iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 31篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 18:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

零售龍頭雲端省錢術
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1171-feng_mian_p1-open-dou_zi_960x420_kao_bei_0.jpg?itok=qjRPEy6m" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2023年沃爾瑪電商業績，首度突破了1千億美元，每周活躍用戶更是成長了17％。沃爾瑪的一切都在雲上執行，私有雲核心數破百萬，2年前更發展出了多雲混合雲架構。沃爾瑪早從3年前就開始推動FinOps，甚至從上雲的第一天，就開始講究節省成本</p> </div></div></div>
2024/3/4 12:00作者王宏仁https://www.ithome.com.tw/article/161578
博通以38億美元出售VMware用戶端運算業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>博通（Broadcom）和私募基金業者KKR上周宣布，博通將以38億美元將VMware包含遠端存取技術的用戶端運算（End-User Computing，EUC）部門出售給後者。</p> <p>EUC原為VMware旗下的桌面虛擬化及端點管理，或其稱數位工作區（digital workspace）的解決方案，旨在讓企業在任何裝置或平臺上都能安全連線及管理應用程式、桌機及資料。它包含企業平臺Workspace ONE整合終端管理（Unified Endpoint Management，UEM）、旗艦桌機及應用程式虛擬化平臺Horizon，以及資料、身份與工作流程共通平臺服務。</p> <p>出售業務視主管機關核准及其他條件而定，預計今年內完成。在出售後，EUC將成為一家獨立公司，並由現有管理團隊持續統率，包含其現任該部門總經理Shankar Iyer。KKR<a href="https://media.kkr.com/news-details/?news_id=48701629-ae4d-4d88-b1a9-90a438c6bf6c" target="_blank">表示</a>，除了尋求新的合作夥伴關係外，新公司也將擴建業務團隊。</p> <p>這也是博通去年11月收購VMware後，最新的產品及組織精簡措施。去年收購完成後一周博通就裁減VMware人力，<a href="https://www.crn.com/news/virtualization/broadcom-s-confirmed-vmware-cuts-surpass-2-000-as-mass-new-york-disclose-layoffs" target="_blank">據稱</a>超過2,000人。未經證實的消息<a href="https://www.reddit.com/r/vmware/comments/1b1sah4/broadcom_silent_layoffs_email_to_vmware_about_40/?rdt=61195" target="_blank">指出</a>博通以不續工作簽證為手段，迫使外籍工程師主動離職。</p> <p>另外，為了提高來自經銷通路的營收，博通去年底<a href="https://www.ithome.com.tw/news/160549" target="_blank">取消</a>現有合作夥伴關係，將只接受下單量大的經銷商作為新的合作夥伴。今年一月VMware又宣布終結了56項VMware產品，<a href="https://www.thestack.technology/vmware-is-killing-off-56-products-including-vsphere-hypervisor-and-nsx/" target="_blank">包括</a>VMware Hypervisor，以簡化產品、減少研發成本。</p> <p>博通在上周MWC大會上宣布整合VMware及Symantec技術，結合VMware VeloCloud SD-WAN（前稱VMware SD-WAN）及Symantec Security Service Edge（SSE）成為軟體定義邊緣（Software-Defined Edge）產品線<a href="https://www.broadcom.com/company/news/product-releases/61876" target="_blank">VMware VeloCloud SASE</a>以管理5G網路、邊緣網路。</p> <p>KKR對IT產品並不陌生。KKR 2018年<a href="https://www.ithome.com.tw/news/136105" target="_blank">買下</a>系統管理軟體業者BMC，後者則陸續買入其他IT產品業者，包括大型主機軟體商Compuware。2022年這家私募基金業者又從另一家基金公司Thoma Bravo手上<a href="https://www.ithome.com.tw/news/150439" target="_blank">買入</a>網路設備商Barracuda。</p> </div></div></div>
2024/3/4 10:21作者林妍溱https://www.ithome.com.tw/news/161589
【資安週報】2024年2月26日到3月1日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>告別2月，迎接3月，我們要提醒大家注意的資安消息，包括兆勤、Canon、思科的漏洞修補消息，以及開源軟體存在Wi-Fi身分驗證繞過漏洞的相關修補，需要企業著手因應之外，特別的是，還有兩個與微軟有關的漏洞利用，這些問題都必須重視，請用戶及早修補或實施緩解機制。<br /> （一）微軟在2月修補的漏洞CVE-2024-21338，通報此漏洞的資安業者Avast最近指出，發現修補前已有北韓駭客組織Lazarus利用，以關閉特定的防護處理程序、迴避偵測。由於上述狀況的發生，也表示此弱點已導致零時差漏洞攻擊。<br /> （二）去年6月微軟修補微軟Streaming Service相關漏洞<a href="https://www.cisa.gov/news-events/alerts/2024/02/29/cisa-adds-one-known-exploited-vulnerability-catalog">CVE-2023-29360，這是存在於驅動程式mskssrv.sys的權限提升漏洞，近日發現鎖定利用的情形</a>。這段時間的iThome資安日報尚未提及，在此補上。<br /> 另外，前幾期週報我們已提醒的Ivanti Connect Secure漏洞，以及ScreenConnect漏洞，如今傳出中國駭客與多個駭客團體正鎖定攻擊的情形，尚未因應的企業需要趕緊行動。</p> <p>在資安事件方面，國內有3項消息受到矚目，都與上市公司有關，包括：<br /> ●2月26日，上市綠能環保、PCB廢液處理業者昶昕公告，部份資訊系統遭受駭客網路攻擊事件。<br /> ●2月29日，中華電信因媒體報導有人在暗網兜售該公司的內部資料，發布重大訊息，表明資安團隊查知疑似資料外流的情況，正展開調查。<br /> ●2月27日，散熱風扇廠商建準在一星期前已公告發生網路資安事件，但這天再次發布新的重訊，說明該事件的後續處理情形。</p> <p>在資安威脅焦點方面，上星期發生的兩起重大事件，都有後續消息傳出。例如，才被11個國家執法單位圍剿的勒索軟體駭客組織LockBit，已傳出重啟爐灶的消息；關於中國資安業者「安洵信息」的資料外洩，曝露該國政府對全球20國發動網路間諜行動的情況，後續有更多與臺灣資安現況有關的內容被分析出來，像是國外研究人員指出，當中蒐集了臺灣道路地圖檔案的情資，已竊取495 GB的相關檔案，臺灣資安業者TeamT5亦指出，當中透露該公司與中國政府打交道的情形，產品細節與財務，以及上報RAT木馬程式ShadowPad開發的細節，顯示這批資料的可信度相當高。</p> <p>其他最新威脅態勢的揭露上，我們注意到5個值得留意的狀況，其中有3則是多國網路安全機構的示警：<br /> ●AI開發者與用戶要當心！近日有兩起資安新聞，一是機器學習模型共享平臺Hugging Face出現100個惡意模型，不慎下載恐將被安裝後門程式，另一是AI影片編輯平臺Cutout.Pro傳出資料外洩，2千萬名會員個資流入駭客論壇。<br /> ●電信業者注意！有研究人員揭露駭客近期使用的後門程式Gtpdoor，主要針對鄰近GPRS交換網路（GRX）的電信網路環境入侵，並將攻擊流量混入合法流量，隱匿攻擊行動。<br /> ●德國BfV、韓國NIS提出警告，北韓駭客針對全球國防單位從事網路間諜行動，這份警告也揭露當中存在供應鏈攻擊的狀況：對方入侵維護廠商竊取SSH帳密，從而存取海事及航運研究中心的Linux網頁伺服器主機。<br /> ●10國執法機關聯手針對俄羅斯駭客組織APT28的攻擊行動提出警告，指出攻擊者正鎖定Ubiquiti路由器入侵，並濫用EdgeRouter迴避偵測、建置殭屍網路，以隱匿攻擊行動。<br /> ●<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a">美國CISA</a>與<a href="https://www.ncsc.gov.uk/files/Advisory-SVR-cyber-actors-adapt-tactics-for-initial-cloud-access.pdf">英國NCSC</a>示警，俄羅斯駭客組織APT29（亦稱Midnight Blizzard）是俄羅斯情報部門SVR的一部分，近期經常針對服務帳戶使用密碼噴灑攻擊，以取得對雲端環境的初始存取權限。本週刊出的資安日報尚未提及，在此補上。</p> <p>還有一個威脅態勢，我們認為也相當值得企業警惕，是棄用的子網域名稱遭濫用，有攻擊者正進行這方面的大規模網路掃描，以奪取控制權，進而盜用企業身分發動網路釣魚攻擊。近期已有MSN、VMware、eBay等多家企業的網域遭利用，這也突顯即使大型知名企業，仍可能在這方面產生疏忽。</p> <p>至於防禦態勢上，最大焦點就是美國NIST正式發布了網路安全框架CSF 2.0，新版不僅加入治理功能，還有一系列的資源與工具，讓企業更容易去實踐。例如，在5種快速入門指南中，有小型企業（SMB）適用的快速入門指南，在CPRT工具中則針對各項子類別，提供了易於理解的實踐範例。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161467"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月26日】勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來</span></strong></a></h3> <p>執法單位<a href="https://www.ithome.com.tw/news/161379">針對勒索軟體駭客組織LockBit出手</a>，成功接管34臺LockBit伺服器，凍結逾200個加密貨幣帳戶，逮捕2名嫌犯，隨後<a href="https://www.ithome.com.tw/news/161386">日本警方也在No More Ransom網站提供LockBit 3.0解密工具</a>。但這群駭客也不是省油的燈，不到一週的時間，他們重新架設網站，並聲稱已有組織受害。</p> <p>在此期間，已經有駭客利用遠端桌面連線軟體ScreenConnect的重大漏洞，<a href="https://www.ithome.com.tw/news/161450#SlashAndGrab">對醫療機構散布LockBit用來加密檔案</a>，但當時研究人員推測，可能是未被取締的附屬組織所為。</p> <h3><a href="https://www.ithome.com.tw/news/161517"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月27日】知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具</span></strong></a></h3> <p>駭客註冊特定名稱的網域並用於攻擊行動很常見，而且，過往這類手法最常見的做法，便是註冊與目標組織名稱類似的網域，企圖混淆使用者來達到目的，但最近，研究人員發現使用新型態手法的攻擊行動，駭客能夠繞過垃圾郵件過濾器或是郵件安全閘道的防護。</p> <p>特別的是，這次駭客是尋找知名企業組織棄用許久的網域名稱，並重新註冊納為己有，然後用這些網域、子網域來大量發送惡意郵件。</p> <p><a href="https://www.ithome.com.tw/news/161549"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月29日】Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式</span></strong></a></p> <p>最近2到3年，駭客偏好散布惡意程式的新興管道，其中之一就是針對開發人員使用的開源套件儲存庫NPM、PyPI而來，藉由在此發行有問題的套件，進而在安裝、使用這些套件的電腦散布惡意程式，但隨著生成式AI技術的崛起，類似的情況也出現在共享機器學習模型的平臺。</p> <p>在譽為AI界GitHub之稱的Hugging Face平臺，研究人員發現裡面存在惡意的機器學習模型，值得留意的是，儘管該公司已採取多項檢測措施來掃描機器學習模型的檔案是否有害，然而，這些模型居然可以繞過這些機制而能成功上架，因此平臺端和使用者端都要提高警覺。</p> <h3><a href="https://www.ithome.com.tw/news/161571"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月1日】惡意程式Gtpdoor埋伏於電信網路環境從事網路間諜攻擊</span></strong></a></h3> <p>電信業者遭到駭客組織鎖定，長期埋伏於電信網路環境的情況，最近幾年陸續有研究人員公布相關的攻擊行動，如今又有新的發現。</p> <p>研究人員發現新的後門程式Gtpdoor，與過往發現的作案工具有所不同的是，駭客組織LightBasin疑似直接使用GPRS隧道通訊協定（GTP）來隱匿流量內容，並將其混入合法流量，而使得電信業者難以偵測該組織從事的網路間諜行動。</p> </div></div></div>
2024/3/4 09:27作者羅正漢https://www.ithome.com.tw/news/161587
白宮要開發者放棄C和C++改用記憶體安全程式語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>白宮發布報告<a href="https://www.whitehouse.gov/wp-content/uploads/2024/02/Final-ONCD-Technical-Report.pdf">《Back to the Building Blocks: A Path Toward Secure and Measurable Software》</a>，以呼籲科技界主動減少網路攻擊面，針對軟體漏洞方面，白宮認為應該主動採取措施以減少漏洞帶來的風險，希望開發人員放棄C和C++改用記憶體安全程式語言，以增加軟體安全性。</p> <p>記憶體安全漏洞是嚴重且長期存在的問題，因為記憶體存取、寫入、分配或是非預期釋放所產生的漏洞，影響了整個數位生態系的安全性，白宮將記憶體安全漏洞分為空間與時間兩類，空間記憶體問題是指，程式存取不屬於其記憶體區域所產生的安全漏洞，而時間記憶體漏洞則是在不對的時間和狀態存取記憶體，像是物件被釋放後才存取物件資料等情況。</p> <p>過去數十年重大的網路安全漏洞，不少是由記憶體安全漏洞引起，像是1988年的Morris Worm、2003年的Slammer Worm DoS攻擊、2014年的Heartbleed，甚至是2023年的BLASTPASS都是屬於記憶體漏洞，而白宮認為，減少記憶體漏洞最有效的方法便是從程式語言下手。</p> <p>許多網路安全問題都是由單行程式碼引起，所以白宮指出，解決這些安全問題的有效方法，便是檢查所使用的程式語言本身。藉由分析和選擇程式語言的特性，尤其是關於記憶體安全的功能，可以減少甚至是消除不正確的記憶體使用方式，像是存取未分配的記憶體、緩衝區溢出等，所導致的錯誤和漏洞。</p> <p>白宮指出，目前一些在重要系統中廣泛使用的語言，像是C和C++，皆缺乏記憶體安全相關的功能。而根據CISA（Cybersecurity and Infrastructure Security Agency）開源軟體安全路線圖的建議，選用記憶體安全程式語言是一種安全設計的方式。目前已經有許多記憶體安全程式語言可用，技術製造商在建構新產品的時候，可以一開始就使用記憶體安全程式語言。</p> <p>轉換到記憶體安全程式語言對網路安全有明顯且積極的影響，白宮引用產業分析指出，以記憶體不安全語言所開發的程式碼，即便經過嚴格的程式碼審查和其他偵測控制，有分配CVE編號的安全漏洞中高達70％是由記憶體安全問題所致，而證據也顯示，將大型程式碼庫轉移到記憶體安全語言，可幾乎消除安全漏洞。</p> <p>雖然將現有程式碼完全以記憶體安全程式語言重寫具有困難度，但是還是有其他替代方案，像是混合方法，開發人員可以根據風險標準找出關鍵功能或是函式庫，優先以記憶體安全程式語言重寫這些部分。即便記憶體安全程式語言不是萬靈丹，無法解決所有網路安全問題，但白宮表示，這是技術製造商消除廣泛類別軟體漏洞，一個可以採取的重要行動。</p> <p>使用記憶體安全的程式語言可以消除大部分記憶體安全錯誤，雖然在特定情況中，專案可能無法使用記憶體安全程式語言，但是白宮藉由太空系統為例，檢視由於效能或是特定技術要求，而無法使用記憶體安全的特殊狀況，並且提出以記憶體安全硬體和形式化方法，作為記憶體安全程式語言不足的補充方法。</p> <p>OpenSSF正面<a href="https://openssf.org/blog/2024/02/26/openssf-supports-efforts-to-build-more-secure-and-measurable-software/">回應</a>了白宮的這份研究報告，承諾共同努力提高開源軟體的安全性。OpenSSF提倡採用Rust記憶體安全程式語言，以解決C和C++等傳統程式語言在記憶體管理上的脆弱性，OpenSSF也開發了C和C++編譯器選項強化指南，指導無法簡單搬遷使用記憶體安全語言的開發人員。</p> </div></div></div>
2024/3/4 08:19作者李建興https://www.ithome.com.tw/news/161573
Google更新BigQuery支援Gemini 1.0 Pro模型，並正式推出AlloyDB AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google讓<a href="https://cloud.google.com/blog/products/databases/bigquery-and-alloydb-hit-major-milestone-with-ai-enabled-updates">BigQuery可透過Vertex AI存取大型語言模型Gemini 1.0 Pro</a>，使得用戶能夠運用BigQuery資料進行多模態和進階推理，以支援醫療、供應鏈，甚至是零售和金融等產業人工智慧應用。Gemini 1.0 Pro是Google在去年底推出的大型語言模型，可以生成文字、翻譯語言，編寫各種內容，在文字摘要和情緒分析等廣泛任務表現良好，BigQuery用戶現可以從控制臺內部，使用SQL語句或是BigQuery嵌入式DataFrame API存取該模型。</p> <p>Google計畫之後還會擴展對Gemini 1.0 Pro的支援，讓客戶能夠應用更多模態生成式人工智慧用例，像是使用SQL查詢分析圖像、影片或是其他複雜資料。另外，BigQuery也開始預覽Vertex AI的文字和語音模型服務，供企業從文件和音訊檔案等非結構化資料中擷取有價值的資訊。</p> <p>Google還宣布AlloyDB AI正式上市，AlloyDB AI是AlloyDB for PostgreSQL中一組用以建構生成式人工智慧應用的功能，協助開發者使用營運資料，建構高效能且可擴展的人工智慧應用程式。AlloyDB AI內建端到端向量嵌入支援，讓開發者能夠將營運資料與大型語言模型結合使用。</p> <p>簡單來說，AlloyDB AI用戶可以使用簡單的SQL函式，將資料轉為向量嵌入，與標準PostgreSQL相比，向量查詢速度可提升達到10倍。除了AlloyDB AI，現在Google也開始預覽Spanner、MySQL和Redis的向量搜尋功能，並且預告之後將會整合LangChain開源框架，讓開發者更容易地在應用中整合大型語言模型。</p> </div></div></div>
2024/3/4 08:23作者李建興https://www.ithome.com.tw/news/161574
【資安日報】3月1日，惡意程式Gtpdoor埋伏於電信網路環境從事網路間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電信業者遭到駭客組織鎖定，長期埋伏於電信網路環境的情況，最近幾年陸續有研究人員公布相關的攻擊行動，如今又有新的發現。</p> <p>研究人員發現新的後門程式Gtpdoor，與過往發現的作案工具有所不同的是，駭客組織LightBasin疑似直接使用GPRS隧道通訊協定（GTP）來隱匿流量內容，並將其混入合法流量，而使得電信業者難以偵測該組織從事的網路間諜行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://doubleagent.net/telecommunications/backdoor/gtp/2024/02/27/GTPDOOR-COVERT-TELCO-BACKDOOR"><strong style="font-size: 22px;">惡意程式Gtpdoor鎖定電信業者而來，透過GPRS網路進行控制</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gtpdoor-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gtpdoor-1.png" style="width: 300px; float: right;" /></a>研究人員Haxrob揭露名為Gtpdoor的後門程式，駭客將其部署在鄰近GPRS交換網路（GRX）的電信網路環境，並透過GPRS隧道通訊協定（GTP）與C2進行連線，從而透過電信業者開放的連接埠，將攻擊流量混入合法流量，而能隱匿其攻擊行動。</p> <p>此後門程式具備監聽特定封包喚醒的功能，並支援反向Shell的功能，攻擊者也能藉此從外部網路進行非法探測，透過發送TCP封包來得知該後門程式的運作狀態。此外，對於特定的GTP封包，該後門程式使用XOR密碼進行加密處理。</p> <p>而對於利用該後門程式的攻擊者身分，研究人員認為可能是資安業者CrowdStrike揭露的LightBasin（也被稱做UNC1945），這些駭客曾被發現對超過13家電信業者下手，從2019年開始從這些廠商的基礎設施收集各式資訊。</p> <p><a href="https://www.zscaler.com/blogs/security-research/european-diplomats-targeted-spikedwine-wineloader"><strong style="font-size: 22px;">歐洲政府機關遭到鎖定，駭客利用印度外交活動為誘餌，散布後門程式WineLoader</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/WineLoader_1_5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WineLoader_1_5.png" style="width: 300px; float: right;" /></a>資安業者Zscaler名為SpikedWine的駭客組織攻擊行動，這些駭客疑似從去年7月開始活動，其中一起發生於今年1月30日的事故，是駭客佯稱是印度大使，邀請歐洲外交官參加2月份的品酒活動。</p> <p>對方使用PDF文件檔案做為誘餌，要求收到邀請函的官員填寫網路問卷，然而一旦照做，攻擊者就會將名為wine.hta的HTML應用程式檔案下載到電腦，該檔案含有經混淆處理的JavaScript程式碼，功能是從網域搜尋、下載挾帶後門程式檔案的壓縮檔，從而在電腦植入惡意軟體WineLoader。</p> <p>此惡意程式以DLL挖空手法注入特定的DLL檔案執行，為了迴避偵測，攻擊者以模組化的方式設計此惡意程式，相關的模組、與C2通訊的流量，也使用256位元的RC4金鑰進行加密處理。</p> <p><a href="https://blogs.jpcert.or.jp/en/2024/02/lazarus_pypi.html"><strong style="font-size: 22px;">北韓駭客Lazarus釋出惡意PyPI套件，意圖散布惡意軟體Comebacker</strong></a></p> <p></p> <p>2月28日日本電腦緊急應變小組（JPCERT/CC）提出警告，北韓駭客組織Lazarus近期在PyPI平臺上架4款具有惡意的軟體套件，企圖向開發人員散布惡意程式Comebacker。這些套件的名稱分別是pycryptoenv、pycryptoconf、quasarlib、swapmempool，在遭到刪除前共被下載3,257次。</p> <p>上述惡意套件採用類似的檔案結構，其中包含名為test.py的檔案，駭客於目標電腦執行帶有crypt功能函數的Python指令碼對其進行解碼，從而產生DLL程式庫output.py，然後該程式庫會用於建立另一個DLL檔案IconCache.db，也就是惡意軟體Comebacker，並於記憶體內執行、與C2連線。</p> <p><a href="https://www.mandiant.com/resources/blog/investigating-ivanti-exploitation-persistence"><strong style="font-size: 22px;">中國駭客組織利用Ivanti Connect Secure漏洞從事攻擊行動，恐針對美國、日本、亞太地區國防工業及電信機構而來</strong></a></p> <p></p> <p>資安業者Mandiant指出，他們在Ivanti於1月10日公布Ivanti Connect Secure零時差漏洞CVE-2023-46805、CVE-2024-21887之後，發現有中國駭客跟進、利用這些漏洞。</p> <p>其中1個名為UNC5325的駭客組織，不只使用寄生攻擊（LotL）手法來迴避偵測，並部署新型態的惡意軟體Littlelamb.Wooltea，從而在受害系統進行韌體更新、恢復原廠初始設置後，仍能在受害環境進行活動。研究人員指出，這些駭客在Ivanti公布之前，就利用了另一個漏洞CVE-2024-21893，而在Ivanti公布之後，對方企圖將其與CVE-2024-21887串連，造成更大的危害。</p> <p>根據駭客所使用的程式碼，研究人員認為這群人馬可能與另一個中國駭客組織UNC3886有關，而該組織主要攻擊範圍是美國、日本，以及亞太地區，針對國防工業基礎設施、科技業者、電信組織，他們推測UNC5325也會對於上述目標發動攻擊。</p> <p><a href="https://www.bitdefender.com/blog/labs/when-stealers-converge-new-variant-of-atomic-stealer-in-the-wild/"><strong style="font-size: 22px;">竊資軟體Atomic Stealer鎖定Safari的cookie、加密貨幣錢包而來</strong></a></p> <p></p> <p>資安業者Bitdefender發現新的macOS竊資軟體Atomic Stealer（亦稱AMOS Stealer）變種，這些竊資軟體採用Python指令碼讓其行蹤維持隱密，此惡意程式會收集瀏覽器裡儲存的資訊（特別是Safari的cookie），以及系統裡的特定檔案，並會引誘使用者提供本機帳號的密碼。</p> <p>研究人員指出，這款竊資軟體採用了結合Python與Apple指令碼的罕見手法，而有可能影響資安系統的偵測。附帶一提的是，他們比對了Atomic Stealer的程式碼，發現與2月上旬出現、假借Visual Studio更新程式來散布的竊資軟體RustDoor出現共用程式碼的情況，研判新版Atomic Stealer是以RustDoor為基礎開發而成。</p> <p><a href="https://www.ithome.com.tw/news/161562"><strong style="font-size: 22px;">中華電信傳出資料外洩，我國國安單位內部資料流入暗網</strong></a></p> <p>2月29日中華電信突然發布重大訊息提出說明，表明他們的資安團隊查知疑似資料外流的情況，已全面啟動資安防禦機制，並與外部資安技術專家共同合作處理，同時向政府部門進行通報。為何中華電信昨天要發布這則重大訊息？原因可能與這兩天一家媒體的報導有關，裡面提到有人在暗網兜售中華電信的內部資料。</p> <p>根據TVBS新聞臺2月28日的報導，近期暗網出現中華電信與國安單位之間往來的機密文件和公文，賣家聲稱握有1.7 TB資料，內容涵蓋內部文件、逾7千個資料庫，政府採購合約等。</p> <p>這些合約包含：軍司令部「租用中新一號後續衛星轉頻器」、外交部3年前與諾魯的資通訊合作案會議前摘要、去年海巡署巡護九號艦艇安裝和啟用衛星通訊的合約，此外，中華電信曾在2021年參與中科院的通資交換節點標案，金額為1,985萬元，相關文件被列為機密等級，但可能也因此遭公開。</p> <p>資料來源</p> <p>1. <a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=124334&SPOKE_DATE=20240229&COMPANY_ID=2412">https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=124334&SPOKE_DATE=20240229&COMPANY_ID=2412</a><br /> 2. <a href="https://news.tvbs.com.tw/politics/2409149">https://news.tvbs.com.tw/politics/2409149</a></p> <p><a href="https://www.ithome.com.tw/news/161561"><strong style="font-size: 22px;">建準公布2月19日遭遇加密攻擊事故後續處理狀況，坦承技術人員電腦檔案遭加密，恐有資料外洩風險</strong></a></p> <p></p> <p>2月19日散熱風扇製造商建準發布重大訊息，指出其資訊系統遭到加密攻擊，當時他們已找到加密來源並阻斷加密，資料無外洩的疑慮，他們也沒有遭到勒索。27日他們二度發布重大訊息，透露後續處理情形。該公司表示，他們在外部專家協助下，發現駭客入侵部分技術人員的電腦，並對其中重要檔案進行加密，研判恐有資料外洩的疑慮。</p> <p>值得留意的是，這次他們特別提到部分檔案出現無法解密的情況，可能意味著曾嘗試使用解密工具，但無法復原所有資料，此狀態是否發生在上述技術人員的電腦，外界依照這份說明也難以確定。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.top10vpn.com/research/wifi-vulnerabilities/"><strong style="font-size: 22px;">開源軟體存在Wi-Fi身分驗證繞過漏洞，安卓、ChromeOS、Linux用戶恐曝險</strong></a></p> <p></p> <p>比利時魯汶大學（KU Leuven）研究人員Mathy Vanhoef與VPN軟體測試網站Top10VPN聯手，揭露Wi-Fi元件Wpa_supplicant、iNet Wireless Daemon（IWD）的身分驗證繞過漏洞。這兩個元件目前廣泛用於多個Linux作業系統，但安卓、ChromeOS則是只使用Wpa_supplicant，而使得該元件漏洞的影響範圍較大。</p> <p>研究人員在Wpa_supplicant發現了CVE-2023-52160，攻擊者可用於建置惡意Wi-Fi網路，並將其偽裝成合法網路，然後誘騙使用者進行連線，而有可能挾持他們裝置的網路流量，且過程無需用戶互動。</p> <p>另一個存在於IWD的漏洞是CVE-2023-52161，一旦遭到利用，攻擊者可用來存取家用或小型企業的Wi-Fi網路，從而攻擊網路環境裡的裝置，或是攔截敏感資料、散布惡意程式。研究人員通報上述漏洞，Google已於ChromeOS 118修補，多個Linux版本也著手上述漏洞。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=170427&SPOKE_DATE=20240226&COMPANY_ID=8438"><strong><span style="font-size: 20px;">PCB廢液處理業者昶昕部分資訊系統遭到網路攻擊，初步評估對公司運作無重大影響</span></strong></a></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-claims-they-stole-6tb-of-change-healthcare-data/"><span style="font-size: 20px;">醫療保健支付平臺Change Healthcare傳出遭勒索軟體BlackCat攻擊，6 TB資料流出</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/20-million-cutoutpro-user-records-leaked-on-data-breach-forum/"><strong><span style="font-size: 20px;">AI影片編輯平臺Cutout.Pro驚傳資料外洩，2千萬會員個資流入駭客論壇</span></strong></a></p> <p><a href="https://www.cyfirma.com/outofband/xeno-rat-a-new-remote-access-trojan-with-advance-capabilities/"><strong><span style="font-size: 20px;">開源RAT木馬程式Xeno上架GitHub，恐成為駭客利用的作案工具</span></strong></a></p> <p></p> <p><strong><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-060b"><span style="font-size: 20px;">美國針對Ivanti Connect Secure漏洞攻擊提出警告，即使重置原廠設定也無法完全清除威脅</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161549"><strong>【2月29日】Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161517"><strong>【2月27日】知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161467"><strong>【2月26日】勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來</strong></a></p> </div></div></div>
2024/3/1 17:27作者周峻佑https://www.ithome.com.tw/news/161571
VS Code開始支援語音聽寫功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://code.visualstudio.com/updates/v1_87">VS Code 1.87</a>已經釋出，這個版本新增了多項功能，開發者現在可以直接在編輯器中，使用語音聽寫功能編寫程式碼，還有查看並接受多游標的行內建議，在Copilot更新方面，現在支援重新命名建議，以及提供開發容器的範本與功能建議。</p> <p>VS Code開始支援語音輸入功能，開發者需要先安裝VS Code Speech擴充套件，使用快捷鍵啟動和停止編輯器的語音輸入，而用戶也可以選用對講機模式，按住快捷鍵啟用語音辨識，並在釋放按鍵時停止語音辨識。語音輸入功能也適用於編輯器其他功能，像是SCM提交輸入框，還有審查拉取請求時的評語輸入欄位等。</p> <p>VS Code編輯功能則有三項更新，在1.87版本中，預設啟用黏性滾動（Sticky Scroll），使頂端的程式碼在頁面捲動時置頂保持可見，且編輯器的黏性小工具中顯示的最大行數，從10行增加到了20行。而微軟還新增對多游標行內程式碼完成建議的支援，行內程式碼完成已經可以在主要與次要游標位置提供預覽並應用建議。</p> <p>重構預覽功能讓開發者進行程式碼重構，對要應用的變更進行審查，而在新的重構預覽功能中，變更會在多差異編譯器中顯示，供開發者透過比較版本差異，更清楚地查看所有變更。</p> <p>GitHub Copilot逐步推出重新命名建議功能，當開發者在VS Code編輯器中重新命名符號時，Copilot便會根據程式碼，提供一系列名稱建議供開發者選擇。</p> <p>另外，Copilot Chat的預覽版本，添加了一個新的聊天變數名稱#codebase，這個變數可用於提供工作區上下文資訊給Copilot。簡單來說，當開發者在與Copilot聊天時，使用#codebase變數可以讓Copilot了解工作區的內容，進而以具體程式碼和工作環境作為基礎，提供更加貼切的建議和回答。</p> <p>而提供了使用開發容器、透過SSH連接遠端機器、遠端通道，或是WSL作為開發環境功能的VS Code遠端開發擴充套件，現在當開發者向工作空間添加開發容器配置檔案時，Copilot Chat則會提供模板和功能建議。</p> </div></div></div>
