iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 24篇
近 24 小時: 24篇
近 7 天: 138篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/12 18:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 134 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

GitHub向所有用戶預設啟用推送保護，避免密碼和金鑰意外洩漏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub現在<a href="https://github.blog/2024-02-29-keeping-secrets-out-of-public-repositories/">預設開啟推送保護（Push Protection）功能</a>，協助開源開發者保護其密碼與金鑰等機密資訊。當推送保護功能啟用時，系統會自動檢查開發者推送到GitHub中的程式碼，一旦發現包含諸如密碼和API金鑰等敏感資訊，GitHub會阻擋推送操作並通知開發者，避免潛在的安全問題。</p> <p>原本從去年8月開始，GitHub讓所有雲端使用者選擇啟用推送保護功能，不過GitHub提到，API金鑰、令牌和各種機密資料外洩的規模非常大，光是2024年前兩個月，GitHub就已經在公開儲存庫偵測到100萬筆洩漏的機密資料，相當於每分鐘超過10次。</p> <p>因此現在GitHub決定向所有使用者啟用推送保護，當公共儲存庫中的任何推送偵測到系統所支援的機密資料時，用戶可以從提交中刪除該機密，或是選擇跳過阻擋直接提交。雖然官方預設啟用推送保護，用戶仍可以從安全設定中停用推送保護，不過GitHub強調，他們還是建議用戶啟用推送保護，並根據需要進行例外處理，不要完全停用推送保護。</p> <p>此項功能變更將在一到兩週的時間套用至所有用戶的帳戶，不過用戶也可以在安全設定中驗證狀態並且選擇提早啟用。而當原本就有使用GitHub Enterprise計畫的組織，也可以添加GitHub Advanced Security保護私人儲存庫中的機密，並且獲得所有機密掃描功能、程式碼掃描、人工智慧自動修復程式碼建議，和其他靜態應用程式安全功能。</p> </div></div></div>
2024/3/1 14:58作者李建興https://www.ithome.com.tw/news/161564
HP推出印表機訂閱服務，主打家用、SMB市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.hp.com/us/en/blogs/2024/hp-all-in-plan.html" target="_blank">HP本周宣布</a>印表機訂閱租賃服務，以解決家庭或中小企業印表機維修困擾，最低每月6.99美元。不過目前這項服務只在美國提供。</p> <p>家庭用戶、學校、店家經常需要列印，不論是學生教材、小孩家庭作業、網購退貨標籤（return label）或收據等，但對於欠缺IT人員的家庭、個人工作室、學校或小型企業來說，設定和管理印表機是相當麻煩的事。HP說已聽到用戶心聲，名為<a href="https://www.hp.com/us-en/all-in-plan/printers.html" target="_blank">All-In Plan</a>可讓用戶不再需要購買印表機或墨水匣。</p> <p>All-In Plan為針對家庭和中小企業新設計的全包式租賃服務，內容包含一臺印表機及24x7線上支援，內建的管理軟體讓用戶墨水快用光之前寄送到家，若機器故障可隔日免費更換。印表機使用2年後也可以升級。HP還提供30天免費試用服務。</p> <p>HP <a href="https://www.hp.com/us-en/all-in-plan/printers.html" target="_blank">All-In Plan方案</a>提供2款HP家用機種Envy系列，以及1款中小企業機種OfficeJet Pro噴墨印表機選擇，依據機器等級，訂閱費用分別為每月6.99、8.99及12.99美元。不過這項服務目前僅在美國提供，並未說是否會在海外實施。</p> </div></div></div>
2024/3/1 13:41作者林妍溱https://www.ithome.com.tw/news/161563
中華電信傳出資料外洩，我國國安單位內部資料流入暗網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月29日<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=124334&SPOKE_DATE=20240229&COMPANY_ID=2412">中華電信突然發布重大訊息提出說明</a>，表明他們的資安團隊查知疑似資料外流的情況，已全面啟動資安防禦機制，並與外部資安技術專家共同合作處理，同時向政府部門進行通報。而針對未來的因應措施，他們也承諾為確保資料安全，將會持續強化網路安全的管控。</p> <p>為何中華電信昨天要發布這則重大訊息？原因可能與這兩天一家媒體的報導有關，裡面提到有人在暗網兜售中華電信的內部資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rzi9gaD9Qn.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rzi9gaD9Qn.png" style="width: 580px;" /></a></p> <p>根據TVBS新聞臺2月28日的報導，<a href="https://news.tvbs.com.tw/politics/2409149">近期暗網出現中華電信與國安單位之間往來的機密文件和公文</a>，賣家聲稱握有1.7 TB資料，內容涵蓋內部文件、逾7千個資料庫，政府採購合約等。</p> <p>這些合約包含：軍司令部「租用中新一號後續衛星轉頻器」、外交部3年前與諾魯的資通訊合作案會議前摘要、去年海巡署巡護九號艦艇安裝和啟用衛星通訊的合約，此外，中華電信曾在2021年參與中科院的通資交換節點標案，金額為1,985萬元，相關文件被列為機密等級，但可能也因此遭公開。</p> <p>其他可能外洩的資料，還包括2017年國防部資通電軍申請空軍模式模擬能量提升案的結果報告，另有疑似中華電信的電路圖，地址為臺北市中正區重慶南路二段7巷2樓樓頂，地點就在總統永和官邸正對面。</p> <p>究竟這些資料如何外洩？國防院戰略資源研究所長蘇紫雲認為，很有可能是相關人士的手機遭到入侵造成。</p> </div></div></div>
2024/3/1 12:06作者周峻佑https://www.ithome.com.tw/news/161562
建準公布2月19日遭遇加密攻擊事故後續處理狀況，坦承技術人員電腦檔案遭加密，恐有資料外洩風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月19日散熱風扇製造商建準<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=155714&SPOKE_DATE=20240219&COMPANY_ID=2421">發布重大訊息</a>，指出其資訊系統遭到加密攻擊，當時他們已找到加密來源並阻斷加密，資料無外洩的疑慮，他們也沒有遭到勒索。27日他們<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=181815&SPOKE_DATE=20240227&COMPANY_ID=2421">二度發布重大訊息</a>，透露後續處理情形。</p> <p>有別於過往的重大訊息，通常是證實受害公司遭遇網路攻擊，而對於事故的細節也往往三緘其口，更別說是透露後續處理的情形。這次建準公布調查結果及受影響的範圍，也能提供其他企業借鏡，對握有高權限的技術人員提高保護層級。</p> <p>該公司表示，他們在外部專家協助下，發現駭客入侵部分技術人員的電腦，並對其中重要檔案進行加密，恐有資料外洩的疑慮。</p> <p>「駭客進行檔案加密」與「受害企業資料外洩」看似矛盾，然而在現今的網路攻擊當中，使用勒索軟體加密檔案往往是攻擊過程後期的手段，在此之前，駭客早已將這些他們存取到的資料複製、傳至外部，以便進行後續的勒索或是利用、拍賣。</p> <p>值得留意的是，這次他們特別提到部分檔案出現無法解密的情況，可能意味著曾嘗試使用解密工具，但無法復原所有資料，此狀態是否發生在上述技術人員的電腦，外界依照這份說明也難以確定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/bfsB8c1Dxn.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bfsB8c1Dxn.png" style="width: 580px;" /></a></p> </div></div></div>
2024/3/1 10:50作者周峻佑https://www.ithome.com.tw/news/161561
Stack Overflow將整合Google Cloud、讓Gemini開發人員存取知識庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發人員QA平臺Stack Overflow與Google Cloud昨（29）日<a href="https://www.googlecloudpresscorner.com/2024-02-29-Stack-Overflow-and-Google-Cloud-Announce-Strategic-Partnership-to-Bring-Generative-AI-to-Millions-of-Developers" target="_blank">宣布一項合作</a>，讓Google Cloud的Gemini得以存取Stack Overflow開發知識庫，或提供開發建議，Stack Overflow也將採用Google Cloud為運行平臺、整合其工具。</p> <p>在此之前，Google Cloud上的AI助理，名為Gemini for Google Cloud（即之前的DuetAI），已經過公開資訊及開源程式碼訓練，能提供開發建議，但這項合作可使Stack Overflow的開發知識庫進一步整合到Google Cloud上。首先，Gemini for Google Cloud可透過Stack Overflow新開發的OverflowAPI存取其知識庫，在開發人員呼叫Gemini時提供開發建議、程式碼及回答問題。</p> <p>其次，使用Gemini for Cloud的開發人員也可以直接在Google Cloud控制臺（console）中存取Stack Overflow，包括詢問問題或獲得Stack Overflow社群其他成員的解答，讓他們管理或開發Google Cloud應用程式及基礎架構時不用跳離執行介面。</p> <p>這項合作第二部分是Stack Overflow和Google Cloud工具的整合。首先，Stack Overflow已經選擇Google Cloud作為代管平臺。Stack Overflow計畫之後將使用Google Cloud的AI平臺Vertex工具提升社群互動和內容出版流程。雙方表示，這方面的合作可望能加速Stack Overflow的內容核准流程，改善Stack Overflow使用者經驗。</p> <p>這項合作或可提供Stack Overflow必要的財務挹注。這個技術人員QA平臺在ChatGPT等AI聊天機器人興起後流量大減，<a href="https://www.ithome.com.tw/news/158048" target="_blank">開發新服務</a>如Overflow專案增加使用者黏著度，但Stack Overflow去年仍被迫<a href="https://www.ithome.com.tw/news/159310" target="_blank">裁員</a>28%。</p> <p>Stack Overflow和Google Cloud合作的首批合作成果，預計於4月9到11日的Google Cloud Next大會上預覽，並在今年上半年正式啟用。</p> </div></div></div>
2024/3/1 10:37作者林妍溱https://www.ithome.com.tw/news/161559
Adobe公布音樂編輯生成式AI工具，提供音樂版的Photoshop能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市面上的音樂生成式AI工具都無法提供編輯功能，<a href="https://blog.adobe.com/en/publish/2024/02/28/adobe-research-audio-creation-editing" target="_blank">Adobe本周公布</a>音樂編輯生成式AI工具Project Music GenAI Control，讓用戶能以文字下指令，生成音樂或編輯現有音樂。</p> <p>Project Music GenAI Control是Adobe Research和加州大學聖地牙哥分校、卡內基美隆大學電腦科學系合作開發的工具，還在早期開發階段，主打廣播人員、podcaster或是沒有專業音樂工具的人士，旨在透過文字轉音樂的AI助理，讓用戶先生成音樂，再以內建精細控制工具來編輯音樂。</p> <p>Project Music GenAI Control是結合圖片生成式AI工具Firefly、影片生成工具Adobe Express使用的AI聊天機器人。用戶可以輸入簡單的文字指示如「節奏強烈的搖滾」、「輕快的舞蹈音樂」或「悲傷爵士樂」讓新工具生成音樂，一旦音樂產生，工作流程就會整合精細編輯工具，包括一段參考旋律，用戶就可以調整節奏、結果、副歌片段，他們能決定在哪放大或降低音量、延長某小節的長度、混音或產生能巧妙循環的loop。另外，在製作前奏、結尾或背景時，Project Music GenAI Control不需用戶手動截取現有音樂，而是協助用戶從頭到尾製作出音樂。</p> <p>Adobe資深研究科學家Nicholas Bryan指出，雖然大廠、新創業者都推出音樂AI生成工具，如Google的MusicLM、Meta的AutoCraft、Jubebox及Stable Audio等，但這些多半都只能生成音樂，無法編輯，用戶只能不斷重新生成新音樂到完美為止。但Project Music GenAI Control則是提供Photoshop一般的編輯能力，進行音樂「像素層級」的控制。</p> <p>Adobe並未說明Project Music GenAI Control下一段階開發目標、時程或和現有產品整合計畫。</p> </div></div></div>
2024/3/1 10:56作者林妍溱https://www.ithome.com.tw/news/161560
整合OT與IT打造數據平臺，北捷用數據管理提升乘車體驗
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在交通尖峰時段搭乘臺北捷運(以下簡稱北捷)，相信不少人會遇到擁擠車廂，車廂內移動或上下車不便的經驗，除了可透過App查看捷運路線列車的即時位置，各班列車車廂擁擠度之外，部分車站月臺螢幕也顯示下一班列車擁擠程度，以綠、黃、橘、紅色代表，綠色為舒適車廂，紅色代表最擁擠車廂，甚至在月臺對應的車廂位置設計導引光條，方便民眾依照光條顏色選擇上車位置。今年3月起北捷5條路線所有月臺螢幕將顯示車廂擁擠度。</p> <p>這項小小的貼心設計，大大改善民眾乘車體驗，讓民眾在列車進站前，可先行移動到較不擁擠車廂上車，在交通尖峰時段，避免乘客過度集中少數車廂，影響搭乘體驗。</p> <p>這項體驗的背後關鍵是，IT與OT數據分析應用的展現，是臺北捷運公司資訊處長謝興盛帶領IT團隊和相關部門單位共同努力的成果。</p> <p><span style="font-size:28px;"><strong>從早期運輸為目的到旅客舒適管理</strong></span></p> <p>謝興盛在北捷任職超過20多年，最初進入行控中心，後來進入資訊部門，去年接任處長，具有OT維運及IT工作經驗的他，深知北捷過去投入許多年時間才能整合OT及IT。</p> <p>身為國內最早投入營運的捷運公司，北捷旗下車廂大多購置於30年前，由於車輛設計目的是以載客為主，並沒有設置感測器統計車廂內人流，因此要偵測車相擁擠度，需要取得OT數據。</p> <p>他們利用每個列車車廂底下的氣墊，氣墊主要為支撐及調整車廂高度，讓車廂高度和月臺維持一致，沒有高低落差，乘客能平穩從車廂踏到月臺，當車廂內乘客愈多，氣墊承受壓力愈大，因此他們利用氣墊壓力數據，判斷車廂擁擠程度，監控不同捷運路線及路段擁擠程度，除了內部營運決策之外，也提供民眾乘車參考。</p> <p>從動態顯示列車位置到車廂擁擠程度，突顯北捷從早期旅客運輸進展至追求旅客舒適度管理。「北捷會一直不斷努力提升舒適度，過去關心如何將旅客快速、準時的載送到目的地，現在進入旅客舒適度管理年代」，謝興盛說。</p> <p>平日上下班尖峰時段，或是特定車站附近舉行大型棒球比賽，還有每一年北市舉辦跨年活動，往往聚集大量人潮，當活動結束人潮湧入北捷，北捷應變中心監控各路線、路段列車動態、車廂擁擠程度，北捷內部將車廂擁擠程度，除了綠、黃、橘、紅4色外，還有代表最擁擠的紫色，將車廂擁擠程度作更細的畫分，當人潮湧入車站月臺，由車站現場工作人員引導人流乘車，應變中心根據各路線、路段車廂擁擠程度，調度增加車輛疏運人潮，北捷管理高層也能在辦公室掌握情形。</p> <p><span style="font-size:28px;"><strong>打造數據平臺整合OT數據</strong></span></p> <p>不論是列車即時動態位置或是車廂擁擠度，象徵北捷要以量化數據進行管理，建構自動化、數位化管理，但要做到這個目標，IT需要整合OT數據。</p> <p>然而，要取得OT數據並不容易，因為OT為封閉系統，數據大多存在於各個OT系統中，且受到OT系統商原廠的保固限制，難以直接取得，各單位基於各自的業務系統及數據專注在本業工作，這些OT系統運作數據集中到俗稱為捷運大腦的行控中心，行控中心通過各個控制面板監控整個捷運系統的運作情形。</p> <p>由於臺北捷運早期發展歷史因素，IT團隊很早就研究OT系統，經過多年的研究及測試，他們對OT並非完全陌生，為避免破壞OT原廠保固，他們利用側聽OT系統封包進行研究，設法取得OT系統的數據，舉例來說，車輛動態位置數據原本只有行控中心才能使用，無法提供給其他單位使用，IT利用側聽解析封包取得數據，開發即時列車位置系統，並提供給客服中心使用，過去當乘客下車後才發現遺留物品在列車上，向客服反映遺失物品，客服人員因無從得知列車位置，只能先紀錄車輛資訊，再向行控中心確認列車位置，現在客服透過即時列車位置系統就能掌握遺失物的列車位置，引導乘客如何尋回遺失物。</p> <p>為了強化數據整合分析應用，IT團隊打造數據平臺整合多種OT數據，強化內部的營運管理，從2018年開始到2020年，打造數據平臺PROMIS，內部稱為預測性軌道營運管理資訊系統，這套系統整合車站自動收費系統、道旁自動監控系統、列車即時監控、車站機電設備、行控號誌電腦，透過IoT蒐集33項營運設備數據，通過監控、數據分析模型、Line即時告警，從2020年以來共解決312件潛在問題，北捷通過預測性軌道營運管理資訊系統，提高系統設備的妥善率及營運可靠度。</p> <p>謝興盛表示，以維修為例，過去主要依靠第一線維修人員到現場維修，不斷回報狀況，現在透過數據平臺撈取轉轍器電流數據，經過計算判斷轉轍器故障與否，預期是否會故障，透過這套系統從整體面監控有沒有出現異常，當出現異常狀況向維修單位或是非維修的後勤主管，甚至向公司管理高層發送告警。</p> <p>謝興盛指出，OT數據難以整合的原因是，各個營運系統有自己的供應商，供應商彼此是獨立的，系統數據也因此是封閉的，例如號誌系統為自成系統，供電系統、通訊系統也獨立系統，因此當通訊維修需要查看耗電資料，需使用隨身碟至供電系統複製資料，儘管這些系統集中於行控中心各種面板，但仍是將各自的資訊拉到行控中心面板，看似整合到行控中心，實際仍是各自獨立，系統間沒有交流資訊。</p> <p>而透過數據平臺整合車站閘門、道旁、列車及行控中心電腦等OT設備數據，北捷才有跨系統融合運用數據的基礎，例如針對擁擠度這個議題，撈取列車即時位置、車廂氣墊壓力數據，此外，也針對車站閘門進出人數，列車進站載運多少人進站，載走多少人離站，掌握車站內人流。「過去辦不到的事，現在集中這些資訊後，可以進一步加值運用」，謝興盛說。</p> <p>從早期研究OT系統，撈取列車位動態位置，到提供列車即時位置顯示資訊供客服人員使用，試探性從單一系統撈取數據，將OT與IT整合，謝興盛認為，營運起步較早的北捷，累積20多年的維修經驗，在自立自強之下，提高技術研發的自主性，同時避免受到設備廠商的限制，北捷已從加值發展到增加新服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1171-%E6%96%87%E5%BD%AC-%E5%8C%97%E6%8D%B7-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>透過數據分析預測性維護，提高服務可靠度</strong></span></p> <p>2020年時，北捷打造了一套數據平臺，以該平臺為基礎開發預測性軌道營運管理資訊系統，在資料應用方面，打造列車智慧監控預警系統、人流監控管理系統，透過OT與IT整合，監控列車、車站、道旁等營運系統，為北捷大幅提升營運系統穩定度。他們透過分析每次故障、行車延誤的樣態，將原因分類為號誌、車輛或供電，針對個別系統測試，對較常發生故障的模組，利用IoT及數據分析，預測即將發生故障更換零件，或是暫停該車輛載客服務。</p> <p>謝興盛表示，傳統的維修工法是，靠老師傅的經驗判斷，或根據設備商的建議原則，例如多長距離、多久時間進行保養，現在的工法是狀態監控及預測性維修，取得數據相當重要，預測即將發生狀況，並及早做出反應。</p> <p>北捷採用狀態監控、數據化的管理，大幅提高捷運服務可靠度。2000年發生145次行車延誤事件（5分鐘以上），平均每2至3天就會發生一次，但是2018年北捷推動數位轉型，運用IoT及大數據分析，行車延誤事件次數已降至14件，2023年更是降到6次，以軌道運輸可靠度指標的MKBF（Mean Kilometer Between Failure），也就是平均行駛多長距離才會發生一起5分鐘以上的延誤事件（數值愈高代表可靠度愈高、系統愈穩定），2017年MKBF值為486.3，而在2023年達到1911.6的新高。</p> <p><span style="font-size:28px;"><strong>分析人流、提高車輛調度靈活性</strong></span></p> <p>除了維護，北捷也開發人流監控管理系統，整合各車站人流，掌握車廂擁擠度，讓北捷可以總覽角度掌握各個捷運路線、不同路段、各車站的進出人流變化，以及每輛列車上乘客多寡。</p> <p>例如每年臺北市舉辦大型跨年活動，都會吸引大量人流湧進捷運車站，依據人流監控系統紀錄，在跨年倒數前1個小時，臺北市政府捷運站及臺北101車站出現人流，車廂擁擠度增加，而在跨年倒數之後，人流漸漸向捷運移動，約花費2個小時疏運跨年活動人流。特別是大型活動的人流，短時間大量人流進入車站，必需有序的疏運乘客，北捷隨時觀察人流變化及車輛即時位置，確保人流增加時，後面車輛持續進站載運旅客。</p> <p>在人流監控管理上，按交通學區分載客率、承載率，載客率指列車載客的比率，而承載率則是座位之外，車廂內站著的乘客比率，可表現車廂內舒適擁擠度；北捷結合各站、列車車廂的時間與空間、擁擠度，可以觀察每天交通離尖峰時段的捷運人流變化，作為公司調整政策的參考。</p> <p>這套系統也在三年多前國內COVID-19疫情期間發揮效用，為降低染疫風險，當時政府鼓勵居家上班上課，由於大多數民眾減少外出，搭乘捷運的乘客也大幅減少，除了傳統做法仰賴人工回報乘客數量決定減多少車次，北捷活用人流監控管理系統，以量化數據作為縮減車次的依據，降低捷運耗電、人員管理費用。</p> <p>不只是乘車的旅客多寡，當時基於防疫需要，建議人與人維持1.5公尺社交距離，在捷運則是控制車廂內擁擠度，車廂內每平方公尺站多少人，控制車廂內乘客密度，也是北捷增加或減少車次的依據。</p> <p>從OT系統管理經驗，到後來OT與IT整合發展數據化管理，「如同交通管理的匝道儀控、高承載專用，交通管理的流量控制觀念也能套用到IT系統及網路的管理」，具交通管理專業背景的謝興盛有感而發地說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>謝興盛　臺北捷運資訊處處長</strong></p> <p>學歷：成大交通管理科學系博士</p> <p>經歷：1996年高考分發進入臺北捷運公司，最初在行控中心工作，管理及研究OT系統，2003年進入資訊部擔任系統課課長，再升任資訊處系統電腦中心主任、資訊處副處長，2023年升任資訊處處長，帶領IT團隊推動北捷數據整合、加值應用</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E5%8C%97%E6%8D%B7-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 250px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><strong>臺北捷運公司</strong></p> <p>地址：臺北市中山區中山北路2段48巷7號</p> <p>成立時間：1994年</p> <p>主要業務：大眾運輸服務</p> <p>員工數：6,875人</p> <p>年營收：約200億元（2023年）</p> <p>董事長：趙紹廉</p> <p>總經理：黃清信</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊處處長</p> <p>資訊部門主管姓名：謝興盛</p> <p>資訊部門人數：136人</p> <p>IT預算：約3億元（2024年，不含人事費用）</p> <p>資訊部門分工：下設2中心及4課，系統維運中心、數位應用中心，以及數位綜企課、資通安全課、數位創新課及數據治理課</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2003年：建置IT內網光纖網路</p> <p>●2004年：臺北捷運客服系統上線、行控號誌電腦取得CNS 17800認證</p> <p>●2008年：高運量行控中心OT電腦系統重置升級為PC-Based化系統</p> <p>●2011年：土城機廠建置IT電腦機房</p> <p>●2015年：推出臺北捷運Go App</p> <p>●2020年：建置北捷數據平臺，後來命名為預測性軌道營運管理資訊系統（Metro PROMIS）。逐年開始推出車廂擁擠度（Metro TIMES）</p> <p>●2022年：推出捷運路網及列車動態顯示系統（Metro NTDS）</p> <p>●2023年：發表2023年版數位政策白皮書</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1171-cio-960-v2.jpg" width="960" height="420" alt="" title="臺北捷運資訊處處長謝興盛　（攝影／洪政偉）" /></div></div></div>
2024/3/1 09:00作者蘇文彬https://www.ithome.com.tw/people/161528
實踐FinOps必須先讓工程師有感
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球零售龍頭沃爾瑪去年電商業績達到歷史性新高，首度超過了1千億美元，相當於臺幣3兆元，占了他們全球營收的六分之一。</p> <p>沃爾瑪越來越重視電商平臺，線上業績比重年年增加，甚至沃爾瑪執行長在今年第一季財報記者會上直言，從去年開始他們成了一家以人為本，善用技術強化的「全通路」零售業。不再像過去只強調自己是零售商。</p> <p>為了支持如此龐大的線上業務，沃爾瑪早在2015年就全力擁抱各種雲原生技術，不只打造出20萬核心數的OpenStack私有雲，這朵雲的核心數，現在已經超過100萬個。2020年，他們用K8s打造了自家雲原生平臺，來調度9萬3千個節點，執行超過54萬個Pod叢集。2年前，更進一步發展成多雲混合雲架構，結合兩家公雲和自家私雲，組成了三雲架構，更彈性調度工作負載，還能兼顧AP效能，來支援各種創新應用和線上服務，甚至可以將每年雲端成本降低10～18%。</p> <p>「要比競爭對手更懂得控制成本。」這是沃爾瑪創辦人十大準則的第九條。沃爾瑪高層、業務部門都很清楚，比對手更節省成本，是競爭力的關鍵。但是，高達2萬多人的工程團隊，不見得人人都很清楚，甚至能夠將這樣的成本節省思維，放到各種工作或技術任務上。如何支援如此龐大的雲端用量，又能成功控管雲端成本？沃爾瑪全通路成本維運團隊資深工程總監Tim O'Brieny在去年透露了他們的秘訣，就是要讓工程師意識到FinOps。</p> <p>Tim O'Brien自己就是典型的技術人，甚至可以說是沃爾瑪DevOps工程的關鍵推手。</p> <p>Tim O'Brien在2015年從顧問轉為正職，開始擔任沃爾瑪全球產品DevOps和SRE部門軟體工程總監，打造沃爾瑪官網的全球部署架構，後來他又轉而負責沃爾瑪全球雲端用量和成本的管理，要引進公雲來分攤自建OpenStack私有雲的工作量，進而控管整體基礎架構的用量和成本。</p> <p>2021年時，沃爾瑪開始意識到雲端維運成本管理的重要性，由Tim O'Brien帶頭重新調整多雲戰略，率領沃爾瑪全球技術部門的全球平臺團隊，思考如何在全球架構下達到更高的成本效益。</p> <p>Tim O'Brien的第一步是先整合多雲的成本報表資訊，整合了來自四十種資料來源，關於沃爾瑪各種雲端用量、成本和維運的數據，要發展出一套適合沃爾瑪自己的雲端省錢維運方法。</p> <p>2022年，Tim O'Brien開始將這套雲端維運方法，擴大應用到美國市場的通路和供應商管理系統，2023年更擴大到全球的線上與線下全通路。而Tim O'Brien成了全通路成本維運最高負責人，要與全球技術平臺團隊、內部戰略團隊、科技財務團隊聯手訂定一套跨部門的雲端用量預測和效率評估方式。</p> <p>如何將這一套FinOps作法和標準，推廣甚至落實到近3萬人規模的技術團隊？Tim O'Brien從三個作法著手。</p> <p>第一是讓工程師聚焦在每一天的花費，其次是關注每天的變化率，讓工程師體會到變化率的意義，用「年度」的角度來看待每天變化的意義。例如今天下一個指令後，PostgreSQL資料庫的雲端費用，一天增加了500美元，若乘以365天，就是18萬美元，也就是今天這個指令的代價，一年會多花18萬美元之多。這就是賦予每天變化率的意義。最後一步，Tim O'Brien還會進一步追問，所多花的成本，例如啟動了卻沒有用的雲端VM，要賣多少商品才能打平。讓工程師從顧客影響的思維，來思考成本的意義。</p> <p>沃爾瑪沒有設立一個專門負責FinOps的團隊，而是設立一個核心的FinOps支援團隊，來支援不同部門需要的共通FinOps功能。</p> <p>這個支援團隊，包括了財務和工程人員，來建立FinOps實踐需要的相關標準，全球技術團隊都適用同一套標準。並在這個支援團隊之一，由各部門副總組成了一個指導委員會，負責設定整體目標，建立公司政策和共享戰略，另外還有支援FinOps工具開發的技術團隊。</p> <p>「推動FinOps，就像打籃球一樣，每天練習就會進步。」</p> <p>Tim O'Brien這樣比喻。但要做到這件事，建立一套自己的FinOps實踐、規範和文化是基礎，這正是沃爾瑪落實FinOps的關鍵。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%B2%83%E7%88%BE%E7%91%AA">沃爾瑪</a></div><div class="field-item odd"><a href="/tags/finops">FinOps</a></div></div></div>
2024/3/1 09:00作者王宏仁https://www.ithome.com.tw/voice/161529
三星發表容量達36 GB的HBM3E 12H，以滿足AI需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星本周二（2/27）<a href="https://news.samsung.com/global/samsung-develops-industry-first-36gb-hbm3e-12h-dram" target="_blank">發表</a>了HBM3E 12H，這是該公司首個12堆疊的HBM3E DRAM，它提供高達1,280 GB/s的頻寬，以及36GB的容量，以滿足AI運算的需求，目前已開始送樣，預計於今年上半年量產。</p> <p>HBM的全名為高頻寬記憶體（High Bandwidth Memory），採用垂直的3D堆疊技術，以將更多的記憶體晶片封裝到更小的空間中，縮短資料在記憶體與處理器之間的傳輸距離，適用於要求資料傳輸速度的高效能運算應用。</p> <p>相較於三星先前推出的8堆疊HBM3 8H，HBM3E 12H不管是在頻寬或是容量上都增加了50%以上。</p> <p>負責記憶體產品規畫的三星執行副總裁Yongcheol Bae表示，AI服務供應商愈來愈需要更高容量的HBM，新的HBM3E 12H即是為了滿足此一需求。</p> <p>根據三星的解釋，HBM3E 12H採用先進的熱壓非導電薄膜（TC NCF），以讓這個12層的產品與8層一樣高，符合現有的HBM封裝需求，三星不斷降低其NCF材料的厚度，實現業界最小的晶片間隙（7 µm），也消弭各層之間的空隙，使其垂直密度比HBM3 8H增加了20%。</p> <p>三星預期HBM3E 12H可成為未來需要更多記憶體之系統的最佳解決方案，因其高效能與容量可用來降低資料中心的整體擁有成本（TCO），而在AI應用上，用來訓練的平均速度可比HBM3 8H快上34%，至於推論服務上的同時使用人數則是HBM3 8H的15倍以上。</p> <p>HBM自2013年成為業界標準以來，記憶體業者已陸續開發出不同世代的產品，包括HBM2、HBM2E、HBM3與HBM3E（HBM3的延伸版），今年的戰場即是HBM3E。不管是<a href="https://news.skhynix.com/sk-hynix-develops-worlds-best-performing-hbm3e/" target="_blank">SK海力士</a>（SK hynix）或<a href="https://investors.micron.com/news-releases/news-release-details/micron-commences-volume-production-industry-leading-hbm3e" target="_blank">美光</a>（Micron）也都已打造出HBM3E產品，它們在封裝數量、頻寬及效能上較勁，且皆會在今年上半年量產。</p> </div></div></div>
2024/2/29 15:18作者陳曉莉https://www.ithome.com.tw/news/161547
微軟於VS Code強化Pylance啟發式匯入修復與Python網頁除錯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-march-2024-release/">更新</a>VS Code的Python與Jupyter擴充套件，在最新的3月版本中，微軟於Pylance擴充套件添加啟發性設計的匯入程式碼動作（Imports Code Action），並且讓Python擴充套件能自動啟動瀏覽器，來除錯Django或Flask應用程式，而且Python REPL整合殼層，提供更靈活的工作環境。</p> <p>當開發者的Python專案有缺少匯入檔案時，便會觸發Add Import快速修復功能，而現在Pylance擴充套件使用啟發式方法，僅顯示前三個高信心的匯入選項，這些選項根據最近使用的匯入、相同模組符號、標準函式庫中的符號等條件，選出三個匯入建議。</p> <p>當前三個匯入選項都非開發者所需要的，Pylance現在還有一個新的程式碼動作稱為搜尋其他匯入，開發者便可以根據擴充套件顯示的快速選單，搜尋與缺失匯入符號前綴相符的選項。另外，Pylance還加入更改拼寫程式碼動作，可針對因為錯誤拼字而缺少匯入檔案提供建議。目前啟發式匯入修復功能，需透過手動設定啟動，但微軟計畫將此行為設為預設。</p> <p>Python除錯器擴充套件可供開發者更方便地開發和測試Python網頁應用程式，現在開發者可以透過設定，在以Django或Flask應用程式啟動除錯器時，自動啟動瀏覽器。</p> <p>微軟現在還於Mac、Linux和Windows平臺啟用Python REPL的殼層整合。在Python REPL中執行命令時，擴充套件會透過上色的符號顯示命令執行成功與否，而且這項功能同時啟用Terminal:Run Recent Command，允許開發者查看和使用REPL的命令歷史紀錄，此外，開發者還可以利用Terminal:Run Recent Command，存取所有作業系統的Python殼層檔案歷史。</p> <p>微軟也對Jupyter伺服器的語言支援進行更新，讓Jupyter擴充套件可以區分連接到的Jupyter伺服器，為本地端抑或是遠端。過去在連接到本地Jupyter伺服器時，Jupyter擴充套件會將這些伺服器一率視為遠端連線，導致Pylance擴充套件無法偵測到已安裝的套件。現在經過更新，Jupyter擴充套件已經能正確辨識連接到的Jupyter伺服器。</p> </div></div></div>
2024/2/29 22:50作者李建興https://www.ithome.com.tw/news/161554
