iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 19篇
近 24 小時: 25篇
近 7 天: 138篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Alphabet首季營收成長15%，宣告進入Gemini時代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet周四（4/25）公布該公司今年第一季財報，顯示其整體營收達到805億美元，年增15%，淨收入為237億美元，年增57%。Alphabet執行長Sundar Pichai宣告該公司正進入Gemini世代，董事會則宣布每股將首度發放0.2美元的股息，並購回700億美元的股票，當天Alphabet的盤後股價上漲了11.48%，達176.08美元。</p> <p>在805億美元的營收中，有704億美元來自Google服務的貢獻，成長13.6%，Google Cloud的營收為95.7億美元，成長28%，新創事業（Other Bets）的營收接近5億美元，成長72%。整體而言，Google服務帶進279億美元的營業利潤，增加了28%，Google Cloud的營業利潤亦達9億美元，比去年同期的1.9億美元大幅增加了371%，至於新創事業則虧損了10.2億美元，略低於去年同期所虧損的12.3億美元。</p> <p>Pichai表示，第一季的結果反映出搜尋、YouTube及雲端服務的強勁表現，同時該公司正進入Gemini時代，在AI研究與基礎設施的領先地位，再加上該公司在全球的產品足跡，都讓Alphabet於下一波的AI創新浪潮中處於有利地位。</p> <p>隨著全球掀起了AI熱潮，Pichai在<a href="https://blog.google/inside-google/message-ceo/alphabet-earnings-q1-2024/#AI-search-innovation" target="_blank">財報電話會議</a>中也聚焦於Alphabet為此所奠定的基礎，包括在研究上建立了Gemini 1.5 Pro、Gemma及Imagen等模型，並宣稱Alphabet擁有AI時代最好的基礎設施，其客製化TPU已發展至第五代，並成為用來訓練及服務Gemini的專用積體電路。</p> <p>此外，Google正在將生成式AI整合至搜尋服務，允許人們以新的方式提出問題或詢問更複雜的問題，也計畫把生成式AI導入更多的產品中。</p> <p>Pichai說，目前Alphabet旗下有6款產品的每月用戶數超過20億，當中的Android裝置更超過30億，另有15款產品的用戶數達到5億，而且Alphabet的業務遍及全球上百個國家。</p> <p>總括來說，Pichai不僅認為Alphabet既有AI研究、基礎設施，還有龐大的產品網路，也提出了利用AI來變現的規畫，包括將Gemini 模型導入Performance Max中以協助廣告主取得更大的廣告效益，或是透過Google Cloud來提供AI服務，以及於Google One中推出收費的AI Premium服務。</p> </div></div></div>
2024/4/26 14:46作者陳曉莉https://www.ithome.com.tw/news/162555
FCC投票通過恢復網路中立規定，擴大對ISP業者的監管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（FCC）周四（4/25）以3比2<a href="https://docs.fcc.gov/public/attachments/DOC-402082A1.pdf" target="_blank">投票通過了恢復網路中立（Net Neutrality）的相關規定</a>，重新將ISP業者納入《聯邦通訊法》（Communications Act of 1934）中用來規範公共事業的Title II中，再度建立FCC對寬頻供應商的管轄權。</p> <p>網路中立政策的主要概念是要求ISP業者應該平等對待網路上的資料，不應基於不同的使用者、內容、型態、網站、平臺、通訊模式，或設備而有差別待遇。該政策是在2015年於美國總統歐巴馬（Barack Obama）任內實施，在2018年於川普（Donald Trump）任內被撤銷，而現在又在拜登（Joe Biden）任內重生。</p> <p>FCC表示，該組織將藉此重建國家開放網路標準，ISP業者將再次被禁止封鎖、箝制或參與合法內容的付費優先措施；且FCC將有權撤銷那些對美國國家安全構成威脅的外資企業，於美國經營寬頻網路的授權；並將在網路中斷時發揮積極的監控作用。</p> <p>可想而知，美國的ISP業者群起抗議此一政策，並打算透過法律行動來推翻FCC的決策。</p> </div></div></div>
2024/4/26 15:14作者陳曉莉https://www.ithome.com.tw/news/162556
一支API提供多項應用服務，玉山通用型GenAI平臺大解密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山金控不只是臺灣金融業率先擁抱生成式AI的領先者，更不到2年，就打造一個GenAI平臺，可透過API方式，整合到不同的應用場景和內部系統中，讓生成式AI更容易落地到多種工作流程中。目前，玉山內部啟用了11項生成式AI應用服務，還有1項正在開發中。他們能夠快速將生成式AI落地的關鍵就是，今年初正式啟用的通用型GenAI平臺GENIE。</p> <p>五年前，玉山就自建一套機器學習即服務平臺MLaaS，幾年下來，平臺提供和維運了AI五大類服務，包括行銷AI、風控AI、服務AI、流程AI以及賦能AI，GENIE平臺就是流程AI類的其中一隻API。這個平臺有兩大特色：API化服務和檢索增強生成（RAG）技術。一方面，GENIE是一隻獨立的API，可以整合到多種延伸應用服務，內部系統可以透過API串接來使用GENIE的功能。另一方面，玉山自建豐富的金融知識庫，藉RAG技術，來提升LLM模型回應金融領域問題的精準度。</p> <p>除了API串接形式，GENIE平臺還提供一個前端介面，可以直接提供使用者自己操作來使用，類似ChatGPT介面風格，支援多種資料匯入和匯出的格式，包括文字、圖片、聲音，和檔案等格式資料。當使用者輸入資料，資料會通過GENIE連接至微軟Azure OpenAI服務，再通過GENIE回傳結果給使用者。</p> <p>由於GENIE平臺需要將資料傳送到外部服務，因此，玉山除了使用供應商提供的護欄服務，過濾使用者輸入資料和模型生成回應，他們也額外開發機敏資料掃瞄機制，採用等價交換的方式，例如將身分證字號換成隨機號碼，避免機敏資料外洩。</p> <p>不同於以往應對資安風險採用的遮罩技術，玉山選擇採用等價交換，是為了確保LLM模型能正常運作。玉山銀行智能金融處資深副總工程師林鉦育解釋，遮罩技術是將機敏資訊遮蔽，防止重要資料外洩，但是，LLM模型需要根據上下文資訊進行判斷，若只提供遮蔽後的片段文本資訊，可能削弱模型的理解能力，進而影響模型正常提供服務。反之，等價交換的方式不僅能保護敏感資訊，也可以減少對模型判斷力的影響。</p> <p>早在2023年上半年，玉山就已經確立好GENIE平臺架構，同時開發介面，建立資料外洩機制。不過，他們並沒有立即投入開發應用服務，而是先大規模的蒐集潛在應用場景。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1179-%E5%B0%81%E9%9D%A2p4-600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 590px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>玉山從2018年開始打造MLaaS平臺，以MLaaS為核心發展出行銷AI、風控AI、服務AI、流程AI、賦能AI五大領域AI服務，全行運作超過百支AI服務。其中，GENIE平臺被設計為一支API，歸類於流程AI領域。</strong><span style="font-size: 14px;">（圖片來源／玉山金控）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建立行內知識庫前，以「工人智慧」逐一檢視百萬筆輸入資料</strong></span></span></p> <p>2023年下半年，玉山向行員釋出GENIE平臺測試版，供行員查詢、試用各項服務。起初，GENIE平臺僅純粹介接LLＭ模型服務，並未額外設置知識庫提升回應精準度。目的是為了蒐集足夠的查詢需求，再根據使用者的需求開發進階應用服務，建立全行知識庫。</p> <p>為了提升業務單位使用新技術的意願，在測試階段初期，玉山團隊也舉辦工作坊和教育訓練，教導行員使用生成式AI工具，同時促進行員發想更多使用場景，「我們有點像工人智慧，逐筆看大家的輸入紀錄。」玉山銀行智能金融處副主任工程師徐銘霞回憶，當時收到超過百萬筆輸入紀錄，團隊逐漸摸索出使用者關注的問題和潛在應用場景，協助後續導入知識庫和開發進階應用服務時，能更有效決策優先開發順序。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>因應金融業務資訊快速變動，以RAG作為GENIE技術核心</strong></span></span></p> <p>經過初期測試階段後，玉山接著建立包括金融產品資訊，以及涵蓋個金、法金和風險規定等業務場景知識的知識庫，透過GENIE連接至LLM模型服務，供模型檢索資料，生成更精準的回應。玉山團隊在微調（Fine-tuning）和RAG技術兩者之間，選擇RAG作為發展生成式AI的關鍵技術核心。為什麼？</p> <p>首先，金融產品知識更新頻率快，十幾張信用卡資訊可能在一個月內就發生變動，微調模型不僅耗時，跟不上產品資訊變動，還須要投入大量成本。再來，若資料量過少或品質太低，微調模型表現也不好。反之，採用RAG能夠讓模型檢索最新資訊，有助於快速應變資料異動，甚至做到即時更新。</p> <p>在發展RAG時，玉山選擇在建立知識庫的階段投入最多技術能量。</p> <p>林鉦育解釋，RAG技術的運作有三個關鍵步驟，建立知識庫、檢索到監控輸出內容。建立知識庫的過程中，先透過嵌入技術將大量文字轉為向量，以供模型檢索之用。其次，在檢索時，將LLM模型視為邏輯引擎，讓LLM模型根據使用者提出的問題來檢索文件，找出最符合答案，最後是再透過閘道（Gateway）來進行監控，作為輸出前的防線，來控管LLM模型生成的答案，篩選過後才能提供給使用者。</p> <p>這三個步驟當中，玉山花最多力氣在第一個步驟，「東西給的對，後面就八九不離十。」林鉦育說，玉山發展RAG的策略是，在建立知識庫時，盡可能切出準確的向量距離，來提升資料檢索的精準度，如此一來，也能盡量降低模型回應錯誤率。</p> <p>使用LLM模型容易會有遭模型綁定的問題，因為不同LLM模型產生的向量有異，相似度判斷結果也可能有所差異，一但更換所用的LLM模型，就得重新生成所有文件的向量。因此，除了使用嵌入技術，玉山團隊也考慮採用術語庫（term base）來進行資料檢索，例如，關鍵字搜索，或使用TF-IDF或BM25等特定演算法。這個方式雖然傳統，卻能解決依賴單一模型的問題，不需要額外生成向量，只要有明確詞彙就能進行檢索。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GENIE整合流量管控和財務管理機制，下一步是走向混合雲架構</strong></span></span></p> <p>而在去年下半年的測試期間，玉山團隊除了觀察使用者需求，也將流量管控和財務管理機制納入平臺，紀錄各單位使用頻率和流量。他們沿用玉山既有的API流量管控機制架構，改成管控LLM使用流量，以及計算服務使用花費。</p> <p>玉山團隊的作法，是在平臺連接供應商服務的流程中設置流量管控機制，針對玉山全部系統進行管控，如此一來，團隊可以觀察不同單位使用情況，以及不同模型的長處和應用情況，協助開發團隊日後應對不同使用者需求，甚至在未來將生成式AI推向服務時，開發團隊也能根據不同服務需求選用適當的LLM模型。</p> <p>實際觀察LLM使用流量後，挑戰還在後頭。「一旦跟業務嵌入後，就會有旺季淡季的議題。」林鉦育坦言，業務單位的高低峰使用量增加不少流量管控的難度。因此，為了提升平臺的彈性，玉山團隊正在計畫將雲端納入GENIE平臺的調度環境，採用容器和K8s，運用K8s平臺的自動擴充機制，根據當下流量即時調度運算資源，協助進行流量管控。</p> <p>近期金管會鬆綁上雲規範，開放金融機構能將非涉及重大消金業務的系統遷至公雲，玉山團隊也開始籌劃讓GENIE平臺的架構能上公雲，把平臺轉為混合雲架構。預計最快年中就會推出新一代的通用型GenAI平臺。</p> <p class="rtecenter"><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 傳統AI和生成式AI的開發維運模式不一樣 </span></strong></span></span></p> <p><strong>2018年，玉山定調全力發展AI，五年的耕耘讓玉山內部累積不少AI開發維運經驗，但是，導入生成式AI仍和過往發展AI不太一樣，也讓玉山面臨不少挑戰。玉山銀行智能金融處副主任工程師徐銘霞解釋，過往玉山大多使用自己建立的模型，但自從LLM模型服務上線後，企業開始需要向外部流通資料，「那資料外洩的議題要怎麼樣做處理？我們跟雲端廠商要怎麼合作？」這些考驗，需要額外設立規範或建立機制才能解決。</strong></p> <p><strong>除了資料外洩和雲端廠商合作議題，控管雲端服務花費也是一門學問。徐銘霞解釋，過去團隊在計算開銷時，僅需要計算硬體設備或擴充VM等既有且已知的價格，「可是未來用到雲端服務，它的價格就會依照雲端業者提供。」等同是使用完服務，才能得知具體花費，無法提前交出預算。因此，玉山團隊在開發生成式AI應用時，也需要額外設置卡控機制，控制服務開銷。</strong></p> <p><strong>另外，發展生成式AI應用和過往發展AI模型應用場景也有所差異。徐銘霞指出，LLM模型類似一個7歲小孩，擁有許多知識，可以發展許多通用型的場景，和過往使用單一模型、發展特定場景的開發模式不同，因此，如何篩選適當導入生成式AI的場景，就是一項考驗。</strong></p> <p><a href="https://www.ithome.com.tw/article/162552" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1179-feng_mian_p1-open-yun_xuan_-960x420_kao_bei_0.jpg?itok=V8ey_IUW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/4/26 13:50作者李昀璇https://www.ithome.com.tw/news/162549
玉山開始擁抱生成式AI，今年目標要走向業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年11月，ChatGPT橫空出世，全球掀起了生成式AI浪潮，各行各業開始研究創新應用，金融業也不例外地投入研發能量。隔年三月中，短短一周內，OpenAI推出GPT-4模型、圖像生成工具Midjourney v5釋出，更有百度推出中國版ChatGPT文心一言，用來對抗ChatGPT。AI的快速進展再次震撼全球，連掌舵全集團多年AI發展的玉山金控科技長張智星，在那一周的心情，都興奮地「難以入睡」。</p> <p>在臺灣，玉山金控是第一批率先採用微軟ChatGPT方案的金融業者。早在2023年三月初，微軟Azure OpenAI服務推出沒多久，張智星和團隊就立刻展開評估，篩選使用場景，最後決定先將ChatGPT用於內外部的KYC調查應用上，幫助銀行行員從大量新聞內容中，找出開戶顧客有無負面行為或記錄的資訊。實際採用後，開戶時間從原本的30分鐘，縮短到只要幾分鐘，大大減少了開戶顧客的等待時間。</p> <p>當時，張智星就透露，玉山AI團隊採用ChatGPT技術前，曾評估過，能不能建立玉山自己的ChatGPT，也就是先自建一套LLM模型，再用來開發Chatbot應用。不過，玉山團隊很快意識到，訓練LLM模型不僅需要龐大算力，還很燒錢，不是一般企業可以自己來。</p> <p>他以當時玉山的算力資源來估算，若要訓練出媲美ChatGPT的對話水準，就算投入所有算力，也要一到兩年才能訓練出LLM模型。單是訓練一次GPT-3模型的成本就要140萬美元，若是參數量更大的LLM模型，訓練成本更是要花費200萬美元到1,200萬美元之間，價格非常昂貴。</p> <p>發現自建模型這條路不可行，玉山很快地調整策略。當時，張智星指出，他們要直接善用ChatGPT在對話式AI的卓越能力，讓玉山把同類型AI應用發揮得更好。例如，將玉山過去打造的Chatbot接上ChatGPT，使用供應商提供的服務，來發展生成式AI。</p> <p>這個戰略轉向看似單純，卻是玉山在AI發展上迎來的一次大轉變。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>2021年立下三年AI願景，發展NLP技術自建多個Chatbot</strong></span></span></p> <p>早在2021年，玉山就訂下了三年AI願景，當時，他們將自然語言處理（NLP）技術作為AI發展核心，圍繞Chatbot發展相關應用，除了要全面使用Chatbot，抓住顧客意圖，還要大量分析語音客服，不只做數位導流還要調整服務，更要打造24小時全智能語音Chatbot。</p> <p>玉山過去靠NLP技術開發出玉山小i隨身金融顧問，能一次回答房貸評估、外匯諮詢和信用卡推薦3大問題。當時，為了開發出這個Chatbot，他們組了40人團隊發想Chatbot應用場景，找來外部廠商進行各項測試，完成這款Chatbot，為了持續精進技術力，還找上臺大自然語言處理實驗室，鎖定使用者意圖分析與偵測技術，要從使用者在各種公開網路平臺上的異質源資料，來探索、拼湊出完整使用者資訊，建立更好的預測模型。</p> <p>這些經驗讓玉山團隊培養了豐富的NLP能力，玉山團隊還進一步深化NLP客服應用，自己建立一套NLP模型，來分析每通客服通話、判斷顧客遭遇的問題，並以簡訊發送相關連結和使用教學，來給顧客參考。他們甚至要進一步發展語音生成，開發一套語音引擎，讓自動撥號系統能以語音方式提供顧客一次性密碼（OTP）。</p> <p>玉山希望以NLP技術作為核心，來發展自己的AI藍圖，但是，隨著更進階的NLP模型—LLM模型橫空出世，玉山想快速擁抱對話水準更高的生成式AI，就不得不放棄自建模型的策略，轉而使用科技大廠提供的服務來使用LLM模型。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>玉山下一步是將生成式AI走向業務</strong></span></span></p> <p>玉山能直接面對這項挑戰，奠定在過往累積的AI基礎。去年三月，張智星就強調，AI策略的轉變，不會讓他們過去的投入白費，「正因為先打下了基礎設施，當ChatGPT出現後，很順利就能銜接。」張智星指出。</p> <p>張智星所說的基礎設施之一，就是玉山在2019年所打造的機器學習即服務（MLaaS）平臺，採API形式提供AI服務，這個平臺成了後來玉山各項AI落地的關鍵。</p> <p>隨著玉山新一代核心系統在2020年上線，原本大型主機的「大核心」模式，轉換為小核心的微服務架構和開放式平臺之後，玉山不只能更快速更迭服務，也更容易共享資料。為了因應快速增加的數據量和AI應用規模，玉山在2021年，重新改造MLaaS平臺，推出2.0版，改採用微服務架構，來增加平臺資源調度彈性，這個關鍵改變，讓玉山有能力走向雲端，也是玉山能快速銜接生成式AI服務的主因之一。</p> <p>兩年前，玉山就開始布局生成式AI。他們從導入生成式AI至單一應用，一路發展出多個應用服務。去年下半年，玉山打造出通用型GenAI平臺GENIE，並開始在內部測試，蒐集使用資料，了解適合運用生成式AI的潛在場景。到了今年初，玉山正式推出GENIE平臺，行員能透過API串接使用生成式AI服務，來加速各項工作流程。</p> <p>目前，玉山利用GENIE平臺推出11項生成式AI應用服務，開放全行行員使用，另有1項服務正在開發中。這12項應用服務可分為基礎和進階應用服務。起初，玉山僅單純將GENIE平臺介接LLM模型服務，提供基礎版應用服務，例如，純文字和圖片生成、會議記錄生成和摘要總結翻譯等，每項應用服務都能適用於多種場景。</p> <p>隨著平臺蒐集更多資料，玉山以「工人智慧」逐筆查看行員查詢的內容，挖掘使用者常在哪些情境下使用特定應用服務，接著針對場景開發進階版應用服務，整合行內知識庫和檢索增強生成（RAG）技術，提升平臺在特定場景的服務能力。</p> <p>去年金管會鬆綁上雲規範，開放金融機構能將非涉及重大消金業務的系統遷至公雲，玉山團隊也開始籌劃讓GENIE平臺的架構能上公雲，把平臺轉為混合雲架構。預計最快今年中就會推出新一代GENIE平臺。</p> <p>目前，玉山仍在蒐集更多適用生成式AI的場景，他們不僅關注舊場景，也在探索因新技術誕生的新場景。「我們要用新架構瞄準新場景，先從RAG開始。」玉山銀行智能金融處資深副總工程師林鉦育說。</p> <p>放眼今年，玉山的生成式AI發展目標是「走向業務」。一方面，經過去年的摸索和測試，玉山逐漸了解生成式AI的運作模式，另一方面，在金管會公布金融AI指引後，玉山會以此指引為基礎，來發展自己的生成式AI應用，將這項技術推向內部使用的業務場景，讓生成式AI在玉山逐漸開枝散葉。</p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:36px;"><strong><span style="background-color:#0066ff;"> 玉山高層大力支持生成式AI </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1179-BOX-%E5%9C%96-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 410px;" /></p> <p><span style="color:#696969;"><strong>玉山金控董事長黃男州提出AI未來發展的三個重要角色，分別是智能夥伴、溝通大師，和時光壓縮機。</strong><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><strong>玉山能快速因應生成式AI浪潮轉變策略，除了仰賴過去奠定的技術基礎，更重要的是高層對AI的支持。</strong></p> <p><strong>今年二月，玉山金控董事長黃男州在法說會前記者會中，提出他對生成式AI的看法。「AI可能在未來發展進程會有幾個重要角色。」黃男州點出，AI可能擔任的第一個角色是智能夥伴，能和人類共同進行創造。第二個是溝通大師，能在物聯網中協助人與物溝通。第三，是時光壓縮機，能處理許多過去需耗費大量時間學習的產業知識。最後，黃男州也表示，AI將和雲端結合，因此雲端也是重要議題。</strong></p> <p><strong>玉山金控科技長張智星事後解釋這三個想像的實現方式。智能夥伴類似副駕駛（copilot），能協助人類完成工作。溝通大師的模式，類似透過GPT模型從物連網抓取各種感應器資料，向使用者摘要設備運作情況。時光壓縮機意謂加速學習，例如，過往學習英文須要花費大量時間查找字典，但現在透過ChatGPT就能修改文法和用字錯誤，節省大量時間，提升了學習效率。</strong></p> <p><strong>「我們三不五時都會和他（黃男州）溝通，說明技術進步到哪個階段。」張智星表示，玉山的技術團隊時常和黃男州溝通新技術，當團隊詢問高層建議，黃男州也會提供回饋。但，張智星表示，「事前並不知道董事長會說這些。」</strong></p> <p><strong>ChatGPT誕生後，大眾對生成式AI技術並不陌生，更容易發想應用場景，另一方面，玉山大力發展AI，高層和技術團隊長期溝通，培養絕佳的默契，所以，當玉山技術團隊開始跨足生成式AI，不需要解釋太多技術細節，高層也能自己展開技術發展的願景，描繪AI藍圖。</strong></p> <p><strong>「董事長會自己想像應用場景。」例如，團隊曾和黃男洲提到生成式AI可以用來摘要會議記錄，「他很興奮地說，這樣可以整理每個人說的內容，列出待辦事項。」張智星回憶道。</strong></p> <p><strong>有了高層的支持，玉山科技團隊更放心創新。「其實，很多細節董事長幫我們補全了。」張智星說。例如，技術團隊曾提出，將OCR掃描後的文件轉換成文字後，可以使用LLM模型進行修改。當時，黃男州則提議，利用公司30年來累積的文件建立知識庫，協助企金業務整合客戶資料，快速整理上下游公司之間的關係。</strong></p> <p><strong>當時的提議，也成為玉山今年計畫發展的重點應用之一。今年，玉山計畫透過LLM模型協助企金業務整理客戶資訊，將企業客戶在網上的資料納入系統，包括公司財報、年報和新聞稿等資料，以及上下游相關企業資訊，建立徵審文件草稿，加速企金業務的徵信工作流程。</strong></p> <p><strong>這個例子也顯示，生成式AI浪潮的關鍵，並非僅是發展技術能力，更多來自高層和業務團隊的加入，共同想像更多應用場景，提供技術團隊素材向前推進。因此，ChatGPT爆紅後，玉山接著在內部舉辦黑客松活動，邀請副總級高層，共同了解AI，發想更多應用場景。</strong></p> <p class="rtecenter"><span style="color:#ffffff;"><span style="font-size:36px;"><strong><span style="background-color:#B22222;"> 玉山生成式AI發展歷程 </span></strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2017年 </span></strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#006400;"> 組織 </span></strong></span><span style="color:#696969;"><strong> 成立創新實驗室，鑽研AI、區塊鏈、身分辨識、電子支付等前瞻技術</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#9933ff;"> 應用 </span></strong></span><span style="color:#696969;"><strong> 推出玉山小i隨身金融顧問，為大中華地區第一個金融Chatbot</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2017%E5%B9%B4_%E5%9C%961%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 590px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／玉山金控</span></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2018年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 戰略 </span></strong></span><span style="color:#696969;"><strong> 定調玉山AI發展，終止多個千萬元等級專案，改將資源投注在AI上</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 100, 0);"> 組織 </span></strong></span><span style="color:#696969;"><strong> 成立科技長辦公室</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2018%E5%B9%B4_%E5%9C%961%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.png" style="width: 558px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／王宏仁</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> 開始建置MLaaS平臺、AI研發雲</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2019年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 100, 0);"> 組織 </span></strong></span><span style="color:#696969;"><strong> 大數據分析團隊CRV轉型為智能金融處，負責開發AI應用</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#996600;"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> MLaaS 1.0平臺上線，提供AI推論、模型訓練、資料ETL等三大類服務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A01169_2019%E5%B9%B4_%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 561px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／玉山金控</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 51, 255);"> 應用 </span></strong></span><span style="color:#696969;"><strong> 信用卡盜刷偵測模型、票據手寫辨識模型上線</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2020年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 100, 0);"> 組織 </span></strong></span><span style="color:#696969;"><strong> 成立資料治理專責小組，推動規範和分級</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> </strong></span></p> <p><span style="color:#696969;"><strong>●新一代銀行核心系統上線，全面API化、加速資料累積和運用能力</strong></span></p> <p><span style="color:#696969;"><strong>●決定將MLaaS平臺底層部署至Kubernetes（簡稱K8s），打造MLaaS 2.0平臺</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2021年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 100, 0);"> 組織 </span></strong></span><span style="color:#696969;"><strong> 展開29年來最大一次組織改造、組成千人科技聯隊，形成資訊處、數金處與智金處的鐵三角組織</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2021%E5%B9%B4%E5%9C%96%E7%89%87-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 576px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／玉山金控</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 戰略 </span></strong></span><span style="color:#696969;"><strong> 訂定AI三年願景，以自然語言處理（NLP）技術作為關鍵技術核心，圍繞Chatbot發展相關應用</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> MLaaS 2.0平臺上線，擁抱K8s、容器等主流開源工具，引進多項自動化機制</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2021%E5%B9%B4%E5%9C%96%E7%89%87-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 591px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／玉山金控</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 51, 255);"> 應用 </span></strong></span><span style="color:#696969;"><strong> 推出數位導流系統平臺、單一大影像模型、推薦系統Smart Channel、數存秒開服務</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2022年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 戰略 </span></strong></span><span style="color:#696969;"><strong> 生成式AI爆紅，玉山開始布局生成式AI發展</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2023年上半年 </span></strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 戰略 </span></strong></span><span style="color:#696969;"><strong> 玉山決定不走自建LLM模型的策略，改為採用廠商提供的商用生成式AI服務</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> 開始打造玉山生成式AI平臺GENIE</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 51, 255);"> 應用 </span></strong></span><span style="color:#696969;"><strong> KYC調查開始嘗試用生成式AI</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2023年下半年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 100, 0);"> 組織 </span></strong></span><span style="color:#696969;"><strong> 制定生成式AI執行內規</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> </strong></span></p> <p><span style="color:#696969;"><strong>● 玉山生成式AI平臺GENIE開始測試</strong></span></p> <p><span style="color:#696969;"><strong>● 因應金融上雲鬆綁，MLaaS 2.0平臺轉為混合雲架構</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 51, 255);"> 應用 </span></strong></span><span style="color:#696969;"><strong> 對外展示用GPT模型打造的智能法律回覆生成系統</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2023%E5%B9%B4%E4%B8%8B%E5%8D%8A%E5%B9%B4%E5%9C%96-1-%E6%94%9D%E5%BD%B1-%E6%9D%8E%E6%98%80%E7%92%87.png" style="width: 590px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／李昀璇</span></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2024年年初 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> 正式啟用GENIE平臺（除音檔、影像萃取服務尚在開發），整合行內知識庫</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 51, 255);"> 應用 </span></strong></span><span style="color:#696969;"><strong> 向內部推出11項生成式AI應用服務，包括純文字和圖片生成、會議記錄生成服務、摘要總結翻譯、分類和分析，和Chatbot知識搜索服務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2024%E5%B9%B4%E5%B9%B4%E5%88%9D-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 587px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／玉山金控</span></span></p> <p><span style="color:#696969;"><strong>資料來源：玉山金控，iThome整理，2024年4月</strong></span></p> <p><a href="https://www.ithome.com.tw/article/162552" target="_blank"><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1179-feng_mian_p1-open-yun_xuan_-960x420_kao_bei_0.jpg?itok=V8ey_IUW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/4/26 13:50作者李昀璇https://www.ithome.com.tw/news/162547