2024/3/1 16:28作者李建興https://www.ithome.com.tw/news/161568
Fintech周報第232期：日本交易所集團宣布打造資料湖，實現全球性綜合金融資訊平臺願景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2/19~3/1金融科技精選新聞</span></span></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本交易所集團</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料湖 </span></strong></span></h3> <h3>日本交易所集團宣布打造資料湖，實現全球性綜合金融資訊平臺願景</h3> <p>日本交易所集團（Japan Exchange Group,JPX）宣布開發資料湖，預計2024年底開始營運。為了實現2030年成為全球性綜合金融資訊平臺的願景，日本交易所集團期望，透過資料湖集中管理各種數據，發展AI、ML和生成式AI等技術，進一步開發增值服務。</p> <p>這個資料湖預計納入交易系統、清算系統、市場營運相關系統、內部營運系統的數據，用來開發AI和數據分析工具，協助提升內部營運、擴展資料分散式服務範圍，和與第三方企業夥伴合作。此外，日本交易所集團也考慮納入和股票、衍生品市場的交易數據，包括綠色相關數據、即時揭露資訊、JPX網站數據、上市公司公布的新資訊等。</p> <p>日本交易所集團在AWS上建立資料湖，期望透過AWS的生態系擴展跨國資料分散式服務。內部則建立資料CoE，集結集團中管理資料的IT部門，和使用資料的業務部門，共同針對數據需求提供支持。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲第五大銀行</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核心系統整合 </span></strong></span></h3> <h3>澳洲最大區域銀行預計2026年完成核心系統整合，從8個核心系統整合成單一核心系統</h3> <p>本迪戈和阿德萊德銀行近期公布半年財報，報告中表示，集團內部正在減少系統複雜性，將多達8個核心系統整合為1個核心。該行從1858年成立，前身為地區建屋合作社，於1993年轉型為銀行，長達百年的營運期間陸續與多家機構整併，內部擁有高達13個品牌、8個核心系統同時運作。</p> <p>該行自2021年開始整合多個核心系統，並逐步減少內部IT應用程式數量。目前，該行核心系統已減少至4個，預計2026年完成單一核心系統運作。本迪戈和阿德萊德銀行常務董事Marnie Baker表示，他們正在以模組化的方式拆分系統，並在前端系統建立新技術，例如，CRM系統、CIS系統和擔保品管理系統，讓核心系統只需處理和交易紀錄和總帳對帳等功能。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人理財 </span></strong></span></h3> <h3>金管會開放券商、客戶和投顧事業簽訂三方契約就能使用機器人理財服務，放寬自動化平衡規定</h3> <p>金管會近期宣布，已完成相關規定預告程序，將開放證券商、客戶和投顧事業共同簽訂三方契約，接受投顧事業以機器人理財進行自動再平衡交易。未來，民眾若要使用投顧事業推出的機器人理財服務，不再需要跑一趟券商簽約，只要簽妥三方契約即可使用這項服務。</p> <p>目前，投顧業者提供的機器人理財服務若要納入境外ETF，需要透過券商進行複委託買賣，且券商也不能接受投顧事業以系統自動為客戶做自動再平衡交易，無法完成一站式自動化投資服務。因此，金管會去年11月公布修正相關規範，開放券商、客戶和投顧事業可簽訂三方契約，讓投顧事業由系統自動為客戶執行自動再平衡交易，不再需要經過券商代理的程序，即可為客戶申購、買賣或交割有價證券。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 玉山金控</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融AI </span></strong></span></h3> <h3>玉山金控董事長黃男州：AI未來可能扮演三種重要角色，具備發展潛力</h3> <p>玉山金控董事長黃男州日前在法說會前記者會中表示，AI未來可能扮演三種重要角色，具備發展潛力。第一種角色是智能夥伴，能和人類共同進行創造。第二，AI是溝通大師，不僅能與人溝通，也能在物聯網中與物溝通，未來人類可以透過AI與物溝通和合作，十分具有發展潛力。第三，AI是時光壓縮機，能處理許多過去需耗費大量時間學習的產業知識。黃男州最後也表示，未來AI還會與上雲結合，因此雲端也是重要議題。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 量子技術</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路攻擊 </span></strong></span></h3> <h3>新加坡金管局建議金融機構提早準備預防量子技術造成的網路攻擊</h3> <p>新加坡金管局近期發布一份報告，提及量子技術可能在十年內引發網路安全風險，建議金融機構提早預防。報告中表示，量子機器運作遠比傳統電腦更快，可能打破常用的加密和數位簽章。隨著可能破解加密系統的量子電腦出現，金融機構處理金融交易和敏感數據的安全性受到威脅。</p> <p>報告書中建議，金融機構需要達到加密敏捷性，能在不會對系統和基礎設施造成顯著影響的情況下，有效遷移至抗量子密碼學（Post-Quantum Cryptography，PQC）的演算法。此外，金融機構也可以實施其他量子安全解決方法緩解風險，例如量子密鑰分發技術（Quantum key distribution,QKD）。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 香港銀行公會</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融防詐 </span></strong></span></h3> <h3>香港銀行公會將在消金銀行系統上安裝反惡意程式，阻擋存有惡意或可疑應用程式的顧客裝置</h3> <p>香港銀行公會近期宣布，2月下旬起將針對香港主要消金銀行提出安全措施，在這些銀行的系統設立額外的反惡意程式。當反惡意程式偵測到銀行顧客裝置中存有惡意或可疑應用程式，安全措施會立刻啟動，包括阻止顧客登入銀行應用程式、提示顧客刪除惡意或可疑的應用程式，或在處理交易前撤銷部份應用程式權限。</p> <p>香港銀行公會比紹，這些措施是為了保護銀行帳戶免於未經授權的存取，相關措施不會對顧客裝置進行監控，也不會收集或儲存任何個人資料。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Pay</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位支付 </span></strong></span></h3> <h3>為簡化支付App使用經驗，Google停止GooglePay在美服務，僅留Google Wallet</h3> <p>Google近期宣布將簡化數位支付服務，將在今年6月關閉美國地區的Google Pay App，全部統整於Google Wallet。Google Wallet在2022年7月正式上線，除了數位支付，還可儲存各種票券及數位身份證件、信用卡或學生證等證明。</p> <p>在美國，Google Wallet用戶使用量是Google Pay的5倍，但為了簡化App使用經驗，Google計畫停止Google Pay使用，至於其他地區的Google Pay服務會有哪些變化Google尚未說明。</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／日本交易所集團</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年3月</p> <p></p> </div></div></div>
2024/3/1 15:14作者李昀璇https://www.ithome.com.tw/news/161566
貼牌的中國製智慧門鈴內含安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.consumerreports.org/home-garden/home-security-cameras/video-doorbells-sold-by-major-retailers-have-security-flaws-a2579288796/" target="_blank">《消費者報告》（Consumer Reports）本周揭露</a>，他們發現兩款不同品牌但看起來一樣的智慧門鈴含有嚴重安全漏洞，允許駭客自遠端存取門鈴所拍攝的影片或照片。追蹤後發現，它們皆來自於總部位於中國的製造商Eken，且Eken總計推出10種不同品牌的智慧門鈴，全都使用同樣的行動程式Aiwit，還在Amazon、Walmart及Sears等電子商務網站上銷售。這使得《消費者報告》發動連署，要求美國聯邦交易委員會（FTC）即刻阻止相關產品的銷售。</p> <p>此一發現始於《消費者報告》的安全測試工程師Steve Blair與David Della Rocca的定期評估活動，他們在Eken和Tuck兩款智慧門鈴上發現了安全漏洞，不僅如此，這兩款不同品牌的智慧門鈴在外型與包裝上也都一樣，且可透過同樣的Aiwit行動程式控制。</p> <p>Blair與Rocca所發現的安全漏洞包括門鈴在未加密的狀況下，直接曝露家庭IP位址與Wi-Fi網路名稱，意謂著駭客只要下載Aiwit程式並建立帳戶，再前往目標的住處，按下門鈴按鈕將手機與門鈴配對，即可將門鈴連至一個Wi-Fi熱點並接管它。接管目標對象的門鈴之後就可自遠端查看智慧門鈴的錄像，也可檢視裝置的序號。</p> <p>儘管原本的用戶在門鈴重新與手機配對時會收到郵件通知，有機會重新取回門鈴的控制權，但取得了門鈴序號的駭客則可繼續自遠端存取影片中的靜態圖像，也不會觸發任何通知。</p> <p>此外，工程師還發現，有10種不同品牌的智慧門鈴都使用Aiwit程式來控制，再購買其中兩款以Fishbot和Rakeblue為品牌名稱的門鈴之後，顯示它們不僅外觀類似，也都具備同樣的漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Eken-Door%20bell-Photo%20by%20Consumer%20Reports.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Eken-Door%20bell-Photo%20by%20Consumer%20Reports-2.png" style="width: 400px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Consumer Reports</span></span></p> <p>而不管是Aiwit或這10個品牌，似乎都是由總部設於中國深圳的Eken所生產。</p> <p>這些可能來自於同一製造商，卻採用不同品牌的智慧門鈴透過Amazon、Walmart、Sears、Shein與Temu等電子商務網站銷售，且Amazon銷售其中的6種品牌。Eken在Amazon上設立了商城，所提供的數十款智慧門鈴售價都在40美元以下。</p> <p>《消費者報告》已分別通知Eken及Amazon，卻都未得到回應，因而<a href="https://action.consumerreports.org/cro-20240304-doorbellcamera-ftc" target="_blank">發動連署</a>，號召消費者共同呼籲FTC將其下架。</p> </div></div></div>
2024/3/1 15:23作者陳曉莉https://www.ithome.com.tw/news/161567
AI趨勢周報第245期：YOLOv9來了！2大巧思克服深度學習資訊損失難題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0223～0229)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> YOLOv9 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中研院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 物件偵測 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>YOLOv9來了！2大巧思克服深度學習資訊損失難題</strong></span></p> <p>中研院資訊所團隊最近<a href="https://github.com/WongKinYiu/yolov9">發表</a>即時物件偵測模型YOLOv9，應用2種新方法，來克服深度學習長久難解的資訊損失問題。進一步來說，資訊損失一直是深度學習領域的挑戰，因為，資料輸入類神經網路時，會經過一層層的特徵提取和空間轉換，進而遺失許多原始資訊。就好比口耳相傳一件事，傳到第5、6人時，故事已丟失許多細節了。</p> <p>為解決這個問題，中研院團隊提出了2個作法，首先是可程式化梯度資訊（Programmable Gradient Information，簡稱PGI），透過主枝、輔助可逆分枝和多層輔助資訊等3個架構，能在模型訓練過程中，盡可能保留原始特徵，來減少資訊丟失。另一種方法是新型的輕量級網路架構GELAN，能提高模型處理資訊的能力和效率。這個GELAN架構很特別，它結合了中研院團隊在前幾代物件偵測模型的良好成果，如CSPNet和ELAN架構，並進一步擴展其泛化能力，發展為GELAN。GELAN兼具了輕量、推論快速和準確的優點。</p> <p>團隊測試發現，從頭訓練的YOLOv9，表現比用ImageNet大型資料集預訓練的主流物件偵測SOTA模型要好，如YOLO MS、RT DETR、YOLOv5 r7.0、YOLOv6 v3.0、YOLOv7、YOLOv8等。尤其，PGI能準確保留和提取所需資訊，讓YOLOv9只使用66%的參數，就能達到複雜模型RT DETR-X的準確度。團隊論文點出，PGI可用於各種量級的模型，從輕量到複雜的大模型皆可。而這次發表的YOLOv9共有4個版本，包括最小型的S、中型的M、完整版的C和強化版的E版本。<a href="https://arxiv.org/abs/2402.13616">（詳全文）</a></p> <p><img alt="" src="https://arxiv.org/html/2402.13616v2/extracted/5439110/figs/sota.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視覺理解 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VideoPrism </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google揭露最新通用視覺模型</strong></span></p> <p>Google開發一套基礎視覺編碼器VideoPrism，單一套模型就能進行分類、定位（Localization）、檢索、字幕和問答等影片理解任務，還在30個基準測試中達到最佳表現。</p> <p>Google表示，這套模型是通用影片理解單一模型，該模型所使用的預訓練資料集，是目前最大、最多樣的影片訓練語料庫，有3,600萬個附高品質字幕的精選影片和5.82億個含雜訊文字的影片片段。至於模型訓練，則採用了標準視覺Transformer（ViT）的分解設計，包括兩階段，一是用高品質的影片文字資料和帶有雜訊文字的影片，以對比學習，教導模型將影片和文字描述配對。第二是透過遮罩影片建模框架，來訓練模型預測影片中缺失的部分。</p> <p>此時，團隊還會隨機打亂預測出來的Token，以防止模型學到捷徑，如可能依據固定順序或模式做出預測，而隨機方式可迫使模型深入理解影片內容，不只是依賴表面特徵。Google認為，VideoPrism與大型語言模型結合，可在影片文字檢索、字幕生成和影片問答任務中，展現更強大的能力。<a href="https://blog.research.google/2024/02/videoprism-foundational-visual-encoder.html">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/videoframe_2992.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 玉山金控 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GENIE </span></strong></span></p> <p><span style="font-size:22px;"><strong>玉山金控揭露內部生成式AI應用</strong></span></p> <p>玉山金控科技長張智星日前在法說會前記者會中，揭露玉山自2022年就開始布局生成式AI，並在同年底舉辦黑克松競賽，讓內部同仁了解生成式AI、思考可能的應用。近期，他們開發一款生成式AI平臺GENIE，供內部用來生成文案、翻譯、程式碼教學和設置聊天機器人等。張智星指出，生成式AI不只是單獨產品，還能與許多場景串聯，如掃描全行文件後，用生成式AI來校正文件中的辨識錯誤，或將會議發言轉為逐字稿，再以生成式AI勘誤。目前，玉山內部已有100個以上的AI模型，包括風控AI、行銷AI、客服AI、流程AI和賦能AI，接下來，他們也會思考AI與雲端結合應用的方向。<a href="https://www.ithome.com.tw/news/161210">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 紅隊工具 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟開源紅隊工具PyRIT，可測試生成式AI韌性</strong></span></p> <p>微軟最近在GitHub上開源PyRIT工具包，能讓安全人員和機器學習工程師自動化用來辨識大型語言模型（LLM）風險，如辨識生成惡意程式、越獄或資料竊盜等濫用行為。進一步來說，PyRIT由5個元件所組成，包括用來測試的目標、提示資料集、自我評估或既有分類器的評分引擎、單輪或多輪的攻擊策略，以及存放輸入和輸出等互動資料的記憶體。</p> <p>PyRIT可先傳送惡意提示到特定的生成式AI系統，收到回應後，再將它傳至評分引擎，根據評分引擎傳回的結果再產生新提示，再傳送至生成式AI系統，不斷循環、直至實現所設定的目標。根據微軟測試，用PyRIT對Copilot進行紅隊演練時，可先選擇一個有害類別、生成數千個惡意提示，再以PyRIT的評分引擎來評估Copilot系統的輸出結果。這麼做，讓原本需要幾周的測試，在幾小時內就能完成。微軟表示，PyRIT並非要取代紅隊測試，而是用來揭露可能的風險，再由專家深入探索。<a href="https://github.com/Azure/PyRIT">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini Nano </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯發科 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>聯發科聯手Google，中階手機也能執行Gemini Nano了</strong></span></p> <p>聯發科最近宣布旗下2款處理器，支援Google行動版語言模型Gemini Nano。這2款處理器為天璣8300中階處理器和天璣9300旗艦處理器，除了能支援Gemini Nano模型、讓使用這些處理器的手機能執行Gemini Nano外，聯發科還提供AI開發工具組NeuroPilot，來讓模型在聯發科APU上執行，來提高效能。</p> <p>尤其，雙方也計畫釋出天璣8300和天璣9300處理器的APK，來讓開發者和手機品牌商部署Gemini Nano應用程式。雙方這次的合作，意謂著Gemini Nano將能在中階手機上執行，Google還曾表示，高通、聯發科和三星的旗艦處理器都會支援Nano。<a href="https://www.mediatek.com/blog/mediatek-dimensity-9300-and-8300-chipsets-now-optimized-for-google-gemini-nano">（詳全文）</a></p> <p><img alt="" src="https://mediatek-marketing.transforms.svdcdn.com/production/posts/MWC_Google_Gemini_2024-02-22-134032_cfcr.png?w=1200&h=630&q=80&auto=format&fit=crop&dm=1708609232&s=a0483c6dd2aed04153a22b7e316acb1b" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mistral AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Mistral AI發表新模型Mistral Large</strong></span></p> <p>2023年4月才成立的Mistral AI，最近發表一款大型語言模型Mistral Large和聊天機器人Le Chat預覽版，其中Mistral Large不管是在MMLU、HellaSwag、Wino Grande或Arc Challenge（25-shot）等基準測試，都與GPT 4相差無幾，是備受外界矚目的後起之秀。</p> <p>Mistral Large是繼Mistral-tiny、Mistral-small和Mistral-medium後的最大、最進階模型，可支援3.2萬個Token的文章脈絡，也懂英文、法文、西班牙文、德文和義大利文。Mistral Large也具精確的指令遵循，讓開發者得以設計其審核策略，也可直接呼叫函數。該模型也能處理複雜且多語言的推論任務，如文字理解、轉換和程式碼生成。</p> <p>就在同一天，微軟也宣布與Mistral AI建立多年合作夥伴關係，包括Mistral AI可運用Azure AI基礎設施來加速開發、部署新一代大型語言模型，而且微軟Azure也將供應Mistral AI付費模型服務。迄今Azure上已代管了來自 Meta、Nvidia、Deci 與 Hugging Face等公司或組織的1,600多個開源及專有模型。<a href="https://mistral.ai/news/mistral-large/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-03-01%20150220.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Android </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 視覺輔助 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行車助理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google在3大Android App中新添AI功能</strong></span></p> <p>Google宣布為Android作業系統的訊息、圖片和車機系統加入AI，而且，Google Messages應用程式也能直接呼叫Gemini AI助理了。用戶不需跳離App，即可以文字提示要求Gemini草擬訊息內容、腦力激盪創意、規畫活動等工作。Android視覺輔助App Lookout則加入AI描述，可自動為相片、線上圖片，或訊息中的照片加入AI產生的描述，並大聲朗讀，來幫助視障人士理解圖片內容。該功能已全球上線，支援英文。</p> <p>另一項類似應用是Google Lens in Maps的螢幕閱讀器，結合了Android輔助功能TalkBack，只要用戶將手機相機對準周遭環境，TalkBack就能念出該地資訊，像是一家銀行的營業時間、餐廳評分。再來，加入AI功能的行車助理Android Auto，可在用戶開車時，自動為一長段文字或群組對話摘錄重點，也能建議回覆和後續行動，且按一下就能傳送訊息、分享預定抵達時間或接電話。<a href="https://blog.google/products/android/new-android-features-february-2024/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/040_Android_Auto_Messaging_Alpha_1x1.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 三星 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 智慧戒指 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI助理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>三星亮相可量測生理數值的智慧戒指</strong></span></p> <p>繼今年1月在消費電子大展CES上首次亮相後，三星在最近的世界通訊大會MWC上，正式展示可量測心率、活動量等生理數值的智慧戒指Galaxy Ring，預計今年稍晚上市。</p> <p>Galaxy Ring是三星智慧健康系列的一環，它結合了Samsung Health數位健康平臺，主打AI為基礎的個人化健康管理。該戒指可搭配新的健康應用管理功能，如My Vitality Score服務，可提供睡眠、活動、心率量測和心率變異資訊，而搭配Booster Card則可追蹤各項定義好的量測目標。三星表示，智慧戒指蒐集的生理數據，將匯整入每月6,400萬用戶的Samsung Health全球資料集，作為三星AI健康管理服務的基礎。他們的計畫是，以數位健康管理平臺和智慧手錶、智慧戒指等裝置，與第三方夥伴建立健康生態系，如上個月三星Galaxy Watch成為VR生理治療平臺XRHealth的心率監控裝置，或三星Sleep Mode技術整合到合作夥伴的智慧床墊，調整床墊環境以幫助入睡。<a href="https://news.samsung.com/global/samsung-presents-galaxy-ai-vision-at-mwc-2024-with-latest-products-and-services">（詳全文）</a></p> <p>圖片來源／YOLOv9論文、Google、聯發科、Mistral AI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟Copilot for Finance預覽版登場</strong></p> <p><strong>2. Adobe公布音樂編輯生成式AI工具，提供音樂版的Photoshop能力</strong></p> <p><strong>3. Google雲端更新安全指揮中心，增強雲端AI資源安全管理</strong></p> <p>資料來源：iThome整理，2024年2月</p> </div></div></div>
2024/3/1 15:40作者王若樸https://www.ithome.com.tw/news/161569
微軟Copilot for Finance預覽版登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於今年2月<a href="https://www.ithome.com.tw/news/161178" target="_blank">推出</a>支援業務及客服的Copilot for Sales與Copilot for Service等AI工具之後，微軟周四（2/29）發表了<a href="https://blogs.microsoft.com/blog/2024/02/29/introducing-microsoft-copilot-for-finance-the-newest-copilot-offering-in-microsoft-365-designed-to-transform-modern-finance/" target="_blank">Copilot for Finance預覽版</a>，這是微軟針對財務人員所設計的AI聊天機器人，以協助他們更有效率地完成任務。</p> <p>Copilot for Finance可連結至組織的財務系統，包括Dynamics 365與SAP等，並直接於Outlook、Excel、Microsoft Teams或其它Microsoft 365應用中，提供特定角色的工作流程自動化、指導或建議。</p> <p>例如Copilot for Finance可協助財務分析師在Excel中，以自然語言提示執行差異分析，以檢查資料集是否出現異常、風險或不匹配的值；或是藉由自動化的資料結構比較，以及故障排除，來簡化Excel中的對帳流程，有助於確保財務紀錄的可靠及準確性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Microsoft%20Copilot%20for%20Finance-600-1.jpg" style="width: 301px;" /></p> <p>除了應用於Excel中之外，它還能於Outlook中提供客戶餘額報表與發票等帳戶資訊的完整摘要，以加速收款流程；或是直接將Excel中的資料轉成簡報形式，以於Outlook及Teams上分享。</p> <p>整體而言，Copilot for Finance可藉由簡單的提示與資料核對來簡化審計，透過自動化通訊及付款計畫來簡化收款，以及偵測差異來加速財務報告，減輕財務人員的負擔。</p> <p>根據微軟的工作趨勢指數<a href="https://www.microsoft.com/en-us/worklab/work-trend-index/copilots-earliest-users-teach-us-about-generative-ai-at-work" target="_blank">（Work Trend Index）調查</a>，人們正被資料淹沒，他們每天約有1/4的時間花在資訊搜尋上，且每天所消耗的資訊中，有一半被認為是工作上的必要資訊，另一項針對用戶如何使用AI的<a href="https://www.microsoft.com/en-us/worklab/5-key-principles-for-implementing-an-ai-strategy-across-your-organization" target="_blank">調查</a>則顯示，有三大族群宣稱他們最可能使用AI來幫忙找到所需的資訊，而它們便是業務（83%）、客戶服務（81%）與IT/技術（85%），財務人員則說他們想利用AI來減少資訊孤島。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2024/3/1 14:17作者陳曉莉https://www.ithome.com.tw/news/161565
GitHub向所有用戶預設啟用推送保護，避免密碼和金鑰意外洩漏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub現在<a href="https://github.blog/2024-02-29-keeping-secrets-out-of-public-repositories/">預設開啟推送保護（Push Protection）功能</a>，協助開源開發者保護其密碼與金鑰等機密資訊。當推送保護功能啟用時，系統會自動檢查開發者推送到GitHub中的程式碼，一旦發現包含諸如密碼和API金鑰等敏感資訊，GitHub會阻擋推送操作並通知開發者，避免潛在的安全問題。</p> <p>原本從去年8月開始，GitHub讓所有雲端使用者選擇啟用推送保護功能，不過GitHub提到，API金鑰、令牌和各種機密資料外洩的規模非常大，光是2024年前兩個月，GitHub就已經在公開儲存庫偵測到100萬筆洩漏的機密資料，相當於每分鐘超過10次。</p> <p>因此現在GitHub決定向所有使用者啟用推送保護，當公共儲存庫中的任何推送偵測到系統所支援的機密資料時，用戶可以從提交中刪除該機密，或是選擇跳過阻擋直接提交。雖然官方預設啟用推送保護，用戶仍可以從安全設定中停用推送保護，不過GitHub強調，他們還是建議用戶啟用推送保護，並根據需要進行例外處理，不要完全停用推送保護。</p> <p>此項功能變更將在一到兩週的時間套用至所有用戶的帳戶，不過用戶也可以在安全設定中驗證狀態並且選擇提早啟用。而當原本就有使用GitHub Enterprise計畫的組織，也可以添加GitHub Advanced Security保護私人儲存庫中的機密，並且獲得所有機密掃描功能、程式碼掃描、人工智慧自動修復程式碼建議，和其他靜態應用程式安全功能。</p> </div></div></div>
2024/3/1 14:58作者李建興https://www.ithome.com.tw/news/161564
HP推出印表機訂閱服務，主打家用、SMB市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://press.hp.com/us/en/blogs/2024/hp-all-in-plan.html" target="_blank">HP本周宣布</a>印表機訂閱租賃服務，以解決家庭或中小企業印表機維修困擾，最低每月6.99美元。不過目前這項服務只在美國提供。</p> <p>家庭用戶、學校、店家經常需要列印，不論是學生教材、小孩家庭作業、網購退貨標籤（return label）或收據等，但對於欠缺IT人員的家庭、個人工作室、學校或小型企業來說，設定和管理印表機是相當麻煩的事。HP說已聽到用戶心聲，名為<a href="https://www.hp.com/us-en/all-in-plan/printers.html" target="_blank">All-In Plan</a>可讓用戶不再需要購買印表機或墨水匣。</p> <p>All-In Plan為針對家庭和中小企業新設計的全包式租賃服務，內容包含一臺印表機及24x7線上支援，內建的管理軟體讓用戶墨水快用光之前寄送到家，若機器故障可隔日免費更換。印表機使用2年後也可以升級。HP還提供30天免費試用服務。</p> <p>HP <a href="https://www.hp.com/us-en/all-in-plan/printers.html" target="_blank">All-In Plan方案</a>提供2款HP家用機種Envy系列，以及1款中小企業機種OfficeJet Pro噴墨印表機選擇，依據機器等級，訂閱費用分別為每月6.99、8.99及12.99美元。不過這項服務目前僅在美國提供，並未說是否會在海外實施。</p> </div></div></div>
2024/3/1 13:41作者林妍溱https://www.ithome.com.tw/news/161563
中華電信傳出資料外洩，我國國安單位內部資料流入暗網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月29日<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=124334&SPOKE_DATE=20240229&COMPANY_ID=2412">中華電信突然發布重大訊息提出說明</a>，表明他們的資安團隊查知疑似資料外流的情況，已全面啟動資安防禦機制，並與外部資安技術專家共同合作處理，同時向政府部門進行通報。而針對未來的因應措施，他們也承諾為確保資料安全，將會持續強化網路安全的管控。</p> <p>為何中華電信昨天要發布這則重大訊息？原因可能與這兩天一家媒體的報導有關，裡面提到有人在暗網兜售中華電信的內部資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rzi9gaD9Qn.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rzi9gaD9Qn.png" style="width: 580px;" /></a></p> <p>根據TVBS新聞臺2月28日的報導，<a href="https://news.tvbs.com.tw/politics/2409149">近期暗網出現中華電信與國安單位之間往來的機密文件和公文</a>，賣家聲稱握有1.7 TB資料，內容涵蓋內部文件、逾7千個資料庫，政府採購合約等。</p> <p>這些合約包含：軍司令部「租用中新一號後續衛星轉頻器」、外交部3年前與諾魯的資通訊合作案會議前摘要、去年海巡署巡護九號艦艇安裝和啟用衛星通訊的合約，此外，中華電信曾在2021年參與中科院的通資交換節點標案，金額為1,985萬元，相關文件被列為機密等級，但可能也因此遭公開。</p> <p>其他可能外洩的資料，還包括2017年國防部資通電軍申請空軍模式模擬能量提升案的結果報告，另有疑似中華電信的電路圖，地址為臺北市中正區重慶南路二段7巷2樓樓頂，地點就在總統永和官邸正對面。</p> <p>究竟這些資料如何外洩？國防院戰略資源研究所長蘇紫雲認為，很有可能是相關人士的手機遭到入侵造成。</p> </div></div></div>
2024/3/1 12:06作者周峻佑https://www.ithome.com.tw/news/161562