Google雲端更新安全指揮中心，增強雲端AI資源安全管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端內建的安全與風險管理解決方案<a href="https://cloud.google.com/blog/products/identity-security/introducing-security-command-center-protection-for-vertex-ai">安全指揮中心（Security Command Center）Premium</a>，現在與組織政策整合，具有接近即時的政策和人工智慧資源配置變更偵測能力，防止意外的變更造成的雲端風險。目前這些新的安全指揮中心功能已經向所有用戶開放。</p> <p>由於安全指揮中心內建於Google雲端基礎架構中，因此可獲得人工智慧工作負載和應用程式的即時可見性，而非仰賴可能很快就過時的時間點快照，官方強調，這項特點之所以重要，是因為對於看不見的人工智慧工作負載，就無法提供保護。</p> <p>Google運用對Vertex AI架構和服務營運的知識，在安全指揮中心建置專門針對Vertex AI工作負載設計的安全態勢控制，提供了即用型的安全控制措施，供用戶簡單一鍵啟用。</p> <p>該平臺會持續監控並偵測Vertex AI中，違反安全策略的資源配置事件，當核心人工智慧基礎架構的配置偏離安全最佳實踐，像是創建允許透過公共IP存取的Vertex AI Workbench筆記本，或是變更Vertex AI工作負載存取權限等事件發生時，系統便會自動發出警報。</p> <p>雲端安全指揮中心會在政策發生變化時即時通知安全人員，協助團隊迅速辨識安全態勢控制的變化，確保不會因為政策配置錯誤或是惡意意圖，導致安全態勢控制變得過於寬鬆。此外，其安全健康分析功能，也能找出人工智慧工作負載所使用的多項服務中，存在於跨服務中的錯誤配置和漏洞。</p> <p>Vertex AI相關安全發現會在安全指揮中心的介面中，以專門的卡片突出顯示，提供清楚的安全狀態檢視圖，方便用戶評估安全態勢。安全指揮中心的風險分析工具，還可供用戶評估情況，並推薦下一步修正措施。</p> </div></div></div>
2024/2/29 22:56作者李建興https://www.ithome.com.tw/news/161557
Martech雙周報第49期：官方Cookie替代多難用？IAB發表隱私權沙盒對45種數位行銷情境的支援程度報告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0218~0302)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第三方Cookie</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權沙盒</span></span><br /> IAB發表隱私權沙盒對45種數位行銷情境的支援程度報告，完全或部分支援的項目只有大約10項</strong></p> <p>美國互動廣告協會IAB<a href="https://iabtechlab.com/wp-content/uploads/2024/02/Privacy-Sandbox-Fit-Gap-Analysis-PUBLIC-COMMENT-RELEASE.pdf">發表了一個研究報告</a>，評估Google官方替代方案隱私權沙盒與第三方Cookie間的實用度差距。這個106頁報告中，IAB詳細列出了45種數位行銷情境，逐一評估現有隱私權沙盒技術的支援度評級、評級理由、詳細技術說明、支援程度對廣告業務的影響，和其他補充說明。</p> <p>IAB將支援度評級分為完全支援、只能當短期解方、效果大幅降低、實務上難以支援，以及完全不支援，共5個評級。評估結果非常糟糕，45種情境中，隱私權沙盒只能完全支援一、兩個情境，且只能作為個位數情境的短期解方。</p> <p>除了支援度不足，IAB還對Google隱私權沙盒團隊提出了多項疑慮，包括技術文件破碎、對商業情境及需求缺乏考慮、做法及流程沒有第三方認證機制、數據品質沒有取得業界認證、對瀏覽器負荷過大而導致做法難以規模化、瀏覽器資源分配決策不透明、未來治理和開發計畫不明確等。這些問題都會使廣告需求方、中間方及提供方產生疑慮，以至於不敢輕易採用隱私權沙盒技術來進行廣告業務。</p> <p>Google發表<a href="https://developers.google.com/privacy-sandbox/blog/iab-tech-lab-response">回應</a>，聲稱報告中有不少誤解隱私權沙盒技術細節之處，並強調，為了進一步維護使用者隱私，隱私權沙盒本來就不應該支援許多既有數位行銷做法。同時，他們也承諾會根據業界回饋持續改良隱私權沙盒系列解決方案。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Gartner魔力象限</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#企業CDP採購</span></span><br /> Gartner終於推出CDP的魔力象限，17家國際大廠上榜</strong></p> <p>Gartner針對<a href="https://www.gartner.com/doc/reprints?id=1-2GOZ63XW&ct=240220&st=sb">CDP推出了魔力象限</a>（Magic Quadrant），根據功能完整性和功能執行力，將17家國際知名大廠CDP分為領導者、遠見者、特定領域者及挑戰者4個分類，並具體說明了評分條件，以及各家CDP特色和優劣。過往，Gartner只有提供CDP市場指引，並未針對這些產品進行評比分級。如今他們推出了魔力象限，意味著企業採購這個熱門科技時有更多資訊可作為參考。</p> <p>Garner同時提出了CDP市場觀察。他們寫道，企業行銷部門不太常使用CDP這個數據管理科技，而是著重於自動化行銷等執行面的行銷科技。這促使科技廠商開始發展CDP加上MA的全套解決方案。甚至，隨著CDP市場已經發展到成熟期，企業開始將CDP的數據處理功能用於行銷以外情境。也因此，主導採購CDP的企業部門從行銷部門轉移回IT部門。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#新聞臺行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CDP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路數據整合</span></span><br /> 電視臺也用CDP！TVBS導入CDP及MA科技來強化數位內容精準投放</strong></p> <p>電視臺TVBS近期導入了CDP，要將自家數位內容帶來的網路流量，進一步轉換為更多節目流量及電商消費。</p> <p>TVBS有TVBS新聞、食尚玩家、女人我最大、健康2.0、地球黃金線，以及網路商城等數位通路，合計匿名與實名使用者流量高達每月3,000萬人次。他們導入CDP，是為了整合這些網站、App以及Line官方帳號所累積行為標籤，以及用戶加入會員後留下的基本資料、消費紀錄，以進行後續自動化行銷。</p> <p>目前，他們已經做了TVBS跨平臺SSO登入機制，來追蹤單一用戶橫跨不同通路的足跡。未來，他們計畫搭配自動化行銷科技，推送用戶可能喜歡的內容、顯示高關聯性活動訊息、發送App推播、電子報及簡訊。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#後Cookie做法</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權沙盒</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#一站式解決方案</span></span></strong></p> <p><strong>OpenX推出可以一站式啟用上千種Cookieless數位行銷方案的解決方案</strong></p> <p>老牌AdTech廠商OpenX推出了<a href="https://www.openx.com/press-releases/openx-announces-programmatics-first-supply-side-cookieless-deal-library-to-simplify-buyers-transition-to-cookieless-targeting/">Cookieless Deal Library解決方案</a>庫。廣告主透過這個方案庫，可以在DSP平臺上一站式選用上千種Cookieless數位行銷方案，包括Google隱私權沙盒、RampID等ID聯盟廣告、無ID分眾廣告、情境類分眾廣告、曝光類廣告、CTV類廣告、出版方第一方數據廣告等。</p> <p>少了第三方Cookie這個行之有年的萬靈丹後，廣告主往往需要結合多個Cookieless數位行銷方案，才能達到以往行銷效果。能一站式啟用不同Cookieless數位行銷方案，對廣告主來說，能降低嘗試不同做法和組合的操作難度。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#AR廣告</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#IAB</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#廣告成效測量</span></span><br /> IAB推出擴增實境類型廣告的建議測量標準</strong></p> <p>隨著越來越多行銷方法著重實體與數位體驗，<a href="https://www.iab.com/wp-content/uploads/2024/02/IAB-MRC_Augmented-Reality_AR_Measurement_Guidelines_For_Public_Comment_February_2024.pdf">IAB推出了AR類型廣告的建議測量標準</a>，詳細定義了曝光情況、廣告格式、無效流量、成效轉換基準及方法等主題。</p> <p>IAB定義中，AR類型廣告包括一系列濾鏡類廣告，例如靜態、動態及可互動式的使用者濾鏡、物品濾鏡和環境濾鏡廣告。虛擬試穿試戴、透過AR體驗看到的虛擬空間等，也歸類為AR廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#品牌安全</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告版位選擇</span></span><br /> The Trade Desk導入版位評估機制，以避免廣告投放到可信度評價低的新聞媒體版位</strong></p> <p>DSP大廠The Trade Desk和民間新聞媒體監察機構Ad Fontes Media合作，由後者提供自家分析上萬家新聞媒體及自媒體的研究數據，<a href="https://adfontesmedia.com/trade-desk/">來打造廣告出版方過濾機制</a>。投放廣告時，此機制會排除黨派立場過強、內容以AI生成及濫用釣魚式標題的新聞媒體，以期增加品牌安全。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://support.google.com/analytics/answer/14275483?hl=en">Google Analytics 4 更新管理使用者授權追蹤的功能</a></p> <p>2. <a href="https://www.salesforce.com/news/stories/marketing-cloud-growth-announcement/">Salesforce針對小型企業行銷需求推出結合GenAI功能的Marketing Cloud Growth服務</a></p> <p>3. <a href="https://blog.google/products/ads-commerce/gemini-models-are-coming-to-performance-max/">Google將Gemini模型應用於Performance Max廣告的圖文生成功能</a></p> <p>4. <a href="https://cloud.insight.insiderintelligence.com/20240220-TripleLift-CustomContent_RegPag">eMarketer調查顯示，廣告主相當重視RMN拓展廣告版位到零售業者自身以外的通路</a></p> <p>資料來源：iThome整理，2024年2月</p> <p>責任編輯：郭又華</p> </div></div></div>
2024/2/29 18:12作者郭又華https://www.ithome.com.tw/news/161553
【資安日報】2月29日，Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2到3年，駭客偏好散布惡意程式的新興管道，其中之一就是針對開發人員使用的開源套件儲存庫NPM、PyPI而來，藉由在此發行有問題的套件，進而在安裝、使用這些套件的電腦散布惡意程式，但隨著生成式AI技術的掘起，類似的情況也出現在共享機器學習模型的平臺。</p> <p>在譽為AI界GitHub之稱的Hugging Face平臺，研究人員發現裡面存在惡意的機器學習模型，值得留意的是，儘管該公司已採取多項檢測措施來掃描機器學習模型的檔案是否有害，然而，這些模型仍舊可以繞過這些機制而能成功上架。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/"><strong style="font-size: 22px;">機器學習模型共享平臺Hugging Face出現100個惡意模型，若下載使用電腦恐被植入後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/10_JFrog-Honeypot-and-Fake-Secre.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/10_JFrog-Honeypot-and-Fake-Secre.png" style="width: 300px; float: right;" /></a>資安業者JFrog針對機器學習模型共享平臺Hugging Face提出警告，因為他們在這裡發現超過100個模型疑似帶有惡意功能，而可能導致資料外洩與網路間諜攻擊等資安風險。</p> <p>研究人員提及其中1個由使用者baller423上傳的惡意模型為例，載入後，會讀取Python序列化模組Pickle檔案，從而在受害主機執行任意程式碼。此模型的酬載會在成功入侵後產生Shell後門程式，從而讓攻擊者完全控制受害主機。</p> <p>JFog認為，雖然Hugging Face已採取多種防護措施，像是針對惡意軟體、Pickle、帳密資料（Scrects）進行掃描，企圖以此確認模型的功能是否存在不安全行為，但顯然還不夠，因為上述狀況突顯此平臺無法徹底擺脫實際資安威脅。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/b/threat-actor-groups-including-black-basta-are-exploiting-recent-.html"><strong style="font-size: 22px;">更多駭客團體濫用ScreenConnect重大漏洞，Black Basta、Bl00dy被查出正在利用這個管道發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig-5 ScreenConnect Attack Chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig-5%20ScreenConnect%20Attack%20Chain.png" style="width: 300px; float: right;" /></a>2月20日資安業者ConnectWise針對旗下遠端桌面連線系統ScreenConnect公告高風險漏洞CVE-2024-1708、CVE-2024-1709（兩者被合稱為SlashAndGrab），勒索軟體駭客LockBit將其用於攻擊診所、獸醫院，以及與911專線相關地方政府系統，現在傳出有其他駭客組織跟進。</p> <p>趨勢科技指出，他們發現勒索軟體駭客組織Black Basta、Bl00dy利用SlashAndGrab的跡象。Black Basta的附屬組織先是利用漏洞入侵ScreenConnect伺服器，然後進行偵察，找出具備網域管理員身分的帳號、列出受信任的網域，然後部署滲透測試工具Cobalt Strike。另一個駭客組織Bl00dy，則是利用這些漏洞初步存取目標組織的內部環境，然後部署勒索軟體來加密檔案，此惡意程式以勒索軟體LockBit 3.0（亦稱LockBit Black）及Conti的外流建置工具打造而成。</p> <p>在上述兩組人馬的攻擊行動之外，研究人員也看到其他駭客出手，有人投放惡意程式XWorm，也有駭客部署其他遠端管理工具來進一步控制受害電腦。</p> <p><a href="https://www.ic3.gov/Media/News/2024/240227.pdf"><strong style="font-size: 22px;">Ubiquiti路由器因組態設定慘遭俄羅斯駭客組織APT28濫用，而得以建置殭屍網路，目的是隱匿攻擊行動</strong></a></p> <p>美國聯邦調查局（FBI）、國家安全局（NSA）、網路作戰司令部（US Cyber Command）與10個國家的執法機關聯手，針對俄羅斯駭客組織APT28的攻擊行動提出警告，這些駭客正在濫用Ubiquiti路由器EdgeRouter迴避偵測。</p> <p>而對於駭客偏好該廠牌路由器的原因，FBI表示，因為這些產品通常以預設固定登入帳號密碼的狀態出貨，而且無線網路服務供應商（WISP）部署這些設備時，通常是在無防火牆保護的狀態下，在此同時，EdgeRouter的韌體自動更新設定，需由使用者手動設定才會啟用。駭客一旦入侵這些路由器，就會取得其root權限，從而不受限制存取，然後部署作案工具，以便於在攻擊行動來混淆身分。</p> <p>值得留意的是，雖然美國執法單位近期切斷以此廠牌路由器組成的殭屍網路Moobot，但FBI表示，管理這些路由器的使用者也要採取對應的緩解措施，才有機會長期破壞此殭屍網路的運作。</p> <p><strong style="font-size: 22px;">電玩業者Epic Games傳出遭勒索軟體駭客組織Mogilevich入侵，遭到該公司否認</strong></p> <p>根據資安新聞網站Bleeping Computer、Cyber Daily報導，2月27日勒索軟體駭客組織Mogilevich聲稱，他們入侵電玩業者Epic Games並竊得189 GB內部資料，當中包含電子郵件、密碼、姓名、付款資訊、原始碼。該組織要求該公司向他們聯繫，期限是3月4日，但並未透露勒索金額或其他相關資訊。</p> <p>對此，Epic Games表示他們著手調查此事，目前為「零證據（zero evidence）」狀態，而無法證明對方宣稱是否屬實，且彼此尚未聯繫。</p> <p>駭客向兩家新聞網站透露，他們開價1.5萬美元兜售竊得資料，但只對出示「財力證明」的買家提供檔案來驗證他們拿到的資料，並聲稱有3名買家取得部分外洩資料。Bleeping Computer主編Lawrence Abrams認為駭客的說法「感覺不真實」，而與他們合作的資安專家推測，這很有可能是一場騙局。</p> <p>資料來源</p> <p>1. <a href="https://www.cyberdaily.au/culture/10241-fortnite-game-dev-epic-games-allegedly-hacked">https://www.cyberdaily.au/culture/10241-fortnite-game-dev-epic-games-allegedly-hacked</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/epic-games-zero-evidence-we-were-hacked-by-mogilevich-gang/">https://www.bleepingcomputer.com/news/security/epic-games-zero-evidence-we-were-hacked-by-mogilevich-gang/</a><br /> 3. <a href="https://twitter.com/EpicNewsroom/status/1762864647445901578">https://twitter.com/EpicNewsroom/status/1762864647445901578</a><br /> 4. <a href="https://twitter.com/LawrenceAbrams/status/1762576389373325757">https://twitter.com/LawrenceAbrams/status/1762576389373325757</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/anycubic-3d-printers-hacked-worldwide-to-expose-security-flaw/"><strong style="font-size: 22px;">Anycubic客戶的3D印表機遭駭，對方聲稱該系統的MQTT伺服器存在漏洞</strong></a></p> <p>近期有多名Anycubic的客戶透露，他們的3D印表機遭到入侵，對方植入名為hacked_machine_readme.gcode的純文字檔案，內容指出Anycubic的系統存在重大漏洞，要求用戶儘速採取行動，切斷印表機與網際網路的連線、防範潛在威脅，並宣稱用戶的印表機並未受害。</p> <p>而對於重大漏洞的說明，駭客聲稱與該系統採用的MQTT服務有關，一旦有人利用這項漏洞，就有機會存取並控制3D印表機，他們將上述的警告訊息發送給2,934,635臺印表機（編按：2023年7月Anycubic表示累計售出約300萬臺）。</p> <p>值得留意的是，Anycubic迄今並未對於類似事故提出說明。有資安研究員表示，他們2個月前也向該公司提報2個重大漏洞，並指出若是遭到利用，其中1個可能會導致災難性的後果，但該公司遲遲沒有回覆，打算公開揭露相關發現。此外，在使用者表明遭駭之後，Anycubic的應用程式出現無法存取的現象，使用者若是嘗試登入系統，便會看到網路無法使用的錯誤訊息。</p> <p>資料來源</p> <p>1. <a href="https://techcrunch.com/2024/02/28/anycubic-users-3d-printers-hacked-warning/">https://techcrunch.com/2024/02/28/anycubic-users-3d-printers-hacked-warning/</a><br /> 2. <a href="https://klipper.discourse.group/t/printer-cfg-for-anycubic-kobra-2-plus-pro-max/11658/201">https://klipper.discourse.group/t/printer-cfg-for-anycubic-kobra-2-plus-pro-max/11658/201</a></p> <p><a href="https://decoded.avast.io/janvojtesek/lazarus-and-the-fudmodule-rootkit-beyond-byovd-with-an-admin-to-kernel-zero-day/"><strong style="font-size: 22px;">Windows AppLocker漏洞在修補之前就遭到北韓駭客Lazarus利用</strong></a></p> <p>微軟在2月份例行更新（Patch Tuesday）修補CVE-2024-21338，此漏洞位於Windows的應用程式白名單元件AppLocker（appid.sys），通報此事的防毒業者Avast指出，在微軟修補之前，該弱點已被用於攻擊行動。</p> <p>他們之所以發現這項漏洞，與北韓駭客組織Lazarus有關，因為這個團體所用的新版rootkit程式FudModule當中，就是藉由CVE-2024-21338關閉特定的Protected Process Light（PPL）處理程序，從而迴避防毒軟體Microsoft Defender、EDR系統CrowdStrike Falcon、反惡意程式工具HitmanPro的偵測。有別於之前這些駭客利用自帶驅動程式（BYOVD）的手法，透過上述零時差漏洞來達成迴避偵測的目的，更能減少觸發資安防護系統警報的機會。</p> <p>而對於新版惡意程式FudModule的用途，研究人員表示駭客將其用來散布另一款RAT木馬程式，並預告將在亞洲場黑帽大會Black Hat Asia 2024公布細節。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161538"><strong style="font-size: 22px;">兆勤公告與修補防火牆與無線基地臺存在漏洞，用戶若不處理，可能無法因應RCE、命令注入等攻擊</strong></a></p> <p>2月21日兆勤發布資安公告，揭露CVE-2023-6397、CVE-2023-6398、CVE-2023-6399、CVE-2023-6764等4個漏洞，該公司旗下ATP、USG Flex、USG Flex H系列防火牆設備均可能受到影響，而其中的CVE-2023-6398，還額外影響約20款Wi-Fi無線基地臺設備。</p> <p>其中，本次揭露的漏洞，危險程度最高的是CVE-2023-6764，CVSS風險評分達到8.1。這個弱點與IPSec VPN功能有關，屬於格式字串（format string）類型的漏洞，能用於未經授權的遠端執行程式碼（RCE）攻擊，如果發送含有無效指標的特製酬載，就有可能觸發。</p> <p>雖然兆勤在公告裡提及，攻擊者想要利用漏洞，必須詳細掌握防火牆設備的配置，但揭露漏洞的資安業者TRAPA Security在他們的臉書粉絲頁貼文提醒大家注意，他們指出，此預先身分驗證的RCE漏洞最值得留意，因為攻擊者一旦將其利用，可在無須身分驗證的情況下，從WAN端獲得設備的最高權限。</p> <p>資料來源</p> <p>1. <a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-and-aps-02-21-2024">https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-and-aps-02-21-2024</a><br /> 2. <a href="https://www.facebook.com/TrapaSec/posts/pfbid033YCZHqCpHZKfc5aXvVXwM17z8ifsg6qHXX12eXsQU9HQLYQenahTKmZXSmiUXRABl">https://www.facebook.com/TrapaSec/posts/pfbid033YCZHqCpHZKfc5aXvVXwM17z8ifsg6qHXX12eXsQU9HQLYQenahTKmZXSmiUXRABl</a></p> <p><a href="https://www.bitdefender.com/blog/labs/details-on-apples-shortcuts-vulnerability-a-deep-dive-into-cve-2024-23204/"><strong style="font-size: 22px;">研究人員揭露蘋果自動化流程應用程式Shortcuts高風險漏洞細節</strong></a></p> <p>1月22日蘋果發布iOS 17.3、iPadOS 17.3、macOS Sonoma 14.3、watchOS 10.3，修補高風險漏洞CVE-2024-23204（CVSS風險評分為7.5），這個弱點是坐落在自動化流程應用程式Shortcuts當中，蘋果當時表示，攻擊者若利用這項漏洞，能在無需使用者互動的情況下，運用敏感資料。</p> <p>通報該漏洞的資安業者Bitdefender近期透露更多細節，他們指出問題出在名為Expand URL的動作，原本Expand URL是用於將短網址回復成原始網址，並過濾與追蹤有關的參數，卻存在可外洩資料的疏漏。</p> <p>為了驗證漏洞，Bitdefender製作能繞過「透明度、同意與控制（Transparency, Consent, and Control，TCC）」通訊協定的Shortcuts檔案，從而觸發漏洞，將圖片的Base64編碼傳輸至惡意網站，研究人員指出，攻擊者可透過這類Shortcuts檔案涉及的照片、通訊錄、檔案，或是剪貼簿的資料，進行匯入，並使用Base64進行編碼，接著再將這些內容轉送到惡意伺服器。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-returns-to-attacks-with-new-encryptors-servers/"><strong><span style="font-size: 20px;">研究人員證實勒索軟體駭客組織LockBit重出江湖，使用新的作案工具犯案</span></strong></a></p> <p></p> <p><strong><a href="https://blogs.jpcert.or.jp/en/2024/02/lazarus_pypi.html"><span style="font-size: 20px;">北韓駭客Lazarus上傳惡意PyPI套件，意圖散布惡意軟體Comebacker</span></a></strong></p> <p></p> <p><a href="https://www.mandiant.com/resources/blog/investigating-ivanti-exploitation-persistence"><strong><span style="font-size: 20px;">中國駭客組織利用Ivanti Connect Secure漏洞從事攻擊行動，針對美國、日本、亞太地區國防工業及電信機構而來</span></strong></a></p> <p></p> <p><strong><a href="https://www.mandiant.com/resources/blog/suspected-iranian-unc1549-targets-israel-middle-east"><span style="font-size: 20px;">中東航空、航太、國防業者遭到伊朗駭客組織UNC1549鎖定</span></a></strong></p> <p><a href="https://www.verbraucherzentrale-hessen.de/pressemeldungen/verbraucherzentrale/hackerangriff-auf-verbraucherzentrale-hessen-92732"><strong><span style="font-size: 20px;">德國消費者保護團體傳出遭勒索軟體攻擊，電話與電子郵件通訊受到影響</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161517"><strong>【2月27日】知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161467"><strong>【2月26日】勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161450"><strong>【2月23日】遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit</strong></a></p> </div></div></div>
2024/2/29 16:14作者周峻佑https://www.ithome.com.tw/news/161549
微軟發布DirectSR API，整合各家GPU廠商超級解析度功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟搶先預告，DirectX團隊將在今年的遊戲開發者大會推出許多新工具，而其中最受關注的便是<a href="https://devblogs.microsoft.com/directx/directx-innovation-on-display-at-gdc-2024/">DirectSR</a>，官方解釋，DirectSR是一個新的API，能夠無縫整合各GPU製造商的超解析度解決方案，包括Nvidia DLSS（Deep Learning Super Sampling）、AMD FSR（FidelityFX Super Resolution）與Intel XeSS（Xe Super Sampling）。</p> <p>DLSS、FSR與XeSS三種都是能夠提高圖形應用效能和圖像品質的技術。DLSS使用深度學習和人工智慧演算法來提高圖像品質和效能，藉由降低遊戲的原始解析度，並使用預訓練的神經網路模型重建高解析度影像，如此便可在不降低遊戲效能的情況下，提高影格數和圖像解析度。</p> <p>FSR與XeSS同樣也是一種超級採樣技術，雖然各家達成超級解析度的技術各有不同，但目的都是要提高遊戲解析度和視覺效果，在自家硬體提供更順暢的遊戲體驗。不同玩家所使用的硬體不同，使得遊戲開發人員需要支援各家不同的超解析度解決方案，不過，這樣卻會大幅提高遊戲開發人員的負擔。</p> <p>而現在微軟提出DirectSR，便是希望透過與各家GPU硬體供應商合作設計一個通用的API，可讓開發人員方便地在遊戲中整合超級解析度功能。微軟提到，該DirectSR API透過一組通用的輸入和輸出規範支援多供應商超解析度功能，使得遊戲以單一程式碼就能啟動各家的GPU超級解析度功能。</p> <p>DirectSR即將會加入到Agility SDK中，以公開預覽版的方式供開發者測試。</p> </div></div></div>
2024/2/29 17:07作者李建興https://www.ithome.com.tw/news/161548
GitHub正式推出可整合組織程式碼與知識庫的企業版Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub全面發布<a href="https://github.blog/2024-02-27-github-copilot-enterprise-is-now-generally-available/">企業版Copilot（Copilot Enterprise）</a>，每位用戶每月的訂閱價格為39美元。相較於一般版的Copilot，Copilot Enterprise的主要功能在於提供個人化，且可以針對組織特定需求的開發體驗，包括可以深入理解程式碼庫、存取組織的知識和最佳實踐，以及審查拉取請求。</p> <p>Copilot Enterprise讓開發者可以更快地深入理解組織的程式碼庫，因此開發者在開發新功能、解決問題和更新舊程式碼都會更容易。同時也使得新進開發者可以更快地做出貢獻，使資深開發者有能力迅速處理即時事件，並加速企業程式碼現代化。Copilot Enterprise可以提供清楚的程式碼摘要、相關建議以及回應程式碼行為，有效提升程式碼編寫和理解的效率。</p> <p>聊天功能在Copilot Enterprise被整合到GitHub.com中，使開發人員能夠直接在程式碼庫，以自然語言提出問題並獲得解答，還能獲得與問題相關的文件和現有解決方案。官方提到，這個功能將有助於促進大規模程式碼迭代，同時針對組織特定程式碼庫和標準，提供協助與建議使開發人員更快速地改進程式碼。</p> <p>而Copilot Enterprise也能生成拉取請求摘要，使開發人員花更少的時間編寫，並且更專注於合併拉取請求工作本身，Copilot Enterprise也會分析拉取請求的差異，讓審查者可以更快速地理解程式碼變更。</p> <p>GitHub也提到，在Copilot Enterprise Beta測試版本現在整合Bing搜尋功能，因此用戶也可以獲得最新的網際網路資訊。也就是說，GitHub Copilot將具獲取外部知識的能力，如此開發者便可針對程式碼開發環境查詢最新的軟體開發資訊，諸如CSS或JavaScript的更新等。</p> </div></div></div>
2024/2/29 17:12作者李建興https://www.ithome.com.tw/news/161551
