iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟推適用於VS Code的Microsoft Entra External ID擴充套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/identity/external-id-extension/">發布</a>VS Code的Microsoft Entra External ID擴充套件公開預覽版，該套件讓開發者能直接在VS Code中，將客戶身分和存取管理（CIAM）功能整合到應用程式中。Microsoft Entra External ID擴充套件提供了引導式體驗，供開發者在VS Code建立和配置External ID應用程式。</p> <p>Microsoft Entra External ID是一個微軟提供的身分管理服務，為Microsoft Entra產品組合的一部分，當組織需要與外部人員共享資源，諸如文件、應用程式或服務時，就可以使用External ID來創建和管理外部用戶的存取。</p> <p>過去要將CIAM整合到應用程式中有許多挑戰需要克服，不僅需要瀏覽大量文件，在VS Code中編寫程式碼，還需要切換到網頁入口網站設定配置，開發者需要執行大量手動複製貼上配置值的工作，而且過程又容易出錯，因此開發者通常會耗費大量時間在排除錯誤上。</p> <p>而Microsoft Entra External ID擴充套件簡化了整合過程和配置CIAM的工作，讓開發者在新專案添加身分認證功能更有效率。開發者可以直接使用擴充套件，在VS Code中設定工作流程，該套件會自動建立客戶租戶並且填入所需要的值，消除手動配置工作。對新手來說，該套件提供引導式體驗，逐步引導新手在應用程式添加External ID。</p> <p>擴充套件供未訂閱Azure服務的開發者在VS Code中免費試用，設定登入以及下載範例應用程式，而原本就是Azure用戶，則能以現有訂閱開始初始設定程序。Microsoft Entra External ID擴充套件可讓開發者選擇要向客戶提供的登入方法，包括電子郵件與密碼，以及電子郵件與一次性密碼，開發者可以自訂登入頁面，調整背景顏色、圖標和布局等。</p> <p>Microsoft Entra External ID擴充套件會自動客製化範例程式碼，以配合開發者的登入設定，目前擴充套件提供JavaScript、React和Angular單頁應用程式範例，官方提到，這不僅節省開發時間，也提供開發者學習的基礎。</p> </div></div></div>
2024/3/19 08:42作者李建興https://www.ithome.com.tw/news/161826
蘋果發表多模態大型語言模型MM1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年底發表的多模態大型語言模型（Multimodal Large Language Model，MLLM）<a href="https://www.ithome.com.tw/news/160517" target="_blank">Ferret</a>之後，蘋果上周再度發表另一個<a href="https://arxiv.org/abs/2403.09611" target="_blank">多模態模型家族MM1</a>，特別注重模型的架構元件以及預訓練中所使用的資料，以優化MLLM。</p> <p>蘋果團隊研究了MLLM架構的各種元件，諸如用來處理視覺資料的圖像編碼器，或是整合兩種模態資料的視覺語言連接器，用來訓練的資料則混合了圖像說明、配對的圖像與文字，或是純文字資料等，開發出支援300億個參數的MM1多模態模型家族，此一家族的模型結合了密集模型與混合專家模型，不管是在預訓練基礎模型或是微調後的模型，在多模態基準測試上都達到了良好的效能。</p> <p>研究人員表示，MM1的各種模型受益於大規模的預訓練，而強化了它們在脈絡學習、多圖像推論，以及有限提示的思考能力，代表相關模型將更能夠理解脈絡，基於不同圖像展開推論，也能在最少的提示下生成回應。</p> <p>根據市場分析機構Stocklytics的調查，蘋果已經買下了高達32家的AI新創，居美國科技大廠之冠，加拿大AI新創DarwinAI也在今年初被納入蘋果麾下，蘋果亦已對外承諾會在今年部署生成式AI，使得外界引頸期盼落後各大科技業者的蘋果，今年會端出什麼樣的AI產品。</p> </div></div></div>
2024/3/18 22:40作者陳曉莉https://www.ithome.com.tw/news/161825
Let's Encrypt推出新的憑證透明度日誌服務Sunlight
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Let's Encrypt推出<a href="https://letsencrypt.org/2024/03/14/introducing-sunlight.html">Sunlight專案</a>，這是一個憑證透明度（Certificate Transparency，CT）日誌實作，更符合現代Web公共金鑰基礎設施（PKI）的設計，官方提到，他們與知名資安專家Filippo Valsorda合作，並且參照廣泛透明度日誌記錄社群的意見，開發出了Sunlight。</p> <p>Web PKI是一種保護網際網路通訊的機制，仰賴數位憑證來驗證實體身分並加密資料，而憑證透明度日誌則是為了增加Web PKI系統透明度所加入的技術，由於任何人都可以檢查和監控憑證的發行狀況，因此有助於辨識錯誤或是惡意的憑證頒發，可以強化Web PKI的可信度。</p> <p>Let's Encrypt從2019年以來，一直在運作公開的憑證透明度日誌，雖然大致運作順利，但還是有一些待解決的問題。最初Let's Encrypt的Oak日誌架構採用關聯式資料庫，因此需要將每半年生成的資料，儲存在獨立的資料庫分片（Shard）中。</p> <p>但隨著營運負擔和成本增加，Let's Encrypt認為繼續拆分出資料庫並不是辦法，因為目前憑證透明度日誌分片大小約在5到10 TB左右，官方提到，這對於單一資料庫來說非常大，之前他們就曾遭遇到MySQL存在16 TiB的限制，導致測試日誌失敗的案例。</p> <p>擴大日誌儲存裝置對Let's Encrypt來說是一個龐大的壓力，官方表示，擁有高速磁碟和大量記憶體儲存的執行個體並不便宜，憑證透明度日誌可能因為客戶端試圖讀取所有資料而導致過載，但是施加速率限制避免執行個體過載，又會使客戶端運作緩慢，而這導致原本用於偵測錯誤憑證的透明度日誌，成為快速頒發憑證的阻礙。</p> <p>為此，Let's Encrypt建立了新的憑證透明度日誌實作Sunlight專案。Sunlight採用一種稱為Tiles的結構來儲存和快取資料，以更有效地管理和提供憑證透明度日誌中的資料。憑證透明度日誌是一種二元樹，每個節點都包含兩個子節點的雜湊，而葉層級則包含日誌的實際憑證資料，樹的頂端經過數位簽署，形成一個稱為墨克樹（Merkle Tree）的可加密驗證結構。</p> <p>這樣的設計讓任何人都可以驗證日誌中的憑證，同時也保證了日誌的透明度和不可篡改性。雖然墨克樹可用於校驗資料的完整性，但是卻需要進行大量的雜湊運算，對於非常大的資料集，可能產生效能瓶頸。</p> <p>Sunlight的Tiles結構則是將大樹切割成許多小塊（下圖），每塊Tiles包含樹的一部分，當需要查詢特定憑證時，系統就只需找到包含該憑證的Tiles，而不需要從整棵樹的根部開始搜尋。官方提到，Tiles API與之前CT API的動態端點不同，由於CT API需要根據憑證的雜湊值獲取憑證證明，所以CT API對每個憑證都有不同回應，因此無法使用共享快取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/tlog-tile-27%402x.png" style="width: 580px;" /></p> <p>而Tiles API將樹作為Tiles提供，便不需要動態運算或是請求處理，因此也就不需要API伺服器，而且因為Tiles是靜態的，所以能夠被有效地快取，另外，葉子Tiles還可以壓縮儲存，能夠節省更多的儲存空間。</p> <p>將日誌以一系列靜態Tiles公開，使得Let's Encrypt可以用更便宜方式水平擴展日誌服務，像是直接在S3等雲端物件儲存中切分Tiles，或是使用CDN、Web伺服器、檔案系統等。由於物件和檔案儲存更易取得且可簡單擴展，比雲端資料庫服務的成本更低。</p> <p>另外，過去憑證透明度日誌採用了一種稱為合併延遲（Merge Delay）設計，來限制提交日誌的延遲。意思是向日誌提交憑證時，日誌可以立刻回傳簽署憑證的時間戳記，並承諾在日誌最大合併延遲，通常是24小時內，在日誌中包含憑證。</p> <p>也就是說，合併延遲是一個憑證被提交到日誌之後，與實際被合併進日誌的時間延遲，這種延遲讓日誌營運者有時間進行不要的處理和驗證，但這也代表有一段時間，憑證存在卻沒有公開紀錄。這樣的情況可能導致一些問題，像是日誌服務出現問題，導致無法在最大合併延遲內將憑證合併到日誌中，如此日誌就無法履行對提交憑證的承諾，而影響憑證的有效性，而且沒有即時合併憑證，攻擊者也可能趁著空窗時間進行惡意行為。</p> <p>因此Sunlight採用批次處理的方法，將憑證以批次的方式整合到日誌中，而這會導致提交憑證過程增加一些延遲，但官方表示，這輕微的延遲可以避免常見憑證透明度日誌失敗的情況。</p> <p>Let's Encrypt目前已經發布了Sunlight軟體與規範，並開始運行Sunlight憑證透明度日誌服務，官方建議憑證頒發機構開始測試提交憑證資料到新的Sunlight日誌中，也建議讓憑證透明度程式考慮信任該新架構日誌。</p> </div></div></div>
2024/3/18 22:53作者李建興https://www.ithome.com.tw/news/161820
NuGet.org套件庫簽署憑證將於4/8更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/nuget/the-nuget-org-repository-signing-certificate-will-be-updated-as-soon-as-april-8th-2024/">提醒</a>NuGet.org更新套件簽署憑證，受影響開發者應該於2024年4月8日之前更新憑證，避免屆時無法安裝新版本套件。受影響範圍包括使用NuGet用戶端政策、NuGet.exe verify指令或是dotnet nuget verify指令來驗證套件是由NuGet.org簽署的開發者。</p> <p>自2018年以來，NuGet.org皆是使用X.509憑證簽署其NuGet套件，該憑證最後一次更新是在2021年3月15日，預計會在2024年5月15日到期。不過，微軟在4月8日就會以新憑證取代舊憑證，使用新憑證來簽署NuGet.org套件庫，目前已使用舊憑證簽署的套件將保持現有簽署狀態不變，但未來舊憑證就不會再被用來簽署新套件。</p> <p>有三類可能受到影響的使用者，第一類是使用NuGet用戶端政策，執行NuGet.org可信任簽署者允許名單的用戶。NuGet用戶端策略是一套設定，由開發者或組織在NuGet用戶端上配置，以控制可被安裝和使用的套件，該政策明確限制系統僅可從包括NuGet.org在內的可信簽署者下載套件，因此使用NuGet用戶端政策需要更新政策設定，將新憑證新增到允許清單中，才能夠使用新憑證簽署的套件。</p> <p>第二種可能受影響的用戶，是在Windows中使用NuGet.exe verify指令，驗證套件是否由NuGet.org簽署的開發者。而第三種則是使用dotnet nuget verify指令，驗證已簽署套件來自NuGet.org的開發者。使用新憑證簽署的NuGet.org套件安裝方式與使用舊憑證簽署的套件安裝方式相同，不過，如果開發者不在以上三種情況當中，那可能不會受到憑證更新的影響。</p> </div></div></div>
2024/3/18 22:56作者李建興https://www.ithome.com.tw/news/161824
可選購5G連網功能，Check Point新款OT網路防火牆上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/check_point_quantum_rugged_1595r_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對工業控制系統（ICS）或監控與資料收集系統（SCADA）所在的網路閘道防護需求，Check Point在2015年5月推出硬體強固防火牆1200R，2020年6月發表後繼機種1570R，到了2023年9月，宣布增設新款式1595R。</p> <p>就網路流量與資安防護處理的能力而言，1570R與1595R的效能規格都是一樣的。例如，兩款機型若只是使用防火牆的功能，吞吐量為1,900 Mbps；啟用入侵防禦系統（IPS）之後，吞吐量為770 Mbps；若再加上應用程式控管，吞吐量為700 Mbps。</p> <p>至於防禦功能全部啟用，它們的吞吐量為400 Mbps（連同上述防護技術之餘，同時啟動URL網址過濾、防毒、防殭屍網路、SandBlast零時差防護）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1570R-appliances-specs.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1570R-appliances-specs.jpg" style="width: 600px;" /></a></p> <p>藉由這些技術，1570R與1595R具有可延伸的資產探查能力，並且針對IT連至OT的網路實施嚴格的分段隔離機制；在IPS防護上，可比對超過300種特徵碼，以偵測OT環境的惡意網路流量；關於ICS或SCADA環境特有的通訊協定，Check Point系統可監控與控制的類型超過70種，能確保不同OT網路連線的區分，並且提供統一、快速部署的IT與OT資安管理。</p> <p>1570R與1595R最顯著的差異，在於機殼高度（9公分 vs. 4.2公分）、LAN埠數量（8個 vs. 4個）、同時連線數量（50萬個 vs. 100萬個），以及選購的無線網路連線能力——1570R支援Wi-Fi、3G或4G LTE，可加裝4支Wi-Fi天線與1支LTE天線，並將這樣的組態稱為1570R WLTE，新推出的1595R僅支援5G，可加裝4支5G天線，稱為1595R 5G（更早推出的1200R若需連接3G與4G網路，可外接USB數據機）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Check Point 1595R-2024-03-14.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Check%20Point%201595R-2024-03-14.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Check Point Quantum Rugged.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Check%20Point%20Quantum%20Rugged.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，1595R的網路埠支援旁路功能（bypass），若防火牆設備發生故障，流經這些網路介面的連線仍可繼續運作，而不會因此受到阻撓。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1595R-S13395202309201548231.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1595R-S13395202309201548231.jpg" style="width: 600px;" /></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/1595R-S13417202309201551053.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1595R-S13417202309201551053.jpg" style="width: 600px;" /></a></p> <p>若選用無線寬頻網路的組態，這兩款機型均可使用雙SIM卡（Nano或Micro尺寸的SIM卡，以及eSIM都適用），而能部署在智慧城市、智慧電網等應用領域。</p> <p>在極端狀態的環境承受能力上，1200R、1570R、1595R適用的溫度範圍，皆介於攝氏-40度到75度；關於防水防塵等級，1570R、1595R均為IP30（可阻止大於2.5公釐的異物進入、不防水）。在工業與硬體強固標準的要求上，兩款防火牆都通過IEEE 1613、IEC 61850-3、EN/IEC 60529的認證，可抵抗高熱、震動、電磁干擾。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1570R-T2008120200510135320.jpg" style="width: 288px;" /> <a href="https://s4.itho.me/sites/default/files/images/1595R-S13413202309201550252.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/1595R-S13413202309201550252.jpg" style="width: 298px;" /></a> </p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>Check Point Quantum Rugged 1595R</strong><br /> ●原廠：Check Point<br /> ●建議售價：廠商未提供<br /> ●網路介面：6個GbE埠（4個LAN埠、1個WAN埠、1個DMZ埠），選購5G嵌入式數據機<br /> ●防火牆吞吐量：1,900 Mbps<br /> ●VPN吞吐量：1,100 Mbps<br /> ●防護功能全部啟用後的吞吐量：400 Mbps<br /> ●同時連線數：100萬個<br /> ●支援通訊協定：BACNet、CIP、DNP3、IEC-60870-5-104、IEC 60870-6（ICCP）、IEC 61850、MMS、Modbus、OPC DA與OPC UA、Profinet、S7（Siemens），超過1,400種<br /> ●重量：1.21公斤</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/18 19:22作者李宗翰https://www.ithome.com.tw/review/161806
【資安日報】3月18日，國際貨幣基金組織電子郵件帳號傳出遭到挾持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>又是大型組織的電子郵件帳號遭到入侵的情況！上週國際貨幣基金組織（IMF）發布公告，透露他們一個月前遭到網路攻擊，並指出駭客入侵了11個電子郵件帳號。</p> <p>值得留意的是，IMF並未透露更多細節，但因為他們向新聞媒體證實，電子郵件系統採用Microsoft 365雲端服務，讓人不禁聯想1月微軟、HPE揭露的電子郵件帳號遭駭事故。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><strong style="font-size: 22px;">國際貨幣基金組織證實遭遇網路攻擊，11個電子郵件帳號被駭</strong></p> <p></p> <p>3月15日國際貨幣基金組織（IMF）坦承，他們在2月16日察覺遭遇網路攻擊，導致11個電子郵件帳號被入侵，這些帳號已恢復安全狀態，目前尚未發現其他遭到攻擊的跡象，該組織將持續進行調查。</p> <p>資安新聞網站Bleeping Computer指出，IMF採用Microsoft 365電子郵件系統，但與1月微軟、HPE證實遭遇俄羅斯駭客Midnight Blizzard攻擊的事故無關。</p> <p>資料來源</p> <p>1. <a href="https://www.imf.org/en/News/Articles/2024/03/15/pr2488-imf-investigates-cyber-security-incident">https://www.imf.org/en/News/Articles/2024/03/15/pr2488-imf-investigates-cyber-security-incident</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/international-monetary-fund-email-accounts-hacked-in-cyberattack/">https://www.bleepingcomputer.com/news/security/international-monetary-fund-email-accounts-hacked-in-cyberattack/</a> </p> <p><a href="https://blog.sonicwall.com/en-us/2024/03/new-multi-stage-stopcrypt-ransomware/"><strong style="font-size: 22px;">勒索軟體StopCrypt出現新變種，藉由多階段執行迴避偵測</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/StopCrypt_18_.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/StopCrypt_18_.png" style="width: 300px; float: right;" /></a>資安業者SonicWall針對勒索軟體StopCrypt（又稱Stop、Stop Djvu）的攻擊行動提出警告，指出駭客透過惡意廣告及可疑網站，假借提供免費軟體、遊戲破解程式、盜版軟體破解工具的名義，散布StopCrypt及其他惡意程式。</p> <p>此勒索軟體會先載入看似無關的DLL程式庫msim32.dll，疑似企圖轉移注意。接著，攻擊者透過動態架構的API堆疊來呼叫所需的記憶體空間，並取得讀取、寫入、執行的權限，並探測執行的環境。再來對方利用處理程序挖空（Process Hollowing）手法，將勒索軟體酬載注入合法處理程序，並在記憶體內執行。</p> <p>為了讓勒索軟體能持續在受害電腦運作，駭客竄改存取控制名單（ACL），以免使用者刪除惡意軟體，直到檔案加密完成，就會留下勒索訊息，要求400至1,000美元的贖金。</p> <p><a href="https://www.gitguardian.com/state-of-secrets-sprawl-report-2024"><strong style="font-size: 22px;">2023年近1,300萬組帳密資料在GitHub曝光</strong></a></p> <p>資安業者GitGuardian指出，開發人員透過GitHub不慎曝露的機敏資訊（Secrets）逐年增加，2023年有3百萬個公開儲存庫曝露逾1,280萬筆這類資訊，包含帳號與密碼、API金鑰、TLS或SSL憑證、解密金鑰、雲端服務帳密、OAuth憑證等，相較於2022年的1,000萬筆，增加超過四分之一。</p> <p>從國家地區來看，外洩這類資訊最嚴重的是印度、美國、巴西、中國、法國；而根據產業類型而言，資訊科技最多，近三分之二（65.9%），其次是教育產業有20.1%，而根據外洩的機密資訊類型，又以Google的API金鑰最多，占24.6%，其次是MongoDB資料庫的帳密、OpenWeatherMap與Telegram機器人的Token等，分別有22.2%、11.4%、10%。</p> <p>此外，隨著生成式AI的流行，研究人員也看到OpenAI的API金鑰外洩數量較2022年增加1,212倍，但指出AI模型共享平臺HuggingFace的Token也有越來越多的現象而值得留意。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <div> <p><a href="https://hiddenlayer.com/research/new-google-gemini-content-manipulation-vulns-found/"><strong style="font-size: 22px;">研究人員揭露Google Gemini聊天機器人潛在的威脅</strong></a></p> <p></p> <p>資安業者HiddenLayer指出，他們在Google大型語言模型Gemini上發現弱點，有可能導致系統提示洩漏、產生有害內容，或是導致間接注入攻擊。這些漏洞影響的範圍，包括透過Google Workspace使用Gemini的用戶，以及透過API使用此大型語言模型的組織。</p> <p>研究人員總共公布3個漏洞，其中一個是涉及繞過安全防護機制，從而洩漏系統提示或是系統訊息，藉由要求提供基本指令的方式來達到目的；第2種研究人員則是運用了名為「狡滑的越獄（crafty jailbreaking）」手法，藉由要求Gemini進入虛擬狀態，導致產生與美國選舉有關的誤導訊息，繞過Google原本防範該大型語言模組產生這類錯誤訊息的措施；最後1個是模擬重新設定的漏洞，研究人員嘗試輸入不常見的Token變形，進而得到重新設定的效果，系統提示或是系統訊息。</p> <p><a href="https://www.akamai.com/blog/security-research/kubernetes-local-volumes-command-injection-vulnerability-rce-system-privileges"><strong style="font-size: 22px;">Kubernetes高風險漏洞恐導致Windows節點遭到接管</strong></a></p> <p></p> <p>資安業者Akamai揭露Kubernetes高風險漏洞CVE-2023-5528，攻擊者若是在叢集植入惡意YAML檔案，就有機會遠端在Windows端點以SYSTEM權限執行程式，CVSS風險評分為7.2。</p> <p>研究人員指出，這項弱點發生的原因，在於使用不安全的函數功能呼叫功能，以及對於使用者輸入的內容進行清理所致。</p> <p>雖然這個漏洞影響範圍僅有Windows節點，但由於問題出現在源始碼，相關威脅仍會持續遭到鎖定，而使得有越來越多攻擊者試圖利用，因此他們認為，就算Kubernetes環境並未包含Windows節點，IT人員還是應該設法修補這項漏洞。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.bleepingcomputer.com/news/security/att-says-leaked-data-of-70-million-people-is-not-from-its-systems/"><span style="font-size: 20px;">電信業者AT&T傳出資料外洩，影響7千萬人，但該公司強調他們的系統並未遭駭</span></a></strong></p> <p></p> <p><a href="https://thehackernews.com/2024/03/ghostrace-new-data-leak-vulnerability.html"><strong><span style="font-size: 20px;">研究人員揭露新型態推測執行攻擊GhostRace，影響多種架構的處理器</span></strong></a></p> <p></p> <p><a href="https://www.facct.ru/media-center/press-releases/esim-bank-attacks/"><strong><span style="font-size: 20px;">SIM卡挾持攻擊出現新手法，鎖定eSIM設備發動攻擊</span></strong></a></p> <p><strong><a href="https://unit42.paloaltonetworks.com/analysis-of-bunnyloader-malware/"><span style="font-size: 20px;">惡意程式BunnyLoader 3.0被用於竊取受害電腦資料，並散布其他惡意軟體</span></a></strong></p> <p></p> <p><a href="https://www.tenable.com/security/research/tra-2024-07"><strong><span style="font-size: 20px;">資料備份軟體Arcserve UDP存在漏洞，有可能對主機散布惡意程式、造成阻斷服務</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161788"><strong>【3月15日】Windows安全機制SmartScreen弱點在公布前也被用於散布惡意程式DarkGate</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161764"><strong>【3月14日】研究人員揭露ChatGPT可用於存取第三方網站及敏感資料的漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161751"><strong>【3月13日】微軟發布3月例行更新，Hyper-V、Exchange、Azure K8s漏洞受到研究人員關注</strong></a></p> </div></div></div>
2024/3/18 15:09作者周峻佑https://www.ithome.com.tw/news/161813
xAI開源Grok所使用的大型語言模型Grok-1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由馬斯克（Elon Musk）去年<a href="https://www.ithome.com.tw/news/157758" target="_blank">成立</a>的AI新創xAI，本周<a href="https://github.com/xai-org/grok-1?tab=readme-ov-file" target="_blank">開源</a>其聊天機器人Grok所使用的底層大型語言模型（LLM）Grok-1。</p> <p>xAI是在去年10月利用基於JAX函式庫與Rust程式語言的客製化訓練堆疊，從頭開始訓練Grok-1，這是一個使用大量文字資料進行訓練，且沒有針對任何特定任務進行微調的基礎模型，此外，Grok-1也是個具備3,140億個參數的混合專家模型，任何Token的運算只使用25%的權重（參數）。</p> <p>Grok-1在GSM8k、MMLU、HumanEval與MATH等基準評測上雖然尚未超越OpenAI的GPT-4，卻都勝過GPT-3.5。</p> <p>不過，xAI也提醒企圖使用Grok-1的研究人員，由於此一模型的規模龐大，必須要配備足夠GPU的機器才能以樣本程式來測試該模型。Grok-1適用於Apache 2.0 授權，意味著它允許商業使用及修改，但無法註冊商標，也必須複製原始許可及版權說明，並陳述所作的變更。</p> <p>xAI決定開源Grok-1可能是在向OpenAI示威，馬斯克日前<a href="https://www.ithome.com.tw/news/161593" target="_blank">控告</a>OpenAI與Sam Altman，指控它們違反當初創立時的初衷，為了獲利而開發通用人工智慧（Artificial General Intelligence，AGI），而非當初所承諾的開源及替全人類謀福利。</p> </div></div></div>
2024/3/18 14:31作者陳曉莉https://www.ithome.com.tw/news/161812
Fintech周報第234期：三菱旗下租賃公司分三階段發展生成式AI應用，首先在內部建立生成式AI測試環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">3/11~3/17金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 三菱日聯租賃</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <h3>三菱旗下租賃公司分三階段發展生成式AI應用，首先在內部建立生成式AI測試環境</h3> <p>三菱旗下的租賃公司三菱HC資本近期宣布，正式開放內部2200名員工使用生成式AI，同時規畫出三年路徑圖，計畫讓企業內部深度應用生成式AI，除了要提高營運效率，也要加速生產商品或服務。這間企業主要提供公司租賃和融資解決方案，包括各種動產不動產租賃事業、金融業務，和綠色租貸等。</p> <p>這項三年計畫分三階段實施，第一階段是推廣生成式AI普及化，包括制定內部使用指南和建立環境。為了讓內部之後能快速驗證生成式AI應用的效果，他們在去年10月建立了一個測試環境，今年1月開始測試多項應用。接著，他們根據測試結果在Azure OpenAI建立使用環境，近期才正式在內部啟用生成式AI應用。</p> <p>除了建立測試環境，他們也積極了解業務單位的需求，根據每個應用帶來的效果、需要的資料和技術難度，列出優先處理的應用。他們表示，在內部應用案例上，未來將著重於發展文件摘要、資料檢索，和提高銷售和審核的工作效率，同時也會加強企業間合作，包括通過API整合外部服務。</p> <p>計畫目前已執行至第二階段，目標是提升包括銷售、審查和客服的業務效率。三菱HC資本計畫在今年執行ㄧ項POC驗證，建立ㄧ個具有增強型知識的內部知識庫，再根據POC成果，橫向發展至其他業務領域。2025年邁向計畫的第三階段，他們將運用這個知識庫打造業務專用型服務，持續擴大生成式AI應用範圍。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本靜岡銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>日本靜岡銀行以生成式AI打造一款名為「數位CIO」的AI助理，協助業務單位了解IT進階規劃，加速轉型</h3> <p>銀行業在進行數位轉型時，業務單位需要與IT單位長時間溝通了解IT規劃，花費不少時間成本。為了解決這項痛點，日本靜岡銀行正在進行ㄧ項實驗，他們計畫用生成式AI打造一個名為「數位CIO」的Chatbot，提供業務單位IT規畫諮詢和建議，包括提供業務人員查詢IT系統資訊，或針對系統規格單提供建議。透過這項應用，靜岡銀行期望減輕IT部門推動轉型計畫的負擔，同時提升業務營運效率。</p> <p>這項實驗計畫運用銀行既有資訊、銀行業界資訊、IT相關資訊和一般資訊，作為「數位CIO」的訓練資料。該AI助理會供使用者查詢IT系統資訊，以及生成系統規格單草稿。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 客服中心</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3><span style="color: rgb(29, 28, 29); font-family: NotoSansTC, Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures;">日本系統整合商推出新型態的金融業客服中心解決方案，能用生成式AI提前預測顧客詢問內容</span></h3> <p>日本系統整合商CTC近期針對金融業推出一套解決方案，將生成式AI應用至客服中心，提前預測顧客欲查詢的內容，並提供相關資訊。當顧客撥打至客服時，系統會根據電話號碼或合約編號辨識顧客，再根據顧客的歷史購買記錄和網站、應用程式上的行為數據，推測他可能查詢的內容，早客服人員一步提供顧客相關資訊。客服人員接聽電話後，系統會根據對話提供客服人員相關資訊。若客服人員並未接聽電話，系統會進行意圖判斷，並自動回應相關資訊。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Ocard</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 支付 </span></strong></span></h3> <h3>CRM技術商Ocard宣布進軍支付領域，要靠1300萬用戶數發展金融生態系</h3> <p>看好會員制度結合行動支付的效益，Ocard近期宣布與Pi 拍錢包合作開發支付工具Ocard Pay，要整合金融服務與點數生態系，發展金融生態系。</p> <p>CRM技術商Ocard近幾年與多家品牌商家合作發展會員點數，平臺橫跨餐飲、零售、住宿、美容和生活娛樂等超過5,000間店家，四成為連鎖店家，目前平臺已累積超過1,300萬用戶數。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲聯邦銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>澳洲聯邦銀行揭露未來將開發CommBank Copilot，加速解決顧客疑問並協助顧客管理資金</h3> <p>澳洲最大銀行聯邦銀行（Commonwealth Bank of Australia）近期宣布，將與微軟深度合作發展生成式AI。他們條列出合作關係中的關鍵發展計畫，包括要發展CommBank Copilot，加速解決顧客疑慮，和協助顧客了解自己的資金，提升客戶體驗。另外，他們也要發展內部行員使用的Copilots，以生成式AI幫助他們回應顧客需求。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 香港金管局</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 穩定幣沙盒 </span></strong></span></h3> <h3>香港金管局推出穩定幣發行人沙盒</h3> <p>既上周推出批發型央行數位貨幣的沙盒，香港金管局本周接著推出穩定幣沙盒，開放有意在香港發展穩定幣發行業務的業者申請。香港目前對穩定幣的監管制度是針對發行人進行審查，根據目前擬定的規範，穩定幣發行者需要持有金管局發出的牌照，並在香港設立法人，準備金需至少等於發行的穩定幣價值。</p> <p>香港金管局表示，沙盒的目的是收集監管意見，並向有意願並已有合理規畫的發行者傳達監管期望，並提供合規指引，因此，成為沙盒參與者並不意謂獲得金管局的認可，也不代表受到監管。他們表示，在監管制度實施後，沙盒參與者還是需要向主管單位提交牌照申請。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 跨境支付</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 共通支付標準 </span></strong></span></h3> <h3>日本將在2025年和東協國家實現QR code跨境支付</h3> <p>根據日經報導，日本政府開始和東協政府討論，預計將在2025年統一兩個地區使用的支付標準，實現QR code跨境支付，讓兩個地區的人民到了各國都能以手機掃碼進行支付。</p> <p>日本在2020年就推出共通支付標準「JPQR」，類似臺灣推出的「TWQR」，讓日本商家只需要使用一組專屬QR code，就能對應多家電子支付業者的系統需求。負責營運JPQR的日本支付協會預計在今年建立一個能連接海外服務的系統，支持跨境支付。</p> <h3>其他重要Fintech新聞：</h3> <ul> <li>PayPal、Venmo在美支援iPhone Tap to Pay</li> <li>辦理國內小額匯兌未確認使用者的第二金融支付工具，一卡通因系統程式邏輯缺失遭金管會開罰50萬</li> <li>損害保險日本興亞對內推出生成式AI的Chatbot，支援員工會議紀錄整理、報告摘要、資料檢索等日常工作</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／三菱HC資本</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年3月</p> <p></p> </div></div></div>
2024/3/18 10:47作者李昀璇https://www.ithome.com.tw/news/161809
【資安週報】2024年3月11日到3月15日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期適逢多家廠商發布每月安全更新，包括微軟、Adobe、SAP等多家IT業者，以及西門子、施耐德電機等ICS工控業者，大家關切這些例行修補之餘，還有一些安全性弱點消息也要留意，例如：威聯通NAS，思科SSL VPN用戶端軟體，以及應用程式開發平臺OpenEdge的漏洞修補。</p> <p>特別的是，我們近期還注意到WordPress有多個外掛程式漏洞的陸續揭漏，當中以存在Bricks Builder外掛編輯器的重大RCE漏洞CVE-2024-25600，需要特別重視，因為多家業者發現已將其用於攻擊行動。此外，另一外掛程式Popup Builder去年修補的漏洞CVE-2023-6000，近期也發現被遭駭客積極鎖定利用的狀況。</p> <p>在資安事件方面，有一起關於臺灣企業的事件引發極大關注，是宏碁菲律賓分公司傳出資料外洩，宏碁已證實當地分公司有部分員工資料被存取，是菲律賓的外部供應商發生資料外洩事故造成。值得注意的是，日前我們報導上市櫃遭網路攻擊的現況時，資安專家指出，現在勒索攻擊的型態，並不全是用加密方式綁架資料而進行勒索，「偷資料的勒索」也逐漸成為常態，而上述事件中，目前傳出消息是只有資料被偷，對方並未使用勒索軟體或是加密檔案，至於後續是否有向宏碁勒索的行為，暫不得而知。</p> <p>此外，還有美法兩國的重大資料外洩消息，例如，美國移民主管機關的敏感資料流入駭客論壇，原因是IT承包商遭駭，以及法國失業救濟機構France Travail遭入侵，4,300萬人個資恐流出。</p> <p>國際有個重大資安事故的消息，全球也正在關注後續發展。法國總理辦公室最近公開表示，當地多個政府機構遭受了「前所未有的強度」的網路攻擊，據當地媒體指出，法國各部會網站是遭DDoS攻擊，而法國政府也採取措施，成立危機反制小組來應對，由於今年7月法國將舉辦2024奧運，還有6月舉行的歐洲議會選舉，該國國防顧問先前也是警，近期相關活動可能成為網路攻擊的重要目標。</p> <p>在威脅態勢上，美國聯邦調查局（FBI）發布2023年度網路犯罪報告，強調勒索軟體駭客攻擊關鍵基礎設施日益頻繁，我們在此列出重點，幫助大家快速了解。<br /> ●勒索軟體的影響再次上升，在FBI接獲的2,825件勒索軟體攻擊事故中，有1,193件是針對關鍵基礎設施（CI）有關的組織而來，相當於每5起事故就有2起是針對CI，這樣的比例比前一年度更高。<br /> ●從犯罪型態來看，商業電子郵件詐騙（BEC）危害程度居高不下，FBI表示，2023年此類犯罪損失高達29億美元。我們對比了前兩年的BEC損失，分別是23億美元、27億美元，可看出企業必須持續嚴防這類威脅。<br /> ●投資詐騙問題越來越大，2022年損失達33億美元，超越BEC而成為傷害最大的犯罪型態，2023年這類損失金額更是達到45億美元。</p> <p>在其他重要威脅態勢上，這星期還有不少勒索軟體最新動向的揭露，我們整理如下：</p> <p>●勒索軟體駭客組織BianLian最近的攻擊行動，是利用前一陣子TeamCity的漏洞來發起入侵。<br /> ●由勒索軟體駭客組織GhostSec、Stormous發起的雙重勒索攻擊，正利用名為GhostLocker 2.0的勒索軟體，鎖定中東、非洲、亞洲企業發動攻擊。<br /> ●去年4月出現的勒索軟體駭客組織RA World，攻擊目標原本是美國、韓國，後續擴展至德國、印度，以及臺灣，拉丁美洲現在也被鎖定。</p> <p>回到國內，關於上市櫃公司資安事件揭露的規範，最近有重要消息發布。我們先前報導臺灣證券交易所發布新版重訊問答集，裡面具體列出「上市公司」的資安事件重大性標準，而對於「上櫃公司」資安事件重大性標準的規範，則是在3月8日由證券櫃檯買賣中心發布。簡單來說，當中明訂核心系統遭駭，官網遭駭、DDoS、個資外洩、造成服務受影響中斷等，都屬重大性事件，而且，都需要發布重大訊息告知投資人。</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/161709"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月11日】為隱匿攻擊流量，駭客濫用虛擬化平臺QEMU設置網路通訊隧道</span></strong></a></h3> <p style="margin: 0px;">為了讓攻擊行動更為隱密，攻擊者建立網路隧道（Tunnel），從而埋藏攻擊流量的情況，研究人員已經發現多起這種類型的攻擊行動，其中最常針對部分，就是利用DNS打造這類通道來達成目的。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">但最近出現一種新型態的攻擊手法引起研究人員關注，駭客使用的是虛擬化平臺QEMU來達到目的，從而繞過受害組織的資安防護措施。</p> <p><a href="https://www.ithome.com.tw/news/161727"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月12日】勒索軟體駭客組織「變臉」藉由TeamCity伺服器入侵受害組織</span></strong></a></p> <p>上週JetBrains發布CI/CD開發工具TeamCity 2023.11.4版，當時修補2個高風險層級的身分驗證漏洞，並衍生該軟體業者與通報漏洞的研究人員對於漏洞公開出現意見不一致的狀況。如今，這些漏洞已被用於實際攻擊行動──資安業者GuidePoint在惡名昭彰的勒索軟體駭客「變臉」近期攻擊行動裡，發現駭客運用上述漏洞入侵目標組織，部署後門程式以進行後續攻擊行動。由於這項開發工具相當普及，且針對這套系統的攻擊行動這一年來越來越常出現，IT人員應儘速套用相關緩解措施。</p> <h3><a href="https://www.ithome.com.tw/news/161751"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月13日】微軟發布3月例行更新，Hyper-V、Exchange、Azure K8s漏洞受到研究人員關注</span></strong></a></h3> <p style="margin: 0px;">本週二有許多軟體業者與工控系統廠商推出每月例行更新，包含微軟、Adobe、SAP、西門子、施耐德電機，這些公司揭露與修補的漏洞，目前尚未出現遭到利用的跡象。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">話雖如此，還是有些漏洞引起研究人員的關注。以微軟本次公布的漏洞為例，許多研究人員特別提及要注意Hyper-V漏洞CVE-2024-21407。資安業者Rapid7警告，雖然微軟表示攻擊者必須收集特定的環境資訊才能利用這項漏洞，但也提醒在Hyper-V主機上，完全不需取得特殊權限。</p> <h3><a href="https://www.ithome.com.tw/news/161764"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月14日】研究人員揭露ChatGPT可用於存取第三方網站及敏感資料的漏洞</span></strong></a></h3> <p style="margin: 0px;">隨著生成式AI的運用日益廣泛，這類聊天機器人無法只根據機器學習模型回答問題，因此系統開發者將其串連線上搜尋引擎、程式碼儲存庫、CRM等各類服務，並進行資料交換，形成新的生成式AI生態圈，這麼做可能提升AI的功能，卻也帶來潛在的資安風險。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">研究人員最近針對ChatGPT的相關功能著手進行調查，證實上述的情況。而這種允許使用者與第三方服務串連的功能模組，在ChatGPT被稱為外掛程式（Plugins）。</p> <h3><a href="https://www.ithome.com.tw/news/161788"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月15日】Windows安全機制SmartScreen弱點在公布前也被用於散布惡意程式DarkGate</span></strong></a></h3> <p style="margin: 0px;">微軟在今年2月例行更新（Patch Tuesday），修補Microsoft Defender SmartScreen安全機制的漏洞CVE-2024-21412，當時通報漏洞的資安業者趨勢科技表示，這項漏洞在去年底就被APT駭客組織利用。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">但在研究人員進一步追查後發現，今年1月有另一組人馬也將其用於散布惡意程式DarkGate。這樣的情況，很有可能還有其他駭客也在微軟修補之前，就掌握這項漏洞。</p> </div></div></div>
