iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 24篇
近 24 小時: 28篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 16:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

國內首輛應變網路行動車前進花蓮，以衛星支援災區通訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>花蓮地區受到此次強震襲擊，當地電力及通訊網路中斷，數位部緊急安排國內首輛應變網路行動車前往花蓮，可利用SES中軌衛星通訊，支援災民及救災人員通訊需求。</p> <p>應變網路行動車為數位部推動「應變或戰時應用新興科技強化通訊網路數位韌性計畫」，在重大災害或緊急狀態，導致國內通訊網路中斷，驗證以非同步軌道衛星協助地面建立通訊，以確保緊急時指揮體系仍可運作。在數位部補助下，電信技術中心建置應變網路行動車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/vgbr51fx_hlk.jpeg" style="width: 300px; height: 446px;" /></p> <p>數位部指出，行動車配備衛星終端及Wi-Fi設備，可透過SES中軌衛星，當商用網路中斷、缺少電力供應等緊急情況下，抵達災區協助電信業者建立衛星後端傳輸網路，支援商用網路恢復正常服務。根據數位部的說明，這輛行動車可和非同步軌道衛星建立連線，在後端連接地面接收站、合作電信業者的網路界接點，連到網際網路，在終端方面，可支援基地臺或是Wi-Fi設備，讓災民或救災人員使用行動通訊或Wi-Fi上網。</p> <p>此次403強震，為該車建置後首次在緊急狀況下出動，數位部指出，現已將其納入救災應變系統中，為配合當地救災需要，初步先提供救災人員使用。</p> </div></div></div>
2024/4/4 03:52作者蘇文彬https://www.ithome.com.tw/news/162133
中華電信：已陸恢復服務，尚有37個基地臺待修復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對今天發生的強震，中華電信傍晚發出最新聲明，經統計此次共有125個基地臺受影響，主因為電力傳輸中斷及備電力用盡後暫時無法運作，經全力搶修後已有部份基地臺恢復運作，尚有37個基地臺因位於災損嚴重地區, 因此尚未修復。</p> <p>中華電信表示，在強震發生後投入逾千人力，盤點各地基地臺，機房，線路及設備。部份設備受損，導致部份用戶通訊受影響，主要影響區域為北部地區，目前障礙狀況已陸續排除，並希望短時間修復，以在最短時間內恢復通訊。</p> <p>目前該公司已調派行動通訊車前往花蓮，緊急支援當地通訊。至於用戶今天指出手機網路不穩問題，係因地震後為支援災區民眾通訊需求，將部份北部訊務疏轉至中南部系統，在疏轉的過挰中造成暫時手機訊號不穩的情形，疏轉後，用戶的通訊服務現已恢復正常。</p> </div></div></div>
2024/4/3 18:52作者蘇文彬https://www.ithome.com.tw/news/162131
Chrome開始測試DBSC功能防禦Cookie劫持攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google現在於Chrome Beta版本測試一個稱為<a href="https://blog.chromium.org/2024/04/fighting-cookie-theft-using-device.html">DBSC（Device Bound Session Credentials）</a>的功能，藉由在工作階段（Session）以及裝置上綁定金鑰，使得即便使用者的身分驗證Cookie遭竊，攻擊者也無法在遠端濫用這些Cookie登入使用者帳戶，保護Google帳戶使用者不受Cookie劫持攻擊。</p> <p>網站會透過建立Cookie來保存使用者的瀏覽資訊，使得網站可以執行諸如保持登入，和記憶偏好設定等功能，以提供使用者良好的體驗，但因為Cookie具有強大的實用性，也就容易受到攻擊。</p> <p>攻擊者會透過各種手段傳播Cookie竊取惡意軟體，這類軟體可以從受害者裝置上的瀏覽器，擷取出身分驗證Cookie，並將其轉移到遠端伺服器中，使得攻擊者能夠濫用甚至銷售遭入侵的帳戶。而由於這種竊取行為發生在用戶登入之後，因此攻擊者也就能夠繞過雙因素驗證或是任何登入時的檢查，而且即便惡意軟體被偵測並移除之後，遭竊的Cookie仍然可以繼續使用，因此防毒軟體對於緩解這個問題的能力有限。</p> <p>Google還指出，由於Cookie與作業系統的互動方式，特別是在桌面作業系統，Chrome與其他瀏覽器，皆無法保護Cookie不受與瀏覽器具有相同存取權限的惡意軟體入侵。也就是當惡意軟體獲得了與瀏覽器相同的系統權限，便可以自由地存取瀏覽器儲存的Cookie，就算瀏覽器本身擁有諸多安全功能，也無法阻擋擁有相同甚至更高系統權限的惡意軟體存取Cookie。</p> <p>為了解決這個問題Google設計了DBSC新網頁功能，DBSC會將身分驗證工作階段（Session）綁定到裝置上，使得洩漏的Cookie不再具有價值，攻擊者要使用該憑證，便會需要在本地裝置上操作，而這便會使裝置上的偵測和清除手段更為有效。</p> <p>簡單來說，當網站試圖在用戶裝置上起始一個新工作階段，瀏覽器便會在本地創建一對公鑰與私鑰，公鑰可安全地與網站共享，而私鑰則會儲存在裝置上，使用受信任平臺模組（TPM）硬體或是軟體隔離等難以匯出的方式進行保護。</p> <p>透過將用戶工作階段與公鑰進行關聯，便可以強化目前的Cookie功能，而且網站伺服器也可以透過在工作階段期間驗證私鑰所有權（Key Possession），確保操作來自於使用者的裝置。每個工作階段都擁有獨特的金鑰，DBSC不允許網站跨不同工作階段，在同一裝置上關聯金鑰，確保網站無法藉由DBSC追蹤用戶，並且讓用戶可以隨時刪除金鑰。</p> <p>除了瀏覽器會向伺服器表明有能力使用的安全儲存類型之外，DBSC不會洩漏其他具體的裝置資訊，而DBSC發送給伺服器的唯一資訊是每個工作階段的公鑰，供伺服器在稍候作為驗證私鑰所有權之用。</p> <p>Google最初會視用戶的硬體能力，先對約一半的Chrome桌面使用者啟用DBSC，不過DBSC的開發規範，承諾不會被用來對用戶分群，因此未來可能對所有用戶支援軟體金鑰方法。Google還提到，DBSC會配合Chrome中第三方Cookie的汰除計畫，確保在禁用第三方Cookie之後，DBSC不會成為新的追蹤向量。</p> <p>Google的目標是建立一個實用的技術解決方案，供網站維護者可以簡單地部署，促進DBSC受到廣泛採用最終成為開放網路標準。目前DBSC專案已經<a href="https://github.com/WICG/dbsc" target="_blank">在GitHub上開源</a>。</p> </div></div></div>
2024/4/3 16:53作者李建興https://www.ithome.com.tw/news/162126
Yahoo買下AI新聞聚合平臺Artifact
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.yahooinc.com/press/yahoo-announces-the-acquisition-of-artifact-the-news-discovery-platform-created-by-instagram-cofounders-kevin-systrom-and-mike-krieger" target="_blank">Yahoo周二（4/2）宣布</a>，已於日前收購了去年才創立的AI新聞程式/平臺Artifact，雙方並未揭露交易金額，但已決定不再提供獨立的Artifact程式，而會將Artifact的個人化技術及其它功能整合到Yahoo與Yahoo News中。</p> <p>Artifact是由Instagram的兩名共同創辦人Kevin Systrom與Mike Krieger在2023年的1月所創立，主要開發基於AI的新聞聚合程式，同時支援Android與iOS平臺，它會根據使用者的喜好提供量身訂作的新聞資訊，同時具備評論及貼文功能，還被Google Play評為年度必備應用程式，不過，今年1月，Artifact便以市場機會不足，無法保證能以此種方式持續投資的理由，<a href="https://medium.com/artifact-news/shutting-down-artifact-1e70de46d419" target="_blank">宣布將漸次關閉該程式</a>。</p> <p>Yahoo則說，身為可靠的網路指南，Yahoo幫助人們實現網路上的目標，包括連結使用者在乎的高品質內容，這項投資將加速Yahoo實現提供個人化跨平臺新聞及資訊發現的願景。</p> <p>曾為全球首屈一指入口網站的Yahoo，先是<a href="https://www.ithome.com.tw/news/107349" target="_blank">在2016年</a>以44.8億美元將大多數的資產賣給了Verizon，Verizon再於2021年<a href="https://www.ithome.com.tw/news/144170" target="_blank">出售9</a>0%的Yahoo股權予資產管理顧問公司Apollo Global Management。</p> <p>即便已不再是世人熟悉的入口網站，但Yahoo財經與Yahoo新聞仍是人們發現新聞的主要去處，根據Yahoo的說法，其新聞網路是2023年美國排名第一的新聞與資訊資產。</p> <p>Yahoo解釋，基於AI的Artifact引擎得以呈現使用者最想看到的內容，還能隨著時間的推移變得更精準，並亦允許使用者輕鬆存取熱門新聞，存取分享功能，還具備可防止點選「標題黨」（Clickbait）的能力，將這些功能導入Yahoo的產品組合，將可協助用戶連結更豐富且更個人化的內容。</p> <p>根據<a href="https://www.theverge.com/2024/4/2/24118436/yahoo-news-artifact-acquisition" target="_blank">《The Verge》</a>的報導，Yahoo所收購的是Artifact的技術而非團隊，不管是Systrom、Krieger或個位數的Artifact團隊成員都不會加入Yahoo，Systrom及Krieger將以顧問的身分協助Yahoo。此外，Artifact不會再是個獨立程式，Yahoo則會在未來幾個月將Artifact技術整合至整個Yahoo，包括Yahoo News程式。</p> </div></div></div>
2024/4/3 15:39作者陳曉莉https://www.ithome.com.tw/news/162124
美國政府批評微軟的安全文化不足才遭駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國土安全部（Department of Homeland Security，DHS）去年針對<a href="https://www.ithome.com.tw/news/157763" target="_blank">微軟帳戶（MSA）消費者簽章金鑰外洩事件</a>展開調查，並於本周二（4/2）<a href="https://www.dhs.gov/news/2024/04/02/cyber-safety-review-board-releases-report-microsoft-online-exchange-incident-summer" target="_blank">發布調查結果</a>，指出此一意外事件是可以避免的，並將肇事原因歸咎於不重視安全的微軟文化，同時建議微軟進行根本性的安全改革。</p> <p>微軟是在去年中發現，中國駭客組織Storm-0558利用一個不知如何取得的微軟帳戶（MSA）消費者簽章金鑰來偽造身分認證權杖，以存取Outlook Web Access in Exchange Online（OWA）及Outlook.com用戶的電子郵件帳戶，波及歐美地區的25個政府組織，以及與這些組織有關的個人。由於包括美國商務部長Gina Raimondo、美國駐華大使Nicholas Burns，以及國會議員Don Bacon等美國政府官員的電子郵件帳戶都遭到入侵，促使DHS的網路安全審查委員會（Cyber Safety Review Board，CSRB）對此事展開全面性的調查。</p> <p><a href="https://www.cisa.gov/sites/default/files/2024-04/CSRB_Review_of_the_Summer_2023_MEO_Intrusion_Final_508c.pdf" target="_blank">CSRB於調查報告中指出</a>，Storm-0558的成功攻擊有賴微軟一系列可避免的錯誤，例如微軟並非自行發現簽章金鑰遭駭，而是客戶發現異常後向微軟提報；在比較其它雲端服務供應商的安全措施時，發現微軟缺少了某些安全控制；微軟於2021年收購一家公司，在允許該公司員工的筆電連結微軟企業網路之前，並未偵測到此一筆電已遭駭。</p> <p>此外，微軟在調查之後，於去年9月宣稱已得知遭到入侵的根本原因，但其實是錯誤的，而微軟卻一直未更新該聲明，一直到不斷收到CSRB的詢問之後，<a href="https://msrc.microsoft.com/blog/2023/09/results-of-major-technical-investigations-for-storm-0558-key-acquisition/" target="_blank">微軟才於今年3月更正</a>。</p> <p>在此一調查期間，CSRB還順便檢視了<a href="https://www.ithome.com.tw/news/160947" target="_blank">微軟今年1月所揭露的另一起資安意外</a>，發現此一事件甚至允許不同國家級駭客組織存取高度敏感的微軟企業電子郵件帳戶、原始碼儲存庫及內部系統。</p> <p>CSRB的結論是，微軟上述一系列的操作及策略上的決定，都指向了一種企業文化，亦即不重視企業安全投資與嚴格的風險管理，並不符合微軟在技術生態體系中的中心地位，亦不符合客戶對微軟保護它們的資料與操作的信任程度，該委員會建議微軟制定並公開一個具備具體時間表的計畫，針對整個企業及所有產品展開全面性的安全改革。</p> <p>有鑑於微軟產品幾乎無所不在，包括用來支援美國國家安全的各種基本服務，也是美國經濟及公共健康與安全的基礎，使得CSRB要求微軟必須展現出最高的安全標準。</p> <p>此外，CSRB亦建議所有的雲端服務供應商及政府合作夥伴採取具體行動，提高安全性並強化可抵禦Storm-0558及相關組織發動的各種形式的攻擊，包括執行嚴格與現代化的資安控制，審核日誌規範，制定數位身分標準與指南，透明化資安意外與漏洞資訊，打造更有效的受害者通知與支援機制，同時也呼籲美國政府更新安全標準與合規框架。</p> </div></div></div>
2024/4/3 15:05作者陳曉莉https://www.ithome.com.tw/news/162123
NCC：3家電信業者合計172個行動基地臺受地震影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天早上發生的強震，3大電信向NCC回報災損情形，NCC副主委暨發言人翁柏宗表示，根據3家業者回報，基地臺受到地震或電力中斷影響，共有172個基地臺受影響，已要求業者搶修中。</p> <p>NCC指出，受影響基地臺主要以宜蘭、花蓮及新北市，其中中華電信有125個基地臺受影響，台灣大哥大則有33個，遠傳電信有14個，位於花蓮地區。受影響基地臺，主因為電力中斷，進而影響行動網路，目前已要求業者搶修，確保民眾使用通訊服務，業者估計今天可修復。</p> <p>今早強震過後，即有中華電信用戶反映無法使用5G網路，大量用戶使用4G網路，導致網路使用量大增，因此出現不穩的情形。</p> </div></div></div>
2024/4/3 13:26作者蘇文彬https://www.ithome.com.tw/news/162116
美國國會禁止員工使用微軟Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.axios.com/2024/03/29/congress-house-strict-ban-microsoft-copilot-staffers" target="_blank">《Axios》</a>報導，基於安全考量，美國眾議院上周下令，禁止員工在公務裝置使用微軟Copilot AI助理。</p> <p>根據媒體取得美眾議院行政長Catherine Szpindor的備忘錄，在美國安全主管機關網路安全暨基礎架構安全管理署（CISA）提出安全疑慮後，眾議院下令，在政府發派的裝置中不得使用及安裝免費版Copilot，只能在啟動隱私防護機制的情況下從事「研究和評估」，以免「未授權雲端服務」造成機密資訊外洩。但員工個人手機或電腦並不在此限。</p> <p>去年眾議院已頒布免費版ChatGPT禁用令。目前，眾議院的公務裝置只能使用付費版ChatGPT Pro。付費版ChatGPT具有較高安全性，且用戶和聊天機器人對話內容不會被用於訓練基礎AI模型。</p> <p>微軟官方回應指出，了解政府用戶對資料安全有更高要求，該公司也宣布了Copilot等AI產品的發展藍圖，將在今年內推出滿足聯邦政府安全及法遵要求的產品。</p> <p>在Azure雲端服務方面，微軟已經在Azure Government之下，推出滿足高安全規格要求的Azure OpenAI服務。</p> <p>今年適逢美國總統大選，各網路平臺及AI服務相繼加強偵測及管理，以防止有心人士利用AI技術影響選舉。例如今年初一個印度AI聊天助理服務被民主黨用於設計模傚參選人，開發商雖然是受害者，但也<a href="https://www.ithome.com.tw/news/160963" target="_blank">遭到OpenAI停權</a>。日前微軟、Google、Meta等20家科技業者<a href="https://www.ithome.com.tw/news/161339" target="_blank">也公開承諾</a>，將共同防範有心人士濫用AI技術抹黑候選人、傳遞選舉假訊息。</p> </div></div></div>
2024/4/3 13:42作者林妍溱https://www.ithome.com.tw/news/162117
【資安日報】4月3日，研究人員發現中國駭客組織APT41旗下團體使用更為隱密的方式迴避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年中國駭客組織APT41的攻擊行動不時傳出，但今年初鮮少有相關的事故揭露，直到最近，有研究人員發現該組織旗下團體的攻擊手法。</p> <p>資安業者趨勢科技發現該組織旗下團體Earth Freybug，特別針對端點防護系統（註：這裡研究人員應該指的是EDR相關系統）追蹤惡意行動的方法下手，企圖讓這類系統無法偵測他們的行踀。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/24/d/earth-freybug.html"><strong style="font-size: 22px;">中國駭客組織APT41旗下團體利用名為Unapimon的工具迴避偵測</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1-Earth Freybug.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1-Earth%20Freybug.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露最新一波有關中國駭客組織APT41的攻擊行動，他們發現該組織旗下的團體Earth Freybug，將惡意酬載注入VMware Tools（vmtoolsd.exe）的處理程序執行，從而接收遠端的排程任務並收集電腦的系統資訊，接著，對方執行另一個批次檔，透過遠端桌面連線組態設定（SessionEnv）有關的DLL檔案（TSMSISrv.dll），使用DLL側載手法將惡意程式Uanpimon載入到記憶體內執行。</p> <p>研究人員指出，由於許多端點防護工具透過API掛鉤追蹤惡意行為，對方反其道而行，將Unapimon設計成能取消子處理程序相關的API掛鉤，而能迴避此種偵測。</p> <p><a href="https://blog.fox-it.com/2024/03/28/android-malware-vultur-expands-its-wingspan/"><strong style="font-size: 22px;">假冒下載、安裝McAfee防毒軟體的名義，安卓金融木馬Vultur透過發出引誘SMS簡訊散播</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/542e4746fdf58bc882731fa490a99ed1867a4a95_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/542e4746fdf58bc882731fa490a99ed1867a4a95_1.png" style="width: 300px; float: right;" /></a>資安業者Fox-IT揭露最新一波的安卓金融木馬Vultur攻擊行動，對方先是發送簡訊，聲稱用戶出現未經授權的交易，需要撥打他們提供的電話號碼進行處理，一旦使用者照做，駭客就會寄送第2則簡訊，並引誘他們點選連接，前往冒牌的McAfee Security網站安裝「防毒軟體」。</p> <p>此遭到木馬化的防毒軟體被植入了名為Brunhilda的惡意程式載入工具，若是使用者執行安裝，Brunhilda就會執行與Vultur相關的元件，從而得到使用者對輔助功能的授權、初始化遠端控制系統，最終與C2建立連線。</p> <p>研究人員指出，新版Vultur能停用特定的應用程式，並顯示自訂通知來誤導使用者，甚至能繞過螢幕解鎖畫面，使得攻擊者可不受限制存取裝置。</p> <p><a href="https://owasp.org/blog/2024/03/29/OWASP-data-breach-notification.html"><strong style="font-size: 22px;">OWASP基金會證實資料外洩，起因是維基伺服器組態不當</strong></a></p> <p>4月1日非營利組織OWASP基金會表示，他們2月下旬收到支援請求，從而發現舊的維基（Wiki）網頁伺服器出現組態不當的情況，導導致從2006至2014年向他們提供個人簡歷的用戶資料外洩，這些資料包含姓名、電子郵件信箱、電話號碼，以及其他可識別個人的資訊（PII）。</p> <p>對此，該基金會停用資料夾瀏覽的功能，重新檢查所有的網頁伺服器及Media Wiki的組態，並移除維基伺服器上所有的用戶簡歷資料，清除Cloudflare的快取防止進一步的外流，再者，他們也要求從Web Archive網站移除相關內容。</p> <p><a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/documents/Year_in_Review_of_ZeroDays.pdf"><strong style="font-size: 22px;">2023年用於攻擊行動的零時差漏洞增加50%</strong></a></p> <p></p> <p>Google威脅情報小組（TAG）與旗下資安業者Mandiant聯手，公布對於2023年零時差漏洞的態勢觀察，去年總共有97項零時差漏洞，較2022年62個增加50%。</p> <p>但值得留意的部分，是研究人員歸納的趨勢。首先，軟體開發商積極強化軟體的安全，但攻擊者開始偏好針對第三方元件挖掘零時差漏洞，再者，則是攻擊者鎖定企業級產品的攻擊比例顯著增加。</p> <p>此外，商業間諜軟體供應商（CSV）最擅於利用瀏覽器及行動裝置的漏洞，而在國家級駭客的部分，延續過往研究人員的觀察現象，中國資助的駭客依舊是去年利用零時差漏洞最多的國家級駭客。</p> <p><a href="https://www.ithome.com.tw/news/162081"><strong style="font-size: 22px;">Google同意銷毀Chrome無痕模式的瀏覽資料</strong></a></p> <p></p> <p>2020年Chrome用戶集體控告Google，原因是他們發現在採用無痕模式（Incognito Mode）的情況下，依然遭到Google追蹤，而並非依照該功能Google原先標榜的「不會留存瀏覽記錄及表單輸入內容」。</p> <p>4月1日Google向法院提出和解協議，內容包括刪除於無痕模式收集的數十億筆記綠，並將於隱私政策及在啟用無痕模式時揭露收集的用戶資料；再者，他們承諾至少在未來5年內都將允許使用者於無痕模式中的預設封鎖第三方Cookie，也會移除用來偵測使用者是否執行無痕模式的程式碼。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.binarly.io/blog/xz-utils-supply-chain-puzzle-binarly-ships-free-scanner-for-cve-2024-3094-backdoor"><strong style="font-size: 22px;">韌體資安業者Binarly提供XZ Utils供應鏈攻擊的檢測工具</strong></a></p> <p></p> <p>3月29日開源專案XZ Utils發生供應鏈攻擊，導致該資料壓縮程式庫被植入後門，曝露CVSS風險評分達滿分的漏洞CVE-2024-3094，Fedora Rawhide、Fedora 41、Kali Linux、openSUSE Tumbleweed與MicroOS，以及部分Debian版本受到影響，導致許多Linux用戶人心惶惶，美國網路安全暨基礎設施安全局（CISA）呼籲用戶，應降級5.4.6版XZ Utils，並清查是否存在惡意活動，如今有研究人員提供相關檢測工具，讓用戶對特定執行檔進行徹底的掃描。</p> <p>專精韌體安全的資安業者Binarly架設名為xz.fail的網站，讓用戶上傳ELF檔案，從而檢測是否存在前述後門程式。研究人員表示，由於用戶往往藉由檔案雜湊值、YARA規則進行逐一比對，而有可能導致用戶警報疲勞，甚至會出現誤報的情況，再加上對方使用的精密手法，很有可能對其他專案發動攻擊的時候重複利用，因此，他們決定提供專門的後門檢測工具。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://blog.eclecticiq.com/darkgate-opening-gates-for-financially-motivated-threat-actors"><span style="font-size: 20px;">木馬程式Venom RAT透過大規模網釣攻擊拉丁美洲</span></a></strong></p> <p></p> <p><a href="https://www.wordfence.com/blog/2024/04/unauthenticated-stored-cross-site-scripting-vulnerability-patched-in-wp-members-membership-plugin-500-bounty-awarded/"><strong style="font-size: 20px;">WordPress會員系統外掛程式存在高風險XSS漏洞，恐被用於指令碼注入攻擊</strong></a></p> <p></p> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/agent-teslas-new-ride-the-rise-of-a-novel-loader/"><strong style="font-size: 20px;">竊資軟體Agent Tesla假借銀行付款通知散布</strong></a></p> <p></p> <p><a href="https://www.pcmag.com/news/google-to-fight-cookie-hijacking-with-encryption-keys-for-chrome-browser"><strong><span style="font-size: 20px;">Chrome將加入可阻擋cookie劫持的新功能</span></strong></a></p> <p></p> <p><a href="https://www.cisa.gov/news-events/news/safecom-and-ncswic-develop-911-cybersecurity-resource-hub"><strong><span style="font-size: 20px;">CISA針對緊急救援機構設立911網路安全資源中心</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162102"><strong>【4月2日】CISA傳出向美國政府報告Ivanti系統遭到入侵的事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162054"><strong>【4月1日】發現潛伏三年的供應鏈攻擊事件，程式庫XZ Utils近期被植入後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162031"><strong>【3月29日】殭研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula</strong></a></p> </div></div></div>
2024/4/3 12:16作者周峻佑https://www.ithome.com.tw/news/162113
403強震國家級警報為何沒響？氣象署：預估震度低
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今早7:58分發生在臺灣東部海域的強震，規模達到7.2級，強烈的晃動讓不少民眾相當有感，氣象署第一時間也發出國家級警報，但是在台北、新北市的民眾沒有收到國家級警報，對此，氣象署表示，為系統預警時，部分區域因預估震度未達到警報門檻，因此沒有發送警報。</p> <p>氣象署表示，今早發生的強震，災防告警細胞廣播訊息PWS的第一報預估震度為6.2級，而第二報上修為6.8級，雖然預估震度上調，台北市與新北市的地表運動加速度峰值PGA也跟著上修，但是仍未大於等於PGA25，即震度4級，因沒有達到告警門檻，沒有針對該區域發送警報。除了雙北，基隆、桃園、高雄市(桃源)、屏東(九如)，因此6個縣市部分地區沒有發送警報。</p> <p>氣象署針對宜蘭縣、新竹縣、苗栗縣、彰化縣、南投縣、雲林縣、嘉義縣、台東縣、花蓮縣、嘉義市、台中市、台南市共12個縣市發送國家級警報。</p> <p>根據氣象署發布的地震報告，沒有發警報的6個縣市，台北市與新北市、桃園市實際震度達5弱級，基隆、屏東九如也達到4級，高雄則是3級。氣象署表示，未來會持續檢討改進。</p> </div></div></div>
2024/4/3 12:30作者蘇文彬https://www.ithome.com.tw/news/162114
Amazon放棄使用無人結帳服務Just Walk Out
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在試用了近3年後，Amazon大部份生鮮超市Amazon Fresh將不再使用無人結帳系統Just Walk Out。</p> <p>Amazon高層Tony Hogett告訴<a href="https://www.theinformation.com/articles/amazons-grocery-stores-to-drop-just-walk-out-checkout-tech" target="_blank">《The Information》</a>，該公司的次世代Amazon Fresh之後將改用名為Dash Cart的自助結帳系統，僅少數郊區分店持續使用Just Walk Out。Dash Cart是在購物車上安裝掃瞄器及顯示裝置，讓消費者邊買邊掃碼結帳。</p> <p>Just Walk Out是Amazon 2020年推出的無人店面的自動化結帳系統。它一開始使用攝影機及感測器判讀消費者所拿商品，但去年改成了RFID式的標籤感測。原因可能是出於消費者對攝影機的不安，而且錯誤率較低。</p> <p>Amazon一直在嘗試新的零售方案。<a href="https://www.ithome.com.tw/news/146612" target="_blank">Amazon在2021年起</a>將掌紋身分識別及支付系統Amazon One導入西雅圖的Whole Foods，現已推向500家分店及Amazon實體店面，此外也有客戶將之導入到包括體育館、健身房、便利商店或機場。兩周前<a href="https://www.ithome.com.tw/news/162030" target="_blank">Amazon推出專用程式</a>以擴大實施。</p> <p>不過另一方面，創新採用AI及自動化科技的無人便利超商Amazon Go及智慧服飾店<a href="https://www.ithome.com.tw/news/151139" target="_blank">Amazon Style</a>則相繼於<a href="https://www.geekwire.com/2023/amazon-closing-eight-amazon-go-convenience-stores-in-latest-tightening-of-its-physical-retail/" target="_blank">去年3月</a>及<a href="https://www.theverge.com/2023/11/2/23943941/amazon-style-clothing-stores-closing-down" target="_blank">11月</a>關閉。</p> </div></div></div>
2024/4/3 13:07作者林妍溱https://www.ithome.com.tw/news/162115
數位部：政府GSN服務運作正常，部分電信業者行動基地臺受影響正搶修中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今早發生的強震，數位部盤點政府資訊服務，目前政府網際服務網(Government Service Network, GSN）正常運作，用戶端將請監控中心持續監控個別狀況，目前尚未發現異常情形。</p> <p>至於通訊傳播領域關鍵基礎設施，固網、海纜等通訊線路沒有發現異常，但在行動網路方面，有電信業者的少數基地臺受到地震影響，導致該地的用戶訊號出現不穩，數位部已請電信業者儘速搶修，盤點相關災損及受影響用戶。</p> </div></div></div>
2024/4/3 11:33作者蘇文彬https://www.ithome.com.tw/news/162111
403強震，遠傳電信：正盤查各地基地臺、機房、設備，行動通訊車可前往災區支援通訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今早發生強震後，國內電信服務也受到部分影響，遠傳電信今早啟動緊急應變，投入上百名工程師，盤查各地基地臺、機房、設備，目前仍在詳細盤查中，另外，因應災害嚴重地區通訊需求，該公司也準備行動通訊車，可機動性的前往當地支援通訊。</p> <p>目前遠傳電信也透過後臺，監控網路流量是否有異常情形，障礙排除等等，以維持通訊服務品質。該公司表示，基地臺皆有備援電源，主要機房也運作正常，但有少數基地臺因停電，在備援電源用盡後暫時無法服務，待台電恢復供電後，可立即恢復運作。</p> </div></div></div>
2024/4/3 11:46作者蘇文彬https://www.ithome.com.tw/news/162112
台灣大哥大少數基地臺受損、因停電受影響，目前正搶修中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天上午花蓮地區發生規模7.2的強震，國內通訊服務也受到部分影響，台灣大哥大表示，主要機房雖沒有受損，但部份地區的行動基地臺受損，影響主要區域為花蓮，新北也有部分地區受到影響，目前正在搶修中。</p> <p>台灣大哥大表示，地震發生後，第一時間投入超過500名人力進行設備檢查，提供必要的行動通訊服務及協助，零星的基地臺因地震受到損害，有少數基地臺則因停電受影響，目前正在全面搶修中，電力障礙問題，緊急安排發電機，並持續觀察該地區訊務情形，如發現訊自壅塞，加派行動車前往當地支援。</p> </div></div></div>
2024/4/3 10:32作者蘇文彬https://www.ithome.com.tw/news/162110
回顧2023十大資安漏洞
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去1年，應用系統、通訊協定、資安防護設備等漏洞利用攻擊事故不斷發生，部分甚至導致大規模災情，並頻繁出現在資安新聞報導，我們根據全球的資安態勢，以及臺灣企業組織偏好採用的IT系統，選出年度十大漏洞</p> </div></div></div>
2024/4/3 09:49作者周峻佑https://www.ithome.com.tw/article/162080
Rust更新u128、i128資料型別記憶體對齊，確保與C語言一致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust開發團隊<a href="https://blog.rust-lang.org/2024/03/30/i128-layout-update.html">解決</a>了長期以來與C語言在x86-32和x86-64架構上，處理128位元整數對齊（Alignment）上的不一致。採用LLVM 18的Rust現在處理i128、u128資料型別，會與所有版本的GCC，以及Clang 18以上版本相容。</p> <p>Rust開發團隊解決了u128、i128資料類型，在記憶體中的布局問題，這個問題涉及資料型別在記憶體中的對齊方式。所謂的記憶體對齊，是指資料型別被允許放置的記憶體地址規範，對齊方式可以依據需求變化，像是一個8位元組大小的整數，可以儲存在任意記憶體地址，而64位元電腦系統可能會選擇採用8位元組的對齊方式。</p> <p>在Rust與C語言中，針對u128、i128資料型別在x86-32和x86-64架構上的對齊方式，長期以來存在不一致。這種不一致來自於兩個實作的對齊要求不同，在C語言中，__int128（相當於Rust的u128、i128）的對齊要求遵循該平臺應用程式二進位介面（ABI）的規範，代表著在x86-64系統上，__int128的對齊可能被要求為16位元組，目的是最大程度提高存取這些資料型別的效率。</p> <p>Rust在早期版本中，對於u128、i128的對齊不完全遵循C的ABI規範，導致在部分情況下，這些資料型別的對齊方式與C不一樣，使得外部函式介面（FFI）呼叫時可能出現難以預料的行為或是效能問題。</p> <p>為了解決與C語言在處理u128、i128資料型別對齊不一致的問題，Rust進行了調整，現在使資料型別對齊方式與C保持一致，而由於資料類型在記憶體中的布局更加可預測，減少了潛在轉換或是對齊物的問題，因此直接提高了外部函式介面的相容性和效能。不過，也因為這些類型現在需要更大的對齊空間，可能導致程式碼的記憶體占用增加。</p> <p>對大多數Rust開發者來說，這次更改並不會有太大的影響，但是如果開發者在程式碼中直接假設這些類型的對齊而沒有使用align_of，或是在外部函式介面中使用這些資料型別，卻忽略improper_ctypes*的Lint，則開發者可能會需要更新程式碼，避免發生潛在的問題。</p> <p>從Rust 1.77開始，開發者在外部函式介面中使用128位元整數時會相對安全，而隨著1.78版本更新LLVM，開發者就能獲得更多操作確定性。</p> </div></div></div>
2024/4/3 08:35作者李建興https://www.ithome.com.tw/news/162103
IT產品老弱殘是資安危機
