iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 25篇
近 24 小時: 29篇
近 7 天: 141篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 17:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【2023年有23起資安事件重大訊息】上市櫃公司屢遭網路攻擊，中小企業災情大增
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 最近看到好多上市櫃公司遭遇網路攻擊的新聞！國內頻頻傳出企業發生資安事件，持續引起企業與民眾的廣泛關注。 今年才剛開始，1月就有3家上市公司（京鼎、恩德、柏文）公告資安事件重大訊息，並且發生在同一個星期之內，到了2月，又有6家公司（美琪瑪、富野、瑩碩生技、建準、昶昕、中華電）公告發生資安相關事件。 事實上，臺灣企業在2023年公開的資安事故確實是增加的，尤其是下半年事件揭露相當密集。根據今年初我們進行回顧，發現過去一年，共有17起遭網路攻擊的資安事件重大訊息，而且還有其他6起與資安事件相關。 這樣的結果，並不只是反映臺灣企業所面對的資安態勢，日益嚴峻，更重要的意義在於，近3年前證交所對於重大訊息處理程序的修訂，促使越來越多上市櫃公司公開重大資安事件的相關資訊，讓投資人進一步了解企業經營狀況，也讓國人更了解資安風險。 有了上市櫃公司的示範，也間接促進更多企業與組織，願意主動公開他們面臨的資安危機，讓臺灣遭受網路攻擊的情況，能夠更真實地反映出來。而非許多資安事件只有資安業界知道，但因為這些受害公司擔心家醜外揚而不願意公開這方面的資訊，導致大家都不夠了解威脅的嚴重性。 資安透明度提升之餘，雖然上市櫃公司揭露的狀況大多相當簡單扼要，但從這些揭露當中，我們還是找出一些值得大家關注的關鍵資訊。 首先，隨著企業更願意開誠布公、坦承資安事故，再加上國內外加速推動數位轉型、遭受惡意軟體與駭客攻擊的範圍持續擴大、地緣政治引發的衝突等因素，使得臺灣上市櫃公司資安事件公告的數量，比起2021年與2022年明顯增加，不僅受害的產業相當廣泛，發生資安事故的中小企業明顯變多。 單是發布遭網路攻擊重大訊息的公司，過去一年內就有17家 過去一年以來，有多少上市櫃公司發布資安事件相關的重大訊息？根據各公司在臺灣證券交易所（證交所）與證券櫃檯買賣中心（櫃買中心）揭露的資訊來看，至少有17起遭網路攻擊的資安事件重大訊息公告。 在這些重大訊息的標題，都明確說明他們遭遇網路攻擊事件，以個別公司而言，2月有飛宏，3月有宏致、立德，4月有微星、金鼎科，6月有環天科，7月有中華、大樹，8月有日馳，10月有諾貝兒、羅昇，11月有中華化、雄獅、中石化、大江。 母公司代替集團子公司公告資安重訊的有2家，例如，3月，鋼聯代表旗下的台鋼資源發布；5月正新代表旗下Cheng Shin Rubber USA發布。 值得注意的是，關於2023年資安事件相關的重大訊息，並非只有這17起，在我們統整相關資訊時，發現還有6起重大訊息的發布，其內容是回應與個資曝險或個資及資料外洩相關事件，只是單看該則重大訊息的標題，可能無法得知與資安事件有關。 因此，以2023年全年而言，我們找到至少有23起資安事件相關的重大訊息。 網攻威脅重訊2023下半年頻傳，經常出現密集事件公告 以上市櫃公司遭網路攻擊的情況來看，在2023年17起事件中，我們可看出，2023下半的態勢最值得關注。 這是因為上半年受害的產業，多是科技業與電子零組件，到了下半年受害產業類型大增，遍及多種傳統產業，涵蓋藥局、汽車、自行車、觀光、化學、塑膠、生技等。 而且，有同產業接連遇害的情況。例如，7月底，大樹醫藥公告遭遇網路攻擊事件，到了10月初，擁有丁丁連鎖藥局的諾貝兒寶貝，也公告遭網路攻擊。 11月下旬由於資安事件重訊發布得相當密集，更是引發關注。例如，首度出現一日有兩家公司揭露遭遇網路攻擊事件，包括：旅遊業「雄獅」、塑膠工業「中石化」，甚至在同一星期，還有生技業「大江」也揭露遭駭。 資安重訊呈現的資安事故只是冰山一角！實際遇害數量更多 綜觀上述資安事件重大訊息的發布，確實讓企業與外界感受到，2023網路攻擊威脅的日益升溫，但臺灣企業遭受網路攻擊的嚴重程度，是否真有如此這般嚴峻？ 過去企業資安威脅看似不普遍，先前他們遭遇網路攻擊，多半是態勢嚴重而被民眾揭露才曝光，但近兩年來，政府要求上市櫃公司的資安事件揭露，使得更多事件浮出檯面，不一定代表整體威脅總量的增加。 2023年的臺灣資安威脅態勢是否惡化？曾協助處理許多企業資安事故的資安業者趨勢科技，提出他們的看法，該公司台灣區暨香港區總經理洪偉淦指出，對比2023年上市櫃公司重訊發布數量來看，企業資安遭駭的數量成長幅度，其實並沒有特別高，但事件總量確實有稍微提升，原因在於，去年有更多攻擊是針對防禦較弱的中小企業而來。 具體而言，2023年的攻擊態勢確實高於2022年，就他們經手的事件來看，事件數量大概多了3成的比例，若與資安威脅相當嚴峻的2021年相比，2023年則是略微提升。 為何有這樣的變化？洪偉淦進一步解釋，這幾年的網路攻擊，尤其是勒索軟體攻擊，正處於型態轉變的時期。 以2021年的攻擊而言，通常都是大型駭客集團發起，其攻擊目標也多是相當知名的企業，使用的手法通常比較精進，也會要求很高的贖金。 然而，在2021年勒索軟體肆虐的情況下，全球執法機構開始加強合作，以打擊網路犯罪活動。因此，2022年成為攻擊者轉型的時刻，許多駭客組織開始轉向勒索軟體即服務（RaaS）的模式，也就是攻擊者提供平臺或服務，讓其結盟夥伴以低門檻方式發動勒索軟體攻擊。這也導致，2022上半資安事件數量的下降，下半年資安事件再度上升。 到了2023年，洪偉淦認為，網路攻擊事件的數量，不僅明顯再度增加，已經恢復到2021年的水準，甚至還有所超越，最主要的原因也是RaaS型態下，使得攻擊變得普及且易於實施，也導致發起攻擊的團體變多。但他強調，現在受害者的結構，已經與過去有所不同，兩年前的狀況，多是大型企業遭鎖定，如今2023年後，則多是中型企業遇害。 而在攻擊目標轉向之下，由於這些中小企業的資安水準，其實存在一定的落差，因此也讓攻擊者無需用到極其複雜的手法，就能得逞，這些歹徒只要用以前的攻擊方法，就足以造成影響。這也造就資安事件數量增加的狀況——每個事件的勒索金額較小，但受到的攻擊數量較多。 而隨著中小企業遇害比例增加，洪偉淦也直言，過去這些規模的公司很少有資安事故調查的需求，但現在已經變得常見。 由於上市櫃公司對於發生的資安事故，並未具體列出類型，但因為勒索軟體肆虐全球，態度很猖獗，也讓所有人好奇：這些受害的公司是否就是遭遇勒索軟體的攻擊？ 洪偉淦指出，在趨勢科技的觀察中，大多上市櫃公司遭網路攻擊，其實都其實都是遭到勒索攻擊。基本上，2023年民間企業遭遇的資安事故，幾乎都是勒索攻擊，少有針對民間企業的APT攻擊，APT攻擊的主要目標還是政府。 不過要注意的是，勒索攻擊的型態並不全然是加密勒索，因為「偷資料的勒索」也逐漸成為常態，有些甚至是鎖定重要個資竊取的勒索。 對於這些勒索攻擊的現況，我們同樣掌握到許多事件。例如，去年底我們接觸國內一家建築工程顧問公司，得知他們遭勒索軟體攻擊，且情形嚴重，後續我們從網路上諸多資安情資中，又發現國內另一家建築工程顧問公司，被勒索軟體組織列為受害者。這兩家公司並非上市櫃公司，因此檯面下還有很多企業遭駭的狀況。 「不要以為中小企業就不會遭受駭客網路攻擊！」，過去就有許多資安業者這麼提醒，從這幾年的全球與臺灣企業實際受害消息來看，已經反映了這樣的情形，如今看來，駭客鎖定中小企業的攻擊態勢，更加明顯。 儘管歐美等國際執法單位正持續努力，打擊勒索軟體團體的網路基礎設施，緩解這方面的威脅，但不同攻擊者或重起爐灶的攻擊者，仍頻頻發起攻擊，這是企業必須體認到的現況。 無論如何，單以上市櫃公司的狀況來看，不同產業遭受攻擊的狀況也很明顯，威脅態勢也已經延續到2024年。 因為今年前兩個月，資安事件重大訊息就有9件，等於平均每月4.5件，比例明顯增加。 除了監管的壓力，滿足合作夥伴對資安的需求更是挑戰 在關注網路攻擊事件增加之餘，我們也想了解的是，現在的資安事件重大訊息揭露，可能出現那些問題？又帶來哪些好的影響？ 例如，從上述明確指出遭遇網路攻擊的事件來看，這些重大訊息的內容，幾乎有著大同小異的事件描述，內容相當含糊不具體。下面舉出兩例： ●「本公司資安團隊於查知遭受網路攻擊時，已全面啟動相關防禦機制，並委請外部資安公司技術專家共同處理，依法通報相關部門，已持續加強資訊安全管理。」 ●「自偵測到部份資訊系統遭受駭客網路攻擊，資訊部門已全面啟動相關防禦機制與復原作業，同時與外部資安專家協同處理。」 對此我們找來一位分析上市櫃公司年報資安揭露現況的專家解讀，他曾在2022臺灣資安大會向大家報告此事。 安永企管副總經理陳志明認為，以2022年上市櫃公司年報來看，當時雖然已經要求公司需登載公司的資安管理作為，資安風險的影響，以及發生資安事件的因應，但以資安事件的部分來說，多數公司的揭露狀況並不理想，甚至比重大訊息揭露的還要少。 不過，單就上市櫃公司的資安事件重大訊息揭露而言，儘管公告內容變得制式化，但還是有其意義，至少讓大家能意識到網路攻擊事件的發生。若是以前，這些資安事件只有等到媒體曝光，才會引起大家注意，或是只有在業界流傳，無法獲得廣泛關注。 而且，企業也不用害怕揭露重大資安事件，畢竟在2019年中美貿易戰後，以及中國長年維持清零政策，臺灣在此局勢迅速發揮出本身的優勢，事實證明，有相當多臺廠營收暴增，遠高於2018年以前的業績。加上近年國際資金熱潮，造就許多公司的股價持續攀升，對於從2021年開始發布資安事件重訊的公司，這些公司的股價與EPS依然水漲船高，並未因資安負面消息而受到嚴重影響。 陳志明指出，對於這些上市櫃公司而言，只要不是大規模、持續無法復原的情況，受到勒贖攻擊並非最痛的點。 真正對企業帶來極大影響的，是受制於廠商彼此在合約上的罰款規則，以及未來可能有損失訂單的狀況。像是一旦企業外洩合作夥伴的重要機敏資料，其壓力將遠高於主管機關的規範。 換言之，企業所面對的更大壓力，將會是在如何滿足客戶要求，以及客戶對資安的需求。 又或是企業的資安防護問題，開始在投資銀行間流傳，後續又被客戶看到，引起更多不同層面的壓力。 當然，政府監管的力道也不可小看，只是，主管機關也需要考量上市櫃公司的規模大小不一，若要一體遵循，也不適合規範太嚴。 重大訊息揭露企業資安事件的要求日趨顯著，促使公司高層關注資安 關於重訊揭露資安事件帶來的意義，洪偉淦也很有感觸。過去他在一些針對高階主管或董事會的資安演講中，說明駭客如何入侵時，大家的反應平淡，但談到重大資安事件揭露時，大家就比較敏感，會提出更多問題、想知道答案。 他認為，過去普遍企業在意資安事故的層級，就是落在資訊主管、資安主管，但是現在講到重大訊息揭露的話，公司在意的層級就會拉高，起碼負責營運執行的高階主管會注意，還有像是法務、財務、風控等，甚至公司董事會。 換言之，只要與公司重大訊息發布有關的任何狀態變化，管理階層就會意識到，這些是公司經營管理必須在意的。 企業內部人員的態度也有轉變，因為，過去資安事故發生，只要沒拖垮公司的營運或是業務，高階主管不會想瞭解太多，反正資訊單位能夠處理就好。後續的資安改善動作，往往仰賴這個資訊主管或者資安主管是否有能力，與上層好好溝通，爭取到足夠的資源。 如今我們可以想見的是，一旦要發重大訊息，這時企業將會面對投資人、股東、主管機關證交所的壓力，而對於老闆們來說，就會更想進一步理解這件資安事故的情況，以及是否要發重訊。 無論如何，在臺灣證券交易所與證券櫃臺買賣中心的規範之下，國內超過1,700家上市櫃公司，以及300多家興櫃公司，只要重大資安事故發生，將面對投資人、股東、主管機關的壓力，而這樣密切受到眾人關注的情勢，都將促使資安更被企業高層重視。 2023上市櫃公司資安事件重大訊息一覽 公告日期：1月14日 華航 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8F%AF%E8%88%AA%20logo-2.jpg" style="width: 200px;" /> 市場產業別 上市－航運業 公告標題與說明 華航針對媒體報導提出說明（針對會員資料被公開在國外論壇，說明接獲匿名網路勒贖信件後已報警及依法通報） 公告日期：2月1日 和泰車 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%92%8C%E6%B3%B0%E8%BB%8A%20logo.png" style="width: 160px;" /> 市場產業別 上市－汽車工業 公告標題與說明 澄清自由時報報導（說明旗下和雲行動服務公司的iRent資料庫個資曝險問題已改正） 公告日期：2月6日 裕融 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A3%95%E8%9E%8D%20logo.jpg" style="width: 200px;" /> 市場產業別 上市－其他 公告標題與說明 針對媒體報導提出說明（說明旗下格上汽車租賃公司會員訂單資料的可被任意查詢問題的已經有所因應） 公告日期：2月12日 華航 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8F%AF%E8%88%AA%20logo-2(1).jpg" style="width: 200px;" /> 市場產業別 上市－航運業 公告標題與說明 華航已全面加強資安系統防堵配合警方偵辦個資事件（說明查出委外電商平臺系統連線異常，5千多筆會員資料遭擷取） 公告日期：2月13日 飛宏 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A3%9B%E5%AE%8F%20logo.png" style="width: 200px;" /> 市場產業別 上市－電子零組件業 公告標題與說明 公司發生網路資安事件 公告日期：3月6日 宏致 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AE%8F%E8%87%B4%20logo.png" style="width: 200px;" /> 市場產業別 上市－電子零組件業 公告標題與說明 公司部份資訊系統遭受駭客網路攻擊事件說明 公告日期：3月8日 宏碁 <img alt="" src="https://s4.itho.me/sites/default/files/images/acer-logo.jpg" style="width: 111px;" /> 市場產業別 上市－電腦及週邊設備業 公告標題與說明 說明媒體報導（針對宏碁印度售後服務系統遭駭事件，說明係商業夥伴密碼保存與管理不當，造成產品維修等資料外洩） 公告日期：3月14日 鋼聯 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%8B%BC%E8%81%AF%20logo.png" style="width: 200px;" /> 市場產業別 上市－綠能環保 公告標題與說明 代子公司台鋼資源股份有限公司公告說明部份資訊系統遭受駭客網路攻擊 公告日期：3月28日 立德 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AB%8B%E5%BE%B7%20logo.png" style="width: 59px;" /> 市場產業別 上市－電子零組件業 公告標題與說明 電子部份資訊系統及備份系統遭受網路攻擊事件說明 公告日期：4月7日 微星 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BE%AE%E6%98%9F%20logo.png" style="width: 76px;" /> 市場產業別 上市－電腦及週邊設備業 公告標題與說明 公司部分資訊系統遭受駭客網路攻擊（同時在公司網站公告） 公告日期：4月14日 金鼎科 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%87%91%E9%BC%8E%E7%A7%91%20logo.png" style="width: 155px;" /> 市場產業別 興櫃－其他 公告標題與說明 公司部分資料遭受駭客網路攻擊事件 公告日期：5月14日 誠品生活 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%AA%A0%E5%93%81%E7%94%9F%E6%B4%BB%20logo.jpg" style="width: 128px;" /> 市場產業別 上櫃－文化創意業 公告標題與說明 說明經濟日報112年5月14日14時10分網路新聞即時報導（針對誠品疑個資外洩狀況，表示將配合數服部通知前往說明） 公告日期：5月30日 正新 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%AD%A3%E6%96%B0%E6%A9%A1%E8%86%A0%20logo.png" style="width: 150px;" /> 市場產業別 上市－橡膠工業 公告標題與說明 代子公司Cheng Shin Rubber USA, Inc公告部份資訊系統遭受駭客網路攻擊事件說明 公告日期：6月19日 環天科 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%92%B0%E5%A4%A9%E7%A7%91%20logo.png" style="width: 150px;" /> 市場產業別 上櫃－通信網路業 公告標題與說明 公司部分資訊系統遭受駭客網路攻擊 公告日期：7月24日 中華 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%AD%E8%8F%AF%E6%B1%BD%E8%BB%8A%20cmc_logo.png" style="width: 120px;" /> 市場產業別 上市－汽車工業 公告標題與說明 公司發生網路資安事件 公告日期：7月28日 大樹 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7%E6%A8%B9%20logo.jpg" style="width: 150px;" /> 市場產業別 上櫃－生技醫療業 公告標題與說明 公司遭受駭客網路攻擊事件 公告日期：8月19日 日馳 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%97%A5%E9%A6%B3%20logo.jpg" style="width: 200px;" /> 市場產業別 上市－電機機械 公告標題與說明 公司部份資訊系統遭受網路攻擊事件 公告日期：10月7日 諾貝兒 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%AB%BE%E8%B2%9D%E5%85%92_logo.png" style="width: 200px;" /> 市場產業別 興櫃－生技醫療業 公告標題與說明 公司遭受網路駭客攻擊事件 公告日期：10月27日 羅昇 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%BE%85%E6%98%87_logo.jpg" style="width: 80px;" /> 市場產業別 上市－電機機械 公告標題與說明 公司部份資訊系統遭受駭客網路攻擊 公告日期：11月12日 中華化 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%AD%E8%8F%AF%E5%8C%96%20logo.png" style="width: 180px;" /> 市場產業別 上市－化學工業 公告標題與說明 公司部份資訊系統遭受駭客網路攻擊 公告日期：11月20日 雄獅 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%84%E7%8D%85%E8%A1%8C%E7%A4%BE%20logo.png" style="width: 180px;" /> 市場產業別 上市－觀光餐旅 公告標題與說明 公司遭受駭客網路攻擊事件 公告日期：11月20日 中石化 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%AD%E7%9F%B3%E5%8C%96%20logo.png" style="width: 200px;" /> 市場產業別 上市－塑膠工業 公告標題與說明 公司遭受網路攻擊事件 公告日期：11月24日 大江 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7%E6%B1%9F%20logo.jpg" style="width: 120px;" /> 市場產業別 上櫃－生技醫療業 公告標題與說明 公司網路資安事件 公告日期：11月28日 上海商銀 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%8A%E6%B5%B7%E5%95%86%E9%8A%80%20logo.jpg" style="width: 200px;" /> 市場產業別 上市－金融保險業 公告標題與說明 公告公司受金管會裁罰案之說明（原因為金管會針對該銀行客戶資料外洩案所涉缺失開罰） 資料來源：臺灣證券交易所公開股市觀測站，iThome整理，2024年3月 <a href="https://s4.itho.me/sites/default/files/files/1170-%E5%B0%81%E9%9D%A21-600-1-B-PNG(1).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1170-%E5%B0%81%E9%9D%A21-600-1-A-PNG.png" style="width: 600px;" /></a> 威脅延續至2024 兩個月來的資安重大訊息達到9起 公告日期：1月16日 京鼎 公告標題與說明 本公司公告部份資訊系統遭受駭客網路攻擊事件說明 公告日期：1月17日 恩德 公告標題與說明 本公司公告部份資訊系統遭受駭客網路攻擊事件說明 公告日期：1月19日 柏文 公告標題與說明 本公司旗下「健身工廠」會員個資遭駭客竊取事件說明 公告日期：2月5日 美琪瑪 公告標題與說明 本公司公告部份資訊系統遭受駭客網路攻擊事件說明 公告日期：2月5日 富野 公告標題與說明 本公司旗下分公司資訊系統遭受網路攻擊 公告日期：2月15日 瑩碩生技 公告標題與說明 代子公司歐帕生技醫藥股份有限公司公告部分資料遭受駭客網路攻擊事件 公告日期：2月19日 建準 公告標題與說明 本公司發生網路資安事件 公告日期：2月26日 昶昕 公告標題與說明 本公司公告部份資訊系統遭受駭客網路攻擊事件說明 公告日期：2月29日 中華電 公告標題與說明 說明本公司疑似資訊外流事件 資料來源：臺灣證券交易所公開股市觀測站，iThome整理，2024年3月 <img alt="" src="https://s4.itho.me/sites/default/files/images/1170-%E5%B0%81%E9%9D%A21-600-2-PNG.png" style="width: 600px;" /> </div></div></div>
2024/3/8 12:07作者羅正漢https://www.ithome.com.tw/news/161666
零售一手資料的另類玩法，本土C2C龍頭從百萬賣家數據挖寶
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 零售業最寶貴的數位資產是什麼？超級個人化行銷浪潮下，「消費者數據」幾乎成為了標準答案。不過，對本土C2C電商龍頭露天市集來說，這只是答案的一半。數位行銷的目的是促成買家與賣家的交易，用過往交易數據來驅動數位行銷時，怎能只聚焦於買家？ 露天市集是臺灣零售商跨入數位行銷界的先行者。早在零售媒體聯播網浪潮的16年前，他們就開始經營零售廣告業務。一開始的商業模式較為傳統，隨著他們不斷發展廣告技術，陸續推出了即時競價（RTB，Real Time Bidding）的關聯性廣告、廣告代投放機器人等現代化數位行銷服務。2021年起，他們更開始從172萬間賣家數據下手，結合1,950萬名消費者數據，來強化商品推薦及廣告功能。 深度應用賣家數據於推薦和廣告，而不只是供應鏈管理，在零售業相當少見。催生這套奇招的幕後推手是露天市集產品長劉彥伯。資管專業出身的他具備工程基礎，加上科技業產品經理及行銷業廣告投手的經歷，使他能主導露天市集商品推薦和廣告業務的IT設計。 為百萬賣家自動分級，提升交易、推薦及廣告品質 2021年，劉彥伯剛加入露天擔任產品經理，開始關注露天有一項業界少有的數據優勢，就是大型C2C電商平臺的賣家數據。 劉彥伯解釋，露天作為一個C2C平臺，賣家上架商品門檻遠低於B2C電商。這使他們累積了172萬間賣家，收錄高達3億件商品──Momo的100倍。這個規模，使他們難以像B2C電商，用嚴謹供應鏈管理（SCM）流程來一一審查賣家商品品質及訂單履行能力。 這個情況下，他們必須打造出一套自動化賣家管理機制，兼顧平臺上的交易品質、消費者所見的推薦內容品質，以及賣家的廣告投放成效。露天的做法是，用超大量且複雜的賣家及商品數據，打造一個評分機制，根據賣家站上表現，來動態決定賣家及商品曝光情形，期望促成優良交易，來達到平臺、買家、賣家三贏。 這個機制利用ML演算法，根據上百種因素，從3個層級為賣家加減分。露天再根據綜合評分，決定商家在搜尋頁面、推薦欄位及廣告曝光的排序。這3個層級是賣場特性、銷售行為，以及商品特性。 賣場特性層級是針對會員所在地區、寄送地點分布、IP地址等賣場基本資料來進行分級。劉彥伯解釋，這個層級主要是篩選出有異常行為的海外賣家，不過自從洗錢防制法要求較嚴格的賣家實名制認證後，這類賣家已大幅減少，因此這層級對排序影響幅度較小。 銷售行為層級對排序的影響幅度較大，這包括訊息即時回應率、賣家的整體被點擊率、銷售滿意度、行銷轉換率等。劉彥伯認為，客戶滿意度高、銷售情況良好，通常代表賣家行為和商品品質優良，商品資訊不完整或不實的情況低，因此銷售行為層級評分最重要。 還有一個重要的層級是商品特性層級，會根據商品數據，以及賣家販售個別商品的情況來評分。這包括商品貼標、商品如期出貨率、金物流選項多元性等。這個層級的用意是，當賣家只有少數商品出現異常狀況，例如特定產品缺貨，不至於大幅影響整體賣家評分。 為了讓新賣家能迅速累積交易數據，來適用這套評分機制，露天會先給新賣家一個臨時分數，高於同類型賣家平均分數，以獲得靠前排序，增加交易機會。一段時間後，露天便能撤掉臨時分數，根據賣家真實表現來評分。 賣家評分機制不只會作為賣家曝光排序依據，也是露天管理異常賣家的工具。若賣家分數過低，會被標註維異常，再交由真人審查，並視狀況降低排序、限制上架數、甚至凍結帳號。 以消費者互動情況來輔助賣家數據品質管理 之所以賣家評分機制中，露天最重視銷售行為層級評分，是因為劉彥伯認為：「消費者行為數據，可以視為對賣家品質的投票。點擊率、成交率，都是投票結果。」換句話說，有大量良好交易紀錄，等於是眾多買家替賣家的品質背書。 露天也秉持這個精神，來打造商品數據雜訊過濾機制。商品上架門檻低的露天，充斥著商品標題過於冗雜、圖文不符，甚至是惡意誤植關鍵字這類用來欺騙搜尋演算法的雜訊，例如將商品標註為「非Nike」，搜尋「Nike」時便有機會被出現在搜尋結果。這些雜訊會降低商品推薦精準度及消費者體驗。雖然帶有雜訊的商品上架一陣子後，自然會因為互動率低，而被推薦演算法降低排序。不過，露天還額外設置了一個主動過濾機制，來加速淘汰這些商品。 這個過濾機制利用消費者回饋作為異常商品的「投票」。當商品點擊率、轉換率或消費者評價過低，就會被標註為異常，供人工審查。通常，這些互動率非常低的商品，都會有圖文關聯性低或資訊誤植的情況。露天便會紀錄前述「非Nike」等雜訊到黑名單中，供演算法學習、過濾。 目前做法單靠商品層級的異常訊號來過濾，仍須人工辨識雜訊。下一步，露天還打算開發更低層級的雜訊辨認機制，讓用戶能針對個別商品標籤投下「有關」或「無關」票，露天便能更細緻了解消費者眼中，每一個標籤與商品之間的關聯性。 <img alt="" src="https://s4.itho.me/sites/default/files/images/1172-%E6%8A%BD%2B%E5%8A%89%E5%BD%A5%E4%BC%AF_%E9%9C%B2%E5%A4%A9%E5%B8%82%E9%9B%86.png" style="width: 596px;" /> 攝影／洪政偉 自建網站事件分析系統，累積上千萬消費者特徵成為策略聯盟資產 不只用上百萬賣家數據來支援商品推薦及廣告業務，露天也沒有忽略經營消費者數據的基本功。他們從頭自建了一整套消費者數據蒐集和分析平臺，每天紀錄消費者進站、瀏覽、點擊、加入購物車等上千萬次事件，並用這些數據來支援後續多種應用。 露天的消費者數據應用有2大特色，一是在站內推薦時，設計了主動觀察消費者行為模式變化的機制，第二是會利用龐大消費者數據規模，來和外部零售商進行行銷策略合作。 露天推薦系統會參考兩類消費者標籤，一類是性別等客觀事實的靜態標籤，還有另一類是興趣等會隨著時間改變的動態特徵。 為了快速更新動態標籤，推薦商品時，露天的演算法不只會根據消費者興趣標籤，還會根據商品常見購買周期、商品互補性等情況，來調整推薦內容，甚至，刻意夾雜關聯性較低的物件。根據消費者點擊狀況，露天便能拓展對消費者興趣的認識，以及測試過往興趣標籤是否依然有效，並依此來新增或移除動態標籤。 舉例來說，當消費者買了一臺電腦，近期不會再買第二臺，露天會根據常見回購周期，移除電腦興趣標籤，反而會推薦互補的電腦周邊。隨著消費者與這些周邊商品的互動，露天系統能接著學習消費者對3C周邊相關的興趣。透過快速且動態地增減興趣標籤，露天推薦系統就能隨著消費者需求來動態調整。 露天追蹤消費者行為模式，不只用來關注興趣變化，還會用於預測顧客流失。當消費者展現出即將降低消費頻率的徵兆，他們會加強促銷及溝通，嘗試挽留顧客。 第二個特色是，露天發揮自家消費者數據的規模、時間深度及領域廣度，來和外部零售商進行行銷策略合作。露天與合作零售商各自提供會員數據的雜湊值，先比對出雙方重疊會員後，在會員授權範圍內交流同一人在兩邊的足跡。 18年來，露天累積了近2,000萬名消費者數據，與其他零售商有大量重疊會員。不只如此，他們坐擁上億商品，能觀察到廣泛的消費者興趣領域。這些資訊，都能對其他零售業者發揮價值。一個實例是，合作零售商的許多會員對戶外用品有興趣，比對後發現，這些會員在露天還有被貼上健身及文青標籤。合作零售商原本就想經營這些族群，但自家數據不足以支持這個方向，只有透過露天更龐大的數據比對後，才確立了這個行銷策略可行。 劉彥伯認為，露天能在站內站外靈活運用消費者數據，是因為他們從頭到尾都自行建立數據基礎建設，能依照需求熟悉運用所需工具。不只如此，他們還不斷導入新技術和做法，以確保能運用數據來滿足時下需求。 推行現代化資料治理做法，更導入MLOps加速數據應用落地 8年前，露天曾遭遇一次嚴重DDoS攻擊，使他們面臨了巨量瞬間流量考驗。這次事件，迫使露天IT大幅提升處理爆量流量的功力，之後就算是雙11這種大檔期，都不曾出現過機房資源過載。 之後，露天不再等待狀況來臨才提升自家數據處理能力，而是主動導入現代化技術及做法。2、3年前，他們開始推行資料治理升級，一方面翻新數據架構，另一方面規定標準化數據處理及存取流程。 露天新數據架構的關鍵做法是打造數據中臺。過往，數據分析師必須明確知道數據來源，並親自撈取所需數據。後來，露天更明確區分了數據工程及數據分析職位，由工程團隊打造數據中臺，建立數據集散地及分析工具，來降低分析團隊存取及分析門檻。 露天數據中臺包括了由Hadoop打造的資料湖，以及負責不同用途數據處理的ELK、Solr/MongoDB、Oracle資料庫，分別作為廣告類數據集散地、網站事件數據集散地，及ERP相關數據集散地等用途。原始數據經過ETL/ELT流程後，會先匯入Hadoop，再根據不同用途，存入其他資料庫。 數據分析師根據應用情境，到不同資料庫利用Spark、Kibana等工具探勘及分析完數據後，會再用BI工具Superset來視覺化分析結果，與其他團隊或部門溝通。劉彥伯表示，這個做法不僅增加了數據應用效率，還強化了露天用數據來跨部門溝通的風氣。 這個新數據架構還有一個特色是，強調數據處理的經驗傳承，露天會儲存過往數據分析師的查詢及存取紀錄，供後續其他分析師參考。當有類似數據分析需求時，分析人員不用從頭思考查詢指令怎麼下，或需要包含哪些數據維度。 露天7年來，總共開發迭代了上百個不同ML模型的版本。為了標準化ML生命周期，去年他們導入了MLOps工作方法，統一數據查詢、數據集整理、模型訓練及更新、API生成、模型部署等流程。這個做法使他們能快速開發、迭代ML模型，並為許多商業場景打造專屬模型。例如，網站上不同商品推薦版面內的不同功能，會分別部署了各自專屬ML模型，累計超過十多個ML模型。 露天強化數據處理及整體IT效率的腳步還沒停下。下一步，他們要整合SCM及廣告系統，來加速賣家及廣告數據同步效率，並為賣家打造CRM數據平臺功能。他們還要為內部系統打造全自動化警報系統，一有異常就會自動通知負責工程師處理。這樣不只能為工程師省去大把盤查專案狀態的時間，提升作業效率，更能提升網站服務可用性，以提供良好買家及賣家體驗。 CDO小檔案 劉彥伯露天市集產品長 學歷：國立虎尾科技大學資訊管理系 經歷：曾擔任東森購物產品與行銷經理、在雪豹科技期間擔任廣告平臺及區塊鏈交易所Bitrue的產品負責人，後來在將來銀行擔任打造純網路銀行App的專案主管，15年來在網路科技產業累積行銷及產品開發經驗。現任露天市集產品長，主導零售及行銷技術開發 <img alt="" src="https://s4.itho.me/sites/default/files/images/1172-300-%E5%8A%89%E5%BD%A5%E4%BC%AF_%E9%9C%B2%E5%A4%A9%E5%B8%82%E9%9B%86.jpg" style="width: 300px;" /> 公司檔案 露天市集 地址：臺北市大安區敦化南路二段105號5樓 成立時間：2006年 主要業務：C2C電子商務 員工數：200人 董事長：詹宏志 總經理：曾薰儀 IT大事記 ●2006年：「露天拍賣」購物網站成立 ●2008年：全站突破1,000萬物件，開始廣告業務 ●2010年：首創7-11交貨便服務 ●2012年：露天找東西APP上線 ●2015年：全站突破1億物件 ●2017年：開始自組數據團隊，開發關鍵字搜尋引擎、廣告平臺 ●2018年：建立AI人工智慧實驗室，推出RTB廣告、廣告機器人、客服機器人 ●2019年：陸續落地商品個人化推薦、搜尋等AI產品，與eBay合作海外跨境購物上線 ●2021年：自建翻譯模型 ●2022年：正式更名「露天市集」 ●2023年：導入MLOps整合多數據源與多AI模型 </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1172-960-liu_yan_bo_lu_tian_shi_ji_.jpg" width="855" height="420" alt="" title="露天市集產品長劉彥伯　（攝影／洪政偉）" /></div></div></div>
2024/3/8 09:00作者郭又華https://www.ithome.com.tw/people/161661
誠實為上策
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 這期iThome電腦報週刊封面故事的主題，是上市櫃公司的資安重大訊息，讓我想到最近讀到的一段話：「凡是一個人選擇揭露自我故事的不完美，揭露傳統上認為是缺陷的處境或條件，往往能真正反映了自我沉穩與力量的源頭。」這源自Michelle Obama在《我們身上有光》的文章，內容是向他人揭露更多自我的時機與方法。 書中還有幾段話，我認為也能詮釋企業應該勇於揭露資安事故的理由。例如，她寫道：「由於我們的社會文化容易妄下定論，我們自然常常會相信只有把自己的脆弱藏起來，才會更有安全感……當我們隱藏脆弱的一面，就永遠沒有機會知道哪些人同病相憐，或哪些人可能會懂我們的脆弱、甚至感覺自己被接住。」；「我們毫無保留誠實分享故事時，常常會發現自己不再那麼孤獨，彼此的連結也比想像中更加緊密。我們為彼此打造了全新的平臺」；「我們之所以貼近別人的生活，是因為他們展現了能安全示人的部分，以及我們願意大方以對。這樣點點滴滴累積，貼近一個個人的故事，我們便開始更完整地理解這個世界。」 當然Michelle Obama所談到的面向是個人的立身處世，對於企業而言，發生資安事故並不只是難以啟齒的祕密，可能也涉及管理疏失，因此，許多公司往往會抱持著「家醜不可外揚」的態度面對這樣的問題，希望私底下解決就好，不要張揚，以免影響商譽。 關於如何面對過失，我想可以參考許多宗教對於「懺悔」的觀點與作法。 以佛教為例，高僧大德鼓勵多多懺悔，有句名言令我印象深刻：「罪業雖無功德，但依懺悔令其清淨，就是罪業的功德。」。 而在懺悔進行的方式，也提供許多作法可供大家參考。例如《普賢上師言教》提到一套框架，指出懺悔需要具足四種對治力：所依對治力、厭患對治力、返回對治力、現行對治力。首先要向佛誠心誠意、據實告解自己的過錯，希望借助這樣的對象幫助自己清除罪業，第二是思考、認知過失造成的問題，產生慚愧與後悔，第三是因此下定決心，發誓未來不再犯下相同過失，第四是盡力行持一切能對治往昔所造惡業的善業。而這也呼應所謂的「四正勤」：已生惡令斷除、未生惡令不生、未生善能生起、已生善令增長，關鍵在於「斷惡而生善」。 這樣的道理不僅適用於個人的自我要求，對於聚集眾人的團體、組織、企業、國家而言，其實可以推動施行這樣的概念，而且不應僅止於內部要求，對外也應該主動、公開，向社會大眾告知我們的過失。 上述的作法讓我聯想到佛教的發露懺悔，「把自己的罪過在大眾面前坦誠無諱地說出來」其他宗教可能也有類似信徒公開坦承錯誤的作法，雖然現在很少在公開場合看到宗教團體呈現這樣的狀況，但在世俗的環境中，每天的新聞媒體報導都看得到個人或企業組織公開致歉，這些固然跟每個宗教對於信徒的要求有著根本的不同，就面對錯誤、疏失的態度與作法而言，的確能借鏡。 就算沒有接觸過名人的建言、宗教的心靈指引，單就我們從小到大所接受到的教育而言，其實，也有許多機會學習到如何面對錯誤、失敗。例如，在《論語》當中，至聖先師孔子稱許「不貳過」，勉勵「過則勿憚改」，強調「過而不改，是謂過矣」；在中學的英文課，我們學會諺語「Honesty is the best policy.」；在電視的連續劇和綜藝節目裡，我們更是經常聽到「坦白從寬，抗拒從嚴」這兩句臺詞。 因此，無論是從世俗或非世俗角度來看，適當的狀態揭露對於個人與組織的成長，都是有幫助的，我們難以無視犯錯、出錯或各種引以為恥的事情，想要掩飾這些狀況，可能要掰出更多謊言，有時反而欲蓋彌彰，而無法真正解決問題。基於這些考量，現在臺灣上市櫃公司的資安重大警訊發布，雖然令我們擔憂資安威脅態勢日趨惡化，但另一方面，也想對這些自願或非自願公開這些遇害狀態的企業致上敬意，雖然呈現的資訊相當有限，但這些揭露並未導致嚴重負面評價，顯示社會大眾與投資人都能冷靜看待資安風險，勢必能讓更多企業願意分享威脅態勢，相對地，臺灣的資安也將日漸茁壯，就如同今年1月總統與立委大選出現的口號「我們一起向前一步：讓改變真的發生」。 </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E4%B8%8A%E5%B8%82%E6%AB%83%E5%85%AC%E5%8F%B8">上市櫃公司</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF">資安重大訊息</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E4%BA%8B%E6%95%85">資安事故</a></div></div></div>
2024/3/8 09:00作者李宗翰https://www.ithome.com.tw/voice/161662