2024/3/18 11:34作者羅正漢https://www.ithome.com.tw/news/161807
星巴克關閉Web3&NFT專案Starbucks Odyssey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球連鎖咖啡廳星巴克（Starbucks）上周五（3/15）<a href="https://odyssey.starbucks.com/#/faq" target="_blank">宣布</a>，將結束於2022年9月<a href="https://www.ithome.com.tw/news/153023" target="_blank">發表</a>的Web3暨NFT專案Starbucks Odyssey。</p> <p>Starbucks Odyssey是星巴克既有會員服務星禮程（Starbucks Rewards）的數位延伸，奠基於Polygon區塊鏈協定，讓完成指定挑戰的會員可獲得基於NFT的旅程戳章，也會出版限量版戳章供會員以信用卡購買，而無需加密貨幣或錢包，並設立了交易市集供會員交易不同的戳章，以試探Web3水溫。</p> <p>不過，星巴克上周於Starbucks Odyssey專案的FAQ頁面上宣布，即將於3月31日終止該專案，預計於3月19日關閉Starbucks Odyssey Discord伺服器，原有的市集將遷移至Nifty Gateway，使用者未來仍可自Nifty Gateway領取自己的NFT戳章，並透過該平臺繼續交易。</p> <p>雖然星巴克上周將Starbucks Odyssey專案稱為Beta專案，但在一年半前發表時並未使用任何Beta或測試字眼，而今，看起來星巴克也尚無延續該專案的計畫。</p> <p>非同質化代幣（Non-Fungible Token，NFT）為一基於區塊鏈技術的數位所有權憑證，每個憑證都是獨一無二的，可被應用在各種數位作品上，它在2021年興起，快速地於2022年初達到高峰，卻也在2023年迅速衰退。</p> <p>根據市場的估算，NFT在2020年的全球交易額為8,200萬美元，2021年即達到170億美元，2022年再成長至237億美元，去年則只剩87億美元。市場研究機構dappGambl<a href="https://dappgambl.com/nfts/dead-nfts/" target="_blank">則說</a>，在全球逾7.3萬個NFT中，有95%毫無市場價值。</p> <p>交易量的下滑、市場的退燒，令<a href="https://www.ithome.com.tw/news/155934" target="_blank">Meta放棄</a>Facebook與Instagram的NFT計畫，知名NFT市集OpenSea也在去年11月直接<a href="https://www.ithome.com.tw/news/159650" target="_blank">裁撤</a>一半員工。</p> </div></div></div>
2024/3/18 12:05作者陳曉莉https://www.ithome.com.tw/news/161811
麥當勞系統當機影響全球門市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球連鎖速食餐廳麥當勞（McDonald's）在北美中部時區（CDT）上周五（3/15）凌晨（約臺北時間3/15中午），發生技術問題，造成銷售結帳（Point of Sales，POS）系統無法使用，影響全球麥當勞門市。<a href="https://corporate.mcdonalds.com/corpmcd/our-stories/article/global-tech-outage.html" target="_blank">麥當勞當天就發表聲明</a>，澄清此事並非為網路安全事件，而是因第三方業者變更配置所導致。</p> <p>此一故障同時波及了美國、加拿大、日本、澳洲與香港等市場，客戶無法透過行動程式或自助點餐機下單，有些門市只收現金，還有些門市乾脆暫時休息。</p> <p>麥當勞表示，由於第三方供應商變更了配置，使得該公司經歷了全球性的技術系統中斷。此一配置變更所造成的服務中斷在幾個小時內便修復，目前麥當勞正在分析此一意外事件，以追究內部團隊與第三方業者的責任。</p> </div></div></div>
2024/3/18 11:06作者陳曉莉https://www.ithome.com.tw/news/161810
總共提供18.8 Gbps效能，臺廠Wi-Fi 7基地臺有更多選擇
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/en_shuo_ecw536_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從去年底到今年初，我們陸續報導多款支援Wi-Fi 7（802.11be）的企業無線網路基地臺，當中有不少是基於高通（Qualcomm）的Networking Pro 1220 Platform晶片而成，像是<a href="https://www.ithome.com.tw/review/159429">Zyxel WBE660S</a>、<a href="https://www.ithome.com.tw/review/160857">Ruckus R770</a>、<a href="https://www.ithome.com.tw/review/161189">Fortinet FortiAP 441K</a>，我們注意到還有一款國產廠商產品也名列其中，那就是恩碩科技（EnGenius Technologies）的ECW536，而且發表時間在2023年7月，其實早於上述解決方案，在11月公開的Wi-Fi 7新品特色介紹影片當中，不只著墨在ECW536是BE19000等級、4x4:4天線架構的產品，也帶出他們提供的另一個款式ECW526，屬於BE9500等級、2x2:2天線架構的產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ECW536-Qualcomm-Wi-Fi 7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ECW536-Qualcomm-Wi-Fi%207.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/EnGenius%20Wi-Fi%207.jpg" style="width: 600px;" /></p> <p>恩碩科技是1999年在美國註冊、專注於網路通訊產業的品牌，目前是神準科技（Senao Networks）的子公司，今年1月恩碩宣布ECW536開始出貨，這款機型總共可提供18.8 Gbps的網路傳輸速率，可針對需要大量頻寬的應用程式與存取巨量資料的環境，提供強大的連線效能，以個別頻段而言，6 GHz頻寬可達11,600 Mbps，5 GHz為5,800 Mbps，2.4 GHz為1,440 Mbps。而在內建的網路介面上，這款機型提供兩個10 GbE埠，其中一個支援PoE++規格的連線與供電部署方式（可輸出60瓦電力）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ECW536-Speed.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ECW536-Speed.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ECW536-NIC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ECW536-NIC.jpg" style="width: 250px;" /></a></p> <p>若不需要這麼大的頻寬，可考慮採用恩碩另一款Wi-Fi 7基地臺ECW526，此機型總共能提供9,400 Mbps的網路傳輸速率，以個別頻段而言，6 GHz頻寬可達5,800 Mbps，5 GHz為2,900 Mbps，2.4 GHz為700 Mbps。而在內建的網路介面上，這款機型提供1個10 GbE埠，支援PoE+規格的連線與供電部署方式（可輸出30瓦電力）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ECW526-Speed.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ECW526-Speed.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ECW526-NIC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ECW526-NIC.jpg" style="width: 250px;" /></a></p> <p>關於產品的定位，ECW536與ECW526均為恩碩旗下的雲端管理型室內無線基地臺，企業若要控管這些設備，可透過瀏覽器或行動App，連上該公司營運的雲端服務平臺EnGenius Cloud，以便進行基地臺的註冊、組態設定，以及韌體更新。在研究ECW536相關資訊的過程當中，我們發現與恩碩科技有密切關係的神準科技，目前也有一款Wi-Fi 7基地臺機型IAP4701A，僅提供硬體設備解決方案，ECW536最主要的差異是搭配雲端管理平臺EnGenius Cloud。</p> <p><a href="https://s4.itho.me/sites/default/files/images/EnGenius Cloud2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EnGenius%20Cloud2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/EnGenius Cloud3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EnGenius%20Cloud3.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>EnGenius ECW536</strong><br /> ●原廠：恩碩科技<br /> ●建議售價：廠商未提供<br /> ●支援無線網路規格：802.11 a/b/g/n/ac/ax/be<br /> ●網路介面：2個10 GbE埠（其中1個支援PoE++）<br /> ●天線架構：6 GHz、2.4 GHz、5 GHz為4x4:4，MU-MIMO<br /> ●傳輸速度：總共為18 Gbps，6 GHz為11,600 Mbps，5 GHz為5,800 Mbps，2.4GHz為1,400 Mbps<br /> ●支援供電方式：DC、PoE<br /> ●整合其他無線通訊技術：無<br /> ●尺寸：23 x 23 x 3.7公分<br /> ●重量：1.27公斤<br /> ●集中管理平臺：EnGenius Cloud</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/17 18:03作者李宗翰https://www.ithome.com.tw/review/161558
AI趨勢周報第247期：OpenAI開源內部專用LLM分析工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0308～0314)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Transformer Debugger </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>OpenAI開源內部專用LLM分析工具Transformer Debugger</strong></span></p> <p>最近，OpenAI在GitHub上開源一款分析工具Transformer Debugger，是內部超對齊團隊（Superalignment）專用的語言模型分析器，可用來理解Transformer內部結構和運作原理，提高透明度。這款工具含自動解釋功能和稀疏自動編碼器兩種功能，可快速探索語言模型，使用者不必寫程式，就能了解模型內部神經網路對模型輸出的影響。</p> <p>比如，這個工具可用來干預模型向前傳遞訊息，特別是神經元和注意力頭部部分。使用者可刪除特定神經元，來觀察模型輸出的變化，也可對Transformer Debugger提問，如「為何模型在該提示中輸出Token A，而不是Token B？」等問題。OpenAI的機器學習和超對齊研究員<a href="https://twitter.com/janleike/status/1767347610149671323?s=20">Jan Leike表示</a>，這個工具雖然還處於早期階段，但他們希望藉由開源，來推動這方面的研究進展。他也表示，這個工具是要讓專家理解小型語言模型如何運作，並提供模型決策過程的詳細流程圖。<a href="https://github.com/openai/transformer-debugger">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 人才培育 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google臺灣揭露今年三大AI落地戰略</strong></span></p> <p>Google日前在臺灣春酒記者會中，揭露了三大AI戰略方向，包括培植各領域人才、強化開發者社群和協助各產業等面向，來協助臺灣掌握AI機會。進一步來說，AI是Google臺灣今年的重要在地發展目標，在培植各領域人才上，進一步會細分成三個策略，AI普及、AI應用和AI創新。</p> <p>就AI普及來說，Google將在臺設立Gemini學院，來提升社會大眾的AI識讀能力，預計在2024年培育1,000名中小學老師接受訓練，並提供3套線上訓練，包括AI基本素養、安全負責任的使用AI、使用AI幫助教學。就AI專業人才的AI應用能力上，Google將繼續透過數位人才探索計畫，從今年第二季開始，在原本的兩大課程「數位行銷和網站分析」和「雲端技術」新增AI基礎介紹和新工具知識，如生成式AI、LLM、負責任AI等。最後一項人才培育則是要強化學研界的AI創新能力，將持續舉辦第七屆的AI創新研究營。</p> <p>另外，強化開發者社群是Google今年的第二大AI落地戰略，會從工具、社群和技術三個層次展開。尤其在社群經營上，從今年1月展開，預計舉辦16場Build With AI活動，培訓800位開發者投入生成式AI，並計畫培育60位社群領袖成為AI工具的種子教師，以及4位生成式AI領域的Google開發者專家。最後一個AI落地面向是Google要用AI協助各產業創新，比如Google從去年12月陸續推出多項生成式AI技術產品和工具，並以Gemini為名來統一這個GenAI產品線，臺灣也有企業開始試用這些產品，像是中附醫去年底導入醫療專用生成式AI模型MedLM、PChome預計採用AI/ML來提供更精準的商品推薦、旅遊網站KKday則要透過Vertex AI來運用生成式AI技術，將網站旅遊行程商品翻譯6國語言。<a href="https://www.ithome.com.tw/news/161756">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Covariant </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>專門用來教導機器人！Covariant發表大型語言模型RFM-1</strong></span></p> <p>AI軟體公司Covariant專門開發用來教導機器人新技能的模型，他們最近發表一款大型語言模型RFM-1，也就是機器人基礎模型，可供任何人在幾分鐘內快速規畫新機器人行為。</p> <p>Covariant自2017年開始建置機器人資料集，蒐集機器人於實體世界的行為，用來訓練模型。RFM-1利用Covariant建置的機器人資料集，再加上大量網路資料，包括文字、圖像、影片、機器人動作，以及各種感測資料進行訓練，是個具80億參數的多模態模型，能支援多種應用。比如，它可以透過圖像學習來分析場景，如分割或辨識；也能結合文字指令與圖像觀察，來產生所需的抓取動作或運動順序；還能將場景圖像與目標抓取圖像配對，以影片格式來預測結果，或模擬沿途數位感測器上的數字。<a href="https://covariant.ai/insights/introducing-rfm-1-giving-robots-human-like-reasoning-capabilities/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-03-17%20at%204_19_37%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT Builder </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot GPT </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟釋出GPT Builder工具，可打造客製版GPT</strong></span></p> <p>微軟最近宣布對付費的Copilot Pro方案用戶，釋出Copilot GPT Builder工具，來讓使用者打造Copilot GPT客製版。Copilot GPT Builder和OpenAI去年底推出的GPT Builder開發工具很像，可讓中小企業或個人用戶以文字輸入指令，打造具有專門用途的AI聊天機器人，像是在購物網站建一個根據用餐計畫建議購物清單的Copilot GPT。</p> <p>Copilot Pro則是今年1月微軟公布給個人用戶的Copilot方案，費用為每人每月20美元。Copilot Pro底層模型也將提升到GPT-4 Turbo。微軟也提供Copilot Pro用戶使用GPT Builder的指示，用戶需安裝Edge或Chrome瀏覽器，連到copilot.microsoft.com或chat.bing.com網站，再登入微軟帳號操作即可。<a href="https://twitter.com/mikeschechter/status/1766327508084117759">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-Copilot%20pro-gpt-(2)(1).jpg" /></span></strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎設施 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta公開GenAI基礎設施</strong></span></p> <p>Meta最近公開自家使用的GenAI基礎設施，內含兩個各用24,576個Nvidia H100 GPU的大型資料中心叢集，以及相關的網路、運算與儲存部署。早在2022年，Meta就揭露自己打造的AI叢集AI Research SuperCluster，當時就稱這是全球速度最快的超級電腦之一，使用了1.6萬個Nvidia A100 GPU。</p> <p>而最近Meta揭露的GenAI叢集，雖採兩種不同的網路架構，但都配備了24,576張Nvidia H100 GPU。因為，他們每天要執行數百兆個AI模型，因此需要客製自己的硬體、軟體和網路架構，來確保資料中心的高效運作。其中一個叢集是基於Arista 7800、Wedge400與Minipack2開放運算計畫（OCP）機架交換器的RDMA over Converged Ethernet（RoCE）解決方案，可透過乙太網路自遠端直接存取記憶體的網路協定，是高頻寬、低延遲的網路基礎設施。</p> <p>另一個叢集則採Nvidia的Quantum2 InfiniBand架構，同樣也是專為高效能運算的低延遲與高頻寬所設計。這兩個叢集的端點互連速度皆高達400 Gbps，採用不同網路架構，將有利Meta評估不同類型的互連對大規模訓練的適用性及可擴展能力，以作為未來設計和建置更大規模叢集的參考。<a href="https://engineering.fb.com/2024/03/12/data-center-engineering/building-metas-genai-infrastructure/">（詳全文）</a></p> <p><img alt="" src="https://engineering.fb.com/wp-content/uploads/2024/03/Meta-24K-GenAi-Clusters-hero.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepMind </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 通用AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>DeepMind開發通用AI，可接收指令玩遊戲</strong></span></p> <p>幾年來，DeepMind一直專攻AI代理人玩遊戲研究，最近開發一套新AI代理Scalable Instructable Multiworld Agent（SIMA），是第一個能理解廣泛遊戲世界的AI代理，可像人類一樣遵循自然語言指令、執行任務。</p> <p>就技術架構來說，SIMA由兩個模型組成，一個專門處理圖像和語言映射的模型，另一個則是預測螢幕接下來會發生什麼事件的模型。團隊表示，SIMA不需存取遊戲原始碼，也不需要客製的API，只需兩個輸入值，即螢幕畫面和用戶所提供的簡單自然語言指令，並使用鍵盤和滑鼠來控制遊戲角色。</p> <p>DeepMind與8個遊戲工作室合作，在9款3D遊戲中訓練和測試SIMA。團隊對SIMA進行了600項基本技能評估，涵蓋導覽、操作物件和使用選單等，目前SIMA可在10秒內完成簡單任務，DeepMind希望SIMA之後能完成需要高階策略規畫，並由多個子任務組合才能完成的複雜任務。他們也發現，SIMA具備泛化能力，能將學習到的技能和策略，應用在沒見過的環境中。<a href="https://deepmind.google/discover/blog/sima-generalist-ai-agent-for-3d-virtual-environments/">（詳全文）</a></p> <p><img alt="" src="https://lh3.googleusercontent.com/sZ-76rwruMwufnHckkI7saPxuFc9kjX48x951LogZ_ADVauhANXXYCBbhhqEiDi2OkILF5Tuc8cRDPsyYeg3leEMUM4_GVn3Jo8e4n4YypgUZ_iKjw=w2140-rw" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IBM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> NASA </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 科學文獻 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IBM聯手NASA開發科學文獻專用LLM</strong></span></p> <p>IBM和NASA聯手訓練一套Transformer大型語言模型，用科學文獻訓練而成，能進行分類、實體擷取、問答和資訊檢索等各種科學自然語言理解任務。該模型也在Hugging Face上開源，供科學與學術社群使用。</p> <p>進一步來說，為了讓模型理解科學專有名詞和複合詞，團隊使用來自天文物理學、地球科學與太陽圈物理學等多個專業領域資料集的600億個Token，來訓練模型。後來，團隊用生物醫學基準測試BLURB來評估IBM-NASA模型，分數比其他開源的RoBERTa模型高出5％。這個IBM-NASA模型，可針對許多非生成式語言任務微調，團隊還利用編碼器模型建立檢索器模型，來產生資訊豐富的嵌入向量，映射一對對文字間的相似性，讓檢索模型根據問題，找出最相關的文件或資訊。<a href="https://research.ibm.com/blog/science-expert-LLM">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 社會學習 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 知識轉移 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google用社會學習優化模型知識轉移能力</strong></span></p> <p>Google最近發表一項大型語言模型創新研究，提出社會學習（Social Learning）框架，為模型間的知識傳遞，找出新方法。社會學習能讓語言模型透過自然語言文字交流知識，而且，因為不需直接交換敏感資料或模型權重，還能保有資料隱私。社會學習的概念是，模仿人類在社交環境中，透過口頭指示向其他人學習。在Google提出的社會學習框架中，學生大型語言模型會向多個特定任務解法的教師模型學習，團隊也會評估學生模型在各種任務的表現，來衡量社會學習成效。</p> <p>他們發現，即使語言模型只接收少數範例，一樣能獲得良好的任務解決能力。而這個方式的重要性在於，教師模型可依據實際資料集，合成出新的範例，與學生共享。特別是，合成資料集雖與原始資料不同，但具相同教育意義，因此，就算教師模型不直接共享真實原始資料，學生模型還是可以從合成資料中學習。實驗結果顯示，當合成範例足夠多，例如只要達到16個，社會學習方法和直接共享原始資料方法的模型解決問題能力就沒有顯著統計上的差異。<a href="https://blog.research.google/2024/03/social-learning-collaborative-learning.html?m=1">（詳全文）</a></p> <p>圖片來源／Covariant、微軟、Meta、DeepMind</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Azure OpenAI服務正式上架Whisper模型</strong></p> <p><strong>2. Amazon提供電商生成AI工具，貼連結就能產生產品頁</strong></p> <p><strong>3. Patronus AI發表API工具，可用來偵測LLM有否輸出侵權內容</strong></p> <p><strong>4. GPT-4競爭者報到：Gemini 1.5、Mistral Large、Claude 3 Opus與Inflection-2.5</strong></p> <p>資料來源：iThome整理，2024年3月</p> </div></div></div>
2024/3/17 16:30作者王若樸https://www.ithome.com.tw/news/161803
提供雲端集中管理，Netgear推出新款8埠與16埠10G交換器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/netgear_s3600_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於8埠以下的小型網路交換器產品，我們在2018年曾介紹Netgear的XS505M與XS508M，網路埠支援4種規格（1 GbE、2.5GbE、5 GbE、10 GbE），上行埠為1個10GbE埠（SFP+接頭），皆屬於無網管型交換器（Unmanaged Switches），去年12月Netgear發表新機型S3600系列，同樣標榜搭配支援4種規格的網路埠，包含提供8個網路埠的XS508TM，以及16個網路埠的XS516TM，上行埠有兩個SFP+接頭的10 GbE埠，而且升格為雲端管理智慧網管型交換器（Smart Cloud Managed Switches）。今年3月中，由代理商瀚錸科技舉行的春季新品發表會，也特別展出S3600系列，正式宣告在臺上市。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear S3600-2024-03-12-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20S3600-2024-03-12-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear S3600-TW-2024-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20S3600-TW-2024-03.jpg" style="width: 600px;" /></a></p> <p>Netgear這裡所標榜的雲端管理，是指企業可透過瀏覽器或行動App連上雲端管理平臺Netgear Insight，之後可在此集中控管雲端管理智慧網管型交換器（29款），以及Pro系列路由器（目前僅有PR60X）、Wi-Fi基地臺（17款）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear Insight Managed Switch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Insight%20Managed%20Switch.jpg" style="width: 600px;" /></a></p> <p>S3600系列這兩款設備本身也提供單機的網頁管理介面，可快速設定組態，IT人員若打算透過輸入指令操作，Netgear在此具備簡易的命令列介面。在遠端監控機制上，XS508TM與XS516TM支援SNMP的v1、v2c、v3版規格，以及RMON協定，企業可善用這項管理工具進行集中管理。</p> <p>關於智慧型網管交換器的功能，XS508TM與XS516TM支援IPv6，以及網路第2層以上（L2+）或第三層（L3）的機制，像是靜態路由、區分服務的優先存取（DiffServ QoS）控管政策、連線聚合協定（LACP）、網路廣播／群播／單播的控制、DHCP協定，而在VLAN的部分，它們最多均可設置512個，涵蓋靜態、動態指派的VLAN，以及針對VoIP、語音通訊、Wi-Fi、網路攝影機自動設置的VLAN。</p> <p><a href="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_New Smart GUI_240314_2-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_New%20Smart%20GUI_240314_2-Web.jpg" style="width: 600px;" /></a></p> <p>相較於既有的XS505M與XS508M，XS508TM與XS516TM不僅提供VLAN，也支援802.1x，可運用EAP協定進行驗證，實現更細緻的網路存取控管。</p> <p>此外，Netgear近幾年為了拓展專業視聽設備（ProAV）連網市場，而推出多款交換器，當中新設置的網頁介面，現在開始導入商用交換器，他們稱之為Smart GUI，提供更加簡單、直覺的操作方式，在新推出的XS508TM與XS516TM當中，也展現這樣的特色。</p> <p><a href="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_New Smart GUI_240314_5-Web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_New%20Smart%20GUI_240314_5-Web.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>Netgear S3600系列</strong><br /> ●代理商：瀚錸科技<br /> ●建議售價：XS508TM為44,100元，XS516TM為82,005元，均為含稅價<br /> ●網路介面：XS508TM為8個10 GbE埠搭配上行埠2個10 GbE埠（SFP+），XS516TM為16個10 GbE埠搭配上行埠2個10 GbE埠（SFP+）<br /> ●外觀：均採用桌上型機箱<br /> ●網路交換容量：XS508TM為200 Gbps，XS516TM為360 Gbps<br /> ●MAC位址數量：均為16,000個<br /> ●封包緩衝記憶體容量：XS508TM為2 MB，XS516TM為4 MB<br /> ●管理平臺：本機網頁介面、SNMP、RMON、Syslog、雲端管理平臺Insight</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/16 18:35作者李宗翰https://www.ithome.com.tw/review/161776
麥當勞全球CIO揭露全球大當機主因，第三方供應商配置變更出包才釀災
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周五(3/15)，麥當勞發生了全球性的系統大當機，全球十多國的麥當勞App和餐廳點餐系統大當機，從美國、加拿大、德國、英國、荷蘭、澳洲、紐西蘭，到亞洲的中國、日本和臺灣等都傳出當機災情，店員甚至得改用紙本作業來記錄訂單，提供給廚房製作餐點。麥當勞全球資訊長Brian Rice在當天稍晚也<a href="https://corporate.mcdonalds.com/corpmcd/our-stories/article/global-tech-outage.html">發布公告</a>致歉和說明全球大當機原因。</p> <p>從Downdetector當機通報網站上可以看到，來自用戶通報的災情，持續將近20個小時。其中58％當機事件是App事件，30％則發生於實體店面的結帳櫃檯，還有12%的通報事件是關於麥當勞網站。這也意味著，麥當勞這次大當機，不只遍及全球，也影響到數位和實體通路。</p> <p>Brian Rice在3月15日稍晚後具名發布公告，向顧客、全球員工、分店、合作夥伴道歉，證實發生了全球大當機事件。他也坦言，這次大當機的問題主因是第三方供應商的配置變更出錯而釀災，並非是發生了資安攻擊事件。但他沒有進一步說明更多細節，只強調，穩定性和可靠性是麥當勞技術發展的優先目標，但是這次當機事件的確大大影響了顧客和餐廳團隊。根據他們初步調查，這起當機事件的配置問題，是不是標準作業的一環，而是一次例外的操作。在發布公告當時，只有少數餐廳系統開始恢復正常，他們正盡全力解決問題，讓全球各地餐廳的系統可以盡快陸續恢復。</p> <p>麥當勞在全球超過100個國家，開設了4萬多個門市。去年12月在麥當勞芝加哥總部一場活動上，麥當勞執行長Chris Kempczinski才宣布了，麥當勞2027年的心未來數位發展戰略，要在門市數量到2027年要增加1萬家，達到全球5萬家門市。會員數要從現在的1.5億人200億美元業績規模，在2027年增加到2.5億人450億美元交易規模，也希望在2027年時，麥當勞行動App的下單量達到總交易量的3成。</p> <p>為了達成這個目標，去年12月時，麥當勞也宣布與Google建立策略合作關係，來部署一套客製化的作業環境，來部署所有顧客和餐廳的數位平臺，包括了行動App、會員忠誠度系統到店內Kiosk點餐系統，都會改部署到這個作業環境中。另外，也將採用Google分散式雲端，在數千家麥當勞餐廳中部署本地端系統，除了支援上述系統之外，也要用來發展生成式AI相關的新應用。</p> <p>Google不是麥當勞唯一的雲端供應商，早在2014年就開始採用AWS公有雲。2016～2017年，將許多核心和周邊應用系統搬到公有雲上部署。</p> <p>過去幾年，麥當勞更是大力擁抱微服務架構、生技術、採用API優先技術。也積極採用AWS來打造混合雲架構。在2023年也積極發展可觀察性架構，來提高數位平臺的維運能力。更在2023年運用AWs Lambda來打造會員忠誠度系統，就是為了支援未來達到2.5億會員規模所需的資訊基礎架構能力。</p> <p> </p> </div></div></div>
2024/3/16 12:32作者王宏仁https://www.ithome.com.tw/news/161802
Go更新執行追蹤套件，CPU執行開銷降至1-2％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Go開發團隊<a href="https://go.dev/blog/execution-traces-2024">更新</a>執行環境的追蹤（Trace）套件，不僅大幅降低執行追蹤的CPU開銷，還透過定期分割追蹤檔控制追蹤檔案大小，進而增加了追蹤的可擴展性。此外，新的更新還支援持續追蹤功能，並提供追蹤讀取器API，使得追蹤資料更容易共享與存取。</p> <p>Go的runtime/trace套件是一組工具，目的在於協助開發者進一步理解與排除程式故障，其允許開發者追蹤每個goroutine的活動，並透過go tool trace指令，視覺化並探索追蹤裡的資料。開發者能夠於程式中加入特定的標註，包括任務、區域和日誌，將程式的邏輯流程、效能表現和錯誤處理，與底層諸如程式的執行時機、資源使用和呼叫堆疊等執行細節相關聯，使開發者更能監控和分析程式，解決效能瓶頸等問題。</p> <p>雖然Go的執行追蹤可提供豐富的資訊，但也存在一些長期問題，像是追蹤成本偏高，會對程式的執行效能造成明顯的影響，因此難以用在生產環境中。追蹤也難以擴展，當追蹤產生的資料量太大，將導致追蹤檔難以分析。</p> <p>另外，啟動追蹤的時機也不夠明確，開發者往往不清楚何時啟動追蹤，才能確定捕捉到特定的錯誤行為，造成追蹤分析困難。而且因為缺乏解析執行追蹤的公共套件，因此也只有資深的Go開發者有能力進行程式化分析追蹤。</p> <p>開發團隊開始著手解決這些問題，在之前的Go版本，追蹤在許多應用程式會導致10-20％ CPU執行開銷，這使得追蹤被限制在特定的使用情境，而不能像CPU分析那樣持續使用，開發團隊解釋，這是因為在啟動執行追蹤時，執行環境會生成許多事件，這些事件大多數附加了堆疊追蹤，這些堆疊追蹤對於辨識goroutine在執行的任務非常有用，但是成本也很高。</p> <p>開發團隊指出，追蹤的大部分成本發生在回溯，因此透過最佳化回溯效率，追蹤執行環境的CPU開銷已經大幅降低至1-2％，如此開發者便可以頻繁地使用追蹤來監控和診斷應用程式，且不會對效能產生太大的影響。</p> <p>另外，在新版本中，追蹤分析變得可擴展。過去追蹤檔的格式和事件的設計講究有效性，但是需要工具來解析和保留整個追蹤狀態，數百MiB的追蹤可能需要數GiB的記憶體來分析，而新的追蹤功能進行了調整，透過定期分割正在生成的追蹤檔，使每一個追蹤檔的大小降低，而由於追蹤檔變小，分析工具便不需要一次性載入龐大的追蹤檔到記憶體中，因此也降低了所需要的記憶體。</p> <p>之前的追蹤事件，是寫入各自執行緒自己的快取位置，這代表事件的出現並不符合真實順序，而新的方法會在分割追蹤檔時重新同步，因此也讓事件更容易按真實順序重組，減少了分析工具的負擔。整體來說，新的分割機制讓追蹤資料更容易管理且分析，開發者也能更快地找到感興趣的事件，讓效能分析更有效。</p> <p>Go追蹤現在也支援持續追蹤紀錄（Flight Recording），可讓程式一直保持在追蹤狀態，紀錄近期發生的事，而這項功能也是因為追蹤分割技術的導入，才使得持續追蹤變得可行。而隨著開發團隊重寫追蹤實作，也提供了一個新的追蹤讀取器API，讓開發者更容易存取追蹤資料。</p> </div></div></div>
2024/3/15 19:43作者李建興https://www.ithome.com.tw/news/161794
Grafana 11移除AngularJS支援，儀表板將不載入未更新套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Grafana將會在5月的時候正式推出Grafana v11，屆時所有本地與雲端Grafana執行個體，將會<a href="https://grafana.com/blog/2024/03/11/removal-of-angularjs-support-in-grafana-what-you-need-to-know/">預設關閉AngularJS支援</a>，因此相依於AngularJS的擴充套件都不會被載入，這代表用戶如果沒有事先進行搬遷，儀表板就可能出現故障，官方提醒，用戶應該檢查並且移除還在使用老舊AngularJS的擴充套件。</p> <p>舊版本Grafana使用AngularJS v1作為前端JavaScript框架，但是Grafana Labs在考量功能與當時開發者社群的意見，後來選擇改用React。官方在2018年所發布的Grafana v5開始搬遷元件至React，並在Grafana v6時推出React套件開發平臺，在Grafana v9時正式棄用AngularJS，並打算在Grafana v10全面刪除AngularJS支援。</p> <p>但在Grafana v10發布時，官方考量用戶仍未做好準備，因此又將這項計畫往後推延了一年，避免用戶對這項變化措手不及。而現在Grafana Labs確定於5月發布的Grafana v11，全面預設關閉AngularJS。官方最近建立了套件目錄的淘汰政策，所有相依於AngularJS但沒有計畫搬遷到其他框架的套件，都會從目錄中移除，避免新用戶採用不再受支援的套件。</p> <p>而對於舊用戶來說，便需要檢查Grafana儀表板是否還在使用AngularJS套件。當儀表板中存在使用AngularJS的套件，用戶會在套件編輯處、儀表板頂端等地方看到警告圖示與橫幅，而且在套件頁面上，仍相依於AngularJS的套件也會被標上警告圖示。</p> <p>官方也在Grafana文件列出所有曾經相依於AngularJS的套件，並且提供已更新至React的最低版本，或是提供類似功能的替代套件建議。同時還建立了一個名為detect-angular-dashboards的工具，供用戶查詢特定Grafana執行個體，獲取所有存在AngularJS套件的儀表板。</p> <p>目前許多使用AngularJS的套件都已經搬遷到React，用戶只要更新套件就可以避免Grafana v11的儀表板受到破壞，但是開發者必須要確認套件的更新文件，避免版本間存在重大變更。而當用戶完成檢查與搬遷之後，在更新到Grafana v11之前可以先嘗試移除AngularJS支援，以測試儀表板運作是否如預期運作。官方預告Grafana v12將會完全刪除AngularJS支援以及配置參數。</p> </div></div></div>
2024/3/15 19:48作者李建興https://www.ithome.com.tw/news/161801
