iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 5篇
近 24 小時: 24篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/13
最近更新: 11/13 08:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 133 篇內文

6
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社3筆關係
中央社2筆關係
日經中文網1筆關係
東森新聞1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

AI趨勢周報第249期：生成模型越大未必越好，Google揭露新研究發現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0329～0405)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 效能 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>生成模型越大未必越好，Google揭露新研究發現</strong></span></p> <p>Google聯手約翰霍普金斯大學，針對圖像生成模型做了項擴展性和效率的研究，並發現模型並非越大越好。進一步來說，團隊鎖定潛在擴散模型（LDM）的大小和採樣效率，其中，LDM是圖像生成的常用模型，擅長根據文字描述，生成高品質圖像。</p> <p>在研究中，團隊訓練了12個文字轉圖像的LDM，這些模型大小不一，從3,900萬到50億個參數不等。接著，團隊用各種任務來評估模型表現，包括文字生成圖像、提高解析度、主題驅動的合成等。他們發現，在給定的有限運算資源下，小模型的表現比大模型要好，能產生更高品質的圖像。而且，小模型的採樣效率在各種擴散採樣器中都是一樣的，就算在蒸餾模型中也是。換句話說，小模型的優勢，不限於特定的取樣技術或模型壓縮方法。</p> <p>不過，研究也發現，當運算資源沒特別限制時，大模型依然擅長生成顆粒度更細緻的細節。意思是，小模型雖然可能更有效率，但在某些情況下，仍需要大模型。團隊認為，該研究影響深遠，因為了解LDM擴展性、模型大小和效能的狀態後，開發者可在效率和品之間取得平衡，打造所需的AI模型。<a href="https://arxiv.org/abs/2404.01367">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-04-08%20155721.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國科會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 選拔賽 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>國科會發起GenAI Stars生成式AI百工百業應用選拔</strong></span></p> <p>為推動生成式AI應用，國科會宣布舉辦首屆GenAI Stars生成式AI百工百業應用選拔，分為創意創客組、創新創業組兩大類。其中，創意創客組是針對高中職、大專院校和社會人士，可細分為高中職組和大專社會組兩組，參賽者可使用生成式AI工具，來進行創意應用，同時，創意創客組參賽者也能參加企業挑戰題目，也就是由多家知名企業提出的題目，詳細出題內容、解題資源和獎勵預計在4月12日公布。</p> <p>而創新創業組則針對國內外企業、新創、學研單位、政府機關或自組團隊參加，競賽主題為與生成式AI有關的企業內部解決方案，或是創新產品與服務，評審將優先考量有邊緣運算的應用。特別的是，通過複審、進入決審的20組團隊，可獲得每隊10萬元輔導金、技術資源（如算力、GenAI工具等）、深度輔導資源，最後決審將篩選出的前三名隊伍，可分別獲得150萬元、100萬元和50萬元。GenAI Stars生成式AI百工百業應用選拔即日起開放報名，至5月15日下午3點為止。<a href="https://genaistars.org.tw/booster">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/VUr8Uzh3AhE?si=PRLgRLh04-KnuB4e" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文字嵌入 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gecko </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google發表強大的文字嵌入模型Gecko</strong></span></p> <p>日前，Google團隊發表一款文字嵌入模型Gecko，可將大型語言模型（LLM）提取到檢索器中，來實現強大的檢索效能。進一步來說，文字嵌入模型目的是將自然語言轉換為密集向量，將語義相似的文字放在距離相近的嵌入空間，就像是電腦的翻譯機，將文字轉為電腦可理解的數字。有了文字嵌入，電腦就能用來執行各種下游任務，如文件檢索、分類等。</p> <p>而Gecko是一款通用的文字嵌入模型，有別於以往只為單個下游任務建立各自的嵌入模型，Gecko由LLM加持，單一個模型就能支援多種下游任務。Gecko的運作方式可分為2步驟，首先是用LLM生成一組組多樣的資料，再來是精煉這些資料品質，也就是為每個查詢，用檢索方式找出一系列的候選文章段落，並用同一個LLM，來對文章段落的正負值重新貼標。</p> <p>也就是說，在一個大型未標註段落的語料庫中，團隊使用少樣本提示，讓LLM為每個段落生成相關的任務和查詢。接著，他們將預訓練嵌入模型，嵌入一連串的任務和查詢，來獲得最相近的段落，並用LLM對段落重新排序，同時根據LLM評分來得出正負向的段落。這種方法，讓Gecko實現強大的檢索表現，不過該模型尚未開源。<a href="https://arxiv.org/abs/2403.20327">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-04-08%20174123.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Cloudflare </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Workers AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hugging Face </span></strong></span></p> <p><span style="font-size:22px;"><strong>Workers AI正式上線，還支援Hugging Face一鍵部署模型</strong></span></p> <p>最近，CDN服務大廠Cloudflare發布推理平臺Workers AI的一系列更新，包括完成公測、正式上線，能提供更高的可靠性和效能，並公開定價，還在目錄中新增更多模型。在效能部分，他們升級了Workers AI內建的負載平衡，另也提供更多城市、更多GPU資源來處理請求，還能靈活將請求分派至可用站點。在正式版本中，Cloudflare也提高了模型速度上限，將原本大型語言模型（LLM）每分鐘只能接收50個請求，提高至每分鐘300個請求，小模型則是每分鐘1,500個至3,000個。</p> <p>此外，Workers AI還與Hugging Face聯手，新添了可支援的4個模型，包括 Mistral 7B v0.2、Mistral 7B、Google的Gemma 7B和Starling-LM-7B-beta。而且，使用者可在Hugging Face的模型卡頁面，在部署欄位點擊Cloudflare Workers AI，就能利用Cloudflare全球GPU網路資源來直接部署模型。目前，Hugging Face支援的模型<a href="https://huggingface.co/collections/Cloudflare/hf-curated-models-available-on-workers-ai-66036e7ad5064318b3e45db6">共有14個</a>，接下來還會有更多模型加入。</p> <p>另一方面，Workers AI也發布了10個非測試版的計價器，來提供使用者更划算的用法。與之類似的還有新版儀表板，可顯示跨模型的使用狀況分析，包括神經元計算，可幫助使用者預測價格。Cloudflare也更新了AI試煉場，可讓使用者快速測試和比較不同的模型，並設定提示和參數。<a href="https://blog.cloudflare.com/zh-tw/workers-ai-ga-huggingface-loras-python-support-zh-tw/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Opera </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 瀏覽器 </span></strong></span></p> <p><span style="font-size:22px;"><strong>在本機就能執行和測試LLM！Opera瀏覽器推出新功能</strong></span></p> <p>網頁瀏覽器Opera最近發布一項新功能，用戶可將大型語言模型（LLM）下載到本機端執行或測試，不必再連上伺服器端，意味著資料不須離開電腦。在這項新功能中，Opera支援近50個系列、共150款本機端LLM，包括Meta的Llama、Vicuna、Google的Gemma和Mistral AI的Mixtral等，允許用戶透過瀏覽器下載。</p> <p>新功能目前以測試版發布給Opera One開發人員。Opera One是去年6月推出的AI瀏覽器，整合原生AI技術的瀏覽器，目前也整合Opera自家的AI助理Aria Chat。目前，開發者可下載Opera One開發者版測試，在本機上使用所支援的LLM和Opera實驗性AI功能。<a href="https://blogs.opera.com/news/2024/04/ai-feature-drops-local-llms/">（詳全文）</a></p> <p><img alt="" src="https://lh7-eu.googleusercontent.com/pumXJU1xbXiMhekSNE3tG5__YZH_KQm6LbQHBj1ttaxwzF-MVU12tz0ETJkatKC4hXpeAJrG4Qd-B91eljoP_bf5lB-R_Pvauv7ueZvrGLYWihQkGwzfZQ2UsVAFVDmVbErMq_nfZvyWm0D9hNlZgwU" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 天氣 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google打造生成式AI天氣預報模型</strong></span></p> <p>最近，Google發表最新天氣預報研究，採用機率擴散模型生成式AI，開發出SEEDS天氣預報模型，可有效、大規模產生天氣預報系集，成本還遠低於傳統物理預報模型。機率擴散模型是一種機器學習生成式AI技術，實作上可分為2步驟，一是添加雜訊，從原始資料逐步增加隨機雜訊，直到資料完全變成隨機雜訊。這個過程稱為前向擴散，就像是在一張清晰的圖片逐漸添加雜訊點，直到圖片上滿是隨機雜訊。再來是移除雜訊，由機率擴散模型反向擴散，將充滿雜訊的資料移除雜訊，最終恢復接近原始資料的新資料。</p> <p>機率擴散模型中的機率性，就是在去雜訊的過程，每一步都考慮多種去雜訊的可能路徑，這種作法，能生成多種且高品質的資料樣本。這個能力，在天氣預報的應用中，能生成一系列可能的天氣狀況，也就是系集預報，來反應未來天氣的不確定性和多樣性。最重要的是，與需要超級電腦耗費數小時運算的傳統天氣預測相比，SEEDS模型的計算成本幾乎可忽略，在Google雲端TPUv3-32執行個體上，每3分鐘就能產生256個系集成員。<a href="https://blog.research.google/2024/03/generative-ai-to-quantify-uncertainty.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEglI5U51vvhkA4cAuVvMLn0TbbL5pdlFL-LO1sNnqLyUieA6A88I5HrhJlszxR1GKQqSK5wsdlATDKSy6EC1BsNF7tzS6oVlFLtau13mVFLk954nFu85HDMP3PrQboG4eXExEtUjEuDRFpcrMqE_F0ikSwXiWBECAfJiLbjr6h6523DROJkbC284xX35zC7/s16000/image3.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Azure AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 提示注入 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟推出Azure AI安全工具，防止惡意提示和AI幻覺</strong></span></p> <p>為防止Azure AI服務和模型，遭輸入惡意指令產出有害內容、洩露個資等問題，微軟最近發布多項工具，可偵測和防範惡意提示，也能防範AI幻覺、模型濫用等問題，目前已提供部份功能測試。</p> <p>進一步來說，這些工具包括提示防護罩及AI模型幻覺偵測、系統範本、越獄評估工具和風險與安全監控。其中，提示防護罩能即時偵測、阻斷基礎模型接收到的惡意提示，另一個是真實性（Groundedness）偵測工具，能偵測文字結果的不真實內容，防範AI模型幻覺問題。另外，微軟也將在Azure AI Studio和Azure OpenAI Service加入安全的系統訊息範本，讓AI應用開發者能建立安全的系統訊息，導引模型使用訓練資料和正確的行為。</p> <p>另一個新工具則是自動化越獄評估，可偵測AI應用被越獄攻擊、產出暴力、自殘、色情、仇恨、歧視內容的可能性，也會以自然語言解釋評估結果。最後，微軟也提供AI應用風險與安全監控工具，能針對黑名單所封鎖的產出內容，提供數量、嚴重性和內容類別，也能分析被標示為有害的用戶輸入訊息，並根據上下文訊號判斷用戶是否濫用。<a href="https://azure.microsoft.com/en-us/blog/announcing-new-tools-in-azure-ai-to-help-you-build-more-secure-and-trustworthy-generative-ai-applications/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> xAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Grok-1.5 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> X </span></strong></span></p> <p><span style="font-size:22px;"><strong>xAI發表Grok-1.5</strong></span></p> <p>繼於3月17日開源大型語言模型Grok-1後，xAI再於3月28日發表Grok-1.5，新版本將支援16倍的脈絡長度，預計近期釋出，並成為X上Grok聊天機器人的底層模型。xAI說明，Grok-1.5是在基於JAX、Rust和Kubernetes的客製化分散式訓練框架上建置，能讓團隊輕鬆測試原型，同時大規模訓練新架。這款客製化的訓練協調器，可自動偵測有問題的節點，並從訓練任務中剔除。為降低故障時的停機事件，團隊也優化了檢查點、資料載入和訓練任務的重新啟動機制。</p> <p>與第一代相比，Grok-1.5有不少進展，在許多基準測試上直追或超越Claude 3 Sonnet和Claude 2，比如Grok-1.5在MMLU（大規模多工語言理解）基準測試的成績為81.3%，超越Claude 2的75%與Claude 3 Sonnet的79%。此外，Grok-1.5也支援128K個Token的脈絡，記憶能力為第一版的16倍，更擅長處理長文件。<a href="https://x.ai/blog/grok-1.5">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MLPerf </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia在MLPerf基準測試拿下2個最快</strong></span></p> <p>日前，MLCommons發布MLPerf Inference v4基準測試套件的最新結果，Nvidia一次拿下2個模型最快的冠軍，包括資料中心類別的文生圖模型Stable Diffusion XL和開源語言模型Llama 2 70B。這兩個模型，都是這次測試新納入的模型。</p> <p>MLPerf Inference基準測試套件可分為資料中心和邊緣系統兩個類別，目的是要衡量硬體系統，在各種場景中執行AI模型的速度。就這次新添的模型來說，Llama 2 70B比MLPerf Inference v3.1所納入的GPT-J模型，大了一個量級，是測試高階系統的良好基準。而Stable Diffusion XL則有26億參數，透過生成大量圖像，能透過計算硬體系統的延遲和吞吐量等指標，來了解整體效能。而在邊緣系統類別中，新增的Stable Diffusion XL模型測試則由Wiwynn系統拿下冠軍。<a href="https://mlcommons.org/2024/03/mlperf-inference-v4/">（詳全文）</a></p> <p>圖片來源／Google、國科會、Opera</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 微軟研究團隊發表AllHands，一種LLM大規模回饋分析框架</strong></p> <p><strong>2. OpenAI將在東京開設新分部</strong></p> <p>資料來源：iThome整理，2024年4月</p> </div></div></div>
2024/4/8 17:56作者王若樸https://www.ithome.com.tw/news/162162
【資安日報】4月8日，勒索軟體駭客組織Red CryptoApp聲稱入侵超過10個企業組織引起研究人員關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客組織更換名稱捲土重來的情況，迄今已有數起，最近有個名為Red CryptoApp的駭客團體，宣稱已攻擊超過10個企業組織。察覺該組織行動的資安業者Netenrich推測，很有可能是2020年收手的Maze成員組成。</p> <p>值得留意的是，Red CryptoApp的做法較為激進，因為他們直接公布受害組織的資料，企圖藉此形成壓力讓受害組織乖乖付錢。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://ithome.com.tw/news/162145"><strong style="font-size: 22px;">勒索軟體駭客組織Red CryptoApp竄起，疑為Maze成員東山再起</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/red-cryptoapp-dls.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/red-cryptoapp-dls.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Netenrich揭露名為Red CryptoApp（Red Ransomware Group）的勒索軟體駭客組織，駭客設置名為丟臉牆（Wall of Shame）的資料外洩網站，聲稱已攻擊12個企業組織，其中11個在3月5日內部資料遭竊，他們也提供下載連結。</p> <p>有別於其他的勒索軟體駭客組織，Red CryptoApp這樣直接公布資料的做法很不尋常，因為，過往駭客多半是勒索不成的情況下，才會公布竊得的內部檔案。</p> <p>而對於這些駭客的來歷，研究人員發現，部分勒索訊息的內容，與2020年11月收手的Maze雷同，因此他們推測很有可能是該組織成員另起爐灶。</p> <p><a href="https://ithome.com.tw/news/162154"><strong style="font-size: 22px;">惡意軟體IcedID變種Latrodectus攻擊行動升溫，透過網頁應用程式開發平臺Firebase散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2024-04-04 at 12_22_45 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202024-04-04%20at%2012_22_45%20PM.png" style="width: 300px; float: right;" /></a></p> <p>去年11月資安業者Proofpoint在電子郵件攻擊行動裡，發現名為Latrodectus的惡意程式，他們先後看到兩組人馬使用Latrodectus，去年11月，負責扮演「初始入侵管道掮客（IAB）」角色的駭客組織TA577，曾在3起攻擊攻擊行動使用該惡意程式；自12月開始，另一個駭客組織TA578跟進採用Latrodectus，對方透過惡意程式Danabot傳送。</p> <p>但值得留意的是，TA578在今年2月改變攻擊手法，他們假借多家公司的名義，宣稱目標組織侵犯著作權，在網站上填寫表單，其中的文字含有URL，一旦目標組織的人士點選，就會被帶往特定的回報網頁，並從網頁應用程式開發平臺Firebase下載JavaScript檔案，一旦該檔案執行，就會從WebDAV共享資料夾啟動MSI安裝檔，從而在電腦執行Latrodectus。</p> <p>經過他們的比對，這款惡意程式的基礎設施與IcedID重疊，並具備部分IcedID的特質，研究人員推測，Latrodectus很有可能是開發IcedID的團體打造。</p> <p><a href="https://ithome.com.tw/news/162123"><strong style="font-size: 22px;">針對微軟去年簽章金鑰外洩，美國政府公布調查結果，起因是該公司的安全文化不足</strong></a></p> <p></p> <p>去年中國駭客Storm-0558竊得微軟帳戶（MSA）消費者簽章金鑰，並將其用於偽造身分驗證憑證，而能存取Outlook Web Access in Exchange Online（OWA）、Outlook.com用戶的電子郵件帳號，25個歐美政府組織及多名政要受害。美國國土安全部（DHS）著手調查此事，並於4月2日公布結果，他們認為，這起事故主要發生的原因在於，微軟本身的企業文化並不重視資訊安全，該公司應進行根本性的改革。</p> <p>DHS表示，微軟在雲端服務缺乏部分安全控制措施，而且，在2021年併購一家公司後，開放該公司員工電腦連結微軟企業網路時，並未察覺有筆電已經被入侵。再者，雖然微軟在9月聲稱找到根本原因，但DHS發現其實是錯的，微軟直到今年3月才更正。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://ithome.com.tw/news/162148"><strong style="font-size: 22px;">新型態HTTP/2漏洞遭揭露，網頁伺服器可能因為單一連線而癱瘓</strong></a></p> <p>研究人員Barket Nowotarski公布名為CONTINUATION Flood的漏洞，這項漏洞與HTTP/2 CONTINUATION框架（frame）使用有關，並指出在實作當中，這些框架往往並未受到合適的限制或是檢查，一旦缺乏框架的正確性檢查，攻擊者就有機會在特定配置的環境，藉由發送極長的字串，導致在處理上述框架的過程，記憶體被用光而當機，或是耗盡處理器資源，最終使得伺服器無法運作。</p> <p>他向卡內基美隆大學電腦網路危機處理暨協調中心（CERT/CC）通報此事，CERT/CC將上述漏洞登記了9個CVE編號，並指出amphp、Apache HTTP伺服器、Tomcat、Traffic Server、Envoy代理伺服器、Go語言等多個專案曝險。</p> <p><a href="https://ithome.com.tw/news/162150"><strong style="font-size: 22px;">Hugging Face存在漏洞，恐導致AI供應鏈攻擊</strong></a></p> <p></p> <p>資安業者Wiz揭露存在於AI模型資源共享平臺Hugging Face的兩項漏洞，分別是共享推論基礎設施遭到接管的風險，以及共享持續整合及持續交付（CI/CD）遭到接管的供應鏈風險。研究人員分析該系統的推論API、推論端點、代管及展示模型的功能（Spaces），將採用Pickle格式的惡意模型上傳到Hugging Face，從而遠端執行程式碼並擴張權限，再藉由容器逃逸技術來突破租戶限制，得以存取Hugging Face平臺上其它客戶所存放的模型。</p> <p>對此，Hugging Face也採取行動進行修補，並與微軟聯手打造惡意Pickle檔案掃描工具Picklescan，並持續推動較安全的檔案格式Safetensors。該公司表示，有鑑於機器學習社群經常使用Pickle，縱使該檔案格式存在許多弱點，他們不打算全面封殺，但會儘可能減緩相關風險。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://ithome.com.tw/news/162126"><strong style="font-size: 22px;">Chrome將加入可阻擋cookie劫持的新功能</strong></a></p> <p></p> <p>近日Google在測試版Chrome導入名為Device Bound Session Credentials（DBSC）的功能，藉由在連線階段（Session）與裝置綁定金鑰，目的是保護使用者不受cookie挾持攻擊。攻擊者即便竊得使用者的cookie，也無法冒充使用者存取他們的帳號。</p> <p>該公司指出，由於cookie與作業系統的互動方式，一旦惡意軟體取得與瀏覽器相同的權限，就有機會自由存取瀏覽器存放的cookie，對此，他們透過DBSC將連線階段與裝置綁定，使得外流的cookie無法直接發揮作用。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.bleepingcomputer.com/news/security/hosting-firms-vmware-esxi-servers-hit-by-new-sexi-ransomware/"><span style="font-size: 20px;">智利資料中心IxMetro Powerhost遭遇勒索軟體SEXi攻擊，VMware ESXi伺服器遭到加密</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/hoyas-optics-production-and-orders-disrupted-by-cyberattack/"><strong style="font-size: 20px;">光學設備製造商Hoya遭遇網路攻擊，部分工廠及業務伺服器被迫離線</strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/ivanti-fixes-vpn-gateway-vulnerability-allowing-rce-dos-attacks/"><strong style="font-size: 20px;">資安業者Ivanti修補VPN系統Connect Secure高風險漏洞</strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/google-fixes-one-more-chrome-zero-day-exploited-at-pwn2own/"><strong><span style="font-size: 20px;">Google再度修補Pwn2Own公布的Chrome零時差漏洞</span></strong></a></p> <p></p> <p><a href="https://www.wordfence.com/blog/2024/04/5500-bounty-awarded-for-unauthenticated-sql-injection-vulnerability-patched-in-layerslider-wordpress-plugin/"><strong><span style="font-size: 20px;">WordPress互動模組建置外掛LayerSlider存在重大漏洞，100萬網站曝險</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162113"><strong>【4月3日】研究人員發現中國駭客組織APT41旗下團體使用更為隱密的方式迴避偵測</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162102"><strong>【4月2日】CISA傳出向美國政府報告Ivanti系統遭到入侵的事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162054"><strong>【4月1日】發現潛伏三年的供應鏈攻擊事件，程式庫XZ Utils近期被植入後門</strong></a></p> </div></div></div>
2024/4/8 16:05作者周峻佑https://www.ithome.com.tw/news/162157
華為自製行動平臺HarmonyOS已有4,000個原生程式，準備切割Android
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因遭到美國制裁而不得不自己開發行動作業系統的華為，<a href="https://www.huaweicentral.com/native-harmonyos-apps-exceed-4000-mark-reveals-huawei/" target="_blank">在周日（4/7）宣布</a>，其自製Linux行動作業系統HarmonyOS上，已經或正式開發的原生應用程式數量已突破4,000大關。</p> <p>華為是在2019年5月遭美國<a href="https://www.ithome.com.tw/news/130724" target="_blank">納入實體名單</a>（Entity List），禁止美國企業出口技術給華為，包括<a href="https://www.ithome.com.tw/news/130769" target="_blank">晶片技術</a>，以及<a href="https://www.ithome.com.tw/news/139433" target="_blank">Android平臺與Google服務</a>。</p> <p>不過，華為依舊在去年發表了採用中芯國際所生產的晶片，以及自行開發之HarmonyOS 4作業系統的高階手機Mate 60系列。</p> <p>HarmonyOS是華為自2015年便開始打造的行動作業系統，初期主要作為IoT平臺，但美國的制裁迫使華為快速發展HarmonyOS，於2020年推出了可支援智慧型手機的HarmonyOS 2.0，該平臺同時也能執行Android程式。</p> <p>華為本周表示，目前正在打造HarmonyOS NEXT，它是HarmonyOS的純淨版本，移除了所有Android程式碼，且現階段僅專注於HarmonyOS程式，正在開發或已開發的HarmonyOS原生應用程式已超過4,000個。華為已釋出HarmonyOS NEXT的開發者測試版，預計於今年下半年發表消費者版本。</p> <p>從華為的宣布來看，HarmonyOS NEXT將不再支援Android程式。</p> <p>根據市場研究機構<a href="https://www.counterpointresearch.com/insights/global-smartphone-os-market-share/" target="_blank">Counterpoint去年第四季的調查</a>，Android仍為全球主要的行動平臺，市占率高達74%，居次的是iOS的23%，而華為的HarmonyOS也占了4%，儘管相差甚遠，但HarmonyOS已是全球第三大行動平臺。若僅觀察中國市場，Android仍然以64%領先，而HarmonyOS已以16%逼近iOS的20%。</p> <p>華為坦承，強化行動應用程式生態體系是該公司所面臨的主要難題之一，但轉向原生行動系統將能協助它從內到外的成長，以於中國市場挑戰Android。</p> </div></div></div>
2024/4/8 15:25作者陳曉莉https://www.ithome.com.tw/news/162156
5月起Meta將替所有源自AI的多媒體內容貼上標籤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta上周更新旗下平臺<a href="https://about.fb.com/news/2024/04/metas-approach-to-labeling-ai-generated-content-and-manipulated-media/" target="_blank">有關AI生成的內容政策</a>，同時宣布5月起將替Facebook、Instagram與Threads等平臺上的AI內容貼上標籤。</p> <p>自今年5月開始，只要Meta偵測到基於產業標準的AI圖像指標，或者是人們透露他們正在上傳AI生成的內容時，就會以「Made with AI」來標記這些影片、音訊或圖像。</p> <p>另一方面，Meta也將變更處置AI生成內容的方法。過去Meta處理旗下平臺Deepfake的政策，僅限於那些利用AI讓人們「說出」他們沒說過的話，這是2020年制定的政策，當時由AI所生成的內容大多是假的，而且以影片為主，現在Meta坦承該政策過於狹隘，應該擴大到這幾年頻繁出現的AI生成圖像與音訊，因為透過AI生成圖像來描述一個人「做了」沒做過的事也同樣嚴重。</p> <p>此外，過去Meta會直接刪除這些以AI生成的內容，新政策則考慮到言論自由的風險，決定將相關內容保留在平臺上，除了賦予「Made with AI」標籤外，也會提供有關該內容的更多背景資訊，以供使用者判斷。前提是這些AI生成內容並未違反其社群守則，諸如干預選民、霸凌、騷擾、暴力與煽動等，否則也會直接移除。</p> <p>在有了「Made with AI」標籤以供使用者辨識之後，自今年7月開始，Meta將不再直接刪除經過編輯、合成或來自AI的內容。</p> </div></div></div>
2024/4/8 14:45作者陳曉莉https://www.ithome.com.tw/news/162153
惡意軟體IcedID變種Latrodectus攻擊行動升溫，透過網頁應用程式開發平臺Firebase散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月資安業者Proofpoint在電子郵件攻擊行動裡，<a href="https://www.proofpoint.com/us/blog/threat-insight/latrodectus-spider-bytes-ice">發現名為Latrodectus的惡意程式</a>，其主要功能是下載惡意酬載，然後執行攻擊者下達的命令，研究人員指出，該惡意程式的攻擊行動，在今年2月至3月出現增加的情形。</p> <p>他們先後看到兩組人馬使用Latrodectus，去年11月，負責扮演「初始入侵管道掮客（IAB）」角色的駭客組織TA577，曾在3起攻擊攻擊行動使用該惡意程式，但之後改用Pikabot；自12月開始，另一個駭客組織TA578跟進採用Latrodectus，對方透過惡意程式Danabot傳送。</p> <p>但值得留意的是，這些駭客在今年2月改變攻擊手法，他們假借多家公司的名義，宣稱目標組織侵犯著作權，在網站上填寫表單，其中的文字含有URL，一旦目標組織的人士點選，就會被帶往特定的回報網頁，並從網頁應用程式開發平臺Firebase下載JabaScript檔案，一旦該檔案執行，就會從WebDAV共享資料夾啟動MSI安裝檔，從而在電腦執行Latrodectus。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2024-04-04 at 12_22_45 PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202024-04-04%20at%2012_22_45%20PM.png" style="width: 580px;" /></a></p> <p>經過他們的比對，這款惡意程式的基礎設施與IcedID重疊，並具備部分IcedID的特質，研究人員推測，Latrodectus很有可能是開發IcedID的團體打造。</p> </div></div></div>
2024/4/8 14:52作者周峻佑https://www.ithome.com.tw/news/162154
資安業者Wiz揭露Hugging Face的跨租戶攻擊漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Wiz分析了AI即服務（AI-as-a-Service）平臺的安全問題，<a href="https://www.wiz.io/blog/wiz-and-hugging-face-address-risks-to-ai-infrastructure" target="_blank">發現相關平臺可能允許駭客藉由惡意模型來執行跨租戶攻擊</a>，Hugging Face則在同一天<a href="https://huggingface.co/blog/hugging-face-wiz-security-blog" target="_blank">宣布已與Wiz共同緩解漏洞</a>，並訂定了於平臺上使用Pickle的新政策。</p> <p>這兩年快速竄起的AI模型需要強大的GPU來執行，因而經常外包給AI服務供應商，其中，Hugging Face替使用者提供了必要的基礎設施，以便不同的團隊可於該平臺上代管、訓練及共同開發AI模型，再加上它是個開放的協作平臺，允許使用者探索及使用由全球AI社群所開發的AI模型，而成為全球最熱門的平臺之一，也是駭客攻擊的潛在目標，促使Wiz將Hugging Face列為重點研究對象。然而，Wiz認為，在Hugging Face上所發現的安全問題並非該平臺所獨有，其它相關平臺也將面臨同樣的挑戰。</p> <p>Wiz指出，惡意模型為AI系統的主要風險，對AI即服務供應商而言尤是，而Hugging Face即存在兩個可被利用的風險，分別是共享推論基礎設施遭到接管的風險，以及共享持續整合/持續交付（CI/CD）遭到接管的供應鏈風險，在分析了Hugging Face的推論API、推論端點，以及代管及展示AI模型與應用的Spaces之後，發現他們可上傳惡意模型至Hugging Face平臺，進而自遠端執行程式碼，或是擴張權限，並點出採用不可靠的AI模型，特別是基於Pickle的模型，很可能會導致嚴重的安全問題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0408-Hugging%20Face-%20AI-as-a-service%20attack%20flow%20by%20Wiz-1.png" style="width: 600px;" /></p> <p>Pickle為機器學習模型中被廣泛使用的序列化格式，也是Python開源機器學習框架PyTorch模型權重的預設格式。簡單地說，Python中的Pickle模組可以將一個Python物件轉成二進位（序列），也能自二進位重建原始物件（反序列），其序列化時所產生的二進位檔案也稱為Pickle。</p> <p>儘管被廣泛使用，但<a href="https://docs.python.org/3/library/pickle.html" target="_blank">Python明文警告</a>Pickle並不安全，因為它可能允許駭客打造惡意的資料，以在反序列期間執行任意程式，並強力建議不要反序列任何來自不明來源或可能已被竄改的資料。</p> <p class="rtecenter"><a href="http://docs.python.org/3/library/pickle.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0408-pickle-Python%20object%20serialization-600.png" style="width: 400px;" /></a></p> <p>總之，Wiz成功地上傳了惡意模型，再藉由容器逃逸技術來突破租戶限制，得以存取Hugging Face平臺上其它客戶所存放的模型。</p> <p>另一方面，為了緩解Wiz所發現的安全風險，Hugging Face已與微軟合作打造Picklescan以掃描惡意的Pickle檔案，也推動可用來取代Pickle檔案的Safetensors。根據Wiz的分析，Hugging Face平臺支援多種AI模型格式，當中最普及的即是Pickle與Safetensors。</p> <p class="rtecenter"><a href="https://huggingface.co/docs/hub/en/security-pickle" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0408-hugging%20face-Pickle%20Scanning.png" style="width: 600px;" /></a></p> <p class="rtecenter"><a href="https://github.com/huggingface/safetensors" target="_blank"><img alt="" src="https://opengraph.githubassets.com/80fcda6530a1fcb9c73ec5716ea8c52fc383c1ae3962ed810e9ff814065c9310/huggingface/safetensors" style="width: 600px;" /></a></p> <p>Hugging Face指出，即使Pickle檔案存在許多安全漏洞，但AI與機器學習社群依然經常使用Pickle，有眾多的例子都是用來進行低風險的測試目的，也讓Pickle更為研究人員所熟悉及利用，作為開源的AI平臺，Hugging Face並不打算完全封鎖Pickle檔案，但也不想毫無作為，決定尋求一個既允許Pickle又可減緩Pickle風險的方法。</p> <p>其針對Pickle的緩解措施包括建立詳述相關風險的文件，開發自動掃描工具，藉由掃描工具標註含有安全漏洞的模型並提出明確的警告，以Safetensors來取代Pickle，將Safetensors視為該平臺的一等公民，以保護可能不了解Pickle風險的社群成員。</p> </div></div></div>
