iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 02:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】4月15日，XZ Utils供應鏈攻擊傳出有新災情
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月底研究人員發現資料壓縮程式庫XZ Utils專案遭遇供應鏈攻擊，影響採用的SSHD元件，但採用此程式庫套件及其中的LZMA資料壓縮程式庫liblzma專案甚多，難道只有SSHD中招嗎？</p> <p>事隔兩週，目前尚未有相關組織或是研究人員提出進一步說明，然而，在此不明朗的情況下，類似的供應鏈攻擊事故再度傳出。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162292"><strong style="font-size: 22px;">XZ Utils供應鏈攻擊再傳災情，以Rust打造的程式庫liblzma也遭植入後門程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-04-10-at-17_05_39.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-04-10-at-17_05_39.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Phylum指出，他們發現以程式語言Rust實作的liblzma遭遇供應鏈攻擊，維護者於4月5日將其中一個元件liblzma-sys進行0.3.2改版，但研究人員發現，當中被植入了「XZ後門程式」，而有可能導致該程式庫面臨潛在威脅，或是被用於寄生攻擊。</p> <p>程式庫liblzma原是在XZ Utils實作的LZMA資料壓縮程式庫，有人以Rust程式語言打造同名程式庫，上架於Rust套件庫crates.io，提供給開發者運用。</p> <p>對此，研究人員9日於該專案的程式碼儲存庫GitHub通報此事，數個小時後開發者移除相關程式碼。在下架之前，受影響的liblzma、liblzma-sys程式庫分別被下載5,500及1,100次。</p> <p><a href="https://www.ithome.com.tw/news/162302"><strong style="font-size: 22px;">D-Link停止支援的NAS設備，三天內已出現1百多起攻擊者嘗試利用的活動</strong></a></p> <p>上週研究人員Netsecfish針對D-Link網路儲存設備（NAS）揭露高風險漏洞CVE-2024-3273，並指出該漏洞涵蓋2項弱點，確認有4款設備受到影響，估計全球有超過9.2萬臺可從網際網路存取的NAS曝險。威脅情報業者GreyNoise、Shadowserver基金會在Netsecfish揭露漏洞後進行追蹤，結果發現，事隔數日漏洞攻擊有顯著升溫的現象。</p> <p>GreyNoise指出，在9日研究人員公布此事時，他們只看到1個攻擊來源IP位址，但如今已有超過140個IP位址嘗試利用漏洞，並在10日達到高峰，當天有118個IP位址從事漏洞利用攻擊。Shadowserver基金會也有類似的發現，他們在10日表示，在3天內看到有151個IP位址嘗試利用CVE-2024-3273。並指出部分攻擊行動與散布殭屍網路病毒Mirai及其變種有關。</p> <p>值得留意的是，D-Link也更新資安公告內容，並指出曝露上述漏洞的設備，總共有20款。</p> <p><a href="https://www.ithome.com.tw/news/162283"><strong style="font-size: 22px;">日本光學設備製造商Hoya傳出遭到勒索軟體駭客組織Hunters International攻擊，遭索討1,000萬美元贖金</strong></a></p> <p></p> <p>4月4日日本光學設備製造商Hoya證實，他們在3月30日偵測到網路安全事故，日本總部及數個事業部門的IT系統受到影響，現在有更多消息傳出。</p> <p>新聞媒體LeMagIT透露Hoya遭遇勒索軟體攻擊，並指出攻擊者的身分是Hunters International，對方聲稱取得約2 TB的內部資料，檔案數量約有170萬個，並向Hoya索討1千萬美元贖金，要脅不得討價還價。</p> <p>不過，這些駭客並未公布檔案內容的螢幕截圖，也沒有透露取得的資料及檔案類型，或是公布部分資料讓買家進行驗證，因此相關資訊的真實性仍有待進一步確認。</p> <p><a href="https://www.ithome.com.tw/news/162308"><strong style="font-size: 22px;">伊朗駭客MuddyWater採用外流的電子郵件帳號發動網釣攻擊，透過遠端管理工具控制受害電腦</strong></a></p> <p>根據資安業者Proofpoint對於伊朗駭客組織MuddyWater的攻擊行動揭露的細節，另一家資安業者Deep Instinct進一步分析，發現這些駭客濫用被駭的以色列公司電子郵件系統，寄送帶有PDF附件的郵件，這些PDF檔案含有Dropbox、OneDrive、Egnyte等雲端服務的連結，但其中一個新網域是過往這組人馬未曾使用，而引起Deep Instinct的研究人員注意。</p> <p>他們對此進行分析，發現這個網域疑似與以色列高等教育機構有關，經調查MuddyWater透過外流的電子郵件帳號，將相關連結傳送至salary.egnyte[.]com，當中有與kinneretacil.egnyte[.]com相關的連結，研究人員推測，對方很可能利用Kinneret的電子郵件帳號來散布連結，或是透過獎學金的名義攻擊教育機構，誘騙收信人依照指示安裝遠端管理工具Atera，從而對其電腦進行控制。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/roku-warns-576-000-accounts-hacked-in-new-credential-stuffing-attacks/"><strong style="font-size: 20px;">串流網路電視業者Roku遭遇帳號填充攻擊，57萬用戶恐受波及</strong></a></p> <p></p> <p>◆<a href="https://flatt.tech/research/posts/batbadbut-you-cant-securely-execute-commands-on-windows/"><strong style="font-size: 20px;">BatBadBut漏洞恐讓駭客在Windows電腦執行命令注入攻擊</strong></a></p> <p></p> <p>◆<a href="https://checkmarx.com/blog/new-technique-to-trick-developers-detected-in-an-open-source-supply-chain-attack/"><strong><span style="font-size: 20px;">駭客意圖操縱GitHub的搜尋功能，將其用於散布惡意軟體</span></strong></a></p> <p></p> <p>◆<a href="https://www.darkreading.com/vulnerabilities-threats/dprk-exploits-mitre-sub-techniques-phantom-dll-hijacking-tcc-abuse"><strong><span style="font-size: 20px;">北韓駭客利用新的「幻影DLL挾持」攻擊手法隱匿攻擊行蹤</span></strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162282"><strong style="font-size: 22px;">Palo Alto Networks防火牆零時差漏洞已出現攻擊行動</strong></a></p> <p></p> <p>4月10日資安業者Volexity偵測到駭客組織UTA0218針對客戶部署的Palo Alto Networks防火牆從事攻擊行動，對方鎖定防火牆作業系統PAN-OS的防護功能GlobalProtect，觸發其零時差漏洞，隨後研究人員收到客戶防火牆可疑流量的警報，進一步調查確認設備遭到破壞。隔日，他們又看到同一組人馬利用相同漏洞從事攻擊行動。</p> <p>研究人員進一步調查，這些駭客先從遠端滲透該廠牌防火牆，得逞後建立反向Shell，然後下載其他作案工具，其中包含後門程式Upstyle（但並未成功）。最終對方將防火牆的配置資料匯出，並以受害設備做為入侵目標組織的管道，然後進行橫向移動。他們研判對方從3月26日就開始從事相關攻擊，當時就有多個組織受害。</p> <p>對此，研究人員進行通報，Palo Alto確認這是命令注入漏洞CVE-2024-3400，CVSS風險評分為10，影響執行PAN-OS 10.2至11.1版作業系統的防火牆設備，雲端版本的Cloud NGFW，以及Panorama設備、Prisma Access不受影響。該公司也證實，該漏洞已被用於攻擊行動的情況，並從14日開始發布部分版本修補程式。</p> <p><a href="https://www.ithome.com.tw/news/162307"><strong style="font-size: 22px;">新型態Spectre v2攻擊手法影響搭載Intel處理器的Linux電腦</strong></a></p> <p>阿姆斯特丹自由大學VUSec研究團隊揭露新型態的Spectre V2推測執行漏洞攻擊手法，他們透過自行開發的工具檢查電腦是否存在相關漏洞，結果發現在Linux核心有其他可利用的小器具（Garget），而且還能繞過所有Intel採取的Spectre緩解措施。</p> <p>研究人員指出，這是首度發現存在於最新世代Intel處理器的Linux電腦的原生Spectre v2漏洞，攻擊者有可能以每秒3.5kb的資料量洩露核心記憶體的任意資料。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/telegram-fixes-windows-app-zero-day-used-to-launch-python-scripts/"><strong style="font-size: 20px;">Windows版Telegram用戶端程式存在零時差漏洞，有可能被拿來執行Python指令碼</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162267"><strong>【4月12日】蘋果一口氣對92個國家發出間諜軟體攻擊警報，要求受影響用戶應儘速採取保護措施</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162245"><strong>【4月11日】臉書出現提供生成式AI服務桌面軟體的詐騙粉絲頁，目的是誘使大家安裝惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162224"><strong>【4月10日】微軟在本月例行更新揭露近150個漏洞，數量創近年新高</strong></a></p> </div></div></div>
2024/4/15 18:28作者周峻佑https://www.ithome.com.tw/news/162311
Google Cloud第四代虛擬機器上陣，搭第五代Xeon-SP處理器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/google_n4-main.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上週舉行的Google Cloud年度用戶大會期間，該公司針對一般用途工作負載的運算服務產品線，發表兩款標榜為第四代虛擬機器的解決方案：N4、C4，其共通點為採用2023年12月推出的英特爾第五代Xeon Scalable處理器（代號為Emerald Rapids），以及從第三代虛擬機器開始導入的資安、網路、儲存卸載架構Titanium，也是目前四大公有雲業者當中，率先基於這套運算平臺推出運算服務的廠商。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Next-N4-1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20VM%20generation-2024-04.jpg" style="width: 600px;" /></p> <p>C4目前開放用戶預覽登記，對應的運算需求為高性價比，兼具彈性與成本的平衡，可支援需要強大效能的企業級應用系統，我們這次所要介紹的N4，目前已正式上線營運，對應的運算需求是多數一般用途工作負載的效能等級，不需要長時間持續供應尖峰處理能力，提供成本配置的彈性，例如，開發或測試環境、桌面虛擬化、微服務、商業智慧、程式碼儲存庫、資料分析、儲存與歸檔、中型流量的網站伺服器，以及內部應用系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Next-N4-3.jpg" style="width: 300px;" /> <a href="https://s4.itho.me/sites/default/files/images/GCE C4-N4-FEATURES.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20C4-N4-FEATURES.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20General-purpose%20VM.jpg" style="width: 600px;" /></p> <p>根據Google Cloud內部資料，相較於上一代N系列虛擬機器N2（運算平臺為英特爾第二代或第三代Xeon Scalable），今年他們新推出的N4，性價比的改善幅度為18％，用於MySQL資料庫系統這類關鍵工作負載時，更可達到39％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCE N4-FEATURES-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20N4-FEATURES-1.jpg" style="width: 600px;" /></a></p> <p>若以價格來比較，同樣在asia-southeast1區域，採用搭配2顆虛擬處理器與8 GB記憶體的組態，新上市的n4-standard-2每月為85.35175768，既有的n2-standard-2每月為87.45838美元；採用搭配80顆虛擬處理器與640 GB記憶體時，新上市的n4-highmem-80每月為4480.9581824美元，既有的n2-highmem-80每月為4719.1288美元</p> <p>從系統資源規格的配置來比較，N4提供下列3種類型的組態，分別是：標準型（每顆虛擬處理器搭配4 GB記憶體）、高CPU型（每顆虛擬處理器搭配2 GB記憶體）、高記憶體型（每顆虛擬處理器搭配8 GB記憶體）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Google N4-Config.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20N4-Config.jpg" style="width: 600px;" /></a></p> <p>以單臺虛擬機器的最大組態而言，N4可搭配80顆虛擬處理器，記憶體容量為640 GB（n4-highmem-80），而對比於Google Cloud現行其他一般用途的運算服務，N4目前可超越T2D（60顆虛擬處理器、240 GB記憶體），以及T2A（48顆虛擬處理器、192 GB記憶體）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCE VM-2024-04.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCE%20VM-2024-04.jpg" style="width: 400px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span><br /> <strong>Google Cloud Engine N4</strong><br /> ●原廠：Google Cloud<br /> ●建議售價：n4-standard-2，asia-southeast1（新加坡）區域預估每月費用為112.19美元<br /> ●採用處理器：英特爾第四代Xeon Scalable系列Xeon Platinum EMR60C<br /> ●提供服務規模選擇與最大組態：n4-highmem-80，80顆虛擬處理器、640 GB記憶體、網路頻寬最高為50 Gbps，儲存搭配平衡Hyperdisk（每臺虛擬機器最多掛載128臺硬碟）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/4/15 18:28作者李宗翰https://www.ithome.com.tw/review/162301
國科會釋出繁中語言模型TAIDE-LX-7B了！
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年末ChatGPT爆紅，掀起大型語言模型（LLM）應用浪潮，為能夠在地化運用，國科會去年初就開始推動可信任生成式AI發展先期計畫（Trustworthy AI Dialogue Engine，簡稱TAIDE），來打造本土化LLM。經過1年多努力，國科會主委吳政忠今日（4/15）宣布釋出TAIDE-LX-7B，是一款結合臺灣文化的70億參數大型語言模型，可供產學研快速導入生成式AI、提供更多元服務。</p> <p><span style="font-size:24px;"><strong>具臺灣特色的可信任LLM</strong></span></p> <p>與現今其他大型語言模型不同，TAIDE-LX-7B模型具有繁體中文的文本生成能力。這是因為，團隊以Meta Llama-2-7B為基礎，額外擴充繁體中文字元、字詞，讓模型生成的文本更加流暢、精準，還更具有臺灣特色。</p> <p>尤其，訓練模型所使用的文本資料，皆以合法取得授權的文本來訓練。這麼做不只確保「可信任性」，還能協助TAIDE-LX-7B加強臺灣文化、用語與國情等知識，從而產生豐富多樣的文本內容。團隊也對模型加強訓練5大功能，包括自動摘要、寫信、寫文章、中翻英、英翻中等，並開發出多輪問答對話能力，讓模型能根據已生成的文本內容，接續使用者指令，產出更符合需求的文本。</p> <p>國科會希望，藉這次釋出，可促進TAIDE語言模型在公部門或民間機構的各類應用（含商業應用）。使用者現可進入<a href="https://taide.tw/">TAIDE官方網站</a>，了解模型發展目標與歷程，並點入網站上「TAIDE模型」<a href="https://taide.tw/index/download-model">連結</a>，再進入該頁面中提供的Huggingface連結下載，就可開始使用、體驗具有臺灣特色的大型語言模型。</p> <p><span style="font-size:24px;"><strong>已有不少應用案例出現</strong></span></p> <p>不只如此，TAIDE-LX-7B模型已有不少應用，比如高雄大學團隊開發一套開源生成式AI應用平臺Kuwa GenAI OS，專門讓開發者用來打造生成式AI應用；該平臺內建可串接多款開源LLM，TAIDE模型就包括在內，開發者可靈活組合、串接周邊功能，而使用者則能透過簡易的Web介面，來與後端模型互動。其他應用案例還有臺南大學的TAIDE臺語對話機器人、中興大學神農TAIDE、中研院行政常見問題回應、民間公司智慧客服等。</p> <p></p> </div></div></div>
2024/4/15 19:12作者王若樸https://www.ithome.com.tw/news/162312
伊朗駭客MuddyWater採用外流的電子郵件帳號發動網釣攻擊，透過遠端管理工具控制受害電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伊朗恐怖組織哈馬斯週末對以色列發空襲，300架自殺式無人機、巡弋飛彈、彈道飛彈從伊朗發射，襲擊耶路撒冷，以及以色列南部尼格夫沙漠、北部的戈蘭高地，但在此之前，伊朗駭客也增加對以色列企業組織的網路攻擊強度。</p> <p>根據資安業者Proofpoint對於伊朗駭客組織MuddyWater的攻擊行動揭露的細節，另一家資安業者Deep Instinct進一步分析，發現<a href="https://www.deepinstinct.com/blog/darkbeatc2-the-latest-muddywater-attack-framework">這些駭客濫用被駭的以色列公司電子郵件系統</a>，寄送帶有PDF附件的郵件，這些PDF檔案含有Dropbox、OneDrive、Egnyte等雲端服務的連結，但其中一個新網域是過往這組人馬未曾使用，而引起Deep Instinct的研究人員注意。</p> <p>他們對此進行分析，發現這個網域疑似與以色列高等教育機構有關，經調查MuddyWater透過外流的電子郵件帳號，將相關連結傳送至salary.egnyte[.]com，當中有與kinneretacil.egnyte[.]com相關的連結，研究人員推測，對方很可能利用Kinneret的電子郵件帳號來散布連結，或是透過獎學金的名義攻擊教育機構，誘騙收信人依照指示安裝遠端管理工具Atera，從而對其電腦進行控制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig03-current-muddywater-campign.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig03-current-muddywater-campign.png" style="width: 580px;" /></a></p> <p>研究人員發現，這些駭客採用了新的攻擊框架DarkBeatC2，用於架設Tactical RMM的管理控制臺，很有可能藉此對受害電腦部署勒索軟體。</p> <p>從攻擊者使用的網路釣魚攻擊來看，手法並未出現太多特殊之處，不只誘餌是相當常見的PDF檔案，部分濫用的雲端服務雖然在臺灣多數人並不熟悉，但與先前該組織的攻擊行動所採用的幾乎相同。至於最終用來控制受害電腦的合法遠端管理軟體Atera，也曾在多起攻擊行動出現。但值得留意的是，這些駭客借助其他駭客軟體供應鏈攻擊成果，從而製造來源看似可信的釣魚信。</p> <p>研究人員提及，上述提及對方針對的教育機構，是以色列軟體業者Rashim的客戶，而另一個組織Lord Nemesis曾對該公司下手，發動供應鏈攻擊，而很有可能取得這些教育機構的相關資料，並提供MuddyWater運用。由於該組人馬是另一個伊斯蘭革命衛隊（IRGC）資助的駭客組織Mint Sandstorm的旗下團體。換言之，這起攻擊行動應該與伊朗當局有所關連。</p> </div></div></div>
2024/4/15 16:41作者周峻佑https://www.ithome.com.tw/news/162308
【資安週報】2024年4月8日到4月12日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期的漏洞消息方面，包含微軟、SAP、Adobe、西門子、施耐德電機等每月例行安全更新修補釋出，Rust開發團隊修補CVSS滿分10分的重大漏洞，以及LG修補智慧電視多個漏洞，而且，傳出5個漏洞已遭利用的消息。</p> <p>（一）微軟修補了兩個已經遭利用的零時差漏洞，分別是涉及SmartScreen繞過的漏洞CVE-2024-29988，以及關於Proxy Driver欺騙的漏洞CVE-2024-26234。<br /> （二）臺廠D-Link停止維護的多款NAS機型被發現多個新漏洞，其中2個已遭利用，除了本周資安日報提及的漏洞CVE-2024-3273，還有<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-3272">CVE-2024-3272</a>也已經遭到利用。D-Link呼籲用戶應儘速淘汰這些設備。<br /> （三）另一個本周資安日報尚未提及的漏洞，是Palo Alto Networks週五揭露旗下防火牆產品的零時差漏洞<a href="https://www.ithome.com.tw/news/162282">CVE-2024-3400</a>，並計畫於14日釋出修補，然而，發現漏洞被利用於攻擊活動的情形最早在3月下旬。</p> <p>還有兩項漏洞的揭露也值得留意，一是影響多個專案的新型態HTTP/2漏洞遭揭露，已登記9個CVE編號，另一是有研究人員發現網頁伺服器元件Lighttpd漏洞曾在2018年被默默修補，不只影響AMI MegaRAC的BMC韌體，進而影響Intel、聯想伺服器廠商。</p> <p>在資安事件焦點方面，國內上市櫃接連遭遇資安事件的狀況備受矚目，等於短短一週內，就有5家公司發布資安重訊，我們整理如下：</p> <p>●4月7日，上櫃生技醫療業佰研說明旗下電商「無毒的家」會員資料外洩事件。<br /> ●4月8日，上櫃觀光餐旅業富野說明旗下分公司資訊系統遭受網路攻擊。<br /> ●4月9日，上市塑膠工業聯成說明發生網路資安事件。<br /> ●4月9日，上市食品工業聯華說明發生網路資安事件。<br /> ●4月11日，上市光電業聯合再生公告有部分系統遭受駭客攻擊，導致工廠停工。</p> <p>值得注意的是，富野是近兩個月第二度遭遇事件，該公司表示上次事件後已規畫資安強化作為，但需要更多時間建置，因此未能阻擋這次攻擊；關於聯合再生的後續狀況，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=105433&SPOKE_DATE=20240412&COMPANY_ID=3576">我們在此補充，該公司隔日已對此事件發布重訊</a>更新近況，表示在確認工廠產線設備未受影響後，已於11日當日下午復工生產。</p> <p>綜觀這些事件的公告，我們認為，由於主管機關證交所對於資安事故揭露要求越來越嚴格，因此不只是資料外洩開始出現在上市櫃公司的重訊，企業對於事件後續狀況的揭露，也比過往要積極，雖然短期內會讓大家產生資安問題似乎發生得比過去密集的印象，然而，隨著企業資安威脅態勢越來越透明，這些攤在陽光底下的亂象才是真正反映現況，有助於大家正視問題！</p> <p>在關注臺灣資安事件之餘，國際間也有一些重大事件，包括：日本光學設備製造商Hoya傳出遭勒索軟體駭客組織Hunters International攻擊，遭索討1,000萬美元贖金，越南石油公司PV Oil遭到勒索軟體攻擊，以及智利資料中心IxMetro Powerhost遭遇勒索軟體SEXi攻擊。</p> <p>此外，全球還有多個資安威脅的最新態勢，我們特別注意到在金融業、媒體政要領域，各有一項需要慎防的威脅。</p> <p>●對於金融業而言，國際信用卡組織Visa發布資安通報，說明最近一波的惡意軟體JsOutProx攻擊，並呼籲發卡銀行、處理機構及相關單位需嚴加防範；<br /> ●對於手持iPhone的記者、官員或政治人物而言，蘋果最近發現部分用戶遭到傭兵間諜軟體（Mercenary Spyware）鎖定，已通知可能遭鎖定的92國用戶，並建議依照步驟來提升裝置防護層級。</p> <p>在其他惡意活動的揭露方面，我們認為可留意下列消息，例如，語音網釣威脅又一例，LastPass示警，說明該公司員工收到一連串的電話、簡訊、語音郵件，並指出對方透過WhatsApp冒充公司執行長傳送Deepfake的語音訊息；過去曾攻擊Canon、全錄、LG的勒索軟體組織Maze，最近有資安業者揭露其成員可能東山再起，以名為Red CryptoApp的勒索軟體駭客組織重新出發，再度危害企業。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162157"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月8日】勒索軟體駭客組織Red CryptoApp聲稱入侵超過10個企業組織引起研究人員關注</span></strong></a></h3> <p style="margin: 0px;">勒索軟體駭客組織更換名稱捲土重來的情況，迄今已有數起，最近有個名為Red CryptoApp的駭客團體，宣稱已攻擊超過10個企業組織。察覺該組織行動的資安業者Netenrich推測，很有可能是2020年收手的Maze成員組成。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">值得留意的是，Red CryptoApp的做法較為激進，因為他們直接公布受害組織的資料，企圖藉此形成壓力讓受害組織乖乖付錢。</p> <p><a href="https://www.ithome.com.tw/news/162200"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月9日】惡意軟體JsOutProx鎖定亞太地區、中東及北非而來</span></strong></a></p> <p style="margin: 0px;">鎖定金融機構的惡意程式攻擊事故頻傳，一旦這些惡意軟體入侵受害者的裝置，便會試圖將他們的銀行帳戶洗劫一空，但如今，有一支名為JsOutProx的惡意程式引起國際信用卡組織注意，並對發卡銀行及相關單位提出警告。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">資安業者Resecurity也公布調查結果，並指出這起攻擊行動最大的特色之一，就是對方大肆濫用程式碼儲存庫GitLab。</p> <h3><a href="https://www.ithome.com.tw/news/162224"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月10日】微軟在本月例行更新揭露近150個漏洞，數量創近年新高</span></strong></a></h3> <p>昨天（9日）有許多廠商發布本月份的漏洞例行更新，微軟、Adobe、SAP、西門子、施耐德電機皆公布相關資安公告及修補程式，用戶應留意相關資訊，並儘速安排、部署相關更新軟體。</p> <p>其中最值得留意的部分，是微軟這次公告的內容，他們總共緩解了149個漏洞，數量再創新高，一舉超越<a href="https://www.ithome.com.tw/news/157742#patch-tuesday">去年7月揭露與緩解132個漏洞</a>的紀錄。</p> <p><a href="https://www.ithome.com.tw/news/162245"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月11日】臉書出現提供生成式AI服務桌面軟體的詐騙粉絲頁，目的是誘使大家安裝惡意程式</span></strong></a></p> <p style="margin: 0px;">散布竊資軟體的攻擊行動頻傳，其中結合時下熱門的生成式AI服務為誘餌的情況，相當值得留意。最近就有一起假借提供桌面版程式的攻擊行動，駭客透過臉書廣告來從事攻擊行動，使用者若是依照指示取得對方提供的桌面版軟體，電腦就有可能被植入竊資軟體。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">特別的是，攻擊者其中一個臉書粉絲頁竟維持長達一年，累積120萬用戶追蹤，但為何此粉絲頁這麼久才被發現，研究人員並未說明。</p> <p><a href="https://www.ithome.com.tw/news/162267"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月12日】蘋果一口氣對92個國家發出間諜軟體攻擊警報，要求受影響用戶應儘速採取保護措施</span></strong></a></p> <p style="margin: 0px;">這兩天蘋果大動作發出警告，而受到全球關注，他們向部分疑似遭到傭兵間諜軟體（Mercenary Spyware）鎖定的用戶發出通知，提醒這些用戶應提高自己使用的裝置防護層級，並尋求專家協助及進行後續調查。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">而這並非該公司首度針對間諜軟體呼籲用戶提高詧覺，去年10月，他們就曾對國家級駭客的竊密攻擊提出警告。</p> <p> </p> </div></div></div>
2024/4/15 12:52作者羅正漢https://www.ithome.com.tw/news/162288
D-Link停止支援的NAS設備，三天內已出現1百多起攻擊者嘗試利用的活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週研究人員Netsecfish針對D-Link網路儲存設備（NAS）揭露高風險漏洞CVE-2024-3273，<a href="https://www.ithome.com.tw/news/162189">並指出該漏洞涵蓋2項弱點，確認有4款設備受到影響</a>，估計全球有超過9.2萬臺可從網際網路存取的NAS曝險。</p> <p>由於上述設備已達生命週期結束（EOL）狀態，D-Link表明不予修補，僅呼籲用戶應儘速淘汰設備，如今開始出現越來越多嘗試利用漏洞的情況。</p> <p>威脅情報業者GreyNoise、Shadowserver基金會在Netsecfish揭露漏洞後進行追蹤，結果發現，事隔數日漏洞攻擊有顯著升溫的現象。</p> <p>GreyNoise指出，在9日研究人員公布此事時，他們只看到1個攻擊來源IP位址，但如今<a href="https://viz.greynoise.io/tags/d-link-nas-cve-2024-3273-rce-attempt?days=10">已有超過140個IP位址嘗試利用漏洞</a>，並在10日達到高峰，當天有118個IP位址從事漏洞利用攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/L30eTogt0J.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/L30eTogt0J.png" style="width: 580px;" /></a></p> <p>Shadowserver基金會也有類似的發現，他們在10日表示，<a href="https://twitter.com/Shadowserver/status/1778012506771886458">在3天內看到有151個IP位址嘗試利用CVE-2024-3273</a>。並指出<a href="https://twitter.com/Shadowserver/status/1778012103594426648">部分攻擊行動與散布殭屍網路病毒Mirai及其變種有關</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GKzEhUgWcAAbpXN.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GKzEhUgWcAAbpXN.jpg" style="width: 580px;" /></a></p> <blockquote><p>Shadowserver基金會指出，他們看到利用D-Link網路儲存設備漏洞CVE-2024-3273出現大幅增加的情況，在4月9日有61個攻擊IP位址，遠超過其他利用該廠牌設備路由器漏洞的情況。<strong><span style="color:#A9A9A9;">（圖片來源／Shadowserver基金會）</span></strong></p> </blockquote> <p>特別的是，前述的兩個弱點已被登記了第2個CVE編號。原本的CVE-2024-3273現在主要針對命令注入的部分，而新的編號CVE-2024-3272，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-3272">則針對寫死帳密的弱點進行列管</a>，CVSS風險評分達到9.8。</p> <p>再者，<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10383">D-Link也更新資安公告內容</a>，並指出曝露上述漏洞的設備，總共有20款。</p> </div></div></div>
2024/4/15 13:08作者周峻佑https://www.ithome.com.tw/news/162302
新型態Spectre v2攻擊手法影響搭載Intel處理器的Linux電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>阿姆斯特丹自由大學VUSec研究團隊揭露<a href="https://www.vusec.net/projects/native-bhi/">新型態的Spectre V2推測執行漏洞攻擊手法</a>，他們透過自行開發的工具檢查電腦是否存在相關漏洞，結果發現在Linux核心有其他可利用的小器具（Garget），而且還能繞過所有Intel採取的Spectre緩解措施。</p> <p>研究人員指出，這是首度發現存在於最新世代Intel處理器的Linux電腦的原生Spectre v2漏洞，攻擊者有可能以每秒3.5kb的資料量洩露核心記憶體的任意資料。</p> <p>先前研究人員發現兩種Spectre v2攻擊手法，分別是稱做名為分支目標注入（Branch Target Injection，BTI）和分支歷史注入（Branch History Injection，BHI），而這次他們公布的發現，也與BHI有關，但與原先揭露的手法有所不同，因為它們不需依賴可在Linux系統核心執行的eBPF過濾器，使得原本Intel建議用戶的緩解措施無效。</p> <p>未經身分驗證的攻擊者可利用新的漏洞，從而推測並跳躍至特定小器具，最終達到洩漏處理器占用的記憶體資料內容，<a href="https://kb.cert.org/vuls/id/155143">這項弱點被登記為CVE-2024-2201</a>，對此，Intel表示<a href="https://www.intel.com/content/www/us/en/developer/articles/technical/software-security-guidance/technical-documentation/branch-history-injection.html">將在未來推出的處理器當中，藉由硬體機制緩解BHI弱點帶來的衝擊</a>。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/YTTMaLVvRpA?si=YC6CMJQjj06FRXT3" title="YouTube video player" width="560"></iframe></p> </div></div></div>