建準公布2月19日遭遇加密攻擊事故後續處理狀況，坦承技術人員電腦檔案遭加密，恐有資料外洩風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月19日散熱風扇製造商建準<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=155714&SPOKE_DATE=20240219&COMPANY_ID=2421">發布重大訊息</a>，指出其資訊系統遭到加密攻擊，當時他們已找到加密來源並阻斷加密，資料無外洩的疑慮，他們也沒有遭到勒索。27日他們<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=181815&SPOKE_DATE=20240227&COMPANY_ID=2421">二度發布重大訊息</a>，透露後續處理情形。</p> <p>有別於過往的重大訊息，通常是證實受害公司遭遇網路攻擊，而對於事故的細節也往往三緘其口，更別說是透露後續處理的情形。這次建準公布調查結果及受影響的範圍，也能提供其他企業借鏡，對握有高權限的技術人員提高保護層級。</p> <p>該公司表示，他們在外部專家協助下，發現駭客入侵部分技術人員的電腦，並對其中重要檔案進行加密，恐有資料外洩的疑慮。</p> <p>「駭客進行檔案加密」與「受害企業資料外洩」看似矛盾，然而在現今的網路攻擊當中，使用勒索軟體加密檔案往往是攻擊過程後期的手段，在此之前，駭客早已將這些他們存取到的資料複製、傳至外部，以便進行後續的勒索或是利用、拍賣。</p> <p>值得留意的是，這次他們特別提到部分檔案出現無法解密的情況，可能意味著曾嘗試使用解密工具，但無法復原所有資料，此狀態是否發生在上述技術人員的電腦，外界依照這份說明也難以確定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/bfsB8c1Dxn.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bfsB8c1Dxn.png" style="width: 580px;" /></a></p> </div></div></div>
2024/3/1 10:50作者周峻佑https://www.ithome.com.tw/news/161561
Stack Overflow將整合Google Cloud、讓Gemini開發人員存取知識庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發人員QA平臺Stack Overflow與Google Cloud昨（29）日<a href="https://www.googlecloudpresscorner.com/2024-02-29-Stack-Overflow-and-Google-Cloud-Announce-Strategic-Partnership-to-Bring-Generative-AI-to-Millions-of-Developers" target="_blank">宣布一項合作</a>，讓Google Cloud的Gemini得以存取Stack Overflow開發知識庫，或提供開發建議，Stack Overflow也將採用Google Cloud為運行平臺、整合其工具。</p> <p>在此之前，Google Cloud上的AI助理，名為Gemini for Google Cloud（即之前的DuetAI），已經過公開資訊及開源程式碼訓練，能提供開發建議，但這項合作可使Stack Overflow的開發知識庫進一步整合到Google Cloud上。首先，Gemini for Google Cloud可透過Stack Overflow新開發的OverflowAPI存取其知識庫，在開發人員呼叫Gemini時提供開發建議、程式碼及回答問題。</p> <p>其次，使用Gemini for Cloud的開發人員也可以直接在Google Cloud控制臺（console）中存取Stack Overflow，包括詢問問題或獲得Stack Overflow社群其他成員的解答，讓他們管理或開發Google Cloud應用程式及基礎架構時不用跳離執行介面。</p> <p>這項合作第二部分是Stack Overflow和Google Cloud工具的整合。首先，Stack Overflow已經選擇Google Cloud作為代管平臺。Stack Overflow計畫之後將使用Google Cloud的AI平臺Vertex工具提升社群互動和內容出版流程。雙方表示，這方面的合作可望能加速Stack Overflow的內容核准流程，改善Stack Overflow使用者經驗。</p> <p>這項合作或可提供Stack Overflow必要的財務挹注。這個技術人員QA平臺在ChatGPT等AI聊天機器人興起後流量大減，<a href="https://www.ithome.com.tw/news/158048" target="_blank">開發新服務</a>如Overflow專案增加使用者黏著度，但Stack Overflow去年仍被迫<a href="https://www.ithome.com.tw/news/159310" target="_blank">裁員</a>28%。</p> <p>Stack Overflow和Google Cloud合作的首批合作成果，預計於4月9到11日的Google Cloud Next大會上預覽，並在今年上半年正式啟用。</p> </div></div></div>
2024/3/1 10:37作者林妍溱https://www.ithome.com.tw/news/161559
Adobe公布音樂編輯生成式AI工具，提供音樂版的Photoshop能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市面上的音樂生成式AI工具都無法提供編輯功能，<a href="https://blog.adobe.com/en/publish/2024/02/28/adobe-research-audio-creation-editing" target="_blank">Adobe本周公布</a>音樂編輯生成式AI工具Project Music GenAI Control，讓用戶能以文字下指令，生成音樂或編輯現有音樂。</p> <p>Project Music GenAI Control是Adobe Research和加州大學聖地牙哥分校、卡內基美隆大學電腦科學系合作開發的工具，還在早期開發階段，主打廣播人員、podcaster或是沒有專業音樂工具的人士，旨在透過文字轉音樂的AI助理，讓用戶先生成音樂，再以內建精細控制工具來編輯音樂。</p> <p>Project Music GenAI Control是結合圖片生成式AI工具Firefly、影片生成工具Adobe Express使用的AI聊天機器人。用戶可以輸入簡單的文字指示如「節奏強烈的搖滾」、「輕快的舞蹈音樂」或「悲傷爵士樂」讓新工具生成音樂，一旦音樂產生，工作流程就會整合精細編輯工具，包括一段參考旋律，用戶就可以調整節奏、結果、副歌片段，他們能決定在哪放大或降低音量、延長某小節的長度、混音或產生能巧妙循環的loop。另外，在製作前奏、結尾或背景時，Project Music GenAI Control不需用戶手動截取現有音樂，而是協助用戶從頭到尾製作出音樂。</p> <p>Adobe資深研究科學家Nicholas Bryan指出，雖然大廠、新創業者都推出音樂AI生成工具，如Google的MusicLM、Meta的AutoCraft、Jubebox及Stable Audio等，但這些多半都只能生成音樂，無法編輯，用戶只能不斷重新生成新音樂到完美為止。但Project Music GenAI Control則是提供Photoshop一般的編輯能力，進行音樂「像素層級」的控制。</p> <p>Adobe並未說明Project Music GenAI Control下一段階開發目標、時程或和現有產品整合計畫。</p> </div></div></div>
2024/3/1 10:56作者林妍溱https://www.ithome.com.tw/news/161560
整合OT與IT打造數據平臺，北捷用數據管理提升乘車體驗
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在交通尖峰時段搭乘臺北捷運(以下簡稱北捷)，相信不少人會遇到擁擠車廂，車廂內移動或上下車不便的經驗，除了可透過App查看捷運路線列車的即時位置，各班列車車廂擁擠度之外，部分車站月臺螢幕也顯示下一班列車擁擠程度，以綠、黃、橘、紅色代表，綠色為舒適車廂，紅色代表最擁擠車廂，甚至在月臺對應的車廂位置設計導引光條，方便民眾依照光條顏色選擇上車位置。今年3月起北捷5條路線所有月臺螢幕將顯示車廂擁擠度。</p> <p>這項小小的貼心設計，大大改善民眾乘車體驗，讓民眾在列車進站前，可先行移動到較不擁擠車廂上車，在交通尖峰時段，避免乘客過度集中少數車廂，影響搭乘體驗。</p> <p>這項體驗的背後關鍵是，IT與OT數據分析應用的展現，是臺北捷運公司資訊處長謝興盛帶領IT團隊和相關部門單位共同努力的成果。</p> <p><span style="font-size:28px;"><strong>從早期運輸為目的到旅客舒適管理</strong></span></p> <p>謝興盛在北捷任職超過20多年，最初進入行控中心，後來進入資訊部門，去年接任處長，具有OT維運及IT工作經驗的他，深知北捷過去投入許多年時間才能整合OT及IT。</p> <p>身為國內最早投入營運的捷運公司，北捷旗下車廂大多購置於30年前，由於車輛設計目的是以載客為主，並沒有設置感測器統計車廂內人流，因此要偵測車相擁擠度，需要取得OT數據。</p> <p>他們利用每個列車車廂底下的氣墊，氣墊主要為支撐及調整車廂高度，讓車廂高度和月臺維持一致，沒有高低落差，乘客能平穩從車廂踏到月臺，當車廂內乘客愈多，氣墊承受壓力愈大，因此他們利用氣墊壓力數據，判斷車廂擁擠程度，監控不同捷運路線及路段擁擠程度，除了內部營運決策之外，也提供民眾乘車參考。</p> <p>從動態顯示列車位置到車廂擁擠程度，突顯北捷從早期旅客運輸進展至追求旅客舒適度管理。「北捷會一直不斷努力提升舒適度，過去關心如何將旅客快速、準時的載送到目的地，現在進入旅客舒適度管理年代」，謝興盛說。</p> <p>平日上下班尖峰時段，或是特定車站附近舉行大型棒球比賽，還有每一年北市舉辦跨年活動，往往聚集大量人潮，當活動結束人潮湧入北捷，北捷應變中心監控各路線、路段列車動態、車廂擁擠程度，北捷內部將車廂擁擠程度，除了綠、黃、橘、紅4色外，還有代表最擁擠的紫色，將車廂擁擠程度作更細的畫分，當人潮湧入車站月臺，由車站現場工作人員引導人流乘車，應變中心根據各路線、路段車廂擁擠程度，調度增加車輛疏運人潮，北捷管理高層也能在辦公室掌握情形。</p> <p><span style="font-size:28px;"><strong>打造數據平臺整合OT數據</strong></span></p> <p>不論是列車即時動態位置或是車廂擁擠度，象徵北捷要以量化數據進行管理，建構自動化、數位化管理，但要做到這個目標，IT需要整合OT數據。</p> <p>然而，要取得OT數據並不容易，因為OT為封閉系統，數據大多存在於各個OT系統中，且受到OT系統商原廠的保固限制，難以直接取得，各單位基於各自的業務系統及數據專注在本業工作，這些OT系統運作數據集中到俗稱為捷運大腦的行控中心，行控中心通過各個控制面板監控整個捷運系統的運作情形。</p> <p>由於臺北捷運早期發展歷史因素，IT團隊很早就研究OT系統，經過多年的研究及測試，他們對OT並非完全陌生，為避免破壞OT原廠保固，他們利用側聽OT系統封包進行研究，設法取得OT系統的數據，舉例來說，車輛動態位置數據原本只有行控中心才能使用，無法提供給其他單位使用，IT利用側聽解析封包取得數據，開發即時列車位置系統，並提供給客服中心使用，過去當乘客下車後才發現遺留物品在列車上，向客服反映遺失物品，客服人員因無從得知列車位置，只能先紀錄車輛資訊，再向行控中心確認列車位置，現在客服透過即時列車位置系統就能掌握遺失物的列車位置，引導乘客如何尋回遺失物。</p> <p>為了強化數據整合分析應用，IT團隊打造數據平臺整合多種OT數據，強化內部的營運管理，從2018年開始到2020年，打造數據平臺PROMIS，內部稱為預測性軌道營運管理資訊系統，這套系統整合車站自動收費系統、道旁自動監控系統、列車即時監控、車站機電設備、行控號誌電腦，透過IoT蒐集33項營運設備數據，通過監控、數據分析模型、Line即時告警，從2020年以來共解決312件潛在問題，北捷通過預測性軌道營運管理資訊系統，提高系統設備的妥善率及營運可靠度。</p> <p>謝興盛表示，以維修為例，過去主要依靠第一線維修人員到現場維修，不斷回報狀況，現在透過數據平臺撈取轉轍器電流數據，經過計算判斷轉轍器故障與否，預期是否會故障，透過這套系統從整體面監控有沒有出現異常，當出現異常狀況向維修單位或是非維修的後勤主管，甚至向公司管理高層發送告警。</p> <p>謝興盛指出，OT數據難以整合的原因是，各個營運系統有自己的供應商，供應商彼此是獨立的，系統數據也因此是封閉的，例如號誌系統為自成系統，供電系統、通訊系統也獨立系統，因此當通訊維修需要查看耗電資料，需使用隨身碟至供電系統複製資料，儘管這些系統集中於行控中心各種面板，但仍是將各自的資訊拉到行控中心面板，看似整合到行控中心，實際仍是各自獨立，系統間沒有交流資訊。</p> <p>而透過數據平臺整合車站閘門、道旁、列車及行控中心電腦等OT設備數據，北捷才有跨系統融合運用數據的基礎，例如針對擁擠度這個議題，撈取列車即時位置、車廂氣墊壓力數據，此外，也針對車站閘門進出人數，列車進站載運多少人進站，載走多少人離站，掌握車站內人流。「過去辦不到的事，現在集中這些資訊後，可以進一步加值運用」，謝興盛說。</p> <p>從早期研究OT系統，撈取列車位動態位置，到提供列車即時位置顯示資訊供客服人員使用，試探性從單一系統撈取數據，將OT與IT整合，謝興盛認為，營運起步較早的北捷，累積20多年的維修經驗，在自立自強之下，提高技術研發的自主性，同時避免受到設備廠商的限制，北捷已從加值發展到增加新服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1171-%E6%96%87%E5%BD%AC-%E5%8C%97%E6%8D%B7-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>透過數據分析預測性維護，提高服務可靠度</strong></span></p> <p>2020年時，北捷打造了一套數據平臺，以該平臺為基礎開發預測性軌道營運管理資訊系統，在資料應用方面，打造列車智慧監控預警系統、人流監控管理系統，透過OT與IT整合，監控列車、車站、道旁等營運系統，為北捷大幅提升營運系統穩定度。他們透過分析每次故障、行車延誤的樣態，將原因分類為號誌、車輛或供電，針對個別系統測試，對較常發生故障的模組，利用IoT及數據分析，預測即將發生故障更換零件，或是暫停該車輛載客服務。</p> <p>謝興盛表示，傳統的維修工法是，靠老師傅的經驗判斷，或根據設備商的建議原則，例如多長距離、多久時間進行保養，現在的工法是狀態監控及預測性維修，取得數據相當重要，預測即將發生狀況，並及早做出反應。</p> <p>北捷採用狀態監控、數據化的管理，大幅提高捷運服務可靠度。2000年發生145次行車延誤事件（5分鐘以上），平均每2至3天就會發生一次，但是2018年北捷推動數位轉型，運用IoT及大數據分析，行車延誤事件次數已降至14件，2023年更是降到6次，以軌道運輸可靠度指標的MKBF（Mean Kilometer Between Failure），也就是平均行駛多長距離才會發生一起5分鐘以上的延誤事件（數值愈高代表可靠度愈高、系統愈穩定），2017年MKBF值為486.3，而在2023年達到1911.6的新高。</p> <p><span style="font-size:28px;"><strong>分析人流、提高車輛調度靈活性</strong></span></p> <p>除了維護，北捷也開發人流監控管理系統，整合各車站人流，掌握車廂擁擠度，讓北捷可以總覽角度掌握各個捷運路線、不同路段、各車站的進出人流變化，以及每輛列車上乘客多寡。</p> <p>例如每年臺北市舉辦大型跨年活動，都會吸引大量人流湧進捷運車站，依據人流監控系統紀錄，在跨年倒數前1個小時，臺北市政府捷運站及臺北101車站出現人流，車廂擁擠度增加，而在跨年倒數之後，人流漸漸向捷運移動，約花費2個小時疏運跨年活動人流。特別是大型活動的人流，短時間大量人流進入車站，必需有序的疏運乘客，北捷隨時觀察人流變化及車輛即時位置，確保人流增加時，後面車輛持續進站載運旅客。</p> <p>在人流監控管理上，按交通學區分載客率、承載率，載客率指列車載客的比率，而承載率則是座位之外，車廂內站著的乘客比率，可表現車廂內舒適擁擠度；北捷結合各站、列車車廂的時間與空間、擁擠度，可以觀察每天交通離尖峰時段的捷運人流變化，作為公司調整政策的參考。</p> <p>這套系統也在三年多前國內COVID-19疫情期間發揮效用，為降低染疫風險，當時政府鼓勵居家上班上課，由於大多數民眾減少外出，搭乘捷運的乘客也大幅減少，除了傳統做法仰賴人工回報乘客數量決定減多少車次，北捷活用人流監控管理系統，以量化數據作為縮減車次的依據，降低捷運耗電、人員管理費用。</p> <p>不只是乘車的旅客多寡，當時基於防疫需要，建議人與人維持1.5公尺社交距離，在捷運則是控制車廂內擁擠度，車廂內每平方公尺站多少人，控制車廂內乘客密度，也是北捷增加或減少車次的依據。</p> <p>從OT系統管理經驗，到後來OT與IT整合發展數據化管理，「如同交通管理的匝道儀控、高承載專用，交通管理的流量控制觀念也能套用到IT系統及網路的管理」，具交通管理專業背景的謝興盛有感而發地說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>謝興盛　臺北捷運資訊處處長</strong></p> <p>學歷：成大交通管理科學系博士</p> <p>經歷：1996年高考分發進入臺北捷運公司，最初在行控中心工作，管理及研究OT系統，2003年進入資訊部擔任系統課課長，再升任資訊處系統電腦中心主任、資訊處副處長，2023年升任資訊處處長，帶領IT團隊推動北捷數據整合、加值應用</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E5%8C%97%E6%8D%B7-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 250px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><strong>臺北捷運公司</strong></p> <p>地址：臺北市中山區中山北路2段48巷7號</p> <p>成立時間：1994年</p> <p>主要業務：大眾運輸服務</p> <p>員工數：6,875人</p> <p>年營收：約200億元（2023年）</p> <p>董事長：趙紹廉</p> <p>總經理：黃清信</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊處處長</p> <p>資訊部門主管姓名：謝興盛</p> <p>資訊部門人數：136人</p> <p>IT預算：約3億元（2024年，不含人事費用）</p> <p>資訊部門分工：下設2中心及4課，系統維運中心、數位應用中心，以及數位綜企課、資通安全課、數位創新課及數據治理課</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2003年：建置IT內網光纖網路</p> <p>●2004年：臺北捷運客服系統上線、行控號誌電腦取得CNS 17800認證</p> <p>●2008年：高運量行控中心OT電腦系統重置升級為PC-Based化系統</p> <p>●2011年：土城機廠建置IT電腦機房</p> <p>●2015年：推出臺北捷運Go App</p> <p>●2020年：建置北捷數據平臺，後來命名為預測性軌道營運管理資訊系統（Metro PROMIS）。逐年開始推出車廂擁擠度（Metro TIMES）</p> <p>●2022年：推出捷運路網及列車動態顯示系統（Metro NTDS）</p> <p>●2023年：發表2023年版數位政策白皮書</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1171-cio-960-v2.jpg" width="960" height="420" alt="" title="臺北捷運資訊處處長謝興盛　（攝影／洪政偉）" /></div></div></div>
2024/3/1 09:00作者蘇文彬https://www.ithome.com.tw/people/161528
實踐FinOps必須先讓工程師有感
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球零售龍頭沃爾瑪去年電商業績達到歷史性新高，首度超過了1千億美元，相當於臺幣3兆元，占了他們全球營收的六分之一。</p> <p>沃爾瑪越來越重視電商平臺，線上業績比重年年增加，甚至沃爾瑪執行長在今年第一季財報記者會上直言，從去年開始他們成了一家以人為本，善用技術強化的「全通路」零售業。不再像過去只強調自己是零售商。</p> <p>為了支持如此龐大的線上業務，沃爾瑪早在2015年就全力擁抱各種雲原生技術，不只打造出20萬核心數的OpenStack私有雲，這朵雲的核心數，現在已經超過100萬個。2020年，他們用K8s打造了自家雲原生平臺，來調度9萬3千個節點，執行超過54萬個Pod叢集。2年前，更進一步發展成多雲混合雲架構，結合兩家公雲和自家私雲，組成了三雲架構，更彈性調度工作負載，還能兼顧AP效能，來支援各種創新應用和線上服務，甚至可以將每年雲端成本降低10～18%。</p> <p>「要比競爭對手更懂得控制成本。」這是沃爾瑪創辦人十大準則的第九條。沃爾瑪高層、業務部門都很清楚，比對手更節省成本，是競爭力的關鍵。但是，高達2萬多人的工程團隊，不見得人人都很清楚，甚至能夠將這樣的成本節省思維，放到各種工作或技術任務上。如何支援如此龐大的雲端用量，又能成功控管雲端成本？沃爾瑪全通路成本維運團隊資深工程總監Tim O'Brieny在去年透露了他們的秘訣，就是要讓工程師意識到FinOps。</p> <p>Tim O'Brien自己就是典型的技術人，甚至可以說是沃爾瑪DevOps工程的關鍵推手。</p> <p>Tim O'Brien在2015年從顧問轉為正職，開始擔任沃爾瑪全球產品DevOps和SRE部門軟體工程總監，打造沃爾瑪官網的全球部署架構，後來他又轉而負責沃爾瑪全球雲端用量和成本的管理，要引進公雲來分攤自建OpenStack私有雲的工作量，進而控管整體基礎架構的用量和成本。</p> <p>2021年時，沃爾瑪開始意識到雲端維運成本管理的重要性，由Tim O'Brien帶頭重新調整多雲戰略，率領沃爾瑪全球技術部門的全球平臺團隊，思考如何在全球架構下達到更高的成本效益。</p> <p>Tim O'Brien的第一步是先整合多雲的成本報表資訊，整合了來自四十種資料來源，關於沃爾瑪各種雲端用量、成本和維運的數據，要發展出一套適合沃爾瑪自己的雲端省錢維運方法。</p> <p>2022年，Tim O'Brien開始將這套雲端維運方法，擴大應用到美國市場的通路和供應商管理系統，2023年更擴大到全球的線上與線下全通路。而Tim O'Brien成了全通路成本維運最高負責人，要與全球技術平臺團隊、內部戰略團隊、科技財務團隊聯手訂定一套跨部門的雲端用量預測和效率評估方式。</p> <p>如何將這一套FinOps作法和標準，推廣甚至落實到近3萬人規模的技術團隊？Tim O'Brien從三個作法著手。</p> <p>第一是讓工程師聚焦在每一天的花費，其次是關注每天的變化率，讓工程師體會到變化率的意義，用「年度」的角度來看待每天變化的意義。例如今天下一個指令後，PostgreSQL資料庫的雲端費用，一天增加了500美元，若乘以365天，就是18萬美元，也就是今天這個指令的代價，一年會多花18萬美元之多。這就是賦予每天變化率的意義。最後一步，Tim O'Brien還會進一步追問，所多花的成本，例如啟動了卻沒有用的雲端VM，要賣多少商品才能打平。讓工程師從顧客影響的思維，來思考成本的意義。</p> <p>沃爾瑪沒有設立一個專門負責FinOps的團隊，而是設立一個核心的FinOps支援團隊，來支援不同部門需要的共通FinOps功能。</p> <p>這個支援團隊，包括了財務和工程人員，來建立FinOps實踐需要的相關標準，全球技術團隊都適用同一套標準。並在這個支援團隊之一，由各部門副總組成了一個指導委員會，負責設定整體目標，建立公司政策和共享戰略，另外還有支援FinOps工具開發的技術團隊。</p> <p>「推動FinOps，就像打籃球一樣，每天練習就會進步。」</p> <p>Tim O'Brien這樣比喻。但要做到這件事，建立一套自己的FinOps實踐、規範和文化是基礎，這正是沃爾瑪落實FinOps的關鍵。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%B2%83%E7%88%BE%E7%91%AA">沃爾瑪</a></div><div class="field-item odd"><a href="/tags/finops">FinOps</a></div></div></div>
2024/3/1 09:00作者王宏仁https://www.ithome.com.tw/voice/161529
三星發表容量達36 GB的HBM3E 12H，以滿足AI需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星本周二（2/27）<a href="https://news.samsung.com/global/samsung-develops-industry-first-36gb-hbm3e-12h-dram" target="_blank">發表</a>了HBM3E 12H，這是該公司首個12堆疊的HBM3E DRAM，它提供高達1,280 GB/s的頻寬，以及36GB的容量，以滿足AI運算的需求，目前已開始送樣，預計於今年上半年量產。</p> <p>HBM的全名為高頻寬記憶體（High Bandwidth Memory），採用垂直的3D堆疊技術，以將更多的記憶體晶片封裝到更小的空間中，縮短資料在記憶體與處理器之間的傳輸距離，適用於要求資料傳輸速度的高效能運算應用。</p> <p>相較於三星先前推出的8堆疊HBM3 8H，HBM3E 12H不管是在頻寬或是容量上都增加了50%以上。</p> <p>負責記憶體產品規畫的三星執行副總裁Yongcheol Bae表示，AI服務供應商愈來愈需要更高容量的HBM，新的HBM3E 12H即是為了滿足此一需求。</p> <p>根據三星的解釋，HBM3E 12H採用先進的熱壓非導電薄膜（TC NCF），以讓這個12層的產品與8層一樣高，符合現有的HBM封裝需求，三星不斷降低其NCF材料的厚度，實現業界最小的晶片間隙（7 µm），也消弭各層之間的空隙，使其垂直密度比HBM3 8H增加了20%。</p> <p>三星預期HBM3E 12H可成為未來需要更多記憶體之系統的最佳解決方案，因其高效能與容量可用來降低資料中心的整體擁有成本（TCO），而在AI應用上，用來訓練的平均速度可比HBM3 8H快上34%，至於推論服務上的同時使用人數則是HBM3 8H的15倍以上。</p> <p>HBM自2013年成為業界標準以來，記憶體業者已陸續開發出不同世代的產品，包括HBM2、HBM2E、HBM3與HBM3E（HBM3的延伸版），今年的戰場即是HBM3E。不管是<a href="https://news.skhynix.com/sk-hynix-develops-worlds-best-performing-hbm3e/" target="_blank">SK海力士</a>（SK hynix）或<a href="https://investors.micron.com/news-releases/news-release-details/micron-commences-volume-production-industry-leading-hbm3e" target="_blank">美光</a>（Micron）也都已打造出HBM3E產品，它們在封裝數量、頻寬及效能上較勁，且皆會在今年上半年量產。</p> </div></div></div>
2024/2/29 15:18作者陳曉莉https://www.ithome.com.tw/news/161547
微軟於VS Code強化Pylance啟發式匯入修復與Python網頁除錯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/python/python-in-visual-studio-code-march-2024-release/">更新</a>VS Code的Python與Jupyter擴充套件，在最新的3月版本中，微軟於Pylance擴充套件添加啟發性設計的匯入程式碼動作（Imports Code Action），並且讓Python擴充套件能自動啟動瀏覽器，來除錯Django或Flask應用程式，而且Python REPL整合殼層，提供更靈活的工作環境。</p> <p>當開發者的Python專案有缺少匯入檔案時，便會觸發Add Import快速修復功能，而現在Pylance擴充套件使用啟發式方法，僅顯示前三個高信心的匯入選項，這些選項根據最近使用的匯入、相同模組符號、標準函式庫中的符號等條件，選出三個匯入建議。</p> <p>當前三個匯入選項都非開發者所需要的，Pylance現在還有一個新的程式碼動作稱為搜尋其他匯入，開發者便可以根據擴充套件顯示的快速選單，搜尋與缺失匯入符號前綴相符的選項。另外，Pylance還加入更改拼寫程式碼動作，可針對因為錯誤拼字而缺少匯入檔案提供建議。目前啟發式匯入修復功能，需透過手動設定啟動，但微軟計畫將此行為設為預設。</p> <p>Python除錯器擴充套件可供開發者更方便地開發和測試Python網頁應用程式，現在開發者可以透過設定，在以Django或Flask應用程式啟動除錯器時，自動啟動瀏覽器。</p> <p>微軟現在還於Mac、Linux和Windows平臺啟用Python REPL的殼層整合。在Python REPL中執行命令時，擴充套件會透過上色的符號顯示命令執行成功與否，而且這項功能同時啟用Terminal:Run Recent Command，允許開發者查看和使用REPL的命令歷史紀錄，此外，開發者還可以利用Terminal:Run Recent Command，存取所有作業系統的Python殼層檔案歷史。</p> <p>微軟也對Jupyter伺服器的語言支援進行更新，讓Jupyter擴充套件可以區分連接到的Jupyter伺服器，為本地端抑或是遠端。過去在連接到本地Jupyter伺服器時，Jupyter擴充套件會將這些伺服器一率視為遠端連線，導致Pylance擴充套件無法偵測到已安裝的套件。現在經過更新，Jupyter擴充套件已經能正確辨識連接到的Jupyter伺服器。</p> </div></div></div>
2024/2/29 22:50作者李建興https://www.ithome.com.tw/news/161554
Google雲端更新安全指揮中心，增強雲端AI資源安全管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端內建的安全與風險管理解決方案<a href="https://cloud.google.com/blog/products/identity-security/introducing-security-command-center-protection-for-vertex-ai">安全指揮中心（Security Command Center）Premium</a>，現在與組織政策整合，具有接近即時的政策和人工智慧資源配置變更偵測能力，防止意外的變更造成的雲端風險。目前這些新的安全指揮中心功能已經向所有用戶開放。</p> <p>由於安全指揮中心內建於Google雲端基礎架構中，因此可獲得人工智慧工作負載和應用程式的即時可見性，而非仰賴可能很快就過時的時間點快照，官方強調，這項特點之所以重要，是因為對於看不見的人工智慧工作負載，就無法提供保護。</p> <p>Google運用對Vertex AI架構和服務營運的知識，在安全指揮中心建置專門針對Vertex AI工作負載設計的安全態勢控制，提供了即用型的安全控制措施，供用戶簡單一鍵啟用。</p> <p>該平臺會持續監控並偵測Vertex AI中，違反安全策略的資源配置事件，當核心人工智慧基礎架構的配置偏離安全最佳實踐，像是創建允許透過公共IP存取的Vertex AI Workbench筆記本，或是變更Vertex AI工作負載存取權限等事件發生時，系統便會自動發出警報。</p> <p>雲端安全指揮中心會在政策發生變化時即時通知安全人員，協助團隊迅速辨識安全態勢控制的變化，確保不會因為政策配置錯誤或是惡意意圖，導致安全態勢控制變得過於寬鬆。此外，其安全健康分析功能，也能找出人工智慧工作負載所使用的多項服務中，存在於跨服務中的錯誤配置和漏洞。</p> <p>Vertex AI相關安全發現會在安全指揮中心的介面中，以專門的卡片突出顯示，提供清楚的安全狀態檢視圖，方便用戶評估安全態勢。安全指揮中心的風險分析工具，還可供用戶評估情況，並推薦下一步修正措施。</p> </div></div></div>
2024/2/29 22:56作者李建興https://www.ithome.com.tw/news/161557
Martech雙周報第49期：官方Cookie替代多難用？IAB發表隱私權沙盒對45種數位行銷情境的支援程度報告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0218~0302)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第三方Cookie</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權沙盒</span></span><br /> IAB發表隱私權沙盒對45種數位行銷情境的支援程度報告，完全或部分支援的項目只有大約10項</strong></p> <p>美國互動廣告協會IAB<a href="https://iabtechlab.com/wp-content/uploads/2024/02/Privacy-Sandbox-Fit-Gap-Analysis-PUBLIC-COMMENT-RELEASE.pdf">發表了一個研究報告</a>，評估Google官方替代方案隱私權沙盒與第三方Cookie間的實用度差距。這個106頁報告中，IAB詳細列出了45種數位行銷情境，逐一評估現有隱私權沙盒技術的支援度評級、評級理由、詳細技術說明、支援程度對廣告業務的影響，和其他補充說明。</p> <p>IAB將支援度評級分為完全支援、只能當短期解方、效果大幅降低、實務上難以支援，以及完全不支援，共5個評級。評估結果非常糟糕，45種情境中，隱私權沙盒只能完全支援一、兩個情境，且只能作為個位數情境的短期解方。</p> <p>除了支援度不足，IAB還對Google隱私權沙盒團隊提出了多項疑慮，包括技術文件破碎、對商業情境及需求缺乏考慮、做法及流程沒有第三方認證機制、數據品質沒有取得業界認證、對瀏覽器負荷過大而導致做法難以規模化、瀏覽器資源分配決策不透明、未來治理和開發計畫不明確等。這些問題都會使廣告需求方、中間方及提供方產生疑慮，以至於不敢輕易採用隱私權沙盒技術來進行廣告業務。</p> <p>Google發表<a href="https://developers.google.com/privacy-sandbox/blog/iab-tech-lab-response">回應</a>，聲稱報告中有不少誤解隱私權沙盒技術細節之處，並強調，為了進一步維護使用者隱私，隱私權沙盒本來就不應該支援許多既有數位行銷做法。同時，他們也承諾會根據業界回饋持續改良隱私權沙盒系列解決方案。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Gartner魔力象限</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#企業CDP採購</span></span><br /> Gartner終於推出CDP的魔力象限，17家國際大廠上榜</strong></p> <p>Gartner針對<a href="https://www.gartner.com/doc/reprints?id=1-2GOZ63XW&ct=240220&st=sb">CDP推出了魔力象限</a>（Magic Quadrant），根據功能完整性和功能執行力，將17家國際知名大廠CDP分為領導者、遠見者、特定領域者及挑戰者4個分類，並具體說明了評分條件，以及各家CDP特色和優劣。過往，Gartner只有提供CDP市場指引，並未針對這些產品進行評比分級。如今他們推出了魔力象限，意味著企業採購這個熱門科技時有更多資訊可作為參考。</p> <p>Garner同時提出了CDP市場觀察。他們寫道，企業行銷部門不太常使用CDP這個數據管理科技，而是著重於自動化行銷等執行面的行銷科技。這促使科技廠商開始發展CDP加上MA的全套解決方案。甚至，隨著CDP市場已經發展到成熟期，企業開始將CDP的數據處理功能用於行銷以外情境。也因此，主導採購CDP的企業部門從行銷部門轉移回IT部門。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#新聞臺行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CDP</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路數據整合</span></span><br /> 電視臺也用CDP！TVBS導入CDP及MA科技來強化數位內容精準投放</strong></p> <p>電視臺TVBS近期導入了CDP，要將自家數位內容帶來的網路流量，進一步轉換為更多節目流量及電商消費。</p> <p>TVBS有TVBS新聞、食尚玩家、女人我最大、健康2.0、地球黃金線，以及網路商城等數位通路，合計匿名與實名使用者流量高達每月3,000萬人次。他們導入CDP，是為了整合這些網站、App以及Line官方帳號所累積行為標籤，以及用戶加入會員後留下的基本資料、消費紀錄，以進行後續自動化行銷。</p> <p>目前，他們已經做了TVBS跨平臺SSO登入機制，來追蹤單一用戶橫跨不同通路的足跡。未來，他們計畫搭配自動化行銷科技，推送用戶可能喜歡的內容、顯示高關聯性活動訊息、發送App推播、電子報及簡訊。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#後Cookie做法</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權沙盒</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#一站式解決方案</span></span></strong></p> <p><strong>OpenX推出可以一站式啟用上千種Cookieless數位行銷方案的解決方案</strong></p> <p>老牌AdTech廠商OpenX推出了<a href="https://www.openx.com/press-releases/openx-announces-programmatics-first-supply-side-cookieless-deal-library-to-simplify-buyers-transition-to-cookieless-targeting/">Cookieless Deal Library解決方案</a>庫。廣告主透過這個方案庫，可以在DSP平臺上一站式選用上千種Cookieless數位行銷方案，包括Google隱私權沙盒、RampID等ID聯盟廣告、無ID分眾廣告、情境類分眾廣告、曝光類廣告、CTV類廣告、出版方第一方數據廣告等。</p> <p>少了第三方Cookie這個行之有年的萬靈丹後，廣告主往往需要結合多個Cookieless數位行銷方案，才能達到以往行銷效果。能一站式啟用不同Cookieless數位行銷方案，對廣告主來說，能降低嘗試不同做法和組合的操作難度。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#AR廣告</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#IAB</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#廣告成效測量</span></span><br /> IAB推出擴增實境類型廣告的建議測量標準</strong></p> <p>隨著越來越多行銷方法著重實體與數位體驗，<a href="https://www.iab.com/wp-content/uploads/2024/02/IAB-MRC_Augmented-Reality_AR_Measurement_Guidelines_For_Public_Comment_February_2024.pdf">IAB推出了AR類型廣告的建議測量標準</a>，詳細定義了曝光情況、廣告格式、無效流量、成效轉換基準及方法等主題。</p> <p>IAB定義中，AR類型廣告包括一系列濾鏡類廣告，例如靜態、動態及可互動式的使用者濾鏡、物品濾鏡和環境濾鏡廣告。虛擬試穿試戴、透過AR體驗看到的虛擬空間等，也歸類為AR廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#品牌安全</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告版位選擇</span></span><br /> The Trade Desk導入版位評估機制，以避免廣告投放到可信度評價低的新聞媒體版位</strong></p> <p>DSP大廠The Trade Desk和民間新聞媒體監察機構Ad Fontes Media合作，由後者提供自家分析上萬家新聞媒體及自媒體的研究數據，<a href="https://adfontesmedia.com/trade-desk/">來打造廣告出版方過濾機制</a>。投放廣告時，此機制會排除黨派立場過強、內容以AI生成及濫用釣魚式標題的新聞媒體，以期增加品牌安全。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://support.google.com/analytics/answer/14275483?hl=en">Google Analytics 4 更新管理使用者授權追蹤的功能</a></p> <p>2. <a href="https://www.salesforce.com/news/stories/marketing-cloud-growth-announcement/">Salesforce針對小型企業行銷需求推出結合GenAI功能的Marketing Cloud Growth服務</a></p> <p>3. <a href="https://blog.google/products/ads-commerce/gemini-models-are-coming-to-performance-max/">Google將Gemini模型應用於Performance Max廣告的圖文生成功能</a></p> <p>4. <a href="https://cloud.insight.insiderintelligence.com/20240220-TripleLift-CustomContent_RegPag">eMarketer調查顯示，廣告主相當重視RMN拓展廣告版位到零售業者自身以外的通路</a></p> <p>資料來源：iThome整理，2024年2月</p> <p>責任編輯：郭又華</p> </div></div></div>