2024/4/8 13:55作者陳曉莉https://www.ithome.com.tw/news/162150
Google雲端2024年生成式AI布局動作頻頻，不只推出更強、超長文理解的多模態Gemini模型，還要讓GAI應用通…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GAI（生成式AI）應用在2024年大爆發，三大公雲業者如何布局AI新戰略，成了外界關注的焦點，其中，Google雲端年度Next大會將率先在美國時間4月9日登場。從去年底到今年3月間，這家公雲業者在生成式AI布局動作頻頻，不只推出最強的多模態Gemini模型，還超前其兩家公雲率先讓GAI可以跑在手機等邊緣裝置上，甚至還將自家邊緣裝置用的GAI模型開源，要借助開源社群將Gemini影響力向外擴散到更多應用領域。</p> <p>不同幾年前，三大公雲在2023年營收增長速度出現趨緩，反映出企業對於雲端投資更為謹慎，重新調整或優化其雲端支出，但在這些投資項目中，雲端AI的投資呈現逆勢增長的趨勢，甚至在生成式AI風潮下，越來越多企業今年不是已經展開試用就是計畫採用，掀起了新一波雲端AI應用潮。</p> <p>企業GAI應用的風潮席捲全球，也成了三大公雲積極搶攻的新戰場，微軟靠著OpenAI助攻，去年在這場雲端GAI大戰中取得先機，而Google後來居上，靠著自家PaLM模型和GAI生產力工具來迎戰，AWS則是到去年底的re:Invent 年會上，對於企業GAI應用布局才有比較完整的布局與揭露。</p> <p>Google在生成式AI布局更是動作頻頻。去年8月的Next大會，更成了Google生成式AI的火力展示，更是對微軟Copilot戰略的反擊。</p> <p>Google還搶在去年底推出了最強的<a href="https://www.ithome.com.tw/news/160193">多模態Gemini模型</a>，強調可以同時支援文字、圖片和聲音的輸入，更推出了Ultra、Pro、Nano三種版本，瞄準不同場景的企業GAI應用需求。Google還揭露AI新戰略聚焦AI建置、AI運用和AI生態圈。</p> <p>進到2024年，Google更加快GAI產品的發布和更新的腳步，持續推出新功能和服務。</p> <p>Google先在Vertex AI平臺上架了Pro 1.0版的Gemini模型API預覽版，開放企業免費試用，並在今年2月1日率先全面上線。而導入Ultra 1.0版的Gemini Advanced付費版服務也在同月8日推出，該模型能處理更複雜的任務與具備更好的情境理解能力，但與支援中文提問的Gemini Pro不同，Gemini Advanced目前僅支援英文版。同時間，Google一併也統一GAI產品名稱，將付費版生成式AI助理服務Bard改名Gemini。</p> <p>在2月初，Google發表性能更強大的1.5版Gemini模型，比起1.0版，Gemini 1.5不僅可同時支援文字、圖片、影片、聲音及程式碼的輸入，最多可支援輸入長達100萬個Token，相當於一次能處理1小時的影片、11小時的音訊或逾70萬字的內容。這也讓Google和微軟背後的OpenAI之間競爭更加白熱化。</p> <p>OpenAI同一天也公布全新短影片生成AI模型Sora，擁有根據文字描述即可生成高品質、最長60秒的短片的功能，展示了新模型在短影片生成的重大進展。不過因為Sora現階段尚未對外開放試用。得等到Sora模型發布後，微軟才有可能在Azure中提供。</p> <p>Google的Gemini 1.5則是先開放給限定用戶預覽試用，並在中階的Pro版Gemini推出。Google強調，1.5版Pro模型在品質上足以媲美1.0版Ultra模型，同時還能減少運算量。</p> <p>不只是開發自己的模型，Google Cloud近日還與最大生成式AI開放社群Hugging Face策略結盟，要讓自家生成式AI開發平臺Vertex AI成為這些Hugging Face模型訓練、微調與提供的平臺，以便能更快提供和支援各種共享的GenAI模型，</p> <p>除了GAI模型上的競爭，Google Cloud也持續強化雲端服務GAI整合能力。例如企業在BigQuery資料倉儲中，現在已經能夠直接存取大型語言模型Gemini 1.0 Pro，讓資料工程師和資料分析師在資料倉儲中使用最新的Gemini模型，執行多模態和進階推理的功能。</p> <p>此外，在開發者輔助、雲端及資安維運管理方面，開發人員和資安人員現在也能夠使用Gemini來完成程式碼生程、故障排除，和強化其資安產品的威脅偵測、應對和預防的能力。</p> <p>企業生產力應用也是另一大GAI戰場。為了力抗微軟Microsoft 365，Google Workspace在今年二月開始引進Gemini模型（以Gemini 1.0 Ultra為基礎），可以對Workspace內容提供多模態的進階理解能力，Google同時也將Workspace的AI助理Duet AI改名為Gemini，並推出商用版與企業版Gemini for Workspace，提供更多企業級功能。</p> <p>不同於其他兩家公雲，Google不只布局雲端GAI，更瞄準企業邊緣GAI需求，要通吃雲和端的GAI應用，除了推出可將Vertex AI推論應用部署到本地端或邊緣環境的Google分散式雲端（Google Distributed Cloud）產品，後來還進一步可以在三星新一代旗艦手機S24上跑Nano版Gemini模型甚至還能透過雲端部署Pro版Gemini模型，執行手機上GenAI任務。還推出可在安卓手機上執行的Gemini助理應用。Google下一步將把Gemini帶進更多邊緣裝置中。</p> <p>甚至為了吸引廣大開發者社群參與，Google在2月底宣布推出<a href="https://www.ithome.com.tw/news/161409">開源GAI模型Gemma</a>，該模型不僅是以Gemini為基礎所開發，而且屬於小模型，因此可以跑在筆電等邊緣裝置上，其性能甚至更超越了臉書Meta的Llama 2 7B。</p> <p>Google的目標不僅僅是通過開源社群持續提高和改進Gemma模型的能力，未來也能將這些改進應用在Gemini中，讓模型可以變得更好，同時還能借助開源社群的力量將Gemini影響力向外擴散到更多應用領域。GCP目前也是三大公雲中唯一將自家GAI模型開源的公雲業者。預期今年Next大會將有更多展示和應用。</p> <p>在生成式AI開發平臺方面，Google Cloud開始從垂直產業需求切入，提供不同產業的Vertex AI解決方案和服務。例如Google去年還開始提供「搜尋」和「對話」的NoCode開發套件，能快速在企業內部應用整合出這兩類客製GAI應用。緊接著今年推出醫療產業用的Vertex AI Search服務，能協助醫院快速建立專用AI醫療搜尋系統，用以管理和處理大量臨床記錄和相關問題。此外，Google也持續擴大和第三方合作，加速GAI生態系的建立。</p> </div></div></div>
2024/4/8 14:05作者余至浩https://www.ithome.com.tw/news/162140
勒索軟體駭客組織Red CryptoApp竄起，疑為Maze成員東山再起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Netenrich揭露名為<a href="https://netenrich.com/blog/red-cryptoapp-ransomware-new-threat-group">Red CryptoApp（Red Ransomware Group）的勒索軟體駭客組織</a>，駭客設置名為丟臉牆（Wall of Shame）的資料外洩網站，聲稱已攻擊12個企業組織，其中11個在3月5日內部資料遭竊，他們也提供下載連結。</p> <p>有別於其他的勒索軟體駭客組織，Red CryptoApp這樣直接公布資料的做法很不尋常，因為，過往駭客多半是勒索不成的情況下，才會公布竊得的內部檔案。</p> <p>而對於受害組織的分布，有近半數（5個）位於美國，但丹麥、印度、西班牙、義大利、新加坡、加拿大也有受害組織，對方主要針對軟體和製造業，不過教育、營建、醫療機構、IT業者也有遇害的情況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/global-victim-graph.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/global-victim-graph.png" style="width: 580px;" /></a></p> <p>根據研究人員的調查，這些駭客在今年2月中旬開始鎖定受害組織，留下的勒索訊息日期為2月18日，因此他們推測，該組織從今年初開始籌畫相關行動。</p> <p>而對於這些駭客的來歷，研究人員發現，部分勒索訊息的內容，與2020年11月收手的Maze雷同，因此他們推測很有可能是該組織成員另起爐灶。</p> </div></div></div>
2024/4/8 11:08作者周峻佑https://www.ithome.com.tw/news/162145
新型態HTTP/2漏洞遭揭露，網頁伺服器可能因為單一連線而癱瘓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年AWS、Cloudflare、Google Cloud聯手，揭露通訊協定漏洞HTTP/2 Rapid Reset（CVE-2023-44487）的攻擊行動，如今研究人員找到了新的HTTP/2缺陷，在某些情況下，攻擊者只需使用單一TCP連線，就有機會癱瘓目標網頁伺服器。</p> <p>研究人員Barket Nowotarski公布名為<a href="https://nowotarski.info/http2-continuation-flood-technical-details/">CONTINUATION Flood的漏洞</a>，這項漏洞與HTTP/2 CONTINUATION框架（frame）使用有關，並指出在實作當中，這些框架往往並未受到合適的限制或是檢查，一旦缺乏框架的正確性檢查，攻擊者就有機會在特定配置的環境，藉由發送極長的字串，導致在處理上述框架的過程，記憶體被用光而當機，或是耗盡處理器資源，最終使得伺服器無法運作。</p> <p>他向卡內基美隆大學電腦網路危機處理暨協調中心（CERT/CC）通報此事，<a href="https://kb.cert.org/vuls/id/421644">CERT/CC將上述漏洞登記了9個CVE編號</a>，並指出amphp、Apache HTTP伺服器、Tomcat、Traffic Server、Envoy代理伺服器、Go語言等多個專案曝險。</p> </div></div></div>
2024/4/8 12:22作者周峻佑https://www.ithome.com.tw/news/162148
【資安週報】2024年4月1日到4月3日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期IT界與資安界最重大的新聞，就是有開發人員意外發現了XZ/liblzma被植入後門的事件，紅帽也公布了XZ相關漏洞CVE-2024–3094，本期有多篇新聞與此事件有關。</p> <p>所幸的是，這次能夠及早揪出了這個潛藏的後門，目前只有部分Liunx版本受影響，影響層面還不是太廣，然而，這起針對開源軟體的供應鏈攻擊事件，正持續受到調查與探討，</p> <p>不只是意外發現的過程，後門植入的手法，更讓各界吃驚的是，涉及此事件提交的GitHub帳號，竟是從2021、2022年就開設帳號，並逐漸取得原始XZ維護者的信任，這樣的潛伏歷程備受矚目，也再次引發各界對於開源軟體安全議題的探討。</p> <p>還有兩個Linux漏洞的揭露值得關注，一是名為Flipping Pages、涉及netfilter元件的漏洞，一是名為WallEscape、涉及util-linux 套件的漏洞。這兩個漏洞的修補，分別在今年1月底與3月底釋出，近期研究人員各自揭露漏洞細節與並利用場景，同時呼籲尚未因應的用戶盡速更新。</p> <p>在其他漏洞利用消息方面，使用AI框架Ray的企業組織需特別留意，去年11月底Anyscale揭露5個漏洞，唯有CVE-2023-48022漏洞沒有修補，甚至認定這並非漏洞，但如今有資安業者揭露名為ShadowRay的攻擊行動，並指出該漏洞已被用於攻擊行動。</p> <p>Google Pixel手機用戶也要當心，在Android的4月安全更新公告中，有兩個Pixel的資訊洩漏漏洞已有跡象受到針對性利用，分別CVE-2024-29745、CVE-2024-29748，本期資安日報尚未提及，在此補上。</p> <p>在最近的資安事件中，還有2則新聞我們認為值得重視，分別發生在美國網路安全暨基礎設施安全局（CISA），以及非營利組織OWASP基金會。我們整理如下：<br /> <span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">●</span>美國CISA亦受到年初Ivanti系統漏洞影響，駭客針對美國聯邦高風險化學關鍵設施，入侵CISA提供的化學品資安評估工具（CSAT），並成功部署了Web Shell，且另一關鍵基礎設施資安資訊工具CISA Gateway也受影響。<br /> <span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">●</span>以公布十大網站資安風險而廣為知名的OWASP基金會，最近發布資料外洩通知，說明2006至2014年的成員簡歷檔案可能外洩，原因出在一臺舊的維基（Wiki）網頁伺服器，當中存在組態配置不當的問題。</p> <p>此外，國內發生一起7所高中校務系統遭駭的事件，我們認為，當中有兩個議題值得留意與警惕。一是關於駭客勒索的對象，並非這些學校，而是打造校務行政系統的亞昕資訊，另一是通用帳號密碼的問題，調查中發現駭客先入侵1所學校的系統，獲得登入該校務系統的帳密，但駭客利用同一組帳號密碼，也能成功登入其他6所學校的系統。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162054"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月1日】發現潛伏三年的供應鏈攻擊事件，程式庫XZ Utils近期被植入後門</span></strong></a></h3> <p style="margin: 0px;">週末一起供應鏈攻擊事件的揭露，震撼了整個資安圈，也讓IT界忙於修補因應，有攻擊者針對XZ Utils資料壓縮程式庫植入後門，而這個後門將可讓攻擊者繞過SSHD的身分認證機制，且相當難以察覺。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">幸好有研究人員因為調查一個SSH登入失敗及登入變慢500豪秒的狀況而發現，但回顧這個提交惡意的GitHub帳號，竟是在2021年就註冊，並從2022年2月就開始試探性的對XZ程式庫提交Commit。</p> <p><a href="https://www.ithome.com.tw/news/162102"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月2日】CISA傳出向美國政府報告Ivanti系統遭到入侵的事故</span></strong></a></p> <p style="margin: 0px;">今年初Ivanti公布一連串Connect Secure、Policy Secure漏洞，再度震撼全球資安界，有研究人員不斷發現相關攻擊行動，但截至目前為止，鮮少企業組織證實遭到相關攻擊，不知該慶幸沒事或擔心有後遺症。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">直到3月上旬，傳出美國網路安全暨基礎設施安全局（CISA）所屬的Ivanti伺服器遭到入侵，導致其中2個系統被駭，等於證實上述漏洞的確產生衝擊，而在3月底，該機構也向數個政府機關報告此事細節。</p> <h3><a href="https://www.ithome.com.tw/news/162004"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月3日】研究人員發現中國駭客組織APT41旗下團體使用更為隱密的方式迴避偵測</span></strong></a></h3> <p style="margin: 0px;">最近幾年中國駭客組織APT41的攻擊行動不時傳出，但今年初鮮少有相關的事故揭露，直到最近，有研究人員發現該組織旗下團體的攻擊手法。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">資安業者趨勢科技發現該組織旗下團體Earth Freybug，特別針對端點防護系統（註：這裡研究人員應該指的是EDR相關系統）追蹤惡意行動的方法下手，企圖讓這類系統無法偵測他們的行蹤。</p> <p> </p> </div></div></div>
2024/4/8 12:41作者羅正漢https://www.ithome.com.tw/news/162149
OpenAI擴大AI模型微調功能、也提供輔助微調服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI上周<a href="https://openai.com/blog/introducing-improvements-to-the-fine-tuning-api-and-expanding-our-custom-models-program" target="_blank">公布AI模型微調功能</a>，供企業或開發商用戶自行微調AI模型以開發想要的AI應用，也為企業提供輔助微調或從頭打造AI模型的服務。</p> <p>OpenAI於去年8月推出GPT-3.5模型的微調API。有數千家企業或開發商利用API訓練數萬模型。微調可使模型更能理解訓練內容、擴增特定任務相關的知識及能力。微調API也比普通ChatGPT單一提示支援更多範例，可提高回應結果品質，同時降低成本與延遲性。微調可用於模型使用特定開發語言，以特定格式總結文字、或根據用戶行為生成個人化內容。已使用的企業包括工作媒合平臺Indeed利用GPT-3.5 Turbo模型訓練給求職者的個人化推薦訊息。透過微調模型，提升訊息精確性，並降低近80%的token量，該平臺得以將訊息量減少為1/5，進而降低成本及延遲性。</p> <p>在此基礎上，OpenAI再<a href="https://platform.openai.com/docs/guides/fine-tuning" target="_blank">增加微調功能</a>。包括周期（epoch-based）為基礎檢查點（checkpoint），減少過度擬合（overfitting）造成日後必須再訓練；比較性Playground UI，可同時比較多個模型輸出結果，或檢視在單一提示下的微調效果；整合第三方平臺，第一批包括Weights和Bias，方便開發人員將微調的資料分享到其他部份軟體；大量參數配置，允許從Dashboard設定，以及微調模型，而非僅能從API或SDK，其微調能力也改善，支援輸入超大量參數、檢視詳細的訓練量測值，和回復到前次配置。</p> <p class="rtecenter"><a href="https://images.openai.com/blob/23b755f0-f6f0-4d9f-a90a-b9264ed93731/fine-tuning-in-api.gif" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0408-fine-tuning%20API%20openai.png" style="width: 600px;" /></a></p> <p>如果企業需要有人幫忙微調，現在OpenAI也推出相關服務，名為自訂模型（Custom Model）方案。這方案是去年11月OpenAI在首場開發者大會DevDay首次宣布並測試。上周OpenAI正式宣布<a href="https://openai.com/form/custom-models" target="_blank">自訂方案下的輔助微調服務</a>，將提供一組OpenAI技術人員協助企業訓練與優化特定領域的模型。除了微調API，OpenAI的技術團隊還提供超大量參數及多種「參數高效微調（parameter efficient fine-tuning，PEFT）」方法大規模訓練AI模型。</p> <p class="rtecenter"><a href="https://images.openai.com/blob/188d9d1e-5695-463c-a987-07f6f04047a2/harvey-optimized.gif" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0408-Custom-Trained%20Model-openai-600.png" style="width: 600px;" /></a></p> <p>這項服務可協助企業建立高效率的資料管線、評估系統和輻輳式參數和方法，提升模型效能滿足企業應用場景需求，或是從頭打造模型。前者客戶包括韓國電信（SK Telecom，SKT），SKT在OpenAI協助下，微調GTP-4模型，以改善韓語電信客服對話的理解效能，結果使對話總結品質提高35%、意向認知準確性提升33%、客戶滿意分數由3.6提到4.5分（滿分5分）。</p> <p>而在從頭打造模型的服務方面，OpenAI團隊會利用新式的中訓練（mid-training）及後訓練（post-training）方法建立特定領域、產業及任務的模型。例如OpenAI協助律師事務所專用AI工具開發商Harvey運用法律專用的中訓練方法，客製化GPT-4的後訓練流程，加入專業律師意見，最後開發的模型的事實回應能力提高83%，律師滿意度也比較原始GPT-4提高97%。</p> <p>企業或開發商需要<a href="https://openai.com/form/custom-models" target="_blank">直接連絡OpenAI</a>以取得服務。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> </div></div></div>
2024/4/8 10:33作者林妍溱https://www.ithome.com.tw/news/162143
X將Grok聊天機器人開放付費用戶使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技大亨馬斯克（Elon Musk）<a href="https://twitter.com/elonmusk/status/1776277745733128289" target="_blank">周末宣布</a>，聊天機器人Grok已正式開放給X（原名推特）訂閱付費用戶，提供新聞內容整理重點等服務。</p> <p>在OpenAI、微軟及Google及眾多新創公司推出AI聊天機器人（chatbot）後，馬斯克也在去年11月<a href="https://www.ithome.com.tw/news/159651" target="_blank">宣布</a>旗下xAI公司開發出Grok，其功能和其他AI聊天機器人差不多，包括能簡述新聞、回答用戶問題、或提供建議，但馬斯克強調它更有幽默感，也更敢於回答同輩拒絕回答的問題。</p> <p>周末馬斯克在平臺上通知Grok已上線。Grok原本設計提供給每月付費16美元的X Premium Plus訂閱用戶，但這波也擴及8美元月費的用戶。</p> <p>Grok提供「一般模式」（Regular Mode）及「風趣模式」（Fun Mode）供用戶選擇Grok回應的幽默程度。馬斯克也提醒，按下Grok的放大鏡圖示搜尋，就能顯示Grok為用戶產生的即時客製化新聞訊息。</p> <p>或許是為了激發大眾期待，在新服務上線前，xAI公司3月間相繼在兩周內開源Grok的基礎模型<a href="https://www.ithome.com.tw/news/161812" target="_blank">Grok-1</a>及發表<a href="https://www.ithome.com.tw/news/162050" target="_blank">Grok-1.5</a>。Grok號稱在語言理解、數學、編程等領域超越Anthropic的Claude 3。</p> <p>不過Grok似乎也無法避免AI常見的幻覺問題。<a href="https://mashable.com/article/elon-musk-x-twitter-ai-chatbot-grok-fake-news-trending-explore" target="_blank">《Mashable》</a>報導，X新增的即時新聞首頁（Front Page）功能昨天出現了一則訊息，內容是伊朗對以色列首都台拉維夫發動大規模炸彈攻擊。但這是一則由Grok捏造的假新聞。這假訊息出現在以色列攻擊伊朗駐敍利亞大使館，伊朗揚言報復之後。報導警告，這假新聞可能會引發外交甚至軍事衝突等嚴重後果。</p> </div></div></div>
2024/4/8 10:09作者林妍溱https://www.ithome.com.tw/news/162142
紐時披露OpenAI與Google都利用YouTube內容來訓練AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《紐約時報》（The New York Times）<a href="https://www.nytimes.com/2024/04/06/technology/tech-giants-harvest-data-artificial-intelligence.html" target="_blank">上周引述消息來源報導</a>，OpenAI與Google都利用YouTube的影片內容來訓練AI模型，儘管此舉可能違反YouTube服務條款，但在業者急需大規模內容來訓練AI模型之際，皆選擇遊走於灰色地帶。</p> <p>根據YouTube<a href="https://www.youtube.com/static?template=terms" target="_blank">服務條款</a>，它允許使用者存取、散布或播放YouTube內容，但並不允許使用者於YouTube平臺之外使用其內容。</p> <p>報導指出，當時OpenAI迫切需要更多的資料來開發GPT-4，內部所討論的來源從播客、有聲書到YouTube不等，還考慮買下那些蒐集大量數位資料的新創公司，隨後OpenAI打造了一款<a href="https://www.ithome.com.tw/news/153196" target="_blank">語音辨識系統Whisper</a>，最終轉錄了超過100萬小時的YouTube影片，把它們變成文本來訓練GPT-4 。</p> <p>紐時亦引用消息來源指出，有些Google員工即使知道OpenAI使用YouTube內容來訓練它們的AI，卻未加以阻止，因為Google自己也這樣做。不過，Google發言人向該報表示，Google並不知道OpenAI做了什麼，而且Google禁止未經授權抓取或下載YouTube內容。</p> </div></div></div>
2024/4/8 08:27作者陳曉莉https://www.ithome.com.tw/news/162141
GPU內建94GB記憶體，首款搭輝達H100 NVL的雲端服務上線
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/azure_nc_h100_v5-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大語言模型與生成式AI應用大爆發，資料中心GPU成為全球最搶手的商用IT產品，尤其是<a href="https://www.ithome.com.tw/tags/nvidia-h100-gpu">Nvidia H100</a>，更是炙手可熱，若不願久等伺服器廠商供貨，想要在最短時間內開始使用，可考慮到公有雲服務申租搭配這款GPU的執行個體，目前四大業者都已陸續提供服務。</p> <p>以微軟Azure而言，是最早宣布推出搭配Nvidia H100雲端GPU運算服務的業者，他們在一年前Nvidia舉行GTC 2023大會的前夕，率先發表ND H100 v5，用戶可在此使用8到數千臺Nvidia H100，GPU之間透過Nvidia Quantum-2 InfiniBand交換器互連，同年8月正式上線，但截至目前為止，用戶仍無法在Azure網站入口直接選取建立，有這類需求的用戶要洽詢微軟業務團隊。</p> <p>而從今年3月底開始，用戶若要在Azure網站入口，能夠直接選取建立具有Nvidia H100的執行個體，終於有其他辦法，那就是NC H100 v5系列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia and Microsoft announce-2024-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20and%20Microsoft%20announce-2024-03.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cloud%20GPU%202024-03-Deep%20Dive%20into%20Training%20and%20Inferencing%20Large%20Language%20Models%20on%20Azure.jpg" style="width: 600px;" /></p> <p>微軟最新宣布正式上線營運的這套GPU執行個體服務，其實是在2023年11月微軟年度企業IT專業人員大會Ignite發表的，也是第一個搭配Nvidia H100 NVL的雲端運算服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure NC H100-2023-11-15.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20NC%20H100-2023-11-15.jpg" style="width: 600px;" /></a></p> <p>而這款資料中心GPU是Nvidia在2023年3月發表的兩款產品之一（另一款是<a href="https://www.ithome.com.tw/review/156053">Nvidia L4</a>），當時Nvidia標榜H100 NVL不僅如同H100支援Transformer Engine加速，而且配備94 GB容量的記憶體，若以上一代資料中心GPU產品A100為基準，用於大型語言模型GPT-3的AI推論時，可提供12倍的效能增長，預計下半年推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia L4-H100 NVL-2023-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20L4-H100%20NVL-2023-03.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia H100 NVL-2023-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20H100%20NVL-2023-03.jpg" style="width: 600px;" /></a></p> <p>到了2023年11月，微軟發表NC H100 v5系列，呼應原本的H100 NVL上市時程之餘，他們進一步基於這樣的組態而延伸，宣布將推出搭配Nvidia H100 GPU的機密運算虛擬機器服務，稱為NCC H100 v5系列，同樣適合常見開放原始碼AI模型與語言模型的訓練、微調，針對雲端服務環境執行的資料與應用程式工作負載，提供更多兼顧效率與安全性保護的彈性選項。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure NCC H100-2023-11-15.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20NCC%20H100-2023-11-15.jpg" style="width: 600px;" /></a></p> <p>這個GPU機密運算服務將提供4種機制，首先是基於硬體而成的可信任執行環境（Trusted Execution Environment，TEE），可橫跨虛擬機器本身使用的CPU與連結的GPU進行防護，可啟用資料、模型、運算安全卸載至GPU處理的機制；第二是虛擬機器的記憶體加密，當中會運用硬體產生的加密金鑰；第三是加密通訊，當機密虛擬機器與GPU經由PCIe介面進行I/O存取時，可實施加密保護；第四是見證，賦予CPU與GPU產生遠端可驗證的見證報告能力，當中將會擷取CPU與GPU的安全性關鍵硬體與韌體組態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure CC-GPU-2023-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20CC-GPU-2023-11.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Azure NCC-CC4-2023-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20NCC-CC4-2023-11.jpg" style="width: 298px;" /></a></p> <p>微軟表示，若使用這套解決方案，指派給虛擬機器的GPU會進入機密模式，此時GPU記憶體與安全性關鍵組態暫存器會受到隔離，能防止未經授權的存取，一旦機密虛擬機器載入GPU裝置驅動程式，隨後就會與GPU之間建立安全通道，並以此執行CPU與GPU之間所有後續的資料傳輸作業，同時，用戶可在發布敏感應用程式與釋出資料加密金鑰等祕密內容之前，提出見證請求，確認虛擬機器與GPU皆執行經過正確設置的TEE環境。基於上述的架構，包含Nvidia CUDA在內的加速應用，均能以透明且受保護的方式執行在這樣的虛擬機器上。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure NCC-CC1-2023-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20NCC-CC1-2023-11.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Azure NCC-CC2-2023-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20NCC-CC2-2023-11.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure NCC-CC3-2023-11.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20NCC-CC3-2023-11.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>形同搭配記憶體容量更大的H100 PCIe，且能透過NVLink兩兩相連，匯集188 GB的HBM3記憶體</strong></span></h3> <p>單就GPU規格而言，NC H100 v5系列最顯著的特色在於，可搭配1或2張PCIe介面卡形式的H100 NVL（記憶體容量為94 GB或188 GB，記憶體類型為HBM3，記憶體頻寬單個GPU為3,938 GB/s，兩個GPU為7.8 TB/s）。</p> <p>縱觀目前已推出的Nvidia H100 GPU雲端執行個體服務，可區分為兩種配置，一種是透過NVSwitch與NVLink串連8個SXM外形Nvidia H100的組成架構（個別GPU的記憶體容量為80 GB，記憶體類型為HBM3，記憶體頻寬為3,352 GB/s），例如微軟Azure ND H100 v5、<a href="https://www.ithome.com.tw/review/158051">AWS EC2 P5</a>、<a href="https://www.ithome.com.tw/review/160499">Google Cloud A3</a>，另一種則是採用PCIe介面卡形式的Nvidia H100（個別GPU記憶體容量為80 GB，記憶體類型為HBM2e，記憶體頻寬為2,000 GB/s），例如，Scaleway、CoreWeave。</p> <p>若就單張GPU來比較這些產品規格，新登場的NC H100 v5系列所用的H100 NVL，優勢在於GPU記憶體容量增加17.5％，GPU記憶體頻寬提升17％，而且由於H100 NVL可透過NVLink結合另一張H100 NVL，因此可將記憶體容量匯集為188 GB，提供更大的效能。</p> <p>相較於Azure NC系列上一代虛擬機器NC A100 v4系列，NC H100 v5系列還有哪些差異？此系列提供兩種組態：NC40ads_H100_v5、NC80adis_H100_v5，採用AMD第四代EPYC處理器與Nvidia H100 NVL，分別內建40顆虛擬CPU、320 GiB記憶體、1張Nvidia H100 NVL，以及80顆虛擬CPU、640 GiB記憶體、2張Nvidia H100 NVL。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure NC H100 v5-Porta-web.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20NC%20H100%20v5-Porta-web.png" style="width: 600px;" /></a></p> <p>至於既有的NC A100 v4系列，採用AMD第三代EPYC處理器與Nvidia A100 PCIe（記憶體容量為80 GB，記憶體頻寬為1,935 GB/s），提供3種組態：NC24ads_A100_v4、NC48ads_A100_v4、NC96ads_A100_v4，分別內建24顆虛擬CPU、220 GiB記憶體、1張Nvidia A100 PCIe，48顆虛擬CPU、440 GiB記憶體、2張Nvidia A100 PCIe，以及96顆虛擬CPU、880 GiB記憶體、4張Nvidia A100 PCIe。若以同為搭配1張與2張GPU的虛擬機器來對比，NC H100 v5系列的處理器核心數量提升60％，記憶體容量增加45％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Azure NC A100 v4-Portal-web.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Azure%20NC%20A100%20v4-Portal-web.png" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>效能超越前代搭配A100 PCIe GPU的虛擬機器，領先幅度超過40％</strong></span></h3> <p>關於運算效能的表現上，2023年11月微軟公布5組AI推論測試結果，其中4組搭配單張H100 HVL用於常見的AI框架，像是BERT、ResNet50、RNN-T、3D U-Net，領先NC A100 v4系列的幅度為60％至90％，1組是用於60億參數的大型語言模型GPT-J，對比於搭配4張Nvidia A100 PCIe的Dell PowerEdge R750xa，NC80adis_H100_v5的效能可達到2.5倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-11-NC H100 5-One-GPU-sherrywang_0-1699495129495.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-NC%20H100%205-One-GPU-sherrywang_0-1699495129495.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-11-NC H100 5-One-GPU-sherrywang_1-1699495129496.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-NC%20H100%205-One-GPU-sherrywang_1-1699495129496.png" style="width: 298px;" /></a></p> <p>在2024年3月，適逢月中Nvidia召開GTC年度大會，以及月底MLCommon公布MLPerf Inference v4.0效能測試結果，當中恰巧就有一筆紀錄是NC H100 v5系列的NC80adis_H100_v5，以700億參數的Llama2推論而言，若是伺服器存取時，每秒查詢3458.96次，若是離線存取時，每秒處理的樣本數量為3900.33個，微軟強調，相較於其他配備80 GB記憶體GPU的伺服器系統，Azure NC H100 v5系列效能領先幅度可達46％。</p> <p>而在GPT-J推論運算的部分，微軟NC80adis_H100_v5若是伺服器存取時，每秒查詢42.0691次，若是離線存取時，每秒處理的樣本數量為43.5639個。微軟表示，對照其他雲端服務業者提供配備記憶體小型容量AI加速器（編按應為Google搭配4個TPU v5e的系統），搭配逼近6倍記憶體容量Nvidia H100 NVL的NC80adis_H100_v5，效能增長幅度可達8.6倍至11.6倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-03-NC H100 5-Michelle-picture-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-NC%20H100%205-Michelle-picture-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-03-NC H100 5-image-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-NC%20H100%205-image-7.png" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>微軟Azure NC H100 v5系列</strong><br /> ●原廠：微軟<br /> ●建議售價：NC40ads_H100_v5每月5,095.40美元，NC80adis_H100_v5每月10,190.80美元<br /> ●執行個體服務選擇：NC40ads_H100_v5、NC80adis_H100_v5<br /> ●搭配處理器：AMD第四代EPYC（Genoa）<br /> ●搭配GPU：Nvidia H100 NVL 94 GB<br /> ●運算資源配置：<br /> NC40ads_H100_v5為40顆vCPU、320 GiB記憶體、8臺資料硬碟、1張GPU、GPU記憶體94 GiB、NVMe儲存3,576 GiB<br /> NC80adis_H100_v5為80顆vCPU、640 GiB記憶體、16臺資料硬碟、2張GPU、GPU記憶體188 GiB、NVMe儲存7,152 GiB</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/4/7 00:06作者李宗翰https://www.ithome.com.tw/review/162038
