guard.io/subdomailing-thousands-of-hijacked-major-brand-subdomains-found-bombarding-users-with-millions-a5e5fb892935"><strong style="font-size: 22px;">知名品牌及組織8千個棄置網域、1.3萬個子網域遭到挾持，被用於發送垃圾郵件及從事網釣攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_9nX1dANEuVFeyc-edylY1w.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_9nX1dANEuVFeyc-edylY1w.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露大規模的子網域挾持攻擊行動SubdoMailing，駭客組織ResurrecAds約從2022年開始，針對超過8千個與知名品牌及機構有關的網域名稱、1.3萬個子網域下手，每天散播5百萬的垃圾郵件、網路釣魚郵件，利用資安系統對於這些合法網域的信任，從而將上述的惡意郵件傳送到攻擊目標。上述被冒用的品牌與組織，包含MSN、VMware、McAfee、經濟學人、康乃爾大學、賽門鐵克、eBay等。</p> <p>值得留意的是，駭客進行CNAME記錄與SPF有關的挾持攻擊，濫用這些企業組織棄用的網域名稱、子網域名稱，使得惡意郵件能繞過垃圾郵件的過濾機制，在特定情況下，攻擊者還能藉由SPF及DKIM的電子郵件政策，欺騙郵件安全閘道這些電子郵件是安全的。</p> <p><a href="https://www.verfassungsschutz.de/SharedDocs/publikationen/DE/cyberabwehr/2024-02-19-joint-cyber-security-advisory-englisch.pdf?__blob=publicationFile&v=2"><strong style="font-size: 22px;">德國、韓國提出警告，北韓駭客針對全球國防單位從事網路間諜行動</strong></a></p> <p></p> <p>2月19日德國聯邦情報機構（BfV）、韓國國家情報局（NIS）聯手，對北韓政府針對全球國防部門從事網路間諜活動的情況提出警告，指出包含Lazarus在內的駭客組織企圖竊取軍事技術資料，從而協助該國提升軍事能力。</p> <p>上述機構針對供應鏈攻擊及社交工程攻擊的事故進行說明，其中供應鏈攻擊的事故發生於2022年，駭客先是入侵維護廠商竊取SSH帳密，從而存取海事及航運技術研究中心的Linux網頁伺服器主機，並透過curl從C2下載、部署作案工具，然後進行橫向移動，最後冒充網路安全管理員，企圖對員工電腦散布惡意修補檔案，所幸後來正牌管理者予以攔截。</p> <p>另一起事故則是與Lazarus的攻擊行動Operation Dream Job有關，原本這些駭客的攻擊目標是加密貨幣業者的員工及軟體開發人員，但如今發現國防機構也遭遇相關攻擊。駭客先是假冒特定人士在網路求職網站經營帳號，然後接近國防組織的員工並建立關係，取得信任後再藉由提供職缺來散布惡意程式，從而感染受害電腦並於公司網路進行橫向移動。</p> <p><a href="https://www.volexity.com/blog/2024/02/13/charmingcypress-innovating-persistence/"><strong style="font-size: 22px;">伊朗駭客組織Charming Kitten鎖定中東人士散布後門Basicstar</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/BasicStar002-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BasicStar002-1.png" style="width: 300px; float: right;" /></a>資安業者Volexity指出，暱稱為CharmingCypress、Mint Sandstorm、TA453的伊朗駭客組織Charming Kitten，於去年9月至10月佯裝成國際伊朗研究所（IIIS）從事一系列網路釣魚攻擊，透過電子郵件邀請目標人士參與假的網路研討會，其攻擊特徵包含利用外流的合法電子郵件信箱及多個駭客掌控的電子郵件信箱，進行多角色模擬（Multi-Persona Impersonation，MPI），來引誘受害者上當。</p> <p>待時機成熟，對方就會寄送包含Windows捷徑（LNK）或RAR壓縮檔附件的釣魚郵件，從而在目標電腦部署以VBS指令碼打造的惡意程式BasicStar，此惡意軟體能收集系統資訊並執行C2下達的命令，也能對受害者顯示誘餌PDF檔案。</p> <p>值得留意的是，這起攻擊行動不光針對Windows使用者，macOS使用者的電腦也有可能感染後門程式NokNok。</p> <p><a href="https://www.bleepingcomputer.com/news/security/steel-giant-thyssenkrupp-confirms-cyberattack-on-automotive-division/"><strong style="font-size: 22px;">鋼鐵供應商ThyssenKrupp傳出遭到網路攻擊，汽車部門關閉IT系統因應</strong></a></p> <p></p> <p>大型鋼鐵生產商ThyssenKrupp的汽車部門上週遭到駭客攻擊，對方入侵IT系統，迫使他們關閉部分系統以阻止攻擊蔓延。該公司證實此事，並表示此次攻擊影響他們的汽車車身生產部門，但尚未出現客戶資料遭竊的跡象。</p> <p>這起事故的公開，最早是2月23日德國新聞媒體Saarbruecker Zeitung揭露，並指出該公司位於薩爾蘭、有超過1千名專家的工廠直接受到影響，對此ThyssenKrupp向資安新聞網站Bleeping Computer透露，該工廠生產的確出現中斷，但對於客戶的供應並未受到影響。</p> <p><a href="https://newsroom.ibm.com/2024-02-21-IBM-Report-Identity-Comes-Under-Attack,-Straining-Enterprises-Recovery-Time-from-Breaches"><strong style="font-size: 22px;">利用外流的合法帳密是駭客偏好入侵目標組織的管道</strong></a></p> <p>2月21日IBM發布2024年的威脅情報指標分析X-Force Threat Intelligence Index 2024，指出相較於前1年資安環境而言，攻擊者利用遭竊或是外流的帳密資料進行網路攻擊的情況增加71%，與資料外洩有關的資安事故比例是32%，而且，比起加密檔案再向受害組織勒索，駭客傾向直接利用竊得的資料或將其出售。此外，研究人員表示，隨著人工智慧解決方案快速成長，攻擊者將會更積極投資、開發具成本效益的攻擊工具。</p> <p>而對於駭客偏好入侵目標組織的手段，研究人員發現，通常傾向採用成本較低的方法，其中盜用合法帳密在2023年最為常見，他們發現針對AD帳密的網域滲透攻擊（Kerberoasting）事件數量，較2022年翻倍，原因是企業要區分合法帳號是否遭到冒用極為困難，因此攻擊者普遍傾向透過社交工程及詐騙手段來騙取帳密資料，而非尋找資訊系統弱點入侵。</p> <p><a href="https://www.resecurity.com/blog/article/global-malicious-activity-targeting-elections-is-skyrocketing"><strong style="font-size: 22px;">鎖定全球選舉的惡意網路活動升溫</strong></a></p> <p>2024年總共有64個國家及歐盟即將舉行大型選舉，投票民眾多達20億，資安業者Resecurity對此政治態勢提出警告，因為相關的網路攻擊等惡意活動也隨之增加，研究人員指出，從2023年至2024年初的攻擊行動，較前期調查增加了100%，他們將相關的惡意活動歸納成下列五大類：</p> <p>（一）針對選舉基礎設施的網路攻擊；<br /> （二）針對政黨、競選活動、公職人員的網路攻擊；<br /> （三）協助或傷害政治團體、競選活動、公職人員的影響活動；<br /> （四）影響輿論並企圖造成社會分裂的活動；<br /> （五）影響政策制定的活動。</p> <p>研究人員舉出包括臺灣在內等17個國家的攻擊行動，並以臺灣今年1月總統及立委選舉的情況為例說明。根據資安業者的觀察，中國駭客在投票日前幾天進行大規模的網路攻擊，但研究人員指出，可能更早之前就有人企圖操縱這場選舉──他們疑似在去年3月打算購買選民投票意向的資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/canon-patches-7-critical-vulnerabilities-in-small-office-printers/"><strong style="font-size: 22px;">Canon修補小型辦公室印表機重大漏洞</strong></a></p> <p></p> <p>2月5日Canon發布資安公告，指出該廠牌小型辦公室多功能印表機、雷射印表機存在7個重大層級的記憶體緩衝區溢位漏洞CVE-2023-6229、CVE-2023-6230、CVE-2023-6231、CVE-2023-6232、CVE-2023-6233、CVE-2023-6234、CVE-2024-0244，一旦這些印表機直接連上網際網路，未經身分驗證的攻擊者就有機會執行任意程式碼，或是發動阻斷服務（DoS）攻擊，這些漏洞的CVSS風險評分皆達到9.8。</p> <p>根據該公司的公告，上述漏洞影響銷售<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">日本</span>、北美、<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">歐洲等地區</span>的印表機，並存在早於03.07版的韌體，他們也提供新版韌體修補上述漏洞，這些重大層級的漏洞尚未出現遭到利用的跡象。值得留意的是，該公司在相關網站上公布的資訊相當不一致，其中又以PSIRT網站的資訊最為缺乏，僅公告漏洞CVE編號並透露漏洞類型，卻沒有列出受影響的產品機種、韌體版本，也無從得知是否有修補程式。</p> <p>臺灣佳能也對這些漏洞發布公告，並指出imageCLASS LBP及imageCLASS MF產品線當中，各有2款機種受到影響。</p> <p>資料來源</p> <p>1. <a href="https://psirt.canon/advisory-information/cp2024-001/">https://psirt.canon/advisory-information/cp2024-001/</a><br /> 2. <a href="https://canon.jp/support/support-info/240205vulnerability-response">https://canon.jp/support/support-info/240205vulnerability-response</a><br /> 3. <a href="https://www.usa.canon.com/support/canon-product-advisories/Service-Notice-Regarding-Vulnerability-Measure-Against-Buffer-Overflow-for-Laser-Printers-and-Small-Office-Multifunctional-Printers">https://www.usa.canon.com/support/canon-product-advisories/Service-Notice-Regarding-Vulnerability-Measure-Against-Buffer-Overflow-for-Laser-Printers-and-Small-Office-Multifunctional-Printers</a><br /> 4. <a href="https://www.canon-europe.com/support/product-security-latest-news/">https://www.canon-europe.com/support/product-security-latest-news/</a><br /> 5. <a href="https://tw.canon/zh_TW/support/regarding-vulnerability-measure-against-buffer-overflow-for-laser-printers-and-small-office-multifunction-printers/notice?range=4&category=9">https://tw.canon/zh_TW/support/regarding-vulnerability-measure-against-buffer-overflow-for-laser-printers-and-small-office-multifunction-printers/notice?range=4&category=9</a></p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-csrf-KnnZDMj3"><strong style="font-size: 22px;">思科修補整合通訊閘道系統Expressway的CSRF漏洞</strong></a></p> <p></p> <p>2月7日思科針對旗下的整合通訊閘道系統Expressway發布資安公告，指出此系統存在數個可被用於跨網站請求偽造（CSRF）攻擊的漏洞，攻擊者可在未經身分驗證的情況下，遠端進行利用，從而執行任意行為，其中的CVE-2024-20254、CVE-2024-20255存在於預設組態，CVE-2024-20252則是針對叢集資料庫（CDB）API功能已啟用的系統。</p> <p>上述漏洞危險程度較高的是CVE-2024-20252、CVE-2024-20254，這兩個漏洞發生的原因是網頁管理介面對於CSRF層面的防護不足所致，攻擊者若是能誘使與API有關的使用者存取偽造的連結，就有機會取得該名使用者的權限，假如受害使用者具有管理者身分，攻擊者就有機會竄改系統組態並建立新的特權帳號，這兩個漏洞的CVSS風險評分皆達到9.6。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework"><strong style="font-size: 22px;">NIST網路安全框架2.0正式推出</strong></a></p> <p></p> <p>為協助關鍵基礎設施等企業組織降低資安風險，2014年美國國家標準暨技術研究所（NIST）首度根據美國總統行政命令推出網路安全框架（Cybersecurity Framework，CSF），事隔10年他們推出2.0重大改版。</p> <p>新版框架強調適用範圍更為全面，能涵蓋小型學校、非營利組織，以及大型的企業與機構。在CSF既有的5大層面：識別、防護、偵測、回應、復原之外，CSF 2.0新增第6個面向「治理（Govern）」；同時，此框架也納入了供應鏈的風險評估。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2024/02/22/announcing-microsofts-open-automation-framework-to-red-team-generative-ai-systems/"><strong style="font-size: 22px;">微軟針對生成式AI推出自動化紅隊演練工具PyRIT</strong></a></p> <p></p> <p>2月22日微軟針對生成式AI系統的使用，在GitHub發布紅隊演練工具Python Risk Identification Toolkit for generative AI（PyRIT），能用於自動辨識大型語言模型（LLM）可能存在風險的弱點，例如：生成惡意程式、越獄或是資料竊盜等濫用行為。</p> <p>資安人員可透過PyRIT先傳送惡意的提示到特定的生成式AI系統，收到回應後，再將這些內容傳至評分引擎，接著根據評分引擎處理的結果，去產生新的提示，並以此輸入生成式AI系統，不斷循環，直到實現研究人員所設定的目標為止。根據微軟的測試，利用PyRIT針對Copilot進行紅隊演練，原本測試需要數個星期，可縮短至幾小時。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-14-year-old-cms-editor-on-govt-edu-sites-for-seo-poisoning/"><strong><span style="font-size: 20px;">已終止維護的CMS編輯器FCKeditor遭到濫用，對政府機關與教育單位網站進行SEO中毒攻擊</span></strong></a></p> <p></p> <p><strong><a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-and-aps-02-21-2024"><span style="font-size: 20px;">兆勤針對防火牆與AP可被用於發動DoS攻擊、命令注入的漏洞發出公告</span></a></strong></p> <p></p> <p><a href="https://blog.morphisec.com/unveiling-uac-0184-the-remcos-rat-steganography-saga"><strong><span style="font-size: 20px;">惡意程式載入工具Idat被用於散布RAT木馬Remcos</span></strong></a></p> <p></p> <p><a href="https://www.cbc.ca/news/politics/cybersecurity-breach-rcmp-1.7123787"><strong><span style="font-size: 20px;">加拿大皇家騎警遭遇網路攻擊，強調並未影響業務及民眾安全</span></strong></a></p> <p></p> <p><strong><a href="https://www.whitehouse.gov/wp-content/uploads/2024/02/Final-ONCD-Technical-Report.pdf"><span style="font-size: 20px;">美國政府呼籲開發人員改用記憶體安全的程式語言</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161467"><strong>【2月26日】勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161450"><strong>【2月23日】遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161422"><strong>【2月22日】鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害組織</strong></a></p> </div></div></div>
2024/2/27 15:18作者周峻佑https://www.ithome.com.tw/news/161517
Nvidia發表兩款新的AI筆電GPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/rtx-ada-ai-workflows/" target="_blank">Nvidia本周一（2/26）發表</a>了兩款基於Ada Lovelace架構的AI筆電GPU：RTX 500與RTX 1000，加上<a href="https://www.ithome.com.tw/review/158433" target="_blank">去年所發表的</a>、相對高階的RTX 5000、RTX 4000、RTX 3500、RTX 3000與RTX 2000，使其RTX Ada系列的筆電GPU家族成員總數達到7個。</p> <p>RTX Ada系列的GPU都被列為行動工作站產品，適用於高階筆電，也都支援AI，主要的差別在於各種核心數量、記憶體容量與記憶體頻寬等。配備RTX Ada的行動工作站都將含有一個神經處理單元（NPU），一個CPU元件，以及一個內含Tensor核心的RTX GPU；其中，NPU可用來處理輕型的AI任務，GPU則可額外提供682 TOPS的AI效能，以滿足要求更高的日常AI任務。</p> <p>Nvidia表示，GPU所帶來的更高等級的AI加速能力對於處理各種AI任務非常有用，例如採用高品質AI效果的視訊會議、具備AI升級能力的串流影片，也能更快執行生成式AI或內容創作應用。</p> <p>相較於只使用CPU的配置，RTX 500 GPU在基於Stable Diffusion模型的生成式AI效能可達14倍，以AI來編輯照片的效能是3倍，圖像3D渲染的效能則是10倍。</p> <p>有鑑於AI應用的快速興起，RTX Ada系列GPU並非針對遊戲玩家，而是鎖定3D創作者、採用AI聊天機器人的企業，以及專注於資料科學或訓練AI模型的研究人員與科學家。</p> <p>Nvidia預期包括Dell、HP、聯想與MSI都會在今年春天，推出採用RTX 500與RTX 1000的筆電。</p> </div></div></div>
2024/2/27 15:23作者陳曉莉https://www.ithome.com.tw/news/161518
NIST發布CSF網路安全框架2.0版，新增「治理」功能，並提供5種快速入門指南幫助企業組織上手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由美國國家標準與技術研究所（NIST）發布的<a href="https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf">NIST CSF網路安全框架，在今日（2月26日）正式釋出2.0版本</a>，這一新版本擴展了其適用範圍，不僅涵蓋了最早重點關注的關鍵基礎設施，而且適用於各類型的組織，更關鍵的是，新版本框架在原有5個核心功能（識別、保護、偵測、回應、復原）的基礎上，增加了第6個功能「治理」，可讓網路安全風險的生命週期管理更為健全。</p> <p>基本上，若要有效實踐企業的網路安全防護，企業必須建立能夠觀照全局的資安策略，近年來，美國國家標準與技術研究所（NIST）所發布的NIST網路安全框架（Cybersecurity Framework，CSF），已成為各界強化資訊安全防禦的重要參考，因為該框架具有彈性且易於實施的特性，而且能夠適用於不同類型的組織。對於還未有完善資安規畫的企業而言，更是可以帶來明顯的幫助。事實上，<a href="https://www.ithome.com.tw/article/133173">NIST CSF 1.1版在2018年釋出後，已開始受到廣泛企業的關注</a>。</p> <p>然而，儘管許多組織認為目前版本的CSF 1.1仍然有效應對網路安全風險，但NIST認為，考慮到技術與風險的變化，對這個框架進行一些改變仍是必要的。他們希望內容更加清晰明確，並移除複雜的術語，使框架能夠更適用於所有企業。因此，NIST在2023年4月首次公布NIST CSF 2.0的草案，對外徵詢意見。</p> <p>如今，NIST CSF 2.0版正式發布後，該框架已演進為六大核心功能，也就是治理（Govern）、識別（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）、復原（Recover），這也意味著，將網路安全風險管理提升到組織營運戰略層面，確保高階主管對於網路安全風險的關注，如同企業對於財務、聲譽的重視。</p> <p>基本上，這次框架的改版並未帶來重大改變，而是反映在不同產業和技術領域的廣泛應用，以及許多產業加強網路安全監管的趨勢。</p> <p>值得我們注意的是，這次NIST為了幫助企業更容易實踐CSF，同時提供一系列的資源與工具，便於將CSF應用於組織內部。</p> <p>其中有3項資源，最值得企業關注，包括：快速入門指南（CSF 2.0 Quick Start Guides）、參考工具（CSF 2.0 Reference Tool），以及CPRT網路安全與隱私參考工具（CSF 2.0 Dataset on CPRT）。</p> <p>以快速入門指南為例，目前NIST在此提供5種類型的內容，包括：（一）<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1300.pdf">小型企業（SMB）的快速入門指南</a>，（二）<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1301.pdf">建立與使用組織概況的使用指南</a>，（三）<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1302.ipd.pdf">使用CSF成熟度層級的指南</a>，（四）<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1305.ipd.pdf">網路安全供應鏈風險管理（C-SCRM）的快速入門指南</a>，（五）<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1303.ipd.pdf">企業風險管理（ERM）實踐者的快速入門指南</a>。另外，還有一份關於<a href="https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.32.ipd.pdf">建立社群的指南</a>。</p> <p>在參考工具方面，新版內容簡化組織實施CSF的流程，用戶可瀏覽、搜尋與匯出CSF核心指南的資料和細節。另外還有一份資訊參考目錄，包含各種相關參考資料，企業也能透過這個目錄，將CSF的指南與其他50多份網路安全文件做交叉對比。</p> <p>至於<a href="https://csrc.nist.gov/projects/cprt/catalog#/cprt/framework/version/CSF_2_0_0/home?element=all">CPRT工具方面</a>，最大特色是提供實踐範例，NIST針對6大功能、各項控制的子類別，提供較為具體的說明。例如，在治理功能下的網路安全供應鏈風險管理（GV.SC）一項，針對子類別GV.SC-06，就提供了4項實施範例說明，包括：針對潛在供應商進行徹底盡職調查，評估潛在供應商的技術、資安能力與風險管理實務，根據業務與適當網路安全要求進行供應商風險評估，以及在採購與使用前需評估關鍵產品的真偽性、完整性與安全性。</p> <p>NIST表示，他們鼓勵所有組織使用CSF 2.0，以提升網路安全防護能力，因為企業組織可用來了解、評估、確定優先順序與溝通網路安全風險。這個框架對於促進內部和外部溝通特別有用，可用於不同內部團隊，或高層管理層到中階的管理人員，以及執行日常網路安全職責的人員。而且，CSF還將改善與供應商與合作夥伴的溝通，幫助組織將網路安全相關問題，可與更廣泛的企業風險管理戰略相互結合。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）NIST CSF 2_0的6大核心功能.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89NIST%20CSF%202_0%E7%9A%846%E5%A4%A7%E6%A0%B8%E5%BF%83%E5%8A%9F%E8%83%BD.jpg" style="width: 600px;" /></a></p> <p><strong>在2024年2月發布的NIST CSF 2.0版中，其核心功能已演進為6大構面，分別是：治理、識別、保護、偵測、回應、復原。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961A%EF%BC%89NIST%20CSF%202_0%E5%BF%AB%E9%80%9F%E5%85%A5%E9%96%80%20%E5%B0%8F%E5%9E%8B%E4%BC%81%E6%A5%AD.jpg" style="width: 600px;" /></p> <p><strong>NIST針對CSF 2.0版新提供快速入門指南的資源，目的在為不同類型的使用者提供客製化的入門途徑，並使其更容易付諸實踐，像是針對小型企業提供專屬的指南，並從6大功能一一給予簡潔的入門建議。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89NIST%20CSF%202_0%20CPRT.jpg" style="width: 600px;" /></strong></p> <p><strong>在NIST針對CSF 2.0提供的資源中，為了幫助企業更好實現CSF 2.0子類別，文件內還附上了實踐範例，讓使用者有易於理解的步驟或說明可以參照。</strong></p> </div></div></div>
2024/2/27 11:45作者羅正漢https://www.ithome.com.tw/news/161512
Mistral AI發表Mistral Large模型及Le Chat聊天機器人，企圖與OpenAI較勁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甫於2023年4月才創立的Mistral AI於本周一（2/26）發表了<a href="https://mistral.ai/news/mistral-large/" target="_blank">大型語言模型Mistral Large</a>，以及<a href="https://mistral.ai/news/le-chat-mistral/" target="_blank">聊天機器人Le Chat預覽版</a>。同一天<a href="https://azure.microsoft.com/en-us/blog/microsoft-and-mistral-ai-announce-new-partnership-to-accelerate-ai-innovation-and-introduce-mistral-large-first-on-azure/" target="_blank">微軟亦宣布與Mistral AI建立新的合作夥伴關係</a>。Mistral Large不管是在MMLU、HellaSwag、Wino Grande或Arc Challenge （25-shot）的基準測試上，都緊跟OpenAI GPT 4之後，是備受外界矚目的後起之秀。</p> <p><span style="font-size:28px;"><strong>創辦團隊系出名門，分別來自DeepMind與Meta</strong></span></p> <p>Mistral AI創立於法國巴黎，共同創辦人之一的Arthur Mensch曾任職於Google的AI實驗室DeepMind，另外兩名創辦人Guillaume Lample與Timothée Lacroix則都曾是Meta的AI研究人員。Mensch現為Mistral AI執行長，Lacroix則擔任技術長一職。</p> <p>成立不到一年的Mistral AI去年9月就發表了具備73億個參數的<a href="https://www.ithome.com.tw/news/159032" target="_blank">Mistral 7B（Mistral-tiny）模型</a>，同年12月發表了<a href="https://www.ithome.com.tw/news/160291" target="_blank">Mixtral 8x7B（Mistral-small）模型</a>，並推出<a href="https://mistral.ai/news/la-plateforme/" target="_blank">La Plateforme平臺服務</a>。這時，才8個月大的Mistral AI估值便已超過20億美元。</p> <p>此外，Mistral AI推崇開源，因意識到生成式AI將在未來幾年徹底重新定義人們的文化與生活，改變人們與機器及同儕互動的方式，認為生成式AI的開放是必要的，因為有社群支持的模型開發，才是對抗審查及偏見最可靠的途徑。</p> <p><span style="font-size:28px;"><strong>Mistral Large及Le Chat成為La Plateforme的新成員</strong></span></p> <p>目前La Plateforme上已提供Mistral-tiny、Mistral-small與Mistral-medium，本周發表的Mistral Large則是最進階與最大的模型，它支援3.2萬個Token的脈絡，以及英文、法文、西班牙文、德文與義大利文，宣稱對這些語文的文法及文化背景都有著細緻的理解能力。Mistral Large也具備精確的指令遵循，讓開發者得以設計其審核策略，也可直接呼叫函數。</p> <p>Mistral AI聲稱Mistral Large提供一流的推論能力，可支援複雜且多語言的推論任務，包括文字理解、轉換與程式碼生成。</p> <p>Mistral Large在許多常用基準測試中緊追OpenAI GPT 4，例如用來測量大規模多任務語言理解的MMLU測試中，Mistral Large取得81.2%的成績，僅次於GPT 4的86.4%，但凌駕了<a href="https://www.ithome.com.tw/news/157739" target="_blank">Anthropic Claude 2</a>的78.5%，Gemini Pro 1.0的71.8%，GPT 3.5的70.0%，以及Meta LLaMA 2 70B的69.9%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/mistral-large-bar-plot-V2.png" style="width: 600px;" /></p> <p>除了MMLU測試外，Mistral Large在HellaSwag、Wino Grande與Arc Challenge（25-shot）等基準測試中，也都僅次於GPT 4，而優於上述的其它模型。</p> <p>至於Le Chat則是個基於Mistral模型的聊天機器人，它可能奠基在Mistral Large 、Mistral Small或是被命名為Mistral Next的原型機模型上。Mistral AI表示會致力於讓這些模型更有用且儘可能地不固執己見，另也針對企業推出le Chat Enterprise，透過自我部署能力與更細緻的審核機制來提高團隊的生產力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-Mistral%20AI-Le%20Chat.jpg" style="width: 500px;" /></p> <p>未來開發者將可透過La Plateforme或Azure來存取Mistral Large，另也<a href="https://chat.mistral.ai/" target="_blank">開放使用者登記以試用Le Chat</a>。</p> <p><span style="font-size:28px;"><strong>與微軟建立多年合作夥伴關係</strong></span></p> <p>微軟則在同一天宣布，已與Mistral AI建立多年的合作夥伴關係，雙方的合作包括Mistral AI將可利用Azure的AI基礎設施以加速開發及部署新一代的大型語言模型，此外，Microsoft Azure也將供應Mistral AI的付費模型服務。迄今Azure上已代管了來自 Meta、Nvidia、Deci 與 Hugging Face等公司或組織的1,600多個開源及專有模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-Mistral%20AI-microsoft.jpg" style="width: 500px;" /></p> <p>不過，Mistral AI將是Azure平臺上，除了OpenAI之外的第二個商用大型語言模型。</p> <p>根據<a href="https://www.ft.com/content/cd6eb51a-3276-450f-87fd-97e8410db9eb" target="_blank">《金融時報》</a>（Financial Times）的報導，微軟其實有注資Mistral AI，只是金額不明，且微軟並未取得Mistral AI的股份。微軟總裁Brad Smith則向該報透露，雙方的合作還牽涉到將共同研發及建置適用於歐洲政府組織的AI應用，以利用這些AI模型來解決公部門的具體需求。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mistral AI、微軟</span></span></p> </div></div></div>
2024/2/27 14:24作者陳曉莉https://www.ithome.com.tw/news/161515
Google將AI加入Android訊息、圖片識別、Auto
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在MWC舉行同時，<a href="https://blog.google/products/android/new-android-features-february-2024/" target="_blank">Google宣布</a>為Android中的訊息、圖片及車機系統加入AI，實現智慧功能。</p> <p>首先，今天起，Google Messages應用程式也可以直接呼叫Gemini AI助理。用戶不需跳離App，即可以文字提示要求Gemini草擬訊息內容、腦力激盪創意、規劃活動。</p> <p>Android視覺輔助App Lookout則加入AI描述，可自動為相片、線上圖片，或訊息中的照片加入AI產生的描述並且大聲朗讀出來，幫助視覺障礙人士理解圖片內容。本功能現在已全球上線，支援英文。另一項類似應用則是Google Lens in Maps的螢幕閱讀器結合Android輔助功能TalkBack。Google Lens的AI視覺辨識讓用戶可以將手機相機對準周遭環境，由TalkBack念出該地資訊，像是一家銀行的營業時間、餐廳評分。</p> <p>其次，加入AI的Android Auto在用戶開車時，自動為一長段文字或群組對話摘錄重點，也能建議回覆及後續行動，按一下就能傳送訊息、分享預定抵達時間、或接通電話。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-google%20ai%20Android%20Auto.png" style="width: 600px;" /></p> <p>這三項AI應用是Android新增功能的一部份。其他和AI無關的功能還包括Fitbit App改版後，可匯入第三方App資訊如AllTrails、Oura智慧戒指、MyFinessPal；Google Docs支援手寫標註，用戶可在Google Docs選擇觸控筆或手寫即可作用。</p> <p>最後，<a href="https://www.ithome.com.tw/news/161462" target="_blank">繼昨天宣布</a>今年6月關閉美國的Google Pay App，未來將統整於Google Wallet後，Google宣布Google Wallet及Google Maps也推出WearOS版。用戶可以將登機證、活動入場票券、健身房會員卡、儲值卡等憑證整合到Google Wallet，戴著Google Pixel Watch通車與出入場更方便，不需拿出手機也能導航。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-%20Google%20Wallet%20passes%20available%20on%20Wear%20OS%20watches.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/2/27 12:53作者林妍溱https://www.ithome.com.tw/news/161514
三星展示具健康量測功能的智慧戒指Galaxy Ring
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今年一月在消費電子大展（Consumer Electronics Show，CES）上首次公布後，本周世界通訊大會（Mobile World Conference，MWC）2024上，<a href="https://news.samsung.com/global/samsung-presents-galaxy-ai-vision-at-mwc-2024-with-latest-products-and-services" target="_blank">三星正式展示</a>可量測心率、活動量等生理數值的智慧戒指Galaxy Ring，今年稍後上市。</p> <p>Galaxy Ring是三星智慧健康系列的一環，也是在智慧手錶後，新的數位健康裝置form factor。Galaxy Ring結合Samsung Health數位健康平臺，主打AI為基礎的個人化健康管理。三星並未說明這隻戒指的實際感測器，但一般相信它具備心電圖（ECG）與光電容積圖（PPG）二種感測器。<a href="https://www.androidcentral.com/wearables/samsung-developing-a-smart-ring" target="_blank">2022年媒體發現</a>三星取得一項具備這2種感測器的戒指專利，將挑戰現有智慧戒指供應商Oura。</p> <p>Galaxy Ring配合新的健康應用管理功能。例如它搭配My Vitality Score服務，可提供睡眠、活動、心率量測和心率變異（Heart Rate Variability），而Booster Card則可追蹤各項定義好的量測目標。二款應用程式將於今年稍晚連同Samsung Health App問世。這些服務，除了支援智慧戒指，也可應用於Galaxy Watch 6，搭配最新旗艦智慧型手機Galaxy S24使用。</p> <p>智慧戒指蒐集的生理數據，將匯整入每月6,400萬用戶Samsung Health全球資料集，作為三星AI健康管理服務的基礎。以睡眠偵測而言，本月稍早<a href="https://www.ithome.com.tw/news/161275" target="_blank">三星公布</a>其Health Monitor App的睡眠呼吸中止症偵測功能獲得美國食品藥物管理局（Food and Drug Administration，FDA）認證，成為第一款獲得美官方此類許可的App。</p> <p>三星的計畫是，以其數位健康管理平臺及智慧手錶、智慧戒指等周邊裝置，與第三方夥伴建立健康生態系。例如上個月<a href="https://news.samsung.com/global/galaxy-watchs-advanced-sensor-tech-paves-way-for-greater-preventive-healthcare-solutions" target="_blank">三星宣布</a>其Galaxy Watch成為VR生理治療平臺XRHealth的心率監控裝置，或是將三星的Sleep Mode技術，像是LED紅外線感測器及SmartThings控制功能整合到合作夥伴的智慧床墊，調整床墊環境（如溫度）以幫助入睡。</p> <p>三星並對<a href="https://www.cnbc.com/2024/02/26/samsung-galaxy-ring-specs-features-release-date.html" target="_blank">《CNBC》</a>表示，公司也在考慮為戒指加入非接觸支付功能。</p> <p>今天展示的Galaxy Ring有9種尺寸及金、銀與黑三種顏色。產品今年內會上市，但三星並未公布詳細時程及價格。<a href="https://ouraring.com/" target="_blank">Oura</a>的價格則為299到549美元之間外加5.99月費，可提供體溫、心率、血氧量測，續航力約在7天左右。</p> </div></div></div>
2024/2/27 11:21作者林妍溱https://www.ithome.com.tw/news/161510
聯想展示首款全透明筆電概念機，但沒有計畫上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周世界通訊大會（Mobile World Congress，MWC）在西班牙巴賽隆納開展。<a href="https://news.lenovo.com/pressroom/press-releases/lenovos-cutting-edge-thinkpad-and-thinkbook-laptops-pave-the-way-for-ai-pc-innovation-at-mwc/" target="_blank">聯想展示</a>多款創新筆電設計，包括全世界首款使用透明MicroLED的ThinkBook筆電。</p> <p>名為Lenovo ThinkBook透明顯示器筆電概念（ThinkBook Transparent Display Laptop Concept）又名Project Crystal，最大特色是採用了17.3吋MicroLED透明顯示器的無邊框設計，以及同樣透明的鍵盤區域和看似漂浮的底座，使這款筆電呈現高科技的未來感。</p> <p>今年在CES上，三星和LG分別展示了使用透明MicroLED的<a href="https://news.samsung.com/medialibrary/global/photo/5973?album=50" target="_blank">透明電視</a>和<a href="https://www.lg.com/global/business/oled-signage/lg-55EW5F-A" target="_blank">透明電子看板</a>，而聯想則以Project Crystal成為首款使用透明面板的筆電設計。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-samsung%20ces-Transparent%20OLED%20Display.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_三星</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-LG-Transparent%20OLED%20Signage.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_LG</span></span></p> <p><a href="https://www.youtube.com/watch?v=Hbpe6wS_idI" target="_blank">透明筆電</a>的設計令人印象深刻。透過透明螢幕，用戶可以看到電腦後的景象，而電腦前方的人也能看見用戶在螢幕上執行的內容，像是播放的影片、或是開啟的檔案文件，高飽和色彩及1000-nit螢幕亮度讓螢幕內容有如電影《關鍵報告》一般漂浮在空中。如果你擔心資料或密碼被人看光，聯想表示也可以藉由加深螢幕顏色以確保資料隱私。</p> <p>Project Crystal並具備後向式相機，可配合AI支援AR應用。聯想示範的應用是飯店服務臺，客服人員可看到用戶朝櫃臺走來，利用相機臉部辨識並顯示用戶資訊，在第一時間提供顧客服務。</p> <p>Project Crystal另一特色是鍵盤區。筆電本身沒有實體鍵盤，而是以光投射在玻璃平面上的虛擬鍵盤，並根據用戶手指位置及動作感測輸入字元。但<a href="https://www.engadget.com/lenovos-project-crystal-is-the-worlds-first-laptop-with-a-transparent-microled-display-230025521.html?_fsig=DzPwTnVS_3IWe2GHhO1ljw--%7EA" target="_blank">有報導指出</a>，這虛擬鍵盤既無實體鍵盤的觸覺回饋，感測也不夠靈敏，可能造成輸入錯誤。但它具有觸控筆，也相容Wacom的觸控輸入板，因而可當成平板使用。不過Lenovo表示，未來可能透過AI學習用戶打字的習慣，逐步修正手部辨識的偏差。</p> <p>如果你想買一臺回家，很抱歉你要失望了。聯想表示，Project Crystal只是概念機，是為了展示AI PC的應用可能性，公司沒有商品化的計畫。</p> </div></div></div>
2024/2/27 11:32作者林妍溱https://www.ithome.com.tw/news/161511
Google開發視覺編碼器VideoPrism，在通用影片理解任務表現優異
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開發了一個針對廣泛影片理解任務設計的基礎視覺編碼器<a href="https://blog.research.google/2024/02/videoprism-foundational-visual-encoder.html">VideoPrism</a>，研究人員藉由新的預訓練資料和建模策略，使其可以用於分類、定位（Localization）、檢索、字幕和問答等影片理解任務，並且在多個基準測試中表現優於專門為任務設計的模型。</p> <p>影片相較於靜態影像擁有更豐富的視覺內容，包括實體間的運動、變化和動態關係等，研究人員提到，要分析這種複雜性，以及處理公開影片資料的巨大多樣性，需要超越傳統影像理解的模型。而過去相關的研究中，通常是針對任務量身訂做模型，而到了最近，影片基礎模型諸如VideoCLIP、InternVideo、VideoCoCa和UMT有了一些進展，但是要用單一模型處理影片資料的多樣性仍是一大挑戰。</p> <p>Google提出的VideoPrism則是通用影片理解的單一模型，而使其能力更加強大的原因之一，歸功於大量的訓練影片資料。VideoPrism的預訓練資料集，是目前已知最大且最多樣的影片訓練語料庫，由多個公開和私人資料集所組合而成，涵蓋了YT-Temporal-180M、InternVid、VideoCC和WTS-70M等。這個預訓練資料集擁有3,600萬個帶有高品質字幕的精選影片，以及5.82億個存在雜訊文字的影片片段，像是自動生成轉錄字幕的影片等。</p> <p>而VideoPrism的訓練採用了標準視覺Transformer（ViT）的分解設計，共分為兩階段，第一階段研究人員先用高品質的影片文字資料和帶有雜訊文字的影片資料，以對比學習（Contrastive Learning）技術教導模型將影片和文字描述配對，而這個階段建立了語義語言內容和視覺內容相配對的基礎。</p> <p>對比學習是一種自監督學習方法，不仰賴傳統的標籤資料訓練模型，其核心思想在於使相似樣本的表示更接近，不相似樣本的表示更遠離，也就是最小化正向影片文字對之間的距離，同時最大化負影片文字對之間的距離。</p> <p>經過影片文字對的對比訓練之後，進入訓練第二階段，研究人員透過遮罩影片建模框架，來訓練模型預測影片中缺失的部分，而與標準方法不同的地方是，研究人員會要模型同時預測影片的整體特徵，和影片中每一個小部分的特徵，以有效利用第一階段訓練所獲得的知識。在這個階段，研究人員還會隨機打亂預測出來的Token，以防止模型學到一些捷徑，像是模型可能依據固定順序或是模式就能做出預測，而隨機的方式可迫使模型深入理解影片內容，而不只是依賴表面特徵。</p> <p>實驗證實VideoPrism在多個影片理解任務表現良好，VideoPrism擁有廣泛的應用範圍，能夠處理影片分類、定位、影片文字檢索、影片字幕生成、問答和科學影片理解。而在33個基準測試中，VideoPrism在其中30個達到了目前最好的表現，在影片分類與定位任務方面，VideoPrism超越現有其他先進的基礎模型。</p> <p>當VideoPrism能夠與大型語言模型結合時，VideoPrism在影片文字檢索、字幕生成和影片問答任務中，更可展現強大的能力，在多數視覺語言基準測試中豎立新標竿。整體而言，VideoPrism為一款強大且多功能的通用影片編碼器，而其有效性和靈活性可被用於廣泛的影片理解任務。</p> </div></div></div>