Chrome瀏覽器將採用共用字典壓縮技術大幅提升壓縮效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Chrome開發團隊著手在瀏覽器上實現<a href="https://developer.chrome.com/blog/shared-dictionary-compression?hl=en">共用字典（Shared dictionaries）壓縮技術</a>，使得經常更新程式碼的網站，可以進一步提高壓縮比，官方提到，共用字典壓縮甚至可以實現90％的壓縮率。開發者現在可於網站中，開始嘗試採用Brotli或ZStandard壓縮演算法的共用字典，以測試該技術對網站效能的影響。 壓縮主要是在輸入的資料中尋找重複的序列，並利用該項資訊創建一個更小的輸出，而且此過程能夠在之後逆轉。Chrome團隊指出，壓縮技術在網路應用的效果很好，因為可以大幅減少資源載入時間。無論是瀏覽器常用的Brotli還是ZStandard演算法，都能夠使用壓縮字典技術來進一步提高壓縮率。 而且Brotli和ZStandard也可以搭配針對特定資源模式的自定義字典一起使用，Chrome團隊解釋，自定義字典是一個外部檔案，可以應用於任何輸入。這些字典可以是高度針對單一應用的產品程式碼或是任何內容，而字典對於輸入的適用性，可能對整體壓縮效率產生巨大的影響，與輸入內容高度相似的字典，可以達到更高的壓縮率。 Chrome團隊以Angular框架更新為例，說明自定義壓縮字典帶來的效益。假設網站當前Angular版本為1.7.9，該版本未壓縮時約為172 KiB，在使用Brotli預設壓縮後，大小約為53 KiB，可達到近70％的壓縮率。而當開發者欲升級Angular 1.7.9到1.8.3版本，由於新版本的大小與舊版本大致相同，因此可預估使用Brotli預設壓縮的壓縮率也會大同小異。 但是如果應用自定義壓縮字典，就能夠進行增量壓縮，藉由使用之前版本的資源字典來壓縮新版本的資源，輸出將約只有4 KiB，達到98％的壓縮率，而這可以極大幅提升載入效能。要使用字典壓縮資源，瀏覽器在解壓縮時需要有相同的字典，過去採用一種稱為SDCH的流程，但是實作上存在安全性挑戰，Chrome團隊指出，在最新的共用字典壓縮提案中，已經解決了這些安全性問題，且無論是動態還是靜態資源都可獲得益處。 Chrome和其他支援該技術的瀏覽器，會透過Accept-Encoding標頭來宣告對壓縮演算法的支援，在一般情況下，標頭會包含像是gzip、br（Brotli）、zstd（ZStandard）這些常見演算法，而當啟用共用字典資源則會加上額外的旗標，Brotli會是br-d，而ZStandard則是zstd-d。 藉由添加旗標能夠告訴伺服器，瀏覽器不僅支援這些壓縮格式，同時還支援使用共用字典進行壓縮。另外，透過Available-Dictionary標頭的唯一識別碼，伺服器也可以確認瀏覽器是否擁有能夠用於解壓縮資源的字典。 靜態資源的共用字典壓縮方法，諸如JavaScript和CSS等檔案，通常不會隨每次請求改變的靜態資源，可以透過快取版本化的字典，在不同的網頁載入中重複使用。而處理動態資源的共享字典壓縮方法則稍微不同，動態資源像是HTML檔案可能根據不同上下文或是請求而變化，Chrome團隊表示，開發者可以就資源中不變的結構和模板程式碼，預先載入常用的字典，如此只有每個頁面的獨特部分需要額外被傳輸。 目前Chrome團隊對外開放共用字典壓縮技術試用，個人測試可以在Chrome瀏覽器中啟用Compression Dictionary Transport實驗性功能，而要在生產環境中試用，開發者需要透過Chrome的Origin Trial機制註冊獲取Token，並在網站上使用該Token以啟用共用字典壓縮功能。 </div></div></div>
2024/3/8 08:31作者李建興https://www.ithome.com.tw/news/161664
微軟工程主管要求董事會對Copilot Designer安全風險事件進行獨立調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟軟體工程主管Shane Jones發出公<a href="https://www.linkedin.com/feed/update/urn:li:activity:7171135079702753280/">開信</a>給微軟董事會以及FTC，就Copilot Designer背後模型DALL·E 3的潛在風險，以及微軟決策高層對他警告不夠重視提出擔憂與警告，他要求微軟董事會對相關事件進行獨立調查，並且評估微軟對當前和未來人工智慧風險的準備，同時他也敦促FTC對此事件負起教育大眾與監督企業的責任。 Shane Jones認為OpenAI DALL·E 3模型存在安全漏洞，這些漏洞允許使用者繞過一些防護措施，導致模型創建和發布有害圖像，而這些圖像可能會對於兒童或是受暴力影響的人，構成公共安全風險。 他指出，DALL·E 3會在完全良性的提示詞中，不經意地產生物化女性的圖像，同時，DALL·E 3接收與青少年相關的提示詞，還可能產生包含槍械的暴力圖像。DALL·E 3中存在的問題，在Copilot Designer中同樣存在，Shane Jones希望OpenAI對DALL·E 3進行全面審查和再訓練。 Shane Jones在去年12月的時候，曾針對這些問題在LinkedIn向OpenAI非營利董事會發出公開信，敦促他們先停止DALL·E 3的服務，直到所有問題解決。而微軟的公共暨法律事務部（CELA）在得知之後，立即要求Shane Jones刪除公開信，並且拒絕就該事件直接溝通。 Shane Jones還提到，微軟高層拒絕停止向公眾開放Copilot Designer，或是將Android應用從E for Everyone更改為Mature 17+分級，甚至還在行銷素材中使用「Anyone. Anywhere. Any Device.」等字詞，即便DALL·E 3可能生成具有政治偏見、未成年飲酒吸毒、商標濫用與陰謀論等有害圖像。 在公開信中，Shane Jones向微軟董事會提出三項訴求，第一項訴求是要求進行獨立調查，確認微軟的公共暨法律事務部（CELA）是否干涉OpenAI董事會履行其使命與章程的職責。第二項是對於微軟管理層決定繼續銷售，存在公共安全風險的人工智慧產品而不揭露其風險一事進行獨立調查，第三則是對微軟負責任人工智慧報告流程和訓練進行獨立調查，評估其應對當前和未來重大人工智慧風險的準備。 </div></div></div>
2024/3/7 23:11作者李建興https://www.ithome.com.tw/news/161659
250+學者連署呼籲AI公司提供研究安全港
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 超過250名來自MIT、史丹佛大學、哈佛大學等學術機構，以及Hugging Face、Mozilla等組織的連署人，共同發出<a href="https://sites.mit.edu/ai-safe-harbor/">公開信</a>，強調生成式人工智慧系統存在風險，呼籲人工智慧公司建立安全港（Safe Harbor）機制，供獨立人工智慧安全研究人員在遵守規範下可安心研究，而不會受到停權帳號或是法律追究等束縛。 公開信要求人工智慧公司改進政策，以保護人工智慧系統安全性和可信度。信中提到的共識，包括強調生成式人工智慧系統明顯存在風險，因此應該對高影響力的生成式人工智慧系統進行獨立評估，而這是建立問責制的重要形式。 雖然目前人工智慧的服務條款限制模型遭到惡意使用，但公開信指出，這些公司也不為獨立研究提供豁免，因此研究人員需要面對帳戶停用甚至是法律報復的處境，因此公開信訴求人工智慧公司應該提供研究人員安全港保護，讓研究人員安心研究漏洞的環境。 信中希望人工智慧科技公司所提供的安全港，可以免除善意獨立人工智慧安全性和可靠性研究的法律責任，並且希望這些企業承諾提供公平的存取權限，讓獨立審查者審核研究者的評估申請，保護遵守規則的研究者免受帳戶暫停的懲罰。 </div></div></div>
2024/3/7 23:14作者李建興https://www.ithome.com.tw/news/161660
【資安日報】3月7日，Meta旗下社群網站服務出現中斷，有3個駭客組織聲稱是他們所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 日前科技巨頭Meta旗下的社群網站臉書、Instagram、Threads同時傳出無預警大當機的情況，引起全球各界關注，但Meta始終並未說明如何發生，而這樣的情況，可能讓駭客有機可乘，假借這類事故拉擡自己的聲勢。 資安業者Cyberint發現，有3個從事DDoS攻擊的駭客組織表示是他們造成這起大當機事故，但研究人員目前尚未找到相關證據。 <h3>【攻擊與威脅】</h3> <a href="https://cyberint.com/blog/other/meta-is-down-skynet-claims-to-have-attacked/">臉書、IG、Threads發生全球大當機，3個駭客組織聲稱是他們所為，但目前尚無證據證實此事</a>  <a href="https://s4.itho.me/sites/default/files/images/meta-28.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/meta-28.png" style="width: 300px; float: right;" /></a>3月5日深夜科技巨頭Meta旗下的社群網站臉書、Instagram、Threads傳出無預警大當機，許多用戶被強制登出，但究竟什麼原因造成，該公司並未說明，如今有駭客組織聲稱是他們所為。 資安業者Cyberint發現，名為Skynet、Godzilla、Anonymous Sudan的駭客組織宣稱，這起當機事故是他們聯手對上述社群網站發動攻擊當造成，並提供多張螢幕截圖當作證據。不過，研究人員對於駭客的說法持保留態度，因為他們並未發現有關攻擊行動的證據，推測這些駭客應該只是虛張聲勢。 但由於這3個組織曾狼狽為奸，對於即時通訊軟體平臺Discord、AI聊天機器人ChatGPT發動DDoS攻擊，研究人員也不排除真有其事的可能。 <a href="https://www.theguardian.com/technology/2024/mar/06/chinese-google-engineer-arrested-stealing-ai-trade-secrets">任職Google的中國工程師涉嫌盜取AI機密，並提供給兩家中國公司運用</a>  3月6日<a href="https://www.justice.gov/opa/pr/chinese-national-residing-california-arrested-theft-artificial-intelligence-related-trade">美國司法部發出新聞稿</a>，指出現年38歲的中國工程師Linwei Ding（Leon Ding），在任職Google軟體工程師期間，涉嫌自2022年5月21日至2023年5月2日，利用職務之便，定期將Google公司的機密資料上傳到自己的Google Cloud帳號，這些資料涉及硬體基礎設施、軟體平臺，以及對應的人工智慧模型與應用程式，而這些資料疑似提供給2家中國科技公司運用。 根據起訴書的內容，此人曾在2022年6月被中國科技公司融數聯智（Rongshu Lianzhi）任命為技術長，並擁有20%股份；然後在2023年5月之前，他成立智算科技（Zhisuan）擔任執行長，並在新創企業孵化計畫的投資者會議上，宣稱他們擁有Google運算平臺的經驗，只需複製、升級，就能開發出符合中國國情的解決方案。 這名工程師被指控4項竊取商業機密的罪名並遭到逮捕，如果罪名成立，他將面臨10年監禁與100萬美元的罰款。 勒索軟體駭客BlackCat傳出從醫療支付平臺Change Healthcare收到2,200萬美元贖金，關閉網站伺服器  <a href="https://s4.itho.me/sites/default/files/images/GH1BxCfXwAARFIv.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GH1BxCfXwAARFIv.jpg" style="width: 300px; float: right;" /></a>勒索軟體駭客組織BlackCat（Alphv）傳出關閉相關伺服器的消息，資安新聞網站Bleeping Computer指出，他們看到駭客已將談判網站關閉，並在通訊平臺留下「我們決定一切都結束了」的俄文訊息，但究竟為何該組織決定收手？目前還不明朗，無從判斷是想更名、另起爐灶，還是打算進行「結束詐騙（Exit Scam，意指駭客首腦在結束營運時將未分贜的贖金洗劫一空）」，但很有可能與最近發生的攻擊事故有關。 資安業者Recorded Future研究人員Dmitry Smilyanets發現，有自稱是長期與BlackCat合作的附屬組織Notchy，聲稱近期針對大型醫療支付平臺Change Healthcare發動攻擊，竊得4 TB資料，3月1日經營該平臺的廠商Optum向BlackCat支付贖金2,200萬美元，條件是拿到解密金鑰，以及促使駭客刪除手上的資料。 然而在Optum付錢後，Notchy發現BlackCat管理層停用他們的帳號，並將加密貨幣錢包的資金提領一空。這些駭客在拿不到錢的狀態下，揚言要運用手上的資料，對Optum及其客戶、保險公司不利。 資料來源 1. <a href="https://www.bleepingcomputer.com/news/security/blackcat-ransomware-turns-off-servers-amid-claim-they-stole-22-million-ransom/">https://www.bleepingcomputer.com/news/security/blackcat-ransomware-turns-off-servers-amid-claim-they-stole-22-million-ransom/</a> 2. <a href="https://twitter.com/ddd1ms/status/1764639254016102410">https://twitter.com/ddd1ms/status/1764639254016102410</a> <a href="https://www.zscaler.com/blogs/security-research/android-and-windows-rats-distributed-online-meeting-lures">冒牌Zoom、Google Meet、Skype會議鎖定Windows、安卓用戶而來，散布RAT木馬程式</a>  <a href="https://s4.itho.me/sites/default/files/images/figure_1_6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure_1_6.png" style="width: 300px; float: right;" /></a>資安業者Zscaler揭露從去年12月出現的攻擊行動，駭客聲稱舉行Skype、Google Meet、Zoom線上會議，然後誘導使用者到冒牌的應用程式下載網站，一旦照做，電腦或手機就有可能被植入惡意程式。 值得留意的是，這起攻擊行動同時針對Windows與安卓平臺的俄語用戶而來，若是使用者下載Windows版安裝程式並執行，電腦就有可能感染RAT木馬程式NjRAT和DCRat；假如使用者下載安卓的APK安裝檔，那麼行動裝置就有可能被植入另一款木馬程式SpyNote RAT。 <a href="https://asec.ahnlab.com/en/62446/">RAT木馬程式WogRAT透過雲端文字共享平臺aNotepad散布，鎖定亞洲國家而來</a>  <a href="https://s4.itho.me/sites/default/files/images/WogRAT-85.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WogRAT-85.png" style="width: 300px; float: right;" /></a>資安業者AhnLab發現有人透過雲端文字共享平臺aNotepad散布後門程式WogRAT，特別的是，這款惡意程式不僅採用Windows可執行檔的格式，也具備Linux可執行檔（ELF）的特徵。 攻擊者從2022年底，針對香港、新加坡、中國、日本等亞洲國家而來，假借提供常見的應用程式為誘餌進行散布，雖然該惡意程式具備兩種檔案的型態，但Windows用戶是駭客的主要攻擊目標。研究人員指出，攻擊者通常會引導使用者下載惡意程式載入工具，一旦執行，就會從aNotepad下載WogRAT的原始碼，並透過Base64演算法解密，接著於受害電腦編譯該惡意程式並載入。 此後門程式首次運作時，會將受害電腦基本資訊傳送至C2伺服器，而該惡意軟體具備的功能，包含執行命令、下載或上傳檔案。根據對C2伺服器的調查，研究人員發現駭客也開始有打算對Linux主機下手的跡象，並指出駭客疑似採用開源惡意程式Tiny Shell為基礎開發相關功能。 <a href="https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000224.html">為防範個資外洩再度發生，日本政府要求Naver、Line員工身分驗證管理系統進行拆分</a>  去年11月<a href="https://www.ithome.com.tw/news/160129">Line母公司LY Corporation（LYC）發布資安公告</a>，未經授權的第三方存取該公司系統，導致客戶、合作夥伴，以及LYC與Naver員工資料外洩，而這起事故起因與兩個集團部分系統有關。對此，3月5日日本主管機關總務省發布行政指導，並指出LYC的安全管理、資訊安全政策、外部廠商管理存在疏失，要求改進。其中，總務省強調，Naver與LYC的內部身分驗證基礎架構應完全分離，並實施嚴格的存取控制。 然而，上述的防護措施若要實行，恐怕存在執行上的困難。因為，在業務上，Naver是LYC的雲端及系統營運承包商，但從經營層面來看，Naver卻掌握LYC半數股權，這樣的情況使得LYC難以對Naver提出嚴格的管理要求。 <a href="https://pma.gov.taipei/News_Content.aspx?n=C367863C93700356&sms=72544237BBE4C5F6&s=2A61A85482F5FA62">北市民營停車場網站遭駭，導致車主個資外洩，收到詐騙訊息</a>  3月5日臺北市停車管理工程處（停管處）指出，他們接獲通報，得知經營稻香大樓地下停車場的業者營運系統遭到駭客入侵，導致車主的資料外洩，並陸續有民眾收到換取合約的假訊息，內容宣稱能提供專屬的固定車位，或是年繳的優惠方案，該公司澄清他們沒有提供這樣的活動，並在停車場張貼公告，提醒車主防範相關詐騙手法。 而對於這起攻擊事件發生的過程，此停車場管理業者也提出說明，指出他們的繳費服務網站於3月2日遭到入侵，察覺異狀後於第一時間關閉網站服務，但究竟有多少民眾受害，該公司並未進一步說明。 <h3>【漏洞與修補】</h3> <a href="https://www.bleepingcomputer.com/news/apple/apple-fixes-two-new-ios-zero-days-exploited-in-attacks-on-iphones/">蘋果發布iOS 17.4、iPadOS 17.4，修補2個零時差漏洞</a> 3月5日蘋果發布iOS 17.4、16.7.6，以及iPadOS 17.4、16.7.6，當中修補兩個已遭利用的零時差漏洞CVE-2024-23225、CVE-2024-23296，影響iPhone 8、iPhone X、第5代iPad、第3代iPad Air，以及歷代版本的iPad Pro。 上述漏洞皆為記憶體毀損弱點，攻擊者一旦能任意讀寫系統核心（kernel），就有機會繞過核心對於記憶體的防護機制。其中，CVE-2024-23225存在於系統核心本身，另一個漏洞CVE-2024-23225則是存在於名為RTKit的元件。 資料來源 1. <a href="https://support.apple.com/HT214081">https://support.apple.com/HT214081</a> 2. <a href="https://support.apple.com/HT214082">https://support.apple.com/HT214082</a> <h3>【其他新聞】</h3> <a href="http://blog.sucuri.net/2024/03/from-web3-drainer-to-distributed-wordpress-brute-force-attack.html">駭客針對WordPress網站發動攻擊，再經由瀏覽網站的使用者對其他網站下手</a>  <a href="https://blog.talosintelligence.com/timbrestealer-campaign-targets-mexican-users/">墨西哥用戶遭到竊資軟體TimbreStealer鎖定，假借稅務主題為誘餌下手</a>  <a href="https://www.proofpoint.com/us/blog/threat-insight/ta577s-unusual-attack-chain-leads-ntlm-data-theft">駭客組織TA577從事網路釣魚攻擊，企圖竊得使用者的NTLM雜湊密碼進行帳號挾持</a> <a href="https://www.ithome.com.tw/news/161567">10個廠牌的智慧門鈴存在相同漏洞，允許駭客自遠端存取門鈴拍攝的影片及照片</a> <a href="https://thehackernews.com/2024/03/over-225000-compromised-chatgpt.html">逾22萬個ChatGPT帳密流入暗網兜售</a> <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/161636">【3月6日】國家級駭客跟進利用ScreenConnect漏洞並用來散布惡意程式</a> <a href="https://www.ithome.com.tw/news/161613">【3月5日】中國駭客組織Earth Lusca在臺灣總統大選前夕對關心臺海局勢的人士發動網路釣魚攻擊</a> <a href="https://www.ithome.com.tw/news/161590">【3月4日】駭客組織Savvy Seahorse從事投資詐騙攻擊並濫用DNS CNAME紀錄鎖定目標</a> </div></div></div>
2024/3/7 16:41作者周峻佑https://www.ithome.com.tw/news/161657
美國眾議院要求TikTok切斷與字節跳動的連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 美國眾議院的美國與中國共產黨戰略競爭委員會周二（3/5）<a href="https://selectcommitteeontheccp.house.gov/media/press-releases/gallagher-bipartisan-coalition-introduce-legislation-protect-americans-0" target="_blank">提出了《保護美國人免受外國對手應用程式侵害法案》</a>（Protecting Americans from Foreign Adversary Controlled Applications Act），這是由民主黨與共和黨兩黨議員共同提出的法案，將禁止美國的代管服務供應由字節跳動（ByteDance）所控制的應用程式，包括TikTok在內，除非該應用程式切斷與字節跳動的關係。 字節跳動為一總部設於中國北京的網路公司，開發了抖音及在國外名為TikTok的短影音服務並風靡全球，根據Similarweb的流量追蹤，TikTok在全球流量排名第14，在美國排名則是第23，為美國第7大社交網站。 TikTok與字節跳動的關係是個在川普時代便存在的爭議，2020年8月時美國總統川普（Donald Trump）以國安為由，發布了行政命令，打算在9月<a href="https://www.ithome.com.tw/news/139260" target="_blank">封鎖</a>TikTok，除非由美國公司接管TikTok，TikTok之後拒絕了微軟並接受甲骨文，但<a href="https://www.ithome.com.tw/news/140091" target="_top">此一交易</a>卻遲遲未成真，最後不了了之。隨後上任的拜登（Joe Biden）在2021年6月撤銷了川普對TikTok的禁令。 現在美國眾議院舊事重提，而且同時受到兩黨議員的支持，他們擔心位在中國的字節跳動，會被要求與中國共產黨合作，出賣用戶資料，進而影響美國國家安全。而新的法案則要求TikTok若不脫離字節跳動，便不准進入美國市場。 眾議員的疑慮包括中國共產黨可能透過TikTok向美國人洗腦，以社交平臺為幌子來監視及影響美國大眾，或是蒐集美國年輕人或所有公民的資料，還可控制美國用戶所看到與消費的內容。 </div></div></div>
2024/3/7 17:32作者陳曉莉https://www.ithome.com.tw/news/161658
日本政府要求Naver、Line切分IT基礎架構，防個資再外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 日本政府本周<a href="https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000224.html" target="_blank">要求</a>通訊軟體Line和股東Naver切割IT基礎架構，以防去年底傳出外洩用戶個資事情再次上演。 去年11月Line母公司Line Yahoo公司（LY Corporation，LYC）<a href="https://www.ithome.com.tw/news/160129" target="_blank">公告</a>，10月間公司遭到駭客未經授權存取，使通訊軟體Line用戶資訊外洩。外洩的資訊包括用戶個資、訊息相關的標識碼、通話日期和時間，可能也包含用戶性別及貼圖購買紀錄等。一開始LYC判斷有44萬筆用戶及員工受影響，也包含臺灣用戶。今年2月隨後再發現新增近8萬戶用戶、員工及合作夥伴資訊外流，使受影響用戶上修到超過51.9萬。但Yahoo日本聲稱未發現有個資濫用情形。 去年日本主管機關總務省要求LYC提供詳細報告，以及應對資訊管理系統進行檢討。本周總務省發布行政指導意見。總務省認為，LYC安全管理、網路安全對策及外包商管理有疏失，並提出改進要求。 根據LYC提交的報告，這起案件源於LYC和雲端外包業者Naver Cloud部分系統共用。前Line公司員工帳戶資訊是由Naver Cloud員工管理儲存。此事件中，Naver Cloud員工電腦遭到惡意程式感染，因LYC和Naver共用員工及其他個資的身分驗證系統，導致駭客藉由Naver系統入侵先前屬於LYC的內部系統。 此外，LYC AD伺服器上的員工帳戶資訊會經由HR系統和Naver Cloud的AD伺服器同步。因此LYC員工帳號資訊會分享給及儲存於Naver Cloud上。 因此，總務省要求Naver Cloud和LYC內部的身份驗證基礎架構應完全分離、實施嚴格的存取控制，以減少未經授權存取。此外，主管機關也要求LYC對AD伺服器在內的各重要伺服器和系統強化存取管理，以及強化外包商的審查，包括機密資訊的外包作業及其存取公司系統權限管理等。 事實上，日本政府也指出，Naver Cloud雖為LYC雲端及系統營運外包商，實則擁有LYC母公司一半股權，也讓LYC難以對Naver提出嚴格管理要求。 這不是LYC第一次發生外包商存取管理鬆弛事件。2021年3月，一家中國外包公司的員工被發現能夠查看該公司日本伺服器上的使用者名稱和電話號碼。 </div></div></div>
2024/3/7 14:49作者林妍溱https://www.ithome.com.tw/news/161654
Google前軟體工程師被控竊取AI機密以於中國創立公司，遭美國逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 美國司法部周三（3/6）<a href="https://www.justice.gov/opa/pr/chinese-national-residing-california-arrested-theft-artificial-intelligence-related-trade" target="_blank">表示</a>，已於紐澤西州的紐瓦克逮捕了現年38歲的Linwei Ding，因他涉嫌於Google任職期間，竊取Google的AI機密，以協助創立中國的AI公司，被指控4項與竊取商業機密有關的罪名，最多面臨10年刑期與100萬美元的罰款。 Ding是在2019年進入Google擔任軟體工程師，負責開發Google超級運算資料中心所部署的軟體，擁有存取Google機密資訊的權限，涵蓋硬體基礎設施、軟體平臺，以及這些架構所支援的AI模型與應用程式。 根據起訴書，Ding自2022年5月便開始悄悄地將存放於Google網路上的商業機密，複製到他個人的Google Cloud帳號上，直至2023年的5月，已上傳逾500個含有機密資訊的文件。他的作法是先將這些檔案存到Google發給他的MacBook筆電上的Apple Notes，將檔案轉成PDF檔，再上傳至自己的Google Cloud帳號，以躲過Google的偵測。 而Ding在2022年6月就被中國北京新創Rongshu Lianzhi任命為技術長，Rongshu Lianzhi的業務之一為開發機器學習加速軟體，Ding的每月薪資為10萬人民幣，還有20%的股份。 且隔年Ding便在中國創立了Shanghai Zhisuan Technology，主要開發可用來加速機器學習工作負載的內容管理系統，包括訓練於超級運算晶片上執行的大型AI模型。Ding還在Zhisuan的微信群組中表示，大家已經體驗了由數萬張卡組成的Google運算平臺，未來只需要複製與升級，就能發展出適合中國的運算平臺。 至於Google則是在2023年12月發現Ding的行為，那時Ding正要把更多的檔案自Google網路上傳到他的另一個Google Drive帳號上，但當時Ding人在中國。在被發現後，Ding先向調查人員保證他無意離開Google，然而同月Ding就向主管遞出辭呈，還訂了一張於今年1月從美國飛回北京的單程機票。 其實在這期間，即使持續於Google任職，Ding經常久居中國，例如在2022年10月底至隔年的3月底他都待在中國，也曾請同事以他的員工卡進入Google辦公室，營造他還在美國上班的假象。 Ding被指控4項與竊取Google商業機密有關的罪行，涵蓋了GPU及TPU晶片與系統的架構及功能，允許晶片進行通訊及執行任務的軟體，以及能夠在超級電腦上協調數千個晶片的軟體，倘若所有罪名皆成立，那麼他將面臨最高10年牢獄及100萬美元的罰款。 </div></div></div>
2024/3/7 15:03作者陳曉莉https://www.ithome.com.tw/news/161655
Cloud周報第195期：不讓GCP專美於前！AWS允許經審核的用戶遷出資料免付費
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 重點新聞（02/29～03/06） AWS 資料遷移 AWS允許用戶遷出資料免付費，但超過配額仍須經審核通過才能免費轉出 緊跟在GCP之後，雲端巨頭AWS於5日宣布跟進，即日起不再向離開的用戶收取資料遷出費用，但與GCP的政策不同的是，AWS對於用戶轉出超過一定資料量仍需經過審核，只有審核通過後才能免費進行資料轉出。 AWS原本就有提供免付費的資料傳輸服務，但設有傳輸容量的限制，每月從EC2、S3、應用負載平衡等服務轉出的資料流量上限不得超過100GB，而CloudFront資料傳輸流量則不超過1 TB。因此，企業若從AWS上遷出資料時，一旦超過了這個用量，就需要根據超出的部分支付相應的費用。這樣情況的AWS用戶占了整體的十分之一。 AWS宣布新政策後，用戶若決定停用服務將資料轉移到其他雲端供應商或本地部署，可免費進行資料遷出，只有在遷出資料量超過免費配額時，需通過AWS的審核核准後，才能免除收取大規模資料傳輸的費用，以防止其服務遭到濫用。 GCP和AWS相繼調整資料遷出政策後，等於是三大公雲中的兩家都不再向離開的用戶收取資料遷出費。外界普遍預期，微軟之後也將會跟進，不再對用戶轉出資料進行收費。 Meta 服務中斷 Meta服務遭遇技術性問題，旗下臉書、IG等社交平臺全球大當機兩小時 臺灣時間5日深夜，Meta旗下的臉書、IG、Treads等社交服務因遭遇技術性問題，導致服務中斷兩個多小時，影響包含臺灣在內全球數十萬用戶，在這段期間內皆無正常使用服務。 Meta服務中斷是發生在美東時間3月5日上午10點左右（臺灣約晚上11點），許多國外用戶紛紛湧入X平臺反應其帳戶被臉書和IG登出，無法正常登入。臺灣這時雖已接近深夜，但仍有不少臉書用戶同樣因被臉書強制登出而轉向使用P平臺抱怨。這樣的情況，直到服務中斷2小時後才恢復正常。 根據DownDetector網站的數據顯示，在高峰時期，臉書收到超過55萬份的故障回報，而IG的回報也有約9.2萬份。 Choice Hotels雲端工程副總Jason Simpson表示，透過雲端優先基礎設施，協助公司加速數位整合，使相關平臺和預訂服務能夠應對更大流量，帶來更好的收益。 針對旗下社交服務大當機，Meta發言人Andy Stone於事發後在X上坦承，因發生技術性問題，導致某些服務受影響，但沒有詳述故障原因。 BigQuery Vertex AI GCP加強資料倉儲BigQuery與Vertex AI平臺的整合，支援Gemini 1.0 Pro模型 近日，Google Cloud宣布將強化BigQuery資料倉儲與生成式AI開發平臺Vertex AI的整合，使企業可以在BigQuery中直接存取大型語言模型Gemini1.0 Pro，方便資料工程師和資料分析師在BigQuery資料中使用最新Gemini模型執行多模態和進階推理的功能。 整合Vertex AI的BigQuery資料倉儲也能支援文字和語音，現已推出預覽功能，可協助企業從文件或檔案等非結構化資料中提取數據並提供洞察，還能將非結構化資料與結構化業務資料結合，建立新的分析應用程式。 例如在BigQuery中可即時分析顧客評論，並將其與購買歷史記錄及當前產品的可用性相結合，以便產生個人化推播訊息和促銷優惠。 此外，Google Cloud在去年Next年會中發表的AlloyDB AI服務，現已全面推出，這是AlloyDB for PostgreSQL中提供的功能，可用於建立企業AI應用。 Copilot 微軟 微軟推出Copilot for Finance，可協助財務人員在Excel中完成財務對帳和財務分析 <img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(11).png" style="width: 600px; height: 321px;" /> 微軟近日推出財務人員專用的Copilot for Finance生成式AI助手的公開預覽，這也是繼今年2月推出支援業務及客服的Copilot for Sales與Copilot for Service後，微軟最新一款發表的企業生成式AI助手服務。 根據微軟說明，Copilot for Finance可連結至組織的財務系統，包括Dynamics 365和SAP等ERP系統，且在Copilot for Finance中還包含了Copilot for M365，因此可以使用Copil o t來與Word、Excel、PowerPoint、Outlook、Teams等應用程式協同作業，以支援財務工作內容。 例如，Copilot for Finance可協助財務分析師在Excel中以自然語言提示執行變異數分析，以檢查資料集是否出現異常、風險或不匹配的值，以便財務部門向管理高層的策略建議之用，了解相關財務計畫的執行成果及原因。或是藉由自動化的資料結構比較以及故障排除的指導，來簡化Excel中的對帳流程，有助於確保財務記錄的可靠及準確性。 桌面虛擬化 博通 博通以38億美元出售包含VDI桌面虛擬化在內的VMware用戶端運算業務 去年底博通完成對VMware收購後，立即全面展開組織重組以及人員精簡，近日該公司宣布將以38億美元將Vmware旗下包含遠端存取技術的用戶端運算（End-User Computing，EUC）部門出售給私募基金業者KKR。 EUC原為VMware旗下的桌面虛擬化及端點管理，或其稱數位工作區（digital workspace）的解決方案，旨在讓企業在任何裝置或平臺上都能安全連線及管理應用程式、桌機及資料。相關服務包含企業平臺Workspace ONE整合終端管理（UEM）、旗艦桌機及應用程式虛擬化平臺Horizon，以及資料、身分與工作流程共通平臺服務。 這項交易預計今年內完成。在出售後，EUC將成為一家獨立公司，並由現有管理團隊持續統率，包含其現任該部門總經理Shankar Iyer將留任。KKR表示，除了尋求新的合作夥伴關係外，新公司也將擴建業務團隊。 雲端服務市場 Canalys GenAI需求激增！全球雲服務市場2023年成長逼近兩成，破2,900億美元 <img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(5).jpg" style="width: 600px; height: 337px;" /> 市場研究機構Canalys近日公布雲端基礎設施服務市場的最新調查報告顯示，去年第4季全球雲端基礎設施服務支出成長19%，達781億美元，較前年同期增加123億美元。 2023年全年來看，全球雲端基礎設施服務總支出成長18%，達到2,904 億美元，高於2022年的2,471億美元。Canalys觀察，整體來看，一方面企業為IT架構優化而上雲的需求正逐漸減少，但另一方面，隨著生成式AI等新需求的出現，今年有望加速企業對雲端投資。Canalys預估，2024年全球雲端基礎設施服務支出可望增長20%。 從雲端供應商來看，去年第4季，AWS、Azure 和GCP三家合計市占達66%。AWS雖然仍以31%的市占領先，但與第二名微軟Azure的差距正逐漸縮小，Azure該季市占達26%，成長率更達30%，大幅領先其他兩家，反觀AWS該季成長率僅13%。至於GCP的市占為10%，增長率為25%。 圖片來源／Canalys、微軟 更多Cloud動態 1.Amazon Bedrock將上架Mistral 7B和Mixtral 8x7B兩開源語言模型 2.斥資6.5億美元，AWS收購以核動力為基礎建置的Cumulus Data資料中心 3.Stack Overflow將整合Google Cloud、讓Gemini開發人員存取知識庫 4.日本NEC的OpenRAN與vRAN架構通過VMware電信雲平臺的驗證 資料來源：iThome整理，2024年3月 <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/3/7 11:59作者余至浩https://www.ithome.com.tw/news/161653
微軟釋出Semantic Kernel for Java 1.0候選版，Python版本也進入測試階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟現在釋出<a href="https://devblogs.microsoft.com/semantic-kernel/java-1-0-release-candidate-for-semantic-kernel-now-available/">Semantic Kernel for Java第一個候選版1.0.0-rc2</a>，這個開源函式庫讓開發者更容易地在Java應用程式，整合諸如OpenAI等人工智慧服務。官方解釋，因為一些暫時性的建置工作管線故障，1.0.0-rc1被放棄了，所以1.0.0-rc2成為Semantic Kernel for Java第一個公開候選版本。 Semantic Kernel for Java是一個開源函式庫，供開發者在Java專案中整合人工智慧技術與大型語言模型，以開發人工智慧Java應用程式。微軟以MIT授權開源Semantic Kernel for Java，開發者現在已經可以在GitHub上存取程式碼，或是作出貢獻。開發者可以在Maven Central儲存庫中下載Semantic Kernel for Java 1.0.0-rc2，並將其添加到Maven或是Gradle專案中。 Java是微軟在推出.NET版本的Semantic Kernel SDK之後，下一個支援的語言，另外，Python版本的Semantic Kernel也在開發團隊的支援路線圖中，目前已經進入<a href="https://devblogs.microsoft.com/semantic-kernel/now-in-beta-explore-the-enhanced-python-sdk-for-semantic-kernel/">Beta測試階段</a>。 </div></div></div>
2024/3/7 09:26作者李建興https://www.ithome.com.tw/news/161639