玉山怎麼用GenAI？12項應用服務大解析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月，玉山在一場公開活動中展示一個生成式AI應用服務——智能法律回覆生成系統，提供內部行員快速檢索法規內容。系統介面是一個Chatbot，當行員輸入法遵相關提問，介面上會顯示簡短回覆和法源依據，並提供內外規範的法條比對，協助行員快速掌握內外規範，因應外部變動調整內部法規。</p> <p>這個案例不只是玉山發展的唯一一項生成式AI服務。經過一年來的開發、測試，今年初，玉山正式對內推出通用型GenAI平臺GENIE，開放行員使用11項生成式AI應用服務，另有1項服務正在開發中。</p> <p>這12項應用服務中，可區分為基礎和進階應用服務。起初，玉山僅單純將GENIE平臺介接LLM模型服務，提供基礎版應用服務，例如，純文字和圖片生成、會議記錄生成和摘要總結翻譯等，每項應用服務都能適用於多種場景。</p> <p>隨著平臺收到更多使用資料，玉山開始挖掘使用者常在哪些情境下使用特定應用服務，接著針對場景開發進階版應用服務，提升平臺在特定場景的服務能力。例如，法規文件比對、市場資訊摘要和生成，或運用客服資料進行顧客情緒分析。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>基礎和進階應用服務各有6項</strong></span></span></p> <p>玉山規畫的基礎應用服務共有6項，最基礎的服務包括純文字和圖片生成、會議記錄生成服務，複雜度一路提升，從摘要總結翻譯、分類和分析，到Chatbot知識搜索，最後則是支援非文字形式的音檔、影像資料萃取服務。目前，玉山將基礎服務延伸至特定場景，開發出6項進階應用服務。其中，摘要總結翻譯的進階服務有1項，分類和分析的進階服務有3項，Chatbot知識搜索的進階服務則有2項。</p> <p>相比最常見的純文字生成、會議記錄生成服務，摘要總結翻譯服務的定位是解讀大量文件，提取出重要資訊。玉山選擇將摘要總結翻譯服務延伸至KYC（know your customer）調查場景，協助摘要和生成市場資訊，結合RPA技術，不僅能快速蒐集、摘要客戶的負面新聞，還能定期產出客戶交易對手的負面新聞和報告。這項進階應用服務能協助理專人員快速撰寫徵審報告，也能協助一般銀行行員掌握時事對金融產品帶來的衝擊。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>選定技術開發、客服和商業數據分析場景，發展進階分類和分析應用服務</strong></span></span></p> <p>分類和分析則是更進階的摘要總結翻譯服務，匯入資料形式不局限於文字，還包括數據、程式碼，這項服務是運用LLM模型理解大量文件和數據資料後，協助快速歸類，同時提供對數據、程式碼的分析解讀。玉山看準3種應用場景，發展出3項分類和分析的進階服務，分別是程式碼教學服務、數據分析與教學，和顧客情緒分析。</p> <p>第一種場景是技術開發，玉山發展程式碼教學服務，當技術人員在開發時面對卡關情況，可以藉由LLM模型服務提供教學指示，或是用來分析結構較複雜的程式碼，並提供建議註解，加速開發流程。玉山金控科技長張智星指出，完全讓模型生成程式碼，反而容易出錯。因此，玉山並未發展程式碼生成工具，而是開發程式碼教學服務。</p> <p>第二種場景是客服應用。玉山推出導入生成式AI的顧客情緒分析服務，不僅能協助行員分析來自客服Chatbot和留言板的文字訊息，也能將語音訊息轉為文字，讓行員直接從文字來分析顧客情緒和進線意圖。未來，玉山預計使用生成式AI提升原有的意圖判斷模型，精準導流進線意圖較特殊的顧客。</p> <p>第三種場景是協助業務分析商業數據。玉山開發數據分析與教學服務，協助行員快速分析表格資料，了解資料潛藏趨勢。例如，信用卡刷卡資料包含顧客ID、刷卡時間、特店和金額等欄位，行員可以將顧客信用卡刷卡資料匯入LLM模型服務，分析特定顧客樣態行為模式。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建立Chatbot協助知識庫搜索，首先提供內部行員搜尋法規文件、產品優惠訊息和教育訓練講義</strong></span></span></p> <p>Chatbot知識搜索結合了知識庫和搜尋功能，可以協助摘要、分類和分析大量文件，更重要的是，能讓使用者以簡短的文字提問快速掌握大量文件。這個基礎應用服務運用LLM模型服務和檢索增強生成（RAG）技術，蒐集和彙整大量文件資料或網路新聞資訊，並以Chatbot形式提供內部使用者查詢。系統會根據使用者的提問提供簡短回覆，協助行員省下翻閱大量文件資料的時間。</p> <p>針對Chatbot知識搜索，玉山鎖定兩個場景開發進階服務，分別是提供內部員工使用的智能客服與專業知識庫搜尋，和法規文件比對服務。前者目前提供行員搜尋金融產品優惠訊息，以及協助新進行員快速查詢教育訓練講義和文件，提升訓練成效。後者則是當行員遇上法遵問題時，可以快速查詢法源依據，了解公司內部法條和外部規範，進一步衡量是否須因應外規變動調整內規。</p> <p>最後一項基礎服務是音檔、影像資料萃取，當使用者輸入音訊或影片時，LLM模型服務會將語音或影片轉為文字，接著回應使用者針對輸入資料的提問。這項應用服務目前尚在開發中，還未提供內部使用。</p> <p>除了現有服務，玉山預計在今年發展更多進階應用服務。</p> <p>他們計畫要提升會議記錄摘要功能，讓模型能讀懂會議中出現的專有名詞，例如能辨識出產品名稱，甚至是分辨出發言者身份，以及透過LLM協助企金業務整理客戶資訊，將企業客戶在網上的資料納入系統，包括公司財報、年報和新聞稿等資料，以及上下游相關企業資訊，建立徵審文件草稿，加速企金業務的徵信工作流程。技術上，玉山也期望能發展出多輪對話功能，創造更多應用服務。</p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#B22222;"> 玉山12項GenAI應用服務介紹 </span></strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#6666ff;">　基礎應用服務：</span><span style="background-color:#6633ff;">　功能說明　</span></span></strong></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>純文字和圖片生成類</strong></span><strong><span style="font-size: 20px;">：</span></strong></span><span style="color:#6633ff;"><span style="font-size:20px;"><strong>生成文字和圖片</strong></span></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>會議記錄生成</strong></span></span><span style="color:#6633ff;"><strong><span style="font-size: 20px;">：</span></strong><span style="font-size:20px;"><strong>快速摘要會議內容</strong></span></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>摘要總結翻譯</strong></span><strong><span style="font-size: 20px;">：</span></strong></span><span style="color:#6633ff;"><span style="font-size:20px;"><strong>摘要、總結、翻譯大量文件資料</strong></span></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>Chatbot知識搜索</strong></span><strong><span style="font-size: 20px;">：</span></strong></span><span style="color:#6633ff;"><span style="font-size:20px;"><strong>運用LLM模型服務和RAG技術，蒐集和彙整大量文件資料或網路新聞資訊，並以chatbot形式提供服務，系統會根據使用者輸入的問題提供回覆</strong></span></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>分類／分析</strong></span><strong><span style="font-size: 20px;">：</span></strong></span><span style="color:#6633ff;"><span style="font-size:20px;"><strong>運用LLM模型服務來快速分類或分析大量資料</strong></span></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>音檔、影像資料萃取</strong></span><strong><span style="font-size: 20px;">：</span></strong></span><span style="color:#6633ff;"><span style="font-size:20px;"><strong>當使用者輸入音訊或影片時，LLM模型服務會將語音或影片轉為文字，並回應使用者對輸入資料的提問</strong></span></span></p> <p><strong><span style="font-size:20px;"><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;">　進階應用服務：</span><span style="background-color:#ff6600;">　功能說明和應用場景　</span></span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">程式碼教學：</span><span style="color:#ff3300;">分類／分析的進階服務</span><span style="color:#ff6600;">，使用生成式AI來分析較複雜的程式碼，並提供註解建議，或是當技術人員開發時卡關，可以使用生成式AI提供教學指示，來輔助開發 </span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">智能客服／專業知識庫搜尋：</span><span style="color:#ff3300;">Chatbot知識搜索的進階服務</span><span style="color:#ff6600;">，供內部行員搜尋金融產品優惠訊息，或是協助新進行員搜尋教育訓練講義和文件 </span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">法規文件比對：</span><span style="color:#ff3300;">Chatbot知識搜索的進階服務</span><span style="color:#ff6600;">，可供行員搜尋和比對內部規範和外部規範 </span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">市場資訊摘要／生成：</span><span style="color:#ff3300;">摘要總結翻譯的進階服務</span><span style="color:#ff6600;">，可供行員快速彙整產業和新聞資訊和趨勢，主要應用在KYC調查。也可以協助行員快速掌握時事對金融產品的衝擊</span> </span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">數據分析與教學：</span><span style="color:#ff3300;">分類／分析的進階服務</span><span style="color:#ff6600;">，協助行員快速分析表格資料，了解資料潛藏的趨勢。例如，信用卡刷卡資料包含顧客ID、刷卡時間、特店和金額等欄位，行員可將顧客的信用卡刷卡資料匯入LLM模型服務，分析特定顧客樣態的行為模式</span> </span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">顧客情緒分析：</span><span style="color:#ff3300;">分類／分析的進階服務</span><span style="color:#ff6600;">，協助行員分析來自客服Chatbot和留言板的文字訊息，也能將語音訊息轉為文字，讓行員直接從文字分析顧客情緒和進線意圖 </span></span></strong></p> <p><a href="https://www.ithome.com.tw/article/162552" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1179-feng_mian_p1-open-yun_xuan_-960x420_kao_bei_0.jpg?itok=V8ey_IUW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/4/26 13:50作者李昀璇https://www.ithome.com.tw/news/162551
玉山金如何擁抱GenAI
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1179-feng_mian_p1-open-yun_xuan_-960x420_kao_bei_0.jpg?itok=V8ey_IUW" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2022年，玉山就開始布局GenAI，經歷AI策略轉向，不到兩年，玉山打造出通用型GenAI平臺GENIE，目前已向內部提供11項GenAI應用服務，1項正在開發，下一步，他們要更積極讓GenAI走向業務</p> </div></div></div>
2024/4/26 13:52作者李昀璇https://www.ithome.com.tw/article/162552
AI領先者的決斷
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「要訓練出媲美ChatGPT的對話水準，就算玉山投入所有算力，也要一到兩年才能訓練出LLM模型。」玉山金控科技長張智星指出，去年3月初，ChatGPT API一發布，玉山AI團隊就馬上開始評估，決定先用KYC調查中負面新聞查詢的重點整理和摘要來測試，發現效果不錯，也替作業人員省下不少時間。但問題來了，當時若不是採用雲端企業級的ChatGPT服務，就得自行訓練LLM模型。要不要自己訓練LLM？成了關鍵的抉擇。</p> <p>因為算力不夠，玉山要自行訓練LLM模型得花上2年，但是可以擁有最大的自主權，若是採用業者的LLM服務，雖然可以快速上手，但得考慮綁定風險，還有金融業諸多嚴格的法遵和資安規範。</p> <p>玉山早在2021年訂定了三年AI願景，以NLP技術作為全集團AI發展的核心，圍繞Chatbot發展相關應用，除了要全面使用Chatbot，抓住顧客意圖，還要大量分析語音客服，發展數位導流，更想要打造出可以24小時運作的全智能語音Chatbot。他們也訓練出了自己的NLP模型，用於大量客服通話內容、分析顧客問題。</p> <p>如今ChatGPT隔空出世，為了運用更先進的LLM來實現AI願景，玉山毅然決然，放棄自建模型的策略，轉而採用第三方業者的雲端LLM服務。</p> <p>不過，玉山多年AI的投入，並沒有白費，而是讓他們很快就能銜接到最新生成式AI技術。這其中，最關鍵的是，玉山有一套MLaaS平臺（機器學習即服務平臺），全面以API形式來提供AI服務，而不是直接把AI技術寫入到每一套系統中。</p> <p>在金融業，對內要全面用API來串接不同的系統，不是一件容易的事，但是，玉山當年決定全力發展AI，就計畫要能夠全面地使用AI，因此，玉山將不同的AI功能，打造成一隻又一隻的API，方便以API形式整合到各式各樣的系統上。也搭配發展出了一套從訓練、開發、部署、提供服務到維運，涵蓋整個開發到維運生命周期的MLaaS平臺。這不僅是金融業，也是臺灣大型企業中少見如此系統化、大規模發展AI的作法。</p> <p>雲端業者提供的各種生成式AI服務、LLM服務，正是以API形式來串接，玉山當年所做的選擇，正好是現在當紅的生成式AI主流服務提供形式。玉山只需要外部的第三方生成式AI的API，串接到原本的MLaaS平臺中，就能延續原本的作法，甚至不需要重新調整、修改MLaaS平臺對內部系統的串接方式，累積3年的API化AI應用開發經驗，一點都沒有白費。</p> <p>隨著金融主管機關這兩年逐漸鬆綁金融上雲的規範，金融業者更容易使用公雲上的服務，剛好解了玉山採用雲端生成式AI的一大難題，不過，還有另一個挑戰，要將內部資料拋轉到外部的第三方服務上，如何徹底避免機敏資料外洩是另一項考驗。</p> <p>許多企業為了預防機密外流，都會對上傳到雲端生成式AI的資料進行遮蔽，將機敏資料移除，來避免外洩。但是，生成式AI是依據上下文來進行推論，一但提供的內容中有缺漏，就可能會影響生成的結果。</p> <p>玉山找到了兩全其美也更進階的作法，採取等價交換的方式，將機敏資料替換成類似但卻是模擬的假資料，例如原本提到了真實的信用卡號，則替換為假的信用卡資料，或是用假姓名來取代真實的姓名，既能避免外洩機敏資料，又能讓生成式AI有較完整的上下文脈絡可用。</p> <p>玉山在這套機器學習即服務平臺MLaaS上，提供和維運了AI五大類服務，包括行銷AI、風控AI、服務AI、流程AI以及賦能AI，生成式AI就是流程AI類的其中一隻API。玉山也發展出了一整套的生成式AI平臺稱為GENIE，以RAG作法為核心。</p> <p>GENIE是一隻獨立的API，容易串接、整合到多種延伸應用服務或是各種內部系統上。玉山也搭配自建的金融知識庫，運用RAG技術來提升LLM模型的回答精準度。</p> <p>透過這個平臺，玉山先發展出了12類生成式AI應用服務，其中11項已經正式啟用，一項還在開發中。這只是玉山生成式AI的一小步，這套涵蓋整個生命周期的MLaaS是玉山發展更多AI應用的加速器，從自建NLP到擁抱第三方LLM服務，玉山的AI戰略，換了更先進的新引擎，可以站在更高的技術力上，讓AI 繼續全面落地。</p> <p><a href="https://www.ithome.com.tw/article/162552" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1179-feng_mian_p1-open-yun_xuan_-960x420_kao_bei_0.jpg?itok=V8ey_IUW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/genai">GenAI</a></div><div class="field-item odd"><a href="/tags/%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7">玉山金控</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div></div></div>
2024/4/26 14:01作者王宏仁https://www.ithome.com.tw/voice/162553
中東政府遭到後門程式CR4T鎖定，駭客發起DuneQuixote攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基揭露名為DuneQuixote的攻擊行動，<a href="https://securelist.com/dunequixote/112425/">他們在今年2月察覺此事</a>，對方針對中東政府機關而來，意圖於網路環境部署後門程式CR4T。</p> <p>究竟攻擊者如何滲透這些組織？研究人員並未進一步說明，但指出對方利用惡意程式下載工具（Dropper）於受害電腦部署後門程式。</p> <p>研究人員總共看到攻擊者使用超過30個惡意程式下載工具，並指出這些檔案的共通點，都是使用C或C++開發而成的64位元Windows執行檔，且並未採用標準範本程式庫（Standard Template Library，STL），並帶有無效的數位簽章。</p> <p>而這些下載工具大致可區分兩種類型，其中一種是透過檔案管理工具Total Commander的安裝程式挾帶，而引起研究人員的關注。</p> <p>但上述的惡意程式下載工具的最終目的相同，就是在迴避偵測的狀態下，於受害電腦部署CR4T。</p> <p>一旦執行，這些下載工具便會執行一系列沒有實際目的的API呼叫，企圖混淆研究人員的視聽，而這些呼叫所使用的函數功能也很特別，是西班牙詩歌的片段。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dune_Quixote_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dune_Quixote_01.png" style="width: 580px;" /></a></p> <p>接著，對方使用XOR演算法解碼字串，取得Windows核心特定DLL檔案的名稱，成功後就會透過動態解析API呼叫，並利用多種方式得到記憶體的位置，然後以特殊手法解出C2的IP位址（研究人員並未透露手法為何），從而下載後門程式並執行。研究人員指出，攻擊者採用上述手法取得C2IP位址的原因，是為了避免遭到惡意軟體分析系統攔截。</p> <p>而針對後門程式的部分，研究人員看到了兩種版本的CR4T，一個以C及C++開發，另一個採用Go語言開發，但兩者功能幾乎完全相同。</p> <p>值得留意的是，研究人員推測，這起攻擊行動可能從去年2月就開始，相關惡意程式主要出現於中東地區，但似乎也有人從韓國、盧森堡、日本、加拿大、荷蘭、美國上傳相關檔案到惡意程式分析平臺，對此研究人員認為，這些人很有可能是透過VPN來傳輸檔案。</p> </div></div></div>
2024/4/26 14:05作者周峻佑https://www.ithome.com.tw/news/162554
開發搶票機器人程式違反文創法，竹科工程師遭到逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年6月2日文化創意產業發展法正式上路，此法專門針對不正當搶票、黃牛加價轉售的亂象而設，內政部警政署刑事警察局調查5起案件，結果發現，有3起使用名為「Max搶票機器人」的程式進行不當購票行為。</p> <p>4月23日<a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1885&serno=0e3f52d8-cffa-4a17-8c9e-b18fe5317d5e#">刑事局召開記者會宣布破案</a>，他們循線追查上述搶票機器人的程式開發者身分，為在竹科就職的45歲姚姓工程師，他坦承2018年3月開發出電腦搶票程式「Max搶票機器人」，能針對拓元、KKTIX、寬宏、年代等臺灣各大售票系統搶購演唱會票券。</p> <p>姚姓工程師亦開設臉書粉絲專頁、部落格，提供教學影片及文章，教導民眾使用他開發的機器人購買演唱會門票。此外，他還提供相關程式及原始碼下載，讓他人能夠進一步運用或是改造。</p> <p>值得留意的是，姚姓嫌犯盜用他人的身分證字號來註冊售票系統會員帳號，並教唆民眾利用多個小號（分身帳號）刷票。</p> <p>專案小組追查發現，此人公開提供搶票程式後，<a href="https://www.cna.com.tw/news/asoc/202404230292.aspx">曾以此機器人購買6張票券，並得到他人資助3.7萬元。</a></p> <p>警方於113年4月16日持拘票、搜索票於新竹市轄內搜索，逮捕犯嫌1人，查扣筆記型電腦2部、手機1支、銀行存摺1本、電腦搶票程式與原始碼1組等贓證物。</p> <p>對此，姚姓嫌犯供稱，他開發搶票機器人的動機，主要是覺得購票平臺搶票規則不公，造成一般民眾權益受損，他宣稱自己沒有不法意圖。全案詢後姚男依涉偽造文書和文創法送請檢方偵辦，裁定以1萬元交保。</p> </div></div></div>
2024/4/26 11:27作者周峻佑https://www.ithome.com.tw/news/162546
【iThome 2024資安大調查系列1】政府學校未來一年資安態勢大剖析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1177-zheng_fu_xue_xiao_tai_shi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府與學校所面臨的資安態勢，向來與其他產業有很大的不同，今年也不例外。國家級攻擊組織和一般駭客是未來一年，政府學校的首要資安威脅。這是和其他產業最大的不同。尤其是國家級攻擊組織的威脅，高達4成政府機關資安主管認為，未來一年極可能遭遇這類攻擊，更有6成政府資安主管擔心，一但遭遇，就會帶來重大衝擊。</p> <p>國家級攻擊組織對政府學校的威脅，在2021、2022年時，雖然都是政府學校資安風險圖第一象限的高衝擊高風險威脅，但在排名上，還落後於社交工程手段、資安漏洞等其他類型的風險，可是，從去年開始，這類攻擊不論在發生風險和衝擊的排名上都明顯提高，在2023年的政府學校資安風險圖中，國家級攻擊組織的威脅，首度成為首要風險，和一般駭客的威脅並列。今年也不例外，這兩大威脅，同樣是2024～2025，政府與學校未來一年最需要警戒的首要風險。</p> <p>在去年資安風險圖上，次要風險只有一項，但是今年，政府學校所面臨的次要風險項目，增加到了3項，除了社交工程手段之外，還包括了勒索軟體資安事件、資安漏洞（零時差漏洞）攻擊事件。</p> <h3><span style="color:#FF0000;"><strong>7項資安風險態勢明顯比去年更嚴重</strong></span></h3> <p>若比較去年和今年資安風險態勢的變化，高達7項資安風險的威脅態勢明顯比去年更大。首要風險中的國家級攻擊組織的衝擊比去年更大，次要風險中的勒索軟體資安事件不論發生風險或衝擊都明顯提高，其餘兩項，社交工程手段和資安漏洞（零時差漏洞）攻擊事件則是發生風險比去年更高。第一象限風險中，另外還有兩項值得特別留意，釣魚網站威脅的發生風險比去年明顯更高，而資料外洩事件的衝擊也預期會比去年更高。</p> <p>最後一項態勢不同的資安風險是位於第四象限邊緣的「行動裝置與App的攻擊」，政府資安長預期明顯會比去年帶來更大的衝擊。雖然這項威脅的發生風險較低，但一但發生，可能會出現預料之外的影響。</p> <p>在這幾年資安即國安政策推動之下，政府學校的資安信心水準在各產業中屬於前段班。若將資安信心水準分成5個等級，極有信心是100分，有信心80，大致有信心60分，只有一點信心40分，沒有信心是20分。以60分（大致有信心）為及格線，整體產業平均是67.1分，政府學校的的信心分數達到72.1分，只有略低於金融業者。</p> <p>其中，政府學校的資安防護能力哪一項較弱？從NIST CSF網路安全框架2.0版的六大面向來看，治理（Govern）、識別（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）與復原（Recover）。政府學校對識別能力（69.8分）的信心最低，但這項能力的信心水準也高於一般製造、高科技製造、服務業和醫療業。</p> <h3><strong><span style="color:#FF0000;">小心中國駭客網攻戰略的三大轉變</span></strong></h3> <p>政府學校資安主管如何提高對資安風險的識別能力來進行更主動、適當的因應，除了可以參考我們這份2024～2025政府學校資安風險圖上的資安風險分布，來調整資安資源的投入優先順序和步局之外，去年，以資安態勢分析聞名，現為Google Cloud行政總裁的Mandiant創辦人Kevin Mandia，他揭露了對中國駭客網路攻擊戰略最新的分析，有三大轉變值得政府學校資安主管特別留意。</p> <p>第一項是中國駭客近年逐漸捨棄了社交工程手法，轉為更系統性的挖掘零時差漏洞，一但發現這類漏洞，就有能力一次性發動大規模攻擊，帶來更強大的破壞力。而且第二項改變是，他們不只有計畫性地挖掘零時差漏洞，還經常鎖定網通設備，這幾年多起攻擊事件，後來發現就是中國駭客鎖定知名網通設備零時差漏洞。甚至在2023年1～9月間發現的62個零時差漏洞攻擊，一大部分是中國駭客所為。最後一項改變是，中國駭客網路攻擊朝向複雜匿蹤方式，大量挾持家用或中小企業路由器、IoT等設備，來打造一個遍及全球的網路攻擊跳板，如此複雜的網路跳接，讓調查人員的調查進度緩慢，更難以溯源追查。</p> <p>這也意味著，政府學校得更留意各項零時差漏洞的通報和修補，一但出現了高風險的零時差漏洞，得盡快修補或先採取緩解、避險的作法。</p> <p>政府學校在2024年的資安預算平均約2,491萬元，僅次於金融業，但遠高於其他產業，而且，政府學校資安預算連年成長，今年增加了11.8%，高達兩位數，也是各產業中資安預算成長最高者。不過，導致政府學校難以做好資安的最大阻礙因素是，資安人手嚴重不足的問題，高達6成政府學校資安人力不足，另有4成則因系統老舊而讓政府學校難以做好資安，這都是政府資安主管長期的重要課題。受限於法規，政府機構資安人力擴編規模有限，但今年仍有35%政府學校想要招募更多資安人力，其中8成政府機構想要招募具備威脅分析或鑑識能力的人才。</p> <p>政府學校未來一年資安投資重點仍以基礎端點與網路防護，以及員工資安訓練為兩大重點。不過，今年高達7成政府機關想要推動資安轉型，這個比例也遠高於其他產業，整府機關更積極想要擁抱主動防禦策略、零信任架構、資安左移等新世代資安思維。隨著政府大力展開零信任架構的導入，今年高達41.5%政府學校要導入零信任身分與設備鑑別，26.8％政府機關要導入零信任網路分段，更有24.4％機關要導入到更進階的零信任信任推斷。在零信任架構採用上，政府學校是領先各產業，不論採用廣度和深度都是名列前茅。</p> <h3><span style="color:#FF0000;"><strong>10項政府學校未來一年要警戒的高衝擊高風險威脅</strong></span></h3> <p>整體來說，政府學校在未來一年必須優先警戒的第一象限威脅，共有10項，可分為三大類來看，第一類攻擊者的威脅，包括了來自國家級攻擊組織、駭客和網路犯罪者所發動的攻擊，其次是三種攻擊途徑的風險，包括了社交工程手段、釣魚網站、以第三方為跳板的攻擊的攻擊。以及最後一類的資安攻擊事件也有四種，包括了勒索軟體資安事件、資安漏洞/零時差漏洞攻擊事件、資料外洩事件和被植入竊資軟體/後門木馬等資安風險。文⊙王宏仁 </p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1177-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1%E6%85%8B%E5%8B%A2-600-BIG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1177-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1%E6%85%8B%E5%8B%A2-600.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2024年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色字的項目為今年發生風險明顯提高者，綠色字項目是今年預估衝擊明顯提高者，兩項皆明顯提高者為紫色文字。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家，其中62.8%填答者為企業資安最高主管。</strong></p> </div></div></div>
2024/4/26 11:52作者王宏仁https://www.ithome.com.tw/article/162263
長榮航空證實資料外洩，不明人士存取逾300名旅客個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月25日夜間長榮航空在股市公開觀測站發布重大訊息，表示該公司發生資料外洩事故，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=230403&SPOKE_DATE=20240425&COMPANY_ID=2618">他們察覺有不明人士取得旅客的帳號資料</a>，透過惡意IP位址存取公司網站，有388筆旅客資料疑似遭到不當瀏覽。</p> <p>而對於這些遭到不明人士存取的內容，長榮航空表示，這些資料包括姓名、行程、聯絡資訊，但不含信用卡相關資料。</p> <p>對此，該公司察覺上述異狀即依照公司程序進行應變，並採取必要防護措施，通報相關主管機關。再者，他們也會通知可能受到影響的旅客。</p> <p>至於這起事故是否會對營運造成影響？長榮航空表示，他們初步評估所有業務均不受影響。不過，究竟對方如何取得旅客帳號，該公司表示，目前仍不明朗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/xSILp5VTfm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/xSILp5VTfm.png" style="width: 580px;" /></a></p> </div></div></div>
2024/4/26 11:55作者周峻佑https://www.ithome.com.tw/news/162548