2024/4/15 15:23作者周峻佑https://www.ithome.com.tw/news/162307
XZ Utils供應鏈攻擊再傳災情，以Rust打造的程式庫liblzma也遭植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩週前微軟研究人員Andres Freund意外發現<a href="https://www.ithome.com.tw/news/162040">涉及SSH伺服器的供應鏈攻擊</a>，並指出問題是在SSHD（Secure Shell Daemon）採用的資料壓縮程式庫XZ Utils，攻擊者對其中的LMZA壓縮演算法元件liblzma出手，在其程式碼埋入後門，<a href="https://www.ithome.com.tw/news/162130">潛伏長達3年</a>，Red Hat將其登記為CVE-2024-3094列管，CVSS風險評分達到10分，震驚整個開源社群及資安界。</p> <p>但XZ Utils及其中的liblzma元件並非只有SSHD採用，開源專案運用的情況相關廣泛，究竟其影響範圍如何，是否有人著手進行清查？迄今尚未有相關組織或研究人員提出說明。然而，在此情況不明的態勢下，又傳出有此後門程式的供應鏈攻擊事故。</p> <p>資安業者Phylum指出，他們發現<a href="https://blog.phylum.io/rust-crate-shipping-xz-backdoor/">以程式語言Rust實作的liblzma遭遇供應鏈攻擊</a>，維護者於4月5日將其中一個元件liblzma-sys進行0.3.2改版，但研究人員發現，當中被植入了「XZ後門程式」，而有可能導致該程式庫面臨潛在威脅，或是被用於寄生攻擊。</p> <p>程式庫liblzma原是在XZ Utils實作的LZMA資料壓縮程式庫，有人以Rust程式語言打造同名程式庫，上架於Rust套件庫crates.io，供這種程式語言的開發者運用。</p> <p>對此，研究人員9日於該專案的程式碼儲存庫GitHub通報此事，數個小時後開發者移除相關程式碼。在下架之前，受影響的liblzma、liblzma-sys程式庫分別被下載5,500及1,100次。</p> </div></div></div>
2024/4/15 11:17作者周峻佑https://www.ithome.com.tw/news/162292
三星裝置端AI功能延伸到舊款手機、平板
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星從去年起為最新款頂級款智慧型手機加入AI功能，不過上周<a href="https://r1.community.samsung.com/t5/%EA%B0%A4%EB%9F%AD%EC%8B%9C-s/s22-one-ui-6-1-5%EC%9B%94%EC%B4%88%EC%98%88%EC%A0%95/td-p/26442659" target="_blank">三星在社群公告</a>，5月起，舊版手機S21、S22及同系列平板，將可獲得Galaxy AI功能。</p> <p>三星是在今年初上市的Galaxy 24首度加入AI功能，包含Google Gemini Nano為基礎的聊天機器人、AI搜尋功能。本月初三星再將手機端AI功能<a href="https://www.samsung.com/tw/galaxy-ai/" target="_blank">擴大到</a>Galaxy S23 FE、S23、以及Z Flip 5、Z Fold 5。</p> <p>在上周宣布下，三星5月將為更早推出的機種，包括2022年的S22F、Flip 4/Fold 4、Tab S8F以及2021年的S21F、Flip 3/Flip 3釋出OneUI 6.1版，並由此提供AI功能。但基於硬體規格，舊機種僅會獲得部份AI功能，例如2022年的產品可得到影片即時慢動作（Instant Slow-mo）之外的所有Galaxy AI功能，而2021年產品只會有Circle to Search和Magic Rewrite。</p> <p>同時間，三星宣布Galaxy AI將可獲得更多語言支援，並部署到今年和去年的產品。在原有13種語言外，新增的語言支援包括阿拉伯語、印尼及俄語及三種方言：澳洲英語、廣東話及加拿大法語。三星計畫今年還會再增加繁體中文、歐洲葡語、羅馬尼亞、土耳其、荷蘭及瑞典語。</p> <p>Galaxy AI功能包括即時雙向語音與文字翻譯、分割螢幕翻譯、Gemini聊天機器人為基礎的對話、重點摘要、以及聽寫（transcription），以及網頁內容重點整理及翻譯功能。</p> <p>用戶必須開啟手機上的「設定」App下載安裝語言套件包，以取得新AI語言支援。</p> </div></div></div>
2024/4/15 10:30作者林妍溱https://www.ithome.com.tw/news/162290
Google One的VPN服務今年將關閉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周宣布將在今年內關閉付費服務Google One中的VPN功能。</p> <p><a href="https://www.androidauthority.com/vpn-by-google-one-shut-down-3433530/" target="_blank">Android Authority</a>首先報導，Google周五以電子郵件通知Google One用戶今年內的服務變更。Google並向<a href="https://9to5google.com/2024/04/11/google-one-vpn-discontinued/" target="_blank">9to5Google</a>證實此事。</p> <p>Google VPN原本包含在寬頻服務Google Fi，2020年<a href="https://www.ithome.com.tw/news/140862" target="_blank">納入</a>付費服務Google One中。這項服務免費提供給選用2TB Google Drive以上的用戶，2022年Pixel 7推出時也內含免費的VPN。Google One的VPN服務原本月費9.99美元，去年Google將費用調降為1.99美元。</p> <p>Google對媒體表示，公司將重新聚焦，以支援「最有需求的Google One功能」。</p> <p>不過，Google VPN服務仍然會持續提供給Pixel 7以上的用戶。Pixel 8改為內建VPN，而且Google<a href="https://support.google.com/pixelphone/answer/2819573" target="_blank">說明</a>7、7 Pro、7a及Fold機種也將在6月更新，改為內建VPN，不再需要安裝Google One App。此外，寬頻服務Google Fi的VPN也仍然持續。</p> <p>Google VPN之前引發一些爭議。有用戶<a href="https://www.ithome.com.tw/news/162139" target="_blank">發現</a>，從去年底開始，Google VPN會將Windows及Mac電腦VPN的DNS設定，自動變更為Google DNS伺服器（8.8.8.8），不論用戶原有設定為何，而且即使關閉甚至刪掉Google VPN，都無法改掉Google設定。Google年初承諾改善，但似乎到上周問題仍未解決。</p> </div></div></div>
2024/4/15 11:00作者林妍溱https://www.ithome.com.tw/news/162291
【iThome 2024資安大調查系列1】2024企業最需警戒的資安風險
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1177-cover-feng_xian_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是我們第四度發布企業資安風險圖，彙整了422家大型企業或知名企業IT主管、資安主管對於25項資安風險的威脅和衝擊評估，繪製出了這一份臺灣大型企業用的2024～2025企業資安風險圖，還細分成6個產業的風險分布圖，揭露每個產業各自的資安態勢。</p> <p>今年所調查的25項資安風險，還可細分為三大類，攻擊者的風險5項、攻擊途徑的風險8項，以及12項攻擊事件的風險項目。對企業來說，面對這三類風險的因應策略，有很大的不同，因應攻擊者的風險，企業得學會攻擊者的思維，像是可以參考ATT&CK資安框架，來了解可能遭遇的網路攻擊手法，來設計攻防演練和強化自身防護能力的參考。</p> <p>而針對不同的攻擊途徑，則得考慮企業對不同途徑（這往往也是面對顧客的服務通路）的依賴程度，來強化對關鍵通路的資安，設計專門的防護機制。而在資安事件的對策上，偵測能力和應變能力是關鍵，一方面提前發現可疑行跡來阻斷災情，另一方面則是在災情不可避免的發生後，快速應變和緩解，盡可能降低損失和衝擊。</p> <p>每一年、每一個產業的企業資安風險圖的分布，都不太一樣，因為每一年企業所面臨的資安態勢都會變化。企業可以依據每一年，自己所屬產業的資安風險圖，來了解這三大類共25項風險項目的發生可能性，以及衝擊高低。</p> <p>越是出現在第一象限的資安風險，就越是得高度警戒的項目，也是資安資源優先投入的重點，尤其我們都會整合風險高低和衝擊高低，歸納出當年的必要風險和次要風險，這兩項就是企業在未來一年高度可能發生，也是非提前防範不可的風險。</p> <p>今年的12大風險項目，看似與去年十大風險項目很像，前六項的內容和順序，的確都和去年相當，社交工程手段連續兩年名列年度最高風險（最容易發生的資安風險），4成企業都認為未來一年極可能遭遇，二到六名依序是勒索軟體資安事件、駭客、釣魚網站、資安漏洞、商業郵件詐騙。</p> <p>但是，去年名列第七的ChatGPT淪為攻擊工具的風險，在今年下滑到了第11名。今年大調查新增加的風險項目「被植入竊資軟體/後門木馬」則以些微差距，超越ChatGPT風險，成了今年第10項資安風險。</p> <p>從整體產業風險來看，ChatGPT風險看似下降，高度擔心此風險的企業也從去年的20.9%，今年減少了一些下滑到17.1%。但若進一步來檢視不同產業，會發現仍有很大的產業落差。高科技製造業是最擔心ChatGPT和GAI（生成式AI）風險的產業，每四家就有一家高科技業者認為，自己未來一年非常有可能遭遇此攻擊。醫療業和金融業也都有將近2成企業擔心。去年特別擔心ChatGPT風險的政府機關（去年21.7%）和一般製造業（去年23.2%），在今年都大幅下滑到15%以下。2022年開始爆紅的ChatGPT和GAI，企業經過一年的嘗試、模索，開始從莫名驚喜和擔憂，轉為更務實的看待，來評估可能的威脅風險處理。</p> <p><span style="font-size:28px;"><strong>運用深偽技術的商業詐騙，成為明確的資安新威脅</strong></span></p> <p>值得留意的有一項快速浮現的風險是「深偽技術（Deepfake）冒用事件」，今年有8.5%企業列為未來一年極可能發生的風險，這個比例在去年只有4.4%，今年幾乎翻了快一倍。尤其是金融業，去年幾乎沒有金融業者擔心這項風險，但今年卻暴增到14.8%。政府機關也從去年的4.3％，今年增加到9.8%，多了一倍的政府機關與學校格外擔心這項風險。</p> <p>雖然早在2022年，美國聯邦調查局就發布警告提醒企業小心深偽技術的風險，但是，直到今年2月，在香港爆發了一起結合商業郵件詐騙和深偽技術的詐騙攻擊，損失高達2億港幣。一家跨國企業員工收到駭客假冒總部財務長要求轉帳的郵件，雖然員工謹慎地要求視訊，但駭客偽造相關與會者的長相和聲音非常逼真，讓員工卸下心防而依照指示轉帳，事後才發現上當。這起真實的深偽商業詐騙事件，引起各界重視，金融界更是高度警戒。因此，在今年資安風險圖上，可看到深偽技術的風險程度明顯增加許多。一般製造業的擔心也不亞於金融，多達13.3%一般製造業者擔心遭遇到同樣的深偽詐騙。</p> <p><span style="font-size:28px;"><strong>臺灣企業大大低估了軟體供應鏈資安威脅的風險</strong></span></p> <p>還有一項排名不高但值得企業資安長留意的資安風險，今年資安大調查中，只有4.0%企業擔心未來一年發生「軟體供應鏈資安事件」，在25項風險中名列倒數第三，擔心的企業百分比甚至比去年4.9%還要更少。但這項臺灣企業格外輕忽的資安風險，卻是美國政府、大型跨國企業格外擔心的重大威脅。</p> <p>尤其在今年3月29日<a href="https://www.ithome.com.tw/news/162130" target="_blank">，發生了一起震驚IT界的XZ程式庫遭植入後門事件</a>，攻擊者精心潛伏，扮演熱心的開源貢獻者，花了2年時間參與開放原始碼軟體專案XZ的維護，來獲取其他開發人員的信心，為了就是暗中植入惡意程式碼。</p> <p>只因有位開發者察覺SSH登入失敗及變慢500毫秒的異狀，才揪出暗藏的後門程式碼，揭露了此項精心設計的供應鏈攻擊，還沒有感染到整個Linux作業系統軟體鏈，否則後果不堪設想，任何一家使用了Linux作業系統的企業（幾乎是每一家了），都會出現了10分威脅度後門漏洞。</p> <p>雖然這起事件發生在今年資安大調查執行時間之後，從大調查，還無法看到這起事件對臺灣企業資安警戒心的影響，但在事件發生之前，臺灣企業普遍對於軟體供應鏈攻擊的威脅感，非常的低，從今年資安大調查結果，只有4％的企業擔心這樣風險，就可以得知。隨著XZ資安後門事件的爆發，軟體供應鏈資安勢必再次成為資安界的熱門課題，臺灣企業得改變心態，開始正視這項風險。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1177-COVER-%E9%A2%A8%E9%9A%AA-%E5%9C%961.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1177-COVER-%E9%A2%A8%E9%9A%AA-%E5%9C%962(2).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1177-COVER-%E9%A2%A8%E9%9A%AA-%E5%9C%963.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 問卷說明 </span></span> iThome資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業資安最高主管占了62.8%，企業CIO則占了71.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/4/15 11:10作者王宏仁https://www.ithome.com.tw/article/162252
Palo Alto Networks防火牆平臺PAN-OS含有已被利用的安全漏洞，允許駭客執行任意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.volexity.com/blog/2024/04/12/zero-day-exploitation-of-unauthenticated-remote-code-execution-vulnerability-in-globalprotect-cve-2024-3400/" target="_blank">資安業者Volexity近日發現</a>了Palo Alto Networks的防火牆平臺PAN-OS含有一個安全漏洞，已被駭客用來攻擊Volexity客戶，Palo Alto Networks很快便<a href="https://security.paloaltonetworks.com/CVE-2024-3400" target="_blank">發出安全公告</a>，指出該漏洞編號為CVE-2024-3400，是個作業系統的命令注入漏洞，允許未經授權的駭客執行任意程式，已計畫於4月14日進行修補。</p> <p>PAN-OS為Palo Alto Networks所開發的作業系統，支援該公司所有的防火牆產品。根據Volexity的描述，該公司是在4月10日收到來自客戶防火牆的可疑流量警報，調查發現該裝置已被危害，隔天，同一駭客又以同樣的手法危害了另一家客戶。</p> <p>Volexity將此一駭客命名為UTA0218，其攻擊手法是先自遠端滲透受害者的防火牆裝置，建立一個Reverse Shell，再下載更多的工具至被駭裝置上。UTA0218鎖定自被駭裝置匯出配置資料，並利用相關資料作為入口以於受害組織內進行橫向移動。</p> <p>儘管是在4月10日才確定該漏洞已遭到利用，但Volexity隨後的調查顯示，從今年3月26日以來，便有不同的組織受害。</p> <p>至於<a href="https://unit42.paloaltonetworks.com/cve-2024-3400/" target="_blank">Palo Alto Networks也證實</a>，CVE-2024-3400允許未經授權的駭客於防火牆上以最高權限（Root）執行任意程式碼，其CVSS風險評分為最高的10.0。</p> <p>此外，該漏洞影響了PAN-OS 10.2、PAN-OS 11.0及PAN-OS 11.1等版本的作業系統，但僅限於其防火牆配置啟用GlobalProtect閘道與裝置遙測功能，並未波及Cloud NGFW雲端防火牆、Panorama設備或Prisma Access。即使Palo Alto Networks已計畫於4月14日修補，但用戶亦可暫時關閉遙測功能來緩解漏洞。</p> <p class="rtecenter"><a href="http://security.paloaltonetworks.com/CVE-2024-3400" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0415-CVE-2024-3400%20PAN-OS-Palo%20Alto%20Networks.png" style="width: 539px;" /></a></p> </div></div></div>
2024/4/15 09:03作者陳曉莉https://www.ithome.com.tw/news/162282
光學大廠Hoya傳勒索軟體攻擊，被竊走近200萬份文件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導日本光學大廠Hoya 3月底遭到勒索軟體攻擊，竊取將近200萬份文件，並被勒索1千萬美元贖金。</p> <p>Hoya以製造玻璃聞名，除了是知名鏡片品牌，產品也涵蓋晶片生產必要的光罩基板，是半導體供應鏈重要一環。<a href="https://ssl4.eir-parts.net/doc/7741/tdnet/2418411/00.pdf" target="_blank">這家日本光學大廠日前(4/4)公布</a>3月30日偵測到一起網路安全事件，影響日本總部及數個事業部門的IT系統。該公司表示已啟動調查，了解影響範圍，包括是否有個資或機密資料受到波及。</p> <p>不過上周法國<a href="https://www.tomshardware.com/tech-industry/cyber-security/critical-euv-chipmaking-tool-supplier-hacked-pressed-to-pay-dollar10-million-for-ransomware-unlock-hoya-dismisses-hack-as-an-it-system-incident" target="_blank">媒體LeMagIT揭露</a>，Hoya是遭到了勒索軟體攻擊，宣稱是名為Hunters International的組織所為。報導並貼出關於資料外洩網站對這次攻擊事件的相關資訊，包括已取得170萬份（約2TB）的文件檔案，及向Hoya索討1千萬美元贖金，歹徒並祭出不得討價還價也不折扣的原則。資安媒體<a href="https://www.bleepingcomputer.com/news/security/optics-giant-hoya-hit-with-10-million-ransomware-demand/" target="_blank">Bleeping Computer</a>也發現這樁勒索軟體攻擊的證據。</p> <p>不過駭客並未公布任何文件擷圖，也未提供竊得的檔案類型或相關描述。</p> <p>Hunters International為去年年中出現的勒索軟體即服務（Ransom-as-a-Service,RaaS），據報導可能是2023年初被美、德及荷蘭警方聯手破獲的Hive勒索軟體死灰復燃後改名而成的勒索軟體，因為兩者程式碼有60%重疊。但<a href="https://www.bleepingcomputer.com/news/security/new-hunters-international-ransomware-possible-rebrand-of-hive/" target="_blank">Hunter International</a>否認兩者的關聯性。</p> <p>Hoya至今尚未提供攻擊的調查進展，也未回應關於勒索軟體攻擊報導。</p> </div></div></div>
2024/4/15 09:50作者林妍溱https://www.ithome.com.tw/news/162283
AI生態系Python獨大，Go缺乏關鍵函式庫應用阻礙多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Go團隊公開了最新<a href="https://go.dev/blog/survey2024-h1-results#mlai">開發者調查</a>的結果，該調查其中一項值得關注的重點，是Go開發者在使用大型語言模型的狀況，以及對Go語言支援人工智慧應用開發的回饋。結果顯示，雖然不少Go開發者，已經使用Go或是希望將人工智慧工作負載搬遷至Go，但是卻都面臨函式庫與文件生態系不足的挑戰。</p> <p>Go團隊針對開發者在生成式人工智慧應用程式的開發經驗，進行更深入的探究，調查發現，有50％的受訪者來自正在建置或是探索人工智慧服務的組織，其中又有56％的人正參與開發人工智慧功能，也就是整體受訪者的四分之一，正在開發或使用生成式人工智慧服務。</p> <p>在這些專業使用生成式人工智慧服務的Go開發人員中，有81％的人使用OpenAI的ChatGPT或DALL-E模型，並且有53％的受訪者，至少使用一種開源模型，如Llama、Mistral等。</p> <p>Go團隊指出，超過千名員工的大型組織與較小組織在使用模型的傾向上略有不同，大型組織使用OpenAI模型的比例略低為74％，較小組織則為83％，而使用其他專有模型方面，大型組織比例22％，略高於較小組織的11％。</p> <p>而在開源模型的使用上，則與公司規模無關，無論大型組織還是較小組織，都有超過一半的公司選擇使用開源模型，分別是51％和53％。但對整體受訪者來說，有高達47％的受訪者偏好開源模型，只有19％的人偏好使用專有模型，37％的受訪者表示對開源或專有模型沒有特別偏好。</p> <p>正在建置人工智慧功能的受訪者，其中約有三分之一表示已經使用Go語言，開發包括新功能原型和整合大型語言服務。受訪者認為Go特別適用於資料工作管線和託管API端點，比例分別為37％和41％。</p> <p>而之所以受訪者認為Go適合用於開發人工智慧工作負載有多項原因。Go程式語言設計追求簡潔清晰，對處理大量資料和高並行人工智慧任務來說很重要，由於Go具有先進的並行機制，在進行大規模處理時，程式碼可以更為簡潔且安全，而且Go程式在編譯之後，可以成為一個獨立的二進位檔案，不需要相依外部項目，簡化了部署過程。</p> <p>相較於人工智慧開發的另一個熱門語言Python，Go的特性是更為穩定，且使用的運算資源更低，更容易在生產環境中應用。</p> <p>不過，Go團隊也發現，其中有四分之一的受訪者，雖然也希望將Go用於開發人工智慧應用，但是面臨一些阻礙。Go團隊提到，人工智慧生態系以Python為中心，開發者所熟悉的函式庫和框架都是以Python開發，而資料科學家和研究人員也都熟悉使用Python。其中有62％正參與人工智慧功能開發的受訪者，已經使用Python整合生成式人工智慧模型，而在這群體中，有57％的人希望可以使用Go。</p> <p>在已經使用Python開發人工智慧功能的受訪者，有92％當Go也具有與Python函式庫相同功能的專案時，他們會願意使用Go整合生成式人工智慧系統。</p> <p>不過，與Python生態系相比，Go不僅缺乏許多函式庫，而且開發者也普遍認為，Go在相關函式庫的投資較少，像是Python的Pandas函式庫是資料科學領域的核心工具之一，Go目前沒有相對應的函式庫，因此要在Go中進行資料處理和分析便更為困難。</p> <p>目前人工智慧領域專家都很熟悉Python，會在Python中進行實驗和建立概念性驗證，但是Go缺乏Python函式庫的變體，因此削弱了開發人員嘗試將Python程式移植到Go中，以Go建立生產人工智慧應用的能力。</p> <p>雖然Go在可靠性和效能等方面，都可以在呼叫GPT-4或Gemini等託管模型表現良好，但是卻在建立、評估和部署自訂模型方面受到挑戰，主要原因還是Go缺乏相關的函式庫，限制了Go在人工智慧領域中被更廣泛的應用。</p> </div></div></div>
2024/4/15 08:20作者李建興https://www.ithome.com.tw/news/162272
OpenAI將GPT-4 Turbo部署至付費版ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://twitter.com/OpenAI/status/1778574613813006610" target="_blank">上周五（4/12）宣布</a>，已將GPT-4 Turbo部署至付費的ChatGPT版本中，包含ChatGPT Plus、ChatGPT Team、ChatGPT Enterprise，以及ChatGPT API。</p> <p>OpenAI是在<a href="https://www.ithome.com.tw/news/159671" target="_blank">去年11月開始預覽</a>GPT-4 Turbo，它支援12.8萬（128K）個Token的脈絡，最初的版本為gpt-4-1106-preview，以截至2023年4月的資料進行訓練，之後所釋出的版本皆採用截至2023年12月的資料進行訓練，包括gpt-4-0125-preview、gpt-4-turbo-preview、gpt-4-turbo-2024-04-09，以及日前上線的<a href="https://www.ithome.com.tw/news/162209" target="_blank">GPT-4 Turbo with Vision</a>。</p> <p>而即將部署至付費版ChatGPT的則是gpt-4-turbo-2024-04-09，OpenAI比較了gpt-4-0125-preview與gpt-4-turbo-2024-04-09，顯示最新版在研究生等級的問答（GPQA）或是數學競賽（MATH）等基準測試中都有明顯的進步，有關邏輯推論與程式碼撰寫的基準測試成績亦有所改善。</p> <p class="rtecenter"><a href="https://twitter.com/OpenAI/status/1778574613813006610" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0415-Benchmark%20Results-open%20ai-gpt-turbo-1(1).png" style="width: 600px;" /></a></p> <p>此外，<a href="https://twitter.com/OpenAI/status/1778574615683719243/photo/1" target="_blank">基於gpt-4-turbo-2024-04-09的ChatGPT</a>可提供更直接、簡潔，也更口語化的回應。</p> <p class="rtecenter"><a href="http://twitter.com/OpenAI/status/1778574615683719243/photo/1" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0415-Benchmark%20Results-open%20ai-gpt-turbo-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://github.com/openai/simple-evals" target="_blank">OpenAI透過GitHub揭露</a>了gpt-4-turbo-2024-04-09與其它模型的比較，顯示它不管是在DROP、MATH或HumanEval等基準測試上都贏過Claude 3 Opus及Gemini 1.0 Ultra，但Claude 3 Opus在GPQA、MGSM及MMLU上的表現則勝過gpt-4-turbo-2024-04-09。</p> <p class="rtecenter"><a href="https://github.com/openai/simple-evals?tab=readme-ov-file#benchmark-results" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0415-Benchmark%20Results-open%20ai-g%5Bpt-turbo.png" style="width: 600px;" /></a></p> <p>有趣的是，雖然OpenAI現有的免費版ChatGPT僅支援GPT-3.5或GPT-4，但同樣以GPT作為AI服務底層架構的微軟，<a href="https://www.ithome.com.tw/news/161760" target="_blank">已於免費的Copilot服務中採用GPT-4 Turbo</a>。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> </div></div></div>
2024/4/15 08:41作者陳曉莉https://www.ithome.com.tw/news/162281
結合豐富的API探查與資安防護，F5提供全方位API安全方案
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/f5_xc-api_security-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想要守護應用系統安全，不只是關注底層系統平臺的健全，上層執行的應用程式也是關鍵，都有多種層面需要留意，單是存取應用程式的管道上，不只是可透過大家熟悉的瀏覽器、行動App，還可以運用API呼叫來進行，前兩者的資安管控已發展多年，API管理與安全性防護卻是多數人都很陌生的議題。</p> <p>隨著軟體應用程式數量快速增長，所提供與使用的API數量更是呈現爆炸性增長，已經多到企業不知道自家應用系統到底涉及多少支API，而這些API甚至有可能是非法或未列管；而且，為了方便使用，API的設計方式很開放，對於API的存取與驗證並未採取嚴謹的監控；更可怕的是，部分設計不良或管控不佳的API，有可能會暴露或洩漏大量機敏資料與個資。</p> <p>針對這些需求，市場上陸續出現多種產品，有些是經由網站應用程式防火牆（WAF）、DoS防護、機器人防護（Bot Defense）供應，有些則是透過API閘道、API管理、API探查（API Discovery）等專屬系統來因應。</p> <p><a href="https://s4.itho.me/sites/default/files/images/API Security solutions-2024-04.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/API%20Security%20solutions-2024-04.jpg" style="width: 600px;" /></a></p> <p>而以應用程式遞送控制器（ADC）與4到7層（L4-7）負載平衡器聞名的F5，持續耕耘這個領域，今年2月宣布併購API安全新創公司Wib，而能基於他們在應用程式維運階段提供的API安全解決方案，延伸到應用程式開發階段，提供資安漏洞偵測與可觀測性處理功能，以便在API進到正式環境之前，就能識別風險與套用控管政策，並強調他們這幾年持續擴充與推廣的<a href="https://www.ithome.com.tw/review/149592">Distributed Cloud WAAP</a>，可提供涵蓋API整個生命週期的安全解決方案，而不需採購與管理個別的API安全解決方案，就能以單一平臺執行API的探查（Discovery）、測試、態勢管理，以及執行時期的防護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/F5 API Security-2024-04-TW-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20API%20Security-2024-04-TW-2.jpg" style="width: 600px;" /></a></p> <p>結合Wib平臺之後，F5提供的解決方案稱為F5 Distributed Cloud API Security，主打哪些特色？</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20API%20Security-2024-04-TW-3.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/F5 API Security-2024-04-TW-4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20API%20Security-2024-04-TW-4.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/F5 API Security-2024-04-TW-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20API%20Security-2024-04-TW-5.jpg" style="width: 298px;" /></a></p> <p>首先，可在新API進到正式環境使用之前，導入漏洞識別、嚴格的政策強制實施、精準描述等管控機制，大幅減少資安空窗期（相關技術應該源於Wib）；第二，具備明確的法規遵循指引，對於資安團隊與資安長而言，可運用即時的標準與法規遵循報告產生能力；第三，賦予廣泛的API探查機制，可涵蓋應用系統程式碼使用的第三方API，以及未列管的API，而這些API可以是位於網際網路的，或是透過App遙測所參考的API；第四，提供兼具API探查與強制控管的單一解決方案，能處理程式碼至執行時期的協定、政策與組態設定（後三者源於F5 Distributed Cloud Services）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-F5 API Sec-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-F5%20API%20Sec-3.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F5 XC-API Security-enabled2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20XC-API%20Security-enabled2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/F5 XC-API Security-dashboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20XC-API%20Security-dashboard.jpg" style="width: 298px;" /></a></p> <p>若以API探查與防護而言，F5 Distributed Cloud API Security可提供5種功能。首先是API程式碼分析，能在API部署至正式環境之前，先行探查API端點與評估它們的資安風險；第二是API測試，可探測是否具有資安漏洞，並在程式碼與流量分析處理當中，驗證所偵測到的可能資安威脅；第三是API法規遵循分析，可透過滿足客戶端的法規需求，確保API安全態勢；第四是API威脅面評估，可監控企業與組織的公開數位資產是否採用新API，以及資安治理無法管轄的API；第五是API安全性融合引擎，可建立高度整合的解決方案，能夠橫跨各種資訊來源，驗證是否存在資安威脅、漏洞，以及所得到的相關洞察分析情報。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-F5 API Sec-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-F5%20API%20Sec-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/F5 API Security-2023-07-Threat and Risk.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20API%20Security-2023-07-Threat%20and%20Risk.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/F5 API Security-2023-07-Posture.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/F5%20API%20Security-2023-07-Posture.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>F5 Distributed Cloud API Security</strong><br /> ●原廠：F5<br /> ●建議售價：廠商未提供<br /> ●主要功能：API探查、API綱要學習、API綱要匯入、OpenAPI規格驗證、API存取與驗證強化、API與應用程式線上安全政策強制實施、API監控、API用量圖解、敏感資料偵測與遮罩、API認證探查、API風險評分<br /> ●資安防護機制：WAF特徵碼比對、應用層DoS緩解、限速、IP信譽比對、黑白名單控管</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/4/14 17:03作者李宗翰https://www.ithome.com.tw/review/162273
