iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 15篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 08:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【回顧2023十大資安漏洞｜No.10：CVE-2023-2868】Barracuda郵件安全閘道設備漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Barracuda-600-PNG.png" style="width: 600px;" /></p> <p>論及2023年重大漏洞資安事故，在5月下旬，資安廠商Barracuda Networks公布的郵件安全閘道（ESG）漏洞<a href="https://www.barracuda.com/company/legal/esg-vulnerability" target="_blank">CVE-2023-2868</a>，引發一些風波，因此，許多國外媒體都會列入年度資安事故，而且，後續漏洞處理作法很特別，因為，廠商最終竟透過更換設備的方式來緩解攻擊行動，這種做法前所未見。</p> <p>考量到此郵件安全閘道系統並未在臺灣市場受到廣泛採用，因此我們將其列為2023年第10大漏洞。不過究竟該漏洞攻擊行動受害範圍有多大？目前仍然沒有研究人員或主管機關透露相關資訊。</p> <p>身為資安業者，旗下產品卻出現如此嚴重的問題，而且該裝置又是負責為企業過濾郵件的重要環節，一旦遭到控制，很有可能無法發揮應有的功能，尤其現在有許多的資安事故當中，攻擊者往往透過郵件來接觸目標，若是這類系統失去把關的作用，惡意郵件就會直接送到使用者信箱，而可能造成危害。</p> <p>另一方面，有別於其他廠商處理漏洞的方式，Barracuda竟然是採取更換設備來進行，也突顯該公司可能在產品設計當中存在極為棘手的瑕疵，而無法單純透過軟體更新，或要求IT人員回復原廠設定等常見做法，解決漏洞的危害。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>事件的揭露源自於自動派送修補程式的公告</strong></span></span></p> <p>2023年5月20日、21日，Barracuda修補CVE-2023-2868，該漏洞影響ESG設備，攻擊者可用於遠端注入命令。</p> <p>該公司於30日公布前述的漏洞攻擊細節，當時得知駭客所使用的惡意程式包括Saltwater、Seaspy、Seaside，但他們直到5月18日，才收到相關異常流量的警報，尋求資安業者Mandiant協助，並於19日確認是CVE-2023-2868。當時，該公司主動通知遭到攻擊的用戶。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞揭露後出現二波攻擊行動</strong></span></span></p> <p>事隔近1個月，協助調查的資安業者Mandiant公布更多細節，指出攻擊者的身分是中國資助的駭客組織UNC4841。</p> <p>但研究人員也提到，Barracuda派送修補程式企圖遏止駭客行動後，對方迅速更換惡意軟體因應，並於5月22日至24日，發動高頻率攻擊，至少有16個國家的組織受害，其中有三分之一是政府機關。</p> <p>這樣的情況，也使得Barracuda採取罕見的手法來因應：要求用戶更換設備。</p> <p>到了8月，Mandiant公布新的調查結果，他們指出駭客為了持續在特定受害組織活動，在6月上旬連帶運用更多惡意程式，包括kipjack、Depthcharge、Foxtrox、Foxglove。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>受害產業橫跨政府機關及高科技產業，臺灣也有組織遇害</strong></span></span></p> <p>而對於這起攻擊的目標，研究人員表示，近三分之一是政府機關、高科技產業及資訊業者、電信業者、製造業，而且，臺灣及香港的貿易辦公室與學術研究機構，以及東南亞國協的外交部，都在受影響的範圍，因為這些單位的網域名稱及使用者，都遭到鎖定，駭客利用Shell指令碼發動攻擊。</p> <p>此外，研究人員也對這起漏洞攻擊的流程，提出更詳細的說明。駭客組織UNC4841於2022年10月至2023年6月，利用CVE-2023-2868發動攻擊，並在11月上旬開始出現顯著升溫的情況，僅有農曆新年略為下降。</p> <p>而到了5月23日Barracuda發布資安通告之後，這類攻擊行動又出現2波。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162079
【資安日報】4月2日，CISA傳出向美國政府報告Ivanti系統遭到入侵的事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初Ivanti公布一連串Connect Secure、Policy Secure漏洞，再度震撼全球資安界，有研究人員不斷發現相關攻擊行動，但截至目前為止，鮮少企業組織證實遭到相關攻擊，不知該慶幸沒事或擔心有後遺症。</p> <p>直到3月上旬，傳出美國網路安全暨基礎設施安全局（CISA）所屬的Ivanti伺服器遭到入侵，導致其中2個系統被駭，等於證實上述漏洞的確產生衝擊，而在3月底，該機構也向數個政府機關報告此事細節。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cyberscoop.com/ivanti-linked-breach-of-cisa-potentially-affected-more-than-100000-individuals/"><strong style="font-size: 22px;">CISA的Ivanti伺服器遭駭客入侵，10萬人恐遭到波及</strong></a></p> <p></p> <p>Ivanti自1月上旬至2月初，揭露Connect Secure、Policy Secure多個漏洞，並出現多起漏洞利用攻擊事故，3月上旬傳出美國網路安全暨基礎設施安全局（CISA）遇害，現在又有新的消息出現。</p> <p>根據資安新聞網站CyberScoop的報導，3月29日CISA向主管機關通報資安事故，攻擊者透過Ivanti系統的漏洞，入侵化學資安評估工具（Chemical Security Assessment Tool，CSAT），以及關鍵基礎設施資安資訊工具CISA Gateway，估計有超過10萬人受到影響。</p> <p>CISA執行長Brandon Wales透露，根據他們的調查結果，攻擊者在CSAT部署了Web Shell，導致系統失去控制，所幸CISA Gateway沒受到太大影響，且並未被植入Web Shell。他們在1月11日套用Ivanti的緩解措施，並透過該公司的完整性檢查工具進行檢查，到了26日，他們發現CSAT遭駭，攻擊者已經存取該系統有2天之久。Brandon Wales指出，這些攻擊者能繞過Ivanti的緩解措施，並能迴避完整性檢查工具的偵測。</p> <p><a href="https://www.jamf.com/blog/infostealers-pose-threat-to-macos/"><strong style="font-size: 22px;">駭客鎖定macOS使用者，利用惡意廣告、視訊會議傳播竊資軟體</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/infostealers-jtl-03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/infostealers-jtl-03.png" style="width: 300px; float: right;" /></a>資安業者Jamf揭露近期鎖定macOS用戶的竊資軟體攻擊，其中一起是假借提供<a href="https://www.ithome.com.tw/node/157945">新興瀏覽器Arc</a>的名義，透過Google廣告將搜尋這款瀏覽器的使用者帶往冒牌網站，一旦使用者依照指示下載、安裝對方提供的DMG檔案，電腦就有可能被植入竊資軟體Atomic Stealer。特別的是，為了迴避偵測，上述的冒牌網站無法直接存取，必須透過攻擊者特製的贊助商連結才能瀏覽。</p> <p>另一起攻擊駭客則是聲稱對加密貨幣感興趣，透過社群網站向目標發送訊息，然後假借錄製播客（Podcast）或是討論求職，要求透過名為Meethub的應用程式進行線上會議，若是macOS用戶照做，他們的電腦就會被植入竊資軟體。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-ray-framework-flaw-to-breach-servers-hijack-resources/"><strong style="font-size: 22px;">人工智慧框架Ray漏洞遭到鎖定，攻擊者挾持運算能力挖礦、竊取機敏資料</strong></a></p> <p>去年11月<a href="https://www.anyscale.com/blog/update-on-ray-cves-cve-2023-6019-cve-2023-6020-cve-2023-6021-cve-2023-48022-cve-2023-48023">Anyscale公布人工智慧框架Ray的漏洞</a>CVE-2023-6019、CVE-2023-6020、CVE-2023-6021、CVE-2023-48022、CVE-2023-48023，其中該公司並未處理CVSS風險評分達9.8的危急漏洞CVE-2023-48022，理由是他們並未在長期設計規畫的考量中，將身分驗證機制內建到這個AI框架當中，該公司甚至認定這並非漏洞而結案，然而CVE-2023-48022已被用於攻擊行動。</p> <p>資安業者Oligo揭露名為<a href="https://www.oligo.security/blog/shadowray-attack-ai-workloads-actively-exploited-in-the-wild">ShadowRay</a>的攻擊行動，這波攻擊從去年9月5日開始出現，鎖定教育、加密貨幣、生物製藥等行業而來，研究人員發現數千臺能透過網際網路存取的Ray伺服器遭到入侵，被用於干擾或竄改機器學習模型、竊取設備與資料庫帳密、SSH私鑰，以及OpenAI、HuggingFace、Stripe、Slack等服務的Token，甚至有機會以root權限存取AWS、GCP、Azure雲端環境，也有被用於挖礦的現象。</p> <p>研究人員指出，由於CVE-2023-48022被列為有爭議的漏洞，許多漏洞資料庫並未提供相關資訊，靜態掃描工具也不會顯示這項漏洞的資訊，使得許多IT人員不會留意這個漏洞帶來的威脅。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://pwning.tech/nftables/"><strong style="font-size: 22px;">Linux核心元件Netfilter存在權限提升漏洞Flipping Pages</strong></a></p> <p></p> <p>研究人員Notselwyn揭露Linux權限提升漏洞Flipping Pages，此漏洞存在於Linux核心5.14至6.6.14，Debian、Ubuntu、Red Hat、Fedora等版本的Linux作業系統都會受到影響。</p> <p>攻擊者若趁機取得一般使用者權限，並觸發漏洞，就有機會得到root權限，從而進一步對電腦上下其手，CVSS風險評分為7.8，並登記為CVE-2024-1086列管，Linux基金會於今年1月予以修補。</p> <p>該漏洞發生的原因，在於Linux核心的netfilter元件裡，處理網路封包、資料封包的nftables出現記憶體雙重釋放（double-free）的弱點，而有可能導致當機，或是讓攻擊者執行任意程式碼，研究人員在搭載6.4.16版Linux核心的電腦進行測試，結果成功率達到99.4%。</p> <p><a href="https://www.bleepingcomputer.com/news/security/decade-old-linux-wall-bug-helps-make-fake-sudo-prompts-steal-passwords/"><strong style="font-size: 22px;">研究人員揭露WallEscape漏洞，攻擊者可對Linux電腦產生假的Sudo提示、竊取管理員密碼</strong></a></p> <p></p> <p>研究人員Skyler Ferrante揭露名為WallEscape的漏洞，這項漏洞發生在Linux作業系統的util-linux套件，未經授權的攻擊者，有機會藉由wall命令的弱點，竊取用戶密碼，甚至是竄改剪貼簿的內容，該漏洞被登記為CVE-2024-28085，3月27日開發團隊推出2.40版util-linux修補。</p> <p>研究人員指出，wall指令的主要用途，是在Linux作業系統當中，對所有登入的使用者進行終端廣播，上述漏洞發生的原因，是命令列處理輸入的參數時出現跳脫序列（Escape sequence）過濾不當的情況，使得未經授權的攻擊者能濫用特定字元在其他用戶的終端機上假造Sudo命令，誘使他們輸入管理者密碼。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://media.defense.gov/2024/Mar/28/2003424523/-1/-1/1/DOD_DOB_CS_STRATEGY_DSD_SIGNED_20240325.PDF"><strong style="font-size: 22px;">五角大廈制訂國防工業基地的網路安全戰略</strong></a></p> <p></p> <p>3月28日美國五角大廈首度針對國防工業基地（Defense Industrial Base，DIB）發布網路安全戰略，計畫要在2024至2027財年實現4大目標，這些目標包含：</p> <p>（一）強化國防部（DoD）的治理架構，從而促進國防工業基地資安；<br /> （二）強化國防工業基地資訊安全態勢；<br /> （三）在網路競爭的環境維持國防工業基地韌性的關鍵能力；<br /> （四）改良與國防工業基地之間的資安協作。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://lasso-security.webflow.io/blog/ai-package-hallucinations"><span style="font-size: 20px;">研究人員透過大型語言模型散布不存在的軟體套件</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/retail-chain-hot-topic-hit-by-new-credential-stuffing-attacks/"><strong style="font-size: 20px;">服飾連鎖品牌Hot Topic遭遇帳號填充攻擊，鎖定客戶忠誠度獎勵帳號下手</strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/shopping-platform-pandabuy-data-leak-impacts-13-million-users/"><strong style="font-size: 20px;">代購平臺PandaBuy傳出資料外洩，波及逾130萬用戶</strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/yacht-retailer-marinemax-discloses-data-breach-after-cyberattack/"><strong><span style="font-size: 20px;">遊艇經銷商MarineMax遭遇網路攻擊，證實資料外洩</span></strong></a></p> <p><a href="https://therecord.media/sellafield-site-prosecution-nuclear-facility-cybersecurity"><strong><span style="font-size: 20px;">英國核電廠因網路安全稽核缺失遭到起訴</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162054"><strong>【4月1日】發現潛伏三年的供應鏈攻擊事件，程式庫XZ Utils近期被植入後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162031"><strong>【3月29日】殭研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162015"><strong>【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</strong></a></p> </div></div></div>
2024/4/2 16:32作者周峻佑https://www.ithome.com.tw/news/162102
GovTech月報第28期：數位部規畫以海陸空多元異質通訊網路強化我國通訊服務韌性；美國落實AI治理，要聯邦機構設AI長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0301~0401)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">通訊韌性</span></font></strong></p> <p><strong><span style="font-size:22px;">數位部：建置災難漫遊、救災緊急通訊系統、低軌衛星等強化我國通訊網路韌性</span></strong></p> <p>為強化臺灣在災害及緊急情況下仍能保持通訊網路，數位部宣布正推動幾項計畫，包括建立災難漫遊機制，政府救災緊急通訊系統（PPDR），以及境外低軌衛星通訊等政策，以確保民眾通訊權益及政府指揮調度。</p> <p>目前數位部幾項具體做法，確保在緊急情況發生時，運用陸地、海洋、天空等各種通訊手段，確保民眾通訊權益及政府救災指揮調度需求，其中包括在平時強化海纜韌性建設，另外，當國內發生區域性網路服務中斷，建立災難漫遊機制，確保民眾的通訊權益；政府方面，基於救災緊急應變需要，推動救災專屬公共安全與救難應變通訊系統（PPDR）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/com(1).jpg" style="width: 600px; height: 314px;" /></p> <p>數位部也針對通訊傳播領域關鍵基礎設施（CI），督導業者針對天災、恐攻或駭客攻擊來強化防護措施，除了事前的預防，還包括事中的偵測、通報應變，以及事後的復原等，並提供業者全天候資安事件通報機制，並將情資分享其他業者。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>強化AI治理，美國要求聯邦機構設AI長CAIO</strong></span></p> <p>美國政府大力擁抱AI的同時，也希望降低AI可能帶來的負面衝擊，美國管理及預算辦公室(OMB)近期要求聯邦機構設立AI長(Chief AI Officer, CAIO)，以主導及推動AI政策。</p> <p>OMB這項要求主要是遵循美國總統拜登發布的行政命令而來，解決AI帶來的風險，擴大AI透明度，推動負責任的AI創新，培養AI人才，強化AI治理，設立CAIO就是在滿足AI治理的目標，主導及監督聯邦機構使用AI。依據OMB的要求，各聯邦機構得在60天內指定CAIO。</p> <p>美國政府的做風通常具有指標性的意義，為其他國家或組織所參考。這項要求，在傳統常見的資訊長、資料長、技術長之外，多了一個專責AI治理的AI長。不過，OMB並沒有要求新設立，CAIO可指定由既有官員兼任，理想人選例如資訊長、資料長、技術長等。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">高雄</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位孿生</span></font></strong></p> <p><span style="font-size: 22px;"><strong>高雄市以數位孿生、AIoT打造城市工務管理暨決策輔助平台，強化城市數位治理</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/hospital-2.jpg" style="width: 600px; height: 330px;" /></p> <p>為強化城市治理，高雄市政府與國家地震工程研究中心合作，結合數位孿生、大數據、AIoT等技術，打造城市工務管理暨決策輔助平臺，以輔助市府工務管理及城市治理決策。</p> <p>目前該平臺先以小範圍，包括左營區華夏大中路口、榮總大中路口及高楠霞海路口的1.5平方公里三角形區域，以及六龜區一處新建橋梁為示範場域，雖然初期只有小範圍，但高雄市政府的目標是在未來逐漸擴大至高雄市所有範圍，更全面地提供市府城市治理決策輔助。</p> <p>為了打造數位孿生，高雄市政府工務局整合各項IoT數據，建物結構安全監測、地下管線資訊、道路挖掘路證與即時施工影像、智慧路燈、建物碳與水足跡計算與監測、建物建造資料、重大工程資料、民族路共同管道、防救災重要道路地震阻斷風險分析、邊坡橋梁監測以及水利局所建置之都市淹水感知器等，加上空拍、光達3D點雲、建築3D建模，以提高市府在工務管王、防救災應變決策。</p> <p>該平臺還整合高雄榮總的智慧水、電錶數據，在建築結構安全方面，也利用加速度計，當發生地震時，可偵測建物的振動頻率，推估建物的災損程度，供救災規畫參考。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">濟州島</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>濟州島用AI主播報新聞，由ChatGPT撰寫腳本</strong></span></p> <p>地方政府發布新聞，通常以文字訊息為主，如果要製作新聞畫面，需要聘請主播、製作、採訪團隊，需要投入較大的成本，對政府單位而言並不容易。濟洲島政府近期開始用AI主播報新聞，並由ChatGPT撰寫腳本，透過這樣的方式減少成本。</p> <p>濟洲島政府是在YouTube的官方頻道Weekly Jeju，透過AI主播J-na來播放當地新聞及地方政府的動態，J-na高度模擬真人主播，搭配簡單的手勢動作，新聞播報時的旁白語氣和真人相仿，據瞭解，濟州島政府使用AI主播，每月只要支出韓幣60萬元，相當於台幣約1.4萬元，相較於雇請真人來播報，節省不少的支出成本。</p> <p>不只如此，新聞播報內容腳本也是由ChatGPT產生。類似AI主播、AI生成內容腳本，當相關技術成熟，成本降低，運用AI不再是大型政府或企業專利，更多的地方政府或中小型企業也可以採用。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">澳洲</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font></strong></p> <p><span style="font-size:22px;"><strong>澳洲參議院通過數位身分草案，為今年中全國性數位身分制度上路作準備</strong></span></p> <p>澳洲政府推動數位身分草案，近期在參議院以33票對26票獲得通過，接下來將在下議院審核後，將正式成為法律，為今年中澳洲政府將推動的全國性數位身分計畫作好準備。</p> <p>為使該法案獲得通過，澳洲政府通過27項政府修正案，以及16項綠黨修正案，確保新的數位身分框架基於完全的自願使用，加強隱私保護，另外，加速政府推動數位身分框架擴展到民間部門。在在野黨的督促下，確保未來推動的數位身分框架並非強制性，民眾可選擇不使用，此外，還加強對個資、生物特徵資料的保護，同時制定更廣泛的存取方式及補救計畫。</p> <p>換言之，澳洲政府推動的數位身分計畫，不能強迫民眾使用數位身分證，參與數位身分計畫的機構，針對不願意使用數位身分證的民眾，仍必需保留紙本文件驗證方式。另外，草案也完備資料保護及補救措施，例如執法單位存取數位身分框架的資訊，在未經個人同意下啟用已被停用的數位身分證。</p> <p>澳洲政府強調未來透過數位身分證，澳洲民眾使用線上服務驗證身分提供更好的方式，此外，使用者的個人身分資料可以更好地被保護，避免身分遭詐騙所冒用，或是偽造身分證件，有助於打擊詐騙等不法行為。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">高雄</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>結合AI及雲端運算，高雄市強化大型活動人流分析管理</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20AI%E8%BE%A8%E8%AD%98%E7%85%A7%E7%89%87.jpg" style="width: 600px; height: 456px;" /></p> <p>演唱會、燈會等大型活動舉辦，往往吸引許多民眾前往參加，活動現場的周邊人流、周邊的交通疏運管理成為市政管理的一道難題。高雄市政府近期與電信業者、國際雲端服務商合作，驗證以AI及雲端運算技術打造AI人潮監測平臺，以分析活動會場人流，以及周邊的交通路況及公共運輸載具情形。</p> <p>AI人潮監測平臺結合電信業者的電信信令數據，以及部署在雲端的AI人潮偵測系統，利用2月初在高雄國家體育場舉辦的大型活動，於3處入口部署AI人潮偵測系統，利用AI辨識人形、計算人數，在雲端架設監控平臺，結合現場影像畫面及人潮統計數據，並利用雲端服務管理調配資源。</p> <p>傳統上，舉辦大型活動吸引的人數愈多，活動結束後疏運時間也隨之增加，為市府交通管理一大挑戰。高雄市政府交通局利用新一代的智慧運輸系統匯整各項交通數據，透過AI輔助交通管理決策，整合大數據，在儀表板展示路況、捷運、停車、人潮等即時資訊，在導入該系統之前，大型活動結束後人潮疏運約需2小時，導入系統後縮短至90分鐘內，達到活動人數增加，疏運時間減少的目標。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">新竹市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">停車管理</span></font></strong></p> <p><span style="font-size:22px;"><strong>新竹市導入智慧型手機、5G提高路邊停車開單效率</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/03-1.jpg" style="width: 600px; height: 450px;" /></p> <p>路邊停車管理人員使用PDA輔助開單，有電池續航力、設備重量、網路較慢、輸入車牌誤植等問題，新竹市政府從4月開始，導入智慧型手機IPhone 15，結合5G上網，來提升路邊停車開單作業效率。</p> <p>新竹市政府交通處表示，傳統停車開單，停管人員需攜帶PDA、印表機，因續航力不足，不足以應付長時間使用需要，還需攜帶多顆備用電池，且PDA開單拍照對焦慢、夜間拍攝效果較差，影響開單作業效率。</p> <p>因應新竹市政府委托業者，為停車開單導入iPhone 15，結合智慧型手機輕薄、高續航力，以及5G的高速上網，並針對停管開單作業需要，客製化介面及防呆設計，加上相機對焦快速、AI辨識車牌僅需1到2秒，提高作業效率，也能避免誤植錯誤。交通處表示，新的智慧型手機停車開單，將納入新竹市的路邊停車管理系統，結合智慧停車柱的即時資訊，將讓停車實現行動化、智慧化、數據化，除了讓民眾掌握停車動態，市府也可取得停車大數據作為決策參考。</p> <p> </p> <p>圖片來源／數位部、高雄市政府、新竹市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.南投縣結合自駕車接駁打造智慧觀光</strong></p> <p><strong>2.高雄市加速智慧停車格建置，未來2年將建置近4萬車格</strong></p> <p>資料來源：iThome整理，2024年3月</p> </div></div></div>
2024/4/2 15:04作者蘇文彬https://www.ithome.com.tw/news/162077
Google同意銷毀Chrome無痕模式的瀏覽資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Chrome用戶在2020年<a href="https://www.ithome.com.tw/news/138058" target="_blank">集體控告Google</a>，指控即使採用了Chrome的無痕模式（Incognito mode），依然遭到Google追蹤，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.360374/gov.uscourts.cand.360374.1096.0_1.pdf" target="_blank">Google本周向法院提出和解協議</a>，承諾將刪除所蒐集的瀏覽資料，也將允許無痕模式用戶預設即封鎖第三方Cookie。</p> <p>一般而言，在啟用無痕模式之後，Chrome就不會儲存使用者的瀏覽紀錄或在表格中所輸入的資料，而且在瀏覽當時所使用的cookies與網站資料，也都會在退出無痕模式之後全數刪除。但使用者卻發現，即便進入了無痕模式，Google依然允許Google Analytics、Google Ad Manager、其它應用程式或網站外掛來蒐集使用者資料，進而了解使用者的搜尋字串、交友與消費習慣，於是在2020年提出集體訴訟，指控Google違反美國的竊聽及隱私法令，亦要求Google賠償每名用戶5,000美元。</p> <p>本周Google針對Chrome無痕模式的作法提出和解方案，包括將於隱私政策及在啟用無痕模式時揭露所蒐集的用戶資料；亦同意刪除於無痕模式所蒐集的數十億筆紀綠；至少在未來5年內都將允許使用者於無痕模式中的預設值即封鎖第三方Cookie；也會移除用來偵測使用者是否採用無痕模式的程式碼，意味著未來Google將不會得知使用者是否選擇了無痕模式。</p> <p>此一和解協議並未涵蓋用戶所要求的金錢賠償，但用戶依然可另外提出訴訟來主張損害賠償。</p> </div></div></div>
2024/4/2 13:56作者陳曉莉https://www.ithome.com.tw/news/162081
Angular將合併Google內部用Wiz框架，強化伺服器端渲染能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://blog.angular.io/angular-and-wiz-are-better-together-91e633d8cd5a">宣布</a>將開始合併Angular與Wiz兩個框架，以滿足現代網頁應用程式開發的混合需求，使得Angular在提供豐富互動性的同時，也能擁有高效能。Google預計將Wiz功能逐步透過Angular開源，而Google表示，這項計畫的主要目標，還是在於改進Angular框架。</p> <p>Wiz是Google內部的一個網頁框架，主要用於開發注重效能的重要應用程式，像是Google搜尋這類盡可能快速呈現結果，互動性相對較低的應用程式。Angular則是一個優先考慮開發人員體驗和複雜使用者介面的框架，專門用於開發需要高度互動的應用程式，像是Google Gemini和Google Analytics皆是使用Angular開發。</p> <p>Google考量還有許多用戶使用慢速網路或是低階裝置存取Google應用程式，因此在於控制初始載入延遲和JavaScript的量相當講究。而Wiz框架透過多種方式提升這些用戶的使用體驗，主要是採用伺服器端渲染（Server-Side Rendering，SSR）讓頁面上所有內容，包括互動元件，都以高度最佳化的串流解決方案渲染，消除大部分渲染用的JavaScript。Wiz只載入頁面上實際呈現的互動元件程式碼，而為了避免客戶端丟棄使用者事件，Google會在客戶端嵌入一個小型函式庫，來監聽使用者事件並進行重播。</p> <p>雖然Wiz所提供的伺服器端渲染優先應用程式開發方法，可以提供終端用戶最佳效能，但是在具有高度互動的應用程式，卻會大幅增加開發人員的複雜。而且即便是追求高效能的應用程式，也需要提供更多的互動功能，才能保持使用者的參與度。</p> <p>根據HTTPArchive資料，過去6年間JavaScript的程式碼在桌面上成長37％，而在行動裝置也成長了36％以上，Google指出，高度互動的應用程式使用越來越多的JavaScript，而這明顯影響了網頁程式效能。綜合網頁開發目前面臨的混合需求，Google決定整合Angular與Wiz各自的優勢，讓Angular開發人員不需要在開發體驗和效能間抉擇。</p> <p>在實作中，目前Angular改進的成果包括可延遲視圖（Deferrable View）以及部分Hydration的功能，都來自於Wiz精細程式碼載入以及事件委派函式庫的衍生。同時，Wiz則加入Angular管理和更新使用者介面的Signals函式庫，採用了更傾向宣告式的介面更新機制，當資料變化時，與資料相關的使用者介面才會更新，高精細度的更新策略使得應用程式可以更快地回應用戶操作，減少不必要的計算和渲染。</p> <p>Google的長期目標是要合併Angular和Wiz，這個過程會長達數年，透過逐漸在Angular開源Wiz功能，最終完成合併。</p> </div></div></div>
2024/4/2 14:02作者李建興https://www.ithome.com.tw/news/162078
全球Office 365/Microsoft 365 Enterprise將不再包含Microsoft Teams
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/licensing/news/Microsoft365-Teams-WW" target="_blank">微軟周一（4/1）宣布</a>，將比照去年在歐盟及瑞士<a href="https://www.ithome.com.tw/news/158559" target="_blank">所實施的政策</a>，於全球鬆綁Microsoft Teams，未來Office 365/Microsoft 365 Enterprise訂閱方案將不再包含Teams，將Teams獨立銷售。</p> <p>Microsoft Teams是微軟在2017年推出的團隊協作軟體，也是Microsoft 365及Office 365的產品家族成員之一，然而，Salesforce旗下的同質性產品Slack在2020年向歐盟投訴，指控微軟濫用Office的市占優勢來推廣Teams，歐盟在去年7月正式對此展開調查，微軟同年8月即宣布要在歐洲經濟區及瑞士鬆綁Teams。</p> <p>本周微軟則是把此一政策擴大至全球市場。舊用戶可以沿用原來的訂閱模式，也可切換至新模式，但未來新用戶將無法再購買包含Teams的Office 365 E1、Office 365 E3、Office 365 E5、Microsoft 365 E3 和 Microsoft 365 E5，如果想要提供Teams給使用者，必須購買兩個SKU，一套Microsoft 365（或Office 365），再額外訂閱Microsoft Teams Enterprise。</p> <p>不過，此一完全隔離Teams的政策似乎只適用於Office 365/Microsoft 365 Enterprise方案，不管是Frontline或Microsoft 365 Business的新用戶都依然可以訂閱包含Teams的版本，也可訂閱不含Teams的版本，採行新舊方案並存的策略。此外，該政策亦未影響一般消費者、學術界、美國政府或非營利組織。</p> <p>Slack現身於2013年，在2017年Teams上線前是市場上的主流協作平臺，但<a href="https://www.ithome.com.tw/news/131808" target="_blank">Teams於2019年下半年就超越Slack</a>，即使2020年Slack即向歐盟投訴，歐盟卻直至去年才展開調查，此時微軟早已取得了明顯的領先優勢。</p> <p><a href="https://techcrunch.com/2024/04/01/as-microsoft-unbundles-teams-it-might-not-have-the-impact-on-slack-you-think/" target="_blank">《TechCrunch》</a>引用各方分析師的看法指出，微軟此舉一方面可迎合監管機構的要求，另一方面還能開拓新市場，推動那些沒有訂閱Office/Microsoft 365的組織採用Teams，對Slack的幫助有限。</p> </div></div></div>
2024/4/2 11:26作者陳曉莉https://www.ithome.com.tw/news/162070
ChatGPT不需登入也可使用了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/start-using-chatgpt-instantly" target="_blank">OpenAI昨（1）日宣布</a>，即日起開放用戶免登入使用AI聊天機器人ChatGPT，但用戶最好記得設定不讓OpenAI蒐集使用資訊。</p> <p>OpenAI表示會漸漸將設定推展到全球，讓所有人都不再需要登入帳號就可使用ChatGPT。該公司也提醒，可能會使用用戶輸入到ChatGPT的資訊，以訓練底層模型。不希望被蒐集互動紀錄的用戶需到設定頁關閉這項設定。</p> <p>但OpenAI仍然推薦用戶建立帳號，因為用戶可儲存、檢視和分享對話紀錄。此外，某些功能也需要登入帳號才能使用，如語音對話、自訂指令等。</p> <p>為了防止GPT模型被濫用，OpenAI也為ChatGPT新增內容防護，像是封鎖特定提示及生成不適切、惡意或有害的內容。</p> <p>從2022年11月以測試版上線以來，ChatGPT成為成長最快的服務。不到1個月就累積100萬用戶，2個月就突破1億。OpenAI說現在ChatGPT用戶遍及185國，每周平均用戶超過1億。<a href="https://www.demandsage.com/chatgpt-statistics/" target="_blank">分析機構估計</a>截自2024年3月，ChatGPT每月用戶為1.8億。</p> <p>去年OpenAI執行長Sam Altman在其首次開發者用戶大會上<a href="https://www.theverge.com/2023/11/6/23948386/chatgpt-active-user-count-openai-developer-conference" target="_blank">也宣布</a>，到去年11月為止，該公司平臺上有高達近200萬開發人員，包含92%的財星500大企業員工。</p> </div></div></div>
2024/4/2 09:14作者林妍溱https://www.ithome.com.tw/news/162066
Google將生成式AI技術用於天氣預報，不只高效且更能預測極端天氣事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發表最新的天氣預報研究，其採用一種稱為機率擴散模型（Probabilistic Diffusion Model）的生成式人工智慧技術，開發出<a href="https://blog.research.google/2024/03/generative-ai-to-quantify-uncertainty.html">SEEDS（Scalable Ensemble Envelope Diffusion Sampler）</a>天氣預報模型。SEEDS可以有效地大規模產生天氣預報系集（Ensemble），成本僅為傳統物理預報模型的一小部分，而這是原本僅被用於生成式人工智慧應用的機率擴散模型，在天氣預報上的創新應用。</p> <p>機率擴散模型是一種基於機器學習的生成式人工智慧技術，模型的運作主要分為二步驟，第一步驟是添加雜訊，從原始資料逐步增加隨機雜訊，直到資料完全變成隨機雜訊，這個過程被稱為前向擴散，以圖片當作例子，就像是在一張清晰的圖片逐漸添加雜訊點，直到圖片上滿是隨機雜訊。</p> <p>第二步驟則是移除雜訊，機率擴散模型進行反向擴散，學習將充滿雜訊的資料移除雜訊，最終恢復出接近原始資料的新資料。同樣以圖片為例，也就是清理滿是雜訊的圖片，嘗試恢復出原來的景物，或是創造出全新的圖片。</p> <p>機率擴散模型中的機率性，指的便是去雜訊的過程，模型在每一步都會考慮多種去雜訊的可能路徑，每一條路徑都可能產生略有不同的結果。這代表即便機率擴散模型處理非常相似的雜訊資料，最後也能生成多種且高品質的資料樣本。</p> <p>機率擴散模型的這種能力，使其成為可以生成高度複雜且多樣化資料的強大工具，而在天氣預報的應用中，就能夠從有限的初始預測出發，生成一系列可能的未來天氣狀況，也就是系集預報，反應未來天氣的不確定性和多樣性。</p> <p>科學家在創建天氣預報系統的時候，需要將天氣混沌（Chaos）的特性考慮進去。即便是微小的初始條件差異，隨著時間的推移便會呈現指數增長，人們之所以無法對天氣進行單一預測，是因為單是一個預測，並無法量化天氣的不確定性。</p> <p>為了適應這種不確定性，天氣預報組織在計算系集預報時，會於在初始條件加入合成雜訊，以及在物理過程加入隨機性，利用天氣模型中快速的錯誤增長率，使得系集中的預測各有不同，進而量化天氣條件的不確定性。</p> <p>雖然機率預測是有效的，但是要生成這些預測，需要在大型超級電腦上，執行多次高度複雜的數值天氣模型，而這是一個非常耗費運算資源的過程，許多天氣預報組織，只能負擔生成大約10到50個系集成員的規模，而這個數量可能不足以用來評估罕見且高度影響天氣的事件，研究人員表示，要評估罕見氣候事件需要更大的系集，使用一萬個成員組合的系集，可能才有辦法預測到發生機率為1％的事件。也就是說，成員少於100的系集，不可能可以預測出極端天氣事件。</p> <p>而Google研究人員所開發的SEEDS，效能遠超過數值天氣預報系統，並且可以根據數值天氣預報系統一到兩次的預報，產生大型系集。SEEDS生成的系集能夠提供與真實情況類似的可信預測，特別是在預測極端天氣事件的準確度上，SEEDS表現也非常出色。</p> <p>最重要的是，與需要超級電腦耗費數小時運算的傳統天氣預測相比，SEEDS模型的計算成本幾乎可以被忽略，在Google雲端TPUv3-32執行個體上，每3分鐘可以產生256個系集成員，藉由部署更多的加速器，就可以擴展更高的吞吐量。</p> <p>SEEDS的具體貢獻在於利用生成式人工智慧技術，提高天氣預測效率。SEEDS只要使用2個預測種子，就能夠快速生成大量的系集預報。SEEDS提供了一種高效混合方法，把數值天氣預報系統作為輸入，就能產生額外的預測。</p> <p>SEEDS高效運算的特性，在節省運算資源的同時，也能夠更頻繁地發出預報，提高天氣預測的品質和可用性。而且SEEDS不只可用於天氣預測，也增加了氣候風險評估領域的可能性，提升科學家準確量化未來氣候不確定性的能力。</p> </div></div></div>
2024/4/1 23:26作者李建興https://www.ithome.com.tw/news/162055
【資安日報】4月1日，發現潛伏三年的供應鏈攻擊事件，程式庫XZ Utils近期被植入後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>週末一起供應鏈攻擊事件的揭露，震撼了整個資安圈，也讓企業用戶忙於修補因應，有攻擊者針對XZ Utils資料壓縮程式庫植入後門，而這個後門將可讓攻擊者繞過SSHD的身分認證機制，且相當難以察覺。</p> <p>幸好有研究人員因為調查一個SSH登入時存在500ms延遲異常而發現，但回顧這個提交惡意的GitHub帳號，竟是在2021年就註冊，並從2022年2月就開始試探性的對XZ程式庫提交Commit。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162040"><strong style="font-size: 22px;">駭客鎖定XZ Utils庫發動供應鏈攻擊，差一點進入眾多主流Linux發行版的SSHD注入後門</strong></a></p> <p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/XZ Outbreak_GJ-6mD9aIAARaiY_圖片來源Thomas Roccia.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XZ%20Outbreak_GJ-6mD9aIAARaiY_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Thomas%20Roccia.jpg" style="width: 260px; float: right;" /></a><span style="color:#808080;">圖片來源／Thomas Roccia</span></p> <p>微軟PostgreSQL開發人員<a href="https://www.openwall.com/lists/oss-security/2024/03/29/4">Andres Freund在3月29日揭露XZ Utils資料壓縮程式庫被植入後門，並指出這是一樁供應鏈攻擊事件</a>，<a href="https://access.redhat.com/security/cve/cve-2024-3094">Red Hat也發布相關緊急安全通告，指出CVE-2024-3094是CVSS v3風險層級滿分10分的漏洞</a>，已確定Fedora Rawhide、Fedora 41、Kali Linux、openSUSE Tumbleweed/MicroOS，部分Debian版本受影響。</p> <p>這起事件在上週六一早即引起臺灣資安研究人員的關注與重視，原因是這起事件不僅是涉及SSHD（Secure Shell Daemon）的供應鏈攻擊，而且手法相當精心設計且複雜，若不是及早被發現，一旦進入穩定版主流linux發行，後果恐不堪設想。</p> <p>另一<a href="https://twitter.com/fr0gger_/status/1774343587154837940">微軟威脅研究人員Thomas Roccia週日在X平臺發文</a>表示，他嘗試用一張提表整理入侵的脈絡，當中顯示一名代號為Jia Tan（JiaT75）的GitHub帳號用戶，是在2022年2月6日針對XZ程式庫提交第一次Commit，之後又陸續提交幾次測試檔，然後在2024年2月16日、3月9日悄悄將惡意程式加入，其中bad-3-corrupt_lzma2.xz與good-large_compressed.lzma這兩個看起來無害的測試用binary，更是會在特定條件下解析出惡意程式。</p> <p><a href="https://about.att.com/story/2024/addressing-data-set-released-on-dark-web.html"><strong style="font-size: 22px;">AT&T大量客戶資料流入暗網，影響7,300萬用戶</strong></a></p> <p>美國電信龍頭AT&T在3月30日（週六）宣布，大約有7,300萬新舊客戶的資料被發現在流傳到暗網，這些資料包括當地社會安全號碼，以及及電子郵件信箱、電話號碼、生日等個人資訊。</p> <p>根據AT&T說明，他們已確認在兩星期前在暗網發布的資料與AT&T用戶有關，尚不清楚檔案內欄位中的資料是來自AT&T，還是他們的供應商之一，目前仍在評估外洩資料的來源。而根據他們的初步分析結果，這些資料似乎是來自2019年或更早，影響了約760多萬現有AT&T帳戶持有者，以及6540多萬舊有帳戶持有者。所幸，暫時沒有發現AT&T系統有遭未經授權存取的情況，該公司則表示將通知受影響用戶，並提供免費信用監控。</p> <p><a href="https://krebsonsecurity.com/2024/03/recent-mfa-bombing-attacks-targeting-apple-users/"><strong style="font-size: 22px;">MFA轟炸攻擊再現！但這次發生在蘋果密碼重設通知的場景</strong></a></p> <p>過去2022年曾出現鎖定企業員工的MFA轟炸（MFA Bombing）攻擊，如今這樣的通知轟炸攻擊，似乎也發生在蘋果密碼重設通知的情境之中。這項威脅是由資安部落格KrebsOnSecurity的一份報告揭露，當中指出有幾位蘋果用戶成為網釣攻擊目標，不斷收到數十起關於密碼重置請求的通知提示，需要使用者對每項通知提示做出「允許」或「不允許」的回應，否則使用者無法用手機做任何事情。此外，即便使用者都沒有按錯按鈕，有些使用者表示，後續還會收到冒充蘋果支援人員的語音網釣（Vishing）攻擊。</p> <p>由於攻擊者能在短時間內發送數十次的密碼重設請求，這也代表，蘋果iCloud帳戶的密碼重設機制，可能存在一些問題，像是沒有通知發送頻率的限制。</p> <p><a href="https://www.gov.tw/News_Content_11_737953.html"><strong style="font-size: 22px;">亞昕資訊通報其校務行政系統遭駭而被勒索，教育部已確認7所高中受影響，將持續清查26校</strong></a></p> <p>教育部在3月29日公布了近期國內7高中校務系統遭駭客入侵的事件，說明半個月前教育部國民及學前教育署（簡稱國教署）收到亞昕資訊遭勒索攻擊的通知，駭客以散布該公司校務行政系統內高中學生資料為由，向該公司勒索費用。國教署在獲知情形後，通報發生資安事件，並進行緊急應變與調查。</p> <p>關於初步調查結果，駭客先是從1所學校的系統漏洞入侵主機，執行惡意程式以竊取學校的帳號密碼，接下來，他們搜尋其他使用該廠商校務行政系統的學校，成功利用同一組帳號密碼登入其他6所學校的系統，因此發現有7所高中被入侵，確實有學生個資遭外部下載情形，但沒有新增、刪除等操作行為。而國教署也說明，由於與亞昕資訊簽約學校有26所，為掌握其餘學校個資外洩情形，近日將持續清查這些校務行政系統的學生學習歷程檔案是否受到影響。</p> <p><a href="https://www.humansecurity.com/learn/blog/satori-threat-intelligence-alert-proxylib-and-lumiapps-transform-mobile-devices-into-proxy-nodes"><strong style="font-size: 22px;">免費VPN用戶當心！有駭客打造17款假VPN App其實都暗藏惡意</strong></a></p> <p>近日資安公司Human Security旗下Satori資安威脅情報團隊指出，Google Play商店上有17款偽裝VPN應用程式涉嫌搭載惡意SDK軟體，可能將用戶裝置轉變為網路犯罪工具。</p> <p>研究人員指出，這些偽裝VPN App看似提供免費VPN服務，但卻藏有一個名為「PROXYLIB」的惡意SDK軟體工具。這個工具可以在用戶毫不知情下，暗中安裝於用戶手機裝置上，將其變成網路犯罪分子或駭客的「網路代理伺服器」，也就是利用你的裝置來發動特定惡意攻擊活動。研究人員共發現28款App都藏有PROXYLIB SDK，在他們通報後，Google已經將這些App下架。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://azure.microsoft.com/en-us/blog/announcing-new-tools-in-azure-ai-to-help-you-build-more-secure-and-trustworthy-generative-ai-applications/"><strong style="font-size: 22px;">微軟公布多款改善生成式AI服務安全性的新工具，Prompt Shields率先亮相</strong></a></p> <p>隨著生成式AI的普及應用，包括提示注入攻擊或濫用AI系統漏洞等相關風險也隨之而來，導致AI聊天機器人做出不在規範內的行為，繼3月初Cloudflare推出Firewall for AI，微軟在3月底也宣布一系列協助生成式AI應用的AI安全工具，例如，新的提示防護罩（Prompt Shields），是去年11月的越獄風險偵測的強化，不只防範原本提示注入的直接攻擊，也能防範提示注入的間接攻擊。</p> <p>其他有助於改善生成式AI服務安全性的工具，將於日後推出，包括：可防範AI模型幻覺問題的Groundedness detection，可引導模型行為朝向安全與負責的Safety system messages，以及越獄評估工具Safety evaluations與風險與安全監控工具。這些工具之後都將整合於Azure AI Studio與Azure OpenAI Service之中。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.bleepingcomputer.com/news/security/germany-warns-of-17k-vulnerable-microsoft-exchange-servers-exposed-online/"><span style="font-size: 20px;">德國警告當地超過1.7萬臺Exchange伺服器曝露於已知漏洞風險</span></a></strong></p> <p><a href="https://www.recordedfuture.com/attributing-i-soon-private-contractor-linked-chinese-state-sponsored-groups"><strong style="font-size: 20px;">針對中國資安業者安洵信息資料外流，研究人員發現該公司與更多駭客組織有關</strong></a></p> <p><a href="https://securityaffairs.com/161181/security/cisco-ios-and-ios-xe-software-flaws.html"><strong style="font-size: 20px;">思科修補IOS與IOS XE的多個高風險漏洞</strong></a></p> <p><a href="https://thehackernews.com/2024/03/hackers-target-macos-users-with.html"><strong><span style="font-size: 20px;">駭客利用惡意廣告傳播竊資軟體，主要鎖定macOS使用者</span></strong></a></p> <p><a href="https://www.euractiv.com/section/politics/news/albanian-government-to-create-commission-against-foreign-influence-disinformation/"><strong style="font-size: 20px;">阿爾巴尼亞政府宣布將成立特別委員會，以抵抗外國影響行動、打擊虛假資訊</strong></a></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162031"><strong>【3月29日】研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162015"><strong>【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162004"><strong>【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</strong></a></p> <p> </p> </div></div></div>
