iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 24篇
近 24 小時: 28篇
近 7 天: 131篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 16:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 131 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

總共提供18.8 Gbps效能，臺廠Wi-Fi 7基地臺有更多選擇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/en_shuo_ecw536_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從去年底到今年初，我們陸續報導多款支援Wi-Fi 7（802.11be）的企業無線網路基地臺，當中有不少是基於高通（Qualcomm）的Networking Pro 1220 Platform晶片而成，像是<a href="https://www.ithome.com.tw/review/159429">Zyxel WBE660S</a>、<a href="https://www.ithome.com.tw/review/160857">Ruckus R770</a>、<a href="https://www.ithome.com.tw/review/161189">Fortinet FortiAP 441K</a>，我們注意到還有一款國產廠商產品也名列其中，那就是恩碩科技（EnGenius Technologies）的ECW536，而且發表時間在2023年7月，其實早於上述解決方案，在11月公開的Wi-Fi 7新品特色介紹影片當中，不只著墨在ECW536是BE19000等級、4x4:4天線架構的產品，也帶出他們提供的另一個款式ECW526，屬於BE9500等級、2x2:2天線架構的產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ECW536-Qualcomm-Wi-Fi 7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ECW536-Qualcomm-Wi-Fi%207.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/EnGenius%20Wi-Fi%207.jpg" style="width: 600px;" /></p> <p>恩碩科技是1999年在美國註冊、專注於網路通訊產業的品牌，目前是神準科技（Senao Networks）的子公司，今年1月恩碩宣布ECW536開始出貨，這款機型總共可提供18.8 Gbps的網路傳輸速率，可針對需要大量頻寬的應用程式與存取巨量資料的環境，提供強大的連線效能，以個別頻段而言，6 GHz頻寬可達11,600 Mbps，5 GHz為5,800 Mbps，2.4 GHz為1,440 Mbps。而在內建的網路介面上，這款機型提供兩個10 GbE埠，其中一個支援PoE++規格的連線與供電部署方式（可輸出60瓦電力）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ECW536-Speed.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ECW536-Speed.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ECW536-NIC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ECW536-NIC.jpg" style="width: 250px;" /></a></p> <p>若不需要這麼大的頻寬，可考慮採用恩碩另一款Wi-Fi 7基地臺ECW526，此機型總共能提供9,400 Mbps的網路傳輸速率，以個別頻段而言，6 GHz頻寬可達5,800 Mbps，5 GHz為2,900 Mbps，2.4 GHz為700 Mbps。而在內建的網路介面上，這款機型提供1個10 GbE埠，支援PoE+規格的連線與供電部署方式（可輸出30瓦電力）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ECW526-Speed.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ECW526-Speed.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ECW526-NIC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ECW526-NIC.jpg" style="width: 250px;" /></a></p> <p>關於產品的定位，ECW536與ECW526均為恩碩旗下的雲端管理型室內無線基地臺，企業若要控管這些設備，可透過瀏覽器或行動App，連上該公司營運的雲端服務平臺EnGenius Cloud，以便進行基地臺的註冊、組態設定，以及韌體更新。在研究ECW536相關資訊的過程當中，我們發現與恩碩科技有密切關係的神準科技，目前也有一款Wi-Fi 7基地臺機型IAP4701A，僅提供硬體設備解決方案，ECW536最主要的差異是搭配雲端管理平臺EnGenius Cloud。</p> <p><a href="https://s4.itho.me/sites/default/files/images/EnGenius Cloud2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EnGenius%20Cloud2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/EnGenius Cloud3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EnGenius%20Cloud3.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>EnGenius ECW536</strong><br /> ●原廠：恩碩科技<br /> ●建議售價：廠商未提供<br /> ●支援無線網路規格：802.11 a/b/g/n/ac/ax/be<br /> ●網路介面：2個10 GbE埠（其中1個支援PoE++）<br /> ●天線架構：6 GHz、2.4 GHz、5 GHz為4x4:4，MU-MIMO<br /> ●傳輸速度：總共為18 Gbps，6 GHz為11,600 Mbps，5 GHz為5,800 Mbps，2.4GHz為1,400 Mbps<br /> ●支援供電方式：DC、PoE<br /> ●整合其他無線通訊技術：無<br /> ●尺寸：23 x 23 x 3.7公分<br /> ●重量：1.27公斤<br /> ●集中管理平臺：EnGenius Cloud</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/17 18:03作者李宗翰https://www.ithome.com.tw/review/161558
AI趨勢周報第247期：OpenAI開源內部專用LLM分析工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0308～0314)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Transformer Debugger </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>OpenAI開源內部專用LLM分析工具Transformer Debugger</strong></span></p> <p>最近，OpenAI在GitHub上開源一款分析工具Transformer Debugger，是內部超對齊團隊（Superalignment）專用的語言模型分析器，可用來理解Transformer內部結構和運作原理，提高透明度。這款工具含自動解釋功能和稀疏自動編碼器兩種功能，可快速探索語言模型，使用者不必寫程式，就能了解模型內部神經網路對模型輸出的影響。</p> <p>比如，這個工具可用來干預模型向前傳遞訊息，特別是神經元和注意力頭部部分。使用者可刪除特定神經元，來觀察模型輸出的變化，也可對Transformer Debugger提問，如「為何模型在該提示中輸出Token A，而不是Token B？」等問題。OpenAI的機器學習和超對齊研究員<a href="https://twitter.com/janleike/status/1767347610149671323?s=20">Jan Leike表示</a>，這個工具雖然還處於早期階段，但他們希望藉由開源，來推動這方面的研究進展。他也表示，這個工具是要讓專家理解小型語言模型如何運作，並提供模型決策過程的詳細流程圖。<a href="https://github.com/openai/transformer-debugger">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人才培育 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google臺灣揭露今年三大AI落地戰略</strong></span></p> <p>Google日前在臺灣春酒記者會中，揭露了三大AI戰略方向，包括培植各領域人才、強化開發者社群和協助各產業等面向，來協助臺灣掌握AI機會。進一步來說，AI是Google臺灣今年的重要在地發展目標，在培植各領域人才上，進一步會細分成三個策略，AI普及、AI應用和AI創新。</p> <p>就AI普及來說，Google將在臺設立Gemini學院，來提升社會大眾的AI識讀能力，預計在2024年培育1,000名中小學老師接受訓練，並提供3套線上訓練，包括AI基本素養、安全負責任的使用AI、使用AI幫助教學。就AI專業人才的AI應用能力上，Google將繼續透過數位人才探索計畫，從今年第二季開始，在原本的兩大課程「數位行銷和網站分析」和「雲端技術」新增AI基礎介紹和新工具知識，如生成式AI、LLM、負責任AI等。最後一項人才培育則是要強化學研界的AI創新能力，將持續舉辦第七屆的AI創新研究營。</p> <p>另外，強化開發者社群是Google今年的第二大AI落地戰略，會從工具、社群和技術三個層次展開。尤其在社群經營上，從今年1月展開，預計舉辦16場Build With AI活動，培訓800位開發者投入生成式AI，並計畫培育60位社群領袖成為AI工具的種子教師，以及4位生成式AI領域的Google開發者專家。最後一個AI落地面向是Google要用AI協助各產業創新，比如Google從去年12月陸續推出多項生成式AI技術產品和工具，並以Gemini為名來統一這個GenAI產品線，臺灣也有企業開始試用這些產品，像是中附醫去年底導入醫療專用生成式AI模型MedLM、PChome預計採用AI/ML來提供更精準的商品推薦、旅遊網站KKday則要透過Vertex AI來運用生成式AI技術，將網站旅遊行程商品翻譯6國語言。<a href="https://www.ithome.com.tw/news/161756">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Covariant </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>專門用來教導機器人！Covariant發表大型語言模型RFM-1</strong></span></p> <p>AI軟體公司Covariant專門開發用來教導機器人新技能的模型，他們最近發表一款大型語言模型RFM-1，也就是機器人基礎模型，可供任何人在幾分鐘內快速規畫新機器人行為。</p> <p>Covariant自2017年開始建置機器人資料集，蒐集機器人於實體世界的行為，用來訓練模型。RFM-1利用Covariant建置的機器人資料集，再加上大量網路資料，包括文字、圖像、影片、機器人動作，以及各種感測資料進行訓練，是個具80億參數的多模態模型，能支援多種應用。比如，它可以透過圖像學習來分析場景，如分割或辨識；也能結合文字指令與圖像觀察，來產生所需的抓取動作或運動順序；還能將場景圖像與目標抓取圖像配對，以影片格式來預測結果，或模擬沿途數位感測器上的數字。<a href="https://covariant.ai/insights/introducing-rfm-1-giving-robots-human-like-reasoning-capabilities/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-03-17%20at%204_19_37%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT Builder </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot GPT </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟釋出GPT Builder工具，可打造客製版GPT</strong></span></p> <p>微軟最近宣布對付費的Copilot Pro方案用戶，釋出Copilot GPT Builder工具，來讓使用者打造Copilot GPT客製版。Copilot GPT Builder和OpenAI去年底推出的GPT Builder開發工具很像，可讓中小企業或個人用戶以文字輸入指令，打造具有專門用途的AI聊天機器人，像是在購物網站建一個根據用餐計畫建議購物清單的Copilot GPT。</p> <p>Copilot Pro則是今年1月微軟公布給個人用戶的Copilot方案，費用為每人每月20美元。Copilot Pro底層模型也將提升到GPT-4 Turbo。微軟也提供Copilot Pro用戶使用GPT Builder的指示，用戶需安裝Edge或Chrome瀏覽器，連到copilot.microsoft.com或chat.bing.com網站，再登入微軟帳號操作即可。<a href="https://twitter.com/mikeschechter/status/1766327508084117759">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-Copilot%20pro-gpt-(2)(1).jpg" /></span></strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎設施 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta公開GenAI基礎設施</strong></span></p> <p>Meta最近公開自家使用的GenAI基礎設施，內含兩個各用24,576個Nvidia H100 GPU的大型資料中心叢集，以及相關的網路、運算與儲存部署。早在2022年，Meta就揭露自己打造的AI叢集AI Research SuperCluster，當時就稱這是全球速度最快的超級電腦之一，使用了1.6萬個Nvidia A100 GPU。</p> <p>而最近Meta揭露的GenAI叢集，雖採兩種不同的網路架構，但都配備了24,576張Nvidia H100 GPU。因為，他們每天要執行數百兆個AI模型，因此需要客製自己的硬體、軟體和網路架構，來確保資料中心的高效運作。其中一個叢集是基於Arista 7800、Wedge400與Minipack2開放運算計畫（OCP）機架交換器的RDMA over Converged Ethernet（RoCE）解決方案，可透過乙太網路自遠端直接存取記憶體的網路協定，是高頻寬、低延遲的網路基礎設施。</p> <p>另一個叢集則採Nvidia的Quantum2 InfiniBand架構，同樣也是專為高效能運算的低延遲與高頻寬所設計。這兩個叢集的端點互連速度皆高達400 Gbps，採用不同網路架構，將有利Meta評估不同類型的互連對大規模訓練的適用性及可擴展能力，以作為未來設計和建置更大規模叢集的參考。<a href="https://engineering.fb.com/2024/03/12/data-center-engineering/building-metas-genai-infrastructure/">（詳全文）</a></p> <p><img alt="" src="https://engineering.fb.com/wp-content/uploads/2024/03/Meta-24K-GenAi-Clusters-hero.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepMind </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 通用AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>DeepMind開發通用AI，可接收指令玩遊戲</strong></span></p> <p>幾年來，DeepMind一直專攻AI代理人玩遊戲研究，最近開發一套新AI代理Scalable Instructable Multiworld Agent（SIMA），是第一個能理解廣泛遊戲世界的AI代理，可像人類一樣遵循自然語言指令、執行任務。</p> <p>就技術架構來說，SIMA由兩個模型組成，一個專門處理圖像和語言映射的模型，另一個則是預測螢幕接下來會發生什麼事件的模型。團隊表示，SIMA不需存取遊戲原始碼，也不需要客製的API，只需兩個輸入值，即螢幕畫面和用戶所提供的簡單自然語言指令，並使用鍵盤和滑鼠來控制遊戲角色。</p> <p>DeepMind與8個遊戲工作室合作，在9款3D遊戲中訓練和測試SIMA。團隊對SIMA進行了600項基本技能評估，涵蓋導覽、操作物件和使用選單等，目前SIMA可在10秒內完成簡單任務，DeepMind希望SIMA之後能完成需要高階策略規畫，並由多個子任務組合才能完成的複雜任務。他們也發現，SIMA具備泛化能力，能將學習到的技能和策略，應用在沒見過的環境中。<a href="https://deepmind.google/discover/blog/sima-generalist-ai-agent-for-3d-virtual-environments/">（詳全文）</a></p> <p><img alt="" src="https://lh3.googleusercontent.com/sZ-76rwruMwufnHckkI7saPxuFc9kjX48x951LogZ_ADVauhANXXYCBbhhqEiDi2OkILF5Tuc8cRDPsyYeg3leEMUM4_GVn3Jo8e4n4YypgUZ_iKjw=w2140-rw" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> NASA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 科學文獻 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM聯手NASA開發科學文獻專用LLM</strong></span></p> <p>IBM和NASA聯手訓練一套Transformer大型語言模型，用科學文獻訓練而成，能進行分類、實體擷取、問答和資訊檢索等各種科學自然語言理解任務。該模型也在Hugging Face上開源，供科學與學術社群使用。</p> <p>進一步來說，為了讓模型理解科學專有名詞和複合詞，團隊使用來自天文物理學、地球科學與太陽圈物理學等多個專業領域資料集的600億個Token，來訓練模型。後來，團隊用生物醫學基準測試BLURB來評估IBM-NASA模型，分數比其他開源的RoBERTa模型高出5％。這個IBM-NASA模型，可針對許多非生成式語言任務微調，團隊還利用編碼器模型建立檢索器模型，來產生資訊豐富的嵌入向量，映射一對對文字間的相似性，讓檢索模型根據問題，找出最相關的文件或資訊。<a href="https://research.ibm.com/blog/science-expert-LLM">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 社會學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 知識轉移 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google用社會學習優化模型知識轉移能力</strong></span></p> <p>Google最近發表一項大型語言模型創新研究，提出社會學習（Social Learning）框架，為模型間的知識傳遞，找出新方法。社會學習能讓語言模型透過自然語言文字交流知識，而且，因為不需直接交換敏感資料或模型權重，還能保有資料隱私。社會學習的概念是，模仿人類在社交環境中，透過口頭指示向其他人學習。在Google提出的社會學習框架中，學生大型語言模型會向多個特定任務解法的教師模型學習，團隊也會評估學生模型在各種任務的表現，來衡量社會學習成效。</p> <p>他們發現，即使語言模型只接收少數範例，一樣能獲得良好的任務解決能力。而這個方式的重要性在於，教師模型可依據實際資料集，合成出新的範例，與學生共享。特別是，合成資料集雖與原始資料不同，但具相同教育意義，因此，就算教師模型不直接共享真實原始資料，學生模型還是可以從合成資料中學習。實驗結果顯示，當合成範例足夠多，例如只要達到16個，社會學習方法和直接共享原始資料方法的模型解決問題能力就沒有顯著統計上的差異。<a href="https://blog.research.google/2024/03/social-learning-collaborative-learning.html?m=1">（詳全文）</a></p> <p>圖片來源／Covariant、微軟、Meta、DeepMind</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Azure OpenAI服務正式上架Whisper模型</strong></p> <p><strong>2. Amazon提供電商生成AI工具，貼連結就能產生產品頁</strong></p> <p><strong>3. Patronus AI發表API工具，可用來偵測LLM有否輸出侵權內容</strong></p> <p><strong>4. GPT-4競爭者報到：Gemini 1.5、Mistral Large、Claude 3 Opus與Inflection-2.5</strong></p> <p>資料來源：iThome整理，2024年3月</p> </div></div></div>
2024/3/17 16:30作者王若樸https://www.ithome.com.tw/news/161803
提供雲端集中管理，Netgear推出新款8埠與16埠10G交換器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/netgear_s3600_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於8埠以下的小型網路交換器產品，我們在2018年曾介紹Netgear的XS505M與XS508M，網路埠支援4種規格（1 GbE、2.5GbE、5 GbE、10 GbE），上行埠為1個10GbE埠（SFP+接頭），皆屬於無網管型交換器（Unmanaged Switches），去年12月Netgear發表新機型S3600系列，同樣標榜搭配支援4種規格的網路埠，包含提供8個網路埠的XS508TM，以及16個網路埠的XS516TM，上行埠有兩個SFP+接頭的10 GbE埠，而且升格為雲端管理智慧網管型交換器（Smart Cloud Managed Switches）。今年3月中，由代理商瀚錸科技舉行的春季新品發表會，也特別展出S3600系列，正式宣告在臺上市。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear S3600-2024-03-12-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20S3600-2024-03-12-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear S3600-TW-2024-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20S3600-TW-2024-03.jpg" style="width: 600px;" /></a></p> <p>Netgear這裡所標榜的雲端管理，是指企業可透過瀏覽器或行動App連上雲端管理平臺Netgear Insight，之後可在此集中控管雲端管理智慧網管型交換器（29款），以及Pro系列路由器（目前僅有PR60X）、Wi-Fi基地臺（17款）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear Insight Managed Switch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Insight%20Managed%20Switch.jpg" style="width: 600px;" /></a></p> <p>S3600系列這兩款設備本身也提供單機的網頁管理介面，可快速設定組態，IT人員若打算透過輸入指令操作，Netgear在此具備簡易的命令列介面。在遠端監控機制上，XS508TM與XS516TM支援SNMP的v1、v2c、v3版規格，以及RMON協定，企業可善用這項管理工具進行集中管理。</p> <p>關於智慧型網管交換器的功能，XS508TM與XS516TM支援IPv6，以及網路第2層以上（L2+）或第三層（L3）的機制，像是靜態路由、區分服務的優先存取（DiffServ QoS）控管政策、連線聚合協定（LACP）、網路廣播／群播／單播的控制、DHCP協定，而在VLAN的部分，它們最多均可設置512個，涵蓋靜態、動態指派的VLAN，以及針對VoIP、語音通訊、Wi-Fi、網路攝影機自動設置的VLAN。</p> <p><a href="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_New Smart GUI_240314_2-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_New%20Smart%20GUI_240314_2-Web.jpg" style="width: 600px;" /></a></p> <p>相較於既有的XS505M與XS508M，XS508TM與XS516TM不僅提供VLAN，也支援802.1x，可運用EAP協定進行驗證，實現更細緻的網路存取控管。</p> <p>此外，Netgear近幾年為了拓展專業視聽設備（ProAV）連網市場，而推出多款交換器，當中新設置的網頁介面，現在開始導入商用交換器，他們稱之為Smart GUI，提供更加簡單、直覺的操作方式，在新推出的XS508TM與XS516TM當中，也展現這樣的特色。</p> <p><a href="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_New Smart GUI_240314_5-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_New%20Smart%20GUI_240314_5-Web.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>Netgear S3600系列</strong><br /> ●代理商：瀚錸科技<br /> ●建議售價：XS508TM為44,100元，XS516TM為82,005元，均為含稅價<br /> ●網路介面：XS508TM為8個10 GbE埠搭配上行埠2個10 GbE埠（SFP+），XS516TM為16個10 GbE埠搭配上行埠2個10 GbE埠（SFP+）<br /> ●外觀：均採用桌上型機箱<br /> ●網路交換容量：XS508TM為200 Gbps，XS516TM為360 Gbps<br /> ●MAC位址數量：均為16,000個<br /> ●封包緩衝記憶體容量：XS508TM為2 MB，XS516TM為4 MB<br /> ●管理平臺：本機網頁介面、SNMP、RMON、Syslog、雲端管理平臺Insight</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/16 18:35作者李宗翰https://www.ithome.com.tw/review/161776
麥當勞全球CIO揭露全球大當機主因，第三方供應商配置變更出包才釀災
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周五(3/15)，麥當勞發生了全球性的系統大當機，全球十多國的麥當勞App和餐廳點餐系統大當機，從美國、加拿大、德國、英國、荷蘭、澳洲、紐西蘭，到亞洲的中國、日本和臺灣等都傳出當機災情，店員甚至得改用紙本作業來記錄訂單，提供給廚房製作餐點。麥當勞全球資訊長Brian Rice在當天稍晚也<a href="https://corporate.mcdonalds.com/corpmcd/our-stories/article/global-tech-outage.html">發布公告</a>致歉和說明全球大當機原因。</p> <p>從Downdetector當機通報網站上可以看到，來自用戶通報的災情，持續將近20個小時。其中58％當機事件是App事件，30％則發生於實體店面的結帳櫃檯，還有12%的通報事件是關於麥當勞網站。這也意味著，麥當勞這次大當機，不只遍及全球，也影響到數位和實體通路。</p> <p>Brian Rice在3月15日稍晚後具名發布公告，向顧客、全球員工、分店、合作夥伴道歉，證實發生了全球大當機事件。他也坦言，這次大當機的問題主因是第三方供應商的配置變更出錯而釀災，並非是發生了資安攻擊事件。但他沒有進一步說明更多細節，只強調，穩定性和可靠性是麥當勞技術發展的優先目標，但是這次當機事件的確大大影響了顧客和餐廳團隊。根據他們初步調查，這起當機事件的配置問題，是不是標準作業的一環，而是一次例外的操作。在發布公告當時，只有少數餐廳系統開始恢復正常，他們正盡全力解決問題，讓全球各地餐廳的系統可以盡快陸續恢復。</p> <p>麥當勞在全球超過100個國家，開設了4萬多個門市。去年12月在麥當勞芝加哥總部一場活動上，麥當勞執行長Chris Kempczinski才宣布了，麥當勞2027年的心未來數位發展戰略，要在門市數量到2027年要增加1萬家，達到全球5萬家門市。會員數要從現在的1.5億人200億美元業績規模，在2027年增加到2.5億人450億美元交易規模，也希望在2027年時，麥當勞行動App的下單量達到總交易量的3成。</p> <p>為了達成這個目標，去年12月時，麥當勞也宣布與Google建立策略合作關係，來部署一套客製化的作業環境，來部署所有顧客和餐廳的數位平臺，包括了行動App、會員忠誠度系統到店內Kiosk點餐系統，都會改部署到這個作業環境中。另外，也將採用Google分散式雲端，在數千家麥當勞餐廳中部署本地端系統，除了支援上述系統之外，也要用來發展生成式AI相關的新應用。</p> <p>Google不是麥當勞唯一的雲端供應商，早在2014年就開始採用AWS公有雲。2016～2017年，將許多核心和周邊應用系統搬到公有雲上部署。</p> <p>過去幾年，麥當勞更是大力擁抱微服務架構、生技術、採用API優先技術。也積極採用AWS來打造混合雲架構。在2023年也積極發展可觀察性架構，來提高數位平臺的維運能力。更在2023年運用AWs Lambda來打造會員忠誠度系統，就是為了支援未來達到2.5億會員規模所需的資訊基礎架構能力。</p> <p> </p> </div></div></div>
2024/3/16 12:32作者王宏仁https://www.ithome.com.tw/news/161802
Go更新執行追蹤套件，CPU執行開銷降至1-2％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Go開發團隊<a href="https://go.dev/blog/execution-traces-2024">更新</a>執行環境的追蹤（Trace）套件，不僅大幅降低執行追蹤的CPU開銷，還透過定期分割追蹤檔控制追蹤檔案大小，進而增加了追蹤的可擴展性。此外，新的更新還支援持續追蹤功能，並提供追蹤讀取器API，使得追蹤資料更容易共享與存取。</p> <p>Go的runtime/trace套件是一組工具，目的在於協助開發者進一步理解與排除程式故障，其允許開發者追蹤每個goroutine的活動，並透過go tool trace指令，視覺化並探索追蹤裡的資料。開發者能夠於程式中加入特定的標註，包括任務、區域和日誌，將程式的邏輯流程、效能表現和錯誤處理，與底層諸如程式的執行時機、資源使用和呼叫堆疊等執行細節相關聯，使開發者更能監控和分析程式，解決效能瓶頸等問題。</p> <p>雖然Go的執行追蹤可提供豐富的資訊，但也存在一些長期問題，像是追蹤成本偏高，會對程式的執行效能造成明顯的影響，因此難以用在生產環境中。追蹤也難以擴展，當追蹤產生的資料量太大，將導致追蹤檔難以分析。</p> <p>另外，啟動追蹤的時機也不夠明確，開發者往往不清楚何時啟動追蹤，才能確定捕捉到特定的錯誤行為，造成追蹤分析困難。而且因為缺乏解析執行追蹤的公共套件，因此也只有資深的Go開發者有能力進行程式化分析追蹤。</p> <p>開發團隊開始著手解決這些問題，在之前的Go版本，追蹤在許多應用程式會導致10-20％ CPU執行開銷，這使得追蹤被限制在特定的使用情境，而不能像CPU分析那樣持續使用，開發團隊解釋，這是因為在啟動執行追蹤時，執行環境會生成許多事件，這些事件大多數附加了堆疊追蹤，這些堆疊追蹤對於辨識goroutine在執行的任務非常有用，但是成本也很高。</p> <p>開發團隊指出，追蹤的大部分成本發生在回溯，因此透過最佳化回溯效率，追蹤執行環境的CPU開銷已經大幅降低至1-2％，如此開發者便可以頻繁地使用追蹤來監控和診斷應用程式，且不會對效能產生太大的影響。</p> <p>另外，在新版本中，追蹤分析變得可擴展。過去追蹤檔的格式和事件的設計講究有效性，但是需要工具來解析和保留整個追蹤狀態，數百MiB的追蹤可能需要數GiB的記憶體來分析，而新的追蹤功能進行了調整，透過定期分割正在生成的追蹤檔，使每一個追蹤檔的大小降低，而由於追蹤檔變小，分析工具便不需要一次性載入龐大的追蹤檔到記憶體中，因此也降低了所需要的記憶體。</p> <p>之前的追蹤事件，是寫入各自執行緒自己的快取位置，這代表事件的出現並不符合真實順序，而新的方法會在分割追蹤檔時重新同步，因此也讓事件更容易按真實順序重組，減少了分析工具的負擔。整體來說，新的分割機制讓追蹤資料更容易管理且分析，開發者也能更快地找到感興趣的事件，讓效能分析更有效。</p> <p>Go追蹤現在也支援持續追蹤紀錄（Flight Recording），可讓程式一直保持在追蹤狀態，紀錄近期發生的事，而這項功能也是因為追蹤分割技術的導入，才使得持續追蹤變得可行。而隨著開發團隊重寫追蹤實作，也提供了一個新的追蹤讀取器API，讓開發者更容易存取追蹤資料。</p> </div></div></div>
2024/3/15 19:43作者李建興https://www.ithome.com.tw/news/161794
Grafana 11移除AngularJS支援，儀表板將不載入未更新套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Grafana將會在5月的時候正式推出Grafana v11，屆時所有本地與雲端Grafana執行個體，將會<a href="https://grafana.com/blog/2024/03/11/removal-of-angularjs-support-in-grafana-what-you-need-to-know/">預設關閉AngularJS支援</a>，因此相依於AngularJS的擴充套件都不會被載入，這代表用戶如果沒有事先進行搬遷，儀表板就可能出現故障，官方提醒，用戶應該檢查並且移除還在使用老舊AngularJS的擴充套件。</p> <p>舊版本Grafana使用AngularJS v1作為前端JavaScript框架，但是Grafana Labs在考量功能與當時開發者社群的意見，後來選擇改用React。官方在2018年所發布的Grafana v5開始搬遷元件至React，並在Grafana v6時推出React套件開發平臺，在Grafana v9時正式棄用AngularJS，並打算在Grafana v10全面刪除AngularJS支援。</p> <p>但在Grafana v10發布時，官方考量用戶仍未做好準備，因此又將這項計畫往後推延了一年，避免用戶對這項變化措手不及。而現在Grafana Labs確定於5月發布的Grafana v11，全面預設關閉AngularJS。官方最近建立了套件目錄的淘汰政策，所有相依於AngularJS但沒有計畫搬遷到其他框架的套件，都會從目錄中移除，避免新用戶採用不再受支援的套件。</p> <p>而對於舊用戶來說，便需要檢查Grafana儀表板是否還在使用AngularJS套件。當儀表板中存在使用AngularJS的套件，用戶會在套件編輯處、儀表板頂端等地方看到警告圖示與橫幅，而且在套件頁面上，仍相依於AngularJS的套件也會被標上警告圖示。</p> <p>官方也在Grafana文件列出所有曾經相依於AngularJS的套件，並且提供已更新至React的最低版本，或是提供類似功能的替代套件建議。同時還建立了一個名為detect-angular-dashboards的工具，供用戶查詢特定Grafana執行個體，獲取所有存在AngularJS套件的儀表板。</p> <p>目前許多使用AngularJS的套件都已經搬遷到React，用戶只要更新套件就可以避免Grafana v11的儀表板受到破壞，但是開發者必須要確認套件的更新文件，避免版本間存在重大變更。而當用戶完成檢查與搬遷之後，在更新到Grafana v11之前可以先嘗試移除AngularJS支援，以測試儀表板運作是否如預期運作。官方預告Grafana v12將會完全刪除AngularJS支援以及配置參數。</p> </div></div></div>
2024/3/15 19:48作者李建興https://www.ithome.com.tw/news/161801
提供1.5Tbps防護效能，Palo Alto增設頂級防火牆機型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/palo_alto_pa-7500_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對超大型資料中心、服務供應商的網路安全防護需求，Palo Alto Networks推出的硬體防火牆產品，主要是7000系列與5000系列機型。</p> <p>以前者而言，是最高階的款式，該公司過去曾陸續推出兩款機型，例如，2014年發表採用9U尺寸機箱、正面可安裝8個模組的PA-7050，當時標榜防火牆效能為120 Gbps，威脅預防效能為100 Gbps（此數值為啟用DSRI的效能，後續列出威脅預防效能為60 Gbps）；2015年發表採用19U尺寸機箱、正面可安裝12個模組的PA-7080，當時標榜防火牆效能為200 Gbps，威脅預防效能為100 Gbps。後續這兩款機型的性能也經過大幅改良，目前防火牆效能增長至343 Gbps、590 Gbps，威脅預防效能提升至184 Gbps、305 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-7000-2017-Perform.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7000-2017-Perform.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/PA-7000-2024.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7000-2024.jpg" style="width: 298px;" /></a></p> <p>相較於市面上常見的1U與2U尺寸的網路防火牆設備，Palo Alto Networks既有的7000系列，最顯著的差異不只是機箱尺寸巨大，更重要的是，提供以硬體模組來增減網路流量的能力。舉例來說，企業可透過添加或拔除「網路處理卡（Network Processing Cards，NPCs）」模組，進行效能的調節；當中可運用的模組化元件，還包括：交換器管理卡（Switch Management Card，SMC）、記錄處理卡（Log Processing Card，LPC）、記錄轉送卡（Log Forwarding Card，LFC），以及選用的資料處理卡（Data Processing Card，DPC）。</p> <p>到了去年11月，Palo Alto Networks發表新版防火牆作業系統，也就是代號為Cosmos的PAN-OS 11.1之際，也宣布推出5款硬體機型，其中一款是最新款旗艦級產品PA-7500，規格超越現行的7000系列，例如，首度提供400GbE網路埠（PA-7050與PA-7080的NPC卡搭配100GbE網路埠），網路與資安威脅處理能力直逼1.5 Tbps（防火牆效能為1,500 Gbps、威脅預防效能為1440 Gbps），而且，可應付的同時連線數量最大可達4.4億個。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-7500-2023-12-04.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7500-2023-12-04.jpg" style="width: 600px;" /></a></p> <p>為何PA-7500能夠提供如此驚人的效能？Palo Alto Networks表示，這款設備採用他們開發的特製晶片FE400 ASIC，同時，秉持此系列的模組化擴充架構，新機型最多可安裝7張資料處理卡，提供更強大的網路與安全處理能力。</p> <p>而在適合的產品應用案例上，根據Palo Alto Networks規畫，PA-7500支援3種情境，首先是針對橫跨多個站點的資料中心環境，提供網路安全防護；另一個是大型雲端服務業者的環境，提供虛擬化的網路分段功能；對於經營5G網路通訊服務的廠商，也可部署這款設備，具備足夠的網路流量處理與防護能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-7500-overview-2024-2-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7500-overview-2024-2-1.jpg" style="width: 600px;" /></a></p> <p>若我們細部檢視PA-7500搭配的機箱與模組，可以更具體了解這款機型與既有7000系列產品的模組化配置差異。</p> <p>以機箱而言，PA-7500整臺設備的高度是14U，正面提供9個模組插槽，其中第5個插槽，固定搭配新出現的管理處理卡（Management Processing Card，MPC），其餘搭配NPC卡或DPC卡，機箱背部設有兩個插槽，搭配交換器交織網路卡（Switch Fabric Card，SFC）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-7500-Front.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7500-Front.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/PA-7500-Back.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7500-Back.jpg" style="width: 260px;" /></a></p> <p>PA-7050機箱為9U，正面提供8個插槽，中間插槽搭配SMC卡，底部插槽搭配LFC或LPC記錄卡，其餘插槽搭配NPC卡或選用DPC卡（至少需搭配1張NPC卡）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-7050 Front Panel.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7050%20Front%20Panel.jpg" style="width: 200px;" /></a></p> <p>PA-7080所用的機箱為19U，正面提供12個插槽，中間的2個插槽分別搭配SMC卡，以及LFC或LPC記錄卡，其餘插槽搭配NPC卡或選用DPC卡（至少需搭配1張NPC卡）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-7080 Front Panel.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7080%20Front%20Panel.jpg" style="width: 200px;" /></a></p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>Palo Alto Networks PA-7500</strong><br /> ●原廠：Palo Alto Networks<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：14U，<br /> 正面提供9個模組插槽，可安裝3種模組：網路處理卡PA-7500-NPC-A、資料處理卡PA-7500-DPC-A、管理處理卡PA-7500-MPC-A<br /> 背面安裝2個交換器交織網路模組，可搭配交換器交織網路卡PAN-PA-7500-SFC-A<br /> ●連接埠：網路處理卡PA-7500-NPC-A內建8個400GbE網路埠（QSFP-DD）、12個100GbE網路埠（SFP-DD）<br /> 管理處理卡PA-7500-MPC-A內建2個400GbE高可用性埠（QSFP-DD）、2個100GbE記錄埠（QSFP28）、2個25GbE管理埠（SFP28）、RJ-45本機登入埠、Micro USB本機登入埠、USB埠<br /> ●防火牆吞吐量：1,500 Gbps<br /> ●防護功能全部啟用後的吞吐量：1,440 Gbps<br /> ●同時連線數量：4.4億個<br /> ●作業系統：PAN-OS 11.1<br /> ●電源供應器：10臺（4+6備援）<br /> ●散熱風扇：15臺設於機箱背部</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/15 19:09作者李宗翰https://www.ithome.com.tw/review/161784