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>無論在家中或工作場所，我們每天都與許多IT產品為伍，而在長期使用的過程當中，通常會意識到某些軟硬體需要進行定期或不定期更新，例如，個人電腦、智慧型手機、平板電腦的作業系統每個月可能至少需要進行安全性更新，持續使用幾年後，可能面臨系統升級甚至換機需求。</p> <p>然而，有些隱身在角落或設置在機房的設備，若沒有刻意安排定期汰換，恐怕用到廠商終止提供產品更新支援，都還不知道繼續使用會面臨更多風險。當然有不少人也明知這樣的IT產品不再可靠，但限於預算不足、更換不便，甚至純粹怕麻煩等原因，仍在隨時可能會出差錯、發生問題等狀態下使用。</p> <p>最廣為人知的例子當屬小型辦公與家用環境（SOHO）Wi-Fi路由器，經常看到資安新聞媒體報導相關安全性事故，這類設備因系統老舊、廠商不再提供韌體改版升級支援，一旦被有心人士找出資安漏洞，就可能被入侵、綁架，而成為殭屍網路的成員，之後遭濫用而能對各種網路服務發動DDoS攻擊。</p> <p>最近就有類似事故發生，例如<a href="https://www.ithome.com.tw/news/162015" target="_blank">3月28日的iThome資安日報</a>，剛好整理到<a href="https://www.ithome.com.tw/news/162015" target="_blank">超大型殭屍網路TheMoon崛起</a>的消息，他們在3月初在短短72小時內，綁架超過6千臺華碩路由器，除此之外，還有其他SOHO路由器、物聯網設備遭駭，這些設備都是處於產品生命週期終止、廠商不再提供支援的狀態，截至今年1月為此，這個惡意網路擴展到擁有4萬臺殭屍裝置、遍及88國，規模相當驚人。</p> <p>若純粹論及IT產品資安漏洞濫用造成的影響，回顧從2020年至今的資安重大事件當中，負責提供遠端安全連線的IPsec或SSL VPN設備，持續佔據資安新聞版面，如Fortinet、Ivanti/Pulse Secure是最大苦主；以應用程式交付控制器（ADC）著稱的F5、Citrix，也常出現在資安公告；而在應用系統方面，不只許多產品搭配的開放原始碼事件記錄元件Log4j，微軟Exchange、VMware的vSphere與Workspace ONE、Atlassian Confluence，也頻頻列為年度重大漏洞。</p> <p>至於2023年，CISA目前雖然尚未公布，我們決定依據iThome資安日報一年以來持續報導的新聞內容，權衡全球資安弱點關注態勢，以及臺灣多數企業與組織可能採用的IT系統，<a href="https://www.ithome.com.tw/article/162080" target="_blank">選出年度十大資安漏洞</a>。</p> <p>就前五大漏洞而言，檔案傳輸管理系統（MFT）漏洞消息近幾年延燒，在2023年，當數<a href="https://www.ithome.com.tw/news/162067" target="_blank">MOVEit Transfer漏洞CVE-2023-34362</a>影響最顯著，因為勒索軟體Clop利用這個弱點大舉入侵許多企業與組織，引發軒然大波。</p> <p>在此之前，就有多個MFT類型產品出現重大漏洞而受到關注，像是Accellion FTA、<a href="https://www.ithome.com.tw/news/162072" target="_blank">Fortra GoAnywhere（我們列入2023年第五大漏洞</a>），由於這些產品在臺灣不普及，但我們仍很擔心這把火是否燒到MOVEit，可惜的是，雖有前車之鑑，但危機還是發生了。</p> <p>以普遍使用程度而言，我們將<a href="https://www.ithome.com.tw/news/162069" target="_blank">壓縮軟體WinRAR漏洞CVE-2023-38831</a>，以及<a href="https://www.ithome.com.tw/news/162071" target="_blank">網頁瀏覽協定HTTP/2漏洞CVE-2023-44487</a>，列在第四名、第五名；而上述提到的網路與資安系統，占了排行榜大宗，像是<a href="https://www.ithome.com.tw/news/162068" target="_blank">應用程式交付控制器Citrix NetScaler</a>、<a href="https://www.ithome.com.tw/news/162073" target="_blank">郵件伺服器軟體Zimbra</a>、<a href="https://www.ithome.com.tw/news/162074" target="_blank">防火牆與VPN設備兆勤（Zyxel）</a>、行動裝置管理平臺<a href="https://www.ithome.com.tw/news/162075" target="_blank">Ivanti Endpoint Manager Mobile</a>、<a href="https://www.ithome.com.tw/news/162076" target="_blank">路由器平臺Cisco IOS XE</a>，以及<a href="https://www.ithome.com.tw/news/162079" target="_blank">郵件安全閘道Barracuda ESG</a>。</p> <p>「人非聖賢，孰能無過」廠商開發產品、經營市場不容易，更重要的是「知過能改」，不只是關切所供應的產品與服務須有良好品質，用戶導入後的維護與持續使用，更是信任與名譽的長期考驗。</p> <p>對廠商而言，固然有權決定產品技術支援的廣度、深度，以及持續期間，因此應設法說服用戶更換新機時，還願意繼續信任同一品牌，這取決於廠商自身發展與提供客戶的服務。對用戶而言，也要有產品與服務生命週期概念，需提早規畫汰舊換新的策略，面對既有的IT軟硬體資產，也要關注更新消息，確認汰換升級的實機，而非盲目希望「物盡其用」不願轉移。</p> <p>當雙方都對彼此有合理的期待與自我要求時，許多IT產品就能在穩健的狀態持續使用，遇到問題，也能互信合作、解決困難。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E">安全漏洞</a></div><div class="field-item odd"><a href="/tags/%E6%9B%B4%E6%96%B0">更新</a></div><div class="field-item even"><a href="/tags/%E6%AE%AD%E5%B1%8D%E7%B6%B2%E8%B7%AF">殭屍網路</a></div><div class="field-item odd"><a href="/tags/2023%E5%8D%81%E5%A4%A7%E8%B3%87%E5%AE%89%E6%BC%8F%E6%B4%9E">2023十大資安漏洞</a></div></div></div>
2024/4/3 07:00作者李宗翰https://www.ithome.com.tw/voice/162039
【回顧2023十大資安漏洞｜No.1：CVE-2023-34362】MOVEit檔案傳輸軟體漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-MOVEit-600-PNG.png" style="text-align: center; width: 600px;" /></p> <p>論及2023年影響最為嚴重的漏洞，莫過於Progress旗下MFT檔案共享系統MOVEit Transfer漏洞CVE-2023-34362，<a href="https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023" target="_blank">自該公司去年5月27日公布至今</a>，在iThome有超過20篇新聞與之有關，以壓倒性的程度，遙遙超越其他漏洞的曝光程度。</p> <p>甚至到了今年3月，美國政府呼籲軟體開發商，應該要在產品出貨之前，檢查是否存在SQL注入漏洞，也與這項漏洞引發的大規模攻擊事故有關，這兩年美國政府開始大力提倡軟體開發安全，並提供各式的實作指引，但針對特定類型的漏洞，並拿出血淋淋的真實案例提出呼籲，這還是頭一遭。</p> <p>與先前的Accellion FTA、GoAnywhere事件相同，利用此漏洞的攻擊事故，背後的攻擊者都是勒索軟體駭客Clop，但這次陸續浮出檯面的受害組織，竟多達數百個，駭客分成多次公布名單，而且每次都引起不少關注。</p> <p>另一方面，有別於過往事件證實受害的企業與政府機關，同時其檔案共用系統也遭遇攻擊，但這次出面公布遇害的組織，不少是因為IT服務供應商建置的MFT系統遭遇攻擊，導致自己的內部資料外洩而出面公告。</p> <p>特別的是，這項漏洞不只引起各界關注，美國政府也採取了多個罕見的措施。首先，聯邦調查局宣布祭出千萬美元獎金，要捉拿勒索軟體駭客Clop的成員；再者，美國證券交易委員會（SEC）也在10月，傳出要對Progress進行調查的情況。</p> <p>而對於這起攻擊事故造成的損失，當時Progress認為影響有限，根據他們的評估，由於旗下MFT系統的漏洞，產生約100萬美元的費用，相關的保險理賠預期會進帳190萬美元。但這份季報也談到遇害客戶的反應，他們表示，有23個組織、58名人士向他們提出法律訴訟，而有可能會產生賠償費用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-2023-vul-moveit-dc2-en_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_KonBriefing.png" style="width: 600px;" /></p> <p> <span style="font-size:14px;"><span style="color:#696969;"><span style="font-size:16px;"><strong>根據研究機構KonBriefing彙整的資料，CVE-2023-34362漏洞攻擊事發半年後，總共有超過2千個企業組織受害，影響範圍涵蓋32個國家，大部分受害組織位於美國。</strong>（圖片來源／KonBriefing）</span></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>受害規模已擴大至超過2千個組織</strong></span></span></p> <p>我們曾在去年8月初，彙整因CVE-2023-34362造成的資安事故發生經過，當時研究機構KonBriefing根據新聞報導、駭客公布的名單、受害組織發出的聲明，以及向美國地方政府或證券交易委員會（SEC）通報的資料，截至7月31日，他們確認有545個組織受害，約有3,270萬至3,760萬人遭受波及。</p> <p>但事隔5個月，受害組織增加3倍、外洩資料筆數增加1倍──截至12月20日，有2,611個組織受害、約有8,510萬至8,990萬人個資流出。這樣的現象，印證6月美國政府官員的推測，這項漏洞攻擊事故的影響，將會持續擴大。</p> <p>值得留意的是，資安業者Kroll發現，駭客早在2021年7月就找到CVE-2023-34362，並策畫在完成GoAnywhere攻擊之後，才進行本次的攻擊行動。這意味著該漏洞曝露長達快2年的時間，駭客可能已經過充分的模擬和測試，最後才決定下手。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>矯枉過正！廠商後續過於頻繁發布漏洞公告，反而導致用戶無所適從</strong></span></span></p> <p>雖然整起事件當中，駭客只有利用CVE-2023-34362，但這次Progress應變處理的可取之處在於，他們在事發之後隨即尋求資安業者協助，檢視MOVEit Transfer的程式碼來改善安全。不過，頻繁發布新漏洞的資安通告，也很可能讓IT人員無所適從，疲於採取緩解措施，或是安裝更新軟體。</p> <p>6月9日，Progress表示在資安業者Huntress的協助下，找到SQL注入漏洞CVE-2023-35036，CVSS風險評分為9.1，影響所有版本的MOVEit Transfer，該公司提供修補程式，並指出目前該漏洞尚未遭到利用。</p> <p>事隔不到一週，Progress於15日又再度發布公告，針對新漏洞CVE-2023- 35708提出緩解措施，呼籲IT人員暫時停用所有HTTP與HTTPS流量，並在隔天發布了修補程式。基本上，此漏洞也是被列為危急層級的SQL注入漏洞，CVSS風險評分達到9.8。</p> <p>值得留意的是，無論是CVE-2023-34362或CVE-2023-35708，Progress首度公布漏洞時，皆未取得CVE編號，也沒提供CVSS評分，IT人員只能從公告的說明當中，得知該公司認定漏洞極為嚴重，難以判斷要如何安排修補。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162067
【回顧2023十大資安漏洞｜No.2：CVE-2023-4966】Citrix NetScaler漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Citrix-PNG.png" style="width: 600px;" /></p> <p>我們這次選出的2023第2大漏洞，與去年11月一起引起全球關注的勒索軟體攻擊有關，因為此事故導致利用這項漏洞的情況浮上檯面。</p> <p>它是存在Citrix NetScaler設備的資訊洩露漏洞，編號為CVE-2023-4966，CVSS風險評分達到9.4。<a href="https://support.citrix.com/article/CTX579459/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967" target="_blank">Citrix於10月10日發布了修補程式</a>，之後，資安業者Mandiant提出警告，他們發現駭客自8月下旬開始，就利用這項零時差漏洞，當時，已有政府機關與科技業者受害，到了10月23日，Citrix也證實出現漏洞攻擊行動的情況──他們接獲連線階段（Session）挾持的事故通報，並確認攻擊者在過程中利用這項漏洞。</p> <p>關於弱點的稱呼，發布概念性驗證（PoC）攻擊程式碼的資安業者Assetnote，將這個漏洞命名為「Citrix Bleed」，但Shadowserver基金會提出警告，在漏洞細節及PoC程式碼公布之後，他們隨即看到嘗試利用該漏洞的情況瞬間增加。</p> <p>雖然在Citrix首度發布資安公告之後，已有數家資安業者、資安研究團隊關注該漏洞的後續態勢，但真正開始有企業組織證實受害，並引起另一波關注，與中國工商銀行的美國子公司工銀金融（ICBCFS）有關，因為他們在1個月後遭遇勒索軟體攻擊的事故。</p> <p>根據iThome所整理的資安新聞，總共有10篇與Citrix Bleed相關，但當中有超過三分之二的報導，是在工銀金融遇害之後出現。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>因金融業者服務中斷而引起關注</strong></span></span></p> <p>針對工銀金融發生的資安事故，當時先是由證券業暨金融市場協會（SIFMA）傳出該公司遭到勒索軟體攻擊，導致工銀金融無法結算投資人的美國國債交易，部分股票交易也受影響。</p> <p>這樣的情況引起全球關注，隨後工銀金融也證實確有此事，他們遭遇勒索軟體攻擊，導致部分服務面臨中斷，但對於受到攻擊的系統，以及攻擊者如何入侵，該公司並未透露進一步的訊息。</p> <p>值得留意的是，根據彭博社、路透社等美國當地的媒體報導，攻擊者的身分就是勒索軟體集團LockBit。而對於這起事故發生的原因，資安專家Kevin Beaumont透露，駭客很可能是針對該公司的Citrix Netscaler系統下手，利用Citrix Bleed漏洞入侵網路環境，此伺服器在數日前就處於離線狀態。</p> <p class="rtecenter"><strong><a href="https://s4.itho.me/sites/default/files/files/%E5%9C%961-0_ELOOpczXQzUBMC8M_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Kevin%20Beaumont.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-0_ELOOpczXQzUBMC8M_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Kevin%20Beaumont.jpg" style="width: 284px;" /></a></strong></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 16px;"><strong>資安專家Kevin Beaumont指出，勒索軟體組織LockBit能夠入侵工銀金融（ICBCFS），並且癱瘓部分系統運作，箇中關鍵，就是利用尚未修補CVE-2023-4966的Citrix NetScaler Gateway，而能夠得逞。</strong>（圖片來源／Kevin Beaumont）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>勒索軟體駭客早已利用相同漏洞，入侵其他大型組織</strong></span></span></p> <p>然而，工銀金融並非唯一因為沒有修補Citrix Bleed而被LockBit入侵的組織。根據這位研究人員的調查，物流業者杜拜環球港務（DP World）、安理國際律師事務所（Allen & Overy）、波音等至少10家大型企業，都是受害者。</p> <p>這些攻擊行動如何進行？研究人員指出駭客組織有分工，前期的人員利用Citrix Bleed入侵目標企業，並部署遠端管理工具，以便後續接手的攻擊者能持續存取網路環境，而這一組人員會再利用各種手法提升權限，擺脫EDR系統控制、竊取資料，最終部署勒索軟體將檔案加密。</p> <p>值得留意的是，LockBit並非唯一利用Citrix Bleed的駭客組織。在2023年11月16日，勒索軟體駭客組織Medusa聲稱，他們入侵汽車大廠豐田（Toyota）旗下的金融服務公司Toyota Financial Services（TFS），若想要下載取回駭客竊得的資料，或是要求駭客刪除檔案，他們開出800萬美元的價碼。</p> <p>而對於駭客入侵的管道，資安專家Kevin Beaumont指出，該公司德國辦事處的NetScaler Gateway，自8月底之後就再也沒有更新，曝露Citrix Bleed而釀禍。這樣的情況，也與Mandiant發現至少有4組人馬從事漏洞利用攻擊的觀察，可說是不謀而合。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162068
【回顧2023十大資安漏洞｜No.3：CVE-2023-38831】WinRAR漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-WinRAR-600-PNG.png" style="width: 600px;" /></p> <p>本次上榜漏洞中，有一項非出現在企業的IT應用系統或設備，而是廣泛使用的壓縮軟體WinRAR，這項漏洞就是CVE-2023-38831。</p> <p><a href="https://www.group-ib.com/blog/cve-2023-38831-winrar-zero-day/" target="_blank">揭露這件事的資安業者是Group-IB</a>，他們在2023年7月初調查惡意軟體DarkMe散布過程當中，發現駭客運用過往未曾揭露的漏洞，這群歹徒在地下論壇號稱，藉由特製的ZIP壓縮檔，能為買家散布指定的惡意程式。經過研究人員的進一步調查，發現駭客在4月就開始利用這項漏洞。</p> <p>經過驗證，研究人員確認漏洞發生在WinRAR存取ZIP檔的過程，並且通報至此軟體的開發廠商Rarlab，該公司於7月20日發布測試版<a href="https://www.win-rar.com/singlenewsview.html?&L=0&cHash=c5bf79590657e32554c6683296a8e8aa&tx_ttnews%5Btt_news%5D=232" target="_blank">WinRAR 6.23</a>修補，正式版軟體於8月2日推出，23日Group-IB公布漏洞細節。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WinRAR%206_23%20final%20released.png" style="width: 600px;" /></p> <p>究竟這個漏洞造成多大危害，目前仍不得而知，但自2023年8月下旬公布後，與俄羅斯、中國、巴基斯坦有關的多個國家級駭客組織，皆傳出將其用於發動網路釣魚攻擊行動的情況。</p> <p>根據iThome的2023年資安新聞報導，總共有多達11篇文章與這項漏洞有關，數量僅次於MOVEit Transfer漏洞CVE-2023-34362。</p> <p>雖然這項漏洞僅被列為高風險層級，CVSS風險評分為7.8，但考量到WinRAR在全球有超過5億用戶，加上該漏洞又相當容易利用，雪上加霜的是，WinRAR本身並未內建自動更新機制，如果使用者未留意軟體改版資訊，很有可能因為持續使用存在漏洞的舊版軟體，而在不知不覺之間，成為駭客寄生攻擊（LOLBin）利用對象，因此，我們將其列為年度第3大漏洞。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞發現源於駭客作案工具的地下交易</strong></span></span></p> <p>這項漏洞之所以發現，源於研究人員在監控駭客論壇時，看到出售未知漏洞利用工具的情況。</p> <p>資安業者Group-IB在調查惡意軟體DarkMe的過程當中，發現駭客自今年4月開始，製作惡意的ZIP、RAR壓縮檔，並在網路犯罪交易論壇上兜售。</p> <p>這些壓縮檔內有看似無害的JPG圖檔，或PDF、TXT文檔，一旦有人以WinRAR開啟，攻擊者會藉由CVE-2023-38831執行指令碼，於電腦部署惡意軟體DarkMe、GuLoader，以及Remcos RAT。</p> <p>研究人員看到駭客利用上述手法，在加密貨幣論壇、股票交易論壇發動攻擊，聲稱分享投資策略，至少8個論壇出現相關討論，130個投資人的電腦遭惡意程式感染，但實際受害人數與損失金額不明。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-CVE-2023-38831_9-4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Group-IB.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 16px;"><strong>資安業者Group-IB指出，攻擊者製作能利用CVE-2023-38831的ZIP壓縮檔，一旦使用者透過WinRAR開啟，並直接開啟壓縮檔裡的圖檔就有可能中招，電腦會觸發漏洞，執行惡意指令碼。</strong>（圖片來源／Group-IB）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>國家級駭客組織加入漏洞利用行列</strong></span></span></p> <p>事隔2個月，開始有研究人員發現，國家級駭客也將這項漏洞納入攻擊流程。</p> <p>資安業者DuskRise指出，俄羅斯駭客駭客假借提供入侵指標的相關資料為誘餌，利用這項漏洞發動攻擊。</p> <p>接著，Google旗下的威脅情報小組（TAG）揭露更多發現，因為他們偵測到俄羅斯駭客組織Sandworm、APT28，以及中國駭客組織APT40的攻擊行動。</p> <p>Sandworm於9月初假借烏克蘭無人機軍事訓練招生的名義寄送釣魚郵件，散布竊資軟體Rhadamanthys，收集瀏覽器帳密及連線階段資訊；APT28則是針對烏克蘭政府官員下手，假冒智庫發送釣魚信，攻擊該國能源基礎設施，引誘下載惡意壓縮檔，於受害電腦植入PowerShell指令碼Ironjaw；而對於APT40的漏洞攻擊行動，該組織針對巴布亞紐幾內亞的民眾散布釣魚郵件，信件內容包含Dropbox下載連結，若依裡面的指示開啟網址，會取得含有上述漏洞的ZIP壓縮檔，有可能導致電腦被感染後門程式Boxrat。</p> <p>資安業者Seqrite揭露巴基斯坦駭客組織SideCopy的攻擊行動，這些駭客鎖定印度，積極利用CVE-2023-38831，散布AllaKore RAT、DRat等惡意軟體。</p> <p>後來，烏克蘭也對俄羅斯駭客APT29的攻擊行動提出警告，指出在11月的攻擊行動裡，對方統合原本手法及新技術，濫用應用程式交付平臺Ngrok提供的免費靜態網域功能，架設C2伺服器，然後他們也在惡意壓縮檔運用WinRAR漏洞。</p> <p>微軟、IBM不約而同在12月初，針對APT28的攻擊行動提出警告。</p> <p>微軟指出，對方鎖定美國、歐洲、中東的政府機關、運輸業，以及非政府組織，企圖用多種資安漏洞發動攻擊，存取Exchange伺服器上的電子郵件信箱帳號，其中一個被利用的漏洞就是CVE-2023-38831。</p> <p>IBM威脅情報團隊X-Force表示，APT28使用以巴衝突作為誘餌，假借國際組織名義對13個國家從事網釣攻擊，其中有部分駭客利用了這項漏洞。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162069
【回顧2023十大資安漏洞｜No.4：CVE-2023-44487】HTTP/2通訊協定漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-HTTP2-600-PNG.png" style="width: 600px;" /></p> <p>接下來我們選出的第4名漏洞也相當特別，因為此漏洞並非存在特定的應用系統，而是在通訊協定上，這項漏洞就是HTTP/2協定的高風險漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-44487" target="_blank">CVE-2023-44487</a>，CVSS風險評分為7.5。</p> <p>從iThome相關報導的數量來看並不多，僅有去年10月雲端服務業者共同揭露因該漏洞遭遇DDoS攻擊的消息，但在DDoS攻擊的資安事故而言，這樣的情況很罕見。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>針對通訊協定的零時差漏洞攻擊</strong></span></span></p> <p>首先，這類攻擊行動的揭露，通常範圍是局限於其中一家業者處理的事故，而且他們多半會特別強調流量的規模，就算是提及攻擊手法，也往往與駭客用於產生流量的設備有關。</p> <p>此次卻是由AWS、Cloudflare、Google這三大雲端服務業者聯手公布，並將他們遭遇攻擊的原因，指向上述的通訊協定漏洞，並為利用該漏洞的攻擊手法命名為「HTTP/2 Rapid Reset」。</p> <p>關於這次攻擊手法，對方主要是濫用HTTP/2通訊協定的特定功能。</p> <p>此功能目前被大家稱為「串流取消（Stream Cancellation）」，或是稱為「多工串流（Stream Multiplexing）」。</p> <p>駭客不斷發送請求並隨即予以取消，從而導致採用HTTP/2通訊協定的網頁伺服器或是應用程式服務遭到癱瘓。</p> <p>研究人員指出，本次駭客發動攻擊的成本，較過往傳統的DDoS攻擊相對低廉許多。</p> <p>對方利用這項漏洞發動的巨大流量DDoS攻擊，所運用的殭屍網路規模僅約2萬臺電腦，遠低於其他攻擊行動。過往的巨量DDoS攻擊，常會動用到數十萬、數百萬臺電腦。</p> <p>由於HTTP通訊協定是全球網路資料通訊的基礎，最新版是2022年6月頒布的HTTP/3。但根據Cloudflare去年4月的統計，2015年推出的HTTP/2採用率超過60%，是目前最普及的HTTP協定版本，HTTP/3則接近30%。</p> <p>對此，許多採用HTTP/2的服務或產品，開發商都已著手修補。</p> <p>例如，微軟公布了針對該漏洞的應對措施，指出這波的DDoS攻擊主要鎖定網路第7層（L7），而非L3或L4，因此，該公司強化對於L7的保護，同時也修補所有受到影響的服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-2023_worlds_largest_rapid_reset_diagram_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 16px;"><strong>Google針對HTTP/2 Rapid Reset通訊協定漏洞提出說明，並列出一份比較圖表指出問題成因。相較於一般的DDoS攻擊，利用該漏洞，攻擊者發出大量請求並隨即取消，從而突破用戶端原先必須等待伺服器回應的限制。</strong>（圖片來源／Google）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>三家大型雲端業者公布受害的規模</strong></span></span></p> <p>究竟這樣的漏洞，引發了什麼程度的攻擊呢？</p> <p>AWS指出，他們從8月28日至29日，發現CDN服務CloudFront出現不尋常的流量，並達到每秒發出1.55億次請求（RPS）的高峰，光是在這兩天，他們就緩解十多次HTTP/2 Rapid Reset攻擊事件。</p> <p>接著，該公司也在整個9月，看到這類攻擊手法不斷出現。</p> <p>另一家雲端服務業者Cloudflare，則是從8月25日開始，觀察到部分客戶遭遇HTTP/2 Rapid Reset攻擊，其高峰達到每秒2.01億次請求。</p> <p>這樣的情況，遠超過2023年2月他們公布的DDoS事故，當時該公司攔截每秒7,100萬次請求，僅約為這次事故的三分之一。</p> <p>從8月底到10月上旬，該公司共緩解1,100起每秒1千萬次請求的事故，其中有184起超越2月公布的規模。</p> <p>第三家公布此事的Google Cloud則表示，他們在8月遭遇每秒3.98億次請求的DDoS攻擊行動，相較於2022年8月公布每秒4,600萬次請求，一年後的事故規模爆增至7.5倍。</p> <p>究竟這樣的天文數字，代表的又是什麼樣的規模？</p> <p>該公司指出，他們遭遇HTTP/2 Rapid Reset攻擊的時間約為2分鐘，所有收到的請求數量，比2023年9月所有存取維基百科的請求次數還要多。</p> <p>值得留意的是，雖然上述業者皆緩解提及的DDoS攻擊，但Cloudflare指出，由於這波攻擊結合殭屍網路與HTTP/2漏洞，導致攻擊請求以前所未有的速度放大，他們的網路系統面臨間歇性的不穩定，部分元件過載，波及少數客戶的效能。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162071
【回顧2023十大資安漏洞｜No.5：CVE-2023-0669】GoAnywhere漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-GoAnywhere-600-PNG.png" style="width: 600px;" /></p> <p>在去年勒索軟體駭客組織Clop利用的零時差漏洞當中，最受到關注的是MFT檔案傳輸系統MOVEit Transfer、MOVEit Cloud的漏洞CVE-2023-34362，但還有另一款MFT系統的漏洞也相當值得留意，那就是存在於<a href="https://www.fortra.com/blog/summary-investigation-related-cve-2023-0669" target="_blank">GoAnywhere的CVE-2023-0669</a>。</p> <p>這項漏洞引起關注的地方，在於其資訊公開的過程。由於系統開發商Fortra只對用戶發布公告，內容必須擁有相關帳號才能檢視，這項消息公開於社會大眾，最早是透過資安新聞記者Brian Krebs的揭露。</p> <p>隨後這則警訊引起資安界的關注，多名研究人員根據Brian Krebs揭露的資訊，進一步分析漏洞的細節，並公開概念性驗證（PoC）程式碼，Fortra在數日後，發布新版GoAnywhere予以修補。</p> <p>事隔兩週，Clop聲稱利用這項漏洞，攻擊超過130個企業、組織，隨後也有受害組織出面證實資料遭竊。後來Fortra也公布調查結果，表示攻擊者可能在他們通知用戶2週前，就開始將這項漏洞用於攻擊行動。</p> <p>從iThome的相關報導數量來看，總共有9則，這個數量僅次於排行前三名的漏洞CVE-2023-34362、CVE-2023-4966（Citrix Bleed）、CVE-2023-38831，再加上駭客聲稱犯案後，陸續有企業組織證實受害，因此，我們決定將這項漏洞列為第5。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-aZvJJ8j7qI_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Fortra.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 16px;"><strong>資安業者Fortra於去年4月17日公布零時差漏洞CVE-2023-0669事件發生的經過，並指出駭客將其用於攻擊GoAnywhere系統，最早可追溯到3個月前。</strong>（圖片來源／Fortra）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞警訊的公開，竟源自新聞記者的揭露</strong></span></span></p> <p>這項漏洞的公開，源於2月2日資安新聞記者Brian Krebs發出的警告，指出GoAnywhere存在零時差漏洞，可被用於RCE注入攻擊，並張貼資安業者Fortra於2月1日對用戶發出的公告。</p> <p>該公告指出，攻擊者若要利用該漏洞，必須存取此應用程式的管理主控臺，若是組織將該主控臺曝露於網際網路，就有可能成為攻擊目標，呼籲IT人員可尋求客服團隊協助，來採取合適的存取控制措施。</p> <p>然而，該公司並未在網站發布相關公告，也沒有在前述說明提及更多漏洞的細節，也並未提及緩解措施。</p> <p>2月6日，資安顧問公司Code White的研究人員公布此漏洞的細節，以及概念性驗證攻擊程式碼。</p> <p>研究人員提出警告，該漏洞可讓攻擊者在尚未採取緩解措施的GoAnywhere系統上，在不需通過身分驗證的情況下，就能遠端執行任意程式碼。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>引發大規模資料竊取攻擊</strong></span></span></p> <p>事隔不到2週，便傳出Clop將其用於發動大規模攻擊的情況，他們號稱入侵超過130個組織，並在進入受害組織的網路環境後，竊取GoAnywhere伺服器上的資料。</p> <p>隨後就有組織向主管機關通報資安事故，證實遭到相關攻擊。根據資安新聞網站DataBreaches.net報導，美國田納西州醫療集團Community Health Systems（CHS）於2月13日向該國證交所發出通報，指出他們接獲Fortra的通知後著手調查，初估有100萬人的病歷資料或是個資，因GoAnywhere伺服器遭到入侵而可能會受到影響。</p> <p>接著，金融科技（Fintech）業者Hatch Bank、日立能源（Hitachi Energy）表示，他們的客戶或是員工的資料，因GoAnywhere遭到攻擊而外流。</p> <p>3月23日資安專家Dominic Alvieri發現，Clop公布了新一波的受害名單，當時累計已有72家企業組織被公布，包括加拿大多倫多市政府、維珍（Virgin）集團、P&G、礦業公司力拓（Rio Tinto）、金融機構Axis Bank等，有部分已證實資料遭到外洩的情況。</p> <p>到了4月17日，Fortra公布事件調查結果，他們起初在1月30日，發現部分雲端代管的GoAnywhere系統有異，該公司尋求資安業者Palo Alto Networks協助，著手調查得知駭客利用該漏洞建立使用者帳號，並下載檔案，且於受害系統部署Netcat和Errors.jsp，疑似用來建立後門、掃描連結埠、傳輸檔案。</p> <p>後來，他們發現部分本地建置的GoAnywhere也遭遇漏洞攻擊，時間可追溯到1月18日。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162072
【回顧2023十大資安漏洞｜No.6：CVE-2023-37580】Zimbra郵件伺服器漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Zimbra-600-PNG-V3.png" style="width: 600px;" /></p> <p>我們選出的2023年第6大資安漏洞，是存在於開放原始碼的電子郵件系統Zimbra，可能有不少人覺得對這套軟體感到很陌生，但過去2年，Zimbra因為資安新聞而出現在iThome的情況越來越頻繁，基於這樣的現象，也顯示已經有部分駭客正在鎖定這類系統而來。</p> <p>其中，又以跨網站指令碼（XSS）漏洞CVE-2023-37580相當值得注意，雖然該漏洞僅被評為中度風險，CVSS風險評分只有6.1，而且，在iThome的資安新聞相關報導當中，數量並不算多，內容主要是Zimbra發布資安漏洞的緩解措施，以及後續Google揭露相關攻擊行動的調查結果。</p> <p>但特別的是，有部分駭客在漏洞被通報後，在開發者提交修補程式碼，到正式發布更新軟體的空窗期，將這些資安情報用於發動攻擊，導致後果可能相當嚴重。</p> <p>電子郵件系統的漏洞向來是駭客偏好下手的目標，因為一旦成功，就有機會竊取伺服器存放的電子郵件內容，從而搜括企業與組織的機密資料，或是挾持高階主管的帳號、用於其他的網路攻擊行動，例如，進行商業郵件詐騙（BEC）。</p> <p>值得留意的是，最近幾年攻擊者偏好的標的，從微軟Exchange伺服器為主的情況，開始有駭客轉向開源的郵件伺服器與協作系統Zimbra，以及另一套名為Roundcube的郵件伺服器。</p> <p>其中，又以Zimbra的漏洞濫用活動較為頻繁，而且甚至出現攻擊者串連其他已知漏洞的現象。</p> <p>而在Google的研究人員公布的4起攻擊行動裡，駭客不約而同對政府機關下手，而有可能帶來嚴重的後果，其危害的程度不容小覷。</p> <p>雖然CVE-2023-37580僅被評為中度風險，但是，考量這項漏洞存在於電子郵件系統當中，並且已經出現實際的網路攻擊行動，再加上，此軟體具有開放原始碼特性，能滿足政府機關特定的稽核需求，因此，目前有許多公務機關採用。</p> <p>因此，即使漏洞本身的CVSS分數並不高，我們還是決定列於第6名的位置。</p> <p>而該漏洞也是本次入選的2023年十大資安漏洞當中，CVSS分數最低的漏洞，也是唯一嚴重等級被評為中度風險的資安漏洞。</p> <p>這也反映部分研究人員經年累月的呼籲，IT人員千萬別把CVSS分數當做評估修補順序的唯一指標，因為像是這種危險程度不高的漏洞，很有可能被IT人員延後安排修補，而讓攻擊者有更多時間能夠利用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞揭露源自於研究人員發出的警告，但當時尚未有修補程式</strong></span></span></p> <p>7月13日，Google威脅情報小組研究人員針對電子郵件系統Zimbra提出警告，他們發現已被用於攻擊行動的零時差漏洞，該漏洞與跨網站指令碼有關，當時Zimbra提出緩解措施，並呼籲IT人員儘速手動套用。</p> <p>到了26日，<a href="https://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.15/P41" target="_blank">Zimbra發布8.8.15 Patch 41</a>、9.0.0 Patch 34、10.0.2版修補上述漏洞，並指出該漏洞已被登記為CVE-2023-38750列管。</p> <p>而對於該漏洞的影響，Zimbra指出，如果不處理，將會導致內部JSP與XML檔案曝露。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>攻擊者疑似監控程式碼儲存庫，而能在更新程式推出前利用漏洞</strong></span></span></p> <p>事隔4個月、將近半年之後，Google也公布他們追蹤此項漏洞攻擊行動的結果。</p> <p>研究人員發現，自6月底開始有人將其用於攻擊行動，截至目前為止至少有4起，這些攻擊行動分別針對希臘、摩爾多瓦和突尼斯、越南、巴基斯坦而來，值得留意的是，其中有3起事故，是在修補程式推出之前就發生的。</p> <p>最早利用這項資安漏洞的攻擊行動，是針對希臘政府機關而來，對方向目標發送電子郵件，當中包含能觸發漏洞的URL網址，一旦目標人士維持登入Zimbra的狀態點選，就會啟動攻擊者的惡意框架，並且透過跨網站指令碼竊取電子郵件的資料，設定自動轉寄規則，之後能將這些郵件快速傳送至駭客的電子郵件信箱。</p> <p>第2起事故發生的時間點，則是在有人提供修補程式碼之後出現。Google向Zimbra開發團隊通報漏洞，7月5日有開發人員將修補程式碼上傳至GitHub，但11日傳出駭客針對摩爾多瓦和突尼斯政府機關的情況。</p> <p>而關於攻擊者的身分與來歷，其實，就是擅於針對Zimbra及Roundcube下手的駭客組織Winter Vivern，這是唯一研究人員公布攻擊者身分的事故。</p> <p>在25日Zimbra公開發布修補程式的前夕，研究人員看到另一起攻擊行動，這次的目標是越南政府機關，對方利用URL觸發漏洞，並將目標人士導向指令碼檔案，此檔案顯示能竊取電子郵件帳號的釣魚網頁，並將帳密傳送到攻擊者已入侵的另一個政府網域。</p> <p>最後一起則是發生在修補程式推出之後，遭到鎖定的目標是巴基斯坦政府，攻擊者利用漏洞竊取Zimbra的身分驗證Token，並傳送到特定的網域。</p> <p>研究人員指出，這些攻擊的不斷出現，突顯駭客不斷監控開放原始碼軟體專案的情況，因為在開發人員於GitHub推送修補程式、尚未向使用者正式提供這些軟體之前，就有人用於發起第2起漏洞攻擊行動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-EXPLOIT_TIMELINE_FOR_TAG-01_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:16px;"><strong>研究人員公布零時差漏洞發現的過程、Zimbra維護團隊處理的經過，以及4起攻擊行動發生的時間點，其中比較特別的是，在維護人員提交修補程式碼到新版軟體推出之前，有2組人馬將其用於攻擊政府機關。</strong>（圖片來源／Google）</span></span></p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162073