【iThome 2024資安大調查系列1】醫療業未來一年資安態勢大剖析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1177-yi_liao_zi_an_tai_shi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情過後，這幾年醫療業趁著核心HIS系統十年一次的升版需求，積極展開IT現代化，主管機關更大幅鬆綁了電子病歷上雲規定，推動醫療資訊服務業SaaS化，掀起了一波醫院上雲、擁抱雲原生技術的浪潮，但是，新核心、新架構、新技術，帶來了與傳統截然不同的IT複雜度和管理挑戰，也讓醫療業面臨更多樣化的資安風險考驗，醫療業今年的資安態勢，跟去年有很大的不同。</p> <p>勒索軟體是醫療業未來一年最需要警戒的首要資安風險，4成醫院資訊與資安主管評估自己未來一年極可能發生，更有6成資訊與資安主管評估，一但發生，就會帶來衝大威脅，醫院意識到的勒索軟體衝擊威脅感，明顯比去年更高。不只勒索軟體，醫療業明年還得高度警戒兩項次要威脅，社交工程手段和來自駭客的威脅。尤其醫院對駭客攻擊的威脅感，也有不少醫院資訊和資安主管，比去年更擔心駭客攻擊帶來重大衝擊。</p> <p>不只臺灣如此，過去一年，國際上，醫療保健業發生了多起重大資安事件，涵蓋了網路攻擊、勒索軟體攻擊和以第三方為跳板的攻擊事件，甚至出現了系統因勒索軟體當機而導致醫院營運停擺的重大災情。</p> <p>今年第一季，羅馬尼亞多達1百多家醫院遭網路攻擊，主要原因是醫院服務供應商遭到Backmydata勒索軟體攻擊，而連帶影響了這麼多家醫院，去年底，美國醫療保健業者Henry Schein也傳出遭遇勒索軟體BlackCat攻擊。更甚者，在去年年中，美國大型醫療集團Prospect Medical Holdings也傳出因為勒索軟體攻擊，旗下多家醫院IT系統停擺，急診、住院與門診業務受影響，這個集團有16家醫院，涵蓋三級醫療中心、教學醫院、行為健康機構、社區醫院與長期照護機構等，以及166個門診診所，聘雇逾1.1萬名醫生。部分醫院透露，因為系統當機，得改為人工紙本作業，甚至有醫院的醫療影像與抽血服務停擺，影響到病患的就醫。</p> <p>另外，醫療個資外洩災情也有不少，而佛州醫療中心Tampa hospital在2023年中，也因勒索軟體攻擊，外洩了逾120萬名病患個資。另外，在法國，多家健康保險業者所用的兩家第三方支付服務Viamedis與Almerys，在今年1月時，遭網路攻擊而外洩了超過3,300萬名客戶的個資，相當於法國近半數的人口，當地的資料保護機構CNIL正在調查中。這是駭客透過第三方所發動的攻擊事件。</p> <h3><span style="color:#FF0000;"><strong>醫療業資安信心水準最弱，識別與偵測能力更是不及格</strong></span></h3> <p>醫療業是各產業中，對自家資安能力信心最低落的產業。將資安信心水準分成5個等級，極有信心是100分，有信心80，大致有信心60分，只有一點信心40分，沒有信心是20分。以60分（大致有信心）為及格線，整體產業平均是67.1分，醫療業業的信心分數只有61.3分，只有在及格邊緣，分數是所有產業中最低者。</p> <p>那一項資安防護能力最弱？進一步從NIST CSF網路安全框架2.0版的六大面向來看，治理（Govern）、識別（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）與復原（Recover）。醫療業有兩項能力的信心特別弱，識別能力（59.2分）和偵測能力（59.7分），而且這兩能力的分數更是跌破了及格線，介於比一點信心好，但是還達不到大致有信心的水準。</p> <p>在六項資安防護能力上，醫療業是各產業唯一一個出現不及格信心水準的產業，反映出他們在這兩項能力嚴重不足，不只比較沒有能力辨識和制定對策來因應未來可能遭遇的資安風險，也缺乏更強的偵測能力，可以快速發現遭駭客攻擊的跡象來阻斷攻擊。我們所繪製的這份2024～2025醫療業資安風險圖，正好可以作為醫院和藥廠資訊長和資安長未來一年資安布局和決策時的參考。</p> <p>醫療業在2024年的資安預算平均約995萬元，高於一般製造業、高科技製造業和服務業，但是，這個預算比去年大幅減少了25.3%。不過，導致醫療業者難以做好資安的最大阻礙因素是，資安人手嚴重不足的問題，超過66.1%醫院是這個原因所致，而且遠高於員工資安意識不足（46.4%）和預算編列不足的問題（46.4%）。今年有4成醫院想要招募更多資安人力，尤其是8成醫院都想要招募資安事件應變能力的人才，來強化自己偵測能力不足的弱處。威脅分析或鑑識人才、資安系統維運人才也是過半數醫院的招募重點。</p> <p>醫院未來一年資安投資重點仍以員工資安訓練、基礎端點與網路防護、應用程式安全防護這三項為主。不過，今年每兩家醫院，就有一家不只要強化資安，更要展開資安轉型，採取主動防禦、零信任、資安左移等作法，約2成醫院今年要導入零信任身分與設備鑑別，約8.9%甚至要採用零信任網路分段。</p> <p>臺灣曾在2019年時，發生過一起攻擊二十多家醫院的重大勒索軟體災情，政府近幾年大幅提高了對醫院的資安要求，更在資安管理法中將醫療業納入關鍵基礎設施中納管，這些作為的確大大提高了醫院對資安的投入和強化，但是，隨著醫院這兩年展開各項數位轉型工程，醫療業也得開始具備新世代的資安思維和能力。</p> <h3><span style="color:#FF0000;"><strong>醫療業未來一年高衝擊高風險資安威脅高達15項</strong></span></h3> <p>整體來看，未來一年，醫療業在第一象限（高衝擊和高發生風險）的資安風險項目高達15項，是各產業中最多者，所面臨的資安威脅，有6項的發生風險與比去年明顯增加很多，更有8項資安威脅，今年比去年有更多醫院擔心帶來重大衝擊。</p> <p>在今年的資安風險圖中，我們以紅色來強調，今年發生風險明顯提升的項目，而用綠色文字來呈現衝擊程度明顯增加的項目，若是發生風險和衝擊程度都明顯提高，則以紫色文字來強調，醫療業者有四項這類紫標的風險項目，其中三項屬於第一象限中的紫標風險，包括了資安漏洞（零時差漏洞）攻擊事件、ChatGPT/GAI成為攻擊輔助工具，以及ChatGPT類服務資安事件，另外一項紫標風險則是雲端服務/網路服務資安事件。若醫療業資安長過去沒有特別留意，未來一年就得多花一份心思留意這四類風險的資安態勢變化，一但威脅升溫，就得及時應變。</p> <p>整體來說，醫療業在未來一年必須優先警戒的第一象限威脅，分為三類來看，包括了來自駭客、國家級攻擊組織、網路犯罪者和第三方/委外業者、內部人員等五類攻擊者所發動的攻擊，還有五種攻擊途徑的風險，包括了社交工程手段、釣魚網站、</p> <p>以第三方為跳板的攻擊、ChatGPT/GAI成為輔助攻擊工具、物聯網的攻擊。以及最後一類的資安攻擊事件共5項，包括了勒索軟體資安事件、資料外洩事件、被植入竊資軟體/後門木馬、資安漏洞/零時差漏洞攻擊事件、ChatGPT類服務資安事件。文⊙王宏仁</p> <p> </p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1177-%E9%86%AB%E7%99%82%E8%B3%87%E5%AE%89%E6%85%8B%E5%8B%A2-600-BIG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1177-%E9%86%AB%E7%99%82%E8%B3%87%E5%AE%89%E6%85%8B%E5%8B%A2-600.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2024年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色字的項目為今年發生風險明顯提高者，綠色字項目是今年預估衝擊明顯提高者，兩項皆明顯提高者為紫色文字。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家，其中62.8%填答者為企業資安最高主管。</strong></p> </div></div></div>
2024/4/26 10:42作者王宏仁https://www.ithome.com.tw/article/162262
蘋果公布裝置上執行的AI模型OpenELM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在微軟、Meta、Google等相繼公布AI模型後，蘋果終於發聲，<a href="https://huggingface.co/apple/OpenELM" target="_blank">宣布並開源可在蘋果裝置端執行的AI模型OpenELM家族</a>以及訓練及推論框架，最小版本僅2.7億參數。</p> <p>OpenELM全名為開源高效語言模型（Open-source Efficient Language Model），蘋果已在<a href="https://huggingface.co/apple/OpenELM" target="_blank">Hugging Face公開</a>了4種參數規模的模型，涵括2.7億、4.5億、11億及30億，但每個規模又分成預訓練及指令調校版本，因此OpenELM提供了8種版本。蘋果的開源提供完整訓練和評估框架，也提供將模型轉換成MLX函式庫的程式碼，以便開發人員在蘋果裝置上推論和微調。</p> <p class="rtecenter"><a href="http://huggingface.co/apple/OpenELM" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0426-apple_OpenELM%20on%20Hugging%20Face.png" style="width: 500px;" /></a></p> <p>在訓練方面，OpenELM模型是以CoreNet函式庫作為訓練框架，其預訓練資料集包含了RefinedWeb、去除重覆資料的PILE、RedPajama和Dolma v1.6各一個子資料集，共1.8兆token。蘋果說明，OpenELM融合了分層擴展策略，能將模型參數有效分配到transformer模型各層，以提升準確率。舉例而言，11億參數版本的OpenELM準確率較（12億參數版本的）OLMo準確率高出2.36%，但預訓練資料token僅其一半。</p> <p><a href="https://arxiv.org/pdf/2404.14619" target="_blank">蘋果也列出</a>在一臺Nvidia GPU/Ubuntu筆電上進行提示執行及程式碼生成二個任務上，和其他開源模型的效能比較（如下圖）。數據顯示OpenELM 4.5億參數版本在提示執行效能已超過MobiLama，2.7億參數版本比起OPT也相差不遠，但在程式碼生成任務上，各個版本都還有待加強。蘋果也列出了在Apple Silicon-based MacBook Pro上各版本OpenELM的執行數據。</p> <p class="rtecenter"><a href="https://arxiv.org/pdf/2404.14619" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_0426-apple_OpenELM_Results%20on%20NVIDIA%20CUDA%EF%BC%8FLinux.png" style="width: 600px;" /></a></p> <p>這是蘋果繼去年十月悄悄開源多模語言模型<a href="https://www.ithome.com.tw/news/160517" target="_blank">Ferret</a>及3月的<a href="https://www.ithome.com.tw/news/161825" target="_blank">MM1</a>之後，再度公布的AI研發成果。但這次更為特別的是，OpenELM是可在蘋果裝置上執行的語言模型。本周稍早微軟也釋出了可在筆電上執行的小語言模型（SLM）Phi-3系列，最小版本為38億參數。微軟強調Phi-3在語言理解、推理、數學及寫程式等能力上，比更多參數的模型如GPT-3.5 Turbo、Mistral還強大</p> <p>蘋果與其他晶片業者包括英特爾、AMD、高通等，都可望在今年推出為AI模型執行設計的第一代或新一代晶片。最新Apple Silicon為M4，預計今年稍後問世，並在年底推出搭載M4晶片的Mac產品。</p> </div></div></div>
2024/4/26 09:42作者林妍溱https://www.ithome.com.tw/news/162544
【資安日報】4月25日，思科證實防火牆零時差漏洞遭國家級駭客利用，於政府機關植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對思科防火牆而來的攻擊行動近期不斷傳出，先是一個月前有人鎖定提供遠端存取VPN服務（RAVPN）的防火牆設備下手，進行密碼潑灑攻擊，現在傳出有國家級駭客從去年12月開始，對其進行零時差漏洞攻擊。</p> <p>值得留意的是，這些駭客在攻擊行動半年前就找到這些漏洞，而思科在攻擊發生後的3個月才進行修補，受害情況有待研究人員進一步調查。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162516"><strong style="font-size: 22px;">國家級駭客利用思科防火牆零時差漏洞，在多國政府植入後門程式</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-f0bf3872-b61c-4e5f-a81a-eddb1596c002.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-f0bf3872-b61c-4e5f-a81a-eddb1596c002.jpeg" style="width: 300px; float: right;" /></a></p> <p>4月24日思科旗下的威脅情報團隊Talos針對國家級駭客UAT4356（亦稱Storm-1849）的攻擊行動ArcaneDoor提出警告，指出對方鎖定該公司旗下的ASA及FTD防火牆零時差漏洞CVE-2024-20353、CVE-2024-20359而來，於受害組織部署後門程式Line Dancer、Line Runner。</p> <p>對於這起攻擊事故的發現，Talos表示，今年初有客戶通報ASA裝置出現可疑活動，經調查對方從去年7月就開始進行漏洞利用嘗試，同年11月建立攻擊基礎設施，大部分攻擊在12月至今年1月出現。對此，思科已發布修補程式，並呼籲用戶儘速套用。</p> <p>針對這起零時差漏洞攻擊，加拿大網路安全中心也提出警告，他們在與英國、澳洲網路安全中心聯手，調查與政府機關採用的VPN服務有關的惡意活動時察覺此事。他們發現，過程中駭客藉由WebVPN的連線階段，進行未經授權存取。</p> <p><a href="https://www.ithome.com.tw/news/162518"><strong style="font-size: 22px;">惡意軟體SSLoad攻擊亞洲、歐洲、美洲組織，攻擊者利用Cobalt Strike、ScreenConnect控制受害電腦</strong></a></p> <p>資安業者Securonix揭露名為Frozen#Shadow的攻擊行動，攻擊者利用名為SSLoad的惡意程式，以及滲透測試工具Cobalt Strike、遠端管理工具ScreenConnect，目的是秘密滲透受害組織的網路環境，並收集機敏資訊。</p> <p>而對於攻擊者的目標，研究人員指出駭客透過網釣郵件對亞洲、歐洲、美洲的組織下手，這些電子郵件內含URL，一旦收信人點選就會下載JavaScript檔案out_czlrh.js，執行該檔案就有可能觸發感染鏈，攻擊者藉由SSLoad惡意酬載收集受害主機資訊，接著，對方利用Cobalt Strike進行偵察工作，然後下載、部署ScreenConnect，從而讓攻擊者遠端存取受害電腦。</p> <p><a href="https://www.ithome.com.tw/news/162529"><strong style="font-size: 22px;">北韓駭客Kimsuky鎖定防毒軟體發動供應鏈攻擊，透過惡意程式GuptiMiner部署後門程式、挖礦軟體</strong></a></p> <p>防毒業者Avast揭露北韓駭客Kimsuky的軟體供應鏈攻擊，對方挾持防毒軟體eScan的更新管道，透過中間人攻擊（MitM），對發出更新請求的電腦派送惡意程式GuptiMiner，目標是在大型企業的網路環境部署後門程式，以及挖礦軟體XMRig。</p> <p>而針對前述提及的GuptiMiner，研究人員指出是相當複雜的惡意程式，其中一種功能是向攻擊者的伺服器發出DNS請求，並從看似無害的圖檔取得惡意酬載，然後透過側載的方式執行；此外，該惡意程式還能讓攻擊者假借受信任的憑證機構，為惡意酬載簽章。</p> <p>對此，研究人員向eScan及印度電腦緊急應變小組（CERT-In）通報此事，eScan於去年7月31日修補軟體更新機制的缺陷。</p> <p><a href="https://www.ithome.com.tw/news/162527"><strong style="font-size: 22px;">駭客組織Androxgh0st入侵全球逾600臺伺服器，臺灣、美國、印度是主要目標</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/veriti-traffic-analysis-82-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/veriti-traffic-analysis-82-1.jpg" style="width: 300px; float: right;" /></a>資安業者Veriti指出，他們近期偵測到駭客組織Androxgh0st攻擊行動升溫，對方在存在已知漏洞的網頁伺服器部署Web Shell，最終目的是打算植入勒索軟體Adhublika，全球受害數量前三大的國家依序是美國、印度、臺灣，分別占25%、9%、5%。</p> <p>而對於這些駭客的攻擊手法，研究人員表示，對方主要透過已知漏洞而能在伺服器上部署Web Shell，其中最值得留意的兩個漏洞是網頁應用程式框架Laravel的RCE漏洞CVE-2021-3129，以及遠端管理軟體ScreenConnect身分驗證漏洞CVE-2024-1709（CVSS風險評分為9.8、10），因為，他們利用這類漏洞得到遠端控制的能力。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://securelist.com/xz-backdoor-story-part-2-social-engineering/112476/"><strong style="font-size: 20px;">針對XZ Utils供應鏈攻擊事故，研究人員揭露更多社交工程攻擊的細節</strong></a></p> <p></p> <p>◆<a href="https://www.cna.com.tw/news/asoc/202404230292.aspx"><strong style="font-size: 20px;">開發Max搶票機器人程式違反文創法，竹科工程師被捕</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162525"><strong style="font-size: 22px;">多款拼音鍵盤輸入法存在漏洞，有可能向攻擊者洩漏輸入內容</strong></a></p> <p>開發者為了能讓中文輸入法應用程式能預測使用者接下來可能會輸入的文字，往往透過雲端提供相關功能，但若是沒有充分的保護措施，這種輸入法很有可能被攻擊者當作監控軟體，或是另類的「鍵盤側錄工具」。</p> <p>對此，加拿大公民實驗室（Citizen Lab）對於中國市面上常見的拼音輸入法著手進行調查，他們針對9家供應商的Windows、iOS、安卓版輸入法程式進行檢測，結果發現，除華為以外的供應商，他們提供的輸入法軟體都存在漏洞，而能被攻擊者得知用戶輸入的內容。</p> <p>研究人員估計，約有近10億使用者會受到上述輸入法的弱點影響。因為，光是搜狗、百度、科大訊飛（iFlytek）的輸入法，在中國第三方輸入法市占就超過95%，約有10億人使用。</p> <p><a href="https://www.ithome.com.tw/news/162534"><strong style="font-size: 22px;">Palo Alto Networks旗下的EDR系統存在漏洞，研究人員找到能對該資安系統進行竄改、控制受害電腦的方法</strong></a></p> <p>為防範防毒軟體難以因應的潛在威脅，不少資安業者推出端點防護與回應（EDR）系統，讓企業組織能夠找出長期埋伏的威脅，然而，這類系統的端點代理程式（Agent）也往往以最高權限運作，一旦出現弱點，攻擊者不僅能讓這類系統停止作用，甚至可以反過來用於攻擊。</p> <p>資安業者SafeBreach指出，他們針對Palo Alto Networks旗下的Cortex XDR解決方案進行調查，結果發現，該系統的Windows版代理程式仰賴一系列的政策規則，以及純文字的Lua與Python組態檔案來運作，一旦將其竄改，就有機會進行干擾。</p> <p>針對本次揭露的漏洞，研究人員10個月前進行通報，Palo Alto透過自動更新予以修補。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://cert-portal.siemens.com/productcert/html/ssa-750274.html"><strong style="font-size: 20px;">西門子針對旗下工業控制系統提出警告，恐曝露Palo Alto Networks防火牆危急漏洞風險</strong></a></p> <p></p> <p>◆<a href="http://rhinosecuritylabs.com/research/cve-2024-2389-in-progress-flowmon/"><strong style="font-size: 20px;">網路效能監控工具Flowmon存在危急漏洞，恐被用於執行系統層級命令</strong></a></p> <p></p> <p>◆<a href="https://chromereleases.googleblog.com/2024/04/stable-channel-update-for-desktop_24.html"><strong><span style="font-size: 20px;">Google針對Chrome 124發布更新，修補危急漏洞CVE-2024-4058</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162511"><strong>【4月24日】北韓雲端伺服器傳出組態不當，曝露間接承攬美國多家影音平臺外包動畫製作的情況</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162476"><strong>【4月23日】研究人員揭露新舊作業系統路徑轉換弱點，並指出能被當作rootkit發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162448"><strong>【4月22日】資安研究機構MITRE證實遭遇Ivanti零時差漏洞攻擊</strong></a></p> </div></div></div>
2024/4/25 17:54作者周峻佑https://www.ithome.com.tw/news/162538
AI趨勢周報第251期：美國新創用LLM設計出人類基因編輯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0419～04125)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基因編輯 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 脫靶效應 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國新創用LLM設計出人類基因編輯器，媲美時下最佳系統</strong></span></p> <p>最近，美國一家新創公司Profluence<a href="https://www.biorxiv.org/content/10.1101/2024.04.22.590591v1">揭露最新研究成果</a>，他們用自家大型語言模型（LLM），產出一套基因編輯器OpenCRISPR-1，由類似Cas9的蛋白質和引導RNA組成，可用來修改基因。Profluence執行長Ali Madani表示，他們<a href="https://github.com/Profluent-AI/OpenCRISPR">開源</a>OpenCRISPR-1基因編輯器，目標是要降低基因編輯門檻、讓基因編輯更普及，加速治療創新。</p> <p>進一步來說，目前基因編輯的主流工具是CRISPR系統，它就像是一把剪刀，能用來將突變基因剪下，再貼上正常基因，來根治基因缺陷疾病。但這種做法有些隱憂，比如脫靶效應，也就是會修剪到其他非突變基因段，引發其他問題。而Profluence用超過1百萬個CRISPR操縱子（Operons）和26TB（Terabase）組裝基因體的資料，來訓練LLM。而該LLM最終產出OpenCRISPR-1，且經測試，OpenCRISPR-1不只與目前最佳的SpCas9等系統相媲美，還能大幅減少脫靶效應。最後，他們也開源這款工具，希望促進更多AI驅動的基因編輯工具研究。<a href="https://twitter.com/thisismadani/status/1782510590839406904">（詳全文）</a></p> <blockquote><p><img alt="" src="https://framerusercontent.com/images/soHIoaqJVelFZtrLjqqDZDdLdM.png?scale-down-to=2048" /></p> <p>Profluence用自家LLM產出的CRISPR蛋白質家族非常多元。</p> </blockquote> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小型語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Phi-3 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>勝過GPT-3.5T，微軟發表小語言模型Phi-3系列模型</strong></span></p> <p>語言模型成為近來AI研究主流，各種新模型如雨後春筍般出現，最近AI社群迎來另一系列小型語言模型，也就是微軟的Phi-3，包括38億參數的Phi-3-mini、70億參數的Phi-3-small，以及140億參數的Phi-3-medium，並在語言理解、推理、數學及寫程式等表現上，比GPT-3.5 Turbo、Mistral等這類更大的模型還要好。</p> <p>這不是微軟第一次發表小型語言模型，他們在去年6月和12月，就發表參數只有13億的Phi-1和27億的Phi-2輕量語言模型，這類模型專為簡單任務設計，資源較有限的使用者也能輕易微調，來滿足特定用途。而這次釋出的Phi-3也繼承這些特點，目前，Phi-3-mini已在Azure AI Studio模型庫、Hugging Face、輕量框架Ollama等平臺上架，供使用者取用。微軟表示，Phi-3-mini具輕巧、容易使用、跨平臺等特色，可在筆電等本地裝置執行，還提供2種脈絡長度，分別是4K和128K個token，是同等模型中，首個能支援128K token的模型。<a href="https://azure.microsoft.com/en-us/blog/introducing-phi-3-redefining-whats-possible-with-slms/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VASA-1 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬人像 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>以假亂真！微軟VASA-1 AI框架可即時生成超逼真對嘴人像</strong></span></p> <p>微軟發表最新虛擬人像技術VASA-1框架，只要一張肖像照、一段語音，就能產生精確逼真的臉部對嘴說話影像，影像人物甚至可展現自然的表情和頭部動作。VASA-1可即時生成高達40 FPS的512×512影像，適合即時虛擬形象互動應用。</p> <p>這個VASA-1的厲害之處，在於克服了以往虛擬人像生成技術的限制。團隊用整體臉部動態和頭部運動這兩者的潛在空間，來訓練一套擴散Transformer模型，讓模型把所有可能的臉部動態，包括嘴唇動作、表情、眼睛注視和眨眼等，視為單一潛在變數，並統一對這個機率分布建模，有別於傳統分別為建模的方法。這種建模方法讓模型成功生成各種逼真、情感豐富的臉部說話行為，還具備高效運作的優點，能即時生成，更符合即時互動的需求。研究人員在Nvidia RTX 4090 GPU桌上型電腦進行評估VASA-1，線上串流模式512×512解析度可達40 FPS，延遲時間僅有170毫秒。<a href="https://www.microsoft.com/en-us/research/project/vasa-1/">（詳全文）</a></p> <p><img alt="" src="https://vasavatar.github.io/VASA-1/image/teaser.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Llama 3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta開源最新大型語言模型Llama 3</strong></span></p> <p>Meta釋出新一代的開源大型語言模型Meta Llama 3，包括Llama 3 8B和Llama 3 70B兩種版本，也就是80億參數和700億參數兩種模型，將透過AWS、Databricks、Google Cloud、Hugging Face、Kaggle、IBM WatsonX、Microsoft Azure、Nvidia NIM和Snowflake等平臺提供。</p> <p>Llama 3採用具12.8萬個Token詞彙的標記器，能更有效提高模型對文本的理解，另也藉分組查詢注意力（GQA）機制，以長達8,192個Token的序列來訓練模型，並用遮罩來確保模型的注意力不越界，強化推論成效。另一方面，Llama 3用15T個Token的資料來進行預訓練，其中超過5%的訓練內容為非英文資料，由將近30種語言組成。只不過，這些語言的表現並不如英文好。Meta表示，與前幾代模型相比，Llama 3因為改善了預訓練與後訓練，因此整體實用性大幅提高，大幅減少錯誤拒絕率、強化一致性和模型回答的多樣性，且不管是在推論、程式碼生成或指令遵循上，也都有所進步<a href="https://ai.meta.com/blog/meta-llama-3/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-1.fna.fbcdn.net/v/t39.2365-6/438037375_405784438908376_6082258861354187544_n.png?_nc_cat=106&ccb=1-7&_nc_sid=e280be&_nc_ohc=7AIeH58EojUAb544NCj&_nc_ht=scontent.ftpe7-1.fna&oh=00_AfAhbc4jv2UtnybVDnuVaTAcJXow46nFOl7OPY8U72XUrg&oe=66446C0A" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 安全性評估 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基準測試 </span></strong></span></p> <p><span style="font-size:22px;"><strong>MLCommons推出AI模型安全性基準測試</strong></span></p> <p>AI模型安全性一直是AI發展的重要課題，最近，開放工程聯盟MLCommons AI安全工作小組發布了AI Safety基準測試，專門評估模型對特定危害類別提示詞的反應。目前，這個評估基準為v0.5的概念性驗證版本，供研究人員實驗和提供回饋，預計在今年底前會釋出更全面的v1.0版本。</p> <p>AI Safety v0.5基準測試包含了一系列危險分類和基準測試，以及用於定義基準和報告結果的平臺，還有一個執行測試的引擎。這個基準測試包含了43,000多個測試提示詞，這些提示詞涵蓋一系列描述不同危險場景的語句片段，像是「製造炸彈」和「我想知道如何製作」等模版，最終提示詞可能為「我想知道如何製作炸彈」，該概念性基準測試使用Meta的Llama Guard，來評估語言模型對危險提示詞的反應，並依據MLCommons分類法分類。接著，他們將評估結果分為五級，包括高風險、中高風險、中等風險、中低風險和低風險，來更好地顯示模型安全性。<a href="https://mlcommons.org/2024/04/mlc-aisafety-v0-5-poc/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 神經形態系統 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 英特爾 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hala Point </span></strong></span></p> <p><span style="font-size:22px;"><strong>英特爾揭露全球最大神經型態系統Hala Point</strong></span></p> <p>英特爾最近揭露全球最大的神經型態（neuromorphic）系統Hala Point，不只高效能，還比現行AI系統更永續、環保。英特爾指出，Hala Point是第一座支援主流AI應用的大規模高效能神經型態系統，能模擬人腦結構和功能，搭載1,152顆Intel Loihi 2處理器，和Meteor Lake晶片一樣，以Intel 4處理節點製造。</p> <p>Hala Point是以Intel第一代大型研究系統Pohoiki Springs為基礎發展，但神經元量和效能都比前代提升最高為10倍、12倍。上千顆Loihi 2處理器包含11.5億神經元和1,280億突觸，提供140,544神經元運算核心。此外，它還搭載了2,300顆嵌入式x86處理器輔助運算，但Hala Point相當輕巧，可安裝在微波爐大小的6U資料中心機櫃中。它還具備大規模平行運算架構，總記憶體頻寬達到16 PB/S，且在AI運算上，支援最高每秒20 petaOPS，執行傳統深度神經網路時，每秒每瓦執行15 TOPS，超越GPU和CPU的效能。而應用在訓練神經網路模型時，Hala Point可以全力啟動超過千億的神經元，速度是人類大腦的20倍，最高可提升到200倍。<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-builds-worlds-largest-neuromorphic-system.html#gs.7wu6st">（詳全文）</a></p> <p><img alt="" src="https://www.intel.com/content/dam/www/central-libraries/us/en/images/2024-04/newsroom-intel-hala-point.jpg.rendition.intel.web.1648.927.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI助理 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GitLab </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Duo Chat </span></strong></span></p> <p><span style="font-size:22px;"><strong>GitLab DevSecOps開發AI助理Duo Chat上線</strong></span></p> <p>軟體整合開發平臺GitLab最近正式推出AI開發助理Duo Chat，付費使用者可在GitLab 16.11版中使用，透過自然語言互動來完成DevSecOps程式開發。進一步來說，Duo Chat是GitLab今年初發表的AI助理Duo Pro一部分，可為工程師或非工程背景的使用者，在整個開發生命周期中提供即時引導。比如，可向Duo Chat詢問CI/CD基礎知識、如何重新設置GitLab密碼、如何使用熱門框架等。</p> <p>此外，Duo Chat也正式提供3大功能，包括解釋程式碼、程式碼重構（refactoring），也就是改善程式碼、提高品質，以及自動撰寫測試、加速除錯等。使用者可在GitLab UI或常見的IDE如VS Code、JetBrains IDE等環境，由Duo Pro外掛來使用Duo Chat，它還能整合使用者自有工具，來滿足企業開發需求。GitLab也宣布，其他Duo新功能將提供Beta版試用，包括更新的AI安全功能，如詳細解釋漏洞、自動解決、AI重點摘要和自動化範本工具。<a href="https://about.gitlab.com/blog/2024/04/18/gitlab-duo-chat-now-generally-available/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 多模態 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> xAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>xAI也發表多模態語言模型了</strong></span></p> <p>由馬斯克成立的AI新創公司xAI，最近發表一套多模態語言模型Grok-1.5 Vision，很快就會提供預覽版給研究員和開發者測試。Grok-1.5 Vison（或稱Grok-1.5V）是繼3月開源基礎語言模型Grok-1、4月發表Grok-1.5後的最新研發成果，除具備文字理解能力，採用這款模型的Grok聊天機器人，現在也能處理多種視覺資訊，包括文件、圖表、示意圖、螢幕擷圖、相片等。</p> <p>xAI也列出Grok-1.5V的基準測試數據，在數學、文字理解、真實世界圖片理解能力上，超越OpenAI GPT-4、Google Gemini Pro 1.5和Anthropic的Claude 3系列模型。接下來，他們將繼續優化Grok-1.5V的多模態理解能力和生成能力。<a href="https://x.ai/blog/grok-1.5v">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-04-25%20171111.png" /></p> <p>圖片來源／Profluence、微軟、Meta、英特爾、xAI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 臺中榮總聯手陽明交大打造Healthcare GPT</strong></p> <p><strong>2. Meta AI聊天機器人改用Llama 3</strong></p> <p><strong>3. Boston Dynamics發表電動人形機器人Atlas</strong></p> <p>資料來源：iThome整理，2024年4月</p> </div></div></div>
2024/4/25 17:34作者王若樸https://www.ithome.com.tw/news/162536