零售IT雙周報第30期：C2C零售龍頭如何用生成式AI支援日常開發作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#知識管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開發框架維運</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#DevOps</span></span><br /> eBay如何用生成式AI來開發、維運系統及管理知識</strong></p> <p><a href="https://innovation.ebayinc.com/tech/features/cutting-through-the-noise-three-things-weve-learned-about-generative-ai-and-developer-productivity/">C2C電商龍頭eBay揭露自家IT團隊用生成式AI支援日常工作的三大用途</a>，包括開發、維運及知識管理。</p> <p>首先是利用Github Copilot來加速程式碼撰寫，包括轉化自然語言評語為程式碼、建議下一行程式碼、自動填入高重複性程式碼，以及自動生成測試用程式碼。經過A/B測試，他們發現使用Copilot後，程式碼品質沒有下降，而且Pull Request發布到程式碼真正合併（Merge）的時間減少了17%、程式碼更動到部署時間（Lead Time for Change ）減少了12%。</p> <p>除了使用Copilot等商業軟體，eBay也用自家程式碼及內部文件來後訓練（Post-train）及微調（Fine-tune）Code Llama 13B模型，以支援自家工程團隊作業。eBay表示，這個專屬模型可以存取企業內所有程式碼，能有效找出程式碼重複等問題，還能在考慮不同服務的耦合及依賴性情況下，協助工程團隊更新開發框架及函式庫。</p> <p>他們還用自家技術文件訓練出了一個專用GPT模型，搭配RAG技術，來當作IT人員查詢技術文件的介面。IT人員可以用自然語言詢問「做這件事需要呼叫哪個API」、「哪裡找這個數據的儀表板」等問題，而不需要自己翻找eBay海量技術文件。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商App維運</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#前端工程</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#購物體驗強化</span></span><br /> Walmart從客戶端為切入點的App效能提升法</strong></p> <p>說到提升App效能，一個常見思路是從後端系統下手，例如優化資料庫、增加資料查詢效率等。<a href="https://medium.com/walmartglobaltech/performance-measurement-for-native-apps-2d80210aef79">Walmart近期則揭露自家App效能優化的另一個面向──從App客戶端來尋找著手點</a>。</p> <p>具體做法是，將使用者發起互動到App呈現最終結果，分成6個階段：開始、準備請求、呼叫、解析回應、視覺介面渲染、完成。他們會觀察這6個階段所需時間，從中找出改善空間。</p> <p>以商品頁面呈現為例，他們發現這6階段中，開始到準備請求間的時間，以及渲染到完成中間的時間，都相當長。調查後，發現開始階段有過多重複的聆聽（Listening）指令，而渲染階段有一個動畫渲染選項預設為True，是沒有必要的。解決這些問題後，這兩個階段耗時分別縮短了150毫秒跟5、600毫秒。</p> <p>Walmart表示，他們在iOS及Android App的不同UI都實施了這套做法，不僅找到了許多可優化之處，且解決後，觀察到明顯App上交易量提升。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#上架輔助工具</span></span><br /> 連上傳圖文都不用！Amazon新生成式AI工具只要貼商家連結就能產生產品頁面</strong></p> <p>近幾個月，各大電商紛紛推出以生成式AI為基礎的商品上架工具，通常是以商品圖片或簡單文字為基礎，來生成完整圖文。這次Amazon推出新工具，更是省去了上傳任何素材的步驟。商家只需貼上自家官網商品頁等外部網址，此工具便能自動讀取網頁內容，擷取生成Amazon商品頁面所需素材。（<a href="https://www.ithome.com.tw/news/161762">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amazgai.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#沉浸式電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛擬商店</span></span><br /> 服飾市集StockX打造Apple Vision Pro專用虛擬商店，既模擬</strong><strong>實體購物及又保留自家電商特色</strong></p> <p>大型服飾市集StockX是一個交易模式特別的平臺，類似股票交易，買賣方會根據商品市場價格來協調出成交價。<a href="https://www.prnewswire.com/news-releases/stockx-among-the-first-to-launch-immersive-shopping-experience-for-apple-vision-pro-302077846.html">他們打造了一個專門在Apple Vison Pro運行的虛擬商店</a>，可以於消費者所處環境中顯示出商品。同時，消費者可以打開懸浮於空中的價格波動儀表板，輔助商品購買決策。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/immersive_marketdata_720.jpg" style="width: 600px;" /></p> <p>有許多品牌都嘗試打造虛擬商店，作為一種行銷用小型體驗。StockX虛擬商店則可以用4K畫質呈現站上所有20多萬件商品，並維持與原本電商網站相同的特殊交易模式，可以視為該平臺正式電商通路。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#FinOps</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#雲端成本</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#企業文化改造</span></span><br /> Walmart從顧客體驗出發的FinOps文化</strong></p> <p>電商龍頭Walmart早在2015年就擁抱雲原生技術，打造OpenStack私有雲，至今核心數超過100萬個。2020年，他們用K8s打造了自家雲原生平臺，來調度9萬3千個節點，執行超過54萬個Pod叢集。2年前，還進一步結合兩家公雲和自家私雲，組成了三雲架構。為了支援超龐大雲端服務用量，他們2021年開始注意到控制雲端成本的FinOps做法。</p> <p>他們了整合了來自四十種資料來源，來監控整體雲端用量和成本，並打造了可以追蹤每個工程團隊每天開銷的工具。接著，他們要求工程師不只要注意每日開銷，更要從長期角度來看：每次支出一年會帶來多少成本？是否會帶來對應價值的商品銷售或顧客體驗？讓每個工程師都能從顧客體驗出發，來思考雲端成本支出如何控管。（<a href="https://www.ithome.com.tw/article/161578">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體電商 #AI電腦視覺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商搜尋功能</span></span><br /> 圖片類社群媒體Pinterest利用電腦視覺技術打造服飾尺寸搜尋功能</strong></p> <p>圖片探索類社群媒體Pinterest近年不斷發展電商及行銷業務。不過，社群媒體起家的他們，不僅網站操作方法體驗與電商相差不少，也並非所有收錄圖片都足夠元數據，能支援電商搜尋，因此商品搜尋能力有限。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ptfp.jpg" style="width: 600px;" /></p> <p>因應這個挑戰，他們利用電腦視覺技術分析站上服飾圖片，來判斷服飾適合尺寸，以支援服飾尺寸搜尋功能。近日，<a href="https://newsroom.pinterest.com/news/pinterests-new-body-type-ranges-deliver-better-more-inclusive-search-results/">他們更推出可以根據體態來搜尋適當服飾品牌圖片的功能</a>。搜尋圖片時，有一個過濾條件是體態，使用者可以點擊自認為最代表自己身材的模特兒圖片，來搜尋符合自身條件的服飾照片。Pinterest表示，目前數據顯示有使用這個功能的使用者，單一連線階段互動率較其他人高出66%，顯示此功能確實能引起使用者更多興趣。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1.<a href="https://xtech.nikkei.com/atcl/nxt/column/18/02770/030400001/?ST=nxt_thmit_management"> 非第一線零售商也要消費數據！三菱食品如何取得並分析1.5億消費者數據</a></p> <p>2. <a href="https://mapsplatform.google.com/resources/blog/how-dominos-delivers-pizza-with-the-drop-of-a-pin-to-almost-anywhere/">達美樂整合Google Map Mobility Services到披薩外送員導航系統，來支援送貨到沒有地址的公園或新建案等地點</a></p> <p>3. <a href="https://cloud.google.com/blog/products/ai-machine-learning/how-wayfair-data-scientists-learned-vertex-ai">大型家居電商Wayfair如何精簡MLOps流程來提升供應鏈管理模型開發效率</a></p> <p>4. 肯德基嘗試利用AI虛擬店員提升自動點餐機溫度，不過目前功能只有打招呼和推銷</p> <p>資料來源：iThome整理，2023年3月</p> <p>責任編輯：郭又華</p> <p>圖片來源：eBay、Amazon、StockX、Pinterest</p> <p> </p> </div></div></div>
2024/3/15 18:16作者郭又華https://www.ithome.com.tw/news/161793
Google運用小型評分器Cappy來提升大型語言模型的效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開發一個稱為<a href="https://blog.research.google/2024/03/cappy-outperforming-and-boosting-large.html">Cappy</a>的評分器，Cappy以RoBERTa語言模型為基礎，使用指令和候選回應作為輸入，並輸出0到1之間的分數，這個分數代表著回應相對於指令的估計正確性。Cappy可獨立執行分類任務，或是作為大型語言模型的輔助元件，有助於提升大型語言模型下游應用的效能。</p> <p>研究人員指出，大型語言模型的發展出現一種新範式，該範式將各種自然語言任務整合在一個指令遵循框架中。這種方法將不同任務標準化為指令與回應的形式，使得模型能夠理解和執行廣泛的語言任務，進而提高泛化能力，大型語言模型可透過理解和解決全新指令，來處理未見過的任務，這代表一種從特定任務學習，移向多任務和指令驅動學習的轉變。</p> <p>但是要只用指令來理解和解決各種任務，多任務大型語言模型的參數可能高達千億，要操作這麼龐大的模型，需要大量的運算能力，以及大量的GPU和TPU等加速器的記憶體，這些要求導致大型語言訓練和推理成本高昂效率不彰。而且強大的多任務大型語言模型通常是閉源的，因此也難以被調整並應用於新的任務中。</p> <p>而事實上，要使用單一多任務大型語言模型管理所有任務仍然非常困難，特別是在處理複雜、個人化，且難以簡潔地用指令定義的任務。研究人員也指出，下游訓練資料的大小，通常不足以良好地訓練模型，也就是説，要讓大型語言模型可以良好地適應特定任務，需要經過足夠的資料訓練，但在下游訓練資料有限的情況下，模型可能無法很好地執行任務。</p> <p>因此在大型語言的應用上出現一種需求，希望可以不需要大量儲存和記憶體資源，也不需要完全存取模型內部結構，就能夠對大型語言模型進行有效的下游任務訓練或是適應的需求。Cappy便是在這種需求下發展的研究成果，運用輕量級的預訓練評分器來輔助大型語言模型，以達到更好的效能和效率。</p> <p>研究人員從問答、情感分析和摘要等任務收集一系列資料集，針對個別任務，研究人員將資料集中的每個例子轉換成為指令與回應的資料對，並且對每個指令與回應資料對給予正確性分數，Cappy透過學習這些資料，使其能夠評估指令與回應的適合程度。</p> <p>Cappy可應用於大型語言模型輸出的候選機制，當有下游任務訓練資料可用於微調Cappy，便具備了適應下游任務的能力。將指令以及一組大型語言模型的候選回應作為輸入，Cappy會對候選回應生成分數，選擇分數最高的回應作為最終輸出，以提高大型語言模型的預測效能。如此經微調的Cappy便能與大型語言模型協調運作，提升大型語言在下游任務上的效能。</p> <p>與其他大型語言模型調整策略相比，用Cappy適應大型語言模型可減少對裝置記憶體的需求，因為能夠避免對下游任務大型語言模型參數進行反向傳播（Back-Propagation）的需要，而且Cappy也不需要存取語言模型參數，因此能夠與閉源多任務大型語言模型相容，像是僅透過Web API存取的模型。</p> <p>Google研究人員評估了Cappy，在自然語言提示工具包PromptSource的11項語言理解分類任務中的表現，Cappy雖然僅擁有3.6億參數，效能卻優於規模更大的OPT-175B和OPT-IML-30B模型，且與當前先進的多任務大型語言模型T0-11B和OPT-IML-175B準確度相當。研究人員解釋，評分預訓練策略，使得Cappy的效能與參數效率突出。</p> </div></div></div>
2024/3/15 16:50作者李建興https://www.ithome.com.tw/news/161792
【資安日報】3月15日，Windows安全機制SmartScreen弱點在公布前也被用於散布惡意程式DarkGate
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在今年2月例行更新（Patch Tuesday），修補Microsoft Defender SmartScreen安全機制的漏洞CVE-2024-21412，當時通報漏洞的資安業者趨勢科技表示，這項漏洞在去年底就被APT駭客組織利用。</p> <p>但在研究人員進一步追查後發現，今年1月有另一組人馬也將其用於散布惡意程式DarkGate。這樣的情況，很有可能還有其他駭客也在微軟修補之前，就掌握這項漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/24/c/cve-2024-21412--darkgate-operators-exploit-microsoft-windows-sma.html"><strong style="font-size: 22px;">微軟SmartScreen零時差漏洞遭駭客用於散布惡意程式DarkGate</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/DarkGateSmartScreen-Figure001.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DarkGateSmartScreen-Figure001.jpg" style="width: 300px; float: right;" /></a>去年12月資安業者趨勢科技發現駭客組織Water Hydra的攻擊行動，當中利用能繞過Microsoft Defender SmartScreen安全機制的零時差漏洞CVE-2024-21412（CVSS風險評分8.1），如今他們指出，還有其他惡意程式利用這項漏洞散布。</p> <p>研究人員針對上述的零時差漏洞攻擊擴大調查，發現駭客在1月中旬利用該漏洞散布惡意軟體DarkGate，對方先是寄送挾帶PDF附件的釣魚郵件，一旦收信人點選PDF檔案裡的連結，攻擊者就會濫用Google的數位行銷平臺DoubleClick Digital Marketing（DDM），並採取開放重新導向（Open Redirect）手法，將收件人導向遭到入侵的網站，從而繞過CVE-2024-21412並下載惡意MSI安裝檔。收信人若是依照指示安裝，電腦就會被植入DarkGate。</p> <p><a href="https://www.zscaler.com/blogs/security-research/tweaks-stealer-targets-roblox-users-through-youtube-and-discord"><strong style="font-size: 22px;">竊資軟體Tweaks鎖定Roblox玩家而來，駭客透過YouTube及Discord聲稱能增加遊戲體驗來散布惡意程式</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Tweaks-fig_1_0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tweaks-fig_1_0.png" style="width: 300px; float: right;" /></a>遊戲平臺Roblox的玩家請注意！本週有資安業者揭露攻擊這個社群的竊資軟體Tweaks（或稱Tweaker），對方先利用網路影音平臺YouTube的頻道，製作與發布以提升Roblox遊戲運作最佳化為主題的影片，引誘用戶觀看，宣稱能改善執行畫面每秒顯示的影格數（FPS），並提供Discord群組的連結，一旦玩家加入群組，對方就會以向他們提供修改器的名義，散布竊資軟體。</p> <p>研究人員指出，此惡意程式使用PowerShell打造，會竊取使用者資訊，包括地理位置、Wi-Fi組態、Roblox帳號等敏感資料，一旦竊資軟體挖崛到相關資料，就會透過Discord的Webhook功能傳送到攻擊者的伺服器。</p> <p>特別的是，可能是為了讓使用者降低戒心，這些駭客同時提供免費及付費版修改器，但實際上，兩者都會導致電腦被植入竊資軟體。考慮到該遊戲每天有超過7千萬玩家上線遊玩，再加上有45%玩家年齡低於13歲，這些小孩可能使用父母的裝置遊玩，而有可能導致家長其他的機敏資料被竊。</p> <p><a href="https://unit42.paloaltonetworks.com/muddled-libra/"><strong style="font-size: 22px;">研究人員揭露駭客組織Muddled Libra攻擊手法的變化，並指出對方重度利用代理伺服器服務、虛擬機器隱匿行蹤</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-86440-132966-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-86440-132966-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露駭客組織Muddled Libra最新一波的攻擊行動，這些駭客最初鎖定軟體自動化、外包公司、電信業者，後來範圍擴及科技業、業務處理外包公司、旅館、金融產業，攻擊步調迄今並未出現放緩的跡象。</p> <p>研究人員分析2022年中期至今年初的攻擊行動，發現這些駭客的手法有以下特質：像是在作案過程當中，會大量使用匿名代理伺服器服務，包含Nsocks、TrueSocks，並建立從特定資安業者轉寄給自己的郵件規則，以便監控通訊；此外，這些駭客也會對VMware vCenter伺服器下手，利用開源rootkit工具bedevil（bdvl）發動攻擊，並部署自製的虛擬機器（VM），目的是為了迴避偵測。這些駭客主要鎖定的地區是美國，並使用英文為主要語言，以便對目標進行社交工程攻擊，再者，研究人員也看到對方利用AI仿造受害者聲音的情況。</p> <p>該駭客組織起初利用0ktapus網釣工具包收集帳密，從而入侵目標組織，而現在則是演變成針對服務臺系統從事社交工程攻擊來達到目的。值得一提的是，這些駭客在2023年成為勒索軟體駭客BlackCat（Alphv）的附屬組織，並隨即將相關工具用於攻擊行動，但不久就遇到美國司法部中斷該勒索軟體的運作，Muddled Libra改以竊取資料向受害組織進行勒索。</p> <div> <p><a href="https://blog.talosintelligence.com/ghostsec-ghostlocker2-ransomware/"><strong style="font-size: 22px;">勒索軟體GhostLocker 2.0鎖定中東、非洲、亞洲企業而來</strong></a></p> <p></p> <p>思科旗下威脅情報團隊Talos揭露由兩個勒索軟體駭客組織GhostSec、Stormous發起的雙重勒索軟體攻擊，並成立名為STMX_GhostLocker的勒索軟體基礎設施架構，提供附屬組織相關作案工具。</p> <p>這些駭客利用名為GhostLocker 2.0的勒索軟體，鎖定黎巴嫩、以色列、南非、土耳其、埃及、印度、越南、泰國等國家的科技公司、大專學校、製造業、運輸業、政府機關。研究人員指出，前一代GhostLocker以Python打造，新的2.0版則是Go語言重新改寫，但兩者的功能大致相同，最主要的差異在於加密金鑰的強度，從AES-128提升至AES-256。一旦電腦遭到加密，駭客便會要求受害者7天內向他們聯繫，否則遭竊資料將會外流。</p> <p>值得留意的是，研究人員發現GhostSec也對網站進行破壞，他們看到對方使用工具集GhostSec Deep Scan toolset來尋找攻擊目標，並透過GhostPresser發動跨網站指令碼（XSS）攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GhostLocker-2_0-msg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GhostLocker-2_0-msg.png" style="width: 580px;" /></a></p> <p><a href="https://www.trendmicro.com/en_ae/research/24/c/multistage-ra-world-ransomware.html"><strong style="font-size: 22px;">勒索軟體RA World濫用微軟作業系統的GPO群組原則物件，鎖定醫療產業及金融領域而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ra-world-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ra-world-3.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技針對去年4月出現的勒索軟體駭客組織RA World（原名RA Group）提出警告，指出這些駭客起初針對美國、韓國的製造業、財富管理、保險業、製藥廠下手，後來攻擊範圍擴及臺灣、德國、印度，近期則是鎖定拉丁美洲醫療機構從事多階段網路攻擊，竄改目標組織的群組原則組態。</p> <p>而對於駭客發動攻擊的手法，研究人員指出，最初是透過受到感染的網域控制器取得存取權限，並將攻擊工具存放在電腦群組原則物件（GPO）的SYSVOL資料夾，然後透過PowerShell指令碼提升權限，找出與目前網域有關的其他網域控制器，從而透過GPO對受到網域管理的電腦執行加密檔案的工作，並留下勒索訊息。</p> <p>特別的是，駭客在勒索訊息當中，列出不願付錢的受害組織名單，企圖施加支付贖金的壓力。</p> <p><a href="https://www.ic3.gov/Media/PDF/AnnualReport/2023_IC3Report.pdf"><strong style="font-size: 22px;">勒索軟體駭客攻擊關鍵基礎設施日益頻繁，2023年逾4成攻擊行動對其而來</strong></a></p> <p>美國聯邦調查局（FBI）近日公布對於2023年的網路犯罪觀察，其中針對勒索軟體的態勢，他們去年總共接獲2,825件勒索軟體攻擊事故，其中有1,193件是針對關鍵基礎設施（CI）有關的組織而來，相當於每5起事故就有2起是鎖定這類設施，相較於2022年約占三分之一出現明顯增加的情況。</p> <p>FBI指出，在16類關鍵基礎設施當中，他們的網路犯罪投訴中心至少接獲14類有組織在2023年遭遇勒索軟體攻擊，而駭客的頭號目標，偏好醫療照護與公共衛生領域，其次是關鍵製造業、政府設施、資訊科技、金融服務。</p> <p><a href="https://www.bleepingcomputer.com/news/security/french-unemployment-agency-data-breach-impacts-43-million-people/"><strong style="font-size: 22px;">法國失業救濟機構France Travail遭到入侵，4,300萬人個資恐流出</strong></a></p> <p></p> <p>3月13日法國失業救濟機構France Travail證實，他們遭到駭客入侵，對方在2月6日至3月5日竊取過去20年曾向他們求助的求職者的個資，該機構也向當地的資料保護機構國家資訊與自由委員金（CNIL）通報此事，並透露可能有4,300萬人受到影響，這些資料的類型涵蓋姓名、生日、出生地、社會安全碼（NIR）、電子郵件信箱、郵寄地址、電話號碼等。</p> <p>但這並非France Travail近期遭遇網路攻擊的首例，2023年8月，該機構也遭遇大規模資料外洩的情況，當時約有1,000萬人受到影響。</p> <p>資料來源</p> <p>1. <a href="http://www.francetravail.fr/candidat/soyez-vigilants/cyberattaque-soyez-vigilants.html">http://www.francetravail.fr/candidat/soyez-vigilants/cyberattaque-soyez-vigilants.html</a><br /> 2. <a href="https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/violation-de-donnees-personnelles-france-travail-formulaire-lettre-plainte-202403">https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/violation-de-donnees-personnelles-france-travail-formulaire-lettre-plainte-202403</a><br /> 3. <a href="https://www.cnil.fr/fr/france-travail-la-cnil-enquete-sur-la-fuite-de-donnees-et-donne-des-conseils-pour-se-proteger">https://www.cnil.fr/fr/france-travail-la-cnil-enquete-sur-la-fuite-de-donnees-et-donne-des-conseils-pour-se-proteger</a></p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.linkedin.com/posts/yelisey-bohuslavskiy-214a02bb_akira-ransomware-lockbit-activity-7173017069142163457-vyPU/"><span style="font-size: 20px;">勒索軟體LockBit遭執法單位圍剿，成員大量湧入另一個組織Akira</span></a></strong></p> <p></p> <p><a href="https://therecord.media/new-predator-spyware-infrastructure-identified"><strong><span style="font-size: 20px;">研究人員在11個國家發現新的攻擊基礎設施，疑為間諜軟體Predator使用</span></strong></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2024/03/fakebat-delivered-via-several-active-malvertising-campaigns"><strong><span style="font-size: 20px;">惡意程式FakeBat透過惡意廣告散布，駭客假借提供熱門應用程式為誘餌吸引用戶上當</span></strong></a></p> <p></p> <p><strong><a href="https://blog.checkpoint.com/research/february-2024s-most-wanted-malware-wordpress-websites-targeted-by-fresh-fakeupdates-campaign/"><span style="font-size: 20px;">惡意軟體FakeUpdates攻擊行動鎖定WordPress網站而來</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/nissan-confirms-ransomware-attack-exposed-data-of-100-000-people/"><strong><span style="font-size: 20px;">日產大洋洲分公司遭遇網路攻擊，10萬人個資外流</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161764"><strong>【3月14日】研究人員揭露ChatGPT可用於存取第三方網站及敏感資料的漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161751"><strong>【3月13日】微軟發布3月例行更新，Hyper-V、Exchange、Azure K8s漏洞受到研究人員關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161727"><strong>【3月12日】勒索軟體駭客組織「變臉」藉由TeamCity伺服器入侵受害組織</strong></a></p> </div></div></div>
2024/3/15 14:26作者周峻佑https://www.ithome.com.tw/news/161788
美國FCC將寬頻基準從25/3 Mbps提高到100/20 Mbps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（Federal Communications Commission，FCC）<a href="https://docs.fcc.gov/public/attachments/DOC-401205A1.pdf" target="_blank">周四（3/14）宣布</a>，已將2015年所定義的高速固定寬頻基準從上傳3 Mbps、下載25 Mbps，提高到上傳20Mbps與下載100 Mbps。</p> <p>FCC表示，此一先進電信能力的寬頻標準是根據聯邦與各州相關計畫中所使用的標準、消費者的使用模式，再加上ISP業者實際銷售的服務而調整。</p> <p>在改變了寬頻的定義之後，FCC發現此一先進電信能力並未被合理與及時部署到所有美國人口，特別是位於農村或部落的美國人，消弭差距的行動也不夠快。</p> <p>根據2022年12月所蒐集的部署資料，還有2,400萬的美國人無法使用非衛星的固定地面寬頻服務，其中包括28%的農村地區人口與23%的部落地區人口；並有4,500萬名美國人無法存取100/20 Mbps的固定寬頻服務或35/3 Mbps的行動5G-NR服務。</p> <p>新的基準將有助於推動美國ISP業者加速步伐，以實現全美的寬頻互連，此外，FCC也設定了新的寬頻速度長期目標為1 Gbps/500 Mbps，以替美國消費者帶來更快與更強大的通訊系統。</p> </div></div></div>
2024/3/15 14:42作者陳曉莉https://www.ithome.com.tw/news/161789
Google本月釋出的Chrome 123可望更新Safe Browsing，以即時防範網釣網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四（3/14）<a href="https://security.googleblog.com/2024/03/blog-post.html" target="_blank">宣布</a>，將更新Chrome瀏覽器中的Safe Browsing標準保護選項，以於使用者造訪網站時，提供即時的網釣保護。此一更新可望出現在本月釋出的Chrome 123中，<a href="https://chromiumdash.appspot.com/schedule" target="_blank">Chrome 123</a>已於13日部署至少數用戶，預計於19日全面部署。</p> <p>Safe Browsing是Google在2005年所發表的網釣保護機制，其伺服器偵測並列出所有含有惡意程式或網釣內容的網站，並於使用者造訪網站時進行比對，以封鎖惡意網站，目前包括Chrome、Safari及Firefox等瀏覽器都支援Safe Browsing，微軟則是採用自行建置的SmartScreen來過濾惡意及網釣網站。</p> <p>Chrome瀏覽器中的Safe Browsing有<a href="https://support.google.com/chrome/answer/9890866?hl=en&co=GENIE.Platform%3DDesktop&oco=0" target="_blank">3種保護模式</a>，包括預設的標準保護模式，另也可選擇無保護模式，或是選擇採用AI技術來辨識惡意網頁、深度掃描使用者所下載的檔案，以及防範惡意Chrome擴充程式的加強保護模式。</p> <p>Safe Browsing伺服器可隨時掃描與收錄惡意及網釣網站，現有的標準保護模式是在使用者裝置端存放一個源自該伺服器的惡意網站列表，且每30~60分鐘更新一次，然而，Google發現，現在網釣網站大多數存在的時間都不到10分鐘，令使用者備受威脅，決定將標準保護模式升級到即時檢查Safe Browsing伺服器上所維護的清單。</p> <p>在最新的Chrome瀏覽器中，一旦使用者造訪某個網站時，它會先檢查裝置上的快取來確定該網站是否為已知的安全網站，答案若是否定的就會將URL轉為雜湊值，再加密雜湊前綴，並先發送至Fastly所管理的隱私伺服器，由Fastly負責移除可用來辨識使用者的各種標誌，再傳送至Safe Browsing伺服器進行比對，最後將結果傳回瀏覽器。</p> <p>Google表示，在此一過程中，使用者不僅可即時檢查所造訪的網站，隱私伺服器只會看到IP位址而看不到URL的雜湊前綴，Safe Browsing伺服器則只會看到URL雜湊前綴而看不到IP位址，同時具備保護使用者瀏覽安全及隱私的能力。</p> <p>新的Safe Browsing功能將同時支援桌面、iOS與Android平臺上的Chrome瀏覽器，比起原本的標準保護模式，Google預計新版本將可額外減少25%的網釣攻擊。</p> </div></div></div>
2024/3/15 14:56作者陳曉莉https://www.ithome.com.tw/news/161790
外傳蘋果已悄悄買下加拿大AI新創DarwinAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《彭博社》（Bloomberg）本周引述消息來源<a href="https://www.bloomberg.com/news/articles/2024-03-14/apple-aapl-buys-canadian-ai-startup-darwinai-as-part-of-race-to-add-features" target="_blank">報導</a>，蘋果已於今年初買下了加拿大的AI新創DarwinAI，且DarwinAI員工已加入蘋果的AI部門。</p> <p>目前DarwinAI的官網已被撤下，但從網際網路檔案館（Internet Archive，IA）去年底所保留的<a href="https://web.archive.org/web/20231207235556/https://darwinai.com/" target="_blank">網頁</a>可看出，創立於2017年的DarwinAI主要開發可應用於製造業的AI應用，例如針對印刷電路板（PCB）的缺陷檢測平臺，以協助業者加速投資回報並減少電子垃圾。</p> <p>此外，DarwinAI也曾與滑鐵盧大學的研究人員合作，發展可應用於諸如手機等邊緣裝置上的語音辨識模型<a href="https://arxiv.org/pdf/2008.04245.pdf" target="_blank">TinySpeech</a>。</p> <p>蘋果不願向《彭博社》證實此事，僅說持續在購買小型科技公司。</p> <p>相較於微軟、Google或Meta等美國大型科技業者，蘋果在AI領域的腳步並不快，從去年12月才開始對外發表其<a href="https://www.ithome.com.tw/news/160517" target="_blank">AI研究成果</a>，然而，根據市場分析機構Stocklytics的<a href="https://www.ithome.com.tw/news/161261" target="_blank">調查</a>，蘋果已經買下了高達32家的AI新創，凌駕Google、Meta、微軟與Amazon，此外，蘋果也在今年2月舉行的財報會議上<a href="https://www.ithome.com.tw/news/161134" target="_blank">宣布</a>，將會在今年部署生成式AI。</p> </div></div></div>
2024/3/15 12:25作者陳曉莉https://www.ithome.com.tw/news/161786
OpenAI與法、西語媒體集團簽定內容授權合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/global-news-partnerships-le-monde-and-prisa-media" target="_blank">OpenAI本周宣布</a>與媒體集團包括法國的Le Monde及西班牙的Prisa Media簽定內容授權合作，以合法使用旗下刊物內容訓練其模型，以及用於回應結果。</p> <p>這項合作將讓OpenAI得以使用《Le Monde》以及Prisa Media旗下刊物包括《El Pais》、《Cinco Dias》、《As》及《El Huffpost》等內容訓練其模型GPT，並能讓ChatGPT在回應用戶查詢時，顯示新聞與雜誌內容。未來幾個月內，ChatGPT在生成的新聞摘要中，使用這兩大法、西語媒體內容，同時附上原文連結。</p> <p>《Le Monde》（法國世界報）是法國主要新聞紙本媒體，到2024年擁有60多萬訂閱戶。而Prisa Media訂戶超過700萬，遍及西班牙、拉丁美洲及美國，其廣播電臺也有音頻、影像內容供串流及下載，每月收聽時數超過9,000萬小時、音檔下載5,100餘萬次，以及影片點閱率超過1.41億次。</p> <p>這項合作是OpenAI為了解決內容侵權爭議，而推動媒體授權合作的最新成果。OpenAI去年12月也和德國的出版商Axel Springer<a href="https://www.ithome.com.tw/news/160332" target="_blank">簽署合作協議</a>，使用旗下媒體如《Business Insider》、《Bild》及《Politico》等訓練AI模型。在美國市場，OpenAI的合作媒體則有美聯社、CNN、福斯新聞及《時代雜誌》。</p> <p>但OpenAI和《紐約時報》的侵權官司還在進行中，後者2023年底<a href="https://www.ithome.com.tw/news/160589" target="_blank">指控OpenAI</a>濫用其內容及錯誤引述傷害其營利能力及其聲譽，損害金額超過十億美元。</p> </div></div></div>
2024/3/15 11:32作者林妍溱https://www.ithome.com.tw/news/161783
新Teams桌機版App將允許用戶自由切換多雲租戶、公私帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2024/03/13/announcing-windows-11-insider-preview-build-26080-canary-and-dev-channels/" target="_blank">微軟正在測試</a>Windows 11 24H2更新，其中包含新版Teams App，讓用戶在單一App中靈活切換多個雲端租戶或是家用、工作帳號。這項新功能未來將同時發布給個人及企業版本Teams。</p> <p>微軟已把Windows 11 Insider Preview Build 26080更新經由Canary及Dev Channels發布給用戶，測試預計下半年推出的Windows 11 24H2更新。其中Canary Channel會接獲Build 26080.1，而Dev Channel會接獲Build 26080.1100（KB5037133），兩者功能完全相同。Build 26080將以<a href="https://aka.ms/wipISO" target="_blank">ISO檔</a>提供下載。</p> <p>在最新Previews版本中，包含一個新Teams App，可讓用戶於單一App中在多個雲端環境、租戶及個人與工作帳號之間無縫切換。微軟表示，單一App中切換及存取個人和工作帳號是Teams用戶最多人要求的功能。在最新Teams中，用戶可以同時啟用個人和工作帳號，兩個帳號有各自圖示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0315-windows%2011-teams-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0315-windows%2011-teams-600-2.png" style="width: 453px;" /></p> <p>用戶也可以自由選擇帳號加入會議，甚至不用登入也能加入。此外Teams通知訊息也有不同，會顯示所屬的帳號。個人版通知則加入更多資訊，從banner就能一眼掌握動態。用戶若希望加入或整合其他帳號，可以登入Teams，再點選Teams右上角的用戶圖片變更。</p> <p>這全新App也將經由正常的軟體更新流程發布給企業用戶。4月發布預覽版，5月正式上線，屆時用戶即可以工作帳號登入Teams。</p> <p>目前在測試版中，新Teams會暫時稱為Microsoft Teams（work or school）以便和現有免費版Microsoft Teams（free）區別。未來正式版仍會稱為Microsoft Teams。</p> <p>全新安裝的Insider用戶，只要作業系統版本在Windows 11 Insider Preview Build 26080以上即可測試新Teams。現有用戶則必須要等到微軟部署了Microsoft Teams 24057.2000.2723.3544版才能使用這功能。</p> </div></div></div>
2024/3/15 12:09作者林妍溱https://www.ithome.com.tw/news/161785
Cloud周報第196期：美國國家安全局發布雲端安全緩解做法10大策略，可供企業改善雲端安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（03/07～03/13）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Vertex AI Search </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">GCP積極布局生成式AI醫療應用，宣布Vertex AI Search for Healthcare服務現已推出上市</span></strong></p> <p>近日，GCP正式推出專用於醫療產業的Vertex AI Search for Healthcare服務，Vertex AI Search是GCP去年推出的一個主打No-code的生成式AI企業搜尋開發套件，讓企業也能快速用自家資料打造內部專用、媲美Google生成式搜尋等級的AI搜尋工具。</p> <p>新推出的Vertex AI Search for Healthcare服務，可以協助企業快速建立內部專用的AI醫療搜尋系統，用以管理問題和大量臨床記錄，此外該服務也能串接醫療保健系統中的數據，包括使用MedLM、醫療保健數據引擎和雲端醫療保健API來存取大量數據。</p> <p>Vertex AI Search本身還提供醫學微調的搜尋功能，可以理解電子健康記錄資料、掃描文件以及護理師、醫生和其他臨床醫生輸入的各種臨床資料。使用者只需輸入所需內容，就可以快速從中獲得答案。因為是將基礎模型產出的答案，與醫院內部資訊結合，能產出更貼近需求的回答。</p> <p>開發人員還能夠建立能夠理解醫學術語的聊天機器人，協助回答醫生和護士的問題，例如詢問該患者是否有癌症病史等，此外也可以以專業的醫學術語進行回答，並提供掃描文件中的醫學筆記的上下文資訊。</p> <p>不過GCP強調，該服務僅提供醫療資料的搜尋，並不包含提供與疾病的預防、診斷或治療相關的資訊。</p> <p> </p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">SAP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料分析 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">加強資料產品的整合，SAP將在分析雲平臺中內建生成式AI助理Joule輔助商業分析</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(4).jpg" style="width: 600px; height: 338px;" /></p> <p>去年SAP推出對話式GenAI助理Joule後，陸續將其整合到商用產品和服務中，包括SAP人資雲、SAP Start、SAP S/4HANA雲端ERP等，該公司最新也宣布將在SAP AnalyticsCloud分析雲等資料產品中整合Joule。</p> <p>借助 Joule，SAP表示，企業可以在分析雲中建立和模擬業務計畫，此外還可以使用Joule自動化各種資料處理任務，包括資料探索、規劃和資料管理任務，甚至也能用Joule進行深度分析。</p> <p>另外，SAP利用了SAP HANA Cloud的向量引擎，將LLM與企業內部資料相結合，確保生成式 AI模型輸出的一致性，更貼近企業用戶。SAP分析雲的AI助理Joule預計將在第二季推出預覽。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">對話式AI開發平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Salesforce推出低程式碼對話式AI開發平臺Einstein 1 Studio，可讓企業客製CRM的AI助理</span></strong></p> <p><strong><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(18).png" style="width: 600px; height: 305px;" /></span></strong></p> <p>近日在Salesforce開發者大會上，這家雲端CRM巨頭推出對話式AI開發平臺Einstein 1 Studio，提供一套低程式碼工具集，強調可以讓企業不用撰寫過多程式，就能快速在Salesforce應用程式和工作流程中，來建置專屬CRM的GenAI助理。</p> <p>該平臺中包含三個重要元件，一個是Copilot Builder工具，可以用來建立完成特定任務的AI助理，還有可以在工作流程中建立和自訂提示的PromptBuilder。最後一個Model Builder則是可以在其中建立和匯入各種AI 模型的模型生成器。</p> <p>Einstein 1 Studio本身也整合了其資料雲（Data Cloud），因此企業可以從資料雲上匯入資料進行模型訓練，建置其所需的AI助理應用。此外，Model Builder今年稍晚將支援Data Cloud資料微調的LLM模型，包含Amazon Bedrock、Google Vertex AI和OpenAI的模型服務。</p> <p>目前這當中的Prompt Builder和Model Builder工具已推出，Copilot Builder仍處於測試階段。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端安全 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國國家安全局 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">美國國家安全局發布雲端安全緩解的建議清單，可供企業改善雲端安全</span></strong></p> <p>美國國家安全局（NSA）近日發布了一份<a href="https://media.defense.gov/2024/Mar/07/2003407860/-1/-1/0/CSI-CloudTop10-Mitigation-Strategies.PDF?ref=thestack.technology">雲端安全緩解策略的建議清單</a>，匯整了現今雲端環境最佳實踐與緩解措施，從雲端安全措施到身分和存取管理、資料安全實踐和網路分段的十項策略，可供上雲企業參考。</p> <p>進一步來看這10項緩解策略，分別有建立雲端中共同責任劃分、使用安全雲端身分和存取管理實踐、使用安全雲端金鑰管理實踐、在雲端環境中實施網路分段和加密、保護雲端中的數據、持續落實CI/CD的環境，透過Infrastructure as Code建立安全的自動化部署實踐、將混合雲和多雲的複雜性納入考量、降低雲端環境中託管服務供應商的風險、透過雲端日誌管理有效追蹤資安風險。</p> <p>NSA針對每項緩解策都有提供一個額外的網路安全資訊表，詳細說明如何實施該策略，還包含了NSA和CISA建議採取的步驟、最佳實踐以及連結列表，方便雲端企業參考，作為改善雲端安全的參考依據。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">紅帽 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續發展 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">紅帽OpenShift開始提供容器層級的電力監控支援功能</span></strong></p> <p>紅帽從今年初開始提供了一個容器層級的電力監控工具Kepler的技術預覽，讓企業可以將它整合到混合雲平臺OpenShift中，用於監控雲原生應用的功耗與能耗。</p> <p>這套工具源自於一個Kepler專案。這是由紅帽、IBM在2022年2月所發起，在2023年5月加入CNCF基金會沙盒的專案，利用eBPF來取得能源相關系統狀態的數據，並匯出成Prometheus指標進行監控和管理的工具。</p> <p>從電力監控儀表板中，使用者不僅可以查看每日Pod或Namespace叢集中占用CPU能耗的整體情況，包括所選CPU架構和受監控指定的節點數量等，還可放大檢視每個Namespace在不同時段的能耗和功耗變化，並提供每小時的更新頻率。此外，也可以優先列出能耗過高的Namespace叢集，了解哪些容器和Pod消耗的電量最多，做為日後能耗改善的參考依據。但尚未支援碳排監控功能。</p> <p>在OpenShift 4.14上現已提供這款工具，供用戶進行試用。不過，現階段僅是技術預覽版，尚未推出正式版。</p> <p> </p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟釋出GPT Builder工具，可供用戶打造Copilot GPT的客製化版本</span></strong></p> <p>微軟最近推出GPT Builder建置工具，類似OpenAI的GPT 開發建置工具，讓Copilot Pro用戶得以打造微軟Copilot GPT的客製化版本。像是可以文字輸入指令，打造具有專門用途的AI聊天機器人，例如在購物網站場景中，能透過它建立一個根據用餐計畫建議購物清單的Copilot GPT等。</p> <p> </p> <p>圖片來源／Salesforce、SAP</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.甲骨文雲端健康數據智慧服務開始支援生成式AI服務</strong></p> <p><strong>2.SAP HANA Cloud的向量引擎目前進到公開預覽，Q1正式推出</strong></p> <p><strong>3.Google全託管GKE服務正式支援執行Elastic Cloud on Kubernetes服務</strong></p> <p><strong>4.微軟不再允許OneDrive雲端儲存用戶從URL網址上傳檔案</strong></p> <p><strong>資料來源：iThome整理，2024年3月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/3/15 10:24作者余至浩https://www.ithome.com.tw/news/161781