【回顧2023十大資安漏洞｜No.7：CVE-2023-28771】兆勤防火牆/VPN漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Zyxel-600-PNG.png" style="width: 600px;" /></p> <p>關於2023年度的第7大資安漏洞，我們認為是CVE-2023-28771，這項漏洞發生在兆勤（Zyxel）防火牆與VPN設備，不只被攻擊者用於散布殭屍網路病毒，也傳出能源關鍵基礎設施受害的情況。</p> <p>由於防火牆是防護內部網路環境、重要設備的主要防線，這類系統遭到鎖定的情況也相當常見，駭客更是無所不用其極利用這類設備的漏洞，企圖對其進行控制，或是突破防禦進入內部環境。</p> <p>而這項漏洞的突出之處在於，產品供應商將弱點資訊公布後，這項漏洞不僅隨即被用於攻擊，甚至後續攻擊者也串連該公司先前修補的另外兩個漏洞，增加利用CVE-2023-28771破壞威力。</p> <p>另一方面，由於這項漏洞在公布之後，也出現針對關鍵基礎設施發動攻擊的情況，而可能導致社會動盪，使該漏洞影響趨於廣泛。丹麥關鍵基礎設施電腦緊急應變小組（SektorCERT）指出，有超過20家丹麥能源關鍵基礎設施遭遇漏洞攻擊，究竟有多少駭客組織參與，目前仍不得而知。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞公開後傳出被用於攻擊行動</strong></span></span></p> <p><a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-remote-command-injection-vulnerability-of-firewalls" target="_blank">兆勤科技於4月底修補CVE-2023-28771</a>，CVSS風險評分為9.8。5月底研究人員提出警告，駭客針對兆勤修補的上述防火牆重大漏洞，發動大規模攻擊，如今態勢變得更加嚴重。</p> <p>5月下旬資安業者Rapid7提出警告，他們透過物聯網搜尋引擎Shodan，找到約4.2萬臺未修補的設備暴露在網際網路，而這項數字，並不包含未修補該漏洞且暴露在網際網路的VPN設備，因此實際可能成為攻擊目標的數量遠大於此。</p> <p>研究人員指出，這項漏洞存在網際網路金鑰交換（IKE）封包解密工具，此為Zyxel提供IPSec VPN服務的重要元件，即使IT人員並未啟用VPN功能也會曝險。研究人員指出，雖然截至2023年5月19日為止，尚未發現攻擊行動，但因為有大量設備存在上述漏洞，他們認為駭客很快就會對其下手。</p> <p>兆勤於6月2日發布資安通告指出，駭客不只利用CVE-2023-28771，5月底修補的兩個重大漏洞：CVE-2023-33009、CVE-2023-33010，也出現遭到利用的現象，該公司呼籲用戶儘速套用最新版本韌體，或暫時停用WAN連接埠的HTTP及HTTPS服務，以因應這樣的風險。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>多個關鍵基礎設施業者也因此遭遇攻擊</strong></span></span></p> <p>但值得留意的是，後續有更明確的資安事故傳出。</p> <p>先是資安業者Fortinet揭露Mirai殭屍網路變種Dark.IoT最新一波的攻擊行動，他們在今年6月看到鎖定兆勤科技防火牆及VPN設備而來的情況，攻擊者利用CVE-2023-28771來入侵目標系統，並使用curl或wget來下載指令碼並執行，以便下載專為MIPS架構打造的攻擊工具，最終目的是散播殭屍網路病毒Dark.IoT、綁架資安設備、將它們用於DDoS攻擊。</p> <p>而這項漏洞的危害範圍，甚至傳出擴及關鍵基礎設施的情況。</p> <p>對此，丹麥關鍵基礎設施電腦緊急應變小組揭露發生於今年5月的攻擊行動，當時，駭客利用兆勤科技防火牆重大漏洞CVE-2023-28771，取得22家當地經營能源關鍵基礎設施業者的存取權限，其中有11家隨即遭到入侵，攻擊者控制防火牆設備，進而存取該設備保護的關鍵基礎設施，執行惡意程式碼，回傳防火牆配置的詳細資料，此舉可能是進行偵察，以便決定下一步執行的攻擊手法。</p> <p>這起大規模攻擊從5月11日開始，間隔10天後於22日再度進行，SektorCERT得知其中成員透過不安全的連線，下載新版防火牆軟體。而關於攻擊者的身分，SektorCERT根據受害業者的網路流量，指出俄羅斯駭客組織Sandworm可能參與其中，但究竟有多少駭客組織參與攻擊行動？目前仍不明朗。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162074
【回顧2023十大資安漏洞｜No.8：CVE-2023-35078】Ivanti行動裝置管理平臺漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Ivanti-600-PNG.png" style="width: 600px;" /></p> <p>在2023年公布的零時差漏洞當中，有些往往是因為資安研究人員在調查事故的過程，意外發現駭客運用未曾揭露的手法，從而發現未被列管的漏洞，通報軟體業者進行修補。</p> <p>然而，裡面有個重大漏洞很特別，廠商雖然著手進行修補，卻並未公開，也沒透露已經被用於攻擊行動，直到研究人員公布廠商的文件，以及受害組織出面，才引起各界的關注。</p> <p>而這個產生公開揭露爭議的資安漏洞，就是存在Ivanti行動裝置管理平臺Endpoint Manager Mobile（EPMM，原名MobileIron Core）的危急漏洞：<a href="https://forums.ivanti.com/s/article/CVE-2023-35078-Remote-unauthenticated-API-access-vulnerability?language=en_US" target="_blank">CVE-2023-35078</a>，CVSS風險評為10分。</p> <p>身為受害者的挪威政府，表明他們因為CVE-2023-35078漏洞的關係，所以，導致12個機關使用的系統平臺遭到駭客入侵。</p> <p>恰巧在當局公布此事的同一天，Ivanti私下針對客戶提供修補程式及說明，且表示已有部分客戶遭到漏洞利用攻擊，當時，該公司並未直接對外界公開說明此事。</p> <p>值得留意的是，有許多國家的政府機關也採用EPMM，而使得這樣的漏洞影響範圍可能相當廣泛。</p> <p>然而，身為資安業者，當時Ivanti不僅不願公開漏洞資訊，甚至傳出有客戶詢問細節、卻被要求簽下保密協定（NDA）的情況，因而引起資安研究人員的撻伐。</p> <p>外界更是直到研究人員轉發看到的漏洞資訊，以及挪威政府證實遭駭的情況，才得知這項漏洞帶來的危險。</p> <p>基於這項漏洞引起的資安事故相當嚴重，且受害組織是政府機關，我們決定將其列入2023年的十大漏洞，不過因為後續並未傳出其他災情，所以，相較於其他影響範圍較為廣泛的漏洞，還是給予較為後面的排名。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞的揭露源於挪威政府的公告</strong></span></span></p> <p>這漏洞引起關注的原因，在於7月24日挪威安全與服務組織（DSS）證實，駭客利用第三方軟體的零時差漏洞發動攻擊，導致12個挪威政府機關採用的ICT平臺遭到入侵，DSS察覺攻擊行動之後，通報挪威國家安全局（NSM），接著該國警方著手調查。</p> <p>挪威資料保護局也被通報，得知駭客可能從ICT系統竊得敏感資料，12個部門員工無法用DSS行動應用程式辦公，這些人員若能透過電腦存取相關服務，則不受此狀況影響。</p> <p>而對於前述的零時差漏洞，挪威國家安全局透露是CVE-2023-35078，該漏洞存在於行動裝置管理平臺EPMM。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>事隔數日，另一個被同時利用的零時差漏洞公布</strong></span></span></p> <p>Ivanti於7月28日發布EPMM更新軟體，當中修補另一項漏洞<a href="https://forums.ivanti.com/s/article/CVE-2023-35081-Arbitrary-File-Write?language=en_US" target="_blank">CVE-2023-35081</a>，CVSS風險評為7.2分。此為路徑穿越漏洞，通過身分驗證的管理員能用來對EPMM伺服器寫入任意檔案。</p> <p>值得留意的是，該公司提及這項漏洞能與CVE-2023-35078搭配使用，進一步繞過管理員的身分驗證程序，以及存取控制列表（ACL）的管制。</p> <p>一旦成功同時利用上述2項漏洞，攻擊者就能對EPMM的實體寫入惡意檔案，進而透過名為tomcat的使用者來執行作業系統層級的命令。</p> <p>該公司透露，遭受CVE-2023-35078漏洞攻擊的客戶，攻擊者也同樣利用了CVE-2023-35081對其下手。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162075
【回顧2023十大資安漏洞｜No.9：CVE-2023-20198】思科IOS XE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Cisco-600-PNG.png" style="width: 600px;" /></p> <p>論及漏洞嚴重度，CVSS風險達到滿分（10分）的狀況並不常見，其中有一個在2023年10月公布的<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z" target="_blank">CVE-2023-20198</a>，具備極為容易利用的特性，導致該漏洞被公布之後，隨之而來的嘗試利用攻擊行動大幅增加，因而引起許多資安研究人員的關注。</p> <p>這項漏洞存在於思科網路設備作業系統IOS XE，使得執行這套作業系統的邊緣設備、聚合服務路由器、整合服務路由器等設備，都可能受到影響。</p> <p>但為何我們將CVE-2023-20198列為2023年度第9大漏洞？主要原因在於：該漏洞引發的攻擊行動過程相當離奇。首先，思科在著手調查之後，又發現第2個也被用於攻擊的零時差漏洞，後續駭客更替換植入這些設備的惡意程式，導致研究人員的偵測產生意外變化，因為受害設備的數量突然減少。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>思科發出自動派送修補程式的公告，揭露漏洞濫用活動</strong></span></span></p> <p>10月16日思科揭露網路設備作業系統IOS XE的重大漏洞CVE-2023-20198，影響啟用網頁介面（Web UI）及HTTP（或HTTPS）伺服器功能的網路設備，攻擊者若是成功利用該漏洞，就有機會在網路設備建立權限等級15的帳號，進而掌控整個系統，後續執行其他未經授權的惡意行動，因此，此漏洞的CVSS風險評為10分滿分。</p> <p>值得留意的是，當時思科並未提供修補程式，而是呼籲IT人員立即停用HTTP（及HTTPS）伺服器功能，阻斷駭客入侵的管道。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>恐有14萬臺設備曝險</strong></span></span></p> <p>在漏洞揭露的隔日，研究人員陸露揭露受害情形。漏洞情報業者VulnCheck提出警告，他們發現數千個遭到感染的IOS XE網頁介面，該公司亦提供檢測工具，讓網管人員能檢查設備是否遭到入侵。研究人員掃描了從物聯網搜尋引擎Shodan及Censys列出的半數裝置，約有1萬臺受到感染，但實際數量可能更多。</p> <p>另一家資安業者Aves Netsec研究人員指出，約有14萬臺思科裝置可能因此曝險。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>推翻原本的攻擊鏈，公布新的零時差漏洞</strong></span></span></p> <p>原本思科認為，攻擊者將上述漏洞串連另一個已知漏洞CVE-2021-1435，數日後他們推翻這樣的說法。</p> <p>10月20日該公司公布另一個零時差漏洞CVE-2023-20273，此漏洞也存在IOS XE網頁介面，屬於命令注入類型的漏洞，CVSS風險評分為7.2。</p> <p>一旦攻擊者成功利用，就有機會控制整個系統，並透過最高權限將惡意程式寫入。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>受害主機出現急速減少的怪異現象</strong></span></span></p> <p>在思科公布2個已被用於攻擊的零時差漏洞，研究人員陸續公布受害情形，但後續再度出現新的變化引起關注。</p> <p>根據10月22日資安新聞網站Bleeping Computer報導，有許多研究人員發現，感染後門程式的思科設備數量呈現不合理的劇烈減少現象，10月21日達到6萬臺的高峰，隔天卻突然降到只剩1,200臺。對此，有研究人員推測，可能是攻擊者更新後門程式造成。</p> <p>到了23日，資安業者Fox-IT證實了這個假設。他們表示，上述現象是因為駭客在受害裝置部署新版後門程式，數萬臺設備的後門程式已被更換，而這些後門程式會在回應前檢查HTTP標頭。</p> <p>研究人員指出，由於檢測舊版後門程式的方法未採用這種HTTP標頭，使得新後門程式不予回應，進而導致這些受害設備被誤判，連帶使得檢測系統以為惡意程式已完全清除。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162076
【回顧2023十大資安漏洞｜No.10：CVE-2023-2868】Barracuda郵件安全閘道設備漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Barracuda-600-PNG.png" style="width: 600px;" /></p> <p>論及2023年重大漏洞資安事故，在5月下旬，資安廠商Barracuda Networks公布的郵件安全閘道（ESG）漏洞<a href="https://www.barracuda.com/company/legal/esg-vulnerability" target="_blank">CVE-2023-2868</a>，引發一些風波，因此，許多國外媒體都會列入年度資安事故，而且，後續漏洞處理作法很特別，因為，廠商最終竟透過更換設備的方式來緩解攻擊行動，這種做法前所未見。</p> <p>考量到此郵件安全閘道系統並未在臺灣市場受到廣泛採用，因此我們將其列為2023年第10大漏洞。不過究竟該漏洞攻擊行動受害範圍有多大？目前仍然沒有研究人員或主管機關透露相關資訊。</p> <p>身為資安業者，旗下產品卻出現如此嚴重的問題，而且該裝置又是負責為企業過濾郵件的重要環節，一旦遭到控制，很有可能無法發揮應有的功能，尤其現在有許多的資安事故當中，攻擊者往往透過郵件來接觸目標，若是這類系統失去把關的作用，惡意郵件就會直接送到使用者信箱，而可能造成危害。</p> <p>另一方面，有別於其他廠商處理漏洞的方式，Barracuda竟然是採取更換設備來進行，也突顯該公司可能在產品設計當中存在極為棘手的瑕疵，而無法單純透過軟體更新，或要求IT人員回復原廠設定等常見做法，解決漏洞的危害。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>事件的揭露源自於自動派送修補程式的公告</strong></span></span></p> <p>2023年5月20日、21日，Barracuda修補CVE-2023-2868，該漏洞影響ESG設備，攻擊者可用於遠端注入命令。</p> <p>該公司於30日公布前述的漏洞攻擊細節，當時得知駭客所使用的惡意程式包括Saltwater、Seaspy、Seaside，但他們直到5月18日，才收到相關異常流量的警報，尋求資安業者Mandiant協助，並於19日確認是CVE-2023-2868。當時，該公司主動通知遭到攻擊的用戶。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞揭露後出現二波攻擊行動</strong></span></span></p> <p>事隔近1個月，協助調查的資安業者Mandiant公布更多細節，指出攻擊者的身分是中國資助的駭客組織UNC4841。</p> <p>但研究人員也提到，Barracuda派送修補程式企圖遏止駭客行動後，對方迅速更換惡意軟體因應，並於5月22日至24日，發動高頻率攻擊，至少有16個國家的組織受害，其中有三分之一是政府機關。</p> <p>這樣的情況，也使得Barracuda採取罕見的手法來因應：要求用戶更換設備。</p> <p>到了8月，Mandiant公布新的調查結果，他們指出駭客為了持續在特定受害組織活動，在6月上旬連帶運用更多惡意程式，包括kipjack、Depthcharge、Foxtrox、Foxglove。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>受害產業橫跨政府機關及高科技產業，臺灣也有組織遇害</strong></span></span></p> <p>而對於這起攻擊的目標，研究人員表示，近三分之一是政府機關、高科技產業及資訊業者、電信業者、製造業，而且，臺灣及香港的貿易辦公室與學術研究機構，以及東南亞國協的外交部，都在受影響的範圍，因為這些單位的網域名稱及使用者，都遭到鎖定，駭客利用Shell指令碼發動攻擊。</p> <p>此外，研究人員也對這起漏洞攻擊的流程，提出更詳細的說明。駭客組織UNC4841於2022年10月至2023年6月，利用CVE-2023-2868發動攻擊，並在11月上旬開始出現顯著升溫的情況，僅有農曆新年略為下降。</p> <p>而到了5月23日Barracuda發布資安通告之後，這類攻擊行動又出現2波。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162079
【資安日報】4月2日，CISA傳出向美國政府報告Ivanti系統遭到入侵的事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初Ivanti公布一連串Connect Secure、Policy Secure漏洞，再度震撼全球資安界，有研究人員不斷發現相關攻擊行動，但截至目前為止，鮮少企業組織證實遭到相關攻擊，不知該慶幸沒事或擔心有後遺症。</p> <p>直到3月上旬，傳出美國網路安全暨基礎設施安全局（CISA）所屬的Ivanti伺服器遭到入侵，導致其中2個系統被駭，等於證實上述漏洞的確產生衝擊，而在3月底，該機構也向數個政府機關報告此事細節。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cyberscoop.com/ivanti-linked-breach-of-cisa-potentially-affected-more-than-100000-individuals/"><strong style="font-size: 22px;">CISA的Ivanti伺服器遭駭客入侵，10萬人恐遭到波及</strong></a></p> <p></p> <p>Ivanti自1月上旬至2月初，揭露Connect Secure、Policy Secure多個漏洞，並出現多起漏洞利用攻擊事故，3月上旬傳出美國網路安全暨基礎設施安全局（CISA）遇害，現在又有新的消息出現。</p> <p>根據資安新聞網站CyberScoop的報導，3月29日CISA向主管機關通報資安事故，攻擊者透過Ivanti系統的漏洞，入侵化學資安評估工具（Chemical Security Assessment Tool，CSAT），以及關鍵基礎設施資安資訊工具CISA Gateway，估計有超過10萬人受到影響。</p> <p>CISA執行長Brandon Wales透露，根據他們的調查結果，攻擊者在CSAT部署了Web Shell，導致系統失去控制，所幸CISA Gateway沒受到太大影響，且並未被植入Web Shell。他們在1月11日套用Ivanti的緩解措施，並透過該公司的完整性檢查工具進行檢查，到了26日，他們發現CSAT遭駭，攻擊者已經存取該系統有2天之久。Brandon Wales指出，這些攻擊者能繞過Ivanti的緩解措施，並能迴避完整性檢查工具的偵測。</p> <p><a href="https://www.jamf.com/blog/infostealers-pose-threat-to-macos/"><strong style="font-size: 22px;">駭客鎖定macOS使用者，利用惡意廣告、視訊會議傳播竊資軟體</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/infostealers-jtl-03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/infostealers-jtl-03.png" style="width: 300px; float: right;" /></a>資安業者Jamf揭露近期鎖定macOS用戶的竊資軟體攻擊，其中一起是假借提供<a href="https://www.ithome.com.tw/node/157945">新興瀏覽器Arc</a>的名義，透過Google廣告將搜尋這款瀏覽器的使用者帶往冒牌網站，一旦使用者依照指示下載、安裝對方提供的DMG檔案，電腦就有可能被植入竊資軟體Atomic Stealer。特別的是，為了迴避偵測，上述的冒牌網站無法直接存取，必須透過攻擊者特製的贊助商連結才能瀏覽。</p> <p>另一起攻擊駭客則是聲稱對加密貨幣感興趣，透過社群網站向目標發送訊息，然後假借錄製播客（Podcast）或是討論求職，要求透過名為Meethub的應用程式進行線上會議，若是macOS用戶照做，他們的電腦就會被植入竊資軟體。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-ray-framework-flaw-to-breach-servers-hijack-resources/"><strong style="font-size: 22px;">人工智慧框架Ray漏洞遭到鎖定，攻擊者挾持運算能力挖礦、竊取機敏資料</strong></a></p> <p>去年11月<a href="https://www.anyscale.com/blog/update-on-ray-cves-cve-2023-6019-cve-2023-6020-cve-2023-6021-cve-2023-48022-cve-2023-48023">Anyscale公布人工智慧框架Ray的漏洞</a>CVE-2023-6019、CVE-2023-6020、CVE-2023-6021、CVE-2023-48022、CVE-2023-48023，其中該公司並未處理CVSS風險評分達9.8的危急漏洞CVE-2023-48022，理由是他們並未在長期設計規畫的考量中，將身分驗證機制內建到這個AI框架當中，該公司甚至認定這並非漏洞而結案，然而CVE-2023-48022已被用於攻擊行動。</p> <p>資安業者Oligo揭露名為<a href="https://www.oligo.security/blog/shadowray-attack-ai-workloads-actively-exploited-in-the-wild">ShadowRay</a>的攻擊行動，這波攻擊從去年9月5日開始出現，鎖定教育、加密貨幣、生物製藥等行業而來，研究人員發現數千臺能透過網際網路存取的Ray伺服器遭到入侵，被用於干擾或竄改機器學習模型、竊取設備與資料庫帳密、SSH私鑰，以及OpenAI、HuggingFace、Stripe、Slack等服務的Token，甚至有機會以root權限存取AWS、GCP、Azure雲端環境，也有被用於挖礦的現象。</p> <p>研究人員指出，由於CVE-2023-48022被列為有爭議的漏洞，許多漏洞資料庫並未提供相關資訊，靜態掃描工具也不會顯示這項漏洞的資訊，使得許多IT人員不會留意這個漏洞帶來的威脅。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://pwning.tech/nftables/"><strong style="font-size: 22px;">Linux核心元件Netfilter存在權限提升漏洞Flipping Pages</strong></a></p> <p></p> <p>研究人員Notselwyn揭露Linux權限提升漏洞Flipping Pages，此漏洞存在於Linux核心5.14至6.6.14，Debian、Ubuntu、Red Hat、Fedora等版本的Linux作業系統都會受到影響。</p> <p>攻擊者若趁機取得一般使用者權限，並觸發漏洞，就有機會得到root權限，從而進一步對電腦上下其手，CVSS風險評分為7.8，並登記為CVE-2024-1086列管，Linux基金會於今年1月予以修補。</p> <p>該漏洞發生的原因，在於Linux核心的netfilter元件裡，處理網路封包、資料封包的nftables出現記憶體雙重釋放（double-free）的弱點，而有可能導致當機，或是讓攻擊者執行任意程式碼，研究人員在搭載6.4.16版Linux核心的電腦進行測試，結果成功率達到99.4%。</p> <p><a href="https://www.bleepingcomputer.com/news/security/decade-old-linux-wall-bug-helps-make-fake-sudo-prompts-steal-passwords/"><strong style="font-size: 22px;">研究人員揭露WallEscape漏洞，攻擊者可對Linux電腦產生假的Sudo提示、竊取管理員密碼</strong></a></p> <p></p> <p>研究人員Skyler Ferrante揭露名為WallEscape的漏洞，這項漏洞發生在Linux作業系統的util-linux套件，未經授權的攻擊者，有機會藉由wall命令的弱點，竊取用戶密碼，甚至是竄改剪貼簿的內容，該漏洞被登記為CVE-2024-28085，3月27日開發團隊推出2.40版util-linux修補。</p> <p>研究人員指出，wall指令的主要用途，是在Linux作業系統當中，對所有登入的使用者進行終端廣播，上述漏洞發生的原因，是命令列處理輸入的參數時出現跳脫序列（Escape sequence）過濾不當的情況，使得未經授權的攻擊者能濫用特定字元在其他用戶的終端機上假造Sudo命令，誘使他們輸入管理者密碼。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://media.defense.gov/2024/Mar/28/2003424523/-1/-1/1/DOD_DOB_CS_STRATEGY_DSD_SIGNED_20240325.PDF"><strong style="font-size: 22px;">五角大廈制訂國防工業基地的網路安全戰略</strong></a></p> <p></p> <p>3月28日美國五角大廈首度針對國防工業基地（Defense Industrial Base，DIB）發布網路安全戰略，計畫要在2024至2027財年實現4大目標，這些目標包含：</p> <p>（一）強化國防部（DoD）的治理架構，從而促進國防工業基地資安；<br /> （二）強化國防工業基地資訊安全態勢；<br /> （三）在網路競爭的環境維持國防工業基地韌性的關鍵能力；<br /> （四）改良與國防工業基地之間的資安協作。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://lasso-security.webflow.io/blog/ai-package-hallucinations"><span style="font-size: 20px;">研究人員透過大型語言模型散布不存在的軟體套件</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/retail-chain-hot-topic-hit-by-new-credential-stuffing-attacks/"><strong style="font-size: 20px;">服飾連鎖品牌Hot Topic遭遇帳號填充攻擊，鎖定客戶忠誠度獎勵帳號下手</strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/shopping-platform-pandabuy-data-leak-impacts-13-million-users/"><strong style="font-size: 20px;">代購平臺PandaBuy傳出資料外洩，波及逾130萬用戶</strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/yacht-retailer-marinemax-discloses-data-breach-after-cyberattack/"><strong><span style="font-size: 20px;">遊艇經銷商MarineMax遭遇網路攻擊，證實資料外洩</span></strong></a></p> <p><a href="https://therecord.media/sellafield-site-prosecution-nuclear-facility-cybersecurity"><strong><span style="font-size: 20px;">英國核電廠因網路安全稽核缺失遭到起訴</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162054"><strong>【4月1日】發現潛伏三年的供應鏈攻擊事件，程式庫XZ Utils近期被植入後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162031"><strong>【3月29日】殭研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162015"><strong>【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</strong></a></p> </div></div></div>
2024/4/2 16:32作者周峻佑https://www.ithome.com.tw/news/162102
GovTech月報第28期：數位部規畫以海陸空多元異質通訊網路強化我國通訊服務韌性；美國落實AI治理，要聯邦機構設AI長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0301~0401)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">通訊韌性</span></font></strong></p> <p><strong><span style="font-size:22px;">數位部：建置災難漫遊、救災緊急通訊系統、低軌衛星等強化我國通訊網路韌性</span></strong></p> <p>為強化臺灣在災害及緊急情況下仍能保持通訊網路，數位部宣布正推動幾項計畫，包括建立災難漫遊機制，政府救災緊急通訊系統（PPDR），以及境外低軌衛星通訊等政策，以確保民眾通訊權益及政府指揮調度。</p> <p>目前數位部幾項具體做法，確保在緊急情況發生時，運用陸地、海洋、天空等各種通訊手段，確保民眾通訊權益及政府救災指揮調度需求，其中包括在平時強化海纜韌性建設，另外，當國內發生區域性網路服務中斷，建立災難漫遊機制，確保民眾的通訊權益；政府方面，基於救災緊急應變需要，推動救災專屬公共安全與救難應變通訊系統（PPDR）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/com(1).jpg" style="width: 600px; height: 314px;" /></p> <p>數位部也針對通訊傳播領域關鍵基礎設施（CI），督導業者針對天災、恐攻或駭客攻擊來強化防護措施，除了事前的預防，還包括事中的偵測、通報應變，以及事後的復原等，並提供業者全天候資安事件通報機制，並將情資分享其他業者。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>強化AI治理，美國要求聯邦機構設AI長CAIO</strong></span></p> <p>美國政府大力擁抱AI的同時，也希望降低AI可能帶來的負面衝擊，美國管理及預算辦公室(OMB)近期要求聯邦機構設立AI長(Chief AI Officer, CAIO)，以主導及推動AI政策。</p> <p>OMB這項要求主要是遵循美國總統拜登發布的行政命令而來，解決AI帶來的風險，擴大AI透明度，推動負責任的AI創新，培養AI人才，強化AI治理，設立CAIO就是在滿足AI治理的目標，主導及監督聯邦機構使用AI。依據OMB的要求，各聯邦機構得在60天內指定CAIO。</p> <p>美國政府的做風通常具有指標性的意義，為其他國家或組織所參考。這項要求，在傳統常見的資訊長、資料長、技術長之外，多了一個專責AI治理的AI長。不過，OMB並沒有要求新設立，CAIO可指定由既有官員兼任，理想人選例如資訊長、資料長、技術長等。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">高雄</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位孿生</span></font></strong></p> <p><span style="font-size: 22px;"><strong>高雄市以數位孿生、AIoT打造城市工務管理暨決策輔助平台，強化城市數位治理</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/hospital-2.jpg" style="width: 600px; height: 330px;" /></p> <p>為強化城市治理，高雄市政府與國家地震工程研究中心合作，結合數位孿生、大數據、AIoT等技術，打造城市工務管理暨決策輔助平臺，以輔助市府工務管理及城市治理決策。</p> <p>目前該平臺先以小範圍，包括左營區華夏大中路口、榮總大中路口及高楠霞海路口的1.5平方公里三角形區域，以及六龜區一處新建橋梁為示範場域，雖然初期只有小範圍，但高雄市政府的目標是在未來逐漸擴大至高雄市所有範圍，更全面地提供市府城市治理決策輔助。</p> <p>為了打造數位孿生，高雄市政府工務局整合各項IoT數據，建物結構安全監測、地下管線資訊、道路挖掘路證與即時施工影像、智慧路燈、建物碳與水足跡計算與監測、建物建造資料、重大工程資料、民族路共同管道、防救災重要道路地震阻斷風險分析、邊坡橋梁監測以及水利局所建置之都市淹水感知器等，加上空拍、光達3D點雲、建築3D建模，以提高市府在工務管王、防救災應變決策。</p> <p>該平臺還整合高雄榮總的智慧水、電錶數據，在建築結構安全方面，也利用加速度計，當發生地震時，可偵測建物的振動頻率，推估建物的災損程度，供救災規畫參考。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">濟州島</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>濟州島用AI主播報新聞，由ChatGPT撰寫腳本</strong></span></p> <p>地方政府發布新聞，通常以文字訊息為主，如果要製作新聞畫面，需要聘請主播、製作、採訪團隊，需要投入較大的成本，對政府單位而言並不容易。濟洲島政府近期開始用AI主播報新聞，並由ChatGPT撰寫腳本，透過這樣的方式減少成本。</p> <p>濟洲島政府是在YouTube的官方頻道Weekly Jeju，透過AI主播J-na來播放當地新聞及地方政府的動態，J-na高度模擬真人主播，搭配簡單的手勢動作，新聞播報時的旁白語氣和真人相仿，據瞭解，濟州島政府使用AI主播，每月只要支出韓幣60萬元，相當於台幣約1.4萬元，相較於雇請真人來播報，節省不少的支出成本。</p> <p>不只如此，新聞播報內容腳本也是由ChatGPT產生。類似AI主播、AI生成內容腳本，當相關技術成熟，成本降低，運用AI不再是大型政府或企業專利，更多的地方政府或中小型企業也可以採用。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">澳洲</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font></strong></p> <p><span style="font-size:22px;"><strong>澳洲參議院通過數位身分草案，為今年中全國性數位身分制度上路作準備</strong></span></p> <p>澳洲政府推動數位身分草案，近期在參議院以33票對26票獲得通過，接下來將在下議院審核後，將正式成為法律，為今年中澳洲政府將推動的全國性數位身分計畫作好準備。</p> <p>為使該法案獲得通過，澳洲政府通過27項政府修正案，以及16項綠黨修正案，確保新的數位身分框架基於完全的自願使用，加強隱私保護，另外，加速政府推動數位身分框架擴展到民間部門。在在野黨的督促下，確保未來推動的數位身分框架並非強制性，民眾可選擇不使用，此外，還加強對個資、生物特徵資料的保護，同時制定更廣泛的存取方式及補救計畫。</p> <p>換言之，澳洲政府推動的數位身分計畫，不能強迫民眾使用數位身分證，參與數位身分計畫的機構，針對不願意使用數位身分證的民眾，仍必需保留紙本文件驗證方式。另外，草案也完備資料保護及補救措施，例如執法單位存取數位身分框架的資訊，在未經個人同意下啟用已被停用的數位身分證。</p> <p>澳洲政府強調未來透過數位身分證，澳洲民眾使用線上服務驗證身分提供更好的方式，此外，使用者的個人身分資料可以更好地被保護，避免身分遭詐騙所冒用，或是偽造身分證件，有助於打擊詐騙等不法行為。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">高雄</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>結合AI及雲端運算，高雄市強化大型活動人流分析管理</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20AI%E8%BE%A8%E8%AD%98%E7%85%A7%E7%89%87.jpg" style="width: 600px; height: 456px;" /></p> <p>演唱會、燈會等大型活動舉辦，往往吸引許多民眾前往參加，活動現場的周邊人流、周邊的交通疏運管理成為市政管理的一道難題。高雄市政府近期與電信業者、國際雲端服務商合作，驗證以AI及雲端運算技術打造AI人潮監測平臺，以分析活動會場人流，以及周邊的交通路況及公共運輸載具情形。</p> <p>AI人潮監測平臺結合電信業者的電信信令數據，以及部署在雲端的AI人潮偵測系統，利用2月初在高雄國家體育場舉辦的大型活動，於3處入口部署AI人潮偵測系統，利用AI辨識人形、計算人數，在雲端架設監控平臺，結合現場影像畫面及人潮統計數據，並利用雲端服務管理調配資源。</p> <p>傳統上，舉辦大型活動吸引的人數愈多，活動結束後疏運時間也隨之增加，為市府交通管理一大挑戰。高雄市政府交通局利用新一代的智慧運輸系統匯整各項交通數據，透過AI輔助交通管理決策，整合大數據，在儀表板展示路況、捷運、停車、人潮等即時資訊，在導入該系統之前，大型活動結束後人潮疏運約需2小時，導入系統後縮短至90分鐘內，達到活動人數增加，疏運時間減少的目標。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">新竹市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">停車管理</span></font></strong></p> <p><span style="font-size:22px;"><strong>新竹市導入智慧型手機、5G提高路邊停車開單效率</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/03-1.jpg" style="width: 600px; height: 450px;" /></p> <p>路邊停車管理人員使用PDA輔助開單，有電池續航力、設備重量、網路較慢、輸入車牌誤植等問題，新竹市政府從4月開始，導入智慧型手機IPhone 15，結合5G上網，來提升路邊停車開單作業效率。</p> <p>新竹市政府交通處表示，傳統停車開單，停管人員需攜帶PDA、印表機，因續航力不足，不足以應付長時間使用需要，還需攜帶多顆備用電池，且PDA開單拍照對焦慢、夜間拍攝效果較差，影響開單作業效率。</p> <p>因應新竹市政府委托業者，為停車開單導入iPhone 15，結合智慧型手機輕薄、高續航力，以及5G的高速上網，並針對停管開單作業需要，客製化介面及防呆設計，加上相機對焦快速、AI辨識車牌僅需1到2秒，提高作業效率，也能避免誤植錯誤。交通處表示，新的智慧型手機停車開單，將納入新竹市的路邊停車管理系統，結合智慧停車柱的即時資訊，將讓停車實現行動化、智慧化、數據化，除了讓民眾掌握停車動態，市府也可取得停車大數據作為決策參考。</p> <p> </p> <p>圖片來源／數位部、高雄市政府、新竹市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.南投縣結合自駕車接駁打造智慧觀光</strong></p> <p><strong>2.高雄市加速智慧停車格建置，未來2年將建置近4萬車格</strong></p> <p>資料來源：iThome整理，2024年3月</p> </div></div></div>