2024/2/29 18:12作者郭又華https://www.ithome.com.tw/news/161553
【資安日報】2月29日，Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近2到3年，駭客偏好散布惡意程式的新興管道，其中之一就是針對開發人員使用的開源套件儲存庫NPM、PyPI而來，藉由在此發行有問題的套件，進而在安裝、使用這些套件的電腦散布惡意程式，但隨著生成式AI技術的掘起，類似的情況也出現在共享機器學習模型的平臺。</p> <p>在譽為AI界GitHub之稱的Hugging Face平臺，研究人員發現裡面存在惡意的機器學習模型，值得留意的是，儘管該公司已採取多項檢測措施來掃描機器學習模型的檔案是否有害，然而，這些模型仍舊可以繞過這些機制而能成功上架。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/"><strong style="font-size: 22px;">機器學習模型共享平臺Hugging Face出現100個惡意模型，若下載使用電腦恐被植入後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/10_JFrog-Honeypot-and-Fake-Secre.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/10_JFrog-Honeypot-and-Fake-Secre.png" style="width: 300px; float: right;" /></a>資安業者JFrog針對機器學習模型共享平臺Hugging Face提出警告，因為他們在這裡發現超過100個模型疑似帶有惡意功能，而可能導致資料外洩與網路間諜攻擊等資安風險。</p> <p>研究人員提及其中1個由使用者baller423上傳的惡意模型為例，載入後，會讀取Python序列化模組Pickle檔案，從而在受害主機執行任意程式碼。此模型的酬載會在成功入侵後產生Shell後門程式，從而讓攻擊者完全控制受害主機。</p> <p>JFog認為，雖然Hugging Face已採取多種防護措施，像是針對惡意軟體、Pickle、帳密資料（Scrects）進行掃描，企圖以此確認模型的功能是否存在不安全行為，但顯然還不夠，因為上述狀況突顯此平臺無法徹底擺脫實際資安威脅。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/b/threat-actor-groups-including-black-basta-are-exploiting-recent-.html"><strong style="font-size: 22px;">更多駭客團體濫用ScreenConnect重大漏洞，Black Basta、Bl00dy被查出正在利用這個管道發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig-5 ScreenConnect Attack Chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig-5%20ScreenConnect%20Attack%20Chain.png" style="width: 300px; float: right;" /></a>2月20日資安業者ConnectWise針對旗下遠端桌面連線系統ScreenConnect公告高風險漏洞CVE-2024-1708、CVE-2024-1709（兩者被合稱為SlashAndGrab），勒索軟體駭客LockBit將其用於攻擊診所、獸醫院，以及與911專線相關地方政府系統，現在傳出有其他駭客組織跟進。</p> <p>趨勢科技指出，他們發現勒索軟體駭客組織Black Basta、Bl00dy利用SlashAndGrab的跡象。Black Basta的附屬組織先是利用漏洞入侵ScreenConnect伺服器，然後進行偵察，找出具備網域管理員身分的帳號、列出受信任的網域，然後部署滲透測試工具Cobalt Strike。另一個駭客組織Bl00dy，則是利用這些漏洞初步存取目標組織的內部環境，然後部署勒索軟體來加密檔案，此惡意程式以勒索軟體LockBit 3.0（亦稱LockBit Black）及Conti的外流建置工具打造而成。</p> <p>在上述兩組人馬的攻擊行動之外，研究人員也看到其他駭客出手，有人投放惡意程式XWorm，也有駭客部署其他遠端管理工具來進一步控制受害電腦。</p> <p><a href="https://www.ic3.gov/Media/News/2024/240227.pdf"><strong style="font-size: 22px;">Ubiquiti路由器因組態設定慘遭俄羅斯駭客組織APT28濫用，而得以建置殭屍網路，目的是隱匿攻擊行動</strong></a></p> <p>美國聯邦調查局（FBI）、國家安全局（NSA）、網路作戰司令部（US Cyber Command）與10個國家的執法機關聯手，針對俄羅斯駭客組織APT28的攻擊行動提出警告，這些駭客正在濫用Ubiquiti路由器EdgeRouter迴避偵測。</p> <p>而對於駭客偏好該廠牌路由器的原因，FBI表示，因為這些產品通常以預設固定登入帳號密碼的狀態出貨，而且無線網路服務供應商（WISP）部署這些設備時，通常是在無防火牆保護的狀態下，在此同時，EdgeRouter的韌體自動更新設定，需由使用者手動設定才會啟用。駭客一旦入侵這些路由器，就會取得其root權限，從而不受限制存取，然後部署作案工具，以便於在攻擊行動來混淆身分。</p> <p>值得留意的是，雖然美國執法單位近期切斷以此廠牌路由器組成的殭屍網路Moobot，但FBI表示，管理這些路由器的使用者也要採取對應的緩解措施，才有機會長期破壞此殭屍網路的運作。</p> <p><strong style="font-size: 22px;">電玩業者Epic Games傳出遭勒索軟體駭客組織Mogilevich入侵，遭到該公司否認</strong></p> <p>根據資安新聞網站Bleeping Computer、Cyber Daily報導，2月27日勒索軟體駭客組織Mogilevich聲稱，他們入侵電玩業者Epic Games並竊得189 GB內部資料，當中包含電子郵件、密碼、姓名、付款資訊、原始碼。該組織要求該公司向他們聯繫，期限是3月4日，但並未透露勒索金額或其他相關資訊。</p> <p>對此，Epic Games表示他們著手調查此事，目前為「零證據（zero evidence）」狀態，而無法證明對方宣稱是否屬實，且彼此尚未聯繫。</p> <p>駭客向兩家新聞網站透露，他們開價1.5萬美元兜售竊得資料，但只對出示「財力證明」的買家提供檔案來驗證他們拿到的資料，並聲稱有3名買家取得部分外洩資料。Bleeping Computer主編Lawrence Abrams認為駭客的說法「感覺不真實」，而與他們合作的資安專家推測，這很有可能是一場騙局。</p> <p>資料來源</p> <p>1. <a href="https://www.cyberdaily.au/culture/10241-fortnite-game-dev-epic-games-allegedly-hacked">https://www.cyberdaily.au/culture/10241-fortnite-game-dev-epic-games-allegedly-hacked</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/epic-games-zero-evidence-we-were-hacked-by-mogilevich-gang/">https://www.bleepingcomputer.com/news/security/epic-games-zero-evidence-we-were-hacked-by-mogilevich-gang/</a><br /> 3. <a href="https://twitter.com/EpicNewsroom/status/1762864647445901578">https://twitter.com/EpicNewsroom/status/1762864647445901578</a><br /> 4. <a href="https://twitter.com/LawrenceAbrams/status/1762576389373325757">https://twitter.com/LawrenceAbrams/status/1762576389373325757</a></p> <p><a href="https://www.bleepingcomputer.com/news/security/anycubic-3d-printers-hacked-worldwide-to-expose-security-flaw/"><strong style="font-size: 22px;">Anycubic客戶的3D印表機遭駭，對方聲稱該系統的MQTT伺服器存在漏洞</strong></a></p> <p>近期有多名Anycubic的客戶透露，他們的3D印表機遭到入侵，對方植入名為hacked_machine_readme.gcode的純文字檔案，內容指出Anycubic的系統存在重大漏洞，要求用戶儘速採取行動，切斷印表機與網際網路的連線、防範潛在威脅，並宣稱用戶的印表機並未受害。</p> <p>而對於重大漏洞的說明，駭客聲稱與該系統採用的MQTT服務有關，一旦有人利用這項漏洞，就有機會存取並控制3D印表機，他們將上述的警告訊息發送給2,934,635臺印表機（編按：2023年7月Anycubic表示累計售出約300萬臺）。</p> <p>值得留意的是，Anycubic迄今並未對於類似事故提出說明。有資安研究員表示，他們2個月前也向該公司提報2個重大漏洞，並指出若是遭到利用，其中1個可能會導致災難性的後果，但該公司遲遲沒有回覆，打算公開揭露相關發現。此外，在使用者表明遭駭之後，Anycubic的應用程式出現無法存取的現象，使用者若是嘗試登入系統，便會看到網路無法使用的錯誤訊息。</p> <p>資料來源</p> <p>1. <a href="https://techcrunch.com/2024/02/28/anycubic-users-3d-printers-hacked-warning/">https://techcrunch.com/2024/02/28/anycubic-users-3d-printers-hacked-warning/</a><br /> 2. <a href="https://klipper.discourse.group/t/printer-cfg-for-anycubic-kobra-2-plus-pro-max/11658/201">https://klipper.discourse.group/t/printer-cfg-for-anycubic-kobra-2-plus-pro-max/11658/201</a></p> <p><a href="https://decoded.avast.io/janvojtesek/lazarus-and-the-fudmodule-rootkit-beyond-byovd-with-an-admin-to-kernel-zero-day/"><strong style="font-size: 22px;">Windows AppLocker漏洞在修補之前就遭到北韓駭客Lazarus利用</strong></a></p> <p>微軟在2月份例行更新（Patch Tuesday）修補CVE-2024-21338，此漏洞位於Windows的應用程式白名單元件AppLocker（appid.sys），通報此事的防毒業者Avast指出，在微軟修補之前，該弱點已被用於攻擊行動。</p> <p>他們之所以發現這項漏洞，與北韓駭客組織Lazarus有關，因為這個團體所用的新版rootkit程式FudModule當中，就是藉由CVE-2024-21338關閉特定的Protected Process Light（PPL）處理程序，從而迴避防毒軟體Microsoft Defender、EDR系統CrowdStrike Falcon、反惡意程式工具HitmanPro的偵測。有別於之前這些駭客利用自帶驅動程式（BYOVD）的手法，透過上述零時差漏洞來達成迴避偵測的目的，更能減少觸發資安防護系統警報的機會。</p> <p>而對於新版惡意程式FudModule的用途，研究人員表示駭客將其用來散布另一款RAT木馬程式，並預告將在亞洲場黑帽大會Black Hat Asia 2024公布細節。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161538"><strong style="font-size: 22px;">兆勤公告與修補防火牆與無線基地臺存在漏洞，用戶若不處理，可能無法因應RCE、命令注入等攻擊</strong></a></p> <p>2月21日兆勤發布資安公告，揭露CVE-2023-6397、CVE-2023-6398、CVE-2023-6399、CVE-2023-6764等4個漏洞，該公司旗下ATP、USG Flex、USG Flex H系列防火牆設備均可能受到影響，而其中的CVE-2023-6398，還額外影響約20款Wi-Fi無線基地臺設備。</p> <p>其中，本次揭露的漏洞，危險程度最高的是CVE-2023-6764，CVSS風險評分達到8.1。這個弱點與IPSec VPN功能有關，屬於格式字串（format string）類型的漏洞，能用於未經授權的遠端執行程式碼（RCE）攻擊，如果發送含有無效指標的特製酬載，就有可能觸發。</p> <p>雖然兆勤在公告裡提及，攻擊者想要利用漏洞，必須詳細掌握防火牆設備的配置，但揭露漏洞的資安業者TRAPA Security在他們的臉書粉絲頁貼文提醒大家注意，他們指出，此預先身分驗證的RCE漏洞最值得留意，因為攻擊者一旦將其利用，可在無須身分驗證的情況下，從WAN端獲得設備的最高權限。</p> <p>資料來源</p> <p>1. <a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-and-aps-02-21-2024">https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-and-aps-02-21-2024</a><br /> 2. <a href="https://www.facebook.com/TrapaSec/posts/pfbid033YCZHqCpHZKfc5aXvVXwM17z8ifsg6qHXX12eXsQU9HQLYQenahTKmZXSmiUXRABl">https://www.facebook.com/TrapaSec/posts/pfbid033YCZHqCpHZKfc5aXvVXwM17z8ifsg6qHXX12eXsQU9HQLYQenahTKmZXSmiUXRABl</a></p> <p><a href="https://www.bitdefender.com/blog/labs/details-on-apples-shortcuts-vulnerability-a-deep-dive-into-cve-2024-23204/"><strong style="font-size: 22px;">研究人員揭露蘋果自動化流程應用程式Shortcuts高風險漏洞細節</strong></a></p> <p>1月22日蘋果發布iOS 17.3、iPadOS 17.3、macOS Sonoma 14.3、watchOS 10.3，修補高風險漏洞CVE-2024-23204（CVSS風險評分為7.5），這個弱點是坐落在自動化流程應用程式Shortcuts當中，蘋果當時表示，攻擊者若利用這項漏洞，能在無需使用者互動的情況下，運用敏感資料。</p> <p>通報該漏洞的資安業者Bitdefender近期透露更多細節，他們指出問題出在名為Expand URL的動作，原本Expand URL是用於將短網址回復成原始網址，並過濾與追蹤有關的參數，卻存在可外洩資料的疏漏。</p> <p>為了驗證漏洞，Bitdefender製作能繞過「透明度、同意與控制（Transparency, Consent, and Control，TCC）」通訊協定的Shortcuts檔案，從而觸發漏洞，將圖片的Base64編碼傳輸至惡意網站，研究人員指出，攻擊者可透過這類Shortcuts檔案涉及的照片、通訊錄、檔案，或是剪貼簿的資料，進行匯入，並使用Base64進行編碼，接著再將這些內容轉送到惡意伺服器。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-returns-to-attacks-with-new-encryptors-servers/"><strong><span style="font-size: 20px;">研究人員證實勒索軟體駭客組織LockBit重出江湖，使用新的作案工具犯案</span></strong></a></p> <p></p> <p><strong><a href="https://blogs.jpcert.or.jp/en/2024/02/lazarus_pypi.html"><span style="font-size: 20px;">北韓駭客Lazarus上傳惡意PyPI套件，意圖散布惡意軟體Comebacker</span></a></strong></p> <p></p> <p><a href="https://www.mandiant.com/resources/blog/investigating-ivanti-exploitation-persistence"><strong><span style="font-size: 20px;">中國駭客組織利用Ivanti Connect Secure漏洞從事攻擊行動，針對美國、日本、亞太地區國防工業及電信機構而來</span></strong></a></p> <p></p> <p><strong><a href="https://www.mandiant.com/resources/blog/suspected-iranian-unc1549-targets-israel-middle-east"><span style="font-size: 20px;">中東航空、航太、國防業者遭到伊朗駭客組織UNC1549鎖定</span></a></strong></p> <p><a href="https://www.verbraucherzentrale-hessen.de/pressemeldungen/verbraucherzentrale/hackerangriff-auf-verbraucherzentrale-hessen-92732"><strong><span style="font-size: 20px;">德國消費者保護團體傳出遭勒索軟體攻擊，電話與電子郵件通訊受到影響</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161517"><strong>【2月27日】知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161467"><strong>【2月26日】勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161450"><strong>【2月23日】遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit</strong></a></p> </div></div></div>
2024/2/29 16:14作者周峻佑https://www.ithome.com.tw/news/161549
微軟發布DirectSR API，整合各家GPU廠商超級解析度功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟搶先預告，DirectX團隊將在今年的遊戲開發者大會推出許多新工具，而其中最受關注的便是<a href="https://devblogs.microsoft.com/directx/directx-innovation-on-display-at-gdc-2024/">DirectSR</a>，官方解釋，DirectSR是一個新的API，能夠無縫整合各GPU製造商的超解析度解決方案，包括Nvidia DLSS（Deep Learning Super Sampling）、AMD FSR（FidelityFX Super Resolution）與Intel XeSS（Xe Super Sampling）。</p> <p>DLSS、FSR與XeSS三種都是能夠提高圖形應用效能和圖像品質的技術。DLSS使用深度學習和人工智慧演算法來提高圖像品質和效能，藉由降低遊戲的原始解析度，並使用預訓練的神經網路模型重建高解析度影像，如此便可在不降低遊戲效能的情況下，提高影格數和圖像解析度。</p> <p>FSR與XeSS同樣也是一種超級採樣技術，雖然各家達成超級解析度的技術各有不同，但目的都是要提高遊戲解析度和視覺效果，在自家硬體提供更順暢的遊戲體驗。不同玩家所使用的硬體不同，使得遊戲開發人員需要支援各家不同的超解析度解決方案，不過，這樣卻會大幅提高遊戲開發人員的負擔。</p> <p>而現在微軟提出DirectSR，便是希望透過與各家GPU硬體供應商合作設計一個通用的API，可讓開發人員方便地在遊戲中整合超級解析度功能。微軟提到，該DirectSR API透過一組通用的輸入和輸出規範支援多供應商超解析度功能，使得遊戲以單一程式碼就能啟動各家的GPU超級解析度功能。</p> <p>DirectSR即將會加入到Agility SDK中，以公開預覽版的方式供開發者測試。</p> </div></div></div>
2024/2/29 17:07作者李建興https://www.ithome.com.tw/news/161548
GitHub正式推出可整合組織程式碼與知識庫的企業版Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub全面發布<a href="https://github.blog/2024-02-27-github-copilot-enterprise-is-now-generally-available/">企業版Copilot（Copilot Enterprise）</a>，每位用戶每月的訂閱價格為39美元。相較於一般版的Copilot，Copilot Enterprise的主要功能在於提供個人化，且可以針對組織特定需求的開發體驗，包括可以深入理解程式碼庫、存取組織的知識和最佳實踐，以及審查拉取請求。</p> <p>Copilot Enterprise讓開發者可以更快地深入理解組織的程式碼庫，因此開發者在開發新功能、解決問題和更新舊程式碼都會更容易。同時也使得新進開發者可以更快地做出貢獻，使資深開發者有能力迅速處理即時事件，並加速企業程式碼現代化。Copilot Enterprise可以提供清楚的程式碼摘要、相關建議以及回應程式碼行為，有效提升程式碼編寫和理解的效率。</p> <p>聊天功能在Copilot Enterprise被整合到GitHub.com中，使開發人員能夠直接在程式碼庫，以自然語言提出問題並獲得解答，還能獲得與問題相關的文件和現有解決方案。官方提到，這個功能將有助於促進大規模程式碼迭代，同時針對組織特定程式碼庫和標準，提供協助與建議使開發人員更快速地改進程式碼。</p> <p>而Copilot Enterprise也能生成拉取請求摘要，使開發人員花更少的時間編寫，並且更專注於合併拉取請求工作本身，Copilot Enterprise也會分析拉取請求的差異，讓審查者可以更快速地理解程式碼變更。</p> <p>GitHub也提到，在Copilot Enterprise Beta測試版本現在整合Bing搜尋功能，因此用戶也可以獲得最新的網際網路資訊。也就是說，GitHub Copilot將具獲取外部知識的能力，如此開發者便可針對程式碼開發環境查詢最新的軟體開發資訊，諸如CSS或JavaScript的更新等。</p> </div></div></div>
2024/2/29 17:12作者李建興https://www.ithome.com.tw/news/161551
行政院通過電子簽章法修正草案，未來數位簽章等同本人親簽，若條件符合可與國外相互承認數位簽章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院今天(2/29)通過數位部提出的電子簽章法修正草案，為我國電子簽章法施行20多年來首次修法，以趕上現今數位服務的需求，此次修法確認數位簽章等同本人親簽，並且新增國內與國外對接，在雙方安全等級相當的前提下，可相互承認數位簽章。行政院通過電子簽章法修正草案後，接下來將爭取通過立法院支持，以在這個會期完成修法程序為目標。</p> <p>數位部指出，使用電子簽章好處有三個，首先是快速，使用電子簽章可加速簽約流程，減少維護及管理文件的時間及費用，並降低歸檔及資料調用的時間，其次是安全方面，電子簽章採用金鑰基礎架構及國際組織制定的演算法，確保文件傳輸及交易的安全，第三是減碳方面，由於電子簽章採用已無紙化，可減少大量紙張使用。</p> <p>此次電子簽章法修法，數位部預期效益，包括推動電子簽章的普及運用，加速智慧政府及數位轉型的政策目標，還有塑造多元電子簽章發展的有利法制環境，並且促成電子簽章和國際對接、交流往來。</p> <p>在行政院會後記者會，數位部解釋電子簽章法修正草案的6項修正重點，第1項是明示電子與紙本具有同等功能，過去大眾對於書面文件及簽章改採電子形式存有疑慮，參考聯合國、美國、歐盟等國際法例，新增條文第4條規定，電子文件及電子簽章，不能因其電子形式而否認其法律效力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/es-1600.jpg" style="width: 600px; height: 312px;" /></p> <p>第2項是確定電子簽章和數位簽章的關係，數位部數位產業署副署長林俊秀解釋，電子簽章如同傳統紙本時代的印章，而數位簽章則是使用經主管機關許可的憑證機構所簽發的憑證，在演算法及加密技術下，具備驗證手續，該憑證如同傳統紙本時代的印鑑證明。</p> <p>在定義上，電子簽章指依附在電子文件上與其相關連，用以辨識電子文件簽署者的身分、資格及電子文件真偽；數位簽章為電子簽章的一種，指的是將電子文件以數學演算法或其他方式運算為一定長度的數位資料，以簽署者的私密金鑰加密，形成電子簽章，可以公鑰驗證，且具有憑證機構簽發的憑證者。</p> <p>第3項修正重點是，確認由政府許可的憑證機構所簽發憑證的數位簽章效力強度，林俊秀指出，數位簽章因具有政府許可的憑證機構簽發的憑證，具有公信力，因此推定數位簽章為本人親簽，在法律訴訟上具有更強的證據力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard01600(1).jpg" style="width: 600px; height: 311px;" /></p> <p>第4項修正重點為調整相對人同意要件，在數位包容的前提下，考慮到相對人的數位落差，當要採用電子形式的文件及簽章，應以合理方式給予相對人反對的機會，並且應該告知相對人，如果相對人沒有反對，推定同意採用電子形式。</p> <p>第5項為減少政府機構公告排從適用電子簽章法適用的可能性，林俊秀解釋，過去政府機構經常輕易以「公告」的方式單方面排除電子簽章法適用，因此修法刪除舊法中對行政機構得公告排除適用的規定，並要求行政機構應以法律來排除電子簽章法適用，對於舊有排除適用的「公告」定下落日條款，從修法施行開始，3年內停止適用，但司法程序考量到其特殊性，則不適用電子簽章法的規定。</p> <p>第6項修法重點是考慮到未來電子簽章的國際對接，在安全條件相當的前提下，如憑證機構間有技術對接合作，雙方憑證機構符合歐盟或ISO國際標準，就能互相承認數位簽章。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Clipboard000.jpg" style="width: 600px; height: 317px;" /></p> <p>數位部次長李懷仁補充說明，當民眾使用電子簽章技術時，確實可驗證簽署人的身分，但目前並沒有法令，強制要求數位平臺或跨境平臺一定要使用電子簽章，另外，相對人的機制，例如保險公司採用電子保單，需詢問投保人採用電子保單，投保人仍可向保險公司表示使用紙本，表達相對意思，保險公司必需尊重其意思；相反地，投保人如果向保險公司表達電子簽署保單的意思，保險公司也可向其說明因系統或法令關係，無法提供電子保單簽署服務，相對人是雙向的概念。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20240229-%E9%9B%BB%E5%AD%90%E7%B0%BD%E7%AB%A0%E6%B3%953.jpg" style="width: 600px; height: 600px;" /></p> <p>李懷仁也說，電子簽章技術可適用於個人及法人，其中法人包括企業，此次修法的一項重點是技術對接，只要國外憑證機構經過我國許可，國內企業與國外企業簽約也能採用電子簽章。至於電子簽章與數位簽章的差別，數位簽章具有較強的效力強度及安全規範，數位簽章在法律上推定為本人親簽，因為運用加密私鑰來簽署，而該加密私鑰為透過政府許可的憑證機構所認定發出，如同傳統上印鑑證明，代表政府審核的印鑑證明，具有一定的公信力，不同於個人蓋的印章。政府會審核憑證機構，這些憑證機構發出的憑證達到一定的安全等級，才能被稱為數位簽章。</p> <p><span style="color:#B22222;"><strong>擴大電子簽章普及，將與數位平臺業者合作打擊詐騙廣告</strong></span></p> <p>主導電子簽章法修法的數位部也在下午舉行記者會，部長唐鳳親自說明未來電子簽章法的應用，其中數位部正計畫用於打擊詐騙，目前投資詐騙廣告盛行，這類廣告內容常見利用名人影像吸引民眾加入投資群組，數位部透過電子簽章法修法，增加數位簽章，如同印鑑證明證明真有其人來蓋章，接下來數位部將和臉書、YouTube、Line等主要網路廣告平臺合作，要求這類廣告上架前，刊登者需使用數位簽章，為其刊登廣告負責，過去這類高風險的廣告被檢舉下架後，不肖人士可能更換帳號重新刊登，現在因數位簽章的效力關係到個人，因此當該廣告被檢舉下架之後，同一自然人再在其他平臺刊登廣告，透過聯防通告系統，告知其他平臺業者都要下架，其次，不肖人士也難以再生出另一個自然人身分，運用數位簽章刊登詐騙廣告。</p> <p>她表示，數位部已和經濟部討論，爭取成為無實體的純網路廣告平臺的主管機關，未來加上電子簽章法修法若獲得通過，可從源頭有效打擊詐騙廣告。未來不只是純網路廣告平臺，甚至包含第3方支付、遊戲產業也將是聯防平臺的成員，主動發現詐騙活動，並協調大家運用數位簽章從源頭管理。</p> <p>唐鳳還表示，對於任何需要簽名或蓋章的場合，電子簽章法修法通過後，未來只要相對人不反對，可以運用電子簽章、電子文件來進行線上簽署，金融方面，如開戶、貸款等，在今日的院會上金管會黃主委表示，電子簽章法修法後，將提供更強的法定效力，更易於確認簽署者的數位簽章身分，相信所有和金融相關服務都可能看到應用。</p> <p>另一項修法重點是與國外對接，唐鳳表示，先前參訪立陶宛，該國已普遍使用數位簽章技術，我國舊的電子簽章法並未規定如果安全程度相當、技術對接就能和國外數位簽章彼此承認，現在新的修法中，只要安全程度相當及技術對接，兩國不一定需要簽署合約，就可以彼此承認簽章，以立陶宛為例，國內銀行就能和立陶宛的企業進行金融往來，或是我國業者存取立陶宛的Fintech等，透過彼此承認數位簽章，可減少傳統上需透過國際快遞合約文件的過程，減少碳足跡。</p> <p>林俊秀指出，目前已有一些業者採用電子簽章，例如台北富邦銀行目前已完成全臺135間分行電子簽章服務建置，以往該行客戶辦理開戶、卡片掛失補發都需在紙本上簽名，導入電子簽章後，現在客戶只要在櫃臺的電子平板上電名即可，可減少櫃檯人員登打、提高作業效率，此外，無紙化也能減少紙張使用、實體文件倉儲的風險。</p> </div></div></div>
2024/2/29 17:23作者蘇文彬https://www.ithome.com.tw/news/161552
HPE和Kyndryl合作LTE/5G專網服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HPE與IT服務商Kyndryl本周在世界通訊大會（MWC）上<a href="https://www.prnewswire.com/news-releases/kyndryl-announces-global-alliance-and-private-5g-network-service-collaboration-with-hewlett-packard-enterprise-302070489.html" target="_blank">宣布</a>策略合作，Kyndryl將提供5G LTE企業專網的布建與整合服務給全球客戶。</p> <p>在這項合作下，前身為IBM基礎架構服務部門的Kyndryl將和HPE 5G專網設備部門Athonet共同開發5G/LTE專網服務方案。Athonet為HPE 2023年初<a href="https://athonet.com/what-we-do/" target="_blank">收購</a>的義大利私有行動核心網路平臺業者，HPE希望藉此擴展產品陣容從資料中心、雲端到企業邊緣網路。</p> <p>Kyndryl將提供部署服務，協助整合HPE Aruba企業有線、無線網路（Wi-Fi 6）環境以及Athonet的5G/LTE網路核心平臺。Kyndryl也將提供AIOps整合服務平臺Bridge，該平臺讓企業用戶得以掌握與管理多種雲端、混合雲上的IT資產及應用，實現自動化、減少網路斷線風險。</p> <p>Kyndryl原本就是HPE邊緣到雲端（Edge-to-Cloud）平臺的合作服務夥伴，雙方已為共同客戶提供多種運算即服務（Compute as a Service，CaaS）、多雲資料可攜、有線和WLAN（Wi-Fi 6）、勒索軟體與災難復原服務。</p> <p>除了HPE網路設備之外，Kyndryl也提供諾基亞（Nokia）及思科5G專網平臺的布建服務。</p> </div></div></div>