提供1.5Tbps防護效能，Palo Alto增設頂級防火牆機型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/palo_alto_pa-7500_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對超大型資料中心、服務供應商的網路安全防護需求，Palo Alto Networks推出的硬體防火牆產品，主要是7000系列與5000系列機型。</p> <p>以前者而言，是最高階的款式，該公司過去曾陸續推出兩款機型，例如，2014年發表採用9U尺寸機箱、正面可安裝8個模組的PA-7050，當時標榜防火牆效能為120 Gbps，威脅預防效能為100 Gbps（此數值為啟用DSRI的效能，後續列出威脅預防效能為60 Gbps）；2015年發表採用19U尺寸機箱、正面可安裝12個模組的PA-7080，當時標榜防火牆效能為200 Gbps，威脅預防效能為100 Gbps。後續這兩款機型的性能也經過大幅改良，目前防火牆效能增長至343 Gbps、590 Gbps，威脅預防效能提升至184 Gbps、305 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-7000-2017-Perform.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7000-2017-Perform.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/PA-7000-2024.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7000-2024.jpg" style="width: 298px;" /></a></p> <p>相較於市面上常見的1U與2U尺寸的網路防火牆設備，Palo Alto Networks既有的7000系列，最顯著的差異不只是機箱尺寸巨大，更重要的是，提供以硬體模組來增減網路流量的能力。舉例來說，企業可透過添加或拔除「網路處理卡（Network Processing Cards，NPCs）」模組，進行效能的調節；當中可運用的模組化元件，還包括：交換器管理卡（Switch Management Card，SMC）、記錄處理卡（Log Processing Card，LPC）、記錄轉送卡（Log Forwarding Card，LFC），以及選用的資料處理卡（Data Processing Card，DPC）。</p> <p>到了去年11月，Palo Alto Networks發表新版防火牆作業系統，也就是代號為Cosmos的PAN-OS 11.1之際，也宣布推出5款硬體機型，其中一款是最新款旗艦級產品PA-7500，規格超越現行的7000系列，例如，首度提供400GbE網路埠（PA-7050與PA-7080的NPC卡搭配100GbE網路埠），網路與資安威脅處理能力直逼1.5 Tbps（防火牆效能為1,500 Gbps、威脅預防效能為1440 Gbps），而且，可應付的同時連線數量最大可達4.4億個。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-7500-2023-12-04.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7500-2023-12-04.jpg" style="width: 600px;" /></a></p> <p>為何PA-7500能夠提供如此驚人的效能？Palo Alto Networks表示，這款設備採用他們開發的特製晶片FE400 ASIC，同時，秉持此系列的模組化擴充架構，新機型最多可安裝7張資料處理卡，提供更強大的網路與安全處理能力。</p> <p>而在適合的產品應用案例上，根據Palo Alto Networks規畫，PA-7500支援3種情境，首先是針對橫跨多個站點的資料中心環境，提供網路安全防護；另一個是大型雲端服務業者的環境，提供虛擬化的網路分段功能；對於經營5G網路通訊服務的廠商，也可部署這款設備，具備足夠的網路流量處理與防護能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-7500-overview-2024-2-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7500-overview-2024-2-1.jpg" style="width: 600px;" /></a></p> <p>若我們細部檢視PA-7500搭配的機箱與模組，可以更具體了解這款機型與既有7000系列產品的模組化配置差異。</p> <p>以機箱而言，PA-7500整臺設備的高度是14U，正面提供9個模組插槽，其中第5個插槽，固定搭配新出現的管理處理卡（Management Processing Card，MPC），其餘搭配NPC卡或DPC卡，機箱背部設有兩個插槽，搭配交換器交織網路卡（Switch Fabric Card，SFC）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-7500-Front.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7500-Front.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/PA-7500-Back.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7500-Back.jpg" style="width: 260px;" /></a></p> <p>PA-7050機箱為9U，正面提供8個插槽，中間插槽搭配SMC卡，底部插槽搭配LFC或LPC記錄卡，其餘插槽搭配NPC卡或選用DPC卡（至少需搭配1張NPC卡）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-7050 Front Panel.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7050%20Front%20Panel.jpg" style="width: 200px;" /></a></p> <p>PA-7080所用的機箱為19U，正面提供12個插槽，中間的2個插槽分別搭配SMC卡，以及LFC或LPC記錄卡，其餘插槽搭配NPC卡或選用DPC卡（至少需搭配1張NPC卡）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-7080 Front Panel.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-7080%20Front%20Panel.jpg" style="width: 200px;" /></a></p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>Palo Alto Networks PA-7500</strong><br /> ●原廠：Palo Alto Networks<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：14U，<br /> 正面提供9個模組插槽，可安裝3種模組：網路處理卡PA-7500-NPC-A、資料處理卡PA-7500-DPC-A、管理處理卡PA-7500-MPC-A<br /> 背面安裝2個交換器交織網路模組，可搭配交換器交織網路卡PAN-PA-7500-SFC-A<br /> ●連接埠：網路處理卡PA-7500-NPC-A內建8個400GbE網路埠（QSFP-DD）、12個100GbE網路埠（SFP-DD）<br /> 管理處理卡PA-7500-MPC-A內建2個400GbE高可用性埠（QSFP-DD）、2個100GbE記錄埠（QSFP28）、2個25GbE管理埠（SFP28）、RJ-45本機登入埠、Micro USB本機登入埠、USB埠<br /> ●防火牆吞吐量：1,500 Gbps<br /> ●防護功能全部啟用後的吞吐量：1,440 Gbps<br /> ●同時連線數量：4.4億個<br /> ●作業系統：PAN-OS 11.1<br /> ●電源供應器：10臺（4+6備援）<br /> ●散熱風扇：15臺設於機箱背部</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/15 19:09作者李宗翰https://www.ithome.com.tw/review/161784
零售IT雙周報第30期：C2C零售龍頭如何用生成式AI支援日常開發作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#知識管理</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開發框架維運</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#DevOps</span></span><br /> eBay如何用生成式AI來開發、維運系統及管理知識</strong></p> <p><a href="https://innovation.ebayinc.com/tech/features/cutting-through-the-noise-three-things-weve-learned-about-generative-ai-and-developer-productivity/">C2C電商龍頭eBay揭露自家IT團隊用生成式AI支援日常工作的三大用途</a>，包括開發、維運及知識管理。</p> <p>首先是利用Github Copilot來加速程式碼撰寫，包括轉化自然語言評語為程式碼、建議下一行程式碼、自動填入高重複性程式碼，以及自動生成測試用程式碼。經過A/B測試，他們發現使用Copilot後，程式碼品質沒有下降，而且Pull Request發布到程式碼真正合併（Merge）的時間減少了17%、程式碼更動到部署時間（Lead Time for Change ）減少了12%。</p> <p>除了使用Copilot等商業軟體，eBay也用自家程式碼及內部文件來後訓練（Post-train）及微調（Fine-tune）Code Llama 13B模型，以支援自家工程團隊作業。eBay表示，這個專屬模型可以存取企業內所有程式碼，能有效找出程式碼重複等問題，還能在考慮不同服務的耦合及依賴性情況下，協助工程團隊更新開發框架及函式庫。</p> <p>他們還用自家技術文件訓練出了一個專用GPT模型，搭配RAG技術，來當作IT人員查詢技術文件的介面。IT人員可以用自然語言詢問「做這件事需要呼叫哪個API」、「哪裡找這個數據的儀表板」等問題，而不需要自己翻找eBay海量技術文件。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商App維運</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#前端工程</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#購物體驗強化</span></span><br /> Walmart從客戶端為切入點的App效能提升法</strong></p> <p>說到提升App效能，一個常見思路是從後端系統下手，例如優化資料庫、增加資料查詢效率等。<a href="https://medium.com/walmartglobaltech/performance-measurement-for-native-apps-2d80210aef79">Walmart近期則揭露自家App效能優化的另一個面向──從App客戶端來尋找著手點</a>。</p> <p>具體做法是，將使用者發起互動到App呈現最終結果，分成6個階段：開始、準備請求、呼叫、解析回應、視覺介面渲染、完成。他們會觀察這6個階段所需時間，從中找出改善空間。</p> <p>以商品頁面呈現為例，他們發現這6階段中，開始到準備請求間的時間，以及渲染到完成中間的時間，都相當長。調查後，發現開始階段有過多重複的聆聽（Listening）指令，而渲染階段有一個動畫渲染選項預設為True，是沒有必要的。解決這些問題後，這兩個階段耗時分別縮短了150毫秒跟5、600毫秒。</p> <p>Walmart表示，他們在iOS及Android App的不同UI都實施了這套做法，不僅找到了許多可優化之處，且解決後，觀察到明顯App上交易量提升。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#上架輔助工具</span></span><br /> 連上傳圖文都不用！Amazon新生成式AI工具只要貼商家連結就能產生產品頁面</strong></p> <p>近幾個月，各大電商紛紛推出以生成式AI為基礎的商品上架工具，通常是以商品圖片或簡單文字為基礎，來生成完整圖文。這次Amazon推出新工具，更是省去了上傳任何素材的步驟。商家只需貼上自家官網商品頁等外部網址，此工具便能自動讀取網頁內容，擷取生成Amazon商品頁面所需素材。（<a href="https://www.ithome.com.tw/news/161762">詳全文</a>）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amazgai.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#沉浸式電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛擬商店</span></span><br /> 服飾市集StockX打造Apple Vision Pro專用虛擬商店，既模擬</strong><strong>實體購物及又保留自家電商特色</strong></p> <p>大型服飾市集StockX是一個交易模式特別的平臺，類似股票交易，買賣方會根據商品市場價格來協調出成交價。<a href="https://www.prnewswire.com/news-releases/stockx-among-the-first-to-launch-immersive-shopping-experience-for-apple-vision-pro-302077846.html">他們打造了一個專門在Apple Vison Pro運行的虛擬商店</a>，可以於消費者所處環境中顯示出商品。同時，消費者可以打開懸浮於空中的價格波動儀表板，輔助商品購買決策。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/immersive_marketdata_720.jpg" style="width: 600px;" /></p> <p>有許多品牌都嘗試打造虛擬商店，作為一種行銷用小型體驗。StockX虛擬商店則可以用4K畫質呈現站上所有20多萬件商品，並維持與原本電商網站相同的特殊交易模式，可以視為該平臺正式電商通路。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#FinOps</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#雲端成本</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#企業文化改造</span></span><br /> Walmart從顧客體驗出發的FinOps文化</strong></p> <p>電商龍頭Walmart早在2015年就擁抱雲原生技術，打造OpenStack私有雲，至今核心數超過100萬個。2020年，他們用K8s打造了自家雲原生平臺，來調度9萬3千個節點，執行超過54萬個Pod叢集。2年前，還進一步結合兩家公雲和自家私雲，組成了三雲架構。為了支援超龐大雲端服務用量，他們2021年開始注意到控制雲端成本的FinOps做法。</p> <p>他們了整合了來自四十種資料來源，來監控整體雲端用量和成本，並打造了可以追蹤每個工程團隊每天開銷的工具。接著，他們要求工程師不只要注意每日開銷，更要從長期角度來看：每次支出一年會帶來多少成本？是否會帶來對應價值的商品銷售或顧客體驗？讓每個工程師都能從顧客體驗出發，來思考雲端成本支出如何控管。（<a href="https://www.ithome.com.tw/article/161578">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體電商 #AI電腦視覺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電商搜尋功能</span></span><br /> 圖片類社群媒體Pinterest利用電腦視覺技術打造服飾尺寸搜尋功能</strong></p> <p>圖片探索類社群媒體Pinterest近年不斷發展電商及行銷業務。不過，社群媒體起家的他們，不僅網站操作方法體驗與電商相差不少，也並非所有收錄圖片都足夠元數據，能支援電商搜尋，因此商品搜尋能力有限。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ptfp.jpg" style="width: 600px;" /></p> <p>因應這個挑戰，他們利用電腦視覺技術分析站上服飾圖片，來判斷服飾適合尺寸，以支援服飾尺寸搜尋功能。近日，<a href="https://newsroom.pinterest.com/news/pinterests-new-body-type-ranges-deliver-better-more-inclusive-search-results/">他們更推出可以根據體態來搜尋適當服飾品牌圖片的功能</a>。搜尋圖片時，有一個過濾條件是體態，使用者可以點擊自認為最代表自己身材的模特兒圖片，來搜尋符合自身條件的服飾照片。Pinterest表示，目前數據顯示有使用這個功能的使用者，單一連線階段互動率較其他人高出66%，顯示此功能確實能引起使用者更多興趣。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1.<a href="https://xtech.nikkei.com/atcl/nxt/column/18/02770/030400001/?ST=nxt_thmit_management"> 非第一線零售商也要消費數據！三菱食品如何取得並分析1.5億消費者數據</a></p> <p>2. <a href="https://mapsplatform.google.com/resources/blog/how-dominos-delivers-pizza-with-the-drop-of-a-pin-to-almost-anywhere/">達美樂整合Google Map Mobility Services到披薩外送員導航系統，來支援送貨到沒有地址的公園或新建案等地點</a></p> <p>3. <a href="https://cloud.google.com/blog/products/ai-machine-learning/how-wayfair-data-scientists-learned-vertex-ai">大型家居電商Wayfair如何精簡MLOps流程來提升供應鏈管理模型開發效率</a></p> <p>4. 肯德基嘗試利用AI虛擬店員提升自動點餐機溫度，不過目前功能只有打招呼和推銷</p> <p>資料來源：iThome整理，2023年3月</p> <p>責任編輯：郭又華</p> <p>圖片來源：eBay、Amazon、StockX、Pinterest</p> <p> </p> </div></div></div>
2024/3/15 18:16作者郭又華https://www.ithome.com.tw/news/161793
Google運用小型評分器Cappy來提升大型語言模型的效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開發一個稱為<a href="https://blog.research.google/2024/03/cappy-outperforming-and-boosting-large.html">Cappy</a>的評分器，Cappy以RoBERTa語言模型為基礎，使用指令和候選回應作為輸入，並輸出0到1之間的分數，這個分數代表著回應相對於指令的估計正確性。Cappy可獨立執行分類任務，或是作為大型語言模型的輔助元件，有助於提升大型語言模型下游應用的效能。</p> <p>研究人員指出，大型語言模型的發展出現一種新範式，該範式將各種自然語言任務整合在一個指令遵循框架中。這種方法將不同任務標準化為指令與回應的形式，使得模型能夠理解和執行廣泛的語言任務，進而提高泛化能力，大型語言模型可透過理解和解決全新指令，來處理未見過的任務，這代表一種從特定任務學習，移向多任務和指令驅動學習的轉變。</p> <p>但是要只用指令來理解和解決各種任務，多任務大型語言模型的參數可能高達千億，要操作這麼龐大的模型，需要大量的運算能力，以及大量的GPU和TPU等加速器的記憶體，這些要求導致大型語言訓練和推理成本高昂效率不彰。而且強大的多任務大型語言模型通常是閉源的，因此也難以被調整並應用於新的任務中。</p> <p>而事實上，要使用單一多任務大型語言模型管理所有任務仍然非常困難，特別是在處理複雜、個人化，且難以簡潔地用指令定義的任務。研究人員也指出，下游訓練資料的大小，通常不足以良好地訓練模型，也就是説，要讓大型語言模型可以良好地適應特定任務，需要經過足夠的資料訓練，但在下游訓練資料有限的情況下，模型可能無法很好地執行任務。</p> <p>因此在大型語言的應用上出現一種需求，希望可以不需要大量儲存和記憶體資源，也不需要完全存取模型內部結構，就能夠對大型語言模型進行有效的下游任務訓練或是適應的需求。Cappy便是在這種需求下發展的研究成果，運用輕量級的預訓練評分器來輔助大型語言模型，以達到更好的效能和效率。</p> <p>研究人員從問答、情感分析和摘要等任務收集一系列資料集，針對個別任務，研究人員將資料集中的每個例子轉換成為指令與回應的資料對，並且對每個指令與回應資料對給予正確性分數，Cappy透過學習這些資料，使其能夠評估指令與回應的適合程度。</p> <p>Cappy可應用於大型語言模型輸出的候選機制，當有下游任務訓練資料可用於微調Cappy，便具備了適應下游任務的能力。將指令以及一組大型語言模型的候選回應作為輸入，Cappy會對候選回應生成分數，選擇分數最高的回應作為最終輸出，以提高大型語言模型的預測效能。如此經微調的Cappy便能與大型語言模型協調運作，提升大型語言在下游任務上的效能。</p> <p>與其他大型語言模型調整策略相比，用Cappy適應大型語言模型可減少對裝置記憶體的需求，因為能夠避免對下游任務大型語言模型參數進行反向傳播（Back-Propagation）的需要，而且Cappy也不需要存取語言模型參數，因此能夠與閉源多任務大型語言模型相容，像是僅透過Web API存取的模型。</p> <p>Google研究人員評估了Cappy，在自然語言提示工具包PromptSource的11項語言理解分類任務中的表現，Cappy雖然僅擁有3.6億參數，效能卻優於規模更大的OPT-175B和OPT-IML-30B模型，且與當前先進的多任務大型語言模型T0-11B和OPT-IML-175B準確度相當。研究人員解釋，評分預訓練策略，使得Cappy的效能與參數效率突出。</p> </div></div></div>
2024/3/15 16:50作者李建興https://www.ithome.com.tw/news/161792
【資安日報】3月15日，Windows安全機制SmartScreen弱點在公布前也被用於散布惡意程式DarkGate
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在今年2月例行更新（Patch Tuesday），修補Microsoft Defender SmartScreen安全機制的漏洞CVE-2024-21412，當時通報漏洞的資安業者趨勢科技表示，這項漏洞在去年底就被APT駭客組織利用。</p> <p>但在研究人員進一步追查後發現，今年1月有另一組人馬也將其用於散布惡意程式DarkGate。這樣的情況，很有可能還有其他駭客也在微軟修補之前，就掌握這項漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/24/c/cve-2024-21412--darkgate-operators-exploit-microsoft-windows-sma.html"><strong style="font-size: 22px;">微軟SmartScreen零時差漏洞遭駭客用於散布惡意程式DarkGate</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/DarkGateSmartScreen-Figure001.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DarkGateSmartScreen-Figure001.jpg" style="width: 300px; float: right;" /></a>去年12月資安業者趨勢科技發現駭客組織Water Hydra的攻擊行動，當中利用能繞過Microsoft Defender SmartScreen安全機制的零時差漏洞CVE-2024-21412（CVSS風險評分8.1），如今他們指出，還有其他惡意程式利用這項漏洞散布。</p> <p>研究人員針對上述的零時差漏洞攻擊擴大調查，發現駭客在1月中旬利用該漏洞散布惡意軟體DarkGate，對方先是寄送挾帶PDF附件的釣魚郵件，一旦收信人點選PDF檔案裡的連結，攻擊者就會濫用Google的數位行銷平臺DoubleClick Digital Marketing（DDM），並採取開放重新導向（Open Redirect）手法，將收件人導向遭到入侵的網站，從而繞過CVE-2024-21412並下載惡意MSI安裝檔。收信人若是依照指示安裝，電腦就會被植入DarkGate。</p> <p><a href="https://www.zscaler.com/blogs/security-research/tweaks-stealer-targets-roblox-users-through-youtube-and-discord"><strong style="font-size: 22px;">竊資軟體Tweaks鎖定Roblox玩家而來，駭客透過YouTube及Discord聲稱能增加遊戲體驗來散布惡意程式</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Tweaks-fig_1_0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Tweaks-fig_1_0.png" style="width: 300px; float: right;" /></a>遊戲平臺Roblox的玩家請注意！本週有資安業者揭露攻擊這個社群的竊資軟體Tweaks（或稱Tweaker），對方先利用網路影音平臺YouTube的頻道，製作與發布以提升Roblox遊戲運作最佳化為主題的影片，引誘用戶觀看，宣稱能改善執行畫面每秒顯示的影格數（FPS），並提供Discord群組的連結，一旦玩家加入群組，對方就會以向他們提供修改器的名義，散布竊資軟體。</p> <p>研究人員指出，此惡意程式使用PowerShell打造，會竊取使用者資訊，包括地理位置、Wi-Fi組態、Roblox帳號等敏感資料，一旦竊資軟體挖崛到相關資料，就會透過Discord的Webhook功能傳送到攻擊者的伺服器。</p> <p>特別的是，可能是為了讓使用者降低戒心，這些駭客同時提供免費及付費版修改器，但實際上，兩者都會導致電腦被植入竊資軟體。考慮到該遊戲每天有超過7千萬玩家上線遊玩，再加上有45%玩家年齡低於13歲，這些小孩可能使用父母的裝置遊玩，而有可能導致家長其他的機敏資料被竊。</p> <p><a href="https://unit42.paloaltonetworks.com/muddled-libra/"><strong style="font-size: 22px;">研究人員揭露駭客組織Muddled Libra攻擊手法的變化，並指出對方重度利用代理伺服器服務、虛擬機器隱匿行蹤</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-86440-132966-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-86440-132966-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露駭客組織Muddled Libra最新一波的攻擊行動，這些駭客最初鎖定軟體自動化、外包公司、電信業者，後來範圍擴及科技業、業務處理外包公司、旅館、金融產業，攻擊步調迄今並未出現放緩的跡象。</p> <p>研究人員分析2022年中期至今年初的攻擊行動，發現這些駭客的手法有以下特質：像是在作案過程當中，會大量使用匿名代理伺服器服務，包含Nsocks、TrueSocks，並建立從特定資安業者轉寄給自己的郵件規則，以便監控通訊；此外，這些駭客也會對VMware vCenter伺服器下手，利用開源rootkit工具bedevil（bdvl）發動攻擊，並部署自製的虛擬機器（VM），目的是為了迴避偵測。這些駭客主要鎖定的地區是美國，並使用英文為主要語言，以便對目標進行社交工程攻擊，再者，研究人員也看到對方利用AI仿造受害者聲音的情況。</p> <p>該駭客組織起初利用0ktapus網釣工具包收集帳密，從而入侵目標組織，而現在則是演變成針對服務臺系統從事社交工程攻擊來達到目的。值得一提的是，這些駭客在2023年成為勒索軟體駭客BlackCat（Alphv）的附屬組織，並隨即將相關工具用於攻擊行動，但不久就遇到美國司法部中斷該勒索軟體的運作，Muddled Libra改以竊取資料向受害組織進行勒索。</p> <div> <p><a href="https://blog.talosintelligence.com/ghostsec-ghostlocker2-ransomware/"><strong style="font-size: 22px;">勒索軟體GhostLocker 2.0鎖定中東、非洲、亞洲企業而來</strong></a></p> <p></p> <p>思科旗下威脅情報團隊Talos揭露由兩個勒索軟體駭客組織GhostSec、Stormous發起的雙重勒索軟體攻擊，並成立名為STMX_GhostLocker的勒索軟體基礎設施架構，提供附屬組織相關作案工具。</p> <p>這些駭客利用名為GhostLocker 2.0的勒索軟體，鎖定黎巴嫩、以色列、南非、土耳其、埃及、印度、越南、泰國等國家的科技公司、大專學校、製造業、運輸業、政府機關。研究人員指出，前一代GhostLocker以Python打造，新的2.0版則是Go語言重新改寫，但兩者的功能大致相同，最主要的差異在於加密金鑰的強度，從AES-128提升至AES-256。一旦電腦遭到加密，駭客便會要求受害者7天內向他們聯繫，否則遭竊資料將會外流。</p> <p>值得留意的是，研究人員發現GhostSec也對網站進行破壞，他們看到對方使用工具集GhostSec Deep Scan toolset來尋找攻擊目標，並透過GhostPresser發動跨網站指令碼（XSS）攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GhostLocker-2_0-msg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GhostLocker-2_0-msg.png" style="width: 580px;" /></a></p> <p><a href="https://www.trendmicro.com/en_ae/research/24/c/multistage-ra-world-ransomware.html"><strong style="font-size: 22px;">勒索軟體RA World濫用微軟作業系統的GPO群組原則物件，鎖定醫療產業及金融領域而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ra-world-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ra-world-3.jpg" style="width: 300px; float: right;" /></a>資安業者趨勢科技針對去年4月出現的勒索軟體駭客組織RA World（原名RA Group）提出警告，指出這些駭客起初針對美國、韓國的製造業、財富管理、保險業、製藥廠下手，後來攻擊範圍擴及臺灣、德國、印度，近期則是鎖定拉丁美洲醫療機構從事多階段網路攻擊，竄改目標組織的群組原則組態。</p> <p>而對於駭客發動攻擊的手法，研究人員指出，最初是透過受到感染的網域控制器取得存取權限，並將攻擊工具存放在電腦群組原則物件（GPO）的SYSVOL資料夾，然後透過PowerShell指令碼提升權限，找出與目前網域有關的其他網域控制器，從而透過GPO對受到網域管理的電腦執行加密檔案的工作，並留下勒索訊息。</p> <p>特別的是，駭客在勒索訊息當中，列出不願付錢的受害組織名單，企圖施加支付贖金的壓力。</p> <p><a href="https://www.ic3.gov/Media/PDF/AnnualReport/2023_IC3Report.pdf"><strong style="font-size: 22px;">勒索軟體駭客攻擊關鍵基礎設施日益頻繁，2023年逾4成攻擊行動對其而來</strong></a></p> <p>美國聯邦調查局（FBI）近日公布對於2023年的網路犯罪觀察，其中針對勒索軟體的態勢，他們去年總共接獲2,825件勒索軟體攻擊事故，其中有1,193件是針對關鍵基礎設施（CI）有關的組織而來，相當於每5起事故就有2起是鎖定這類設施，相較於2022年約占三分之一出現明顯增加的情況。</p> <p>FBI指出，在16類關鍵基礎設施當中，他們的網路犯罪投訴中心至少接獲14類有組織在2023年遭遇勒索軟體攻擊，而駭客的頭號目標，偏好醫療照護與公共衛生領域，其次是關鍵製造業、政府設施、資訊科技、金融服務。</p> <p><a href="https://www.bleepingcomputer.com/news/security/french-unemployment-agency-data-breach-impacts-43-million-people/"><strong style="font-size: 22px;">法國失業救濟機構France Travail遭到入侵，4,300萬人個資恐流出</strong></a></p> <p></p> <p>3月13日法國失業救濟機構France Travail證實，他們遭到駭客入侵，對方在2月6日至3月5日竊取過去20年曾向他們求助的求職者的個資，該機構也向當地的資料保護機構國家資訊與自由委員金（CNIL）通報此事，並透露可能有4,300萬人受到影響，這些資料的類型涵蓋姓名、生日、出生地、社會安全碼（NIR）、電子郵件信箱、郵寄地址、電話號碼等。</p> <p>但這並非France Travail近期遭遇網路攻擊的首例，2023年8月，該機構也遭遇大規模資料外洩的情況，當時約有1,000萬人受到影響。</p> <p>資料來源</p> <p>1. <a href="http://www.francetravail.fr/candidat/soyez-vigilants/cyberattaque-soyez-vigilants.html">http://www.francetravail.fr/candidat/soyez-vigilants/cyberattaque-soyez-vigilants.html</a><br /> 2. <a href="https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/violation-de-donnees-personnelles-france-travail-formulaire-lettre-plainte-202403">https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/violation-de-donnees-personnelles-france-travail-formulaire-lettre-plainte-202403</a><br /> 3. <a href="https://www.cnil.fr/fr/france-travail-la-cnil-enquete-sur-la-fuite-de-donnees-et-donne-des-conseils-pour-se-proteger">https://www.cnil.fr/fr/france-travail-la-cnil-enquete-sur-la-fuite-de-donnees-et-donne-des-conseils-pour-se-proteger</a></p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.linkedin.com/posts/yelisey-bohuslavskiy-214a02bb_akira-ransomware-lockbit-activity-7173017069142163457-vyPU/"><span style="font-size: 20px;">勒索軟體LockBit遭執法單位圍剿，成員大量湧入另一個組織Akira</span></a></strong></p> <p></p> <p><a href="https://therecord.media/new-predator-spyware-infrastructure-identified"><strong><span style="font-size: 20px;">研究人員在11個國家發現新的攻擊基礎設施，疑為間諜軟體Predator使用</span></strong></a></p> <p><a href="https://www.malwarebytes.com/blog/threat-intelligence/2024/03/fakebat-delivered-via-several-active-malvertising-campaigns"><strong><span style="font-size: 20px;">惡意程式FakeBat透過惡意廣告散布，駭客假借提供熱門應用程式為誘餌吸引用戶上當</span></strong></a></p> <p></p> <p><strong><a href="https://blog.checkpoint.com/research/february-2024s-most-wanted-malware-wordpress-websites-targeted-by-fresh-fakeupdates-campaign/"><span style="font-size: 20px;">惡意軟體FakeUpdates攻擊行動鎖定WordPress網站而來</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/nissan-confirms-ransomware-attack-exposed-data-of-100-000-people/"><strong><span style="font-size: 20px;">日產大洋洲分公司遭遇網路攻擊，10萬人個資外流</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161764"><strong>【3月14日】研究人員揭露ChatGPT可用於存取第三方網站及敏感資料的漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161751"><strong>【3月13日】微軟發布3月例行更新，Hyper-V、Exchange、Azure K8s漏洞受到研究人員關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161727"><strong>【3月12日】勒索軟體駭客組織「變臉」藉由TeamCity伺服器入侵受害組織</strong></a></p> </div></div></div>
2024/3/15 14:26作者周峻佑https://www.ithome.com.tw/news/161788
美國FCC將寬頻基準從25/3 Mbps提高到100/20 Mbps
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（Federal Communications Commission，FCC）<a href="https://docs.fcc.gov/public/attachments/DOC-401205A1.pdf" target="_blank">周四（3/14）宣布</a>，已將2015年所定義的高速固定寬頻基準從上傳3 Mbps、下載25 Mbps，提高到上傳20Mbps與下載100 Mbps。</p> <p>FCC表示，此一先進電信能力的寬頻標準是根據聯邦與各州相關計畫中所使用的標準、消費者的使用模式，再加上ISP業者實際銷售的服務而調整。</p> <p>在改變了寬頻的定義之後，FCC發現此一先進電信能力並未被合理與及時部署到所有美國人口，特別是位於農村或部落的美國人，消弭差距的行動也不夠快。</p> <p>根據2022年12月所蒐集的部署資料，還有2,400萬的美國人無法使用非衛星的固定地面寬頻服務，其中包括28%的農村地區人口與23%的部落地區人口；並有4,500萬名美國人無法存取100/20 Mbps的固定寬頻服務或35/3 Mbps的行動5G-NR服務。</p> <p>新的基準將有助於推動美國ISP業者加速步伐，以實現全美的寬頻互連，此外，FCC也設定了新的寬頻速度長期目標為1 Gbps/500 Mbps，以替美國消費者帶來更快與更強大的通訊系統。</p> </div></div></div>
2024/3/15 14:42作者陳曉莉https://www.ithome.com.tw/news/161789
Google本月釋出的Chrome 123可望更新Safe Browsing，以即時防範網釣網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四（3/14）<a href="https://security.googleblog.com/2024/03/blog-post.html" target="_blank">宣布</a>，將更新Chrome瀏覽器中的Safe Browsing標準保護選項，以於使用者造訪網站時，提供即時的網釣保護。此一更新可望出現在本月釋出的Chrome 123中，<a href="https://chromiumdash.appspot.com/schedule" target="_blank">Chrome 123</a>已於13日部署至少數用戶，預計於19日全面部署。</p> <p>Safe Browsing是Google在2005年所發表的網釣保護機制，其伺服器偵測並列出所有含有惡意程式或網釣內容的網站，並於使用者造訪網站時進行比對，以封鎖惡意網站，目前包括Chrome、Safari及Firefox等瀏覽器都支援Safe Browsing，微軟則是採用自行建置的SmartScreen來過濾惡意及網釣網站。</p> <p>Chrome瀏覽器中的Safe Browsing有<a href="https://support.google.com/chrome/answer/9890866?hl=en&co=GENIE.Platform%3DDesktop&oco=0" target="_blank">3種保護模式</a>，包括預設的標準保護模式，另也可選擇無保護模式，或是選擇採用AI技術來辨識惡意網頁、深度掃描使用者所下載的檔案，以及防範惡意Chrome擴充程式的加強保護模式。</p> <p>Safe Browsing伺服器可隨時掃描與收錄惡意及網釣網站，現有的標準保護模式是在使用者裝置端存放一個源自該伺服器的惡意網站列表，且每30~60分鐘更新一次，然而，Google發現，現在網釣網站大多數存在的時間都不到10分鐘，令使用者備受威脅，決定將標準保護模式升級到即時檢查Safe Browsing伺服器上所維護的清單。</p> <p>在最新的Chrome瀏覽器中，一旦使用者造訪某個網站時，它會先檢查裝置上的快取來確定該網站是否為已知的安全網站，答案若是否定的就會將URL轉為雜湊值，再加密雜湊前綴，並先發送至Fastly所管理的隱私伺服器，由Fastly負責移除可用來辨識使用者的各種標誌，再傳送至Safe Browsing伺服器進行比對，最後將結果傳回瀏覽器。</p> <p>Google表示，在此一過程中，使用者不僅可即時檢查所造訪的網站，隱私伺服器只會看到IP位址而看不到URL的雜湊前綴，Safe Browsing伺服器則只會看到URL雜湊前綴而看不到IP位址，同時具備保護使用者瀏覽安全及隱私的能力。</p> <p>新的Safe Browsing功能將同時支援桌面、iOS與Android平臺上的Chrome瀏覽器，比起原本的標準保護模式，Google預計新版本將可額外減少25%的網釣攻擊。</p> </div></div></div>
2024/3/15 14:56作者陳曉莉https://www.ithome.com.tw/news/161790
外傳蘋果已悄悄買下加拿大AI新創DarwinAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《彭博社》（Bloomberg）本周引述消息來源<a href="https://www.bloomberg.com/news/articles/2024-03-14/apple-aapl-buys-canadian-ai-startup-darwinai-as-part-of-race-to-add-features" target="_blank">報導</a>，蘋果已於今年初買下了加拿大的AI新創DarwinAI，且DarwinAI員工已加入蘋果的AI部門。</p> <p>目前DarwinAI的官網已被撤下，但從網際網路檔案館（Internet Archive，IA）去年底所保留的<a href="https://web.archive.org/web/20231207235556/https://darwinai.com/" target="_blank">網頁</a>可看出，創立於2017年的DarwinAI主要開發可應用於製造業的AI應用，例如針對印刷電路板（PCB）的缺陷檢測平臺，以協助業者加速投資回報並減少電子垃圾。</p> <p>此外，DarwinAI也曾與滑鐵盧大學的研究人員合作，發展可應用於諸如手機等邊緣裝置上的語音辨識模型<a href="https://arxiv.org/pdf/2008.04245.pdf" target="_blank">TinySpeech</a>。</p> <p>蘋果不願向《彭博社》證實此事，僅說持續在購買小型科技公司。</p> <p>相較於微軟、Google或Meta等美國大型科技業者，蘋果在AI領域的腳步並不快，從去年12月才開始對外發表其<a href="https://www.ithome.com.tw/news/160517" target="_blank">AI研究成果</a>，然而，根據市場分析機構Stocklytics的<a href="https://www.ithome.com.tw/news/161261" target="_blank">調查</a>，蘋果已經買下了高達32家的AI新創，凌駕Google、Meta、微軟與Amazon，此外，蘋果也在今年2月舉行的財報會議上<a href="https://www.ithome.com.tw/news/161134" target="_blank">宣布</a>，將會在今年部署生成式AI。</p> </div></div></div>
2024/3/15 12:25作者陳曉莉https://www.ithome.com.tw/news/161786