行政院通過電子簽章法修正草案，未來數位簽章等同本人親簽，若條件符合可與國外相互承認數位簽章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院今天(2/29)通過數位部提出的電子簽章法修正草案，為我國電子簽章法施行20多年來首次修法，以趕上現今數位服務的需求，此次修法確認數位簽章等同本人親簽，並且新增國內與國外對接，在雙方安全等級相當的前提下，可相互承認數位簽章。行政院通過電子簽章法修正草案後，接下來將爭取通過立法院支持，以在這個會期完成修法程序為目標。</p> <p>數位部指出，使用電子簽章好處有三個，首先是快速，使用電子簽章可加速簽約流程，減少維護及管理文件的時間及費用，並降低歸檔及資料調用的時間，其次是安全方面，電子簽章採用金鑰基礎架構及國際組織制定的演算法，確保文件傳輸及交易的安全，第三是減碳方面，由於電子簽章採用已無紙化，可減少大量紙張使用。</p> <p>此次電子簽章法修法，數位部預期效益，包括推動電子簽章的普及運用，加速智慧政府及數位轉型的政策目標，還有塑造多元電子簽章發展的有利法制環境，並且促成電子簽章和國際對接、交流往來。</p> <p>在行政院會後記者會，數位部解釋電子簽章法修正草案的6項修正重點，第1項是明示電子與紙本具有同等功能，過去大眾對於書面文件及簽章改採電子形式存有疑慮，參考聯合國、美國、歐盟等國際法例，新增條文第4條規定，電子文件及電子簽章，不能因其電子形式而否認其法律效力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/es-1600.jpg" style="width: 600px; height: 312px;" /></p> <p>第2項是確定電子簽章和數位簽章的關係，數位部數位產業署副署長林俊秀解釋，電子簽章如同傳統紙本時代的印章，而數位簽章則是使用經主管機關許可的憑證機構所簽發的憑證，在演算法及加密技術下，具備驗證手續，該憑證如同傳統紙本時代的印鑑證明。</p> <p>在定義上，電子簽章指依附在電子文件上與其相關連，用以辨識電子文件簽署者的身分、資格及電子文件真偽；數位簽章為電子簽章的一種，指的是將電子文件以數學演算法或其他方式運算為一定長度的數位資料，以簽署者的私密金鑰加密，形成電子簽章，可以公鑰驗證，且具有憑證機構簽發的憑證者。</p> <p>第3項修正重點是，確認由政府許可的憑證機構所簽發憑證的數位簽章效力強度，林俊秀指出，數位簽章因具有政府許可的憑證機構簽發的憑證，具有公信力，因此推定數位簽章為本人親簽，在法律訴訟上具有更強的證據力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard01600(1).jpg" style="width: 600px; height: 311px;" /></p> <p>第4項修正重點為調整相對人同意要件，在數位包容的前提下，考慮到相對人的數位落差，當要採用電子形式的文件及簽章，應以合理方式給予相對人反對的機會，並且應該告知相對人，如果相對人沒有反對，推定同意採用電子形式。</p> <p>第5項為減少政府機構公告排從適用電子簽章法適用的可能性，林俊秀解釋，過去政府機構經常輕易以「公告」的方式單方面排除電子簽章法適用，因此修法刪除舊法中對行政機構得公告排除適用的規定，並要求行政機構應以法律來排除電子簽章法適用，對於舊有排除適用的「公告」定下落日條款，從修法施行開始，3年內停止適用，但司法程序考量到其特殊性，則不適用電子簽章法的規定。</p> <p>第6項修法重點是考慮到未來電子簽章的國際對接，在安全條件相當的前提下，如憑證機構間有技術對接合作，雙方憑證機構符合歐盟或ISO國際標準，就能互相承認數位簽章。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard000.jpg" style="width: 600px; height: 317px;" /></p> <p>數位部次長李懷仁補充說明，當民眾使用電子簽章技術時，確實可驗證簽署人的身分，但目前並沒有法令，強制要求數位平臺或跨境平臺一定要使用電子簽章，另外，相對人的機制，例如保險公司採用電子保單，需詢問投保人採用電子保單，投保人仍可向保險公司表示使用紙本，表達相對意思，保險公司必需尊重其意思；相反地，投保人如果向保險公司表達電子簽署保單的意思，保險公司也可向其說明因系統或法令關係，無法提供電子保單簽署服務，相對人是雙向的概念。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20240229-%E9%9B%BB%E5%AD%90%E7%B0%BD%E7%AB%A0%E6%B3%953.jpg" style="width: 600px; height: 600px;" /></p> <p>李懷仁也說，電子簽章技術可適用於個人及法人，其中法人包括企業，此次修法的一項重點是技術對接，只要國外憑證機構經過我國許可，國內企業與國外企業簽約也能採用電子簽章。至於電子簽章與數位簽章的差別，數位簽章具有較強的效力強度及安全規範，數位簽章在法律上推定為本人親簽，因為運用加密私鑰來簽署，而該加密私鑰為透過政府許可的憑證機構所認定發出，如同傳統上印鑑證明，代表政府審核的印鑑證明，具有一定的公信力，不同於個人蓋的印章。政府會審核憑證機構，這些憑證機構發出的憑證達到一定的安全等級，才能被稱為數位簽章。</p> <p><span style="color:#B22222;"><strong>擴大電子簽章普及，將與數位平臺業者合作打擊詐騙廣告</strong></span></p> <p>主導電子簽章法修法的數位部也在下午舉行記者會，部長唐鳳親自說明未來電子簽章法的應用，其中數位部正計畫用於打擊詐騙，目前投資詐騙廣告盛行，這類廣告內容常見利用名人影像吸引民眾加入投資群組，數位部透過電子簽章法修法，增加數位簽章，如同印鑑證明證明真有其人來蓋章，接下來數位部將和臉書、YouTube、Line等主要網路廣告平臺合作，要求這類廣告上架前，刊登者需使用數位簽章，為其刊登廣告負責，過去這類高風險的廣告被檢舉下架後，不肖人士可能更換帳號重新刊登，現在因數位簽章的效力關係到個人，因此當該廣告被檢舉下架之後，同一自然人再在其他平臺刊登廣告，透過聯防通告系統，告知其他平臺業者都要下架，其次，不肖人士也難以再生出另一個自然人身分，運用數位簽章刊登詐騙廣告。</p> <p>她表示，數位部已和經濟部討論，爭取成為無實體的純網路廣告平臺的主管機關，未來加上電子簽章法修法若獲得通過，可從源頭有效打擊詐騙廣告。未來不只是純網路廣告平臺，甚至包含第3方支付、遊戲產業也將是聯防平臺的成員，主動發現詐騙活動，並協調大家運用數位簽章從源頭管理。</p> <p>唐鳳還表示，對於任何需要簽名或蓋章的場合，電子簽章法修法通過後，未來只要相對人不反對，可以運用電子簽章、電子文件來進行線上簽署，金融方面，如開戶、貸款等，在今日的院會上金管會黃主委表示，電子簽章法修法後，將提供更強的法定效力，更易於確認簽署者的數位簽章身分，相信所有和金融相關服務都可能看到應用。</p> <p>另一項修法重點是與國外對接，唐鳳表示，先前參訪立陶宛，該國已普遍使用數位簽章技術，我國舊的電子簽章法並未規定如果安全程度相當、技術對接就能和國外數位簽章彼此承認，現在新的修法中，只要安全程度相當及技術對接，兩國不一定需要簽署合約，就可以彼此承認簽章，以立陶宛為例，國內銀行就能和立陶宛的企業進行金融往來，或是我國業者存取立陶宛的Fintech等，透過彼此承認數位簽章，可減少傳統上需透過國際快遞合約文件的過程，減少碳足跡。</p> <p>林俊秀指出，目前已有一些業者採用電子簽章，例如台北富邦銀行目前已完成全臺135間分行電子簽章服務建置，以往該行客戶辦理開戶、卡片掛失補發都需在紙本上簽名，導入電子簽章後，現在客戶只要在櫃臺的電子平板上電名即可，可減少櫃檯人員登打、提高作業效率，此外，無紙化也能減少紙張使用、實體文件倉儲的風險。</p> </div></div></div>
2024/2/29 17:23作者蘇文彬https://www.ithome.com.tw/news/161552
HPE和Kyndryl合作LTE/5G專網服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HPE與IT服務商Kyndryl本周在世界通訊大會（MWC）上<a href="https://www.prnewswire.com/news-releases/kyndryl-announces-global-alliance-and-private-5g-network-service-collaboration-with-hewlett-packard-enterprise-302070489.html" target="_blank">宣布</a>策略合作，Kyndryl將提供5G LTE企業專網的布建與整合服務給全球客戶。</p> <p>在這項合作下，前身為IBM基礎架構服務部門的Kyndryl將和HPE 5G專網設備部門Athonet共同開發5G/LTE專網服務方案。Athonet為HPE 2023年初<a href="https://athonet.com/what-we-do/" target="_blank">收購</a>的義大利私有行動核心網路平臺業者，HPE希望藉此擴展產品陣容從資料中心、雲端到企業邊緣網路。</p> <p>Kyndryl將提供部署服務，協助整合HPE Aruba企業有線、無線網路（Wi-Fi 6）環境以及Athonet的5G/LTE網路核心平臺。Kyndryl也將提供AIOps整合服務平臺Bridge，該平臺讓企業用戶得以掌握與管理多種雲端、混合雲上的IT資產及應用，實現自動化、減少網路斷線風險。</p> <p>Kyndryl原本就是HPE邊緣到雲端（Edge-to-Cloud）平臺的合作服務夥伴，雙方已為共同客戶提供多種運算即服務（Compute as a Service，CaaS）、多雲資料可攜、有線和WLAN（Wi-Fi 6）、勒索軟體與災難復原服務。</p> <p>除了HPE網路設備之外，Kyndryl也提供諾基亞（Nokia）及思科5G專網平臺的布建服務。</p> </div></div></div>
2024/2/29 12:39作者林妍溱https://www.ithome.com.tw/news/161546
HPE和Kyndryl合作LTE/5G專網服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HPE與IT服務商Kyndryl本周在世界通訊大會（MWC）上<a href="https://www.prnewswire.com/news-releases/kyndryl-announces-global-alliance-and-private-5g-network-service-collaboration-with-hewlett-packard-enterprise-302070489.html" target="_blank">宣布</a>策略合作，Kyndryl將提供5G LTE企業專網的布建與整合服務給全球客戶。</p> <p>在這項合作下，前身為IBM基礎架構服務部門的Kyndryl將和HPE 5G專網設備部門Athonet共同開發5G/LTE專網服務方案。Althonet為HPE 2023年初<a href="https://athonet.com/what-we-do/" target="_blank">收購</a>的義大利私有行動核心網路平臺業者，HPE希望藉此擴展產品陣容從資料中心、雲端到企業邊緣網路。</p> <p>Kyndryl將提供部署服務，協助整合HPE Aruba企業有線、無線網路（Wi-Fi 6）環境以及Athonet的5G/LTE網路核心平臺。Kyndryl也將提供AIOps整合服務平臺Bridge，該平臺讓企業用戶得以掌握與管理多種雲端、混合雲上的IT資產及應用，實現自動化、減少網路斷線風險。</p> <p>Kyndryl原本就是HPE邊緣到雲端（Edge-to-Cloud）平臺的合作服務夥伴，雙方已為共同客戶提供多種運算即服務（Compute as a Service，CaaS）、多雲資料可攜、有線和WLAN（Wi-Fi 6）、勒索軟體與災難復原服務。</p> <p>除了HPE網路設備之外，Kyndryl也提供諾基亞（Nokia）及思科5G專網平臺的布建服務。</p> </div></div></div>
2024/2/29 12:39作者林妍溱https://www.ithome.com.tw/news/161543
拜登發布行政命令，禁止輸出美國人的敏感個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統拜登（Joe Biden）周三（2/28）<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/02/28/fact-sheet-president-biden-issues-sweeping-executive-order-to-protect-americans-sensitive-personal-data/" target="_blank">發布一項行政命令</a>，意欲保護美國人的敏感個資，包括基因組資料、個人健康資料、地理位置資料、財務資料及特定類型的身分資訊等，避免它們流入外國情報機構，進而帶來隱私、勒索、或國家安全的風險。此一命令將由美國司法部與各部門協定，並負責制定規則及執行。</p> <p>美國司法部同一天即<a href="https://www.justice.gov/opa/pr/justice-department-implement-groundbreaking-executive-order-addressing-national-security" target="_blank">發布聲明</a>，指出旗下的國家安全部門將會發布所擬規則的預先通知（Advance Notice of Proposed Rulemaking，ANPRM），以徵求公眾意見，且考慮將中國、俄羅斯、伊朗、北韓、古巴及委內瑞拉列為此一計畫的首要關注國家。</p> <p>白宮表示，企業正在蒐集大量的美國人資料，也經常透過資料掮客合法出售或轉售，然而，商業資料掮客與其它企業可將這些資料出售給美國有顧慮的國家，或是由這些國家控制的實體，進而落入外國情報部門、軍隊，或是由外國政府所控制的企業手上。</p> <p>美國司法部長Merrick Garland指出，美國的對手正在利用美國人的敏感資料來威脅美國的國家安全，它們購買這些資料是為了勒索與監視那些政見與之不同的美國人，並從事其它惡意活動。助理司法部長Matthew Olsen也說，敵對的外國勢力正在將大量資料與AI武器化，且針對美國人，本周的宣告替司法部提供一個強大的執法工具，以避免美國人及其敏感資料遭到對手利用。</p> <p>此一ANPRM將描述禁止輸出的個資類別或是特定的政府資料，包括禁止基因組資料的傳輸，以及對供應商、受僱及投資協議的限制，但也會豁免與金融服務相關的資料交易，放行低風險的商業活動。</p> <p>美國司法部將會透過Regulations.gov接受外界對該ANPRM的看法及意見，開放時間為45天，之後才會提出正式法規。</p> </div></div></div>
2024/2/29 13:16作者陳曉莉https://www.ithome.com.tw/news/161545
竊資軟體是2023年最流行的惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供MDR服務的Mandiant Managed Defense團隊上週五發布<a href="https://cloud.google.com/blog/products/identity-security/a-year-in-the-cybersecurity-trenches-with-mandiant-managed-defense">2023年度資安回顧</a>，當中開宗明義指出，Infostealer（竊資軟體）是2023 年最普遍運用的惡意軟體類型，根據他們的觀察，這股趨勢的存在，符合地下論壇和市場對遭竊資料的需求和供應。</p> <p>因為對於網路犯罪分子而言，竊資軟體的確是有利可圖的，經由此種方式所得到的資料，可用於勒索，或促使入侵的多個階段得以更快推進。例如，透過竊資軟體的幫忙，歹徒可以拿到的身分憑證，以便初步存取（initial access）階段滲透，或在內部網路進行橫向移動，同時，他們還能藉此收集目標所在環境的相關資訊。而這些透過偵察而拿到的資料，可用於設計後續的攻擊手段，從而大幅提升資料外洩的嚴重程度和衝擊。</p> <p>為何竊資軟體能夠潛入目標對象的環境當中？一般而言，這類惡意軟體通常會以破解註冊授權的軟體或盜版軟體，作為誘餌，之後進行散播，為了能夠更有效地分送，將竊資軟體植入受害者的系統，網路犯罪分子使用社交工程和搜尋引擎最佳化（SEO）的策略。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure_1_GRAF-2137_UNC4864_Attck_Chain_V2-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure_1_GRAF-2137_UNC4864_Attck_Chain_V2-web.jpg" style="width: 600px;" /></a></p> <p>舉例來說，去年7月，Mandiant Managed Defense團隊就發現這樣的惡意活動，對方使用假造的兩套免費、開放原始碼軟體安裝程式作為誘餌（一是書目管理軟體Zotero，另一是知名的線上筆記與協作服務Notion），結果他們就真的以這種非授權的手段拿到目標設備的存取權。由此可知，類似此種具有特定主題性質的網路攻擊誘餌，證明網路犯罪分子能夠輕鬆地針對特定行業和組織進行攻擊，而且使用量身打造的滲透手法。</p> <p> </p> </div></div></div>
2024/2/29 12:11作者李宗翰https://www.ithome.com.tw/news/161541
Humane與韓國SK Telecom簽定投資、業務合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新創公司<a href="https://humane.com/media/humane-and-sk-telecom" target="_blank">Humane周三宣布</a>與韓國最大電信業者SK Telecom周三宣布一系列合作，包括技術整合、授權，以及對這家公司的投資。</p> <p>在這項合作中，SK Telecom（SKT）透過一筆為數不詳的投資，成為Ai Pin在南韓的獨家電信合作夥伴，也將整合Humane的AI技術及SKT的行動網路、IoT、雲端、AI及5G技術。除了Ai Pin外，SKT也取得Humane CosmOS授權，開發新服務。</p> <p>Humane是蘋果前設計師Imran Chaudhri及軟體開發員工Bethany Bongiorno成立的新創公司，去年Humane公布的無螢幕穿戴裝置Ai Pin，這款裝置可放在胸前口袋，用戶可透過聲控與AI助理對話，完成以往在智慧型手機上執行的任務，包括收發信件、電話、查閱行事曆、搜尋資訊等，使用者也能以投放在掌心或桌面的光學介面和Ai Pin後端的系統互動。</p> <p>去年底Humane<a href="https://www.ithome.com.tw/news/160516" target="_blank">宣布</a>Ai Pin開放預購，並預計在今年三月開始在美國出貨。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0229-humane-press-aipin-family-500.png" style="width: 500px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0229-Humane-MWC%2024-600.png" style="width: 600px;" /></p> <p>Humane表示，和SKT的合作旨在革新消費者的AI體驗、擴大市場普及率，與壯大第三方服務生態系。這項合作是看中Humane的AI和創新裝置，以及SKT的3,250萬訂閱用戶。雙方將發展新的訂閱服務，為底層OS及應用程式，包括SKT的AI服務A.dot平臺尋找新的營收機會。</p> <p>SKT也希望藉AI活化其服務。本周SKT才<a href="https://blog.perplexity.ai/blog/perplexity-pro-is-coming-to-all-sk-telecom-users" target="_blank">宣布</a>投資AI新創公司Perplexity AI，以後者的LLM為基礎為用戶提供AI助理，取代舊有Naver的技術。</p> <p>在南韓推出之前，Ai Pin預定三月會在美出貨，售價699美元並需要綁定電信服務，後者為每月24美元。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Humane</span></span></p> </div></div></div>
2024/2/29 12:29作者林妍溱https://www.ithome.com.tw/news/161542
Sony與EA分別裁撤8%及5%人力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Sony Interactive Entertainment（SIE）與藝電（Electronic Arts，EA）分別在27日與28日宣布裁員措施，其中，<a href="https://sonyinteractive.com/en/news/blog/difficult-news-about-our-workforce/" target="_blank">SIE</a>將裁撤PlayStation部門的900名員工，約占其全球總員工數的8%，<a href="https://www.ea.com/news/continuing-to-evolve-our-business-and-teams?isLocalized=true" target="_blank">EA</a>則準備裁撤5%的人力，約為700名員工。</p> <p>SIE執行長Jim Ryan本周發表了一封信件予公司員工，說明SIE的組織重整計畫，表示將精簡資源以確保未來的持續成功，因此將裁撤900名員工，將對所有SIE市場的員工與多家PlayStation工作室造成影響，包括關閉倫敦的所有工作室，位於英國的Firesprite及荷蘭的Guerrilla工作室都會縮編。</p> <p>PlayStation工作室負責人Hermen Hulst<a href="https://sonyinteractive.com/en/news/blog/an-important-update-from-playstation-studios/" target="_blank">則說</a>，在PlayStation 5邁入第四年之際，SIE需要退一步檢視其業務需求，在此同時，遊戲產業在創造與遊戲的方式經歷了根本性變化；PlayStation Studios以其引人入勝、敘事驅動的故事而聞名，要達到原本追求的品質標準，便必須重新評估其營運方式；不管是要提供及維持社交及網路上的體驗，或者是在PC及行動裝置上推出遊戲，都需要不同的方法與資源。</p> <p>同屬遊戲領域的EA亦發現玩家的需求與動機發生了變化，並準備簡化公司經營，包括淘汰特定遊戲，並終止那些不會成功的IP的開發，計畫裁撤5%人力。EA去年3月已裁撤了6%員工。</p> <p>遊戲產業也是COVID-19疫情時代受惠的領域，與其它科技業者一樣，都在疫情期間大量招聘員工，目前看來仍處於後疫情時代的裁員潮。</p> </div></div></div>
2024/2/29 13:01作者陳曉莉https://www.ithome.com.tw/news/161544
兆勤公告與修補防火牆與無線基地臺存在漏洞，若不修補，可能無法因應RCE、命令注入等攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月21日資安業者兆勤科技（Zyxel Networks）發布資安公告，<a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-and-aps-02-21-2024">揭露CVE-2023-6397、CVE-2023-6398、CVE-2023-6399、CVE-2023-6764等4個漏洞</a>，這些漏洞影響該公司旗下ATP、USG Flex、USG Flex H系列防火牆設備，但CVE-2023-6398也影響約20款Wi-Fi無線基地臺設備。</p> <p>其中，CVE-2023-6764、CVE-2023-6399皆與IPSec VPN功能有關，為格式字串（format string）漏洞，但又以CVE-2023-6764最值得留意，此漏洞能被用於未經授權的遠端執行程式碼（RCE）攻擊，若是攻擊者發送含有無效指標的特製酬載，就有可能觸發，<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-6764">此漏洞的CVSS風險評分達到8.1</a>，是本次危險程度最高的漏洞。</p> <p>雖然兆勤在公告裡提及，攻擊者想要利用漏洞，必須詳細掌握防火牆設備的配置，但<a href="https://www.facebook.com/TrapaSec/posts/pfbid033YCZHqCpHZKfc5aXvVXwM17z8ifsg6qHXX12eXsQU9HQLYQenahTKmZXSmiUXRABl">通報漏洞的資安業者TRAPA Security指出</a>，此預先身分驗證的RCE漏洞最值得留意，因為攻擊者一旦將其利用，可在無須身分驗證的情況下，從WAN端獲得設備的最高權限，並執行任意程式碼。</p> <p>另一個也相當值得留意的漏洞，是評為高風險等級的後身分驗證命令注入漏洞CVE-2023-6398，因為具管理員權限的攻擊者可透過FTP功能，對存在漏洞的防火牆或無線基地臺發動攻擊，從而執行部分的作業系統命令，<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-6398">CVSS風險評為7.2</a>。</p> </div></div></div>
2024/2/29 11:21作者周峻佑https://www.ithome.com.tw/news/161538
蘋果傳終止Project Titan，專注發展AI、Vision Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2024-02-27/apple-cancels-work-on-electric-car-shifts-team-to-generative-ai" target="_blank">《彭博》</a>報導，傳聞發展多年的蘋果電動車計畫Project Titan已經正式被終止，也將裁減相關人員。</p> <p>報導引述消息人士指出，蘋果營運長Jeff Williams和負責Project Titan主管Kevin Lynch本周發信通知團隊這項消息。團隊部份人員將會被轉調至生成式AI部門，其他人有90天可以尋找公司內其他部門的職位，或拿錢離開公司。<a href="https://www.bloomberg.com/news/articles/2024-02-28/apple-cancels-its-electric-car-in-favor-of-ai-vision-pro" target="_blank">彭博指出</a>，透過這項縮編，蘋果計畫將資源集中在開發AI及智慧頭戴裝置Vision Pro。</p> <p>蘋果拒絕評論此事。</p> <p>蘋果發展電動車傳聞已流傳多年，但蘋果始終沒有證實。媒體在2015年首次<a href="https://www.ithome.com.tw/news/107293" target="_blank">報導</a>蘋果在Project Titan下開發有自動駕駛能力的電動車，預定2020年問世。</p> <p>不過Project Titan進行並不順利，多次傳出高層換將、人員流動及裁員重組消息，汽車推出日期也一延再延，從2021、<a href="https://www.ithome.com.tw/news/141824" target="_blank">2024</a>，再到2028年。期間也傳聞蘋果從汽車大廠挖來多名重量級人士來主導計畫，包括BMW　i3主導功臣Ulrich Kranz及特斯拉的Doug Field等。2021年媒體報導原先負責Apple Watch的Kevin Lynch接掌Project Titan，並有消息指Project Titan不再發展汽車，將專注在自駕系統的開發。</p> <p><a href="https://techcrunch.com/2024/02/27/apple-cancels-electric-car-project-titan/" target="_blank">Techcrunch</a>報導，Project Titan最多曾有多達5,000人，在幾經計畫變更後，最近仍有1,400名員工。</p> <p>顯然今年以來科技界的裁員潮中，蘋果也被迫做出取捨。在Google、微軟相繼全速衝刺生成式AI的同時，執行長Tim Cook<a href="https://www.ithome.com.tw/news/161134" target="_blank">承諾</a>今年內將部署生成式AI。產業分析機構<a href="https://www.ithome.com.tw/news/161261" target="_blank">推測</a>蘋果為推進AI研發，已買了32家AI新創公司。</p> </div></div></div>
2024/2/29 09:01作者林妍溱https://www.ithome.com.tw/news/161531
Ivanti接連公布5個Connect Secure漏洞，有研究人員拆解韌體發現恐有大量弱點可被利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2019年資安業者Pulse Secure公布旗下的SSL VPN系統Pulse Connect Secure高風險漏洞CVE-2019-11510、CVE-2019-11539，隨後這些漏洞便成為駭客經常利用的對象。</p> <p>先是<a href="https://www.ithome.com.tw/news/132019">有研究人員公布細節</a>、察覺大規模的漏洞嘗試利用行動，後來更引起<a href="https://www.ithome.com.tw/news/133480">英國網路安全中心（NCSC）</a>、<a href="https://www.ithome.com.tw/news/137594">美國網路安全暨基礎設施安全局（CISA）</a>的警告。到了2020年，Ivanti併購Pulse Secure，經過數年的整併，這套SSL VPN系統的安全性是否得到改善？</p> <p>近期Ivanti揭露一系列的漏洞，讓這套系統的安全性再度浮上檯面。</p> <h3><span style="color:#0000FF;"><strong>高風險漏洞接連爆發，公布後皆遭駭客用於攻擊行動</strong></span></h3> <p><a href="https://www.ivanti.com/blog/security-update-for-ivanti-connect-secure-and-ivanti-policy-secure-gateways">今年1月上旬</a>，Ivanti針對Ivanti Connect Secure（原Pulse Connect Secure，簡稱ICS）、NAC解決方案Ivanti Policy Secure（IPS）發出公告，指出這些系統存在身分驗證繞過漏洞CVE-2023-46805、命令注入漏洞CVE-2024-21887，通報上述漏洞的資安業者Volexity指出，<a href="https://www.volexity.com/blog/2024/01/10/active-exploitation-of-two-zero-day-vulnerabilities-in-ivanti-connect-secure-vpn/">中國駭客組織UTA0178（亦稱UNC5221）已在去年底將其用於攻擊</a>。</p> <p>在公布上述漏洞後，Ivanti著手進行調查，3週後<a href="http://forums.ivanti.com/s/article/CVE-2024-21888-Privilege-Escalation-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure">揭露另外2個新漏洞</a>，這些是：網頁元件權限提升漏洞CVE-2024-21888、SAML元件SSRF漏洞CVE-2024-21893，並表明已有部分客戶遭到CVE-2024-21893漏洞利用攻擊，並先後於1月31日、2月1日針對不同版本的Connect Secure、Policy Secure，提供上述4個漏洞的修補程式。</p> <p>事隔一週，<a href="https://forums.ivanti.com/s/article/CVE-2024-22024-XXE-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure">2月8日Ivanti又公布第5個漏洞CVE-2024-22024</a>，此為SAML元件的XML外部實體（XXE）漏洞，並於8日至14日陸續上架各版本的更新程式。但值得留意的是，該公司在不到1個月的時間裡，公布了5個漏洞，其中有3個是在公開之前就遭到利用，另外2個則是在公布後也出現被利用的情況，這使得該產品線的安全性令人擔憂。</p> <p>後續有研究人員揭露新的發現，證實該系統確實存在大量容易受到攻擊的弱點，而成為駭客偏好下手的目標。</p> <h3><span style="color:#0000FF;"><strong>採用大量已不再受到支援的陳年元件、過期憑證，至少曝露近1千個已登記CVE編號的漏洞</strong></span></h3> <p>專精韌體安全的資安業者Eclypsium<a href="https://eclypsium.com/blog/flatlined-analyzing-pulse-secure-firmware-and-bypassing-integrity-checking/">取得ICS韌體ICS-9.1.18.2-24467.1版進行分析</a>，結果發現，此韌體底層執行的作業系統竟是已在2013年發布、2020年終止支援的CentOS 6.4，其Linux核心更是在2016年終止支援的2.6.32版，還有很多元件也相當老舊，而可能存在不會被修補的漏洞，例如：2017年終止支援的OpenSSL 1.0.2n、2010年終止支援的Python 2.6.6，以及2001年終止支援、32位元版本的Perl 5.6.1。</p> <p>唯一令研究人員意外的部分，是韌體裡採用的4.1.2版Bash（2010年推出），因為Ivanti修補了<a href="https://www.ithome.com.tw/news/91143">2014年出現的重大漏洞Shellshock</a>。</p> <p>此外，研究人員也在該系統找出大量弱點，包含973個已登記CVE編號的已知漏洞，其中有396個為高風險層級；他們也從76個Shell指令碼找到1,216個弱點、並在5,392個Python檔案找出5,218個漏洞，再者，該系統所使用的800個憑證當中，有133個已經過期。</p> <p>附帶一提的是，可能是基於防堵他人對ICS韌體及虛擬機器（VM）版本系統的檔案進行逆向工程、拆解，危害這類系統的完整性，Ivanti對於上述檔案進行加密處理，但沒有對加密的強度進行說明。</p> <p>研究人員認為該公司這麼做意義不大，原因是中國駭客仍能找出這套系統的漏洞並加以利用。而他們在研究的過程中，並未直接突破虛擬機器的加密防護，而是採用真實設備來取得分析所需的韌體。</p> <p>另一方面，有鑑於漏洞攻擊的肆虐，Ivanti提供了「完整性檢查工具（Integrity Checking Tool，ICT）」，讓企業組織檢查相關系統是否遭到入侵。</p> <p>這套工具內含物料清單（BOM）檔案目錄，並根據SHA256雜湊值比對系統檔案是否遭到竄改。但研究人員發現，用來執行比對的指令碼存在嚴重的邏輯錯誤，會略過部分的系統資料夾而不予比對，換言之，攻擊者可以將作案工具植入這些資料夾，以便持續存取受害伺服器，而IT人員執行上述的ICT工具卻不會察覺異狀。</p> <h3><span style="color:#0000FF;"><strong>修補程式等待時間長，IT人員須持續追蹤公告、安排套用緩解措施行程</strong></span></h3> <p>值得留意的是，Ivanti對這些漏洞發出公告與提供修補程式的時間並不一致，其中間隔最長的就是CVE-2023-46805、CVE-2024-21887，這兩個漏洞從公告到修補程式推出，間隔超過20天，但該公司發布資安公告不久就出現攻擊行動。這樣的情況，導致IT人員須持續追蹤公告、安排套用緩解措施及部署更新的行程，疲於奔命。</p> <p>話雖如此，研究人員發現，可透過網際網路存取的Ivanti系統，仍有超過半數未修補。</p> <p><a href="https://twitter.com/Shadowserver/status/1757721421252264400">2月14日Shadowserver基金會指出</a>，約有3,900臺Ivanti設備曝露於CVE-2024-22024的風險，此外，該基金會也提及仍有1,000臺主機存在CVE-2024-21887的弱點。</p> <p><a href="https://twitter.com/nekono_naha/status/1757971789035245814">研究人員Yutaka Sejiyama也公布調查結果</a>，他指出，截至2月15日為止，全球可透過網際網路存取的Ivanti主機有24,239臺，目前約有10,603臺套用1月31日的修補程式，但修補CVE-2024-22024的主機僅有5,107臺，換言之，至少約有1.3萬臺主機尚未修補上述漏洞。</p> <p>而在臺灣的部分，總共有672臺主機可透過網際網路存取，其中有164臺套用1月31日的修補程式，但修補CVE-2024-22024的主機，卻僅有9臺。</p> </div></div></div>
2024/2/28 23:00作者周峻佑https://www.ithome.com.tw/news/161530
Google前員工創立的AI新創公司Glean，獲花旗集團、Databricks投資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI創投熱潮正夯，由Google、微軟前工程師創立的<a href="https://www.businesswire.com/news/home/20240227101592/en/Glean-Announces-Over-200M-Series-D-to-Accelerate-Secure-Deployment-of-Generative-AI-in-the-Enterprise" target="_blank">AI新創公司Glean周二宣布</a>在D輪募資中，獲得花旗集團、Databricks與Workday投資，使市值達到22億美元。</p> <p>在新投資者加入，加上既有投資法人包括General Catalyst、紅杉資本（Sequoia Capital）、Kleiner Perkins和Lightspeed Venture Partners等，Glean現有公司市值估計為22億美元。其中，Kleiner Perkins也是雲端平臺Slack、Box及Figma的投資法人。</p> <p><a href="https://www.glean.com/" target="_blank">Glean</a>為2019年成立的AI搜尋與檢索增強生成（Retrieval Augmented Generation，RAG）解決方案供應商，提供以企業資料搜尋、知識管理、工作協同、AI助理等工具，支援業務、行銷、工程開發等團隊。公司共同創辦人暨執行長Arvind Jain來自Google，其餘成員如T.R. Vishwanath、Piyush Prahladka及Tony Gentilcore則有微軟、Google及Uber的經歷。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0228-Glean-04-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Glean</span></span></p> <p>Glean公司表示，該公司的搜尋及RAG技術使大型語言模型（LLM）得以發揮效果，在企業客戶積極部署生成式AI服務下，公司年度經常性收入（Annual Recurring Revenue）成長將近4倍，於1月截止的年營收由一年前的1,000萬美元成長到3,900萬美元，新簽約客戶包括金融作業平臺BILL、設計及出版線上工具商Canva及索尼電子等。</p> <p>Glean是最新一家獲得大筆創投資金的AI新創業者。本周稍早法國AI模型開發商<a href="https://www.ithome.com.tw/news/161515" target="_blank">Mistral AI也宣布</a>獲得微軟一筆金額不詳的資金，也將和微軟合作，成為其Azure平臺上的AI模型新方案。而同時Mistral AI也獲得Amazon青睞，登上其Bedrock AI雲端平臺。</p> </div></div></div>