2024/2/27 09:26作者李建興https://www.ithome.com.tw/news/161502
Amazon Bedrock將上架Mistral 7B和Mixtral 8x7B兩開源語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS<a href="https://aws.amazon.com/tw/blogs/aws/mistral-ai-models-coming-soon-to-amazon-bedrock/">宣布</a>將在雲端人工智慧模型平臺Bedrock提供Mistral AI的模型，分別是<a href="https://www.ithome.com.tw/news/159032">Mistral 7B</a>和<a href="https://www.ithome.com.tw/news/160291" target="_blank">Mixtral 8x7B</a>，而這將使Mistral AI成為繼AI21 Labs、Anthropic、Meta、Stability AI等廠商之後，第7個Bedrock基礎模型供應商，用戶將有更多的大型語言模型選擇，以滿足開發各種人工智慧應用的需求。</p> <p>Mistral AI是法國的人工智慧公司，由之前在Meta與DeepMind任職的研究人員成立，開發用於各種任務的大型語言模型。在Bedrock將要上架的Mistral 7B和Mixtral 8x7B模型，特性不同適合不同用例，Mistral 7B是一個擁有73億參數的輕巧高效能語言模型，雖然相較於其他語言模型來說規模較小，但是卻在許多基準測試上，表現都優於規模更大的Llama 2 13B。</p> <p>而Mixtral 8x7B則是Mistral AI在去年底才剛開源的大型語言模型，其特別之處在於採用稀疏混合專家（SMoE）模型架構，能夠處理32,000個Token上下文，但是在處理大量參數和資料的同時，也能維持一定的運算效率，在許多基準測試都超越擁有700億參數的Llama 2 70B，甚至是GPT 3.5模型。</p> </div></div></div>
2024/2/27 08:38作者李建興https://www.ithome.com.tw/news/161501
玉山金控看中AI三個發展潛力，內部已有多項生成式AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山金控董事長黃男州今日在法說會前記者會中表示，玉山發展AI的原則是遵照主管機關的AI原則與政策，注重發展以人為本、可解釋與負責任的AI。這是金融業勢必要遵守的前提。第二，AI未來可能扮演三種重要角色，具備發展潛力。</p> <p>黃男州進一步說明，AI扮演的第一種角色是智能夥伴，能和人類共同進行創造。第二，AI是溝通大師，不僅能與人溝通，也能在物聯網中與物溝通，未來人類可以透過AI與物溝通和合作，十分具有發展潛力。第三，AI是時光壓縮機，能處理許多過去需耗費大量時間學習的產業知識。黃男州以AI圍棋軟體AlphaGo為例說明，2016年，AlphaGo打敗了世界圍棋冠軍。到了2017年，AlphaGo進階版AlphaGo Zero推出，僅用三天的時間就完成幾百萬盤圍棋，等同一位40年資歷的棋士。</p> <p>玉山自2022年就開始布局生成式AI發展。玉山金控科技長張智星表示，玉山在2022年底曾舉辦黑克松競賽，讓內部同仁了解生成式AI，並思考可發展的應用。近期，玉山開發了生成式AI平臺GENIE，可以供內部使用文案生成、翻譯、程式碼教學和聊天機器人等。張智星提到，生成式AI不只是一個單獨的產品，它可以與許多場景串聯，例如掃描全行文件後，藉生成式AI校正文件中的辨識錯誤，或是將會議發言轉為逐字稿，並以生成式AI勘誤。</p> <p>黃男州指出，AI可以化身為代理人，成為工作中的一環，例如，以AI模型評估授信的風險性，或是評估信用卡盜刷可能性。目前，玉山內部已有100個以上的AI模型，包括風控AI、行銷AI、客服AI、流程AI和賦能AI。以賦能AI為例，玉山推出GRACE智能理財，協助理專管理超過400個顧客，以AI分析顧客資料並提供產品購買建議，幫助理專提升顧客服務。黃男州最後也表示，未來AI還會與上雲結合，因此雲端也是重要議題。</p> <p></p> </div></div></div>
2024/2/26 18:34作者李昀璇https://www.ithome.com.tw/news/161497
Meta資料執行引擎Velox與Apache Arrow協調整合資料格式，強化資料應用互通性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta、Voltron Data和Apache Arrow社群合作，目的是協調<a href="https://engineering.fb.com/2024/02/20/developer-tools/velox-apache-arrow-15-composable-data-management/">整合</a>Meta開源執行引擎Velox與行式資料框架Apache Arrow。新版的Arrow 15將會基於這次合作引入3種新的格式布局，而這將有助於Meta與廣泛社群，建立一個統一、有效率且可組合的資料管理系統。</p> <p>Meta在2022年開源執行引擎Velox，改善資料處理和分析系統的效能，以C++函式庫的形式實作。Velox的特色在於提供過去只在單獨引擎中可用的功能統一實作，來最佳化系統效能，加速資料處理、查詢效率，以及更好的資源管理。Velox目前已經被Meta用於超過10個系統中，提升與Apache Spark、Presto等知名系統的整合效率3到10倍。</p> <p>Meta資料基礎設施團隊一直在思考資料管理系統的設計方式，希望讓內部的資料管理系統更具組合性，也就是說，透過通用元件將單一系統分解成可重複使用的函式庫，並利用通用API和標準來增加元件之間的互通性。而當Meta將大型單一系統分解成模組化元件堆疊時，與Apache Arrow這些開源元件的互通性也就變得更加重要。</p> <p>Apache Arrow是一個受廣泛使用的開源框架，專門用於行式記憶體內資料的高效處理和傳輸，其設計使得大資料和分析應用，能夠快速執行和移動大量資料，避免常見的效能瓶頸。</p> <p>由於要實現元件的互通性，可組合資料管理系統必須理解常見的儲存格式、網路序列化協定、表格API，並具有統一的計算表達方式，而Meta解釋，通常必須讓這些元件直接共用記憶體中的資料，像是跨語言邊界傳輸資料，才能有效地支援用戶定義函式。</p> <p>因此Meta決定與Voltron Data、Arrow社群合作，將開源行式資料布局和Velox進行整合。而這項合作的重點在於盡可能使API遵循開放標準，Meta指出，Arrow可以被視為Velox的底層，Arrow描述了行式資料在記憶體中表示的方法，而Velox提供了一系列執行和資源管理資料的原語。</p> <p>不過，Meta在當初開發Velox時，設計了Velox Vectors布局來加速工作負載中常見的資料操作，Velox Vectors具有快速移動資料所需要的效率和敏捷性，但Meta指出，這樣的設計卻造成了碎片化，降低了元件的互通性。</p> <p>因此現在Velox與Arrow協調融合雙方格式，在Arrow 15.0.0加入由Velox Vectors衍伸的3種資料格式布局，包括StringView、ListView和Run-End-Encoding（REE），如此不僅可以使用Velox與Arrow進行跨元件的記憶體內通訊，達到資料零複製的目的，而且也提高了Arrow在現代執行引擎的可用性，能夠支援更高效能用例。</p> </div></div></div>
2024/2/26 16:30作者李建興https://www.ithome.com.tw/news/161473
JetBrains IDE更新終端機提供新視覺設計和進階功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains IDE從2024.1版本開始<a href="https://blog.jetbrains.com/idea/2024/02/the-new-terminal-beta-is-now-in-jetbrains-ides/">加入新的終端機Beta測試版</a>，用戶可以選擇是否啟用新終端機。不過目前僅支援Bash、Zsh和PowerShell，官方正在開發其他的殼層支援。這個新終端機結合基本和進階功能，以新方式呈現開發者熟悉的工具，甚至要提供人工智慧等豐富功能集。</p> <p>新終端機也具有新的視覺設計，現在每個命令都會顯示於單獨的區塊中，官方提到，這將有助於用戶快速定位每個命令的起始與結束，強化輸出的可讀性。使用者也可以藉由快捷鍵，快速在命令和輸出中切換。另一個重大更新是命令完成功能，現在支援命令、路徑、參數和選項，目標在於簡化命令的輸入。新的終端機還有命令歷史紀錄，使開發者能夠過濾並且快速找到最近執行的命令。</p> <p>終端視覺設計的改變來自於架構的更新，開發者現在對終端介面中用戶輸入命令的區塊，能夠有更高程度的控制和自定義能力，在輸入命令時，用戶不僅可以使用鍵盤，還能以滑鼠移動鼠標，或是執行其他編輯動作，像是選擇、複製和貼上文字，讓終端機的操作更加靈活。</p> <p>JetBrains團隊還重做了命令完成功能，將原本IDE中的知識整合到完成建議中，但官方提到，目前這項功能還在更新中，Beta測試版中的完成選項可能有時候無法使用，或是因殼層不同結果有所變化。</p> <p>另外，JetBrains在新的終端機添加特有的命令提示符，以顯示當前目錄、Git分支、Python虛擬環境和Anaconda環境，JetBrains解釋，這是因為即便殼層中沒有配置，依然能提供豐富且現代命令提示符的原因。這些提示符號與系統的終端機不相同，官方正在研究提供相同提示符號的方法。</p> <p>JetBrains仍在更新終端機，加入更多自訂選項並改進命令完成等功能，同時還計畫添加人工智慧功能，協助命令輸入和解釋所得到的結果。</p> </div></div></div>
2024/2/26 16:59作者李建興https://www.ithome.com.tw/news/161483
微軟開源可用來偵測生成式AI模型風險的紅隊工具PyRIT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周四（2/22）<a href="https://github.com/Azure/PyRIT" target="_blank">透過GitHub開源了PyRIT</a>（Python Risk Identification Toolkit for generative AI），以利安全專業人員及機器學習工程師可自動化用來辨識大型語言模型（LLM）風險的程序，包括辨識生成惡意程式、越獄或是資料竊盜等LLM的濫用行為。</p> <p>微軟的AI紅隊（Microsoft AI Red Team）自2022年開始針對不同的生成式AI系統進行紅隊演練，以尋找各種風險，當時的PyRIT只是一組一次性的腳本程式，隨著該團隊每次添增各種功能，將它堆砌成一個可靠的工具。其實微軟在2021年便曾開<a href="https://www.ithome.com.tw/news/144196" target="_blank">源AI風險評估工具Counterfit</a>，但Counterfit主要是針對傳統的機器學習系統，無法滿足其底層原則及威脅都有不同風貌的生成式AI，才促使微軟AI紅隊開發新工具。</p> <p>PyRIT由5個元件所組成，包括用來測試的目標（Target），所使用的提示資料集（Dataset），基於自我評估或是既有分類器的評分引擎（Scoring Engine），單輪或多輪的攻擊策略（Attack Strategy），以及存放輸入及輸出等互動資料的記憶體。</p> <p>PyRIT可先傳送惡意的提示到特定的生成式AI系統，收到回應後再將它傳至評分引擎，根據評分引擎傳回的結果再產生新的提示，再傳送至該生成式AI系統，不斷循環直至實現研究人員所設定的目標。根據微軟的測試，利用PyRIT針對Copilot進行紅隊演練時，可先選擇一個有害的類別，繼之生成數千個惡意提示，再以PyRIT的評分引擎來評估Copilot系統的輸出結果，其自動化能力讓原本需要幾周的測試在短短的幾小時內便完成。</p> <p>不過，<a href="https://www.microsoft.com/en-us/security/blog/2024/02/22/announcing-microsofts-open-automation-framework-to-red-team-generative-ai-systems/" target="_blank">微軟強調</a>，PyRIT並非用來取代人工的紅隊演練，而是相輔相成，它擴大了AI紅隊既有的專業知識，並替它們自動化繁瑣的任務。其程序是先由安全研究人員提供有害提示的資料集，接著便交由PyRIT將它們餵進大型語言模型端點，以生成更有害的提示，PyRIT揭露了可能存在的風險，再由研究人員深入探索，研究人員始終控制著紅隊操作的執行與策略。</p> <p>微軟除了透過GitHub釋出PyRIT專案的工具包，以及提供各種示範之外，也預計於3月6日舉行一場PyRIT網路研討會，並歡迎<a href="https://www.brighttalk.com/webcast/10415/607319?bttok=%7b%7bRecipient.ID%7d%7d&utmsource=sponsor" target="_blank">有興趣的各路人馬報名</a>。</p> </div></div></div>
2024/2/26 14:41作者陳曉莉https://www.ithome.com.tw/news/161472
【資安日報】2月26日，勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>執法單位<a href="https://www.ithome.com.tw/news/161379">針對勒索軟體駭客組織LockBit出手</a>，成功接管34臺LockBit伺服器，凍結逾200個加密貨幣帳戶，逮捕2名嫌犯，隨後<a href="https://www.ithome.com.tw/news/161386">日本警方也在No More Ransom網站提供LockBit 3.0解密工具</a>。但這群駭客也不是省油的燈，不到一週的時間，他們重新架設網站，並聲稱已有組織受害。</p> <p>在此期間，已經有駭客利用遠端桌面連線軟體ScreenConnect的重大漏洞，<a href="https://www.ithome.com.tw/news/161450#SlashAndGrab">對醫療機構散布LockBit用來加密檔案</a>，但當時研究人員推測，可能是未被取締的附屬組織所為。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;">執法單位聲稱掌握了勒索軟體駭客組織LockBit的管理員，幾天後傳出該組織捲土重來，宣稱攻擊目標鎖定政府機關</strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit_1_8b91504b8d.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit_1_8b91504b8d.jpg" style="width: 300px; float: right;" /></a>2月19日傳出11個國家執法單位進行執法行動Operation Cronos，成功切斷勒索軟體駭客組織LockBit的運作，並接管其暗網網站，該組織也證實遭遇資安事故。而這起執法行動在週末又傳出新的消息，使得情況又變得更加撲朔迷離。特別的是，FBI竟被列為受害組織。</p> <p>先是23日執法單位在LockBit網站上發布新的內容，標題為「誰是LockbitSupp（該駭客組織的管理員）？」，表明這名人士曾經宣稱住在美國或是荷蘭，並擁有藍寶堅尼跑車，但上述傳聞皆非事實，該人駕駛的車輛廠牌其實是賓士，而且零件難以取得，暗指可能住在遭制裁的俄羅斯。執法單位表示他們不僅掌握該人身分，也知道其住所及身價，現在該名管理者已與執法單位合作。隨後該組織的管理層向資安研究團隊VX-Underground透露，他們不認為執法單位知道LockbitSupp的真實身分，並表明根據<a href="https://www.ithome.com.tw/news/151655">之前成立的漏洞懸賞專案</a>，若是有人能得知首腦的身分，將提供2千萬美元獎金。</p> <p>事隔兩天，這些駭客重新架設網站，並聲稱美國聯邦調查局（FBI）利用重大漏洞CVE-2023-3824，入侵他們其中2個主要的PHP伺服器，原因是該組織在1月份攻擊喬治亞州富爾頓縣政府，竊得的文件內容與美國前總統川普的訴訟案件有關，而這些資料極有可能左右接下來的總統大選，對此，該組織表明將會更積極、頻繁地攻擊政府部門。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/vxunderground/status/1761031957104750864">https://twitter.com/vxunderground/status/1761031957104750864</a><br /> 2. <a href="https://twitter.com/vxunderground/status/1761491834436476937">https://twitter.com/vxunderground/status/1761491834436476937</a><br /> 3. <a href="https://securityaffairs.com/159584/cyber-crime/lockbit-gang-resumed-raas.html">https://securityaffairs.com/159584/cyber-crime/lockbit-gang-resumed-raas.html</a></p> <p><a href="https://www.ithome.com.tw/news/161454"><strong style="font-size: 22px;">中國資安業者安洵信息內部資料公開，透露該公司對臺灣在內逾20個國家從事網路間諜行動</strong></a></p> <p></p> <p>一位名為「安坂星海」的臺灣資安研究員發現，有人將中國資安業者「安洵信息」的內部資料上傳到程式碼儲存庫GitHub，隨後引起各界關注。有研究人員將這些內部文件進行分析，指出內含超過570筆檔案、圖片，以及對話記錄，詳細披露該公司8年來為中國政府盜取外國資料的合約內容，至少有20個國家及地區成為目標，包括臺灣、印度、香港、泰國、韓國、英國、馬來西亞。</p> <p>值得留意的是，該公司的客戶也要求他們收集特定國家的基礎設施資料，例如，他們竊得495 GB臺灣道路地圖檔案，美國智庫創始人Dmitri Alperovitch指出，這批檔案內含臺灣公路地形、橋樑、隧道的詳細資料，一旦中國對臺灣發動戰爭，軍隊就能精確地調動裝甲部隊及兵力。</p> <p>臺灣資安業者TeamT5指出，這批資料的可信度相當高，因為當中透露了安洵如何與中國政府打交道，以及該公司產品的細節和財務狀況，其中甚至鉅細靡遺交代這組人馬如何協助開發RAT木馬程式ShadowPad。</p> <p>資料來源</p> <p>1. <a href="https://www.washingtonpost.com/world/2024/02/21/china-hacking-leak-documents-isoon/">https://www.washingtonpost.com/world/2024/02/21/china-hacking-leak-documents-isoon/</a><br /> 2. <a href="https://cyberscoop.com/isoon-chinese-apt-contractor-leak/">https://cyberscoop.com/isoon-chinese-apt-contractor-leak/</a></p> <p><a href="https://www.aquasec.com/blog/lucifer-ddos-botnet-malware-is-targeting-apache-big-data-stack/"><strong style="font-size: 22px;">殭屍網路Lucifer鎖定Apache Hadoop伺服器、Druid資料庫而來</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure7_fixed_pixel.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure7_fixed_pixel.jpg" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露最近一波殭屍網路Lucifer的攻擊行動，這些駭客原先鎖定PHP網頁框架Laravel、內容管理系統Drupal、持續整合開發工具Jenkins等多種網頁應用系統的漏洞，並利用美國國家安全局（NSA）外洩的永恒之藍（EternalBlue）等Windows漏洞攻擊工具，從而將受害伺服器用於挖取門羅幣，但現在駭客轉移標的，目標改為Apache多功能軟體程式庫框架Hadoop、動態分析資料庫Druid、資料流處理框架Flink下手，並指出在今年1月看到逾3千起攻擊行動。</p> <p>研究人員指出，這波攻擊行動大致有3個過程，首先，駭客會利用Druid漏洞CVE-2021-25646（CVSS風險評為8.8分），或是Hadoop的通用資源管理平臺YARN的API配置不當，從而進行未經授權的存取；接著，對方下載、執行Lucifer，最終於受害伺服器植入挖礦程式XMRig。</p> <p>根據他們半年多的觀察，在去年7至8月、10月，以及今年1月出現3波攻擊，前兩次駭客主要針對Hadoop而來，但從今年開始，也出現鎖定Druid的攻擊行動。</p> <p><a href="https://unit42.paloaltonetworks.com/glupteba-malware-uefi-bootkit/#post-132484-_9pnlcgdp770l"><strong style="font-size: 22px;">殭屍網路病毒Glupteba透過UEFI Bootkit迴避偵測</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-132484-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-132484-5.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks針對殭屍網路病毒Glupteba近期的動態提出警告，他們從去年11月看到駭客為其加入了UEFI Bootkit的功能，從而干預受害電腦的作業系統啟動過程，使得該惡意程式的運作更為隱密且難以察覺。</p> <p>研究人員指出，經營此殭屍網路的駭客組織，10年內發展出各式各樣的功能模組，例如：傳送其他惡意程式、竊取應用程式帳密資料、盜取信用卡等敏感個資、利用受害電腦進行挖礦等，並根據買家所使用的元件來支付費用（Pay-per-install，PPI）的模式形成網路犯罪生態圈。</p> <p>他們對其惡意程式進行分析，發現駭客整合了名為EfiGuard的開源元件，而能夠在電腦開機的流程當中，停用核心修補程式保護（PatchGuard）及強制驅動程式簽章（Driver Signature Enforcement，DSE）的功能。</p> <p><a href="https://www.fortinet.com/blog/threat-research/tictactoe-dropper"><strong style="font-size: 22px;">惡意程式TicTacToe Dropper竊取Windows電腦資料，並植入其他作案工具</strong></a></p> <p></p> <p>資安業者Fortinet揭露名為TicTacToe Dropper的惡意程式載入工具，為避免防毒軟體攔截，此程式駭客通常透過ISO映像檔傳送，並繞過Mark-of-the-Web（MoTW）防護機制，一旦成功滲透，該惡意程式就會用於投放其他惡意酬載，在最近1年裡，研究人員看到駭客用於散布AgentTesla、SnakeLogger、LokiBot、Remcos等近10款RAT遠端木馬程式，其共通點是使用.NET執行檔或是程式庫，程式碼經過混淆工具SmartAssembly處理，其DLL程式庫以反射式載入的方式運作。</p> <p><a href="https://www.welivesecurity.com/en/eset-research/vajraspy-patchwork-espionage-apps/"><strong style="font-size: 22px;">安卓木馬VajraSpy透過Google Play市集散布</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/vajraspy-figure-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/vajraspy-figure-1.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露RAT木馬程式VajraSpy的攻擊行動，他們看到12個被用來挾帶此木馬的安卓應用程式，巴基斯坦駭客組織Patchwork APT聲稱這些應用程式提供即時通訊軟體或是閱讀新聞的功能，其中6個在Google Play上架，總共被下載超過1,400次，而且，其他的市集也有上架；另外6款則是出現在惡意軟體分析平臺VirusTotal。</p> <p>一旦使用者安裝這款惡意軟體，駭客就能從他們的安卓裝置竊取各式各樣的資料，包含通訊錄、通話記錄、簡訊內容，並從WhatsApp、Signal等知名即時通訊軟體攔截或收集訊息，此外，該惡意程式還能記錄電話通話、啟用相機拍照、攔截應用程式的通知訊息，搜括文件、圖片、聲音檔及其他類型的檔案並進行外洩。研究人員根據其中1款安全性較弱的應用程式進行調查，找到148臺位於巴基斯坦及印度的受害裝置，並指出駭客是透過愛情詐騙來散布此木馬程式。</p> <p><a href="https://www.hackread.com/israeli-nso-group-mms-fingerprint-attack-whatsapp/"><strong style="font-size: 22px;">以色列商業間諜公司NSO Group利用WhatsApp漏洞，利用多媒體簡訊指紋追蹤用戶</strong></a></p> <p></p> <p>2019年5月即時通訊軟體WhatsApp發現其系存在漏洞，而使得攻擊者能藉由語音通話功能來發動攻擊，該公司指控NSO Group將其用來部署間諜軟體Pegasus，並鎖定全球記者、人權鬥士、律師、政府官員，WhatsApp於同年10月對NSO Group提告。</p> <p>瑞典電信資安業者Enea指出，根據WhatsApp當年提交的文件，NSO Group掌握了名為「多媒體簡訊指紋（MMS Fingerprint）」的技術，號稱只要向目標裝置發送此種簡訊，攻擊者就能得知該裝置的系統資訊，且過程無須使用者互動或是讀取訊息。</p> <p>研究人員根據這些法律文件循線進行調查，發現攻擊者可利用這種手法得知裝置的多媒體簡訊使用者代理字串（MMS UserAgent），從而決定要利用的漏洞、惡意酬載，或是策畫網路釣魚活動，而且，無論安卓、iOS，還是黑莓設備，攻擊者都有可能利用這種手法來進行偵察。</p> <p>資料來源</p> <p>1. <a href="https://files.lbr.cloud/316009/whatsapp-fb-v-NSO-group.pdf">https://files.lbr.cloud/316009/whatsapp-fb-v-NSO-group.pdf</a><br /> 2. <a href="https://www.enea.com/insights/dusting-off-old-fingerprints-nso-groups-unknown-mms-hack/">https://www.enea.com/insights/dusting-off-old-fingerprints-nso-groups-unknown-mms-hack/</a></p> <p><a href="https://www.veracode.com/resources/state-software-security-2024-addressing-threat-security-debt"><strong style="font-size: 22px;">人工智慧加速軟體開發但存在安全隱憂！逾三分之一由GitHub Copilot產生的程式碼存在漏洞</strong></a></p> <p></p> <p>資安業者最近針對企業軟體開發安全揭露他們的觀察，首度提及在人工智慧技術迅速改變軟體開發的態勢下，相關工具產生的程式碼也可能存在弱點，以GitHub Copilot為例，約有36%生成的程式碼存在漏洞。</p> <p>另一方面，企業在因應應用程式的高風險弱點有顯著的成效，2023年約有17.9%應用程式曝險，僅不到2016年37.9%的一半。整體而言，2023年63.4%企業自行開發（第一方）的程式碼存在弱點，而第三方程式碼約有70.2%存在弱點，兩者的情況相當接近，對此研究人員認為，在軟體開發生命週期（SDLC）的流程當中，對於自行開發與第三方的程式碼都要進行相關測試，可說是極為重要。而對於上述兩種類型程式碼出現的弱點處理，第三方程式碼修補的時間需要11個月，較自行開發程式碼的弱點緩解需7個月多出50%。</p> <p>然而值得留意的是，約有近半數（45.9%）企業並未完全緩解發現的高風險弱點，產生嚴重的「安全債」，而有可能讓企業的機密性、完整性、可用性面臨嚴重風險。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blog.checkpoint.com/security/digital-deception-at-the-ballot-box-the-shadow-machinery-of-election-manipulation-how-deepfake-technology-threatens-the-2024-u-s-elections/"><strong><span style="font-size: 20px;">僅要價2美元的Deepfake欺騙性內容恐對選舉帶來影響</span></strong></a></p> <p></p> <p><strong><a href="https://www.aquasec.com/blog/lucifer-ddos-botnet-malware-is-targeting-apache-big-data-stack/"><span style="font-size: 20px;">殭屍網路Lucifer鎖定Apache Hadoop伺服器而來</span></a></strong></p> <p><a href="https://www.bitdefender.com/blog/labs/details-on-apples-shortcuts-vulnerability-a-deep-dive-into-cve-2024-23204/"><strong><span style="font-size: 20px;">研究人員揭露蘋果自動化流程應用程式Shortcuts高風險漏洞細節</span></strong></a></p> <p></p> <p><a href="https://tuxcare.com/blog/multiple-freeimage-vulnerabilities-fixed-in-ubuntu/"><strong><span style="font-size: 20px;">Ubuntu圖像程式庫元件FreeImage存在漏洞，有可能導致阻斷服務攻擊、執行任意程式碼</span></strong></a></p> <p></p> <p><strong><a href="https://www.microsoft.com/en-us/security/blog/2024/02/22/announcing-microsofts-open-automation-framework-to-red-team-generative-ai-systems/"><span style="font-size: 20px;">微軟針對生成式AI推出紅隊演練工具PyRIT</span></a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161450"><strong>【2月23日】遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161422"><strong>【2月22日】鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161398"><strong>【2月21日】中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況</strong></a></p> </div></div></div>
2024/2/26 11:31作者周峻佑https://www.ithome.com.tw/news/161467
LockBit在被執法機關攻陷的一周內起死回生
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由美國、英國等10個國家組成，並由歐洲刑警組織（Europol）負責居中協調的克羅諾斯行動（Operation Cronos），在2月20日<a href="https://www.ithome.com.tw/news/161379" target="_blank">宣布</a>已成功摧毀勒索軟體LockBit的基礎設施，然而，LockBit開發者在24日<a href="https://samples.vx-underground.org/tmp/Lockbit_Statement_2024-02-24.txt" target="_blank">指出</a>，它們已經恢復了服務，《<a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-returns-restores-servers-after-police-disruption/" target="_blank">BleepingComputer</a>》則在LockBit新的資料外洩網站上發現了5名受害者。</p> <p>克羅諾斯行動接管了LockBit的資料外洩網站，關閉其位於全球不同國家的34臺伺服器，凍結逾200個與該犯罪組織有關的加密貨幣帳戶，控制或刪除了1.4萬個負責滲透或與基礎設施有關的流氓帳號，也逮捕了2名嫌犯。估計LockBit的受害者超過2,000家，得手的贖金超過1.2億美元。</p> <p>當時安全研究團隊vx-underground引用了LockBit開發者的說法，指出這些執法機構是透過PHP上的CVE-2023-3824安全漏洞攻陷他們的基礎設施。</p> <p>LockBit開發者則從自己的角度說明了此事。指出有兩臺伺服器在2月19日遭到滲透測試，使得他無法登入，他承認或許是因為自己太鬆懈，沒能及時修補PHP上的CVE-2023-3824漏洞才讓執法機構有機可趁，也有可能是其它的PHP零時差漏洞。該開發者還提醒其它的勒索軟體競爭對手，它們的PHP伺服器很可能也已經被攻陷了，最好儘快修補並更新所有憑證。</p> <p>另外他也強調，所有其它未使用PHP的伺服器都未受到影響，將會持續用來外洩受害企業的資料。</p> <p>該名LockBit開發者宣稱FBI等執法機構誇大了克羅諾斯行動的成功程度，例如所取得的逾1,000個解密金鑰只占了解密金鑰總數的2.5%，而且它們屬於低階的解密金鑰。在LockBit運作5年來，其解密金鑰總數約有4萬個。還說執法機構所逮捕的嫌犯並非他真正的合作夥伴，或許只是混幣器或交易平臺的員工。</p> <p>他甚至列出了數十個未安裝PHP、沒有被執法機構攻陷的備份部落格網域，並公布了新的主網域；他表示之所以花了4天才恢復，主要是因為他必須重新編輯最新版PHP的程式碼；他也否認未刪除已支付贖金之受害者的機密資訊，認為執法機構故意說謊。</p> <p>儘管LockBit的確正在重建其基礎設施，但<a href="https://twitter.com/vxunderground/status/1761506370656825531" target="_blank">vx-underground認為</a>，LockBit此一回應試圖抹黑執法機構，以降低其公信力。</p> </div></div></div>
2024/2/26 14:18作者陳曉莉https://www.ithome.com.tw/news/161471
X對非付費用戶推出語音、視訊電話服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原名推特的社群平臺<a href="https://twitter.com/lindayaX/status/1761121033883460062" target="_blank">X上周宣布</a>，將視訊及語音電話服務逐步推向非付費用戶。</p> <p>X去年10月開始首先在iOS版App提供語音及視訊電話服務，1月推向Android版本。不過在本周之前，這項服務都只提供給Premium付費訂閱（即Twitter Blue）帳號用戶，作為加值服務的一環。2月初X大老闆<a href="https://twitter.com/elonmusk/status/1752773507006791867" target="_blank">馬斯克（Elon Musk）預告</a>，等到公司對服務穩定性有信心後，會將服務廣泛推向所有用戶。X執行長Linda Yaccarino本周轉推公司工程師的X推文<a href="https://twitter.com/lindayaX/status/1761121033883460062" target="_blank">公告</a>，這項服務將緩步部署到非Premium帳號用戶。</p> <p>根據<a href="https://help.twitter.com/en/using-x/direct-messages/audio-video-calls" target="_blank">X網頁說明</a>，若想撥打語音和視訊電話，用戶之前必須至少曾經和對方有過至少一次私訊。為防止騷擾，用戶可以在私訊設定中，設定允許接收電話的帳號，包括用戶關注中的、有在聯絡人清單中、經過X驗證的用戶帳號，或是所有人。其隱私設定還讓用戶在通話過程中隱藏用戶IP位址。Android版App中，用戶必須啟用推播通知才能接收到來電通知。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0226-X-twitter-audio%20vedio%20call.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_X</span></span></p> <p>在經過2022年到2023年馬斯克的收購及改革／改名下，X仍然是最大文字類社群平臺。根據<a href="https://www.statista.com/topics/737/twitter/#topicOverview" target="_blank">Statista估計</a>，X全球用戶數為4.15億。為擴大用戶基礎，X持續擴增平臺功能，<a href="https://blog.twitter.com/en_us/topics/company/2023/transforming-the-global-town-square" target="_blank">預計中的服務</a>還包括一對一支付、創作者合作及廣告服務。</p> <p>另一方面，由Meta Instagram支持的Threads在2022年10月上線後，目前用戶數估計在<a href="https://explodingtopics.com/blog/threads-users" target="_blank">1.4億左右</a>。上周<a href="https://techcrunch.com/2024/02/21/meta-tests-cross-posting-from-facebook-to-its-twitter-x-competitor-threads/" target="_blank">Meta還證實</a>正在測試讓用戶可從臉書發文到Threads上，以帶動新平臺的流量。</p> </div></div></div>
2024/2/26 11:05作者林妍溱https://www.ithome.com.tw/news/161466
Google Pay今年6月在美關閉，僅留Google Wallet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/google-pay/payment-apps-update/" target="_blank">Google上周宣布</a>將簡化數位支付服務，將在今年6月關閉美國地區的Google Pay App，全部統整於Google Wallet。</p> <p>Google Pay是Google 2018年推出的數位支付，但2022年5月推出Google Wallet並於7月正式上線。Google Wallet除了數位支付，還可儲存各種票券及數位身份證件、信用卡或學生證等證明。不過Google Pay仍然持續，形成雙軌並行局面。</p> <p>現今全球180多國數百萬用戶透過ChromeOS、macOS、Windows PC及Android、iOS App與實體商店使用Google Pay。Google表示在手機平臺上，也可以用Google Wallet管理Google Pay支付；在美國，Google Wallet用戶使用量是Google Pay的5倍。為了簡化App使用經驗，Google計畫讓美國版獨立的Google Pay從2024年6月4日起終止使用。</p> <p>但Google Pay在印度和新加坡仍然可繼續使用。已經使用Google Wallet的用戶也不受影響。至於其他地區的Google Pay服務會有哪些變化Google尚未說明。</p> <p>對美國用戶而言，6月4日以前，用戶可以用Google Pay App讀取和將Google Pay帳戶餘額轉到銀行帳戶。但6月4日以後，就只能透過Google Pay網站為之。1對1支付服務方面，從同一天起也無法再要求、收取或執行匯款。Google並<a href="https://support.google.com/googlepay/answer/10197214" target="_blank">告知</a>如何匯出Google Pay儲值，以及相關手續費用。</p> <p><a href="https://support.google.com/googlepay/answer/14555219" target="_blank">根據說明</a>，之後用戶的店內和線上付費，仍然可以使用Google Pay，但如果要讀取交易明細和管理支付方式，就只能使用Google Wallet和<a href="http://pay.google.com/" target="_blank">Google Pay網站</a>。因此Google建議用戶下載安裝Android版Google Wallet App。</p> <p>Google表示之後會持續改進使用經驗，像是Chrome中的Google Pay autofill功能、簡化大眾運輸支付，及增加Wallet可儲存票券的種類。</p> </div></div></div>
2024/2/26 09:15作者林妍溱https://www.ithome.com.tw/news/161462
【資安週報】2024年2月19日到2月23日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這星期釋出的安全性漏洞消息，以ConnectWise在19日修補遠端桌面軟體ScreenConnect的漏洞CVE-2024-1709，最受關注，因為在公告的隔日，就發現有駭客開始鎖定利用，該業者也在20日示警、公布入侵威脅指標（IoC），並在21日針對已結束維護支援服務的用戶內部環境建置版本，提供最新升級。</p> <p>在資安威脅焦點方面，最大消息就是勒索軟體LockBit組織的伺服器被攻破。在英、美等10國家聯合發起的打擊行動之下，已接管其技術基礎設施與資料外洩網站，並凍結相關加密貨幣帳戶，美方也拘留兩名利用LockBit服務的聯盟夥伴，起訴兩名發動攻擊的俄羅斯人。</p> <p>由於全球已有上千家企業組織遭受LockBit的危害，因此這次國際查緝行動具有相當大的意義。我們也注意到，在此次行動成果公布後，在打擊勒索軟體網路犯罪的No More Ransom計畫網站，已釋出由日本警方打造的相關解密工具。</p> <p>還有前陣子農曆過年期間，有南韓研究人員發表破解勒索軟體Rhysida的論文，如今在No More Ransom平臺上，也有資安業者Avast釋出的相關解密工具。</p> <p>另一件大消息，是中國資安業者「安洵信息」傳出資料外洩，意外曝露該國政府對全球各國發動網路間諜行動的情況，引發國際關注。研究人員指出，這些資料很有可能來自該公司專門研發間諜軟體的部門。根據外洩資料的內容顯示，該公司替客戶（中國政府）滲透印度、泰國、越南、韓國、臺灣、馬來西亞、北約組織的政府機關，曾開發攻擊工具RAT木馬程式Hector，以及外觀與行動電源相似的「Wi-Fi 抵近攻擊系統」，同時也經營DDoS攻擊業務，還有APT攻擊與間諜行動業務。日後是否有更進一步的研究分析，值得持續追蹤。</p> <p>關於最新威脅態勢的揭露上，我們注意到4個值得留意的技術手法與狀況：</p> <p>●資安業者揭露網釣簡訊攻擊背後的新手法Smishing，他們發現濫用AWS SNS簡訊服務的惡意Python腳本，並指出這是雲端攻擊工具中前所未見的技術。</p> <p>●駭客不斷挖掘出Ivanti Connect Secure的零時差漏洞並成功利用，因此有研究人員針對這樣的狀況進行分析，發現其系統採用許多老舊、已終止支援的元件。</p> <p>●關於網路犯罪組織在臉書投放詐騙廣告，資安業者揭露使用竊資軟體VietCredCare的攻擊者，正鎖定大量越南企業臉書帳號，並在接管帳號後用以實施臉書詐騙。</p> <p>●網路拓樸架構呈現工具SSH-Snake被駭客濫用於攻擊行動，資安業者指出，這是竊取SSH金鑰的新手法，該工具還具有主動修改和無檔案的特性，若採用靜態偵測的作法，會不容易找到。</p> <p>還有多個惡意威脅的最新動向，源自不同資安業者的揭露，包括勒索軟體RansomHouse組織使用新的自動化工具MrAgent，來鎖定虛擬化平臺VMware ESXi平臺，以及惡意程式TicTacToe Dropper，殭屍網路病毒Glupteba，還有商業間諜公司掌握「多媒體簡訊指紋（MMS Fingerprint）」技術的細節。</p> <p>最後值得一提的是，國內再傳上市櫃公司遭遇資安事件，已是今年第7起上市櫃公司因資安事件發布重大訊息。以散熱風扇聞名的上市大廠建準，19日公告當天凌晨遭遇加密攻擊。該公司表示，已確認公司資料沒有外流，資訊系統當日可修復。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161344"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</span></strong></a></h3> <p>最近Ivanti頻繁對於Connect Secure漏洞發布資安公告，並指出部分漏洞已確認被用於攻擊行動，使得這套SSL VPN系統的安全問題再度浮上檯面，然而有研究人員發現，這套系統採用大量早就已經終止支援的元件，而曝露於許多已知漏洞的資安風險。</p> <p>這也突顯Ivanti在2020年買下Pulse Secure公司之後，歷經多次資安漏洞相關事故與爭端之後，此系統竟然被發現至今仍延用老舊架構，並未逐步汰換、更新元件，而使得攻擊者有機會藉由已知漏洞上下其手。</p> <h3><a href="https://www.ithome.com.tw/news/161355"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月20日】勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿</span></strong></a></h3> <p>自2019年出現的勒索軟體LockBit在全球橫行，是最近2至3年最具威脅的勒索軟體。根據美國政府的統計，自2020年該勒索軟體駭客組織已發起超過1,700次攻擊，以美國而言，他們向受害組織總共索討了9,100萬美元的不法所得。這些駭客甚至還<a href="https://www.ithome.com.tw/news/151655">設立漏洞懸賞專案</a>，尋求各界尋找該勒索軟體的漏洞，囂張的程度可見一斑。</p> <p>如此猖獗的態勢，也引起多個國家的執法單位採取行動。最近有許多在追蹤該勒索軟體動態的研究人員發現，執法單位已拿下該組織暗網的網站，這些駭客也對他們的附屬組織證實遭遇「資安事件」。</p> <p><a href="https://www.ithome.com.tw/news/161398"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月21日】中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況</span></strong></a></p> <p style="margin: 0px;">中國政府資助的駭客佯裝成資安公司，在全球從事網路間諜活動，過往通常是藉由研究人員找到的蛛絲馬跡，才能揭露駭客暗中從事多年的行為，但最近有一批文件的曝光，間接反映了這樣的情形，而引起資安圈的高度討論。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">根據一位臺灣資安研究員的揭露，中國資安業者「安洵信息」發生內部資料外洩，而導致中國當局網路間諜活動曝光，當中提及該公司從事網路間諜行動的經驗，並說明他們使用的作案工具，雖然資料的來源與真實性仍有待進一步確認，但根據其內容來看，他們提供了各式各樣的網路攻擊服務，很有可能聽從中國政府的指示對指定目標下手。</p> <h3><a href="https://www.ithome.com.tw/news/161422"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月22日】鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害組織</span></strong></a></h3> <p>鎖定企業臉書帳號的大規模網路攻擊行動，去年7月、8月，資安業者WithSecure、Zscaler揭露<a href="https://www.ithome.com.tw/news/158628">名為DuckTail的竊資軟體攻擊行動</a>，這起事故是越南駭客特別針對數位行銷及廣告領域的人才下手，藉由職場社群網站LinkedIn尋找目標。</p> <p>但類似的手法，最近又有新的發現。資安業者Group-IB發現另一起專門針對越南企業組織而來的攻擊行動，對方使用另一款竊資軟體VietCredCare，從事攻擊行動迄成約有一年半，受害組織遍及當地三分之二省份。</p> <h3><a href="https://www.ithome.com.tw/news/161450"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月23日】遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit</span></strong></a></h3> <p>本週多國執法單位宣布接管勒索軟體LockBit的基礎設施，但這些駭客疑似隨即東山再起，利用甫公布的重大漏洞發動攻擊。</p> <p>資安業者Sophos、Huntress發現，有人利用ScreenConnect的漏洞CVE-2024-1708、CVE-2024-1709發動攻擊，從而在目標組織執行勒索軟體LockBit，其中包含與911相關的系統和醫療機構，研究人員推測，這些攻擊很有可能是尚未遭到取締的LockBit附屬團體所為。</p> </div></div></div>