Stability AI解釋即將推出的Stable Diffusion 3技術細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在Stability AI即將公開預覽的Stable Diffusion 3（SD3）之際，官方先解釋了<a href="https://stability.ai/news/stable-diffusion-3-research-paper">SD3的技術細節</a>。SD3採用專為多模態設計的MMDiT架構，能夠良好地處理圖像和文字Token資訊，使得模型整體理解和排版能力都獲得提升。SD3在基準測試上，包括提示詞遵循、排版和視覺美感，皆優於目前最先進的文字轉圖像模型。 文字轉圖像生成過程，模型需要同時考慮文字和圖像兩種模態，而SD3所採用的MMDiT新架構（下圖），便是針對多模態資料設計。與過去Stable Diffusion的版本類似，開發團隊使用預訓練模型得出適當的文字和圖樣表示，更具體的說，SD3使用兩個CLIP模型和一個T5模型來編碼文字表示，並使用一個自動編碼模型來編碼圖像Token。 <img alt="" src="https://s4.itho.me/sites/default/files/images/simplemmdit2.png" style="width: 580px;" /> SD3所使用的MMDiT架構建立在<a href="http://arxiv.org/abs/2212.09748">Diffusion Transformer（DiT）</a>的基礎之上。值得一提的是，DiT是OpenAI影片生成模型Sora的共同研究領導人William Peebles，在2023年於ICCV所發表的論文內容，同時也是Sora之所以能夠在影片生成上有重大突破的原因，DiT結合了擴散模型和Transformer的優點。 Stability AI指出，文字和圖像嵌入在概念上完全不同，因此他們對兩種模態使用兩組獨立的權重，也就是說每種模態都有兩個獨立的Transformer，只不過在運作上，是將兩種模態的序列連接起來執行注意力操作，這樣兩種表示便能在自己的空間中運作，而又同時可以考慮另一種表示。 藉由這種方法，資訊可以在圖像和文字Token間流動，以提高圖像輸出的品質，開發團隊還提到，這種架構也可以擴展至影片等多種模態。由於SD3改進了提示詞遵循能力，因此模型能夠根據用戶的具體要求，創建各種不同主題和特徵的圖像，同時還可保持圖像風格的靈活度。 SD3使用了一種稱為校正流（Rectified Flow）的公式來改善圖片品質，校正流公式會在模型學習時，把資料和雜訊以線性軌跡連接，在較直的推理路徑中生成更加清晰的圖片，並且還可減少完成的步驟。也就是讓模型在訓練的時候，透過逐漸將雜訊添加到資訊中，模型便能夠學習從具有雜訊的圖像中，恢復出原始乾淨的圖像，這讓模型學會更好的處理圖像，去除不需要的雜訊，最終生成更真實的圖像。 另外，開發團隊還在SD3訓練過程，採用了新的軌跡採樣排程，在軌跡中段給予更多的加權，使得SD3能夠更有效地生成圖像，特別是在較少採樣步驟的時候，這種改進可以協助模型在處理複雜圖像生成任務時，表現得更好。 針對SD3訓練所採用的新技術，包括使用重新分配加權的校正流公式，以及MMDiT架構主幹，Stability AI研究其對模型規模的影響，研究發現，無論是模型的大小還是訓練的時間增加，錯誤率都會逐漸減少，並使得模型效能持續上升。這代表Stability AI所採用的這些技術具有發展性，未來仍有改善模型的空間。 Stability AI在消費級硬體具有24GB VRAM的RTX 4090顯示卡上，運作80億參數的SD3模型，執行50個採樣步驟，總共花費34秒生成1024x1024的圖像。不過，Stability AI的SD3模型具有多種大小，從8億參數到80億參數都有，能夠符合不同硬體需求。 另外，SD3在處理文字採用了一個稍具規模的文字編碼器T5，擁有47億參數，這增加了模型運作需要的記憶體，在不使用T5編碼器的情況下可大幅減少記憶體，且造成很少的效能損失。雖然移除對圖像美感沒有影響，但是會降低文字遵循度，也就是說，不使用T5時，生成的圖像和文字描述可能會有一些落差，部署模型的用戶可以權衡提示詞遵循度和記憶體的限制，靈活選擇是否要移除T5編碼器。 <img alt="" src="https://s4.itho.me/sites/default/files/images/text-encoders.png" style="width: 580px;" /> </div></div></div>
2024/3/7 09:39作者李建興https://www.ithome.com.tw/news/161640
【廠商永續支援度盤點：紅帽】OpenShift開始提供容器層級的電力監控支援功能，每個Pod或命名空間每小時的能耗都能…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 紅帽從今年初開始在自家混合雲平臺OpenShift中提供了一個容器層級的電力監控工具Kepler，能用於監控雲原生應用的功耗與能耗，不僅可以查看Pod或命名空間（Namespace）叢集中每日使用CPU的整體能耗情況，還能夠細緻地檢視每個命名空間的能耗和功耗在不同時段的變化情形，提供每小時的更新頻 率。不過目前尚未支援碳排放監控功能。 在OpenShift 4.14上現已提供這款工具，供用戶進行試用。不過，現階段僅是技術預覽版，尚未推出正式版。 去年初，紅帽承諾要在2030年實現營運溫室氣體淨零排放的目標，其中在針對企業客戶節能減碳方面，紅帽計畫開發一套軟體能耗量測的方法或工具，不僅能夠蒐集和監控每個容器化應用的能耗狀況，甚至可以將其碳排放數據納入管理與追蹤。 這套工具源自於一個Kepler（Kubernetes-based Efficient Power Level Exporter）專案。這是由紅帽、IBM在2022年2月所發起，在2023年5月加入CNCF基金會沙盒的專案，利用eBPF來取得能源相關系統狀態的數據，並匯出成Prometheus指標進行監控和管理的工具。 Kepler這項工具會在每個節點中部署一個Kepler探索器，用於蒐集容器層級和節點層級的資訊，主要透過eBPF程式來追蹤CPU效能計數器和Linux核心Tracepoint機制，來蒐集即時能耗和資源利用率相關資訊，再進一步計算出每個容器或節點所消耗的kWh能耗資訊，用於監控和管理每個容器和節點的能耗情形。 Kepler還使用API從節點元件蒐集各種即時功耗資訊，例如RAPL（用於監控與管理CPU及記憶體的用電量）、NVML（GPU資源利用率管理函式庫）、ACPI（系統電源效能管理介面）、IPMI（伺服器電源監測介面）等。 為了準確預估每個容器或Pod的實際能耗，在Kepler工具中還結合機器學習模型來進行測量和預估，以提高測量模型準確性，以便根據實際的資源利用率準確地估計其功耗。同時，Kepler工具本身也整合了開源監控與資料視覺化平臺Grafana，可以視覺化方式呈現Pod或Namespace的電力消耗的情況。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9%20%E2%80%93%E5%84%80%E9%8C%B6%E6%9D%BF-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" style="width: 600px;" /> 從電力監控儀表板中，使用者不僅可以查看每日Pod或Namespace叢集中占用CPU能耗的整體情況，包括所選CPU架構和受監控指定的節點數量等，還可放大檢視每個Namespace在不同時段的能耗和功耗變化，並提供每小時的更新頻率。此外，也可以優先列出能耗過高的Namespace叢集，了解哪些容器和Pod消耗的電量最多，做為日後能耗改善的參考依據。圖片來源_紅帽 每個Pod或命名空間的能耗都能納入監控 紅帽目前雖然還沒將Kepler變成OpenShift的內建功能，但隨著去年11月，OpenShift 4.14版本的發布後，紅帽開始推出了採用Kepler專案所開發的電力監控功能的開發者預覽，讓開發者可以透過安裝外掛的方式，直接將其整合到OpenShift主控臺的儀表板上，方便用戶進行查看和分析。隨後在今年1月底，這項功能進入技術預覽階段，目前尚未推出正式版。 從電力監控儀表板中，使用者不僅可以查看每日所有Pod或Namespace叢集中占用CPU能耗的整體情況，包含所選CPU架構和受監控指定的節點數量等，還可放大檢視每個Namespace在不同時段的能耗和功耗變化，並提供每小時的更新頻率。此外，也可以優先列出能耗過高的Namespace叢集，了解哪些容器和Pod消耗的電量最多，做為加強能耗改善的參考依據。 值得注意的是，在OpenShift中這項功能目前僅提供Pod、Namespace的功耗和能耗資訊，尚未包含碳排放資訊。因此，企業必須自行將每個容器或運算節點所消耗的kWh能耗資訊乘上碳排放因子，才能夠換算出相應的碳排放量，還無法直接在OpenShift中來查看每個容器或節點的碳排狀況。 紅帽表示，透過Kepler工具能夠協助企業更容易觀察、分析、優化和記錄雲端原生應用程式的功耗，而且不僅僅是能產出相關能耗報告，還能用於建立和追蹤其碳足跡，甚至是與軟體工程CI/CD工作流程緊密結合等。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9%20%E2%80%93KEPLER-%E5%9C%963-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" style="width: 600px;" /> 紅帽最新提供的Kepler技術支援矩陣顯示了目前已支援和計畫提供技術支援情況，最底層是作業環境層（包含裸機、虛擬機器環境），再上一層是電力資訊收集層（主機板、硬體元件），最上面是應用層（Pod、容器、Process和VM）。圖片來源_紅帽 Kepler專案未來計畫提供技術支援 根據紅帽最新提供的Kepler技術支援矩陣顯示了目前已支援和計畫提供技術支援情況，涵蓋了作業環境層、電力資訊收集層，以及應用層。 首先，在底層作業環境上，Kepler現已可支援跨不同作業環境，包括裸機和虛擬機器環境，來監測每個容器化應用的能耗，之後還將支援可信賴執行環境TEE架構。再上一層是電力資訊收集層，一方面支援來自BMC/HMC硬體管理主控臺的電力數據源，未來也將能進一步支援儲存、網路以及外部的電力資訊。另一方面，Kepler支援目前主流的硬體元件及記憶體，包含CPU、GPU、DRAM記憶體和QAT加解密加速器。最上面的應用層，Kepler不只可以支援Pod、容器，還能夠提供Process和虛擬機器的支援。也就是說，即使是在非雲原生環境中，也能夠使用Kepler進行VM的能耗監測和管理。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9%20%E2%80%93%E6%B0%B8%E7%BA%8C%E7%99%BC%E5%B1%95-%E5%9C%964-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%B4%85%E5%B8%BD.png" style="width: 600px;" /> 除了Kepler專案之外，從紅帽一份雲原生永續性發展藍圖中透露出他們未來在雲原生永續發展上，還將積極推動三項雲原生永續性專案計畫及發展。由左至右分別是能夠感知功耗變化並調整工作負載排程的Peaks專案，還有專注於利用ML模型預測和調整Pod資源使用進行調度的Clever專案。最後一個發展計畫則和減碳相關，能夠自動根據容器化應用的工作負荷進行調度，將高耗能的工作負載分配到碳排放足跡較低的環境中執行。 圖片來源_紅帽 紅帽雲原生永續性發展藍圖 除了Kepler專案之外，從紅帽一份雲原生永續性發展藍圖中透露出他們未來在雲原生永續發展上將積極推動三項雲原生永續性專案及發展。紅帽提到的第一個雲原生永續性專案是Peaks專案。這是由紅帽、ET和IBM去年10月發起的專案，它是一個能夠感知功耗並調整工作負載排程的工具，使用該工具可以透過從Kepler中取得的能耗資訊以及綜合能源效率、資源利用率和硬體的相關性，進而計算出其功耗效率資訊，作為能源效率工作負載調度的參考依據，來最佳化其每瓦特效能。 第二項雲原生永續專案則是Clever專案，專注於利用ML模型來預測和調整Pod資源使用和進行調度，以便能夠根據工作負載自動擴展或縮放Pod節點，達到功耗效能最優化。 紅帽提到的最後一個雲原生永續發展方向則和減碳相關，未來能夠自動根據容器化應用的工作負荷進行調度，將高耗能的工作負載分配到碳排放足跡較低的環境中執行，確保在工作負載的生命周期內落實永續目標。除了Kepler已加入CNCF基金會沙盒專案，Peaks和Clever專案目前均已放上GitHub 上。 </div></div></div>
2024/3/7 10:02作者余至浩https://www.ithome.com.tw/news/161588
微軟開發出擅長解決數學問題的Orca-Math小型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟在其小型語言模型Orca和Orca 2的研究基礎上，發展出了<a href="https://www.microsoft.com/en-us/research/blog/orca-math-demonstrating-the-potential-of-slms-with-model-specialization/">Orca-Math</a>，這個新模型的特點在於，雖然僅為70億參數的小模型，但是經過代理指導（AgentInstruct）與迭代學習（Iterative Learning）的微調過程，其解決小學數學問題的能力已能超越大型語言模型，而數學過去被認為是對小型語言模型較困難的領域。 微軟在去年6月發表了130億參數的小型語言模型Orca，並在11月的時候更新釋出Orca 2，而Orca系列的研究貢獻在於，微軟證明改進訓練訊號和方法，能夠強化小型語言模型，使其接近大型語言模型的推理能力。Orca-Math也是依循相同的想法所開發出來的特化小型語言模型。 Orca-Math是一款以Mistral 7B模型為基礎，針對解決數學問題任務微調的70億參數語言模型，可在基準測試GSM8K pass@1達到86.81％，而這超過了通用模型LLAMA-2-70、Gemini Pro以及GPT-3.5的表現，甚至也超過專為數學開發的模型像是MetaMath-70B和WizardMa8th-70B。Mistral 7B未經微調的GSM8K準確率則是37.83％。 GSM8K是一個數學領域的資料集，全名為Grade School Math 8K，也就是小學數學8,000題的意思，這個資料集包含了8,500題高品質的小學數學應用問題，這些問題需要多步驟推理解決，因此GSM8K被設計來評估和訓練人工智慧模型，尤其是語言模型在數學領域的解題能力。 GSM8K問題涵蓋小學數學的加法、減法、乘法、除法、分數和百分比等，語言模型需要理解問題的脈絡，進行適當的計算才能得到正確的答案。整體來說，GSM8K是一個具有挑戰性的資料集，不只測試模型的運算能力，同時也評估模型以自然語言理解數學問題的能力，是評估和改進人工智慧在數學領域的重要資料集。 要能在GSM8K基準上達到超過80％準確率，通常模型參數量需要超過300億。因此該領域研究人員為了要提高小模型解決問題的能力，需要採取一些特別的方法，像是訓練語言模型生成程式或是使用計算機以避免運算錯誤，也會使用整合（Ensembling）技術，透過多次呼叫模型來重新解決問題，以提高小型語言模型的準確性。雖然Ensembling可有效提升模型效能，但是由於模型可能會被呼叫高達100次，因此運算成本也大幅增加。 微軟在Orca-Math研究中，堅持不用外部工具、驗證器以及Ensembling技術，嘗試提升模型原生能力。主要朝兩個研究方向前進，第一是代理指導，第二則是迭代學習。 過去的研究在合成訓練資料中，常會使用先進模型參考種子問題生成相似的問題，而微軟提到，為了創建更具挑戰性的問題，他們採用AutoGen多代理流程，此方法可創造更多問題範例，同時增加問題的多樣性和難度範圍。 多代理流程配置可以由建議者（Suggester）、編輯者（Editor）、驗證者（Verifier）三個代理組成，由建議者檢查問題並提出多種增加複雜性的方法，而編輯者則接受原始問題和建議者的建議，生成更新、更具挑戰性的問題，並透過迭代多輪來逐漸增加問題的複雜性，並由驗證者檢查新問題是否有解，並創建解決方案。 迭代學習是Orca-Math表現良好的另一個原因，微軟提到，使用高品質訓練資料，可引發像是解釋等更豐富的學習訊號，大幅改進小型語言模型的能力，而這種能力過去僅會在大型語言模型中出現。 微軟將這種範式應用於老師學生訓練方法，由大模型擔任老師，小模型則是學生角色。在示範教學過程，微軟使用代理指導向小型語言模型，展示問題及其解決方案，而在練習與回饋階段，小型語言模型嘗試自己解決問題，並創建多個解決方案，之後才由老師模型對這些解決方案提供回饋，當小型語言模型無法正確解決問題，則由老師模型提供解答。 微軟研究人員不只希望小型語言模型會解決問題，也希望其採用較好的解決方案，因此由老師模型回饋偏好資料，向小型語言模型展示好的與壞的解決方案，並重新訓練小型語言模型。微軟提到，練習、回饋和迭代改進的步驟，會重複多次以提升小型語言模型的能力。 微軟研究結果顯示，在有限範圍小型模型可以表現優異，Orca-Math經過20萬道數學題目的訓練，其在解決數學問題的能力，效能已經能夠與大型語言模型相競爭甚至超越。微軟公開了資料集，還有一份描述訓練程序的報告，以促進小型語言模型的發展。 </div></div></div>
2024/3/7 08:48作者李建興https://www.ithome.com.tw/news/161638
【資安日報】3月6日，國家級駭客跟進利用ScreenConnect漏洞並用來散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 2月下旬公布的ScreenConnect漏洞CVE-2024-1709、CVE-2023-1708，不久後就傳出遭到利用，而且利用這些漏洞的主要是勒索軟體駭客組織，最初被發現的是甫被執法單位圍剿基礎設施的LockBit，但隨後也傳出Black Basta、Bl00y兩個組織將漏洞用於攻擊行動。 但現在也有國家級駭客加入行列，將這項漏洞用於散布惡意軟體。Kroll旗下的威脅情報團隊發現，北韓駭客組織Kimsuky將其用於散布新的後門程式。 <h3>【攻擊與威脅】</h3> <a href="https://www.kroll.com/en/insights/publications/cyber/screenconnect-vulnerability-exploited-to-deploy-babyshark">北韓駭客Kimsuky加入利用ScreenConnect漏洞的行列，散布惡意軟體ToddleShark</a>  <a href="https://s4.itho.me/sites/default/files/images/fig-5-information-stealer-proces.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig-5-information-stealer-proces.png" style="width: 300px; float: right;" /></a>2月20日資安業者ConnectWise公布合稱為「SlashAndGrab」的ScreenConnect漏洞CVE-2024-1709、CVE-2023-1708，隨後勒索軟體駭客組織LockBit、Black Basta、Bl00dy陸續被查出正在利用這個管道發動攻擊，如今也有國家級駭客跟進。 企業金融與風險顧問公司Kroll旗下的威脅情報團隊指出，他們看到北韓駭客組織Kimsuky近期也開始利用SlashAndGrab，對方先是透過曝露的ScreenConnect安裝程式存取受害電腦，並藉由手動輸入的方式，利用cmd.exe執行mshta.exe，取得以Visual Basic打造的惡意程式ToddlerShark並執行，然後竄改Windows電腦的登錄機碼，從而允許Office軟體執行位於網際網路的巨集檔，此惡意程式會定期收集受害電腦的系統資訊，並傳送到攻擊者的C2基礎設施。 研究人員指出，此惡意程式是後門程式BabyShark、ReconShark的變種，並具備多態屬性的特性，採用隨機字串及功能程式碼定位，而能夠改變其結構，導致防毒軟體的特徵碼可能無法將其視為有害。 <a href="https://www.lookout.com/threat-intelligence/article/cryptochameleon-fcc-phishing-kit">美國聯邦通訊委員會、加密貨幣業者員工與用戶遭到網釣工具包CryptoChameleon鎖定，駭客偽造單一簽入網頁進行網路釣魚</a> <a href="https://s4.itho.me/sites/default/files/images/65df3f918e2f3cb1f4974dfb_tvrViLnFcfhNWpJWsZOCQaJLxMHHvyBOftJDxm4I5daImYd-QYaflN3tSvzZ9HGok1UYcxA5W8S2QaAuz9a2m6nfHcjWc1cpscRonYqtI73QHlXgwJwk_qIKl9vg5OBUPOknVUqZgJ9ikAKdOGddN5s.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/65df3f918e2f3cb1f4974dfb_tvrViLnFcfhNWpJWsZOCQaJLxMHHvyBOftJDxm4I5daImYd-QYaflN3tSvzZ9HGok1UYcxA5W8S2QaAuz9a2m6nfHcjWc1cpscRonYqtI73QHlXgwJwk_qIKl9vg5OBUPOknVUqZgJ9ikAKdOGddN5s.png" style="width: 300px; float: right;" /></a>資安業者Lookout揭露名為CryptoChameleon的網路釣魚套件，此套件主要功能是能打造冒牌單一簽入（SSO）網頁，從而騙取使用者的帳密資料。 研究人員從2023年下半，看到駭客將其用於攻擊美國聯邦通訊委員會（FCC）員工，也針對幣安（Binance）、Coinbase、Gemini加密貨幣業者員工或用戶而來，此外，他們也看到攻擊者針對AOL、Gmail、Okta等電子郵件服務及單一簽入服務的情況。特別的是，這些駭客策畫了複雜的網路釣魚及社交工程攻擊，運用的手法涵蓋電子郵件、簡訊，甚至也有使用語音網路釣魚。 在其中一起攻擊行動裡，受害者接到佯稱公司IT人員的電話，對方聲稱受害者的帳號遭到入侵，將會引導他們奪回帳號。接著，受害者就會收到帶有連結的簡訊，一旦點選就會被導向釣魚網頁。而對於攻擊者的身分，研究人員指出手法與駭客組織Scattered Spider相似，但尚未有足夠證據證明就是這組人馬所為。 <a href="https://www.cisa.gov/news-events/alerts/2024/02/29/cisa-fbi-and-ms-isac-release-advisory-phobos-ransomware">勒索軟體Phobos積極鎖定美國關鍵基礎設施而來</a> 2月29日美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、多州資訊共享分析中心（MS-ISAC）針對近期勒索軟體Phobos的攻擊態勢提出警告，因為他們今年2月看到新的變種出現。 這些機構指出，此勒索軟體自2019年5月活動，迄今已出現Eking、Eight、Elbie、Devos、Faust、Backmydata等多個變種，此外，勒索軟體駭客組織8Base也在去年年底，在部分攻擊行動採用Phobos。關於惡意軟體的攻擊目標，上述機構表示，長期以來，這群駭客鎖定的對象，涵蓋關鍵基礎設施、地方政府、緊急服務、教育機構、醫療單位。 一旦攻擊者成功入侵目標組織，通常會部署惡意程式載入工具SmokeLoader，或是暴力破解遠端桌面連線（RDP）服務，然後進行權限提升及偵察，最終部署勒索軟體。 <a href="https://twitter.com/DarkWebInformer/status/1763218044581462217">勒索軟體駭客宣稱攻入安瑞科技，該公司證實資訊系統遭到病毒攻擊，目前營運不受影響</a>  <a href="https://s4.itho.me/sites/default/files/images/GHg1dw4XcAAJZ-M.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GHg1dw4XcAAJZ-M.png" style="width: 300px; float: right;" /></a>2月29日勒索軟體駭客組織Dunghill聲稱入侵資安業者安瑞科技（Array Networks），但並未透露竊得的資料內容，或是對賣家開價的金額。 對此，我們詢問安瑞確認是否有此事，該公司表示子公司Array US於3月1日，偵測到資訊系統遭受病毒攻擊。截自目前調查結果，並未有客戶敏感個人資料和機密資訊遭外洩；另外，公司生產、銷售及營運皆無受到影響。 <h3>【漏洞與修補】</h3> <a href="https://www.ithome.com.tw/news/161631">JetBrains修補TeamCity身分驗證繞過漏洞</a>  3月4日開發工具供應商JetBrains針對CI/CD軟體平臺TeamCity宣布推出2023.11.4版更新，並表示本次更新的內容包含對於重要的安全性漏洞修補，以及數項軟體錯誤。而對於本次JetBrains修補的漏洞類型，皆為身分驗證繞過漏洞，影響所有本地建置版本TeamCity。 其中，CVE-2024-27198存在於網頁元件，原因與替代路徑有關，CVSS風險評分為9.8；另一個漏洞是CVE-2024-27199，則是網頁元件的路徑穿越弱點，CVSS風險評分為7.3。一旦上述漏洞遭到利用，未經身分驗證的攻擊者就有機會控制TeamCity伺服器。 值得留意的是本次漏洞的處理流程，出現通報者與軟體開發者認知不一致的情況。這些漏洞是資安業者Rapid7於2月通報，但起初JetBrains回應，希望在公開揭露前私下向客戶發布修補程式，以便讓客戶有較為充裕的時間進行處置，而Rapid7則認為這種「靜默修補（silent patching）」的行為，不僅違反他們的漏洞揭露政策，更認為這種做法是姑息惡意行為，讓大眾曝險。 資料來源 1. <a href="https://blog.jetbrains.com/teamcity/2024/03/additional-critical-security-issues-affecting-teamcity-on-premises-cve-2024-27198-and-cve-2024-27199-update-to-2023-11-4-now/">https://blog.jetbrains.com/teamcity/2024/03/additional-critical-security-issues-affecting-teamcity-on-premises-cve-2024-27198-and-cve-2024-27199-update-to-2023-11-4-now/</a> 2. <a href="https://www.rapid7.com/blog/post/2024/03/04/etr-cve-2024-27198-and-cve-2024-27199-jetbrains-teamcity-multiple-authentication-bypass-vulnerabilities-fixed/">https://www.rapid7.com/blog/post/2024/03/04/etr-cve-2024-27198-and-cve-2024-27199-jetbrains-teamcity-multiple-authentication-bypass-vulnerabilities-fixed/</a> 3. <a href="https://blog.jetbrains.com/teamcity/2024/03/our-approach-addressing-recently-discovered-vulnerabilities-in-teamcity-on-premises/">https://blog.jetbrains.com/teamcity/2024/03/our-approach-addressing-recently-discovered-vulnerabilities-in-teamcity-on-premises/</a> <a href="https://www.vmware.com/security/advisories/VMSA-2024-0006.html">VMware修補虛擬化平臺的USB控制器漏洞</a>  3月5日VMware發布資安公告，指出旗下的虛擬化平臺ESXi、Workstation、Fusion、Cloud Foundation存在4項高風險漏洞，其中較為嚴重的是記憶體釋放後濫用（UAF）漏洞CVE-2024-22252、CVE-2024-22253，這兩項漏洞分別存在於XHCI及UHCI的USB控制器，一旦攻擊者取得虛擬化主機的本機管理員權限，就有可能利用虛擬機器配置檔案（VMX）執行程式碼。 值得留意的是，這兩個漏洞在不同虛擬化平臺帶來的危險也有所差異，在VMware Workstation、Fusion的CVSS風險評為9.3分，而在ESXi的CVSS風險評分則是8.4。 <h3>【資安防禦措施】</h3> <a href="https://www.ithome.com.tw/news/161573">美國呼籲開發人員改用具有記憶體安全防護特性的程式語言</a> 美國國家網路主任辦公室（ONCD）呼籲科技業者改用記憶體安全程式語言（memory safe programming language），如Rust，從而大幅降低與記憶體存取方式有關的漏洞，並提高軟體的安全性。ONCD表示，35年來記憶體安全一直對數位生態系統帶來嚴重困擾，消除這種弱點背後的問題相當複雜，但態勢已相當緊迫，因此必須設法從開發源頭降低相關風險。 上述呼籲源於美國總統去年3月簽署的國家網路安全戰略（National Cybersecurity Strategy），這項政策特別指出，軟體供應商與服務供應商應承擔保衛美國網路空間安全的責任。 針對ONCD的呼籲，開放原始碼安全基金會（OpenSSF）公開聲援，並表明他們提倡開發人員採用這類程式語言，但對於無法遷移的開發人員，他們也提供了部分C與C++編譯器配置的強化指引。 資料來源 1. <a href="https://www.whitehouse.gov/wp-content/uploads/2024/02/Final-ONCD-Technical-Report.pdf">https://www.whitehouse.gov/wp-content/uploads/2024/02/Final-ONCD-Technical-Report.pdf</a> 2. <a href="https://openssf.org/blog/2024/02/26/openssf-supports-efforts-to-build-more-secure-and-measurable-software/">https://openssf.org/blog/2024/02/26/openssf-supports-efforts-to-build-more-secure-and-measurable-software/</a> 3. <a href="https://best.openssf.org/Compiler-Hardening-Guides/Compiler-Options-Hardening-Guide-for-C-and-C++">https://best.openssf.org/Compiler-Hardening-Guides/Compiler-Options-Hardening-Guide-for-C-and-C++</a> <h3>【其他新聞】</h3> <a href="https://media.defense.gov/2024/Mar/05/2003405462/-1/-1/0/CSI-ZERO-TRUST-NETWORK-ENVIRONMENT-PILLAR.PDF">美國國家安全局發布零信任指引</a> <a href="https://securelist.com/network-tunneling-with-qemu/111803/">虛擬化平臺QEMU遭到濫用，駭客設置秘密隧道隱匿攻擊流量</a>  <a href="https://www.trendmicro.com/en_ae/research/24/c/multistage-ra-world-ransomware.html">勒索軟體RA World濫用群組原則物件，鎖定醫療產業及金融領域而來</a>  <a href="https://blog.talosintelligence.com/ghostsec-ghostlocker2-ransomware/">勒索軟體GhostLocker 2.0鎖定中東、非洲、亞洲企業而來</a> <a href="https://asec.ahnlab.com/en/62446/">RAT木馬程式WogRAT透過雲端文字共享平臺aNotepad散布，鎖定亞洲國家而來</a>  <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/161613">【3月5日】中國駭客組織Earth Lusca在臺灣總統大選前夕對關心臺海局勢的人士發動網路釣魚攻擊</a> <a href="https://www.ithome.com.tw/news/161590">【3月4日】駭客組織Savvy Seahorse從事投資詐騙攻擊並濫用DNS CNAME紀錄鎖定目標</a> <a href="https://www.ithome.com.tw/news/161571">【3月1日】惡意程式Gtpdoor埋伏於電信網路環境從事網路間諜攻擊</a> </div></div></div>
2024/3/6 16:12作者周峻佑https://www.ithome.com.tw/news/161636
Google著手降低來自AI與SEO等低品質內容的搜尋排序
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Google周二（3/5）<a href="https://blog.google/products/search/google-search-update-march-2024/" target="_blank">宣布</a>，正在強化搜尋引擎，以讓使用者看到更多有用的資訊，降低那些專為搜尋引擎而設計，或是大規模自動化之內容的排序。 許多網站都透過搜尋引擎優化（Search Engine Optimization，SEO）來提高於搜尋引擎中的排序，它依據搜尋引擎運作的方式、主宰搜尋引擎行為的演算法、人們搜尋的內容，或是關鍵字來設計網站，然而，基於SEO的網站或內容並不見得對使用者有用，且Google發現有許多網站是專為搜尋引擎而非使用者而設計的，因此決定更新部分的核心排序系統，以釐清網頁內容對使用者是否無益，體驗是否不佳，是否專為搜尋引擎建立的，以於搜尋結果中減少那些低品質內容的數量。 其實Google在2022年便開始降低那些非原創內容的網站排序，若再加上此次的更新，估計可減少搜尋結果中的低品質及非原創內容排序。 另一方面，過去Google原本即抵制那些藉由自動化而大規模產生的低品質或非原創內容，隨著大規模建立內容的方法日益複雜，現在Google亦針對此一大規模生成內容以提高搜尋排名的濫用行為採取行動，包括自動化、人工，或是自動化加上人工產生的內容，例如假裝對熱門搜尋有答案但內容卻毫無幫助的網站。 除了上述之外，某些網站也會利用代管平臺的良好聲譽來發布低品質的內容，自今年5月5日起，Google將會將相關內容視為垃圾訊息。而那些原本擁有良好聲譽的網域在遭到棄置之後，被重新購買或用來發布無用的內容，也會被Google視作垃圾訊息。 </div></div></div>
2024/3/6 15:34作者陳曉莉https://www.ithome.com.tw/news/161633
Google揭露因應《數位市場法》而作出的搜尋及Android政策變更
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 就在歐盟《數位市場法》（Digital Markets Act，DMA）正式對業者生效（3/6）的前一天，Google<a href="https://blog.google/around-the-globe/google-europe/complying-with-the-digital-markets-act/" target="_blank">揭露</a>了為因應該法令而針對搜尋及Android政策所作的變更，在搜尋上，中介平臺的排序可能會優於個別的供應商，而在Android上的更動則包括支援搜尋引擎與瀏覽器的選擇，連結Google服務的使用者許可，以及開放更多的支付選項等。 Google表示，為了遵循《數位市場法》，他們面臨了許多艱難的取捨，例如搜尋結果的變更可能會替大型仲介機構及聚合服務業者帶來更多流量，而對飯店、航空公司、商家與餐廳等直接供應商帶來較少的流量，對消費者來說，原本由Google所開發、用來協助人們快速於網路上完成工作的功能（如不同產品的推薦），將不再以同樣的方式運作，例如Google於搜尋結果中移除了Google Flights。 不管是蘋果的iOS或是Google Android都名列《數位市場法》所規範的22項服務，與本周釋出的iOS 17.4一樣，Android上將列出使用者可選擇的各種搜尋引擎及瀏覽器，以方便使用者直接將它們設為預設值；此外，原本Google各種產品與服務之間的資料是共享的，但現在歐盟使用者可透過Google Account的設定來決定是否同意分享。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0306-Google%20DMA-600-1.png" style="width: 544px;" /> 圖片來源／Google 有別於App Store的封閉系統，Google原本就允許第三方程式市集的存在，現在則進一步改善對第三方市集的支援，也支援第三方支付系統，還允許開發者只向用戶提供自己的支付系統，不一定要支援Google Play的支付系統，也開放開發者直接將使用者導至程式以外來提供優惠服務。 現在Google也承諾讓歐洲經濟區的廣告主與行銷業者可取得不涉及用戶隱私或商業機密的額外資料，亦將在本周發表供開發者使用的資料可攜API（Data Portability API ）。 與蘋果一樣，上述的變更目前都鎖定歐盟市場，並非全球通用。 </div></div></div>
2024/3/6 15:59作者陳曉莉https://www.ithome.com.tw/news/161634
104用AI強化人力銀行功能，從寫履歷到找職缺都有虛擬顧問相伴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 104人力銀行昨（3/5）揭露自家如何運用AI，尤其是NLP技術，來強化求職網功能。這些功能囊括了求職者從履歷製作到搜尋職缺等求職歷程的不同階段，也有給企業用的職缺描述生成、企業形象文案生成等。 當求職者有預先製作好的履歷，104履歷自動輸入功能可以將原始履歷檔案轉化為104履歷格式。上傳原始PDF檔案後，系統會用CV搭配NLP技術，掃描履歷文字，再輸入內容到104履歷對應欄位，例如學歷、工作經歷等。若原始履歷中有圖片，則會將其轉化為104履歷圖片附件。104平臺暨新產品發展處副總陳仁財坦言，這個功能仍有不足之處，如果原始履歷有大量非結構化資訊，例如長篇自傳，系統會比較不容易判斷對應欄位，難以轉換到104格式履歷中。 填寫履歷時，104系統會利用自建NLP模型來理解輸入內容，再根據一系列規則表來檢查履歷是否有改善空間，並提醒求職者。例如，如果履歷內有工作經歷，但沒有填寫就職期間、工作職責、實績等，系統就會建議求職者補充這些內容。 填寫完履歷，系統還能自動摘要，方便快速呈現履歷亮點給企業。 找職缺階段，104開發了2個新AI找工作功能，一個是AI求職顧問聊天機器人，會根據求職者履歷特徵及對話中提及的職位偏好，搭配企業瀏覽履歷的行為分析結果，來推薦職缺。 另一個則是自然語言搜尋功能，系統會將輸入內容轉化為後臺RAG搜尋引擎更容易理解的結構化資訊，並提取出符合求職者語意的職缺。這樣一來，求職者搜尋時不用知道具體職缺名稱，也不用熟知104職業分類方法。 104也為企業端開發了生成式AI功能，包括職缺說明生成及企業品牌經營文案生成。前者會根據企業用自然語言輸入的職缺名稱或職務內容，來生成職缺描述範本。後者則是可以根據簡單提示文字來企業動態牆文案。這2個功能中，若企業不滿意生成結果，都可以重新生成或自行編輯 陳仁財表示，這些功能背後的技術，主要使用了104自行開發的NLP模型以及企業版ChatGPT，前者用來理解履歷內容及職缺描述，後者則負責生成任務，例如履歷亮點摘要及職缺文案生成等。 104總經理黃于純則補充，他們原本還有意開發AI面試功能，不過AI歧視風險難以完全避免，因而作罷。未來若開發類似功能，也只會用於求職者自己練習面試用，不會應用在實際面試場景。 </div></div></div>