2024/4/1 16:26作者羅正漢https://www.ithome.com.tw/news/162054
【LLM模型如何落地金融業？技術與非技術難題並存】凱基人壽導入生成式AI的三大挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>業務員是販售保險商品的最大通路，也是保險業的重要戰力。根據壽險公會截至今年二月的統計，凱基人壽（原為中國人壽）內部有超過一萬5千名業務員，每年還會增加不少新進業務員。根據壽險公會統計，光是2022年，全臺就有超過2萬1千名新進業務員通過人身保險資格測驗，正式成為保險業務員。如何將這批年齡、學經歷各不同的新手，快速訓練成保險專業人才，是每一家保險業的重要課題。凱基人壽用生成式AI找到了新的作法。</p> <p>因為新人數量多又分散全臺，傳統保險業務員訓練方式大多按北、中、南分區培訓，不僅訓練時間長，再加上講師功力和教材不一，培訓效果也有落差。為了解決這個痛點，凱基人壽早在去年就用NLP，開發出一套業務員訓練系統，稱為智能對練1.0版，可以在線上模擬業務人員與顧客的對話，來提供新手業務員進行對話演練，也能彙整多達700頁的業務手冊，協助業務員快速查找大量資訊，至少縮短了一半的新人訓練時間。</p> <p>不過，用NLP打造的對話形式較生硬，訓練效果有限。隨著生成式AI技術浪潮來襲，凱基人壽看中它模擬真人對話的能力，開始將這項技術應用在內部工具中。</p> <p>今年二月初，凱基人壽開始在業務員訓練系統中導入生成式AI，發表了智能對練2.0版，可以更擬真的模擬業務員與顧客的對話過程，協助業務員演練銷售技巧，還能快速摘要700頁業務手冊的內容。在模擬客戶功能中，他們除了使用提示工程和檢索增強生成技術（RAG），也應用微調（Fine-Tuning）和虛擬人和情緒偵測等技術。而在業務手冊摘要功能中，他們主要運用提示工程和RAG，限定LLM模型的回應範圍，讓模型盡可能根據業務手冊或商品內容提供回應，協助新進業務員以問答方式，快速掌握手冊資訊。</p> <p>這是國內首家在業務員訓練正式導入生成式AI的壽險業者，也是國內少數正式啟用生成式AI應用的金融業者。</p> <p>作為技術採用的先行者，沒有太多先例可循，凱基人壽從技術驗證，到實際落地並正式啟用，不僅是技術面的挑戰，更多的挑戰來自非技術層面，像是如何降低模型回應錯誤率，抑或是因應指引原則，調整內部治理規範。</p> <h3>挑戰一：提升模型回應精準度</h3> <p>導入生成式AI必定會面臨的挑戰，便是AI幻覺。凱基人壽網路數位部資深副總經理宋健榮說明，以GPT模型新版GPT 4 Turbo為例，約有3%的幻覺率，即便使用提示工程、檢索增強生成技術（RAG），甚至是微調（Fine-Tuning），都不易做到百分之百精準。這是生成式AI目前的技術限制，也是受高度監管的金融業者謹慎看待這項技術的關鍵原因。</p> <p>實際導入生成式AI的過程中，凱基人壽面臨了許多困難。凱基人壽網路數位部專案副理王姿云以第一線實作經驗舉例說明，一本多達700頁的業務手冊中，有時使用者的提問較模糊，手冊多處會有類似的內容，模型難以判斷哪一處的敘述才是正確答案，需要借助提示工程，才能減少回應錯誤率。例如，有兩至三處的描述相似，皆能回應提問，系統就要引導使用者提出更精準的問題，才能給予較精準的回覆。</p> <p>為了進一步提高模型回答的精準度，凱基人壽還建立了三道提示工程的改進機制。</p> <p>第一道機制是由內部技術部門和外部技術夥伴合作，以機器亂數產生500筆問題，得到回覆後再和實際答案比對。對內聯合了網路數位部團隊和IT部門的研究小組，對外則找來工研院和技術廠商來精進技術。第二道是透過跨部門小組根據實務經驗，找來業務員代表，手動產生500筆題目，進行第二次測試和比對。最後一道機制，是藉由第一線業務員使用者提供回饋，再交由技術團隊修正提示。宋健榮表示，這批使用者是業務員中的數位代表，負責對數位工具提供使用回饋。未來，他們預計建立200位業務員組成的數位部隊，共同精進數位工具。</p> <h3>挑戰二：蒐集模型訓練資料</h3> <p>凱基人壽的業務員訓練系統提供模擬客戶的功能，讓業務員能隨時和AI模擬客戶進行對話，學習銷售技巧。這個功能在過去是利用NLP技術打造，團隊透過聆聽經驗豐富的業務員演繹銷售技巧，蒐集各種話術，萃取出精華，最後統整為模型訓練資料。為了運用生成式AI提升模擬客戶的擬真度，使用者需要蒐集實際場景的話術，作為模型訓練資料，過程也是一大挑戰。</p> <p>王姿云解釋，起初，只能將顧客類型分為感性和理性兩種來進行對話角色的模擬，也僅需蒐集基礎的知識話術，就能完成教材，統整資料的過程相對容易。但到了導入生成式AI的2.0版系統，模擬客戶的功能升級，可以增加更多類型的顧客角色，團隊需要蒐集更多達人式、接地氣的話術，作為模型訓練資料，「但達人不一定照著設定的步驟來唸，要萃取出精華是蠻辛苦的事。」另一方面，他們也要將教材縮減至20分內的訓練時長，才有助學員快速吸收。這段話術萃取的過程考驗團隊能否掌握販售技巧的關鍵，不僅需要和負責訓練的單位密切合作，了解第一線的培訓需求，也要掌握商品框架，才能制定系統化的萃取方式，釐清可作為模型訓練的資料。</p> <h3>挑戰三：AI監管環境尚未成形，金融業者尚需摸索內部控管機制</h3> <p>「這次經驗是一個訓練過程，讓我們不斷精進。」宋健榮坦言，作為導入生成式AI的先行者，多數情況沒有參考解方，同仁也尚未熟悉新技術，需要長時間摸索，才能逐漸確立內部機制。另外，因應金管會去年年底發布的「金融業運用AI指引草案」，凱基人壽正根據指引內容研擬內部規範，摸索適當的管理機制。</p> <p>不過，目前綜觀全球，僅有歐洲制定AI法案，全世界仍在摸索AI治理機制，沒有人具備實質經驗。宋健榮解釋，以資安管理標準而言，從最早世界經濟合作開發組織（OECD）在1990年草擬的「資訊系統安全指導方針」，到1995年，英國標準協會訂定的「資訊安全管理實務準則」之BS7799。直到2000年，BS7799通過ISO審議，才成為較成熟的ISO/IEC 17799。反觀AI，目前尚未發展相對成熟的認證標準，業者也較難掌握監理標準。</p> <p>此外，無論是國內外，AI相關規範或指引皆強調了模型透明性和可解釋性，但是，宋健榮指出，多數金融業者不易掌握模型，更難以自建LLM模型，較難符合這項監管要求。目前，多數金融業透過Azure OpenAI服務使用GPT模型，無法得到模型全部資料，「即便是開源模型，也只有部分資料揭露。」宋健榮解釋，生成式AI模型掌握在大型科技公司手中，多數企業無法控制整體資料品質，也較難解釋模型透明性。目前金融業者主要透過RAG或Findtune調教模型，「你可以控管自己的資料，但是基礎模型的資料就做不到。」</p> <p>凱基人壽的實作經驗顯示，金融業者導入生成式AI不僅需要面臨技術挑戰，背後更要面臨包括合規、治理面等非技術的挑戰，許多內部機制也得透過階段性的試錯，才能逐漸成形。</p> <p>「希望透過這次應用，累積足夠經驗再發展。」宋健榮表示，當生成式AI技術足夠成熟後，他們會進一步擴大應用範圍。第一，使用大量業務手冊、業務規則的部門，利用生成式AI輔助摘要大量資訊。第二是，針對核保和理賠等需要專業判斷的場景，利用AI協助專員進行判斷。「凱基人壽的終極目標，是利用AI打造一個業務員的副駕駛（Copilot），整合所有業務員工具，包括輔銷、客戶管理、日常業績管控、報到、推播等工具，透過AI實現業務員超級助理。」宋健榮說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/10_%E5%AE%8B%E5%81%A5%E6%A6%AE_%E4%B8%AD%E5%9C%8B%E4%BA%BA%E5%A3%BD_%E6%95%B8%E4%BD%8D%E6%87%89%E7%94%A8%E7%99%BC%E5%B1%95%E9%83%A8%20%E5%89%AF%E7%B8%BD%E7%B6%93%E7%90%86_20190612_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D(4).jpg" style="width: 400px;" /></p> <blockquote><p>凱基人壽網路數位部資深副總經理宋健榮認為，這次導入生成式AI的經驗是一段訓練過程，讓他們不斷精進。當生成式AI技術足夠成熟後，他們會進一步擴大應用範圍，終極目標是為業務員打造一個副駕駛(copilot)，實現業務員超級助理。（攝影：洪政偉）</p> </blockquote> <h3> <span style="font-size:16px;"><strong style="color: rgb(255, 255, 255); font-family: 微軟正黑體, sans-serif; font-size: 28px; background-color: rgb(247, 247, 247);"><span style="background-color: rgb(51, 153, 255);"> 金融業者對生成式AI的觀點 </span></strong></span></h3> <p>「生成式AI的出現是一個拐點，它跟傳統AI間已經有一道分水嶺。」對於生成式AI技術對金融業的影響，凱基人壽網路數位部資深副總經理宋健榮明確給出這個回應。不過，他也認為，生成式AI技術目前尚在雛形階段，綜觀現有的商業應用中，除了Chatbot形式較為成熟，其他的應用還尚在發展中，「類似蘋果推出的iPod，但還沒到iPhone。」</p> <p>其實，早在2017年，凱基人壽就以AI作為轉型策略核心，內部早已建立大數據資料庫和標籤庫，還能運用AI自動貼標快速分析客戶行為，為日後發展AI奠定不少基礎。不過，宋健榮認為：「目前的生成式AI離通用型AI還有一段路。」待技術成熟，凱基人壽期望能以過往AI基礎，加值至生成式AI應用。「改變跟進步一直往前，你不知道最後會怎樣。」</p> <p></p> <p></p> </div></div></div>
2024/4/1 14:38作者李昀璇https://www.ithome.com.tw/news/162052
程式語言Mojo開源標準函式庫核心模組並接受外部貢獻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>速度可達Python 68,000倍的<a href="https://www.ithome.com.tw/news/158653" target="_blank">程式語言Mojo</a>，官方現在宣布以Apache 2授權許可，<a href="https://www.modular.com/blog/the-next-big-step-in-mojo-open-source">開源Mojo標準函式庫的核心模組</a>，開源的部分包括原始碼之外，還提供標準函式庫修訂歷史紀錄、Mojo編譯器的Nightly建置，並且公開持續整合系統，也允許開發者透過GitHub拉取請求進行外部貢獻。</p> <p>Mojo開放標準函式庫修訂歷史，將可讓使用者和貢獻者查看專案過去的改動、貢獻歷史以及每次修改的具體細節，而這將有助於貢獻者理解程式碼的演進過程。Mojo專案的開源不只是公開程式碼，更是允許外部貢獻，任何人都可以提交程式碼修改拉取請求，經過審核後會被合併到專案中。而公開的持續整合系統，則確保每次程式碼提交都會經過自動測試和建置流程，並讓貢獻者可以了解貢獻的程式碼是否通過測試。</p> <p>Mojo採用Apache 2，因其提供專利授權條款，能在法律上保護使用者和貢獻者。針對Apache 2可能與GPL 2授權部分不相容的問題，官方提到，他們希望開發者使用Mojo，但是不強迫開發者向Modular或是Mojo致謝（Acknowledge），也就是說，官方明確同意Mojo標準函式庫程式碼可以和GPL 2混用。</p> <p>雖然Apache 2和GPL 2都是自由軟體和開源軟體熱門的授權協議，但是兩者在要求上還是有一些不同。特別是Apache 2.0包含了一些專利授權條款，但是GPL 2並沒有這樣的要求，所以按照這些授權條款，使用Apache 2.0授權的程式碼，不可以直接被納入到GPL 2授權的專案中，因為會造成授權要求間的衝突。</p> <p>Mojo官方以例外條款（Apache 2 with LLVM Exceptions）來解決這個問題，使得開發者可以更自由地使用Mojo的程式碼，就算是在GPL 2授權的專案，也不需要擔心授權衝突，以鼓勵廣泛採用和協作。</p> <p>由於Mojo標準函式庫正在開發階段並且變化迅速，所以官方現在選擇先開源其核心模組，隨著發展，官方還會公開更多程式碼，包括Mojo其他部分以及更廣泛的MAX平臺等。</p> </div></div></div>
2024/4/1 16:38作者李建興https://www.ithome.com.tw/news/162053
Fintech周報第236期：麥肯錫調查顯示，歐美領先金融業者中，超過一半業者以集中式組織領導生成式AI發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">3/25~3/29金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 麥肯錫</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI治理 </span></strong></span></p> <h3>麥肯錫研究：歐美領先金融業者中，超過一半業者以集中式組織領導生成式AI發展</h3> <p>知名管理顧問公司麥肯錫（McKinsey & Company）最近發表了一份<a href="https://www.mckinsey.com/industries/financial-services/our-insights/scaling-gen-ai-in-banking-choosing-the-best-operating-model">報告</a>《在銀行業發展生成式AI：選擇最好的營運模式》（Scaling gen AI in banking: Choosing the best operating model），他們調查了歐洲和美國16家最大金融機構的生成式AI營運模式，超過一半的研究對象採用集中化管理。麥肯錫表示，集中化管理可能是暫時的營運方式，隨著技術越來越成熟，業務部門也會逐漸察覺這項技術帶來的好處，並根據自身需求發展生成式AI應用。</p> <p>麥肯錫根據調查結果，整理出四種組織管理方式的好處和挑戰。第一種，高度集中化，業者設立一支獨立於其他業務部門的生成式AI團隊，並由這支團隊負責設計和執行生成式AI策略。麥肯錫表示，這種組織方式可以讓生成式AI團隊快速建立技術力，不過，團隊與業務部門距離過遠，可能造成雙方的隔閡，進而影響決策。採用這種模式的業者中，七成業者已經開始生產生成式AI應用。</p> <p>第二種，同樣由單一組織領導，但交由業務部門執行。和第一種差別在於，生成式AI團隊會和業務部門中的技術團隊合作，交由業務部門執行計畫。相比第一種，這種方式有助減少雙方隔閡，但發展技術的速度可能因此減慢。第三種，由業務部門主導，統一由技術團隊支援。這種由下而上推動生成式AI策略的方式，有助於獲得業務部門對技術的支持。但是，不同業務部門對生成式AI的需求不同，開發方式可能也不同，單一技術團隊要同時支援多個業務部門十分困難。</p> <p>最後一種，高度去中心化，各個業務部門各自設立生成式AI團隊、設計和執行生成式AI策略。麥肯錫認為，這個方式最容易獲得業務部門對技術的支持，但業務部門缺乏相關知識，可能難以透過生成式AI實現重大突破。採用高度去中心化執行方式的金融機構中，僅有三成業者開始投入生成式AI應用生產。</p> <p>集中化管理方式雖然是發展生成式AI的最佳營運模式，但報告中也表示，採用這種管理方式仍會遇到幾個障礙，分別是策略路線圖的制定、獲取資金的機制，和人才資源。各個業務部門可能擔心失去關鍵資源，而對這三項政策持不同意見。因此，金融機構發展生成式AI需要具備高度的組織敏捷性，能夠快速設計流程並匯集資源。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新金控</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>台新金控揭生成式AI進展，計畫打造「台新腦」輔助內部工作任務</h3> <p>台新金控揭露生成式AI進展，他們計畫打造「台新腦」，一個專屬台新金控的生成式AI工具，協助各項業務執行、法規和風險辨識等任務。他們近日在內部舉辦圖像生成挑戰賽，邀請子公司員工組隊參與，參賽者要使用台新金控調教的大型語言模型，透過輸入提示來生成圖像作品。台新金控表示，舉辦挑戰賽的重點，是要創造生成式AI的使用情境，讓同仁逐步習慣使用這項技術。</p> <p>早在去年十月，台新金控就已完成內部的AI發展關鍵因子和AI導入指引，還發展4項實驗專案，包括協作平臺的聊天機器人Teams Chatbot、知識管理平臺、程式碼撰寫助理Codex，以及虛擬智能客服。去年底，他們對外展示了虛擬智能客服的實驗專案，共有兩個擬真客服人員，分別提供理財投資建議和信用卡建議。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本IBM</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>日本IBM瞄準金融機構需求，推出快速導入生成式AI的服務，可連接三種LLM模型</h3> <p>日本IBM在旗下的金融服務平臺Digital Services Platform for Financial Services（簡稱DSP）推出生成式AI擴充功能，能協助金融機構快速導入生成式AI，同時內建了多項生成式AI應用，包括生成貸款批准書、製作銷售對話腳本、撰寫日常業務報告，以及提供行員使用的文件摘要工具等。</p> <p>這個擴充功能可以透過閘道（gateway）連結三個生成式AI服務，分別是微軟Azure OpenAI服務、Amazon Bedrock和watsonx.ai，使用者可以根據需求選用GPT模型、Claude模型和Granite模型，也可以透過閘道集中監控、管理多種生成式AI服務。</p> <p>這項服務目前只能在Azure和AWS雲端環境中運作，未來還會開放在IBM Cloud運作。日本IBM預計在5月底向在地客戶推出這項功能。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 丹麥丹斯克銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>丹麥最大銀行宣布上公雲，計畫遷移超過萬個伺服器、千個應用程式</h3> <p>丹麥丹斯克銀行（Danske Bank）近日宣布，要將部分基礎設施、應用程式和資料遷移至公有雲，與客戶資料相關的系統也包含在內。這間丹麥最大銀行近年啟動技術轉型，將雲端技術、數據和AI作為重點發展技術。他們表示，這項轉型計畫包括要將行內約1.6萬個虛擬或實體的伺服器、近千個應用程式遷至公雲，進一步運用AI、ML和生成式AI服務，提高內部開發人員的工作效率，還要加強對顧客的對話介面功能、提供個人化推薦等。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲西太平洋銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI防詐 </span></strong></span></h3> <h3>澳洲西太平洋銀行在App設置防詐措施，以AI偵測可疑匯款行為</h3> <p>澳洲西太平洋銀行近日在自家的App設置防詐措施，當系統偵測到用戶可能在向詐騙方匯款，系統會詢問用戶幾個簡易問題，例如詢問匯款目的，若用戶的回答有疑慮，系統將會拒絕執行匯款。這項防詐機制是運用AI偵測，當用戶的匯款被標記為高詐騙風險時，App就會跳出詐騙警示和問題。為了快速因應新的詐騙方式，這些問題的內容會持續更動。澳洲西太平洋銀行表示，除了在App導入這項機制，未來幾個月內也會在網路銀行中導入。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-04-01%20104029.png" style="width: 600px;" /></p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CBDC</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SWIFT </span></strong></span></h3> <h3>SWIFT公布央行數位貨幣第二階段沙盒結果，臺灣央行、華南銀行和上海商銀也參與沙盒試驗</h3> <p>環球銀行金融電信協會（SWIFT）近日表示公布央行數位貨幣（CBDC）第二階段沙盒結果。他們與38間金融機構合作進行為期四個月的實驗，納入各國的央行、銀行和金融市場基礎設施，臺灣央行、華南銀行和上海商銀也是試驗參與對象。實驗結果顯示，SWIFT開發的互鏈解決方案有助於進行各國CBDC交易，甚至也能進行其他形式的數位化代幣交易。</p> <p>這項實驗確保SWIFT開發的解決方案適用於多種CBDC交易。根據路透社報導，SWIFT透露，他們將在未來一到兩年內建立一個新的CBDC平臺，開放給全球正在開發CBDC的國家使用。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 敏捷開發</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本保險業 </span></strong></span></h3> <h3>日本保險公司導入敏捷開發平臺，自動部署至測試環境，系統上線時間從三小時縮減至十分鐘</h3> <p>日本保險公司三井住友海上火災保險建立一套敏捷開發平臺，底層架構採用GitLab提供的DevSecOps平臺，能集中管理多個系統，將軟體開發、測試到部署的部分流程自動化，讓系統上線時間從以往約三小時，縮短至十分鐘內即可完成。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-03-29%20123524.png" style="width: 600px;" /></p> <p>導入敏捷開發平臺前，系統開發流程皆是手動處理，完成開發後須要先部署在測試環境，進行測試後，再部署至生產環境。導入後，平臺協助自動部署至測試環境，再採用一半手動、一半自動完成測試和部署至正式環境。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 掌紋付款 </span></strong></span></h3> <h3>Amazon推出Amazon One行動程式，使用者在手機建立掌紋簽章後即可用掌紋付款</h3> <p>Amazon在2020年推出掌紋辨識系統Amazon One，消費者在特定店家可使用Amazon One掃描和註冊掌紋，之後再利用自己的掌紋來付帳、入場、驗證年紀。上周四（3/28），Amazon發表了Amazon One行動程式，允許使用者透過iPhone或Android手機拍攝自己的掌紋，建立掌紋簽章，不必再透過實體店面的Amazon One裝置來掃描掌紋。</p> <p>儘管Amazon One上線已超過3年，但使用這項掌紋服務的累計次數僅有800多萬。不過，根據Amazon的統計，在實體商店使用掌紋服務付款的用戶中，超過8成都會重覆使用。因此，Amazon決定進一步推廣Amazon One，藉由推出行動程式來降低註冊門檻。</p> <p>其他重要Fintech新聞</p> <ul> <li>金管會將研議成立信用卡掛失單一窗口，降低盜刷風險</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／麥肯錫</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年4月</p> <p></p> </div></div></div>
2024/4/1 10:41作者李昀璇https://www.ithome.com.tw/news/162043
AT&T證實有超過7,000萬用戶個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/146382" target="_blank">謠傳了兩年</a>之後，美國最大電信業者<a href="https://www.att.com/support/article/my-account/000101995" target="_blank">AT&T終於在上周六（3/30）證實</a>，總計有超過7,000萬名的用戶個資外洩，當中有760萬名為現有用戶。</p> <p>駭客兩年前便於暗網中公布了AT&T的用戶資料樣本，當時AT&T僅對外否認該公司遭駭，並未證實資料的真偽，如今的AT&T依舊否認被駭，指出並沒有證據表明其系統曾遭到未經授權的存取，但證實了暗網上所流傳的AT&T用戶資料可能來自於2019年或更早之前，影響760萬名現有的AT&T用戶，以及6,540萬名舊有用戶。</p> <p>外洩的用戶資料可能包括姓名、電子郵件地址、郵寄地址、電話號碼、社會安全碼、生日，以及AT&T的帳號及密碼，但並未涉及個人財務資料或通話紀錄。</p> <p>AT&T說，該公司已經確定於暗網中流傳的資料集包含了AT&T的特定資料欄位，但並不確定這些欄位中的資料是否源自AT&T或是該公司的供應商。</p> <p>為了保險起見，AT&T已重設所有帳戶密碼，並透過電子郵件或郵件通知受害者，同時提供了免費的身分竊盜及信用監控服務。</p> <p>其實除了AT&T之外，美國第三大電信業者<a href="https://www.t-mobile.com/news/network/additional-information-regarding-2021-cyberattack-investigation" target="_blank">T-Mobile也在2021年傳出資料外洩事件</a>，駭客攻擊了T-Mobile，總計取得接近5,000萬名T-Mobile新、舊用戶的資料。目前美國約有1.6億名人口。</p> </div></div></div>
2024/4/1 14:23作者陳曉莉https://www.ithome.com.tw/news/162051
xAI發表Grok-1.5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於3月17日開源大型語言模型Grok-1之後，由馬斯克（Elon Musk）創立的xAI再於3月28日<a href="https://x.ai/blog/grok-1.5" target="_blank">發表Grok-1.5</a>，新版本將支援16倍的脈絡長度，可望於本周釋出，也會成為X上Grok聊天機器人的底層模型。</p> <p>儘管離釋出Grok-1不到兩周，但xAI宣稱Grok-1.5有顯著的進展，在許多基準測試上直追或超越Claude 3 Sonnet及Claude 2。例如Grok-1.5在MMLU（大規模多工語言理解）基準測試的成績為81.3%，超越Claude 2的75%與Claude 3 Sonnet的79%；在MATH數學基準測試上的成續則是50.6%，也超越Claude 3 Sonnet的40.5%；GSM8K基礎數學的成績為90%，超越Claude 2的88%，逼近Claude 3 Sonnet的92.3%；HumanEval程式碼基準測試的成績為74.1%，凌駕Claude 2的70%與Claude 3 Sonnet的73%。</p> <p>有趣的是，有別於各個大型語言模型的基準測試都會拿OpenAI的GPT來作比較，日前才控告OpenAI的馬斯克或許是刻意略過GPT，而選擇了近來被視為最有機會挑戰GPT、<a href="https://www.ithome.com.tw/news/162023" target="_blank">由Anthropic所打造的Claude</a>。不過，xAI用來比較的版本是Anthropic在2023年7月推出的Claude 2.0，以及Claude 3.0的中階版本Claude 3 Sonnet，而非最高階的Claude 3 Opus。</p> <p>此外，Grok-1.5不僅於上述基準測試中明顯勝過Grok-1.0，新版也支援128K個Token的脈絡，使其記憶能力達到舊版的16倍，而更擅長處理長文件。</p> <p>xAI說明，Grok-1.5是在一個基於JAX、Rust與Kubernetes的客製化分散式訓練框架上所建置，此一訓練堆疊使其團隊得以花費最小的力氣來測試原型想法，同時大規模訓練新架構，其客製化的訓練協調器可自動偵測到有問題的節點並將其從訓練任務中剔除，該團隊也優化了檢查點、資料載入及訓練任務的重新啟動，以最小化發生故障的停機時間。</p> <p>此外，<a href="https://twitter.com/elonmusk/status/1773655245769330757" target="_blank">馬斯克還透過X放話</a>，正在訓練中的Grok-2.0將會在所有的基準測試上超越現有的AI，不過，他並未揭露Grok-2.0的上線時間點。</p> </div></div></div>
2024/4/1 13:33作者陳曉莉https://www.ithome.com.tw/news/162050
AI趨勢周報第248期：高雄大學開源生成式AI應用平臺Kuwa GenAI OS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0322～0329)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Kuwa </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TAIDE </span></strong></span></p> <p><span style="font-size: 22px;"><strong>高雄大學資工系開源生成式AI應用平臺</strong></span></p> <p>光有大型語言模型（LLM）還不夠，還得要有一套應用介面才能發作最佳效果，就像是機器人大腦得要有身體和四肢一樣。高雄大學資工系系友就打造一款名為Kuwa GenAI OS的生成式AI應用平臺，提供使用介面、可支援多種生成式AI應用，就像是機器人的身體和四肢，能讓開發者串接多種LLM，來打造所需的生成式AI應用。</p> <p>團隊表示，他們將Kuwa系統定位為平臺，可讓使用者串接所需的模型，並開發上層的生成式AI應用。目前，Kuwa系統可串接多種常見的地端和雲端模型，像是GPT-3.5/4、Gemini-Pro、Gemma、LLaMA2、OLMo、Code LLaMA、Taiwan LLaMA、Breeze等，之後國科會TAIDE模型開源，也能支援串接。尤其，Kuwa系統還能用來管理、分配多臺機器上的模型資料，來支援具備權限控制的多使用者生成式AI應用情境。</p> <p>根據簡介，Kuwa GenAI OS能提供群聊、引用、完整Prompt列表的匯入/匯出和分享等功能，還能靈活組合提示（Prompt）、RAG、Bot、模型、硬體/GPU等元件，來滿足應用所需。此外，它也支援各種執行環境，包括虛擬主機、筆記型電腦、個人電腦、地端伺服器和公私雲端。Kuwa系統是在國科會TAIDE計畫的支持下投入開發，團隊日前也成立Kuwa開源社群，盼更多人投入，來促進生成式AI應用發展。<a href="https://kuwaai.org/os/intro">（詳全文）</a></p> <p><img alt="" src="https://kuwaai.org/assets/images/demo-022ea91092c782af5532ad2952596a35.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hume AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EVI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Hume AI揭露一款富有人味的語音AI</strong></span></p> <p>最近，由Google前研究員Alan Cowen成立的AI新創Hume AI，<a href="https://demo.hume.ai/">預覽</a>一款很特別的對話式AI系統Empathic Voice Interface（EVI），可理解使用者的語氣，並以相應的語氣回覆，就像是在跟人說話一樣。Hume AI表示，EVI透過數百萬人類對話訓練而成，開發者目前可透過Hume API將EVI整合至各種應用程式中。</p> <p>EVI有幾種特色，包括能以與人類相近的語氣回覆，還能根據使用者的情緒來調整語氣，也能偵測使用者語氣，來判斷對話是否結束。同時，EVI也能自然地從對話中斷處，繼續新一輪對話。此外，EVI還能提供語音對話的文字轉錄，以及文字轉語音功能，也能整合任何語言模型。Hume AI預計在4月正式發布EVI。<a href="https://twitter.com/hume_ai/status/1773017058038440281?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1773017060173365306%7Ctwgr%5E20ce68fe7569318d05e0c28c8c3e7b81faf3e6d4%7Ctwcon%5Es2_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fforget-openais-chatgpt-hume-ais-empathetic-voice-interface-evi-might-be-the-next-big-thing-in-ai%2F">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 工程師 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Devika </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Devin </span></strong></span></p> <p><span style="font-size:22px;"><strong>另一個AI工程師Devika來了，雖然還不及Devin</strong></span></p> <p>繼AI工程師Devin橫空出世後，最近出現另一個AI工程師Devika，能根據人類指令拆分任務，並進行研究、寫程式來完成目標。Devika的開發者是印度AI新創stitionai的創辦人Mufeed VH，他表示，Devika的能力雖然還不及Devin，但透過開源可讓它更進步。</p> <p>Devika的核心功能有幾種，包括可透過Ollama來使用Claude 3、GPT-4、GPT-3.5或本地端的大型語言模型（LLM），也能使用規畫和推理演算法，以及上下文關鍵字提取、瀏覽網頁，還有用多種程式語言來編寫程式。Devika的目標是要用AI來改變工程師開發軟體和除錯的方式，要來簡化流程和提高效率。Mufeed VH還表示，Devika可自動執行自己寫的程式，並在遇到錯誤的時候自動修復問題，不需人類工程師干預。<a href="https://twitter.com/mufeedvh/status/1770696902926852549?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1770696902926852549%7Ctwgr%5Ed4976c3d8fe6a5d9a97b65eb5649a9da989abcf5%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fmeet-devika-an-open-source-alternative-to-devin%2F">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-04-01%20122051.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Voice Engine </span></strong></span></p> <p><span style="font-size:22px;"><strong>15秒樣本就能生成逼真語音，OpenAI發表語音生成模型</strong></span></p> <p>OpenAI最近揭露一款語音生成模型Voice Engine，可根據任一15秒的語音樣本，生成一段自然的語音，而且富有感情。OpenAI表示，Voice Engine專案在2022年底就已啟動，目標是要為自家的文字轉語音API、ChatGPT語音和朗讀功能中的預設語音提供支援。</p> <p>不過，擔心避免遭到濫用，OpenAI並未對外開放這款模型。他們自2023年底開始與一小群值得信賴的合作夥伴測試模型，目前也有不少進展，比如可用來加強教育，為兒童提供閱讀協助，又或是用於翻譯，模型能將影片和Podcast翻譯成多種語言，並保留口音特色。另一個例子則與社區健康有關，可用來強化偏遠地區醫療溝通和諮詢服務，甚至，還有一家神經科學研究所用Voice Engine來輔助言語障礙患者表達。<a href="https://openai.com/blog/navigating-the-challenges-and-opportunities-of-synthetic-voices">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AR </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 室內場景 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta揭露AR新技術，用ML快速重建3D室內場景</strong></span></p> <p>最近，Meta發表一款場景生成模型SceneScript，不需依賴寫死的規則，透過機器學習就能直接推斷房間的幾何形狀，並轉換為建築元素的近似值。這個方法簡化了房間3D建模的程式，還更加輕巧，只需幾個位元組記憶體，就能產生清晰且完整的幾何形狀，而且具備可解釋性，使用者可簡單閱讀和編輯這些表示。</p> <p>為開發SceneScript，團隊先是打造一個Aria室內環境合成資料集，包括10萬個完全獨特的室內環境，每個環境都使用SceneScript語言進行描述。過程中，團隊用Aria眼鏡來收集室內環境資料，並用這些資料模擬出不同的室內環境。由於所有模擬訓練都不涉及個人資料，因此模型訓練都能確保隱私，而且在訓練後，也能使用Aria眼鏡來驗證模型。</p> <p>SceneScript的優點在於可擴展性，只要在Aria合成環境資料集中的「門」添加附加參數，就能訓練來預測物理環境中門開啟和關閉的程度。此外，透過在架構語言添加新特徵，SceneScript還能準確預測物體的位置，並進一步將這些物件拆解成組成元件，像是沙發的墊子、椅腳和扶手，設計師可用來創造真正適用於各種物理環境的增強實境內容。<a href="https://ai.meta.com/blog/scenescript-3d-scene-reconstruction-reality-labs-research/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe8-4.fna.fbcdn.net/v/t39.8562-6/434069040_708526774524906_7376808912820184909_n.png?_nc_cat=104&ccb=1-7&_nc_sid=f537c7&_nc_ohc=gUUvh_NE97EAX9pdeCa&_nc_ht=scontent.ftpe8-4.fna&oh=00_AfChH-BDv1yZBrLfCRLTXp_z8DktCqXv6ZPL9nleSBE7xQ&oe=66101655" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Neo4j </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料分析 </span></strong></span></p> <p><span style="font-size:22px;"><strong>強化資料分析和AI應用，微軟旗下服務整合Neo4j圖資料庫</strong></span></p> <p>Neo4j聯手微軟，在微軟旗下Azure OpenAI服務和Fabric分析平臺整合Neo4j圖資料庫功能，用戶可更好地處理結構化與非結構化資料，從中發現資料隱藏的模式，用來強化生成式AI應用程式。</p> <p>Azure OpenAI與Neo4j的整合，在架構上可分為知識的擷取和使用。在資料擷取上，由Azure OpenAI處理非結構化資料，將這些資料存到圖資料庫中，用戶可用Neo4j的查詢工具，來擷取有用的分析結果，而來源資料可留存在Fabric、Azure Blob儲存或其他位置。而在知識的使用上，用戶同樣可透過Azure OpenAI服務，以自然語言查詢，即便沒有圖資料庫專業知識，也能輕易上手。<a href="https://neo4j.com/blog/neo4j-microsoft-collaboration/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DBRX </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Databricks </span></strong></span></p> <p><span style="font-size:22px;"><strong>Databricks開源通用大型語言模型DBRX</strong></span></p> <p>AI業者Databricks最近開源一款通用大型語言模型（LLM）DBRX，號稱在各式標準的基準測試上超越坊間所有開源模型，也在大多數的基準測試上擊敗GPT 3.5。</p> <p>DBRX以Transformer解碼器為基礎，採混合專家（MoE）架構，具1,320億個參數，其中360億個經常處於活動狀態。該模型用12T Token的文字和程式碼資料上進行預訓練。相較市上的LLaMA2-70B、Mixtral和Grok-1等開源模型，DBRX在語言理解（MMLU）、程式設計（HumanEval）和數學邏輯（GSM8K）等基準測試上的表現明顯勝出。此外，DBRX在上述3項基準測試中也贏過GPT 3.5。DBRX目前可支援英文、法文、西班牙文和德文，不過，要執行DBRX至少得具備4個Nvidia H100 GPU或其它GPU，光一個H100就得花費數萬美元，對許多開發者或個人來說是遙不可及的。<a href="https://www.databricks.com/company/newsroom/press-releases/databricks-launches-dbrx-new-standard-efficient-open-source-models">（詳全文）</a></p> <p><img alt="" src="https://www.databricks.com/sites/default/files/inline-images/dbrx-vs-chat-infographic-image-02.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 行銷 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Adobe </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>瞄準行銷內容需求，Adobe推出GenStudio預覽版</strong></span></p> <p>日前Adobe在年度大會上，發表一款預覽版行銷人員專用的GenStudio產品，主打用生成式AI來優化內容供應鏈。進一步來說，GenStudio涵蓋跨通路行銷所需的各種工具，以生成式AI為基礎，可讓企業用來快速尋找和生成資產、打造各種作品，還能根據即時的內容效能洞察來優化體驗。比如，行銷人員可針對品牌、客戶角色及產品描述訓練AI，來產生符合需求的文案和圖像，或用AI來審查內容。</p> <p>GenStudio可分為3大特點，分別是工作流程與規畫、創造與生產、啟用與遞送，而每一特點都由不同工具支援，可整合、流暢地執行內容供應鏈。雖然GenStudio仍在預覽階段，但試用過的企業Orvis發現，制定專案計畫的時間減少75%，JLL創意團隊在兩年內的交付成果增加了250%，T-Mobile在不增加人力的前提下活動產出提高了47%。GenStudio預計今年全面上市。<a href="https://news.adobe.com/news/news-details/2024/Adobe-Announces-Generative-AI-Solutions-to-Jumpstart-Content-Supply-Chain-for-Enterprises-/default.aspx">（詳全文）</a></p> <p>圖片來源／Kuwa系統團隊、Mufeed VH、Meta、Databricks</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 美國要求每個聯邦機構設立AI長</strong></p> <p><strong>2. Claude 3 Opus模型登上LMSYS Chatbot Arena排行榜榜首</strong></p> <p><strong>3. 樂天開源懂日文和英文的語言模型RakutenAI-7B</strong></p> <p>資料來源：iThome整理，2024年4月</p> </div></div></div>
