iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 17篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

金管會公布金融業運用AI指引最新進度，6月發布正式指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會在去年10月發布金融業運用AI的六大核心原則，去年底更公布「金融業運用AI指引」草案，分別敘述金融業落實AI核心原則的建議作法，對外開放60天徵詢意見。金管會創新中心專委劉秀玲今日在例行記者會上表示，內部已參考外界意見做相關調整，目前正在徵詢專家學者建議，預計會在六月發布正式指引。</p> <p>這份指引草案的主要架構是將AI系統生命周期分為4個階段，分別是系統規畫及設計、資料蒐集及輸入、模型建立及驗證，和系統佈署及監控，建議業者在各個階段落實核心原則的作法。指引是為了鼓勵金融業在風險可控的情況下導入、使用及管理AI，性質屬於行政指導，不具法律拘束力。</p> <p>在記者會中，劉秀玲提出三個較重要的修正建議。第一，指引部分內容採用舉例的方式說明適用性，可能帶來侷限性，因此，金管可能調整說明方式，強調指引中的舉例僅供參考，增加指引適用的彈性。</p> <p>第二，AI模型部署方式包含自建、委外和外購三種方式，不同部署方式在適用AI指引時有不同情境，需要依據業者和合作廠商的分工情形，來釐清責任歸屬，因此，金管會可能會再針對不同部署方式增訂相關內容。</p> <p>第三，指引內容提到，業者運用高風險系統時，應由第三方稽核或評測單位進行獨立驗證。然而，部分業者建議，未必需要由獨立性單位進行驗證，改為第三方稽核或評測單位進行驗證更為彈性。</p> <p>目前，金管會尚在徵詢專家學者意見，評估如何修正指引內容，因此，劉秀玲表示，尚未確定將參採哪些建議。</p> <p></p> </div></div></div>
2024/4/30 17:59作者李昀璇https://www.ithome.com.tw/news/162599
【資安日報】4月30日，安卓金融木馬Brokewell透過冒牌Chrome更新網頁散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定手機的金融木馬攻擊不時傳出，最近研究人員揭露名為Brokewell的惡意程式，並指出該惡意程式能繞過Android 13的防護機制，進而透過側載的方式執行其他作案工具。</p> <p>值得留意的是，Brokewell並非首款能繞過上述防護機制的安卓惡意軟體，但研究人員認為，攻擊者未來應該會透過租賃服務提供其他網路犯罪份子利用，使得該惡意軟體危害範圍進一步擴大。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162593"><strong style="font-size: 22px;">金融木馬Brokewell挾持安卓裝置，從而竊取機敏資料、洗劫金融帳戶</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ThreatFabric發現名為Brokewell的安卓金融木馬，並指出該惡意程式具備廣泛的設備接管功能，攻擊者也開發了名為Brokewell Android Loader的惡意程式載入元件，從而繞過Google在Android 13加入輔助服務（Accessibility Service）管制，而能側載應用程式。</p> <p>這個惡意程式被發現的原因，是研究人員看到冒牌的Google Chrome更新網頁，與正牌網頁極為相似，不同之處在於：正牌網頁同時提供「取得Chrome」和「我想更新Chrome」的連結，冒牌網頁只有「更新Chrome」的按鈕。但這種差異，恐怕多數使用者都無法輕易察覺。</p> <p>根據研究人員的觀察，Brokewell幾乎每天都有更新，顯示駭客相當勤勞，他們也推測，未來這項攻擊模式很有可能朝向租賃服務發展，從而吸引其他網路犯罪份子，以此對更多地區發動相關攻擊。</p> <p><a href="https://www.ithome.com.tw/news/162589"><strong style="font-size: 22px;">福斯汽車傳出資料外洩，駭客疑似竊得逾1.9萬份機密資料</strong></a></p> <p></p> <p>德國媒體ZDFheute及明鏡（Spiegel）指出，他們取得汽車大廠福斯（Volkswagen）針對網路攻擊的調查文件，從而揭露一起未曾揭露的資安事故。