2024/2/26 09:32作者羅正漢https://www.ithome.com.tw/news/161463
Google Gemini Nano模型將可執行於聯發科晶片組，首支援中階手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mediatek.com/blog/mediatek-dimensity-9300-and-8300-chipsets-now-optimized-for-google-gemini-nano" target="_blank">聯發科宣布</a>，二款新晶片組將支援Google的行動平臺AI模型Gemini Nano 。</p> <p>Dimensity 8300及9300 SoC為聯發科去年推出的行動平臺，在與Google 合作下，雙方整合並優化Google Gemini Nano，使之執行在聯發科Dimensity 8300及9300二款晶片組上。這樁合作包括Google使用聯發科AI開發工具組NeuroPilot，將Gemini Nano執行在聯發科APU上以推升效能。雙方也計畫釋出Dimensity 8300及9300上的APK，以便開發人員和手機品牌業者可部署Gemini Nano應用程式。</p> <p>Gemini Nano是Google去年公布的Gemini 模型中最小的，專門執行在手機等行動平臺上。之前能執行Nano的只有旗艦機種，包括<a href="https://store.google.com/intl/en/ideas/articles/pixel-feature-drop-december-2023/" target="_blank">Google Pixel 8 Pro</a> 、以及今年1月才公布的三星Galaxy S24系列。</p> <p>和聯發科的合作，意謂Gemini Nano即將可執行在中階手機上。Google曾經表示，Qualcomm、聯發科和三星的旗艦晶片組都會支援Nano。MediaTek Dimensity 8300是第一款為中階機種設計的晶片平臺。另一方面，雖然Dimensity 8300可支援大型語言模型，不過Google並未提供該晶片組支援多少token rate，因此可以預期執行多個AI功能會減緩手機的效能。</p> <p>根據<a href="https://www.androidauthority.com/google-gemini-nano-mid-range-phones-mediatek-3418503/" target="_blank">Android Authority</a>報導，目前搭載Mediatek Dimensity 8300的手機只有POCO X6 Pro。但Google可望會持續拓展支援Gemini Nano的中階手機合作夥伴。</p> </div></div></div>
2024/2/26 09:41作者林妍溱https://www.ithome.com.tw/news/161464
eBay推薦典範大變革
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1170-feng_mian_gu_shi_-p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=dNqm8ocC" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2021年，eBay發現，不論用什麼現代化技術來改造，傳統的商品推薦做法還是有難以打破的瓶頸，必須跳脫行之有年的思維束縛，從顧客角度出發重新改造推薦模式，為每一個人打造專屬的商品探索旅途</p> </div></div></div>
2024/2/26 08:22作者郭又華https://www.ithome.com.tw/article/161431
Bluesky推聯邦化功能，支援用戶自託管伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由推特前執行長Jack Dorsey提出並支援的分散式社交網路平臺Bluesky也開始<a href="https://bsky.social/about/blog/02-22-2024-open-social-web">聯邦化</a>，現在官方先開放自託管用戶可選擇在任何位置儲存資料，包括發布的文章、按讚與追蹤等，之後還會開放大型伺服器營運。在經歷將近一年的邀請測試之後，Bluesky在2月初時開放所有使用者註冊，目前Bluesky使用者數已超過500萬。</p> <p>Bluesky運作模型像是網際網路，所有人都可以在網際網路上架設網站，並且自由選擇託管供應商託管網站，甚至是可以由自己託管，並且隨時可以更換。當網站轉移到另一個託管供應商，網站訪客並不會察覺到不同之處，因為無論是網站管理和儲存資料的方法為何，訪客都是透過網址連結到網站。</p> <p>Bluesky的運作方式也是如此，當用戶註冊時，系統預設建議使用Bluesky儲存資料，但用戶也可以選擇另一家託管供應商儲存資料，甚至是自己託管。用戶能夠隨時改變主意，將資料轉移到另一個供應商，所有文章、按讚與追蹤都會保留。單純以追蹤者角度來說並不會改變，無論是資訊實際儲存的位置，抑或是移動次數，用戶的個人檔案始終透過帳戶名稱存取。</p> <p>Bluesky聯邦化讓服務能夠相互連接，提供用戶像是開放網路一樣，可以在各種應用和體驗之間移動。目前Bluesky最新開放的聯邦化版本，主要是提供自託管用戶，其中存在一些防護措施確保聯邦網路的順暢運作，而下一階段，Bluesky才會開放給想要運作大型伺服器的用戶。</p> <p>官方表示，無論用戶是使用Bluesky的伺服器還是自己營運的伺服器，體驗都不會有太大的差異。Bluesky特別設計讓自行託管資料簡單且低成本，使得用戶自行託管資料的體驗與Bluesky提供的服務相同，甚至是更好。Bluesky所建立的AT協定，可將資料控制權還給用戶，讓用戶選擇任意應用程式、訂閱來源，或是偏好的審查規則，如此社交媒體便不會被單一公司控制。</p> <p>Bluesky所使用的是自行開發的AT協定，與Mastodon社交網路所支援的ActivityPub並不相同，雖然兩者所建立的社交網路皆有聯邦（Federation）的概念，但實際運作仍有一些差異，在全球對話參與、審查方式、訂閱來源和帳戶可移植性方面不同。</p> <p>Bluesky解釋，在Mastodon中，用戶的實例或伺服器決定了社群，因此用戶的體驗取決於加入的伺服器，一個實例可以從其他實例發送和接受文章，但不主動提供全球網路瀏覽，而且Mastodon伺服器會成為用戶名稱的一部分。在Bluesky上，用戶的體驗基於追蹤的訂閱來源和帳戶，並能夠輕易地參與全球對話，包括突發新聞、爆紅的文章，或是其他演算法訂閱來源，用戶也可以使用自己的網域名稱作為使用者名稱。</p> <p>在審查方面，Bluesky的審查機制不像是Mastodon綁定伺服器，Bluesky伺服器營運者可以設定託管內容的規則，但是社群的自我組織和審查，更依靠封鎖列表和審核服務等工具，也就是當用戶更換伺服器，仍然可以使用相同的工具來維持審查偏好，像是添加特定用戶到封鎖列表中，無論用戶使用任何Bluesky伺服器，封鎖列表都會發揮作用。</p> <p>Bluesky的時間軸也不和伺服器綁定，所有使用者都可以建立訂閱來源，目前Bluesky上已經有4萬個演算法訂閱來源可供選擇，但Mastodon時間軸僅由用戶追蹤的帳戶文章組成。</p> </div></div></div>
2024/2/25 18:00作者李建興https://www.ithome.com.tw/news/161451
微軟在Windows 10以上的照片App添加魔術橡皮擦功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布在Windows照片應用程式添加<a href="https://blogs.windows.com/windows-insider/2024/02/22/windows-photos-gets-generative-erase-and-recent-ai-editing-features-now-available-on-arm64-devices-and-windows-10/">生成擦除（Generative Erase）新功能</a>，透過結合人工智慧技術，照片應用程式可以供用戶修復和刪除照片中的干擾物，諸如背景物體或是各種視覺雜亂。用戶只要在編輯影像中選擇擦除選項，並用筆刷塗抹想刪除的物體或是區域，程式便會自動進行擦除。</p> <p>用戶也可以調整筆刷大小，以獲得需要的精準度，另外，透過停用自動應用功能，用戶可以增加或是移除遮罩，就能更好地控制或是一次刪除多個物體。官方提到生成擦除的優點在於，即便用戶擦除大面積的區域，程式也會產生無縫且真實的結果。</p> <p>微軟開始於所有Windows Insiders頻道釋出生成擦除功能，而所有當前照片應用程式的人工智慧編輯功能，包括模糊背景、刪除和替換背景和生成擦除等功能，也都已經可以在Windows 11 for Arm64裝置上使用，同時這也是首次微軟將原本Windows 11才有的照片應用程式人工智慧編輯功能，下放到Windows 10。</p> </div></div></div>
2024/2/25 18:05作者李建興https://www.ithome.com.tw/news/161452
支援3D協作與數位雙生，輝達添新款專業繪圖資料中心GPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_l40s_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於導入Ada Lovelace架構的資料中心GPU產品，Nvidia去年上半陸續推出<a href="https://www.ithome.com.tw/review/155388">L40</a>、<a href="https://www.ithome.com.tw/review/156053">L4</a>，8月初舉行的年度電腦繪圖技術大會SIGGRAPH，他們發表另一個款式的資料中心GPU產品L40S，目的是標榜2022年開始主推的OVX伺服器，搭配該公司持續發展的3D協同工作流程Omniverse平臺，支援數位雙生（Digital twins）的圖像呈現，以及其他用到大量AI與圖形運算的工作負載加速需求，預計秋季將由多家伺服器廠商供應L40S，隨後將提供搭配L40S的OVX系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20L40S-OVX-2023-08-SIGGRAPH%20Keynote.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia L40S-OVX-2023-08-08_113219.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20L40S-OVX-2023-08-08_113219.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Nvidia L40S-OVX-2023-08-08_113353.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20L40S-OVX-2023-08-08_113353.jpg" style="width: 298px;" /></a></p> <p>而在幾週之後登場的VMware Explore年度用戶大會，兩家公司宣布將推出支援VMware Private AI Foundation的AI就緒伺服器，預告年底開始供應搭配L40S與BlueField資料處理器的系統，而在後續幾個月內，也將由多家雲端服務業者提供這類型執行個體。果然，9月底召開的甲骨文年度用戶大會Oracle CloudWorld期間，<a href="https://blogs.oracle.com/cloud-infrastructure/post/announcing-oci-compute-nvidia-l40s-gpus">Oracle Cloud Infrastructure（OCI）預告將推出GPU執行個體BM.GPU.L40S.4</a>；11月底AWS年度用戶大會，<a href="https://www.google.com/url?sa=t&rct=j&q=&esrc=s&source=web&cd=&cad=rja&uact=8&ved=2ahUKEwjl0L6v88CEAxUJslYBHdbYCbMQFnoECBAQAQ&url=https%3A%2F%2Faws.amazon.com%2Fblogs%2Fmachine-learning%2Fintroducing-three-new-nvidia-gpu-based-amazon-ec2-instances%2F&usg=AOvVaw3Mp_AenNWcTLenXzYxX97b&opi=89978449">AWS揭露將推出GPU執行個體EC2 G6e</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-28-AWS GPU instances.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-28-AWS%20GPU%20instances.jpg" style="width: 600px;" /></a></p> <p>到了今年2月底，Nvidia在L40S的網站產品英文介紹頁面當中，終於將「此產品上市時請通知我」的字樣拿下（正體中文版網站仍保有這些敘述），</p> <p><a href="https://s4.itho.me/sites/default/files/images/L40S-notify-2024-02-SG.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/L40S-notify-2024-02-SG.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Nvidia L40S-2024-02-23.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20L40S-2024-02-23.jpg" style="width: 298px;" /></a></p> <p>而在臺灣的線上購物網站PC，我們也看到裡面居然陳列L40S，並標示預計出貨日為4月23至25日。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia L40S-2024-02-23_013456-PChome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20L40S-2024-02-23_013456-PChome.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/L40s-2024-02-AMAZON.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/L40s-2024-02-EBAY.jpg" style="width: 298px;" /></p> <p>在L40S發表之初，Nvidia先公布產品技術規格，與L40所差無幾，例如，均配備48 GB的GDDR6記憶體，同樣內建18,176顆CUDA核心、568顆第三代Tensor核心，以及142顆第四代RT核心。</p> <p>效能方面，L40S的FP32浮點運算為91.6 TFLOPS（L40為90.5 TFLOPS），Nvidia上一代頂級資料中心GPU產品A100，若同樣用於這類運算，僅提供19.5 TFLOPS；而在RT核心浮點運算效能的部分，L40S與L40皆為209 TFLOPS。</p> <p>而在Tensor核心的運算效能上，這兩款GPU之間就有很顯著的差異，例如，TF32、BF16、FP16、FP8、Peak INT8、Peak INT4，都領先了1倍，部分類型的運算甚至最高可達到1.45 PFLOPS，可加速複雜的運算與資料密集型分析作業。</p> <p>既然L40s具有更高超的效能，因此，L40S的熱設計功耗較高，可達到350瓦，L40則是300瓦。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20L40S%20Card-Comparison-2023-08.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro L40S vs A100 Card-Comparison-2023-08-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20L40S%20vs%20A100%20Card-Comparison-2023-08-.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Supermicro L40 vs A100 System-Comparison-2023-08-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20L40%20vs%20A100%20System-Comparison-2023-08-.jpg" style="width: 298px;" /></a></p> <p>若就AI應用效能而言，比起A100，L40S也有顯著改善，例如，推論能力提升20％，訓練能力增強70％。</p> <p>而從2023年8月發表至今，L40S已陸續有多款伺服器採用。根據<a href="https://www.nvidia.com/en-us/data-center/data-center-gpus/qualified-system-catalog/">Nvidia認證系統型錄</a>來看，有67款Nvidia認可（Qualified）的機型搭配L40S，提供最多機型的前三大廠牌，依序是Supermicro（18款）、技嘉（15款）、華碩（13款），我們先前介紹的<a href="https://www.ithome.com.tw/review/161012">雲達QuantaGrid D54U-3U</a>，就是其中之一而通過Nvidia-Certied認證的，有3款機型，分別是：技嘉的G293-S42-A、G293-Z42-A，以及聯想的SR675 V3。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Qualified%20System%20Catalog-L40S.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-Nvidia Qualified-Certified Gigabyte.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Nvidia%20Qualified-Certified%20Gigabyte.jpg" style="width: 500px;" /></a></p> <p>若以Nvidia這幾年圖形運算整合伺服器平臺OVX來看，也可以發現他們搭配的GPU與網路介面組態變化，這當中也突顯L40S成為最新搭配的主力產品</p> <p>例如，Nvidia先在2022年3月發表第一代系統的參考設計，搭配8張GPU產品<a href="https://www.ithome.com.tw/review/140860">Nvidia A40</a>，以及3張網路卡<a href="https://www.ithome.com.tw/review/137969">Nvidia ConnectX-6 Dx</a>；同年9月發表的第二代OVX伺服器，預告2023年上半將搭配8張GPU產品<a href="https://www.ithome.com.tw/review/155388">Nvidia L40</a>，以及3張網路卡<a href="https://www.ithome.com.tw/review/149714">Nvidia ConnectX-7</a>；2023年3月揭露第三代OVX運算系統，搭配4張GPU產品Nvidia L40、2張網路卡Nvidia ConnectX-7，以及資料中心處理器<a href="https://www.ithome.com.tw/review/156209">BlueField-3</a>，Nvidia當時表示，預計稍晚推出此項設計。</p> <p>目前他們已公布最新一代OVX伺服器配置，就GPU而言，他們提供搭配4張L40S GPU與8張L40S的選擇，前者採用32核心的英特爾第四代Xeon Scalable處理器（Xeon Gold 6448Y），或32核心的AMD第四代EPYC處理器（AMD EPYC 9354），後者採用56核心的英特爾第四代Xeon Scalable處理器（Xeon Gold 8480），或AMD第四代EPYC處理器（AMD EPYC 9554）；記憶體容量分別是384 GB以上、768 GB以上；網路介面的部分，就南北向傳輸而言，分別搭配2張、4張ConnectX-7（200Gb），就東西向傳輸而言，均搭配1張BlueField-3（B3220）。</p> <h3><span style="color:#008080;"><strong>產品資訊</strong></span></h3> <p><strong>Nvidia L40S</strong><br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●CUDA處理核心數量：18,176顆<br /> ●Tensor核心數量：568顆<br /> ●RT核心數量：142顆<br /> ●內建記憶體容量：48 GB GDDR6<br /> ●記憶體頻寬：864 GB/s<br /> ●連接介面：PCIe 4.0 x16<br /> ●支援NVLink：否<br /> ●單精度浮點運算效能：91.6 TFLOPS<br /> ●外觀尺寸：雙槽全高<br /> ●DisplayPort埠：1.4a版規格，4個<br /> ●耗電量：350瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/25 14:51作者李宗翰https://www.ithome.com.tw/review/161433
中國資安業者安洵信息內部資料在GitHub公開，曝露中國政府對全球各地的網路間諜攻擊手段，引起各界高度關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府資助的駭客佯裝成資安公司，在全球從事網路間諜活動，過往通常是藉由研究人員找到的蛛絲馬跡，才能揭露駭客暗中從事多年的行為，但最近有一批文件的曝光，間接反映了這樣的情形，而引起資安圈的高度討論。</p> <p>根據一位臺灣資安研究員的揭露，中國資安業者「安洵信息（iSoon、Anxun）」發生內部資料外洩，而導致中國當局網路間諜活動曝光，當中提及該公司從事網路間諜行動的經驗，並說明他們使用的作案工具，雖然資料的來源與真實性仍有待進一步確認，但根據其內容來看，他們提供了各式各樣的網路攻擊服務，很有可能聽從中國政府的指示對指定目標下手。</p> <h3><span style="color:#0000FF;"><strong>臺灣研究人員揭露安洵信息所使用的攻擊工具，表明該公司非單純的「資安業者」</strong></span></h3> <p>一位名為「安坂星海」的臺灣資安研究員發現，<a href="https://twitter.com/AzakaSekai_/status/1759326049262019025">有人將中國資安業者「安洵信息」的內部資料上傳到程式碼儲存庫GitHub</a>，聲稱該公司欺瞞中國當局，且財務出現問題，其產品的品質低落，並招致員工抱怨。這些資料也透露該公司替客戶（中國政府）滲透印度、泰國、越南、韓國、北約組織的政府機關。</p> <p><a href="https://s4.itho.me/sites/default/files/images/i-S00N-GitHub.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/i-S00N-GitHub.png" style="width: 580px;" /></a></p> <p>研究人員指出，這些資料很有可能來自該公司專門研發間諜軟體的部門，其軟體平臺能挖掘使用者X（推特）帳號登記的電話號碼及電子郵件信箱，並對特定帳號的動態進行即時監控，甚至能冒用帳號來進行發文、刪文、轉推、按讚。該公司針對Windows、macOS、Linux、iOS、安卓等作業系統，自製RAT木馬程式Hector，其中Windows版木馬號稱能迴避95%防毒軟體偵測，此外，公司還開發外觀與行動電源極為相似的「Wi-Fi抵近攻擊系統（Wi-Fi Near Field Attack System）」。</p> <p>在業務運作上，這家公司同時經營DDoS殭屍網路，所用的病毒檔案大小僅有29 KB，此殭屍網路號稱能產生10至100Gbps的流量。除此之外，還有APT攻擊的教戰手則，並能透過分析郵件、中國社群網站平臺內容來從事間諜行動的說明文件。</p> <p>而對於這些資料外流的原因，新聞網站大紀元認為，<a href="https://www.epochtimes.com.tw/n433151/%E9%99%B8%E7%B6%B2%E5%AE%89%E5%85%AC%E5%8F%B8%E6%96%87%E4%BB%B6%E5%A4%96%E6%B5%81-%E6%9B%9D%E5%85%89%E4%B8%AD%E5%85%B1%E7%B6%B2%E6%94%BB%E6%89%8B%E6%AE%B5.html">很有可能是員工對公司及薪資不滿所致</a>；另一個<a href="https://www.coinlive.com/zh/news/inside-story-of-an-xun-self-built-pornographic-websites-phishing-and">新聞媒體Coinlive指出</a>，該公司員工曾討論如何販賣國家機密，或是製作色情聊天網站來維持生計。</p> <h3><span style="color:#0000FF;"><strong>相關資料引起歐美國家關切</strong></span></h3> <p>在上述研究人員揭露此事不久，這批資料引來大量關注，<a href="https://www.washingtonpost.com/world/2024/02/21/china-hacking-leak-documents-isoon/">根據華盛頓郵報的報導</a>，儘管資料的來源仍不得而知，但研究人員普遍認為這些資料是真實可信的，他們取得研究人員的說法，這些資料內含超過570筆檔案、圖片，以及對話記錄，詳細披露該公司8年來為中國政府盜取外國資料的合約內容，至少有20個國家及地區成為目標，包括臺灣、印度、香港、泰國、韓國、英國、馬來西亞。</p> <p>該媒體引述資安業者Mandiant威脅情資首席分析師John Hultquist的說法，他們有充分的理由相信，這些是能佐證中國政府透過承包商對全球各地從事網路間諜行動的真實資料。</p> <p>這些資料突顯了承包中國政府網路間諜業務的業者之間的激烈競爭，這些廠商為了爭取政府的合約，向中國警方、軍方、情資機構標榜他們的能力，聲稱能夠全面地存取買家認為有用的敏感資料。</p> <p>究竟這批駭客得手那些資料？華盛頓郵報表示，該公司宣稱成功入侵80個企業組織，大部分遭駭的企業組織都在亞洲，其中包含了95.2 GB印度移民資料、3 TB韓國電信業者LG U Plus的通話記錄，此外，這些駭客也入侵了臺灣、香港、哈薩克、馬來西亞、蒙古、尼泊爾的電信業者。</p> <p>值得留意的是，該公司的客戶也要求他們收集特定國家的基礎設施資料，例如，他們竊得495 GB臺灣道路地圖檔案，美國智庫創始人Dmitri Alperovitch指出，這批檔案內含臺灣公路地形、橋樑、隧道的詳細資料，一旦中國對臺灣發動戰爭，軍隊就能精確地調動裝甲部隊及兵力。</p> <p>除此之外，根據該公司員工的對話內容，華盛頓郵報指出，還有10個泰國政府機構也在2020年至2022年遭到入侵，2022年該公司曾企圖出售北約組織（NATO）有關的資料，員工亦討論如何對英國內政部、外交部、國際戰略研究所等一系列目標下手，並試圖從中國外交夥伴巴基斯坦和柬埔寨收集情報。</p> <p>這家公司也曾與惡名昭彰的駭客組織APT41合作，兩個組織的成員甚至見過面。但後來安洵積欠APT41經營的公司「成都404」超過100萬人民幣的款項，導致兩個組織之間的關係惡化，成都404根據軟體開發合約對安洵提告。</p> <h3><span style="color:#0000FF;"><strong>有更多研究人員透露看法，並指出與過往揭露的調查能夠相互印證</strong></span></h3> <p>這批資料引起許多研究人員及資安業者的關注，並表示看法。根據<a href="https://cyberscoop.com/isoon-chinese-apt-contractor-leak/">資安新聞網站CyberScoop的報導</a>，資安業者SentinelOne<a href="http://sentinelone.com/labs/unmasking-i-soon-the-leak-that-revealed-chinas-cyber-operations/">指出這些資料透露中國網路間諜產業已經非常成熟</a>，是他們看過最為具體的證據之一，呈現中國政府成功推動了駭客組織的業務市場競爭。他們看到安洵自稱是民間資安業者，服務的客戶卻是公共安全部、國家安全部、人民解放軍等中國政府單位。</p> <p>臺灣資安業者TeamT5指出，這些資料印證他們長期以來的分析結果──也就是中國民間的資安組織在政府從事全球性的APT攻擊發揮了關鍵作用。研究人員從2020年追蹤這家資安業者，並和自己的研究成果比對，認為這些資料可信度非常高。</p> <p>他們指出，這些資料透露了安洵如何與中國政府打交道，以及該公司產品的細節和財務狀況，<a href="https://attack.mitre.org/software/S0596/">其中甚至鉅細靡遺交代這組人馬如何協助開發RAT木馬程式ShadowPad</a>，所以他們對資料的真實性抱持高度的信心。</p> <p>此外，這些資料也佐證TeamT5先前揭露的攻擊行動，例如<a href="https://www.blackhat.com/asia-22/briefings/schedule/#to-loot-or-not-to-loot-that-is-not-a-question-when-state-nexus-apt-targets-online-entertainment-industry-26143">安洵與中國政府聯手攻擊線上賭博業者</a>，以及該公司曾為了經濟利益發動勒索軟體攻擊──當時，研究人員推測這類攻擊行動的出現，就是中國政府削減了支付給這些承包商的預算導致。</p> <p>另一名自稱移民到臺灣的研究人員「佐拉」也提出看法，<a href="https://twitter.com/zuola/status/1760195384352424151">他認為這批資料完整印證外界對中國政府資助的攻擊行動</a>：這些當地「資安業者」購買零時差漏洞並製作攻擊工具，然後在政府的庇護下對高價值的目標進行長期滲透，若是得手有價值的資料就尋求買家出售，或是接受委託從事針對性攻擊。</p> <p>他也透露看到安洵聲稱對受害的政府機關及企業組織下手，並提及偷到的資料檔案大小。而針對臺灣的部分，對方號稱他們開發的「天機情報大數據平臺」當中，納入17 GB與臺灣有關的個資，這些資料與人口、自來水廠、宅配通有關。此外，他也提及圓桌教育基金會內部網路遭到全面控制、臺灣大學應用力學研究所網路環境被植入Web Shell、淡江大學郵件伺服器存取權限外洩等情況。</p> </div></div></div>
2024/2/24 23:11作者周峻佑https://www.ithome.com.tw/news/161454
【資安日報】2月23日，遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週多國執法單位宣布接管勒索軟體LockBit的基礎設施，但這些駭客疑似隨即東山再起，利用甫公布的重大漏洞發動攻擊。</p> <p>資安業者Sophos、Huntress發現，有人利用ScreenConnect的漏洞CVE-2024-1708、CVE-2024-1709發動攻擊，從而在目標組織執行勒索軟體LockBit，其中包含與911相關的系統和醫療機構，研究人員推測，這些攻擊很有可能是尚未遭到取締的LockBit附屬團體所為。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/screenconnect-servers-hacked-in-lockbit-ransomware-attacks/"><strong style="font-size: 22px;">勒索軟體駭客LockBit鎖定ScreenConnect伺服器重大漏洞發動攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GG8JXlwW0AAnWle.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GG8JXlwW0AAnWle.png" style="width: 300px; float: right;" /></a>2月20日資安業者ConnectWise針對旗下遠端桌面連線系統ScreenConnect公告身分驗證繞過漏洞CVE-2024-1709、路徑穿越漏洞CVE-2024-1708（CVSS風險評為10分、8.4分），之後便傳出攻擊者積極利用的情況，公布漏洞細節的資安業者Huntress將這些漏洞命名為SlashAndGrab。</p> <p>根據Shadowserver基金會的調查，駭客透過643個IP位址從事掃描行為，企圖尋找存在漏洞的ScreenConnect伺服器。但值得留意的是，從物聯網搜尋引擎Shodan的分析，能透過網際網路存取的伺服器有8,659臺，但僅有980臺修補該漏洞。</p> <p>22日資安業者Sophos提出警告，他們先是看到有人利用這項漏洞發動勒索軟體LockBit攻擊，也出現用於散布其他惡意程式的情況，這些惡意程式包含了AsyncRAT及竊資軟體，此外，還有部分攻擊是植入遠端支援系統SimpleHelp的用戶端程式。資安業者Huntress也證實這些漏洞被用於勒索軟體攻擊的情況，並指出駭客鎖定了診所、獸醫院，以及與911專線相關地方政府系統。</p> <p>資料來源</p> <p>1. <a href="http://twitter.com/Shadowserver/status/1760740607268638809">http://twitter.com/Shadowserver/status/1760740607268638809</a><br /> 2. <a href="https://www.shodan.io/search?query=%22Server%3A+ScreenConnect%2F23.9.8%22">https://www.shodan.io/search?query=%22Server%3A+ScreenConnect%2F23.9.8%22</a><br /> 3. <a href="https://twitter.com/SophosXOps/status/1760636826874790025">https://twitter.com/SophosXOps/status/1760636826874790025</a><br /> 4. <a href="https://twitter.com/SophosXOps/status/1760636830456615223">https://twitter.com/SophosXOps/status/1760636830456615223</a><br /> 5. <a href="https://twitter.com/MaxRogers5/status/1760718193285316924">https://twitter.com/MaxRogers5/status/1760718193285316924</a></p> <p><a href="https://www.trendmicro.com/en_us/research/24/b/earth-preta-campaign-targets-asia-doplugs.html"><strong style="font-size: 22px;">中國駭客組織Mustang Panda對亞洲國家散布惡意程式Doplugs，主要目標是臺灣、越南</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/doplugs-7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/doplugs-7.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技針對中國駭客組織Mustang Panda（亦稱Earth Preta、Bronze President）近期的攻擊行動公布新的發現，他們在去年發現鎖定臺灣政府的釣魚郵件，其中挾帶惡意軟體PlugX的變種版本Doplugs，經過比對後，他們認為，這可能與先前另一起攻擊有關，因為資安業者Check Point去年7月揭露的Smugx攻擊，用於攻擊歐洲的惡意程式，與上述Doplugs雷同。</p> <p>他們進一步調查，發現對方2022年就開始使用Doplugs，但相較於一般的PlugX，此惡意程式並未具備完整的後門功能，駭客主要是將其當作惡意程式載入工具，於受害電腦植入PlugX。值得留意的是，對方在Doplugs導入名為KillSomeOne的模組，而具備USB蠕蟲的特性。</p> <p>研究人員比對惡意程式分析平臺VirusTotal的資料，指出這些駭客使用Doplugs在亞洲從事的攻擊行動，主要針對臺灣及越南，但中國、新加坡、香港、日本、印度、馬來西亞、蒙古也有災情。</p> <p><a href="https://thehackernews.com/2024/02/meta-warns-of-8-spyware-firms-targeting.html"><strong style="font-size: 22px;">8家間諜軟體供應商橫行，鎖定Meta旗下社群網站平臺用戶下手，從手機和電腦搜括各式網路服務的個資</strong></a></p> <p></p> <p>Meta近期針對2023年第4季的威脅態勢公布調查結果，指出有別於過往鎖定該公司社群網站用戶的惡意軟體攻擊，本季主要都是由商業間諜軟體廠商發起，他們一共看到8家義大利、西班牙、阿拉伯聯合大公國（UAE）網路間諜公司的惡意活動，並指出這些公司的惡意軟體會收集設備的系統資訊、地理位置、照片、影片、通訊錄、行事曆、電子郵件、簡訊、社群網站、即時通訊軟體，並透過麥克風、視訊鏡頭、螢幕截圖收集各式情報。</p> <p>研究人員指出，這些商業間諜軟體收集的資料範圍相當廣，不光是Meta旗下的臉書、Instagram遭到鎖定，也搜括使用者的其他社群網站平臺（如X、Reddit、Twitch）、影音串流平臺（如YouTube、TikTok）、即時通訊軟體（如Skype、SnapChat、Telegram），以及職場社群網站LinkedIn的內容。另一個不同之處在於，過往的商業間諜軟體大多針對行動裝置而來，但這次發現窺伺活動的範圍也涵蓋Windows、macOS作業系統裝置的使用者。</p> <p>此外，Meta也針對合謀的偽冒行為（Coordinated Inauthentic Behavior，CIB），從臉書及Instagram刪除逾2千個中國、緬甸、烏克蘭的帳號、網頁、群組，以中國的CIB行動而言，駭客會特別貼文苛責美國對於臺灣和以色列的外交政策，並抨擊該國政府對烏克蘭的態度。</p> <p><a href="https://www.bleepingcomputer.com/news/security/wyze-investigating-security-issue-amid-ongoing-outage/"><strong style="font-size: 22px;">智慧家庭設備業者Wyze出現服務異常，使用者竟看到他人監視器畫面</strong></a></p> <p></p> <p>2月16日智慧家庭設備業者Wyze傳出服務異常的現象，他們先是在太平洋時間（PT）上午6時31分表示，接獲用戶通報監視鏡頭裝置離線及登入系統出現困難的情況，在1個小時後表示原因是合作夥伴AWS造成，他們正與AWS著手處理。</p> <p>值得留意的是，在該公司處理上述服務中斷的過程，試圖重新將裝置上線時，部分用戶發現在行動裝置應用程式的事件（Events）標籤中，竟出現他人監視器畫面，該公司調查後確認約有1.3萬名用戶收到他人的監視器畫面縮圖，其中有1,504名使用者點選，有部分能檢視事件影片的內容，但大多只能顯示縮圖。</p> <p>針對這起事故發生的原因，該公司表示是近期系統整合的第三方程式庫造成，因無法承受龐大數量裝置同時上線，導致部分資料連結錯誤釀禍。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/vmware-urges-admins-to-remove-deprecated-vulnerable-auth-plug-in/"><strong style="font-size: 22px;">VMware呼籲vCenter管理者停用已終止支援的身分驗證外掛程式</strong></a></p> <p></p> <p>2月20日VMware發布資安公告，揭露與vCenter Server增強型驗證外掛程式（Enhanced Authentication Plug-in，EAP）有關的漏洞CVE-2024-22245、CVE-2024-22250。</p> <p>CVE-2024-22245為任意身分驗證中繼漏洞，存在於EAP的瀏覽器延伸套件，一旦攻擊者鎖定安裝EAP的瀏覽器，就有機會對網域使用者下手，從而請求及重放AD服務主體名稱（Service Principal Name，SPN），CVSS風險評為9.6分。另一個漏洞CVE-2024-22250則是能用於挾持瀏表欠連線階段（Session），攻擊者若是能夠本機存取Windows作業系統，就可能挾持特權使用者建立的EAP連線階段，CVSS風險評為7.8分。</p> <p>值得留意的是，由於VMware已在2021年棄用EAP，該公司呼籲用戶應儘速移除該元件，並提供相關的PowerShell命令。</p> <p>資料來源</p> <p>1. <a href="https://www.vmware.com/security/advisories/VMSA-2024-0003.html">https://www.vmware.com/security/advisories/VMSA-2024-0003.html</a><br /> 2. <a href="https://kb.vmware.com/s/article/96442">https://kb.vmware.com/s/article/96442</a></p> <p><a href="https://www.ithome.com.tw/news/161286"><strong style="font-size: 22px;">DNSSEC存在重大設計缺陷，透過特製封包恐癱瘓DNS服務</strong></a></p> <p></p> <p>德國研究機構National Research Center for Applied Cybersecurity ATHENE指出，域名系統安全擴充（Domain Name System Security Extensions，DNSSEC）設計存在重大缺陷，允許攻擊者執行KeyTrap攻擊，只要藉由輸送有問題的封包，就有機會讓所有實作DNSSEC驗證的DNS系統癱瘓，包括Google、Cloudflare等公共DNS提供者都會受到影響。</p> <p>研究人員指出，這種攻擊手法主要是利用DNS軟體BIND的高嚴重性漏洞CVE-2023-50387，攻擊者使用特製的DNSSEC簽章進行回應，就有機會導致DNSSEC驗證解析器的處理器資源耗盡，從而阻擋合法使用者存取DNS解析服務。</p> <p>值得留意的是，KeyTrap並非新漏洞，早在1999年就被發現，雖然沒有被徹底解決，但也並未出現積極利用相關漏洞的情況，研究人員指出，原因是要利用這項漏洞需要有許多條件配合，再加上DNSSEC的身分驗證要求，使得攻擊者實際要找到利用方法變得相當困難。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://security.apple.com/blog/imessage-pq3/"><strong style="font-size: 22px;">蘋果將全面升級iMessage加密機制，採用後量子加密協定PQ3</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/xlarge_quantum_security_messaging_apps_LightMode.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/xlarge_quantum_security_messaging_apps_LightMode.png" style="width: 300px; float: right;" /></a>2月21日蘋果宣布升級即時通訊軟體iMessage的加密機制，導入後量子加密演算法PQ3，號稱加密通訊的安全性達到了第3級的強度。這項升級將隨著iOS 17.4、iPadOS 17.4、macOS 14.4、watchOS 10.4作業系統更新，推送到使用者的手機、平板電腦、Mac電腦、穿戴裝置。</p> <p>iMessage是繼去年9月Signal之後第2款導入後量子加密演算法的即時通訊軟體，但蘋果強調，有別於後量子加密Signal主要用在初始金鑰的建立，他們在使用者交換訊息也採用後量子加密的保護機制，即便金鑰洩露，也能確保影響整個對話的安全性。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ftc.gov/system/files/ftc_gov/pdf/2024.02.21StatementofChairKhanRegardingAvast.pdf"><strong style="font-size: 22px;">防毒軟體Avast暗中收集使用者上網資料並用於投放廣告，美國聯邦貿易委員會祭出1,650萬美元罰款</strong></a></p> <p></p> <p>2月22日美國聯邦交易委員會（FTC）針對防毒業者Avast擅自收集大量用戶資料，並賣給上百家資料掮客的情況祭出處分，要求該公司支付1,650萬美元罰款，並停止相關行為。</p> <p>根據調查，Avast至少從2014年開始，利用旗下防毒軟體及瀏覽器擴充套件，內容涵蓋搜尋及存取的網站，從而窺探使用者的宗教信仰、健康問題、政治傾向、位置、財務狀況等敏感資訊，並在未經告知、未經用戶同意的情況下，透過子公司Jumpshot出售給第三方資料掮客，用以執行目標式廣告。</p> <p>FTC這麼做其來有自，2019年兩大瀏覽器龍頭Google及Mozilla察覺Avast推出的4款瀏覽器擴充套件過度追蹤使用者上網行為，從Chrome Web Store、Firefox Add-ons擴充套件市集將其下架，隔年科技新聞媒體Motherboard與PCMag聯手，踢爆Avast出賣使用者上網資料的行為。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.welivesecurity.com/en/eset-research/operation-texonto-information-operation-targeting-ukrainian-speakers-context-war/"><strong><span style="font-size: 20px;">俄羅斯發起Operation Texonto攻擊行動，對烏克蘭散布與戰爭有關的假訊息</span></strong></a></p> <p></p> <p><strong><a href="https://www.aquasec.com/blog/lucifer-ddos-botnet-malware-is-targeting-apache-big-data-stack/"><span style="font-size: 20px;">殭屍網路Lucifer鎖定Apache Hadoop伺服器而來</span></a></strong></p> <p><a href="https://www.helpnetsecurity.com/2024/02/20/applications-security-debt/"><strong><span style="font-size: 20px;">逾三分之一由</span></strong></a><a href="https://www.helpnetsecurity.com/2024/02/20/applications-security-debt/"><strong><span style="font-size: 20px;">GitHub CoPilot產生的程式碼存在漏洞</span></strong></a></p> <p> </p> <p><a href="https://www.cisa.gov/news-events/alerts/2024/02/08/cisa-partners-openssf-securing-software-repositories-working-group-release-principles-package"><strong><span style="font-size: 20px;">CISA、OpenSSF發布套件儲存庫安全框架</span></strong></a></p> <p></p> <p><strong><a href="https://www.commerce.gov/news/press-releases/2024/02/biden-harris-administration-announces-first-ever-consortium-dedicated"><span style="font-size: 20px;">逾200家IT廠商加入美國政府AI資安論壇</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161422"><strong>【2月22日】鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161398"><strong>【2月21日】中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161355"><strong>【2月20日】勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿</strong></a></p> </div></div></div>