Google VPN疑擅自綁架Windows 11 DNS設定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一些用戶發現，Google提供的VPN服務會擅自變更Windows 11電腦的DNS設定，且無法改回來。</p> <p>Google VPN在一些較高階的付費雲端服務，例如<a href="https://www.ithome.com.tw/news/140862" target="_blank">2TB以上雲端硬碟Google One</a>免費提供。但最早從去年11月開始<a href="https://github.com/google/vpn-libraries/issues/36" target="_blank">就有一些用戶反映</a>，Google VPN會自行變更Windows 11的DNS設定，將系統DNS設定變更為Google DNS伺服器（8.8.8.8），而且即使重開電腦，關閉Google VPN，DNS設定依舊還是Google DNS服務，無論原來的設定為何，另一名用戶甚至刪掉Google VPN，也無法改掉Google的設定。這問題同時發生在Windows及macOS機器。</p> <p class="rtecenter"><a href="http://github.com/google/vpn-libraries/issues/36" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%5B0405-BUG%5D%20Google%20VPN.png" style="width: 600px;" /></a></p> <p>8.8.8.8為Google的公用DNS伺服器免費服務之一（另一為8.8.8.4）。<a href="https://support.google.com/googlenest/answer/9144137?hl=zh-Hant" target="_blank">Google建議</a>家庭用戶使用8.8.8.8為主要伺服器，以防止惡意網站冒充公用DNS伺服器，或是假借無辜IP位址以攻擊同一網域的電腦（名為DNS重新綁定攻擊）。</p> <p>用戶表示，這臭蟲會影響其安全設定，因為使用Google服務會破壞用戶為防火牆、安全、內容過濾而自訂的DNS，如TLS或加密DNS的配置。</p> <p>另一名用戶發現，Google公用DNS文件說這設定會維持1、2天，意即不只是用戶單次連線session，而是會持續綁定。而且在Google VPN中，只有「增加」，但沒有「移除」或「重設」該設定的介面。</p> <p>Google顯然很早就得知用戶抱怨。員工1月曾回覆，Google One VPN服務是刻意將用戶DNS設定改成預設使用Google的8.8.8.8，以防止DHCP設定選用的惡意DNS服務。Google相信這是較安全的預設，但也承諾會考量用戶有自己的偏好，會在未來VPN App中改善。</p> <p>不過直到本周，仍然有大批用戶持續反映本問題。一名用戶甚至認為Google不會立即解決這「臭蟲」，因為這是Google刻意為之。本周<a href="https://arstechnica.com/gadgets/2024/04/users-say-googles-vpn-app-breaks-the-windows-dns-settings/" target="_blank">《Ars Technica》</a>報導此事，但Google方面尚無回應。</p> </div></div></div>
2024/4/5 17:34作者林妍溱https://www.ithome.com.tw/news/162139
Opera讓用戶可下載並在本機執行、測試LLM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.opera.com/news/2024/04/ai-feature-drops-local-llms/" target="_blank">Opera宣布一項新功能</a>，讓用戶可將大型語言模型（Large Language Model，LLM）下載到本機端執行或測試，不需再連上伺服器端。</p> <p>大多數情況下，使用LLM必須將資料送到伺服器。本機端LLM則讓用戶可以直接在機器上處理提示，不須資料離開電腦。</p> <p>在AI功能新增（Feature Drop）方案中，Opera實驗支援將近50系列、共150款本機端LLM，允許用戶透過自家瀏覽器下載。該公司表示這也是首個以內建功能支援並管理LLM的主要瀏覽器。</p> <p>Opera支援本地端執行的模型，涵括Meta的Llama、Vicuna、Google的Gemma from Google及Mistral AI的Mixtral等。</p> <p>新功能目前以測試版形式發布給Opera One開發人員。Opera One是這家瀏覽器業者<a href="https://www.ithome.com.tw/news/157459" target="_blank">去年6月推出的AI瀏覽器</a>，整合原生AI技術的瀏覽器，目前整合該公司自己的AI助理Aria Chat。</p> <p>今天起，開發人員可以下載<a href="https://opr.as/dyib" target="_blank">Opera One開發人員版</a>測試在本機上使用所支援的LLM及Opera實驗性AI功能。Opera希望藉這波測試探索可能的應用場景，像是瀏覽器是否可根據用戶和AI助理的對話紀錄提供服務，又能保留用戶裝置上所有資料。</p> <p>欲試用者，需先升級到最新版Opera。之後，由側邊工具欄上開啟Aria Chat，在聊天介面上方點選「選擇本機模式」的下拉式選單後，從「進入設定」選擇欲下載的模型。完成下載後按左上方的選單，啟動新對話。接著再次從「選擇本機模式」中選擇剛下載的模型，就能讓AI助理套用新模型，用於應答。</p> <p>Opera提醒，下載LLM需要本機有2GB到10GB的儲存空間，而且視用戶機器硬體規格而定，在本機上執行LLM的效能會比伺服器端版本來得慢很多。此外，本機端LLM不會使用Opera的Aria，直到用戶以Aria啟動新對話，或是直接換成Aria。Opera也提醒不要安裝在營運用的機器上。</p> </div></div></div>
2024/4/5 13:42作者林妍溱https://www.ithome.com.tw/news/162138
傳Google可能推出AI搜尋收費方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為設法從AI服務獲取營收，Google可能正在評估，開發首個付費AI搜尋服務。</p> <p><a href="https://www.ft.com/content/2f4bfeb4-6579-4819-9f5f-b3a46ff59ed1" target="_blank">英國《金融時報》</a>引述消息人士報導，Google正在思考多種方案可能性，包括為其訂閱服務方案加入以AI為基礎的搜尋服務。消息指出，Google高層尚未做出決定，但下面的工程師們已經實作了相關的底層技術。</p> <p>Google的訂閱方案可能指的是提供商務人士使用的Workspace。Workspace其實早已經提供AI服務，像是協助生成Google Docs報告、簡述網頁文章重點、設計Spreadsheets投資活動的業務計畫簡報、草擬Gmail行銷郵件等的Duet AI助理（後改名Gemini）等。</p> <p>如果Google真的在Workspace加入AI搜尋，將是Google首次對核心服務搜尋收費。</p> <p>Google並未直接回答，只回應並未也不會考慮推出免廣告的搜尋。一如公司以往的作法，Google會持續開發新的付費功能和服務強化Google訂閱服務。</p> <p>為了在AI競賽中保持競爭力，Google已多方試驗將AI融入搜尋。<a href="https://www.ithome.com.tw/news/158106" target="_blank">去年8月上線的搜尋生成式體驗</a>（Search Generative Experience，SGE），允許用戶一覽該公司的許多實驗性服務，包括在搜尋列上輸入自然語言問題，或是在搜尋結果增加圖片與影片內容，例如瑜珈動作示範、或是去除大理石髒污時會看到影片。</p> </div></div></div>
2024/4/5 12:56作者林妍溱https://www.ithome.com.tw/news/162137
震撼整個IT界的XZ程式庫遭植入後門事件，之所以浮上檯面純屬意外！快速了解這項危機的三大關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末，發生一起重大駭客攻擊事件，差點讓全球Linux都遭受供應鏈攻擊，幸好有開發人員調查SSH登入失敗及變慢500毫秒的狀況，偶然發現異狀，進而讓後門程式碼被揪出，及早揭露此項攻擊活動，因此目前影響範圍還算侷限，只有部分Liunx版本受影響。否則，一旦該後門程式碼進入穩定、主流的Linux發行版本，後果可是不堪設想。</p> <p>許多資安專家紛紛指出，這起供應鏈攻擊事件相當不單純。</p> <p>例如，攻擊者是從XZ Utils資料壓縮程式庫植入後門，利用軟體間的信任與依賴來打入Liunx環境，而該後門將可讓攻擊者繞過SSHD（Secure Shell Daemon）的身分認證機制。</p> <p>而且，攻擊者將後門植入的整個過程，如同採取間諜潛伏、愛情詐騙的社交工程手法一般，攻擊者自2021年就註冊GitHub帳號，之後參與開放原始碼軟體專案xz的維護，以逐漸獲取其他開發人員的信任，直到2023、2024年才露出真面目，看似參與維護，實際行動卻是想要偷偷將惡意程式碼植入這個開放原始碼軟體。</p> <p>顯然，如此精心設計的攻擊行動，很有可能是國家級駭客組織發起。如今，我們正持續看到有研究人員，從不同角度切入，或是分析後門程式碼，希望釐清攻擊全貌，以及試圖找出攻擊者的背景。</p> <p>儘管整起事件的調查還沒結束，但已有許多重要議題正被探討，我們特別聯繫Linux軟體開發與資安方面的專家，請他們解讀目前這項資安威脅的概況，幫助大家掌握3大重要關鍵。</p> <h2><strong>１.這次能及早發現，其實非常偶然且幸運</strong></h2> <p>關於這起供應鏈攻擊的發現，最大功臣自然是微軟PostgreSQL開發人員Andres Freund。因為他在調查SSH登入變慢相關問題時，最初以為發現debian裡面的套件包被入侵，但調查發現是上游的問題，XZ程式庫與XZ的tarball檔案被植入後門。</p> <p>對於當中一些細節，我們找到Andres Freund在社群網路Mastodon平臺的發文，並與身為Debian官方開發者、現於Bureau Veritas擔任首席資安專家一職的林上智一同探討，以還原發現經過。</p> <p>具體而言，Andres Freund是在使用Debian開發版本sid（unstable）測試時，發現SSH登入有占用大量CPU資源的情形，進而對SSHD進行分析，發現XZ Utils資料壓縮程式庫的liblzma中有消耗大量CPU時間的情形 , 但是透過Linux上的效能分析工具perf檢視，卻找不到相對應耗費運算的函式或者相關原因。</p> <p>這樣的狀況，使Andres Freund產生了懷疑，他回想起幾週之前，在軟體包更新後，曾在進行PostgreSQL自動化測試的過程中，發現了一些由Valgrind回報的記憶體異常錯誤結果。林上智認為，看起來是他在執行CI/CD時，發現valgrind錯誤。</p> <p>後續，Andres Freund回報了這項問題後，才使得這起供應鏈攻擊的面紗被揭開。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89XZ_Andres%20Freund.jpg" style="width: 598px;" /></p> <p><strong>為何會去關注SSH登入時的CPU異常？我們找到Andres Freund在社群網路Mastodon平臺的貼文與留言，他表示當時是在做一些微基準測試，需要讓系統靜止以減少噪音，所以才會發現SSHD的處理程序（processes）占用大量CPU資源。</strong><strong>同時他也認為，自己並非資安研究人員，能發現這起攻擊事件，確實需要很多巧合。</strong></p> <p>對於這次事件的偶然發現，使得XZ存在漏洞、被植入後門的問題及早浮現於檯面，不只受到開發圈的關注，還有許多資安研究人員都在關注。</p> <p>例如，奧義智慧資安研究團隊表示：「這次事件算是非常幸運。」因為有了提早的發現，所以目前只影響一小部分的Linux發行版。</p> <p>因此大家都很感謝Andres Freund，能在測試時發現SSH異常狀況（登入失敗與登入速度變慢）後，進一步往上游追查，發現問題存在於liblzma之中，讓IT界與資安界可以及早發現此漏洞與潛藏的供應鏈攻擊。</p> <p>綜觀上述說法，我們可以發現，除了有開發人員產生警覺並願意去追查，從另一面向來看，也是因為該惡意活動可能有Bug，導致出現占用大量CPU資源的情形，才讓開發人員有發現的機會。甚至，國際間有資安人員臆測這是否並非個案，其他只是還沒發現。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89XZ_Andres%20Freund.jpg" style="width: 600px;" /></p> <p><strong>之所以會進一步調查SSH登入異常，我們找到Andres Freund的說法，他在社群平臺X上的一篇回應中指出，他是在嘗試使用隨機帳密組合的自動化嘗試下，發現SSH登入失敗、佔用大量CPU資源的情形下，開始進一步調查，並也發現登入速度變慢500毫秒的情況。</strong></p> <h2><strong>２.若是後門進入所有Liunx發行版本，後果不堪設想</strong></h2> <p>這起事件之所以受到極大重視，是因為如果沒有及早發現，後果相當嚴重。幸好發現當下只有一些版本受到影響，尚未進入穩定、主流的Linux發行版本。</p> <p>究竟影響範圍與具體影響有哪些？畢竟這次事件是鎖定軟體程式庫的供應鏈攻擊，而非直接對OpenSSH伺服器本身進行攻擊，手法相當複雜。</p> <p>奧義智慧資安研究團隊表示，如果一直都沒有發現的話，將是幾乎所有的Linux發行版都會受到影響。</p> <p>而且，從這次後門的具體功能來看，主要是透過systemd干擾SSH（Secure Shell）的sshd常駐程式，最終使網路犯罪分子可以繞過SSHD身份驗證，並獲得未經授權的遠端存取系統。</p> <p>林上智也指出，後果會是在進行OpenSSH身分驗證前，攻擊者可以執行特定封包，進而挾持OpenSSH伺服器，因為OpenSSH使用已遭汙染的liblzma程式庫。</p> <p>整體而言，駭客攻擊的目標是，將惡意程式碼注入在受害者機器上運行的OpenSSH 伺服器（SSHD），並允許特定的遠端攻擊者（擁有特定私鑰）通過SSH發送任意酬載（Payload），這些酬載將在身份驗證步驟之前執行，從而有效地劫持整個受害者機器。因此，若是後門真的進入主流的Linux發行版本，屆時駭客可能發動相當大規模的劫持行動，進而造成前所未有的重大資安事件。</p> <h2><strong>３.攻擊者竟長期潛伏以取得信任，引入後門的手法也非常隱密</strong></h2> <p>這起事件的另一矚目焦點，是入侵過程相當複雜且難以察覺。</p> <p>在事件揭露後，已有許多研究人員正追查其入侵手法，以及本次事件提交（Commit）的GitHub帳號。</p> <p>例如，從涉及此事件提交的GitHub帳號來看，攻擊者似乎是在2021年就註冊一個GitHub帳號用戶，其代號為Jia Tan（JiaT75），該帳號先是在2022年2月6日，首度提交內容至XZ程式庫，後續竟然悄悄將惡意程式碼埋常其中，例如，其中bad-3-corrupt_lzma2.xz與good-large_compressed.lzma這兩個看起來無害的測試用binary，會在特定條件下解析出惡意程式。</p> <p>因此，在這次供應鏈攻擊中，我們整理出目前最值得注意的3個重點：</p> <h3><span style="color:#0000FF;"><strong>（一）駭客鋪陳這起供應鏈攻擊行動，看起來已潛伏長達3年之久</strong></span></h3> <p>關於攻擊者的入侵過程，宛如間諜行動的社交工程手法一般，從3年前就開始準備，之後積極參與xz項目的維護，逐漸獲取原始項目開發人員的信任，直到近期才開始將軟體加料，而且其手法相當難以察覺。</p> <p>這也顯現攻擊者有著超乎尋常的耐心，經歷這樣長時間的滲透，花了兩年多時間取得信任，讓自己可以成為合法的維護者。這也讓外界紛紛推測，如此精心設計的攻擊行動，非常有可能是由國家級駭客組織發起。</p> <p>因此，目前許多研究人員正在追查相關線索，而且攻擊者似乎也在使用的代號上做出混淆，取了一個很像中文拼音的代號，但有研究人員從時區角度切入去追查，猜測攻擊者可能是位於東歐。不過這些都還在調查中，還有像是關於後門程式的逆向分析等，也有待後續有研究人員一一揭露。</p> <h3><span style="color:#0000FF;"><strong>（二）加入後門的手法相當隱密，提交的測試資料在特定條件下才會解析出惡意程式</strong></span></h3> <p>關於攻擊者的入侵過程與方式，奧義智慧資安研究團隊說明了他們的觀察。</p> <p>首先，攻擊者的確是從2021年就註冊了GitHub帳號，並多次提交測試相關的程式碼，因此逐漸取得XZ Utils主要專案開發者的信任。</p> <p>但值得注意的是，Jia Tan在每個送出的提交（commit）中，都帶有片段的後門程式，但是，只有特別在XZ要進行打包編譯release出去時，才會加進編譯的過程中。</p> <p>為什麼會有這樣的情形？使得攻擊資料可以成功偽裝成測試資料，並且直接編譯原始碼時還不會加入編譯的過程。</p> <p>奧義智慧資安研究團隊解釋，這裡有一個特殊的關鍵：攻擊者在一個很隱密的地方，加上了一個看似不小心多打出的句點「.」。但是，就是因為一個普通的句點，造成了解析上的差異。</p> <p>基本上，例如在使用CMake進行編譯時，為了確認某個編譯器是否可以使用，通常會嘗試編譯一小段程式碼，而攻擊者特意寫出一段有錯誤的程式碼，這就是開頭那個小句點需要出現的原因，編譯器會因為編譯出錯，誤認為此沙盒（Lanlock）的測試是不存在的，所以就會停用。</p> <p>這個可以跳過沙盒的CMake並推上正式版本，後續即可推後面程式上去，並可以跳過檢查，攻擊者就可以在下一版往（Lanlock）的部分加入任何程式碼，而不會受到檢查。且攻擊者也會挑選快要release的時間提交（commit）他的程式碼上去，盡量減少被人發現的機會。</p> <h3><span style="color:#0000FF;"><strong>（三）提交時間點巧妙，避過原始維護者的審查</strong></span></h3> <p>對於攻擊者事件，凱特納科技創辦人兼CEO曾信田（Newbug）也提供一些重要觀察，他表示，這事件的影響範圍在debian/ubuntu/fedora/opensuse testing 版的x86-64 sshd，攻擊時間鎖定在原始XZ維護者Lasse Collin（Larhzu）處於休息離線（internet breaks）的時間發動攻擊。</p> <p>他特別指出，這個問題是審查commit時的疏忽，算是一種信任感攻擊，由於原始維護者在這段休息期間無法審查（review）程式碼，而導致惡意程式碼被整合於其中。</p> <p>因此他認為，在程式碼commit時，或許可以導入AI進行程式碼審查（code review），避免因為人員的疏忽，或是程式碼審查上的疲累，而導致惡意程式碼被接受。他也慶幸，還好惡意酬載（payload）有CPU資源佔用飆升的Bug，而被及早發現，才沒汙染到穩定版。</p> <h2 class="rtecenter"><span style="color:#0099ff;"><strong>Debian社群有實名制等衍生性討論</strong></span></h2> <p>在上述3大焦點之外，對於Debian官方開發者社群而言，林上智表示，在這次事件後，也引發了一些衍生性的討論。</p> <p>例如，最主要的焦點是，由於Debian開發者需使用unstable進行套件打包上傳至unstable archive，因此，Debian開發者所使用的開發機器需要盡速更新。</p> <p>還有一些衍生的安全議題，像是開源貢獻者的實名制問題探討。</p> <p>事實上，由於開源貢獻者來自世界各地，很難去辨別其背後身分，因此過去Debian開發者需要需要層層審核跟檢驗，累積貢獻後才能進行申請。</p> <p>例如，在成為Debian官方開發者之前，需要申請成為Debian維護者，而申請的第一步就是要做到身分識別（Identification），這方面的要求是需要面對面的情形，至少跟一位Debian官方開發者交換PGP key（keysigning），並在交換key時需核對對方的官方證件，通常是會核對護照，以確保該人員的身分。現在則是則對實名制有更進一步的討論。</p> <p>林上智解釋，這方面的相關討論還在進行中，因為有的Debian開發者認為，如果是國家級的攻擊，那該國家也可以幫忙製作假ID或者假的身分證明，所以實名制對抵擋國家級的攻擊較沒有意義；不過也有的人認為，攻擊者不太喜歡曝光於外界，或被看到真面目，如果要面對面交換key，這多少可以嚇阻有心人士。</p> <p>至於從其他開源生態的動向來看，已經有些專案這麼作，例如：GCC專案要求貢獻者一律實名制，以及Linux kernel禁止匿名貢獻的情形。</p> </div></div></div>
2024/4/4 17:45作者羅正漢https://www.ithome.com.tw/news/162130
微軟公布Windows 10付費延伸安全更新價格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>儘管距離Windows 10生命周期的終止還有一年半的時間，但微軟積極提醒用戶要提前因應此一改變，<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/when-to-use-windows-10-extended-security-updates/ba-p/4102628" target="_blank">並於本周公布了</a>商業及教育版客戶啟用Windows 10付費延伸安全更新（Extended Security Update，ESU）的價格，同時宣布組織在今年10月就可開始替Windows 10購買ESU授權。</p> <p>目前最新的Windows 10版本為2022年10月釋出的Windows 10 22H2，也是Windows 10的最後一個版本，它預計於2025年的10月14日結束生命周期，代表屆時微軟將不再修補該版作業系統的臭蟲或安全漏洞，也不再提供技術支援，非得使用Windows 10的用戶只能透過ESU來保障系統安全。</p> <p>根據微軟政策，該公司未來將針對Windows 365客戶的Windows 10裝置，以及在Azure Virtual Desktop上執行的Windows 10實例提供免費延伸安全更新，其他客戶則提供最長3年的付費延伸安全更新方案。</p> <p>而在3年的付費ESU部分，其價格是每年翻倍，而且由於它是累計的，就算用戶是在第二年才加入付費ESU，也必須支付第一年的費用。</p> <p>使用者可選擇傳統的5x5啟動方式，亦即下載一個啟動金鑰以將ESU部署於各別的Windows 10裝置上，第一年的每臺裝置的ESU授權費用為61美元，第二年即為122美元，第三年則是244美元。若是透過Microsoft Intune或Windows Autopatch等雲端管理解決方案來接收ESU，則可取得25%的折扣，每臺裝置的第一年ESU授權費用則降至45美元，但最多只支援5臺裝置。</p> <p>微軟針對教育版提供了更優惠的ESU授權價格，每個授權第一年只要1美元，第二年為2美元，第三年則是4美元。</p> <p>微軟將自今年10月開放組織替不打算升級至Windows 11 的 Windows 10 裝置購買 ESU 授權。至於針對一般消費者的ESU授權計畫則會晚一些才公布。</p> </div></div></div>
2024/4/4 14:08作者陳曉莉https://www.ithome.com.tw/news/162134
MedTech醫療科技雙周報第34期：克里夫蘭醫學中心揭成功運用AI的4要點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0316～0331）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 克里夫蘭醫學中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 創新 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>克里夫蘭醫學中心如何成功運用AI</strong></span></p> <p>最近，克里夫蘭醫學中心分析長（CAO）Albert Marinez接受美國醫療資訊與管理系統學會（HIMSS）旗下媒體<a href="https://www.healthcareitnews.com/news/cleveland-clinics-advice-ai-success-democratizing-innovation-upskilling-talent-and-more">採訪</a>，分享了自家成功運用AI的4大要點，包括建立強健的資料基礎、建立資料與AI的創新生態系並與產業互動、鼓勵全面創新來讓組織動起來，以及引進新人才，來改變組織提供服務的方式。</p> <p>進一步來說，Albert Marinez正帶領團隊建立一款雲端資料平臺。他指出，克里夫蘭醫學中心有大量的資料集和資料市集，是許多AI計畫的重要基礎，但他們得要確保資料品質，才能放大資料價值，這是建立資料平臺的一大原因。而他們使用雲端的原因是，要能靈活擴展、支援全球分部的使用需求，此外，平臺還要能容納複雜的資料集和AI應用、要能輕易介接或支援新技術，以及要能夠敏捷協作。</p> <p>第二是建立資料與AI的創新生態系，來促進醫院與產業創新者的交流，加速對新興應用的驗證和落地。他們的合作通用原則包括尋找可解決具體問題的解決方案、經醫療場域驗證，且能快速部署並能因應技術演進。再來，克里夫蘭醫學中心希望每位醫護都能參與AI，因此實施3中措施，包括教育、找出高價值應用案例，以及建立一個鼓勵嘗試的環境，來提供所需工具和資源，讓醫師創新、驗證與應用AI。最後則是培養既有員工新技能、引進新人才，來提高AI和數據分析等技能，他們也為過渡到新角色的醫護，制定新職涯發展路徑和跨職能訓練計畫，來確保員工的多樣性和適應性。<a href="https://www.healthcareitnews.com/news/cleveland-clinics-advice-ai-success-democratizing-innovation-upskilling-talent-and-more">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 韌性方案 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健保署 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 災難復原 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>關鍵民生系統韌性方案今年啟動，健保署瞄準資料復原</strong></span></p> <p>去年，數位部就聯手內政部、經濟部和衛福部在內等7部會，要推動關鍵民生系統韌性方案，透過跨境公有雲來優化18項民生系統，以因應大規模災害或緊急情況、加速災後復原，這項方案今年開始執行，至2027年止。方案涉及的18項關鍵民生系統，就包括健保署的承保系統、醫療系統。目前，這2套系統部署於國內2個機房，採熱備援方式，每年還定期切換演練。在資料備份策略上，每天執行本地端應用系統和資料備份，並將備份資料同步到異地端，每年也會進行還原演練。</p> <p>衛福部健保署副署長龐一鳴日前接受iThome採訪時指出，健保署行之有年的備援和備份機制已相當熟練，但雲原生開發和雲端部署是健保署所缺乏的經驗，韌性方案正好是個練兵機會。健保署規畫上雲的大方向，則是要發展雲原生架構，以模組化、輕量化功能開發雲端版的核心系統，且要能在災害或緊急狀態下，以雲端提供核心系統的基本服務。</p> <p>至於健保署規畫上雲的核心功能，由於在緊急狀態如戰爭期間，健保依法不用於支付戰時的醫療費用，因此著重於緊急狀態結束後的復原階段，確保資料保存、回復，是健保署驗證雲端技術的重點。同時，健保署也規畫，將單體式地端系統轉為微服務架構，利用微服務的彈性、擴充性和易於部署等特性，來提高系統可用度和穩定度。<a href="https://www.ithome.com.tw/news/161963">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">ONC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資料互通 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國揭露2024-2030年聯邦醫療IT戰略計畫</strong></span></p> <p>最近，美國國家醫療資訊協調辦公室（ONC）揭露2024年至2030年的聯邦醫療IT戰略計畫，涵蓋4大目標，包括促進健康福祉、強化照護提供與體驗、加速研究與創新，以及串接醫療系統和健康資料，其中前三個目標是要改善醫療IT使用者的體驗，最後一個目標則是要透過政策和技術來支援各種醫療IT使用者。</p> <p>在這些目標下，可細分出幾項重點，包括優化跨社區患者對健康資料的存取、透過教育來提高行動應用開發的能力，以及推廣醫療AI。這份計畫也點出，政府政策和工具，應支援可擴展的公衛數據應用，且要聚焦資料標準的設置、調整、測試和實施，來強化公衛系統之間的資料互通性。其他重點還有強化預測分析應用，來更有效地輔助決策，如應對疫情和新出現的威脅、增強資料的串接。這項計畫一旦通過，就會成為聯邦機構的指南，來透過資源分配、跨機構/公私營合作，落實4大目標。<a href="https://www.healthit.gov/sites/default/files/page/2024-03/Draft_2024-2030_Federal_Health_IT_Strategic_%20Plan.pdf">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-04-04%20at%201_58_24%20PM.png" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 皮膚 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SCIN </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Google公開皮膚病狀圖片資料集SCIN</strong></span></strong></p> <p>有鑒於當前皮膚科影像資料集的不足，Google聯手史丹佛大學醫學院，收集各種膚色、身體部位皮膚病狀的照片，然後發表皮膚病狀圖像網路（SCIN）資料集。這個資料集的出現，補足了臨床皮膚疾病資料集的不足，還能提高AI模型通用性。</p> <p>進一步來說，SCIN資料集經仔細設計，透過新型群眾外包方式，收集各種條件的照片、詳細的貢獻者資訊，以及專業皮膚科醫師的標註。SCIN資料集收錄超過1萬張皮膚、指甲和頭髮狀況的圖像，這些圖像由本人自願貢獻，提供特寫和較遠距離的版本。這些照片還由一到三位皮膚科醫生標註，給出最多5個皮膚病狀，並附上每個標籤的信賴分數。Google表示，資料集包含單獨的標籤，以及衍生的聚合和加權差異診斷，可用於模型測試和訓練。<a href="https://blog.research.google/2024/03/scin-new-resource-for-representative.html">（詳全文）</a></p> <p><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj1QMRINpok_qmh5jjtktgqytapBRfHWDFxLKffzY9L_jG8uE8oJXA7QwtGY76gPksw5EH0yLuO7Ihk3IitXQDCjQ54DXlxFtpClbIIZzZAb6fDufHR-aW1m81cAMBqxmPIZsN8p3VYlys8b9cczZOzI-VB9d1Nwzk8nCnPTSCDwwh1fmEf4Q8DRdJHo6dR/s16000/image4.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">CISA </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資安事件 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 贖金 </span></strong></span></p> <p><span style="font-size:22px;"><strong>美國CISA提議要求醫事機構通報資安事件和贖金</strong></span></p> <p>美國網際安全暨基礎設施安全局（CISA）最近提出一份447頁的新規範說明，針對16個關鍵基礎設施，要求在資安事件發生後72小時內通報，並在24小時內通報贖金資訊。進一步來說，這些規範適用對象包括了大型醫院、關鍵基礎設施醫院、關鍵製藥廠，以及第2、3類醫材廠商，而醫療IT應用的開發者原則上不適用。目前，他們開放60天接收公評，預計在2025年下半年發布最終版，並於2026年初正式公告。<a href="https://public-inspection.federalregister.gov/2024-06526.pdf">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Fitbit </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>Google將打造個人化健康大型語言模型</strong></span></strong></p> <p>Google在3月19日宣布，旗下Google研究院和Fitbit團隊將合作建置一款個人健康大型語言模型，來支援Fitbit行動程式中的個人化健康和照護功能，讓使用者可透過Fitbit和Pixel裝置上的資料，獲得更多洞察與建議。</p> <p>根據Google說明，此一個人化健康LLM會以Gemini模型為基礎，再用去身分識別的高品質研究案例中的健康訊號進行微調。Google這些研究資料，還正與經認證的教練或健康專家收集、驗證中。目前，Google正在利用類似睡眠醫學認證考試的練習題，來測試模型效能，未來模型可用來分析使用者睡眠模式和睡眠品質變化，再依照相關洞察來提供運動建議。有了個人化健康LLM後，Fitbit行動程式可透過追蹤使用者狀態，來協助使用者更了解自己的健康資料，還能以自然語言提出問題，並建立專屬圖表。例如可深入了解活躍區間分鐘數（AZM）與睡眠恢復程度的相關性。<a href="https://blog.google/technology/health/google-generative-ai-healthcare/">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Neuralink </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 腦機介面 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Telepathy </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Neuralink公布腦部晶片人體試驗成果</span></strong></p> <p>專門開發植入式腦機介面的Neuralink在3月下旬邀請首位植入自家晶片的患者Noland Arbaugh進行直播，展示他如何透過思考，就能移動螢幕上的西洋棋，還可暫停背景音樂。</p> <p>進一步來說，去年獲得美國食藥局（FDA）許可後，Neuralink就著手準備人體臨床試驗，挑選出6名病患，植入自家第一款晶片產品Telepathy。Telepathy的功能是讓人透過思考，來控制手機或電腦，初期適用於失去四肢或癱瘓的病患。而現年29歲的Noland Arbaugh因8年前一場事故，造成頸部以下全癱；他在今年1月接受Telepathy植入，且1天就出院。他除了在直播中展示用意念移動螢幕上的西洋棋外，也分享如何學習使用Telepathy，包括想像或嘗試移動電腦上的鼠標，體驗透過心靈感應移動鼠標的感覺。學會後，他還玩了電腦遊戲《文明帝國VI》8小時。<a href="https://twitter.com/neuralink/status/1770563939413496146">（詳全文）</a></p> <p>圖片來源／ONC、Google</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 印尼<a href="https://www.healthcareitnews.com/news/asia/indonesias-digital-health-maturity-2023-revealed-and-more-briefs">揭露</a>2023年數位醫療成熟度，146個省/市區平均拿下滿分5分中的2.73分</strong></strong></p> <p>資料來源：iThome整理，2024年4月</p> </div></div></div>