2024/2/28 15:26作者林妍溱https://www.ithome.com.tw/news/161526
Motorola展示可扣在手腕上的概念智慧型手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周MWC 2024上聯想繼<a href="https://www.ithome.com.tw/news/161511" target="_blank">透明螢幕筆電</a>後，旗下手機部門Motorola也<a href="https://twitter.com/Moto/status/1762142344818946518/photo/4" target="_blank">展示了一款可撓式智慧型手機</a>，螢幕和機身皆可大幅彎曲，甚至扣在手腕上。</p> <p>這款可彎曲的智慧型手機去年10月已在Lenovo Tech World '23大會上現身。它是展示「適應性顯示器」（Adaptive Display）的概念手機，因此也可能永遠不會有產品問世。</p> <p>平常情況下，它是一款6.9吋螢幕的Android智慧型手機，但它顯示器使用可撓式FHD+pOLED面板，手機下方是織料包覆的脊椎式結構，可依據使用者需求一節節彎曲。它可以彎折底部使自己站立，甚至能折成C型，聯想還設計了磁性扣件以便手機整個扣在手腕上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0228-motorola-mwc-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Motorola</span></span></p> <p>這新設計承襲了幾年來Motorola折疊手機的研發成果。<a href="https://www.motorola.com/tw/zh/smartphones-motorola-razr-40-ultra-2023/p" target="_blank">去年已推出</a>了一款可撓式手機商品Razr 40 Ultra，也是採用6.9吋pOLED螢幕。</p> <p>但新一代手機將整合機上AI功能。聯想表示，這款手機具備AI情境感知（contextual awareness）」能力，可視彎曲程度調整介面，例如調整顯示尺寸、消除螢幕皺褶。手機彎曲時主要功能都能運作，包括手機自拍、觸控及特定應用程式。此外，當成手錶配戴時，手機內建的AI功能也可根據用戶當天穿著，產生相應色彩桌布以搭配服裝。聯想說，該公司計畫為旗下手機（不只是這款）加入LLM，以提供更方便的用戶協助。</p> </div></div></div>
2024/2/28 15:46作者林妍溱https://www.ithome.com.tw/news/161527
Google改進虛擬鍵盤Gboard所使用的差分隱私技術，提供更強的隱私保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google行動虛擬鍵盤應用程式Gboard中的所有下一個單字預測（Next Word Prediction，NWP）的神經網路語言模型，現在均採用<a href="https://blog.research.google/2024/02/advances-in-private-training-for.html">聯合學習（Federated Learning，FL），並且提供差分隱私保證</a>。另外，Google還進一步使用先進的演算法和增加參與模型訓練手機數量，來達到更高的隱私標準。</p> <p>Google從2017年以來，開始研究以聯合學習私密訓練Gboard語言模型，並在2022年正式應用差分隱私。聯合學習允許行動裝置在不共用資料的情況下協作訓練模型，而差分隱私則是提供資料匿名的可量化衡量標準。</p> <p>目前超過30多個Gboard裝置上語言模型，已經在超過7種語言和15個以上的國家中推出，並且具有差分隱私保證，Google提到，這是目前已知最大的用戶等級差分隱私部署，並且針對直接使用用戶資料訓練的模型提供差分隱私保證。</p> <p>Google向Gboard用戶提供資料使用相關資料，包括資料的使用目的、處理方式，並讓用戶可以簡單配置學習模型的資料使用。聯合學習只會聚合有助於特定模型改進的更新，來最小化資料使用量，而且Google所採用的安全聚合（SecAgg）加密方法，進一步保證聯合學習只能存取臨時更新的聚合結果，確保只有合併後的更新資訊會被用於改進模型，且不會使用任意個別用戶的資料。伺服器也應用差分隱私，來防止模型記住單一使用者訓練資料中的獨特資料。</p> <p>Gboard中所有打字預測模型都具差分隱私保證，代表著在使用用戶打字資料改善預測準確度的同時，也就能確保個人資料的匿名和安全。在聯合學習中，Gooogle透過使用多語言C4資料集預訓練模型，並在公共資料集中進行實驗模擬，找出一個最佳的雜訊比，使模型能夠有效運作卻又不會洩漏個人資料。在限制用戶於一定時間內只能貢獻模型一次，將有助於提升隱私，並且限制每次更新對模型的影響程度。</p> <p>而在運用差分隱私保護用戶打字隱私的同時，Google也持續改進差分隱私，將模型隱私保護強度提高至新的層級，特別是在巴西的葡萄牙語和拉丁美洲的西班牙語模型，官方提到，透過使用先進的MF-DP-FTRL演算法，並讓每輪參與伺服器模型更新的裝置增加至12,000個，就能達到更強的隱私保證。</p> <p>Google對聯合學習與差分隱私的研究，證實透過客戶端的參與度和系統演算法設計，實作差分隱私是可行的方法。當人群規模龐大且匯集大量裝置的貢獻時，隱私和效果都可達到較高的水準。而隱私審查結果證明了，即便是差分隱私最壞的情況發生，實際上其所提供的保護仍高於預期。</p> <p>目前Google正在研究機器學習相關的所有隱私方法，並且擴展差分隱私技術，使其可用於分散式系統，同時Google也在增加系統的可稽核性和可驗證性。</p> </div></div></div>
2024/2/28 14:09作者李建興https://www.ithome.com.tw/news/161525
Netflix開源可最佳化eBPF串流效能的工具bpftop
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Netflix公開了一款內部的命令列工具<a href="https://netflixtechblog.com/announcing-bpftop-streamlining-ebpf-performance-optimization-6a727c1ae2e5">bpftop</a>，該工具目的在於最佳化和監控eBPF程式效能，Netflix提到，由於他們逐漸增加採用eBPF技術的比例，因此也就需要更嚴謹地看待相關系統，確保既能發揮eBPF的好處，又不會造成系統過度負載，進而保證營運效率。</p> <p>eBPF（Extended Berkeley Packet Filter）是一種網路技術，用於作業系統核心執行網路相關過濾和分析功能，目前已經發展成為一個強大的工具，可進行各種核心層面的監測和操作，包括效能監測、網路安全、系統追蹤和日誌紀錄等。</p> <p>eBPF在Linux核心中運作，允許用戶自定義程式碼在核心中安全地運作，且不需要更改核心原始碼和載入核心模組，而這樣的靈活性，讓開發者可以動態地在系統上執行高效資料處理和分析程式，對於提高效能、強化安全和進行精細的系統控制非常有用。</p> <p>而Netflix的bpftop便是建立在eBPF基礎之上的命令列工具，bpftop可提供動態即時檢視圖，顯示執行中的eBPF程式平均執行時間、每秒事件數，以及估計總CPU使用率。而bpftop的優勢是能夠在工具活動時才啟用效能統計，以最小化效能開銷，同時bpftop提供時間序列表使用戶能夠清楚檢視統計資料，進而發現異常模式和趨勢。</p> <p>Bpftop使eBPF程式的效能最佳化過程變得簡單，用戶可有效地進行基準測試、程式碼改進，並且建立起即時回饋循環。官方提到，如果沒有bpftop的輔助，最佳化工作便需要手動計算，而這會使流程複雜得多。</p> </div></div></div>
2024/2/28 14:18作者李建興https://www.ithome.com.tw/news/161523
eBay與VMware等知名品牌的棄置網域被用來發送垃圾郵件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以色列資安業者<a href="https://labs.guard.io/subdomailing-thousands-of-hijacked-major-brand-subdomains-found-bombarding-users-with-millions-a5e5fb892935" target="_blank">Guardio近日揭露</a>了一起大規模的廣告/網釣郵件惡意活動SubdoMailing，主要利用眾多已遭知名品牌棄置的網域名稱或子網域來躲過電子郵件過濾機制，同時披露了執行該活動的組織ResurrecAds。受害品牌涵蓋MSN、VMware、McAfee、The Economist、Cornell University、CBS、Swatch與eBay等。</p> <p>Guardio追蹤了SubdoMailing近60天來的活動，顯示有超過8,000個網域名稱、逾1.3萬個子網域被駭客接管，每天傳送超過500萬封垃圾或惡意電子郵件。</p> <p>Guardio指出，駭客主要利用的媒介為CNAME與SPF。其中，CNAME的全名為Canonical Name，是網域名稱系統（DNS）中的一種資源紀錄，它能夠將A網域名稱對應到B網域名稱，以Guardio所發現的一個濫用marthastewart.msn.com網域名稱的活動為例，這是微軟MSN服務的子網域，它的CNAME紀錄被對應到msnmarthastewartsweeps.com，而後者是微軟在2001年5月所申請的網域，但在同年8月就被棄置。</p> <p>在2022年9月，駭客挾持了已無內容的marthastewart.msn.com，發現其CNAME紀錄中的msnmarthastewartsweeps.com屬於無人網域，於是便註冊了該網域，而能夠以等同於MSN的身分來發送電子郵件，躲過了電子郵件過濾機制。</p> <p>SPF全名則是寄件者政策框架（Sender Policy Framework），為一電子郵件驗證方式，可確保發送郵件的伺服器有權自發送者的網域寄出郵件，通常是在網域的DNS中存放了可用來代替該網域傳送郵件的伺服器及網域的SPF紀錄。</p> <p>然而，當品牌網域的電子郵件或行銷服務供應商不再運作，或者是這些供應商棄置了原來所使用的網域名稱時，駭客就會馬上取得這些網域的所有權，進而以品牌的名義發送大量的垃圾、廣告或惡意郵件。</p> <p>Guardio相信，ResurrecAds正持續且大規模地掃描網路上那些曾經存在、之後卻被遺忘的子網域，特別是那些擁有混亂CNAME紀錄的網域，接著快速註冊位於這些CNAME紀錄中的閒置網域，以取得這些品牌網域的控制權。</p> <p>利用這些品牌網域來發送垃圾郵件，不僅能逃過電子郵件過濾機制，還能順便降低使用者的危機意識。除了已發現遭到濫用的逾8,000個網域之外，Guardio還偵測到該數字以每天新增數百個的速度成長。</p> <p>懷疑某個子網域遭到濫用，或是想確定自家子網域安全性的使用者可透過<a href="https://guard.io/subdomailing" target="_blank">Guardio所提供的免費工具</a>進行檢查。</p> </div></div></div>
2024/2/27 17:01作者陳曉莉https://www.ithome.com.tw/news/161522
氣象署啟用第6代超級電腦，建置GPU運算系統加速發展AI天氣測報應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>交通部中央氣象署在周一正式啟用第6代氣象超級電腦，採用富士通[ 富岳] 超級電腦（Fugaku）的商用技術，算力達到10PFlops，為第5代氣象超級電腦的7倍之外，氣象署還額外建置GPU高速運算系統，採用Nvidia A100，加速AI測報及人才培育。</p> <p>在此之前，第5代氣象超級電腦是在2012年建置，採用富士通的「京」超級電腦技術，氣象署新近啟用的第6代超級電腦則是在2021到2023年，以15億元經費，3年3階段建置，去年底完成驗收，終於在本周一正式啟用，以取代第5代氣象超級電腦，第5代超級電腦將移至高雄科工館。</p> <p>第6代超級電腦採用目前在全球500大超級電腦排名第4的「富岳」超級電腦的商用技術，共有15個FX1000機櫃，總算力達10PFlops，為第5代超級電腦的7倍，按照富士通官網說明，FX1000每個機櫃擁有384節點系統，採用水冷式設計，每個節點搭載一顆Arm架構的A64FX處理器，為台積電7奈米製程，內含48個運算核心及4個輔助核心，搭配Tofu Interconnect D連接技術。</p> <p>去年11月公布的全球500大超級電腦排名，氣象署基於內部作業需要，第6代超級電腦分為2個系統，分為10個機櫃及5個機櫃（同地備援），前者以184,320個核心在全球超級電腦排名中排名第69名，後者以92,160個核心位居第140名。</p> <p>氣象署表示，第6代超級電腦啟用後，擴充後的算力，將使區域數值測報模式的水平解析度，從3公里縮減為1公里，對於複雜地形區域例如高山、盆地、海岸有更精細的天氣預測。</p> <p>特別的是，因應AI的快速發展及高效能運算的需求，氣象署也建置GPU架構系統，由24個伺服器組成，共採用192個Nvidia A100 GPU，算力可達2PFlops。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CWA-GPU.jpg" style="width: 600px; height: 270px;" /></p> <p>氣象署也預告將加速AI氣象預報應用發展，整合軟硬體資源，提出氣象署AI發展藍圖，加速天氣測報及跨領域應用，例如以臺灣鄰近區域的數值模式歷史資料作為訓練基礎，開發適用於臺灣鄰近區域的AI高解析度區域天氣預報模式，克服目前作業時效的瓶頸。</p> <p>為了利用這些GPU資源，氣象署指出，將會運用資料科學技術精進前端資料處理、資料同化、預測模式、後處理及傳播4個領域，與國內氣象測報相關的產、學界，以及國網中心合作，共同發展AI測報技術、人才培養，並提升國內高速運算的軟硬體組件產製、系統整合實力。</p> <p>今年為我國超級電腦送舊迎新的一年，除了氣象局啟用第6代超級電腦之外，國網中心將在今年第3季啟用CPU架構的臺灣杉4號，並且正在規畫GPU架構的臺灣杉5號，國網中心也以5年內將算力提升至100到200PFlops為目標，以滿足國內科學研究、AI應用的需求。</p> </div></div></div>
2024/2/27 17:54作者蘇文彬https://www.ithome.com.tw/news/161524
【資安日報】2月27日，知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客註冊特定名稱的網域並用於攻擊行動很常見，而且，過往這類手法最常見的做法，便是註冊與目標組織名稱類似的網域，企圖混淆使用者來達到目的，但最近，研究人員發現使用新型態手法的攻擊行動，駭客能夠繞過垃圾郵件過濾器或是郵件安全閘道的防護。</p> <p>特別的是，這次駭客是尋找知名企業組織棄用許久的網域名稱，並重新註冊納為己有，然後用這些網域、子網域來大量發送惡意郵件。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://labs.guard.io/subdomailing-thousands-of-hijacked-major-brand-subdomains-found-bombarding-users-with-millions-a5e5fb892935"><strong style="font-size: 22px;">知名品牌及組織8千個棄置網域、1.3萬個子網域遭到挾持，被用於發送垃圾郵件及從事網釣攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_9nX1dANEuVFeyc-edylY1w.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_9nX1dANEuVFeyc-edylY1w.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露大規模的子網域挾持攻擊行動SubdoMailing，駭客組織ResurrecAds約從2022年開始，針對超過8千個與知名品牌及機構有關的網域名稱、1.3萬個子網域下手，每天散播5百萬的垃圾郵件、網路釣魚郵件，利用資安系統對於這些合法網域的信任，從而將上述的惡意郵件傳送到攻擊目標。上述被冒用的品牌與組織，包含MSN、VMware、McAfee、經濟學人、康乃爾大學、賽門鐵克、eBay等。</p> <p>值得留意的是，駭客進行CNAME記錄與SPF有關的挾持攻擊，濫用這些企業組織棄用的網域名稱、子網域名稱，使得惡意郵件能繞過垃圾郵件的過濾機制，在特定情況下，攻擊者還能藉由SPF及DKIM的電子郵件政策，欺騙郵件安全閘道這些電子郵件是安全的。</p> <p><a href="https://www.verfassungsschutz.de/SharedDocs/publikationen/DE/cyberabwehr/2024-02-19-joint-cyber-security-advisory-englisch.pdf?__blob=publicationFile&v=2"><strong style="font-size: 22px;">德國、韓國提出警告，北韓駭客針對全球國防單位從事網路間諜行動</strong></a></p> <p></p> <p>2月19日德國聯邦情報機構（BfV）、韓國國家情報局（NIS）聯手，對北韓政府針對全球國防部門從事網路間諜活動的情況提出警告，指出包含Lazarus在內的駭客組織企圖竊取軍事技術資料，從而協助該國提升軍事能力。</p> <p>上述機構針對供應鏈攻擊及社交工程攻擊的事故進行說明，其中供應鏈攻擊的事故發生於2022年，駭客先是入侵維護廠商竊取SSH帳密，從而存取海事及航運技術研究中心的Linux網頁伺服器主機，並透過curl從C2下載、部署作案工具，然後進行橫向移動，最後冒充網路安全管理員，企圖對員工電腦散布惡意修補檔案，所幸後來正牌管理者予以攔截。</p> <p>另一起事故則是與Lazarus的攻擊行動Operation Dream Job有關，原本這些駭客的攻擊目標是加密貨幣業者的員工及軟體開發人員，但如今發現國防機構也遭遇相關攻擊。駭客先是假冒特定人士在網路求職網站經營帳號，然後接近國防組織的員工並建立關係，取得信任後再藉由提供職缺來散布惡意程式，從而感染受害電腦並於公司網路進行橫向移動。</p> <p><a href="https://www.volexity.com/blog/2024/02/13/charmingcypress-innovating-persistence/"><strong style="font-size: 22px;">伊朗駭客組織Charming Kitten鎖定中東人士散布後門Basicstar</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/BasicStar002-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BasicStar002-1.png" style="width: 300px; float: right;" /></a>資安業者Volexity指出，暱稱為CharmingCypress、Mint Sandstorm、TA453的伊朗駭客組織Charming Kitten，於去年9月至10月佯裝成國際伊朗研究所（IIIS）從事一系列網路釣魚攻擊，透過電子郵件邀請目標人士參與假的網路研討會，其攻擊特徵包含利用外流的合法電子郵件信箱及多個駭客掌控的電子郵件信箱，進行多角色模擬（Multi-Persona Impersonation，MPI），來引誘受害者上當。</p> <p>待時機成熟，對方就會寄送包含Windows捷徑（LNK）或RAR壓縮檔附件的釣魚郵件，從而在目標電腦部署以VBS指令碼打造的惡意程式BasicStar，此惡意軟體能收集系統資訊並執行C2下達的命令，也能對受害者顯示誘餌PDF檔案。</p> <p>值得留意的是，這起攻擊行動不光針對Windows使用者，macOS使用者的電腦也有可能感染後門程式NokNok。</p> <p><a href="https://www.bleepingcomputer.com/news/security/steel-giant-thyssenkrupp-confirms-cyberattack-on-automotive-division/"><strong style="font-size: 22px;">鋼鐵供應商ThyssenKrupp傳出遭到網路攻擊，汽車部門關閉IT系統因應</strong></a></p> <p></p> <p>大型鋼鐵生產商ThyssenKrupp的汽車部門上週遭到駭客攻擊，對方入侵IT系統，迫使他們關閉部分系統以阻止攻擊蔓延。該公司證實此事，並表示此次攻擊影響他們的汽車車身生產部門，但尚未出現客戶資料遭竊的跡象。</p> <p>這起事故的公開，最早是2月23日德國新聞媒體Saarbruecker Zeitung揭露，並指出該公司位於薩爾蘭、有超過1千名專家的工廠直接受到影響，對此ThyssenKrupp向資安新聞網站Bleeping Computer透露，該工廠生產的確出現中斷，但對於客戶的供應並未受到影響。</p> <p><a href="https://newsroom.ibm.com/2024-02-21-IBM-Report-Identity-Comes-Under-Attack,-Straining-Enterprises-Recovery-Time-from-Breaches"><strong style="font-size: 22px;">利用外流的合法帳密是駭客偏好入侵目標組織的管道</strong></a></p> <p>2月21日IBM發布2024年的威脅情報指標分析X-Force Threat Intelligence Index 2024，指出相較於前1年資安環境而言，攻擊者利用遭竊或是外流的帳密資料進行網路攻擊的情況增加71%，與資料外洩有關的資安事故比例是32%，而且，比起加密檔案再向受害組織勒索，駭客傾向直接利用竊得的資料或將其出售。此外，研究人員表示，隨著人工智慧解決方案快速成長，攻擊者將會更積極投資、開發具成本效益的攻擊工具。</p> <p>而對於駭客偏好入侵目標組織的手段，研究人員發現，通常傾向採用成本較低的方法，其中盜用合法帳密在2023年最為常見，他們發現針對AD帳密的網域滲透攻擊（Kerberoasting）事件數量，較2022年翻倍，原因是企業要區分合法帳號是否遭到冒用極為困難，因此攻擊者普遍傾向透過社交工程及詐騙手段來騙取帳密資料，而非尋找資訊系統弱點入侵。</p> <p><a href="https://www.resecurity.com/blog/article/global-malicious-activity-targeting-elections-is-skyrocketing"><strong style="font-size: 22px;">鎖定全球選舉的惡意網路活動升溫</strong></a></p> <p>2024年總共有64個國家及歐盟即將舉行大型選舉，投票民眾多達20億，資安業者Resecurity對此政治態勢提出警告，因為相關的網路攻擊等惡意活動也隨之增加，研究人員指出，從2023年至2024年初的攻擊行動，較前期調查增加了100%，他們將相關的惡意活動歸納成下列五大類：</p> <p>（一）針對選舉基礎設施的網路攻擊；<br /> （二）針對政黨、競選活動、公職人員的網路攻擊；<br /> （三）協助或傷害政治團體、競選活動、公職人員的影響活動；<br /> （四）影響輿論並企圖造成社會分裂的活動；<br /> （五）影響政策制定的活動。</p> <p>研究人員舉出包括臺灣在內等17個國家的攻擊行動，並以臺灣今年1月總統及立委選舉的情況為例說明。根據資安業者的觀察，中國駭客在投票日前幾天進行大規模的網路攻擊，但研究人員指出，可能更早之前就有人企圖操縱這場選舉──他們疑似在去年3月打算購買選民投票意向的資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/canon-patches-7-critical-vulnerabilities-in-small-office-printers/"><strong style="font-size: 22px;">Canon修補小型辦公室印表機重大漏洞</strong></a></p> <p></p> <p>2月5日Canon發布資安公告，指出該廠牌小型辦公室多功能印表機、雷射印表機存在7個重大層級的記憶體緩衝區溢位漏洞CVE-2023-6229、CVE-2023-6230、CVE-2023-6231、CVE-2023-6232、CVE-2023-6233、CVE-2023-6234、CVE-2024-0244，一旦這些印表機直接連上網際網路，未經身分驗證的攻擊者就有機會執行任意程式碼，或是發動阻斷服務（DoS）攻擊，這些漏洞的CVSS風險評分皆達到9.8。</p> <p>根據該公司的公告，上述漏洞影響銷售<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">日本</span>、北美、<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">歐洲等地區</span>的印表機，並存在早於03.07版的韌體，他們也提供新版韌體修補上述漏洞，這些重大層級的漏洞尚未出現遭到利用的跡象。值得留意的是，該公司在相關網站上公布的資訊相當不一致，其中又以PSIRT網站的資訊最為缺乏，僅公告漏洞CVE編號並透露漏洞類型，卻沒有列出受影響的產品機種、韌體版本，也無從得知是否有修補程式。</p> <p>臺灣佳能也對這些漏洞發布公告，並指出imageCLASS LBP及imageCLASS MF產品線當中，各有2款機種受到影響。</p> <p>資料來源</p> <p>1. <a href="https://psirt.canon/advisory-information/cp2024-001/">https://psirt.canon/advisory-information/cp2024-001/</a><br /> 2. <a href="https://canon.jp/support/support-info/240205vulnerability-response">https://canon.jp/support/support-info/240205vulnerability-response</a><br /> 3. <a href="https://www.usa.canon.com/support/canon-product-advisories/Service-Notice-Regarding-Vulnerability-Measure-Against-Buffer-Overflow-for-Laser-Printers-and-Small-Office-Multifunctional-Printers">https://www.usa.canon.com/support/canon-product-advisories/Service-Notice-Regarding-Vulnerability-Measure-Against-Buffer-Overflow-for-Laser-Printers-and-Small-Office-Multifunctional-Printers</a><br /> 4. <a href="https://www.canon-europe.com/support/product-security-latest-news/">https://www.canon-europe.com/support/product-security-latest-news/</a><br /> 5. <a href="https://tw.canon/zh_TW/support/regarding-vulnerability-measure-against-buffer-overflow-for-laser-printers-and-small-office-multifunction-printers/notice?range=4&category=9">https://tw.canon/zh_TW/support/regarding-vulnerability-measure-against-buffer-overflow-for-laser-printers-and-small-office-multifunction-printers/notice?range=4&category=9</a></p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-csrf-KnnZDMj3"><strong style="font-size: 22px;">思科修補整合通訊閘道系統Expressway的CSRF漏洞</strong></a></p> <p></p> <p>2月7日思科針對旗下的整合通訊閘道系統Expressway發布資安公告，指出此系統存在數個可被用於跨網站請求偽造（CSRF）攻擊的漏洞，攻擊者可在未經身分驗證的情況下，遠端進行利用，從而執行任意行為，其中的CVE-2024-20254、CVE-2024-20255存在於預設組態，CVE-2024-20252則是針對叢集資料庫（CDB）API功能已啟用的系統。</p> <p>上述漏洞危險程度較高的是CVE-2024-20252、CVE-2024-20254，這兩個漏洞發生的原因是網頁管理介面對於CSRF層面的防護不足所致，攻擊者若是能誘使與API有關的使用者存取偽造的連結，就有機會取得該名使用者的權限，假如受害使用者具有管理者身分，攻擊者就有機會竄改系統組態並建立新的特權帳號，這兩個漏洞的CVSS風險評分皆達到9.6。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework"><strong style="font-size: 22px;">NIST網路安全框架2.0正式推出</strong></a></p> <p></p> <p>為協助關鍵基礎設施等企業組織降低資安風險，2014年美國國家標準暨技術研究所（NIST）首度根據美國總統行政命令推出網路安全框架（Cybersecurity Framework，CSF），事隔10年他們推出2.0重大改版。</p> <p>新版框架強調適用範圍更為全面，能涵蓋小型學校、非營利組織，以及大型的企業與機構。在CSF既有的5大層面：識別、防護、偵測、回應、復原之外，CSF 2.0新增第6個面向「治理（Govern）」；同時，此框架也納入了供應鏈的風險評估。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2024/02/22/announcing-microsofts-open-automation-framework-to-red-team-generative-ai-systems/"><strong style="font-size: 22px;">微軟針對生成式AI推出自動化紅隊演練工具PyRIT</strong></a></p> <p></p> <p>2月22日微軟針對生成式AI系統的使用，在GitHub發布紅隊演練工具Python Risk Identification Toolkit for generative AI（PyRIT），能用於自動辨識大型語言模型（LLM）可能存在風險的弱點，例如：生成惡意程式、越獄或是資料竊盜等濫用行為。</p> <p>資安人員可透過PyRIT先傳送惡意的提示到特定的生成式AI系統，收到回應後，再將這些內容傳至評分引擎，接著根據評分引擎處理的結果，去產生新的提示，並以此輸入生成式AI系統，不斷循環，直到實現研究人員所設定的目標為止。根據微軟的測試，利用PyRIT針對Copilot進行紅隊演練，原本測試需要數個星期，可縮短至幾小時。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-14-year-old-cms-editor-on-govt-edu-sites-for-seo-poisoning/"><strong><span style="font-size: 20px;">已終止維護的CMS編輯器FCKeditor遭到濫用，對政府機關與教育單位網站進行SEO中毒攻擊</span></strong></a></p> <p></p> <p><strong><a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-and-aps-02-21-2024"><span style="font-size: 20px;">兆勤針對防火牆與AP可被用於發動DoS攻擊、命令注入的漏洞發出公告</span></a></strong></p> <p></p> <p><a href="https://blog.morphisec.com/unveiling-uac-0184-the-remcos-rat-steganography-saga"><strong><span style="font-size: 20px;">惡意程式載入工具Idat被用於散布RAT木馬Remcos</span></strong></a></p> <p></p> <p><a href="https://www.cbc.ca/news/politics/cybersecurity-breach-rcmp-1.7123787"><strong><span style="font-size: 20px;">加拿大皇家騎警遭遇網路攻擊，強調並未影響業務及民眾安全</span></strong></a></p> <p></p> <p><strong><a href="https://www.whitehouse.gov/wp-content/uploads/2024/02/Final-ONCD-Technical-Report.pdf"><span style="font-size: 20px;">美國政府呼籲開發人員改用記憶體安全的程式語言</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161467"><strong>【2月26日】勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161450"><strong>【2月23日】遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161422"><strong>【2月22日】鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害組織</strong></a></p> </div></div></div>
2024/2/27 15:18作者周峻佑https://www.ithome.com.tw/news/161517
Nvidia發表兩款新的AI筆電GPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/rtx-ada-ai-workflows/" target="_blank">Nvidia本周一（2/26）發表</a>了兩款基於Ada Lovelace架構的AI筆電GPU：RTX 500與RTX 1000，加上<a href="https://www.ithome.com.tw/review/158433" target="_blank">去年所發表的</a>、相對高階的RTX 5000、RTX 4000、RTX 3500、RTX 3000與RTX 2000，使其RTX Ada系列的筆電GPU家族成員總數達到7個。</p> <p>RTX Ada系列的GPU都被列為行動工作站產品，適用於高階筆電，也都支援AI，主要的差別在於各種核心數量、記憶體容量與記憶體頻寬等。配備RTX Ada的行動工作站都將含有一個神經處理單元（NPU），一個CPU元件，以及一個內含Tensor核心的RTX GPU；其中，NPU可用來處理輕型的AI任務，GPU則可額外提供682 TOPS的AI效能，以滿足要求更高的日常AI任務。</p> <p>Nvidia表示，GPU所帶來的更高等級的AI加速能力對於處理各種AI任務非常有用，例如採用高品質AI效果的視訊會議、具備AI升級能力的串流影片，也能更快執行生成式AI或內容創作應用。</p> <p>相較於只使用CPU的配置，RTX 500 GPU在基於Stable Diffusion模型的生成式AI效能可達14倍，以AI來編輯照片的效能是3倍，圖像3D渲染的效能則是10倍。</p> <p>有鑑於AI應用的快速興起，RTX Ada系列GPU並非針對遊戲玩家，而是鎖定3D創作者、採用AI聊天機器人的企業，以及專注於資料科學或訓練AI模型的研究人員與科學家。</p> <p>Nvidia預期包括Dell、HP、聯想與MSI都會在今年春天，推出採用RTX 500與RTX 1000的筆電。</p> </div></div></div>
2024/2/27 15:23作者陳曉莉https://www.ithome.com.tw/news/161518