OpenAI與法、西語媒體集團簽定內容授權合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/global-news-partnerships-le-monde-and-prisa-media" target="_blank">OpenAI本周宣布</a>與媒體集團包括法國的Le Monde及西班牙的Prisa Media簽定內容授權合作，以合法使用旗下刊物內容訓練其模型，以及用於回應結果。</p> <p>這項合作將讓OpenAI得以使用《Le Monde》以及Prisa Media旗下刊物包括《El Pais》、《Cinco Dias》、《As》及《El Huffpost》等內容訓練其模型GPT，並能讓ChatGPT在回應用戶查詢時，顯示新聞與雜誌內容。未來幾個月內，ChatGPT在生成的新聞摘要中，使用這兩大法、西語媒體內容，同時附上原文連結。</p> <p>《Le Monde》（法國世界報）是法國主要新聞紙本媒體，到2024年擁有60多萬訂閱戶。而Prisa Media訂戶超過700萬，遍及西班牙、拉丁美洲及美國，其廣播電臺也有音頻、影像內容供串流及下載，每月收聽時數超過9,000萬小時、音檔下載5,100餘萬次，以及影片點閱率超過1.41億次。</p> <p>這項合作是OpenAI為了解決內容侵權爭議，而推動媒體授權合作的最新成果。OpenAI去年12月也和德國的出版商Axel Springer<a href="https://www.ithome.com.tw/news/160332" target="_blank">簽署合作協議</a>，使用旗下媒體如《Business Insider》、《Bild》及《Politico》等訓練AI模型。在美國市場，OpenAI的合作媒體則有美聯社、CNN、福斯新聞及《時代雜誌》。</p> <p>但OpenAI和《紐約時報》的侵權官司還在進行中，後者2023年底<a href="https://www.ithome.com.tw/news/160589" target="_blank">指控OpenAI</a>濫用其內容及錯誤引述傷害其營利能力及其聲譽，損害金額超過十億美元。</p> </div></div></div>
2024/3/15 11:32作者林妍溱https://www.ithome.com.tw/news/161783
新Teams桌機版App將允許用戶自由切換多雲租戶、公私帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windows-insider/2024/03/13/announcing-windows-11-insider-preview-build-26080-canary-and-dev-channels/" target="_blank">微軟正在測試</a>Windows 11 24H2更新，其中包含新版Teams App，讓用戶在單一App中靈活切換多個雲端租戶或是家用、工作帳號。這項新功能未來將同時發布給個人及企業版本Teams。</p> <p>微軟已把Windows 11 Insider Preview Build 26080更新經由Canary及Dev Channels發布給用戶，測試預計下半年推出的Windows 11 24H2更新。其中Canary Channel會接獲Build 26080.1，而Dev Channel會接獲Build 26080.1100（KB5037133），兩者功能完全相同。Build 26080將以<a href="https://aka.ms/wipISO" target="_blank">ISO檔</a>提供下載。</p> <p>在最新Previews版本中，包含一個新Teams App，可讓用戶於單一App中在多個雲端環境、租戶及個人與工作帳號之間無縫切換。微軟表示，單一App中切換及存取個人和工作帳號是Teams用戶最多人要求的功能。在最新Teams中，用戶可以同時啟用個人和工作帳號，兩個帳號有各自圖示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0315-windows%2011-teams-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0315-windows%2011-teams-600-2.png" style="width: 453px;" /></p> <p>用戶也可以自由選擇帳號加入會議，甚至不用登入也能加入。此外Teams通知訊息也有不同，會顯示所屬的帳號。個人版通知則加入更多資訊，從banner就能一眼掌握動態。用戶若希望加入或整合其他帳號，可以登入Teams，再點選Teams右上角的用戶圖片變更。</p> <p>這全新App也將經由正常的軟體更新流程發布給企業用戶。4月發布預覽版，5月正式上線，屆時用戶即可以工作帳號登入Teams。</p> <p>目前在測試版中，新Teams會暫時稱為Microsoft Teams（work or school）以便和現有免費版Microsoft Teams（free）區別。未來正式版仍會稱為Microsoft Teams。</p> <p>全新安裝的Insider用戶，只要作業系統版本在Windows 11 Insider Preview Build 26080以上即可測試新Teams。現有用戶則必須要等到微軟部署了Microsoft Teams 24057.2000.2723.3544版才能使用這功能。</p> </div></div></div>
2024/3/15 12:09作者林妍溱https://www.ithome.com.tw/news/161785
Cloud周報第196期：美國國家安全局發布雲端安全緩解做法10大策略，可供企業改善雲端安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（03/07～03/13）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GCP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Vertex AI Search </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">GCP積極布局生成式AI醫療應用，宣布Vertex AI Search for Healthcare服務現已推出上市</span></strong></p> <p>近日，GCP正式推出專用於醫療產業的Vertex AI Search for Healthcare服務，Vertex AI Search是GCP去年推出的一個主打No-code的生成式AI企業搜尋開發套件，讓企業也能快速用自家資料打造內部專用、媲美Google生成式搜尋等級的AI搜尋工具。</p> <p>新推出的Vertex AI Search for Healthcare服務，可以協助企業快速建立內部專用的AI醫療搜尋系統，用以管理問題和大量臨床記錄，此外該服務也能串接醫療保健系統中的數據，包括使用MedLM、醫療保健數據引擎和雲端醫療保健API來存取大量數據。</p> <p>Vertex AI Search本身還提供醫學微調的搜尋功能，可以理解電子健康記錄資料、掃描文件以及護理師、醫生和其他臨床醫生輸入的各種臨床資料。使用者只需輸入所需內容，就可以快速從中獲得答案。因為是將基礎模型產出的答案，與醫院內部資訊結合，能產出更貼近需求的回答。</p> <p>開發人員還能夠建立能夠理解醫學術語的聊天機器人，協助回答醫生和護士的問題，例如詢問該患者是否有癌症病史等，此外也可以以專業的醫學術語進行回答，並提供掃描文件中的醫學筆記的上下文資訊。</p> <p>不過GCP強調，該服務僅提供醫療資料的搜尋，並不包含提供與疾病的預防、診斷或治療相關的資訊。</p> <p> </p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">SAP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料分析 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">加強資料產品的整合，SAP將在分析雲平臺中內建生成式AI助理Joule輔助商業分析</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(4).jpg" style="width: 600px; height: 338px;" /></p> <p>去年SAP推出對話式GenAI助理Joule後，陸續將其整合到商用產品和服務中，包括SAP人資雲、SAP Start、SAP S/4HANA雲端ERP等，該公司最新也宣布將在SAP AnalyticsCloud分析雲等資料產品中整合Joule。</p> <p>借助 Joule，SAP表示，企業可以在分析雲中建立和模擬業務計畫，此外還可以使用Joule自動化各種資料處理任務，包括資料探索、規劃和資料管理任務，甚至也能用Joule進行深度分析。</p> <p>另外，SAP利用了SAP HANA Cloud的向量引擎，將LLM與企業內部資料相結合，確保生成式 AI模型輸出的一致性，更貼近企業用戶。SAP分析雲的AI助理Joule預計將在第二季推出預覽。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">對話式AI開發平臺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Salesforce推出低程式碼對話式AI開發平臺Einstein 1 Studio，可讓企業客製CRM的AI助理</span></strong></p> <p><strong><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(18).png" style="width: 600px; height: 305px;" /></span></strong></p> <p>近日在Salesforce開發者大會上，這家雲端CRM巨頭推出對話式AI開發平臺Einstein 1 Studio，提供一套低程式碼工具集，強調可以讓企業不用撰寫過多程式，就能快速在Salesforce應用程式和工作流程中，來建置專屬CRM的GenAI助理。</p> <p>該平臺中包含三個重要元件，一個是Copilot Builder工具，可以用來建立完成特定任務的AI助理，還有可以在工作流程中建立和自訂提示的PromptBuilder。最後一個Model Builder則是可以在其中建立和匯入各種AI 模型的模型生成器。</p> <p>Einstein 1 Studio本身也整合了其資料雲（Data Cloud），因此企業可以從資料雲上匯入資料進行模型訓練，建置其所需的AI助理應用。此外，Model Builder今年稍晚將支援Data Cloud資料微調的LLM模型，包含Amazon Bedrock、Google Vertex AI和OpenAI的模型服務。</p> <p>目前這當中的Prompt Builder和Model Builder工具已推出，Copilot Builder仍處於測試階段。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端安全 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 美國國家安全局 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">美國國家安全局發布雲端安全緩解的建議清單，可供企業改善雲端安全</span></strong></p> <p>美國國家安全局（NSA）近日發布了一份<a href="https://media.defense.gov/2024/Mar/07/2003407860/-1/-1/0/CSI-CloudTop10-Mitigation-Strategies.PDF?ref=thestack.technology">雲端安全緩解策略的建議清單</a>，匯整了現今雲端環境最佳實踐與緩解措施，從雲端安全措施到身分和存取管理、資料安全實踐和網路分段的十項策略，可供上雲企業參考。</p> <p>進一步來看這10項緩解策略，分別有建立雲端中共同責任劃分、使用安全雲端身分和存取管理實踐、使用安全雲端金鑰管理實踐、在雲端環境中實施網路分段和加密、保護雲端中的數據、持續落實CI/CD的環境，透過Infrastructure as Code建立安全的自動化部署實踐、將混合雲和多雲的複雜性納入考量、降低雲端環境中託管服務供應商的風險、透過雲端日誌管理有效追蹤資安風險。</p> <p>NSA針對每項緩解策都有提供一個額外的網路安全資訊表，詳細說明如何實施該策略，還包含了NSA和CISA建議採取的步驟、最佳實踐以及連結列表，方便雲端企業參考，作為改善雲端安全的參考依據。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">紅帽 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永續發展 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">紅帽OpenShift開始提供容器層級的電力監控支援功能</span></strong></p> <p>紅帽從今年初開始提供了一個容器層級的電力監控工具Kepler的技術預覽，讓企業可以將它整合到混合雲平臺OpenShift中，用於監控雲原生應用的功耗與能耗。</p> <p>這套工具源自於一個Kepler專案。這是由紅帽、IBM在2022年2月所發起，在2023年5月加入CNCF基金會沙盒的專案，利用eBPF來取得能源相關系統狀態的數據，並匯出成Prometheus指標進行監控和管理的工具。</p> <p>從電力監控儀表板中，使用者不僅可以查看每日Pod或Namespace叢集中占用CPU能耗的整體情況，包括所選CPU架構和受監控指定的節點數量等，還可放大檢視每個Namespace在不同時段的能耗和功耗變化，並提供每小時的更新頻率。此外，也可以優先列出能耗過高的Namespace叢集，了解哪些容器和Pod消耗的電量最多，做為日後能耗改善的參考依據。但尚未支援碳排監控功能。</p> <p>在OpenShift 4.14上現已提供這款工具，供用戶進行試用。不過，現階段僅是技術預覽版，尚未推出正式版。</p> <p> </p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟釋出GPT Builder工具，可供用戶打造Copilot GPT的客製化版本</span></strong></p> <p>微軟最近推出GPT Builder建置工具，類似OpenAI的GPT 開發建置工具，讓Copilot Pro用戶得以打造微軟Copilot GPT的客製化版本。像是可以文字輸入指令，打造具有專門用途的AI聊天機器人，例如在購物網站場景中，能透過它建立一個根據用餐計畫建議購物清單的Copilot GPT等。</p> <p> </p> <p>圖片來源／Salesforce、SAP</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.甲骨文雲端健康數據智慧服務開始支援生成式AI服務</strong></p> <p><strong>2.SAP HANA Cloud的向量引擎目前進到公開預覽，Q1正式推出</strong></p> <p><strong>3.Google全託管GKE服務正式支援執行Elastic Cloud on Kubernetes服務</strong></p> <p><strong>4.微軟不再允許OneDrive雲端儲存用戶從URL網址上傳檔案</strong></p> <p><strong>資料來源：iThome整理，2024年3月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/3/15 10:24作者余至浩https://www.ithome.com.tw/news/161781
智慧醫療應用吹起新一波資料結構化需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「結構化病歷」是這2年許多醫院CIO常常提起的熱門關鍵字。因為AI技術的出現，催生不少智慧醫療應用，醫院也體會到智慧醫院的可能性。但要進一步擴大應用時，醫院才發現許多關鍵資訊，還藏在原本的文字敘述病歷中。為了擴大規模、發展更深層的智慧醫療應用，他們得要從這些病歷中，抽取出新的病歷資訊才行，因此掀起了新一波醫療資料結構化需求。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>病歷資料來源廣泛，文字類病歷是結構化重點</strong></span></span></p> <p>對醫院來說，病歷結構化一直是項大工程。因為，病歷資料很多種，涵蓋層面廣泛，包括檢驗報告、檢查報告、生理資訊、個人健康資訊、個人健康習慣、過去就醫歷程與記錄，還有藥物資訊等。這些病歷記錄內容，又可分為醫學影像、影音、數值和文字資訊，其中，文字資訊還可細分為表格表單和描述性資料兩種架構。</p> <p>不只資料本身多樣，這些病歷還牽連不少重要的醫療資訊系統，從常見的門診、住院、急診和醫囑系統，到更專精的生化病歷檢驗報告系統、生理資訊系統、各臨床科別檢查系統和藥物管理系統，以及麻醉、手術、護理、病理、營養、個案管理和處理醫學影像的影像儲傳系統（PACS）等都在影響範圍內。</p> <p>在這之中，生化檢驗和生理數據等病歷資料，是結構化技術門檻最低的種類。因為，這類資料因健保申報制度，早年就已數位化和自動化，大多採結構化架構，因此結構化門檻低。但描述性的文字報告病歷，過去以來並非以結構化方式記錄，因此成為許多醫院推動結構化的目標。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>病歷結構化不只益於臨床應用，對IT也有好處</strong></span></span></p> <p>雖然病歷資料多樣複雜，但對醫院而言，病歷結構化可帶來不同的幫助。</p> <p>振興醫院心臟醫學中心心臟血管內科主治醫師暨資訊室主任陳冠群就點出，病歷結構化可系統性地規範、定義和歸類臨床資訊，這些結構化數據，能簡化後續分析應用成本，尤其是資料清洗，減少了AI應用開發所需的人力和時間。</p> <p>對臨床第一線人員來說，結構化的病歷資料，可用來統計、追蹤、計算、標註和可視化呈現特定的趨勢，有助於跨職類人員的溝通協作，還能更即時處理臨床業務。感染控制、特定病患的篩選與管理，以及醫療品質的目標設定、追蹤和預警都是應用的一種。</p> <p>而且，結構化的病歷資料，還能加速臨床照護儀表板的設計。這類儀表板可用來偵測異常數值、發出預警通知，讓醫護人員適時介入治療。這些是病歷結構化對臨床面的好處。</p> <p>對醫院IT來說，病歷結構化也有幫助。因為，資料在源頭透過表單式結構化處理，可簡化IT人員後續資料撈取上的繁瑣工作，節省原本許多需要寫程式執行的資料分析流程。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>為何推動病歷結構化不容易</strong></span></span></p> <p>資料結構化的方法有好幾種，最常見的是採用表單式工具，在資料輸入源頭，就先以表單式的結構化規格儲存。還有一種方法是使用資料湖工具，就算原始資料非結構化，也能儲存，並在輸出時，透過程式轉換為結構化資訊。</p> <p>在臺灣，大多數醫院病歷結構化的主流做法是導入表單工具，來讓醫事人員以表單格式填寫病歷資料。但，這個做法要讓第一線使用者買單，還不容易。</p> <p>因為，要將病歷中原本自由書寫的描述性文字欄位，改為表單式，光是在表單設計過程，就需要臨床人員額外花時間，配合找出需要結構化的關鍵資訊。這個額外工作，很容易引起臨床人員反彈。再來，改採表單式欄位，會打破醫師使用者書寫病歷的習慣。因為，醫師得要將原本流暢書寫的一句話，拆分成好幾個部分，來進行個別記錄或歸類，甚至還要選取關鍵字。這種作法，容易中斷醫師思緒，而且在資料閱讀上，也未必友善。</p> <p>對醫院IT而言，如何根據已知需求和未來可能需要的未知需求，來正確地將病歷資料結構化，也是一大挑戰。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>有效推動病歷結構化還有幾種方法</strong></span></span></p> <p>因此，如何兼顧臨床使用者需求和結構化資料收集目的，成為醫院推動資料結構化的重要課題。</p> <p>除了在組織上，成立由臨床人員和醫院IT組成的推動小組，臺大醫院病歷資訊室主任莊秋華認為，團隊得先聚焦病歷結構化的臨床目的，也就是找出臨床痛點，接著凝聚醫療專業共識，找出需要結構化且適合用於表單形式的資料欄位。因為，病歷結構化雖是輔助資料收集的好幫手，但不代表所有病歷資料都適合用結構化方式來解決臨床問題。</p> <p>有了共識，再來就是設計表單，將共識轉換為病歷格式，並搭配臨床作業流程來設計。完成後，就能交給IT來建置或修改病歷系統表單程式。由於表單式紀錄會影響原本醫師對病人病況的觀察記錄，若全面改為表單欄位，不只會改變醫師書寫習慣，也難以完整呈現病人病況。但若為追求完整性，導致表單上需要輸入的欄位過多，也會帶給第一線醫護困擾。因此，她提醒，醫院設計結構化病歷表單時，需兼顧實用性，要能充分反映病人狀況，可採取部分結構化，部分自由書寫的形式。</p> <p>此外，還有一種病歷結構化解法是導入表單設計工具，讓臨床人員自助式設計表單。推動長庚體系醫院病歷結構化的林口長庚紀念醫院核子醫學部主治醫師林昆儒就分享，他們自2015年開始籌畫病歷結構化，當時考量，若由IT部門根據臨床需求、一一設計上百張表單，太耗工費時，因此決定導入低程式碼表單編輯器，來讓臨床單位自行設計符合病歷審查條件的表單。</p> <p>後來，為兼顧醫師書寫習慣，他們改良這套工具，改採主表單和子表單兩層式設計，讓醫師可在主表單自由書寫病歷記錄，另透過快捷鍵或點選，快速調用結構化的子表單，來進行更細緻的輔助記錄。完成後，系統會自動生成子表單的內容摘要，回饋到主表單上，其他結構化資料則會傳送至資料倉儲，以便後續應用。這就是兼顧臨床使用者需求和結構化資料收集的一種作法。</p> <p>一樣是先鎖定要解決的臨床痛點，振興醫院對如何找出最關鍵、最值得優先投入結構化的資料，還有另一種切入角度。比如可先衡量數據的臨床價值，結構化後，能否用來強化照護、提高診斷品質或優化醫療流程，另也可思考數據的多樣性，也就是同一批結構化數據，能否發展更多種類的應用、在多個科別中使用。其他還有數據的真實性，也就是找出明確、不必再後續處理或判斷的數據，更不能是意義模糊的數據結構。</p> <p>數據結構化所衍生的資料儲存成本也很重要，若數據產量很大，就得考量儲存方式的開銷。此外，醫院也需思考，結構化數據是否來源多處，比如要解決一個臨床題目，可能需要好幾種不同來源的數據，要是數據取得難度高，結構化就會很辛苦。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>LLM也許是另一種資料分析選擇</strong></span></span></p> <p>病歷資料結構化並非推動智慧醫療應用的唯一選擇。尤其，這2年以大型語言模型（LLM）為基礎的生成式AI崛起，可用模型和工具也越來越普及，LLM強大的文字閱讀和分析能力，能快速消化非結構化的長篇文字內容，還能根據使用者指令，來解析、摘要特定內容。</p> <p>這讓醫院開始思考，LLM是否意味著，醫院可用來分析非結構化的病歷文字內容？甚至是，病歷資料是否不必結構化，就能靠LLM分析、解答？這是許多醫院正在探究的議題。</p> <p><a href="https://www.ithome.com.tw/article/161782" target="_blank"><span style="font-size:18px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1173-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=HS60JVZD" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/15 09:35作者王若樸https://www.ithome.com.tw/news/161780
【病歷結構化實例：臺大醫院】發展結構化病歷必須兼顧4大要件，第一步先從臨床痛點著手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>智慧醫療要遍地開花，關鍵一步是資料結構化。因為，透過明確的表單欄位來分類、儲存資料，不只利於搜尋，還對大數據分析應用、AI模型訓練有很大的幫助。但，醫院要如何將院內巨量的病歷資料結構化？該如何拿捏結構化程度？</p> <p>長年耕耘電子病歷的臺大醫院病歷資訊管理室主任莊秋華認為，理想的結構化病歷，必須兼顧4大要件。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>理想結構化病歷要兼顧4大要件</strong></span></span></p> <p>首先，理想的結構化病歷，要能讓第一線臨床醫師與醫事人員方便使用。再來，結構化病歷要能充分表達病人的狀況，第三是要能提高病人安全的防護，最後則是要兼具醫療教學價值。</p> <p>「這4大要件環環相扣，非常重要！」如同企業開發IT應用一樣，莊秋華解釋，醫院推動結構化病歷，必須從第一線使用者角度出發。以臺大醫院為例，早在10多年前衛福部推動電子病歷時，他們就找來臨床醫事人員和IT人力，共同成立了一個電子病歷工作小組，從實務角度來設計符合臨床需求的病歷單張。爾後推動結構化病歷時，他們也採取了同樣的模式。</p> <p>再來，因病歷結構化，得將原本自由書寫的病歷紀錄，改為表單式紀錄，這也會影響了原本醫師對病人病況的觀察記錄，變得片段化。莊秋華點出，若將病歷全面改為結構化的表單欄位，不只會改變醫師書寫習慣，也難以完整呈現病人病況。但為了追求完整性，導致表單上需要輸入的欄位過多，也會帶給第一線醫護不少困擾。她認為，醫院設計結構化病歷表單時，需兼顧實用性，也要能充分反映病人狀況，可採取部分結構化，部分自由書寫的形式。</p> <p>結構化病歷之後，可以帶來許多功用，如利於後續品管、績效分析、疾病風險預測等，其中，莊秋華認為，強化病安，是病歷結構化後必須做的事，比如提醒醫師重複用藥、高風險用藥等資訊，給第一線臨床人員與病人照護回饋。</p> <p>此外，結構化病歷也得具備醫學教學的意義。因為，病歷是培養醫師專業知識的重要資料，醫師需要用病歷來推論、鑑別不同病程和多種病因之間的因果關係。好的病歷資料，通常是醫師經過深思熟慮、詳細描述病人病況和症狀的文字敘述，對醫學生或年輕醫師的養成很有幫助。</p> <p>「若都改為表格形式，恐怕會簡化醫師的思考過程，甚至可能有複製貼上的疑慮，這是我不樂見的，」莊秋華認為，結構化病歷應保留一些自由書寫的文字內容，或補充選項，才能兼顧醫學教學意義。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>實務推動可分4階段</strong></span></span></p> <p>有了必備要件，在實務上，醫院如何推動結構化病歷記錄？</p> <p>莊秋華從臺大多年電子病歷發展經驗中，總結出4大階段。首先，團隊得先聚焦病歷結構化的臨床目的，也就是「找出臨床痛點，」比如，如何提醒各種藥物相互作用就是一個關鍵的臨床需求。</p> <p>接著是凝聚醫療專業共識，「這是很大的挑戰！」她解釋，在這個階段，團隊必須找出需要結構化的資料，也就是具特殊意義、適合用於表單形式的資料欄位。這一步涉及的範圍可以很大，特別是體系醫院旗下有多家分院，若採用相同規格，就需要各分院的科部都達成共識。</p> <p>取得共識後，第三階段才開始設計表單，將共識轉換為病歷格式，還要搭配臨床作業的流程來設計表單。最後一階段則是將設計完成的表單交給IT動工，來建置或修改病歷系統表單及相關程式。</p> <p>臺大醫院這幾年來，自行開發不少結構化病歷應用。舉例來說，透過醫囑結構化表單，設置必要欄位來記錄病人的用藥情況，將這些資料串接到開藥系統，就能提醒醫師該留意病人過敏藥品，來提升用藥安全。</p> <p>此外，他們也將病人輸血的過敏項目以結構化方式記錄，後續在開立輸血申請時，就能檢核過敏內容。類似應用還有G6PD缺乏症（俗稱蠶豆症）的結構化，比如只要病人在診斷紀錄或檢測報告中有這樣的註記，在開藥及照護系統上都會自動提醒或警示，一樣用來提高病人安全。</p> <p>其他例子像是抗凝血藥劑藥物檢核提醒、孕婦的禁忌用藥提醒、重複用藥與藥物交互作用等檢核提醒，這些都是因為病歷結構化之後才能實現的應用。甚至，臺大醫院還將眼科病歷結構化，將過往紙本繪製的眼睛測光數據結構化，以便後續醫學研究能快速使用。</p> <p>莊秋華點出，雖然醫囑系統已將許多資料欄位結構化，能發展許多延伸的自動化應用和提示功能，但是，「醫囑還是需要保留文字欄位，來讓醫師和護理師溝通，這是結構化沒有辦法處理的部分。」她強調。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>病歷種類複雜，與數十種系統有關</strong></span></span></p> <p>在莊秋華看來，病歷資料結構化並非近年才興起的做法。早在2009年推行電子病歷，甚至是20幾年前的紙本病歷時代，結構化概念就已存在。</p> <p>比如，紙本時代的病歷模板或範本，「就是結構化的一種展現。」她點出，隨著醫學和科技進步，醫院為了更詳細地記錄檢查過程，衍生出許多病歷單張，如基因檢查、核子醫學檢查單張。這些單張，都是結構化病歷的基礎。目前，光是衛福部定義的通用電子病歷單張就有108張，臺大醫院自己則有600多張。</p> <p>這些病歷單張包含的資料類型，十分多元，像是數字、醫療代碼、文字記錄，也有醫學影像，如X光片、心電圖、病理切片和內視鏡檢查影像等。電子病歷所涉及的系統也很多，比如常見的門診、急診、住院系統，還有護理、手術、麻醉、病理、營養、個案管理和專門處理醫學影像的影像儲傳系統（PACS）。</p> <p>這些資料要進行結構化，就得使用既定的模式，如清楚的編碼、輸入規則或特定的數據格式，來儲存病歷資料，實現「降低資料處理分析的成本、提高作業效率」的目標。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>開始有醫院嘗試用LLM解決病歷結構化課題</strong></span></span></p> <p>2年前ChatGPT爆紅，以大型語言模型（LLM）為基礎的生成式AI應用大力崛起，而且越來越普遍。LLM可快速閱讀、分析大量文字資料，並摘要特定內容，或根據使用者提問來回答。</p> <p>這是否意味著，醫院可用LLM來分析非結構化的病歷文字內容？甚至是，病歷資料是否不必結構化，就能靠LLM分析、解答？</p> <p>這個問題，是許多醫院正在探究的議題，臺大醫院也不例外。</p> <p>臺大醫院早已展開LLM在病歷上的嘗試，比如微調了一個地端版LLM，來生成國際疾病分類編碼ICD-10的代碼，去年11月開始啟用，1秒就能產生住院病人的ICD-10編碼（含診斷碼與處置碼），還能快速學習新興疾病、新醫療技術與其他困難疾病的編碼知識，生成正確的編碼，提高編碼品質和效率。莊秋華是該專案的計畫主持人，有了這個基礎之後，她透露，最近臺大醫院計畫進一步用LLM來進行病歷即時審查的應用，輔助人工審查作業，也會探究其他LLM用於病歷資料分析的應用。</p> <p>「如果生成式AI的效益逐漸被證實，或許可以是解決臨床流程痛點的方案，」她指出，病歷結構化是輔助資料收集的好幫手，但不代表病歷資料都適合用結構化方式來解決臨床痛點。</p> <p>從臺大醫院的經驗中，醫院推動結構化病歷時，應先聚焦可解決的臨床問題，比如提高病安照護，並將結構化視為一種手段，而非視為目的，來要求第一線醫師配合IT看診。</p> <p>畢竟「病歷結構化工程浩大，」她建議，醫院應根據自己的組織文化和需求，來審慎評估合適的方法，才能達到最佳效果。</p> <p><a href="https://www.ithome.com.tw/article/161782" target="_blank"><span style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1173-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=HS60JVZD" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/15 09:35作者王若樸https://www.ithome.com.tw/news/161757
【病歷結構化實例：林口長庚醫院】第二代自助式表單平臺上線，兼顧臨床需求還能實現資料治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>越是結構化的資料，越是能用來支援更多樣化的數據應用形式。尤其是自由書寫形式的病歷，想要系統化地從中取出關鍵資訊，不是一件容易的工作，企業得先將這類資料結構化，才方便靠程式來展開對應的任務。</p> <p>對醫療業來說，病歷資料的結構化，更是發展智慧醫療的重要手段之一，如何將龐大的醫療紀錄，尤其是與病人診療息息相關的病歷紀錄，轉換成能夠支援各種運用的形式，一直是醫院數位化的重要工作。這個課題，對林口長庚紀念醫院來說並不陌生。因為，早在2015年，他們就開始籌畫醫療資料結構化工程了。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>病歷結構化第一步：導入表單編輯器</strong></span></span></p> <p>當時的病歷委員會成員之一，林口長庚紀念醫院核子醫學部主治醫師林昆儒分享，時任院長翁文能自國外交流回臺後，對國外醫院已落實病歷資料結構化這件事印象深刻，因此希望長庚醫院跟進。於是，找來病歷委員會多位成員，組成病歷結構化小組，來推動病歷結構化工作，林昆儒也負責這項工作。</p> <p>不過，要將電子病歷結構化，是什麼意思？</p> <p>早期衛福部推動電子病歷時，是將原本紙本的病歷電子化，改由文字框欄位，來讓醫師輸入資料。長庚醫院的電子病歷也採用這種設計，但這種作法，並非所謂的結構化，他們還得將文字框欄位改為表單式，才利於開發後續應用。</p> <p>為發展結構化表單，長庚醫院病歷結構化小組先是與醫院IT討論。他們認為，要是按傳統方法，由IT根據每個臨床需求開發一支電子表單，「挑戰很大！」林昆儒解釋，因為醫院病歷單張種類多樣，高達上百張，若由IT人員一一設計，太耗費人力和時間。因此，他們與醫院高層討論，改採另一種方法，在病歷系統中導入低程式碼表單編輯器，來讓各科室自行設計表單，而非全由IT動手。</p> <p>這款表單編輯器，也成了長庚醫院第一代病歷結構化的重要工具。</p> <p>有了新工具後，他們訂定出病歷結構化的KPI，首先瞄準檢查報告，要透過表單工具來將必要欄位結構化，提高報告品質。這些報告原本是條列式的呈現方式，已接近結構化，因此推動門檻低，適合作為第一波優先導入的應用類別。</p> <p>後來，病歷委員會進一步擴大病歷結構化應用範圍，開始委派醫院各科的種子教官，來使用這套工具，設計出符合該專科病歷審查需求的表單。</p> <p>不過，林昆儒坦言，他們最初推動病歷結構化的作法還不成熟，有些臨床同仁因為這些額外的工作而反彈。尤其，將原本自由書寫的欄位改為表單式，大大影響了臨床醫師的工作習慣，更不容易說服他們買單。「這個門檻很難，但卻是推動結構化的必經過程，」他說。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>病歷結構化第二步：改良上線新工具</strong></span></span></p> <p>第一次推動經驗，讓病歷結構化小組和IT團隊重新思考，推動結構化的原則和方法。他們總結，既然臨床病歷記錄不適合全用表單來記載，應改採另一種方法，要能不改變醫師使用者習慣下，又能兼顧結構化資料收集的目的。</p> <p>去年11月，討論出新作法後，團隊花不到1個月的時間，開發出第二代病歷結構化工具，在今年1月上線測試，持續使用至今。「這是一個創舉！」林昆儒形容，第二代工具很特別，採取主表單和子表單的兩層式設計，其中主表單為純文字格式，可以讓醫師自由書寫，同時提供了4種方式能快速調用子表單，如快捷鍵、斜槓呼叫、點選範本等。</p> <p>子表單，就是一張張輔助主表單的結構化表單，比如巴氏量表或其他單張。這些子表單與長庚醫院的醫療資訊系統（HIS）互通，可自動帶入系統已有的資料，如病人基本資訊，醫師不必從頭填寫，只需專注於空白項目即可。</p> <p>這個設計的巧思，在於子表單填寫完成後，系統會生成一份子表單摘要、回饋到主表單，其它結構化資料則會傳送至資料倉儲，以便後續應用。「這個工作流程設計，是我們花了很多時間與IT同仁討論的成果，」林昆儒說。</p> <p>這對第一線使用者來說，不只操作上更方便，也更容易接受結構化病歷這件事。長庚醫院病歷結構化團隊甚至用Copilot，來形容這套工具，因為它能協助醫師快速調用所需表單，且從1月上線測試至今，使用者接受度非常高，在醫院還未正式公告的情況下，就有不少院內員工開始用。</p> <p>目前，這套結構化病歷工具已導入長庚醫院體系的病歷記錄入口，不論是醫師撰寫檢查報告、住院病歷、急診病歷、手術病歷，還是門診病歷等各種病歷資料，都能使用這套工具。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>資料治理是結構化更重要的目標</strong></span></span></p> <p>對長庚醫院來說，病歷結構化還有更深層的意義：資料治理。</p> <p>林昆儒點出，為推動結構化病歷所採用的表單，只是一個媒介，更重要的目標是實現資料治理，也就是將原本未處理過的純文字資料，轉換為高品質數據，並統一管理。</p> <p>為治理這些結構化數據，長庚醫院這幾年來大量投資，來建置3大關鍵平臺，包括結構化數據平臺、資料治理平臺和資料交換平臺。</p> <p>其中，結構化數據平臺專門收集臨床單位輸入的資料，比如使用結構化病歷工具輸入的資料、IoT設備數據、檢查儀器資料等，甚至今年，他們還要將AI產生的數據，也整合到這個平臺，再將所需數據回饋到第一線臨床現場，來輔助決策。林昆儒比喻，結構化數據平臺就像是資料樞紐，收集結構化資料，供使用者萃取出所需的資料、整合為臨床所需的資訊，來改善決策輔助。</p> <p>而資料治理平臺，則是用來管理結構化數據，像是版本管理、資料血緣追蹤、資料維護處置等。至於資料交換平臺，目的是要讓結構化資料一次輸入、多次運用，來方便臨床多次運用相同資料。</p> <p>不只如此，為徹底落實資料治理，長庚醫院高層去年決議，接下來要花3年時間整合院內各個數據中臺，來打破數據孤島，讓資料彙整工作可以更自動化，不必再仰賴IT人員撈資料。林昆儒表示，團隊打算將這些資料串接至結構化數據平臺，來實現這個目標，而今年，就是計畫起始的第一年。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>下一步瞄準長照、遠距和病患參與等題目</strong></span></span></p> <p>長庚今年不只要整合數據中臺，還要發展12道數據應用課題。其中一大題是腫瘤科的資料治理，從結構化數據中找出重要資訊，來發展不同情境的精準醫療應用，減輕醫護人力負擔。另一項重要題目則是長照，要導入平板類數位工具和結構化表單，來讓心理師進行長者的心理評估，不必像過去先用紙本記錄、再謄打到電腦上。心理師完成評估後，這些記錄就可直接傳送至結構化數據資料庫，甚至還能連結HIS資料，自動帶入已有資訊，讓心理評估更便利。</p> <p>還有一個重點題目是遠距醫療，目標是要將山地遠距醫療的純文字病歷資料轉為結構化，不僅方便醫師快速記錄病歷，還能為下一位遠距醫療醫師提供清楚、一致的患者資訊，不必再憑自身經驗判斷、照護患者。</p> <p>另一大題目則與病患參與有關。林昆儒點出，目前坊間已有許多健康管理App，醫院不一定要發展自己的App，而是「希望海納百川，盡量與各個App簽約，來進行資料交換。」不少患者慣用App來記錄生理量測數據，若該App與長庚醫院簽署資料交換協議，當患者至長庚醫院看診，門診系統就能透過資料交換，來呈現該患者的App數據，方便醫師參考、制定治療決策。</p> <p>「這個發想主要來自於診間經驗，很多病人會拿手機給醫生看，自己在App上記載詳細的血壓或血糖記錄，但醫師沒辦法直接使用。」這正是長庚醫院接下來想解決的數據痛點之一。他建議，臺灣政府單位能參考日本經驗，鼓勵醫療院所與醫資廠商交換數據，來提供民眾更好的健康照護。透過數據的交換，讓醫院更掌握患者的健康狀態，更能及早干預、預防疾病的發生或惡化，還能降低醫療支出。</p> <p><a href="https://www.ithome.com.tw/article/161782" target="_blank"><span style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1173-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=HS60JVZD" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/15 09:35作者王若樸https://www.ithome.com.tw/news/161758
【病歷結構化案例：振興醫院】借鏡大數據6V原則找出關鍵目標，先從心臟科報告展開結構化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>醫療資料結構化的最大好處，不只是能系統性地定義和歸類臨床資訊，還能簡化後續分析應用的成本，「特別是資料清洗工作。」振興醫院心臟醫學中心心臟血管內科主治醫師暨資訊室主任陳冠群點出，資料結構化大大降低了AI應用開發所需的人力和時間成本，是精簡AI成本的好方法。</p> <p>振興醫院也因此將病歷資料結構化，列為發展重點之一。不過，振興醫院屬於地區教學醫院，開發人力和資源不如集團醫院和醫學中心，臨床需求卻不亞於這些等級的醫院。如何善用有限資源、推動醫療資料結構化，是振興醫院面臨的一大課題。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>病歷資料類型多元，文字內容是結構化重點</strong></span></span></p> <p>陳冠群身兼臨床第一線使用者與IT推動者身分，他表示，病歷資料包羅萬象，因此病歷結構化範圍可以很廣泛，從檢驗報告、檢查報告、個人健康資訊、個人健康習慣，到病人過去就醫的歷程與記錄、用藥資訊等都是可以結構化的資料種類。但除去醫學影像和影音，這些病歷記錄內容，大致可分為數值資訊、文字資訊兩大類，其中，文字類又可細分為描述性資料和表格表單型資料。</p> <p>這些病歷內容還與不少重要的IT系統有關，像是常見的門診、急診、住院病歷和醫囑系統，以及生化病理檢驗報告系統、生理資訊系統、各個臨床科別的檢查系統和藥物管理系統等。</p> <p>其中，生化檢驗和生理數據等病歷資料是推動門檻最低的類型。這類資料因健保申報關係，早年就已數位化和自動化，大多也採結構化架構。但文字報告類型的病歷資料，並非採結構化方式記錄，因此成為臺灣許多醫院推動結構化的目標。對振興醫院而言，將文字報告的謄打內容結構化，並保留重要的結構化資料，是正在進行的重要計畫。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>病歷結構化帶來益處與挑戰</strong></span></span></p> <p>病歷結構化對IT和臨床使用者而言，可以帶來不同的幫助。</p> <p>陳冠群指出，對IT人員來說，病歷資料結構化「是相對有利的，」尤其是在資料撈取上，可縮短許多原本需要寫程式執行的資料分析流程。如此一來，無論臨床和業務單位是要進行研究、調閱病歷還是分析使用，都能正確取得所需資料。</p> <p>不過，IT如何根據已知和未知需求，正確地將病歷資料結構化，仍是一大挑戰，需「相當慎重、與多方討論才行，」他強調。</p> <p>另一方面，對臨床人員而言，病歷資料結構化可用來統計、追蹤、計算、標註和可視化呈現特定趨勢，能讓不同職類的醫事人員，在溝通上和管理上更有效率，也更能即時處理臨床業務。舉例來說，感染控制、群聚感染監控、特定病患的篩選與管理，以及醫療品質的目標設定和追蹤都是應用之一。</p> <p>此外，目前各家醫院大力發展的臨床照護儀表板，也能透過結構化病歷，來加速設計。因為，透過資料標準化，可用來及早發現異常數值、發出預警通知，讓醫護人員適時介入治療。</p> <p>雖然有不少好處，但是，資料結構化對第一線臨床人員會帶來很大的衝擊。因為，常見結構化做法是將描述性文字改為表單式，在表單設計過程，需要臨床人員額外花時間配合，找出需要結構化的欄位，這就容易引起反彈。</p> <p>再來，表單式欄位會打破醫師書寫病歷的習慣。「醫生需要將一句話拆成很多個部分，個別進行記錄或歸類，」陳冠群指出，有別於原本的邏輯性書寫，這種結構化方法將一句話切割為好幾個部分，甚至還要選取關鍵字，容易中斷醫師思緒，是一種不直觀的病歷紀錄方式。而且在資料閱讀上，也未必親民。</p> <p>因此，如何兼顧前線人員的作業負擔和病歷資料瀏覽需求，是病歷結構化的另一種挑戰。陳冠群表示，除了不斷溝通，鼓勵第一線使用者參與結構化設計，也是降低阻力、增加助力的解方。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從IT和臨床視角出發，以6大準則推動病歷結構化</strong></span></span></p> <p>陳冠群結合IT和臨床觀點，給出幾項推動病歷結構化的原則。首先是「找出結構化目的，」比如想解決的臨床問題，再來從臨床端找出最關鍵、最值得優先投入結構化的資料。</p> <p>如何開始進行結構化工作？他引用大數據的6個V原則來說明。「6V雖是大數據原則，但其目的與數據結構化類似，都是將各種數據轉換成架構性數據，以利後續分析應用，因此，可作為病歷結構化參考，」陳冠群說。</p> <p>第一個V是Value，也就是數據價值。就病歷結構化領域來說，就是指該數據結構化的臨床價值，比如是否能用來強化疾病照護、提高診斷品質或優化醫療流程，這是陳冠群認為最重要的一點。</p> <p>第二個V是Variability（多樣性），亦即同一批結構化數據，能否發展更多種類的應用，比如同一種數據可在多個科別中使用。陳冠群舉例，就好比職員薪水資料，可用來判斷有無受薪、薪水級距、是否達基本工資等，後續還可切分延伸出多種人資行政應用。</p> <p>第三個V是Veracity，意思是數據的真實性或正確性。也就是說，推動結構化時，要找出明確、不必再後續處理或判斷的數據，更不能是意義模糊的數據結構。例如對病情嚴重程度的描述形容，若缺乏明確的分級來轉換，就難以進行後續應用，浪費了結構化的成本。</p> <p>執行面得考慮的另外三個V則是數據量Volume、數據產生的速度Velocity和數據的變異性Variety。其中，數據量是指結構化所衍生的資料儲存成本，若結構化數據產量很大，就得考量儲存方式的開銷，尤其採用雲端儲存時得考量流量和成本。一旦結構化數據產生的速度很快，儲存空間很快用完，就得回過頭思考更划算的儲存方式。</p> <p>而數據變異性是指，所需的結構化數據是否來源多處。比如要解決一個臨床題目，可能需要好幾種不同來源的數據，要是數據取得難度高，「結構化就會很辛苦。」等於花時間收集，可能只收集到一部分所需的資料，很難解決臨床問題。</p> <p>病歷資料越多，結構化的工作量就越大。陳冠群提醒，結構化過程所需的人力工時，也是推動結構化的重要考量。以振興醫院為例，開發人力大約20多名，需要維護醫院上百套系統，不可能集中投入病歷結構化工作。因此，需要根據上述6項原則，去蕪存菁、挑選最關鍵的資料來結構化。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>瞄準心臟報告結構化應用</strong></span></span></p> <p>為善用有限的開發人力和資源，振興醫院病歷結構化的優先目標，鎖定在心臟科報告。這是因為，振興醫院每月進行的心臟超音波檢查量大，高達4,000多人次，甚至超過一些醫院1年的檢查量。</p> <p>這些檢查中，不少是心臟衰竭患者，而心衰竭就像是心臟的癌症，患者住院死亡率很高。這些心臟病患者，還可能患有三高和其他疾病，如糖尿病、腎臟病、心律不整、冠狀動脈疾病甚至是睡眠問題等。陳冠群表示，醫院個案管理師如何在茫茫的心臟檢查資料中，快速找出亟需關切的多重疾病對象，就是一大挑戰。</p> <p>因此，振興醫院希望發展心臟報告結構化應用，將已結構化的心臟報告數據，串接慢性病等其他疾病的數據，來發展以病人為中心的分析和提醒功能，讓醫護在第一時間掌握心衰竭族群，提供用藥和檢查提醒、異常數據評估、訪談追蹤等服務。他們希望，透過結構化的資訊串接，讓數據能主動提供給個管師，甚至能協助個管師照護患者，讓數據不再是被動地被查詢。</p> <p><a href="https://www.ithome.com.tw/article/161782" target="_blank"><span style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1173-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=HS60JVZD" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/15 09:35作者王若樸https://www.ithome.com.tw/news/161759