智慧醫療應用吹起新一波資料結構化需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「結構化病歷」是這2年許多醫院CIO常常提起的熱門關鍵字。因為AI技術的出現，催生不少智慧醫療應用，醫院也體會到智慧醫院的可能性。但要進一步擴大應用時，醫院才發現許多關鍵資訊，還藏在原本的文字敘述病歷中。為了擴大規模、發展更深層的智慧醫療應用，他們得要從這些病歷中，抽取出新的病歷資訊才行，因此掀起了新一波醫療資料結構化需求。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>病歷資料來源廣泛，文字類病歷是結構化重點</strong></span></span></p> <p>對醫院來說，病歷結構化一直是項大工程。因為，病歷資料很多種，涵蓋層面廣泛，包括檢驗報告、檢查報告、生理資訊、個人健康資訊、個人健康習慣、過去就醫歷程與記錄，還有藥物資訊等。這些病歷記錄內容，又可分為醫學影像、影音、數值和文字資訊，其中，文字資訊還可細分為表格表單和描述性資料兩種架構。</p> <p>不只資料本身多樣，這些病歷還牽連不少重要的醫療資訊系統，從常見的門診、住院、急診和醫囑系統，到更專精的生化病歷檢驗報告系統、生理資訊系統、各臨床科別檢查系統和藥物管理系統，以及麻醉、手術、護理、病理、營養、個案管理和處理醫學影像的影像儲傳系統（PACS）等都在影響範圍內。</p> <p>在這之中，生化檢驗和生理數據等病歷資料，是結構化技術門檻最低的種類。因為，這類資料因健保申報制度，早年就已數位化和自動化，大多採結構化架構，因此結構化門檻低。但描述性的文字報告病歷，過去以來並非以結構化方式記錄，因此成為許多醫院推動結構化的目標。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>病歷結構化不只益於臨床應用，對IT也有好處</strong></span></span></p> <p>雖然病歷資料多樣複雜，但對醫院而言，病歷結構化可帶來不同的幫助。</p> <p>振興醫院心臟醫學中心心臟血管內科主治醫師暨資訊室主任陳冠群就點出，病歷結構化可系統性地規範、定義和歸類臨床資訊，這些結構化數據，能簡化後續分析應用成本，尤其是資料清洗，減少了AI應用開發所需的人力和時間。</p> <p>對臨床第一線人員來說，結構化的病歷資料，可用來統計、追蹤、計算、標註和可視化呈現特定的趨勢，有助於跨職類人員的溝通協作，還能更即時處理臨床業務。感染控制、特定病患的篩選與管理，以及醫療品質的目標設定、追蹤和預警都是應用的一種。</p> <p>而且，結構化的病歷資料，還能加速臨床照護儀表板的設計。這類儀表板可用來偵測異常數值、發出預警通知，讓醫護人員適時介入治療。這些是病歷結構化對臨床面的好處。</p> <p>對醫院IT來說，病歷結構化也有幫助。因為，資料在源頭透過表單式結構化處理，可簡化IT人員後續資料撈取上的繁瑣工作，節省原本許多需要寫程式執行的資料分析流程。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>為何推動病歷結構化不容易</strong></span></span></p> <p>資料結構化的方法有好幾種，最常見的是採用表單式工具，在資料輸入源頭，就先以表單式的結構化規格儲存。還有一種方法是使用資料湖工具，就算原始資料非結構化，也能儲存，並在輸出時，透過程式轉換為結構化資訊。</p> <p>在臺灣，大多數醫院病歷結構化的主流做法是導入表單工具，來讓醫事人員以表單格式填寫病歷資料。但，這個做法要讓第一線使用者買單，還不容易。</p> <p>因為，要將病歷中原本自由書寫的描述性文字欄位，改為表單式，光是在表單設計過程，就需要臨床人員額外花時間，配合找出需要結構化的關鍵資訊。這個額外工作，很容易引起臨床人員反彈。再來，改採表單式欄位，會打破醫師使用者書寫病歷的習慣。因為，醫師得要將原本流暢書寫的一句話，拆分成好幾個部分，來進行個別記錄或歸類，甚至還要選取關鍵字。這種作法，容易中斷醫師思緒，而且在資料閱讀上，也未必友善。</p> <p>對醫院IT而言，如何根據已知需求和未來可能需要的未知需求，來正確地將病歷資料結構化，也是一大挑戰。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>有效推動病歷結構化還有幾種方法</strong></span></span></p> <p>因此，如何兼顧臨床使用者需求和結構化資料收集目的，成為醫院推動資料結構化的重要課題。</p> <p>除了在組織上，成立由臨床人員和醫院IT組成的推動小組，臺大醫院病歷資訊室主任莊秋華認為，團隊得先聚焦病歷結構化的臨床目的，也就是找出臨床痛點，接著凝聚醫療專業共識，找出需要結構化且適合用於表單形式的資料欄位。因為，病歷結構化雖是輔助資料收集的好幫手，但不代表所有病歷資料都適合用結構化方式來解決臨床問題。</p> <p>有了共識，再來就是設計表單，將共識轉換為病歷格式，並搭配臨床作業流程來設計。完成後，就能交給IT來建置或修改病歷系統表單程式。由於表單式紀錄會影響原本醫師對病人病況的觀察記錄，若全面改為表單欄位，不只會改變醫師書寫習慣，也難以完整呈現病人病況。但若為追求完整性，導致表單上需要輸入的欄位過多，也會帶給第一線醫護困擾。因此，她提醒，醫院設計結構化病歷表單時，需兼顧實用性，要能充分反映病人狀況，可採取部分結構化，部分自由書寫的形式。</p> <p>此外，還有一種病歷結構化解法是導入表單設計工具，讓臨床人員自助式設計表單。推動長庚體系醫院病歷結構化的林口長庚紀念醫院核子醫學部主治醫師林昆儒就分享，他們自2015年開始籌畫病歷結構化，當時考量，若由IT部門根據臨床需求、一一設計上百張表單，太耗工費時，因此決定導入低程式碼表單編輯器，來讓臨床單位自行設計符合病歷審查條件的表單。</p> <p>後來，為兼顧醫師書寫習慣，他們改良這套工具，改採主表單和子表單兩層式設計，讓醫師可在主表單自由書寫病歷記錄，另透過快捷鍵或點選，快速調用結構化的子表單，來進行更細緻的輔助記錄。完成後，系統會自動生成子表單的內容摘要，回饋到主表單上，其他結構化資料則會傳送至資料倉儲，以便後續應用。這就是兼顧臨床使用者需求和結構化資料收集的一種作法。</p> <p>一樣是先鎖定要解決的臨床痛點，振興醫院對如何找出最關鍵、最值得優先投入結構化的資料，還有另一種切入角度。比如可先衡量數據的臨床價值，結構化後，能否用來強化照護、提高診斷品質或優化醫療流程，另也可思考數據的多樣性，也就是同一批結構化數據，能否發展更多種類的應用、在多個科別中使用。其他還有數據的真實性，也就是找出明確、不必再後續處理或判斷的數據，更不能是意義模糊的數據結構。</p> <p>數據結構化所衍生的資料儲存成本也很重要，若數據產量很大，就得考量儲存方式的開銷。此外，醫院也需思考，結構化數據是否來源多處，比如要解決一個臨床題目，可能需要好幾種不同來源的數據，要是數據取得難度高，結構化就會很辛苦。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>LLM也許是另一種資料分析選擇</strong></span></span></p> <p>病歷資料結構化並非推動智慧醫療應用的唯一選擇。尤其，這2年以大型語言模型（LLM）為基礎的生成式AI崛起，可用模型和工具也越來越普及，LLM強大的文字閱讀和分析能力，能快速消化非結構化的長篇文字內容，還能根據使用者指令，來解析、摘要特定內容。</p> <p>這讓醫院開始思考，LLM是否意味著，醫院可用來分析非結構化的病歷文字內容？甚至是，病歷資料是否不必結構化，就能靠LLM分析、解答？這是許多醫院正在探究的議題。</p> <p><a href="https://www.ithome.com.tw/article/161782" target="_blank"><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1173-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=HS60JVZD" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/15 09:35作者王若樸https://www.ithome.com.tw/news/161780
【病歷結構化實例：臺大醫院】發展結構化病歷必須兼顧4大要件，第一步先從臨床痛點著手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>智慧醫療要遍地開花，關鍵一步是資料結構化。因為，透過明確的表單欄位來分類、儲存資料，不只利於搜尋，還對大數據分析應用、AI模型訓練有很大的幫助。但，醫院要如何將院內巨量的病歷資料結構化？該如何拿捏結構化程度？</p> <p>長年耕耘電子病歷的臺大醫院病歷資訊管理室主任莊秋華認為，理想的結構化病歷，必須兼顧4大要件。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>理想結構化病歷要兼顧4大要件</strong></span></span></p> <p>首先，理想的結構化病歷，要能讓第一線臨床醫師與醫事人員方便使用。再來，結構化病歷要能充分表達病人的狀況，第三是要能提高病人安全的防護，最後則是要兼具醫療教學價值。</p> <p>「這4大要件環環相扣，非常重要！」如同企業開發IT應用一樣，莊秋華解釋，醫院推動結構化病歷，必須從第一線使用者角度出發。以臺大醫院為例，早在10多年前衛福部推動電子病歷時，他們就找來臨床醫事人員和IT人力，共同成立了一個電子病歷工作小組，從實務角度來設計符合臨床需求的病歷單張。爾後推動結構化病歷時，他們也採取了同樣的模式。</p> <p>再來，因病歷結構化，得將原本自由書寫的病歷紀錄，改為表單式紀錄，這也會影響了原本醫師對病人病況的觀察記錄，變得片段化。莊秋華點出，若將病歷全面改為結構化的表單欄位，不只會改變醫師書寫習慣，也難以完整呈現病人病況。但為了追求完整性，導致表單上需要輸入的欄位過多，也會帶給第一線醫護不少困擾。她認為，醫院設計結構化病歷表單時，需兼顧實用性，也要能充分反映病人狀況，可採取部分結構化，部分自由書寫的形式。</p> <p>結構化病歷之後，可以帶來許多功用，如利於後續品管、績效分析、疾病風險預測等，其中，莊秋華認為，強化病安，是病歷結構化後必須做的事，比如提醒醫師重複用藥、高風險用藥等資訊，給第一線臨床人員與病人照護回饋。</p> <p>此外，結構化病歷也得具備醫學教學的意義。因為，病歷是培養醫師專業知識的重要資料，醫師需要用病歷來推論、鑑別不同病程和多種病因之間的因果關係。好的病歷資料，通常是醫師經過深思熟慮、詳細描述病人病況和症狀的文字敘述，對醫學生或年輕醫師的養成很有幫助。</p> <p>「若都改為表格形式，恐怕會簡化醫師的思考過程，甚至可能有複製貼上的疑慮，這是我不樂見的，」莊秋華認為，結構化病歷應保留一些自由書寫的文字內容，或補充選項，才能兼顧醫學教學意義。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>實務推動可分4階段</strong></span></span></p> <p>有了必備要件，在實務上，醫院如何推動結構化病歷記錄？</p> <p>莊秋華從臺大多年電子病歷發展經驗中，總結出4大階段。首先，團隊得先聚焦病歷結構化的臨床目的，也就是「找出臨床痛點，」比如，如何提醒各種藥物相互作用就是一個關鍵的臨床需求。</p> <p>接著是凝聚醫療專業共識，「這是很大的挑戰！」她解釋，在這個階段，團隊必須找出需要結構化的資料，也就是具特殊意義、適合用於表單形式的資料欄位。這一步涉及的範圍可以很大，特別是體系醫院旗下有多家分院，若採用相同規格，就需要各分院的科部都達成共識。</p> <p>取得共識後，第三階段才開始設計表單，將共識轉換為病歷格式，還要搭配臨床作業的流程來設計表單。最後一階段則是將設計完成的表單交給IT動工，來建置或修改病歷系統表單及相關程式。</p> <p>臺大醫院這幾年來，自行開發不少結構化病歷應用。舉例來說，透過醫囑結構化表單，設置必要欄位來記錄病人的用藥情況，將這些資料串接到開藥系統，就能提醒醫師該留意病人過敏藥品，來提升用藥安全。</p> <p>此外，他們也將病人輸血的過敏項目以結構化方式記錄，後續在開立輸血申請時，就能檢核過敏內容。類似應用還有G6PD缺乏症（俗稱蠶豆症）的結構化，比如只要病人在診斷紀錄或檢測報告中有這樣的註記，在開藥及照護系統上都會自動提醒或警示，一樣用來提高病人安全。</p> <p>其他例子像是抗凝血藥劑藥物檢核提醒、孕婦的禁忌用藥提醒、重複用藥與藥物交互作用等檢核提醒，這些都是因為病歷結構化之後才能實現的應用。甚至，臺大醫院還將眼科病歷結構化，將過往紙本繪製的眼睛測光數據結構化，以便後續醫學研究能快速使用。</p> <p>莊秋華點出，雖然醫囑系統已將許多資料欄位結構化，能發展許多延伸的自動化應用和提示功能，但是，「醫囑還是需要保留文字欄位，來讓醫師和護理師溝通，這是結構化沒有辦法處理的部分。」她強調。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>病歷種類複雜，與數十種系統有關</strong></span></span></p> <p>在莊秋華看來，病歷資料結構化並非近年才興起的做法。早在2009年推行電子病歷，甚至是20幾年前的紙本病歷時代，結構化概念就已存在。</p> <p>比如，紙本時代的病歷模板或範本，「就是結構化的一種展現。」她點出，隨著醫學和科技進步，醫院為了更詳細地記錄檢查過程，衍生出許多病歷單張，如基因檢查、核子醫學檢查單張。這些單張，都是結構化病歷的基礎。目前，光是衛福部定義的通用電子病歷單張就有108張，臺大醫院自己則有600多張。</p> <p>這些病歷單張包含的資料類型，十分多元，像是數字、醫療代碼、文字記錄，也有醫學影像，如X光片、心電圖、病理切片和內視鏡檢查影像等。電子病歷所涉及的系統也很多，比如常見的門診、急診、住院系統，還有護理、手術、麻醉、病理、營養、個案管理和專門處理醫學影像的影像儲傳系統（PACS）。</p> <p>這些資料要進行結構化，就得使用既定的模式，如清楚的編碼、輸入規則或特定的數據格式，來儲存病歷資料，實現「降低資料處理分析的成本、提高作業效率」的目標。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>開始有醫院嘗試用LLM解決病歷結構化課題</strong></span></span></p> <p>2年前ChatGPT爆紅，以大型語言模型（LLM）為基礎的生成式AI應用大力崛起，而且越來越普遍。LLM可快速閱讀、分析大量文字資料，並摘要特定內容，或根據使用者提問來回答。</p> <p>這是否意味著，醫院可用LLM來分析非結構化的病歷文字內容？甚至是，病歷資料是否不必結構化，就能靠LLM分析、解答？</p> <p>這個問題，是許多醫院正在探究的議題，臺大醫院也不例外。</p> <p>臺大醫院早已展開LLM在病歷上的嘗試，比如微調了一個地端版LLM，來生成國際疾病分類編碼ICD-10的代碼，去年11月開始啟用，1秒就能產生住院病人的ICD-10編碼（含診斷碼與處置碼），還能快速學習新興疾病、新醫療技術與其他困難疾病的編碼知識，生成正確的編碼，提高編碼品質和效率。莊秋華是該專案的計畫主持人，有了這個基礎之後，她透露，最近臺大醫院計畫進一步用LLM來進行病歷即時審查的應用，輔助人工審查作業，也會探究其他LLM用於病歷資料分析的應用。</p> <p>「如果生成式AI的效益逐漸被證實，或許可以是解決臨床流程痛點的方案，」她指出，病歷結構化是輔助資料收集的好幫手，但不代表病歷資料都適合用結構化方式來解決臨床痛點。</p> <p>從臺大醫院的經驗中，醫院推動結構化病歷時，應先聚焦可解決的臨床問題，比如提高病安照護，並將結構化視為一種手段，而非視為目的，來要求第一線醫師配合IT看診。</p> <p>畢竟「病歷結構化工程浩大，」她建議，醫院應根據自己的組織文化和需求，來審慎評估合適的方法，才能達到最佳效果。</p> <p><a href="https://www.ithome.com.tw/article/161782" target="_blank"><span style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1173-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=HS60JVZD" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/15 09:35作者王若樸https://www.ithome.com.tw/news/161757
【病歷結構化實例：林口長庚醫院】第二代自助式表單平臺上線，兼顧臨床需求還能實現資料治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>越是結構化的資料，越是能用來支援更多樣化的數據應用形式。尤其是自由書寫形式的病歷，想要系統化地從中取出關鍵資訊，不是一件容易的工作，企業得先將這類資料結構化，才方便靠程式來展開對應的任務。</p> <p>對醫療業來說，病歷資料的結構化，更是發展智慧醫療的重要手段之一，如何將龐大的醫療紀錄，尤其是與病人診療息息相關的病歷紀錄，轉換成能夠支援各種運用的形式，一直是醫院數位化的重要工作。這個課題，對林口長庚紀念醫院來說並不陌生。因為，早在2015年，他們就開始籌畫醫療資料結構化工程了。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>病歷結構化第一步：導入表單編輯器</strong></span></span></p> <p>當時的病歷委員會成員之一，林口長庚紀念醫院核子醫學部主治醫師林昆儒分享，時任院長翁文能自國外交流回臺後，對國外醫院已落實病歷資料結構化這件事印象深刻，因此希望長庚醫院跟進。於是，找來病歷委員會多位成員，組成病歷結構化小組，來推動病歷結構化工作，林昆儒也負責這項工作。</p> <p>不過，要將電子病歷結構化，是什麼意思？</p> <p>早期衛福部推動電子病歷時，是將原本紙本的病歷電子化，改由文字框欄位，來讓醫師輸入資料。長庚醫院的電子病歷也採用這種設計，但這種作法，並非所謂的結構化，他們還得將文字框欄位改為表單式，才利於開發後續應用。</p> <p>為發展結構化表單，長庚醫院病歷結構化小組先是與醫院IT討論。他們認為，要是按傳統方法，由IT根據每個臨床需求開發一支電子表單，「挑戰很大！」林昆儒解釋，因為醫院病歷單張種類多樣，高達上百張，若由IT人員一一設計，太耗費人力和時間。因此，他們與醫院高層討論，改採另一種方法，在病歷系統中導入低程式碼表單編輯器，來讓各科室自行設計表單，而非全由IT動手。</p> <p>這款表單編輯器，也成了長庚醫院第一代病歷結構化的重要工具。</p> <p>有了新工具後，他們訂定出病歷結構化的KPI，首先瞄準檢查報告，要透過表單工具來將必要欄位結構化，提高報告品質。這些報告原本是條列式的呈現方式，已接近結構化，因此推動門檻低，適合作為第一波優先導入的應用類別。</p> <p>後來，病歷委員會進一步擴大病歷結構化應用範圍，開始委派醫院各科的種子教官，來使用這套工具，設計出符合該專科病歷審查需求的表單。</p> <p>不過，林昆儒坦言，他們最初推動病歷結構化的作法還不成熟，有些臨床同仁因為這些額外的工作而反彈。尤其，將原本自由書寫的欄位改為表單式，大大影響了臨床醫師的工作習慣，更不容易說服他們買單。「這個門檻很難，但卻是推動結構化的必經過程，」他說。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>病歷結構化第二步：改良上線新工具</strong></span></span></p> <p>第一次推動經驗，讓病歷結構化小組和IT團隊重新思考，推動結構化的原則和方法。他們總結，既然臨床病歷記錄不適合全用表單來記載，應改採另一種方法，要能不改變醫師使用者習慣下，又能兼顧結構化資料收集的目的。</p> <p>去年11月，討論出新作法後，團隊花不到1個月的時間，開發出第二代病歷結構化工具，在今年1月上線測試，持續使用至今。「這是一個創舉！」林昆儒形容，第二代工具很特別，採取主表單和子表單的兩層式設計，其中主表單為純文字格式，可以讓醫師自由書寫，同時提供了4種方式能快速調用子表單，如快捷鍵、斜槓呼叫、點選範本等。</p> <p>子表單，就是一張張輔助主表單的結構化表單，比如巴氏量表或其他單張。這些子表單與長庚醫院的醫療資訊系統（HIS）互通，可自動帶入系統已有的資料，如病人基本資訊，醫師不必從頭填寫，只需專注於空白項目即可。</p> <p>這個設計的巧思，在於子表單填寫完成後，系統會生成一份子表單摘要、回饋到主表單，其它結構化資料則會傳送至資料倉儲，以便後續應用。「這個工作流程設計，是我們花了很多時間與IT同仁討論的成果，」林昆儒說。</p> <p>這對第一線使用者來說，不只操作上更方便，也更容易接受結構化病歷這件事。長庚醫院病歷結構化團隊甚至用Copilot，來形容這套工具，因為它能協助醫師快速調用所需表單，且從1月上線測試至今，使用者接受度非常高，在醫院還未正式公告的情況下，就有不少院內員工開始用。</p> <p>目前，這套結構化病歷工具已導入長庚醫院體系的病歷記錄入口，不論是醫師撰寫檢查報告、住院病歷、急診病歷、手術病歷，還是門診病歷等各種病歷資料，都能使用這套工具。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資料治理是結構化更重要的目標</strong></span></span></p> <p>對長庚醫院來說，病歷結構化還有更深層的意義：資料治理。</p> <p>林昆儒點出，為推動結構化病歷所採用的表單，只是一個媒介，更重要的目標是實現資料治理，也就是將原本未處理過的純文字資料，轉換為高品質數據，並統一管理。</p> <p>為治理這些結構化數據，長庚醫院這幾年來大量投資，來建置3大關鍵平臺，包括結構化數據平臺、資料治理平臺和資料交換平臺。</p> <p>其中，結構化數據平臺專門收集臨床單位輸入的資料，比如使用結構化病歷工具輸入的資料、IoT設備數據、檢查儀器資料等，甚至今年，他們還要將AI產生的數據，也整合到這個平臺，再將所需數據回饋到第一線臨床現場，來輔助決策。林昆儒比喻，結構化數據平臺就像是資料樞紐，收集結構化資料，供使用者萃取出所需的資料、整合為臨床所需的資訊，來改善決策輔助。</p> <p>而資料治理平臺，則是用來管理結構化數據，像是版本管理、資料血緣追蹤、資料維護處置等。至於資料交換平臺，目的是要讓結構化資料一次輸入、多次運用，來方便臨床多次運用相同資料。</p> <p>不只如此，為徹底落實資料治理，長庚醫院高層去年決議，接下來要花3年時間整合院內各個數據中臺，來打破數據孤島，讓資料彙整工作可以更自動化，不必再仰賴IT人員撈資料。林昆儒表示，團隊打算將這些資料串接至結構化數據平臺，來實現這個目標，而今年，就是計畫起始的第一年。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>下一步瞄準長照、遠距和病患參與等題目</strong></span></span></p> <p>長庚今年不只要整合數據中臺，還要發展12道數據應用課題。其中一大題是腫瘤科的資料治理，從結構化數據中找出重要資訊，來發展不同情境的精準醫療應用，減輕醫護人力負擔。另一項重要題目則是長照，要導入平板類數位工具和結構化表單，來讓心理師進行長者的心理評估，不必像過去先用紙本記錄、再謄打到電腦上。心理師完成評估後，這些記錄就可直接傳送至結構化數據資料庫，甚至還能連結HIS資料，自動帶入已有資訊，讓心理評估更便利。</p> <p>還有一個重點題目是遠距醫療，目標是要將山地遠距醫療的純文字病歷資料轉為結構化，不僅方便醫師快速記錄病歷，還能為下一位遠距醫療醫師提供清楚、一致的患者資訊，不必再憑自身經驗判斷、照護患者。</p> <p>另一大題目則與病患參與有關。林昆儒點出，目前坊間已有許多健康管理App，醫院不一定要發展自己的App，而是「希望海納百川，盡量與各個App簽約，來進行資料交換。」不少患者慣用App來記錄生理量測數據，若該App與長庚醫院簽署資料交換協議，當患者至長庚醫院看診，門診系統就能透過資料交換，來呈現該患者的App數據，方便醫師參考、制定治療決策。</p> <p>「這個發想主要來自於診間經驗，很多病人會拿手機給醫生看，自己在App上記載詳細的血壓或血糖記錄，但醫師沒辦法直接使用。」這正是長庚醫院接下來想解決的數據痛點之一。他建議，臺灣政府單位能參考日本經驗，鼓勵醫療院所與醫資廠商交換數據，來提供民眾更好的健康照護。透過數據的交換，讓醫院更掌握患者的健康狀態，更能及早干預、預防疾病的發生或惡化，還能降低醫療支出。</p> <p><a href="https://www.ithome.com.tw/article/161782" target="_blank"><span style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1173-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=HS60JVZD" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/15 09:35作者王若樸https://www.ithome.com.tw/news/161758
【病歷結構化案例：振興醫院】借鏡大數據6V原則找出關鍵目標，先從心臟科報告展開結構化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>醫療資料結構化的最大好處，不只是能系統性地定義和歸類臨床資訊，還能簡化後續分析應用的成本，「特別是資料清洗工作。」振興醫院心臟醫學中心心臟血管內科主治醫師暨資訊室主任陳冠群點出，資料結構化大大降低了AI應用開發所需的人力和時間成本，是精簡AI成本的好方法。</p> <p>振興醫院也因此將病歷資料結構化，列為發展重點之一。不過，振興醫院屬於地區教學醫院，開發人力和資源不如集團醫院和醫學中心，臨床需求卻不亞於這些等級的醫院。如何善用有限資源、推動醫療資料結構化，是振興醫院面臨的一大課題。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>病歷資料類型多元，文字內容是結構化重點</strong></span></span></p> <p>陳冠群身兼臨床第一線使用者與IT推動者身分，他表示，病歷資料包羅萬象，因此病歷結構化範圍可以很廣泛，從檢驗報告、檢查報告、個人健康資訊、個人健康習慣，到病人過去就醫的歷程與記錄、用藥資訊等都是可以結構化的資料種類。但除去醫學影像和影音，這些病歷記錄內容，大致可分為數值資訊、文字資訊兩大類，其中，文字類又可細分為描述性資料和表格表單型資料。</p> <p>這些病歷內容還與不少重要的IT系統有關，像是常見的門診、急診、住院病歷和醫囑系統，以及生化病理檢驗報告系統、生理資訊系統、各個臨床科別的檢查系統和藥物管理系統等。</p> <p>其中，生化檢驗和生理數據等病歷資料是推動門檻最低的類型。這類資料因健保申報關係，早年就已數位化和自動化，大多也採結構化架構。但文字報告類型的病歷資料，並非採結構化方式記錄，因此成為臺灣許多醫院推動結構化的目標。對振興醫院而言，將文字報告的謄打內容結構化，並保留重要的結構化資料，是正在進行的重要計畫。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>病歷結構化帶來益處與挑戰</strong></span></span></p> <p>病歷結構化對IT和臨床使用者而言，可以帶來不同的幫助。</p> <p>陳冠群指出，對IT人員來說，病歷資料結構化「是相對有利的，」尤其是在資料撈取上，可縮短許多原本需要寫程式執行的資料分析流程。如此一來，無論臨床和業務單位是要進行研究、調閱病歷還是分析使用，都能正確取得所需資料。</p> <p>不過，IT如何根據已知和未知需求，正確地將病歷資料結構化，仍是一大挑戰，需「相當慎重、與多方討論才行，」他強調。</p> <p>另一方面，對臨床人員而言，病歷資料結構化可用來統計、追蹤、計算、標註和可視化呈現特定趨勢，能讓不同職類的醫事人員，在溝通上和管理上更有效率，也更能即時處理臨床業務。舉例來說，感染控制、群聚感染監控、特定病患的篩選與管理，以及醫療品質的目標設定和追蹤都是應用之一。</p> <p>此外，目前各家醫院大力發展的臨床照護儀表板，也能透過結構化病歷，來加速設計。因為，透過資料標準化，可用來及早發現異常數值、發出預警通知，讓醫護人員適時介入治療。</p> <p>雖然有不少好處，但是，資料結構化對第一線臨床人員會帶來很大的衝擊。因為，常見結構化做法是將描述性文字改為表單式，在表單設計過程，需要臨床人員額外花時間配合，找出需要結構化的欄位，這就容易引起反彈。</p> <p>再來，表單式欄位會打破醫師書寫病歷的習慣。「醫生需要將一句話拆成很多個部分，個別進行記錄或歸類，」陳冠群指出，有別於原本的邏輯性書寫，這種結構化方法將一句話切割為好幾個部分，甚至還要選取關鍵字，容易中斷醫師思緒，是一種不直觀的病歷紀錄方式。而且在資料閱讀上，也未必親民。</p> <p>因此，如何兼顧前線人員的作業負擔和病歷資料瀏覽需求，是病歷結構化的另一種挑戰。陳冠群表示，除了不斷溝通，鼓勵第一線使用者參與結構化設計，也是降低阻力、增加助力的解方。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從IT和臨床視角出發，以6大準則推動病歷結構化</strong></span></span></p> <p>陳冠群結合IT和臨床觀點，給出幾項推動病歷結構化的原則。首先是「找出結構化目的，」比如想解決的臨床問題，再來從臨床端找出最關鍵、最值得優先投入結構化的資料。</p> <p>如何開始進行結構化工作？他引用大數據的6個V原則來說明。「6V雖是大數據原則，但其目的與數據結構化類似，都是將各種數據轉換成架構性數據，以利後續分析應用，因此，可作為病歷結構化參考，」陳冠群說。</p> <p>第一個V是Value，也就是數據價值。就病歷結構化領域來說，就是指該數據結構化的臨床價值，比如是否能用來強化疾病照護、提高診斷品質或優化醫療流程，這是陳冠群認為最重要的一點。</p> <p>第二個V是Variability（多樣性），亦即同一批結構化數據，能否發展更多種類的應用，比如同一種數據可在多個科別中使用。陳冠群舉例，就好比職員薪水資料，可用來判斷有無受薪、薪水級距、是否達基本工資等，後續還可切分延伸出多種人資行政應用。</p> <p>第三個V是Veracity，意思是數據的真實性或正確性。也就是說，推動結構化時，要找出明確、不必再後續處理或判斷的數據，更不能是意義模糊的數據結構。例如對病情嚴重程度的描述形容，若缺乏明確的分級來轉換，就難以進行後續應用，浪費了結構化的成本。</p> <p>執行面得考慮的另外三個V則是數據量Volume、數據產生的速度Velocity和數據的變異性Variety。其中，數據量是指結構化所衍生的資料儲存成本，若結構化數據產量很大，就得考量儲存方式的開銷，尤其採用雲端儲存時得考量流量和成本。一旦結構化數據產生的速度很快，儲存空間很快用完，就得回過頭思考更划算的儲存方式。</p> <p>而數據變異性是指，所需的結構化數據是否來源多處。比如要解決一個臨床題目，可能需要好幾種不同來源的數據，要是數據取得難度高，「結構化就會很辛苦。」等於花時間收集，可能只收集到一部分所需的資料，很難解決臨床問題。</p> <p>病歷資料越多，結構化的工作量就越大。陳冠群提醒，結構化過程所需的人力工時，也是推動結構化的重要考量。以振興醫院為例，開發人力大約20多名，需要維護醫院上百套系統，不可能集中投入病歷結構化工作。因此，需要根據上述6項原則，去蕪存菁、挑選最關鍵的資料來結構化。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>瞄準心臟報告結構化應用</strong></span></span></p> <p>為善用有限的開發人力和資源，振興醫院病歷結構化的優先目標，鎖定在心臟科報告。這是因為，振興醫院每月進行的心臟超音波檢查量大，高達4,000多人次，甚至超過一些醫院1年的檢查量。</p> <p>這些檢查中，不少是心臟衰竭患者，而心衰竭就像是心臟的癌症，患者住院死亡率很高。這些心臟病患者，還可能患有三高和其他疾病，如糖尿病、腎臟病、心律不整、冠狀動脈疾病甚至是睡眠問題等。陳冠群表示，醫院個案管理師如何在茫茫的心臟檢查資料中，快速找出亟需關切的多重疾病對象，就是一大挑戰。</p> <p>因此，振興醫院希望發展心臟報告結構化應用，將已結構化的心臟報告數據，串接慢性病等其他疾病的數據，來發展以病人為中心的分析和提醒功能，讓醫護在第一時間掌握心衰竭族群，提供用藥和檢查提醒、異常數據評估、訪談追蹤等服務。他們希望，透過結構化的資訊串接，讓數據能主動提供給個管師，甚至能協助個管師照護患者，讓數據不再是被動地被查詢。</p> <p><a href="https://www.ithome.com.tw/article/161782" target="_blank"><span style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1173-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=HS60JVZD" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/15 09:35作者王若樸https://www.ithome.com.tw/news/161759
醫療資料結構化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1173-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=HS60JVZD" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年醫療業大力擁抱AI，嘗試越多應用越發現，每次都得耗時費力清洗資料，不如回頭從源頭改善資料品質，從資料結構化做起，才能加速智慧醫療發展</p> </div></div></div>
2024/3/15 09:42作者王若樸https://www.ithome.com.tw/article/161782
回歸資料基礎工程的必要
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年，不少醫院紛紛展開了IT現代化工程，尤其3年IT抗疫的成功經驗，更讓醫院意識到加速轉型的必要性，在2022年，電子病歷開放上雲之後，更帶動醫院開始擁抱雲原生架構，也有醫院開始採用微服務架構，要重新改造HIS系統的資訊架構。但是，在去年，不少醫院資訊主管卻重新聚焦IT的下水道工程，資料結構化，尤其是病歷資料的結構化。</p> <p>為了發展智慧醫療的願景，醫療曾是臺灣最積極擁抱AI的產業，早在2019年，我們就報導過5大類醫療影像辨識的AI應用場景，例如北醫附醫打造了乳癌超音波AI輔助分類系統，AI能在人眼難以判斷的初期階段，就偵測出腫瘤。或像是臺北榮總與臺灣人工智慧實驗室也打造出能在30秒內，就揪出腦轉移瘤的AI系統DeepMets。</p> <p>林口長庚醫院則是與醫療AI新創雲象科技，共同打造一套鼻咽癌AI偵測系統，由醫院提供數位病理切片資料，雲象負責進行模型訓練，經過2年優化，在2019年就達到了97％的超高準確率。從我們當年CIO大調查可以看到，醫療業也掀起了一波醫療AI系統和設備的建置潮，不少醫院都大幅加碼投資AI。但是，這股醫療AI熱潮，不到3年就冷了下來，醫療AI預算不增反減，倒是醫院對大數據的投資持續穩定增加。</p> <p>醫院仍舊是對AI抱持高度的期待，但是放緩了採用的腳步。一方面，不少醫院發現提高AI模型品質的難度比想像中更高，需要搜集更多也更多樣化（尤其是罕見疾病的訓練資料取得不易）的訓練資料，但是醫療資料屬於特種個資，跨醫院難以直接共享，並且得找來不少忙碌的資深醫生，投入大把時間來參與標記，另一方面，訓練好的醫療AI模型也遇到了推廣上的挑戰，法規對於醫療器材有一套嚴格的把關機制，醫療AI應用模型和系統不見得能快速變成可以對外銷售的商品，一家醫院的AI模型，也無法直接套用到另一家醫院，得經過微調才行。這兩大挑戰讓醫院的AI採用態度轉為審慎以對。</p> <p>雖然生成式AI的問世，讓各界再度燃起新一波的AI熱潮，但生成式AI的幻覺效應，讓醫院對於這股AI熱潮，仍舊持保留的態度，尤其與救命相關的醫療應用，無法承受任何一次的資訊錯誤。目前醫院只敢嘗試將生成式AI運用於不涉及治療的作業流程面輔助上，一方面想辦法提高正確性，另一方面也尋找更多可用的醫院場景。</p> <p>醫療AI難以發揮，不代表智慧醫療的發展就因此停下腳步，不少醫院在這一波醫療資料的梳理過程中，更加察覺到龐大文字病歷的價值，許多極有意義的醫療情報，不一定得靠AI才能用，光是從這些病歷資料中，擷取出特定欄位的資訊，就可以用來整合到各種醫療系統，解決不少臨床上的痛點，這就是為何不少醫院紛紛選擇回頭展開病歷結構化工程的緣故。</p> <p>病歷結構化不是新觀念，早在2009年，臺灣推動電子病歷，數十年前的紙本病歷時代也有結構化的概念。但是，過去的病歷結構化，不見得能夠遇見到未來的醫療訊息應用需求，也就無法提前考慮到未來的各種醫療欄位需求。每當有新的醫療應用需求，醫院就需要再重新梳理一次手上的龐大醫療資料，展開新一波的病歷資料結構化，這是醫院IT得持續不斷面對的課題。</p> <p>像臺大醫院近幾年就開發不少結構化病歷應用，光是建立醫囑結構化表單，在特定欄位記錄病人用藥情況，再串接到開藥系統，就能提醒醫師在開藥時留意病人的過敏藥品，來提升用藥安全。病安是臺大醫院積極推動病歷結構化的主要原因，其他還有像輸血過敏內容的檢核、抗凝血藥劑藥物檢核提醒、孕婦禁忌用藥提醒、重複用藥與藥物交互作用等檢核提醒，這些都是因為病歷結構化後才能實現的應用，甚至，臺大醫院還要將紙本繪製的眼睛測光數據結構化，方便後續的醫學研究。</p> <p>不只臺大醫院，林口長庚紀念醫院更是打造了一個自助式的表單自製編輯工具，讓醫院各科室可以自行設計結構化表單，來滿足各科室各自臨床上形形色色的需求，來加速病歷結構化的規模化和多樣化發展。</p> <p>資料結構化是資料應用的基礎工程，也可以說是IT的下水道工程，幾年前最積極擁抱AI的醫院，大膽嘗試新興AI技術後，陸續回頭聚焦IT的基礎功。</p> <p>醫療業這個經驗，值得其他產業CIO們好好思考，創新不見得非得用AI才行，重新聚焦資料基礎工程，說不定也能找出另一種創新應用的可能，就像這些回頭聚焦病歷結構化應用的醫院一樣。</p> <p><a href="https://www.ithome.com.tw/article/161782" target="_blank"><span style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1173-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=HS60JVZD" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%97%85%E6%AD%B7">病歷</a></div><div class="field-item odd"><a href="/tags/%E7%B5%90%E6%A7%8B%E5%8C%96">結構化</a></div><div class="field-item even"><a href="/tags/%E6%99%BA%E6%85%A7%E9%86%AB%E7%99%82">智慧醫療</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E5%9F%BA%E7%A4%8E%E5%B7%A5%E7%A8%8B">資料基礎工程</a></div><div class="field-item even"><a href="/tags/%E9%86%AB%E9%99%A2">醫院</a></div></div></div>
2024/3/15 09:46作者王宏仁https://www.ithome.com.tw/voice/161761
健保署擁抱雲端力推八大改革，要讓醫療照護不再有藩籬