2024/4/4 14:12作者王若樸https://www.ithome.com.tw/news/162135
Martech雙周報第51期：超級App公司Rappi如何用AI支援維運1天500個數位行銷活動的維運作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0324~0406)</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#數位行銷資訊流</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#維持數位行銷轉換率</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#自動化QA</span></span><br /> 拉丁美洲Super App Rappi如何用AI來支援上百種數位行銷流程的QA</strong></p> <p>Rappi是拉丁美洲的超級App，囊括電商、物流、金融等許多服務，營運範疇橫跨9個國家。這樣的App，背後有超多數位行銷活動不斷執行，底層的程式碼更是錯綜複雜。Rappi以「行銷流程」（Marketing workflow）稱呼行銷活動中的使用者旅途。<span style="color:#000000;">這包括</span>點擊外部通路廣告後連結到Rappi，或是使用者於App內購買商品後收到再行銷訊息。<a href="https://open.spotify.com/episode/043E3vZeXfjqpe0YxOlx6T?si=116c5f10d7cf493a&nd=1&dlsi=cf8417e7b9ff46f1">Rappi行銷與廣告科技主管Satya Ramachandran表示</a>，他們每天最多有500個行銷流程在背景運行。</p> <p>每一個行銷流程，都需要多階段、多線性的資料蒐集、交換、分析、運用。只要任何一個階段出現錯誤，就會造成行銷轉換率下降。對Rappi來說，為大量、多元的行銷流程除錯，是一場惡夢。</p> <p>首先，測試流程相當繁雜，平均測試一個行銷流程需要15到20個步驟。測試人員不只需要對底層資訊交換流程熟悉，還需要模擬一般使用者的各種可能行為，更要對行銷流程本身十分熟悉──有些測試需要直接設定一個Meta廣告作為流程起始點。不過，Rappi開發團隊中沒有同時理解行銷邏輯和QA方法的專門QA人員，難以進行全面、縝密的測試。不只如此，數位行銷活動瞬息萬變，Rappi還需要頻繁測試行銷流程，才能真正確保行銷成效。</p> <p>因應這些挑戰，Rappi決定導入以電腦視覺等AI技術為基礎的自動化測試解決方案。他們事先利用電腦視覺技術紀錄真實使用者的操作內容，再利用機械手臂不斷重複這些操作，用來測試行銷流程。他們會於不同型號、螢幕尺寸的手機、平板、電腦上裝載不同App版本，並用機械手臂模擬真人使用者，測試各種行銷流程。當操作導致不如Rappi預期的事件，系統就會通報Rappi工程團隊除錯。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/mobot.png" style="width: 600px;" /></p> <blockquote><p>Rappi記錄真人操作後，利用機械手臂重現，來達成自動化、反覆、大量測試<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">行銷流程。此為技術廠商產品示範圖，非Rappi實際測試畫面。</span></p> </blockquote> <p>這種自動化、大量、頻繁的測試法，可以排除QA人員的人為疏漏、更容易發現非常態性發生的錯誤，還能迅速抓出錯誤以降低行銷轉換率損失。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#生成式AI</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#圖文生成</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#語音生成</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#聲音廣告</span></span><br /> 吉野家如何用AI及生成式AI加速廣告企畫實施</strong></p> <p>日式連鎖餐飲店吉野家在香港進行了一系列以AI和生成式AI技術支援的<a href="https://hk.prnasia.com/story/440614-2.shtml">行銷活動</a>。首先，他們利用AI演算法分析CRM系統內的顧客資料，搭配分店人流、繁忙時間、熱門餐點組合等資料，來挑選出行銷受眾。接著，他們再利用Transformer及Latent Diffusion模型來生成文字、圖像及聲音廣告素材，投放於不同通路。</p> <p>其中，聲音廣告做法尤其特別，吉野家取得合作娛樂公司旗下三名藝人授權後，採用行銷科技業者Vpon研發的虛擬聲音技術，以這些藝人的聲音生成廣告<span style="color:#000000;">。這些廣告會在聲音串流平臺，投放給藝人受眾與吉野家廣告受眾的重疊族群。</span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#零售數據</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#另類RMN</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#行銷成效追蹤</span></span><br /> 關鍵評論網利用91App零售數據強化廣告投放及<span style="color:#000000;">行銷成效追蹤</span></strong></p> <p>關鍵評論網媒體集團與開店平臺91App進行數位行銷合作，<a href="https://www.tnlmediagene.com/zh-tw/news/announce/255">利用後者零售數據強化廣告投放及行銷轉換率分析。</a></p> <p>具體做法是，關鍵評論網會提供會員資料、廣告互動、內容瀏覽、市場調查、影視行為，91App則會提供使用者特徵、消費者訊號、商品理解與意圖、消費情境與軌跡等數據，在數據無塵室（DCR）中匹配、整合。接著，91App的零售AI模型會產出投放所需受眾洞察，用來投放廣告於關鍵評論網的廣告聯播網。再來，關鍵評論網會將投放結果整合到91App數據平臺分析，以追蹤廣告轉換情形。</p> <p>關鍵評論網將此模式稱為RMN 2.0。關鍵評論網整合長李致緯解釋，「零售媒體聯播網」的核心是零售數據，這個RMN 2.0模式是將開店平臺零售數據，用於已有高曝光度的媒體「聯播網」投廣，他宣稱，相比在個別零售業者通路投廣，曝光效果高上許多。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#遊戲廣告</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#行銷成效追蹤</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#品牌安全</span></span><br /> IAB調查顯示遊戲系廣告趨於成熟，並發布遊戲廣告設計及投放做法指南</strong></p> <p>美國互動廣告協會（IAB）<a href="https://www.iab.com/wp-content/uploads/2024/03/IAB_AP_Changing_The_Game_March_2024.pdf">近日發表</a>調查，指出遊戲內廣告趨於成熟，且受到行銷業界青睞。</p> <p>調查指出，86%廣告主認為遊戲廣告是能確保品牌安全的通路，甚至高於社群媒體、網路影音、數位看板等數位通路。不只如此，85%廣告主認為遊戲廣告成效容易測量，更有65%廣告主直接將其他通路的測量標準套用到遊戲廣告。這些數據說明，廣告主對於投放廣告到遊戲內版位，在公關及跨通路成效測量等面向，都相當安心。</p> <p>不只如此，有投放遊戲廣告的廣告主中，只有9%是用研究／實驗類預算來投放，其他廣告主都已經將遊戲廣告預算編列到正式行銷預算中。這意味著，廣告主不再只是試水溫，開始正視遊戲廣告。</p> <p>同時，IAB也發布了<a href="https://www.iab.com/wp-content/uploads/2024/03/IAB_Creative_Guidelines_Best_Practices_Advertising_Gaming_March_2024.pdf">遊戲廣告設計及投放做法指南</a>，以期建立PC、行動裝置及網頁遊戲廣告的統一作業標準。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#Cookieless投廣</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#NLP</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#使用者旅途分析</span></span><br /> OneAD推出基於產品資訊和使用者旅途的廣告投放演算法，以NLP技術強化情境分析</strong></p> <p>廣告技術商OneAD推出<a href="https://www.ithome.com.tw/news/157516">ProductKey 2.0</a>，這是去年推出的情境類投廣演算法ProductKey為基礎，用NLP技術及廣告主第一方數據強化的廣告投放演算法。1.0版演算法根據廣告內容、廣告版位字詞及使用者進站途徑來分析投廣適合度，但只依<span style="color:#000000;">據OneAD自家商品文本字詞庫為分析基礎。</span>2.0版本則新增更多數據源，會根據品牌第一方數據、品牌自定義關鍵字、OneAD字詞庫等，還採用LLM綜合運算出與品牌最相關的「商品屬性關鍵字」。</p> <p>接著，此演算法會進行受眾挑選及進站情境分析，來決定是否投放廣告。受眾挑選原理是，利用機器學習分析OneAD 200多家合作網站的第一方數據，來辨認出使用者跨站足跡及近期有興趣的關鍵字，並與商品屬性關鍵字比對。兩者同質性夠高，使用者才會被列為高關注受眾。這種根據近期瀏覽紀錄來動態挑選受眾的方法，比一般利用靜態數據的受眾包更具有時效性。 </p> <p>進站情境分析則是先前就有的功能，利用NLP技術分析使用者所在網頁及前一頁網頁內容。當兩者網頁影片都與商品屬性關鍵字關聯度夠高時，才會進行廣告投放。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#隱私法遵</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#後Cookie行銷</span></span><br /> 數據治理商也要做數位行銷，OneTrust整合Adobe CDP提供顧客授權及偏好管理工具</strong></p> <p>鎖定數位行銷的隱私法遵商機，數據治理及隱私法遵軟體商OneTrust與Adobe合作，<a href="https://www.prnewswire.com/news-releases/onetrust-powers-privacy-first-personalized-experiences-with-adobe-real-time-customer-data-platform-302095528.html">推出</a>顧客授權及偏好管理工具（OneTrust Universal Consent and Preference Management）。這個產品結合了Adobe CDP技術及OneTrust隱私法遵技術，來確保企業進行數位行銷時不會逾越法規界線。</p> <p> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#影音行銷</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#個人化推薦</span></span></strong> <strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#數據驅動觀眾經營</span></span><br /> Youtube Studio新增更多受眾分析工具及個人化推播功能</strong></p> <p><a href="https://www.youtube.com/watch?v=I6hoi7JDPOA">Youtube宣布</a>創作者工作室將更新受眾分析功能，未來觀眾互動與留存報表將能顯示新舊觀眾、訂閱者與非訂閱者等不同受眾分類的數據。這個功能雖然基礎但關鍵，使創作者更直觀的利用數據來調整內容及頻道經營策略。</p> <p>另外，Youtube也將開放創作者微調頻道上個人化推播欄位的內容呈現策略，例如影片類別、上架時間等，讓創作者能更細緻操作觀眾經營策略。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://www.facebook.com/business/news/meta-shoptalk-2024">Instagram推出可以直接套用電商優惠碼的廣告，以求提升並追蹤轉換率</a></p> <p>2. <a href="https://blog.google/products/marketingplatform/360/maximize-ctv-performance-with-display-video-360-and-disney/">廣告主將能透過Google投放廣告到Disney廣告生態圈</a></p> <p>3. <a href="https://news.microsoft.com/2024/03/26/adobe-and-microsoft-partner-to-bring-new-generative-ai-capabilities-to-marketers-as-they-work-in-microsoft-365-applications/">Adobe與Microsoft將整合行銷人員所需生產力工具，以支援行銷素材生成及行銷企畫擬定等作業</a></p> <p>資料來源：iThome整理，2024年4月</p> <p>責任編輯：郭又華</p> <p> </p> </div></div></div>
2024/4/4 09:20作者郭又華https://www.ithome.com.tw/news/162129
關渡醫院邁向醫療燈塔的關鍵，大步擁抱AI物聯網和IT上雲
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不到1年，臺灣就要邁入超高齡社會，老年人口即將超過總人口數的20%，每5人就有1位是65歲以上的長者。如何提供快速增加的銀髮族群照護服務，不只是政府面臨的挑戰，也是各家醫院要因應的難題。</p> <p>對關渡醫院來說，他們早有準備，幾年前就著手布局高齡和社區照護，聯手產學界打造專屬平臺，來提供無縫的健康照護服務。</p> <p><span style="font-size:28px;"><strong>整合院內外醫療資訊奠定基礎，今年開始擴大應用規模</strong></span></p> <p>這款平臺就是iHARP，中文名為健康長壽創新平臺，是關渡醫院邁向「燈塔醫院」的重要方針之一。</p> <p>「3年前，陳亮恭院長上任時，就期許要成為一家燈塔醫院，來照亮、照護這個地區的民眾。」計畫核心成員之一、關渡醫院資訊組組長黃建諺指出，關渡醫院屬於地區醫院，目標是服務在地民眾，在「燈塔醫院」大方向下，院長爭取到國科會計畫，同時找來鄰近的資訊廠商華碩和陽明交大，一起打造iHARP平臺。</p> <p>就運作原理來說，這個平臺會整合民眾在院內和院外的健康數據，比如院內的生命徵象數值、就醫病歷資料、檢驗檢查等資料，以及民眾端合規的穿戴式裝置量測值等。對於院外產生的生理量測值，則會上傳至雲端，統整院內資料後，便能透過統計分析和AI模型來預測風險，並針對異常狀況，即時提醒民眾就診或給予衛教資訊。</p> <p>不只能照護患者，這個做法也能幫助醫院掌握病人狀況，比如即時查看病人在院外量測的血壓變化，來提供遠距照護或行動醫療等服務。</p> <p>目前，這項計畫已完成最重要的基礎建設工作，也就是整合院內醫療資訊系統（HIS）資料和院外生理量測值，還通過了跨平臺的資訊整合測試。</p> <p>黃建諺表示，未來若是參與這項健康平臺計畫的患者到關渡醫院看診，醫師可直接從醫院系統調閱患者在家量測的血壓、血糖和血氧等數值，來給予更精準的治療。</p> <p>有了第一階段的基礎，今年，關渡醫院要擴大範圍，鼓勵更多民眾參與、使用合規的穿戴式裝置，來擴增平臺使用量。之後，關渡醫院要與合作夥伴開發加值應用，如失智風險、死亡風險等預測疾病風險的AI模組，來強化民眾健康意識，及早治療。</p> <p><span style="font-size:28px;"><strong>既有IT優勢省下核心系統轉換成本，更聚焦發展智慧醫療應用</strong></span></p> <p>關渡醫院之所以能快速發展這類健康照護應用，還有賴於既有IT優勢和擁有核心開發權。</p> <p>黃建諺指出，關渡醫院在2000年開業，一開始採用主從式架構與Windows作業系統，沿用至今。因為所用的前端元件，後續Windows版本都支援，因此他們沒有因為作業系統升級而需大幅改版的問題，也不用像其他發展較早且採用大型主機的醫院，得花不少時間搬遷甚至重新開發HIS平臺。</p> <p>「我們不用花那麼多時間汰換系統。」他表示，關渡醫院IT只需配合升級，可以專注於各種醫療業務需求，發展臨床所需的系統應用。</p> <p>再來，關渡醫院IT掌握核心開發權，可快速因應業務需求，來調整或開發新系統，不必仰賴委外廠商。</p> <p>有別於常見的東拼西湊採購模式，醫院成立時一口氣就向同一家廠商採購了全套HIS系統，從臨床端的門診、掛號、住院系統，再到行政管理和財會系統等共有30多套。這麼做的好處是，關渡醫院接管這些系統後，容易自行維護。</p> <p>發展至今，他們也從原本的30套系統成長至108套系統，其中僅有5%委外建置，如洗腎系統等周邊系統。再加上，醫院IT有3名具備15年以上資歷的人力，對系統架構、系統功能和程式碼維護的熟悉度與維護能力都非常高，可即時應變系統開發，滿足各單位需求。</p> <p>關渡醫院IT後端採用關聯式資料庫，一開始就盡量採取正規化、結構化方式來儲存病歷資料，後續幾年大多只需要擴充或調整，容易進行後續的資料運用，比如資料介接、資料截取，甚至是更進一步的統計分析、延伸擴充等都非常有利。</p> <p>一開始就採取結構化設計，不僅在上傳法定醫療資料時，順利擷取資料，還能加速智慧醫療應用的發展，不必耗費過多成本在資料處理和清洗上。</p> <p>不光是靠自己，黃建諺強調，臺北榮總的IT團隊，也是關渡醫院IT的重要後援。由於關渡醫院自籌備以來就由臺北榮總經營，雖然彼此的核心系統不同，但臺北榮總IT會在關渡醫院遇到難題時，給予技術諮詢或幫助，如虛擬健保卡的設置應用、國際醫療資料交換標準FHIR的實務應用等。</p> <p>甚至，他們還會提供技術資源分享，比如北榮資訊室就提供一款平臺，來讓關渡醫院整合自家App，如此就不必另外培養iOS和Android工程師，替關渡醫院IT省下不少功夫。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1176CIO-%E6%8A%BD%E8%A8%80.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>4階段發展IT，下一步瞄準雲端HIS</strong></span></p> <p>由於不需耗費心力轉換核心系統，關渡醫院的IT發展歷程，主要以因應政策和新技術應用為主軸，大致可分為4大階段。第一階段是2009年時，衛福部推動電子病歷，關渡醫院IT也展開病歷無紙化，設計電子單張來讓臨床人員使用，是關渡醫院IT系統的一次革新。</p> <p>再來，隨著電子支付興起，他們導入支援電子支付的自助繳費機，來改善就醫流程，不只涵蓋常見的門診看診費用、住院繳費，就連門診復健、中醫療程和連續處方箋等，都能透過自助繳費機處理。導入後，減少了三分之一的臨櫃人力。</p> <p>同時，關渡醫院看好當時興起的物聯網應用，開始導入支援IoT的醫療儀器，並與醫院HIS串接，來減輕醫護人員的工作負擔。比如，過往需要人工謄打的資訊，可透過IoT設備自動上傳至系統。這麼做，不只能即時提供正確資訊，還有助於後續的大數據分析和資料分享。他們導入的IoT設備，則有門診和住院的生理量測儀器、居家醫療語音記錄設備，還有可偵測病人狀態的智慧床墊、醫學影像輔助診斷應用等。</p> <p>第4階段，則是現在進行式的智慧醫療大革新。</p> <p>黃建諺表示，早在疫情前，關渡醫院就計畫擁抱雲端、打造「Cloud HIS，」要將醫院系統搬上雲，來加速發展智慧醫療。後來疫情來襲，他們不得不放下手邊工作、為防疫奔波，3年後的現在，他們重拾計畫進度，前半年先盤點系統和評估上雲影響，短程目標是將部分HIS服務和AI運算，改以雲端方式執行。不過黃建諺坦言，要將所有HIS上雲並非易事，還需要更謹慎的討論和分階段規畫。</p> <p><span style="font-size:28px;"><strong>燈塔醫院的輔助：AIoT醫療應用</strong></span></p> <p>關渡醫院能夠成為燈塔醫院，不只靠這些IT基礎，還有更多配套應用，特別是AIoT醫療應用。</p> <p>智慧床墊是其中一大亮點，在關渡醫院9樓的住院病床區，就導入了數十張智慧床墊，每張床墊佈滿感測器，能偵測病人臥床狀態，比如側臥、坐起和活動時間，還能細緻地將一張床劃分不同區域，以圖像即時顯示患者狀態和位置。</p> <p>特別的是，這套應用整合了醫院HIS與護理資訊系統，能將病患資訊對應到相應床位，還能標註護理師認為高風險的患者，一旦病患臥床數小時未變換姿勢，或是起身坐在床緣時，系統就能立即提醒護理師，來查看、協助病患，預防跌倒造成的骨折或其他意外。除了預警功能，護理師也能從管理介面中，即時查看患者狀態，還能調閱患者睡眠和活動記錄。</p> <p>除了智慧床墊，他們還在住院區導入不少智慧應用，比如燈光調節系統，能根據時間、天氣或患者狀態，來模擬日光，調節燈光色調和強弱，改善住院患者的睡眠品質。另外還有自助式的IoT量測設備，可供家屬或護理師測量病房患者體溫、血壓等。這些量測到數值，會透過藍芽自動上傳到醫院HIS，幾秒就能完成，免去護理師手動謄打的困擾，還能確保資訊正確。</p> <p>在AI應用上，關渡醫院早已導入了糖尿病視網膜病變偵測AI，光是2022年，全院就有一半的糖尿病眼底檢查由這套系統評估。他們今年還規畫導入更多醫療影像AI，來輔助醫師作業。不只是醫療影像，關渡醫院也要跟上醫療生成式AI，發展視訊診療的AI病歷生成輔助，來加速病歷資料記錄。</p> <p><span style="font-size:28px;"><strong>規畫3大虛擬健保卡應用情境，今年要先落實門診報到</strong></span></p> <p>另一個邁向燈塔醫院的配套措施，則是健保署近年力推的虛擬健保卡應用。</p> <p>虛擬健保卡由民眾在健保快易通App中申請，健保署審核後，民眾即可於就醫時，出示QR Code或授權同意，讓醫師讀取民眾過往就醫記錄和病歷資訊，完成看診。虛擬健保卡皆可用於實體就醫和遠距醫療。</p> <p>對關渡醫院來說，病患大宗為高齡長者，這些長者未必熟練3C操作，因此，他們規畫出3種方便長者操作的虛擬卡使用情境。</p> <p>首先是在自助繳費機中，新添虛擬卡的認證選項，並與實體卡插卡認證方式並行。第2個應用情境是居家照護，關渡醫院計畫在HIS中導入虛擬卡作業流程，讓醫師到民眾家中看診時，不必再攜帶讀卡機，而是透過醫師發送請求、民眾授權，來完成健保卡取卡號。這個方法，未來也將用於關渡醫院的視訊診察系統中。</p> <p>還有一個情境是門診就醫，「門診報到、進診間看診，民眾共得出示兩次健保卡，我們想改用虛擬卡，在報到時出示一次即可。」黃建諺解釋，民眾在門診報到機掃描QR Code後，就能認證報到並完成健保卡取號，進診間後不必再出示。關渡醫院希望透過這種簡化流程，來提高虛擬卡使用意願，預計今年開始優化報到機。</p> <p>黃建諺總是謙虛地說，關渡醫院沒有像醫學中心般，讓人驚艷的厲害應用。但從這些看似家常、各式大小IT、AI應用的結合，讓關渡醫院打造出了高度便利的醫療體驗。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>關渡醫院資訊組組長黃建諺</strong></p> <p>學歷：臺北城市科技大學資訊管理系畢業</p> <p>經歷：在進入關渡醫院前，先於醫療資服業者誠杏公司任職，擔任6年專案經理。後來，2003年，黃建諺進入關渡醫院擔任資訊組組長至今，負責關渡醫院的IT維運與開發，今年重點為持續推廣iHARP平臺應用、發展雲端HIS、導入虛擬健保卡應用，以及AIoT醫療輔助</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1176-CIO-%E9%BB%83%E5%BB%BA%E8%AB%BA-%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D-2(1).JPG" style="width: 281px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫院檔案 </span></strong></span></p> <p><strong>關渡醫院</strong></p> <p>●成立時間：1999年，2000年開幕</p> <p>●主要業務：提供服務區域之各級完善醫療服務</p> <p>●地址：臺北市北投區知行路225巷12號</p> <p>●網址：<a href="http://www.gandau.gov.tw">www.gandau.gov.tw</a></p> <p>●員工數：450人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：資訊組組長</p> <p>●資訊部門主管姓名：黃建諺</p> <p>●直屬主管：蔡文惠</p> <p>●資訊部門人數：12人</p> <p>●資訊部門分工：軟體工程師4人、硬體工程師3人、電話事務4人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2000年：資訊組成立</p> <p>●2021年：發起iHARP平臺建置計畫</p> <p>●2022年：建置門診APP繳費；導入門診、復健療程等自助繳費電子支付</p> <p>●2023年：導入人因工程智慧照明；獲2023年第三屆數位轉型鼎革獎「楷模獎暨ESG特別獎」；獲臺北榮總「CiC青創提案大賽」銀獎</p> <p>●2024年：計畫於門診報到機導入虛擬健保卡認證機制；持續推動iHARP平臺應用；發展雲端HIS</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1176-cio-huang_jian_yan_-960.jpg" width="960" height="420" alt="" title="關渡醫院資訊組組長黃建諺　（攝影／洪政偉）" /></div></div></div>
2024/4/4 06:00作者王若樸https://www.ithome.com.tw/people/162065
國內首輛應變網路行動車前進花蓮，以衛星支援災區通訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>花蓮地區受到此次強震襲擊，當地電力及通訊網路中斷，數位部緊急安排國內首輛應變網路行動車前往花蓮，可利用SES中軌衛星通訊，支援災民及救災人員通訊需求。</p> <p>應變網路行動車為數位部推動「應變或戰時應用新興科技強化通訊網路數位韌性計畫」，在重大災害或緊急狀態，導致國內通訊網路中斷，驗證以非同步軌道衛星協助地面建立通訊，以確保緊急時指揮體系仍可運作。在數位部補助下，電信技術中心建置應變網路行動車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/vgbr51fx_hlk.jpeg" style="width: 300px; height: 446px;" /></p> <p>數位部指出，行動車配備衛星終端及Wi-Fi設備，可透過SES中軌衛星，當商用網路中斷、缺少電力供應等緊急情況下，抵達災區協助電信業者建立衛星後端傳輸網路，支援商用網路恢復正常服務。根據數位部的說明，這輛行動車可和非同步軌道衛星建立連線，在後端連接地面接收站、合作電信業者的網路界接點，連到網際網路，在終端方面，可支援基地臺或是Wi-Fi設備，讓災民或救災人員使用行動通訊或Wi-Fi上網。</p> <p>此次403強震，為該車建置後首次在緊急狀況下出動，數位部指出，現已將其納入救災應變系統中，為配合當地救災需要，初步先提供救災人員使用。</p> </div></div></div>
2024/4/4 03:52作者蘇文彬https://www.ithome.com.tw/news/162133
中華電信：已陸恢復服務，尚有37個基地臺待修復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對今天發生的強震，中華電信傍晚發出最新聲明，經統計此次共有125個基地臺受影響，主因為電力傳輸中斷及備電力用盡後暫時無法運作，經全力搶修後已有部份基地臺恢復運作，尚有37個基地臺因位於災損嚴重地區, 因此尚未修復。</p> <p>中華電信表示，在強震發生後投入逾千人力，盤點各地基地臺，機房，線路及設備。部份設備受損，導致部份用戶通訊受影響，主要影響區域為北部地區，目前障礙狀況已陸續排除，並希望短時間修復，以在最短時間內恢復通訊。</p> <p>目前該公司已調派行動通訊車前往花蓮，緊急支援當地通訊。至於用戶今天指出手機網路不穩問題，係因地震後為支援災區民眾通訊需求，將部份北部訊務疏轉至中南部系統，在疏轉的過挰中造成暫時手機訊號不穩的情形，疏轉後，用戶的通訊服務現已恢復正常。</p> </div></div></div>
2024/4/3 18:52作者蘇文彬https://www.ithome.com.tw/news/162131
Chrome開始測試DBSC功能防禦Cookie劫持攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google現在於Chrome Beta版本測試一個稱為<a href="https://blog.chromium.org/2024/04/fighting-cookie-theft-using-device.html">DBSC（Device Bound Session Credentials）</a>的功能，藉由在工作階段（Session）以及裝置上綁定金鑰，使得即便使用者的身分驗證Cookie遭竊，攻擊者也無法在遠端濫用這些Cookie登入使用者帳戶，保護Google帳戶使用者不受Cookie劫持攻擊。</p> <p>網站會透過建立Cookie來保存使用者的瀏覽資訊，使得網站可以執行諸如保持登入，和記憶偏好設定等功能，以提供使用者良好的體驗，但因為Cookie具有強大的實用性，也就容易受到攻擊。</p> <p>攻擊者會透過各種手段傳播Cookie竊取惡意軟體，這類軟體可以從受害者裝置上的瀏覽器，擷取出身分驗證Cookie，並將其轉移到遠端伺服器中，使得攻擊者能夠濫用甚至銷售遭入侵的帳戶。而由於這種竊取行為發生在用戶登入之後，因此攻擊者也就能夠繞過雙因素驗證或是任何登入時的檢查，而且即便惡意軟體被偵測並移除之後，遭竊的Cookie仍然可以繼續使用，因此防毒軟體對於緩解這個問題的能力有限。</p> <p>Google還指出，由於Cookie與作業系統的互動方式，特別是在桌面作業系統，Chrome與其他瀏覽器，皆無法保護Cookie不受與瀏覽器具有相同存取權限的惡意軟體入侵。也就是當惡意軟體獲得了與瀏覽器相同的系統權限，便可以自由地存取瀏覽器儲存的Cookie，就算瀏覽器本身擁有諸多安全功能，也無法阻擋擁有相同甚至更高系統權限的惡意軟體存取Cookie。</p> <p>為了解決這個問題Google設計了DBSC新網頁功能，DBSC會將身分驗證工作階段（Session）綁定到裝置上，使得洩漏的Cookie不再具有價值，攻擊者要使用該憑證，便會需要在本地裝置上操作，而這便會使裝置上的偵測和清除手段更為有效。</p> <p>簡單來說，當網站試圖在用戶裝置上起始一個新工作階段，瀏覽器便會在本地創建一對公鑰與私鑰，公鑰可安全地與網站共享，而私鑰則會儲存在裝置上，使用受信任平臺模組（TPM）硬體或是軟體隔離等難以匯出的方式進行保護。</p> <p>透過將用戶工作階段與公鑰進行關聯，便可以強化目前的Cookie功能，而且網站伺服器也可以透過在工作階段期間驗證私鑰所有權（Key Possession），確保操作來自於使用者的裝置。每個工作階段都擁有獨特的金鑰，DBSC不允許網站跨不同工作階段，在同一裝置上關聯金鑰，確保網站無法藉由DBSC追蹤用戶，並且讓用戶可以隨時刪除金鑰。</p> <p>除了瀏覽器會向伺服器表明有能力使用的安全儲存類型之外，DBSC不會洩漏其他具體的裝置資訊，而DBSC發送給伺服器的唯一資訊是每個工作階段的公鑰，供伺服器在稍候作為驗證私鑰所有權之用。</p> <p>Google最初會視用戶的硬體能力，先對約一半的Chrome桌面使用者啟用DBSC，不過DBSC的開發規範，承諾不會被用來對用戶分群，因此未來可能對所有用戶支援軟體金鑰方法。Google還提到，DBSC會配合Chrome中第三方Cookie的汰除計畫，確保在禁用第三方Cookie之後，DBSC不會成為新的追蹤向量。</p> <p>Google的目標是建立一個實用的技術解決方案，供網站維護者可以簡單地部署，促進DBSC受到廣泛採用最終成為開放網路標準。目前DBSC專案已經<a href="https://github.com/WICG/dbsc" target="_blank">在GitHub上開源</a>。</p> </div></div></div>
2024/4/3 16:53作者李建興https://www.ithome.com.tw/news/162126
Yahoo買下AI新聞聚合平臺Artifact
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.yahooinc.com/press/yahoo-announces-the-acquisition-of-artifact-the-news-discovery-platform-created-by-instagram-cofounders-kevin-systrom-and-mike-krieger" target="_blank">Yahoo周二（4/2）宣布</a>，已於日前收購了去年才創立的AI新聞程式/平臺Artifact，雙方並未揭露交易金額，但已決定不再提供獨立的Artifact程式，而會將Artifact的個人化技術及其它功能整合到Yahoo與Yahoo News中。</p> <p>Artifact是由Instagram的兩名共同創辦人Kevin Systrom與Mike Krieger在2023年的1月所創立，主要開發基於AI的新聞聚合程式，同時支援Android與iOS平臺，它會根據使用者的喜好提供量身訂作的新聞資訊，同時具備評論及貼文功能，還被Google Play評為年度必備應用程式，不過，今年1月，Artifact便以市場機會不足，無法保證能以此種方式持續投資的理由，<a href="https://medium.com/artifact-news/shutting-down-artifact-1e70de46d419" target="_blank">宣布將漸次關閉該程式</a>。</p> <p>Yahoo則說，身為可靠的網路指南，Yahoo幫助人們實現網路上的目標，包括連結使用者在乎的高品質內容，這項投資將加速Yahoo實現提供個人化跨平臺新聞及資訊發現的願景。</p> <p>曾為全球首屈一指入口網站的Yahoo，先是<a href="https://www.ithome.com.tw/news/107349" target="_blank">在2016年</a>以44.8億美元將大多數的資產賣給了Verizon，Verizon再於2021年<a href="https://www.ithome.com.tw/news/144170" target="_blank">出售9</a>0%的Yahoo股權予資產管理顧問公司Apollo Global Management。</p> <p>即便已不再是世人熟悉的入口網站，但Yahoo財經與Yahoo新聞仍是人們發現新聞的主要去處，根據Yahoo的說法，其新聞網路是2023年美國排名第一的新聞與資訊資產。</p> <p>Yahoo解釋，基於AI的Artifact引擎得以呈現使用者最想看到的內容，還能隨著時間的推移變得更精準，並亦允許使用者輕鬆存取熱門新聞，存取分享功能，還具備可防止點選「標題黨」（Clickbait）的能力，將這些功能導入Yahoo的產品組合，將可協助用戶連結更豐富且更個人化的內容。</p> <p>根據<a href="https://www.theverge.com/2024/4/2/24118436/yahoo-news-artifact-acquisition" target="_blank">《The Verge》</a>的報導，Yahoo所收購的是Artifact的技術而非團隊，不管是Systrom、Krieger或個位數的Artifact團隊成員都不會加入Yahoo，Systrom及Krieger將以顧問的身分協助Yahoo。此外，Artifact不會再是個獨立程式，Yahoo則會在未來幾個月將Artifact技術整合至整個Yahoo，包括Yahoo News程式。</p> </div></div></div>
2024/4/3 15:39作者陳曉莉https://www.ithome.com.tw/news/162124
美國政府批評微軟的安全文化不足才遭駭客入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國土安全部（Department of Homeland Security，DHS）去年針對<a href="https://www.ithome.com.tw/news/157763" target="_blank">微軟帳戶（MSA）消費者簽章金鑰外洩事件</a>展開調查，並於本周二（4/2）<a href="https://www.dhs.gov/news/2024/04/02/cyber-safety-review-board-releases-report-microsoft-online-exchange-incident-summer" target="_blank">發布調查結果</a>，指出此一意外事件是可以避免的，並將肇事原因歸咎於不重視安全的微軟文化，同時建議微軟進行根本性的安全改革。</p> <p>微軟是在去年中發現，中國駭客組織Storm-0558利用一個不知如何取得的微軟帳戶（MSA）消費者簽章金鑰來偽造身分認證權杖，以存取Outlook Web Access in Exchange Online（OWA）及Outlook.com用戶的電子郵件帳戶，波及歐美地區的25個政府組織，以及與這些組織有關的個人。由於包括美國商務部長Gina Raimondo、美國駐華大使Nicholas Burns，以及國會議員Don Bacon等美國政府官員的電子郵件帳戶都遭到入侵，促使DHS的網路安全審查委員會（Cyber Safety Review Board，CSRB）對此事展開全面性的調查。</p> <p><a href="https://www.cisa.gov/sites/default/files/2024-04/CSRB_Review_of_the_Summer_2023_MEO_Intrusion_Final_508c.pdf" target="_blank">CSRB於調查報告中指出</a>，Storm-0558的成功攻擊有賴微軟一系列可避免的錯誤，例如微軟並非自行發現簽章金鑰遭駭，而是客戶發現異常後向微軟提報；在比較其它雲端服務供應商的安全措施時，發現微軟缺少了某些安全控制；微軟於2021年收購一家公司，在允許該公司員工的筆電連結微軟企業網路之前，並未偵測到此一筆電已遭駭。</p> <p>此外，微軟在調查之後，於去年9月宣稱已得知遭到入侵的根本原因，但其實是錯誤的，而微軟卻一直未更新該聲明，一直到不斷收到CSRB的詢問之後，<a href="https://msrc.microsoft.com/blog/2023/09/results-of-major-technical-investigations-for-storm-0558-key-acquisition/" target="_blank">微軟才於今年3月更正</a>。</p> <p>在此一調查期間，CSRB還順便檢視了<a href="https://www.ithome.com.tw/news/160947" target="_blank">微軟今年1月所揭露的另一起資安意外</a>，發現此一事件甚至允許不同國家級駭客組織存取高度敏感的微軟企業電子郵件帳戶、原始碼儲存庫及內部系統。</p> <p>CSRB的結論是，微軟上述一系列的操作及策略上的決定，都指向了一種企業文化，亦即不重視企業安全投資與嚴格的風險管理，並不符合微軟在技術生態體系中的中心地位，亦不符合客戶對微軟保護它們的資料與操作的信任程度，該委員會建議微軟制定並公開一個具備具體時間表的計畫，針對整個企業及所有產品展開全面性的安全改革。</p> <p>有鑑於微軟產品幾乎無所不在，包括用來支援美國國家安全的各種基本服務，也是美國經濟及公共健康與安全的基礎，使得CSRB要求微軟必須展現出最高的安全標準。</p> <p>此外，CSRB亦建議所有的雲端服務供應商及政府合作夥伴採取具體行動，提高安全性並強化可抵禦Storm-0558及相關組織發動的各種形式的攻擊，包括執行嚴格與現代化的資安控制，審核日誌規範，制定數位身分標準與指南，透明化資安意外與漏洞資訊，打造更有效的受害者通知與支援機制，同時也呼籲美國政府更新安全標準與合規框架。</p> </div></div></div>