2024/4/1 12:40作者王若樸https://www.ithome.com.tw/news/162047
OpenAI、微軟傳計畫投入逾千億美元打造資料中心運行超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體<a href="https://www.theinformation.com/articles/microsoft-and-openai-plot-100-billion-stargate-ai-supercomputer" target="_blank">《The Information》</a>報導，微軟與OpenAI正在策畫一項資料中心專案，投入超過1,000億美元，包括打造一個使用上百萬顆GPU的AI超級電腦。</p> <p>報導引述消息人士指出，這座資料中心專案期程預計6年，預計耗資1,150億美元。專案共分5期，第5期雙方將打造名為Stargate的超級電腦，是一個座落於OpenAI公司的AI超級電腦，可能包含超過百萬顆CPU，雙方希望能在2028年上線。但在第4期還會有一座較小的超級電腦建立於微軟資料中心內，預計約在2026年上線。後者則可能提供給其他Azure客戶使用。</p> <p>報導引述消息人士指出，微軟認為，這座資料中心工程極具挑戰，因為它在現有設計下，需要在單一機架中使用的GPU比微軟經驗多太多，才能達到應有的效能。因此兩公司可能也在探索新設計。例如Stargate需要極大電力，可能高達數Gigawatt，兩公司考慮使用新種電力，像是核能。此外，OpenAI希望不要用Nvidia的Infiniband線纜，而寧願使用乙太網路。</p> <p>事實上，為了減少對Nvidia的依賴，微軟已經著手開發自有晶片。<a href="https://www.ithome.com.tw/news/159884" target="_blank">微軟去年11月公布</a>了2款自有晶片設計，其中Azure Maia 100具有1050億電晶體，將用於AI執行，而Azure Cobalt CPU則為用於雲端的Arm架構處理器。</p> <p>Stargate超級電腦將供OpenAI訓練AI模型，可能是GPT-4的下二或三代。《<a href="https://www.businessinsider.com/openai-launch-better-gpt-5-chatbot-2024-3" target="_blank">Business Insider</a>》指出下一代的GPT-5將在今年夏天上線。</p> <p>微軟對此不置可否，只表示，該公司一直持續投入基礎架構創新以推進AI能力。</p> </div></div></div>
2024/4/1 12:42作者林妍溱https://www.ithome.com.tw/news/162048
OpenAI擴大測試語音合成AI模型，用15秒樣本即可模擬真人聲音
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI上周公布<a href="https://openai.com/blog/navigating-the-challenges-and-opportunities-of-synthetic-voices" target="_blank">語音生成AI模型Voice Engine</a>初步成果，號稱只要上傳15秒的人聲樣本，及輸入文字稿，就能產生極似原說話者聲音的自然語音。</p> <p>OpenAI於2022年開始開發Voice Engine模型。這個模型已用於其OpenAI的<a href="https://platform.openai.com/docs/guides/text-to-speech" target="_blank">語音合成（TTS）API</a>及ChatGPT去年秋天上線的<a href="https://openai.com/blog/chatgpt-can-now-see-hear-and-speak" target="_blank">Voice及Read Aloud功能</a>。但OpenAI並未大加宣傳，<a href="https://openai.com/blog/chatgpt-can-now-see-hear-and-speak" target="_blank">僅低調表示Spotify使用該模型支援語音翻譯功能</a>。</p> <p>OpenAI強調，Voice Engine模型為一個小模型，但只要提供它15秒的聲音範例，它就能生成和說話者極相似的流暢話語。</p> <p>去年OpenAI也讓一些非營利組織、醫療、教學單位使用Voice Engine試用並建立使用場景。上周OpenAI也公布部分應用場景。包括一家教學軟體公司以AI語音生成技術製成學童的有聲教材，另一家說故事平臺用它將一段文本翻譯成多國語言，且保留道地腔調。一個非洲非營利組織以Voice Engine製作AI互動工具教授當地婦女哺乳知識，一家語音通訊App開發商開發出可協助語言障礙人士溝通的說話App。此外，這個AI模型還能為因病說話不清的使用者重建其聲音。</p> <p>為了防止這類功能被濫用，測試單位必須遵循OpenAI的使用政策，不得未經同意或違法模仿個人或組織的聲音，也要求原說話者需被告知且提供明顯同意。他們也不允許開發人員讓個人用戶建立模仿自己的AI人聲。合作夥伴也須清楚告知受眾，這些聲音是AI生成的。最後，OpenAI也會實作安全措施，包括為這些聲音加入浮水印以便能判別並追蹤Voice Engine生成的聲音、或監控其使用。</p> <p>藉由擴大測試Voice Engine，OpenAI除了希望帶動AI語音應用開發，提升大眾對AI語音詐騙的警覺心、推進安全政策外，也鼓勵銀行等組織淘汰以語音為基礎的身分驗證方式。</p> <p>OpenAI這項新技術可能會讓另一些工作者，如配音員擔心失業。今年2月OpenAI公開的<a href="https://www.ithome.com.tw/news/161312" target="_blank">影片生成AI模型Sora</a>生成極高品質、具有多個角色、特定動作及具備精準主題細節及背景的複雜場景影片，已震撼影像工作者。</p> <p>在OpenAI之前，其他大廠也公布了類似的AI研發成果。微軟去年9月<a href="https://www.ithome.com.tw/news/158563" target="_blank">開源超強語音合成模型VALL-E X</a>，只要輸入3到10秒個人講話的錄音，模型就能逼真合成該聲音，用另一個語言說話。</p> <p><a href="https://www.ithome.com.tw/news/161313" target="_blank">Amazon 2月宣布</a>該公司歷來最大、高達10億參數的語音合成（text-to-speech，TTS）模型BASE TTS，號稱生成的語音自然度超過現有語音合成系統。</p> </div></div></div>
2024/4/1 13:01作者林妍溱https://www.ithome.com.tw/news/162049
微軟推出能防止提示注入、偵測幻覺的Azure AI安全工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了防止Azure AI服務及模型遭輸入惡意指令產出有害內容、洩露個資，<a href="https://azure.microsoft.com/en-us/blog/announcing-new-tools-in-azure-ai-to-help-you-build-more-secure-and-trustworthy-generative-ai-applications/" target="_blank">微軟宣布提供多項工具</a>，可偵測及防範提示注入攻擊、AI幻覺、AI模型濫用等問題，目前已提供部份功能的測試。</p> <p>隨著企業及消費者普及使用生成式AI，相關風險也隨之而來，包括提示注入（prompt injection）攻擊，或是濫用AI系統漏洞等，讓AI聊天機器人做出規範以外的行為，如洩露可辨識身份的個資（personally identifiable information，PII）或企業智財。為此微軟公布一系列新工具，包括提示防護罩（Prompt Shields）及AI模型幻覺偵測、系統範本、越獄評估工具和風險與安全監控工具，即將推向Azure AI Studio給開發商開發生成式AI App。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0331-Azure%20AI%20Studio-prompt%20shield-1.png" style="width: 600px;" /></p> <p>其中提示防護罩能即時偵測並阻斷基礎模型接收到惡意提示。提示防護罩是基於去年11月微軟推出的越獄風險偵測（jailbreak risk detection）擴充。<a href="https://techcommunity.microsoft.com/t5/ai-azure-ai-services-blog/announcing-new-ai-safety-amp-responsible-ai-features-in-azure/ba-p/3983686" target="_blank">微軟說明</a>，提示注入包含直接的越獄（jailbreaks）及間接攻擊，前者使用者為攻擊者本身，利用複雜指令如思維鏈（chain-of-thought）或要求角色扮演誘導AI助理產生惡意內容或洩露資訊。後者攻擊者為第三方，但讓AI模型以為輸入的內容來自使用者而執行，例如AI為無辜的用戶簡述電子郵件內容，但不知道內容其實包含惡意指令，可被AI模型執行。間接攻擊手法更隱晦、高明而難以察覺。最新工具強化輸入提示的偵測，防範對象由原本的直接攻擊再加入間接攻擊。「提示防護罩」不久後將整合到Azure AI Content Studio之中。</p> <p>微軟還宣布了其他改善生成式AI服務安全性的工具。首先是真實性（Groundedness）偵測工具，能偵測文字結果的「不真實」（ungrounded）內容，可防範AI模型幻覺問題。另外，微軟也即將在Azure AI Studio及Azure OpenAI Service加入安全的系統訊息範本，讓AI應用開發人員能建立安全的系統訊息，導引模型使用訓練資料及正確的行為。</p> </div></div></div>
2024/4/1 11:48作者林妍溱https://www.ithome.com.tw/news/162045
【資安週報】2024年3月25日到3月29日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期有多個已知漏洞出現首度遭利用的消息，其中1個是短短一週前才修補，就發現被利用於攻擊行動，因此特別受關注，那就是Fortinet端點管理伺服器FortiClient EMS的漏洞CVE-2023-48788。</p> <p>其他近期確認遭鎖定利用的已知漏洞，還包括：微軟SharePoint Server的漏洞（CVE-2023-24955），Ivanti EPM CSA的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44529">CVE-2021-44529</a>），以及門禁解決方案Nice Linear eMerge E3-Series OS的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-7256">CVE-2019-7256</a>）。後兩項本期資安日報尚未提及，一併補上。</p> <p>另補充<a href="http://www.ithome.com.tw/news/162040">周末一則最新消息是關於XZ Utils資料壓縮程式遭植入後門</a>，紅帽已指派漏洞CVE-2024-3094，由於此事件涉及SSHD（Secure Shell Daemon）供應鏈攻擊，正受廣泛關注。</p> <p>關於零時差漏洞攻擊的最新態勢，持續受大眾關注，隨著2023年過去，最近Google公布這方面的年度報告，我們認為，有3個現象值得大家關注：（一）針對第三方元件攻擊顯著增加；（二）針對企業裝置、資安產品攻擊，比往年增長近5成，（三）中國政府支持駭客組織發動的攻擊大增，去年利用了12個零時差漏洞發動攻擊。</p> <p>此外，關於上述提到中國駭客組織的危害，最近另一起資安新聞也提到這方面的狀況。最近美國方面有新的消息，該國司法部起訴7名參與APT31的中國公民，其財政部也宣布制裁武漢曉睿智科技（Wuhan XRZ），已確認這是一家幌子公司，背後是負責APT 31行動的中國湖北省國家安全局設立。在此同時，還有多國網路安全機構與執法單位，出面指控近年遭到中國政府支持駭客組織的攻擊，包括英國、芬蘭、紐西蘭與澳洲等。</p> <p>在最近的資安威脅態勢上，殭屍網路TheMoon的攻擊活動，是本星期的一大焦點事件。這是因為，雖然它的攻擊目標都是挾持生命週期終止（EOL）的家用及小型辦公室（SOHO）路由器、物聯網設備，但最近短短72小時內，竟有超過6千臺華碩路由器被攻佔。</p> <p>在其他威脅態勢方面，有勒索軟體與網釣工具的揭露，值得企業與資安研究人員重視，還有一些攻擊技術與資安風險的揭露，雖然存在於不同領域，但可能的危害情境貼近於生活日常，引發許多人的好奇與重視，我們整理如下：</p> <p>●勒索軟體Agenda的攻擊在去年底顯著增加，如今更是發現，攻擊活動中會利用嵌入勒索軟體檔案的PowerShell指令碼，對VMware ESXi、vCenter進行橫向感染，竄改ESXi主機root密碼。</p> <p>●網路犯罪領域有新的攻擊工具出現，被不同資安業者揭露，例如，半年多前現身的Tycoon 2FA的AiTM網釣攻擊套件，最近有被廣泛使用的情形；還有網路釣魚套件工具包Darcula，是針對手機用戶而來。</p> <p>●飯店業者注意！全球數百萬間的飯店房門能被一張複製的偽造鑰匙卡破解，有資安研究人員發現，經常被應用在飯店與住宅大樓Saflok系統的RFID電子鎖產品有漏洞（Unsaflok），由於門鎖更新或更換耗時，五個月來進度僅完成36%。</p> <p>●Google搜尋引擎近期加入SGE功能，將生成式AI融入搜尋結果，但有人發現給出的結果中，會推薦垃圾網站及惡意網站，推測可能是SEO中毒攻擊造成。</p> <p>●資安部落格<a href="https://krebsonsecurity.com/2024/03/recent-mfa-bombing-attacks-targeting-apple-users/">KrebsonSecurity指出最近出現針對蘋果用戶的「MFA轟炸」攻擊</a>，這種釣魚攻擊，涉及一個看似蘋果密碼重置功能的漏洞。雖然近期資安日報尚未報導這方面消息，但已引發不小的討論與關注。</p> <p>另外，防禦態勢上，這星期有兩項新進展，成為資安圈與開發圈的焦點。例如，上星期Pwn2Own漏洞挖掘大賽舉行，參賽的資安研究人員在8個競賽類別總計找出29個零時差漏洞，除了研究人員共獲得113萬美元的獎勵，提供產品的廠商後續也將針對這些漏洞予以修補，目前Firefox、Google以針對各自不同的2個漏洞進行修補。</p> <p>另一是美國CISA發布第4則Secure by Design Alert，強調SQL注入漏洞不該一再發生，他們並以去年駭客利用MOVEit Transfer漏洞大舉入侵為例，呼籲開發人員、軟體製造商在出廠前務必審查程式碼是否含有SQL注入漏洞。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161940"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月25日】俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader</span></strong></a></h3> <p style="margin: 0px;">近期俄羅斯駭客APT29的動作頻頻，多國政府與資安專家接連對其攻擊行動提出警告，呼籲各界強化防禦措施，以防對方從事網路間諜活動、竊取組織內部機密的情況。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">但近期有一起攻擊衝著德國政黨而來，揭露此事的資安業者Mandiant認為對方別有目的，很有可能是為了影響該國政治情勢。</p> <p><a href="https://www.ithome.com.tw/news/161956"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月26日】Google搜尋提供的AI建議竟列出詐騙網站和惡意網站</span></strong></a></p> <p>去年5月Google在I/O大會宣布啟動搜尋引擎的<a href="https://blog.google/products/search/generative-ai-search/">生成式搜尋體驗（Search Generative Experience，SGE）專案</a>，今年初開放部分用戶使用，可在完成搜尋後一併得到生成式AI的建議，然而，有專家發現，SGE竟會提供垃圾網站及惡意網站作為參考資料。</p> <p>對此，有研究人員進行調查，並指出可能是遭遇SEO中毒所致。</p> <h3><a href="https://www.ithome.com.tw/news/162004"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</span></strong></a></h3> <p style="margin: 0px;">為了突破雙因素驗證（2FA）的防護機制，駭客採用中間人攻擊（AiTM）網釣攻擊套件的情況相當氾濫，最近出現新型態的工具包Tycoon 2FA，在短短半年內，已有駭客採行而濫用超過1千個網域，引起研究人員關注。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">值得留意的是，這個套件採用多階段攻擊流程，其產生的釣魚郵件不僅具有URL，也有出現QR Code的情況，這代表行動裝置用戶也可能是對方攻擊的目標。</p> <h3><a href="https://www.ithome.com.tw/news/162015"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</span></strong></a></h3> <p style="margin: 0px;">駭客鎖定路由器、物聯網裝置等小型辦公室（SOHO）及家用網路設備發動攻擊，控制後將其組成殭屍網路，已有多起攻擊行動出現，但大多還是針對有受到支援的設備而來，如今有駭客專門針對已不再受到廠商支援的設備下手，暗中從事攻擊行動長達10年，直到最近才被發現。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">值得留意的是，這些駭客挾持設備後，專門提供網路罪犯代理伺服器服務，甚至有其他殭屍網路的經營者也是他們的客戶。</p> <h3><a href="https://www.ithome.com.tw/news/162031"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月29日】研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula</span></strong></a></h3> <p style="margin: 0px;">近期攻擊者大肆利用網路釣魚攻擊工具套件（Phishing Kit）的情況浮上檯面，繼本週有研究人員揭露專門挾持微軟365、Google帳號的套件Tycoon 2FA，鎖定行動裝置用戶的作案工具也相當值得留意。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">有資安業者揭露名為Darcula的網釣攻擊套件，並指出與其他同樣針對行動裝置而來的工具最大的不同，就是採用全程加密的通訊方式，向攻擊目標傳送誘騙內容。</p> </div></div></div>
2024/4/1 10:13作者羅正漢https://www.ithome.com.tw/news/162041
使用SSHD連接到系統的用戶當心！因為駭客供應鏈攻擊鎖定XZ Utils庫植入隱密後門，多個Linux發行版受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員Andres Freund在<a href="https://www.openwall.com/lists/oss-security/2024/03/29/4">Openwall公布</a>一起涉及SSH伺服器的供應鏈攻擊狀況，並指出問題出在XZ Utils資料壓縮程式庫被植入後門，另也說明<a href="https://access.redhat.com/security/cve/CVE-2024-3094#cve-faq">Red Hat已將此漏洞指派為CVE-2024-3094</a>，且給出CVSS v3風險層級滿分10分。</p> <p>此事件影響廣泛，Andres Freund表示，他是在調查SSH登入變慢相關問題時，最初以為發現debian裡面的套件包被入侵，但事實上是來自上游的問題，XZ程式庫與XZ的tarball檔案被植入後門，也就是軟體供應鏈攻擊。這也再次顯現開源軟體供應鏈安全的重要性。</p> <p>關於這個後門的影響，在<a href="https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users">Red Hat發布的緊急安全通告</a>中也有說明，惡意程式碼修改了XZ Utils套件中名為liblzma部分程式碼的功能，這也導致每一軟體連結到XZ Utils，並允許變更與程式庫一起使用的資料，都會受到影響。而Freund所觀察到的例子，在某些特定條件下，這個後門可讓攻擊者繞過SSHD（Secure Shell Daemon）的身分認證機制，進而針對受影響的系統做到未經授權的存取。</p> <p>至於有哪些版本受影響，以XZ Utils資料壓縮程式庫而言，Andres Freund指出受影響的版本是XZ Utils的5.6.0和5.6.1；以其他使用XZ Utils的軟體系統而言，目前已確認多個多個Linux發行版本受影響，包括：Fedora Rawhide、Fedora 41、Kali Linux、openSUSE Tumbleweed與openSUSE MicroOS，以及部分Debian版本。</p> <p><a href="https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=11015">美國CISA也已經對此提出警告</a>，並建議建議開發人員與使用者可先將XZ Utils降級、恢復到未被入侵的版本，如XZ Utils 5.4.6穩定版。同時用戶也該進行事件回應、清查入侵狀況，以確定是否已經受到後門的影響。</p> </div></div></div>
2024/3/30 22:23作者羅正漢https://www.ithome.com.tw/news/162040
Nvidia在Llama 2 70B與Stable Diffusion XL模型基準測試皆拔得頭籌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MLCommons發布了<a href="https://mlcommons.org/2024/03/mlperf-inference-v4/" target="_blank">MLPerf Inference v4基準測試套件的最新結果</a>，其中資料中心分類新增了文生圖模型Stable Diffusion XL和開源語言模型Llama 2 70B，在這兩個新模型的效能表現上，Nvidia系統皆位居第一。而邊緣系統新增的Stable Diffusion XL模型測試，則由Wiwynn提交的系統在效能上獲得領先。</p> <p>MLPerf Inference基準測試套件涵蓋資料中心和邊緣系統，目的是要衡量硬體系統，在各種場景中執行人工智慧與機器學習模型的速度。MLCommons由專門的工作小組，評估當前階段生成式人工智慧的發展，決定納入基準測試的模型。</p> <p>在考量模型授權、易用性、部署和決策的準確性，工作小組決定在Inference 4.0套件中加入兩個新模型，一個是具有700億參數的Llama 2 70B來代表大型模型，另一個則選擇用來代表文生圖生成式人工智慧模型的Stable Diffusion XL。</p> <p>Llama 2 70B相比MLPerf Inference v3.1所納入的GPT-J模型大一個量級，結果也更加準確，工作小組解釋，之所以需要加入一個像是Llama 2 70B這樣的大型語言模型，是因為與較小的語言模型相比起來，執行Llama 2 70B需要不一樣的等級的硬體，而這便成為高階系統一個良好的基準。</p> <p>而之所以工作小組還選擇Stable Diffusion XL，則是因為其擁有26億參數，透過生成大量圖像，基準測試能夠計算延遲和吞吐量等指標，了解系統整體效能。目前MLPerf Inference v4.0中已經有三分之一的基準測試，是針對生成式人工智慧工作負載，包括了小型、大型語言模型與文生圖生成器，以確保MLPerf Inference基準測試可以跟上最先進的技術。</p> <p>共有23個組織提交MLPerf Inference 4.0測試結果，包括ASUSTeK、Azure、Google、Intel、Juniper Networks、Qualcomm、Red Hat、Supermicro與Wiwynn等公司，MLCommons共收到8,500個效能結果以及900個功耗測試結果。</p> <p>MLPerf Inference 4.0資料中心類別中，Nvidia的系統在新加入的兩個模型測試Llama 2 70B與Stable Diffusion XL，皆拿到了效能表現第一，而在邊緣環境的類別，則是由Wiwynn所提交，使用兩個Nvidia L40S GPU所組成的系統，獲得Stable Diffusion XL模型效能表現第一。</p> </div></div></div>
2024/3/29 19:49作者李建興https://www.ithome.com.tw/news/162037
美國要求每個聯邦機構設立AI長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/03/28/fact-sheet-vice-president-harris-announces-omb-policy-to-advance-governance-innovation-and-risk-management-in-federal-agencies-use-of-artificial-intelligence/" target="_blank">美國行政管理和預算局（Office of Management and Budget，OMB）周四（3/28）發布</a>第一個橫跨所有美國政府機構的人工智慧（AI）政策，在減輕AI風險的同時也利用AI優勢，同時實現美國總統拜登（Joe Biden）去年10月所<a href="https://www.ithome.com.tw/news/159572" target="_blank">簽署的首個AI行政命令</a>。OMB所揭露的其中一項政策，便是要求每一個聯邦機構都必須設立負責主導與執行AI政策的AI長（Chief AI Officer，CAIO）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-biden-ai-excutive%20order-960.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美國白宮</span></span></p> <p>本周OMB的新政策主要是依據拜登的行政命令所制定，包括解決使用AI所帶來的風險，擴大使用AI的透明度，推動負責任的AI創新，發展AI人力，以及強化AI的治理，其中，在強化治理上即要求每個聯邦機構都必須設立AI長，以主導及監督機構對AI的使用。</p> <p>根據<a href="https://www.whitehouse.gov/wp-content/uploads/2024/03/M-24-10-Advancing-Governance-Innovation-and-Risk-Management-for-Agency-Use-of-Artificial-Intelligence.pdf" target="_blank">OMB所頒布的完整政策</a>，各個聯邦機構必須在60天內指定AI長，也可指定既有的官員擔任，理想人選包括資訊長、資料長、技術長或其他具備類似能力的對象。</p> <p>這些CAIO的職責主要是與其它相關機構及官員協調對AI的使用，推動AI創新，管理AI風險。具體任務包括作為機構的AI高級顧問，建立必要的AI治理與監督流程，掌握機構對AI的使用，參與機構的AI政策制定，辨識哪些任務可以採用AI，移除使用AI的門檻，監督AI使用是否合乎規定，以及進行機構內AI應用的風險評估等。</p> <p>總之，OMB希望藉由每一個聯邦機構內的CAIO來負責推動及履行其AI政策。此外，美國政府也承諾會在今年夏天聘請100名AI專家，以促進AI的可靠性與安全使用。</p> </div></div></div>
2024/3/29 17:20作者陳曉莉https://www.ithome.com.tw/news/162036
零售IT雙周報第31期：自助結帳退燒？2大美國零售商縮減自助結帳機使用的理由
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0317~0330)</strong></p> <p>疫情中，無接觸結帳成為零售業熱門議題，帶動自助結帳機市場快速成長。不過，到了後疫情時代，消費者偏好開始改變，許多自助結帳的問題也開始浮現，使不少零售業者逐漸減少對自助結帳的依賴。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#自助結帳</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#財貨損失</span></span><br /> 省了人事虧了商品！美國連鎖五元店Five Below將降低自助結帳比例以降低財貨損失</strong></p> <p>分店超過1,400家的美國連鎖五元店Five Below，近年為了降低店員人事成本，大量引進自助結帳機。不過，<a href="https://www.fool.com/earnings/call-transcripts/2024/03/20/five-below-five-q4-2023-earnings-call-transcript/">最近法說會中，Five Below</a> CEO Joel Anderson宣布將逐漸減少店內自助結帳機，來防止店內商品損失。商品損失原因不只有遭外人竊盜，還有消費者漏刷誤刷、商品遺失、店員竊盜等。</p> <p>Joel Anderson說明，他們半年來測試了許多防止商品損失的措施，包括部署更多警衛等，但更有效的做法，還是減少自助結帳機跟部署更多店員。現在，Five Below不再有無人店，且高商品損失率門市會改回以真人結帳為主要結帳管道。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#自助結帳</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#結帳效率</span></span><br /> Target靠限制自助結帳商品數量，提升了2倍結帳效率</strong></p> <p>無獨有偶的，美國生鮮百貨巨頭<a href="https://corporate.target.com/press/fact-sheet/2024/03/checkout-improvements">Target也決定調整自助結帳政策</a>。他們在部落格中寫道，疫情期間，消費者非常愛用自助結帳機，是因為其無接觸特性。現環境下，消費者更注重簡單和便利，因此零售業者該優先考量如何快速消化結帳隊伍。</p> <p>Target採取的策略是，將自助結帳機作為快速結帳線。根據半年A/B測試結果，他們發現，當自助結帳機只接受10件或以下商品，自助結帳動線便能消化2倍顧客數量。為了增加門市結帳效率，他們將全面採用這個商品數限制政策，同時加開更多人工結帳動線。</p> <p>許多零售業者乘著自助結帳熱潮，投資自助結帳機來降低人事成本。Target則從疏通結帳人潮出發，反而投入更多店員於結帳，並將自助結帳機定位為分流工具，而非人工結帳的替代品。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#物流規畫工具</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#路線規畫</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#貨車空間優化</span></span><br /> Walmart將自家物流規畫系統作為SaaS商品販賣</strong></p> <p><a href="http://https://corporate.walmart.com/news/2024/03/14/walmart-commerce-technologies-launches-ai-powered-logistics-product">零售龍頭Walmart</a>將把自家物流規畫系統<a href="https://commerce.walmart.com/content/walmart-commerce-tech/en_us/our-solutions/route-optimization.html">Route Optimization</a>作為SaaS商品販賣給其他零售商。功能包含送貨路線及回頭車路線規畫、貨車裝載優化、物流阻礙應對等。</p> <p>送貨路線及回頭車路線規畫功能，不只會根據時間及地點，還會考慮每一站規定到貨時間。貨車裝載優化功能會根據空間利用率及生鮮商品溫度控制需求，來分配貨車載貨空間。物流阻礙應對功能會因應天氣、交通等情況，快速調整物流規畫。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#開店平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#直播電商</span></span><br /> Momo推出RMN、開店平臺及直播節目製作工具</strong></p> <p>Momo去年3月透露進軍廣告業務的意圖後，於同年第4季上線RMN服務Momo Ads。這是個一站式自助投廣平臺，供應商要使用廣告服務，不需事先串接任何系統。廣告採取即時競價機制（RTB，Real-time Bidding），由Momo打造的推薦演算法和CTR/CVR預估模型，來進行精準行銷及行銷成效估算。</p> <p>除了推出投廣平臺，Momo還推出了開店平臺及直播用App，要推動旗下B2B2C電商及直播電商。開店平臺目前採邀請進駐制，希望招募商品品項少量多樣的店家，販售傳統B2C電商不容易找到的商品。直播App則是讓平臺上商家能自行製作簡單直播電商節目，不再只能上Momo官方頻道直播。（<a href="http://https://www.ithome.com.tw/news/161959">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#降低RMN技術門檻</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#第一手零售數據</span></span><br /> 不用自行打造RMN！Google將開放零售商用第一手數據經營搜尋廣告業務</strong></p> <p>即使手握大量第一手顧客及交易數據，零售業者要用這些數據來發展RMN等數位行銷業務，難免需要投入大量開發人力及時間成本，形成技術及資本門檻。不過，<a href="https://blog.google/products/marketingplatform/360/empowering-the-retail-media-ecosystem-with-search-ads-360/">Google搜尋廣告服務Search Ads 360近期開放零售業者用第一手數據在該平臺上經營廣告業務，</a>有望打破現狀。</p> <p>這個新模式的運作方法是，零售業者可以選擇開放特定廣告主使用自家數據來支援精準行銷，並管控數據共享內容，例如只給合作品牌相關的行銷數據及銷售數據。不過，若廣告主同時獲得多家零售業者授權使用數據，廣告主便能整合不同家零售業者數據來投放廣告。這種模式不只能降低零售業者變現數據為廣告收入的難度，還有助於他們拓展自家RMN服務範疇，甚至打破RMN與其他數位行銷通路的隔閡。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#汽車經銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#數位素材製作</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#數位內容管理</span></span><br /> 汽車經銷商Vospers導入AI圖像素材處理工具，降低線上賞車內容的製作門檻</strong></p> <p>拍出清晰、有質感的汽車照片，來強化線上賞車體驗，是汽車經銷商一大課題。<a href="https://www.auto-imaging.com/articles/vospers-introduces-new-digital-imaging-tech/">英國汽車經銷商Vospers導入AI圖像素材處理工具</a>，以加速數位素材製作，並強化線上賞車體驗。門市銷售員用手機拍攝汽車外觀時，此工具會根據汽車廠牌規格來提示銷售員拍攝角度，並快速檢查照片品質。此工具接著會自動去背並加入統一照片背景，還能根據汽車規格及照片，生成介紹影片。</p> <p>上傳數位素材到賞車網站後，此工具還有簡單的內容管理系統（CMS）功能，方便總部統一管理這些素材。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#雲端技術</span></span><br /> 日本全家揭露自家用雲端技術支援數位會員經營的做法</strong></p> <p>日本全家便利商店近日揭露自家用雲端技術支援會員經營的做法。日本全家經營會員的核心工具是支付App FamiPay，下載量超過1900萬次，有個人化行銷、數位內容呈現、集點等功能。此App後臺串接了全家以外許多金融、零售及其他行銷生態系的系統，搭配日本全家每個月同時進行60個以上行銷活動，需要處理大量且複雜的數據。</p> <p>不只平時數據流量大，早餐與中餐時段，數據流量還會再增加。因應這種周期性波動，他們將App上不同的服務及資料庫建置於Amazon EC2、ECS、Aurora、RDS等環境，以根據交易量彈性調整IT資源使用量。並且，啟用公有雲上的災難恢復和資料備份功能，以在意外發生時，能最小化服務中斷時間。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span></p> <p>1. 開店平臺Shopline新增<a href="https://blog.shopline.tw/photoroom-shopline-ai/">AI圖像編輯工具</a>及<a href="https://blog.shopline.tw/shopline-wavenet-cdp/">CDP功能</a></p> <p>2. WSJ報導，<a href="http://https://www.wsj.com/business/shein-to-market-its-unique-supply-chain-technology-to-global-brands-32fa0ed8">快時尚電商Shein也有意將自家供應鏈管理技術商品化</a></p> <p>3. <a href="https://www.businesswire.com/news/home/20240314778881/en/Walmart-and-unspun-Collaborate-on-3D-Fabric-Weaving-Technology-Aiming-To-Reduce-Apparel-Manufacturing-Waste-and-Drive-US-Based-Manufacturing">Walmart開始嘗試運用3D編織技術來生產自家旗下衣著產品線</a>，以期降低碳足跡及布料浪費</p> <p>資料來源：iThome整理，2023年3月</p> <p>責任編輯：郭又華</p> <p> </p> </div></div></div>
2024/3/29 17:27作者郭又華https://www.ithome.com.tw/news/162035
中華電信、遠傳將在6/30前關閉3G網路，手機不支援VoLTE將無法通話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內3G網路關閉進入百日倒數!中華電信、遠傳電信相繼宣布獲NCC同意，將在6月30日前關閉3G網路，台灣大哥大也可望跟進，現有用戶如果手機沒有支援VoLTE將無法通話，為保持通話，用戶應儘快檢查手機是否支援VoLTE。</p> <p>中華電信表示，3G網路在國內已使用近20年，關閉3G網路後，未來釋出頻率、基地臺站點資源將轉投入5G，以提升5G服務品質。3G網路關閉後，4G與5G的語音通話將改為VoLTE（Voice over LTE），即4G的網路語音通話服務，中華已在2017年開始提供VoLTE，2018年1月起銷售的新手機支援VoLTE，2022年12月開始旗下用戶免費提供VoLTE通話服務。</p> <p>中華電信用戶如果想確認現在使用的手機是否已使用VoLTE通話，以三星手機為例，如果已使用VoLTE，手機右上角顯示VoLTE字樣。中華電信官網也提供用戶查詢使用的SIM卡及手機是否支援VoLTE。</p> <p>另一家電信業者在6月30日前關閉3G網路後，也將資源轉投入4G與5G服務，由於仍有少數用戶使用的手機不支援VoLTE，通話採用3G行動語音通話，遠傳電信也針對低資費用戶、銀髮族祭出月租費149元，來吸引用戶升級新手機，以支援VoLTE網路語音通話。</p> <p>遠傳電信指出，目前在國際上，隨著4G、5G服務的普及，3G逐漸功成身退，美國已全部換為VoLTE，日本的SoftBank也將在4/15關閉3G網路，未來轉為VoLTE網路語音通話之後，4G用戶不再像過去語音通話需CSFB，以3G網路通話，導致同時間4G上網變慢，VoLTE讓4G用戶語音通話的同時，維持4G網路瀏覽的品質。VoLTE也享有較好的語音通話品質，聲音較為清晰，並且接通電話縮短至最快只要1秒。</p> <p>台灣大哥大截稿為止，尚未發布訊息，但根據NCC先前對外宣布，國內3家電信都會在第2季之前關閉3G網路，中華電信、遠傳電信先後宣布3G網路將在6月30日前退場之後，台灣大哥大相信也會在相近時間點關閉3G網路。</p> </div></div></div>
2024/3/29 15:33作者蘇文彬https://www.ithome.com.tw/news/162033
加密貨幣交易平臺FTX創辦人SBF因詐欺被判刑25年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，美國聯邦法官Lewis Kaplan周四（3/28）裁定，加密貨幣交易平臺FTX創辦人暨執行長Sam Bankman-Fried（SBF）因詐欺等7項罪名，應入獄服刑25年，同時也要求SBF必須繳納110億美元的罰款。</p> <p>現年32歲的SBF是在2019年與Gary Wang共同創立了FTX，並擔任FTX執行長，擁有一頭不羈捲髮的SBF在2021年便登上了富比士30位30歲以下精英榜（Forbes 30 Under 30），FTX在2022年還創下了320億美元的市值，並推升SBF成為全美前五十大最富有的人之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-FTX-SBF-%E7%BF%BB%E6%94%9D%E8%87%AA%E7%B6%B2%E8%B7%AF.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">翻攝自網路</span></span></p> <p>然而，快速崛起的FTX與SBF也迅速殞落，加密貨幣媒體<a href="https://www.coindesk.com/business/2022/11/02/divisions-in-sam-bankman-frieds-crypto-empire-blur-on-his-trading-titan-alamedas-balance-sheet/" target="_blank">《CoinDesk》在2022年11月2日踢爆</a>，FTX與同樣由SBF創辦的做市商Alameda Research之間的關係過於緊密，並有不正常的資金流動關係，消息曝光後FTX即<a href="https://www.ithome.com.tw/news/154101" target="_blank">出現擠兌現象</a>，FTX所發行的加密貨幣FTT價格也開始下滑，一周後SBF即出面<a href="https://www.ithome.com.tw/news/154152" target="_blank">坦承自己搞砸了</a>，十天後（11/11）FTX便<a href="https://www.ithome.com.tw/news/154165" target="_blank">聲請破產保護</a>。</p> <p>在美國政府的要求下，巴哈馬警方在2022年的12月12日逮捕了已把FTX總部搬到當地的SBF，隔天美國即正式<a href="https://www.ithome.com.tw/news/154700" target="_blank">控告SBF</a>。去年11月，<a href="https://www.justice.gov/usao-sdny/pr/statement-us-attorney-damian-williams-conviction-samuel-bankman-fried" target="_blank">SBF被判處了7項罪名</a>，主要為各種詐欺及洗錢，最高可判處110年刑期。</p> <p>在FTX創立3年多以來，總計投資或成立了逾130家關係企業，SBF不僅擅自將FTX客戶的資金轉移到Alameda Research，還利用Alameda Research的名義展開風險投資、購買房地產及進行政治捐款。在FTX申請破產保護之後接手執行長的John Ray指出，在SBF帶領下的FTX於2021年至2022年間進行一場消費狂潮，大撒50億美元的資金投資與購買了許多不值錢的企業，而且FTX與Alameda Research之間的資產混淆不清，還借給內部人員逾10億美元。</p> <p>Ray更說這輩子從未看過有如FTX般混亂的企業內控，FTX用來儲存客戶資產的系統與金鑰缺乏安全控制，該平臺亦無財務或風險管理人員，整個集團亦缺乏獨立治理能力。</p> <p><a href="https://storage.courtlistener.com/recap/gov.uscourts.nysd.590940/gov.uscourts.nysd.590940.410.0_2.pdf" target="_blank">美國檢察官認為</a>SBF至少讓投資人損失超過100億美元，要求法官判處40~50年的刑期。而根據<a href="https://www.coindesk.com/policy/2024/03/28/sam-bankman-fried-ftx-sentencing/" target="_blank">《CoinDesk》</a>的報導，法官Kaplan同意SBF對債權人造成了巨大傷害，卻在作證期間明顯缺乏悔意，這主要是因為SBF的律師群的辯解策略為將他描述成一個書呆子，是根據數學而非惡意作出各種決定。</p> </div></div></div>
2024/3/29 16:14作者陳曉莉https://www.ithome.com.tw/news/162034