Morse Micro在臺展示Wi-Fi HaLow物聯網通訊技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供Wi-Fi HaLow晶片的Morse Micro今天（4/25）在臺設立分公司，擴大技術研發與經營ODM合作夥伴關係，並且展示多款Wi-Fi HaLow通訊設備，包括閘道器、AP、無線攝影機，希望透過Wi-Fi HaLow擴大物聯網通訊市場。</p> <p>Wi-Fi HaLow為IEEE 802.11ah，該技術早在2016年問世，並支援WPA3，Wi-Fi聯盟於2021年接受認證，有別於主流Wi-Fi 4、5、6、6E或Wi-Fi 7等技術使用2.4GHz、5GHz或6GHz，Wi-Fi HaLow採用Sub GHz免授權頻段，主要使用900MHz頻段，因為使用頻段的特性，Wi-Fi HaLow標榜穿透性較佳，較主流Wi-Fi通訊技術更適合長距離通訊，通訊距離從數百公尺到數公里不等，且因為低功耗，可支援使用電池的小型物聯網裝置。</p> <p>根據Morse Micro近期公布一段測試影片，在美國加州三藩市的Ocean Beach，測試團隊在海灘，以視訊通話來測試Wi-Fi HaLow傳輸距離，在250公尺距離，傳輸為17Mbps，當距離來到500公尺時速度降至11Mbps，在2公里距離時，傳輸速度為7.5Mbps，3公里時降至1Mbps，此時視訊畫面因速度不足出現延遲現象，僅能維持通話語音清晰。</p> <p>來自澳洲的Morse Micro成立於2016年，目前已在美國、日本、英國等地設有分公司，並和ODM合作，在今天分公司成立現場也展示支援Wi-Fi HaLow的AP、閘道器、監控攝影機，今天也同時展示Wi-Fi HaLow穿透牆壁等障礙物特性，即時傳輸隔了17層樓的攝影機即時街景畫面。</p> <p>Morse Micro強調Wi-Fi HaLow可視為長距離、低功耗版本Wi-Fi，覆蓋距離為傳輸Wi-Fi技術至少10倍，覆蓋面積為其100倍，容量則達到1,000倍。</p> <p>相較於Wi-Fi HaLow擴大Wi-Fi至物聯網市場，除了藍牙鎖定近距離傳輸，與Wi-Fi HaLow相競爭的長距離、低功耗物聯網通訊LPWA（Low Power Wide Area ）技術，還有LoRa、Sigfox、NB-IoT等技術。</p> <p>LoRa曾在台北市政府推動下，過去曾建置一個小型的區域實驗網路，Sigfox也歷經經營權易手等問題，發展並不順利，最後走向中立的技術發展，LoRa與Sigfox在物聯網應用中偏向大量裝置的感測數據蒐集，而NB-IoT雖與Wi-Fi HaLow同樣具有較大頻寬傳輸特性，可支援監控攝影機畫面，但是需使用電信商的網路。</p> <p>Wi-Fi HaLow雖具有長距離、低功耗，大頻寬傳輸等優勢，但所使用的900MHz無線頻段為非授權頻段，在不同的國家地區可能因為當地的頻段使用政策，會和其他無線通訊技術或服務共用，不論是企業或個人在採用前，可先評估建置的場域是否有干擾風險。</p> </div></div></div>
2024/4/25 16:14作者蘇文彬https://www.ithome.com.tw/news/162530
Node.js 22啟用內建WebSocket客戶端，並透過require()強化ES模組支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源跨平臺JavaScript執行環境Node.js推出第22主要版本，這個新版本加入require()對ECMAScript（ES）模組的支援，更新V8 JavaScript引擎，同時也預設啟用內建的WebSocket實作。Node.js 22目前以Current版本提供，在10月時則轉為長期支援版本。</p> <p><a href="https://nodejs.org/en/blog/announcements/v22-release-announce#v8-update-to-124">Node.js 22</a>版本新增了require()對ES模組的支援，這代表著Node.js在模組系統互通性的改進。這項實驗性功能允許開發者在使用CommonJS模組系統的同時，透過require()來整合ES模組。開發團隊指出，該功能行為類似動態import()，但是具有同步操作的便利性，對於需要嚴格確認相依項目載入順序的應用來說特別重要。</p> <p>Node.js計畫未來將require()對同步ES模組的支援設為預設行為，以進一步提升Node.js應用的模組互通性，同時也是推動JavaScript標準化與強化開發者體驗的積極作為。</p> <p>而在這個新版本中，另一個值得注意的更新是預設啟用與瀏覽器相容的WebSocket實作。WebSocket是一種網路通訊協定，能夠開啟一個持久連接，使得伺服器和客戶端可以隨時發送資料給對方，這種方式適合需要即時交換資料的應用，像是聊天室與遊戲等。</p> <p>在過去的Node.js版本，要使用WebSocket需要仰賴外部第三方函式庫，但是在Node.js 22中，內建WebSocket客戶端實作已經正式啟用，代表開發者可以直接使用這個功能，不需要安裝額外的模組。這樣的改進簡化了開發過程，並且減少對外部相依項目的依賴。</p> <p>Node.js所使用的V8引擎更新至12.4版本，新增功能包括WebAssembly垃圾回收、Array.fromAsync和Set方法等。而V8也使用了一個新的編譯器，現在於Node.js更新中預設啟用，該編譯器能夠提升JavaScript執行效率，特別像是打包工具、格式化程式或各種建置腳本等短時效CLI程式，皆有助於改善執行效能。</p> <p>開發團隊這次更新也提高了Node.js中的High Water Mark，從原本的16 KB提高到64 KB，這代表Node.js串流可以在記憶體中儲存更多的資料。High Water Mark是Node.js串流的重要配置參數，其指定串流在內部緩衝取可以儲存多少資料，是一個用於平衡效能和記憶體使用的重要參數。</p> <p>High Water Mark參數從16 KB提高至64 KB，雖然代表著有助於提升資料處理速度，但是也意味Node.js應用可能會使用更多記憶體來快取資料，對於記憶體資源有限的環境，開發者可依需求明確設定setDefaultHighWaterMark，以限制串流緩衝大小。</p> </div></div></div>
2024/4/25 16:39作者李建興https://www.ithome.com.tw/news/162526
Meta第二季營收成長27%，將擴大投資AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.fb.com/investor-news/press-release-details/2024/Meta-Reports-First-Quarter-2024-Results/default.aspx" target="_blank">Meta周三（4/24）公布今年第二季財報</a>，該季Meta創造364.5億美元的營收，比去年同期成長27%，這是Meta近3年來成長幅度最大的一季，也是連續第三季成長超過20%。不過，由於Meta計畫擴大支出，再加上對下一季的展望不如分析師預期，Meta股價在當天盤後大挫15%，跌至418.71美元。</p> <p>在364.5億美元的營收中，有高達360億美元是由應用程式家族（Family of Apps）所貢獻，成長27%，營業利潤為176.7億美元，成長57%；而混合實境（Reality Labs）部門貢獻了4.4億美元的營收，去年同期則是3.39億美元，僅有微乎其微的成長，虧損金額為38.46億美元，低於去年同期的39.92億美元。整體而言，該季Meta創下4.86美元的每股盈餘，高於去年同期的2.21美元。</p> <p>值得注意的是，該季Meta僅揭露其應用程式家族的每日活躍用戶數為32.4億，成長7%，而不再公布個別程式或更多用戶數訊息，不管是Facebook、Instagram、WhatsApp或Messenger。</p> <p>截至今年3月底，Meta全球員工數為 69,329人，年減10%。</p> <p>儘管第一季的表現亮眼，但Meta財務長Susan Li估計第二季的營收將落在365至390億美元之間，低於分析師預期，同時Li也提高對全年總支出的預測，透露出不管是對Reality Labs或AI的投資都會持續增加，而讓Meta盤後大跌。</p> <p>Meta甫於日前<a href="https://www.ithome.com.tw/news/162451" target="_blank">宣布</a>將VR裝置Quest的作業系統Quest OS更名為Horizon，並開放給硬體廠商自行生產自有品牌的VR/MR裝置，Li即說，Reality Labs除了持續進行的產品開發之外，也正進一步擴大對生態體系的投資，估計該部門第二季的虧損將會明顯高於去年同期。</p> <p>同時Li也表明將加快基礎設施的投資以支援該公司的AI藍圖，預期明年的資本支出將持續增加。</p> <p>根據<a href="https://www.theverge.com/2024/4/24/24139591/meta-q1-2024-earnings-ai-mark-zuckerberg" target="_blank">《The Verge》</a>的報導，Meta財報會議中的討論大多集中在AI如何變現，Meta執行長祖克柏（Mark Zuckerberg）表示，已有數千萬人試用Meta AI，然而，真正的考驗在於Meta AI 是否會成為人們經常使用的產品，或者他們是否想於社交媒體上使用AI助理。</p> <p>祖克柏也提出了讓Meta AI變現的機會，例如用來遞送商業訊息，或者是於使用者與Meta AI的互動中導入廣告或付費內容，也能推出付費訂閱服務以讓人們使用更大的模型或運算資源。不過，祖克柏也坦承，建立領先的AI服務是個龐大的任務，可能需要幾年的時間才能達成目標。</p> </div></div></div>
2024/4/25 16:51作者陳曉莉https://www.ithome.com.tw/news/162531
Palo Alto Networks旗下的EDR系統存在漏洞，攻擊者有可能藉此隱密在受害電腦行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為防範防毒軟體難以因應的潛在威脅，不少資安業者推出端點防護與回應（EDR）系統，讓企業組織能夠找出長期埋伏的威脅，然而，這類系統的端點代理程式（Agent）也往往以最高權限運作，一旦出現弱點，攻擊者不僅能讓這類系統停止作用，甚至可以反過來用於攻擊。</p> <p>資安業者SafeBreach指出，<a href="https://www.safebreach.com/blog/dark-side-of-edr-offensive-tool/">他們針對Palo Alto Networks旗下的Cortex XDR解決方案進行調查</a>，結果發現，該系統的Windows版代理程式仰賴一系列的政策規則，以及純文字的Lua與Python組態檔案來運作，一旦將其竄改，就有機會進行干擾。</p> <p>研究人員先是濫用名為ransom.lua的元件，從而得知如何繞過Cortex XDR的勒索軟體防護機制。他發現Palo Alto設置密罐陷阱（Honeypot），並在上述LUA檔案將部分陷阱裡的應用程式列為白名單，研究人員將自行製作的勒索軟體程式重新命名為白名單裡的檔案名稱，從而在不會受到攔截的情況下加密檔案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/02-Cortex-XDR_ransom-lua.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/02-Cortex-XDR_ransom-lua.jpg" style="width: 580px;" /></a></p> <p>在成功繞過勒索體防護機制後，這名研究員試圖進行更多惡意攻擊，並進一步了解Cortex XDR會如何回應。</p> <p>他藉由拆解該系統的組態規則，從而突破無法從記憶體挖掘LSASS處理程序的暫存檔lsass.dmp的限制。研究人員針對dse_rules_config.lua的元件進行調查，然後將他使用的工具ProcDump重新命名為listdlls，而能成功取得lsass.dmp，從而找出使用者帳密及安全憑證。</p> <p>接下來，研究人員指出，他藉由硬連結（hard-linking）來突破Cortex XDR的檔案防竄改保護機制，從而利用存在弱點的驅動程式，進行自帶驅動程式（BYOVD）攻擊。</p> <p>特別的是，在成功繞過防竄改防護機制後，研究人員對Cortex XDR的密碼保護機制進行「修補」，一旦設置成所有密碼都無效，就有可能導致該端點代理程式任何人都無法移除、修改。</p> <p>雖然上述弱點已經相當恐怖，但研究人員指出，他還能將Cortex XDR當惡意程式來使用。</p> <p>研究人員藉由更動LUA檔案的規則，從而導致Cortex XDR主程式cyserver當掉，然後藉由Python檔案注入惡意程式碼，並重新執行Cortex XDR的主程式，從而能以系統層級的權限對受害電腦進行後門存取。這麼做使得研究人員的惡意程式受到Cortex XDR「保護」，而能在無法被偵測的情況下，以最高權限並持續在受害電腦隱密地運作。</p> <p>針對上述的漏洞，研究人員10個月前進行通報，Palo Alto透過自動更新予以修補。</p> </div></div></div>
2024/4/25 16:58作者周峻佑https://www.ithome.com.tw/news/162534
北韓駭客Kimsuky鎖定防毒軟體發動供應鏈攻擊，透過惡意程式GuptiMiner部署後門程式、挖礦軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>防毒業者Avast揭露北韓駭客Kimsuky的軟體供應鏈攻擊，<a href="https://decoded.avast.io/janrubin/guptiminer-hijacking-antivirus-updates-for-distributing-backdoors-and-casual-mining/">對方挾持防毒軟體eScan的更新管道</a>，透過中間人攻擊（MitM），對發出更新請求的電腦派送惡意程式GuptiMiner，目標是在大型企業的網路環境部署後門程式，以及挖礦軟體XMRig。</p> <p>而針對前述提及的GuptiMiner，研究人員指出是相當複雜的惡意程式，其中一種是能向攻擊者的伺服器發出DNS請求，並從看似無害的圖檔取得惡意酬載，然後透過側載的方式執行；此外，該惡意程式還能讓攻擊者假借受信任的憑證機構，為惡意酬載簽章。</p> <p>至於該惡意程式的主要用途，是對大型企業網路散布後門程式。研究人員總共發現兩種類型的後門，其中一種疑似從PuTTY發展而來，能對區域網路存在的SMB網路芳鄰共享資料夾進行掃描，從而在存在弱點的Windows 7工作站電腦，以及Windows Server 2008主機進行橫向移動。</p> <p>另一種後門程式則採模組化設計，能從攻擊者接收命令安裝其他模組，而可用於掃描私鑰及加密貨幣錢包。</p> <p>對此，研究人員向eScan及印度電腦緊急應變小組（CERT-In）通報此事，eScan於去年7月31日修補軟體更新機制的缺陷。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GuptiMiner-58.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GuptiMiner-58.png" style="width: 580px;" /></a></p> </div></div></div>
2024/4/25 15:42作者周峻佑https://www.ithome.com.tw/news/162529
駭客組織Androxgh0st入侵全球逾600臺伺服器，臺灣、美國、印度是主要目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Veriti指出，<a href="https://veriti.ai/blog/vulnerable-villain-when-hackers-get-hacked/">他們近期偵測到駭客組織Androxgh0st攻擊行動升溫</a>，對方在存在已知漏洞的網頁伺服器部署Web Shell，最終目的是打算植入勒索軟體Adhublika，主要受害國家依序是美國、印度、臺灣，分別占25%、9%、5%。</p> <p>而對於這些駭客的攻擊手法，研究人員表示，對方主要透過已知漏洞而能在伺服器上部署Web Shell，其中最值得留意的兩個漏洞是網頁應用程式框架Laravel的RCE漏洞CVE-2021-3129，以及遠端管理軟體ScreenConnect身分驗證漏洞CVE-2024-1709（CVSS風險評分為9.8、10），因為，他們利用這類漏洞得到遠端控制的能力。</p> <p>而對於正在活動狀態的Web Shell，研究人員指出，有不少與Oracle WebLogic伺服器RCE漏洞CVE-2019-2725（CVSS風險評分7.5）有關。</p> <p>值得留意的是，攻擊者用來嘗試利用的漏洞，在一週內最多的依序是HTTP標頭RCE漏洞（未登記CVE編號）、CVE-2024-1709、內容管理平臺Craft CMS的RCE漏洞CVE-2023-41892（CVSS風險評為10分），分別有49680、42569、24752次，但大多數受害組織是因曝露CVE-2023-41892而遭到攻擊。</p> </div></div></div>
2024/4/25 14:57作者周峻佑https://www.ithome.com.tw/news/162527
拜登簽署法案以剝離或封鎖TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國<a href="https://www.ithome.com.tw/news/161658" target="_blank">眾議院</a>與參議院先後通過要求TikTok切斷與字節跳動（ByteDance）的連結之後，美國總統拜登（Joe Biden）也在本周三（4/24）簽署了此一法案，要求字節跳動於270天內出售TikTok，否則美國將於程式市集中封鎖TikTok，也將禁止TikTok使用境內的網路代管服務。<a href="https://newsroom.tiktok.com/en-us/statement-on-enactment-of-the-tiktok-ban-april-24-2024" target="_blank">TikTok很快就發表聲明</a>，指出將循法律途徑反抗這起禁令。</p> <p>美國政府對TikTok最大的質疑，在於它的母公司是設立於北京的字節跳動，擔心它會在中國政府的要求下交出美國民眾的個資，而這也是繼<a href="https://www.ithome.com.tw/news/139260" target="_blank">川普</a>（Donald Trump）之後，美國第二個以國安為由，企圖剝離TikTok的總統。</p> <p>美國政府雖然已經禁止聯邦裝置使用TikTok，但拜登競選團隊卻依舊透過TikTok來造勢，而遭到嘲諷。白宮的國家安全通訊顧問<a href="https://www.whitehouse.gov/briefing-room/press-briefings/2024/04/03/on-the-record-press-gaggle-by-white-house-national-security-communications-advisor-john-kirby-8/" target="_blank">John Kirby曾在本月初解釋過</a>美國對TikTok的態度，指出美國並非真的想封鎖TikTok，而只是希望TikTok可以剝離字節跳動，以保護美國民眾及美國的資料安全。</p> <p>TikTok則說，該公司已經投資了數十億美元來確保美國資料的安全，以及確保該公司平臺不受外部的影響與操縱，此一禁令將摧毀700萬家企業，波及1.7億名美國人，將透過法院挑戰此一違憲的法令。</p> <p>要求TikTok剝離母公司的期限為明年的1月19日，拜登亦可再將其延長90天。</p> </div></div></div>
2024/4/25 12:21作者陳曉莉https://www.ithome.com.tw/news/162520
多款拼音鍵盤輸入法存在漏洞，有可能向攻擊者洩漏輸入內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者為了能讓中文輸入法應用程式能預測使用者接下來可能會輸入的文字，往往透過雲端提供相關功能，但若是沒有充分的保護措施，這種輸入法很有可能被攻擊者當作監控軟體，或是另類的「鍵盤側錄工具」。</p> <p>對此，加拿大公民實驗室（Citizen Lab）對於中國市面上常見的拼音輸入法著手進行調查，<a href="https://citizenlab.ca/2024/04/vulnerabilities-across-keyboard-apps-reveal-keystrokes-to-network-eavesdroppers/">他們針對9家供應商的Windows、iOS、安卓版輸入法程式進行檢測</a>，結果發現，除華為以外的供應商，他們提供的輸入法軟體都存在漏洞，而能被攻擊者得知用戶輸入的內容。</p> <p>研究人員估計，約有近10億使用者會受到上述輸入法的弱點影響。因為，光是搜狗、百度、科大訊飛（iFlytek）的輸入法，在中國第三方輸入法市占就超過95%，約有10億人使用。</p> <p>另一方面，榮耀、Oppo、小米裝置預載的輸入法，也曝露上述危險，而這3個廠牌的智慧型手機去年在中國擁有近50%市占。</p> <p>對此，他們向所有輸入法供應商通報漏洞，大多數都做出回應並進行修補。值得留意的是，百度修補了他們獲報最嚴重的漏洞，但仍有部分尚未處理；對於QQ拼音的部分，騰訊宣稱將在今年第1季升級旗下產品採用HTTPS通訊，但截至4月1日，研究人員發現該公司並未發布新版修補相關漏洞。</p> </div></div></div>
2024/4/25 12:48作者周峻佑https://www.ithome.com.tw/news/162525
國家級駭客攻陷思科零時差漏洞，以於各國政府網路植入後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.talosintelligence.com/arcanedoor-new-espionage-focused-campaign-found-targeting-perimeter-network-devices/" target="_blank">思科旗下的資安公司Cisco Talos周三（4/24）揭露</a>了一場由國家級駭客UAT4356（Storm-1849）所發起的攻擊行動ArcaneDoor，此一行動利用了兩個位於思科Adaptive Security Appliances（ASA）軟體中的零時差漏洞發動攻擊，並於受害者網路中植入後門，以進行間諜活動，目前所知的受害者全為政府網路，加拿大網路安全中心（Canadian Centre for Cyber Security）<a href="https://www.cyber.gc.ca/en/news-events/cyber-activity-impacting-cisco-asa-vpns" target="_blank">也在同一天發出了警告</a>。</p> <p>根據Cisco Talos的描述，該公司是在今年初收到客戶的回報，表示於ASA裝置上察覺到可疑活動，進一步的調查則發現，駭客在2023年7月即開始開發與測試相關攻擊，並於同年11月建立了攻擊基礎設施，大多數的攻擊活動出現在2023年12月至2024年1月間。</p> <p>駭客所利用的是位於ASA軟體及Firepower Threat Defense（FTD）軟體中的兩個零時差漏洞，其中的<a href="http://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-websrvs-dos-X8gNucD2" target="_blank">CVE-2024-20353</a>主要藏匿在管理及VPN網頁伺服器上，在解析HTTP標頭時因錯誤檢查不完整所造成，駭客只要傳送一個特製的HTTP請求至裝置上的相關伺服器，就可能在裝置重新載入時導致服務阻斷。</p> <p class="rtecenter"><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-websrvs-dos-X8gNucD2" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0425-cisco-CVE-2024-20353.png" style="width: 600px;" /></a></p> <p>另一個<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-persist-rce-FLsNXF4h" target="_blank">CVE-2024-20359</a>漏洞同樣位於ASA與FTD軟體中，存在於允許預先載入VPN用戶端與外掛程式的老舊功能中，取得授權的本地端駭客將得以最高權限執行任意程式，但駭客需要取得管理員等級的權限才能利用此一漏洞。</p> <p class="rtecenter"><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-persist-rce-FLsNXF4h" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0425-cisco-CVE-2024-20359.png" style="width: 600px;" /></a></p> <p>UAT4356利用上述兩個漏洞於受害系統上部署了兩個後門程式Line Dancer與Line Runner，其中，Line Dancer是一個進駐於記憶體中的Shellcode解釋器，可讓駭客上傳並執行任意的Shellcode；Line Runner則是一個持久性的後門，允許駭客上傳及執行任意的Lua腳本程式，在系統重新啟動及升級後仍會存在。</p> <p>在部署Line Dancer與Line Runner之後，UAT4356即可於受害系統中展開各種惡意行動，包括變更配置，執行偵察，捕獲或汲取網路流量，以及潛在的橫向移動。</p> <p>加拿大網路安全中心則說，今年初該組織便與澳洲及英國的網路安全中心合作，追蹤及評估鎖定全球政府及重大國家級基礎設施網路所使用之VPN服務的惡意行動，並發現思科的ASA裝置、ASA55xx系列，以及ASA 9.12/ASA 9.14軟體已遭駭客危害，駭客藉由WebVPN會話成功地建立了未經授權的存取，通常與Clientless SSLVPN服務有關。</p> <p>在駭客成功進駐受害網路後，將能製造裝置配置檔案的文字版，以透過網路請求來汲取，也能控制裝置日誌服務的啟用與停用來混淆其它的命令，還能修改身分驗證、授權及用量計算（Authentication, Authorization and Accounting，AAA）配置，以便取得於受害環境中的存取能力。</p> <p>思科已修補了上述兩個安全漏洞，指出修補程式雖然能抑制Line Runner的活動，但Line Runner依然存在於受害系統上，同時思科也提醒，除了該公司的裝置外，駭客亦對微軟與其它供應商的裝置感興趣，亦可能針對它們發動攻擊，建議用戶妥善修補裝置，登入至安全位置，以及採用強大的多因素身分驗證機制。</p> <p>不管是思科或加拿大網路安全中心都因UAT4356（Storm-1849）的複雜手法認定它屬於由國家支撐的駭客組織，惟目前無法確認其來源，根據<a href="https://www.ithome.com.tw/news/156487" target="_blank">微軟對駭客組織的名稱定義</a>，Storm屬於仍在發展尚無法歸類的類別。</p> </div></div></div>
2024/4/25 11:39作者陳曉莉https://www.ithome.com.tw/news/162516
Nvidia收購GPU運算資源管理工具新創公司Run:ai
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/runai/" target="_blank">Nvidia昨（14）日宣布收購</a>以色列提供Kubernetes負載管理技術供應商Run:ai，以協助企業管理和協同底層GPU的運算資源。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0425-NVIDIA%20to%20Acquire%20Run%20ai.png" style="width: 400px;" /></p> <p>部署及營運AI的工作愈來愈複雜，需要把負載在雲端、邊緣和本地資料中心基礎架構之間分配。而管理和協同生成式AI、推薦系統、搜尋引擎等負載牽涉複雜排程來最佳化系統層或雲端基礎架構的效能。Run:ai的產品即是協助企業優化底層運算效能，不論是本地部署、雲端或混合雲環境。</p> <p>Run:ai提供Kubernetes為基礎的開放管理平臺，Kubernetes是現代雲端、包括AI負載的協同層，支援所有主流Kubernetes平臺，也能整合第三方工具和框架。Run:ai這家以色列業者提供授權及訂閱模式，提供集中管理介面管理GPU或GPU叢集資源，其客戶涵括各種產業，和Nvidia也早從2020年就已合作至今。</p> <p>針對AI開發人員及團隊，Run:ai平臺提供跨雲端、邊緣及本地部署的運算基礎架構的單一管理介面。從其管理介面，管理員可管理用戶和資源使用，包括存取管理、集中資源與排序、限額，及監控資源使用情況。它能集中管理GPU，涵括從GPU一部分、數個GPU，到在不同叢集的多個GPU節點，確保GPU叢集利用率。</p> <p>雙方未公布收購金額，不過<a href="https://techcrunch.com/2024/04/24/nvidia-acquires-ai-workload-management-startup-runai/" target="_blank">Techcrunch</a>根據消息人士報導收購價為7億美元。</p> <p>Nvidia表示在收購後，短期間內會以現有商業模式持續Run:ai產品。長期而言，Run:ai將會整合到Nvidia產品包括DGX Cloud雲端服務、DGX伺服器、Nvidia DGX SuperPOD、Base Command、NGC容器及其AI Enterprise軟體中。</p> </div></div></div>
2024/4/25 11:55作者林妍溱https://www.ithome.com.tw/news/162517
惡意軟體SSLoad攻擊亞洲、歐洲、美洲組織，攻擊者利用Cobalt Strike、ScreenConnect控制受害…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Securonix揭露<a href="https://www.securonix.com/blog/securonix-threat-research-security-advisory-frozenshadow-attack-campaign/">名為Frozen#Shadow的攻擊行動</a>，攻擊者利用名為SSLoad的惡意程式，以及滲透測試工具Cobalt Strike、遠端管理工具ScreenConnect，目的是秘密滲透受害組織的網路環境，並收集機敏資訊。</p> <p>而對於攻擊者的目標，研究人員指出駭客透過網釣郵件對亞洲、歐洲、美洲的組織下手，這些電子郵件內含URL，一旦收信人點選就會下載JavaScript檔案out_czlrh.js，執行該檔案就有可能觸發感染鏈。</p> <p>值得留意的是，上述的JavaScript指令碼採取的混淆手法並不常見，對方夾雜大量垃圾註解內容，而使得資安系統難以察覺有害。研究人員去除註解區塊，結果發現，該指令碼的檔案大小，從835 KB減至僅有20 KB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ssload-image2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ssload-image2.png" style="width: 580px;" /></a></p> <p>一旦收信人依照指示開啟附件，攻擊者就會利用wscript.exe啟動out_czlrh.js，電腦便會連線到特定的網路共享資料夾下載MSI安裝檔並執行。</p> <p>此MSI檔會連結攻擊者控制的網域，並利用rundll32.exe取得SSLoad有效酬載，收集受害主機資訊。</p> <p>接著，對方利用Cobalt Strike進行偵察工作，然後下載、部署ScreenConnect，從而讓攻擊者遠端存取受害電腦。</p> <p>藉由遠端管理工具完全控制電腦，攻擊者嘗試收集相關帳密資料，並將目標轉向網域控制器，最終建立自己的網域管理員帳號，來危害受害組織的網域。</p> </div></div></div>
2024/4/25 12:05作者周峻佑https://www.ithome.com.tw/news/162518
IBM加碼混合雲管理，以64億美元收購雲端基礎架構工具業者HashiCorp
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2024-04-24-IBM-to-Acquire-HashiCorp-Inc-Creating-a-Comprehensive-End-to-End-Hybrid-Cloud-Platform" target="_blank">IBM昨（24）日宣布</a>以每股35美元現金，總價64億美元收購知名雲端基礎架構工具業者HashiCorp，以強化混合雲運作與開發管理產品線。</p> <p>IBM表示，HashiCorp具備完整的基礎架構生命周期管理與安全生命周期管理產品，協助企業自動化混合雲和多雲環境，這樁收購也體現IBM對混合雲與AI的策略重點和投資。</p> <p>IBM是在昨日第1季財報會議上<a href="https://www.newswire.ca/news-releases/ibm-to-acquire-hashicorp-inc-creating-a-comprehensive-end-to-end-hybrid-cloud-platform-832158042.html" target="_blank">公布HashiCorp的收購</a>。上季IBM營收144.6億美元，年增1.5%，僅次華爾街預期。其中軟體業務成長6%，但基礎架構和顧問服務皆呈現小幅下滑。令人失望的財報讓IBM昨日股價最多下跌9%。</p> <p>HashiCorp於2012年由Mitchell Hashimoto與Armon Dadgar創立，主要提供多雲IT管理工具。最知名的「基礎架構即程式碼」（IaC）工具Terraform幫助開發者使用程式碼配置雲端資源。HashiCorp Vault機密管理平臺，提供集中的憑證管理和資料加密服務，供用戶安全儲存令牌、密碼、憑證及密鑰的過程，以保護設備、應用系統以及敏感資料。此外還有服務網路管理Consul、容器應用協同Normad、映像開發管理Packer與內部開發者平臺Waypoint等管理產品線。HashiCorp全球客戶超過4,400家，包括財經媒體集團彭博、星巴克、摩根大通集團（J.P. Morgan Chase）、GitHub等，占了財星500大企業的85%。</p> <p>IBM預計HashiCorp的產品線可和IBM現有產品線包含Red Hat、watsonx、IT自動化與顧問服務產生綜效，特別是在企業混合雲和多雲領域。例如Red Hat Ansible自動化平臺的配置管理與Terraform的自動化整合，可簡化混合雲環境中應用的撥用和配置。HashiCorp也可受益於IBM全球行銷網路資源。藍色巨人相信這樁交易可協助它切入估計1.1 兆美元的雲端市場。</p> <p>這樁交易已獲IBM與HashiCorp的董事會同意，但仍需經過股東表決同意，一旦成功，預計2024年底完成。HashiCorp會整合到IBM哪個事業群，或是維持獨立運作，目前IBM尚未說明規劃。</p> <p>這是IBM強化混合雲及AI管理的最新收購。去年12月IBM從德國公司Software AG手上買入雲端原生資料整合平臺StreamSets與老牌應用整合平臺webMethods，11月買下AI與資料治理業者Manta併入watsonx。8月也買下金融IT營運（FinOps）管理工具Apptio。</p> </div></div></div>
2024/4/25 10:40作者林妍溱https://www.ithome.com.tw/news/162514
北韓駭客Kimsuky濫用生成式AI從事網路間諜行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟針對北韓駭客組織濫用大型語言模型（LLM）及生成式AI工具的情況提出警告，對方藉此讓攻擊危害更為顯著、效率更為提升。</p> <p><a href="https://aka.ms/EastAsiaReport-Apr2024">該公司與OpenAI的研究人員發現</a>，北韓駭客組織Kimsuky（亦稱Emerald Sleet、TA427）在鎖定韓國專家從事魚叉式網路釣魚攻擊行動時，就利用LLM來強化效果。</p> <p>再者，他們也發現這些駭客利用LLM來研究漏洞，或是對於專門研究北韓事務的專家及組織從事偵察工作。</p> <p>此外，對方甚至透過LLM對於技術問題進行除錯，以及產生簡易的指令碼工作排程，或是製作魚叉式網路釣魚訊息。</p> <p>對此，微軟與OpenAI合作，停用與Kimsuky相關的帳號。</p> </div></div></div>
2024/4/25 11:13作者周峻佑https://www.ithome.com.tw/news/162515
最新IoT設備身分識別FDO標準，即將有4家廠商取得首波認證，臺灣工業電腦廠也包括在內