2024/4/2 15:04作者蘇文彬https://www.ithome.com.tw/news/162077
Google同意銷毀Chrome無痕模式的瀏覽資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Chrome用戶在2020年<a href="https://www.ithome.com.tw/news/138058" target="_blank">集體控告Google</a>，指控即使採用了Chrome的無痕模式（Incognito mode），依然遭到Google追蹤，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.360374/gov.uscourts.cand.360374.1096.0_1.pdf" target="_blank">Google本周向法院提出和解協議</a>，承諾將刪除所蒐集的瀏覽資料，也將允許無痕模式用戶預設即封鎖第三方Cookie。</p> <p>一般而言，在啟用無痕模式之後，Chrome就不會儲存使用者的瀏覽紀錄或在表格中所輸入的資料，而且在瀏覽當時所使用的cookies與網站資料，也都會在退出無痕模式之後全數刪除。但使用者卻發現，即便進入了無痕模式，Google依然允許Google Analytics、Google Ad Manager、其它應用程式或網站外掛來蒐集使用者資料，進而了解使用者的搜尋字串、交友與消費習慣，於是在2020年提出集體訴訟，指控Google違反美國的竊聽及隱私法令，亦要求Google賠償每名用戶5,000美元。</p> <p>本周Google針對Chrome無痕模式的作法提出和解方案，包括將於隱私政策及在啟用無痕模式時揭露所蒐集的用戶資料；亦同意刪除於無痕模式所蒐集的數十億筆紀綠；至少在未來5年內都將允許使用者於無痕模式中的預設值即封鎖第三方Cookie；也會移除用來偵測使用者是否採用無痕模式的程式碼，意味著未來Google將不會得知使用者是否選擇了無痕模式。</p> <p>此一和解協議並未涵蓋用戶所要求的金錢賠償，但用戶依然可另外提出訴訟來主張損害賠償。</p> </div></div></div>
2024/4/2 13:56作者陳曉莉https://www.ithome.com.tw/news/162081
Angular將合併Google內部用Wiz框架，強化伺服器端渲染能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://blog.angular.io/angular-and-wiz-are-better-together-91e633d8cd5a">宣布</a>將開始合併Angular與Wiz兩個框架，以滿足現代網頁應用程式開發的混合需求，使得Angular在提供豐富互動性的同時，也能擁有高效能。Google預計將Wiz功能逐步透過Angular開源，而Google表示，這項計畫的主要目標，還是在於改進Angular框架。</p> <p>Wiz是Google內部的一個網頁框架，主要用於開發注重效能的重要應用程式，像是Google搜尋這類盡可能快速呈現結果，互動性相對較低的應用程式。Angular則是一個優先考慮開發人員體驗和複雜使用者介面的框架，專門用於開發需要高度互動的應用程式，像是Google Gemini和Google Analytics皆是使用Angular開發。</p> <p>Google考量還有許多用戶使用慢速網路或是低階裝置存取Google應用程式，因此在於控制初始載入延遲和JavaScript的量相當講究。而Wiz框架透過多種方式提升這些用戶的使用體驗，主要是採用伺服器端渲染（Server-Side Rendering，SSR）讓頁面上所有內容，包括互動元件，都以高度最佳化的串流解決方案渲染，消除大部分渲染用的JavaScript。Wiz只載入頁面上實際呈現的互動元件程式碼，而為了避免客戶端丟棄使用者事件，Google會在客戶端嵌入一個小型函式庫，來監聽使用者事件並進行重播。</p> <p>雖然Wiz所提供的伺服器端渲染優先應用程式開發方法，可以提供終端用戶最佳效能，但是在具有高度互動的應用程式，卻會大幅增加開發人員的複雜。而且即便是追求高效能的應用程式，也需要提供更多的互動功能，才能保持使用者的參與度。</p> <p>根據HTTPArchive資料，過去6年間JavaScript的程式碼在桌面上成長37％，而在行動裝置也成長了36％以上，Google指出，高度互動的應用程式使用越來越多的JavaScript，而這明顯影響了網頁程式效能。綜合網頁開發目前面臨的混合需求，Google決定整合Angular與Wiz各自的優勢，讓Angular開發人員不需要在開發體驗和效能間抉擇。</p> <p>在實作中，目前Angular改進的成果包括可延遲視圖（Deferrable View）以及部分Hydration的功能，都來自於Wiz精細程式碼載入以及事件委派函式庫的衍生。同時，Wiz則加入Angular管理和更新使用者介面的Signals函式庫，採用了更傾向宣告式的介面更新機制，當資料變化時，與資料相關的使用者介面才會更新，高精細度的更新策略使得應用程式可以更快地回應用戶操作，減少不必要的計算和渲染。</p> <p>Google的長期目標是要合併Angular和Wiz，這個過程會長達數年，透過逐漸在Angular開源Wiz功能，最終完成合併。</p> </div></div></div>
2024/4/2 14:02作者李建興https://www.ithome.com.tw/news/162078
全球Office 365/Microsoft 365 Enterprise將不再包含Microsoft Teams
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/licensing/news/Microsoft365-Teams-WW" target="_blank">微軟周一（4/1）宣布</a>，將比照去年在歐盟及瑞士<a href="https://www.ithome.com.tw/news/158559" target="_blank">所實施的政策</a>，於全球鬆綁Microsoft Teams，未來Office 365/Microsoft 365 Enterprise訂閱方案將不再包含Teams，將Teams獨立銷售。</p> <p>Microsoft Teams是微軟在2017年推出的團隊協作軟體，也是Microsoft 365及Office 365的產品家族成員之一，然而，Salesforce旗下的同質性產品Slack在2020年向歐盟投訴，指控微軟濫用Office的市占優勢來推廣Teams，歐盟在去年7月正式對此展開調查，微軟同年8月即宣布要在歐洲經濟區及瑞士鬆綁Teams。</p> <p>本周微軟則是把此一政策擴大至全球市場。舊用戶可以沿用原來的訂閱模式，也可切換至新模式，但未來新用戶將無法再購買包含Teams的Office 365 E1、Office 365 E3、Office 365 E5、Microsoft 365 E3 和 Microsoft 365 E5，如果想要提供Teams給使用者，必須購買兩個SKU，一套Microsoft 365（或Office 365），再額外訂閱Microsoft Teams Enterprise。</p> <p>不過，此一完全隔離Teams的政策似乎只適用於Office 365/Microsoft 365 Enterprise方案，不管是Frontline或Microsoft 365 Business的新用戶都依然可以訂閱包含Teams的版本，也可訂閱不含Teams的版本，採行新舊方案並存的策略。此外，該政策亦未影響一般消費者、學術界、美國政府或非營利組織。</p> <p>Slack現身於2013年，在2017年Teams上線前是市場上的主流協作平臺，但<a href="https://www.ithome.com.tw/news/131808" target="_blank">Teams於2019年下半年就超越Slack</a>，即使2020年Slack即向歐盟投訴，歐盟卻直至去年才展開調查，此時微軟早已取得了明顯的領先優勢。</p> <p><a href="https://techcrunch.com/2024/04/01/as-microsoft-unbundles-teams-it-might-not-have-the-impact-on-slack-you-think/" target="_blank">《TechCrunch》</a>引用各方分析師的看法指出，微軟此舉一方面可迎合監管機構的要求，另一方面還能開拓新市場，推動那些沒有訂閱Office/Microsoft 365的組織採用Teams，對Slack的幫助有限。</p> </div></div></div>
2024/4/2 11:26作者陳曉莉https://www.ithome.com.tw/news/162070
ChatGPT不需登入也可使用了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/start-using-chatgpt-instantly" target="_blank">OpenAI昨（1）日宣布</a>，即日起開放用戶免登入使用AI聊天機器人ChatGPT，但用戶最好記得設定不讓OpenAI蒐集使用資訊。</p> <p>OpenAI表示會漸漸將設定推展到全球，讓所有人都不再需要登入帳號就可使用ChatGPT。該公司也提醒，可能會使用用戶輸入到ChatGPT的資訊，以訓練底層模型。不希望被蒐集互動紀錄的用戶需到設定頁關閉這項設定。</p> <p>但OpenAI仍然推薦用戶建立帳號，因為用戶可儲存、檢視和分享對話紀錄。此外，某些功能也需要登入帳號才能使用，如語音對話、自訂指令等。</p> <p>為了防止GPT模型被濫用，OpenAI也為ChatGPT新增內容防護，像是封鎖特定提示及生成不適切、惡意或有害的內容。</p> <p>從2022年11月以測試版上線以來，ChatGPT成為成長最快的服務。不到1個月就累積100萬用戶，2個月就突破1億。OpenAI說現在ChatGPT用戶遍及185國，每周平均用戶超過1億。<a href="https://www.demandsage.com/chatgpt-statistics/" target="_blank">分析機構估計</a>截自2024年3月，ChatGPT每月用戶為1.8億。</p> <p>去年OpenAI執行長Sam Altman在其首次開發者用戶大會上<a href="https://www.theverge.com/2023/11/6/23948386/chatgpt-active-user-count-openai-developer-conference" target="_blank">也宣布</a>，到去年11月為止，該公司平臺上有高達近200萬開發人員，包含92%的財星500大企業員工。</p> </div></div></div>
2024/4/2 09:14作者林妍溱https://www.ithome.com.tw/news/162066
Google將生成式AI技術用於天氣預報，不只高效且更能預測極端天氣事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發表最新的天氣預報研究，其採用一種稱為機率擴散模型（Probabilistic Diffusion Model）的生成式人工智慧技術，開發出<a href="https://blog.research.google/2024/03/generative-ai-to-quantify-uncertainty.html">SEEDS（Scalable Ensemble Envelope Diffusion Sampler）</a>天氣預報模型。SEEDS可以有效地大規模產生天氣預報系集（Ensemble），成本僅為傳統物理預報模型的一小部分，而這是原本僅被用於生成式人工智慧應用的機率擴散模型，在天氣預報上的創新應用。</p> <p>機率擴散模型是一種基於機器學習的生成式人工智慧技術，模型的運作主要分為二步驟，第一步驟是添加雜訊，從原始資料逐步增加隨機雜訊，直到資料完全變成隨機雜訊，這個過程被稱為前向擴散，以圖片當作例子，就像是在一張清晰的圖片逐漸添加雜訊點，直到圖片上滿是隨機雜訊。</p> <p>第二步驟則是移除雜訊，機率擴散模型進行反向擴散，學習將充滿雜訊的資料移除雜訊，最終恢復出接近原始資料的新資料。同樣以圖片為例，也就是清理滿是雜訊的圖片，嘗試恢復出原來的景物，或是創造出全新的圖片。</p> <p>機率擴散模型中的機率性，指的便是去雜訊的過程，模型在每一步都會考慮多種去雜訊的可能路徑，每一條路徑都可能產生略有不同的結果。這代表即便機率擴散模型處理非常相似的雜訊資料，最後也能生成多種且高品質的資料樣本。</p> <p>機率擴散模型的這種能力，使其成為可以生成高度複雜且多樣化資料的強大工具，而在天氣預報的應用中，就能夠從有限的初始預測出發，生成一系列可能的未來天氣狀況，也就是系集預報，反應未來天氣的不確定性和多樣性。</p> <p>科學家在創建天氣預報系統的時候，需要將天氣混沌（Chaos）的特性考慮進去。即便是微小的初始條件差異，隨著時間的推移便會呈現指數增長，人們之所以無法對天氣進行單一預測，是因為單是一個預測，並無法量化天氣的不確定性。</p> <p>為了適應這種不確定性，天氣預報組織在計算系集預報時，會於在初始條件加入合成雜訊，以及在物理過程加入隨機性，利用天氣模型中快速的錯誤增長率，使得系集中的預測各有不同，進而量化天氣條件的不確定性。</p> <p>雖然機率預測是有效的，但是要生成這些預測，需要在大型超級電腦上，執行多次高度複雜的數值天氣模型，而這是一個非常耗費運算資源的過程，許多天氣預報組織，只能負擔生成大約10到50個系集成員的規模，而這個數量可能不足以用來評估罕見且高度影響天氣的事件，研究人員表示，要評估罕見氣候事件需要更大的系集，使用一萬個成員組合的系集，可能才有辦法預測到發生機率為1％的事件。也就是說，成員少於100的系集，不可能可以預測出極端天氣事件。</p> <p>而Google研究人員所開發的SEEDS，效能遠超過數值天氣預報系統，並且可以根據數值天氣預報系統一到兩次的預報，產生大型系集。SEEDS生成的系集能夠提供與真實情況類似的可信預測，特別是在預測極端天氣事件的準確度上，SEEDS表現也非常出色。</p> <p>最重要的是，與需要超級電腦耗費數小時運算的傳統天氣預測相比，SEEDS模型的計算成本幾乎可以被忽略，在Google雲端TPUv3-32執行個體上，每3分鐘可以產生256個系集成員，藉由部署更多的加速器，就可以擴展更高的吞吐量。</p> <p>SEEDS的具體貢獻在於利用生成式人工智慧技術，提高天氣預測效率。SEEDS只要使用2個預測種子，就能夠快速生成大量的系集預報。SEEDS提供了一種高效混合方法，把數值天氣預報系統作為輸入，就能產生額外的預測。</p> <p>SEEDS高效運算的特性，在節省運算資源的同時，也能夠更頻繁地發出預報，提高天氣預測的品質和可用性。而且SEEDS不只可用於天氣預測，也增加了氣候風險評估領域的可能性，提升科學家準確量化未來氣候不確定性的能力。</p> </div></div></div>
2024/4/1 23:26作者李建興https://www.ithome.com.tw/news/162055
【資安日報】4月1日，發現潛伏三年的供應鏈攻擊事件，程式庫XZ Utils近期被植入後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>週末一起供應鏈攻擊事件的揭露，震撼了整個資安圈，也讓企業用戶忙於修補因應，有攻擊者針對XZ Utils資料壓縮程式庫植入後門，而這個後門將可讓攻擊者繞過SSHD的身分認證機制，且相當難以察覺。</p> <p>幸好有研究人員因為調查一個SSH登入時存在500ms延遲異常而發現，但回顧這個提交惡意的GitHub帳號，竟是在2021年就註冊，並從2022年2月就開始試探性的對XZ程式庫提交Commit。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162040"><strong style="font-size: 22px;">駭客鎖定XZ Utils庫發動供應鏈攻擊，差一點進入眾多主流Linux發行版的SSHD注入後門</strong></a></p> <p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/XZ Outbreak_GJ-6mD9aIAARaiY_圖片來源Thomas Roccia.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XZ%20Outbreak_GJ-6mD9aIAARaiY_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Thomas%20Roccia.jpg" style="width: 260px; float: right;" /></a><span style="color:#808080;">圖片來源／Thomas Roccia</span></p> <p>微軟PostgreSQL開發人員<a href="https://www.openwall.com/lists/oss-security/2024/03/29/4">Andres Freund在3月29日揭露XZ Utils資料壓縮程式庫被植入後門，並指出這是一樁供應鏈攻擊事件</a>，<a href="https://access.redhat.com/security/cve/cve-2024-3094">Red Hat也發布相關緊急安全通告，指出CVE-2024-3094是CVSS v3風險層級滿分10分的漏洞</a>，已確定Fedora Rawhide、Fedora 41、Kali Linux、openSUSE Tumbleweed/MicroOS，部分Debian版本受影響。</p> <p>這起事件在上週六一早即引起臺灣資安研究人員的關注與重視，原因是這起事件不僅是涉及SSHD（Secure Shell Daemon）的供應鏈攻擊，而且手法相當精心設計且複雜，若不是及早被發現，一旦進入穩定版主流linux發行，後果恐不堪設想。</p> <p>另一<a href="https://twitter.com/fr0gger_/status/1774343587154837940">微軟威脅研究人員Thomas Roccia週日在X平臺發文</a>表示，他嘗試用一張提表整理入侵的脈絡，當中顯示一名代號為Jia Tan（JiaT75）的GitHub帳號用戶，是在2022年2月6日針對XZ程式庫提交第一次Commit，之後又陸續提交幾次測試檔，然後在2024年2月16日、3月9日悄悄將惡意程式加入，其中bad-3-corrupt_lzma2.xz與good-large_compressed.lzma這兩個看起來無害的測試用binary，更是會在特定條件下解析出惡意程式。</p> <p><a href="https://about.att.com/story/2024/addressing-data-set-released-on-dark-web.html"><strong style="font-size: 22px;">AT&T大量客戶資料流入暗網，影響7,300萬用戶</strong></a></p> <p>美國電信龍頭AT&T在3月30日（週六）宣布，大約有7,300萬新舊客戶的資料被發現在流傳到暗網，這些資料包括當地社會安全號碼，以及及電子郵件信箱、電話號碼、生日等個人資訊。</p> <p>根據AT&T說明，他們已確認在兩星期前在暗網發布的資料與AT&T用戶有關，尚不清楚檔案內欄位中的資料是來自AT&T，還是他們的供應商之一，目前仍在評估外洩資料的來源。而根據他們的初步分析結果，這些資料似乎是來自2019年或更早，影響了約760多萬現有AT&T帳戶持有者，以及6540多萬舊有帳戶持有者。所幸，暫時沒有發現AT&T系統有遭未經授權存取的情況，該公司則表示將通知受影響用戶，並提供免費信用監控。</p> <p><a href="https://krebsonsecurity.com/2024/03/recent-mfa-bombing-attacks-targeting-apple-users/"><strong style="font-size: 22px;">MFA轟炸攻擊再現！但這次發生在蘋果密碼重設通知的場景</strong></a></p> <p>過去2022年曾出現鎖定企業員工的MFA轟炸（MFA Bombing）攻擊，如今這樣的通知轟炸攻擊，似乎也發生在蘋果密碼重設通知的情境之中。這項威脅是由資安部落格KrebsOnSecurity的一份報告揭露，當中指出有幾位蘋果用戶成為網釣攻擊目標，不斷收到數十起關於密碼重置請求的通知提示，需要使用者對每項通知提示做出「允許」或「不允許」的回應，否則使用者無法用手機做任何事情。此外，即便使用者都沒有按錯按鈕，有些使用者表示，後續還會收到冒充蘋果支援人員的語音網釣（Vishing）攻擊。</p> <p>由於攻擊者能在短時間內發送數十次的密碼重設請求，這也代表，蘋果iCloud帳戶的密碼重設機制，可能存在一些問題，像是沒有通知發送頻率的限制。</p> <p><a href="https://www.gov.tw/News_Content_11_737953.html"><strong style="font-size: 22px;">亞昕資訊通報其校務行政系統遭駭而被勒索，教育部已確認7所高中受影響，將持續清查26校</strong></a></p> <p>教育部在3月29日公布了近期國內7高中校務系統遭駭客入侵的事件，說明半個月前教育部國民及學前教育署（簡稱國教署）收到亞昕資訊遭勒索攻擊的通知，駭客以散布該公司校務行政系統內高中學生資料為由，向該公司勒索費用。國教署在獲知情形後，通報發生資安事件，並進行緊急應變與調查。</p> <p>關於初步調查結果，駭客先是從1所學校的系統漏洞入侵主機，執行惡意程式以竊取學校的帳號密碼，接下來，他們搜尋其他使用該廠商校務行政系統的學校，成功利用同一組帳號密碼登入其他6所學校的系統，因此發現有7所高中被入侵，確實有學生個資遭外部下載情形，但沒有新增、刪除等操作行為。而國教署也說明，由於與亞昕資訊簽約學校有26所，為掌握其餘學校個資外洩情形，近日將持續清查這些校務行政系統的學生學習歷程檔案是否受到影響。</p> <p><a href="https://www.humansecurity.com/learn/blog/satori-threat-intelligence-alert-proxylib-and-lumiapps-transform-mobile-devices-into-proxy-nodes"><strong style="font-size: 22px;">免費VPN用戶當心！有駭客打造17款假VPN App其實都暗藏惡意</strong></a></p> <p>近日資安公司Human Security旗下Satori資安威脅情報團隊指出，Google Play商店上有17款偽裝VPN應用程式涉嫌搭載惡意SDK軟體，可能將用戶裝置轉變為網路犯罪工具。</p> <p>研究人員指出，這些偽裝VPN App看似提供免費VPN服務，但卻藏有一個名為「PROXYLIB」的惡意SDK軟體工具。這個工具可以在用戶毫不知情下，暗中安裝於用戶手機裝置上，將其變成網路犯罪分子或駭客的「網路代理伺服器」，也就是利用你的裝置來發動特定惡意攻擊活動。研究人員共發現28款App都藏有PROXYLIB SDK，在他們通報後，Google已經將這些App下架。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://azure.microsoft.com/en-us/blog/announcing-new-tools-in-azure-ai-to-help-you-build-more-secure-and-trustworthy-generative-ai-applications/"><strong style="font-size: 22px;">微軟公布多款改善生成式AI服務安全性的新工具，Prompt Shields率先亮相</strong></a></p> <p>隨著生成式AI的普及應用，包括提示注入攻擊或濫用AI系統漏洞等相關風險也隨之而來，導致AI聊天機器人做出不在規範內的行為，繼3月初Cloudflare推出Firewall for AI，微軟在3月底也宣布一系列協助生成式AI應用的AI安全工具，例如，新的提示防護罩（Prompt Shields），是去年11月的越獄風險偵測的強化，不只防範原本提示注入的直接攻擊，也能防範提示注入的間接攻擊。</p> <p>其他有助於改善生成式AI服務安全性的工具，將於日後推出，包括：可防範AI模型幻覺問題的Groundedness detection，可引導模型行為朝向安全與負責的Safety system messages，以及越獄評估工具Safety evaluations與風險與安全監控工具。這些工具之後都將整合於Azure AI Studio與Azure OpenAI Service之中。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.bleepingcomputer.com/news/security/germany-warns-of-17k-vulnerable-microsoft-exchange-servers-exposed-online/"><span style="font-size: 20px;">德國警告當地超過1.7萬臺Exchange伺服器曝露於已知漏洞風險</span></a></strong></p> <p><a href="https://www.recordedfuture.com/attributing-i-soon-private-contractor-linked-chinese-state-sponsored-groups"><strong style="font-size: 20px;">針對中國資安業者安洵信息資料外流，研究人員發現該公司與更多駭客組織有關</strong></a></p> <p><a href="https://securityaffairs.com/161181/security/cisco-ios-and-ios-xe-software-flaws.html"><strong style="font-size: 20px;">思科修補IOS與IOS XE的多個高風險漏洞</strong></a></p> <p><a href="https://thehackernews.com/2024/03/hackers-target-macos-users-with.html"><strong><span style="font-size: 20px;">駭客利用惡意廣告傳播竊資軟體，主要鎖定macOS使用者</span></strong></a></p> <p><a href="https://www.euractiv.com/section/politics/news/albanian-government-to-create-commission-against-foreign-influence-disinformation/"><strong style="font-size: 20px;">阿爾巴尼亞政府宣布將成立特別委員會，以抵抗外國影響行動、打擊虛假資訊</strong></a></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162031"><strong>【3月29日】研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162015"><strong>【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162004"><strong>【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</strong></a></p> <p> </p> </div></div></div>
2024/4/1 16:26作者羅正漢https://www.ithome.com.tw/news/162054
【LLM模型如何落地金融業？技術與非技術難題並存】凱基人壽導入生成式AI的三大挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>業務員是販售保險商品的最大通路，也是保險業的重要戰力。根據壽險公會截至今年二月的統計，凱基人壽（原為中國人壽）內部有超過一萬5千名業務員，每年還會增加不少新進業務員。根據壽險公會統計，光是2022年，全臺就有超過2萬1千名新進業務員通過人身保險資格測驗，正式成為保險業務員。如何將這批年齡、學經歷各不同的新手，快速訓練成保險專業人才，是每一家保險業的重要課題。凱基人壽用生成式AI找到了新的作法。</p> <p>因為新人數量多又分散全臺，傳統保險業務員訓練方式大多按北、中、南分區培訓，不僅訓練時間長，再加上講師功力和教材不一，培訓效果也有落差。為了解決這個痛點，凱基人壽早在去年就用NLP，開發出一套業務員訓練系統，稱為智能對練1.0版，可以在線上模擬業務人員與顧客的對話，來提供新手業務員進行對話演練，也能彙整多達700頁的業務手冊，協助業務員快速查找大量資訊，至少縮短了一半的新人訓練時間。</p> <p>不過，用NLP打造的對話形式較生硬，訓練效果有限。隨著生成式AI技術浪潮來襲，凱基人壽看中它模擬真人對話的能力，開始將這項技術應用在內部工具中。</p> <p>今年二月初，凱基人壽開始在業務員訓練系統中導入生成式AI，發表了智能對練2.0版，可以更擬真的模擬業務員與顧客的對話過程，協助業務員演練銷售技巧，還能快速摘要700頁業務手冊的內容。在模擬客戶功能中，他們除了使用提示工程和檢索增強生成技術（RAG），也應用微調（Fine-Tuning）和虛擬人和情緒偵測等技術。而在業務手冊摘要功能中，他們主要運用提示工程和RAG，限定LLM模型的回應範圍，讓模型盡可能根據業務手冊或商品內容提供回應，協助新進業務員以問答方式，快速掌握手冊資訊。</p> <p>這是國內首家在業務員訓練正式導入生成式AI的壽險業者，也是國內少數正式啟用生成式AI應用的金融業者。</p> <p>作為技術採用的先行者，沒有太多先例可循，凱基人壽從技術驗證，到實際落地並正式啟用，不僅是技術面的挑戰，更多的挑戰來自非技術層面，像是如何降低模型回應錯誤率，抑或是因應指引原則，調整內部治理規範。</p> <h3>挑戰一：提升模型回應精準度</h3> <p>導入生成式AI必定會面臨的挑戰，便是AI幻覺。凱基人壽網路數位部資深副總經理宋健榮說明，以GPT模型新版GPT 4 Turbo為例，約有3%的幻覺率，即便使用提示工程、檢索增強生成技術（RAG），甚至是微調（Fine-Tuning），都不易做到百分之百精準。這是生成式AI目前的技術限制，也是受高度監管的金融業者謹慎看待這項技術的關鍵原因。</p> <p>實際導入生成式AI的過程中，凱基人壽面臨了許多困難。凱基人壽網路數位部專案副理王姿云以第一線實作經驗舉例說明，一本多達700頁的業務手冊中，有時使用者的提問較模糊，手冊多處會有類似的內容，模型難以判斷哪一處的敘述才是正確答案，需要借助提示工程，才能減少回應錯誤率。例如，有兩至三處的描述相似，皆能回應提問，系統就要引導使用者提出更精準的問題，才能給予較精準的回覆。</p> <p>為了進一步提高模型回答的精準度，凱基人壽還建立了三道提示工程的改進機制。</p> <p>第一道機制是由內部技術部門和外部技術夥伴合作，以機器亂數產生500筆問題，得到回覆後再和實際答案比對。對內聯合了網路數位部團隊和IT部門的研究小組，對外則找來工研院和技術廠商來精進技術。第二道是透過跨部門小組根據實務經驗，找來業務員代表，手動產生500筆題目，進行第二次測試和比對。最後一道機制，是藉由第一線業務員使用者提供回饋，再交由技術團隊修正提示。宋健榮表示，這批使用者是業務員中的數位代表，負責對數位工具提供使用回饋。未來，他們預計建立200位業務員組成的數位部隊，共同精進數位工具。</p> <h3>挑戰二：蒐集模型訓練資料</h3> <p>凱基人壽的業務員訓練系統提供模擬客戶的功能，讓業務員能隨時和AI模擬客戶進行對話，學習銷售技巧。這個功能在過去是利用NLP技術打造，團隊透過聆聽經驗豐富的業務員演繹銷售技巧，蒐集各種話術，萃取出精華，最後統整為模型訓練資料。為了運用生成式AI提升模擬客戶的擬真度，使用者需要蒐集實際場景的話術，作為模型訓練資料，過程也是一大挑戰。</p> <p>王姿云解釋，起初，只能將顧客類型分為感性和理性兩種來進行對話角色的模擬，也僅需蒐集基礎的知識話術，就能完成教材，統整資料的過程相對容易。但到了導入生成式AI的2.0版系統，模擬客戶的功能升級，可以增加更多類型的顧客角色，團隊需要蒐集更多達人式、接地氣的話術，作為模型訓練資料，「但達人不一定照著設定的步驟來唸，要萃取出精華是蠻辛苦的事。」另一方面，他們也要將教材縮減至20分內的訓練時長，才有助學員快速吸收。這段話術萃取的過程考驗團隊能否掌握販售技巧的關鍵，不僅需要和負責訓練的單位密切合作，了解第一線的培訓需求，也要掌握商品框架，才能制定系統化的萃取方式，釐清可作為模型訓練的資料。</p> <h3>挑戰三：AI監管環境尚未成形，金融業者尚需摸索內部控管機制</h3> <p>「這次經驗是一個訓練過程，讓我們不斷精進。」宋健榮坦言，作為導入生成式AI的先行者，多數情況沒有參考解方，同仁也尚未熟悉新技術，需要長時間摸索，才能逐漸確立內部機制。另外，因應金管會去年年底發布的「金融業運用AI指引草案」，凱基人壽正根據指引內容研擬內部規範，摸索適當的管理機制。</p> <p>不過，目前綜觀全球，僅有歐洲制定AI法案，全世界仍在摸索AI治理機制，沒有人具備實質經驗。宋健榮解釋，以資安管理標準而言，從最早世界經濟合作開發組織（OECD）在1990年草擬的「資訊系統安全指導方針」，到1995年，英國標準協會訂定的「資訊安全管理實務準則」之BS7799。直到2000年，BS7799通過ISO審議，才成為較成熟的ISO/IEC 17799。反觀AI，目前尚未發展相對成熟的認證標準，業者也較難掌握監理標準。</p> <p>此外，無論是國內外，AI相關規範或指引皆強調了模型透明性和可解釋性，但是，宋健榮指出，多數金融業者不易掌握模型，更難以自建LLM模型，較難符合這項監管要求。目前，多數金融業透過Azure OpenAI服務使用GPT模型，無法得到模型全部資料，「即便是開源模型，也只有部分資料揭露。」宋健榮解釋，生成式AI模型掌握在大型科技公司手中，多數企業無法控制整體資料品質，也較難解釋模型透明性。目前金融業者主要透過RAG或Findtune調教模型，「你可以控管自己的資料，但是基礎模型的資料就做不到。」</p> <p>凱基人壽的實作經驗顯示，金融業者導入生成式AI不僅需要面臨技術挑戰，背後更要面臨包括合規、治理面等非技術的挑戰，許多內部機制也得透過階段性的試錯，才能逐漸成形。</p> <p>「希望透過這次應用，累積足夠經驗再發展。」宋健榮表示，當生成式AI技術足夠成熟後，他們會進一步擴大應用範圍。第一，使用大量業務手冊、業務規則的部門，利用生成式AI輔助摘要大量資訊。第二是，針對核保和理賠等需要專業判斷的場景，利用AI協助專員進行判斷。「凱基人壽的終極目標，是利用AI打造一個業務員的副駕駛（Copilot），整合所有業務員工具，包括輔銷、客戶管理、日常業績管控、報到、推播等工具，透過AI實現業務員超級助理。」宋健榮說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/10_%E5%AE%8B%E5%81%A5%E6%A6%AE_%E4%B8%AD%E5%9C%8B%E4%BA%BA%E5%A3%BD_%E6%95%B8%E4%BD%8D%E6%87%89%E7%94%A8%E7%99%BC%E5%B1%95%E9%83%A8%20%E5%89%AF%E7%B8%BD%E7%B6%93%E7%90%86_20190612_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D(4).jpg" style="width: 400px;" /></p> <blockquote><p>凱基人壽網路數位部資深副總經理宋健榮認為，這次導入生成式AI的經驗是一段訓練過程，讓他們不斷精進。當生成式AI技術足夠成熟後，他們會進一步擴大應用範圍，終極目標是為業務員打造一個副駕駛(copilot)，實現業務員超級助理。（攝影：洪政偉）</p> </blockquote> <h3> <span style="font-size:16px;"><strong style="color: rgb(255, 255, 255); font-family: 微軟正黑體, sans-serif; font-size: 28px; background-color: rgb(247, 247, 247);"><span style="background-color: rgb(51, 153, 255);"> 金融業者對生成式AI的觀點 </span></strong></span></h3> <p>「生成式AI的出現是一個拐點，它跟傳統AI間已經有一道分水嶺。」對於生成式AI技術對金融業的影響，凱基人壽網路數位部資深副總經理宋健榮明確給出這個回應。不過，他也認為，生成式AI技術目前尚在雛形階段，綜觀現有的商業應用中，除了Chatbot形式較為成熟，其他的應用還尚在發展中，「類似蘋果推出的iPod，但還沒到iPhone。」</p> <p>其實，早在2017年，凱基人壽就以AI作為轉型策略核心，內部早已建立大數據資料庫和標籤庫，還能運用AI自動貼標快速分析客戶行為，為日後發展AI奠定不少基礎。不過，宋健榮認為：「目前的生成式AI離通用型AI還有一段路。」待技術成熟，凱基人壽期望能以過往AI基礎，加值至生成式AI應用。「改變跟進步一直往前，你不知道最後會怎樣。」</p> <p></p> <p></p> </div></div></div>
2024/4/1 14:38作者李昀璇https://www.ithome.com.tw/news/162052