醫療資料結構化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1173-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=HS60JVZD" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年醫療業大力擁抱AI，嘗試越多應用越發現，每次都得耗時費力清洗資料，不如回頭從源頭改善資料品質，從資料結構化做起，才能加速智慧醫療發展</p> </div></div></div>
2024/3/15 09:42作者王若樸https://www.ithome.com.tw/article/161782
回歸資料基礎工程的必要
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年，不少醫院紛紛展開了IT現代化工程，尤其3年IT抗疫的成功經驗，更讓醫院意識到加速轉型的必要性，在2022年，電子病歷開放上雲之後，更帶動醫院開始擁抱雲原生架構，也有醫院開始採用微服務架構，要重新改造HIS系統的資訊架構。但是，在去年，不少醫院資訊主管卻重新聚焦IT的下水道工程，資料結構化，尤其是病歷資料的結構化。</p> <p>為了發展智慧醫療的願景，醫療曾是臺灣最積極擁抱AI的產業，早在2019年，我們就報導過5大類醫療影像辨識的AI應用場景，例如北醫附醫打造了乳癌超音波AI輔助分類系統，AI能在人眼難以判斷的初期階段，就偵測出腫瘤。或像是臺北榮總與臺灣人工智慧實驗室也打造出能在30秒內，就揪出腦轉移瘤的AI系統DeepMets。</p> <p>林口長庚醫院則是與醫療AI新創雲象科技，共同打造一套鼻咽癌AI偵測系統，由醫院提供數位病理切片資料，雲象負責進行模型訓練，經過2年優化，在2019年就達到了97％的超高準確率。從我們當年CIO大調查可以看到，醫療業也掀起了一波醫療AI系統和設備的建置潮，不少醫院都大幅加碼投資AI。但是，這股醫療AI熱潮，不到3年就冷了下來，醫療AI預算不增反減，倒是醫院對大數據的投資持續穩定增加。</p> <p>醫院仍舊是對AI抱持高度的期待，但是放緩了採用的腳步。一方面，不少醫院發現提高AI模型品質的難度比想像中更高，需要搜集更多也更多樣化（尤其是罕見疾病的訓練資料取得不易）的訓練資料，但是醫療資料屬於特種個資，跨醫院難以直接共享，並且得找來不少忙碌的資深醫生，投入大把時間來參與標記，另一方面，訓練好的醫療AI模型也遇到了推廣上的挑戰，法規對於醫療器材有一套嚴格的把關機制，醫療AI應用模型和系統不見得能快速變成可以對外銷售的商品，一家醫院的AI模型，也無法直接套用到另一家醫院，得經過微調才行。這兩大挑戰讓醫院的AI採用態度轉為審慎以對。</p> <p>雖然生成式AI的問世，讓各界再度燃起新一波的AI熱潮，但生成式AI的幻覺效應，讓醫院對於這股AI熱潮，仍舊持保留的態度，尤其與救命相關的醫療應用，無法承受任何一次的資訊錯誤。目前醫院只敢嘗試將生成式AI運用於不涉及治療的作業流程面輔助上，一方面想辦法提高正確性，另一方面也尋找更多可用的醫院場景。</p> <p>醫療AI難以發揮，不代表智慧醫療的發展就因此停下腳步，不少醫院在這一波醫療資料的梳理過程中，更加察覺到龐大文字病歷的價值，許多極有意義的醫療情報，不一定得靠AI才能用，光是從這些病歷資料中，擷取出特定欄位的資訊，就可以用來整合到各種醫療系統，解決不少臨床上的痛點，這就是為何不少醫院紛紛選擇回頭展開病歷結構化工程的緣故。</p> <p>病歷結構化不是新觀念，早在2009年，臺灣推動電子病歷，數十年前的紙本病歷時代也有結構化的概念。但是，過去的病歷結構化，不見得能夠遇見到未來的醫療訊息應用需求，也就無法提前考慮到未來的各種醫療欄位需求。每當有新的醫療應用需求，醫院就需要再重新梳理一次手上的龐大醫療資料，展開新一波的病歷資料結構化，這是醫院IT得持續不斷面對的課題。</p> <p>像臺大醫院近幾年就開發不少結構化病歷應用，光是建立醫囑結構化表單，在特定欄位記錄病人用藥情況，再串接到開藥系統，就能提醒醫師在開藥時留意病人的過敏藥品，來提升用藥安全。病安是臺大醫院積極推動病歷結構化的主要原因，其他還有像輸血過敏內容的檢核、抗凝血藥劑藥物檢核提醒、孕婦禁忌用藥提醒、重複用藥與藥物交互作用等檢核提醒，這些都是因為病歷結構化後才能實現的應用，甚至，臺大醫院還要將紙本繪製的眼睛測光數據結構化，方便後續的醫學研究。</p> <p>不只臺大醫院，林口長庚紀念醫院更是打造了一個自助式的表單自製編輯工具，讓醫院各科室可以自行設計結構化表單，來滿足各科室各自臨床上形形色色的需求，來加速病歷結構化的規模化和多樣化發展。</p> <p>資料結構化是資料應用的基礎工程，也可以說是IT的下水道工程，幾年前最積極擁抱AI的醫院，大膽嘗試新興AI技術後，陸續回頭聚焦IT的基礎功。</p> <p>醫療業這個經驗，值得其他產業CIO們好好思考，創新不見得非得用AI才行，重新聚焦資料基礎工程，說不定也能找出另一種創新應用的可能，就像這些回頭聚焦病歷結構化應用的醫院一樣。</p> <p><a href="https://www.ithome.com.tw/article/161782" target="_blank"><span style="font-size: 18px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1173-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=HS60JVZD" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%97%85%E6%AD%B7">病歷</a></div><div class="field-item odd"><a href="/tags/%E7%B5%90%E6%A7%8B%E5%8C%96">結構化</a></div><div class="field-item even"><a href="/tags/%E6%99%BA%E6%85%A7%E9%86%AB%E7%99%82">智慧醫療</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E5%9F%BA%E7%A4%8E%E5%B7%A5%E7%A8%8B">資料基礎工程</a></div><div class="field-item even"><a href="/tags/%E9%86%AB%E9%99%A2">醫院</a></div></div></div>
2024/3/15 09:46作者王宏仁https://www.ithome.com.tw/voice/161761
健保署擁抱雲端力推八大改革，要讓醫療照護不再有藩籬
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是健保署轉型的關鍵一年。為實現「Hospital without walls（打破圍牆的醫療照護）」目標，健保署啟動了這場為期4年的大規模轉型計畫，一口氣推動8大改革策略。</p> <p><span style="font-size:28px;"><strong>因疫情正視不足，催生改革想法</strong></span></p> <p>這項轉型計畫涵蓋4大面向，從建立資料生態系、雲端系統運用，到民眾健康賦能，以及最重要的，打破圍牆的醫療照護。其中可細分為8大策略，包括資料生態系的數位基礎建設、健保資料應用機制，雲端系統的健保雲端查詢優化、數位化審查，以及民眾健康賦能的大家醫計畫、個人健康資料加值應用，還有無圍牆醫療照護的遠距醫療、虛擬健保卡應用。</p> <p>這是健保署署長石崇良從3年COVID-19疫情的第一線經驗，歸納出的改革目標。他點出，有別於地區性、半年就結束的SARS，全球性的COVID-19疫情不僅持續了3年，還改變各國的醫療服務樣貌，特別是遠距醫療、零接觸服務等科技輔助，在疫情結束後反而成為一股新趨勢，世界主流國家紛紛投入。</p> <p>臺灣也在這波疫情中運用科技抗疫，不只有健保卡勾稽出入境資訊、健保快易通App整合快篩和口罩購買實名制，還可查詢疫苗接種紀錄。臺灣也在疫情間放寬視訊診療適用對象，發展零接觸模式。但，「我們也看到一些不足。」石崇良點出，尤其是，為因應抗疫政策的變動，醫療院所IT的敏捷與韌性程度，還可以更好。</p> <p>疫情間，為即時應變疫情，衛福部經常調整政策，比如疫情居家隔離天數從原本的14天、10天改為7天，又或是快篩條件的更新、抗病毒藥物的新增等，這些變動都意味著，醫院IT得撥出人力加班趕工，隨之修改健保相關程式。「政策不斷改變，龐大的醫療系統得立刻調整，以目前的資訊架構來說比較吃力，」他說。</p> <p>對診所而言，因應政策變動的難度又更高了。因為診所規模小、沒有IT人力，得靠資訊廠商處理系統變更。石崇良比喻，診所就好比一臺臺地端電腦，只要政府政策調整，廠商就得緊急寫程式來配合健保規定，再到一家家診所去更新系統，「非常花時間。」</p> <p>不只如此，這場疫情，也讓他看到健保署的不足。健保開辦之初，每年3千多億元預算，成長至今日的一年8千多億元預算，期間所提供的服務、收載的藥品種類大幅增加，疫情間更有許多調整，「健保的資訊架構也因此疊床架屋，所以我們必須升級系統、雲端化，才能提高作業效率。」</p> <p>因此，去年2月上任後，石崇良整理這些經驗，在同年4月提出了健保醫療平權數位升級計畫，瞄準4大面向、拋出8大策略，來提高健保署本身和醫療體系的敏捷和韌性，還要一改醫療IT架構，將過去以健保申報導向的系統設計，轉變為以病人為中心的醫療資訊系統。</p> <p>這項龐大的計畫獲得4年45億元預算，今年就是起始的第一年。</p> <p><span style="font-size:28px;"><strong>健保署要轉型，也要推動雲端診所</strong></span></p> <p>8大策略中的第一步，是要強化健保署本身和基層診所的數位基礎設施。石崇良指出，健保資訊系統建置至今快30年，老舊架構需要翻新、配合業務需求快速擴展和縮減，才能提高作業效率。</p> <p>健保署今年計畫建置一座符合國際資安標準的新機房，來打造加強資安防護的混合雲架構，甚至，健保署還找來美國醫療資訊暨管理系統協會（HIMSS），在去年底簽署合作備忘錄，要借助HIMSS在醫療資訊和安全認證的經驗，協助健保署精進健保資訊系統、健康資料應用和資料治理機制。</p> <p>不只健保署，基層診所也是數位基礎設施改革的重點對象。現行醫療院所用來上傳、申報、記錄病歷資料和相關作業的系統都是地端系統，每當健保署調整規定，比如健保卡上傳、醫療費用申報或醫療計畫登錄等相關格式修正，診所就得仰賴資訊廠商協助改版。但問題是，廠商常以改版名義多次收費，導致診所資訊成本增加，降低IT升級意願。</p> <p>若能改用雲端服務模式，就能提高診所系統彈性，不只可以快速配合政策調整，還能整合更多資料，有利於發展全人照護。因此健保署今年要推動診所IT系統雲端化，要由資訊廠商建立多朵雲或租用公有雲，並按國際醫療資料標準FHIR，來傳輸資料。這些廠商的雲端服務，也將與健保署的健保雲對接、互通。健保署預計，今年中開始試行這套診所雲平臺模式，要委由醫療資訊廠商協助診所轉換、改用雲端系統服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1173-CXO%E6%8A%BD%E8%A8%80.png" style="width: 599px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>擁抱雲端，改善作業效率</strong></span></p> <p>不只數位基礎設施積極擁抱雲端，健保署也要善用雲端，進一步優化現有的作業流程。第一步先優化院所最常用的健保雲端查詢系統，不只要擴大範圍，還要整合多元雲端憑證認證機制。</p> <p>石崇良解釋，醫師看診時，需要民眾健保卡、醫事人員卡和特約醫事機構安全模組卡等3卡合一，才能登入健保雲端查詢系統，調閱民眾就醫資料。但隨著民眾端虛擬健保卡的推行，健保署希望醫事人員卡也能虛擬化，讓醫師能透過雲端憑證登入，更方便調閱民眾就醫紀錄。這個雲端憑證認證機制，將於健保特約院所小規模測試，之後搭配教育訓練正式上路。</p> <p>另一個雲端優化重點是審查機制。石崇良表示，健保署今年要將醫材、藥品等新醫療服務納入健保給付的申請審查機制，改為電子作業。如此一來，醫院和廠商只需在單一窗口申請、提交資料，健保署就會透過一系列機制來快速審查，如將健保藥品核價電子化、建置完整特材收載系統及運用AI輔助事前審查、增修診療項目電子化作業系統和自動追管機制，並建立新藥物暫時性健保支付許可等措施，來縮短審查時間。</p> <p><span style="font-size:28px;"><strong>要數據歸人，提高民眾健康意識</strong></span></p> <p>除了改善數位基礎設施、善用雲端，民眾健康賦能也是這次改革的一大主軸。健保署希望透過數據整合、數據「歸人」，來進行智慧分析和個人化通知，讓民眾更重視自己的健康狀態。</p> <p>比如其中一項「大家醫計畫」，要以現有600萬會員的家醫計畫為基礎，整合慢性腎病計畫、糖尿病計畫和代謝症候群計畫等3大計畫的病人資訊，彙整到新建的家醫大平臺上，讓數據回歸到每一位病人。家醫大平臺要整合10類數據，包括血糖、癌篩資料、患者穿戴裝置數據、醫療紀錄（如檢驗檢查資料、醫療影像等），還有健保署和衛福部其他司署等資料。</p> <p>有了這些數據，這套平臺能用來發展加值功能，例如主動監測，發現異常數據時，能及時提醒醫師、個管師來聯絡病患回診追蹤，或發送訊息及時溝通與衛教。該平臺還要提供分析性的數據，協助照護端制定個人化治療方案，還能呈現患者整體的慢性病指標表現，方便調整照護策略。甚至，健保署還打算發展AI風險預測模組，像是根據患者資料，來計算未來幾年內中風或罹患心臟病的風險。看診醫師也能取得病患的風險等級資訊，儘早採取照會、轉診等行動。石崇良表示，大家醫計畫先以糖尿病患者為主，這類患者可能身患多種疾病，為幫助醫師更快選出合適的藥物和治療計畫，家醫大平臺還能導入用藥選擇建議功能。</p> <p>在民眾健康賦能面向中，還有一項重要改革：健保快易通App的個人健康存摺資料加值應用。健康存摺是健保署在2014年推出的健康資料應用，可供民眾查詢個人健康資料，像是就醫紀錄、用藥和檢驗檢查報告等。</p> <p>在疫情間，健保快易通成了臺灣最多人使用的App，「我們希望延續下來，讓它成為民眾最好的健康自我管理夥伴。」石崇良點出，健保署不只要繼續將民眾的健康資料回饋給個人、鼓勵合格的第三方發展加值應用，接下來還要在健康存摺中加入風險預測功能，來讓民眾計算自己的疾病風險，並提供預防保健建議、公費和自費相關檢查訊息，以及與醫師互動功能，來提高民眾健康意識。</p> <p><span style="font-size:28px;"><strong>發展無圍牆的醫療照護</strong></span></p> <p>打破圍牆的醫療照護，是8大改革的另一亮點。健保署特別聚焦遠距醫療和虛擬健保卡應用，就遠距醫療而言，可分為2部分，首先是擴大應用至居家照護服務，鎖定4類對象，包括長照機構住民、居家醫療整合照護計畫、在宅急症照護試辦計畫，以及居家透析患者。</p> <p>另一部分則是推動「在宅急症照護模式」，針對居家醫療急症患者、急診一般民眾和長照機構住民等3類對象，來在醫師、護理師和醫事人員的訪視服務中，導入遠端監測和視訊診療輔助，以這種遠距照護方式代替病人住院。這個照護模式，預計今年第二季開始執行。</p> <p>石崇良補充，遠距醫療還可結合大家醫計畫，讓家庭醫師透過家醫大平臺，來提供患者遠距衛教、用藥指導和諮詢等服務。</p> <p>要順利進行遠距醫療，虛擬健保卡不可或缺。其運用模式是，民眾出示虛擬健保卡QR Code或授權同意，醫院端就能搭配既有的醫事人員卡和機構卡，在遠端即時讀取病人的就醫紀錄。</p> <p>為加速民眾申請虛擬卡的核卡流程，今年，健保署要運用AI輔助影像辨識，來加速申請審核，另一方面要推出健保實體卡和虛擬卡二合一的健保卡元件，來方便醫事機構安裝使用，作為接下來推廣虛擬健保卡的重要基礎。同時，健保署還要研究虛擬健保卡結合電子處方箋、行動支付和數位同意書簽署的機制，來降低使用門檻，發揮更多效益。</p> <p>尤其，健保署早在去年就鼓勵醫院和診所，開立紙本處方箋時加印門診處方箋的QR Code，讓藥局等調劑端用網頁API來確認有效性。今年，健保署將進一步在花蓮縣試行電子處方箋，之後配合IT系統雲端化擴大推動，讓健保特約院所和藥局，在雲端就能讀取、接收處方箋資訊與調劑紀錄。</p> <p>不只這8大改革，石崇良還有一項更根本的資料基礎建設計畫，要提高醫療照護資料交換的一致性。他計畫從健保署開始推動FHIR標準，第一階段鎖定電子處方箋和調劑紀錄資料，這些資料得用FHIR規格來交換，第二階段則瞄準事前審查，醫院和藥廠得採FHIR格式來傳送資料。</p> <p>他透露，明年將隨次世代數位醫療平臺計畫，一起啟動衛福部公共建設計畫，要統一衛福部旗下各司、署的資料標準，並打造一套合規的數據共享平臺，來促進更多健康數據加值應用。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 高階經理人小檔案 </span></strong></span></p> <p><strong>衛生福利部健保署署長石崇良</strong></p> <p>學歷：臺大公衛學院健康政策與管理研究所博士畢業</p> <p>經歷：1998年至2007年於臺大醫院急診部擔任醫師，隔年進入部立桃園醫院，擔任醫務秘書至2008年。這段期間，也陸續擔任公職，如行政院衛生署醫事處處長、衛福部醫事司司長，2020年任職衛福部常務次長，2023年2月接任健保署署長至今</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1173-CXO-400.jpg" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>健保署</strong></p> <p>成立時間：1995年成立中央健保局，2013年改組為衛福部健保署</p> <p>主要業務：推動全民健保作業、改善醫療品質</p> <p>地址：臺北市大安區信義路三段140號</p> <p>網址：<a href="http://www.nhi.gov.tw">www.nhi.gov.tw</a></p> <p>年度預算：約8,755億元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>1995年：發行健保紙卡</p> <p>2002年：發行第一代健保IC卡，與紙卡並行</p> <p>2004年：全面換發健保IC卡，取代紙卡</p> <p>2013年：開發健保雲端藥歷</p> <p>2014年：推出健康存摺</p> <p>2016年：雲端藥歷擴增為健保雲端查詢系統，提供12類醫療資料供查詢；推動居家醫療照護整合計畫</p> <p>2018年：設計虛擬健保卡；改版健康存摺，可用手機快速認證；推動醫療影像分享平臺，涵蓋36項檢查醫令影像</p> <p>2019年：虛擬健保卡試辦、開發輕量藍牙App；開發健保快易通健康存摺SDK；開放產學合作申請健保醫療影像應用</p> <p>2020年：開發TOCC程式；健保快易通App整合口罩實名制；建置全國偏鄉醫師人力需求平臺</p> <p>2021年：遠距醫療健保給付；宣導就醫識別碼；開放慢性病患視訊和電話診療；健康存摺SDK申請作業電子化</p> <p>2022年：全國偏鄉醫事人力需求平臺上線；健保快易通App串接快篩購買實名制和確診個案自主通報系統；健保雲端查詢系統2.0改版</p> <p>2023年：規畫電子處方箋平臺；與HIMSS簽署MOU</p> <p>2024年：啟動健保醫療平權數位升級計畫</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1173-cxo-960.jpg" width="960" height="420" alt="" title="衛生福利部健保署署長石崇良　（攝影／洪政偉）" /></div></div></div>
2024/3/15 09:47作者王若樸https://www.ithome.com.tw/people/161754
DeepMind開發通用AI，可接收自然語言指令遊玩遊戲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DeepMind延續其人工智慧代理遊玩遊戲的研究，開發出<a href="http://deepmind.google/discover/blog/sima-generalist-ai-agent-for-3d-virtual-environments/" target="_blank">Scalable Instructable Multiworld Agent（SIMA）</a>，SIMA能夠遵循自然語言指令，在各種電玩遊戲中執行任務。DeepMind透過與遊戲開發商合作，以多種遊戲對SIMA進行訓練，該研究的貢獻在於，SIMA是第一個能夠理解廣泛遊戲世界的人工智慧代理，可像人類一樣遵循自然語言指令執行任務。</p> <p>研究人員強調，這項研究的重點並非是在遊戲中取得高分，因為對於人工智慧來說，學會遊玩一款電玩遊戲就是一項技術壯舉，而學習在各種遊戲設定中遵循指令，則有助於開發適用於各種環境的人工智慧代理。</p> <p>DeepMind與8個遊戲工作室合作，在包括《無人深空》、《模擬山羊3》和《Teardown》等9款3D遊戲中訓練和測試SIMA。SIMA會接觸各種遊戲環境，學習到簡單的導航和選單使用，甚至是資源採集、駕駛太空船或是製作道具等不同技能。研究人員總共使用了四個研究環境，其中包括使用Unity建造的Construction Lab實驗環境，讓SIMA在Construction Lab中使用積木來建造雕塑品，使其能測試對物體操作和物理世界的理解。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/videoframe_5149.jpg" style="width: 580px; height: 822px;" /></p> <p>SIMA在不同的遊戲世界，學習到語言與遊戲行為的連結。研究人員用於訓練SIMA的教材有兩種形式，一種是紀錄一名人類玩家教導另一名人類玩家玩遊戲的歷程，另一種則是錄製玩家自由遊玩的片段，然後透過重新觀察玩家所進行的事情，記錄下引導他們進行遊戲操作的指示。</p> <p>SIMA經過訓練後，能夠感知和理解各種環境，並且採取行動實現指示的目標。SIMA由兩個模型組合而成，一個是專門處理圖像和語言映射的模型，另一個則是預測螢幕接下來會發生什麼事件的模型，研究人員提到，SIMA不需要存取遊戲原始碼，也不需要客製的API，其輸入只有兩個，一個是螢幕畫面，另一個是用戶所提供的簡單自然語言指令，並使用鍵盤和滑鼠來控制遊戲角色。由於這些都是人類所使用的介面，研究人員也提到，這代表SIMA具有與任意虛擬環境互動的能力。</p> <p>研究人員對SIMA進行了600項基本技能評估，涵蓋導覽、操作物件和使用選單等，目前SIMA可以約在10秒內完成簡單的任務，研究人員希望SIMA之後能夠完成，像是尋找資源並建立營地這類，需要高階策略規畫，並由多個子任務組合才能完成的複雜任務。</p> <p>SIMA在經多個遊戲訓練後，出現了泛化（Generalization）的能力，SIMA學會將習得的技能和策略，應用在未曾見過的環境中。相較於只在單獨遊戲上進行訓練的人工智慧代理，在9個3D遊戲中訓練的SIMA表現明顯更好。</p> <p>而且當人工智慧代理在多款遊戲上接受訓練，而其遊玩一款沒有受過訓練的遊戲，表現也能夠與專門為該款遊戲訓練的人工智慧代理一樣好。這顯示SIMA不只是學習到特定的遊戲技能，而是能在新環境適應和表現。</p> <p>另外，研究人員也強調語言訓練有其重要性，當SIMA沒有接受語言訓練或是未獲得任何指令時，會表現出適當的行為但是漫無目的，SIMA仍然會進行收集資源等常見的行為，但是卻無法按照指示移動到特定地點，這代表語言對於SIMA來說是行動關鍵，使SIMA行動具有目的性和針對性。</p> <p>不過，即便SIMA出現泛化能力，已是人工智慧遊玩遊戲很大的進展，但是要與人類達到相同的水準，仍然需要有更多的研究和開發。</p> </div></div></div>
2024/3/15 08:11作者李建興https://www.ithome.com.tw/news/161777
Azure OpenAI服務正式上架Whisper模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://azure.microsoft.com/en-us/blog/accelerate-your-productivity-with-the-whisper-model-in-azure-ai-now-generally-available/">宣布</a>正式在Azure OpenAI服務上推出Whisper模型，Whisper是OpenAI的語音轉文字模型，可供用戶轉錄音訊。微軟提供兩種語音轉文字服務，分別是Azure OpenAI服務以及Azure AI Speech，現在也都提供Whisper模型，不過功能仍有一些差異，用戶可根據不同需求選擇。</p> <p>Azure OpenAI服務讓開發者可以在Azure中執行Whisper模型，其功能除了轉錄和翻譯之外，還具有處理速度快、多語言支援等優點，微軟提到，Azure OpenAI服務中的OpenAI Whisper，適合用來處理較小型的檔案，以滿足時間敏感的任務需求。可用於需要快速回應的場景，例如即時通訊分析、快速內容生成或是小型檔案的即時處理。</p> <p>而Azure AI Speech所提供的OpenAI Whisper模型服務，可以與批次轉錄API結合使用，用戶可以簡單地大規模轉錄音訊內容，用於非時間敏感的批次作業。該選項更適合處理大量音訊檔案的情境，像是會議紀錄、長時間的演講，或是大批次的通話紀錄分析。</p> <p>Azure AI Speech中的Whisper模型可轉錄大型音訊檔案，最多達1 GB，單次請求能包含1,000個檔案，並且系統可同時處理多檔案。而且還能夠區分錄音檔中的不同講者，並精確地轉錄各自的話語，創建有組織結構的音訊轉錄檔案。另外，開發者也可以在Speech Studio，或是透過API使用Custom Speech功能，使用音訊加上人工標註的轉錄文字，對Whisper模型進行微調。</p> </div></div></div>
2024/3/15 08:20作者李建興https://www.ithome.com.tw/news/161779
【資安日報】3月14日，研究人員揭露ChatGPT可用於存取第三方網站及敏感資料的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著生成式AI的運用日益廣泛，這類聊天機器人無法只根據機器學習模型回答問題，因此系統開發者將其串連線上搜尋引擎、程式碼儲存庫、CRM等各類服務，並進行資料交換，形成新的生成式AI生態圈，這麼做可能提升AI的功能，卻也帶來潛在的資安風險。</p> <p>研究人員最近針對ChatGPT的相關功能著手進行調查，證實上述的情況。而這種允許使用者與第三方服務串連的功能模組，在ChatGPT被稱為外掛程式（Plugins）。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.fortinet.com/blog/threat-research/vcurms-a-simple-and-functional-weapon"><strong style="font-size: 22px;">Java木馬程式Vcurms、Strrat透過AWS、GitHub散布</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-vcurms-attack-flow.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-vcurms-attack-flow.png" style="width: 300px; float: right;" /></a>資安業者Fortinet揭露RAT木馬程式Vcurms、Strrat的攻擊行動，攻擊者假借驗證付款流程為由寄送釣魚郵件，一旦收信人依照指示操作，電腦就有可能從AWS下載惡意的JAR檔案Payment-Advice.jar，若是執行，此Java惡意程式就會連上網路、搜尋另外兩個JAR檔案，從而在受害電腦植入Vcurms與Strrat。</p> <p>研究人員較在意的是首度發現的Vcurms，此RAT與C2進行通訊的方式相當罕見，是透過電子郵件服務Proton Mail，該惡意程式會發送特定信件通報其正常運作，也會定期檢查電子郵件信箱是否出現具備特定主旨的信件，並從內文取得攻擊者下達的命令。</p> <p>另一個特點則是該RAT木馬啟動後會從C2下載2個JAR模組，分別是竊資軟體（Infostealer）及鍵盤側錄器（Keylogger）。其中的竊資軟體模組，能收集系統資訊、瀏覽器資訊，以及即時通訊軟體Discord和遊戲平臺Steam的資料。</p> <p><strong style="font-size: 22px;">宏碁菲律賓分公司傳出資料外洩，疑為外部供應商遭駭所致</strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/ph1ns.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ph1ns.png" style="width: 300px; float: right;" /></a>3月12日有人以ID名為ph1ns的帳號在駭客論壇BreachForums上，聲稱握有宏碁菲律賓分公司的資料，且表明將免費提供下載。</p> <p>而對於駭客從事的攻擊行動，這名人士向資安新聞網站Bleeping Computer宣稱，他們只偷資料，並未使用勒索軟體或是加密檔案，也沒有對宏碁勒索，而在失去存取權限之前，這群駭客銷毀受害伺服器上的資料。</p> <p>對此，宏碁發言人證實這些是該公司的內部資料，但表示是在菲律賓的外部供應商發生資料外洩事故造成，流出檔案包含部分員工資料。該公司強調，客戶資料並未受到影響，宏碁自己的系統也沒有遭到破壞的跡象。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/acer-confirms-philippines-employee-data-leaked-on-hacking-forum/">https://www.bleepingcomputer.com/news/security/acer-confirms-philippines-employee-data-leaked-on-hacking-forum/</a><br /> 2. <a href="https://twitter.com/AcerPhils/status/1767551121629802875">https://twitter.com/AcerPhils/status/1767551121629802875</a></p> <p><a href="https://www.reversinglabs.com/blog/bipclip-malicious-pypi-packages-target-crypto-wallet-recovery-passwords"><strong style="font-size: 22px;">駭客上傳7個惡意PyPI套件，企圖竊取加密貨幣錢包的通關密語</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/blog-crypto-wallet-recovery-pass.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog-crypto-wallet-recovery-pass.jpg" style="width: 300px; float: right;" /></a>資安業者ReversingLabs揭露名為BIPClip的攻擊行動，駭客上架7個PyPI套件、總共有19個版本的檔案，其中最舊是2022年12月上傳，上架超過一年。攻擊者散布上述套件的目的在於，竊取用於復原加密貨幣錢包私鑰的Bitcoin Improvement Proposal 39（BIP39）通關密語（mnemonic phrases），在這些套件遭到下架之前，總共被下載7,451次。</p> <p>研究人員最初發現了其中2個PyPI套件mnemonic_to_address、bip39_mnemonic_decrypt，特別的是，第1個套件mnemonic_to_address確實具備駭客聲稱的功能，且本身不具威脅，但研究人員發現，該套件會擅自外洩使用者的通關密語——透過函式的參數，傳送至相依性套件bip39_mnemonic_decrypt。</p> <p>他們循線追查，在3月找到其他用於這起攻擊行動的PyPI套件，並指出這些駭客極為謹慎，因為這些套件確實具備開發者標榜的功能，導入的模組與呼叫的功能函數也是精心挑選，企圖模仿合法的函數功能以避免遭到懷疑。</p> <p> </p> <div> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://salt.security/blog/security-flaws-within-chatgpt-extensions-allowed-access-to-accounts-on-third-party-websites-and-sensitive-data"><strong style="font-size: 22px;">ChatGPT外掛程式存在危險漏洞，恐曝露使用者資料</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/65ed84532e9c707b7eee0f99_Screenshot 2024-03-10 at 11_58_35.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/65ed84532e9c707b7eee0f99_Screenshot%202024-03-10%20at%2011_58_35.png" style="width: 300px; float: right;" /></a>資安業者Salt Security揭露存在於ChatGPT外掛程式功能（Plugins，現在被稱為GPT）的漏洞，這些弱點有可能讓攻擊者存取使用者的第三方帳號（如GitHub），從而進行挾持並存取敏感資料。</p> <p>第1個漏洞存在於ChatGPT本身，涉及使用者被導引、連至外掛程式網站，接收動態密碼並同意連結的流程。攻擊者可藉由引誘使用者安裝惡意外掛程式，從而在受害者的ChatGPT帳號配置自己的帳密資料，使用者所有的傳送ChatGPT的訊息都會同時轉發給攻擊者，而能達到竊取機密的目的。</p> <p>另一個漏洞則是在ChatGPT外掛程式開發框架PluginLab出現，起因是該框架的安裝過程並未採取適當的安全措施，使得攻擊者在用戶不知情的情況下，植入惡意外掛程式。由於PluginLab並未對使用者帳號進行身分驗證，攻擊者有機會藉由另一個使用者帳號南取得受害者的程式碼，並接管受害者的帳號。</p> <p>第3個漏洞涉及OAuth身分驗證，屬於操縱重新導向的漏洞，使得攻擊者有機會藉由發送惡意的URL，竊取使用者各式帳密資料。</p> <p><a href="https://www.securityweek.com/cisco-patches-high-severity-vulnerabilities-in-vpn-product/"><strong style="font-size: 22px;">思科修補SSL VPN用戶端軟體高風險漏洞</strong></a></p> <p></p> <p>3月6日思科發布資安公告，指出旗下的SSL VPN系統Secure Client存在高風險漏洞 CVE-2024-20337、 CVE-2024-20338，CVSS風險評分各為8.2、7.3。</p> <p>其中，較為危險的CVE-2024-20337影響範圍較廣，Windows、macOS、Linux版的Secure Client皆受到影響，此漏洞出現在SAML身分驗證流程，而有可能讓未經身分驗證的攻擊者，遠端觸發斷行符號與換行（Carriage Return Line Feed，CRLF）注入攻擊。而對於這項漏洞發生的原因，該公司表示是對於使用者輸入的內容未充分驗證，使得攻擊者有機會引誘正在建立VPN連線的使用者，點選偽造的連結來觸發漏洞，一旦成功，攻擊者就能在瀏覽器執行任意指令碼，或是有效的SAML token等機敏資訊。</p> <p>另一項漏洞CVE-2024-20338僅影響Linux用戶，為權限提升漏洞，出現在具備ISE Posture系統掃描模組的Secure Client程式，起因是該公司採用了未列管的搜尋路徑元素，攻擊者可將惡意程式庫檔案存放於特定路徑，並誘騙管理員重新啟動指出處理程序觸發，而有可能取得root權限執行任意程式碼。</p> <p>資料來源</p> <p>1. <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-secure-client-crlf-W43V4G7">https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-secure-client-crlf-W43V4G7</a><br /> 2. <a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-secure-privesc-sYxQO6ds">https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-secure-privesc-sYxQO6ds</a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161745"><strong style="font-size: 22px;">上市櫃公司資安事故發布重大訊息的標準出爐</strong></a></p> <p></p> <p>在3月5日金管會的例行記者會上，證券期貨局副局長黃厚銘預告今年資安治理推動的8項重點，其中之一就是修訂重大訊息問答集，明確規範資安事件之「重大性」標準，這項工作近期出現新的進展。</p> <p>臺灣證券交易所在1月發布新版《上市公司重大訊息發布應注意事項參考問答集》，明確規範資安事件之「重大性」標準，例如，公司的核心資通系統、官方網站或機密文件檔案資料等，遭駭客攻擊，遭入侵、破壞、竄改、刪除、加密、竊取、服務阻斷攻擊（DDoS）等，致無法營運或正常提供服務，或有個資外洩的情事等，即屬造成公司重大損害或影響，公司即應依重大訊息處理程序法規的第26款發布重大訊息。</p> <p>3月8日，櫃買中心也發布新版《上（興）櫃公司重大訊息發布應注意事項參考問答集》，納入重大性資安事件的相關明確定義。</p> <p>資料來源</p> <p>1. <a href="http://dsp.twse.com.tw/public/static/downloads/listedCompany/%E3%80%8C%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86%E3%80%8D11301%20_20240118165315.pdf">http://dsp.twse.com.tw/public/static/downloads/listedCompany/%E3%80%8C%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86%E3%80%8D11301%20_20240118165315.pdf</a><br /> 2. <a href="https://dsp.tpex.org.tw/storage/co_download/%E4%B8%8A%E8%88%88%E6%AB%83%E5%85%AC%E5%8F%B8%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86.pdf?t=20240308">https://dsp.tpex.org.tw/storage/co_download/%E4%B8%8A%E8%88%88%E6%AB%83%E5%85%AC%E5%8F%B8%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86.pdf?t=20240308</a></p> </div> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://hiddenlayer.com/research/new-google-gemini-content-manipulation-vulns-found/"><span style="font-size: 20px;">研究人員揭露Google Gemini聊天機器人潛在的威脅</span></a></strong></p> <p></p> <p><a href="https://www.trendmicro.com/en_us/research/24/c/cve-2024-21412--darkgate-operators-exploit-microsoft-windows-sma.html"><strong><span style="font-size: 20px;">Windows安全機制SmartScreen弱點被用於散布惡意軟體DarkGate</span></strong></a></p> <p></p> <p><strong><a href="https://securityintelligence.com/posts/pixpirate-brazilian-financial-malware/"><span style="font-size: 20px;">安卓惡意軟體PixPirate採用新型態策略在背景運作</span></a></strong></p> <p></p> <p><a href="https://op-c.net/blog/lord-nemesis-strikes-supply-chain-attack-on-the-israeli-academic-sector/"><strong><span style="font-size: 20px;">以色列大學遭伊朗駭客鎖定，面臨供應鏈攻擊</span></strong></a></p> <p></p> <p><a href="https://therecord.media/meduza-independent-russian-media-organization-cyberattacks"><strong><span style="font-size: 20px;">俄羅斯總統大選在即，當地媒體Meduza遭遇國家資助的俄羅斯駭客大規模網路攻擊</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161751"><strong>【3月13日】微軟發布3月例行更新，Hyper-V、Exchange、Azure K8s漏洞受到研究人員關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161727"><strong>【3月12日】勒索軟體駭客組織「變臉」藉由TeamCity伺服器入侵受害組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161709"><strong>【3月11日】為隱匿攻擊流量，駭客濫用虛擬化平臺QEMU設置網路通訊隧道</strong></a></p> </div></div></div>
2024/3/14 14:52作者周峻佑https://www.ithome.com.tw/news/161764
對抗勒索軟體加密竄改，NetApp可鎖定快照副本