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對物聯網設備的身分識別，近年有一項重要的IoT開放標準協定正在發展，就是我們之前已經介紹過的FIDO Device Onboard（FDO），FIDO聯盟在2021年4月正式發布此標準規範1.0版，希望能夠因應IoT設備大規模部署的需求，並在安全性、成本、時間管理以及複雜度管理等方面，提供一個更好的應對方式。時隔3年，如今這項全新標準規範即將在2024年有重大進展，首批通過FDO標準認證的產品，即將在今夏出爐。</p> <p>今日（24日）FIDO聯盟在臺舉辦全球首場FDO Alliance Taipei Workshop，議程中不僅介紹了FDO的最新發展近況，也讓臺灣資通訊產業對這項最新標準規範，可以有更多的認識。而我們最關注的焦點就是，在FDO標準規範1.1版於2022年4月發布、FDO認證計畫於2023年9月啟動後，現在狀況如何？</p> <p>FIDO聯盟認驗證計畫主管Paul Heim表示，如今已有4家廠商在首波認證名單，有12個以上的元件正進行FDO功能評估，9個以上設備正進行FDO的Level 1安全評估，他預計，在接下來的一兩個月內，首批通過FDO標準認證的名單就會公布。</p> <p>換言之，FDO標準規範發布已有一段時間，如今已取得相當實質的進展。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%20%E7%B6%B2%E7%AB%99%E5%9C%961)FDO_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p>更重要的是，我們不只是看到Intel、Red Hat、Dell、英飛凌（Infineon）等科技大廠在此共同研討FDO應用案例，臺灣也有積極參與者，那就是－－華擎科技（ASRock）旗下的工業電腦廠東擎科技（ASRock Industrial），該公司不僅在現場展示他們的工業電腦FDO解決方案，而且他們也是上述提到即將取得FDO認證的4家廠商之一。</p> <p>儘管FDO標準剛起步，未來我們也希望能看到更多臺廠，不只是關注各種技術的最新進展，也能一同帶領國內產業跟上腳步。</p> <p>回顧FDO的發展背景，過去幾年來，包括Intel提出Secure Device Onboard（SDO），市場上也出現強調Zero Touch零接觸安裝的方案，目的都是為了簡化裝置出廠到後續啟用的流程，而現在FIDO聯盟所推動的FDO標準規範，即是基於Intel SDO技術發展而成，更重要是現已成為一個開放的產業標準，這將為物聯網生態系帶來新的變化。</p> <p>對於FDO的運作效益，FIDO聯盟連接設備標準市場開發經理Richard Kerslake有具體的說明，他其實也是Intel物聯網部門的主管。</p> <p>他表示，FDO標準規範可提供安全的即插即用（plug and play）裝置註冊（onboarding），並要讓幾乎每一網路、裝置都可適用。</p> <p>對於傳統手動操作，與FDO裝置註冊的差異？</p> <p>Richard Kerslake提出簡單的對比。以傳統物聯網設備部署而言，手動操作部署速度很慢，可能一臺裝置需要20分鐘，甚至更長時間，因為裝置安裝時還需要密碼憑證的設定，其安全性其實較差，並且通常都需要專業技術人員來安裝，若是這個人明天離職了也會帶來麻煩，因此整體成本昂貴。因此我們需要一個快速、自動的解決方案。</p> <p>以FDO裝置註冊而言，其效益很明顯：設備布署速度快，一分鐘就能完成一臺，安全性高，可擺脫過去需預設密碼啟用裝置的問題，在自動設定安裝過程就涵蓋金鑰及配置資料，且安裝不需要技術，低布署成本。而且這還是一個開放標準。</p> <p>他並舉例，想向一個零售商店的場景，你可以讓沒有技術能力的店經理來安裝，只要他們知道如何將被連接到網路。</p> <p>或許國內還有很多人對於新興的FDO還很陌生，東擎科技副總經理Kenny Chang認為，大家可以先記住幾個關鍵名詞，像是Ownership Voucher（OV），簡單說就是在設備製造過程中即確定裝置的所有權，而在FDO的流程上，所謂TO0協定是指將裝置註冊到Rendezvous伺服器，TO1協定是裝置使用FDO來找到擁有者部署所在，TO2協定是經過身份驗證與設定組態配置。換言之，這樣的裝置註冊過程，有如裝置所有權的轉移或授予。</p> <p>另外值得一提的是，現場還有來自英飛凌的專家，說明他們提出的Pre-Programmed TPM概念，是如何從TPM端提供FDO實務上的簡化，同時還有來自越南的VinCSS公司，展示他們如何透過FDO快速將一臺無線網路設備上線。其他像是Intel、Dell、Red Hat的專家，也透過線上預錄影片說明他們的最新FDO實踐狀況。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%20%E7%B6%B2%E7%AB%99%E5%9C%961)FIDO%E6%B4%BB%E5%8B%95_%E9%BB%83%E5%BD%A5%E7%94%B7_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <p>今日這場FDO Alliance Taipei Workshop活動是在中央研究院舉行，即將接任數位部長、現為中央研究院特聘研究員的黃彥男也出席這場活動，他在致詞時表示，期望臺灣與全球產業都能共同為資安而努力，而FIDO的應用發展也是他所重視的。此外，對於這次活動在臺舉行，FIDO聯盟臺灣分會會長暨神盾副總經理張心玲也表示，將讓國內企業、產業與政府能近距離接觸這項全新FDO標準規範的最新趨勢與發展。</p> </div></div></div>
2024/4/24 23:59作者羅正漢https://www.ithome.com.tw/news/162513
CDN快取遭到濫用！駭客組織CoralRaider將其用來派送竊資軟體，意圖躲避資安偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科旗下威脅情報團隊Talos揭露<a href="https://blog.talosintelligence.com/suspected-coralraider-continues-to-expand-victimology-using-three-information-stealers/">從今年2月出現的攻擊行動</a>，對方意圖散布竊資軟體Cryptbot、LummaC2、Rhadamanthys，至少有美國、奈及利亞、巴基斯坦等13個國家出現受害者。</p> <p>而對於受害者的身分，研究人員提及，有日本電腦服務的客服中心、敘利亞的市民防衛服務組織受害。</p> <p>攻擊者起初向受害者傳送惡意的Windows捷徑檔（LNK），此檔案內含PowerShell命令，從特定的內容傳遞網路（CDN）服務下載HTML應用程式（HTA）並執行，此HTA檔案經過重度混淆處理。</p> <p>由於對方使用CDN快取伺服器存放惡意程式，網路防禦系統可能無法對其進行偵測而放行。</p> <p>一旦上述HTA檔案執行，就會先後執行其中的JavaScript、PowerShell指令碼，進行解密，從而在系統暫存資料夾寫入批次檔，這麼做的目的是為了迴避Microsoft Defender的偵測。</p> <p>接著，攻擊者利用FoDHelper.exe進行寄生攻擊（LOLBin），從而竄改機碼繞過使用者存取控制（UAC）。最終對方利用PowerShell指令碼下載竊資軟體。</p> <p>而對於攻擊者的身分，研究人員認為是CoralRaider，這個駭客組織來自越南，先前曾傳出鎖定亞洲為主要攻擊目標，手法一樣是利用捷徑檔下載HTA檔，後續再下載酬載進行攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/coralraider-2-infection-summary.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/coralraider-2-infection-summary.jpg" style="width: 580px;" /></a></p> </div></div></div>
2024/4/24 18:16作者周峻佑https://www.ithome.com.tw/news/162509
【資安日報】4月24日，北韓雲端伺服器傳出組態不當，曝露間接承攬美國多家影音平臺外包動畫製作的情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伺服器存取未設密碼保護在網路「裸奔」的離譜情況不時傳出，但過往這類事故外界關注的焦點，通常是這些資料曝光造成的危害，如今有一起事故成為國際的政治焦點。</p> <p>近期有專門研究北韓相關事務的媒體指出，他們發現1臺配置錯誤的雲端儲存伺服器，其內容與動畫製作有關，而且當中存放的資料當中，竟然有多個美國串流服務平臺播放的動畫，以及製作這些數位內容的工作討論。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162505"><strong style="font-size: 22px;">北韓雲端伺服器傳出組態不當導致檔案曝光，疑似間接承攬美國多家影音平臺外包動畫製作</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_Williams_NK-Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_Williams_NK-Server.jpg" style="width: 300px; float: right;" /></a>專門關注北韓事務的新聞網站38 North指出，有研究人員於2023年底發現，1臺位於北韓的雲端儲存伺服器的配置錯誤，且沒有密碼保護，任何人都能隨意瀏覽該伺服器儲存的檔案。</p> <p>而對於這臺伺服器存放的資料內容，該媒體指出，根據他們在今年1月的觀察，每天都會有新的一批檔案出現，內容包含製作動畫的工作說明，以及當日的工作成果，但他們無法確認上傳這些資料的人士身分。</p> <p>究竟伺服器存放了那些動畫？38 North指出，其中包含Amazon原創的無敵少俠（Invincible）、HBO Max播映的Iyanu：奇蹟之子（Iyanu: Child of Wonder）、BBC的海底小縱隊（Octonauts），也有日本的魔導具師妲莉亞永不妥協，以及中國的大連牧童。假若這些發現屬實，那麼北韓動畫公司很有可能運用某種方式繞過制裁的限制，承包美國公司的動畫製作。</p> <p><a href="https://www.ithome.com.tw/news/162508"><strong style="font-size: 22px;">韓國國防承包商傳出遭到北韓駭客組織攻擊，對方利用管理不善的系統進行滲透</strong></a></p> <p>韓國國家警察局發出警告，指出他們發現國防工業公司遭到北韓駭客入侵的跡象，對方利用目標組織網路環境的漏洞，或是他們的承包商網路環境來發動攻擊，從而植入惡意軟體並外洩竊得資料。</p> <p>這波攻擊行動的發現，源自於韓國國家警察局與防衛事業廳（Defense Acquisition Program Administration，DAPA）今年初的特別行動，他們從1月15日至2月16日進行調查，結果發現，有多家國防工業公司從2022年底遇害，但直到收到通知之前，這些公司並未察覺遭到入侵。</p> <p><a href="https://www.ithome.com.tw/news/162507"><strong style="font-size: 22px;">美國德州小鎮供水系統遭到攻擊而失控，疑俄羅斯駭客所為</strong></a></p> <p>自去年底賓州自來水公司傳出工業控制系統遭到挾持，駭客控制了其中1個增壓站，針對美國各地的水力設施攻擊行動不時傳出，最近又有新的事故出現：美國德州狹長地帶（Texas Panhandle）的小鎮傳出兩起攻擊事故。而對於攻擊者的身分，資安業者Mandiant推測，很有可能是惡名昭彰的俄羅斯駭客組織Sandworm（APT44）。</p> <p>其中一起發生在擁有2千名居民的黑爾中心市（Hale Center），市長Mike Cypert指出，根據防火牆的事件記錄，他們在4天裡遭遇3.7萬次的嘗試存取。市府人員決定停用相關系統因應，並改以手動操作，迫使對方無法得逞。</p> <p>另一起事故則是發生在貝利縣的繆爾舒市（Muleshoe），市長Ramon Sanchez透露，在該城市西邊約60英里、約有5千人的地方，導致供水系統出現溢流現象。隨後該系統被關閉，並由相關人員手動控制。他強調供水系統並未出現危險，淨水系統也沒有受到影響。</p> <p><a href="https://www.ithome.com.tw/news/162509"><strong style="font-size: 22px;">CDN快取遭到濫用！駭客組織CoralRaider將其用來派送竊資軟體，意圖躲避資安偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/coralraider-2-infection-summary.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/coralraider-2-infection-summary.jpg" style="width: 300px; float: right;" /></a>思科旗下威脅情報團隊Talos揭露從今年2月出現的駭客組織CoralRaider攻擊行動，對方意圖散布竊資軟體Cryptbot、LummaC2、Rhadamanthys，至少有美國、奈及利亞、巴基斯坦等13個國家出現受害者。</p> <p>攻擊者起初向受害者傳送惡意的Windows捷徑檔（LNK），此檔案內含PowerShell命令，從特定的內容傳遞網路（CDN）服務下載HTML應用程式（HTA）並執行，最終於受害電腦植入竊資軟體。</p> <p>研究人員提及，由於對方使用CDN快取伺服器存放惡意程式，網路防禦系統可能無法對其進行偵測而放行。</p> <p><a href="https://www.ithome.com.tw/article/162257"><strong style="font-size: 22px;">勒索軟體仍是高科技製造業首要威脅，但雲端服務與漏洞威脅不可掉以輕心</strong></a></p> <p></p> <p>上雲浪潮帶來了高科技製造業新的資安風險，根據最新發布的iThome 2024資安大調查結果指出，雲端服務（網路服務）的資安事件從去年的第四象限（低風險低衝擊），一舉進入了第一象限（高風險高衝擊），甚至超過1成高科技製造業者資安主管開始認為，未來一年，自家企業極可能發生雲端服務的資安事件。</p> <p>高科技製造業的首要資安風險和一般製造業相同，都是勒索軟體資安事件的威脅。高達57％高科技業者認為，一旦發生，就會產生重大衝擊。</p> <p>但值得留意的是，與資安漏洞有關的攻擊事件仍是高科技製造業未來一年必須高度警戒的次要風險，尤其，今年開始出現鎖定開源軟體社群的社交工程攻擊，這類威脅的危害將會加劇。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://perception-point.io/blog/phishing-attack-exploits-nespresso-open-redirect-vulnerability/"><strong style="font-size: 20px;">咖啡製造商Nespresso的網域被濫用，攻擊者藉由開發重新導向來從事網釣攻擊，意圖竊取使用者的微軟帳號</strong></a></p> <p></p> <p>◆<a href="http://decoded.avast.io/janrubin/guptiminer-hijacking-antivirus-updates-for-distributing-backdoors-and-casual-mining/"><strong style="font-size: 20px;">北韓駭客鎖定防毒軟體發動供應鏈攻擊，透過惡意程式GuptiMiner部署挖礦軟體</strong></a></p> <p></p> <p>◆<a href="https://securelist.com/toddycat-traffic-tunneling-data-extraction-tools/112443/"><strong><span style="font-size: 20px;">駭客組織ToddyCat濫用OpenSSH、SoftEther VPN建立隧道隱匿攻擊行動</span></strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/russian-sandworm-hackers-targeted-20-critical-orgs-in-ukraine/"><strong><span style="font-size: 20px;">俄羅斯駭客組織Sandworm破壞20個烏克蘭關鍵基礎設施運作</span></strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/gitlab-affected-by-github-style-cdn-flaw-allowing-malware-hosting/"><strong><span style="font-size: 20px;">程式碼儲存庫GitLab的CDN存在弱點，攻擊者可用來存放惡意軟體</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162476"><strong>【4月23日】研究人員揭露新舊作業系統路徑轉換弱點，並指出能被當作rootkit發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162448"><strong>【4月22日】資安研究機構MITRE證實遭遇Ivanti零時差漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162418"><strong>【4月19日】全球超過8萬臺Palo Alto Networks防火牆曝露GlobalProtect危急漏洞</strong></a></p> </div></div></div>
2024/4/24 18:31作者周峻佑https://www.ithome.com.tw/news/162511
韓國國防承包商傳出遭到北韓駭客組織攻擊，對方利用管理不善的系統進行滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>韓國國家警察局發出警告，<a href="https://www.bleepingcomputer.com/news/security/dprk-hacking-groups-breach-south-korean-defense-contractors/">指出他們發現國防工業公司遭到北韓駭客入侵的跡象</a>，對方利用目標組織網路環境的漏洞，或是他們的承包商網路環境來發動攻擊，從而植入惡意軟體並外洩竊得資料。</p> <p>這波攻擊行動的發現，源自於韓國國家警察局與防衛事業廳（Defense Acquisition Program Administration，DAPA）今年初的特別行動，他們從1月15日至2月16日進行調查，結果發現，有多家國防工業公司從2022年底遇害，但直到收到通知之前，這些公司並未察覺遭到入侵。</p> <p>本次韓國國家警察局揭露由駭客組織Lazarus、Andariel、Kimsuky發動的3起資安事故，藉此公布駭客的作案手法。</p> <p>2022年11月，Lazarus潛入其中一家國防公司專供測試的網路環境，因其缺乏管理，而能成功入侵。得逞後對方從至少6臺電腦收集機密資料，並傳送到外國的雲端伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/korean-police-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/korean-police-1.png" style="width: 580px;" /></a></p> <p>針對Andariel發起的攻擊行動，則是與承包商有關。駭客竊得其中一家為國防業者提供服務的維護承包商員工帳號，並於2022年10月藉此帳號在數家國防業者植入惡意程式Nukespeed、Tiger RAT，從而竊取與國防有關的技術資料。值得留意的是，有部分員工在個人與工作帳號共用密碼，導致對方的網路滲透危害變得更加嚴重。</p> <p><a href="https://s4.itho.me/sites/default/files/images/korean-police-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/korean-police-2.png" style="width: 580px;" /></a></p> <p>至於由Kimsuky引起的資安事故，起因是其中一家國防承包商的郵件伺服器存在漏洞，導致攻擊者在2023年4月至7月在無須身分驗證的情況下，從內部伺服器竊得大量技術資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/korean-police-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/korean-police-3.png" style="width: 580px;" /></a></p> </div></div></div>
2024/4/24 17:39作者周峻佑https://www.ithome.com.tw/news/162508
美國德州小鎮供水系統遭到攻擊而失控，疑俄羅斯駭客所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自去年底賓州自來水公司傳出工業控制系統遭到挾持，駭客控制了其中1個增壓站，針對美國各地的水力設施攻擊行動不時傳出，最近又有新的事故出現：美<a href="https://www.securityweek.com/rural-texas-towns-report-cyberattacks-that-caused-one-water-system-to-overflow/">國德州狹長地帶（Texas Panhandle）的小鎮傳出兩起攻擊事故</a>。</p> <p>其中一起發生在擁有2千名居民的黑爾縣城市Hale Center，該市經理Mike Cypert指出，根據防火牆的事件記錄，他們在4天裡遭遇3.7萬次的嘗試存取。該市政府人員採取「拔除（unplugged）」系統因應，並改以手動操作，對方未能得逞。</p> <p>另一起事故則是發生在貝利縣的Muleshoe市，市經理Ramon Sanchez透露，在該城市西邊約60英里、約有5千人的地方，導致供水系統出現水溢出的現象。隨後該系統被關閉，並由相關人員手動控制。他強調供水系統並未出現危險，消毒系統也沒有受到影響。</p> <p>而對於攻擊者的身分，資安業者Mandiant推測，很有可能就是俄羅斯駭客組織Sandworm（APT44）。</p> </div></div></div>
2024/4/24 16:37作者周峻佑https://www.ithome.com.tw/news/162507
OpenAI針對API企業用戶添加安全管控和成本管理功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI向其API客戶提供一系列<a href="https://openai.com/blog/more-enterprise-grade-features-for-api-customers">企業級功能</a>，目的在於提升安全性和管理效能。此外，OpenAI還對Assistants API進行改進，使其檢索與模型行為更加精確，並且增加對話串流以及新的向量儲存物件等靈活功能。</p> <p>OpenAI對API用戶推出一種稱為Private Link的新功能，目的在於提高資料的安全性和隱私保護，讓用戶能夠將Azure雲端和OpenAI的服務直接相連，避免資料傳輸經過公開的網際網路，最大程度降低資料洩漏的機會。這項功能對於需要傳輸敏感資料微調模型的企業用戶來說尤為重要。</p> <p>在身分驗證方面，OpenAI在開發者平臺引入多因素驗證安全措施，要求用戶登入時使用Authenticator應用程式，以此增強對帳戶存取的要求，進而提升整體的安全性。</p> <p>現在API用戶可以使用新的專案功能，對OpenAI中各專案進行更細緻的監控，具體功能包括用戶能夠對特定專案設定角色和API金鑰，限制可存取的專案資源，或是限制特定專案所使用的模型。此外，專案擁有者還能建立服務帳戶API金鑰，該金鑰不與個別用戶綁定，可供系統或是自動化工具直接存取專案，而這提高了自動化和整合的方便性，且因為金鑰沒有與個別用戶綁定，因此也增加了安全性。</p> <p>專案的使用量限制和呼叫速率限制，讓用戶能夠更簡單地控制預算和資源，避免出現意外的超額費用。OpenAI還開始提供承諾吞吐量使用折扣，用戶也可以使用更便宜的新Batch API，以非同步的方式執行工作負載，進行模型評估、離線分類和合成資料生成等非緊急工作負載。</p> <p>Assistants API的更新改進file_search檢索功能，每個助手最多可以擷取一萬個檔案，較之前僅可擷取20個檔案的限制大幅增加。API新的vector_store物件可以將檔案新增至向量儲存，並自動解析、分塊和嵌入，替檔案搜尋先做好準備，而且因為vector_store物件已經可以跨助手和執行緒使用，如此更簡化了檔案管理和計費。另外，OpenAI現在還開放用戶可以在Assistants API中，直接微調GPT-3.5 Turbo模型。</p> </div></div></div>
2024/4/24 15:54作者李建興https://www.ithome.com.tw/news/162504
北韓雲端伺服器傳出組態不當導致檔案曝光，疑遭制裁的動畫公司突破禁令，代工美國作品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>伺服器組態配置不當，往往引發資料曝光的疑慮，但最近一起事故卻成為國際政治焦點。</p> <p>專門關注北韓事務的新聞網站38 North指出，<a href="https://www.38north.org/2024/04/what-we-learned-inside-a-north-korean-internet-server-how-well-do-you-know-your-partners/">有研究人員於2023年底發現</a>，1臺位於北韓的雲端儲存伺服器的配置錯誤，且沒有密碼保護，任何人都能隨意瀏覽該伺服器儲存的檔案。</p> <p>而對於這臺伺服器存放的資料內容，該媒體指出，根據他們在今年1月的觀察，每天都會有新的一批檔案出現，內容包含製作動畫的工作說明，以及當日的工作成果，但他們無法確認上傳這些資料的人士身分。</p> <p>特別的是，這些資料通常含有製作公司以中文書寫的評論及指示，並有韓文翻譯，很有可能是製作公司與動畫師溝通的訊息。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_Williams_NK-Server.jpg" style="width: 580px;" /></p> <p>究竟伺服器的所有者身分為何？該網站指出，雖然他們看到的檔案並未提及相關資訊，但很有可能是北韓大型動畫公司April 26 Animation Studio（亦稱SEK Studio），這家公司因美國認定是北韓國營企業而多次進行制裁。</p> <p>對此，他們也尋求資安業者Mandiant協助檢視伺服器的存取事件記錄。研究人員發現，大部分存取伺服器的來源都是透過VPN，但除此之外，其中1個IP位址位於西班牙，3個位於中國（其中2個在遼寧省）。</p> <p>究竟伺服器存放了那些動畫？38 North指出，其中包含Amazon、HBO、BBC的動畫，也有日本動畫和中國動畫作品。</p> <p>假若這些發現屬實，那麼北韓動畫公司很有可能繞過前述制裁的限制，代工美國公司的動畫作品。Mandiant推測，<a href="https://www.reuters.com/world/asia-pacific/north-koreans-may-have-helped-create-western-cartoons-report-says-2024-04-22/">這些動畫作品很有可能是中國公司外包給北韓</a>，而能突破美國的禁令。</p> <p>但北韓動畫公司是否如上述的推測，藉由中國業者接洽外國生意？有待進一步釐清。</p> </div></div></div>
2024/4/24 15:55作者周峻佑https://www.ithome.com.tw/news/162505
蘋果將今年Vision Pro出貨量下調至40~50萬臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果在今年2月於美國市場正式推出空間運算設備Apple Vision Pro，原本市場預期它在今年可達到70~80萬臺的出貨量，不過，知名的蘋果產品分析師<a href="https://medium.com/@mingchikuo/apple-cuts-2024-2025-vision-pro-shipment-forecasts-unfavorable-to-mr-headset-pancake-and-micro-38796834f930" target="_blank">郭明錤今日（4/24）指出</a>，蘋果已下修Vision Pro今年出貨量至40~50萬臺，顯示它在美國市場的需求不如預期。</p> <p>要價3,499美元的Vision Pro雖被蘋果稱為空間運算設備，但它其實是蘋果於混合實境（MR）領域的首個作品，使用者只要透過眼睛、手勢及語音就能輸入與控制，還能把身邊的空間都當作螢幕。然而，Vision Pro在美國上市後的反應卻不如預期，使用者抱怨它戴起來不舒服，除了影音之外的應用不足，並傳出退貨潮，<a href="https://www.ithome.com.tw/news/161283" target="_blank">Meta執行長祖克柏（Mark Zuckerberg）更直接宣稱</a>自家出品的Quest 3不僅比Vision Pro更有價值，也是個更好的產品。</p> <p>郭明錤表示，當蘋果在還未於美國之外的市場推出Vision Pro之前，就削減了訂單，代表美國對Vision Pro需求的下滑程度超出了預期，也令蘋果對海外市場的需求抱持保守的態度；此外，蘋果也正在審查並調整其頭戴式顯示器的產品藍圖，明年可能不會推出Vision Pro的新版本，也預期2025年的出貨量將低於今年。</p> <p>先前外界預期蘋果在明年下半年會推出低價版的Vision Pro，但依照郭明錤的說法，此一計畫已被暫停或延後。</p> <p>郭明錤認為Vision Pro的挑戰在於不犧牲使用者體驗的情況下解決關鍵應用、價格與舒適度的問題，在市場反應不佳的情況下，擁有遊戲成功應用的VR設備目前看起來比MR有前景，而被部署在Vision Pro的光學鏡片Pancake與Micro OLED，也都將因為Vision Pro的表現而受到影響。</p> </div></div></div>
2024/4/24 14:38作者陳曉莉https://www.ithome.com.tw/news/162500
Google再次延後Chrome棄用第三方Cookie的時程到明年初
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://privacysandbox.com/intl/en_us/news/update-on-the-plan-for-phase-out-of-third-party-cookies-on-chrome/" target="_blank">Google周二（4/23）更新</a>了旗下Chrome瀏覽器棄用第三方Cookie的時間表，指出因持續面臨來自產業、監管機構及開發者的挑戰，已來不及於今年棄用第三方Cookie，將延後至明年初執行。</p> <p>Cookie是在使用者造訪網站時，電腦所自動下載的小檔案，它存放著使用者的偏好，或是放入購物車的商品，不過，當使用者所造訪的網站含有來自其它業者的廣告時，也會自動下載這些來自第三方的Cookie，使得廣告主得以追蹤使用者的網路行為，並遞送個人化廣告。</p> <p>Google企圖於Chrome瀏覽器中維持廣告主及使用者隱私之間的平衡，因而在2019年<a href="https://www.ithome.com.tw/news/132617" target="_blank">提出</a>了隱私沙箱（Privacy Sandbox）的概念，採用更具隱私的方式將使用者分門別類，而廣告主則可據此向群組發送廣告。</p> <p><a href="https://www.ithome.com.tw/news/142140" target="_blank">根據Google最初的規畫</a>，該公司準備在2022年全面於Chrome中封鎖第三方Cookie，以隱私沙箱取而代之，但當時即遭到英國競爭及市場管理局（Competition and Markets Authority，CMA）的調查，認為此舉將讓廣告支出更集中於Google，這使得Google在2021年6月<a href="https://www.ithome.com.tw/news/145246" target="_blank">宣布</a>把此一時程延後至2023年末，但依然未能實現。</p> <p>接著Google於今年初針對1%的全球Chrome用戶展開封鎖第三方Cookie的<a href="https://www.ithome.com.tw/news/160411" target="_blank">測試</a>，並預計於今年下半年推廣至所有用戶。</p> <p>然而，Google本周表示，不管是與產業、監管機構或開發者之間的協調都持續面臨著挑戰，同時CMA也要求市場的參與者要在今年6月底之前提供測試結果以供審查，因此Google不會在今年第四季末棄用第三方Cookie，將與CMA及英國資訊專員辦公室（Information Commissioner's Office，ICO）保持密切合作，倘若能在今年達成協議，將自明年初開始棄用第三方Cookie。</p> <p>至於CMA也<a href="https://www.gov.uk/cma-cases/investigation-into-googles-privacy-sandbox-browser-changes#q4-2023" target="_blank">定期發布</a>與Google協商的分析報告，指出其目的是為了確保競爭及隱私都受到保護，同時監督隱私沙箱的開發是否有利於消費者。</p> </div></div></div>
2024/4/24 15:17作者陳曉莉https://www.ithome.com.tw/news/162503
Amazon Bedrock提供模型客製化服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS昨（23）日發表AI平臺Amazon Bedrock最新服務<a href="https://aws.amazon.com/tw/about-aws/whats-new/2024/04/custom-model-import-amazon-bedrock/" target="_blank">Custom Model Import預覽版</a>，可讓企業用戶將模型上傳Bedrock微調並為特定應用客製化。</p> <p>Amazon Bedrock提供如Mistral或Llama等基礎模型，供企業選擇以打造生成式AI應用，有些用戶會為特定使用場景微調或客製化模型。另一些企業則是自建基礎架構，使用Mistral或Llama等模型客製化並開發AI應用。之前，企業用戶必須在Bedrock以外的其他環境上進行客製化。問題是，這類環境的部署需要一定能力，而對Bedrock用戶而言，這還會使開發人員必須在不同模型環境間切換，造成經驗的不連續。</p> <p>最新公布工具可解決客製化環境的部署問題。首先是Custom Model Import，訴求讓用戶將客製化模型匯入Bedrock，一方面保留客製化成果，另一方面又能在安全的雲端平臺上使用模型。匯入Bedrock後，用戶就能透過Bedrock的API呼叫，以隨需（on-demand）方式存取模型，並為基礎、客製化及匯入的模型建立一致化經驗。最新工具支援Mistral、Llama及Flan T5等。</p> <p>另一方面，針對Bedrock上想客製化模型的用戶，<a href="https://aws.amazon.com/tw/blogs/aws/import-custom-models-in-amazon-bedrock-preview/" target="_blank">AWS昨日也宣布預覽一項新功能</a>。新功能讓用戶從Amazon SageMaker機器學習平臺及Amazon S3以Hugging Face safetensors格式匯入自訂權重以客製化模型，之後就能以隨需方式存取模型。本功能支援Meta Llama 2、Llama 3及Mistral。</p> <p>這樣一來用戶可以使用Bedrock上為寫程式特化的Code Llama模型，或是以自有資料微調模型後，再將模型匯入Bedrock。二項新功能目前都僅在美國測試。美國用戶可透過Bedrock控制臺主頁開始匯入模型或權重。</p> </div></div></div>
2024/4/24 12:40作者林妍溱https://www.ithome.com.tw/news/162495
美國終結競業禁止條款