2024/4/3 15:05作者陳曉莉https://www.ithome.com.tw/news/162123
NCC：3家電信業者合計172個行動基地臺受地震影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天早上發生的強震，3大電信向NCC回報災損情形，NCC副主委暨發言人翁柏宗表示，根據3家業者回報，基地臺受到地震或電力中斷影響，共有172個基地臺受影響，已要求業者搶修中。</p> <p>NCC指出，受影響基地臺主要以宜蘭、花蓮及新北市，其中中華電信有125個基地臺受影響，台灣大哥大則有33個，遠傳電信有14個，位於花蓮地區。受影響基地臺，主因為電力中斷，進而影響行動網路，目前已要求業者搶修，確保民眾使用通訊服務，業者估計今天可修復。</p> <p>今早強震過後，即有中華電信用戶反映無法使用5G網路，大量用戶使用4G網路，導致網路使用量大增，因此出現不穩的情形。</p> </div></div></div>
2024/4/3 13:26作者蘇文彬https://www.ithome.com.tw/news/162116
美國國會禁止員工使用微軟Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.axios.com/2024/03/29/congress-house-strict-ban-microsoft-copilot-staffers" target="_blank">《Axios》</a>報導，基於安全考量，美國眾議院上周下令，禁止員工在公務裝置使用微軟Copilot AI助理。</p> <p>根據媒體取得美眾議院行政長Catherine Szpindor的備忘錄，在美國安全主管機關網路安全暨基礎架構安全管理署（CISA）提出安全疑慮後，眾議院下令，在政府發派的裝置中不得使用及安裝免費版Copilot，只能在啟動隱私防護機制的情況下從事「研究和評估」，以免「未授權雲端服務」造成機密資訊外洩。但員工個人手機或電腦並不在此限。</p> <p>去年眾議院已頒布免費版ChatGPT禁用令。目前，眾議院的公務裝置只能使用付費版ChatGPT Pro。付費版ChatGPT具有較高安全性，且用戶和聊天機器人對話內容不會被用於訓練基礎AI模型。</p> <p>微軟官方回應指出，了解政府用戶對資料安全有更高要求，該公司也宣布了Copilot等AI產品的發展藍圖，將在今年內推出滿足聯邦政府安全及法遵要求的產品。</p> <p>在Azure雲端服務方面，微軟已經在Azure Government之下，推出滿足高安全規格要求的Azure OpenAI服務。</p> <p>今年適逢美國總統大選，各網路平臺及AI服務相繼加強偵測及管理，以防止有心人士利用AI技術影響選舉。例如今年初一個印度AI聊天助理服務被民主黨用於設計模傚參選人，開發商雖然是受害者，但也<a href="https://www.ithome.com.tw/news/160963" target="_blank">遭到OpenAI停權</a>。日前微軟、Google、Meta等20家科技業者<a href="https://www.ithome.com.tw/news/161339" target="_blank">也公開承諾</a>，將共同防範有心人士濫用AI技術抹黑候選人、傳遞選舉假訊息。</p> </div></div></div>
2024/4/3 13:42作者林妍溱https://www.ithome.com.tw/news/162117
【資安日報】4月3日，研究人員發現中國駭客組織APT41旗下團體使用更為隱密的方式迴避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年中國駭客組織APT41的攻擊行動不時傳出，但今年初鮮少有相關的事故揭露，直到最近，有研究人員發現該組織旗下團體的攻擊手法。</p> <p>資安業者趨勢科技發現該組織旗下團體Earth Freybug，特別針對端點防護系統（註：這裡研究人員應該指的是EDR相關系統）追蹤惡意行動的方法下手，企圖讓這類系統無法偵測他們的行踀。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.trendmicro.com/en_us/research/24/d/earth-freybug.html"><strong style="font-size: 22px;">中國駭客組織APT41旗下團體利用名為Unapimon的工具迴避偵測</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1-Earth Freybug.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1-Earth%20Freybug.png" style="width: 300px; float: right;" /></a>資安業者趨勢科技揭露最新一波有關中國駭客組織APT41的攻擊行動，他們發現該組織旗下的團體Earth Freybug，將惡意酬載注入VMware Tools（vmtoolsd.exe）的處理程序執行，從而接收遠端的排程任務並收集電腦的系統資訊，接著，對方執行另一個批次檔，透過遠端桌面連線組態設定（SessionEnv）有關的DLL檔案（TSMSISrv.dll），使用DLL側載手法將惡意程式Uanpimon載入到記憶體內執行。</p> <p>研究人員指出，由於許多端點防護工具透過API掛鉤追蹤惡意行為，對方反其道而行，將Unapimon設計成能取消子處理程序相關的API掛鉤，而能迴避此種偵測。</p> <p><a href="https://blog.fox-it.com/2024/03/28/android-malware-vultur-expands-its-wingspan/"><strong style="font-size: 22px;">假冒下載、安裝McAfee防毒軟體的名義，安卓金融木馬Vultur透過發出引誘SMS簡訊散播</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/542e4746fdf58bc882731fa490a99ed1867a4a95_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/542e4746fdf58bc882731fa490a99ed1867a4a95_1.png" style="width: 300px; float: right;" /></a>資安業者Fox-IT揭露最新一波的安卓金融木馬Vultur攻擊行動，對方先是發送簡訊，聲稱用戶出現未經授權的交易，需要撥打他們提供的電話號碼進行處理，一旦使用者照做，駭客就會寄送第2則簡訊，並引誘他們點選連接，前往冒牌的McAfee Security網站安裝「防毒軟體」。</p> <p>此遭到木馬化的防毒軟體被植入了名為Brunhilda的惡意程式載入工具，若是使用者執行安裝，Brunhilda就會執行與Vultur相關的元件，從而得到使用者對輔助功能的授權、初始化遠端控制系統，最終與C2建立連線。</p> <p>研究人員指出，新版Vultur能停用特定的應用程式，並顯示自訂通知來誤導使用者，甚至能繞過螢幕解鎖畫面，使得攻擊者可不受限制存取裝置。</p> <p><a href="https://owasp.org/blog/2024/03/29/OWASP-data-breach-notification.html"><strong style="font-size: 22px;">OWASP基金會證實資料外洩，起因是維基伺服器組態不當</strong></a></p> <p>4月1日非營利組織OWASP基金會表示，他們2月下旬收到支援請求，從而發現舊的維基（Wiki）網頁伺服器出現組態不當的情況，導導致從2006至2014年向他們提供個人簡歷的用戶資料外洩，這些資料包含姓名、電子郵件信箱、電話號碼，以及其他可識別個人的資訊（PII）。</p> <p>對此，該基金會停用資料夾瀏覽的功能，重新檢查所有的網頁伺服器及Media Wiki的組態，並移除維基伺服器上所有的用戶簡歷資料，清除Cloudflare的快取防止進一步的外流，再者，他們也要求從Web Archive網站移除相關內容。</p> <p><a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/documents/Year_in_Review_of_ZeroDays.pdf"><strong style="font-size: 22px;">2023年用於攻擊行動的零時差漏洞增加50%</strong></a></p> <p></p> <p>Google威脅情報小組（TAG）與旗下資安業者Mandiant聯手，公布對於2023年零時差漏洞的態勢觀察，去年總共有97項零時差漏洞，較2022年62個增加50%。</p> <p>但值得留意的部分，是研究人員歸納的趨勢。首先，軟體開發商積極強化軟體的安全，但攻擊者開始偏好針對第三方元件挖掘零時差漏洞，再者，則是攻擊者鎖定企業級產品的攻擊比例顯著增加。</p> <p>此外，商業間諜軟體供應商（CSV）最擅於利用瀏覽器及行動裝置的漏洞，而在國家級駭客的部分，延續過往研究人員的觀察現象，中國資助的駭客依舊是去年利用零時差漏洞最多的國家級駭客。</p> <p><a href="https://www.ithome.com.tw/news/162081"><strong style="font-size: 22px;">Google同意銷毀Chrome無痕模式的瀏覽資料</strong></a></p> <p></p> <p>2020年Chrome用戶集體控告Google，原因是他們發現在採用無痕模式（Incognito Mode）的情況下，依然遭到Google追蹤，而並非依照該功能Google原先標榜的「不會留存瀏覽記錄及表單輸入內容」。</p> <p>4月1日Google向法院提出和解協議，內容包括刪除於無痕模式收集的數十億筆記綠，並將於隱私政策及在啟用無痕模式時揭露收集的用戶資料；再者，他們承諾至少在未來5年內都將允許使用者於無痕模式中的預設封鎖第三方Cookie，也會移除用來偵測使用者是否執行無痕模式的程式碼。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.binarly.io/blog/xz-utils-supply-chain-puzzle-binarly-ships-free-scanner-for-cve-2024-3094-backdoor"><strong style="font-size: 22px;">韌體資安業者Binarly提供XZ Utils供應鏈攻擊的檢測工具</strong></a></p> <p></p> <p>3月29日開源專案XZ Utils發生供應鏈攻擊，導致該資料壓縮程式庫被植入後門，曝露CVSS風險評分達滿分的漏洞CVE-2024-3094，Fedora Rawhide、Fedora 41、Kali Linux、openSUSE Tumbleweed與MicroOS，以及部分Debian版本受到影響，導致許多Linux用戶人心惶惶，美國網路安全暨基礎設施安全局（CISA）呼籲用戶，應降級5.4.6版XZ Utils，並清查是否存在惡意活動，如今有研究人員提供相關檢測工具，讓用戶對特定執行檔進行徹底的掃描。</p> <p>專精韌體安全的資安業者Binarly架設名為xz.fail的網站，讓用戶上傳ELF檔案，從而檢測是否存在前述後門程式。研究人員表示，由於用戶往往藉由檔案雜湊值、YARA規則進行逐一比對，而有可能導致用戶警報疲勞，甚至會出現誤報的情況，再加上對方使用的精密手法，很有可能對其他專案發動攻擊的時候重複利用，因此，他們決定提供專門的後門檢測工具。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://blog.eclecticiq.com/darkgate-opening-gates-for-financially-motivated-threat-actors"><span style="font-size: 20px;">木馬程式Venom RAT透過大規模網釣攻擊拉丁美洲</span></a></strong></p> <p></p> <p><a href="https://www.wordfence.com/blog/2024/04/unauthenticated-stored-cross-site-scripting-vulnerability-patched-in-wp-members-membership-plugin-500-bounty-awarded/"><strong style="font-size: 20px;">WordPress會員系統外掛程式存在高風險XSS漏洞，恐被用於指令碼注入攻擊</strong></a></p> <p></p> <p><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/agent-teslas-new-ride-the-rise-of-a-novel-loader/"><strong style="font-size: 20px;">竊資軟體Agent Tesla假借銀行付款通知散布</strong></a></p> <p></p> <p><a href="https://www.pcmag.com/news/google-to-fight-cookie-hijacking-with-encryption-keys-for-chrome-browser"><strong><span style="font-size: 20px;">Chrome將加入可阻擋cookie劫持的新功能</span></strong></a></p> <p></p> <p><a href="https://www.cisa.gov/news-events/news/safecom-and-ncswic-develop-911-cybersecurity-resource-hub"><strong><span style="font-size: 20px;">CISA針對緊急救援機構設立911網路安全資源中心</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162102"><strong>【4月2日】CISA傳出向美國政府報告Ivanti系統遭到入侵的事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162054"><strong>【4月1日】發現潛伏三年的供應鏈攻擊事件，程式庫XZ Utils近期被植入後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162031"><strong>【3月29日】殭研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula</strong></a></p> </div></div></div>
2024/4/3 12:16作者周峻佑https://www.ithome.com.tw/news/162113
403強震國家級警報為何沒響？氣象署：預估震度低
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今早7:58分發生在臺灣東部海域的強震，規模達到7.2級，強烈的晃動讓不少民眾相當有感，氣象署第一時間也發出國家級警報，但是在台北、新北市的民眾沒有收到國家級警報，對此，氣象署表示，為系統預警時，部分區域因預估震度未達到警報門檻，因此沒有發送警報。</p> <p>氣象署表示，今早發生的強震，災防告警細胞廣播訊息PWS的第一報預估震度為6.2級，而第二報上修為6.8級，雖然預估震度上調，台北市與新北市的地表運動加速度峰值PGA也跟著上修，但是仍未大於等於PGA25，即震度4級，因沒有達到告警門檻，沒有針對該區域發送警報。除了雙北，基隆、桃園、高雄市(桃源)、屏東(九如)，因此6個縣市部分地區沒有發送警報。</p> <p>氣象署針對宜蘭縣、新竹縣、苗栗縣、彰化縣、南投縣、雲林縣、嘉義縣、台東縣、花蓮縣、嘉義市、台中市、台南市共12個縣市發送國家級警報。</p> <p>根據氣象署發布的地震報告，沒有發警報的6個縣市，台北市與新北市、桃園市實際震度達5弱級，基隆、屏東九如也達到4級，高雄則是3級。氣象署表示，未來會持續檢討改進。</p> </div></div></div>
2024/4/3 12:30作者蘇文彬https://www.ithome.com.tw/news/162114
Amazon放棄使用無人結帳服務Just Walk Out
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在試用了近3年後，Amazon大部份生鮮超市Amazon Fresh將不再使用無人結帳系統Just Walk Out。</p> <p>Amazon高層Tony Hogett告訴<a href="https://www.theinformation.com/articles/amazons-grocery-stores-to-drop-just-walk-out-checkout-tech" target="_blank">《The Information》</a>，該公司的次世代Amazon Fresh之後將改用名為Dash Cart的自助結帳系統，僅少數郊區分店持續使用Just Walk Out。Dash Cart是在購物車上安裝掃瞄器及顯示裝置，讓消費者邊買邊掃碼結帳。</p> <p>Just Walk Out是Amazon 2020年推出的無人店面的自動化結帳系統。它一開始使用攝影機及感測器判讀消費者所拿商品，但去年改成了RFID式的標籤感測。原因可能是出於消費者對攝影機的不安，而且錯誤率較低。</p> <p>Amazon一直在嘗試新的零售方案。<a href="https://www.ithome.com.tw/news/146612" target="_blank">Amazon在2021年起</a>將掌紋身分識別及支付系統Amazon One導入西雅圖的Whole Foods，現已推向500家分店及Amazon實體店面，此外也有客戶將之導入到包括體育館、健身房、便利商店或機場。兩周前<a href="https://www.ithome.com.tw/news/162030" target="_blank">Amazon推出專用程式</a>以擴大實施。</p> <p>不過另一方面，創新採用AI及自動化科技的無人便利超商Amazon Go及智慧服飾店<a href="https://www.ithome.com.tw/news/151139" target="_blank">Amazon Style</a>則相繼於<a href="https://www.geekwire.com/2023/amazon-closing-eight-amazon-go-convenience-stores-in-latest-tightening-of-its-physical-retail/" target="_blank">去年3月</a>及<a href="https://www.theverge.com/2023/11/2/23943941/amazon-style-clothing-stores-closing-down" target="_blank">11月</a>關閉。</p> </div></div></div>
2024/4/3 13:07作者林妍溱https://www.ithome.com.tw/news/162115
數位部：政府GSN服務運作正常，部分電信業者行動基地臺受影響正搶修中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今早發生的強震，數位部盤點政府資訊服務，目前政府網際服務網(Government Service Network, GSN）正常運作，用戶端將請監控中心持續監控個別狀況，目前尚未發現異常情形。</p> <p>至於通訊傳播領域關鍵基礎設施，固網、海纜等通訊線路沒有發現異常，但在行動網路方面，有電信業者的少數基地臺受到地震影響，導致該地的用戶訊號出現不穩，數位部已請電信業者儘速搶修，盤點相關災損及受影響用戶。</p> </div></div></div>
2024/4/3 11:33作者蘇文彬https://www.ithome.com.tw/news/162111
403強震，遠傳電信：正盤查各地基地臺、機房、設備，行動通訊車可前往災區支援通訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今早發生強震後，國內電信服務也受到部分影響，遠傳電信今早啟動緊急應變，投入上百名工程師，盤查各地基地臺、機房、設備，目前仍在詳細盤查中，另外，因應災害嚴重地區通訊需求，該公司也準備行動通訊車，可機動性的前往當地支援通訊。</p> <p>目前遠傳電信也透過後臺，監控網路流量是否有異常情形，障礙排除等等，以維持通訊服務品質。該公司表示，基地臺皆有備援電源，主要機房也運作正常，但有少數基地臺因停電，在備援電源用盡後暫時無法服務，待台電恢復供電後，可立即恢復運作。</p> </div></div></div>
2024/4/3 11:46作者蘇文彬https://www.ithome.com.tw/news/162112
台灣大哥大少數基地臺受損、因停電受影響，目前正搶修中
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天上午花蓮地區發生規模7.2的強震，國內通訊服務也受到部分影響，台灣大哥大表示，主要機房雖沒有受損，但部份地區的行動基地臺受損，影響主要區域為花蓮，新北也有部分地區受到影響，目前正在搶修中。</p> <p>台灣大哥大表示，地震發生後，第一時間投入超過500名人力進行設備檢查，提供必要的行動通訊服務及協助，零星的基地臺因地震受到損害，有少數基地臺則因停電受影響，目前正在全面搶修中，電力障礙問題，緊急安排發電機，並持續觀察該地區訊務情形，如發現訊自壅塞，加派行動車前往當地支援。</p> </div></div></div>
2024/4/3 10:32作者蘇文彬https://www.ithome.com.tw/news/162110
回顧2023十大資安漏洞
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去1年，應用系統、通訊協定、資安防護設備等漏洞利用攻擊事故不斷發生，部分甚至導致大規模災情，並頻繁出現在資安新聞報導，我們根據全球的資安態勢，以及臺灣企業組織偏好採用的IT系統，選出年度十大漏洞</p> </div></div></div>
2024/4/3 09:49作者周峻佑https://www.ithome.com.tw/article/162080
Rust更新u128、i128資料型別記憶體對齊，確保與C語言一致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust開發團隊<a href="https://blog.rust-lang.org/2024/03/30/i128-layout-update.html">解決</a>了長期以來與C語言在x86-32和x86-64架構上，處理128位元整數對齊（Alignment）上的不一致。採用LLVM 18的Rust現在處理i128、u128資料型別，會與所有版本的GCC，以及Clang 18以上版本相容。</p> <p>Rust開發團隊解決了u128、i128資料類型，在記憶體中的布局問題，這個問題涉及資料型別在記憶體中的對齊方式。所謂的記憶體對齊，是指資料型別被允許放置的記憶體地址規範，對齊方式可以依據需求變化，像是一個8位元組大小的整數，可以儲存在任意記憶體地址，而64位元電腦系統可能會選擇採用8位元組的對齊方式。</p> <p>在Rust與C語言中，針對u128、i128資料型別在x86-32和x86-64架構上的對齊方式，長期以來存在不一致。這種不一致來自於兩個實作的對齊要求不同，在C語言中，__int128（相當於Rust的u128、i128）的對齊要求遵循該平臺應用程式二進位介面（ABI）的規範，代表著在x86-64系統上，__int128的對齊可能被要求為16位元組，目的是最大程度提高存取這些資料型別的效率。</p> <p>Rust在早期版本中，對於u128、i128的對齊不完全遵循C的ABI規範，導致在部分情況下，這些資料型別的對齊方式與C不一樣，使得外部函式介面（FFI）呼叫時可能出現難以預料的行為或是效能問題。</p> <p>為了解決與C語言在處理u128、i128資料型別對齊不一致的問題，Rust進行了調整，現在使資料型別對齊方式與C保持一致，而由於資料類型在記憶體中的布局更加可預測，減少了潛在轉換或是對齊物的問題，因此直接提高了外部函式介面的相容性和效能。不過，也因為這些類型現在需要更大的對齊空間，可能導致程式碼的記憶體占用增加。</p> <p>對大多數Rust開發者來說，這次更改並不會有太大的影響，但是如果開發者在程式碼中直接假設這些類型的對齊而沒有使用align_of，或是在外部函式介面中使用這些資料型別，卻忽略improper_ctypes*的Lint，則開發者可能會需要更新程式碼，避免發生潛在的問題。</p> <p>從Rust 1.77開始，開發者在外部函式介面中使用128位元整數時會相對安全，而隨著1.78版本更新LLVM，開發者就能獲得更多操作確定性。</p> </div></div></div>
2024/4/3 08:35作者李建興https://www.ithome.com.tw/news/162103
IT產品老弱殘是資安危機
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>無論在家中或工作場所，我們每天都與許多IT產品為伍，而在長期使用的過程當中，通常會意識到某些軟硬體需要進行定期或不定期更新，例如，個人電腦、智慧型手機、平板電腦的作業系統每個月可能至少需要進行安全性更新，持續使用幾年後，可能面臨系統升級甚至換機需求。</p> <p>然而，有些隱身在角落或設置在機房的設備，若沒有刻意安排定期汰換，恐怕用到廠商終止提供產品更新支援，都還不知道繼續使用會面臨更多風險。當然有不少人也明知這樣的IT產品不再可靠，但限於預算不足、更換不便，甚至純粹怕麻煩等原因，仍在隨時可能會出差錯、發生問題等狀態下使用。</p> <p>最廣為人知的例子當屬小型辦公與家用環境（SOHO）Wi-Fi路由器，經常看到資安新聞媒體報導相關安全性事故，這類設備因系統老舊、廠商不再提供韌體改版升級支援，一旦被有心人士找出資安漏洞，就可能被入侵、綁架，而成為殭屍網路的成員，之後遭濫用而能對各種網路服務發動DDoS攻擊。</p> <p>最近就有類似事故發生，例如<a href="https://www.ithome.com.tw/news/162015" target="_blank">3月28日的iThome資安日報</a>，剛好整理到<a href="https://www.ithome.com.tw/news/162015" target="_blank">超大型殭屍網路TheMoon崛起</a>的消息，他們在3月初在短短72小時內，綁架超過6千臺華碩路由器，除此之外，還有其他SOHO路由器、物聯網設備遭駭，這些設備都是處於產品生命週期終止、廠商不再提供支援的狀態，截至今年1月為此，這個惡意網路擴展到擁有4萬臺殭屍裝置、遍及88國，規模相當驚人。</p> <p>若純粹論及IT產品資安漏洞濫用造成的影響，回顧從2020年至今的資安重大事件當中，負責提供遠端安全連線的IPsec或SSL VPN設備，持續佔據資安新聞版面，如Fortinet、Ivanti/Pulse Secure是最大苦主；以應用程式交付控制器（ADC）著稱的F5、Citrix，也常出現在資安公告；而在應用系統方面，不只許多產品搭配的開放原始碼事件記錄元件Log4j，微軟Exchange、VMware的vSphere與Workspace ONE、Atlassian Confluence，也頻頻列為年度重大漏洞。</p> <p>至於2023年，CISA目前雖然尚未公布，我們決定依據iThome資安日報一年以來持續報導的新聞內容，權衡全球資安弱點關注態勢，以及臺灣多數企業與組織可能採用的IT系統，<a href="https://www.ithome.com.tw/article/162080" target="_blank">選出年度十大資安漏洞</a>。</p> <p>就前五大漏洞而言，檔案傳輸管理系統（MFT）漏洞消息近幾年延燒，在2023年，當數<a href="https://www.ithome.com.tw/news/162067" target="_blank">MOVEit Transfer漏洞CVE-2023-34362</a>影響最顯著，因為勒索軟體Clop利用這個弱點大舉入侵許多企業與組織，引發軒然大波。</p> <p>在此之前，就有多個MFT類型產品出現重大漏洞而受到關注，像是Accellion FTA、<a href="https://www.ithome.com.tw/news/162072" target="_blank">Fortra GoAnywhere（我們列入2023年第五大漏洞</a>），由於這些產品在臺灣不普及，但我們仍很擔心這把火是否燒到MOVEit，可惜的是，雖有前車之鑑，但危機還是發生了。</p> <p>以普遍使用程度而言，我們將<a href="https://www.ithome.com.tw/news/162069" target="_blank">壓縮軟體WinRAR漏洞CVE-2023-38831</a>，以及<a href="https://www.ithome.com.tw/news/162071" target="_blank">網頁瀏覽協定HTTP/2漏洞CVE-2023-44487</a>，列在第四名、第五名；而上述提到的網路與資安系統，占了排行榜大宗，像是<a href="https://www.ithome.com.tw/news/162068" target="_blank">應用程式交付控制器Citrix NetScaler</a>、<a href="https://www.ithome.com.tw/news/162073" target="_blank">郵件伺服器軟體Zimbra</a>、<a href="https://www.ithome.com.tw/news/162074" target="_blank">防火牆與VPN設備兆勤（Zyxel）</a>、行動裝置管理平臺<a href="https://www.ithome.com.tw/news/162075" target="_blank">Ivanti Endpoint Manager Mobile</a>、<a href="https://www.ithome.com.tw/news/162076" target="_blank">路由器平臺Cisco IOS XE</a>，以及<a href="https://www.ithome.com.tw/news/162079" target="_blank">郵件安全閘道Barracuda ESG</a>。</p> <p>「人非聖賢，孰能無過」廠商開發產品、經營市場不容易，更重要的是「知過能改」，不只是關切所供應的產品與服務須有良好品質，用戶導入後的維護與持續使用，更是信任與名譽的長期考驗。</p> <p>對廠商而言，固然有權決定產品技術支援的廣度、深度，以及持續期間，因此應設法說服用戶更換新機時，還願意繼續信任同一品牌，這取決於廠商自身發展與提供客戶的服務。對用戶而言，也要有產品與服務生命週期概念，需提早規畫汰舊換新的策略，面對既有的IT軟硬體資產，也要關注更新消息，確認汰換升級的實機，而非盲目希望「物盡其用」不願轉移。</p> <p>當雙方都對彼此有合理的期待與自我要求時，許多IT產品就能在穩健的狀態持續使用，遇到問題，也能互信合作、解決困難。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E">安全漏洞</a></div><div class="field-item odd"><a href="/tags/%E6%9B%B4%E6%96%B0">更新</a></div><div class="field-item even"><a href="/tags/%E6%AE%AD%E5%B1%8D%E7%B6%B2%E8%B7%AF">殭屍網路</a></div><div class="field-item odd"><a href="/tags/2023%E5%8D%81%E5%A4%A7%E8%B3%87%E5%AE%89%E6%BC%8F%E6%B4%9E">2023十大資安漏洞</a></div></div></div>
2024/4/3 07:00作者李宗翰https://www.ithome.com.tw/voice/162039
【回顧2023十大資安漏洞｜No.1：CVE-2023-34362】MOVEit檔案傳輸軟體漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-MOVEit-600-PNG.png" style="text-align: center; width: 600px;" /></p> <p>論及2023年影響最為嚴重的漏洞，莫過於Progress旗下MFT檔案共享系統MOVEit Transfer漏洞CVE-2023-34362，<a href="https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023" target="_blank">自該公司去年5月27日公布至今</a>，在iThome有超過20篇新聞與之有關，以壓倒性的程度，遙遙超越其他漏洞的曝光程度。</p> <p>甚至到了今年3月，美國政府呼籲軟體開發商，應該要在產品出貨之前，檢查是否存在SQL注入漏洞，也與這項漏洞引發的大規模攻擊事故有關，這兩年美國政府開始大力提倡軟體開發安全，並提供各式的實作指引，但針對特定類型的漏洞，並拿出血淋淋的真實案例提出呼籲，這還是頭一遭。</p> <p>與先前的Accellion FTA、GoAnywhere事件相同，利用此漏洞的攻擊事故，背後的攻擊者都是勒索軟體駭客Clop，但這次陸續浮出檯面的受害組織，竟多達數百個，駭客分成多次公布名單，而且每次都引起不少關注。</p> <p>另一方面，有別於過往事件證實受害的企業與政府機關，同時其檔案共用系統也遭遇攻擊，但這次出面公布遇害的組織，不少是因為IT服務供應商建置的MFT系統遭遇攻擊，導致自己的內部資料外洩而出面公告。</p> <p>特別的是，這項漏洞不只引起各界關注，美國政府也採取了多個罕見的措施。首先，聯邦調查局宣布祭出千萬美元獎金，要捉拿勒索軟體駭客Clop的成員；再者，美國證券交易委員會（SEC）也在10月，傳出要對Progress進行調查的情況。</p> <p>而對於這起攻擊事故造成的損失，當時Progress認為影響有限，根據他們的評估，由於旗下MFT系統的漏洞，產生約100萬美元的費用，相關的保險理賠預期會進帳190萬美元。但這份季報也談到遇害客戶的反應，他們表示，有23個組織、58名人士向他們提出法律訴訟，而有可能會產生賠償費用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-2023-vul-moveit-dc2-en_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_KonBriefing.png" style="width: 600px;" /></p> <p> <span style="font-size:14px;"><span style="color:#696969;"><span style="font-size:16px;"><strong>根據研究機構KonBriefing彙整的資料，CVE-2023-34362漏洞攻擊事發半年後，總共有超過2千個企業組織受害，影響範圍涵蓋32個國家，大部分受害組織位於美國。</strong>（圖片來源／KonBriefing）</span></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>受害規模已擴大至超過2千個組織</strong></span></span></p> <p>我們曾在去年8月初，彙整因CVE-2023-34362造成的資安事故發生經過，當時研究機構KonBriefing根據新聞報導、駭客公布的名單、受害組織發出的聲明，以及向美國地方政府或證券交易委員會（SEC）通報的資料，截至7月31日，他們確認有545個組織受害，約有3,270萬至3,760萬人遭受波及。</p> <p>但事隔5個月，受害組織增加3倍、外洩資料筆數增加1倍──截至12月20日，有2,611個組織受害、約有8,510萬至8,990萬人個資流出。這樣的現象，印證6月美國政府官員的推測，這項漏洞攻擊事故的影響，將會持續擴大。</p> <p>值得留意的是，資安業者Kroll發現，駭客早在2021年7月就找到CVE-2023-34362，並策畫在完成GoAnywhere攻擊之後，才進行本次的攻擊行動。這意味著該漏洞曝露長達快2年的時間，駭客可能已經過充分的模擬和測試，最後才決定下手。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>矯枉過正！廠商後續過於頻繁發布漏洞公告，反而導致用戶無所適從</strong></span></span></p> <p>雖然整起事件當中，駭客只有利用CVE-2023-34362，但這次Progress應變處理的可取之處在於，他們在事發之後隨即尋求資安業者協助，檢視MOVEit Transfer的程式碼來改善安全。不過，頻繁發布新漏洞的資安通告，也很可能讓IT人員無所適從，疲於採取緩解措施，或是安裝更新軟體。</p> <p>6月9日，Progress表示在資安業者Huntress的協助下，找到SQL注入漏洞CVE-2023-35036，CVSS風險評分為9.1，影響所有版本的MOVEit Transfer，該公司提供修補程式，並指出目前該漏洞尚未遭到利用。</p> <p>事隔不到一週，Progress於15日又再度發布公告，針對新漏洞CVE-2023- 35708提出緩解措施，呼籲IT人員暫時停用所有HTTP與HTTPS流量，並在隔天發布了修補程式。基本上，此漏洞也是被列為危急層級的SQL注入漏洞，CVSS風險評分達到9.8。</p> <p>值得留意的是，無論是CVE-2023-34362或CVE-2023-35708，Progress首度公布漏洞時，皆未取得CVE編號，也沒提供CVSS評分，IT人員只能從公告的說明當中，得知該公司認定漏洞極為嚴重，難以判斷要如何安排修補。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162067