2024/2/29 12:39作者林妍溱https://www.ithome.com.tw/news/161546
HPE和Kyndryl合作LTE/5G專網服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>HPE與IT服務商Kyndryl本周在世界通訊大會（MWC）上<a href="https://www.prnewswire.com/news-releases/kyndryl-announces-global-alliance-and-private-5g-network-service-collaboration-with-hewlett-packard-enterprise-302070489.html" target="_blank">宣布</a>策略合作，Kyndryl將提供5G LTE企業專網的布建與整合服務給全球客戶。</p> <p>在這項合作下，前身為IBM基礎架構服務部門的Kyndryl將和HPE 5G專網設備部門Athonet共同開發5G/LTE專網服務方案。Althonet為HPE 2023年初<a href="https://athonet.com/what-we-do/" target="_blank">收購</a>的義大利私有行動核心網路平臺業者，HPE希望藉此擴展產品陣容從資料中心、雲端到企業邊緣網路。</p> <p>Kyndryl將提供部署服務，協助整合HPE Aruba企業有線、無線網路（Wi-Fi 6）環境以及Athonet的5G/LTE網路核心平臺。Kyndryl也將提供AIOps整合服務平臺Bridge，該平臺讓企業用戶得以掌握與管理多種雲端、混合雲上的IT資產及應用，實現自動化、減少網路斷線風險。</p> <p>Kyndryl原本就是HPE邊緣到雲端（Edge-to-Cloud）平臺的合作服務夥伴，雙方已為共同客戶提供多種運算即服務（Compute as a Service，CaaS）、多雲資料可攜、有線和WLAN（Wi-Fi 6）、勒索軟體與災難復原服務。</p> <p>除了HPE網路設備之外，Kyndryl也提供諾基亞（Nokia）及思科5G專網平臺的布建服務。</p> </div></div></div>
2024/2/29 12:39作者林妍溱https://www.ithome.com.tw/news/161543
拜登發布行政命令，禁止輸出美國人的敏感個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統拜登（Joe Biden）周三（2/28）<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/02/28/fact-sheet-president-biden-issues-sweeping-executive-order-to-protect-americans-sensitive-personal-data/" target="_blank">發布一項行政命令</a>，意欲保護美國人的敏感個資，包括基因組資料、個人健康資料、地理位置資料、財務資料及特定類型的身分資訊等，避免它們流入外國情報機構，進而帶來隱私、勒索、或國家安全的風險。此一命令將由美國司法部與各部門協定，並負責制定規則及執行。</p> <p>美國司法部同一天即<a href="https://www.justice.gov/opa/pr/justice-department-implement-groundbreaking-executive-order-addressing-national-security" target="_blank">發布聲明</a>，指出旗下的國家安全部門將會發布所擬規則的預先通知（Advance Notice of Proposed Rulemaking，ANPRM），以徵求公眾意見，且考慮將中國、俄羅斯、伊朗、北韓、古巴及委內瑞拉列為此一計畫的首要關注國家。</p> <p>白宮表示，企業正在蒐集大量的美國人資料，也經常透過資料掮客合法出售或轉售，然而，商業資料掮客與其它企業可將這些資料出售給美國有顧慮的國家，或是由這些國家控制的實體，進而落入外國情報部門、軍隊，或是由外國政府所控制的企業手上。</p> <p>美國司法部長Merrick Garland指出，美國的對手正在利用美國人的敏感資料來威脅美國的國家安全，它們購買這些資料是為了勒索與監視那些政見與之不同的美國人，並從事其它惡意活動。助理司法部長Matthew Olsen也說，敵對的外國勢力正在將大量資料與AI武器化，且針對美國人，本周的宣告替司法部提供一個強大的執法工具，以避免美國人及其敏感資料遭到對手利用。</p> <p>此一ANPRM將描述禁止輸出的個資類別或是特定的政府資料，包括禁止基因組資料的傳輸，以及對供應商、受僱及投資協議的限制，但也會豁免與金融服務相關的資料交易，放行低風險的商業活動。</p> <p>美國司法部將會透過Regulations.gov接受外界對該ANPRM的看法及意見，開放時間為45天，之後才會提出正式法規。</p> </div></div></div>
2024/2/29 13:16作者陳曉莉https://www.ithome.com.tw/news/161545
竊資軟體是2023年最流行的惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供MDR服務的Mandiant Managed Defense團隊上週五發布<a href="https://cloud.google.com/blog/products/identity-security/a-year-in-the-cybersecurity-trenches-with-mandiant-managed-defense">2023年度資安回顧</a>，當中開宗明義指出，Infostealer（竊資軟體）是2023 年最普遍運用的惡意軟體類型，根據他們的觀察，這股趨勢的存在，符合地下論壇和市場對遭竊資料的需求和供應。</p> <p>因為對於網路犯罪分子而言，竊資軟體的確是有利可圖的，經由此種方式所得到的資料，可用於勒索，或促使入侵的多個階段得以更快推進。例如，透過竊資軟體的幫忙，歹徒可以拿到的身分憑證，以便初步存取（initial access）階段滲透，或在內部網路進行橫向移動，同時，他們還能藉此收集目標所在環境的相關資訊。而這些透過偵察而拿到的資料，可用於設計後續的攻擊手段，從而大幅提升資料外洩的嚴重程度和衝擊。</p> <p>為何竊資軟體能夠潛入目標對象的環境當中？一般而言，這類惡意軟體通常會以破解註冊授權的軟體或盜版軟體，作為誘餌，之後進行散播，為了能夠更有效地分送，將竊資軟體植入受害者的系統，網路犯罪分子使用社交工程和搜尋引擎最佳化（SEO）的策略。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure_1_GRAF-2137_UNC4864_Attck_Chain_V2-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure_1_GRAF-2137_UNC4864_Attck_Chain_V2-web.jpg" style="width: 600px;" /></a></p> <p>舉例來說，去年7月，Mandiant Managed Defense團隊就發現這樣的惡意活動，對方使用假造的兩套免費、開放原始碼軟體安裝程式作為誘餌（一是書目管理軟體Zotero，另一是知名的線上筆記與協作服務Notion），結果他們就真的以這種非授權的手段拿到目標設備的存取權。由此可知，類似此種具有特定主題性質的網路攻擊誘餌，證明網路犯罪分子能夠輕鬆地針對特定行業和組織進行攻擊，而且使用量身打造的滲透手法。</p> <p> </p> </div></div></div>
2024/2/29 12:11作者李宗翰https://www.ithome.com.tw/news/161541
Humane與韓國SK Telecom簽定投資、業務合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新創公司<a href="https://humane.com/media/humane-and-sk-telecom" target="_blank">Humane周三宣布</a>與韓國最大電信業者SK Telecom周三宣布一系列合作，包括技術整合、授權，以及對這家公司的投資。</p> <p>在這項合作中，SK Telecom（SKT）透過一筆為數不詳的投資，成為Ai Pin在南韓的獨家電信合作夥伴，也將整合Humane的AI技術及SKT的行動網路、IoT、雲端、AI及5G技術。除了Ai Pin外，SKT也取得Humane CosmOS授權，開發新服務。</p> <p>Humane是蘋果前設計師Imran Chaudhri及軟體開發員工Bethany Bongiorno成立的新創公司，去年Humane公布的無螢幕穿戴裝置Ai Pin，這款裝置可放在胸前口袋，用戶可透過聲控與AI助理對話，完成以往在智慧型手機上執行的任務，包括收發信件、電話、查閱行事曆、搜尋資訊等，使用者也能以投放在掌心或桌面的光學介面和Ai Pin後端的系統互動。</p> <p>去年底Humane<a href="https://www.ithome.com.tw/news/160516" target="_blank">宣布</a>Ai Pin開放預購，並預計在今年三月開始在美國出貨。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0229-humane-press-aipin-family-500.png" style="width: 500px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0229-Humane-MWC%2024-600.png" style="width: 600px;" /></p> <p>Humane表示，和SKT的合作旨在革新消費者的AI體驗、擴大市場普及率，與壯大第三方服務生態系。這項合作是看中Humane的AI和創新裝置，以及SKT的3,250萬訂閱用戶。雙方將發展新的訂閱服務，為底層OS及應用程式，包括SKT的AI服務A.dot平臺尋找新的營收機會。</p> <p>SKT也希望藉AI活化其服務。本周SKT才<a href="https://blog.perplexity.ai/blog/perplexity-pro-is-coming-to-all-sk-telecom-users" target="_blank">宣布</a>投資AI新創公司Perplexity AI，以後者的LLM為基礎為用戶提供AI助理，取代舊有Naver的技術。</p> <p>在南韓推出之前，Ai Pin預定三月會在美出貨，售價699美元並需要綁定電信服務，後者為每月24美元。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Humane</span></span></p> </div></div></div>
2024/2/29 12:29作者林妍溱https://www.ithome.com.tw/news/161542
Sony與EA分別裁撤8%及5%人力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Sony Interactive Entertainment（SIE）與藝電（Electronic Arts，EA）分別在27日與28日宣布裁員措施，其中，<a href="https://sonyinteractive.com/en/news/blog/difficult-news-about-our-workforce/" target="_blank">SIE</a>將裁撤PlayStation部門的900名員工，約占其全球總員工數的8%，<a href="https://www.ea.com/news/continuing-to-evolve-our-business-and-teams?isLocalized=true" target="_blank">EA</a>則準備裁撤5%的人力，約為700名員工。</p> <p>SIE執行長Jim Ryan本周發表了一封信件予公司員工，說明SIE的組織重整計畫，表示將精簡資源以確保未來的持續成功，因此將裁撤900名員工，將對所有SIE市場的員工與多家PlayStation工作室造成影響，包括關閉倫敦的所有工作室，位於英國的Firesprite及荷蘭的Guerrilla工作室都會縮編。</p> <p>PlayStation工作室負責人Hermen Hulst<a href="https://sonyinteractive.com/en/news/blog/an-important-update-from-playstation-studios/" target="_blank">則說</a>，在PlayStation 5邁入第四年之際，SIE需要退一步檢視其業務需求，在此同時，遊戲產業在創造與遊戲的方式經歷了根本性變化；PlayStation Studios以其引人入勝、敘事驅動的故事而聞名，要達到原本追求的品質標準，便必須重新評估其營運方式；不管是要提供及維持社交及網路上的體驗，或者是在PC及行動裝置上推出遊戲，都需要不同的方法與資源。</p> <p>同屬遊戲領域的EA亦發現玩家的需求與動機發生了變化，並準備簡化公司經營，包括淘汰特定遊戲，並終止那些不會成功的IP的開發，計畫裁撤5%人力。EA去年3月已裁撤了6%員工。</p> <p>遊戲產業也是COVID-19疫情時代受惠的領域，與其它科技業者一樣，都在疫情期間大量招聘員工，目前看來仍處於後疫情時代的裁員潮。</p> </div></div></div>
2024/2/29 13:01作者陳曉莉https://www.ithome.com.tw/news/161544
兆勤公告與修補防火牆與無線基地臺存在漏洞，若不修補，可能無法因應RCE、命令注入等攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月21日資安業者兆勤科技（Zyxel Networks）發布資安公告，<a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-and-aps-02-21-2024">揭露CVE-2023-6397、CVE-2023-6398、CVE-2023-6399、CVE-2023-6764等4個漏洞</a>，這些漏洞影響該公司旗下ATP、USG Flex、USG Flex H系列防火牆設備，但CVE-2023-6398也影響約20款Wi-Fi無線基地臺設備。</p> <p>其中，CVE-2023-6764、CVE-2023-6399皆與IPSec VPN功能有關，為格式字串（format string）漏洞，但又以CVE-2023-6764最值得留意，此漏洞能被用於未經授權的遠端執行程式碼（RCE）攻擊，若是攻擊者發送含有無效指標的特製酬載，就有可能觸發，<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-6764">此漏洞的CVSS風險評分達到8.1</a>，是本次危險程度最高的漏洞。</p> <p>雖然兆勤在公告裡提及，攻擊者想要利用漏洞，必須詳細掌握防火牆設備的配置，但<a href="https://www.facebook.com/TrapaSec/posts/pfbid033YCZHqCpHZKfc5aXvVXwM17z8ifsg6qHXX12eXsQU9HQLYQenahTKmZXSmiUXRABl">通報漏洞的資安業者TRAPA Security指出</a>，此預先身分驗證的RCE漏洞最值得留意，因為攻擊者一旦將其利用，可在無須身分驗證的情況下，從WAN端獲得設備的最高權限，並執行任意程式碼。</p> <p>另一個也相當值得留意的漏洞，是評為高風險等級的後身分驗證命令注入漏洞CVE-2023-6398，因為具管理員權限的攻擊者可透過FTP功能，對存在漏洞的防火牆或無線基地臺發動攻擊，從而執行部分的作業系統命令，<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-6398">CVSS風險評為7.2</a>。</p> </div></div></div>
2024/2/29 11:21作者周峻佑https://www.ithome.com.tw/news/161538
蘋果傳終止Project Titan，專注發展AI、Vision Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2024-02-27/apple-cancels-work-on-electric-car-shifts-team-to-generative-ai" target="_blank">《彭博》</a>報導，傳聞發展多年的蘋果電動車計畫Project Titan已經正式被終止，也將裁減相關人員。</p> <p>報導引述消息人士指出，蘋果營運長Jeff Williams和負責Project Titan主管Kevin Lynch本周發信通知團隊這項消息。團隊部份人員將會被轉調至生成式AI部門，其他人有90天可以尋找公司內其他部門的職位，或拿錢離開公司。<a href="https://www.bloomberg.com/news/articles/2024-02-28/apple-cancels-its-electric-car-in-favor-of-ai-vision-pro" target="_blank">彭博指出</a>，透過這項縮編，蘋果計畫將資源集中在開發AI及智慧頭戴裝置Vision Pro。</p> <p>蘋果拒絕評論此事。</p> <p>蘋果發展電動車傳聞已流傳多年，但蘋果始終沒有證實。媒體在2015年首次<a href="https://www.ithome.com.tw/news/107293" target="_blank">報導</a>蘋果在Project Titan下開發有自動駕駛能力的電動車，預定2020年問世。</p> <p>不過Project Titan進行並不順利，多次傳出高層換將、人員流動及裁員重組消息，汽車推出日期也一延再延，從2021、<a href="https://www.ithome.com.tw/news/141824" target="_blank">2024</a>，再到2028年。期間也傳聞蘋果從汽車大廠挖來多名重量級人士來主導計畫，包括BMW　i3主導功臣Ulrich Kranz及特斯拉的Doug Field等。2021年媒體報導原先負責Apple Watch的Kevin Lynch接掌Project Titan，並有消息指Project Titan不再發展汽車，將專注在自駕系統的開發。</p> <p><a href="https://techcrunch.com/2024/02/27/apple-cancels-electric-car-project-titan/" target="_blank">Techcrunch</a>報導，Project Titan最多曾有多達5,000人，在幾經計畫變更後，最近仍有1,400名員工。</p> <p>顯然今年以來科技界的裁員潮中，蘋果也被迫做出取捨。在Google、微軟相繼全速衝刺生成式AI的同時，執行長Tim Cook<a href="https://www.ithome.com.tw/news/161134" target="_blank">承諾</a>今年內將部署生成式AI。產業分析機構<a href="https://www.ithome.com.tw/news/161261" target="_blank">推測</a>蘋果為推進AI研發，已買了32家AI新創公司。</p> </div></div></div>
2024/2/29 09:01作者林妍溱https://www.ithome.com.tw/news/161531
Ivanti接連公布5個Connect Secure漏洞，有研究人員拆解韌體發現恐有大量弱點可被利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2019年資安業者Pulse Secure公布旗下的SSL VPN系統Pulse Connect Secure高風險漏洞CVE-2019-11510、CVE-2019-11539，隨後這些漏洞便成為駭客經常利用的對象。</p> <p>先是<a href="https://www.ithome.com.tw/news/132019">有研究人員公布細節</a>、察覺大規模的漏洞嘗試利用行動，後來更引起<a href="https://www.ithome.com.tw/news/133480">英國網路安全中心（NCSC）</a>、<a href="https://www.ithome.com.tw/news/137594">美國網路安全暨基礎設施安全局（CISA）</a>的警告。到了2020年，Ivanti併購Pulse Secure，經過數年的整併，這套SSL VPN系統的安全性是否得到改善？</p> <p>近期Ivanti揭露一系列的漏洞，讓這套系統的安全性再度浮上檯面。</p> <h3><span style="color:#0000FF;"><strong>高風險漏洞接連爆發，公布後皆遭駭客用於攻擊行動</strong></span></h3> <p><a href="https://www.ivanti.com/blog/security-update-for-ivanti-connect-secure-and-ivanti-policy-secure-gateways">今年1月上旬</a>，Ivanti針對Ivanti Connect Secure（原Pulse Connect Secure，簡稱ICS）、NAC解決方案Ivanti Policy Secure（IPS）發出公告，指出這些系統存在身分驗證繞過漏洞CVE-2023-46805、命令注入漏洞CVE-2024-21887，通報上述漏洞的資安業者Volexity指出，<a href="https://www.volexity.com/blog/2024/01/10/active-exploitation-of-two-zero-day-vulnerabilities-in-ivanti-connect-secure-vpn/">中國駭客組織UTA0178（亦稱UNC5221）已在去年底將其用於攻擊</a>。</p> <p>在公布上述漏洞後，Ivanti著手進行調查，3週後<a href="http://forums.ivanti.com/s/article/CVE-2024-21888-Privilege-Escalation-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure">揭露另外2個新漏洞</a>，這些是：網頁元件權限提升漏洞CVE-2024-21888、SAML元件SSRF漏洞CVE-2024-21893，並表明已有部分客戶遭到CVE-2024-21893漏洞利用攻擊，並先後於1月31日、2月1日針對不同版本的Connect Secure、Policy Secure，提供上述4個漏洞的修補程式。</p> <p>事隔一週，<a href="https://forums.ivanti.com/s/article/CVE-2024-22024-XXE-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure">2月8日Ivanti又公布第5個漏洞CVE-2024-22024</a>，此為SAML元件的XML外部實體（XXE）漏洞，並於8日至14日陸續上架各版本的更新程式。但值得留意的是，該公司在不到1個月的時間裡，公布了5個漏洞，其中有3個是在公開之前就遭到利用，另外2個則是在公布後也出現被利用的情況，這使得該產品線的安全性令人擔憂。</p> <p>後續有研究人員揭露新的發現，證實該系統確實存在大量容易受到攻擊的弱點，而成為駭客偏好下手的目標。</p> <h3><span style="color:#0000FF;"><strong>採用大量已不再受到支援的陳年元件、過期憑證，至少曝露近1千個已登記CVE編號的漏洞</strong></span></h3> <p>專精韌體安全的資安業者Eclypsium<a href="https://eclypsium.com/blog/flatlined-analyzing-pulse-secure-firmware-and-bypassing-integrity-checking/">取得ICS韌體ICS-9.1.18.2-24467.1版進行分析</a>，結果發現，此韌體底層執行的作業系統竟是已在2013年發布、2020年終止支援的CentOS 6.4，其Linux核心更是在2016年終止支援的2.6.32版，還有很多元件也相當老舊，而可能存在不會被修補的漏洞，例如：2017年終止支援的OpenSSL 1.0.2n、2010年終止支援的Python 2.6.6，以及2001年終止支援、32位元版本的Perl 5.6.1。</p> <p>唯一令研究人員意外的部分，是韌體裡採用的4.1.2版Bash（2010年推出），因為Ivanti修補了<a href="https://www.ithome.com.tw/news/91143">2014年出現的重大漏洞Shellshock</a>。</p> <p>此外，研究人員也在該系統找出大量弱點，包含973個已登記CVE編號的已知漏洞，其中有396個為高風險層級；他們也從76個Shell指令碼找到1,216個弱點、並在5,392個Python檔案找出5,218個漏洞，再者，該系統所使用的800個憑證當中，有133個已經過期。</p> <p>附帶一提的是，可能是基於防堵他人對ICS韌體及虛擬機器（VM）版本系統的檔案進行逆向工程、拆解，危害這類系統的完整性，Ivanti對於上述檔案進行加密處理，但沒有對加密的強度進行說明。</p> <p>研究人員認為該公司這麼做意義不大，原因是中國駭客仍能找出這套系統的漏洞並加以利用。而他們在研究的過程中，並未直接突破虛擬機器的加密防護，而是採用真實設備來取得分析所需的韌體。</p> <p>另一方面，有鑑於漏洞攻擊的肆虐，Ivanti提供了「完整性檢查工具（Integrity Checking Tool，ICT）」，讓企業組織檢查相關系統是否遭到入侵。</p> <p>這套工具內含物料清單（BOM）檔案目錄，並根據SHA256雜湊值比對系統檔案是否遭到竄改。但研究人員發現，用來執行比對的指令碼存在嚴重的邏輯錯誤，會略過部分的系統資料夾而不予比對，換言之，攻擊者可以將作案工具植入這些資料夾，以便持續存取受害伺服器，而IT人員執行上述的ICT工具卻不會察覺異狀。</p> <h3><span style="color:#0000FF;"><strong>修補程式等待時間長，IT人員須持續追蹤公告、安排套用緩解措施行程</strong></span></h3> <p>值得留意的是，Ivanti對這些漏洞發出公告與提供修補程式的時間並不一致，其中間隔最長的就是CVE-2023-46805、CVE-2024-21887，這兩個漏洞從公告到修補程式推出，間隔超過20天，但該公司發布資安公告不久就出現攻擊行動。這樣的情況，導致IT人員須持續追蹤公告、安排套用緩解措施及部署更新的行程，疲於奔命。</p> <p>話雖如此，研究人員發現，可透過網際網路存取的Ivanti系統，仍有超過半數未修補。</p> <p><a href="https://twitter.com/Shadowserver/status/1757721421252264400">2月14日Shadowserver基金會指出</a>，約有3,900臺Ivanti設備曝露於CVE-2024-22024的風險，此外，該基金會也提及仍有1,000臺主機存在CVE-2024-21887的弱點。</p> <p><a href="https://twitter.com/nekono_naha/status/1757971789035245814">研究人員Yutaka Sejiyama也公布調查結果</a>，他指出，截至2月15日為止，全球可透過網際網路存取的Ivanti主機有24,239臺，目前約有10,603臺套用1月31日的修補程式，但修補CVE-2024-22024的主機僅有5,107臺，換言之，至少約有1.3萬臺主機尚未修補上述漏洞。</p> <p>而在臺灣的部分，總共有672臺主機可透過網際網路存取，其中有164臺套用1月31日的修補程式，但修補CVE-2024-22024的主機，卻僅有9臺。</p> </div></div></div>
2024/2/28 23:00作者周峻佑https://www.ithome.com.tw/news/161530
Google前員工創立的AI新創公司Glean，獲花旗集團、Databricks投資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI創投熱潮正夯，由Google、微軟前工程師創立的<a href="https://www.businesswire.com/news/home/20240227101592/en/Glean-Announces-Over-200M-Series-D-to-Accelerate-Secure-Deployment-of-Generative-AI-in-the-Enterprise" target="_blank">AI新創公司Glean周二宣布</a>在D輪募資中，獲得花旗集團、Databricks與Workday投資，使市值達到22億美元。</p> <p>在新投資者加入，加上既有投資法人包括General Catalyst、紅杉資本（Sequoia Capital）、Kleiner Perkins和Lightspeed Venture Partners等，Glean現有公司市值估計為22億美元。其中，Kleiner Perkins也是雲端平臺Slack、Box及Figma的投資法人。</p> <p><a href="https://www.glean.com/" target="_blank">Glean</a>為2019年成立的AI搜尋與檢索增強生成（Retrieval Augmented Generation，RAG）解決方案供應商，提供以企業資料搜尋、知識管理、工作協同、AI助理等工具，支援業務、行銷、工程開發等團隊。公司共同創辦人暨執行長Arvind Jain來自Google，其餘成員如T.R. Vishwanath、Piyush Prahladka及Tony Gentilcore則有微軟、Google及Uber的經歷。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0228-Glean-04-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Glean</span></span></p> <p>Glean公司表示，該公司的搜尋及RAG技術使大型語言模型（LLM）得以發揮效果，在企業客戶積極部署生成式AI服務下，公司年度經常性收入（Annual Recurring Revenue）成長將近4倍，於1月截止的年營收由一年前的1,000萬美元成長到3,900萬美元，新簽約客戶包括金融作業平臺BILL、設計及出版線上工具商Canva及索尼電子等。</p> <p>Glean是最新一家獲得大筆創投資金的AI新創業者。本周稍早法國AI模型開發商<a href="https://www.ithome.com.tw/news/161515" target="_blank">Mistral AI也宣布</a>獲得微軟一筆金額不詳的資金，也將和微軟合作，成為其Azure平臺上的AI模型新方案。而同時Mistral AI也獲得Amazon青睞，登上其Bedrock AI雲端平臺。</p> </div></div></div>
2024/2/28 15:26作者林妍溱https://www.ithome.com.tw/news/161526
Motorola展示可扣在手腕上的概念智慧型手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周MWC 2024上聯想繼<a href="https://www.ithome.com.tw/news/161511" target="_blank">透明螢幕筆電</a>後，旗下手機部門Motorola也<a href="https://twitter.com/Moto/status/1762142344818946518/photo/4" target="_blank">展示了一款可撓式智慧型手機</a>，螢幕和機身皆可大幅彎曲，甚至扣在手腕上。</p> <p>這款可彎曲的智慧型手機去年10月已在Lenovo Tech World '23大會上現身。它是展示「適應性顯示器」（Adaptive Display）的概念手機，因此也可能永遠不會有產品問世。</p> <p>平常情況下，它是一款6.9吋螢幕的Android智慧型手機，但它顯示器使用可撓式FHD+pOLED面板，手機下方是織料包覆的脊椎式結構，可依據使用者需求一節節彎曲。它可以彎折底部使自己站立，甚至能折成C型，聯想還設計了磁性扣件以便手機整個扣在手腕上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0228-motorola-mwc-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Motorola</span></span></p> <p>這新設計承襲了幾年來Motorola折疊手機的研發成果。<a href="https://www.motorola.com/tw/zh/smartphones-motorola-razr-40-ultra-2023/p" target="_blank">去年已推出</a>了一款可撓式手機商品Razr 40 Ultra，也是採用6.9吋pOLED螢幕。</p> <p>但新一代手機將整合機上AI功能。聯想表示，這款手機具備AI情境感知（contextual awareness）」能力，可視彎曲程度調整介面，例如調整顯示尺寸、消除螢幕皺褶。手機彎曲時主要功能都能運作，包括手機自拍、觸控及特定應用程式。此外，當成手錶配戴時，手機內建的AI功能也可根據用戶當天穿著，產生相應色彩桌布以搭配服裝。聯想說，該公司計畫為旗下手機（不只是這款）加入LLM，以提供更方便的用戶協助。</p> </div></div></div>
2024/2/28 15:46作者林妍溱https://www.ithome.com.tw/news/161527
Google改進虛擬鍵盤Gboard所使用的差分隱私技術，提供更強的隱私保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google行動虛擬鍵盤應用程式Gboard中的所有下一個單字預測（Next Word Prediction，NWP）的神經網路語言模型，現在均採用<a href="https://blog.research.google/2024/02/advances-in-private-training-for.html">聯合學習（Federated Learning，FL），並且提供差分隱私保證</a>。另外，Google還進一步使用先進的演算法和增加參與模型訓練手機數量，來達到更高的隱私標準。</p> <p>Google從2017年以來，開始研究以聯合學習私密訓練Gboard語言模型，並在2022年正式應用差分隱私。聯合學習允許行動裝置在不共用資料的情況下協作訓練模型，而差分隱私則是提供資料匿名的可量化衡量標準。</p> <p>目前超過30多個Gboard裝置上語言模型，已經在超過7種語言和15個以上的國家中推出，並且具有差分隱私保證，Google提到，這是目前已知最大的用戶等級差分隱私部署，並且針對直接使用用戶資料訓練的模型提供差分隱私保證。</p> <p>Google向Gboard用戶提供資料使用相關資料，包括資料的使用目的、處理方式，並讓用戶可以簡單配置學習模型的資料使用。聯合學習只會聚合有助於特定模型改進的更新，來最小化資料使用量，而且Google所採用的安全聚合（SecAgg）加密方法，進一步保證聯合學習只能存取臨時更新的聚合結果，確保只有合併後的更新資訊會被用於改進模型，且不會使用任意個別用戶的資料。伺服器也應用差分隱私，來防止模型記住單一使用者訓練資料中的獨特資料。</p> <p>Gboard中所有打字預測模型都具差分隱私保證，代表著在使用用戶打字資料改善預測準確度的同時，也就能確保個人資料的匿名和安全。在聯合學習中，Gooogle透過使用多語言C4資料集預訓練模型，並在公共資料集中進行實驗模擬，找出一個最佳的雜訊比，使模型能夠有效運作卻又不會洩漏個人資料。在限制用戶於一定時間內只能貢獻模型一次，將有助於提升隱私，並且限制每次更新對模型的影響程度。</p> <p>而在運用差分隱私保護用戶打字隱私的同時，Google也持續改進差分隱私，將模型隱私保護強度提高至新的層級，特別是在巴西的葡萄牙語和拉丁美洲的西班牙語模型，官方提到，透過使用先進的MF-DP-FTRL演算法，並讓每輪參與伺服器模型更新的裝置增加至12,000個，就能達到更強的隱私保證。</p> <p>Google對聯合學習與差分隱私的研究，證實透過客戶端的參與度和系統演算法設計，實作差分隱私是可行的方法。當人群規模龐大且匯集大量裝置的貢獻時，隱私和效果都可達到較高的水準。而隱私審查結果證明了，即便是差分隱私最壞的情況發生，實際上其所提供的保護仍高於預期。</p> <p>目前Google正在研究機器學習相關的所有隱私方法，並且擴展差分隱私技術，使其可用於分散式系統，同時Google也在增加系統的可稽核性和可驗證性。</p> </div></div></div>
2024/2/28 14:09作者李建興https://www.ithome.com.tw/news/161525