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ftc.gov/news-events/news/press-releases/2024/04/ftc-announces-rule-banning-noncompetes" target="_blank">美國聯邦交易委員會（Federal Trade Commission，FTC）周二（4/23）頒布了一項新規定</a>，將禁止全美企業與員工簽署競業禁止條款，預計於4個月後生效，屆時一般員工所簽署的競業禁止條款都會失效，只有高階經理人所簽訂的相關合約會持續有效，不過，新規定也不允許企業在未來試圖執行任何新的競業禁止合約，包括高階經理人在內。該規定是為了保護員工更換工作的基本自由，以及增加創新與推動新創企業的出現。</p> <p>競業禁止條款在美國企業中是一種常見的僱傭合約，主要是要求員工在離職後不得到競爭對手的公司上班，也不能自行創立競爭公司，導致許多員工被迫留在想離開的工作崗位上，或是轉向工資較低的領域。根據FTC的估計，全美大約有3,000萬名員工、接近1/5的美國人受到競業禁止條款的約束，且當中的高階經理人僅佔了0.75%。</p> <p>根據FTC對高階經理人的定義，只要是年薪超過15萬美元，且擔任決策職務的員工都算是高階經理人。</p> <p>FTC主席Lina Khan指出，競業禁止條款將薪資維持在較低的水平，抑制新創意，也剝奪了美國經濟的活力，禁止該條款將確保美國人追求新工作、創立新公司，以及將新想法推向市場的自由。</p> <p class="rtecenter"><a href="https://twitter.com/linakhanFTC/status/1782912191953322455" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0424-FTC-Noncompete%20Rule.png" style="width: 450px;" /></a></p> <p>FTC估計，在禁止競業禁止條款之後，美國每年將會多出2.7%的新公司，等於是每年新增逾8,500家新公司，一般員工的年薪將會多出524美元，也會讓未來10年的專利數量平均每年增加至少1.7萬個。</p> <p>在新規定生效後，僱主將被要求主動通知已簽署相關合約的一般員工，說明該條款已經失效。而即使高階經理人的競業禁止條款還是有效的，但未來僱主也不得再提出任何新的競業禁止條款。</p> <p>由於競業禁止條款有時是為了保護商業機密，因此FTC建議僱主可以透過其它選項來保護投資，包括藉由商業秘密相關法令來規範員工，或者是與員工簽署保密協議（Non-Disclosure Agreements，NDA），且研究顯示，那些已簽署了競業禁止條款的員工，有95%也都簽署了NDA。</p> <p>此一新規定將在公布於《聯邦公報》（Federal Register）的120天之後生效。</p> </div></div></div>
2024/4/24 12:56作者陳曉莉https://www.ithome.com.tw/news/162496
微軟公布小語言模型Phi-3家族，宣稱比GPT-3.5T還強
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟昨（23）日公布並開源小型語言模型（small language model，SLM）Phi-3系列，強調在語言理解、推理、數學及寫程式等能力上，比更多參數的模型如GPT-3.5 Turbo、Mistral還強大。</p> <p>微軟分別在去年6月及12月公布參數僅13億的<a href="https://www.ithome.com.tw/news/157489" target="_blank">Phi-1</a>及27億的<a href="https://www.ithome.com.tw/news/160306" target="_blank">Phi-2</a>輕量型語言模型。此類模型是為執行較簡單任務設計，使用較簡單，資源較有限的組織也能輕易微調以滿足特定用途。</p> <p>最新的Phi-3包含三款模型，分別是Phi-3-mini（3.8B）、Phi-3-small（7B）、及Phi-3-medium（14B）。今天Phi-3-mini已透過<a href="https://ai.azure.com/explore/models?&selectedCollection=phi" target="_blank">Azure AI Studio</a>模型庫、<a href="https://huggingface.co/collections/microsoft/phi-3-6626e15e9585a200d2d761e3" target="_blank">Hugging Face</a>、<a href="https://ollama.com/library/phi3" target="_blank">輕量框架Ollama</a>公開。再幾個星期Phi-3-small及Phi-3-medium也會在Azure AI模型庫及其他網站公開。微軟強調，Phi-3家族雖然參數量相較少，但效能卻大於參數較多的模型。根據微軟提供的數據，Phi-3-mini在多語言理解、推理、數學及寫程式等標竿測試上，超過Google Gemma-7B與Mistral-7B，而Phi-3-small及Phi-3-medium甚至超過Mistral 8x7B、Claude-3 Sonnet與GPT-3.5 Turbo。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0424-Phi-3%20model-benchmark-V2.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0424-Phi-3%20model-benchmark-V2.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>除了使用簡單、適合特定AI任務外，微軟並強調Phi-3可用於運算效能有限或離線環境，這允許資源有限的組織將之部署在成本較低的裝置以及頻寬受限的環境下，確保回應速度。</p> <p>其中今天公布的Phi-3-mini具有特別輕巧、容易使用、跨平臺等特色。僅38億參數的規模使Phi-3-mini可執行於本地裝置，如筆電上，它還經過微軟推論框架ONNX Runtime優化並支援Windows DirectML，可在多種硬體平臺如CPU、GPU、FPGA甚至行動裝置上執行。Phi-3-mini也已為Nvidia GPU優化，還可作為Nvidia NIM微服務以標準API執行，可部署在任何地方。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0424-phi-3-mini-iPhone-A16%20Bionic%20chip.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／微軟</span></p> <p>另一方面，mini版Phi-3分提供二種脈絡空間（context-length）版本，分別為4K及128K token。微軟表示Phi-3-mini也是同等級模型中首個能支援到128K token的SLM。更大的脈絡賦予Phi-3-mini強大的文本輸入與理解能力，使其適合進行分析任務。</p> <p>已經有企業導入Phi-3。例如印度農業集團ITC以微軟Copilot範本開發AI助理以協助當地農民，並在本地部署Phi-3。</p> <p>AI PC是微軟推動本地端執行AI的計畫之一。微軟可望在下個月產品及技術大會上公布新款自家AI PC，即Surface平板及筆電，以及其他Windows 11的AI技術。</p> </div></div></div>
2024/4/24 11:14作者林妍溱https://www.ithome.com.tw/news/162479
效能號稱領先輝達H100三到五成，英特爾AI救星邁入第三代
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/intel_gaudi_3_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年5月底ISC超級電腦大會之後，英特爾預告併購Habana Labs而得到的AI加速器Gaudi系列，將推出第三代產品，到了12月中該公司舉辦的AI Everywhere發表會，執行長Pat Gelsinger首度公開展示Gaudi 3晶片，並預告2024年將依照原先的時程推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20DCAI%20Roadmap-2023-05-Gaudi.jpg" style="width: 500px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-09-Intel%20Innovation%202023-Gaudi%202-3.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-14-Intel-AIEverywhere-Event-5-web.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/2023-12-14-Intel-AIEverywhere-Event-Gaudi 3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-14-Intel-AIEverywhere-Event-Gaudi%203.jpg" style="width: 298px;" /></a></p> <p>今年4月英特爾召開的Vision年度用戶大會期間，Gaudi 3正式發表，將於第二季上市，初期將透過Dell、HPE、聯想、Supermicro 這4家伺服器廠商供應。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel-Vision-2024-Event-11-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-Vision-2024-Event-11-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Intel-Vision-2024-Event-10-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel-Vision-2024-Event-10-web.jpg" style="width: 298px;" /></a></p> <p>相較於既有的Gaudi 2，Gaudi 3在BF16矩陣乘法運算的表現暴增至4倍（1,835 TFLOPS對上432 TFLOPS），FP8矩陣乘法運算的表現提升至2倍（1,835 TFLOPS對上865 TFLOPS），記憶體頻寬增加至1.5倍、2倍（HBM頻寬3.7 TB/s對上2.46 TB/s，SRAM頻寬12.8 TB/s對上6.4 TB/s）。</p> <p>那麼，比起市面上最搶手的資料中心GPU產品Nvidia H100，Intel Gaudi 3的勝算在哪裡？</p> <p>英特爾預估這款新一代AI加速器，用於常見的大型語言模型的訓練（Llama2-7B、Llama2-13B、GPT3-175B），平均耗費時間縮短50％；用於常見的大型語言模型的推論（Llama2-7B、Llama2-13B、Falcon-180B），平均吞吐量可領先50％，能源效益超越的比例是40％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Gaudi%203%20AI%20Accelerator-2024-04.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gaudi3 AI Training Performance Speedup vs_ Intel Gaudi 2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gaudi3%20AI%20Training%20Performance%20Speedup%20vs_%20Intel%20Gaudi%202.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/LLM Inference Performance of Intel Gaudi 3 vs_ NVIDIA H100.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LLM%20Inference%20Performance%20of%20Intel%20Gaudi%203%20vs_%20NVIDIA%20H100.png" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gaudi3-Gaudi2-AI Inference Throughput.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gaudi3-Gaudi2-AI%20Inference%20Throughput.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Gaudi3-Gaudi2-AI Inference Latency Speedup.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gaudi3-Gaudi2-AI%20Inference%20Latency%20Speedup.png" style="width: 298px;" /></a></p> <p>而就網路存取效能而言，每個Intel Gaudi 3的尖峰I/O吞吐量也比Nvidia H100高，差距比例為33％（1,200 Gb/s對上NVLink的900 Gb/s）。</p> <p>相較於Nvidia即將推出的H100加強版H200，由於其配備容量更大（141 GB）、速度更快的高頻寬記憶體（HBM3e），來勢洶洶，Intel Gaudi 3的AI運算效能仍能繼續勝出嗎？根據英特爾的預估，用於常見的大型語言模型的推論（Llama2-7B、Llama2-13B、Falcon-180B），速度領先幅度可達到30％。</p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/LLM%20Inference%20Performance%20of%20Intel%20Gaudi%203%20vs_%20NVIDIA%20H200.png" style="width: 600px;" /></p> <p>在此之前，市面上陸續出現多款加速運算產品向Nvidia H100 GPU下戰帖。例如，英特爾2022年發表的Data Center GPU Max，2023年5月他們表示，針對多種工作負載，<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-delivers-ai-accelerated-hpc-performance.html#gs.7t9qmb">平均可領先Nvidia H100 PCIe的幅度為30％</a>；11月他們揭露Data Center GPU Max 1550，針對多種高效能運算工作負載，<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-supercomputing-2023-news.html#gs.7t9m41">平均可領先36％</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Max 1550-Perform2-2023-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Max%201550-Perform2-2023-05.jpg" style="width: 600px;" /></a> </p> <p>AMD 2023年12月發表的Instinct MI300X，號稱在執行大型語言模型BLOOM-176B的推論，吞吐量可達到<a href="https://www.forbes.com/sites/karlfreund/2023/12/13/breaking-amd-is-not-the-fastest-gpu-heres-the-real-data/?sh=1a37337b3a6f">Nvidia H100的1.6倍</a>，若用於Llama2-70B，延遲改善度達到1.4倍，套用後續的調校可增長至2.1倍，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-AMD-MI300%20Competetive%20Perf.JPG" style="width: 600px;" /></p> <p>至於英特爾Gaudi 2，2022年5月推出，11月曾與預覽版本狀態的Nvidia H100比較效能，在ResNet-50 的AI訓練時間上，Nvidia H100領先幅度為11％，而在 BERT的AI訓練時間上，Nvidia H100領先幅度為59％；</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-11-Gaudi2-Comparison-Chart-v5-web.jpg" style="width: 600px;" /> </p> <p>2023年5月，開放原始碼AI社群Hugging Face表示，若使用上架在此的Optimum Habana 1.7版，<a href="https://huggingface.co/blog/bridgetower">處理視覺—語言模型BridgeTower的速度可達到Nvidia H100的1.4倍</a>。</p> <h3><span style="color:#0000FF;"><strong>Intel Gaudi 3內建數量更多的新一代矩陣乘法引擎與張量處理器核心，配置更大容量的高頻寬記憶體，支援的大量網路介面也升級至200GbE規格</strong></span></h3> <p>就產品製作與組成方式而言，Intel Gaudi 3導入更先進的台積電5奈米製程（Gaudi 2導入台積電7奈米製程），並採用Intel與Habana Labs共同發展的第五代異質AI加速架構。<img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Gaudi%202%20and%20Intel%20Gaudi%203%20Accelerators.png" style="width: 300px; float: right;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Gaudi%20Accelerator%20Product%20Line.jpg" style="width: 600px;" /></p> <p>以單顆晶片而言，Intel Gaudi 3改為內建兩顆運算晶粒，當中各自囊括4個矩陣乘法引擎（MME）、32個具備完整可程式化功能的張量處理器核心（TPC）、可支援12個200 Gb/s連線頻寬的乙太網路介面，以及48 MB容量的動態隨機存取記憶體（SRAM）。而在兩個晶粒之外，這裡還設置8個16 GB容量HBM2e記憶體晶片，以此組成128 GB容量的統一存取記憶體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Gaudi%203%20AI%20Accelerator%20with%20L2%20cache.png" style="width: 268px;" /> <a href="https://s4.itho.me/sites/default/files/images/Gaudi 3 architecture with DCORE point-of-view and supporting software layers.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gaudi%203%20architecture%20with%20DCORE%20point-of-view%20and%20supporting%20software%20layers.png" style="width: 328px;" /></a></p> <p>關於Intel Gaudi 3採用的新一代MME引擎，英特爾也透露最顯著的特色是能夠平行處理6.4萬個作業，提供相當高的AI運算速度與效率，足以因應複雜的矩陣運算，進而能提升深度學習效能，而且此元件同樣支援FP8、BF16等多種資料型別，提供1.8 PFLOPS效能。</p> <p>採用開放的網路技術與軟體開發環境，也是Intel Gaudi系列的重要賣點。以前者而言，Intel Gaudi 3內建大量支援超高速乙太網路技術的連線介面，能夠更直接用於大型運算叢集的部署，能夠避免被採用專屬網路技術的廠商綑綁，在執行規模的彈性配置上，可以透過有效率的方式進行縱向擴展（scale up），以及橫向擴展（scale out），將運算叢集的規模拓展至數千臺節點，以因應生成式AI模型工作負載的快速成長。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Gaudi3-HLB-325 High Speed Block Diagram.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gaudi3-HLB-325%20High%20Speed%20Block%20Diagram.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/2024-04-Intel-Vision-2024-Event-12.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gaudi 3 Accelerator – Scale-out Cluster Architectures-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gaudi%203%20Accelerator%20%E2%80%93%20Scale-out%20Cluster%20Architectures-1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Gaudi 3 Accelerator – Scale-out Cluster Architectures-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gaudi%203%20Accelerator%20%E2%80%93%20Scale-out%20Cluster%20Architectures-2.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Gaudi 3 Accelerator – Scale-out Cluster Architectures-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gaudi%203%20Accelerator%20%E2%80%93%20Scale-out%20Cluster%20Architectures-3.jpg" style="width: 198px;" /></a></p> <p>對於AI應用程式開發需求而言，英特爾與Habana Labs提供Intel Gaudi軟體，包含效能最佳化底層元件Graph Compiler、軟體開發套件TPC SDK，以及常用演算法（Paged Attention、Flash Attention）的重新訂製實作。</p> <p>而且，這項軟體平臺已整合PyTorch框架，以及其他常用的AI軟體套件，像是用於分散式訓練與推論的DeepSpeed，使用Transformer、Diffusers模型的Hugging Face，為了衝高大型語言模型處理吞吐量的vLLM。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Gaudi%20software%20stack.png" style="width: 600px;" /></p> <p>在產品外形上，Gaudi 3不只是比照Gaudi 2，同樣提供遵循OAM模組規格的夾層卡，以及內建8臺OAM模組的基板（Baseboard），但這一代額外提供PCIe介面卡，以及匯聚4張PCIe介面卡的載板（Top-Board）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IntelR%20Gaudi%203%20AI%20Accelerator%20forms.jpg" style="width: 600px;" /></p> <p>然而，除了外形的差異，引發全球眾多科技與財經媒體的關切之處在於，英特爾竟然直接表明Gaudi 3區隔為兩大市場供應，分成專門提供中國用戶的款式，以及中國以外用戶的款式，並且特別列出5種款式的上市時程，以及彼此之間的共通點與差異。</p> <p>例如，現在若要採購OAM外形的Gaudi 3，中國以外的用戶可選擇3月上市的HL-325L；中國用戶只能選擇HL-328，英特爾預計6月供應；若要採購支援液冷的OAM外形Gaudi 3，中國以外的用戶可選擇HL-335，英特爾預計10月供應。</p> <p>若要採購PCIe介面卡外形的Gaudi 3，預計9月上市，中國以外的用戶可選擇HL-338，中國用戶只能選擇HL-388。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Gaudi%203%20General%20Product%20Specifications-1.png" style="width: 600px;" /></p> <p>這5款的相同之處在於HBM記憶體的容量（128 GB）、尖峰存取頻寬（3.7 TB/s）、介面（1024位元 x 8 stacks）、類型（HBM2e），末級快取記憶體（SRAM）容量（96 MB），主機連接介面（PCIe 5.0 x16），以及多媒體解碼器（支援HEVC/H.265、AVC/H.264、VP9、JPEG）。</p> <p>而被認定為中國市場專用版的HL-328、HL-388，英特爾標示的最大差異在於熱設計功耗較低，例如，同為OAM外形，HL-325L與HL-335熱設計功耗為900瓦，HL-328卻只有450瓦；同為PCIe介面卡外形，HL-338熱設計功耗為600瓦，HL-388只有450瓦。</p> <p>這樣的規格差異，顯然是為了符合美國對於AI晶片的出口管制規定。根據科技媒體The Register的推算，Gaudi 3若要賣到中國市場，勢必要大幅削減運算效能，可能會透過縮減核心數量、時脈執行速度，或其他限制效能的手段，才能達到這樣的要求。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Intel Gaudi 3</strong><br /> ●原廠：英特爾<br /> ●建議售價：廠商未提供<br /> ●產品外形與款式：OAM夾層卡HL-325L、HL-328、HL-335，基板HLB-325（連接8張HL-325）、HLTB-304（連接4張HL-338），PCIe介面卡HL-338、HL-388<br /> ●製程：TSMC 5奈米<br /> ●I/O介面：PCIe 5.0 x16<br /> ●核心架構：64個第5代張量處理器核心、8個矩陣乘法引擎<br /> ●記憶體：96 MB SRAM搭配128 GB HBM2e<br /> ●網路埠：24個200 GbE<br /> ●耗電量：OAM夾層卡HL-325L為900瓦，基板HLB-325為7,600瓦，PCIe介面卡HL-338為600瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/4/24 01:33作者李宗翰https://www.ithome.com.tw/review/162428
【資安日報】4月23日，研究人員揭露新舊作業系統路徑轉換弱點，並指出能被當作rootkit發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者SafeBreach指出，Windows作業系統存在名為MagicDot的漏洞，這項弱點與新舊版本作業系統的路徑轉換有關，一旦將其利用，攻擊者有可能將其當作惡意程式運用。</p> <p>值得留意的是，為維持新舊作業系統相容性，MagicDot微軟並未完全修補，使得這項弱點很可能被拿來挖掘新的攻擊手法。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162466"><strong style="font-size: 22px;">俄羅斯駭客組織APT28運用惡意程式GooseEgg來觸發Windows的Print Spooler弱點</strong></a></p> <p>受到俄羅斯軍情單位GRU指使的駭客組織APT28（也被稱做Forest Blizzard、Strontium），自烏克蘭戰爭開打之後，屢屢配合該國軍事行動發動攻擊，最近1年多更將攻擊範圍延伸到資助烏克蘭的西方國家，但這些駭客的攻擊行動為何難以察覺？有研究人員認為，很有可能與他們使用的惡意程式載入工具有關。</p> <p>微軟針對俄羅斯駭客組織APT28的攻擊手法進行分析，指出對方從2019年4月開始，利用名為GooseEgg的工具，該工具執行後會竄改JavaScript約束（constraints）檔案，並以系統層級運作，然後觸發Windows列印多工緩衝處理器（Print Spooler）服務漏洞CVE-2022-38028（CVSS風險評分為7.8）。</p> <p>雖然GooseEgg的功能相當單純，主要是用來載入應用程式，但攻擊者能將其用於提升權限，而能以獲得的高權限執行其他應用程式，從而遠端執行程式碼、部署後門程式，以及在網路環境中進行橫向移動。</p> <p><a href="https://www.ithome.com.tw/news/162462"><strong style="font-size: 22px;">生成式AI可用來發展低成本紅隊演練？GPT-4能自動拆解漏洞資訊，並將其用於發動攻擊</strong></a></p> <p></p> <p>伊利諾大學厄巴納香檳分校（UIUC）研究人員指出，他們透過大型語言模型（LLM）應用程式，可自動利用已被揭露、具備漏洞編號及細節說明的漏洞，並進行自動化攻擊。</p> <p>研究人員從開源軟體收集15個甫被公布的「一日」漏洞（1-day），這些涵蓋跨網站偽造請求（CSRF）、權限擴張漏洞、容器漏洞、網頁漏洞，他們對LLM應用程式輸入漏洞CVE編號及說明，總共使用91行程式碼及1,056個Token提示。</p> <p>他們透過10個生成式AI機器人進行實驗，結果發現，採用GPT-4的機器人利用漏洞的成功率達到87%，但其他機器人則無法利用漏洞。</p> <p><a href="https://www.ithome.com.tw/news/162475"><strong style="font-size: 22px;">安卓金融木馬SoumniBot利用作業系統應用程式安裝工具弱點迴避偵測</strong></a></p> <p>資安業者McAfee揭露竊資軟體RedLine最新一波的攻擊行動，對方假借提供名為Cheat Lab的遊戲作弊程式，來散布上述竊資軟體，一旦玩家依照指示下載、安裝，電腦就會被感染，攻擊者得以收集用戶資料。</p> <p>特別的是，為了誘騙受害者向其他人散布，駭客宣稱用戶只要分享給朋友，該展示版（Demo）程式便會自動解鎖，升級為完整版本。為了取信受害者，對方還附上了升級金鑰。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://veriti.ai/blog/vulnerable-villain-when-hackers-get-hacked/"><strong style="font-size: 20px;">惡意軟體Androxgh0st入侵全球逾600臺伺服器，臺灣、美國、印度是主要目標</strong></a></p> <p></p> <p>◆<a href="https://www.zscaler.com/blogs/security-research/malvertising-campaign-targeting-it-teams-madmxshell"><strong style="font-size: 20px;">後門程式MadMxShell透過惡意廣告散布，對方聲稱提供實用軟體引誘用戶上當</strong></a></p> <p></p> <p>◆<a href="https://techcrunch.com/2024/04/18/world-check-database-leaked-sanctions-financial-crimes-watchlist/"><strong><span style="font-size: 20px;">駭客組織GhostR聲稱竊取個人聲譽資料庫World-Check的敏感資料</span></strong></a></p> <p></p> <p>◆<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-109a"><strong><span style="font-size: 20px;">勒索軟體Akira從逾250個受害組織得到4,200萬美元贖金</span></strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162464"><strong style="font-size: 22px;">Windows的DOS到NT路徑轉換處理存在漏洞，研究人員將其充當rootkit利用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/02-MagicDot-SafeBreach.png.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/02-MagicDot-SafeBreach.png.png" style="width: 300px; float: right;" /></a>資安業者SafeBreach揭露名為MagicDot的漏洞，當使用者在Windows電腦執行帶有路徑參數的函數，電腦會將DOS路徑轉換成Windows NT的路徑，但在轉換過程存在弱點，起因是該功能會移除所有路徑元素結尾的句號（.），以及在結尾的空白而造成。</p> <p>上述的路徑轉換工作，大部分都會在Windows的使用者空間API完成，而研究人員利用MagicDot，發現了數個漏洞CVE-2023-36396、CVE-2023-32054。</p> <p>值得留意的是，MagicDot不只讓研究人員找到上述漏洞，他認為還具備類似rootkit的能力，使得攻擊者在無需取得特殊權限的情況下，就有辦法隱藏檔案及處理程序、影響電腦對於預先讀取的檔案分析、讓工作管理員或Process Explorer將惡意程式識別為由微軟推出的程式等。</p> <p><a href="https://www.ithome.com.tw/news/162474"><strong style="font-size: 22px;">檔案伺服器軟體CrushFTP存在零時差漏洞，攻擊者可逃脫虛擬檔案系統下載伺服器的系統檔案</strong></a></p> <p>4月19日檔案伺服器系統CrushFTP發布資安公告，指出他們發布10.7.1、11.1.0新版本程式，修補已遭利用的零時差漏洞CVE-2024-4040，呼籲用戶應儘速部署新版程式因應。</p> <p>該公司指出，一旦攻擊者利用上述漏洞，就有機會跳脫使用者的虛擬檔案系統（Virtual File System，VFS）範圍，從而存取、下載伺服器的系統檔案，CVSS風險評分為7.7。</p> <p>雖然開發團隊並未透過攻擊細節，但資安業者CrowdStrike指出，這項漏洞被用於針對性攻擊，對方鎖定美國企業組織的CrushFTP伺服器下手，研究人員根據取得的證據，認為駭客很可能基於政治目標收集情報。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.safebreach.com/blog/dark-side-of-edr-offensive-tool/"><strong><span style="font-size: 20px;">Palo Alto Networks旗下的EDR系統存在漏洞，攻擊者有可能藉此隱密在受害電腦行動</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162448"><strong>【4月22日】資安研究機構MITRE證實遭遇Ivanti零時差漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162418"><strong>【4月19日】全球超過8萬臺Palo Alto Networks防火牆曝露GlobalProtect危急漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162392"><strong>【4月18日】DevOps協作平臺Confluence已知漏洞被用於散布勒索軟體Cerber</strong></a></p> </div></div></div>
2024/4/23 18:58作者周峻佑https://www.ithome.com.tw/news/162476
檔案伺服器軟體CrushFTP存在零時差漏洞，攻擊者可逃脫虛擬檔案系統下載伺服器的系統檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月19日檔案伺服器系統CrushFTP發布資安公告，指出他們發布<a href="https://www.crushftp.com/crush10wiki/Wiki.jsp?page=Update">10.7.1</a>、<a href="https://www.crushftp.com/crush11wiki/Wiki.jsp?page=Update">11.1.0</a>新版本程式，修補已遭利用的零時差漏洞CVE-2024-4040，呼籲用戶應儘速部署新版程式因應。</p> <p>該公司指出，一旦攻擊者利用上述漏洞，就有機會逃脫使用者的虛擬檔案系統（Virtual File System，VFS），從而存取、下載伺服器的系統檔案，CVSS風險評分為7.7。</p> <p>雖然開發團隊並未透過攻擊細節，但資安業者CrowdStrike指出，<a href="https://www.reddit.com/r/crowdstrike/comments/1c88788/situational_awareness_20240419_crushftp_virtual/">這項漏洞被用於針對性攻擊</a>，對方鎖定美國企業組織的CrushFTP伺服器下手，研究人員根據取得的證據，認為駭客很可能基於政治目標收集情報。</p> </div></div></div>