【回顧2023十大資安漏洞｜No.2：CVE-2023-4966】Citrix NetScaler漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Citrix-PNG.png" style="width: 600px;" /></p> <p>我們這次選出的2023第2大漏洞，與去年11月一起引起全球關注的勒索軟體攻擊有關，因為此事故導致利用這項漏洞的情況浮上檯面。</p> <p>它是存在Citrix NetScaler設備的資訊洩露漏洞，編號為CVE-2023-4966，CVSS風險評分達到9.4。<a href="https://support.citrix.com/article/CTX579459/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967" target="_blank">Citrix於10月10日發布了修補程式</a>，之後，資安業者Mandiant提出警告，他們發現駭客自8月下旬開始，就利用這項零時差漏洞，當時，已有政府機關與科技業者受害，到了10月23日，Citrix也證實出現漏洞攻擊行動的情況──他們接獲連線階段（Session）挾持的事故通報，並確認攻擊者在過程中利用這項漏洞。</p> <p>關於弱點的稱呼，發布概念性驗證（PoC）攻擊程式碼的資安業者Assetnote，將這個漏洞命名為「Citrix Bleed」，但Shadowserver基金會提出警告，在漏洞細節及PoC程式碼公布之後，他們隨即看到嘗試利用該漏洞的情況瞬間增加。</p> <p>雖然在Citrix首度發布資安公告之後，已有數家資安業者、資安研究團隊關注該漏洞的後續態勢，但真正開始有企業組織證實受害，並引起另一波關注，與中國工商銀行的美國子公司工銀金融（ICBCFS）有關，因為他們在1個月後遭遇勒索軟體攻擊的事故。</p> <p>根據iThome所整理的資安新聞，總共有10篇與Citrix Bleed相關，但當中有超過三分之二的報導，是在工銀金融遇害之後出現。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>因金融業者服務中斷而引起關注</strong></span></span></p> <p>針對工銀金融發生的資安事故，當時先是由證券業暨金融市場協會（SIFMA）傳出該公司遭到勒索軟體攻擊，導致工銀金融無法結算投資人的美國國債交易，部分股票交易也受影響。</p> <p>這樣的情況引起全球關注，隨後工銀金融也證實確有此事，他們遭遇勒索軟體攻擊，導致部分服務面臨中斷，但對於受到攻擊的系統，以及攻擊者如何入侵，該公司並未透露進一步的訊息。</p> <p>值得留意的是，根據彭博社、路透社等美國當地的媒體報導，攻擊者的身分就是勒索軟體集團LockBit。而對於這起事故發生的原因，資安專家Kevin Beaumont透露，駭客很可能是針對該公司的Citrix Netscaler系統下手，利用Citrix Bleed漏洞入侵網路環境，此伺服器在數日前就處於離線狀態。</p> <p class="rtecenter"><strong><a href="https://s4.itho.me/sites/default/files/files/%E5%9C%961-0_ELOOpczXQzUBMC8M_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Kevin%20Beaumont.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-0_ELOOpczXQzUBMC8M_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Kevin%20Beaumont.jpg" style="width: 284px;" /></a></strong></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 16px;"><strong>資安專家Kevin Beaumont指出，勒索軟體組織LockBit能夠入侵工銀金融（ICBCFS），並且癱瘓部分系統運作，箇中關鍵，就是利用尚未修補CVE-2023-4966的Citrix NetScaler Gateway，而能夠得逞。</strong>（圖片來源／Kevin Beaumont）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>勒索軟體駭客早已利用相同漏洞，入侵其他大型組織</strong></span></span></p> <p>然而，工銀金融並非唯一因為沒有修補Citrix Bleed而被LockBit入侵的組織。根據這位研究人員的調查，物流業者杜拜環球港務（DP World）、安理國際律師事務所（Allen & Overy）、波音等至少10家大型企業，都是受害者。</p> <p>這些攻擊行動如何進行？研究人員指出駭客組織有分工，前期的人員利用Citrix Bleed入侵目標企業，並部署遠端管理工具，以便後續接手的攻擊者能持續存取網路環境，而這一組人員會再利用各種手法提升權限，擺脫EDR系統控制、竊取資料，最終部署勒索軟體將檔案加密。</p> <p>值得留意的是，LockBit並非唯一利用Citrix Bleed的駭客組織。在2023年11月16日，勒索軟體駭客組織Medusa聲稱，他們入侵汽車大廠豐田（Toyota）旗下的金融服務公司Toyota Financial Services（TFS），若想要下載取回駭客竊得的資料，或是要求駭客刪除檔案，他們開出800萬美元的價碼。</p> <p>而對於駭客入侵的管道，資安專家Kevin Beaumont指出，該公司德國辦事處的NetScaler Gateway，自8月底之後就再也沒有更新，曝露Citrix Bleed而釀禍。這樣的情況，也與Mandiant發現至少有4組人馬從事漏洞利用攻擊的觀察，可說是不謀而合。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162068
【回顧2023十大資安漏洞｜No.3：CVE-2023-38831】WinRAR漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-WinRAR-600-PNG.png" style="width: 600px;" /></p> <p>本次上榜漏洞中，有一項非出現在企業的IT應用系統或設備，而是廣泛使用的壓縮軟體WinRAR，這項漏洞就是CVE-2023-38831。</p> <p><a href="https://www.group-ib.com/blog/cve-2023-38831-winrar-zero-day/" target="_blank">揭露這件事的資安業者是Group-IB</a>，他們在2023年7月初調查惡意軟體DarkMe散布過程當中，發現駭客運用過往未曾揭露的漏洞，這群歹徒在地下論壇號稱，藉由特製的ZIP壓縮檔，能為買家散布指定的惡意程式。經過研究人員的進一步調查，發現駭客在4月就開始利用這項漏洞。</p> <p>經過驗證，研究人員確認漏洞發生在WinRAR存取ZIP檔的過程，並且通報至此軟體的開發廠商Rarlab，該公司於7月20日發布測試版<a href="https://www.win-rar.com/singlenewsview.html?&L=0&cHash=c5bf79590657e32554c6683296a8e8aa&tx_ttnews%5Btt_news%5D=232" target="_blank">WinRAR 6.23</a>修補，正式版軟體於8月2日推出，23日Group-IB公布漏洞細節。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/WinRAR%206_23%20final%20released.png" style="width: 600px;" /></p> <p>究竟這個漏洞造成多大危害，目前仍不得而知，但自2023年8月下旬公布後，與俄羅斯、中國、巴基斯坦有關的多個國家級駭客組織，皆傳出將其用於發動網路釣魚攻擊行動的情況。</p> <p>根據iThome的2023年資安新聞報導，總共有多達11篇文章與這項漏洞有關，數量僅次於MOVEit Transfer漏洞CVE-2023-34362。</p> <p>雖然這項漏洞僅被列為高風險層級，CVSS風險評分為7.8，但考量到WinRAR在全球有超過5億用戶，加上該漏洞又相當容易利用，雪上加霜的是，WinRAR本身並未內建自動更新機制，如果使用者未留意軟體改版資訊，很有可能因為持續使用存在漏洞的舊版軟體，而在不知不覺之間，成為駭客寄生攻擊（LOLBin）利用對象，因此，我們將其列為年度第3大漏洞。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞發現源於駭客作案工具的地下交易</strong></span></span></p> <p>這項漏洞之所以發現，源於研究人員在監控駭客論壇時，看到出售未知漏洞利用工具的情況。</p> <p>資安業者Group-IB在調查惡意軟體DarkMe的過程當中，發現駭客自今年4月開始，製作惡意的ZIP、RAR壓縮檔，並在網路犯罪交易論壇上兜售。</p> <p>這些壓縮檔內有看似無害的JPG圖檔，或PDF、TXT文檔，一旦有人以WinRAR開啟，攻擊者會藉由CVE-2023-38831執行指令碼，於電腦部署惡意軟體DarkMe、GuLoader，以及Remcos RAT。</p> <p>研究人員看到駭客利用上述手法，在加密貨幣論壇、股票交易論壇發動攻擊，聲稱分享投資策略，至少8個論壇出現相關討論，130個投資人的電腦遭惡意程式感染，但實際受害人數與損失金額不明。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-CVE-2023-38831_9-4_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Group-IB.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 16px;"><strong>資安業者Group-IB指出，攻擊者製作能利用CVE-2023-38831的ZIP壓縮檔，一旦使用者透過WinRAR開啟，並直接開啟壓縮檔裡的圖檔就有可能中招，電腦會觸發漏洞，執行惡意指令碼。</strong>（圖片來源／Group-IB）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>國家級駭客組織加入漏洞利用行列</strong></span></span></p> <p>事隔2個月，開始有研究人員發現，國家級駭客也將這項漏洞納入攻擊流程。</p> <p>資安業者DuskRise指出，俄羅斯駭客駭客假借提供入侵指標的相關資料為誘餌，利用這項漏洞發動攻擊。</p> <p>接著，Google旗下的威脅情報小組（TAG）揭露更多發現，因為他們偵測到俄羅斯駭客組織Sandworm、APT28，以及中國駭客組織APT40的攻擊行動。</p> <p>Sandworm於9月初假借烏克蘭無人機軍事訓練招生的名義寄送釣魚郵件，散布竊資軟體Rhadamanthys，收集瀏覽器帳密及連線階段資訊；APT28則是針對烏克蘭政府官員下手，假冒智庫發送釣魚信，攻擊該國能源基礎設施，引誘下載惡意壓縮檔，於受害電腦植入PowerShell指令碼Ironjaw；而對於APT40的漏洞攻擊行動，該組織針對巴布亞紐幾內亞的民眾散布釣魚郵件，信件內容包含Dropbox下載連結，若依裡面的指示開啟網址，會取得含有上述漏洞的ZIP壓縮檔，有可能導致電腦被感染後門程式Boxrat。</p> <p>資安業者Seqrite揭露巴基斯坦駭客組織SideCopy的攻擊行動，這些駭客鎖定印度，積極利用CVE-2023-38831，散布AllaKore RAT、DRat等惡意軟體。</p> <p>後來，烏克蘭也對俄羅斯駭客APT29的攻擊行動提出警告，指出在11月的攻擊行動裡，對方統合原本手法及新技術，濫用應用程式交付平臺Ngrok提供的免費靜態網域功能，架設C2伺服器，然後他們也在惡意壓縮檔運用WinRAR漏洞。</p> <p>微軟、IBM不約而同在12月初，針對APT28的攻擊行動提出警告。</p> <p>微軟指出，對方鎖定美國、歐洲、中東的政府機關、運輸業，以及非政府組織，企圖用多種資安漏洞發動攻擊，存取Exchange伺服器上的電子郵件信箱帳號，其中一個被利用的漏洞就是CVE-2023-38831。</p> <p>IBM威脅情報團隊X-Force表示，APT28使用以巴衝突作為誘餌，假借國際組織名義對13個國家從事網釣攻擊，其中有部分駭客利用了這項漏洞。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162069
【回顧2023十大資安漏洞｜No.4：CVE-2023-44487】HTTP/2通訊協定漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-HTTP2-600-PNG.png" style="width: 600px;" /></p> <p>接下來我們選出的第4名漏洞也相當特別，因為此漏洞並非存在特定的應用系統，而是在通訊協定上，這項漏洞就是HTTP/2協定的高風險漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-44487" target="_blank">CVE-2023-44487</a>，CVSS風險評分為7.5。</p> <p>從iThome相關報導的數量來看並不多，僅有去年10月雲端服務業者共同揭露因該漏洞遭遇DDoS攻擊的消息，但在DDoS攻擊的資安事故而言，這樣的情況很罕見。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>針對通訊協定的零時差漏洞攻擊</strong></span></span></p> <p>首先，這類攻擊行動的揭露，通常範圍是局限於其中一家業者處理的事故，而且他們多半會特別強調流量的規模，就算是提及攻擊手法，也往往與駭客用於產生流量的設備有關。</p> <p>此次卻是由AWS、Cloudflare、Google這三大雲端服務業者聯手公布，並將他們遭遇攻擊的原因，指向上述的通訊協定漏洞，並為利用該漏洞的攻擊手法命名為「HTTP/2 Rapid Reset」。</p> <p>關於這次攻擊手法，對方主要是濫用HTTP/2通訊協定的特定功能。</p> <p>此功能目前被大家稱為「串流取消（Stream Cancellation）」，或是稱為「多工串流（Stream Multiplexing）」。</p> <p>駭客不斷發送請求並隨即予以取消，從而導致採用HTTP/2通訊協定的網頁伺服器或是應用程式服務遭到癱瘓。</p> <p>研究人員指出，本次駭客發動攻擊的成本，較過往傳統的DDoS攻擊相對低廉許多。</p> <p>對方利用這項漏洞發動的巨大流量DDoS攻擊，所運用的殭屍網路規模僅約2萬臺電腦，遠低於其他攻擊行動。過往的巨量DDoS攻擊，常會動用到數十萬、數百萬臺電腦。</p> <p>由於HTTP通訊協定是全球網路資料通訊的基礎，最新版是2022年6月頒布的HTTP/3。但根據Cloudflare去年4月的統計，2015年推出的HTTP/2採用率超過60%，是目前最普及的HTTP協定版本，HTTP/3則接近30%。</p> <p>對此，許多採用HTTP/2的服務或產品，開發商都已著手修補。</p> <p>例如，微軟公布了針對該漏洞的應對措施，指出這波的DDoS攻擊主要鎖定網路第7層（L7），而非L3或L4，因此，該公司強化對於L7的保護，同時也修補所有受到影響的服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-2023_worlds_largest_rapid_reset_diagram_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 16px;"><strong>Google針對HTTP/2 Rapid Reset通訊協定漏洞提出說明，並列出一份比較圖表指出問題成因。相較於一般的DDoS攻擊，利用該漏洞，攻擊者發出大量請求並隨即取消，從而突破用戶端原先必須等待伺服器回應的限制。</strong>（圖片來源／Google）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>三家大型雲端業者公布受害的規模</strong></span></span></p> <p>究竟這樣的漏洞，引發了什麼程度的攻擊呢？</p> <p>AWS指出，他們從8月28日至29日，發現CDN服務CloudFront出現不尋常的流量，並達到每秒發出1.55億次請求（RPS）的高峰，光是在這兩天，他們就緩解十多次HTTP/2 Rapid Reset攻擊事件。</p> <p>接著，該公司也在整個9月，看到這類攻擊手法不斷出現。</p> <p>另一家雲端服務業者Cloudflare，則是從8月25日開始，觀察到部分客戶遭遇HTTP/2 Rapid Reset攻擊，其高峰達到每秒2.01億次請求。</p> <p>這樣的情況，遠超過2023年2月他們公布的DDoS事故，當時該公司攔截每秒7,100萬次請求，僅約為這次事故的三分之一。</p> <p>從8月底到10月上旬，該公司共緩解1,100起每秒1千萬次請求的事故，其中有184起超越2月公布的規模。</p> <p>第三家公布此事的Google Cloud則表示，他們在8月遭遇每秒3.98億次請求的DDoS攻擊行動，相較於2022年8月公布每秒4,600萬次請求，一年後的事故規模爆增至7.5倍。</p> <p>究竟這樣的天文數字，代表的又是什麼樣的規模？</p> <p>該公司指出，他們遭遇HTTP/2 Rapid Reset攻擊的時間約為2分鐘，所有收到的請求數量，比2023年9月所有存取維基百科的請求次數還要多。</p> <p>值得留意的是，雖然上述業者皆緩解提及的DDoS攻擊，但Cloudflare指出，由於這波攻擊結合殭屍網路與HTTP/2漏洞，導致攻擊請求以前所未有的速度放大，他們的網路系統面臨間歇性的不穩定，部分元件過載，波及少數客戶的效能。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162071
【回顧2023十大資安漏洞｜No.5：CVE-2023-0669】GoAnywhere漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-GoAnywhere-600-PNG.png" style="width: 600px;" /></p> <p>在去年勒索軟體駭客組織Clop利用的零時差漏洞當中，最受到關注的是MFT檔案傳輸系統MOVEit Transfer、MOVEit Cloud的漏洞CVE-2023-34362，但還有另一款MFT系統的漏洞也相當值得留意，那就是存在於<a href="https://www.fortra.com/blog/summary-investigation-related-cve-2023-0669" target="_blank">GoAnywhere的CVE-2023-0669</a>。</p> <p>這項漏洞引起關注的地方，在於其資訊公開的過程。由於系統開發商Fortra只對用戶發布公告，內容必須擁有相關帳號才能檢視，這項消息公開於社會大眾，最早是透過資安新聞記者Brian Krebs的揭露。</p> <p>隨後這則警訊引起資安界的關注，多名研究人員根據Brian Krebs揭露的資訊，進一步分析漏洞的細節，並公開概念性驗證（PoC）程式碼，Fortra在數日後，發布新版GoAnywhere予以修補。</p> <p>事隔兩週，Clop聲稱利用這項漏洞，攻擊超過130個企業、組織，隨後也有受害組織出面證實資料遭竊。後來Fortra也公布調查結果，表示攻擊者可能在他們通知用戶2週前，就開始將這項漏洞用於攻擊行動。</p> <p>從iThome的相關報導數量來看，總共有9則，這個數量僅次於排行前三名的漏洞CVE-2023-34362、CVE-2023-4966（Citrix Bleed）、CVE-2023-38831，再加上駭客聲稱犯案後，陸續有企業組織證實受害，因此，我們決定將這項漏洞列為第5。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-aZvJJ8j7qI_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Fortra.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 16px;"><strong>資安業者Fortra於去年4月17日公布零時差漏洞CVE-2023-0669事件發生的經過，並指出駭客將其用於攻擊GoAnywhere系統，最早可追溯到3個月前。</strong>（圖片來源／Fortra）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞警訊的公開，竟源自新聞記者的揭露</strong></span></span></p> <p>這項漏洞的公開，源於2月2日資安新聞記者Brian Krebs發出的警告，指出GoAnywhere存在零時差漏洞，可被用於RCE注入攻擊，並張貼資安業者Fortra於2月1日對用戶發出的公告。</p> <p>該公告指出，攻擊者若要利用該漏洞，必須存取此應用程式的管理主控臺，若是組織將該主控臺曝露於網際網路，就有可能成為攻擊目標，呼籲IT人員可尋求客服團隊協助，來採取合適的存取控制措施。</p> <p>然而，該公司並未在網站發布相關公告，也沒有在前述說明提及更多漏洞的細節，也並未提及緩解措施。</p> <p>2月6日，資安顧問公司Code White的研究人員公布此漏洞的細節，以及概念性驗證攻擊程式碼。</p> <p>研究人員提出警告，該漏洞可讓攻擊者在尚未採取緩解措施的GoAnywhere系統上，在不需通過身分驗證的情況下，就能遠端執行任意程式碼。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>引發大規模資料竊取攻擊</strong></span></span></p> <p>事隔不到2週，便傳出Clop將其用於發動大規模攻擊的情況，他們號稱入侵超過130個組織，並在進入受害組織的網路環境後，竊取GoAnywhere伺服器上的資料。</p> <p>隨後就有組織向主管機關通報資安事故，證實遭到相關攻擊。根據資安新聞網站DataBreaches.net報導，美國田納西州醫療集團Community Health Systems（CHS）於2月13日向該國證交所發出通報，指出他們接獲Fortra的通知後著手調查，初估有100萬人的病歷資料或是個資，因GoAnywhere伺服器遭到入侵而可能會受到影響。</p> <p>接著，金融科技（Fintech）業者Hatch Bank、日立能源（Hitachi Energy）表示，他們的客戶或是員工的資料，因GoAnywhere遭到攻擊而外流。</p> <p>3月23日資安專家Dominic Alvieri發現，Clop公布了新一波的受害名單，當時累計已有72家企業組織被公布，包括加拿大多倫多市政府、維珍（Virgin）集團、P&G、礦業公司力拓（Rio Tinto）、金融機構Axis Bank等，有部分已證實資料遭到外洩的情況。</p> <p>到了4月17日，Fortra公布事件調查結果，他們起初在1月30日，發現部分雲端代管的GoAnywhere系統有異，該公司尋求資安業者Palo Alto Networks協助，著手調查得知駭客利用該漏洞建立使用者帳號，並下載檔案，且於受害系統部署Netcat和Errors.jsp，疑似用來建立後門、掃描連結埠、傳輸檔案。</p> <p>後來，他們發現部分本地建置的GoAnywhere也遭遇漏洞攻擊，時間可追溯到1月18日。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162072
【回顧2023十大資安漏洞｜No.6：CVE-2023-37580】Zimbra郵件伺服器漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Zimbra-600-PNG-V3.png" style="width: 600px;" /></p> <p>我們選出的2023年第6大資安漏洞，是存在於開放原始碼的電子郵件系統Zimbra，可能有不少人覺得對這套軟體感到很陌生，但過去2年，Zimbra因為資安新聞而出現在iThome的情況越來越頻繁，基於這樣的現象，也顯示已經有部分駭客正在鎖定這類系統而來。</p> <p>其中，又以跨網站指令碼（XSS）漏洞CVE-2023-37580相當值得注意，雖然該漏洞僅被評為中度風險，CVSS風險評分只有6.1，而且，在iThome的資安新聞相關報導當中，數量並不算多，內容主要是Zimbra發布資安漏洞的緩解措施，以及後續Google揭露相關攻擊行動的調查結果。</p> <p>但特別的是，有部分駭客在漏洞被通報後，在開發者提交修補程式碼，到正式發布更新軟體的空窗期，將這些資安情報用於發動攻擊，導致後果可能相當嚴重。</p> <p>電子郵件系統的漏洞向來是駭客偏好下手的目標，因為一旦成功，就有機會竊取伺服器存放的電子郵件內容，從而搜括企業與組織的機密資料，或是挾持高階主管的帳號、用於其他的網路攻擊行動，例如，進行商業郵件詐騙（BEC）。</p> <p>值得留意的是，最近幾年攻擊者偏好的標的，從微軟Exchange伺服器為主的情況，開始有駭客轉向開源的郵件伺服器與協作系統Zimbra，以及另一套名為Roundcube的郵件伺服器。</p> <p>其中，又以Zimbra的漏洞濫用活動較為頻繁，而且甚至出現攻擊者串連其他已知漏洞的現象。</p> <p>而在Google的研究人員公布的4起攻擊行動裡，駭客不約而同對政府機關下手，而有可能帶來嚴重的後果，其危害的程度不容小覷。</p> <p>雖然CVE-2023-37580僅被評為中度風險，但是，考量這項漏洞存在於電子郵件系統當中，並且已經出現實際的網路攻擊行動，再加上，此軟體具有開放原始碼特性，能滿足政府機關特定的稽核需求，因此，目前有許多公務機關採用。</p> <p>因此，即使漏洞本身的CVSS分數並不高，我們還是決定列於第6名的位置。</p> <p>而該漏洞也是本次入選的2023年十大資安漏洞當中，CVSS分數最低的漏洞，也是唯一嚴重等級被評為中度風險的資安漏洞。</p> <p>這也反映部分研究人員經年累月的呼籲，IT人員千萬別把CVSS分數當做評估修補順序的唯一指標，因為像是這種危險程度不高的漏洞，很有可能被IT人員延後安排修補，而讓攻擊者有更多時間能夠利用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞揭露源自於研究人員發出的警告，但當時尚未有修補程式</strong></span></span></p> <p>7月13日，Google威脅情報小組研究人員針對電子郵件系統Zimbra提出警告，他們發現已被用於攻擊行動的零時差漏洞，該漏洞與跨網站指令碼有關，當時Zimbra提出緩解措施，並呼籲IT人員儘速手動套用。</p> <p>到了26日，<a href="https://wiki.zimbra.com/wiki/Zimbra_Releases/8.8.15/P41" target="_blank">Zimbra發布8.8.15 Patch 41</a>、9.0.0 Patch 34、10.0.2版修補上述漏洞，並指出該漏洞已被登記為CVE-2023-38750列管。</p> <p>而對於該漏洞的影響，Zimbra指出，如果不處理，將會導致內部JSP與XML檔案曝露。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>攻擊者疑似監控程式碼儲存庫，而能在更新程式推出前利用漏洞</strong></span></span></p> <p>事隔4個月、將近半年之後，Google也公布他們追蹤此項漏洞攻擊行動的結果。</p> <p>研究人員發現，自6月底開始有人將其用於攻擊行動，截至目前為止至少有4起，這些攻擊行動分別針對希臘、摩爾多瓦和突尼斯、越南、巴基斯坦而來，值得留意的是，其中有3起事故，是在修補程式推出之前就發生的。</p> <p>最早利用這項資安漏洞的攻擊行動，是針對希臘政府機關而來，對方向目標發送電子郵件，當中包含能觸發漏洞的URL網址，一旦目標人士維持登入Zimbra的狀態點選，就會啟動攻擊者的惡意框架，並且透過跨網站指令碼竊取電子郵件的資料，設定自動轉寄規則，之後能將這些郵件快速傳送至駭客的電子郵件信箱。</p> <p>第2起事故發生的時間點，則是在有人提供修補程式碼之後出現。Google向Zimbra開發團隊通報漏洞，7月5日有開發人員將修補程式碼上傳至GitHub，但11日傳出駭客針對摩爾多瓦和突尼斯政府機關的情況。</p> <p>而關於攻擊者的身分與來歷，其實，就是擅於針對Zimbra及Roundcube下手的駭客組織Winter Vivern，這是唯一研究人員公布攻擊者身分的事故。</p> <p>在25日Zimbra公開發布修補程式的前夕，研究人員看到另一起攻擊行動，這次的目標是越南政府機關，對方利用URL觸發漏洞，並將目標人士導向指令碼檔案，此檔案顯示能竊取電子郵件帳號的釣魚網頁，並將帳密傳送到攻擊者已入侵的另一個政府網域。</p> <p>最後一起則是發生在修補程式推出之後，遭到鎖定的目標是巴基斯坦政府，攻擊者利用漏洞竊取Zimbra的身分驗證Token，並傳送到特定的網域。</p> <p>研究人員指出，這些攻擊的不斷出現，突顯駭客不斷監控開放原始碼軟體專案的情況，因為在開發人員於GitHub推送修補程式、尚未向使用者正式提供這些軟體之前，就有人用於發起第2起漏洞攻擊行動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-EXPLOIT_TIMELINE_FOR_TAG-01_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Google.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:16px;"><strong>研究人員公布零時差漏洞發現的過程、Zimbra維護團隊處理的經過，以及4起攻擊行動發生的時間點，其中比較特別的是，在維護人員提交修補程式碼到新版軟體推出之前，有2組人馬將其用於攻擊政府機關。</strong>（圖片來源／Google）</span></span></p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162073
【回顧2023十大資安漏洞｜No.7：CVE-2023-28771】兆勤防火牆/VPN漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Zyxel-600-PNG.png" style="width: 600px;" /></p> <p>關於2023年度的第7大資安漏洞，我們認為是CVE-2023-28771，這項漏洞發生在兆勤（Zyxel）防火牆與VPN設備，不只被攻擊者用於散布殭屍網路病毒，也傳出能源關鍵基礎設施受害的情況。</p> <p>由於防火牆是防護內部網路環境、重要設備的主要防線，這類系統遭到鎖定的情況也相當常見，駭客更是無所不用其極利用這類設備的漏洞，企圖對其進行控制，或是突破防禦進入內部環境。</p> <p>而這項漏洞的突出之處在於，產品供應商將弱點資訊公布後，這項漏洞不僅隨即被用於攻擊，甚至後續攻擊者也串連該公司先前修補的另外兩個漏洞，增加利用CVE-2023-28771破壞威力。</p> <p>另一方面，由於這項漏洞在公布之後，也出現針對關鍵基礎設施發動攻擊的情況，而可能導致社會動盪，使該漏洞影響趨於廣泛。丹麥關鍵基礎設施電腦緊急應變小組（SektorCERT）指出，有超過20家丹麥能源關鍵基礎設施遭遇漏洞攻擊，究竟有多少駭客組織參與，目前仍不得而知。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞公開後傳出被用於攻擊行動</strong></span></span></p> <p><a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-remote-command-injection-vulnerability-of-firewalls" target="_blank">兆勤科技於4月底修補CVE-2023-28771</a>，CVSS風險評分為9.8。5月底研究人員提出警告，駭客針對兆勤修補的上述防火牆重大漏洞，發動大規模攻擊，如今態勢變得更加嚴重。</p> <p>5月下旬資安業者Rapid7提出警告，他們透過物聯網搜尋引擎Shodan，找到約4.2萬臺未修補的設備暴露在網際網路，而這項數字，並不包含未修補該漏洞且暴露在網際網路的VPN設備，因此實際可能成為攻擊目標的數量遠大於此。</p> <p>研究人員指出，這項漏洞存在網際網路金鑰交換（IKE）封包解密工具，此為Zyxel提供IPSec VPN服務的重要元件，即使IT人員並未啟用VPN功能也會曝險。研究人員指出，雖然截至2023年5月19日為止，尚未發現攻擊行動，但因為有大量設備存在上述漏洞，他們認為駭客很快就會對其下手。</p> <p>兆勤於6月2日發布資安通告指出，駭客不只利用CVE-2023-28771，5月底修補的兩個重大漏洞：CVE-2023-33009、CVE-2023-33010，也出現遭到利用的現象，該公司呼籲用戶儘速套用最新版本韌體，或暫時停用WAN連接埠的HTTP及HTTPS服務，以因應這樣的風險。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>多個關鍵基礎設施業者也因此遭遇攻擊</strong></span></span></p> <p>但值得留意的是，後續有更明確的資安事故傳出。</p> <p>先是資安業者Fortinet揭露Mirai殭屍網路變種Dark.IoT最新一波的攻擊行動，他們在今年6月看到鎖定兆勤科技防火牆及VPN設備而來的情況，攻擊者利用CVE-2023-28771來入侵目標系統，並使用curl或wget來下載指令碼並執行，以便下載專為MIPS架構打造的攻擊工具，最終目的是散播殭屍網路病毒Dark.IoT、綁架資安設備、將它們用於DDoS攻擊。</p> <p>而這項漏洞的危害範圍，甚至傳出擴及關鍵基礎設施的情況。</p> <p>對此，丹麥關鍵基礎設施電腦緊急應變小組揭露發生於今年5月的攻擊行動，當時，駭客利用兆勤科技防火牆重大漏洞CVE-2023-28771，取得22家當地經營能源關鍵基礎設施業者的存取權限，其中有11家隨即遭到入侵，攻擊者控制防火牆設備，進而存取該設備保護的關鍵基礎設施，執行惡意程式碼，回傳防火牆配置的詳細資料，此舉可能是進行偵察，以便決定下一步執行的攻擊手法。</p> <p>這起大規模攻擊從5月11日開始，間隔10天後於22日再度進行，SektorCERT得知其中成員透過不安全的連線，下載新版防火牆軟體。而關於攻擊者的身分，SektorCERT根據受害業者的網路流量，指出俄羅斯駭客組織Sandworm可能參與其中，但究竟有多少駭客組織參與攻擊行動？目前仍不明朗。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162074
【回顧2023十大資安漏洞｜No.8：CVE-2023-35078】Ivanti行動裝置管理平臺漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Ivanti-600-PNG.png" style="width: 600px;" /></p> <p>在2023年公布的零時差漏洞當中，有些往往是因為資安研究人員在調查事故的過程，意外發現駭客運用未曾揭露的手法，從而發現未被列管的漏洞，通報軟體業者進行修補。</p> <p>然而，裡面有個重大漏洞很特別，廠商雖然著手進行修補，卻並未公開，也沒透露已經被用於攻擊行動，直到研究人員公布廠商的文件，以及受害組織出面，才引起各界的關注。</p> <p>而這個產生公開揭露爭議的資安漏洞，就是存在Ivanti行動裝置管理平臺Endpoint Manager Mobile（EPMM，原名MobileIron Core）的危急漏洞：<a href="https://forums.ivanti.com/s/article/CVE-2023-35078-Remote-unauthenticated-API-access-vulnerability?language=en_US" target="_blank">CVE-2023-35078</a>，CVSS風險評為10分。</p> <p>身為受害者的挪威政府，表明他們因為CVE-2023-35078漏洞的關係，所以，導致12個機關使用的系統平臺遭到駭客入侵。</p> <p>恰巧在當局公布此事的同一天，Ivanti私下針對客戶提供修補程式及說明，且表示已有部分客戶遭到漏洞利用攻擊，當時，該公司並未直接對外界公開說明此事。</p> <p>值得留意的是，有許多國家的政府機關也採用EPMM，而使得這樣的漏洞影響範圍可能相當廣泛。</p> <p>然而，身為資安業者，當時Ivanti不僅不願公開漏洞資訊，甚至傳出有客戶詢問細節、卻被要求簽下保密協定（NDA）的情況，因而引起資安研究人員的撻伐。</p> <p>外界更是直到研究人員轉發看到的漏洞資訊，以及挪威政府證實遭駭的情況，才得知這項漏洞帶來的危險。</p> <p>基於這項漏洞引起的資安事故相當嚴重，且受害組織是政府機關，我們決定將其列入2023年的十大漏洞，不過因為後續並未傳出其他災情，所以，相較於其他影響範圍較為廣泛的漏洞，還是給予較為後面的排名。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞的揭露源於挪威政府的公告</strong></span></span></p> <p>這漏洞引起關注的原因，在於7月24日挪威安全與服務組織（DSS）證實，駭客利用第三方軟體的零時差漏洞發動攻擊，導致12個挪威政府機關採用的ICT平臺遭到入侵，DSS察覺攻擊行動之後，通報挪威國家安全局（NSM），接著該國警方著手調查。</p> <p>挪威資料保護局也被通報，得知駭客可能從ICT系統竊得敏感資料，12個部門員工無法用DSS行動應用程式辦公，這些人員若能透過電腦存取相關服務，則不受此狀況影響。</p> <p>而對於前述的零時差漏洞，挪威國家安全局透露是CVE-2023-35078，該漏洞存在於行動裝置管理平臺EPMM。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>事隔數日，另一個被同時利用的零時差漏洞公布</strong></span></span></p> <p>Ivanti於7月28日發布EPMM更新軟體，當中修補另一項漏洞<a href="https://forums.ivanti.com/s/article/CVE-2023-35081-Arbitrary-File-Write?language=en_US" target="_blank">CVE-2023-35081</a>，CVSS風險評為7.2分。此為路徑穿越漏洞，通過身分驗證的管理員能用來對EPMM伺服器寫入任意檔案。</p> <p>值得留意的是，該公司提及這項漏洞能與CVE-2023-35078搭配使用，進一步繞過管理員的身分驗證程序，以及存取控制列表（ACL）的管制。</p> <p>一旦成功同時利用上述2項漏洞，攻擊者就能對EPMM的實體寫入惡意檔案，進而透過名為tomcat的使用者來執行作業系統層級的命令。</p> <p>該公司透露，遭受CVE-2023-35078漏洞攻擊的客戶，攻擊者也同樣利用了CVE-2023-35081對其下手。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162075
【回顧2023十大資安漏洞｜No.9：CVE-2023-20198】思科IOS XE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Cisco-600-PNG.png" style="width: 600px;" /></p> <p>論及漏洞嚴重度，CVSS風險達到滿分（10分）的狀況並不常見，其中有一個在2023年10月公布的<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z" target="_blank">CVE-2023-20198</a>，具備極為容易利用的特性，導致該漏洞被公布之後，隨之而來的嘗試利用攻擊行動大幅增加，因而引起許多資安研究人員的關注。</p> <p>這項漏洞存在於思科網路設備作業系統IOS XE，使得執行這套作業系統的邊緣設備、聚合服務路由器、整合服務路由器等設備，都可能受到影響。</p> <p>但為何我們將CVE-2023-20198列為2023年度第9大漏洞？主要原因在於：該漏洞引發的攻擊行動過程相當離奇。首先，思科在著手調查之後，又發現第2個也被用於攻擊的零時差漏洞，後續駭客更替換植入這些設備的惡意程式，導致研究人員的偵測產生意外變化，因為受害設備的數量突然減少。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>思科發出自動派送修補程式的公告，揭露漏洞濫用活動</strong></span></span></p> <p>10月16日思科揭露網路設備作業系統IOS XE的重大漏洞CVE-2023-20198，影響啟用網頁介面（Web UI）及HTTP（或HTTPS）伺服器功能的網路設備，攻擊者若是成功利用該漏洞，就有機會在網路設備建立權限等級15的帳號，進而掌控整個系統，後續執行其他未經授權的惡意行動，因此，此漏洞的CVSS風險評為10分滿分。</p> <p>值得留意的是，當時思科並未提供修補程式，而是呼籲IT人員立即停用HTTP（及HTTPS）伺服器功能，阻斷駭客入侵的管道。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>恐有14萬臺設備曝險</strong></span></span></p> <p>在漏洞揭露的隔日，研究人員陸露揭露受害情形。漏洞情報業者VulnCheck提出警告，他們發現數千個遭到感染的IOS XE網頁介面，該公司亦提供檢測工具，讓網管人員能檢查設備是否遭到入侵。研究人員掃描了從物聯網搜尋引擎Shodan及Censys列出的半數裝置，約有1萬臺受到感染，但實際數量可能更多。</p> <p>另一家資安業者Aves Netsec研究人員指出，約有14萬臺思科裝置可能因此曝險。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>推翻原本的攻擊鏈，公布新的零時差漏洞</strong></span></span></p> <p>原本思科認為，攻擊者將上述漏洞串連另一個已知漏洞CVE-2021-1435，數日後他們推翻這樣的說法。</p> <p>10月20日該公司公布另一個零時差漏洞CVE-2023-20273，此漏洞也存在IOS XE網頁介面，屬於命令注入類型的漏洞，CVSS風險評分為7.2。</p> <p>一旦攻擊者成功利用，就有機會控制整個系統，並透過最高權限將惡意程式寫入。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>受害主機出現急速減少的怪異現象</strong></span></span></p> <p>在思科公布2個已被用於攻擊的零時差漏洞，研究人員陸續公布受害情形，但後續再度出現新的變化引起關注。</p> <p>根據10月22日資安新聞網站Bleeping Computer報導，有許多研究人員發現，感染後門程式的思科設備數量呈現不合理的劇烈減少現象，10月21日達到6萬臺的高峰，隔天卻突然降到只剩1,200臺。對此，有研究人員推測，可能是攻擊者更新後門程式造成。</p> <p>到了23日，資安業者Fox-IT證實了這個假設。他們表示，上述現象是因為駭客在受害裝置部署新版後門程式，數萬臺設備的後門程式已被更換，而這些後門程式會在回應前檢查HTTP標頭。</p> <p>研究人員指出，由於檢測舊版後門程式的方法未採用這種HTTP標頭，使得新後門程式不予回應，進而導致這些受害設備被誤判，連帶使得檢測系統以為惡意程式已完全清除。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162076