【資安日報】3月29日，研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期攻擊者大肆利用網路釣魚攻擊工具套件（Phishing Kit）的情況浮上檯面，繼本週有研究人員揭露專門挾持微軟365、Google帳號的套件Tycoon 2FA，鎖定行動裝置用戶的作案工具也相當值得留意。</p> <p>有資安業者揭露名為Darcula的網釣攻擊套件，並指出與其他同樣針對行動裝置而來的工具最大的不同，就是採用全程加密的通訊方式，向攻擊目標傳送誘騙內容。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.netcraft.com/blog/darcula-smishing-attacks-target-usps-and-global-postal-services/"><strong style="font-size: 22px;">iPhone用戶遭到網釣攻擊套件Darcula鎖定，藉由iMessage散布釣魚簡訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Darcula-5-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Darcula-5-2.png" style="width: 300px; float: right;" /></a>資安業者Netcraft揭露針對手機用戶而來的網路釣魚套件工具包Darcula，開發這項產品的人以服務租用型式（Phishing-as-a-Service，PhaaS）供應市場，此攻擊套件濫用2萬個網域、假冒各式知名品牌、針對超過100國家的用戶而來。</p> <p>這個網釣套件在去年夏天首度被發現，但研究人員指出，駭客利用該工具的情況越來越氾濫，他們解析套件的內容，指出與其他同類型攻擊工具相當不同，Darcula採用JavaScript、React、Docker、Harbor等技術，使得開發者能持續加入新功能，用戶無須重新部署工具包就能導入。買家一旦取得工具包，可指定範本執行安裝指令碼，將採用React開發的釣魚網站部署到Docker環境，並透過Harbor管理Docker映像檔。提供服務的開發者通常透過.top、.com頂級網域名稱（TLD）代管買家所需網域，其中近三分之一是採用Cloudflare的服務。</p> <p>別於其他針對手機的網釣套件採用SMS簡訊傳遞誘騙內容，Darcula則是透過iMessage攻擊iPhone用戶，而對於安卓手機，對方則是透過進階通訊解決方案（Rich Communication Services，RCS）來進行，原因是這兩種管道都採用全程加密，使得資安系統難以解析、過濾。</p> <p><a href="https://securelist.com/dinodasrat-linux-implant/112284/"><strong style="font-size: 22px;">木馬程式DinodasRAT鎖定Linux主機而來，攻擊範圍涵蓋臺灣、中國、土耳其</strong></a></p> <p>去年10月資安業者ESET揭露Operation Jacana攻擊行動，當中提及駭客使用名為DinodasRAT（亦稱XDealer）的惡意程式攻擊蓋亞那政府，但如今有研究人員發現，駭客不只針對Windows電腦，也對於Linux作業系統打造對應的惡意程式。</p> <p>資安業者卡巴斯基指出，他們在ESET公布上述事故後，發現Linux版本的DinodasRAT，該惡意程式主要針對以Red Hat為基礎的Linux作業系統，以及Ubuntu而來，一旦啟動將先檢查受害環境，然後藉由呼叫daemon功能函數在後臺運作、利用SystemV或SystemD執行指令碼，以及透過主要處理程序的ID（PPID）重新啟動惡意程式的方式，以便持續於受害電腦上運作。</p> <p>研究人員指出，對方疑似在2021年打造出第1個版本Linux惡意程式，並在次年用於攻擊行動，根據遙測資料，臺灣、中國、土耳其、烏茲別克是受害最嚴重的國家。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-warns-of-password-spraying-attacks-targeting-vpn-services/"><strong style="font-size: 22px;">思科針對啟用VPN功能的防火牆用戶提出警告，疑與殭屍網路攻擊有關</strong></a></p> <p></p> <p>3月26日<a href="https://www.cisco.com/c/en/us/support/docs/security/secure-firewall-threat-defense/221806-password-spray-attacks-impacting-custome.html">思科發布資安公告</a>，指出他們得知啟用遠端存取VPN服務（RAVPN）的防火牆遭遇密碼潑灑（password spray）攻擊的情況，對此該公司提供入侵指標（IoC）及防禦建議。</p> <p>研究人員Aaron Martin認為，上述公告很可能與<a href="https://annoyed.engineer/2024/03/23/the-brutus-botnet/">名為Brutus的殭屍網路攻擊行動</a>有關，他與另一名研究員Chris Grube在3月15日發現該殭屍網路，他們找到超過2萬個與之有關的IP位址，對方針對Fortinet、Palo Alto Networks、Sonicwall、思科等多個廠牌的SSL VPN系統發動攻擊。</p> <p>特別的是，為了迴避偵測，此殭屍網路發動攻擊時，每嘗試6次登入就會更換1組IP位址。而對於攻擊者的身分，研究人員表示仍不清楚，但他們發現其中2個IP位址曾被俄羅斯駭客組織APT29利用。</p> <p><a href="https://www.bleepingcomputer.com/news/security/pypi-suspends-new-user-registration-to-block-malware-campaign/"><strong style="font-size: 22px;">為因應惡意軟體攻擊，PyPI套件庫再傳暫停用戶註冊、成立新專案</strong></a></p> <p></p> <p>3月28日PyPI維護團隊表示，<a href="https://status.python.org/incidents/dc9zsqzrs0bv">他們暫停成立新專案、新用戶註冊</a>，原因是遭遇了惡意軟體上傳攻擊行動。</p> <p>針對這起事故，<a href="https://checkmarx.com/blog/pypi-is-under-attack-project-creation-and-user-registration-suspended/">資安業者Checkmarx指出</a>，他們看到攻擊者在前一天就上傳365個惡意套件，這些套件的名稱偽裝成合法專案，其共通點是在安裝組態設定檔setup.py裡含有惡意程式碼，一旦開發者安裝惡意套件，電腦就會從遠端伺服器取得額外酬載，最終開發者的電腦會被植入竊資軟體。為了迴避偵測，對方利用名為Fernet的模組對惡意程式碼進行加密處理，遠端伺服器的URL也是動態產生。</p> <p><a href="https://blog.checkpoint.com/securing-the-cloud/pypi-inundated-by-malicious-typosquatting-campaign/">資安業者Check Point也對此公布他們的觀察</a>，指出駭客前後分兩個階段，總共上傳超過500個惡意套件，值得留意的是，每個開發者帳號只會上傳1個套件，因此他們推測，對方應是透過自動化的方式從事攻擊。而這已非PyPI因類似的資安事故採取類似行動，去年5月20日，他們就因遭遇大量惡意惡意軟體上傳而暫停用戶註冊、建立新專案。</p> <p><a href="https://finance.ettoday.net/news/2708466"><strong style="font-size: 22px;">華南永昌證券員工透過Line洩露客戶下單資料，遭停職1個月，公司被罰30萬</strong></a></p> <p></p> <p>3月27日金管會證期局發布公告，指出證券商業同業公會於去年12月5日對華南永昌證券進行專案查核，發現海外商品部王姓業務人員將客戶委託下單的資料，分享至公司Line群組，他們依證券交易法第56條，停止該員1個月業務予以處分。</p> <p>而對於公司的部分，金管會認為華南永昌證券未善盡監督管理責任，以及未落實執行內部控制制度，依照證券交易法第178條之1第1項第4款規定，處30萬元罰鍰。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://labs.guard.io/cve-2024-21388-microsoft-edges-marketing-api-exploited-for-covert-extension-installation-879fe5ad35ca"><strong style="font-size: 22px;">微軟Edge瀏覽器存在漏洞，攻擊者有可能暗中植入惡意延伸套件</strong></a></p> <p>資安業者Guardio揭露去年11月向微軟通報的漏洞CVE-2024-21388，此漏洞存在於Edge瀏覽器，攻擊者可針對支援市場行銷活動的API進行濫用，在使用者不知情的情況下部署具有多種權限的擴充功能。</p> <p>對此，微軟獲報後於今年1月發布121.0.2277.83版予以修補，並指出此弱點若遭利用，對方可以取得安裝擴充套件的相關權限，但攻擊者必須在行動前採取額外的準備工作。</p> <p>Guardio的研究人員指出，根據他們的調查，攻擊者只要能在bing[.]com或microsoft[.]com執行JavaScript，就能透過上述漏洞安裝已上架於Edge擴充套件市集的任意套件，過程完全無需使用者互動。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cna.com.tw/news/ait/202403280363.aspx"><strong style="font-size: 22px;">台灣資安大聯盟拜會立院黨團交換意見，藍綠白三黨團皆表示支持</strong></a></p> <p></p> <p>網路威脅日益嚴峻，由國內多個資安領域民間團體發起的「台灣資安大聯盟」，3月28日拜會立法院朝野黨團，就資安法制完善、資源分配及人才培育等課題，與朝野立委交換意見。</p> <p>民進黨立法院黨團總召柯建銘表示，對於資安相關管理法修法及良善政策，歡迎聯盟就資安法規修訂及政策提出具體可行作法。國民黨立委林沛祥指出，臺灣現有的資安法規不夠完整，需要業界建言並提出方向。民眾黨立委林國成認為，希望該聯盟就預算分配、教育培育等面向，提出具體建議。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.cisa.gov/news-events/alerts/2024/03/26/cisa-adds-one-known-exploited-vulnerability-catalog"><span style="font-size: 20px;">CISA警告SharePoint的程式碼注入漏洞CVE-2023-24955已被用於攻擊行動</span></a></strong></p> <p></p> <p><a href="https://www.securityweek.com/splunk-patches-vulnerabilities-in-enterprise-product/"><strong style="font-size: 20px;">Splunk修補旗下產品的高風險漏洞</strong></a></p> <p><a href="https://www.darkreading.com/cyberattacks-data-breaches/vietnam-securities-broker-suffered-cyberattack-that-suspended-trading"><strong style="font-size: 20px;">越南證券商遭受網路攻擊，被迫暫停交易</strong></a></p> <p></p> <p><a href="https://blog.eclecticiq.com/operation-flightnight-indian-government-entities-and-energy-sector-targeted-by-cyber-espionage-campaign"><strong><span style="font-size: 20px;">竊資軟體HackBrowersData鎖定印度政府機關、能源業者而來</span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/inc-ransom-threatens-to-leak-3tb-of-nhs-scotland-stolen-data/"><strong><span style="font-size: 20px;">勒索軟體駭客組織INC Ransom聲稱入侵蘇格蘭國家醫療服務體系，竊得3 TB資料</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162015"><strong>【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162004"><strong>【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161956"><strong>【3月26日】Google搜尋提供的AI建議竟列出詐騙網站和惡意網站</strong></a></p> </div></div></div>
2024/3/29 11:59作者周峻佑https://www.ithome.com.tw/news/162031
Amazon推出Amazon One掌紋掃描程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於2020年<a href="https://www.ithome.com.tw/news/140274" target="_blank">推出掌紋辨識系統Amazon One</a>之後，Amazon終於在本周四（3/28）發表了Amazon One行動程式，允許使用者透過iPhone或Android手機拍攝自己的掌紋以建立掌紋簽章，而不必再透過實體店面的Amazon One裝置來掃描掌紋。</p> <p>Amazon One掌紋身分辨識系統主要應用於美國市場，包括超過500家的Whole Foods Market商店，多家的Amazon直營實體店面，以及與Amazon合作的逾150家的第三方服務，如體育館、機場、健身中心或便利商店等。過去使用者必須在上述店面透過專有的Amazon One裝置來掃描與註冊掌紋，之後再利用自己的掌紋來付帳、入場、驗證年紀，或是兌現忠誠度獎勵等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-Amazon%20One%20app-palm-4.png" style="width: 600px;" /></p> <p>儘管上線已超過3年，但使用Amazon One掌紋服務的累計次數僅有800多萬，不過，根據Amazon的統計，在Whole Foods Market及Amazon商店用過Amazon One來付款的用戶，有超過8成都會重覆使用。</p> <p>現在Amazon決定進一步推廣Amazon One，降低註冊Amazon One的門檻，使用者只要下載Amazon One程式，就能登入Amazon帳號，拍攝自己的掌紋，上傳到Amazon One專用的伺服器上，即可於支援Amazon One的商家或地點使用；此外，Amazon One程式還能建立自己的線上檔案及添加付款方式。不過，採用Amazon One程式的使用者要在首次將手掌懸停在Amazon One裝置上進行比對後，才算完成註冊。</p> <p>Amazon表示，此一行動程式將讓使用者更方便先行建立自己的掌紋簽章，而不必在結帳時花費額外的時間進行註冊，對零售商而言，也能確保更順暢的店內體驗。</p> <p>根據Amazon的說明，Amazon One會查看使用者的手掌與底層靜脈結構，以建立獨特的掌紋簽章，再利用AI來比對使用者所拍攝的掌紋及Amazon One裝置所掃描的掌紋，且掌紋資訊是存放在安全的AWS環境中，而不會留在使用者裝置上。</p> <p>Amazon並未公布迄今有多少使用者註冊了自己的掌紋簽章。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> </div></div></div>
2024/3/29 11:58作者陳曉莉https://www.ithome.com.tw/news/162030
本土電商跨足數位行銷，一年創造3億交易額RMN先行者Pinkoi五年跨界轉型路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一兩年，臺灣零售業吹起了一陣跨界廣告業的風潮。Momo、全家，都在去年推出了零售媒體聯播網（RMN，Retail Media Network）服務，利用龐大第一手資料，以及零售通路優勢，驅動數位廣告業務。</p> <p>RMN是一種新型態廣告概念，零售業者將自家零售場域作為廣告版位，開放給廣告主，並利用零售第一手顧客資料和交易資料來支援精準行銷。處於零售場域的消費者，購買意願通常較高，廣告能更有效轉換為實際購買行為。這個過程中，零售業者不只能獲得廣告收入，廣告轉換成的購買行為，也會成為零售業者營收。</p> <p>RMN崛起，外部因素是第三方Cookie逐漸退場，許多數位廣告形式將失去精準投廣及追蹤成效的依據。使用零售業者第一手數據的RMN不受影響，形成相對優勢，吸引了大量廣告主。內部因素則是，許多零售業者觀察到國外RMN趨勢，且自家會員數據建設和會員經營做法趨於成熟，有能力進一步發展RMN。</p> <p>在這個多數RMN都在開發中或剛上線的環境中，臺灣有一家電商，已經靠RMN帶來一年3億元交易量，總營收3成來自廣告費的貢獻。它是設計類垂直電商Pinkoi，早在5年前，就已經開始用從頭自行打造廣告技術，來經營RMN服務。</p> <p>儘管RMN業績亮眼，Pinkoi SaaS產品負責人李少昱直言，Pinkoi打造RMN服務，一開始並不是為了廣告收入。</p> <p><strong>打造RMN服務初衷是為了強化賣家經營能力</strong></p> <p>Pinkoi的RMN服務源自2015年的一次架構翻新。當時，他們開始翻新數據技術架構，不只要強化利用數據驅動決策的管理模式，更要用自家設計領域數據來開發專屬AI推薦模型，來取代規則式推薦機制，進行個人化商品推薦。</p> <p>當數據技術架構及應用發展到一定程度，Pinkoi開始思考，除了用於個人化推薦，還能如何運用手上大量顧客、商品及交易數據。當時，他們接收到了許多賣家主動許願，希望有提升自己商品曝光機會的付費機制。</p> <p>李少昱解釋，賣家這個需求，來自當時商品推薦機制演算法的侷限。當時的商品推薦機制，全靠同一套演算法，商家必須要累積足夠優良交易紀錄，才容易獲得這套演算法的推薦。這意味著，新進商家大多難以直接和既有商家競爭曝光度，得經歷一段沒沒無聞的日子，慢慢讓演算法認識自己。</p> <p>為了打破這種情況，不少商家希望有一種機制，可以加快累積優良交易的速度，或在特定促銷檔期提升業績。回應這個需求，Pinkoi決定投入高達4成工程資源，開發出了廣告商品排序演算法、即時競價機制、廣告投放機制、廣告內容呈現機制等RMN系統所需基礎建設，並於2019年正式上線RMN服務。</p> <p>服務上線頭2年，願意投放廣告的賣家不多，Pinkoi花了大把時間和賣家溝通在RMN行銷的價值，以及摸索RMN技術細節。隨著技術成熟度和市場接受度持續發展，2021年，RMN廣告主的數量開始出現驚人的2位數成長率。</p> <p>緊接著，臺灣疫情進入高峰期，促使許多賣家開始積極投放數位廣告，為RMN注入又一波成長動能。Pinkoi把握住了這幾波成長。使用過RMN的賣家高達9成會持續使用。</p> <p>Pinkoi不斷增加行銷功能，陸續提供了促銷單件商品、促銷商品組合、品牌推廣等廣告類型，也先後增加在首頁、搜尋結果，以及穿插在商品頁面下面的推薦版面。去年還新增了分眾推播廣告，不須等待顧客造訪商城，而是系統根據顧客興趣數據，主動推播品牌廣告。這些廣告支援網頁版、iOS及Android商城。</p> <p>他們還持續強化RMN底層技術，不只用顧客數據來支援精準商品推薦，更開始用AI模型分析商家成長模式，判斷商家下一步成長策略，向商家推薦RMN廣告投放策略及參數設定。例如商家已有穩定客源，系統會建議下一步成長動能是獲取新客源，投放策略得重視陌生潛在買家的曝光。</p> <p><strong>經營RMN最大挑戰──平衡使用者體驗與行銷成效</strong></p> <p>賣家或品牌主投放廣告時，Pinkoi背後的AI會自動推薦行銷目標、廣告受眾、設定預算，以周為單位優化策略，還會分析成效及下次目標。</p> <p>Pinkoi的RMN採取廣告即時競價（RTB，Real-time Bidding）方式。廣告主設定投放參數和行銷預算後可以開始競價，贏得競價，在廣告曝光後會產生廣告費用。不過，Pinkoi的RTB機制並非價高者得，而是依據產品品質、廣告內容對顧客關聯性等多種維度綜合考量──出價僅是眾多排序因素之一。</p> <p>李少昱進一步說明，採取這個廣告投放模式，是希望商家不要過度投入時間心力鑽研投放策略的細節。「與其精算出價多少才能勝過競爭對手，我們希望商家聚焦在提升商品品質及風格的呈現，對整體顧客體驗也會更好。」</p> <p>注重顧客體驗的精神，不只體現在RTB非價高者得的特性，也體現在Pinkoi的廣告版面設計上。付費的廣告內容雖然可以提高排序，但幾乎不會採取任何形式強調的設計，而是會與其他非廣告的推薦商品並列。</p> <p>不過，李少昱說，這個堅持，帶來Pinkoi經營RMN服務的最大挑戰──如何在多方利害關係人需求間，找到顧客體驗與行銷成效之間的平衡點。</p> <p>他進一步解釋，從廣告主角度來看，廣告預算的投資報酬率越高越好。但從Pinkoi角度來看，將廣告內容設計得太醒目、過於干擾顧客瀏覽網站的操作，雖然短期有機會增加轉換率，長期來說卻會降低顧客造訪商城的意願，因而打擊到所有人。</p> <p>如何拿捏，Pinkoi需要協調內部不同部門和下廣告的商家，一方面溝通使用者體驗的重要，另一方面則要找出商家及Pinkoi都可以接受的行銷手段和廣告版位設計方法。李少昱自豪的說，雖然協調過程不易，但堅持顧客體驗優先，使他們幾乎沒有聽到顧客抱怨購物流程受干擾，反而有許多人主動表示，Pinkoi廣告使他們接觸到了過往不知道，卻十分喜歡的商品及品牌。</p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E5%95%86%E5%93%81%E5%BB%A3%E5%91%8A%E7%A4%BA%E6%84%8F%E5%9C%96.png" style="width: 600px;" /></span></strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%93%81%E7%89%8C%E5%BB%A3%E5%91%8A%E7%A4%BA%E6%84%8F%E5%9C%96.jpg" style="width: 600px;" /></span></strong></p> <blockquote><p>Pinkoi RMN廣告形式有商品廣告、品牌廣告、推播廣告等，會出現於網站和雙平臺手機App的首頁、搜尋頁面及商品頁面。廣告商品或品牌的曝光排序通常較靠前，不過仍需視商品品質及關聯性而定，並非價高者靠前。為了保證顧客體驗不受干擾，廣告視覺設計也相當低調。</p> </blockquote> <p><strong>經營RMN的技術面基本功──開發與維運數位行銷機制</strong></p> <p>從電商跨界數位行銷，不僅需要接觸新業務面向，更要面臨新技術面課題。</p> <p>雖然Pinkoi有從頭自行開發AI模型，是專門為個人化商品推薦設計。不過，推薦只是廣告機制一環，要打造成熟可用的RMN服務，還有RTB、廣告成效追蹤、服務可用性等更多技術挑戰得克服。</p> <p>開發期間，Pinkoi投入了4成開發資源和人力，研究Facebook（現Meta）和Google兩大廣告巨頭的開發方法及投廣機制，並將這些知識結合自家AI推薦技術，才打造出自己的廣告服務。</p> <p>廣告推薦演算法是這個服務的核心技術。RMN團隊寫了一系列投廣用推薦模組，以原本推薦演算法為基礎，根據不同廣告版面的行銷目的微調其他參數，例如調整推薦商品的關聯性高低，或加強時下熱門主題相關商品的權重。</p> <p>相較於原本的商品推薦演算法，廣告推薦演算法多了一個關鍵排序要素──賣家即時競價（RTB）數據。可是，RTB系統需要在顧客進入新頁面後，才能發送廣告版面性質、顧客輸入內容等資訊到競價系統。經過賣家競價、檢查賣家行銷預算餘額等程序後，廣告推薦演算法才能開始排序廣告內容。雖然廣告推薦演算法運算複雜度較一般推薦演算法高，但為了不影響顧客體驗，Pinkoi認為必須在0.5秒內完成額外計算程序。</p> <p>RMN的維運挑戰不只即時性，還有龐大的數據請求量。Pinkoi RMN每年有74億次請求，不考慮巔峰情況，平均每秒就需處理230次請求。一次廣告請求的完整流程需要進行廣告競價和廣告內容的投放，還要紀錄廣告曝光情形、顧客互動行為等數據，作為後續廣告成效追蹤及賣家投放建議的依據。</p> <p>為了因應龐大的流量，Pinkoi採取了雲端資源用量調整機制、預處理部分所需運算，以及辨識外來異常流量等措施。</p> <p>首先，Pinkoi所有IT基礎架構都上雲，為了即時因應流量波動，他們不只使用雲端業者提供的自動擴充（Auto-scaling）功能，還自行打造了用量調整機制，可以預測流量變動，來調整雲端資源的租用量。</p> <p>再來，為了盡可能降低推薦演算法的運算壓力，他們回頭找出推薦演算法中，不須即時運算的數據，預先進行批次處理。例如，商品品質分數的變動頻率不大，改為每天一次性統一計算，而不需要每次推薦都重算。</p> <p>他們還設計了雙重異常流量辨識機制，第一層辨識機制，當造訪者流量剛進來時，會依據流量來源等常見機器人行為模式來篩選。若機器人成功騙過第一層機制，Pinkoi還會記錄造訪者在網站內的行為模式，若出現明顯不是真人消費者的舉動，例如迅速開關大量頁面或行為模式過於機械性，也會事後追認為異常流量。</p> <p>事後追認異常流量，不僅有維運面考量，也有廣告業務面考量，要確保廣告成效統計只包含有機流量數據，不會參雜爬蟲機器人、點擊機器人甚至DDoS等異常流量來源。</p> <p><strong>從被動到主動，從站內到跨站的RMN功能升級藍圖</strong></p> <p>不只一開始投入4成開發能量，Pinkoi後續還得投入IT資源來優化和開發新功能。</p> <p>李少昱坦言，他們沒有計算過RMN成本如何回收。Pinkoi經營RMN的態度，一開始就不只當成一門生意，更是提升整體電商買賣體驗的一環。不過，持續投入大量IT資源維運及開發，李少昱說，有兩大商業考量支持。</p> <p>首先是影響範圍。付費提升曝光度的行銷功能，對電商賣家獲取顧客、擴大營運規模非常重要。一開始，RMN的出現，源自賣家的要求。但現在，RMN已經成為上萬個賣家持續使用的關鍵功能。</p> <p>第二則是影響力度。Pinkoi的RMN服務一年促成3億元交易，廣告費收入占了總營收高達3成，而且也提升整體平臺的交易量，不只是將原本有意消費的顧客導向廣告商品。</p> <p>接下來，Pinkoi還要持續強化RMN行銷功能，從被動轉到主動，站內走到站外。</p> <p>RMN上線前幾年，Pinkoi只有在顧客於網站中操作，表明當下興趣時，才能投放相應廣告，行銷方法相對被動。後來，借助AI模型，從顧客過往行為數據中，分析其購物習慣及整體偏好。於是，Pinkoi RMN開始有主動行銷功能，不必等待顧客進站，可以直接根據顧客特徵推播行銷訊息到會員通知中心。</p> <p>下一步，他們要更細緻分析顧客行為數據，更快速分析出顧客處於購物旅途的哪個階段，以便在顧客操作當下，即時調整廣告投放策略。例如，如果發現顧客已經選定商品，進入購買階段，就會只投放相似性高的商品，讓顧客比價，而非探索不同商品。</p> <p>不只如此，他們還要根據RMN廣告成效數據，來打造更進階的投廣參數自動設定功能。目標是，連商品描述、名稱跟標籤等最基礎的資訊，都可以根據市場現況數據及賣家廣告成效，來自動調整。</p> <p>優化站內行銷功能同時，Pinkoi也計畫開發跨站行銷功能。李少昱說，在Pinkoi營業的賣家，大多只會再於Instagram經營社群媒體電商，較少涉及更多平臺。因此他們計畫打造跨站投放Meta廣告的功能，來提供一站式數位行銷管理。文⊙郭又華</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E8%87%AA%E5%8B%95%E8%A8%AD%E5%AE%9A%E5%8E%9F%E7%90%86-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Pinkoi.jpg" style="width: 600px;" /></p> <blockquote><p>Pinkoi的AI廣告代投功能會根據賣場數據，來推測品牌處於哪個發展階段，並以此作為廣告參數設定策略。圖片來源-Pinkoi</p> </blockquote> <p><span><span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E4%BB%A3%E6%8A%95%E4%BB%8B%E9%9D%A2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Pinkoi.png" style="width: 600px;" /></span></span></p> <blockquote><p>賣家只需要輸入商品基本資訊及預算，並確認AI建議的投廣參數，便能快速完成設定。未來，Pinkoi連這幾個欄位都要用AI來填入建議參數。圖片來源-Pinkoi</p> </blockquote> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> Pinkoi RMN發展大事記 </span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2015年 </span></span> </strong>內部改革數據基礎建設，整合跨通路第一方數據來源，開始打造專屬設計類AI模型，以開發個人化推薦、RMN等數據驅動的零售IT應用</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2018年 </span></span></strong> 正式開始打造RMN系統，投入了4成工程資源</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2019年 </span></span></strong> 自建AI模型開始能用上萬維度分析顧客，進行個人化推薦。RMN商品廣告服務正式上線</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2021年 </span></span> </strong>RMN品牌廣告服務正式上線。使用RMN服務的廣告主數年增長率2位數，緊接著新冠疫情最高峰，又帶來更多RMN廣告主</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2023年 </span></span> </strong>RMN分眾廣播服務正式上線，站上有近萬賣家成為廣告主，廣告收入占營收3成</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">資料來源：iThome整理，2024年3月</span></p> <p> </p> </div></div></div>
2024/3/29 10:25作者郭又華https://www.ithome.com.tw/news/162013
旅遊平臺Booking.com如何善用DORA指標，讓軟體交付效率快了一倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前旅遊平臺Booking.com公開了去年提高軟體交付效率的關鍵秘訣，在短短不到一年時間，讓旗下金融科技團隊的交付能力提高了近2倍的效率，等於開發戰力翻了一倍。</p> <p>Booking.com在2022年中，成立了這個金融科技部門，負責內部各種金融流程開發，因為這個團隊直接採用了公司5年前發展出來的技術架構，所提供的金融服務，在前端是一隻隻不同金融功能的單體式網頁應用，而後端服務則是Java程式，也需要串接到不少第三方金融服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/185%E6%8A%80%E8%A1%93%E6%9E%B6%E6%A7%8B%E5%9C%961.png" /></p> <p>為了改善開發生產力，他們從2023年初開始用DORA指標追蹤團隊開發效率，尤其聚焦部署頻率（DF）和變更準備時間（LTFC）。在2023年三月部署頻率每月不到20次，而變更準備時間更是長達了30小時。</p> <p>雖然這個數據已經遠比臺灣許多企業的DevOps能力好，根據我們去年CIO大調查，臺灣半數大型企業關鍵應用每月部署次數不到5次，部署時間短則一天，長則好幾天。<br /> Booking.com高層對這個團隊原有的開發效率高度不滿意，想要找出拖慢效率的瓶頸。</p> <p>分析後發現，第一個影響部署頻率不佳的瓶頸是，他們的程式碼難以理解，但是又很容易修改，工程師若不小心改錯，得花好幾周才能找出問題，如此一來，更讓工程師不願意改進。</p> <p>後來，他們參考了一條童子軍規則「要讓露營地比你來的時候更乾淨。」也就是看到有垃圾就馬上清理，來幫下一組露營的人改善環境。在去年三月開始推動許多小規模的重構和推動測試自動化，進行程式碼更新或修復問題時，也同時改善周邊的程式碼，來提高程式碼品質，並且同步要求開發團隊刻意花時間來解重構的題目，透過大量練習來提高重構技能。</p> <p>雖然逐漸改善程式碼可讀性，但因為許多小型重構計畫，去年六月發現，出現了大量合併請求，程式碼審查時間成了新的瓶頸。他們轉而一方面改採少量批次合併請求的策略，來減少每次審查時間，也要求工程師優先審查程式碼，來減少相互等待的時間，在七月逐漸解決這個問題。</p> <p>七月時，他們轉向處理拖慢部署時間的痛點，當時要進行兩次金絲雀部署和驗證，每次部署涉及許多手動作業，部署時間至少得花40分鐘，因為有些功能的金絲雀部署出錯機率幾乎是零，因此，他們決定導入自動化部署，將合併請求直接合併到主版本，直接部署到正式環境，而不用手動驗證。</p> <p>另外，還採取了一些自動化部署作為配套，像是良好的測試自動化機制、同儕程式碼審查和小變更策略，一次不做大變更而是盡量採取多次小變更策略，一但程式碼品質指標檢測沒有達標，也會自動回覆到舊版，來確保既有服務的穩定。</p> <p>金融科技部門這個新作法將部分功能的部署時間從40分鐘縮短到4分鐘，也同步提高了DORA的部署頻率和更新準備時間。八月時，部署次數甚至一度達到每月43次，整體的平均部署時間約1.3小時。</p> <p>不過，在前端的單體式應用的交付效率仍舊難解，在去年八月時，這一類應用每月部署次數只有6～8次，每次平均準備時間長達2-3天。</p> <p>Booking.com團隊決定導入微前端（Micro Frontend）開發模式，把前端單體應用，改成類似微服務的前端模組，並改用JavaScript來開發用戶端的網頁應用。在九月導入微前端開發模式之後，明顯改善了開發效率，但是他們卻發現，另一個DORA指標的數值變差了，開發準備時間反而比預期來得更長。</p> <p>Booking.com團隊回頭查看了過去一整個月的合併請求紀錄，包括提交、評論、批准、合併和部署的各種統計資料才發現新的問題。因為微前端應用的合併請求審查流程，比平常前端應用的開發更複雜，因此，開發流程上需要金融科技部門外部的內部其他專家社群來審查和批准，每次審查都得等上很久。光在外部專家程式碼批准這個階段，平均就得等待17.1個小時。</p> <p>後來，金融科技部門找來這群專家，討論初多項優化審查流程的作法，自己也避免進行大量的批次部署，盡量採取小型合併請求的方式，才將批准時間縮短到8分鐘。最後，到了去年十月，終於將這類單體式應用的變更準備時間大幅減少到14小時。</p> <p>從年初每月20次部署、每次30小時事前準備時間，到年底十一月時縮短到每月40次部署，每次平均14小時。Booking.com的金融科技團隊就是靠DORA指標的監控，找出了一個又一個的開發團隊瓶頸，逐一解決，才能在不到一年，達到交付能力翻倍的成果。</p> <p>Booking.com開發團隊主管更強調，這個做法不只提高了效率，更帶來了一種新的工作態度和方式，讓開發團隊聚焦於內部品質和嘗試，看重長期績效而非短期效益。</p> <p> </p> </div></div></div>
2024/3/29 10:38作者王宏仁https://www.ithome.com.tw/news/162028
DevOps快報第3期：Java 22來了，Go大幅強化追蹤，數位部將推出公共程式碼平臺，旅遊平臺揭露軟體交付效率翻倍…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2024/2/21～3/28 精選開發技術相關新聞</strong></p> <p><strong>兩大開發語言有重要更新，Java釋出了22版，大幅提高開發體驗和運作效能。Go語言則大幅改善了追蹤套件的效能。多款CI/CD工具有新功能或更新，包括了 JetBrains、 CircleCI。Booking.com則揭露如何用DORA指標追蹤團隊開發效率，將軟體交付效率，提高了一倍的過程。</strong></p> <h3><strong>#政府程式碼釋出 #公共程式碼<br /> <span style="color:#0000FF;">推動政府程式碼公開，數位部擬4月推出臺灣公共程式平臺</span></strong></h3> <p>政府今年將帶頭大力推動公共程式（Public Code），釋出政府程式碼。數位部預估4月左右，在GitHub上推出臺灣公共程式平臺（code.gov.tw）測試版，初步將先釋出數位部開發的官網、碳盤查工具的程式碼，未來還會與和地方政府、公務機關合作，將共用性服務的程式碼釋出，開放其他政府機關或外界使用。目前尚在籌備階段，因此計畫先推出測試版，年底再釋出完整功能。</p> <p>因為政府資訊系統大多委外，有資服業者在溝通座談會中反映，擔憂程式碼公開後，可能遭其他業者學習參考，程式碼內的缺陷也會被檢視討論。目前數位部仍與資服業者就公共程式尋找共識。</p> <h3><strong>#2038問題 #老舊Unix時序問題<br /> <span style="color:#0000FF;">小心2038問題重現Y2K災情，老舊應用擁抱現代化的另一理由</span></strong></h3> <p>今年國外不少開發社群開始重視一個老舊Unix的時間函數問題，也就是2038問題。多數Unix系統使用32位元signed整數來儲存從1970年1月1日開始的秒數，這個資料格式的最大值是2,147,483,647，也就是UTC時間2038年1月19日凌晨3點14分7秒，超過這個時間就會導致資料溢位而出錯，就像當年的Y2K事件一樣。許多老舊嵌入式設備、大型主機系統、32位元作業系統環境，32位元環境的老舊資料庫和檔案系統、網路設備等都可能出現問題。雖然離現在還有很長一段時間，但開發社群開始討論，可以趁著擁抱雲原生，推動IT現代化同時，一起解決這個老問題。</p> <h3><strong>#軟體開發安全 #白宮<br /> <span style="color:#0000FF;">白宮出面呼籲開發者，放棄C和C++改用記憶體安全程式語言</span></strong></h3> <p>白宮最近發布了一份軟體安全報告《Back to the Building Blocks: A Path Toward Secure and Measurable Software》，以呼籲科技界主動減少網路攻擊面，尤其在軟體漏洞方面，白宮認為應該主動採取措施以減少漏洞帶來的風險，許多網路安全問題都是由單行程式碼引起，白宮報告中指出，解決這些安全問題的有效方法是檢查所使用的程式語言本身。藉由分析和選擇程式語言的特性，尤其是關於記憶體安全的功能，可以減少甚至是消除不正確的記憶體使用方式，像是存取未分配的記憶體、緩衝區溢出等，所導致的錯誤和漏洞。因此，白宮表示，希望開發人員放棄C和C++改用記憶體安全程式語言，以增加軟體安全性。++</p> <h3><strong>#DevOps實戰 #DORA<br /> <span style="color:#0000FF;">旅遊平臺Booking.com如何用DORA指標讓軟體交付效率快了一倍</span></strong></h3> <p>日前旅遊平臺Booking.com公開了去年提高軟體交付效率的關鍵秘訣，為了改善開發生產力，他們從2023年初開始用DORA指標追蹤團隊開發效率，尤其聚焦部署頻率（DF）和變更準備時間（LTFC）。</p> <p>他們先推動許多小規模的重構和推動測試自動化，進行程式碼更新或修復問題時，也同時改善周邊的程式碼，來提高程式碼品質。到了六月開始解決合併請求塞車問題，一方面改採少量批次合併請求的策略，來減少每次審查時間，也要求工程師優先審查程式碼，來減少相互等待的時間。七月轉向處理拖慢部署時間的痛點，導入自動化部署，將合併請求直接合併到主版本，直接部署到正式環境，而不用手動驗證。搭配良好的測試自動化機制、同儕程式碼審查和小變更策略，一次不做大變更而是盡量採取多次小變更策略，一但程式碼品質指標檢測沒有達標，也會自動回覆到舊版。</p> <p>針對前端的單體式應用交付效率問題，則導入微前端開發模式來改善效率，但因為新開發流程需要外部專案審查，開發準備時間反而比預期來得更長。經過審查流程優化，也盡量採取小型合併請求的方式，將批准時間縮短到8分鐘。最後，到了去年十月，終於將這類單體式應用的變更準備時間大幅減少到14小時。</p> <p>從年初每月20次部署、每次30小時事前準備時間，到年底十一月時縮短到每月40次部署，每次平均不到15個小時。Booking.com的金融科技團隊就是靠DORA指標的監控，找出了一個又一個的開發團隊瓶頸，逐一解決，在不到一年，達到交付能力翻倍的成果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/185-DORA%E6%8C%87%E6%A8%99%E8%AE%8A%E5%8C%96%E5%9C%962.png" /></p> <h3><strong>#新版Java #開發體驗改善<br /> <span style="color:#0000FF;">Java 22來了，提升開發效率還強化運算效能</span></strong></h3> <p>新發表的Java 22，從語言本身、API、效能和JDK中的工具都進行了強化。Java語言更具表達力，提升開發者編寫程式碼的體驗之外，也加入多項功能改善並行程式的運作效能，而重新設計的Vector API，也讓向量運算更加高效，滿足日漸增加的向量運算需求。</p> <p>這個版本有多項開發體驗的更新，像是可用下底線字元來表示不使用的變數宣告和巢狀模式，來強化程式碼的可讀性。而建構子的前置陳述式JEP 447更新，讓開發者擁有更多表達建構子行為的自由。預覽版的字串樣板則提供了更簡潔的方式，供開發者編寫文字加上變數的字串表示，能在字串常值中直接插入表示式或是變數值，來提高可讀性，也讓編寫動態字串內容Java程式更簡單。甲骨文為了要簡化Java並行（Concurrency）程式開發，嘗試加入了結構化並行方法，目前正在孵化階段。</p> <h3><strong>#Go語言 #追蹤效能優化<br /> <span style="color:#0000FF;">Go語言大幅改善追蹤套件的效能，CPU執行開銷降至1、2％也支援持續追蹤</span></strong></h3> <p>Go開發團隊更新了執行環境的追蹤（Trace）套件，不僅大幅降低執行追蹤的CPU開銷，還透過定期分割追蹤檔控制追蹤檔案大小，進而增加了追蹤的可擴展性。此外，新的更新還支援持續追蹤功能，並提供追蹤讀取器API，使得追蹤資料更容易共享與存取。舊版Go，對許多應用程式執行追蹤功能時會產生10-20％ CPU執行開銷，而侷限了用途。Go開發團隊透過最佳化回溯效率，將CPU開銷大幅降低至1、2％，讓開發者可以頻繁地使用追蹤來監控和診斷應用程式，且不會對效能產生太大的影響。Go追蹤現在也支援持續追蹤紀錄（Flight Recording），可讓程式一直保持在追蹤狀態，紀錄近期發生的事，</p> <h3><strong>#CI/CD流程 #開發流程最佳化<br /> <span style="color:#0000FF;">JetBrains發布新CI/CD工具TeamCity Pipelines，新增多項智慧化機制能大幅簡化流程建置</span></strong></h3> <p>JetBrains推出新的CI/CD工具TeamCity Pipelines，提供了建置CI/CD流程需要的所有工具，盡可能減少切換程式的狀況。也採取了直覺式介面和智慧配置輔助功能，可以大幅簡化測試工作。智慧配置輔助功能可引導用戶完成流程配置，並且提出改進建議，像是可以自動偵測特定的建置工具，另外，若採用智慧測試平行化選項，可使執行速度提高達75％。TeamCity Pipelines能夠動態最佳化工作流程，也會在每次測試工作完成後提供報告，並自動辨識測試專案所採用的語言與框架。能跨多次工作追蹤測試結果，讓開發者簡單地比較測試變化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3-2-JetBrains.png" /></p> <h3><strong>#部署自動化 #金絲雀部署<br /> <span style="color:#0000FF;">CircleCI推出推出自動化調度部署功能，新增金絲雀部署支援</span></strong></h3> <p>CI/CD平臺CircleCI強化發布調度能力推出CircleCI Release，在網頁介面就可簡單地配置發布調度程序。同時，CircleCI Release也支援Argo Rollouts，提供自動化漸進式交付程序，使開發人員可以更全面地控制應用程式發布，目前CircleCI Release已經支援金絲雀部署策略，並會在之後版本支援藍綠部署。CircleCI Release可讓開發團隊快速交付，並監控生產環境中的新部署，當部署出現問題時，還可自動快速回退到之前的版本。這項發布功能同時支援Kubernetes Deployments和Argo Rollouts，CircleCI可與Kubernetes叢集整合，讓開發者在CircleCI網頁版應用上，來檢視和控制發布流程。</p> <h3><strong>#開發元件智慧化 #.NET應用<br /> <span style="color:#0000FF;">微軟釋出實驗性.NET UI智慧元件，提供3種整合AI的新UI元件</span></strong></h3> <p>微軟正在實驗新的.NET UI智慧元件，要以更簡單的方法，在現有軟體添加人工智慧功能，開發者不需要了解AI或熟悉提示工程也能用。開發者可以直接將.NET UI智慧元件加入到使用者介面中，目前有三項功能，分別是智慧貼上、智慧文字輸入區域（TextArea）和智慧下拉選單（ComboBox）。智慧貼上元件，可以將使用者複製的一段長文，用NLP解析出不同元素，再個別帶入到表單上的不同欄位，例如從地址中自動解析出街名、巷弄、樓層來自動填寫表單，方便用戶可從外部來源添加資料，又不需要重新輸入。而智慧文字輸入區域，則加入了文字段落自動完成，能依據上半句，自動補完下半句話。微軟提到，.NET UI智慧元件還只是一項實驗功能<img alt="" src="https://s4.itho.me/sites/default/files/images/3-4-_NET%E6%99%BA%E6%85%A7UI%E5%85%83%E4%BB%B6.png" />。</p> <h3><strong>#程式碼評估 #Copilot助手<br /> <span style="color:#0000FF;">微軟.NET程式碼評估工具整合了GitHub Copilot，能引導解決Azure搬遷的可能問題</span></strong></h3> <p>最近微軟更新了.NET程式碼的Azure搬遷評估工具（Azure Migrate Application and Code Assessment），新整了GitHub Copilot，能夠比對不同Azure環境，提供更多開發自訂的靈活性等，來協助開發者找出和解決搬遷Azure可能遭遇的問題，更順利地在雲端平臺重新部署應用程式。開發者在Visual Studio安裝這項工具的擴充套件後，在報告儀表板中便會看到Copilot Chat的按鈕，點擊之後Copilot會閱讀專案報告，總結出重要問題，開發者便可就想解決的問題與Copilot深入討論。報告中的所有問題也會提供Ask Copilot按鈕，微軟提到，Ask Copilot功能會將開發者的描述，還有觸發問題的程式碼片段共享給Copilot Chat，根據具體程式碼和問題提供建議，來提供更準確的指引。開發者必須謹慎考慮提交的內容，避免提及不想提供給Copilot Chat的程式碼和敏感資訊。</p> <h3><strong>#開發者QA平臺 #Gemini<br /> <span style="color:#0000FF;">開發者愛用的Stack Overflow將整合Google雲、讓Gemini開發人員存取知識庫</span></strong></h3> <p>開發人員QA平臺Stack Overflow與Google Cloud宣布合作，讓Gemini模型可以存取Stack Overflow的開發知識庫，或提供開發建議。透過Stack Overflow新開發的OverflowAPI存取其知識庫，在開發人員呼叫Gemini時提供開發建議、程式碼及回答問題。在Google Cloud控制臺上也能直接存取Stack Overflow，包括詢問問題或獲得Stack Overflow社群其他成員的解答，在管理或開發Google雲端應用及基礎架構時，不用跳離執行介面。 Stack Overflow計畫還將用AI開發平臺Vertex工具來改善社群互動和內容出版流程。預計於4月中公開預覽，在今年上半年正式啟用。</p> <h3><strong>#整合企業內部程式碼 #企業版Copilot<br /> <span style="color:#0000FF;">GitHub企業版Copilot來了，可整合企業內部程式碼與知識庫</span></strong></h3> <p>最近GitHub推出了企業版Copilot（Copilot Enterprise），每位用戶每月的訂閱價格為39美元。這項服務可以針對組織特定需求的開發體驗，包括可以深入理解程式碼庫、存取組織的知識和最佳實踐，以及審查拉取請求。<br /> 例如可以提供清楚的程式碼摘要、相關建議以及回應程式碼行為，有效提升程式碼編寫和理解的效率。也能生成拉取請求摘要，使開發人員花更少的時間編寫，並且更專注於合併拉取請求工作本身，Copilot Enterprise也會分析拉取請求的差異，讓審查者可以更快速地理解程式碼變更。目前是Beta測試版本，已經整合了Bing搜尋功能，因此用戶也可以獲得最新的網際網路資訊。</p> <h3><strong>#程式碼自動掃描 #自動修補警告議題<br /> <span style="color:#0000FF;">GitHub釋出程式碼掃描自動修復，自動修補9成警告</span></strong></h3> <p>所有GitHub Advanced Security用戶開始可以使用程式碼掃描自動修復功能（Code Scanning Autofix）預覽版，借助GitHub Copilot和靜態掃描程式碼工具CodeQL的支援，可以掃描程式碼的問題後自動修復，在背景中利用CodeQL引擎，以及一系列啟發式演算法，並結合GitHub Copilot API來生成程式碼建議。目前支援JavaScript、TypeScript、Java和Python程式碼中90％的警告或問題。此外還提供程式碼建議，可以在幾乎不需要編輯程式碼的情況下，修復超過三分之二發現的漏洞。官方預告，接下來程式碼掃描自動修復功能也會涵蓋C#和Go的程式碼。</p> <h3><strong>#偵測密碼和金鑰 #推送保護<br /> <span style="color:#0000FF;">GitHub預設啟用推送保護，自動檢查推出程式碼中的密碼和金鑰避免意外洩漏</span></strong></h3> <p>最近GitHub對所有用戶預設開啟了推送保護（Push Protection）功能，協助開源開發者保護其密碼與金鑰等機密資訊。系統會自動檢查開發者推送到GitHub中的程式碼，一旦發現包含諸如密碼和API金鑰等敏感資訊，GitHub會阻擋推送操作並通知開發者，避免潛在的安全問題。用戶可以從提交中刪除該機密，或是選擇跳過阻擋直接提交。用戶也可以從安全設定中停用推送保護</p> <p><strong>更多新聞</strong></p> <ul> <li>高效協作程式碼編輯器Zed開源並推出協作服務，開發者分享連結就能開始共同編寫程式碼</li> <li>微軟推適用於VS Code的Microsoft Entra External ID擴充套件</li> <li>5月釋出的Grafana 11將移除AngularJS支援，儀表板將不載入未更新套件</li> <li>Wasmer推出Rust網頁伺服器WinterJS 1.0，相容於Cloudflare的JavaScript執行環境</li> </ul> <p>@資料來源：iThome整理，2024年3月<br /> @圖片來源：Booking.com、微軟、甲骨文</p> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2024/3/29 11:12作者王宏仁https://www.ithome.com.tw/news/162029