程式語言Mojo開源標準函式庫核心模組並接受外部貢獻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>速度可達Python 68,000倍的<a href="https://www.ithome.com.tw/news/158653" target="_blank">程式語言Mojo</a>，官方現在宣布以Apache 2授權許可，<a href="https://www.modular.com/blog/the-next-big-step-in-mojo-open-source">開源Mojo標準函式庫的核心模組</a>，開源的部分包括原始碼之外，還提供標準函式庫修訂歷史紀錄、Mojo編譯器的Nightly建置，並且公開持續整合系統，也允許開發者透過GitHub拉取請求進行外部貢獻。</p> <p>Mojo開放標準函式庫修訂歷史，將可讓使用者和貢獻者查看專案過去的改動、貢獻歷史以及每次修改的具體細節，而這將有助於貢獻者理解程式碼的演進過程。Mojo專案的開源不只是公開程式碼，更是允許外部貢獻，任何人都可以提交程式碼修改拉取請求，經過審核後會被合併到專案中。而公開的持續整合系統，則確保每次程式碼提交都會經過自動測試和建置流程，並讓貢獻者可以了解貢獻的程式碼是否通過測試。</p> <p>Mojo採用Apache 2，因其提供專利授權條款，能在法律上保護使用者和貢獻者。針對Apache 2可能與GPL 2授權部分不相容的問題，官方提到，他們希望開發者使用Mojo，但是不強迫開發者向Modular或是Mojo致謝（Acknowledge），也就是說，官方明確同意Mojo標準函式庫程式碼可以和GPL 2混用。</p> <p>雖然Apache 2和GPL 2都是自由軟體和開源軟體熱門的授權協議，但是兩者在要求上還是有一些不同。特別是Apache 2.0包含了一些專利授權條款，但是GPL 2並沒有這樣的要求，所以按照這些授權條款，使用Apache 2.0授權的程式碼，不可以直接被納入到GPL 2授權的專案中，因為會造成授權要求間的衝突。</p> <p>Mojo官方以例外條款（Apache 2 with LLVM Exceptions）來解決這個問題，使得開發者可以更自由地使用Mojo的程式碼，就算是在GPL 2授權的專案，也不需要擔心授權衝突，以鼓勵廣泛採用和協作。</p> <p>由於Mojo標準函式庫正在開發階段並且變化迅速，所以官方現在選擇先開源其核心模組，隨著發展，官方還會公開更多程式碼，包括Mojo其他部分以及更廣泛的MAX平臺等。</p> </div></div></div>
2024/4/1 16:38作者李建興https://www.ithome.com.tw/news/162053
Fintech周報第236期：麥肯錫調查顯示，歐美領先金融業者中，超過一半業者以集中式組織領導生成式AI發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">3/25~3/29金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 麥肯錫</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI治理 </span></strong></span></p> <h3>麥肯錫研究：歐美領先金融業者中，超過一半業者以集中式組織領導生成式AI發展</h3> <p>知名管理顧問公司麥肯錫（McKinsey & Company）最近發表了一份<a href="https://www.mckinsey.com/industries/financial-services/our-insights/scaling-gen-ai-in-banking-choosing-the-best-operating-model">報告</a>《在銀行業發展生成式AI：選擇最好的營運模式》（Scaling gen AI in banking: Choosing the best operating model），他們調查了歐洲和美國16家最大金融機構的生成式AI營運模式，超過一半的研究對象採用集中化管理。麥肯錫表示，集中化管理可能是暫時的營運方式，隨著技術越來越成熟，業務部門也會逐漸察覺這項技術帶來的好處，並根據自身需求發展生成式AI應用。</p> <p>麥肯錫根據調查結果，整理出四種組織管理方式的好處和挑戰。第一種，高度集中化，業者設立一支獨立於其他業務部門的生成式AI團隊，並由這支團隊負責設計和執行生成式AI策略。麥肯錫表示，這種組織方式可以讓生成式AI團隊快速建立技術力，不過，團隊與業務部門距離過遠，可能造成雙方的隔閡，進而影響決策。採用這種模式的業者中，七成業者已經開始生產生成式AI應用。</p> <p>第二種，同樣由單一組織領導，但交由業務部門執行。和第一種差別在於，生成式AI團隊會和業務部門中的技術團隊合作，交由業務部門執行計畫。相比第一種，這種方式有助減少雙方隔閡，但發展技術的速度可能因此減慢。第三種，由業務部門主導，統一由技術團隊支援。這種由下而上推動生成式AI策略的方式，有助於獲得業務部門對技術的支持。但是，不同業務部門對生成式AI的需求不同，開發方式可能也不同，單一技術團隊要同時支援多個業務部門十分困難。</p> <p>最後一種，高度去中心化，各個業務部門各自設立生成式AI團隊、設計和執行生成式AI策略。麥肯錫認為，這個方式最容易獲得業務部門對技術的支持，但業務部門缺乏相關知識，可能難以透過生成式AI實現重大突破。採用高度去中心化執行方式的金融機構中，僅有三成業者開始投入生成式AI應用生產。</p> <p>集中化管理方式雖然是發展生成式AI的最佳營運模式，但報告中也表示，採用這種管理方式仍會遇到幾個障礙，分別是策略路線圖的制定、獲取資金的機制，和人才資源。各個業務部門可能擔心失去關鍵資源，而對這三項政策持不同意見。因此，金融機構發展生成式AI需要具備高度的組織敏捷性，能夠快速設計流程並匯集資源。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新金控</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>台新金控揭生成式AI進展，計畫打造「台新腦」輔助內部工作任務</h3> <p>台新金控揭露生成式AI進展，他們計畫打造「台新腦」，一個專屬台新金控的生成式AI工具，協助各項業務執行、法規和風險辨識等任務。他們近日在內部舉辦圖像生成挑戰賽，邀請子公司員工組隊參與，參賽者要使用台新金控調教的大型語言模型，透過輸入提示來生成圖像作品。台新金控表示，舉辦挑戰賽的重點，是要創造生成式AI的使用情境，讓同仁逐步習慣使用這項技術。</p> <p>早在去年十月，台新金控就已完成內部的AI發展關鍵因子和AI導入指引，還發展4項實驗專案，包括協作平臺的聊天機器人Teams Chatbot、知識管理平臺、程式碼撰寫助理Codex，以及虛擬智能客服。去年底，他們對外展示了虛擬智能客服的實驗專案，共有兩個擬真客服人員，分別提供理財投資建議和信用卡建議。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本IBM</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>日本IBM瞄準金融機構需求，推出快速導入生成式AI的服務，可連接三種LLM模型</h3> <p>日本IBM在旗下的金融服務平臺Digital Services Platform for Financial Services（簡稱DSP）推出生成式AI擴充功能，能協助金融機構快速導入生成式AI，同時內建了多項生成式AI應用，包括生成貸款批准書、製作銷售對話腳本、撰寫日常業務報告，以及提供行員使用的文件摘要工具等。</p> <p>這個擴充功能可以透過閘道（gateway）連結三個生成式AI服務，分別是微軟Azure OpenAI服務、Amazon Bedrock和watsonx.ai，使用者可以根據需求選用GPT模型、Claude模型和Granite模型，也可以透過閘道集中監控、管理多種生成式AI服務。</p> <p>這項服務目前只能在Azure和AWS雲端環境中運作，未來還會開放在IBM Cloud運作。日本IBM預計在5月底向在地客戶推出這項功能。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 丹麥丹斯克銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>丹麥最大銀行宣布上公雲，計畫遷移超過萬個伺服器、千個應用程式</h3> <p>丹麥丹斯克銀行（Danske Bank）近日宣布，要將部分基礎設施、應用程式和資料遷移至公有雲，與客戶資料相關的系統也包含在內。這間丹麥最大銀行近年啟動技術轉型，將雲端技術、數據和AI作為重點發展技術。他們表示，這項轉型計畫包括要將行內約1.6萬個虛擬或實體的伺服器、近千個應用程式遷至公雲，進一步運用AI、ML和生成式AI服務，提高內部開發人員的工作效率，還要加強對顧客的對話介面功能、提供個人化推薦等。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲西太平洋銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI防詐 </span></strong></span></h3> <h3>澳洲西太平洋銀行在App設置防詐措施，以AI偵測可疑匯款行為</h3> <p>澳洲西太平洋銀行近日在自家的App設置防詐措施，當系統偵測到用戶可能在向詐騙方匯款，系統會詢問用戶幾個簡易問題，例如詢問匯款目的，若用戶的回答有疑慮，系統將會拒絕執行匯款。這項防詐機制是運用AI偵測，當用戶的匯款被標記為高詐騙風險時，App就會跳出詐騙警示和問題。為了快速因應新的詐騙方式，這些問題的內容會持續更動。澳洲西太平洋銀行表示，除了在App導入這項機制，未來幾個月內也會在網路銀行中導入。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-04-01%20104029.png" style="width: 600px;" /></p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CBDC</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SWIFT </span></strong></span></h3> <h3>SWIFT公布央行數位貨幣第二階段沙盒結果，臺灣央行、華南銀行和上海商銀也參與沙盒試驗</h3> <p>環球銀行金融電信協會（SWIFT）近日表示公布央行數位貨幣（CBDC）第二階段沙盒結果。他們與38間金融機構合作進行為期四個月的實驗，納入各國的央行、銀行和金融市場基礎設施，臺灣央行、華南銀行和上海商銀也是試驗參與對象。實驗結果顯示，SWIFT開發的互鏈解決方案有助於進行各國CBDC交易，甚至也能進行其他形式的數位化代幣交易。</p> <p>這項實驗確保SWIFT開發的解決方案適用於多種CBDC交易。根據路透社報導，SWIFT透露，他們將在未來一到兩年內建立一個新的CBDC平臺，開放給全球正在開發CBDC的國家使用。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 敏捷開發</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本保險業 </span></strong></span></h3> <h3>日本保險公司導入敏捷開發平臺，自動部署至測試環境，系統上線時間從三小時縮減至十分鐘</h3> <p>日本保險公司三井住友海上火災保險建立一套敏捷開發平臺，底層架構採用GitLab提供的DevSecOps平臺，能集中管理多個系統，將軟體開發、測試到部署的部分流程自動化，讓系統上線時間從以往約三小時，縮短至十分鐘內即可完成。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-03-29%20123524.png" style="width: 600px;" /></p> <p>導入敏捷開發平臺前，系統開發流程皆是手動處理，完成開發後須要先部署在測試環境，進行測試後，再部署至生產環境。導入後，平臺協助自動部署至測試環境，再採用一半手動、一半自動完成測試和部署至正式環境。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 掌紋付款 </span></strong></span></h3> <h3>Amazon推出Amazon One行動程式，使用者在手機建立掌紋簽章後即可用掌紋付款</h3> <p>Amazon在2020年推出掌紋辨識系統Amazon One，消費者在特定店家可使用Amazon One掃描和註冊掌紋，之後再利用自己的掌紋來付帳、入場、驗證年紀。上周四（3/28），Amazon發表了Amazon One行動程式，允許使用者透過iPhone或Android手機拍攝自己的掌紋，建立掌紋簽章，不必再透過實體店面的Amazon One裝置來掃描掌紋。</p> <p>儘管Amazon One上線已超過3年，但使用這項掌紋服務的累計次數僅有800多萬。不過，根據Amazon的統計，在實體商店使用掌紋服務付款的用戶中，超過8成都會重覆使用。因此，Amazon決定進一步推廣Amazon One，藉由推出行動程式來降低註冊門檻。</p> <p>其他重要Fintech新聞</p> <ul> <li>金管會將研議成立信用卡掛失單一窗口，降低盜刷風險</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／麥肯錫</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年4月</p> <p></p> </div></div></div>
2024/4/1 10:41作者李昀璇https://www.ithome.com.tw/news/162043
AT&T證實有超過7,000萬用戶個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/146382" target="_blank">謠傳了兩年</a>之後，美國最大電信業者<a href="https://www.att.com/support/article/my-account/000101995" target="_blank">AT&T終於在上周六（3/30）證實</a>，總計有超過7,000萬名的用戶個資外洩，當中有760萬名為現有用戶。</p> <p>駭客兩年前便於暗網中公布了AT&T的用戶資料樣本，當時AT&T僅對外否認該公司遭駭，並未證實資料的真偽，如今的AT&T依舊否認被駭，指出並沒有證據表明其系統曾遭到未經授權的存取，但證實了暗網上所流傳的AT&T用戶資料可能來自於2019年或更早之前，影響760萬名現有的AT&T用戶，以及6,540萬名舊有用戶。</p> <p>外洩的用戶資料可能包括姓名、電子郵件地址、郵寄地址、電話號碼、社會安全碼、生日，以及AT&T的帳號及密碼，但並未涉及個人財務資料或通話紀錄。</p> <p>AT&T說，該公司已經確定於暗網中流傳的資料集包含了AT&T的特定資料欄位，但並不確定這些欄位中的資料是否源自AT&T或是該公司的供應商。</p> <p>為了保險起見，AT&T已重設所有帳戶密碼，並透過電子郵件或郵件通知受害者，同時提供了免費的身分竊盜及信用監控服務。</p> <p>其實除了AT&T之外，美國第三大電信業者<a href="https://www.t-mobile.com/news/network/additional-information-regarding-2021-cyberattack-investigation" target="_blank">T-Mobile也在2021年傳出資料外洩事件</a>，駭客攻擊了T-Mobile，總計取得接近5,000萬名T-Mobile新、舊用戶的資料。目前美國約有1.6億名人口。</p> </div></div></div>
2024/4/1 14:23作者陳曉莉https://www.ithome.com.tw/news/162051
xAI發表Grok-1.5
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於3月17日開源大型語言模型Grok-1之後，由馬斯克（Elon Musk）創立的xAI再於3月28日<a href="https://x.ai/blog/grok-1.5" target="_blank">發表Grok-1.5</a>，新版本將支援16倍的脈絡長度，可望於本周釋出，也會成為X上Grok聊天機器人的底層模型。</p> <p>儘管離釋出Grok-1不到兩周，但xAI宣稱Grok-1.5有顯著的進展，在許多基準測試上直追或超越Claude 3 Sonnet及Claude 2。例如Grok-1.5在MMLU（大規模多工語言理解）基準測試的成績為81.3%，超越Claude 2的75%與Claude 3 Sonnet的79%；在MATH數學基準測試上的成續則是50.6%，也超越Claude 3 Sonnet的40.5%；GSM8K基礎數學的成績為90%，超越Claude 2的88%，逼近Claude 3 Sonnet的92.3%；HumanEval程式碼基準測試的成績為74.1%，凌駕Claude 2的70%與Claude 3 Sonnet的73%。</p> <p>有趣的是，有別於各個大型語言模型的基準測試都會拿OpenAI的GPT來作比較，日前才控告OpenAI的馬斯克或許是刻意略過GPT，而選擇了近來被視為最有機會挑戰GPT、<a href="https://www.ithome.com.tw/news/162023" target="_blank">由Anthropic所打造的Claude</a>。不過，xAI用來比較的版本是Anthropic在2023年7月推出的Claude 2.0，以及Claude 3.0的中階版本Claude 3 Sonnet，而非最高階的Claude 3 Opus。</p> <p>此外，Grok-1.5不僅於上述基準測試中明顯勝過Grok-1.0，新版也支援128K個Token的脈絡，使其記憶能力達到舊版的16倍，而更擅長處理長文件。</p> <p>xAI說明，Grok-1.5是在一個基於JAX、Rust與Kubernetes的客製化分散式訓練框架上所建置，此一訓練堆疊使其團隊得以花費最小的力氣來測試原型想法，同時大規模訓練新架構，其客製化的訓練協調器可自動偵測到有問題的節點並將其從訓練任務中剔除，該團隊也優化了檢查點、資料載入及訓練任務的重新啟動，以最小化發生故障的停機時間。</p> <p>此外，<a href="https://twitter.com/elonmusk/status/1773655245769330757" target="_blank">馬斯克還透過X放話</a>，正在訓練中的Grok-2.0將會在所有的基準測試上超越現有的AI，不過，他並未揭露Grok-2.0的上線時間點。</p> </div></div></div>
2024/4/1 13:33作者陳曉莉https://www.ithome.com.tw/news/162050
AI趨勢周報第248期：高雄大學開源生成式AI應用平臺Kuwa GenAI OS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0322～0329)</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Kuwa </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> TAIDE </span></strong></span></p> <p><span style="font-size: 22px;"><strong>高雄大學資工系開源生成式AI應用平臺</strong></span></p> <p>光有大型語言模型（LLM）還不夠，還得要有一套應用介面才能發作最佳效果，就像是機器人大腦得要有身體和四肢一樣。高雄大學資工系系友就打造一款名為Kuwa GenAI OS的生成式AI應用平臺，提供使用介面、可支援多種生成式AI應用，就像是機器人的身體和四肢，能讓開發者串接多種LLM，來打造所需的生成式AI應用。</p> <p>團隊表示，他們將Kuwa系統定位為平臺，可讓使用者串接所需的模型，並開發上層的生成式AI應用。目前，Kuwa系統可串接多種常見的地端和雲端模型，像是GPT-3.5/4、Gemini-Pro、Gemma、LLaMA2、OLMo、Code LLaMA、Taiwan LLaMA、Breeze等，之後國科會TAIDE模型開源，也能支援串接。尤其，Kuwa系統還能用來管理、分配多臺機器上的模型資料，來支援具備權限控制的多使用者生成式AI應用情境。</p> <p>根據簡介，Kuwa GenAI OS能提供群聊、引用、完整Prompt列表的匯入/匯出和分享等功能，還能靈活組合提示（Prompt）、RAG、Bot、模型、硬體/GPU等元件，來滿足應用所需。此外，它也支援各種執行環境，包括虛擬主機、筆記型電腦、個人電腦、地端伺服器和公私雲端。Kuwa系統是在國科會TAIDE計畫的支持下投入開發，團隊日前也成立Kuwa開源社群，盼更多人投入，來促進生成式AI應用發展。<a href="https://kuwaai.org/os/intro">（詳全文）</a></p> <p><img alt="" src="https://kuwaai.org/assets/images/demo-022ea91092c782af5532ad2952596a35.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hume AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> EVI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Hume AI揭露一款富有人味的語音AI</strong></span></p> <p>最近，由Google前研究員Alan Cowen成立的AI新創Hume AI，<a href="https://demo.hume.ai/">預覽</a>一款很特別的對話式AI系統Empathic Voice Interface（EVI），可理解使用者的語氣，並以相應的語氣回覆，就像是在跟人說話一樣。Hume AI表示，EVI透過數百萬人類對話訓練而成，開發者目前可透過Hume API將EVI整合至各種應用程式中。</p> <p>EVI有幾種特色，包括能以與人類相近的語氣回覆，還能根據使用者的情緒來調整語氣，也能偵測使用者語氣，來判斷對話是否結束。同時，EVI也能自然地從對話中斷處，繼續新一輪對話。此外，EVI還能提供語音對話的文字轉錄，以及文字轉語音功能，也能整合任何語言模型。Hume AI預計在4月正式發布EVI。<a href="https://twitter.com/hume_ai/status/1773017058038440281?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1773017060173365306%7Ctwgr%5E20ce68fe7569318d05e0c28c8c3e7b81faf3e6d4%7Ctwcon%5Es2_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fforget-openais-chatgpt-hume-ais-empathetic-voice-interface-evi-might-be-the-next-big-thing-in-ai%2F">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 工程師 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Devika </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Devin </span></strong></span></p> <p><span style="font-size:22px;"><strong>另一個AI工程師Devika來了，雖然還不及Devin</strong></span></p> <p>繼AI工程師Devin橫空出世後，最近出現另一個AI工程師Devika，能根據人類指令拆分任務，並進行研究、寫程式來完成目標。Devika的開發者是印度AI新創stitionai的創辦人Mufeed VH，他表示，Devika的能力雖然還不及Devin，但透過開源可讓它更進步。</p> <p>Devika的核心功能有幾種，包括可透過Ollama來使用Claude 3、GPT-4、GPT-3.5或本地端的大型語言模型（LLM），也能使用規畫和推理演算法，以及上下文關鍵字提取、瀏覽網頁，還有用多種程式語言來編寫程式。Devika的目標是要用AI來改變工程師開發軟體和除錯的方式，要來簡化流程和提高效率。Mufeed VH還表示，Devika可自動執行自己寫的程式，並在遇到錯誤的時候自動修復問題，不需人類工程師干預。<a href="https://twitter.com/mufeedvh/status/1770696902926852549?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1770696902926852549%7Ctwgr%5Ed4976c3d8fe6a5d9a97b65eb5649a9da989abcf5%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fmeet-devika-an-open-source-alternative-to-devin%2F">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-04-01%20122051.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Voice Engine </span></strong></span></p> <p><span style="font-size:22px;"><strong>15秒樣本就能生成逼真語音，OpenAI發表語音生成模型</strong></span></p> <p>OpenAI最近揭露一款語音生成模型Voice Engine，可根據任一15秒的語音樣本，生成一段自然的語音，而且富有感情。OpenAI表示，Voice Engine專案在2022年底就已啟動，目標是要為自家的文字轉語音API、ChatGPT語音和朗讀功能中的預設語音提供支援。</p> <p>不過，擔心避免遭到濫用，OpenAI並未對外開放這款模型。他們自2023年底開始與一小群值得信賴的合作夥伴測試模型，目前也有不少進展，比如可用來加強教育，為兒童提供閱讀協助，又或是用於翻譯，模型能將影片和Podcast翻譯成多種語言，並保留口音特色。另一個例子則與社區健康有關，可用來強化偏遠地區醫療溝通和諮詢服務，甚至，還有一家神經科學研究所用Voice Engine來輔助言語障礙患者表達。<a href="https://openai.com/blog/navigating-the-challenges-and-opportunities-of-synthetic-voices">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AR </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 室內場景 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta揭露AR新技術，用ML快速重建3D室內場景</strong></span></p> <p>最近，Meta發表一款場景生成模型SceneScript，不需依賴寫死的規則，透過機器學習就能直接推斷房間的幾何形狀，並轉換為建築元素的近似值。這個方法簡化了房間3D建模的程式，還更加輕巧，只需幾個位元組記憶體，就能產生清晰且完整的幾何形狀，而且具備可解釋性，使用者可簡單閱讀和編輯這些表示。</p> <p>為開發SceneScript，團隊先是打造一個Aria室內環境合成資料集，包括10萬個完全獨特的室內環境，每個環境都使用SceneScript語言進行描述。過程中，團隊用Aria眼鏡來收集室內環境資料，並用這些資料模擬出不同的室內環境。由於所有模擬訓練都不涉及個人資料，因此模型訓練都能確保隱私，而且在訓練後，也能使用Aria眼鏡來驗證模型。</p> <p>SceneScript的優點在於可擴展性，只要在Aria合成環境資料集中的「門」添加附加參數，就能訓練來預測物理環境中門開啟和關閉的程度。此外，透過在架構語言添加新特徵，SceneScript還能準確預測物體的位置，並進一步將這些物件拆解成組成元件，像是沙發的墊子、椅腳和扶手，設計師可用來創造真正適用於各種物理環境的增強實境內容。<a href="https://ai.meta.com/blog/scenescript-3d-scene-reconstruction-reality-labs-research/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe8-4.fna.fbcdn.net/v/t39.8562-6/434069040_708526774524906_7376808912820184909_n.png?_nc_cat=104&ccb=1-7&_nc_sid=f537c7&_nc_ohc=gUUvh_NE97EAX9pdeCa&_nc_ht=scontent.ftpe8-4.fna&oh=00_AfChH-BDv1yZBrLfCRLTXp_z8DktCqXv6ZPL9nleSBE7xQ&oe=66101655" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Neo4j </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料分析 </span></strong></span></p> <p><span style="font-size:22px;"><strong>強化資料分析和AI應用，微軟旗下服務整合Neo4j圖資料庫</strong></span></p> <p>Neo4j聯手微軟，在微軟旗下Azure OpenAI服務和Fabric分析平臺整合Neo4j圖資料庫功能，用戶可更好地處理結構化與非結構化資料，從中發現資料隱藏的模式，用來強化生成式AI應用程式。</p> <p>Azure OpenAI與Neo4j的整合，在架構上可分為知識的擷取和使用。在資料擷取上，由Azure OpenAI處理非結構化資料，將這些資料存到圖資料庫中，用戶可用Neo4j的查詢工具，來擷取有用的分析結果，而來源資料可留存在Fabric、Azure Blob儲存或其他位置。而在知識的使用上，用戶同樣可透過Azure OpenAI服務，以自然語言查詢，即便沒有圖資料庫專業知識，也能輕易上手。<a href="https://neo4j.com/blog/neo4j-microsoft-collaboration/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DBRX </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Databricks </span></strong></span></p> <p><span style="font-size:22px;"><strong>Databricks開源通用大型語言模型DBRX</strong></span></p> <p>AI業者Databricks最近開源一款通用大型語言模型（LLM）DBRX，號稱在各式標準的基準測試上超越坊間所有開源模型，也在大多數的基準測試上擊敗GPT 3.5。</p> <p>DBRX以Transformer解碼器為基礎，採混合專家（MoE）架構，具1,320億個參數，其中360億個經常處於活動狀態。該模型用12T Token的文字和程式碼資料上進行預訓練。相較市上的LLaMA2-70B、Mixtral和Grok-1等開源模型，DBRX在語言理解（MMLU）、程式設計（HumanEval）和數學邏輯（GSM8K）等基準測試上的表現明顯勝出。此外，DBRX在上述3項基準測試中也贏過GPT 3.5。DBRX目前可支援英文、法文、西班牙文和德文，不過，要執行DBRX至少得具備4個Nvidia H100 GPU或其它GPU，光一個H100就得花費數萬美元，對許多開發者或個人來說是遙不可及的。<a href="https://www.databricks.com/company/newsroom/press-releases/databricks-launches-dbrx-new-standard-efficient-open-source-models">（詳全文）</a></p> <p><img alt="" src="https://www.databricks.com/sites/default/files/inline-images/dbrx-vs-chat-infographic-image-02.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 行銷 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Adobe </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>瞄準行銷內容需求，Adobe推出GenStudio預覽版</strong></span></p> <p>日前Adobe在年度大會上，發表一款預覽版行銷人員專用的GenStudio產品，主打用生成式AI來優化內容供應鏈。進一步來說，GenStudio涵蓋跨通路行銷所需的各種工具，以生成式AI為基礎，可讓企業用來快速尋找和生成資產、打造各種作品，還能根據即時的內容效能洞察來優化體驗。比如，行銷人員可針對品牌、客戶角色及產品描述訓練AI，來產生符合需求的文案和圖像，或用AI來審查內容。</p> <p>GenStudio可分為3大特點，分別是工作流程與規畫、創造與生產、啟用與遞送，而每一特點都由不同工具支援，可整合、流暢地執行內容供應鏈。雖然GenStudio仍在預覽階段，但試用過的企業Orvis發現，制定專案計畫的時間減少75%，JLL創意團隊在兩年內的交付成果增加了250%，T-Mobile在不增加人力的前提下活動產出提高了47%。GenStudio預計今年全面上市。<a href="https://news.adobe.com/news/news-details/2024/Adobe-Announces-Generative-AI-Solutions-to-Jumpstart-Content-Supply-Chain-for-Enterprises-/default.aspx">（詳全文）</a></p> <p>圖片來源／Kuwa系統團隊、Mufeed VH、Meta、Databricks</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 美國要求每個聯邦機構設立AI長</strong></p> <p><strong>2. Claude 3 Opus模型登上LMSYS Chatbot Arena排行榜榜首</strong></p> <p><strong>3. 樂天開源懂日文和英文的語言模型RakutenAI-7B</strong></p> <p>資料來源：iThome整理，2024年4月</p> </div></div></div>
2024/4/1 12:40作者王若樸https://www.ithome.com.tw/news/162047
OpenAI、微軟傳計畫投入逾千億美元打造資料中心運行超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體<a href="https://www.theinformation.com/articles/microsoft-and-openai-plot-100-billion-stargate-ai-supercomputer" target="_blank">《The Information》</a>報導，微軟與OpenAI正在策畫一項資料中心專案，投入超過1,000億美元，包括打造一個使用上百萬顆GPU的AI超級電腦。</p> <p>報導引述消息人士指出，這座資料中心專案期程預計6年，預計耗資1,150億美元。專案共分5期，第5期雙方將打造名為Stargate的超級電腦，是一個座落於OpenAI公司的AI超級電腦，可能包含超過百萬顆CPU，雙方希望能在2028年上線。但在第4期還會有一座較小的超級電腦建立於微軟資料中心內，預計約在2026年上線。後者則可能提供給其他Azure客戶使用。</p> <p>報導引述消息人士指出，微軟認為，這座資料中心工程極具挑戰，因為它在現有設計下，需要在單一機架中使用的GPU比微軟經驗多太多，才能達到應有的效能。因此兩公司可能也在探索新設計。例如Stargate需要極大電力，可能高達數Gigawatt，兩公司考慮使用新種電力，像是核能。此外，OpenAI希望不要用Nvidia的Infiniband線纜，而寧願使用乙太網路。</p> <p>事實上，為了減少對Nvidia的依賴，微軟已經著手開發自有晶片。<a href="https://www.ithome.com.tw/news/159884" target="_blank">微軟去年11月公布</a>了2款自有晶片設計，其中Azure Maia 100具有1050億電晶體，將用於AI執行，而Azure Cobalt CPU則為用於雲端的Arm架構處理器。</p> <p>Stargate超級電腦將供OpenAI訓練AI模型，可能是GPT-4的下二或三代。《<a href="https://www.businessinsider.com/openai-launch-better-gpt-5-chatbot-2024-3" target="_blank">Business Insider</a>》指出下一代的GPT-5將在今年夏天上線。</p> <p>微軟對此不置可否，只表示，該公司一直持續投入基礎架構創新以推進AI能力。</p> </div></div></div>
2024/4/1 12:42作者林妍溱https://www.ithome.com.tw/news/162048
OpenAI擴大測試語音合成AI模型，用15秒樣本即可模擬真人聲音
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI上周公布<a href="https://openai.com/blog/navigating-the-challenges-and-opportunities-of-synthetic-voices" target="_blank">語音生成AI模型Voice Engine</a>初步成果，號稱只要上傳15秒的人聲樣本，及輸入文字稿，就能產生極似原說話者聲音的自然語音。</p> <p>OpenAI於2022年開始開發Voice Engine模型。這個模型已用於其OpenAI的<a href="https://platform.openai.com/docs/guides/text-to-speech" target="_blank">語音合成（TTS）API</a>及ChatGPT去年秋天上線的<a href="https://openai.com/blog/chatgpt-can-now-see-hear-and-speak" target="_blank">Voice及Read Aloud功能</a>。但OpenAI並未大加宣傳，<a href="https://openai.com/blog/chatgpt-can-now-see-hear-and-speak" target="_blank">僅低調表示Spotify使用該模型支援語音翻譯功能</a>。</p> <p>OpenAI強調，Voice Engine模型為一個小模型，但只要提供它15秒的聲音範例，它就能生成和說話者極相似的流暢話語。</p> <p>去年OpenAI也讓一些非營利組織、醫療、教學單位使用Voice Engine試用並建立使用場景。上周OpenAI也公布部分應用場景。包括一家教學軟體公司以AI語音生成技術製成學童的有聲教材，另一家說故事平臺用它將一段文本翻譯成多國語言，且保留道地腔調。一個非洲非營利組織以Voice Engine製作AI互動工具教授當地婦女哺乳知識，一家語音通訊App開發商開發出可協助語言障礙人士溝通的說話App。此外，這個AI模型還能為因病說話不清的使用者重建其聲音。</p> <p>為了防止這類功能被濫用，測試單位必須遵循OpenAI的使用政策，不得未經同意或違法模仿個人或組織的聲音，也要求原說話者需被告知且提供明顯同意。他們也不允許開發人員讓個人用戶建立模仿自己的AI人聲。合作夥伴也須清楚告知受眾，這些聲音是AI生成的。最後，OpenAI也會實作安全措施，包括為這些聲音加入浮水印以便能判別並追蹤Voice Engine生成的聲音、或監控其使用。</p> <p>藉由擴大測試Voice Engine，OpenAI除了希望帶動AI語音應用開發，提升大眾對AI語音詐騙的警覺心、推進安全政策外，也鼓勵銀行等組織淘汰以語音為基礎的身分驗證方式。</p> <p>OpenAI這項新技術可能會讓另一些工作者，如配音員擔心失業。今年2月OpenAI公開的<a href="https://www.ithome.com.tw/news/161312" target="_blank">影片生成AI模型Sora</a>生成極高品質、具有多個角色、特定動作及具備精準主題細節及背景的複雜場景影片，已震撼影像工作者。</p> <p>在OpenAI之前，其他大廠也公布了類似的AI研發成果。微軟去年9月<a href="https://www.ithome.com.tw/news/158563" target="_blank">開源超強語音合成模型VALL-E X</a>，只要輸入3到10秒個人講話的錄音，模型就能逼真合成該聲音，用另一個語言說話。</p> <p><a href="https://www.ithome.com.tw/news/161313" target="_blank">Amazon 2月宣布</a>該公司歷來最大、高達10億參數的語音合成（text-to-speech，TTS）模型BASE TTS，號稱生成的語音自然度超過現有語音合成系統。</p> </div></div></div>