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是健保署轉型的關鍵一年。為實現「Hospital without walls（打破圍牆的醫療照護）」目標，健保署啟動了這場為期4年的大規模轉型計畫，一口氣推動8大改革策略。</p> <p><span style="font-size:28px;"><strong>因疫情正視不足，催生改革想法</strong></span></p> <p>這項轉型計畫涵蓋4大面向，從建立資料生態系、雲端系統運用，到民眾健康賦能，以及最重要的，打破圍牆的醫療照護。其中可細分為8大策略，包括資料生態系的數位基礎建設、健保資料應用機制，雲端系統的健保雲端查詢優化、數位化審查，以及民眾健康賦能的大家醫計畫、個人健康資料加值應用，還有無圍牆醫療照護的遠距醫療、虛擬健保卡應用。</p> <p>這是健保署署長石崇良從3年COVID-19疫情的第一線經驗，歸納出的改革目標。他點出，有別於地區性、半年就結束的SARS，全球性的COVID-19疫情不僅持續了3年，還改變各國的醫療服務樣貌，特別是遠距醫療、零接觸服務等科技輔助，在疫情結束後反而成為一股新趨勢，世界主流國家紛紛投入。</p> <p>臺灣也在這波疫情中運用科技抗疫，不只有健保卡勾稽出入境資訊、健保快易通App整合快篩和口罩購買實名制，還可查詢疫苗接種紀錄。臺灣也在疫情間放寬視訊診療適用對象，發展零接觸模式。但，「我們也看到一些不足。」石崇良點出，尤其是，為因應抗疫政策的變動，醫療院所IT的敏捷與韌性程度，還可以更好。</p> <p>疫情間，為即時應變疫情，衛福部經常調整政策，比如疫情居家隔離天數從原本的14天、10天改為7天，又或是快篩條件的更新、抗病毒藥物的新增等，這些變動都意味著，醫院IT得撥出人力加班趕工，隨之修改健保相關程式。「政策不斷改變，龐大的醫療系統得立刻調整，以目前的資訊架構來說比較吃力，」他說。</p> <p>對診所而言，因應政策變動的難度又更高了。因為診所規模小、沒有IT人力，得靠資訊廠商處理系統變更。石崇良比喻，診所就好比一臺臺地端電腦，只要政府政策調整，廠商就得緊急寫程式來配合健保規定，再到一家家診所去更新系統，「非常花時間。」</p> <p>不只如此，這場疫情，也讓他看到健保署的不足。健保開辦之初，每年3千多億元預算，成長至今日的一年8千多億元預算，期間所提供的服務、收載的藥品種類大幅增加，疫情間更有許多調整，「健保的資訊架構也因此疊床架屋，所以我們必須升級系統、雲端化，才能提高作業效率。」</p> <p>因此，去年2月上任後，石崇良整理這些經驗，在同年4月提出了健保醫療平權數位升級計畫，瞄準4大面向、拋出8大策略，來提高健保署本身和醫療體系的敏捷和韌性，還要一改醫療IT架構，將過去以健保申報導向的系統設計，轉變為以病人為中心的醫療資訊系統。</p> <p>這項龐大的計畫獲得4年45億元預算，今年就是起始的第一年。</p> <p><span style="font-size:28px;"><strong>健保署要轉型，也要推動雲端診所</strong></span></p> <p>8大策略中的第一步，是要強化健保署本身和基層診所的數位基礎設施。石崇良指出，健保資訊系統建置至今快30年，老舊架構需要翻新、配合業務需求快速擴展和縮減，才能提高作業效率。</p> <p>健保署今年計畫建置一座符合國際資安標準的新機房，來打造加強資安防護的混合雲架構，甚至，健保署還找來美國醫療資訊暨管理系統協會（HIMSS），在去年底簽署合作備忘錄，要借助HIMSS在醫療資訊和安全認證的經驗，協助健保署精進健保資訊系統、健康資料應用和資料治理機制。</p> <p>不只健保署，基層診所也是數位基礎設施改革的重點對象。現行醫療院所用來上傳、申報、記錄病歷資料和相關作業的系統都是地端系統，每當健保署調整規定，比如健保卡上傳、醫療費用申報或醫療計畫登錄等相關格式修正，診所就得仰賴資訊廠商協助改版。但問題是，廠商常以改版名義多次收費，導致診所資訊成本增加，降低IT升級意願。</p> <p>若能改用雲端服務模式，就能提高診所系統彈性，不只可以快速配合政策調整，還能整合更多資料，有利於發展全人照護。因此健保署今年要推動診所IT系統雲端化，要由資訊廠商建立多朵雲或租用公有雲，並按國際醫療資料標準FHIR，來傳輸資料。這些廠商的雲端服務，也將與健保署的健保雲對接、互通。健保署預計，今年中開始試行這套診所雲平臺模式，要委由醫療資訊廠商協助診所轉換、改用雲端系統服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1173-CXO%E6%8A%BD%E8%A8%80.png" style="width: 599px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>擁抱雲端，改善作業效率</strong></span></p> <p>不只數位基礎設施積極擁抱雲端，健保署也要善用雲端，進一步優化現有的作業流程。第一步先優化院所最常用的健保雲端查詢系統，不只要擴大範圍，還要整合多元雲端憑證認證機制。</p> <p>石崇良解釋，醫師看診時，需要民眾健保卡、醫事人員卡和特約醫事機構安全模組卡等3卡合一，才能登入健保雲端查詢系統，調閱民眾就醫資料。但隨著民眾端虛擬健保卡的推行，健保署希望醫事人員卡也能虛擬化，讓醫師能透過雲端憑證登入，更方便調閱民眾就醫紀錄。這個雲端憑證認證機制，將於健保特約院所小規模測試，之後搭配教育訓練正式上路。</p> <p>另一個雲端優化重點是審查機制。石崇良表示，健保署今年要將醫材、藥品等新醫療服務納入健保給付的申請審查機制，改為電子作業。如此一來，醫院和廠商只需在單一窗口申請、提交資料，健保署就會透過一系列機制來快速審查，如將健保藥品核價電子化、建置完整特材收載系統及運用AI輔助事前審查、增修診療項目電子化作業系統和自動追管機制，並建立新藥物暫時性健保支付許可等措施，來縮短審查時間。</p> <p><span style="font-size:28px;"><strong>要數據歸人，提高民眾健康意識</strong></span></p> <p>除了改善數位基礎設施、善用雲端，民眾健康賦能也是這次改革的一大主軸。健保署希望透過數據整合、數據「歸人」，來進行智慧分析和個人化通知，讓民眾更重視自己的健康狀態。</p> <p>比如其中一項「大家醫計畫」，要以現有600萬會員的家醫計畫為基礎，整合慢性腎病計畫、糖尿病計畫和代謝症候群計畫等3大計畫的病人資訊，彙整到新建的家醫大平臺上，讓數據回歸到每一位病人。家醫大平臺要整合10類數據，包括血糖、癌篩資料、患者穿戴裝置數據、醫療紀錄（如檢驗檢查資料、醫療影像等），還有健保署和衛福部其他司署等資料。</p> <p>有了這些數據，這套平臺能用來發展加值功能，例如主動監測，發現異常數據時，能及時提醒醫師、個管師來聯絡病患回診追蹤，或發送訊息及時溝通與衛教。該平臺還要提供分析性的數據，協助照護端制定個人化治療方案，還能呈現患者整體的慢性病指標表現，方便調整照護策略。甚至，健保署還打算發展AI風險預測模組，像是根據患者資料，來計算未來幾年內中風或罹患心臟病的風險。看診醫師也能取得病患的風險等級資訊，儘早採取照會、轉診等行動。石崇良表示，大家醫計畫先以糖尿病患者為主，這類患者可能身患多種疾病，為幫助醫師更快選出合適的藥物和治療計畫，家醫大平臺還能導入用藥選擇建議功能。</p> <p>在民眾健康賦能面向中，還有一項重要改革：健保快易通App的個人健康存摺資料加值應用。健康存摺是健保署在2014年推出的健康資料應用，可供民眾查詢個人健康資料，像是就醫紀錄、用藥和檢驗檢查報告等。</p> <p>在疫情間，健保快易通成了臺灣最多人使用的App，「我們希望延續下來，讓它成為民眾最好的健康自我管理夥伴。」石崇良點出，健保署不只要繼續將民眾的健康資料回饋給個人、鼓勵合格的第三方發展加值應用，接下來還要在健康存摺中加入風險預測功能，來讓民眾計算自己的疾病風險，並提供預防保健建議、公費和自費相關檢查訊息，以及與醫師互動功能，來提高民眾健康意識。</p> <p><span style="font-size:28px;"><strong>發展無圍牆的醫療照護</strong></span></p> <p>打破圍牆的醫療照護，是8大改革的另一亮點。健保署特別聚焦遠距醫療和虛擬健保卡應用，就遠距醫療而言，可分為2部分，首先是擴大應用至居家照護服務，鎖定4類對象，包括長照機構住民、居家醫療整合照護計畫、在宅急症照護試辦計畫，以及居家透析患者。</p> <p>另一部分則是推動「在宅急症照護模式」，針對居家醫療急症患者、急診一般民眾和長照機構住民等3類對象，來在醫師、護理師和醫事人員的訪視服務中，導入遠端監測和視訊診療輔助，以這種遠距照護方式代替病人住院。這個照護模式，預計今年第二季開始執行。</p> <p>石崇良補充，遠距醫療還可結合大家醫計畫，讓家庭醫師透過家醫大平臺，來提供患者遠距衛教、用藥指導和諮詢等服務。</p> <p>要順利進行遠距醫療，虛擬健保卡不可或缺。其運用模式是，民眾出示虛擬健保卡QR Code或授權同意，醫院端就能搭配既有的醫事人員卡和機構卡，在遠端即時讀取病人的就醫紀錄。</p> <p>為加速民眾申請虛擬卡的核卡流程，今年，健保署要運用AI輔助影像辨識，來加速申請審核，另一方面要推出健保實體卡和虛擬卡二合一的健保卡元件，來方便醫事機構安裝使用，作為接下來推廣虛擬健保卡的重要基礎。同時，健保署還要研究虛擬健保卡結合電子處方箋、行動支付和數位同意書簽署的機制，來降低使用門檻，發揮更多效益。</p> <p>尤其，健保署早在去年就鼓勵醫院和診所，開立紙本處方箋時加印門診處方箋的QR Code，讓藥局等調劑端用網頁API來確認有效性。今年，健保署將進一步在花蓮縣試行電子處方箋，之後配合IT系統雲端化擴大推動，讓健保特約院所和藥局，在雲端就能讀取、接收處方箋資訊與調劑紀錄。</p> <p>不只這8大改革，石崇良還有一項更根本的資料基礎建設計畫，要提高醫療照護資料交換的一致性。他計畫從健保署開始推動FHIR標準，第一階段鎖定電子處方箋和調劑紀錄資料，這些資料得用FHIR規格來交換，第二階段則瞄準事前審查，醫院和藥廠得採FHIR格式來傳送資料。</p> <p>他透露，明年將隨次世代數位醫療平臺計畫，一起啟動衛福部公共建設計畫，要統一衛福部旗下各司、署的資料標準，並打造一套合規的數據共享平臺，來促進更多健康數據加值應用。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高階經理人小檔案 </span></strong></span></p> <p><strong>衛生福利部健保署署長石崇良</strong></p> <p>學歷：臺大公衛學院健康政策與管理研究所博士畢業</p> <p>經歷：1998年至2007年於臺大醫院急診部擔任醫師，隔年進入部立桃園醫院，擔任醫務秘書至2008年。這段期間，也陸續擔任公職，如行政院衛生署醫事處處長、衛福部醫事司司長，2020年任職衛福部常務次長，2023年2月接任健保署署長至今</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1173-CXO-400.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>健保署</strong></p> <p>成立時間：1995年成立中央健保局，2013年改組為衛福部健保署</p> <p>主要業務：推動全民健保作業、改善醫療品質</p> <p>地址：臺北市大安區信義路三段140號</p> <p>網址：<a href="http://www.nhi.gov.tw">www.nhi.gov.tw</a></p> <p>年度預算：約8,755億元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>1995年：發行健保紙卡</p> <p>2002年：發行第一代健保IC卡，與紙卡並行</p> <p>2004年：全面換發健保IC卡，取代紙卡</p> <p>2013年：開發健保雲端藥歷</p> <p>2014年：推出健康存摺</p> <p>2016年：雲端藥歷擴增為健保雲端查詢系統，提供12類醫療資料供查詢；推動居家醫療照護整合計畫</p> <p>2018年：設計虛擬健保卡；改版健康存摺，可用手機快速認證；推動醫療影像分享平臺，涵蓋36項檢查醫令影像</p> <p>2019年：虛擬健保卡試辦、開發輕量藍牙App；開發健保快易通健康存摺SDK；開放產學合作申請健保醫療影像應用</p> <p>2020年：開發TOCC程式；健保快易通App整合口罩實名制；建置全國偏鄉醫師人力需求平臺</p> <p>2021年：遠距醫療健保給付；宣導就醫識別碼；開放慢性病患視訊和電話診療；健康存摺SDK申請作業電子化</p> <p>2022年：全國偏鄉醫事人力需求平臺上線；健保快易通App串接快篩購買實名制和確診個案自主通報系統；健保雲端查詢系統2.0改版</p> <p>2023年：規畫電子處方箋平臺；與HIMSS簽署MOU</p> <p>2024年：啟動健保醫療平權數位升級計畫</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1173-cxo-960.jpg" width="960" height="420" alt="" title="衛生福利部健保署署長石崇良　（攝影／洪政偉）" /></div></div></div>
2024/3/15 09:47作者王若樸https://www.ithome.com.tw/people/161754
DeepMind開發通用AI，可接收自然語言指令遊玩遊戲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DeepMind延續其人工智慧代理遊玩遊戲的研究，開發出<a href="http://deepmind.google/discover/blog/sima-generalist-ai-agent-for-3d-virtual-environments/" target="_blank">Scalable Instructable Multiworld Agent（SIMA）</a>，SIMA能夠遵循自然語言指令，在各種電玩遊戲中執行任務。DeepMind透過與遊戲開發商合作，以多種遊戲對SIMA進行訓練，該研究的貢獻在於，SIMA是第一個能夠理解廣泛遊戲世界的人工智慧代理，可像人類一樣遵循自然語言指令執行任務。</p> <p>研究人員強調，這項研究的重點並非是在遊戲中取得高分，因為對於人工智慧來說，學會遊玩一款電玩遊戲就是一項技術壯舉，而學習在各種遊戲設定中遵循指令，則有助於開發適用於各種環境的人工智慧代理。</p> <p>DeepMind與8個遊戲工作室合作，在包括《無人深空》、《模擬山羊3》和《Teardown》等9款3D遊戲中訓練和測試SIMA。SIMA會接觸各種遊戲環境，學習到簡單的導航和選單使用，甚至是資源採集、駕駛太空船或是製作道具等不同技能。研究人員總共使用了四個研究環境，其中包括使用Unity建造的Construction Lab實驗環境，讓SIMA在Construction Lab中使用積木來建造雕塑品，使其能測試對物體操作和物理世界的理解。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/videoframe_5149.jpg" style="width: 580px; height: 822px;" /></p> <p>SIMA在不同的遊戲世界，學習到語言與遊戲行為的連結。研究人員用於訓練SIMA的教材有兩種形式，一種是紀錄一名人類玩家教導另一名人類玩家玩遊戲的歷程，另一種則是錄製玩家自由遊玩的片段，然後透過重新觀察玩家所進行的事情，記錄下引導他們進行遊戲操作的指示。</p> <p>SIMA經過訓練後，能夠感知和理解各種環境，並且採取行動實現指示的目標。SIMA由兩個模型組合而成，一個是專門處理圖像和語言映射的模型，另一個則是預測螢幕接下來會發生什麼事件的模型，研究人員提到，SIMA不需要存取遊戲原始碼，也不需要客製的API，其輸入只有兩個，一個是螢幕畫面，另一個是用戶所提供的簡單自然語言指令，並使用鍵盤和滑鼠來控制遊戲角色。由於這些都是人類所使用的介面，研究人員也提到，這代表SIMA具有與任意虛擬環境互動的能力。</p> <p>研究人員對SIMA進行了600項基本技能評估，涵蓋導覽、操作物件和使用選單等，目前SIMA可以約在10秒內完成簡單的任務，研究人員希望SIMA之後能夠完成，像是尋找資源並建立營地這類，需要高階策略規畫，並由多個子任務組合才能完成的複雜任務。</p> <p>SIMA在經多個遊戲訓練後，出現了泛化（Generalization）的能力，SIMA學會將習得的技能和策略，應用在未曾見過的環境中。相較於只在單獨遊戲上進行訓練的人工智慧代理，在9個3D遊戲中訓練的SIMA表現明顯更好。</p> <p>而且當人工智慧代理在多款遊戲上接受訓練，而其遊玩一款沒有受過訓練的遊戲，表現也能夠與專門為該款遊戲訓練的人工智慧代理一樣好。這顯示SIMA不只是學習到特定的遊戲技能，而是能在新環境適應和表現。</p> <p>另外，研究人員也強調語言訓練有其重要性，當SIMA沒有接受語言訓練或是未獲得任何指令時，會表現出適當的行為但是漫無目的，SIMA仍然會進行收集資源等常見的行為，但是卻無法按照指示移動到特定地點，這代表語言對於SIMA來說是行動關鍵，使SIMA行動具有目的性和針對性。</p> <p>不過，即便SIMA出現泛化能力，已是人工智慧遊玩遊戲很大的進展，但是要與人類達到相同的水準，仍然需要有更多的研究和開發。</p> </div></div></div>
2024/3/15 08:11作者李建興https://www.ithome.com.tw/news/161777
Azure OpenAI服務正式上架Whisper模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://azure.microsoft.com/en-us/blog/accelerate-your-productivity-with-the-whisper-model-in-azure-ai-now-generally-available/">宣布</a>正式在Azure OpenAI服務上推出Whisper模型，Whisper是OpenAI的語音轉文字模型，可供用戶轉錄音訊。微軟提供兩種語音轉文字服務，分別是Azure OpenAI服務以及Azure AI Speech，現在也都提供Whisper模型，不過功能仍有一些差異，用戶可根據不同需求選擇。</p> <p>Azure OpenAI服務讓開發者可以在Azure中執行Whisper模型，其功能除了轉錄和翻譯之外，還具有處理速度快、多語言支援等優點，微軟提到，Azure OpenAI服務中的OpenAI Whisper，適合用來處理較小型的檔案，以滿足時間敏感的任務需求。可用於需要快速回應的場景，例如即時通訊分析、快速內容生成或是小型檔案的即時處理。</p> <p>而Azure AI Speech所提供的OpenAI Whisper模型服務，可以與批次轉錄API結合使用，用戶可以簡單地大規模轉錄音訊內容，用於非時間敏感的批次作業。該選項更適合處理大量音訊檔案的情境，像是會議紀錄、長時間的演講，或是大批次的通話紀錄分析。</p> <p>Azure AI Speech中的Whisper模型可轉錄大型音訊檔案，最多達1 GB，單次請求能包含1,000個檔案，並且系統可同時處理多檔案。而且還能夠區分錄音檔中的不同講者，並精確地轉錄各自的話語，創建有組織結構的音訊轉錄檔案。另外，開發者也可以在Speech Studio，或是透過API使用Custom Speech功能，使用音訊加上人工標註的轉錄文字，對Whisper模型進行微調。</p> </div></div></div>
2024/3/15 08:20作者李建興https://www.ithome.com.tw/news/161779
【資安日報】3月14日，研究人員揭露ChatGPT可用於存取第三方網站及敏感資料的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著生成式AI的運用日益廣泛，這類聊天機器人無法只根據機器學習模型回答問題，因此系統開發者將其串連線上搜尋引擎、程式碼儲存庫、CRM等各類服務，並進行資料交換，形成新的生成式AI生態圈，這麼做可能提升AI的功能，卻也帶來潛在的資安風險。</p> <p>研究人員最近針對ChatGPT的相關功能著手進行調查，證實上述的情況。而這種允許使用者與第三方服務串連的功能模組，在ChatGPT被稱為外掛程式（Plugins）。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.fortinet.com/blog/threat-research/vcurms-a-simple-and-functional-weapon"><strong style="font-size: 22px;">Java木馬程式Vcurms、Strrat透過AWS、GitHub散布</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-vcurms-attack-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-vcurms-attack-flow.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露RAT木馬程式Vcurms、Strrat的攻擊行動，攻擊者假借驗證付款流程為由寄送釣魚郵件，一旦收信人依照指示操作，電腦就有可能從AWS下載惡意的JAR檔案Payment-Advice.jar，若是執行，此Java惡意程式就會連上網路、搜尋另外兩個JAR檔案，從而在受害電腦植入Vcurms與Strrat。</p> <p>研究人員較在意的是首度發現的Vcurms，此RAT與C2進行通訊的方式相當罕見，是透過電子郵件服務Proton Mail，該惡意程式會發送特定信件通報其正常運作，也會定期檢查電子郵件信箱是否出現具備特定主旨的信件，並從內文取得攻擊者下達的命令。</p> <p>另一個特點則是該RAT木馬啟動後會從C2下載2個JAR模組，分別是竊資軟體（Infostealer）及鍵盤側錄器（Keylogger）。其中的竊資軟體模組，能收集系統資訊、瀏覽器資訊，以及即時通訊軟體Discord和遊戲平臺Steam的資料。</p> <p><strong style="font-size: 22px;">宏碁菲律賓分公司傳出資料外洩，疑為外部供應商遭駭所致</strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/ph1ns.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ph1ns.png" style="width: 300px; float: right;" /></a>3月12日有人以ID名為ph1ns的帳號在駭客論壇BreachForums上，聲稱握有宏碁菲律賓分公司的資料，且表明將免費提供下載。</p> <p>而對於駭客從事的攻擊行動，這名人士向資安新聞網站Bleeping Computer宣稱，他們只偷資料，並未使用勒索軟體或是加密檔案，也沒有對宏碁勒索，而在失去存取權限之前，這群駭客銷毀受害伺服器上的資料。</p> <p>對此，宏碁發言人證實這些是該公司的內部資料，但表示是在菲律賓的外部供應商發生資料外洩事故造成，流出檔案包含部分員工資料。該公司強調，客戶資料並未受到影響，宏碁自己的系統也沒有遭到破壞的跡象。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/acer-confirms-philippines-employee-data-leaked-on-hacking-forum/">https://www.bleepingcomputer.com/news/security/acer-confirms-philippines-employee-data-leaked-on-hacking-forum/</a><br /> 2. <a href="https://twitter.com/AcerPhils/status/1767551121629802875">https://twitter.com/AcerPhils/status/1767551121629802875</a></p> <p><a href="https://www.reversinglabs.com/blog/bipclip-malicious-pypi-packages-target-crypto-wallet-recovery-passwords"><strong style="font-size: 22px;">駭客上傳7個惡意PyPI套件，企圖竊取加密貨幣錢包的通關密語</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/blog-crypto-wallet-recovery-pass.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog-crypto-wallet-recovery-pass.jpg" style="width: 300px; float: right;" /></a>資安業者ReversingLabs揭露名為BIPClip的攻擊行動，駭客上架7個PyPI套件、總共有19個版本的檔案，其中最舊是2022年12月上傳，上架超過一年。攻擊者散布上述套件的目的在於，竊取用於復原加密貨幣錢包私鑰的Bitcoin Improvement Proposal 39（BIP39）通關密語（mnemonic phrases），在這些套件遭到下架之前，總共被下載7,451次。</p> <p>研究人員最初發現了其中2個PyPI套件mnemonic_to_address、bip39_mnemonic_decrypt，特別的是，第1個套件mnemonic_to_address確實具備駭客聲稱的功能，且本身不具威脅，但研究人員發現，該套件會擅自外洩使用者的通關密語——透過函式的參數，傳送至相依性套件bip39_mnemonic_decrypt。</p> <p>他們循線追查，在3月找到其他用於這起攻擊行動的PyPI套件，並指出這些駭客極為謹慎，因為這些套件確實具備開發者標榜的功能，導入的模組與呼叫的功能函數也是精心挑選，企圖模仿合法的函數功能以避免遭到懷疑。</p> <p> </p> <div> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://salt.security/blog/security-flaws-within-chatgpt-extensions-allowed-access-to-accounts-on-third-party-websites-and-sensitive-data"><strong style="font-size: 22px;">ChatGPT外掛程式存在危險漏洞，恐曝露使用者資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/65ed84532e9c707b7eee0f99_Screenshot 2024-03-10 at 11_58_35.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/65ed84532e9c707b7eee0f99_Screenshot%202024-03-10%20at%2011_58_35.png" style="width: 300px; float: right;" /></a>資安業者Salt Security揭露存在於ChatGPT外掛程式功能（Plugins，現在被稱為GPT）的漏洞，這些弱點有可能讓攻擊者存取使用者的第三方帳號（如GitHub），從而進行挾持並存取敏感資料。</p> <p>第1個漏洞存在於ChatGPT本身，涉及使用者被導引、連至外掛程式網站，接收動態密碼並同意連結的流程。攻擊者可藉由引誘使用者安裝惡意外掛程式，從而在受害者的ChatGPT帳號配置自己的帳密資料，使用者所有的傳送ChatGPT的訊息都會同時轉發給攻擊者，而能達到竊取機密的目的。</p> <p>另一個漏洞則是在ChatGPT外掛程式開發框架PluginLab出現，起因是該框架的安裝過程並未採取適當的安全措施，使得攻擊者在用戶不知情的情況下，植入惡意外掛程式。由於PluginLab並未對使用者帳號進行身分驗證，攻擊者有機會藉由另一個使用者帳號南取得受害者的程式碼，並接管受害者的帳號。</p> <p>第3個漏洞涉及OAuth身分驗證，屬於操縱重新導向的漏洞，使得攻擊者有機會藉由發送惡意的URL，竊取使用者各式帳密資料。</p> <p><a href="https://www.securityweek.com/cisco-patches-high-severity-vulnerabilities-in-vpn-product/"><strong style="font-size: 22px;">思科修補SSL VPN用戶端軟體高風險漏洞</strong></a></p> <p></p> <p>3月6日思科發布資安公告，指出旗下的SSL VPN系統Secure Client存在高風險漏洞 CVE-2024-20337、 CVE-2024-20338，CVSS風險評分各為8.2、7.3。</p> <p>其中，較為危險的CVE-2024-20337影響範圍較廣，Windows、macOS、Linux版的Secure Client皆受到影響，此漏洞出現在SAML身分驗證流程，而有可能讓未經身分驗證的攻擊者，遠端觸發斷行符號與換行（Carriage Return Line Feed，CRLF）注入攻擊。而對於這項漏洞發生的原因，該公司表示是對於使用者輸入的內容未充分驗證，使得攻擊者有機會引誘正在建立VPN連線的使用者，點選偽造的連結來觸發漏洞，一旦成功，攻擊者就能在瀏覽器執行任意指令碼，或是有效的SAML token等機敏資訊。</p> <p>另一項漏洞CVE-2024-20338僅影響Linux用戶，為權限提升漏洞，出現在具備ISE Posture系統掃描模組的Secure Client程式，起因是該公司採用了未列管的搜尋路徑元素，攻擊者可將惡意程式庫檔案存放於特定路徑，並誘騙管理員重新啟動指出處理程序觸發，而有可能取得root權限執行任意程式碼。</p> <p>資料來源</p> <p>1. <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-secure-client-crlf-W43V4G7">https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-secure-client-crlf-W43V4G7</a><br /> 2. <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-secure-privesc-sYxQO6ds">https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-secure-privesc-sYxQO6ds</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161745"><strong style="font-size: 22px;">上市櫃公司資安事故發布重大訊息的標準出爐</strong></a></p> <p></p> <p>在3月5日金管會的例行記者會上，證券期貨局副局長黃厚銘預告今年資安治理推動的8項重點，其中之一就是修訂重大訊息問答集，明確規範資安事件之「重大性」標準，這項工作近期出現新的進展。</p> <p>臺灣證券交易所在1月發布新版《上市公司重大訊息發布應注意事項參考問答集》，明確規範資安事件之「重大性」標準，例如，公司的核心資通系統、官方網站或機密文件檔案資料等，遭駭客攻擊，遭入侵、破壞、竄改、刪除、加密、竊取、服務阻斷攻擊（DDoS）等，致無法營運或正常提供服務，或有個資外洩的情事等，即屬造成公司重大損害或影響，公司即應依重大訊息處理程序法規的第26款發布重大訊息。</p> <p>3月8日，櫃買中心也發布新版《上（興）櫃公司重大訊息發布應注意事項參考問答集》，納入重大性資安事件的相關明確定義。</p> <p>資料來源</p> <p>1. <a href="http://dsp.twse.com.tw/public/static/downloads/listedCompany/%E3%80%8C%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86%E3%80%8D11301%20_20240118165315.pdf">http://dsp.twse.com.tw/public/static/downloads/listedCompany/%E3%80%8C%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86%E3%80%8D11301%20_20240118165315.pdf</a><br /> 2. <a href="https://dsp.tpex.org.tw/storage/co_download/%E4%B8%8A%E8%88%88%E6%AB%83%E5%85%AC%E5%8F%B8%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86.pdf?t=20240308">https://dsp.tpex.org.tw/storage/co_download/%E4%B8%8A%E8%88%88%E6%AB%83%E5%85%AC%E5%8F%B8%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86.pdf?t=20240308</a></p> </div> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://hiddenlayer.com/research/new-google-gemini-content-manipulation-vulns-found/"><span style="font-size: 20px;">研究人員揭露Google Gemini聊天機器人潛在的威脅</span></a></strong></p> <p></p> <p><a href="https://www.trendmicro.com/en_us/research/24/c/cve-2024-21412--darkgate-operators-exploit-microsoft-windows-sma.html"><strong><span style="font-size: 20px;">Windows安全機制SmartScreen弱點被用於散布惡意軟體DarkGate</span></strong></a></p> <p></p> <p><strong><a href="https://securityintelligence.com/posts/pixpirate-brazilian-financial-malware/"><span style="font-size: 20px;">安卓惡意軟體PixPirate採用新型態策略在背景運作</span></a></strong></p> <p></p> <p><a href="https://op-c.net/blog/lord-nemesis-strikes-supply-chain-attack-on-the-israeli-academic-sector/"><strong><span style="font-size: 20px;">以色列大學遭伊朗駭客鎖定，面臨供應鏈攻擊</span></strong></a></p> <p></p> <p><a href="https://therecord.media/meduza-independent-russian-media-organization-cyberattacks"><strong><span style="font-size: 20px;">俄羅斯總統大選在即，當地媒體Meduza遭遇國家資助的俄羅斯駭客大規模網路攻擊</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161751"><strong>【3月13日】微軟發布3月例行更新，Hyper-V、Exchange、Azure K8s漏洞受到研究人員關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161727"><strong>【3月12日】勒索軟體駭客組織「變臉」藉由TeamCity伺服器入侵受害組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161709"><strong>【3月11日】為隱匿攻擊流量，駭客濫用虛擬化平臺QEMU設置網路通訊隧道</strong></a></p> </div></div></div>
2024/3/14 14:52作者周峻佑https://www.ithome.com.tw/news/161764
對抗勒索軟體加密竄改，NetApp可鎖定快照副本
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/snapmanager_5.0-main.png" width="961" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了預防勒索軟體與資料銷毀軟體（Wiper）的侵襲，許多儲存系統大廠本身都設有備份軟體產品線，以NetApp而言，目前由SnapCenter與BlueXP backup and recovery來擔綱，而在今年3月，前者正式推出5.0版，標榜具有應用程式感知（Application-Aware）的勒索軟體防護能力。</p> <p>從2015年釋出1.0版至今，SnapCenter的特色是透過集中操作的平臺，針對運作在該公司ONTAP儲存系統上面的多種應用程式，如資料庫系統、伺服器檔案系統、虛擬機器等，提供一致的資料保護，並且可適用於混合雲的基礎架構環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp SnapCenter overview-2023-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20SnapCenter%20overview-2023-05.jpg" style="width: 600px;" /></a></p> <p>同時，這套解決方案也運用NetApp長期發展的多種資料保護技術，像是Snapshot、SnapRestore、FlexClone、SnapMirror、SnapVault，以及SnapLock，當中所提供的備份與復原機制，兼具快速執行、節省儲存空間、細部還原（granular restore），以及應用程式一致性（application-consistent）等特性，同時也有Clone複製功能。</p> <p>而在組成架構上，SnapCenter包含三大要素，分別是：SnapCenter Server、安裝在各個應用程式或系統的外掛程式，以及NetApp儲存系統，管理者可遠端執行外掛程式的自動部署、排程備份、驗證、Clone複製等作業，並且監控這些動作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/snapcenter_architecture.png" style="width: 552px;" /></p> <p>5.0版SnapCenter最大的特色，在於針對支援的多種應用程式資料，提供不可變（immutable）的勒索軟體防護機制，當中將會藉由先前用於非結構資料的保護技術，實施應用程式一致性備份。</p> <p>NetApp表示，新版支援ONTAP儲存系統近期主打的幾項相關功能，例如防竄改的Snapshot快照副本鎖定（Tamperproof Snapshots）、啟用SnapLock保護機制的儲存區，以及用於災難備援的業務永續技術SnapMirror Business Continuity（SM-BC，又稱為SnapMirror active sync），能為應用程式與虛擬機器提供更強大的資料保護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-NetApp%20SnapCenter%205_0.jpg" style="width: 600px;" /> </p> <p>隨著勒索軟體攻擊手法日趨複雜、精密，駭客後來也把腦筋動到資料備份與快照復原點的身上，企圖在加密檔案之前，先刪除這些可協助用戶還原的重要憑藉，而SnapCenter現在支援Tamperproof Snapshots、SnapLock等技術之後，可確保快照副本受到妥善保護，若不幸遇上勒索軟體攻擊者、拿到高權限的非法管理者，對NetApp儲存系統保管的資料進行刪除或竄改，就能因為有這項功能而倖免於難。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp SnapCenter overview-2023-05-Retention Policy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20SnapCenter%20overview-2023-05-Retention%20Policy.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SnapCenter 5_0-New-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SnapCenter%205_0-New-2.jpg" style="width: 298px;" /></a></p> <p>基本上，這項技術是在主要或備援儲存系統的SnapLock儲存區，放置副本資料，使企業得以保有攻擊者無法刪除或變更內容的副本，存放在SnapLock儲存區的資料，會在指定期間維持內容不變且受到保護，以達到資安與遵循法規的要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-NetApp SnapCenter 5_0-SnapLock Snapshot copies.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-NetApp%20SnapCenter%205_0-SnapLock%20Snapshot%20copies.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-NetApp SnapCenter 5_0-SnapLock Snapshot copies2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-NetApp%20SnapCenter%205_0-SnapLock%20Snapshot%20copies2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-10-NetApp SnapCenter 5_0-SnapLock Snapshot copies3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-NetApp%20SnapCenter%205_0-SnapLock%20Snapshot%20copies3.jpg" style="width: 298px;" /></a></p> <p>另一個資料保全技術SM-BC，可幫忙企業實現即時復原應用程式資料的要求，達到零復原點目標（Zero RPO），以及零復原時間目標（Zero RTO）。有了這項功能，SnapCenter可建立多個保護與復原應用程式與虛擬機器的快照，成為能夠持續運作、兼具應用程式層級備份還原細緻度的儲存解決方案——若發生意外故障狀況，可切換至備援站點（failover），而在這樣的節點當中，仍可持續執行備份、復原、Clone複製，確保資料保護的運作不中斷，待主站點恢復正常之後，再切換回去（failback）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-NetApp%20SnapCenter%205_0-BC.jpg" style="width: 600px;" /></p> <p>而在應用程式與系統的支援上，SnapCenter 5.0也新增Linux檔案系統的保護，如此一來，資料保護的範圍可擴大，涵蓋架設在Linux作業系統之上的資料庫，NetApp表示，此功能可支援坐落在多種NetApp儲存系統，像是採用ONTAP的儲存設備，以及雲端儲存服務Cloud Volumes ONTAP、Amazon FSx for NetApp ONTAP。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/2VFtfMsFlTk?si=gMxrOnVcGevAYzgh" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>針對企業在VMware環境往往部署多達數百臺至數千臺虛擬機器，若要進行備份，往往需花費許多時間，實際操作起來也相當龐雜，SnapCenter 5.0提供簡化與自動化作業的功能，管理者可透過標籤的形式進行防護（Tag-Based Protection），輕鬆管理備份工作，確保重要虛擬機器的資料保護不因此而遺漏。有了這樣的標示機制，企業能夠更簡易地區分與組織不同的虛擬機器，進而在備份政策的內容訂定，做到更細緻的控制。</p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>NetApp SnapCenter 5.0</strong><br /> ●原廠：NetApp<br /> ●建議售價：廠商未提供<br /> ●運作架構：SnapCenter Server、SnapCenter Plug-ins（Package for Windows、Package for Linux、Package for AIX、Custom Plug-ins）<br /> ●可保護的作業系統與應用系統：Windows、SQL Server、Oracle Database、SAP HANA Database、Exchange<br /> ●SnapCenter Server作業系統需求：Windows Server 2012、2012 R2、2016、2019<br /> ●支援的NetApp儲存系統：ONTAP 8.3.0以後的系統（AFF、FAS、ASA）、ONTAP Select、Cloud Volume ONTAP、AWS FSx for NetApp ONTAP、Azure NetApp Files</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/14 17:00作者李宗翰https://www.ithome.com.tw/review/161713
IBM與NASA共同開發科學文獻專用大型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.ibm.com/blog/science-expert-LLM">IBM與NASA合作</a>創建Transformer架構大型語言模型，針對科學文獻進行訓練，提高包括分類、實體擷取、問答和資訊檢索等各種科學自然語言理解任務的效能。目前相關模型已經在Hugging Face上開源，供科學與學術社群使用。</p> <p>研究人員解釋，大型語言模型的能力來自於對語言的統計理解。這些模型接受遮罩語言模型任務訓練，藉由重構已被遮蔽單字的句子來進行學習。研究人員藉由隨機遮蔽句子中的單詞，要求模型預測被遮蔽的單字，而這有助於模型理解單詞之間的關係，以及這些單詞如何共同決定句子的意思。</p> <p>在這個過程，標記器（Tokenizer）是一個重要的工具，可以將單字分解成模型可以理解的單位，對於模型學習大量詞彙非常重要。IBM表示，使用維基百科或是BooksCorpus等資料訓練標記器，通常對通用文字標記器很有效，但在科學領域，需要能夠處理像是Phosphatidylcholine這種專業術語的標記器。</p> <p>科學領域的文本經常包含特殊術語和複合詞，一般標記器難以正確處理這些詞，因此訓練針對專門領域的標記器，對於提高模型在特定領域的表現非常重要。研究人員使用來自天文物理學、地球科學與太陽圈物理學（Heliophysics）等多個專業領域的資料集的600億個Token來訓練模型。</p> <p>科學文獻用的標記器與通用標記器有很大的不同，科學文獻用的標記器要能夠辨識Axes和Polycrystalline這類科學術語，IBM-NASA新開發的模型，其所處理的5萬個Token中，有一半都是Hugging Face其他開源的RoBERTa模型未曾出現的。</p> <p>在用於評估模型處理生物醫學任務表現的基準測試BLURB，IBM-NASA模型的分數也較其他開源的RoBERTa模型高出5％。另外，該模型在內部科學問答的基準測試的F1分數提高了2.4％，在地球科學實體辨識的內部測試上，也改進了5.5％。</p> <p>這個IBM-NASA編碼器模型可針對許多非生成式語言任務微調，並且透過檢索增強生成（RAG）技術生成資訊豐富的嵌入，用於文件檢索任務上。研究人員利用編碼器模型建立檢索器模型，以產生資訊豐富的嵌入，映射文字對（Pairs of Text）之間的相似性，使得檢索模型學習根據問題，找出最相關的文件或是資訊。</p> <p>而研究人員用來訓練檢索模型的文字對有2.68億筆，包括標題、摘要以及問題和答案，使其能夠良好地處理NASA所準備的問題測試集，與經過類似微調的RoBERTa模型相比，檢索模型效能提升了6.5％，與另一種開源嵌入模型BGE-base相比，效能也上升5％。</p> <p>IBM與NASA的研究人員透過專門的訓練資料、自訂標記器和特別的訓練方法，強化科學文獻用的大型語言模型。現在編碼器模型和檢索器模型都已經在Hugging Face上開源，IBM也與NASA進一步合作，將這些模型用於強化科學搜尋引擎。</p> </div></div></div>
2024/3/14 17:20作者李建興https://www.ithome.com.tw/news/161774
微軟Microsoft Copilot for Security將於4月1日正式上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周<a href="https://www.microsoft.com/en-us/security/blog/2024/03/13/microsoft-copilot-for-security-is-generally-available-on-april-1-2024-with-new-capabilities/" target="_blank">宣布</a>，於去年3月發表、去年10月<a href="https://www.ithome.com.tw/news/159442" target="_blank">開放早鳥</a>使用的Microsoft Copilot for Security即將於今年4月1日正式上市，這是一個基於AI的網路安全產品，旨在協助安全專業人員能夠快速回應網路威脅，以機器的速度處理訊號，同時能在幾分鐘內評估所曝露的風險。Microsoft Copilot for Security的介面支援25種語言，並可以8種語言進行回應。</p> <p>根據微軟的說明，Microsoft Copilot for Security是目前唯一結合具備特定安全能力之專用語言模型的安全AI產品，這些能力包含來自微軟的全球威脅情報，以及超過65兆的每日訊號；它能夠與微軟的其它安全產品共同運作，涵蓋Microsoft Defender XDR、Microsoft Sentinel、Microsoft Intune、Microsoft Entra、Microsoft Purview與Microsoft Defender for External Attack Surface Management等，利用來自這些產品的訊號來生成客製化的指導。此外，Microsoft Copilot for Security也能搭配眾多的第三方軟體使用，或是透過獨立的入口網站來使用。</p> <p>微軟依據早鳥客戶的試用結果，<a href="https://techcommunity.microsoft.com/t5/microsoft-security-copilot-blog/microsoft-copilot-for-security-general-availability-details/ba-p/4079970" target="_blank">歸納出</a>Microsoft Copilot for Security的4個關鍵安全操作任務，包括利用生成式AI將複雜的安全警報快速提煉成可操作的摘要，利用基於AI的分析能力來評估安全事件的潛在影響，以AI來協助惡意腳本程式的逆向工程，以及取得事件回應的行動指南。</p> <p>研究顯示，經驗豐富的分析師在Copilot for Security的協助下可提升20%的速度，準確度提高了7%，更有97%希望下次執行同樣任務時得以使用Copilot for Security。</p> <p>正式版Copilot for Security所具備的新功能還包括客製化的提示手冊，可整合客戶自家的商業邏輯與行動指南，以及使用報告等。</p> <p>此外，正式於全球發表的Microsoft Copilot for Security將採用消費計價模式，以使用每小時4美元的費率來計價，允許用戶可快速地小規模部署、實驗或學習，而不必為每個裝置或每名用戶預先付費。</p> </div></div></div>
2024/3/14 14:54作者陳曉莉https://www.ithome.com.tw/news/161763
Google去年發出1,000萬美元的抓漏獎金，3成源自Android