NIST發布CSF網路安全框架2.0版，新增「治理」功能，並提供5種快速入門指南幫助企業組織上手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由美國國家標準與技術研究所（NIST）發布的<a href="https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf">NIST CSF網路安全框架，在今日（2月26日）正式釋出2.0版本</a>，這一新版本擴展了其適用範圍，不僅涵蓋了最早重點關注的關鍵基礎設施，而且適用於各類型的組織，更關鍵的是，新版本框架在原有5個核心功能（識別、保護、偵測、回應、復原）的基礎上，增加了第6個功能「治理」，可讓網路安全風險的生命週期管理更為健全。</p> <p>基本上，若要有效實踐企業的網路安全防護，企業必須建立能夠觀照全局的資安策略，近年來，美國國家標準與技術研究所（NIST）所發布的NIST網路安全框架（Cybersecurity Framework，CSF），已成為各界強化資訊安全防禦的重要參考，因為該框架具有彈性且易於實施的特性，而且能夠適用於不同類型的組織。對於還未有完善資安規畫的企業而言，更是可以帶來明顯的幫助。事實上，<a href="https://www.ithome.com.tw/article/133173">NIST CSF 1.1版在2018年釋出後，已開始受到廣泛企業的關注</a>。</p> <p>然而，儘管許多組織認為目前版本的CSF 1.1仍然有效應對網路安全風險，但NIST認為，考慮到技術與風險的變化，對這個框架進行一些改變仍是必要的。他們希望內容更加清晰明確，並移除複雜的術語，使框架能夠更適用於所有企業。因此，NIST在2023年4月首次公布NIST CSF 2.0的草案，對外徵詢意見。</p> <p>如今，NIST CSF 2.0版正式發布後，該框架已演進為六大核心功能，也就是治理（Govern）、識別（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）、復原（Recover），這也意味著，將網路安全風險管理提升到組織營運戰略層面，確保高階主管對於網路安全風險的關注，如同企業對於財務、聲譽的重視。</p> <p>基本上，這次框架的改版並未帶來重大改變，而是反映在不同產業和技術領域的廣泛應用，以及許多產業加強網路安全監管的趨勢。</p> <p>值得我們注意的是，這次NIST為了幫助企業更容易實踐CSF，同時提供一系列的資源與工具，便於將CSF應用於組織內部。</p> <p>其中有3項資源，最值得企業關注，包括：快速入門指南（CSF 2.0 Quick Start Guides）、參考工具（CSF 2.0 Reference Tool），以及CPRT網路安全與隱私參考工具（CSF 2.0 Dataset on CPRT）。</p> <p>以快速入門指南為例，目前NIST在此提供5種類型的內容，包括：（一）<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1300.pdf">小型企業（SMB）的快速入門指南</a>，（二）<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1301.pdf">建立與使用組織概況的使用指南</a>，（三）<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1302.ipd.pdf">使用CSF成熟度層級的指南</a>，（四）<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1305.ipd.pdf">網路安全供應鏈風險管理（C-SCRM）的快速入門指南</a>，（五）<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1303.ipd.pdf">企業風險管理（ERM）實踐者的快速入門指南</a>。另外，還有一份關於<a href="https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.32.ipd.pdf">建立社群的指南</a>。</p> <p>在參考工具方面，新版內容簡化組織實施CSF的流程，用戶可瀏覽、搜尋與匯出CSF核心指南的資料和細節。另外還有一份資訊參考目錄，包含各種相關參考資料，企業也能透過這個目錄，將CSF的指南與其他50多份網路安全文件做交叉對比。</p> <p>至於<a href="https://csrc.nist.gov/projects/cprt/catalog#/cprt/framework/version/CSF_2_0_0/home?element=all">CPRT工具方面</a>，最大特色是提供實踐範例，NIST針對6大功能、各項控制的子類別，提供較為具體的說明。例如，在治理功能下的網路安全供應鏈風險管理（GV.SC）一項，針對子類別GV.SC-06，就提供了4項實施範例說明，包括：針對潛在供應商進行徹底盡職調查，評估潛在供應商的技術、資安能力與風險管理實務，根據業務與適當網路安全要求進行供應商風險評估，以及在採購與使用前需評估關鍵產品的真偽性、完整性與安全性。</p> <p>NIST表示，他們鼓勵所有組織使用CSF 2.0，以提升網路安全防護能力，因為企業組織可用來了解、評估、確定優先順序與溝通網路安全風險。這個框架對於促進內部和外部溝通特別有用，可用於不同內部團隊，或高層管理層到中階的管理人員，以及執行日常網路安全職責的人員。而且，CSF還將改善與供應商與合作夥伴的溝通，幫助組織將網路安全相關問題，可與更廣泛的企業風險管理戰略相互結合。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）NIST CSF 2_0的6大核心功能.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89NIST%20CSF%202_0%E7%9A%846%E5%A4%A7%E6%A0%B8%E5%BF%83%E5%8A%9F%E8%83%BD.jpg" style="width: 600px;" /></a></p> <p><strong>在2024年2月發布的NIST CSF 2.0版中，其核心功能已演進為6大構面，分別是：治理、識別、保護、偵測、回應、復原。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961A%EF%BC%89NIST%20CSF%202_0%E5%BF%AB%E9%80%9F%E5%85%A5%E9%96%80%20%E5%B0%8F%E5%9E%8B%E4%BC%81%E6%A5%AD.jpg" style="width: 600px;" /></p> <p><strong>NIST針對CSF 2.0版新提供快速入門指南的資源，目的在為不同類型的使用者提供客製化的入門途徑，並使其更容易付諸實踐，像是針對小型企業提供專屬的指南，並從6大功能一一給予簡潔的入門建議。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89NIST%20CSF%202_0%20CPRT.jpg" style="width: 600px;" /></strong></p> <p><strong>在NIST針對CSF 2.0提供的資源中，為了幫助企業更好實現CSF 2.0子類別，文件內還附上了實踐範例，讓使用者有易於理解的步驟或說明可以參照。</strong></p> </div></div></div>
2024/2/27 11:45作者羅正漢https://www.ithome.com.tw/news/161512
Mistral AI發表Mistral Large模型及Le Chat聊天機器人，企圖與OpenAI較勁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甫於2023年4月才創立的Mistral AI於本周一（2/26）發表了<a href="https://mistral.ai/news/mistral-large/" target="_blank">大型語言模型Mistral Large</a>，以及<a href="https://mistral.ai/news/le-chat-mistral/" target="_blank">聊天機器人Le Chat預覽版</a>。同一天<a href="https://azure.microsoft.com/en-us/blog/microsoft-and-mistral-ai-announce-new-partnership-to-accelerate-ai-innovation-and-introduce-mistral-large-first-on-azure/" target="_blank">微軟亦宣布與Mistral AI建立新的合作夥伴關係</a>。Mistral Large不管是在MMLU、HellaSwag、Wino Grande或Arc Challenge （25-shot）的基準測試上，都緊跟OpenAI GPT 4之後，是備受外界矚目的後起之秀。</p> <p><span style="font-size:28px;"><strong>創辦團隊系出名門，分別來自DeepMind與Meta</strong></span></p> <p>Mistral AI創立於法國巴黎，共同創辦人之一的Arthur Mensch曾任職於Google的AI實驗室DeepMind，另外兩名創辦人Guillaume Lample與Timothée Lacroix則都曾是Meta的AI研究人員。Mensch現為Mistral AI執行長，Lacroix則擔任技術長一職。</p> <p>成立不到一年的Mistral AI去年9月就發表了具備73億個參數的<a href="https://www.ithome.com.tw/news/159032" target="_blank">Mistral 7B（Mistral-tiny）模型</a>，同年12月發表了<a href="https://www.ithome.com.tw/news/160291" target="_blank">Mixtral 8x7B（Mistral-small）模型</a>，並推出<a href="https://mistral.ai/news/la-plateforme/" target="_blank">La Plateforme平臺服務</a>。這時，才8個月大的Mistral AI估值便已超過20億美元。</p> <p>此外，Mistral AI推崇開源，因意識到生成式AI將在未來幾年徹底重新定義人們的文化與生活，改變人們與機器及同儕互動的方式，認為生成式AI的開放是必要的，因為有社群支持的模型開發，才是對抗審查及偏見最可靠的途徑。</p> <p><span style="font-size:28px;"><strong>Mistral Large及Le Chat成為La Plateforme的新成員</strong></span></p> <p>目前La Plateforme上已提供Mistral-tiny、Mistral-small與Mistral-medium，本周發表的Mistral Large則是最進階與最大的模型，它支援3.2萬個Token的脈絡，以及英文、法文、西班牙文、德文與義大利文，宣稱對這些語文的文法及文化背景都有著細緻的理解能力。Mistral Large也具備精確的指令遵循，讓開發者得以設計其審核策略，也可直接呼叫函數。</p> <p>Mistral AI聲稱Mistral Large提供一流的推論能力，可支援複雜且多語言的推論任務，包括文字理解、轉換與程式碼生成。</p> <p>Mistral Large在許多常用基準測試中緊追OpenAI GPT 4，例如用來測量大規模多任務語言理解的MMLU測試中，Mistral Large取得81.2%的成績，僅次於GPT 4的86.4%，但凌駕了<a href="https://www.ithome.com.tw/news/157739" target="_blank">Anthropic Claude 2</a>的78.5%，Gemini Pro 1.0的71.8%，GPT 3.5的70.0%，以及Meta LLaMA 2 70B的69.9%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/mistral-large-bar-plot-V2.png" style="width: 600px;" /></p> <p>除了MMLU測試外，Mistral Large在HellaSwag、Wino Grande與Arc Challenge（25-shot）等基準測試中，也都僅次於GPT 4，而優於上述的其它模型。</p> <p>至於Le Chat則是個基於Mistral模型的聊天機器人，它可能奠基在Mistral Large 、Mistral Small或是被命名為Mistral Next的原型機模型上。Mistral AI表示會致力於讓這些模型更有用且儘可能地不固執己見，另也針對企業推出le Chat Enterprise，透過自我部署能力與更細緻的審核機制來提高團隊的生產力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-Mistral%20AI-Le%20Chat.jpg" style="width: 500px;" /></p> <p>未來開發者將可透過La Plateforme或Azure來存取Mistral Large，另也<a href="https://chat.mistral.ai/" target="_blank">開放使用者登記以試用Le Chat</a>。</p> <p><span style="font-size:28px;"><strong>與微軟建立多年合作夥伴關係</strong></span></p> <p>微軟則在同一天宣布，已與Mistral AI建立多年的合作夥伴關係，雙方的合作包括Mistral AI將可利用Azure的AI基礎設施以加速開發及部署新一代的大型語言模型，此外，Microsoft Azure也將供應Mistral AI的付費模型服務。迄今Azure上已代管了來自 Meta、Nvidia、Deci 與 Hugging Face等公司或組織的1,600多個開源及專有模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-Mistral%20AI-microsoft.jpg" style="width: 500px;" /></p> <p>不過，Mistral AI將是Azure平臺上，除了OpenAI之外的第二個商用大型語言模型。</p> <p>根據<a href="https://www.ft.com/content/cd6eb51a-3276-450f-87fd-97e8410db9eb" target="_blank">《金融時報》</a>（Financial Times）的報導，微軟其實有注資Mistral AI，只是金額不明，且微軟並未取得Mistral AI的股份。微軟總裁Brad Smith則向該報透露，雙方的合作還牽涉到將共同研發及建置適用於歐洲政府組織的AI應用，以利用這些AI模型來解決公部門的具體需求。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mistral AI、微軟</span></span></p> </div></div></div>
2024/2/27 14:24作者陳曉莉https://www.ithome.com.tw/news/161515
Google將AI加入Android訊息、圖片識別、Auto
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在MWC舉行同時，<a href="https://blog.google/products/android/new-android-features-february-2024/" target="_blank">Google宣布</a>為Android中的訊息、圖片及車機系統加入AI，實現智慧功能。</p> <p>首先，今天起，Google Messages應用程式也可以直接呼叫Gemini AI助理。用戶不需跳離App，即可以文字提示要求Gemini草擬訊息內容、腦力激盪創意、規劃活動。</p> <p>Android視覺輔助App Lookout則加入AI描述，可自動為相片、線上圖片，或訊息中的照片加入AI產生的描述並且大聲朗讀出來，幫助視覺障礙人士理解圖片內容。本功能現在已全球上線，支援英文。另一項類似應用則是Google Lens in Maps的螢幕閱讀器結合Android輔助功能TalkBack。Google Lens的AI視覺辨識讓用戶可以將手機相機對準周遭環境，由TalkBack念出該地資訊，像是一家銀行的營業時間、餐廳評分。</p> <p>其次，加入AI的Android Auto在用戶開車時，自動為一長段文字或群組對話摘錄重點，也能建議回覆及後續行動，按一下就能傳送訊息、分享預定抵達時間、或接通電話。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-google%20ai%20Android%20Auto.png" style="width: 600px;" /></p> <p>這三項AI應用是Android新增功能的一部份。其他和AI無關的功能還包括Fitbit App改版後，可匯入第三方App資訊如AllTrails、Oura智慧戒指、MyFinessPal；Google Docs支援手寫標註，用戶可在Google Docs選擇觸控筆或手寫即可作用。</p> <p>最後，<a href="https://www.ithome.com.tw/news/161462" target="_blank">繼昨天宣布</a>今年6月關閉美國的Google Pay App，未來將統整於Google Wallet後，Google宣布Google Wallet及Google Maps也推出WearOS版。用戶可以將登機證、活動入場票券、健身房會員卡、儲值卡等憑證整合到Google Wallet，戴著Google Pixel Watch通車與出入場更方便，不需拿出手機也能導航。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-%20Google%20Wallet%20passes%20available%20on%20Wear%20OS%20watches.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/2/27 12:53作者林妍溱https://www.ithome.com.tw/news/161514
三星展示具健康量測功能的智慧戒指Galaxy Ring
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今年一月在消費電子大展（Consumer Electronics Show，CES）上首次公布後，本周世界通訊大會（Mobile World Conference，MWC）2024上，<a href="https://news.samsung.com/global/samsung-presents-galaxy-ai-vision-at-mwc-2024-with-latest-products-and-services" target="_blank">三星正式展示</a>可量測心率、活動量等生理數值的智慧戒指Galaxy Ring，今年稍後上市。</p> <p>Galaxy Ring是三星智慧健康系列的一環，也是在智慧手錶後，新的數位健康裝置form factor。Galaxy Ring結合Samsung Health數位健康平臺，主打AI為基礎的個人化健康管理。三星並未說明這隻戒指的實際感測器，但一般相信它具備心電圖（ECG）與光電容積圖（PPG）二種感測器。<a href="https://www.androidcentral.com/wearables/samsung-developing-a-smart-ring" target="_blank">2022年媒體發現</a>三星取得一項具備這2種感測器的戒指專利，將挑戰現有智慧戒指供應商Oura。</p> <p>Galaxy Ring配合新的健康應用管理功能。例如它搭配My Vitality Score服務，可提供睡眠、活動、心率量測和心率變異（Heart Rate Variability），而Booster Card則可追蹤各項定義好的量測目標。二款應用程式將於今年稍晚連同Samsung Health App問世。這些服務，除了支援智慧戒指，也可應用於Galaxy Watch 6，搭配最新旗艦智慧型手機Galaxy S24使用。</p> <p>智慧戒指蒐集的生理數據，將匯整入每月6,400萬用戶Samsung Health全球資料集，作為三星AI健康管理服務的基礎。以睡眠偵測而言，本月稍早<a href="https://www.ithome.com.tw/news/161275" target="_blank">三星公布</a>其Health Monitor App的睡眠呼吸中止症偵測功能獲得美國食品藥物管理局（Food and Drug Administration，FDA）認證，成為第一款獲得美官方此類許可的App。</p> <p>三星的計畫是，以其數位健康管理平臺及智慧手錶、智慧戒指等周邊裝置，與第三方夥伴建立健康生態系。例如上個月<a href="https://news.samsung.com/global/galaxy-watchs-advanced-sensor-tech-paves-way-for-greater-preventive-healthcare-solutions" target="_blank">三星宣布</a>其Galaxy Watch成為VR生理治療平臺XRHealth的心率監控裝置，或是將三星的Sleep Mode技術，像是LED紅外線感測器及SmartThings控制功能整合到合作夥伴的智慧床墊，調整床墊環境（如溫度）以幫助入睡。</p> <p>三星並對<a href="https://www.cnbc.com/2024/02/26/samsung-galaxy-ring-specs-features-release-date.html" target="_blank">《CNBC》</a>表示，公司也在考慮為戒指加入非接觸支付功能。</p> <p>今天展示的Galaxy Ring有9種尺寸及金、銀與黑三種顏色。產品今年內會上市，但三星並未公布詳細時程及價格。<a href="https://ouraring.com/" target="_blank">Oura</a>的價格則為299到549美元之間外加5.99月費，可提供體溫、心率、血氧量測，續航力約在7天左右。</p> </div></div></div>
2024/2/27 11:21作者林妍溱https://www.ithome.com.tw/news/161510
聯想展示首款全透明筆電概念機，但沒有計畫上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周世界通訊大會（Mobile World Congress，MWC）在西班牙巴賽隆納開展。<a href="https://news.lenovo.com/pressroom/press-releases/lenovos-cutting-edge-thinkpad-and-thinkbook-laptops-pave-the-way-for-ai-pc-innovation-at-mwc/" target="_blank">聯想展示</a>多款創新筆電設計，包括全世界首款使用透明MicroLED的ThinkBook筆電。</p> <p>名為Lenovo ThinkBook透明顯示器筆電概念（ThinkBook Transparent Display Laptop Concept）又名Project Crystal，最大特色是採用了17.3吋MicroLED透明顯示器的無邊框設計，以及同樣透明的鍵盤區域和看似漂浮的底座，使這款筆電呈現高科技的未來感。</p> <p>今年在CES上，三星和LG分別展示了使用透明MicroLED的<a href="https://news.samsung.com/medialibrary/global/photo/5973?album=50" target="_blank">透明電視</a>和<a href="https://www.lg.com/global/business/oled-signage/lg-55EW5F-A" target="_blank">透明電子看板</a>，而聯想則以Project Crystal成為首款使用透明面板的筆電設計。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-samsung%20ces-Transparent%20OLED%20Display.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_三星</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-LG-Transparent%20OLED%20Signage.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_LG</span></span></p> <p><a href="https://www.youtube.com/watch?v=Hbpe6wS_idI" target="_blank">透明筆電</a>的設計令人印象深刻。透過透明螢幕，用戶可以看到電腦後的景象，而電腦前方的人也能看見用戶在螢幕上執行的內容，像是播放的影片、或是開啟的檔案文件，高飽和色彩及1000-nit螢幕亮度讓螢幕內容有如電影《關鍵報告》一般漂浮在空中。如果你擔心資料或密碼被人看光，聯想表示也可以藉由加深螢幕顏色以確保資料隱私。</p> <p>Project Crystal並具備後向式相機，可配合AI支援AR應用。聯想示範的應用是飯店服務臺，客服人員可看到用戶朝櫃臺走來，利用相機臉部辨識並顯示用戶資訊，在第一時間提供顧客服務。</p> <p>Project Crystal另一特色是鍵盤區。筆電本身沒有實體鍵盤，而是以光投射在玻璃平面上的虛擬鍵盤，並根據用戶手指位置及動作感測輸入字元。但<a href="https://www.engadget.com/lenovos-project-crystal-is-the-worlds-first-laptop-with-a-transparent-microled-display-230025521.html?_fsig=DzPwTnVS_3IWe2GHhO1ljw--%7EA" target="_blank">有報導指出</a>，這虛擬鍵盤既無實體鍵盤的觸覺回饋，感測也不夠靈敏，可能造成輸入錯誤。但它具有觸控筆，也相容Wacom的觸控輸入板，因而可當成平板使用。不過Lenovo表示，未來可能透過AI學習用戶打字的習慣，逐步修正手部辨識的偏差。</p> <p>如果你想買一臺回家，很抱歉你要失望了。聯想表示，Project Crystal只是概念機，是為了展示AI PC的應用可能性，公司沒有商品化的計畫。</p> </div></div></div>
2024/2/27 11:32作者林妍溱https://www.ithome.com.tw/news/161511
Google開發視覺編碼器VideoPrism，在通用影片理解任務表現優異
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開發了一個針對廣泛影片理解任務設計的基礎視覺編碼器<a href="https://blog.research.google/2024/02/videoprism-foundational-visual-encoder.html">VideoPrism</a>，研究人員藉由新的預訓練資料和建模策略，使其可以用於分類、定位（Localization）、檢索、字幕和問答等影片理解任務，並且在多個基準測試中表現優於專門為任務設計的模型。</p> <p>影片相較於靜態影像擁有更豐富的視覺內容，包括實體間的運動、變化和動態關係等，研究人員提到，要分析這種複雜性，以及處理公開影片資料的巨大多樣性，需要超越傳統影像理解的模型。而過去相關的研究中，通常是針對任務量身訂做模型，而到了最近，影片基礎模型諸如VideoCLIP、InternVideo、VideoCoCa和UMT有了一些進展，但是要用單一模型處理影片資料的多樣性仍是一大挑戰。</p> <p>Google提出的VideoPrism則是通用影片理解的單一模型，而使其能力更加強大的原因之一，歸功於大量的訓練影片資料。VideoPrism的預訓練資料集，是目前已知最大且最多樣的影片訓練語料庫，由多個公開和私人資料集所組合而成，涵蓋了YT-Temporal-180M、InternVid、VideoCC和WTS-70M等。這個預訓練資料集擁有3,600萬個帶有高品質字幕的精選影片，以及5.82億個存在雜訊文字的影片片段，像是自動生成轉錄字幕的影片等。</p> <p>而VideoPrism的訓練採用了標準視覺Transformer（ViT）的分解設計，共分為兩階段，第一階段研究人員先用高品質的影片文字資料和帶有雜訊文字的影片資料，以對比學習（Contrastive Learning）技術教導模型將影片和文字描述配對，而這個階段建立了語義語言內容和視覺內容相配對的基礎。</p> <p>對比學習是一種自監督學習方法，不仰賴傳統的標籤資料訓練模型，其核心思想在於使相似樣本的表示更接近，不相似樣本的表示更遠離，也就是最小化正向影片文字對之間的距離，同時最大化負影片文字對之間的距離。</p> <p>經過影片文字對的對比訓練之後，進入訓練第二階段，研究人員透過遮罩影片建模框架，來訓練模型預測影片中缺失的部分，而與標準方法不同的地方是，研究人員會要模型同時預測影片的整體特徵，和影片中每一個小部分的特徵，以有效利用第一階段訓練所獲得的知識。在這個階段，研究人員還會隨機打亂預測出來的Token，以防止模型學到一些捷徑，像是模型可能依據固定順序或是模式就能做出預測，而隨機的方式可迫使模型深入理解影片內容，而不只是依賴表面特徵。</p> <p>實驗證實VideoPrism在多個影片理解任務表現良好，VideoPrism擁有廣泛的應用範圍，能夠處理影片分類、定位、影片文字檢索、影片字幕生成、問答和科學影片理解。而在33個基準測試中，VideoPrism在其中30個達到了目前最好的表現，在影片分類與定位任務方面，VideoPrism超越現有其他先進的基礎模型。</p> <p>當VideoPrism能夠與大型語言模型結合時，VideoPrism在影片文字檢索、字幕生成和影片問答任務中，更可展現強大的能力，在多數視覺語言基準測試中豎立新標竿。整體而言，VideoPrism為一款強大且多功能的通用影片編碼器，而其有效性和靈活性可被用於廣泛的影片理解任務。</p> </div></div></div>
2024/2/27 09:26作者李建興https://www.ithome.com.tw/news/161502
Amazon Bedrock將上架Mistral 7B和Mixtral 8x7B兩開源語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS<a href="https://aws.amazon.com/tw/blogs/aws/mistral-ai-models-coming-soon-to-amazon-bedrock/">宣布</a>將在雲端人工智慧模型平臺Bedrock提供Mistral AI的模型，分別是<a href="https://www.ithome.com.tw/news/159032">Mistral 7B</a>和<a href="https://www.ithome.com.tw/news/160291" target="_blank">Mixtral 8x7B</a>，而這將使Mistral AI成為繼AI21 Labs、Anthropic、Meta、Stability AI等廠商之後，第7個Bedrock基礎模型供應商，用戶將有更多的大型語言模型選擇，以滿足開發各種人工智慧應用的需求。</p> <p>Mistral AI是法國的人工智慧公司，由之前在Meta與DeepMind任職的研究人員成立，開發用於各種任務的大型語言模型。在Bedrock將要上架的Mistral 7B和Mixtral 8x7B模型，特性不同適合不同用例，Mistral 7B是一個擁有73億參數的輕巧高效能語言模型，雖然相較於其他語言模型來說規模較小，但是卻在許多基準測試上，表現都優於規模更大的Llama 2 13B。</p> <p>而Mixtral 8x7B則是Mistral AI在去年底才剛開源的大型語言模型，其特別之處在於採用稀疏混合專家（SMoE）模型架構，能夠處理32,000個Token上下文，但是在處理大量參數和資料的同時，也能維持一定的運算效率，在許多基準測試都超越擁有700億參數的Llama 2 70B，甚至是GPT 3.5模型。</p> </div></div></div>
2024/2/27 08:38作者李建興https://www.ithome.com.tw/news/161501
玉山金控看中AI三個發展潛力，內部已有多項生成式AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山金控董事長黃男州今日在法說會前記者會中表示，玉山發展AI的原則是遵照主管機關的AI原則與政策，注重發展以人為本、可解釋與負責任的AI。這是金融業勢必要遵守的前提。第二，AI未來可能扮演三種重要角色，具備發展潛力。</p> <p>黃男州進一步說明，AI扮演的第一種角色是智能夥伴，能和人類共同進行創造。第二，AI是溝通大師，不僅能與人溝通，也能在物聯網中與物溝通，未來人類可以透過AI與物溝通和合作，十分具有發展潛力。第三，AI是時光壓縮機，能處理許多過去需耗費大量時間學習的產業知識。黃男州以AI圍棋軟體AlphaGo為例說明，2016年，AlphaGo打敗了世界圍棋冠軍。到了2017年，AlphaGo進階版AlphaGo Zero推出，僅用三天的時間就完成幾百萬盤圍棋，等同一位40年資歷的棋士。</p> <p>玉山自2022年就開始布局生成式AI發展。玉山金控科技長張智星表示，玉山在2022年底曾舉辦黑克松競賽，讓內部同仁了解生成式AI，並思考可發展的應用。近期，玉山開發了生成式AI平臺GENIE，可以供內部使用文案生成、翻譯、程式碼教學和聊天機器人等。張智星提到，生成式AI不只是一個單獨的產品，它可以與許多場景串聯，例如掃描全行文件後，藉生成式AI校正文件中的辨識錯誤，或是將會議發言轉為逐字稿，並以生成式AI勘誤。</p> <p>黃男州指出，AI可以化身為代理人，成為工作中的一環，例如，以AI模型評估授信的風險性，或是評估信用卡盜刷可能性。目前，玉山內部已有100個以上的AI模型，包括風控AI、行銷AI、客服AI、流程AI和賦能AI。以賦能AI為例，玉山推出GRACE智能理財，協助理專管理超過400個顧客，以AI分析顧客資料並提供產品購買建議，幫助理專提升顧客服務。黃男州最後也表示，未來AI還會與上雲結合，因此雲端也是重要議題。</p> <p></p> </div></div></div>
2024/2/26 18:34作者李昀璇https://www.ithome.com.tw/news/161497
Meta資料執行引擎Velox與Apache Arrow協調整合資料格式，強化資料應用互通性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta、Voltron Data和Apache Arrow社群合作，目的是協調<a href="https://engineering.fb.com/2024/02/20/developer-tools/velox-apache-arrow-15-composable-data-management/">整合</a>Meta開源執行引擎Velox與行式資料框架Apache Arrow。新版的Arrow 15將會基於這次合作引入3種新的格式布局，而這將有助於Meta與廣泛社群，建立一個統一、有效率且可組合的資料管理系統。</p> <p>Meta在2022年開源執行引擎Velox，改善資料處理和分析系統的效能，以C++函式庫的形式實作。Velox的特色在於提供過去只在單獨引擎中可用的功能統一實作，來最佳化系統效能，加速資料處理、查詢效率，以及更好的資源管理。Velox目前已經被Meta用於超過10個系統中，提升與Apache Spark、Presto等知名系統的整合效率3到10倍。</p> <p>Meta資料基礎設施團隊一直在思考資料管理系統的設計方式，希望讓內部的資料管理系統更具組合性，也就是說，透過通用元件將單一系統分解成可重複使用的函式庫，並利用通用API和標準來增加元件之間的互通性。而當Meta將大型單一系統分解成模組化元件堆疊時，與Apache Arrow這些開源元件的互通性也就變得更加重要。</p> <p>Apache Arrow是一個受廣泛使用的開源框架，專門用於行式記憶體內資料的高效處理和傳輸，其設計使得大資料和分析應用，能夠快速執行和移動大量資料，避免常見的效能瓶頸。</p> <p>由於要實現元件的互通性，可組合資料管理系統必須理解常見的儲存格式、網路序列化協定、表格API，並具有統一的計算表達方式，而Meta解釋，通常必須讓這些元件直接共用記憶體中的資料，像是跨語言邊界傳輸資料，才能有效地支援用戶定義函式。</p> <p>因此Meta決定與Voltron Data、Arrow社群合作，將開源行式資料布局和Velox進行整合。而這項合作的重點在於盡可能使API遵循開放標準，Meta指出，Arrow可以被視為Velox的底層，Arrow描述了行式資料在記憶體中表示的方法，而Velox提供了一系列執行和資源管理資料的原語。</p> <p>不過，Meta在當初開發Velox時，設計了Velox Vectors布局來加速工作負載中常見的資料操作，Velox Vectors具有快速移動資料所需要的效率和敏捷性，但Meta指出，這樣的設計卻造成了碎片化，降低了元件的互通性。</p> <p>因此現在Velox與Arrow協調融合雙方格式，在Arrow 15.0.0加入由Velox Vectors衍伸的3種資料格式布局，包括StringView、ListView和Run-End-Encoding（REE），如此不僅可以使用Velox與Arrow進行跨元件的記憶體內通訊，達到資料零複製的目的，而且也提高了Arrow在現代執行引擎的可用性，能夠支援更高效能用例。</p> </div></div></div>
2024/2/26 16:30作者李建興https://www.ithome.com.tw/news/161473
JetBrains IDE更新終端機提供新視覺設計和進階功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains IDE從2024.1版本開始<a href="https://blog.jetbrains.com/idea/2024/02/the-new-terminal-beta-is-now-in-jetbrains-ides/">加入新的終端機Beta測試版</a>，用戶可以選擇是否啟用新終端機。不過目前僅支援Bash、Zsh和PowerShell，官方正在開發其他的殼層支援。這個新終端機結合基本和進階功能，以新方式呈現開發者熟悉的工具，甚至要提供人工智慧等豐富功能集。</p> <p>新終端機也具有新的視覺設計，現在每個命令都會顯示於單獨的區塊中，官方提到，這將有助於用戶快速定位每個命令的起始與結束，強化輸出的可讀性。使用者也可以藉由快捷鍵，快速在命令和輸出中切換。另一個重大更新是命令完成功能，現在支援命令、路徑、參數和選項，目標在於簡化命令的輸入。新的終端機還有命令歷史紀錄，使開發者能夠過濾並且快速找到最近執行的命令。</p> <p>終端視覺設計的改變來自於架構的更新，開發者現在對終端介面中用戶輸入命令的區塊，能夠有更高程度的控制和自定義能力，在輸入命令時，用戶不僅可以使用鍵盤，還能以滑鼠移動鼠標，或是執行其他編輯動作，像是選擇、複製和貼上文字，讓終端機的操作更加靈活。</p> <p>JetBrains團隊還重做了命令完成功能，將原本IDE中的知識整合到完成建議中，但官方提到，目前這項功能還在更新中，Beta測試版中的完成選項可能有時候無法使用，或是因殼層不同結果有所變化。</p> <p>另外，JetBrains在新的終端機添加特有的命令提示符，以顯示當前目錄、Git分支、Python虛擬環境和Anaconda環境，JetBrains解釋，這是因為即便殼層中沒有配置，依然能提供豐富且現代命令提示符的原因。這些提示符號與系統的終端機不相同，官方正在研究提供相同提示符號的方法。</p> <p>JetBrains仍在更新終端機，加入更多自訂選項並改進命令完成等功能，同時還計畫添加人工智慧功能，協助命令輸入和解釋所得到的結果。</p> </div></div></div>