2024/3/6 14:44作者郭又華https://www.ithome.com.tw/news/161630
蘋果正式釋出遵循歐盟《數位市場法》的iOS 17.4
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 蘋果於本周二（3/5）正式釋出了遵循歐盟《數位市場法》（Digital Markets Act，DMA）規定的iOS 17.4，蘋果於此一版本中首度開放了第三方程式市集、第三方瀏覽器引擎，以及第三方支付機制，不過這些規定都只適用於歐盟市場，蘋果在其它市場並未開放上述服務。 目前<a href="https://www.ithome.com.tw/news/158633" target="_blank">《數位市場法》主要規範</a>Alphabet、Amazon、蘋果、Meta、微軟與字節跳動等六大科技業者履行更多的責任與義務，歐盟將這些業者稱為守門員，認為它們應該要讓歐盟企業存取更公平的商業環境，避免扼殺當地新創企業的發展，進而令歐盟消費者有更好的服務與更多的選擇，並要求上述業者必須在今年的3月6日以前遵循。 自iOS 17.4開始，歐盟使用者將可從App Store以外的市集下載iOS程式；在首次開啟iOS上的Safari瀏覽器時，將會出現新的選擇螢幕，列出包括Microsoft Edge、Brave、DuckDuckGo、Opera、Firefox及Chrome等十多種不同的瀏覽器，讓使用者自行選擇裝置上的預設瀏覽器；另也支援程式中的第三方支付。 不過，即使位於歐盟的使用者可於iPhone上下載第三方程式市集，但根據<a href="https://support.apple.com/en-gb/118110" target="_blank">蘋果的說明</a>，如果只是短暫離開歐盟，還可繼續存取第三方市集，可若是離開太久（gone for too long），便無法再安裝新的第三方市集，原先自第三方市集下載的程式，也無法再自該市集取得更新。惟蘋果並未明訂「太久」的時間。 對於全球的iOS用戶而言，iOS 17.4還是有些功能上的改善，包括<a href="https://www.apple.com/newsroom/2024/03/apple-introduces-transcripts-for-apple-podcasts/" target="_blank">Apple Podcasts將提供字幕</a>，目前支援英文、法文、西班牙文與德文的播客字幕，根據蘋果的規畫，新的播客節目上線後不久，就會出現字幕功能，還可搜尋字幕，但現階段並不具備翻譯能力。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0306-iOS%2017_4-transcripts%20for%20Apple%20Podcasts.jpg" style="width: 450px;" /> 圖片來源_蘋果 另外，蘋果也於iOS 17.4及同一天發表的iPadOS 17.4上<a href="https://support.apple.com/en-us/HT214081" target="_blank">修補了4個安全漏洞</a>，分別是位於輔助（Accessibility）功能中的位置資訊外洩漏洞CVE-2024-23243，位於核心中的記憶體毀損漏洞CVE-2024-23225，RTKit中的記憶體毀損漏洞CVE-2024-23296，以及Safari隱私瀏覽上的資訊外洩漏洞CVE-2024-23256。 </div></div></div>
2024/3/6 14:53作者陳曉莉https://www.ithome.com.tw/news/161632
JetBrains緊急修補TeamCity漏洞，但惹毛通報的資安廠商
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 捷克開發工具供應商JetBrains周二緊急修補旗下TeamCity平臺軟體二個已有濫用行為的重大風險漏洞，但是遭到通報資安廠商批評，軟體業者單方向修補漏洞未告知，已違反其安全政策，揚言公布漏洞細節。 JetBrains本周一<a href="https://blog.jetbrains.com/teamcity/2024/03/additional-critical-security-issues-affecting-teamcity-on-premises-cve-2024-27198-and-cve-2024-27199-update-to-2023-11-4-now/" target="_blank">修補</a>其CI/CD工具TeamCity的CVE-2024-27198及CVE-2024-27199漏洞。兩漏洞是在2月中由Rapid 7<a href="https://www.rapid7.com/blog/post/2024/03/04/etr-cve-2024-27198-and-cve-2024-27199-jetbrains-teamcity-multiple-authentication-bypass-vulnerabilities-fixed/" target="_blank">通報</a>。其中CVE-2024-27198是TeamCity Web元件的驗證繞過漏洞，源於TeamCity的Web元件中的替代路徑，其CVSS風險值為9.8。CVE-2024-27199也是身份驗證繞過漏洞，源自於TeamCity的Web元件中的路徑遍歷問題（path traversal），CVSS風險值為7.3。JetBrains發布了軟體更新及修補程式外掛，也呼籲用戶更新軟體版本。 通常資安業者及軟體公司針對安全漏洞的新聞在此告一段落，但Rapid 7卻對JetBrains漏洞修補未告知感到不滿。雙方在2月中首次取得聯繫，2月20日Rapid 7提供二項漏洞的技術細節，也提及「協同揭露」（coordinated disclosure）的重要性，要求JetBrains提供修補時程、緩解方法及影響的軟體版本等資訊，並且提醒未告知修補是Rapid 7所謂的「靜默修補」（silent patching）行為，違反其政策。但此時JetBrains表示，這二項漏洞已在2023年11月修補過。 Rapid 7的靜默修補是指，軟體業者對資安廠商通報的漏洞，在神不知鬼不覺情況下修補起來。不公開歸功於資安研究人員，隱藏漏洞技術細節、攻擊手法、也不發布漏洞編號，認為愈少人知道對用戶愈安全。但Rapid 7指出，這種作法只會讓少部份攻擊者和惡意人士獨擁攻擊手法及防衛知識，反而陷大眾於險境。 在雙方溝通未果後，3月4日Rapid 7發現JetBrains藉由<a href="https://blog.jetbrains.com/teamcity/2024/03/teamcity-2023-11-4-is-out/" target="_blank">更新</a>去年11月的安全公告來重新發布軟體更新版本，即已在未告知情況下修補了漏洞。Rapid 7指控JetBrains的靜默修補行為，揚言將在24小時內公布漏洞細節。當天Rapid 7於是<a href="https://www.rapid7.com/blog/post/2024/03/04/etr-cve-2024-27198-and-cve-2024-27199-jetbrains-teamcity-multiple-authentication-bypass-vulnerabilities-fixed/" target="_blank">公布</a>了漏洞技術細節。同一天JetBrains正式發布新的安全公告，包括漏洞編號及發布說明。 <a href="http://www.rapid7.com/blog/post/2024/03/04/etr-cve-2024-27198-and-cve-2024-27199-jetbrains-teamcity-multiple-authentication-bypass-vulnerabilities-fixed/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0306-TeamCity-CVE-Rapid%207.jpg" style="width: 600px;" /></a> 另一家資安業者Shadowserver<a href="https://twitter.com/Shadowserver/status/1764960110659478012" target="_blank">偵測到</a>，已經有針對TeamCity CVE-2024-27198漏洞的濫用程式，目前已掃瞄到16個來源IP位址。 JetBrains<a href="https://blog.jetbrains.com/teamcity/2024/03/additional-critical-security-issues-affecting-teamcity-on-premises-cve-2024-27198-and-cve-2024-27199-update-to-2023-11-4-now/" target="_blank">表示</a>，公司政策一般保留不公開技術細節，讓客戶有時間部署防護。該公司<a href="https://blog.jetbrains.com/teamcity/2024/03/additional-critical-security-issues-affecting-teamcity-on-premises-cve-2024-27198-and-cve-2024-27199-update-to-2023-11-4-now/" target="_blank">提供2項方案</a>，一是升級TeamCity伺服器到2023年11月版本，二是修補程式外掛，供來不及安裝修補程式的用戶安裝。 <a href="http://blog.jetbrains.com/teamcity/2024/03/additional-critical-security-issues-affecting-teamcity-on-premises-cve-2024-27198-and-cve-2024-27199-update-to-2023-11-4-now/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0306-TeamCity-CVE-600.jpg" style="width: 600px;" /></a> </div></div></div>
2024/3/6 12:40作者林妍溱https://www.ithome.com.tw/news/161631
Windows 11 Subsystem明年將終止支援Android App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟<a href="https://learn.microsoft.com/en-gb/windows/android/wsa/" target="_blank">公告</a>將在2025年3月終止支援Windows 11上的Windows Subsystem for Android，但現有已安裝的Android App還可以使用一年。 Windows 11推出時，大加宣揚將可支援Android應用程式。2021年微軟並<a href="https://www.ithome.com.tw/news/147387" target="_blank">釋出</a>適用於Windows 11的Windows Subsystem for Android（WSA），讓使用者在Windows 11裝置上，執行從Amazon Appstore下載的Android應用程式。 但是在近日更新的<a href="https://learn.microsoft.com/en-gb/windows/android/wsa/" target="_blank">相關網頁上</a>，微軟說明自明年3月5日起不再支援WSA，此後微軟也不再支援Windows版Amazon Appstore及所有仰賴WSA的應用程式及遊戲程式。2024年3月5日，也就是昨日前安裝Amazon Appstore及Android App的用戶還是可以持續使用一年。 微軟<a href="https://support.microsoft.com/zh-tw/windows/%E5%9C%A8-windows-%E4%B8%8A%E5%AE%89%E8%A3%9D%E8%A1%8C%E5%8B%95%E8%A3%9D%E7%BD%AE-app-%E5%92%8Camazon-appstore-f8d0abb5-44ad-47d8-b9fb-ad6b1459ff6c" target="_blank">說明</a>，明年3月5日Microsoft Store上才會移除Amazon Appstore和Android App，但根據Amazon的<a href="https://www.developer.amazon.com/apps-and-games/blogs/2024/03/amazon-appstore-on-windows-11-discontinued" target="_blank">說法</a>，從今（6）日開始，Windows 11用戶現在已無法從Microsoft Store搜尋到Amazon Appstore及Android App。如果你是Android App開發人員，從昨日起已無法將預計執行在Windows 11上的App提交給App Store。已經上傳的現有App則還可以持續更新，直到明年此時。 <a href="http://www.developer.amazon.com/apps-and-games/blogs/2024/03/amazon-appstore-on-windows-11-discontinued" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0306-WSA-600-1.jpg" style="width: 600px;" /></a> 雖然在Windows上執行Android App對一些用戶來說相當方便，但是WSA有不少不足之處。最大的是用戶只能從Amazon Appstore下載，而非最大Android App市集Google Play Store，因此App數量及選擇相當有限。其次，用戶還必須從Microsoft Store安裝Amazon Appstore及WSA，在使用經驗上相當麻煩。最後，如果用戶想在Windows上操作Android App，例如在桌機上收發簡訊或同步桌機和Android手機，只要使用Phone Link App可以辦到，也無需使用WSA。因此，微軟終止支援Appstore及WSA或許令人意外，但影響層面應該有限。 Amazon表示，明年3月後，其Appstore在其Fire TV、Fire Tablet以及其他Android裝置上，都還會持續提供和支援。 </div></div></div>
2024/3/6 11:08作者林妍溱https://www.ithome.com.tw/news/161628
Cloudflare發布AI防火牆，保護大型語言模型不被濫用與攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Cloudflare針對大型語言模型應用推出<a href="https://blog.cloudflare.com/firewall-for-ai">Firewall for AI</a>，目的是要在大型語言模型部署之前，提供一個保護層，阻擋有問題的請求輸入模型，避免模型遭到濫用。Firewall for AI是一個針對大型語言模型設計的進階網頁應用防火牆（WAF），不只能夠偵測漏洞也提供視覺化工具，方便用戶管理人工智慧應用的安全性。 企業正大量地採用大型語言模型，但由於應用程式與網際網路連接，因此同時也引入了新的漏洞，可能遭惡意攻擊者濫用。Cloudflare提到，大型語言模型應用除了需要面對傳統網頁和API應用程式領域，諸如注入或是資料外洩等資安威脅之外，由於大型語言模型在操作上的不確定性，還須面對像是模型劫持並執行未經授權操作等問題。 而Cloudflare推出的Firewall for AI，主要是針對提示詞注入（Prompt Injection）、模型拒絕服務（Model Denial of Service），以及敏感資訊洩漏（Sensitive Information Disclosure）三種模型攻擊提供保護措施，減少被濫用的風險。 Firewall for AI的部署方式與傳統網頁應用防火牆相同，每個帶有大型語言模型提示詞的API請求都會經防火牆掃描，以偵測可能的攻擊模式和特徵。Firewall for AI可以部署在託管於Cloudflare Workers AI平臺，或是其他第三方基礎架構的模型之前，並且能夠與Cloudflare AI Gateway合併使用，透過網頁應用防火牆控制平面來控制和設定Firewall for AI。 模型拒絕服務與傳統應用程式所面對的流量攻擊（Volumetric Attack）類似，都是藉由消耗大量資源，進而導致服務品質下降或是增加模型運作成本的攻擊方式。Firewall for AI會透過速率限制策略，來控制各個對話請求的速率，以限制脈絡長度（Context Window）降低DoS的風險。 在偵測敏感資料方面，Firewall for AI讓用戶使用敏感資料偵測（Sensitive Data Detection，SDD）網頁應用防火牆管理規則集，辨識模型在回應中回傳的個人識別資訊（PII）。用戶可以在網頁應用防火牆安全事件中審查SDD的比對狀況。 目前SDD提供了一套管理規則，掃描信用卡號碼等財務資訊，以及API金鑰等機密資訊，Cloudflare將會讓用戶創建自己定義的規則。另一方面，Cloudflare也將擴展SDD，避免使用者向外部大型語言模型供應商例如OpenAI或Anthropic等，共享PII或其他敏感資訊。 而模型濫用則是一個廣泛的類別，包括提示詞注入，攻擊者透過特別設計的輸入來操縱語言模型。抑或是提交導致模型產生幻覺、不準確或冒犯性回應，甚至是偏離主題的請求等行為。另一方面Cloudflare也提到，企業也希望避免人工智慧應用生成有毒或是冒犯性的回應。 Firewall for AI會進行一系列偵測，針對提示詞注入和各種濫用，防火牆將自動尋找嵌入在HTTP請求或是JSON Body中的提示詞。一旦用戶啟用防火牆，系統將會分析每個提示詞並根據惡意可能性給予分數，搭配上機器人分數或是攻擊分數，用戶可以創建規則阻擋符合一或是兩個維度以上，具特定分數的請求，達到保護大型語言應用的目的。 要使用Firewall for AI，企業用戶需要訂閱Application Security Advanced方案。目前已經能夠使用進階速率限制與SDD功能，而Cloudflare還在開發Firewall for AI的提示詞驗證功能，預計還需要幾個月才會正式推出。 </div></div></div>
2024/3/6 09:27作者李建興https://www.ithome.com.tw/news/161627
美國運通因第三方服務供應商遭駭導致用戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 美國運通向用戶<a href="https://www.mass.gov/doc/assigned-data-breach-number-2024-210-american-express-travel-related-services-company-inc/download">發出</a>資料洩漏警示，並且已經<a href="https://www.mass.gov/doc/data-breach-report-2024/download">通報</a>監管機構。事件起因為一家在買家和賣家之間，負責處理信用卡交易的第三方服務供應商，其系統遭駭客入侵，發生未授權存取事件，導致部分美國運通卡會員的帳戶資訊外洩，但美國運通強調，公司系統並未受此事件影響。 已知洩漏的資訊包含美國運通卡帳戶號碼、用戶姓名，以及諸如到期日等資訊，目前外界並不清楚受影響的用戶數量。美國運通正在監控這些帳號是否被用於詐騙，官方也提醒，用戶信用卡若仍在啟用狀態，可定期登入帳戶查看對帳單，尤其是在接下來12到24個月之間。 針對因資料洩漏所產生的盜刷行為，官方強調用戶無須對費用負責，並且建議用戶啟用美國運通應用程式的通知功能，以即時接受詐騙警告和購買通知。 </div></div></div>
2024/3/5 22:55作者李建興https://www.ithome.com.tw/news/161626
【資安日報】3月5日，中國駭客組織Earth Lusca在臺灣總統大選前夕對關心臺海局勢的人士發動網路釣魚攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 上個月有資安業者Trellix揭露針對臺灣總統大選而來的網路攻擊行動，並指出攻擊行動在投票日前24個小時達到高峰，駭客的目的是收集特定候選人情資。而針對這場選舉而來的網路攻擊不僅止於此，最近有研究人員公布與此有關的資安威脅活動。 趨勢科技近期公布中國駭客組織Earth Lusca的網路釣魚攻擊，巧合的是，這起事故發生在選舉前2天，駭客疑似透過地緣政治議題來引誘使用者上鉤。 <h3>【攻擊與威脅】</h3> <a href="https://www.ithome.com.tw/news/161607">中國駭客組織Earth Lusca使用地緣政治議題為誘餌，在臺灣總統大選前夕從事網釣攻擊</a>  <a href="https://s4.itho.me/sites/default/files/images/Eath Lusca Timeline.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Eath%20Lusca%20Timeline.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技指出，他們長期追蹤的中國駭客組織Earth Lusca，從去年12月至今年1月，從事網路釣魚攻擊，其中使用談論兩岸地緣政治議題的文件檔案，但引起研究人員關注的地方在於，該檔案在臺灣總統大選投票日的兩天前（1月11日）建立，其內容疑似盜用尚未發表的臺灣地緣政治專家文章。對此，他們認為這些政治專家或所屬組織也遭到入侵，駭客才能盜用這些文章。 另一方面，他們也根據這起攻擊行動使用的工具及手法，發現該駭客組織與與日前資料外洩的中國資安業者安洵（i-Soon）可能有高度關連，但兩者之間的關係仍有待進一步調查。 <a href="https://www.nis.go.kr:4016/CM/1_4/view.do?seq=286">韓國2家晶片廠遭北韓駭客鎖定，工程資料外洩</a>  3月4日韓國國家情報院（NIS）針對半導體業者提出警告，揭露北韓駭客去年下半開始集中針對該產業進行網路攻擊。對方主要使用寄生攻擊（LotL）手法，使用目標伺服器的合法程式從事攻擊，而且大幅減少惡意程式碼的使用，進而隱匿攻擊行動。其中，有兩家公司分別在去年12月和今年2月，他們的組態管理伺服器（configuration management server）及資安政策伺服器（security policy server）遭到入侵，導致產品設計圖、生產設施的照片被偷走。 而對於北韓駭客集中火力針對韓國半導體產業的原因，很有可能是北韓遭到制裁晶片而難以取得這些產品，再加上衛星、飛彈等軍事系統的開發，導致需求增加，NIS認為，北韓可能打算竊取相關技術，自行生產所需的晶片。 <a href="https://www.bleepingcomputer.com/news/security/american-express-credit-cards-exposed-in-third-party-data-breach/">美國運通信用卡資料外流，起因是第三方支付處理業者的系統被入侵</a>  美國運通近日向麻薩諸塞州通報他們發生資料外洩事故，指出他們得知許多商店合作的支付處理業者遭駭，導致客戶的信用卡資料可能外洩，這些資料包含卡號、姓名、有效期限，但該公司強調本身的系統並未受到影響。 不過，究竟有多少客戶受到影響、攻擊發生的時間，以及支付處理業者的身分，美國運通並未透露。  <a href="https://www.theguardian.com/technology/2024/feb/29/pegasus-surveillance-code-whatsapp-meta-lawsuit-nso-group">美國法院要求NSO Group交出間諜軟體Pegasus原始碼</a>  2019年10月Meta控告駭入即時通訊軟體WhatsApp的間諜軟體製造商NSO Group，最近有新的進展，根據衛報的報導，法官要求該公司必須提供Meta間諜程式Pegasus的原始碼，以及WhatsApp用戶遭到攻擊前、後1年的所有版本間諜軟體，並包含全部的功能模組。 由於此事牽涉軟體與行動裝置產業的安全，微軟、Google、思科、GitHub、LinkedIn、VMware、網際網路協會（Internet Association）皆曾出面聲援Meta。 <h3>【資安產業動態】</h3> <a href="https://github.blog/2024-02-29-keeping-secrets-out-of-public-repositories/">因應開發者程式碼不慎外洩帳密資料過於浮濫，GitHub宣布全面預設啟用「推送保護」機制</a>  <a href="https://s4.itho.me/sites/default/files/images/Prevent-secret-leaks.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Prevent-secret-leaks.jpg" style="width: 300px; float: right;" /></a>2月29日程式碼儲存庫GitHub宣布，有鑑於意外洩露的API金鑰、Token，以及其他機敏資訊（統稱為secrets）不慎洩露的情況太過氾濫，他們在2024年前8週的時間，在公共儲存庫偵測到超過100萬個曝光的機敏資訊，相當於每分鐘就有至少10筆這類資料出現。對此，他們宣布，所有用戶提交至公開儲存庫的內容，預設啟用「推送保護（Push Protection）」的功能，希望能藉此防堵機敏資訊不慎被開發人員程式碼曝光的情況。 這項防護措施去年5月先針對儲存庫的管理者開放啟用，到了8月，該公司宣布開發人員可針對自己上傳的所有程式碼，在提交時進行相關的檢查。 <h3>【資安防禦措施】</h3> <a href="https://www.ithome.com.tw/news/161545">拜登發布行政命令，禁止敏感個資輸出至敵對國家</a>  2月28日美國總統拜登發布行政命令，指出由於企業大量收集個資並交給資料掮客獲利，但這類公司很有可能將其賣給外國情報機構，不只會造成嚴重的隱私問題，甚至有可能引發國家安全的隱患，對此，他指示司法部制訂法規，明確規範美國民眾敏感個資免於遭到特定國家的存取和利用，這些資料範圍涵蓋基因、生物識別、個人健康、地理位置、財務，以及某些能夠識別個人的資料，當局也將加強對於政府敏感資料的保護。 同時，司法部與國土安全局將設立高安全標準，防止特定國家透過投資、供應商、承攬關係等商業手段來取得該國人民個資。此外，美國電信服務部門外國參與評估委員會也在審核海底電纜許可的過程，評估對美國民眾敏感個資帶來的潛在威脅。 對此，司法部表示將會徵求公眾意見，首波打算將中國、俄羅斯、伊朗、北韓、古巴、委內瑞拉列為重點關注國家。 資料來源 1. <a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/02/28/fact-sheet-president-biden-issues-sweeping-executive-order-to-protect-americans-sensitive-personal-data/">https://www.whitehouse.gov/briefing-room/statements-releases/2024/02/28/fact-sheet-president-biden-issues-sweeping-executive-order-to-protect-americans-sensitive-personal-data/</a> 2. <a href="https://www.justice.gov/opa/pr/justice-department-implement-groundbreaking-executive-order-addressing-national-security">https://www.justice.gov/opa/pr/justice-department-implement-groundbreaking-executive-order-addressing-national-security</a> <h3>【其他新聞】</h3> <a href="https://www.cna.com.tw/news/asoc/202403040057.aspx">竊取晶圓製程投靠中國廠商，南亞科前員工被判1年10個月</a>  <a href="https://therecord.media/new-predator-spyware-infrastructure-identified">研究人員在11個國家發現新的攻擊基礎設施，疑被用於間諜軟體Predator攻擊</a>  <a href="https://www.bleepingcomputer.com/news/security/blackcat-ransomware-turns-off-servers-amid-claim-they-stole-22-million-ransom/">勒索軟體駭客BlackCat聲稱從醫療支付平臺Change Healthcare收到2,200萬美元贖金，然後關閉網站伺服器</a>  <a href="http://gur.gov.ua/content/soft-shyfry-sekretni-dokumenty-kiberfakhivtsi-hur-zlamaly-minoborony-rosii.html">烏克蘭駭客聲稱入侵俄羅斯國防部伺服器</a>  <a href="https://www.darkreading.com/vulnerabilities-threats/voltzite-zaps-african-utilities-volt-typhoon-onslaught">海康威視修補安全管理系統的高風險漏洞</a>  <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/161590">【3月4日】駭客組織Savvy Seahorse從事投資詐騙攻擊並濫用DNS CNAME紀錄鎖定目標</a> <a href="https://www.ithome.com.tw/news/161571">【3月1日】惡意程式Gtpdoor埋伏於電信網路環境從事網路間諜攻擊</a> <a href="https://www.ithome.com.tw/news/161549">【2月29日】Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式</a> </div></div></div>
2024/3/5 17:25作者周峻佑https://www.ithome.com.tw/news/161613
GovTech月報第27期：氣象署靠新超級電腦提高象氣預報精細度；數位部要用數位簽章打擊投資詐騙廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 重點新聞(0125~0229) 超級電腦 氣象 氣象署啟用新一代超級電腦，強化氣象預報對抗極端氣候 全球極端氣候影響，為提升我國氣象預報能力，交通部中央氣象署近期啟用第6代超級電腦，取代使用多年的前一代系統，新的超級電腦耗費3年時間建置完成，採用Arm架構處理器，總算力達到10PFlops，使現有氣象預報區域水平解析度，從3公里縮減至1公里，提升對區域內複雜地形的預報精細度。 新的超級電腦採用富士通的「富岳」超級電腦技術，採用台積電7奈米製程的Arm架構A64FX處理器，內建48個核心及4個輔助核心，氣象署更以新的超級電腦，在去年11月最新的全球500大超級電腦排名中取得第69名，目前已用於氣象預報作業。 除了CPU架構，氣象署也建置一套由192個Nvidia A100 GPU建置的系統，未來將和相關的產學及國網中心合作，主要用於AI氣象應用開發，包括開發可適用於臺灣鄰近區域的AI高解析度區域天氣預報模式，以解決現有氣象作業時效的瓶頸。 數位部 數位簽章 數位部將要求網路平臺登刊廣告使用數位簽章，加速KYC審核流程、打擊投資詐騙廣告 <img alt="" src="https://s4.itho.me/sites/default/files/images/ES-4.jpg" style="width: 600px; height: 400px;" /> 為杜絕網路平臺上的投資詐騙廣告，數位發展部長唐鳳近期指出，數位部身為網路平臺的主管機關，將和Line、臉書等平臺業者合作，要求廣告刊登採用數位簽章，一方面協助業者自動化KYC審核流程，另方面也能從源頭管理打擊投資詐騙廣告。 行政院近期通過數位部提出的電子簽章法修正草案，接下來將送立法院審議，修正草案重點之一是明定電子簽章與數位簽章的關係，並明定數位簽章因具有政府許可的憑證機構所發憑證，在法律上可推定具有本人親簽或蓋章的效力。 由於數位簽章具有本人親簽效力，數位部舉例說明，目前在Meta的臉書或IG刊登政治廣告，要求平臺盡到KYC責任，由刊登者提供身分證正反面影本資料，由網路平臺業者人工審核，未來若是修法通過，就可以數位簽章自動化KYC審核流程；另外，在打擊投資詐騙廣告方面，目前網路平臺刊登投資廣告，經檢舉後24小時內才會下架，數位部將與金管會、內政部合作，要求刊登廣告需使用數位簽章，一互檢警認定廣告為詐騙時，透過聯防機制，通知其他平臺對同一身分簽署者刊登的廣告也要下架，加強源頭管理打擊詐騙廣告。 無人機 救災 提高防救災效率及人員安全，政院將投入6.6億元採購無人機、救災機器人 為提升救災效率及現場救難人員安全，行政院近期通過決議，將花費6.6億元，協助22各縣市採購無人機、救災機器人，包括從空中拍攝災害現場畫面，或是利用救災機器人執行高危險性救援工作。 該計畫是由內政部消防署提出，計畫採購88組無人機、救災機器人88臺，結合設備操作、訓練計畫，供各縣市消防單位救災使用。行政院長陳建仁指出，透過無人機、救災機器人採購，強化第一線消防救災能量，並確保救災人員安全，蒐集空拍資訊，作為指揮作業的決策參考。 消防署長蕭煥章表示，去年屏東發生明揚大火，導致多位消防人員傷亡，經檢討可強化科技救災能量，因此政府擬投入6.6億元充實直轄市、縣市消防機關的無人載具裝備，以因應化學工廠、鐵皮工廠等救災工作，包括陸地上利用救災機器人進行高危險性救災工作，並由空中的無人機拍攝災害現場畫面。 根據消防署統計，國內原本就有261臺無人機、34臺救災機器人，此次2024年無人載具裝備採購計畫再增加88臺無人機、88臺災機器人，2025年在建構國家安全化學與韌性永續計畫之下，預期再以4.6億元經費採購72臺無人機、33臺救災機器人，國內累積將有421臺無人機及155臺救災機器人。 AI 少子化 日本政府運用AI輔助男女配對提高婚姻率，試圖解決少子化人口危機 由於結婚人數逐年下滑，日本政府面臨少子化的人口危機問題，除了傳統婚配媒合之外，也運用大數據、AI等技術，來提高男女「婚活」相親配對的成功率，希望能挽救逐年減少的日本人口。 日本政府擔憂出生率下降，該國已將出生率連年下降視為重大危機，日本首相岸田文雄曾宣布國家緊急狀態，祭出一系列措施扭轉人少子化的趨勢，其中一項是，政府以經費補助運用AI技術協助的婚活聯誼活動，根據統計，2023年3月為止，在日本的47個都道府縣中，包括東京都在內有31個提供相關的配對服務。 有別於傳統相親大多以年齡、收入、職業等條件進行配對，日本政府希望透過AI找出可能潛在配對條件，他們利用AI分析個人資訊，包括來自婚姻介紹中心的資訊、參加者填答的問卷，甚至一些地方政府會將參加者的網路瀏覽紀錄也納入AI演算法。由於AI輔助的婚活配對條件更廣，有成功配對者坦承和原本不會考慮的伴侶見面。 空氣品質 AI 臺中港設空維區科技執法，檢驗合格車輛比率提高至9成 <img alt="" src="https://s4.itho.me/sites/default/files/images/AIR.jpg" style="width: 600px; height: 393px;" /> 為維護空氣品質，臺中市環保局自2021年公告畫設臺中港空氣品質維護區，在臺中港管制站利用車牌辨識技術，對進入臺中港大型柴油車輛進行辨識，以找出違規車輛，經過近2年的宣導，空維區在2023年9月正式生效，近期臺中市環保局公布合格車輛已提高至9成。 根據臺中市環保局規定，進入臺中港空維區主要管制車輛為1999年6月30日以前出廠的大型柴油車，凡是進入臺中港應取得前一年排煙檢驗合格，環保局在臺中港7個管制站設置車牌辨識系統，利用科技執法取代人工方式，全天候掌握進入車輛，自動比對找出違規車輛，如發現違規車輛則要求改善，若未改善且通行空維區則按次處罰，累計至今已開罰134件違規。 在宣導期間，進入車輛的合格率顯著提高，例如在2022年合格率約3成，2023年10月提高到85.5%，到2024年1月已提高至90.8%。由於畫設空維區的成效良好，環保局計畫將臺中港的成功經驗擴大到遊憩地點，例如目前已完成水湳生態公園、中央公園、谷關風景區等3個空維區草案規劃及意見收集，未來送至環境部審核，核定後予以公告。 無人機 交通 美俄亥俄州將測試無人機交通監控計畫 無人機除了軍事、救災等用途，美國俄亥俄州近期獲得FAA聯邦航空管理局同意，將在哥倫布市郊一段高速道路上，測試利用空中無人機施行交通監控，以補足地面攝影機的不足，未來應用在交通管理。 由於該無人機交通監控計畫，會在市郊一段高速道路上，由地面操控員控制進行視線外的飛行，飛越因此需獲得FAA核可。俄亥俄州政府將利用無人機，在哥倫布市西北方的33號公路長4英里路段操控飛行，該路段被設計為智慧道路，設置光纖電纜、道路感測器及其他設備，用以測試未來的汽車技術。 該無人機具備感測器，以偵測附近飛行載具，相較於設置於地面的攝影，無人機在空中可以更靈活，用於監控碰撞或減速，並且協助救援任務，在緊急事件發生時，協助緊急救援人員應對。 英國 AI 英國利用生成式AI提高政府工作效率 英國首相Rishi Sunak上任後，積極推動政府部門運用AI提升工作效率，近期英國政府透露內部正在試用生成式AI工具，用來協助政府部門回應諮詢，以及編寫回應議會的答覆。 這些AI工具包括由政府管理的ChatGPT版本，以及開源的AI模型，幫助英國內閣編寫議員對部長的提問答覆，或是基於資訊自由向政府索取的資訊，編寫的內容仍會由人工進行檢視，並且產生的內容確實引用來源，並且可以被驗證。 英國政府認為，AI不適合用於有爭議、高度敏感的領域，但是適合用於常規的政府工作，例如過去對於公眾諮詢的答覆，要花費不少人力及時間處理，英國政府試圖運用AI工具，閱讀、摘要、分類對公眾諮詢的答覆。 圖片來源／氣象署、數位部、臺中市環保局 更多GovTech動態 1.南投縣政府建立5G緊急救護機制 2.數位部將提出AI評測指引 資料來源：iThome整理，2024年2月 </div></div></div>
2024/3/5 18:48作者蘇文彬https://www.ithome.com.tw/news/161611
蘋果M3處理器進駐MacBook Air