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2024/03/vulnerability-reward-program-2023-year.html" target="_blank">Google本周揭露</a>去年抓漏獎勵計畫的結果，指出去年總計發出1,000萬美元的獎金予68個國家的逾600名研究人員，當中有340萬美元頒給了發現Android安全漏洞的研究人員，另有210萬美元是獎勵發現Chrome漏洞的研究人員。</p> <p>去年Google推出許多新的抓漏獎勵類型，包括v8CTF與Mobile VRP，也將Android與Google裝置的最高漏洞獎金提升至1.5萬美元。其中，v8CTF是針對Chrome採用的v8 JavaScript引擎所設立的奪旗（Capture The Flag，CTF）專案，只要成功利用v8上的安全漏洞就有機會獲得獎金。</p> <p>CTF專案與傳統的漏洞獎勵專案（Vulnerability Rewards Program，VRP）不同，VRP著重於發現安全漏洞，CTF則鎖定如何利用這些漏洞，包括非零時差漏洞在內。至於Mobile VRP則是鎖定Android平臺上第一方應用程式的安全漏洞，亦即是由Google開發與維護的Android程式，如Chrome、Gmail、Google Maps、YouTube、Google Drive、Google Play Store或Google Calendar等。</p> <p>整體而言，去年針對Android的漏洞獎金便高達340萬美元。</p> <p>Chrome亦為Google抓漏獎勵計畫的重點之一，去年的Chrome VRP提高了舊版Chrome v8漏洞的獎金，並推出高達3倍的完整攻擊鏈獎金（Full Chain Exploit Bonus）。Google說明，因針對舊版Chrome的v8錯誤提供額外獎勵，而發現了長期存在的v8漏洞，其中一項漏洞直接替研究人員帶來3萬美元的獎金。</p> <p>而Google對Chrome完整攻擊鏈的要求則包括必須可造成沙箱逃逸，示範如何於沙箱外執行程式碼；必須能夠自遠端展開攻擊，而有限或不依賴使用者互動；以及必須是鎖定最新的Chrome版本，涵蓋穩定版、延伸穩定版、開發版與測試版等，最高獎金將多達18萬美元。</p> <p>Google是在去年6月推出<a href="https://security.googleblog.com/2023/06/announcing-chrome-browser-full-chain.html" target="_blank">Full Chain Exploit Bonus</a>，期限原本訂為去年12月1日，之後再延長至今年2月14日，但依舊無人領走。Google表示，今年將會對任何想要挑戰相關獎項的研究人員敞開大門。</p> <p>研究人員在去年成功提交了359份有關Chrome瀏覽器的安全報告，總計獲得210萬美元的獎金。</p> <p>Google也在去年針對生成式AI舉辦了bugSWAT即時駭客活動，收到35份合格的安全報告，送出8.7萬美元的獎金。</p> </div></div></div>
2024/3/14 15:13作者陳曉莉https://www.ithome.com.tw/news/161765
Amazon提供電商生成AI工具，貼連結就能產生產品頁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電商大廠Amazon本周<a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-generative-ai-powered-product-listings" target="_blank">公布一項新AI功能</a>，讓賣家或店家只要在AI助理對話框貼上自家網站連結，就能產生Amazon線上商店的產品頁面，省下商品上架的時間和心力。</p> <p>這是Amazon將平臺整合生成式AI的最新成果。去年9月Amazon<a href="https://www.aboutamazon.com/news/small-business/amazon-sellers-generative-ai-tool" target="_blank">推出</a>第一項電商AI工具，讓賣家只需上傳一張產品圖片，再輸入產品幾個字的描述用語，就能生成產品頁面，並包含用語精彩的產品名稱、描述和其他資訊，供賣家進行最終編輯。這項功能還建議賣家加入其他產品屬性，像是顏色、關鍵字，以提高消費者搜尋的機會。</p> <p>Amazon指出，從去年秋天推出以來，已經有超過10萬賣家使用這新工具，並有近80%的賣家接受了建議的屬性。但是因應不少店家同時在其他網站上架，或有自己的產品網站，因此Amazon改版了新功能，賣家不需輸入文字關鍵字或上傳圖片，只要貼上其他網站URL，這工具就能直接援引既有的文字或圖片生成Amazon上的產品頁，進一步簡化建立產品頁的工夫。</p> <p>這AI工具是代管在AWS上，並使用Amazon Bedrock上多項AI基礎模型來完成滿足電商平臺賣家的使用需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-Amazon-selling%20partners-generative%20AI%20listing%20tools-URL.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>不過Amazon提醒賣家，在這工具貼上URL時，賣家必須是網站的所有者、權利持有人或具有使用授權才能使用網頁內容，否則可能引發盜版或侵權爭議。一旦發現賣家說法不實，Amazon會採取法律行動。</p> <p>新功能即日起到未來幾周內將推向美國賣家。</p> <p>另一方面，Amazon也持續強化AI模型平臺Bedrock。上周<a href="https://aws.amazon.com/tw/events/taiwan/techblogs/mistral-ai-amazon-bedrock/" target="_blank">Amazon宣布</a>平臺上AI模型選項再加入法國新創公司Mistral的Mistral 7B和Mixtral 8x7B。</p> </div></div></div>
2024/3/14 12:39作者林妍溱https://www.ithome.com.tw/news/161762
微軟Copilot免費版升級到GPT-4 Turbo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日<a href="https://twitter.com/MParakhin/status/1767607331637137596" target="_blank">更新免費版AI助理Copilot</a>，將底層模型由GPT-4改為最新的GPT-4 Turbo。</p> <p>GPT-4 Turbo是OpenAI去年11月公布的大型語言模型（LLM），使用的訓練資料最新日期為2023年4月，所支援的脈絡長度為12.8萬（128K）個Token，相較之下，GPT-4訓練資料的最新日期依舊是2021年9月，所支援的最長脈絡是32,768個Token。OpenAI強調，雖然GPT-4 Turbo更強大，但輸入和輸出價格是GPT-4的1/3及1/2。</p> <p>如果你使用微軟Copilot，現在起可以免費使用GPT-4 Turbo。升級到GPT-4 Turbo將使免費版Copilot更全面了解用戶對話的上下文（context），讓它能應對更複雜的問題，提供準確、適當的回答，避免回應內容重複、矛盾或不連貫。</p> <p>同時，配合付費版Copilot Pro的功能升級，微軟也將其底層模型升級到GPT-4 Turbo，但微軟說，Pro用戶可以透過設定中的滑鈕，改回使用較舊版本。本周稍早，微軟也為<a href="https://www.ithome.com.tw/news/161744" target="_blank">Copilot Pro加入GPT Builder</a>，讓用戶可自行打造客製化的AI聊天機器人助理。</p> </div></div></div>
2024/3/14 11:28作者林妍溱https://www.ithome.com.tw/news/161760
Google臺灣揭露今年三大AI落地戰略，更要支援企業發展變革式生成式AI體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在春酒記者會中揭露了今年在臺多項發展計畫，像是今年將在臺推出數位安全證照計畫、第二季引進YouTube學習課程，也將啟用第二座新辦公室等，建置多年的Apricot海底電纜也會啟用，將可提升3成臺灣網路頻寬等。Google 臺灣總經理林雅芳更揭露了三大AI戰略方向，從培植各領域人才、強化開發者社群和協助各產業成功等面向來協助臺灣掌握AI機會。</p> <p>林雅芳指出，Google臺灣的目標是幫助臺灣成為亞洲的矽谷，一方面要將最新的產品服務落地臺灣，支援臺灣的數位轉型，其次臺灣也是Google重要的全球營運據點和硬體研發基地，第三是要推動透過在地的智慧計畫，過去已經培育了超過11萬名在地人才，來打造臺灣的智慧生態系統。</p> <p>AI是Google臺灣今年的重要在地發展目標，在培植各領域人才上，進一步會細分成三個策略，AI普及、AI應用和AI創新。</p> <p>針對社會大眾要推動AI普及，Google將在臺設立Gemini學院來提升社會大眾的AI識讀能力，預計在2024年培育1,000名中小學老師接受訓練，會提供3套線上訓練，包括了AI基本素養、安全負責任的使用 AI 、使用 AI 幫助教學，也會提供實際操作演練，來推動AI教育，為AI識讀打基礎。YouTube學習課程今年第二季會引進臺灣，部分AI系列課程更會在2024年製作成YouTube影片，開放所有人免費自學，來普及AI識讀能力，也會針對不同產業舉辦工作坊。</p> <p>而在AI專業人才的職場技能上則強化AI應用能力，Google將繼續透過數位人才探索計畫，從今年第二季開始，原本的兩大課程「數位行銷和網站分析」以及「雲端技術」都會新增AI基礎介紹和新工具的知識，包括生成式AI、LLM、負責任AI等。例如數位行銷課程將介紹AI技術輔助的高效廣告，而雲端技術課程則會如何介紹Generative AI Studio、如何進行圖片生成、如何用PaLM進行提示設計或如何運用模型花園和評估模型等內容。</p> <p>最後一項人才培育則是要強化學研界的AI創新能力，Google臺灣董事總經理馬大康指出，從2018年至今，累積找來71位Google科學家，來臺舉辦超過百場演講，從2020年至今更支持臺灣的大學超過40項計畫，其中17項與AI相關。「今年將持續舉辦第七屆的AI創新研究營，今年中，Google DeepMind傑出科學家紀懷新會帶領團隊來臺，交流大型語言模型和機器學習主題的AI研發成果。」他說。</p> <p>強化開發者社群是Google今年的第二大AI落地戰略，會從工具、社群和技術三個層次展開。工具上，已經在臺提供了Google AI Studio、Vertex Ai和開放模型Gemma，而在社群經營上，目前在臺灣有7個Google開發者團隊（GDG）社群，15位Google開發者專家，以及在37個大學的學生開發者社群，去年舉辦了48場活動，接觸3,800開發人員來提升AI技能。</p> <p>馬大康指出，從今年1月展開，預計舉辦16場Build With AI活動，培訓800位開發者投入生成式AI，也計畫培育60位社群領袖成為AI工具的種子教師，以及4位生成式AI領域的Google開發者專家。另外，今年在Google Cloud培育計畫上，今年將舉辦一個為期兩周的培訓計畫，預計再觸及5千名開發者。</p> <p>最後一個AI落地面向是Google要用AI協助各產業創新。去年10月才上任的Google Cloud臺灣總經理柯淑芬指出，現在是一個由生成式AI推動的全新數位轉型時代，企業有許多場景可以用生成式AI來加快速度。從台電電子任職多年經驗中，她舉例，不少高科技業的工廠分散在全球多國，生產線有許多作業手冊、組裝文件得翻譯成多國語言提供給各地工人，採用生成式AI就能快速翻譯，能加快產線生產新品項的速度。</p> <p>「Google希望支持企業快速建立變革式的生成式AI體驗，一方面會提供完整的生成式AI技術堆疊，另一方面會協助企業統整資料以利AI的運用。」她說。</p> <p>Google從去年12月開始陸續推出了多項生成式AI技術產品和工具，並陸續以Gemini為名來統一這個GenAI的產品線。臺灣也有企業開始試用Gemini模型等生成式AI技術，像是中附醫去年底導入醫療專用生成式AI模型MedLM，來打造AI輔助醫生，來輔助醫護進行診斷、疾病治療規畫和實施病人衛教的過程。PC Home則預計採用AI/ML來提供更精準的商品推薦或不同消費組合的推薦，也會在站內搜尋功能採用檢索增強生成RAG技術。旅遊網站KKday則是透過Vertex AI來運用生成式AI技術，將網站旅遊行程商品翻譯6國語言，包括中、英、日、韓、泰、越南文等。</p> <p>Google Cloud臺灣技術副總林書平指出，臺灣企業目前明確的生成式AI應用領域，像是新人的教育訓練，或是用生成式AI強化的搜尋來支援企業內部知識管理的需求。</p> <p>目前，Google Cloud在臺灣的技術支援人力約40多人，除了雲端技術支援、零信任導入輔導，也可支援企業打造生成式AI應用，另外，Google在臺灣和新加坡還設有專門的GenAI技術支援團隊，也可支援臺灣企業導入GenAI。「企業若有特殊題目或資料，甚至可以找來總部DeepMind的科學家來臺支援，臺灣目前已有一家企業取得這樣的合作支援。」林書平補充。</p> <p> </p> </div></div></div>
2024/3/14 08:21作者王宏仁https://www.ithome.com.tw/news/161756
以雲端原生作業系統DBOS為基礎的無伺服器運算平臺登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PostgreSQL創建者Mike Stonebraker與Databricks共同創辦人Matei Zaharia，啟動了一個MIT、史丹佛大學的聯合開源研發專案，創建了新型作業系統DBOS（DataBase oriented Operating System），現在更進一步推出<a href="https://www.dbos.dev/blog/announcing-dbos">DBOS Cloud</a>服務。該雲端服務是以DBOS為基礎所建構的交易型（Transactional）無伺服器平臺，提供高可靠性與時間旅行（Time Travel）等功能。</p> <p>DBOS是一個創新的作業系統架構，其核心概念在於將作業系統的功能和服務，建立在分散式資料庫之上，而非傳統的檔案系統。在Unix或Linux等傳統作業系統中，檔案、程序、執行緒和訊息等系統狀態，通常儲存在檔案系統中。Mike Stonebraker指出，儲存作業系統狀態是一個資料庫問題。</p> <p>他還提到，以現代觀點來說，Linux被認為是老舊的程式碼。由於Linux基於較老的技術與概念建立，在面對新技術挑戰和發展需求時，可能遭遇創新上的障礙。Mike Stonebraker表示，針對多節點運算和雲端運算，Linux目前沒有多節點版本，用戶需要Kubernetes等調度工具，才能執行分散式工作負載。</p> <p>DBOS的出現便是要解決這些問題，透過將作業系統直接建立在分散式資料庫上，DBOS就能提供更好的效率、可擴展性和容錯性，其架構使得作業系統，更適合用於大規模分散式運算環境。DBOS提供了一個TypeScript交易性程式設計環境，透過狀態自動化、交易性、可觀察性和網路彈性，增強應用程式的韌性，同時還能簡化雲端原生應用程式的開發。</p> <p>簡單來說，DBOS使用SQL編寫作業系統服務程式碼，這些服務在高效能分散式DBMS上運作，Mike Stonebraker提到，這與過去在作業系統的使用者空間，執行DBMS的方式不同。在DBOS中，DBMS會成為作業系統的核心，其提供與Linux效能相當的作業系統功能，但是又具有高可用性、時間旅行、內建多節點擴充等特性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-DBOS%20image%20by%20%20DBOS.png" style="width: 400px;" /></p> <p>DBOS所有的狀態都儲存在高可用DBMS中，且由於DBMS會記錄所有事件，這些日誌可以留存數小時甚至數天，因此作業系統備份變得簡單，當系統發生故障造成資料損失，用戶可利用時間旅行功能，退回到系統故障之前。另外，作業系統狀態都是由交易型和容錯型資料庫管理，使用SQL就可簡單存取系統狀態和可觀察性資料。</p> <p>現在DBOS公司進一步推出DBOS Cloud，這是以DBOS為基礎的交易型無伺服器平臺，針對有狀態Typescript應用程式設計。Mike Stonebraker解釋，DBOS Cloud並非普通的無伺服器平臺，其基於DBOS架構，使DBOS Cloud上的應用程式具有高可靠性。當程式執行中斷，系統會自動從中斷處恢復，不會重複執行已經執行過的工作，確保所有操作都會被執行且僅會執行一次。</p> <p>DBOS的時間旅行功能，可將系統上的應用程式狀態，還原至任意時間點，DBOS Cloud用戶可以藉由時間旅行功能重現罕見的錯誤，Mike Stonebraker還提到，他們將會發布用於災難恢復的時間旅行功能，供用戶將應用程式資料退回到過去的狀態。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0314-The%20DBOS%20Time%20Travel%20Debugger-image%20by%20%20DBOS.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-The%20DBOS%20Time%20Travel%20Debugger-image%20by%20%20DBOS-B.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_DBOS</span></span></p> </div></div></div>
2024/3/14 08:13作者李建興https://www.ithome.com.tw/news/161755
Wasmer推出Rust網頁伺服器WinterJS 1.0，相容於Cloudflare的JavaScript執行環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://wasmer.io/posts/winterjs-v1" target="_blank">Wasmer釋出</a>了以Rust開發的JavaScript執行環境WinterJS，藉由使用SpiderMonkey引擎執行JavaScript，並在底層以Rust非同步I/O框架Tokio，處理HTTP請求和JavaScript事件循環。官方提到，WinterJS不只速度快，而且可以編譯成WebAssembly，在邊緣運算平臺Wasmer Edge中運作。</p> <p>WinterJS 1.0遵循WinterCG（Web-interoperable Runtimes Community Group）規範，目標是要與Cloudflare Workers、Deno Deploy和Vercel等服務達到最大相容性。WinterCG是一個追求提升JavaScript執行環境間API互通性的社群，供不同JavaScript執行環境，特別是非瀏覽器環境的協作，以改善跨執行環境的網頁平臺相容性，目前組織成員包括Cloudflare、Deno、Fastly與Node.js等。</p> <p>WinterJS 1.0以效能著稱，根據官方的基準測試，WinterJS可以在單臺筆電上，每秒處理高達15萬次請求，速度高於WorkerD每秒4萬次，以及Node每秒7.5萬次，還有Bun的每秒1.17萬次。</p> <p>Wasmer在WinterJS與前端框架的相容性上採取明確的策略，確保所有前端框架均可在WinterJS上順利運作，開發團隊在分析Deno、Cloudflare與Fastly轉接器（Adaptor）之後，認為Cloudflare是目前最好的選擇，因為Cloudflare API已經支援其他API框架的大部分功能。</p> <p>透過建立與Cloudflare Workers API的相容性，WinterJS支援的框架包括Next.js、Next.js React伺服器端元件、Nuxt與Svelte等8種框架，這些框架不僅可用於生成靜態網站，也能夠進行伺服器端渲染。WinterJS支援React伺服器端組件，代表著渲染可以完全在伺服器端完成，藉由預生成HTML，使用戶能夠更快地看到畫面，並減少客戶端的運算負擔。</p> </div></div></div>
2024/3/13 22:44作者李建興https://www.ithome.com.tw/news/161753
【資安日報】3月13日，微軟發布3月例行更新，Hyper-V、Exchange、Azure K8s漏洞受到研究人員關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二有許多軟體業者與工控系統廠商推出每月例行更新，包含微軟、Adobe、SAP、西門子、施耐德電機，這些公司揭露與修補的漏洞，目前尚未出現遭到利用的跡象。</p> <p>話雖如此，還是有些漏洞引起研究人員的關注。以微軟本次公布的漏洞為例，許多研究人員特別提及要注意Hyper-V漏洞CVE-2024-21407。資安業者Rapid7警告，雖然微軟表示攻擊者必須收集特定的環境資訊才能利用這項漏洞，但也提醒在Hyper-V主機上，完全不需取得特殊權限。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://twitter.com/H4ckManac/status/1765828331889406274"><strong style="font-size: 22px;">勒索軟體DoNex在1週內對5家歐美企業出手，要脅若不付錢，將持續對受害組織發動攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GIF7BdTWYAAQ-lb.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GIF7BdTWYAAQ-lb.png" style="width: 300px; float: right;" /></a>威脅情報業者HackManac針對近期出現的勒索軟體DoNex提出警告，指出他們從2月23日至27日，看到駭客在網站上聲稱對5家企業出手，這些公司位於比利時、義大利、美國、荷蘭、捷克，對方從受害企業竊得19 GB至49 GB不等的內部資料。</p> <p>研究人員指出，這些駭客在加密電腦檔案後透過純文字檔案或彈出式視窗留下勒索訊息，強調他們只要錢、沒有政治動機，受害組織必須使用即時通訊軟體TOX Messenger聯繫，討論支付贖金事項，換取對方提供解密金鑰，並且刪除手上竊得的檔案。</p> <p>駭客要脅若是受害組織不願付錢，他們將反覆對其發動攻擊。值得留意的是，研究人員並未交代這些駭客如何入侵受害組織，我們仍須關切對方是透過何種管道滲透。</p> <p><strong style="font-size: 22px;">蘋果應用程式市集App Store出現冒牌的Leather加密貨幣錢包</strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fake-Leather-app-store.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fake-Leather-app-store.png" style="width: 300px; float: right;" /></a>3月5日比特幣錢包服務供應商Leather提出警告，近期蘋果App Store應用程式市集出現冒牌應用程式，由於該廠商並未提供行動裝置版應用程式，若是用戶不慎依照指示操作，就有可能導致錢包裡的比特幣被洗劫一空。</p> <p>值得留意的是，雖然Leather已向蘋果通報此事，也有用戶表示因下載App而導致資產損失，但資安新聞網站Bleeping Computer發現，這個冒牌App目前仍存在蘋果App Store，並未遭到下架，他們指出用戶評價高達4.9分，不過相關內容似乎是捏造的，因為他們比對這些用戶評論，文字、用戶名稱組成的方式幾乎相同。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/LeatherBTC/status/1764711738208063556">https://twitter.com/LeatherBTC/status/1764711738208063556</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/fake-leather-wallet-app-on-apple-app-store-is-a-crypto-drainer/">https://www.bleepingcomputer.com/news/security/fake-leather-wallet-app-on-apple-app-store-is-a-crypto-drainer/</a></p> <p><a href="https://www.hackread.com/hacker-breach-federal-contractor-acuity-ice-uscis-data/"><strong style="font-size: 22px;">美國移民主管機關的IT承包商傳出遭駭，敏感資料流入駭客論壇</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/hacker-breach-federal-contractor-acuity-ice-uscis-data-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/hacker-breach-federal-contractor-acuity-ice-uscis-data-3.jpg" style="width: 300px; float: right;" /></a>3月9日資料掮客IntelBroker於駭客論壇BreachForums，聲稱入侵美國移民主管機關的IT承包商Acuity，從而取得美國移民和海關執法局（ICE）、美國公民和移民服務局（USCIS）兩個聯邦機構的內部資料。</p> <p>賣家開價3千美元的門羅幣，並宣稱內容包含超過10萬名人士的個人識別資訊（PII），其中有姓名、護照號碼、生日、電話號碼、電子郵件信箱、地址。資安新聞網站HackRead對此進行了解，發現這批資料含有更多敏感資料，像是程式的原始碼、使用者手冊、內部機密對話，其中甚至論及五眼聯盟使用的調查技術、烏克蘭戰爭、全球恐怖主義會議資訊等內容。</p> <p>駭客向HackRead表示，這些資料被歸類極機密、已分類、未分類、僅供官方使用（For Official Use Only，FOUO）等4種類型，他們號稱透過GitHub重大層級的零時差漏洞取得Token，從而入侵該承包商，但沒有透露漏洞的相關細節。</p> <p><strong style="font-size: 22px;">駭客聲稱握有Okta去年資安事故外流客戶資料，遭到該公司否認</strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/hacker-okta.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/hacker-okta.png" style="width: 300px; float: right;" /></a>2023年10月Okta證實客戶支援系統遭駭，攻擊者從中竊得部分客戶的cookie及帳密資料，近期有人聲稱公布相關內容。一名使用ID「Ddarknotevil」的人士在駭客論壇公布Okta資料庫，並指出其內容與上述的資料外洩事故有關，總共有約3,800名曾使用該支援系統的客戶個資，包含使用者ID、姓名、公司名稱、辦公室地址、電話號碼、電子郵件信箱、職稱等詳細資料。</p> <p>對此，資安新聞網站Bleeping Computer向Okta進行確認，Okta發言人表示，這些資料與Okta無關，疑似有人從網際網路公開資訊彙整而成，其中部分資料的日期能追溯到十幾年前。該公司IT團隊也對所有系統進行清查，也並未發現遭到入侵的跡象。威脅情報業者Kela也證實Okta的說法，認為這些資料來自另一家公司，駭客去年7月對其出手。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/okta-says-data-leaked-on-hacking-forum-not-from-its-systems/">https://www.bleepingcomputer.com/news/security/okta-says-data-leaked-on-hacking-forum-not-from-its-systems/</a><br /> 2. <a href="http://www.linkedin.com/posts/kela-cyber_kela-cyber-flash-no-oktas-database-activity-7172568624270852097-fX9z/">http://www.linkedin.com/posts/kela-cyber_kela-cyber-flash-no-oktas-database-activity-7172568624270852097-fX9z/</a></p> <p> </p> <div> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Mar"><strong style="font-size: 22px;">微軟發布3月份例行更新，修補61個漏洞</strong></a></p> <p></p> <p>3月12日微軟發布本月分例行更新（Patch Tuesday），總共修補61個漏洞。</p> <p>其中最受到研究人員關注的漏洞，包含了危急（Critical）層級的Hyper-V遠端程式碼執行（RCE）漏洞CVE-2024-21407、重要（Important）層級的Exchange伺服器RCE漏洞CVE-2024-26198，以及同樣列為重要層級的Azure Kubernetes服務機密容器權限提升漏洞CVE-2024-21400，這些漏洞的CVSS風險評分為8.1、8.8、9.0。</p> <p>漏洞懸賞專案Zero Day Initiative（ZDI）指出，本次CVSS風險評分最危險的漏洞CVE-2024-21334也相當值得留意，該漏洞出現在開放管理基礎架構（OMI）元件，未經身分驗證的攻擊者可透過網際網路遠端在OMI實體上執行程式碼，CVSS風險評分為9.8。</p> <p>資料來源</p> <p>1. <a href="https://www.zerodayinitiative.com/blog/2024/3/12/the-march-2024-security-update-review">https://www.zerodayinitiative.com/blog/2024/3/12/the-march-2024-security-update-review</a><br /> 2. <a href="https://www.rapid7.com/blog/post/2024/03/12/patch-tuesday-march-2024/">https://www.rapid7.com/blog/post/2024/03/12/patch-tuesday-march-2024/</a><br /> 3. <a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-march-2024-patch-tuesday-fixes-60-flaws-18-rce-bugs/">https://www.bleepingcomputer.com/news/microsoft/microsoft-march-2024-patch-tuesday-fixes-60-flaws-18-rce-bugs/</a></p> <p><a href="https://www.securityweek.com/sap-patches-critical-command-injection-vulnerabilities/"><strong style="font-size: 22px;">SAP更新用戶端程式Chromium元件、修補重大層級的命令注入漏洞</strong></a></p> <p></p> <p>本週二SAP發布本月例行更新，總共公布10則新的資安公告，並更新2則公告的內容。其中有3則被列為焦點資訊（Hot News），根據CVSS風險評分的高低，最嚴重的是Business Client當中Chromium元件的安全更新，危險程度達到10分。</p> <p>危險程度次高的漏洞是CVE-2019-10744，此為原型汙染（Prototype Pollution）漏洞，發生在名為lodash的元件，恐導致Build Apps產生的應用程式出現程式碼注入的弱點，CVSS風險評分為9.4。</p> <p>第三個須密切注意的資安漏洞則與NetWeaver AS Java有關，該公司為其修補了程式碼注入漏洞CVE-2024-22127，此漏洞與管理員事件記錄檢視器外掛有關，取得高權限的攻擊者可藉由上傳有潛在危害的檔案觸發漏洞，CVSS風險評分為9.1。</p> <p><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-ruggedcom-devices-impacted-by-45-fortinet-vulnerabilities/"><strong style="font-size: 22px;">西門子公布行動裝置SIMATIC RF160B、應用程式管理平臺Ruggedcom漏洞</strong></a></p> <p></p> <p>3月12日西門子發布11則資安公告，當中總共公布214個漏洞，約有四分之三（157個）與名為SIMATIC RF160B的行動裝置有關，這些為2017年至2022年公布的第三方元件漏洞，有可能讓攻擊者在具有特殊權限的處理程序之中，任意執行程式碼，整體的CVSS風險評分為9.8，該公司發布2.2版韌體予以修補。</p> <p>特別的是，其餘漏洞多與工業應用程式管理平臺Ruggedcom APE1808有關。該公司在2則公告裡共提及45個漏洞，皆與該系統整合的次世代防火牆FortiGate有關，這些都是Fortinet公布的已知漏洞，整體的CVSS風險評分也達到9.8分。</p> <p>資料來源</p> <p>1. <a href="https://cert-portal.siemens.com/productcert/txt/ssa-770721.txt">https://cert-portal.siemens.com/productcert/txt/ssa-770721.txt</a><br /> 2. <a href="https://cert-portal.siemens.com/productcert/txt/ssa-832273.txt">https://cert-portal.siemens.com/productcert/txt/ssa-832273.txt</a><br /> 3. <a href="https://cert-portal.siemens.com/productcert/txt/ssa-366067.txt">https://cert-portal.siemens.com/productcert/txt/ssa-366067.txt</a></p> <p><a href="https://securityaffairs.com/160347/hacking/progress-software-openedge-critical-flaw.html"><strong style="font-size: 22px;">應用程式開發平臺OpenEdge存在身分驗證繞過漏洞</strong></a></p> <p></p> <p>2月底IT業者Progress針對應用程式開發平臺OpenEdge發布資安公告，指出該系統存在身分驗證繞過漏洞CVE-2024-1403，影響其身分驗證閘道 OpenEdge Authentication Gateway（OEAG）、管理伺服器（AdminServer）元件，一旦OEAG的網域設置在與OpenEdge系統相同的網域，使用者可透過作業系統本機身分驗證提供者產生的帳號進行登入，在OpenEdge進行身分驗證的例行流程存在弱點，而有可能導致未經授權的存取。</p> <p>此外，使用者若透過OpenEdge Explorer（OEE）或OpenEdge Management（OEM）元件連接管理伺服器，也有可能觸發這項漏洞。此漏洞的CVSS風險評分達到10分，該公司推出11.7.19版、12.2.14版、12.8.1版修補上述漏洞。</p> <p>3月6日資安業者Horizon3.ai公布漏洞的細節，以及概念性驗證（PoC）程式碼，並表示該漏洞有可能存在其他的攻擊面，使得攻擊者能用來遠端執行程式碼。</p> <p>資料來源</p> <p>1. <a href="https://community.progress.com/s/article/Important-Critical-Alert-for-OpenEdge-Authentication-Gateway-and-AdminServer">https://community.progress.com/s/article/Important-Critical-Alert-for-OpenEdge-Authentication-Gateway-and-AdminServer</a><br /> 2. <a href="https://www.horizon3.ai/attack-research/cve-2024-1403-progress-openedge-authentication-bypass-deep-dive/">https://www.horizon3.ai/attack-research/cve-2024-1403-progress-openedge-authentication-bypass-deep-dive/</a></p> </div> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.securityweek.com/adobe-patches-critical-flaws-in-enterprise-products/"><span style="font-size: 20px;">Adobe發布3月例行更新，修補Experience Manager、ColdFusion漏洞</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/acer-confirms-philippines-employee-data-leaked-on-hacking-forum/"><strong><span style="font-size: 20px;">宏碁菲律賓分公司傳出資料外洩，疑為外部供應商遭駭所致</span></strong></a></p> <p></p> <p><strong><a href="https://www.reversinglabs.com/blog/bipclip-malicious-pypi-packages-target-crypto-wallet-recovery-passwords"><span style="font-size: 20px;">駭客上傳惡意PyPI套件企圖竊取加密貨幣錢包</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/over-12-million-auth-secrets-and-keys-leaked-on-github-in-2023/"><strong><span style="font-size: 20px;">2023年近1,300萬組帳密資料在GitHub曝光</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/exploited-building-access-system-vulnerability-patched-years-after-disclosure/"><strong><span style="font-size: 20px;">公開5年的大樓門禁系統Nice Linear漏洞即將得到修補</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161727"><strong>【3月12日】勒索軟體駭客組織「變臉」藉由TeamCity伺服器入侵受害組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161709"><strong>【3月11日】為隱匿攻擊流量，駭客濫用虛擬化平臺QEMU設置網路通訊隧道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161668"><strong>【3月8日】Linux惡意軟體攻擊鎖定DevOps常用的4種平臺</strong></a></p> </div></div></div>
2024/3/13 15:58作者周峻佑https://www.ithome.com.tw/news/161751
上市櫃公司資安重訊發布「重大性」標準出爐，不只明訂核心系統、官網遭駭，也涵蓋DDoS、個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上市櫃公司頻頻遭駭客網路攻擊，企業如何認定資安事件重大到需要揭露，是這兩年大家都想知道的資訊。</p> <p>最近我們報導<a href="https://www.ithome.com.tw/news/161666">2023上市櫃資安事件態勢</a>時，臺灣證券交易所（證交所）表示，這方面已有明確規範，就是<a href="https://dsp.twse.com.tw/public/static/downloads/listedCompany/%E3%80%8C%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86%E3%80%8D11301%20_20240118165315.pdf">今年1月釋出的新版「上市公司重大訊息發布應注意事項參考問答集」</a>，當中有相關內容修訂。當時我們已經<a href="https://www.ithome.com.tw/news/161667#%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E9%87%8D%E5%A4%A7%E6%80%A7%E6%A8%99%E6%BA%96">報導</a>此事，最近3月，金融監督管理委員會（金管會）與證券櫃臺買賣中心（櫃買中心）有後續消息揭露。</p> <p>具體而言，這個重大訊息問答集的內容，是針對法規「臺灣證券交易所股份有限公司對有價證券上市公司重大訊息之查證暨公開處理程序」（以下簡稱重大訊息處理程序）的補充說明，主要是針對外界對於法規內容執行的諸多疑問，提供更詳盡的解釋。</p> <p>這次修訂的重點在於，先前證交所的規範對於何謂「重大」，主要交由企業評估與判斷。例如，他們建議企業依據問答集中的「發布重大訊息遵循程序及判斷標準」評估，並要留存相關軌跡紀錄，又或是媒體報導公司發生資通安全事件，可能影響投資人的投資決策，需發布重大訊息。</p> <p>現在證交所規範的部分不只上述內容，還更明確指出多種具體受害類型，需要發布重大訊息。</p> <p>例如，公司的核心資通系統、官方網站或機密文件檔案資料等，遭駭客攻擊，遭入侵、破壞、竄改、刪除、加密、竊取、服務阻斷攻擊（DDoS）等，致無法營運或正常提供服務，或有個資外洩的情事等，即屬造成公司重大損害或影響，公司即應依重大訊息處理程序法規的第26款發布重大訊息。</p> <p>顯然，證交所今年修訂此份問答集的用意，就是為了更具體定義重訊揭露的資安事件「重大性」而來，協助上市櫃公司發布資安重訊時，可以有個更具體的衡量標準。</p> <h2><strong>金管會證期局首度公開聲明，櫃買中心3月亦完成修訂</strong></h2> <p>在3月5日金管會的例行記者會上，證期局副局長黃厚銘也提到這項轉變。他特別預告今年資安治理推動的8項重點，而其中之一，就是修訂重大訊息問答集，明確規範資安事件之「重大性」標準。</p> <p>由於這是證期局首次公開強調此事，因此我們也向其詢問，想瞭解細節。證期局表示，關於上市公司的部分，的確已在1月完成這方面的修訂，也就是發布新版「上市公司重大訊息發布應注意事項參考問答集」，至於上櫃公司方面，預計一段時間後也會完成。</p> <p>相隔數日之後（3月8日），我們發現櫃買中心完成這方面的修訂，在其業務宣導網站釋出<a href="https://dsp.tpex.org.tw/storage/co_download/%E4%B8%8A%E8%88%88%E6%AB%83%E5%85%AC%E5%8F%B8%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86.pdf?t=20240308">新版「上（興）櫃公司重大訊息發布應注意事項參考問答集」</a>，讓外界更瞭解重大訊息處理程序法規，及主管機關對於「財團法人中華民國證券櫃檯買賣中心對有價證券上櫃公司重大訊息之查證暨公開處理程序」第26款資安事件「重大性」定義的執行與判斷。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）規範上櫃資安事件重大訊息「重大性」標準.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%A6%8F%E7%AF%84%E4%B8%8A%E6%AB%83%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E3%80%8C%E9%87%8D%E5%A4%A7%E6%80%A7%E3%80%8D%E6%A8%99%E6%BA%96.jpg" style="width: 600px;" /></a></p> <p>換言之，現在不論上市、上櫃或興櫃公司，一旦遭遇資安事件時，對於判斷是否需要發布重大訊息，現在有更明確的規範內容，方便所有公司遵循。</p> <p>儘管對於「重大」的定義，或許仍有商榷之處，但主管機關應該已經考量該如何讓所有企業都能遵循，畢竟每家公司規模大小不一，部分上市櫃公司被規範要設置資安長或資安專責單位，也是這一兩年才有的要求，因此很多公司可能還沒有資安長，或是沒有能力判斷資安事件是否屬於重大，是否有發布重大訊息的必要。</p> <h2><strong>資安重訊揭露規範將滿3年，需留意規範修正最新變化</strong></h2> <p>對於上市櫃公司而言，都很關注整體的資安事件重訊揭露上，有哪些重大變化？</p> <p>雖然，發布重大訊息揭露資安事件的相關規範，是從2021年4月就開始施行，後續這3年來，我們也的確看到一些發生資安事件的上市櫃公司，依照規範發布重大訊息。</p> <p>然而，我們從一些資安專家口中得知，到現在仍有上市櫃公司對此渾然不知，不知道企業發生重大資安事件要公告重大訊息。</p> <p>而且，後續還有一些修正重點，也是需要留意的部分。例如，年報編制方面的變化，自2022年的年報開始，不只是記載資安作為，也要揭露重大資安事件的損失與影響，並說明遇到事件時，公司是如何因應。</p> <p>接下來，在2023年的重大訊息處理程序修訂，對於重訊發布內容要求有微調，要與向外界及媒體說明的內容一致，並增訂不得有偏頗情形。</p> <p>至於2024年的最新規範變化，就是上述重訊問答集的修訂，明確規範資安事件的「重大性」標準。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖表1）上市櫃公司發生資安事件，重大訊息揭露的6大重要規定_iThome整理.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96%E8%A1%A81%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E5%85%AC%E5%8F%B8%E7%99%BC%E7%94%9F%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%EF%BC%8C%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E6%8F%AD%E9%9C%B2%E7%9A%846%E5%A4%A7%E9%87%8D%E8%A6%81%E8%A6%8F%E5%AE%9A_iThome%E6%95%B4%E7%90%86.png" style="width: 600px;" /></a></p> <h2><strong>上市櫃公司違反重訊發布規範，最高罰5百萬元，金管會持續宣導規定</strong></h2> <p>上市櫃公司發生資安事件需發布重訊時，除了注意2021年後的相關法規修正，更早之前的重大訊息規範，也不能忘記，因為這些規定至今仍被要求。</p> <p>自數十年前主管機關要求重大訊息發布以來，至今已規範超過50種情況，可能對股東權益或證券價格有重大影響，需要上市櫃公司發布重大訊息，向投資人說明。例如，我們時常看到公司因重大的人事變動，而發布重大訊息。</p> <p>「發生災難、集體抗議、罷工、環境污染、資通安全事件或其他重大情事」，也是需要發布重大訊息的情況之一種，而資通安全事件是在2021年後才明訂、增列於其中。</p> <p>由於有上述規範，這一年以來，金管會證期局持續宣導下列事項，提醒上市櫃公司都要謹記與遵循。例如：（一）重大資安事件的發布時間，要在次一營業日開盤前2小時（7點前）發布；（二）違反重訊發布規定，可處違約金3萬~500萬元；（三）旗下子公司發生重大資安事件，母公司也需要替子公司進行公告。</p> <p>近期是否有違反申報的相關開罰案例？我們回顧去年臺灣企業重大資安事件時，發現有家公司似乎是這樣的狀況。</p> <p>根據<a href="https://www.tpex.org.tw/web/about/news/news/news_detail.php?l=zh-tw&doc_id=11304">櫃買中心11月9日公告</a>，說明諾貝兒寶貝在9月14日查知客戶資料疑有外洩情事，但未依規定於期限內發布重大訊息，違反興櫃股票審查準則第34條規定，因此櫃買中心處以違約金15萬元。而該公司是在10月7日才發布重大訊息說明遭網路攻擊。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/images/（圖2）諾貝兒客戶資料外洩_未依規定於期限內發布重大訊息_櫃買中心開罰15萬.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%AB%BE%E8%B2%9D%E5%85%92%E5%AE%A2%E6%88%B6%E8%B3%87%E6%96%99%E5%A4%96%E6%B4%A9_%E6%9C%AA%E4%BE%9D%E8%A6%8F%E5%AE%9A%E6%96%BC%E6%9C%9F%E9%99%90%E5%85%A7%E7%99%BC%E5%B8%83%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF_%E6%AB%83%E8%B2%B7%E4%B8%AD%E5%BF%83%E9%96%8B%E7%BD%B015%E8%90%AC.jpg" style="width: 600px;" /></a></p> <p>為了幫大家更清楚這些規範制定的起源，我們也進一步向金管會證期局確認。例如，要在次一營業日的開盤前2小時公告重訊，是2016年的重大訊息處理程序修訂所規範；違反重訊可罰3萬至500萬元，是在2011年就已經規範；子公司發生重訊相關情事，視同上市櫃公司重大訊息，應代為申報，這是2014年時的規範修訂。</p> <p>到了今年，對於上市櫃公司而言，還有哪些要留意的監管態勢？從金管會近期的預告來看，上述子公司的方面就是一大關鍵。這是因為我們注意到，前述金管會表示今年將推動的8大措施，其中一項，就是聚焦於落實企業對子公司資訊安全的監督與管理。換言之，主管機關不只推動上市櫃公司強化資安，也促進這些上市櫃公司需同樣重視子公司的資安強化。</p> <p>另外，金管會還將聚焦下列工作：提高資訊安全內部控制查核比例，以及追蹤缺失改善情形。這方面的力道加強，或許與近期上市櫃資安事件發生攀高有關。</p> <p>至於其他多項監理協助措施，今年金管會也將持續進行，包括：強化資訊安全人員教育訓練，分享資訊安全事件案例，持續推動加入TWCERT/CC分享資安事件之情資，以及取得資安標準國際認證及取得外部驗證，以進一步推動上市櫃公司資安強化。</p> <p> </p> </div></div></div>