2024/4/1 13:01作者林妍溱https://www.ithome.com.tw/news/162049
微軟推出能防止提示注入、偵測幻覺的Azure AI安全工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了防止Azure AI服務及模型遭輸入惡意指令產出有害內容、洩露個資，<a href="https://azure.microsoft.com/en-us/blog/announcing-new-tools-in-azure-ai-to-help-you-build-more-secure-and-trustworthy-generative-ai-applications/" target="_blank">微軟宣布提供多項工具</a>，可偵測及防範提示注入攻擊、AI幻覺、AI模型濫用等問題，目前已提供部份功能的測試。</p> <p>隨著企業及消費者普及使用生成式AI，相關風險也隨之而來，包括提示注入（prompt injection）攻擊，或是濫用AI系統漏洞等，讓AI聊天機器人做出規範以外的行為，如洩露可辨識身份的個資（personally identifiable information，PII）或企業智財。為此微軟公布一系列新工具，包括提示防護罩（Prompt Shields）及AI模型幻覺偵測、系統範本、越獄評估工具和風險與安全監控工具，即將推向Azure AI Studio給開發商開發生成式AI App。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0331-Azure%20AI%20Studio-prompt%20shield-1.png" style="width: 600px;" /></p> <p>其中提示防護罩能即時偵測並阻斷基礎模型接收到惡意提示。提示防護罩是基於去年11月微軟推出的越獄風險偵測（jailbreak risk detection）擴充。<a href="https://techcommunity.microsoft.com/t5/ai-azure-ai-services-blog/announcing-new-ai-safety-amp-responsible-ai-features-in-azure/ba-p/3983686" target="_blank">微軟說明</a>，提示注入包含直接的越獄（jailbreaks）及間接攻擊，前者使用者為攻擊者本身，利用複雜指令如思維鏈（chain-of-thought）或要求角色扮演誘導AI助理產生惡意內容或洩露資訊。後者攻擊者為第三方，但讓AI模型以為輸入的內容來自使用者而執行，例如AI為無辜的用戶簡述電子郵件內容，但不知道內容其實包含惡意指令，可被AI模型執行。間接攻擊手法更隱晦、高明而難以察覺。最新工具強化輸入提示的偵測，防範對象由原本的直接攻擊再加入間接攻擊。「提示防護罩」不久後將整合到Azure AI Content Studio之中。</p> <p>微軟還宣布了其他改善生成式AI服務安全性的工具。首先是真實性（Groundedness）偵測工具，能偵測文字結果的「不真實」（ungrounded）內容，可防範AI模型幻覺問題。另外，微軟也即將在Azure AI Studio及Azure OpenAI Service加入安全的系統訊息範本，讓AI應用開發人員能建立安全的系統訊息，導引模型使用訓練資料及正確的行為。</p> </div></div></div>
2024/4/1 11:48作者林妍溱https://www.ithome.com.tw/news/162045
【資安週報】2024年3月25日到3月29日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期有多個已知漏洞出現首度遭利用的消息，其中1個是短短一週前才修補，就發現被利用於攻擊行動，因此特別受關注，那就是Fortinet端點管理伺服器FortiClient EMS的漏洞CVE-2023-48788。</p> <p>其他近期確認遭鎖定利用的已知漏洞，還包括：微軟SharePoint Server的漏洞（CVE-2023-24955），Ivanti EPM CSA的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44529">CVE-2021-44529</a>），以及門禁解決方案Nice Linear eMerge E3-Series OS的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-7256">CVE-2019-7256</a>）。後兩項本期資安日報尚未提及，一併補上。</p> <p>另補充<a href="http://www.ithome.com.tw/news/162040">周末一則最新消息是關於XZ Utils資料壓縮程式遭植入後門</a>，紅帽已指派漏洞CVE-2024-3094，由於此事件涉及SSHD（Secure Shell Daemon）供應鏈攻擊，正受廣泛關注。</p> <p>關於零時差漏洞攻擊的最新態勢，持續受大眾關注，隨著2023年過去，最近Google公布這方面的年度報告，我們認為，有3個現象值得大家關注：（一）針對第三方元件攻擊顯著增加；（二）針對企業裝置、資安產品攻擊，比往年增長近5成，（三）中國政府支持駭客組織發動的攻擊大增，去年利用了12個零時差漏洞發動攻擊。</p> <p>此外，關於上述提到中國駭客組織的危害，最近另一起資安新聞也提到這方面的狀況。最近美國方面有新的消息，該國司法部起訴7名參與APT31的中國公民，其財政部也宣布制裁武漢曉睿智科技（Wuhan XRZ），已確認這是一家幌子公司，背後是負責APT 31行動的中國湖北省國家安全局設立。在此同時，還有多國網路安全機構與執法單位，出面指控近年遭到中國政府支持駭客組織的攻擊，包括英國、芬蘭、紐西蘭與澳洲等。</p> <p>在最近的資安威脅態勢上，殭屍網路TheMoon的攻擊活動，是本星期的一大焦點事件。這是因為，雖然它的攻擊目標都是挾持生命週期終止（EOL）的家用及小型辦公室（SOHO）路由器、物聯網設備，但最近短短72小時內，竟有超過6千臺華碩路由器被攻佔。</p> <p>在其他威脅態勢方面，有勒索軟體與網釣工具的揭露，值得企業與資安研究人員重視，還有一些攻擊技術與資安風險的揭露，雖然存在於不同領域，但可能的危害情境貼近於生活日常，引發許多人的好奇與重視，我們整理如下：</p> <p>●勒索軟體Agenda的攻擊在去年底顯著增加，如今更是發現，攻擊活動中會利用嵌入勒索軟體檔案的PowerShell指令碼，對VMware ESXi、vCenter進行橫向感染，竄改ESXi主機root密碼。</p> <p>●網路犯罪領域有新的攻擊工具出現，被不同資安業者揭露，例如，半年多前現身的Tycoon 2FA的AiTM網釣攻擊套件，最近有被廣泛使用的情形；還有網路釣魚套件工具包Darcula，是針對手機用戶而來。</p> <p>●飯店業者注意！全球數百萬間的飯店房門能被一張複製的偽造鑰匙卡破解，有資安研究人員發現，經常被應用在飯店與住宅大樓Saflok系統的RFID電子鎖產品有漏洞（Unsaflok），由於門鎖更新或更換耗時，五個月來進度僅完成36%。</p> <p>●Google搜尋引擎近期加入SGE功能，將生成式AI融入搜尋結果，但有人發現給出的結果中，會推薦垃圾網站及惡意網站，推測可能是SEO中毒攻擊造成。</p> <p>●資安部落格<a href="https://krebsonsecurity.com/2024/03/recent-mfa-bombing-attacks-targeting-apple-users/">KrebsonSecurity指出最近出現針對蘋果用戶的「MFA轟炸」攻擊</a>，這種釣魚攻擊，涉及一個看似蘋果密碼重置功能的漏洞。雖然近期資安日報尚未報導這方面消息，但已引發不小的討論與關注。</p> <p>另外，防禦態勢上，這星期有兩項新進展，成為資安圈與開發圈的焦點。例如，上星期Pwn2Own漏洞挖掘大賽舉行，參賽的資安研究人員在8個競賽類別總計找出29個零時差漏洞，除了研究人員共獲得113萬美元的獎勵，提供產品的廠商後續也將針對這些漏洞予以修補，目前Firefox、Google以針對各自不同的2個漏洞進行修補。</p> <p>另一是美國CISA發布第4則Secure by Design Alert，強調SQL注入漏洞不該一再發生，他們並以去年駭客利用MOVEit Transfer漏洞大舉入侵為例，呼籲開發人員、軟體製造商在出廠前務必審查程式碼是否含有SQL注入漏洞。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161940"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月25日】俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader</span></strong></a></h3> <p style="margin: 0px;">近期俄羅斯駭客APT29的動作頻頻，多國政府與資安專家接連對其攻擊行動提出警告，呼籲各界強化防禦措施，以防對方從事網路間諜活動、竊取組織內部機密的情況。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">但近期有一起攻擊衝著德國政黨而來，揭露此事的資安業者Mandiant認為對方別有目的，很有可能是為了影響該國政治情勢。</p> <p><a href="https://www.ithome.com.tw/news/161956"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月26日】Google搜尋提供的AI建議竟列出詐騙網站和惡意網站</span></strong></a></p> <p>去年5月Google在I/O大會宣布啟動搜尋引擎的<a href="https://blog.google/products/search/generative-ai-search/">生成式搜尋體驗（Search Generative Experience，SGE）專案</a>，今年初開放部分用戶使用，可在完成搜尋後一併得到生成式AI的建議，然而，有專家發現，SGE竟會提供垃圾網站及惡意網站作為參考資料。</p> <p>對此，有研究人員進行調查，並指出可能是遭遇SEO中毒所致。</p> <h3><a href="https://www.ithome.com.tw/news/162004"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</span></strong></a></h3> <p style="margin: 0px;">為了突破雙因素驗證（2FA）的防護機制，駭客採用中間人攻擊（AiTM）網釣攻擊套件的情況相當氾濫，最近出現新型態的工具包Tycoon 2FA，在短短半年內，已有駭客採行而濫用超過1千個網域，引起研究人員關注。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">值得留意的是，這個套件採用多階段攻擊流程，其產生的釣魚郵件不僅具有URL，也有出現QR Code的情況，這代表行動裝置用戶也可能是對方攻擊的目標。</p> <h3><a href="https://www.ithome.com.tw/news/162015"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</span></strong></a></h3> <p style="margin: 0px;">駭客鎖定路由器、物聯網裝置等小型辦公室（SOHO）及家用網路設備發動攻擊，控制後將其組成殭屍網路，已有多起攻擊行動出現，但大多還是針對有受到支援的設備而來，如今有駭客專門針對已不再受到廠商支援的設備下手，暗中從事攻擊行動長達10年，直到最近才被發現。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">值得留意的是，這些駭客挾持設備後，專門提供網路罪犯代理伺服器服務，甚至有其他殭屍網路的經營者也是他們的客戶。</p> <h3><a href="https://www.ithome.com.tw/news/162031"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月29日】研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula</span></strong></a></h3> <p style="margin: 0px;">近期攻擊者大肆利用網路釣魚攻擊工具套件（Phishing Kit）的情況浮上檯面，繼本週有研究人員揭露專門挾持微軟365、Google帳號的套件Tycoon 2FA，鎖定行動裝置用戶的作案工具也相當值得留意。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">有資安業者揭露名為Darcula的網釣攻擊套件，並指出與其他同樣針對行動裝置而來的工具最大的不同，就是採用全程加密的通訊方式，向攻擊目標傳送誘騙內容。</p> </div></div></div>
2024/4/1 10:13作者羅正漢https://www.ithome.com.tw/news/162041
使用SSHD連接到系統的用戶當心！因為駭客供應鏈攻擊鎖定XZ Utils庫植入隱密後門，多個Linux發行版受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員Andres Freund在<a href="https://www.openwall.com/lists/oss-security/2024/03/29/4">Openwall公布</a>一起涉及SSH伺服器的供應鏈攻擊狀況，並指出問題出在XZ Utils資料壓縮程式庫被植入後門，另也說明<a href="https://access.redhat.com/security/cve/CVE-2024-3094#cve-faq">Red Hat已將此漏洞指派為CVE-2024-3094</a>，且給出CVSS v3風險層級滿分10分。</p> <p>此事件影響廣泛，Andres Freund表示，他是在調查SSH登入變慢相關問題時，最初以為發現debian裡面的套件包被入侵，但事實上是來自上游的問題，XZ程式庫與XZ的tarball檔案被植入後門，也就是軟體供應鏈攻擊。這也再次顯現開源軟體供應鏈安全的重要性。</p> <p>關於這個後門的影響，在<a href="https://www.redhat.com/en/blog/urgent-security-alert-fedora-41-and-rawhide-users">Red Hat發布的緊急安全通告</a>中也有說明，惡意程式碼修改了XZ Utils套件中名為liblzma部分程式碼的功能，這也導致每一軟體連結到XZ Utils，並允許變更與程式庫一起使用的資料，都會受到影響。而Freund所觀察到的例子，在某些特定條件下，這個後門可讓攻擊者繞過SSHD（Secure Shell Daemon）的身分認證機制，進而針對受影響的系統做到未經授權的存取。</p> <p>至於有哪些版本受影響，以XZ Utils資料壓縮程式庫而言，Andres Freund指出受影響的版本是XZ Utils的5.6.0和5.6.1；以其他使用XZ Utils的軟體系統而言，目前已確認多個多個Linux發行版本受影響，包括：Fedora Rawhide、Fedora 41、Kali Linux、openSUSE Tumbleweed與openSUSE MicroOS，以及部分Debian版本。</p> <p><a href="https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=11015">美國CISA也已經對此提出警告</a>，並建議建議開發人員與使用者可先將XZ Utils降級、恢復到未被入侵的版本，如XZ Utils 5.4.6穩定版。同時用戶也該進行事件回應、清查入侵狀況，以確定是否已經受到後門的影響。</p> </div></div></div>
2024/3/30 22:23作者羅正漢https://www.ithome.com.tw/news/162040
Nvidia在Llama 2 70B與Stable Diffusion XL模型基準測試皆拔得頭籌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>MLCommons發布了<a href="https://mlcommons.org/2024/03/mlperf-inference-v4/" target="_blank">MLPerf Inference v4基準測試套件的最新結果</a>，其中資料中心分類新增了文生圖模型Stable Diffusion XL和開源語言模型Llama 2 70B，在這兩個新模型的效能表現上，Nvidia系統皆位居第一。而邊緣系統新增的Stable Diffusion XL模型測試，則由Wiwynn提交的系統在效能上獲得領先。</p> <p>MLPerf Inference基準測試套件涵蓋資料中心和邊緣系統，目的是要衡量硬體系統，在各種場景中執行人工智慧與機器學習模型的速度。MLCommons由專門的工作小組，評估當前階段生成式人工智慧的發展，決定納入基準測試的模型。</p> <p>在考量模型授權、易用性、部署和決策的準確性，工作小組決定在Inference 4.0套件中加入兩個新模型，一個是具有700億參數的Llama 2 70B來代表大型模型，另一個則選擇用來代表文生圖生成式人工智慧模型的Stable Diffusion XL。</p> <p>Llama 2 70B相比MLPerf Inference v3.1所納入的GPT-J模型大一個量級，結果也更加準確，工作小組解釋，之所以需要加入一個像是Llama 2 70B這樣的大型語言模型，是因為與較小的語言模型相比起來，執行Llama 2 70B需要不一樣的等級的硬體，而這便成為高階系統一個良好的基準。</p> <p>而之所以工作小組還選擇Stable Diffusion XL，則是因為其擁有26億參數，透過生成大量圖像，基準測試能夠計算延遲和吞吐量等指標，了解系統整體效能。目前MLPerf Inference v4.0中已經有三分之一的基準測試，是針對生成式人工智慧工作負載，包括了小型、大型語言模型與文生圖生成器，以確保MLPerf Inference基準測試可以跟上最先進的技術。</p> <p>共有23個組織提交MLPerf Inference 4.0測試結果，包括ASUSTeK、Azure、Google、Intel、Juniper Networks、Qualcomm、Red Hat、Supermicro與Wiwynn等公司，MLCommons共收到8,500個效能結果以及900個功耗測試結果。</p> <p>MLPerf Inference 4.0資料中心類別中，Nvidia的系統在新加入的兩個模型測試Llama 2 70B與Stable Diffusion XL，皆拿到了效能表現第一，而在邊緣環境的類別，則是由Wiwynn所提交，使用兩個Nvidia L40S GPU所組成的系統，獲得Stable Diffusion XL模型效能表現第一。</p> </div></div></div>
2024/3/29 19:49作者李建興https://www.ithome.com.tw/news/162037
美國要求每個聯邦機構設立AI長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/03/28/fact-sheet-vice-president-harris-announces-omb-policy-to-advance-governance-innovation-and-risk-management-in-federal-agencies-use-of-artificial-intelligence/" target="_blank">美國行政管理和預算局（Office of Management and Budget，OMB）周四（3/28）發布</a>第一個橫跨所有美國政府機構的人工智慧（AI）政策，在減輕AI風險的同時也利用AI優勢，同時實現美國總統拜登（Joe Biden）去年10月所<a href="https://www.ithome.com.tw/news/159572" target="_blank">簽署的首個AI行政命令</a>。OMB所揭露的其中一項政策，便是要求每一個聯邦機構都必須設立負責主導與執行AI政策的AI長（Chief AI Officer，CAIO）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-biden-ai-excutive%20order-960.jpg" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美國白宮</span></span></p> <p>本周OMB的新政策主要是依據拜登的行政命令所制定，包括解決使用AI所帶來的風險，擴大使用AI的透明度，推動負責任的AI創新，發展AI人力，以及強化AI的治理，其中，在強化治理上即要求每個聯邦機構都必須設立AI長，以主導及監督機構對AI的使用。</p> <p>根據<a href="https://www.whitehouse.gov/wp-content/uploads/2024/03/M-24-10-Advancing-Governance-Innovation-and-Risk-Management-for-Agency-Use-of-Artificial-Intelligence.pdf" target="_blank">OMB所頒布的完整政策</a>，各個聯邦機構必須在60天內指定AI長，也可指定既有的官員擔任，理想人選包括資訊長、資料長、技術長或其他具備類似能力的對象。</p> <p>這些CAIO的職責主要是與其它相關機構及官員協調對AI的使用，推動AI創新，管理AI風險。具體任務包括作為機構的AI高級顧問，建立必要的AI治理與監督流程，掌握機構對AI的使用，參與機構的AI政策制定，辨識哪些任務可以採用AI，移除使用AI的門檻，監督AI使用是否合乎規定，以及進行機構內AI應用的風險評估等。</p> <p>總之，OMB希望藉由每一個聯邦機構內的CAIO來負責推動及履行其AI政策。此外，美國政府也承諾會在今年夏天聘請100名AI專家，以促進AI的可靠性與安全使用。</p> </div></div></div>
2024/3/29 17:20作者陳曉莉https://www.ithome.com.tw/news/162036
零售IT雙周報第31期：自助結帳退燒？2大美國零售商縮減自助結帳機使用的理由
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0317~0330)</strong></p> <p>疫情中，無接觸結帳成為零售業熱門議題，帶動自助結帳機市場快速成長。不過，到了後疫情時代，消費者偏好開始改變，許多自助結帳的問題也開始浮現，使不少零售業者逐漸減少對自助結帳的依賴。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#自助結帳</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#財貨損失</span></span><br /> 省了人事虧了商品！美國連鎖五元店Five Below將降低自助結帳比例以降低財貨損失</strong></p> <p>分店超過1,400家的美國連鎖五元店Five Below，近年為了降低店員人事成本，大量引進自助結帳機。不過，<a href="https://www.fool.com/earnings/call-transcripts/2024/03/20/five-below-five-q4-2023-earnings-call-transcript/">最近法說會中，Five Below</a> CEO Joel Anderson宣布將逐漸減少店內自助結帳機，來防止店內商品損失。商品損失原因不只有遭外人竊盜，還有消費者漏刷誤刷、商品遺失、店員竊盜等。</p> <p>Joel Anderson說明，他們半年來測試了許多防止商品損失的措施，包括部署更多警衛等，但更有效的做法，還是減少自助結帳機跟部署更多店員。現在，Five Below不再有無人店，且高商品損失率門市會改回以真人結帳為主要結帳管道。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#自助結帳</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#結帳效率</span></span><br /> Target靠限制自助結帳商品數量，提升了2倍結帳效率</strong></p> <p>無獨有偶的，美國生鮮百貨巨頭<a href="https://corporate.target.com/press/fact-sheet/2024/03/checkout-improvements">Target也決定調整自助結帳政策</a>。他們在部落格中寫道，疫情期間，消費者非常愛用自助結帳機，是因為其無接觸特性。現環境下，消費者更注重簡單和便利，因此零售業者該優先考量如何快速消化結帳隊伍。</p> <p>Target採取的策略是，將自助結帳機作為快速結帳線。根據半年A/B測試結果，他們發現，當自助結帳機只接受10件或以下商品，自助結帳動線便能消化2倍顧客數量。為了增加門市結帳效率，他們將全面採用這個商品數限制政策，同時加開更多人工結帳動線。</p> <p>許多零售業者乘著自助結帳熱潮，投資自助結帳機來降低人事成本。Target則從疏通結帳人潮出發，反而投入更多店員於結帳，並將自助結帳機定位為分流工具，而非人工結帳的替代品。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#物流規畫工具</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#路線規畫</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#貨車空間優化</span></span><br /> Walmart將自家物流規畫系統作為SaaS商品販賣</strong></p> <p><a href="http://https://corporate.walmart.com/news/2024/03/14/walmart-commerce-technologies-launches-ai-powered-logistics-product">零售龍頭Walmart</a>將把自家物流規畫系統<a href="https://commerce.walmart.com/content/walmart-commerce-tech/en_us/our-solutions/route-optimization.html">Route Optimization</a>作為SaaS商品販賣給其他零售商。功能包含送貨路線及回頭車路線規畫、貨車裝載優化、物流阻礙應對等。</p> <p>送貨路線及回頭車路線規畫功能，不只會根據時間及地點，還會考慮每一站規定到貨時間。貨車裝載優化功能會根據空間利用率及生鮮商品溫度控制需求，來分配貨車載貨空間。物流阻礙應對功能會因應天氣、交通等情況，快速調整物流規畫。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#開店平臺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#直播電商</span></span><br /> Momo推出RMN、開店平臺及直播節目製作工具</strong></p> <p>Momo去年3月透露進軍廣告業務的意圖後，於同年第4季上線RMN服務Momo Ads。這是個一站式自助投廣平臺，供應商要使用廣告服務，不需事先串接任何系統。廣告採取即時競價機制（RTB，Real-time Bidding），由Momo打造的推薦演算法和CTR/CVR預估模型，來進行精準行銷及行銷成效估算。</p> <p>除了推出投廣平臺，Momo還推出了開店平臺及直播用App，要推動旗下B2B2C電商及直播電商。開店平臺目前採邀請進駐制，希望招募商品品項少量多樣的店家，販售傳統B2C電商不容易找到的商品。直播App則是讓平臺上商家能自行製作簡單直播電商節目，不再只能上Momo官方頻道直播。（<a href="http://https://www.ithome.com.tw/news/161959">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#降低RMN技術門檻</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#第一手零售數據</span></span><br /> 不用自行打造RMN！Google將開放零售商用第一手數據經營搜尋廣告業務</strong></p> <p>即使手握大量第一手顧客及交易數據，零售業者要用這些數據來發展RMN等數位行銷業務，難免需要投入大量開發人力及時間成本，形成技術及資本門檻。不過，<a href="https://blog.google/products/marketingplatform/360/empowering-the-retail-media-ecosystem-with-search-ads-360/">Google搜尋廣告服務Search Ads 360近期開放零售業者用第一手數據在該平臺上經營廣告業務，</a>有望打破現狀。</p> <p>這個新模式的運作方法是，零售業者可以選擇開放特定廣告主使用自家數據來支援精準行銷，並管控數據共享內容，例如只給合作品牌相關的行銷數據及銷售數據。不過，若廣告主同時獲得多家零售業者授權使用數據，廣告主便能整合不同家零售業者數據來投放廣告。這種模式不只能降低零售業者變現數據為廣告收入的難度，還有助於他們拓展自家RMN服務範疇，甚至打破RMN與其他數位行銷通路的隔閡。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#汽車經銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#數位素材製作</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#數位內容管理</span></span><br /> 汽車經銷商Vospers導入AI圖像素材處理工具，降低線上賞車內容的製作門檻</strong></p> <p>拍出清晰、有質感的汽車照片，來強化線上賞車體驗，是汽車經銷商一大課題。<a href="https://www.auto-imaging.com/articles/vospers-introduces-new-digital-imaging-tech/">英國汽車經銷商Vospers導入AI圖像素材處理工具</a>，以加速數位素材製作，並強化線上賞車體驗。門市銷售員用手機拍攝汽車外觀時，此工具會根據汽車廠牌規格來提示銷售員拍攝角度，並快速檢查照片品質。此工具接著會自動去背並加入統一照片背景，還能根據汽車規格及照片，生成介紹影片。</p> <p>上傳數位素材到賞車網站後，此工具還有簡單的內容管理系統（CMS）功能，方便總部統一管理這些素材。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#會員經營</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#雲端技術</span></span><br /> 日本全家揭露自家用雲端技術支援數位會員經營的做法</strong></p> <p>日本全家便利商店近日揭露自家用雲端技術支援會員經營的做法。日本全家經營會員的核心工具是支付App FamiPay，下載量超過1900萬次，有個人化行銷、數位內容呈現、集點等功能。此App後臺串接了全家以外許多金融、零售及其他行銷生態系的系統，搭配日本全家每個月同時進行60個以上行銷活動，需要處理大量且複雜的數據。</p> <p>不只平時數據流量大，早餐與中餐時段，數據流量還會再增加。因應這種周期性波動，他們將App上不同的服務及資料庫建置於Amazon EC2、ECS、Aurora、RDS等環境，以根據交易量彈性調整IT資源使用量。並且，啟用公有雲上的災難恢復和資料備份功能，以在意外發生時，能最小化服務中斷時間。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span></p> <p>1. 開店平臺Shopline新增<a href="https://blog.shopline.tw/photoroom-shopline-ai/">AI圖像編輯工具</a>及<a href="https://blog.shopline.tw/shopline-wavenet-cdp/">CDP功能</a></p> <p>2. WSJ報導，<a href="http://https://www.wsj.com/business/shein-to-market-its-unique-supply-chain-technology-to-global-brands-32fa0ed8">快時尚電商Shein也有意將自家供應鏈管理技術商品化</a></p> <p>3. <a href="https://www.businesswire.com/news/home/20240314778881/en/Walmart-and-unspun-Collaborate-on-3D-Fabric-Weaving-Technology-Aiming-To-Reduce-Apparel-Manufacturing-Waste-and-Drive-US-Based-Manufacturing">Walmart開始嘗試運用3D編織技術來生產自家旗下衣著產品線</a>，以期降低碳足跡及布料浪費</p> <p>資料來源：iThome整理，2023年3月</p> <p>責任編輯：郭又華</p> <p> </p> </div></div></div>
2024/3/29 17:27作者郭又華https://www.ithome.com.tw/news/162035
中華電信、遠傳將在6/30前關閉3G網路，手機不支援VoLTE將無法通話
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國內3G網路關閉進入百日倒數!中華電信、遠傳電信相繼宣布獲NCC同意，將在6月30日前關閉3G網路，台灣大哥大也可望跟進，現有用戶如果手機沒有支援VoLTE將無法通話，為保持通話，用戶應儘快檢查手機是否支援VoLTE。</p> <p>中華電信表示，3G網路在國內已使用近20年，關閉3G網路後，未來釋出頻率、基地臺站點資源將轉投入5G，以提升5G服務品質。3G網路關閉後，4G與5G的語音通話將改為VoLTE（Voice over LTE），即4G的網路語音通話服務，中華已在2017年開始提供VoLTE，2018年1月起銷售的新手機支援VoLTE，2022年12月開始旗下用戶免費提供VoLTE通話服務。</p> <p>中華電信用戶如果想確認現在使用的手機是否已使用VoLTE通話，以三星手機為例，如果已使用VoLTE，手機右上角顯示VoLTE字樣。中華電信官網也提供用戶查詢使用的SIM卡及手機是否支援VoLTE。</p> <p>另一家電信業者在6月30日前關閉3G網路後，也將資源轉投入4G與5G服務，由於仍有少數用戶使用的手機不支援VoLTE，通話採用3G行動語音通話，遠傳電信也針對低資費用戶、銀髮族祭出月租費149元，來吸引用戶升級新手機，以支援VoLTE網路語音通話。</p> <p>遠傳電信指出，目前在國際上，隨著4G、5G服務的普及，3G逐漸功成身退，美國已全部換為VoLTE，日本的SoftBank也將在4/15關閉3G網路，未來轉為VoLTE網路語音通話之後，4G用戶不再像過去語音通話需CSFB，以3G網路通話，導致同時間4G上網變慢，VoLTE讓4G用戶語音通話的同時，維持4G網路瀏覽的品質。VoLTE也享有較好的語音通話品質，聲音較為清晰，並且接通電話縮短至最快只要1秒。</p> <p>台灣大哥大截稿為止，尚未發布訊息，但根據NCC先前對外宣布，國內3家電信都會在第2季之前關閉3G網路，中華電信、遠傳電信先後宣布3G網路將在6月30日前退場之後，台灣大哥大相信也會在相近時間點關閉3G網路。</p> </div></div></div>
2024/3/29 15:33作者蘇文彬https://www.ithome.com.tw/news/162033
加密貨幣交易平臺FTX創辦人SBF因詐欺被判刑25年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，美國聯邦法官Lewis Kaplan周四（3/28）裁定，加密貨幣交易平臺FTX創辦人暨執行長Sam Bankman-Fried（SBF）因詐欺等7項罪名，應入獄服刑25年，同時也要求SBF必須繳納110億美元的罰款。</p> <p>現年32歲的SBF是在2019年與Gary Wang共同創立了FTX，並擔任FTX執行長，擁有一頭不羈捲髮的SBF在2021年便登上了富比士30位30歲以下精英榜（Forbes 30 Under 30），FTX在2022年還創下了320億美元的市值，並推升SBF成為全美前五十大最富有的人之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-FTX-SBF-%E7%BF%BB%E6%94%9D%E8%87%AA%E7%B6%B2%E8%B7%AF.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">翻攝自網路</span></span></p> <p>然而，快速崛起的FTX與SBF也迅速殞落，加密貨幣媒體<a href="https://www.coindesk.com/business/2022/11/02/divisions-in-sam-bankman-frieds-crypto-empire-blur-on-his-trading-titan-alamedas-balance-sheet/" target="_blank">《CoinDesk》在2022年11月2日踢爆</a>，FTX與同樣由SBF創辦的做市商Alameda Research之間的關係過於緊密，並有不正常的資金流動關係，消息曝光後FTX即<a href="https://www.ithome.com.tw/news/154101" target="_blank">出現擠兌現象</a>，FTX所發行的加密貨幣FTT價格也開始下滑，一周後SBF即出面<a href="https://www.ithome.com.tw/news/154152" target="_blank">坦承自己搞砸了</a>，十天後（11/11）FTX便<a href="https://www.ithome.com.tw/news/154165" target="_blank">聲請破產保護</a>。</p> <p>在美國政府的要求下，巴哈馬警方在2022年的12月12日逮捕了已把FTX總部搬到當地的SBF，隔天美國即正式<a href="https://www.ithome.com.tw/news/154700" target="_blank">控告SBF</a>。去年11月，<a href="https://www.justice.gov/usao-sdny/pr/statement-us-attorney-damian-williams-conviction-samuel-bankman-fried" target="_blank">SBF被判處了7項罪名</a>，主要為各種詐欺及洗錢，最高可判處110年刑期。</p> <p>在FTX創立3年多以來，總計投資或成立了逾130家關係企業，SBF不僅擅自將FTX客戶的資金轉移到Alameda Research，還利用Alameda Research的名義展開風險投資、購買房地產及進行政治捐款。在FTX申請破產保護之後接手執行長的John Ray指出，在SBF帶領下的FTX於2021年至2022年間進行一場消費狂潮，大撒50億美元的資金投資與購買了許多不值錢的企業，而且FTX與Alameda Research之間的資產混淆不清，還借給內部人員逾10億美元。</p> <p>Ray更說這輩子從未看過有如FTX般混亂的企業內控，FTX用來儲存客戶資產的系統與金鑰缺乏安全控制，該平臺亦無財務或風險管理人員，整個集團亦缺乏獨立治理能力。</p> <p><a href="https://storage.courtlistener.com/recap/gov.uscourts.nysd.590940/gov.uscourts.nysd.590940.410.0_2.pdf" target="_blank">美國檢察官認為</a>SBF至少讓投資人損失超過100億美元，要求法官判處40~50年的刑期。而根據<a href="https://www.coindesk.com/policy/2024/03/28/sam-bankman-fried-ftx-sentencing/" target="_blank">《CoinDesk》</a>的報導，法官Kaplan同意SBF對債權人造成了巨大傷害，卻在作證期間明顯缺乏悔意，這主要是因為SBF的律師群的辯解策略為將他描述成一個書呆子，是根據數學而非惡意作出各種決定。</p> </div></div></div>