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 繼去年10月<a href="https://www.ithome.com.tw/news/159571" target="_blank">發表</a>M3系列處理器，以及搭載M3的MacBook Pro與iMac之後，蘋果周一（3/4）<a href="https://www.apple.com/newsroom/2024/03/apple-unveils-the-new-13-and-15-inch-macbook-air-with-the-powerful-m3-chip/" target="_blank">宣布</a>，M3處理器已進駐13吋及15吋的MacBook Air，最低配置的售價分別為1,099美元（新臺幣35,900元）與1,299美元（新臺幣42,900元），美國預計於3月8日上架，臺灣則尚未公布上市日期。 M3處理器在效率上比M1快上50%，比M2快上30%，神經引擎的效能則是比M1快上60%，比M2快上15%。它讓MacBook Pro的電池續航力達到22小時，而在MacBook Air上的電池續航力亦有18小時。 M3版MacBook Air的規格基本上與M2版MacBook Air差不多，主要的差異在於處理器，以及前者支援Wi-Fi 6E標準，後者則支援Wi-Fi 6。 不少蘋果粉絲認為，蘋果最令人驚豔的處理器產品就是第一代的M1，之後就是屬於例行性的更新，沒有太多驚喜。不過，相較於過去採用英特爾核心的MacBook Air，M3版MacBook Air的效能是它的13倍，相較於採用Intel Core i7處理器的PC筆電，M3版MacBook Air則有2倍的效能，瀏覽速度可快上50%，電池續航力亦多出40%。 根據Gartner在去年第四季針對全球PC出貨量的<a href="https://www.gartner.com/en/newsroom/press-releases/01-10-2024-gartner-says-worldwide-pc-shipments-increased-zero-point-three-percent-in-fourth-quarter-of-2023-but-declined-fourteen-point-eight-percent-for-the-year" target="_blank">調查</a>，該季全球PC出貨量為6,330萬臺，成長0.3%，前三名依序是聯想（市占率25.6%）、HP（22.0%）與Dell（15.8%），而蘋果則以10%位居第四，不過，在前四名的業者中，蘋果該季出貨量的成長幅度最高，成長了7.2%。 </div></div></div>
2024/3/5 15:01作者陳曉莉https://www.ithome.com.tw/news/161612
Google祭出500萬美元獎金尋找量子電腦應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Google<a href="https://blog.google/technology/research/google-gesda-and-xprize-launch-new-competition-in-quantum-applications/" target="_blank">贊助</a>發起一項XPRIZE競賽，將提供500萬獎金鼓勵研究人員開發量子應用解決真實世界所需。 名為<a href="http://www.xprize.org/prizes/qc-apps" target="_blank">XPRIZE量子應用大賽</a>的活動，是由Google Quantum AI及Google.org，連同研究機構GESDA（Geneva Science and Diplomacy Anticipator）贊助XPRIZE基金會共同舉辦，規劃3年期程，獎酬500萬美元，鼓勵開發可實際用於真實世界的量子運算演算法。 Google Quantum AI部門主管Ryan Babbush指出，現今學界開發的大部份量子演算法是為了解決抽象的數學問題，較少用於實際應用場景，目前大家也不清楚，量子運算用在實際世界有多少效用、何時或用在哪裏最有幫助。一如Google Quantum AI建立大規模、糾錯的量子電腦、及開發有用處的量子應用的目標，XPRIZE Quantum Application競賽目的正是為了解決這些問題。XPRIZE Quantum Application競賽希望能催生今天還沒有的NISQ（Noisy Intermediate Scale Quantum，含噪音中等規模的量子系統）處理器應用，以及未來大規模具容錯能力的量子電腦應用。主辦單位希望在建立起大規模量子電腦之前先找出這些應用，以便硬體問世時可以加快部署。 主辦方<a href="https://www.xprize.org/prizes/qc-apps" target="_blank">列出</a>的應用範例包括，精準預測候選藥和人體蛋白質互動、改進微分方程中模型的電容與電感參數以更有效模擬電網負載、以及在電池或核融合反應器中材料和分子的預測模型，以減少碳排和提升能源效率。 這項競賽已在今天啟動，也已公布<a href="https://www.xprize.org/prizes/qc-apps" target="_blank">報名網頁</a>。主辦方找來集結跨領域專家組成顧問及競賽裁判。實際評選時將分成三個次類，包括創新演算法、新式應用及提升效能類。 欲參加的隊伍需先描述其參賽專案的應用欲解決的問題，並分析其演算法需要在量子電腦上執行多久。大會會選出20隊進入準決賽，各隊需描述執行其演算法需要的硬體規格，並證明比傳統電腦更快、更準確，以及實際部署後的預計成效。 在獎金方面，準決賽團隊每隊獲得5萬美元獎金。500萬獎金中，3個獲獎團隊將可共同獲得300萬美元獎金，而之後5個團隊則可共享100萬美元獎金。 </div></div></div>
2024/3/5 12:28作者林妍溱https://www.ithome.com.tw/news/161609
Anthropic發表宣稱可擊敗OpenAI GPT-4與Google Gemini 1.0 Ultra的Claude…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 新興的AI業者Anthropic周一（3/4）<a href="https://www.anthropic.com/news/claude-3-family" target="_blank">發表</a>了全新的Claude 3系列模型，涵蓋功能最低階的Claude 3 Haiku、中階的Claude 3 Sonnet，以及最強大的Claude 3 Opus，它們的預設值皆支援20萬個Token的脈絡，並宣稱其中的Claude 3 Opus在許多基準測試上超越了OpenAI GPT-4與Google Gemini 1.0 Ultra。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0305-Anthropic%20claude%20family%20model.png" style="width: 600px;" /> Anthropic在2021年由曾擔任OpenAI研究副總裁的Dario Amodei，以及其妹妹、同樣身為OpenAI資深員工的Daniela Amodei共同創立，是OpenAI最大的競爭對手之一，而OpenAI與微軟在資金及服務上的緊密關係，使得Anthropic成為其它科技巨頭競逐的對象，包括Google在2022年注資3億美元取得10%的Anthropic股份，去年底承諾加碼投資20億美元，至於Amazon也在去年宣布將挹注40億美元至Anthropic，並換得讓AWS成為Anthropic主要雲端服務供應商的交易。 Anthropic本周所發表的Claude 3模型強化了各方面的能力，涵蓋分析、預測、細緻的內容建立、程式碼生成，以及在西班牙文、日文與法文等非英文語言的對話能力；它也擁有更複雜的視覺功能，得以處理各種不同的視覺格式，包括照片、圖表、圖像與技術圖等；還可帶來近乎即時的結果，可支援即時客戶聊天、自動完成與資料汲取任務。 另一方面，過去的Claude模型經常作出不必要的拒絕，顯示它缺乏對語意的理解，最新的Claude 3則對提示表現出更細緻的理解能力，可辨識真正的傷害，明顯降低了拒絕回答無害提示的頻率。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0305-Anthropic%20claude%20family%20model-600-1.png" style="width: 600px;" /> Claude 3最受矚目的是其中的Claude 3 Opus模型在許多基準測試上，超越了OpenAI GPT-4與Google Gemini 1.0 Ultra。例如在MMLU本科水平專家知識上達到86.8%，擊敗GPT-4的86.4%與Gemini 1.0 Ultra的83.7%，研究生專家推論（GPQA）以50.4%超越OpenAI GPT-4的35.7%與Gemini 1.0 Ultra的28.1%。其它凌駕這兩大模型的基礎測試還有基礎數學（GSM8K）、程式碼生成能力HumanEval與文字推論等。 儘管Claude 3模型初期僅支援20萬個Token的脈絡，但3種型號都可接受超過100萬個Token的輸入，Anthropic將根據需求提供給需要強化處理能力的客戶。為了有效地處理冗長的上下文，這些模型需要強大的回憶能力，在評估模型記憶的「大海撈針」（Needle In A Haystack，NIAH）基準測試中，Claude 3 Opus不僅達到超過99%的準確率，在某些情況下，甚至能夠辨識出此針是否是人為插入的。 Anthropic亦標榜Claude 3模型的偏差少於先前的模型，也更擅長遵循複雜的多步驟指令，或是生成諸如JSON等格式的結構化輸出，以更輕鬆地將Claude 3模型應用在自然語言分類或情緒分析上。 Claude 3 Haiku、Claude 3 Sonnet與Claude 3 Opus各自可支援不同的應用，Claude 3 Haiku是最袖珍及最快速的模型，專為模仿人類互動的即時回應與無縫AI體驗而設計，每100萬個Token的輸入費用為0.25美元，輸出為1.25美元；Claude 3 Sonnet屬於相對均衡的模型，在智慧與速度中取得平衡，適用於企業負載及大規模的AI部署，每100萬個Token的輸入/輸出費用分別是3美元及15美元；最強大的Claude 3 Opus可處理高度複雜的任務，可帶來人類等級的理解能力，每100萬個Token的輸入/輸出費用分別是15美元與75美元。 Anthropic的API現已支援Claude 3 Sonnet與Claude 3 Opus，使用者亦可透過claude.ai、Amazon Bedrock與Google Cloud的Vertex AI Model Garden使用Claude 3 Sonnet，Claude 3 Opus目前則僅開放Claude Pro訂閱用戶使用。至於Claude 3 Haiku也會在近期上市。 </div></div></div>
2024/3/5 13:07作者陳曉莉https://www.ithome.com.tw/news/161610
中國駭客組織Earth Lusca使用地緣政治議題為誘餌，在臺灣總統大選前夕從事網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 1月13日臺灣進行總統與立委選舉，選前中國不斷文攻武嚇，並揚言若是民進黨繼續執政，將使得兩岸關係遠離和平。 中國駭客在臺灣選舉前發動假訊息、網路釣魚、DDoS攻擊已是常態。但截至目前為止，環顧全球資安研究領域，僅有2月13日<a href="https://www.ithome.com.tw/news/161289#2024-taiwan-vote">資安業者Trellix公布選前觀察到的網路攻擊態勢</a>，並指出在投票當天前的24小時之內，中國駭客針對臺灣企業組織而來的網路攻擊活動大幅增加，而其惡意行為主要是探測與收集候選人情資。 直到3月，終於又有這方面的威脅情資分析結果出爐，顯見這場全球關注的選舉背後，的確存在一股或多股勢力，企圖影響選情發展與攻擊關切此議題的國際政經人士。 資安業者趨勢科技指出，他們長期追蹤的中國駭客組織Earth Lusca，<a href="https://www.trendmicro.com/zh_tw/research/24/b/earth-lusca-uses-geopolitical-lure-to-target-taiwan.html">從去年12月至今年1月，從事網路釣魚攻擊</a>，其中使用談論兩岸地緣政治議題的文件檔案，但引起研究人員關注的地方在於，該檔案在臺灣總統大選兩天前（1月11日）建立，其內容疑似盜用臺灣地緣政治專家的文章。 <img alt="" src="https://s4.itho.me/sites/default/files/images/Eath%20Lusca%20Timeline.jpg" style="width: 580px;" /> <blockquote>根據研究人員公布的攻擊鏈，駭客在迴避偵測上採用的手法最為多元，包含了採用Windows捷徑檔案（LNK）圖示挾持的欺騙手法、DLL循序搜尋挾持、程式碼經過封裝處理等，但在這些手法之外，對方還使用多種罕見的做法，讓使用者更難以招架。（圖片來源／趨勢科技） </blockquote> <h3>攻擊行動出現數種罕見手法</h3> 研究人員指出，他們推測攻擊者可能是經由電子郵件對目標下手，挾帶名為China_s gray zone warfare against Taiwan.7z的壓縮檔，其內容含有2個Windows捷徑檔（LNK），以及「__MACOS」資料夾。 <a href="https://s4.itho.me/sites/default/files/images/lusca-242.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/lusca-242.jpg" style="width: 580px;" /></a> <blockquote>從壓縮檔的內容來看，包含了2個Windows捷徑檔（LNK），分別偽裝成Word檔案及PDF檔案，但與多數攻擊行動不同之處在於，駭客建立了名為__MACOS的資料夾，想要讓使用者誤以為檔案來自Mac電腦。再者，則是這些檔案都是在1月11日製作，也就是駭客在總統大選前2天從事網釣攻擊。（圖片來源／趨勢科技） </blockquote> 乍看之下，上述資料夾名稱與macOS作業系統用來儲存資料夾組態的「__MACOSX」相似，但實際上，該資料夾內含攻擊鏈下個階段的惡意檔案。 特別的是，雖然是以臺灣軍事情報作為誘餌，但駭客使用的檔案名稱皆為英文，這起網釣攻擊的對象，顯然並非專門針對使用正體中文的人士，趨勢科技對此並未有相關的分析，但我們推測攻擊目標很有可能是全球關心臺海議題的政治專家、軍事專家、記者。 上述提及的LNK檔案，分別偽裝成PDF及Word檔案，一旦使用者點選，電腦就會__MACOS資料夾裡的JavaScript指令碼。 接著，攻擊者將會進行寄生攻擊（LOLBin），先是輸出帶有4d534346字串的純文字檔，然後呼叫certutil.exe將其中的十六進位字串還原成可執行檔，並利用expand.exe解開CAB封裝檔案。 此CAB檔案的內容包含誘餌Word檔案、具有合法簽章的可執行檔、惡意DLL程式庫。其中的可執行檔，實際上是奇虎360瀏覽器的主程式，然而一旦執行，就會觸發惡意DLL檔案，最終於受害電腦部署Cobalt Strike。 <img alt="" src="https://s4.itho.me/sites/default/files/images/lusca-247.jpg" style="width: 580px;" /> <blockquote>圖中的檔案為CAB封裝檔的內容，其中的Word檔案是誘餌，而pfexec.exe其實是奇虎360瀏覽器的主程式（360se.exe）更名而成，具有合法、有效簽章，一旦使用者執行，電腦就會載入惡意DLL檔案chrome_elf.dll。（圖片來源／趨勢科技） </blockquote> 研究人員指出，這些駭客用了不少隱匿攻擊行動的手法。首先是啟動JavaScript指令碼的LNK檔案，駭客在路徑加入了255個空白字元，而使得命令看起來僅是呼叫Windows檔案總管；再者，則是JavaScript檔案經過Dean Edward’s JavaScript Packer進行加密處理，而使得資安系統難以察覺有異。 <img alt="" src="https://s4.itho.me/sites/default/files/images/lusca-243a.jpg" style="width: 333px;" /> <blockquote>假如使用者對駭客提供的LNK檔案檢視內容，便會在「目標（Target）」欄位看到圖中指令，而以為是點選LNK檔案後會啟動Windows檔案總管。但研究人員指出，駭客在LNK檔的目標欄位當中，在「explorer.exe」敘述後面插入255個空白字元，目的是避免使用者發現實際上會執行惡意JavaScript指令碼。（圖片來源／趨勢科技） </blockquote> 附帶一提的是，對方使用的誘餌文件檔案，研究人員發現，這些由兩岸政治專家署名撰寫的文件似乎並未公開發表，因此他們懷疑駭客是直接入侵作者或是所屬組織的電腦竊得，並循線向作者及其組織通報。 <h3>可能與中國資安業者安洵信息有所關連</h3> 值得留意的是，在Earth Lusca發動攻擊的過程當中，使用中國資安業者奇虎出品的瀏覽器主程式，而該公司曾經投資另一家資安業者安洵信息（i-Soon），而引起研究人員關注，並對Earth Lusca與安洵的攻擊型態進行比對。 為什麼是安洵？原因是<a href="https://www.ithome.com.tw/news/161454">該公司日前資料外洩</a>，有人將其內部資料上傳到GitHub，外界從而得知該公司開發多種網路攻擊工具，並承攬中國國安單位與地方政府的標案，對包含臺灣在內的超過20個國家從事網路間諜攻擊。 研究人員指出，這兩組人馬的發動攻擊的受害組織名單有所交集，其中安洵外洩的資料裡，曝光的受害組織也曾遭遇Earth Lusca攻擊。 再者，則是他們採用的作案工具有部分高度重疊，特別是Winnti，以及安洵參與開發的ShadowPad，都是兩組駭客頻繁使用的惡意程式。 另外一個共通點就是他們所在的地理位置，研究人員指出，Earth Lusca與安洵滲透團隊的主要辦公室都位於四川成都。雖然兩組人馬的特點有許多共通之處，但他們之間的關係為何？研究人員表示仍有待進一步追查。 </div></div></div>
2024/3/5 10:36作者周峻佑https://www.ithome.com.tw/news/161607
限制音樂串流App開發商繞過自家支付機制，蘋果遭加重處罰18.4億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 歐盟周一<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_24_1161" target="_blank">宣布</a>將針對蘋果App Store禁止音樂串流App開發商提供用戶第三方支付，以違法情節重大及持續將近10年時間，重罰18.4億歐元（約633億臺幣）。 歐盟執委會指控蘋果濫用市場壟斷地位，限制音樂串流應用程式對iPhone及iPad用戶間的傳布。執委會認為蘋果對第三方應用程式業者做出限制，不許它們告知iOS用戶App Store以外更便宜的音樂訂閱服務，被裁定違反歐盟反托拉斯法。 本案是起於2019年Spotify向歐盟申訴蘋果實施「限制導引規定」（anti-steering rules），防止音樂串流或播放程式開發商向用戶提供外部支付資訊，使用戶只能透過App Store程式內支付（in-app payment）機制付費，蘋果藉此抽取每筆消費者交易的30%，即所謂「蘋果稅」。歐盟於2020年介入調查，去年初歐盟縮小對蘋果的訴訟範疇，並在本周終於公布判決結果。 根據歐盟調查，在限制導引規定中，蘋果限制開發商告知用戶第三方網站支付的價格、外部網站連結，也不得知告知蘋果和外部App的IAP價差，或是以電子郵件等方式直接和新用戶聯繫，透露其他付費方案的選項。和去年初歐盟的說詞大致相同，歐盟認為蘋果的限制導引條款對保護蘋果在智慧型行動裝置上的App Store商業利益，「既不必要也不相稱」，而且對iOS用戶造成不利影響，使其未能被充份告知、做出串流訂閱服務的有利採購決策。 歐盟指出，蘋果此番行為持續將近10年，可能導致眾多iOS用戶支付更高的音樂串流費用，消費者也因更惡劣的使用體驗，蒙受非金錢的損害。在決定罰款金額時，歐盟考量蘋果違法行為的期間及嚴重性，以及蘋果總營收和市值，同時也考量蘋果在調查期間陳述的不正確資訊。主管機關決定加重處份，確保產生足夠嚇阻作用，歐盟相信這等罰款有其必要性，以確保蘋果不會再犯，並對其他公司產生警惕作用。 上周《<a href="https://www.ft.com/content/1e677a7e-9494-4f5b-a724-9e58ef26b34fv" target="_blank">金融時報</a>》及《<a href="https://www.reuters.com/world/europe/eu-set-fine-apple-spotify-music-streaming-case-sources-say-2024-02-27/" target="_blank">路透社</a>》率先報導歐盟開罰的消息，但金額僅為5億歐元。 蘋果對此判決<a href="https://www.apple.com/newsroom/2024/03/the-app-store-spotify-and-europes-thriving-digital-music-market/" target="_blank">表達</a>不服。蘋果指歐盟主管機關並未找到任何消費者傷害的可信證據，也忽略市場正繁榮、激烈競爭且成長快速的事實。例如蘋果引述資料指出，Spotify在歐洲串流音樂服務市場市占達56%。 此外，蘋果也指出，歐盟這項處份並未考量蘋果已經調整AppStore對第三方軟體市集及支付服務作法。因應即將生效的《數位市場法》（Digital Markets Act，DMA），蘋果1月已<a href="https://www.ithome.com.tw/news/161035" target="_blank">公布</a>即將在3月上路的遵循措施。透過iOS 17.4，歐盟用戶將可從App Store以外的市集下載iOS程式。而 27個歐盟國家開發商也可於程式中直接使用第三方支付服務、提供連結以連至外部網頁完成交易，並且顯示提供產品促銷活動或折扣的說明。因此，蘋果認為歐盟消費者也已擁有更多選擇。 蘋果表示，根據上述理由，該公司將提出上訴。 </div></div></div>
2024/3/5 10:58作者林妍溱https://www.ithome.com.tw/news/161608
微軟.NET程式碼評估工具整合GitHub Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟<a href="https://devblogs.microsoft.com/dotnet/azure-migrate-application-and-code-assessment-march-2024-update/">更新</a>其.NET程式碼評估工具Azure Migrate Application and Code Assessment，包括整合GitHub Copilot、考量不同Azure環境，以及提供開發者更多自訂靈活性等，協助開發者找出和解決搬遷Azure可能遭遇的問題，更順利地在雲端平臺重新部署應用程式。 微軟在今年1月初的時候推出Azure Migrate Application and Code Assessment工具，讓開發者可以方便地將本地端.NET應用程式搬遷到Azure雲端。該工具能夠評估.NET應用程式原始碼、配置和二進位檔案，在搬遷之前先找出可能發生的潛在問題，並且提供開發者雲端原生解決方案建議，以解決效能、擴展性和資安問題。 而微軟現在於Azure Migrate Application and Code Assessment整合GitHub Copilot，官方解釋，該工具很適合在搬遷之前進行審查，而藉由整合Copilot Chat，就可以進一步針對已發現的問題，提供客製化指引。 Copilot Chat透過Visual Studio擴充套件和命令列工具，整合至Azure Migrate Application and Code Assessment。開發者安裝Visual Studio擴充套件之後，在報告儀表板中便會看到Copilot Chat的按鈕，點擊之後Copilot會閱讀專案報告，總結出重要問題，開發者便可就想解決的問題與Copilot深入討論。 另外，報告中的所有問題，旁邊也都會有一個Ask Copilot按鈕，可以啟動與Copilot Chat的新對話，微軟提到，Ask Copilot功能會將開發者的描述，還有觸發問題的程式碼片段共享給Copilot Chat，使得Copilot能根據具體程式碼和問題提供建議，而這將有助於Copilot Chat提供更準確的指引。也就是說，開發者必須謹慎考慮提交的內容，避免提及不想提供給Copilot Chat的程式碼和敏感資訊。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0304-Ask%20Copilot-600.png" style="width: 600px;" /> Azure Migrate Application and Code Assessment可以評估需要調整的程式碼模式，以便.NET應用程式在Azure中良好的運作。之前該工具的問題分析都是針對一般Azure環境，並沒有考慮到不同Azure託管選項間的差異，在新版中，開發者可選擇諸如Azure App Service（Windows）、Azure App Service（Linux 容器化）或Azure Container Apps等目標環境。 微軟指出，雖然無論開發者選擇的環境，Azure Migrate Application and Code Assessment都以相同的規則分析應用程式，但是依據環境的不同，問題的嚴重性和描述可能會有所不同。而現在該工具可以反應所選環境的具體要求。 另外，在Azure Migrate Application and Code Assessment的最新版本，還支援直接掃描編譯後的.NET應用程式二進位檔案，因此可用於掃描建置輸出，或是直接評估部署在IIS的.NET應用程式，這對於原始碼不可用，或是想直接掃描已部署的應用程式特別有用。不過Visual Studio擴充套件僅適用於專案程式碼，所以這項功能僅在命令列工具中可用。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0304-Azure%20Migrate%20application%20and%20code%20assessment-Scanning%20binary-600.png" style="width: 600px;" /> 而現在開發者還能夠靈活地自訂評估規則，只要使用JSON配置檔就能夠啟用和停用特定規則，甚至是變更規則的嚴重性、排除規則等。Visual Studio擴充套件和命令列工具皆支援此功能。 </div></div></div>
2024/3/4 21:50作者李建興https://www.ithome.com.tw/news/161595
Compose Multiplatform 1.6.0強化資源管理API，新增iOS輔助功能支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> JetBrains釋出了新版跨平臺UI開發框架<a href="https://blog.jetbrains.com/kotlin/2024/02/compose-multiplatform-1-6-0-release/#common-resources-api">Compose Multiplatform 1.6.0</a>。這個新版本加入多項新功能，像是改進資源管理函式庫，並且新增UI測試API以及iOS輔助功能支援，同時也強化與新版Kotlin，以及Google最新Jetpack Compose變更的相容性。 Compose Multiplatform 1.6.0中的一項重要變更，便是改進共用和存取資源API，新的API讓開發者在Compose Multiplatform應用程式中匯入和存取更多類型的資源，像是圖像、字體、字串和各種檔案。新的資源API讓開發者於不同情境使用相同資源的變體，包括地區設置、螢幕密度和主題，因此開發者可以根據地區設置在地化文字，或是根據螢幕解析度提供替代圖像，甚至是深色模式下的圖標顏色，都可以透過在相對應的目錄名稱，增加特定符號來表達這些限制。 開發者現在也可以使用新的UI測試工具，確保應用程式按照預期運作。Compose Multiplatform 1.6.0中的實驗性API，讓開發者可以編寫通用UI測試，以驗證應用程式介面在不同平臺上的行為。 另外，該框架也進一步支援iOS的輔助功能，使身心障礙者更容易操作Compose UI。在這項更新之後，iOS的螢幕閱讀器和VoiceOver功能，都能夠存取Compose Multiplatform UI的內容，而且Compose Multiplatform UI也支援iOS原生UI相同的操作手勢。官方解釋，Compose Multiplatform的語義資料會自動對應到輔助功能樹（Accessibility Tree）中，開發者可以將這些資料提供給輔助功能，並且使用Apple XCTest框架測試。 在這個新版本中，Compose Multiplatform也更新加入通用@Preview註解，過去@Preview僅適用於Android和桌面平臺，現在該註解由JetBrains Fleet 1.31版本提供通用支援，而透過使用@Preview，開發者可以簡單地預覽UI創建函式@Composable，不需要執行整個應用程式。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0304-Compose%20Multiplatform-%40Preview.png" style="width: 418px;" /> 圖片來源／JetBrains 在@Composable函式前添加@Preview註解，JetBrains Fleet會在旁邊程式碼旁提供預覽，讓開發者可以直接瀏覽@Composable的渲染結果，這對於快速迭代和檢查UI變更非常有用，因為可省去開發者重新編譯和部署應用程式的時間。 </div></div></div>
2024/3/4 22:03作者李建興https://www.ithome.com.tw/news/161603
Google釋出最新Android Studio Iguana，重點強化程式碼除錯功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Google正式推出最新<a href="https://android-developers.googleblog.com/2024/02/android-studio-iguana-is-stable.html" target="_blank">Android Studio Iguana</a>，官方在這個版本的App Quality Insights功能中整合Git版本控制系統，還擴展Firebase Crashlytics崩潰報告的支援，協助開發者更好地分析應用程式崩潰原因。此外，此版本還針對Jetpack Compose應用程式，支援基準配置檔（Baseline Profiles）以加速應用程式啟動效率。 Android Studio Iguana中的App Quality Insights更新，可以改善應用程式發布版的原始碼，比本地原始碼落後數個提交時，無法有效地從崩潰報告導航至對應程式碼行號的問題。官方解釋，該功能對於使用Firebase Crashlytics崩潰報告特別有用，因為程式碼行號可能因為版本落後而不準確。 當開發者使用Git版本控制系統，Android Gradle Plugin會將Git提交訊息包含在發布到Play Store的構件中，因此在發生應用程式崩潰時，Crashlytics會將Git資訊附加在報告中，而Android Studio Iguana便會使用該資訊，將開發者本地端副本與實際導致崩潰的程式碼進行比較。 開發者需要使用Android Gradle Plugin 8.3或是更高版本，以及最新的Crashlytics SDK建置並發布應用程式，App Quality Insights視窗中的崩潰報告，便能夠引導開發者到當前Git副本中的程式碼行號，或是查看當前副本與生成崩潰報告的應用程式碼版本之間的差異，讓開發者更精準診斷和修復問題。 另一個App Quality Insights中的更新，是能夠讓開發者更好地分析和理解崩潰根本原因。過去開發者在App Quality Insights查看Firebase Crashlytics問題時，可能會看到程式碼共用相同的故障點，但其實際上卻可能是不同事件的聚合資料。而在App Quality Insights的Firebase Crashlytics更新中，現在非常類似的堆疊追蹤事件，會被分組為不同問題的變體以改善錯誤分析。 新版Android Studio中的Compose Previews加入UI檢查模式，可協助開發者建置自適應和無障礙介面。UI檢查模式可看作是視覺Linting和無障礙檢查工具，其會自動審查Compose UI，並在不同大小的螢幕偵測自適應和無障礙性問題，像是文字變形或低色彩對比度等狀況。 Compose Previews還有一項新功能，現在提供漸進式渲染(下圖），供開發者能夠以更少的載入時間迭代設計，該功能會自動降低視野外的預覽細節以加速效能，官方提到，這項更新之後，即便開發者滾動瀏覽複雜的布局，都不會出現延遲。 <img alt="" src="https://s4.itho.me/sites/default/files/images/image3(22).png" style="width: 580px;" /> Android Studio Iguana還加入了基準配置檔，這是可以改進Jetpack Compose應用程式啟動速度的好用工具。不少時候在裝置上第一次執行Android應用程式時，因為作業系統必須執行JIT編譯，因此導致應用程式啟動速度受到影響，而Google現在供開發者建立基準配置檔，來改善這個問題。 新的模組精靈（Module Wizard）提供基準配置檔產生器範本，該範本可以配置專案以支援基準配置檔，於最新的基準配置檔Gradle套件，開發者就能以單一Gradle命令，自動執行任務來簡化設定。運用這項新功能，開發者便可以加速應用程式的啟動，大幅減少等待時間。 </div></div></div>
2024/3/4 22:13作者李建興https://www.ithome.com.tw/news/161604
研究人員打造鎖定生成式AI應用的Morris II蠕蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 來自康乃爾大學、以色列理工學院和Intuit的3名研究人員近日<a href="https://sites.google.com/view/compromptmized" target="_blank">發表</a>了一份名為ComPromptMized的研究報告，他們打造出一隻鎖定生成式AI（Gen AI）應用的蠕蟲Morris II，它能夠自我複製，傳播至其它生成式AI應用，還能執行惡意行為，像是竊取使用者機密資料，產生有毒內容，發送垃圾郵件，或執行網釣攻擊，並已透過GitHub<a href="https://github.com/StavC/ComPromptMized" target="_blank">開源</a>研究成果。 研究人員指出，最近一年有許多企業都已將Gen AI功能整合到現有或新的應用程式中，形成了互連的Gen AI生態系統，此一生態系統是由基於Gen AI服務的半自主或完全自主代理所組成，他們想釐清的是，駭客能否開發一個可利用代理Gen AI元件的惡意程式，進而危害整個Gen AI生態體系。 於是研究人員打造了Morris II 來攻擊基於Gen AI的電子郵件助理，以寄送垃圾郵件或汲取使用者的個資，在黑盒子與白盒子兩種設定下，使用文字與圖像兩種資料輸入型態，測試的對象包括Gemini Pro、ChatGPT 4.0與LLaVA等3種不同的Gen AI模型，並成功的自基於Gemini 與ChatGPT模型的電子郵件助理中取得了電子郵件內容與電話號碼。 Morris II是首隻使用對抗性自我複製提示的蠕蟲，當駭客使用這類的提示時，Gen AI模型會在輸出中複製輸入，同時從事惡意行為，此外，這些輸入還會迫使不同的應用透過Gen AI生態體系的連結性進行傳播。 研究人員指出，這次的實驗對象為電子郵件助理，可用來汲取使用者的機密資料、產生並散布有毒內容，或是發送垃圾郵件，以及執行網釣攻擊等，然而，他們相信，當Gen AI廣泛被整合到作業系統、手機或汽車之後，可能造成更嚴重的影響，因為它們或許夾帶著勒索軟體或遠端攻擊程式。 此外，研究人員也發現，在許多情況下，所輸入的資料會自動傳送到位於雲端的Gen AI伺服器進行推論，完全不需要使用者互動。 儘管Morris II攻陷了Gemini與ChatGPT的一些安全措施，但研究人員認為，此一報告突顯了AI生態體系架構的安全性有待加強。 </div></div></div>
2024/3/4 16:25作者陳曉莉https://www.ithome.com.tw/news/161596
美國法院要求NSO Group交出間諜程式Pegasus原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 臉書（現為Meta）在2019年10月<a href="https://www.ithome.com.tw/news/133908" target="_blank">控告</a>駭進WhatsApp的以色列公司NSO Group，此案目前仍在美國法院由Phyllis Hamilton法官進行審理，根據外電報導，上周Hamilton要求NSO Group必須提供所開發的間諜程式Pegasus原始碼予Meta。 Pegasus主要被安裝在受害者的手機上，它能夠讀取簡訊、監聽電話、蒐集密碼、追蹤位置，還能存取裝置上的麥克風與攝影機，為全球最普及的間諜程式之一，受害者涵蓋異見人士、人權活動人士、記者或政治家等，NSO Group還負責利用各種平臺或是程式的漏洞，趁機於受害者手機上植入Pegasus，主要客戶為各國政府。 由於它牽涉到軟體與整個行動產業的安全性，使得該案件受到微軟、Google、思科、GitHub、LinkedIn、VMware與網際網路協會（Internet Association）的<a href="https://www.ithome.com.tw/news/141807" target="_blank">大力支持</a>。 根據《衛報》（Guardian）的<a href="https://www.theguardian.com/technology/2024/feb/29/pegasus-surveillance-code-whatsapp-meta-lawsuit-nso-group" target="_blank">報導</a>，在此一仍在審理的訴訟中，Hamilton要求NSO Group必須生產WhatsApp用戶遭到攻擊之前後一年的所有間諜軟體予Meta，也必須提供相關間諜軟體的所有功能。不過，Hamilton並未要求NSO Group揭露客戶名稱或伺服器架構。 </div></div></div>
2024/3/4 16:35作者陳曉莉https://www.ithome.com.tw/news/161597