Netflix開源可最佳化eBPF串流效能的工具bpftop
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Netflix公開了一款內部的命令列工具<a href="https://netflixtechblog.com/announcing-bpftop-streamlining-ebpf-performance-optimization-6a727c1ae2e5">bpftop</a>，該工具目的在於最佳化和監控eBPF程式效能，Netflix提到，由於他們逐漸增加採用eBPF技術的比例，因此也就需要更嚴謹地看待相關系統，確保既能發揮eBPF的好處，又不會造成系統過度負載，進而保證營運效率。</p> <p>eBPF（Extended Berkeley Packet Filter）是一種網路技術，用於作業系統核心執行網路相關過濾和分析功能，目前已經發展成為一個強大的工具，可進行各種核心層面的監測和操作，包括效能監測、網路安全、系統追蹤和日誌紀錄等。</p> <p>eBPF在Linux核心中運作，允許用戶自定義程式碼在核心中安全地運作，且不需要更改核心原始碼和載入核心模組，而這樣的靈活性，讓開發者可以動態地在系統上執行高效資料處理和分析程式，對於提高效能、強化安全和進行精細的系統控制非常有用。</p> <p>而Netflix的bpftop便是建立在eBPF基礎之上的命令列工具，bpftop可提供動態即時檢視圖，顯示執行中的eBPF程式平均執行時間、每秒事件數，以及估計總CPU使用率。而bpftop的優勢是能夠在工具活動時才啟用效能統計，以最小化效能開銷，同時bpftop提供時間序列表使用戶能夠清楚檢視統計資料，進而發現異常模式和趨勢。</p> <p>Bpftop使eBPF程式的效能最佳化過程變得簡單，用戶可有效地進行基準測試、程式碼改進，並且建立起即時回饋循環。官方提到，如果沒有bpftop的輔助，最佳化工作便需要手動計算，而這會使流程複雜得多。</p> </div></div></div>
2024/2/28 14:18作者李建興https://www.ithome.com.tw/news/161523
eBay與VMware等知名品牌的棄置網域被用來發送垃圾郵件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以色列資安業者<a href="https://labs.guard.io/subdomailing-thousands-of-hijacked-major-brand-subdomains-found-bombarding-users-with-millions-a5e5fb892935" target="_blank">Guardio近日揭露</a>了一起大規模的廣告/網釣郵件惡意活動SubdoMailing，主要利用眾多已遭知名品牌棄置的網域名稱或子網域來躲過電子郵件過濾機制，同時披露了執行該活動的組織ResurrecAds。受害品牌涵蓋MSN、VMware、McAfee、The Economist、Cornell University、CBS、Swatch與eBay等。</p> <p>Guardio追蹤了SubdoMailing近60天來的活動，顯示有超過8,000個網域名稱、逾1.3萬個子網域被駭客接管，每天傳送超過500萬封垃圾或惡意電子郵件。</p> <p>Guardio指出，駭客主要利用的媒介為CNAME與SPF。其中，CNAME的全名為Canonical Name，是網域名稱系統（DNS）中的一種資源紀錄，它能夠將A網域名稱對應到B網域名稱，以Guardio所發現的一個濫用marthastewart.msn.com網域名稱的活動為例，這是微軟MSN服務的子網域，它的CNAME紀錄被對應到msnmarthastewartsweeps.com，而後者是微軟在2001年5月所申請的網域，但在同年8月就被棄置。</p> <p>在2022年9月，駭客挾持了已無內容的marthastewart.msn.com，發現其CNAME紀錄中的msnmarthastewartsweeps.com屬於無人網域，於是便註冊了該網域，而能夠以等同於MSN的身分來發送電子郵件，躲過了電子郵件過濾機制。</p> <p>SPF全名則是寄件者政策框架（Sender Policy Framework），為一電子郵件驗證方式，可確保發送郵件的伺服器有權自發送者的網域寄出郵件，通常是在網域的DNS中存放了可用來代替該網域傳送郵件的伺服器及網域的SPF紀錄。</p> <p>然而，當品牌網域的電子郵件或行銷服務供應商不再運作，或者是這些供應商棄置了原來所使用的網域名稱時，駭客就會馬上取得這些網域的所有權，進而以品牌的名義發送大量的垃圾、廣告或惡意郵件。</p> <p>Guardio相信，ResurrecAds正持續且大規模地掃描網路上那些曾經存在、之後卻被遺忘的子網域，特別是那些擁有混亂CNAME紀錄的網域，接著快速註冊位於這些CNAME紀錄中的閒置網域，以取得這些品牌網域的控制權。</p> <p>利用這些品牌網域來發送垃圾郵件，不僅能逃過電子郵件過濾機制，還能順便降低使用者的危機意識。除了已發現遭到濫用的逾8,000個網域之外，Guardio還偵測到該數字以每天新增數百個的速度成長。</p> <p>懷疑某個子網域遭到濫用，或是想確定自家子網域安全性的使用者可透過<a href="https://guard.io/subdomailing" target="_blank">Guardio所提供的免費工具</a>進行檢查。</p> </div></div></div>
2024/2/27 17:01作者陳曉莉https://www.ithome.com.tw/news/161522
氣象署啟用第6代超級電腦，建置GPU運算系統加速發展AI天氣測報應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>交通部中央氣象署在周一正式啟用第6代氣象超級電腦，採用富士通[ 富岳] 超級電腦（Fugaku）的商用技術，算力達到10PFlops，為第5代氣象超級電腦的7倍之外，氣象署還額外建置GPU高速運算系統，採用Nvidia A100，加速AI測報及人才培育。</p> <p>在此之前，第5代氣象超級電腦是在2012年建置，採用富士通的「京」超級電腦技術，氣象署新近啟用的第6代超級電腦則是在2021到2023年，以15億元經費，3年3階段建置，去年底完成驗收，終於在本周一正式啟用，以取代第5代氣象超級電腦，第5代超級電腦將移至高雄科工館。</p> <p>第6代超級電腦採用目前在全球500大超級電腦排名第4的「富岳」超級電腦的商用技術，共有15個FX1000機櫃，總算力達10PFlops，為第5代超級電腦的7倍，按照富士通官網說明，FX1000每個機櫃擁有384節點系統，採用水冷式設計，每個節點搭載一顆Arm架構的A64FX處理器，為台積電7奈米製程，內含48個運算核心及4個輔助核心，搭配Tofu Interconnect D連接技術。</p> <p>去年11月公布的全球500大超級電腦排名，氣象署基於內部作業需要，第6代超級電腦分為2個系統，分為10個機櫃及5個機櫃（同地備援），前者以184,320個核心在全球超級電腦排名中排名第69名，後者以92,160個核心位居第140名。</p> <p>氣象署表示，第6代超級電腦啟用後，擴充後的算力，將使區域數值測報模式的水平解析度，從3公里縮減為1公里，對於複雜地形區域例如高山、盆地、海岸有更精細的天氣預測。</p> <p>特別的是，因應AI的快速發展及高效能運算的需求，氣象署也建置GPU架構系統，由24個伺服器組成，共採用192個Nvidia A100 GPU，算力可達2PFlops。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CWA-GPU.jpg" style="width: 600px; height: 270px;" /></p> <p>氣象署也預告將加速AI氣象預報應用發展，整合軟硬體資源，提出氣象署AI發展藍圖，加速天氣測報及跨領域應用，例如以臺灣鄰近區域的數值模式歷史資料作為訓練基礎，開發適用於臺灣鄰近區域的AI高解析度區域天氣預報模式，克服目前作業時效的瓶頸。</p> <p>為了利用這些GPU資源，氣象署指出，將會運用資料科學技術精進前端資料處理、資料同化、預測模式、後處理及傳播4個領域，與國內氣象測報相關的產、學界，以及國網中心合作，共同發展AI測報技術、人才培養，並提升國內高速運算的軟硬體組件產製、系統整合實力。</p> <p>今年為我國超級電腦送舊迎新的一年，除了氣象局啟用第6代超級電腦之外，國網中心將在今年第3季啟用CPU架構的臺灣杉4號，並且正在規畫GPU架構的臺灣杉5號，國網中心也以5年內將算力提升至100到200PFlops為目標，以滿足國內科學研究、AI應用的需求。</p> </div></div></div>
2024/2/27 17:54作者蘇文彬https://www.ithome.com.tw/news/161524
【資安日報】2月27日，知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客註冊特定名稱的網域並用於攻擊行動很常見，而且，過往這類手法最常見的做法，便是註冊與目標組織名稱類似的網域，企圖混淆使用者來達到目的，但最近，研究人員發現使用新型態手法的攻擊行動，駭客能夠繞過垃圾郵件過濾器或是郵件安全閘道的防護。</p> <p>特別的是，這次駭客是尋找知名企業組織棄用許久的網域名稱，並重新註冊納為己有，然後用這些網域、子網域來大量發送惡意郵件。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://labs.guard.io/subdomailing-thousands-of-hijacked-major-brand-subdomains-found-bombarding-users-with-millions-a5e5fb892935"><strong style="font-size: 22px;">知名品牌及組織8千個棄置網域、1.3萬個子網域遭到挾持，被用於發送垃圾郵件及從事網釣攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_9nX1dANEuVFeyc-edylY1w.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_9nX1dANEuVFeyc-edylY1w.png" style="width: 300px; float: right;" /></a>資安業者Guardio揭露大規模的子網域挾持攻擊行動SubdoMailing，駭客組織ResurrecAds約從2022年開始，針對超過8千個與知名品牌及機構有關的網域名稱、1.3萬個子網域下手，每天散播5百萬的垃圾郵件、網路釣魚郵件，利用資安系統對於這些合法網域的信任，從而將上述的惡意郵件傳送到攻擊目標。上述被冒用的品牌與組織，包含MSN、VMware、McAfee、經濟學人、康乃爾大學、賽門鐵克、eBay等。</p> <p>值得留意的是，駭客進行CNAME記錄與SPF有關的挾持攻擊，濫用這些企業組織棄用的網域名稱、子網域名稱，使得惡意郵件能繞過垃圾郵件的過濾機制，在特定情況下，攻擊者還能藉由SPF及DKIM的電子郵件政策，欺騙郵件安全閘道這些電子郵件是安全的。</p> <p><a href="https://www.verfassungsschutz.de/SharedDocs/publikationen/DE/cyberabwehr/2024-02-19-joint-cyber-security-advisory-englisch.pdf?__blob=publicationFile&v=2"><strong style="font-size: 22px;">德國、韓國提出警告，北韓駭客針對全球國防單位從事網路間諜行動</strong></a></p> <p></p> <p>2月19日德國聯邦情報機構（BfV）、韓國國家情報局（NIS）聯手，對北韓政府針對全球國防部門從事網路間諜活動的情況提出警告，指出包含Lazarus在內的駭客組織企圖竊取軍事技術資料，從而協助該國提升軍事能力。</p> <p>上述機構針對供應鏈攻擊及社交工程攻擊的事故進行說明，其中供應鏈攻擊的事故發生於2022年，駭客先是入侵維護廠商竊取SSH帳密，從而存取海事及航運技術研究中心的Linux網頁伺服器主機，並透過curl從C2下載、部署作案工具，然後進行橫向移動，最後冒充網路安全管理員，企圖對員工電腦散布惡意修補檔案，所幸後來正牌管理者予以攔截。</p> <p>另一起事故則是與Lazarus的攻擊行動Operation Dream Job有關，原本這些駭客的攻擊目標是加密貨幣業者的員工及軟體開發人員，但如今發現國防機構也遭遇相關攻擊。駭客先是假冒特定人士在網路求職網站經營帳號，然後接近國防組織的員工並建立關係，取得信任後再藉由提供職缺來散布惡意程式，從而感染受害電腦並於公司網路進行橫向移動。</p> <p><a href="https://www.volexity.com/blog/2024/02/13/charmingcypress-innovating-persistence/"><strong style="font-size: 22px;">伊朗駭客組織Charming Kitten鎖定中東人士散布後門Basicstar</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/BasicStar002-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BasicStar002-1.png" style="width: 300px; float: right;" /></a>資安業者Volexity指出，暱稱為CharmingCypress、Mint Sandstorm、TA453的伊朗駭客組織Charming Kitten，於去年9月至10月佯裝成國際伊朗研究所（IIIS）從事一系列網路釣魚攻擊，透過電子郵件邀請目標人士參與假的網路研討會，其攻擊特徵包含利用外流的合法電子郵件信箱及多個駭客掌控的電子郵件信箱，進行多角色模擬（Multi-Persona Impersonation，MPI），來引誘受害者上當。</p> <p>待時機成熟，對方就會寄送包含Windows捷徑（LNK）或RAR壓縮檔附件的釣魚郵件，從而在目標電腦部署以VBS指令碼打造的惡意程式BasicStar，此惡意軟體能收集系統資訊並執行C2下達的命令，也能對受害者顯示誘餌PDF檔案。</p> <p>值得留意的是，這起攻擊行動不光針對Windows使用者，macOS使用者的電腦也有可能感染後門程式NokNok。</p> <p><a href="https://www.bleepingcomputer.com/news/security/steel-giant-thyssenkrupp-confirms-cyberattack-on-automotive-division/"><strong style="font-size: 22px;">鋼鐵供應商ThyssenKrupp傳出遭到網路攻擊，汽車部門關閉IT系統因應</strong></a></p> <p></p> <p>大型鋼鐵生產商ThyssenKrupp的汽車部門上週遭到駭客攻擊，對方入侵IT系統，迫使他們關閉部分系統以阻止攻擊蔓延。該公司證實此事，並表示此次攻擊影響他們的汽車車身生產部門，但尚未出現客戶資料遭竊的跡象。</p> <p>這起事故的公開，最早是2月23日德國新聞媒體Saarbruecker Zeitung揭露，並指出該公司位於薩爾蘭、有超過1千名專家的工廠直接受到影響，對此ThyssenKrupp向資安新聞網站Bleeping Computer透露，該工廠生產的確出現中斷，但對於客戶的供應並未受到影響。</p> <p><a href="https://newsroom.ibm.com/2024-02-21-IBM-Report-Identity-Comes-Under-Attack,-Straining-Enterprises-Recovery-Time-from-Breaches"><strong style="font-size: 22px;">利用外流的合法帳密是駭客偏好入侵目標組織的管道</strong></a></p> <p>2月21日IBM發布2024年的威脅情報指標分析X-Force Threat Intelligence Index 2024，指出相較於前1年資安環境而言，攻擊者利用遭竊或是外流的帳密資料進行網路攻擊的情況增加71%，與資料外洩有關的資安事故比例是32%，而且，比起加密檔案再向受害組織勒索，駭客傾向直接利用竊得的資料或將其出售。此外，研究人員表示，隨著人工智慧解決方案快速成長，攻擊者將會更積極投資、開發具成本效益的攻擊工具。</p> <p>而對於駭客偏好入侵目標組織的手段，研究人員發現，通常傾向採用成本較低的方法，其中盜用合法帳密在2023年最為常見，他們發現針對AD帳密的網域滲透攻擊（Kerberoasting）事件數量，較2022年翻倍，原因是企業要區分合法帳號是否遭到冒用極為困難，因此攻擊者普遍傾向透過社交工程及詐騙手段來騙取帳密資料，而非尋找資訊系統弱點入侵。</p> <p><a href="https://www.resecurity.com/blog/article/global-malicious-activity-targeting-elections-is-skyrocketing"><strong style="font-size: 22px;">鎖定全球選舉的惡意網路活動升溫</strong></a></p> <p>2024年總共有64個國家及歐盟即將舉行大型選舉，投票民眾多達20億，資安業者Resecurity對此政治態勢提出警告，因為相關的網路攻擊等惡意活動也隨之增加，研究人員指出，從2023年至2024年初的攻擊行動，較前期調查增加了100%，他們將相關的惡意活動歸納成下列五大類：</p> <p>（一）針對選舉基礎設施的網路攻擊；<br /> （二）針對政黨、競選活動、公職人員的網路攻擊；<br /> （三）協助或傷害政治團體、競選活動、公職人員的影響活動；<br /> （四）影響輿論並企圖造成社會分裂的活動；<br /> （五）影響政策制定的活動。</p> <p>研究人員舉出包括臺灣在內等17個國家的攻擊行動，並以臺灣今年1月總統及立委選舉的情況為例說明。根據資安業者的觀察，中國駭客在投票日前幾天進行大規模的網路攻擊，但研究人員指出，可能更早之前就有人企圖操縱這場選舉──他們疑似在去年3月打算購買選民投票意向的資料。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/canon-patches-7-critical-vulnerabilities-in-small-office-printers/"><strong style="font-size: 22px;">Canon修補小型辦公室印表機重大漏洞</strong></a></p> <p></p> <p>2月5日Canon發布資安公告，指出該廠牌小型辦公室多功能印表機、雷射印表機存在7個重大層級的記憶體緩衝區溢位漏洞CVE-2023-6229、CVE-2023-6230、CVE-2023-6231、CVE-2023-6232、CVE-2023-6233、CVE-2023-6234、CVE-2024-0244，一旦這些印表機直接連上網際網路，未經身分驗證的攻擊者就有機會執行任意程式碼，或是發動阻斷服務（DoS）攻擊，這些漏洞的CVSS風險評分皆達到9.8。</p> <p>根據該公司的公告，上述漏洞影響銷售<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">日本</span>、北美、<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">歐洲等地區</span>的印表機，並存在早於03.07版的韌體，他們也提供新版韌體修補上述漏洞，這些重大層級的漏洞尚未出現遭到利用的跡象。值得留意的是，該公司在相關網站上公布的資訊相當不一致，其中又以PSIRT網站的資訊最為缺乏，僅公告漏洞CVE編號並透露漏洞類型，卻沒有列出受影響的產品機種、韌體版本，也無從得知是否有修補程式。</p> <p>臺灣佳能也對這些漏洞發布公告，並指出imageCLASS LBP及imageCLASS MF產品線當中，各有2款機種受到影響。</p> <p>資料來源</p> <p>1. <a href="https://psirt.canon/advisory-information/cp2024-001/">https://psirt.canon/advisory-information/cp2024-001/</a><br /> 2. <a href="https://canon.jp/support/support-info/240205vulnerability-response">https://canon.jp/support/support-info/240205vulnerability-response</a><br /> 3. <a href="https://www.usa.canon.com/support/canon-product-advisories/Service-Notice-Regarding-Vulnerability-Measure-Against-Buffer-Overflow-for-Laser-Printers-and-Small-Office-Multifunctional-Printers">https://www.usa.canon.com/support/canon-product-advisories/Service-Notice-Regarding-Vulnerability-Measure-Against-Buffer-Overflow-for-Laser-Printers-and-Small-Office-Multifunctional-Printers</a><br /> 4. <a href="https://www.canon-europe.com/support/product-security-latest-news/">https://www.canon-europe.com/support/product-security-latest-news/</a><br /> 5. <a href="https://tw.canon/zh_TW/support/regarding-vulnerability-measure-against-buffer-overflow-for-laser-printers-and-small-office-multifunction-printers/notice?range=4&category=9">https://tw.canon/zh_TW/support/regarding-vulnerability-measure-against-buffer-overflow-for-laser-printers-and-small-office-multifunction-printers/notice?range=4&category=9</a></p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-expressway-csrf-KnnZDMj3"><strong style="font-size: 22px;">思科修補整合通訊閘道系統Expressway的CSRF漏洞</strong></a></p> <p></p> <p>2月7日思科針對旗下的整合通訊閘道系統Expressway發布資安公告，指出此系統存在數個可被用於跨網站請求偽造（CSRF）攻擊的漏洞，攻擊者可在未經身分驗證的情況下，遠端進行利用，從而執行任意行為，其中的CVE-2024-20254、CVE-2024-20255存在於預設組態，CVE-2024-20252則是針對叢集資料庫（CDB）API功能已啟用的系統。</p> <p>上述漏洞危險程度較高的是CVE-2024-20252、CVE-2024-20254，這兩個漏洞發生的原因是網頁管理介面對於CSRF層面的防護不足所致，攻擊者若是能誘使與API有關的使用者存取偽造的連結，就有機會取得該名使用者的權限，假如受害使用者具有管理者身分，攻擊者就有機會竄改系統組態並建立新的特權帳號，這兩個漏洞的CVSS風險評分皆達到9.6。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework"><strong style="font-size: 22px;">NIST網路安全框架2.0正式推出</strong></a></p> <p></p> <p>為協助關鍵基礎設施等企業組織降低資安風險，2014年美國國家標準暨技術研究所（NIST）首度根據美國總統行政命令推出網路安全框架（Cybersecurity Framework，CSF），事隔10年他們推出2.0重大改版。</p> <p>新版框架強調適用範圍更為全面，能涵蓋小型學校、非營利組織，以及大型的企業與機構。在CSF既有的5大層面：識別、防護、偵測、回應、復原之外，CSF 2.0新增第6個面向「治理（Govern）」；同時，此框架也納入了供應鏈的風險評估。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2024/02/22/announcing-microsofts-open-automation-framework-to-red-team-generative-ai-systems/"><strong style="font-size: 22px;">微軟針對生成式AI推出自動化紅隊演練工具PyRIT</strong></a></p> <p></p> <p>2月22日微軟針對生成式AI系統的使用，在GitHub發布紅隊演練工具Python Risk Identification Toolkit for generative AI（PyRIT），能用於自動辨識大型語言模型（LLM）可能存在風險的弱點，例如：生成惡意程式、越獄或是資料竊盜等濫用行為。</p> <p>資安人員可透過PyRIT先傳送惡意的提示到特定的生成式AI系統，收到回應後，再將這些內容傳至評分引擎，接著根據評分引擎處理的結果，去產生新的提示，並以此輸入生成式AI系統，不斷循環，直到實現研究人員所設定的目標為止。根據微軟的測試，利用PyRIT針對Copilot進行紅隊演練，原本測試需要數個星期，可縮短至幾小時。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-14-year-old-cms-editor-on-govt-edu-sites-for-seo-poisoning/"><strong><span style="font-size: 20px;">已終止維護的CMS編輯器FCKeditor遭到濫用，對政府機關與教育單位網站進行SEO中毒攻擊</span></strong></a></p> <p></p> <p><strong><a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-firewalls-and-aps-02-21-2024"><span style="font-size: 20px;">兆勤針對防火牆與AP可被用於發動DoS攻擊、命令注入的漏洞發出公告</span></a></strong></p> <p></p> <p><a href="https://blog.morphisec.com/unveiling-uac-0184-the-remcos-rat-steganography-saga"><strong><span style="font-size: 20px;">惡意程式載入工具Idat被用於散布RAT木馬Remcos</span></strong></a></p> <p></p> <p><a href="https://www.cbc.ca/news/politics/cybersecurity-breach-rcmp-1.7123787"><strong><span style="font-size: 20px;">加拿大皇家騎警遭遇網路攻擊，強調並未影響業務及民眾安全</span></strong></a></p> <p></p> <p><strong><a href="https://www.whitehouse.gov/wp-content/uploads/2024/02/Final-ONCD-Technical-Report.pdf"><span style="font-size: 20px;">美國政府呼籲開發人員改用記憶體安全的程式語言</span></a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161467"><strong>【2月26日】勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161450"><strong>【2月23日】遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161422"><strong>【2月22日】鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害組織</strong></a></p> </div></div></div>
2024/2/27 15:18作者周峻佑https://www.ithome.com.tw/news/161517
Nvidia發表兩款新的AI筆電GPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/rtx-ada-ai-workflows/" target="_blank">Nvidia本周一（2/26）發表</a>了兩款基於Ada Lovelace架構的AI筆電GPU：RTX 500與RTX 1000，加上<a href="https://www.ithome.com.tw/review/158433" target="_blank">去年所發表的</a>、相對高階的RTX 5000、RTX 4000、RTX 3500、RTX 3000與RTX 2000，使其RTX Ada系列的筆電GPU家族成員總數達到7個。</p> <p>RTX Ada系列的GPU都被列為行動工作站產品，適用於高階筆電，也都支援AI，主要的差別在於各種核心數量、記憶體容量與記憶體頻寬等。配備RTX Ada的行動工作站都將含有一個神經處理單元（NPU），一個CPU元件，以及一個內含Tensor核心的RTX GPU；其中，NPU可用來處理輕型的AI任務，GPU則可額外提供682 TOPS的AI效能，以滿足要求更高的日常AI任務。</p> <p>Nvidia表示，GPU所帶來的更高等級的AI加速能力對於處理各種AI任務非常有用，例如採用高品質AI效果的視訊會議、具備AI升級能力的串流影片，也能更快執行生成式AI或內容創作應用。</p> <p>相較於只使用CPU的配置，RTX 500 GPU在基於Stable Diffusion模型的生成式AI效能可達14倍，以AI來編輯照片的效能是3倍，圖像3D渲染的效能則是10倍。</p> <p>有鑑於AI應用的快速興起，RTX Ada系列GPU並非針對遊戲玩家，而是鎖定3D創作者、採用AI聊天機器人的企業，以及專注於資料科學或訓練AI模型的研究人員與科學家。</p> <p>Nvidia預期包括Dell、HP、聯想與MSI都會在今年春天，推出採用RTX 500與RTX 1000的筆電。</p> </div></div></div>
2024/2/27 15:23作者陳曉莉https://www.ithome.com.tw/news/161518
NIST發布CSF網路安全框架2.0版，新增「治理」功能，並提供5種快速入門指南幫助企業組織上手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由美國國家標準與技術研究所（NIST）發布的<a href="https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf">NIST CSF網路安全框架，在今日（2月26日）正式釋出2.0版本</a>，這一新版本擴展了其適用範圍，不僅涵蓋了最早重點關注的關鍵基礎設施，而且適用於各類型的組織，更關鍵的是，新版本框架在原有5個核心功能（識別、保護、偵測、回應、復原）的基礎上，增加了第6個功能「治理」，可讓網路安全風險的生命週期管理更為健全。</p> <p>基本上，若要有效實踐企業的網路安全防護，企業必須建立能夠觀照全局的資安策略，近年來，美國國家標準與技術研究所（NIST）所發布的NIST網路安全框架（Cybersecurity Framework，CSF），已成為各界強化資訊安全防禦的重要參考，因為該框架具有彈性且易於實施的特性，而且能夠適用於不同類型的組織。對於還未有完善資安規畫的企業而言，更是可以帶來明顯的幫助。事實上，<a href="https://www.ithome.com.tw/article/133173">NIST CSF 1.1版在2018年釋出後，已開始受到廣泛企業的關注</a>。</p> <p>然而，儘管許多組織認為目前版本的CSF 1.1仍然有效應對網路安全風險，但NIST認為，考慮到技術與風險的變化，對這個框架進行一些改變仍是必要的。他們希望內容更加清晰明確，並移除複雜的術語，使框架能夠更適用於所有企業。因此，NIST在2023年4月首次公布NIST CSF 2.0的草案，對外徵詢意見。</p> <p>如今，NIST CSF 2.0版正式發布後，該框架已演進為六大核心功能，也就是治理（Govern）、識別（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）、復原（Recover），這也意味著，將網路安全風險管理提升到組織營運戰略層面，確保高階主管對於網路安全風險的關注，如同企業對於財務、聲譽的重視。</p> <p>基本上，這次框架的改版並未帶來重大改變，而是反映在不同產業和技術領域的廣泛應用，以及許多產業加強網路安全監管的趨勢。</p> <p>值得我們注意的是，這次NIST為了幫助企業更容易實踐CSF，同時提供一系列的資源與工具，便於將CSF應用於組織內部。</p> <p>其中有3項資源，最值得企業關注，包括：快速入門指南（CSF 2.0 Quick Start Guides）、參考工具（CSF 2.0 Reference Tool），以及CPRT網路安全與隱私參考工具（CSF 2.0 Dataset on CPRT）。</p> <p>以快速入門指南為例，目前NIST在此提供5種類型的內容，包括：（一）<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1300.pdf">小型企業（SMB）的快速入門指南</a>，（二）<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1301.pdf">建立與使用組織概況的使用指南</a>，（三）<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1302.ipd.pdf">使用CSF成熟度層級的指南</a>，（四）<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1305.ipd.pdf">網路安全供應鏈風險管理（C-SCRM）的快速入門指南</a>，（五）<a href="https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1303.ipd.pdf">企業風險管理（ERM）實踐者的快速入門指南</a>。另外，還有一份關於<a href="https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.32.ipd.pdf">建立社群的指南</a>。</p> <p>在參考工具方面，新版內容簡化組織實施CSF的流程，用戶可瀏覽、搜尋與匯出CSF核心指南的資料和細節。另外還有一份資訊參考目錄，包含各種相關參考資料，企業也能透過這個目錄，將CSF的指南與其他50多份網路安全文件做交叉對比。</p> <p>至於<a href="https://csrc.nist.gov/projects/cprt/catalog#/cprt/framework/version/CSF_2_0_0/home?element=all">CPRT工具方面</a>，最大特色是提供實踐範例，NIST針對6大功能、各項控制的子類別，提供較為具體的說明。例如，在治理功能下的網路安全供應鏈風險管理（GV.SC）一項，針對子類別GV.SC-06，就提供了4項實施範例說明，包括：針對潛在供應商進行徹底盡職調查，評估潛在供應商的技術、資安能力與風險管理實務，根據業務與適當網路安全要求進行供應商風險評估，以及在採購與使用前需評估關鍵產品的真偽性、完整性與安全性。</p> <p>NIST表示，他們鼓勵所有組織使用CSF 2.0，以提升網路安全防護能力，因為企業組織可用來了解、評估、確定優先順序與溝通網路安全風險。這個框架對於促進內部和外部溝通特別有用，可用於不同內部團隊，或高層管理層到中階的管理人員，以及執行日常網路安全職責的人員。而且，CSF還將改善與供應商與合作夥伴的溝通，幫助組織將網路安全相關問題，可與更廣泛的企業風險管理戰略相互結合。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）NIST CSF 2_0的6大核心功能.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89NIST%20CSF%202_0%E7%9A%846%E5%A4%A7%E6%A0%B8%E5%BF%83%E5%8A%9F%E8%83%BD.jpg" style="width: 600px;" /></a></p> <p><strong>在2024年2月發布的NIST CSF 2.0版中，其核心功能已演進為6大構面，分別是：治理、識別、保護、偵測、回應、復原。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961A%EF%BC%89NIST%20CSF%202_0%E5%BF%AB%E9%80%9F%E5%85%A5%E9%96%80%20%E5%B0%8F%E5%9E%8B%E4%BC%81%E6%A5%AD.jpg" style="width: 600px;" /></p> <p><strong>NIST針對CSF 2.0版新提供快速入門指南的資源，目的在為不同類型的使用者提供客製化的入門途徑，並使其更容易付諸實踐，像是針對小型企業提供專屬的指南，並從6大功能一一給予簡潔的入門建議。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89NIST%20CSF%202_0%20CPRT.jpg" style="width: 600px;" /></strong></p> <p><strong>在NIST針對CSF 2.0提供的資源中，為了幫助企業更好實現CSF 2.0子類別，文件內還附上了實踐範例，讓使用者有易於理解的步驟或說明可以參照。</strong></p> </div></div></div>