2024/2/23 17:33作者周峻佑https://www.ithome.com.tw/news/161450
AT&T電信服務中斷10小時，惹來FBI調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國東部時間周四（2/22）凌晨3:30左右（臺北時間下午4:30），美國最大電信業者AT&T<a href="https://about.att.com/pages/network-update" target="_blank">發生行動網路服務中斷事件</a>，包括通話、網路及簡訊服務都停擺，高峰時全美有超過7萬名用戶受到影響，且中斷時間超過10小時，引起了美國聯邦通訊委員會（FCC）及美國國土安全部（DHS）的關心，並使得聯邦調查局（FBI）介入調查，不過，AT&T澄清，只是內部程序錯誤所造成，與網路攻擊無關。</p> <p>AT&T在美國的5G部署已可覆蓋當地的2.1億名使用者，其<a href="https://investors.att.com/~/media/Files/A/ATT-IR-V2/financial-reports/quarterly-earnings/2023/4q-2023/4Q23_ATT_Earnings.pdf" target="_blank">去年第四季的財報</a>顯示，該公司的行動網路訂閱用戶數為7,310萬，光纖網路的訂閱用戶數為830萬。</p> <p>周四有大量的AT&T用戶發現電話服務無法使用，不能通話、傳簡訊，也無法使用網路，連緊急電話911都不能撥，使得外界懷疑AT&T是否遭到網路攻擊。</p> <p>不過，當天下午AT&T便出面澄清，初步調查顯示其服務中斷源自於應用程式，在擴充網路時執行了一個錯誤的程序，並非受到網路攻擊，將會深入評估此次的事件，以繼續提供客戶應有的服務。</p> <p>目前AT&T服務已恢復正常。</p> </div></div></div>
2024/2/23 15:07作者陳曉莉https://www.ithome.com.tw/news/161445
Avast出售用戶瀏覽資料，被罰1,650萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>捷克資安業者Avast因擅自蒐集大量用戶瀏覽資料，並將它們出售給上百家資料掮客，<a href="https://www.ftc.gov/news-events/news/press-releases/2024/02/ftc-order-will-ban-avast-selling-browsing-data-advertising-purposes-require-it-pay-165-million-over" target="_blank">美國聯邦交易委員會（Federal Trade Commission，FTC）周四（2/22）要求Avast停止相關行為</a>，同時支付1,650萬美元的罰款。</p> <p>根據FTC的調查，Avast利用所開發的防毒軟體及瀏覽器擴充程式來蒐集用戶的瀏覽資料，不僅無限期地儲存這些用戶資訊，還在未經用戶同意且未告知的情況下，將它們透過子公司Jumpshot出售給全球超過100家的第三方資料掮客，用以執行目標式廣告。</p> <p>至少從2014年開始，Avast便利用瀏覽器擴充程式，或者是安裝在手機及電腦上的防毒軟體，來蒐集用戶的瀏覽資料，涵蓋搜尋及所造訪的網站，得以窺探使用者的宗教信仰、健康問題、政治傾向、位置、財務狀況及其它敏感資訊。諷刺的是，Avast對外宣稱其產品可以減少網路上的追蹤，保護使用者的隱私，但在蒐集及銷售用戶資料上，卻從未告知或取得用戶的同意。</p> <p>此外，即便Avast表示是先利用演算法來刪除身分識別資訊，再將資料出售，但FTC發現Avast所出售的資料針對每個瀏覽器與其所蒐集的資料建立了唯一識別標記，涵蓋所造訪的網站、時間戳、裝置及瀏覽器類型、城市及國家等，卻對外聲稱只會以匯總與匿名方式傳送消費者個資。</p> <p>事實上，Google與Mozilla在2019年時，便曾因Avast所開發的4款瀏覽器擴充程式過度追蹤使用者行為，而<a href="https://www.ithome.com.tw/news/134601" target="_blank">將相關擴充程式自Chrome與Firefox上的程式商店移除</a>。且在2020年傳出<a href="https://www.ithome.com.tw/news/135542" target="_blank">Avast出售用戶瀏覽資料</a>時，<a href="https://www.ithome.com.tw/news/135577" target="_blank">Avast接著便關閉了</a>對外宣稱擁有來自全球1億臺裝置資料的行銷子公司Jumpshot。</p> <p>本周FTC除了要求Avast支付1,650萬美元之外，也禁止Avast出售瀏覽資料，或者在出售前必須獲得用戶的明確同意，也必須刪除當初轉給Jumpshot的瀏覽資料，以及任何自該資料衍生的產品與演算法，並要求Avast實施全面的隱私計畫。</p> </div></div></div>
2024/2/23 15:22作者陳曉莉https://www.ithome.com.tw/news/161446
Reddit申請IPO，擴大與Google合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國新聞社交平臺<a href="https://www.redditinc.com/blog/reddit-files-registration-statement-for-proposed-initial-public-offering" target="_blank">Reddit周四（2/22）披露</a>，已向美國證券交易委員會（SEC）申請股票首次公開發行（IPO），準備以RDDT為代號，登上美國紐約證券交易所（NYSE）。同一天<a href="https://www.redditinc.com/blog/reddit-and-google-expand-partnership" target="_blank">Reddit亦宣布</a>擴大與Google的合作。<a href="https://www.reuters.com/technology/reddit-ai-content-licensing-deal-with-google-sources-say-2024-02-22/" target="_blank">《路透社》</a>（Reuters）引用消息來源報導，此一合作將允許Google利用Reddit的內容來訓練AI模型，每年價值6,000萬美元。</p> <p>Reddit創立於2005年，註冊會員可上傳各種內容，從文章、連結、照片到影片等，其他會員則會針對這些內容投下贊成或反對的票數，以決定相關內容的排序。目前Reddit已有超過10萬個社團，每日不重覆造訪人數有7,300萬個，每周則高達2.67億個，站上累積的貼文超過10億篇。</p> <p>根據<a href="https://www.similarweb.com/website/reddit.com/" target="_blank">Similarweb的流量追蹤</a>，Reddit現為全美第九大網站，也是全球第十七大網站。</p> <p>Reddit主要的營收來自於廣告，包括贊助式貼文或推廣內容，該公司於上市申請文件<a href="https://www.sec.gov/Archives/edgar/data/1713445/000162828024006294/reddits-1q423.htm" target="_blank">FORM S-1</a>中披露，2022年與2023年的年度營收為6.66億美元及8.04億美元，分別虧損了1.58億美元及9,000萬美元。</p> <p>FORM S-1也陳列了握有5%以上Reddit股份的主要股東，包括騰訊（Tencent）及OpenAI共同創辦人Sam Altman都名列其中，但Altman是與關係企業共同列名。</p> <p>同一天Reddit亦宣布擴大與Google的合作，只是雙方的新聞稿似乎避重就輕。<a href="https://blog.google/inside-google/company-announcements/expanded-reddit-partnership/" target="_blank">根據Google的說法</a>，此次的合作包括Reddit將利用Vertex AI來強化Reddit平臺的搜尋與其它能力，也會在Google的各式產品中更加突顯來自Reddit的內容。</p> <p>且未來Google亦可存取Reddit的Data API，以更有效率且結構化地造訪更新的訊息，將令Google更妥善地理解Reddit內容，並以最準確及相關的方式顯示，或是用它們來訓練模型。</p> <p>日前<a href="https://www.ithome.com.tw/news/161384" target="_blank">《彭博社》</a>（Bloomberg）即引述消息來源報導，Reddit將把平臺內容授權給某家AI公司來訓練模型，亦說該筆交易每年價值6,000萬美元。</p> <p>這一年來AI業者大肆利用網路上的內容來訓練AI模型，導致許多內容業者反彈，Reddit也是其中之一。Reddit在<a href="https://www.ithome.com.tw/news/156469" target="_blank">去年4月</a>更新其服務條款，針對一向免費的Reddit Data API推出了付費版，舉凡是需要額外功能、更高用量或是更大權限的開發者都必須付費使用，然而，原本是為了限制AI業者的政策，卻使得<a href="https://www.ithome.com.tw/news/157278" target="_blank">多個知名App因而關閉</a>，開發人員還發動聯合抗議行動，<a href="https://www.ithome.com.tw/news/157316" target="_blank">癱瘓了Reddit平臺</a>。</p> </div></div></div>
2024/2/23 13:18作者陳曉莉https://www.ithome.com.tw/news/161440
零售IT雙周報第29期：不只是Chatbot！L'Oréal's推出AI化妝顧問，利用膚質檢測及AR試用進一步提升購買…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0211~0224)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI購物助手</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#即時儀容分析</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#美妝零售IT</span></span><br /> L'Oréal's推出AI化妝顧問App，利用膚質檢測及AR試用進一步提升購買意願</strong></p> <p><a href="https://www.youtube.com/watch?v=pArGshMSoNo&">L'Oréal's揭露了一個手機AI化妝顧問App</a>。根據現場示範，除了一般導購型聊天機器人會有的功能外，這個虛擬顧問還可以根據消費者現場拍攝的照片，透過電腦視覺技術分析出皺紋、色斑沉澱、肌膚緊緻程度等細節，並根據分析結果提供保養及化妝建議，同時推薦L'Oréal's商品。此App還有AR模擬試用功能，來進一步強化消費者購買意願。</p> <p>L'Oréal's表示，此AI虛擬顧問不只整合了10個LLM來強化對話功能，訓練資料還用了他們自家資料平臺的商品資料、色彩科學資料、化妝顧問資料，以及皮膚學資料，包括15萬張由皮膚科醫生親自標註的圖片，來強化化妝流程推薦及膚質檢測功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#打掃機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#門市狀況分析</span></span><br /> 日本全家啟用清潔兼店內行銷用機器人，未來還可以充當巡邏員通知店員店內狀況</strong></p> <p>日本全家便利商店在<a href="https://www.family.co.jp/company/news_releases/2024/20240131_01.html">300家門市導入清潔兼行銷用的多功能機器人</a>。此機器人除了清潔功能外，還配備了小螢幕，會顯示產品資訊和活動公告。機身還可作為迷你貨價，擺放著促銷商品供拿取。</p> <p>未來，日本全家還計畫增設AI鏡頭，於店內移動同時記錄現場狀況，可以用作後續分析不同時間段銷售情況，以及即時通知店員補貨等用途。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/jpfmm.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店內數位行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體零售</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span><br /> 連鎖便利商店Extramiles導入AI驅動的店內互動式行銷體驗</strong></p> <p>美國有上千家分店的連鎖便利商店Extramiles<a href="https://news.samsung.com/us/samsung-fuels-new-era-of-in-store-engagement/">開始嘗試導入店內AI互動式行銷購物體驗</a>。做法是，於店內人流量高的地方放置互動式螢幕，平時呈現與促銷商品相關的社群媒體內容，或是根據當地一周天氣預報，播放對應情境廣告。</p> <p>在某些實驗店中，此互動式體驗還有生成式AI虛擬店員功能，可以接受語音或文字輸入，來與顧客互動，提供購物建議或商品知識小測驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/exm.jpg" style="width: 600px;" /></p> <p>此螢幕還搭載了足跡分析功能，分析人流流向、潛在購買意圖、銷售轉換等資訊，來建議店家變更呈現的數位內容或互動式硬體擺放位置，以提升顧客參與度。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#個人化推薦</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#商品探索</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI工程</span></span><br /> eBay轉移商品推薦思維的歷程</strong></p> <p>2021年，eBay發現，就算用再怎麼現代化的AI技術來改造推薦系統，傳統思維下的商品推薦做法，還是有難以打破的瓶頸。eBay AI長Nitzan Mekel-Bobrov說，要為每一個顧客打造專屬的商品探索旅途，必須跳脫行之有年的思維束縛，從顧客角度出發重新改造推薦模式。</p> <p>新舊做法的關鍵差別是判斷商品關聯性的角度。以往做法是預先替商品分類，再假設商品相似性等於關聯性，進行推薦。新做法則是從顧客行為出發，推論他們如何認知商品關聯性。這個關聯性是多元的，不只注重相似性，也可能是任何其他能連結起商品的概念。eBay是如何嘗試升級舊有推薦做法，轉移到新做法後有哪些改變？<a href="https://www.ithome.com.tw/news/161416">請看本刊第1170期封面故事</a></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#沉浸式電商體驗</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#裝潢模擬</span></span><br /> Wayfair推出VR頭戴式裝置用的模擬裝潢App</strong></p> <p>室內裝潢是相對仰賴實體購物體驗的零售類別，不過美國最大家居與裝潢電商Wayfair持續在不同通路推出購物體驗，嘗試模擬消費者實體觀看家具的體驗。</p> <p>這次，在VR頭戴式裝置Apple Vision Pro上市沒多久，<a href="https://www.prnewswire.com/news-releases/wayfair-announces-decorify-app-for-apple-vision-pro-302053738.html">他們便於此平臺推出沉浸式裝潢模擬體驗。</a>消費者可以上傳自家室內空間圖片，或是使用預設房間圖片，在其中模擬不同家具擺設，以及不同裝潢風格。模擬完畢，便能直接對Wayfair電商下單購買。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/wfapvp.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV</span></span><br /> Walmart花23億美元買下智慧電視業者Vizio，以進一步發展RMN電視通路</strong></p> <p>Walmart和智慧電視業者Vizio簽定協議，<a href="https://corporate.walmart.com/news/2024/02/20/walmart-agrees-to-acquire-vizio-holding-corp-to-facilitate-accelerated-growth-of-walmart-connect-through-vizio-s-smartcast-operating-system">以23億美元收購Vizio及其智慧電視作業系統</a>（SmartCast Operating System）。Walmart表示，這個收購的主要用意是，要將Walmart線上購物及RMN觸角深入更多家庭的電視中。</p> <p>目前，Walmart是與和另一家智慧電視內容廠商巨頭Roku合作，來遞送電商和廣告內容。Vizio旗下整合串流內容平臺SmartCast有超過1,800萬組活躍帳號，CTV生態圈規模接近Roku。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#上雲</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#ERP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SCM</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#倉儲管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#訂價策略</span></span><br /> 墨西哥超市老牌雜貨超市Waldo's Dollar Mart的上雲歷程</strong></p> <p>在墨西哥有超過800家分店的連鎖雜貨超市Waldo's Dollar Mart自2020年，為了積極拓展營運規模及提升整體營運效率，<a href="https://www.oracle.com/news/announcement/waldos-dollar-mart-streamlines-retail-operations-with-oracle-cloud-2024-02-20/">開始了一系列上雲作業</a>。</p> <p>首先，他們從核心的ERP著手，改採用雲端ERP，之後將其他系統陸續搬上雲端，包括採購、收據比對、訂價策略、倉儲管理等，下一步則要將運輸管理系統也上雲。為了上雲，他們在IT面現代化了超過62套舊有應用程式，同時在業務面改善了既有存貨管理、策略規畫和預算擬定等流程。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://www.aboutamazon.com/news/retail/amazon-rufus">Amazon推出對話式AI購物助理Rufus</a></p> <p>2. <a href="https://corporate.walmart.com/news/2024/01/30/walmarts-augmented-reality-optical-try-on-lets-customer-visualize-customize-fits">Walmart的AR試穿戴技術開始支援眼鏡類商品</a></p> <p>3. <a href="https://www.etsy.com/news/etsys-journey-to-become-the-ultimate-gifting-destination">巨型手工藝品電商Etsy推出AI禮物挑選助手，可透過文字輸入或簡單互動式選單來探索送禮用商品</a></p> <p>4. 無獨有偶的，設計類電商Pinkoi也在手機版網頁中推出了AI送禮助手</p> <p>5. 酷澎導入中華電信隱碼技術，將消費者電話號碼及包裹號碼轉換成代碼或部分遮蔽以保護消費者個資</p> <p>資料來源：iThome整理，2023年2月</p> <p>責任編輯：郭又華</p> <p>圖片來源：日本全家、三星、Wayfair</p> </div></div></div>
2024/2/23 12:17作者郭又華https://www.ithome.com.tw/news/161435
Google將關閉Gmail的HTML檢視功能，但沒要終止Gmail
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雖然Google經常關閉多項用戶眾多的服務，但Gmail一旦關閉可能會引發全球性的災難。Google關閉的只是Gmail基本HTML檢視功能。</p> <p>近日一則關於Gmail標題為「Google is Sunsetting Gmail」的假消息，<a href="https://twitter.com/growing_daniel/status/1760750195980292189" target="_blank">宣稱</a>Google要在2024年8月1日關閉Gmail。有鑒於Gmail對眾多用戶的重要性，本訊息也引發網路數百萬人點閱及轉貼。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0223-gmail-%E5%81%87%E6%B6%88%E6%81%AF.png" style="width: 592px;" /></p> <p>主要媒體如《<a href="https://techcrunch.com/2024/02/22/google-is-killing-gmails-basic-html-view-in-2024/" target="_blank">Techcrunch</a>》、《<a href="https://www.theverge.com/2024/2/22/24080435/gmail-isnt-going-anywhere" target="_blank">The Verge</a>》、《<a href="https://gizmodo.com/no-google-isn-t-sunsetting-gmail-1851279685" target="_blank">Gizmodo</a>》都澄清報導這是假消息；Google並沒有要終止Gmail服務。</p> <p>媒體報導，這假消息是用Google去年關閉Gmail基本HTML檢視的公告文字修改而成。<a href="https://www.ithome.com.tw/news/158969" target="_blank">去年8月，Google預告</a>，Gmail中的基本HTML檢視（Basic HTML View）模式將在2024年1月退役，屆時所有原本採用該模式的介面，都將自動轉成標準檢視（Standard View）模式。</p> <p>雖然基本HTML模式是較古早的服務，但仍然<a href="https://news.ycombinator.com/item?id=37558372" target="_blank">引發不少用戶表達遺憾</a>。基本HTML模式是因應網路頻寬不大的地區用戶所需，最大好處就是可在網路較慢的狀態下使用，而且支援早期版本的瀏覽器。而且若用戶環境設有多個代理伺服器，現有Gmail載入即受到延遲性問題困擾。</p> <p>目前這已成定局。<a href="https://support.google.com/mail/answer/15049?hl=en" target="_blank">Google支援頁面</a>提醒基本HTML檢視功能用戶儘快轉換到標準版本。此外，若用戶也同時使用螢幕畫面縮放功能（screen magnifier），<a href="https://support.google.com/mail/answer/14297617" target="_blank">Google建議</a>可在標準模式中啟用緊湊檢視（compact view）收信匣功能，可以讓介面變得清爽，讀取較多內容，這可以點入Gmail右上方「設定」，當中「快速設定」的「密集度」找到。</p> <p>另外，用戶也可以取消Gmail收信分類、關閉郵件讀取視窗、重要信件標記等方式放大信件讀取空間。「設定」區中的「Inbox（收信匣）」中找到「類別」（共有5類），將「促銷」、「社交」類別取消勾勾，所有信就會集中在收信匣中，和基本HTML模式相同。</p> </div></div></div>
2024/2/23 13:04作者林妍溱https://www.ithome.com.tw/news/161439
【推薦思維從平臺角度轉為顧客角度】eBay推薦系統大改革
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>商品推薦是零售業的核心課題。從實體商店將類似或互補商品陳列在一起，到現今電商以數據驅動RMN廣告，「如何呈現出顧客會有購買興趣的商品」，是一個不同時代有不同答案的亙古問題。</p> <p>有2兆元交易額、1.35億名活躍會員、17億項商品的電商平臺eBay，正在嘗試交出新時代的答案卷。</p> <p>「電商領域中，99%個人化推薦系統還在用老舊的典範──把商品相似性當作關聯性。」eBay AI長Nitzan Mekel-Bobrov直言。</p> <p>早在2010年，eBay工程部落格的開站文章中，當時的eBay數據探勘主管Junling Hu便提到，他們新引入了協同過濾（Collaborative Filtering），將購買紀錄相似的顧客分群，再推薦分群中不同顧客曾購買的商品給彼此，是當時相似性推薦的主流技術。</p> <p>這15年間，隨著技術進步，他們開始逐漸開始應用機器學習、深度學習等技術來強化推薦系統，更於2021年，聘任首任AI長Nitzan Mekel-Bobrov，主導推薦在內的AI做法。</p> <p>eBay AI長分別在Boston Scientific、Capital One跟Booking.com等不同領域的大型企業擔任了超過13年高階數據工程主管，不過過往並沒有零售業經驗。剛加入eBay時，他聽說零售業界強調個人化推薦，且有AI模型可以預測顧客間相似度，感到非常好奇。「結果我花了一個月研究，才發現這種說法根本是認知失調。」他不諱言。</p> <p>Nitzan Mekel-Bobrov認為，零售業絕大多數的推薦模型，仍是基於商品相似性2大原則：第一個是先前提到的協同過濾，第二則是內容過濾（Content-based Filtering），比前者更加簡單，單純依據商品特徵相似度來推薦商品。</p> <p>許多複雜或利用先進技術的推薦系統，背後原理依然與此2原則脫不了關係。Nitzan Mekel-Bobrav舉例，透過深度學習技術，AI模型可以從非常多維度來分析商品，將這些維度轉換為嵌入向量（Embedding Vector），再利用K-近鄰演算法（KNN，K-nearest Neibourgh）等方法，從向量空間中找出最接近的商品。這種做法仍屬於內容過濾法精神。</p> <p>另一個例子是，有些號稱以顧客興趣為中心的AI模型，會比較一系列的商品點擊紀錄，甚至進而預測下一個商品點擊行為。不過，「這仍是從商品相似性為出發點，還把一個活生生的人化約成區區幾個滑鼠點擊。」Nitzan Mekel-Bobrav吐槽。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>相似性推薦法已經不夠有效</strong></span></span></p> <p>多年來，eBay也是從商品相似性出發，來進行個人化推薦。</p> <p>這種思維帶來的最大限制是，不論技術上如何先進，判斷商品相不相似，都是基於電商對商品的分類方法，以及對相似性的定義。這意味著，就算有一組商品，在顧客認知中具有高度關聯性，只要這些商品各自被歸類到差異很大分類中，系統便無法推薦。</p> <p>Nitzan Mekel-Bobrav指出：「這限制了商品探索階段的可能性，打擊了顧客體驗和廣告投報率，進而影響交易量。」</p> <p>為了嘗試涵蓋更多顧客角度，eBay會賦予1種商品多種分類。以Jordan 1運動鞋為例，他們將這個商品分類在「服飾／男性／足類商品」、「服飾／男性／運動類商品」、「收藏品／服飾／足類商品」等，共12種分類下。不過，不論電商如何分類商品，顧客眼中都可能有更多種截然不同的分類方法。這對於有1.35億名活躍會員、17億項商品的eBay來說，尤其如此。</p> <p>相似性推薦法另一個明顯短版是，利用KNN、ANN（大約近鄰演算法，Approximate Nearest Neighbour）等找出向量最接近商品的方法來做推薦，有可能因為同性質的商品數量過多，而使推薦內容枯燥無味，甚至全是不同賣家上架的相同商品。</p> <p>他以自家電商頁面為例，eBay商品頁面會有類似商品版位及交叉銷售版位，前者是用來呈現同款不同價位商品及類似款項商品，後者則是用於顧客商品探索，主要呈現互補品或其他關聯商品。延續Jordan 1鞋子的案例，進入商品頁面，這2種推薦商品版位，呈現出來的商品全都是同款鞋子。這是因為，eBay站上有太多人在賣同款鞋，即使交叉銷售版位會檢索嵌入向量鄰近度稍微遠一點的商品，還是只會找到同款鞋。</p> <p>這種現象，等於使eBay失去了讓顧客探索更多不同商品，促成更多訂單的機會。不只如此，顧客還可能因為購物體驗乏味，而直接離開網站，甚至減少未來造訪頻率。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漸進迭代式的改造推薦系統，先固本再革新</strong></span></span></p> <p>Nitzan Mekel-Bobrav認為，推薦系統最關鍵的課題就是，有效尋找高關聯性（Relevance）商品，引起顧客購買興趣。他強調，商品關聯性由顧客定義，而非平臺。這正是為什麼，eBay必須打破實行二十幾年的商品相似性推薦思維，採用一種新推薦方法，讓具有不同角度及背景的顧客，都能找到在他們眼中具關聯性的商品。</p> <p>商品相似性推薦法將商品相似性與關聯性畫上等號。過往，eBay會制定一套理解商品的分類框架，再將顧客行為化簡為靜態的商品特徵數據，來匹配鄰近分類商品。這種做法聚焦商品數據，顧客數據顆粒度通常較為粗糙。</p> <p>2021年起，eBay的推薦系統核心思維，開始採取不一樣的新做法，改從顧客行為出發，猜測顧客眼中的商品關聯性──不只根據相似性，也可能包括互補性、替代性，或其他關係。他們用接近即時的方法跟隨顧客旅途，蒐集顧客行為時序，不斷猜測顧客興趣，再根據興趣推論顧客如何連結起商品。</p> <p>從平臺單一角度出發，分析單一種關聯性因素，轉變成從上億個顧客角度出發，分析多種關聯性因素，需要處理更大量、更細緻的顧客及商品數據，難度較商品相似推薦方法高不少。</p> <p>不過，對eBay來說都是，要多增加一個數據維度來支援推薦系統，都是一件龐大且艱難的工程。因為，他們的商品高達17億項，而且類型多元，許多商品是非規格商品，甚至是不會重複上架的一次性販售商品。許多常見的數據處理方法，難以規模化來套用到eBay這種量級和複雜度。例如，對每一件商品紀錄上千維度的元數據，再計算出這些元數據間的種種關聯，以eBay規模來說是一件成本極高的事情。</p> <p>eBay建設推薦機制的超高難度，使他們轉移推薦典範時並非一蹴而就，而是從強化既有推薦做法開始，先訓練出自己的語言模型，來處理商品文字資訊，再加入了更多維度及模態的商品數據，作為推薦依據。他們還得想辦法優化龐大模型的運算量，來縮短推薦系統的計算延遲，也能處理更多更複雜的數據。</p> <p>對商品數據累積足夠的理解後，他們開始擴大蒐集及分析更多種類、更細緻的顧客行為，要從顧客角度，描繪出專屬每一個人的商品關聯性框架。</p> <p><a href="https://www.ithome.com.tw/news/161430" target="_blank"><span style="font-size:18px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 系列報導 1 </span></span> </strong></span></a><span style="font-size:18px;"><strong><a href="http://www.ithome.com.tw/news/161430" target="_blank">為何eBay要推翻用了25年的傳統推薦？</a></strong></span></p> <p><strong style="font-size: 18px;"><span style="background-color: rgb(51, 153, 255);"><span style="color:#FFFFFF;"> </span><a href="https://www.ithome.com.tw/news/161429" target="_blank"><span style="color:#FFFFFF;">系列報導 2</span></a><span style="color:#FFFFFF;"> </span></span><span style="color:#FFFFFF;"> </span></strong><span style="font-size:18px;"><strong><a href="https://www.ithome.com.tw/news/161429" target="_blank">超級個人化推薦是eBay下一步目標</a></strong></span></p> </div></div></div>
2024/2/23 10:41作者郭又華https://www.ithome.com.tw/news/161416
【成也分類，敗也分類，平臺角度推薦典範最大瓶頸】為何eBay要推翻用了25年的傳統推薦？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>二十幾年來，舉凡入口頁面、商品搜尋頁面、比價欄位、類似商品欄位、交叉銷售欄位、廣告商品欄位，甚至所謂「個人化推薦」欄位，eBay都遵循著同一套電商行之有年的傳統推薦思維，來推薦商品。</p> <p>這套傳統作法就是商品相似性的推薦，以顧客所選擇或正在觀看的「主商品」作為比較基準，和不同「候選推薦商品」比較特徵，再根據相似性排序，推薦最相近的商品給顧客。</p> <p>這些年來，eBay不斷強化推薦技術，例如從比對單字出現頻率的TF-IDF來計算相似性，走到利用NLP模型比對商品標題之間的語意。他們也持續增加不同維度的商品特徵，來進一步比較商品不同面向的相似性。甚至，會根據推薦情境，將主商品替換成其他資訊，例如商品搜尋條件、顧客最近瀏覽的商品等。</p> <p>強化推薦技術時，eBay不惜投入大量時間、人力及硬體支出成本，反覆進行大規模、小顆粒度的測試和優化。他們動輒為了一個功能執行上千次實驗，或訓練多個版本的AI模型，只為了盡可能提升商品推薦關聯性。例如，為了強化相似性推薦系統理解商品敘述的能力，他們用了超過30億條商品標題，先後訓練了2個專屬NLP模型，再微調一次後，才投入實際應用。</p> <p>這些做法升級當下，都有帶來或多或少的成效。不過，不論這些技術如何演進，歸根究柢都是在比較商品之間特徵相似性，並且假設，相似性高等於關聯性高，關聯性高等於顧客購買意願高。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>以30億條商品標題訓練專屬NLP模型，強化語意相似性理解</strong></span></span></p> <p>25年來，eBay嘗試過各種商品相似性的推薦作法。最常用來比較的商品特徵是商品標題。多年來，他們比較商品標題的方法也很傳統，利用已經問世50年的詞彙出現頻率計算法TF-IDF，以及語意交集聯集比較法雅卡爾相似係數等統計學方法，來計算商品標題相似性。</p> <p>直到2020年代，eBay才開始轉而使用NLP模型來進行語意嵌入向量（Embedding Vector）比對。他們採用當時主流的BERT家族模型。試用了優化版本的BERT模型RoBERTa後，他們發現使用NLP模型來推論相似性的效果明顯高於傳統統計學方法。為了盡可能提升相似性推論準確度，他們用自家30億筆歷史商品標題及2.5億條維基百科上的英、德、法、義、西語語句作為訓練資料，自行打造一個專屬BERT模型eBERT。接著，為了節省運算成本，eBay透過知識蒸餾模型壓縮法，以eBERT為老師網路，訓練出較輕量的學生網路MicroBERT。</p> <p>為了再進一步改善MicroBERT模型推論相似性的效果，eBay又加入商品同時點擊（Co-clicking）數據，利用InfoNCE損失函數來微調此模型，以縮短相似商品間嵌入向量距離。微調後模型稱為Siamese MicroBERT，用來投入實際推薦場景。</p> <p>可是，就算用了熱門的BERT模型，甚至嘗試了多種優化和改良方式，但是，eBay以商品標題資料來訓練的模型，仍舊是傳統商品相似性思維的推薦結果。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>整合圖片與文字嵌入向量，同時比較多模態商品特徵</strong></span></span></p> <p>用文字來比較商品相似性後，eBay開始嘗試結合圖文相似度來比對商品。</p> <p>過往，他們雖然有利用AI模型生成圖片和文字模態嵌入向量，但兩者是獨立儲存、處理，難以並用。實務上，推薦系統還是以商品標題的文字嵌入向量，作為主要推薦依據。只從商品標題文字相似性來推薦，可能會發生文字描述接近，但照片不相似，甚至品質低、圖文不符，使顧客失去興趣。</p> <p>為了有效應用圖片向量於推薦，他們將圖和文向量投影到同一個向量空間，合併成圖文合一的多模態嵌入向量後，再來比較相似性。他們用TransH知識圖譜模型，將圖文嵌入向量投影到同一個超平面，以確保圖文嵌入向量代表同一件商品。Triplet loss損失函數則用於最小化相似商品的嵌入向量。經過這些處理，eBay便能並用商品圖片及文字嵌入向量，來比較商品相似性。</p> <p>他們使用Siamese雙塔模型，進行2次嵌入向量比較，根據相似性來計算主商品及推薦商品同時被點擊機率，相似性越高越能提高顧客點擊推薦商品機率。</p> <p>第1次是比較商品自身的圖片與文字嵌入向量距離，來排除圖文不符對相似性的削弱。第2次，將主商品與推薦商品，各自的圖文嵌入向量捉對比較相似性。</p> <p>自此，eBay的推薦模型，從文字推薦，發展到了多模態，文字結合圖片的商品特徵，來比較商品相似性。雖然eBay推薦技術往前跨了一大步，但仍舊是聚焦在商品相似性，透過商品相似性無法做到的事，就算用了圖片結合文字，還是做不到。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>轉化顧客行為成商品特徵，與商品資訊投影到同一個向量空間</strong></span></span></p> <p>他們不是不知道顧客數據的重要性，也曾用顧客數據來解決沒有主商品的推薦比較，但是，受限於商品相似性思維的框架，就算拿到顧客數據，還是回頭用來強化商品相似性，而沒有真正發揮顧客數據中興趣維度的價值。</p> <p>像是在eBay首頁、「與你最近瀏覽相似」等欄位，有時還沒取得顧客瀏覽的主商品資訊，eBay用了一個號稱「顧客導向」的排序模型，分為「深度」與「廣度」2部分的架構。在深度面，eBay將顧客瀏覽及搜尋的商品，以及這些行為的頻率和順序，轉化為對應商品特徵，作為「顧客向量」，來會充當一般推薦情境的主商品角色，進行比較。</p> <p>另外在廣度面，eBay採用了記憶商品常見銷售情況及顧客行為特徵，來建立一般性的推薦（而非個人化）的資訊，例如熱門商品、關聯商品及顧客習慣。綜合這2個架構的輸出數據，此模型便能在顧客沒有點擊主商品時，根據顧客過往行為來推薦商品。</p> <p>雖然他們用了顧客行為數據建立「顧客向量」來推薦商品，但是，這個「顧客向量」，只是從顧客行為提取出一系列商品特徵，用來與推薦商品進行相似性比較，仍未跳脫以商品相似性為推薦基礎的精神。</p> <p><strong style="color: rgb(51, 153, 255); font-size: 28px;">商品相似性典範限制了思維及推薦效果</strong></p> <p>eBay對商品相似性的重視根深蒂固，每當要優化推薦方法時，他們第一個想法就是：「如何強化相似性推論？」</p> <p>比如說，他們有一個收費的相似性商品推薦廣告版面，採用梯度提升樹（Gradient Boosted Tree）來訓練背後的推薦模型，採用了多種排序演算法，包括熱門度、商品品質及相似性，為了提高廣告轉換率，放大了熱門度對排序的影響。</p> <p>如此一來，透過這個版面推薦的商品，可能會出現與主商品差異很大的產品，例如高價手錶頁面，出現了價格和外觀都與主商品相差甚遠的產品。</p> <p>當eBay團隊發現了這個問題時，就直接選擇提高商品相似性的權重，反而沒有近一步細究、微調模型中不同因素的權重。他們誤以為，只要調整相似性就能讓推薦商品更具關聯性，也更能引起消費者購買。</p> <p>甚至，他們刻意排除熱門度的影響，他們微調出一個新模型，來過濾舊模型的結果。新模性移除了所有與熱門度有關的排序功能，加入了一個購買機率的目標函式，賦予更高權重給相似性分數高的商品。不過，套用新模型後推薦結果，並沒有如預期全面提高顧客的購買率，只有部分商品有效。</p> <p>這個結果反映出，還有其他需要考慮的影響因素，但是eBay團隊，發現推薦機制出問題時，習慣把商品相似性視為萬靈丹，什麼都先從這個角度來思考解法。</p> <p>eBay這種改善推薦機制的做法，不是在實驗「哪一個推薦要素錯了」，而只是聚焦在「如何強化相似性權重、強化多少」。這種過度強調商品相似性的思維，侷限了他們工程團隊的思考空間。</p> <p>歷年來，eBay不斷改善推薦機制，確實有效提升了以相似性為基礎的推薦方法。不過，Nitzan Mekel-Bobrav坦言，要打破eBay推薦機制面臨的瓶頸，不是靠現代化舊有做法。就算相似性推薦做得再極致，此思維原本無法處理的推薦情境，仍然無法處理。</p> <p>他認為，eBay機制要有所突破，必須要從根本改變思維。首先，定義商品關聯性時，要跳脫25年來對相似性的執著，考量到更多因素。</p> <p>不只如此，他們還要跳脫平臺本位思考角度，否則，當顧客有興趣的商品不被平臺視為同一分類，就算關聯性對一般人顯而易見，商品相似性推薦系統仍無法推薦。新思維應改從顧客角度出發，嘗試理解顧客如何認知自家商品，根據每一個顧客的興趣來調整商品分類和理解方法，才能做到超級個人化的商品推薦。</p> <p><a href="https://www.ithome.com.tw/news/161429" target="_blank"><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> </span></span></strong></span></a><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/news/161429" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">後續報導請見</span></span></a></strong></span><a href="https://www.ithome.com.tw/news/161429" target="_blank"><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> </span></span>超級個人化推薦是eBay下一步目標</strong></span></a></p> </div></div></div>
2024/2/23 10:41作者郭又華https://www.ithome.com.tw/news/161430