AI趨勢周報第250期：Google一篇論文揭示LLM如何處理無限長文字輸入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0405～0411)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 文長 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google一篇論文揭示LLM如何處理無限長文字輸入</strong></span></p> <p>Google最近揭露一種Transformer大型語言模型（LLM）的新擴展方法，可利用有限的記憶體和運算資源，來處理無限長的文字輸入。Google在《Leave No Context Behind》論文中說明這項新方法，他們設計一種無限注意力（Infini-attention）機制，將壓縮的記憶納入普通注意力機制中，並將遮罩的局部注意力和長期線性注意力機制，結合在單一個Transformer區塊，能讓模型具備完整的上下文知識。</p> <p>這個無限注意力機制，可重複使用標準注意力的鍵、值和查詢狀態，來進行長期記憶整合與檢索。有別於丟棄舊的鍵值（KV），無限注意力方法將舊鍵值儲存在壓縮的記憶體，並用注意力查詢狀態來檢索值，以便處理之後的序列。這個修改Transformer注意力層的作法，能支援模型的連續預訓練和微調，進而讓LLM可以處理無限長度的文字。</p> <p>經測試，使用這個方法的模型，在長文語言模型測試基準中，表現都比基準模型要好，甚至可實現114倍的理解率。他們也發現，10億參數的LLM採用該方法，可將輸入值長度擴展至100萬個序列，還能實現密鑰檢索任務。最後，他們實驗顯示，採用無限注意力機制的80億參數模型，在文長50萬的書籍摘要任務中能達到SOTA表現。<a href="https://arxiv.org/abs/2404.07143">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-04-14%20at%204_00_21%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> UI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>讓LLM更懂螢幕內容！蘋果揭新模型Ferret-UI</strong></span></p> <p>就在6月份的年度技術大會WWDC 2024前，蘋果發表一項大型語言模型（LLM）最新研究成果，自建一套Ferret-UI大語言模型，更懂行動裝置使用者介面（UI）的互動和細膩需求。蘋果團隊在論文中表示，雖然GPT-3這類LLM可執行多種任務，但仍難以理解UI互動，特別是行動裝置領域。</p> <p>這是因為，行動裝置UI畫面和自然圖像很不一樣，UI畫面具有特定長寬比例，畫面上的物件也較小，比如icon圖示和文字，這些特性在自然圖像上很難見到。為解決這些挑戰，Ferret-UI採用了任意解析度的機制，能處理不同長寬比的螢幕，還能放大細節、增強提取的視覺特徵。Ferret-UI接著對每個子圖像分別編碼，來避免丟失關鍵的視覺資訊。</p> <p>此外，Ferret-UI還採用一種新的資料管理方法，從各種UI任務中收集訓練樣本，這些任務包括圖示辨識、尋找文字和小工具列表。這些任務讓Ferret-UI學會認識UI元素的語義和空間定位，因此能進行更廣泛的任務。除了基礎任務，Ferret-UI也進行特定任務訓練，如生成詳細描述、感知對話理解和功能推理。為評估Ferret-UI，團隊還建立一個涵蓋各種UI任務的基準測試，與其他開源LLM和GPT-4V相比，Ferret-UI表現更好，尤其是在基礎UI任務和高階推理能力上。若蘋果將Ferret UI整合到智慧助理Siri中，可實現無縫的應用程式整合、推進自然語言導航等。<a href="https://arxiv.org/abs/2404.05719">（詳全文）</a></p> <p><img alt="" src="https://analyticsindiamag.com/wp-content/uploads/2024/04/image-8.png.webp" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Gemini </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google生成式AI助理Gemini for Google Cloud正式亮相</strong></span></p> <p>在本周舉行的Google Cloud Next '24上，Google正式發表Gemini for Google Cloud，是一款以大型語言模型Gemini驅動的生成式AI助理，按不同功能分為不同助理，包括Gemini Code Assist、Gemini Cloud Assist、Gemini in Security Operations、Gemini in BigQuery、Gemini in Looker和Gemini in Databases等。Google將Gemini打造成統一的AI品牌，不只於今年2月將聊天機器人Bard更名為Gemini，還以Gemini品牌全面取代先前發表的AI助理Duet AI。</p> <p>其中，Gemini Code Assist是先前的Duet AI for Developers，可協助開發者在VS Code和JetBrains等熱門程式編輯器中建置應用程式。Gemini Cloud Assist則是應用程式生命周期管理工具，能提供有關應用程式的設計、部署、管理和排除故障的個人化建議。Gemini in Security Operations則是繼承Duet AI in Security Operations，新版已將Gemini整合至Chronicle安全營運平臺，能更輕鬆偵測、調查與回應威脅。</p> <p>Gemini in BigQuery可協助資料工程師和分析師，用自然語言從海量資料中分析或找出有價值的資訊。Gemini in Looker則是商業智慧工具，可以聊天方式與資料庫對話，或用來建立圖表和報告。Gemini in Databases則讓Database Studio具備生成、摘錄SQL的能力，也允許使用者從Database Center中管理所有資料庫或資料庫遷移。<a href="https://cloud.google.com/blog/products/ai-machine-learning/gemini-for-google-cloud-is-here">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 外掛 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Workspace </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google Workspace新添多種生成式AI外掛</strong></span></p> <p>Google Workspace是生產力工具，現有30多億名用戶和1,000多萬名付費用戶。去年Google大舉投入AI，也為Workspace的Gmail、Docs、Sheets等應用內建Gemini。這次在今年度Next'24開發者大會上，Google宣布新添更多AI加持的應用，如Google Vids是款商務AI影片製作App，可製作行銷、客服或業務訓練等影片，還能協助用戶配音。Vids預計今年6月提供Workspace Labs更多人測試，之後由Gemini for Google Workspace方案開放訂閱。</p> <p>再來，Google Workspace也加入AI會議與訊息、AI安全等2項付費AI外掛功能。AI會議和訊息外掛可用於Meet用戶會議，像是專業攝影棚等級的攝影、打燈、音效、預覽版的「會議筆記」、聊天重點摘要和即時翻譯字幕功能。AI安全外掛可自動為公司Google Drive上的檔案與文件自動分類和加入防護，Google表示，該功能是以企業組織獨有資料訓練出AI模型後，用這些模型持續偵測和評估Drive的現有與新檔案。AI會議和訊息、以及AI安全收費皆為每人每月10美元。<a href="https://cloud.google.com/blog/topics/google-cloud-next/welcome-to-google-cloud-next24">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 聯發科 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>聯發科推出生成式AI服務平臺、最新繁中LLM</strong></span></p> <p>聯發科技日前一口氣發表生成式AI服務平臺MediaTek DaVinci（又稱達哥）和繁中大型語言模型MR BreeXe。首先，達哥最初是為集團內部開發，目的是要提高生產力，平臺內建API庫、提示優化引擎、擴充外掛庫、模型庫和分析引擎等重要元件。其中，外掛庫可用來擴充生成式AI模型知識、減少AI幻覺，模型庫則包含常見的大型語言模型（LLM），如Google Gemini、GPT-3.5/4V、Whisper、Claude 3和AWS Bedrock服務等，聯發科技自己最新打造的模型BreeXe也納入其中。</p> <p>今年，聯發科技優化該平臺，新添智慧助理架構，能讓使用者不必寫任何程式碼，就能打造自己的智能秘書。這個版本的平臺就是達哥2.0，還具備4個主要商店，包括AI模型、擴充外掛、提示範本、知識庫（DVCs）等，另也配備許多功能，包括DocChat、VideoChat、WebChat和Plug-ins。另一方面，這次揭露的繁中模型MR BreeXe是以Mixtral 8x7B模型為基礎，以大量繁中資料預訓練而成，在繁體中文基準測試TMMLU+和MT Bench TW上超越GPT-3.5。該模型也對臺灣常見的地端應用特別優化，要提高產業界使用生成式AI和檢索增強生成（RAG）的體驗。使用者可透過達哥平臺使用MR BreeXe，它還支援全地端與部分地端場景，也能依需求進行少樣本學習和微調客製化。<a href="https://www.ithome.com.tw/news/162202">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%81%94%E5%93%A5.jpeg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Mistral AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Mixtral 8x22B </span></strong></span></p> <p><span style="font-size:22px;"><strong>Mistral AI開源1,760億參數模型Mixtral 8x22B</strong></span></p> <p>去年4月才成立的AI業者Mistral AI最近就釋出新版的開源模型Mixtral 8x22B，採稀疏混合專家（SMoE）架構、支援1,760億個參數和6.5萬個Token的脈絡長度，已由Mistral AI的官方X帳號、Together API和Hugging Face發布，成為目前最大的開源模型之一。</p> <p>迄今Mistral AI已釋出3款開源模型，包括去年9月發表的Mistral 7B（Mistral-tiny），去年12月發表的Mixtral 8x7B（Mistral-small）和這次推出的Mixtral 8x22B，它們皆採Apache 2.0授權，允許開發者免費下載，並在自己的設備或伺服器上執行。Mixtral 8x22B的基準測試表現不錯，在大規模多工語言理解MMLU的成績為77.3，勝過前一代Mixtral 8x7B的71.88，也超越GPT-3.5、Claude 3低階版Haiku、Gemini 1.0 Pro，但仍不及GPT-4和Claude 3 Sonet/Opus。在基礎常識推論HellaSwag測試中，Mixtral 8x22B得分為88.9，僅不及GPT-4、Claude 3 Sonet/Opus和Gemini 1.5 Pro；但它在GSM8K數學測試中的得分為76.5，明顯不及GPT-4、Claude 3和Gemini的各種模型。不過，使用者可下載微調模型，打造為適合自己任務需求的模型。<a href="https://huggingface.co/mistral-community/Mixtral-8x22B-v0.1">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GPT-4 Turbo with Vision </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 視覺 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI GPT-4 Turbo with Vision上線</strong></span></p> <p>OpenAI最近加入視覺能力的基礎模型GPT-4 Turbo with Vision已正式上線，供付費用戶存取。現在，付費客戶可透過API存取，也能用JSON模式或函式呼叫方式發出請求。</p> <p>GPT-4 Turbo with Vision是OpenAI的大型多模態模型，整合自然語言處理和視覺理解能力，可分析用戶上傳的圖片並以文字回應。最新模型和GPT-4 Turbo同樣具有128K個Token脈絡，且訓練資料已更新到2023年12月。GPT-4 Turbo with Vision去年12月已先行整合到微軟Azure AI服務。<a href="https://twitter.com/OpenAI/status/1777772582680301665">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 模型微調 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 延遲 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI擴大AI模型微調功能</strong></span></p> <p>日前，OpenAI公布AI模型微調功能，讓企業或開發者自行微調AI模型，同時也提供企業輔助微調或從頭打造AI模型的服務。進一步來說，OpenAI在去年8月就推出GPT-3.5模型的微調API，已有數千家企業和開發商用來訓練上萬個模型。這個微調API不只能讓模型更理解訓練內容，還比普通ChatGPT單一提示支援更多範例，可提高回應結果品質，同時降低成本與延遲性。</p> <p>在這個基礎上，OpenAI再增加微調功能，包括周期（epoch-based）為基礎檢查點，減少過度擬合必須再訓練的困擾；比較性Playground UI，可同時比較多個模型輸出結果，或檢視在單一提示下的微調效果；整合第三方平臺，第一批包括Weights和Bias，方便開發者將微調的資料分享到其他軟體；大量參數配置，允許從Dashboard設定，以及微調能力的改善，支援輸入超大量參數、檢視詳細訓練量測值等。若企業需要幫忙微調，OpenAI也推出自訂模型方案，由一組OpenAI技術人員協助企業訓練與優化特定領域的模型。<a href="https://openai.com/blog/introducing-improvements-to-the-fine-tuning-api-and-expanding-our-custom-models-program">（詳全文）</a></p> <p><img alt="" src="https://images.openai.com/blob/23b755f0-f6f0-4d9f-a90a-b9264ed93731/fine-tuning-in-api.gif" /></p> <p>圖片來源／Google、蘋果、OpenAI</p> <p>攝影／王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Meta揭露最新一代AI晶片MTIA</strong></p> <p><strong>2. 吳恩達開設LLM非結構化資料處理課程</strong></p> <p><strong>3. Google新推2款Gemma系列模型，分別用於程式開發和研究</strong></p> <p>資料來源：iThome整理，2024年4月</p> </div></div></div>
2024/4/14 16:14作者王若樸https://www.ithome.com.tw/news/162278
【moda專欄】Wi-Fi
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0409-modazhuan_lan_-wifi-tu_1-tu_pian_lai_yuan_-shu_wei_bu_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">數位部</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>作者／數位發展部資源管理司陳威呈、毛胤立、杜偉任</strong></p> <p>「Wi-Fi」是你我生活不可或缺無線通訊技術，無論在家中、咖啡廳、圖書館、大型賣場、機場或是國外旅遊都會廣泛使用。本文將以頻譜管理的角度，簡要說明 Wi-Fi 的分類以及國內發展現況。</p> <hr /> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>無線通訊是什麼？</strong></span></span></p> <p>在開始說明前，請回想一下，小時候你可能曾用線繩將兩個紙杯串起來，做成一個簡易的電話。透過線繩的傳遞，你可以像使用市內電話一樣，聽到另一端紙杯中傳來的聲音。那麼，如果將線繩剪斷會發生什麼呢？現在，讓我們轉換一下情境：在一個音樂教室裡，你把一組相同大小的音叉放在可以互相傳遞聲音的範圍內，但不讓它們接觸。當你敲擊其中一個音叉時，你會發現另一個音叉也跟著振動了，這是因為聲波的振動使得它們共振了！</p> <p>這就像無線通訊一樣——即使手機沒有線繩連接，仍然可以進行通訊。</p> <p>如果我們在同一個傳遞範圍內放置一組更大的音叉，它們不僅不會與之前的音叉共振，而且可以獨立地產生新的無線通訊。這是因為不同大小的音叉會產生不同的共振頻率，它們可以在同一個傳遞範圍內和諧共存。手機裡的 Wi-Fi 和 5G 這兩套通訊系統就像不同大小的音叉，因此，我們能用手機透過 Wi-Fi 上網訂餐，但同時也可以用 5G 接收訊息，兩者之間不會有所衝突。</p> <p>當我們將使用的媒介從聲波換成電磁波，將紙杯或音叉換成手機、市內電話機、對講機、收音機等設備時，訊號透過 5G 基地臺、Wi-Fi 路由器、廣播電臺等通訊網路進行轉發、傳送與處理，這就是無線通訊系統的基本架構。</p> <p>另一方面，就像不同的聲波不會產生共振，不同頻率的電磁波也不會產生共振。這讓我們可以利用通訊天線、訊號處理的機制，來間接控制看不見、摸不到的電磁波，進而達到各種通訊間的最佳協調模式。</p> <p>除此之外，基於頻譜是物理上有限且稀缺的自然資源，無法讓每一種通訊系統都任意取用自己的專屬使用頻譜，這使得單一頻譜有多種通訊系統共用的情況屢見不鮮，就像是 2.4GHz 頻段同時存在著 Wi-Fi、Bluetooth 及 Zigbee 等使用不同通訊技術的通訊系統。為了使通訊系統間彼此使用頻譜不相互干擾，並將各組通訊要使用的頻譜做適當地規劃與分配，盡可能讓多組通訊系統和諧共存，就是數位發展部（後簡稱為「數位部」）的重要工作之一。</p> <p>此外，數位部只會針對「用途」來規劃頻譜，不會限制頻譜需使用特定的通訊技術。這是保持技術中立，讓所有的通訊技術都可以蓬勃發展，不偏於任何一方。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Wi-Fi 是什麼？</strong></span></span></p> <p>Wi-Fi 是由 Wi-Fi 聯盟（Wi-Fi Alliance）註冊的商標，是一種讓電子設備能在指定的無線電頻段，藉由無線電波傳輸信號互相連接的無線通訊技術。Wi-Fi 這種技術，允許設備（如電腦、智慧型手機、平板電腦、網絡視訊鏡頭等）以無線的方式連接到網際網路、或其他位於區域網路中的設備。Wi-Fi 網路使用路由器或接入點（AP-Access Point）發送和接收數據，這樣無線設備就可以通過無線信號與網絡連接。</p> <p>Wi-Fi 設備採用 IEEE 802.11 系列無線區域網路（WLAN）技術標準，並持續推出新世代無線通訊技術以支援更多設備連線、更快的傳輸速度以及更低的延遲。我們可以從近期各世代 Wi-Fi 版本所採用技術標準看出技術演進，如下表：</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/moda-wifi-%E5%9C%961.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/moda-wifi-%E5%9C%961.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／數位部</span></p> <p>從上表可以了解，因應使用頻寬及速度需求的提升，Wi-Fi 技術不斷演進，從最初使用 2.4GHz（2400-2483.5MHz）頻段，標準升級後增加 5GHz（5150-5350/5470-5850MHz）頻段；至今擴張至可使用 6GHz（5925-7125MHz）頻段，就是為了滿足商業與民眾物聯網需求而逐步增加使用頻譜。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Wi-Fi 使用的頻段有什麼區別？</strong></span></span></p> <p>無線電波在指定的頻段進行資料傳輸傳輸時，頻率越低、傳播距離越遠、穿透能力越強、覆蓋越廣，反之頻率越高、傳播距離越短、穿透能力越弱、覆蓋越窄，Wi-Fi 也是同樣的原理。目前 Wi-Fi 可以使用的頻段為 2.4GHz、5GHz 以及 6GHz，而不同世代的 Wi-Fi 演進的主要差異在於「使用頻段」和「頻寬大小」。</p> <p>簡單來說，每個頻段就好像不同類型的道路，每種道路可支援的寬度與車道數目因此有所不同。2.4GHz 好似單線雙向的鄉間小路，無法容納非常多的車輛，但能讓人深入更崎嶇難行的風景。5GHz 就像多線道的省道或是快速道路，雖然連續假期或上下班尖峰時期偶爾會壅塞，但仍然是通往不同地區的首選。最後的 6GHz 頻段大得多，就像設置多線道且配備許多交流道的高速公路，專供最新、最快且運載大量貨物的車輛使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/moda-wifi-%E5%9C%962.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／數位部</span></p> <p>以下就各國在指定無線電頻段方面存在部分差異，進行各頻段規格及特性的詳細說明：</p> <p>一、在 2.4GHz 部分，我國指定 2.4-2.4835GHz（共 83.5MHz 頻寬），最高可提供 3 個 20MHz 頻道供 Wi-Fi 使用，承上所述，2.4GHz 頻段為 Wi-Fi 可使用的最低頻段，所以訊號涵蓋與穿透效果較佳，適合透天厝或是坪數較大、隔間較多的使用者設置。</p> <p>此外，2.4GHz 是 Wi-Fi 最早使用的頻段，除支援設備較多外，微波爐、無線電話機、Bluetooth 及 Zigbee 設備、醫用設備等電器設備也都在這個頻段中，所以 2.4GHz 相對較擁擠，也比較容易產生相互干擾的問題。</p> <p>二、5GHz 部分，我國開放 4 個頻段包含 5.15-5.25GHz、5.25-5.35GHz、5.47-5.725GHz 及 5.725-5.85GHz（共 580MHz 頻寬），最高可提供 6 個 80MHz 供 Wi-Fi 使用，此頻段介於 2.4GHz 及 6GHz 之間，基於發展時程較 2.4GHz 晚，只與少數電磁波應用共用頻段，且免去 Bluetooth 及 Zigbee 搶佔可用通道。</p> <p>雖然 5GHz 的穿透力相對 2.4GHz 差，但使用頻寬為 2.4GHz 的七倍之多；此外，基於頻譜和諧共用，使用該頻段的設備必須具備動態頻率選擇功能（Dynamic Frequency Selection,DFS），來用以避免 Wi-Fi 與其他電磁波應用產生干擾。這使得 5GHz 頻段現在為影像、影片傳輸等大頻寬需求應用的主流使用頻段。</p> <p>三、6GHz 部分，我國開放頻段為 5945-6425MHz（共 480MHz 頻寬），最高可提供 3 個 160MHz 或 1 個 320MHz 供 Wi-Fi 使用。6GHz 頻段為 Wi-Fi 的新興使用頻段，雖然與其他通訊共用頻段且穿透性相對較差，但也具有高傳輸速率的先天優勢。因此，VR、AR、MR 等需高頻寬、低延遲傳輸特性的應用通常會優先選用此頻段。如要額外增加 6GHz 頻段，須具備先聽後傳（Listen-Before-Talk, LBT）等避免干擾機制的要求。禁止使用遙控無人機使用此頻段，也是為了避免 Wi-Fi 與其他通訊設備互相產生干擾。</p> <p>特別要說明的是，Wi-Fi 6E （指的是 Wi-Fi 6 標準的延伸（Extended）版本）及 Wi-Fi 7 版本均可在 6GHz 頻段運作。有別於擁擠的 2.4GHz 與 5GHz 頻段，6GHz 頻段可提供更多連續頻譜、減少干擾，以提高效率、增加傳輸量和加強安全性，且應用面更為廣泛。</p> <p>值得注意的是，世界各國對於開放供 Wi-Fi 使用頻段的作法不盡相同。由於無線業務需要和諧共用，各國政府基於現有頻譜使用情形與未來頻譜政策規劃都有所差異，因此開放供 Wi-Fi 使用的頻譜規劃也會有些許不同。</p> <p>例如，日本指定 2400-2497MHz 頻段供 Wi-Fi 使用，就有別於大部分開放 2400-2483.5MHz 的國家和地區。而在 6GHz 頻段，美國、韓國等國家開放 5925-7125MHz 供 Wi-Fi 使用，則與臺灣及歐盟等國家開放的 5945-6425MHz 有所區別。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>釋出頻譜及研析共存機制</strong></span></span></p> <p>Wi-Fi 自 1990 年代末期研發面世至今，已深入到你我日常生活之中。為了促進通訊創新應用發展，數位部於 2023 年 8 月完成修訂「中華民國無線電頻率分配表」，開放 Wi-Fi 使用的頻段為 5945-6425MHz，以滿足巨量物聯、高速率、大頻寬的需求。</p> <p>此外，數位部也調整了「無線電頻率供應計畫」，增加 6425-7125MHz 頻段，供測試實驗網路使用，目的是讓新創產業、系統或設備開發商有充足的頻譜進行系統驗證與測試。隨著國際通訊技術發展趨勢和服務使用需求更為明確後，我們也會再進一步滾動檢討開放釋出其他可用頻率，接軌國際。</p> <p>頻率是有限資源，為了使 Wi-Fi 與其他通訊能和諧共用無線電頻譜，Wi-Fi 設備的無線電波輸出功率是有設定上限的：這就好像是絡繹不絕的饕客在熱門的餐廳內享用午餐，每桌客人要能在言無不盡的狀況下漫談生活，卻又不至於打擾到鄰桌，這有賴於彼此間精確拿捏好聊天的聲量。通訊間使用相同頻譜卻能共存，也類似這樣的概念。</p> <p>數位部透過一連串的實證測試，掌握了不同通訊之間可以共存的最大限度，在開放 Wi-Fi 使用頻譜的同時，加入了功率限制，再由國家通訊傳播委員會納入射頻器材管理的機制內，這才讓使用密度越來越綿密的手機、AP、耳機、鍵盤、滑鼠，甚至於智慧家庭的冷氣、冰箱、電視等設備可以不互相干擾地在同一空間內使用。</p> <p>順帶一提，數位部為了讓 Wi-Fi 限度獲得充分利用，從 2022 年起就啟動新興頻譜共存機制「自動頻率協調（Automated　Frequency　Coordination, AFC）」的測試與驗證，AFC 機制可以在 Wi-Fi 啟動前就動態確認可以使用的頻段及其功率上限，使得 Wi-Fi 在不同的使用情境下會對應有不同的設定。</p> <p>這就像是在 KTV 包廂裡及在圖書館的說話音量差異，在進入該場域的當下就決定了，AFC 機制也會確認使用 Wi-Fi 的地點之後，回報可以輸出功率的上限值，在 Wi-Fi 連線時就即刻對應頻段和上限功率，這將讓頻譜的使用更加活化，這也是數位部在近期重點研究的前瞻管理機制。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>結語：Wi-Fi 使用新藍海頻段，將為生活帶來無限可能</strong></span></span></p> <p>因應新興技術的發展，動態的輔以配套措施來開放對應的通訊頻段，這將使 AR、VR 眼鏡等需高頻寬、低延遲的終端設備可以真正進入各領域，作為未來數位娛樂、遠距教學、協作工具或遠端演唱會使用，真正實現「虛實整合」。</p> <p>舉例來說，通常巨量布建連網熱點的大型運動場及展演中心，Wi-Fi 新頻段將可提供社群媒體、行動票務、運動競技、門禁管制（如門票掃描）、攜帶式讀卡機、內部通訊、監視攝影機與訪客流量監控等服務的品質和順暢度，不只提升場館服務多樣性、便利性及互動體驗，也有機會開創更多不同的商業模式；此外 Wi-Fi 新頻段的順暢度，可將機械加工及半導體製程廠房，躍升為可動態調整產線的關燈工廠，提升製造業產能與效率。</p> <p>這些應用都無需額外收取頻率使用費，而為提供我國各行各業再一次數位轉型的契機，不只足以體現新世代 Wi-Fi 所帶來的價值，更進一步加速邁向智慧島嶼的願景。</p> <p><strong><a href="https://moda.gov.tw/press/multimedia/blog/11728" target="_blank">（本文轉載自moda blog）</a></strong></p> </div></div></div>
2024/4/14 01:32署名 moda專欄https://www.ithome.com.tw/article/162277
老威脅和新風險
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年的iThome CIO與資安大調查，我們做了一個重大的調整，取消了對於臺灣企業資安災情的調查問題。這是從2018年開始執行資安大調查以來，最大的一次調整。</p> <p>在往年的資安大調查中，我們蒐集了三個與企業資安災情息息相關的關鍵數據，包括了企業過去一年資安事件數量、企業遭駭平均發現時間以及遭駭後的平均復原時間，用這三個數據來呈現企業的資安防護能力、資安偵測能力以及資安事故復原能力，想披露臺灣企業資安體質的三大面相：防禦力、偵測力和應變力。</p> <p>但是，資安災情數據其實是一種落後指標，只能呈現出企業發生資安災情之前的舊況，而無法反映企業發生災情後的改善，或是為了防範未然而努力的成果。雖然，過去6年紀錄了臺灣整體產業資安災情的變化趨勢，但我們毅然決然，放棄這些題目，將焦點轉向更具有未來決策參考性的調查項目。</p> <p>過往先從臺灣資安災情、資安投資展開的大調查系列報導，今年也轉而先從企業資安風險圖開始揭露，這正是一個可供企業了解2024～2025資安風險分布的領先指標，可以作為企業規畫未來一年資安策略和資源分配時的參考。</p> <p>我們今年蒐集到了422位資安與IT主管對25項資安風險的評價，其中，近6成填答者是企業資安長或資安最高主管。他們自評這些風險項目對各自所屬企業的發生風險和衝擊高低，我們再依據他們的回答，繪製出整體與6大產業的2024～2025企業資安風險圖。</p> <p>衝擊越高且發生風險越大的資安威脅，位於風險圖右上角的第一象限，而且位置越高越靠右，代表對這個產業的衝擊越大，發生可能性也越高。依此類推，可以看到25項風險項目各自的風險高低，與衝擊高低。</p> <p>我們還標記出其中首要風險和次要風險，作為企業優先投入資源的參考。</p> <p>從今年的資安風險圖來看，有11項風險列入第一象限，是企業未來一年要特別警戒的風險，其中大多數是四年來多次名列第一象限的老威脅，首要風險中的勒索軟體資安事件、社交工程手段和駭客都是每一年企業特別戒備的重中之重。今年新增加了「被植入竊資軟體/後門木馬」這項資安風險，也立刻被資安主管列入到高衝擊高風險項目中，值得企業留意。</p> <p>不只用位置來區分25項資安風險在今年的威脅強度分布，我們更用顏色呈現兩年的風險變化，突顯今年威脅明顯提高的新風險，用紅色文字代表了今年風險明顯變大的項目，而綠色文字則代表了預估衝擊在今年明顯提高的項目，而針對今年在發生風險和衝擊程度兩項都增加的項目，更首度用紫色文字來標記。</p> <p>就算沒有名列前茅的資安威脅，在今年資安風險圖上，若改用紫色文字來呈現，CIO們就得特別留意，這可能就是過去忽略，但未來一年可能會開始竄升的新風險。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ithome-2024%E8%B3%87%E5%AE%89%E5%A4%A7%E8%AA%BF%E6%9F%A5">iThome 2024資安大調查</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA">資安風險</a></div><div class="field-item even"><a href="/tags/%E7%A4%BE%E4%BA%A4%E5%B7%A5%E7%A8%8B">社交工程</a></div><div class="field-item odd"><a href="/tags/%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94">勒索軟體</a></div><div class="field-item even"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item odd"><a href="/tags/gai">GAI</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div></div></div>
2024/4/14 00:27作者王宏仁https://www.ithome.com.tw/voice/162275
誰是軟體專案真正的利害關係人