2024/2/27 11:45作者羅正漢https://www.ithome.com.tw/news/161512
Mistral AI發表Mistral Large模型及Le Chat聊天機器人，企圖與OpenAI較勁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甫於2023年4月才創立的Mistral AI於本周一（2/26）發表了<a href="https://mistral.ai/news/mistral-large/" target="_blank">大型語言模型Mistral Large</a>，以及<a href="https://mistral.ai/news/le-chat-mistral/" target="_blank">聊天機器人Le Chat預覽版</a>。同一天<a href="https://azure.microsoft.com/en-us/blog/microsoft-and-mistral-ai-announce-new-partnership-to-accelerate-ai-innovation-and-introduce-mistral-large-first-on-azure/" target="_blank">微軟亦宣布與Mistral AI建立新的合作夥伴關係</a>。Mistral Large不管是在MMLU、HellaSwag、Wino Grande或Arc Challenge （25-shot）的基準測試上，都緊跟OpenAI GPT 4之後，是備受外界矚目的後起之秀。</p> <p><span style="font-size:28px;"><strong>創辦團隊系出名門，分別來自DeepMind與Meta</strong></span></p> <p>Mistral AI創立於法國巴黎，共同創辦人之一的Arthur Mensch曾任職於Google的AI實驗室DeepMind，另外兩名創辦人Guillaume Lample與Timothée Lacroix則都曾是Meta的AI研究人員。Mensch現為Mistral AI執行長，Lacroix則擔任技術長一職。</p> <p>成立不到一年的Mistral AI去年9月就發表了具備73億個參數的<a href="https://www.ithome.com.tw/news/159032" target="_blank">Mistral 7B（Mistral-tiny）模型</a>，同年12月發表了<a href="https://www.ithome.com.tw/news/160291" target="_blank">Mixtral 8x7B（Mistral-small）模型</a>，並推出<a href="https://mistral.ai/news/la-plateforme/" target="_blank">La Plateforme平臺服務</a>。這時，才8個月大的Mistral AI估值便已超過20億美元。</p> <p>此外，Mistral AI推崇開源，因意識到生成式AI將在未來幾年徹底重新定義人們的文化與生活，改變人們與機器及同儕互動的方式，認為生成式AI的開放是必要的，因為有社群支持的模型開發，才是對抗審查及偏見最可靠的途徑。</p> <p><span style="font-size:28px;"><strong>Mistral Large及Le Chat成為La Plateforme的新成員</strong></span></p> <p>目前La Plateforme上已提供Mistral-tiny、Mistral-small與Mistral-medium，本周發表的Mistral Large則是最進階與最大的模型，它支援3.2萬個Token的脈絡，以及英文、法文、西班牙文、德文與義大利文，宣稱對這些語文的文法及文化背景都有著細緻的理解能力。Mistral Large也具備精確的指令遵循，讓開發者得以設計其審核策略，也可直接呼叫函數。</p> <p>Mistral AI聲稱Mistral Large提供一流的推論能力，可支援複雜且多語言的推論任務，包括文字理解、轉換與程式碼生成。</p> <p>Mistral Large在許多常用基準測試中緊追OpenAI GPT 4，例如用來測量大規模多任務語言理解的MMLU測試中，Mistral Large取得81.2%的成績，僅次於GPT 4的86.4%，但凌駕了<a href="https://www.ithome.com.tw/news/157739" target="_blank">Anthropic Claude 2</a>的78.5%，Gemini Pro 1.0的71.8%，GPT 3.5的70.0%，以及Meta LLaMA 2 70B的69.9%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/mistral-large-bar-plot-V2.png" style="width: 600px;" /></p> <p>除了MMLU測試外，Mistral Large在HellaSwag、Wino Grande與Arc Challenge（25-shot）等基準測試中，也都僅次於GPT 4，而優於上述的其它模型。</p> <p>至於Le Chat則是個基於Mistral模型的聊天機器人，它可能奠基在Mistral Large 、Mistral Small或是被命名為Mistral Next的原型機模型上。Mistral AI表示會致力於讓這些模型更有用且儘可能地不固執己見，另也針對企業推出le Chat Enterprise，透過自我部署能力與更細緻的審核機制來提高團隊的生產力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-Mistral%20AI-Le%20Chat.jpg" style="width: 500px;" /></p> <p>未來開發者將可透過La Plateforme或Azure來存取Mistral Large，另也<a href="https://chat.mistral.ai/" target="_blank">開放使用者登記以試用Le Chat</a>。</p> <p><span style="font-size:28px;"><strong>與微軟建立多年合作夥伴關係</strong></span></p> <p>微軟則在同一天宣布，已與Mistral AI建立多年的合作夥伴關係，雙方的合作包括Mistral AI將可利用Azure的AI基礎設施以加速開發及部署新一代的大型語言模型，此外，Microsoft Azure也將供應Mistral AI的付費模型服務。迄今Azure上已代管了來自 Meta、Nvidia、Deci 與 Hugging Face等公司或組織的1,600多個開源及專有模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-Mistral%20AI-microsoft.jpg" style="width: 500px;" /></p> <p>不過，Mistral AI將是Azure平臺上，除了OpenAI之外的第二個商用大型語言模型。</p> <p>根據<a href="https://www.ft.com/content/cd6eb51a-3276-450f-87fd-97e8410db9eb" target="_blank">《金融時報》</a>（Financial Times）的報導，微軟其實有注資Mistral AI，只是金額不明，且微軟並未取得Mistral AI的股份。微軟總裁Brad Smith則向該報透露，雙方的合作還牽涉到將共同研發及建置適用於歐洲政府組織的AI應用，以利用這些AI模型來解決公部門的具體需求。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mistral AI、微軟</span></span></p> </div></div></div>
2024/2/27 14:24作者陳曉莉https://www.ithome.com.tw/news/161515
Google將AI加入Android訊息、圖片識別、Auto
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在MWC舉行同時，<a href="https://blog.google/products/android/new-android-features-february-2024/" target="_blank">Google宣布</a>為Android中的訊息、圖片及車機系統加入AI，實現智慧功能。</p> <p>首先，今天起，Google Messages應用程式也可以直接呼叫Gemini AI助理。用戶不需跳離App，即可以文字提示要求Gemini草擬訊息內容、腦力激盪創意、規劃活動。</p> <p>Android視覺輔助App Lookout則加入AI描述，可自動為相片、線上圖片，或訊息中的照片加入AI產生的描述並且大聲朗讀出來，幫助視覺障礙人士理解圖片內容。本功能現在已全球上線，支援英文。另一項類似應用則是Google Lens in Maps的螢幕閱讀器結合Android輔助功能TalkBack。Google Lens的AI視覺辨識讓用戶可以將手機相機對準周遭環境，由TalkBack念出該地資訊，像是一家銀行的營業時間、餐廳評分。</p> <p>其次，加入AI的Android Auto在用戶開車時，自動為一長段文字或群組對話摘錄重點，也能建議回覆及後續行動，按一下就能傳送訊息、分享預定抵達時間、或接通電話。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-google%20ai%20Android%20Auto.png" style="width: 600px;" /></p> <p>這三項AI應用是Android新增功能的一部份。其他和AI無關的功能還包括Fitbit App改版後，可匯入第三方App資訊如AllTrails、Oura智慧戒指、MyFinessPal；Google Docs支援手寫標註，用戶可在Google Docs選擇觸控筆或手寫即可作用。</p> <p>最後，<a href="https://www.ithome.com.tw/news/161462" target="_blank">繼昨天宣布</a>今年6月關閉美國的Google Pay App，未來將統整於Google Wallet後，Google宣布Google Wallet及Google Maps也推出WearOS版。用戶可以將登機證、活動入場票券、健身房會員卡、儲值卡等憑證整合到Google Wallet，戴著Google Pixel Watch通車與出入場更方便，不需拿出手機也能導航。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-%20Google%20Wallet%20passes%20available%20on%20Wear%20OS%20watches.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/2/27 12:53作者林妍溱https://www.ithome.com.tw/news/161514
三星展示具健康量測功能的智慧戒指Galaxy Ring
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今年一月在消費電子大展（Consumer Electronics Show，CES）上首次公布後，本周世界通訊大會（Mobile World Conference，MWC）2024上，<a href="https://news.samsung.com/global/samsung-presents-galaxy-ai-vision-at-mwc-2024-with-latest-products-and-services" target="_blank">三星正式展示</a>可量測心率、活動量等生理數值的智慧戒指Galaxy Ring，今年稍後上市。</p> <p>Galaxy Ring是三星智慧健康系列的一環，也是在智慧手錶後，新的數位健康裝置form factor。Galaxy Ring結合Samsung Health數位健康平臺，主打AI為基礎的個人化健康管理。三星並未說明這隻戒指的實際感測器，但一般相信它具備心電圖（ECG）與光電容積圖（PPG）二種感測器。<a href="https://www.androidcentral.com/wearables/samsung-developing-a-smart-ring" target="_blank">2022年媒體發現</a>三星取得一項具備這2種感測器的戒指專利，將挑戰現有智慧戒指供應商Oura。</p> <p>Galaxy Ring配合新的健康應用管理功能。例如它搭配My Vitality Score服務，可提供睡眠、活動、心率量測和心率變異（Heart Rate Variability），而Booster Card則可追蹤各項定義好的量測目標。二款應用程式將於今年稍晚連同Samsung Health App問世。這些服務，除了支援智慧戒指，也可應用於Galaxy Watch 6，搭配最新旗艦智慧型手機Galaxy S24使用。</p> <p>智慧戒指蒐集的生理數據，將匯整入每月6,400萬用戶Samsung Health全球資料集，作為三星AI健康管理服務的基礎。以睡眠偵測而言，本月稍早<a href="https://www.ithome.com.tw/news/161275" target="_blank">三星公布</a>其Health Monitor App的睡眠呼吸中止症偵測功能獲得美國食品藥物管理局（Food and Drug Administration，FDA）認證，成為第一款獲得美官方此類許可的App。</p> <p>三星的計畫是，以其數位健康管理平臺及智慧手錶、智慧戒指等周邊裝置，與第三方夥伴建立健康生態系。例如上個月<a href="https://news.samsung.com/global/galaxy-watchs-advanced-sensor-tech-paves-way-for-greater-preventive-healthcare-solutions" target="_blank">三星宣布</a>其Galaxy Watch成為VR生理治療平臺XRHealth的心率監控裝置，或是將三星的Sleep Mode技術，像是LED紅外線感測器及SmartThings控制功能整合到合作夥伴的智慧床墊，調整床墊環境（如溫度）以幫助入睡。</p> <p>三星並對<a href="https://www.cnbc.com/2024/02/26/samsung-galaxy-ring-specs-features-release-date.html" target="_blank">《CNBC》</a>表示，公司也在考慮為戒指加入非接觸支付功能。</p> <p>今天展示的Galaxy Ring有9種尺寸及金、銀與黑三種顏色。產品今年內會上市，但三星並未公布詳細時程及價格。<a href="https://ouraring.com/" target="_blank">Oura</a>的價格則為299到549美元之間外加5.99月費，可提供體溫、心率、血氧量測，續航力約在7天左右。</p> </div></div></div>
2024/2/27 11:21作者林妍溱https://www.ithome.com.tw/news/161510
聯想展示首款全透明筆電概念機，但沒有計畫上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周世界通訊大會（Mobile World Congress，MWC）在西班牙巴賽隆納開展。<a href="https://news.lenovo.com/pressroom/press-releases/lenovos-cutting-edge-thinkpad-and-thinkbook-laptops-pave-the-way-for-ai-pc-innovation-at-mwc/" target="_blank">聯想展示</a>多款創新筆電設計，包括全世界首款使用透明MicroLED的ThinkBook筆電。</p> <p>名為Lenovo ThinkBook透明顯示器筆電概念（ThinkBook Transparent Display Laptop Concept）又名Project Crystal，最大特色是採用了17.3吋MicroLED透明顯示器的無邊框設計，以及同樣透明的鍵盤區域和看似漂浮的底座，使這款筆電呈現高科技的未來感。</p> <p>今年在CES上，三星和LG分別展示了使用透明MicroLED的<a href="https://news.samsung.com/medialibrary/global/photo/5973?album=50" target="_blank">透明電視</a>和<a href="https://www.lg.com/global/business/oled-signage/lg-55EW5F-A" target="_blank">透明電子看板</a>，而聯想則以Project Crystal成為首款使用透明面板的筆電設計。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-samsung%20ces-Transparent%20OLED%20Display.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_三星</span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-LG-Transparent%20OLED%20Signage.png" style="width: 500px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_LG</span></span></p> <p><a href="https://www.youtube.com/watch?v=Hbpe6wS_idI" target="_blank">透明筆電</a>的設計令人印象深刻。透過透明螢幕，用戶可以看到電腦後的景象，而電腦前方的人也能看見用戶在螢幕上執行的內容，像是播放的影片、或是開啟的檔案文件，高飽和色彩及1000-nit螢幕亮度讓螢幕內容有如電影《關鍵報告》一般漂浮在空中。如果你擔心資料或密碼被人看光，聯想表示也可以藉由加深螢幕顏色以確保資料隱私。</p> <p>Project Crystal並具備後向式相機，可配合AI支援AR應用。聯想示範的應用是飯店服務臺，客服人員可看到用戶朝櫃臺走來，利用相機臉部辨識並顯示用戶資訊，在第一時間提供顧客服務。</p> <p>Project Crystal另一特色是鍵盤區。筆電本身沒有實體鍵盤，而是以光投射在玻璃平面上的虛擬鍵盤，並根據用戶手指位置及動作感測輸入字元。但<a href="https://www.engadget.com/lenovos-project-crystal-is-the-worlds-first-laptop-with-a-transparent-microled-display-230025521.html?_fsig=DzPwTnVS_3IWe2GHhO1ljw--%7EA" target="_blank">有報導指出</a>，這虛擬鍵盤既無實體鍵盤的觸覺回饋，感測也不夠靈敏，可能造成輸入錯誤。但它具有觸控筆，也相容Wacom的觸控輸入板，因而可當成平板使用。不過Lenovo表示，未來可能透過AI學習用戶打字的習慣，逐步修正手部辨識的偏差。</p> <p>如果你想買一臺回家，很抱歉你要失望了。聯想表示，Project Crystal只是概念機，是為了展示AI PC的應用可能性，公司沒有商品化的計畫。</p> </div></div></div>
2024/2/27 11:32作者林妍溱https://www.ithome.com.tw/news/161511
Google開發視覺編碼器VideoPrism，在通用影片理解任務表現優異
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開發了一個針對廣泛影片理解任務設計的基礎視覺編碼器<a href="https://blog.research.google/2024/02/videoprism-foundational-visual-encoder.html">VideoPrism</a>，研究人員藉由新的預訓練資料和建模策略，使其可以用於分類、定位（Localization）、檢索、字幕和問答等影片理解任務，並且在多個基準測試中表現優於專門為任務設計的模型。</p> <p>影片相較於靜態影像擁有更豐富的視覺內容，包括實體間的運動、變化和動態關係等，研究人員提到，要分析這種複雜性，以及處理公開影片資料的巨大多樣性，需要超越傳統影像理解的模型。而過去相關的研究中，通常是針對任務量身訂做模型，而到了最近，影片基礎模型諸如VideoCLIP、InternVideo、VideoCoCa和UMT有了一些進展，但是要用單一模型處理影片資料的多樣性仍是一大挑戰。</p> <p>Google提出的VideoPrism則是通用影片理解的單一模型，而使其能力更加強大的原因之一，歸功於大量的訓練影片資料。VideoPrism的預訓練資料集，是目前已知最大且最多樣的影片訓練語料庫，由多個公開和私人資料集所組合而成，涵蓋了YT-Temporal-180M、InternVid、VideoCC和WTS-70M等。這個預訓練資料集擁有3,600萬個帶有高品質字幕的精選影片，以及5.82億個存在雜訊文字的影片片段，像是自動生成轉錄字幕的影片等。</p> <p>而VideoPrism的訓練採用了標準視覺Transformer（ViT）的分解設計，共分為兩階段，第一階段研究人員先用高品質的影片文字資料和帶有雜訊文字的影片資料，以對比學習（Contrastive Learning）技術教導模型將影片和文字描述配對，而這個階段建立了語義語言內容和視覺內容相配對的基礎。</p> <p>對比學習是一種自監督學習方法，不仰賴傳統的標籤資料訓練模型，其核心思想在於使相似樣本的表示更接近，不相似樣本的表示更遠離，也就是最小化正向影片文字對之間的距離，同時最大化負影片文字對之間的距離。</p> <p>經過影片文字對的對比訓練之後，進入訓練第二階段，研究人員透過遮罩影片建模框架，來訓練模型預測影片中缺失的部分，而與標準方法不同的地方是，研究人員會要模型同時預測影片的整體特徵，和影片中每一個小部分的特徵，以有效利用第一階段訓練所獲得的知識。在這個階段，研究人員還會隨機打亂預測出來的Token，以防止模型學到一些捷徑，像是模型可能依據固定順序或是模式就能做出預測，而隨機的方式可迫使模型深入理解影片內容，而不只是依賴表面特徵。</p> <p>實驗證實VideoPrism在多個影片理解任務表現良好，VideoPrism擁有廣泛的應用範圍，能夠處理影片分類、定位、影片文字檢索、影片字幕生成、問答和科學影片理解。而在33個基準測試中，VideoPrism在其中30個達到了目前最好的表現，在影片分類與定位任務方面，VideoPrism超越現有其他先進的基礎模型。</p> <p>當VideoPrism能夠與大型語言模型結合時，VideoPrism在影片文字檢索、字幕生成和影片問答任務中，更可展現強大的能力，在多數視覺語言基準測試中豎立新標竿。整體而言，VideoPrism為一款強大且多功能的通用影片編碼器，而其有效性和靈活性可被用於廣泛的影片理解任務。</p> </div></div></div>
2024/2/27 09:26作者李建興https://www.ithome.com.tw/news/161502
Amazon Bedrock將上架Mistral 7B和Mixtral 8x7B兩開源語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS<a href="https://aws.amazon.com/tw/blogs/aws/mistral-ai-models-coming-soon-to-amazon-bedrock/">宣布</a>將在雲端人工智慧模型平臺Bedrock提供Mistral AI的模型，分別是<a href="https://www.ithome.com.tw/news/159032">Mistral 7B</a>和<a href="https://www.ithome.com.tw/news/160291" target="_blank">Mixtral 8x7B</a>，而這將使Mistral AI成為繼AI21 Labs、Anthropic、Meta、Stability AI等廠商之後，第7個Bedrock基礎模型供應商，用戶將有更多的大型語言模型選擇，以滿足開發各種人工智慧應用的需求。</p> <p>Mistral AI是法國的人工智慧公司，由之前在Meta與DeepMind任職的研究人員成立，開發用於各種任務的大型語言模型。在Bedrock將要上架的Mistral 7B和Mixtral 8x7B模型，特性不同適合不同用例，Mistral 7B是一個擁有73億參數的輕巧高效能語言模型，雖然相較於其他語言模型來說規模較小，但是卻在許多基準測試上，表現都優於規模更大的Llama 2 13B。</p> <p>而Mixtral 8x7B則是Mistral AI在去年底才剛開源的大型語言模型，其特別之處在於採用稀疏混合專家（SMoE）模型架構，能夠處理32,000個Token上下文，但是在處理大量參數和資料的同時，也能維持一定的運算效率，在許多基準測試都超越擁有700億參數的Llama 2 70B，甚至是GPT 3.5模型。</p> </div></div></div>
2024/2/27 08:38作者李建興https://www.ithome.com.tw/news/161501
玉山金控看中AI三個發展潛力，內部已有多項生成式AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山金控董事長黃男州今日在法說會前記者會中表示，玉山發展AI的原則是遵照主管機關的AI原則與政策，注重發展以人為本、可解釋與負責任的AI。這是金融業勢必要遵守的前提。第二，AI未來可能扮演三種重要角色，具備發展潛力。</p> <p>黃男州進一步說明，AI扮演的第一種角色是智能夥伴，能和人類共同進行創造。第二，AI是溝通大師，不僅能與人溝通，也能在物聯網中與物溝通，未來人類可以透過AI與物溝通和合作，十分具有發展潛力。第三，AI是時光壓縮機，能處理許多過去需耗費大量時間學習的產業知識。黃男州以AI圍棋軟體AlphaGo為例說明，2016年，AlphaGo打敗了世界圍棋冠軍。到了2017年，AlphaGo進階版AlphaGo Zero推出，僅用三天的時間就完成幾百萬盤圍棋，等同一位40年資歷的棋士。</p> <p>玉山自2022年就開始布局生成式AI發展。玉山金控科技長張智星表示，玉山在2022年底曾舉辦黑克松競賽，讓內部同仁了解生成式AI，並思考可發展的應用。近期，玉山開發了生成式AI平臺GENIE，可以供內部使用文案生成、翻譯、程式碼教學和聊天機器人等。張智星提到，生成式AI不只是一個單獨的產品，它可以與許多場景串聯，例如掃描全行文件後，藉生成式AI校正文件中的辨識錯誤，或是將會議發言轉為逐字稿，並以生成式AI勘誤。</p> <p>黃男州指出，AI可以化身為代理人，成為工作中的一環，例如，以AI模型評估授信的風險性，或是評估信用卡盜刷可能性。目前，玉山內部已有100個以上的AI模型，包括風控AI、行銷AI、客服AI、流程AI和賦能AI。以賦能AI為例，玉山推出GRACE智能理財，協助理專管理超過400個顧客，以AI分析顧客資料並提供產品購買建議，幫助理專提升顧客服務。黃男州最後也表示，未來AI還會與上雲結合，因此雲端也是重要議題。</p> <p></p> </div></div></div>
2024/2/26 18:34作者李昀璇https://www.ithome.com.tw/news/161497
Meta資料執行引擎Velox與Apache Arrow協調整合資料格式，強化資料應用互通性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta、Voltron Data和Apache Arrow社群合作，目的是協調<a href="https://engineering.fb.com/2024/02/20/developer-tools/velox-apache-arrow-15-composable-data-management/">整合</a>Meta開源執行引擎Velox與行式資料框架Apache Arrow。新版的Arrow 15將會基於這次合作引入3種新的格式布局，而這將有助於Meta與廣泛社群，建立一個統一、有效率且可組合的資料管理系統。</p> <p>Meta在2022年開源執行引擎Velox，改善資料處理和分析系統的效能，以C++函式庫的形式實作。Velox的特色在於提供過去只在單獨引擎中可用的功能統一實作，來最佳化系統效能，加速資料處理、查詢效率，以及更好的資源管理。Velox目前已經被Meta用於超過10個系統中，提升與Apache Spark、Presto等知名系統的整合效率3到10倍。</p> <p>Meta資料基礎設施團隊一直在思考資料管理系統的設計方式，希望讓內部的資料管理系統更具組合性，也就是說，透過通用元件將單一系統分解成可重複使用的函式庫，並利用通用API和標準來增加元件之間的互通性。而當Meta將大型單一系統分解成模組化元件堆疊時，與Apache Arrow這些開源元件的互通性也就變得更加重要。</p> <p>Apache Arrow是一個受廣泛使用的開源框架，專門用於行式記憶體內資料的高效處理和傳輸，其設計使得大資料和分析應用，能夠快速執行和移動大量資料，避免常見的效能瓶頸。</p> <p>由於要實現元件的互通性，可組合資料管理系統必須理解常見的儲存格式、網路序列化協定、表格API，並具有統一的計算表達方式，而Meta解釋，通常必須讓這些元件直接共用記憶體中的資料，像是跨語言邊界傳輸資料，才能有效地支援用戶定義函式。</p> <p>因此Meta決定與Voltron Data、Arrow社群合作，將開源行式資料布局和Velox進行整合。而這項合作的重點在於盡可能使API遵循開放標準，Meta指出，Arrow可以被視為Velox的底層，Arrow描述了行式資料在記憶體中表示的方法，而Velox提供了一系列執行和資源管理資料的原語。</p> <p>不過，Meta在當初開發Velox時，設計了Velox Vectors布局來加速工作負載中常見的資料操作，Velox Vectors具有快速移動資料所需要的效率和敏捷性，但Meta指出，這樣的設計卻造成了碎片化，降低了元件的互通性。</p> <p>因此現在Velox與Arrow協調融合雙方格式，在Arrow 15.0.0加入由Velox Vectors衍伸的3種資料格式布局，包括StringView、ListView和Run-End-Encoding（REE），如此不僅可以使用Velox與Arrow進行跨元件的記憶體內通訊，達到資料零複製的目的，而且也提高了Arrow在現代執行引擎的可用性，能夠支援更高效能用例。</p> </div></div></div>
2024/2/26 16:30作者李建興https://www.ithome.com.tw/news/161473
JetBrains IDE更新終端機提供新視覺設計和進階功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains IDE從2024.1版本開始<a href="https://blog.jetbrains.com/idea/2024/02/the-new-terminal-beta-is-now-in-jetbrains-ides/">加入新的終端機Beta測試版</a>，用戶可以選擇是否啟用新終端機。不過目前僅支援Bash、Zsh和PowerShell，官方正在開發其他的殼層支援。這個新終端機結合基本和進階功能，以新方式呈現開發者熟悉的工具，甚至要提供人工智慧等豐富功能集。</p> <p>新終端機也具有新的視覺設計，現在每個命令都會顯示於單獨的區塊中，官方提到，這將有助於用戶快速定位每個命令的起始與結束，強化輸出的可讀性。使用者也可以藉由快捷鍵，快速在命令和輸出中切換。另一個重大更新是命令完成功能，現在支援命令、路徑、參數和選項，目標在於簡化命令的輸入。新的終端機還有命令歷史紀錄，使開發者能夠過濾並且快速找到最近執行的命令。</p> <p>終端視覺設計的改變來自於架構的更新，開發者現在對終端介面中用戶輸入命令的區塊，能夠有更高程度的控制和自定義能力，在輸入命令時，用戶不僅可以使用鍵盤，還能以滑鼠移動鼠標，或是執行其他編輯動作，像是選擇、複製和貼上文字，讓終端機的操作更加靈活。</p> <p>JetBrains團隊還重做了命令完成功能，將原本IDE中的知識整合到完成建議中，但官方提到，目前這項功能還在更新中，Beta測試版中的完成選項可能有時候無法使用，或是因殼層不同結果有所變化。</p> <p>另外，JetBrains在新的終端機添加特有的命令提示符，以顯示當前目錄、Git分支、Python虛擬環境和Anaconda環境，JetBrains解釋，這是因為即便殼層中沒有配置，依然能提供豐富且現代命令提示符的原因。這些提示符號與系統的終端機不相同，官方正在研究提供相同提示符號的方法。</p> <p>JetBrains仍在更新終端機，加入更多自訂選項並改進命令完成等功能，同時還計畫添加人工智慧功能，協助命令輸入和解釋所得到的結果。</p> </div></div></div>
2024/2/26 16:59作者李建興https://www.ithome.com.tw/news/161483
微軟開源可用來偵測生成式AI模型風險的紅隊工具PyRIT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周四（2/22）<a href="https://github.com/Azure/PyRIT" target="_blank">透過GitHub開源了PyRIT</a>（Python Risk Identification Toolkit for generative AI），以利安全專業人員及機器學習工程師可自動化用來辨識大型語言模型（LLM）風險的程序，包括辨識生成惡意程式、越獄或是資料竊盜等LLM的濫用行為。</p> <p>微軟的AI紅隊（Microsoft AI Red Team）自2022年開始針對不同的生成式AI系統進行紅隊演練，以尋找各種風險，當時的PyRIT只是一組一次性的腳本程式，隨著該團隊每次添增各種功能，將它堆砌成一個可靠的工具。其實微軟在2021年便曾開<a href="https://www.ithome.com.tw/news/144196" target="_blank">源AI風險評估工具Counterfit</a>，但Counterfit主要是針對傳統的機器學習系統，無法滿足其底層原則及威脅都有不同風貌的生成式AI，才促使微軟AI紅隊開發新工具。</p> <p>PyRIT由5個元件所組成，包括用來測試的目標（Target），所使用的提示資料集（Dataset），基於自我評估或是既有分類器的評分引擎（Scoring Engine），單輪或多輪的攻擊策略（Attack Strategy），以及存放輸入及輸出等互動資料的記憶體。</p> <p>PyRIT可先傳送惡意的提示到特定的生成式AI系統，收到回應後再將它傳至評分引擎，根據評分引擎傳回的結果再產生新的提示，再傳送至該生成式AI系統，不斷循環直至實現研究人員所設定的目標。根據微軟的測試，利用PyRIT針對Copilot進行紅隊演練時，可先選擇一個有害的類別，繼之生成數千個惡意提示，再以PyRIT的評分引擎來評估Copilot系統的輸出結果，其自動化能力讓原本需要幾周的測試在短短的幾小時內便完成。</p> <p>不過，<a href="https://www.microsoft.com/en-us/security/blog/2024/02/22/announcing-microsofts-open-automation-framework-to-red-team-generative-ai-systems/" target="_blank">微軟強調</a>，PyRIT並非用來取代人工的紅隊演練，而是相輔相成，它擴大了AI紅隊既有的專業知識，並替它們自動化繁瑣的任務。其程序是先由安全研究人員提供有害提示的資料集，接著便交由PyRIT將它們餵進大型語言模型端點，以生成更有害的提示，PyRIT揭露了可能存在的風險，再由研究人員深入探索，研究人員始終控制著紅隊操作的執行與策略。</p> <p>微軟除了透過GitHub釋出PyRIT專案的工具包，以及提供各種示範之外，也預計於3月6日舉行一場PyRIT網路研討會，並歡迎<a href="https://www.brighttalk.com/webcast/10415/607319?bttok=%7b%7bRecipient.ID%7d%7d&utmsource=sponsor" target="_blank">有興趣的各路人馬報名</a>。</p> </div></div></div>
2024/2/26 14:41作者陳曉莉https://www.ithome.com.tw/news/161472