【顧客角度全新推薦典範，要以顧客興趣為核心】超級個人化推薦是eBay下一步目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想像一個Lebron James球迷，在eBay購買了一雙該球員聯名的球鞋，這時，如果eBay推薦系統是一個老練的推銷員，應該要推薦什麼商品給他？</p> <p>答案很可能不會是再一雙球鞋，而是介紹其他Lebron James蒐藏品，像是球員卡、珍藏版畫，或是其他連顧客自己都不知道存在，但可能會有興趣的周邊商品。這是因為，比起短時間內購買一堆球鞋，看到每個有趣的小東西都買一份，更符合一般人消費習慣。</p> <p>「70% Gen Z認為商品探索是網購最棒的環節。」eBay AI長Nitzan Mekel-Bobrov笑道：「我跟年輕人至少在這點上有共識。」不過，eBay並沒有Lebron James這個商品分類，商品相似性推薦系統無從得知這些商品之間的關聯性，因此這位球迷不會有機會發掘偶像各式周邊商品，而是看到一整排自己已經買過的球鞋。</p> <p>為了使推薦系統能像老練推銷員一般觀察，並勾起顧客興趣，eBay必須要轉移到以顧客新推薦典範。要做到這點，Nitzan Mekel-Bobrov認為，必須理解顧客興趣，同時熟知自家商品。這也意味著，eBay推薦系統典範轉移不須摒棄過往相似性推薦時代的技術建設，而是以過往累積的商品理解為基礎，加入顧客觀察，來綜合判斷應推薦商品。</p> <p>新舊典範的關鍵差別是判斷商品關聯性的角度。以往做法是假設商品相似性等於關聯性，將顧客行為化簡為靜態的商品或商品分類數據，再匹配鄰近分類商品。</p> <p>新做法則是從顧客行為出發，推論他們如何認知商品關聯性。這個關聯性是多元的，不只注重相似性，也可能是任何其他能連結起商品的概念。</p> <p>為了做到這點，eBay勾勒出顧客旅途，從看似無關的行為中，猜測背後購買興趣，再動態推薦相關商品。這也意味著，隨著系統對顧客了解更深，同一個顧客在旅途不同階段瀏覽同一件主商品，可能會看到不同的推薦商品，且這些推薦商品不會受到eBay預設分類方法限制。</p> <p>為了打造這種超級個人化的商品探索體驗，近一、兩年，他們開始大力研究，如何進一步從顧客數據挖掘出更多有用資訊，來強化商品推薦機制。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從顧客行為數據回推推薦效果，而非相似性</strong></span></span></p> <p>新典範下，eBay開始更深入的分析顧客行為數據，並用來強化推薦效果。一個例子是，增加顧客行為數據維度，來改善相似商品廣告欄位的推薦效果。</p> <p>這是一個依據成交金額來抽成廣告費用的促銷廣告版面，當顧客瀏覽A產品，透過這個廣告推薦，實際購買了B產品時，才將A產品與B產品視為有關聯，作為後續相似性推薦的重要參考。當其他人看了A產品，也會推薦B產品給他。若沒有完成購買行為，則一律視為無關聯性。</p> <p>這種高度聚焦於購買行為的設計，雖然能有效帶來購買轉換，不過也衍生出3個問題。</p> <p>第一是偽陰性問題。通常，顧客頂多只會從推薦欄位中購買一件商品，其他商品就算具有高關聯性，也會被標註為無關聯性。再來，購買行為相較於其他顧客行為，數量稀少不少，因此可以用來強化推薦系統的數據相對少。第三，此機制沒有考慮到其他類型行為，也可能代表不同程度的購買興趣。</p> <p>eBay嘗試加入更多過往顧客行為到推薦模型中，來因應上面3個問題，不過還要得客服兩個挑戰，首先，要判斷哪些行為標籤具有足夠影響力，應該納入考量。接著，要賦予這些行為適當權重，否則推薦效果反而會低於原本設計。</p> <p>為了解決這2個挑戰，eBay根據不同行為標籤與標籤超參數組合，訓練出2,000個以上的模型來投入實驗，並且分開測試網頁版商城及行動App商城，才決定點擊、加入購物車、開價、點擊馬上購買按鈕、加入觀察清單、購買等行為標籤以及其權重，並將新模型投入全球商城中。</p> <p>不問推薦商品與瀏覽中的主商品多相似，只問顧客有沒有興趣，來決定推薦排序，這便是新典範中，以顧客角度觀看商品的精神。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>以顧客旅途為出發點，打造更即時、更不受既有認知限制的超級個人化體驗</strong></span></span></p> <p>不只要從一系列相似商品中，根據顧客歷史行為進一步推測顧客興趣程度。eBay還要分析顧客在整個eBay商城中的旅途，即時找出其興趣，推測此顧客眼中如何看待商品關聯性，並用來這個角度來分類商品，進行推薦。</p> <p>eBay舊有推薦法蒐集的顧客行為不多，主要是顧客點擊、購買及搜尋數據。為了更深入分析顧客興趣，他們將顧客商城內的行為整理成63種事件，分別屬於探索、商品清單、瀏覽、搜尋、決策、支付、送貨、再訪8個階段，以此來勾勒出顧客旅途。</p> <p>eBay不只會紀錄這63種事件的發生時間，再轉化為事件順序嵌入向量（Sequence Embedding），還會進一步紀錄每個事件的持續時間，轉化為時間嵌入向量（Time Embedding）來代表此事件的重要性。</p> <p>接著，他們將兩著結合成點擊流嵌入向量（Click Stream Embedding），再與自家商品的知識圖譜（Knowledge Graph）比照，動態形成興趣圖譜（Interest Graph），來推論商品對於顧客來說，可能有哪些關聯性。</p> <p>Nitzan Mekel-Bobrov說，事件順序及時間嵌入向量都是利用雙向長短記憶網路（Bi-directional Long Short-Term Memory，BiLSTM）計算出來的，需要耗費巨大運算資源，因此業界通常不會做到如此精細，但eBay認為，這對於深度且即時了解顧客興趣至關重要。</p> <p>系統會根據這些動態推論的顧客興趣及關聯性，產生商品分類，作為推薦依據。這樣一來，便能跳脫原本eBay用相似性建立的商品分類，每一個顧客都會有專屬自己的分類方法。</p> <p>新做法不只使eBay能擺脫自己分類觀點的限制。Nitzan Mekel-Bobrov補充，顧客數據分析到如此精細，可以做到所謂「多方向性」的顧客興趣理解。</p> <p>「一般的個人化是單方向的作法，數據累積越多，越有可能累積到錯誤或過時資訊，而且系統不容易及時遺忘這些不適用的資訊。」他補充，像圖文向量的「顧客向量」就一種靜態資料，取得後要更新很難，若可以更即時了解顧客興趣，便更容易根據顧客旅途來快速反應，增加、移除或修正系統對於顧客興趣的了解。</p> <p>例如，系統雖然一開始判斷顧客喜歡玩具相機，當顧客點擊更多復古木製玩具類相機，系統便會更新對興趣的理解，改認定對方喜歡復古木製玩具相機，在這個過程來累積顧客興趣理解，增加或修正興趣標籤，這是一種個人化的優化方向。</p> <p>不過，當顧客開始點擊更多非相機類的復古木製玩具時，系統便會移除相機這個標籤，改為判斷顧客興趣是復古木製玩具，移除顧客興趣標籤，這是與前一個優化方向相反的作法，透過排除噪音來提高個人化。顧客若點擊其他材質的玩具，或是對特定類型復古木製玩具展現興趣，系統對顧客興趣理解也可以「橫向」移動到其他類興趣的標籤。「這些移動都是根據動態產生的顧客興趣圖譜，而不是預定義的商品分類。」Nitzan Mekel-Bobrov強調。</p> <p>追蹤顧客探索旅程的每一個行為，透過多種優化做法來更新對顧客興趣的，正是eBay發展超級個人化的關鍵一步。</p> <p><a href="https://www.ithome.com.tw/article/161431" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/images/1170-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P1-open-%E5%8F%88%E8%8F%AF-960X420%20%E6%8B%B7%E8%B2%9D_0.jpg" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/2/23 10:42作者郭又華https://www.ithome.com.tw/news/161429
拍賣龍頭AI長的挑戰
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大拍賣網站eBay，在3年前，聘了一位當時少見的AI長Nitzan Mekel-Bobrov。這位留著一臉落腮鬍的AI長，擔任過醫療設備商Boston Scientific、金融集團Capital One和旅遊巨頭Booking.com的數據高階主管，這是他第一次進入零售電商產業。</p> <p>以AI長職位，而非資料長來聘任，因為eBay高層對他的期待很不一樣，希望這位AI長可以確保eBay「神奇且負責任地提供AI增強的顧客體驗。」</p> <p>陌生的零售產業經驗，讓Nitzan Mekel-Bobrov具有不一樣的眼光，可以從第三者的角度，更客觀地看到eBay的不足和問題。上任第一年，他就做了一個大膽的決定，推翻eBay用了二十多年的推薦系統運作模式。</p> <p>eBay一年交易金額高達2兆元，多達1.35億名活躍會員每個月打開eBay，從17億件商品中，找到自己鍾意的那一項。想要提高交易量，如何靠商品推薦來吸引顧客購買是一大關鍵。</p> <p>可是，不同於沃爾瑪、Amazon這類B2C的電商，eBay是C2C的商業模式，上架的商品，來自上億賣家，上架的商品五花八門，許多很難用制式的商品規格來描述，</p> <p>甚至有很多商品是不會再次上架的一次性販售商品，再加上上億人、數十億件商品的規模，想要打造出一套好的推薦系統，是一個非常艱難的挑戰。過去二十年來，eBay以商品相似性為基底，發展出了一套複雜的推薦機制。</p> <p>這麼多年來，eBay不斷改良和優化自己的推薦系統，從最早比對商品標題單字出現頻率來計算相似性的TF-IDF作法，到近十年開始利用越來越成熟的NLP模型，來分析商品標題的語意。</p> <p>eBay甚至以當年超級熱門的BERT模型為基礎，用30億筆歷史商品標題及2.5億條維基百科上的英、德、法、義、西語語句作為訓練資料，發展出了一套自家的NLP模型eBERT，結合了多種模型壓縮和優化方式，最後微調出一套模型稱為Siamese MicroBERT，來分析十多億則商品標題的相似性。</p> <p>後來，不只文字，還結合了圖片嵌入向量作法，讓商品外觀成為相似性比對的新維度，透過圖文向量來找出優先推薦的高相似性商品，當顧客瀏覽一個商品介紹網頁時，就會跳出相關的推薦產品。</p> <p>但是，這位AI長到任後，一看到eBay這個用了十多年的推薦模式，就直言，這種只靠商品資訊來計算相似性的推薦，就算做到極致，還是有局限。預設相似越高的商品，對顧客會有同樣的吸引力，這種做法其實沒有辦法反映出顧客真正的興趣，甚至當顧客興趣轉換時，也無法動態修正推薦的結果。</p> <p>「eBay推薦機制要有所突破，思維上必須要有根本性的改變。」他說。</p> <p>他認為eBay必須跳脫平臺本位思考角度，改從顧客角度思考，嘗試理解顧客如何認知自家商品，以此作為推薦的依據。</p> <p>重新以顧客角度來思考推薦本質，eBay開始聚焦顧客上站逛商品的探索行為，追蹤63類事件來描繪顧客的購物旅程，想辦法理解在這個過程中，顧客的興趣變化，來設計新一代的推薦系統。</p> <p>這正是全球最大拍賣網站AI長過去三年，最重要的課題。</p> <p><a href="https://www.ithome.com.tw/article/161431" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/images/1170-%E5%B0%81%E9%9D%A2%E6%95%85%E4%BA%8B-P1-open-%E5%8F%88%E8%8F%AF-960X420%20%E6%8B%B7%E8%B2%9D_0.jpg" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ebay">eBay</a></div><div class="field-item odd"><a href="/tags/%E5%95%86%E5%93%81%E6%8E%A8%E8%96%A6">商品推薦</a></div><div class="field-item even"><a href="/tags/%E9%9B%B6%E5%94%AE%E6%A5%AD">零售業</a></div><div class="field-item odd"><a href="/tags/%E6%8E%A8%E8%96%A6%E7%B3%BB%E7%B5%B1">推薦系統</a></div><div class="field-item even"><a href="/tags/%E5%80%8B%E4%BA%BA%E5%8C%96%E5%95%86%E5%93%81%E6%8E%A8%E8%96%A6">個人化商品推薦</a></div><div class="field-item odd"><a href="/tags/ai%E9%95%B7">AI長</a></div></div></div>
2024/2/23 10:46作者王宏仁https://www.ithome.com.tw/voice/161432
Gemini多元化矯枉過正，遭Google暫停人物圖像生成功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google AI聊天機器人Gemini因近日多起在產製歷史人物圖像生成時，發生種族方面的錯誤，Google已暫時關閉其人物圖像生成功能。</p> <p><a href="https://twitter.com/Google_Comms/status/1760603321944121506" target="_blank">Google稍早透過X官方帳號表示</a>，團隊正在解決近日Gemini圖像生成功能的問題。為此該公司將暫停人物圖像生成功能，很快會再重新推出改善版本。</p> <p class="rtecenter"><a href="https://twitter.com/Google_Comms/status/1760603321944121506" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0223-google%20gemini-600-1.png" style="width: 590px;" /></a></p> <p>此事是發生在用戶本周利用由Bard改名後的Gemini生成人物圖像的功能。但不少用戶發現Gemini生成的一些人物圖像有離譜錯誤，而歷史人物圖片上特別明顯，例如<a href="https://twitter.com/nypost/status/1760623631283954027" target="_blank">生成非裔的美國開國元勛</a>、看起<a href="https://twitter.com/vocalcry/status/1760150802641854519" target="_blank">來不像Larry Page及Sergey Brin的Google創辦人</a>，以及亞洲臉孔的納粹軍官、非裔天主教教宗等。顯然用以設計Gemini生成內容的平等、多元化原則套用在歷史人物上並不完全適用。</p> <p><a href="https://twitter.com/nypost/status/1760623631283954027" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0223-google%20gemini-New%20York%20Post(2).png" style="width: 280px;" /></a> <a href="https://twitter.com/vocalcry/status/1760150802641854519" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0223-google%20gemini-Circe(1).png" style="width: 280px;" /></a></p> <p>Google昨日已獲報Gemini產生歷史人物圖像發生不精確的問題。<a href="https://twitter.com/Google_Comms/status/1760354549481546035" target="_blank">Google坦承</a>Gemini的AI圖像生成功能的確產出各種人物，通常這是好事，因為使用者來自世界各地，但此時卻有點尷尬。</p> <p>Gemini產品經理Jack Krawczyk在稍早的X貼文上指出（現已刪除），Google設計Gemini的圖像生成功能乃為了反映其全球使用者組成結構。</p> <p>這不是生成式AI第一次出現圖片爭議。去年Midjourney的免費版AI圖片生成服務<a href="http://www.ithome.com.tw/news/156224" target="_blank">被人濫用生成</a>天主教教宗方濟各（Pope Francis）穿著貌似知名品牌的外套，脖子上還掛著十字架項鍊。微軟的圖片AI生成工具也<a href="https://www.ithome.com.tw/news/161083" target="_blank">被用來產生</a>知名藝人Taylor Swift的不雅照，但微軟隨後修正這項問題。</p> <p>由於出錯容易引發爭議甚至當局介入，主要業者從OpenAI到微軟、Google、Meta等任何圖片或影片AI生成服務上線前，都會設下使用限制並找來專業團隊執行攻擊演練，防止濫用。</p> </div></div></div>
2024/2/23 11:26作者林妍溱https://www.ithome.com.tw/news/161434
Cloud周報第194期:微軟Azure推出碳優化、碳洞察新工具，能協助用戶優化和管理雲端使用的碳排放
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（02/8～02/21）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VMware </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google率先支援VMware新制，讓企業能通過授權轉移將地端的VCF環境搬上GCP平臺</span></strong></p> <p>在VMware全面改為訂閱制後，在三大公雲中，Google率先以行動相挺。兩家公司最近宣布了一項授權轉移計劃，讓VMware企業用戶未來可以通過授權移轉的方式，將其本地部署的VCF（VMware Cloud Foundation）環境搬上GCP平臺。</p> <p>透過這項計畫，企業在可以更容易在本地資料中心和GCP平臺之間移動VCF軟體的授權，這意味企業可以將本地部署的VCF訂閱授權轉為GCP平臺上的授權，而不需要在GCP平臺重新購買VCF軟體授權才能用。反之亦然，企業也能將GCP平臺上的VCF授權轉移到本地環境中。</p> <p>在VMware舊制時，Google Cloud就已在VMware Engine服務中提供各種VMware元件，包括vSphere、NSX 、HCX、vSAN等。而在新制下，VMware表示，企業可以從VMware Engine平臺中獲得VCF平臺的完整功能。</p> <p>這項授權轉移方案預計將在今年第二季公布。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端永續 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟推出兩款碳優化管理新工具，助用戶優化Azure雲端使用的碳排放</span></strong></p> <p>為實現雲端永續發展目標，微軟最近推出了兩項新工具，讓Azure開發人員能夠優化和管理Azure雲端使用的溫室氣體排放。其中一個是Azure碳優化工具，這是一個免費工具，透過該工具，不僅可以提供Azure使用所產生的排放資訊，還能針對這些數據提出相關建議，進而提高雲端效率並降低碳排放。</p> <p>第二個工具是Azure排放洞察工具，作為Microsoft Fabric永續發展資料服務方案的一部分提供，透過這個工具，將使數據分析師和工程師能夠存取Fabric中的Azure排放數據，進行相關查詢和了解Azure資源的排放水平，從而進一步進行分析和製作進階報告。</p> <p>目前，Azure帳戶管理者也已經能夠在排放影響儀表板中查看其組織內的雲端排放視圖。透過此功能，他們能夠追蹤和監控特定資源或工作負載的碳排放量變化，以改善組織的碳足跡。</p> <p>目前這兩款工具仍處於預覽版階段。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">上雲 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Waldo雜貨超市 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">墨西哥老牌雜貨超市Waldo's Dollar Mart為加速轉型擁抱雲端，以達成年開設70家新店的目標</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/rc24-waldos.jpg" style="width: 600px;" /></p> <p>在墨西哥有家擁有超過800家門市的老牌雜貨超市Waldo's Dollar Mart，近幾年積極展開數位轉型而開始大力擁抱雲端，以加速營運決策和提供顧客更好地購物體驗。</p> <p>在Waldo自2020左右展開上雲後，一開始就先從核心的ERP著手，改採用雲端ERP，之後將其他系統陸續搬上雲端，包括零售採購、發票比對、商品訂價、倉庫管理、供應鏈管理等。</p> <p>由於Waldo許多應用程式都已相當老舊，為了能夠上雲，Waldo重新梳理了超過62個舊有應用程式，讓這些應用能夠跟著現代化，同時簡化了既有業務流程，包括庫存管理、規劃和預算流程等，對齊雲端發展目標。</p> <p>Waldo's Dollar Mart首席資訊長Laura Andrade Ortega 表示：透過上雲，不僅可以提供提高的營運效率和更好決策，也能加快開店的速度，支援其每年開設約70家新店的目標，滿足實體店和線上客戶需求。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Acrobat </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI助理 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Adobe雲端版PDF軟體Acrobat也有GenAI助理功能了</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8898.png" style="width: 600px; height: 338px;" /></p> <p>近來，Adobe積極搶進生成式 AI領域，不僅在Creative Cloud套件中推出運用Firefly生成式AI 技術支援Photoshop繪圖的新功能，現在進一步把這項能力帶進旗下Adobe Document Cloud雲端套件中的PDF軟體Acrobat，為其加入生成式 AI助理的功能。</p> <p>使用AI助理時，使用者只需在介面中點選右上角的「AI Assistant」按鈕，就可以啟動該功能。</p> <p>Acroba借助在Acrobat Liquid Mode行動閱讀模式中運用的機器學習模型，讓AI助理更容易理解PDF內部結構和內容，可以為使用者產生長篇文件的重點摘要、提供獨特觀點，並回答用戶提問。</p> <p>Acrobat中的AI助理不僅會針對PDF文件中整理出的重點提供連結，方便用戶迅速在文件中找到該原始段落，後續還能協助設計報告或簡報排版、語調，以及草擬電子郵件，並將完成的檔案壓縮成合適大小，方便與他人分享。</p> <p>不只PDF文件能用，使用者可以使用它處理各種文件格式，包括Word、PowerPoint或常見會議記錄格式等。不過，目前Acroba AI助理還是beta版本。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 三大公雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">企業GenAI強烈需求帶動雲支出增長！第四季全球全球雲端基礎設施服務市場創新高，達737億美元</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8989.jpg" style="width: 600px; height: 428px;" /></p> <p>市場研究機構Synergy Research Group去年第四季調查顯示，在企業GenAI強烈需求帶動下，全球企業在雲端基礎設施服務支出創新高，達737億美元，比前一年同期增長超過120億美元。第四季成長率為20%，2023全年達到19%成長率。</p> <p>從公有雲市占率來看，前三名市占合計達73%，亞馬遜AWS雖有些微幅下滑但仍以31％市占排名第一，而第二名的微軟Azure本季市占明顯增加，達到24％，正逐漸縮小與AWS的差距。至於Google Cloud的市占為11％，並沒有明顯變動。</p> <p>從地理畫分來看，亞太地區成長最為強勁，包括印度、中國、澳洲和日本較同期都呈現出平均20％以上的成長，美國地區成長雖然僅有16%，但仍是當前規模最大的雲端市場。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">義大利國防部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 軍事太空雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">義大利國防部有意將雲端資料中心搬上太空</span></strong></p> <p>義大利國防部最近啟動了一個名為MILSCA的研究計畫，旨在建立一個軍用太空雲架構，以便能夠將地面雲端資料中心移至太空中，建造軍事太空雲。</p> <p>有別於地面上傳統的雲，這個太空雲能在太空中提供高效能運算（HPC）和儲存服務，確保更快速的資訊處理和共享能力，更高的安全或靈活彈性，作為政府和軍隊的使用。</p> <p>該計畫要求建立一個衛星群，每顆衛星的單精度性能可達250 teraFLOPS（每秒1兆次浮點運算），同時在軌道上儲存至少100TB的資料。除了資料處理速度更快，由於資料是從太空傳傳輸，因此通訊較地面系統更不易受到干擾。</p> <p> </p> <p>圖片來源／Adobe、Synergy Research Group、Oracle、微軟</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.微軟Azure Stack HCI超融合式基礎結構平臺已可支援部署Azure雲端虛擬桌面 </strong></p> <p><strong>2.瞄準小型企業行銷需求，Salesforce推出結合GenAI的行銷雲服務Marketing Cloud Growth</strong></p> <p><strong>3.微軟重砸32億歐元將用於發展德國雲端與AI</strong></p> <p><strong>4.AWS去年第4季營收達242億美元，較同期成長13%</strong></p> <p><strong>資料來源：iThome整理，2024年2月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/2/23 08:27作者余至浩https://www.ithome.com.tw/news/161389
Apple將在iOS 17.4升級iMessage添加後量子加密協定PQ3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple因應未來量子電腦對當前加密協定帶來的風險，將全面<a href="https://security.apple.com/blog/imessage-pq3/">升級iMessage</a>的加密機制，添加比安全通訊軟體<a href="https://www.ithome.com.tw/news/158852">Signal</a>使用PQXDH協定更強大的後量子加密協定PQ3，使得iMessage成為加密安全最強健的通訊軟體。</p> <p>雖然當前市面上的通訊軟體，不少使用RSA、橢圓曲線和Diffie-Hellman金鑰交換等經典的公鑰加密技術，在裝置間建立端對端加密連線，而這些演算法也都被證明為困難的數學問題，要解開這些數學問題所需要的運算量，超越古典電腦的能力範圍。不過這個情況將在量子電腦時代改變，一臺足夠強大的量子電腦，其理論運算速度足以威脅當前加密通訊的安全性。</p> <p>雖然目前擁有這種能力的量子電腦還沒被開發出來，但是資源豐富的攻擊者，可以先大量收集加密資料和檔案，待未來強大的量子電腦出現，就能進行破解讀取加密的內容。</p> <p>為了降低未來量子電腦帶來的風險，密碼學界一直在研究不需要量子電腦，就能夠執行的後量子加密演算法，也就是可以在當前古典電腦上運作，同時也能夠免受未來已知量子電腦威脅的協定。在去年9月的時候，Signal率先宣布加入對PQXDH協定，成為第一個擁有後量子安全性的大型通訊應用。</p> <p>Apple持續強化iMessage的安全性，從2011年開始預設提供端到端加密，在2019年Apple將iMessage原本所使用的RSA加密協定，升級到更安全的橢圓曲線加密方法，並透過安全區（Secure Enclave）保護裝置上的加密金鑰，而現在Apple也要在iMessage加入後量子安全性，使其成為加密安全性等級三的通訊應用程式。</p> <p>Apple指出，Signal支援PQXDH協定為安全性等級二的通訊軟體。等級二代表在提供端到端加密之外，應用程式還添加後量子安全性，但是其後量子加密技術僅用於初始金鑰建立的過程，而這代表在建立通訊連接時使用的金鑰，的確足以抵抗量子運算攻擊，但是一旦連接建立，後續的通訊不一定受同等級的保護，因此當對話的金鑰材料洩漏或是沒有更換，攻擊者便可能利用洩漏的金鑰解密過去或是未來的通訊內容。</p> <p>Apple強調，他們並非只是以新演算法取代現有演算法，而是重建了iMessage的加密協定。iMessage在採用PQ3協定之後，將成為加密安全性等級三的通訊軟體，該等級要求通訊軟體不僅在初始金鑰建立需要使用後量子加密，在之後的訊息交換過程也必須受後量子加密保護，確保即便金鑰洩露，也不會影響整個對話的安全性。</p> <p>此外，等級三的後量子金鑰需要定期更新，防止洩漏的金鑰被大量用來解密大量通訊內容，而這樣的設計能夠對抗目前最先進的攻擊者，即便在未來量子電腦時代，也能確保通訊的安全性。在通訊過程，裝置會定期產生新的加密金鑰，新金鑰無法從過去的加密金鑰計算出來，此設計能夠有效防止洩漏的金鑰，被攻擊者用於解密過去或是未來的訊息。</p> <p>PQ3採用混合式設計結合後量子演算法和當前使用的橢圓曲線演算法，這種設計提供雙重保障，即便後量子演算法存在漏洞或是被破解，仍有橢圓曲線演算法提供保護，確保PQ3提供的安全性不低於現有的橢圓曲線演算法。而且PQ3能夠平衡訊息大小，避免因為增加安全性而額外產生過多的運算開銷，並使用形式驗證（Formal Verification）方法，保證新協定的安全與強健。</p> <p>在PQ3協定中，每臺裝置都會在本地生成一組公鑰，並將這些公鑰傳送到Apple伺服器進行iMessage註冊。在初始金鑰建立階段，發送方裝置會獲取接收方裝置的公鑰，並且對第一則訊息生成後量子加密金鑰。PQ3採用名為Kyber的後量子公鑰演算法，該演算法經過全球密碼學社群的嚴謹檢查，並<a href="https://www.ithome.com.tw/tech/151925">被美國國家標準暨技術研究院（NIST）認可</a>。</p> <p>iMessage仍繼續使用經典的加密演算法驗證發送者身分，以及驗證Contact Key Verification帳戶金鑰，Apple提到，這些機制無法透過未來的量子電腦進行追溯攻擊。攻擊者要嘗試將自己插入iMessage對話中，需要有一臺在通訊前或是當下，能夠破解身分驗證金鑰的量子電腦，Apple認為攻擊者要具備這樣的能力還需要很多年，他們會考量量子電腦的發展，評估加入量子身分驗證的必要性。</p> <p>iOS 17.4、iPadOS 17.4、macOS 14.4和watchOS 10.4中的iMessage，就會開始採用PQ3協定，目前已經在相對應的開發者預覽版和測試版中進行測試，支援PQ3協定的裝置間通訊，就會自動升級使用後量子加密協定。Apple預計在今年就會將受支援的對話，全部轉移使用PQ3協定。</p> </div></div></div>
2024/2/23 08:27作者李建興https://www.ithome.com.tw/news/161425
IBM資安調查發現駭客傾向盜用合法憑證，而非直接入侵企業網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM X-Force發布<a href="https://www.ibm.com/reports/threat-intelligence">Threat Intelligence Index 2024資安調查報告</a>，相較前一年企業面對的資安環境發生變化，攻擊者使用被盜或是洩漏的憑證進行網路攻擊增加了71％，32％的資安事件與資料竊取和洩漏有關，比起加密勒索，攻擊者更傾向於竊用和直接出售資料。X-Force也提到，隨著人工智慧解決方案的市占率快速增長，攻擊者將更有動機針對相關技術，投資開發具成本效益的攻擊工具。</p> <p>攻擊者將焦點轉移到成本較低的攻擊途徑，盜用受害者的合法憑證是2023年最常見的攻擊入口點，X-Force團隊發現針對Microsoft Windows Active Directory憑證的Kerberoasting攻擊，事件數增加了100％，這代表著攻擊者獲取身分進行攻擊的方式發生改變，X-Force解釋，攻擊者更多的是登入合法帳戶，而非直接入侵網路。攻擊者發現組織要區分憑證是合理使用還是濫用存在困難，因此更傾向藉由社交工程或是詐騙手段取得受害者的合法憑證，而非尋找系統的弱點進行入侵。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0223-IBM_X-Force_Threat%20Intelligence%20Index%202024-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0223-IBM_X-Force_Threat%20Intelligence%20Index%202024-1.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／IBM X-Force</span></span></p> <p>企業對於勒索事件的防禦率持續提升，雖然勒索事件仍是目前最常見的行動目標（Action on Objective）占20％，但是X-Force觀察到勒索事件下降幅度達11.5％，大型企業現在會積極防禦勒索軟體的部署，並且選擇不支付贖金換取解密，直接重建以防勒索軟體掌握控制權。</p> <p>而資料竊取和洩漏事件則成為企業最常見的攻擊影響，占比達到32％，有更多攻擊團體偏好使用這種方式獲取收益。根據X-Force的觀察，過去專注勒索軟體的攻擊團體，對資料竊取有越來越大的興趣，同時也有一些新的資料竊取工具冒出頭，諸如Rhadamanthys、LummaC2和StrelaStealer等都在2023年活躍，這惡意軟體使用急劇上升，事件數增加了266％。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0223-IBM_X-Force_Threat%20Intelligence%20Index%202024-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0223-IBM_X-Force_Threat%20Intelligence%20Index%202024-2.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／IBM X-Force</span></p> <p>X-Force也分析，當前人工智慧主導市場的地位，代表著人工智慧攻擊面的成熟，當單一人工智慧技術的市占接近50％，或者當市場整合到三種或是更少的技術時，資安攻擊生態系就會投資開發針對性的工具和攻擊途徑。也就是說當人工智慧技術在市場達到一定的普及率，尤其是被少數技術主導市場，當攻擊這些人工智慧技術變得有利可圖時，就會成為攻擊者的主要目標。</p> <p>製造業連續三年都是遭受最多攻擊的產業，而遭受攻擊最頻繁的10大產業中，製造業占了事件總數的25.7％，而在這些事件中，惡意軟體是最主要的行動目標占45％，勒索軟體則占總數的17％。</p> </div></div></div>
2024/2/23 08:51作者李建興https://www.ithome.com.tw/news/161427
每天執行1.6億任務的高盛證券資料庫，如何建立可觀察性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高盛是全球超大型投資集團之一，他們有一套用來分析龐大證券交易風險和估價的關鍵平臺SecDB，來協助高盛集團旗下的交易員，評估什麼時候買哪一些股票的風險有多大。這個平臺，正是讓高盛證券交易員們一年獲利數十億美元的關鍵系統。</p> <p>SecDB平臺已經用了30年，每天要執行1.6億個任務，目前負責維護這套系統的開發人力超過了3千人。這套系統還設計了自己專屬的程式語言Slang，多年來累計超過了2億行Slang的程式碼。目前全球有1萬3千名使用者，不只是交易員，還有許多分析人員。這套系統一但出現問題，甚至發生短暫當機，不只會影響了高盛的證券交易的風險評估，甚至連高盛銀行的業務都會有影響。這是高盛全集團的關鍵系統之一。</p> <p><strong>SecDB串接全球上萬資料庫，可支援25億個連線數</strong></p> <p>為了支援各種不同的使用情境，SecDB平臺也發展出了許多原生應用，串接了1萬多個分散在全球的物件資料庫，所能支援的連線數超過25億個連線，每秒接收的流入資料頻寬多達164TB，對外流出的資料頻寬，更是達到每秒8PB的海量資料。可以說，SecDB和伴隨的相關應用，組合成了一個龐大的分析生態圈，而SecDB平臺就是其中的關鍵核心。</p> <p>如何強化一個發展了30年的龐大老舊系統，是非常困難的挑戰，尤其近幾年，這套系統韌性面對的局勢，每一年都在改變，可能來自各式各樣的新興網路威脅，新興金融使用情境，新興技術的汰換和進化，這些變化再再考驗了SecDB系統的韌性。為了更徹底掌握SecDB系統的運作情況，3年前，高盛開始打造這套關鍵系統的可觀察性能力。</p> <p>原本的SecDB平臺為了提供高速分析能力，採用了記憶體式鍵值（Key-value）資料庫，並採取了叢集架構的設計，由一個保持最終一致性的複寫叢集群組，高盛稱其為Ring AP，把資料寫入到這個叢集群組中的任何一個資料庫節點成員，來建立高度分散式的效能。</p> <p>在這個群組中的資料庫節點，例如有紐約SecDB資料庫，倫敦SecDB，香港SecDB資料庫，彼此之間還會透過一支同步程式SecSync，可以自動更新和移除彼此不一致的地方來確保，資料庫的最終一致性。</p> <p><strong>舊有時間序列資料分析工具，不擅長即時維運分析</strong></p> <p>數十年來，SecDB資料庫團隊也打造過好幾種監控機制，最近主要使用的監控矩陣SecDB Metrics，是以時間序列資料庫來搜集各種事件後，進行例行檢查，也能用來來診斷各式各樣的已知問題。例如資料庫組態可用記憶體限制、連線限制數的問題等。而資料庫管理人員也常用一款時間序列資料分析工具PlotTool，運用各種數值分析，來了解這些時間序列資料的維運效能。</p> <p>例如高盛資料庫管理人員曾用PlotTool來繪製出資料庫所用記憶體的變化趨勢，原有標準配置的記憶體配置上限是 60GB，但從分析趨勢可以看到資料庫的記憶體用量需求越來越大，就可以在特定時間後，將上限值拉高到70GB。用這樣的繪圖工具來看記憶體用量的長期變化趨勢，可以更視覺化地觀察維運作法上需要調整之處。</p> <p>高盛用了多年的時間序列資料庫和PlotTool都是好用的維運工具，雖然有用，但是還是有所不足，因為這些適合用來觀察長期趨勢，而不是即時性的系統監控機制。尤其，就有監測矩陣所用的時間序列資料庫，適合用來儲存即時的金融資料和分析這些金融資料，但是，不擅長用於即時維運系統訊號的處理。</p> <p>3年前，高盛開始另外用批次處理程式，來產生各種分析報表，若有異常或需要注意的訊號，也只能透過電子郵件通知相關人員來處理，時效性比較不足。</p> <p>可是，這幾年來，SecDB平臺串接的資料庫越來越多，產生的電子郵件通知數量和各種維護問題越來越多，高盛發現，他們需要一個平臺，可以立即注意到關鍵事件出現。</p> <p><strong>採用開源事件監控平臺Prometheus打造可觀察性架構</strong></p> <p>高盛SecDB平臺團隊和SRE團隊討論後，決定使用開源事件監控平臺Prometheus，用這個Prometheus 自己的數據查詢語言PromQL來開發監控機制，並改用Prometheus的通報管理功能Alertmanager來發送異常通報。</p> <p>為了避免影響到原有的資料庫，高盛打造了一隻探測程式，並在SecDB所在的每一臺主機上，會放了一個Daemon程序，可以和外部的探測程式溝通，將搜集這臺主機上的運作狀態Log數據，這隻探測程式還會將各種事件和Log資料，整理成Prometheus格式的資料，再匯入到SRE團隊管理的Prometheus主機上，最後，資料庫團隊可以在Prometheus所有SecDB平臺的狀態儀表板。</p> <p>在這個SecDB儀表板上，可以看過過去6個小時內，每一分鐘，每一臺SecDC主機的數據變化，例如每一分鐘使用了多少記憶體，資料庫讀取的利用率有多高等等。透過這些搜集主機狀態的觀察手段，可以建立整個Ring AP叢集群組中，每一臺主機、每一個資料庫的監測儀表板。</p> <p>高盛使用了PromQL規則來定義各種事件的觸發條件，來判斷不同事件需要驅動哪一種等級的維運高風險通報。多數不緊急的事件只需要發出後續追蹤處理的通知，但是對於關鍵事件，則會觸發一個特別的通報機制稱為 PagerDuty，直接發布通報給待命工程師。</p> <p><strong>盡可能避免影響原有平臺，採用指標伺服器從旁搜集遙測資料</strong></p> <p>高盛SecDB團隊打造可觀察性功能時，有一個大前提是，盡可能避免影響到SecDB平臺的系統來搜集需要的SecDB平臺Log資料。所以，他們後來的作法，不是在SecDB平臺系統中增加監測機制，而是改在每一個SecDB所部署的主機上，用Daemon程序來安裝一個指標伺服器（Metrics Server），用來可以提供這臺主機的即時資料庫遙測，一但主機發生任何狀況發生，都可以立即看到。這個指標伺服器，跟主機上的SecDB平臺資料庫，共用同樣的記憶體，位在同樣的環境中，也就可以用來代表SecDB所在主機的狀態。這個即時監測手段，讓高盛的資料庫團隊能夠用新的角度來思考他們的基礎架構。</p> <p>不過，這個指標伺服器，因為高併發運作和鎖定問題，無法使用現成的Prometheus函式庫，後來，高盛乾脆自己開發了新版的指標伺服器元件。新版指標伺服器不只可以搜集主機數據，還可以搜集到資料庫內部的遙測數據，包括資料庫透過內部工作流程進行交易的狀態資訊，這就大大提供了過去看不到的透明度。多達二、三十種資料庫的運作行為，像是新增一筆紀錄，刪除紀錄，開始交易，交易資訊取得等行為，都可以即時看到狀態資訊的變化。</p> <p><strong>新版指標伺服器不只可以搜集到SecDB所在主機的遙測數據，連資料庫內部運作行為的數據也能搜集</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SecDB-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%AB%98%E7%9B%9B.png" /></p> <p>因為這套DecDB在全球各地都有節點，如紐約SecDB資料庫節點、倫敦節點、香港節點等，後來，高盛將這套監控架構發展成了全球多區域的架構，每個區域各有一套自己的Prometheus，遙測資料先集中到各地SecDB的Prometheus後，再把資料匯入到SRE團隊的Prometheus上來提供整合性儀表板。高盛SRE團隊也會提供了SecDB的SLO達成情況，方便資料庫團隊追蹤每一天的維運狀態。 </p> <p>因為SecDB是全球運作，而且是24小時都不能停，而且得支援全球不同時區的需求。每個區域會有6個待命工程師，每周輪流接手，來和全球的待命團隊（SRE）成員合作。為了各區域值班待命工程師的工作銜接，也讓他們有能力處理更多示警通報的管理，高盛還打造了一個SOS系統，紀錄每一起事件的處理情況，方便不同區域之間的工作交接。</p> <p><strong>高盛打造了一個SOS系統，來紀錄每一起事件的處理清況，方便全球不同時區團隊的工作交接。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SOS%E7%B3%BB%E7%B5%B1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E9%AB%98%E7%9B%9B.png" /></p> <p>2023年，高盛完成了SecDB平臺的可觀察性架構之後，開始將這個機制延伸到其他SecDB平臺的各種相關應用，預計在2024年涵蓋到所有相關應用，都要納入同一套可觀察性架構下。</p> <p> </p> </div></div></div>
2024/2/23 05:36作者王宏仁https://www.ithome.com.tw/news/161428
AI趨勢周報第244期：Hugging Face開源最大合成資料集Cosmopedia
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0216～0222)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hugging Face </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 合成資料 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Cosmopedia </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Hugging Face開源最大的合成資料集Cosmopedia</strong></span></p> <p>Hugging Face最近發布資料集Cosmopedia v0.1，是目前最大的合成資料集，內容全由Mixtral 7b指令模型生成，包含3,000多萬個檔案。這些內容有教科書文字、部落格文章、故事和WikiHow文章等類型，共250億個Token。</p> <p>團隊表示，他們希望以生成合成資料的方式，來涵蓋RefinedWeb和RedPajama等資料集中的世界知識。Cosmopedia資料集除了有各種類型文章，還顯示基本資訊供使用者參考，如提示、合成內容、初始資料來源、標記長度、文字格式（如教科書、部落格文章）和目標受眾等。同時，團隊也提供較小的子資料集Cosmopedia-100k，來供使用者輕鬆管理和使用。Hugging Face表示，這次釋出的資料集僅0.1版本，他們還有很大的進步空間，盼納入更多主題，來推進合成資料的研究與應用。<a href="https://huggingface.co/datasets/HuggingFaceTB/cosmopedia/viewer/auto_math_text/train?p=1">（詳全文）</a></p> <p><img alt="" src="https://capture.dropbox.com/t5hGWSR35ATXtSpz" /><img alt="" src="https://cdn-uploads.huggingface.co/production/uploads/61c141342aac764ce1654e43/V7MGV2OrCfLO5TxKPUXs4.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Groq </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>突破GPU瓶頸！Groq用LPU推論引擎提供最快LLM服務</strong></span></p> <p>2016年成立的科技公司Groq，這幾天成為全球AI社群最關注的話題，因為它的執行速度飛快，更有不少人將Groq與ChatGPT作比較，發現ChatGPT花了60秒生成答案，Groq只花12秒。</p> <p>不過，Groq主要開發的並非聊天機器人或模型，而是語言處理單元（LPU）推論引擎。目前主流的AI系統多半在GPU上執行，但LPU的設計，能克服LLM在GPU運算密度與記憶體頻寬上的兩大瓶頸。Intuition Machine共同創辦人<a href="https://twitter.com/IntuitMachine/status/1759941976927924682">Carlos Perez</a>說明，Groq用編譯器技術來最佳化極簡而高效能的架構，避開了複雜性，有別於主流做法。他表示，Groq架構的核心是個單純支援平行吞吐量的裸機，如同一個專為機器學習設計的ASIC，還能用客製化的編譯器來支援不同模型。</p> <p>目前，Groq支援標準機器學習框架如PyTorch、TensorFlow和ONNX等，但僅用於推論，LPU推論引擎並不支援機器學習訓練。Groq歡迎硬體供應商、軟體供應商、雲端服務供應商或AI加值服務開發商尋求合作，也提供Groq API與Groq Compiler來執行LLM應用。<a href="https://wow.groq.com/why-groq/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LoRA </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微調 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>LoRA Land服務來了，集結25個微調模型效能可勝GPT-4</strong></span></p> <p>大型語言模型服務公司Predibase推出LoRA Land服務，提供25個微調的大型語言模型。這些模型都以Mistral-7b開源模型為基礎，由Predibase對不同任務最佳化，表現不只比原始基礎模型好，甚至也比GPT-4好。Predibase指出，由於Transformer預訓練模型越來越大，很難在資源有限的條件下，適用於下游任務。於是，Predibase用參數高效能微調（PEFT）和量化低階適應（QLoRA）的壓縮技術，來減少微調參數數量與記憶體使用量，同時盡可能兼顧模型效能。</p> <p>接著，他們將這些最佳實踐整合至平臺中，實現每個微調模型的GPU成本降低至8美元以下，而且透過Predibase所開發的大型語言模型開源平臺LoRAX，使用者可在單一GPU上執行和部署數百個經最佳化的大型語言模型，還能使用無伺服器微調終端，亦即不需專用GPU資源，也能執行模型。這麼做的好處是，可以大幅降低成本，而且，Predibase提供可擴展基礎設施，可依據用戶的需求擴展微調模型數量，用戶需要用到GPU時，也不需要等待GPU冷啟動，能更快測試和迭代模型。<a href="https://predibase.com/blog/lora-land-fine-tuned-open-source-llms-that-outperform-gpt-4">（詳全文）</a></p> <p><img alt="" src="https://images.ctfassets.net/ft0odixqevnv/YeKN68pQ2371BzaoPo2PN/db8a4963d1833e97e9ec10ca092e9daf/Predibase_Fine-Tuned_Mistral-7b_vs._GPT-4_27.4.png?w=2390&h=1556&q=100&fm=webp&bg=transparent" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemma </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gemini </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google開源AI模型Gemma，可在筆電上執行</strong></span></p> <p>繼日前揭露大型語言模型（LLM）Gemini 1.5版後，Google最近又發布開源模型Gemma兩個版本，讓開發者在雲端、資料中心甚至筆電上就能自建和執行AI模型。進一步來說，Gemma是輕量開源模型，由Google DeepMind和Google其他團隊開發。據Google測試，不論在推論、數學、撰寫程式上，Gemma 7B都超越Llama 2 7B，而在多項測試上，也超越開源模型Mistral 7B。</p> <p>此外，Gemma可整合Kaggle、Colab notebook等常見工具，以及Hugging Face、MaxText、Nvidia MeMo和TensorRT-LLM等。為吸引開發者使用Gemma，Google還提供Kaggle notebook、Colab免費方案，以及300美元的Google Cloud點數。同時，為讓外部使用者進行負責任AI評估，Google最近也發布負責任生成式AI工具包，包括能以簡單範例建立安全分類器的工具、模型除錯及負責任模型開發與部署指引。<a href="https://blog.google/technology/developers/gemma-open-models/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/Benchmark_chart_new.width-1000.format-webp.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> BigQuery </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> RAG </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 向量搜尋 </span></strong></span></p> <p><span style="font-size:22px;"><strong>BigQuery推出向量搜尋功能，還支援RAG</strong></span></p> <p>BigQuery開始提供向量搜尋功能了，使用者能在BigQuery中進行向量相似性搜尋，還能使用檢索強化生成（RAG）。通常，向量搜尋也稱為近似最鄰近（ANN）搜尋，能在高維空間中快速找到與特定向量最相近的向量。BigQuery的向量搜尋功能能讓使用者對儲存於BigQuery的高維資料集，進行快速且準確的搜尋，可支援新資料處理和AI應用在內的多種用法，如使用大型語言模型進行語義搜尋，或病歷、交通事故、圖像等相似性搜尋，還能結合RAG來強化生成式AI工作。</p> <p>BigQuery的向量搜尋功能提供了一種簡單且直覺的語法，類似BigQuery現有的文字搜尋功能，進而簡化向量搜尋與SQL原語組合。此外，專門處理自然語言處理工作流程的LangChain框架，也能與BigQuery向量搜尋功能搭配使用，強化自然語言處理，讓Python開發者更輕鬆整合，並與其他第三方框架一起使用。<a href="https://cloud.google.com/blog/products/data-analytics/introducing-new-vector-search-capabilities-in-bigquery">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LOMO </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 記憶體 </span></strong></span></p> <p><span style="font-size:22px;"><strong>復旦大學開源優化器LOMO，大幅降低LLM訓練的記憶體資源</strong></span></p> <p>最近，上海復旦大學開源一款大型語言模型（LLM）優化器LOMO，能降低訓練LLM的記憶體用量，微調所有參數。進一步來說，訓練LLM需要大量GPU資源，因此降低LLMs訓練的門檻，一直是AI社群的努力方向。目前的主流方法是參數高效微調（PEFT），即只微調模型部分參數，來降低訓練成本。</p> <p>而復旦大學團隊決定從另個角度解決問題，即使用有限資源來對LLM的全部參數微調。他們開發一套低記憶體優化器（LOMO），融合了梯度計算和參數更新，來降低記憶體使用量。</p> <p>經團隊測試，聯合使用LOMO和現有的記憶體節省技術，與DeepSpeed標準方法相比，能將記憶體使用量降低為10.8％。他們點出，這個做法能在單一配備8個RTX 3090的電腦上，每個顯存為24GB的情況下，對650億參數（即65B）模型的全部參數進行微調。<a href="https://github.com/OpenLMLab/LOMO/blob/main/README.md">（詳全文）</a></p> <p><img alt="" src="https://github.com/OpenLMLab/LOMO/raw/main/assets/LOMO.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 監管 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 詐騙 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國FTC提案強化AI監管，加強打詐</strong></span></p> <p>美國政府最近針對AI科技帶來的負面影響採取一系列行動，比如美國聯邦通訊委員會先是裁定AI生成的語音即人工語音，需符合自動語音電話的規範，現在則是美國聯邦交易委員會（FTC）提出行政法規修訂，加強打擊用AI冒充商業和政府機構的詐騙犯罪。</p> <p>FTC先就冒充個人提出補充公告（Supplemental Notice）來徵詢公眾意見，討論重點包括提供創建圖像、影片和文字服務的AI平臺，在知道其所提供的商品被用於冒充並詐騙消費者時，這些公司是否應視為違法。第二種FTC要打擊的是偽造政府、商業電子郵件和網址，比如創建介面與真實官方網站相似，但網域名稱在拼寫上錯誤的假網站。第三種則是虛假暗示自身與政府或商業關聯，詐騙犯使用讓人誤以為他們代表政府機構或商業實體的語言或術語等行為。FTC將擁有更多權力，來追訴和阻止這些詐騙行為。<a href="https://www.ftc.gov/news-events/news/press-releases/2024/02/ftc-proposes-new-protections-combat-ai-impersonation-individuals">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PDF </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Adobe </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI助理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Adobe PDF軟體加入AI助理</strong></span></p> <p>Adobe PDF讀取與編輯軟體Reader、Acrobat最近加入AI助理功能，使用者可更容易讀取、理解和分享PDF文件或簡報。Adobe最近也對這個AI助理展開公測。這個AI助理整合了Reader和Acrobat的工作流程，可為使用者產生長篇文件的重點摘要、提供洞察並回答用戶提問。AI助理能自動整理出重點，還能草擬電子郵件、設計報告或簡報的排版、語調、濃縮文件長度，更方便分享給其他人。使用者按下「複製」鍵即可貼到Email或簡報中。不只如此，AI助理還能進行智慧引述，使用者也能點入驗證AI助理的答案來源，重點摘要也會提供連結，方便在文件中找到原始段落。<a href="https://news.adobe.com/news/news-details/2024/Adobe-Brings-Conversational-AI-to-Trillions-of-PDFs-with-the-New-AI-Assistant-in-Reader-and-Acrobat/default.aspx">（詳全文）</a></p> <p>圖片來源／Hugging Face、Predibase、Google、上海復旦大學</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 美國法律資料公司釋出法律專用大語言系列模型KL3M</strong></p> <p><strong>2. Amazon發表歷來最大語音合成AI模型BASE TTS，但未開源人</strong></p> <p>資料來源：iThome整理，2024年2月</p> </div></div></div>