馬斯克控告OpenAI與Sam Altman，指稱它們違背創立時的初衷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 共同創辦OpenAI並在2018年退出的馬斯克（Elon Musk），上周四（2/29）<a href="https://www.courthousenews.com/wp-content/uploads/2024/02/musk-v-altman-openai-complaint-sf.pdf" target="_blank">控告</a>OpenAI，以及OpenAI共同創辦人暨執行長Sam Altman，指稱它們違背了當初創立時的初衷，包括開源及造福全人類，而轉至積極獲利的道路。 OpenAI創立於2015年12月11日，初期為一非營利機構，馬斯克是當時該組織最大的贊助者，與創辦人之一的Altman共同擔任OpenAI的聯合主席，並由另一名創辦人Greg Brockman擔任技術長。那時OpenAI官網上開宗明義地寫著，這是一家非營利的AI研究公司，目標是以最有可能造福人類的方式推動數位智慧，不受需要財務回報的限制，由於擺脫了財務上的義務，因而能夠更加關注對人類的正面影響。 不過，馬斯克在2018年2月離開了OpenAI董事會。根據OpenAI的<a href="https://openai.com/blog/openai-supporters" target="_blank">說法</a>，隨著馬克斯旗下的特斯拉（Tesla）愈來愈注重AI，此一發展將可消除馬斯克未來的潛在衝突，並說馬斯克將會持續捐款並提供建議。 然而，有媒體披露，其實當時馬斯克是因為企圖控制且單獨經營OpenAI，甚至建議OpenAI與特斯拉合併，遭到OpenAI經營團隊的反對與拒絕，才拂袖而去，且自此之後，馬斯克未再捐款予OpenAI。 在失去了最大的投資人之後，OpenAI於2019年<a href="https://www.ithome.com.tw/news/129281" target="_blank">成立</a>了一個「有限獲利」公司OpenAI LP（OpenAI Global, LLC），把原來的非營利組織稱為OpenAI Nonprofit，同年即由OpenAI Global與微軟結盟，並讓微軟成為OpenAI Global的最大股東，外傳微軟對OpenAI的投資超過130億美元，已取得49%的OpenAI Global控制權。 OpenAI去年6月更新了其變更組織結構的<a href="https://openai.com/our-structure" target="_blank">說明</a>，指出OpenAI Nonprofit在2015年創立時的目標是取得10億美元的捐贈金額，但截至2019年卻只取得了1.3億美元的捐款金額，彰顯出僅靠捐款並無法負擔運算與人力的成本需求。 不論如何，馬斯克認為OpenAI已經違背創立時的承諾，開發可對人類造成威脅的AI技術來營利。他在訴狀中指出，OpenAI現在正在開發通用人工智慧（Artificial General Intelligence，AGI），它可執行一系列達到或超過人類水準的任務，這是為了獲利，而不是為了人類的利益。他還指控OpenAI已經轉成閉源，成為全球最大科技公司微軟的子公司，在新董事會的帶領下，OpenAI不僅正在開發，也力求完善AGI，以替微軟帶來最大利潤。 其實馬斯克也在去年7月<a href="https://www.ithome.com.tw/news/157758" target="_blank">創立</a>自己的AI公司xAI，同年11月即<a href="https://www.ithome.com.tw/news/159651" target="_blank">發表</a>AI聊天機器人Grok。 至於在被馬斯克控告的消息曝光後，Altman與OpenAI策略長Jason Kwon寄出內部信件安撫OpenAI員工，表示OpenAI的成功使得該公司成為訴訟及監管調查的目標，Kwon還說，馬斯克或許是因為未能參與到OpenAI的現在而感到懊悔，才提出了訴訟。 </div></div></div>
2024/3/4 15:31作者陳曉莉https://www.ithome.com.tw/news/161593
Tumblr、Wordpress傳也出售用戶內容給AI業者訓練模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 404Media<a href="https://www.404media.co/tumblr-and-wordpress-to-sell-users-data-to-train-ai-tools/" target="_blank">報導</a>，網路內容平臺Tumblr及Wordpress母公司已談定出售平臺上的內容，供AI業者如OpenAI、Midjourney訓練模型。 報導引述消息人士說，Tumblr及Wordpress母公司Automattic與AI廠商即將簽定內容授權協議。報導並引述一份Tumblr產品經理的內部文件，描述已蒐集好的一批欲寄給Midjourney及OpenAI的平臺內容，不慎包含某些理應不該蒐集的資料，像是公開部落格的私有貼文、已刪除或停權部落格的貼文、不公開（問題的）回答、被標示為「露骨」或「成熟」的貼文，以及頂級合作夥伴（如蘋果音樂論壇）的貼文等。 不過報導指出，無法從這則流出的Tumblr內部文件斷定這些資料已經寄出，或是及時被攔下。 就在本則報導後，Automattic並未否認或承認報導中的內部文件存在與否，只公布Tumblr及Wordpress上的隱私設定，以及用戶隱私權利。這家業者指出，Tumblr、Wordpress.com有設定不讓搜尋引擎索引內容，也對AI平臺加入了類似設定。目前兩個平臺已預設封鎖主要AI平臺的爬蟲機器人。 目前尚無法律要求網路爬蟲遵循這些偏好設定，但歐洲AI法案（AI Act）正在立法中，未來可能改變現況。Automattic<a href="https://automattic.com/2024/02/27/protecting-user-choice/" target="_blank">宣稱</a>將提供用戶更大的隱私控制權。此外也將和特定AI業者合作，他們只會分享在Wordpress.com及Tumblr上沒有opt-out的內容，不會分享代管在其他平臺上內容，即使它們使用Automattic的外掛，包括Jetpack 或 WooCommerce。該公司強調其合作夥伴計畫將尊重opt-out設定，也計畫定期更新任何新增採取opt-out設定的合作夥伴。 </div></div></div>
2024/3/4 15:58作者林妍溱https://www.ithome.com.tw/news/161594
【資安日報】3月4日，駭客組織Savvy Seahorse從事投資詐騙攻擊並濫用DNS CNAME紀錄鎖定目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 投資詐騙的攻擊行動可說是相當氾濫，而過往研究人員察覺的資安事故當中，多半是涉及駭客如何引誘使用者上當，但最近有新型態的攻擊手法出現。 已經暗中進行超過2年的駭客組織Savvy Seahorse攻擊行動，就是這種例子，對方濫用網域名稱服務（DNS）的CNAME紀錄打造惡意流量分配系統（Traffic Distribution System，TDS），而能精確鎖定目標下手。 <h3>【攻擊與威脅】</h3> <a href="https://blogs.infoblox.com/cyber-threat-intelligence/beware-the-shallow-waters-savvy-seahorse-lures-victims-to-fake-investment-platforms-through-facebook-ads/">駭客組織Savvy Seahorse濫用DNS CNAME紀錄行騙，透過臉書廣告引誘使用者進行假投資</a>  <a href="https://s4.itho.me/sites/default/files/images/infoblox-blog-savvy-seahorse-diagram1-updated-scaled.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/infoblox-blog-savvy-seahorse-diagram1-updated-scaled.jpg" style="width: 300px; float: right;" /></a>資安業者Infoblox揭露駭客組織Savvy Seahorse的攻擊行動，這些駭客從2021年8月開始，利用惡意流量分配系統（Traffic Distribution System，TDS），來從事投資詐騙，並且濫用DNS維持惡意網域的運作。這些駭客透過9種語言的臉書廣告，假冒Meta、特斯拉等知名品牌，引誘使用者在偽造的投資平臺注入資金，一旦照做，這些錢就會移轉到俄羅斯銀行的特定帳戶。 而這起攻擊行動的特別之處，在於駭客濫用了網域名稱服務（DNS）的CNAME紀錄，並將使用者的資料發送到TDS伺服器進行驗證，然後套用地理圍欄來過濾烏克蘭及其他數個國家的用戶，以及網路爬蟲和資安系統。此外，對方也濫用DNS的萬用字元，從而快速產生大量的獨立攻擊行動，能針對被動DNS（pDNS）分析進行干擾。 <a href="https://www.semperis.com/blog/meet-silver-saml">研究人員揭露繞過SAML身分驗證的新型態攻擊手法Silver SAML</a>  <a href="https://s4.itho.me/sites/default/files/images/Screenshot_SilverSAML_Fig11_AttackInSPInitiatedFlow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_SilverSAML_Fig11_AttackInSPInitiatedFlow.png" style="width: 300px; float: right;" /></a>2021年資安業者CyberArk公布針對SAML單一簽入（SSO）的攻擊手法Golden SAML，攻擊者會從AD聯合身分驗證服務（ADFS）挖堀簽章，並將其用於偽造SAML身分驗證的回應流程，進而取得相關權限。 這種後洩露（post-breach）的手段，對於2020年發生的SolarWinds供應鏈攻擊，帶來更嚴重的破壞，對此，後續美國網路安全暨基礎設施安全局（CISA）及多名資安專家呼籲，採用混合雲架構的組織，應考慮將SAML身分驗證遷移至Entra ID等雲端架構的系統來因應，如今有研究人員揭露新型態手法，並表明已採取防禦Golden SAML緩解措施的企業組織也會曝險。 資安業者Semperis揭露名為Silver SAML的新型態攻擊手法，主要是透過SAML的弱點，入侵透過身分驗證服務（如Entra ID）把關的應用程式（如Salesforce）。該公司初步認為，這個手法會帶來中等程度的威脅，目前也尚未出現被用於攻擊行動的跡象，但若是攻擊者將其用於存取業務上重要的應用系統，有可能帶來非常嚴重的風險。 <a href="https://techcrunch.com/2024/02/29/leaky-database-two-factor-codes/">中國簡訊業者奧訊國際資料庫曝光，恐洩露大型網站的簡訊動態密碼、重設網址</a>  資安研究人員Anurag Sen發現了中國簡訊業者奧訊國際（YX International）曝露於網際網路的資料庫，且並未設置密碼保護，一旦有人得知其IP位址就能存取。該資料庫的內容，主要是發送給網站用戶的簡訊，包含了進行雙因素驗證的動態密碼（OTP），或是重設密碼的連結，而這些簡訊來自科技龍頭，包含臉書、WhatsApp、Google、抖音，這些資料最早可追溯至2023年7月。 研究人員尋求科技網站TechCrunch的協助，共同尋找該資料庫的所有者。TechCrunch檢視資料庫內容，找到奧訊內部電子郵件信箱帳密，然後通報此事，不久後該資料庫就離線。 不願具名的奧訊代表做出回應，表示他們已經封鎖了漏洞，但該伺服器並未保存存取記錄，究竟是否有其他人存取仍不得而知。 <a href="https://research.checkpoint.com/2024/raspberry-robin-keeps-riding-the-wave-of-endless-1-days/">惡意程式Raspberry Robin鎖定甫公布的已知漏洞發動攻擊</a>  資安業者Check Point針對從2021年出現的蠕蟲程式Raspberry Robin提出警告，指出從2023年10月此惡意程式的攻擊行動升溫，而且在2個已知的本機權限提升（LPE）漏洞CVE-2023-36802、CVE-2023-29360公布不久後，就將其用於攻擊流程（1-day）。 研究人員指出，類型混淆漏洞CVE-2023-36802存在於Microsoft Streaming Service Proxy模組，微軟於去年9月修補，但去年2月傳出有人在暗網兜售利用漏洞的方法，而根據他們的調查，使用Raspberry Robin的駭客於10月開始利用這項漏洞，略早於GitHub上出現的概念性驗證程式碼（PoC）；另一項被利用的漏洞CVE-2023-29360，則是存在於信賴平臺模組（TPM）的Windows驅動程式，微軟於去年6月修補，這些駭客在8月開始運用，也比GitHub上有人9月下旬公布概念性驗證程式碼要來得早。 根據上述兩個漏洞的利用情況，研究人員指出，這些駭客企圖縮短漏洞公布後的利用時間，代表對方很有可能具備開發漏洞的能力，或是短時間就能向漏洞掮客取得相關程式碼，而能將這些甫公布的漏洞用於攻擊。 <a href="https://www.cadosecurity.com/migo-a-redis-miner-with-novel-system-weakening-techniques/">惡意軟體Migo企圖停用Redis伺服器的安全機制，將其用於挖礦</a>  資安業者Cado揭露鎖定Redis伺服器的惡意程式Migo攻擊行動，駭客先是企圖透過命令列（CLI）竄改目標伺服器的配置，包括：開放外部存取、允許寫入複本資料，然後針對只能寫入新資料的檔案（Append-Only File，AOF）、Redis資料庫檔案（RDB），停用增量檔案同步的功能，從而增加伺服器IO負載與降低效能，攻擊者這麼做的目的，主要是讓行蹤較難被察覺。 接著，對方安排cron工作排程，從Pastebin下載指令碼，然後存取命令列檔案共享服務Transfer.sh尋找Migo惡意程式，並植入主機的後臺執行。此為Go語言編譯的ELF檔案，主要功能是從GitHub的內容傳遞網路（CDN）抓取、部署挖礦程式XMRig。 值得留意的是，為了維持挖礦程式在受害主機運作，駭客建立systemd服務，而且，Migo採用使用者模式的rootkit，以及竄改特定的系統組態檔案，隱匿處理程序及檔案，導致他們的行蹤更難發現。從這起攻擊行動的攻擊鏈來看，研究人員認為，駭客對Redis的環境和運作應該有相當深入的了解。 <a href="https://blog.morphisec.com/unveiling-uac-0184-the-remcos-rat-steganography-saga">惡意程式載入工具Idat被用於散布RAT木馬Remcos</a>  <a href="https://s4.itho.me/sites/default/files/images/Remcos_RAT_diagram_3-ezgif_com-o.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Remcos_RAT_diagram_3-ezgif_com-o.png" style="width: 300px; float: right;" /></a>去年資安業者趨勢科技發現駭客組織UAC-0184的攻擊行動，當時對方鎖定烏克蘭武裝部隊發動攻擊，如今該組人馬目標已轉向其他與烏克蘭有關的組織。 資安業者Morphisec公布今年1月出現的攻擊行動，駭客假冒烏克蘭或以色列軍隊的名義，對在芬蘭運作的烏克蘭組織寄送釣魚郵件，並挾帶含有Windows捷徑（LNK）的附件，一旦收信人依照指示開啟，就會觸發感染鏈，解密並執行惡意程式載入工具Idat，進而自特定的PNG圖檔挖出惡意程式及相關模組，並在記憶體內解密並執行RAT木馬程式Remcos。 研究人員指出，他們也看到Idat被用於散布Danabot、SystemBC、RedLine Stealer等竊資軟體的情況，而且，攻擊過程裡對方採用複雜的手法來迴避偵測，包含：動態載入Windows API功能函數、測試HTTP連線、處理程序黑名單、系統呼叫，其中的API呼叫命令更是透過解密金鑰進行解析。 <a href="https://www.mandiant.com/resources/blog/suspected-iranian-unc1549-targets-israel-middle-east">中東航空、航太、國防工具遭到伊朗駭客組織UNC1549鎖定</a>  資安業者Mandiant揭露伊朗駭客UNC1549自2022年6月發起的攻擊行動，範圍主要包含以色列及阿拉伯大公國等中東地區，並針對航太及國防工業下手，但其他地區也有企業組織受害。駭客假借與以色列及哈馬斯相關的內容，或是職缺、登入網頁的名義，散布後門程式Minibike、Minibus，一旦電腦被植入這些後門程式，駭客就有可能進行情報收集，或是將受害電腦當作入侵目標組織的據點，也有可能植入更多惡意程式。 研究人員看到駭客最初使用Minibike，此後門程式具備較為完整的功能，包含列出目標主機或特定資料夾的檔案、收集系統資訊、上傳檔案、執行其他處理程序；而到了2023年8月，對方也開始使用Minibus，但相較於另一個後門程式，其功能較少，卻具備更佳的偵察能力。值得留意的是，在大多數情況當中，駭客從Azure雲端基礎設施取得上述的後門程式，而使得攻擊行動變得更為隱匿。 而對於駭客的身分，研究人員指出，對方與TA456（亦稱Imperial Kitten、Tortoiseshell）有所交集，因此很可能也聽從伊斯蘭革命衛隊（IRGC）的命令。 <a href="https://www.bleepingcomputer.com/news/security/20-million-cutoutpro-user-records-leaked-on-data-breach-forum/">AI影片編輯平臺Cutout.Pro驚傳資料外洩，2千萬會員個資流入駭客論壇</a>  2月27日有人在駭客論壇BreachForums聲稱從人工智慧影音編輯平臺Cutout.Pro竊得逾2千萬筆用戶個資，並公布大小為5.93 GB的CSV檔案，當中總共存放約4,140萬筆記錄，有2千萬個不同的電子郵件信箱帳號。 資安新聞網站Bleeping Computer取得上述CSV檔案，這些資料包含了使用者ID及頭像圖片、API金鑰、帳號建立日期、電子郵件信箱、使用者IP位址、行動電話號碼、密碼雜湊值、帳號類型與狀態。2月28日密碼外洩查詢網站Have I Been Pwned（HIBP）也將這批資料加入其資料庫，並指出受影響的帳號有19,972,829個。 值得留意的是，雖然Cutout.Pro尚未證實資料是否外洩，但Bleeping Computer與HIBP比對CSV檔案內容，驗證部分資料確實是有效帳號，對此，他們呼籲使用者應儘速重設密碼。 資料來源 1. <a href="https://www.bleepingcomputer.com/news/security/20-million-cutoutpro-user-records-leaked-on-data-breach-forum/">https://www.bleepingcomputer.com/news/security/20-million-cutoutpro-user-records-leaked-on-data-breach-forum/</a> 2. <a href="https://haveibeenpwned.com/PwnedWebsites#CutoutPro">https://haveibeenpwned.com/PwnedWebsites#CutoutPro</a> <h3>【漏洞與修補】</h3> <a href="https://infosecwriteups.com/0-click-account-takeover-on-facebook-e4120651e23e">Meta修補臉書帳號有可能遭到挾持的密碼重置漏洞</a>  研究人員Samip Aryal揭露臉書帳號的接管漏洞，這項漏洞存在於密碼重設的流程，與特定的端點流量速率限制相關，使得攻擊者有機會藉由動態密碼進行暴力破解，從而接管任何臉書帳號，過程中有可能無須使用者互動。 他發現在臉書的密碼重設過程當中，其中一種驗證方式是向使用者其他已經登入的裝置發送6位數驗證碼，但這串數字有效期間長達2個小時，且並未受到防護暴力破解攻擊機制的阻止，因此，攻擊者一旦得知目標的臉書帳號，就有機會透過像是Burp Suite等滲透測試工具破解上述驗證碼，從而竄改密碼或是挾持帳號。研究人員表示，當這個漏洞被利用的時候，受害者的裝置會收到彈出式通知，訊息內容有可能會直接顯示驗證碼，或者是要求使用者點選通知訊息檢視。 該名研究人員在1月30日向Meta通報，並於2月2日得到修補。究竟這項漏洞有多嚴重？或許能根據Meta頒發獎金的情況得知。研究人員表示，這是他從Meta拿到獎金最高的一次，但並未透露金額。 <h3>【其他新聞】</h3> <a href="https://www.cisa.gov/news-events/alerts/2024/02/29/cisa-adds-one-known-exploited-vulnerability-catalog">美國CISA將微軟串流服務漏洞CVE-2023-29360列入已被利用的名單</a>  <a href="https://www.securityweek.com/cisco-patches-high-severity-vulnerabilities-in-data-center-os/">思科修補資料中心作業系統FXOS、NX-OS的高風險漏洞</a>  <a href="https://unit42.paloaltonetworks.com/new-linux-variant-bifrost-malware/">RAT木馬程式Bifrost藉由偽冒的VMware網域散布</a>  <a href="https://www.darkreading.com/cloud-security/russia-s-midnight-blizzard-targeting-service-accounts-for-initial-cloud-access">雲端服務帳號遭到俄羅斯駭客組織APT28鎖定，成為對方入侵受害組織的主要管道</a>  <a href="https://www.darkreading.com/vulnerabilities-threats/voltzite-zaps-african-utilities-volt-typhoon-onslaught">中國駭客組織Volt Typhoon旗下團體針對非洲公營事業下手</a>  <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/161571">【3月1日】惡意程式Gtpdoor埋伏於電信網路環境從事網路間諜攻擊</a> <a href="https://www.ithome.com.tw/news/161549">【2月29日】Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式</a> <a href="https://www.ithome.com.tw/news/161517">【2月27日】知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具</a> </div></div></div>
2024/3/4 12:10作者周峻佑https://www.ithome.com.tw/news/161590
微軟Windows 11 Copilot新增第三方外掛、整合Autopatch與Windows Update
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 微軟持續增加Windows 11的AI功能，包括為數位助理Copilot新增第三方服務外掛、Windows AI設定與控制功能、魔術橡皮擦、消除聲音停頓，以及整合企業PC軟體更新的Autopatch與Windows Update。 新功能將經由Windows Update部署給Windows 11 22H2和23H2 PC。微軟會逐步部署，預計今年4月的Patch Tuesday前部署大部分新功能。 在第三波外掛功能方面，相較於之前用戶必須使用Bing Copilot外掛，現在Windows 11用戶將可透過Copilot直接在PC使用外部付費服務。第一波外掛包括餐廳訂位服務OpenTable和購物網站Instacart，下個月還會再加入Shopify、先買後付金融App Klarna、旅遊服務Kayak等。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0304-Copilot%20in%20Windows%2011-plugins-600.png" style="width: 379px;" /> 此外，從3月底開始Copilot也將加入新技能，涵括設定、輔助功能及裝置資訊類。在設定類中，用戶將可在提示框輸入文字，命令Copilot開／關省電功能，開啟儲存頁，或顯示裝置、系統或電池資訊頁。在協助視障或聽障者的輔助功能方面，Copilot下個月起可以開啟即時字幕、朗讀程式、螢幕放大鏡、語音存取與語音輸入頁、文字大小頁及對比模式頁。用戶還能讓Copilot顯示裝置的資訊，像是可用的Wi-Fi熱點、IP位址、可用儲存空間、或是要它清空資源回收桶。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0304-windows%2011%20copilot-Turn%20onoff%20battery%20saver.png" style="width: 285px;" /> 其他則有融合AI的功能，像是相片（Photo）App加入了生成式橡皮擦（generative erase）功能，可去除相片中的閒雜人事物（如天空中礙眼的飛機），影片編輯功能Clipchamp的沈默去除（silence removal）功能可消除影片音軌中說話時的停頓，後者目前為預覽版。 現在Windows 11也預設啟用自訂語音捷徑、以及在多螢幕間語音控制內容或搬動檔案、應用程式。 對企業用戶，Windows 11將整合Windows Update for Business及Autopatch於同一更新管理。其中Autopatch是對Windows PCs、Microsoft 365 App、Edge和Teams提供安全更新，現在加入AI，旨在減少軟體更新對用戶的干擾。 其他功能包括以Android手機當作Windows 11 PC視訊會議的攝影機、Windows Ink可支援新App，如WhatsApp、FB Messenger及相片、小畫家等，檔案共享功能可支援WhatsApp、Snapchat及IG，不久後也會支援FB Messenger，以及強化widget和App組織顯示的能力。 圖片來源_微軟 </div></div></div>
2024/3/4 12:30作者林妍溱https://www.ithome.com.tw/news/161592
【先建立工程師成本紀律，再打造協作式FinOps組織和文化】全球零售龍頭FinOps關鍵心法大公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 「我們從上雲的第一天，焦點就是節省成本。」沃爾瑪全通路成本維運團隊資深工程總監Tim O'Brien特別強調。 沃爾瑪（Walmart）是全球最大的零售集團，分店數超過1萬家，2023年全球營收超過了6,110億美元（臺幣1兆9千億元）。早在2015年時，沃爾瑪就全力擁抱雲原生，打造了核心數超過20萬的OpenStack私有雲，現在更是超過100萬個核心。2020年時，沃爾瑪用Kubernetes打造了一個沃爾瑪雲原生平臺（Walmart Cloud Native Platform，簡稱WCNP)），可以調度超過93,000個運算節點，來執行高達54萬多個Pod叢集，也讓網站後臺每個月有能力發布170,000次調整，比前一代架構足足增加了1,700倍。 後來，沃爾瑪更進一步發展成混合雲架構，2022年，他們揭露了現代雲架構：「三雲模式」（The Triplet Model），結合了兩家公雲和沃爾瑪私有雲，打造了一個分散三地的超大規模混合雲，運用不同公雲來提高彈性和擴充力，上面部署了一套智慧型網路流量管理平臺，還有沃爾瑪已經開源釋出的維運管理平臺OneOps和雲原生平臺（WCNP），來支援全球2萬8千人規模的技術團隊，發展各種創新應用。 電商業績首度破千億美元，每周活躍用戶年增17% 2023年對沃爾瑪來說，是自家電商業績破紀錄的一年，首度突破了1千億美元，占了該公司總營收的16％，電商平臺每周活躍用戶更是成長了17％。如何整合線上線下提供全通路的購物體驗，成了他們2024年的重要發展目標，甚至，跨通路產品搭售成了年度重要的產品策略重心。 擁有全球數一數二超大規模的企業雲，沃爾瑪的雲端成本支出也相當驚人，雖然他們從沒對外揭露明細，只坦言，隨著電商業績比重提高，雲端費用也節節增加。 早在2018年，沃爾瑪開始引進Azure和GCP等公雲，來分攤自建OpenStack私有雲的工作量，控管整體基礎架構的用量和成本。沃爾瑪找來當時擔任全球產品DevOps和SRE團隊軟體工程總監的Tim O'Brien，來負責這項計畫，由他統籌沃爾瑪全球雲端用量和成本管理。 3年前開始注意FinOps，調整多雲戰略來提高成本效益 2021年時，沃爾瑪開始意識到FinOps（雲端維運成本管理）的重要性，由Tim O'Brien帶頭調整多雲戰略，率領沃爾瑪全球技術部門的全球平臺團隊，思考如何在全球架構下達到更高的成本效益。 Tim O'Brien的第一步是先整合多雲的成本報表資訊，彙整了四十多種資料來源，包括了各種雲端用量、成本和維運的數據，用來驅動每天成本、用量、效率的決策，來發展出一套適合自己的雲端省錢維運方法。 2022年，Tim O'Brien將這套雲端維運方法，擴大應用到沃爾瑪美國市場的通路和供應商管理。2023年則更近一步擴大到沃爾瑪全球的線上與線下全通路。而Tim O'Brien也成為沃爾瑪全通路成本維運最高負責人，要與全球技術平臺團隊、內部戰略團隊、科技財務團隊聯手，訂定一套跨部門的雲端用量預測和效率衡量方法。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E6%AF%8F%E6%97%A5%E8%B2%BB%E7%94%A8%E8%AE%8A%E5%8C%96-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Walmart.png" style="width: 600px;" /> FinOps要成功，第一步得讓工程師聚焦每一天的花費。沃爾瑪自製了一項專案成本工具，可以畫出每個工程團隊每天花了多少錢，以及用在哪裡。這個工具可以從專案、團隊、部門、子公司等不同層級的分類，來檢視每個層級的每天雲端成本明細。（圖片來源／Walmart） <a href="https://www.ithome.com.tw/article/161578" target="_blank"> 相關報導 <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1171-feng_mian_p1-open-dou_zi_960x420_kao_bei_0.jpg?itok=qjRPEy6m" style="width: 550px;" /></a> </div></div></div>
2024/3/4 12:00作者王宏仁https://www.ithome.com.tw/news/161575
沃爾瑪如何管理雲端維運成本？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 跨雲用量龐大的沃爾瑪，如何管理雲端維運成本？他們發展出了一套將FinOps整合到組織和文化的關鍵心法，甚至設立了專門的跨部門FinOps支援團隊，來協助各部門實踐FinOps。 「沃爾瑪的一切都在雲上執行，投資越高，我們越需要提醒自己，得控制成本。」沃爾瑪全通路成本維運團隊資深工程總監Tim O'Brien指出，因為「要比競爭對手更懂得控制成本。」這是沃爾瑪創辦人十大準則的第九條。每一個沃爾瑪的員工都被要求要專注於省錢，才能對顧客有幫助。 所以，Tim O'Brien強調：「我們一直專注於雲端效率的提升。」也才會在上雲第一天，就開始考慮如何節省。但是「效率不只是成本問題，還涉及了穩定性和準備。」 提高工程師FinOps意識是第一步，先聚焦每天的雲端支出 沃爾瑪成功推動FinOps的關鍵是讓工程師意識到FinOps，如何做到？有三個作法，先聚焦在每一天的花費，其次再讓每日成本的變化產生關聯，最後是將成本的影響連結到顧客。 沃爾瑪打造了一項專案成本工具，可以畫出每個工程團隊每天花了多少錢，以及用在哪裡。這個工具可以從專案、團隊、部門、子公司等不同層級的分類，來檢視每個層級的每天雲端成本明細。Tim O'Brien解釋，讓團隊每天專注這些資訊，可以訓練他們真正掌握自己花錢的方式，「提高每一天的注意力，是開始控制雲端支出的第一步。」 沃爾瑪會不斷問工程師，為什麼你的花費增加了，是因為資料庫還是Log紀錄暴增？雲端資源的使用有沒有過量還是適量？沃爾瑪想要訓練工程師，有能力自己回答這些問題。 訓練團隊建立FinOps紀律 「FinOps不是為了解決成本問題，而是建立團隊紀律，能夠留意當下。」Tim O'Brien補充：「這麼做不只可以管理支出，還帶來可靠性這項好處。」他解釋，訓練團隊經常關注每日成本指標，可以訓練人們推出軟體時，更常思考架構，這樣的成本紀律可以帶來更高的可靠性。一但發生事故，他們常常是第一個回應的人，也知道如何處理。 將每日雲端支出年度化，來凸顯成本變化的影響 當團隊習慣留意每天的成本後，沃爾瑪的下一步是將讓這些成本變化更有關聯性，作法是聚焦在每日成本變化率的增減趨勢，並且將這些「雲端支出年度化」。這是為了讓這些雲端費用的變化，與工程師自己產生關聯，讓團隊更珍惜投入這麼多成本所帶來的價值。 舉例來說，若有工程師為了推出一項新功能，需要啟動新的VM，一天要多付500美元上雲費用，沃爾瑪會將這一日的費用變化乘以365天，轉換成對未來一年的影響，就可以讓工程師認知到，新功能一年得多花18.2萬美元，超過臺幣5百萬元，不是一筆小數目。 更進一步，沃爾瑪還從顧客角度來歸因這一筆雲端支出的影響，要求工程師思考「要賣掉多少商品，營收才得以打平這項新增功能的成本？這麼做值不值得？投入的雲端成本與顧客有關係嗎？新增的功能對顧客有幫助嗎？」 Tim O'Brien補充：「將所有的節省或浪費，都連結到顧客和相關的體驗，才有意義。」 訓練工程師注意每日支出只是基本原則，Tim O'Brien還要求整個團隊得注意到各種層面的每日支出，依據職位不同，各自負責關注不同重點。資深經理以上的資深主管，甚至是技術長，都得意識到每日支出的變化率，如何能夠用來鼓勵當責（Accountability），讓團隊對投入相關花費的結果負起責任。 而工程師與團隊的中低階經理，則要從每日支出更意識到架構對成本的影響，例如經常評估遷移到新架構的成本是多少？或是檢查所準備的儲存空間有沒有使用？上傳了數PB的資料該用冷儲存、標準儲存還是歸檔儲存？有沒有造成浪費或是提供了過高規格的儲存空間？「儲存是最容易忘記拿來用的技術。」Tim O'Brien說。 Tim O'Brien指出：「關注每天花費，就像打籃球，每天練習就會進步，每天練習還可以讓你保持敏銳，FinOps也是一樣。」不只如此，這麼做還會帶來額外的好處，他補充，追蹤每日成本，也是一種追蹤和觀察技術架構的方法，一但觀察到意外的支出，對事件的應變能力和回應都會更及時。 為了減少雲端成本，戰略上，沃爾瑪訂定跨年的省錢戰略，也會落實到每年和每季預算上，但更重要的是訂定每日支出的目標。在戰術上，則聚焦追蹤每天的雲端消費情況、監控利用率。 沃爾瑪高層每周必看的雲端費用表 不只設定每日目標，還會訂出隨著時間進展的費用下降路徑。每周Tim O'Brien率領的全通路成本維運團隊，都會寄一張雲端費用表給沃爾瑪每位高層。在這張表上，會列出每個部門每周的平均每日支出，例如某部門5/1～5/7平均每天上雲費用是34.2萬美元，每日目標是三個月後，也就是要在10月1日時，降低到每日上雲費用是25萬美元，也就是一天要減少9.2萬美元。 9.2萬美元這個節省額度，不是一天或一個月達成，而是分3個月，每個月降低四分一，因此，在這張表也會同時列出，每個月要達到的每日支出金額，例如7/1每日支出要減為31.9萬美元（減少25%），而8/1則要降低到每天花29.6萬美元（減少50%），9/1是27.3萬美元（減少75%)，以及10/1的25萬美元，並且列出每個月要減少的金額為2.3萬美元、4.6萬美元、6.9萬美元，讓高層可以知道，未來每個月預計節省費用的下降趨勢該是如何。只要這個團隊某個月的每日支出超出了原定目標，馬上就會知道，偏移了多少，應該在下個月修正多少，最終才能達標。 「一個團隊的預算是按年來規畫，但是焦點必須是每天關注。」這就是沃爾瑪落實FinOps的秘訣，Tim O'Brien說：「雖然不是所有的雲端支出都下降，有些領域還是持續增加，但是我們透過這些方式，努力減少上雲的費用。」 發展協作式FinOps，避免將FinOps變成省錢比賽 Tim O'Brien也提醒，不能把FinOps當成省錢的比賽，他認為：「FinOps需要協作，得避免造成競爭心態，不能變成一種爭『省錢功勞』的情況。」為了發展成協作式的FinOps實踐，沃爾瑪會特別先防範3種FinOps壞模式，避免團隊出現3種不好的行為。 避免團隊出現三種FinOps壞模式 第一種不良行為是「標榜自己才是專家」，FinOps團隊要避免認為自己才是雲端維運管理專家，專門指揮其他團隊該怎麼做，或是列出一張長長的省錢改善清單，要求其他團隊照單執行。一但其他團隊不聽指揮，FinOps團隊又沒辦法負責，就無法落實FinOps。「要讓團隊自己建立標準和省錢目標，自己當責。」Tim O'Brien表示。 第二種要避免的行為是「指責他人」，FinOps團隊不能在老闆面前，責怪哪個團隊或哪一個人沒做好，這會破壞彼此的關係，FinOps協作就會失敗。「鼓勵才有助於熱情和理解，尤其FinOps要擴大規模，特別不容易，需要採取鼓勵的態度，而非責難。」Tim O'Brien會盡量將成果歸功到更多人，讓其他人因注重FinOps而獲得晉升。 最後一種不良行為是，FinOps團隊得避免「自己把持FinOps資料」。像Tim O'Brien的團隊整合四十多種不同的資料來源，才彙整出各種雲端用量、成本和維運的數據，但是，FinOps團隊不能自己想要獨占這些成本和利用率的數據，而是得意識到，用到雲端的每一個團隊，都需要掌握和分析這些資料。「資料沒有共享，就沒有信任，而且不只是提供資料，還要分享分析。可以建立一個跨部門的超級使用者社群，一起討論。」他說。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%88%90%E6%9C%AC%E7%AE%A1%E7%90%86%E8%A1%A8%E5%8F%83%E8%80%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Walmart.png" style="width: 600px;" /> 每一周，沃爾瑪每一位高層會收到這樣一張雲端費用表（圖中數據為模擬的假資料），列出每個部門每周的平均每日支出，以及未來3個月後要減少的目標金額，還會列出每個月預計節省費用的下降趨勢。只要團隊某個月的每日支出超過預定目標，馬上就會知道偏移多少，下個月應該修正多少，最終才能達標。（圖片來源／Walmart） <a href="https://www.ithome.com.tw/article/161578" target="_blank"> 相關報導 <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1171-feng_mian_p1-open-dou_zi_960x420_kao_bei_0.jpg?itok=qjRPEy6m" style="width: 550px;" /></a> </div></div></div>
2024/3/4 12:00作者王宏仁https://www.ithome.com.tw/news/161576
沃爾瑪雲端省錢術成功關鍵：FinOps扮演支援角色而非實踐主角