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-scrumzhi_nan_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大約半年前，Janet的團隊開始採用Scrum。在Sprint規劃會議期間，Product Owner向開發團隊說明接下來必須進行的事項。在每一個Sprint中，Janet都會根據Sprint規劃會議分配的任務進行工作。但Janet仍不禁思考「也許還有更多我們沒察覺到的事情。」</p> <p>因此，在一次團隊會議上，她提及產品的使用者介面看起來既過時又複雜，並建議可以讓使用者參與更多開發事宜，Product Owner卻斥責她做出這些假設。身為Product Owner，他只需要負責將業務、支援及管理部門的各種功能需求轉達給開發團隊，實在沒有必要與使用者交談。而且，支援部門從未轉達過任何跟介面有關的抱怨。從這一刻起，Janet再也不提出任何與使用者有關的問題，只是單純地按照要求進行工作。</p> <p><span style="font-size:28px;"><strong>誰才是真正的利害關係人？</strong></span></p> <p>聽起來，我們顯然應該讓利害關係人參與。但究竟誰才是利害關係人？是使用者？是客戶？是內部還是外部客戶？或是產品經理？儘管有些組織會特別專注於外部客戶，但許多組織也會讓一些應該參與的內部人員來決定什麼對組織有價值。而在其他組織中，例如非政府組織與政府機構，員工們並不熟悉「客戶」這個詞。</p> <p>這是一個重大的議題。在產品開發過程中，我們希望從商業觀點出發來取得使用者與客戶之間的平衡，只專注在其中一方會產生問題。然而，幾乎在我們所有合作過的喪屍Scrum團隊中，客戶與使用者的利益都被嚴重忽視了。</p> <p>雖然在產品開發過程中邀請許多人參與，並簡單稱他們為「利害關係人」是很容易的，但要找到真正跟你的產品有利害相關的人卻困難許多。我們發現下列幾個問題可以幫助探索誰是真正的利害關係人：</p> <p>● 這個人是否正定期使用或準備要使用這個產品？</p> <p>● 這個人是否在產品開發上投入大量資金？</p> <p>● 這個人是否投入大量心力在解決你的產品所遇到的挑戰？</p> <p>你會發現這些問題都跟價值有關。利害關係人就是幫助你決定下一步要做哪些有價值事項的人，因為對他們而言，獲得時間或金錢的投資回報是很重要的。其他人則是你的「觀眾」，這可能包括領域專家、協調者及其他對你的產品感興趣但不涉及個人利益的人。你可以開心地邀請他們共同參與，但你要把焦點放在你的利害關係人身上。當然，這個觀點強調的是使用產品的人（使用者）與付費者（顧客）的參與，而這兩個群體經常會重疊。</p> <p><strong><span style="font-size:28px;">健康的Scrum</span></strong></p> <p>在喪屍Scrum環境中運作的Scrum團隊並不了解他們的利害關係人，也不知道什麼對他們是有價值的。當組織按照職能角色設計工作，並關注這些角色完成工作的效率時，就會產生距離。相反地，健康的Scrum團隊更關注他們工作的有效性，也就是他們的工作能為利害關係人與他們的組織帶來多少價值。如果沒有跟真正的利害關係人進行密切且頻繁的協作，他們無法做到這一點。</p> <p><span style="color:#B22222;"><strong>誰應該了解利害關係人？</strong></span></p> <p>在傳統的組織結構中，利害關係人的連絡人可能是產品經理或銷售人員。當這些組織轉換到Scrum框架時，他們通常會讓Product Owner與利害關係人聯繫，但這會讓彼此錯失協作探索新事物的機會。</p> <p>了解利害關係人是整個Scrum團隊都應該參與的事。雖然Product Owner會花比較多的時間與利害關係人群體溝通，並確認產品的需求與順序，但開發團隊也應該參與討論。</p> <p>我們想說明的是，Product Owner的角色就是不斷去確認利害關係人認為什麼是有價值。與其將這些價值判斷轉換成開發團隊需要的規格文件，Product Owner要做的是建立一份產品待辦清單，一份未來能讓開發團隊、Product Owner及相關利害關係人之間進行對話的清單。特別是產品待辦清單頂端的項目都應該要盡快進行對話，而其他項目則可以晚一點進行。</p> <p>無論何種情況，每一次的對話都會對所需工作進行某種程度的精煉，並可能導致產品待辦清單或是優先順序的改變。這些資訊可以是畫在白板上的工作流程、寫在紙上的筆記、記錄在工具上的詳盡說明。但最重要的是，唯有開發人員與利害關係人共同協作才能創造出最好的產品。所有阻礙這個互動的事物都必須移除。這裡的目的並不是製作規格文件，而是進行對話。</p> <p>這個方法讓Product Owner更像是一位在開發團隊與利害關係人之間的引導者。若沒有Product Owner，無論他們有多優秀或多聰明，都只能理解各自領域的專業。相反地，Product Owner能運用整個Scrum團隊的智慧來釐清需要什麼，如何完成，以及完成順序。</p> <p><span style="color:#B22222;"><strong>何時讓利害關係人參與？</strong></span></p> <p>Scrum團隊應在何時讓利害關係人參與？健康的Scrum團隊會利用不同的方式在不同的時機讓他們參與其中。</p> <p>●<strong>讓利害關係人參與產品目的發展過程</strong></p> <p>缺乏願景與目的將難以向利害關係人交付有價值的成果。從釐清目的開始是有其道理的。這是讓Product Owner將利害關係人與打造產品的相關人員的觀點匯集以建立明確性的絕佳機會。這個工作可以透過工作坊、高峰會或線上會議的方式來達成。雖然「釐清目的」聽起來可能很複雜，但基本上可以將它概括為這兩個句子：「此產品存在的目的是⋯⋯」與「此產品的存在目的不是為了⋯⋯」。</p> <p>考慮到產品開發的複雜性，隨著工作的進行與新機會的浮現，對於產品目的的理解隨著時間改變是很正常的。因此應該要定期調整產品目的。</p> <p>●<strong>讓利害關係人參與產品開發啟動會議</strong></p> <p>邀請利害關係人參與產品開發啟動會議是一個好方法，因為它可以在一開始就建立對價值的強烈關注。這樣做的目的是為了在產品開發人員、使用者、付費者或依賴產品的人之間奠定協作的基礎。因此，與其使用數十張投影片的PowerPoint進行報告，不如進行一個能讓彼此高度互動的會議。透過各種破冰遊戲讓與會者相互了解，並專注在人們對產品與彼此的期望。</p> <p>●<strong>讓利害關係人參與Sprint審查會議</strong></p> <p>邀請利害關係人參與的最明顯的時機就是Sprint審查會議。</p> <p>由Product Owner決定哪些人或哪些群體參與可以增加最多的價值。如果利害關係人的人數很多，請邀請具有代表性的人參與就好。此會議的目標是積極地讓利害關係人參與，不要只讓他們坐著聽你說明，而是要把滑鼠與鍵盤交給他們，讓他們使用新功能，並詢問這是否適合他們、他們希望看到什麼樣的改進，或者有什麼新想法。</p> <p>Sprint審查會議的目的不僅僅是為了展示新功能與蒐集回饋。Scrum指南用了一句話來解釋該會議的目的：「Sprint審查會議在Sprint結束時舉行以檢查增量，並在有必要時調整產品待辦清單。」這意味著Sprint審查會議是用來反思開發團隊已打造完成的工作與對未來Sprint影響的一個絕佳時機。</p> <p>在Sprint審查會議期間所蒐集到的回饋，很可能會影響產品待辦清單的內容或者其排序方式。請善用這個機會來審查產品的新版本（也就是「增量」），以及審查產品待辦清單。<strong>（本文摘錄整理自《喪屍Scrum生存指南》第五章，博碩出版提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-1P-Scrum%E6%8C%87%E5%8D%97-600.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_博碩</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 喪屍Scrum生存指南：邁向真敏捷的復原之路（Zombie Scrum Srvival Guide）</strong></p> <p>Christiaan Verwijs, Johannes Schartau, Barry Overeem／著；周龍鴻 PhD, CST／主編；敏捷翻譯志工小組／譯</p> <p>博碩出版</p> <p>定價：650元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_Scrum%E6%8C%87%E5%8D%97_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_LinkedIn.png" style="width: 150px;" /></p> <p><a href="https://nl.linkedin.com/in/christiaanverwijs" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_LinkedIn</span></span></a></p> <p><strong>Christiaan Verwijs</strong></p> <p>Christiaan Verwijs是The Liberators的共同創辦人，擁有組織心理學與商業資訊技術學位。他在開發人員、Scrum Master、Scrum.org培訓師以及管理者等職務擁有超過20年的經驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963_Scrum%E6%8C%87%E5%8D%97_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Johannes%20Schartau.png" style="width: 150px;" /></p> <p><a href="https://twitter.com/IntegralAgile" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Johannes Schartau</span></span></a></p> <p><strong>Johannes Schartau</strong></p> <p>Johannes Schartau是敏捷產品開發與組織優化顧問、訓練師及教練。他對民族學、心理學、技術、整合思維、複雜性科學以及單口喜劇的興趣都融入他10年的Scrum工作經驗中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964_Scrum%E6%8C%87%E5%8D%97_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Barry%20Overeem.png" style="width: 150px;" /></p> <p><a href="https://medium.com/@Barryovereem" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Barry Overeem</span></span></a></p> <p><strong>Barry Overeem</strong></p> <p>Barry Overeem是The Liberators的共同創辦人，他擁有企業管理學位，在各個類型的組織中擔任過Scrum Master，也是Scrum.org的培訓師與管理者。</p> </div></div></div>
2024/4/14 00:39未署名https://www.ithome.com.tw/article/162276
【資安日報】4月12日，蘋果一口氣對92個國家發出間諜軟體攻擊警報，要求受影響用戶應儘速採取保護措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩天蘋果大動作發出警告，而受到全球關注，他們向部分疑似遭到傭兵間諜軟體（Mercenary Spyware）鎖定的用戶發出通知，提醒這些用戶應提高自己使用的裝置防護層級，並尋求專家協助及進行後續調查。</p> <p>而這並非該公司首度針對間諜軟體呼籲用戶提高詧覺，去年10月，他們就曾對國家級駭客的竊密攻擊提出警告。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162247"><strong style="font-size: 22px;">蘋果呼籲92國用戶小心傭兵間諜軟體</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/KtzhF7c7D2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/KtzhF7c7D2.png" style="width: 300px; float: right;" /></a></p> <p>4月10日蘋果針對印度等92個國家的用戶發出威脅通知（Threat Notification），表示他們已偵測到部分用戶遭到傭兵間諜軟體（Mercenary Spyware）鎖定，攻擊者企圖遠端入侵特定人士的行動裝置或是電腦。</p> <p>該公司指出，若是使用者遭到鎖定，他們將會透過電子郵件及iMessage進行通知，使用者也能在Apple ID的管理網頁看到警示訊息。使用者應依照他們提供的步驟來提升裝置的防護層級，例如，啟動封閉模式（Lockdown Mode）。同時，該公司指出，使用者應儘速尋求專家協助。</p> <p>而對於識別威脅通知的真偽，蘋果強調，他們不會要求用戶點選連結、打開檔案、安裝應用程式或是組態檔案（Profiles），也不會透過電子郵件或電話號碼要求用戶提供Apple ID的密碼或驗證碼，用戶應存取Apple ID網站（appleid.apple.com）網站進行確認。</p> <p><a href="https://www.ithome.com.tw/news/162249"><strong style="font-size: 22px;">LastPass員工遭遇語音網釣攻擊，駭客透過Deepfake冒充該公司執行長行騙</strong></a></p> <p>4月10日密碼管理解決方案業者LastPass提出警告，他們的員工收到一連串的電話、簡訊、語音郵件，其中對方使用Deepfake冒充該公司執行長，透過WhatsApp對該名員工傳送語音訊息。</p> <p>由於對方使用的聯絡管道，超過該名員工平常業務通訊的範圍，使得這名員工提高警覺，並留意到歹徒利用的多種社交工程手法特徵而未上當，且向LastPass資安團隊通報此事，該公司也強調，這起事故並未對他們造成影響。</p> <p><a href="https://www.ithome.com.tw/news/162264"><strong style="font-size: 22px;">越南駭客組織鎖定亞洲、東南亞用戶，利用惡意程式RotBot、XClient竊取資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/coralraider-flow.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/coralraider-flow.jpg" style="width: 300px; float: right;" /></a>思科旗下威脅情報團隊揭露去年出現的越南駭客組織CoralRaider，此團隊主要鎖定印度、中國、韓國、孟加拉、巴基斯坦、印尼、越南等多個國家，目標是竊取受害者的帳密資料、財務資料、社群網站帳號（包含企業及廣告帳號）。</p> <p>攻擊者先是透過Windows捷徑檔案（LNK）發動攻擊，一旦使用者開啟對方提供的檔案，電腦就會從攻擊者控制的伺服器下載HTML應用程式檔案（HTA），此檔案嵌入經混淆處理的Visual Basic指令碼，該指令碼會在記憶體內執行PowerShell指令碼，然後觸發另外3個指令碼，對於受害電腦環境進行偵察，確認是否為虛擬機器（VM）環境，並執行反分析檢查，繞過使用者存取控制（UAC）、停用Windows應用程式通知，最終植入惡意程式QuasarRAT變種RotBot。</p> <p><a href="https://www.ithome.com.tw/news/162260"><strong style="font-size: 22px;">美國針對資料分析業者Sisense帳密資料外洩事故提出警告</strong></a></p> <p></p> <p>4月11日美國網路安全暨基礎設施安全局（CISA）提出警告，資料分析服務業者Sisense近期遭遇網路攻擊，呼籲用戶應重新設定相關服務的帳密資料，Sisense也透過電子郵件通知客戶重設密碼。</p> <p>雖然該公司並未公布進一步細節，但有研究人員指出，用戶若不儘速採取行動，可能會帶來的危害。研究人員Marc Rogers認為，由於Sisense通常能夠存取用戶機密資料來源，像是JDBC連線、SSH、Salesforce網站，亦具備相關帳密資料，發動上述資安事故的攻擊者很有可能已取得這些資料，而導致客戶的網路環境曝險。</p> <p><a href="https://www.ithome.com.tw/news/162248"><strong style="font-size: 22px;">太陽能業者聯合再生遭到網路攻擊，工廠被迫停工</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/uP2wUkoMpa.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/uP2wUkoMpa.png" style="width: 300px; float: right;" /></a>4月11日太陽能業者聯合再生於股市公開觀測站發布重大訊息，表示他們偵測到部分資訊系統遭遇網路攻擊，事發當時資訊部門全面啟動相關防禦機制，該公司已對所有網域及網頁，以及相關的檔案進行全面、徹底的掃描，並表示在確保資訊安全的狀態下，他們將會以日常備份資料復原受害系統，回復正常營運的狀態。</p> <p>值得留意的是，這起事故已對他們的營運造成影響。該公司表示，他們因系統遭到攻擊，目前工廠處於停工狀態，正在評估公司財務及業務營運帶來的影響、損失，後續將會另行發布重大訊息說明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.lemagit.fr/actualites/366580339/Ransomware-Hunters-International-demande-10-millions-de-dollars-a-Hoya"><strong style="font-size: 20px;">日本光學設備製造商Hoya傳出遭到勒索軟體駭客組織Hunters International攻擊，遭索討1,000萬美元贖金</strong></a></p> <p></p> <p>◆<a href="https://blog.talosintelligence.com/starry-addax/"><strong style="font-size: 20px;">摩洛哥、西撒哈拉人權鬥士遭駭客組織Starry Addax鎖定</strong></a></p> <p></p> <p>◆<a href="https://www.welivesecurity.com/en/eset-research/exotic-visit-campaign-tracing-footprints-virtual-invaders/"><strong><span style="font-size: 20px;">印度、巴基斯坦安卓用戶遭到eXotic Visit間諜軟體鎖定</span></strong></a></p> <p></p> <p>◆<a href="https://threatresearch.ext.hp.com/raspberry-robin-now-spreading-through-windows-script-files/"><strong><span style="font-size: 20px;">惡意軟體Raspberry Robin透過Windows指令碼散布</span></strong></a></p> <p></p> <p>◆<a href="https://asia.nikkei.com/Politics/Defense/Japan-U.S.-Philippines-to-form-joint-cyberdefense-network"><strong><span style="font-size: 20px;">鎖定關鍵基礎設施的Volt Typhoon肆虐，美國、日本、菲律賓將組成資安威脅情報共享聯盟</span></strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162254"><strong style="font-size: 22px;">Intel、聯想伺服器的BMC韌體存在長達6年之久的第三方元件漏洞</strong></a></p> <p>資安業者Binarly揭露的網頁伺服器元件Lighttpd漏洞，該專案曾在2018年發布1.4.51版，默默地修補一項記憶體堆疊越界讀取漏洞，但並未在資安公告裡提及，也沒有登記CVE編號，使得採用Lighttpd但並未套用相關修補程式碼的AMI MegaRAC基板管理控制器（BMC），如今仍存在相關漏洞。</p> <p>值得留意的是，研究人員向採用該廠牌BMC的兩家伺服器廠商（Intel、聯想）通報此事，但這些廠商因為曝險產品已經達到生命週期結束（EOL）狀態，拒絕提供修補，或是不願承認研究人員通報的資訊。</p> <p>對此，Binarly認為這項弱點會長期影響相關的軟體供應鏈，而將其稱做「永遠的漏洞（Forever Bugs）」。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162245"><strong>【4月11日】臉書出現提供生成式AI服務桌面軟體的詐騙粉絲頁，目的是誘使大家安裝惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162224"><strong>【4月10日】微軟在本月例行更新揭露近150個漏洞，數量創近年新高</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162200"><strong>【4月9日】惡意軟體JsOutProx鎖定亞太地區、中東及北非而來</strong></a></p> </div></div></div>
2024/4/12 17:34作者周峻佑https://www.ithome.com.tw/news/162267
零售IT雙周報第32期：無人結帳技術新方向？統一超與Amazon的新結帳科技做法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0331~0413)</strong></p> <p>零售業者運用結帳技術的環境仍在持續變化。上期我們介紹了零售業者減少對自助結帳機的依賴，這期則報導無人商店結帳技術的應用模式轉變，Amazon要主動退場紅極一時的拿了就走結帳技術Amazon Just Walk Out，統一超新的無人商店也不用去年X-Store推出的拿了就走技術，而是使用更低成本，但仍相當方便的手機掃描結帳。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人商店</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人結帳技術</span></span><br /> 統一超推出迷你無人商店，用手機取代自助結帳機進一步節省門市坪數</strong></p> <p>統一超近日於內湖開設了一坪大的X-Store微型商店，販售常溫零食、飲料、用品等商品。這間「店」只是在開放空間的一個簡易貨架，沒有店員、沒有後場，甚至連擺設自助結帳機的空間都省下了。</p> <p>顧客結帳方法沒有採用最新X-Store 7號店的「拿了就走」無人店結帳技術，而是用6號店等過往X-Store曾用過的Web App，掃描登錄商品，再用統一超自家支付工具付款。與其他X-Store App一樣，這個Web App會要求存取裝置位置，以確認顧客位置確實在店內。</p> <p>這個開放式貨架型店面搭配了統一超既有的AI訂貨系統，根據銷量與庫存來預測訂貨需求，並由負責營運的母店店員到店補貨。此外，也搭載了統一超智能監控系統來防盜。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#拿了就走</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧購物車</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人結帳技術</span></span><br /> Amazon於停用自家超市Just Walk Out無人結帳技術</strong></p> <p>拿起商品，直接走人的無人結帳技術Just Walk Out，將於美國Amazon Fresh超市消失。雖然此技術有成功被其他零售商應用於高瞬間人流量的場景，例如球場、機場等，但Amazon表示，這個技術不適合自家超市的購物場景。</p> <p>Amazon聲明中寫道，他們發現自家超市顧客更希望購物時能輕易找到鄰近商品及優惠、隨時瀏覽購物明細，以及確認自己透過優惠活動省了多少錢。為了在不占用顧客手機螢幕的情況下提供這些功能，同時保留「直接走人」體驗，他們計畫於店內擴大運用自家智慧購物車Dash Cart。這個技術利用電腦視覺及重量感測器等技術辨認顧客購買商品，並於顧客推著整車商品出店時自動結帳。</p> <p>另外，Amazon併購的連鎖超市Whole Foods也宣布停用Just Walk Out結帳技術。不只如此，AWS近日還裁撤了數百名零售科技部門的員工，大部分都負責Just Walk Out相關技術。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧結帳技術</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生物辨識</span></span><br /> Amazon利用AI降低掌紋辨識結帳技術的登錄門檻，不須專門掃瞄儀器即可註冊</strong></p> <p>減少使用Just Walk Out無人結帳技術同時，Amazon也將注意力轉向旗下其他無人結帳技術。Amazon One是一個他們生物特徵辨認技術，用於無人結帳場景。顧客只要先設定數位支付方式，進出店時刷一下手掌，機器便會靠掌紋及底下血管結構等特徵來辨識消費者身分，並自動付款。</p> <p>過往，顧客要登錄使用這個服務，必須用專門的近紅外線機器精密掃描手掌，因此只能到支援此技術的實體店面現場登錄。<a href="https://www.aboutamazon.com/news/retail/amazon-one-app">近日，Amazon在iOS及Android雙平臺推出了登錄用App，顧客只要用手機鏡頭拍攝手掌就可以登錄</a>。</p> <p>降低手掌特徵紀錄門檻的技術關鍵是Amazon新開發的電腦視覺技術，光靠手機照片即能讀取出足夠多細節，並轉化為一串特徵值向量。當顧客造支援Amazon One的實體店時，機臺會再次詳細掃描顧客掌紋，並快速比對掌紋特徵值向量，完成身分辨認。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第一手零售數據</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI推薦機制</span></span><br /> RMN先行者案例：Pinkoi經營RMN5年，一年創造3億交易額</strong></p> <p>早在2019年，設計類垂直電商Pinkoi就推出了零售媒體聯播網服務，作為站上賣家的一種行銷工具。儘管如今RMN業績亮眼，Pinkoi SaaS產品負責人李少昱直言，Pinkoi打造RMN服務初衷，並不是為了廣告收入。</p> <p>當年，Pinkoi完成數據架構翻新，完成設計領域專屬AI模型後，正好遇到賣家許願，希望有提升自己商品曝光機會的付費機制。於是，他們決定投入高達4成工程資源，開發出了廣告商品排序演算法、即時競價機制、廣告投放機制、廣告內容呈現機制等RMN系統所需基礎建設，並於2019年正式上線RMN服務。至今，RMN帶來的廣告費已經占電商總營收3成，且一年促成了3億元交易量。不過，他們經營RMN並非一路順風順水，必須克服技術面和業務面挑戰，才達到如今成效。（<a href="https://www.ithome.com.tw/news/162013">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路行銷</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#實體行銷成效追蹤</span></span><br /> Walmart揭露2024RMN戰略，要強化全通路行銷能力並新增更多廣告投放選項</strong></p> <p>零售龍頭Walmart<a href="https://corporate.walmart.com/news/2024/04/01/how-walmart-connect-is-putting-walmarts-purpose-in-motion">揭露自家2024年RMN戰略</a>，有擴大廣告投放選項、拓展廣告通路、增加精準度及追蹤能力，以及提供更多行銷活動和素材設計方案，共四大方向。</p> <p>擴大廣告投放選項方面，包括開放更多商家使用自助式程序化廣告投放功能、開放沒有在Walmart上架商品的廣告主也能投廣，以及推出本地化版自助式廣告投放平臺，以進攻國際廣告市場。</p> <p>他們還要拓展廣告通路到更多自家零售通路，乃至於外部通路。今年他們要推出更多店內樣品發送及商品展示體驗的行銷方案、自助式電視牆廣告投放功能，還與第三方CTV軟體商及短影音平臺合作投放廣告。</p> <p>隨著第三方Cookie退場，行銷訊息流失（Signal loss）風險增加，他們還要增加廣告投放精準度及成效追蹤能力。今年，他們要推出各式跨通路成效追蹤功能，包括數位搜尋廣告的店內轉換率、店內行銷成效轉換率及曝光率追蹤、更多品牌曝光追蹤分析及競爭者行銷情形分析。並且，提供更多進階精準行銷投放選項。</p> <p>最後，他們還計畫提供更多行銷活動及素材設計方案。這包括更多型態的線下行銷活動以及更多數位廣告格式。今年稍晚，還要推出自助式行銷活動設計輔助及成效追蹤工具。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#搜尋引擎</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#數據工程</span></span><br /> 收錄6億商品的比價網打造跨電商搜尋引擎背後的數據基本功</strong></p> <p>第一網站旗下比價網飛比價格每月吸引1,300萬流量，背後核心功能是可以檢索上百家電商、6億筆商品數據的跨電商搜尋引擎。為了打造搜尋、比價及數位行銷功能，他們必須先從不同規模、類型及技術成熟度的電商蒐集商品數據，接著自行統一商品格式。</p> <p>為了運用超大量網站使用者數據來支援搜尋及推薦功能，他們打造了一個3層式數據處理架構，依照資料量大小及用途，決定儲存方式及保留期限。原始資料層級會快速整合、精簡化成資料量更小的層級，且只保留短短數周，整合過的資料才會為了隨機存取而做索引，且可以保留長達數年。這種分層方法可以降低機器處理資料時的運算成本，也能壓低資料處理時間。</p> <p>第一網站劉勉志表示，除了商品和使用者資料，要打造國際級搜尋引擎，還有一個要件──讓機器善用前面兩種數據的做法。（<a href="https://www.ithome.com.tw/people/162246">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#互動式購物體驗</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#個人化購物體驗</span></span><br /> eBay推出新型互動式服飾購物體驗，用生成式AI根據個人喜好生成穿搭圖片並推薦相似</strong>款</p> <p>C2C電商龍頭eBay推出新型互動式服飾購物體驗Shop the Look，根據顧客過往購物歷史，用生成式AI生成一系列穿搭範例圖。顧客可以點擊圖片上的不同元素，來尋找eBay站上相似商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ebslp.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人廚房</span></span><br /> 加油站便利商店Re-up導入全自動廚房來販售現做熟食商品</strong></p> <p>美國連鎖加油站便利商店Re-up<a href="https://www.businesswire.com/news/home/20240402720622/en/AI-Powered-Convenience-Store-Chain-Re-Up-to-Deploy-Autonomous-Kitchens">導入全自動廚房技術</a>，來製作炸物料理。這個廚房由一系列智慧廚具及機械手臂構成，可以<a href="https://vimeo.com/750563660">包辦取料、下油鍋、瀝油、調味、包裝、自我清潔等流程</a>，不須真人店員介入。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/reup.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://blog.google/products/shopping/google-personalized-shopping-tips/">Google測試更多個人化購物功能，包括利用生成式AI產出心目中商品照片再用以搜尋相似品等</a></p> <p>2. <a href="https://corporate.bestbuy.com/generative-ai-customer-support/">美國大型3C連鎖賣場Best Buy推出生成式AI客服</a></p> <p>3 .統一資訊推出在地商家貼文聯播網，將Google商家檔案轉變為廣告版位</p> <p>資料來源：iThome整理，2023年4月</p> <p>圖片來源：eBay、統一超、Nala Robotics</p> <p>責任編輯：郭又華</p> </div></div></div>
2024/4/12 17:46作者郭又華https://www.ithome.com.tw/news/162266
越南駭客組織鎖定亞洲、東南亞用戶，利用惡意程式RotBot、XClient竊取資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科旗下威脅情報團隊揭露去年出現的<a href="https://blog.talosintelligence.com/coralraider-targets-socialmedia-accounts/">越南駭客組織CoralRaider</a>，此團隊主要鎖定印度、中國、韓國、孟加拉、巴基斯坦、印尼、越南等多個國家，目標是竊取受害者的帳密資料、財務資料、社群網站帳號（包含企業及廣告帳號）。</p> <p>攻擊者先是透過Windows捷徑檔案（LNK）發動攻擊，一旦使用者開啟對方提供的檔案，電腦就會從攻擊者控制的伺服器下載HTML應用程式檔案（HTA），此檔案嵌入經混淆處理的Visual Basic指令碼，該指令碼會在記憶體內執行PowerShell指令碼，然後觸發另外3個指令碼，對於受害電腦環境進行偵察，確認是否為虛擬機器（VM）環境，並執行反分析檢查，繞過使用者存取控制（UAC）、停用Windows應用程式通知，最終植入惡意程式QuasarRAT變種RotBot。</p> <p><a href="https://s4.itho.me/sites/default/files/images/coralraider-flow.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/coralraider-flow.jpg" style="width: 580px;" /></a></p> <p>此惡意程式啟動後，將會再度執行偵察，並下載組態檔案連接C2。值得一提的是，對方使用Telegram機器人做為C2通訊的管道。</p> <p>上述連線成功後，RotBot將會把惡意酬載XClient載入記憶體，並執行外掛程式，然後竊取受害者的瀏覽器資料，並搜括社群網站臉書、Instagram、抖音、YouTube帳號，以及從Telegram、Discord電腦版應用程式收集資料。</p> <p>值得留意的是，XClient還會特別確認受害者持有的臉書帳號屬性，是否為企業帳號或是廣告帳號，並進一步收集財務資訊、好友名單的詳細資料。</p> <p>研究人員特別提到，對方使用了名為Dead Drop的攻擊手法，濫用合法服務代管C2組態資訊，而在進行寄生攻擊（LOLBins）的過程，這些駭客也運用了Forfiles.exe、FoDHelper.exe等不常見的可執行檔，來從事攻擊行動。</p> </div></div></div>
2024/4/12 16:50作者周峻佑https://www.ithome.com.tw/news/162264
蘋果將開放以二手零件來維修iPhone
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2024/04/apple-to-expand-repair-options-with-support-for-used-genuine-parts/" target="_blank">蘋果周四（4/11）宣布</a>，自今年秋天開始，將允許特定型號的iPhone使用二手零件進行維修，且未來不管是新舊零件都可直接於裝置上校準。此外，未來使用者向自助維修商店（Self Service Repair Store）購買零件時，只要不是為了置換主機板，都不必再提供裝置序號。</p> <p>雖然蘋果從2022年便推出自助維修服務（Self Service Repair），讓使用者可自行維修蘋果裝置，且迄今已支援40種產品，但蘋果依然企圖掌控該公司裝置的維修市場，例如換上零件時必須由Apple Store或蘋果授權維修商店負責配對與校準，否則裝置可能會無法如期運作。DIY維修平臺iFixit便曾多次批評，指出蘋果利用軟體阻止了消費者的自行修復能力，<a href="https://zh.ifixit.com/News/82867/iphone-15-teardown-reveals-software-lockdown" target="_blank">當他們</a>替兩臺iPhone 15Pro Max交換相機時，相機竟然完全無法運作，還以長篇大論<a href="https://zh.ifixit.com/News/69320/how-parts-pairing-kills-independent-repair" target="_blank">說明</a>零件配對（Parts Pairing）機制如何扼殺獨立維修。</p> <p>或許蘋果聽見了市場上的抱怨，更有可能是因為<a href="https://www.theverge.com/2024/3/27/24097042/right-to-repair-law-oregon-sb1596-parts-pairing-tina-kotek-signed" target="_blank">俄勒岡州甫通過一項禁止零件配對的維修法令</a>，而科羅拉多州亦考慮跟進。零件配對是製造商透過軟體來封鎖特定零件的使用，但新法令認為使用者有權自行購買維修所需的零件與設備。</p> <p>至於蘋果原先的禁令是連使用者換上來自同一型號之裝置的零件都會收到警告，而且警告還刪不掉。</p> <p>本周蘋果開放了二手零件的使用，宣稱使用者的二手零件將受益於原廠校準所提供的所有功能及安全性，就像新的原廠零件一樣，且蘋果也反駁了市場上的批評，指出配對是為了確認零件是否出自原廠，亦為蒐集零件資訊的過程，對保護iPhone的隱私與安全至關重要，例如Face ID 或Touch ID等重要的生物辨識零件。</p> <p>根據<a href="https://www.washingtonpost.com/technology/2024/04/11/apple-repaired-used-parts-pairing/" target="_blank">《華盛頓郵報》</a>（Washington Post）的報導，二手零件將於今年秋天率先支援iPhone 15，涵蓋螢幕、電池及相機等。蘋果也承諾未來將支援二手的生物辨識元件，未來要校準這些新裝上的新舊元件時，可直接於裝置上進行。</p> <p>此外，蘋果為了防止遭竊iPhone被啟動的Activation Lock功能亦將擴及iPhone零件，只要所使用的零件是源自於遭竊的裝置，即會限制該零件的校準能力。</p> <p>由於iPhone亦擁有龐大的二手市場，因此蘋果將在今年秋天釋出的iOS設定中新增一項「零件與服務」（Parts and Service）歷史功能，記錄裝置的維修程序以及所使用的元件。</p> </div></div></div>
2024/4/12 17:01作者陳曉莉https://www.ithome.com.tw/news/162265
Intel、聯想伺服器的BMC韌體存在長達6年之久的第三方元件漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用第三方開源元件的軟體開發者，通常不會逐一套用開源元件專案所有更新內容，而可能會選擇性處理重大變更及重要的安全性修補，將其納入自己採用的第三方元件，而這樣的情況，很有可能帶來軟體供應鏈安全的問題。</p> <p>最近<a href="https://www.binarly.io/blog/lighttpd-gains-new-life">資安業者Binarly揭露的網頁伺服器元件Lighttpd漏洞</a>，就是這種情形。該專案曾在2018年發布1.4.51版，默默地修補一項記憶體堆疊越界讀取漏洞，但並未在資安公告裡提及，也沒有登記CVE編號，使得採用Lighttpd但並未套用相關修補程式碼的AMI MegaRAC基板管理控制器（BMC），如今仍存在相關漏洞。</p> <p>值得留意的是，研究人員向採用該廠牌BMC的兩家伺服器廠商（Intel、聯想）通報此事，但這些廠商因為曝險產品已經達到生命週期結束（EOL）狀態，拒絕提供修補，或是不願承認研究人員通報的資訊。</p> <p>對此，Binarly認為這項弱點會長期影響相關的軟體供應鏈，而將其稱做「永遠的漏洞（Forever Bugs）」，並針對受此漏洞影響的Intel、聯想BMC韌體，以及舊版lighttpd指派BRLY-2024-002、BRLY-2024-003、BRLY-2024-004予以列管。</p> </div></div></div>
2024/4/12 15:16作者周峻佑https://www.ithome.com.tw/news/162254