Google改變心意，讓Pixel 8也能執行Gemini Nano
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在眾多用戶抗議下，Google本周宣布，Google Gemini Nano AI模型將透過今年下次功能更新，得以在中階的Pixel 8上執行，而不只有最高階的Pixel 8 Pro。</p> <p>Gemini Nano是Google去年12月公布Gemini AI模型之一，是最小型、可在消費者裝置包括手機上執行的模型。官方宣布，Gemini Nano可以執行在旗艦手機，如三星<a href="https://www.ithome.com.tw/news/160904" target="_blank">Galaxy S24</a>及Google Pixel 8 Pro。<a href="https://9to5google.com/2024/03/07/pixel-8-gemini-nano/" target="_blank">但是本月初Google說</a>，基於某些硬體限制，因此Gemini Nano不會提供給Pixel 8。這個消息引發媒體及用戶反彈，認為二款Pixel手機同樣都是用Tensor G3晶片組，沒有道理Pixel 8無法跑Gemini Nano。</p> <p>Google似乎聽到用戶心聲，<a href="https://shows.acast.com/made-by-google-podcast/episodes/6602fa6073a3a40017353c91" target="_blank">本周Google產品部門透過podcast宣布</a>，Pixel 8會在下次功能更新Feature Drop中獲得Gemini Nano開發者預覽版，目前公司還在測試中。這裝置上執行的AI模型可支援錄音工具Recorder的Summarize（重點摘錄）及Gboard鍵盤智慧回覆（Smart Reply）功能，前者可錄寫聲音、條列重點，後者可產生「高品質」的回覆內容。在Pixel 8 Pro，Gemini Nano還可另外支援WhatsApp、Line、KakaoTalk等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-gemini%20nano-pixel%208-Summarize%20in%20Recorder-2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-gemini%20nano-pixel%208-Smart%20Reply%20in%20Gboard.jpg" style="width: 600px;" /></p> <p>不過下次的Pixel Feature Drop要等到6月下旬才會釋出。</p> <p><a href="https://9to5google.com/2024/03/28/pixel-8-gemini-nano-feature-drop/" target="_blank">9to5Google報導</a>，Pixel 8及8 Pro主要差別在Pixel 8 RAM為8GB，小於Pro的12GB，較小的RAM執行AI可能會影響效能。可能Google已找出方法能以較小記憶體執行LLM而不影響使用應用程式體驗。Galaxy S24的RAM也是8GB。</p> <p>不過Google不是第一支可跑Gemini Nano的中階手機。<a href="https://www.ithome.com.tw/news/161464" target="_blank">2月聯發科宣布</a>，二款新晶片組將支援Gemini Nano，包括中階的Mediatek Dimensity 8300。目前使用這款晶片組的有中國手機POCO X6 Pro。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/3/29 10:12作者林妍溱https://www.ithome.com.tw/news/162026
微軟Azure OpenAI與Fabric皆整合Neo4j圖資料庫，強化資料分析與AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://neo4j.com/blog/neo4j-microsoft-collaboration/">Neo4j與微軟合作</a>，在Azure OpenAI服務與Fabric分析平臺原生整合Neo4j圖資料庫功能，用戶將可組合結構化與非結構化資料，發現資料中隱藏的模式，並用於強化生成式人工智慧應用程式。</p> <p>Azure OpenAI與Neo4j的整合，在架構上可以分為知識的擷取與使用。在資料擷取上，由Azure OpenAI處理非結構化資料，並將這些資料儲存到圖資料庫中，用戶便可以使用Neo4j的查詢工具，來擷取有用的分析結果。</p> <p>來源資料仍可留存在Fabric、Azure Blob儲存或是其他位置，微軟表示，使用生成式人工智慧進行自動擷取，能夠降低圖資料庫的進入門檻，並可從資料連結中獲得更多有用的分析資訊。而在知識的使用上，用戶同樣可透過Azure OpenAI服務以自然語言查詢，即便沒有圖資料庫專業的用戶，也能夠簡單地操作。</p> <p>微軟的GraphRAG應用程式，與Neo4j的生成式人工智慧、Azure OpenAI緊密整合，用戶可以使用GraphRAG強化上下文理解和可解釋性，藉由使用企業資料的知識圖，動態強化查詢，提供清晰易於理解的結果。GraphRAG是一種使用圖結構強化大型語言模型的方法，可改善模型對查詢的理解和回應品質。</p> <p>Neo4j支援原生向量嵌入，開發人員可以使用OpenAI嵌入API建立嵌入，並將其儲存在Neo4j資料庫中，支援大型語言模型獲取長期記憶能力。</p> <p>另外，Neo4j也與統一資料分析平臺Fabric的整合，擴展企業探索、分析資料的能力。Fabric組合一系列資料工具集，與Neo4j搭配可強化資料探索與分析的能力。</p> <p>在Fabric資料湖倉中，資料通常儲存在檔案或是SQL Server資料表的行和列中，微軟提到，這樣的形式無法擷取資料集中複雜的關係，而Neo4j圖資料庫的特性，則是將資料表示為節點和關係，以直觀的方式視覺化資料，有助於供用戶搜尋資料集中的關係，發現資料中隱藏的模式。</p> </div></div></div>
2024/3/28 18:48作者李建興https://www.ithome.com.tw/news/162024
【資安日報】3月28日，殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定路由器、物聯網裝置等小型辦公室（SOHO）及家用網路設備發動攻擊，控制後將其組成殭屍網路，已有多起攻擊行動出現，但大多還是針對有受到支援的設備而來，如今有駭客專門針對已不再受到廠商支援的設備下手，暗中從事攻擊行動長達10年，直到最近才被發現。</p> <p>值得留意的是，這些駭客挾持設備後，專門提供網路罪犯代理伺服器服務，甚至有其他殭屍網路的經營者也是他們的客戶。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.lumen.com/the-darkside-of-themoon/"><strong style="font-size: 22px;">殭屍網路TheMoon攻佔廠商不再提供支援的網路設備，短短72小時綁架逾6千臺華碩路由器</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/moon-2-image.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/moon-2-image.jpg" style="width: 300px; float: right;" /></a>資安業者Lumen揭露從2014年開始營運的殭屍網路TheMoon，其規模在今年2月擴及88個國家、4萬個殭屍網路機器人。而這個殭屍網路的形成，主要是挾持生命週期終止（EOL）的家用及小型辦公室（SOHO）路由器、物聯網設備，駭客將其用於提供網路犯罪用途的代理伺服器服務（研究人員將其稱為Faceless），根據研究人員的追蹤，該服務每週增加近7千名新用戶，而且，SolarMarker和IcedID等殭屍網路的經營者也採用TheMoon的服務。</p> <p>值得留意的是，在3月的第一週，研究人員看到對方在72小時內，攻擊超過6千臺華碩路由器。對此他們認為，駭客專門針對這些設備的原因，在於製造商不再提供產品更新與安全性支援，使得已知漏洞持續曝露，甚至使用者可能早就遺忘或遺棄這些設備。</p> <p><a href="https://blog.sucuri.net/2024/03/sign1-malware-analysis-campaign-history-indicators-of-compromise.html"><strong style="font-size: 22px;">惡意軟體Sign1鎖定WordPress網站而來，逾3.9萬個網站受害</strong></a></p> <p></p> <p>資安業者Sucuri揭露鎖定WordPress網站的惡意軟體Sign1攻擊行動，有超過3.9萬個網站遭到感染。對於這起攻擊行動的發現，他們看到自己客戶的網站遭到暴力破解攻擊而被入侵，一旦攻擊者取得存取權限，就會濫用WordPress自訂HTML小工具，或是部署名為Simple Custom CSS and JS的外掛程式，從而注入惡意JavaScript程式碼。</p> <p>研究人員分析Sign1的程式碼，發現對方每10分鐘就更換一次URL，使得瀏覽受害網站的用戶不斷被導向惡意網站，但這些網域都是在攻擊之前才註冊，而不會遭到封鎖。</p> <p>特別的是，Sign1在執行前會針對使用者的來源進行檢查，只對來自Google、臉書、Instagram、雅虎存取受害網站的用戶發動攻擊，並對瀏覽器產生專用的cookie，從而將使用者導向詐騙網站，並引誘他們啟用網站通知。</p> <p><a href="http://checkmarx.com/blog/over-170k-users-affected-by-attack-using-fake-python-infrastructure/"><strong style="font-size: 22px;">大型Discord機器人社群遭受供應鏈攻擊</strong></a></p> <p></p> <p>擁有17萬用戶的大型Discord機器人社群Top.gg傳出遭到供應鏈攻擊，攻擊者運用多種手法，包含挾持GitHub帳號、散布惡意Python套件、使用假造的Python基礎設施，並透過社交工程手法進行。</p> <p>駭客先是打造惡意開源工具來引誘開發者上當，並散布由冒牌Python基礎設施代管的相依性套件，將其與GitHub熱門專案連結，並挾持具有較高貢獻度的GitHub帳號，其中一個就是Top.gg的維護者editor-syntax，攻擊者藉由他的帳號提交惡意程式碼，從而導致其他開發人員的電腦有可能被植入惡意版本的Python套件。此外，對方也濫用該名維護者的帳號，對惡意GitHub帳號給予星等評價。</p> <p><a href="https://unit42.paloaltonetworks.com/chinese-apts-target-asean-entities/"><strong style="font-size: 22px;">中國駭客組織攻擊東南亞國家聯盟成員及附屬組織</strong></a></p> <p></p> <p>資安業者Palo Alto Networks揭露近日中國駭客組織針對東南亞國家聯盟（ASEAN）的攻擊行動，其中一起是針對緬甸、菲律賓、日本、新加坡而來，源於別名為Mustang Panda、Earth Preta的駭客組織Stately Taurus，他們假借ASEAN與澳洲舉辦的特別會議為由，在3月4日至5日散布惡意軟體。</p> <p>另一起行動則是入侵ASEAN附屬組織，攻擊者身分不明，並對於柬埔寨、寮國、新加坡的政府機關發動攻擊，根據對方活動的時間，研究人員推測攻擊者來自中國。</p> <p><strong style="font-size: 22px;">英國、芬蘭、紐西蘭、澳洲指控中國政府指使駭客組織攻擊民主國家政府單位</strong></p> <p></p> <p>繼<a href="https://www.ithome.com.tw/news/161948">美國對中國駭客組織APT31、與之有關的公司武漢曉睿智科技（Wuhan XRZ）祭出制裁，並對7名成員提告</a>，後續有更多國家出面，指控遭到與中國國家安全部（MSS）有關的APT駭客攻擊。</p> <p><a href="https://www.gov.uk/government/news/uk-holds-china-state-affiliated-organisations-and-individuals-responsible-for-malicious-cyber-activity">英國國家網路安全中心表示</a>，選舉委員會的系統疑似在2021至2022年遭中國駭客破壞，APT31亦在2021年企圖對議員出手但並未得逞。對此，他們將對APT31、武漢曉睿智科技、2名成員進行制裁。</p> <p>芬蘭警方則是<a href="https://poliisi.fi/en/-/investigation-into-hacking-of-parliament-s-information-systems-has-been-ongoing">對於國家調查局3年前揭露的事故提出指控</a>，這起事故針對議會的資訊系統而來，駭客於2020年秋季至2021年初從事網路間諜行動，攻擊者身分就是APT31，他們鎖定其中1名嫌犯。</p> <p>紐西蘭政府通訊安全局（GCSB）指出，2021年議會的法律顧問辦公室、服務部遭到入侵，<a href="https://www.beehive.govt.nz/release/parliamentary-network-breached-prc">經調查攻擊者的身分是中國駭客組織APT40</a>。</p> <p><a href="https://www.foreignminister.gov.au/minister/penny-wong/media-release/cyber-targeting-uk-democratic-institutions">澳洲也對中國駭客的攻擊行動公開譴責</a>，並強調該國的選務系統並未受到英國事故波及；但<a href="https://www.afr.com/technology/leaked-documents-reveal-australia-targeted-by-chinese-hackers-20240325-p5ff4h">當地媒體Australian Financial Review根據中國資安業者安洵信息（i-Soon）外流的資料指出</a>，澳洲也遭到中國政府鎖定。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2024/03/stable-channel-update-for-desktop_26.html"><strong style="font-size: 22px;">Google修補Pwn2Own揭露的Chrome零時差漏洞</strong></a></p> <p></p> <p>3月26日Google發布123.0.6312.86、123.0.6312.87版Chrome，總共修補7個漏洞，其中兩個是漏洞挖掘競賽Pwn2Own Vancouver 2024發現的零時差漏洞，而引起關注。</p> <p>其中一個是記憶體釋放後濫用（UAF）漏洞CVE-2024-2886，此弱點出現於WebCodecs元件，為高風險層級；另一個是類型混淆漏洞CVE-2024-2887，此弱點出現於WebAssembly元件，同樣也被列為高風險層級。</p> <div> <p><a href="https://www.securityweek.com/apple-patches-code-execution-vulnerability-in-ios-macos/"><strong style="font-size: 22px;">蘋果發布iOS 17.4.1、macOS Sonoma 14.4.1，修補AV1影音解碼器漏洞</strong></a></p> <p></p> <p>蘋果近日發布iOS 17.4.1及16.7.7、iPadOS 17.4.1及16.7.7、visionOS 1.1.1、macOS Sonoma 14.4.1、macOS Ventura 13.6.6，以及Safari 17.4.1，當中修補CVE-2024-1580，此為AV1影音解碼器dav1d的整數溢位漏洞，一旦觸發有可能導致記憶體中斷，從而在處理圖片的過程被用於執行任意程式碼，CVSS風險評為5.9。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://moda.gov.tw/press/press-releases/11872"><span style="font-size: 20px;">數位部澄清政府短網址服務、111簡訊未遭到破解</span></a></strong></p> <p><a href="https://www.netcraft.com/blog/darcula-smishing-attacks-target-usps-and-global-postal-services/"><strong style="font-size: 20px;">iPhone用戶遭到網釣攻擊套件Darcula鎖定，藉由iMessage散布釣魚簡訊</strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-ray-framework-flaw-to-breach-servers-hijack-resources/"><strong style="font-size: 20px;">人工智慧框架Ray漏洞遭到鎖定，攻擊者挾持運算能力挖礦、竊取機敏資料</strong></a></p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/security-brief-ta450-uses-embedded-links-pdf-attachments-latest-campaign"><strong><span style="font-size: 20px;">伊朗駭客組織MuddyWater透過遠端管理工具Atera控制受害電腦</span></strong></a></p> <p><a href="https://blog.eclecticiq.com/operation-flightnight-indian-government-entities-and-energy-sector-targeted-by-cyber-espionage-campaign"><strong><span style="font-size: 20px;">駭客佯裝印度空軍做為幌子，對國防及能源單位散布惡意程式</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162004"><strong>【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161956"><strong>【3月26日】Google搜尋提供的AI建議竟列出詐騙網站和惡意網站</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161940"><strong>【3月25日】俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader</strong></a></p> </div></div></div>
2024/3/28 16:28作者周峻佑https://www.ithome.com.tw/news/162015
Claude 3 Opus模型於Chatbot Arena上擊敗GPT-4 Turbo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在這幾天，專門盲測大型語言模型（LLM）能力的<a href="https://huggingface.co/spaces/lmsys/chatbot-arena-leaderboard" target="_blank">LMSYS Chatbot Arena排行榜</a>出現了變化，由Anthropic所打造的Claude 3 Opus模型擠下了OpenAI的GPT-4，成為該排行榜上等級最高的LLM。</p> <p>LMSYS Chatbot Arena是由研究組織<a href="https://lmsys.org/blog/2023-05-03-arena/" target="_blank">Large Model Systems Organization在去年5月所發表</a>，為一採用Elo評分系統的平臺，Elo評分系統可用來計算參與者的相對技能，最初是為了改善西洋棋的評分系統而設計，之後則被應用在足球、棒球、籃球、桌球、各種棋盤遊戲，以及最近的大型語言模型；而LMSYS Chatbot Arena則是個開放且眾包的盲測排行榜，支援75種大型語言模型，使用者可於網頁上輸入各種提示，以查看兩個隨機選擇的模型所提供的答案，系統並未揭露生成答案的模型，並由使用者評斷答案的優劣，亦可選擇平手或兩個答案都不好。</p> <p>自LMSYS Chatbot Arena排行榜於去年5月上線以來，評分最高的大型語言模型一直是GPT，但Claude 3 Opus在本周擠下了GPT--4-1106-preview（去年11月釋出的GPT-4 Turbo）與GPT-4-0125-preview（今年1月釋出的GPT-4 Turbo）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-LMSYS%20Chatbot%20Arena.png" style="width: 600px;" /></p> <p><a href="https://www.ithome.com.tw/news/161610" target="_blank">Anthropic是在今年3月發表Claude 3系</a>列的模型家族，涵蓋最低階的Claude 3 Haiku、中階的Claude 3 Sonnet，以及最強大的Claude 3 Opus，除了Claude 3 Opus位居LMSYS Chatbot Arena排行榜冠軍之外，中階的Sonnet與低階的Haiku也都在前十名的榜單上。</p> <p>由曾擔任OpenAI研究副總裁的Dario Amodei，以及其妹妹、同樣身為OpenAI資深員工的Daniela Amodei在2021年共同創立的Anthropic，被視為是OpenAI目前最強勁的對手，鎖定資料科學、機器學習與AI的內容網站<a href="https://www.kdnuggets.com/getting-started-with-claude-3-opus-that-just-destroyed-gpt-4-and-gemini" target="_blank">KDnuggets認為</a>，Anthropic所發表的Claude 3在所有LLM基準測試中都優於GPT-4和Gemini Ultra，已是AI領域新的領導者。</p> <p><a href="https://www.reddit.com/r/ChatGPTPro/comments/1b9czf8/gpt4t_vs_claude_3_opus/" target="_blank">在Reddit平臺有關GPT-4 Turbo與Claude 3 Opus的討論中</a>，多數人贊成Claude 3 Opus的寫作與處理文章的能力勝過GPT-4 Turbo，有人說GPT-4 Turbo對複雜問題的處理能力優於Claude 3 Opus，亦有人覺得Claude 3 Opus所生成的程式碼品質與GPT-4 Turbo相當，但更人性化。</p> </div></div></div>
2024/3/28 17:44作者陳曉莉https://www.ithome.com.tw/news/162023
Amazon已完成投資Anthropic 40億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/company-news/amazon-anthropic-ai-investment" target="_blank">網路巨擘Amazon本周宣布</a>，已完成對AI新創業者Anthropic的40億美元投資，成為該公司創投最高金額紀錄。</p> <p>去年9月Amazon宣布挹注Anthropic 40億美元的計畫，當時僅先投入了12.5億。本周Amazon再補齊剩下的27.5億，完成了對這家新創公司的投資。</p> <p>在這項合作下，Anthropic將成為Amazon Web Services（AWS）的客戶及研發合作夥伴。首先，Anthropic將以AWS為關鍵負載，包括安全研究和未來基礎模型開發的主要供應商。Anthropic將使用AWS Trainium及Inferentia晶片來打造、訓練和部署未來的模型，並且部署在Amazon Bedrock AI平臺上提供AWS客戶使用基礎模型及相關功能，包括檢索增強生成（retrieval augmented generation）、護欄、模型評估與AI助理等，以協助開發生成式AI應用。</p> <p>Amazon將取得這家公司的少數所有權（minority ownership），但不會取得Anthropic董事會席位。</p> <p>本月稍早<a href="https://www.aboutamazon.com/news/aws/amazon-bedrock-anthropic-ai-claude-3" target="_blank">Amazon Bedrock已開始提供</a>Anthropic最新大型語言模型（LLM）Claude 3系列，號稱回應能力具人類等級、準確性和可控性都更好。其中最大型的Claude 3 Opus在推理、數學及編程能力已超越OpenAI的GPT-4。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-amazon%20bedrock%20claude%203.png" style="width: 600px;" /></p> <p>Amazon公布已經有多家企業及開發商在Bedrock上以Claude AI模型開發自家應用，包括達美航空、西門子、理光（Ricoh）美國分公司、網路代管業者Go Daddy、輝瑞藥廠、電話客服中心廠商Genesys、Dana-Farber Cancer Institute治療研究機構、基因研究業者Genomics England及職業高爾夫協會PGA等。</p> <p>如同OpenAI或其他AI新創，Anthropic已成為當紅吸鈔機。<a href="https://www.cnbc.com/2023/12/21/openai-rival-anthropic-in-talks-to-raise-750-million-funding-round.html" target="_blank">CNBC報導</a>，去年底Anthropic在幾輪募資中市值已經來到184億美元，是去年初的4.5倍。Google也投注了20億美元。</p> </div></div></div>
2024/3/28 16:48作者林妍溱https://www.ithome.com.tw/news/162016
Databricks開源通用大型語言模型DBRX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料暨AI業者Databricks周三（3/27）開源了通用大型語言模型（LLM）DBRX，<a href="https://www.databricks.com/company/newsroom/press-releases/databricks-launches-dbrx-new-standard-efficient-open-source-models" target="_blank">宣稱DBRX在各式標準的基準測試上</a>超越了坊間所有的開源模型，也在大多數的基準測試上擊敗GPT 3.5。</p> <p>DBRX是個基於Transformer解碼器的大型語言模型，採用細粒度的混合專家（Mixture of Experts，MoE）架構，具備1,320億個參數，當中有360億個經常處於活動狀態，於12T Token的文字與程式碼資料上進行預訓練。</p> <p>相較於市場上既有的LLaMA2-70B、Mixtral和Grok-1等開源模型，DBRX在語言理解（MMLU）、程式設計（HumanEval）及數學邏輯（GSM8K）等基準測試上的表現明顯勝出。此外，DBRX在上述3項基準測試中亦凌駕OpenAI的GPT 3.5。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-databricks-dbrx-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-databricks-dbrx-600-2.png" style="width: 600px;" /></p> <p>若比較更高階的GPT 4、Claude 3及Gemini 1.0 Pro，那麼DBRX在語言理解上贏過Gemini 1.0 Pro，在程式設計上贏過GPT 4與Gemini 1.0 Pro。</p> <p>Databricks亦強調，DBRX是個採用<a href="https://arxiv.org/abs/2211.15841" target="_blank">MegaBlocks研究</a>與開源專案的混合專家（MoE）模型，得以實現快速的Token處理能力，也相信未來將有更多的開源模型採用MoE架構，因為MoE可用來訓練更大的模型，並以更快的吞吐量來提供服務。</p> <p>Databricks生成式AI副總裁Naveen Rao 向<a href="https://techcrunch.com/2024/03/27/databricks-spent-10m-on-a-generative-ai-model-that-still-cant-beat-gpt-4/" target="_blank">《TechCrunch》</a>透露，該公司花了兩個月及1,000萬美元的成本來訓練DBRX，而經過訓練的DBRX可提供各種主題，現已針對英文進行優化，但也支援法文、西班牙文與德文。</p> <p>不過，《TechCrunch》也指出，一般人並不容易使用DBRX，因為要執行DBRX至少必須配備4個Nvidia H100 GPU或其它GPU，且光一個H100的成本就高達數萬美元，對許多開發者或個人企業家而言是遙不可及的。</p> </div></div></div>
2024/3/28 17:13作者陳曉莉https://www.ithome.com.tw/news/162017
Google報告指去年第三方元件零時差漏洞攻擊增加，鎖定企業軟硬體創新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/technology/safety-security/a-review-of-zero-day-in-the-wild-exploits-in-2023/" target="_blank">Google公布最新漏洞研究報告</a>，顯示第三方元件如函式庫的漏洞攻擊愈來愈多，而針對企業資安軟、硬體的零時差漏洞攻擊創下新高。</p> <p>這份報告是整合Google威脅研究事業群與旗下資安部門Mandiant 2023年零時差漏洞的研究而成，包含針對消費者平臺（如行動裝置、OS、瀏覽器等）和企業產品（如安全軟體和裝置等）爆發的零時差漏洞攻擊。綜觀2023年，Google一共觀測到97項零時差漏洞，比2022年（62項）高50%，但低於2021年的106項，該年也是零時差漏洞史上最多。</p> <p>以平臺而言，2023年Windows以17項被攻擊的零時差漏洞最多，其次是Safari的11項。iOS和Android各有9項，Chrome有8項。除了Chrome比2022年減少1項，macOS、Firefox去年全身而退外，其他都增加了4到8項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-google%20zeroday-1(1).png" style="width: 600px;" /></p> <p>這份報告歸納去年研究有5大趨勢。首先，平臺廠商強化安全防護，有助於抑制安全攻擊。包括Google 2022年<a href="https://security.googleblog.com/2022/09/use-after-freedom-miracleptr.html" target="_blank">推出MiraclePtr</a>來防範Chrome的使用已釋放記憶體（use-after-free）漏洞。<a href="https://www.ithome.com.tw/news/151816" target="_blank">蘋果也為iOS加入</a>鎖定（Lockdown）模式防範間諜軟體。</p> <p>其次，第三方軟體的零時差漏洞攻擊大增，第三方元件和函式庫成為主要攻擊表面，因為這些漏洞影響不只一種產品，例如Chrome漏洞CVE-2023-4863（名為the WebP 0day）和蘋果Apple ImageIO漏洞CVE-2023-41064其實是同一個，源自WebPimage函式庫，該漏洞也影響Android和Firefox。影響VP8/VP9 libvpx函式庫的CVE-2023-5217，則同時影響Chrome、Firefox、iOS和Android。</p> <p>第三，瞄準企業產品的攻擊持續增加，目標也更多樣化。雖然2023年零時差漏洞總數不是最高，但針對企業產品的卻是歷年新高，由2021年的25項增加為36項，整體占比由11.8%增長為37.1%。研究人員指出，去年零時差漏洞鎖定少數資安軟硬體，包括Barracuda郵件匣道、思科Adaptive Security Appliance、Ivanti端點管理員及趨勢科技Apex One，但另一方面，過去較少被攻擊的產品如Ivanti及North Grid去年也都出現了3項零時差漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-google%20zeroday-2.png" style="width: 600px;" /></p> <p>在58項零時差漏洞的攻擊來源方面，去年商業監控業者和國家駭客是最主要的零時差漏洞推手，各占4成（14項漏洞）。商業監控業者（commercial surveillance vendor，CSV）是專門販售間諜軟體的業者。去年Google及Android裝置中的17項零時差漏洞攻擊，13項攻擊（75%）和CSV出售的間諜軟體有關，論及所有瀏覽器和行動裝置，和CVS有關則的超過60%。來自中國政府支持的駭客零時差漏洞攻擊，去年有12項漏洞，仍居各國之冠。最後，以金錢為目的的零時差漏洞較前一年減少，僅占17.2%。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/3/28 15:53作者林妍溱https://www.ithome.com.tw/news/162014
導入英特爾NetSec加速卡參考設計，神準跨入SmartNIC
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shen_zhun_sx904_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年2月底舉行的世界行動通訊大會期間，英特爾宣布多項消息，像是：將推出代號為Granite Rapids-D的Xeon處理器，採用高效能核心P-Core、內建AI加速功能Intel AVX for vRAN；展示代號Sierra Forest的下一代Xeon處理器，可提供288顆運算核心，用於5G核心網路系統；發表模組化開放軟體平臺Intel Edge Platform，支援邊緣及AI解決方案建置管理；以及提供具有AI PC特色的商用電腦平臺vPro，搭配內建Arc GPU的Intel Core Ultra處理器。</p> <p>若單就我們長期追蹤的SmartNIC與IPU／DPU解決方案而言，英特爾這次特別標榜神準科技（Senao Networks）推出的新產品SX904。根據過往的觀察，基於英特爾平臺而成的這類加速卡或卸載卡，在市面上較常看到的品牌是以色列廠商Silicom，臺灣廠商有立端（Lanner），英業達也曾推出FPGA IPU C5020X，旗下有多種網路設備的神準科技，是最近開始跨足SmartNIC領域，他們之所以能夠推出這類產品，主要是因為採用英特爾發展的NetSec加速卡參考設計（NetSec Accelerator Reference Design）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Show%20Senao%20SX904-2024-02.jpg" style="width: 600px;" /></p> <p>SX904搭配哪些硬體元件？採用Ice Lake微架構的英特爾Xeon-D處理器、具有編碼錯誤更正機制（ECC）的DDR4記憶體、網路控制器Intel Ethernet Controller E810與2個SFP28接頭的25GbE網路埠，以及PCIe 4.0介面，神準強調，基於上述配置，他們的SmartNIC可提供更高的運算效能，運用AVX-512、AES-NI、QuickAssist、SGX等加速處理與資料機密保護技術，並搭配基板管理控制器（BMC）、信賴平臺模組（TPM），獲得遠端管理、韌體安全強化功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel NetSec Accelerator Reference Design-2023-2024.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20NetSec%20Accelerator%20Reference%20Design-2023-2024.jpg" style="width: 600px;" /></a></p> <p>回顧Intel NetSec Accelerator參考設計的公開發表，其實是在2022年6月舉行的RSA大會，英特爾希望藉此改善網路與資安處理效能，縮小這類解決方案供應商的基礎架構配置，他們初期提供的設計是協助廠商快速組建產品，透過PCIe介面卡的形式，提供英特爾長期發展的QuickAssist加速技術（QAT），以及具有資源調度指揮與管理機制的完整伺服器功能，可幫忙主系統處理IPsec、SSL/TLS加解密，以及網路防火牆、SASE安全存取、資料分析等類型的工作負載。而在軟硬體合作夥伴與生態系統的號召上，<a href="https://networkbuilders.intel.com/university/webcasts/f5-solutions-running-on-the-intel-netsec-accelerator-reference-design">Silicom與F5</a>是第一波運用這個參考設計的廠商，提供網路與資安功能的整合與加速，促成快速擴展執行規模與縮短上市時間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SASE Architecture enabled by Intel NetSec Accelerator Reference Design-2024-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/SASE%20Architecture%20enabled%20by%20Intel%20NetSec%20Accelerator%20Reference%20Design-2024-02.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nginx-Intel NetSec1-2022.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nginx-Intel%20NetSec1-2022.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Nginx-Intel NetSec2-2022.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nginx-Intel%20NetSec2-2022.png" style="width: 298px;" /></a></p> <p>而關於硬體元件的配備，起初採用的系統運算核心是英特爾Atom處理器，並且結合網路控制器Intel Ethernet Network Adapter E810、網路交換器、設置於板卡的DDR4記憶體，以及透過系統單晶片架構封裝而成的硬體加速器（包含QAT），藉此縮短封包資料傳遞路徑、提供低延遲的網路連線能力，並兼具降低設備成本、伺服器機箱空間、耗電量等效益。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel NetSec Accelerator Reference Design-2022-2023.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20NetSec%20Accelerator%20Reference%20Design-2022-2023.jpg" style="width: 600px;" /></a></p> <p>到了2023年第四季，英特爾在Intel Network Builders合作廠商生態系統，揭露這項參考設計的後續進展，並且也在網站公布細部硬體規格。他們明確列出兩種配置，共通點是搭配Intel Ethernet Network Adapter E810網路控制器。</p> <p>其中一種是前面提到的，處理器採用8核心或16核心的Atom，分別是Atom P5721、Atom P5742，它們均為Snow Ridge微架構，內建AESNI、QAT，此種參考設計已經開始量產，由Silicom供應。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NetSec Accelerator Reference Design overview-2023-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NetSec%20Accelerator%20Reference%20Design%20overview-2023-11.jpg" style="width: 600px;" /></a></p> <p>另一種是搭配4核心、8核心或10核心Xeon-D處理器，分別是Xeon D-1713NT、Xeon D-1733NT、D-1743NTE，它們均採用Ice Lake微架構，內建AESNI、QAT，也有AVX-512、SGX，神準提供的SmartNIC屬於這種類型，將於今年第2季開始供應這種參考設計。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20NetSec-offering-2024-02.jpg" style="width: 600px;" /></p> <p>而在實際應用案例的部分，英特爾此時公布有多家資安廠商導入，像是：<a href="https://nonamesecurity.com/press/noname-security-joins-intel-network-builders/">API安全廠商Noname Security</a>在他們的感測器系統搭配Intel NetSec Accelerator參考設計，而能將網路與資安工作處理卸載至這個加速器，提升API反應速度，針對低延遲的使用情境，提供近乎即時的機器學習效能，實現網路邊緣的API安全防護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NoName-Intel NetSec-2023-Q4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NoName-Intel%20NetSec-2023-Q4.png" style="width: 600px;" /></a></p> <p><a href="https://redpiranha.net/news/red-piranha-collaboration-intel-releases-new-single-vendor-sase">XDR與SASE廠商Red Piranha</a>是另一個例子，他們推出的Single Vendor SASE，包含內建1GB記憶體的Intel NetSec Accelerator參考設計，而用於資安掃描的網路吞吐量可達到2.4 Gbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Red Piranha-NetSec-2023-Q4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20Piranha-NetSec-2023-Q4.png" style="width: 198px;" /></a><a href="https://s4.itho.me/sites/default/files/images/Red Piranha-NetSec-2023-Q4-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20Piranha-NetSec-2023-Q4-2.jpg" style="width: 398px;" /></a></p> <p><a href="https://versa-networks.com/news/2023/versa-networks-to-showcase-sase-on-smart-nic-functionality-at-intel-innovation-2023/">SASE廠商Versa Networks</a>也利用這個參考設計，發展出Versa Secure SD-NIC產品，當中執行支援多租戶、提供多種服務的雲端原生軟體堆疊Versa Operating System（VOS），可用來延伸該公司的Secure SD-WAN與Secure SD-LAN架構，展示SASE on a Smart NIC的應用方式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Versa SD-NIC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Versa%20SD-NIC.jpg" style="width: 600px;" /></a></p> <p><a href="https://arrcus.com/blog/arrcus-edge-networking-solutions-on-intel-netsec-accelerator-reference-design/">多雲網路解決方案廠商Arrcus</a>將此技術運用於虛擬路由器ArcEdge，能以容器、虛擬機器或裸機型態的軟體系統，執行在相容於Intel NetSec Accelerator參考設計的板卡上，已提供同質的應用程式連線，串接代管機房、邊緣運算環境至公有雲、企業內部資料中心之間，可協助電信業者、代管機房業者能夠發展出多個網路切片，而能同時滿足用戶對於高頻寬與低延遲的服務等級協議（SLA）要求，以及這些廠商保留實體空間、增進整體能源使用效率的要求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ArcEdge on NetSec Accelerator-2023-Q4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ArcEdge%20on%20NetSec%20Accelerator-2023-Q4.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-10-Hypothetical-ArcEdge-Colocation-Host-Architecture-on-Intel-NetSec-Accelerator-Reference-Design.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-10-Hypothetical-ArcEdge-Colocation-Host-Architecture-on-Intel-NetSec-Accelerator-Reference-Design.jpg" style="width: 298px;" /></a></p> <p><a href="https://www.adtran.com/en/newsroom/press-releases/20231114-adtran-integrates-intel-netsec-accelerator-reference-design-with-ensemble-cloudlet">分散式網路與電信通訊廠商Adtran</a>，宣布他們的Ensemble Cloudlet軟體多節點解決方案，整合Intel NetSec Accelerator參考設計，強化邊緣端的雲端服務部署，提供強化的安全性、更快的資料處理能力，並且改善網路效能，而基於這樣的參考設計，可用於彈性部署加密加速與運算卸載的機制，能針對服務供應商與企業在網路邊緣與內部網路設置的模組化雲端基礎架構，帶來成本效益與高效率的做法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Adtran Ensemble Cloudlet and management platform-2023-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Adtran%20Ensemble%20Cloudlet%20and%20management%20platform-2023-11.jpg" style="width: 600px;" /></a></p> <p>根據在英特爾公布的相關技術運作架構，也特別標示出Ensemble Cloudlet執行在Supermicro的2U3節點伺服器SYS-211SE-31D，而且當中會搭配NetSec加速卡，例如，搭配Atom處理器的Silicom P425G2SNx IAONIC SmartNIC，以及搭配Xeon-D處理器的神準SX904。而這套解決方案組合，也正是最前面我們提到英特爾MWC 2024大會期間所展示的產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Show Senao and Silicom-2024-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Show%20Senao%20and%20Silicom-2024-02.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Senao Networks SX904</strong><br /> ●原廠：神準科技<br /> ●建議售價：廠商未提供<br /> ●外形：全高、3/4長介面卡<br /> ●處理器：Xeon D-1713NT（4核心、45瓦熱設計功耗）、Xeon D-1733NT（8核心、53瓦熱設計功耗）、Xeon D-1747NTE（10核心、80瓦熱設計功耗）<br /> ●記憶體：DDR4-2933、雙通道存取，最大32 GB<br /> ●I/O介面：PCIe 4.0 x8<br /> ●網路介面：2個SFP28埠（可支援25 GbE）<br /> ●遠端系統管理元件：信驊科技AST1060（Intel PFR）、信驊科技AST2600（Open BMC/BIOS）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/3/28 12:51作者李宗翰https://www.ithome.com.tw/review/161958