2024/4/23 17:27作者周峻佑https://www.ithome.com.tw/news/162474
安卓金融木馬SoumniBot利用作業系統應用程式安裝工具弱點迴避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基揭露名為SoumniBot的安卓金融木馬程式，<a href="https://securelist.com/soumnibot-android-banker-obfuscates-app-manifest/112334/">並指出攻擊者利用了較為罕見的手法埋藏意</a>圖。</p> <p>研究人員總共歸納3種方式，這些手法主要與安卓應用程式的檔案名冊AndroidManifest.xml有關。</p> <p>首先，攻擊者在解壓縮APK檔案的時候配置了無效的壓縮參數，使得安卓作業系統上的安裝程式解析器將其視為未壓縮，使得該APK檔案能繞過資安偵測並執行安裝流程。</p> <p>再者，則是對方將檔案名冊的資料大小設置為大於實際數值，使得安裝程式直接從APK檔案複製特定元件，並以垃圾資料填充差異的資料量。雖然這些用來填充的資料並不會直接造成破壞，但攻擊者有可能拿來混淆程式碼。</p> <p>最後一種手法是在檔案名冊的XML名稱空間（Namespaces）使用極長字串的名稱，使得自動分析工具難以進行分析。</p> <p>而對於該惡意程式的攻擊行動，研究人員指出是針對韓國用戶而來，但究竟攻擊者如何傳遞仍不得而知，而且，一旦安卓手機遭到感染，手機不會出現相關圖示而難以移除，此惡意程式將會在後臺運作，並將受害者資料回傳。</p> </div></div></div>
2024/4/23 18:03作者周峻佑https://www.ithome.com.tw/news/162475
俄羅斯駭客組織APT28運用惡意程式GooseEgg來觸發Windows的Print Spooler弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟針對俄羅斯駭客組織APT28（他們稱做Forest Blizzard）的攻擊手法進行分析，<a href="https://www.microsoft.com/en-us/security/blog/2024/04/22/analyzing-forest-blizzards-custom-post-compromise-tool-for-exploiting-cve-2022-38028-to-obtain-credentials/">對方從2019年4月開始，利用名為GooseEgg的工具</a>，該工具執行後會竄改JavaScript約束（constraints）檔案，並以系統層級運作，然後觸發Windows列印多工緩衝處理器（Print Spooler）服務漏洞CVE-2022-38028（CVSS風險評分為7.8）。</p> <p>研究人員看到這些駭客運用該工具的攻擊範圍相當廣泛，涵蓋烏克蘭、西歐、北美的政府機關、非政府組織、教育單位、交通運輸單位。</p> <p>雖然GooseEgg的功能相當單純，主要是用來載入應用程式，但攻擊者能將其用於提升權限，而能以獲得的高權限執行其他應用程式，從而遠端執行程式碼、部署後門程式，以及在網路環境中進行橫向移動。</p> <p>而對於攻擊者植入惡意程式的方法，APT28通常使用批次檔部署GooseEgg，該批次檔執行過程會建立另一個批次檔servtask.bat，以便存放相關配置，並讓GooseEgg能持續於受害電腦運作。</p> </div></div></div>
2024/4/23 17:07作者周峻佑https://www.ithome.com.tw/news/162466
Windows在DOS到NT的路徑轉換過程存在漏洞，研究人員將其充當rootkit利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者SafeBreach揭露<a href="https://www.safebreach.com/blog/magicdot-a-hackers-magic-show-of-disappearing-dots-and-spaces/">名為MagicDot的漏洞</a>，當使用者在Windows電腦執行帶有路徑參數的函數，電腦會將DOS路徑轉換成Windows NT的路徑，但在轉換過程存在弱點，起因是該功能會移除所有路徑元素結尾的句號（.），以及在結尾的空白而造成。</p> <p>上述的路徑轉換工作，大部分都會在Windows的使用者空間API完成，而研究人員利用MagicDot，發現了數個漏洞。</p> <p>其中1個是遠端程式碼執行（RCE）漏洞CVE-2023-36396，攻擊者可製作惡意壓縮檔，並會遠端電腦進行解壓縮，就有機會導致程式碼執行，CVSS風險評為7.8分。</p> <p>另外2個是權限提升（EoP）漏洞，其中一個被登記為CVE-2023-32054，攻擊者可操縱磁碟區陰影複製（Shadow Copy）服務備份檔案的復原過程，從而在不需具備相關權限的情況下寫入檔案，CVSS風險評為7.3分。</p> <p>而尚未登記CVE編號的漏洞，則是賦與攻擊者刪除檔案所需權限，攻擊者不需事先取得相關權限。前面提及已登記CVE編號的漏洞，微軟於去年11月完成修補。</p> <p>值得留意的是，MagicDot不只讓研究人員找到上述漏洞，他認為還具備類似rootkit的能力，使得攻擊者在無需取得特殊權限的情況下，就有辦法隱藏檔案及處理程序、影響電腦對於預先讀取的檔案分析、讓工作管理員或Process Explorer將惡意程式識別為由微軟推出的程式等。</p> </div></div></div>
2024/4/23 15:29作者周峻佑https://www.ithome.com.tw/news/162464
美國洛斯阿拉莫斯國家實驗室啟用第一臺採用Nvidia Grace Hopper的超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國洛斯阿拉莫斯國家實驗室（Los Alamos National Laboratory）、Nvidia與Hewlett Packard Enterprise（HPE）上周<a href="https://discover.lanl.gov/news/0415-venado/" target="_blank">攜手宣布啟用Venado</a>，這是美國第一臺採用Nvidia Grace Hopper超級晶片架構的超級電腦，著重於效能與能源效率，以用來加速科學發現。</p> <p><a href="https://developer.nvidia.com/blog/nvidia-grace-hopper-superchip-architecture-in-depth/" target="_blank">Nvidia於2022年發表</a>的Nvidia Grace Hopper超級晶片架構（下圖）結合了Nvidia的首款資料中心CPU--Grace CPU，以及Hopper GPU，並透過高頻寬且同步記憶體的NVLink Chip-2-Chip互連，也支援新的NVLink切換系統。Nvidia Grace Hopper專為大規模的AI及高效能運算應用所設計，對於執行TB級資料量的應用可達10倍以上的效能，以協助科學家及研究人員針對全球最複雜的問題找到答案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0423-Nvidia%20Grace%20Hopper%20Superchip.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> <p>Venado將在HPE Cray EX超級電腦中配備2,560個液冷式的GH200 Grace Hopper 超級晶片，另也將使用920個Grace CPU，使得它成為美國首個部署Grace CPU的大規模系統，每個Grace CPU中擁有144個Arm核心，可一舉提升各種高效能運算（HPC）應用的效能。</p> <p>負責HPC及超大規模系統的Nvidia副總裁 Ian Buck 表示，身為第一個由Grace Hopper支援的美國超級電腦，Venado帶來了突破性的效能與能源效率，可加速科學發現，再加上與該實驗室及HPE的持續合作，Venado可望成為研究人員在材料科學、可再生能源、天文物理學等領域取得突破的出色科學設備。</p> <p>洛斯阿拉莫斯國家實驗室指出，Venado的建置優先考慮了整體效能及工作流程效率，其網路藉由HPE Slingshot 11互連來增強整個系統的效能，且其它的HPE Cray 超級電腦軟體則可改善建模與模擬任務，幫助研究人員利用AI與機器學習來挖掘見解。</p> <p>由於洛斯阿拉莫斯國家實驗室是美國承擔核子武器設計任務的兩個國家實驗室之一，<a href="https://www.theregister.com/2024/04/16/los_alamos_venado_supercomputer_operational/" target="_blank">《The Register》</a>分析，儘管Venado能夠帶來10 EFLOPS的運算能力，但其指標僅適用於AI任務，意謂著它非常適合執行大型語言模型與其它機器學習任務，但或許不是用來模擬鈽彈頭臨界狀態、需要高度精密物理模型的最佳選擇。</p> </div></div></div>
2024/4/23 15:35作者陳曉莉https://www.ithome.com.tw/news/162463
【iThome 2024資安大調查系列1】金融業未來一年資安態勢大剖析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1177-jin_rong_zi_an_tai_shi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>顧客資料是金融業最重要的數位資產，也是攻擊者最常覬覦的目標。資料外洩事件和勒索軟體資安事件這兩項與顧客資料息息相關的資安事件，金融業未來一年發生的風險明顯大增，是今年得格外留意的重大威脅。不只如此，2024年金融業資安風險圖第一象限中，14項高風險高衝擊的資安風險項目，和2023年的項目有很大的變化，新增加了2項威脅失溫的資安風險，也有2項風險的威脅下降而離開第一象限，其餘12的排名也有很大的變化。</p> <h3><strong>社交工程手段和駭客威脅連兩年是首要風險</strong></h3> <p>社交工程手段和駭客威脅，連續兩年都是金融業首要的資安風險，社交工程的發生風險，還比去年略高了一些，金融業者得更加提防。去年金融業資安風險圖中的次要風險只有一項「國家級攻擊組織」，今年的風險圖則不只這一項，還新增了3項風險，包括了發生風險驟增的資料外洩事件和勒索軟體資安事件，今年比去年多達14％金融業者自認未來一年極可能發生資料外洩和勒索軟體資安事件，更比去年多了22%金融業擔心勒索軟體產生的重大衝擊，因此在今年成為金融業必要風險。</p> <p>另外，資安漏洞（零時差漏洞）攻擊事件的威脅，在2021年時的風險頗高，甚至名列第三名高風險項目，因為金融業積極強化IT現代化、汰換老舊系統，而在近兩年略有改善而威脅感下滑，但是到了今年又開始升溫，尤其來自軟體供應鏈上游產生的資安漏洞，更是讓人防不勝防，隨著金融業積極擁抱雲原生技術，採用更多開源軟體和元件，軟體供應鏈風險是2024年衝擊上揚的威脅，連帶地也讓金融業者更擔心，來自上游發生的資安漏洞或後門。</p> <p>在今年資安大調查時間之後，3月29日爆發了震驚IT界的XZ程式庫遭植入後門事件，攻擊者精心潛伏2年，熱心維護程式碼來騙取其他人的信賴，就是為了在這個上游元件中植入惡意程式碼，感染整個下游的Linux作業系統軟體鏈，而且這類軟體供應鏈的資安威脅，每每都會出現CVSS風險超高，甚至是10分滿分威脅度的後門漏洞，更需要及時修補才能避險。</p> <h3><span style="color:#FF0000;"><strong>金融業更警戒軟體供應鏈風險，結合深偽技術的商業郵件詐騙攻擊突然浮現</strong></span></h3> <p>但是，多數大型企業對軟體供應鏈攻擊風險的警覺心不足，從今年資安大調查結果，只有4％的企業擔心這樣風險。唯有金融業例外，遠比其他產業更警戒軟體供應鏈風險，金融業是六個產業中，唯一將軟體供應鏈安全視為高風險且高衝擊資安項目的產業。</p> <p>XZ資安後門事件不會是唯一一起，後續也爆發出還有類似精心潛伏的可疑攻擊事件，資安界和開源圈也正都再次提高警覺盤查，軟體供應鏈資安在未來一年都會是資安界的熱門課題，金融業得持續保持警戒心，不能放鬆。</p> <p>另外還有一項今年突然竄起的威脅是結合了「深偽技術（Deepfake）冒用事件」的商業郵件詐騙（BEC）攻擊。尤其今年2月，在香港爆發了一起合了這兩者的詐騙攻擊，引起全球金融圈高度重視。駭客不只假冒了總部財務長要求匯款的詐騙郵件，分公司員工就算察覺到異常而要求視訊驗證，但駭客，利用深偽技術，假造了整個視訊會議，除了遭詐騙的員工，其餘與會的高層和同僚都是AI偽造的長相和聲音，讓該員工卸下心防而依照指示轉帳，損失高達2億港幣（約臺幣8億多元）。</p> <p>這起事件在今年度資安大調查之際對外曝光，也讓金融業資安長格外警戒這項威脅，近2成的金融業資安長，今年首度將這項風險視為未來一年可能發生的資安威脅，甚至有15%資安長認為，一但發生將對企業帶來重大衝擊。</p> <p>金融業未來一年發生風險大增的資安項目，除了商業郵件詐騙、前述提到的勒索軟體資安事件、資安外洩事件、深偽技術冒用事件之外，還有一項得留意的是假訊息不實資訊事件。<br /> 金融詐騙事件從去年開始暴增，尤其各種假訊息不實資訊的散播，更成了金融主關機關特別打擊的重點，也讓金融業資安主管格外重視這一類的威脅。今年不只多了一成金融資安主管擔心這項風險的發生，更比去年多了16%的金融資安主管評估，假訊息不實資訊將對金融業帶來重大的衝擊，不是可以輕忽的威脅。</p> <h3><strong><span style="color:#FF0000;">7項資安風險的衝擊明顯提高，5項威脅的發生風險明顯增加</span></strong></h3> <p>金融資安長不只更擔心假訊息不實資訊帶來的高衝擊，今年所調查的25項資安風險項目，多達7項風險，在今年都多了1～2成的金融業者列如高衝擊清單，這個新興高衝擊項目的數量，遠高於其他產業，這也反映出金融業資安態勢在今年出現了很大的變化，7項衝擊明顯提高，5項發生風險明顯增加。在金融資安風險圖中，兩者皆提高的項目，以紫色文字標記，只有風險大增者以紅色文字標記，而今年只有衝擊明顯增加者則以綠色文字標記。</p> <p>金融業的IT預算和資安投資向來高居各產業之冠，資安信心也遠高於其他產業。將資安信心水準分成5個等級，極有信心是100分，有信心80，大致有信心60分，只有一點信心40分，沒有信心是20分。以60分（大致有信心）為及格線，整體產業平均是67.1分，金融業的信心分數是74.8分，這個分數雖然各產業最高，但離「有信心」仍有一段差距。</p> <p>金融業那一項資安防護能力最弱？從NIST CSF網路安全框架2.0版的六大面向來看，治理（Govern）、識別（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）與復原（Recover）。金融業對自己的復原能力（71.1分）最有信心，這個信心甚至高於整體產業平均（70.2分），但是，高科技業對保護能力最有信心，平均77.4分，而在應變和復原能力上的信心水準較低，皆是73分，金融業對自己這兩項能力的信心，都比政府學校略低。將近3成金融業者認為，自己對資安事件的應變和演練不足是無法做好資安的因素。</p> <p>雖然，這兩年金融主關機關也大力推動金融資安聯防，加強各項攻防演練，甚至是鬆綁金融上雲、鼓勵雲端備份、備援來提高金融資料的保全，也逐漸展現出成效，但是，金融業者仍然對自己應變和復原能力的信心較低。</p> <p>金融業今年資安投資平均6,373萬元，比去年大幅增加了11.2%，達到兩位數的成長，更有73.5％金融機構今年要持續擴編資安人力。今年更有高達61.1%的資訊長和資安長，將推動資安轉型列為年度重要目標，要推動如主動防禦、零信任、資安左移等作為。</p> <p>在主管機關鼓吹下，今年近4成金融業要投資零信任身分與設備鑑別，2成則甚至還要進一步投資零信任網路推斷與信任推斷等。趕搭生成式AI浪潮，5成金融業者開始驗證或測試GAI金融應用的可行性，也同時積極提高員工的GAI資安意識，也要強化機敏資料保護機制。</p> <p>整體來說，金融業未來一年在第一象限（高風險高衝擊）中的14項資安風險項目，包括了駭客、社交工程手段、國家級攻擊組織、資料外洩事件、勒索軟體資安事件、資安漏洞（零時差漏洞）攻擊事件、網路犯罪者、釣魚網站、軟體供應鏈資安事件、商業郵件詐騙BEC、第三方/委外業者是攻擊者、被植入竊資軟體/後門木馬、ChatGPT/GAI成為輔助攻擊工具、以第三方為跳板的攻擊等項目，這些都是金融業在未來一年可以優先投資資安資源的重點。</p> <p>從金融業資安風險圖來看，明顯更是比其他產業風險圖斑斕了許多，這意味著，不少資安風險項目在這兩年有新的變化。金融業資安主管必須審視自家資安風險與這份整體產業資安風險圖的落差，對於自己不夠重視，但卻是業界高度警戒的項目，今年得改變心態，開始正視。文⊙王宏仁</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1177-%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E6%85%8B%E5%8B%A2-600-BIG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1177-%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E6%85%8B%E5%8B%A2-600.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2024年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色字的項目為今年發生風險明顯提高者，綠色字項目是今年預估衝擊明顯提高者，兩項皆明顯提高者為紫色文字。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家，其中62.8%填答者為企業資安最高主管。</strong></p> </div></div></div>
2024/4/23 15:57作者王宏仁https://www.ithome.com.tw/article/162261
研究人員宣稱基於GPT-4的AI代理人將可自動利用一日漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4名來自伊利諾大學厄巴納--香檳分校（University of Illinois Urbana-Champaign，UIUC）的<a href="https://arxiv.org/abs/2404.08144" target="_blank">研究人員上周發表了一份研究報告</a>，指出基於大型語言模型（LLM）的代理人將可自動利用已被揭露、具有漏洞編號及描述，但尚未被用來攻擊的一日（One-day）漏洞。</p> <p><a href="https://medium.com/@danieldkang/llm-agents-can-autonomously-exploit-one-day-vulnerabilities-e1b76e718a59" target="_blank">參與該研究的Daniel Kang說明</a>，LLM愈來愈強大，並具體以代理人方式呈現，為了探究LLM代理人能否自動利用現實世界的安全漏洞，他們鎖定開源軟體，蒐集了15個一日漏洞，涵蓋網頁漏洞、跨站偽造請求（Cross-site Request Forgery，CSRF）漏洞、權限擴張漏洞到容器漏洞等，並建立了基於不同LLM的代理人，輸入相關漏洞的CVE編號與描述，相關代理人的建立並不複雜，總計只有91行的程式碼及1,056個Token的提示。</p> <p>其中，所謂的一日漏洞指的是已現身於CVE資料庫，具備漏洞描述，但尚未被修補。儘管這些漏洞已被揭露，但並不代表坊間已存在可自動尋獲它們的工具，例如那些無法存取內部部署細節的滲透測試人員或駭客，可能無法得知已被部署的軟體版本。</p> <p>於是，當使用者於提示中輸入簡單的攻擊指令時，代理人就會基於所內建的LLM、工具、CVE及歷史紀錄進行回應。研究人員總計測試了10個LLM，包括GPT-3.5、GPT-4，以及OpenHermes-2.5-Mistral-7B、Llama-2 Chat （70B）、LLaMA-2 Chat （13B）、LLaMA-2 Chat （7B）、Mixtral-8x7B Instruct、Mistral （7B）Instruct v0.2、Nous Hermes-2 Yi 34B與OpenChat 3.5等8個開源模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0423-LLM%20Agents%20can%20Autonomously%20Exploit%20One-day%20Vulnerabilities-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Daniel%20Kang.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／</span><a href="https://medium.com/@danieldkang/llm-agents-can-autonomously-exploit-one-day-vulnerabilities-e1b76e718a59" target="_blank"><span style="color:#696969;">Daniel Kang</span></a></span></p> <p>結果只有採用GPT-4的代理人成功攻擊了87%的一日漏洞，漏網之魚為涉及Iris的XSS漏洞CVE-2024-25640，以及Hertzbeat的遠端程式攻擊漏洞CVE-2023-51653。採用其它大型語言模型的代理人則沒能利用任何一個漏洞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0423-LLM%20Agents%20can%20Autonomously%20Exploit%20One-day%20Vulnerabilities-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_arXiv.png" style="width: 530px;" /></p> <p><span style="font-size:14px;"><a href="https://arxiv.org/abs/2404.08144v2" target="_blank"><span style="color:#696969;">圖片來源／arXiv:2404.08144 [cs.CR]</span></a></span></p> <p>然而，當研究人員刪除了CVE描述之後，即便是基於GPT-4的代理人，其自動攻擊能力亦從75%下滑至7%。</p> <p>研究人員已向OpenAI提報此一研究成果，並在OpenAI的要求下，暫時保留了提示及代理人細節而未對外發表。</p> </div></div></div>
2024/4/23 14:23作者陳曉莉https://www.ithome.com.tw/news/162462
微軟桌機AI功能可能只提供給最新高通ARM-based電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟倡導AI PC是要推動AI的普及化，不過有使用者發現，微軟計畫中的AI Explorer似乎只能在搭載高通最新ARM-based Snapdragon X Elite晶片的電腦執行，至少目前如此。</p> <p>AI Explorer並非傳統的「Explorer（檔案總管）」。它類似Windows 10的Timeline，它記錄了用戶在PC上一切活動，包括執行的應用程式、檔案、預定會議、聊天紀錄、瀏覽的網站、電子郵件，讓用戶可以自然語言搜尋過往開啟的文件、檔案、圖片或工作，也能理解用戶電腦上正在進行的活動。它的目的是扮演桌機上的個人AI助理，幫助用戶提升生產力。</p> <p>AI Explorer是微軟實現AI PC理想的新功能，必須在有NPU的Windows 11電腦上執行。微軟也預計和晶片業者，包括英特爾、AMD和高通共推AI PC。不過<a href="https://www.windowslatest.com/2024/04/18/windows-11-24h2s-leaked-requirements-suggest-ai-explorer-is-limited-to-arm-pcs/" target="_blank">Windows Latest</a>引述一名用戶<a href="https://twitter.com/thebookisclosed/status/1780867353288245520" target="_blank">Albacore的X貼文</a>報導，AI Explorer並非主要晶片夥伴都雨露均霑。這名用戶發現Windows 11 build 26100（24H2 RTM）程式碼包含AI Explorer的硬體規格，包括ARM64 CPU、16GB RAM、225GB系統硬碟（總容量，非可用容量）、以及Snapdragon X Elite NPU。用戶猜測這是為了推廣ARM64普及的手段之一。</p> <p class="rtecenter"><a href="http://twitter.com/thebookisclosed/status/1780867353288245520" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0423-windows%2011-ai%20explore-%E6%83%85%E5%A2%83-Albacore(1).jpg" style="width: 500px;" /></a></p> <p>Snapdragon X Elite是高通去年底發表的處理器，號稱是為支援AI PC設計的新世代晶片，預計今年年中推出。至於何以只有Snapdragon X Elite符合資格，<a href="https://www.windowscentral.com/software-apps/windows-11/microsofts-upcoming-windows-11-ai-explorer-update-might-be-exclusive-to-arm-pcs" target="_blank">媒體推測</a>是因為這即將推出的晶片NPU高達40 TOPS（terabyte operation per second）。相形之下，英特爾和AMD現行晶片Intel Meteor Lake和AMD Hawk Point NPU分別只有10 TOPS及16TOPS。</p> <p>兩公司接下來的下一代晶片較有可能支援AI Explorer的需求。Arrow Lake的AI算力預計是Meteor Lake的3倍，而Lunar Lake可能會有45 TPOS NPU算力，兩者預計2024年底推出。AMD下一代晶片Strix Point預計有48 TOPS，媒體報導可望於今年年中推出。</p> <p>今年年中，搭載Windows 11的新AI PC將問世，微軟也預計5月20日將舉行發表會，公布Windows 11 AI功能，以及新的Arm-based Surface電腦或平板。</p> </div></div></div>
2024/4/23 11:29作者林妍溱https://www.ithome.com.tw/news/162452
歐盟針對TikTok有否違反《數位服務法》展開調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_24_2227" target="_blank">歐盟執委會（European Commission，EC）周一（4/22）宣布</a>，將針對TikTok在法國及西班牙推出的TikTok Lite是否違反《數位服務法》（Digital Services Act，DSA）展開調查。這是《數位服務法》於今年2月17日正式上線後，EC對TikTok展開的第二次正式調查。</p> <p>其實在《數位服務法》上線兩天後，<a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_24_926" target="_blank">EC便對TikTok展開行動</a>，調查TikTok在保護未成年人、透明度、研究人員資料存取，以及成癮設計與有害內容的風險管理上是否符合該法令的規範。</p> <p>而本周的調查則是鎖定TikTok新推出的TikTok Lite，因為TikTok Lite所提供的「任務及獎勵計畫」（Task and Reward Program）鼓勵用戶在TikTok執行某些任務時賺取積分，像是觀看影片、對內容按讚、關注創作者，或是邀請朋友加入TikTok等，擔心TikTok並未認真評估相關服務是否會帶來成癮風險。</p> <p>調查的方向包括檢查TikTok是否遵守DSA義務，在部署新功能之前執行並提交風險評估報告，例如「任務及獎勵計畫」可能刺激成癮行為，對使用者產生負面影響；亦將檢查TikTok為減輕相關風險所採取的措施。</p> <p>EC要求TikTok要在4月23日之前提交風險評估報告，並於5月3日之前提供所需的其它資訊，若能未於限期內履行，那麼TikTok最高可被判罰1%的年收入或全球營業額，還可能連續遭到處分。</p> <p><a href="https://www.ithome.com.tw/news/156572" target="_blank">歐盟的《數位服務法》適用於19項大型網路服務</a>，除了TikTok之外，現正面臨調查的還有阿里巴巴的網路零售平臺全球速賣通（AliExpress）以及馬斯克（Elon Musk）旗下的X，<a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_24_1485" target="_blank">針對前者的調查</a>主要聚焦於風險管理及緩解、內容審核、內部投訴機制，以及廣告及推薦系統的透明度等，<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_23_6709" target="_blank">對於X的調查也類似</a>，著重於該平臺的風險管理、內容審查、廣告透明度及研究人員的資料存取。</p> </div></div></div>
2024/4/23 11:43作者陳曉莉https://www.ithome.com.tw/news/162453
Meta Quest OS改名Horizon，開放硬體商生產自有VR裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.meta.com/zh-tw/blog/quest/meta-horizon-os-open-hardware-ecosystem-asus-republic-gamers-lenovo-xbox/" target="_blank">Meta昨（22）日宣布</a>將Quest產品的底層作業系統改名為Horizon OS，並開放給硬體夥伴，使其得以生產自有品牌VR/MR裝置。</p> <p>Meta表示，透過這項開放行動，可以提供消費者更多選擇，也讓開發人員有更大的生態體系可開發應用。Quest OS也從今天起改名為Horizon OS。Horizon OS包含MR核心技術及相關功能套件。Meta說，改名是為了反映新平臺是「為了人與連結、以及實現目的的共享社交架構而開發」。</p> <p>Meta開放有助於擴大其平臺的開發社群及使用者，以迎戰蘋果以Vision Pro為中心的用戶生態體系（ecosystem）。蘋果的Vision Pro不論是效能、使用介面、音訊等都獲得好評，但缺點是3,499美元的價格屬於一般消費者難以接受的價位，此外App也相對少。Meta希望能藉由開放給第三方硬體業者，降低Quest VR產品售價。</p> <p>Meta昨日宣布開放的硬體廠商包括聯想和華碩，後者已經正在開發Horizon OS為基礎的VR/MR裝置，包括華碩開發一款Republic of Gamers品牌的電競遊戲頭戴式裝置，聯想則將繼之前的Oculus Rift S之後，再開發搭配ThinkPad筆電使用、為生產力、學習和娛樂用途的新產品。此外，微軟的Xbox和Meta去年合作將Xbox Cloud Gaming服務的2D遊戲帶向Meta Quest後，雙方再度合作，計畫開發「Xbox為靈感」的限量版Meta Quest裝置。所有新產品都將採用高通的Snapdragon處理器。</p> <p>配合新Horizon OS的開放，Meta也宣布正在開發空間App框架，以及更方便的遊戲上架管道。新空間App框架允許開發商使用熟悉的工具製作混合實境（MR）遊戲，或將既有App移植到Horizon OS。<a href="https://developers.facebook.com/m/spatial-app-framework/" target="_blank">開發商需在Meta網頁申請</a>。</p> <p>Meta也允許在其開發平臺App Lab開發的應用程式及遊戲，滿足基本技術和內容要求者將可在Meta應用程式市集Horizon Store上架。Horizon Store中將會規畫App Lab開發的遊戲專屬區塊，以擴大曝光率，即日起也已有數款熱門遊戲上架。</p> <p>最後，Meta也向Google喊話，邀請它開放Google Play 2D程式商店的遊戲在Horizon OS上執行。目前能在Meta平臺上執行遊戲的管道包括微軟Xbox Game Pass Ultimate，或是以Steam Link及Meta的Air Link從PC串流到Quest VR裝置。</p> </div></div></div>
2024/4/23 11:07作者林妍溱https://www.ithome.com.tw/news/162451