CISA針對資料分析業者Sisense的憑證外洩提出警告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎設施安全局<a href="https://www.cisa.gov/news-events/alerts/2024/04/11/compromise-sisense-customer-data" target="_blank">（CISA）周四（4/11）警告</a>，專門提供資料分析服務的Sisense近日遭到危害，督促該公司用戶最好重置存取Sisense服務的憑證與秘密。<a href="https://community.sisense.com/t5/technical-troubleshooting/sisense-security-concern/td-p/20714" target="_blank">而Sisense也在同一天透過電子郵件通知客戶</a>，但訊息也僅限要求客戶重設密碼，尚未揭露更多資訊。</p> <p class="rtecenter"><a href="http://www.cisa.gov/news-events/alerts/2024/04/11/compromise-sisense-customer-data" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0412-CISA-Compromise%20of%20Sisense%20Customer%20Data.png" style="width: 600px;" /></a></p> <p>Sisense是在2004年於以色列創立，專門針對中、小企業提供商業智慧工具，隨後將總部及主要業務移至美國市場，支援藥廠、健康醫療、零售、科技、金融服務與製造業等領域的商業、效率或競爭力的分析，客戶涵蓋Nasdaq、加拿大航空與Verizon等。</p> <p><a href="https://www.darkreading.com/threat-intelligence/sisense-breach-triggers-cisa-password-reset-advisory" target="_blank">《Dark Reading》</a>引用Keeper Security安全及架構副總裁Patrick Tiquet的看法指出，Sisense是有興趣發動高階供應鏈網路攻擊的駭客理想目標，可能會利用Sisense的存取權限進一步滲透Sisense客戶網路，產生連鎖反應。</p> <p><a href="https://twitter.com/marcwrogers/status/1778469758826131631" target="_blank">資安研究人員Marc Rogers警告</a>，Sisense要求可存取客戶的機密資料來源，意味著該公司能夠存取客戶的JDBC連線、SSH或諸如Salesforce等平臺，亦擁有權杖與憑證，自Sisense竊取的內容涵蓋了所有的權杖、憑證與存取配置，而這對所有的Sisense客戶來說將是最糟糕的情況。</p> <p>迄今Sisense尚未公布遭到危害的細節，不管是途徑或是範圍，但Sisense客戶勢必要立馬輪替或更新登入憑證才是。</p> </div></div></div>
2024/4/12 15:58作者陳曉莉https://www.ithome.com.tw/news/162260
LastPass員工遭遇語音網釣攻擊，駭客透過Deepfake冒充該公司執行長行騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期歹徒利用Deepfake冒充公司高層的事故不時傳出，最近一起引起全球高度關注的事件，是<a href="https://www.ithome.com.tw/news/161212#deepfake">發生在今年2月跨國公司香港員工被Deepfake視訊會議詐騙的情況</a>，如今又有公司傳出員工遭遇這類攻擊的事故。</p> <p>4月10日<a href="https://blog.lastpass.com/posts/2024/04/attempted-audio-deepfake-call-targets-lastpass-employee">密碼管理解決方案業者LastPass提出警告</a>，他們的員工收到一連串的電話、簡訊、語音郵件，其中對方使用Deepfake冒充該公司執行長，透過WhatsApp對該名員工傳送語音訊息。</p> <p>由於對方使用的聯絡管道，超過該名員工平常業務通訊的範圍，使得這名員工提高警覺，並留意到歹徒利用的多種社交工程手法特徵，而並未上當，且向LastPass資安團隊通報此事，該公司也強調，這起事故並未對他們造成影響。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot20240410at103251AMpng.png" style="width: 440px;" /></p> </div></div></div>
2024/4/12 12:14作者周峻佑https://www.ithome.com.tw/news/162249
Humane Ai Pin首批評論出爐：難用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由前蘋果資深設計師Imran Chaudhri所操刀的新一代個人AI裝置Ai Pin，終於在本周四（4/11）正式於美國出貨了，各媒體的評論亦紛至沓來，一致的結論是：難用。</p> <p>在蘋果任職超過20年，參與過Mac、iPhone、iPad、iPod、Apple TV及Apple Watch等蘋果產品介面設計的Chaudhri，與曾擔任蘋果軟體工程師的妻子Bethany Bongiorno在2017年離開蘋果，於2018年創立了Humane，並在2023年發表了售價699美元的Ai Pin，這是個沒有螢幕的手機，可別在使用者的胸前，透過雷射光束掃描投影系統，將資訊投射到使用者手掌上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0412-humane-aipin-3.png" style="width: 400px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0412-humane-aipin-5.png" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Humane</span></span></p> <p>Ai Pin標榜使用者可藉由自然語音或手指觸控與之互動，並具備電話、傳訊、翻譯及搜尋等功能，使用者每月必須額外支付24美元，以取得Ai Pin專用的電話號碼，以及無限的通話、簡訊、資料傳輸服務，以及雲端儲存與AI服務。</p> <p>這是個創新的設計，原本期待的是讓使用者只要利用口語發號施令，就能藉由雲端及AI來滿足所有需求。然而，絕大多數媒體的測試發現它並不好用。</p> <p>例如<a href="https://www.theverge.com/24126502/humane-ai-pin-review" target="_blank">《The Verge》</a>的David Pierce說它有一半的時間無法運作，就算可以運作也很慢；<a href="https://www.washingtonpost.com/technology/2024/04/11/humane-ai-pin-review/" target="_blank">《華盛頓郵報》</a>（Washington Post）Chris Velazco指出Ai Pin對手勢的感應並不敏銳，令使用者很難掌握，而且投射到手掌上的內容在陽光下是看不見的；<a href="https://www.inverse.com/tech/humane-ai-pin-in-depth-review" target="_blank">《Inverse》</a>的Raymond Wong更說，如果要把Ai Pin當成自己的第二個大腦，那有一半的時間會有腦死的感覺。</p> <p><a href="https://spyglass.org/humane-ai-pin-brutal-review/" target="_blank">《Spyglass》</a>在整合了大家的評論之後，指出Apple Watch似乎就能執行Ai Pin的許多任務，而且還更便宜。<a href="https://www.youtube.com/watch?v=zDW6mJ_qFq4" target="_blank">《CNET》</a>的開箱影片則說Ai Pin雖然充滿未來感但令人沮喪。</p> <p>不過，Ai Pin還是有些優點，包括照片拍得不錯，作為即時翻譯很方便，或者是遇見某家餐廳時，可以直接詢問該餐廳的評價，也有人認為至少要鼓勵Ai Pin的創新，並期望它後來的版本會更好。只是，大多數的評論並不認為Ai Pin是個值得購買的裝置。</p> </div></div></div>
2024/4/12 12:38作者陳曉莉https://www.ithome.com.tw/news/162250
Meta公布最新一代AI晶片MTIA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2024/04/introducing-our-next-generation-infrastructure-for-ai/" target="_blank">Meta本周公布</a>下一代AI晶片Meta訓練與推論加速器（Meta Training and Inference Accelerator，MTIA），為軟體大廠自製晶片再添一員。</p> <p>Meta去年5月公布<a href="https://www.ithome.com.tw/news/156986" target="_blank">第一代MTIA</a>，是為自家AI負載作業，特別是為Meta平臺產品（如臉書）的深度學習推薦模型而設計。MTIA v1有助於改進基礎架構的運算效率，並且更能支援工程師開發AI模型。用途上，下一代MITA則將支援內容排序及廣告推薦內容的底層模型運算。</p> <p>最新一代MITA仍將由台積電代工，但採用5奈米製程（第一代為7奈米），體積也比較大以容納更多處理核心。技術架構上，新一代晶片包含8x8矩陣的運算元件（PE）。由於稀疏運算相關的管線（pipelining）架構改進，加上更大的本地PE儲存、晶片SRAM、頻寬和LPDDR5，使新晶片的密集運算效能和稀疏運算效能較第一代提高3.5倍及7倍。而晶片上網路（network on chip，NoC）架構的改良，可在低延遲情況下協調不同PE，協助MTIA支援更多更複雜的AI負載。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0412-Meta-Next%20generation%20MTIA%20chip-%20Meta%20Training%20and%20Inference%20Accelerator%20(MTIA)-2.png" style="width: 400px;" /></p> <p>根據<a href="https://ai.meta.com/blog/next-generation-meta-training-inference-accelerator-AI-MTIA/" target="_blank">Meta提供的數據</a>，下一代MTIA平均時脈（1.35GHz vs. 800 MHz）、記憶體（128MB vs. 64MB）、主機連線速度（PCIe Gen5 vs. PCIe Gen4）都更優異，不過散熱設計功耗（TDP）則較前代更高（90W vs. 25W）意謂可能更為耗電。</p> <p>軟體架構上，新一代MTIA延續前代設計，包括整合PyTorch 2.0及圖形層捕捉、分析、轉換和擷取機制（如TorchDynamo, torch.export）等，一致化的完整軟體堆疊架構確保新晶片可和MTIA v1平臺上開發的程式碼完全相容。Meta表示，這設計使其可在幾天內將運算環境轉換到新晶片上；不到9個月內，已部署到Meta 16個雲端區域資料中心執行AI模型。</p> <p>Meta希望藉由自製晶片減少對Nvidia的依賴，同時持續推進AI能力，包括訓練下一代大型語言模型（LLM）。Meta高層本周也在一場活動上<a href="https://www.ithome.com.tw/news/162231" target="_blank">預告</a>，將在下個月開源釋出下世代大型語言模型Llama 3。Meta期望在下個月開始部署下一代基礎模型Llama 3的最新套件。Llama 3家族包含多個能力及特性不同的AI模型，將陸續於今年內釋出，而且「很快就會啟動」。</p> </div></div></div>
2024/4/12 12:51作者林妍溱https://www.ithome.com.tw/news/162251
太陽能業者聯合再生遭到網路攻擊，工廠被迫停工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週有多家上市櫃公司發布重大訊息，表示他們有部分系統遭遇網路攻擊，例如：<a href="https://www.ithome.com.tw/news/162213">旅館業者富野旗下分公司資訊系統遭到攻擊</a>、<a href="https://www.ithome.com.tw/news/162199">「無毒的家」發生網站會員資料外洩</a>，但如今有受害公司出現營運受到顯著影響的情況。</p> <p>4月11日太陽能業者聯合再生<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=104746&SPOKE_DATE=20240411&COMPANY_ID=3576">於股市公開觀測站發布重大訊息</a>，表示他們偵測到部分資訊系統遭遇網路攻擊，事發當時資訊部門全面啟動相關防禦機制，並進行復原作業，同時尋求外部資安業者進行協同處理。</p> <p>該公司已對所有網域及網頁，以及相關的檔案進行全面、徹底的掃描，並表示在確保資訊安全的狀態下，他們將會以日常備份資料復原受害系統，回復正常營運的狀態。</p> <p>值得留意的是，這起事故已對他們的營運造成影響。該公司表示，他們因系統遭到攻擊，目前工廠處於停工狀態，正在評估公司財務及業務營運帶來的影響、損失，後續將會另行發布重大訊息說明。</p> <p><a href="https://s4.itho.me/sites/default/files/images/uP2wUkoMpa.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/uP2wUkoMpa.png" style="width: 580px;" /></a></p> </div></div></div>
2024/4/12 11:23作者周峻佑https://www.ithome.com.tw/news/162248
蘋果呼籲92國用戶小心傭兵間諜軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周對印度等92國產品用戶發出警告通知，要用戶小心防範傭兵間諜軟體（mercenary spyware）的攻擊，竊取用戶重要資訊。</p> <p>印度<a href="https://economictimes.indiatimes.com/tech/technology/exclusive-apple-warns-users-of-mercenary-spyware-attack-india-91-other-countries-impacted/articleshow/109210976.cms?from=mdr" target="_blank">《經濟日報》</a>及<a href="https://www.reuters.com/technology/cybersecurity/apple-warns-users-mercenary-spyware-attack-91-countries-including-india-et-2024-04-11/" target="_blank">《路透社》</a>周四報導，蘋果以電子郵件發布威脅通知（threat notification）給有風險的用戶。蘋果說，已偵測到某名用戶正遭到鎖定，傭兵間諜軟體試圖遠端駭入和特定Apple ID關聯的iPhone。</p> <p>蘋果警告用戶，傭兵間諜軟體是基於特定用戶身分或其從事的工作發動攻擊，雖然難以100%確定，但蘋果有高度信心（已發生攻擊），要用戶不要掉以輕心。</p> <p>蘋果周四稍晚也<a href="https://support.apple.com/en-in/102174" target="_blank">在官網公布</a>關於威脅通知的資訊。這通知是為了告知並協助可能遭傭兵間諜軟體鎖定的用戶而設計。這類軟體由專門開發監控軟體的公司開發，並銷售給政府、情報機關等客戶以監控特定個人，如記者、人權運動、政治人物或外交人員。傭兵間諜軟體使用者絕大多數是國家或國家駭客。蘋果特別點名以色列業者NSO Group開發的Pegasus作為舉例。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0412-apple-id-threat-notification-600.png" style="width: 600px;" /></p> <p>這是蘋果第二次發布和傭兵間諜軟體威脅通知。去年10月蘋果也曾警告用戶小心「國家資助」（state sponsored）的竊密攻擊，不過這次已移除了這個字眼。</p> <p>安全專家多次偵測到記者、歐美官員或政治人物等人iPhone被植入Pegasus以蒐集情資。蘋果本周在給用戶的通知中並未說明攻擊者、攻擊型態或何時發生的攻擊。</p> <p>蘋果強烈建議接到本通知的用戶尋求專家協助。接到威脅通知的用戶可以聯繫和蘋果合作、<a href="https://www.accessnow.org/help/" target="_blank">由非營利組織Access Now設立的數位安全熱線</a>。蘋果也呼籲所有用戶強化安全措施，包括升級到最新版作業系統、設立passcode、Apple ID使用強密碼及雙因素驗證、只能從Apple Store下載App，線上服務使用強密碼，並不要點選來路不明的網頁連結或附件。</p> <p>沒有接到通知的用戶，可以啟動iPhone或iPad的封閉模式（Lockdown Mode），這模式可以關閉網頁預覽、附件下載及裝置連結，以防範間諜軟體趁機植入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0412-apple-id-threat-notification-Lockdown%20Mode-2-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2024/4/12 09:43作者林妍溱https://www.ithome.com.tw/news/162247
如何跨百家電商商品做搜尋比價，第一網站靠國際級數據基本功
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何強化自家數據基礎建設及作業流程，來強化推薦、搜尋，乃至數位行銷功能，是現在電商爭相強化的核心競爭力。一家電商如何善用自家數據，已經不是易事。不過臺灣零售業界中，有家企業早已利用上百家電商數據，結合國際級搜尋引擎開發功力，來打造自家核心服務。</p> <p>這家企業就是經營著大型比價網飛比價格的第一網站，藉由跨電商比價功能，吸引消費者造訪，再利用人流量及消費者數據，經營廣告聯播網、廣告代投等數位行銷服務。飛比價格收錄了6億筆商品數據，每個月網站造訪人次高達1300萬次，旗下廣告聯播網每月更有36億次請求。這整套商業模式背後的核心技術，就是第一網站從頭到尾自行打造的搜尋引擎，可以綜合搜尋上百家電商商品。</p> <p>帶領第一網站打造搜尋引擎的推手是研究發展部副總經理劉勉志。他曾於2000年初擔任Yahoo奇摩首席工程師，負責設計與規畫Yahoo全球搜尋系統架構、推動大中華區搜尋引擎中文化，後來，更肩負了40個國家的搜尋技術移轉任務。</p> <p>劉勉志回憶，2000年左右，他和後來成為第一網站IT人員的同事們，在奇摩站及合併後的Yahoo奇摩擔任工程師，參與建設奇摩家族、知識+等重要服務的底層基礎架構，以及Yahoo大中華區網頁搜尋功能。當年，開源程式碼或開發框架等資源尚不普及，且硬體和網路資源非常有限，「我們還遇到過要用1GB記憶體來服務3GB索引的情況。」他笑道。這種開發條件下，所有服務都必須盡可能用最少的請求和讀取次數來設計，且背後每一行程式碼，都是他們手動撰寫。</p> <p>為了打造Yahoo大中華區搜尋功能，劉勉志及Yahoo工程團隊還成為了臺灣首批接觸NLP技術的人。他們利用NLP技術打造了搜尋關鍵字自動完成、錯字更正、語意分類等技術。從頭建立搜尋引擎底層架構的過程中，他們不只熟悉了NLP技術，更累積了將NLP技術融入搜尋引擎設計的經驗。</p> <p>劉勉志坦言，當年的開發方法和技術，不全然適用現今環境。不過，這個時期打下的堅實基礎，使他們有能力為第一網站建立精實的系統架構和強大搜尋引擎。</p> <p><span style="font-size:28px;"><strong>梳理上百家電商的6億筆商品數據，統一數據規格來打造比價功能</strong></span></p> <p>要做跨電商搜尋引擎服務，第一步是收錄不同電商的商品數據。自2013年，第一網站跟隨著臺灣電商發展歷程，逐步蒐集B2B、C2C、B2B2C電商商品數據，10多年來累積了來自上百家電商的6億筆商品數據──是Momo SKU數的130倍。</p> <p>這條數據蒐集之路上，第一網站面臨了幾個挑戰。首先是從不同規模和技術成熟度的電商蒐集數據。第一網站必須和一家家電商洽談數據串接，相當耗時。並且，不同電商技術成熟度不同，數據拋轉作做法也不盡相同，有些電商可以直接進行串接系統，有些則需要第一網站自行爬蟲。</p> <p>蒐集完這些數據，下一個挑戰是將所有來源的商品數據整理成相同格式，才能用來比價，以及用於打造搜尋引擎等其他功能。他們自行設計了一套商品分類框架和商品資訊格式。所有蒐集來的商品數據都會經過梳理後，轉化成第一網站自己的商品格式。</p> <p>為了方便梳理數據，第一網站向其他電商索取數據時，會先嘗試限縮資料格式到數種標準格式。他們要求對方用Google、Meta等國際大廠訂定的標準交換格式，或者直接用第一網站的資料格式，來提供數據。</p> <p>不過，就算先於蒐集階段指定了資料格式，這些資料仍多為半結構化資料。第一網站還需要用機器學習模型辨認出這些資料中的商品特徵，判斷出比價所需的商品名稱、規格、標價、實際售價、促銷活動等資訊，再將所有商品資訊轉化為自家資料格式。劉勉志說，第一網站利用這套流程，自動辨認出高達9成的規格化商品的商品特徵，並能利用這些特徵，將不同電商的同一商品歸類，供消費者比價。</p> <p><span style="font-size:28px;"><strong>用網頁搜尋的經驗和思維來做商品搜尋</strong></span></p> <p>第一網站的搜尋引擎不是只有檢索的數據量龐大。「我們是以國際級網頁搜尋引擎的規格來打造電商搜尋引擎。」劉勉志如此強調自家對於搜尋引擎技術的投入。他舉例，第一網站參考Yahoo時期經驗，早在其他電商之前，利用NLP技術及近義詞詞庫，來處理商品暱稱、錯別字和模糊語意的輸入，給出高關聯性搜尋結果。</p> <p>劉勉志說，要做出強大的電商搜尋引擎，只有人和商品兩大類數據並不夠。「要打造好的搜尋引擎，使用者行為數據和商品數據只是其中兩項要件，還有一個是強化搜尋品質的數據及做法，也就是如何讓機器善用前面兩種數據。」為了強化搜尋品質，第一網站用上許多不同做法，包括建立各種輔助用資料庫、人工為搜尋品質評分、利用機器學習提取商品及使用者數據關鍵洞察等。他們也設有專門負責維護和優化搜尋品質的團隊。</p> <p>其中一個重要做法是，利用一套2階段機器學習流程，從有限使用者和商品數據中提取搜尋結果排序的屬性及權重。</p> <p>第一階段是屬性提取，對特定使用者輸入的搜尋內容及第一網站自家商品資料，進行各式各樣的自動分類，再將這些分類作為之後排列搜尋結果順序的參考屬性。</p> <p>劉勉志說，第一網站一開始拿到的商品資訊，多是半結構化資訊，且包含維度有限。甚至，不同電商呈現同一種資訊維度的方法也不同。例如，電商根據不同購買者資格或促銷活動，會對同一件商品有許多種價格資訊，例如標價、會員價、特價、完成特殊任務或領取折價券才能提供的價格等，不同電商對這些價格的資料描述方法都會不同。或者，同一件商品的規格資訊，會藏在商品標題或商品描述等不同地方。</p> <p>第一網站必須打造一系列機器學習模型，結合有限商品資訊與第一網站對商品的理解，包括商品特性、交易情況等資訊，來提取出各種屬性，用於搜尋結果排序。目前，上百個用來排序搜尋結果的屬性中，至少有一半都是用機器學習模型提取出來的屬性，包括商品廠牌，熱賣程度、是否為耗材等。</p> <p>提取出上百種屬性後，第二階段是結合人工評分和機器學習，來修正不同屬性對於排序結果的影響程度。做法是，先隨意給定屬性權重，得出一次搜尋結果。接著，由搜尋品質團隊用一套搜尋關聯性標準，為這次搜尋結果的項目一一人工評分。這些評分會輸入修正屬性權重用的機器學習模型，提取出新的屬性權重。每當第一網站為排序演算法新增屬性種類，就會再重複一次這個人工評分和屬性提取的流程。</p> <p>不只從商品資訊切入，第一網站還會從使用者行為資訊，來尋找強化搜尋品質的資料。一個做法是，將使用者瀏覽及點擊行為整併成使用者旅途，再比較性質相似的使用者旅途，找出可以改進系統或調整排序策略的線索。舉例來說，如果使用者搜尋特定商品時，常點擊搜尋輔助工具，如手動分類、過濾選項等，代表預設搜尋結果排序方法有改善空間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1177-CTO-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>支援每月數十億次網站請求的數據架構</strong></span></p> <p>為了有效利用數據來支援搜尋、推薦及廣告等功能的開發與維運，早在公司草創期，工程團隊便憑著Yahoo時期處理巨量資料的經驗，以處理超大規模數據為前提來設計數據架構。</p> <p>第一網站發展至今，即使光是廣告聯播網就有每月36億次請求，這套資料架構與工作流程仍然可以支援數據相關作業正常運作。</p> <p>劉勉志說，第一網站數據架構以解決日常營運的三大需求為目標：短時間內處理數據、降低數據儲存成本、降低機器處理數據時的運算成本。</p> <p>為了降低儲存成本，第一網站依照資料完整度，將資料分成3個層級。第一層級是完整原始資料，只於Hadoop叢集保留2至4周。第二層級是初步整合過的第一層級資料，會保留3至6個月。第三層級則是第二層級資料分類、歸納後的結果，可以保留1至2年。</p> <p>原則上，第一網站工程團隊鮮少直接使用第一層級資料。研究和開發時，則會探勘第二層級資料。日常工程作業，只會用到第三層級資料。這種用途分類下，只有資料量最小的第三層級資料需要為了隨機存取而做索引，能有效降低機器處理資料時的運算成本，也能壓低資料處理時間。</p> <p>此外，第一網站還使用了許多做法，來進一步支援他們處理大量資料，包括開發平行處理機制來降低硬體閒置時間、非同步化（Asynchronize）請求和回應來避免任務霸佔伺服器資源、利用訊息佇列（Message Queue）緩解瞬間流量，以及為不同熱門程度的商品設定不同頻率的資料同步周期等──最後一招，也是第一網站效仿Yahoo等網頁搜尋引擎更新網頁索引的做法。</p> <p><span style="font-size:28px;"><strong>持續累積新領域的電商數據，更要用相同數據做法走到海外市場</strong></span></p> <p>可支援超大量數據處理的數據基礎架構，使第一網站能持續擴充自家電商數據軍火庫。</p> <p>他們下一個目標是團購類電商。劉勉志說，團購類電商常販售與其他電商型態相異的商品，且許多團購消費者原本不會上比價網。也就是說，蒐集團購電商數據，使第一網站能接觸到全新的商品類型和消費者族群。他們近月於自家App推出了團購訂單管理及追蹤功能，以期吸引賣家與買家下載App，並留下寶貴的團購電商數據。</p> <p>另一種他們要積極蒐集的數據是第一方Cookie。數位行銷是第一網站重要收入來源，因此他們也將受到今年第三方Cookie退場衝擊。劉勉志說，除了蒐集消費者Email和手機等識別用資訊，他們還打算蒐集更多第一方Cookie，才能更完整追蹤消費者足跡。初步構想是，和合作對象合法交換彼此第一方Cookie，以及投放數位行銷內容時，導引使用者經過第一網站網域，來蒐集第一方Cookie。</p> <p>不只要持續累積新領域的電商數據，第一網站更要用相同的數據基礎架構和做法來挑戰澳洲市場。今年，他們上線了飛比澳洲，目前收錄來自272家電商的1,800萬筆商品數據。</p> <p>劉勉志說，雖然他們是用同一套數據做法來經營澳洲市場的導購網，不過澳洲市場零售型態和商品種類與臺灣相差許多，帶來的最大初期挑戰反而不是數據蒐集，而是熟悉當地零售環境，才能進一步規畫商品數據的分類和應用方法。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>劉勉志第一網站研發部副總經理</strong></p> <p>學歷：淡江大學資管所碩士</p> <p>經歷：曾在Yahoo奇摩工程團隊開發諸多社群平臺及中文搜尋工具。升任首席工程師後，擔任Yahoo全球搜尋系統架構的設計與規畫，並負責40個國家、超過30種語言的搜尋技術移轉任務。後加入第一網站擔任研究發展部副總經理，強化旗下產品的搜尋及個人化推薦等功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/30(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)_%E7%AC%AC%E4%B8%80%E7%B6%B2%E7%AB%99_20240215.jpg" style="width: 300px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p>第一網站股份有限公司</p> <p>●地址：臺北市中山區復興北路164號2樓之1</p> <p>●成立時間：2007年</p> <p>●主要業務：聚焦於購物搜尋引擎「飛比價格feebee」、精準行為廣告「Feebee Shopping Adnetwork - FSA」、「Sitemaji聯播網」、「飛比 BI 電商市場情報」及「飛比+1團購訂單系統」等服務。</p> <p>●員工數：56人</p> <p>●董事長：盧大為</p> <p>●總經理：李宗豪</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司大事紀 </span></strong></span></p> <p>●2007：第一網站成立</p> <p>●2010：「Sitemaji」廣告聯播網服務上線</p> <p>●2013：「飛比價格」購物搜尋引擎服務上線</p> <p>●2015：App服務、瀏覽器擴充功能上線</p> <p>●2017：海內外網路媒體夥伴突破200家</p> <p>●2018：聯播網廣告請求突破每月20億</p> <p>●2019：App下載突破200萬</p> <p>●2021：「Feebee Shopping Adnetwork-FSA」購物廣告上線</p> <p>●2023：「飛比+1團購訂單系統」與「飛比BI電商市場情報」服務上線、前進澳洲市場開設Feebee AU</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1177-cto-960.jpg" width="960" height="420" alt="" title="第一網站研發部副總經理劉勉志　（攝影／洪政偉）" /></div></div></div>
2024/4/12 06:00作者郭又華https://www.ithome.com.tw/people/162246
搭配800G交換器與400G資料處理器，輝達推出AI加速網路平臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/spectrum-x-main.jpg" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2022年的Nvidia GTC大會主題演講結尾，曾播出一段<a href="https://youtu.be/DFKdU6AIseI?si=jcbEwLh6S4TJl40K">呈現Nvidia AI超級電腦資料中心特色的幽默動畫影片</a>，劇情是DGX、網路交換器、GPU、DPU、氣冷系統等設備與元件的資料中心祕密狂歡會，令人印象深刻。</p> <p>今年3月舉行的Nvidia GTC 2024大會主題演講最後再度播出一段與此主題有關的影片，內容換成Toy Jensen搭乘AI自動駕駛的太空船穿梭在該公司多種資料中心解決方案之間，航程逐一標示重要產品，包含已登場的Grace CPU、<a href="https://www.ithome.com.tw/review/156209">BlueField-3 DPU</a>、DGX SuperPOD、NVLink Switch晶片，最新發表的Blackwell GPU、GB200 NVL72、ConnectX-800G InfiniBand SuperNIC網卡（ConnectX-8 SuperNIC網卡），也帶到即將登場亮相的NVLink Spine線路，以及液冷系統，特別的是，這艘太空船一開頭是從交換器的網路埠飛出，最後飛入交換器的網路埠，回到色彩亮麗的AI與Omniverse大宇宙，應該是該公司首次利用動畫影片突顯Nvidia Networking技術的重要性。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/lk_2B2115RM?si=ZNXMzqtoxGlGIUDi" title="YouTube video player" width="560px"></iframe></div> <p>而這也呼應Nvidia今年GTC大會最終對Blackwell平臺重要成員的介紹，當中不僅包含新一代的GPU整合主板模組HGX B100、獨立的NVLink Switch交換器、基於GB200 Superchip而成的運算節點，更帶出橫跨多座機櫃、使巨量GPU之間的I/O得以暢行無阻的關鍵技術，那就是他們接下來要推廣的全方位800 Gb/s網路解決方案：X800系列，裡面涵蓋用於InfiniBand網路的Quantum-X800平臺，以及用於乙太網路的Spectrum-X800平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-03-Nvidia Blackwell Platform.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-Nvidia%20Blackwell%20Platform.jpg" style="width: 600px;" /></a></p> <p>若以目前能否供應市場的狀態而言，後者就緒程度較高。第一個理由在於，Nvidia在2023年5月首度發表<a href="https://www.ithome.com.tw/review/157770">加速網路平臺Spectrum-X</a>，並表明這是專為設置在乙太網路的AI雲端服務所設計的解決方案，當時曾喊出能在多租戶環境當中，提供1.7倍的整體AI效能（相較於傳統乙太網路），並具備高能源使用效益，以及一致、可預期的效能表現；在應用案例方面，Nvidia當時正在以色列組建的大型生成式AI超級電腦系統Israel-1，會用來規畫與測試Spectrum-X的參考設計，關於實際供應此項解決方案的廠商方面，他們預告將有三家：Dell、聯想、Supermicro。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/nvidia-spectrumx-platform-og-2023-05.jpg" style="width: 398px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Spectrum-X%20benefits-2024-03.png" style="width: 198px;" /></p> <p>在此之後，他們陸續揭露Spectrum-X的上市與推廣進度。例如，2023年8月Nvidia公布季度財報時，提到<a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-second-quarter-fiscal-2024">Spectrum-X將於此季度開始出貨</a>；11月，他們預告這套AI專用乙太網路平臺將於2024年第一季，<a href="https://nvidianews.nvidia.com/news/nvidias-new-ethernet-networking-platform-for-ai-available-soon-from-dell-technologies-hewlett-packard-enterprise-lenovo">整合到Dell、HPE、聯想這三大廠商的伺服器</a>。</p> <p>到了今年，Nvidia於2月宣布<a href="https://developer.nvidia.com/blog/benchmarking-nvidia-spectrum-x-for-ai-network-performance-now-available-from-supermicro/">Supermicro加入供應Spectrum-X的行列</a>，在3月舉行GTC 2024大會期間，他們不僅正式發表Spectrum-X800，也宣布用於InfiniBand網路環境的Quantum-X800成軍，形成以X-800為名的網路軟硬體整合新套裝方案，而且將有更多IT基礎架構與系統廠商供應這類解決方案——除了上述4家業者，還包括Hitachi Vantara、VAST Data、DDN、Aivres、Eviden。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia X-800-2024-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20X-800-2024-03.jpg" style="width: 600px;" /></a></p> <p>第二個理由在於，組成這套解決方案的兩個產品都已上市，分別是800GbE交換器Spectrum SN5600，以及BlueField-3 SuperNIC。</p> <p>Spectrum-X800平臺鎖定需供應AI高效能運算機制的多租戶雲端服務，以及大型企業基礎架構，具備最佳化的網路效能，針對AI工作負載，提供更快速的處理、分析、執行能力，促成AI解決方案的開發、部署、上市。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Spectrum-X800%20components-2024-03.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Spectrum-X800 process-2024-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Spectrum-X800%20process-2024-03.jpg" style="width: 600px;" /></a></p> <p>對於多租戶環境而言，Nvidia強調，Spectrum-X800平臺可確保每個租戶的AI工作負載，能夠以彼此隔離的方式運作，維護效能等級處於最佳狀態，並且具有一致性，進而強化顧客滿意度與服務品質。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Spectrum-X-2024-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Spectrum-X-2024-03.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Spectrum-X-LLM-2024-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Spectrum-X-LLM-2024-03.jpg" style="width: 298px;" /></a></p> <p>而在效能展現的部分，Nvidia在今年2月揭露更詳細的數據。他們在率先導入此平臺的超級電腦Israel-1進行測試，並以傳統乙太網路為基準。</p> <p>首先是基本的網路運作效能，Spectrum-X有效頻寬可達到4.6倍，存取延遲度減至4.5分之一，關鍵在於傳統乙太網路雖然支援RDMA，但Spectrum-X額外支援RDMA二分法（bisection）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-02-rdma-bisection-traditional-ethernet-nvidia-spectrum-x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-rdma-bisection-traditional-ethernet-nvidia-spectrum-x.png" style="width: 600px;" /></a></p> <p>第二，是針對Nvidia集合通訊程式庫（NCCL）的AI原語（primitives）處理測試，諸如all-to-all、all-reduce這兩種多對多的NCCL操作，以此橫跨多個GPU來更新模型參數，確保橫向擴充AI訓練與AI推論的同步作業，Spectrum-X可分別達到傳統乙太網路的1.5倍、2.2倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-02-ai-cloud-performance-nccl-traditional-ehternet-nvidia-spectrum-x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-ai-cloud-performance-nccl-traditional-ehternet-nvidia-spectrum-x.png" style="width: 600px;" /></a></p> <p>第三，是大型語言模型效能，面對430億個參數的Nvidia Nemo的AI訓練測試，Spectrum-X可達到傳統乙太網路的1.2倍；面對700億個參數的FSDP Llama，Spectrum-X可達到傳統乙太網路的1.5倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-02-ai-cloud-workload-performance-nvidia-spectrum-x-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-ai-cloud-workload-performance-nvidia-spectrum-x-2.png" style="width: 600px;" /></a></p> <p>第四是網路韌性，在面臨上行連結網路故障率分別為50％、75％、88％，Spectrum-X提供AI網路效能均優於傳統乙太網路。Nvidia表示，這是因為Spectrum-X的路由、流向若遇上斷線會進行改道，並以有效率的方式重新指派至運作正常的連線，因此能夠盡可能不影響網路效能，傳統乙太網路容易受到網路問題影響而拖垮傳輸速度，進而導致GPU基礎架構缺乏效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-02-ai-cloud-network-performance-traditional-ethernet-nvidia-specturm-x.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-02-ai-cloud-network-performance-traditional-ethernet-nvidia-specturm-x.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Nvidia Spectrum-X800</strong><br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●硬體組成產品：交換器Spectrum-X800 SN5600（64個800GbE埠，可分接128個400GbE埠）、資料處理器BlueField-3 SuperNIC（1或2個400GbE埠）、纜線與收發器LinkX<br /> ●軟體組成產品：NetQ、Air、NCCL、Nsight、DOCA、Magnum IO、Cumulus Linux、SONiC</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/4/12 01:58作者李宗翰https://www.ithome.com.tw/review/162206