關鍵民生系統將支援跨境公雲，大幅提升大型災禍的應變韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「現行公務機關的異地備援、備份機制，當發生小規模災難，如機房失火可靠其他資料中心支援，但若遇到大規模災難或是人禍，連30公里外的資料中心也無法運作，要怎麼辦？」，數位發展部數位政府司長王誠明一語點出公務機關現有備援、備份機制不足之處。</p> <p>當發生地震等重大災害或因為戰爭進入緊急狀態，就像一堂臨時的隨堂考試，考驗政府服務的韌性準備是否足夠，為穩定社會秩序，政府應該維持社會的基本運作，並達到安撫民眾的效果。</p> <p>目前公務機關依據資安規定，依照機關的資安等級，針對營運持續運作訂定營運持續計畫，並進行演練，在公務機關的主機房建立本地備援、備份之外，在30公里以外的地點建置異地備援、備份中心，考慮到主要機房如果遭受災害、人為破壞或機房設備故障，可由另一地的備援中心接手，以維持系統運作提供服務，並保存資料。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>機關在境內建立備援機制，難以應付大規模災害或人禍</strong></span></span></p> <p>然而，這套公務機關運作多年、熟練的異地備援、備份架構，主要因應系統故障或颱風、地震、水災、火災等小規模災害為主，公務機關多基於資料機敏性及安全性考量，主、異地備援資料中心建置在境內。</p> <p>近幾年隨著全球極端氣候、大型災害頻傳，加上國際情勢丕變，例如2022年東加大地震，同年爆發俄烏戰爭，2023年中東地區以哈戰爭，兩岸關係也日趨緊張，大規模災害如地震、海嘯，或是戰爭等緊急狀態威脅增加，機房等關鍵資訊基礎設施遭到破壞，如果境內的主、異地備援資料中心無法運作，關鍵民生系統停擺，服務就可能面臨癱瘓。</p> <p>另一個問題是，公務機關大多依賴外部廠商協助開發、維運，一旦發生災害或緊急狀態，城市、交通要道毀損，外部廠商難以支援的情形下，公務機關必需自行操作維運，但由於平時過度仰賴廠商，公務機關人員缺乏自主的能力。</p> <p>另外，機關過去的演練偏向系統發生異常或單一設備故障，主、備中心切換，當發生緊急狀態，缺乏從公有雲操作備援、備份的能力。</p> <p>鑑於國際上借助公有雲提升災害及戰時政府韌性的案例，當境內的資料中心因災禍遭到破壞，讓境外公有雲即時救援，緊急提供關鍵民生基本服務，提高政府緊急應變能力，在境外公有雲備份保存資料。行政院在去年11月通過數位發展部規畫的「數位韌性-行政部門關鍵民生系統韌性方案」（以下簡稱韌性方案），該方案為4年計畫，投入13.4億元，聯合7個部會，共18個關鍵民生系統。</p> <p>選定的系統包括內政部的戶政與役政系統、土地登記與地用系統、土地複丈與地價系統，內政部移民署的入出國查驗系統、移民管理系統，財政部的國稅、地稅系統，衛福部健保署的健保承保系統、醫療系統，交通部公路局的車籍與駕籍系統、運輸業管理系統，經濟部的公司與工廠管理系統、商工資料查詢服務、重要物資及固定設施調查系統，勞動部的勞保系統，還有數位部的全球資訊網站、公務系統、雲端T-Road。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>讓跨境公有雲扮演境外緊急備援、備份中心</strong></span></span></p> <p>為了提高關鍵民生系統的韌性，該方案有2大作法，第1個是打造核心功能上雲，第2個是資料雲端備份。</p> <p>打造核心功能系統上雲方面，由公務機關盤點關鍵民生系統在災害或緊急狀態需要的基本功能服務，利用雲原生架構開發輕量化的核心功能系統，部署至跨境公有雲，當災害或緊急狀態下境內資料中心遭破壞，緊急由境外公有雲的核心功能系統備援，維持政府基本服務運作。</p> <p>資料雲端備份，透過境外公有雲保存資料，不同的是，資料並非直接儲存在雲端備份，必需經過加密分持備份後，在跨境公有雲備份，在事後重建系統、還原資料。公務機關演練雲、地系統切換，資料雲端備份還原。</p> <p>韌性方案借助境外公有雲資源，當公務機關在境內的資料中心都無法運作時，可由跨境公有雲扮演境外緊急備援、備份資料中心角色，相較於過去公務機關在境內建置的主、異地備援中心，仍有固定的地理位置，而跨境公有雲由於在境外且沒有固定位置，使用雲端服務也有相當大的彈性。</p> <p>王誠明表示，韌性方案的目的是在大規模災害或緊急狀態下，當境內資料中心無法運作，甚至緊急狀態持續半年或一年，透過雲端保存資料、核心功能系統，考慮到在緊急狀態下，網路傳輸資源受限，無法將整個關鍵民生系統移到雲端，因此開發輕量化的核心功能系統上雲，滿足社會的基本運作需求。當天災人禍結束後，公務機關自己具備能力，不需依賴廠商，能容易重建系統、回復資料。</p> <p>換言之，過去公務機務仰賴境內的資料中心維持關鍵民生系統及服務，一旦遇到大規模強震、颱風或戰爭導致資料中心毀損，關鍵民生服務停擺，政府在動員、資源調度上也會受到影響；而透過境外公有雲建立境外緊急備援、備份機制，即使境內資料中心毀損，仍可透過境外公雲、有限的通訊網路，維繫基本的民生服務，同時讓政府掌握資源應變。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>加速政府機關擁抱公有雲</strong></span></span></p> <p>過去政府機關對採用公有雲態度比較保守，一方面因為資訊系統多年發展下來，架構老舊且龐雜，如果要改寫，往往牽一髮動全身，需要投入大筆經費，且耗費不少時間，缺乏經費來調整系統架構。另外，公務機關資料如果涉及敏感性資料，放到雲端恐有資料外洩的疑慮，並且受到外界的質疑。</p> <p>隨著雲端服務成熟，各種工具、應用豐富多元，計價收費也更為細緻化，企業採用雲端服務已相當普遍，政府機關也看好雲端服務帶來節省支出、資源彈性運用優勢，國發會在2020年推動「雲世代雲端基礎建設計畫」(推動期從2021年到2025年)，和農委會(現為農業部)、內政部、財政部、經濟部、文化部等7個部會合作，規畫29項政府為民服務上雲，例如內政部的TGOS地理資訊圖資雲服務、財政部的消費通路雲端發展微服務、稅務好幫手、海關e申報等對民服務逐漸移到公有雲。</p> <p>雲世代雲端基礎建設計畫規畫上雲的服務，以面向民眾服務優先、不具機敏性資料，可善用雲端服務的可用性及資源彈性擴充，因應服務使用的離尖峰需求彈性擴充、縮減資源，節省機關的支出。</p> <p>這次關鍵民生系統韌性方案的推動，是以災害或緊急應變的服務韌性角度出發，以經費補助7個部會的公務機關，以勞健保、戶役政、國稅、地稅等大型民生關鍵系統為對象，利用雲原生架構開發全新的核心功能系統，部署於境外公有雲，同時也以資料加密分持備份上雲。</p> <p>在政府強化關鍵民生系統韌性上，關鍵在於透過跨境公有雲扮演緊急救援的角色，其重要性不言而喻，將公有雲正式納入公務機關的重要民生系統營運持續規畫中，讓公務機務加速擁抱公有雲。</p> <p>財政部財政資訊主任張文熙表示，政府機關對採用公有雲保守的原因，包括考量安全因素及經費，首先，雲端和在地系統投入的安全投資不同，需要重新建置規畫，其次，改寫現有系統需要投入大筆經費，韌性方案補助經費，讓機關開發關鍵系統的核心功能系統上雲，讓公務機關更有意願將公有雲納入選項。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>地端系統也會朝微服務、容器化發展</strong></span></span></p> <p>由於財政部稅務系統因為使用已超過10年，也面臨汰換階段，財政資訊中心考慮採用新方法汰換系統，也重新思考系統韌性，未來將評估哪些功能或服務可被切分，優先以雲原生架構開發，利用雲原生架構的彈性，來滿足服務使用離尖峰需求。</p> <p>因政府機關過去熟悉的是地端系統架構，對雲原生架構開發、雲端管理相當缺乏，衛福部健保署副署長龐一鳴更是直言，對雲有想像、有期待，但內部專業能力不足，韌性方案除了提供類似沙盒環境驗證新作法，也提供很好的機會練兵。</p> <p>健保署也計畫未來逐漸調整現有系統架構，從單體式系統轉為微服務架構，以利用微服務的彈性、容易水平擴充、易於部署等特性，來提升系統的可用度及穩定度。</p> <p>關鍵民生系統韌性方案，透過公有雲加強民生系統對大規模災害的韌性，公務機關也藉此機會培養資訊團隊熟悉雲原生架構相關開發技術，不只是為了韌性方案開發核心功能系統上雲，也為未來地端系統汰換作準備，逐步朝向更具彈性、易擴充、部署的彈性架構發展。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>機敏資料備份至境外公雲引疑慮</strong></span></span></p> <p>過去政府服務上雲以非機敏性資料為主，此次韌性方案在資料備份上，可能對擁有大量敏感資料的公務機關帶來衝擊，過去政府機關不敢貿然讓服務上雲，其中一項考量便是資料安全，因此先前政府服務上雲，以非機敏資料的應用服務為主。</p> <p>不過，韌性方案基於緊急狀態下保存所有資料，這項資料備份作法並沒有區分機敏性或非機敏性資料，規定公務機關平時除了原有的資料備份之外，還需以資料加密分持備份到3個跨境公有雲，挑動機關的機敏資料保護的敏感神經。</p> <p>韌性方案規畫資料備份到跨境公有雲，例如勞健保、戶役政、地政、稅務等資料送到境外公有雲，雖然數位部事先檢視國內相關資安法規，並沒有規定政府機關資料不得上雲或在境外儲存，並且以資料加密分持備份降低資料外洩風險，即將資料加密後切分為3個部分，分別備份到3個跨境公有雲，單一公有雲的備份資料外洩，難以還原為完整資料。</p> <p>雖然如此，還有是有公務機關擔心資料即使加密分持備份到不同的境外公有雲，但是只要取得任意2份資料，加上量子電腦破解加密技術，還是可能導致資料外洩風險，鑑於韌性方案並沒有對跨境公有雲提出嚴格的建議，部分機關尋求解決之道，認為可將資料分持備份到具有跨境能力的境內公有雲。</p> <p><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:50作者蘇文彬https://www.ithome.com.tw/news/162000
【關鍵民生系統韌性大升級｜機關推動方向：內政部資訊服務司】結合資料雲端備份及演練強化戶役政與地政服務韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:-.1pt;">戶籍、地籍與民眾生活習習相關，以戶政為例，民眾使用戶政服務背後的戶役政資訊系統，戶政單位使用全國性的集中式管理資訊系統，這個全國性的大型管理系統，包含12,900餘萬支程式，高達1,100餘萬行程式碼，涵蓋60餘個資料庫。</p> <p style="margin-left:-.1pt;">而在地政系統方面，目前全國110個地政事務所使用的地政整合資訊系統，資料庫、土地登記、複丈及地價系統，為22個縣市的分散式管理資訊系統。</p> <p style="margin-left:-.1pt;">由於戶役政系統為重要的對民服務，內政部資訊服務司針對該系統，建立2地、3備援（備份）機制，以提升系統的可用性，強化服務的數位韌性；至於地政整合資訊系統則採分散式架構，存放在各直轄市、縣市地政局或地政處，內政部並針對地籍相關資料庫作地端的異地備援、備份機制。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>今年先驗證資料雲端備份機制</strong></span></span></p> <p style="margin-left:-.1pt;">在政府推動關鍵民生系統韌性方案中，戶役政系統、地政系統均被納入18個關鍵民生系統韌性方案，內政部資訊服務司成為韌性方案的合作機關之一，韌性方案分為兩大部分，建立資料加密分持雲端備份，以及開發核心功能系統上雲。</p> <p style="margin-left:-.1pt;">以地政系統為例，資訊服務司今年開始規畫提升地政系統的數位韌性，先計畫建立雲端備份機制，考量到在大型災禍的緊急狀態之下，公務機關委外廠商可能無法正常支援，因此需由機關人員自行操作備份，需建立簡易資料備份功能。</p> <p style="margin-left:-.1pt;">因地政資料分散在各縣市，他們先將各縣市地政局或地政處定期彙整各地地政事務所，地政系統使用的應用程式、地籍資料庫備份檔先經過壓縮後，再以資料加密分持備份，按照韌性方案要求，將備份資料畫分為3個部份，分別備份於3個境外公有雲。</p> <p style="margin-left:-.1pt;">今年先驗證及建立雲端備份機制後，預計在年底進行地政整合系統的雲端系統功能及資料切換演練，包括定期訓練內部人員操作資料分持備份還原，讓機關人員不僅可以自行操作資料加密分持備份，在緊急狀態結束後，也能自雲端取得備份資料操作還原資料。</p> <p style="margin-left:-.1pt;">而在核心功能系統方面，內政部將在2025年底之前，以雲原生架構開發土地登記、複丈及地價系統的核心功能系統，這套輕量化的核心功能系統目的為部署至跨境公有雲，在天災人禍的緊急狀態期間，確保仍能透過境外公有雲提供地政系統的基本服務，不致因為境內資料備援、備份失效而服務癱瘓。</p> <p style="margin-left:-.1pt;">針對全國集中管理的戶役政資訊系統，在資料備份方面，今年進行資料加密分持雲端備份的POC概念驗證，核心功能系統上雲方面，則需盤點核心功能的重要性，在緊急狀態下哪些功能服務需要維持；2025年開發戶役政核心功能系統，並依前一年資料加密分持備份的POC驗證經驗，開發系統緊急備份分持同步到公有雲的功能。</p> <p style="margin-left:-.1pt;">內政部規畫在2026年完成雲原生架構核心功能系統開發，並開始進行測試運作，同時也完成系統緊急備份、分持同步至公有雲系統功能。2027年開始培訓人員操作資料加密分持備份，以及核心功能模組維運及優化。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>傾向採用境內公雲解決資安疑慮</strong></span></span></p> <p style="margin-left:-.1pt;">依韌性方案的建議，採用跨境公有雲提升系統韌性，內政部資訊服務司司長黃國裕表示，未來如何選擇公有雲，基本上會由數位部評估，但是基於保護民眾資料的立場，考量資料備份至境外雲可能有資安疑慮，已向韌性方案的推動部會數位發展部反映，希望能採用具備跨境能力的境內雲，當境內發生緊急狀態，可透過雲交換到境外，國內已有業者具備跨境的能力。</p> <p style="margin-left:-.1pt;">雖然按照韌性方案的規畫，將資料加密分持為3份資料，只有取得2份才可能還原回復資料，但黃國裕表示，取得2份資料不會困難，儘管備份的資料經過加密，但量子電腦的出現容易破解加密。另外，現階段資料加密分持備份規畫採用AES256，加密處理速度需要較長時間，難以將全部的資料備份到雲端，不足以應付複雜的數位戶政業務需求，可能只能挑選部分的資料加密分持備份至雲端。</p> <p style="margin-left:-.1pt;">內政部配合韌性方案，將以容器化的微服務技術開發核心功能系統上雲，在此之前，過去國發會推動雲世代雲端基礎建設，內政部資訊服務司也將TGOS平臺移至公有雲，不論雲世代雲端基礎建設或是此次韌性方案，加速政府擁抱公有雲、雲原生技術，「未來的彈性化及多元服務發展是必然的」，黃國裕說。</p> <p style="margin-left:-.1pt;"><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:51作者蘇文彬https://www.ithome.com.tw/news/161997
【關鍵民生系統韌性大升級｜機關推動方向：交通部公路局】強化公路監理核心系統韌性供政府緊急調度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:-.1pt;">當大型災禍發生的緊急事態期間，政府救災、應變需要掌握交通相關的專業人員及設備，以方便調度可用資源，交通運輸監理成為緊急事態期間必要服務，因此負責全國交通監理的交通部公路局也參與關鍵民生系統韌性方案，公路局負責的第3代公路監理資訊系統(簡稱M3)底下的車籍與駕籍管理系統、運輸業管理系統，被選入關鍵民生系統韌性方案。</p> <p style="margin-left:-.1pt;">公路監理資訊系統，掌理全國的駕駛人、車輛，還有技工，此外，還有一些特殊機械動力的資料管理，因此在緊急期間資源調度運用上，其重要性不亞於以自然人為主體的戶役政系統，或是以法人為主的公司、工商資訊系統。</p> <p style="margin-left:-.1pt;">由於M3系統對全國交通監理的重要性，公路局原本採用高可用性的設計，甚至因應分布各地的監理所，部分監理所可能位於偏遠地區，就近服務當地的民眾，容易受到災害或意外中斷當地對外的固定網路通訊，公路局也與行動電信業者合作，以無線通訊網路4G VPN支援偏遠地區監理所的通訊。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>緊急狀態下滿足政府調度資源為優先</strong></span></span></p> <p style="margin-left:-.1pt;">交通部公路局資訊室主任陳文嘉表示，除了臺北的機房，在中部也設有異地備援機房，公路局每年執行備援演練，演練除了和地方的監理所合作之外，也和外部合作單位，例如繳費的超商合作演練。雖然北部與中部分別建立主要、異地備援資料中心，但如果未來發生大規模災害，主要及異地備援資料中心無法運作，通過此次韌性方案，可透過資料備份的3個跨境公有雲，取得任意2朵雲的備份資料，就能回復資料，「如此可以確保資料的安全，在災後復原階段，從公有雲取得備份資料，就能迅速復原」，他說。</p> <p style="margin-left:-.1pt;">在緊急事態期間，政府需要緊急調度可用資源，運輸物資可能需要的功能服務，公路局計畫開發全新架構的微型核心系統，並部署於跨境公有雲，當發生緊急事態期間，國內備援及備份機房無法運作，透過跨境公有雲的小型核心功能系統，供政府掌握擁有專業技術的駕駛人、專業車種，或是聯繫客運及貨運業者，調度車輛及駕駛協助運送物資。</p> <p style="margin-left:-.1pt;">評估在緊急事態期間，平時監理系統的違規、收稅費重要性降低，以緊急情況下應變的功能服務為優先。在盤點系統時，將資料分為機敏性、非機敏性資料，機敏性資料指姓名、身分證字號等可辨識個人身分的資料，非機敏性資料例如車輛類別、車型、規格、定檢日期等等。</p> <p style="margin-left:-.1pt;">機敏性資料加密分持後，上傳到境外公雲冷備份儲存，存取備份資料需身分驗證，依韌性方案建議，將資料切分3塊後，分別備份到3個境外公雲，每年至少4次上傳到3個境外公雲；至於非機敏性資料，同樣加密處理，因為資料量較大，計畫採用大容量可攜儲存設備，每年至少1次備份到3個境外公雲。</p> <p style="margin-left:-.1pt;">陳文嘉表示，每年至少會做1次資料備份還原演練，提高公路監理系統的數位韌性，同時考量在緊急狀態下，外部廠商難以支援，會透過教育訓練讓局內人員具備自主操作能力。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>地端系統也會朝微服務、雲原生架構發展</strong></span></span></p> <p style="margin-left:-.1pt;">不同於資料加密分持備份採用3朵境外公雲，微型核心功能系統上雲部分，公路局考量資料同步的頻率較高，且若直接部署境外公雲，傳輸成本較高，初步規畫將微型核心功能系統部署於境內公有雲，但具備移到境外公有雲的能力，公路局評估，微型的核心功能系統部署在境內公雲，好處是能提供較好的本地支援服務，每年切換演練也有較好的可操作性。</p> <p style="margin-left:-.1pt;">公路局規畫針對車籍、駕籍管理系統、運輸業管理系統，先盤點哪些是緊急情況下重要的功能，抽離輕量化為獨立的模組，以在災害人禍等緊急狀態下，可在雲端運作，或是配合政府動員調度資源。公路局預計2026年完成核心功能系統開發。</p> <p style="margin-left:-.1pt;">未來採用公有雲服務，公路局還要評估雲端服務的持有成本，因為過去自建系統，採購相關軟硬體，可達到哪些功能，比較明確，而雲端服務切分瑣碎，每種功能服務收費再按規格、流量有不同計費，雲端服務持有成本還需要經過評估。</p> <p style="margin-left:-.1pt;">與許多公務機關相同，公路局過去較少接觸雲原生架構，因此他們希望從這次韌性方案開始，公路局以雲原生架構技術開發微型核心功能系統，另外，現有的第3代公路監理系統已使用超過10年，正規畫汰換主、備援中心的設備，更新資料庫及資料移轉，也會將複雜的第3代公路監理系統拆分，將適合的服務以雲原生及微服務試作開發。以外界較常使用的監理服務網為例，規畫在2025年上半年部署至雲端。</p> <p style="margin-left:-.1pt;">儘管現有的第3代公路監理系統中，較大的系統難以容器化，但公路局認為雲原生仍是未來發展趨勢，公務機關仍採用傳統三層式的私有雲架構，面臨許多資安議題，若採用容器化、雲原生架構，就能將資安議題限縮為個別容器的問題，公路局相信容器化會是趨勢，相信未來公務機關朝這個方向規畫系統。</p> <p style="margin-left:-.1pt;"><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:51作者蘇文彬https://www.ithome.com.tw/news/161999
【關鍵民生系統韌性大升級｜機關推動方向：衛福部健保署】透過韌性方案練兵培養上雲技術力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:-.1pt;">對民眾而言，生病或受傷就醫是相當基本的民生需求，因為就醫需求不分白天或黑夜，後端資訊系統也需要24小時全天候服務，為確保服務不致因為設備故障或災害而導致服務停擺，掌管健保及醫療系統的健保署建立備援機制，在兩地建置機房進行異地備援，健保的承保系統、醫療系統分別部署於兩個機房，採熱備援方式，系統也以多臺伺服器作負載平衡，並且每年定期切換演練。資料備份策略上，每天執行本地端應用系統及資料備份，並將備份資料同步到異地端，每年執行還原演練。</p> <p style="margin-left:-.1pt;">然而，這套備援、備份計畫是按傳統異地備援的方式來設計，如果發生大規模災害及特殊的緊急狀態，造成兩地的機房毀損，當境內既有建立的備援、備份機制相繼失效，就需仰賴境外系統維繫基本服務運作，衛福部健保署的健保系統、醫療系統列入18項關鍵民生系統，政府希望透過跨境公有雲強化服務韌性。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>韌性方案提供練兵機會</strong></span></span></p> <p style="margin-left:-.1pt;">衛福部健保署副署長龐一鳴表示，健保署行之有年的備援及備份機制已相當熟練，然而此次關鍵民生系統韌性方案，以境外公有雲提供韌性支援，核心功能上雲、資料加密分持備份、還原演練等，「這些目前還是概念層，沒有實作無法知道它的可行性，代價有多大，透過參與韌性方案，如同在沙盒環境驗證」。</p> <p style="margin-left:-.1pt;">健保署過去缺乏雲原生開發和雲端部署的經驗，龐一鳴直言，雲端服務相當成熟，雲端、混合雲已漸漸成為趨勢，但健保署內部的基層同仁沒有接受完整的雲端課程，缺乏相關的訓練認證，缺乏練兵的機會。「我們對雲有想像、有期待，但內部專業能力不夠，韌性方案提供一個很好的機會來練兵」，他說。</p> <p style="margin-left:-.1pt;">龐一鳴表示，雲服務最基本的資料備份還原，以及健保署本身的資料量龐大，切分後備份到3個跨境公有雲，備份還原過程會不會遺失資料，甚至是未來朝混合雲發展，對雲服務有很多想像空間，但是都需要驗證。</p> <p style="margin-left:-.1pt;">舉例來說，韌性方案規畫的資料加密分持備份至跨境公有雲，健保署不曾採用，去年曾測試資料加密分持備份，由於健保資料龐大，健保署預估，資料加密分持備份時，需要原本資料量的1.5倍額外空間，如僅依賴網路傳輸龐大資料，在全天候全速傳輸之下，約需要接近一個月時間才能將資料送至雲端，在預算的容許下，每個月一次將資料備份上雲，這意謂著未來回復資料的時間差至少1個月。如果以重大災害後，重建回復完整資料為目標，要將健保署的完整資料進行加密分持備份，則需要更大的儲存空間。</p> <p style="margin-left:-.1pt;">相較於以雲原生架構開發核心功能上雲，因雲端化技術成熟，挑戰相對較小，健保署更大的挑戰是資料加密分持備份，需要考慮資料大小、完整性、時間性及範圍、網路傳輸、運算處理、儲存空間、費用等等。</p> <p style="margin-left:-.1pt;">至於健保署規畫哪些核心功能上雲，龐一鳴指出，未來在緊急狀態如戰爭期間，依健保法規定，健保不用於支付戰時的醫療費用，健保署的角色偏重在緊急狀態結束之後復原階段，確保資料保存及回復，韌性方案正好提供很好的機會，進行技術上的概念驗證。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>審慎評估適合的跨境公有雲</strong></span></span></p> <p style="margin-left:-.1pt;">當發生大規模災害或是突發的緊急狀態，境內兩地資料中心失效，跨境公有雲擔負起重要的核心系統備援及資料保存角色，在政府強化數位韌性中扮演關鍵角色，健保署已經訂出了境外公有雲的評估重點，包括功能需求、效能可靠性、安全性、成本、地理位置、支援和服務等等。</p> <p style="margin-left:-.1pt;">在功能需求部分，考量境外公有雲提供運算、儲存、資料庫、機器學習等服務或工具；效能可靠性方面，例如雲服務的效能、可用性、故障恢復能力等；安全性部分，考量資料加密、身分驗證、存取控制；成本方面，比較不同公有雲平臺的定價及費用結構，由於韌性方案為4年的中期計畫，目的為協助各公務機關驗證並建立跨境公有雲備援及備份機制，在韌性方案結束之後，各機關仍需租用雲端服務，需編列經常門經費，必須考慮長期的成本效益，健保署希望未來行政院編列經常門費用支持。</p> <p style="margin-left:-.1pt;">地理位置方面，健保署指出，考量跨境公有雲的資料中心地理位置，綜合需要的性能及合規性判斷；支援及服務方面，韌性方案雖然規畫為境外公有雲，但考量到技術支援、培訓及顧問服務，如同前面提到，健保署缺乏雲端服務及工具的基礎，必要之時能獲得協助，雖然為境外公有雲，但必需能提供本地的支援服務。</p> <p style="margin-left:-.1pt;">配合韌性方案的推動，未來4年健保署規畫以雲原生架構，以模組化、輕量化功能開發雲端版的核心系統，在災害或緊急狀態下，仍能以雲端提供核心系統的基本服務。</p> <p style="margin-left:-.1pt;">至於地端的系統，健保署未來規畫會從單體式系統，轉為以微服務架構，利用微服務具備的彈性、容易水平擴充、易於部署等特性，來提升系統的可用度及穩定度。</p> <p>健保署的應用系統目前均建構在私有雲，未來逐步調整為混合雲架構，以提升系統營運的韌性。</p> <p><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:51作者蘇文彬https://www.ithome.com.tw/news/161963
【關鍵民生系統韌性大升級｜機關推動方向：財政部財政資訊中心】先具備技術力為跨境公雲部署作好準備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p style="margin-left:-.1pt;">當國內發生大規模災害或緊急狀態時，維繫政府服務的基本運作是此次政府關鍵民生系統韌性方案的目標，其中稅收關係到國家的財政收入，也與民生習習相關，財政部的國稅系統、地稅系統被選為18項關鍵民生系統之一。</p> <p style="margin-left:-.1pt;">由於稅務為國家財政收入主要來源，維持稅務運作對政府來說相當重要，財政部在臺北的資料中心，本身就設計正副兩套系統負載平衡，在中部也有一個異地備援資料中心。此次韌性方案，假設國內發生大規模災害或緊急狀態，當北部、中部兩地資料中心先後失效，政府部門可透過跨境公有雲的第三方角色，提升服務系統及資料備份的韌性，在災害或緊急狀態下，能夠維持基本的稅務服務，在災後或緊急狀態解除後，得以重建系統、回復資料。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>重新思考韌性設計</strong></span></span></p> <p style="margin-left:-.1pt;">除了行政機關關鍵民生系統韌性方案今年開始推動，由外而內推動機關透過跨境公有雲提昇系統的韌性，財政部內部的系統也因面臨汰換，重新思考韌性設計。</p> <p style="margin-left:-.1pt;">財政部財政資訊中心主任張文熙指出，目前的稅務系統大多於2011年建置，電腦系統已使用超過10年，面臨汰換的需求，一方面採用新方法汰換舊系統，另方面也會考慮如何加強韌性，當初規畫時並沒有預想大規模災害發生的可能性，現在面臨全球氣候變遷，大型災害發生可能性增加，需要重新思考韌性設計，讓系統更具備彈性，並且容易搬到雲端環境。</p> <p style="margin-left:-.1pt;">對於韌性方案鼓勵機關運用跨境公有雲，但是如果使用完全境外的公有雲，資料在境外風險就會增加，一旦發生資料外洩，我國的司法管轄難以觸及國外，因此他認為可選擇在國內提供服務或是和本地業者合作，具備跨境能力的公有雲業者，跨境公有雲業者在國內可受到規範管理，在非緊急的時候，不需移到境外。相較於考慮資料是否移到境外公有雲，更優先的工作是做好技術準備。</p> <p style="margin-left:-.1pt;">財政資訊中心依照韌性方案，規畫開發輕量化的核心功能系統，他們首先面臨的工作是盤點業務，考慮大規模災害或緊急狀態之下，哪些稅務工作需維持運作，舉例來說，平時徵收的娛樂稅或印花稅，在緊急狀態下並非優先業務，與民眾財產相關的所得稅、房屋稅、地價稅優先性較高。此外，民眾經常使用的查詢服務，如稅籍查詢、稅金、繳納與否等，在緊急狀態發生也需維持正常運作。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>運用雲原生架構提高資源運用彈性</strong></span></span></p> <p style="margin-left:-.1pt;">張文熙表示，財政部財政資訊中心配合韌性方案，正好也面臨內部系統需要汰換，先規畫哪些功能或服務可切割，優先以雲原生架構開發，利用雲原生架構較大的彈性，滿足服務使用離尖峰需求。</p> <p style="margin-left:-.1pt;">張文熙認為，雲原生技術能提供較大的彈性，目前國內共有17種稅，如印花稅、娛樂稅、房屋稅、牌照稅等等，每種稅有不同的徵收條件，徵收期間不同，個別的稅離尖峰時間差異相當大，過去系統規畫容量主要以尖峰時間為主，採用新技術可在離峰時釋出資源。</p> <p style="margin-left:-.1pt;">目前財政部已有一些服務利用雲端系統，例如每次發票開獎，民眾的查詢需求增加，但是平時查詢需求較少，去年12月，對獎查詢服務上到雲端後，發現效益很好，節省了不少IT支出。</p> <p style="margin-left:-.1pt;">張文熙表示，新系統的設計未來會朝該方向規畫，以較少的經費完成更多工作，讓資源的運用有更大的彈性。然而，雲端雖然帶來更大的資源彈性，在採用雲端服務之前，更應優先考慮資料安全，特別是稅務資料涉及民眾財產等機敏性資料，不能因為推動韌性，導致資料外洩風險增加，先判斷資料為機敏或非機敏，非機敏性的資料可以先上雲，考慮到機敏性資料在境外公有雲備份的風險，需要更多保護措施，目前不會先考慮機敏資料上雲。</p> <p style="margin-left:-.1pt;">去年財政部測試使用開源工具作資料加密分持備份，因財稅資料太大，處理速度不太理想，今年將測試驗證如何切割資料，決定備份順序，設法縮短備份處理的時間，找出最佳處理方式，形成標準作業程序。</p> <p style="margin-left:-.1pt;"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>韌性方案加速政府部門擁抱公有雲</strong></span></span></p> <p style="margin-left:-.1pt;">張文熙表示，過去政府機關上雲態度保守，主要考量為安全因素及經費，雲端和在地系統的安全投資不同，需要重新建置規畫，機關改寫現有系統也需要大筆經費，此次韌性方案補助經費、開發新的核心功能系統，讓公務機關願意思考將公有雲納入選項。</p> <p style="margin-left:-.1pt;">至於是否加速公務機關採用雲原生架構，他認為機關採用私有雲也會帶動微服務、容器化的使用，韌性方案的推動也或多或少產生影響，但不是因為韌性而推動。</p> <p style="margin-left:-.1pt;">張文熙表示，未來雲端上的核心功能系統不只是第三方的備援角色，也會考慮和地端的主系統間互補，讓雲端的核心功能也能在平時發揮效益。</p> <p style="margin-left:-.1pt;"><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:51作者蘇文彬https://www.ithome.com.tw/news/161966
【關鍵民生系統韌性大升級｜機關推動方向：經濟部商業發展署】靠跨境公雲強化工商資訊系統韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當大規模災害或特殊緊急狀態，維持公司、工廠或商業的登記、營業項目登記、變更、查詢等服務，不只對法人而言相當重要，也是政府緊急調用民間資源的依據，並且保存資料供事後復原階段重建之用。</p> <p>掌管國內公司、工廠、商業等資訊系統，前身為商業司的經濟部商業發展署也參與政府推動關鍵民生系統韌性方案，當發生重大災害或緊急狀態，商業發展署在國內的異地資料中心備援、資料備份機制也無法發揮效用時，未來可通過跨境公有雲提高緊急應變能力。</p> <p>公司、工廠或商業登記資訊，舉凡公司名稱、資本額變更、業務項目調整等等，都需要登記，整合到經濟部商業發展署的資訊系統，透過資訊系統掌握國內企業的營運狀況。</p> <p>經濟部商業發展署資訊室主任丁珕指出，商業發展署原有的業務持續計畫，以區域型的災害例如地震、颱風，導致臺北的資料中心無法運作，尚有位於其他地區的資料中心提供異地備援及資料備份。</p> <p>而在關鍵民生系統韌性方案，設想大規模跨區域災禍發生時，災害範圍可能跨區域，因此將系統備援、資料備份擴大到跨境公有雲，打破地理位置限制，提高對跨區域的大型災禍的應變能力及服務韌性。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>缺乏雲原生架構及雲端管理人才</strong></span></span></p> <p>然而，韌性方案雖然利用跨境公有雲提高對關鍵民生系統的韌性，但是新的跨境公有雲備援、備份機制，也同時為公務機關帶來新的挑戰，必需以雲原生架構開發雲端版的核心功能系統，資料加密分持備份到多個跨境公有雲。丁珕直言，商業發展署可能遭遇幾項挑戰。</p> <p>首先是面臨技術和雲端維運的挑戰，過去公務機關熟稔地端系統規畫開發，韌性方案的推動，要求公務機關採用雲原生架構開發核心功能系統，需要相應的技術能力，例如系統重構、開發人員技術培訓等，同時也需要雲端維運、操作的管理人才。</p> <p>另外，過去公務機關多仰賴外部廠商開發及維運，如果國內突然發生大規模災禍，可能導致資料中心及備援機房無法正常運作，政府服務運作就可能面臨癱瘓的風險。另一個難題是，韌性方案為期4年，目的推動關鍵民生系統及資料備份上雲，後續雲端的核心功能系統、資料備份服務需要持續性經費支持。</p> <p>針對上面提到的挑戰，商業發展署也初步規畫幾個解決方法，首先是技術及人才需要的挑戰，商業發展署計畫透過輔導團隊及培訓課程，培養內部人員對雲端技術、資安的相關能力，並且需讓他們具備自主操作、應變處理能力，另方面和適合的雲端服務商合作，加速進動進度。</p> <p>今年為關鍵民生系統韌性方案推動的第一年，丁珕表示，未年4年的目標是核心功能系統上雲，今年將先盤點核心功能，挑選在公司、工廠、商業登記中，在災害或緊急狀態下，哪些功能仍需提供基本服務，例如新增、修改、查詢等基本的功能，還有使用頻率高的功能，優先開發雲端版本。</p> <p>他們計畫先盤點、評估核心功能及數據，哪些功能需要優先或比較容易轉移到雲端，需要進一步開發或重構。商業發展署也計畫透過無伺服器運算，節省管理及運算資源的使用成本，先找出哪些功能服務可透過AWS Lambda、Azure Functions等FaaS服務，代替實體主機或虛擬機部署，先盤點出相關的場景，再開發函式將其部署至雲端執行。</p> <p>另外，因應緊急狀態下，外部廠商難以提供平時的支援，公務機關需具備自主操作能力，將資料加密分持備份至雲端，讓機關人員可以簡單的方式操作加密分持備份，重建階段回復資料。</p> <p>不過考慮到資料備份實際執行的可行性，他們並不會將歷史資料也加密分持備份到雲端，初步規畫會將現存的最後一版資料備份至雲端。</p> <p>經濟部商業發展署與其他參與韌性方案的公務機關相同，去年他們測試評估資料加密分持備份的開源工具Tahoe-LAFS，他們發現愈多的檔案要經過加密、分持處理，需花費較長的時間，後續仍評估可行的作法。</p> <p>丁珕表示，由於韌性方案的目標是保存資料，在災後復原階段，重建系統、回復資料，在韌性方案規畫將資料備份到雲端之前，已先確認國內的法規，並沒有法規限制資料只能在境內儲存，但是基於資料保密性，仍需要保護措施，考慮到商業發展署的資料約有8成屬於公開展示資料，約2成為董監事資料，可能包含身分證字號、住居地等個人資料在內，在署內就先經過加密處理，在雲端備份之前，再經過資料加密分持備份，分散備份在3個跨境公有雲，等於資料經過多一道加密程序。另外，公司、工廠或商業登記資料，分為文字及影像掃描資料，考量到影像掃描的資料量較大，未來資料備份將以文字資料為主。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>平時也讓公有雲提供簡單功能服務</strong></span></span></p> <p>依據韌性方案的規畫，公務機務每年需要演練，丁珕表示，未來核心功能系統上雲，不只是依照規定每年定期演練，考慮如果等到發生緊急事態再切換使用，可能會有不及之處，因此商業發展署未來考慮在平時挑選地端系統的簡單功能或服務，交由雲端的核心功能系統支援來實測。</p> <p>目前商業發展署的系統採用虛擬化架構，丁珕認為，有朝一日如果租雲的費用與租機房費用接近，可能考慮將地端的系統移到雲端，目前商業發展署地端運作的系統，未來隨著系統的生命周期，會隨著系統汰換逐步調整系統。</p> <p>鑑於虛擬化架構的系統，雖然也能夠直接上雲，但服務使用費用可能會比地端來得高，因此商業發展署考慮逐漸導入微服務架構，如果未來雲端的費用和地端運作接近時，搬到雲端才能真正節省支出。</p> <p>傳統上，公務機構的備援、備份策略是，依照國際標準，例如異地備援中心需建立在30公里以外的地點，雖然跨區域建置異地備援中心，為系統服務韌性提供保障，但此次韌性方案將系統備援、資料備份，從原有的境內擴大至跨境公有雲。</p> <p>「依照韌性方案的建議及目標，讓公務機關既有的備援、備份設計，有機會做得更完整」，丁珕說。</p> <p><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/3/28 11:52作者蘇文彬https://www.ithome.com.tw/news/161971
關鍵民生系統韌性大改造
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大規模地震，氣候劇變暴雨引發洪水，加上國際情勢緊張、衝突升溫，當境內因天災及人禍導致主、備援機房損毀，關鍵民生系統的核心功能仍需運作、保存資料，跨境公有雲成為境外備援中心</p> </div></div></div>
2024/3/28 11:52作者蘇文彬https://www.ithome.com.tw/article/162009
政府IT韌性的關鍵一步
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2年前，高雄興達電廠一起跳機事故，影響變電所後產生的連鎖效應，導致多地發電機組因保護機制而自動解除供電，全臺三分之一的電力瞬間消失，引發了全臺大停電，北、中、南多個縣市都出現了停電災情，影響高達549萬戶，有些地區停電不只是1、2小時，甚至超過了半天。</p> <p>這樣大規模的停電災情，對IT系統而言是最嚴峻的考驗，尤其是超過12小時的停電，許多備援電力系統，不見得有能力支持那麼久，唯一解法是切換到遠地備援資料中心來接手提供服務。但是，若像2年前這起興達電廠事故，甚至是921大地震，全臺各地都出現災情，IT系統根本無法在臺灣島內，找到穩定可接手的備援機房，那該怎麼辦？</p> <p>十年前，遇到這樣大規模的災情，IT真的是束手無策，但在2024年的此刻，跨國公雲架構和服務已經高度成熟，足以在緊急時刻成為關鍵的備援。</p> <p>不過，想要借助跨境公雲來備援，不是事故發生了臨時想切換就能做到，得有一番事前準備工作才行。你的IT系統得先有能力上雲，並且事先在雲端有一套完整的系統備份，才能在遇到緊急情況時啟用，不只如此，平時還得將地端系統的資料，定期同步到雲端，才能讓雲端的備援系統，接手提供同樣的服務和最新的資料。這正是未來4年，18套關鍵民生系統想要具備的能力。數位部聯手7個部會，4年累計投入13.4億元，要讓這些關鍵民生系統，可以支援境外公雲。</p> <p>現行政府部門的異地備援、備份機制，只能夠因應小規模的災難，像是颱風淹水、機房失火，可以改由30公里外的實體備援機房來接手，若是遇到了超大規模的災情，連備援機房都失效，就沒有辦法應變。</p> <p>數位部選了18套重要的民生相關系統，比如像內政部的戶役政系統、移民署的入出國查驗系統、財政部國稅與地稅系統、健保署的健保承保系統、經濟部的公司與工廠管理系統等，從兩大作法著手，展開這些關鍵系統的韌性大改造。一方面將這些系統的核心功能上雲，另一方面則是將新穎的資料備份到雲端。</p> <p>為了將核心功能系統上雲，今年這些民生相關系統的所屬部會，已經盤點出災害或緊急狀態需要的基本功能服務，準備開始利用雲原生架構，來開發輕量化的核心功能系統版本，可以用來部署至跨境的公有雲上。</p> <p>日後，一但發生了大規模災害或緊急狀態，境內資料中心遭到破壞，就能緊急切換到境外公雲上的核心功能系統來接手，繼續維持這些基本服務的運作。</p> <p>因為這些關鍵系統都是民眾天天都會用到的系統，每天都會有資料更新和異動。因此，政府也會將這些關鍵民生系統的新資料，盡快備份到雲端，透過境外公雲來保存。不過，政府不是直接將系統資料儲存到雲端，還得經過一番加密分持來備份。</p> <p>為了能夠確保在需要日後備援時，能順利重建系統、還原資料。政府機構還要建立一套流程和作法，定期演練雲、地系統的切換，來驗證這些資料雲端的備份和還原工作，以備不時之需。</p> <p>在這18套關鍵民生系統中，有不少系統是用了十多年的老系統，像是財政部稅務系統就是如此，正面臨了汰換的階段，財政資訊中心就考慮趁這個韌性改造的機會，將部分功能切分，優先改以雲原生架構開發，利用雲原生架構的彈性，來因應服務使用離尖峰的需求。</p> <p>對這些政府機關而言，這次關鍵民生系統的韌性大改造，也正是一趟推動IT架構現代化、學習雲原生技術的轉型過程。從中累積的經驗和能力，不只可以用於關鍵民生系統，還可以擴大運用到其他政府服務上。</p> <p>雖然只是18套關鍵民生系統的上雲改造，但卻是政府IT韌性的關鍵一步，更是政府數位轉型最重要的改造工程。</p> <p><a href="https://www.ithome.com.tw/article/162009" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1175-feng_mian_p1-open-wen_bin_-960x420_kao_bei_0.jpg?itok=aUz3sg4R" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E9%83%A8">數位部</a></div><div class="field-item odd"><a href="/tags/%E9%97%9C%E9%8D%B5%E6%B0%91%E7%94%9F%E7%B3%BB%E7%B5%B1">關鍵民生系統</a></div><div class="field-item even"><a href="/tags/%E9%9F%8C%E6%80%A7">韌性</a></div><div class="field-item odd"><a href="/tags/%E9%97%9C%E9%8D%B5%E6%B0%91%E7%94%9F%E7%B3%BB%E7%B5%B1%E9%9F%8C%E6%80%A7%E6%96%B9%E6%A1%88">關鍵民生系統韌性方案</a></div><div class="field-item even"><a href="/tags/%E5%82%99%E6%8F%B4">備援</a></div><div class="field-item odd"><a href="/tags/%E5%85%AC%E6%9C%89%E9%9B%B2">公有雲</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E7%AB%AF">雲端</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E5%82%99%E4%BB%BD">資料備份</a></div></div></div>
2024/3/28 11:56作者王宏仁https://www.ithome.com.tw/voice/162001