2024/2/26 16:59作者李建興https://www.ithome.com.tw/news/161483
微軟開源可用來偵測生成式AI模型風險的紅隊工具PyRIT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周四（2/22）<a href="https://github.com/Azure/PyRIT" target="_blank">透過GitHub開源了PyRIT</a>（Python Risk Identification Toolkit for generative AI），以利安全專業人員及機器學習工程師可自動化用來辨識大型語言模型（LLM）風險的程序，包括辨識生成惡意程式、越獄或是資料竊盜等LLM的濫用行為。</p> <p>微軟的AI紅隊（Microsoft AI Red Team）自2022年開始針對不同的生成式AI系統進行紅隊演練，以尋找各種風險，當時的PyRIT只是一組一次性的腳本程式，隨著該團隊每次添增各種功能，將它堆砌成一個可靠的工具。其實微軟在2021年便曾開<a href="https://www.ithome.com.tw/news/144196" target="_blank">源AI風險評估工具Counterfit</a>，但Counterfit主要是針對傳統的機器學習系統，無法滿足其底層原則及威脅都有不同風貌的生成式AI，才促使微軟AI紅隊開發新工具。</p> <p>PyRIT由5個元件所組成，包括用來測試的目標（Target），所使用的提示資料集（Dataset），基於自我評估或是既有分類器的評分引擎（Scoring Engine），單輪或多輪的攻擊策略（Attack Strategy），以及存放輸入及輸出等互動資料的記憶體。</p> <p>PyRIT可先傳送惡意的提示到特定的生成式AI系統，收到回應後再將它傳至評分引擎，根據評分引擎傳回的結果再產生新的提示，再傳送至該生成式AI系統，不斷循環直至實現研究人員所設定的目標。根據微軟的測試，利用PyRIT針對Copilot進行紅隊演練時，可先選擇一個有害的類別，繼之生成數千個惡意提示，再以PyRIT的評分引擎來評估Copilot系統的輸出結果，其自動化能力讓原本需要幾周的測試在短短的幾小時內便完成。</p> <p>不過，<a href="https://www.microsoft.com/en-us/security/blog/2024/02/22/announcing-microsofts-open-automation-framework-to-red-team-generative-ai-systems/" target="_blank">微軟強調</a>，PyRIT並非用來取代人工的紅隊演練，而是相輔相成，它擴大了AI紅隊既有的專業知識，並替它們自動化繁瑣的任務。其程序是先由安全研究人員提供有害提示的資料集，接著便交由PyRIT將它們餵進大型語言模型端點，以生成更有害的提示，PyRIT揭露了可能存在的風險，再由研究人員深入探索，研究人員始終控制著紅隊操作的執行與策略。</p> <p>微軟除了透過GitHub釋出PyRIT專案的工具包，以及提供各種示範之外，也預計於3月6日舉行一場PyRIT網路研討會，並歡迎<a href="https://www.brighttalk.com/webcast/10415/607319?bttok=%7b%7bRecipient.ID%7d%7d&utmsource=sponsor" target="_blank">有興趣的各路人馬報名</a>。</p> </div></div></div>
2024/2/26 14:41作者陳曉莉https://www.ithome.com.tw/news/161472
【資安日報】2月26日，勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>執法單位<a href="https://www.ithome.com.tw/news/161379">針對勒索軟體駭客組織LockBit出手</a>，成功接管34臺LockBit伺服器，凍結逾200個加密貨幣帳戶，逮捕2名嫌犯，隨後<a href="https://www.ithome.com.tw/news/161386">日本警方也在No More Ransom網站提供LockBit 3.0解密工具</a>。但這群駭客也不是省油的燈，不到一週的時間，他們重新架設網站，並聲稱已有組織受害。</p> <p>在此期間，已經有駭客利用遠端桌面連線軟體ScreenConnect的重大漏洞，<a href="https://www.ithome.com.tw/news/161450#SlashAndGrab">對醫療機構散布LockBit用來加密檔案</a>，但當時研究人員推測，可能是未被取締的附屬組織所為。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;">執法單位聲稱掌握了勒索軟體駭客組織LockBit的管理員，幾天後傳出該組織捲土重來，宣稱攻擊目標鎖定政府機關</strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit_1_8b91504b8d.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit_1_8b91504b8d.jpg" style="width: 300px; float: right;" /></a>2月19日傳出11個國家執法單位進行執法行動Operation Cronos，成功切斷勒索軟體駭客組織LockBit的運作，並接管其暗網網站，該組織也證實遭遇資安事故。而這起執法行動在週末又傳出新的消息，使得情況又變得更加撲朔迷離。特別的是，FBI竟被列為受害組織。</p> <p>先是23日執法單位在LockBit網站上發布新的內容，標題為「誰是LockbitSupp（該駭客組織的管理員）？」，表明這名人士曾經宣稱住在美國或是荷蘭，並擁有藍寶堅尼跑車，但上述傳聞皆非事實，該人駕駛的車輛廠牌其實是賓士，而且零件難以取得，暗指可能住在遭制裁的俄羅斯。執法單位表示他們不僅掌握該人身分，也知道其住所及身價，現在該名管理者已與執法單位合作。隨後該組織的管理層向資安研究團隊VX-Underground透露，他們不認為執法單位知道LockbitSupp的真實身分，並表明根據<a href="https://www.ithome.com.tw/news/151655">之前成立的漏洞懸賞專案</a>，若是有人能得知首腦的身分，將提供2千萬美元獎金。</p> <p>事隔兩天，這些駭客重新架設網站，並聲稱美國聯邦調查局（FBI）利用重大漏洞CVE-2023-3824，入侵他們其中2個主要的PHP伺服器，原因是該組織在1月份攻擊喬治亞州富爾頓縣政府，竊得的文件內容與美國前總統川普的訴訟案件有關，而這些資料極有可能左右接下來的總統大選，對此，該組織表明將會更積極、頻繁地攻擊政府部門。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/vxunderground/status/1761031957104750864">https://twitter.com/vxunderground/status/1761031957104750864</a><br /> 2. <a href="https://twitter.com/vxunderground/status/1761491834436476937">https://twitter.com/vxunderground/status/1761491834436476937</a><br /> 3. <a href="https://securityaffairs.com/159584/cyber-crime/lockbit-gang-resumed-raas.html">https://securityaffairs.com/159584/cyber-crime/lockbit-gang-resumed-raas.html</a></p> <p><a href="https://www.ithome.com.tw/news/161454"><strong style="font-size: 22px;">中國資安業者安洵信息內部資料公開，透露該公司對臺灣在內逾20個國家從事網路間諜行動</strong></a></p> <p></p> <p>一位名為「安坂星海」的臺灣資安研究員發現，有人將中國資安業者「安洵信息」的內部資料上傳到程式碼儲存庫GitHub，隨後引起各界關注。有研究人員將這些內部文件進行分析，指出內含超過570筆檔案、圖片，以及對話記錄，詳細披露該公司8年來為中國政府盜取外國資料的合約內容，至少有20個國家及地區成為目標，包括臺灣、印度、香港、泰國、韓國、英國、馬來西亞。</p> <p>值得留意的是，該公司的客戶也要求他們收集特定國家的基礎設施資料，例如，他們竊得495 GB臺灣道路地圖檔案，美國智庫創始人Dmitri Alperovitch指出，這批檔案內含臺灣公路地形、橋樑、隧道的詳細資料，一旦中國對臺灣發動戰爭，軍隊就能精確地調動裝甲部隊及兵力。</p> <p>臺灣資安業者TeamT5指出，這批資料的可信度相當高，因為當中透露了安洵如何與中國政府打交道，以及該公司產品的細節和財務狀況，其中甚至鉅細靡遺交代這組人馬如何協助開發RAT木馬程式ShadowPad。</p> <p>資料來源</p> <p>1. <a href="https://www.washingtonpost.com/world/2024/02/21/china-hacking-leak-documents-isoon/">https://www.washingtonpost.com/world/2024/02/21/china-hacking-leak-documents-isoon/</a><br /> 2. <a href="https://cyberscoop.com/isoon-chinese-apt-contractor-leak/">https://cyberscoop.com/isoon-chinese-apt-contractor-leak/</a></p> <p><a href="https://www.aquasec.com/blog/lucifer-ddos-botnet-malware-is-targeting-apache-big-data-stack/"><strong style="font-size: 22px;">殭屍網路Lucifer鎖定Apache Hadoop伺服器、Druid資料庫而來</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure7_fixed_pixel.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure7_fixed_pixel.jpg" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露最近一波殭屍網路Lucifer的攻擊行動，這些駭客原先鎖定PHP網頁框架Laravel、內容管理系統Drupal、持續整合開發工具Jenkins等多種網頁應用系統的漏洞，並利用美國國家安全局（NSA）外洩的永恒之藍（EternalBlue）等Windows漏洞攻擊工具，從而將受害伺服器用於挖取門羅幣，但現在駭客轉移標的，目標改為Apache多功能軟體程式庫框架Hadoop、動態分析資料庫Druid、資料流處理框架Flink下手，並指出在今年1月看到逾3千起攻擊行動。</p> <p>研究人員指出，這波攻擊行動大致有3個過程，首先，駭客會利用Druid漏洞CVE-2021-25646（CVSS風險評為8.8分），或是Hadoop的通用資源管理平臺YARN的API配置不當，從而進行未經授權的存取；接著，對方下載、執行Lucifer，最終於受害伺服器植入挖礦程式XMRig。</p> <p>根據他們半年多的觀察，在去年7至8月、10月，以及今年1月出現3波攻擊，前兩次駭客主要針對Hadoop而來，但從今年開始，也出現鎖定Druid的攻擊行動。</p> <p><a href="https://unit42.paloaltonetworks.com/glupteba-malware-uefi-bootkit/#post-132484-_9pnlcgdp770l"><strong style="font-size: 22px;">殭屍網路病毒Glupteba透過UEFI Bootkit迴避偵測</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-132484-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-132484-5.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks針對殭屍網路病毒Glupteba近期的動態提出警告，他們從去年11月看到駭客為其加入了UEFI Bootkit的功能，從而干預受害電腦的作業系統啟動過程，使得該惡意程式的運作更為隱密且難以察覺。</p> <p>研究人員指出，經營此殭屍網路的駭客組織，10年內發展出各式各樣的功能模組，例如：傳送其他惡意程式、竊取應用程式帳密資料、盜取信用卡等敏感個資、利用受害電腦進行挖礦等，並根據買家所使用的元件來支付費用（Pay-per-install，PPI）的模式形成網路犯罪生態圈。</p> <p>他們對其惡意程式進行分析，發現駭客整合了名為EfiGuard的開源元件，而能夠在電腦開機的流程當中，停用核心修補程式保護（PatchGuard）及強制驅動程式簽章（Driver Signature Enforcement，DSE）的功能。</p> <p><a href="https://www.fortinet.com/blog/threat-research/tictactoe-dropper"><strong style="font-size: 22px;">惡意程式TicTacToe Dropper竊取Windows電腦資料，並植入其他作案工具</strong></a></p> <p></p> <p>資安業者Fortinet揭露名為TicTacToe Dropper的惡意程式載入工具，為避免防毒軟體攔截，此程式駭客通常透過ISO映像檔傳送，並繞過Mark-of-the-Web（MoTW）防護機制，一旦成功滲透，該惡意程式就會用於投放其他惡意酬載，在最近1年裡，研究人員看到駭客用於散布AgentTesla、SnakeLogger、LokiBot、Remcos等近10款RAT遠端木馬程式，其共通點是使用.NET執行檔或是程式庫，程式碼經過混淆工具SmartAssembly處理，其DLL程式庫以反射式載入的方式運作。</p> <p><a href="https://www.welivesecurity.com/en/eset-research/vajraspy-patchwork-espionage-apps/"><strong style="font-size: 22px;">安卓木馬VajraSpy透過Google Play市集散布</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/vajraspy-figure-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/vajraspy-figure-1.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露RAT木馬程式VajraSpy的攻擊行動，他們看到12個被用來挾帶此木馬的安卓應用程式，巴基斯坦駭客組織Patchwork APT聲稱這些應用程式提供即時通訊軟體或是閱讀新聞的功能，其中6個在Google Play上架，總共被下載超過1,400次，而且，其他的市集也有上架；另外6款則是出現在惡意軟體分析平臺VirusTotal。</p> <p>一旦使用者安裝這款惡意軟體，駭客就能從他們的安卓裝置竊取各式各樣的資料，包含通訊錄、通話記錄、簡訊內容，並從WhatsApp、Signal等知名即時通訊軟體攔截或收集訊息，此外，該惡意程式還能記錄電話通話、啟用相機拍照、攔截應用程式的通知訊息，搜括文件、圖片、聲音檔及其他類型的檔案並進行外洩。研究人員根據其中1款安全性較弱的應用程式進行調查，找到148臺位於巴基斯坦及印度的受害裝置，並指出駭客是透過愛情詐騙來散布此木馬程式。</p> <p><a href="https://www.hackread.com/israeli-nso-group-mms-fingerprint-attack-whatsapp/"><strong style="font-size: 22px;">以色列商業間諜公司NSO Group利用WhatsApp漏洞，利用多媒體簡訊指紋追蹤用戶</strong></a></p> <p></p> <p>2019年5月即時通訊軟體WhatsApp發現其系存在漏洞，而使得攻擊者能藉由語音通話功能來發動攻擊，該公司指控NSO Group將其用來部署間諜軟體Pegasus，並鎖定全球記者、人權鬥士、律師、政府官員，WhatsApp於同年10月對NSO Group提告。</p> <p>瑞典電信資安業者Enea指出，根據WhatsApp當年提交的文件，NSO Group掌握了名為「多媒體簡訊指紋（MMS Fingerprint）」的技術，號稱只要向目標裝置發送此種簡訊，攻擊者就能得知該裝置的系統資訊，且過程無須使用者互動或是讀取訊息。</p> <p>研究人員根據這些法律文件循線進行調查，發現攻擊者可利用這種手法得知裝置的多媒體簡訊使用者代理字串（MMS UserAgent），從而決定要利用的漏洞、惡意酬載，或是策畫網路釣魚活動，而且，無論安卓、iOS，還是黑莓設備，攻擊者都有可能利用這種手法來進行偵察。</p> <p>資料來源</p> <p>1. <a href="https://files.lbr.cloud/316009/whatsapp-fb-v-NSO-group.pdf">https://files.lbr.cloud/316009/whatsapp-fb-v-NSO-group.pdf</a><br /> 2. <a href="https://www.enea.com/insights/dusting-off-old-fingerprints-nso-groups-unknown-mms-hack/">https://www.enea.com/insights/dusting-off-old-fingerprints-nso-groups-unknown-mms-hack/</a></p> <p><a href="https://www.veracode.com/resources/state-software-security-2024-addressing-threat-security-debt"><strong style="font-size: 22px;">人工智慧加速軟體開發但存在安全隱憂！逾三分之一由GitHub Copilot產生的程式碼存在漏洞</strong></a></p> <p></p> <p>資安業者最近針對企業軟體開發安全揭露他們的觀察，首度提及在人工智慧技術迅速改變軟體開發的態勢下，相關工具產生的程式碼也可能存在弱點，以GitHub Copilot為例，約有36%生成的程式碼存在漏洞。</p> <p>另一方面，企業在因應應用程式的高風險弱點有顯著的成效，2023年約有17.9%應用程式曝險，僅不到2016年37.9%的一半。整體而言，2023年63.4%企業自行開發（第一方）的程式碼存在弱點，而第三方程式碼約有70.2%存在弱點，兩者的情況相當接近，對此研究人員認為，在軟體開發生命週期（SDLC）的流程當中，對於自行開發與第三方的程式碼都要進行相關測試，可說是極為重要。而對於上述兩種類型程式碼出現的弱點處理，第三方程式碼修補的時間需要11個月，較自行開發程式碼的弱點緩解需7個月多出50%。</p> <p>然而值得留意的是，約有近半數（45.9%）企業並未完全緩解發現的高風險弱點，產生嚴重的「安全債」，而有可能讓企業的機密性、完整性、可用性面臨嚴重風險。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blog.checkpoint.com/security/digital-deception-at-the-ballot-box-the-shadow-machinery-of-election-manipulation-how-deepfake-technology-threatens-the-2024-u-s-elections/"><strong><span style="font-size: 20px;">僅要價2美元的Deepfake欺騙性內容恐對選舉帶來影響</span></strong></a></p> <p></p> <p><strong><a href="https://www.aquasec.com/blog/lucifer-ddos-botnet-malware-is-targeting-apache-big-data-stack/"><span style="font-size: 20px;">殭屍網路Lucifer鎖定Apache Hadoop伺服器而來</span></a></strong></p> <p><a href="https://www.bitdefender.com/blog/labs/details-on-apples-shortcuts-vulnerability-a-deep-dive-into-cve-2024-23204/"><strong><span style="font-size: 20px;">研究人員揭露蘋果自動化流程應用程式Shortcuts高風險漏洞細節</span></strong></a></p> <p></p> <p><a href="https://tuxcare.com/blog/multiple-freeimage-vulnerabilities-fixed-in-ubuntu/"><strong><span style="font-size: 20px;">Ubuntu圖像程式庫元件FreeImage存在漏洞，有可能導致阻斷服務攻擊、執行任意程式碼</span></strong></a></p> <p></p> <p><strong><a href="https://www.microsoft.com/en-us/security/blog/2024/02/22/announcing-microsofts-open-automation-framework-to-red-team-generative-ai-systems/"><span style="font-size: 20px;">微軟針對生成式AI推出紅隊演練工具PyRIT</span></a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161450"><strong>【2月23日】遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161422"><strong>【2月22日】鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161398"><strong>【2月21日】中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況</strong></a></p> </div></div></div>
2024/2/26 11:31作者周峻佑https://www.ithome.com.tw/news/161467
LockBit在被執法機關攻陷的一周內起死回生
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由美國、英國等10個國家組成，並由歐洲刑警組織（Europol）負責居中協調的克羅諾斯行動（Operation Cronos），在2月20日<a href="https://www.ithome.com.tw/news/161379" target="_blank">宣布</a>已成功摧毀勒索軟體LockBit的基礎設施，然而，LockBit開發者在24日<a href="https://samples.vx-underground.org/tmp/Lockbit_Statement_2024-02-24.txt" target="_blank">指出</a>，它們已經恢復了服務，《<a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-returns-restores-servers-after-police-disruption/" target="_blank">BleepingComputer</a>》則在LockBit新的資料外洩網站上發現了5名受害者。</p> <p>克羅諾斯行動接管了LockBit的資料外洩網站，關閉其位於全球不同國家的34臺伺服器，凍結逾200個與該犯罪組織有關的加密貨幣帳戶，控制或刪除了1.4萬個負責滲透或與基礎設施有關的流氓帳號，也逮捕了2名嫌犯。估計LockBit的受害者超過2,000家，得手的贖金超過1.2億美元。</p> <p>當時安全研究團隊vx-underground引用了LockBit開發者的說法，指出這些執法機構是透過PHP上的CVE-2023-3824安全漏洞攻陷他們的基礎設施。</p> <p>LockBit開發者則從自己的角度說明了此事。指出有兩臺伺服器在2月19日遭到滲透測試，使得他無法登入，他承認或許是因為自己太鬆懈，沒能及時修補PHP上的CVE-2023-3824漏洞才讓執法機構有機可趁，也有可能是其它的PHP零時差漏洞。該開發者還提醒其它的勒索軟體競爭對手，它們的PHP伺服器很可能也已經被攻陷了，最好儘快修補並更新所有憑證。</p> <p>另外他也強調，所有其它未使用PHP的伺服器都未受到影響，將會持續用來外洩受害企業的資料。</p> <p>該名LockBit開發者宣稱FBI等執法機構誇大了克羅諾斯行動的成功程度，例如所取得的逾1,000個解密金鑰只占了解密金鑰總數的2.5%，而且它們屬於低階的解密金鑰。在LockBit運作5年來，其解密金鑰總數約有4萬個。還說執法機構所逮捕的嫌犯並非他真正的合作夥伴，或許只是混幣器或交易平臺的員工。</p> <p>他甚至列出了數十個未安裝PHP、沒有被執法機構攻陷的備份部落格網域，並公布了新的主網域；他表示之所以花了4天才恢復，主要是因為他必須重新編輯最新版PHP的程式碼；他也否認未刪除已支付贖金之受害者的機密資訊，認為執法機構故意說謊。</p> <p>儘管LockBit的確正在重建其基礎設施，但<a href="https://twitter.com/vxunderground/status/1761506370656825531" target="_blank">vx-underground認為</a>，LockBit此一回應試圖抹黑執法機構，以降低其公信力。</p> </div></div></div>
2024/2/26 14:18作者陳曉莉https://www.ithome.com.tw/news/161471
X對非付費用戶推出語音、視訊電話服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原名推特的社群平臺<a href="https://twitter.com/lindayaX/status/1761121033883460062" target="_blank">X上周宣布</a>，將視訊及語音電話服務逐步推向非付費用戶。</p> <p>X去年10月開始首先在iOS版App提供語音及視訊電話服務，1月推向Android版本。不過在本周之前，這項服務都只提供給Premium付費訂閱（即Twitter Blue）帳號用戶，作為加值服務的一環。2月初X大老闆<a href="https://twitter.com/elonmusk/status/1752773507006791867" target="_blank">馬斯克（Elon Musk）預告</a>，等到公司對服務穩定性有信心後，會將服務廣泛推向所有用戶。X執行長Linda Yaccarino本周轉推公司工程師的X推文<a href="https://twitter.com/lindayaX/status/1761121033883460062" target="_blank">公告</a>，這項服務將緩步部署到非Premium帳號用戶。</p> <p>根據<a href="https://help.twitter.com/en/using-x/direct-messages/audio-video-calls" target="_blank">X網頁說明</a>，若想撥打語音和視訊電話，用戶之前必須至少曾經和對方有過至少一次私訊。為防止騷擾，用戶可以在私訊設定中，設定允許接收電話的帳號，包括用戶關注中的、有在聯絡人清單中、經過X驗證的用戶帳號，或是所有人。其隱私設定還讓用戶在通話過程中隱藏用戶IP位址。Android版App中，用戶必須啟用推播通知才能接收到來電通知。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0226-X-twitter-audio%20vedio%20call.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_X</span></span></p> <p>在經過2022年到2023年馬斯克的收購及改革／改名下，X仍然是最大文字類社群平臺。根據<a href="https://www.statista.com/topics/737/twitter/#topicOverview" target="_blank">Statista估計</a>，X全球用戶數為4.15億。為擴大用戶基礎，X持續擴增平臺功能，<a href="https://blog.twitter.com/en_us/topics/company/2023/transforming-the-global-town-square" target="_blank">預計中的服務</a>還包括一對一支付、創作者合作及廣告服務。</p> <p>另一方面，由Meta Instagram支持的Threads在2022年10月上線後，目前用戶數估計在<a href="https://explodingtopics.com/blog/threads-users" target="_blank">1.4億左右</a>。上周<a href="https://techcrunch.com/2024/02/21/meta-tests-cross-posting-from-facebook-to-its-twitter-x-competitor-threads/" target="_blank">Meta還證實</a>正在測試讓用戶可從臉書發文到Threads上，以帶動新平臺的流量。</p> </div></div></div>
2024/2/26 11:05作者林妍溱https://www.ithome.com.tw/news/161466
Google Pay今年6月在美關閉，僅留Google Wallet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/google-pay/payment-apps-update/" target="_blank">Google上周宣布</a>將簡化數位支付服務，將在今年6月關閉美國地區的Google Pay App，全部統整於Google Wallet。</p> <p>Google Pay是Google 2018年推出的數位支付，但2022年5月推出Google Wallet並於7月正式上線。Google Wallet除了數位支付，還可儲存各種票券及數位身份證件、信用卡或學生證等證明。不過Google Pay仍然持續，形成雙軌並行局面。</p> <p>現今全球180多國數百萬用戶透過ChromeOS、macOS、Windows PC及Android、iOS App與實體商店使用Google Pay。Google表示在手機平臺上，也可以用Google Wallet管理Google Pay支付；在美國，Google Wallet用戶使用量是Google Pay的5倍。為了簡化App使用經驗，Google計畫讓美國版獨立的Google Pay從2024年6月4日起終止使用。</p> <p>但Google Pay在印度和新加坡仍然可繼續使用。已經使用Google Wallet的用戶也不受影響。至於其他地區的Google Pay服務會有哪些變化Google尚未說明。</p> <p>對美國用戶而言，6月4日以前，用戶可以用Google Pay App讀取和將Google Pay帳戶餘額轉到銀行帳戶。但6月4日以後，就只能透過Google Pay網站為之。1對1支付服務方面，從同一天起也無法再要求、收取或執行匯款。Google並<a href="https://support.google.com/googlepay/answer/10197214" target="_blank">告知</a>如何匯出Google Pay儲值，以及相關手續費用。</p> <p><a href="https://support.google.com/googlepay/answer/14555219" target="_blank">根據說明</a>，之後用戶的店內和線上付費，仍然可以使用Google Pay，但如果要讀取交易明細和管理支付方式，就只能使用Google Wallet和<a href="http://pay.google.com/" target="_blank">Google Pay網站</a>。因此Google建議用戶下載安裝Android版Google Wallet App。</p> <p>Google表示之後會持續改進使用經驗，像是Chrome中的Google Pay autofill功能、簡化大眾運輸支付，及增加Wallet可儲存票券的種類。</p> </div></div></div>
2024/2/26 09:15作者林妍溱https://www.ithome.com.tw/news/161462