【資安日報】4月11日，臉書出現提供生成式AI服務桌面軟體的詐騙粉絲頁，目的是誘使大家安裝惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>散布竊資軟體的攻擊行動頻傳，其中結合時下熱門的生成式AI服務為誘餌的情況，相當值得留意。最近就有一起假借提供桌面版程式的攻擊行動，駭客透過臉書廣告來從事攻擊行動，使用者若是依照指示取得對方提供的桌面版軟體，電腦就有可能被植入竊資軟體。</p> <p>特別的是，攻擊者其中一個臉書粉絲頁竟維持長達一年，累積120萬用戶追蹤，但為何此粉絲頁這麼久才被發現，研究人員並未說明。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162233"><strong style="font-size: 22px;">駭客透過臉書聲稱提供多種生成式AI服務桌面版程式，目的是散布竊資軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bitdefender-01-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/bitdefender-01-1.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Bitdefender指出，他們最近看到駭客透過外流的臉書帳號，藉由廣告與個人資料頁面，宣稱提供Midjourney、Sora AI、DALL-E 3、Evoto、ChatGPT 5等人工智慧服務，並列出電腦版的應用程式檔案下載連結。一旦使用者上鉤，依照指示點選連結，就會被引導到惡意網頁，最終導致電腦被植入Rilide、Vidar、IceRAT、Nova Stealers等多種竊資軟體。</p> <p>而對於這起攻擊行動的範圍，研究人員指出，攻擊者投放臉書廣告的主要範圍是德國、波蘭、義大利、法國、比利時、西班牙、荷蘭、羅馬尼亞、瑞典，鎖定25至55歲的男性用戶，惡意廣告在歐洲的覆蓋範圍約有5萬人。</p> <p>值得留意的是，其中一個冒用Midjourney之名成立的臉書粉絲頁面，擁有120萬名追蹤者，而且，該網頁存在期間長達1年，直到今年3月8日才被關閉。</p> <p><a href="https://www.ithome.com.tw/news/162239"><strong style="font-size: 22px;">駭客利用惡意程式ScrubCrypt迴避防毒軟體偵測，意圖散布多款木馬程式及竊資軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-scrubcrypt-attack-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-scrubcrypt-attack-chain.png" style="width: 300px; float: right;" /></a>今年4月資安業者Fortinet研究人員發現有人散布含有SVG圖檔附件的釣魚郵件，一旦收信人依照指示開啟附件，電腦就會下載ZIP壓縮檔，其內容是受到名為BatCloak的工具高度混淆的批次檔ScrubCrypt。</p> <p>解密後ScrubCrypt就會載入最終酬載VenomRAT，該惡意軟體會從C2下載其他「外掛程式」，這些包含同名為VenomRAT的鍵盤側錄工具、Remcos、XWorm、NanoCore，以及針對特定加密貨幣錢包的竊資軟體。</p> <p>此外，攻擊者透過VBS指令碼進行偵察，收集系統資訊，以及從特定的加密錢包與應用程式資料夾挖掘資料。這些應用程式包括：Atomic Wallet、Electrum、Ethereum、Exodus、Zcash、Foxmail、Telegram。</p> <p><a href="https://www.ithome.com.tw/news/162242"><strong style="font-size: 22px;">駭客組織TA547利用AI產生PowerShell指令碼，目的是散布竊資軟體Rhadamanthys</strong></a></p> <p>資安業者Proofpoint揭露駭客組織TA547散布竊資軟體Rhadamanthys的攻擊行動，對方鎖定假冒德國零售業者Metro，針對當地各個領域的數十個企業組織寄送釣魚郵件，以提供發票資料做為誘餌引誘收信人上當。</p> <p>對方在郵件挾帶密碼保護的ZIP壓縮檔附件，並在郵件本文表明密碼為「MAR26」，該壓縮檔內含Windows捷徑檔（LNK），一旦收信人執行LNK檔，就會觸發PowerShell執行遠端的指令碼，然後下載轉為Base64編碼格式的Rhadamanthys可執行檔，並進行解碼、載入於記憶體內執行，使得惡意程式碼不會寫入磁碟留下行蹤。</p> <p>比較特別的是，研究人員發現，用來載入竊資軟體執行檔的PowerShell指令碼出現不常見的特徵，攻擊者在每個元件的前一行寫入含有「＃」符號的註解，內容極為具體且文法完全正確，基於上述特徵，他們推測對方使用大型語言模型（LLM）產生指令碼的內容。</p> <p><a href="https://www.ithome.com.tw/news/162236"><strong style="font-size: 22px;">電子商務平臺Magento漏洞遭到利用，駭客對其注入後門程式</strong></a></p> <p>資安業者Sansec提出警告，他們看到有人使用新型態的手法，於資料庫裡加入偽造的版面（Layout ）範本，從而在Magento電子商城自動注入惡意程式，以便持續對受害網站發動攻擊。</p> <p>研究人員指出，攻擊者同時濫用Magento的版面解析器與beberlei/assert套件，從而能夠於伺服器上執行系統層級的命令。由於版面區塊與結帳車功能相連，因此只要收到<store>/checkout/cart的請求，就會觸發攻擊者的命令。他們看到攻擊者使用sed命令，於CMS控制器自動加入後門程式並執行。</p> <p>上述被利用的Magento弱點，被登記為CVE-2024-20720列管，CVSS風險評為9.1分。Adobe於2月13日發布新版Adobe Commerce、Magento Open Source予以修補，研究人員呼籲IT人員應儘速套用相關更新。</p> <p><a href="https://www.ithome.com.tw/news/162244"><strong style="font-size: 22px;">美國電信業者AT&T資料外洩影響用戶數量出爐，目前傳出多達5,100萬名顧客受害</strong></a></p> <p>3月30日美國大型電信業者AT&T證實，有超過7千萬名用戶的個資外洩，其中有760萬名是現有用戶，但如今這起事故出現的變化。</p> <p>4月10日該公司向緬因州總檢查辦公室進行通報，指出這起資料外洩受影響人數共有51,226,382名，但為何與先前透露的數字有明顯差距？該公司表示，原因是部分使用者擁有多個帳號而被重複計算，另有部分用戶並未提供敏感個資。</p> <p>但究竟這些資料從何流出？還有AT&T為何事隔5年才確認客戶資料並進行通報？該公司並未做出說明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=173251&SPOKE_DATE=20240409&COMPANY_ID=1229"><strong style="font-size: 20px;">食品業者聯華遭遇網路攻擊事件</strong></a></p> <p></p> <p>◆<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=182452&SPOKE_DATE=20240409&COMPANY_ID=1313"><strong style="font-size: 20px;">化學產品製造商聯成遭遇網路攻擊</strong></a></p> <p></p> <p>◆<a href="https://cyble.com/blog/elevating-the-stakes-the-enhanced-arsenal-of-the-fake-e-shop-campaign/"><strong><span style="font-size: 20px;">假電子商城攻擊行動升溫，鎖定馬來西亞、越南、緬甸的金融機構而來</span></strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162243"><strong style="font-size: 22px;">西門子發布4月例行安全性公告，一口氣揭露80個漏洞</strong></a></p> <p>4月9日工業控制系統廠商西門子針對旗下產品發布例行更新公告，多達19篇，總共提及約80個新漏洞。</p> <p>其中一份主要與遠端控制軟體Telecontrol Server Basic有關，包含47個漏洞，大部分與第三方元件有關；另有一份公告針對Wi-Fi裝置Scalance W1750D而來，當中提及3個危急程度的漏洞，若不修補攻擊者可用來執行任意程式碼，CVSS風險評分皆達到9.8。</p> <p>而以公告的數量而來，有2則與Ruggedcom APE1808工業應用程式管理平臺有關，而且都是提及該平臺所採用的虛擬版本Palo Alto Networks次世代防火牆元件，總共提及6個Palo Alto從2022至2023年公布的漏洞。值得留意的是，其中一個曾被用於反射放大DDoS攻擊。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong><a href="https://www.bleepingcomputer.com/news/security/new-spectre-v2-attack-impacts-linux-systems-on-intel-cpus/"><span style="font-size: 20px;">新型態Spectre v2攻擊手法影響搭載Intel處理器的Linux電腦</span></a></strong></p> <p></p> <p>◆<strong><a href="https://www.fortiguard.com/psirt/FG-IR-23-087"><span style="font-size: 20px;">Fortinet修補Linux版FortiClient的危急漏洞</span></a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162224"><strong>【4月10日】微軟在本月例行更新揭露近150個漏洞，數量創近年新高</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162200"><strong>【4月9日】惡意軟體JsOutProx鎖定亞太地區、中東及北非而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162157"><strong>【4月8日】勒索軟體駭客組織Red CryptoApp聲稱入侵超過10個企業組織引起研究人員關注</strong></a></p> </div></div></div>
2024/4/11 17:03作者周峻佑https://www.ithome.com.tw/news/162245
5G趨勢月報第53期：花蓮強震造成行動網路通訊受阻，政府緊急調度中低軌衛星設備協助災區通訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>03/14~04/09精選5G趨勢新聞</strong></span></h3> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>地震</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>衛星</b></span></font></p> <div> <p><span style="font-size:22px;"><strong><span id="docs-internal-guid-451e4976-7fff-a45a-2700-b3388ac02579"><span style="font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;">花蓮強震造成災區行動網路服務中斷，政府緊急調度中低軌衛星設備支援災區緊急通訊網路</span></span></strong></span></p> </div> <div> <p>4月3日臺灣東部發生規模7.2強震，造成花蓮地區傳出災情，因停電或地震造成當地4G或5G網路受到影響，為支援災區緊急通訊，3家電信業者除了搶修之外，也派遣行動通訊車前往災區，數位發展部也與電信技術中心合作，調派首輛應變網路行動車及相關人員前往花蓮災區，通過行動車上的衛星設備，可與SES中軌衛星建立通訊，連接網際網路，為災區建立緊急通訊網路。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/5erd4ebj_c0h-600.jpg" style="width: 600px; height: 450px;" /></p> <p>應變網路行動車可以搭配基地臺，提供災區民眾、救災人員使用行動通訊網路，也可以利用Wi-Fi設備，讓民眾與救災人員使用Wi-Fi上網。</p> <p>除了出動應變網路行動車前往災品，位於山區太魯閣、天祥因交通中斷，數位部與電信技術中心也將低軌衛星設備，利用直升機將設備空運到山區，測試接通OneWeb低軌衛星通訊，轉換為Wi-Fi訊號，以供天祥地區附近受困民眾對外聯絡向親友報平安，讓救災人員以語音和應變中心聯絡，或傳送現場災區影像給應變中心。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>VoLTE</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>3G</b></span></font></p> <div> <p><strong><span style="font-size:22px;">3大電信確定於6/30前關閉3G網路，既有頻譜資源將轉投入4G或5G網路</span></strong></p> </div> <div> <p>中華電信、台灣大哥大、遠傳電信近期獲NCC通過，今年6月30日前將會關閉3G網路，業者將轉移現有3G使用的無線頻譜資源，包括1800MHz及2100MHz頻段，用以改善4G或5G服務。</p> <p>俗稱3G的第三代行動通訊服務，雖然在2018年就已終止服務，但仍維持基本的3G網路運作，供4G用戶通話語音使用，如今3G網路確定將在6月底關閉後，未來語音通話將全面使用VoLTE（Voice over LTE），用戶如使用的SIM卡及手機無法支援VoLTE，6月30日後將無法再使用語音通話，應儘早更換SIM卡及手機以支援VoLTE。</p> <p>為加速用戶採用可支援VoLTE的手機，電信業者紛紛祭出低資費方案，甚至電信業者與手機品牌商合作，以低資費方案搭配支援VoLTE通話，空機售價不到4千元的平價5G手機，以及吸引用戶無痛升級。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>VoLTE</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>3G</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>強化臺灣通訊網路韌性，數位部擬建立緊急通訊專用的境外5G雲端核心網路</strong></span></p> </div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/com(2).jpg" style="width: 600px; height: 314px;" /></p> <p>數位部近期宣示為強化臺灣的通訊網路韌性，將建設海陸空應變通訊網路，除了供一般民眾使用的跨業者災難漫遊機制之外，還有公共安全與救難應變通訊系統PPDR、非同步軌道衛星應變，以及境外5G雲端核心網路。</p> <p>其中境外5G雲端核心網路，是假設境內發生大規模網路中斷，行動基地臺無法和電信業者的核心網路連接時，例如境內網路通訊中斷或是電信業者核心網路受到損毀，行動基地臺可通過非同步軌道衛星，連接國內或境外5G雲端核心網路，以作為緊急指揮體系使用。</p> <p>至於另一項公共安全與救難應變通訊系統PPDR，類似於救災專用網路的概念，由政府建置的核心網路，當災害發生造成區域性網路中斷，政府的核網介接電信業者基地臺，電信業者調撥部分網路頻寬作為救災專用，救災人員設備使用特殊的SIM卡作為識別，如此一來，當災害發生時，行動網路因為短時間內大量使用而出現網路壅塞，或是部分基地臺損毀，政府可透過PPDR核網使用未損壞的基地臺，確保救災指揮通訊網路的優先性。</p> <p>不論是跨業者災難漫遊機制、境外5G雲端核心網路或是PPDR，目前正在技術及概念驗證階段，數位部曾在去年展示PPDR機制，當區域性災害發生，讓政府PPDR核心介接電信業者基地臺，建立救災指揮專用行動網路。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧港口</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>IoT</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>安平港及高雄港測試導入5G與IoT，加速智慧港口</strong></span><strong style="font-size: 22px;">轉型</strong></p> </div> <div> <p>歷史悠久的臺南安平港及國際貿易重要港口的高雄港，為趕上現代化港口發展腳步，近期和國內電信業者合作，以5G、IoT、無人載具，加速港口的智慧化管理。</p> <p>該電信業者利用5G無人載具智慧應用系統，來協助安平臺及高雄港智慧港口管理，結合各種無人載具，例如無人機、水面無人載具、AMR自主移動機器人，偵測及蒐集港區的資料，透過5G網路傳送資料至港口管理單位。</p> <p>以安平的亞果遊艇碼頭為例，利用碼頭建置的IoT感測裝置，監測水面的油污數值，當發現異常數值，即以Line向管理單位發送警告，供追查違法排放廢污油的船隻。此外，透過水面無人船、無人機巡視及蒐集影像，讓後臺管理人員掌握水面垃圾蒐集情形，或是否有人不慎落水。而透過ARM自主移動機器人可取代人力巡視港區作業，提高巡檢效率。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>轉播</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <div> <p><strong><span style="font-size:22px;">CNN利用5G專網轉播艾斯特里網球公開賽決賽</span></strong></p> </div> <div> <p>在葡萄牙舉行的國際職業網球賽事艾斯特里網球公開賽決賽期間，CNN首次和當地電信業者合作，利用5G行動專網，以高畫質轉播賽事內容。</p> <p>因職業網球賽事往往吸引大量球迷觀賽，一睹職業球員球技，現場連網設備眾多，大量的連網需求，因此電信商利用5G專用網路，確保不會因為現場觀眾密集使用5G公共網路，依照賽事的需求規畫5G專用網路，例如提供較高的上傳頻寬，以傳送即時的高畫質決賽畫面。</p> <p>在臺灣也有類似的應用，去年國內一家電信業者利用5G網路切片技術，協助轉播新北市舉行的萬金石馬拉松，有別於一般競賽在定點舉行，這場大型馬拉松賽事跨越新北市萬里區、金山區、石門區，全長42公里路線，選手在開闊的環境下長距離移動，業者利用網路切片技術，建構一個賽事專用虛擬網路，以調度網路資源，確保賽事舉行期間網路品質。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>外送</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無人機</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>瑞典外送業者foodora推出5G無人機外送服務</strong></span></p> </div> <div> <p>瑞典外送業者foodora與當地電信業者Tele 2合作，雙方將結合5G無人機及IoT物聯網，推出無人機外送服務foodora air，依用戶的條件不同，利用5G無人機將食物盡可能配送到其家中或花園，首批貨物已在第一季於斯德哥爾摩郊區完成配送。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/92239e22a51e264b_org-600.jpg" style="width: 600px; height: 338px;" /></p> <p>foodora專門提供外送服務，替沒有時間採購的用戶配送雜貨或食物，foodora air則是一支無人機隊，可通過5G網路，在斯德哥爾摩郊區Värmdö的餐廳協助外送食物，每架無人機可飛行約21公里，最大可配送距離為12公里，最重交貨重量可達4公斤。</p> <p>通過5G物聯網技術，無人機可縮短回應時間，傳送及接收較多的資料。雙方合作推出5G無人機配送服務，主要鎖定城市郊區的農村，預計5月開始Värmdö地區就能正式使用這項無人機配送服務，該地區用戶可透過App訂購，由無人機配送到用戶的住家。foodora表示，未來將擴大到瑞典更多地區，讓更多地區也能獲得和城市相近的配送服務，配送藥物或食品。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>外送</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>無人機</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>高通推出Snapdragon 7+Gen3，將裝置上生成式AI應用擴展至中高階手機市場</strong></span></p> </div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snapdragon%207%2B%20Gen%203-600.jpg" style="width: 600px; height: 372px;" /></p> <p>高通發表最新一代的Snapdragon 7+Gen 3行動平臺，除了支援5G之外，還支援Wi-Fi 7，並將裝置上的生成式AI推向Snapdragon 7系列中高階行動裝置市場，以加速生成式AI應用在行動裝置上的普及。首批採用的行動裝置將會在未來幾個月陸續發表至市場。</p> <p>新的Snapdragon 7+Gen 3在CPU效能上提升15%，GPU則提升45%，高通指出，該平臺可支援廣泛的AI模型，包括Baichuan-7B、Llama 2，以及Google的Gemini Nano等大型語言模型，能提供裝置上生成式AI虛擬助理，或是支援生成式AI的圖像生成。相較於先前發表的Snapdragon 8 Gen 3鎖定旗艦級手機市場，透過新平臺，高通將生成式AI應用擴展至中高階裝置。</p> <p>在通訊技術上，新平臺搭載Snapdragon X63 5G數據機晶片，支援5G Release 17，並支援了HBS高頻段同步的下一代Wi-Fi 7連網功能，也是Snapdragon 7系列首次搭載Wi-Fi 7。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>中鋼</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>智慧製造</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>中鋼結合5G AIoT技術完成智慧軌道運輸系統建置，提高作業效率及安全</strong></span></p> </div> <div> <p>中鋼在2021年導入5G專網，近期該公司宣布已結合5G AIoT技術完成智慧軌道運輸系統建置，通過遠端接渣操控提高接渣作業效率，降低因操作不慎影響產線生產及設備維護成本，該公司預估一年可節省700萬元。</p> <p>中鋼表示，在轉爐製程中產出攝氏1000度高溫的轉爐石、脫硫渣等鋼渣副產品，需透過廠區內的軌道運輸至室內渣場進一步處理，這個運輸作業中包括渣通轉爐接渣、鋼渣靜置冷卻、渣通軌道運輸、渣場置換空桶等流程，過去完全是以人力操作，可能因誤判導致鋼渣外溢而延誤生產，或發生工安、造成設備損壞。</p> <p>因接渣作業為高溫危險環境，人員無法在現場直接觀看操作接渣，因此結合5G AIoT，操作人員在遠端，一方面從現場即時影像判斷，另方面可從模擬動畫，結合AI預判鋼渣落點、渣桶接渣安全範圍，轉助人員完成接渣作業：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2359_1_3222.jpg" style="width: 605px; height: 284px;" /></p> <p>中鋼與電信業者合作，在戶外軌道運輸建置900公尺的5G非獨立組網專網，利用低延遲的通訊技術蒐集影像及數據，作為智慧軌道運輸系統的基礎。運用5G的高速傳輸、低延遲，結合AI的機器學習、深度神經網路影像辨識，輔助接渣作業，傳輸高溫作業環境的即時影像、預判鋼渣接桶落點、安全接渣範圍，接渣作業人員並可透過模擬的動畫操作。此外，利用雷射測距測量渣面高度，結合熱影像分析鋼渣溫度及靜置停留時間，在鋼渣較穩定後開始運輸，司機並可透過鋼渣車在軌道的行車影像及數據，確保軌道運輸作業安全。</p> </div> <p> </p> <p>圖片來源／數位發展部、Tele 2、高通、中鋼</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.美國FCC重啟90億美元普及計畫，要讓5G擴大至農村</strong></p> <p><strong>2.澳洲允許電信業者關閉新的5G頻譜</strong></p> <p>資料來源：iThome整理，2024年3月</p> </div> </div> </div> </div> </div> </div> </div> </div> </div></div></div>
2024/4/11 18:02作者蘇文彬https://www.ithome.com.tw/news/162210
西門子發布4月例行安全性公告，一口氣揭露80個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月9日工業控制系統廠商西門子針對旗下產品發布例行更新公告，多達19篇，總共提及約80個新漏洞。</p> <p><a href="https://cert-portal.siemens.com/productcert/html/ssa-556635.html">其中一份</a>主要與遠端控制軟體Telecontrol Server Basic有關，包含47個漏洞，大部分與第三方元件有關；<a href="https://cert-portal.siemens.com/productcert/html/ssa-885980.html">另有一份公告針對Wi-Fi裝置Scalance W1750D而來</a>，當中提及3個危急程度的漏洞，若不修補攻擊者可用來執行任意程式碼，CVSS風險評分皆達到9.8。</p> <p>而以公告的數量而來，有2則與Ruggedcom APE1808工業應用程式管理平臺有關（<a href="https://cert-portal.siemens.com/productcert/html/ssa-822518.html">1</a>、<a href="https://cert-portal.siemens.com/productcert/html/ssa-455250.html">2</a>），而且都是提及該平臺所採用的虛擬版本Palo Alto Networks次世代防火牆元件，總共提及6個Palo Alto從2022至2023年公布的漏洞。值得留意的是，其中一個<a href="https://www.securityweek.com/palo-alto-networks-firewalls-targeted-reflected-amplified-ddos-attack/">曾被用於反射放大DDoS攻擊</a>。</p> </div></div></div>
2024/4/11 15:35作者周峻佑https://www.ithome.com.tw/news/162243
美國電信業者AT&T資料外洩影響用戶數量出爐，目前傳出多達5,100萬名顧客受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月30日美國大型電信業者AT&T證實，<a href="https://www.ithome.com.tw/news/162051">有超過7千萬名用戶的個資外洩</a>，其中有760萬名是現有用戶，但如今這起事故出現的變化。</p> <p>4月10日該公司向緬因州總檢查辦公室進行通報，<a href="http://apps.web.maine.gov/online/aeviewer/ME/40/3778e1fc-2ed5-461d-9cc5-df15c07f687c.shtml">指出這起資料外洩受影響人數共有51,226,382名</a>，但為何與先前透露的數字有明顯差距？該公司表示，原因是部分使用者擁有多個帳號而被重複計算，另有部分用戶並未提供敏感個資。</p> <p>這次AT&T向主管機關通報的內容，主要源於<a href="https://www.ithome.com.tw/news/146382">2021年有人在駭客論壇RaidForums兜售相關資料</a>，當時開價100萬美元引起關注。到了最近，有人宣稱免費公開上述資料，並被<a href="https://twitter.com/DarkWebInformer/status/1769395718114996560">Dark Web Informer</a>、<a href="https://twitter.com/vxunderground/status/1769355681419702480">VX-Underground</a>等多組研究人員確認，部分資料是正確的。</p> <p>但究竟這些資料從何流出？還有AT&T為何事隔5年才確認客戶資料並進行通報？該公司並未做出說明。</p> </div></div></div>
2024/4/11 16:17作者周峻佑https://www.ithome.com.tw/news/162244
電子商務平臺Magento漏洞遭到利用，駭客對其注入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Sansec提出警告，<a href="https://sansec.io/research/magento-xml-backdoor">他們看到有人使用新型態的手法</a>，於資料庫裡加入偽造的版面（Layout ）範本，從而在Magento電子商城自動注入惡意程式，以便持續對受害網站發動攻擊。</p> <p>研究人員指出，攻擊者同時濫用Magento的版面解析器與beberlei/assert套件，從而能夠於伺服器上執行系統層級的命令。由於版面區塊與結帳車功能相連，因此只要收到<store>/checkout/cart的請求，就會觸發攻擊者的命令。他們看到攻擊者使用sed命令，於CMS控制器自動加入後門程式並執行。</p> <p>此外，他們還看到攻擊者注入冒牌的Stripe支付側錄器，盜取付款資料的情況。</p> <p>上述被利用的Magento弱點，被登記為CVE-2024-20720列管，CVSS風險評為9.1分。<a href="https://helpx.adobe.com/security/products/magento/apsb24-03.html#:~:text=H/A%3AH-,CVE%2D2024%2D20720,-Uncontrolled%20Resource%20Consumption">Adobe於2月13日發布新版Adobe Commerce、Magento Open Source予以修補</a>，研究人員呼籲IT人員應儘速套用相關更新。</p> </div></div></div>
2024/4/11 12:11作者周峻佑https://www.ithome.com.tw/news/162236
駭客利用惡意程式ScrubCrypt迴避防毒軟體偵測，意圖散布多款木馬程式及竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年3月資安業者Fortinet發現，駭客組織8220鎖定Oracle WebLogic伺服器發動攻擊，使用名為ScrubCrypt的惡意程式，將惡意程式的可執行檔轉換成批次檔，藉此迴避防毒軟體偵測，如今利用該惡意軟體的攻擊行動再次出現。</p> <p>今年4月該公司研究人員發現<a href="https://www.fortinet.com/blog/threat-research/scrubcrypt-deploys-venomrat-with-arsenal-of-plugins">有人散布含有SVG圖檔附件的釣魚郵件</a>，一旦收信人依照指示開啟附件，電腦就會下載ZIP壓縮檔，其內容是受到名為BatCloak的工具高度混淆的批次檔ScrubCrypt。</p> <p>解密後ScrubCrypt就會載入最終酬載VenomRAT，該惡意軟體會從C2下載其他「外掛程式」，這些包含同名為VenomRAT的鍵盤側錄工具、Remcos、XWorm、NanoCore，以及針對特定加密貨幣錢包的竊資軟體。</p> <p>此外，攻擊者透過VBS指令碼進行偵察，收集系統資訊，以及從特定的加密錢包與應用程式資料夾挖掘資料。這些應用程式包括：Atomic Wallet、Electrum、Ethereum、Exodus、Zcash、Foxmail、Telegram。</p> <p>研究人員指出，這項調查顯示攻擊者透過ScrubCrypt，並搭配複雜的混淆及迴避手段，從而對受害電腦進行滲透。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-scrubcrypt-attack-chain.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-scrubcrypt-attack-chain.png" style="width: 580px;" /></a></p> </div></div></div>