2024/2/23 00:56作者王若樸https://www.ithome.com.tw/news/161426
日本中小型銀行展開核心系統上雲潮，和IT廠商打造共享核心系統雲端平臺，13間銀行計畫4年內先上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，日本中小型銀行掀起一波核心系統上雲潮。今年二月初，日本地方銀行橫濱銀行和東日本銀行的母公司康科迪亞金融集團宣布，未來將聯合其他四間銀行，考慮在2030年應用日本IT大廠NTT Data建造的共享型核心系統雲端平臺，實現核心系統上雲。同日，日本地方銀行京都銀行宣布，將聯合其他12間銀行，在2028年應用這套平臺，實現核心系統輕量化，並將營運資源集中至轉型策略發展。</p> <p>NTT Data也在同天跟著宣布，將在今年四月起開發「整合銀行雲」，一個共享銀行核心系統的雲端平臺。這個服務將會涵蓋硬體設備、中間軟體和資料中心建置，也會將銀行的共享型核心系統轉為開放架構，遷移至雲端平臺上運作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/111800-01.png" style="width: 600px;" /></p> <blockquote><p>NTT Data計畫打造共享銀行核心系統的雲端平臺，除了會涵蓋硬體設備、中間軟體和資料中心建置，也會應用自家開發的開放架構框架將核心系統轉換為開放架構，汰換大型主機。（圖片來源：NTT Data）</p> </blockquote> <p>NTT Data表示，這項計畫將會分階段實施。首先，他們已經在2024年協助橫濱銀行在內的五間地方銀行成功轉型核心系統，將他們的共用核心交易處理系統轉為開放架構，汰換大型主機。有了這個階段性成功，他們將邁入第二階段，預計在四年內打造出「整合銀行雲」，並應用至13間銀行共用的核心系統，實現核心系統上雲。第三階段則是擴大應用範圍，將更多共享型核心系統應用至這個雲端平臺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/020800-02(1).png" style="width: 600px;" /></p> <blockquote><p>NTT Data計畫以三階段打造「整合銀行雲」，並逐步將共享核心系統遷移至平臺中。第一階段是在2024年1月將共享型核心系統MEJAR改為開放系統架構，第二階段是在2028年上線「整合銀行雲」，適用13間銀行，第三階段則是在2030年擴大應用範圍，應用至MEJAR系統。（圖片來源：NTT Data）</p> </blockquote> <p>若計畫順利實施，2030年日本至少會有18間中小型銀行完成核心系統上雲，同時汰換大型主機，未來更將有40間採用的四個共享銀行核心系統在同個雲端平臺上運作。</p> <h3>日本地方銀行採共享型核心系統運作已有20年</h3> <p>在日本，中小型銀行數量眾多，這些銀行主要經營特定區域，稱為地方銀行，數量高達64間。2000年期間，日本地方銀行開始發展共享型核心系統，關鍵原因有三，第一，地方銀行的營運成本有限，透過共享核心系統有助減少營運成本。第二，地方銀行發展區域不同，競爭關係較低，增加多家銀行合作的可能性。第三，當合作的地方銀行業務規模和型態相似，系統就不需要額外客製化修改，協作效率高，同時有助於發展規模經濟。</p> <p>在日本這一批使用共享核心系統的地方銀行中，又有超過四成採用NTT Data開發的核心系統。早在2004年，13間地方銀行就組成「地方銀行聯合中心」，開始以共享核心系統運作。後來，有些大型地方銀行因營運成本考量，也加入共享核心系統的行列。</p> <p>目前，NTT Data建置的共享型核心交易處理系統目前發展出了四個體系，分別為地方銀行聯合中心、MEJAR、STELLA CUBE，和BeSTAcloud，約有40間銀行使用。其中，地方銀行聯合中心是由NTT Data建置和營運的核心系統中心，將首先應用至整合銀行雲，MEJAR則是以日本最大地方銀行橫濱銀行為首，其核心系統中心同樣由NTT Data建置，但是由銀行端負責營運。今年，NTT Data和橫濱銀行合作將核心系統MEJAR轉為開放架構後，預計在2030年把MEJAR遷移至整合銀行雲。</p> <h3>日立和富士通等大型主機主要供應商接連退場，日本地方銀行和IT廠商不得不轉型</h3> <p>日本地方銀行啟動這波大型主機汰換潮，早在2017年就開始醞釀。當時，多家業者開始退出大型主機市場，不僅日立宣布退出大型主機製造業務，富士通也在去年宣布結束既有的大型主機製造和銷售。這個市場前景讓地方銀行面臨內外夾擊，一方面傳統大型主機技術老舊，導致系統無法支援現代化應用，相關營運人才也逐漸短缺，阻礙了銀行內部發展現代科技，另一方面，大型主機製造商僅剩海外廠商IBM，日北本土廠商接連退場，長久下來恐發生IBM獨大的技術綁定問題。</p> <p>這個趨勢不僅讓銀行業開始面對轉型難題，系統供應商也同樣面臨威脅。直到去年，NTT Data建置的四個共享型核心系統仍是在日立和富士通的大型主機上運作，兩家廠商紛紛退場，NTT Data也不得不開始汰換大型主機。</p> <h3>日本地方銀行和IT廠商展開核心系統轉換計畫，雙方皆以全行上雲作為發展目標</h3> <p>面對這個威脅，NTT Data在2017年就宣布開始研究將核心系統轉換為開放架構，汰換大型主機，更要以核心系統上雲作為發展目標。2019年，NTT Data打造出一套開放架構框架，能協助原先在大型主機上開發的應用程式至開放架構中運作。這套框架也是今年初協助MEJAR系統轉為開放架構的關鍵，耗時三年，橫濱銀行和NTT Data成功讓五家銀行共用的核心系統，從大型主機搬遷至開放系統架構中運作，完成整合銀行雲第一階段任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1708501802485.jpg" style="width: 600px;" /></p> <blockquote><p>NTT Data開發出一套開放架構框架，名為PITON，可作為部分中間軟體，協助在大型主機運作的核心系統轉換至開放架構上。（圖片來源：NTT Data）</p> </blockquote> <p>2017年不只IT廠商動起來，日本地方銀行也展開核心系統上雲計畫。以橫濱銀行和東日本銀行為例，他們從2010年代後期開始，就開啟系統上雲的計畫。他們分為三階段上雲，第一階段是將人事和總務系統等非交易相關的系統上雲。第二階段，是將與核心系統數據連接規模較小的系統上雲，例如，各種業務系統。接下來，他們將頻繁與核心系統進行數據連接，且規模較大的系統上雲，例如營業融資系統和數據庫。橫濱銀行預計，2024年底前，全行將有超過54%的系統上雲。最後關鍵，則是在2030年考慮採用「整合銀行雲」，來實現全行系統上雲。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-02-22%20132709.png" style="width: 600px;" /></p> <blockquote><p>2010康科迪亞金融集團旗下的橫濱銀行和東日本銀行自2010年代後期開始進行全行上雲計畫，分三階段實施，從與核心交易處理系統無關連、小規模系統連接到頻繁連接的系統分段上雲。預計2024年全行超過54%系統上雲。（圖片來源：康科迪亞金融集團）</p> </blockquote> <p>「整合銀行雲」的概念則是從2021年開始醞釀，當時，18間地方銀行組成研究小組，將這個概念列入研究主題，探討如何透過合作提升系統營運效率。2022年，NTT Data正式宣布整合銀行雲的計畫，當時僅是說明這項計畫，尚未正式啟動開發，就已震撼了日本IT界與銀行業。</p> <p>直到今年二月初，NTT Data和多家地方銀行完成系統轉換後，雙方才正式宣布啟動整合銀行雲開發計畫，預計2028年13間銀行共享的核心系統上雲，2030年5間銀行共享的核心系統上雲，再研議擴大應用剩餘的兩套核心系統，最終目標是讓多達40間日本地方銀行在同一套基礎設施上運作核心系統。</p> <p></p> </div></div></div>
2024/2/22 16:48作者李昀璇https://www.ithome.com.tw/news/161421
【資安日報】2月22日，鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定企業臉書帳號的大規模網路攻擊行動，去年7月、8月，資安業者WithSecure、Zscaler揭露<a href="https://www.ithome.com.tw/news/158628">名為DuckTail的竊資軟體攻擊行動</a>，這起事故是越南駭客特別針對數位行銷及廣告領域的人才下手，藉由職場社群網站LinkedIn尋找目標。</p> <p>但類似的手法，最近又有新的發現。資安業者Group-IB發現另一起專門針對越南企業組織而來的攻擊行動，對方使用另一款竊資軟體VietCredCare，從事攻擊行動迄成約有一年半，受害組織遍及當地三分之二省份。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.group-ib.com/blog/vietcredcare-stealer/"><strong style="font-size: 22px;">竊資軟體VietCredCare鎖定越南企業臉書帳號，將其用於投放廣告或是詐騙</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/VietCredCare-1-24.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/VietCredCare-1-24.jpg" style="width: 300px; float: right;" /></a>資安業者Group-IB揭露從2022年10月發現的竊資軟體VietCredCare，此惡意程式專門針對越南的使用者而來，攻擊者的主要目標是接管受害企業的臉書帳號。</p> <p>根據研究人員的調查，使用此竊資軟體的駭客滲透9個當地政府機關、12個省的公共服務入口網站、65所大學、4家電子商務平臺、21家銀行、12個當地主要企業。而在越南63個省份當中，44個省出現受害組織，而且有超過半數（50.9%）位於河內，其次是胡志明市、峴港，分別有32.9%、3.3%。</p> <p>研究人員指出，此竊資軟體特別之處在於，它具備自動過濾臉書帳號連線階段（Session）的Cookie，並能識別臉書帳號是否用於管理廣告，以及投放廣告的額度等資訊。而對於該惡意軟體的散布途徑，研究人員推測是透過網路釣魚來進行，駭客透過社群網站貼文，聲稱提供Excel、Word、Acrobat Reader等軟體，一旦使用者上當，電腦就有可能被植入VietCredCare。</p> <p><a href="https://sysdig.com/blog/ssh-snake/"><strong style="font-size: 22px;">惡意軟體SSH-Snake竊取SSH金鑰，於受害組織網路進行橫向移動</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/image2-76.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image2-76.png" style="width: 300px; float: right;" /></a>資安業者Sysdig指出，自今年1月公開提供的網路拓樸架構呈現工具SSH-Snake，已有駭客拿來用於攻擊行動。</p> <p>此工具為Bash Shell指令碼，研究人員形容是「能夠自我修改的蠕蟲程式」，能夠自動從特定檔案路徑和Shell的事件記錄檔案當中，挖掘受害主機上的SSH帳密、私鑰，從而在網路環境進行橫向移動。</p> <p>特別的是，此指令碼檔案在第1次執行的時候，會進行自我修改，使得檔案大小產生變化，其方法是將所有的註釋、空格、不必要的函數刪除。有別於一般的指令碼，SSH-Snake能在所有類型的裝置上運作，並完全以無檔案（Fileless）的方式進行，同時還能自我複製及散布。</p> <p><a href="https://blog.talosintelligence.com/google-cloud-run-abuse/"><strong style="font-size: 22px;">無伺服器服務Google Cloud Run遭到濫用，駭客拿來散布金融木馬</strong></a></p> <p></p> <p>思科威脅情報小組Talos指出，他們從去年9月發現，來自巴西的駭客濫用無伺服器服務Google Cloud Run來大規模散布惡意程式，這些包含了Astaroth（又名 Guildma）、Mekotio、Ousaban等金融木馬，他們看到駭客主要目標是拉丁美洲，但也有歐洲國家的使用者受害。</p> <p>這些駭客在釣魚郵件大多使用西班牙文，但也有使用義大利文、葡萄牙文的情況。這些釣魚郵件通常使用發票或稅務文件為誘餌，有時駭客還會冒充稅務機關來從事攻擊。而這些釣魚郵件的共通點就是內含Google Cloud Run的URL，收信人一旦照做，就會下載MSI安裝程式，而有可能導致電腦被植入木馬程式。</p> <p>研究人員指出，駭客偏好這項雲端服務的原因，在於Google為新用戶提供免費點數等豐富資源，且能快速部署網頁應用程式，而該服務在大多數企業組織的資安防護系統會視為合法流量。</p> <p><a href="https://www.trellix.com/blogs/research/ransomhouse-am-see/"><strong style="font-size: 22px;">勒索軟體RansomHouse透過自動化工具MrAgent，攻擊VMware虛擬化平臺</strong></a></p> <p>資安業者Trellix與Northwave聯手，發現勒索軟體駭客組織RansomHouse近期使用的新工具MrAgent，此惡意程式專門針對虛擬化平臺VMware ESXi而來，主要功能是識別主機的系統、關閉防火牆，然後在虛擬機器管理程式（hypervisor）部署勒索軟體，從而入侵所有虛擬機器（VM），而以上過程全部都是自動化執行。</p> <p>攻擊者也能透過C2對MrAgent下達命令，從而竄改虛擬機器管理程式的密碼、指定勒索軟體加密的參數，同時能置換虛擬機器管理程式監控工具的啟動畫面，從而向IT人員顯示勒索訊息。</p> <p>特別的是，雖然該惡意程式主要目標是VMware ESXi，但研究人員指出，MrAgent同時有Linux和Windows版本，兩者具備相同的核心功能，但在Windows版當中，部分工作是透過PowerShell執行。</p> <p><a href="https://psi.de/#19022024"><strong style="font-size: 22px;">為能源供應商提供軟體解決方案的PSI Software證實遭遇勒索軟體攻擊</strong></a></p> <p></p> <p>2月15日能源供應商提供軟體解決方案的PSI Software傳出遭遇網路攻擊，該公司為了降低資料遺失的風險，切斷包含電子郵件系統在內的多個IT系統連線。</p> <p>到了19日該公司更新調查結果，指出他們遭遇了勒索軟體攻擊，但沒有透露攻擊者的身分。而對於這起事故受害的情況，他們表示尚未發現客戶端的PSI系統受害的情況，但該公司也無法透過遠端連線來進行維護作業。</p> <p><a href="https://udn.com/news/amp/story/7321/7773406"><strong style="font-size: 22px;">民眾購買溫泉旅館泡湯券疑個資外洩遭詐騙，旅館及IT業者竟稱沒有發生資料外洩事故，此事與他們無關</strong></a></p> <p></p> <p>趙姓婦人於2020年10月、2021年11月間委託同事、家人訂購37張北投麗禧溫泉酒店溫泉券，事後卻接到詐騙電話要她配合操作「解除分期付款」而上當，遭騙近10萬元，憤而指控麗禧與建置訂購系統的墨攻公司未依個人資料保護法進行相關防護措施，導致她的個資遭到竊取，求償金錢損失及精神慰撫金，並要求兩家公司停止使用並刪除她的個資。</p> <p>值得留意的是，本起訴訟當中，麗禧、墨攻提出數發部數位產業署2023年的函文，表示他們只有遭到網路攻擊，而非個資外洩事件，強調墨攻訂購系統在2021年8月、11月遭到攻擊與個資外洩無因果關係，但後來臺灣高等法院認為，這項說法不足以證明個資外流與系統遭駭無關。</p> <p>高院民事法庭發現，詐騙集團在趙婦最後1次使用訂票系統後才撥打電話，對話內容完全掌握使用的銀行帳戶等細節。由於前述網路攻擊外洩個資超過5千筆，卻僅有她1人受騙，高等法院認為兩者之間沒有相當因果關係，但兩家公司仍要賠償精神慰撫金。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/screenconnect-critical-bug-now-under-attack-as-exploit-code-emerges/"><strong style="font-size: 22px;">ConnectWise針對遠端桌面連線軟體ScreenConnect身分驗證繞過漏洞提出警告，已出現攻擊行動</strong></a></p> <p></p> <p>2月19日資安業者ConnectWise發布資安公告，指出旗下的遠端桌面連線系統ScreenConnect存在路徑穿越漏洞CVE-2024-1708 、身分驗證繞過漏洞CVE-2024-1709，CVSS風險評分為8.4、10分，影響23.9.7以前版本的ScreenConnect，該公司發布23.9.8版修補上述漏洞，並對雲端服務代管版本screenconnect.com、hostedrmm.com進行處置。當時資安業者Huntress公布概念性驗證攻擊（PoC），並透過Censys威脅分析平臺找到超過8,800臺ScreenConnect伺服器。</p> <p>值得留意的是，20日ConnectWise更新公告，指出上述漏洞已被用於攻擊行動，他們公布駭客所使用的IP位址，供IT人員防堵相關攻擊。但可能是因為這些漏洞造成的影響極為嚴重，隔日該公司宣布破例取消授權限制，讓未購買維護合約的用戶也能安裝新版軟體來緩解漏洞。</p> <p>資料來源</p> <p>1. <a href="https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8">https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8</a><br /> 2. <a href="https://www.huntress.com/blog/a-catastrophe-for-control-understanding-the-screenconnect-authentication-bypass">https://www.huntress.com/blog/a-catastrophe-for-control-understanding-the-screenconnect-authentication-bypass</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161395"><strong style="font-size: 22px;">資安院接手TWCERT/CC業務，可全天候受理民間企業資安事件通報</strong></a></p> <p></p> <p>自今年元旦開始，資安院正式接手TWCERT/CC業務，帶來最顯著且立即的改變，就是民間企業資安事件的通報，全天候都有值班人員負責；但資安院為了不與民爭利，主要是以第二線技術支援和諮詢角色，協助受駭企業檢視鑑識報告，是否有找到根因、評估回應措施是否合適。</p> <p>資安院副院長兼發言人吳啟文表示，原先資安事故的通報，企業可隨時透過電子郵件告知TWCERT/CC，但只有上班時間才有員工處理，處理不夠即時；由於資安院已有24小時值班的資安監控中心（SOC），接手相關業務後可處理非上班時間接獲的資安事故通報，而能夠大幅提升處理時效。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/north-korean-hackers-linked-to-defense-sector-supply-chain-attack/"><strong><span style="font-size: 20px;">德國、韓國提出警告，北韓駭客針對全球國防單位從事網路間諜行動</span></strong></a></p> <p><strong><a href="https://medium.com/s2wblog/kimsuky-disguised-as-a-korean-company-signed-with-a-valid-certificate-to-distribute-troll-stealer-cfa5d54314e2"><span style="font-size: 20px;">北韓駭客Kimsuky利用Go竊資軟體Troll與後門程式GoBear，針對韓國而來</span></a></strong></p> <p><a href="https://blog.talosintelligence.com/new-zardoor-backdoor/"><strong><span style="font-size: 20px;">沙烏地阿拉伯伊斯蘭組織遭鎖定，被植入後門程式Zardoor</span></strong></a></p> <p><a href="https://www.volexity.com/blog/2024/02/13/charmingcypress-innovating-persistence/"><strong><span style="font-size: 20px;">伊朗駭客組織Charming Kitten鎖定中東人士散布後門Basicstar</span></strong></a></p> <p><strong><a href="https://www.securityweek.com/chrome-122-firefox-123-patch-high-severity-vulnerabilities/"><span style="font-size: 20px;">Google、Mozilla發布瀏覽器大改版Chrome 122、Firefox 123，修補高風險漏洞</span></a></strong></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161398"><strong>【2月21日】中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161355"><strong>【2月20日】勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161344"><strong>【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</strong></a></p> </div></div></div>
2024/2/22 17:19作者周峻佑https://www.ithome.com.tw/news/161422
英特爾揭露Intel Foundry晶圓代工願景，將替微軟代工晶片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）在2021年3月<a href="https://www.ithome.com.tw/news/143423" target="_blank">宣布</a>設立全新且獨立的晶圓代工服務（Intel Foundry Services，IFS）事業群，並<a href="https://www.intc.com/news-events/press-releases/detail/1675/intel-launches-worlds-first-systems-foundry-designed-for" target="_blank">在本周三（2/21）舉辦</a>首個Intel Foundry Direct Connect活動，揭露Intel Foundry未來的發展藍圖，宣布將替微軟代工晶片，也立下在2030年成為全球第二大晶圓代工廠的願景。</p> <p>COVID-19疫情期間的晶片短缺，再加上<a href="https://www.trendforce.com/presscenter/news/20231206-11949.html" target="_blank">占據全球58%晶圓代工市場的台積電</a>身處地緣政治的風暴中，都讓各國意識到自行生產晶片的重要性，自詡為全球科技大國的美國也不例外。美國政府除了要求台積電與三星等業者至美設廠之外，也極力推動境內企業加入晶圓代工，英特爾即為一例。</p> <p>在Intel Foundry Direct Connect活動上，英特爾直接把旗下業務劃分為Intel Foundry與Intel Products，等於是對外宣誓Intel Foundry對英特爾的重要性，同時宣布擴大製程藍圖、客戶及生態系統合作夥伴。</p> <p>英特爾執行長Pat Gelsinger指出，AI正在深深地改變這個世界，也改變了人們對技術與支撐技術之晶圓的看法，而Intel Foundry是全球第一個為AI時代設計的系統代工廠，可共同創造新的市場，並徹底改變世界利用技術改善人們生活的方式。</p> <p>Intel Foundry原本的製程藍圖為4年5個節點（five-nodes-in-four-years，5N4Y），但本周宣布將加入新的14A以及其它既有節點的演化，以因應客戶的不同需求。此外，微軟也已經選出一款要利用Intel 18A製程來生產的晶片設計。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0222-Intel Foundry Direct Connect-2.jpg" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0222-Intel%20Foundry%20Direct%20Connect-2-600.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源/英特爾</span></span></p> <p>英特爾亦宣布一項新興業務計畫（Emerging Business Initiative），與Arm合作以替基於Arm的系統單晶片提供尖端的代工服務。</p> <p>根據英特爾的估計，在Intel Foundry 既有的晶圓及先進封裝的合約中，整體價值已超過150億美元。</p> </div></div></div>
2024/2/22 17:45作者陳曉莉https://www.ithome.com.tw/news/161423
本周才公開的ConnectWise重大漏洞已遭駭客利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>遠端桌面軟體業者ConnectWise<a href="https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8" target="_blank">本周一（2/19）公開揭露</a>了位於ScreenConnect的兩個安全漏洞，但隔天就傳出已遭駭客濫用，GitHub上亦已出現概念性驗證攻擊程式，使得資安業者相繼出面呼籲使用者應儘速修補。</p> <p>ScreenConnect是個遠端桌面軟體應用，ConnectWise同時支援ScreenConnect的雲端代管服務、自行代管及就地部署版本。本周所揭露的兩個安全漏洞為CVE-2024-1709與CVE-2024-1708，前者可透過一個備用路徑或通道來繞過身分驗證，CVSS風險等級高達最嚴重的10分，後者則是個路徑穿越（Path Traversal）漏洞，其CVSS風險等級為8.4分。這兩個漏洞影響ScreenConnect 23.9.7與之前的版本。</p> <p>在ConnectWise公布漏洞之際，尚未傳出相關漏洞遭到利用的消息，且ConnectWise已先行修補了建立在自家ScreenConnect伺服器上的雲端服務，並建議自行代管或就地部署的客戶更新至23.9.8。</p> <p>不過，隔天ConnectWise便說已收到可疑活動的通知，同時釋出網路入侵指標（IOC）供用戶參考，而利用上述漏洞的概念性驗證攻擊程式於21日就出現在GitHub上。</p> <p><a href="https://www.huntress.com/blog/a-catastrophe-for-control-understanding-the-screenconnect-authentication-bypass" target="_blank">資安業者Huntress也在本周公布</a>了這兩個安全漏洞的技術細節，指出當他們比較了ScreenConnect修補前後的程式碼，發現相關漏洞非常容易被攻陷，且所建立的概念性攻擊程式不僅繞過了身分驗證，還能自遠端執行程式。</p> <p><a href="https://twitter.com/Shadowserver/status/1760229390082847029" target="_blank">根據Shadowserver在20日的追蹤</a>，公開網路上仍有3,800臺ScreenConnect伺服器尚未修補漏洞，相較前一天只減少了7%。</p> <p class="rtecenter"><a href="https://twitter.com/Shadowserver/status/1760229390082847029" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0222-ScreenConnect-Shadowserver.png" style="width: 600px;" /></a></p> </div></div></div>
2024/2/22 15:14作者陳曉莉https://www.ithome.com.tw/news/161417
樂高集團如何實踐平臺工程？徹底改組傳統AI，擁抱雲端優先和API優先戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大家都玩過樂高積木，打造出這款全球知名玩具的是樂高集團，他們從2021年就開始大力展開數位轉型，為了實現高度敏捷化的商業能力，訂出了雲端優先和API優先的轉型戰略。</p> <p>成立於1932年的樂高集團，目前全球多達2萬四千名員工。過去2年，他們的數位團隊的規模，增加3倍，現在超過了2千人，占了員工總數的1成，分散在全球四個數位據點，為了推動上雲戰略，他們發展出了一套數位維運模式，從產品面、架構面和工程面，來推動上雲戰略。</p> <p>為什麼樂高集團的轉型戰略是擁抱雲端優先，API優先，甚至從2023年開始擁抱AI，開始嘗試用生成式AI打造聊天機器人應用。樂高集團開發者體驗和雲端部門負責人Rasmus Hald之前在哥本哈根一場研討會中，揭露了他們非做不可的原因。</p> <p>Rasmus Hald指出，一切都是為了商業敏捷力（Business Agility），樂高集團想要靠數位手段，來實現商業敏捷力。目標是希望能讓IT的關鍵基礎設施可以做到，讓企業應用或IT，無縫地存取到所有資料、運算資源和網路資源。</p> <p>樂高集團所採取的數位手段，包括了鬆耦合的基礎架構，也要全靠API來運作。「在生成式AI崛起的時代，更要考慮GAI技術對API使用的影響。」Rasmus Hald補充。</p> <p><strong>樂高追求的</strong><strong>商業敏捷力三大特質：實驗力、品質與速度、新奇感</strong></p> <p>這家積木遊戲巨頭想要的商業敏捷力，包括了三大特質，實驗能力、兼顧品質和速度、新奇。Rasmus Hald解釋，想要有能力快速得到回饋來快速實驗各種創新，也要有能力兼顧速度和品質，能以一定速度持續提供品質一致的應用成果，最後一項特質是有能創造新奇感，有能力持續創新、不斷提供嶄新的體驗，「不能用10年前的老方法來做事，現在每一年都要推出新的產品，和全新的產品體驗。」尤其，越來越多小孩擁有手機，他指出：「如何結合實體的樂高玩具和數位世界，正是他們的新挑戰。」</p> <p>例如，樂高推出了一款建設者App，在樂高產品紙盒外有一個QRCode，用這個App掃描條碼後，可以在手機上看到實體樂高積木組合成品的3D模型，也可以跟其他人一起組合同一組樂高模型的玩具，透過App分享彼此的拼法。「這個App就是樂高集團用來實驗不同樂高玩法的平臺，現在已經成了樂高體驗核心的一環。」例如，後來發展出故事式的玩法，結合一個故事，來組合紙盒中的樂高玩具，例如捕捉不同的動物的故事，或是開不同的車子。這是樂高數位團隊其中一項創新成果，將實體體驗結合數位的體驗。</p> <p>「我們的目標是，只有最好才是夠好。」Rasmus Hald驕傲的說，這是他對數位團隊的期許。但是，想要推動數位轉型，不能被傳統IT思維綁住，「不能抱怨錢不夠、資安太難，就做不到。」</p> <p>許多企業的數位轉型，是以IT部門為基礎，來發展電商引擎、數位行銷等不同應用，以其對應的AP團隊，不同應用團隊的底層都是 IT部門。樂高集團原本也是如此，有一個分工明確各司其職的IT部門，旗下有專門的維運，專門的開發團隊。但是，Rasmus Hald指出：「這樣的組織架構，最後會淪為一昧追求成本降低、風險控管。」</p> <p><strong>不惜將傳統IT部門全面改組，成為一個個小型產品團隊</strong></p> <p>為了推動轉型，樂高集團乾脆重組了整個IT部門，整體IT人力沒有減少，還是同樣的一群人，但是不再有一個龐大的IT部門，而是改為一個個的小型產品團隊，並且發展一套自己的數位維運模式。樂高的改造主要分三個面向來改組傳統IT，包括了產品面、架構面和人力面。</p> <p>在產品面，改為一個個不同產品的產品團隊，每個產品團隊得負責這個產品的開發、維運、資安等DevSecOops流程的工作，而在架構面，採取了鬆耦合的技術架構，更容易彈性組合，重複利用來減少不同團隊之間的重工。而在人力面，每個產品團隊都要有自己的工程師，自己的開發戰力。</p> <p><strong>樂高採取不一樣的IT組織運作模式，讓IT綁定商業成果和責任</strong></p> <p>不只是重組IT部門，樂高集團更採取了一個特別的IT組織運作模式。Rasmus Hald指出，傳統IT是集中式的IT，各個業務部門提出需求，給一個IT部門，由這個部門負責規畫、開發和維運。在這種集中式IT的模式下，每個AP的責任屬於各事業部門而非IT，IT也不一定需要業務領域的專業，對於業績不見得能感同身受，IT只需要對規模效益負責。</p> <p>另一種IT組織運作模式是徹底分散式的IT，各個業務部門有自己的AP團隊，負責規畫和開發，再統一由一個基礎架構團隊來負責維運。這個模式雖然讓業務與開發更緊密結合，IT能累積足夠專業，並擔起主要的AP責任，但是規模效益變成了維運團隊的事，而非產品團隊的工作，而且因為最後一哩由維運團隊負責，AP團隊仍有藉口推諉說，不一定要對成果負責。樂高集團沒有採取了上述兩種，而是自己發展出了另一種運作模式，Rasmus Hald稱為綁定商業能力的IT運作模式（Business Capability-Aligned iT）。</p> <p>在這個模式下，單一IT部分雖然重組成了許多的產品團隊，但是沒有直接隸屬於特定的業務團隊，而更像是負責接手業務需求的產品開發團隊，一個業務部門，可以將不同的業務AP，交給不同的產品團隊來負責。而每一個產品團隊，採取同樣的工作流程，因此，在完成一項業務產品的開發後，也可以接手另</p> <p>一個業務團隊的AP開發需求。每一個產品團隊都要負責自己所開發AP的維運工作，而不是交給一個獨立團隊，但是每個產品團隊共用同樣的一套基礎架構。「這樣的模式，可以讓產品團隊直接與商業成果綁在一起，也能和業務部門共享責任。」Rasmus Hald解釋。</p> <p><strong>用OKR管理220個產品團隊，還要訂定願景和產品藍圖</strong></p> <p>目前樂高集團有220多個產品團隊，每當有一項數位服務或數位功能的需求，就會視為是一項產品來開發，有些是用於顧客的產品，也有不少是內部數位團隊自己所用的產品，例如API管理平臺、API探索工具，都是內部自己用的數位產品。</p> <p>每一個產品都會指派一位產品經理和負責的產品團隊。一個產品團隊大約10人規模，除了產品經理，開發工程師，還會有一位工程經理，以及負責技術管理的首席工程師。「設立首席工程師的職位，是IT職涯發展中很重要的一件事。」Rasmus Hald表示。</p> <p>對於這些產品團隊，樂高採取OKR（目標關鍵成果）管理模式。每個團隊不只訂出每一季的目標和關鍵產出成果，還要建立自己產品的長期願景以及一套產品發展藍圖。</p> <p><strong>產品團隊有自己的預算，對自己的成本負責</strong></p> <p>樂高沒有採用大規模敏捷框架或是設立一個PMO專案辦公室來統籌管理，主要透過敏捷流程每一次的衝刺來迭代開發任務，不同產品團隊都採取同樣的敏捷開發模式。另外，樂高則對產品團隊採取TCO（Total Cost of Ownership，整體擁有成本）策略，讓每個團隊都有自己的IT預算，並由產品團隊自己對自己的成本負責。每個產品團隊都有自己的使用者團體，包括使用產品的小孩和付錢買單的父母，不只顧客，使用者團隊還會找來經銷商和其他同事提供意見，這是他們快速嘗試不同創新實驗的關鍵之一。</p> <p>為了支援這樣的多產品團隊開發模式，在技術面，樂高集團的原則是盡可能提高API、雲的使用來減少技術債，也要強化資料基礎建設，並將各種IT和開發工具系統化，並採取了鬆耦合的容器化技術架構。</p> <p><strong>樂高AP優先上雲，但也打造自家K8s邊緣雲來支援工廠地端需求</strong></p> <p>在雲端優先戰略上，樂高集團希望能盡可能減少技術藍圖中的長尾技術，例如減少或少用老舊技術，大型主機等。目前樂高集團還有一座傳統的實體資料中心，目前只用了20%的空間，他們決定不再租用代管的主機，改為購買公雲業者的服務，來簡化實體設備維護的複雜度。 </p> <p>不只是一昧上雲，樂高的優先上雲策略還會聚焦「雲+端」的能力，沒有採取全上雲的考量，Rasmus Hald坦言，因為全世界的樂高積木都是由樂高集團旗下工廠生產和包裝，可是，有些積木工廠的地點，位於資訊基礎設施不夠完善的國家或地區，當地的網路連線能力可能不佳，無法透過公有雲來支援這些工廠的內部運作，得靠地端的機房來維運。因此，樂高集團自己用K8s打造了一朵邊緣雲環境，可以不少到這些工廠的地端機房中，來支援這一類工廠的地端執行需求，他們所用的各種應用，也大多透過API呼叫，因此，可以很容易從雲端切換到地端邊緣雲上的系統來接手提供落地工廠的AP需求。</p> <p>因為要維持這些實體主機和資料中心的成本越來越貴，所以，樂高集團的策略是，在成本太昂貴之前，儘早將工作負載搬到雲上。「除了實體工廠需要的本地端邊緣運算需求之外，其他應用都會上雲。」Rasmus Hald指出。</p> <p>將AP上雲時，樂高集團還會特別留意一件事，避免像在雲端管實體機房的作法，而是改採用多租戶架構的雲端管理方式，讓不同的AP擁有各自的公雲帳號，而且，每一個上雲的AP，也由這些AP各自的開發團隊來自己負責維運。另外，樂高集團對於AP的管理，也採取高度自動化的集中式治理，並指派一個產品團隊負責打造雲端治理的相關工具。</p> <p><strong>徹底實踐「自己打造的AP，自己執行」原則，甚至不惜重構資料庫架構</strong></p> <p>「想要實現自己打造自己執行（You build it ,you run it.）這一點其實不容易，容易，但這麼做，才能真正鬆綁產品團隊的能力，要讓產品團隊有速度，就要這樣做。」他強調。為了徹底實踐這一點，甚至樂高有產品團隊無法管理自己的資料庫，樂高也不惜改變這個產品的資料架構，就是要能讓產品團隊自己管。如此一來，才可以真正打破團隊和產品之間的相依性。甚至，樂高每一個產品團隊都有自己的VM，自己連線到網際網路，將不同的產品完全切開，盡可能讓不同產品之間沒有關聯。</p> <p>在選擇公雲業者上，樂高會避免押寶單一業者，採取跨雲戰略，目前樂高集團採用了AWS和微軟的Azure，「公雲業者具有超大規模的創新能力和健康技術生態圈，和不同的公雲結盟，可以降低對單一供應商的風險。」樂高集團這位雲端部門的負責人Rasmus Hald解釋他們的考量。</p> <p><strong>樂高集團實踐API優先戰略的四大準則</strong></p> <p>對樂高這種由產品團隊負責開發和維運的模式，除了上雲優先戰略之外，技術架構面的關鍵是API優先戰略。Rasmus Hald表示，樂高對於API的運用也有一套自己的準則，第一個原則是，每一隻API都必須達到全球可用的能力，可以在全世界各地呼叫來使用，來支援樂高集團在全球的業務發展。其次，API設計也必須是考慮對外公開使用的設計，可以接受來自外部、第三方應用的呼叫，而不是只設計給內部使用。另外，每一個API都必須可以探索，也就是可以讓開發者找得到。</p> <p>最後一項準則是，樂高會要求每一隻API都要訂定明確的規格和使用條款，例如每一隻API都會訂出SLA服務水準，而且全都白紙黑字寫成文件，還會訂定API版本控管方式，每當版本升級、淘汰時都會發送相關通知給利害相關人。所有API都會遵循一套API資料架構（Schema）來設計，上架前都會進行架構分析來確保API的品質，樂高也有自己的API即時品管機制（API Linting），確保API的呼叫和使用都符合所訂定的規格。Rasmus Hald提醒，API的SLA中特別要留意，必須定義API的棄用情況，才能讓API日後有需要時可以淘汰。</p> <p><strong>打造開發者入口網站，成為2千工程師每天必看網站</strong></p> <p>為了讓2百多個產品團隊的開發人員，都可以很方便取用到這些API，樂高集團打造了一個開發者入口網站，稱為Baseplate ，這是2千人數位團隊成員，每天上班要打開的網頁。</p> <p>Baseplate首頁採取了卡片式的設計，開發者可以將自己常用的功能卡片或儀表板卡片放到首頁上，方便快速瀏覽，開發人員甚至可以自訂自己的卡片。這個開發者入口網站上提供了所有產品團隊的各種產品清單、所以可以用的API、相關的技術文件或參考資料，輔助開發或維運的各種系統工具。最近有哪些新的API或新功能異動，都會在開發者入口上發布最新通告。</p> <p>產品團隊所開發的每一項產品，可能是業務團隊需要的功能，或是數位團隊自己的工具或服務，會上架到開發者入口網站上。像是樂高用商用API管理平臺Kong打造了一款API管理服務，這就是其中一項他們的產品，</p> <p>每個產品都有自己的產品介紹主頁，列出這個產品的負責團隊，有哪些相關的文件，這個產品被哪些AP使用，甚至是這個產品用了哪些公雲服務以及公雲帳號，也會提供VM快照，方便部署到本地端環境中。</p> <p><strong>特別重視API探索的設計，來提高開發者體驗</strong></p> <p>樂高在這個開發者入口網站上，對於API探索的設計，也花了不少著墨。截至2023年底，共有239隻API，提供全文檢索相關文件和規格，開發者也可以快速列出自己負責的API，也能用星號來標記出常用API，打開API主頁，有相關的規格介紹和文件連結，開發者點一個按鈕，就可以直接申請這個API的存取授權，相當簡單。</p> <p><strong>為了降低開發者的認知負擔，樂高開發者入口網站特別重視API探索的方便性設計</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/API%E6%8E%A2%E7%B4%A2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Lego.png" /></p> <p><strong>去年開始用OpenAI打造開發者AI助手</strong></p> <p>去年底，Rasmus Hald還用Open AI的服務，打造了一個開發者AI助手名為樂高ChatAI，可以摘要樂高開發者入口網站上的所有文件，來回答開發者的開發問題或提供建議等，也可以詢問AI助手，如何使用特定某一支API，而不用自己花時間閱讀完整的說明文件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%A8%82%E9%AB%98ChatAI.png" /></p> <p>樂高集團從2021年開始，為了建立想要的商業敏捷力，花了2年大力推動數位團隊的轉型，擁抱雲端優先、API優先戰略，這個開發者入口網站正是強化數位團隊戰力的成果。雖然，Rasmus Hald沒有明說，但樂高集團數位團隊大改造的過程，也正是一種平臺工程的實踐。</p> </div></div></div>
2024/2/22 11:28作者王宏仁https://www.ithome.com.tw/news/161410