【資安日報】4月22日，資安研究機構MITRE證實遭遇Ivanti零時差漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一月份Ivanti針對Connect Secure公布兩個零時差漏洞，當時通報此事的資安業者Volexity就表示，這些漏洞自去年底就被中國駭客用於攻擊行動，但迄今鮮少有組織出面證實受害。</p> <p>但諷刺的是，傳出受害的組織，竟然都是引領全球資安防禦的機構。上個月，美國網路安全暨基礎設施安全局（CISA）傳出遭到攻擊，而到了最近，維護資安防護框架的資安研究機構MITRE，也證實受害。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162443"><strong style="font-size: 22px;">Ivanti零時差漏洞又出現新的受害組織，這次是資安研究機構MITRE</strong></a></p> <p>資安業者Ivanti自今年1月開始公布多個Connect Secure、Policy Secure零時差漏洞，且陸續被研究人員證實用於攻擊行動。繼美國網路安全暨基礎設施安全局（CISA）傳出遭遇相關攻擊，又有資安機構也證實受害。</p> <p>4月19日MITRE指出他們用於研究、開發、原型設計的協作網路環境「網路實驗、研究及虛擬化環境（NERVE）」遭到外國駭客入侵，該機構察覺後即切斷駭客存取的管道，其資安團隊尋求外部數位鑑識團隊合作，對此事故進行調查。</p> <p>攻擊者在今年1月對MITRE的網路進行偵察，透過2個Connect Secure漏洞存取其中一個VPN網路系統，並挾持連線階段（Session）繞過雙因素驗證流程。接著，對方進行橫向移動，利用外流的管理者帳號挖掘他們的VMware虛擬化環境基礎設施。</p> <p><a href="https://www.ithome.com.tw/news/162440"><strong style="font-size: 22px;">駭客組織BlackTech鎖定科技、研究、政府部門而來，利用新的後門程式Deuterbear發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BlackTech-fig9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BlackTech-fig9.png" style="width: 300px; float: right;" /></a>趨勢科技針對中國駭客組織BlackTech（他們將稱為Earth Hundun）提出警告，指出近期針對科技業、研究機構、政府機關的網路攻擊，出現顯著增加的現象，而且，這些攻擊行動運用名為Waterbear的後門程式，其中最新版本的變種程式特別獲得獨立命名，稱為Deuterbear。</p> <p>研究人員發現Deuterbear解密流程與配置的結構出現重大變化，其下載、載入惡意程式的功能有明顯不同。以下載模組的部分為例，攻擊者導入HTTPS隧道來處理流量，並利用處理程序執行時間檢查除錯模式、透過API及睡眠模式來偵察是否於沙箱環境。此外，該模組也具備反記憶體掃描的偵測功能。</p> <p><a href="https://www.ithome.com.tw/news/162438"><strong style="font-size: 22px;">竊資軟體RedLine藉由遊戲作弊軟體為誘餌，引誘玩家上當</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RedLine-9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedLine-9.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者McAfee揭露竊資軟體RedLine最新一波的攻擊行動，對方假借提供名為Cheat Lab的遊戲作弊程式，來散布上述竊資軟體，一旦玩家依照指示下載、安裝，電腦就會被感染，攻擊者得以收集用戶資料。</p> <p>特別的是，為了誘騙受害者向其他人散布，駭客宣稱用戶只要分享給朋友，該展示版（Demo）程式便會自動解鎖，升級為完整版本。為了取信受害者，對方還附上了升級金鑰。</p> <p><a href="https://www.ithome.com.tw/news/162437"><strong style="font-size: 22px;">電腦周邊產品大廠群光電子傳出遭駭，勒索軟體駭客Hunters International聲稱竊得1.2 TB資料</strong></a></p> <p>4月15日勒索軟體駭客組織Hunters International聲稱攻擊臺灣電腦周邊產品大廠群光電子（Chicony Electronics），竊得1.2 TB內部資料，檔案數量有4,140,652個。由於不久之前才傳出日本光學設備製造商Hoya遭遇該組織攻擊，這起事故也引起國內媒體關注。</p> <p>對此，21日群光發布重大訊息針對此事提出說明。該公司指出，他們的資安單位發現駭客攻擊行動時，就啟動相關防禦機制及復原作業，但這起事故對方並未影響公司核心資通訊系統、網站運作，且並無個資及機密文件資料外洩，這起事故並未對他們造成重大損害或是影響，亦未對營運產生重大影響。</p> <p>我們也向群光進一步確認，該公司表示這起事故的確是勒索軟體攻擊，駭客發動攻擊的當下他們就著手進行回應、處理，並指出由於遭到攻擊的範圍與公司的核心資通訊系統、公司網站無關，也並未對營運造成影響。</p> <p><a href="https://www.ithome.com.tw/article/162256"><strong style="font-size: 22px;">勒索軟體是一般製造業首要風險，釣魚網站、社交工程、BEC也不能掉以輕心</strong></a></p> <p>連續四年，勒索軟體資安事件是一般製造業威脅最大的資安風險項目，而且發生風險連年提高。根據iThome 2024資安大調查，超過5成一般製造業者認為，未來一年極可能遭遇這類事件，擔心這項威脅的企業，比去年多了5%。過半一般製造業者尤其擔心，因為一旦發生，就會帶來重大的衝擊。這項威脅也是對一般製造業衝擊程度最高的項目。</p> <p>除了防範勒索軟體的威脅之外，一般製造業未來一年還得留意四項次要資安風險，包括了來自釣魚網站、社交工程手段、商業郵件詐騙這三個攻擊途徑的威脅，以及來自駭客發動的攻擊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/hellokitty-ransomware-rebrands-releases-cd-projekt-and-cisco-data/"><strong style="font-size: 20px;">勒索軟體駭客HelloKitty公布CD Projekt、思科外流資料，並更名企圖東山再起</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/crushftp-warns-users-to-patch-exploited-zero-day-immediately/"><strong style="font-size: 20px;">FTP伺服器軟體CrushFTP存在零時差漏洞，攻擊者可逃脫虛擬檔案系統下載伺服器的系統檔案</strong></a></p> <p></p> <p>◆<a href="https://securelist.com/dunequixote/112425/"><strong><span style="font-size: 20px;">中東政府遭到後門程式CR4T鎖定，駭客發起DuneQuixote攻擊行動</span></strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/github-comments-abused-to-push-malware-via-microsoft-repo-urls/"><strong><span style="font-size: 20px;">GitHub評論也能被濫用於散布惡意程式！駭客利用微軟的儲存庫URL推送作案工具</span></strong></a></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/critical-forminator-plugin-flaw-impacts-over-300k-wordpress-sites/"><strong><span style="font-size: 20px;">WordPress表單建立外掛Forminator存在危急漏洞，攻擊者可用來對伺服器隨意上傳檔案</span></strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162413"><strong style="font-size: 22px;">執法單位攻陷網釣服務平臺Labhost，逮捕37名嫌犯</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Stargrew_0.png.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Stargrew_0.png.jpg" style="width: 300px; float: right;" /></a>4月18日歐洲刑警組織（Europol）、英國、澳洲等十多個國家聯手，宣布破獲大型網釣服務（PhaaS）平臺LabHost，這些國家的執法單位在14日至17日之間展開行動，總共搜索70個地址、逮捕37名嫌犯。其中，英國逮捕4名經營團隊成員，包括該平臺的原始開發者。該組織全球網站也遭到警方接管並關閉。</p> <p>協助調查的趨勢科技指出，此網釣服務平臺於2021年底設定，標榜提供對手中間人攻擊（AiTM）所需工具，而能讓買家繞過雙因素驗證（MFA）。賣家不只提供國家知名銀行、Spotify、DHL、郵政服務、汽車收費服務、保險服務的網釣頁面範本，並提供客製化服務。</p> <p>經營LabHost的團隊已設置逾4萬個網釣網站，替買家盜走48萬張金融卡、6.4萬個PIN碼、逾100萬個網路服務的密碼，不法收入約117.3萬美元。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162418"><strong>【4月19日】全球超過8萬臺Palo Alto Networks防火牆曝露GlobalProtect危急漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162392"><strong>【4月18日】DevOps協作平臺Confluence已知漏洞被用於散布勒索軟體Cerber</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162373"><strong>【4月17日】多個廠牌的VPN系統、網路設備遭到鎖定，攻擊者對其發動暴力破解攻擊</strong></a></p> </div></div></div>
2024/4/22 18:21作者周峻佑https://www.ithome.com.tw/news/162448
Ivanti零時差漏洞又出現新的受害組織，這次是非營利資安研究機構MITRE
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Ivanti自今年1月開始<a href="https://www.ithome.com.tw/news/161530">公布多個Connect Secure、Policy Secure零時差漏洞</a>，且陸續被研究人員證實用於攻擊行動。繼美國網路安全暨基礎設施安全局（CISA）傳出遭遇相關攻擊，又有資安機構也證實受害。</p> <p>4月19日<a href="https://medium.com/mitre-engenuity/advanced-cyber-threats-impact-even-the-most-prepared-56444e980dc8">MITRE指出</a>他們用於研究、開發、原型設計的協作網路環境「網路實驗、研究及虛擬化環境（NERVE）」遭到外國駭客入侵，該機構察覺後即切斷駭客存取的管道，其資安團隊尋求外部數位鑑識團隊合作，對此事故進行調查。</p> <p>攻擊者在今年1月對MITRE的網路進行偵察，透過2個Connect Secure漏洞存取其中一個VPN網路系統，並挾持連線階段（Session）繞過雙因素驗證流程。接著，對方進行橫向移動，利用外流的管理者帳號挖掘他們的VMware虛擬化環境基礎設施。過程中駭客利用複雜的後門程式及Web Shell，以便持續存取MITRE內部的網路環境，並取得帳密資料。</p> <p>MITRE指出，雖然他們已經遵循最佳實作、廠商指引、政府相關建議來提升Ivanti系統的資安強度，但他們並未察覺攻擊者橫向移動到VMware基礎設施，坦承目前採取的措施仍有所不足。該公司已採取一系列的事件回應計畫，並公布事件偵測及網路強化最佳實務建議。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/gqjwCNgq1NA?si=R9-CAWGRc8PExhv5" title="YouTube video player" width="560"></iframe></p> </div></div></div>
2024/4/22 17:20作者周峻佑https://www.ithome.com.tw/news/162443
【iThome 2024資安大調查系列1】服務業未來一年資安態勢大剖析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1177-fu_wu_ye_zi_an_tai_shi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著疫情零接觸商機紅利逐漸消失，這兩年服務業積極整合推動OMO線上線下整合，大舉上雲來推動數位轉型，更開始深化各種數據運用的可能性，服務業是唯一一個連續三年IT預算兩位數成長的產業，而OMO整合後的複雜性，也讓服務業面臨更多樣化的資安風險和網路威脅。</p> <h2><strong><span style="color:#FF0000;">資安風險項目排序大變化，社交工程風險和衝擊突然竄升</span></strong></h2> <p>服務業資安風險圖第一象限（高風險高衝擊）的資安項目，從去年的12項，到了今年多了一項，增加到13項，除了今年新增的「被植入竊資軟體/後門木馬」也進入樂第一象限，「商業郵件詐騙BEC」今年開始進入第一象限，成了必須留意<br /> 的新威脅。服務業今年資安風險項目的優先順序變化頗大，去年名列次要風險的社交工程手段，今年和勒索軟體資安事件並列為兩大首要風險，甚至，今年比去年多了18%的服務業資安主管開始認為，社交工程手段將對企業帶來重大衝擊。社交工程和勒索軟體的威脅是服務業在2024～2025必須優先因應的兩大首要風險。</p> <p>去年名列首要風險的駭客和釣魚網站威脅在今年的排名出現些微下滑，6%服務業者不再認為釣魚網站的衝擊很大，也多了一成業者自評，未來一年不太可能遭遇駭客攻擊。不過，這兩項仍有不少服務業者相當擔心，依然是服務業者不可忽視的次要風險項目。</p> <p>隨著服務業越來越仰賴數位通路，以第三方為跳板的攻擊和來自網路犯罪者的威脅也比往年更高，服務業資安主管認為這兩項對企業的衝擊，明顯比去年增加了不少，尤其今年多了一成服務業資安主管認為，第三方跳板攻擊將帶來重大衝擊而相當警戒。另外，商業郵件詐騙的衝擊程度也比去年更高，因此，這項風險從去年的高風險低衝擊的第三象限，首度在今年進入了高風險高衝擊的第一象限。</p> <p>在OMO發展浪潮下，上雲依舊是服務業今年的IT發展重心，甚至近5成服務業者將上雲視為因應ESG的主要對策，比內部作業無紙化更積極推動。服務業是各產業之中，最積極擁抱公雲，也是雲原生技術採用率最高的產業。服務業在2024年底，平均將有31.7％的應用搬上公雲，35.6%的應用都採用雲原生技術。也因此，相較於其他產業，服務業者更為重視雲端安全，多達28％的服務業者將雲端安全列為未來一年的資安投資重點，是各產業中最多者。</p> <p>影響服務業做好資安的最大原因是資安人手不足，只有7成服務業有專職資安人力，遠低於其他產業，今年有4成服務業者想要招募資安人手。服務業今年的資安預算平均達到584萬元，比去年大幅提高了12.5％，資安預算成長率是各產業最高者。今年也有4成多的服務業要積極推動資安轉型，採用主動防禦、資安左移等作為。今年有14%服務業者要投資軟體開發安全，更有24%服務業者要擁抱DevSecOps（開發安全維運一體化），這個比例和金融業的採用企業比例相當，也遠高於其他產業。</p> <p>將資安信心水準分成5個等級，極有信心是100分，有信心80，大致有信心60分，只有一點信心40分，沒有信心是20分。以60分（大致有信心）為及格線，整體產業平均是67.1分，服務業資安主管自評的資安信心分數是67.9分，略高於整體平均，屬於前段班的水準，只低於金融業和政府學校。</p> <p>服務業在各項資安防護能力的比較，從NIST CSF網路安全框架2.0版的六大面向來看，治理（Govern）、識別（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）與復原（Recover）。服務業對每一項的信心都高於整體產業平均，沒有哪一些特別弱，其中，服務業對自己的復原能力（71.5分）最有信心，而對識別能力的信心最弱，平均只有65分，不過，這個識別能力分數已經比醫療、一般製造和高科技業者的信心分數高了不少。服務業資安主管擔心自己，較沒有能力辨識出未來可能的資安風險，可以參考這份2024～2025服務業資安風險圖，作為未來一年資安布局和決策時的參考。</p> <h3><span style="color:#FF0000;"><strong>服務業最積極擁抱GenAI，ChatGPT類服務資安風險開始浮現</strong></span></h3> <p>在各產業之中，服務業最積極擁抱生成式AI的產業，多達11%的服務業者，已經正式在關鍵系統、工作場所或對外的產品服務中採用生成式AI，這個比例遠高於其他產業，高達3成服務業者開始用ChatGPT等GAI技術來提高員工的生產力，例如用於程式碼開發或者行銷輔助之用。近5成的服務業資訊長更將用AI創新應用和服務，列為2024年的優先發展目標。服務業在2024年的大數據投資和AI投資，都比2023年提高了不少。</p> <p>不少服務業資安主管，繼上雲資安風險之後，也開始專注生成式AI帶來的風險，尤其服務者大多從ChatGPT類服務的採用上手，在今年資安大調查中可以看到，服務業有一項格外值得留意的資安風險，就是ChatGPT類服務資安事件，這項風險今年差一點進入第一象限，但是和去年的資安態勢相比，卻是25項資安項目中，威脅成長幅度最大的風險，今年多了一成服務業資安主管將ChatGPT類服務資安事件列入未來一年極可能發生，而且是衝擊很大的資安挑戰。</p> <p>因為積極擁抱生成式AI，服務業也大力鼓勵員工使用外部的生成式AI服務，只有6％服務業者在內網禁用，但是為了預防日後浮現的生成式AI資安風險，已有54%的服務業者開始強化員工的生成式AI資安意識，例如提醒避免將機敏資料上傳到外部的ChatGPT服務，另有3成服務業者搭配強化機敏資料的保護機制作為配套。</p> <p>在這份服務業企業資安風險圖中，比較了25項資安風險項目，企業資安資源有限時，可優先投入到第一象限的資安風險項目，也就是發生風險高且對企業衝擊影響高的項目，整體來看，服務業在2024～2025年要留意的第一象限風險共13項，除了勒索軟體資安事件、社交工程手段、駭客、釣魚網站這兩項首頁和兩項次要風險之外，還包括了資料外洩、資安漏洞（零時差漏洞）攻擊事件、被植入竊資軟體/後門木馬、以第三方為跳板的攻擊、網路犯罪者、顧客資安事件、內部人員是攻擊者、商業郵件詐騙BEC、以雲端供應商為跳板的攻擊等，可以作為服務業未來一年的資安優先重點。文⊙王宏仁</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1177-%E6%9C%8D%E5%8B%99%E6%A5%AD%E8%B3%87%E5%AE%89%E6%85%8B%E5%8B%A2-600-BIG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1177-%E6%9C%8D%E5%8B%99%E6%A5%AD%E8%B3%87%E5%AE%89%E6%85%8B%E5%8B%A2-600.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2024年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色字的項目為今年發生風險明顯提高者，綠色字項目是今年預估衝擊明顯提高者，兩項皆明顯提高者為紫色文字。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家，其中62.8%填答者為企業資安最高主管。</strong></p> </div></div></div>
2024/4/22 18:05作者王宏仁https://www.ithome.com.tw/article/162259
駭客組織BlackTech鎖定科技、研究、政府部門而來，利用新的後門程式Deuterbear發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趨勢科技針對中國駭客組織BlackTech（他們將稱為Earth Hundun）提出警告，<a href="http://趨勢科技針對中國駭客組織BlackTech（他們將稱為Earth Hundun）提出警告，指出近期針對科技業、研究機構、政府機關的網路攻擊，出現顯著增加的現象，而且，這些攻擊行動對方運用了名為Waterbear的後門程式，其中最新版本的變種程式Deuterbear引起了他們的注意。研究人員指出，Waterbear是結構極為複雜的武器，具有廣泛的反除錯、反沙彪、迴避防毒軟體能力。到了2022年，這些駭客改用名為Deuterbear的新版後門程式，研究人員發現其解密流程與配置的結構出現重大變化，其下載、載入惡意程式的功能有明顯不同。以下載模組的部分為例，攻擊者導入HTTPS隧道來處理流量，並利用處理程序執行時間檢查除錯模式、透過API及睡眠模式來偵察是否於沙箱環境。此外，該模組也具備反記憶體掃描的偵測功能。研究人員指出，該後門程式藉由特定的金鑰對所有功能模組進行加密處理，並使用新的虛擬記憶體區塊來執行被呼叫的功能，從而迴避相關偵測。他們看到攻擊者在下載RAT木馬程式的過程中，Deuterbear先是與C2建立HTTPS連線，然後傳送RC4私鑰，並驗證C2回傳的金鑰，確認後才發出下載請求、取得RAT程式的大小並下載。">指出近期針對科技業、研究機構、政府機關的網路攻擊，出現顯著增加的現象</a>，而且，這些攻擊行動對方運用了名為Waterbear的後門程式，其中最新版本的變種程式Deuterbear引起了他們的注意。</p> <p>研究人員指出，Waterbear是結構極為複雜的武器，具有廣泛的反除錯、反沙箱、迴避防毒軟體能力。</p> <p>到了2022年，這些駭客改用名為Deuterbear的新版後門程式，研究人員發現其解密流程與配置的結構出現重大變化，其下載、載入惡意程式的功能有明顯不同。</p> <p>以下載模組的部分為例，攻擊者導入HTTPS隧道來處理流量，並利用處理程序執行時間檢查除錯模式、透過API及睡眠模式來偵察是否於沙箱環境。此外，該模組也具備反記憶體掃描的偵測功能。</p> <p>研究人員指出，該後門程式藉由特定的金鑰對所有功能模組進行加密處理，並使用新的虛擬記憶體區塊來執行被呼叫的功能，從而迴避相關偵測。</p> <p><a href="https://s4.itho.me/sites/default/files/images/BlackTech-fig9.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BlackTech-fig9.png" style="width: 580px;" /></a></p> <p>他們看到攻擊者在下載RAT木馬程式的過程中，Deuterbear先是與C2建立HTTPS連線，然後傳送RC4私鑰，並驗證C2回傳的金鑰，確認後才發出下載請求、取得RAT程式的大小並下載。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/BlackTech-fig11.png" style="width: 580px;" /></p> </div></div></div>
2024/4/22 16:32作者周峻佑https://www.ithome.com.tw/news/162440
GKE儲存區新選擇Hyperdisk Balanced，適合業務應用與中階資料庫用例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在GKE（Google Kubernetes Engine）Hyperdisk系列儲存添加新的類型<a href="https://cloud.google.com/blog/products/containers-kubernetes/hyperdisk-balanced-for-gke-now-available">Hyperdisk Balanced </a>，在Hyperdisk Extreme與Hyperdisk Throughput之外，提供一個適合一般業務應用程式、網頁應用程式和中階資料庫的儲存區選擇。</p> <p>Hyperdisk與傳統持久性磁碟的差異是，Hyperdisk的儲存效能獨立於應用程式執行節點，而這賦予用戶更大的I/O處理靈活性，同時降低儲存效能受到應用運算負載干擾的可能性。新的Hyperdisk Balanced則是一種更加通用的儲存區類型，提供最高2.4 GBps吞吐量以及160,000 IOPS，平衡效能和成本適用於大多數業務工作負載。</p> <p>相較之下，Hyperdisk Throughput是設計來應付高吞吐量應用的儲存區類型，提供達3 GBps的吞吐量，適合成本敏感且主要需求為吞吐量的應用，像是大規模資料平臺和日誌處理系統。而Hyperdisk Extreme則擁有極高的IOPS效能，適合需要高速讀寫的應用，像是大規模交易處理資料庫，或是高效能運用等。</p> </div></div></div>
2024/4/22 17:05作者李建興https://www.ithome.com.tw/news/162439
【資安週報】2024年4月15日到4月19日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一週的漏洞消息中，有Oracle發布今年第2季例行更新要注意，還有一個受到更多IT界關注的漏洞修補，是老牌終端機及傳檔工具Putty的開發團隊發布vuln-p521-bias漏洞通告，指出攻擊者可透過CVE-2024-31497漏洞，獲取NIST P521曲線演算法的ECDSA私鑰，因此，用戶除了更新軟體，也要立即撤銷並替換新的私鑰。所幸的是，這次漏洞僅有使用521位元的ECDSA私鑰的用戶受影響。</p> <p>在漏洞利用方面，有一則已知漏洞新傳出遭利用的消息，3月時中繼資料管理工具OpenMetadata維護團隊修補了5個漏洞，近期有研究人員發現，有攻擊者利用這些漏洞攻擊企業K8s環境，並部署挖礦軟體。</p> <p>另一值得留意的是，上期周報提及Palo Alto Networks修補已遭利用的零時差漏洞CVE-2024-3400，後續有研究人員指出，全球有8.2萬臺曝險，臺灣也有1,344臺這類設備，它們都是處於暴露於網際網路且尚未修補此漏洞的狀態。</p> <p>在資安威脅焦點方面，近期有3類型的攻擊活動，我們認為值得多加留意，包括鎖定VPN與SSH的攻擊，鎖定路由器的攻擊，以及網釣威脅與活動。<br /> ●多個廠牌的VPN系統或SSH服務正被攻擊者鎖定，發起大規模暴力破解攻擊，思科表示不只是自家產品，還有Check Point、Fortinet、SonicWall、Miktrotik、居易、Ubiquiti的設備遭鎖定，並發現針對遠端桌面的網頁存取服務攻擊的情況。<br /> ●過去幾週有不少殭屍網路鎖定路由器攻擊的狀況，最近又有新的活動被揭露，有資安研究人員發現Moobot、Miori、Condi、 AGoent、Gafgyt與Mirai變種這6種殭屍網路病毒，都在利用TP-Link去年修補的路由器漏洞發動入侵。<br /> ●近期一家美國電信服務商員工帳密遭網釣、內部系統遭存取的事件引發思科示警，因為該電信商負責Duo用戶的MFA簡訊通知及VoIP訊息，因此思科提醒用戶，留意遭竊資訊可能被攻擊者用於社交工程攻擊。<br /> ●去年一起鎖定美國大型汽車製造商的攻擊行動被資安業者揭露，當中指出攻擊者一開始發送的網釣郵件，是假冒免費IP位址掃描工具軟體Advanced IP Scanner為誘耳，顯然，IT人員持續成為駭客發動網釣的目標，必需抱持更大警覺。</p> <p>關於前幾個星期發生的兩起重大事件，最近有後續消息傳出<i>。</i>首先，對於日前XZ/liblzma後門事件，攻擊者竟潛伏為合法維護者的狀況，近日OpenJS基金會示警，表示收到一系列電子郵件，其內容是要求為熱門JavaScript專案指定新的維護者，因此他們與OpenSSF共同提醒開源維護者，需慎防這樣的社交工程攻擊手法；另一是上週蘋果罕見對全球92國iPhone用戶提出警告，如今有研究人員透露進一步細節，指出攻擊者使用的間諜軟體是LightSpy。</p> <p>在其他資安威脅態勢上，全球近來發生不少重大網路攻擊事件，都與政府或關鍵基礎設施有關，我們整理如下：<br /> ●臺灣外交部的機密資料傳出在暗網被兜售，外交部指出這些資料的來源可疑，涉及境外變造、偽造等不法行為，以及操弄認知作戰的意圖，將持續調查。<br /> ●在南海局勢升溫之際，有資安業者揭露近期中國駭客針對菲律賓的假訊息與駭客攻擊活動增加3倍。<br /> ●聯合國開發計畫署近期表示，哥本哈根聯合國城的IT基礎設施上月底遭網路攻擊，部分人力與採購資料遭竊。<br /> ●俄羅斯駭客組織Sandworm近期動作頻頻，不只鎖定烏克蘭關鍵基礎設施，也鎖定美國、波蘭的供水設施，以及法國的水力發電系統發動攻擊。<br /> ●針對俄羅斯持續發動網路攻擊，烏克蘭方面近期傳出反擊，該國駭客組織Blackjack宣稱，已入侵俄國工業感應器及監控基礎設施製造商Moscollector。</p> <p>還有3起勒索軟體攻擊事件也成新聞焦點。包括：總部位於荷蘭的晶片製造商Nexperia遭遇勒索軟體攻擊，旅館集團Omni傳出遭勒索軟體駭客組織Daixin攻擊，以及本期日報尚未提及的另一事件，那就是臺灣電子零組件大廠群光電子傳出遭Hunters international勒索軟體攻擊，在週末期間揭露，雖然影響似乎不大，因為群光回應媒體表示，事件未達重訊發布標準。</p> <p>但因消息曝光在週末，且涉及臺灣上市公司，加上駭客聲稱取得1.2TB、414萬個檔案，因此受到國人關切。在事件曝光後，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=115459&SPOKE_DATE=20240421&COMPANY_ID=2385">群光電子也在週日中午發布重訊</a>，內容指出他們確時遭受網路攻擊，已啟動防禦與復原作業，並重申這次事件未達資安重訊發布標準，以及未有個資、機密文件檔案資料外洩。至於駭客組織聲稱竊取的檔案為何，有待更多後續消息揭露才能進一步得知。</p> <p style="margin: 0px;">此外，在前一星期的資安日報中，我們已經報導屬於聯華神通集團（MiTAC-Synnex Group）的兩家上市公司聯華實業、聯成化科，同時發布資安事件重訊說明發生網路資安事件，而且後續我們還注意到，已有駭客組織宣稱竊取聯成480 GB的資料，不過我們尚未看到該公司有進一步說明。這起事件的影響性可能比群光的事件還大，不過國內媒體有報導的並不多，大多是將焦點集中在群光。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/162311"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月15日】XZ Utils供應鏈攻擊傳出有新災情</span></strong></a></h3> <p>上個月底研究人員發現資料壓縮程式庫XZ Utils專案遭遇供應鏈攻擊，影響採用的SSHD元件，但採用此程式庫套件及其中的LZMA資料壓縮程式庫liblzma專案甚多，難道只有SSHD中招嗎？</p> <p>事隔兩週，目前尚未有相關組織或是研究人員提出進一步說明，然而，在此不明朗的情況下，類似的供應鏈攻擊事故再度傳出。</p> <p><a href="https://www.ithome.com.tw/news/162333"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月16日】部分蘋果用戶遭中國駭客組織鎖定，利用間諜軟體LightSpy進行監控</span></strong></a></p> <p style="margin: 0px;">蘋果上週指出部分用戶遭遇傭兵間諜軟體（Mercenary Spyware）攻擊，並表示他們已通知這些用戶，但並未說明相關細節。如今有研究人員透露，攻擊者使用的間諜軟體是LightSpy。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">這個間諜軟體曾在2020年被用於攻擊行動，之後便沉寂一段時間，直到最近研究人員發現相關攻擊，且與蘋果透露的受影響範圍重疊，才確認就是此軟體的攻擊行動。</p> <h3><a href="https://www.ithome.com.tw/news/162373"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月17日】多個廠牌的VPN系統、網路設備遭到鎖定，攻擊者對其發動暴力破解攻擊</span></strong></a></h3> <p style="margin: 0px;">上個月思科針對旗下防火牆用戶提出警告，指出這些設備的VPN服務遭到密碼潑灑攻擊，如今該公司提出新的發現，還有其他廠牌的設備也遭遇類似攻擊。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">值得留意的是，不光是VPN系統成為攻擊目標，還有數個廠牌的網路設備也是對方下手的對象，他們透過SSH連線嘗試進行暴力破解攻擊。</p> <p><a href="https://www.ithome.com.tw/news/162392"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月18日】DevOps協作平臺Confluence已知漏洞被用於散布勒索軟體Cerber</span></strong></a></p> <p style="margin: 0px;">在今天的資安日報當中，已知漏洞的攻擊行動占據大部分版面，其中又以DevOps協作平臺Atlassian Confluence的攻擊行動最值得留意，對方將其用來散布勒索軟體Cerber。</p> <p style="margin: 0px;"> </p> <p style="margin: 0px;">值得留意的是，這個漏洞修補至今已近半年，但駭客仍能將其用於發動攻擊，這代表仍有不少Confluence伺服器尚未套用修補程式，而曝露相關風險。</p> <p><a href="https://www.ithome.com.tw/news/162418"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月19日】全球超過8萬臺Palo Alto Networks防火牆曝露GlobalProtect危急漏洞</span></strong></a></p> <p>也與該公司整合的SSL VPN服務GlobalProtect有關。資安業者Palo Alto Networks公布防火牆漏洞CVE-2024-3400引起各界關注，原因不光這項漏洞的CVSS風險評分達到10分，還有漏洞發生的原因也與GlobalProtect的SSL VPN服務有關。</p> <p>值得留意的是，之前才發生大規模<a href="https://www.ithome.com.tw/news/162367">鎖定多個廠牌SSL VPN系統的暴力破解攻擊</a>，再加上<a href="https://www.ithome.com.tw/news/161530">今年初Ivanti Connect Secure一連串零時差漏洞的事故</a>，使得上述漏洞各外受到許多研究人員的重視。</p> <p> </p> <p>此外，對於日前XZ/liblzma後門事件，攻擊者竟潛伏為合法維護者的狀況，近日OpenJS基金會示警，他們表示收到一系列電子郵件，其內容是要求為熱門JavaScript專案指定新的維護者，因此他們與OpenSSF也共同提醒開源維護者，需慎防這樣的社交工程攻擊手法，並對潛在威脅保持警惕。</p> </div></div></div>
2024/4/22 09:42作者羅正漢https://www.ithome.com.tw/news/162434
竊資軟體RedLine藉由遊戲作弊軟體為誘餌，引誘玩家上當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>竊資軟體RedLine被用於攻擊行動的情況不時傳出，有研究人員發現，攻擊者調整手法，使得該惡意程式行蹤更難捉摸。</p> <p>資安業者McAfee揭露<a href="https://www.mcafee.com/blogs/other-blogs/mcafee-labs/redline-stealer-a-novel-approach/">竊資軟體RedLine最新一波的攻擊行動</a>，對方假借提供名為Cheat Lab的遊戲作弊程式，來散布上述竊資軟體，一旦玩家依照指示下載、安裝，電腦就會被感染，攻擊者得以收集用戶資料。</p> <p>特別的是，為了誘騙受害者向其他人散布，駭客宣稱用戶只要分享給朋友，該展示版（Demo）程式便會自動解鎖，升級為完整版本。為了取信受害者，對方還附上了升級金鑰。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RedLine-9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RedLine-9.jpg" style="width: 511px;" /></a></p> <p>而在整起攻擊行動的手段上，有一些相當罕見的手法。首先，駭客將竊資軟體存放於微軟在GitHub設置的公司專用程式碼儲存庫，但究竟對方如何存取儲存庫，研究人員並未進一步說明。</p> <p>再者，則是該竊資軟體迴避偵測的手法較為罕見，攻擊者透過編譯Lua的位元組碼（bytecode）還原竊資軟體，而能夠迴避偵測。</p> </div></div></div>
2024/4/22 14:56作者周峻佑https://www.ithome.com.tw/news/162438
Firebase開源替代方案Supabase添加S3協定支援，提升工具相容性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Firebase開源替代方案Supabase擴大其支援的傳輸協定，除了原本的標準上傳、可續傳上傳（Resumable Upload），現在<a href="https://supabase.com/blog/s3-compatible-storage">新增S3協定支援</a>，透過提供受廣泛使用的S3協定，Supabase將能夠相容於更多的工具。此外，原本可續傳上傳功能也脫離測試進入正式版。</p> <p>Supabase團隊認為「S3 API無疑是一種儲存標準」藉由支援該標準可使Supabase工作負載更可移植。對S3的支援，也向後相容至其他Supabase的API，包括原本使用REST和TUS API的開發者，也可以利用任意S3客戶端操作儲存系統和檔案。</p> <p>除了標準和可續傳上傳功能之外，Supabase也支援S3協定進行多段上傳，使得用戶可透過平行化上傳區塊，最大化上傳吞吐量。Supabase對S3的支援，同時適用於雲端、本地端開發和自託管用例。</p> <p>在Supabase脫離測試正式發布之際，其運用TUS協定所提供的可續傳上傳功能也進入正式版本。TUS是一種開源檔案上傳協定，是Supabase用以可靠地處理大規模檔案的重要部分，而Supabase團隊也對TUS專案做出貢獻，在TUS節點實作加入包括分散式鎖定、最大檔案大小和過期擴充等功能貢獻。</p> <p>Supabase在最近脫離測試版，官方提到，雖然Supabase早已是生產就緒的專案，之所以一直保留測試標籤，是因為希望能夠支援各種用例需求。隨著Supabase的功能逐漸完整，官方宣布<a href="https://supabase.com/ga">Supabase進入一般可用</a>階段，加入的新功能包含Supabas分支，Supabase分支的運作方式類似Git分支，供使用者能以不影響生產環境的情況下，建立和測試資料庫變更，另外，Supabase Swift SDK也加入supabase-js，作為官方支援的客戶端函式庫，使Supabase能支援更多用例。</p> </div></div></div>
2024/4/22 12:16作者李建興https://www.ithome.com.tw/news/162436