【回顧2023十大資安漏洞｜No.10：CVE-2023-2868】Barracuda郵件安全閘道設備漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2-Barracuda-600-PNG.png" style="width: 600px;" /></p> <p>論及2023年重大漏洞資安事故，在5月下旬，資安廠商Barracuda Networks公布的郵件安全閘道（ESG）漏洞<a href="https://www.barracuda.com/company/legal/esg-vulnerability" target="_blank">CVE-2023-2868</a>，引發一些風波，因此，許多國外媒體都會列入年度資安事故，而且，後續漏洞處理作法很特別，因為，廠商最終竟透過更換設備的方式來緩解攻擊行動，這種做法前所未見。</p> <p>考量到此郵件安全閘道系統並未在臺灣市場受到廣泛採用，因此我們將其列為2023年第10大漏洞。不過究竟該漏洞攻擊行動受害範圍有多大？目前仍然沒有研究人員或主管機關透露相關資訊。</p> <p>身為資安業者，旗下產品卻出現如此嚴重的問題，而且該裝置又是負責為企業過濾郵件的重要環節，一旦遭到控制，很有可能無法發揮應有的功能，尤其現在有許多的資安事故當中，攻擊者往往透過郵件來接觸目標，若是這類系統失去把關的作用，惡意郵件就會直接送到使用者信箱，而可能造成危害。</p> <p>另一方面，有別於其他廠商處理漏洞的方式，Barracuda竟然是採取更換設備來進行，也突顯該公司可能在產品設計當中存在極為棘手的瑕疵，而無法單純透過軟體更新，或要求IT人員回復原廠設定等常見做法，解決漏洞的危害。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>事件的揭露源自於自動派送修補程式的公告</strong></span></span></p> <p>2023年5月20日、21日，Barracuda修補CVE-2023-2868，該漏洞影響ESG設備，攻擊者可用於遠端注入命令。</p> <p>該公司於30日公布前述的漏洞攻擊細節，當時得知駭客所使用的惡意程式包括Saltwater、Seaspy、Seaside，但他們直到5月18日，才收到相關異常流量的警報，尋求資安業者Mandiant協助，並於19日確認是CVE-2023-2868。當時，該公司主動通知遭到攻擊的用戶。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>漏洞揭露後出現二波攻擊行動</strong></span></span></p> <p>事隔近1個月，協助調查的資安業者Mandiant公布更多細節，指出攻擊者的身分是中國資助的駭客組織UNC4841。</p> <p>但研究人員也提到，Barracuda派送修補程式企圖遏止駭客行動後，對方迅速更換惡意軟體因應，並於5月22日至24日，發動高頻率攻擊，至少有16個國家的組織受害，其中有三分之一是政府機關。</p> <p>這樣的情況，也使得Barracuda採取罕見的手法來因應：要求用戶更換設備。</p> <p>到了8月，Mandiant公布新的調查結果，他們指出駭客為了持續在特定受害組織活動，在6月上旬連帶運用更多惡意程式，包括kipjack、Depthcharge、Foxtrox、Foxglove。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>受害產業橫跨政府機關及高科技產業，臺灣也有組織遇害</strong></span></span></p> <p>而對於這起攻擊的目標，研究人員表示，近三分之一是政府機關、高科技產業及資訊業者、電信業者、製造業，而且，臺灣及香港的貿易辦公室與學術研究機構，以及東南亞國協的外交部，都在受影響的範圍，因為這些單位的網域名稱及使用者，都遭到鎖定，駭客利用Shell指令碼發動攻擊。</p> <p>此外，研究人員也對這起漏洞攻擊的流程，提出更詳細的說明。駭客組織UNC4841於2022年10月至2023年6月，利用CVE-2023-2868發動攻擊，並在11月上旬開始出現顯著升溫的情況，僅有農曆新年略為下降。</p> <p>而到了5月23日Barracuda發布資安通告之後，這類攻擊行動又出現2波。</p> <p><a href="https://www.ithome.com.tw/article/162080" target="_blank"><span style="font-size: 20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1176-feng_mian_gu_shi_p1-open-jun_you_-960x420_kao_bei_0.jpg?itok=mQRJY6rQ" style="width: 550px;" /></span></strong></span></a></p> </div></div></div>
2024/4/3 06:00作者周峻佑https://www.ithome.com.tw/news/162079
【資安日報】4月2日，CISA傳出向美國政府報告Ivanti系統遭到入侵的事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初Ivanti公布一連串Connect Secure、Policy Secure漏洞，再度震撼全球資安界，有研究人員不斷發現相關攻擊行動，但截至目前為止，鮮少企業組織證實遭到相關攻擊，不知該慶幸沒事或擔心有後遺症。</p> <p>直到3月上旬，傳出美國網路安全暨基礎設施安全局（CISA）所屬的Ivanti伺服器遭到入侵，導致其中2個系統被駭，等於證實上述漏洞的確產生衝擊，而在3月底，該機構也向數個政府機關報告此事細節。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://cyberscoop.com/ivanti-linked-breach-of-cisa-potentially-affected-more-than-100000-individuals/"><strong style="font-size: 22px;">CISA的Ivanti伺服器遭駭客入侵，10萬人恐遭到波及</strong></a></p> <p></p> <p>Ivanti自1月上旬至2月初，揭露Connect Secure、Policy Secure多個漏洞，並出現多起漏洞利用攻擊事故，3月上旬傳出美國網路安全暨基礎設施安全局（CISA）遇害，現在又有新的消息出現。</p> <p>根據資安新聞網站CyberScoop的報導，3月29日CISA向主管機關通報資安事故，攻擊者透過Ivanti系統的漏洞，入侵化學資安評估工具（Chemical Security Assessment Tool，CSAT），以及關鍵基礎設施資安資訊工具CISA Gateway，估計有超過10萬人受到影響。</p> <p>CISA執行長Brandon Wales透露，根據他們的調查結果，攻擊者在CSAT部署了Web Shell，導致系統失去控制，所幸CISA Gateway沒受到太大影響，且並未被植入Web Shell。他們在1月11日套用Ivanti的緩解措施，並透過該公司的完整性檢查工具進行檢查，到了26日，他們發現CSAT遭駭，攻擊者已經存取該系統有2天之久。Brandon Wales指出，這些攻擊者能繞過Ivanti的緩解措施，並能迴避完整性檢查工具的偵測。</p> <p><a href="https://www.jamf.com/blog/infostealers-pose-threat-to-macos/"><strong style="font-size: 22px;">駭客鎖定macOS使用者，利用惡意廣告、視訊會議傳播竊資軟體</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/infostealers-jtl-03.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/infostealers-jtl-03.png" style="width: 300px; float: right;" /></a>資安業者Jamf揭露近期鎖定macOS用戶的竊資軟體攻擊，其中一起是假借提供<a href="https://www.ithome.com.tw/node/157945">新興瀏覽器Arc</a>的名義，透過Google廣告將搜尋這款瀏覽器的使用者帶往冒牌網站，一旦使用者依照指示下載、安裝對方提供的DMG檔案，電腦就有可能被植入竊資軟體Atomic Stealer。特別的是，為了迴避偵測，上述的冒牌網站無法直接存取，必須透過攻擊者特製的贊助商連結才能瀏覽。</p> <p>另一起攻擊駭客則是聲稱對加密貨幣感興趣，透過社群網站向目標發送訊息，然後假借錄製播客（Podcast）或是討論求職，要求透過名為Meethub的應用程式進行線上會議，若是macOS用戶照做，他們的電腦就會被植入竊資軟體。</p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-ray-framework-flaw-to-breach-servers-hijack-resources/"><strong style="font-size: 22px;">人工智慧框架Ray漏洞遭到鎖定，攻擊者挾持運算能力挖礦、竊取機敏資料</strong></a></p> <p>去年11月<a href="https://www.anyscale.com/blog/update-on-ray-cves-cve-2023-6019-cve-2023-6020-cve-2023-6021-cve-2023-48022-cve-2023-48023">Anyscale公布人工智慧框架Ray的漏洞</a>CVE-2023-6019、CVE-2023-6020、CVE-2023-6021、CVE-2023-48022、CVE-2023-48023，其中該公司並未處理CVSS風險評分達9.8的危急漏洞CVE-2023-48022，理由是他們並未在長期設計規畫的考量中，將身分驗證機制內建到這個AI框架當中，該公司甚至認定這並非漏洞而結案，然而CVE-2023-48022已被用於攻擊行動。</p> <p>資安業者Oligo揭露名為<a href="https://www.oligo.security/blog/shadowray-attack-ai-workloads-actively-exploited-in-the-wild">ShadowRay</a>的攻擊行動，這波攻擊從去年9月5日開始出現，鎖定教育、加密貨幣、生物製藥等行業而來，研究人員發現數千臺能透過網際網路存取的Ray伺服器遭到入侵，被用於干擾或竄改機器學習模型、竊取設備與資料庫帳密、SSH私鑰，以及OpenAI、HuggingFace、Stripe、Slack等服務的Token，甚至有機會以root權限存取AWS、GCP、Azure雲端環境，也有被用於挖礦的現象。</p> <p>研究人員指出，由於CVE-2023-48022被列為有爭議的漏洞，許多漏洞資料庫並未提供相關資訊，靜態掃描工具也不會顯示這項漏洞的資訊，使得許多IT人員不會留意這個漏洞帶來的威脅。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://pwning.tech/nftables/"><strong style="font-size: 22px;">Linux核心元件Netfilter存在權限提升漏洞Flipping Pages</strong></a></p> <p></p> <p>研究人員Notselwyn揭露Linux權限提升漏洞Flipping Pages，此漏洞存在於Linux核心5.14至6.6.14，Debian、Ubuntu、Red Hat、Fedora等版本的Linux作業系統都會受到影響。</p> <p>攻擊者若趁機取得一般使用者權限，並觸發漏洞，就有機會得到root權限，從而進一步對電腦上下其手，CVSS風險評分為7.8，並登記為CVE-2024-1086列管，Linux基金會於今年1月予以修補。</p> <p>該漏洞發生的原因，在於Linux核心的netfilter元件裡，處理網路封包、資料封包的nftables出現記憶體雙重釋放（double-free）的弱點，而有可能導致當機，或是讓攻擊者執行任意程式碼，研究人員在搭載6.4.16版Linux核心的電腦進行測試，結果成功率達到99.4%。</p> <p><a href="https://www.bleepingcomputer.com/news/security/decade-old-linux-wall-bug-helps-make-fake-sudo-prompts-steal-passwords/"><strong style="font-size: 22px;">研究人員揭露WallEscape漏洞，攻擊者可對Linux電腦產生假的Sudo提示、竊取管理員密碼</strong></a></p> <p></p> <p>研究人員Skyler Ferrante揭露名為WallEscape的漏洞，這項漏洞發生在Linux作業系統的util-linux套件，未經授權的攻擊者，有機會藉由wall命令的弱點，竊取用戶密碼，甚至是竄改剪貼簿的內容，該漏洞被登記為CVE-2024-28085，3月27日開發團隊推出2.40版util-linux修補。</p> <p>研究人員指出，wall指令的主要用途，是在Linux作業系統當中，對所有登入的使用者進行終端廣播，上述漏洞發生的原因，是命令列處理輸入的參數時出現跳脫序列（Escape sequence）過濾不當的情況，使得未經授權的攻擊者能濫用特定字元在其他用戶的終端機上假造Sudo命令，誘使他們輸入管理者密碼。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://media.defense.gov/2024/Mar/28/2003424523/-1/-1/1/DOD_DOB_CS_STRATEGY_DSD_SIGNED_20240325.PDF"><strong style="font-size: 22px;">五角大廈制訂國防工業基地的網路安全戰略</strong></a></p> <p></p> <p>3月28日美國五角大廈首度針對國防工業基地（Defense Industrial Base，DIB）發布網路安全戰略，計畫要在2024至2027財年實現4大目標，這些目標包含：</p> <p>（一）強化國防部（DoD）的治理架構，從而促進國防工業基地資安；<br /> （二）強化國防工業基地資訊安全態勢；<br /> （三）在網路競爭的環境維持國防工業基地韌性的關鍵能力；<br /> （四）改良與國防工業基地之間的資安協作。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://lasso-security.webflow.io/blog/ai-package-hallucinations"><span style="font-size: 20px;">研究人員透過大型語言模型散布不存在的軟體套件</span></a></strong></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/retail-chain-hot-topic-hit-by-new-credential-stuffing-attacks/"><strong style="font-size: 20px;">服飾連鎖品牌Hot Topic遭遇帳號填充攻擊，鎖定客戶忠誠度獎勵帳號下手</strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/shopping-platform-pandabuy-data-leak-impacts-13-million-users/"><strong style="font-size: 20px;">代購平臺PandaBuy傳出資料外洩，波及逾130萬用戶</strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/yacht-retailer-marinemax-discloses-data-breach-after-cyberattack/"><strong><span style="font-size: 20px;">遊艇經銷商MarineMax遭遇網路攻擊，證實資料外洩</span></strong></a></p> <p><a href="https://therecord.media/sellafield-site-prosecution-nuclear-facility-cybersecurity"><strong><span style="font-size: 20px;">英國核電廠因網路安全稽核缺失遭到起訴</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162054"><strong>【4月1日】發現潛伏三年的供應鏈攻擊事件，程式庫XZ Utils近期被植入後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162031"><strong>【3月29日】殭研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162015"><strong>【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</strong></a></p> </div></div></div>
2024/4/2 16:32作者周峻佑https://www.ithome.com.tw/news/162102
GovTech月報第28期：數位部規畫以海陸空多元異質通訊網路強化我國通訊服務韌性；美國落實AI治理，要聯邦機構設AI長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0301~0401)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位部</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">通訊韌性</span></font></strong></p> <p><strong><span style="font-size:22px;">數位部：建置災難漫遊、救災緊急通訊系統、低軌衛星等強化我國通訊網路韌性</span></strong></p> <p>為強化臺灣在災害及緊急情況下仍能保持通訊網路，數位部宣布正推動幾項計畫，包括建立災難漫遊機制，政府救災緊急通訊系統（PPDR），以及境外低軌衛星通訊等政策，以確保民眾通訊權益及政府指揮調度。</p> <p>目前數位部幾項具體做法，確保在緊急情況發生時，運用陸地、海洋、天空等各種通訊手段，確保民眾通訊權益及政府救災指揮調度需求，其中包括在平時強化海纜韌性建設，另外，當國內發生區域性網路服務中斷，建立災難漫遊機制，確保民眾的通訊權益；政府方面，基於救災緊急應變需要，推動救災專屬公共安全與救難應變通訊系統（PPDR）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/com(1).jpg" style="width: 600px; height: 314px;" /></p> <p>數位部也針對通訊傳播領域關鍵基礎設施（CI），督導業者針對天災、恐攻或駭客攻擊來強化防護措施，除了事前的預防，還包括事中的偵測、通報應變，以及事後的復原等，並提供業者全天候資安事件通報機制，並將情資分享其他業者。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">美國</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>強化AI治理，美國要求聯邦機構設AI長CAIO</strong></span></p> <p>美國政府大力擁抱AI的同時，也希望降低AI可能帶來的負面衝擊，美國管理及預算辦公室(OMB)近期要求聯邦機構設立AI長(Chief AI Officer, CAIO)，以主導及推動AI政策。</p> <p>OMB這項要求主要是遵循美國總統拜登發布的行政命令而來，解決AI帶來的風險，擴大AI透明度，推動負責任的AI創新，培養AI人才，強化AI治理，設立CAIO就是在滿足AI治理的目標，主導及監督聯邦機構使用AI。依據OMB的要求，各聯邦機構得在60天內指定CAIO。</p> <p>美國政府的做風通常具有指標性的意義，為其他國家或組織所參考。這項要求，在傳統常見的資訊長、資料長、技術長之外，多了一個專責AI治理的AI長。不過，OMB並沒有要求新設立，CAIO可指定由既有官員兼任，理想人選例如資訊長、資料長、技術長等。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">高雄</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位孿生</span></font></strong></p> <p><span style="font-size: 22px;"><strong>高雄市以數位孿生、AIoT打造城市工務管理暨決策輔助平台，強化城市數位治理</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/hospital-2.jpg" style="width: 600px; height: 330px;" /></p> <p>為強化城市治理，高雄市政府與國家地震工程研究中心合作，結合數位孿生、大數據、AIoT等技術，打造城市工務管理暨決策輔助平臺，以輔助市府工務管理及城市治理決策。</p> <p>目前該平臺先以小範圍，包括左營區華夏大中路口、榮總大中路口及高楠霞海路口的1.5平方公里三角形區域，以及六龜區一處新建橋梁為示範場域，雖然初期只有小範圍，但高雄市政府的目標是在未來逐漸擴大至高雄市所有範圍，更全面地提供市府城市治理決策輔助。</p> <p>為了打造數位孿生，高雄市政府工務局整合各項IoT數據，建物結構安全監測、地下管線資訊、道路挖掘路證與即時施工影像、智慧路燈、建物碳與水足跡計算與監測、建物建造資料、重大工程資料、民族路共同管道、防救災重要道路地震阻斷風險分析、邊坡橋梁監測以及水利局所建置之都市淹水感知器等，加上空拍、光達3D點雲、建築3D建模，以提高市府在工務管王、防救災應變決策。</p> <p>該平臺還整合高雄榮總的智慧水、電錶數據，在建築結構安全方面，也利用加速度計，當發生地震時，可偵測建物的振動頻率，推估建物的災損程度，供救災規畫參考。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">濟州島</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>濟州島用AI主播報新聞，由ChatGPT撰寫腳本</strong></span></p> <p>地方政府發布新聞，通常以文字訊息為主，如果要製作新聞畫面，需要聘請主播、製作、採訪團隊，需要投入較大的成本，對政府單位而言並不容易。濟洲島政府近期開始用AI主播報新聞，並由ChatGPT撰寫腳本，透過這樣的方式減少成本。</p> <p>濟洲島政府是在YouTube的官方頻道Weekly Jeju，透過AI主播J-na來播放當地新聞及地方政府的動態，J-na高度模擬真人主播，搭配簡單的手勢動作，新聞播報時的旁白語氣和真人相仿，據瞭解，濟州島政府使用AI主播，每月只要支出韓幣60萬元，相當於台幣約1.4萬元，相較於雇請真人來播報，節省不少的支出成本。</p> <p>不只如此，新聞播報內容腳本也是由ChatGPT產生。類似AI主播、AI生成內容腳本，當相關技術成熟，成本降低，運用AI不再是大型政府或企業專利，更多的地方政府或中小型企業也可以採用。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">澳洲</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font></strong></p> <p><span style="font-size:22px;"><strong>澳洲參議院通過數位身分草案，為今年中全國性數位身分制度上路作準備</strong></span></p> <p>澳洲政府推動數位身分草案，近期在參議院以33票對26票獲得通過，接下來將在下議院審核後，將正式成為法律，為今年中澳洲政府將推動的全國性數位身分計畫作好準備。</p> <p>為使該法案獲得通過，澳洲政府通過27項政府修正案，以及16項綠黨修正案，確保新的數位身分框架基於完全的自願使用，加強隱私保護，另外，加速政府推動數位身分框架擴展到民間部門。在在野黨的督促下，確保未來推動的數位身分框架並非強制性，民眾可選擇不使用，此外，還加強對個資、生物特徵資料的保護，同時制定更廣泛的存取方式及補救計畫。</p> <p>換言之，澳洲政府推動的數位身分計畫，不能強迫民眾使用數位身分證，參與數位身分計畫的機構，針對不願意使用數位身分證的民眾，仍必需保留紙本文件驗證方式。另外，草案也完備資料保護及補救措施，例如執法單位存取數位身分框架的資訊，在未經個人同意下啟用已被停用的數位身分證。</p> <p>澳洲政府強調未來透過數位身分證，澳洲民眾使用線上服務驗證身分提供更好的方式，此外，使用者的個人身分資料可以更好地被保護，避免身分遭詐騙所冒用，或是偽造身分證件，有助於打擊詐騙等不法行為。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">高雄</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>結合AI及雲端運算，高雄市強化大型活動人流分析管理</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Red%20AI%E8%BE%A8%E8%AD%98%E7%85%A7%E7%89%87.jpg" style="width: 600px; height: 456px;" /></p> <p>演唱會、燈會等大型活動舉辦，往往吸引許多民眾前往參加，活動現場的周邊人流、周邊的交通疏運管理成為市政管理的一道難題。高雄市政府近期與電信業者、國際雲端服務商合作，驗證以AI及雲端運算技術打造AI人潮監測平臺，以分析活動會場人流，以及周邊的交通路況及公共運輸載具情形。</p> <p>AI人潮監測平臺結合電信業者的電信信令數據，以及部署在雲端的AI人潮偵測系統，利用2月初在高雄國家體育場舉辦的大型活動，於3處入口部署AI人潮偵測系統，利用AI辨識人形、計算人數，在雲端架設監控平臺，結合現場影像畫面及人潮統計數據，並利用雲端服務管理調配資源。</p> <p>傳統上，舉辦大型活動吸引的人數愈多，活動結束後疏運時間也隨之增加，為市府交通管理一大挑戰。高雄市政府交通局利用新一代的智慧運輸系統匯整各項交通數據，透過AI輔助交通管理決策，整合大數據，在儀表板展示路況、捷運、停車、人潮等即時資訊，在導入該系統之前，大型活動結束後人潮疏運約需2小時，導入系統後縮短至90分鐘內，達到活動人數增加，疏運時間減少的目標。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">新竹市</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">停車管理</span></font></strong></p> <p><span style="font-size:22px;"><strong>新竹市導入智慧型手機、5G提高路邊停車開單效率</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/03-1.jpg" style="width: 600px; height: 450px;" /></p> <p>路邊停車管理人員使用PDA輔助開單，有電池續航力、設備重量、網路較慢、輸入車牌誤植等問題，新竹市政府從4月開始，導入智慧型手機IPhone 15，結合5G上網，來提升路邊停車開單作業效率。</p> <p>新竹市政府交通處表示，傳統停車開單，停管人員需攜帶PDA、印表機，因續航力不足，不足以應付長時間使用需要，還需攜帶多顆備用電池，且PDA開單拍照對焦慢、夜間拍攝效果較差，影響開單作業效率。</p> <p>因應新竹市政府委托業者，為停車開單導入iPhone 15，結合智慧型手機輕薄、高續航力，以及5G的高速上網，並針對停管開單作業需要，客製化介面及防呆設計，加上相機對焦快速、AI辨識車牌僅需1到2秒，提高作業效率，也能避免誤植錯誤。交通處表示，新的智慧型手機停車開單，將納入新竹市的路邊停車管理系統，結合智慧停車柱的即時資訊，將讓停車實現行動化、智慧化、數據化，除了讓民眾掌握停車動態，市府也可取得停車大數據作為決策參考。</p> <p> </p> <p>圖片來源／數位部、高雄市政府、新竹市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.南投縣結合自駕車接駁打造智慧觀光</strong></p> <p><strong>2.高雄市加速智慧停車格建置，未來2年將建置近4萬車格</strong></p> <p>資料來源：iThome整理，2024年3月</p> </div></div></div>
2024/4/2 15:04作者蘇文彬https://www.ithome.com.tw/news/162077
Google同意銷毀Chrome無痕模式的瀏覽資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Chrome用戶在2020年<a href="https://www.ithome.com.tw/news/138058" target="_blank">集體控告Google</a>，指控即使採用了Chrome的無痕模式（Incognito mode），依然遭到Google追蹤，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.360374/gov.uscourts.cand.360374.1096.0_1.pdf" target="_blank">Google本周向法院提出和解協議</a>，承諾將刪除所蒐集的瀏覽資料，也將允許無痕模式用戶預設即封鎖第三方Cookie。</p> <p>一般而言，在啟用無痕模式之後，Chrome就不會儲存使用者的瀏覽紀錄或在表格中所輸入的資料，而且在瀏覽當時所使用的cookies與網站資料，也都會在退出無痕模式之後全數刪除。但使用者卻發現，即便進入了無痕模式，Google依然允許Google Analytics、Google Ad Manager、其它應用程式或網站外掛來蒐集使用者資料，進而了解使用者的搜尋字串、交友與消費習慣，於是在2020年提出集體訴訟，指控Google違反美國的竊聽及隱私法令，亦要求Google賠償每名用戶5,000美元。</p> <p>本周Google針對Chrome無痕模式的作法提出和解方案，包括將於隱私政策及在啟用無痕模式時揭露所蒐集的用戶資料；亦同意刪除於無痕模式所蒐集的數十億筆紀綠；至少在未來5年內都將允許使用者於無痕模式中的預設值即封鎖第三方Cookie；也會移除用來偵測使用者是否採用無痕模式的程式碼，意味著未來Google將不會得知使用者是否選擇了無痕模式。</p> <p>此一和解協議並未涵蓋用戶所要求的金錢賠償，但用戶依然可另外提出訴訟來主張損害賠償。</p> </div></div></div>
2024/4/2 13:56作者陳曉莉https://www.ithome.com.tw/news/162081
Angular將合併Google內部用Wiz框架，強化伺服器端渲染能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://blog.angular.io/angular-and-wiz-are-better-together-91e633d8cd5a">宣布</a>將開始合併Angular與Wiz兩個框架，以滿足現代網頁應用程式開發的混合需求，使得Angular在提供豐富互動性的同時，也能擁有高效能。Google預計將Wiz功能逐步透過Angular開源，而Google表示，這項計畫的主要目標，還是在於改進Angular框架。</p> <p>Wiz是Google內部的一個網頁框架，主要用於開發注重效能的重要應用程式，像是Google搜尋這類盡可能快速呈現結果，互動性相對較低的應用程式。Angular則是一個優先考慮開發人員體驗和複雜使用者介面的框架，專門用於開發需要高度互動的應用程式，像是Google Gemini和Google Analytics皆是使用Angular開發。</p> <p>Google考量還有許多用戶使用慢速網路或是低階裝置存取Google應用程式，因此在於控制初始載入延遲和JavaScript的量相當講究。而Wiz框架透過多種方式提升這些用戶的使用體驗，主要是採用伺服器端渲染（Server-Side Rendering，SSR）讓頁面上所有內容，包括互動元件，都以高度最佳化的串流解決方案渲染，消除大部分渲染用的JavaScript。Wiz只載入頁面上實際呈現的互動元件程式碼，而為了避免客戶端丟棄使用者事件，Google會在客戶端嵌入一個小型函式庫，來監聽使用者事件並進行重播。</p> <p>雖然Wiz所提供的伺服器端渲染優先應用程式開發方法，可以提供終端用戶最佳效能，但是在具有高度互動的應用程式，卻會大幅增加開發人員的複雜。而且即便是追求高效能的應用程式，也需要提供更多的互動功能，才能保持使用者的參與度。</p> <p>根據HTTPArchive資料，過去6年間JavaScript的程式碼在桌面上成長37％，而在行動裝置也成長了36％以上，Google指出，高度互動的應用程式使用越來越多的JavaScript，而這明顯影響了網頁程式效能。綜合網頁開發目前面臨的混合需求，Google決定整合Angular與Wiz各自的優勢，讓Angular開發人員不需要在開發體驗和效能間抉擇。</p> <p>在實作中，目前Angular改進的成果包括可延遲視圖（Deferrable View）以及部分Hydration的功能，都來自於Wiz精細程式碼載入以及事件委派函式庫的衍生。同時，Wiz則加入Angular管理和更新使用者介面的Signals函式庫，採用了更傾向宣告式的介面更新機制，當資料變化時，與資料相關的使用者介面才會更新，高精細度的更新策略使得應用程式可以更快地回應用戶操作，減少不必要的計算和渲染。</p> <p>Google的長期目標是要合併Angular和Wiz，這個過程會長達數年，透過逐漸在Angular開源Wiz功能，最終完成合併。</p> </div></div></div>
2024/4/2 14:02作者李建興https://www.ithome.com.tw/news/162078
全球Office 365/Microsoft 365 Enterprise將不再包含Microsoft Teams
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/licensing/news/Microsoft365-Teams-WW" target="_blank">微軟周一（4/1）宣布</a>，將比照去年在歐盟及瑞士<a href="https://www.ithome.com.tw/news/158559" target="_blank">所實施的政策</a>，於全球鬆綁Microsoft Teams，未來Office 365/Microsoft 365 Enterprise訂閱方案將不再包含Teams，將Teams獨立銷售。</p> <p>Microsoft Teams是微軟在2017年推出的團隊協作軟體，也是Microsoft 365及Office 365的產品家族成員之一，然而，Salesforce旗下的同質性產品Slack在2020年向歐盟投訴，指控微軟濫用Office的市占優勢來推廣Teams，歐盟在去年7月正式對此展開調查，微軟同年8月即宣布要在歐洲經濟區及瑞士鬆綁Teams。</p> <p>本周微軟則是把此一政策擴大至全球市場。舊用戶可以沿用原來的訂閱模式，也可切換至新模式，但未來新用戶將無法再購買包含Teams的Office 365 E1、Office 365 E3、Office 365 E5、Microsoft 365 E3 和 Microsoft 365 E5，如果想要提供Teams給使用者，必須購買兩個SKU，一套Microsoft 365（或Office 365），再額外訂閱Microsoft Teams Enterprise。</p> <p>不過，此一完全隔離Teams的政策似乎只適用於Office 365/Microsoft 365 Enterprise方案，不管是Frontline或Microsoft 365 Business的新用戶都依然可以訂閱包含Teams的版本，也可訂閱不含Teams的版本，採行新舊方案並存的策略。此外，該政策亦未影響一般消費者、學術界、美國政府或非營利組織。</p> <p>Slack現身於2013年，在2017年Teams上線前是市場上的主流協作平臺，但<a href="https://www.ithome.com.tw/news/131808" target="_blank">Teams於2019年下半年就超越Slack</a>，即使2020年Slack即向歐盟投訴，歐盟卻直至去年才展開調查，此時微軟早已取得了明顯的領先優勢。</p> <p><a href="https://techcrunch.com/2024/04/01/as-microsoft-unbundles-teams-it-might-not-have-the-impact-on-slack-you-think/" target="_blank">《TechCrunch》</a>引用各方分析師的看法指出，微軟此舉一方面可迎合監管機構的要求，另一方面還能開拓新市場，推動那些沒有訂閱Office/Microsoft 365的組織採用Teams，對Slack的幫助有限。</p> </div></div></div>
2024/4/2 11:26作者陳曉莉https://www.ithome.com.tw/news/162070
ChatGPT不需登入也可使用了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/blog/start-using-chatgpt-instantly" target="_blank">OpenAI昨（1）日宣布</a>，即日起開放用戶免登入使用AI聊天機器人ChatGPT，但用戶最好記得設定不讓OpenAI蒐集使用資訊。</p> <p>OpenAI表示會漸漸將設定推展到全球，讓所有人都不再需要登入帳號就可使用ChatGPT。該公司也提醒，可能會使用用戶輸入到ChatGPT的資訊，以訓練底層模型。不希望被蒐集互動紀錄的用戶需到設定頁關閉這項設定。</p> <p>但OpenAI仍然推薦用戶建立帳號，因為用戶可儲存、檢視和分享對話紀錄。此外，某些功能也需要登入帳號才能使用，如語音對話、自訂指令等。</p> <p>為了防止GPT模型被濫用，OpenAI也為ChatGPT新增內容防護，像是封鎖特定提示及生成不適切、惡意或有害的內容。</p> <p>從2022年11月以測試版上線以來，ChatGPT成為成長最快的服務。不到1個月就累積100萬用戶，2個月就突破1億。OpenAI說現在ChatGPT用戶遍及185國，每周平均用戶超過1億。<a href="https://www.demandsage.com/chatgpt-statistics/" target="_blank">分析機構估計</a>截自2024年3月，ChatGPT每月用戶為1.8億。</p> <p>去年OpenAI執行長Sam Altman在其首次開發者用戶大會上<a href="https://www.theverge.com/2023/11/6/23948386/chatgpt-active-user-count-openai-developer-conference" target="_blank">也宣布</a>，到去年11月為止，該公司平臺上有高達近200萬開發人員，包含92%的財星500大企業員工。</p> </div></div></div>
2024/4/2 09:14作者林妍溱https://www.ithome.com.tw/news/162066