2024/4/11 13:03作者周峻佑https://www.ithome.com.tw/news/162239
駭客組織TA547利用AI產生PowerShell指令碼，目的是散布竊資軟體Rhadamanthys
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Proofpoint揭露<a href="https://www.proofpoint.com/us/blog/threat-insight/security-brief-ta547-targets-german-organizations-rhadamanthys-stealer">駭客組織TA547散布竊資軟體Rhadamanthys的攻擊行動</a>，對方鎖定假冒德國零售業者Metro，針對當地各個領域的數十個企業組織寄送釣魚郵件，以提供發票資料做為誘餌引誘收信人上當。</p> <p>對方在郵件挾帶密碼保護的ZIP壓縮檔附件，並在郵件本文表明密碼為「MAR26」，該壓縮檔內含Windows捷徑檔（LNK），一旦收信人執行LNK檔，就會觸發PowerShell執行遠端的指令碼，然後下載轉為Base64編碼格式的Rhadamanthys可執行檔，並進行解碼、載入於記憶體內執行，使得惡意程式碼不會寫入磁碟留下行蹤。</p> <p>比較特別的是，研究人員發現，用來載入竊資軟體執行檔的PowerShell指令碼出現不常見的特徵，攻擊者在每個元件的前一行寫入含有「＃」符號的註解，內容極為具體且文法完全正確，基於上述特徵，他們推測對方使用大型語言模型（LLM）產生指令碼的內容。</p> </div></div></div>
2024/4/11 14:54作者周峻佑https://www.ithome.com.tw/news/162242
即日起美國ISP業者都必須提供寬頻標籤以說明服務內容及價格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國會在2021年通過的《兩黨基礎設施法案》（Bipartisan Infrastructure Law）中，指示美國聯邦通訊委員會（FCC）要求ISP業者在提供寬頻服務時，必須列出相關服務的詳細資料與價格，隔年FCC即<a href="https://www.fcc.gov/document/fcc-requires-broadband-providers-display-labels-help-consumers" target="_blank">公布</a>了相關規定，並於本周三（4/10）<a href="https://www.fcc.gov/broadbandlabels" target="_blank">正式實施</a>。</p> <p>FCC解釋，所謂的寬頻標籤（Broadband Labels）就如同消費者在食品上會看到的營養標籤，揭露服務或食品的細節，以讓消費者明瞭他們得到了什麼，也促使供應商信守承諾；該標籤將可協助消費者在選擇寬頻服務時作出明智的購買決定，特別是基於準確及淺顯易懂的資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0411-Broadband%20Consumer%20Labels%20by%20FCC.png" style="width: 350px;" /></p> <p>FCC規定ISP業者必須在包含網路與實體的各種銷售點陳列<a href="https://www.fcc.gov/sites/default/files/Broadband-Facts-Label-Blank-Template.pdf" target="_blank">寬頻標籤</a>，以揭露寬頻的價格、預告費率、傳輸額度及寬頻速度等重要資訊，也必須提供有關網路管理實踐及隱私權政策的說明連結，適用於提供家庭、固網、網路服務或行動寬頻服務的供應商。</p> <p>目前Verizon、T-Mobile與Google Fiber都已從善如流地部署了寬頻標籤，且該規定暫時放過了訂閱用戶不足10萬的小型ISP業者，不過，到了今年10月10日之後，除了小型ISP業者也必須遵守之外，FCC亦額外要求寬頻標籤必須能被機器識讀，以供第三方彙整資訊並替消費者建立比價工具。</p> </div></div></div>
2024/4/11 14:10作者陳曉莉https://www.ithome.com.tw/news/162241
Mistral AI釋出開源模型Mixtral 8x22B
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年4月才於法國成立的AI業者Mistral AI周三（4/10）釋出了新的開源模型Mixtral 8x22B，它採用稀疏混合專家（Sparse Mixture of Experts，SMoE）架構，支援1,760億個參數，以及6.5萬個Token的脈絡長度，已藉由Mistral AI的<a href="https://twitter.com/MistralAI/status/1777869263778291896" target="_blank">官方X帳號</a>、<a href="https://twitter.com/togethercompute/status/1778053995854262442" target="_blank">Together API</a>及<a href="https://huggingface.co/mistral-community/Mixtral-8x22B-v0.1" target="_blank">Hugging Face</a>發布，成為目前最大的開源模型之一。同一天，就有開發者透過Hugging Face公布了<a href="https://huggingface.co/mistral-community/Mixtral-8x22B-v0.1/discussions/4" target="_blank">Mixtral 8x22B的基準測試結果</a>。</p> <p>迄今Mistral AI已釋出3款開源模型，包括去年9月發表的Mistral 7B（Mistral-tiny），去年12月發表的Mixtral 8x7B（Mistral-small），以及本周推出的Mixtral 8x22B，它們皆採用Apache 2.0授權，允許開發者免費下載，並在自己的設備或伺服器上執行。</p> <p>在Mixtral 8x22B的基準測試中，其MMLU（大規模多工語言理解）成績為77.3，勝過前一代Mixtral 8x7B的71.88，也凌駕GPT-3.5的70、Claude 3 Haiku（Claude 3低階版）的75.2、Gemini 1.0 Pro的71.8，但仍不及GPT-4的86.4，或是Claude 3 Sonet/Opus，也不及Gemini 1.0 Ultra與Gemini 1.5 Pro。</p> <p>而在基礎常識推論（HellaSwag）測試中，Mixtral 8x22B得分為88.9，僅不及GPT-4、Claude 3 Sonet/Opus與Gemini 1.5 Pro；但它在GSM8K數學測試中的得分為76.5，明顯不及GPT-4、Claude 3的各種模型，以及Gemini的各種模型。</p> <p>由於Mixtral 8x22B是開源的，開發者可以重新訓練或改善它，以讓它能夠處理更多的專門任務。</p> <p>儘管成立才一年，但Mistral AI在去年12月完成4.15億美元的增資活動時，其公司估值已達到20億美元。</p> </div></div></div>
2024/4/11 12:25作者陳曉莉https://www.ithome.com.tw/news/162237
Android版Outlook將可用於微軟帳號登入驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/t5/microsoft-365-blog/easily-sign-in-to-all-microsoft-accounts-using-the-outlook-app/ba-p/4109088" target="_blank">微軟本周宣布</a>最新Android版本Outlook將可整合部分Authenticator的功能，讓用戶在不同裝置上登入Microsoft 365等微軟服務。</p> <p>為了在多個裝置上登入雲端服務帳號，過去往往需要輸入帳密。但密碼管理相當麻煩，此外密碼甚至以簡訊為基礎的雙因素驗證都有被駭客取得或攔截到密碼的風險。為此，在微軟設計下，登入Microsoft 365、OneDrive、Teams和Windows都搭配微軟Authenticator。</p> <p>最新版本Android版Outlook將可整合這部分功能。當用戶在較不常用的裝置登入微軟帳號時，只要用Outlook App加上指紋或PIN碼就能完成登入驗證，而不用再搭配Authenticator App。</p> <p>這項功能只要用戶升級到最新版本Outlook即可自動啟動。當用戶從別臺裝置（如PC）欲登入微軟帳號，會顯示通知，要求用戶以Android手機的Outlook App進行驗證；通知會顯示一個數字，要求用戶在Outlook App中選定，再執行指紋或PIN碼驗證。</p> <p>如果用戶先前已經設定用微軟Authenticator App，仍然可持續原本的方式登入。</p> <p>微軟預告會開始向Android用戶部署最新功能，同時微軟也正計畫將這功能實作到iOS版Outlook上。</p> </div></div></div>
2024/4/11 12:49作者林妍溱https://www.ithome.com.tw/news/162238
Google釋出兩Gemma模型變體，專供程式開發與研究用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developers.googleblog.com/2024/04/gemma-family-expands.html">Google輕量級開放模型Gemma增加兩個新成員</a>，其一是可用於程式碼完成以及指令遵循生成式任務的CodeGemma，另一個則是針對研究實驗效率最佳化架構的RecurrentGemma。</p> <p>CodeGemma模型針對開發人員和企業的程式碼完成、生成和聊天工具使用情境開發，其提供了多種變體供用戶靈活應用，包括CodeGemma 7B預訓練變體，可用作專門處理程式碼完成和生成任務，還有針對指令調校的CodeGemma 7B變體，能用於程式碼聊天和指令遵循任務，另外CodeGemma 2B預訓練變體則適用於本地端快速程式碼完成。這些變體針對不同功能進行最佳化，以適應不同的使用場景和需求。</p> <p>由於CodeGemma模型使用5,000億個，主要為英文的網頁文件、數學和程式碼Token進行訓練，Google提到，CodeGemma產生的程式碼不僅語法正確，而且語義也更具意義，有助於減少程式碼錯誤與除錯時間。CodeGemma同樣具有多語言能力，特別是Python、JavaScript、Java等各種熱門程式語言的程式碼編寫建議。</p> <p>RecurrentGemma則可支援研究人員進行大批次的高效推理，採用循環神經網路和局部注意力機制提升記憶效率，Google提到，雖然RecurrentGemma在基準測試上成績與Gemma 2B模型相當，但是RecurrentGemma使用的記憶體量更少，在記憶體資源相對有限的裝置上，像是單GPU或是CPU電腦，能夠生成更長的樣本。</p> <p>也因為RecurrentGemma較少的記憶體使用量，因此能夠以更大的批次規模進行推理，在生成長序列時，每秒能夠產生更多Token。Google指出，RecurrentGemma展示了一種非Transformer模型，也能實現高效能的深度學習研究進展。</p> <p>CodeGemma和RecurrentGemma皆採用Google所開發的開源數值運算函式庫JAX建置，與JAX、PyTorch、Hugging Face Transformers、Gemma.cpp相容，支援包括筆記型電腦、桌上型電腦、Nvidia GPU和Google雲端TPU等裝置，進行本地實驗和雲端部署。此外，CodeGemma還相容於Keras、NvidiaNeMo、TensorRT-LLM、Optimum-Nvidia、MediaPipe與Vertex AI等市面上各種機器學習工具與框架。</p> </div></div></div>
2024/4/11 13:06作者李建興https://www.ithome.com.tw/news/162234
美國會議員提出新法案，要求所有AI業者揭露訓練模型所使用的受版權保護內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國民主黨眾議員<a href="https://schiff.house.gov/news/press-releases/rep-schiff-introduces-groundbreaking-bill-to-create-ai-transparency-between-creators-and-companies" target="_blank">Adam Schiff本周提出了《生成式AI著作權揭露法案》</a>（Generative AI Copyright Disclosure Act ），要求AI業者應在發表新的生成式AI系統之前，先行通知美國著作權局局長（Register of Copyrights），以揭露用來訓練或建置該系統所使用的所有受版權保護的內容，並溯及過去推出的AI系統。此一法案理所當然地受到各方創作者的大力支持。</p> <p><a href="https://schiff.house.gov/imo/media/doc/the_generative_ai_copyright_disclosure_act.pdf" target="_blank">該法案</a>主要要求建立訓練資料集，或是對該資料集進行任何重大變更的開發者向著作權局局長提交通知與文件，闡明資料集所使用的任何受到版權保護之作品的詳細摘要，以及所使用之可公開存取資料的網址。並要求業者必須在AI系統可供公開使用的30天內遞交通知，且追溯至任何已可公開存取的AI系統。</p> <p>Schiff表示，AI具備了改變經濟、政治體系與每日生活的顛覆性潛力，人們必須在AI的潛力以及道德上的標準與保護之間取得平衡，此一法案只是第一步，既倡導創新，也保護創作者的權利與貢獻，攸關尊重AI時代的創造力，在技術進步的同時兼顧公平性。</p> <p>可想而知，該法案獲得創作組織的大力支持，從文字、聲音、圖像、表演到影像，包括美國唱片業協會（RIAA）、美國導演工會（Directors Guild of America）、美國職業攝影師協會（Professional Photographers of America）、由電視及廣播藝人組成的演員工會（SAG-AFTRA）、美西作家協會（Writers Guild of America West）、美東作家協會（Writers Guild of America East）、美國作曲/作家/出版商協會（ASCAP）、劇場舞臺員工國際聯盟（IATSE），還有人類藝術活動（Human Artistry Campaign）等。</p> <p>迄今不僅各方媒體開始指控並禁止AI系統利用它們的文章進行訓練，藝術家權利聯盟（Artists Rights Alliance）也在本月初<a href="https://artistrightsnow.medium.com/200-artists-urge-tech-platforms-stop-devaluing-music-559fb109bbac" target="_blank">呼籲</a>所有的AI開發者、技術公司、平臺或數位音樂服務業者，不要再使用AI來侵犯及損害人類藝術家的權利。</p> </div></div></div>
2024/4/11 13:16作者陳曉莉https://www.ithome.com.tw/news/162240
Meta證實5月將釋出Llama 3首個版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面臨四面八方競爭者推出新式AI模型，Meta昨（9）日證實，將在下個月開源釋出下世代大型語言模型Llama 3。</p> <p>Meta是在<a href="https://www.theinformation.com/articles/meta-platforms-to-launch-small-versions-of-llama-3-next-week" target="_blank">《The Information》</a>本周稍早報導後證實此事。這家英國新聞網站引述不具名Meta員工消息報導，Meta下周將推出Llama 3二款較小型版本。這2個小型版本是Llama 3的先行軍，用在激發開發人員或企業的興趣。</p> <p><a href="https://techcrunch.com/2024/04/09/meta-confirms-that-its-llama-3-open-source-llm-is-coming-in-the-next-month/" target="_blank">《Techcrunch》</a>則在昨日報導，Meta全球事務部門總裁Nick Clegg於英國倫敦一場公開活動中證實，Meta期望在下個月開始部署下一代基礎模型Llama 3的最新套件。他說，Llama 3家族包含多個能力及特性不同的AI模型，將陸續於今年內釋出，而且「很快就會啟動」。Meta產品長Chris Cox則補充，這些模型將成為Meta多項不同產品的底層引擎。</p> <p>Meta鐵定希望Llama 3能讓該公司再度拿下AI的話語權。第一代Llama並未正式釋出，但去年3月仍被流出。不過Meta在7月和微軟聯手免費<a href="https://www.ithome.com.tw/news/157854" target="_blank">開放Llama 2供企業使用</a>。</p> <p>而從Llama 2釋出以來，包括Google的Gemini，X的Grok、OpenAI的GPT-4以及眾多新創業者已經先後推出眾多競爭模型，許多都號稱效能或推論、寫程式能力足以擊敗Llama 2。</p> <p>持續加足馬力的不只Meta，另一家AI領導業者OpenAI也正在開發下一代LLM。報導指出，GPT-5也可能會在今年年中上線。</p> </div></div></div>
2024/4/11 10:51作者林妍溱https://www.ithome.com.tw/news/162231
Google開源新的JPEG編碼函式庫Jpegli，壓縮比高失真少
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出了一個新的JPEG編碼函式庫<a href="https://opensource.googleblog.com/2024/04/introducing-jpegli-new-jpeg-coding-library.html">Jpegli</a>，其設計比傳統JPEG更快更有效率，圖片也更美觀。在高品質的壓縮設定下，Jpegli可比傳統JPEG解編碼器壓縮比提高35％，更重要的是該函式庫保持高度的向後相容性，可與現有系統無縫整合。</p> <p>Jpegli提供與原始JPEG標準完全可互通的編碼器和解碼器，以及和libjpeg-turbo、MozJPEG的API/ABI高度相容性，其採用最為廣泛使用的8位元格式來處理和儲存圖像資料，如此確保了Jpegli的泛用性，在不犧牲現有系統和應用穩定性的前提下，供用戶馬上獲得效能提升。</p> <p>特別的是，當圖片透過Jpegli壓縮或是解壓縮時，函式庫會執行精確且符合心理視覺（Psychovisually Effective）特性的計算，這將使整體影像看起來更加清晰，且可觀察到的失真更少。Jpegli能比傳統JPEG解編碼器更有效地壓縮圖像，可節省頻寬和儲存空間，以及加快網頁速度。</p> <p>Jpegli還有一項特性是執行快速，在提高影像品質和壓縮比的同時，Jpegli的編碼速度並沒有因此變慢，仍與libjpeg-turbo和MozJPEG等傳統方法相當，這使得開發人員可以將Jpegli整合進現有的工作流程中，且不會犧牲額外的編碼效能或是記憶體使用。</p> <p>傳統JPEG編碼解決方案僅對每個色彩成分（Color Component），僅使用8位元來表示，如此大幅限制顏色的表達範圍，容易產生可見的色帶（Banding）失真，但在Jpegli中，每個色彩成分都可以使用10+位元進行編碼。</p> <p>不過Jpegli的10+位元編碼是以原始8位元格式進行，因此所產生的圖像能夠與8位元圖像瀏覽器完全相容，Google提到，Jpegli應用了許多新技術來降低雜訊並提高影像品質。這些技術包括自JPEG XL參照實作的自適應量化啟發式演算法、改進的量化矩陣選擇，以及精確計算中繼結果，並且盡可能使用進階色彩空間。</p> <p>自適應量化啟發式演算法主要是根據心理視覺模型，控制量化的死域（Quantization Deadzone），這種方法是Google為JPEG XL設計，其核心概念在於動態調整圖像不同部分的壓縮強度，根據人眼對於亮度、色彩和細節等感知差異，在細節豐富或是視覺重點區塊，執行較少的壓縮，而在視覺不敏感的地方加強壓縮。</p> <p>Jpegli還使用了一組量化矩陣，這些矩陣會根據心理視覺品質指標進行最佳化選擇，而Jpegli精確計算的中繼結果則可提高圖像品質，且編碼和解碼都會產生更高品質的結果。Jpegli還會使用JPEG XL的XYB色彩空間，進一步提高圖像品質和密度。</p> </div></div></div>
2024/4/10 23:27作者李建興https://www.ithome.com.tw/news/162230
微軟4月Patch Tuesday 修補147個安全漏洞，創歷史新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（4/9）的4月Patch Tuesday修補了147個安全漏洞，創下自2017年以來的新高，此次的修補中含有3個重大（Critical）等級的安全漏洞，分別是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21322" target="_blank">CVE-2024-21322</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21323" target="_blank">CVE-2024-21323</a>與<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-29053" target="_blank">CVE-2024-29053</a>，以及兩個已被利用的零時差漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-29988" target="_blank">CVE-2024-29988</a>及<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-26234" target="_blank">CVE-2024-26234</a>。</p> <p>兩個零時差漏洞都只被列為重要（Important）等級，其中的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-26234" target="_blank">CVE-2024-26234</a>是個代理驅動程式（Proxy Driver）欺騙漏洞，<a href="https://news.sophos.com/en-us/2024/04/09/smoke-and-screen-mirrors-a-strange-signed-backdoor/" target="_blank">由資安業者Sophos所揭露</a>，該研究人員發現了一個由有效微軟硬體出版商憑證所簽署的惡意驅動程式，駭客利用該驅動程式來部署後門。微軟並未對此一漏洞披露太多細節。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-26234" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-26234.png" style="width: 400px;" /></a></p> <p>另一個<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-29988" target="_blank">CVE-2024-29988</a>則是涉及SmartScreen提示安全功能被繞過，亦即在使用者開啟檔案時繞過安全提示，進而啟動惡意檔案。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-29988" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-29988.png" style="width: 400px;" /></a></p> <p>至於本月所修補的3個重大漏洞都與Microsoft Defender for IoT有關，且都允許遠端程式攻擊。Microsoft Defender for IoT為微軟所打造的IoT安全解決方案，可針對企業的IoT裝置或工業控制系統（ICS）與操作技術（OT）等基礎設施提供防護。</p> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21322" target="_blank">CVE-2024-21322</a>漏洞源自於命令列中所使用特殊元素的不當中和，為一命令注射漏洞，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21323" target="_blank">CVE-2024-21323</a>與CVE-2024-29053則皆屬於絕對路徑穿越（Absolute Path Traversal）漏洞，儘管它們都可能造成遠端程式攻擊，但前兩個漏洞必須取得管理員權限或特定權限才能展開攻擊，最危險的<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-29053" target="_blank">CVE-2024-29053</a>只要經過身分驗證，就能上傳惡意程式至伺服器上的機密區域。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21322" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-CVE-2024-21322.png" style="width: 400px;" /></a></p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21323" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-21323.png" style="width: 400px;" /></a></p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-29053" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-CVE-2024-29053.png" style="width: 400px;" /></a></p> <p>此外，<a href="https://www.darkreading.com/vulnerabilities-threats/microsoft-patch-tuesday-no-zero-days-but-one-under-active-exploit" target="_blank">《Dark Reading》</a>引用Tenable資深安全工程師Satnam Narang的說法，指出本月是該公司自2017年追蹤微軟Patch Tuesday以來，修補最多漏洞的一個月，Patch Tuesday並不常修補超過100個安全漏洞，上一次超過100個漏洞是在去年10月，而原本的最高紀錄是微軟於2023年7月所修補的130個漏洞。</p> </div></div></div>
2024/4/10 22:38作者陳曉莉https://www.ithome.com.tw/news/162223
9萬臺LG智慧電視存在漏洞，攻擊者有機會遠端執行任意命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Bitdefender在調查LG智慧電視的安全時，<a href="https://www.bitdefender.com/blog/labs/vulnerabilities-identified-in-lg-webos/">發現其搭載的作業系統WebOS存在4項漏洞</a>，並指出這些漏洞影響執行4.9.7至7.3.1等多個版本WebOS的電視，有91,938臺可從網際網路存取的電視曝險。</p> <p>研究人員指出，這些漏洞可被串連利用。第1個漏洞是CVE-2023-6317，允許攻擊者繞過WebOS的授權機制，從而在電視上植入額外的使用者；第2個CVE-2023-6318為權限提升漏洞，攻擊者能藉此取得root權限，完全接管裝置；另外兩個漏洞CVE-2023-6319、CVE-2023-6320是命令注入漏洞，CVE-2023-6319涉及顯示歌詞的程式庫，而CVE-2023-6320則與特定的API端點有關。</p> <p>值得留意的是，上述漏洞幾乎都是危急等級、CVSS風險評分達9.1的漏洞，僅有CVE-2023-6317為高風險等級，CVSS風險評分為7.2。對此，研究人員於去年11月通報，LG在今年3月22日發布修補程式。</p> </div></div></div>
2024/4/10 16:33作者周峻佑https://www.ithome.com.tw/news/162222
【資安日報】4月10日，微軟在本月例行更新緩解近150個漏洞，數量創近年新高
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨天（9日）有許多廠商發布本月份的漏洞例行更新，微軟、Adobe、SAP、西門子、施耐德電機皆公布相關資安公告及修補程式，用戶應留意相關資訊，並儘速安排、部署相關更新軟體。</p> <p>其中最值得留意的部分，是微軟這次公告的內容，他們總共緩解了149個漏洞，數量再創新高，一舉超越<a href="https://www.ithome.com.tw/news/157742#patch-tuesday">去年7月揭露與緩解132個漏洞</a>的紀錄。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162221"><strong style="font-size: 22px;">羅馬尼亞駭客組織Rubycarp經營殭屍網路長達10年，透過已知漏洞及暴力破解危害企業組織網路環境</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RUBYCARP_33.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RUBYCARP_33.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Sysdig發現羅馬尼亞駭客組織Rubycarp的攻擊行動，這些駭客運用已公開漏洞及暴力破解等方式，架設殭屍網路，藉此進行挖礦、DDoS、網路釣魚等攻擊，主要目的是獲得經濟利益。研究人員推測，對方的活動至少進行了10年，但直到最近才被公開。</p> <p>研究人員看到對方不斷探測蜜罐陷阱（Honeypot）環境，過程中利用網頁應用程式框架Laravel已知漏洞CVE-2021-3129（CVSS風險評分9.8），進而存取目標企業組織的內部網路環境，也出現暴力破解伺服器的SSH帳密，以及藉由WordPress網站截取帳密的情況。</p> <p>一旦對方得逞，就有可能在被入侵的伺服器上，部署以Perl語言寫成的Shellbot後門程式，將受害主機納入殭屍網路。</p> <p><a href="https://www.ithome.com.tw/news/162168"><strong style="font-size: 22px;">Ivanti零時差漏洞影響持續發酵，多個中國駭客組織加入利用行列</strong></a></p> <p>從1月初Ivanti陸續公布Connect Secure零時差漏洞CVE-2023-46805、CVE-2024-21887、CVE-2024-21893，如今有研究人員指出，有許多中國駭客組織加入利用漏洞的行列。</p> <p>資安業者Mandiant指出，在他們發現中國駭客組織UNC5221、UNC5325利用CVE-2024-21893、CVE-2024-21887從事攻擊行動後，他們又看到其他駭客組織跟進，總共確認有8組人馬利用部分Ivanti Connect Secure漏洞，其中有5組來自中國，包含最早利用這個漏洞的UNC5221，以及UNC5266、UNC5330、UNC5337、UNC5291。</p> <p><a href="https://www.ithome.com.tw/news/162213"><strong style="font-size: 22px;">旅館業者富野證實旗下分公司資訊系統遭受網路攻擊</strong></a></p> <p>4月8日旅館業者富野發布重大訊息，表示他們的分公司資訊系統遭受網路攻擊，資安人員察覺後第一時間啟動相關防禦機制，並與外部專家協同處理，且使用日常備份資料進行復原，對日常營運尚無重大影響。</p> <p>值得留意的是，這並非該公司首度遭遇網路攻擊。2個月前他們也發布重大訊息，指出有分公司的資訊系統遭受網路攻擊，並打算提升資訊安全防護層級來進行改善。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-fixes-two-windows-zero-days-exploited-in-malware-attacks/"><strong style="font-size: 22px;">微軟發布4月例行更新，修補149個漏洞，有2個傳出已遭利用</strong></a></p> <p>4月9日微軟發布本月例行更新（Patch Tuesday），<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Apr">總共修補149個漏洞</a>，其中有31個權限提升漏洞、29個安全功能繞過漏洞、67個遠端程式碼執行（RCE）漏洞、13個資訊洩露漏洞、7個阻斷服務（DoS）漏洞，以及3個可被用於欺騙的漏洞。</p> <p>值得留意的是，微軟公布上述資訊後，雖然並未提及當中是否有零時差漏洞，但有資安業者表示，部分漏洞已被用於攻擊行動。<a href="https://news.sophos.com/en-us/2024/04/09/smoke-and-screen-mirrors-a-strange-signed-backdoor/">資安業者Sophos指出</a>，他們在去年12月通報的代理驅動程式（Proxy Driver）欺騙漏洞CVE-2024-26234，攻擊者將其用於部署後門程式。</p> <p>另一個被證實已出現攻擊行動的是CVE-2024-29988，這項漏洞由趨勢科技及Google威脅分析小組（TAG）共同發現，<a href="https://www.zerodayinitiative.com/blog/2024/4/9/the-april-2024-security-updates-review">研究人員指出</a>該漏洞涉及SmartScreen安全功能繞過，攻擊者寄送利用該漏洞的壓縮檔來回避EDR與NDR的偵測，同時也不會觸發MotW的警告。</p> <p><a href="https://www.ithome.com.tw/news/162218"><strong style="font-size: 22px;">程式語言Rust被挖出CVSS滿分10分的重大漏洞，Windows電腦恐因此面臨命令注入攻擊</strong></a></p> <p>4月9日Rust安全事件回應工作群組表示，他們接獲通報，Rust語言的標準程式庫在Windows環境執行時，具有重大漏洞，當這個元件利用名為command的API處理BAT或CMD批次檔時，會出現無法正確轉譯參數的情況。攻擊者有機會藉由控制參數的方式，繞過轉譯流程而能任意執行各種Shell命令。</p> <p>開發團隊指出，此弱點為危急（Critical）等級，並登記為CVE-2024-24576列管，他們推出1.77.2版Rust予以修補。而對於該漏洞的危險程度，程式碼儲存庫GitHub將其CVSS風險評為10分。</p> <p><a href="https://www.ithome.com.tw/news/162222"><strong style="font-size: 22px;">9萬臺LG智慧電視存在漏洞，攻擊者有機會遠端執行任意命令</strong></a></p> <p>資安業者Bitdefender在調查LG智慧電視的安全時，發現其搭載的作業系統WebOS存在4項漏洞，並指出這些漏洞影響執行4.9.7至7.3.1等多個版本WebOS的電視，有91,938臺可從網際網路存取的電視曝險。</p> <p>研究人員指出，這些漏洞可被串連利用。第1個漏洞是CVE-2023-6317，允許攻擊者繞過WebOS的授權機制，從而在電視上植入額外的使用者；第2個CVE-2023-6318為權限提升漏洞，攻擊者能藉此取得root權限，完全接管裝置；另外兩個漏洞CVE-2023-6319、CVE-2023-6320是命令注入漏洞，CVE-2023-6319涉及顯示歌詞的程式庫，而CVE-2023-6320則與特定的API端點有關。</p> <div> <p> </p> </div> <h3><strong>【其他新聞】</strong></h3> <p><strong><a href="https://www.sec.gov/Archives/edgar/data/1464790/000121390024031252/ea0203500-8k_briley.htm"><span style="font-size: 20px;">筆電及平板電腦配件製造商Targus證實面臨網路攻擊，檔案伺服器遭到外部存取</span></a></strong></p> <p></p> <p><a href="https://www.roc-taiwan.org/vnsgn/post/45158.html"><strong style="font-size: 20px;">越南石油公司PV Oil遭到勒索軟體攻擊，被迫暫停簽發電子發票</strong></a></p> <p></p> <p><a href="https://www.bleepingcomputer.com/news/security/hackers-deploy-crypto-drainers-on-thousands-of-wordpress-sites/"><strong style="font-size: 20px;">駭客綁架數千個WordPress網站，意圖榨乾瀏覽網站用戶的加密貨幣資產</strong></a></p> <p></p> <p><a href="https://www.securityweek.com/saps-april-2024-updates-patch-high-severity-vulnerabilities/"><strong><span style="font-size: 20px;">SAP修補NetWeaver AS Java、BusinessObjects高風險漏洞</span></strong></a></p> <p></p> <p><a href="https://www.securityweek.com/patch-tuesday-code-execution-flaws-in-multiple-adobe-software-products/"><strong><span style="font-size: 20px;">Adobe針對9項產品發布4月例行更新</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162200"><strong>【4月9日】惡意軟體JsOutProx鎖定亞太地區、中東及北非而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162157"><strong>【4月8日】勒索軟體駭客組織Red CryptoApp聲稱入侵超過10個企業組織引起研究人員關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162113"><strong>【4月3日】研究人員發現中國駭客組織APT41旗下團體使用更為隱密的方式迴避偵測</strong></a></p> </div></div></div>