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/snapmanager_5.0-main.png" width="961" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了預防勒索軟體與資料銷毀軟體（Wiper）的侵襲，許多儲存系統大廠本身都設有備份軟體產品線，以NetApp而言，目前由SnapCenter與BlueXP backup and recovery來擔綱，而在今年3月，前者正式推出5.0版，標榜具有應用程式感知（Application-Aware）的勒索軟體防護能力。</p> <p>從2015年釋出1.0版至今，SnapCenter的特色是透過集中操作的平臺，針對運作在該公司ONTAP儲存系統上面的多種應用程式，如資料庫系統、伺服器檔案系統、虛擬機器等，提供一致的資料保護，並且可適用於混合雲的基礎架構環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp SnapCenter overview-2023-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20SnapCenter%20overview-2023-05.jpg" style="width: 600px;" /></a></p> <p>同時，這套解決方案也運用NetApp長期發展的多種資料保護技術，像是Snapshot、SnapRestore、FlexClone、SnapMirror、SnapVault，以及SnapLock，當中所提供的備份與復原機制，兼具快速執行、節省儲存空間、細部還原（granular restore），以及應用程式一致性（application-consistent）等特性，同時也有Clone複製功能。</p> <p>而在組成架構上，SnapCenter包含三大要素，分別是：SnapCenter Server、安裝在各個應用程式或系統的外掛程式，以及NetApp儲存系統，管理者可遠端執行外掛程式的自動部署、排程備份、驗證、Clone複製等作業，並且監控這些動作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/snapcenter_architecture.png" style="width: 552px;" /></p> <p>5.0版SnapCenter最大的特色，在於針對支援的多種應用程式資料，提供不可變（immutable）的勒索軟體防護機制，當中將會藉由先前用於非結構資料的保護技術，實施應用程式一致性備份。</p> <p>NetApp表示，新版支援ONTAP儲存系統近期主打的幾項相關功能，例如防竄改的Snapshot快照副本鎖定（Tamperproof Snapshots）、啟用SnapLock保護機制的儲存區，以及用於災難備援的業務永續技術SnapMirror Business Continuity（SM-BC，又稱為SnapMirror active sync），能為應用程式與虛擬機器提供更強大的資料保護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-NetApp%20SnapCenter%205_0.jpg" style="width: 600px;" /> </p> <p>隨著勒索軟體攻擊手法日趨複雜、精密，駭客後來也把腦筋動到資料備份與快照復原點的身上，企圖在加密檔案之前，先刪除這些可協助用戶還原的重要憑藉，而SnapCenter現在支援Tamperproof Snapshots、SnapLock等技術之後，可確保快照副本受到妥善保護，若不幸遇上勒索軟體攻擊者、拿到高權限的非法管理者，對NetApp儲存系統保管的資料進行刪除或竄改，就能因為有這項功能而倖免於難。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetApp SnapCenter overview-2023-05-Retention Policy.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetApp%20SnapCenter%20overview-2023-05-Retention%20Policy.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/SnapCenter 5_0-New-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SnapCenter%205_0-New-2.jpg" style="width: 298px;" /></a></p> <p>基本上，這項技術是在主要或備援儲存系統的SnapLock儲存區，放置副本資料，使企業得以保有攻擊者無法刪除或變更內容的副本，存放在SnapLock儲存區的資料，會在指定期間維持內容不變且受到保護，以達到資安與遵循法規的要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-NetApp SnapCenter 5_0-SnapLock Snapshot copies.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-NetApp%20SnapCenter%205_0-SnapLock%20Snapshot%20copies.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-10-NetApp SnapCenter 5_0-SnapLock Snapshot copies2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-NetApp%20SnapCenter%205_0-SnapLock%20Snapshot%20copies2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-10-NetApp SnapCenter 5_0-SnapLock Snapshot copies3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-NetApp%20SnapCenter%205_0-SnapLock%20Snapshot%20copies3.jpg" style="width: 298px;" /></a></p> <p>另一個資料保全技術SM-BC，可幫忙企業實現即時復原應用程式資料的要求，達到零復原點目標（Zero RPO），以及零復原時間目標（Zero RTO）。有了這項功能，SnapCenter可建立多個保護與復原應用程式與虛擬機器的快照，成為能夠持續運作、兼具應用程式層級備份還原細緻度的儲存解決方案——若發生意外故障狀況，可切換至備援站點（failover），而在這樣的節點當中，仍可持續執行備份、復原、Clone複製，確保資料保護的運作不中斷，待主站點恢復正常之後，再切換回去（failback）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-NetApp%20SnapCenter%205_0-BC.jpg" style="width: 600px;" /></p> <p>而在應用程式與系統的支援上，SnapCenter 5.0也新增Linux檔案系統的保護，如此一來，資料保護的範圍可擴大，涵蓋架設在Linux作業系統之上的資料庫，NetApp表示，此功能可支援坐落在多種NetApp儲存系統，像是採用ONTAP的儲存設備，以及雲端儲存服務Cloud Volumes ONTAP、Amazon FSx for NetApp ONTAP。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" src="https://www.youtube.com/embed/2VFtfMsFlTk?si=gMxrOnVcGevAYzgh" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>針對企業在VMware環境往往部署多達數百臺至數千臺虛擬機器，若要進行備份，往往需花費許多時間，實際操作起來也相當龐雜，SnapCenter 5.0提供簡化與自動化作業的功能，管理者可透過標籤的形式進行防護（Tag-Based Protection），輕鬆管理備份工作，確保重要虛擬機器的資料保護不因此而遺漏。有了這樣的標示機制，企業能夠更簡易地區分與組織不同的虛擬機器，進而在備份政策的內容訂定，做到更細緻的控制。</p> <p><span style="color:#008000;"><strong>產品資訊</strong></span></p> <p><strong>NetApp SnapCenter 5.0</strong><br /> ●原廠：NetApp<br /> ●建議售價：廠商未提供<br /> ●運作架構：SnapCenter Server、SnapCenter Plug-ins（Package for Windows、Package for Linux、Package for AIX、Custom Plug-ins）<br /> ●可保護的作業系統與應用系統：Windows、SQL Server、Oracle Database、SAP HANA Database、Exchange<br /> ●SnapCenter Server作業系統需求：Windows Server 2012、2012 R2、2016、2019<br /> ●支援的NetApp儲存系統：ONTAP 8.3.0以後的系統（AFF、FAS、ASA）、ONTAP Select、Cloud Volume ONTAP、AWS FSx for NetApp ONTAP、Azure NetApp Files</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/14 17:00作者李宗翰https://www.ithome.com.tw/review/161713
IBM與NASA共同開發科學文獻專用大型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://research.ibm.com/blog/science-expert-LLM">IBM與NASA合作</a>創建Transformer架構大型語言模型，針對科學文獻進行訓練，提高包括分類、實體擷取、問答和資訊檢索等各種科學自然語言理解任務的效能。目前相關模型已經在Hugging Face上開源，供科學與學術社群使用。</p> <p>研究人員解釋，大型語言模型的能力來自於對語言的統計理解。這些模型接受遮罩語言模型任務訓練，藉由重構已被遮蔽單字的句子來進行學習。研究人員藉由隨機遮蔽句子中的單詞，要求模型預測被遮蔽的單字，而這有助於模型理解單詞之間的關係，以及這些單詞如何共同決定句子的意思。</p> <p>在這個過程，標記器（Tokenizer）是一個重要的工具，可以將單字分解成模型可以理解的單位，對於模型學習大量詞彙非常重要。IBM表示，使用維基百科或是BooksCorpus等資料訓練標記器，通常對通用文字標記器很有效，但在科學領域，需要能夠處理像是Phosphatidylcholine這種專業術語的標記器。</p> <p>科學領域的文本經常包含特殊術語和複合詞，一般標記器難以正確處理這些詞，因此訓練針對專門領域的標記器，對於提高模型在特定領域的表現非常重要。研究人員使用來自天文物理學、地球科學與太陽圈物理學（Heliophysics）等多個專業領域的資料集的600億個Token來訓練模型。</p> <p>科學文獻用的標記器與通用標記器有很大的不同，科學文獻用的標記器要能夠辨識Axes和Polycrystalline這類科學術語，IBM-NASA新開發的模型，其所處理的5萬個Token中，有一半都是Hugging Face其他開源的RoBERTa模型未曾出現的。</p> <p>在用於評估模型處理生物醫學任務表現的基準測試BLURB，IBM-NASA模型的分數也較其他開源的RoBERTa模型高出5％。另外，該模型在內部科學問答的基準測試的F1分數提高了2.4％，在地球科學實體辨識的內部測試上，也改進了5.5％。</p> <p>這個IBM-NASA編碼器模型可針對許多非生成式語言任務微調，並且透過檢索增強生成（RAG）技術生成資訊豐富的嵌入，用於文件檢索任務上。研究人員利用編碼器模型建立檢索器模型，以產生資訊豐富的嵌入，映射文字對（Pairs of Text）之間的相似性，使得檢索模型學習根據問題，找出最相關的文件或是資訊。</p> <p>而研究人員用來訓練檢索模型的文字對有2.68億筆，包括標題、摘要以及問題和答案，使其能夠良好地處理NASA所準備的問題測試集，與經過類似微調的RoBERTa模型相比，檢索模型效能提升了6.5％，與另一種開源嵌入模型BGE-base相比，效能也上升5％。</p> <p>IBM與NASA的研究人員透過專門的訓練資料、自訂標記器和特別的訓練方法，強化科學文獻用的大型語言模型。現在編碼器模型和檢索器模型都已經在Hugging Face上開源，IBM也與NASA進一步合作，將這些模型用於強化科學搜尋引擎。</p> </div></div></div>
2024/3/14 17:20作者李建興https://www.ithome.com.tw/news/161774
微軟Microsoft Copilot for Security將於4月1日正式上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周<a href="https://www.microsoft.com/en-us/security/blog/2024/03/13/microsoft-copilot-for-security-is-generally-available-on-april-1-2024-with-new-capabilities/" target="_blank">宣布</a>，於去年3月發表、去年10月<a href="https://www.ithome.com.tw/news/159442" target="_blank">開放早鳥</a>使用的Microsoft Copilot for Security即將於今年4月1日正式上市，這是一個基於AI的網路安全產品，旨在協助安全專業人員能夠快速回應網路威脅，以機器的速度處理訊號，同時能在幾分鐘內評估所曝露的風險。Microsoft Copilot for Security的介面支援25種語言，並可以8種語言進行回應。</p> <p>根據微軟的說明，Microsoft Copilot for Security是目前唯一結合具備特定安全能力之專用語言模型的安全AI產品，這些能力包含來自微軟的全球威脅情報，以及超過65兆的每日訊號；它能夠與微軟的其它安全產品共同運作，涵蓋Microsoft Defender XDR、Microsoft Sentinel、Microsoft Intune、Microsoft Entra、Microsoft Purview與Microsoft Defender for External Attack Surface Management等，利用來自這些產品的訊號來生成客製化的指導。此外，Microsoft Copilot for Security也能搭配眾多的第三方軟體使用，或是透過獨立的入口網站來使用。</p> <p>微軟依據早鳥客戶的試用結果，<a href="https://techcommunity.microsoft.com/t5/microsoft-security-copilot-blog/microsoft-copilot-for-security-general-availability-details/ba-p/4079970" target="_blank">歸納出</a>Microsoft Copilot for Security的4個關鍵安全操作任務，包括利用生成式AI將複雜的安全警報快速提煉成可操作的摘要，利用基於AI的分析能力來評估安全事件的潛在影響，以AI來協助惡意腳本程式的逆向工程，以及取得事件回應的行動指南。</p> <p>研究顯示，經驗豐富的分析師在Copilot for Security的協助下可提升20%的速度，準確度提高了7%，更有97%希望下次執行同樣任務時得以使用Copilot for Security。</p> <p>正式版Copilot for Security所具備的新功能還包括客製化的提示手冊，可整合客戶自家的商業邏輯與行動指南，以及使用報告等。</p> <p>此外，正式於全球發表的Microsoft Copilot for Security將採用消費計價模式，以使用每小時4美元的費率來計價，允許用戶可快速地小規模部署、實驗或學習，而不必為每個裝置或每名用戶預先付費。</p> </div></div></div>
2024/3/14 14:54作者陳曉莉https://www.ithome.com.tw/news/161763
Google去年發出1,000萬美元的抓漏獎金，3成源自Android
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2024/03/vulnerability-reward-program-2023-year.html" target="_blank">Google本周揭露</a>去年抓漏獎勵計畫的結果，指出去年總計發出1,000萬美元的獎金予68個國家的逾600名研究人員，當中有340萬美元頒給了發現Android安全漏洞的研究人員，另有210萬美元是獎勵發現Chrome漏洞的研究人員。</p> <p>去年Google推出許多新的抓漏獎勵類型，包括v8CTF與Mobile VRP，也將Android與Google裝置的最高漏洞獎金提升至1.5萬美元。其中，v8CTF是針對Chrome採用的v8 JavaScript引擎所設立的奪旗（Capture The Flag，CTF）專案，只要成功利用v8上的安全漏洞就有機會獲得獎金。</p> <p>CTF專案與傳統的漏洞獎勵專案（Vulnerability Rewards Program，VRP）不同，VRP著重於發現安全漏洞，CTF則鎖定如何利用這些漏洞，包括非零時差漏洞在內。至於Mobile VRP則是鎖定Android平臺上第一方應用程式的安全漏洞，亦即是由Google開發與維護的Android程式，如Chrome、Gmail、Google Maps、YouTube、Google Drive、Google Play Store或Google Calendar等。</p> <p>整體而言，去年針對Android的漏洞獎金便高達340萬美元。</p> <p>Chrome亦為Google抓漏獎勵計畫的重點之一，去年的Chrome VRP提高了舊版Chrome v8漏洞的獎金，並推出高達3倍的完整攻擊鏈獎金（Full Chain Exploit Bonus）。Google說明，因針對舊版Chrome的v8錯誤提供額外獎勵，而發現了長期存在的v8漏洞，其中一項漏洞直接替研究人員帶來3萬美元的獎金。</p> <p>而Google對Chrome完整攻擊鏈的要求則包括必須可造成沙箱逃逸，示範如何於沙箱外執行程式碼；必須能夠自遠端展開攻擊，而有限或不依賴使用者互動；以及必須是鎖定最新的Chrome版本，涵蓋穩定版、延伸穩定版、開發版與測試版等，最高獎金將多達18萬美元。</p> <p>Google是在去年6月推出<a href="https://security.googleblog.com/2023/06/announcing-chrome-browser-full-chain.html" target="_blank">Full Chain Exploit Bonus</a>，期限原本訂為去年12月1日，之後再延長至今年2月14日，但依舊無人領走。Google表示，今年將會對任何想要挑戰相關獎項的研究人員敞開大門。</p> <p>研究人員在去年成功提交了359份有關Chrome瀏覽器的安全報告，總計獲得210萬美元的獎金。</p> <p>Google也在去年針對生成式AI舉辦了bugSWAT即時駭客活動，收到35份合格的安全報告，送出8.7萬美元的獎金。</p> </div></div></div>
2024/3/14 15:13作者陳曉莉https://www.ithome.com.tw/news/161765
Amazon提供電商生成AI工具，貼連結就能產生產品頁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電商大廠Amazon本周<a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-generative-ai-powered-product-listings" target="_blank">公布一項新AI功能</a>，讓賣家或店家只要在AI助理對話框貼上自家網站連結，就能產生Amazon線上商店的產品頁面，省下商品上架的時間和心力。</p> <p>這是Amazon將平臺整合生成式AI的最新成果。去年9月Amazon<a href="https://www.aboutamazon.com/news/small-business/amazon-sellers-generative-ai-tool" target="_blank">推出</a>第一項電商AI工具，讓賣家只需上傳一張產品圖片，再輸入產品幾個字的描述用語，就能生成產品頁面，並包含用語精彩的產品名稱、描述和其他資訊，供賣家進行最終編輯。這項功能還建議賣家加入其他產品屬性，像是顏色、關鍵字，以提高消費者搜尋的機會。</p> <p>Amazon指出，從去年秋天推出以來，已經有超過10萬賣家使用這新工具，並有近80%的賣家接受了建議的屬性。但是因應不少店家同時在其他網站上架，或有自己的產品網站，因此Amazon改版了新功能，賣家不需輸入文字關鍵字或上傳圖片，只要貼上其他網站URL，這工具就能直接援引既有的文字或圖片生成Amazon上的產品頁，進一步簡化建立產品頁的工夫。</p> <p>這AI工具是代管在AWS上，並使用Amazon Bedrock上多項AI基礎模型來完成滿足電商平臺賣家的使用需求。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-Amazon-selling%20partners-generative%20AI%20listing%20tools-URL.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>不過Amazon提醒賣家，在這工具貼上URL時，賣家必須是網站的所有者、權利持有人或具有使用授權才能使用網頁內容，否則可能引發盜版或侵權爭議。一旦發現賣家說法不實，Amazon會採取法律行動。</p> <p>新功能即日起到未來幾周內將推向美國賣家。</p> <p>另一方面，Amazon也持續強化AI模型平臺Bedrock。上周<a href="https://aws.amazon.com/tw/events/taiwan/techblogs/mistral-ai-amazon-bedrock/" target="_blank">Amazon宣布</a>平臺上AI模型選項再加入法國新創公司Mistral的Mistral 7B和Mixtral 8x7B。</p> </div></div></div>
2024/3/14 12:39作者林妍溱https://www.ithome.com.tw/news/161762
微軟Copilot免費版升級到GPT-4 Turbo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日<a href="https://twitter.com/MParakhin/status/1767607331637137596" target="_blank">更新免費版AI助理Copilot</a>，將底層模型由GPT-4改為最新的GPT-4 Turbo。</p> <p>GPT-4 Turbo是OpenAI去年11月公布的大型語言模型（LLM），使用的訓練資料最新日期為2023年4月，所支援的脈絡長度為12.8萬（128K）個Token，相較之下，GPT-4訓練資料的最新日期依舊是2021年9月，所支援的最長脈絡是32,768個Token。OpenAI強調，雖然GPT-4 Turbo更強大，但輸入和輸出價格是GPT-4的1/3及1/2。</p> <p>如果你使用微軟Copilot，現在起可以免費使用GPT-4 Turbo。升級到GPT-4 Turbo將使免費版Copilot更全面了解用戶對話的上下文（context），讓它能應對更複雜的問題，提供準確、適當的回答，避免回應內容重複、矛盾或不連貫。</p> <p>同時，配合付費版Copilot Pro的功能升級，微軟也將其底層模型升級到GPT-4 Turbo，但微軟說，Pro用戶可以透過設定中的滑鈕，改回使用較舊版本。本周稍早，微軟也為<a href="https://www.ithome.com.tw/news/161744" target="_blank">Copilot Pro加入GPT Builder</a>，讓用戶可自行打造客製化的AI聊天機器人助理。</p> </div></div></div>
2024/3/14 11:28作者林妍溱https://www.ithome.com.tw/news/161760
Google臺灣揭露今年三大AI落地戰略，更要支援企業發展變革式生成式AI體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在春酒記者會中揭露了今年在臺多項發展計畫，像是今年將在臺推出數位安全證照計畫、第二季引進YouTube學習課程，也將啟用第二座新辦公室等，建置多年的Apricot海底電纜也會啟用，將可提升3成臺灣網路頻寬等。Google 臺灣總經理林雅芳更揭露了三大AI戰略方向，從培植各領域人才、強化開發者社群和協助各產業成功等面向來協助臺灣掌握AI機會。</p> <p>林雅芳指出，Google臺灣的目標是幫助臺灣成為亞洲的矽谷，一方面要將最新的產品服務落地臺灣，支援臺灣的數位轉型，其次臺灣也是Google重要的全球營運據點和硬體研發基地，第三是要推動透過在地的智慧計畫，過去已經培育了超過11萬名在地人才，來打造臺灣的智慧生態系統。</p> <p>AI是Google臺灣今年的重要在地發展目標，在培植各領域人才上，進一步會細分成三個策略，AI普及、AI應用和AI創新。</p> <p>針對社會大眾要推動AI普及，Google將在臺設立Gemini學院來提升社會大眾的AI識讀能力，預計在2024年培育1,000名中小學老師接受訓練，會提供3套線上訓練，包括了AI基本素養、安全負責任的使用 AI 、使用 AI 幫助教學，也會提供實際操作演練，來推動AI教育，為AI識讀打基礎。YouTube學習課程今年第二季會引進臺灣，部分AI系列課程更會在2024年製作成YouTube影片，開放所有人免費自學，來普及AI識讀能力，也會針對不同產業舉辦工作坊。</p> <p>而在AI專業人才的職場技能上則強化AI應用能力，Google將繼續透過數位人才探索計畫，從今年第二季開始，原本的兩大課程「數位行銷和網站分析」以及「雲端技術」都會新增AI基礎介紹和新工具的知識，包括生成式AI、LLM、負責任AI等。例如數位行銷課程將介紹AI技術輔助的高效廣告，而雲端技術課程則會如何介紹Generative AI Studio、如何進行圖片生成、如何用PaLM進行提示設計或如何運用模型花園和評估模型等內容。</p> <p>最後一項人才培育則是要強化學研界的AI創新能力，Google臺灣董事總經理馬大康指出，從2018年至今，累積找來71位Google科學家，來臺舉辦超過百場演講，從2020年至今更支持臺灣的大學超過40項計畫，其中17項與AI相關。「今年將持續舉辦第七屆的AI創新研究營，今年中，Google DeepMind傑出科學家紀懷新會帶領團隊來臺，交流大型語言模型和機器學習主題的AI研發成果。」他說。</p> <p>強化開發者社群是Google今年的第二大AI落地戰略，會從工具、社群和技術三個層次展開。工具上，已經在臺提供了Google AI Studio、Vertex Ai和開放模型Gemma，而在社群經營上，目前在臺灣有7個Google開發者團隊（GDG）社群，15位Google開發者專家，以及在37個大學的學生開發者社群，去年舉辦了48場活動，接觸3,800開發人員來提升AI技能。</p> <p>馬大康指出，從今年1月展開，預計舉辦16場Build With AI活動，培訓800位開發者投入生成式AI，也計畫培育60位社群領袖成為AI工具的種子教師，以及4位生成式AI領域的Google開發者專家。另外，今年在Google Cloud培育計畫上，今年將舉辦一個為期兩周的培訓計畫，預計再觸及5千名開發者。</p> <p>最後一個AI落地面向是Google要用AI協助各產業創新。去年10月才上任的Google Cloud臺灣總經理柯淑芬指出，現在是一個由生成式AI推動的全新數位轉型時代，企業有許多場景可以用生成式AI來加快速度。從台電電子任職多年經驗中，她舉例，不少高科技業的工廠分散在全球多國，生產線有許多作業手冊、組裝文件得翻譯成多國語言提供給各地工人，採用生成式AI就能快速翻譯，能加快產線生產新品項的速度。</p> <p>「Google希望支持企業快速建立變革式的生成式AI體驗，一方面會提供完整的生成式AI技術堆疊，另一方面會協助企業統整資料以利AI的運用。」她說。</p> <p>Google從去年12月開始陸續推出了多項生成式AI技術產品和工具，並陸續以Gemini為名來統一這個GenAI的產品線。臺灣也有企業開始試用Gemini模型等生成式AI技術，像是中附醫去年底導入醫療專用生成式AI模型MedLM，來打造AI輔助醫生，來輔助醫護進行診斷、疾病治療規畫和實施病人衛教的過程。PC Home則預計採用AI/ML來提供更精準的商品推薦或不同消費組合的推薦，也會在站內搜尋功能採用檢索增強生成RAG技術。旅遊網站KKday則是透過Vertex AI來運用生成式AI技術，將網站旅遊行程商品翻譯6國語言，包括中、英、日、韓、泰、越南文等。</p> <p>Google Cloud臺灣技術副總林書平指出，臺灣企業目前明確的生成式AI應用領域，像是新人的教育訓練，或是用生成式AI強化的搜尋來支援企業內部知識管理的需求。</p> <p>目前，Google Cloud在臺灣的技術支援人力約40多人，除了雲端技術支援、零信任導入輔導，也可支援企業打造生成式AI應用，另外，Google在臺灣和新加坡還設有專門的GenAI技術支援團隊，也可支援臺灣企業導入GenAI。「企業若有特殊題目或資料，甚至可以找來總部DeepMind的科學家來臺支援，臺灣目前已有一家企業取得這樣的合作支援。」林書平補充。</p> <p> </p> </div></div></div>
2024/3/14 08:21作者王宏仁https://www.ithome.com.tw/news/161756
以雲端原生作業系統DBOS為基礎的無伺服器運算平臺登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PostgreSQL創建者Mike Stonebraker與Databricks共同創辦人Matei Zaharia，啟動了一個MIT、史丹佛大學的聯合開源研發專案，創建了新型作業系統DBOS（DataBase oriented Operating System），現在更進一步推出<a href="https://www.dbos.dev/blog/announcing-dbos">DBOS Cloud</a>服務。該雲端服務是以DBOS為基礎所建構的交易型（Transactional）無伺服器平臺，提供高可靠性與時間旅行（Time Travel）等功能。</p> <p>DBOS是一個創新的作業系統架構，其核心概念在於將作業系統的功能和服務，建立在分散式資料庫之上，而非傳統的檔案系統。在Unix或Linux等傳統作業系統中，檔案、程序、執行緒和訊息等系統狀態，通常儲存在檔案系統中。Mike Stonebraker指出，儲存作業系統狀態是一個資料庫問題。</p> <p>他還提到，以現代觀點來說，Linux被認為是老舊的程式碼。由於Linux基於較老的技術與概念建立，在面對新技術挑戰和發展需求時，可能遭遇創新上的障礙。Mike Stonebraker表示，針對多節點運算和雲端運算，Linux目前沒有多節點版本，用戶需要Kubernetes等調度工具，才能執行分散式工作負載。</p> <p>DBOS的出現便是要解決這些問題，透過將作業系統直接建立在分散式資料庫上，DBOS就能提供更好的效率、可擴展性和容錯性，其架構使得作業系統，更適合用於大規模分散式運算環境。DBOS提供了一個TypeScript交易性程式設計環境，透過狀態自動化、交易性、可觀察性和網路彈性，增強應用程式的韌性，同時還能簡化雲端原生應用程式的開發。</p> <p>簡單來說，DBOS使用SQL編寫作業系統服務程式碼，這些服務在高效能分散式DBMS上運作，Mike Stonebraker提到，這與過去在作業系統的使用者空間，執行DBMS的方式不同。在DBOS中，DBMS會成為作業系統的核心，其提供與Linux效能相當的作業系統功能，但是又具有高可用性、時間旅行、內建多節點擴充等特性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-DBOS%20image%20by%20%20DBOS.png" style="width: 400px;" /></p> <p>DBOS所有的狀態都儲存在高可用DBMS中，且由於DBMS會記錄所有事件，這些日誌可以留存數小時甚至數天，因此作業系統備份變得簡單，當系統發生故障造成資料損失，用戶可利用時間旅行功能，退回到系統故障之前。另外，作業系統狀態都是由交易型和容錯型資料庫管理，使用SQL就可簡單存取系統狀態和可觀察性資料。</p> <p>現在DBOS公司進一步推出DBOS Cloud，這是以DBOS為基礎的交易型無伺服器平臺，針對有狀態Typescript應用程式設計。Mike Stonebraker解釋，DBOS Cloud並非普通的無伺服器平臺，其基於DBOS架構，使DBOS Cloud上的應用程式具有高可靠性。當程式執行中斷，系統會自動從中斷處恢復，不會重複執行已經執行過的工作，確保所有操作都會被執行且僅會執行一次。</p> <p>DBOS的時間旅行功能，可將系統上的應用程式狀態，還原至任意時間點，DBOS Cloud用戶可以藉由時間旅行功能重現罕見的錯誤，Mike Stonebraker還提到，他們將會發布用於災難恢復的時間旅行功能，供用戶將應用程式資料退回到過去的狀態。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0314-The%20DBOS%20Time%20Travel%20Debugger-image%20by%20%20DBOS.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-The%20DBOS%20Time%20Travel%20Debugger-image%20by%20%20DBOS-B.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_DBOS</span></span></p> </div></div></div>
2024/3/14 08:13作者李建興https://www.ithome.com.tw/news/161755
Wasmer推出Rust網頁伺服器WinterJS 1.0，相容於Cloudflare的JavaScript執行環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://wasmer.io/posts/winterjs-v1" target="_blank">Wasmer釋出</a>了以Rust開發的JavaScript執行環境WinterJS，藉由使用SpiderMonkey引擎執行JavaScript，並在底層以Rust非同步I/O框架Tokio，處理HTTP請求和JavaScript事件循環。官方提到，WinterJS不只速度快，而且可以編譯成WebAssembly，在邊緣運算平臺Wasmer Edge中運作。</p> <p>WinterJS 1.0遵循WinterCG（Web-interoperable Runtimes Community Group）規範，目標是要與Cloudflare Workers、Deno Deploy和Vercel等服務達到最大相容性。WinterCG是一個追求提升JavaScript執行環境間API互通性的社群，供不同JavaScript執行環境，特別是非瀏覽器環境的協作，以改善跨執行環境的網頁平臺相容性，目前組織成員包括Cloudflare、Deno、Fastly與Node.js等。</p> <p>WinterJS 1.0以效能著稱，根據官方的基準測試，WinterJS可以在單臺筆電上，每秒處理高達15萬次請求，速度高於WorkerD每秒4萬次，以及Node每秒7.5萬次，還有Bun的每秒1.17萬次。</p> <p>Wasmer在WinterJS與前端框架的相容性上採取明確的策略，確保所有前端框架均可在WinterJS上順利運作，開發團隊在分析Deno、Cloudflare與Fastly轉接器（Adaptor）之後，認為Cloudflare是目前最好的選擇，因為Cloudflare API已經支援其他API框架的大部分功能。</p> <p>透過建立與Cloudflare Workers API的相容性，WinterJS支援的框架包括Next.js、Next.js React伺服器端元件、Nuxt與Svelte等8種框架，這些框架不僅可用於生成靜態網站，也能夠進行伺服器端渲染。WinterJS支援React伺服器端組件，代表著渲染可以完全在伺服器端完成，藉由預生成HTML，使用戶能夠更快地看到畫面，並減少客戶端的運算負擔。</p> </div></div></div>
2024/3/13 22:44作者李建興https://www.ithome.com.tw/news/161753
【資安日報】3月13日，微軟發布3月例行更新，Hyper-V、Exchange、Azure K8s漏洞受到研究人員關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二有許多軟體業者與工控系統廠商推出每月例行更新，包含微軟、Adobe、SAP、西門子、施耐德電機，這些公司揭露與修補的漏洞，目前尚未出現遭到利用的跡象。</p> <p>話雖如此，還是有些漏洞引起研究人員的關注。以微軟本次公布的漏洞為例，許多研究人員特別提及要注意Hyper-V漏洞CVE-2024-21407。資安業者Rapid7警告，雖然微軟表示攻擊者必須收集特定的環境資訊才能利用這項漏洞，但也提醒在Hyper-V主機上，完全不需取得特殊權限。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://twitter.com/H4ckManac/status/1765828331889406274"><strong style="font-size: 22px;">勒索軟體DoNex在1週內對5家歐美企業出手，要脅若不付錢，將持續對受害組織發動攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GIF7BdTWYAAQ-lb.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GIF7BdTWYAAQ-lb.png" style="width: 300px; float: right;" /></a>威脅情報業者HackManac針對近期出現的勒索軟體DoNex提出警告，指出他們從2月23日至27日，看到駭客在網站上聲稱對5家企業出手，這些公司位於比利時、義大利、美國、荷蘭、捷克，對方從受害企業竊得19 GB至49 GB不等的內部資料。</p> <p>研究人員指出，這些駭客在加密電腦檔案後透過純文字檔案或彈出式視窗留下勒索訊息，強調他們只要錢、沒有政治動機，受害組織必須使用即時通訊軟體TOX Messenger聯繫，討論支付贖金事項，換取對方提供解密金鑰，並且刪除手上竊得的檔案。</p> <p>駭客要脅若是受害組織不願付錢，他們將反覆對其發動攻擊。值得留意的是，研究人員並未交代這些駭客如何入侵受害組織，我們仍須關切對方是透過何種管道滲透。</p> <p><strong style="font-size: 22px;">蘋果應用程式市集App Store出現冒牌的Leather加密貨幣錢包</strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fake-Leather-app-store.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fake-Leather-app-store.png" style="width: 300px; float: right;" /></a>3月5日比特幣錢包服務供應商Leather提出警告，近期蘋果App Store應用程式市集出現冒牌應用程式，由於該廠商並未提供行動裝置版應用程式，若是用戶不慎依照指示操作，就有可能導致錢包裡的比特幣被洗劫一空。</p> <p>值得留意的是，雖然Leather已向蘋果通報此事，也有用戶表示因下載App而導致資產損失，但資安新聞網站Bleeping Computer發現，這個冒牌App目前仍存在蘋果App Store，並未遭到下架，他們指出用戶評價高達4.9分，不過相關內容似乎是捏造的，因為他們比對這些用戶評論，文字、用戶名稱組成的方式幾乎相同。</p> <p>資料來源</p> <p>1. <a href="https://twitter.com/LeatherBTC/status/1764711738208063556">https://twitter.com/LeatherBTC/status/1764711738208063556</a><br /> 2. <a href="https://www.bleepingcomputer.com/news/security/fake-leather-wallet-app-on-apple-app-store-is-a-crypto-drainer/">https://www.bleepingcomputer.com/news/security/fake-leather-wallet-app-on-apple-app-store-is-a-crypto-drainer/</a></p> <p><a href="https://www.hackread.com/hacker-breach-federal-contractor-acuity-ice-uscis-data/"><strong style="font-size: 22px;">美國移民主管機關的IT承包商傳出遭駭，敏感資料流入駭客論壇</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/hacker-breach-federal-contractor-acuity-ice-uscis-data-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/hacker-breach-federal-contractor-acuity-ice-uscis-data-3.jpg" style="width: 300px; float: right;" /></a>3月9日資料掮客IntelBroker於駭客論壇BreachForums，聲稱入侵美國移民主管機關的IT承包商Acuity，從而取得美國移民和海關執法局（ICE）、美國公民和移民服務局（USCIS）兩個聯邦機構的內部資料。</p> <p>賣家開價3千美元的門羅幣，並宣稱內容包含超過10萬名人士的個人識別資訊（PII），其中有姓名、護照號碼、生日、電話號碼、電子郵件信箱、地址。資安新聞網站HackRead對此進行了解，發現這批資料含有更多敏感資料，像是程式的原始碼、使用者手冊、內部機密對話，其中甚至論及五眼聯盟使用的調查技術、烏克蘭戰爭、全球恐怖主義會議資訊等內容。</p> <p>駭客向HackRead表示，這些資料被歸類極機密、已分類、未分類、僅供官方使用（For Official Use Only，FOUO）等4種類型，他們號稱透過GitHub重大層級的零時差漏洞取得Token，從而入侵該承包商，但沒有透露漏洞的相關細節。</p> <p><strong style="font-size: 22px;">駭客聲稱握有Okta去年資安事故外流客戶資料，遭到該公司否認</strong></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/hacker-okta.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/hacker-okta.png" style="width: 300px; float: right;" /></a>2023年10月Okta證實客戶支援系統遭駭，攻擊者從中竊得部分客戶的cookie及帳密資料，近期有人聲稱公布相關內容。一名使用ID「Ddarknotevil」的人士在駭客論壇公布Okta資料庫，並指出其內容與上述的資料外洩事故有關，總共有約3,800名曾使用該支援系統的客戶個資，包含使用者ID、姓名、公司名稱、辦公室地址、電話號碼、電子郵件信箱、職稱等詳細資料。</p> <p>對此，資安新聞網站Bleeping Computer向Okta進行確認，Okta發言人表示，這些資料與Okta無關，疑似有人從網際網路公開資訊彙整而成，其中部分資料的日期能追溯到十幾年前。該公司IT團隊也對所有系統進行清查，也並未發現遭到入侵的跡象。威脅情報業者Kela也證實Okta的說法，認為這些資料來自另一家公司，駭客去年7月對其出手。</p> <p>資料來源</p> <p>1. <a href="https://www.bleepingcomputer.com/news/security/okta-says-data-leaked-on-hacking-forum-not-from-its-systems/">https://www.bleepingcomputer.com/news/security/okta-says-data-leaked-on-hacking-forum-not-from-its-systems/</a><br /> 2. <a href="http://www.linkedin.com/posts/kela-cyber_kela-cyber-flash-no-oktas-database-activity-7172568624270852097-fX9z/">http://www.linkedin.com/posts/kela-cyber_kela-cyber-flash-no-oktas-database-activity-7172568624270852097-fX9z/</a></p> <p> </p> <div> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Mar"><strong style="font-size: 22px;">微軟發布3月份例行更新，修補61個漏洞</strong></a></p> <p></p> <p>3月12日微軟發布本月分例行更新（Patch Tuesday），總共修補61個漏洞。</p> <p>其中最受到研究人員關注的漏洞，包含了危急（Critical）層級的Hyper-V遠端程式碼執行（RCE）漏洞CVE-2024-21407、重要（Important）層級的Exchange伺服器RCE漏洞CVE-2024-26198，以及同樣列為重要層級的Azure Kubernetes服務機密容器權限提升漏洞CVE-2024-21400，這些漏洞的CVSS風險評分為8.1、8.8、9.0。</p> <p>漏洞懸賞專案Zero Day Initiative（ZDI）指出，本次CVSS風險評分最危險的漏洞CVE-2024-21334也相當值得留意，該漏洞出現在開放管理基礎架構（OMI）元件，未經身分驗證的攻擊者可透過網際網路遠端在OMI實體上執行程式碼，CVSS風險評分為9.8。</p> <p>資料來源</p> <p>1. <a href="https://www.zerodayinitiative.com/blog/2024/3/12/the-march-2024-security-update-review">https://www.zerodayinitiative.com/blog/2024/3/12/the-march-2024-security-update-review</a><br /> 2. <a href="https://www.rapid7.com/blog/post/2024/03/12/patch-tuesday-march-2024/">https://www.rapid7.com/blog/post/2024/03/12/patch-tuesday-march-2024/</a><br /> 3. <a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-march-2024-patch-tuesday-fixes-60-flaws-18-rce-bugs/">https://www.bleepingcomputer.com/news/microsoft/microsoft-march-2024-patch-tuesday-fixes-60-flaws-18-rce-bugs/</a></p> <p><a href="https://www.securityweek.com/sap-patches-critical-command-injection-vulnerabilities/"><strong style="font-size: 22px;">SAP更新用戶端程式Chromium元件、修補重大層級的命令注入漏洞</strong></a></p> <p></p> <p>本週二SAP發布本月例行更新，總共公布10則新的資安公告，並更新2則公告的內容。其中有3則被列為焦點資訊（Hot News），根據CVSS風險評分的高低，最嚴重的是Business Client當中Chromium元件的安全更新，危險程度達到10分。