Google將生成式AI技術用於天氣預報，不只高效且更能預測極端天氣事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發表最新的天氣預報研究，其採用一種稱為機率擴散模型（Probabilistic Diffusion Model）的生成式人工智慧技術，開發出<a href="https://blog.research.google/2024/03/generative-ai-to-quantify-uncertainty.html">SEEDS（Scalable Ensemble Envelope Diffusion Sampler）</a>天氣預報模型。SEEDS可以有效地大規模產生天氣預報系集（Ensemble），成本僅為傳統物理預報模型的一小部分，而這是原本僅被用於生成式人工智慧應用的機率擴散模型，在天氣預報上的創新應用。</p> <p>機率擴散模型是一種基於機器學習的生成式人工智慧技術，模型的運作主要分為二步驟，第一步驟是添加雜訊，從原始資料逐步增加隨機雜訊，直到資料完全變成隨機雜訊，這個過程被稱為前向擴散，以圖片當作例子，就像是在一張清晰的圖片逐漸添加雜訊點，直到圖片上滿是隨機雜訊。</p> <p>第二步驟則是移除雜訊，機率擴散模型進行反向擴散，學習將充滿雜訊的資料移除雜訊，最終恢復出接近原始資料的新資料。同樣以圖片為例，也就是清理滿是雜訊的圖片，嘗試恢復出原來的景物，或是創造出全新的圖片。</p> <p>機率擴散模型中的機率性，指的便是去雜訊的過程，模型在每一步都會考慮多種去雜訊的可能路徑，每一條路徑都可能產生略有不同的結果。這代表即便機率擴散模型處理非常相似的雜訊資料，最後也能生成多種且高品質的資料樣本。</p> <p>機率擴散模型的這種能力，使其成為可以生成高度複雜且多樣化資料的強大工具，而在天氣預報的應用中，就能夠從有限的初始預測出發，生成一系列可能的未來天氣狀況，也就是系集預報，反應未來天氣的不確定性和多樣性。</p> <p>科學家在創建天氣預報系統的時候，需要將天氣混沌（Chaos）的特性考慮進去。即便是微小的初始條件差異，隨著時間的推移便會呈現指數增長，人們之所以無法對天氣進行單一預測，是因為單是一個預測，並無法量化天氣的不確定性。</p> <p>為了適應這種不確定性，天氣預報組織在計算系集預報時，會於在初始條件加入合成雜訊，以及在物理過程加入隨機性，利用天氣模型中快速的錯誤增長率，使得系集中的預測各有不同，進而量化天氣條件的不確定性。</p> <p>雖然機率預測是有效的，但是要生成這些預測，需要在大型超級電腦上，執行多次高度複雜的數值天氣模型，而這是一個非常耗費運算資源的過程，許多天氣預報組織，只能負擔生成大約10到50個系集成員的規模，而這個數量可能不足以用來評估罕見且高度影響天氣的事件，研究人員表示，要評估罕見氣候事件需要更大的系集，使用一萬個成員組合的系集，可能才有辦法預測到發生機率為1％的事件。也就是說，成員少於100的系集，不可能可以預測出極端天氣事件。</p> <p>而Google研究人員所開發的SEEDS，效能遠超過數值天氣預報系統，並且可以根據數值天氣預報系統一到兩次的預報，產生大型系集。SEEDS生成的系集能夠提供與真實情況類似的可信預測，特別是在預測極端天氣事件的準確度上，SEEDS表現也非常出色。</p> <p>最重要的是，與需要超級電腦耗費數小時運算的傳統天氣預測相比，SEEDS模型的計算成本幾乎可以被忽略，在Google雲端TPUv3-32執行個體上，每3分鐘可以產生256個系集成員，藉由部署更多的加速器，就可以擴展更高的吞吐量。</p> <p>SEEDS的具體貢獻在於利用生成式人工智慧技術，提高天氣預測效率。SEEDS只要使用2個預測種子，就能夠快速生成大量的系集預報。SEEDS提供了一種高效混合方法，把數值天氣預報系統作為輸入，就能產生額外的預測。</p> <p>SEEDS高效運算的特性，在節省運算資源的同時，也能夠更頻繁地發出預報，提高天氣預測的品質和可用性。而且SEEDS不只可用於天氣預測，也增加了氣候風險評估領域的可能性，提升科學家準確量化未來氣候不確定性的能力。</p> </div></div></div>
2024/4/1 23:26作者李建興https://www.ithome.com.tw/news/162055
【資安日報】4月1日，發現潛伏三年的供應鏈攻擊事件，程式庫XZ Utils近期被植入後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>週末一起供應鏈攻擊事件的揭露，震撼了整個資安圈，也讓企業用戶忙於修補因應，有攻擊者針對XZ Utils資料壓縮程式庫植入後門，而這個後門將可讓攻擊者繞過SSHD的身分認證機制，且相當難以察覺。</p> <p>幸好有研究人員因為調查一個SSH登入時存在500ms延遲異常而發現，但回顧這個提交惡意的GitHub帳號，竟是在2021年就註冊，並從2022年2月就開始試探性的對XZ程式庫提交Commit。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162040"><strong style="font-size: 22px;">駭客鎖定XZ Utils庫發動供應鏈攻擊，差一點進入眾多主流Linux發行版的SSHD注入後門</strong></a></p> <p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/XZ Outbreak_GJ-6mD9aIAARaiY_圖片來源Thomas Roccia.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XZ%20Outbreak_GJ-6mD9aIAARaiY_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Thomas%20Roccia.jpg" style="width: 260px; float: right;" /></a><span style="color:#808080;">圖片來源／Thomas Roccia</span></p> <p>微軟PostgreSQL開發人員<a href="https://www.openwall.com/lists/oss-security/2024/03/29/4">Andres Freund在3月29日揭露XZ Utils資料壓縮程式庫被植入後門，並指出這是一樁供應鏈攻擊事件</a>，<a href="https://access.redhat.com/security/cve/cve-2024-3094">Red Hat也發布相關緊急安全通告，指出CVE-2024-3094是CVSS v3風險層級滿分10分的漏洞</a>，已確定Fedora Rawhide、Fedora 41、Kali Linux、openSUSE Tumbleweed/MicroOS，部分Debian版本受影響。</p> <p>這起事件在上週六一早即引起臺灣資安研究人員的關注與重視，原因是這起事件不僅是涉及SSHD（Secure Shell Daemon）的供應鏈攻擊，而且手法相當精心設計且複雜，若不是及早被發現，一旦進入穩定版主流linux發行，後果恐不堪設想。</p> <p>另一<a href="https://twitter.com/fr0gger_/status/1774343587154837940">微軟威脅研究人員Thomas Roccia週日在X平臺發文</a>表示，他嘗試用一張提表整理入侵的脈絡，當中顯示一名代號為Jia Tan（JiaT75）的GitHub帳號用戶，是在2022年2月6日針對XZ程式庫提交第一次Commit，之後又陸續提交幾次測試檔，然後在2024年2月16日、3月9日悄悄將惡意程式加入，其中bad-3-corrupt_lzma2.xz與good-large_compressed.lzma這兩個看起來無害的測試用binary，更是會在特定條件下解析出惡意程式。</p> <p><a href="https://about.att.com/story/2024/addressing-data-set-released-on-dark-web.html"><strong style="font-size: 22px;">AT&T大量客戶資料流入暗網，影響7,300萬用戶</strong></a></p> <p>美國電信龍頭AT&T在3月30日（週六）宣布，大約有7,300萬新舊客戶的資料被發現在流傳到暗網，這些資料包括當地社會安全號碼，以及及電子郵件信箱、電話號碼、生日等個人資訊。</p> <p>根據AT&T說明，他們已確認在兩星期前在暗網發布的資料與AT&T用戶有關，尚不清楚檔案內欄位中的資料是來自AT&T，還是他們的供應商之一，目前仍在評估外洩資料的來源。而根據他們的初步分析結果，這些資料似乎是來自2019年或更早，影響了約760多萬現有AT&T帳戶持有者，以及6540多萬舊有帳戶持有者。所幸，暫時沒有發現AT&T系統有遭未經授權存取的情況，該公司則表示將通知受影響用戶，並提供免費信用監控。</p> <p><a href="https://krebsonsecurity.com/2024/03/recent-mfa-bombing-attacks-targeting-apple-users/"><strong style="font-size: 22px;">MFA轟炸攻擊再現！但這次發生在蘋果密碼重設通知的場景</strong></a></p> <p>過去2022年曾出現鎖定企業員工的MFA轟炸（MFA Bombing）攻擊，如今這樣的通知轟炸攻擊，似乎也發生在蘋果密碼重設通知的情境之中。這項威脅是由資安部落格KrebsOnSecurity的一份報告揭露，當中指出有幾位蘋果用戶成為網釣攻擊目標，不斷收到數十起關於密碼重置請求的通知提示，需要使用者對每項通知提示做出「允許」或「不允許」的回應，否則使用者無法用手機做任何事情。此外，即便使用者都沒有按錯按鈕，有些使用者表示，後續還會收到冒充蘋果支援人員的語音網釣（Vishing）攻擊。</p> <p>由於攻擊者能在短時間內發送數十次的密碼重設請求，這也代表，蘋果iCloud帳戶的密碼重設機制，可能存在一些問題，像是沒有通知發送頻率的限制。</p> <p><a href="https://www.gov.tw/News_Content_11_737953.html"><strong style="font-size: 22px;">亞昕資訊通報其校務行政系統遭駭而被勒索，教育部已確認7所高中受影響，將持續清查26校</strong></a></p> <p>教育部在3月29日公布了近期國內7高中校務系統遭駭客入侵的事件，說明半個月前教育部國民及學前教育署（簡稱國教署）收到亞昕資訊遭勒索攻擊的通知，駭客以散布該公司校務行政系統內高中學生資料為由，向該公司勒索費用。國教署在獲知情形後，通報發生資安事件，並進行緊急應變與調查。</p> <p>關於初步調查結果，駭客先是從1所學校的系統漏洞入侵主機，執行惡意程式以竊取學校的帳號密碼，接下來，他們搜尋其他使用該廠商校務行政系統的學校，成功利用同一組帳號密碼登入其他6所學校的系統，因此發現有7所高中被入侵，確實有學生個資遭外部下載情形，但沒有新增、刪除等操作行為。而國教署也說明，由於與亞昕資訊簽約學校有26所，為掌握其餘學校個資外洩情形，近日將持續清查這些校務行政系統的學生學習歷程檔案是否受到影響。</p> <p><a href="https://www.humansecurity.com/learn/blog/satori-threat-intelligence-alert-proxylib-and-lumiapps-transform-mobile-devices-into-proxy-nodes"><strong style="font-size: 22px;">免費VPN用戶當心！有駭客打造17款假VPN App其實都暗藏惡意</strong></a></p> <p>近日資安公司Human Security旗下Satori資安威脅情報團隊指出，Google Play商店上有17款偽裝VPN應用程式涉嫌搭載惡意SDK軟體，可能將用戶裝置轉變為網路犯罪工具。</p> <p>研究人員指出，這些偽裝VPN App看似提供免費VPN服務，但卻藏有一個名為「PROXYLIB」的惡意SDK軟體工具。這個工具可以在用戶毫不知情下，暗中安裝於用戶手機裝置上，將其變成網路犯罪分子或駭客的「網路代理伺服器」，也就是利用你的裝置來發動特定惡意攻擊活動。研究人員共發現28款App都藏有PROXYLIB SDK，在他們通報後，Google已經將這些App下架。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://azure.microsoft.com/en-us/blog/announcing-new-tools-in-azure-ai-to-help-you-build-more-secure-and-trustworthy-generative-ai-applications/"><strong style="font-size: 22px;">微軟公布多款改善生成式AI服務安全性的新工具，Prompt Shields率先亮相</strong></a></p> <p>隨著生成式AI的普及應用，包括提示注入攻擊或濫用AI系統漏洞等相關風險也隨之而來，導致AI聊天機器人做出不在規範內的行為，繼3月初Cloudflare推出Firewall for AI，微軟在3月底也宣布一系列協助生成式AI應用的AI安全工具，例如，新的提示防護罩（Prompt Shields），是去年11月的越獄風險偵測的強化，不只防範原本提示注入的直接攻擊，也能防範提示注入的間接攻擊。</p> <p>其他有助於改善生成式AI服務安全性的工具，將於日後推出，包括：可防範AI模型幻覺問題的Groundedness detection，可引導模型行為朝向安全與負責的Safety system messages，以及越獄評估工具Safety evaluations與風險與安全監控工具。這些工具之後都將整合於Azure AI Studio與Azure OpenAI Service之中。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.bleepingcomputer.com/news/security/germany-warns-of-17k-vulnerable-microsoft-exchange-servers-exposed-online/"><span style="font-size: 20px;">德國警告當地超過1.7萬臺Exchange伺服器曝露於已知漏洞風險</span></a></strong></p> <p><a href="https://www.recordedfuture.com/attributing-i-soon-private-contractor-linked-chinese-state-sponsored-groups"><strong style="font-size: 20px;">針對中國資安業者安洵信息資料外流，研究人員發現該公司與更多駭客組織有關</strong></a></p> <p><a href="https://securityaffairs.com/161181/security/cisco-ios-and-ios-xe-software-flaws.html"><strong style="font-size: 20px;">思科修補IOS與IOS XE的多個高風險漏洞</strong></a></p> <p><a href="https://thehackernews.com/2024/03/hackers-target-macos-users-with.html"><strong><span style="font-size: 20px;">駭客利用惡意廣告傳播竊資軟體，主要鎖定macOS使用者</span></strong></a></p> <p><a href="https://www.euractiv.com/section/politics/news/albanian-government-to-create-commission-against-foreign-influence-disinformation/"><strong style="font-size: 20px;">阿爾巴尼亞政府宣布將成立特別委員會，以抵抗外國影響行動、打擊虛假資訊</strong></a></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162031"><strong>【3月29日】研究人員揭露專門針對行動裝置的新型態網釣工具包Darcula</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162015"><strong>【3月28日】殭屍網路TheMoon挾持4萬臺SOHO路由器、物聯網裝置供網路罪犯藏匿蹤跡</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162004"><strong>【3月27日】AiTM網釣攻擊工具包Tycoon 2FA針對微軟365、Google用戶而來</strong></a></p> <p> </p> </div></div></div>
2024/4/1 16:26作者羅正漢https://www.ithome.com.tw/news/162054
【LLM模型如何落地金融業？技術與非技術難題並存】凱基人壽導入生成式AI的三大挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>業務員是販售保險商品的最大通路，也是保險業的重要戰力。根據壽險公會截至今年二月的統計，凱基人壽（原為中國人壽）內部有超過一萬5千名業務員，每年還會增加不少新進業務員。根據壽險公會統計，光是2022年，全臺就有超過2萬1千名新進業務員通過人身保險資格測驗，正式成為保險業務員。如何將這批年齡、學經歷各不同的新手，快速訓練成保險專業人才，是每一家保險業的重要課題。凱基人壽用生成式AI找到了新的作法。</p> <p>因為新人數量多又分散全臺，傳統保險業務員訓練方式大多按北、中、南分區培訓，不僅訓練時間長，再加上講師功力和教材不一，培訓效果也有落差。為了解決這個痛點，凱基人壽早在去年就用NLP，開發出一套業務員訓練系統，稱為智能對練1.0版，可以在線上模擬業務人員與顧客的對話，來提供新手業務員進行對話演練，也能彙整多達700頁的業務手冊，協助業務員快速查找大量資訊，至少縮短了一半的新人訓練時間。</p> <p>不過，用NLP打造的對話形式較生硬，訓練效果有限。隨著生成式AI技術浪潮來襲，凱基人壽看中它模擬真人對話的能力，開始將這項技術應用在內部工具中。</p> <p>今年二月初，凱基人壽開始在業務員訓練系統中導入生成式AI，發表了智能對練2.0版，可以更擬真的模擬業務員與顧客的對話過程，協助業務員演練銷售技巧，還能快速摘要700頁業務手冊的內容。在模擬客戶功能中，他們除了使用提示工程和檢索增強生成技術（RAG），也應用微調（Fine-Tuning）和虛擬人和情緒偵測等技術。而在業務手冊摘要功能中，他們主要運用提示工程和RAG，限定LLM模型的回應範圍，讓模型盡可能根據業務手冊或商品內容提供回應，協助新進業務員以問答方式，快速掌握手冊資訊。</p> <p>這是國內首家在業務員訓練正式導入生成式AI的壽險業者，也是國內少數正式啟用生成式AI應用的金融業者。</p> <p>作為技術採用的先行者，沒有太多先例可循，凱基人壽從技術驗證，到實際落地並正式啟用，不僅是技術面的挑戰，更多的挑戰來自非技術層面，像是如何降低模型回應錯誤率，抑或是因應指引原則，調整內部治理規範。</p> <h3>挑戰一：提升模型回應精準度</h3> <p>導入生成式AI必定會面臨的挑戰，便是AI幻覺。凱基人壽網路數位部資深副總經理宋健榮說明，以GPT模型新版GPT 4 Turbo為例，約有3%的幻覺率，即便使用提示工程、檢索增強生成技術（RAG），甚至是微調（Fine-Tuning），都不易做到百分之百精準。這是生成式AI目前的技術限制，也是受高度監管的金融業者謹慎看待這項技術的關鍵原因。</p> <p>實際導入生成式AI的過程中，凱基人壽面臨了許多困難。凱基人壽網路數位部專案副理王姿云以第一線實作經驗舉例說明，一本多達700頁的業務手冊中，有時使用者的提問較模糊，手冊多處會有類似的內容，模型難以判斷哪一處的敘述才是正確答案，需要借助提示工程，才能減少回應錯誤率。例如，有兩至三處的描述相似，皆能回應提問，系統就要引導使用者提出更精準的問題，才能給予較精準的回覆。</p> <p>為了進一步提高模型回答的精準度，凱基人壽還建立了三道提示工程的改進機制。</p> <p>第一道機制是由內部技術部門和外部技術夥伴合作，以機器亂數產生500筆問題，得到回覆後再和實際答案比對。對內聯合了網路數位部團隊和IT部門的研究小組，對外則找來工研院和技術廠商來精進技術。第二道是透過跨部門小組根據實務經驗，找來業務員代表，手動產生500筆題目，進行第二次測試和比對。最後一道機制，是藉由第一線業務員使用者提供回饋，再交由技術團隊修正提示。宋健榮表示，這批使用者是業務員中的數位代表，負責對數位工具提供使用回饋。未來，他們預計建立200位業務員組成的數位部隊，共同精進數位工具。</p> <h3>挑戰二：蒐集模型訓練資料</h3> <p>凱基人壽的業務員訓練系統提供模擬客戶的功能，讓業務員能隨時和AI模擬客戶進行對話，學習銷售技巧。這個功能在過去是利用NLP技術打造，團隊透過聆聽經驗豐富的業務員演繹銷售技巧，蒐集各種話術，萃取出精華，最後統整為模型訓練資料。為了運用生成式AI提升模擬客戶的擬真度，使用者需要蒐集實際場景的話術，作為模型訓練資料，過程也是一大挑戰。</p> <p>王姿云解釋，起初，只能將顧客類型分為感性和理性兩種來進行對話角色的模擬，也僅需蒐集基礎的知識話術，就能完成教材，統整資料的過程相對容易。但到了導入生成式AI的2.0版系統，模擬客戶的功能升級，可以增加更多類型的顧客角色，團隊需要蒐集更多達人式、接地氣的話術，作為模型訓練資料，「但達人不一定照著設定的步驟來唸，要萃取出精華是蠻辛苦的事。」另一方面，他們也要將教材縮減至20分內的訓練時長，才有助學員快速吸收。這段話術萃取的過程考驗團隊能否掌握販售技巧的關鍵，不僅需要和負責訓練的單位密切合作，了解第一線的培訓需求，也要掌握商品框架，才能制定系統化的萃取方式，釐清可作為模型訓練的資料。</p> <h3>挑戰三：AI監管環境尚未成形，金融業者尚需摸索內部控管機制</h3> <p>「這次經驗是一個訓練過程，讓我們不斷精進。」宋健榮坦言，作為導入生成式AI的先行者，多數情況沒有參考解方，同仁也尚未熟悉新技術，需要長時間摸索，才能逐漸確立內部機制。另外，因應金管會去年年底發布的「金融業運用AI指引草案」，凱基人壽正根據指引內容研擬內部規範，摸索適當的管理機制。</p> <p>不過，目前綜觀全球，僅有歐洲制定AI法案，全世界仍在摸索AI治理機制，沒有人具備實質經驗。宋健榮解釋，以資安管理標準而言，從最早世界經濟合作開發組織（OECD）在1990年草擬的「資訊系統安全指導方針」，到1995年，英國標準協會訂定的「資訊安全管理實務準則」之BS7799。直到2000年，BS7799通過ISO審議，才成為較成熟的ISO/IEC 17799。反觀AI，目前尚未發展相對成熟的認證標準，業者也較難掌握監理標準。</p> <p>此外，無論是國內外，AI相關規範或指引皆強調了模型透明性和可解釋性，但是，宋健榮指出，多數金融業者不易掌握模型，更難以自建LLM模型，較難符合這項監管要求。目前，多數金融業透過Azure OpenAI服務使用GPT模型，無法得到模型全部資料，「即便是開源模型，也只有部分資料揭露。」宋健榮解釋，生成式AI模型掌握在大型科技公司手中，多數企業無法控制整體資料品質，也較難解釋模型透明性。目前金融業者主要透過RAG或Findtune調教模型，「你可以控管自己的資料，但是基礎模型的資料就做不到。」</p> <p>凱基人壽的實作經驗顯示，金融業者導入生成式AI不僅需要面臨技術挑戰，背後更要面臨包括合規、治理面等非技術的挑戰，許多內部機制也得透過階段性的試錯，才能逐漸成形。</p> <p>「希望透過這次應用，累積足夠經驗再發展。」宋健榮表示，當生成式AI技術足夠成熟後，他們會進一步擴大應用範圍。第一，使用大量業務手冊、業務規則的部門，利用生成式AI輔助摘要大量資訊。第二是，針對核保和理賠等需要專業判斷的場景，利用AI協助專員進行判斷。「凱基人壽的終極目標，是利用AI打造一個業務員的副駕駛（Copilot），整合所有業務員工具，包括輔銷、客戶管理、日常業績管控、報到、推播等工具，透過AI實現業務員超級助理。」宋健榮說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/10_%E5%AE%8B%E5%81%A5%E6%A6%AE_%E4%B8%AD%E5%9C%8B%E4%BA%BA%E5%A3%BD_%E6%95%B8%E4%BD%8D%E6%87%89%E7%94%A8%E7%99%BC%E5%B1%95%E9%83%A8%20%E5%89%AF%E7%B8%BD%E7%B6%93%E7%90%86_20190612_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D(4).jpg" style="width: 400px;" /></p> <blockquote><p>凱基人壽網路數位部資深副總經理宋健榮認為，這次導入生成式AI的經驗是一段訓練過程，讓他們不斷精進。當生成式AI技術足夠成熟後，他們會進一步擴大應用範圍，終極目標是為業務員打造一個副駕駛(copilot)，實現業務員超級助理。（攝影：洪政偉）</p> </blockquote> <h3> <span style="font-size:16px;"><strong style="color: rgb(255, 255, 255); font-family: 微軟正黑體, sans-serif; font-size: 28px; background-color: rgb(247, 247, 247);"><span style="background-color: rgb(51, 153, 255);"> 金融業者對生成式AI的觀點 </span></strong></span></h3> <p>「生成式AI的出現是一個拐點，它跟傳統AI間已經有一道分水嶺。」對於生成式AI技術對金融業的影響，凱基人壽網路數位部資深副總經理宋健榮明確給出這個回應。不過，他也認為，生成式AI技術目前尚在雛形階段，綜觀現有的商業應用中，除了Chatbot形式較為成熟，其他的應用還尚在發展中，「類似蘋果推出的iPod，但還沒到iPhone。」</p> <p>其實，早在2017年，凱基人壽就以AI作為轉型策略核心，內部早已建立大數據資料庫和標籤庫，還能運用AI自動貼標快速分析客戶行為，為日後發展AI奠定不少基礎。不過，宋健榮認為：「目前的生成式AI離通用型AI還有一段路。」待技術成熟，凱基人壽期望能以過往AI基礎，加值至生成式AI應用。「改變跟進步一直往前，你不知道最後會怎樣。」</p> <p></p> <p></p> </div></div></div>
2024/4/1 14:38作者李昀璇https://www.ithome.com.tw/news/162052
程式語言Mojo開源標準函式庫核心模組並接受外部貢獻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>速度可達Python 68,000倍的<a href="https://www.ithome.com.tw/news/158653" target="_blank">程式語言Mojo</a>，官方現在宣布以Apache 2授權許可，<a href="https://www.modular.com/blog/the-next-big-step-in-mojo-open-source">開源Mojo標準函式庫的核心模組</a>，開源的部分包括原始碼之外，還提供標準函式庫修訂歷史紀錄、Mojo編譯器的Nightly建置，並且公開持續整合系統，也允許開發者透過GitHub拉取請求進行外部貢獻。</p> <p>Mojo開放標準函式庫修訂歷史，將可讓使用者和貢獻者查看專案過去的改動、貢獻歷史以及每次修改的具體細節，而這將有助於貢獻者理解程式碼的演進過程。Mojo專案的開源不只是公開程式碼，更是允許外部貢獻，任何人都可以提交程式碼修改拉取請求，經過審核後會被合併到專案中。而公開的持續整合系統，則確保每次程式碼提交都會經過自動測試和建置流程，並讓貢獻者可以了解貢獻的程式碼是否通過測試。</p> <p>Mojo採用Apache 2，因其提供專利授權條款，能在法律上保護使用者和貢獻者。針對Apache 2可能與GPL 2授權部分不相容的問題，官方提到，他們希望開發者使用Mojo，但是不強迫開發者向Modular或是Mojo致謝（Acknowledge），也就是說，官方明確同意Mojo標準函式庫程式碼可以和GPL 2混用。</p> <p>雖然Apache 2和GPL 2都是自由軟體和開源軟體熱門的授權協議，但是兩者在要求上還是有一些不同。特別是Apache 2.0包含了一些專利授權條款，但是GPL 2並沒有這樣的要求，所以按照這些授權條款，使用Apache 2.0授權的程式碼，不可以直接被納入到GPL 2授權的專案中，因為會造成授權要求間的衝突。</p> <p>Mojo官方以例外條款（Apache 2 with LLVM Exceptions）來解決這個問題，使得開發者可以更自由地使用Mojo的程式碼，就算是在GPL 2授權的專案，也不需要擔心授權衝突，以鼓勵廣泛採用和協作。</p> <p>由於Mojo標準函式庫正在開發階段並且變化迅速，所以官方現在選擇先開源其核心模組，隨著發展，官方還會公開更多程式碼，包括Mojo其他部分以及更廣泛的MAX平臺等。</p> </div></div></div>
2024/4/1 16:38作者李建興https://www.ithome.com.tw/news/162053
Fintech周報第236期：麥肯錫調查顯示，歐美領先金融業者中，超過一半業者以集中式組織領導生成式AI發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">3/25~3/29金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 麥肯錫</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI治理 </span></strong></span></p> <h3>麥肯錫研究：歐美領先金融業者中，超過一半業者以集中式組織領導生成式AI發展</h3> <p>知名管理顧問公司麥肯錫（McKinsey & Company）最近發表了一份<a href="https://www.mckinsey.com/industries/financial-services/our-insights/scaling-gen-ai-in-banking-choosing-the-best-operating-model">報告</a>《在銀行業發展生成式AI：選擇最好的營運模式》（Scaling gen AI in banking: Choosing the best operating model），他們調查了歐洲和美國16家最大金融機構的生成式AI營運模式，超過一半的研究對象採用集中化管理。麥肯錫表示，集中化管理可能是暫時的營運方式，隨著技術越來越成熟，業務部門也會逐漸察覺這項技術帶來的好處，並根據自身需求發展生成式AI應用。</p> <p>麥肯錫根據調查結果，整理出四種組織管理方式的好處和挑戰。第一種，高度集中化，業者設立一支獨立於其他業務部門的生成式AI團隊，並由這支團隊負責設計和執行生成式AI策略。麥肯錫表示，這種組織方式可以讓生成式AI團隊快速建立技術力，不過，團隊與業務部門距離過遠，可能造成雙方的隔閡，進而影響決策。採用這種模式的業者中，七成業者已經開始生產生成式AI應用。</p> <p>第二種，同樣由單一組織領導，但交由業務部門執行。和第一種差別在於，生成式AI團隊會和業務部門中的技術團隊合作，交由業務部門執行計畫。相比第一種，這種方式有助減少雙方隔閡，但發展技術的速度可能因此減慢。第三種，由業務部門主導，統一由技術團隊支援。這種由下而上推動生成式AI策略的方式，有助於獲得業務部門對技術的支持。但是，不同業務部門對生成式AI的需求不同，開發方式可能也不同，單一技術團隊要同時支援多個業務部門十分困難。</p> <p>最後一種，高度去中心化，各個業務部門各自設立生成式AI團隊、設計和執行生成式AI策略。麥肯錫認為，這個方式最容易獲得業務部門對技術的支持，但業務部門缺乏相關知識，可能難以透過生成式AI實現重大突破。採用高度去中心化執行方式的金融機構中，僅有三成業者開始投入生成式AI應用生產。</p> <p>集中化管理方式雖然是發展生成式AI的最佳營運模式，但報告中也表示，採用這種管理方式仍會遇到幾個障礙，分別是策略路線圖的制定、獲取資金的機制，和人才資源。各個業務部門可能擔心失去關鍵資源，而對這三項政策持不同意見。因此，金融機構發展生成式AI需要具備高度的組織敏捷性，能夠快速設計流程並匯集資源。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新金控</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>台新金控揭生成式AI進展，計畫打造「台新腦」輔助內部工作任務</h3> <p>台新金控揭露生成式AI進展，他們計畫打造「台新腦」，一個專屬台新金控的生成式AI工具，協助各項業務執行、法規和風險辨識等任務。他們近日在內部舉辦圖像生成挑戰賽，邀請子公司員工組隊參與，參賽者要使用台新金控調教的大型語言模型，透過輸入提示來生成圖像作品。台新金控表示，舉辦挑戰賽的重點，是要創造生成式AI的使用情境，讓同仁逐步習慣使用這項技術。</p> <p>早在去年十月，台新金控就已完成內部的AI發展關鍵因子和AI導入指引，還發展4項實驗專案，包括協作平臺的聊天機器人Teams Chatbot、知識管理平臺、程式碼撰寫助理Codex，以及虛擬智能客服。去年底，他們對外展示了虛擬智能客服的實驗專案，共有兩個擬真客服人員，分別提供理財投資建議和信用卡建議。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本IBM</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></h3> <h3>日本IBM瞄準金融機構需求，推出快速導入生成式AI的服務，可連接三種LLM模型</h3> <p>日本IBM在旗下的金融服務平臺Digital Services Platform for Financial Services（簡稱DSP）推出生成式AI擴充功能，能協助金融機構快速導入生成式AI，同時內建了多項生成式AI應用，包括生成貸款批准書、製作銷售對話腳本、撰寫日常業務報告，以及提供行員使用的文件摘要工具等。</p> <p>這個擴充功能可以透過閘道（gateway）連結三個生成式AI服務，分別是微軟Azure OpenAI服務、Amazon Bedrock和watsonx.ai，使用者可以根據需求選用GPT模型、Claude模型和Granite模型，也可以透過閘道集中監控、管理多種生成式AI服務。</p> <p>這項服務目前只能在Azure和AWS雲端環境中運作，未來還會開放在IBM Cloud運作。日本IBM預計在5月底向在地客戶推出這項功能。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 丹麥丹斯克銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>丹麥最大銀行宣布上公雲，計畫遷移超過萬個伺服器、千個應用程式</h3> <p>丹麥丹斯克銀行（Danske Bank）近日宣布，要將部分基礎設施、應用程式和資料遷移至公有雲，與客戶資料相關的系統也包含在內。這間丹麥最大銀行近年啟動技術轉型，將雲端技術、數據和AI作為重點發展技術。他們表示，這項轉型計畫包括要將行內約1.6萬個虛擬或實體的伺服器、近千個應用程式遷至公雲，進一步運用AI、ML和生成式AI服務，提高內部開發人員的工作效率，還要加強對顧客的對話介面功能、提供個人化推薦等。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 澳洲西太平洋銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI防詐 </span></strong></span></h3> <h3>澳洲西太平洋銀行在App設置防詐措施，以AI偵測可疑匯款行為</h3> <p>澳洲西太平洋銀行近日在自家的App設置防詐措施，當系統偵測到用戶可能在向詐騙方匯款，系統會詢問用戶幾個簡易問題，例如詢問匯款目的，若用戶的回答有疑慮，系統將會拒絕執行匯款。這項防詐機制是運用AI偵測，當用戶的匯款被標記為高詐騙風險時，App就會跳出詐騙警示和問題。為了快速因應新的詐騙方式，這些問題的內容會持續更動。澳洲西太平洋銀行表示，除了在App導入這項機制，未來幾個月內也會在網路銀行中導入。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-04-01%20104029.png" style="width: 600px;" /></p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CBDC</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SWIFT </span></strong></span></h3> <h3>SWIFT公布央行數位貨幣第二階段沙盒結果，臺灣央行、華南銀行和上海商銀也參與沙盒試驗</h3> <p>環球銀行金融電信協會（SWIFT）近日表示公布央行數位貨幣（CBDC）第二階段沙盒結果。他們與38間金融機構合作進行為期四個月的實驗，納入各國的央行、銀行和金融市場基礎設施，臺灣央行、華南銀行和上海商銀也是試驗參與對象。實驗結果顯示，SWIFT開發的互鏈解決方案有助於進行各國CBDC交易，甚至也能進行其他形式的數位化代幣交易。</p> <p>這項實驗確保SWIFT開發的解決方案適用於多種CBDC交易。根據路透社報導，SWIFT透露，他們將在未來一到兩年內建立一個新的CBDC平臺，開放給全球正在開發CBDC的國家使用。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 敏捷開發</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本保險業 </span></strong></span></h3> <h3>日本保險公司導入敏捷開發平臺，自動部署至測試環境，系統上線時間從三小時縮減至十分鐘</h3> <p>日本保險公司三井住友海上火災保險建立一套敏捷開發平臺，底層架構採用GitLab提供的DevSecOps平臺，能集中管理多個系統，將軟體開發、測試到部署的部分流程自動化，讓系統上線時間從以往約三小時，縮短至十分鐘內即可完成。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-03-29%20123524.png" style="width: 600px;" /></p> <p>導入敏捷開發平臺前，系統開發流程皆是手動處理，完成開發後須要先部署在測試環境，進行測試後，再部署至生產環境。導入後，平臺協助自動部署至測試環境，再採用一半手動、一半自動完成測試和部署至正式環境。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Amazon</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 掌紋付款 </span></strong></span></h3> <h3>Amazon推出Amazon One行動程式，使用者在手機建立掌紋簽章後即可用掌紋付款</h3> <p>Amazon在2020年推出掌紋辨識系統Amazon One，消費者在特定店家可使用Amazon One掃描和註冊掌紋，之後再利用自己的掌紋來付帳、入場、驗證年紀。上周四（3/28），Amazon發表了Amazon One行動程式，允許使用者透過iPhone或Android手機拍攝自己的掌紋，建立掌紋簽章，不必再透過實體店面的Amazon One裝置來掃描掌紋。</p> <p>儘管Amazon One上線已超過3年，但使用這項掌紋服務的累計次數僅有800多萬。不過，根據Amazon的統計，在實體商店使用掌紋服務付款的用戶中，超過8成都會重覆使用。因此，Amazon決定進一步推廣Amazon One，藉由推出行動程式來降低註冊門檻。</p> <p>其他重要Fintech新聞</p> <ul> <li>金管會將研議成立信用卡掛失單一窗口，降低盜刷風險</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／麥肯錫</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年4月</p> <p></p> </div></div></div>
2024/4/1 10:41作者李昀璇https://www.ithome.com.tw/news/162043
AT&T證實有超過7,000萬用戶個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/146382" target="_blank">謠傳了兩年</a>之後，美國最大電信業者<a href="https://www.att.com/support/article/my-account/000101995" target="_blank">AT&T終於在上周六（3/30）證實</a>，總計有超過7,000萬名的用戶個資外洩，當中有760萬名為現有用戶。</p> <p>駭客兩年前便於暗網中公布了AT&T的用戶資料樣本，當時AT&T僅對外否認該公司遭駭，並未證實資料的真偽，如今的AT&T依舊否認被駭，指出並沒有證據表明其系統曾遭到未經授權的存取，但證實了暗網上所流傳的AT&T用戶資料可能來自於2019年或更早之前，影響760萬名現有的AT&T用戶，以及6,540萬名舊有用戶。</p> <p>外洩的用戶資料可能包括姓名、電子郵件地址、郵寄地址、電話號碼、社會安全碼、生日，以及AT&T的帳號及密碼，但並未涉及個人財務資料或通話紀錄。</p> <p>AT&T說，該公司已經確定於暗網中流傳的資料集包含了AT&T的特定資料欄位，但並不確定這些欄位中的資料是否源自AT&T或是該公司的供應商。</p> <p>為了保險起見，AT&T已重設所有帳戶密碼，並透過電子郵件或郵件通知受害者，同時提供了免費的身分竊盜及信用監控服務。</p> <p>其實除了AT&T之外，美國第三大電信業者<a href="https://www.t-mobile.com/news/network/additional-information-regarding-2021-cyberattack-investigation" target="_blank">T-Mobile也在2021年傳出資料外洩事件</a>，駭客攻擊了T-Mobile，總計取得接近5,000萬名T-Mobile新、舊用戶的資料。目前美國約有1.6億名人口。</p> </div></div></div>
2024/4/1 14:23作者陳曉莉https://www.ithome.com.tw/news/162051