【資安日報】2月26日，勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>執法單位<a href="https://www.ithome.com.tw/news/161379">針對勒索軟體駭客組織LockBit出手</a>，成功接管34臺LockBit伺服器，凍結逾200個加密貨幣帳戶，逮捕2名嫌犯，隨後<a href="https://www.ithome.com.tw/news/161386">日本警方也在No More Ransom網站提供LockBit 3.0解密工具</a>。但這群駭客也不是省油的燈，不到一週的時間，他們重新架設網站，並聲稱已有組織受害。</p> <p>在此期間，已經有駭客利用遠端桌面連線軟體ScreenConnect的重大漏洞，<a href="https://www.ithome.com.tw/news/161450#SlashAndGrab">對醫療機構散布LockBit用來加密檔案</a>，但當時研究人員推測，可能是未被取締的附屬組織所為。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;">執法單位聲稱掌握了勒索軟體駭客組織LockBit的管理員，幾天後傳出該組織捲土重來，宣稱攻擊目標鎖定政府機關</strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/lockbit_1_8b91504b8d.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/lockbit_1_8b91504b8d.jpg" style="width: 300px; float: right;" /></a>2月19日傳出11個國家執法單位進行執法行動Operation Cronos，成功切斷勒索軟體駭客組織LockBit的運作，並接管其暗網網站，該組織也證實遭遇資安事故。而這起執法行動在週末又傳出新的消息，使得情況又變得更加撲朔迷離。特別的是，FBI竟被列為受害組織。</p> <p>先是23日執法單位在LockBit網站上發布新的內容，標題為「誰是LockbitSupp（該駭客組織的管理員）？」，表明這名人士曾經宣稱住在美國或是荷蘭，並擁有藍寶堅尼跑車，但上述傳聞皆非事實，該人駕駛的車輛廠牌其實是賓士，而且零件難以取得，暗指可能住在遭制裁的俄羅斯。執法單位表示他們不僅掌握該人身分，也知道其住所及身價，現在該名管理者已與執法單位合作。隨後該組織的管理層向資安研究團隊VX-Underground透露，他們不認為執法單位知道LockbitSupp的真實身分，並表明根據<a href="https://www.ithome.com.tw/news/151655">之前成立的漏洞懸賞專案</a>，若是有人能得知首腦的身分，將提供2千萬美元獎金。</p> <p>事隔兩天，這些駭客重新架設網站，並聲稱美國聯邦調查局（FBI）利用重大漏洞CVE-2023-3824，入侵他們其中2個主要的PHP伺服器，原因是該組織在1月份攻擊喬治亞州富爾頓縣政府，竊得的文件內容與美國前總統川普的訴訟案件有關，而這些資料極有可能左右接下來的總統大選，對此，該組織表明將會更積極、頻繁地攻擊政府部門。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/vxunderground/status/1761031957104750864">https://twitter.com/vxunderground/status/1761031957104750864</a><br /> 2. <a href="https://twitter.com/vxunderground/status/1761491834436476937">https://twitter.com/vxunderground/status/1761491834436476937</a><br /> 3. <a href="https://securityaffairs.com/159584/cyber-crime/lockbit-gang-resumed-raas.html">https://securityaffairs.com/159584/cyber-crime/lockbit-gang-resumed-raas.html</a></p> <p><a href="https://www.ithome.com.tw/news/161454"><strong style="font-size: 22px;">中國資安業者安洵信息內部資料公開，透露該公司對臺灣在內逾20個國家從事網路間諜行動</strong></a></p> <p></p> <p>一位名為「安坂星海」的臺灣資安研究員發現，有人將中國資安業者「安洵信息」的內部資料上傳到程式碼儲存庫GitHub，隨後引起各界關注。有研究人員將這些內部文件進行分析，指出內含超過570筆檔案、圖片，以及對話記錄，詳細披露該公司8年來為中國政府盜取外國資料的合約內容，至少有20個國家及地區成為目標，包括臺灣、印度、香港、泰國、韓國、英國、馬來西亞。</p> <p>值得留意的是，該公司的客戶也要求他們收集特定國家的基礎設施資料，例如，他們竊得495 GB臺灣道路地圖檔案，美國智庫創始人Dmitri Alperovitch指出，這批檔案內含臺灣公路地形、橋樑、隧道的詳細資料，一旦中國對臺灣發動戰爭，軍隊就能精確地調動裝甲部隊及兵力。</p> <p>臺灣資安業者TeamT5指出，這批資料的可信度相當高，因為當中透露了安洵如何與中國政府打交道，以及該公司產品的細節和財務狀況，其中甚至鉅細靡遺交代這組人馬如何協助開發RAT木馬程式ShadowPad。</p> <p>資料來源</p> <p>1. <a href="https://www.washingtonpost.com/world/2024/02/21/china-hacking-leak-documents-isoon/">https://www.washingtonpost.com/world/2024/02/21/china-hacking-leak-documents-isoon/</a><br /> 2. <a href="https://cyberscoop.com/isoon-chinese-apt-contractor-leak/">https://cyberscoop.com/isoon-chinese-apt-contractor-leak/</a></p> <p><a href="https://www.aquasec.com/blog/lucifer-ddos-botnet-malware-is-targeting-apache-big-data-stack/"><strong style="font-size: 22px;">殭屍網路Lucifer鎖定Apache Hadoop伺服器、Druid資料庫而來</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure7_fixed_pixel.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure7_fixed_pixel.jpg" style="width: 300px; float: right;" /></a>資安業者Aqua Security揭露最近一波殭屍網路Lucifer的攻擊行動，這些駭客原先鎖定PHP網頁框架Laravel、內容管理系統Drupal、持續整合開發工具Jenkins等多種網頁應用系統的漏洞，並利用美國國家安全局（NSA）外洩的永恒之藍（EternalBlue）等Windows漏洞攻擊工具，從而將受害伺服器用於挖取門羅幣，但現在駭客轉移標的，目標改為Apache多功能軟體程式庫框架Hadoop、動態分析資料庫Druid、資料流處理框架Flink下手，並指出在今年1月看到逾3千起攻擊行動。</p> <p>研究人員指出，這波攻擊行動大致有3個過程，首先，駭客會利用Druid漏洞CVE-2021-25646（CVSS風險評為8.8分），或是Hadoop的通用資源管理平臺YARN的API配置不當，從而進行未經授權的存取；接著，對方下載、執行Lucifer，最終於受害伺服器植入挖礦程式XMRig。</p> <p>根據他們半年多的觀察，在去年7至8月、10月，以及今年1月出現3波攻擊，前兩次駭客主要針對Hadoop而來，但從今年開始，也出現鎖定Druid的攻擊行動。</p> <p><a href="https://unit42.paloaltonetworks.com/glupteba-malware-uefi-bootkit/#post-132484-_9pnlcgdp770l"><strong style="font-size: 22px;">殭屍網路病毒Glupteba透過UEFI Bootkit迴避偵測</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-132484-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-132484-5.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks針對殭屍網路病毒Glupteba近期的動態提出警告，他們從去年11月看到駭客為其加入了UEFI Bootkit的功能，從而干預受害電腦的作業系統啟動過程，使得該惡意程式的運作更為隱密且難以察覺。</p> <p>研究人員指出，經營此殭屍網路的駭客組織，10年內發展出各式各樣的功能模組，例如：傳送其他惡意程式、竊取應用程式帳密資料、盜取信用卡等敏感個資、利用受害電腦進行挖礦等，並根據買家所使用的元件來支付費用（Pay-per-install，PPI）的模式形成網路犯罪生態圈。</p> <p>他們對其惡意程式進行分析，發現駭客整合了名為EfiGuard的開源元件，而能夠在電腦開機的流程當中，停用核心修補程式保護（PatchGuard）及強制驅動程式簽章（Driver Signature Enforcement，DSE）的功能。</p> <p><a href="https://www.fortinet.com/blog/threat-research/tictactoe-dropper"><strong style="font-size: 22px;">惡意程式TicTacToe Dropper竊取Windows電腦資料，並植入其他作案工具</strong></a></p> <p></p> <p>資安業者Fortinet揭露名為TicTacToe Dropper的惡意程式載入工具，為避免防毒軟體攔截，此程式駭客通常透過ISO映像檔傳送，並繞過Mark-of-the-Web（MoTW）防護機制，一旦成功滲透，該惡意程式就會用於投放其他惡意酬載，在最近1年裡，研究人員看到駭客用於散布AgentTesla、SnakeLogger、LokiBot、Remcos等近10款RAT遠端木馬程式，其共通點是使用.NET執行檔或是程式庫，程式碼經過混淆工具SmartAssembly處理，其DLL程式庫以反射式載入的方式運作。</p> <p><a href="https://www.welivesecurity.com/en/eset-research/vajraspy-patchwork-espionage-apps/"><strong style="font-size: 22px;">安卓木馬VajraSpy透過Google Play市集散布</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/vajraspy-figure-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/vajraspy-figure-1.png" style="width: 300px; float: right;" /></a>資安業者ESET揭露RAT木馬程式VajraSpy的攻擊行動，他們看到12個被用來挾帶此木馬的安卓應用程式，巴基斯坦駭客組織Patchwork APT聲稱這些應用程式提供即時通訊軟體或是閱讀新聞的功能，其中6個在Google Play上架，總共被下載超過1,400次，而且，其他的市集也有上架；另外6款則是出現在惡意軟體分析平臺VirusTotal。</p> <p>一旦使用者安裝這款惡意軟體，駭客就能從他們的安卓裝置竊取各式各樣的資料，包含通訊錄、通話記錄、簡訊內容，並從WhatsApp、Signal等知名即時通訊軟體攔截或收集訊息，此外，該惡意程式還能記錄電話通話、啟用相機拍照、攔截應用程式的通知訊息，搜括文件、圖片、聲音檔及其他類型的檔案並進行外洩。研究人員根據其中1款安全性較弱的應用程式進行調查，找到148臺位於巴基斯坦及印度的受害裝置，並指出駭客是透過愛情詐騙來散布此木馬程式。</p> <p><a href="https://www.hackread.com/israeli-nso-group-mms-fingerprint-attack-whatsapp/"><strong style="font-size: 22px;">以色列商業間諜公司NSO Group利用WhatsApp漏洞，利用多媒體簡訊指紋追蹤用戶</strong></a></p> <p></p> <p>2019年5月即時通訊軟體WhatsApp發現其系存在漏洞，而使得攻擊者能藉由語音通話功能來發動攻擊，該公司指控NSO Group將其用來部署間諜軟體Pegasus，並鎖定全球記者、人權鬥士、律師、政府官員，WhatsApp於同年10月對NSO Group提告。</p> <p>瑞典電信資安業者Enea指出，根據WhatsApp當年提交的文件，NSO Group掌握了名為「多媒體簡訊指紋（MMS Fingerprint）」的技術，號稱只要向目標裝置發送此種簡訊，攻擊者就能得知該裝置的系統資訊，且過程無須使用者互動或是讀取訊息。</p> <p>研究人員根據這些法律文件循線進行調查，發現攻擊者可利用這種手法得知裝置的多媒體簡訊使用者代理字串（MMS UserAgent），從而決定要利用的漏洞、惡意酬載，或是策畫網路釣魚活動，而且，無論安卓、iOS，還是黑莓設備，攻擊者都有可能利用這種手法來進行偵察。</p> <p>資料來源</p> <p>1. <a href="https://files.lbr.cloud/316009/whatsapp-fb-v-NSO-group.pdf">https://files.lbr.cloud/316009/whatsapp-fb-v-NSO-group.pdf</a><br /> 2. <a href="https://www.enea.com/insights/dusting-off-old-fingerprints-nso-groups-unknown-mms-hack/">https://www.enea.com/insights/dusting-off-old-fingerprints-nso-groups-unknown-mms-hack/</a></p> <p><a href="https://www.veracode.com/resources/state-software-security-2024-addressing-threat-security-debt"><strong style="font-size: 22px;">人工智慧加速軟體開發但存在安全隱憂！逾三分之一由GitHub Copilot產生的程式碼存在漏洞</strong></a></p> <p></p> <p>資安業者最近針對企業軟體開發安全揭露他們的觀察，首度提及在人工智慧技術迅速改變軟體開發的態勢下，相關工具產生的程式碼也可能存在弱點，以GitHub Copilot為例，約有36%生成的程式碼存在漏洞。</p> <p>另一方面，企業在因應應用程式的高風險弱點有顯著的成效，2023年約有17.9%應用程式曝險，僅不到2016年37.9%的一半。整體而言，2023年63.4%企業自行開發（第一方）的程式碼存在弱點，而第三方程式碼約有70.2%存在弱點，兩者的情況相當接近，對此研究人員認為，在軟體開發生命週期（SDLC）的流程當中，對於自行開發與第三方的程式碼都要進行相關測試，可說是極為重要。而對於上述兩種類型程式碼出現的弱點處理，第三方程式碼修補的時間需要11個月，較自行開發程式碼的弱點緩解需7個月多出50%。</p> <p>然而值得留意的是，約有近半數（45.9%）企業並未完全緩解發現的高風險弱點，產生嚴重的「安全債」，而有可能讓企業的機密性、完整性、可用性面臨嚴重風險。</p> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><a href="https://blog.checkpoint.com/security/digital-deception-at-the-ballot-box-the-shadow-machinery-of-election-manipulation-how-deepfake-technology-threatens-the-2024-u-s-elections/"><strong><span style="font-size: 20px;">僅要價2美元的Deepfake欺騙性內容恐對選舉帶來影響</span></strong></a></p> <p></p> <p><strong><a href="https://www.aquasec.com/blog/lucifer-ddos-botnet-malware-is-targeting-apache-big-data-stack/"><span style="font-size: 20px;">殭屍網路Lucifer鎖定Apache Hadoop伺服器而來</span></a></strong></p> <p><a href="https://www.bitdefender.com/blog/labs/details-on-apples-shortcuts-vulnerability-a-deep-dive-into-cve-2024-23204/"><strong><span style="font-size: 20px;">研究人員揭露蘋果自動化流程應用程式Shortcuts高風險漏洞細節</span></strong></a></p> <p></p> <p><a href="https://tuxcare.com/blog/multiple-freeimage-vulnerabilities-fixed-in-ubuntu/"><strong><span style="font-size: 20px;">Ubuntu圖像程式庫元件FreeImage存在漏洞，有可能導致阻斷服務攻擊、執行任意程式碼</span></strong></a></p> <p></p> <p><strong><a href="https://www.microsoft.com/en-us/security/blog/2024/02/22/announcing-microsofts-open-automation-framework-to-red-team-generative-ai-systems/"><span style="font-size: 20px;">微軟針對生成式AI推出紅隊演練工具PyRIT</span></a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161450"><strong>【2月23日】遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161422"><strong>【2月22日】鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161398"><strong>【2月21日】中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況</strong></a></p> </div></div></div>
2024/2/26 11:31作者周峻佑https://www.ithome.com.tw/news/161467
LockBit在被執法機關攻陷的一周內起死回生
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由美國、英國等10個國家組成，並由歐洲刑警組織（Europol）負責居中協調的克羅諾斯行動（Operation Cronos），在2月20日<a href="https://www.ithome.com.tw/news/161379" target="_blank">宣布</a>已成功摧毀勒索軟體LockBit的基礎設施，然而，LockBit開發者在24日<a href="https://samples.vx-underground.org/tmp/Lockbit_Statement_2024-02-24.txt" target="_blank">指出</a>，它們已經恢復了服務，《<a href="https://www.bleepingcomputer.com/news/security/lockbit-ransomware-returns-restores-servers-after-police-disruption/" target="_blank">BleepingComputer</a>》則在LockBit新的資料外洩網站上發現了5名受害者。</p> <p>克羅諾斯行動接管了LockBit的資料外洩網站，關閉其位於全球不同國家的34臺伺服器，凍結逾200個與該犯罪組織有關的加密貨幣帳戶，控制或刪除了1.4萬個負責滲透或與基礎設施有關的流氓帳號，也逮捕了2名嫌犯。估計LockBit的受害者超過2,000家，得手的贖金超過1.2億美元。</p> <p>當時安全研究團隊vx-underground引用了LockBit開發者的說法，指出這些執法機構是透過PHP上的CVE-2023-3824安全漏洞攻陷他們的基礎設施。</p> <p>LockBit開發者則從自己的角度說明了此事。指出有兩臺伺服器在2月19日遭到滲透測試，使得他無法登入，他承認或許是因為自己太鬆懈，沒能及時修補PHP上的CVE-2023-3824漏洞才讓執法機構有機可趁，也有可能是其它的PHP零時差漏洞。該開發者還提醒其它的勒索軟體競爭對手，它們的PHP伺服器很可能也已經被攻陷了，最好儘快修補並更新所有憑證。</p> <p>另外他也強調，所有其它未使用PHP的伺服器都未受到影響，將會持續用來外洩受害企業的資料。</p> <p>該名LockBit開發者宣稱FBI等執法機構誇大了克羅諾斯行動的成功程度，例如所取得的逾1,000個解密金鑰只占了解密金鑰總數的2.5%，而且它們屬於低階的解密金鑰。在LockBit運作5年來，其解密金鑰總數約有4萬個。還說執法機構所逮捕的嫌犯並非他真正的合作夥伴，或許只是混幣器或交易平臺的員工。</p> <p>他甚至列出了數十個未安裝PHP、沒有被執法機構攻陷的備份部落格網域，並公布了新的主網域；他表示之所以花了4天才恢復，主要是因為他必須重新編輯最新版PHP的程式碼；他也否認未刪除已支付贖金之受害者的機密資訊，認為執法機構故意說謊。</p> <p>儘管LockBit的確正在重建其基礎設施，但<a href="https://twitter.com/vxunderground/status/1761506370656825531" target="_blank">vx-underground認為</a>，LockBit此一回應試圖抹黑執法機構，以降低其公信力。</p> </div></div></div>
2024/2/26 14:18作者陳曉莉https://www.ithome.com.tw/news/161471
X對非付費用戶推出語音、視訊電話服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>原名推特的社群平臺<a href="https://twitter.com/lindayaX/status/1761121033883460062" target="_blank">X上周宣布</a>，將視訊及語音電話服務逐步推向非付費用戶。</p> <p>X去年10月開始首先在iOS版App提供語音及視訊電話服務，1月推向Android版本。不過在本周之前，這項服務都只提供給Premium付費訂閱（即Twitter Blue）帳號用戶，作為加值服務的一環。2月初X大老闆<a href="https://twitter.com/elonmusk/status/1752773507006791867" target="_blank">馬斯克（Elon Musk）預告</a>，等到公司對服務穩定性有信心後，會將服務廣泛推向所有用戶。X執行長Linda Yaccarino本周轉推公司工程師的X推文<a href="https://twitter.com/lindayaX/status/1761121033883460062" target="_blank">公告</a>，這項服務將緩步部署到非Premium帳號用戶。</p> <p>根據<a href="https://help.twitter.com/en/using-x/direct-messages/audio-video-calls" target="_blank">X網頁說明</a>，若想撥打語音和視訊電話，用戶之前必須至少曾經和對方有過至少一次私訊。為防止騷擾，用戶可以在私訊設定中，設定允許接收電話的帳號，包括用戶關注中的、有在聯絡人清單中、經過X驗證的用戶帳號，或是所有人。其隱私設定還讓用戶在通話過程中隱藏用戶IP位址。Android版App中，用戶必須啟用推播通知才能接收到來電通知。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0226-X-twitter-audio%20vedio%20call.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_X</span></span></p> <p>在經過2022年到2023年馬斯克的收購及改革／改名下，X仍然是最大文字類社群平臺。根據<a href="https://www.statista.com/topics/737/twitter/#topicOverview" target="_blank">Statista估計</a>，X全球用戶數為4.15億。為擴大用戶基礎，X持續擴增平臺功能，<a href="https://blog.twitter.com/en_us/topics/company/2023/transforming-the-global-town-square" target="_blank">預計中的服務</a>還包括一對一支付、創作者合作及廣告服務。</p> <p>另一方面，由Meta Instagram支持的Threads在2022年10月上線後，目前用戶數估計在<a href="https://explodingtopics.com/blog/threads-users" target="_blank">1.4億左右</a>。上周<a href="https://techcrunch.com/2024/02/21/meta-tests-cross-posting-from-facebook-to-its-twitter-x-competitor-threads/" target="_blank">Meta還證實</a>正在測試讓用戶可從臉書發文到Threads上，以帶動新平臺的流量。</p> </div></div></div>
2024/2/26 11:05作者林妍溱https://www.ithome.com.tw/news/161466
Google Pay今年6月在美關閉，僅留Google Wallet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/google-pay/payment-apps-update/" target="_blank">Google上周宣布</a>將簡化數位支付服務，將在今年6月關閉美國地區的Google Pay App，全部統整於Google Wallet。</p> <p>Google Pay是Google 2018年推出的數位支付，但2022年5月推出Google Wallet並於7月正式上線。Google Wallet除了數位支付，還可儲存各種票券及數位身份證件、信用卡或學生證等證明。不過Google Pay仍然持續，形成雙軌並行局面。</p> <p>現今全球180多國數百萬用戶透過ChromeOS、macOS、Windows PC及Android、iOS App與實體商店使用Google Pay。Google表示在手機平臺上，也可以用Google Wallet管理Google Pay支付；在美國，Google Wallet用戶使用量是Google Pay的5倍。為了簡化App使用經驗，Google計畫讓美國版獨立的Google Pay從2024年6月4日起終止使用。</p> <p>但Google Pay在印度和新加坡仍然可繼續使用。已經使用Google Wallet的用戶也不受影響。至於其他地區的Google Pay服務會有哪些變化Google尚未說明。</p> <p>對美國用戶而言，6月4日以前，用戶可以用Google Pay App讀取和將Google Pay帳戶餘額轉到銀行帳戶。但6月4日以後，就只能透過Google Pay網站為之。1對1支付服務方面，從同一天起也無法再要求、收取或執行匯款。Google並<a href="https://support.google.com/googlepay/answer/10197214" target="_blank">告知</a>如何匯出Google Pay儲值，以及相關手續費用。</p> <p><a href="https://support.google.com/googlepay/answer/14555219" target="_blank">根據說明</a>，之後用戶的店內和線上付費，仍然可以使用Google Pay，但如果要讀取交易明細和管理支付方式，就只能使用Google Wallet和<a href="http://pay.google.com/" target="_blank">Google Pay網站</a>。因此Google建議用戶下載安裝Android版Google Wallet App。</p> <p>Google表示之後會持續改進使用經驗，像是Chrome中的Google Pay autofill功能、簡化大眾運輸支付，及增加Wallet可儲存票券的種類。</p> </div></div></div>
2024/2/26 09:15作者林妍溱https://www.ithome.com.tw/news/161462
【資安週報】2024年2月19日到2月23日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這星期釋出的安全性漏洞消息，以ConnectWise在19日修補遠端桌面軟體ScreenConnect的漏洞CVE-2024-1709，最受關注，因為在公告的隔日，就發現有駭客開始鎖定利用，該業者也在20日示警、公布入侵威脅指標（IoC），並在21日針對已結束維護支援服務的用戶內部環境建置版本，提供最新升級。</p> <p>在資安威脅焦點方面，最大消息就是勒索軟體LockBit組織的伺服器被攻破。在英、美等10國家聯合發起的打擊行動之下，已接管其技術基礎設施與資料外洩網站，並凍結相關加密貨幣帳戶，美方也拘留兩名利用LockBit服務的聯盟夥伴，起訴兩名發動攻擊的俄羅斯人。</p> <p>由於全球已有上千家企業組織遭受LockBit的危害，因此這次國際查緝行動具有相當大的意義。我們也注意到，在此次行動成果公布後，在打擊勒索軟體網路犯罪的No More Ransom計畫網站，已釋出由日本警方打造的相關解密工具。</p> <p>還有前陣子農曆過年期間，有南韓研究人員發表破解勒索軟體Rhysida的論文，如今在No More Ransom平臺上，也有資安業者Avast釋出的相關解密工具。</p> <p>另一件大消息，是中國資安業者「安洵信息」傳出資料外洩，意外曝露該國政府對全球各國發動網路間諜行動的情況，引發國際關注。研究人員指出，這些資料很有可能來自該公司專門研發間諜軟體的部門。根據外洩資料的內容顯示，該公司替客戶（中國政府）滲透印度、泰國、越南、韓國、臺灣、馬來西亞、北約組織的政府機關，曾開發攻擊工具RAT木馬程式Hector，以及外觀與行動電源相似的「Wi-Fi 抵近攻擊系統」，同時也經營DDoS攻擊業務，還有APT攻擊與間諜行動業務。日後是否有更進一步的研究分析，值得持續追蹤。</p> <p>關於最新威脅態勢的揭露上，我們注意到4個值得留意的技術手法與狀況：</p> <p>●資安業者揭露網釣簡訊攻擊背後的新手法Smishing，他們發現濫用AWS SNS簡訊服務的惡意Python腳本，並指出這是雲端攻擊工具中前所未見的技術。</p> <p>●駭客不斷挖掘出Ivanti Connect Secure的零時差漏洞並成功利用，因此有研究人員針對這樣的狀況進行分析，發現其系統採用許多老舊、已終止支援的元件。</p> <p>●關於網路犯罪組織在臉書投放詐騙廣告，資安業者揭露使用竊資軟體VietCredCare的攻擊者，正鎖定大量越南企業臉書帳號，並在接管帳號後用以實施臉書詐騙。</p> <p>●網路拓樸架構呈現工具SSH-Snake被駭客濫用於攻擊行動，資安業者指出，這是竊取SSH金鑰的新手法，該工具還具有主動修改和無檔案的特性，若採用靜態偵測的作法，會不容易找到。</p> <p>還有多個惡意威脅的最新動向，源自不同資安業者的揭露，包括勒索軟體RansomHouse組織使用新的自動化工具MrAgent，來鎖定虛擬化平臺VMware ESXi平臺，以及惡意程式TicTacToe Dropper，殭屍網路病毒Glupteba，還有商業間諜公司掌握「多媒體簡訊指紋（MMS Fingerprint）」技術的細節。</p> <p>最後值得一提的是，國內再傳上市櫃公司遭遇資安事件，已是今年第7起上市櫃公司因資安事件發布重大訊息。以散熱風扇聞名的上市大廠建準，19日公告當天凌晨遭遇加密攻擊。該公司表示，已確認公司資料沒有外流，資訊系統當日可修復。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161344"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月19日】Ivanti Connect Secure採用極為老舊的Linux核心及元件而存在數千個漏洞</span></strong></a></h3> <p>最近Ivanti頻繁對於Connect Secure漏洞發布資安公告，並指出部分漏洞已確認被用於攻擊行動，使得這套SSL VPN系統的安全問題再度浮上檯面，然而有研究人員發現，這套系統採用大量早就已經終止支援的元件，而曝露於許多已知漏洞的資安風險。</p> <p>這也突顯Ivanti在2020年買下Pulse Secure公司之後，歷經多次資安漏洞相關事故與爭端之後，此系統竟然被發現至今仍延用老舊架構，並未逐步汰換、更新元件，而使得攻擊者有機會藉由已知漏洞上下其手。</p> <h3><a href="https://www.ithome.com.tw/news/161355"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月20日】勒索軟體駭客組織LockBit的基礎設施傳出遭到執法單位圍剿</span></strong></a></h3> <p>自2019年出現的勒索軟體LockBit在全球橫行，是最近2至3年最具威脅的勒索軟體。根據美國政府的統計，自2020年該勒索軟體駭客組織已發起超過1,700次攻擊，以美國而言，他們向受害組織總共索討了9,100萬美元的不法所得。這些駭客甚至還<a href="https://www.ithome.com.tw/news/151655">設立漏洞懸賞專案</a>，尋求各界尋找該勒索軟體的漏洞，囂張的程度可見一斑。</p> <p>如此猖獗的態勢，也引起多個國家的執法單位採取行動。最近有許多在追蹤該勒索軟體動態的研究人員發現，執法單位已拿下該組織暗網的網站，這些駭客也對他們的附屬組織證實遭遇「資安事件」。</p> <p><a href="https://www.ithome.com.tw/news/161398"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月21日】中國資安業者驚傳資料外洩，意外曝露中國政府對全球各國從事網路間諜行動的情況</span></strong></a></p> <p style="margin: 0px;">中國政府資助的駭客佯裝成資安公司，在全球從事網路間諜活動，過往通常是藉由研究人員找到的蛛絲馬跡，才能揭露駭客暗中從事多年的行為，但最近有一批文件的曝光，間接反映了這樣的情形，而引起資安圈的高度討論。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">根據一位臺灣資安研究員的揭露，中國資安業者「安洵信息」發生內部資料外洩，而導致中國當局網路間諜活動曝光，當中提及該公司從事網路間諜行動的經驗，並說明他們使用的作案工具，雖然資料的來源與真實性仍有待進一步確認，但根據其內容來看，他們提供了各式各樣的網路攻擊服務，很有可能聽從中國政府的指示對指定目標下手。</p> <h3><a href="https://www.ithome.com.tw/news/161422"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月22日】鎖定越南而來的竊資軟體VietCredCare意圖挾持企業臉書帳號，該國逾三分之二省份出現受害組織</span></strong></a></h3> <p>鎖定企業臉書帳號的大規模網路攻擊行動，去年7月、8月，資安業者WithSecure、Zscaler揭露<a href="https://www.ithome.com.tw/news/158628">名為DuckTail的竊資軟體攻擊行動</a>，這起事故是越南駭客特別針對數位行銷及廣告領域的人才下手，藉由職場社群網站LinkedIn尋找目標。</p> <p>但類似的手法，最近又有新的發現。資安業者Group-IB發現另一起專門針對越南企業組織而來的攻擊行動，對方使用另一款竊資軟體VietCredCare，從事攻擊行動迄成約有一年半，受害組織遍及當地三分之二省份。</p> <h3><a href="https://www.ithome.com.tw/news/161450"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月23日】遠端桌面連線軟體ScreenConnect重大漏洞被用於散布勒索軟體LockBit</span></strong></a></h3> <p>本週多國執法單位宣布接管勒索軟體LockBit的基礎設施，但這些駭客疑似隨即東山再起，利用甫公布的重大漏洞發動攻擊。</p> <p>資安業者Sophos、Huntress發現，有人利用ScreenConnect的漏洞CVE-2024-1708、CVE-2024-1709發動攻擊，從而在目標組織執行勒索軟體LockBit，其中包含與911相關的系統和醫療機構，研究人員推測，這些攻擊很有可能是尚未遭到取締的LockBit附屬團體所為。</p> </div></div></div>
2024/2/26 09:32作者羅正漢https://www.ithome.com.tw/news/161463