2024/4/10 17:42作者周峻佑https://www.ithome.com.tw/news/162224
羅馬尼亞駭客組織Rubycarp經營殭屍網路長達10年，透過已知漏洞及暴力破解危害企業組織網路環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Sysdig發現<a href="https://sysdig.com/blog/rubycarp-romanian-botnet-group/">羅馬尼亞駭客組織Rubycarp的攻擊行動</a>，這些駭客運用已公開漏洞及暴力破解等方式，架設殭屍網路，藉此進行挖礦、DDoS、網路釣魚等攻擊，主要目的是獲得經濟利益。研究人員推測，對方的活動至少進行了10年，但直到最近才被公開。</p> <p>研究人員看到對方不斷探測蜜罐陷阱（Honeypot）環境，過程中利用網頁應用程式框架Laravel已知漏洞CVE-2021-3129（CVSS風險評分9.8），進而存取目標企業組織的內部網路環境，也出現暴力破解伺服器的SSH帳密，以及藉由WordPress網站截取帳密的情況。</p> <p>一旦對方得逞，就有可能在被入侵的伺服器上，部署以Perl語言寫成的Shellbot後門程式，將受害主機納入殭屍網路。研究人員總共找到39個後門程式，但惡意程式分析網站VirusTotal僅偵測到其中8個，研究人員表示，這代表大部分的後門程式之前都未被發現。</p> <p>值得留意的是，這些駭客不光經營上述殭屍網路，也開發與銷售相關的作案工具。研究人員指出，這樣的情況並不常見。</p> </div></div></div>
2024/4/10 16:03作者周峻佑https://www.ithome.com.tw/news/162221
WordPress.com母公司Automattic買下Beeper
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress.com母公司<a href="https://automattic.com/2024/04/09/automattic-acquires-beeper/" target="_blank">Automattic周二（4/9）宣布</a>，已買下2021年創立、整合眾多傳訊服務的Beeper。雙方並未公布交易金額，但《彭博社》（Bloomberg）<a href="https://www.bloomberg.com/news/articles/2024-04-09/wordpress-com-owner-acquires-beeper-messaging-app-at-heart-of-apple-spat" target="_blank">引用消息來源報導</a>，此一交易價值1.25億美元。</p> <p>Beeper是由智慧手錶品牌Pebble的創辦人Eric Migicovsky所共同創立，創立的初衷是想以Beeper整合市場上的15款即時傳訊服務，包括極為封閉的蘋果iMessage在內。不過，目前的<a href="https://www.beeper.com/" target="_blank">Beeper</a>只整合了14款傳訊程式，包括WhatsApp、Facebook Messenger、Twitter、Android SMS、Google Messages（SMS/RCS）、Telegram、Signal、Matrix、Slack、Google Chat、Instagram、IRC（Libera.chat）、Discord與LinkedIn，並未包含iMessage。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-beeper-4.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Beeper</span></span></p> <p>原本Beeper對整合iMessage的規畫是，使用者可藉由Mac或iPhone作為iMessage的中繼站，再將iMessage的訊息傳至Windows、Android與Linux裝置上，但似乎沒有成功；之後亦曾打造Beeper Mini，以讓Android手機可以與iPhone上的iMessage以免費的藍色泡泡互動，幾天後就被蘋果關閉。</p> <p>自2021年創立以來，Beeper一直維持封閉測試的狀態，迄今僅有逾11.5萬人下載並使用Beeper，但後補人數超過46萬，現在Beeper則宣布開放所有人試用，它支援Android、iPhone/iPad、ChromeOS、macOS、Windows和Linux等平臺。</p> <p>其實Automattic去年10月便曾以5,000萬美元<a href="https://www.ithome.com.tw/news/159476" target="_blank">買下另一家企圖整合不同傳訊服務的Texts</a>，當時的Texts透過SDK來集結iMessage、WhatsApp、Telegram、Signal、Messenger、Twitter（現在的X）、Instagram、LinkedIn、IRC、Slack與Discord DM，並於單一介面上呈現。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-texts%20automattic(1).png" style="width: 600px;" /></p> <p>Automattic表示，目前的傳訊服務非常混亂，使用者手機安裝了數不清的聊天程式，每個聊天程式都有各自的聯絡人及通知設定，而讓朋友更容易忽略親友的訊息，該公司認為溝通屬於基本人權，它應該要儘可能地可存取、加密與開源，未來將藉由合併Texts及Beeper來實現此一核心理念，結合雙方的技術將使更多人重回開放網路的承諾。</p> <p>現階段Beeper與Texts將持續以兩個不同的程式運作，但未來將會合併，Migicovsky則已進入Automattic，擔任傳訊團隊的負責人。</p> </div></div></div>
2024/4/10 15:50作者陳曉莉https://www.ithome.com.tw/news/162220
為國內車聯網發展踩下油門，數位部4月底將公告車聯網無線電頻率特定實驗場域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位部將在4月底公告車聯網無線電頻率特定實驗場域，預期可縮短車聯網無線電頻率實驗申請的期程64%，另外，規畫未來將開放116個場域，有助於車聯網場域試驗，推動國內車聯網產業發展。</p> <p>負責頻率指配的數位部，目前規畫的車聯網頻率，考慮到在國內是否有既存使用者，目前規畫車聯使用的頻率為5850MHz至5925MHz，數位部指出，目前該頻率在國內沒有既存使用者，因此沒有干擾的問題。</p> <p>為鼓勵業者投入車聯網實驗，數位部將和地方政府合作，讓實驗場域包括六都、新竹、南投、彰化、嘉義、雲林、屏東等地。</p> <p>依照不同的試驗情境，車聯網實驗的特定場域申請，範圍從大至小分為區域型、路段型、路口型，其中範圍較大的區域型有29個場域，路段型有66個，路口型則有21個，共116個點。透過公告實驗場域，可讓申請的業者及民眾了解哪些實驗場域。</p> <p>依照合作縣市政府開放的實驗場域大小，分配的場域類型及數量不同，例如台北市因空間有限，沒有開放區域型，以路段型為主，台北市開放的路段型場域佔1/3，而嘉義市則是全區開放。數位部預期，透過頻率及實驗場域，未來可以加速台灣的車聯網發展，以進一步帶動智慧交通應用。</p> <p>數位部也計畫縮短實驗場域申請的時間，從平均84天縮短至29天，換也言，從將近3個月縮短至1個月。業者申請使用頻率為期1年，使用頻率免收費。</p> </div></div></div>
2024/4/10 13:38作者蘇文彬https://www.ithome.com.tw/news/162217
程式語言Rust被挖出CVSS滿分10分的重大漏洞，Windows電腦恐因此面臨命令注入攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月9日<a href="https://blog.rust-lang.org/2024/04/09/cve-2024-24576.html">Rust安全事件回應工作群組表示</a>，他們接獲通報，Rust語言的標準程式庫在Windows環境執行時，具有重大漏洞，當這個元件利用名為command的API處理BAT或CMD批次檔時，會出現無法正確轉譯參數的情況。攻擊者有機會藉由控制參數的方式，繞過轉譯流程而能任意執行各種Shell命令。</p> <p>開發團隊指出，此弱點為危急（Critical）等級，並登記為CVE-2024-24576列管，他們推出1.77.2版Rust予以修補。而對於該漏洞的危險程度，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-24576">程式碼儲存庫GitHub將其CVSS風險評為10分</a>。</p> <p>針對這項漏洞發生的原因，開發團隊表示，cmd.exe的運作極為複雜，以致於他們實作時，無法找到可涵蓋各種狀態的轉譯參數正確做法。</p> <p>為了確保API的正常運作，該團隊在新版Rust強化了轉譯程式碼的穩健性，並調整command API的運作，若是無法安全轉譯參數，將會回傳InvalidInput的錯誤訊息。</p> </div></div></div>
2024/4/10 14:29作者周峻佑https://www.ithome.com.tw/news/162218
Google生成式AI助理Gemini for Google Cloud正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於周二（4/9）的Google Cloud Next '2上<a href="https://cloud.google.com/blog/products/ai-machine-learning/gemini-for-google-cloud-is-here" target="_blank">正式發表了Gemini for Google Cloud</a>，它是基於大型語言模型Gemini的生成式AI助理，並依據不同的功能以Gemini Code Assist、Gemini Cloud Assist、Gemini in Security Operations、Gemini in BigQuery、Gemini in Looker、Gemini in Databases等工具呈現。Google企圖將Gemini打造成該公司統一的AI品牌，已於今年2月將聊天機器人Bard更名為Gemini，還以Gemini品牌全面取代先前發表的AI助理Duet AI。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-integrate%20Gemini%20into%20Google%20Cloud%20offerings-600.jpg" style="text-align: center; width: 444px;" /></p> <p>其中，Gemini Code Assist的前身即為Duet AI for Developers，可協助開發者於VS Code及 JetBrains等熱門的程式編輯器中建置應用程式，號稱是個企業等級的程式碼輔助解決方案，新版正在預覽程式碼庫的感知能力，得以於程式碼庫中執行大規模的變更，另一個新功能則可整合企業的私有程式碼庫，以打造客製化的Gemini Code Assist與程式碼。</p> <p>Gemini Cloud Assist則是個應用程式生命周期管理工具，藉由Gemini對用戶雲端資源的理解能力來提供有關應用程式的設計、部署、管理及排除故障的個人化建議，同時最佳化效能與成本。它可根據使用者所描述的目標來生成架構配置，也能協助診斷並排除問題，以及依據效能、成本或可用性來進行最佳化。</p> <p>Gemini in Security Operations的前身是Duet AI in Security Operations，最新的版本已將Gemini整合至Chronicle安全營運平臺，協助安全團隊更輕鬆地偵測、調查與回應威脅。另也添增Gemini in Threat Intelligence及Gemini in Security Command Center兩項功能，前者方便使用者透過對話式搜尋來取得Mandiant的威脅情報，後者則可摘錄重大漏洞及錯誤配置的重點並提出緩解建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-google%20Gemini%20in%20Security.png" style="width: 600px;" /></p> <p>Gemini in BigQuery則可協助資料工程師與分析師利用AI技術，透過自然語言以從海量的資料中分析或找出有價值的資訊，提高查詢效能並最佳化成本，包括可協助使用者清理或整理資料，以及建置低程式碼的視覺資料管道。</p> <p>Gemini in Looker 是個商業智慧工具，允許使用者以聊天方式與資料庫對話，只要簡單的提出資料問題就能在幾秒內得到解答，也能建立圖表與報告，並與團隊分享。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-Gemini%20in%20Looker.png" style="width: 600px;" /></p> <p>Gemini in Databases讓Database Studio具備生成及摘錄SQL的能力，也允許操作人員自Database Center中管理所有資料庫，亦可協助最後一哩的資料庫遷移，同時支援開發者、操作人員及資料庫管理員的任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-Gemini%20in%20Databases.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/4/10 14:42作者陳曉莉https://www.ithome.com.tw/news/162219
旅館業者富野證實旗下分公司資訊系統遭受網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月8日旅館業者富野發布重大訊息，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=153848&SPOKE_DATE=20240408&COMPANY_ID=2736">表示他們的分公司資訊系統遭受網路攻擊</a>，資安人員察覺後第一時間啟動相關防禦機制，並與外部專家協同處理，且使用日常備份資料進行復原，對日常營運尚無重大影響。</p> <p>值得留意的是，這並非該公司首度遭遇網路攻擊。<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=170130&SPOKE_DATE=20240205&COMPANY_ID=2736">2個月前他們也發布重大訊息</a>，指出有分公司的資訊系統遭受網路攻擊，並打算提升資訊安全防護層級來進行改善。</p> <p>但為何這次仍遭遇事故？對此，他們也提出說明，表示為了強化資安層級，該公司已規畫提升相關設備的等級，因尚需時間完成建置，未能成功阻擋這次攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/leO2VrjQlp.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/leO2VrjQlp.png" style="width: 580px;" /></a></p> </div></div></div>
2024/4/10 12:25作者周峻佑https://www.ithome.com.tw/news/162213
Google雲端AI新戰略將以Gemini模型為核心打造新AI平臺，更聚焦雲端服務和辦公生產力GAI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【拉斯維加斯Next直擊】在4月9日的Next大會首日，Google Cloud不僅一口氣發表了眾多新產品和功能，幾乎都圍繞著去年底發表多模態Gemini模型，在Google雲端服務和辦公生產力產品Workspace中推出各式各樣GenAI應用。Google Cloud還揭露新的AI平臺，將以Gemini模型為核心建構一個涵蓋企業Gemini應用和服務開發的整合型平臺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0009952.JPG" style="width: 600px; height: 321px;" /></p> <p>Google Cloud執行長Thomas Kurian強調，今年策略將加速每家企業的業務和產業數位轉型。他先揭露了多項AI布局成果，包括完成1百萬次GAI模型訓練，不到一年，上百家主要企業都已經開始在內部應用中採用Gemini，包括麥當勞、德國銀行、HCA健康、USS、Mayo Clinic醫療機構等，甚至在今年大會中，更有超過300場最新企業GenAI應用實例，涵蓋金融業、零售業、醫療業、製造業等。</p> <p>他強調，從去年到今年Next大會中，Google雲端服務和Workspace產品一共推出1,000多項新功能、新產品。而Google用來和GPT-4V打對臺的多模態Gemini模型，成為今年Next產品發布最受囑目的焦點，這個模型不僅被整合到多個產品中，還導入新一代Gemini 1.5版本，具備更強大、支援超長文本的能力，不只比Gemini 1.0版本的token數多出了31倍，還比GPT-4 Turbo多出7.8倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0010013.JPG" style="width: 600px; height: 338px;" /></p> <p>Google在Vertex AI平臺中上架最新Gemini 1.5 Pro模型API公開預覽版，並提供兩種版本，可對應到12.8萬和100萬個token數量，可以運用在企業現有應用中，來支援需要超長文本輸入的GenAI應用，同時增強音訊處理能力，提供跨模態分析。此外，模型花園中還推出新一代文生動圖模型Imagen 2.0，以及第三方模型Claude 3，以及新的開放模型CodeGemma。這是Google通過其開源的Gemma模型進行微調所建立的輕量級開放模型，專用於程式碼生成和編碼輔助。</p> <p>為了因應更強大、超長文的GenAI模型訓練與推論，Google今年在基礎架構上推出更強的AI超級電腦硬體與各種AI加速運算實例，包括A3 Mega、 Nvidia Blackwell GPU平臺，此外還展示首款專為資料中心設計的ARM架構處理器 Axion，跟同級的x86虛擬機相比， Axion效能提高了50%，能源效率也提升60%。預計今年稍晚推出預覽版。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0010007.JPG" style="width: 600px; height: 312px;" /></p> <p>在模型建置上，Vertex AI還推出了Grounding with Google Search新服務，藉由將Gemini生成的回應與Google搜尋結合，比對模型生成的內容，來提高回應品質並減少幻覺，使其更貼近企業的實際應用需求。此外，在微調方面，Vertex AI簡化提示設計，讓開發者更容易撰寫出高品質的提示，並提供了監督微調功能，優化Gemini模型。</p> <p>模型部署到正式環境前，也能利用模型評估機制AutoSxS比較兩個LLM模型版本的差異，對於最後模型推論的影響，以此選擇最佳模型版本用於生產環境。此外，還推出新提示管理工具，可以用於管理、追蹤，比較不同提示版本的回應品質。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0010026.JPG" style="width: 600px; height: 373px;" /></p> <p>Google還打造了一站式AI解決方案，稱作Vertex Al Agent Builder，該方案進一步結合「搜尋」和「對話」兩類GAI應用套件，能快速在企業內部應用建立和部署生產環境就緒的對話式生成式AI應用，並且可與企業系統相連接，讓生成的回覆內容可以貼近企業的實際情況。</p> <p>不僅如此，Google強化Vertex AI與Workspace工作流程的整合，讓企業可以更容易在Workspace中使用Vertex AI的基礎模型，客製出專屬的GenAI生產力應用。此外，企業現在在Vertex AI中存取模型可以快速從BigQuery、AlloyDB中取得資料，還能夠直接使用BigQuery中的資料來進行模型微調。</p> <p>BigQuery現在已經直接存取Vertex AI中的AI模型，意謂著企業可以將這些AI模型、ML operators和統計分析功能納入到企業內部資料工作流程中，進行多模態分析，包括結構化與非結構化資料。BigQuery還能透過Vertex AI模型API處理文件檔案和音訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0010065.JPG" style="width: 600px; height: 400px;" /></p> <p>Google Cloud還揭露一個開放且整合的新AI平臺。在新AI平臺的架構中，以GCP的AI超級電腦硬體為基礎，來建構一個涵蓋Gemini應用開發周期的技術堆疊。</p> <p>這個技術框架可以進一步分為4層，最底層提供了各種訓練和服務模型所需的AI運算硬體、軟體框架和相關系統資源。上一層則是Gemini模型層，包括了Ultra、Pro和Nano高中低規格的Gemini模型。第三層則是Vertex AI應用開發平臺層，包括提供AI studio、Colab、VS Code等AI開發工具，可以快速在企業內部應用中整合出客製化的GenAI代理。最上層是生成式AI助手Gemini（前身為Duet AI），並整合到Google雲端生產力套件Workspace和雲端服務兩大產品線。</p> <p>Workspace目前擁有超過30億使用者和超過1,000萬付費訂閱客戶。Google Workspace的副總裁兼總經理Aparna Pappu表示，最近8個月內，在Workspace中使用Gemini服務的用戶超過一百萬人，還有上千家企業採用，包括Uber、Verizon、Sports Basement等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/R0010063.JPG" style="width: 600px; height: 312px;" /></p> <p>在今年Next大會中，Workspace推出了全新的AI影片創作生產力服務Google Vids。這是一個專為工作者提供影片創作的AI助手，即使是不熟悉影片創作的行銷人員也能快速製作出各種影片內容，用於產品行銷、人才培訓、團體慶祝等活動。</p> <p>在Vids中，結合GenAI加速內容編輯與製作，使用者只需提供簡單的描述，就可快速生成影片的分鏡腳本，逐步完成影像的製作，也能夠與團隊成員共享影片內容與進行協作。Vids還提供多種影片樣版，可以從這些樣板中組合出想要呈現的內容風格，此外還可以根據不同場景自訂背景音和加入專屬的配音。該服務預計6月推出，並先在Workspace Labs以實驗功能推出。</p> <p>Gemini現在能夠跨Workspace產品線生成內容，Chat和Docs中都開始使用最新的Gemin模型，執行GenAI任務。此外，在Gmail中新增即時草稿潤飾功能，而且除了文字，現在也能用語音給AI助手提示。Meet上還新增了AI會議和傳訊的擴充功能。</p> <p>Google還強化了Workspace的資安防護功能，推出AI Security商用附加服務，能夠協助資安人員自動分類Google硬碟中的敏感文件並提供防護，每人每月10美元。此外在測試版Gmail中開始提供DLP資料外洩防護的控制和分類標簽功能，甚至之後還將實驗後量子加密PQC演算法納入其中。</p> <p>不只是生產力工具整合Gemini，Google也將其帶進更多雲端服務中，包括軟體開發、資安，應用生命周期、資料分析、BI以及資料庫服務中，企業現在都能夠在這些雲端產品中使用Gemini功能。</p> <p>舉例來說，在BigQuery資料倉儲中，Gemini現在可以根據企業自然語言提問來協助進行資料準備、查找、分析及治理，此外，在Looker中的Gemini，現在也能透過對話存取企業商業數據，同時也能跨Workspace應用進行存取。不過目前這些Gemini功能大多處於預覽階段。</p> <p>考慮到企業對於資料檢索增強生成RAG的需求，Google讓BigQuery、AlloyDB AI資料庫開始能夠支援使用向量索引的檢索功能，以便讓LLM模型生成的內容可以更貼近企業內部實際運作情況。</p> <p>在應用程式開發方面，Google宣布原先推出的程式撰寫AI助手Gemini 已達到企業級的安全性和可靠。Google Cloud平臺與技術基礎架構總經理Brad Calder表示，Gemini讓開發人員的工作效率提高30%，而且不同於微軟程式助手Copilot，只能在GitHub中使用，更強調Gemini可以在任何環境部署，包括GitLab、GitHub、BitBucket等，或者也能在其他軟體儲存庫中使用。</p> <p>最新的Gemini 1.5 Pro現在也能在Gemini Code Assist中以私人預覽方式提供，一次可以輸入最多30萬行的程式碼，意味著，可以在程式庫中執行大規模程式碼檢索、除錯及測試，亦有助於加快企業許多老舊系統的現代化改造，將大批老舊程式語言轉為現代語言。</p> <p>在雲端應用管理上，Google還推出名為Gemini Cloud Assist的AI雲端助手，可以更有效率地管理整個應用生命周期，提供包括目標設計、安全、維運指導、故障排除等輔助功能。另外還能提供效能和成本優化的建議。</p> <p>Google在雲端資安防護方面也有不少AI整合。例如Gemini in SecOps正式GA，企業現在已經可以在SecOps維運流程中整合Gemini的能力了。另外在威脅智慧情報服務與SCC安全指揮中心中開始提供Gemini相關服務。</p> </div></div></div>
2024/4/10 13:22作者余至浩https://www.ithome.com.tw/news/162190
Google發表基於Arm架構的資料中心晶片Axion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於周二（4/9）展開的Google Cloud Next '24<a href="https://cloud.google.com/blog/products/compute/introducing-googles-new-arm-based-cpu" target="_blank">發表了該公司首款專為資料中心設計的中央處理器Axion</a>，它採用Arm架構，追求效能及能源效率，標榜其效能比現階段雲端中最快的Arm實例快上30%，效能及能源效率比現有的x86實例分別快上50%與60%，預計今年就會部署於Google Cloud上。</p> <p>為了減輕對英特爾（Intel）及Nvidia的依賴，包括Amazon、微軟及Google等大型雲端服務供應商皆相繼投入客製化晶片的開發。其中，Google在2015年便發表首款用來加速機器學習的Tensor Processing Unit（TPU），迄今已邁入第五代；於2018年發表首款用來加速影片處理的Video Coding Unit（VCU），當時其效率最高可達其它加速器的33倍；也<a href="https://www.ithome.com.tw/news/146013" target="_blank">在2021年推出</a>客製化的系統單晶片Tensor，並將其應用在自家的Pixel手機上。</p> <p>至於最新的Axion是以Arm專替高效能雲端運算設計的<a href="https://www.arm.com/products/silicon-ip-cpu/neoverse/neoverse-v2" target="_blank">Arm Neoverse V2 CPU</a>為基礎，具備記憶體標記擴充（MTE）及效能定義功耗（PDP）等Armv9功能，再佐以Google所設計的Titanium系統。</p> <p>前者令Axion處理器於一般CPU任務上提供巨大的效能改善，包括Web及應用伺服器、容器化的微服務、開源資料庫、記憶體快取、資料分析引擎、媒體處理，以及基於CPU的AI訓練及推論等；後者則是一個具備客製化矽晶片微控制器及分層橫向擴充卸載能力的系統，Titanium卸載負責網路與安全等平臺操作，以讓Axion有更多的能力來改善客戶任務的效能，Titanium也能將儲存I/O的處理卸載至Google新的區塊儲存服務Hyperdisk上，可拆分實例大小與效能之間的關係，並進行即時的動態配置。</p> <p>除了效能之外，Google也企圖以能源效率來吸引客戶，指出現在Google Cloud資料中心使用同樣電力所帶來的運算能力是5年前的3倍，也是產業平均效率的1.5倍。</p> <p>Google計畫將Axion部署在Google Compute Engine、Google Kubernetes Engine、Dataproc、Dataflow、Cloud Batch 等Google Cloud上，著眼於全球數十萬已採用Arm技術的雲端用戶，以讓它們可快速將Arm任務遷移至Google Cloud上。</p> </div></div></div>
2024/4/10 12:35作者陳曉莉https://www.ithome.com.tw/news/162216
Google Workspace新增生成式AI影片編輯Vids、AI會議、文件安全外掛
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/google-cloud-next/welcome-to-google-cloud-next24" target="_blank">Google昨（9）在Next'24開發人員大會上宣布多項新產品與服務</a>，包括雲端生產力套件Workspace新增AI影片生成及編輯助理Vids，以及AI會議筆記與翻譯及Google Docs文件安全等付費外掛。</p> <p>Workspace作為Google的消費者及商務生產力工具，現有用戶超過30億，以及1,000多萬付費用戶。去年Google大舉投入AI開發，也為Workspace中的Gmail、Docs、Sheets等應用內建Gemini。<a href="https://blog.google/products/workspace/workspace-cloud-next-2024/" target="_blank">昨日的宣布</a>則是Workspace最新一波新功能。</p> <p>Google Vids是商務AI影片製作App，為Docs、Sheets、Slides外的最新Workspace成員，可協助製作行銷、客服或業務訓練等影片。它提供簡單易用的介面，像是故事板（storyboard）讓用戶寫入與編輯影片腳本，也有一個包含多種風格或版本的範本，以及影片、照片和背景音樂的圖庫與音訊庫，之後它會將一切元素組合完成初版。在過程中Vids也會協助用戶為影片配音，可以選擇是預設人聲或用戶自己的聲音。完成的影片可經由Workspace分享給團隊成員。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-worksapce-Google%20Vids-1.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-worksapce-Google%20Vids-2.png" style="width: 600px;" /></p> <p><a href="https://workspace.google.com/products/vids/" target="_blank">Google表示</a>，Vids目前還在Workspace Labs配合一群測試人員測試當中，預計今年6月提供Workspace Labs更多人測試。之後會經由Gemini for Google Workspace方案開放訂閱。</p> <p>其次，Google Workspace也加入AI會議與訊息（AI Meetings and Messaging）、及AI安全（AI Security）二項付費外掛功能。其中AI會議和訊息外掛可用於Meet用戶會議，像是專業攝影棚等級的攝影、打燈、音效以及「會議筆記（takes notes for me，現為預覽版）」、聊天重點摘要以及即時翻譯字幕（Translate for me）功能，新增52種語言，現在總共支援69種語言。除了Google Meet，之後這項外掛也可支援Google Chat。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-google%20next%2024-AI%20Meetings%20and%20Messaging%20add-on-960.jpg" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-google%20next%2024-AI%20Security%20add-on-960.jpg" style="width: 600px;" /></p> <p>AI安全外掛則可自動為公司Google Drive上的檔案與文件自動分類和加入防護。Google表示這功能是以企業組織獨有資料訓練出AI模型後，用這些模型持續偵測和評估Drive的現有與新檔案。AI會議和訊息、以及AI安全收費皆為每人每月10美元。</p> <p>Workspace其他應用如Gmail、Docs、Sheet也都加入了新功能。其中Gmail加入可聲控傳送郵件的語音提示、以及將簡單筆記轉成完整Gmail郵件功能，二項功能未來會整合到Gemini Enterprise和Gemini Business中。現在起，Docs開始支援分頁及全版出血（full-bleed）封面圖片、Sheets則新加入表格功能方便用於專案、活動規劃及庫存管理。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/4/10 11:49作者林妍溱https://www.ithome.com.tw/news/162208
OpenAI GPT-4 Turbo with Vision上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨（9）日宣布加入新視覺能力的基礎模型<a href="https://twitter.com/OpenAI/status/1777772582680301665" target="_blank">GPT-4 Turbo with Vision已上線</a>，供付費用戶存取。</p> <p>GPT-4 Turbo with Vision現在可供客戶經由API存取。用戶也可以利用JSON模式及函式呼叫方式發出請求。</p> <p>GPT-4 Turbo with Vision是OpenAI的大型多模態模型（LMM），整合自然語言處理和視覺理解能力，可分析用戶上傳的圖片並以文字回應。最新模型和GPT-4 Turbo同樣具有128K token脈絡（context window），但訓練資料已更新到2023年12月。GPT-4 Turbo with Vision去年12月<a href="https://www.ithome.com.tw/news/160381" target="_blank">已先行整合到微軟Azure AI服務</a>。</p> <p class="rtecenter"><a href="https://platform.openai.com/docs/models/continuous-model-upgrades" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-GPT-4%20Turbo%20with%20Vision.png" style="width: 600px;" /></a></p> <p class="rtecenter"><a href="https://export.arxiv.org/pdf/2309.17421" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-GPT-4%20Turbo%20with%20Vision%20detailed%20scenario%20analysis%20by%20microsoft.png" style="width: 510px;" /></a></p> <p>現在業界關切下一代GPT何時上線。OpenAI執行長Sam Altman去年告訴《金融時報》公司正在訓練GPT-5。<a href="https://arstechnica.com/ai/2023/11/openai-ceo-sam-altman-wants-to-build-ai-superintelligence/" target="_blank">消息指出</a>，最新一代GPT可能會在今年年中上線。</p> </div></div></div>
2024/4/10 12:19作者林妍溱https://www.ithome.com.tw/news/162209