2024/3/13 12:28作者羅正漢https://www.ithome.com.tw/news/161745
橫跨NGFW與SASE，Palo Alto提供結合AI技術的集中管理平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/strata_cloud_mamager_main4.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月，Palo Alto Networks發表基於AI技術而成的統一管理平臺，名為Strata Cloud Manager，可涵蓋旗下多種次世代網路防火牆（NGFW），以及SASE類型的安全存取解決方案，進行統籌監控與管理，標榜當中搭配超過4,400個機器學習模型，以及多種創新功能，到了今年3月初，該公司在臺灣舉行線上新品巡迴發表會，正式介紹這套融合資安防護與安全存取網路的系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCM-PA-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCM-PA-overview.jpg" style="width: 600px;" /></a></p> <p>Palo Alto Networks台灣區技術總監蕭松瀛表示，Strata Cloud Manager是全新、以SaaS雲端服務為主的整合介面，能同時管理硬體與虛擬機器形式的次世代防火牆，以及SASE等網路架構，此外，這當中搭配Palo Alto Networks提供的<a href="https://www.paloaltonetworks.com/network-security/security-subscriptions">雲端交付安全性服務（Cloud-Delivered Security Services，CDSS）</a>，包含雲端沙箱檢測服務WildFire、威脅預防服務（TP）、DNS防護服務、物聯網防護服務（可參考下圖，在防火牆與SASE的上一層就是CDSS），因此也能夠儲存CDSS相關資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager-1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-SCM-CDSS.jpg" style="width: 600px;" /></p> <p>Strata Cloud Manager的推出，是為了因應網路安全基礎架構的管理與監控需求而來，因為目前企業在此正面臨兩大挑戰：首先是預測性（predictive）與可行性（actionable）洞察分析的不足，另一個是橫跨眾多資安工具的使用，若缺乏密切整合，將導致資安防護產生縫隙與政策不一致，從而危害整體安全性與資安維運作業。Palo Alto認為，企業資安團隊採用Strata Cloud Manager之後，可大幅改善上述問題，進而鞏固資安防護態勢，並在每個政策控管點（enforcement point）提供主動處理機制、預防網路中斷狀況的發生。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCM-PA-works.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCM-PA-works.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SCM-PA-Config Unified.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCM-PA-Config%20Unified.jpg" style="width: 600px;" /></a></p> <p>單就網路安全防護的強化而言，Strata Cloud Manager能提供業界與Palo Alto的最佳實務，企業可在此運用由AI技術支持的政策分析功能，以及政策遵循程度的即時檢查，得到能具體施行的建議與工作流程指引，減少組態設定錯誤（Misconfigurations）、降低不必要的風險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCM-PA-Config realtime.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCM-PA-Config%20realtime.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Built-In Best Practices in Strata Cloud Manager.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Built-In%20Best%20Practices%20in%20Strata%20Cloud%20Manager.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Built-In Best Practices in Strata Cloud Manager2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Built-In%20Best%20Practices%20in%20Strata%20Cloud%20Manager2.jpg" style="width: 298px;" /></a></p> <p> <a href="https://s4.itho.me/sites/default/files/images/PA-SCM-Policy Check.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-SCM-Policy%20Check.jpg" style="width: 298px;" /></a></p> <p>確保網路持續運作，是這套資安解決方案相當獨特之處，因為當中內建了預測性分析，可協助用戶預料、主動識別網路傳輸容量的瓶頸，並且能提前7天進行部署健全狀態的評估，促使資安團隊有效預防網路服務營運的中斷。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCM-PA-health.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCM-PA-health.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager Cap1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager%20Cap1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager Cap2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager%20Cap2.jpg" style="width: 298px;" /></a></p> <p>同時，Strata Cloud Manager也導入通用警示框架，可用來識別網路中斷狀況，協助企業維持最佳的網路運作狀態與效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCM-PA-Autoresolve.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCM-PA-Autoresolve.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager Alert1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager%20Alert1.jpg" style="width: 600px;" /></a></p> <p>而在網路安全管理的部分，Strata Cloud Manager可集中管理企業環境的所有相關資產，例如，能橫跨Palo Alto旗下多種形式的網路與資安解決方案，囊括軟體與硬體網路防火牆，以及所有資安服務，共享當中的組態設定與控管政策，提供統一的呈現方式，確保企業整體資安防護的實施具有一致性與功效，以及營運負擔能夠降至最低，從而提升資安團隊面對這類工作的效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager Dashboard1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager%20Dashboard1.jpg" style="width: 600px;" /></a></p> <p>關於使用者操作介面的體驗上，Strata Cloud Manager也提供儀表板，可呈現脈絡、互動式應用案例驅動的作業模式，以及具有授權感知能力的資料充實機制（license-aware data enrichment）。</p> <p>這裡提到的脈絡化呈現，蕭松瀛表示，是指能夠以圖形介面呈現網路流量狀況，因為這套解決方案可接受不同的資料，而且，用戶根據自身需求訂製儀表板內容之餘，也能透過點選的操作方式，進入其他的資料頁面。而關於資料充實的部分，與前述的CDSS授權有關，若用戶具備這些服務使用授權，相關資料即可納入Strata Cloud Manager。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Built-In Best Practices in Strata Cloud Manager6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Built-In%20Best%20Practices%20in%20Strata%20Cloud%20Manager6.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Built-In Best Practices in Strata Cloud Manager5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Built-In%20Best%20Practices%20in%20Strata%20Cloud%20Manager5.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Built-In Best Practices in Strata Cloud Manager3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Built-In%20Best%20Practices%20in%20Strata%20Cloud%20Manager3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Built-In Best Practices in Strata Cloud Manager4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Built-In%20Best%20Practices%20in%20Strata%20Cloud%20Manager4.jpg" style="width: 298px;" /></a></p> <p>隨著Palo Alto正式發布次世代防火牆作業系統PAN-OS新版本（代號Cosmos，版號為11.1），若用戶啟用資料湖儲存Strata Data Lake與AIOps for NGFW Premium授權，Strata Cloud Manager就能以不同的風格呈現網路與資安運作狀態（如下圖）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager-Visual1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager-Visual1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager-Visual2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager-Visual2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager-AlERT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager-AlERT.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager-Conf.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager-Conf.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PAN-Global Cloud Infrastructure-2024-03-SCM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PAN-Global%20Cloud%20Infrastructure-2024-03-SCM.jpg" style="width: 600px;" /></a> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Strata Cloud Manager</strong><br /> ●原廠：Palo Alto Networks<br /> ●建議售價：廠商未提供<br /> ●支援Palo Alto Networks產品：<br /> 網路防火牆：硬體設備（PA系列）、軟體系統（VM系列、CN系列）<br /> 雲端供應資安服務：Advanced Threat Prevention、Advanced URL Filtering、Advanced WildFire、DNS Security、Enterprise DLP、IoT Security、SaaS Security<br /> SASE：Prisma Access、Prisma SD-WAN</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/13 16:28作者李宗翰https://www.ithome.com.tw/review/161641
Meta公開其GenAI基礎設施，兩個叢集分別具備2.4萬個GPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2024/03/12/data-center-engineering/building-metas-genai-infrastructure/" target="_blank">Meta周二（3/12）公開</a>了該公司所使用的生成式人工智慧（GenAI）基礎設施，內含兩個各採用24,576個Nvidia H100 GPU的大型資料中心叢集，以及相關的網路、運算與儲存部署。</p> <p>其實Meta在2022年便曾揭露該公司所打造的AI叢集AI Research SuperCluster（RSC），當時便宣稱這是全球速度最快的超級電腦之一，它使用了1.6萬個Nvidia A100 GPU。</p> <p>而本周Meta所揭露的GenAI叢集雖然採用兩種不同的網路架構，但皆配備了24,576個Nvidia Tensor Core H100 GPU。Meta表示，這兩個叢集聚集於高效能的網路結構，使得它們可支持比RSC更大且更複雜的模型，可替未來發展先進GenAI產品開發及AI研究鋪路。</p> <p>Meta解釋，該公司每天要執行數百兆個AI模型，大規模地遞送相關服務需要非常先進且彈性的基礎設施，因而需要客製化自己的硬體、軟體及網路架構，以優化AI研究人員端到端的經驗，同時確保資料中心的高效運作，因而採用不同的網路設計。</p> <p>其中一個叢集是基於Arista 7800、Wedge400與Minipack2開放運算計畫（OCP）機架交換器的RDMA over Converged Ethernet（RoCE）解決方案，為一可透過乙太網路自遠端直接存取記憶體的網路協定，此一協定主要適用於諸如網路儲存或叢集運算等需要高頻寬與低延遲的網路基礎設施。</p> <p>另一個叢集則是採用Nvidia的Quantum2 InfiniBand架構，該架構同樣也是專為高效能運算的低延遲與高頻寬所設計。這兩個叢集的端點互連速度皆高達400 Gbps，採用不同網路架構將有利Meta評估不同類型的互連對大規模訓練的適用性及可擴展能力，以作為未來設計與建置更大規模叢集的參考。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0313-meta%20genai(2).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-meta%20genai(2).png" style="width: 558px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>除了網路架構之外，它們皆採用Meta內部設計、並已貢獻給開放運算計畫的GPU硬體平臺Grand Teton，該平臺是以許多不同世代的AI系統為基礎，並在單一的機箱中整合了電源、控制、運算與架構介面，以達到更好的效能、訊號完整性及熱效能。</p> <p>在儲存上則是採用基於Meta內部Tectonic分散式儲存解決方案的Linux Filesystem in Userspace（FUSE）API ，它滿足了AI叢集對資料與檢查點的需求，令數千個GPU得以同步保存及載入檢查點，同時提供資料載入時所需的彈性，以及EB儲存等級的吞吐量。</p> <p>Meta亦與Hammerspace共同開發一個平行網路檔案系統（NFS）部署，以迎合開發者對AI叢集的體驗需求。Hammerspace的優點之一是允許工程師可利用數千個GPU的資源進行任務的互動除錯，因為當程式有所變更時，此一環境中的所有節點都可立即存取。</p> <p>打造大規模AI叢集的挑戰之一為同時維持其高效能及易用性，於是Meta藉由比較小叢集與大叢集的效能來找出大叢集的瓶頸並將其優化。Meta坦承，在甫完成大叢集的部署之際，其最初效能很差且不一致，因而經由調整網路拓撲，並結合對Nvidia Collective Communications Library（NCCL）的變更來優化網路路由政策，以實現最佳的網路利用率，而讓大型叢集達到與小型叢集一樣出色的預期效能。</p> <p>Meta仍計畫持續建置並擴張大型GenAI叢集，計畫今年底便會擴大其基礎設施至包含35萬個Nvidia H100 GPU，並將創造等同於60萬個H100 GPU運算能力。</p> </div></div></div>
2024/3/13 17:12作者陳曉莉https://www.ithome.com.tw/news/161752
Midjourney測試能生成一致化角色形象的AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/midjourney/status/1767316749547077824" target="_blank">Midjourney公告</a>正在測試一項生成式AI功能，能為多個場景或畫面創造長相、服裝或表情更一致的角色。</p> <p>現在用戶可以透過其<a href="https://discord.com/invite/midjourney" target="_blank">測試網站</a>試用。Midjourney新功能將能解決影片、動漫或小說創作者最普遍的痛點，創造連貫的角色形象。</p> <p>雖然現在有許多生成式AI工具能協助創作者產生畫面精美、技巧高超的人物影像，但目前影像故事創作者碰到的問題是「不連戲」，即AI工具生成的角色或服裝前後不一致。這是因為現有工具多半以擴散模型為基礎，根據用戶輸入的文字、集結像素，產出和文字描述相符的影像，過程中並未考慮前後一致性。</p> <p>現在Midjourney試圖解決這個問題。目前<a href="https://twitter.com/nickfloats/status/1767619179467669839" target="_blank">該公司正在</a>測試一些新指令，供用戶連同URL輸入在文字提示後方。例如--cw等可控制服裝、臉部表情、或頭髮的一致性。--ref可控制動作。目前這項功能還在開發中，有些限制，例如無法完整複製雀斑、痘痘或Logo，可適用於MJ6或更適合動漫開發的Niji6模型，但用在MJ模型效果最好。</p> <p class="rtecenter"><a href="http://twitter.com/nickfloats/status/1767619179467669839" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-midjourney-(2).jpg" style="width: 600px;" /></a></p> <p><a href="https://venturebeat.com/ai/midjourney-debuts-feature-for-generating-consistent-characters-across-multiple-gen-ai-images/" target="_blank">《Venturebeat》</a>分析，新功能將可讓Midjourney從個人玩家的AI玩具變成真正專業用戶也需要的工具。</p> </div></div></div>
2024/3/13 15:28作者林妍溱https://www.ithome.com.tw/news/161749
Tor專案正式推出可繞過審查的WebTunnel橋接器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了慶祝每年3月12日的世界反對網路審查日（World Day Against Cyber Censorship），Tor專案當天正式推出可繞過審查機制的<a href="https://blog.torproject.org/introducing-webtunnel-evading-censorship-by-hiding-in-plain-sight/" target="_blank">WebTunnel橋接器</a>。</p> <p>Tor專案所維護的洋蔥路由（The Onion Router）原本就是用來實現匿名通訊的開源軟體，透過全球志工所提供的逾7,000多個中繼站來引導流量，目的是讓網路使用者避免遭到追蹤，隨著有許多國家開始封鎖Tor流量，該專案也開發各種可隱藏流量的網路橋接器，諸如Obfsproxy與WebTunnel。</p> <p>Obfsproxy與WebTunnel皆為Tor的子專案，前者是「混淆代理」（Obfuscate Proxy）的縮寫，在各國政府強制ISP業者過濾SSL流量，或是採用深度封包檢查（Deep Packet Inspection，DPI）來偵測及分類各種網路流量時，Obfsproxy可於Tor流量上添增加密包裝，且採用無可識別的交握（Handshake）來躲避偵測，目前Tor專案已提供obfs4供用戶存取。</p> <p>至於WebTunnel則是藉由模仿HTTPS流量來躲避審查，其原理是將酬載連線包裝成像是WebSocket的HTTPS連線，使它看起來就像是尋常的HTTPS連線。</p> <p>Tor專案說明，WebTunnel流量與一般網路流量非常相似，且它能夠與在同一個網路端點上的網站共存，意謂著WebTunnel與該網站可以使用同樣的網域名稱、IP位址與傳輸埠，此一共存狀態使得一個標準的流量反向代理能夠將WebTunnel與尋常的網路流量導至各自的應用伺服器。於是，當有人嘗試造訪此一共同網路位址的網站時，他們只會得知該網站位址上的內容，而不會注意到WebTunnel的存在。</p> <p>obfs4與WebTunnel的主要差異在於，obfs4與其它完全加密的網路流量皆注重獨特性且無法識別，而WebTunnel則專注於模仿已知的典型流量，於是，當網路流量審查機制決定遺棄不符特定類型的流量時，可能會封鎖obfs4流量，而放行WebTunnel流量。</p> <p>其實Tor專案在2022年12月便發表了WebTunnel，並在去年6月開放橋接器營運商部署，迄今全球已部署了60個WebTunnel橋接器，目前每天有逾700名活躍用戶於不同的平臺上使用WebTunnel。不過，雖然中國與俄羅斯皆可使用WebTunnel，伊朗的某些地區仍無法使用該橋接器。</p> <p>使用者可透過<a href="https://bridges.torproject.org/options" target="_blank">Tor專案</a>複製WebTunnel橋接器，並安裝最新的Tor瀏覽器以新增WebTunnel。</p> </div></div></div>
2024/3/13 15:57作者陳曉莉https://www.ithome.com.tw/news/161750
數位部擬於3月底至4月推出臺灣公共程式平臺測試版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府今年將帶頭大力推動公共程式（Public Code），數位發展部（以下簡稱數位部）將在3月底至4月之間推出臺灣公共程式平臺（code.gov.tw）測試版，初步先將數位部開發的官網、碳盤查工具上架至公共程式平臺，未來將和地方政府、公務機關合作，將共用性服務納入公共程式平臺，開放其他政府機關或外界使用。</p> <p>規畫公共程式平臺的數位發展部民主網絡司司長莊盈志表示，這些年公務機關隨著業務發展，對資訊建設的需求快速增加，資訊的運作已不亞於傳統公共建設的造橋鋪路，不論是對民間或公務機關的運作，資訊已成為最基礎的元件，因此數位部提出數位公共建設計畫，去年為行政院通過數位公建計畫，公共程式平臺即是其中一部分。</p> <p>數位發展部規畫今年3月至4月間推出臺灣公共程式平臺測試版（code.gov.tw），底層架構在GitHub，不過由於預算通過不久，目前尚在籌備階段，因此計畫先推出測試版，展示平臺的基本功能，較完整的功能可能在年底推出。</p> <p>為推動Public Code，數位部準備將國際上推行Public Code的16項檢核標準，例如貢獻者的責任義務，在今年3月至4月間推出臺灣公共程式平臺測試版時，公開公共程式平臺的使用規則。</p> <p>莊盈志指出，Public Money, Public Code的公共程式精神在國外較早推動，例如歐洲的自由軟體基金會，國內則有g0v零時政府、OCF開放文化基金會等倡導相關精神。數位部成立之後，發現民眾的需求變化快速，然而，傳統上政府機關資訊開發大多對外招標，委託外部廠商協助開發，委託的成果用於當下的需求，其他機關如果也有類似需求只能自己尋找資源、對外招標，需花費相當多成本，因此參考Public Money, Public Code精神，今年推動臺灣公共程式平臺。</p> <p><span style="color:#B22222;"><strong>推動公共程式需取得與資服產業的共識</strong></span></p> <p>以美國為例，聯邦政府為推動公共程式建立一套制度，當聯邦政府投入資金協助政府部門採購軟體，先要求政府部門檢視聯邦政府內是否有可用的資源，如果沒有可用的資源，再進入商業採購，當聯邦政府也沒有合適的商業解決方案，由政府部門才能自行開發，由聯邦政府挹注資金，政府部門必需以挹注資金的五分之一所開發的程式碼貢獻給聯邦政府的公共程式，開放給其他聯邦政府部門運用，如同前面所說，其他政府部門採購軟體之前，必需檢視是否有可運用資源。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8E%8A%E7%9B%88%E5%BF%97.jpg" style="width: 600px; height: 400px;" /></p> <p><strong>「臺灣推動公共程式也希望朝向制度化來發展，但這是中長期目標，尚需取得公務機關及資服產業的共識」，莊盈志說。</strong></p> <p>然而要推動公共程式需要解決著作財產權的問題。過去政府機關委託資服業者開發，因缺乏明確規範或是其他的原因，依合約載明的不同授權條款，著作財產權不歸政府機關，而是歸於資服業者所有；另外有一些情形，公務機關難以完全取得著作權，例如資服業者自行開發的商業軟體，獲得公務機關採用，但公務機關委託資服業者依其需求客製化，資服業者擁有著作財產權，授權公務機關使用，另一個情形是，機關委託業者開發，業者在其中一部分使用原廠授權組件，因此著作權難以全部歸機關所有。未來如果要推動公共程式，甲乙雙方需要釐清著作財產權及使用授權。</p> <p>為釐清著作權歸屬，去年數位部與行政院公共工程委員會聯手修訂政府資訊服務採購指引，明定公務機關委託資訊服務開發，公務機關取得著作權，目前政府公務機關委外資訊開發，機關和資服業者間的契約註明程式碼的著作權歸甲方所有，即公務機關擁有程式碼的著作權，至於其他情形例如資服業者為機關客製化商業軟體，或是使用國外原廠組件，這些情形則不包含在內。但是，即使公務機關擁有著作權，要將其程式碼公開，讓外界也能運用，可能引發資服業者的反彈。</p> <p>以公務機關為例，A公務機關委託B資服業者開發程式，由於該程式具有共用性，A機關將程式碼公開至公共程式平臺，讓其他公務機關也能使用，當C機關有類似的需求，不需要委託其他資服業者重新開發，可從公共程式平臺獲得程式碼，可請求B資服業者協助客製化，由於程式碼按照國際標準公開，D資服業者也有能力為C機關客製化。</p> <p>對公務機關而言，透過公共程式平臺，可避免投入大量成本委託資服業者重新開發程式，只需委託資服業者客製化程式，縮短開發所需的時間，並且避免被開發該程式的資服業者綁架；但是從資服業者角度來看，其他公務機關使用公共程式，避免委托開發新的程式，公務機關減少資服採購的機會，雖然資服業者可能增加客製化服務的機會，但程式碼的公開透明，提高資服業者間的競爭。</p> <p>去年數位部針對公務機關、資服業者舉辦座談會，向公務機關、資服產業溝通推動公共程式平臺的政策，有業者在座談會中反映，擔憂長期培養的開發經驗及技巧，例如提升資料庫效能，一旦程式碼公開透明，可能被其他業者學習參考，相同地，程式碼內的缺陷也會被檢視討論。</p> <p>對此，莊盈志認為，透過公共程式平臺開放程式碼供外界運用，一方面可以借助外部的力量，檢視程式碼內是不是潛藏弱點或後門，另方面，從正面角度來看，程式碼公開，外界可以學習參考好的開發技巧，也有機會讓未來系統開發愈來愈好。</p> <p>目前數位部仍與資服業者就公共程式尋找共識，「我們希望從中找到平衡點，或是產生新的軟體生態運作模式，讓資服業者能在公共程式獲利的商業模式」，莊盈志說。</p> <p><span style="color:#B22222;"><strong>通用服務、創新服務可成公共程式優先著力點</strong></span></p> <p>數位部今年推動公共程式，優先從共用性服務著手，另外，過去沒有或新創造的服務，其他政府機關同樣需要的服務也會納入公共程式。數位部更計畫帶頭示範，以數位部自己的系統，屬於共用型或新創造的服務，將其轉為公共程式，開放其他機關可以運用，例如數位部的官方網站。</p> <p>去年數位部和臺中市、臺南市政府合作舉辦公民科技試驗場域示範，與2支公民社群團隊合作，展示公民科技試驗成果，「公托申請數位流程優化」、「家庭訪視現場作業數位化」，這2個服務因具有通用性，其他縣市政府也有使用需求，數位部已計畫未來將2個服務納入公共程式平臺。</p> <p>數位部透過和臺中市、臺南市合作公共程式試驗場域，找出哪些是縣市政府都有需要、可共用的服務。以家庭訪視現場作業數位化為例，未來如果其他縣市政府發放老人淨貼，需要先作家庭訪視現場調查，可以從公共程式平臺取得程式碼，再依實際的需求客製化。</p> <p>去年行政院已採納數位部提案，將數位公共基礎建設納入政府的公共建設，並編列4年超過7億元的經費，數位部計畫以一部分的經費用於建立公共程式運作機制，今年會先盤查各機關已建置使用的系統，整理出哪些是各個機關可以共用，後續以這些系統為目標上架至公共程式平臺。</p> <p>莊盈志指出，3至4月間推出公共程式平臺測試版，將公布更完整的運作機制，初期會先將數位部採用Web 3架構的官網上架至公共程式平臺，另外，數位部去年開發的碳盤查工具，也會在公共程式平臺測試版時上架，數位部也考慮將數位部自己的Open Data平臺，上架至公程式程平臺開放使用。</p> <p>從今年開始，數位部對外招標時也嘗試向資服業者說明，標案著作權採用Public Code，如果甲乙雙方都同意採用Public Code，未來開發的程式可上架至公共程式平臺，前面提到的碳盤查工具，就是在招標時和資服業者達成共識。</p> <p>莊盈志表示，未來程式上架至公共程式平臺前需先經過一套檢核機制來把關，確保上架的程式品質，不會以快速擴充程式數量為目，「上架的公共程式只有對大家有幫助，愈多人使用它，發現有問題時才能回饋、更正它」。未來公共程式平臺規畫採用的授權方式為CC0，即放棄著作權，等於公共財，外界可以運用在自己的商業模式，並且沒有強制回饋，「我們希望將政府做出來的程式碼效益極大化」，他說。</p> <p> </p> </div></div></div>
2024/3/13 15:12作者蘇文彬https://www.ithome.com.tw/news/161725
微軟3月Patch Tuesday修補60個安全漏洞，僅有兩個被列為重大等級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周二（3/12）公布的<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Mar" target="_blank">3月Patch Tuesday</a>修補了60個安全漏洞，微軟本月並未修補零時差漏洞，也僅修補了兩個重大（Critical）等級的漏洞，它們皆涉及Windows Hyper-V，漏洞編號為CVE-2024-21408與CVE-2024-21407。</p> <p>Windows Hyper-V主要提供硬體虛擬化功能，允許使用者建立虛擬硬碟、虛擬交換器與其它虛擬設備，可於Windows上將多個作業系統以虛擬機器執行。</p> <p>其中的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21408" target="_blank">CVE-2024-21408</a>為一服務阻斷漏洞，代表駭客可藉由該漏洞透過虛擬機器來攻擊主機，儘管被列為重大等級漏洞，但它的CVSS風險評分只有5.5，而且微軟認為它不太可能被開採。不過，微軟並未公布該漏洞的細節或是可能的攻擊流程。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21408" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-microsoft-CVE-2024-21408.png" style="width: 530px;" /></a></p> <p>至於<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21407" target="_blank">CVE-2024-21407</a>則為一遠端執行漏洞，CVSS風險評分為8.1，允許於客座虛擬機器上經過身分驗證的駭客，向虛擬機器上的硬體資源傳送特定檔案的操作請求，進而在主機伺服器上執行遠端程式。成功的攻擊還需要先收集特定環境的資訊，也必須採取其它行動來準備目標環境。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21407" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-microsoft-CVE-2024-21407.png" style="width: 590px;" /></a></p> <p>另一個被外界關注的漏洞則是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21400" target="_blank">CVE-2024-21400</a>，這是個位於Azure Kubernetes Service（AKS）機密容器的權限擴張漏洞，該漏洞允許駭客存取不受信任的AKS節點與AKS機密容器，以接管機密客座與容器，且發動相關攻擊並不需要通過身分驗證。該漏洞的CVSS風險評分高達9，但僅被微軟列為重要（Important）等級。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21400" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-microsoft-CVE-2024-21400.png" style="width: 560px;" /></a></p> <p>本月CVSS風險評分最高、達到9.8的，則是位於Azure開放管理基礎設施（Open Management Infrastructure，OMI）的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21334" target="_blank">CVE-2024-21334</a>，OMI是個通用資訊模型的開源專案，該漏洞允許未經身分驗證的駭客自遠端存取OMI實例並傳送特定請求，以觸發一個釋放後使用漏洞，進而自遠端執行程式。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21334" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-microsoft-CVE-2024-21334.png" style="width: 525px;" /></a></p> <p>微軟建議執行受影響SCOM版本的用戶，應升級至OMI 1.8.1-0，無法更新或升級的用戶，且其Linux機器不需連至外部資源，則可選擇關閉OMI的傳入連接埠。</p> </div></div></div>
2024/3/13 13:29作者陳曉莉https://www.ithome.com.tw/news/161747
微軟GPT Builder工具釋出給Copilot Pro用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/mikeschechter/status/1766327508084117759" target="_blank">微軟本周宣布</a>已對付費的Copilot Pro方案用戶，釋出Copilot GPT Builder，讓用戶得以打造Copilot GPT的客製化版本。</p> <p>Copilot GPT Builder本質上類似OpenAI去年底推出的GPT Builder開發工具，可讓中小企業或個人用戶以文字輸入指令，打造具有專門用途，像是具備專業領域知識、實作特定流程，或單純重覆利用一組AI提示的AI聊天機器人，像是購物網站能建一個根據用餐計畫建議購物清單的Copilot GPT。</p> <p>Copilot Pro則是今年1月<a href="https://www.ithome.com.tw/news/160850" target="_blank">微軟公布給個人用戶</a>的Copilot方案，<a href="https://news.microsoft.com/zh-tw/copilot-pro/" target="_blank">費用</a>為每人每月20美元。Copilot Pro底層模型也預計將提升到GPT-4 Turbo。</p> <p><a href="https://support.microsoft.com/en-us/topic/create-or-edit-a-copilot-gpt-with-microsoft-copilot-gpt-builder-cbff42b9-25a9-41b7-95ec-93462d04904b" target="_blank">微軟也提供</a>Copilot Pro用戶使用GPT Builder的指示。用戶需安裝Edge或Chrome瀏覽器，連到copilot.microsoft.com或chat.bing.com網站，再登入微軟帳號。</p> <p class="rtecenter"><a href="https://twitter.com/JordiRib1/status/1767212313499619812" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-Copilot%20pro-gpt-(2)(1).jpg" style="width: 600px;" /></a></p> <p>之後於Copilot GPT下方的Chats頁點選「所有Copilot GPT」，就能開啟Copilot GPT Builder頁。用戶選擇「Create a new Copilot GPT」->「Create」頁，就能在其Message列輸入想要的文字指令，並在「Configure」頁中的「Knowledge」上傳專業領域知識。完成後，用戶可以選擇只對自己或所有接到連結的人發布客製化Copilot。</p> </div></div></div>
2024/3/13 12:34作者林妍溱https://www.ithome.com.tw/news/161744
蘋果將讓歐盟用戶從開發商網站下載iOS App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應歐盟《數位市場法》（Digital Markets Act，DMA）上路，<a href="https://developer.apple.com/news/?id=8c1m8hqt" target="_blank">蘋果昨日再公布開放措施</a>，讓歐盟用戶可以從開發商網站直接下載iOS App，跳過蘋果App Store軟體市集。但是蘋果對開發商設下相當複雜的限制。</p> <p>這是蘋果為因應DMA的最新遵循作法。<a href="https://www.ithome.com.tw/news/161035" target="_blank">蘋果今年1月允許</a>歐盟用戶從第三方軟體市集下載iOS App，程式開發商也可以在App中告知促銷、折扣訊息，並提供連結將用戶導向外部網站支付。</p> <p>最新措施則放鬆之前的規定，以及本次宣布的網頁下載措施。其一，蘋果允許程式市集開發商只提供自家App給用戶。之前蘋果要求程式市集必須支付給其他家開發商佣金。其二，在將用戶導向外部網站的連結中，現在蘋果允許開發商自行設計促銷、折扣和其他好康，不再強迫使用蘋果之前公布的設計。</p> <p>第三項為網頁發布（Web Distribution），預定透過今年春天的最新iOS更新部署，允許經過授權的開發商直接從其持有的網站對歐盟用戶提供iOS App下載。蘋果將提供API存取，便於App從網頁下載、和系統功能整合，以及App的備份和回復等。</p> <p>不過透過網頁發布的App必須要能像一般iOS一樣，滿足蘋果公證（notarization）要求以確保平臺安全與完整，而且只能從開發商事先在App Store Connect註冊的網域下載安裝。</p> <p>透過App Store Connect，開發商才能代管自有網站，對用戶發布已經過簽章的二進位程式。但在此之前，使用者必須先在iPhone的「設定」區准許該家開發商安裝App。在安裝時，iOS會顯示系統頁顯示開發商提交給蘋果審核的資訊，像是App名稱、描述、螢幕擷圖、年齡分級等。</p> <p>而對於有興趣透過網頁發布App的開發商，<a href="https://developer.apple.com/support/web-distribution-eu/" target="_blank">蘋果也公布</a>了多項條件。開發商必須是在歐盟國家有設公司（或分公司）辦公室、註冊，且公司組織也須和Apple開發商帳號的實體一致。該公司也必須參加蘋果開發商方案連續兩年以上，其iOS App在歐盟地區前一年首年安裝量超過100萬次。開發商需滿足蘋果對App的安全、隱私、法遵等要求，例如在蘋果因App聯繫時提供回應，需公布資料蒐集政策、提供用戶隱私控制、以及遵守當地法律等。</p> <p>除了開發商的資格外，透過網頁下載的App開發商還需支付蘋果費用。一是蘋果開發者方案的會員費，二是<a href="https://www.ithome.com.tw/news/161035" target="_blank">1月宣布</a>的核心技術費用（Core Technology Fee）。一旦這些第三方App過去12個月安裝數超過100萬，每次超過就付支付蘋果0.5歐元。只有非營利機構、教育機構和政府單位得以免除這筆費用。</p> <p>不過<a href="https://www.pcmag.com/news/still-anticompetitive-critics-slam-apples-plan-to-open-ios-app-store-in" target="_blank">批評者1月間指</a>蘋果的新措施簡直是鑽法律漏洞。尤其是在第三方程式市集下載的App，還需支付給蘋果10%或17%的佣金和核心交易費，他們壓根還是設法打壓競爭。</p> </div></div></div>
2024/3/13 11:08作者林妍溱https://www.ithome.com.tw/news/161739