2024/3/29 16:14作者陳曉莉https://www.ithome.com.tw/news/162034
【資安日報】3月29日，研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期攻擊者大肆利用網路釣魚攻擊工具套件（Phishing Kit）的情況浮上檯面，繼本週有研究人員揭露專門挾持微軟365、Google帳號的套件Tycoon 2FA，鎖定行動裝置用戶的作案工具也相當值得留意。</p> <p>有資安業者揭露名為Darcula的網釣攻擊套件，並指出與其他同樣針對行動裝置而來的工具最大的不同，就是採用全程加密的通訊方式，向攻擊目標傳送誘騙內容。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.netcraft.com/blog/darcula-smishing-attacks-target-usps-and-global-postal-services/"><strong style="font-size: 22px;">iPhone用戶遭到網釣攻擊套件Darcula鎖定，藉由iMessage散布釣魚簡訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Darcula-5-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Darcula-5-2.png" style="width: 300px; float: right;" /></a>資安業者Netcraft揭露針對手機用戶而來的網路釣魚套件工具包Darcula，開發這項產品的人以服務租用型式（Phishing-as-a-Service，PhaaS）供應市場，此攻擊套件濫用2萬個網域、假冒各式知名品牌、針對超過100國家的用戶而來。</p> <p>這個網釣套件在去年夏天首度被發現，但研究人員指出，駭客利用該工具的情況越來越氾濫，他們解析套件的內容，指出與其他同類型攻擊工具相當不同，Darcula採用JavaScript、React、Docker、Harbor等技術，使得開發者能持續加入新功能，用戶無須重新部署工具包就能導入。買家一旦取得工具包，可指定範本執行安裝指令碼，將採用React開發的釣魚網站部署到Docker環境，並透過Harbor管理Docker映像檔。提供服務的開發者通常透過.top、.com頂級網域名稱（TLD）代管買家所需網域，其中近三分之一是採用Cloudflare的服務。</p> <p>別於其他針對手機的網釣套件採用SMS簡訊傳遞誘騙內容，Darcula則是透過iMessage攻擊iPhone用戶，而對於安卓手機，對方則是透過進階通訊解決方案（Rich Communication Services，RCS）來進行，原因是這兩種管道都採用全程加密，使得資安系統難以解析、過濾。</p> <p><a href="https://securelist.com/dinodasrat-linux-implant/112284/"><strong style="font-size: 22px;">木馬程式DinodasRAT鎖定Linux主機而來，攻擊範圍涵蓋臺灣、中國、土耳其</strong></a></p> <p>去年10月資安業者ESET揭露Operation Jacana攻擊行動，當中提及駭客使用名為DinodasRAT（亦稱XDealer）的惡意程式攻擊蓋亞那政府，但如今有研究人員發現，駭客不只針對Windows電腦，也對於Linux作業系統打造對應的惡意程式。</p> <p>資安業者卡巴斯基指出，他們在ESET公布上述事故後，發現Linux版本的DinodasRAT，該惡意程式主要針對以Red Hat為基礎的Linux作業系統，以及Ubuntu而來，一旦啟動將先檢查受害環境，然後藉由呼叫daemon功能函數在後臺運作、利用SystemV或SystemD執行指令碼，以及透過主要處理程序的ID（PPID）重新啟動惡意程式的方式，以便持續於受害電腦上運作。</p> <p>研究人員指出，對方疑似在2021年打造出第1個版本Linux惡意程式，並在次年用於攻擊行動，根據遙測資料，臺灣、中國、土耳其、烏茲別克是受害最嚴重的國家。</p> <p><a href="https://www.bleepingcomputer.com/news/security/cisco-warns-of-password-spraying-attacks-targeting-vpn-services/"><strong style="font-size: 22px;">思科針對啟用VPN功能的防火牆用戶提出警告，疑與殭屍網路攻擊有關</strong></a></p> <p></p> <p>3月26日<a href="https://www.cisco.com/c/en/us/support/docs/security/secure-firewall-threat-defense/221806-password-spray-attacks-impacting-custome.html">思科發布資安公告</a>，指出他們得知啟用遠端存取VPN服務（RAVPN）的防火牆遭遇密碼潑灑（password spray）攻擊的情況，對此該公司提供入侵指標（IoC）及防禦建議。</p> <p>研究人員Aaron Martin認為，上述公告很可能與<a href="https://annoyed.engineer/2024/03/23/the-brutus-botnet/">名為Brutus的殭屍網路攻擊行動</a>有關，他與另一名研究員Chris Grube在3月15日發現該殭屍網路，他們找到超過2萬個與之有關的IP位址，對方針對Fortinet、Palo Alto Networks、Sonicwall、思科等多個廠牌的SSL VPN系統發動攻擊。</p> <p>特別的是，為了迴避偵測，此殭屍網路發動攻擊時，每嘗試6次登入就會更換1組IP位址。而對於攻擊者的身分，研究人員表示仍不清楚，但他們發現其中2個IP位址曾被俄羅斯駭客組織APT29利用。</p> <p><a href="https://www.bleepingcomputer.com/news/security/pypi-suspends-new-user-registration-to-block-malware-campaign/"><strong style="font-size: 22px;">為因應惡意軟體攻擊，PyPI套件庫再傳暫停用戶註冊、成立新專案</strong></a></p> <p></p> <p>3月28日PyPI維護團隊表示，<a href="https://status.python.org/incidents/dc9zsqzrs0bv">他們暫停成立新專案、新用戶註冊</a>，原因是遭遇了惡意軟體上傳攻擊行動。</p> <p>針對這起事故，<a href="https://checkmarx.com/blog/pypi-is-under-attack-project-creation-and-user-registration-suspended/">資安業者Checkmarx指出</a>，他們看到攻擊者在前一天就上傳365個惡意套件，這些套件的名稱偽裝成合法專案，其共通點是在安裝組態設定檔setup.py裡含有惡意程式碼，一旦開發者安裝惡意套件，電腦就會從遠端伺服器取得額外酬載，最終開發者的電腦會被植入竊資軟體。為了迴避偵測，對方利用名為Fernet的模組對惡意程式碼進行加密處理，遠端伺服器的URL也是動態產生。</p> <p><a href="https://blog.checkpoint.com/securing-the-cloud/pypi-inundated-by-malicious-typosquatting-campaign/">資安業者Check Point也對此公布他們的觀察</a>，指出駭客前後分兩個階段，總共上傳超過500個惡意套件，值得留意的是，每個開發者帳號只會上傳1個套件，因此他們推測，對方應是透過自動化的方式從事攻擊。而這已非PyPI因類似的資安事故採取類似行動，去年5月20日，他們就因遭遇大量惡意惡意軟體上傳而暫停用戶註冊、建立新專案。</p> <p><a href="https://finance.ettoday.net/news/2708466"><strong style="font-size: 22px;">華南永昌證券員工透過Line洩露客戶下單資料，遭停職1個月，公司被罰30萬</strong></a></p> <p></p> <p>3月27日金管會證期局發布公告，指出證券商業同業公會於去年12月5日對華南永昌證券進行專案查核，發現海外商品部王姓業務人員將客戶委託下單的資料，分享至公司Line群組，他們依證券交易法第56條，停止該員1個月業務予以處分。</p> <p>而對於公司的部分，金管會認為華南永昌證券未善盡監督管理責任，以及未落實執行內部控制制度，依照證券交易法第178條之1第1項第4款規定，處30萬元罰鍰。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://labs.guard.io/cve-2024-21388-microsoft-edges-marketing-api-exploited-for-covert-extension-installation-879fe5ad35ca"><strong style="font-size: 22px;">微軟Edge瀏覽器存在漏洞，攻擊者有可能暗中植入惡意延伸套件</strong></a></p> <p>資安業者Guardio揭露去年11月向微軟通報的漏洞CVE-2024-21388，此漏洞存在於Edge瀏覽器，攻擊者可針對支援市場行銷活動的API進行濫用，在使用者不知情的情況下部署具有多種權限的擴充功能。</p> <p>對此，微軟獲報後於今年1月發布121.0.2277.83版予以修補，並指出此弱點若遭利用，對方可以取得安裝擴充套件的相關權限，但攻擊者必須在行動前採取額外的準備工作。</p> <p>Guardio的研究人員指出，根據他們的調查，攻擊者只要能在bing[.]com或microsoft[.]com執行JavaScript，就能透過上述漏洞安裝已上架於Edge擴充套件市集的任意套件，過程完全無需使用者互動。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.cna.com.tw/news/ait/202403280363.aspx"><strong style="font-size: 22px;">台灣資安大聯盟拜會立院黨團交換意見，藍綠白三黨團皆表示支持</strong></a></p> <p></p> <p>網路威脅日益嚴峻，由國內多個資安領域民間團體發起的「台灣資安大聯盟」，3月28日拜會立法院朝野黨團，就資安法制完善、資源分配及人才培育等課題，與朝野立委交換意見。</p> <p>民進黨立法院黨團總召柯建銘表示，對於資安相關管理法修法及良善政策，歡迎聯盟就資安法規修訂及政策提出具體可行作法。國民黨立委林沛祥指出，臺灣現有的資安法規不夠完整，需要業界建言並提出方向。民眾黨立委林國成認為，希望該聯盟就預算分配、教育培育等面向，提出具體建議。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.cisa.gov/news-events/alerts/2024/03/26/cisa-adds-one-known-exploited-vulnerability-catalog"><span style="font-size: 20px;">CISA警告SharePoint的程式碼注入漏洞CVE-2023-24955已被用於攻擊行動</span></a></strong></p> <p></p> <p><a href="https://www.securityweek.com/splunk-patches-vulnerabilities-in-enterprise-product/"><strong style="font-size: 20px;">Splunk修補旗下產品的高風險漏洞</strong></a></p> <p><a href="https://www.darkreading.com/cyberattacks-data-breaches/vietnam-securities-broker-suffered-cyberattack-that-suspended-trading"><strong style="font-size: 20px;">越南證券商遭受網路攻擊，被迫暫停交易</strong></a></p> <p></p> <p><a href="https://blog.eclecticiq.com/operation-flightnight-indian-government-entities-and-energy-sector-targeted-by-cyber-espionage-campaign"><strong><span style="font-size: 20px;">竊資軟體HackBrowersData鎖定印度政府機關、能源業者而來</span></strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/inc-ransom-threatens-to-leak-3tb-of-nhs-scotland-stolen-data/"><strong><span style="font-size: 20px;">勒索軟體駭客組織INC Ransom聲稱入侵蘇格蘭國家醫療服務體系，竊得3 TB資料</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162015"><strong>【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162004"><strong>【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161956"><strong>【3月26日】Google搜尋提供的AI建議竟列出詐騙網站和惡意網站</strong></a></p> </div></div></div>
2024/3/29 11:59作者周峻佑https://www.ithome.com.tw/news/162031
Amazon推出Amazon One掌紋掃描程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於2020年<a href="https://www.ithome.com.tw/news/140274" target="_blank">推出掌紋辨識系統Amazon One</a>之後，Amazon終於在本周四（3/28）發表了Amazon One行動程式，允許使用者透過iPhone或Android手機拍攝自己的掌紋以建立掌紋簽章，而不必再透過實體店面的Amazon One裝置來掃描掌紋。</p> <p>Amazon One掌紋身分辨識系統主要應用於美國市場，包括超過500家的Whole Foods Market商店，多家的Amazon直營實體店面，以及與Amazon合作的逾150家的第三方服務，如體育館、機場、健身中心或便利商店等。過去使用者必須在上述店面透過專有的Amazon One裝置來掃描與註冊掌紋，之後再利用自己的掌紋來付帳、入場、驗證年紀，或是兌現忠誠度獎勵等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-Amazon%20One%20app-palm-4.png" style="width: 600px;" /></p> <p>儘管上線已超過3年，但使用Amazon One掌紋服務的累計次數僅有800多萬，不過，根據Amazon的統計，在Whole Foods Market及Amazon商店用過Amazon One來付款的用戶，有超過8成都會重覆使用。</p> <p>現在Amazon決定進一步推廣Amazon One，降低註冊Amazon One的門檻，使用者只要下載Amazon One程式，就能登入Amazon帳號，拍攝自己的掌紋，上傳到Amazon One專用的伺服器上，即可於支援Amazon One的商家或地點使用；此外，Amazon One程式還能建立自己的線上檔案及添加付款方式。不過，採用Amazon One程式的使用者要在首次將手掌懸停在Amazon One裝置上進行比對後，才算完成註冊。</p> <p>Amazon表示，此一行動程式將讓使用者更方便先行建立自己的掌紋簽章，而不必在結帳時花費額外的時間進行註冊，對零售商而言，也能確保更順暢的店內體驗。</p> <p>根據Amazon的說明，Amazon One會查看使用者的手掌與底層靜脈結構，以建立獨特的掌紋簽章，再利用AI來比對使用者所拍攝的掌紋及Amazon One裝置所掃描的掌紋，且掌紋資訊是存放在安全的AWS環境中，而不會留在使用者裝置上。</p> <p>Amazon並未公布迄今有多少使用者註冊了自己的掌紋簽章。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> </div></div></div>
2024/3/29 11:58作者陳曉莉https://www.ithome.com.tw/news/162030
本土電商跨足數位行銷，一年創造3億交易額RMN先行者Pinkoi五年跨界轉型路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一兩年，臺灣零售業吹起了一陣跨界廣告業的風潮。Momo、全家，都在去年推出了零售媒體聯播網（RMN，Retail Media Network）服務，利用龐大第一手資料，以及零售通路優勢，驅動數位廣告業務。</p> <p>RMN是一種新型態廣告概念，零售業者將自家零售場域作為廣告版位，開放給廣告主，並利用零售第一手顧客資料和交易資料來支援精準行銷。處於零售場域的消費者，購買意願通常較高，廣告能更有效轉換為實際購買行為。這個過程中，零售業者不只能獲得廣告收入，廣告轉換成的購買行為，也會成為零售業者營收。</p> <p>RMN崛起，外部因素是第三方Cookie逐漸退場，許多數位廣告形式將失去精準投廣及追蹤成效的依據。使用零售業者第一手數據的RMN不受影響，形成相對優勢，吸引了大量廣告主。內部因素則是，許多零售業者觀察到國外RMN趨勢，且自家會員數據建設和會員經營做法趨於成熟，有能力進一步發展RMN。</p> <p>在這個多數RMN都在開發中或剛上線的環境中，臺灣有一家電商，已經靠RMN帶來一年3億元交易量，總營收3成來自廣告費的貢獻。它是設計類垂直電商Pinkoi，早在5年前，就已經開始用從頭自行打造廣告技術，來經營RMN服務。</p> <p>儘管RMN業績亮眼，Pinkoi SaaS產品負責人李少昱直言，Pinkoi打造RMN服務，一開始並不是為了廣告收入。</p> <p><strong>打造RMN服務初衷是為了強化賣家經營能力</strong></p> <p>Pinkoi的RMN服務源自2015年的一次架構翻新。當時，他們開始翻新數據技術架構，不只要強化利用數據驅動決策的管理模式，更要用自家設計領域數據來開發專屬AI推薦模型，來取代規則式推薦機制，進行個人化商品推薦。</p> <p>當數據技術架構及應用發展到一定程度，Pinkoi開始思考，除了用於個人化推薦，還能如何運用手上大量顧客、商品及交易數據。當時，他們接收到了許多賣家主動許願，希望有提升自己商品曝光機會的付費機制。</p> <p>李少昱解釋，賣家這個需求，來自當時商品推薦機制演算法的侷限。當時的商品推薦機制，全靠同一套演算法，商家必須要累積足夠優良交易紀錄，才容易獲得這套演算法的推薦。這意味著，新進商家大多難以直接和既有商家競爭曝光度，得經歷一段沒沒無聞的日子，慢慢讓演算法認識自己。</p> <p>為了打破這種情況，不少商家希望有一種機制，可以加快累積優良交易的速度，或在特定促銷檔期提升業績。回應這個需求，Pinkoi決定投入高達4成工程資源，開發出了廣告商品排序演算法、即時競價機制、廣告投放機制、廣告內容呈現機制等RMN系統所需基礎建設，並於2019年正式上線RMN服務。</p> <p>服務上線頭2年，願意投放廣告的賣家不多，Pinkoi花了大把時間和賣家溝通在RMN行銷的價值，以及摸索RMN技術細節。隨著技術成熟度和市場接受度持續發展，2021年，RMN廣告主的數量開始出現驚人的2位數成長率。</p> <p>緊接著，臺灣疫情進入高峰期，促使許多賣家開始積極投放數位廣告，為RMN注入又一波成長動能。Pinkoi把握住了這幾波成長。使用過RMN的賣家高達9成會持續使用。</p> <p>Pinkoi不斷增加行銷功能，陸續提供了促銷單件商品、促銷商品組合、品牌推廣等廣告類型，也先後增加在首頁、搜尋結果，以及穿插在商品頁面下面的推薦版面。去年還新增了分眾推播廣告，不須等待顧客造訪商城，而是系統根據顧客興趣數據，主動推播品牌廣告。這些廣告支援網頁版、iOS及Android商城。</p> <p>他們還持續強化RMN底層技術，不只用顧客數據來支援精準商品推薦，更開始用AI模型分析商家成長模式，判斷商家下一步成長策略，向商家推薦RMN廣告投放策略及參數設定。例如商家已有穩定客源，系統會建議下一步成長動能是獲取新客源，投放策略得重視陌生潛在買家的曝光。</p> <p><strong>經營RMN最大挑戰──平衡使用者體驗與行銷成效</strong></p> <p>賣家或品牌主投放廣告時，Pinkoi背後的AI會自動推薦行銷目標、廣告受眾、設定預算，以周為單位優化策略，還會分析成效及下次目標。</p> <p>Pinkoi的RMN採取廣告即時競價（RTB，Real-time Bidding）方式。廣告主設定投放參數和行銷預算後可以開始競價，贏得競價，在廣告曝光後會產生廣告費用。不過，Pinkoi的RTB機制並非價高者得，而是依據產品品質、廣告內容對顧客關聯性等多種維度綜合考量──出價僅是眾多排序因素之一。</p> <p>李少昱進一步說明，採取這個廣告投放模式，是希望商家不要過度投入時間心力鑽研投放策略的細節。「與其精算出價多少才能勝過競爭對手，我們希望商家聚焦在提升商品品質及風格的呈現，對整體顧客體驗也會更好。」</p> <p>注重顧客體驗的精神，不只體現在RTB非價高者得的特性，也體現在Pinkoi的廣告版面設計上。付費的廣告內容雖然可以提高排序，但幾乎不會採取任何形式強調的設計，而是會與其他非廣告的推薦商品並列。</p> <p>不過，李少昱說，這個堅持，帶來Pinkoi經營RMN服務的最大挑戰──如何在多方利害關係人需求間，找到顧客體驗與行銷成效之間的平衡點。</p> <p>他進一步解釋，從廣告主角度來看，廣告預算的投資報酬率越高越好。但從Pinkoi角度來看，將廣告內容設計得太醒目、過於干擾顧客瀏覽網站的操作，雖然短期有機會增加轉換率，長期來說卻會降低顧客造訪商城的意願，因而打擊到所有人。</p> <p>如何拿捏，Pinkoi需要協調內部不同部門和下廣告的商家，一方面溝通使用者體驗的重要，另一方面則要找出商家及Pinkoi都可以接受的行銷手段和廣告版位設計方法。李少昱自豪的說，雖然協調過程不易，但堅持顧客體驗優先，使他們幾乎沒有聽到顧客抱怨購物流程受干擾，反而有許多人主動表示，Pinkoi廣告使他們接觸到了過往不知道，卻十分喜歡的商品及品牌。</p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E5%95%86%E5%93%81%E5%BB%A3%E5%91%8A%E7%A4%BA%E6%84%8F%E5%9C%96.png" style="width: 600px;" /></span></strong></p> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-%E5%93%81%E7%89%8C%E5%BB%A3%E5%91%8A%E7%A4%BA%E6%84%8F%E5%9C%96.jpg" style="width: 600px;" /></span></strong></p> <blockquote><p>Pinkoi RMN廣告形式有商品廣告、品牌廣告、推播廣告等，會出現於網站和雙平臺手機App的首頁、搜尋頁面及商品頁面。廣告商品或品牌的曝光排序通常較靠前，不過仍需視商品品質及關聯性而定，並非價高者靠前。為了保證顧客體驗不受干擾，廣告視覺設計也相當低調。</p> </blockquote> <p><strong>經營RMN的技術面基本功──開發與維運數位行銷機制</strong></p> <p>從電商跨界數位行銷，不僅需要接觸新業務面向，更要面臨新技術面課題。</p> <p>雖然Pinkoi有從頭自行開發AI模型，是專門為個人化商品推薦設計。不過，推薦只是廣告機制一環，要打造成熟可用的RMN服務，還有RTB、廣告成效追蹤、服務可用性等更多技術挑戰得克服。</p> <p>開發期間，Pinkoi投入了4成開發資源和人力，研究Facebook（現Meta）和Google兩大廣告巨頭的開發方法及投廣機制，並將這些知識結合自家AI推薦技術，才打造出自己的廣告服務。</p> <p>廣告推薦演算法是這個服務的核心技術。RMN團隊寫了一系列投廣用推薦模組，以原本推薦演算法為基礎，根據不同廣告版面的行銷目的微調其他參數，例如調整推薦商品的關聯性高低，或加強時下熱門主題相關商品的權重。</p> <p>相較於原本的商品推薦演算法，廣告推薦演算法多了一個關鍵排序要素──賣家即時競價（RTB）數據。可是，RTB系統需要在顧客進入新頁面後，才能發送廣告版面性質、顧客輸入內容等資訊到競價系統。經過賣家競價、檢查賣家行銷預算餘額等程序後，廣告推薦演算法才能開始排序廣告內容。雖然廣告推薦演算法運算複雜度較一般推薦演算法高，但為了不影響顧客體驗，Pinkoi認為必須在0.5秒內完成額外計算程序。</p> <p>RMN的維運挑戰不只即時性，還有龐大的數據請求量。Pinkoi RMN每年有74億次請求，不考慮巔峰情況，平均每秒就需處理230次請求。一次廣告請求的完整流程需要進行廣告競價和廣告內容的投放，還要紀錄廣告曝光情形、顧客互動行為等數據，作為後續廣告成效追蹤及賣家投放建議的依據。</p> <p>為了因應龐大的流量，Pinkoi採取了雲端資源用量調整機制、預處理部分所需運算，以及辨識外來異常流量等措施。</p> <p>首先，Pinkoi所有IT基礎架構都上雲，為了即時因應流量波動，他們不只使用雲端業者提供的自動擴充（Auto-scaling）功能，還自行打造了用量調整機制，可以預測流量變動，來調整雲端資源的租用量。</p> <p>再來，為了盡可能降低推薦演算法的運算壓力，他們回頭找出推薦演算法中，不須即時運算的數據，預先進行批次處理。例如，商品品質分數的變動頻率不大，改為每天一次性統一計算，而不需要每次推薦都重算。</p> <p>他們還設計了雙重異常流量辨識機制，第一層辨識機制，當造訪者流量剛進來時，會依據流量來源等常見機器人行為模式來篩選。若機器人成功騙過第一層機制，Pinkoi還會記錄造訪者在網站內的行為模式，若出現明顯不是真人消費者的舉動，例如迅速開關大量頁面或行為模式過於機械性，也會事後追認為異常流量。</p> <p>事後追認異常流量，不僅有維運面考量，也有廣告業務面考量，要確保廣告成效統計只包含有機流量數據，不會參雜爬蟲機器人、點擊機器人甚至DDoS等異常流量來源。</p> <p><strong>從被動到主動，從站內到跨站的RMN功能升級藍圖</strong></p> <p>不只一開始投入4成開發能量，Pinkoi後續還得投入IT資源來優化和開發新功能。</p> <p>李少昱坦言，他們沒有計算過RMN成本如何回收。Pinkoi經營RMN的態度，一開始就不只當成一門生意，更是提升整體電商買賣體驗的一環。不過，持續投入大量IT資源維運及開發，李少昱說，有兩大商業考量支持。</p> <p>首先是影響範圍。付費提升曝光度的行銷功能，對電商賣家獲取顧客、擴大營運規模非常重要。一開始，RMN的出現，源自賣家的要求。但現在，RMN已經成為上萬個賣家持續使用的關鍵功能。</p> <p>第二則是影響力度。Pinkoi的RMN服務一年促成3億元交易，廣告費收入占了總營收高達3成，而且也提升整體平臺的交易量，不只是將原本有意消費的顧客導向廣告商品。</p> <p>接下來，Pinkoi還要持續強化RMN行銷功能，從被動轉到主動，站內走到站外。</p> <p>RMN上線前幾年，Pinkoi只有在顧客於網站中操作，表明當下興趣時，才能投放相應廣告，行銷方法相對被動。後來，借助AI模型，從顧客過往行為數據中，分析其購物習慣及整體偏好。於是，Pinkoi RMN開始有主動行銷功能，不必等待顧客進站，可以直接根據顧客特徵推播行銷訊息到會員通知中心。</p> <p>下一步，他們要更細緻分析顧客行為數據，更快速分析出顧客處於購物旅途的哪個階段，以便在顧客操作當下，即時調整廣告投放策略。例如，如果發現顧客已經選定商品，進入購買階段，就會只投放相似性高的商品，讓顧客比價，而非探索不同商品。</p> <p>不只如此，他們還要根據RMN廣告成效數據，來打造更進階的投廣參數自動設定功能。目標是，連商品描述、名稱跟標籤等最基礎的資訊，都可以根據市場現況數據及賣家廣告成效，來自動調整。</p> <p>優化站內行銷功能同時，Pinkoi也計畫開發跨站行銷功能。李少昱說，在Pinkoi營業的賣家，大多只會再於Instagram經營社群媒體電商，較少涉及更多平臺。因此他們計畫打造跨站投放Meta廣告的功能，來提供一站式數位行銷管理。文⊙郭又華</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-%E8%87%AA%E5%8B%95%E8%A8%AD%E5%AE%9A%E5%8E%9F%E7%90%86-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Pinkoi.jpg" style="width: 600px;" /></p> <blockquote><p>Pinkoi的AI廣告代投功能會根據賣場數據，來推測品牌處於哪個發展階段，並以此作為廣告參數設定策略。圖片來源-Pinkoi</p> </blockquote> <p><span><span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-%E4%BB%A3%E6%8A%95%E4%BB%8B%E9%9D%A2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Pinkoi.png" style="width: 600px;" /></span></span></p> <blockquote><p>賣家只需要輸入商品基本資訊及預算，並確認AI建議的投廣參數，便能快速完成設定。未來，Pinkoi連這幾個欄位都要用AI來填入建議參數。圖片來源-Pinkoi</p> </blockquote> <p><strong style="color: rgb(255, 255, 255); font-size: 28px;"><span style="background-color: rgb(51, 153, 255);"> Pinkoi RMN發展大事記 </span></strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2015年 </span></span> </strong>內部改革數據基礎建設，整合跨通路第一方數據來源，開始打造專屬設計類AI模型，以開發個人化推薦、RMN等數據驅動的零售IT應用</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2018年 </span></span></strong> 正式開始打造RMN系統，投入了4成工程資源</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2019年 </span></span></strong> 自建AI模型開始能用上萬維度分析顧客，進行個人化推薦。RMN商品廣告服務正式上線</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2021年 </span></span> </strong>RMN品牌廣告服務正式上線。使用RMN服務的廣告主數年增長率2位數，緊接著新冠疫情最高峰，又帶來更多RMN廣告主</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 2023年 </span></span> </strong>RMN分眾廣播服務正式上線，站上有近萬賣家成為廣告主，廣告收入占營收3成</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">資料來源：iThome整理，2024年3月</span></p> <p> </p> </div></div></div>
2024/3/29 10:25作者郭又華https://www.ithome.com.tw/news/162013
旅遊平臺Booking.com如何善用DORA指標，讓軟體交付效率快了一倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前旅遊平臺Booking.com公開了去年提高軟體交付效率的關鍵秘訣，在短短不到一年時間，讓旗下金融科技團隊的交付能力提高了近2倍的效率，等於開發戰力翻了一倍。</p> <p>Booking.com在2022年中，成立了這個金融科技部門，負責內部各種金融流程開發，因為這個團隊直接採用了公司5年前發展出來的技術架構，所提供的金融服務，在前端是一隻隻不同金融功能的單體式網頁應用，而後端服務則是Java程式，也需要串接到不少第三方金融服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/185%E6%8A%80%E8%A1%93%E6%9E%B6%E6%A7%8B%E5%9C%961.png" /></p> <p>為了改善開發生產力，他們從2023年初開始用DORA指標追蹤團隊開發效率，尤其聚焦部署頻率（DF）和變更準備時間（LTFC）。在2023年三月部署頻率每月不到20次，而變更準備時間更是長達了30小時。</p> <p>雖然這個數據已經遠比臺灣許多企業的DevOps能力好，根據我們去年CIO大調查，臺灣半數大型企業關鍵應用每月部署次數不到5次，部署時間短則一天，長則好幾天。<br /> Booking.com高層對這個團隊原有的開發效率高度不滿意，想要找出拖慢效率的瓶頸。</p> <p>分析後發現，第一個影響部署頻率不佳的瓶頸是，他們的程式碼難以理解，但是又很容易修改，工程師若不小心改錯，得花好幾周才能找出問題，如此一來，更讓工程師不願意改進。</p> <p>後來，他們參考了一條童子軍規則「要讓露營地比你來的時候更乾淨。」也就是看到有垃圾就馬上清理，來幫下一組露營的人改善環境。在去年三月開始推動許多小規模的重構和推動測試自動化，進行程式碼更新或修復問題時，也同時改善周邊的程式碼，來提高程式碼品質，並且同步要求開發團隊刻意花時間來解重構的題目，透過大量練習來提高重構技能。</p> <p>雖然逐漸改善程式碼可讀性，但因為許多小型重構計畫，去年六月發現，出現了大量合併請求，程式碼審查時間成了新的瓶頸。他們轉而一方面改採少量批次合併請求的策略，來減少每次審查時間，也要求工程師優先審查程式碼，來減少相互等待的時間，在七月逐漸解決這個問題。</p> <p>七月時，他們轉向處理拖慢部署時間的痛點，當時要進行兩次金絲雀部署和驗證，每次部署涉及許多手動作業，部署時間至少得花40分鐘，因為有些功能的金絲雀部署出錯機率幾乎是零，因此，他們決定導入自動化部署，將合併請求直接合併到主版本，直接部署到正式環境，而不用手動驗證。</p> <p>另外，還採取了一些自動化部署作為配套，像是良好的測試自動化機制、同儕程式碼審查和小變更策略，一次不做大變更而是盡量採取多次小變更策略，一但程式碼品質指標檢測沒有達標，也會自動回覆到舊版，來確保既有服務的穩定。</p> <p>金融科技部門這個新作法將部分功能的部署時間從40分鐘縮短到4分鐘，也同步提高了DORA的部署頻率和更新準備時間。八月時，部署次數甚至一度達到每月43次，整體的平均部署時間約1.3小時。</p> <p>不過，在前端的單體式應用的交付效率仍舊難解，在去年八月時，這一類應用每月部署次數只有6～8次，每次平均準備時間長達2-3天。</p> <p>Booking.com團隊決定導入微前端（Micro Frontend）開發模式，把前端單體應用，改成類似微服務的前端模組，並改用JavaScript來開發用戶端的網頁應用。在九月導入微前端開發模式之後，明顯改善了開發效率，但是他們卻發現，另一個DORA指標的數值變差了，開發準備時間反而比預期來得更長。</p> <p>Booking.com團隊回頭查看了過去一整個月的合併請求紀錄，包括提交、評論、批准、合併和部署的各種統計資料才發現新的問題。因為微前端應用的合併請求審查流程，比平常前端應用的開發更複雜，因此，開發流程上需要金融科技部門外部的內部其他專家社群來審查和批准，每次審查都得等上很久。光在外部專家程式碼批准這個階段，平均就得等待17.1個小時。</p> <p>後來，金融科技部門找來這群專家，討論初多項優化審查流程的作法，自己也避免進行大量的批次部署，盡量採取小型合併請求的方式，才將批准時間縮短到8分鐘。最後，到了去年十月，終於將這類單體式應用的變更準備時間大幅減少到14小時。</p> <p>從年初每月20次部署、每次30小時事前準備時間，到年底十一月時縮短到每月40次部署，每次平均14小時。Booking.com的金融科技團隊就是靠DORA指標的監控，找出了一個又一個的開發團隊瓶頸，逐一解決，才能在不到一年，達到交付能力翻倍的成果。</p> <p>Booking.com開發團隊主管更強調，這個做法不只提高了效率，更帶來了一種新的工作態度和方式，讓開發團隊聚焦於內部品質和嘗試，看重長期績效而非短期效益。</p> <p> </p> </div></div></div>
2024/3/29 10:38作者王宏仁https://www.ithome.com.tw/news/162028