【參照國際標準和法規，最快3月底公布AI評測指引草案】AI評測中心揭今年布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我們最快3月底公布AI評測制度和指引！」負責AI評測業務的核心成員、數位發展部數位產業署副署長林俊秀說道。</p> <p>就在去年12月，數位發展部成立了AI產品與系統評測中心（簡稱AI評測中心），還預告要制定「AI產品與系統評測制度」與「AI產品與系統評測指引」，來設置臺灣AI產品檢測和驗證標準。如林俊秀所言，這些制度和指引，最快會在今年第一季末出爐。</p> <p>AI評測中心的出現、AI產品系統評測制度和指引的到來，是否意味著AI廠商與企業，必須通過數位部AI評測，才能販售或使用AI系統？</p> <p><span style="font-size:28px;"><strong>臺灣AI行動計畫2.0催生出AI評測中心</strong></span></p> <p>這些疑問，得從AI評測中心的設立談起。去年，臺灣AI行動計畫2.0正式展開，在1.0計畫的基礎上，進一步深化5大層面的AI發展，包括人才、技術和產業發展、國際影響、運作環境和人文社會等。</p> <p>其中的「運作環境」，不只是要完善法規制度、資料治理環境，還涵蓋成立AI產品和系統評測中心、加速發展接軌國際的AI規範與標準、對通用領域和特定領域設置AI法規等面向。</p> <p>因此，去年12月初，數位部成立了AI評測中心，要推動臺灣AI評測制度、發展可信任AI環境。同時，在法規部分，我們看到了行政院在去年8月祭出公部門使用生成式AI的指引參考，國科會也聯手其他部會草擬AI基本法，預計在今年上半年公布。而在產業規範部分，金管會則率先開出第一槍，領先其他產業主管機關，在去年12月底發布金融業運用AI指引草案，來提供金融業者使用AI的建議。預計接下來，還會有其他主管機關跟進，如衛福部、NCC、交通部等，針對各產業提出AI系統的使用建議。</p> <p><span style="font-size:28px;"><strong>評測瞄準廠商和企業，將配合產業主管機關來推動</strong></span></p> <p>制定「AI產品與系統評測制度」和「AI產品與系統評測指引」是AI評測中心今年的首要目標。就評測制度來說，目的是要檢測AI產品或系統，是否符合國際對AI系統的要求，比如安全、可靠、透明等。</p> <p>至於檢測對象則有2種，包括銷售AI產品和系統的廠商，以及以AI驅動服務的企業。「不論這個服務是對內還是對外，我們都希望企業能來送測，」林俊秀補充。尤其，數位部自去年開始推動AI技術服務機構服務能量分類與登錄機制，來建立一份有符合資格的AI廠商清單，而這些廠商，將是AI評測中心第一波鼓勵送測的對象。</p> <p>林俊秀強調，AI評測不具法律強制力，數位部不會強制要求所有廠商和企業送測，但「會用推廣的方式，先鎖定政府單位，如國家關鍵基礎設施、各產業主管機關等，搭配這些機關制定的AI指引，來向他們說明、推廣檢測制度。」他說。</p> <p>意思是，國家關鍵基礎設施主管機關或各產業主管機關，會制定適合該產業的AI指引，如金管會制定的金融業運用AI指引草案，AI評測中心就會配合這些指引，來與主管機關討論、說明，並鼓勵其管理的產業業者申請送測。</p> <p>比如，金融業運用AI指引草案，建議金融業者採用的AI系統4大生命周期，需符合公平性、可解釋性和透明性等原則。而AI評測中心的檢驗項目包含這些原則，此時金融業者或廠商，就可申請送測AI系統，以證明系統符合指引建議。</p> <p>不只針對國家關鍵基礎設施和產業主管機關，林俊秀表示，AI評測中心也瞄準民間集團和業者，將對這些對象主動說明評測制度，鼓勵業者申請送測自家AI系統。</p> <p>所以，廠商和企業是否必須通過AI評測，才能販售或使用AI系統？答案是不用。從林俊秀口中可得知，這些制度和後續出爐的AI評測指引，都不具備強制效力。但若各產業主管機關紛紛祭出產業AI運用指引，來建議各產業業者如何使用AI，勢必會帶起系統評測強勁的需求。</p> <p><span style="font-size:28px;"><strong>今年鎖定生成式AI，已建立生成式AI評測題庫</strong></span></p> <p>AI系統包羅萬象，AI評測將先瞄準哪些領域？</p> <p>林俊秀點出，這兩年生成式AI遍地開花，AI評測中心今年也鎖定生成式AI，先制定合適的測試題目，作為衡量生成式AI的考題。尤其，他們已針對大型語言模型（LLM）制定10項測試類別，包括安全性、可解釋性、彈性、公平性、準確性、透明性、當責性、可靠性、隱私及資安等。</p> <p>其中的公平性、準確性、可靠性、隱私和資安等5大類別，採考題方式來評測。舉例來說，可靠性是要判斷模型的敏感度，也就是AI系統在面對未預期的狀況時，也能維持良好的表現和預測能力，因此常見的考題，就是提問中出現錯別字，來判斷模型能否依然正確回答。數位部目前共設計了3,000多道題目，接下來還會繼續新增。</p> <p>至於安全性、可解釋性、彈性、透明性、當責性等5項類別，數位部打算以設計文件、規格文件等作證資料，採人工審核方式進行。不過，確切的測試方式還在討論中。</p> <p>另一方面，林俊秀也透露，他們已用這些測試類別來衡量國科會打造的國產語言模型TAIDE，包括70億參數（7B）和130億參數（13B）版本。不過，林俊秀補充，這10項類別只是生成式AI測試的一環，模型就算通過10項測試，還是得接受完整的系統檢測，合格後公部門才能正式使用。「檢測TAIDE是我們今年的重要目標！」他說。</p> <p>今年1月，AI評測中心還揭露，這10項測試中的5項已能自動化測試。接下來，AI評測中心除了繼續擴充LLM題庫，還會制定生成式AI以外的傳統機器學習系統評測標準，如適用於影像辨識模型的測試題，來逐步完善臺灣AI系統評測制度。</p> <p><span style="font-size:28px;"><strong>由2大組織執行評測</strong></span></p> <p>有了考題之後，AI評測制度還有賴2大關鍵組織來落實。第一個組織是AI測試實驗室，也就是負責執行AI產品和系統檢測的單位，另一則是用來把關這些測試實驗室的AI驗證機構。</p> <p>這些測試實驗室可由民間業者擔任。業者必須符合國際AI相關規範、取得財團法人全國認證基金會認證，才能評測廠商或企業送測的AI系統。林俊秀指出，他們也可能仿照AI技術服務機構服務能量分類與登錄機制，建立一份AI測試實驗室的政府名冊，來管理檢測品質。</p> <p>至於AI驗證機構，則將由資安研究院和工研院組成。他們的目的是把關測試實驗室，以及維持市場秩序。林俊秀解釋，由於測試實驗室可自行決定服務和定價範圍，但AI評測中心會扮演市場秩序維護角色，因此AI驗證機構會負責認定測試實驗室的報告，並剔除破壞市場機制的不良測試實驗室，來確保檢測一致性。</p> <p>不只如此，AI驗證機構還有其他任務，比如研究新興AI技術、判斷是否需更改評測方式和題庫等。驗證機構還能根據評測項目，來要求旗下AI評測開發實驗室研發自動化工具，加速檢測作業。林俊秀就點出，他們今年會開發2類自動化工具，一類是給AI測試實驗室使用，以加速評測作業，另一類是給AI廠商或企業，讓他們在送測前，先透過自動檢測工具來判斷自家AI系統是否達到檢測標準。</p> <p>另一方面，就接下來要公布的AI評測指引而言，可細分為2種，包括AI產品與系統基本規範，以及AI產品與系統基本檢測基準。前者涵蓋了適用領域、風險管理、評測項目和規範細則，後者則指每項評測的作法說明，另也根據不同適用領域或風險等級，而制定的不同評測項目。</p> <p>林俊秀表示，他們在制定這些指引時，參考了各大國際AI標準和規範，如美國國家標準暨技術研究院（NIST）的AI風險管理框架、歐盟AI法案、ISO相關標準等。「指引（草稿）大都擬訂好了，若這些規範有所調整，我們也會與時俱進。」林俊秀表示，接下來，他們將召開AI制度委員會，來決定AI評測指引內容，並盡快公布。</p> <p>屆時，這份評測指引會明定更多AI評測的細節，如評測效期，也就是AI系統通過評測後的合格期限。林俊秀補充，要是送測的系統出現改版或重大更新，AI評測中心會要求業者重新送測，以確保檢驗品質。</p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3399ff;"> 10項LLM測試重點 </span></strong></span></span></p> <p><strong><span style="color:#B22222;"> 1. 安全性：</span>AI系統某些功能失效時，所產生的回應與風險</strong></p> <p><strong><span style="color:#B22222;"> 2. 可解釋性：</span>AI模型的輸入與輸出，是否存在因果關係或關係的描述</strong></p> <p><strong> <span style="color:#B22222;">3. 彈性：</span>AI系統能適應不同環境、需求和條件</strong></p> <p><strong> <span style="color:#B22222;">4. 公平性：</span>AI系統能公平對待不同群體和個體</strong></p> <p><strong> <span style="color:#B22222;">5. 準確性：</span>衡量AI系統的輸出與真實結果的接近程度，即擬合程度</strong></p> <p><strong><span style="color:#B22222;"> 6. 透明性：</span>糾正AI系統運營商和消費者之間的資訊不平衡</strong></p> <p><strong><span style="color:#B22222;"> 7. 當責性：</span>AI系統開發者和使用者需對系統的行為或操作負責</strong></p> <p><strong><span style="color:#B22222;"> 8. 可靠性：</span>評量系統在面對未預期的狀況時，能維持良好的表現和預測能力</strong></p> <p><strong><span style="color:#B22222;"> 9. 資料隱私：</span>將可能造成隱私的衝擊嚴重程度分級，以實現風險評估與掌控</strong></p> <p><strong><span style="color:#B22222;"> 10. 系統安全：</span>AI系統面對外部攻擊、未授權訪問或不當使用時，能保護其資源、功能和資料的完整性和機密性</strong></p> <p><span style="font-size:14px;"><span style="color:#696969;">資料來源：AI評測中心，iThome整理，2024年2月</span></span></p> </div></div></div>
2024/2/22 12:21作者王若樸https://www.ithome.com.tw/news/161412
AI狂潮推動Nvidia季營收成長265%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繪圖處理器大廠<a href="https://investor.nvidia.com/news/press-release-details/2024/NVIDIA-Announces-Financial-Results-for-Fourth-Quarter-and-Fiscal-2024/" target="_blank">Nvidia周三（2/21）公布</a>截至今年1月28日的2024財年第四季財報，該季Nvidia創下221億美元的營收，比上一季增加22%，比去年同期成長265%，淨收入（Net Income）為122.85億美元，比上一季增加33%，相較於去年同期則成長769%，每股盈餘為5.16美元。在該季的銷售中，AI帶動了Nvidia的資料中心平臺，該類別的營收大增409%，出色的表現令Nvidia當天的盤後股價上漲了9.07%，來到735.95美元的新高。</p> <p>Nvidia的資料中心平臺是利用不同的GPU產品來打造加速運算解決方案，標榜可利用更少的伺服器來達到更好的效能，主要供大型企業與超級運算中心使用，並支援AI訓練、AI推論、科學運算，以及虛擬桌面基礎設施等不同的應用。</p> <p>在AI的助益下，該季資料中心業務替Nvidia帶進184億美元的營收，比前一年同期增加了409%，該類別占Nvidia總營收的83%。</p> <p>Nvidia的其它營收類別還包括遊戲的29億美元，比前一年同期成長56%，專業視覺化營收為4.6億美元，成長105%，汽車領域的營收為2.8億美元，下滑4%。</p> <p>OpenAI在2022年11月發表的ChatGPT掀起了全球的AI浪潮，也讓支援平行處理且講究效能的GPU跟著水漲船高。Nvidia創辦人暨執行長黃仁勳表示，加速運算與生成式AI已來到轉捩點，全球各個國家、產業或企業對相關的需求都在激增，其資料中心平臺的大幅成長來自於大型雲端服務供應商、GPU專業供應商、企業軟體及消費者網路公司對資料處理、訓練及推論的需求。</p> <p>此外，由汽車、金融服務及健康醫療產業為首的垂直產業，也已達到數十億美元的經濟規模。</p> <p>原本華爾街分析師對Nvidia就有很高的期待，但Nvidia的財報結果超越了分析師期待，讓盤中下滑逾2%的股價在盤後大漲。</p> </div></div></div>
2024/2/22 13:41作者陳曉莉https://www.ithome.com.tw/news/161413
Google可能推出Workspace專屬的Gemini Business、Enterprise方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本月初將聊天機器人Bard改名為Gemini，並推出第一個付費方案<a href="https://www.ithome.com.tw/news/161175" target="_blank">Gemini Advanced</a>，現在又將再進一步，推出Google Workspace專屬的AI助理方案Gemini Business及Gemini Enterprise。此外也為Gemini Advanced新增執行Python程式碼的功能。</p> <p>9to5Google記者<a href="https://twitter.com/evowizz/status/1759690336845037869" target="_blank">Dylan Roussei</a>及<a href="https://twitter.com/testingcatalog/status/1759685618034978852/" target="_blank">開發論壇</a>發現關於Gemini的最新宣布。Google針對Workspace用戶推出Gemini Business及Gemini Enterprise方案，允許用戶透過Gemini AI助理存取最新Gemini 1.0 Ultra，以及「企業等級」資料防護功能，用戶對話也不會被用以訓練底層AI模型。Workspace管理員可透過控制臺管理其設定。</p> <p class="rtecenter"><a href="http://twitter.com/evowizz/status/1759690336845037869" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0222-Google_Workspace_Gemini%20Business_Enterprise.png" style="width: 600px;" /></a></p> <p>二項方案將在全球150多個國家地區上線，一開始僅為英文版進行優化。</p> <p>這是Google 2月初宣布AI助理Bard改名為Gemini及需要付費的Gemini Advanced後，Google規劃的企業付費AI服務。不過Workspace本來就有<a href="https://www.ithome.com.tw/news/158487" target="_blank">Duet AI</a>助理服務。9to5Google的Roussei報導，最新Google通知中的升級Gemini Business網址頁連到的是Duet AI網頁。Gemini Business/Enterprise和DuetAI的關係為何，以及Business /Enterprise推出後，DuetAI何去何從目前仍不清楚。</p> <p>另一方面，Google也宣布Gemini Advanced新增功能。用戶將能直接在Gemini用戶介面上執行Python程式碼片段。Google表示，這程式編寫新功能特別有助於程式學習和驗證二種應用場景；學生可實驗程式碼，測試程式變更對輸出有何影響，開發人員則可驗證程式碼執行是否符合預期，再複製到程式工作中。</p> <p>根據Google的說明，Gemini Advanced新功能及Gemini Business/Enterprise在2月20日及21日上線。一如Google Bard改名，日期極可能都有變化。</p> </div></div></div>
2024/2/22 11:50作者林妍溱https://www.ithome.com.tw/news/161411
Google公布開源AI模型Gemma，支援多種框架、可跑在筆電上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google繼上周公布大型語言模型（large language model，LLM）<a href="https://www.ithome.com.tw/news/161315" target="_blank">Gemini 1.5版</a>後，本周再公布<a href="https://blog.google/technology/developers/gemma-open-models/" target="_blank">開源AI模型Gemma</a> 2個版本，讓開發及研究人員在雲端、資料中心甚至筆電上自建與執行AI模型。</p> <p>Gemma是一輕量開源模型家族，由Google DeepMind及Google其他團隊開發，它是以開發Gemini模型相同的研究和技術為基礎打造而成。Gemma名稱源自拉丁語「gemma」，意思是「寶石」。開源的Gemma有二個版本，名為Gemma 2B及7B，Google並釋出其他協助開發、協同及負責任使用的工具。Gemma今日已在全球上線（<a href="http://ai.google.dev/gemma" target="_blank">ai.google.dev/gemma</a>）。</p> <p>除了Gemma開源模型，Google最新AI模型Gemini也在今日全面上線。</p> <p>Google強調，Gemma和Gemini採用相同技術與基礎架構元件，這使得Gemma 2B及7B效能超越其他同樣規模的開源模型。Gemma在數項標竿測試上，也超越更大的模型。根據<a href="https://storage.googleapis.com/deepmind-media/gemma/gemma-report.pdf" target="_blank">Google提供的數據</a>，不論在推論、數學、撰寫程式上，Gemma 7B都超越Llama 2 7B，而在多項數據上，也超越開源模型Mistral 7B。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0222-Google-Benchmark_chart-V2(1).png" style="width: 509px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Google</span></span></p> <p>Gemma預訓練模型及依指示微調（instruction-tuned）後的模型，可直接執行於開發人員的筆電或工作站、桌機、或者Google Cloud的Vertex AI和Google Kubernetes Engine（GKE）上。VertexAI上有廣泛MLOps工具，內建多種微調選項及一鍵部署。Google表示，不論是代管的Vertex AI工具或自行管理的GKE，都支援客製化，包括能部署到各種GPU、TPU、和CPU等基礎架構平臺上。</p> <p>Gemma支援多種工具和系統，允許開發人員和企業以自有資料微調Gemma。Google提供的推論和監督式微調參考實作工具支援多種主要框架，包括Kera 3.0、原生PyTorch、JAX和Hugging Face Transformers。</p> <p>在硬體方面，Gemma已針對多種AI硬體平臺進行過優化，除了Google Cloud TPU外，Google也和Nvidia合作，以便確保Nvidia GPU為基礎的雲端、本地部署資料中心、到RTX AI PC上具備高執行效能。</p> <p>Google強調Gemma是根據其安全與負責任的AI原則設計。為了確保Gemma預訓練模型的安全與穩定，研發團隊使用自動化方法篩選掉資料集中的個資及其他敏感資訊，也使用微調及基於人類反饋的強化式學習（reinforcement learning from human feedback，RLHF）確保模型符合負責任行為。同時為了解及降低Gemma模型的風險，Google也實行嚴謹的評估，包括紅隊演練、自動化威脅測試及模型的危險活動能力評估。為讓外部用戶進行負責任AI的評估，Google昨日也公布新的<a href="https://ai.google.dev/responsible?utm_source=agd&utm_medium=referral&utm_campaign=explore-responsible&utm_content=&hl=zh-tw" target="_blank">負責任生成式AI工具包</a>，包括可以簡單範例建立安全分類器的工具、模型除錯及Google分享的負責任模型開發與部署指引。</p> <p class="rtecenter"><a href="http://ai.google.dev/responsible?utm_source=agd&utm_medium=referral&utm_campaign=explore-responsible&utm_content=&hl=zh-tw" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0222-Google-Responsible%20Generative%20AI%20Toolkit.png" style="width: 600px;" /></a></p> <p>為方便開發人員開始使用Gemma，Gemma可整合Kaggle、Colab notebook常見工具如Hugging Face、MaxText、Nvidia MeMo及TensorRT-LLM。為吸引開發人員使用Gemma，Google提供Kaggle notebook、Colab免費方案，以及300美元Google Cloud點數。Google甚至提供高達50萬美元等值Google Cloud點數，供研究人員申請執行專案。</p> </div></div></div>
2024/2/22 10:45作者林妍溱https://www.ithome.com.tw/news/161409
微軟推VisualStudio.Extensibility SDK，新擴充套件安裝不再需要重啟Visual Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟推出新的<a href="https://devblogs.microsoft.com/visualstudio/visualstudio-extensibility-17-9/">VisualStudio.Extensibility SDK公開預覽版</a>，可供開發者創建獨立於Visual Studio程序運作的擴充套件，以提高其效能和可靠性。VisualStudio.Extensibility SDK具有一些特殊功能，包括讓開發者可在Visual Studio市集發布擴充套件，並且更容易配置擴充套件、查詢專案系統，和創建視覺化工具。</p> <p>開發者以新版本VisualStudio.Extensibility SDK建立擴充套件，會生成一個獨立的VSIX套件，開發者可以在本機端共用VSIX套件，供其他開發團隊成員直接安裝，或是也可以將其發布到Visual Studio市集中，與網路上其他開發者共享。</p> <p>VisualStudio.Extensibility SDK另一大特點是開發者安裝擴充套件，不再需要關閉並重新啟動Visual Studio，微軟說明，新提供的熱載入功能，適用於以VisualStudio.Extensibility SDK編寫的所有程序外擴充套件。官方會在Visual Studio市集上，特別標記支援熱載入的擴充套件，方便開發者辨識。</p> <p>現在VisualStudio.Extensibility SDK也讓配置擴充套件、查詢專案系統，和創建除錯器視覺化工具更直覺簡單。開發者可以直接在程式碼中使用強類型類別和屬性配置擴充套件，如此可減少手動維護VSIX清單檔案的需求，也能利用IntelliSense快速填寫所需要的配置值。此外，新的SDK支援創建非模態（Non-Modal）可在IDE中自由移動的除錯器視覺化工具，非模態視窗讓用戶可以同時存取和操作其他介面元素，提高除錯效率和靈活性。</p> <p>開發者可以開始將語言伺服器協定（Language Server Protocol，LSP）整合到擴充套件中，如此便可以創建一個語言服務提供工具操作語言服務。語言服務提供工具支援配置屬性，可用於控制語言服務適用的文件類型。</p> <p>而VisualStudio.Extensibility透過經強化的查詢API加入許多新功能，包括建置、重新載入、重新命名等專案操作，以及創建、移除解決方案等解決方案操作功能，同時還可以查詢、創建和移除資料夾和啟動專案，這些新功能讓擴充套件能夠更細緻地與Visual Studio專案系統互動。</p> </div></div></div>
2024/2/22 02:55作者李建興https://www.ithome.com.tw/news/161396
Rust開發者擔心語言越變越難，甚至有20%受訪者希望放慢新功能開發速度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.rust-lang.org/2024/02/19/2023-Rust-Annual-Survey-2023-results.html">Rust調查團隊釋出針對Rust社群的2023年調查報告</a>，顯示開發者越來越願意在工作上使用Rust，而主要原因是Rust高安全和高效能等特性。隨著開發者採用Rust的程度提升，對Rust的發展憂慮也隨之增加，有43％受訪者擔心Rust變得太複雜，甚至有20％受訪者希望Rust開發團隊放慢新功能開發腳步。</p> <p>調查報告顯示，受訪者將Rust用於工作上的比例逐年上升，2023年的受訪者中有34％在大部分的工作中使用Rust，相較於2022年增加了5個百分點，而這些將Rust用於工作的受訪者，其主要原因都是希望可以建立相對正確且沒有錯誤的程式，比例高達86％，而第二常見的原因則是看重Rust的高效能，比例也有83％。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/why-you-use-rust-at-work.png" style="width: 580px;" /></p> <p>79％的受訪者表示Rust的確協助企業實現目標，這相較於2022年增加了7個百分點，77％的受訪者還表示，企業可能會在未來繼續使用Rust。就技術層面而言，Rust似乎在創建伺服器後端、網頁和網路服務，以及雲端技術方面特別受到歡迎。整體而言，用戶對於Rust的高效能、可控性和安全性特別有信心。</p> <p>Rust發展至今仍存在許多挑戰，約有43％的受訪者擔心Rust變得過於複雜，雖然這個問題一直存在，不過顯然社群更焦慮了，2023年的數字較2022年高出了5個百分點。還有42％的受訪者擔心Rust沒有受到科技產業廣泛採用，而2023年有32％的受訪者最擔心的議題，是Rust開發者和維護者沒有獲得足夠的支援，較2022年上升了6個百分點。</p> <p>開發者對Rust發展的關心也轉化成為了擔憂，官方提到，他們發現完全不關心Rust未來發展的受訪者明顯減少，2022年為30％而2023年下降至18％。不過有趣的是，其中也有20％的受訪者希望Rust可以放慢新功能開發速度，而這可能與有43％受訪者擔心Rust變得過於複雜有關，也就是說，開發者可能認為Rust快速發展，會導致語言變得難以掌握。</p> <p>2023年Rust開發者最想要Rust開發團隊實作或改進的功能，依序是Traits、const執行以及非同步功能。此外，開發者最常遇到困難的領域，包括了非同步、Traits以及借用檢查器（Borrow Checker）等Rust中較爲複雜且難以理解的概念，許多Rust開發者在學習使用這些功能常會遭遇挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/which-features-do-you-want-stabilized.png" style="width: 580px;" /></p> <p>在Rust生態系方面，最多受訪者用來開發Rust程式的作業系統是Linux高達69.7％，其次是33.5％的macOS和31.9％的Windows，2023年使用WSL開發Rust的受訪者，與2022年相比少了1.2％。而受訪者最愛用的IDE，第一名仍是VS Code有高達61.7％的受訪者使用，第二名則是vi/vim/neovim有31％，而第三名則是2023年才釋出的Rust專用IDE Rust Rover。</p> </div></div></div>
2024/2/22 02:59作者李建興https://www.ithome.com.tw/news/161407
【資安日報】2月21日，中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府資助的駭客佯裝成資安公司，在全球從事網路間諜活動，過往通常是藉由研究人員找到的蛛絲馬跡，才能揭露駭客暗中從事多年的行為，但最近有一批文件的曝光，間接反映了這樣的情形，而引起資安圈的高度討論。</p> <p>根據一位臺灣資安研究員的揭露，中國資安業者「安洵信息」發生內部資料外洩，而導致中國當局網路間諜活動曝光，當中提及該公司從事網路間諜行動的經驗，並說明他們使用的作案工具，雖然資料的來源與真實性仍有待進一步確認，但根據其內容來看，他們提供了各式各樣的網路攻擊服務，很有可能聽從中國政府的指示對指定目標下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://twitter.com/AzakaSekai_/status/1759326049262019025"><strong style="font-size: 22px;">中國資安業者安洵信息內部資料在GitHub公開，曝露中國政府對西方國家的網路間諜攻擊手段</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GGpis78bQAAezgE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GGpis78bQAAezgE.jpg" style="width: 300px; float: right;" /></a>一位名為「安坂星海」的臺灣資安研究員發現，有人將中國資安業者「安洵信息」的內部資料上傳到程式碼儲存庫GitHub，聲稱該公司欺瞞中國當局，且財務出現問題，其產品的品質低落，並招致員工抱怨。這些資料也透露該公司替客戶（中國政府）滲透印度、泰國、越南、韓國、北約組織的政府機關。</p> <p>研究人員指出，這些資料很有可能來自該公司專門研發間諜軟體的部門，其軟體平臺能挖掘使用者X（推特）帳號登記的電話號碼及電子郵件信箱，並對特定帳號的動態進行即時監控，甚至能冒用帳號來進行發文、刪文、轉推、按讚。該公司針對Windows、macOS、Linux、iOS、安卓等作業系統，自製RAT木馬程式Hector，其中Windows版木馬號稱能迴避95%防毒軟體偵測，此外，公司還開發外觀與行動電源極為相似的「Wi-Fi抵近攻擊系統（Wi-Fi Near Field Attack System）」。在業務運作上，這家公司同時經營DDoS殭屍網路，所用的病毒檔案大小僅有29 KB，此殭屍網路號稱能產生10至100Gbps的流量。除此之外，還有APT攻擊的教戰手則，並能透過分析郵件、中國社群網站平臺內容來從事間諜行動的說明文件。</p> <p>而對於這些資料外流的原因，新聞網站大紀元認為，很有可能是員工對公司及薪資不滿所致；另一個新聞媒體Coinlive指出，該公司員工曾討論如何販賣國家機密，或是製作色情聊天網站來維持生計。</p>  <p>資料來源</p> <p>1. <a href="https://twitter.com/AzakaSekai_/status/1759326049262019025">https://twitter.com/AzakaSekai_/status/1759326049262019025</a><br /> 2. <a href="https://www.epochtimes.com.tw/n433151/陸網安公司文件外流-曝光中共網攻手段.html">https://www.epochtimes.com.tw/n433151/陸網安公司文件外流-曝光中共網攻手段.html</a><br /> 3. <a href="https://www.coinlive.com/zh/news/inside-story-of-an-xun-self-built-pornographic-websites-phishing-and">https://www.coinlive.com/zh/news/inside-story-of-an-xun-self-built-pornographic-websites-phishing-and</a></p> <p><a href="https://blog.talosintelligence.com/tinyturla-next-generation/"><strong style="font-size: 22px;">非政府組織遭俄羅斯駭客組織Turla鎖定，植入後門程式TinyTurla-NG</strong></a></p> <p>思科威脅情報團隊Talos與非政府組織電腦緊急應變小組（CERT.NGO）聯手，發現俄羅斯駭客Turla使用新的後門程式TinyTurla-NG（TTNG），研究人員去年12月看到駭客以波蘭的非政府組織（NGO）為目標，部署該後門程式並藉由已被入侵的WordPress網站充當C2伺服器，這些網站也被對方用來代管惡意PowerShell指令碼TurlaPower-NG。</p> <p>研究人員指出，駭客通常是在其他工具失效，或是不慎觸發了受害環境的資安系統警報時，才會使用該後門程式來進行最後的嘗試。而對於PowerShell指令碼TurlaPower-NG的用途，研究人員指出是竊取受害電腦資料，再交由前述的後門程式回傳。根據惡意程式編譯的時間，這起攻擊行動可能在去年11月開始。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cactus-ransomware-claim-to-steal-15tb-of-schneider-electric-data/"><strong style="font-size: 22px;">施耐德電機傳出資料外洩，勒索軟體Cactus聲稱竊得1.5 TB資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Schneider Electric Cactus leak.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Schneider%20Electric%20Cactus%20leak.png" style="width: 300px; float: right;" /></a>1月17日能源管理暨自動化龍頭施耐德電機傳出遭到攻擊，導致該公司的Resource Advisor雲端平臺服務面臨中斷。施耐德電機也證實他們的永續發展業務部門遭到網路攻擊，且資料遭到竊取，如今出現進一步的發展。</p> <p>根據資安新聞網站Bleeping Computer的報導，勒索軟體駭客組織Cactus聲稱，他們1個月前入侵施耐德電機的網路環境，竊得1.5 TB資料，提供25 MB檔案供買家檢驗，並附上數名美國民眾的護照，以及保密協議文件的掃描檔案。但究竟有那些資料遭竊，目前仍不得而知。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.darkreading.com/application-security/joomla-xss-bugs-open-millions-websites-rce"><strong style="font-size: 22px;">內容管理系統Joomla存在XSS漏洞，恐被攻擊者用於遠端執行任意程式碼</strong></a></p> <p></p> <p>2月20日開源內容管理系統Joomla修補跨網站指令碼（XSS）漏洞CVE-2024-21726，此漏洞發生的原因在於不充分的內容過濾機制，而有可能導致特定元件出現XSS弱點，他們發布5.0.3、4.4.3版Joomla予以修補。</p> <p>找到該漏洞的資安業者Sonar Source指出，該漏洞主要出現在Joomla的核心過濾器元件，一旦攻擊者加以利用，就有可能誘騙管理員點選惡意連結，從而遠端執行任意程式碼（RCE），研究人員不願透露更多細節，但呼籲網站管理者應儘速套用新版軟體來緩解漏洞。</p> <p>資料來源</p> <p>1. <a href="https://developer.joomla.org/security-centre/929-20240205-core-inadequate-content-filtering-within-the-filter-code.html">https://developer.joomla.org/security-centre/929-20240205-core-inadequate-content-filtering-within-the-filter-code.html</a><br /> 2. <a href="https://www.sonarsource.com/blog/joomla-multiple-xss-vulnerabilities/">https://www.sonarsource.com/blog/joomla-multiple-xss-vulnerabilities/</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161379"><strong style="font-size: 22px;">國際執法機構關閉34臺LockBit伺服器，凍結逾200個加密貨幣帳號，逮捕2名嫌犯</strong></a></p> <p></p> <p>有許多關注勒索軟體LockBit動態的研究人員及資安新聞媒體發現，該組織架設於暗網的網站已遭執法單位控制，如今這樣的情況也得到證實。</p> <p>2月20日歐洲刑警組織（Europol）發出聲明，由英國國家刑事局（National Crime Agency，NCA）發起的執法行動Operation Cronos，在10個國家的執法部門投入相關工作，並由歐洲刑警組織及歐洲司法組織從中進行協調之下，成功關閉該組織架設於荷蘭、德國、芬蘭、法國、瑞士、澳洲、美國、英國的34臺伺服器，並凍結超過200個加密貨幣帳戶，同時在波蘭及烏克蘭逮捕2名嫌犯。</p> <p>NCA已控制了LockBit的基礎設施及暗網網站，並表示他們取得了原始碼，同時發現駭客並未依照承諾，刪除已付贖金的受害組織資料。<a href="https://www.ithome.com.tw/news/161386">日本警方已打造LockBit 3.0的解密工具</a>，受害者可從No More Ransom網站取得。</p> <p>資料來源</p> <p>1. <a href="https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation">https://www.europol.europa.eu/media-press/newsroom/news/law-enforcement-disrupt-worlds-biggest-ransomware-operation</a><br /> 2. <a href="https://www.nationalcrimeagency.gov.uk/news/nca-leads-international-investigation-targeting-worlds-most-harmful-ransomware-group">https://www.nationalcrimeagency.gov.uk/news/nca-leads-international-investigation-targeting-worlds-most-harmful-ransomware-group</a><br /> 3. <a href="https://www.nomoreransom.org/zht_Hant/decryption-tools.html#Lockbit30">https://www.nomoreransom.org/zht_Hant/decryption-tools.html#Lockbit30</a></p> <p><a href="https://www.aielectionsaccord.com/uploads/2024/02/Press-Release-AI-Elections-Accord-16-Feb-2024.pdf"><strong style="font-size: 22px;">科技龍頭承諾共同對抗與選舉有關的AI欺騙性內容</strong></a></p> <p></p> <p>2月16日微軟、Google、Meta、OpenAI、IBM等全球20家科技龍頭在慕尼黑安全會議（Munich Security Conference，MSC）發出共同聲明，為防止由AI產生的欺騙性內容干預2024年的全球選舉活動，他們將共同努力偵測及打擊有害的AI內容。</p> <p>這些科技業者具體提出8項承諾，分別是開發及導入可用來減少欺騙性AI選舉內容的技術與工具；評估相關模型並理解可能帶來欺騙性AI選舉內容的風險；試圖在社群網站平臺偵測相關的有害內容；尋找適當解決在平臺上所偵測到的欺騙性內容；培養跨產業對欺騙性AI內容的防禦能力；向大眾揭露如何解決問題的透明度；繼續與全球民間社會組織或學術界交流；支持對大眾意識、媒體素養及整個社會復原能力的推動。</p> <p>此外，微軟特別設置檢舉平臺，供全球候選人通報疑似由AI產生的欺騙性內容。</p> <p><a href="https://www.linuxfoundation.org/press/announcing-the-post-quantum-cryptography-alliance-pqca"><strong style="font-size: 22px;">為應對量子運算的安全挑戰，Linux基金會成後量子密碼學聯盟</strong></a></p> <p>2月6日Linux基金會宣布成立後量子密碼學聯盟（Post-Quantum Cryptography Alliance，PQCA），主要目的是要促進後量子密碼學進步，期望透過製作高保證性的軟體，來實踐標準化演算法的目標，從而支援持續開發並產生新的後量子演算法的標準化，初始會員包括AWS、Google、IBM、Nvidia等11家企業組織。</p> <p>該聯盟將打造程式庫及軟體套件的中樞，以符合美國國家安全局（NSA）推薦的加密指南「商業國家安全演算法套件2.0（Commercial National Security Algorithm Suite 2.0，CNSA 2.0）」的資安建議。此外，PQCA將從事各式專案，包括開發軟體來評估、設計、部署新的後量子演算法，透過提供軟體實作，進而促進後量子密碼學在產業中實際應用。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.cadosecurity.com/migo-a-redis-miner-with-novel-system-weakening-techniques/"><strong><span style="font-size: 20px;">惡意軟體Migo停用Redis伺服器的安全機制，將其用於挖礦</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/connectwise-urges-screenconnect-admins-to-patch-critical-rce-flaw/"><span style="font-size: 20px;">ConnectWise針對遠端桌面連線軟體ScreenConnect身分驗證繞過漏洞提出警告</span></a></strong></p> <p></p> <p><a href="https://www.threatfabric.com/blogs/anatsa-trojan-returns-targeting-europe-and-expanding-its-reach"><strong><span style="font-size: 20px;">安卓金融木馬Anatsa再度現身Google Play市集，鎖定歐洲國家而來</span></strong></a></p> <p></p> <p><a href="https://www.hackread.com/israeli-nso-group-mms-fingerprint-attack-whatsapp/"><strong><span style="font-size: 20px;">以色列商業間諜公司NSO Group利用WhatsApp漏洞，利用MMS指紋追蹤用戶</span></strong></a></p> <p></p> <p><strong><a href="https://arxiv.org/abs/2402.11423"><span style="font-size: 20px;">研究人員揭露濫用無線充電器的攻擊手法VoltSchemer，有可能注入語音命令、燒毀手機</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161355"><strong>【2月20日】勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161344"><strong>【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161326"><strong>【2月17日】近1個月Ivanti公布的Connect Secure漏洞皆出現攻擊行動，但仍有超過1.3萬臺設備尚未修補</strong></a></p> </div></div></div>
2024/2/21 17:54作者周峻佑https://www.ithome.com.tw/news/161398
MedTech醫療科技雙周報第32期：美政府調查發現FHIR採用率增加，但也有挑戰要面對