網頁瀏覽器大共和時代來臨？共用基準的瀏覽器效能測試工具Speedometer 3.0推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Apple、Google、微軟與Mozilla合作開發的網頁瀏覽器效能測試工具<a href="https://browserbench.org/announcements/speedometer3/">Speedometer 3.0釋出</a>，這個版本的重點在於其集結Blink、Gecko和WebKit三大瀏覽器引擎，共同提升網頁瀏覽體驗。Speedometer 3.0由整個網路產業協作開發，這對於主要瀏覽器基準是一大突破，再加上瀏覽器互通專案Interop的推行，瀏覽器破碎的情況有望獲得改善。</p> <p><a href="https://browserbench.org/Speedometer3.0/">Speedometer 3.0</a>的主要目標是盡可能反應現實世界的網頁情況，以便瀏覽器在提高基準分數時，能夠直接反映在使用者體驗上。</p> <p>由Apple所開發的Speedometer，原本是WebKit專案的一部分，其透過執行一系列的JavaScript和網頁功能來評估瀏覽器的效能，供開發者理解不同瀏覽器在處理網頁時的表現。而WebKit在2022年的時候，與Google和Mozilla展開合作，採用新的治理模式開發Speedometer 3.0基準測試，以共同提高用戶的網頁瀏覽效能。</p> <p>Speedometer 3.0涵蓋更廣泛且具代表性的用戶體驗測試，這些新測試模擬一些重要場景和用戶互動，是提供瀏覽器最佳化的重要參考。Speedometer 3.0加入了React Stockcharts、Chart.js、Perf Dashboard和Observable Plot測試以模擬渲染canvas和SVG圖表，還有CodeMirror測試程式碼編輯、所見即所得編輯TipTap，和針對閱讀新聞網站的Next.js和Nuxt.js測試。</p> <p>新版本還改進了TodoMVC測試，開發團隊根據HTTP Archive中的資料，更新程式碼適應當前最受歡迎的常見版本，包括Angular、Backbone、jQuery、Lit、Preact、React、React+Redux、Svelte與Vue，同時也針對ES5和ES6的普通JavaScript實作，還有Web Components版本。Speedometer 3.0所進行的測試較之前版本複雜，更符合當前網頁應用程式的規模和結構。</p> <p>Speedometer 3.0本身的測試程式也獲得改進，可以更全面地量測瀏覽器回應使用者操作時所執行的工作，像是繪圖（Painting）和非同步任務。相較於Speedometer 2.0，Speedometer 3.0提供了一個更加全面的效能評估，因為過去的方法遺漏了瀏覽器引擎更新網頁渲染所需要做的一些工作。</p> <p>Speedometer 3.0透過在requestAnimationFrame回呼中，量測測試腳本來計算同步時間，並在第二個requestAnimationFrame安排0秒計時器，觸發計算非同步時間，以確保非同步的時間包含測試本身的計時器工作，以及瀏覽器引擎頁面渲染工作<a href="https://webkit.org/blog/15131/speedometer-3-0-the-best-way-yet-to-measure-browser-performance/">（下圖）</a>。這些改變大幅提高基準測試的準確性，官方提到，隨著瀏覽器引擎最佳化過去所遺漏的部分，這些改進將會轉換成用戶體驗的實際提升。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/test-harness-3.png" style="width: 580px;" /></p> <p>由於開發工具的改進，瀏覽器工程師現在可以更好理解結果，並且進行後續分析和自定義測試，而且由於開發團隊重新設計Speedometer 3.0的測試程式架構，因此在編寫和維護複雜測試案例也變得更加容易。由於Apple在推出Speedometer 2.0的時候，諸如原生Promises、async/await、類別和模組等網頁功能都還未廣泛可用，因此開發團隊也趁著Speedometer 3.0，將測試程式的程式碼進行技術升級。</p> <p>Speedometer 3.0是一個網路平臺標準的里程碑，其提供了一個新標準，來衡量網路瀏覽器的效能，並成為瀏覽器開發者最佳化引擎的目標。由於Speedometer是反映真實世界網路使用的情況，而這個基準測試也會隨著時間變化，開發團隊承諾會持續更新Speedometer，確保Speedometer能夠維持對網路開發實作的相關性和準確性。</p> </div></div></div>
2024/3/13 08:50作者李建興https://www.ithome.com.tw/news/161724
Android 14強化螢幕分享功能，允許僅分享單一應用程式畫面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在Android 14 QPR2支援<a href="https://android-developers.googleblog.com/2024/03/enhanced-screen-sharing-capabilities-in-android-14.html">新的螢幕分享功能</a>，允許用戶在分享或是錄製螢幕時，限制僅分享或是錄製單一應用程式視窗，也就是說，螢幕分享或是投影時用戶不再需要分享整個螢幕，可以僅分享特定應用程式的內容，避免意外暴露私人訊息和通知。</p> <p>這項新的螢幕分享功能建立在Android既有的MediaProjection API之上，該API是Google在Android 5.0（Lollipop）加入，供開發者擷取裝置螢幕的內容成為媒體串流，以進行播放、錄製或是投放到電視等裝置。</p> <p>MediaProjection API在Android 14新增應用程式分享功能，無論視窗模式為何，都可僅分享單一應用程式的視窗，而不會一次分享整個裝置螢幕，螢幕分享會排除狀態列、導覽列、通知和其他系統使用者介面元素，即便是全螢幕擷取應用程式的畫面，也只會分享所選應用程式的內容。Google提到，這項功能提高了螢幕分享的安全性，能夠在像是進行會議時安全地分享螢幕畫面。</p> <p>如果開發者的應用程式原本已經使用MediaProjection API進行螢幕錄製和分享，則該應用程式已經能夠支援單獨應用的螢幕分享，不需要進行程式碼變更，但是開發者仍需要測試應用程式，確保螢幕分享功能在新的用戶流程，能夠按預期工作。</p> <p>單一應用程式螢幕分享將會改變用戶流程，過去用戶在授權對話框之後，會停留在主要應用程式中，但在新的應用程式螢幕分享功能中，用戶畫面不會跳回主要應用程式，而是啟動要分享的目標應用，當目標應用已經在前臺運作，則會成為頂端的焦點應用，這代表開發者可能會需要處理用戶在分享過程中，往返應用程式的流程。</p> <p>Android 14還加入兩個回呼方法，讓開發者自訂分享體驗，除了提供擷取區域當前的寬度和高度資訊，讓開發者能夠精確地調整串流傳輸內容的大小，確保分享內容的品質，另外，當擷取的區域被其他應用遮擋，開發者也可以暫停分享或是錄製，以節省系統資源和保護隱私。</p> </div></div></div>
2024/3/13 08:54作者李建興https://www.ithome.com.tw/news/161736
Teams Toolkit新增AI Bot樣板、Teams Bot測試工具，簡化機器人開發工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟針對.NET開發人員釋出<a href="https://devblogs.microsoft.com/dotnet/teams-toolkit-for-visual-studio-release-updates/">Teams Toolkit for Visual Studio 2022 17.9版本</a>，這個新版本加入了AI Bot樣板、Teams Bot測試工具、調適型卡片預覽器（Adaptive Card Previewer）以及在Teams應用程式中增加對CodeLens的支援等，提升開發者在建置、除錯和發布Teams應用程式的體驗。</p> <p>Teams Toolkit for Visual Studio是微軟針對Teams應用程式開發，所提供的擴充套件，讓.NET開發人員可以更簡單地創建Teams應用程式。由於Teams Toolkit被整合到Visual Studio開發環境，因此開發者可以在熟悉的環境中，運用各種開發功能和資源，強化Teams應用程式開發。</p> <p>新的Teams AI Bot樣板，可協助開發人員使用OpenAI模型服務，來建立智慧聊天機器人，微軟提到，該範本利用Teams AI函式庫以及AI元件，可以簡化使用OpenAI API金鑰或是Azure OpenAI服務，創建機器人的過程。</p> <p>在之前的版本，開發者需要啟動Teams網頁客戶端，並使用自定義權限才能預覽和除錯Teams Bot，而新版本提供新的測試工具，使開發者可以於模擬的Teams聊天環境裡，除錯、預覽和測試Teams Bot應用，開發者不再需要登入Teams的網頁客戶端。</p> <p>Teams Toolkit現在還整合了調適型卡片預覽器，協助開發者以更直觀的方式，預覽和編輯調適型卡片。調適型卡片是一種獨立於平臺的JSON格式卡片，使得開發者能夠以統一且靈活地方式，創建用戶介面的內容，這種卡片可以在Teams、Outlook和Windows通知間提供一致的互動體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-Teams%20Toolkit-Adaptive%20Card%20Previewer.png" style="width: 600px;" /></p> <p>而調適型卡片預覽器供開發者在編輯器調整JSON檔案時，預覽器會即時呈現卡片內容更新，開發者不再需要切換到其他工具，而且只要選擇Teams相同的渲染堆疊，就可以獲得與實際卡片一致的結果，開發者還可以在預覽器中，即時觀看卡片在不同主題下呈現的樣子。</p> <p>另外，在這次更新，Teams Toolkit在teamsapp.yml檔案的生命周期操作和配置，提供CodeLens支援，也就是說，當開發者使用Visual Studio開啟teamsapp.yml檔案時，可以在程式碼中看到生命周期步驟狀態，了解可執行的動作並方便地執行相對應的行動。</p> <p>微軟也在Teams Toolkit添加了一些預覽新功能，像是Microsoft Copilot樣板、AI Assistants Bot樣板等。開發者現在可以嘗試使用Custom Search Results這個新樣板創建應用程式，使得自定義搜尋結果可以直接顯示在Teams聊天、Outlook電子郵件和Copilot中，也就是說，用戶在這些平臺進行搜尋時，可以在搜尋結果看到來自開發者應用程式的資料。</p> <p>Teams Toolkit新加入的AI Assistants Bot樣版，則可以簡化創建人工智慧助理機器人的工作。開發者選擇AI Assistants Bot樣板，Visual Studio便會創建一個新專案，而該專案已經配置好Teams Bot與<a href="https://platform.openai.com/docs/assistants/overview">OpenAI Assistants API</a>的連接，這代表開發者可以專注編寫機器人對話邏輯和用戶互動程式碼，而不需要擔心底層API的連接，使開發者可以更簡單地建立生成式人工智慧對話體驗。</p> </div></div></div>
2024/3/13 08:58作者李建興https://www.ithome.com.tw/news/161737
【資安日報】3月12日，勒索軟體駭客組織「變臉」藉由TeamCity伺服器入侵受害組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週JetBrains發布CI/CD開發工具TeamCity 2023.11.4版，當時修補2個高風險層級的身分驗證漏洞，並衍生該軟體業者與通報漏洞的研究人員對於漏洞公開出現意見不一致的狀況。如今，這些漏洞已被用於實際攻擊行動──資安業者GuidePoint在惡名昭彰的勒索軟體駭客「變臉」近期攻擊行動裡，發現駭客運用上述漏洞入侵目標組織，部署後門程式以進行後續攻擊行動。由於這項開發工具相當普及，且針對這套系統的攻擊行動這一年來越來越常出現，IT人員應儘速套用相關緩解措施。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.guidepointsecurity.com/blog/bianlian-gos-for-powershell-after-teamcity-exploitation/"><strong style="font-size: 22px;">「變臉」勒索軟體利用CI/CD開發工具TeamCity漏洞從事攻擊行動</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_Second_Layer_Ob.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_Second_Layer_Ob.png" style="width: 300px; float: right;" /></a>3月4日<a href="https://www.ithome.com.tw/news/161631">JetBrains修補旗下CI/CD開發工具TeamCity的身分驗證繞過漏洞</a>CVE-2024-27198、CVE-2024-27199（CVSS風險評分為9.8、7.3），隔日Shadowserver基金會發現有嘗試利用漏洞的跡象，如今傳出有駭客組織將其用於攻擊行動。</p> <p>資安業者GuidePoint揭露勒索軟體駭客組織「變臉（BianLian）」近期的攻擊行動，指出駭客利用上述TeamCity漏洞得到受害組織網路環境的初始存取權限，然後在伺服器建立新的使用者帳號，並下達惡意命令，以便進行橫向移動及後續攻擊。</p> <p>值得留意的是，攻擊者於TeamCity伺服器嘗試部署數個Go語言打造的後門程式DLL檔案，但都被防毒軟體的特徵碼識別為有害並攔截，於是，對方又使用以PowerShell打造的後門程式，再度出手。</p> <p><a href="https://www.straitstimes.com/world/europe/french-state-hit-by-cyberattacks-of-unprecedented-intensity-media-reports"><strong style="font-size: 22px;">法國政府遭遇前所未有的網路攻擊，駭客組織Anonymous Sudan聲稱是他們所為</strong></a></p> <p></p> <p>3月11日法國總理艾塔爾（Gabriel Attal）辦公室證實，10日晚間有多個政府部門遭遇「前所未有強度」的網路攻擊，並指出11日下午攻擊造成的影響已經減弱，大部分受害網站已恢復服務。</p> <p>而對於攻擊者的身分，Anonymous Sudan等多個駭客組織在Telegram頻道宣稱，他們參與了這起攻擊行動，對法國政府的基礎設施進行分散式阻斷服務（DDoS）攻擊，並造成相當廣泛的損害。</p> <p>值得留意的是，雖然Anonymous Sudan曾表明，對俄羅斯不利的國家及組織將會是他們下手的目標，但有資安專家認為，目前無法確定這起資安事故與俄羅斯有關。</p> <p><a href="https://darktrace.com/blog/legitimate-services-malicious-intentions-getting-the-drop-on-phishing-attacks-abusing-dropbox"><strong style="font-size: 22px;">雲端檔案共享服務Dropbox遭到濫用，駭客將其用於網釣攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/65e8f861abe07a7998dde93b_Screenshot 2024-03-06 at 3_11_26 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/65e8f861abe07a7998dde93b_Screenshot%202024-03-06%20at%203_11_26%20PM.png" style="width: 300px; float: right;" /></a>威脅情報業者Darktrace指出，他們偵測到濫用雲端檔案共享服務Dropbox的網路釣魚攻擊，研究人員先是在1月25日發現由<a href="mailto:no-reply@dropbox">no-reply@dropbox</a>[.]com寄送的可疑電子郵件，目標是該公司SaaS平臺的16名內部使用者，這些電子郵件內含網路連結，一旦收信人點選，就會導向存放在Dropbox的PDF檔案，而該PDF文件含有另一個連結，將會把收信人帶往名為mmv-securitytop的網域，並要求在冒牌的微軟365登入網頁輸入帳密資料。</p> <p>研究人員指出，雖然他們的電子郵件安全系統過濾了這封信件，但攻擊者後續又在29日再次寄信，要求使用者開啟前一封信的PDF檔案。他們循線進行調查，發現攻擊者透過ExpressVPN、HideMyAss VPN等服務埋藏行蹤，並透過有效的Token繞過雙因素驗證（MFA）。</p> <p><a href="https://research.checkpoint.com/2024/magnet-goblin-targets-publicly-facing-servers-using-1-day-vulnerabilities/"><strong style="font-size: 22px;">駭客組織Magnet Goblin鎖定甫公布的已知漏洞，散布惡意程式</strong></a></p> <p></p> <p>資安業者Check Point提出警告，他們發現以經濟利益為動機的駭客組織Magnet Goblin，專門利用甫被公布的已知漏洞，試圖在企業尚未修補的空窗期，入侵可透過網際網路存取的伺服器，從而在Windows與Linux電腦上植入自行開發的惡意程式，這些惡意程式包含了NerbianRAT、MiniNerbian，以及Warpwire JavaScript stealer。</p> <p>研究人員指出，這些駭客鎖定的漏洞很廣泛，包含SSL VPN系統Ivanti Connect Secure漏洞CVE-2023-46805、CVE-2024-21887、CVE-2024-21888、CVE-2024-21893，以及電子商務網站Magento漏洞CVE-2022-24086、資料圖像化分析系統Qlik Sense漏洞CVE-2023-41265、CVE-2023-41266、CVE-2023-48365。此外，他們發現駭客也疑似針對訊息導向中介軟體ActiveMQ、遠端桌面連線軟體ScreenConnect，出現攻擊的跡象。</p> <p><a href="https://blog.sucuri.net/2024/03/new-malware-campaign-found-exploiting-stored-xss-in-popup-builder-4-2-3.html"><strong style="font-size: 22px;">WordPress外掛程式Popup Builder已知漏洞遭到利用，對3,300個網站植入惡意程式</strong></a></p> <p></p> <p>今年1月資安業者Sucuri發現鎖定WordPress網站的攻擊行動Balada Injector，當時駭客針對外掛程式Popup Builder的已知漏洞CVE-2023-6000（CVSS風險評分為6.1）而來，至少有6,700個網站受到影響。</p> <p>3月7日研究人員提出警告，針對上述漏洞的攻擊行動，最近3週出現再度升溫的現象，他們在1,170個網站偵測到Balada Injector，他們透過PublicWWW網站進行掃描，結果發現超過3,300個網站受害。</p> <p> </p> <div> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202403110084.aspx"><strong style="font-size: 22px;">為協助臺灣產業加入國際衛星通訊領域供應鏈，工研院聯手美國在臺協會舉辦資安研討會</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/4CA9D567-B0D2-4590-B975-91BBEA00A7A2_圖一_20240311_30.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/4CA9D567-B0D2-4590-B975-91BBEA00A7A2_%E5%9C%96%E4%B8%80_20240311_30.jpg" style="width: 300px; float: right;" /></a>3月8日美國在台協會（AIT）、太空中心（TASA）、工研院（ITRI）、台灣太空產業發展協會（TSIDA）、台灣低軌衛星產業聯誼會（TLEOSIA）聯手，舉辦「台美衛星資訊安全國際研討會」，聚焦國際衛星通訊供應鏈資安趨勢，吸引進百位產官學研代表與會。</p> <p>工研院指出，本次研討會的主要目的在於，幫助國內業者了解最新衛星通訊資安知識與需求，促進資訊安全系統整合，增加國際合作機會，進而讓臺灣廠商有更多機會加入國際乾淨供應鏈，提升我國對太空安全挑戰的應對能力。</p> <p>資料來源</p> <p>1. <a href="https://www.itri.org.tw/ListStyle.aspx?DisplayStyle=01_content&SiteID=1&MmmID=1036276263153520257&MGID=113031110401892043">https://www.itri.org.tw/ListStyle.aspx?DisplayStyle=01_content&SiteID=1&MmmID=1036276263153520257&MGID=113031110401892043</a><br /> 2. <a href="https://tsida.tw/news_detail_207.html">https://tsida.tw/news_detail_207.html</a></p> <p><a href="https://www.broadcom.com/blog/broadcom-brings-together-two-proven-portfolios-to-deliver-complete-hybrid-cloud-cybersecurity"><strong style="font-size: 22px;">博通打算將賽門鐵克、Carbon Black整併，成立新的企業資安業務部門</strong></a></p> <p></p> <p>去年博通（Broadcom）完成對VMware的併購，並打算出售旗下的資安公司Carbon Black，今年2月底傳出決策大轉彎，因為他們暫停賣掉該公司的計畫，但最近又有新的進展。</p> <p>3月7日博通宣布，他們決定將Carbon Black與旗下另一家資安業者賽門鐵克合併，組成博通新的企業資安部門，將對這兩個品牌進行重大投資，並表明他們將投資研發，改善、延長客戶產品的使用壽命。在這次公布的訊息當中，博通也特別提及人才的部分，預告他們將在工程研發層面進行大量投資，並指出這兩家資安公司都在印度有工程研發據點，強調他們打算挹注更多資源，沒有打算縮減員工人數。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161658"><strong style="font-size: 22px;">擔憂危害國家安全，美國眾議院要求抖音脫離母公司字節跳動</strong></a></p> <p></p> <p>2020年8月美國前總統川普以國安為由發布行政命令，表明除非美國公司接手抖音（TikTok），否則將封鎖該短影音平臺進入美國市場，最後不了了之，現任總統拜登也在2021年撤銷禁令，但最近這項議題重新受到眾議院關注。</p> <p>3月5日中國共產黨戰略競爭特別委員會（Select Committee on the Chinese Communist Party）在美國眾議院提出<a href="https://selectcommitteeontheccp.house.gov/media/press-releases/gallagher-bipartisan-coalition-introduce-legislation-protect-americans-0">《保護美國人免受外國對手應用程式侵害法案（Protecting Americans from Foreign Adversary Controlled Applications Act）》</a>，其中提及抖音等由字節跳動（ByteDance）經營的應用程式，由於這類應用程式可能會受到中國政府控制，而構成國家安全風險，除非這些應用程式透過撤資的方式與中國企業脫鉤，否則他們將禁止這類應用程式在美國提供服務。值得留意的是，上述法案由民主黨與共和黨兩黨議員共同提出，不再只是特定黨派的意見。</p> </div> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://posts.specterops.io/misconfiguration-manager-overlooked-and-overprivileged-70983b8f350d"><span style="font-size: 20px;">研究人員針對微軟組態管理系統SCCM不當配置造成的威脅提出警告，並提供檢測工具</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-leather-wallet-app-on-apple-app-store-is-a-crypto-drainer/"><strong><span style="font-size: 20px;">蘋果應用程式市集App Store出現冒牌的Leather加密貨幣錢包</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/okta-says-data-leaked-on-hacking-forum-not-from-its-systems/"><span style="font-size: 20px;">駭客聲稱握有Okta去年資安事故外流客戶資料，遭到該公司否認</span></a></strong></p> <p></p> <p><a href="https://tuta.com/blog/post-quantum-cryptography"><strong><span style="font-size: 20px;">加密電子郵件服務Tuta Mail採用量子加密協議保護電子郵件</span></strong></a></p> <p><a href="https://sites.google.com/view/compromptmized"><strong><span style="font-size: 20px;">研究人員打造能針對生成式AI發動攻擊的蠕蟲程式</span></strong></a><a href="https://sites.google.com/view/compromptmized"><strong><span style="font-size: 20px;">ComPromptMized</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161709"><strong>【3月11日】為隱匿攻擊流量，駭客濫用虛擬化平臺QEMU設置網路通訊隧道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161668"><strong>【3月8日】Linux惡意軟體攻擊鎖定DevOps常用的4種平臺</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161657"><strong>【3月7日】Meta旗下社群網站服務出現中斷，有3個駭客組織聲稱是他們所為</strong></a></p> </div></div></div>
2024/3/12 18:12作者周峻佑https://www.ithome.com.tw/news/161727
Covariant發表鎖定實體機器人應用的大型語言模型RFM-1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發可用來教導機器人新技能的AI軟體公司Covariant於本周<a href="https://covariant.ai/insights/introducing-rfm-1-giving-robots-human-like-reasoning-capabilities/" target="_blank">發表了RFM-1</a>，該產品的全名為機器人基礎模型（Robotics Foundation Model，RFM），為一款針對機器人的大型語言模型，可供任何人在幾分鐘內快速規畫新的機器人行為。</p> <p>Covariant宣稱自2017年便開始建置機器人資料集，蒐集機器人於實體世界的行為以訓練模型，根據該公司的說明，這是因為現有的機器人資料集包含於實驗室環境中動作緩慢的機器人，但現在需要的卻是於苛刻環境中的機器人互動能力，也需要藉由機器人在不斷變化的倉庫環境中持續運作的狀況，來發現於實驗室中很難遇見的長尾事件。</p> <p>至於RFM-1則是利用Covariant所建置的機器人資料集，再加上大量的網路資料，包括文字、圖像、影片、機器人動作，以及各種感測資料進行訓練，是個具備80億個參數的多模式模型，得以透過廣泛的輸入與輸出來支援不同的應用。</p> <p>例如它可以透過圖像至圖像的學習來進行場景分析，如分割或辨識；也能結合文字指令與圖像觀察，以產生所需的抓取動作或運動順序；也可將場景圖像與目標抓取圖像配對，以影片格式來預測結果，或是模擬沿途數位感測器上的數字。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0312-Covariant-RFM-1-(2).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Covariant</span></span></p> <p>Covariant指出，RFM-1的發展目標是處理真實世界機器人的複雜動力學及物理約束，其成功與失敗之間的界限很狹窄，對精度的要求很嚴格，就算只有幾毫米的誤差也可能造成操作中止。</p> <p>此外，過去數十年都只有經驗豐富的機器人工程師才能替機器人撰寫新功能，但現在任何人都能夠透過RFM-1、以文字替機器人設計新功能，所需時間也從數周或數月縮短成只要幾分鐘。不管是工程師或是一般的機器人操作人員都可透過簡單的英文來指導機器人執行特定的揀選動作，而不必重新撰寫程式，降低了客製化AI行為的障礙，以滿足不同客戶的動態業務需求與極端案例場景的長尾需求。</p> <p>RFM-1定位為通用機器人的基礎模型，它亦允許機器人在遇到困難時向人類求助，預計在未來幾個月推出，並期望可從客戶的實際部署中收集各種資料來加速學習。</p> </div></div></div>
2024/3/12 15:53作者陳曉莉https://www.ithome.com.tw/news/161723
Telegram預計明年就會獲利，考慮公開發行股票
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram創辦人Pavel Durov近日接受英國《金融時報》（Financial Times，FT）<a href="https://www.ft.com/content/8d6ceb0d-4cdb-4165-bdfa-4b95b3e07b2a" target="_blank">的專訪</a>，指出該平臺的用戶數已突破9億人，並希望在明年獲利，也考慮首次公開發行股票（IPO）。</p> <p>Durov出生於俄羅斯，曾在2006年於俄羅斯建立社交網站（VKontakte，VK），曾被譽為俄羅斯的祖克柏（Mark Zuckerberg ，臉書創辦人），他拒絕交出VK的烏克蘭用戶資料予俄羅斯政府，也因出售股份失去對VK的控制權，在2013年創立了推崇言論自由的Telegram，並離開了俄羅斯。</p> <p>主張言論自由的Telegram提供跨平臺的加密傳訊服務，它支援各種桌面平臺、行動平臺與瀏覽器，用戶可透過文字、語音及影像交流，它既是民主運動中重要的通訊平臺，也是恐怖份子或犯罪組織交流的工具。</p> <p>Durov向《金融時報》透露，自兩年前<a href="https://www.ithome.com.tw/news/151522" target="_blank">推出廣告及訂閱服務</a>以來，會員數量已從7億成長至超過9億，也創造了數億美元的收入，就算不是今年，也希望可於明年獲利。</p> <p>此外，Durov也坦承想將Telegram變現，原因是想保持該平臺的獨立性，IPO是實現Telegram民主化的一種手段。</p> <p>《金融時報》亦引述消息來源報導，Telegram可能會選在美國上市，不過Durov拒絕評論未來可能的上市時間或地點，僅說已研究了許多選擇。</p> </div></div></div>
2024/3/12 12:50作者陳曉莉https://www.ithome.com.tw/news/161722
馬斯克AI公司將開源Grok聊天機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在控告OpenAI追求商業利益後，科技大亨馬斯克（Elon Musk）<a href="https://twitter.com/elonmusk/status/1767108624038449405" target="_blank">宣布</a>旗下AI公司xAI將在本周開源Grok聊天機器人。</p> <p>Grok聊天機器人是馬斯克去年<a href="https://www.ithome.com.tw/news/159651" target="_blank">公布</a>，號稱比現有聊天機器人（chatbot）更有幽默感。規劃中，Grok會以付費服務提供給X Premium Plus訂閱戶，以內建在X App及獨立App二種形式出現。</p> <p>在此之前，Grok幾乎沒有什麼消息更新。倒是馬斯克本人上周<a href="https://www.ithome.com.tw/news/161593" target="_blank">控告</a>開發ChatGPT，也曾是自己共同創辦的OpenAI，指稱他們違背創立時的初衷，不惜發展可能危害人類的通用人工智慧（Artificial General Intelligence，AGI）換取獲利。他也批評OpenAI未將GPT模型開源。</p> <p>不過OpenAI其他共同創辦人，包括技術長Greg Brockman、Ilya Sutskever、John Schulman、Wojciech Zaremba及執行長Sam Altman隨後<a href="https://openai.com/blog/openai-elon-musk" target="_blank">反擊</a>馬斯克當初希望將AI併入特斯拉，且想要全權掌控OpenAI，他才是想要從中取利者。他們並指出，該公司以OpenAI以AI實際協助推動環境或文化保存，馬斯克當時也認同，創造人類福祉不等於開源。</p> <p>馬斯克的Grok可能很快就能讓大眾一睹成果。但Grok能獲得多少開發者目光有待觀察。在這幾個月之前，已有多個號稱能比美甚至擊敗GPT 4的AI模型<a href="https://www.ithome.com.tw/news/161705" target="_blank">問世</a>，包括Google Gemini 1.5、Anthropic Claud 3 Opus、法國新創公司的Mistral Large以及Inflection 2.5。</p> </div></div></div>
2024/3/12 10:56作者林妍溱https://www.ithome.com.tw/news/161716
微軟公布允許歐盟地區Windows用戶移除Bing、Edge、OneDrive等多項遵循DMA措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應歐盟《數位市場法》（Digital Markets Act，DMA）上路，微軟上周<a href="https://blogs.microsoft.com/eupolicy/2024/03/07/microsoft-dma-compliance-windows-linkedin/" target="_blank">公布</a>在Windows、LinkedIn上已經實作完成的DMA遵循措施，包括可移除Bing、Edge或OneDrive，或預設第三方搜尋引擎等。</p> <p>在DMA下，微軟的Windows及LinkedIn被指定為需要遵循的線上平臺。歐盟給予平臺軟體業者的6個月寬限期在2024年3月截止，微軟因而發表《DMA遵循報告》在新設立的<a href="https://www.microsoft.com/en-us/legal/compliance/dmacompliance" target="_blank">DMA遵循計畫網站</a>上公布。</p> <p>在Windows方面，微軟因應DMA的新措施包括，允許歐洲經濟區（European Economic Area，EEA）Windows用戶移除Edge瀏覽器及Bing搜尋引擎，雖然歐盟並未將Edge及Bing列為強制遵循的平臺。微軟也允許Windows搜尋列預設第三方瀏覽器，也提供開發人員在Windows Widget介面中建立第三方News Feed的指示說明。此外，微軟也不再預設將Windows用戶自動登入微軟產品如Edge、Bing或「開始」功能鍵中的服務，像是新聞或氣象。這些措施是透過3月釋出的<a href="https://www.windowscentral.com/software-apps/windows-11/microsofts-latest-windows-11-feature-drop-is-here-and-youll-never-guess-whats-new" target="_blank">Windows 11 22H2及23H2更新</a>提供給用戶。</p> <p><a href="https://www.neowin.net/news/its-official-microsoft-quietly-allows-windows-11-users-to-uninstall-onedrive/" target="_blank">《Neowin》</a>還發現，微軟近日悄悄<a href="https://support.microsoft.com/en-us/windows/turn-off-onedrive-in-windows-afe5d123-523d-f280-283b-5b2a5c1aa788" target="_blank">公布資訊</a>告知Windows 10用戶如何關閉或移除OneDrive。</p> <p>此外，針對Windows上的資料蒐集，微軟也提供用戶控制，讓Windows蒐集到的非微軟App資料不會用於競爭用途，並設計新的用戶同意對話框，在微軟欲合併Windows資料及其他微軟產品資料時，需經過用戶同意。</p> <p>微軟也針對LinkedIn實作DMA遵循措施。首先是允許歐盟的LinkedIn用戶選擇是否和其他LinkedIn服務如Jobs、廣告行銷方案（Marketing Solutions）和學習（Learning）連結。選擇不連結者還是能使用LinkedIn核心服務，只是較缺少個人化資訊。微軟也提供新API讓成員及其第三方App能持續存取LinkedIn上的個人資訊，也允許LinkedIn Page管理員以API將LinkedIn資訊更新給第三方App。而購買LinkedIn廣告行銷方案的企業用戶也能和其他廣告效果驗證商合作，而不是只能用微軟方案。</p> </div></div></div>
2024/3/12 10:14作者林妍溱https://www.ithome.com.tw/news/161715
Safari 17新加入的進階音訊指紋辨識保護已經被破解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在網上的第三方可透過音訊指紋辨識追蹤使用者，因此Apple在Safari 17添加了進階音訊指紋辨識保護功能，試圖對抗這項技術，但是<a href="https://fingerprint.com/blog/bypassing-safari-17-audio-fingerprinting-protection/">追蹤技術供應商Fingerprint表示</a>，Apple採取的應對措施並沒有完全發揮作用，他們仍可以進行降噪處理，對瀏覽器生成穩定且唯一的識別碼。</p> <p>音訊指紋辨識是一種追蹤技術，該技術透過生成和分析用戶裝置上所產生的聲音訊號，來區分不同的瀏覽器用戶。過程中瀏覽器不會真的播放聲音，僅透過瀏覽器的音訊處理API創建獨特的音訊樣本，經匯總樣本轉換成一個獨特的指紋，用以當作裝置的識別符號。</p> <p>由於每個裝置和瀏覽器生成音訊的方式略有不同，這些微小差異使得音訊指紋獨一無二，且生成的音訊識別碼非常穩定，即便用戶清除Cookie或是進入私密、無痕模式都不會改變，只不過該識別碼不是唯一，通常許多用戶會擁有相同的音訊識別碼。</p> <p>不過，只要將音訊指紋結合其他瀏覽器和裝置特徵，像是使用者代理（User Agent）、字體、擴充套件、時區語言，以及JavaScript和HTML5功能等相關資訊，就可以相當準確地描繪出用戶的獨特輪廓。</p> <p>Apple在Safari 17中增加了進階音訊指紋辨識保護，透過限制可用資訊和添加隨機雜訊，來降低指紋辨識的準確性。當用戶進入Safari 17私密模式，系統便會預設啟用進階音訊指紋辨識，並且同時保護音訊處理、Screen、Canvas API。</p> <p>音訊處理API所產生的音訊實際上是一組數字，表示每個時刻的訊號振幅，也就是音訊採樣（Audio Samples），當啟動指紋辨識保護時，Safari會在每個樣本中添加隨機雜訊，也就是說，每個原始音訊樣本都會隨機上升或是下降一定的百分比，而雜訊是以平均分布的方式加入，並確保每次添加的雜訊都不同。</p> <p>因此在Safari私密模式下音訊指紋會發生改變，這些變化導致一般模式的音訊指紋與私密模式無法相比對，因此也就無法用於追蹤辨識。M1 MacBook Air上的Safari 17指紋會在124.03516和124.04545間浮動，差異達0.008%。</p> <p>雖然Safari所添加的雜訊範圍0.008%數字看起來很小，但是事實上已經遠大於不同瀏覽器之間音訊指紋的最小差異，從以下表格可看出，最小的瀏覽器差異達到0.0000023%，也就是說，如果這個差異無法比較到小數點6位數以上，便會降低指紋的唯一性，因此也就無法用於區別不同的瀏覽器。</p> <p class="rtecenter"><img alt="" src="/sites/default/files/images/009%20-%20How%20We%20Bypassed%20Safari%2017's%20Advanced%20Audio%20Fingerprinting%20Protection_%20-%20fingerprint_com.png" style="width: 580px;" /></p> <p>而Fingerprint找到了破解Safari 17進階音訊指紋辨識保護的方法，即便用戶啟用私密瀏覽，仍可以獲得穩定的音訊指紋。</p> <p>Fingerprint透過多次生成同一音訊，對每次都被Safari添加不同雜訊的音訊樣本進行統計分析，藉此估算出原始音訊樣本的值，再透過改變基礎音訊，增加不同瀏覽器間音訊樣本的差異，最後進行四捨五入（Rounding）處理消去剩下雜訊的影響，生成出穩定且獨特的音訊指紋。</p> <p>Fingerprint需要對Safari 17應用新的演算法才能取得音訊指紋，需要的時間會增加至1.5到2倍的時間，不過仍然非常的快速，維持在兩位數毫秒級。</p> <p>不只有Safari限制音訊指紋辨識，Tor和Brave等注重隱私的瀏覽器也都採取一些相對應的措施，Tor完全停用Web Audio API，Brave則採用類似Safari 17的做法，但是Fingerprint也提到，他們仍可以還原出原始的指紋。</p> </div></div></div>
2024/3/12 08:22作者李建興https://www.ithome.com.tw/news/161711
Android地圖應用不再亂指路，Google公開更準確的裝置朝向API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在Google Play服務中添加一個新的Fused Orientation Provider（FOP）API，該API透過融合加速計、陀螺儀和測量磁場的磁強計（Magnetometer），提供準確且一致的裝置朝向（Orientation），適用於Android 5（Lollipop）以上執行Google Play服務的所有裝置。</p> <p>Google提到，FOP API的設計將與原本的Android Rotation Vector類似，方便開發人員轉換。相比Android Rotation Vector，FOP更能提供統一的跨裝置實作，彌補因較低品質感測器和不同OEM的實作差異。</p> <p>Android生態系中存在各式各樣的感測系統實作，雖然裝置都需要符合Android相容性定義文件中的標準，但Google指出，由於文件中建議的感測器規格不夠嚴謹，無法完全避免裝置朝向資訊不準確。像是裝置朝向可能受到裝置內部的磁力干擾、延遲或是不平均的感測器採樣，裝置周圍也可能存在扭曲地磁的物質，同時，也需要考量不同使用者的行為。</p> <p>為此Google推出新的FOP API，以提供更強健且精確的裝置朝向資訊。FOP API的重要更新包括同步各感測器的時間基準，確保所彙整的加速計、陀螺儀和磁強計資料來自同一個時窗，避免因為時間差產生計算誤差。</p> <p>FOP還補償了硬磁（Hard Iron）偏移，硬磁偏移是因為周圍環境中恆定磁場所產生的干擾，FOP透過演算法校正這種偏差，提高磁強計的精準度。FOP也會隨時監測陀螺儀產生的偏差，確保裝置朝向估計正確。</p> <p>FOP最重要的核心功能，則是融合加速計、陀螺儀和磁強計資訊，計算裝置在世界中的朝向，透過結合三種感測器的優點來克服各自的缺點，提供更準確且穩定的裝置朝向資訊。FOP能夠參照現實指南針方向產生準確估算，讓開發者可以評估當前FOP所生成裝置朝向資料的信心程度。</p> <p>Google指出，FOP演算法經過全面的測試資料驗證，已經確定可在各種裝置上提供高品質結果。FOP會以四元數（Quaternion）串流輸出裝置朝向估算，朝向會參照地理北極，但是當位置資訊不可用，磁偏角未知的時候，方向則參照地磁北極。</p> <p>另外，FOP還會提供裝置相對於地理北極的方向（Heading），該方向是從水平面量測，與Google地圖中顯示的方向相同。由於Google地圖也使用FOP，因此開發者可以藉此了解裝置方向資料的可靠性。</p> </div></div></div>
2024/3/12 08:31作者李建興https://www.ithome.com.tw/news/161712
Google讓瀏覽器、Android手機、iPhone都可執行大型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布<a href="https://developers.googleblog.com/2024/03/running-large-language-models-on-device-with-mediapipe-andtensorflow-lite.html">MediaPipe LLM Inference API</a>，讓開發者可以完全在裝置上執行大型語言模型，支援文字生成、自然語言資訊檢索，以及總結文件等任務。該API支援包括Falcon 1B、Gemma 2B、Phi-2與StableLM-3B等模型，目前僅接受文字輸入與輸出。</p> <p>這項新功能的重要性在於讓大型語言模型能夠在裝置上運作，而且達到跨平臺相容。Google提到，因為大型語言模型的記憶體和運算需求是傳統裝置上模型的100多倍，因此這可說是一項變革性的新功能。而之所以大型語言模型可以開始在裝置上運作，牽涉到新的操作、量化、快取和權重共享等技術堆疊的進展。</p> <p>開發者現在可以使用網頁、Android或iOS SDK，經過幾個步驟，就能夠在應用程式中使用實驗性MediaPipe LLM Inference API。首先選擇支援的模型架構與權重，接著使用MediaPipe Python套件將模型權重轉換成TensorFlow Lite Flatbuffer格式，並在應用程式中匯入LLM Inference SDK，將TensorFlow Lite Flatbuffer與應用程式一起託管，開發者就可以開始編寫程式，透過LLM Inference API傳入文字提示詞，並獲得模型的回應。</p> <p>目前LLM Inference API只能使用較為輕量的大型語言模型，在初始版本中，Google支援Falcon 1B、 Gemma 2B、Phi 2與Stable LM 3B四種模型架構，而這些模型架構相容的模型權重選擇，無論是基本模型權重、社群微調版本或是開發者自己微調的權重都可以使用。</p> <p>為了讓大型語言模型可以在行動裝置上運作，Google對MediaPipe、TensorFlow Lite、XNNPack進行大量的最佳化，官方提到，這些最佳化功能主要落在CPU與GPU上。而在特定的高階手機中，Android AICore還可運用專門的硬體神經網路加速器，來加速大型語言模型的運算。</p> <p>Google主要使用預填速度（Prefill Speed）和解碼速度（Decode Speed），來衡量裝置上大型語言模型的運作效能。預填速度（圖一）是指大型語言模型處理提示詞的速度，而解碼速度（圖二）則是大型語言模型產生回應的速度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image3(23).png" style="width: 580px; height: 359px;" /><br /> （圖一）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/image6(7).png" style="width: 580px; height: 359px;" /><br /> <span style="text-align: center;">（圖二）</span></p> <p>四種模型在WebGPU和Android GPU上都能順暢運作，不過Google提到，受iPhone記憶體的限制，目前只有Gemma 2B（int4）能夠在iOS運作。在GPU上，Falcon 1B和Phi 2使用浮點數fp32，而Gemma和StableLM 3B則可以使用浮點數fp16就好，官方表示，Gemma和StableLM 3B即便使用較低精度的浮點數，仍可以保持一定的效能和強健性。</p> <p>Google提到，他們仍會繼續這項研究，並擴展支援更多平臺和模型，提供廣泛的轉換工具、裝置上元件。現在開發者已經可以在<a href="https://github.com/googlesamples/mediapipe/tree/main/examples/llm_inference" target="_blank">GitHub</a>上查看官方範例，以便深入理解API的使用方式。</p> </div></div></div>