Container快報第158期：K8s年四月釋出今年第一更，OpenShift也推新4.15版，微軟和GitLab表…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2023/2/15～3/25 精選容器新聞</strong>：</p> <p><strong>許多款K8s產品釋出新版或準備推出新版。像是K8s預告今年4月將會釋出第一個更新版本，也就1.30版，有多項重要更新，像是容器自動擴充機制，使用者命名空間等。紅帽容器管理平臺OpenShfit也釋出4.15新版，Rancher Prime也將在4月釋出3.0，將強化對AI/ML工作負載的調度能力。新版Linker則可以用來調度非K8s環境中的微服務，Grafana Labs也繼續強化可觀察性能力。</strong></p> <h3><strong>#k8s新版 #使用者命名空間 #容器自動擴充<br /> <span style="color:#0000FF;">K8s今年第一更4月登場！1.30版新功能搶先透露</span></strong></h3> <p>K8s專案即將在四月中釋出今年的第一個K8s新版本1.30版，最近，K8s部落格也搶先揭露了多項新版功能，例如動態資源調度的結構化參數功能、Linux節點記憶體交換功能、使用者命名空間功能、結構化授權配置檔、Pod容器自動擴充機制都有增強。</p> <p>動態資源調度的結構化參數功能提高了資源調，動態資源調度是用來調度跨Pod叢集或單一Pod叢集內部容器資源的API。新增的結構化參數功能，可以讓開發人員預先定義一套資源分配的結構化參數，讓kube-scheduler和Cluster Autoscaler來處理需要的資源分配，而不用像過去得靠第三方動態調度驅動程式。另外，1.30新版也新支援Linux節點記憶體交換功能，可以大幅提高系統的穩定性。</p> <p>使用者命名空間功能的功能在1.30版進入了Beta版本，這個功能可以讓開發者提供更好的Pod叢集隔離性，也能支援客製化的UID和GID範圍的隔離。結構化授權配置檔的功能也在1.30版進入Beta階段，並且成為K8s預設啟用的功能。這項功能可以建立一個更細緻的權限控制要求，來驗證多個呼叫請求的授權。HorizontalPodAutoscaler容器自動擴充機制，現在可以更細緻的依據每一個容器的資源使用量，來決定配置自動擴充或縮小的配置規則，而不用像過去只能依據單一Pod叢集的用量來設定自動擴充的配置規則。這個自動化擴充功能正式在1.30版成為穩定的正式功能。 </p> <h3><strong>#容器管理平臺 #紅帽<br /> <span style="color:#0000FF;">OpenShfit推出4.15新版，可以部署到AWS Outposts地端設備</span></strong></h3> <p>紅帽最近釋出了OpenShift容器管理平臺的4.15新版，在核心功能、邊緣支援和虛擬化支援都有多項強化。新版正式部署到AWS Outposts地端設備上和AWS的5G 邊緣運算基礎架構Wavelength區域上，也能從Outposts上來部署在AWS上的OpenShift叢集。</p> <p>在虛擬化功能上，新版則強化了更多災難復原和韌性功能，像是增加網路熱插拔來動態重新配置虛擬機器所用的網路卡，還簡化了多種常用虛擬機器類型的快速安裝體驗，提供類似公雲快速安裝的實例選單，也新支援宣告式GitOps流程來復原虛擬機器。新版也能支援OpenShift叢集與外部第三方供應商間的OVN IPsec加密傳輸。去年底推出的可觀察性平臺Red Hat build of OpenTelemetry也正式在OpenShift 4.15版中提供，包括了Log、矩陣、追蹤機制等，新版的可觀察性儀表板也有更新，網路基礎設施、Linux核心和K8s流量儀表板都有強化。OpenShfit這個新版本可以支援到K8s的1.28版和CRI-o 1.28版。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-OpenShift4_15.png" /></p> <h3><strong>#AI工作負載優化 #容器管理<br /> <span style="color:#0000FF;">SUSE容器管理平臺Rancher Prime新版4月登場，特別強化對AI/ML工作量的部署支援</span></strong></h3> <p>隨著生成式AI浪潮爆發，如何強化對AI運算的支援，成了K8s平臺的新課題。SUSE將在4月正式推出容器管理平臺Rancher Prime的3.0新版和Edge 3.0版，強化了多項安全軟體開發能力，像是強化對軟體物料表SBOM的支援來提供安全軟體交付流程，也新增對K8s叢集API的支援，可以讓企業更容易打造一個自助式的內部PaaS平臺。另外，這個新版本可以自動偵測Nvidia所用的容器runtime配置，自動產生出要將AI模型部署到K8s環境時所需的GPU配置。Edge 3.0版則提供了更多在邊緣運算環境中部署K8s的建置範本和安全映像檔版本，讓企業更容易建置邊緣容器環境。</p> <h3><strong>#可觀察性 #叢集管理<br /> <span style="color:#0000FF;">Grafana Labs強化多項K8s可觀察性能力，提供更完整的叢集健康分析</span></strong></h3> <p>最近Grafana Labs宣布更新了K8s監控功能，IT團隊不用手動配置監控K8s用的代理程式，而可以改用新推出的K8s監控Helm chart應用來部署，自動將客製化的矩陣、Log紀錄、事件資訊、追蹤和成本矩陣的資訊，傳送到Grafana雲上。K8s叢集除錯功能也有簡化，在Grafana通報功能網頁上，新增了「出錯Pod叢集」的單元，可以讓IT團隊快速看到每一個出錯叢集所發生的狀況來快速回應。另外，針對K8s叢集健康和效能分析，可以提供一個整體性的全貌分析以及更細節的分析內容，在歷史資料分析上也提供了時間選取機制，可以快速檢視不同時間的狀態數據。</p> <h3><strong>#WebAssembly應用 #毫秒級冷啟動<br /> <span style="color:#0000FF;">Fermyon捐出自家Wasm應用平臺給CNCF，可用來開發和部署K8s上的大量WebAssembly應用</span></strong></h3> <p>最近Fermyon科技宣布將自家的Wasm on K8s平臺SpinKube捐給CNCF組織。這是一個可以在K8s中開發、部署和維運WebAssembly應用的平臺。根據Fermyon宣稱，採用Wasm技術，可以讓單一Pod叢集部署的應用數量增加50倍，也因此需要一個特別的Wasm應用管理平臺。SpinKube可以用來將無伺服器的WebAssembly應用部署到K8s環境中，也可以用來打造一個自家的無伺服器環境，官方宣稱還能達到1毫秒內的快速冷啟動速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-spinkube%E6%9E%B6%E6%A7%8B.png" /></p> <h3><strong>＃eBPF #可觀測性 #雲原生應用<br /> <span style="color:#0000FF;">K8s工作負載視覺化有新選擇，微軟開源了跨雲容器網路觀測平臺Retina</span></strong></h3> <p>日前，微軟Azure容器網路團隊發布雲端原生容器網路觀測平臺Retina，讓Kubernetes用戶、管理者和開發者，能夠以視覺化的方式，觀測、除錯並且分析Kubernetes的工作負載流量。Retina支援各種容器網路介面（CNI）、作業系統和雲端平臺，還能夠與產業標準Prometheus和網路流量日誌搭配使用，具有適應不同用例和環境的靈活性。Retina利用eBPF（extended Berkley Packet Filter）的功能，在不需更改現有應用程式的情況下，以非侵入的方式對Kubernetes網路進行深入分析和監控。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-AzureRetina.png" /></p> <h3><strong>#容器能耗追蹤 #永續IT管理 #紅帽<br /> <span style="color:#0000FF;">每一個Pod叢集的耗電都能追蹤，OpenShift釋出容器層級能耗監控工具預覽版</span></strong></h3> <p>紅帽在年初釋出了OpenShift平臺的新能耗追蹤工具預覽版，可以提供到容器層級的用電追蹤，監控顆粒度可以達到Pod叢集或是每一個命名空間，讓企業可以更細緻地追蹤雲原生應用的能耗，來計算碳排。在OpenShift 4.14上現已提供這款工具，供用戶進行試用。不過，現階段僅是技術預覽版，尚未推出正式版。<br /> 這項工具可以用來追蹤每日使用CPU的整體能耗情況，還能夠細緻地檢視每個命名空間的能耗和功耗在不同時段的變化情形，提供每小時的更新頻率。這項功能來自開源能耗追蹤工具 Kepler專案，利用eBPF來取得能源相關系統狀態的數據，並匯出成Prometheus指標進行監控和管理的工具。可以用來追蹤過去24小的叢集整體能耗，即時蒐集到多種功耗資訊，如RAPL（用於監控與管理CPU及記憶體的用電量）、NVML（GPU資源利用率管理函式庫）、ACPI（系統電源效能管理介面）、IPMI（伺服器電源監測介面）等。還能展開檢視不同命名空間的能耗排名，可以列出最耗能的容器和Pod叢集等。也結合了機器學習模型來進行測量和預估，以提高測量模型準確性，以便根據實際的資源利用率準確地估計其功耗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E7%B4%85%E5%B8%BD%E5%AE%B9%E5%99%A8%E8%80%97%E9%9B%BB%E8%BF%BD%E8%B9%A4.png" /></p> <h3><strong>#核心系統容器化 #微服務 #企業實戰<br /> <span style="color:#0000FF;">凱基證將用容器技術和微服務打造新一代證券核心系統</span></strong></h3> <p>凱基證券自2023年開始展開核心系統轉型推動計畫，規畫逐步拆分大型主機系統的功能，轉向容器化微服務架構，並優先完成帳務中臺的架構轉換。<br /> 凱基證券亞太區資訊長黃榮林期望透過系統核心的轉型，能夠大幅改善開發速度、縮短服務上市的推出時間，更訂下推出時間縮短50％的目標。<br /> 不過，凱基證券不會將核心大型主機多套系統全部轉為容器架構，有些系統分拆後會單獨存在，並改用模組化方式重組。交易模組會先轉換成新的雲原生架構，再轉換其他周邊的模組，所有系統都會使用的共用模組，例如監控、認證、訊息溝通等，也會獨立建立一套系統。需要低延遲的模組，特別是會影響下單的模組，不會納入微服務架構中，比如主機連線的模組。</p> <h3><strong>#K8s效能監測 #可觀察性 #eBPF<br /> <span style="color:#0000FF;">Netflix開源自用的eBPF程式效能優化工具bpftop</span></strong></h3> <p>可用來追蹤Linux核心效能的eBPF技術，是監控K8s叢集效能的重要手段，可以透過程式化方式來追蹤K8s叢集的運作。Netflix公開了一款內部的命令列工具bpftop，不只更容易監控eBPF程式的效能，還可以用來優化eBPF程式。Netflix提到，由於他們逐漸增加採用eBPF技術的比例，因此也就需要更嚴謹地看待相關系統，確保既能發揮eBPF的好處，又不會造成系統過度負載，進而保證營運效率。bpftop可提供動態即時檢視圖，顯示執行中的eBPF程式平均執行時間、每秒事件數，以及估計總CPU使用率。而bpftop的優勢是能夠在工具活動時才啟用效能統計，以最小化效能開銷，同時bpftop提供時間序列表使用戶能夠清楚檢視統計資料，進而發現異常模式和趨勢。Bpftop使eBPF程式的效能最佳化過程變得簡單，用戶可有效地進行基準測試、程式碼改進，並且建立起即時回饋循環。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-Netflix-bpftop.png" /></p> <h3><strong>#容器化整合測試 #Docker公司<br /> <span style="color:#0000FF;">紅帽宣布和Docker公司結盟，OpenShift平臺將整合Testcontainers容器化整合測試服務</span></strong></h3> <p>最近在歐洲Kubecon大會上，紅帽宣布與Docker公司結盟，紅帽旗下容器管理平臺OpenShift將可以存取Docker公司的容器化整合測試雲Testcontainers，在OpenShift中使用後者完整的功能。Testcontainers雲是Docker公司的持續整合服務，可以用Docker容器來快速建立各種測試環境，可支援9種語言的測試任務管理，也提供了一套儀表板功能來追蹤各種整合測試的執行。紅帽與Docker公司合作後，OpenShift用戶可以將Testcontainers雲的後端，部署到OpenShift叢集上。</p> <h3><strong>#超大規模叢集管理 #串流服務優化<br /> <span style="color:#0000FF;">字節跳動開源新一代K8s多叢集管理工具KubeAdmiral，可管理1千萬個Pod叢集</span></strong></h3> <p>抖音母公司字節跳動最近釋出了一款K8s多叢集管理工具KubAdmirl ，可用來管理超過分散在數十個K8s叢集上超過1千萬個Pod。這款工具強化了多叢集的調度和排程能力，特別是針對大量串流服務場景的支援。字節跳動已將這款多叢集管理工具用於自家服務的擴充調度，管理超過1千萬個Pod來支援10萬支微服務的運作。KubeAdmiral每天處理到3萬次更新或叢集擴充的調度操作。<br /> 這款工具採用了新的調度框架，將調度分為四個階段，Filter、Score、Select和Replica，並由各自專門的外掛工具來處理調度邏輯，來降低整體複雜性，使用者也能增加自己的調度外掛機制。<br /> 因為完全使用K8s API功能來設計KubeAdmiral，而非開發專門的聯邦API來管理叢集，因此，可以將多叢集間視為一體來查看部署情況，而不用逐一檢視個別叢集的資訊。目前正在強化操作體驗，優化Log和矩陣功能等功能。</p> <h3><strong>#服務網格 #網格擴充<br /> <span style="color:#0000FF;">服務網格工具Linkerd新版2.15大更新，新網格擴充功能可以調度非K8s環境上的微服務</span></strong></h3> <p>在去年11月時，服務網格工具Linkderd就提出了一個新個作法是網格擴充功能Mesh Expansion，可以將微代理伺服器（Microproxy）部署到非K8s環境上，讓Linkerd控制平臺能夠調度在其他環境上的微服務。最近剛釋出的2.15版，也正式開始支援網格擴充功能，可以用來調度在其他非K8s環境的微服務，可以將實體伺服器、虛擬機器等沒有K8s環境上的微服務，也整合到同一個服務網格中來管理。為了支援非K8s環境的身分驗證，Linkerd也引入零信任通用身分驗證專案SPIFFE，來加密與虛擬機器工作負載之間的所有流量。</p> <h3><strong>#Flux #GitOps流程<br /> <span style="color:#0000FF;">GitOps新創Weaveworks倒閉後，微軟和GitLab等數十家企業表態繼續支持Flux</span></strong></h3> <p>提出GitOps持續交付自動化模式的雲原生新創公司Weaveworks在今年2月初宣布倒閉。成立於2014年的Weaveworks，因GitOps專案FluxCD而聲名大噪，更從Google創投獲得1,500萬美元投資，日前也才從AWS和多家電信業者取得3,660萬美元的資金。該公司執行長於在Linkedin部落格上坦言，雖然2023年營收有雙位數成長，超過了1,000萬美元，但仍因爲銷售業績趕不上現金支出而不堪負荷，原本正在洽談的大公司併購也宣告破局，因此，他決定結束公司，這個宣布引起開源社群熱烈討論。</p> <p>但是，他們所開發的開源GitOps工具專案Flux，早在2019年就捐給CNCF組織，並在2022年成為畢業專案，也意味著專案社群具有足夠的發展能力。而在Weaveworks宣布關門同一周，原本在該公司任職的Flux核心維護者Stefan Prodan，也轉而加入另一家同樣重度使用Flux的跨雲管理平臺公司ControlPlane擔任首席顧問，他還迅速發布了一個小更新版本2.2.3，來凸顯這個專案的持續能力。<br /> 自家產品深度支援Flux建置的微軟、GitLab也相繼表態會繼續支持這個專案，更有十多家科技公司確定繼續支援Flux，思科和德國零售商Tchibo最近也加入了長期Flux採用者名單。GitLab更在3月5日，Weaveworks關門滿一個月時特別強調，經過一個月與FluxCD周邊工具商的討論，找不到更好的GitOps成熟替代方案，因此，他們會全力繼續支持，並更積極參與Flux社群。</p> <h3><strong>#容器安全偵測 #雲端日誌分析<br /> <span style="color:#0000FF;">K8s威脅偵測引擎Falco專案宣布畢業，未來要擴大支援更多雲端日誌和GitHub</span> </strong></h3> <p>在2018年進入CNCF組織孵化沙盒的K8s威脅偵測引擎Falco專案，最近宣布正式畢業。這款由Sysdig打造的安全工具，可以用來追蹤容器行為，透過規則引擎檢測容器、應用程式、底層主機和容器平臺的異常狀態，一但有異常行為，就會發布警告。最近幾年，Falco維護者持續強化工程流程，甚至重構了Falco程式庫，推出了改良後的測試套件與新的核心測試框架，也結合了熱門的eBPF技術推出Linux核心的探針功能。包括AWS、IBM、紅帽都是主要使用者也是專案貢獻者。Falco預告，未來支援更多來源的資料來強化偵測能力，例如支援各種雲端日誌和GitHub上的開發者接觸點，新版也會持續簡化部署和管理功能。</p> <p><strong>更多新聞</strong></p> <ul> <li>New Relic宣布新功能可以讓K8s叢集一個步驟就具備OpenTelemetry能力</li> <li>開源服務網格專案Istio維護者準備釋出服務網格專案的輕量級版本Ambient的Beta版本</li> <li>微軟分散式應用程式Runtime專案Dapr釋出1.13版，新釋出SDK來簡化分散式運算流程的調度</li> </ul> <p>資任編輯：王宏仁<br /> 圖片來源：紅帽、Fermyon、Netflix</p> </div></div></div>
2024/3/28 12:04作者王宏仁https://www.ithome.com.tw/news/162010
Canva與Affinity承諾將持續供應永久授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上平面設計平臺Canva周二（3/26）<a href="https://www.ithome.com.tw/news/161995" target="_blank">宣布買下Serif與旗下的熱門設計套件Affinity</a>，有鑑於設計師開始擔心原本採用永久授權策略的Affinity套件是否會轉為訂閱制，<a href="https://affinity.serif.com/en-us/press/newsroom/affinity-and-canva-pledge/" target="_blank">Canva與Affinity隔天即承諾</a>，將會一直供應永久授權。</p> <p>訂閱制已成為軟體產業的趨勢之一，例如Canva的競爭對手Adobe自2011年便逐漸改為訂閱制，停售盒裝產品，而Affinity系列的Affinity Designer、Affinity Photo與Affinity Publisher等產品，則是市場上少數可以取代Adobe Illustrator、Adobe Photoshop與Adobe InDesign的永久授權產品。</p> <p>此外，之前原本提供永久授權產品的VMware在被博通收購之後，即<a href="https://www.ithome.com.tw/news/160441" target="_blank">宣布全面終止永久授權</a>，而使得Affinity用戶憂心忡忡。</p> <p>不過，Canva與Affinity周三（3/27）承諾，將提供合理、透明與實惠的訂價，包括令Affinity與眾不同的永久授權，會努力於未來持續提供永久授權，即便之後推出訂閱服務，也會與永久授權一併作為銷售選項。</p> <p>雙方其它的承諾還包括將繼續投資與擴張Affinity產品，且會把Affinity當作獨立的產品套件，也會針對學校及非營利組織免費提供Affinity。</p> <p>根據<a href="https://www.techspot.com/news/102412-canva-acquires-affinity-380-million-take-adobe.html" target="_blank">《TechSpot》</a>的報導，Canva買下Serif的價格約為3.8億美元。</p> </div></div></div>
2024/3/28 12:12作者陳曉莉https://www.ithome.com.tw/news/162011
開發金靠坦克計畫奠定關鍵技術，IT化身顧問加速集團AI創新
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年七月，中華開發金控（簡稱開發金控）一連辦了兩場內部AI黑客松，超過兩百位員工組隊報名，技術人員和業務人員齊聚一堂討論AI應用。不同於金融業常見的嚴謹上班氣氛，各組以話劇演繹不同AI應用場景，生動展現創新點子，連金控總經理都親自出席。「一開始煩惱沒人，結果很多人報名，活動甚至從一天變兩天！」中華開發金控資訊長楊偉強回憶，沒想到報名人數遠超過預期，最後額外加開場次。</p> <p>「這個熱度，代表了集團內部員工，面對轉型的心態不一樣了。」企業推動數位轉型不只是技術面的挑戰，如何推動集團擁抱創新文化更是一道難題。楊偉強強調：「驅動轉型的關鍵是讓集團全體同仁理解計畫、願意轉型。」</p> <p>來自香港的他，2021年進入開發金控，三年內陸續推動了IT轉型和AI計畫。不過，楊偉強的目的不僅僅是實施計畫，更要讓金控集團一萬名員工能理解複雜的IT技術，來技術單位合作推動轉型。</p> <p>楊偉強的作法是，先制定統一的技術框架，涵蓋了各子公司關注的關鍵技術，整合全集團的IT轉型方向，再展開AI發展計畫的布局，不僅舉辦巡迴演講，將集團AI發展宣傳至集團各個角落，更藉著AI黑客松，找出集團中對AI有高度興趣的業務單位。同時，技術單位也跟著動起來，楊偉強開始將金控IT人員訓練為AI顧問，鼓勵IT主動與業務單位溝通，合作發想AI應用，要讓轉型氛圍擴散至全集團，帶著集團一起向前航行。</p> <p><span style="font-size:28px;"><strong>藉坦克計畫統一子公司技術發展方向，奠定轉型基礎</strong></span></p> <p>2021年，開發金控啟動了一項名為坦克計畫的IT轉型藍圖，以技術、架構和能力作為核心，來推動六大目標，分別是開放技術、先進數位平臺、現代化架構、技術賦能、智慧開發，和導入敏捷文化。技術面包括導入容器化架購的微服務系統開發技術、建置混合雲端環境和雲端分析平臺，以及導入中臺架構、高階資訊整合架構和企業資料平臺架構等計畫。開發上則要推動 DevOps現代化自動開發，打造 CI/CD 以及 IaC等自動化環境，還要引入符合數位發展的敏捷文化對策，讓資訊團隊在提案、需求、研發到開發驗證等流程都能快速反應。同時，要培養IT人才對新興技術的開發、研究和架構能力。</p> <p>「坦克計畫的目的，在於建立一個具有關鍵技術底層架構的框架，確保全集團的發展方向一致。」楊偉強指出，統一子公司的底層技術架構有助於加速轉型，例如整合銀、證、保三家子公司雲端架構，未來要發展特定的服務，就更加容易。</p> <p>開發金控的數位轉型並非從零起步，早在坦克計畫之前，各家子公司的轉型計畫醞釀已久。起初，為了統一子公司的技術發展方向，楊偉強選定雲端、資料，和中臺三個主題，依序舉辦主題式卓越中心，讓每家子公司推派代表參加，除了讓子公司了解轉型計畫的優勢，也協助尋找共同的解決方案，加快子公司的轉型成績。</p> <p>楊偉強選定的第一項關鍵技術是雲端。他計畫以金控為核心，為集團建立架構一致的雲端平臺。楊偉強解釋，雲端是基礎技術，對這項技術的運用越成熟，轉型速度才會快。開發金控在2020年開始籌備雲端轉型計畫，建構集團共用的混合雲架構雲端平臺，導入到旗下四大子公司，採用DevOps、K8S和API管理工具，打造雲原生開發和維運流程，也提供統一的身分認證和風險控管需求，來建立轉型基礎。</p> <p>在雲端管理上，楊偉強指出，雲端和地端管理思維截然不同，無法適用同一套管理方式。因此，除了原有管理地端機房的團隊，楊偉強額外設立一支雲端團隊，以應用角度進行雲端開發，例如AI、機器學習和使用雲端API等技術。由地端團隊負責維運，而雲端團隊負責開發。</p> <p>完成雲端基礎建設後，楊偉強接著著手資料治理，設立一個資料卓越中心，計畫用雲端技術來打造資料湖。「忘了地端倉儲吧！」楊偉強認為，地端資料倉儲處理數據的能力有限，無法快速因應變動的數據需求。尤其，「當銀行逐漸走向數據驅動決策，數據不再只是用於製作報表，還要能幫助企業理解客戶，甚至是預測未來。」他強調。</p> <p>隨著嵌入式金融浪潮興起，異業合作需求增加，金融業除了要處理內部數據，也要投入時間處理來自第三方的龐大資料，包括文字、圖片和影像等多元形式資料。楊偉強認為，若企業仍使用地端倉儲，需要投資更多技術進行整合，但雲端服務已有相應的資料整合技術可運用，「我們應該掌握工具，知道如何使用更重要。」楊偉強說。</p> <p>不僅考量技術，楊偉強構思的資料湖策略，更著眼於建立金融生態系。「金融業關注的領域必須超越金融服務，因為客戶的生活還有其他需求。」楊偉強認為，發展雲端技術和資料湖，有利於異業合作，建構金融生態系。他解釋，傳統地端資料倉儲處理第三方數據時，需要經過取出、轉換和載入等處理過程，作業過程複雜，不利於快速彙整客戶資料。</p> <p>最後，楊偉強設立了一個中臺卓越中心，由這個團隊負責協助各子公司翻新核心系統，要逐漸拆分出中臺的架構。「這是推動數位發展的必經路，卻是轉型中最困難的關卡。」楊偉強解釋，傳統金融業的管理系統沒有中臺需求，隨著技術演進，後臺系統的技術逐漸無法跟上，一旦湧入爆量需求，後臺系統就不堪負荷。「開發金控子公司的系統營運，也走到不得不轉型的階段。」他表示，開發金控目前採用的策略，是盡量減少在核心系統開發，改以中臺開發為主，再逐漸將服務遷至中臺。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E9%96%8B%E7%99%BC%E9%87%91%E6%8E%A7CIO-%E6%98%80%E7%92%87-600.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>啟動AI發展計畫，要靠AI基礎平臺發展集團AI大腦</strong></span></p> <p>坦克計畫執行滿兩年了，開發金控和旗下子公司陸續建立技術基礎，包括發展雲端技術、資料平臺、整合性平臺和導入敏捷文化，他們在今年啟動了AI發展計畫，整個集團要發展全面性的AI能力和AI應用，除了要培育AI技術與周邊關聯科技的人才，包括數據模型、資料科學，和演算法開發能力等，也要透過AI產生更多新形態服務模式，建立AI業務發展生態圈，更要讓全集團同仁參與AI開發，建構以AI驅動的企業。</p> <p>這個新計畫其中一項是要發展AI基礎平臺。楊偉強解釋，AI基礎平臺是由金控建立基礎AI模型和知識管理庫，讓子公司使用一致的底層模型和資料，再交由子公司負責尋找應用場景。他以LLM來解釋這個策略的好處，一來，模型的訓練方式不會因不同子公司而有差異，統一建立基礎模型可以有效降低成本，二來，由於金融監管需求高，使用多個LLM，無法統一管控多項需求。</p> <p>不同於其他IT技術，楊偉強認為，AI需要時間訓練，才能為己所用，無法透過購買技術來填補落後的空缺，「尤其是生成式AI，一定要找出場景開始運用，才能累積知識。」因此，開發金控目前選定內部使用，作為生成式AI的主要發展領域，例如用於協助處理文書、撰寫郵件、查找資訊、重點整理摘要等。</p> <p><span style="font-size:28px;"><strong>金控IT也跟著轉型，成為集團AI顧問</strong></span></p> <p>企業轉型面臨的阻礙之一，是內部各自解讀不同調，導致轉型效果減半。楊偉強指出，不論是推動IT轉型計畫，或是AI發展計畫的過程中，最大挑戰是尋求足夠的支持，讓眾人願意合作推動轉型。因此，不只規畫轉型藍圖，楊偉強也正在改造他率領的金控IT團隊，要將這個訓練成全集團的AI顧問，讓他們更容易成為與各單位合作的橋樑。</p> <p>「我的團隊每天跟我去跑業務！」楊偉強笑著說。和一般企業不同，楊偉強重視IT主動提出需求，甚至要有讓產品進入市場（Go to market）的策略思維。他不僅親自帶著IT團隊走訪子公司的業務單位，就像資訊廠商的業務銷售人員一樣，也主動講解技術如何與業務結合，向業務單位提出AI開發需求。</p> <p>但是，「我的團隊一開始很不習慣，每次跟我開會的時候，臉色都不太好。」楊偉強坦言，有位IT同仁開會時反映，業務單位還沒有AI需求，楊偉強接著反問他，「如果客戶跟你說，他不喜歡吃牛肉，你會怎麼做？」楊偉強以這樣的客戶來類比業務單位，若對方沒有需求，銷售人員就要想辦法為客戶創造需求。</p> <p>他認為：「IT自己要有AI的執行需求，不要等待使用者想出AI的需要。」由於業務單位對技術掌握有限，IT人員應主動與業務單位溝通，討論如何運用技術，減少雙方的溝通成本，才能有效加速轉型。漸漸地，開發金控IT團隊也開始運用客戶導向思維與業務單位溝通，創造更多AI開發需求。</p> <p>為了將AI宣傳至全集團各個角落，楊偉強還舉辦巡迴演講，找來金控IT同仁擔任主講者，邀請集團所有同仁參加，最近一場演講超過4百多人主動報名。「很多同仁對IT說，你們好像跟以前很不一樣。」不僅集團內部員工感受到IT的轉變，巡演過程中，楊偉強也觀察，IT員工開始嘗試運用銷售思維說服聽眾，「我覺得這對團隊是一個轉變，嘗試全新的心態。」他說。</p> <p>不僅單方面的分享，去年七月，開發金控內部舉辦了一場AI黑客松，邀請全集團中各個業務單位同仁組隊參與，藉此找出對AI有高度興趣的部門。原訂半天的黑客松，可提供12組競賽，楊偉強還找來外部廠商提供一名AI顧問，也由自家金控IT派出一名同仁，由這2名技術人員協助參賽的業務團隊構思AI應用。最後報名隊伍太踴躍，只好分兩天舉辦。</p> <p>楊偉強積極接觸子公司業務單位，是為了創造成功案例，提升其他單位合作的意願，「你永遠都需要，讓大家都看到轉型的好處。」他強調。推動轉型最大的課題是讓企業集體接受改變，透過三年的耕耘，轉型文化正在開發金控內漸漸發酵。文⊙李昀璇</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>中華開發金控資訊長楊偉強</strong></p> <p>學歷：美國芝加哥大學布斯商學院高階管理碩士</p> <p>經歷：在亞太區IT界擁有超過20年經驗，曾擔任金融三業等大型轉型專案跨技術領域的諮詢顧問。同時在AI、大數據分析及區塊鏈的商業運用擁有豐富的開發、設計經驗。他建立了香港最創新的FinTech平臺、將區塊鏈技術運用於中小企業，並協助香港政府導入及運用雲端技術。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1174-%E9%96%8B%E7%99%BC%E9%87%91%E6%8E%A7CIO-%E6%98%80%E7%92%87-600-2.jpg" style="width: 350px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>中華開發金控</strong></p> <p>公司名稱：中華開發金控</p> <p>地址：臺北市松山區敦化北路135號</p> <p>成立時間：2001年</p> <p>員工數：金控含子公司約1萬3千人</p> <p>子公司：中華開發資本、凱基人壽（原中國人壽）、凱基銀行、凱基證券、凱基投信</p> <p>主要業務：壽險、銀行、證券、投信及私募股權／資產管理。</p> <p>近年發展重心：2021年初啟動ABCDE五年策略，包括了數位躍升，首選雇主、顧客導向、驅動成長和高效執行等五大策略發展</p> <p>年營收：約400億元（2023年）</p> <p>董事長：黃思國</p> <p>總經理：龐德明</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 部門檔案 </span></strong></span></p> <p>資訊部門主管職稱：資訊長</p> <p>資訊部門主管姓名：楊偉強</p> <p>資訊部門人數：約60人</p> <p><strong>近年數位轉型重點成就：</strong></p> <p>●　2021年：提出ABCDE五大策略，加速推進數位躍升（Accelerate Digital）的目標。</p> <p>●　2021年7月：導入微軟雲端解決方案，成為臺灣首家運用微軟雲端數位轉型的上市民營金融機構。</p> <p>●　2023年8月：舉辦內部「生成式AI黑客松」，鼓勵員工展現創業家精神</p> <p>●　2024年3月：啟動集團AI發展計畫</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1174-kai_fa_jin_kong_cio-yun_xuan_-960-2.jpg" width="960" height="420" alt="" title="中華開發金控資訊長楊偉強　（攝影／洪政偉）" /></div></div></div>
2024/3/28 06:00作者李昀璇https://www.ithome.com.tw/people/161961
【資安日報】3月27日，AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了突破雙因素驗證（2FA）的防護機制，駭客採用中間人攻擊（AiTM）網釣攻擊套件的情況相當氾濫，最近出現新型態的工具包Tycoon 2FA，在短短半年內，已有駭客採行而濫用超過1千個網域，引起研究人員關注。</p> <p>值得留意的是，這個套件採用多階段攻擊流程，其產生的釣魚郵件不僅具有URL，也有出現QR Code的情況，這代表行動裝置用戶也可能是對方攻擊的目標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.sekoia.io/tycoon-2fa-an-in-depth-analysis-of-the-latest-version-of-the-aitm-phishing-kit/"><strong style="font-size: 22px;">新型態網路釣魚工具包Tycoon 2FA被用於竊取微軟365、Google帳號，並能繞過雙因素驗證</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Overview-of-the-main-operations-specific-to-the-Tycoon-2FA-phishing-kit_as-of-March-2024.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Overview-of-the-main-operations-specific-to-the-Tycoon-2FA-phishing-kit_as-of-March-2024.png" style="width: 300px; float: right;" /></a>資安業者Sekoia揭露名為Tycoon 2FA的對手中間人攻擊（AiTM）網釣攻擊套件，開發者約從去年8月，以租用的型式（Phishing-as-a-Service，PhaaS）提供買家使用，專門用於竊取微軟365及Google的帳密資料，駭客迄今濫用超過1,200個網域名稱，現在是受到廣泛利用的AiTM網釣攻擊工具之一。</p> <p>到了今年2月中旬，賣家提供新版Tycoon 2FA，並出現廣泛使用的情況，開發者增強混淆的程度及防範偵測的能力，並改變網路通訊的模式，使其攻擊行動變得更難發現。</p> <p>研究人員指出，該套件採取多個階段的攻擊流程，駭客先是藉由內含URL或QR Code的釣魚郵件引誘收信人上當，接著透過圖靈驗證系統Cloudflare Turnstile排除機器人，然後將收信人導向冒牌微軟登入網頁及偽造的雙因素驗證流程，過程中駭客收集受害者的電子郵件信箱、密碼，並透過WebSocket外流。</p> <p><a href="https://www.trendmicro.com/en_us/research/24/c/agenda-ransomware-propagates-to-vcenters-and-esxi-via-custom-pow.html"><strong style="font-size: 22px;">VMware ESXi伺服器遭勒索軟體Agenda鎖定</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Agenda-fig3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Agenda-fig3.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技從去年12月發現勒索軟體Agenda（又名Qilin、Water Galura）的攻擊數量顯著增加，攻擊者濫用遠端管理工具（RMM）及Cobalt Strike來散布勒索軟體，研究人員也看到利用PsExec與SecureShell的情況，此外，對方也利用多種含有漏洞的驅動程式來迴避偵測。</p> <p>但值得留意的是，攻擊者在成功入侵Windows電腦後，便會利用嵌入勒索軟體檔案的PowerShell指令碼，對VMware ESXi、vCenter進行橫向感染，竄改ESXi主機root密碼，並透過SSH進行檔案傳輸，最終進行檔案加密。 </p>  <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=223130&SPOKE_DATE=20240326&COMPANY_ID=2610"><strong style="font-size: 22px;">華航外洩資料再傳出現暗網，該公司表示是前次事故的舊資料</strong></a><strong style="font-size: 22px;"></strong></p> <p></p> <p>3月26日晚間中華航空在股市公開觀測站發布重大訊息，指出他們發現駭客在暗網販售會員資料，經過調查，與現有會員的資料庫（今年1月更新）不符，研判是與之前發生的個資外洩事故流出的內容（編按：應指<a href="https://www.ithome.com.tw/news/155167">2023年1月的資料外洩事故</a>）。而對於未來的因應措施，該公司將於4月2日啟動雙因素驗證，所有會員必須透過手機或電子郵件信箱取得動態密碼（OTP）才能登入系統。</p> <p>而發這項重大訊息的原因，很可能與<a href="https://udn.com/news/story/7266/7857497">聯合新聞網的報導</a>有關。3月24日駭客傳出在暗網上傳華航會員資料，宣稱為更新至今年1月的新資料，內容有110萬筆，包含會員編號（ID）、中文姓名、英文姓名、性別、生日、電子郵件信箱、國籍、手機號碼，對方亦公布100筆個資給買家驗證。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.securityweek.com/zenhammer-attack-targets-dram-on-systems-with-amd-cpus/"><strong style="font-size: 22px;">搭載AMD Zen 2、Zen 3處理器的電腦恐面臨ZenHammer記憶體攻擊風險</strong></a></p> <p></p> <p>存在於動態隨機存取記憶體（DRAM）的設計弱點Rowhammer，最早於2014年出現，該漏洞公布後製造商也開始採取「目標列更新」（Target Row Refresh，TRR）的機制來因應，但現在傳出新架構的電腦也有可能遭受相關攻擊的情況。</p> <p>蘇黎世聯邦理工學院的研究人員指出，他們成功在搭載AMD Zen 2及Zen 3微架構處理器的電腦上，對DDR4及DDR5記憶體進行Rowhammer攻擊，他們將針對上述處理器電腦的攻擊手法稱為「ZenHammer」，並表示這是首度成功針對DDR5進行Rowhammer攻擊的發現（儘管成功機率僅約十分之一）。</p> <p>對此，AMD也發布資安公告，表示他們在2月26日獲報此事，將著手進行相關評估，並提供緩解措施。</p> <p><a href="https://www.scmagazine.com/news/fortinet-forticlient-ems-sql-injection-flaw-exploited-in-the-wild"><strong style="font-size: 22px;">FortiClient EMS存在危急漏洞，且已被用於攻擊行動</strong></a></p> <p></p> <p>3月12日Fortinet針對端點管理伺服器FortiClient EMS，公告此系統存在危急（Critical）層級的SQL注入漏洞CVE-2023-48788，攻擊者可藉由特製的封包，在未經授權的情況下，執行程式碼或命令，CVSS風險評分為9.8，該公司於21日更新公告內容，指出他們已得知出現攻擊行動，如今這樣的情況也被美國政府證實。</p> <p>25日美國網路安全暨基礎設施安全局（CISA）將此漏洞加入已被利用漏洞列表（KEV），要求聯邦機構於4月15日前完成修補。</p> <div> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.justice.gov/opa/pr/seven-hackers-associated-chinese-government-charged-computer-intrusions-targeting-perceived"><strong style="font-size: 22px;">美國制裁與中國駭客組織APT31有關的武漢曉睿智科技</strong></a></p> <p></p> <p>3月25日美國針對與中國駭客組織APT31有關的武漢曉睿智科技（Wuhan XRZ）進行制裁，並控告7名參與駭客行動的中國人，由於涉嫌入侵電腦及電信詐欺，司法部將凍結他們在美國的資產。</p> <p>美國政府指出，這些被告針對美國及其他國家的個人與組織，發送超過1萬封惡意電子郵件，一旦收信人開啟郵件，就會曝露自己的地理位置、IP位址，以及網路環境及裝置的資訊，對方就有機會利用這些資訊進一步策畫攻擊行動，破壞收信人網路環境的路由器及其他電子設備。</p> <p>此外，APT31也被指控在2020年針對美國總統大選的競選工作人員攻擊、滲透5G網路設備供應商、無線網路技術供應商、國防承包商等數十家企業。</p> <p><a href="https://www.cisa.gov/resources-tools/resources/secure-design-alert-eliminating-sql-injection-vulnerabilities-software"><strong style="font-size: 22px;">美國呼籲科技業者清查軟體的SQL注入漏洞</strong></a></p> <p></p> <p>3月25日美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）聯手，發布安全設計警報（Secure by Design Alert），呼籲軟體科技業者在產品出貨前，應該針對程式碼進行審查，找出可能存在的SQL注入（SQL Injection，SQLi）弱點。</p> <p>這次警報的發布，起因是去年勒索軟體駭客組織Clop利用MFT檔案傳輸系統MOVEit Transfer的漏洞CVE-2023-34362，從事大規模攻擊，而這個漏洞就與SQL注入有關。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.cna.com.tw/news/afe/202403230131.aspx"><span style="font-size: 20px;">為強化電商資安，數位部協助88家業者進行評估及紅隊演練</span></a></strong></p> <p></p> <p><a href="https://www.securityweek.com/apple-patches-code-execution-vulnerability-in-ios-macos/"><strong><span style="font-size: 20px;">蘋果發布iOS 17.4.1、macOS Sonoma 14.4.1，修補AV1影音編碼器漏洞</span></strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-ray-framework-flaw-to-breach-servers-hijack-resources/"><strong><span style="font-size: 20px;">人工智慧框架Ray漏洞遭到鎖定，攻擊者挾持運算能力、竊取機敏資料</span></strong></a></p> <p><a href="https://blog.lumen.com/the-darkside-of-themoon/"><strong><span style="font-size: 20px;">4萬臺EOL路由器、IoT裝置被用於架設大型殭屍網路TheMoon</span></strong></a></p> <p></p> <p><strong><a href="https://www.reversinglabs.com/blog/suspicious-nuget-package-grabs-data-from-industrial-systems"><span style="font-size: 20px;">惡意NuGet套件鎖定工控系統挖掘機敏資訊</span></a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161956"><strong>【3月26日】Google搜尋提供的AI建議竟列出詐騙網站和惡意網站</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161940"><strong>【3月25日】俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161905"><strong>【3月22日】研究人員公布無限循環的阻斷服務攻擊手法Loop DoS</strong></a></p> </div></div></div>
2024/3/27 16:50作者周峻佑https://www.ithome.com.tw/news/162004
Podman 5.0重寫Podman Machine指令，支援Apple虛擬機器管理程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源容器平臺<a href="https://blog.podman.io/2024/03/podman-5-0-has-been-released/">Podman推出重大更新版本5.0</a>，在最新版本中，開發團隊重寫了Podman Machine指令，強化對Windows和Mac作業系統的支援，而清單（Manifests）也支援OCI構件，以支援不同類型的容器，另外，Podman現在預設使用Pasta來處理非Root網路。</p> <p>Podman Machine是Podman用來啟動Linux虛擬機器，可讓Windows和Mac系統也能運作Linux容器的重要元件，而開發團隊重寫Podman Machine指令，如此不只能提高執行效能和穩定度，也明顯增加了不同虛擬機器供應商之間程式碼共用的比例，降低使用者維護程式的成本。</p> <p>而Podman 5.0也新增Apple虛擬機器管理程式（Apple ㄑ）支援，以大幅提高Podman在Mac上的穩定性、啟動時間和檔案共享效能。用戶還可以使用新的Podman Machine重置指令，刪除由Podman Machine管理的虛擬機器。</p> <p>從Podman 4.4版本開始支援Pasta非Root網路後端，讓普通用戶即便在沒有Root權限的情況下，也能設定和管理容器網路，而官方提到，因為Pasta可以明顯改善效能，因此將其預設為Podman 5.0的非Root網路後端。</p> <p>同時，有鑑於Podman 4.9使用SQLite作為預設資料庫，大幅提高了穩定性，而現在官方進一步棄用BoltDB資料庫後端，使用者已經無法創建BoltDB資料庫，所有新的Podman安裝皆使用SQLite資料庫，不過既有的BoltDB資料庫仍然可以使用。</p> <p>由於Podman 4.0新加入網路堆疊Netavark，已經能適用所有Podman使用案例，效能和功能都已等同甚至是超越CNI，因此Podman 5.0移除對大多數平臺的CNI（Container Network Interface）網路支援。</p> <p>取消CNI支援能夠減少開發團隊的負擔，而且也因為CNI專案轉為專注支援Kubernetes，進一步促使Podman團隊取消支援CNI。不過部分版本仍需要CNI，像是FreeBSD、RHEL，這些版本皆會維持啟用CNI的狀態。</p> <p>在最新版本中，containers.conf配置文件處理也有變化，現在不會覆寫用戶修改過的檔案，也就是說，Podman更新或是執行的時候，能夠維持用戶對containers.conf進行的變更，確保用戶自定義設定不會被Podman更新時覆蓋掉。</p> <p>此外，Podman 5.0還強化對Docker的相容性，開發團隊修改Podman Inspect指令的輸出，使其能夠更好的搭配Docker的輸出格式，讓從Docker過渡至Podman的用戶更容易適應，也使基於Docker的工具和腳本更容易和Podman相容。</p> <p>由於Podman 5.0是一個重大的更新，官方強調，Podman 4與Podman 5機器間沒有直接升級的方法，因此對於重要的Podman專案，使用者應該謹慎升級。而執行Mac的Podman 4，因為是以QEMU虛擬化為基礎，而Podman 5在Mac上使用了Apple虛擬機器管理程式，並且棄用了對QEMU的支援，因此要在Mac上使用Podman 5，除了本身軟體之外，用戶還需要安裝可透過虛擬化框架啟動虛擬機器的簡單命令列工具vfkit。</p> </div></div></div>