</p> <p>危險程度次高的漏洞是CVE-2019-10744，此為原型汙染（Prototype Pollution）漏洞，發生在名為lodash的元件，恐導致Build Apps產生的應用程式出現程式碼注入的弱點，CVSS風險評分為9.4。</p> <p>第三個須密切注意的資安漏洞則與NetWeaver AS Java有關，該公司為其修補了程式碼注入漏洞CVE-2024-22127，此漏洞與管理員事件記錄檢視器外掛有關，取得高權限的攻擊者可藉由上傳有潛在危害的檔案觸發漏洞，CVSS風險評分為9.1。</p> <p><a href="https://www.securityweek.com/ics-patch-tuesday-siemens-ruggedcom-devices-impacted-by-45-fortinet-vulnerabilities/"><strong style="font-size: 22px;">西門子公布行動裝置SIMATIC RF160B、應用程式管理平臺Ruggedcom漏洞</strong></a></p> <p></p> <p>3月12日西門子發布11則資安公告，當中總共公布214個漏洞，約有四分之三（157個）與名為SIMATIC RF160B的行動裝置有關，這些為2017年至2022年公布的第三方元件漏洞，有可能讓攻擊者在具有特殊權限的處理程序之中，任意執行程式碼，整體的CVSS風險評分為9.8，該公司發布2.2版韌體予以修補。</p> <p>特別的是，其餘漏洞多與工業應用程式管理平臺Ruggedcom APE1808有關。該公司在2則公告裡共提及45個漏洞，皆與該系統整合的次世代防火牆FortiGate有關，這些都是Fortinet公布的已知漏洞，整體的CVSS風險評分也達到9.8分。</p> <p>資料來源</p> <p>1. <a href="https://cert-portal.siemens.com/productcert/txt/ssa-770721.txt">https://cert-portal.siemens.com/productcert/txt/ssa-770721.txt</a><br /> 2. <a href="https://cert-portal.siemens.com/productcert/txt/ssa-832273.txt">https://cert-portal.siemens.com/productcert/txt/ssa-832273.txt</a><br /> 3. <a href="https://cert-portal.siemens.com/productcert/txt/ssa-366067.txt">https://cert-portal.siemens.com/productcert/txt/ssa-366067.txt</a></p> <p><a href="https://securityaffairs.com/160347/hacking/progress-software-openedge-critical-flaw.html"><strong style="font-size: 22px;">應用程式開發平臺OpenEdge存在身分驗證繞過漏洞</strong></a></p> <p></p> <p>2月底IT業者Progress針對應用程式開發平臺OpenEdge發布資安公告，指出該系統存在身分驗證繞過漏洞CVE-2024-1403，影響其身分驗證閘道 OpenEdge Authentication Gateway（OEAG）、管理伺服器（AdminServer）元件，一旦OEAG的網域設置在與OpenEdge系統相同的網域，使用者可透過作業系統本機身分驗證提供者產生的帳號進行登入，在OpenEdge進行身分驗證的例行流程存在弱點，而有可能導致未經授權的存取。</p> <p>此外，使用者若透過OpenEdge Explorer（OEE）或OpenEdge Management（OEM）元件連接管理伺服器，也有可能觸發這項漏洞。此漏洞的CVSS風險評分達到10分，該公司推出11.7.19版、12.2.14版、12.8.1版修補上述漏洞。</p> <p>3月6日資安業者Horizon3.ai公布漏洞的細節，以及概念性驗證（PoC）程式碼，並表示該漏洞有可能存在其他的攻擊面，使得攻擊者能用來遠端執行程式碼。</p> <p>資料來源</p> <p>1. <a href="https://community.progress.com/s/article/Important-Critical-Alert-for-OpenEdge-Authentication-Gateway-and-AdminServer">https://community.progress.com/s/article/Important-Critical-Alert-for-OpenEdge-Authentication-Gateway-and-AdminServer</a><br /> 2. <a href="https://www.horizon3.ai/attack-research/cve-2024-1403-progress-openedge-authentication-bypass-deep-dive/">https://www.horizon3.ai/attack-research/cve-2024-1403-progress-openedge-authentication-bypass-deep-dive/</a></p> </div> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.securityweek.com/adobe-patches-critical-flaws-in-enterprise-products/"><span style="font-size: 20px;">Adobe發布3月例行更新，修補Experience Manager、ColdFusion漏洞</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/acer-confirms-philippines-employee-data-leaked-on-hacking-forum/"><strong><span style="font-size: 20px;">宏碁菲律賓分公司傳出資料外洩，疑為外部供應商遭駭所致</span></strong></a></p> <p></p> <p><strong><a href="https://www.reversinglabs.com/blog/bipclip-malicious-pypi-packages-target-crypto-wallet-recovery-passwords"><span style="font-size: 20px;">駭客上傳惡意PyPI套件企圖竊取加密貨幣錢包</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/over-12-million-auth-secrets-and-keys-leaked-on-github-in-2023/"><strong><span style="font-size: 20px;">2023年近1,300萬組帳密資料在GitHub曝光</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/exploited-building-access-system-vulnerability-patched-years-after-disclosure/"><strong><span style="font-size: 20px;">公開5年的大樓門禁系統Nice Linear漏洞即將得到修補</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161727"><strong>【3月12日】勒索軟體駭客組織「變臉」藉由TeamCity伺服器入侵受害組織</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161709"><strong>【3月11日】為隱匿攻擊流量，駭客濫用虛擬化平臺QEMU設置網路通訊隧道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161668"><strong>【3月8日】Linux惡意軟體攻擊鎖定DevOps常用的4種平臺</strong></a></p> </div></div></div>
2024/3/13 15:58作者周峻佑https://www.ithome.com.tw/news/161751
上市櫃公司資安重訊發布「重大性」標準出爐，不只明訂核心系統、官網遭駭，也涵蓋DDoS、個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上市櫃公司頻頻遭駭客網路攻擊，企業如何認定資安事件重大到需要揭露，是這兩年大家都想知道的資訊。</p> <p>最近我們報導<a href="https://www.ithome.com.tw/news/161666">2023上市櫃資安事件態勢</a>時，臺灣證券交易所（證交所）表示，這方面已有明確規範，就是<a href="https://dsp.twse.com.tw/public/static/downloads/listedCompany/%E3%80%8C%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86%E3%80%8D11301%20_20240118165315.pdf">今年1月釋出的新版「上市公司重大訊息發布應注意事項參考問答集」</a>，當中有相關內容修訂。當時我們已經<a href="https://www.ithome.com.tw/news/161667#%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E9%87%8D%E5%A4%A7%E6%80%A7%E6%A8%99%E6%BA%96">報導</a>此事，最近3月，金融監督管理委員會（金管會）與證券櫃臺買賣中心（櫃買中心）有後續消息揭露。</p> <p>具體而言，這個重大訊息問答集的內容，是針對法規「臺灣證券交易所股份有限公司對有價證券上市公司重大訊息之查證暨公開處理程序」（以下簡稱重大訊息處理程序）的補充說明，主要是針對外界對於法規內容執行的諸多疑問，提供更詳盡的解釋。</p> <p>這次修訂的重點在於，先前證交所的規範對於何謂「重大」，主要交由企業評估與判斷。例如，他們建議企業依據問答集中的「發布重大訊息遵循程序及判斷標準」評估，並要留存相關軌跡紀錄，又或是媒體報導公司發生資通安全事件，可能影響投資人的投資決策，需發布重大訊息。</p> <p>現在證交所規範的部分不只上述內容，還更明確指出多種具體受害類型，需要發布重大訊息。</p> <p>例如，公司的核心資通系統、官方網站或機密文件檔案資料等，遭駭客攻擊，遭入侵、破壞、竄改、刪除、加密、竊取、服務阻斷攻擊（DDoS）等，致無法營運或正常提供服務，或有個資外洩的情事等，即屬造成公司重大損害或影響，公司即應依重大訊息處理程序法規的第26款發布重大訊息。</p> <p>顯然，證交所今年修訂此份問答集的用意，就是為了更具體定義重訊揭露的資安事件「重大性」而來，協助上市櫃公司發布資安重訊時，可以有個更具體的衡量標準。</p> <h2><strong>金管會證期局首度公開聲明，櫃買中心3月亦完成修訂</strong></h2> <p>在3月5日金管會的例行記者會上，證期局副局長黃厚銘也提到這項轉變。他特別預告今年資安治理推動的8項重點，而其中之一，就是修訂重大訊息問答集，明確規範資安事件之「重大性」標準。</p> <p>由於這是證期局首次公開強調此事，因此我們也向其詢問，想瞭解細節。證期局表示，關於上市公司的部分，的確已在1月完成這方面的修訂，也就是發布新版「上市公司重大訊息發布應注意事項參考問答集」，至於上櫃公司方面，預計一段時間後也會完成。</p> <p>相隔數日之後（3月8日），我們發現櫃買中心完成這方面的修訂，在其業務宣導網站釋出<a href="https://dsp.tpex.org.tw/storage/co_download/%E4%B8%8A%E8%88%88%E6%AB%83%E5%85%AC%E5%8F%B8%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86.pdf?t=20240308">新版「上（興）櫃公司重大訊息發布應注意事項參考問答集」</a>，讓外界更瞭解重大訊息處理程序法規，及主管機關對於「財團法人中華民國證券櫃檯買賣中心對有價證券上櫃公司重大訊息之查證暨公開處理程序」第26款資安事件「重大性」定義的執行與判斷。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）規範上櫃資安事件重大訊息「重大性」標準.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%A6%8F%E7%AF%84%E4%B8%8A%E6%AB%83%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E3%80%8C%E9%87%8D%E5%A4%A7%E6%80%A7%E3%80%8D%E6%A8%99%E6%BA%96.jpg" style="width: 600px;" /></a></p> <p>換言之，現在不論上市、上櫃或興櫃公司，一旦遭遇資安事件時，對於判斷是否需要發布重大訊息，現在有更明確的規範內容，方便所有公司遵循。</p> <p>儘管對於「重大」的定義，或許仍有商榷之處，但主管機關應該已經考量該如何讓所有企業都能遵循，畢竟每家公司規模大小不一，部分上市櫃公司被規範要設置資安長或資安專責單位，也是這一兩年才有的要求，因此很多公司可能還沒有資安長，或是沒有能力判斷資安事件是否屬於重大，是否有發布重大訊息的必要。</p> <h2><strong>資安重訊揭露規範將滿3年，需留意規範修正最新變化</strong></h2> <p>對於上市櫃公司而言，都很關注整體的資安事件重訊揭露上，有哪些重大變化？</p> <p>雖然，發布重大訊息揭露資安事件的相關規範，是從2021年4月就開始施行，後續這3年來，我們也的確看到一些發生資安事件的上市櫃公司，依照規範發布重大訊息。</p> <p>然而，我們從一些資安專家口中得知，到現在仍有上市櫃公司對此渾然不知，不知道企業發生重大資安事件要公告重大訊息。</p> <p>而且，後續還有一些修正重點，也是需要留意的部分。例如，年報編制方面的變化，自2022年的年報開始，不只是記載資安作為，也要揭露重大資安事件的損失與影響，並說明遇到事件時，公司是如何因應。</p> <p>接下來，在2023年的重大訊息處理程序修訂，對於重訊發布內容要求有微調，要與向外界及媒體說明的內容一致，並增訂不得有偏頗情形。</p> <p>至於2024年的最新規範變化，就是上述重訊問答集的修訂，明確規範資安事件的「重大性」標準。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖表1）上市櫃公司發生資安事件，重大訊息揭露的6大重要規定_iThome整理.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%96%E8%A1%A81%EF%BC%89%E4%B8%8A%E5%B8%82%E6%AB%83%E5%85%AC%E5%8F%B8%E7%99%BC%E7%94%9F%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%EF%BC%8C%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E6%8F%AD%E9%9C%B2%E7%9A%846%E5%A4%A7%E9%87%8D%E8%A6%81%E8%A6%8F%E5%AE%9A_iThome%E6%95%B4%E7%90%86.png" style="width: 600px;" /></a></p> <h2><strong>上市櫃公司違反重訊發布規範，最高罰5百萬元，金管會持續宣導規定</strong></h2> <p>上市櫃公司發生資安事件需發布重訊時，除了注意2021年後的相關法規修正，更早之前的重大訊息規範，也不能忘記，因為這些規定至今仍被要求。</p> <p>自數十年前主管機關要求重大訊息發布以來，至今已規範超過50種情況，可能對股東權益或證券價格有重大影響，需要上市櫃公司發布重大訊息，向投資人說明。例如，我們時常看到公司因重大的人事變動，而發布重大訊息。</p> <p>「發生災難、集體抗議、罷工、環境污染、資通安全事件或其他重大情事」，也是需要發布重大訊息的情況之一種，而資通安全事件是在2021年後才明訂、增列於其中。</p> <p>由於有上述規範，這一年以來，金管會證期局持續宣導下列事項，提醒上市櫃公司都要謹記與遵循。例如：（一）重大資安事件的發布時間，要在次一營業日開盤前2小時（7點前）發布；（二）違反重訊發布規定，可處違約金3萬~500萬元；（三）旗下子公司發生重大資安事件，母公司也需要替子公司進行公告。</p> <p>近期是否有違反申報的相關開罰案例？我們回顧去年臺灣企業重大資安事件時，發現有家公司似乎是這樣的狀況。</p> <p>根據<a href="https://www.tpex.org.tw/web/about/news/news/news_detail.php?l=zh-tw&doc_id=11304">櫃買中心11月9日公告</a>，說明諾貝兒寶貝在9月14日查知客戶資料疑有外洩情事，但未依規定於期限內發布重大訊息，違反興櫃股票審查準則第34條規定，因此櫃買中心處以違約金15萬元。而該公司是在10月7日才發布重大訊息說明遭網路攻擊。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/images/（圖2）諾貝兒客戶資料外洩_未依規定於期限內發布重大訊息_櫃買中心開罰15萬.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%AB%BE%E8%B2%9D%E5%85%92%E5%AE%A2%E6%88%B6%E8%B3%87%E6%96%99%E5%A4%96%E6%B4%A9_%E6%9C%AA%E4%BE%9D%E8%A6%8F%E5%AE%9A%E6%96%BC%E6%9C%9F%E9%99%90%E5%85%A7%E7%99%BC%E5%B8%83%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF_%E6%AB%83%E8%B2%B7%E4%B8%AD%E5%BF%83%E9%96%8B%E7%BD%B015%E8%90%AC.jpg" style="width: 600px;" /></a></p> <p>為了幫大家更清楚這些規範制定的起源，我們也進一步向金管會證期局確認。例如，要在次一營業日的開盤前2小時公告重訊，是2016年的重大訊息處理程序修訂所規範；違反重訊可罰3萬至500萬元，是在2011年就已經規範；子公司發生重訊相關情事，視同上市櫃公司重大訊息，應代為申報，這是2014年時的規範修訂。</p> <p>到了今年，對於上市櫃公司而言，還有哪些要留意的監管態勢？從金管會近期的預告來看，上述子公司的方面就是一大關鍵。這是因為我們注意到，前述金管會表示今年將推動的8大措施，其中一項，就是聚焦於落實企業對子公司資訊安全的監督與管理。換言之，主管機關不只推動上市櫃公司強化資安，也促進這些上市櫃公司需同樣重視子公司的資安強化。</p> <p>另外，金管會還將聚焦下列工作：提高資訊安全內部控制查核比例，以及追蹤缺失改善情形。這方面的力道加強，或許與近期上市櫃資安事件發生攀高有關。</p> <p>至於其他多項監理協助措施，今年金管會也將持續進行，包括：強化資訊安全人員教育訓練，分享資訊安全事件案例，持續推動加入TWCERT/CC分享資安事件之情資，以及取得資安標準國際認證及取得外部驗證，以進一步推動上市櫃公司資安強化。</p> <p> </p> </div></div></div>
2024/3/13 12:28作者羅正漢https://www.ithome.com.tw/news/161745
橫跨NGFW與SASE，Palo Alto提供結合AI技術的集中管理平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/strata_cloud_mamager_main4.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月，Palo Alto Networks發表基於AI技術而成的統一管理平臺，名為Strata Cloud Manager，可涵蓋旗下多種次世代網路防火牆（NGFW），以及SASE類型的安全存取解決方案，進行統籌監控與管理，標榜當中搭配超過4,400個機器學習模型，以及多種創新功能，到了今年3月初，該公司在臺灣舉行線上新品巡迴發表會，正式介紹這套融合資安防護與安全存取網路的系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCM-PA-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCM-PA-overview.jpg" style="width: 600px;" /></a></p> <p>Palo Alto Networks台灣區技術總監蕭松瀛表示，Strata Cloud Manager是全新、以SaaS雲端服務為主的整合介面，能同時管理硬體與虛擬機器形式的次世代防火牆，以及SASE等網路架構，此外，這當中搭配Palo Alto Networks提供的<a href="https://www.paloaltonetworks.com/network-security/security-subscriptions">雲端交付安全性服務（Cloud-Delivered Security Services，CDSS）</a>，包含雲端沙箱檢測服務WildFire、威脅預防服務（TP）、DNS防護服務、物聯網防護服務（可參考下圖，在防火牆與SASE的上一層就是CDSS），因此也能夠儲存CDSS相關資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager-1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-SCM-CDSS.jpg" style="width: 600px;" /></p> <p>Strata Cloud Manager的推出，是為了因應網路安全基礎架構的管理與監控需求而來，因為目前企業在此正面臨兩大挑戰：首先是預測性（predictive）與可行性（actionable）洞察分析的不足，另一個是橫跨眾多資安工具的使用，若缺乏密切整合，將導致資安防護產生縫隙與政策不一致，從而危害整體安全性與資安維運作業。Palo Alto認為，企業資安團隊採用Strata Cloud Manager之後，可大幅改善上述問題，進而鞏固資安防護態勢，並在每個政策控管點（enforcement point）提供主動處理機制、預防網路中斷狀況的發生。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCM-PA-works.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCM-PA-works.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SCM-PA-Config Unified.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCM-PA-Config%20Unified.jpg" style="width: 600px;" /></a></p> <p>單就網路安全防護的強化而言，Strata Cloud Manager能提供業界與Palo Alto的最佳實務，企業可在此運用由AI技術支持的政策分析功能，以及政策遵循程度的即時檢查，得到能具體施行的建議與工作流程指引，減少組態設定錯誤（Misconfigurations）、降低不必要的風險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCM-PA-Config realtime.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCM-PA-Config%20realtime.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Built-In Best Practices in Strata Cloud Manager.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Built-In%20Best%20Practices%20in%20Strata%20Cloud%20Manager.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Built-In Best Practices in Strata Cloud Manager2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Built-In%20Best%20Practices%20in%20Strata%20Cloud%20Manager2.jpg" style="width: 298px;" /></a></p> <p> <a href="https://s4.itho.me/sites/default/files/images/PA-SCM-Policy Check.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-SCM-Policy%20Check.jpg" style="width: 298px;" /></a></p> <p>確保網路持續運作，是這套資安解決方案相當獨特之處，因為當中內建了預測性分析，可協助用戶預料、主動識別網路傳輸容量的瓶頸，並且能提前7天進行部署健全狀態的評估，促使資安團隊有效預防網路服務營運的中斷。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCM-PA-health.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCM-PA-health.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager Cap1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager%20Cap1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager Cap2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager%20Cap2.jpg" style="width: 298px;" /></a></p> <p>同時，Strata Cloud Manager也導入通用警示框架，可用來識別網路中斷狀況，協助企業維持最佳的網路運作狀態與效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SCM-PA-Autoresolve.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SCM-PA-Autoresolve.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager Alert1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager%20Alert1.jpg" style="width: 600px;" /></a></p> <p>而在網路安全管理的部分，Strata Cloud Manager可集中管理企業環境的所有相關資產，例如，能橫跨Palo Alto旗下多種形式的網路與資安解決方案，囊括軟體與硬體網路防火牆，以及所有資安服務，共享當中的組態設定與控管政策，提供統一的呈現方式，確保企業整體資安防護的實施具有一致性與功效，以及營運負擔能夠降至最低，從而提升資安團隊面對這類工作的效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager Dashboard1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager%20Dashboard1.jpg" style="width: 600px;" /></a></p> <p>關於使用者操作介面的體驗上，Strata Cloud Manager也提供儀表板，可呈現脈絡、互動式應用案例驅動的作業模式，以及具有授權感知能力的資料充實機制（license-aware data enrichment）。</p> <p>這裡提到的脈絡化呈現，蕭松瀛表示，是指能夠以圖形介面呈現網路流量狀況，因為這套解決方案可接受不同的資料，而且，用戶根據自身需求訂製儀表板內容之餘，也能透過點選的操作方式，進入其他的資料頁面。而關於資料充實的部分，與前述的CDSS授權有關，若用戶具備這些服務使用授權，相關資料即可納入Strata Cloud Manager。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Built-In Best Practices in Strata Cloud Manager6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Built-In%20Best%20Practices%20in%20Strata%20Cloud%20Manager6.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Built-In Best Practices in Strata Cloud Manager5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Built-In%20Best%20Practices%20in%20Strata%20Cloud%20Manager5.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Built-In Best Practices in Strata Cloud Manager3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Built-In%20Best%20Practices%20in%20Strata%20Cloud%20Manager3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Built-In Best Practices in Strata Cloud Manager4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Built-In%20Best%20Practices%20in%20Strata%20Cloud%20Manager4.jpg" style="width: 298px;" /></a></p> <p>隨著Palo Alto正式發布次世代防火牆作業系統PAN-OS新版本（代號Cosmos，版號為11.1），若用戶啟用資料湖儲存Strata Data Lake與AIOps for NGFW Premium授權，Strata Cloud Manager就能以不同的風格呈現網路與資安運作狀態（如下圖）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager-Visual1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager-Visual1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager-Visual2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager-Visual2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager-AlERT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager-AlERT.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Strata Cloud Manager-Conf.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Strata%20Cloud%20Manager-Conf.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PAN-Global Cloud Infrastructure-2024-03-SCM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PAN-Global%20Cloud%20Infrastructure-2024-03-SCM.jpg" style="width: 600px;" /></a> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Strata Cloud Manager</strong><br /> ●原廠：Palo Alto Networks<br /> ●建議售價：廠商未提供<br /> ●支援Palo Alto Networks產品：<br /> 網路防火牆：硬體設備（PA系列）、軟體系統（VM系列、CN系列）<br /> 雲端供應資安服務：Advanced Threat Prevention、Advanced URL Filtering、Advanced WildFire、DNS Security、Enterprise DLP、IoT Security、SaaS Security<br /> SASE：Prisma Access、Prisma SD-WAN</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/13 16:28作者李宗翰https://www.ithome.com.tw/review/161641
Meta公開其GenAI基礎設施，兩個叢集分別具備2.4萬個GPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://engineering.fb.com/2024/03/12/data-center-engineering/building-metas-genai-infrastructure/" target="_blank">Meta周二（3/12）公開</a>了該公司所使用的生成式人工智慧（GenAI）基礎設施，內含兩個各採用24,576個Nvidia H100 GPU的大型資料中心叢集，以及相關的網路、運算與儲存部署。</p> <p>其實Meta在2022年便曾揭露該公司所打造的AI叢集AI Research SuperCluster（RSC），當時便宣稱這是全球速度最快的超級電腦之一，它使用了1.6萬個Nvidia A100 GPU。</p> <p>而本周Meta所揭露的GenAI叢集雖然採用兩種不同的網路架構，但皆配備了24,576個Nvidia Tensor Core H100 GPU。Meta表示，這兩個叢集聚集於高效能的網路結構，使得它們可支持比RSC更大且更複雜的模型，可替未來發展先進GenAI產品開發及AI研究鋪路。</p> <p>Meta解釋，該公司每天要執行數百兆個AI模型，大規模地遞送相關服務需要非常先進且彈性的基礎設施，因而需要客製化自己的硬體、軟體及網路架構，以優化AI研究人員端到端的經驗，同時確保資料中心的高效運作，因而採用不同的網路設計。</p> <p>其中一個叢集是基於Arista 7800、Wedge400與Minipack2開放運算計畫（OCP）機架交換器的RDMA over Converged Ethernet（RoCE）解決方案，為一可透過乙太網路自遠端直接存取記憶體的網路協定，此一協定主要適用於諸如網路儲存或叢集運算等需要高頻寬與低延遲的網路基礎設施。</p> <p>另一個叢集則是採用Nvidia的Quantum2 InfiniBand架構，該架構同樣也是專為高效能運算的低延遲與高頻寬所設計。這兩個叢集的端點互連速度皆高達400 Gbps，採用不同網路架構將有利Meta評估不同類型的互連對大規模訓練的適用性及可擴展能力，以作為未來設計與建置更大規模叢集的參考。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0313-meta%20genai(2).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-meta%20genai(2).png" style="width: 558px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>除了網路架構之外，它們皆採用Meta內部設計、並已貢獻給開放運算計畫的GPU硬體平臺Grand Teton，該平臺是以許多不同世代的AI系統為基礎，並在單一的機箱中整合了電源、控制、運算與架構介面，以達到更好的效能、訊號完整性及熱效能。</p> <p>在儲存上則是採用基於Meta內部Tectonic分散式儲存解決方案的Linux Filesystem in Userspace（FUSE）API ，它滿足了AI叢集對資料與檢查點的需求，令數千個GPU得以同步保存及載入檢查點，同時提供資料載入時所需的彈性，以及EB儲存等級的吞吐量。</p> <p>Meta亦與Hammerspace共同開發一個平行網路檔案系統（NFS）部署，以迎合開發者對AI叢集的體驗需求。Hammerspace的優點之一是允許工程師可利用數千個GPU的資源進行任務的互動除錯，因為當程式有所變更時，此一環境中的所有節點都可立即存取。</p> <p>打造大規模AI叢集的挑戰之一為同時維持其高效能及易用性，於是Meta藉由比較小叢集與大叢集的效能來找出大叢集的瓶頸並將其優化。Meta坦承，在甫完成大叢集的部署之際，其最初效能很差且不一致，因而經由調整網路拓撲，並結合對Nvidia Collective Communications Library（NCCL）的變更來優化網路路由政策，以實現最佳的網路利用率，而讓大型叢集達到與小型叢集一樣出色的預期效能。</p> <p>Meta仍計畫持續建置並擴張大型GenAI叢集，計畫今年底便會擴大其基礎設施至包含35萬個Nvidia H100 GPU，並將創造等同於60萬個H100 GPU運算能力。</p> </div></div></div>
2024/3/13 17:12作者陳曉莉https://www.ithome.com.tw/news/161752
Midjourney測試能生成一致化角色形象的AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/midjourney/status/1767316749547077824" target="_blank">Midjourney公告</a>正在測試一項生成式AI功能，能為多個場景或畫面創造長相、服裝或表情更一致的角色。</p> <p>現在用戶可以透過其<a href="https://discord.com/invite/midjourney" target="_blank">測試網站</a>試用。Midjourney新功能將能解決影片、動漫或小說創作者最普遍的痛點，創造連貫的角色形象。</p> <p>雖然現在有許多生成式AI工具能協助創作者產生畫面精美、技巧高超的人物影像，但目前影像故事創作者碰到的問題是「不連戲」，即AI工具生成的角色或服裝前後不一致。這是因為現有工具多半以擴散模型為基礎，根據用戶輸入的文字、集結像素，產出和文字描述相符的影像，過程中並未考慮前後一致性。</p> <p>現在Midjourney試圖解決這個問題。目前<a href="https://twitter.com/nickfloats/status/1767619179467669839" target="_blank">該公司正在</a>測試一些新指令，供用戶連同URL輸入在文字提示後方。例如--cw等可控制服裝、臉部表情、或頭髮的一致性。--ref可控制動作。目前這項功能還在開發中，有些限制，例如無法完整複製雀斑、痘痘或Logo，可適用於MJ6或更適合動漫開發的Niji6模型，但用在MJ模型效果最好。</p> <p class="rtecenter"><a href="http://twitter.com/nickfloats/status/1767619179467669839" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-midjourney-(2).jpg" style="width: 600px;" /></a></p> <p><a href="https://venturebeat.com/ai/midjourney-debuts-feature-for-generating-consistent-characters-across-multiple-gen-ai-images/" target="_blank">《Venturebeat》</a>分析，新功能將可讓Midjourney從個人玩家的AI玩具變成真正專業用戶也需要的工具。</p> </div></div></div>
2024/3/13 15:28作者林妍溱https://www.ithome.com.tw/news/161749
Tor專案正式推出可繞過審查的WebTunnel橋接器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了慶祝每年3月12日的世界反對網路審查日（World Day Against Cyber Censorship），Tor專案當天正式推出可繞過審查機制的<a href="https://blog.torproject.org/introducing-webtunnel-evading-censorship-by-hiding-in-plain-sight/" target="_blank">WebTunnel橋接器</a>。</p> <p>Tor專案所維護的洋蔥路由（The Onion Router）原本就是用來實現匿名通訊的開源軟體，透過全球志工所提供的逾7,000多個中繼站來引導流量，目的是讓網路使用者避免遭到追蹤，隨著有許多國家開始封鎖Tor流量，該專案也開發各種可隱藏流量的網路橋接器，諸如Obfsproxy與WebTunnel。</p> <p>Obfsproxy與WebTunnel皆為Tor的子專案，前者是「混淆代理」（Obfuscate Proxy）的縮寫，在各國政府強制ISP業者過濾SSL流量，或是採用深度封包檢查（Deep Packet Inspection，DPI）來偵測及分類各種網路流量時，Obfsproxy可於Tor流量上添增加密包裝，且採用無可識別的交握（Handshake）來躲避偵測，目前Tor專案已提供obfs4供用戶存取。</p> <p>至於WebTunnel則是藉由模仿HTTPS流量來躲避審查，其原理是將酬載連線包裝成像是WebSocket的HTTPS連線，使它看起來就像是尋常的HTTPS連線。</p> <p>Tor專案說明，WebTunnel流量與一般網路流量非常相似，且它能夠與在同一個網路端點上的網站共存，意謂著WebTunnel與該網站可以使用同樣的網域名稱、IP位址與傳輸埠，此一共存狀態使得一個標準的流量反向代理能夠將WebTunnel與尋常的網路流量導至各自的應用伺服器。於是，當有人嘗試造訪此一共同網路位址的網站時，他們只會得知該網站位址上的內容，而不會注意到WebTunnel的存在。</p> <p>obfs4與WebTunnel的主要差異在於，obfs4與其它完全加密的網路流量皆注重獨特性且無法識別，而WebTunnel則專注於模仿已知的典型流量，於是，當網路流量審查機制決定遺棄不符特定類型的流量時，可能會封鎖obfs4流量，而放行WebTunnel流量。</p> <p>其實Tor專案在2022年12月便發表了WebTunnel，並在去年6月開放橋接器營運商部署，迄今全球已部署了60個WebTunnel橋接器，目前每天有逾700名活躍用戶於不同的平臺上使用WebTunnel。不過，雖然中國與俄羅斯皆可使用WebTunnel，伊朗的某些地區仍無法使用該橋接器。</p> <p>使用者可透過<a href="https://bridges.torproject.org/options" target="_blank">Tor專案</a>複製WebTunnel橋接器，並安裝最新的Tor瀏覽器以新增WebTunnel。</p> </div></div></div>
2024/3/13 15:57作者陳曉莉https://www.ithome.com.tw/news/161750