2024/3/12 08:35作者李建興https://www.ithome.com.tw/news/161714
【資安週報】2024年3月4日到3月8日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧這一星期的資安新聞前，先來聊聊最近臺灣上市櫃公司接連發布資安事件重大訊息的現況，最近我們發布的封面故事，就是特別以此為題的報導與探討，當中整理出2023年臺灣上市櫃公司有23起資安事件相關重大訊息，並得知這些資安事故的背後，多半是勒索攻擊造成，另一方面，早已不斷受媒體關注的個資外洩消息，近一年也登上重訊版面，在我們進一步追蹤下，更是發現先前諾貝兒、雄獅遭網路駭客攻擊事件的後續消息，就有因個資外洩受個資法的情形，且開罰金額已經提高至200萬，不同於過去的20萬。</p> <p>這些現象的出現，在在突顯企業經營層在看待營運風險時，需更重視勒索攻擊的危害，以及個資外洩的影響。特別的是，在我們與證交所聯繫過程中，還發現資安事件「重大性」的認定，已有明確標準可依循，上市公司的部分在1月已經完成相關修訂，上櫃公司的部分也確定即將發布。</p> <p>在關注企業揭露資安事件之餘，我們還有不同資安領域的消息需要重視。</p> <p>在本星期的漏洞利用消息方面，有3個重點，企業需優先因應的是蘋果與JetBrains的漏洞。<br /> （一）蘋果修補多款產品的2個記憶體損壞漏洞CVE-2024-23225、CVE-2024-23296，都是已遭鎖定攻擊的零時差漏洞。<br /> （二）JetBrains修補旗下CI/CD軟體平臺TeamCity的兩個漏洞，特別的是，由於該公司沒有知會通報漏洞的Rapid7、私下修補且不公開漏洞，使得Rapid7同日公開漏洞細節。後續，外界發現漏洞CVE-2024-27198已遭鎖定利用。<br /> （三）兩個老舊漏洞近期發現遭鎖定利用，包括：2021年8月的Sunhillo SureLine OS命令列注入漏洞（CVE-2021-36380），以及去年6月的Android Pixel資訊揭露漏洞（CVE-2023-21237）。本期資安日報尚未提及，在此補上。<br /> 其他可留意的漏洞修補消息，包括VMware修補旗下多款產品的4個重大漏洞，以及臉書修補密碼重置漏洞。</p> <p>在資安事件焦點方面，一開始提及勒索軟體與個資外洩的威脅態勢，本週也有多起這方面的新聞報導，我們整理如下：<br /> ●勒索軟體駭客組織Dunghill在2月29日聲稱入侵上櫃公司安瑞科技，我們取得安瑞的回應，他們表示子公司Array US於3月1日，偵測到資訊系統遭受病毒攻擊。目前調查未有客戶敏感資料外洩，也不影響營運。<br /> ●美國CISA等多個機構針對近期勒索軟體Phobos的攻擊態勢提出警告，2月有新的變種出現，主要鎖定關鍵基礎設施、地方政府、急難、教育與醫療單位。<br /> ●去年底Line用戶個資外洩事件有後續消息，原因是LYC與關係企業Naver Cloud因部分系統共用，而雙方於韓國採用的外包廠商，其員工電腦遭到惡意程式感染，因此最近日本總務省要求兩家公司應切割IT基礎架構。<br /> ●美國運通向客戶通知發生資料外洩事件，原因是第三方信用卡交易處理服務提供商的系統遭駭客入侵，導致有未經授權存取的情況。</p> <p>還有一項針對我國而來的攻擊活動，需要大家關注。繼月前有資安業者Trellix發布報告，指出臺灣總統大選投票前一天所遭受的網路攻擊大幅增加，近日又有趨勢科技揭露這方面的態勢，指出中國駭客組織Earth Lusca在去年12月至今年1月的新一波攻擊活動中，會使用地緣政治議題為誘餌來發動網釣攻擊，並且其內容疑似盜用未發表的專家文章。由於研究報告中提到相關文章遭盜用、相關政治專家或所屬組織可能遭入侵，我們認為，上述人士需趕緊檢視自身裝置、帳號的防護，避免受害卻仍不自覺。</p> <p style="margin: 0px;">在資安防禦態勢上，我們注意有3個重點，主要針對開發安全與LLM的安全。</p> <p>首先，開發者要注意！最近GitHub將去年推出的推送保護（Push Protection）功能，改為預設啟用。特別的是，我們發現GitHub在宣布此消息之餘，同時提到他們最近在公開儲存庫掃描時的發現：今年已偵測到上百萬筆機密資料洩漏（API金鑰、令牌與各種機密），如此大量只發聲在短兩個月內。此一情形，很有可能就是現在將Push Protection改為預設啟用的原因。</p> <p>此外，前幾年美國白宮邀科技大廠解決開源安全問題時，改用記憶體安全程式語言，就是十大重點工作之一，最近美國白宮更是發布相關報告，親自呼籲科技界主動減少網路攻擊面，不要使用缺乏記憶體安全相關功能的C和C++。這樣的態勢值得臺灣政府及所有IT資訊產業關注，畢竟要打造可信賴的供應鏈生態體系，軟體開發安全亦是關鍵，尤其是各種可濫用的軟體漏洞中，記憶體安全漏洞佔了絕大多數，因此是所有程式開發相關都要設法克服的挑戰。</p> <p>最後是大型語言模型（LLM）當紅，如今面對提示詞注入、模型拒絕服務，以及敏感資訊洩漏這三種模型攻擊，如何設法應對成挑戰，最近開始有資安業者發表可應對這些威脅的網頁應用防火牆（WAF），Cloudflare指出，其作用可阻擋有問題的請求輸入模型，並具備敏感資料偵測能力，可用於阻止在回應中洩漏機密資料，另一方面，也可阻止使用者將資料傳送到公用LLM。</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/161590"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月4日】駭客組織Savvy Seahorse從事投資詐騙攻擊並濫用DNS CNAME紀錄鎖定目標</span></strong></a></h3> <p>投資詐騙的攻擊行動可說是相當氾濫，而過往研究人員察覺的資安事故當中，多半是涉及駭客如何引誘使用者上當，但最近有新型態的攻擊手法出現。</p> <p>已經暗中進行超過2年的駭客組織Savvy Seahorse攻擊行動，就是這種例子，對方濫用網域名稱服務（DNS）的CNAME紀錄打造惡意流量分配系統（Traffic Distribution System，TDS），而能精確鎖定目標下手。</p> <p><a href="https://www.ithome.com.tw/news/161613"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月5日】中國駭客組織Earth Lusca在臺灣總統大選前夕對關心臺海局勢的人士發動網路釣魚攻擊</span></strong></a></p> <p>上個月有資安業者Trellix揭露針對臺灣總統大選而來的網路攻擊行動，並指出攻擊行動在投票日前24個小時達到高峰，駭客的目的是收集特定候選人情資。而針對這場選舉而來的網路攻擊不僅止於此，最近有研究人員公布與此有關的資安威脅活動。</p> <p>趨勢科技近期公布中國駭客組織Earth Lusca的網路釣魚攻擊，巧合的是，這起事故發生在選舉前2天，駭客疑似透過地緣政治議題來引誘使用者上鉤。</p> <h3><a href="https://www.ithome.com.tw/news/161636"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月6日】國家級駭客跟進利用ScreenConnect漏洞並用來散布惡意程式</span></strong></a></h3> <p>2月下旬公布的ScreenConnect漏洞CVE-2024-1709、CVE-2023-1708，不久後就傳出遭到利用，而且利用這些漏洞的主要是勒索軟體駭客組織，最初被發現的是甫被執法單位圍剿基礎設施的LockBit，但隨後也傳出Black Basta、Bl00y兩個組織將漏洞用於攻擊行動。</p> <p>但現在也有國家級駭客加入行列，將這項漏洞用於散布惡意軟體。Kroll旗下的威脅情報團隊發現，北韓駭客組織Kimsuky將其用於散布新的後門程式。</p> <h3><a href="https://www.ithome.com.tw/news/161657"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月7日】Meta旗下社群網站服務出現中斷，有3個駭客組織聲稱是他們所為</span></strong></a></h3> <p>日前科技巨頭Meta旗下的社群網站臉書、Instagram、Threads同時傳出無預警大當機的情況，引起全球各界關注，但Meta始終並未說明如何發生，而這樣的情況，可能讓駭客有機可乘，假借這類事故拉擡自己的聲勢。</p> <p>資安業者Cyberint發現，有3個從事DDoS攻擊的駭客組織表示是他們造成這起大當機事故，但研究人員目前尚未找到相關證據。</p> <h3><a href="https://www.ithome.com.tw/news/161668"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月8日】Linux惡意軟體攻擊鎖定DevOps常用的4種平臺</span></strong></a></h3> <p>我們之前報導過針對雲端運算環境從事挖礦行為的攻擊行動，駭客通常運用這類環境常見的應用系統而來，利用配置不當或是尚未修補的已知漏洞入侵這些伺服器。</p> <p>值得留意的是，駭客對於Docker、Hadoop、Redis，或是Confluence伺服器發動攻擊的情況，不時傳出有關事故，但在最近一起資安事故當中，駭客同時鎖定上述4種環境下手。</p> <p>在資安防禦態勢方面，<br /> 記憶體安全程式語言持續受重視，最近再次美國國家網路主任辦公室（ONCD）呼籲</p> </div></div></div>
2024/3/11 09:45作者羅正漢https://www.ithome.com.tw/news/161700
Fintech周報第233期：摩根士丹利揭露生成式AI發展策略，要以AI助理促進顧問、顧客和平臺三方無縫互動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">3/4~3/10金融科技精選新聞</span></span></h3> <p><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根士丹利</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <h3>摩根士丹利揭露生成式AI發展策略，要以AI助理促進顧問、顧客和平臺三方無縫互動</h3> <p>去年，摩根士丹利率先在企業內部應用引進GPT-4，推出AI＠MS Assistant，協助旗下1萬6千多名財務顧問快速彙整研究報告和文件。摩根士丹利財富管理主管Jed Finn今年2月底在美國銀行金融服務會議中進一步揭露他們的AI發展策略。他表示，未來AI＠MS將作為一道溝通層，協助摩根士丹利內部顧問、顧客和平臺的複雜性間進行互動，讓三者間的溝通毫無縫隙。「這不會馬上發生，但我們正在謹慎的籌組不同所需的物件，以實現我們的願景」Jed Finn說道。</p> <p>Jed Finn表示，摩根士丹利未來將進一步釋出兩個有效提升顧問和顧客互動效率的工具。第一個工具是名為AI＠MS Debrief且能使用於Zoom的外掛工具。這個工具能紀錄顧客和顧問間的對話，摘要對話重點，再傳送電子郵件給顧客，通知顧客下個操作步驟。顧問點擊批准、傳送對話紀錄，就能完成上傳作業，並同步將對話紀錄更新至CRM系統。目前，這項工具正在數百名用戶中進行測試。</p> <p>第二個工具名為AI＠MS+，僅提供給摩根士丹利內部員工使用，類似一款全方位的智能助理，能協助顧問傳送電子郵件、製作研究報告、創立公告等。「包括任何你能想像得到的事」Jed Finn說道。</p> <p>除了上述三個工具，Jed Finn表示，摩根士丹利目前正在建立10或15個AI＠MS的相關案例。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-weight: bold; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 反托拉斯法</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-weight: bold; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-weight: bold; font-size: 18.6667px;"> </span><span style="font-family: 微軟正黑體, sans-serif; font-weight: bold; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span></p> <h3>蘋果限制音樂串流App開發商繞過自家支付機制，遭裁定違反歐盟反托拉斯法重罰約633億臺幣</h3> <p>歐盟近期針對蘋果祭出裁罰，歐盟執委會認為蘋果對第三方應用程式業者做出限制，不許它們告知iOS用戶App Store以外更便宜的音樂訂閱服務，違反歐盟反托拉斯法，又因違法情節重大及持續將近10年時間，重罰18.4億歐元（約633億臺幣）。</p> <p>本案是起於2019年Spotify向歐盟申訴蘋果實施「限制導引規定」（anti-steering rules），防止應用程式向用戶提供外部支付資訊，使用戶只能透過App Store內的支付工具付費，蘋果藉此抽取每筆消費者交易的30%費用。歐盟於2020年介入調查，去年初歐盟縮小對蘋果的訴訟範疇，並在近期公布判決結果。蘋果對判決不服，他們指歐盟主管機關並未找到任何消費者傷害的可信證據，也忽略市場正繁榮、激烈競爭且成長快速的事實。蘋果也對判決提出上訴。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-weight: bold; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-weight: bold; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-weight: bold; font-size: 18.6667px;"> </span><span style="font-family: 微軟正黑體, sans-serif; font-weight: bold; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資安 </span></strong></span></h3> <h3>金管會宣布多項強化上市櫃公司資安精進措施，今年首季將明確定義資安事件重大性標準</h3> <p>為了強化上市櫃公司資安管理機制，金管會表示，將以「強化監理」及「協助與輔導」兩大面項推動資安治理相關精進措施，包括檢視修正「上市上櫃公司資通安全管控指引」、提高資訊安全內部控制查核比例及追蹤缺失改善情形，今年首季將修訂重大訊息問答集，明確規範資安事件的「重大性」標準。證期局副局長黃厚銘在例行記者會上說明，以往重大性標準未有明確定義，未來將明確規範標準，例如，當公司核心系統遭到入侵導致無法提供服務時，公司就必須重訊揭露。</p> <p>其他措施則包含，落實企業對子公司資訊安全的監督與管理、強化資訊安全人員教育訓練、分享資訊安全事件案例、持續推動加入TWCERT/CC分享資安事件的情資、取得資安標準國際認證及取得外部驗證等。</p> <p><span style="font-family: 微軟正黑體, sans-serif; font-weight: bold; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發金控</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-weight: bold; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-weight: bold; font-size: 18.6667px;"> </span><span style="font-family: 微軟正黑體, sans-serif; font-weight: bold; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI發展計畫 </span></strong></span></p> <h3>開發金控啟動AI發展計畫，生成式AI應用發展將以內部使用為首要範疇</h3> <p>開發金控近日宣布正式啟動集團AI發展計畫。去年起，他們就在內部通訊軟體導入生成式AI小幫手，協助處理文書、撰寫郵件、查找資訊、重點整理摘要等，提升員工工作效率。目前，開發金控生成式AI應用將以內部平臺與員工體驗為首要範疇，未來除了會運用AI優化既有流程，也會積極關注多項應用領域，包括大型語言模型、語音技術，和智能創作等。</p> <p>開發金控的AI發展計畫有四大發展主軸，分別是「AI賦能」、「AI識能」、「AI科技」及「AI治理」。該計畫包括要發展AI開發與運作架構，建立AI治理框架，未來更計畫打造集團核心AI引擎的共同平臺。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-weight: bold; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PayPay </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-weight: bold; font-size: 18.6667px;"> </span><span style="font-family: 微軟正黑體, sans-serif; font-weight: bold; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨境電子支付 </span></strong></span></h3> <h3>臺灣電支業者、日本最大行動支付業者PayPay和跨境支付服務業者三方合作啟用反掃功能，日本在地合作商家擴展至數百萬</h3> <p>去年十月，臺灣電支業者龍頭街口支付與日本最大行動支付業者PayPay業者合作，透過和跨境支付服務業者TBCASoft旗下的跨境支付平臺，讓臺灣消費者可使用既有熟悉的電支App，在日本掃描PayPay合作商家的QR Code進行付款。近期，街口支付和TBCASoft皆宣布啟用被反掃功能，民眾向日本合作商家出示付款碼，也能完成付款，商家數量擴及百萬，涵蓋連鎖超商和藥妝店等。</p> <p>除了原先合作的街口支付和玉山Wallet外，全支付也正式加入合作，兩家臺灣電支龍頭皆積極布局日本支付生態系。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 支付 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 愛爾蘭央行 </span></strong></span></h3> <h3>支付技術發展落後歐洲地區，愛爾蘭央行提四大支付發展策略</h3> <p>愛爾蘭中央銀行副行長Vasileios Madouros近日公開表示，愛爾蘭的支付領域發展落後於歐洲地區，國內尚未創造出提供給消費者的支付技術優勢。為此，愛爾蘭央行針對國家支付發展策略提出四個優先事項，計畫在2030年達成。</p> <p>第一，支付解決方案應和全歐洲整合，營運商須確保愛爾蘭的消費者和企業除了在國內能使用自家支付工具，還可以在歐洲其他國家使用。第二，維持現金支付選項，保障消費者或企業的消費權益。第三，發卡機構、營運商和網路提供者等參與商應確保支付生態系的安全性和韌性。最後，政府、公會和研究機構應加強研究和分析能力，提高對支付政策的決策能力。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 純網銀</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 泰國 </span></strong></span></h3> <h3>泰國開始受理純網銀申設，最快2025年上半年核准設立</h3> <p>泰國政府近期通過了純網銀牌照申請的相關規範，泰國央行宣布，將在3月20日起開始接收純網銀申請，預計在2025年上半年公布成功申請者，獲得批准的銀行將有一年的時間建立IT系統和風險管理工具等準備。</p> <p>泰國純網銀審核條件中，特別指出申請者應具備敏捷、安全、韌性和高可用度的IT系統管理能力，以適應變動的業務發展或客戶需求。雖然官方並未對許可證的發放數量進行限制，但泰國央行表示，將會確保通過適當數量的純網銀，避免對金融穩定構成風險。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 批發型CBDC</span></strong></span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 香港金管局 </span></strong></span></h3> <h3>香港金管局將推出批發型CBDC沙盒，驗證成功後有望正式發行</h3> <p>香港金管局近日宣布展開批發型央行數位貨幣（wCBDC）的新發展計畫，聚焦研究代幣化存款，例如讓商業銀行能向大眾提供代幣化存款。該計畫將推出wCBDC沙盒，研究和測試代幣化用例，包括多種實質資產代幣化，和例如綠色債券、碳權、電子載貨證券等。</p> <p>香港金管局表示，若案例經過沙盒驗證後能得到正面回響，金管局將會適時發行wCBDC。香港自2017年就開始進行wCBDC測試，和泰國、中國和阿拉伯聯合大公國合作研究CBDC跨境支付。他們建立了一個開發測試平臺，連結四種貨幣進行測試。2022年，四個地區共20間銀行參與為期6星期的測試，計劃期間測試平臺進行超過160件外匯交易，總額約6.8億臺幣。</p> <p><strong><span style="color:#DAA520;">其他重要Fintech新聞：</span></strong></p> <ul> <li>英國第三大銀行NatWest宣布停止BNPL業務，將專注於經營核心貸款產品</li> <li>全支付宣布正式提供TWQR購物功能，為首家開放信用卡支付的電支業者</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／摩根士丹利</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年3月</p> <p></p> </div></div></div>
2024/3/11 17:03作者李昀璇https://www.ithome.com.tw/news/161710
【資安日報】3月11日，為隱匿攻擊流量，駭客濫用虛擬化平臺QEMU設置網路通訊隧道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓攻擊行動更為隱密，攻擊者建立網路隧道（Tunnel），從而埋藏攻擊流量的情況，研究人員已經發現多起這種類型的攻擊行動，其中最常針對部分，就是利用DNS打造這類通道來達成目的。</p> <p>但最近出現一種新型態的攻擊手法引起研究人員關注，駭客使用的是虛擬化平臺QEMU來達到目的，從而繞過受害組織的資安防護措施。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://securelist.com/network-tunneling-with-qemu/111803/"><strong style="font-size: 22px;">虛擬化平臺QEMU遭到濫用，駭客設置網路通訊隧道，目的是藉此隱匿攻擊流量</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/QEMU_persistence_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/QEMU_persistence_01.png" style="width: 300px; float: right;" /></a>資安業者卡巴斯基揭露濫用硬體模擬器QEMU的攻擊行動，他們在著手調查事故時，發現較為罕見的攻擊手法，駭客在常見的Angry IP Scanner、Mimikatz等作案工具之外，亦使用了QEMU，但對方並未掛載Live CD或是磁碟映像檔，而是將其用於建置網路隧道，企圖隱匿攻擊行動。</p> <p>但究竟駭客如何運用這套工具？研究人員推測，攻擊者在自己的伺服器部署虛擬機器（VM），然後從受害組織的內部環境攻入可連上網際網路的電腦，偷偷將QEMU安裝到這些設備，並執行上述的遠端VM，從而打造網路隧道來存取企業網路環境裡的其他內部系統。</p> <p>值得一提的是，為了避免受害主機的硬體資源使用出現顯著變化而東窗事發，這些駭客擅自建立的虛擬機器僅配置1 MB記憶體，並以無使用者圖形介面（GUI）的模式執行QEMU。</p> <p><a href="https://www.cybereason.com/blog/unboxing-snake-python-infostealer-lurking-through-messaging-service"><strong style="font-size: 22px;">Python竊資軟體Snake散播增加新管道！攻擊者開始運用臉書即時通訊軟體Messenger進行誘騙</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/snake-infostealer-blog-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/snake-infostealer-blog-1.jpg" style="width: 300px; float: right;" /></a>資安業者Cybereason揭露名為Snake的竊資軟體攻擊行動，駭客疑似透過臉書即時通訊軟體Messenger發送訊息，尋找攻擊目標，並引導使用者下載RAR或ZIP壓縮檔，其內容包含BAT批次檔案，功能是透過curl下載另一個ZIP檔案，然後執行PowerShell命令Expand-Archive，從前述壓縮檔取得vn.cmd，並用於執行後續的攻擊行動。而這個CMD檔案的用途，就是在受害電腦植入Snake。</p> <p>此竊資軟體以Python打造而成，駭客濫用程式碼儲存庫GitHub、GitLab存放惡意程式檔案，並將從受害者電腦收集的帳密資料傳送到Discord、GitHub、Telegram。</p> <p>特別的是，研究人員發現駭客維護3種版本的Snake，其中2種是Python指令碼，第3種由PyInstaller封裝而成的可執行檔。根據駭客竊取資訊的主要目標是越南知名的瀏覽器Coc Coc，再加上部分功能函數的命令與越南語有關，研究人員推測，攻擊者很可能來自越南。 </p>  <p><a href="https://www.welivesecurity.com/en/eset-research/evasive-panda-leverages-monlam-festival-target-tibetans/"><strong style="font-size: 22px;">中國駭客組織Evasive Panda入侵藏傳佛教節日網站、藏文翻譯應用程式，鎖定亞洲用戶而來</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-10-loading-chain-of-certificate-exe.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-10-loading-chain-of-certificate-exe.jpeg" style="width: 300px; float: right;" /></a>資安業者ESET揭露中國駭客組織的網路間諜活動，對方利用藏傳佛教節日「神變月（Monlam Festival）」為誘餌，針對多個國家、地區的圖博人士發動攻擊。</p> <p>駭客破壞位於印度、推廣藏傳佛教的網站，並埋入惡意指令碼，然後將其用於水坑式攻擊，並且入侵圖博軟體公司的供應鏈。一旦發現使用者來自臺灣、香港、印度、澳洲、美國，就會顯示假的錯誤網頁，要求下載檔名為certificate的「修正程式」，此為惡意程式載入工具，以便攻擊者為下個階段做準備。研究人員循線進行調查，發現駭客於去年9月入侵也在印度、開發藏文翻譯軟體的公司網站，並在網站裡儲存數個木馬應用程式，用途是對受害電腦散布Windows或macOS惡意程式載入工具。附帶一提，攻擊者也濫用圖博新聞網站Tibetpost代管惡意酬載。</p> <p>研究人員在這起攻擊行動裡，發現駭客最終對Windows電腦散布MgBot、Nightdoor等後門程式，而在Mac電腦的攻擊方式，對方則是植入多款尚未命名的惡意程式。根據駭客使用的惡意程式，再加上C2伺服器的IP位址，研究人員指出攻擊者的身分是Evasive Panda，並指出對方先前在攻擊臺灣宗教組織的行動中，也曾使用MgBot、Nightdoor。</p> <p><a href="https://pixmsecurity.com/blog/uncategorized/us-public-school-districts-targeted-mfa-spear-phishing-campaigns-on-the-rise"><strong style="font-size: 22px;">駭客組織Tycoon與Storm-1575狼狽為奸，鎖定美國學校從事網釣攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/phaas.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/phaas.png" style="width: 300px; float: right;" /></a>駭客組織在從事網路犯罪行為進行分工，提供不同作案工具的情況，最近有研究人員揭露其樣貌。資安業者Pixm揭露從去年11月出現的網路釣魚攻擊，參與攻擊行動的駭客組織主要是Tycoon和Storm-1575，目標是美國公立學區的從業人員，自12月開始，相關攻擊行動出現大幅增加的現象。</p> <p>根據他們的調查，對方寄送釣魚郵件，聲稱以安全為由要求收信人變更密碼，若是照做，收信人會被導向Cloudflare圖靈驗證系統（CAPTCHA），以及偽造的微軟登入網頁，一旦收信人輸入帳密資料，攻擊者就有可能進行對手中間人攻擊（AiTM），將資料傳輸到正牌的登入網頁，並進行雙因素驗證，從而挾持收信人的微軟帳號。</p> <p>研究人員指出，上述兩個組織都架設了網釣工具的服務平臺（Phishing-as-a-Service，PhaaS），Tycoon的平臺phishingkit主要是能夠繞過雙因素驗證（MFA），而Storm-1575則是設置名為Phoenix Panel（原名dadsec）的平臺，從事對手中間人攻擊。 </p> <p><strong style="font-size: 22px;">WordPress有多個外掛程式陸續遭揭漏資安漏洞</strong></p> <p></p> <p>綜合資安業者Snicco、Wordfence、Patchstack的研究與分析，在WordPress眾多外掛程式當中，有３個陸續被揭露漏洞，這些工具包含：用於佈景主題的Bricks Builder、會員系統Ultimate Member、網站效能LiteSpeed Cache存在漏洞。</p> <p>這些弱點的嚴重性偏高，例如，Bricks Builder有RCE漏洞CVE-2024-25600（CVSS風險評分9.8），Ultimate Member有SQL注入漏洞CVE-2024-1071（CVSS風險評分9.8），LiteSpeed Cache有跨網站指令碼漏洞CVE-2023-40000，風險評分尚未確定，但因為安裝此工具的網站數量高達5百萬臺，因此也需多加留意。</p> <p>值得留意的是，CVE-2024-25600已被用於攻擊行動。Patchstack於2月14日偵測到嘗試利用漏洞的跡象，並指出攻擊者透過惡意軟體停用Wordfence、Sucuri等資安業者提供的外掛程式；Wordfence也發現相關攻擊行動，他們在19日表示，已在過去24小時封鎖5起攻擊行動。</p> <p>資料來源</p> <p>1. <a href="https://snicco.io/vulnerability-disclosure/bricks/unauthenticated-rce-in-bricks-1-9-6">https://snicco.io/vulnerability-disclosure/bricks/unauthenticated-rce-in-bricks-1-9-6</a><br /> 2. <a href="https://www.wordfence.com/blog/2024/02/2063-bounty-awarded-for-unauthenticated-sql-injection-vulnerability-patched-in-ultimate-member-wordpress-plugin/">https://www.wordfence.com/blog/2024/02/2063-bounty-awarded-for-unauthenticated-sql-injection-vulnerability-patched-in-ultimate-member-wordpress-plugin/</a><br /> 3. <a href="https://patchstack.com/articles/xss-vulnerability-in-litespeed-cache-plugin-affecting-4-million-sites/">https://patchstack.com/articles/xss-vulnerability-in-litespeed-cache-plugin-affecting-4-million-sites/</a><br /> 4. <a href="https://patchstack.com/articles/critical-rce-patched-in-bricks-builder-theme/">https://patchstack.com/articles/critical-rce-patched-in-bricks-builder-theme/</a><br /> 5. <a href="https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-themes/bricks/bricks-196-unauthenticated-remote-code-execution">https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-themes/bricks/bricks-196-unauthenticated-remote-code-execution</a></p> <p><a href="https://msrc.microsoft.com/blog/2024/03/update-on-microsoft-actions-following-attack-by-nation-state-actor-midnight-blizzard/"><strong style="font-size: 22px;">針對俄羅斯駭客Midnight Blizzard入侵事故，微軟公布更多調查結果，指出駭客擴大攻擊力道</strong></a></p> <p></p> <p>1月19日微軟證實遭遇俄羅斯駭客組織Midnight Blizzard入侵，該組織企圖透過高階主管與資安人員的電子郵件來打聽情報，如今該公司公布後續的調查結果。3月8日微軟表示，他們找到對方利用電子郵件系統進行未經授權存取的證據，目的是存取原始碼儲存庫及內部系統，不過，截至目前為止他們並未發現面向客戶的系統遭到入侵的跡象。</p> <p>此外，他們也發現駭客嘗試挖掘不同類型的機敏資訊，部分是來自與客戶往來的郵件。值得留意的是，駭客似乎投入了更多資源對其發動攻擊，因為2月發動的密碼潑灑（Password Spray）等多種類型的攻擊數量大增，比起前一個月成長10倍。</p> <p> </p> <div> <h3><strong>【漏洞與修補】</strong></h3> <p><strong style="font-size: 22px;">Google發布3月安卓例行更新，修補系統元件、高通晶片的重大漏洞</strong></p> <p></p> <p>3月4日Google發布本月份的安卓例行修補，總共修補38個漏洞，13個涉及作業系統的框架與系統層面，25個與第三方元件有關。</p> <p>其中有2個作業系統本身的漏洞被列為重大層級而受到關注，這些漏洞存在於安卓12至14版作業系統，皆為系統層面的漏洞，CVE-2024-0039可被用於遠端執行任意程式碼（RCE），另一個則是CVE-2024-23717，攻擊者可用於提升權限。</p> <p>而在第三方元件的部分，存在高通於閉源元件的CVE-2023-28578，其威脅嚴重性被列為重大層級，此為記憶體中斷的弱點，在晶片核心服務執行單一事件監聽器移除的工作時出現，CVSS風險評分為9.3。</p> <p>資料來源</p> <p>1. <a href="https://source.android.com/docs/security/bulletin/2024-03-01">https://source.android.com/docs/security/bulletin/2024-03-01</a><br /> 2. <a href="https://docs.qualcomm.com/product/publicresources/securitybulletin/march-2024-bulletin.html">https://docs.qualcomm.com/product/publicresources/securitybulletin/march-2024-bulletin.html</a></p> <p><a href="https://www.qnap.com/zh-tw/security-advisory/qsa-24-09"><strong style="font-size: 22px;">威聯通修補NAS重大層級身分驗證漏洞</strong></a></p> <p></p> <p>3月9日網路儲存設備業者威聯通（QNAP）發布資安通告，他們針對NAS作業系統QTS、QuTS hero、QuTScloud，以及NAS設備雲端管理平臺myQNAPcloud修補3項漏洞CVE-2024-21899、CVE-2024-21900、CVE-2024-21901。</p> <p>這些漏洞當中，危險程度最高的是重大層級的CVE-2024-21899，此為身分驗證不當漏洞，一旦攻擊者加以利用，就有可能透過網際網路入侵系統的安全機制，CVSS風險評分為9.8。</p> </div> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.vsd.lt/en/reports/china/china-intensifies-intelligence-activities-against-lithuania-from-its-territory/"><span style="font-size: 20px;">立陶宛針對中國網路間諜行動提出警告，駭客意圖收集總統選舉、議會選舉情報</span></a></strong></p> <p></p> <p><a href="https://www.hackread.com/hacker-breach-federal-contractor-acuity-ice-uscis-data/"><strong><span style="font-size: 20px;">美國移民主管機關的IT承包商傳出遭駭，敏感資料流入駭客論壇</span></strong></a></p> <p></p> <p><strong><a href="https://research.checkpoint.com/2024/magnet-goblin-targets-publicly-facing-servers-using-1-day-vulnerabilities/"><span style="font-size: 20px;">駭客組織Magnet Goblin鎖定甫公布的已知漏洞，散布惡意程式</span></a></strong></p> <p></p> <p><a href="https://www.resecurity.com/blog/article/lockbit-30s-bungled-comeback-highlights-the-undying-risk-of-torrent-based-data-leakage"><strong><span style="font-size: 20px;">勒索軟體駭客組織LockBit捲土重來，透過種子檔案散布竊得資料</span></strong></a></p> <p></p> <p><a href="https://openssf.org/blog/2024/03/07/guac-joins-openssf-as-incubating-project/"><strong><span style="font-size: 20px;">OpenSSF接手主導軟體安全評估工具專案GUAC</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161668"><strong>【3月8日】Linux惡意軟體攻擊鎖定DevOps常用的4種平臺</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161657"><strong>【3月7日】Meta旗下社群網站服務出現中斷，有3個駭客組織聲稱是他們所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161636"><strong>【3月6日】國家級駭客跟進利用ScreenConnect漏洞並用來散布惡意程式</strong></a></p> </div></div></div>
2024/3/11 16:36作者周峻佑https://www.ithome.com.tw/news/161709
GPT-4競爭者報到：Gemini 1.5、Mistral Large、Claude 3 Opus與Inflectio…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在幾周前尚無對手的OpenAI GPT-4，最近忽然冒出了4個競爭對手，它們分別是Google的<a href="https://www.ithome.com.tw/news/161315" target="_blank">Gemini 1.5</a>、Mistral AI的<a href="https://www.ithome.com.tw/news/161515" target="_blank">Mistral Large</a>、Anthropic的<a href="https://www.ithome.com.tw/news/161610" target="_blank">Claude 3</a>，以及Inflection AI的<a href="https://www.ithome.com.tw/news/161671" target="_blank">Inflection-2.5</a>，這些在這一個月以來陸續現身的新模型皆宣稱足以比美GPT-4，當中令研究人員覺得最有希望的則是Claude 3。</p> <p>開發Bito AI程式碼撰寫工具的<a href="https://bito.ai/blog/gemini-1-5-pro-vs-gpt-4-turbo-benchmarks/" target="_blank">Bito曾比較了Gemini 1.5 Pro與GPT-4 Turbo</a>，發現Gemini 1.5 Pro在一般推論及理解任務，影片理解，以及音訊處理上勝過GPT-4 Turbo。而GPT-4 Turbo則在解決複雜數學問題的能力，程式碼生成或圖像理解上優於Gemini 1.5 Pro，認為它們的最佳應用將取決於當前任務的特定需求。</p> <p>而在Mistral AI發表Mistral Large之後，<a href="https://community.openai.com/t/mistral-large-versus-gpt-4-turbo/655508" target="_blank">即在OpenAI論壇掀起了討論</a>，有研究人員提出，Mistral Large幾乎在所有基準測試上都不如GPT-4 ，但它的價格只有GPT-4的8成，詢問是否值得切換。底下的回應分成兩派，一派認為GPT-4 Turbo不管是在推論或解決複雜問題上都大勝Mistral Large，所生成的答案也更為精確，很值得那多出的20%，另一派則是推崇Mistral AI的開源政策。</p> <p>至於鎖定資料科學、機器學習與AI的<a href="https://www.kdnuggets.com/getting-started-with-claude-3-opus-that-just-destroyed-gpt-4-and-gemini" target="_blank">內容網站KDnuggets認為</a>，Anthropic所發表的Claude 3在所有LLM基準測試中都優於GPT-4和Gemini Ultra，已是AI領域新的領導者，而且3.0版最明顯的改善為視覺能力，使得它可以處理包括照片、圖表、圖像與技術圖等各種視覺格式。</p> <p class="rtecenter"><a href="https://www.anthropic.com/_next/image?url=https%3A%2F%2Fcdn.sanity.io%2Fimages%2F4zrzovbb%2Fwebsite%2F9ad98d612086fe52b3042f9183414669b4d2a3da-2200x1954.png&w=3840&q=75" target="_blank"><img alt="" src="/sites/default/files/images/image%5B1%5D" style="width: 600px;" /></a></p> <p><a href="https://www.anthropic.com/news/claude-3-family" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Anthropic</span></span></a></p> <p>只不過，即使基準測試領先GPT-4，但Claude 3的速度仍不如GPT-4和Gemini Ultra。</p> <p>Reddit上也有<a href="https://www.reddit.com/r/ChatGPTPro/comments/1b9czf8/gpt4t_vs_claude_3_opus/" target="_blank">GPT-4 Turbo與Claude 3 Opus比較的討論</a>，多數人贊成Claude 3 Opus的寫作與處理文章的能力勝過GPT-4 Turbo，有人說GPT-4 Turbo對複雜問題的處理能力優於Claude 3 Opus，有人說Claude 3 Opus所生成的程式碼品質與GPT-4 Turbo相當，但更人性化。</p> <p>總之，不少人認為Claude 3 Opus很有前途。</p> <p>而Inflection AI所推出的Inflection-2.5模型則是應用在Pi聊天機器人上，是個強調同理心的聊天機器人。Inflection-2.5的基準測試都只是接近GPT-4水平，並未超越，但其進行訓練所使用的運算量，只有GPT-4的40%。目前並未特別有人比較Inflection-2.5與GPT-4。</p> <p>上述的AI新創每家都有實力堅強的背景，例如Mistral AI的多名共同創辦人分別曾是Google DeepMind與Meta的AI研究人員；Anthropic則是由曾擔任OpenAI研究副總裁的Dario Amodei，以及其妹妹、同樣身為OpenAI資深員工的Daniela Amodei共同創立；Inflection AI的共同創辦人暨執行長Mustafa Suleyman也是DeepMind的共同創辦人，之後於Google負責將AI整合到各種Google產品中。</p> <p>多款足以與GPT-4比美的模型在短時間內相繼問世，令外界訝異AI世界的成長速度，也相信現在最強大的GPT-4很快就會成為大型語言模型的平均值。</p> </div></div></div>
2024/3/11 16:26作者陳曉莉https://www.ithome.com.tw/news/161705