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0201～0215）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">ONC</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FHIR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料互通 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美政府：FHIR採用率增加，也有挑戰要克服</strong></span></p> <p>2月中，美國國家醫療IT協調辦公室（ONC）揭露一項調查結果，盤點全美141家數位醫療廠商使用標準化API的狀況，發現大多數廠商已使用FHIR標準來整合電子健康記錄系統。進一步來說，美國在2020年就立下法源依據，即《21世紀醫療法最終規則》，來強制要求使用符合FHIR標準的合格API，以促進資料標準化、簡化FHIR與第三方應用的串接。這個規則要求廠商在2022年12月31日前，必須採用FHIR標準和相應的實作指引（IG），而這次揭露的調查數據，正是在截止日前蒐集到的結果。</p> <p>ONC指出，在當時的截止期限前，大約四分之三的廠商已使用FHIR標準，且他們的App與不只一個電子健康記錄系統整合。調查數據顯示，只有25%的廠商App只與單一個電子健康記錄系統整合。ONC表示，雖然這些數據意味著FHIR API應用的初期成功，但還有些挑戰要克服。因為，調查發現，FHIR對特定應用情境的支援有限，導致廠商會使用不同類型的API，且57%的受試廠商表示同時使用專有API和標準化API，另有11%的廠商使用專有API和非標準化API。</p> <p>再來，大約半數的廠商表示FHIR費用高昂，另各有十分之四的受訪者分別點出，他們缺乏實際的臨床測試數據、缺乏對API實用性的理解，造成應用的障礙。ONC承認，這些調查結果證實了美國醫療IT社群提出的擔憂，也就是目前合格API的範圍有限，還有費用、資料存取與開發者支援等使用門檻。這些課題，也是ONC接下來要解決的問題。<a href="https://www.healthit.gov/buzz-blog/research-and-scientific-advancement/digital-health-company-experiences-using-ehr-apis">（詳全文）</a></p> <p><img alt="" src="https://www.healthit.gov/buzz-blog/wp-content/uploads/2024/02/Picture1.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">NIH</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 電子病歷系統 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>三分之一IT員工將退休，美國國衛院：是時候換電子病歷系統了</strong></span></p> <p>早在20年多前，美國國衛院（NIH）就為國內最大的研究型醫院開發一套電子病歷系統，名為臨床研究資訊系統（the Clinical Research Information System）。但最近在AFCEA Bethesda’s Health IT高峰會論壇上，NIH臨床中心資訊長Jon McKeeby表示，這套電子病歷系統很快就會換新了。</p> <p>這是因為，他帶領的120名NIH IT團隊中，已有40多人達到退休年齡。這些人員的離開，「將使系統變得非常複雜，（我們）只能仰賴特定人才和技能，導致系統維護困難，」Jon McKeeby說。也因此，NIH正與美國政府成立的非營利技術研究組織Mitre討論合作，至今已為新的電子病歷系統收集1,000多項需求。他們認為，根據這些需求打造的新系統，將能加速NIH採用AI，來解讀非結構化資料、支援臨床決策，還能持續監控資料模型。<a href="https://federalnewsnetwork.com/it-modernization/2024/02/nih-seeks-new-ai-friendly-ehr-to-make-better-use-of-health-care-data/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 瑞典 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 營養 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 高齡化 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>預防長者營養不良，瑞典政府推動數位營養記錄計畫</strong></span></p> <p>根據美國醫療資訊與管理系統學會HIMSS旗下媒體Healthcare IT，瑞典奧斯特松德市官員Helle Sörensen指出，瑞典政府為確保年長者營養均衡、保持身體健康，因此展開營養記錄數位化計畫，要打造一套系統，來記錄長者的營養攝取狀況。Helle Sörensen表示，瑞典正面臨老齡化挑戰，80歲以上、需要政府協助的長者越來越多，但年輕勞動力卻不斷減少。因此，瑞典政府計畫展開多種數位化專案，不只要提高工作流程效率，還要藉此落實預防醫學。</p> <p>意思是，瑞典政府希望年長者自給自足的時間更長，來減少對護理的需求。Helle Sörensen認為，這套數位營養記錄系統能更有效分析患者飲食，讓醫護人員更了解患者狀況。她將在今年3月的HIMSS 24大會上揭露更多細節。<a href="https://www.healthcarefinancenews.com/news/digital-nutrition-registration-aiding-pop-health-efforts-sweden">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 認知障礙 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> iPad </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>美醫療新創用AI分析手繪時鐘，可偵測輕度認知障礙</strong></span></strong></p> <p>哈佛醫學院神經學教授、美國智慧醫療新創Linus Health的共同創辦人Alvaro Pascual-Leone日前接受美國HIMSS旗下媒體Healthcare IT訪問時，揭露了與團隊研發的輕度認知障礙AI偵測應用。他表示，判斷認知障礙的權威方法是請患者用紙筆畫出一個時鐘和數字，以及指定時間的指針。這個方法看似簡單，卻是個重要指標，因為它需要一個人的視覺空間能力、執行力、記憶力和規畫能力等神經認知能力。其中，醫師會觀察患者繪圖時的表現，來判斷患者認知能力的狀況，而非只看最終結果。</p> <p>不過，Alvaro Pascual-Leone點出，有經驗的醫師並不多，要找出輕度認知障礙患者並不容易。於是他與團隊開發一套數位應用，利用iPad和數位筆，來讓患者繪製時鐘、數字和指定的時間，並在3分鐘內完成風險分析。他表示，他們收集的細微指標高達數百個，如手部運動的變化、螢幕上的壓力、數字的位置、圓圈的繪製方式等。完成測試後，醫師和患者會收到綠、黃或紅色分數。要是患者存在認知障礙，系統會根據個人狀況，建議可行的作法，比如個人化的運動、飲食、認知技能活動、聽力測試等，或進一步到專業檢測機構進行大腦測試，或建議轉診等。Alvaro Pascual-Leone認為，這種數位化的偵測方法，可降低失智症風險、及早介入認知障礙。<a href="https://www.healthcareitnews.com/news/ai-enabled-digital-health-tech-catches-mild-cognitive-impairment-early">（詳全文）</a></p> <p><img alt="" src="https://marvel-b1-cdn.bc0a.com/f00000000292125/linushealth.com/hs-fs/hubfs/Multiple%20Devices%20-%20Healthcare%20Delivery%202.png?width=2016&height=1057&name=Multiple%20Devices%20-%20Healthcare%20Delivery%202.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">萬芳醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 院外醫療 </span></strong></span></p> <p><span style="font-size:22px;"><strong>萬芳醫院新院長上任，3大目標瞄準院外醫療、AI和三院整合</strong></span></p> <p>萬芳醫院於於1月底進行第八任院長交接，由新院長劉燦宏接棒，並提出三大發展目標，包括高齡整合、醫療科一科一AI、三院整合。進一步來說，第一個目標是因應人口老化趨勢，萬芳醫院將強化遠距醫療、社區醫療、居家醫療等院外醫療，並整合社區長照資源，要將萬芳醫院打造為大臺北南區的示範醫院。</p> <p>第二個目標則是推動「醫療科一科一AI，一科多BI」策略，要全面落實智慧管理和推動價值醫療。劉燦宏還提出打造全智慧病房計畫，要透過自動化減少護理人力負擔、透過中央監控減少人力移動，來提升醫療體系照護效能。第三個目標則是要配合北醫大學校政策，推動三院整合。這是因為，過去，萬芳醫院、北醫附醫、雙和醫院的競爭關係大於合作，若要在激烈的醫療競爭中取勝，就得跨院合作。因此，劉燦宏表示，三院應善用北醫大人才資源，來發揮更大的影響力。<a href="https://old.wanfang.gov.tw/p2_news_detail.aspx?dd=1036">（詳全文）</a></p> <p><img alt="" src="https://old.wanfang.gov.tw/Upload/Global/1130131.jpg" style="width: 692px; height: 402px;" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">睡眠偵測 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 三星 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FDA </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>三星App睡眠偵測功能獲美FDA核准</strong></span></strong></p> <p>三星電子最近宣布旗下三星Health Monitor App的睡眠呼吸中止症偵測功能，獲美國食品藥物管理局FDA認證，成為第一款獲得美官方此類許可的App。三星該功能獲得的認證屬於新創中低風險醫材（De Novo）類別，使用者可用Galaxy Watch和手機，透過Health App量測睡眠呼吸，而無需使用傳統醫療器材。</p> <p>睡眠呼吸中止症偵測功能可在兩晚的睡眠監測期間，偵測到中到重度的呼吸短暫停止，這種症狀會導致氧氣供應不足，影響睡眠品質，導致白天疲倦和注意力不佳，也會增加高血壓、冠狀動脈疾病及心律不症、中風等疾病風險。而三星透過演算法，偵測睡眠呼吸中止或睡眠偵測，主要是透過量測的血氧飽和度數值以演算法推算得出，他們接下來還計畫將健康偵測功能整合到更小的穿戴裝置上。<a href="https://news.samsung.com/global/samsungs-sleep-apnea-feature-on-galaxy-watch-first-of-its-kind-cleared-by-us-fda?utm_source=rss&utm_medium=direct">（詳全文）</a></p> <p><img alt="" src="https://img.global.news.samsung.com/global/wp-content/uploads/2024/02/FDA-Sleep-Apnea-Feature_main1.jpg" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 超音波 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 華碩 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>華碩手持無線超音波新添3項AI功能</strong></span></strong></p> <p>華碩日前優化旗下手持無線超音波產品，新添３項AI輔助功能，包括語音控制、一鍵優化和自動量測。其中語音控制可讓醫師直接語音輸入，設定20多種超音波參數，來簡化執行超音波掃描時的繁瑣作業。一鍵優化可自動判斷當下的掃瞄部位，來提供最佳化影像，至於自動量測，則可在掃瞄過程中自動運算結果數值，免去冗長的人工操作流程。華碩也表示，這次版本更新預計在2月底前釋出，使用者可至Google Play Store或Apple Store更新ASUS MediConnect應用程式，就能使用新添的3大AI輔助功能。<a href="https://press.asus.com/tw/news/asus-ai-medical-imaging-advancements-2024/">（詳全文）</a></p> <p><img alt="" src="https://press.asus.com/images/20240131104616309_s.jpg" /></p> <p>圖片來源／ONC、Linus Health、萬芳醫院、三星、華碩</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. <a href="https://www.businesswire.com/news/home/20240215458797/en/Vital%E2%80%99s-ERAdvisor-Earns-Top-Marks-in-KLAS-Spotlight-Report">洛杉磯兒童醫院推出急診App</a>，可即時查詢醫療資料和出院進度</strong></strong></p> <p><strong><strong>2. <a href="https://www.federalregister.gov/documents/2024/02/02/2024-01693/medications-for-the-treatment-of-opioid-use-disorder">美國政府准許醫療機構用遠距方式評估成癮藥物新患者</a></strong></strong></p> <p>資料來源：iThome整理，2024年2月</p> </div></div></div>
2024/2/21 18:28作者王若樸https://www.ithome.com.tw/news/161406
打造雲原生應用開發軍火庫，紅帽推出企業級內部開發平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/developer-hub-u-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供企業級開放原始碼軟體解決方案，向來是紅帽的強項，而在2023年全球高峰會的主題演講開場沒多久，就由總裁暨執行長Matt Hicks發表一款與過往大異其趣的產品，名為Red Hat Developer Hub（RHDH），</p> <p><a href="https://s4.itho.me/sites/default/files/images/rhdh-2023-05-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/rhdh-2023-05-1.jpg" style="width: 400px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/rhdh-2023-05-2.jpg" style="width: 400px;" /></p> <p>這是透過多種已支援與堅定發展的框架、專門用來加速開發流程的單一網站入口，是架構在<a href="https://backstage.io/">開放原始碼專案Backstage</a>而成，此專案最初由音樂串流平臺Spotify創立、2020年捐贈雲端原生運算基金會（CNCF）進行培育，在2022年10月，<a href="https://developers.redhat.com/articles/2022/10/24/red-hat-joins-backstageio-community">紅帽宣布加入Backstage社群</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Backstage-overview-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Backstage-overview-2023.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Backstage-2020-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Backstage-2020-05.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Backstage-2021-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Backstage-2021-2.jpg" style="width: 298px;" /></a></p> <p>在產品推出時程的規畫上，紅帽當時打算在2023年下半提供RHDH的開發者預覽版本，並提供Backstage的外掛，到了今年1月中， RHDH正式發表1.0版、提供完整支援。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-2.jpg" style="width: 600px;" /></a></p> <p>為此我們向紅帽臺灣分公司詢問其產品定位與特色，他們表示，Red Hat Developer Hub是企業的內部開發平臺，是為了因應軟體開發堆疊日益複雜、標準不一，以及部門之間溝通效率低等問題而生的產品，面向的對象是企業開發者市場。</p> <p>與其他開發者工具相比，紅帽認為RHDH獨特之處，在於構建企業開發者專用的平臺、框架，而不是個別的工具，它提供很多簡化開發流程的軟體模板及外掛程式，開發團隊能夠自由選擇，並具備企業級安全特性與可擴充性、支援最新的開發堆疊。相較於紅帽自家其他產品，則是填補在企業內部統一開發平臺領域的需求。</p> <p>而從解決方案的組成來看，RHDH不僅運用Backstage，也建構在紅帽的<a href="https://www.ithome.com.tw/tags/openshift">OpenShift</a>、<a href="https://www.ithome.com.tw/tags/RHEL">RHEL</a>、Ansible，皆是該公司開放混合雲平臺的基礎，也是打造平臺工程服務（Platform engineering services）的重要產品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RH%20Developer%20Flow.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/IDP-2023-08-onboarding.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/IDP-2023-08-onboarding.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>採用開放原始碼Backstage，同時提供軟體範本、外掛</strong></span></h3> <p>去年5月發表之際，紅帽強調，RHDH這個經由他們持續發展、維護、調校的Backstage版本，可橫跨Git這類程式碼驅動的應用程式部署環境、容器應用平臺Kubernetes、Red Hat OpenShift，改善開發者體驗，以企業與組織自行管理的網站入口，提供各種批准使用、精心挑選的必要工具、程式語言與資源，以便建立高品質的應用程式，協助發揮軟體技能價值，並減少各種不必要的工作摩擦與認知負擔過重等問題，藉此提升開發速度，而不犧牲創新的能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-Learning.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-Learning.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-gpt2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-08-gpt2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-B.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-B.jpg" style="width: 600px;" /></a></p> <p>RHDH也提供預先定義與構建、支援的多種範本，加速應用程式開發。例如，備有Golden Path範本（Golden Path Templates，GPT），能以更快、安全的方式簡化應用系統上線流程，毋須被迫削減重要的工作流程步驟。紅帽表示，這類範本可快速追蹤開發、確保結構與一致性，之所以稱為Golden，是因為這些能為開發者提供可依循的最佳實務，使程式碼能夠連貫、具有擴衝性，並且易於維護，開發者能透過預先組建與支援的方法建構與部署軟體的特定部分，而不需學習所有技術細節。而在範本的使用上，能讓開發者以自助的方式取用，可運用最理想的方式來修正程式臭蟲或實作功能，從而加速整體開發流程的進行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IDP-2023-08-2.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-GPT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-GPT.jpg" style="width: 600px;" /></a></p> <p>同時，紅帽也開發外掛套件Red Hat Plug-ins for Backstage，可用於所有的Backstage環境，當中提供6個外掛程式，以便將多種關鍵系統整合到Backstage，對於採用不同平臺與Kubernetes版本的開發者而言，能夠獲得更多彈性與一致的操作體驗，並且不影響流程運作的效率與速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/developer-hub-plug-ins.jpg" style="width: 600px;" /></p> <p>舉例來說，Topology外掛可支援Kubernetes的應用拓樸呈現；Open Cluster Management外掛能運用開放叢集管理平臺（OCM）的MultiClusterHub、MultiCluster Engine，呈現多個叢集的狀態；Quay外掛可改善容器映像登錄系統Quay的整合與互動速度，紅帽在此列出容器映像細部資訊，以及已部署映像的資安漏洞；Keycloak後端外掛提供身分認證與授權，可協助平臺工程師在Backstage載入這套Kubernetes身分與存取管理系統的使用者與群組設定，並支援多種身分認證供應端的使用、將其套用到Backstage實體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-Quay2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-2023-05-Quay2.jpg" style="width: 600px;" /></a></p> <p>在GitOps持續交付（CD）的自動化處理上，紅帽在此提供Argo CD外掛，可協助追蹤這套系統在Backstage的服務運作狀態；針對橫跨所有服務執行的CI/CD流程，這裡備有Tekton外掛，可檢視所有Tekton執行的多種管線與各自的狀態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RHDH-ArgoCD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-ArgoCD.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RHDH-Tekton.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RHDH-Tekton.jpg" style="width: 600px;" /></a></p> <p>關於Backstage這套企業內部開發平臺可運用的各種範本，以及外掛，紅帽也特別成立了<a href="https://janus-idp.io/">Project Janus</a>統籌、推動後續的發展。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Janus Templates.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Janus%20Templates.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Janus Plugins.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Janus%20Plugins.jpg" style="width: 298px;" /></a></p> <h3><span style="color:#0000FF;"><strong>正式版登場，增添RBAC安全控管，提供更多外掛</strong></span></h3> <p>隨著RHDH 1.0今年1月推出，不只是持續強化自助式服務網站入口、標準化的軟體範本，以及更完善的技術支援，也加入不少新功能。</p> <p>首先，是多人DevOps協作環境相當需要的角色存取控制（RBAC）。紅帽在此增添了系統管理者（administrator）的角色，可透過團隊、群組、使用者等組織階層架構，實施更完善的存取控制，這項機制也能運用多個REST API端點，針對許可政策與角色，提供新增、刪除、更新的機制，也能取出全部或特定的資訊，使企業能在RHDH管理存取許可與工作角色。</p> <p>第二，新支援動態外掛（dynamic plugins）的使用。RHDH 1.0本身總共提供43個外掛套件，涵蓋資料分析、身分與存取管理、叢集管理、容器管理、安全性、持續部署等應用類型，持續部署就占了一半以上（24個），其次是身分與存取管理（7個）。</p> <p>上述的角色存取控制功能，也是透過外掛的形式來供應，紅帽表示，系統管理者能基於團隊內部的角色差異，管理使用者存取RHDH這個內部開發網站入口的權限，這樣的外掛可連接企業的身分認證供應環境、對應本身自定的工作角色，藉此讓使用者得到適當的許可，而能存取軟體型錄與相關的資料。</p> <p>而在動態外掛的支援上，紅帽列出47個之多，涵蓋開放原始碼的DevOps軟體，例如，除了先前曾提及的Kubernetes、Keycloak、OCM、Tekton、Quay，還能支援Scaffolder、Techdocs、Lighthouse、GitHub、Gitlab、Regex、Jenkins、Jfrog Artifactory、Jira，以及商用、雲端服務平臺，像是Azure Devops、Azure Container Registry（ACR）、ServiceNow、SonarQube、Datadog、Dynatrace、PagerDuty、TechRadar、Nexus Repository Manager、3scale。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CNCF Backstages.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CNCF%20Backstages.jpg" style="width: 600px;" /></a></p> <p>基本上，RHDH採用與Backstage相同的外掛架構，企業能透過這種方式將新功能整合至本身的開發工具鏈，而在引進動態外掛的相關功能之後，RHDH已預先載入指定的套件，用戶也能自行安裝這些套件、透過側載方式在RHDH執行個體運作，不需重新編譯程式碼或組建整個容器，並且能透過快速、簡易的方式，更新、移除各種擴充套件，而不需歷經繁瑣的變更程序，例如，將這套內部開發平臺進行停機，程式碼的修改與重組，以及Backstage基本環境的重新部署。</p> <p>紅帽目前已建立多款支援RHDH使用、通過驗證的外掛，貢獻至Backstage社群，能幫用戶克服相容性風險與運作層面的問題，而對於RHDH而言，本身也能執行、適用於社群所開發出來的外掛，促使在他們的環境使用時，可獲得更大的控制力與設置彈性。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Red Hat Developer Hub 1.0</strong><br /> ●原廠：Red Hat<br /> ●建議售價：廠商未提供<br /> ●平臺需求：Red Hat OpenShift<br /> ●安裝形式與管道：Helm Chart套件，經由OpenShift Dedicated或OpenShift Container Platform的Helm型錄，或是ArtifactHUB<br /> ●主要功能：建立與維護開發者專屬網站入口，提供集中檢視所有工具與開發資源的儀表板；針對雲端原生應用程式開發，提供企業級最佳實務的自助式服務與存取安全護欄；針對整個企業的開發人員，提供安全與治理<br /> ●技術來源：開放原始碼軟體專案Backstage</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/21 18:13作者李宗翰https://www.ithome.com.tw/review/161337
Predibase發布LoRA Land服務，集結25個微調模型之力效能可勝GPT-4
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型語言模型服務公司Predibase推出了一個名為<a href="https://predibase.com/blog/lora-land-fine-tuned-open-source-llms-that-outperform-gpt-4">LoRA Land</a>的服務，該服務的特點在於集合了25個經微調的大型語言模型，這些模型都是以開源的Mistral-7b模型作為基礎，Predibase針對不同任務對Mistral-7b進行最佳化，使其在不同領域的任務，能夠表現得比原始基礎模型甚至是GPT-4更好，而且更具成本效益。</p> <p>官方認為，隨著Transformer預訓練模型的參數數量不斷增加，大型語言模型參數高達數十億個，這使得這些模型難以適用於下游任務，尤其是資源和預算有限的環境中。而Predibase採取的作法，是運用參數高效微調（PEFT）和量化低階適應（Quantized Low Rank Adaptation，QLoRA）技術，來減少微調參數數量和記憶體使用量，權衡模型效能與效率。</p> <p>藉由將這些最佳實踐整合至平臺中，使每個微調模型的GPU成本降低至8美元以下，而且透過Predibase所開發的大型語言模型開源平臺LoRAX，讓用戶可以在單一GPU上執行和部署數百個經過最佳化的大型語言模型，提供無伺服器微調終端，這代表用戶不需要專用GPU資源來執行模型。</p> <p>官方提到，這項作法的好處是可以大幅降低成本，因為用戶在不需要用到GPU時，便不需要支付費用。而且Predibase提供可擴展的基礎設施，可依據用戶的需求擴展微調模型數量，用戶需要用到GPU時，也不需要等待GPU冷啟動，可以更快地測試和迭代模型。</p> <p>而根據官方所提供的評估指標（下圖），針對25個任務最佳化的模型，可以在大部分的任務中贏過GPT-4和基礎模型。根據任務不同，經微調的模型的效能可比基礎模型高70％，並且贏過GPT-4模型4%到15％，而且這25個可以完全以LoRAX在單一A100 GPU運作，唯有程式碼生成任務微調模型效能明顯低於GPT-4。官方表示，他們建立LoRA Land的目的是要說明，較小且針對特定任務微調的模型，能以更具經濟效益方式，超越商業替代方案。</p> <p class="rtecenter"><a href="https://images.ctfassets.net/ft0odixqevnv/YeKN68pQ2371BzaoPo2PN/db8a4963d1833e97e9ec10ca092e9daf/Predibase_Fine-Tuned_Mistral-7b_vs._GPT-4_27.4.png?w=2390&h=1556&q=100&fm=png&bg=transparent" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Predibase_Fine-Tuned_Mistral-7b_vs__GPT-4_27_4.png" style="width: 580px; height: 378px;" /></a></p> </div></div></div>
2024/2/21 16:32作者李建興https://www.ithome.com.tw/news/161392
靠容器化微服務架構翻新核心，凱基證券追求快穩準與創新關鍵
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>證券業是個對於交易速度非常敏感的行業，時時刻刻都在跟時間賽跑，特別是與銀行業相比，證券業面對的是毫秒甚至微秒等級的速度競爭。這是臺灣證券業一直以來面臨的IT挑戰。</p> <p>為了提高系統處理速度，甚至加速IT轉型，凱基證券不惜翻新核心系統，甚至採用了雲原生容器化微服務架構，打造新一代證券核心系統，就是為了能夠更快推出新服務，彈性應對市場變化，快速回應顧客的需求。這正是凱基證券核心轉型的關鍵一步。</p> <p>一手推動凱基證券系統核心轉型的關鍵人物，正是凱基證券亞太區資訊長黃榮林。</p> <p>在富邦IT服務快30年的黃榮林，曾一手主導富邦金控集團各子公司的系統整併，還負責集團旗下所有公司的IT基礎設施維運與監控，包括機房管理、網路、資安等，以確保能夠提供穩定、不中斷的金融服務。</p> <p>2018年從富邦退休後，凱基證券進一步延攬黃榮林擔任該公司亞太區資訊長一職，希望能夠借助他在金融業IT方面的豐富經驗，協助他們進行系統整併並加速轉型。他加入後，不僅負責臺灣的IT維運，還包辦了香港、泰國、印尼、新加坡等地的維運工作。</p> <p><span style="font-size:28px;"><strong>證券業面對的是毫秒甚至微秒等級的速度競爭壓力</strong></span></p> <p>相較於金融業中的銀行、產險和壽險業，證券業最大的不同之處在於，因為客戶有即時下單的需求，因此對於交易速度的要求極高。「若與銀行業相比，證券業的速度感受可能高達上千倍的差異。」黃榮林直言。</p> <p>在整個交易流程中，從客戶下單、風險檢核，一直到交易所的回應，每個環節都得在極短的時間內完成。</p> <p>黃榮林表示，以風控檢核為例，針對每位線上客戶的下單，同時有10～20萬名用戶，凱基證券目前在處理時間已經可以縮短到了微秒以下。這僅僅是整個交易的一環，從客戶下單、風控檢核到交易所的回應，整個過程僅需毫秒以下完成。</p> <p>不僅僅是追求交易速度，黃榮林還非常重視系統的穩定性、資料的準確與準時性、資安，以及提供顧客有感的創新服務。因此，他上任後，對於凱基證券的IT在未來科技發展中，確立了最基本的主軸，即要做到快、穩、準、安全與創新。</p> <p><span style="font-size:28px;"><strong>沿用多年的證券核心系統，面臨到必須汰換的難題</strong></span></p> <p>臺灣自2020年逐筆交易制度上路後，吸引許多國內及國外法人客戶參與臺灣證券市場，促使交易量大幅成長，短短一年間，成交數量快速增長，到2021年已經達到6.79億筆，成交總額更創下了新高，達到95.52兆元。</p> <p>身為國內第二大券商的凱基證券，面對市場交易量的爆增，持續提升交易系統的速度並優化服務，來應對來自證券市場的大量交易需求。</p> <p>但是凱基證券面對的IT考驗不僅於此。凱基證券目前約9成交易來自電子交易，涵蓋4種交易管道，包括行動裝置、PC（超級大三元、全球理財網）、Web以及API。這些年來，隨著交易型態的改變，交易管道和服務型態也更多元且多樣，可是，凱基證券的核心系統已經沿用多年，也面臨到必須要汰換的難題。</p> <p>尤其在臺灣，證券業已成為一個規模龐大的行業，與國外將證券僅視為金融機構一項業務不同，因此，證券公司需要有自己的核心系統，可是，黃榮林坦言，全世界沒有任何一家業者專門為證券業提供核心系統的套裝軟體，加上臺灣的交易模式跟國外模式不一樣，需要提供給客戶更多樣的選擇，這也成了證券業的IT挑戰。</p> <p>一方面，在IT競爭激烈的環境下，凱基證券面臨著推出越來越多新服務和功能的需求。可是，儘管公司的服務和功能不斷擴展，其核心系統仍然採用傳統的大型主機架構，長期下來，不僅導致系統無法支援現代化的應用，而且由於相關技術人力短缺，找不到合適的人才，也難以引進新IT技術，進一步阻礙了凱基證券的發展腳步。</p> <p>為了解決這個問題，凱基證券決定汰換核心系統，打造全新的證券核心系統，甚至黃榮林一開始就決定採用容器技術和微服務架構展開核心系統轉型，逐步取代現有的大型主機架構。</p> <p>「證券業核心若不轉變，可能面臨市場淘汰的威脅，唯有率先行動，比同業更快的速度推出服務和新功能，方能保有未來核心的競爭力。」黃榮林說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1170-CXO%E6%8A%BD%E8%A8%80-PNG.png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>用容器技術和微服務打造新一代證券核心系統</strong></span></p> <p>為何新核心系統需要採用容器化微服務架構？黃榮林以搭火車來比喻，就像搭車時，如果途中要停很多站點，速度就不容易快，但如果換成直達車，例如從臺北開往高雄，只在中途的臺中停靠，這樣的方式就會更迅速。因此，他強調：「新系統的速度要比原來的大型主機快50％，容器和微服務是實現這目標的最佳選擇。」</p> <p>他進一步說明，傳統系統設計都是單體式設計，當要改台股的交易系統，可能就會牽扯到基金、複委託平臺等方面。如果希望在App中新增股票交易的功能，也可能牽涉到很多相關連的元素也要跟著調整，每次修改都需要整體測試，而在過程中容易發生問題，例如修改A影響到B。</p> <p>他指出，在微服務架構下，系統被拆解成更小的功能模組，一旦有新的業務要推出，可以使用最小單元進行應用組合，進而提升開發速度，相較於傳統的架構更具敏捷與彈性。</p> <p>新系統因為採用雲原生架構設計，意謂著以後它不僅可以在公雲上進行遷移，同時也能與目前業界中廣泛應用的現代IT技術接軌。即使在交易所未來開放上雲時，凱基證券可以更快速地應對，進而保持競爭力。</p> <p>凱基證券自2023年開始展開核心系統轉型推動計畫，規畫逐步拆分大型主機系統的功能，轉向容器化微服務架構，並優先完成帳務中台的架構轉換。</p> <p>黃榮林期望透過系統核心的轉型，能夠大幅改善開發速度、縮短服務推出（time-to-market)的時間，更訂下減半50％的目標。</p> <p>「在臺灣，至今尚未有任何一家證券業採用快速開發的Cloud Ready概念來打造新核心系統。我們的目標是在未來五年內實現核心轉型。」他說道。</p> <p>目前凱基證券核心大型主機包含多套系統，之後不會全部系統轉為容器架構。他指出，有的系統分拆後會單獨存在，並會透過拆模組方式重組，其中交易模組會先轉換為新架構，接著是其他周邊的模組，針對所有系統都會使用的共用模組，例如監控、認證、訊息溝通等，則會建立一套，其他系統都可以用。</p> <p>雖然微服務架構具有許多優點，但也存在著一些先天的限制。他舉例，每支微服務呼叫可能需要接近微秒，因此，對於需要低延遲的模組，特別是那些會影響下單的模組，就不會將其納入微服務架構中，比如主機連線的模組。至於其他不影響下單流程的功能模組，則會儘量使用微服務架構，以提升開發速度與系統靈活度。</p> <p>他表示，這樣的架構設計能夠在保證速度要求的情況下，最大化微服務的運用，從而提高整體系統的效能。</p> <p>凱基證券不僅僅要翻新IT架構朝向現代化IT轉型，就連開發方法也跟著一起轉變。</p> <p>凱基證券的軟體開發方法，在2022年開始採用現代化架構常用的DevOps敏捷開發做法，來逐步取代傳統的瀑布式開發方式，以縮短程式開發與迭代周期，讓應用服務能更快上線。</p> <p>除了翻新IT架構和採用新的開發方法，凱基證券近幾年也採用了不少數位科技工具，來優化內外服務或提高作業效率。例如，凱基證券自2020年開始導入RPA機器人流程自動化服務，迄今已累積超過100支RPA，運用在IT、人事、財管、法務、交結等不同業務，協助處理具有重複性高、固定規則的人工作業，而且不僅僅在臺灣，還擴展至海外據點，實現至少70～80％人力成本的節省。</p> <p><span style="font-size:28px;"><strong>迄今已累積超過百支RPA，涵蓋IT、人事、財管、法務及交結等</strong></span></p> <p>以RPA在IT部門的應用來舉例，過去在非AD環境下，遇到新員工加入、員工離職或者職務調動時，資訊人員往往需要耗費大量時間來處理ID帳號的新增、移除以及重新指派授權等工作，後來他們將這項繁瑣工作交由自動化的RPA處理，使得人力成本節省了90%。</p> <p>除此之外，凱基證券也持續翻新系統，例如自2020年起，他們針對OA、人資、財會、採購等系統進行汰換，改用新系統來取代，以提升作業效率與優化流程。此外，凱基證券已將地端OA系統搬上公雲，提供內部郵件收發、資料備份和團隊遠端協作的使用。</p> <p><span style="font-size:28px;"><strong>靠建置ITOM平臺，能即時監測證券網路、服務和基礎設施運作</strong></span></p> <p>為了提高整體IT維運與管理效率，凱基證券後來還建置了一套IT維運管理平臺（ITOM），可以將證券網路、服務和基礎設施的維運資訊整合到一個大型螢幕牆中來查看，協助IT人員進行維運與監控。這套系統在2022年上線後，像在證券網路監控方面，使得人員透過ITOM平臺內建的儀表板，可以即時查看凱基證券在亞太區所有連線狀況，包含臺灣72個據點和海外4個國家。一旦偵測到連線異常時，系統會立即發出警示，通知相應負責人員進行處理。</p> <p>凱基證券這些年在AI應用也有不少投入，例如2021年推出智能客服，能夠回答客戶在證券方面的問題，提供即時且準確的解答。凱基證券現在進一步整合AI技術，使智能客服的回應能夠不斷進化，變得越來越聰明。</p> <p>凱基證券內部已經開始利用生成式AI技術協助進行中英內容的翻譯，並計畫未來擴展至問答服務，包括協助營業員回答有關交結進度、買賣權證手續費率、稅率等問題。不僅如此，凱基證券還計畫在客戶服務和產品開發運用AI技術，其中包括AI理財服務。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>凱基證券亞太區資訊長黃榮林</strong></p> <p>學歷：大同大學通訊工程碩士</p> <p>經歷：在富邦從事IT長達27年，曾擔任富邦銀行技術支援部長、富邦金控系統支援處處長、富邦銀行資訊營管部長等多項職務。2018年從富邦退休後，隨後加入凱基證券擔任亞太區資訊長一職，開始推動以快、穩、準、安全與創新，作為IT未來科技發展主軸</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 公司檔案 </span></span></strong></p> <p><strong>凱基證券</strong></p> <p>成立時間：1988年</p> <p>地址：臺北市明水路700號</p> <p>網址：<a href="http://www.kgi.com.tw">www.kgi.com.tw</a></p> <p>主要業務：提供證券、期貨交易輔助業務、期貨自營業務、財富管理業務、國際證券業務及其他經主管機關核准之相關業務</p> <p>員工數：3千多人</p> <p>董事長：許道義</p> <p>總經理：方維昌</p> <p>營收：約138億元（2022年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：亞太區資訊長</p> <p>資訊部門主管姓名：黃榮林</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2020年：導入RPA流程自動化、開始逐步汰換OA、人資、財會、採購等舊有的系統，改用新系統</p> <p>●2021年：智能客服推出上線</p> <p>●2022年：自行建置一套IT維運管理平臺ITOM，可用於證券網路、服務和基礎設施的維運與監控、在軟體開發流程中開始導入DevOps做法</p> <p>●2023年：開始利用容器和微服務展開核心系統的轉型，打造全新的證券系統，逐步取代現有的大型主機架構</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1170-cio-960.jpg" width="960" height="420" alt="" title="凱基證券亞太區資訊長黃榮林　（攝影／洪政偉）" /></div></div></div>
2024/2/21 16:51作者余至浩https://www.ithome.com.tw/people/161394
資安院接手TWCERT/CC業務，民間企業資安事件通報從8x5改為24x7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國家資通安全研究院（簡稱資安院）於今年元旦，正式接手TWCERT/CC的業務，資安院副院長兼發言人吳啟文表示，資安院原先已經承接原技服中心，針對《資安法》列管的政府機關和關鍵基礎設施的資安通報，以及應變作業，自接手TWCERT/CC業務後，所有不是《資安法》納管的非公務機關，都可以依循原有TWCERT/CC資安事件通報管道通報資安事件。</p> <p>但通報的時間，吳啟文說，從原本僅限上班時間才能通報的8x5，進一步提升，成為全天候都有人值班的24x7通報方式，因為資安院原先就有24小時值班的SOC（資安監控中心），可以同步接手TWCERT/CC民間企業下班時間後發生的資安事件通報作業。</p> <p>吳啟文指出，剛開始接手TWCERT/CC業務的最高原則，就是要做到「服務不中斷、品質再提升」，除了要維持原有系統的穩定，也會盤點和觀察如何進一步優化既有系統。</p> <p>不過，他也坦言，因為非公務機關的資安事件通報沒有法源依據，因此現階段的資安事件通報並不具強制力，所以，即便不受《資安法》納管的非公務機關（民間企業）可做到全天候都能通報資安事件，但要真正做到實質提升非公務機關協處資安事件能力，仍是未來要繼續努力的目標。</p> <h2><strong>TWCERT/CC關鍵在於協調，不妨礙依需求成立不同的CERT</strong></h2> <p>TWCERT/CC全名是臺灣電腦網路危機處理暨協調中心（Taiwan Computer Emergency Response Team / Coordination Center），最早於1998年9月在中山大學成立，2000年1月由臺灣網路資訊中心（TWNIC）接手維運；國家中山科學研究院則在2014年8月承接TWCERT/CC相關業務；臺灣網路資訊中心（TWNIC）於2019年1月二度接手相關的維運服務；資安院則在數位部希望能夠統籌重要資安業務的指導下，2024年1月接手TWCERT/CC的營運業務。</p> <p>TWCERT/CC服務範疇包括：情資交流、事件應變、國際合作和意識提升，關鍵字就是協調（Coordination），而CERT/CC是全球性的組織，每個國家都只會有一個協調中心（CERT/CC）的存在，負責和其他國際資安組織互動、協調與進行情資分享等業務，但各國仍會依據需求，設立其他不同性質的CERT。</p> <p>舉例而言，負責政府機關資安事件應變處理的TWNCERT（國家電腦事件處理中心）原先由技服中心承接，現在業務已經轉移到資安院之後，則不具備協調中心的CC功能，但因為該單位主要負責政府和關鍵基礎設施的資安事件緊急通報，以及應變處理，便成立TWNCERT處理相關事宜。</p> <p>另外，國家通訊傳播委員會（NCC）成立的NCC-CERT，負責強化通傳事業辦理資安事件通報應變的組織，現在正式名稱為「國家通訊暨網際安全中心（National Communications and Cyber Security Center，NCCSC）」，也建置網路運作管理平臺（C-NOC）、資安監控平臺（C-SOC）、資安通報應變平臺（C-CERT）及資訊分析與分享平臺（C-ISAC），再以自動化銜接方式將該等平臺納入NCCSC，以整體掌握及處理通傳事業設施障礙及資安事件。</p> <h2><strong>民間企業通報資安事件，TWCERT/CC扮演第二線角色</strong></h2> <p>資安院承接前技服中心處理公務機關的資安事件通報應變處理的業務，多年下來，已經累積相當豐富的經驗，不管是從事前偵測、事中鑑識以及事後分析，都已經具備完整的技術量能。</p> <p>吳啟文表示，資安院新承接的TWCERT/CC業務，則是將既有的服務範圍，從原本的公務機關與關鍵基礎設施，進一步擴展到民間企業的資安事件通報，而對於TWCERT/CC而言，有些原本的業務將與資安院業務銜接，並視業務量能增聘人員，民間資安事件通報協處的部分，也會新增一個事件協調組負責。</p> <p>此時，TWCERT/CC便可以扮演公務機關與民間企業的橋樑，從公務機關供應鏈攻擊的資安事件過程中，主動掌握民間企業受駭的事證；相對地，也可以從協助民間企業進行資安事件應處和分析的過程中，將所掌握的資安情資，回饋到公務機關的資安平臺上，作為資安事件的偵測和防護之用。他認為，透過這種公私協力的合作方式，也可以強化雙邊資安防護能力。</p> <p>但吳啟文強調，資安院是數位發展部所屬的行政法人，所有的預算都來自政府，也承接政府的專案，為了避免與民爭利，受駭企業除了向警調機關報案，也可以同時向TWCERT/CC通報資安事件，但過程中TWCERT/CC不會在第一線直接協助受駭企業，進行相關的資安鑑識或事件分析，這部分工作仍由一般民間資安公司協助處理。</p> <h2><strong>以技術專業協助企業判別資安蟑螂</strong></h2> <p>但他說，TWCERT/CC還是會以技術輔導的專業角度，扮演第二線支援的角色，協助受駭企業判斷，確認與其合作的資安公司是否已找到被入侵的根因，另一方面，也可以協助受駭企業評估，了解資安公司建議的應變措施是否切實有效等等。</p> <p>吳啟文強調，許多企業發生資安事件時，除非原先就有配合的資安業者，不然，在面對、處理資安事件的當下，經常是心慌意亂、不知所措，這時候就可能會遇到許多「資安蟑螂」。</p> <p>他表示，這些資安蟑螂可能是低價搶生意，卻無法提供真正的資安鑑識與資安分析等服務；也可能價格看似合理，但提供的資安服務並不到位，並無法協助企業找出入侵的根因，甚至連建議的因應措施都流於片面，不適用該受駭企業。</p> <p>因此，吳啟文認為，此時TWCERT/CC扮演的第二線支援角色，就可以從技術專業的角度，協助受駭企業檢視，了解資安廠商提供的資安鑑識報告內容是否完整，也可以幫忙評估，確認資安廠商建議的因應措施是否切實、可行等等。</p> <p>在此同時，他說，TWCERT/CC會以綜整分析的角度，掌握該起企業受駭資安事件的處理情形，並蒐集相關的重要跡證，例如惡意程式樣本或是IoC（Indicators of Compromise，入侵威脅指標）等，並能分析各個跡證之間的關聯性，判斷該起資安事件是否有針對特定對象或使用特定的攻擊手法的趨勢，若有，就可以將相關的分析結果進一步轉換成資安情資，公告周知，甚至可以進一步提供該攻擊手法的資安預警。</p> <h2><strong>TWCERT/CC知名度不足是最大挑戰</strong></h2> <p>吳啟文表示，接手TWCERT/CC時，已針對他們的網站、資安情資分享的TW-ISAC，以及提供惡意程式檢測服務的Virus Check等三套對外提供服務的系統，完成內部檢測、移交以及持續維運的動作；至於內部系統包括：電子報服務系統、情資分享平臺的工單系統，和查詢網域和IP的Whois查詢平臺，在完成移交後，也進行相關的檢測與盤點。</p> <p>他說，資安院檢視TWCERT/CC內外部的系統，也已經規畫TW-ISAC及Virus Check的升級改版進度，其中，針對惡意程式檢測的Virus Check平臺，由於自建沙箱檢測機制，可藉此掌握民間企業組織的受駭趨勢。</p> <p>資安院原本在協助政府和關鍵基礎設施資安事件通報應處時，也難免遇到一些個資外洩的事件，當接手TWCERT/CC業務並將通報範疇擴及民間企業時，吳啟文表示，TWCERT/CC雖然不提供第一線服務，但會依據國發會「防止非公務機關個資外洩精進措施」，訂定非公務機關個資相關系統防護參考基準，作為針對個資外洩的強化技術面的檢查參考依據。</p> <p>由於CERT/CC是全球性的組織，所以，吳啟文表示，TWCERT/CC的重要任務之一就是參與國際資安組織的活動，掌握全球資安最新發展趨勢，維持並擴展資安情資的交流管道，接軌國際資安資訊共享與分析交流平臺，加強國內資安事件通報應變作業。</p> <p>例如，資安業界熟知的CVE漏洞編號，是由美國非營利組織MITRE負責維運，但這個漏洞編號除了MITRE可以制定，MITRE也授權一些國家級CERT或企業，可以指派相關的CVE漏洞編號，TWCERT/CC則是MITRE授權的CAN（CVE numbering authority）成員。</p> <p>吳啟文指出，持續針對臺灣ICT產品的漏洞，提供可信賴的漏洞通報管道，並繼續維持CVE漏洞發布品質為最高品質Provider等級，也是TWCERT/CC未來繼續努力的目標。</p> <p>然而，他也提到，目前TWCERT/CC最大的挑戰在於知名度不足。無論資安事件通報應變協處或漏洞通報等等，對多數民間企業甚至一般民眾而言，TWCERT/CC相對缺乏公信力，以及互信程度。</p> <p>因此，他說，未來TWCERT/CC將善用資安院長期對公務機關的資安防護經驗，協同金管會、證交所等單位擴大舉辦資安推廣活動，也提供資安教育訓練，提升企業聯盟會員的資安防護意識，並且透過交流活動，吸引更多企業加入及合作。</p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/2/21 16:58作者黃彥棻https://www.ithome.com.tw/news/161395