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 在FinOps組織架構的設計上，沃爾瑪全通路成本維運團隊資深工程總監Tim O'Brien表示，沃爾瑪沒有設立一個「FinOps專門團隊」，而是設立了一個「FinOps支援團隊」，來支援技術平臺團隊和業務部門（面對各市場顧客的各部門）更善用雲端技術和推動FinOps。這個FinOps支援團隊由財務和工程人員組成，負責建立FinOps實踐需要的相關標準，而且是沃爾瑪全球技術團隊都適用的標準。 就算有一個50人規模的FinOps團隊，也不可能掌握每一隻AP的架構和所有細節，必須由工程團隊、AP團隊自己動手，才能真正提高效率。這正是沃爾瑪採取協作式FinOps實踐方式的原因。 在這個FinOps支援團隊之上，沃爾瑪還設了一個指導委員會，找來各事業群資深副總裁組成，負責設定FinOps整體目標、公司政策和共同戰略。 Tim O'Brien格外強調，想要落實FinOps得避免競爭心態，最不能問的問題就，節省這筆錢是誰的功勞？這是最危險的問題，會造成兩個團隊互爭功勞，得改說你們兩個團隊，共同幫顧客節省了多少。「要獎勵協作的行為，而非省錢的行為。」 甚至，沃爾瑪的FinOps支援團隊雖然是扮演了核心推手，還會刻意避免參與到各部門的FinOps協作之中，要讓團隊雙方自己就能合作，不需要透過FinOps支援團隊才能找到提高雲端使用效率的機會點。「全都靠支援團隊才能協作，無法擴大FinOps協作的規模。」Tim O'Brien提醒。 沃爾瑪會盡量讓利害關係人建立FinOps的關係。 例如讓不同工程團隊和電商部門，供應鏈管理部門，連鎖店面部門，彼此直接溝通和共同負責省錢的工作。 用資料無塵室打造省錢效率機會儀表板，設立省錢點子交換平臺 像是沃爾瑪正在建立一個跨團隊共享的資料無塵室，彙集了各種雲端成本、利用率的數據，可以用來討論有哪些降低成本的「效率機會」（Efficiency Opportunity）。採用資料無塵室技術，可以確保每個部門只能看到符合各自權限的資料。 在資料無塵室中，提供了一款效率機會儀表板的工具，以紅綠燈機制列出各種提高效率的指標，紅燈機會是可以立即行動的項目，而黃燈則代表需要持續注意的項目。 列入紅燈機會的項目像是還有多少沒用的VM虛擬機數量，或是有多少閒置半年的Cassandra資料庫或是閒置的資料表數量。 而黃燈機會則像是，利用率低於特定警戒值的項目，例如CPU利用率低於40%的VM等。沃爾瑪FinOps支援團隊會和Ap團隊，用實際的AP使用數據來討論警戒值高低的風險和影響，決定應該訂在多少。 Tim O'Brien表示：「我們嘗試將這個效率機會儀表板發展成一個內部的開源專案，」工程師可以查看每一個效率機會如何訂定，效率機會儀表板也串接了一套共享的上雲費用和利用率的數據，所有技術團隊可以查詢每一個紅燈機會、黃燈機會背後的數據。 不只是效率機會儀表板，沃爾瑪還打造了一個開放共享的效率機會點子交換平臺，可以讓各個部門交換改善FinOps效率的點子。 任何部門，任何職位的人員，從資深的副總裁，到新進的工程師，人人都可以提出效率機會的點子到這個交換平臺中，也開放眾人討論，並且會使用各種數據來進行效率評估，看看這個點子是不是一個真正的機會，或者也可以提供一個新的效率標準，再來評估適當性。「這個靠內部協作來節省成本的作法，可以擴大規模。讓所有工程團隊和AP團隊，透過這個開放平臺交換效率機會的點子，FinOps支援團隊提供需要的支援，但是不介入這個協作。」 Finops支援團隊會追蹤不同團隊的FinOps協作情況，來鼓勵雙方直接進行溝通和對成果負責，想辦法帶動這個虛擬社群的討論氣氛，促成各事業群業務團隊和AP團隊之間的溝通，另外也會建立一個可以共同分攤責任的框架。 沃爾瑪是一家超級龐大的公司，員工數超過2百萬，技術團隊也將近3萬人，不斷會有新人和持續招聘，如何在新人不斷進來的同時，又能保持成熟的FinOps實踐能力，Tim O'Brien強調，不能將FinOps集中到一個部門來負責，而是要透過鼓勵社群協作的發展，讓節省成本的FinOps文化活躍到整個組織中。這正是沃爾瑪FinOps成功的關鍵。 <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_FinOps%E7%B5%84%E7%B9%94-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Walmart.png" style="width: 500px;" /> 在FinOps組織架構上，沃爾瑪設立了一個「FinOps支援團隊」，支援技術平臺團隊和業務部門更善用雲端技術和推動FinOps。這個支援團隊，由財務和工程人員組成，負責建立FinOps實踐需要的相關標準。在支援團隊之上，由各事業群資深副總裁組成指導委員會，負責設定FinOps整體目標、公司政策和共同戰略。（圖片來源／Walmart） <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_%E7%99%BC%E5%B1%95%E5%8D%94%E4%BD%9C%E9%97%9C%E4%BF%82-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Walmart.png" style="width: 600px;" /> 沃爾瑪會盡量讓利害關係人建立FinOps的關係，例如讓不同工程團隊和電商部門，供應鏈管理部門，連鎖店面部門，彼此直接溝通和共同負責省錢的工作。FinOps支援團隊會刻意避免參與到各部門的FinOps協作之中，讓團隊雙方自己就能合作，不需要透過支援團隊才能找到提高雲端效率的機會點。（圖片來源／Walmart） <a href="https://www.ithome.com.tw/article/161578" target="_blank"> 相關報導 <img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1171-feng_mian_p1-open-dou_zi_960x420_kao_bei_0.jpg?itok=qjRPEy6m" style="width: 550px;" /></a> </div></div></div>
2024/3/4 12:00作者王宏仁https://www.ithome.com.tw/news/161577
零售龍頭雲端省錢術
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1171-feng_mian_p1-open-dou_zi_960x420_kao_bei_0.jpg?itok=qjRPEy6m" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 2023年沃爾瑪電商業績，首度突破了1千億美元，每周活躍用戶更是成長了17％。沃爾瑪的一切都在雲上執行，私有雲核心數破百萬，2年前更發展出了多雲混合雲架構。沃爾瑪早從3年前就開始推動FinOps，甚至從上雲的第一天，就開始講究節省成本 </div></div></div>
2024/3/4 12:00作者王宏仁https://www.ithome.com.tw/article/161578
博通以38億美元出售VMware用戶端運算業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 博通（Broadcom）和私募基金業者KKR上周宣布，博通將以38億美元將VMware包含遠端存取技術的用戶端運算（End-User Computing，EUC）部門出售給後者。 EUC原為VMware旗下的桌面虛擬化及端點管理，或其稱數位工作區（digital workspace）的解決方案，旨在讓企業在任何裝置或平臺上都能安全連線及管理應用程式、桌機及資料。它包含企業平臺Workspace ONE整合終端管理（Unified Endpoint Management，UEM）、旗艦桌機及應用程式虛擬化平臺Horizon，以及資料、身份與工作流程共通平臺服務。 出售業務視主管機關核准及其他條件而定，預計今年內完成。在出售後，EUC將成為一家獨立公司，並由現有管理團隊持續統率，包含其現任該部門總經理Shankar Iyer。KKR<a href="https://media.kkr.com/news-details/?news_id=48701629-ae4d-4d88-b1a9-90a438c6bf6c" target="_blank">表示</a>，除了尋求新的合作夥伴關係外，新公司也將擴建業務團隊。 這也是博通去年11月收購VMware後，最新的產品及組織精簡措施。去年收購完成後一周博通就裁減VMware人力，<a href="https://www.crn.com/news/virtualization/broadcom-s-confirmed-vmware-cuts-surpass-2-000-as-mass-new-york-disclose-layoffs" target="_blank">據稱</a>超過2,000人。未經證實的消息<a href="https://www.reddit.com/r/vmware/comments/1b1sah4/broadcom_silent_layoffs_email_to_vmware_about_40/?rdt=61195" target="_blank">指出</a>博通以不續工作簽證為手段，迫使外籍工程師主動離職。 另外，為了提高來自經銷通路的營收，博通去年底<a href="https://www.ithome.com.tw/news/160549" target="_blank">取消</a>現有合作夥伴關係，將只接受下單量大的經銷商作為新的合作夥伴。今年一月VMware又宣布終結了56項VMware產品，<a href="https://www.thestack.technology/vmware-is-killing-off-56-products-including-vsphere-hypervisor-and-nsx/" target="_blank">包括</a>VMware Hypervisor，以簡化產品、減少研發成本。 博通在上周MWC大會上宣布整合VMware及Symantec技術，結合VMware VeloCloud SD-WAN（前稱VMware SD-WAN）及Symantec Security Service Edge（SSE）成為軟體定義邊緣（Software-Defined Edge）產品線<a href="https://www.broadcom.com/company/news/product-releases/61876" target="_blank">VMware VeloCloud SASE</a>以管理5G網路、邊緣網路。 KKR對IT產品並不陌生。KKR 2018年<a href="https://www.ithome.com.tw/news/136105" target="_blank">買下</a>系統管理軟體業者BMC，後者則陸續買入其他IT產品業者，包括大型主機軟體商Compuware。2022年這家私募基金業者又從另一家基金公司Thoma Bravo手上<a href="https://www.ithome.com.tw/news/150439" target="_blank">買入</a>網路設備商Barracuda。 </div></div></div>
2024/3/4 10:21作者林妍溱https://www.ithome.com.tw/news/161589
【資安週報】2024年2月26日到3月1日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 告別2月，迎接3月，我們要提醒大家注意的資安消息，包括兆勤、Canon、思科的漏洞修補消息，以及開源軟體存在Wi-Fi身分驗證繞過漏洞的相關修補，需要企業著手因應之外，特別的是，還有兩個與微軟有關的漏洞利用，這些問題都必須重視，請用戶及早修補或實施緩解機制。 （一）微軟在2月修補的漏洞CVE-2024-21338，通報此漏洞的資安業者Avast最近指出，發現修補前已有北韓駭客組織Lazarus利用，以關閉特定的防護處理程序、迴避偵測。由於上述狀況的發生，也表示此弱點已導致零時差漏洞攻擊。 （二）去年6月微軟修補微軟Streaming Service相關漏洞<a href="https://www.cisa.gov/news-events/alerts/2024/02/29/cisa-adds-one-known-exploited-vulnerability-catalog">CVE-2023-29360，這是存在於驅動程式mskssrv.sys的權限提升漏洞，近日發現鎖定利用的情形</a>。這段時間的iThome資安日報尚未提及，在此補上。 另外，前幾期週報我們已提醒的Ivanti Connect Secure漏洞，以及ScreenConnect漏洞，如今傳出中國駭客與多個駭客團體正鎖定攻擊的情形，尚未因應的企業需要趕緊行動。 在資安事件方面，國內有3項消息受到矚目，都與上市公司有關，包括： ●2月26日，上市綠能環保、PCB廢液處理業者昶昕公告，部份資訊系統遭受駭客網路攻擊事件。 ●2月29日，中華電信因媒體報導有人在暗網兜售該公司的內部資料，發布重大訊息，表明資安團隊查知疑似資料外流的情況，正展開調查。 ●2月27日，散熱風扇廠商建準在一星期前已公告發生網路資安事件，但這天再次發布新的重訊，說明該事件的後續處理情形。 在資安威脅焦點方面，上星期發生的兩起重大事件，都有後續消息傳出。例如，才被11個國家執法單位圍剿的勒索軟體駭客組織LockBit，已傳出重啟爐灶的消息；關於中國資安業者「安洵信息」的資料外洩，曝露該國政府對全球20國發動網路間諜行動的情況，後續有更多與臺灣資安現況有關的內容被分析出來，像是國外研究人員指出，當中蒐集了臺灣道路地圖檔案的情資，已竊取495 GB的相關檔案，臺灣資安業者TeamT5亦指出，當中透露該公司與中國政府打交道的情形，產品細節與財務，以及上報RAT木馬程式ShadowPad開發的細節，顯示這批資料的可信度相當高。 其他最新威脅態勢的揭露上，我們注意到5個值得留意的狀況，其中有3則是多國網路安全機構的示警： ●AI開發者與用戶要當心！近日有兩起資安新聞，一是機器學習模型共享平臺Hugging Face出現100個惡意模型，不慎下載恐將被安裝後門程式，另一是AI影片編輯平臺Cutout.Pro傳出資料外洩，2千萬名會員個資流入駭客論壇。 ●電信業者注意！有研究人員揭露駭客近期使用的後門程式Gtpdoor，主要針對鄰近GPRS交換網路（GRX）的電信網路環境入侵，並將攻擊流量混入合法流量，隱匿攻擊行動。 ●德國BfV、韓國NIS提出警告，北韓駭客針對全球國防單位從事網路間諜行動，這份警告也揭露當中存在供應鏈攻擊的狀況：對方入侵維護廠商竊取SSH帳密，從而存取海事及航運研究中心的Linux網頁伺服器主機。 ●10國執法機關聯手針對俄羅斯駭客組織APT28的攻擊行動提出警告，指出攻擊者正鎖定Ubiquiti路由器入侵，並濫用EdgeRouter迴避偵測、建置殭屍網路，以隱匿攻擊行動。 ●<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a">美國CISA</a>與<a href="https://www.ncsc.gov.uk/files/Advisory-SVR-cyber-actors-adapt-tactics-for-initial-cloud-access.pdf">英國NCSC</a>示警，俄羅斯駭客組織APT29（亦稱Midnight Blizzard）是俄羅斯情報部門SVR的一部分，近期經常針對服務帳戶使用密碼噴灑攻擊，以取得對雲端環境的初始存取權限。本週刊出的資安日報尚未提及，在此補上。 還有一個威脅態勢，我們認為也相當值得企業警惕，是棄用的子網域名稱遭濫用，有攻擊者正進行這方面的大規模網路掃描，以奪取控制權，進而盜用企業身分發動網路釣魚攻擊。近期已有MSN、VMware、eBay等多家企業的網域遭利用，這也突顯即使大型知名企業，仍可能在這方面產生疏忽。 至於防禦態勢上，最大焦點就是美國NIST正式發布了網路安全框架CSF 2.0，新版不僅加入治理功能，還有一系列的資源與工具，讓企業更容易去實踐。例如，在5種快速入門指南中，有小型企業（SMB）適用的快速入門指南，在CPRT工具中則針對各項子類別，提供了易於理解的實踐範例。 <h3><a href="https://www.ithome.com.tw/news/161467">【2月26日】勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來</a></h3> 執法單位<a href="https://www.ithome.com.tw/news/161379">針對勒索軟體駭客組織LockBit出手</a>，成功接管34臺LockBit伺服器，凍結逾200個加密貨幣帳戶，逮捕2名嫌犯，隨後<a href="https://www.ithome.com.tw/news/161386">日本警方也在No More Ransom網站提供LockBit 3.0解密工具</a>。但這群駭客也不是省油的燈，不到一週的時間，他們重新架設網站，並聲稱已有組織受害。 在此期間，已經有駭客利用遠端桌面連線軟體ScreenConnect的重大漏洞，<a href="https://www.ithome.com.tw/news/161450#SlashAndGrab">對醫療機構散布LockBit用來加密檔案</a>，但當時研究人員推測，可能是未被取締的附屬組織所為。 <h3><a href="https://www.ithome.com.tw/news/161517">【2月27日】知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具</a></h3> 駭客註冊特定名稱的網域並用於攻擊行動很常見，而且，過往這類手法最常見的做法，便是註冊與目標組織名稱類似的網域，企圖混淆使用者來達到目的，但最近，研究人員發現使用新型態手法的攻擊行動，駭客能夠繞過垃圾郵件過濾器或是郵件安全閘道的防護。 特別的是，這次駭客是尋找知名企業組織棄用許久的網域名稱，並重新註冊納為己有，然後用這些網域、子網域來大量發送惡意郵件。 <a href="https://www.ithome.com.tw/news/161549">【2月29日】Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式</a> 最近2到3年，駭客偏好散布惡意程式的新興管道，其中之一就是針對開發人員使用的開源套件儲存庫NPM、PyPI而來，藉由在此發行有問題的套件，進而在安裝、使用這些套件的電腦散布惡意程式，但隨著生成式AI技術的崛起，類似的情況也出現在共享機器學習模型的平臺。 在譽為AI界GitHub之稱的Hugging Face平臺，研究人員發現裡面存在惡意的機器學習模型，值得留意的是，儘管該公司已採取多項檢測措施來掃描機器學習模型的檔案是否有害，然而，這些模型居然可以繞過這些機制而能成功上架，因此平臺端和使用者端都要提高警覺。 <h3><a href="https://www.ithome.com.tw/news/161571">【3月1日】惡意程式Gtpdoor埋伏於電信網路環境從事網路間諜攻擊</a></h3> 電信業者遭到駭客組織鎖定，長期埋伏於電信網路環境的情況，最近幾年陸續有研究人員公布相關的攻擊行動，如今又有新的發現。 研究人員發現新的後門程式Gtpdoor，與過往發現的作案工具有所不同的是，駭客組織LightBasin疑似直接使用GPRS隧道通訊協定（GTP）來隱匿流量內容，並將其混入合法流量，而使得電信業者難以偵測該組織從事的網路間諜行動。 </div></div></div>
2024/3/4 09:27作者羅正漢https://www.ithome.com.tw/news/161587
白宮要開發者放棄C和C++改用記憶體安全程式語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 白宮發布報告<a href="https://www.whitehouse.gov/wp-content/uploads/2024/02/Final-ONCD-Technical-Report.pdf">《Back to the Building Blocks: A Path Toward Secure and Measurable Software》</a>，以呼籲科技界主動減少網路攻擊面，針對軟體漏洞方面，白宮認為應該主動採取措施以減少漏洞帶來的風險，希望開發人員放棄C和C++改用記憶體安全程式語言，以增加軟體安全性。 記憶體安全漏洞是嚴重且長期存在的問題，因為記憶體存取、寫入、分配或是非預期釋放所產生的漏洞，影響了整個數位生態系的安全性，白宮將記憶體安全漏洞分為空間與時間兩類，空間記憶體問題是指，程式存取不屬於其記憶體區域所產生的安全漏洞，而時間記憶體漏洞則是在不對的時間和狀態存取記憶體，像是物件被釋放後才存取物件資料等情況。 過去數十年重大的網路安全漏洞，不少是由記憶體安全漏洞引起，像是1988年的Morris Worm、2003年的Slammer Worm DoS攻擊、2014年的Heartbleed，甚至是2023年的BLASTPASS都是屬於記憶體漏洞，而白宮認為，減少記憶體漏洞最有效的方法便是從程式語言下手。 許多網路安全問題都是由單行程式碼引起，所以白宮指出，解決這些安全問題的有效方法，便是檢查所使用的程式語言本身。藉由分析和選擇程式語言的特性，尤其是關於記憶體安全的功能，可以減少甚至是消除不正確的記憶體使用方式，像是存取未分配的記憶體、緩衝區溢出等，所導致的錯誤和漏洞。 白宮指出，目前一些在重要系統中廣泛使用的語言，像是C和C++，皆缺乏記憶體安全相關的功能。而根據CISA（Cybersecurity and Infrastructure Security Agency）開源軟體安全路線圖的建議，選用記憶體安全程式語言是一種安全設計的方式。目前已經有許多記憶體安全程式語言可用，技術製造商在建構新產品的時候，可以一開始就使用記憶體安全程式語言。 轉換到記憶體安全程式語言對網路安全有明顯且積極的影響，白宮引用產業分析指出，以記憶體不安全語言所開發的程式碼，即便經過嚴格的程式碼審查和其他偵測控制，有分配CVE編號的安全漏洞中高達70％是由記憶體安全問題所致，而證據也顯示，將大型程式碼庫轉移到記憶體安全語言，可幾乎消除安全漏洞。 雖然將現有程式碼完全以記憶體安全程式語言重寫具有困難度，但是還是有其他替代方案，像是混合方法，開發人員可以根據風險標準找出關鍵功能或是函式庫，優先以記憶體安全程式語言重寫這些部分。即便記憶體安全程式語言不是萬靈丹，無法解決所有網路安全問題，但白宮表示，這是技術製造商消除廣泛類別軟體漏洞，一個可以採取的重要行動。 使用記憶體安全的程式語言可以消除大部分記憶體安全錯誤，雖然在特定情況中，專案可能無法使用記憶體安全程式語言，但是白宮藉由太空系統為例，檢視由於效能或是特定技術要求，而無法使用記憶體安全的特殊狀況，並且提出以記憶體安全硬體和形式化方法，作為記憶體安全程式語言不足的補充方法。 OpenSSF正面<a href="https://openssf.org/blog/2024/02/26/openssf-supports-efforts-to-build-more-secure-and-measurable-software/">回應</a>了白宮的這份研究報告，承諾共同努力提高開源軟體的安全性。OpenSSF提倡採用Rust記憶體安全程式語言，以解決C和C++等傳統程式語言在記憶體管理上的脆弱性，OpenSSF也開發了C和C++編譯器選項強化指南，指導無法簡單搬遷使用記憶體安全語言的開發人員。 </div></div></div>
2024/3/4 08:19作者李建興https://www.ithome.com.tw/news/161573
Google更新BigQuery支援Gemini 1.0 Pro模型，並正式推出AlloyDB AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> Google讓<a href="https://cloud.google.com/blog/products/databases/bigquery-and-alloydb-hit-major-milestone-with-ai-enabled-updates">BigQuery可透過Vertex AI存取大型語言模型Gemini 1.0 Pro</a>，使得用戶能夠運用BigQuery資料進行多模態和進階推理，以支援醫療、供應鏈，甚至是零售和金融等產業人工智慧應用。Gemini 1.0 Pro是Google在去年底推出的大型語言模型，可以生成文字、翻譯語言，編寫各種內容，在文字摘要和情緒分析等廣泛任務表現良好，BigQuery用戶現可以從控制臺內部，使用SQL語句或是BigQuery嵌入式DataFrame API存取該模型。 Google計畫之後還會擴展對Gemini 1.0 Pro的支援，讓客戶能夠應用更多模態生成式人工智慧用例，像是使用SQL查詢分析圖像、影片或是其他複雜資料。另外，BigQuery也開始預覽Vertex AI的文字和語音模型服務，供企業從文件和音訊檔案等非結構化資料中擷取有價值的資訊。 Google還宣布AlloyDB AI正式上市，AlloyDB AI是AlloyDB for PostgreSQL中一組用以建構生成式人工智慧應用的功能，協助開發者使用營運資料，建構高效能且可擴展的人工智慧應用程式。AlloyDB AI內建端到端向量嵌入支援，讓開發者能夠將營運資料與大型語言模型結合使用。 簡單來說，AlloyDB AI用戶可以使用簡單的SQL函式，將資料轉為向量嵌入，與標準PostgreSQL相比，向量查詢速度可提升達到10倍。除了AlloyDB AI，現在Google也開始預覽Spanner、MySQL和Redis的向量搜尋功能，並且預告之後將會整合LangChain開源框架，讓開發者更容易地在應用中整合大型語言模型。 </div></div></div>
2024/3/4 08:23作者李建興https://www.ithome.com.tw/news/161574
【資安日報】3月1日，惡意程式Gtpdoor埋伏於電信網路環境從事網路間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 電信業者遭到駭客組織鎖定，長期埋伏於電信網路環境的情況，最近幾年陸續有研究人員公布相關的攻擊行動，如今又有新的發現。 研究人員發現新的後門程式Gtpdoor，與過往發現的作案工具有所不同的是，駭客組織LightBasin疑似直接使用GPRS隧道通訊協定（GTP）來隱匿流量內容，並將其混入合法流量，而使得電信業者難以偵測該組織從事的網路間諜行動。 <h3>【攻擊與威脅】</h3> <a href="https://doubleagent.net/telecommunications/backdoor/gtp/2024/02/27/GTPDOOR-COVERT-TELCO-BACKDOOR">惡意程式Gtpdoor鎖定電信業者而來，透過GPRS網路進行控制</a>  <a href="https://s4.itho.me/sites/default/files/images/Gtpdoor-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gtpdoor-1.png" style="width: 300px; float: right;" /></a>研究人員Haxrob揭露名為Gtpdoor的後門程式，駭客將其部署在鄰近GPRS交換網路（GRX）的電信網路環境，並透過GPRS隧道通訊協定（GTP）與C2進行連線，從而透過電信業者開放的連接埠，將攻擊流量混入合法流量，而能隱匿其攻擊行動。 此後門程式具備監聽特定封包喚醒的功能，並支援反向Shell的功能，攻擊者也能藉此從外部網路進行非法探測，透過發送TCP封包來得知該後門程式的運作狀態。此外，對於特定的GTP封包，該後門程式使用XOR密碼進行加密處理。 而對於利用該後門程式的攻擊者身分，研究人員認為可能是資安業者CrowdStrike揭露的LightBasin（也被稱做UNC1945），這些駭客曾被發現對超過13家電信業者下手，從2019年開始從這些廠商的基礎設施收集各式資訊。 <a href="https://www.zscaler.com/blogs/security-research/european-diplomats-targeted-spikedwine-wineloader">歐洲政府機關遭到鎖定，駭客利用印度外交活動為誘餌，散布後門程式WineLoader</a>  <a href="https://s4.itho.me/sites/default/files/images/WineLoader_1_5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/WineLoader_1_5.png" style="width: 300px; float: right;" /></a>資安業者Zscaler名為SpikedWine的駭客組織攻擊行動，這些駭客疑似從去年7月開始活動，其中一起發生於今年1月30日的事故，是駭客佯稱是印度大使，邀請歐洲外交官參加2月份的品酒活動。 對方使用PDF文件檔案做為誘餌，要求收到邀請函的官員填寫網路問卷，然而一旦照做，攻擊者就會將名為wine.hta的HTML應用程式檔案下載到電腦，該檔案含有經混淆處理的JavaScript程式碼，功能是從網域搜尋、下載挾帶後門程式檔案的壓縮檔，從而在電腦植入惡意軟體WineLoader。 此惡意程式以DLL挖空手法注入特定的DLL檔案執行，為了迴避偵測，攻擊者以模組化的方式設計此惡意程式，相關的模組、與C2通訊的流量，也使用256位元的RC4金鑰進行加密處理。 <a href="https://blogs.jpcert.or.jp/en/2024/02/lazarus_pypi.html">北韓駭客Lazarus釋出惡意PyPI套件，意圖散布惡意軟體Comebacker</a>  2月28日日本電腦緊急應變小組（JPCERT/CC）提出警告，北韓駭客組織Lazarus近期在PyPI平臺上架4款具有惡意的軟體套件，企圖向開發人員散布惡意程式Comebacker。這些套件的名稱分別是pycryptoenv、pycryptoconf、quasarlib、swapmempool，在遭到刪除前共被下載3,257次。 上述惡意套件採用類似的檔案結構，其中包含名為test.py的檔案，駭客於目標電腦執行帶有crypt功能函數的Python指令碼對其進行解碼，從而產生DLL程式庫output.py，然後該程式庫會用於建立另一個DLL檔案IconCache.db，也就是惡意軟體Comebacker，並於記憶體內執行、與C2連線。 <a href="https://www.mandiant.com/resources/blog/investigating-ivanti-exploitation-persistence">中國駭客組織利用Ivanti Connect Secure漏洞從事攻擊行動，恐針對美國、日本、亞太地區國防工業及電信機構而來</a>  資安業者Mandiant指出，他們在Ivanti於1月10日公布Ivanti Connect Secure零時差漏洞CVE-2023-46805、CVE-2024-21887之後，發現有中國駭客跟進、利用這些漏洞。 其中1個名為UNC5325的駭客組織，不只使用寄生攻擊（LotL）手法來迴避偵測，並部署新型態的惡意軟體Littlelamb.Wooltea，從而在受害系統進行韌體更新、恢復原廠初始設置後，仍能在受害環境進行活動。研究人員指出，這些駭客在Ivanti公布之前，就利用了另一個漏洞CVE-2024-21893，而在Ivanti公布之後，對方企圖將其與CVE-2024-21887串連，造成更大的危害。 根據駭客所使用的程式碼，研究人員認為這群人馬可能與另一個中國駭客組織UNC3886有關，而該組織主要攻擊範圍是美國、日本，以及亞太地區，針對國防工業基礎設施、科技業者、電信組織，他們推測UNC5325也會對於上述目標發動攻擊。 <a href="https://www.bitdefender.com/blog/labs/when-stealers-converge-new-variant-of-atomic-stealer-in-the-wild/">竊資軟體Atomic Stealer鎖定Safari的cookie、加密貨幣錢包而來</a>  資安業者Bitdefender發現新的macOS竊資軟體Atomic Stealer（亦稱AMOS Stealer）變種，這些竊資軟體採用Python指令碼讓其行蹤維持隱密，此惡意程式會收集瀏覽器裡儲存的資訊（特別是Safari的cookie），以及系統裡的特定檔案，並會引誘使用者提供本機帳號的密碼。 研究人員指出，這款竊資軟體採用了結合Python與Apple指令碼的罕見手法，而有可能影響資安系統的偵測。附帶一提的是，他們比對了Atomic Stealer的程式碼，發現與2月上旬出現、假借Visual Studio更新程式來散布的竊資軟體RustDoor出現共用程式碼的情況，研判新版Atomic Stealer是以RustDoor為基礎開發而成。 <a href="https://www.ithome.com.tw/news/161562">中華電信傳出資料外洩，我國國安單位內部資料流入暗網</a> 2月29日中華電信突然發布重大訊息提出說明，表明他們的資安團隊查知疑似資料外流的情況，已全面啟動資安防禦機制，並與外部資安技術專家共同合作處理，同時向政府部門進行通報。為何中華電信昨天要發布這則重大訊息？原因可能與這兩天一家媒體的報導有關，裡面提到有人在暗網兜售中華電信的內部資料。 根據TVBS新聞臺2月28日的報導，近期暗網出現中華電信與國安單位之間往來的機密文件和公文，賣家聲稱握有1.7 TB資料，內容涵蓋內部文件、逾7千個資料庫，政府採購合約等。 這些合約包含：軍司令部「租用中新一號後續衛星轉頻器」、外交部3年前與諾魯的資通訊合作案會議前摘要、去年海巡署巡護九號艦艇安裝和啟用衛星通訊的合約，此外，中華電信曾在2021年參與中科院的通資交換節點標案，金額為1,985萬元，相關文件被列為機密等級，但可能也因此遭公開。 資料來源 1. <a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=124334&SPOKE_DATE=20240229&COMPANY_ID=2412">https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=124334&SPOKE_DATE=20240229&COMPANY_ID=2412</a> 2. <a href="https://news.tvbs.com.tw/politics/2409149">https://news.tvbs.com.tw/politics/2409149</a> <a href="https://www.ithome.com.tw/news/161561">建準公布2月19日遭遇加密攻擊事故後續處理狀況，坦承技術人員電腦檔案遭加密，恐有資料外洩風險</a>  2月19日散熱風扇製造商建準發布重大訊息，指出其資訊系統遭到加密攻擊，當時他們已找到加密來源並阻斷加密，資料無外洩的疑慮，他們也沒有遭到勒索。27日他們二度發布重大訊息，透露後續處理情形。該公司表示，他們在外部專家協助下，發現駭客入侵部分技術人員的電腦，並對其中重要檔案進行加密，研判恐有資料外洩的疑慮。 值得留意的是，這次他們特別提到部分檔案出現無法解密的情況，可能意味著曾嘗試使用解密工具，但無法復原所有資料，此狀態是否發生在上述技術人員的電腦，外界依照這份說明也難以確定。 <h3>【漏洞與修補】</h3> <a href="https://www.top10vpn.com/research/wifi-vulnerabilities/">開源軟體存在Wi-Fi身分驗證繞過漏洞，安卓、ChromeOS、Linux用戶恐曝險</a>  比利時魯汶大學（KU Leuven）研究人員Mathy Vanhoef與VPN軟體測試網站Top10VPN聯手，揭露Wi-Fi元件Wpa_supplicant、iNet Wireless Daemon（IWD）的身分驗證繞過漏洞。這兩個元件目前廣泛用於多個Linux作業系統，但安卓、ChromeOS則是只使用Wpa_supplicant，而使得該元件漏洞的影響範圍較大。 研究人員在Wpa_supplicant發現了CVE-2023-52160，攻擊者可用於建置惡意Wi-Fi網路，並將其偽裝成合法網路，然後誘騙使用者進行連線，而有可能挾持他們裝置的網路流量，且過程無需用戶互動。 另一個存在於IWD的漏洞是CVE-2023-52161，一旦遭到利用，攻擊者可用來存取家用或小型企業的Wi-Fi網路，從而攻擊網路環境裡的裝置，或是攔截敏感資料、散布惡意程式。研究人員通報上述漏洞，Google已於ChromeOS 118修補，多個Linux版本也著手上述漏洞。 <h3>【其他新聞】</h3> <a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=170427&SPOKE_DATE=20240226&COMPANY_ID=8438">PCB廢液處理業者昶昕部分資訊系統遭到網路攻擊，初步評估對公司運作無重大影響</a> <a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-claims-they-stole-6tb-of-change-healthcare-data/">醫療保健支付平臺Change Healthcare傳出遭勒索軟體BlackCat攻擊，6 TB資料流出</a>  <a href="https://www.bleepingcomputer.com/news/security/20-million-cutoutpro-user-records-leaked-on-data-breach-forum/">AI影片編輯平臺Cutout.Pro驚傳資料外洩，2千萬會員個資流入駭客論壇</a> <a href="https://www.cyfirma.com/outofband/xeno-rat-a-new-remote-access-trojan-with-advance-capabilities/">開源RAT木馬程式Xeno上架GitHub，恐成為駭客利用的作案工具</a>  <a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-060b">美國針對Ivanti Connect Secure漏洞攻擊提出警告，即使重置原廠設定也無法完全清除威脅</a>  <h3>近期資安日報</h3> <a href="https://www.ithome.com.tw/news/161549">【2月29日】Hugging Face平臺上面出現惡意模型！能在用戶電腦部署後門程式</a> <a href="https://www.ithome.com.tw/news/161517">【2月27日】知名組織棄置的網域與子網域淪為掩護惡意郵件攻擊的新興工具</a> <a href="https://www.ithome.com.tw/news/161467">【2月26日】勒索軟體駭客組織LockBit在執法單位控制基礎設施不到一週就捲土重來</a> </div></div></div>
2024/3/1 17:27作者周峻佑https://www.ithome.com.tw/news/161571
VS Code開始支援語音聽寫功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://code.visualstudio.com/updates/v1_87">VS Code 1.87</a>已經釋出，這個版本新增了多項功能，開發者現在可以直接在編輯器中，使用語音聽寫功能編寫程式碼，還有查看並接受多游標的行內建議，在Copilot更新方面，現在支援重新命名建議，以及提供開發容器的範本與功能建議。 VS Code開始支援語音輸入功能，開發者需要先安裝VS Code Speech擴充套件，使用快捷鍵啟動和停止編輯器的語音輸入，而用戶也可以選用對講機模式，按住快捷鍵啟用語音辨識，並在釋放按鍵時停止語音辨識。語音輸入功能也適用於編輯器其他功能，像是SCM提交輸入框，還有審查拉取請求時的評語輸入欄位等。 VS Code編輯功能則有三項更新，在1.87版本中，預設啟用黏性滾動（Sticky Scroll），使頂端的程式碼在頁面捲動時置頂保持可見，且編輯器的黏性小工具中顯示的最大行數，從10行增加到了20行。而微軟還新增對多游標行內程式碼完成建議的支援，行內程式碼完成已經可以在主要與次要游標位置提供預覽並應用建議。 重構預覽功能讓開發者進行程式碼重構，對要應用的變更進行審查，而在新的重構預覽功能中，變更會在多差異編譯器中顯示，供開發者透過比較版本差異，更清楚地查看所有變更。 GitHub Copilot逐步推出重新命名建議功能，當開發者在VS Code編輯器中重新命名符號時，Copilot便會根據程式碼，提供一系列名稱建議供開發者選擇。 另外，Copilot Chat的預覽版本，添加了一個新的聊天變數名稱#codebase，這個變數可用於提供工作區上下文資訊給Copilot。簡單來說，當開發者在與Copilot聊天時，使用#codebase變數可以讓Copilot了解工作區的內容，進而以具體程式碼和工作環境作為基礎，提供更加貼切的建議和回答。 而提供了使用開發容器、透過SSH連接遠端機器、遠端通道，或是WSL作為開發環境功能的VS Code遠端開發擴充套件，現在當開發者向工作空間添加開發容器配置檔案時，Copilot Chat則會提供模板和功能建議。 </div></div></div>
2024/3/1 16:28作者李建興https://www.ithome.com.tw/news/161568