【資安週報】2024年2月19日到2月23日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這星期釋出的安全性漏洞消息，以ConnectWise在19日修補遠端桌面軟體ScreenConnect的漏洞CVE-2024-1709，最受關注，因為在公告的隔日，就發現有駭客開始鎖定利用，該業者也在20日示警、公布入侵威脅指標（IoC），並在21日針對已結束維護支援服務的用戶內部環境建置版本，提供最新升級。</p> <p>在資安威脅焦點方面，最大消息就是勒索軟體LockBit組織的伺服器被攻破。在英、美等10國家聯合發起的打擊行動之下，已接管其技術基礎設施與資料外洩網站，並凍結相關加密貨幣帳戶，美方也拘留兩名利用LockBit服務的聯盟夥伴，起訴兩名發動攻擊的俄羅斯人。</p> <p>由於全球已有上千家企業組織遭受LockBit的危害，因此這次國際查緝行動具有相當大的意義。我們也注意到，在此次行動成果公布後，在打擊勒索軟體網路犯罪的No More Ransom計畫網站，已釋出由日本警方打造的相關解密工具。</p> <p>還有前陣子農曆過年期間，有南韓研究人員發表破解勒索軟體Rhysida的論文，如今在No More Ransom平臺上，也有資安業者Avast釋出的相關解密工具。</p> <p>另一件大消息，是中國資安業者「安洵信息」傳出資料外洩，意外曝露該國政府對全球各國發動網路間諜行動的情況，引發國際關注。研究人員指出，這些資料很有可能來自該公司專門研發間諜軟體的部門。根據外洩資料的內容顯示，該公司替客戶（中國政府）滲透印度、泰國、越南、韓國、臺灣、馬來西亞、北約組織的政府機關，曾開發攻擊工具RAT木馬程式Hector，以及外觀與行動電源相似的「Wi-Fi 抵近攻擊系統」，同時也經營DDoS攻擊業務，還有APT攻擊與間諜行動業務。日後是否有更進一步的研究分析，值得持續追蹤。</p> <p>關於最新威脅態勢的揭露上，我們注意到4個值得留意的技術手法與狀況：</p> <p>●資安業者揭露網釣簡訊攻擊背後的新手法Smishing，他們發現濫用AWS SNS簡訊服務的惡意Python腳本，並指出這是雲端攻擊工具中前所未見的技術。</p> <p>●駭客不斷挖掘出Ivanti Connect Secure的零時差漏洞並成功利用，因此有研究人員針對這樣的狀況進行分析，發現其系統採用許多老舊、已終止支援的元件。</p> <p>●關於網路犯罪組織在臉書投放詐騙廣告，資安業者揭露使用竊資軟體VietCredCare的攻擊者，正鎖定大量越南企業臉書帳號，並在接管帳號後用以實施臉書詐騙。</p> <p>●網路拓樸架構呈現工具SSH-Snake被駭客濫用於攻擊行動，資安業者指出，這是竊取SSH金鑰的新手法，該工具還具有主動修改和無檔案的特性，若採用靜態偵測的作法，會不容易找到。</p> <p>還有多個惡意威脅的最新動向，源自不同資安業者的揭露，包括勒索軟體RansomHouse組織使用新的自動化工具MrAgent，來鎖定虛擬化平臺VMware ESXi平臺，以及惡意程式TicTacToe Dropper，殭屍網路病毒Glupteba，還有商業間諜公司掌握「多媒體簡訊指紋（MMS Fingerprint）」技術的細節。</p> <p>最後值得一提的是，國內再傳上市櫃公司遭遇資安事件，已是今年第7起上市櫃公司因資安事件發布重大訊息。以散熱風扇聞名的上市大廠建準，19日公告當天凌晨遭遇加密攻擊。該公司表示，已確認公司資料沒有外流，資訊系統當日可修復。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161344"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</span></strong></a></h3> <p>最近Ivanti頻繁對於Connect Secure漏洞發布資安公告，並指出部分漏洞已確認被用於攻擊行動，使得這套SSL VPN系統的安全問題再度浮上檯面，然而有研究人員發現，這套系統採用大量早就已經終止支援的元件，而曝露於許多已知漏洞的資安風險。</p> <p>這也突顯Ivanti在2020年買下Pulse Secure公司之後，歷經多次資安漏洞相關事故與爭端之後，此系統竟然被發現至今仍延用老舊架構，並未逐步汰換、更新元件，而使得攻擊者有機會藉由已知漏洞上下其手。</p> <h3><a href="https://www.ithome.com.tw/news/161355"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月20日】勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿</span></strong></a></h3> <p>自2019年出現的勒索軟體LockBit在全球橫行，是最近2至3年最具威脅的勒索軟體。根據美國政府的統計，自2020年該勒索軟體駭客組織已發起超過1,700次攻擊，以美國而言，他們向受害組織總共索討了9,100萬美元的不法所得。這些駭客甚至還<a href="https://www.ithome.com.tw/news/151655">設立漏洞懸賞專案</a>，尋求各界尋找該勒索軟體的漏洞，囂張的程度可見一斑。</p> <p>如此猖獗的態勢，也引起多個國家的執法單位採取行動。最近有許多在追蹤該勒索軟體動態的研究人員發現，執法單位已拿下該組織暗網的網站，這些駭客也對他們的附屬組織證實遭遇「資安事件」。</p> <p><a href="https://www.ithome.com.tw/news/161398"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月21日】中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況</span></strong></a></p> <p style="margin: 0px;">中國政府資助的駭客佯裝成資安公司，在全球從事網路間諜活動，過往通常是藉由研究人員找到的蛛絲馬跡，才能揭露駭客暗中從事多年的行為，但最近有一批文件的曝光，間接反映了這樣的情形，而引起資安圈的高度討論。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">根據一位臺灣資安研究員的揭露，中國資安業者「安洵信息」發生內部資料外洩，而導致中國當局網路間諜活動曝光，當中提及該公司從事網路間諜行動的經驗，並說明他們使用的作案工具，雖然資料的來源與真實性仍有待進一步確認，但根據其內容來看，他們提供了各式各樣的網路攻擊服務，很有可能聽從中國政府的指示對指定目標下手。</p> <h3><a href="https://www.ithome.com.tw/news/161422"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月22日】鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害組織</span></strong></a></h3> <p>鎖定企業臉書帳號的大規模網路攻擊行動，去年7月、8月，資安業者WithSecure、Zscaler揭露<a href="https://www.ithome.com.tw/news/158628">名為DuckTail的竊資軟體攻擊行動</a>，這起事故是越南駭客特別針對數位行銷及廣告領域的人才下手，藉由職場社群網站LinkedIn尋找目標。</p> <p>但類似的手法，最近又有新的發現。資安業者Group-IB發現另一起專門針對越南企業組織而來的攻擊行動，對方使用另一款竊資軟體VietCredCare，從事攻擊行動迄成約有一年半，受害組織遍及當地三分之二省份。</p> <h3><a href="https://www.ithome.com.tw/news/161450"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月23日】遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit</span></strong></a></h3> <p>本週多國執法單位宣布接管勒索軟體LockBit的基礎設施，但這些駭客疑似隨即東山再起，利用甫公布的重大漏洞發動攻擊。</p> <p>資安業者Sophos、Huntress發現，有人利用ScreenConnect的漏洞CVE-2024-1708、CVE-2024-1709發動攻擊，從而在目標組織執行勒索軟體LockBit，其中包含與911相關的系統和醫療機構，研究人員推測，這些攻擊很有可能是尚未遭到取締的LockBit附屬團體所為。</p> </div></div></div>
2024/2/26 09:32作者羅正漢https://www.ithome.com.tw/news/161463
Google Gemini Nano模型將可執行於聯發科晶片組，首支援中階手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mediatek.com/blog/mediatek-dimensity-9300-and-8300-chipsets-now-optimized-for-google-gemini-nano" target="_blank">聯發科宣布</a>，二款新晶片組將支援Google的行動平臺AI模型Gemini Nano 。</p> <p>Dimensity 8300及9300 SoC為聯發科去年推出的行動平臺，在與Google 合作下，雙方整合並優化Google Gemini Nano，使之執行在聯發科Dimensity 8300及9300二款晶片組上。這樁合作包括Google使用聯發科AI開發工具組NeuroPilot，將Gemini Nano執行在聯發科APU上以推升效能。雙方也計畫釋出Dimensity 8300及9300上的APK，以便開發人員和手機品牌業者可部署Gemini Nano應用程式。</p> <p>Gemini Nano是Google去年公布的Gemini 模型中最小的，專門執行在手機等行動平臺上。之前能執行Nano的只有旗艦機種，包括<a href="https://store.google.com/intl/en/ideas/articles/pixel-feature-drop-december-2023/" target="_blank">Google Pixel 8 Pro</a> 、以及今年1月才公布的三星Galaxy S24系列。</p> <p>和聯發科的合作，意謂Gemini Nano即將可執行在中階手機上。Google曾經表示，Qualcomm、聯發科和三星的旗艦晶片組都會支援Nano。MediaTek Dimensity 8300是第一款為中階機種設計的晶片平臺。另一方面，雖然Dimensity 8300可支援大型語言模型，不過Google並未提供該晶片組支援多少token rate，因此可以預期執行多個AI功能會減緩手機的效能。</p> <p>根據<a href="https://www.androidauthority.com/google-gemini-nano-mid-range-phones-mediatek-3418503/" target="_blank">Android Authority</a>報導，目前搭載Mediatek Dimensity 8300的手機只有POCO X6 Pro。但Google可望會持續拓展支援Gemini Nano的中階手機合作夥伴。</p> </div></div></div>
2024/2/26 09:41作者林妍溱https://www.ithome.com.tw/news/161464
eBay推薦典範大變革
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1170-feng_mian_gu_shi_-p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=dNqm8ocC" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2021年，eBay發現，不論用什麼現代化技術來改造，傳統的商品推薦做法還是有難以打破的瓶頸，必須跳脫行之有年的思維束縛，從顧客角度出發重新改造推薦模式，為每一個人打造專屬的商品探索旅途</p> </div></div></div>
2024/2/26 08:22作者郭又華https://www.ithome.com.tw/article/161431
Bluesky推聯邦化功能，支援用戶自託管伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由推特前執行長Jack Dorsey提出並支援的分散式社交網路平臺Bluesky也開始<a href="https://bsky.social/about/blog/02-22-2024-open-social-web">聯邦化</a>，現在官方先開放自託管用戶可選擇在任何位置儲存資料，包括發布的文章、按讚與追蹤等，之後還會開放大型伺服器營運。在經歷將近一年的邀請測試之後，Bluesky在2月初時開放所有使用者註冊，目前Bluesky使用者數已超過500萬。</p> <p>Bluesky運作模型像是網際網路，所有人都可以在網際網路上架設網站，並且自由選擇託管供應商託管網站，甚至是可以由自己託管，並且隨時可以更換。當網站轉移到另一個託管供應商，網站訪客並不會察覺到不同之處，因為無論是網站管理和儲存資料的方法為何，訪客都是透過網址連結到網站。</p> <p>Bluesky的運作方式也是如此，當用戶註冊時，系統預設建議使用Bluesky儲存資料，但用戶也可以選擇另一家託管供應商儲存資料，甚至是自己託管。用戶能夠隨時改變主意，將資料轉移到另一個供應商，所有文章、按讚與追蹤都會保留。單純以追蹤者角度來說並不會改變，無論是資訊實際儲存的位置，抑或是移動次數，用戶的個人檔案始終透過帳戶名稱存取。</p> <p>Bluesky聯邦化讓服務能夠相互連接，提供用戶像是開放網路一樣，可以在各種應用和體驗之間移動。目前Bluesky最新開放的聯邦化版本，主要是提供自託管用戶，其中存在一些防護措施確保聯邦網路的順暢運作，而下一階段，Bluesky才會開放給想要運作大型伺服器的用戶。</p> <p>官方表示，無論用戶是使用Bluesky的伺服器還是自己營運的伺服器，體驗都不會有太大的差異。Bluesky特別設計讓自行託管資料簡單且低成本，使得用戶自行託管資料的體驗與Bluesky提供的服務相同，甚至是更好。Bluesky所建立的AT協定，可將資料控制權還給用戶，讓用戶選擇任意應用程式、訂閱來源，或是偏好的審查規則，如此社交媒體便不會被單一公司控制。</p> <p>Bluesky所使用的是自行開發的AT協定，與Mastodon社交網路所支援的ActivityPub並不相同，雖然兩者所建立的社交網路皆有聯邦（Federation）的概念，但實際運作仍有一些差異，在全球對話參與、審查方式、訂閱來源和帳戶可移植性方面不同。</p> <p>Bluesky解釋，在Mastodon中，用戶的實例或伺服器決定了社群，因此用戶的體驗取決於加入的伺服器，一個實例可以從其他實例發送和接受文章，但不主動提供全球網路瀏覽，而且Mastodon伺服器會成為用戶名稱的一部分。在Bluesky上，用戶的體驗基於追蹤的訂閱來源和帳戶，並能夠輕易地參與全球對話，包括突發新聞、爆紅的文章，或是其他演算法訂閱來源，用戶也可以使用自己的網域名稱作為使用者名稱。</p> <p>在審查方面，Bluesky的審查機制不像是Mastodon綁定伺服器，Bluesky伺服器營運者可以設定託管內容的規則，但是社群的自我組織和審查，更依靠封鎖列表和審核服務等工具，也就是當用戶更換伺服器，仍然可以使用相同的工具來維持審查偏好，像是添加特定用戶到封鎖列表中，無論用戶使用任何Bluesky伺服器，封鎖列表都會發揮作用。</p> <p>Bluesky的時間軸也不和伺服器綁定，所有使用者都可以建立訂閱來源，目前Bluesky上已經有4萬個演算法訂閱來源可供選擇，但Mastodon時間軸僅由用戶追蹤的帳戶文章組成。</p> </div></div></div>
2024/2/25 18:00作者李建興https://www.ithome.com.tw/news/161451
微軟在Windows 10以上的照片App添加魔術橡皮擦功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布在Windows照片應用程式添加<a href="https://blogs.windows.com/windows-insider/2024/02/22/windows-photos-gets-generative-erase-and-recent-ai-editing-features-now-available-on-arm64-devices-and-windows-10/">生成擦除（Generative Erase）新功能</a>，透過結合人工智慧技術，照片應用程式可以供用戶修復和刪除照片中的干擾物，諸如背景物體或是各種視覺雜亂。用戶只要在編輯影像中選擇擦除選項，並用筆刷塗抹想刪除的物體或是區域，程式便會自動進行擦除。</p> <p>用戶也可以調整筆刷大小，以獲得需要的精準度，另外，透過停用自動應用功能，用戶可以增加或是移除遮罩，就能更好地控制或是一次刪除多個物體。官方提到生成擦除的優點在於，即便用戶擦除大面積的區域，程式也會產生無縫且真實的結果。</p> <p>微軟開始於所有Windows Insiders頻道釋出生成擦除功能，而所有當前照片應用程式的人工智慧編輯功能，包括模糊背景、刪除和替換背景和生成擦除等功能，也都已經可以在Windows 11 for Arm64裝置上使用，同時這也是首次微軟將原本Windows 11才有的照片應用程式人工智慧編輯功能，下放到Windows 10。</p> </div></div></div>
2024/2/25 18:05作者李建興https://www.ithome.com.tw/news/161452
支援3D協作與數位雙生，輝達添新款專業繪圖資料中心GPU
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_l40s_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於導入Ada Lovelace架構的資料中心GPU產品，Nvidia去年上半陸續推出<a href="https://www.ithome.com.tw/review/155388">L40</a>、<a href="https://www.ithome.com.tw/review/156053">L4</a>，8月初舉行的年度電腦繪圖技術大會SIGGRAPH，他們發表另一個款式的資料中心GPU產品L40S，目的是標榜2022年開始主推的OVX伺服器，搭配該公司持續發展的3D協同工作流程Omniverse平臺，支援數位雙生（Digital twins）的圖像呈現，以及其他用到大量AI與圖形運算的工作負載加速需求，預計秋季將由多家伺服器廠商供應L40S，隨後將提供搭配L40S的OVX系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20L40S-OVX-2023-08-SIGGRAPH%20Keynote.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia L40S-OVX-2023-08-08_113219.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20L40S-OVX-2023-08-08_113219.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Nvidia L40S-OVX-2023-08-08_113353.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20L40S-OVX-2023-08-08_113353.jpg" style="width: 298px;" /></a></p> <p>而在幾週之後登場的VMware Explore年度用戶大會，兩家公司宣布將推出支援VMware Private AI Foundation的AI就緒伺服器，預告年底開始供應搭配L40S與BlueField資料處理器的系統，而在後續幾個月內，也將由多家雲端服務業者提供這類型執行個體。果然，9月底召開的甲骨文年度用戶大會Oracle CloudWorld期間，<a href="https://blogs.oracle.com/cloud-infrastructure/post/announcing-oci-compute-nvidia-l40s-gpus">Oracle Cloud Infrastructure（OCI）預告將推出GPU執行個體BM.GPU.L40S.4</a>；11月底AWS年度用戶大會，<a href="https://www.google.com/url?sa=t&rct=j&q=&esrc=s&source=web&cd=&cad=rja&uact=8&ved=2ahUKEwjl0L6v88CEAxUJslYBHdbYCbMQFnoECBAQAQ&url=https%3A%2F%2Faws.amazon.com%2Fblogs%2Fmachine-learning%2Fintroducing-three-new-nvidia-gpu-based-amazon-ec2-instances%2F&usg=AOvVaw3Mp_AenNWcTLenXzYxX97b&opi=89978449">AWS揭露將推出GPU執行個體EC2 G6e</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-28-AWS GPU instances.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-28-AWS%20GPU%20instances.jpg" style="width: 600px;" /></a></p> <p>到了今年2月底，Nvidia在L40S的網站產品英文介紹頁面當中，終於將「此產品上市時請通知我」的字樣拿下（正體中文版網站仍保有這些敘述），</p> <p><a href="https://s4.itho.me/sites/default/files/images/L40S-notify-2024-02-SG.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/L40S-notify-2024-02-SG.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Nvidia L40S-2024-02-23.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20L40S-2024-02-23.jpg" style="width: 298px;" /></a></p> <p>而在臺灣的線上購物網站PC，我們也看到裡面居然陳列L40S，並標示預計出貨日為4月23至25日。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia L40S-2024-02-23_013456-PChome.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20L40S-2024-02-23_013456-PChome.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/L40s-2024-02-AMAZON.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/L40s-2024-02-EBAY.jpg" style="width: 298px;" /></p> <p>在L40S發表之初，Nvidia先公布產品技術規格，與L40所差無幾，例如，均配備48 GB的GDDR6記憶體，同樣內建18,176顆CUDA核心、568顆第三代Tensor核心，以及142顆第四代RT核心。</p> <p>效能方面，L40S的FP32浮點運算為91.6 TFLOPS（L40為90.5 TFLOPS），Nvidia上一代頂級資料中心GPU產品A100，若同樣用於這類運算，僅提供19.5 TFLOPS；而在RT核心浮點運算效能的部分，L40S與L40皆為209 TFLOPS。</p> <p>而在Tensor核心的運算效能上，這兩款GPU之間就有很顯著的差異，例如，TF32、BF16、FP16、FP8、Peak INT8、Peak INT4，都領先了1倍，部分類型的運算甚至最高可達到1.45 PFLOPS，可加速複雜的運算與資料密集型分析作業。</p> <p>既然L40s具有更高超的效能，因此，L40S的熱設計功耗較高，可達到350瓦，L40則是300瓦。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20L40S%20Card-Comparison-2023-08.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro L40S vs A100 Card-Comparison-2023-08-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20L40S%20vs%20A100%20Card-Comparison-2023-08-.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Supermicro L40 vs A100 System-Comparison-2023-08-.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20L40%20vs%20A100%20System-Comparison-2023-08-.jpg" style="width: 298px;" /></a></p> <p>若就AI應用效能而言，比起A100，L40S也有顯著改善，例如，推論能力提升20％，訓練能力增強70％。</p> <p>而從2023年8月發表至今，L40S已陸續有多款伺服器採用。根據<a href="https://www.nvidia.com/en-us/data-center/data-center-gpus/qualified-system-catalog/">Nvidia認證系統型錄</a>來看，有67款Nvidia認可（Qualified）的機型搭配L40S，提供最多機型的前三大廠牌，依序是Supermicro（18款）、技嘉（15款）、華碩（13款），我們先前介紹的<a href="https://www.ithome.com.tw/review/161012">雲達QuantaGrid D54U-3U</a>，就是其中之一而通過Nvidia-Certied認證的，有3款機型，分別是：技嘉的G293-S42-A、G293-Z42-A，以及聯想的SR675 V3。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Qualified%20System%20Catalog-L40S.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-05-Nvidia Qualified-Certified Gigabyte.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-05-Nvidia%20Qualified-Certified%20Gigabyte.jpg" style="width: 500px;" /></a></p> <p>若以Nvidia這幾年圖形運算整合伺服器平臺OVX來看，也可以發現他們搭配的GPU與網路介面組態變化，這當中也突顯L40S成為最新搭配的主力產品</p> <p>例如，Nvidia先在2022年3月發表第一代系統的參考設計，搭配8張GPU產品<a href="https://www.ithome.com.tw/review/140860">Nvidia A40</a>，以及3張網路卡<a href="https://www.ithome.com.tw/review/137969">Nvidia ConnectX-6 Dx</a>；同年9月發表的第二代OVX伺服器，預告2023年上半將搭配8張GPU產品<a href="https://www.ithome.com.tw/review/155388">Nvidia L40</a>，以及3張網路卡<a href="https://www.ithome.com.tw/review/149714">Nvidia ConnectX-7</a>；2023年3月揭露第三代OVX運算系統，搭配4張GPU產品Nvidia L40、2張網路卡Nvidia ConnectX-7，以及資料中心處理器<a href="https://www.ithome.com.tw/review/156209">BlueField-3</a>，Nvidia當時表示，預計稍晚推出此項設計。</p> <p>目前他們已公布最新一代OVX伺服器配置，就GPU而言，他們提供搭配4張L40S GPU與8張L40S的選擇，前者採用32核心的英特爾第四代Xeon Scalable處理器（Xeon Gold 6448Y），或32核心的AMD第四代EPYC處理器（AMD EPYC 9354），後者採用56核心的英特爾第四代Xeon Scalable處理器（Xeon Gold 8480），或AMD第四代EPYC處理器（AMD EPYC 9554）；記憶體容量分別是384 GB以上、768 GB以上；網路介面的部分，就南北向傳輸而言，分別搭配2張、4張ConnectX-7（200Gb），就東西向傳輸而言，均搭配1張BlueField-3（B3220）。</p> <h3><span style="color:#008080;"><strong>產品資訊</strong></span></h3> <p><strong>Nvidia L40S</strong><br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●CUDA處理核心數量：18,176顆<br /> ●Tensor核心數量：568顆<br /> ●RT核心數量：142顆<br /> ●內建記憶體容量：48 GB GDDR6<br /> ●記憶體頻寬：864 GB/s<br /> ●連接介面：PCIe 4.0 x16<br /> ●支援NVLink：否<br /> ●單精度浮點運算效能：91.6 TFLOPS<br /> ●外觀尺寸：雙槽全高<br /> ●DisplayPort埠：1.4a版規格，4個<br /> ●耗電量：350瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/2/25 14:51作者李宗翰https://www.ithome.com.tw/review/161433
中國資安業者安洵信息內部資料在GitHub公開，曝露中國政府對全球各地的網路間諜攻擊手段，引起各界高度關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府資助的駭客佯裝成資安公司，在全球從事網路間諜活動，過往通常是藉由研究人員找到的蛛絲馬跡，才能揭露駭客暗中從事多年的行為，但最近有一批文件的曝光，間接反映了這樣的情形，而引起資安圈的高度討論。</p> <p>根據一位臺灣資安研究員的揭露，中國資安業者「安洵信息（iSoon、Anxun）」發生內部資料外洩，而導致中國當局網路間諜活動曝光，當中提及該公司從事網路間諜行動的經驗，並說明他們使用的作案工具，雖然資料的來源與真實性仍有待進一步確認，但根據其內容來看，他們提供了各式各樣的網路攻擊服務，很有可能聽從中國政府的指示對指定目標下手。</p> <h3><span style="color:#0000FF;"><strong>臺灣研究人員揭露安洵信息所使用的攻擊工具，表明該公司非單純的「資安業者」</strong></span></h3> <p>一位名為「安坂星海」的臺灣資安研究員發現，<a href="https://twitter.com/AzakaSekai_/status/1759326049262019025">有人將中國資安業者「安洵信息」的內部資料上傳到程式碼儲存庫GitHub</a>，聲稱該公司欺瞞中國當局，且財務出現問題，其產品的品質低落，並招致員工抱怨。這些資料也透露該公司替客戶（中國政府）滲透印度、泰國、越南、韓國、北約組織的政府機關。</p> <p><a href="https://s4.itho.me/sites/default/files/images/i-S00N-GitHub.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/i-S00N-GitHub.png" style="width: 580px;" /></a></p> <p>研究人員指出，這些資料很有可能來自該公司專門研發間諜軟體的部門，其軟體平臺能挖掘使用者X（推特）帳號登記的電話號碼及電子郵件信箱，並對特定帳號的動態進行即時監控，甚至能冒用帳號來進行發文、刪文、轉推、按讚。該公司針對Windows、macOS、Linux、iOS、安卓等作業系統，自製RAT木馬程式Hector，其中Windows版木馬號稱能迴避95%防毒軟體偵測，此外，公司還開發外觀與行動電源極為相似的「Wi-Fi抵近攻擊系統（Wi-Fi Near Field Attack System）」。</p> <p>在業務運作上，這家公司同時經營DDoS殭屍網路，所用的病毒檔案大小僅有29 KB，此殭屍網路號稱能產生10至100Gbps的流量。除此之外，還有APT攻擊的教戰手則，並能透過分析郵件、中國社群網站平臺內容來從事間諜行動的說明文件。</p> <p>而對於這些資料外流的原因，新聞網站大紀元認為，<a href="https://www.epochtimes.com.tw/n433151/%E9%99%B8%E7%B6%B2%E5%AE%89%E5%85%AC%E5%8F%B8%E6%96%87%E4%BB%B6%E5%A4%96%E6%B5%81-%E6%9B%9D%E5%85%89%E4%B8%AD%E5%85%B1%E7%B6%B2%E6%94%BB%E6%89%8B%E6%AE%B5.html">很有可能是員工對公司及薪資不滿所致</a>；另一個<a href="https://www.coinlive.com/zh/news/inside-story-of-an-xun-self-built-pornographic-websites-phishing-and">新聞媒體Coinlive指出</a>，該公司員工曾討論如何販賣國家機密，或是製作色情聊天網站來維持生計。</p> <h3><span style="color:#0000FF;"><strong>相關資料引起歐美國家關切</strong></span></h3> <p>在上述研究人員揭露此事不久，這批資料引來大量關注，<a href="https://www.washingtonpost.com/world/2024/02/21/china-hacking-leak-documents-isoon/">根據華盛頓郵報的報導</a>，儘管資料的來源仍不得而知，但研究人員普遍認為這些資料是真實可信的，他們取得研究人員的說法，這些資料內含超過570筆檔案、圖片，以及對話記錄，詳細披露該公司8年來為中國政府盜取外國資料的合約內容，至少有20個國家及地區成為目標，包括臺灣、印度、香港、泰國、韓國、英國、馬來西亞。</p> <p>該媒體引述資安業者Mandiant威脅情資首席分析師John Hultquist的說法，他們有充分的理由相信，這些是能佐證中國政府透過承包商對全球各地從事網路間諜行動的真實資料。</p> <p>這些資料突顯了承包中國政府網路間諜業務的業者之間的激烈競爭，這些廠商為了爭取政府的合約，向中國警方、軍方、情資機構標榜他們的能力，聲稱能夠全面地存取買家認為有用的敏感資料。</p> <p>究竟這批駭客得手那些資料？華盛頓郵報表示，該公司宣稱成功入侵80個企業組織，大部分遭駭的企業組織都在亞洲，其中包含了95.2 GB印度移民資料、3 TB韓國電信業者LG U Plus的通話記錄，此外，這些駭客也入侵了臺灣、香港、哈薩克、馬來西亞、蒙古、尼泊爾的電信業者。</p> <p>值得留意的是，該公司的客戶也要求他們收集特定國家的基礎設施資料，例如，他們竊得495 GB臺灣道路地圖檔案，美國智庫創始人Dmitri Alperovitch指出，這批檔案內含臺灣公路地形、橋樑、隧道的詳細資料，一旦中國對臺灣發動戰爭，軍隊就能精確地調動裝甲部隊及兵力。</p> <p>除此之外，根據該公司員工的對話內容，華盛頓郵報指出，還有10個泰國政府機構也在2020年至2022年遭到入侵，2022年該公司曾企圖出售北約組織（NATO）有關的資料，員工亦討論如何對英國內政部、外交部、國際戰略研究所等一系列目標下手，並試圖從中國外交夥伴巴基斯坦和柬埔寨收集情報。</p> <p>這家公司也曾與惡名昭彰的駭客組織APT41合作，兩個組織的成員甚至見過面。但後來安洵積欠APT41經營的公司「成都404」超過100萬人民幣的款項，導致兩個組織之間的關係惡化，成都404根據軟體開發合約對安洵提告。</p> <h3><span style="color:#0000FF;"><strong>有更多研究人員透露看法，並指出與過往揭露的調查能夠相互印證</strong></span></h3> <p>這批資料引起許多研究人員及資安業者的關注，並表示看法。根據<a href="https://cyberscoop.com/isoon-chinese-apt-contractor-leak/">資安新聞網站CyberScoop的報導</a>，資安業者SentinelOne<a href="http://sentinelone.com/labs/unmasking-i-soon-the-leak-that-revealed-chinas-cyber-operations/">指出這些資料透露中國網路間諜產業已經非常成熟</a>，是他們看過最為具體的證據之一，呈現中國政府成功推動了駭客組織的業務市場競爭。他們看到安洵自稱是民間資安業者，服務的客戶卻是公共安全部、國家安全部、人民解放軍等中國政府單位。</p> <p>臺灣資安業者TeamT5指出，這些資料印證他們長期以來的分析結果──也就是中國民間的資安組織在政府從事全球性的APT攻擊發揮了關鍵作用。研究人員從2020年追蹤這家資安業者，並和自己的研究成果比對，認為這些資料可信度非常高。</p> <p>他們指出，這些資料透露了安洵如何與中國政府打交道，以及該公司產品的細節和財務狀況，<a href="https://attack.mitre.org/software/S0596/">其中甚至鉅細靡遺交代這組人馬如何協助開發RAT木馬程式ShadowPad</a>，所以他們對資料的真實性抱持高度的信心。</p> <p>此外，這些資料也佐證TeamT5先前揭露的攻擊行動，例如<a href="https://www.blackhat.com/asia-22/briefings/schedule/#to-loot-or-not-to-loot-that-is-not-a-question-when-state-nexus-apt-targets-online-entertainment-industry-26143">安洵與中國政府聯手攻擊線上賭博業者</a>，以及該公司曾為了經濟利益發動勒索軟體攻擊──當時，研究人員推測這類攻擊行動的出現，就是中國政府削減了支付給這些承包商的預算導致。</p> <p>另一名自稱移民到臺灣的研究人員「佐拉」也提出看法，<a href="https://twitter.com/zuola/status/1760195384352424151">他認為這批資料完整印證外界對中國政府資助的攻擊行動</a>：這些當地「資安業者」購買零時差漏洞並製作攻擊工具，然後在政府的庇護下對高價值的目標進行長期滲透，若是得手有價值的資料就尋求買家出售，或是接受委託從事針對性攻擊。</p> <p>他也透露看到安洵聲稱對受害的政府機關及企業組織下手，並提及偷到的資料檔案大小。而針對臺灣的部分，對方號稱他們開發的「天機情報大數據平臺」當中，納入17 GB與臺灣有關的個資，這些資料與人口、自來水廠、宅配通有關。此外，他也提及圓桌教育基金會內部網路遭到全面控制、臺灣大學應用力學研究所網路環境被植入Web Shell、淡江大學郵件伺服器存取權限外洩等情況。</p> </div></div></div>
2024/2/24 23:11作者周峻佑https://www.ithome.com.tw/news/161454