DevOps快報第3期：Java 22來了，Go大幅強化追蹤，數位部將推出公共程式碼平臺，旅遊平臺揭露軟體交付效率翻倍…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2024/2/21～3/28 精選開發技術相關新聞</strong></p> <p><strong>兩大開發語言有重要更新，Java釋出了22版，大幅提高開發體驗和運作效能。Go語言則大幅改善了追蹤套件的效能。多款CI/CD工具有新功能或更新，包括了 JetBrains、 CircleCI。Booking.com則揭露如何用DORA指標追蹤團隊開發效率，將軟體交付效率，提高了一倍的過程。</strong></p> <h3><strong>#政府程式碼釋出 #公共程式碼<br /> <span style="color:#0000FF;">推動政府程式碼公開，數位部擬4月推出臺灣公共程式平臺</span></strong></h3> <p>政府今年將帶頭大力推動公共程式（Public Code），釋出政府程式碼。數位部預估4月左右，在GitHub上推出臺灣公共程式平臺（code.gov.tw）測試版，初步將先釋出數位部開發的官網、碳盤查工具的程式碼，未來還會與和地方政府、公務機關合作，將共用性服務的程式碼釋出，開放其他政府機關或外界使用。目前尚在籌備階段，因此計畫先推出測試版，年底再釋出完整功能。</p> <p>因為政府資訊系統大多委外，有資服業者在溝通座談會中反映，擔憂程式碼公開後，可能遭其他業者學習參考，程式碼內的缺陷也會被檢視討論。目前數位部仍與資服業者就公共程式尋找共識。</p> <h3><strong>#2038問題 #老舊Unix時序問題<br /> <span style="color:#0000FF;">小心2038問題重現Y2K災情，老舊應用擁抱現代化的另一理由</span></strong></h3> <p>今年國外不少開發社群開始重視一個老舊Unix的時間函數問題，也就是2038問題。多數Unix系統使用32位元signed整數來儲存從1970年1月1日開始的秒數，這個資料格式的最大值是2,147,483,647，也就是UTC時間2038年1月19日凌晨3點14分7秒，超過這個時間就會導致資料溢位而出錯，就像當年的Y2K事件一樣。許多老舊嵌入式設備、大型主機系統、32位元作業系統環境，32位元環境的老舊資料庫和檔案系統、網路設備等都可能出現問題。雖然離現在還有很長一段時間，但開發社群開始討論，可以趁著擁抱雲原生，推動IT現代化同時，一起解決這個老問題。</p> <h3><strong>#軟體開發安全 #白宮<br /> <span style="color:#0000FF;">白宮出面呼籲開發者，放棄C和C++改用記憶體安全程式語言</span></strong></h3> <p>白宮最近發布了一份軟體安全報告《Back to the Building Blocks: A Path Toward Secure and Measurable Software》，以呼籲科技界主動減少網路攻擊面，尤其在軟體漏洞方面，白宮認為應該主動採取措施以減少漏洞帶來的風險，許多網路安全問題都是由單行程式碼引起，白宮報告中指出，解決這些安全問題的有效方法是檢查所使用的程式語言本身。藉由分析和選擇程式語言的特性，尤其是關於記憶體安全的功能，可以減少甚至是消除不正確的記憶體使用方式，像是存取未分配的記憶體、緩衝區溢出等，所導致的錯誤和漏洞。因此，白宮表示，希望開發人員放棄C和C++改用記憶體安全程式語言，以增加軟體安全性。++</p> <h3><strong>#DevOps實戰 #DORA<br /> <span style="color:#0000FF;">旅遊平臺Booking.com如何用DORA指標讓軟體交付效率快了一倍</span></strong></h3> <p>日前旅遊平臺Booking.com公開了去年提高軟體交付效率的關鍵秘訣，為了改善開發生產力，他們從2023年初開始用DORA指標追蹤團隊開發效率，尤其聚焦部署頻率（DF）和變更準備時間（LTFC）。</p> <p>他們先推動許多小規模的重構和推動測試自動化，進行程式碼更新或修復問題時，也同時改善周邊的程式碼，來提高程式碼品質。到了六月開始解決合併請求塞車問題，一方面改採少量批次合併請求的策略，來減少每次審查時間，也要求工程師優先審查程式碼，來減少相互等待的時間。七月轉向處理拖慢部署時間的痛點，導入自動化部署，將合併請求直接合併到主版本，直接部署到正式環境，而不用手動驗證。搭配良好的測試自動化機制、同儕程式碼審查和小變更策略，一次不做大變更而是盡量採取多次小變更策略，一但程式碼品質指標檢測沒有達標，也會自動回覆到舊版。</p> <p>針對前端的單體式應用交付效率問題，則導入微前端開發模式來改善效率，但因為新開發流程需要外部專案審查，開發準備時間反而比預期來得更長。經過審查流程優化，也盡量採取小型合併請求的方式，將批准時間縮短到8分鐘。最後，到了去年十月，終於將這類單體式應用的變更準備時間大幅減少到14小時。</p> <p>從年初每月20次部署、每次30小時事前準備時間，到年底十一月時縮短到每月40次部署，每次平均不到15個小時。Booking.com的金融科技團隊就是靠DORA指標的監控，找出了一個又一個的開發團隊瓶頸，逐一解決，在不到一年，達到交付能力翻倍的成果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/185-DORA%E6%8C%87%E6%A8%99%E8%AE%8A%E5%8C%96%E5%9C%962.png" /></p> <h3><strong>#新版Java #開發體驗改善<br /> <span style="color:#0000FF;">Java 22來了，提升開發效率還強化運算效能</span></strong></h3> <p>新發表的Java 22，從語言本身、API、效能和JDK中的工具都進行了強化。Java語言更具表達力，提升開發者編寫程式碼的體驗之外，也加入多項功能改善並行程式的運作效能，而重新設計的Vector API，也讓向量運算更加高效，滿足日漸增加的向量運算需求。</p> <p>這個版本有多項開發體驗的更新，像是可用下底線字元來表示不使用的變數宣告和巢狀模式，來強化程式碼的可讀性。而建構子的前置陳述式JEP 447更新，讓開發者擁有更多表達建構子行為的自由。預覽版的字串樣板則提供了更簡潔的方式，供開發者編寫文字加上變數的字串表示，能在字串常值中直接插入表示式或是變數值，來提高可讀性，也讓編寫動態字串內容Java程式更簡單。甲骨文為了要簡化Java並行（Concurrency）程式開發，嘗試加入了結構化並行方法，目前正在孵化階段。</p> <h3><strong>#Go語言 #追蹤效能優化<br /> <span style="color:#0000FF;">Go語言大幅改善追蹤套件的效能，CPU執行開銷降至1、2％也支援持續追蹤</span></strong></h3> <p>Go開發團隊更新了執行環境的追蹤（Trace）套件，不僅大幅降低執行追蹤的CPU開銷，還透過定期分割追蹤檔控制追蹤檔案大小，進而增加了追蹤的可擴展性。此外，新的更新還支援持續追蹤功能，並提供追蹤讀取器API，使得追蹤資料更容易共享與存取。舊版Go，對許多應用程式執行追蹤功能時會產生10-20％ CPU執行開銷，而侷限了用途。Go開發團隊透過最佳化回溯效率，將CPU開銷大幅降低至1、2％，讓開發者可以頻繁地使用追蹤來監控和診斷應用程式，且不會對效能產生太大的影響。Go追蹤現在也支援持續追蹤紀錄（Flight Recording），可讓程式一直保持在追蹤狀態，紀錄近期發生的事，</p> <h3><strong>#CI/CD流程 #開發流程最佳化<br /> <span style="color:#0000FF;">JetBrains發布新CI/CD工具TeamCity Pipelines，新增多項智慧化機制能大幅簡化流程建置</span></strong></h3> <p>JetBrains推出新的CI/CD工具TeamCity Pipelines，提供了建置CI/CD流程需要的所有工具，盡可能減少切換程式的狀況。也採取了直覺式介面和智慧配置輔助功能，可以大幅簡化測試工作。智慧配置輔助功能可引導用戶完成流程配置，並且提出改進建議，像是可以自動偵測特定的建置工具，另外，若採用智慧測試平行化選項，可使執行速度提高達75％。TeamCity Pipelines能夠動態最佳化工作流程，也會在每次測試工作完成後提供報告，並自動辨識測試專案所採用的語言與框架。能跨多次工作追蹤測試結果，讓開發者簡單地比較測試變化。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/3-2-JetBrains.png" /></p> <h3><strong>#部署自動化 #金絲雀部署<br /> <span style="color:#0000FF;">CircleCI推出推出自動化調度部署功能，新增金絲雀部署支援</span></strong></h3> <p>CI/CD平臺CircleCI強化發布調度能力推出CircleCI Release，在網頁介面就可簡單地配置發布調度程序。同時，CircleCI Release也支援Argo Rollouts，提供自動化漸進式交付程序，使開發人員可以更全面地控制應用程式發布，目前CircleCI Release已經支援金絲雀部署策略，並會在之後版本支援藍綠部署。CircleCI Release可讓開發團隊快速交付，並監控生產環境中的新部署，當部署出現問題時，還可自動快速回退到之前的版本。這項發布功能同時支援Kubernetes Deployments和Argo Rollouts，CircleCI可與Kubernetes叢集整合，讓開發者在CircleCI網頁版應用上，來檢視和控制發布流程。</p> <h3><strong>#開發元件智慧化 #.NET應用<br /> <span style="color:#0000FF;">微軟釋出實驗性.NET UI智慧元件，提供3種整合AI的新UI元件</span></strong></h3> <p>微軟正在實驗新的.NET UI智慧元件，要以更簡單的方法，在現有軟體添加人工智慧功能，開發者不需要了解AI或熟悉提示工程也能用。開發者可以直接將.NET UI智慧元件加入到使用者介面中，目前有三項功能，分別是智慧貼上、智慧文字輸入區域（TextArea）和智慧下拉選單（ComboBox）。智慧貼上元件，可以將使用者複製的一段長文，用NLP解析出不同元素，再個別帶入到表單上的不同欄位，例如從地址中自動解析出街名、巷弄、樓層來自動填寫表單，方便用戶可從外部來源添加資料，又不需要重新輸入。而智慧文字輸入區域，則加入了文字段落自動完成，能依據上半句，自動補完下半句話。微軟提到，.NET UI智慧元件還只是一項實驗功能<img alt="" src="https://s4.itho.me/sites/default/files/images/3-4-_NET%E6%99%BA%E6%85%A7UI%E5%85%83%E4%BB%B6.png" />。</p> <h3><strong>#程式碼評估 #Copilot助手<br /> <span style="color:#0000FF;">微軟.NET程式碼評估工具整合了GitHub Copilot，能引導解決Azure搬遷的可能問題</span></strong></h3> <p>最近微軟更新了.NET程式碼的Azure搬遷評估工具（Azure Migrate Application and Code Assessment），新整了GitHub Copilot，能夠比對不同Azure環境，提供更多開發自訂的靈活性等，來協助開發者找出和解決搬遷Azure可能遭遇的問題，更順利地在雲端平臺重新部署應用程式。開發者在Visual Studio安裝這項工具的擴充套件後，在報告儀表板中便會看到Copilot Chat的按鈕，點擊之後Copilot會閱讀專案報告，總結出重要問題，開發者便可就想解決的問題與Copilot深入討論。報告中的所有問題也會提供Ask Copilot按鈕，微軟提到，Ask Copilot功能會將開發者的描述，還有觸發問題的程式碼片段共享給Copilot Chat，根據具體程式碼和問題提供建議，來提供更準確的指引。開發者必須謹慎考慮提交的內容，避免提及不想提供給Copilot Chat的程式碼和敏感資訊。</p> <h3><strong>#開發者QA平臺 #Gemini<br /> <span style="color:#0000FF;">開發者愛用的Stack Overflow將整合Google雲、讓Gemini開發人員存取知識庫</span></strong></h3> <p>開發人員QA平臺Stack Overflow與Google Cloud宣布合作，讓Gemini模型可以存取Stack Overflow的開發知識庫，或提供開發建議。透過Stack Overflow新開發的OverflowAPI存取其知識庫，在開發人員呼叫Gemini時提供開發建議、程式碼及回答問題。在Google Cloud控制臺上也能直接存取Stack Overflow，包括詢問問題或獲得Stack Overflow社群其他成員的解答，在管理或開發Google雲端應用及基礎架構時，不用跳離執行介面。 Stack Overflow計畫還將用AI開發平臺Vertex工具來改善社群互動和內容出版流程。預計於4月中公開預覽，在今年上半年正式啟用。</p> <h3><strong>#整合企業內部程式碼 #企業版Copilot<br /> <span style="color:#0000FF;">GitHub企業版Copilot來了，可整合企業內部程式碼與知識庫</span></strong></h3> <p>最近GitHub推出了企業版Copilot（Copilot Enterprise），每位用戶每月的訂閱價格為39美元。這項服務可以針對組織特定需求的開發體驗，包括可以深入理解程式碼庫、存取組織的知識和最佳實踐，以及審查拉取請求。<br /> 例如可以提供清楚的程式碼摘要、相關建議以及回應程式碼行為，有效提升程式碼編寫和理解的效率。也能生成拉取請求摘要，使開發人員花更少的時間編寫，並且更專注於合併拉取請求工作本身，Copilot Enterprise也會分析拉取請求的差異，讓審查者可以更快速地理解程式碼變更。目前是Beta測試版本，已經整合了Bing搜尋功能，因此用戶也可以獲得最新的網際網路資訊。</p> <h3><strong>#程式碼自動掃描 #自動修補警告議題<br /> <span style="color:#0000FF;">GitHub釋出程式碼掃描自動修復，自動修補9成警告</span></strong></h3> <p>所有GitHub Advanced Security用戶開始可以使用程式碼掃描自動修復功能（Code Scanning Autofix）預覽版，借助GitHub Copilot和靜態掃描程式碼工具CodeQL的支援，可以掃描程式碼的問題後自動修復，在背景中利用CodeQL引擎，以及一系列啟發式演算法，並結合GitHub Copilot API來生成程式碼建議。目前支援JavaScript、TypeScript、Java和Python程式碼中90％的警告或問題。此外還提供程式碼建議，可以在幾乎不需要編輯程式碼的情況下，修復超過三分之二發現的漏洞。官方預告，接下來程式碼掃描自動修復功能也會涵蓋C#和Go的程式碼。</p> <h3><strong>#偵測密碼和金鑰 #推送保護<br /> <span style="color:#0000FF;">GitHub預設啟用推送保護，自動檢查推出程式碼中的密碼和金鑰避免意外洩漏</span></strong></h3> <p>最近GitHub對所有用戶預設開啟了推送保護（Push Protection）功能，協助開源開發者保護其密碼與金鑰等機密資訊。系統會自動檢查開發者推送到GitHub中的程式碼，一旦發現包含諸如密碼和API金鑰等敏感資訊，GitHub會阻擋推送操作並通知開發者，避免潛在的安全問題。用戶可以從提交中刪除該機密，或是選擇跳過阻擋直接提交。用戶也可以從安全設定中停用推送保護</p> <p><strong>更多新聞</strong></p> <ul> <li>高效協作程式碼編輯器Zed開源並推出協作服務，開發者分享連結就能開始共同編寫程式碼</li> <li>微軟推適用於VS Code的Microsoft Entra External ID擴充套件</li> <li>5月釋出的Grafana 11將移除AngularJS支援，儀表板將不載入未更新套件</li> <li>Wasmer推出Rust網頁伺服器WinterJS 1.0，相容於Cloudflare的JavaScript執行環境</li> </ul> <p>@資料來源：iThome整理，2024年3月<br /> @圖片來源：Booking.com、微軟、甲骨文</p> <p><strong>責任編輯：王宏仁</strong></p> </div></div></div>
2024/3/29 11:12作者王宏仁https://www.ithome.com.tw/news/162029
Google改變心意，讓Pixel 8也能執行Gemini Nano
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在眾多用戶抗議下，Google本周宣布，Google Gemini Nano AI模型將透過今年下次功能更新，得以在中階的Pixel 8上執行，而不只有最高階的Pixel 8 Pro。</p> <p>Gemini Nano是Google去年12月公布Gemini AI模型之一，是最小型、可在消費者裝置包括手機上執行的模型。官方宣布，Gemini Nano可以執行在旗艦手機，如三星<a href="https://www.ithome.com.tw/news/160904" target="_blank">Galaxy S24</a>及Google Pixel 8 Pro。<a href="https://9to5google.com/2024/03/07/pixel-8-gemini-nano/" target="_blank">但是本月初Google說</a>，基於某些硬體限制，因此Gemini Nano不會提供給Pixel 8。這個消息引發媒體及用戶反彈，認為二款Pixel手機同樣都是用Tensor G3晶片組，沒有道理Pixel 8無法跑Gemini Nano。</p> <p>Google似乎聽到用戶心聲，<a href="https://shows.acast.com/made-by-google-podcast/episodes/6602fa6073a3a40017353c91" target="_blank">本周Google產品部門透過podcast宣布</a>，Pixel 8會在下次功能更新Feature Drop中獲得Gemini Nano開發者預覽版，目前公司還在測試中。這裝置上執行的AI模型可支援錄音工具Recorder的Summarize（重點摘錄）及Gboard鍵盤智慧回覆（Smart Reply）功能，前者可錄寫聲音、條列重點，後者可產生「高品質」的回覆內容。在Pixel 8 Pro，Gemini Nano還可另外支援WhatsApp、Line、KakaoTalk等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-gemini%20nano-pixel%208-Summarize%20in%20Recorder-2.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0329-gemini%20nano-pixel%208-Smart%20Reply%20in%20Gboard.jpg" style="width: 600px;" /></p> <p>不過下次的Pixel Feature Drop要等到6月下旬才會釋出。</p> <p><a href="https://9to5google.com/2024/03/28/pixel-8-gemini-nano-feature-drop/" target="_blank">9to5Google報導</a>，Pixel 8及8 Pro主要差別在Pixel 8 RAM為8GB，小於Pro的12GB，較小的RAM執行AI可能會影響效能。可能Google已找出方法能以較小記憶體執行LLM而不影響使用應用程式體驗。Galaxy S24的RAM也是8GB。</p> <p>不過Google不是第一支可跑Gemini Nano的中階手機。<a href="https://www.ithome.com.tw/news/161464" target="_blank">2月聯發科宣布</a>，二款新晶片組將支援Gemini Nano，包括中階的Mediatek Dimensity 8300。目前使用這款晶片組的有中國手機POCO X6 Pro。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/3/29 10:12作者林妍溱https://www.ithome.com.tw/news/162026
微軟Azure OpenAI與Fabric皆整合Neo4j圖資料庫，強化資料分析與AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://neo4j.com/blog/neo4j-microsoft-collaboration/">Neo4j與微軟合作</a>，在Azure OpenAI服務與Fabric分析平臺原生整合Neo4j圖資料庫功能，用戶將可組合結構化與非結構化資料，發現資料中隱藏的模式，並用於強化生成式人工智慧應用程式。</p> <p>Azure OpenAI與Neo4j的整合，在架構上可以分為知識的擷取與使用。在資料擷取上，由Azure OpenAI處理非結構化資料，並將這些資料儲存到圖資料庫中，用戶便可以使用Neo4j的查詢工具，來擷取有用的分析結果。</p> <p>來源資料仍可留存在Fabric、Azure Blob儲存或是其他位置，微軟表示，使用生成式人工智慧進行自動擷取，能夠降低圖資料庫的進入門檻，並可從資料連結中獲得更多有用的分析資訊。而在知識的使用上，用戶同樣可透過Azure OpenAI服務以自然語言查詢，即便沒有圖資料庫專業的用戶，也能夠簡單地操作。</p> <p>微軟的GraphRAG應用程式，與Neo4j的生成式人工智慧、Azure OpenAI緊密整合，用戶可以使用GraphRAG強化上下文理解和可解釋性，藉由使用企業資料的知識圖，動態強化查詢，提供清晰易於理解的結果。GraphRAG是一種使用圖結構強化大型語言模型的方法，可改善模型對查詢的理解和回應品質。</p> <p>Neo4j支援原生向量嵌入，開發人員可以使用OpenAI嵌入API建立嵌入，並將其儲存在Neo4j資料庫中，支援大型語言模型獲取長期記憶能力。</p> <p>另外，Neo4j也與統一資料分析平臺Fabric的整合，擴展企業探索、分析資料的能力。Fabric組合一系列資料工具集，與Neo4j搭配可強化資料探索與分析的能力。</p> <p>在Fabric資料湖倉中，資料通常儲存在檔案或是SQL Server資料表的行和列中，微軟提到，這樣的形式無法擷取資料集中複雜的關係，而Neo4j圖資料庫的特性，則是將資料表示為節點和關係，以直觀的方式視覺化資料，有助於供用戶搜尋資料集中的關係，發現資料中隱藏的模式。</p> </div></div></div>
2024/3/28 18:48作者李建興https://www.ithome.com.tw/news/162024
【資安日報】3月28日，殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定路由器、物聯網裝置等小型辦公室（SOHO）及家用網路設備發動攻擊，控制後將其組成殭屍網路，已有多起攻擊行動出現，但大多還是針對有受到支援的設備而來，如今有駭客專門針對已不再受到廠商支援的設備下手，暗中從事攻擊行動長達10年，直到最近才被發現。</p> <p>值得留意的是，這些駭客挾持設備後，專門提供網路罪犯代理伺服器服務，甚至有其他殭屍網路的經營者也是他們的客戶。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://blog.lumen.com/the-darkside-of-themoon/"><strong style="font-size: 22px;">殭屍網路TheMoon攻佔廠商不再提供支援的網路設備，短短72小時綁架逾6千臺華碩路由器</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/moon-2-image.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/moon-2-image.jpg" style="width: 300px; float: right;" /></a>資安業者Lumen揭露從2014年開始營運的殭屍網路TheMoon，其規模在今年2月擴及88個國家、4萬個殭屍網路機器人。而這個殭屍網路的形成，主要是挾持生命週期終止（EOL）的家用及小型辦公室（SOHO）路由器、物聯網設備，駭客將其用於提供網路犯罪用途的代理伺服器服務（研究人員將其稱為Faceless），根據研究人員的追蹤，該服務每週增加近7千名新用戶，而且，SolarMarker和IcedID等殭屍網路的經營者也採用TheMoon的服務。</p> <p>值得留意的是，在3月的第一週，研究人員看到對方在72小時內，攻擊超過6千臺華碩路由器。對此他們認為，駭客專門針對這些設備的原因，在於製造商不再提供產品更新與安全性支援，使得已知漏洞持續曝露，甚至使用者可能早就遺忘或遺棄這些設備。</p> <p><a href="https://blog.sucuri.net/2024/03/sign1-malware-analysis-campaign-history-indicators-of-compromise.html"><strong style="font-size: 22px;">惡意軟體Sign1鎖定WordPress網站而來，逾3.9萬個網站受害</strong></a></p> <p></p> <p>資安業者Sucuri揭露鎖定WordPress網站的惡意軟體Sign1攻擊行動，有超過3.9萬個網站遭到感染。對於這起攻擊行動的發現，他們看到自己客戶的網站遭到暴力破解攻擊而被入侵，一旦攻擊者取得存取權限，就會濫用WordPress自訂HTML小工具，或是部署名為Simple Custom CSS and JS的外掛程式，從而注入惡意JavaScript程式碼。</p> <p>研究人員分析Sign1的程式碼，發現對方每10分鐘就更換一次URL，使得瀏覽受害網站的用戶不斷被導向惡意網站，但這些網域都是在攻擊之前才註冊，而不會遭到封鎖。</p> <p>特別的是，Sign1在執行前會針對使用者的來源進行檢查，只對來自Google、臉書、Instagram、雅虎存取受害網站的用戶發動攻擊，並對瀏覽器產生專用的cookie，從而將使用者導向詐騙網站，並引誘他們啟用網站通知。</p> <p><a href="http://checkmarx.com/blog/over-170k-users-affected-by-attack-using-fake-python-infrastructure/"><strong style="font-size: 22px;">大型Discord機器人社群遭受供應鏈攻擊</strong></a></p> <p></p> <p>擁有17萬用戶的大型Discord機器人社群Top.gg傳出遭到供應鏈攻擊，攻擊者運用多種手法，包含挾持GitHub帳號、散布惡意Python套件、使用假造的Python基礎設施，並透過社交工程手法進行。</p> <p>駭客先是打造惡意開源工具來引誘開發者上當，並散布由冒牌Python基礎設施代管的相依性套件，將其與GitHub熱門專案連結，並挾持具有較高貢獻度的GitHub帳號，其中一個就是Top.gg的維護者editor-syntax，攻擊者藉由他的帳號提交惡意程式碼，從而導致其他開發人員的電腦有可能被植入惡意版本的Python套件。此外，對方也濫用該名維護者的帳號，對惡意GitHub帳號給予星等評價。</p> <p><a href="https://unit42.paloaltonetworks.com/chinese-apts-target-asean-entities/"><strong style="font-size: 22px;">中國駭客組織攻擊東南亞國家聯盟成員及附屬組織</strong></a></p> <p></p> <p>資安業者Palo Alto Networks揭露近日中國駭客組織針對東南亞國家聯盟（ASEAN）的攻擊行動，其中一起是針對緬甸、菲律賓、日本、新加坡而來，源於別名為Mustang Panda、Earth Preta的駭客組織Stately Taurus，他們假借ASEAN與澳洲舉辦的特別會議為由，在3月4日至5日散布惡意軟體。</p> <p>另一起行動則是入侵ASEAN附屬組織，攻擊者身分不明，並對於柬埔寨、寮國、新加坡的政府機關發動攻擊，根據對方活動的時間，研究人員推測攻擊者來自中國。</p> <p><strong style="font-size: 22px;">英國、芬蘭、紐西蘭、澳洲指控中國政府指使駭客組織攻擊民主國家政府單位</strong></p> <p></p> <p>繼<a href="https://www.ithome.com.tw/news/161948">美國對中國駭客組織APT31、與之有關的公司武漢曉睿智科技（Wuhan XRZ）祭出制裁，並對7名成員提告</a>，後續有更多國家出面，指控遭到與中國國家安全部（MSS）有關的APT駭客攻擊。</p> <p><a href="https://www.gov.uk/government/news/uk-holds-china-state-affiliated-organisations-and-individuals-responsible-for-malicious-cyber-activity">英國國家網路安全中心表示</a>，選舉委員會的系統疑似在2021至2022年遭中國駭客破壞，APT31亦在2021年企圖對議員出手但並未得逞。對此，他們將對APT31、武漢曉睿智科技、2名成員進行制裁。</p> <p>芬蘭警方則是<a href="https://poliisi.fi/en/-/investigation-into-hacking-of-parliament-s-information-systems-has-been-ongoing">對於國家調查局3年前揭露的事故提出指控</a>，這起事故針對議會的資訊系統而來，駭客於2020年秋季至2021年初從事網路間諜行動，攻擊者身分就是APT31，他們鎖定其中1名嫌犯。</p> <p>紐西蘭政府通訊安全局（GCSB）指出，2021年議會的法律顧問辦公室、服務部遭到入侵，<a href="https://www.beehive.govt.nz/release/parliamentary-network-breached-prc">經調查攻擊者的身分是中國駭客組織APT40</a>。</p> <p><a href="https://www.foreignminister.gov.au/minister/penny-wong/media-release/cyber-targeting-uk-democratic-institutions">澳洲也對中國駭客的攻擊行動公開譴責</a>，並強調該國的選務系統並未受到英國事故波及；但<a href="https://www.afr.com/technology/leaked-documents-reveal-australia-targeted-by-chinese-hackers-20240325-p5ff4h">當地媒體Australian Financial Review根據中國資安業者安洵信息（i-Soon）外流的資料指出</a>，澳洲也遭到中國政府鎖定。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://chromereleases.googleblog.com/2024/03/stable-channel-update-for-desktop_26.html"><strong style="font-size: 22px;">Google修補Pwn2Own揭露的Chrome零時差漏洞</strong></a></p> <p></p> <p>3月26日Google發布123.0.6312.86、123.0.6312.87版Chrome，總共修補7個漏洞，其中兩個是漏洞挖掘競賽Pwn2Own Vancouver 2024發現的零時差漏洞，而引起關注。</p> <p>其中一個是記憶體釋放後濫用（UAF）漏洞CVE-2024-2886，此弱點出現於WebCodecs元件，為高風險層級；另一個是類型混淆漏洞CVE-2024-2887，此弱點出現於WebAssembly元件，同樣也被列為高風險層級。</p> <div> <p><a href="https://www.securityweek.com/apple-patches-code-execution-vulnerability-in-ios-macos/"><strong style="font-size: 22px;">蘋果發布iOS 17.4.1、macOS Sonoma 14.4.1，修補AV1影音解碼器漏洞</strong></a></p> <p></p> <p>蘋果近日發布iOS 17.4.1及16.7.7、iPadOS 17.4.1及16.7.7、visionOS 1.1.1、macOS Sonoma 14.4.1、macOS Ventura 13.6.6，以及Safari 17.4.1，當中修補CVE-2024-1580，此為AV1影音解碼器dav1d的整數溢位漏洞，一旦觸發有可能導致記憶體中斷，從而在處理圖片的過程被用於執行任意程式碼，CVSS風險評為5.9。</p> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://moda.gov.tw/press/press-releases/11872"><span style="font-size: 20px;">數位部澄清政府短網址服務、111簡訊未遭到破解</span></a></strong></p> <p><a href="https://www.netcraft.com/blog/darcula-smishing-attacks-target-usps-and-global-postal-services/"><strong style="font-size: 20px;">iPhone用戶遭到網釣攻擊套件Darcula鎖定，藉由iMessage散布釣魚簡訊</strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-ray-framework-flaw-to-breach-servers-hijack-resources/"><strong style="font-size: 20px;">人工智慧框架Ray漏洞遭到鎖定，攻擊者挾持運算能力挖礦、竊取機敏資料</strong></a></p> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/security-brief-ta450-uses-embedded-links-pdf-attachments-latest-campaign"><strong><span style="font-size: 20px;">伊朗駭客組織MuddyWater透過遠端管理工具Atera控制受害電腦</span></strong></a></p> <p><a href="https://blog.eclecticiq.com/operation-flightnight-indian-government-entities-and-energy-sector-targeted-by-cyber-espionage-campaign"><strong><span style="font-size: 20px;">駭客佯裝印度空軍做為幌子，對國防及能源單位散布惡意程式</span></strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162004"><strong>【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161956"><strong>【3月26日】Google搜尋提供的AI建議竟列出詐騙網站和惡意網站</strong></a></p> <p><a href="https://www.ithome.com.tw/news/161940"><strong>【3月25日】俄羅斯駭客APT29鎖定德國政黨散布惡意程式WineLoader</strong></a></p> </div></div></div>
2024/3/28 16:28作者周峻佑https://www.ithome.com.tw/news/162015
Claude 3 Opus模型於Chatbot Arena上擊敗GPT-4 Turbo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在這幾天，專門盲測大型語言模型（LLM）能力的<a href="https://huggingface.co/spaces/lmsys/chatbot-arena-leaderboard" target="_blank">LMSYS Chatbot Arena排行榜</a>出現了變化，由Anthropic所打造的Claude 3 Opus模型擠下了OpenAI的GPT-4，成為該排行榜上等級最高的LLM。</p> <p>LMSYS Chatbot Arena是由研究組織<a href="https://lmsys.org/blog/2023-05-03-arena/" target="_blank">Large Model Systems Organization在去年5月所發表</a>，為一採用Elo評分系統的平臺，Elo評分系統可用來計算參與者的相對技能，最初是為了改善西洋棋的評分系統而設計，之後則被應用在足球、棒球、籃球、桌球、各種棋盤遊戲，以及最近的大型語言模型；而LMSYS Chatbot Arena則是個開放且眾包的盲測排行榜，支援75種大型語言模型，使用者可於網頁上輸入各種提示，以查看兩個隨機選擇的模型所提供的答案，系統並未揭露生成答案的模型，並由使用者評斷答案的優劣，亦可選擇平手或兩個答案都不好。</p> <p>自LMSYS Chatbot Arena排行榜於去年5月上線以來，評分最高的大型語言模型一直是GPT，但Claude 3 Opus在本周擠下了GPT--4-1106-preview（去年11月釋出的GPT-4 Turbo）與GPT-4-0125-preview（今年1月釋出的GPT-4 Turbo）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-LMSYS%20Chatbot%20Arena.png" style="width: 600px;" /></p> <p><a href="https://www.ithome.com.tw/news/161610" target="_blank">Anthropic是在今年3月發表Claude 3系</a>列的模型家族，涵蓋最低階的Claude 3 Haiku、中階的Claude 3 Sonnet，以及最強大的Claude 3 Opus，除了Claude 3 Opus位居LMSYS Chatbot Arena排行榜冠軍之外，中階的Sonnet與低階的Haiku也都在前十名的榜單上。</p> <p>由曾擔任OpenAI研究副總裁的Dario Amodei，以及其妹妹、同樣身為OpenAI資深員工的Daniela Amodei在2021年共同創立的Anthropic，被視為是OpenAI目前最強勁的對手，鎖定資料科學、機器學習與AI的內容網站<a href="https://www.kdnuggets.com/getting-started-with-claude-3-opus-that-just-destroyed-gpt-4-and-gemini" target="_blank">KDnuggets認為</a>，Anthropic所發表的Claude 3在所有LLM基準測試中都優於GPT-4和Gemini Ultra，已是AI領域新的領導者。</p> <p><a href="https://www.reddit.com/r/ChatGPTPro/comments/1b9czf8/gpt4t_vs_claude_3_opus/" target="_blank">在Reddit平臺有關GPT-4 Turbo與Claude 3 Opus的討論中</a>，多數人贊成Claude 3 Opus的寫作與處理文章的能力勝過GPT-4 Turbo，有人說GPT-4 Turbo對複雜問題的處理能力優於Claude 3 Opus，亦有人覺得Claude 3 Opus所生成的程式碼品質與GPT-4 Turbo相當，但更人性化。</p> </div></div></div>
2024/3/28 17:44作者陳曉莉https://www.ithome.com.tw/news/162023
Amazon已完成投資Anthropic 40億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/company-news/amazon-anthropic-ai-investment" target="_blank">網路巨擘Amazon本周宣布</a>，已完成對AI新創業者Anthropic的40億美元投資，成為該公司創投最高金額紀錄。</p> <p>去年9月Amazon宣布挹注Anthropic 40億美元的計畫，當時僅先投入了12.5億。本周Amazon再補齊剩下的27.5億，完成了對這家新創公司的投資。</p> <p>在這項合作下，Anthropic將成為Amazon Web Services（AWS）的客戶及研發合作夥伴。首先，Anthropic將以AWS為關鍵負載，包括安全研究和未來基礎模型開發的主要供應商。Anthropic將使用AWS Trainium及Inferentia晶片來打造、訓練和部署未來的模型，並且部署在Amazon Bedrock AI平臺上提供AWS客戶使用基礎模型及相關功能，包括檢索增強生成（retrieval augmented generation）、護欄、模型評估與AI助理等，以協助開發生成式AI應用。</p> <p>Amazon將取得這家公司的少數所有權（minority ownership），但不會取得Anthropic董事會席位。</p> <p>本月稍早<a href="https://www.aboutamazon.com/news/aws/amazon-bedrock-anthropic-ai-claude-3" target="_blank">Amazon Bedrock已開始提供</a>Anthropic最新大型語言模型（LLM）Claude 3系列，號稱回應能力具人類等級、準確性和可控性都更好。其中最大型的Claude 3 Opus在推理、數學及編程能力已超越OpenAI的GPT-4。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0328-amazon%20bedrock%20claude%203.png" style="width: 600px;" /></p> <p>Amazon公布已經有多家企業及開發商在Bedrock上以Claude AI模型開發自家應用，包括達美航空、西門子、理光（Ricoh）美國分公司、網路代管業者Go Daddy、輝瑞藥廠、電話客服中心廠商Genesys、Dana-Farber Cancer Institute治療研究機構、基因研究業者Genomics England及職業高爾夫協會PGA等。</p> <p>如同OpenAI或其他AI新創，Anthropic已成為當紅吸鈔機。<a href="https://www.cnbc.com/2023/12/21/openai-rival-anthropic-in-talks-to-raise-750-million-funding-round.html" target="_blank">CNBC報導</a>，去年底Anthropic在幾輪募資中市值已經來到184億美元，是去年初的4.5倍。Google也投注了20億美元。</p> </div></div></div>
2024/3/28 16:48作者林妍溱https://www.ithome.com.tw/news/162016