2024/3/27 16:25作者李建興https://www.ithome.com.tw/news/161998
Adobe擁抱生成式AI，推出GenStudio以優化內容供應鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Adobe於周二（3/26）展開的Adobe Summit 上發表了可用來協助行銷人員快速規畫及啟用內容的<a href="https://news.adobe.com/news/news-details/2024/Adobe-Announces-Generative-AI-Solutions-to-Jumpstart-Content-Supply-Chain-for-Enterprises-/default.aspx" target="_blank">GenStudio</a>，強調將利用生成式AI來優化內容供應鏈。</p> <p><a href="https://business.adobe.com/products/genstudio.html" target="_blank">根據Adobe的定義</a>，GenStudio是個以生成式AI為優先的產品，得以讓行銷團隊更快速地規畫、建立、啟用、跨應用與出版商的啟用，以及衡量品牌內容，它能夠獨立運作，也可以與其它內容供應鏈上的產品協作。</p> <p>因此，專為小型至大型企業所建構的GenStudio蒐集了跨通路行銷所需的各種工具，並以生成式AI為基礎，讓團隊成員可以快速尋找及生成資產，創造各種不同的作品，並根據即時的內容效能洞察來優化體驗。例如替行銷人員提供符合品牌的範本，方便針對媒體、社交平臺、電子郵件或網路等不同的通路產生高效能內容；或是針對品牌、客戶角色及產品描述進行訓練，以確保由AI產生的文案及圖像符合所需；也能直接使用生成式AI來審查文案與圖像。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-Adobe%20GenStudio-for%20marketing-2.png" style="width: 600px;" /></p> <p>具體而言，<a href="https://business.adobe.com/resources/sdk/getting-started-with-adobe-genstudio.html" target="_blank">GenStudio具備三大支柱</a>，分別是工作流程與規畫、創造及生產、啟用與遞送，而每一個支柱都是由不同的工具所支援，完善地整合將能流暢地執行內容供應鏈。</p> <p>其中一項工具為Adobe去年發表的生成式AI模型Firefly。Firefly模型的訓練內容源自於Adobe Stock專業授權圖像、版權過期的公開授權圖像，再加上公領域的內容，以提供一個安全且合法的生成式AI模型，Firefly具備一個網頁介面，允許使用者輸入文字以生成圖像，或是利用畫筆消除或建立新物件，也能在單字或語句上加上風格或紋理，此外，Adobe亦允許企業以自家圖像來訓練Firefly，以生成符合企業風格的作品。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-adobe%20firefly.png" style="width: 600px;" /></p> <p>GenStudio目前仍在預覽階段，但試用過的Orvis發現制定專案計畫的時間減少了75%，JLL創意團隊在兩年內的交付成果增加了250%，T-Mobile在不增加人力的前提下活動產出提高了47%，Asics亦因此減少了30%的資產浪費。</p> <p>GenStudio預計於今年全面上市，但價格將因客戶的需求而有所不同。</p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Adobe</span></span></p> </div></div></div>
2024/3/27 16:41作者陳曉莉https://www.ithome.com.tw/news/162003
美國控告加密貨幣交易平臺KuCoin
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/usao-sdny/pr/prominent-global-cryptocurrency-exchange-kucoin-and-two-its-founders-criminally" target="_blank">美國司法部</a>及<a href="https://www.cftc.gov/PressRoom/PressReleases/8884-24" target="_blank">美國商品期貨交易委員會</a>（Commodity Futures Trading Commission，CFTC）周二（3/26）分別控告加密貨幣平臺KuCoin，指控該平臺涉及洗錢及違反美國的《商品交易法》（Commodity Exchange Act，CEA）與CFTC規定。</p> <p>KuCoin是在2017年由Chun Gan與Ke Tang兩名中國公民所創立，並於2021年推出自家加密貨幣KuCoin Token，目前該平臺提供超過750種加密貨幣的交易服務，支援逾20種語言，號稱是全球前五大加密貨幣交易平臺，24小時的交易規模超過32億美元。</p> <p>美國司法部本周指控KuCoin、Gan與Tang違反《銀行保密法》（Bank Secrecy Act，BSA），沒有註冊匯款業務，也沒有維護適當的反洗錢計畫（Anti-Money Laundering，ALM），助長洗錢活動。</p> <p>根據美國的調查，在2023年7月以前，KuCoin並不要求客戶提供任何身分資訊，就算之後收到美國聯邦政府針對該平臺展開刑事調查的通知之後，才針對新客戶採用了「了解你的客戶」（Know Your Customer，KYC）計畫，但該計畫也僅適用於新客戶，並未要求現有客戶出示身分，也從未提交過任何必要的可疑活動報告，而且雖有大量的美國客戶，卻從未於美國註冊過期貨或匯款業務。</p> <p>此外，KuCoin還試圖隱藏美國客戶的存在，積極阻止美國客戶在開設帳號時表明自己的身分。調查亦發現KuCoin被用來當作暗網、惡意軟體、勒索軟體與詐欺案件的洗錢平臺，自2017年以來，該平臺已收到超過50億美元的可疑與犯罪收益，流出的犯罪收益亦超過40億美元。KuCoin最吸引客戶的要點之一就是它提供匿名服務。</p> <p>美國司法部指出，Gan與Tang皆被指控違反《銀行保密法》及無照經營匯款業務，每項罪名最高可判處5年刑期。</p> <p>至於CFTC則聲稱負責經營KuCoin的多家公司多次違反《商品交易法》及CFTC規定，包括在從未註冊的情況下提供期貨服務，要求相關業者歸還非法所得，支付罰款，亦尋求永久禁令。</p> <p>美國對KuCoin的指控類似<a href="https://www.ithome.com.tw/news/159946" target="_blank">去年對幣安（Binance）</a>所採取的行動，消息傳出後，KuCoin Token下滑超過10%，目前的價格落在12.52美元左右，<a href="https://twitter.com/kucoincom/status/1772649807972315170" target="_blank">KuCoin當天也透過X表態</a>，表示該平臺目前仍正常運作，用戶資產非常安全，已交由律師調查訴訟事宜，同時強調該平臺尊重各國法律並遵守相關規定。</p> </div></div></div>
2024/3/27 15:51作者陳曉莉https://www.ithome.com.tw/news/162002
平面設計平臺Canva收購Affinity
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>線上平面設計平臺Canva周二（3/26）<a href="https://www.canva.com/newsroom/news/affinity/" target="_blank">宣布買下熱門的設計套件Affinity</a>，包括Affinity Designer、Affinity Photo與Affinity Publisher，雙方並未公布交易細節，但根據<a href="https://www.bloomberg.com/news/articles/2024-03-26/canva-acquires-affinity-design-suite-in-push-to-rival-adobe?embedded-checkout=true" target="_blank">《彭博社》</a>（Bloomberg）的報導，此一交易價值數億英鎊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-canva%20acquire%20Affinity.jpg" style="width: 450px;" /></p> <p>正確地說，Canva收購的對象是Serif Europe，1987年創立於英國的Serif最初主要開發排版軟體，並在2014年推出向量圖形編輯工具Affinity Designer，於2016年發表點陣圖形編輯工具Affinity Photo，再於2019年推出桌面出版工具Affinity Publisher，其功能分別類似Adobe Illustrator、Adobe Photoshop與Adobe InDesign，且在Adobe全面走向訂閱制的同時，Affinity套件仍保留買斷策略，而成為熱門的Adobe替代品，目前Affinity系列在全球已吸引逾300萬名使用者。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-Affinity.jpg" style="width: 600px;" /></p> <p>至於Canva則是2013年成立於澳洲的平面設計平臺，可用來建立社交媒體圖像、簡報、海報、文件或其它視覺內容，還具備設計範本，該平臺同時提供免費服務以及可存取進階功能的訂閱服務，用戶數超過1.75億。Canva並未如Adobe般地開發針對不同目的的設計軟體，但該平臺依舊於設計圈快速崛起，在2021年的估值達到400億美元，已被視為Adobe的最大競爭對手。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Brand%20Kit%20In%20Editor.jpg" style="width: 600px;" /></p> <p>Canva表示，過去幾年市場對高效及吸睛的視覺傳達需求急劇增加，儘管該平臺過去10年主要關注99%沒有接受過設計培訓的知識工作者，但藉由納入Affinity，將可服務各種等級與階段的設計師，且雙方皆認同專業設計軟體應該更加直覺、價格實惠、快速及流暢。</p> <p>外界最擔心的是在Affinity被Canva收購之後，會不會順應訂閱制的潮流，取消永久購買版，不過，根據<a href="https://affinity.serif.com/zh-cn/press/newsroom/canva-statement/" target="_blank">Serif所發表的聲明</a>，目前的訂價模式並沒有任何改變，所有的應用程式都可一次購買，Affinity程式完全不會受到影響，仍由英國的同一團隊繼續開發，也會保留Affinity品牌，也沒有裁員計畫。</p> <p>此外，Serif則解釋，過去該公司根本沒想過要出售，一直到Canva幾個月前主動接洽它們，由於Canva缺乏專業的設計工具，而Serif亦無任何雲端或協作服務，再加上雙方的理念與文化都非常相似，相信彼此的結合將能共同打造世界上最全面的視覺通訊產品，還能更快地開發程式來服務現有的創意社群。</p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Canva</span></span></p> </div></div></div>
2024/3/27 13:17作者陳曉莉https://www.ithome.com.tw/news/161995
Google釋出Windows on Arm版原生Chrome
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>配合高通Arm-based Snapdragon晶片的規畫，<a href="https://blog.google/products/chrome/download-google-chrome-windows-pc-arm/" target="_blank">Google本周宣布</a>將釋出適合Snapdragon Arm-based Windows PC下載的Chrome瀏覽器。</p> <p>新版Chrome已為搭載高通Arm-based Snapdragon晶片的Windows PC優化，可確保上網的效能。Google今年1月提供Canary測試版，本周則逐步會在各市場上線<a href="https://www.google.com/chrome/" target="_blank">正式版本</a>。</p> <p>效能是這次更新最主打的特色。Chrome內建節能模式和記憶體節省模式等功能，可優化使用體驗。Google補充，根據最新標竿測試，<a href="https://www.qualcomm.com/news/releases/2023/10/qualcomm-unleashes-snapdragon-x-elite--the-ai-super-charged-plat" target="_blank">Chrome在搭載Qualcomm Snapdragon X Elite CPU的機器上</a>，效能還可進一步提升。</p> <p>Snapdragon X Elite預計2024年中推出。<a href="https://www.macrumors.com/2023/12/18/qualcomm-snapdragon-x-elite-faster-apple/" target="_blank">高通聲稱</a>，新晶片在一項多核標竿測試中，效能比Apple Silicon M3快21%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0327-Chrome-Arm-compatible%20Windows%20PC-Qualcomm%20Snapdragon%20X%20Elite-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／高通</span></span></p> <p>除了效能，Google強調Windows PC版Chrome還內建安全性（如安全瀏覽、密碼管理器、安全檢查）、整合AI的Google搜尋、Google翻譯；離線使用Gmail、Google文件、Google翻譯和Google雲端硬碟；跨裝置瀏覽；以及眾多外掛。Chrome瀏覽器可在<a href="https://www.google.com/chrome/" target="_blank">官網</a>下載，現在還未看到Windows on Arm適用版本的用戶，可以再等等。</p> </div></div></div>
2024/3/27 11:14作者林妍溱https://www.ithome.com.tw/news/161982
Momo RMN精準行銷服務正式上線！還要推開店平臺及直播電商等更多類型的零售數位服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣電商龍頭Momo今（3/26）揭露2024年推動電商成長的新做法，包括零售媒體聯播網（RMN）服務「Momo Ads」、開店平臺服務「Mo店+」、支援直播電商的數位工具，以及輔助物流最後一哩路的新物流據點類型「衛星站」。</p> <p><strong>RMN服務正式上線</strong><br /> 去年3月，Momo便透露進軍廣告業務的意圖，隨後於8月正式開始籌備，並在第4季上線RMN服務Momo Ads。Momo電商事業資深副總經理洪偉釗表示，這是個一站式自助投廣平臺，供應商要使用廣告服務，不需事先串接任何系統。</p> <p>Momo Ads廣告採取即時競價機制（RTB，Real-time Bidding），由Momo打造的推薦演算法和CTR/CVR預估模型，來進行精準行銷及行銷成效估算。廣告主還能從後臺看到即時廣告成效報表，分析廣告點擊、曝光、商品成交、成交內容等數據，並快速調整投廣策略。</p> <p>洪偉釗坦言，讓供應商願意買單這種新型態廣告並非易事。Momo策略是讓數字說話，希望廣告投資報酬率（ROAS，Return on Ad Spend）可以和Google、Meta等大型廣告平臺看齊。為此，Momo RMN團隊仍在持續嘗試改善推薦演算法精準度。</p> <p><strong>重新推出開店平臺服務</strong><br /> Momo今年開始試營運開店平臺服務Mo店+，提供客製化開店模組，以及Momo金流、物流、行銷工具等付費服務。</p> <p>早年，Momo有推出摩天商城開店平臺服務，後來終止服務。Momo總經理谷元宏不諱言，當初推出開店平臺服務時，不僅自己規模較小，且動機接近於跟風。穩坐電商龍頭地位後，他們希望利用自家平臺影響力及資源，再次挑戰開店平臺服務。</p> <p>谷元宏表示，這次推出開店平臺動機明確，是要透過外部商家品項，來補齊一般B2C電商不容易找到的商品。為了確保商家品質。Mo店+目前採取邀約制，初期希望招募商品品項少量多樣的店家，販售傳統B2C電商不容易找到的商品。</p> <p>開店平臺服務也有望為Momo RMN業務注入一波成長動能。谷元宏說明，開店平臺店家通常希望有更多行銷自主性和彈性，自助式投廣模式的RMN，正好符合這個需求。</p> <p><strong>用數位服務強化直播電商</strong><br /> Momo已經有電視電商及直播電商頻道，今年，為了讓站上品牌能進一步經營直播電商，他們還要推出品牌專屬直播製作服務及自助式直播工具。</p> <p>前者是為有大規模直播節目製作需求的品牌提供製作、行銷、設計、數據復盤等服務。後者則是推出<a href="https://play.google.com/store/apps/details?id=com.momoshop.android.streampusher&hl=zh_TW&gl=US">直播用App</a>，讓品牌能輕鬆建立好直播環境，展開直播電商業務。</p> <p><strong>設立配置更精簡的送貨據點來強化最後一哩路物流</strong><br /> 谷元宏坦言，目前Momo物流效率仍是北部強於南部。今年，Momo南區儲配運輸物流中心預計於第二季完工、第三季試營運，預計能改善此情況。不只如此，Momo還打算建置新種類智慧物流據點「衛星站」，來強化最後一哩路物流。</p> <p>衛星站比衛星倉更小型，占地約100坪，主要用途不是商品倉儲，而是當作物流節點。衛星站將搭配AI智能選品配置及路線規畫技術，有訂單需求時，才會從鄰近倉儲調貨到離消費者最近的衛星站，供車隊取貨、送貨。</p> <p><strong>用Mo幣進軍企業福利電商的業務持續成長中</strong><br /> Momo去年宣布，將利用旗下會員點數Mo幣打入B2B電商。今日洪偉釗進一步揭露，這類業務有兩種型態，第一是直接販售Mo幣給Acer等大型企業，作為福利點數發放給員工，第二則是上架Mo幣到其他企業福利網，成為該福利網其中一個企業福利選項。由於業務剛起步，企業福利電商所發行的Mo幣占總發行量（100億顆）比例仍非常小，但相比去年仍成長了50%。</p> <p>谷元宏補充，Momo營業費用相比去年幾乎不變，惟IT投資持續增加，以支援RMN、智慧倉儲等新IT建設。</p> <p> </p> </div></div></div>
2024/3/27 09:52作者郭又華https://www.ithome.com.tw/news/161959
【廠商永續支援度盤點：Pure Storage】 Pure1維運管理平臺提供能耗與碳排監控支援功能，透過儀表板快速查看…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr" id="docs-internal-guid-6e6823b6-7fff-8611-bf86-f325df5f2719">儲存廠商Pure Storage去年底開始在其雲端維運管理平臺Pure1中新增永續性評估的功能，不只可以監控儲存設備使用的整體能耗，還能夠提供年度的碳排放當量資訊，方便企業監控和管理這些儲存設備的碳排，作為改善其能耗與碳排的參考依據。</p> <p dir="ltr">近幾年，不只伺服器廠商開始重視IT設備能耗與碳排放資訊管理，各大儲存業者也紛紛加強儲存產品的能耗與碳排數據的監控和追蹤，讓企業可以快速了解這些儲存設備使用的能耗和碳排數據，Pure Storage也是積極搶進的其中一家業者，去年底開始在Pure1維運管理平臺中推出能耗與碳排放監控支援功能。</p> <p dir="ltr">Pure1是Pure Storage在2015年推出的雲端維運管理平臺，可以為自家儲存設備提供統一監控與管理功能，並可透過AI幫助用戶分析與管理儲存環境。Pure1在去年9月推出一個永續性評估儀表板，加入能耗與碳排放監控功能，可以監控包含FlashArray全快閃儲存陣列、FlashBlade物件儲存設備在內的能耗與碳排的情況，方便企業蒐集和管理這些儲存設備使用的碳排數據，來因應永續發展和法遵要求。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%20Pure1%20-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20-Pure%20Storage(1).png" style="width: 600px;" /></p> <p dir="ltr"><strong style="color: rgb(105, 105, 105);">從Pure Storage提供的永續儀表板的畫面中，企業可以快速查看使用FlashArray或FlashBlade設備在全球不同營運據點的整年總耗電量和碳排放量，還能根據容量利用率、效率和功耗等指標的呈現，顯示每臺儲存設備的目前狀態，讓使用者更容易了解各據點的能耗和碳排放情況。 </strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Pure Storage</span></p> <p dir="ltr"> </p> <p dir="ltr"><strong><span style="font-size:28px;">新增永續性評估功能，可以查看儲存設備使用能耗與碳排</span></strong></p> <p dir="ltr">從Pure Storage提供的永續儀表板的畫面中，企業可以快速查看使用FlashArray或FlashBlade設備在全球不同營運據點的整年總耗電量和碳排放量，還能根據容量利用率、效率和功耗等指標的呈現，顯示每臺儲存設備的目前狀態，讓使用者更容易了解各據點的整體能耗和碳排放情況。</p> <p dir="ltr">在儀表板中還設有一整排的六角形格子，每個格子都代表一臺臺儲存設備，並以不同的顏色顯示其狀態，例如紅色的格子代表設備可能出現異常耗電的情形，須立即採取必要行動，綠色則表示這臺設備運作是處於正常的狀態。當使用者用游標點選格子圖案時，可以進一步查看對應該儲存設備的詳細資訊，包括機型、所屬資料中心等，在格子中還會根據其標示的顏色提供不同的改善建議。</p> <p dir="ltr">Pure1平臺定期會從用戶的儲存設備取得有關CPU的運行狀況、記憶體使用狀況、耗電量、資料減量率等資訊，這些儲存設備會以每30秒一次的頻率，將這些資訊上傳到雲端資料中心，接著利用AI等分析技術進一步分析處理後，再透過永續儀表板向用戶提供改善建議，幫助使用者優化能源使用和減少碳排放。</p> <p dir="ltr">在永續儀表板中，還會提供企業組織的年度永續資訊摘要，其中包含全年的電力使用和直接碳排放資訊與設備整體運作效率，此外，企業還可以比較Pure Storage設備和其他廠商同級設備之間的差異，了解可以因此省下多少用電與碳排放。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%20Pure1%20-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%20-Pure%20Storage.png" style="width: 600px;" /></p> <p dir="ltr"><strong style="color: rgb(105, 105, 105);">在永續儀表板中還設有一整排的六角形格子，每個格子都代表一臺臺儲存設備，並以不同的顏色顯示其狀態，例如紅色的格子代表設備可能出現異常耗電的情形，須立即採取必要行動，綠色則表示這臺設備運作是處於正常的狀態。 </strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Pure Storage</span></p> <p dir="ltr">在年碳排放量的估算上，Pure Storage利用聯合國氣候變遷政府間專家委員會（IPCC）推估方法來計算儲存設備使用的溫室氣體排放量，利用一周平均用電推估一年MWh總用電量後，再乘上碳排係數後，轉換成年度的二氧化碳排放當量，之後再根據每個資料中心使用再生能源的比例，調整計算出的碳排放量，方便企業根據整年碳排放量預估來制定減碳策略。</p> <p dir="ltr">不僅如此，使用者還可以透過永續儀表板進一步放大查看每個據點中個別儲存設備的能耗狀況，除了提供基本資訊如設備機型、版本等，還包含了每7天平均機架伺服器的容量利用率、尖峰功耗、熱度以及每TB的能源效率等資訊。不過，目前僅能查看儲存設備的整體年度碳排，不含單一設備的碳排資訊。</p> <p dir="ltr">Pure Storage表示，用戶使用其FlashArray或FlashBlade儲存設備，就能夠免費使用Pure1這套維運管理平臺，其中包含了永續儀表板。</p> <p>除了在雲端維運平臺新增永續儀表板，Pure Storage近幾年也持續將永續發展融入到營運策略中，包括環境足跡、製造流程和供應鏈方面等，此外，在軟硬體產品設計上也十分重視永續性，例如提供更高的儲存密度、更有效的資料減量，從而節省實體儲存空間，以降低能源使用。</p> </div></div></div>
2024/3/27 10:26作者余至浩https://www.ithome.com.tw/news/161903
微軟傳Surface部門主管將統掌硬體、Windows、Web開發業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼上周<a href="https://www.ithome.com.tw/news/161865" target="_blank">宣布新成立AI部門</a>後，微軟可能又有組織變動。媒體報導，微軟負責Copilot、Bing等開發的部門主管將下臺，由Surface部門主管統一掌理Windows及Surface硬體部門。</p> <p><a href="https://www.theverge.com/2024/3/25/24111931/microsoft-windows-surface-pavan-davuluri" target="_blank">《The Verge》</a>昨日取得體驗+裝置部門執行副總裁Rajesh Jha的對內公開信報導，因為Mikhail Parakhin將「另尋新角色」，因此Surface部門主管Pavan Davuluri將接管負責Windows、Copilot、Bing、Edge的Windows+Web體驗部門，以及Windows+Surface硬體部門，並向Jha報告。根據Jha的說法，Parakhin轉到技術長暨執行副總裁Kevin Scott旗下，支持組織完成轉型。</p> <p>兩部門過去即隷屬同一主管，但原主管Panos Panay突然在9月跳槽Amazon後，微軟將其部門切分為二，一是Parakhin率領的Windows+ Web體驗部門，二是Surface裝置及晶片部門，由Pavan Davuluri執掌。</p> <p>Davuluri已是微軟23年資深員工，2021年升任至現職。他也是微軟和AMD及高通合作，以開發微軟自製晶片的核心人物。</p> <p>雖然根據微軟內部信件，Parakhin仍然留在微軟，但其他媒體則報導他將離開公司。原因可能和AI部門的成立有關。</p> <p>上周微軟執行長<a href="https://www.ithome.com.tw/news/161865" target="_blank">Satya Nadella宣布</a>成立新AI部門，延攬AI新創公司共同創辦人Mustafa Suleyman為最高主管，該部門也將涵括生成式AI（GenAI）部門，以及Parakhin部門開發的Copilot、Edge、Bing業務，Parakhin和GenAI主管Misha Bilenko都得向Suleyman報告。</p> <p>報導引述Jha的說法，Windows部門未來將會和Microsoft AI部門在AI、晶片和體驗上密切合作。AI早已是微軟產品策略的重點，不僅是Windows、Bing和各項服務，連硬體也是。<a href="https://www.ithome.com.tw/news/161907" target="_blank">上周微軟才宣布</a>第一批具有Copilot專用鍵的商用Surface筆電及平板。</p> <p>微軟官方尚未證實此項組織異動消息。</p> </div></div></div>
2024/3/27 09:34作者林妍溱https://www.ithome.com.tw/news/161962
針對雲端服務供應商再出手，Redis 7.4轉移使用RSAL與SSPL雙重授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Redis官方<a href="https://redis.com/blog/redis-adopts-dual-source-available-licensing/">宣布</a>從Redis 7.4版本開始，將更換原本所使用的3-Clause BSD（Berkeley Software Distribution）授權條款，改使用RSALv2（Redis Source Available License）與SSPLv1（Server Side Public License）雙重授權（Dual-License）。根據新授權方法，託管Redis產品的雲端服務供應商，將不被允許免費使用Redis原始碼，雲端服務供應商必須要Redis同意才能提供Redis 7.4。</p> <p>在2022年的時候，Redis開始以RSALv2、SSPLv1雙重授權發布包括RedisJSON、Redis Stack等模組，而現在Redis逐漸要把所有免費軟體轉向雙重授權，官方提到，雙重授權方式讓使用者可以在RSALv2和SSPLv1之間選擇。</p> <p>而從Redis 8開始，官方計畫在產品中添加新的資料類型和處理引擎，這些功能原本是Redis Stack的一部分，同樣使用RSALv2或是SSPLv1授權，而在Redis 8上市之後，Redis Stack生命周期將會結束，官方不會再提供這些功能的獨立建置版本。</p> <p>雖然Redis官方認為，RSALv2是一種寬鬆的Non-Copyleft授權，允許用戶使用、複製、發布、提供以及改作。但是RSALv2有兩項主要限制，第一是不得將軟體商業化或作為託管服務提供給他人，第二則是不得刪除和隱藏任何授權、版權和其他通知。</p> <p>而SSPL則是MongoDB所發布的原始碼授權條款，目的是要保護開放原始碼，避免遭雲端服務供應商濫用，解決雲端服務供應商在SaaS模型下，使用開源軟體提供雲端服務，但是又不共享改進或是強化版本的問題。SSPLv1強制組織必須公開提供服務所使用的原始碼，包括該軟體的任何修改與衍生作品，以及服務營運相關的所有後端程式碼，也就是強制要求提供服務的公司，必須遵守開源軟體的分享精神。</p> <p>很明確的是，RSALv2和SSPL都不是開放原始碼組織（Open Source Initiative，OSI）所核可的授權，因為這兩個授權對原始碼的使用都有一些限制。Redis官方強調，這次變更對Redis的終端使用者、第三方函式庫以及商業客戶皆無影響，主要影響對象是發展Redis競爭性產品的組織，無論選擇雙重授權的任何一個授權，現在都無法免費使用新版本的Redis原始碼。</p> <p>官方所定義的競爭產品，是指以Redis程式碼基礎所開發、銷售給第三方，而且功能與Redis產品有明顯重疊產品，包含第三方託管服務、嵌入式解決方案，甚至是付費支援等，都屬於Redis的競爭產品。而當Redis之後創建的產品，與用戶在生產環境中的產品出現競爭關係，則只要用戶繼續使用Redis新產品推出之前所發布的Redis版本，則不會被視為違反RSALv2或SSPLv1。</p> </div></div></div>
2024/3/26 22:09作者李建興https://www.ithome.com.tw/news/161960
【資安日報】3月26日，Google搜尋提供的AI建議竟列出詐騙網站和惡意網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年5月Google在I/O大會宣布啟動搜尋引擎的<a href="https://blog.google/products/search/generative-ai-search/">生成式搜尋體驗（Search Generative Experience，SGE）專案</a>，今年初開放部分用戶使用，可在完成搜尋後一併得到生成式AI的建議，然而，有專家發現，SGE竟會提供垃圾網站及惡意網站作為參考資料。</p> <p>對此，有研究人員進行調查，並指出可能是遭遇SEO中毒所致。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/google/googles-new-ai-search-results-promotes-sites-pushing-malware-scams/"><strong style="font-size: 22px;">Google人工智慧搜尋建議內容疑遭SEO中毒，參雜惡意網站連結</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/GJSgsp5WwAA8uau.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GJSgsp5WwAA8uau.png" style="width: 300px; float: right;" /></a>近期Google開始在搜尋引擎加入生成式搜尋體驗功能（SGE），藉此在搜尋結果提供由AI產生的快速摘要，以及相關網站等其他建議資訊。然而，有人發現SGE竟會推薦垃圾網站及惡意網站，使得用戶容易上當。</p> <p>此情況最初是由<a href="http://twitter.com/lilyraynyc/status/1771217301863289140">Amsive Digital搜尋引擎最佳化（SEO）顧問Lily Ray揭露</a>，資安新聞網站Bleeping Computer循線進行調查發現，SGE推薦的網站具備幾種特徵，例如：使用.online頂級網域名稱（TLD）、套用相同的HTML模版、會進行重新導向的網站。</p> <p>該網站推測，這樣的結果很有可能是SEO中毒攻擊造成，導致相關的惡意內容被Google索引納入。</p> <p><a href="https://therecord.media/ukraine-isps-attacks-solntsepek-sandworm-gru"><strong style="font-size: 22px;">與Sandworm有關的俄羅斯駭客團體傳出攻擊烏克蘭網路服務供應商</strong></a></p> <p></p> <p>3月13日俄羅斯駭客組織Solntsepek聲稱攻擊了4家烏克蘭網路服務供應商Triacom、Misto TV、KIM、Linktelecom，原因是他們是對政府機關及武裝部隊提供網路服務的業者，而這群駭客試圖干擾上述業者營運，並竊得內部文件及客戶資料庫。</p> <p>報導此事的資安新聞網站Recorded Future News指出，由於上述廠商在烏克蘭較鮮為人知，很難確認上述說法的真實性。烏克蘭國家特別通訊暨資訊保護局（SSSCIP）正在調查上述事故，並表示攻擊者是俄羅斯駭客組織Sandworm旗下團體UAC-0165。烏克蘭國家安全局（SBU）也表示，他們已著手調查，但目前發現的證據都和Solntsepek有關，這群歹徒去年曾攻擊烏克蘭大型電信業者Kyivstar。</p> <p>Triacom、Misto TV、KIM發出公告，表明正逐步復原相關服務。而對於駭客所使用的犯案工具，很有可能是3月21日資安業者SentinelOne公布名為AcidPour的資料破壞軟體（Wiper），此惡意程式為另一款資料破壞軟體AcidRain的變種，採用C語言打造而成，當時研究人員推測，很可能與俄羅斯軍事情報局（GRU）的駭客有關。</p> <p>資料來源</p> <p>1. <a href="https://t.me/solntsepekZ/1481">https://t.me/solntsepekZ/1481</a><br /> 2. <a href="https://cert.gov.ua/article/6123309">https://cert.gov.ua/article/6123309</a><br /> 3. <a href="https://www.triangulum.ua/contacts">https://www.triangulum.ua/contacts</a><br /> 4. <a href="https://www.facebook.com/kimltd/posts/pfbid03QZycg5jfwGuGKgndeAzEPrABDcHFRp9B5gpsoMm7cHVV5hPWeDZ2UiFhK6TvJGYl?__cft__[0]=AZVLTcvM5rv4ilOSLdulTTY4ae_ShiO5tm29d62aw_-LuqaBWxIjghkGhqA7an58jUdLNJI6ah0Ia2CTG_cWORByUkW8l0dXs9dlmbfyymxhQR5be5usRw51zwDUzDpQSXwogKa6ux1FbQrP3LAi-08osbYY3dxJ9_bGTXtizThbZccLG_ux3_gdvEve03a_1Nc&__tn__=%2CO%2CP-R">https://www.facebook.com/kimltd/posts/pfbid03QZycg5jfwGuGKgndeAzEPrABDcHFRp9B5gpsoMm7cHVV5hPWeDZ2UiFhK6TvJGYl?__cft__[0]=AZVLTcvM5rv4ilOSLdulTTY4ae_ShiO5tm29d62aw_-LuqaBWxIjghkGhqA7an58jUdLNJI6ah0Ia2CTG_cWORByUkW8l0dXs9dlmbfyymxhQR5be5usRw51zwDUzDpQSXwogKa6ux1FbQrP3LAi-08osbYY3dxJ9_bGTXtizThbZccLG_ux3_gdvEve03a_1Nc&__tn__=%2CO%2CP-R</a><br /> 5. <a href="https://www.facebook.com/misto.tv/posts/pfbid02QLf4nWa6vhRE3Zkf3tYrLQ5HTYhznnmod6MiHCjix63TcPiTVJgxgch3R2fPxNhFl?__cft__[0]=AZU9COTeiDEGbT1gho8DuYSxOzdaFic1pam3bwjZHAQ9VT4rmsF4MCqNrISjDLVbSUaPil_LVG-tIr7Ju-tyXHzLmAshcO5kz7sIeLtrL9aAtlFFl-S6O1QKpAGRI7T1VAKIgO8RN6XD3leqmhXz62Z7jHSlxFE492ECeDgGEcxBSA&__tn__=%2CO%2CP-R">https://www.facebook.com/misto.tv/posts/pfbid02QLf4nWa6vhRE3Zkf3tYrLQ5HTYhznnmod6MiHCjix63TcPiTVJgxgch3R2fPxNhFl?__cft__[0]=AZU9COTeiDEGbT1gho8DuYSxOzdaFic1pam3bwjZHAQ9VT4rmsF4MCqNrISjDLVbSUaPil_LVG-tIr7Ju-tyXHzLmAshcO5kz7sIeLtrL9aAtlFFl-S6O1QKpAGRI7T1VAKIgO8RN6XD3leqmhXz62Z7jHSlxFE492ECeDgGEcxBSA&__tn__=%2CO%2CP-R</a><br /> 6. <a href="https://www.sentinelone.com/labs/acidpour-new-embedded-wiper-variant-of-acidrain-appears-in-ukraine/">https://www.sentinelone.com/labs/acidpour-new-embedded-wiper-variant-of-acidrain-appears-in-ukraine/</a></p> <p><a href="https://unit42.paloaltonetworks.com/analysis-of-bunnyloader-malware/"><strong style="font-size: 22px;">惡意程式BunnyLoader 3.0被用於竊取受害電腦資料，並散布其他惡意軟體</strong></a></p> <p></p> <p>2023年9月出現的惡意軟體載入工具BunnyLoader，最近幾個月重新打造，資安業者Palo Alto Networks發現，對方在2月發布3.0大改版，號稱提高性能，並藉由降低惡意酬載檔案大小、強化鍵盤側錄的功能，增強90%的攻擊威力。</p> <p>研究人員對其程式進行分析，結果發現駭客開始採用RC4加密處理與C2的通訊，並拆分竊資軟體、剪貼簿攔截器、鍵盤側錄工具、DoS模組，攻擊者可選擇性部署所需模組來減少足跡。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.synopsys.com/blogs/software-security/cyrc-vulnerability-advisory-cve-2023-7060-missing-security-control-zephyr.html"><strong style="font-size: 22px;">物聯網及嵌入式裝置作業系統Zephyr OS存在漏洞，有可能被用於DoS攻擊或IP位址詐欺</strong></a></p> <p></p> <p>資安業者Synopsys指出，有不少物聯網裝置及嵌入式設備採用的作業系統Zephyr OS，其網路堆疊模組存在漏洞CVE-2023-7060，起因是該作業系統的IP封包處理缺乏安全控制機制。</p> <p>研究人員發現，其網路堆疊的實作，不會丟棄來源位址是本機的外部封包，違反網路安全實作，而有可能被用於IP位址詐欺攻擊，CVSS風險評分為8.6，影響2.7至3.5版Zephyr OS。</p> <p>一旦攻擊者觸發，就有可能導致設備面臨服務阻斷現象。研究人員去年12月通報並得到確認，專案維護團隊於今年1月完成修補，並於3月發布資安公告。</p> <p><a href="https://www.mozilla.org/en-US/security/advisories/mfsa2024-15/"><strong style="font-size: 22px;">Mozilla修補Pwn2Own揭露的Firefox零時差漏洞</strong></a></p> <p></p> <p>3月22日Mozilla發布Firefox 124.0.1、ESR 115.9.1，修補兩個危急（Critical）層級的零時差漏洞CVE-2024-29943、CVE-2024-29944，這些漏洞的發現，是來自上週舉辦的漏洞挖掘競賽Pwn2Own Vancouver 2024，皆由研究人員Manfred Paul揭露。值得一提的是，這兩個漏洞是本次漏洞挖掘競賽最早得到修補的弱點。</p> <p>其中，CVE-2024-29943為越界存取（Out-of-bounds access）漏洞，攻擊者可透過欺騙基於範圍的邊界檢查機制，從而對JavaScript物件進行越界讀取或是寫入。</p> <p>另一個漏洞CVE-2024-29944與權限繞過有關，攻擊者能將事件處理程序注入握有特殊權限的使用者，而能夠透過主要處理程序執行任意的JavaScript指令碼。Mozilla強調，該漏洞存在於電腦版Firefox，行動裝置版本不受影響。</p> <p><a href="https://www.ithome.com.tw/news/161711"><strong style="font-size: 22px;">蘋果防堵聲音指紋辨識用戶身分的措施遭到破解</strong></a></p> <p></p> <p>為了防範他人在網站藉由聲音指紋辨識、追蹤用戶，蘋果在去年9月發表的大改版Safari 17當中，引入名為進階聲音指紋辨識防護功能，這項技術將會限制可用的資訊並加入隨機雜訊內容，以便降低辨識的準確度。但追蹤技術供應商Fingerprint認為，蘋果的做法仍有不足之處，因為他們藉由降噪處理避開保護機制，成功對瀏覽器產生唯一識別碼。</p> <p>研究人員指出，不只Safari對於聲音指紋辨識採取行動，Tor、Brave等瀏覽器也導入對應的機制，但他們仍能還原其聲音指紋。</p> <div> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.nstc.gov.tw/folksonomy/detail/6b560d28-e503-4bf8-8977-47e25ac605b7?l=ch"><strong style="font-size: 22px;">2024年Gics尋找資安女婕思競賽報名即將於3月底截止</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gics2024-all.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gics2024-all.jpg" style="width: 300px; float: right;" /></a>3月8日國家科學及技術委員會開放「2024 GiCS尋找資安女婕思」競賽報名，即將於31日截止。</p> <p>尋找資安女婕思競賽今年已邁入第4屆，本次的競賽分組規畫，包含高中職及大專院校組，比賽項目則有「資安闖天關」及「創意發想賽」。值得一提的是，為擴大資安人才培育，本次的創意發想賽特別增列非資訊科系的組別，希望讓更多對資安有興趣的同學參與，發想出生活各面向可能產生的資安需求和問題。</p> <p>此次競賽預定在4月27日於臺南沙崙資安暨智慧科技研發大樓舉辦決賽，並舉辦第5期「女婕思好科技」研習活動。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://blog.sekoia.io/tycoon-2fa-an-in-depth-analysis-of-the-latest-version-of-the-aitm-phishing-kit/"><span style="font-size: 20px;">新型態網路釣魚工具包Tycoon 2FA鎖定微軟365、Google用戶，並能繞過雙因素驗證</span></a></strong></p> <p></p> <p><a href="https://www.mandiant.com/resources/blog/initial-access-brokers-exploit-f5-screenconnect"><strong><span style="font-size: 20px;">中國駭客組織UNC5174鎖定BIG-IP、Confluence、ScreenConnect漏洞發動攻擊</span></strong></a></p> <p></p> <p><a href="https://www.rapid7.com/blog/post/2024/03/20/the-updated-apt-playbook-tales-from-the-kimsuky-threat-actor-group/"><strong><span style="font-size: 20px;">北韓駭客組織Kimsuky利用CHM檔案散布惡意程式</span></strong></a></p> <p><strong><a href="https://www.tenable.com/blog/flowfixation-aws-apache-airflow-service-takeover-vulnerability-and-why-neglecting-guardrails"><span style="font-size: 20px;">研究人員揭露FlowFixation漏洞，攻擊者有可能用來一鍵接管AWS服務帳號</span></a></strong></p> <p><a href="https://comsec.ethz.ch/research/dram/zenhammer/"><strong><span style="font-size: 20px;">AMD Zen處理器恐面臨ZenHammer記憶體攻擊的風險</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/161940"><strong>【3月25日】俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161905"><strong>【3月22日】研究人員公布無限循環的阻斷服務攻擊手法Loop DoS</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161889"><strong>【3月21日】多組人馬鎖定TeamCity伺服器加密檔案、用於挖礦、部署後門程式</strong></a></p> </div></div></div>
2024/3/26 16:41作者周峻佑https://www.ithome.com.tw/news/161956