【資安日報】2月23日，遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週多國執法單位宣布接管勒索軟體LockBit的基礎設施，但這些駭客疑似隨即東山再起，利用甫公布的重大漏洞發動攻擊。</p> <p>資安業者Sophos、Huntress發現，有人利用ScreenConnect的漏洞CVE-2024-1708、CVE-2024-1709發動攻擊，從而在目標組織執行勒索軟體LockBit，其中包含與911相關的系統和醫療機構，研究人員推測，這些攻擊很有可能是尚未遭到取締的LockBit附屬團體所為。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/screenconnect-servers-hacked-in-lockbit-ransomware-attacks/"><strong style="font-size: 22px;">勒索軟體駭客LockBit鎖定ScreenConnect伺服器重大漏洞發動攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GG8JXlwW0AAnWle.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GG8JXlwW0AAnWle.png" style="width: 300px; float: right;" /></a>2月20日資安業者ConnectWise針對旗下遠端桌面連線系統ScreenConnect公告身分驗證繞過漏洞CVE-2024-1709、路徑穿越漏洞CVE-2024-1708（CVSS風險評為10分、8.4分），之後便傳出攻擊者積極利用的情況，公布漏洞細節的資安業者Huntress將這些漏洞命名為SlashAndGrab。</p> <p>根據Shadowserver基金會的調查，駭客透過643個IP位址從事掃描行為，企圖尋找存在漏洞的ScreenConnect伺服器。但值得留意的是，從物聯網搜尋引擎Shodan的分析，能透過網際網路存取的伺服器有8,659臺，但僅有980臺修補該漏洞。</p> <p>22日資安業者Sophos提出警告，他們先是看到有人利用這項漏洞發動勒索軟體LockBit攻擊，也出現用於散布其他惡意程式的情況，這些惡意程式包含了AsyncRAT及竊資軟體，此外，還有部分攻擊是植入遠端支援系統SimpleHelp的用戶端程式。資安業者Huntress也證實這些漏洞被用於勒索軟體攻擊的情況，並指出駭客鎖定了診所、獸醫院，以及與911專線相關地方政府系統。</p> <p>資料來源</p> <p>1. <a href="http://twitter.com/Shadowserver/status/1760740607268638809">http://twitter.com/Shadowserver/status/1760740607268638809</a><br /> 2. <a href="https://www.shodan.io/search?query=%22Server%3A+ScreenConnect%2F23.9.8%22">https://www.shodan.io/search?query=%22Server%3A+ScreenConnect%2F23.9.8%22</a><br /> 3. <a href="https://twitter.com/SophosXOps/status/1760636826874790025">https://twitter.com/SophosXOps/status/1760636826874790025</a><br /> 4. <a href="https://twitter.com/SophosXOps/status/1760636830456615223">https://twitter.com/SophosXOps/status/1760636830456615223</a><br /> 5. <a href="https://twitter.com/MaxRogers5/status/1760718193285316924">https://twitter.com/MaxRogers5/status/1760718193285316924</a></p> <p><a href="https://www.trendmicro.com/en_us/research/24/b/earth-preta-campaign-targets-asia-doplugs.html"><strong style="font-size: 22px;">中國駭客組織Mustang Panda對亞洲國家散布惡意程式Doplugs，主要目標是臺灣、越南</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/doplugs-7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/doplugs-7.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技針對中國駭客組織Mustang Panda（亦稱Earth Preta、Bronze President）近期的攻擊行動公布新的發現，他們在去年發現鎖定臺灣政府的釣魚郵件，其中挾帶惡意軟體PlugX的變種版本Doplugs，經過比對後，他們認為，這可能與先前另一起攻擊有關，因為資安業者Check Point去年7月揭露的Smugx攻擊，用於攻擊歐洲的惡意程式，與上述Doplugs雷同。</p> <p>他們進一步調查，發現對方2022年就開始使用Doplugs，但相較於一般的PlugX，此惡意程式並未具備完整的後門功能，駭客主要是將其當作惡意程式載入工具，於受害電腦植入PlugX。值得留意的是，對方在Doplugs導入名為KillSomeOne的模組，而具備USB蠕蟲的特性。</p> <p>研究人員比對惡意程式分析平臺VirusTotal的資料，指出這些駭客使用Doplugs在亞洲從事的攻擊行動，主要針對臺灣及越南，但中國、新加坡、香港、日本、印度、馬來西亞、蒙古也有災情。</p> <p><a href="https://thehackernews.com/2024/02/meta-warns-of-8-spyware-firms-targeting.html"><strong style="font-size: 22px;">8家間諜軟體供應商橫行，鎖定Meta旗下社群網站平臺用戶下手，從手機和電腦搜括各式網路服務的個資</strong></a></p> <p></p> <p>Meta近期針對2023年第4季的威脅態勢公布調查結果，指出有別於過往鎖定該公司社群網站用戶的惡意軟體攻擊，本季主要都是由商業間諜軟體廠商發起，他們一共看到8家義大利、西班牙、阿拉伯聯合大公國（UAE）網路間諜公司的惡意活動，並指出這些公司的惡意軟體會收集設備的系統資訊、地理位置、照片、影片、通訊錄、行事曆、電子郵件、簡訊、社群網站、即時通訊軟體，並透過麥克風、視訊鏡頭、螢幕截圖收集各式情報。</p> <p>研究人員指出，這些商業間諜軟體收集的資料範圍相當廣，不光是Meta旗下的臉書、Instagram遭到鎖定，也搜括使用者的其他社群網站平臺（如X、Reddit、Twitch）、影音串流平臺（如YouTube、TikTok）、即時通訊軟體（如Skype、SnapChat、Telegram），以及職場社群網站LinkedIn的內容。另一個不同之處在於，過往的商業間諜軟體大多針對行動裝置而來，但這次發現窺伺活動的範圍也涵蓋Windows、macOS作業系統裝置的使用者。</p> <p>此外，Meta也針對合謀的偽冒行為（Coordinated Inauthentic Behavior，CIB），從臉書及Instagram刪除逾2千個中國、緬甸、烏克蘭的帳號、網頁、群組，以中國的CIB行動而言，駭客會特別貼文苛責美國對於臺灣和以色列的外交政策，並抨擊該國政府對烏克蘭的態度。</p> <p><a href="https://www.bleepingcomputer.com/news/security/wyze-investigating-security-issue-amid-ongoing-outage/"><strong style="font-size: 22px;">智慧家庭設備業者Wyze出現服務異常，使用者竟看到他人監視器畫面</strong></a></p> <p></p> <p>2月16日智慧家庭設備業者Wyze傳出服務異常的現象，他們先是在太平洋時間（PT）上午6時31分表示，接獲用戶通報監視鏡頭裝置離線及登入系統出現困難的情況，在1個小時後表示原因是合作夥伴AWS造成，他們正與AWS著手處理。</p> <p>值得留意的是，在該公司處理上述服務中斷的過程，試圖重新將裝置上線時，部分用戶發現在行動裝置應用程式的事件（Events）標籤中，竟出現他人監視器畫面，該公司調查後確認約有1.3萬名用戶收到他人的監視器畫面縮圖，其中有1,504名使用者點選，有部分能檢視事件影片的內容，但大多只能顯示縮圖。</p> <p>針對這起事故發生的原因，該公司表示是近期系統整合的第三方程式庫造成，因無法承受龐大數量裝置同時上線，導致部分資料連結錯誤釀禍。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/vmware-urges-admins-to-remove-deprecated-vulnerable-auth-plug-in/"><strong style="font-size: 22px;">VMware呼籲vCenter管理者停用已終止支援的身分驗證外掛程式</strong></a></p> <p></p> <p>2月20日VMware發布資安公告，揭露與vCenter Server增強型驗證外掛程式（Enhanced Authentication Plug-in，EAP）有關的漏洞CVE-2024-22245、CVE-2024-22250。</p> <p>CVE-2024-22245為任意身分驗證中繼漏洞，存在於EAP的瀏覽器延伸套件，一旦攻擊者鎖定安裝EAP的瀏覽器，就有機會對網域使用者下手，從而請求及重放AD服務主體名稱（Service Principal Name，SPN），CVSS風險評為9.6分。另一個漏洞CVE-2024-22250則是能用於挾持瀏表欠連線階段（Session），攻擊者若是能夠本機存取Windows作業系統，就可能挾持特權使用者建立的EAP連線階段，CVSS風險評為7.8分。</p> <p>值得留意的是，由於VMware已在2021年棄用EAP，該公司呼籲用戶應儘速移除該元件，並提供相關的PowerShell命令。</p> <p>資料來源</p> <p>1. <a href="https://www.vmware.com/security/advisories/VMSA-2024-0003.html">https://www.vmware.com/security/advisories/VMSA-2024-0003.html</a><br /> 2. <a href="https://kb.vmware.com/s/article/96442">https://kb.vmware.com/s/article/96442</a></p> <p><a href="https://www.ithome.com.tw/news/161286"><strong style="font-size: 22px;">DNSSEC存在重大設計缺陷，透過特製封包恐癱瘓DNS服務</strong></a></p> <p></p> <p>德國研究機構National Research Center for Applied Cybersecurity ATHENE指出，域名系統安全擴充（Domain Name System Security Extensions，DNSSEC）設計存在重大缺陷，允許攻擊者執行KeyTrap攻擊，只要藉由輸送有問題的封包，就有機會讓所有實作DNSSEC驗證的DNS系統癱瘓，包括Google、Cloudflare等公共DNS提供者都會受到影響。</p> <p>研究人員指出，這種攻擊手法主要是利用DNS軟體BIND的高嚴重性漏洞CVE-2023-50387，攻擊者使用特製的DNSSEC簽章進行回應，就有機會導致DNSSEC驗證解析器的處理器資源耗盡，從而阻擋合法使用者存取DNS解析服務。</p> <p>值得留意的是，KeyTrap並非新漏洞，早在1999年就被發現，雖然沒有被徹底解決，但也並未出現積極利用相關漏洞的情況，研究人員指出，原因是要利用這項漏洞需要有許多條件配合，再加上DNSSEC的身分驗證要求，使得攻擊者實際要找到利用方法變得相當困難。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://security.apple.com/blog/imessage-pq3/"><strong style="font-size: 22px;">蘋果將全面升級iMessage加密機制，採用後量子加密協定PQ3</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/xlarge_quantum_security_messaging_apps_LightMode.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/xlarge_quantum_security_messaging_apps_LightMode.png" style="width: 300px; float: right;" /></a>2月21日蘋果宣布升級即時通訊軟體iMessage的加密機制，導入後量子加密演算法PQ3，號稱加密通訊的安全性達到了第3級的強度。這項升級將隨著iOS 17.4、iPadOS 17.4、macOS 14.4、watchOS 10.4作業系統更新，推送到使用者的手機、平板電腦、Mac電腦、穿戴裝置。</p> <p>iMessage是繼去年9月Signal之後第2款導入後量子加密演算法的即時通訊軟體，但蘋果強調，有別於後量子加密Signal主要用在初始金鑰的建立，他們在使用者交換訊息也採用後量子加密的保護機制，即便金鑰洩露，也能確保影響整個對話的安全性。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ftc.gov/system/files/ftc_gov/pdf/2024.02.21StatementofChairKhanRegardingAvast.pdf"><strong style="font-size: 22px;">防毒軟體Avast暗中收集使用者上網資料並用於投放廣告，美國聯邦貿易委員會祭出1,650萬美元罰款</strong></a></p> <p></p> <p>2月22日美國聯邦交易委員會（FTC）針對防毒業者Avast擅自收集大量用戶資料，並賣給上百家資料掮客的情況祭出處分，要求該公司支付1,650萬美元罰款，並停止相關行為。</p> <p>根據調查，Avast至少從2014年開始，利用旗下防毒軟體及瀏覽器擴充套件，內容涵蓋搜尋及存取的網站，從而窺探使用者的宗教信仰、健康問題、政治傾向、位置、財務狀況等敏感資訊，並在未經告知、未經用戶同意的情況下，透過子公司Jumpshot出售給第三方資料掮客，用以執行目標式廣告。</p> <p>FTC這麼做其來有自，2019年兩大瀏覽器龍頭Google及Mozilla察覺Avast推出的4款瀏覽器擴充套件過度追蹤使用者上網行為，從Chrome Web Store、Firefox Add-ons擴充套件市集將其下架，隔年科技新聞媒體Motherboard與PCMag聯手，踢爆Avast出賣使用者上網資料的行為。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.welivesecurity.com/en/eset-research/operation-texonto-information-operation-targeting-ukrainian-speakers-context-war/"><strong><span style="font-size: 20px;">俄羅斯發起Operation Texonto攻擊行動，對烏克蘭散布與戰爭有關的假訊息</span></strong></a></p> <p></p> <p><strong><a href="https://www.aquasec.com/blog/lucifer-ddos-botnet-malware-is-targeting-apache-big-data-stack/"><span style="font-size: 20px;">殭屍網路Lucifer鎖定Apache Hadoop伺服器而來</span></a></strong></p> <p><a href="https://www.helpnetsecurity.com/2024/02/20/applications-security-debt/"><strong><span style="font-size: 20px;">逾三分之一由</span></strong></a><a href="https://www.helpnetsecurity.com/2024/02/20/applications-security-debt/"><strong><span style="font-size: 20px;">GitHub CoPilot產生的程式碼存在漏洞</span></strong></a></p> <p> </p> <p><a href="https://www.cisa.gov/news-events/alerts/2024/02/08/cisa-partners-openssf-securing-software-repositories-working-group-release-principles-package"><strong><span style="font-size: 20px;">CISA、OpenSSF發布套件儲存庫安全框架</span></strong></a></p> <p></p> <p><strong><a href="https://www.commerce.gov/news/press-releases/2024/02/biden-harris-administration-announces-first-ever-consortium-dedicated"><span style="font-size: 20px;">逾200家IT廠商加入美國政府AI資安論壇</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161422"><strong>【2月22日】鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161398"><strong>【2月21日】中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161355"><strong>【2月20日】勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿</strong></a></p> </div></div></div>
2024/2/23 17:33作者周峻佑https://www.ithome.com.tw/news/161450
AT&T電信服務中斷10小時，惹來FBI調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國東部時間周四（2/22）凌晨3:30左右（臺北時間下午4:30），美國最大電信業者AT&T<a href="https://about.att.com/pages/network-update" target="_blank">發生行動網路服務中斷事件</a>，包括通話、網路及簡訊服務都停擺，高峰時全美有超過7萬名用戶受到影響，且中斷時間超過10小時，引起了美國聯邦通訊委員會（FCC）及美國國土安全部（DHS）的關心，並使得聯邦調查局（FBI）介入調查，不過，AT&T澄清，只是內部程序錯誤所造成，與網路攻擊無關。</p> <p>AT&T在美國的5G部署已可覆蓋當地的2.1億名使用者，其<a href="https://investors.att.com/~/media/Files/A/ATT-IR-V2/financial-reports/quarterly-earnings/2023/4q-2023/4Q23_ATT_Earnings.pdf" target="_blank">去年第四季的財報</a>顯示，該公司的行動網路訂閱用戶數為7,310萬，光纖網路的訂閱用戶數為830萬。</p> <p>周四有大量的AT&T用戶發現電話服務無法使用，不能通話、傳簡訊，也無法使用網路，連緊急電話911都不能撥，使得外界懷疑AT&T是否遭到網路攻擊。</p> <p>不過，當天下午AT&T便出面澄清，初步調查顯示其服務中斷源自於應用程式，在擴充網路時執行了一個錯誤的程序，並非受到網路攻擊，將會深入評估此次的事件，以繼續提供客戶應有的服務。</p> <p>目前AT&T服務已恢復正常。</p> </div></div></div>
2024/2/23 15:07作者陳曉莉https://www.ithome.com.tw/news/161445
Avast出售用戶瀏覽資料，被罰1,650萬美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>捷克資安業者Avast因擅自蒐集大量用戶瀏覽資料，並將它們出售給上百家資料掮客，<a href="https://www.ftc.gov/news-events/news/press-releases/2024/02/ftc-order-will-ban-avast-selling-browsing-data-advertising-purposes-require-it-pay-165-million-over" target="_blank">美國聯邦交易委員會（Federal Trade Commission，FTC）周四（2/22）要求Avast停止相關行為</a>，同時支付1,650萬美元的罰款。</p> <p>根據FTC的調查，Avast利用所開發的防毒軟體及瀏覽器擴充程式來蒐集用戶的瀏覽資料，不僅無限期地儲存這些用戶資訊，還在未經用戶同意且未告知的情況下，將它們透過子公司Jumpshot出售給全球超過100家的第三方資料掮客，用以執行目標式廣告。</p> <p>至少從2014年開始，Avast便利用瀏覽器擴充程式，或者是安裝在手機及電腦上的防毒軟體，來蒐集用戶的瀏覽資料，涵蓋搜尋及所造訪的網站，得以窺探使用者的宗教信仰、健康問題、政治傾向、位置、財務狀況及其它敏感資訊。諷刺的是，Avast對外宣稱其產品可以減少網路上的追蹤，保護使用者的隱私，但在蒐集及銷售用戶資料上，卻從未告知或取得用戶的同意。</p> <p>此外，即便Avast表示是先利用演算法來刪除身分識別資訊，再將資料出售，但FTC發現Avast所出售的資料針對每個瀏覽器與其所蒐集的資料建立了唯一識別標記，涵蓋所造訪的網站、時間戳、裝置及瀏覽器類型、城市及國家等，卻對外聲稱只會以匯總與匿名方式傳送消費者個資。</p> <p>事實上，Google與Mozilla在2019年時，便曾因Avast所開發的4款瀏覽器擴充程式過度追蹤使用者行為，而<a href="https://www.ithome.com.tw/news/134601" target="_blank">將相關擴充程式自Chrome與Firefox上的程式商店移除</a>。且在2020年傳出<a href="https://www.ithome.com.tw/news/135542" target="_blank">Avast出售用戶瀏覽資料</a>時，<a href="https://www.ithome.com.tw/news/135577" target="_blank">Avast接著便關閉了</a>對外宣稱擁有來自全球1億臺裝置資料的行銷子公司Jumpshot。</p> <p>本周FTC除了要求Avast支付1,650萬美元之外，也禁止Avast出售瀏覽資料，或者在出售前必須獲得用戶的明確同意，也必須刪除當初轉給Jumpshot的瀏覽資料，以及任何自該資料衍生的產品與演算法，並要求Avast實施全面的隱私計畫。</p> </div></div></div>
2024/2/23 15:22作者陳曉莉https://www.ithome.com.tw/news/161446
Reddit申請IPO，擴大與Google合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國新聞社交平臺<a href="https://www.redditinc.com/blog/reddit-files-registration-statement-for-proposed-initial-public-offering" target="_blank">Reddit周四（2/22）披露</a>，已向美國證券交易委員會（SEC）申請股票首次公開發行（IPO），準備以RDDT為代號，登上美國紐約證券交易所（NYSE）。同一天<a href="https://www.redditinc.com/blog/reddit-and-google-expand-partnership" target="_blank">Reddit亦宣布</a>擴大與Google的合作。<a href="https://www.reuters.com/technology/reddit-ai-content-licensing-deal-with-google-sources-say-2024-02-22/" target="_blank">《路透社》</a>（Reuters）引用消息來源報導，此一合作將允許Google利用Reddit的內容來訓練AI模型，每年價值6,000萬美元。</p> <p>Reddit創立於2005年，註冊會員可上傳各種內容，從文章、連結、照片到影片等，其他會員則會針對這些內容投下贊成或反對的票數，以決定相關內容的排序。目前Reddit已有超過10萬個社團，每日不重覆造訪人數有7,300萬個，每周則高達2.67億個，站上累積的貼文超過10億篇。</p> <p>根據<a href="https://www.similarweb.com/website/reddit.com/" target="_blank">Similarweb的流量追蹤</a>，Reddit現為全美第九大網站，也是全球第十七大網站。</p> <p>Reddit主要的營收來自於廣告，包括贊助式貼文或推廣內容，該公司於上市申請文件<a href="https://www.sec.gov/Archives/edgar/data/1713445/000162828024006294/reddits-1q423.htm" target="_blank">FORM S-1</a>中披露，2022年與2023年的年度營收為6.66億美元及8.04億美元，分別虧損了1.58億美元及9,000萬美元。</p> <p>FORM S-1也陳列了握有5%以上Reddit股份的主要股東，包括騰訊（Tencent）及OpenAI共同創辦人Sam Altman都名列其中，但Altman是與關係企業共同列名。</p> <p>同一天Reddit亦宣布擴大與Google的合作，只是雙方的新聞稿似乎避重就輕。<a href="https://blog.google/inside-google/company-announcements/expanded-reddit-partnership/" target="_blank">根據Google的說法</a>，此次的合作包括Reddit將利用Vertex AI來強化Reddit平臺的搜尋與其它能力，也會在Google的各式產品中更加突顯來自Reddit的內容。</p> <p>且未來Google亦可存取Reddit的Data API，以更有效率且結構化地造訪更新的訊息，將令Google更妥善地理解Reddit內容，並以最準確及相關的方式顯示，或是用它們來訓練模型。</p> <p>日前<a href="https://www.ithome.com.tw/news/161384" target="_blank">《彭博社》</a>（Bloomberg）即引述消息來源報導，Reddit將把平臺內容授權給某家AI公司來訓練模型，亦說該筆交易每年價值6,000萬美元。</p> <p>這一年來AI業者大肆利用網路上的內容來訓練AI模型，導致許多內容業者反彈，Reddit也是其中之一。Reddit在<a href="https://www.ithome.com.tw/news/156469" target="_blank">去年4月</a>更新其服務條款，針對一向免費的Reddit Data API推出了付費版，舉凡是需要額外功能、更高用量或是更大權限的開發者都必須付費使用，然而，原本是為了限制AI業者的政策，卻使得<a href="https://www.ithome.com.tw/news/157278" target="_blank">多個知名App因而關閉</a>，開發人員還發動聯合抗議行動，<a href="https://www.ithome.com.tw/news/157316" target="_blank">癱瘓了Reddit平臺</a>。</p> </div></div></div>
2024/2/23 13:18作者陳曉莉https://www.ithome.com.tw/news/161440
零售IT雙周報第29期：不只是Chatbot！L'Oréal's推出AI化妝顧問，利用膚質檢測及AR試用進一步提升購買…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0211~0224)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI購物助手</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#即時儀容分析</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#美妝零售IT</span></span><br /> L'Oréal's推出AI化妝顧問App，利用膚質檢測及AR試用進一步提升購買意願</strong></p> <p><a href="https://www.youtube.com/watch?v=pArGshMSoNo&">L'Oréal's揭露了一個手機AI化妝顧問App</a>。根據現場示範，除了一般導購型聊天機器人會有的功能外，這個虛擬顧問還可以根據消費者現場拍攝的照片，透過電腦視覺技術分析出皺紋、色斑沉澱、肌膚緊緻程度等細節，並根據分析結果提供保養及化妝建議，同時推薦L'Oréal's商品。此App還有AR模擬試用功能，來進一步強化消費者購買意願。</p> <p>L'Oréal's表示，此AI虛擬顧問不只整合了10個LLM來強化對話功能，訓練資料還用了他們自家資料平臺的商品資料、色彩科學資料、化妝顧問資料，以及皮膚學資料，包括15萬張由皮膚科醫生親自標註的圖片，來強化化妝流程推薦及膚質檢測功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#打掃機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#行銷機器人</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#門市狀況分析</span></span><br /> 日本全家啟用清潔兼店內行銷用機器人，未來還可以充當巡邏員通知店員店內狀況</strong></p> <p>日本全家便利商店在<a href="https://www.family.co.jp/company/news_releases/2024/20240131_01.html">300家門市導入清潔兼行銷用的多功能機器人</a>。此機器人除了清潔功能外，還配備了小螢幕，會顯示產品資訊和活動公告。機身還可作為迷你貨價，擺放著促銷商品供拿取。</p> <p>未來，日本全家還計畫增設AI鏡頭，於店內移動同時記錄現場狀況，可以用作後續分析不同時間段銷售情況，以及即時通知店員補貨等用途。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/jpfmm.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#店內數位行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體零售</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span><br /> 連鎖便利商店Extramiles導入AI驅動的店內互動式行銷體驗</strong></p> <p>美國有上千家分店的連鎖便利商店Extramiles<a href="https://news.samsung.com/us/samsung-fuels-new-era-of-in-store-engagement/">開始嘗試導入店內AI互動式行銷購物體驗</a>。做法是，於店內人流量高的地方放置互動式螢幕，平時呈現與促銷商品相關的社群媒體內容，或是根據當地一周天氣預報，播放對應情境廣告。</p> <p>在某些實驗店中，此互動式體驗還有生成式AI虛擬店員功能，可以接受語音或文字輸入，來與顧客互動，提供購物建議或商品知識小測驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/exm.jpg" style="width: 600px;" /></p> <p>此螢幕還搭載了足跡分析功能，分析人流流向、潛在購買意圖、銷售轉換等資訊，來建議店家變更呈現的數位內容或互動式硬體擺放位置，以提升顧客參與度。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#個人化推薦</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#商品探索</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI工程</span></span><br /> eBay轉移商品推薦思維的歷程</strong></p> <p>2021年，eBay發現，就算用再怎麼現代化的AI技術來改造推薦系統，傳統思維下的商品推薦做法，還是有難以打破的瓶頸。eBay AI長Nitzan Mekel-Bobrov說，要為每一個顧客打造專屬的商品探索旅途，必須跳脫行之有年的思維束縛，從顧客角度出發重新改造推薦模式。</p> <p>新舊做法的關鍵差別是判斷商品關聯性的角度。以往做法是預先替商品分類，再假設商品相似性等於關聯性，進行推薦。新做法則是從顧客行為出發，推論他們如何認知商品關聯性。這個關聯性是多元的，不只注重相似性，也可能是任何其他能連結起商品的概念。eBay是如何嘗試升級舊有推薦做法，轉移到新做法後有哪些改變？<a href="https://www.ithome.com.tw/news/161416">請看本刊第1170期封面故事</a></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#沉浸式電商體驗</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#裝潢模擬</span></span><br /> Wayfair推出VR頭戴式裝置用的模擬裝潢App</strong></p> <p>室內裝潢是相對仰賴實體購物體驗的零售類別，不過美國最大家居與裝潢電商Wayfair持續在不同通路推出購物體驗，嘗試模擬消費者實體觀看家具的體驗。</p> <p>這次，在VR頭戴式裝置Apple Vision Pro上市沒多久，<a href="https://www.prnewswire.com/news-releases/wayfair-announces-decorify-app-for-apple-vision-pro-302053738.html">他們便於此平臺推出沉浸式裝潢模擬體驗。</a>消費者可以上傳自家室內空間圖片，或是使用預設房間圖片，在其中模擬不同家具擺設，以及不同裝潢風格。模擬完畢，便能直接對Wayfair電商下單購買。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/wfapvp.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV</span></span><br /> Walmart花23億美元買下智慧電視業者Vizio，以進一步發展RMN電視通路</strong></p> <p>Walmart和智慧電視業者Vizio簽定協議，<a href="https://corporate.walmart.com/news/2024/02/20/walmart-agrees-to-acquire-vizio-holding-corp-to-facilitate-accelerated-growth-of-walmart-connect-through-vizio-s-smartcast-operating-system">以23億美元收購Vizio及其智慧電視作業系統</a>（SmartCast Operating System）。Walmart表示，這個收購的主要用意是，要將Walmart線上購物及RMN觸角深入更多家庭的電視中。</p> <p>目前，Walmart是與和另一家智慧電視內容廠商巨頭Roku合作，來遞送電商和廣告內容。Vizio旗下整合串流內容平臺SmartCast有超過1,800萬組活躍帳號，CTV生態圈規模接近Roku。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#上雲</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#ERP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SCM</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#倉儲管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#訂價策略</span></span><br /> 墨西哥超市老牌雜貨超市Waldo's Dollar Mart的上雲歷程</strong></p> <p>在墨西哥有超過800家分店的連鎖雜貨超市Waldo's Dollar Mart自2020年，為了積極拓展營運規模及提升整體營運效率，<a href="https://www.oracle.com/news/announcement/waldos-dollar-mart-streamlines-retail-operations-with-oracle-cloud-2024-02-20/">開始了一系列上雲作業</a>。</p> <p>首先，他們從核心的ERP著手，改採用雲端ERP，之後將其他系統陸續搬上雲端，包括採購、收據比對、訂價策略、倉儲管理等，下一步則要將運輸管理系統也上雲。為了上雲，他們在IT面現代化了超過62套舊有應用程式，同時在業務面改善了既有存貨管理、策略規畫和預算擬定等流程。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://www.aboutamazon.com/news/retail/amazon-rufus">Amazon推出對話式AI購物助理Rufus</a></p> <p>2. <a href="https://corporate.walmart.com/news/2024/01/30/walmarts-augmented-reality-optical-try-on-lets-customer-visualize-customize-fits">Walmart的AR試穿戴技術開始支援眼鏡類商品</a></p> <p>3. <a href="https://www.etsy.com/news/etsys-journey-to-become-the-ultimate-gifting-destination">巨型手工藝品電商Etsy推出AI禮物挑選助手，可透過文字輸入或簡單互動式選單來探索送禮用商品</a></p> <p>4. 無獨有偶的，設計類電商Pinkoi也在手機版網頁中推出了AI送禮助手</p> <p>5. 酷澎導入中華電信隱碼技術，將消費者電話號碼及包裹號碼轉換成代碼或部分遮蔽以保護消費者個資</p> <p>資料來源：iThome整理，2023年2月</p> <p>責任編輯：郭又華</p> <p>圖片來源：日本全家、三星、Wayfair</p> </div></div></div>
2024/2/23 12:17作者郭又華https://www.ithome.com.tw/news/161435