Fintech周報第232期：日本交易所集團宣布打造資料湖，實現全球性綜合金融資訊平臺願景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);">2/19~3/1金融科技精選新聞</h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"> 日本交易所集團 資料湖 </h3> <h3>日本交易所集團宣布打造資料湖，實現全球性綜合金融資訊平臺願景</h3> 日本交易所集團（Japan Exchange Group,JPX）宣布開發資料湖，預計2024年底開始營運。為了實現2030年成為全球性綜合金融資訊平臺的願景，日本交易所集團期望，透過資料湖集中管理各種數據，發展AI、ML和生成式AI等技術，進一步開發增值服務。 這個資料湖預計納入交易系統、清算系統、市場營運相關系統、內部營運系統的數據，用來開發AI和數據分析工具，協助提升內部營運、擴展資料分散式服務範圍，和與第三方企業夥伴合作。此外，日本交易所集團也考慮納入和股票、衍生品市場的交易數據，包括綠色相關數據、即時揭露資訊、JPX網站數據、上市公司公布的新資訊等。 日本交易所集團在AWS上建立資料湖，期望透過AWS的生態系擴展跨國資料分散式服務。內部則建立資料CoE，集結集團中管理資料的IT部門，和使用資料的業務部門，共同針對數據需求提供支持。 <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"> 澳洲第五大銀行 核心系統整合 </h3> <h3>澳洲最大區域銀行預計2026年完成核心系統整合，從8個核心系統整合成單一核心系統</h3> 本迪戈和阿德萊德銀行近期公布半年財報，報告中表示，集團內部正在減少系統複雜性，將多達8個核心系統整合為1個核心。該行從1858年成立，前身為地區建屋合作社，於1993年轉型為銀行，長達百年的營運期間陸續與多家機構整併，內部擁有高達13個品牌、8個核心系統同時運作。 該行自2021年開始整合多個核心系統，並逐步減少內部IT應用程式數量。目前，該行核心系統已減少至4個，預計2026年完成單一核心系統運作。本迪戈和阿德萊德銀行常務董事Marnie Baker表示，他們正在以模組化的方式拆分系統，並在前端系統建立新技術，例如，CRM系統、CIS系統和擔保品管理系統，讓核心系統只需處理和交易紀錄和總帳對帳等功能。 <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"> 金管會 機器人理財 </h3> <h3>金管會開放券商、客戶和投顧事業簽訂三方契約就能使用機器人理財服務，放寬自動化平衡規定</h3> 金管會近期宣布，已完成相關規定預告程序，將開放證券商、客戶和投顧事業共同簽訂三方契約，接受投顧事業以機器人理財進行自動再平衡交易。未來，民眾若要使用投顧事業推出的機器人理財服務，不再需要跑一趟券商簽約，只要簽妥三方契約即可使用這項服務。 目前，投顧業者提供的機器人理財服務若要納入境外ETF，需要透過券商進行複委託買賣，且券商也不能接受投顧事業以系統自動為客戶做自動再平衡交易，無法完成一站式自動化投資服務。因此，金管會去年11月公布修正相關規範，開放券商、客戶和投顧事業可簽訂三方契約，讓投顧事業由系統自動為客戶執行自動再平衡交易，不再需要經過券商代理的程序，即可為客戶申購、買賣或交割有價證券。 <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"> 玉山金控 金融AI </h3> <h3>玉山金控董事長黃男州：AI未來可能扮演三種重要角色，具備發展潛力</h3> 玉山金控董事長黃男州日前在法說會前記者會中表示，AI未來可能扮演三種重要角色，具備發展潛力。第一種角色是智能夥伴，能和人類共同進行創造。第二，AI是溝通大師，不僅能與人溝通，也能在物聯網中與物溝通，未來人類可以透過AI與物溝通和合作，十分具有發展潛力。第三，AI是時光壓縮機，能處理許多過去需耗費大量時間學習的產業知識。黃男州最後也表示，未來AI還會與上雲結合，因此雲端也是重要議題。 <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"> 量子技術 網路攻擊 </h3> <h3>新加坡金管局建議金融機構提早準備預防量子技術造成的網路攻擊</h3> 新加坡金管局近期發布一份報告，提及量子技術可能在十年內引發網路安全風險，建議金融機構提早預防。報告中表示，量子機器運作遠比傳統電腦更快，可能打破常用的加密和數位簽章。隨著可能破解加密系統的量子電腦出現，金融機構處理金融交易和敏感數據的安全性受到威脅。 報告書中建議，金融機構需要達到加密敏捷性，能在不會對系統和基礎設施造成顯著影響的情況下，有效遷移至抗量子密碼學（Post-Quantum Cryptography，PQC）的演算法。此外，金融機構也可以實施其他量子安全解決方法緩解風險，例如量子密鑰分發技術（Quantum key distribution,QKD）。 <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"> 香港銀行公會 金融防詐 </h3> <h3>香港銀行公會將在消金銀行系統上安裝反惡意程式，阻擋存有惡意或可疑應用程式的顧客裝置</h3> 香港銀行公會近期宣布，2月下旬起將針對香港主要消金銀行提出安全措施，在這些銀行的系統設立額外的反惡意程式。當反惡意程式偵測到銀行顧客裝置中存有惡意或可疑應用程式，安全措施會立刻啟動，包括阻止顧客登入銀行應用程式、提示顧客刪除惡意或可疑的應用程式，或在處理交易前撤銷部份應用程式權限。 香港銀行公會比紹，這些措施是為了保護銀行帳戶免於未經授權的存取，相關措施不會對顧客裝置進行監控，也不會收集或儲存任何個人資料。 <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"> Google Pay 數位支付 </h3> <h3>為簡化支付App使用經驗，Google停止GooglePay在美服務，僅留Google Wallet</h3> Google近期宣布將簡化數位支付服務，將在今年6月關閉美國地區的Google Pay App，全部統整於Google Wallet。Google Wallet在2022年7月正式上線，除了數位支付，還可儲存各種票券及數位身份證件、信用卡或學生證等證明。 在美國，Google Wallet用戶使用量是Google Pay的5倍，但為了簡化App使用經驗，Google計畫停止Google Pay使用，至於其他地區的Google Pay服務會有哪些變化Google尚未說明。 圖片來源／日本交易所集團 責任編輯／李昀璇 資料來源：iThome整理，2024年3月  </div></div></div>
2024/3/1 15:14作者李昀璇https://www.ithome.com.tw/news/161566
貼牌的中國製智慧門鈴內含安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://www.consumerreports.org/home-garden/home-security-cameras/video-doorbells-sold-by-major-retailers-have-security-flaws-a2579288796/" target="_blank">《消費者報告》（Consumer Reports）本周揭露</a>，他們發現兩款不同品牌但看起來一樣的智慧門鈴含有嚴重安全漏洞，允許駭客自遠端存取門鈴所拍攝的影片或照片。追蹤後發現，它們皆來自於總部位於中國的製造商Eken，且Eken總計推出10種不同品牌的智慧門鈴，全都使用同樣的行動程式Aiwit，還在Amazon、Walmart及Sears等電子商務網站上銷售。這使得《消費者報告》發動連署，要求美國聯邦交易委員會（FTC）即刻阻止相關產品的銷售。 此一發現始於《消費者報告》的安全測試工程師Steve Blair與David Della Rocca的定期評估活動，他們在Eken和Tuck兩款智慧門鈴上發現了安全漏洞，不僅如此，這兩款不同品牌的智慧門鈴在外型與包裝上也都一樣，且可透過同樣的Aiwit行動程式控制。 Blair與Rocca所發現的安全漏洞包括門鈴在未加密的狀況下，直接曝露家庭IP位址與Wi-Fi網路名稱，意謂著駭客只要下載Aiwit程式並建立帳戶，再前往目標的住處，按下門鈴按鈕將手機與門鈴配對，即可將門鈴連至一個Wi-Fi熱點並接管它。接管目標對象的門鈴之後就可自遠端查看智慧門鈴的錄像，也可檢視裝置的序號。 儘管原本的用戶在門鈴重新與手機配對時會收到郵件通知，有機會重新取回門鈴的控制權，但取得了門鈴序號的駭客則可繼續自遠端存取影片中的靜態圖像，也不會觸發任何通知。 此外，工程師還發現，有10種不同品牌的智慧門鈴都使用Aiwit程式來控制，再購買其中兩款以Fishbot和Rakeblue為品牌名稱的門鈴之後，顯示它們不僅外觀類似，也都具備同樣的漏洞。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Eken-Door%20bell-Photo%20by%20Consumer%20Reports.png" style="width: 600px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Eken-Door%20bell-Photo%20by%20Consumer%20Reports-2.png" style="width: 400px;" /> 圖片來源／Consumer Reports 而不管是Aiwit或這10個品牌，似乎都是由總部設於中國深圳的Eken所生產。 這些可能來自於同一製造商，卻採用不同品牌的智慧門鈴透過Amazon、Walmart、Sears、Shein與Temu等電子商務網站銷售，且Amazon銷售其中的6種品牌。Eken在Amazon上設立了商城，所提供的數十款智慧門鈴售價都在40美元以下。 《消費者報告》已分別通知Eken及Amazon，卻都未得到回應，因而<a href="https://action.consumerreports.org/cro-20240304-doorbellcamera-ftc" target="_blank">發動連署</a>，號召消費者共同呼籲FTC將其下架。 </div></div></div>
2024/3/1 15:23作者陳曉莉https://www.ithome.com.tw/news/161567
AI趨勢周報第245期：YOLOv9來了！2大巧思克服深度學習資訊損失難題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 重點新聞(0223～0229) YOLOv9 中研院 物件偵測 YOLOv9來了！2大巧思克服深度學習資訊損失難題 中研院資訊所團隊最近<a href="https://github.com/WongKinYiu/yolov9">發表</a>即時物件偵測模型YOLOv9，應用2種新方法，來克服深度學習長久難解的資訊損失問題。進一步來說，資訊損失一直是深度學習領域的挑戰，因為，資料輸入類神經網路時，會經過一層層的特徵提取和空間轉換，進而遺失許多原始資訊。就好比口耳相傳一件事，傳到第5、6人時，故事已丟失許多細節了。 為解決這個問題，中研院團隊提出了2個作法，首先是可程式化梯度資訊（Programmable Gradient Information，簡稱PGI），透過主枝、輔助可逆分枝和多層輔助資訊等3個架構，能在模型訓練過程中，盡可能保留原始特徵，來減少資訊丟失。另一種方法是新型的輕量級網路架構GELAN，能提高模型處理資訊的能力和效率。這個GELAN架構很特別，它結合了中研院團隊在前幾代物件偵測模型的良好成果，如CSPNet和ELAN架構，並進一步擴展其泛化能力，發展為GELAN。GELAN兼具了輕量、推論快速和準確的優點。 團隊測試發現，從頭訓練的YOLOv9，表現比用ImageNet大型資料集預訓練的主流物件偵測SOTA模型要好，如YOLO MS、RT DETR、YOLOv5 r7.0、YOLOv6 v3.0、YOLOv7、YOLOv8等。尤其，PGI能準確保留和提取所需資訊，讓YOLOv9只使用66%的參數，就能達到複雜模型RT DETR-X的準確度。團隊論文點出，PGI可用於各種量級的模型，從輕量到複雜的大模型皆可。而這次發表的YOLOv9共有4個版本，包括最小型的S、中型的M、完整版的C和強化版的E版本。<a href="https://arxiv.org/abs/2402.13616">（詳全文）</a> <img alt="" src="https://arxiv.org/html/2402.13616v2/extracted/5439110/figs/sota.png" /> Google 視覺理解 VideoPrism Google揭露最新通用視覺模型 Google開發一套基礎視覺編碼器VideoPrism，單一套模型就能進行分類、定位（Localization）、檢索、字幕和問答等影片理解任務，還在30個基準測試中達到最佳表現。 Google表示，這套模型是通用影片理解單一模型，該模型所使用的預訓練資料集，是目前最大、最多樣的影片訓練語料庫，有3,600萬個附高品質字幕的精選影片和5.82億個含雜訊文字的影片片段。至於模型訓練，則採用了標準視覺Transformer（ViT）的分解設計，包括兩階段，一是用高品質的影片文字資料和帶有雜訊文字的影片，以對比學習，教導模型將影片和文字描述配對。第二是透過遮罩影片建模框架，來訓練模型預測影片中缺失的部分。 此時，團隊還會隨機打亂預測出來的Token，以防止模型學到捷徑，如可能依據固定順序或模式做出預測，而隨機方式可迫使模型深入理解影片內容，不只是依賴表面特徵。Google認為，VideoPrism與大型語言模型結合，可在影片文字檢索、字幕生成和影片問答任務中，展現更強大的能力。<a href="https://blog.research.google/2024/02/videoprism-foundational-visual-encoder.html">（詳全文）</a> <img alt="" src="https://s4.itho.me/sites/default/files/images/videoframe_2992.png" /> 生成式AI 玉山金控 GENIE 玉山金控揭露內部生成式AI應用 玉山金控科技長張智星日前在法說會前記者會中，揭露玉山自2022年就開始布局生成式AI，並在同年底舉辦黑克松競賽，讓內部同仁了解生成式AI、思考可能的應用。近期，他們開發一款生成式AI平臺GENIE，供內部用來生成文案、翻譯、程式碼教學和設置聊天機器人等。張智星指出，生成式AI不只是單獨產品，還能與許多場景串聯，如掃描全行文件後，用生成式AI來校正文件中的辨識錯誤，或將會議發言轉為逐字稿，再以生成式AI勘誤。目前，玉山內部已有100個以上的AI模型，包括風控AI、行銷AI、客服AI、流程AI和賦能AI，接下來，他們也會思考AI與雲端結合應用的方向。<a href="https://www.ithome.com.tw/news/161210">（詳全文）</a> 生成式AI 紅隊工具 微軟 微軟開源紅隊工具PyRIT，可測試生成式AI韌性 微軟最近在GitHub上開源PyRIT工具包，能讓安全人員和機器學習工程師自動化用來辨識大型語言模型（LLM）風險，如辨識生成惡意程式、越獄或資料竊盜等濫用行為。進一步來說，PyRIT由5個元件所組成，包括用來測試的目標、提示資料集、自我評估或既有分類器的評分引擎、單輪或多輪的攻擊策略，以及存放輸入和輸出等互動資料的記憶體。 PyRIT可先傳送惡意提示到特定的生成式AI系統，收到回應後，再將它傳至評分引擎，根據評分引擎傳回的結果再產生新提示，再傳送至生成式AI系統，不斷循環、直至實現所設定的目標。根據微軟測試，用PyRIT對Copilot進行紅隊演練時，可先選擇一個有害類別、生成數千個惡意提示，再以PyRIT的評分引擎來評估Copilot系統的輸出結果。這麼做，讓原本需要幾周的測試，在幾小時內就能完成。微軟表示，PyRIT並非要取代紅隊測試，而是用來揭露可能的風險，再由專家深入探索。<a href="https://github.com/Azure/PyRIT">（詳全文）</a> Gemini Nano 聯發科 Google 聯發科聯手Google，中階手機也能執行Gemini Nano了 聯發科最近宣布旗下2款處理器，支援Google行動版語言模型Gemini Nano。這2款處理器為天璣8300中階處理器和天璣9300旗艦處理器，除了能支援Gemini Nano模型、讓使用這些處理器的手機能執行Gemini Nano外，聯發科還提供AI開發工具組NeuroPilot，來讓模型在聯發科APU上執行，來提高效能。 尤其，雙方也計畫釋出天璣8300和天璣9300處理器的APK，來讓開發者和手機品牌商部署Gemini Nano應用程式。雙方這次的合作，意謂著Gemini Nano將能在中階手機上執行，Google還曾表示，高通、聯發科和三星的旗艦處理器都會支援Nano。<a href="https://www.mediatek.com/blog/mediatek-dimensity-9300-and-8300-chipsets-now-optimized-for-google-gemini-nano">（詳全文）</a> <img alt="" src="https://mediatek-marketing.transforms.svdcdn.com/production/posts/MWC_Google_Gemini_2024-02-22-134032_cfcr.png?w=1200&h=630&q=80&auto=format&fit=crop&dm=1708609232&s=a0483c6dd2aed04153a22b7e316acb1b" /> LLM Mistral AI 微軟 Mistral AI發表新模型Mistral Large 2023年4月才成立的Mistral AI，最近發表一款大型語言模型Mistral Large和聊天機器人Le Chat預覽版，其中Mistral Large不管是在MMLU、HellaSwag、Wino Grande或Arc Challenge（25-shot）等基準測試，都與GPT 4相差無幾，是備受外界矚目的後起之秀。 Mistral Large是繼Mistral-tiny、Mistral-small和Mistral-medium後的最大、最進階模型，可支援3.2萬個Token的文章脈絡，也懂英文、法文、西班牙文、德文和義大利文。Mistral Large也具精確的指令遵循，讓開發者得以設計其審核策略，也可直接呼叫函數。該模型也能處理複雜且多語言的推論任務，如文字理解、轉換和程式碼生成。 就在同一天，微軟也宣布與Mistral AI建立多年合作夥伴關係，包括Mistral AI可運用Azure AI基礎設施來加速開發、部署新一代大型語言模型，而且微軟Azure也將供應Mistral AI付費模型服務。迄今Azure上已代管了來自 Meta、Nvidia、Deci 與 Hugging Face等公司或組織的1,600多個開源及專有模型。<a href="https://mistral.ai/news/mistral-large/">（詳全文）</a> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-03-01%20150220.png" /> Android 視覺輔助 行車助理 Google在3大Android App中新添AI功能 Google宣布為Android作業系統的訊息、圖片和車機系統加入AI，而且，Google Messages應用程式也能直接呼叫Gemini AI助理了。用戶不需跳離App，即可以文字提示要求Gemini草擬訊息內容、腦力激盪創意、規畫活動等工作。Android視覺輔助App Lookout則加入AI描述，可自動為相片、線上圖片，或訊息中的照片加入AI產生的描述，並大聲朗讀，來幫助視障人士理解圖片內容。該功能已全球上線，支援英文。 另一項類似應用是Google Lens in Maps的螢幕閱讀器，結合了Android輔助功能TalkBack，只要用戶將手機相機對準周遭環境，TalkBack就能念出該地資訊，像是一家銀行的營業時間、餐廳評分。再來，加入AI功能的行車助理Android Auto，可在用戶開車時，自動為一長段文字或群組對話摘錄重點，也能建議回覆和後續行動，且按一下就能傳送訊息、分享預定抵達時間或接電話。<a href="https://blog.google/products/android/new-android-features-february-2024/">（詳全文）</a> <img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/040_Android_Auto_Messaging_Alpha_1x1.gif" /> 三星 智慧戒指 AI助理 三星亮相可量測生理數值的智慧戒指 繼今年1月在消費電子大展CES上首次亮相後，三星在最近的世界通訊大會MWC上，正式展示可量測心率、活動量等生理數值的智慧戒指Galaxy Ring，預計今年稍晚上市。 Galaxy Ring是三星智慧健康系列的一環，它結合了Samsung Health數位健康平臺，主打AI為基礎的個人化健康管理。該戒指可搭配新的健康應用管理功能，如My Vitality Score服務，可提供睡眠、活動、心率量測和心率變異資訊，而搭配Booster Card則可追蹤各項定義好的量測目標。三星表示，智慧戒指蒐集的生理數據，將匯整入每月6,400萬用戶的Samsung Health全球資料集，作為三星AI健康管理服務的基礎。他們的計畫是，以數位健康管理平臺和智慧手錶、智慧戒指等裝置，與第三方夥伴建立健康生態系，如上個月三星Galaxy Watch成為VR生理治療平臺XRHealth的心率監控裝置，或三星Sleep Mode技術整合到合作夥伴的智慧床墊，調整床墊環境以幫助入睡。<a href="https://news.samsung.com/global/samsung-presents-galaxy-ai-vision-at-mwc-2024-with-latest-products-and-services">（詳全文）</a> 圖片來源／YOLOv9論文、Google、聯發科、Mistral AI AI近期新聞 1. 微軟Copilot for Finance預覽版登場 2. Adobe公布音樂編輯生成式AI工具，提供音樂版的Photoshop能力 3. Google雲端更新安全指揮中心，增強雲端AI資源安全管理 資料來源：iThome整理，2024年2月 </div></div></div>
2024/3/1 15:40作者王若樸https://www.ithome.com.tw/news/161569
微軟Copilot for Finance預覽版登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 繼於今年2月<a href="https://www.ithome.com.tw/news/161178" target="_blank">推出</a>支援業務及客服的Copilot for Sales與Copilot for Service等AI工具之後，微軟周四（2/29）發表了<a href="https://blogs.microsoft.com/blog/2024/02/29/introducing-microsoft-copilot-for-finance-the-newest-copilot-offering-in-microsoft-365-designed-to-transform-modern-finance/" target="_blank">Copilot for Finance預覽版</a>，這是微軟針對財務人員所設計的AI聊天機器人，以協助他們更有效率地完成任務。 Copilot for Finance可連結至組織的財務系統，包括Dynamics 365與SAP等，並直接於Outlook、Excel、Microsoft Teams或其它Microsoft 365應用中，提供特定角色的工作流程自動化、指導或建議。 例如Copilot for Finance可協助財務分析師在Excel中，以自然語言提示執行差異分析，以檢查資料集是否出現異常、風險或不匹配的值；或是藉由自動化的資料結構比較，以及故障排除，來簡化Excel中的對帳流程，有助於確保財務紀錄的可靠及準確性。 <img alt="" src="https://s4.itho.me/sites/default/files/images/0301-Microsoft%20Copilot%20for%20Finance-600-1.jpg" style="width: 301px;" /> 除了應用於Excel中之外，它還能於Outlook中提供客戶餘額報表與發票等帳戶資訊的完整摘要，以加速收款流程；或是直接將Excel中的資料轉成簡報形式，以於Outlook及Teams上分享。 整體而言，Copilot for Finance可藉由簡單的提示與資料核對來簡化審計，透過自動化通訊及付款計畫來簡化收款，以及偵測差異來加速財務報告，減輕財務人員的負擔。 根據微軟的工作趨勢指數<a href="https://www.microsoft.com/en-us/worklab/work-trend-index/copilots-earliest-users-teach-us-about-generative-ai-at-work" target="_blank">（Work Trend Index）調查</a>，人們正被資料淹沒，他們每天約有1/4的時間花在資訊搜尋上，且每天所消耗的資訊中，有一半被認為是工作上的必要資訊，另一項針對用戶如何使用AI的<a href="https://www.microsoft.com/en-us/worklab/5-key-principles-for-implementing-an-ai-strategy-across-your-organization" target="_blank">調查</a>則顯示，有三大族群宣稱他們最可能使用AI來幫忙找到所需的資訊，而它們便是業務（83%）、客戶服務（81%）與IT/技術（85%），財務人員則說他們想利用AI來減少資訊孤島。 圖片來源／微軟 </div></div></div>
2024/3/1 14:17作者陳曉莉https://www.ithome.com.tw/news/161565
GitHub向所有用戶預設啟用推送保護，避免密碼和金鑰意外洩漏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> GitHub現在<a href="https://github.blog/2024-02-29-keeping-secrets-out-of-public-repositories/">預設開啟推送保護（Push Protection）功能</a>，協助開源開發者保護其密碼與金鑰等機密資訊。當推送保護功能啟用時，系統會自動檢查開發者推送到GitHub中的程式碼，一旦發現包含諸如密碼和API金鑰等敏感資訊，GitHub會阻擋推送操作並通知開發者，避免潛在的安全問題。 原本從去年8月開始，GitHub讓所有雲端使用者選擇啟用推送保護功能，不過GitHub提到，API金鑰、令牌和各種機密資料外洩的規模非常大，光是2024年前兩個月，GitHub就已經在公開儲存庫偵測到100萬筆洩漏的機密資料，相當於每分鐘超過10次。 因此現在GitHub決定向所有使用者啟用推送保護，當公共儲存庫中的任何推送偵測到系統所支援的機密資料時，用戶可以從提交中刪除該機密，或是選擇跳過阻擋直接提交。雖然官方預設啟用推送保護，用戶仍可以從安全設定中停用推送保護，不過GitHub強調，他們還是建議用戶啟用推送保護，並根據需要進行例外處理，不要完全停用推送保護。 此項功能變更將在一到兩週的時間套用至所有用戶的帳戶，不過用戶也可以在安全設定中驗證狀態並且選擇提早啟用。而當原本就有使用GitHub Enterprise計畫的組織，也可以添加GitHub Advanced Security保護私人儲存庫中的機密，並且獲得所有機密掃描功能、程式碼掃描、人工智慧自動修復程式碼建議，和其他靜態應用程式安全功能。 </div></div></div>
2024/3/1 14:58作者李建興https://www.ithome.com.tw/news/161564
HP推出印表機訂閱服務，主打家用、SMB市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <a href="https://press.hp.com/us/en/blogs/2024/hp-all-in-plan.html" target="_blank">HP本周宣布</a>印表機訂閱租賃服務，以解決家庭或中小企業印表機維修困擾，最低每月6.99美元。不過目前這項服務只在美國提供。 家庭用戶、學校、店家經常需要列印，不論是學生教材、小孩家庭作業、網購退貨標籤（return label）或收據等，但對於欠缺IT人員的家庭、個人工作室、學校或小型企業來說，設定和管理印表機是相當麻煩的事。HP說已聽到用戶心聲，名為<a href="https://www.hp.com/us-en/all-in-plan/printers.html" target="_blank">All-In Plan</a>可讓用戶不再需要購買印表機或墨水匣。 All-In Plan為針對家庭和中小企業新設計的全包式租賃服務，內容包含一臺印表機及24x7線上支援，內建的管理軟體讓用戶墨水快用光之前寄送到家，若機器故障可隔日免費更換。印表機使用2年後也可以升級。HP還提供30天免費試用服務。 HP <a href="https://www.hp.com/us-en/all-in-plan/printers.html" target="_blank">All-In Plan方案</a>提供2款HP家用機種Envy系列，以及1款中小企業機種OfficeJet Pro噴墨印表機選擇，依據機器等級，訂閱費用分別為每月6.99、8.99及12.99美元。不過這項服務目前僅在美國提供，並未說是否會在海外實施。 </div></div></div>
2024/3/1 13:41作者林妍溱https://www.ithome.com.tw/news/161563
中華電信傳出資料外洩，我國國安單位內部資料流入暗網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 2月29日<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=124334&SPOKE_DATE=20240229&COMPANY_ID=2412">中華電信突然發布重大訊息提出說明</a>，表明他們的資安團隊查知疑似資料外流的情況，已全面啟動資安防禦機制，並與外部資安技術專家共同合作處理，同時向政府部門進行通報。而針對未來的因應措施，他們也承諾為確保資料安全，將會持續強化網路安全的管控。 為何中華電信昨天要發布這則重大訊息？原因可能與這兩天一家媒體的報導有關，裡面提到有人在暗網兜售中華電信的內部資料。 <a href="https://s4.itho.me/sites/default/files/images/rzi9gaD9Qn.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/rzi9gaD9Qn.png" style="width: 580px;" /></a> 根據TVBS新聞臺2月28日的報導，<a href="https://news.tvbs.com.tw/politics/2409149">近期暗網出現中華電信與國安單位之間往來的機密文件和公文</a>，賣家聲稱握有1.7 TB資料，內容涵蓋內部文件、逾7千個資料庫，政府採購合約等。 這些合約包含：軍司令部「租用中新一號後續衛星轉頻器」、外交部3年前與諾魯的資通訊合作案會議前摘要、去年海巡署巡護九號艦艇安裝和啟用衛星通訊的合約，此外，中華電信曾在2021年參與中科院的通資交換節點標案，金額為1,985萬元，相關文件被列為機密等級，但可能也因此遭公開。 其他可能外洩的資料，還包括2017年國防部資通電軍申請空軍模式模擬能量提升案的結果報告，另有疑似中華電信的電路圖，地址為臺北市中正區重慶南路二段7巷2樓樓頂，地點就在總統永和官邸正對面。 究竟這些資料如何外洩？國防院戰略資源研究所長蘇紫雲認為，很有可能是相關人士的手機遭到入侵造成。 </div></div></div>
2024/3/1 12:06作者周峻佑https://www.ithome.com.tw/news/161562
建準公布2月19日遭遇加密攻擊事故後續處理狀況，坦承技術人員電腦檔案遭加密，恐有資料外洩風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 2月19日散熱風扇製造商建準<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=155714&SPOKE_DATE=20240219&COMPANY_ID=2421">發布重大訊息</a>，指出其資訊系統遭到加密攻擊，當時他們已找到加密來源並阻斷加密，資料無外洩的疑慮，他們也沒有遭到勒索。27日他們<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=181815&SPOKE_DATE=20240227&COMPANY_ID=2421">二度發布重大訊息</a>，透露後續處理情形。 有別於過往的重大訊息，通常是證實受害公司遭遇網路攻擊，而對於事故的細節也往往三緘其口，更別說是透露後續處理的情形。這次建準公布調查結果及受影響的範圍，也能提供其他企業借鏡，對握有高權限的技術人員提高保護層級。 該公司表示，他們在外部專家協助下，發現駭客入侵部分技術人員的電腦，並對其中重要檔案進行加密，恐有資料外洩的疑慮。 「駭客進行檔案加密」與「受害企業資料外洩」看似矛盾，然而在現今的網路攻擊當中，使用勒索軟體加密檔案往往是攻擊過程後期的手段，在此之前，駭客早已將這些他們存取到的資料複製、傳至外部，以便進行後續的勒索或是利用、拍賣。 值得留意的是，這次他們特別提到部分檔案出現無法解密的情況，可能意味著曾嘗試使用解密工具，但無法復原所有資料，此狀態是否發生在上述技術人員的電腦，外界依照這份說明也難以確定。 <a href="https://s4.itho.me/sites/default/files/images/bfsB8c1Dxn.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/bfsB8c1Dxn.png" style="width: 580px;" /></a> </div></div></div>
2024/3/1 10:50作者周峻佑https://www.ithome.com.tw/news/161561
Stack Overflow將整合Google Cloud、讓Gemini開發人員存取知識庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 開發人員QA平臺Stack Overflow與Google Cloud昨（29）日<a href="https://www.googlecloudpresscorner.com/2024-02-29-Stack-Overflow-and-Google-Cloud-Announce-Strategic-Partnership-to-Bring-Generative-AI-to-Millions-of-Developers" target="_blank">宣布一項合作</a>，讓Google Cloud的Gemini得以存取Stack Overflow開發知識庫，或提供開發建議，Stack Overflow也將採用Google Cloud為運行平臺、整合其工具。 在此之前，Google Cloud上的AI助理，名為Gemini for Google Cloud（即之前的DuetAI），已經過公開資訊及開源程式碼訓練，能提供開發建議，但這項合作可使Stack Overflow的開發知識庫進一步整合到Google Cloud上。首先，Gemini for Google Cloud可透過Stack Overflow新開發的OverflowAPI存取其知識庫，在開發人員呼叫Gemini時提供開發建議、程式碼及回答問題。 其次，使用Gemini for Cloud的開發人員也可以直接在Google Cloud控制臺（console）中存取Stack Overflow，包括詢問問題或獲得Stack Overflow社群其他成員的解答，讓他們管理或開發Google Cloud應用程式及基礎架構時不用跳離執行介面。 這項合作第二部分是Stack Overflow和Google Cloud工具的整合。首先，Stack Overflow已經選擇Google Cloud作為代管平臺。Stack Overflow計畫之後將使用Google Cloud的AI平臺Vertex工具提升社群互動和內容出版流程。雙方表示，這方面的合作可望能加速Stack Overflow的內容核准流程，改善Stack Overflow使用者經驗。 這項合作或可提供Stack Overflow必要的財務挹注。這個技術人員QA平臺在ChatGPT等AI聊天機器人興起後流量大減，<a href="https://www.ithome.com.tw/news/158048" target="_blank">開發新服務</a>如Overflow專案增加使用者黏著度，但Stack Overflow去年仍被迫<a href="https://www.ithome.com.tw/news/159310" target="_blank">裁員</a>28%。 Stack Overflow和Google Cloud合作的首批合作成果，預計於4月9到11日的Google Cloud Next大會上預覽，並在今年上半年正式啟用。 </div></div></div>
2024/3/1 10:37作者林妍溱https://www.ithome.com.tw/news/161559
Adobe公布音樂編輯生成式AI工具，提供音樂版的Photoshop能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> 市面上的音樂生成式AI工具都無法提供編輯功能，<a href="https://blog.adobe.com/en/publish/2024/02/28/adobe-research-audio-creation-editing" target="_blank">Adobe本周公布</a>音樂編輯生成式AI工具Project Music GenAI Control，讓用戶能以文字下指令，生成音樂或編輯現有音樂。 Project Music GenAI Control是Adobe Research和加州大學聖地牙哥分校、卡內基美隆大學電腦科學系合作開發的工具，還在早期開發階段，主打廣播人員、podcaster或是沒有專業音樂工具的人士，旨在透過文字轉音樂的AI助理，讓用戶先生成音樂，再以內建精細控制工具來編輯音樂。 Project Music GenAI Control是結合圖片生成式AI工具Firefly、影片生成工具Adobe Express使用的AI聊天機器人。用戶可以輸入簡單的文字指示如「節奏強烈的搖滾」、「輕快的舞蹈音樂」或「悲傷爵士樂」讓新工具生成音樂，一旦音樂產生，工作流程就會整合精細編輯工具，包括一段參考旋律，用戶就可以調整節奏、結果、副歌片段，他們能決定在哪放大或降低音量、延長某小節的長度、混音或產生能巧妙循環的loop。另外，在製作前奏、結尾或背景時，Project Music GenAI Control不需用戶手動截取現有音樂，而是協助用戶從頭到尾製作出音樂。 Adobe資深研究科學家Nicholas Bryan指出，雖然大廠、新創業者都推出音樂AI生成工具，如Google的MusicLM、Meta的AutoCraft、Jubebox及Stable Audio等，但這些多半都只能生成音樂，無法編輯，用戶只能不斷重新生成新音樂到完美為止。但Project Music GenAI Control則是提供Photoshop一般的編輯能力，進行音樂「像素層級」的控制。 Adobe並未說明Project Music GenAI Control下一段階開發目標、時程或和現有產品整合計畫。 </div></div></div>
2024/3/1 10:56作者林妍溱https://www.ithome.com.tw/news/161560