數位部擬於3月底至4月推出臺灣公共程式平臺測試版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府今年將帶頭大力推動公共程式（Public Code），數位發展部（以下簡稱數位部）將在3月底至4月之間推出臺灣公共程式平臺（code.gov.tw）測試版，初步先將數位部開發的官網、碳盤查工具上架至公共程式平臺，未來將和地方政府、公務機關合作，將共用性服務納入公共程式平臺，開放其他政府機關或外界使用。</p> <p>規畫公共程式平臺的數位發展部民主網絡司司長莊盈志表示，這些年公務機關隨著業務發展，對資訊建設的需求快速增加，資訊的運作已不亞於傳統公共建設的造橋鋪路，不論是對民間或公務機關的運作，資訊已成為最基礎的元件，因此數位部提出數位公共建設計畫，去年為行政院通過數位公建計畫，公共程式平臺即是其中一部分。</p> <p>數位發展部規畫今年3月至4月間推出臺灣公共程式平臺測試版（code.gov.tw），底層架構在GitHub，不過由於預算通過不久，目前尚在籌備階段，因此計畫先推出測試版，展示平臺的基本功能，較完整的功能可能在年底推出。</p> <p>為推動Public Code，數位部準備將國際上推行Public Code的16項檢核標準，例如貢獻者的責任義務，在今年3月至4月間推出臺灣公共程式平臺測試版時，公開公共程式平臺的使用規則。</p> <p>莊盈志指出，Public Money, Public Code的公共程式精神在國外較早推動，例如歐洲的自由軟體基金會，國內則有g0v零時政府、OCF開放文化基金會等倡導相關精神。數位部成立之後，發現民眾的需求變化快速，然而，傳統上政府機關資訊開發大多對外招標，委託外部廠商協助開發，委託的成果用於當下的需求，其他機關如果也有類似需求只能自己尋找資源、對外招標，需花費相當多成本，因此參考Public Money, Public Code精神，今年推動臺灣公共程式平臺。</p> <p><span style="color:#B22222;"><strong>推動公共程式需取得與資服產業的共識</strong></span></p> <p>以美國為例，聯邦政府為推動公共程式建立一套制度，當聯邦政府投入資金協助政府部門採購軟體，先要求政府部門檢視聯邦政府內是否有可用的資源，如果沒有可用的資源，再進入商業採購，當聯邦政府也沒有合適的商業解決方案，由政府部門才能自行開發，由聯邦政府挹注資金，政府部門必需以挹注資金的五分之一所開發的程式碼貢獻給聯邦政府的公共程式，開放給其他聯邦政府部門運用，如同前面所說，其他政府部門採購軟體之前，必需檢視是否有可運用資源。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8E%8A%E7%9B%88%E5%BF%97.jpg" style="width: 600px; height: 400px;" /></p> <p><strong>「臺灣推動公共程式也希望朝向制度化來發展，但這是中長期目標，尚需取得公務機關及資服產業的共識」，莊盈志說。</strong></p> <p>然而要推動公共程式需要解決著作財產權的問題。過去政府機關委託資服業者開發，因缺乏明確規範或是其他的原因，依合約載明的不同授權條款，著作財產權不歸政府機關，而是歸於資服業者所有；另外有一些情形，公務機關難以完全取得著作權，例如資服業者自行開發的商業軟體，獲得公務機關採用，但公務機關委託資服業者依其需求客製化，資服業者擁有著作財產權，授權公務機關使用，另一個情形是，機關委託業者開發，業者在其中一部分使用原廠授權組件，因此著作權難以全部歸機關所有。未來如果要推動公共程式，甲乙雙方需要釐清著作財產權及使用授權。</p> <p>為釐清著作權歸屬，去年數位部與行政院公共工程委員會聯手修訂政府資訊服務採購指引，明定公務機關委託資訊服務開發，公務機關取得著作權，目前政府公務機關委外資訊開發，機關和資服業者間的契約註明程式碼的著作權歸甲方所有，即公務機關擁有程式碼的著作權，至於其他情形例如資服業者為機關客製化商業軟體，或是使用國外原廠組件，這些情形則不包含在內。但是，即使公務機關擁有著作權，要將其程式碼公開，讓外界也能運用，可能引發資服業者的反彈。</p> <p>以公務機關為例，A公務機關委託B資服業者開發程式，由於該程式具有共用性，A機關將程式碼公開至公共程式平臺，讓其他公務機關也能使用，當C機關有類似的需求，不需要委託其他資服業者重新開發，可從公共程式平臺獲得程式碼，可請求B資服業者協助客製化，由於程式碼按照國際標準公開，D資服業者也有能力為C機關客製化。</p> <p>對公務機關而言，透過公共程式平臺，可避免投入大量成本委託資服業者重新開發程式，只需委託資服業者客製化程式，縮短開發所需的時間，並且避免被開發該程式的資服業者綁架；但是從資服業者角度來看，其他公務機關使用公共程式，避免委托開發新的程式，公務機關減少資服採購的機會，雖然資服業者可能增加客製化服務的機會，但程式碼的公開透明，提高資服業者間的競爭。</p> <p>去年數位部針對公務機關、資服業者舉辦座談會，向公務機關、資服產業溝通推動公共程式平臺的政策，有業者在座談會中反映，擔憂長期培養的開發經驗及技巧，例如提升資料庫效能，一旦程式碼公開透明，可能被其他業者學習參考，相同地，程式碼內的缺陷也會被檢視討論。</p> <p>對此，莊盈志認為，透過公共程式平臺開放程式碼供外界運用，一方面可以借助外部的力量，檢視程式碼內是不是潛藏弱點或後門，另方面，從正面角度來看，程式碼公開，外界可以學習參考好的開發技巧，也有機會讓未來系統開發愈來愈好。</p> <p>目前數位部仍與資服業者就公共程式尋找共識，「我們希望從中找到平衡點，或是產生新的軟體生態運作模式，讓資服業者能在公共程式獲利的商業模式」，莊盈志說。</p> <p><span style="color:#B22222;"><strong>通用服務、創新服務可成公共程式優先著力點</strong></span></p> <p>數位部今年推動公共程式，優先從共用性服務著手，另外，過去沒有或新創造的服務，其他政府機關同樣需要的服務也會納入公共程式。數位部更計畫帶頭示範，以數位部自己的系統，屬於共用型或新創造的服務，將其轉為公共程式，開放其他機關可以運用，例如數位部的官方網站。</p> <p>去年數位部和臺中市、臺南市政府合作舉辦公民科技試驗場域示範，與2支公民社群團隊合作，展示公民科技試驗成果，「公托申請數位流程優化」、「家庭訪視現場作業數位化」，這2個服務因具有通用性，其他縣市政府也有使用需求，數位部已計畫未來將2個服務納入公共程式平臺。</p> <p>數位部透過和臺中市、臺南市合作公共程式試驗場域，找出哪些是縣市政府都有需要、可共用的服務。以家庭訪視現場作業數位化為例，未來如果其他縣市政府發放老人淨貼，需要先作家庭訪視現場調查，可以從公共程式平臺取得程式碼，再依實際的需求客製化。</p> <p>去年行政院已採納數位部提案，將數位公共基礎建設納入政府的公共建設，並編列4年超過7億元的經費，數位部計畫以一部分的經費用於建立公共程式運作機制，今年會先盤查各機關已建置使用的系統，整理出哪些是各個機關可以共用，後續以這些系統為目標上架至公共程式平臺。</p> <p>莊盈志指出，3至4月間推出公共程式平臺測試版，將公布更完整的運作機制，初期會先將數位部採用Web 3架構的官網上架至公共程式平臺，另外，數位部去年開發的碳盤查工具，也會在公共程式平臺測試版時上架，數位部也考慮將數位部自己的Open Data平臺，上架至公程式程平臺開放使用。</p> <p>從今年開始，數位部對外招標時也嘗試向資服業者說明，標案著作權採用Public Code，如果甲乙雙方都同意採用Public Code，未來開發的程式可上架至公共程式平臺，前面提到的碳盤查工具，就是在招標時和資服業者達成共識。</p> <p>莊盈志表示，未來程式上架至公共程式平臺前需先經過一套檢核機制來把關，確保上架的程式品質，不會以快速擴充程式數量為目，「上架的公共程式只有對大家有幫助，愈多人使用它，發現有問題時才能回饋、更正它」。未來公共程式平臺規畫採用的授權方式為CC0，即放棄著作權，等於公共財，外界可以運用在自己的商業模式，並且沒有強制回饋，「我們希望將政府做出來的程式碼效益極大化」，他說。</p> <p> </p> </div></div></div>
2024/3/13 15:12作者蘇文彬https://www.ithome.com.tw/news/161725
微軟3月Patch Tuesday修補60個安全漏洞，僅有兩個被列為重大等級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周二（3/12）公布的<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Mar" target="_blank">3月Patch Tuesday</a>修補了60個安全漏洞，微軟本月並未修補零時差漏洞，也僅修補了兩個重大（Critical）等級的漏洞，它們皆涉及Windows Hyper-V，漏洞編號為CVE-2024-21408與CVE-2024-21407。</p> <p>Windows Hyper-V主要提供硬體虛擬化功能，允許使用者建立虛擬硬碟、虛擬交換器與其它虛擬設備，可於Windows上將多個作業系統以虛擬機器執行。</p> <p>其中的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21408" target="_blank">CVE-2024-21408</a>為一服務阻斷漏洞，代表駭客可藉由該漏洞透過虛擬機器來攻擊主機，儘管被列為重大等級漏洞，但它的CVSS風險評分只有5.5，而且微軟認為它不太可能被開採。不過，微軟並未公布該漏洞的細節或是可能的攻擊流程。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21408" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-microsoft-CVE-2024-21408.png" style="width: 530px;" /></a></p> <p>至於<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21407" target="_blank">CVE-2024-21407</a>則為一遠端執行漏洞，CVSS風險評分為8.1，允許於客座虛擬機器上經過身分驗證的駭客，向虛擬機器上的硬體資源傳送特定檔案的操作請求，進而在主機伺服器上執行遠端程式。成功的攻擊還需要先收集特定環境的資訊，也必須採取其它行動來準備目標環境。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21407" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-microsoft-CVE-2024-21407.png" style="width: 590px;" /></a></p> <p>另一個被外界關注的漏洞則是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21400" target="_blank">CVE-2024-21400</a>，這是個位於Azure Kubernetes Service（AKS）機密容器的權限擴張漏洞，該漏洞允許駭客存取不受信任的AKS節點與AKS機密容器，以接管機密客座與容器，且發動相關攻擊並不需要通過身分驗證。該漏洞的CVSS風險評分高達9，但僅被微軟列為重要（Important）等級。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21400" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-microsoft-CVE-2024-21400.png" style="width: 560px;" /></a></p> <p>本月CVSS風險評分最高、達到9.8的，則是位於Azure開放管理基礎設施（Open Management Infrastructure，OMI）的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21334" target="_blank">CVE-2024-21334</a>，OMI是個通用資訊模型的開源專案，該漏洞允許未經身分驗證的駭客自遠端存取OMI實例並傳送特定請求，以觸發一個釋放後使用漏洞，進而自遠端執行程式。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21334" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-microsoft-CVE-2024-21334.png" style="width: 525px;" /></a></p> <p>微軟建議執行受影響SCOM版本的用戶，應升級至OMI 1.8.1-0，無法更新或升級的用戶，且其Linux機器不需連至外部資源，則可選擇關閉OMI的傳入連接埠。</p> </div></div></div>
2024/3/13 13:29作者陳曉莉https://www.ithome.com.tw/news/161747
微軟GPT Builder工具釋出給Copilot Pro用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/mikeschechter/status/1766327508084117759" target="_blank">微軟本周宣布</a>已對付費的Copilot Pro方案用戶，釋出Copilot GPT Builder，讓用戶得以打造Copilot GPT的客製化版本。</p> <p>Copilot GPT Builder本質上類似OpenAI去年底推出的GPT Builder開發工具，可讓中小企業或個人用戶以文字輸入指令，打造具有專門用途，像是具備專業領域知識、實作特定流程，或單純重覆利用一組AI提示的AI聊天機器人，像是購物網站能建一個根據用餐計畫建議購物清單的Copilot GPT。</p> <p>Copilot Pro則是今年1月<a href="https://www.ithome.com.tw/news/160850" target="_blank">微軟公布給個人用戶</a>的Copilot方案，<a href="https://news.microsoft.com/zh-tw/copilot-pro/" target="_blank">費用</a>為每人每月20美元。Copilot Pro底層模型也預計將提升到GPT-4 Turbo。</p> <p><a href="https://support.microsoft.com/en-us/topic/create-or-edit-a-copilot-gpt-with-microsoft-copilot-gpt-builder-cbff42b9-25a9-41b7-95ec-93462d04904b" target="_blank">微軟也提供</a>Copilot Pro用戶使用GPT Builder的指示。用戶需安裝Edge或Chrome瀏覽器，連到copilot.microsoft.com或chat.bing.com網站，再登入微軟帳號。</p> <p class="rtecenter"><a href="https://twitter.com/JordiRib1/status/1767212313499619812" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-Copilot%20pro-gpt-(2)(1).jpg" style="width: 600px;" /></a></p> <p>之後於Copilot GPT下方的Chats頁點選「所有Copilot GPT」，就能開啟Copilot GPT Builder頁。用戶選擇「Create a new Copilot GPT」->「Create」頁，就能在其Message列輸入想要的文字指令，並在「Configure」頁中的「Knowledge」上傳專業領域知識。完成後，用戶可以選擇只對自己或所有接到連結的人發布客製化Copilot。</p> </div></div></div>
2024/3/13 12:34作者林妍溱https://www.ithome.com.tw/news/161744
蘋果將讓歐盟用戶從開發商網站下載iOS App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應歐盟《數位市場法》（Digital Markets Act，DMA）上路，<a href="https://developer.apple.com/news/?id=8c1m8hqt" target="_blank">蘋果昨日再公布開放措施</a>，讓歐盟用戶可以從開發商網站直接下載iOS App，跳過蘋果App Store軟體市集。但是蘋果對開發商設下相當複雜的限制。</p> <p>這是蘋果為因應DMA的最新遵循作法。<a href="https://www.ithome.com.tw/news/161035" target="_blank">蘋果今年1月允許</a>歐盟用戶從第三方軟體市集下載iOS App，程式開發商也可以在App中告知促銷、折扣訊息，並提供連結將用戶導向外部網站支付。</p> <p>最新措施則放鬆之前的規定，以及本次宣布的網頁下載措施。其一，蘋果允許程式市集開發商只提供自家App給用戶。之前蘋果要求程式市集必須支付給其他家開發商佣金。其二，在將用戶導向外部網站的連結中，現在蘋果允許開發商自行設計促銷、折扣和其他好康，不再強迫使用蘋果之前公布的設計。</p> <p>第三項為網頁發布（Web Distribution），預定透過今年春天的最新iOS更新部署，允許經過授權的開發商直接從其持有的網站對歐盟用戶提供iOS App下載。蘋果將提供API存取，便於App從網頁下載、和系統功能整合，以及App的備份和回復等。</p> <p>不過透過網頁發布的App必須要能像一般iOS一樣，滿足蘋果公證（notarization）要求以確保平臺安全與完整，而且只能從開發商事先在App Store Connect註冊的網域下載安裝。</p> <p>透過App Store Connect，開發商才能代管自有網站，對用戶發布已經過簽章的二進位程式。但在此之前，使用者必須先在iPhone的「設定」區准許該家開發商安裝App。在安裝時，iOS會顯示系統頁顯示開發商提交給蘋果審核的資訊，像是App名稱、描述、螢幕擷圖、年齡分級等。</p> <p>而對於有興趣透過網頁發布App的開發商，<a href="https://developer.apple.com/support/web-distribution-eu/" target="_blank">蘋果也公布</a>了多項條件。開發商必須是在歐盟國家有設公司（或分公司）辦公室、註冊，且公司組織也須和Apple開發商帳號的實體一致。該公司也必須參加蘋果開發商方案連續兩年以上，其iOS App在歐盟地區前一年首年安裝量超過100萬次。開發商需滿足蘋果對App的安全、隱私、法遵等要求，例如在蘋果因App聯繫時提供回應，需公布資料蒐集政策、提供用戶隱私控制、以及遵守當地法律等。</p> <p>除了開發商的資格外，透過網頁下載的App開發商還需支付蘋果費用。一是蘋果開發者方案的會員費，二是<a href="https://www.ithome.com.tw/news/161035" target="_blank">1月宣布</a>的核心技術費用（Core Technology Fee）。一旦這些第三方App過去12個月安裝數超過100萬，每次超過就付支付蘋果0.5歐元。只有非營利機構、教育機構和政府單位得以免除這筆費用。</p> <p>不過<a href="https://www.pcmag.com/news/still-anticompetitive-critics-slam-apples-plan-to-open-ios-app-store-in" target="_blank">批評者1月間指</a>蘋果的新措施簡直是鑽法律漏洞。尤其是在第三方程式市集下載的App，還需支付給蘋果10%或17%的佣金和核心交易費，他們壓根還是設法打壓競爭。</p> </div></div></div>
2024/3/13 11:08作者林妍溱https://www.ithome.com.tw/news/161739
網頁瀏覽器大共和時代來臨？共用基準的瀏覽器效能測試工具Speedometer 3.0推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由Apple、Google、微軟與Mozilla合作開發的網頁瀏覽器效能測試工具<a href="https://browserbench.org/announcements/speedometer3/">Speedometer 3.0釋出</a>，這個版本的重點在於其集結Blink、Gecko和WebKit三大瀏覽器引擎，共同提升網頁瀏覽體驗。Speedometer 3.0由整個網路產業協作開發，這對於主要瀏覽器基準是一大突破，再加上瀏覽器互通專案Interop的推行，瀏覽器破碎的情況有望獲得改善。</p> <p><a href="https://browserbench.org/Speedometer3.0/">Speedometer 3.0</a>的主要目標是盡可能反應現實世界的網頁情況，以便瀏覽器在提高基準分數時，能夠直接反映在使用者體驗上。</p> <p>由Apple所開發的Speedometer，原本是WebKit專案的一部分，其透過執行一系列的JavaScript和網頁功能來評估瀏覽器的效能，供開發者理解不同瀏覽器在處理網頁時的表現。而WebKit在2022年的時候，與Google和Mozilla展開合作，採用新的治理模式開發Speedometer 3.0基準測試，以共同提高用戶的網頁瀏覽效能。</p> <p>Speedometer 3.0涵蓋更廣泛且具代表性的用戶體驗測試，這些新測試模擬一些重要場景和用戶互動，是提供瀏覽器最佳化的重要參考。Speedometer 3.0加入了React Stockcharts、Chart.js、Perf Dashboard和Observable Plot測試以模擬渲染canvas和SVG圖表，還有CodeMirror測試程式碼編輯、所見即所得編輯TipTap，和針對閱讀新聞網站的Next.js和Nuxt.js測試。</p> <p>新版本還改進了TodoMVC測試，開發團隊根據HTTP Archive中的資料，更新程式碼適應當前最受歡迎的常見版本，包括Angular、Backbone、jQuery、Lit、Preact、React、React+Redux、Svelte與Vue，同時也針對ES5和ES6的普通JavaScript實作，還有Web Components版本。Speedometer 3.0所進行的測試較之前版本複雜，更符合當前網頁應用程式的規模和結構。</p> <p>Speedometer 3.0本身的測試程式也獲得改進，可以更全面地量測瀏覽器回應使用者操作時所執行的工作，像是繪圖（Painting）和非同步任務。相較於Speedometer 2.0，Speedometer 3.0提供了一個更加全面的效能評估，因為過去的方法遺漏了瀏覽器引擎更新網頁渲染所需要做的一些工作。</p> <p>Speedometer 3.0透過在requestAnimationFrame回呼中，量測測試腳本來計算同步時間，並在第二個requestAnimationFrame安排0秒計時器，觸發計算非同步時間，以確保非同步的時間包含測試本身的計時器工作，以及瀏覽器引擎頁面渲染工作<a href="https://webkit.org/blog/15131/speedometer-3-0-the-best-way-yet-to-measure-browser-performance/">（下圖）</a>。這些改變大幅提高基準測試的準確性，官方提到，隨著瀏覽器引擎最佳化過去所遺漏的部分，這些改進將會轉換成用戶體驗的實際提升。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/test-harness-3.png" style="width: 580px;" /></p> <p>由於開發工具的改進，瀏覽器工程師現在可以更好理解結果，並且進行後續分析和自定義測試，而且由於開發團隊重新設計Speedometer 3.0的測試程式架構，因此在編寫和維護複雜測試案例也變得更加容易。由於Apple在推出Speedometer 2.0的時候，諸如原生Promises、async/await、類別和模組等網頁功能都還未廣泛可用，因此開發團隊也趁著Speedometer 3.0，將測試程式的程式碼進行技術升級。</p> <p>Speedometer 3.0是一個網路平臺標準的里程碑，其提供了一個新標準，來衡量網路瀏覽器的效能，並成為瀏覽器開發者最佳化引擎的目標。由於Speedometer是反映真實世界網路使用的情況，而這個基準測試也會隨著時間變化，開發團隊承諾會持續更新Speedometer，確保Speedometer能夠維持對網路開發實作的相關性和準確性。</p> </div></div></div>
2024/3/13 08:50作者李建興https://www.ithome.com.tw/news/161724
Android 14強化螢幕分享功能，允許僅分享單一應用程式畫面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在Android 14 QPR2支援<a href="https://android-developers.googleblog.com/2024/03/enhanced-screen-sharing-capabilities-in-android-14.html">新的螢幕分享功能</a>，允許用戶在分享或是錄製螢幕時，限制僅分享或是錄製單一應用程式視窗，也就是說，螢幕分享或是投影時用戶不再需要分享整個螢幕，可以僅分享特定應用程式的內容，避免意外暴露私人訊息和通知。</p> <p>這項新的螢幕分享功能建立在Android既有的MediaProjection API之上，該API是Google在Android 5.0（Lollipop）加入，供開發者擷取裝置螢幕的內容成為媒體串流，以進行播放、錄製或是投放到電視等裝置。</p> <p>MediaProjection API在Android 14新增應用程式分享功能，無論視窗模式為何，都可僅分享單一應用程式的視窗，而不會一次分享整個裝置螢幕，螢幕分享會排除狀態列、導覽列、通知和其他系統使用者介面元素，即便是全螢幕擷取應用程式的畫面，也只會分享所選應用程式的內容。Google提到，這項功能提高了螢幕分享的安全性，能夠在像是進行會議時安全地分享螢幕畫面。</p> <p>如果開發者的應用程式原本已經使用MediaProjection API進行螢幕錄製和分享，則該應用程式已經能夠支援單獨應用的螢幕分享，不需要進行程式碼變更，但是開發者仍需要測試應用程式，確保螢幕分享功能在新的用戶流程，能夠按預期工作。</p> <p>單一應用程式螢幕分享將會改變用戶流程，過去用戶在授權對話框之後，會停留在主要應用程式中，但在新的應用程式螢幕分享功能中，用戶畫面不會跳回主要應用程式，而是啟動要分享的目標應用，當目標應用已經在前臺運作，則會成為頂端的焦點應用，這代表開發者可能會需要處理用戶在分享過程中，往返應用程式的流程。</p> <p>Android 14還加入兩個回呼方法，讓開發者自訂分享體驗，除了提供擷取區域當前的寬度和高度資訊，讓開發者能夠精確地調整串流傳輸內容的大小，確保分享內容的品質，另外，當擷取的區域被其他應用遮擋，開發者也可以暫停分享或是錄製，以節省系統資源和保護隱私。</p> </div></div></div>
2024/3/13 08:54作者李建興https://www.ithome.com.tw/news/161736
Teams Toolkit新增AI Bot樣板、Teams Bot測試工具，簡化機器人開發工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟針對.NET開發人員釋出<a href="https://devblogs.microsoft.com/dotnet/teams-toolkit-for-visual-studio-release-updates/">Teams Toolkit for Visual Studio 2022 17.9版本</a>，這個新版本加入了AI Bot樣板、Teams Bot測試工具、調適型卡片預覽器（Adaptive Card Previewer）以及在Teams應用程式中增加對CodeLens的支援等，提升開發者在建置、除錯和發布Teams應用程式的體驗。</p> <p>Teams Toolkit for Visual Studio是微軟針對Teams應用程式開發，所提供的擴充套件，讓.NET開發人員可以更簡單地創建Teams應用程式。由於Teams Toolkit被整合到Visual Studio開發環境，因此開發者可以在熟悉的環境中，運用各種開發功能和資源，強化Teams應用程式開發。</p> <p>新的Teams AI Bot樣板，可協助開發人員使用OpenAI模型服務，來建立智慧聊天機器人，微軟提到，該範本利用Teams AI函式庫以及AI元件，可以簡化使用OpenAI API金鑰或是Azure OpenAI服務，創建機器人的過程。</p> <p>在之前的版本，開發者需要啟動Teams網頁客戶端，並使用自定義權限才能預覽和除錯Teams Bot，而新版本提供新的測試工具，使開發者可以於模擬的Teams聊天環境裡，除錯、預覽和測試Teams Bot應用，開發者不再需要登入Teams的網頁客戶端。</p> <p>Teams Toolkit現在還整合了調適型卡片預覽器，協助開發者以更直觀的方式，預覽和編輯調適型卡片。調適型卡片是一種獨立於平臺的JSON格式卡片，使得開發者能夠以統一且靈活地方式，創建用戶介面的內容，這種卡片可以在Teams、Outlook和Windows通知間提供一致的互動體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-Teams%20Toolkit-Adaptive%20Card%20Previewer.png" style="width: 600px;" /></p> <p>而調適型卡片預覽器供開發者在編輯器調整JSON檔案時，預覽器會即時呈現卡片內容更新，開發者不再需要切換到其他工具，而且只要選擇Teams相同的渲染堆疊，就可以獲得與實際卡片一致的結果，開發者還可以在預覽器中，即時觀看卡片在不同主題下呈現的樣子。</p> <p>另外，在這次更新，Teams Toolkit在teamsapp.yml檔案的生命周期操作和配置，提供CodeLens支援，也就是說，當開發者使用Visual Studio開啟teamsapp.yml檔案時，可以在程式碼中看到生命周期步驟狀態，了解可執行的動作並方便地執行相對應的行動。</p> <p>微軟也在Teams Toolkit添加了一些預覽新功能，像是Microsoft Copilot樣板、AI Assistants Bot樣板等。開發者現在可以嘗試使用Custom Search Results這個新樣板創建應用程式，使得自定義搜尋結果可以直接顯示在Teams聊天、Outlook電子郵件和Copilot中，也就是說，用戶在這些平臺進行搜尋時，可以在搜尋結果看到來自開發者應用程式的資料。</p> <p>Teams Toolkit新加入的AI Assistants Bot樣版，則可以簡化創建人工智慧助理機器人的工作。開發者選擇AI Assistants Bot樣板，Visual Studio便會創建一個新專案，而該專案已經配置好Teams Bot與<a href="https://platform.openai.com/docs/assistants/overview">OpenAI Assistants API</a>的連接，這代表開發者可以專注編寫機器人對話邏輯和用戶互動程式碼，而不需要擔心底層API的連接，使開發者可以更簡單地建立生成式人工智慧對話體驗。</p> </div></div></div>
2024/3/13 08:58作者李建興https://www.ithome.com.tw/news/161737
【資安日報】3月12日，勒索軟體駭客組織「變臉」藉由TeamCity伺服器入侵受害組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週JetBrains發布CI/CD開發工具TeamCity 2023.11.4版，當時修補2個高風險層級的身分驗證漏洞，並衍生該軟體業者與通報漏洞的研究人員對於漏洞公開出現意見不一致的狀況。如今，這些漏洞已被用於實際攻擊行動──資安業者GuidePoint在惡名昭彰的勒索軟體駭客「變臉」近期攻擊行動裡，發現駭客運用上述漏洞入侵目標組織，部署後門程式以進行後續攻擊行動。由於這項開發工具相當普及，且針對這套系統的攻擊行動這一年來越來越常出現，IT人員應儘速套用相關緩解措施。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.guidepointsecurity.com/blog/bianlian-gos-for-powershell-after-teamcity-exploitation/"><strong style="font-size: 22px;">「變臉」勒索軟體利用CI/CD開發工具TeamCity漏洞從事攻擊行動</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_Second_Layer_Ob.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_Second_Layer_Ob.png" style="width: 300px; float: right;" /></a>3月4日<a href="https://www.ithome.com.tw/news/161631">JetBrains修補旗下CI/CD開發工具TeamCity的身分驗證繞過漏洞</a>CVE-2024-27198、CVE-2024-27199（CVSS風險評分為9.8、7.3），隔日Shadowserver基金會發現有嘗試利用漏洞的跡象，如今傳出有駭客組織將其用於攻擊行動。</p> <p>資安業者GuidePoint揭露勒索軟體駭客組織「變臉（BianLian）」近期的攻擊行動，指出駭客利用上述TeamCity漏洞得到受害組織網路環境的初始存取權限，然後在伺服器建立新的使用者帳號，並下達惡意命令，以便進行橫向移動及後續攻擊。</p> <p>值得留意的是，攻擊者於TeamCity伺服器嘗試部署數個Go語言打造的後門程式DLL檔案，但都被防毒軟體的特徵碼識別為有害並攔截，於是，對方又使用以PowerShell打造的後門程式，再度出手。</p> <p><a href="https://www.straitstimes.com/world/europe/french-state-hit-by-cyberattacks-of-unprecedented-intensity-media-reports"><strong style="font-size: 22px;">法國政府遭遇前所未有的網路攻擊，駭客組織Anonymous Sudan聲稱是他們所為</strong></a></p> <p></p> <p>3月11日法國總理艾塔爾（Gabriel Attal）辦公室證實，10日晚間有多個政府部門遭遇「前所未有強度」的網路攻擊，並指出11日下午攻擊造成的影響已經減弱，大部分受害網站已恢復服務。</p> <p>而對於攻擊者的身分，Anonymous Sudan等多個駭客組織在Telegram頻道宣稱，他們參與了這起攻擊行動，對法國政府的基礎設施進行分散式阻斷服務（DDoS）攻擊，並造成相當廣泛的損害。</p> <p>值得留意的是，雖然Anonymous Sudan曾表明，對俄羅斯不利的國家及組織將會是他們下手的目標，但有資安專家認為，目前無法確定這起資安事故與俄羅斯有關。</p> <p><a href="https://darktrace.com/blog/legitimate-services-malicious-intentions-getting-the-drop-on-phishing-attacks-abusing-dropbox"><strong style="font-size: 22px;">雲端檔案共享服務Dropbox遭到濫用，駭客將其用於網釣攻擊</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/65e8f861abe07a7998dde93b_Screenshot 2024-03-06 at 3_11_26 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/65e8f861abe07a7998dde93b_Screenshot%202024-03-06%20at%203_11_26%20PM.png" style="width: 300px; float: right;" /></a>威脅情報業者Darktrace指出，他們偵測到濫用雲端檔案共享服務Dropbox的網路釣魚攻擊，研究人員先是在1月25日發現由<a href="mailto:no-reply@dropbox">no-reply@dropbox</a>[.]com寄送的可疑電子郵件，目標是該公司SaaS平臺的16名內部使用者，這些電子郵件內含網路連結，一旦收信人點選，就會導向存放在Dropbox的PDF檔案，而該PDF文件含有另一個連結，將會把收信人帶往名為mmv-securitytop的網域，並要求在冒牌的微軟365登入網頁輸入帳密資料。</p> <p>研究人員指出，雖然他們的電子郵件安全系統過濾了這封信件，但攻擊者後續又在29日再次寄信，要求使用者開啟前一封信的PDF檔案。他們循線進行調查，發現攻擊者透過ExpressVPN、HideMyAss VPN等服務埋藏行蹤，並透過有效的Token繞過雙因素驗證（MFA）。</p> <p><a href="https://research.checkpoint.com/2024/magnet-goblin-targets-publicly-facing-servers-using-1-day-vulnerabilities/"><strong style="font-size: 22px;">駭客組織Magnet Goblin鎖定甫公布的已知漏洞，散布惡意程式</strong></a></p> <p></p> <p>資安業者Check Point提出警告，他們發現以經濟利益為動機的駭客組織Magnet Goblin，專門利用甫被公布的已知漏洞，試圖在企業尚未修補的空窗期，入侵可透過網際網路存取的伺服器，從而在Windows與Linux電腦上植入自行開發的惡意程式，這些惡意程式包含了NerbianRAT、MiniNerbian，以及Warpwire JavaScript stealer。</p> <p>研究人員指出，這些駭客鎖定的漏洞很廣泛，包含SSL VPN系統Ivanti Connect Secure漏洞CVE-2023-46805、CVE-2024-21887、CVE-2024-21888、CVE-2024-21893，以及電子商務網站Magento漏洞CVE-2022-24086、資料圖像化分析系統Qlik Sense漏洞CVE-2023-41265、CVE-2023-41266、CVE-2023-48365。此外，他們發現駭客也疑似針對訊息導向中介軟體ActiveMQ、遠端桌面連線軟體ScreenConnect，出現攻擊的跡象。</p> <p><a href="https://blog.sucuri.net/2024/03/new-malware-campaign-found-exploiting-stored-xss-in-popup-builder-4-2-3.html"><strong style="font-size: 22px;">WordPress外掛程式Popup Builder已知漏洞遭到利用，對3,300個網站植入惡意程式</strong></a></p> <p></p> <p>今年1月資安業者Sucuri發現鎖定WordPress網站的攻擊行動Balada Injector，當時駭客針對外掛程式Popup Builder的已知漏洞CVE-2023-6000（CVSS風險評分為6.1）而來，至少有6,700個網站受到影響。</p> <p>3月7日研究人員提出警告，針對上述漏洞的攻擊行動，最近3週出現再度升溫的現象，他們在1,170個網站偵測到Balada Injector，他們透過PublicWWW網站進行掃描，結果發現超過3,300個網站受害。</p> <p> </p> <div> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.cna.com.tw/news/afe/202403110084.aspx"><strong style="font-size: 22px;">為協助臺灣產業加入國際衛星通訊領域供應鏈，工研院聯手美國在臺協會舉辦資安研討會</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/4CA9D567-B0D2-4590-B975-91BBEA00A7A2_圖一_20240311_30.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/4CA9D567-B0D2-4590-B975-91BBEA00A7A2_%E5%9C%96%E4%B8%80_20240311_30.jpg" style="width: 300px; float: right;" /></a>3月8日美國在台協會（AIT）、太空中心（TASA）、工研院（ITRI）、台灣太空產業發展協會（TSIDA）、台灣低軌衛星產業聯誼會（TLEOSIA）聯手，舉辦「台美衛星資訊安全國際研討會」，聚焦國際衛星通訊供應鏈資安趨勢，吸引進百位產官學研代表與會。</p> <p>工研院指出，本次研討會的主要目的在於，幫助國內業者了解最新衛星通訊資安知識與需求，促進資訊安全系統整合，增加國際合作機會，進而讓臺灣廠商有更多機會加入國際乾淨供應鏈，提升我國對太空安全挑戰的應對能力。</p> <p>資料來源</p> <p>1. <a href="https://www.itri.org.tw/ListStyle.aspx?DisplayStyle=01_content&SiteID=1&MmmID=1036276263153520257&MGID=113031110401892043">https://www.itri.org.tw/ListStyle.aspx?DisplayStyle=01_content&SiteID=1&MmmID=1036276263153520257&MGID=113031110401892043</a><br /> 2. <a href="https://tsida.tw/news_detail_207.html">https://tsida.tw/news_detail_207.html</a></p> <p><a href="https://www.broadcom.com/blog/broadcom-brings-together-two-proven-portfolios-to-deliver-complete-hybrid-cloud-cybersecurity"><strong style="font-size: 22px;">博通打算將賽門鐵克、Carbon Black整併，成立新的企業資安業務部門</strong></a></p> <p></p> <p>去年博通（Broadcom）完成對VMware的併購，並打算出售旗下的資安公司Carbon Black，今年2月底傳出決策大轉彎，因為他們暫停賣掉該公司的計畫，但最近又有新的進展。</p> <p>3月7日博通宣布，他們決定將Carbon Black與旗下另一家資安業者賽門鐵克合併，組成博通新的企業資安部門，將對這兩個品牌進行重大投資，並表明他們將投資研發，改善、延長客戶產品的使用壽命。在這次公布的訊息當中，博通也特別提及人才的部分，預告他們將在工程研發層面進行大量投資，並指出這兩家資安公司都在印度有工程研發據點，強調他們打算挹注更多資源，沒有打算縮減員工人數。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/161658"><strong style="font-size: 22px;">擔憂危害國家安全，美國眾議院要求抖音脫離母公司字節跳動</strong></a></p> <p></p> <p>2020年8月美國前總統川普以國安為由發布行政命令，表明除非美國公司接手抖音（TikTok），否則將封鎖該短影音平臺進入美國市場，最後不了了之，現任總統拜登也在2021年撤銷禁令，但最近這項議題重新受到眾議院關注。</p> <p>3月5日中國共產黨戰略競爭特別委員會（Select Committee on the Chinese Communist Party）在美國眾議院提出<a href="https://selectcommitteeontheccp.house.gov/media/press-releases/gallagher-bipartisan-coalition-introduce-legislation-protect-americans-0">《保護美國人免受外國對手應用程式侵害法案（Protecting Americans from Foreign Adversary Controlled Applications Act）》</a>，其中提及抖音等由字節跳動（ByteDance）經營的應用程式，由於這類應用程式可能會受到中國政府控制，而構成國家安全風險，除非這些應用程式透過撤資的方式與中國企業脫鉤，否則他們將禁止這類應用程式在美國提供服務。值得留意的是，上述法案由民主黨與共和黨兩黨議員共同提出，不再只是特定黨派的意見。</p> </div> <p> </p> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://posts.specterops.io/misconfiguration-manager-overlooked-and-overprivileged-70983b8f350d"><span style="font-size: 20px;">研究人員針對微軟組態管理系統SCCM不當配置造成的威脅提出警告，並提供檢測工具</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/fake-leather-wallet-app-on-apple-app-store-is-a-crypto-drainer/"><strong><span style="font-size: 20px;">蘋果應用程式市集App Store出現冒牌的Leather加密貨幣錢包</span></strong></a></p> <p></p> <p><strong><a href="https://www.bleepingcomputer.com/news/security/okta-says-data-leaked-on-hacking-forum-not-from-its-systems/"><span style="font-size: 20px;">駭客聲稱握有Okta去年資安事故外流客戶資料，遭到該公司否認</span></a></strong></p> <p></p> <p><a href="https://tuta.com/blog/post-quantum-cryptography"><strong><span style="font-size: 20px;">加密電子郵件服務Tuta Mail採用量子加密協議保護電子郵件</span></strong></a></p> <p><a href="https://sites.google.com/view/compromptmized"><strong><span style="font-size: 20px;">研究人員打造能針對生成式AI發動攻擊的蠕蟲程式</span></strong></a><a href="https://sites.google.com/view/compromptmized"><strong><span style="font-size: 20px;">ComPromptMized</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161709"><strong>【3月11日】為隱匿攻擊流量，駭客濫用虛擬化平臺QEMU設置網路通訊隧道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161668"><strong>【3月8日】Linux惡意軟體攻擊鎖定DevOps常用的4種平臺</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161657"><strong>【3月7日】Meta旗下社群網站服務出現中斷，有3個駭客組織聲稱是他們所為</strong></a></p> </div></div></div>
2024/3/12 18:12作者周峻佑https://www.ithome.com.tw/news/161727