</p> <p>根據這份文件，福斯從2010年至2015年遭駭客入侵，包含智慧財產相關的檔案遭到外洩。對方疑似從2010年調查該公司的IT基礎架構，尋找可用漏洞，並於次年成功存取，並在2014年多次將機密資料傳至外部伺服器，這些駭客犯案後亦清除作案跡證。</p> <p>後來資安專家調查發現，對方共發起3波攻擊，竊得汽油引擎、變速箱研發資料，而對於近年興趣的電動車，相關開發資料也慘遭毒手，估計總共超過1.9萬份文件外流。根據對方的IP位址，作案工具及時區，推測攻擊者來自中國，相關證據指向中國政府及解放軍。</p> <p><a href="https://www.ithome.com.tw/news/162598"><strong style="font-size: 22px;">身分驗證解決方案業者Okta提出警告，鎖定該公司用戶的帳號填充攻擊爆增</strong></a></p> <p>4月27日身分驗證解決方案業者Okta的資安團隊提出警告，繼思科從3月下旬發現鎖定多個廠牌的SSL VPN系統的大規模暴力破解攻擊，他們也在本月19日至26日，發現針對客戶的帳號填充（Credential Stuffing）攻擊大幅增加，而且，攻擊來源疑似是幾乎相同的攻擊基礎設施。但究竟有多少用戶受害？該公司並未說明。</p> <p>究竟對方如何取得使用者的帳密資料？該公司認為，駭客很可能是透過其他資料外洩事故，或是藉由網路釣魚及惡意軟體攻擊取得。</p> <p>值得留意的是，這些攻擊具有相同的特徵，那就是駭客仰賴隱身服務Tor來發出請求，而且，數以百萬的請求過程，也都透過濫用合法裝置的代理伺服器服務（Residential Proxies）進行。</p> <p><a href="https://www.ithome.com.tw/news/162576"><strong style="font-size: 22px;">冒牌美國郵局網釣網站流量超越正牌網站</strong></a></p> <p></p> <p>資安業者Akamai指出，他們員工收到許多佯稱是美國郵局（United States Postal Service，USPS）的詐騙簡訊，從而調查發現，從去年10月至今年2月，用戶DNS查詢僅有51%導向正牌的美國郵局網站，其餘都被導向釣魚網站，而且，每逢特定節日，釣魚網站的DNS查詢次數就會遠大於正牌網站。</p> <p>根據研究人員的調查，全球至少有超過68萬個含有USPS字串的釣魚網域名稱，其中約有27萬個採用.com、27萬個採用.top、5.8萬個採用.shop、3萬個採用.xyz、1.6萬個採用.org。</p> <p>雖然他們在調查期間，觀察到正牌網站的DNS查詢量略多於釣魚網站，但研究人員指出，這樣的結果是因過濾資料的方式造成，實際上惡意流量顯然超過了合法流量，這也突顯網域名稱搶註與網釣攻擊泛濫的現象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.deepinstinct.com/blog/uncorking-old-wine-zero-day-cobalt-strike-loader"><strong style="font-size: 20px;">烏克蘭遭遇Office已知漏洞攻擊，對方利用PowerPoint檔案散布Cobalt Strike</strong></a></p> <p></p> <p>◆<a href="https://securityaffairs.com/162333/cyber-crime/swedens-liquor-supply-ransomware-attack.html"><strong style="font-size: 20px;">瑞典物流業者Skanlog傳出遭遇勒索軟體攻擊，導致當地酒品供應受到衝擊</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/london-drugs-pharmacy-chain-closes-stores-after-cyberattack/"><strong style="font-size: 20px;">加拿大連鎖藥局London Drugs遭遇網路攻擊，被迫暫停營業</strong></a></p> <p></p> <p>◆<a href="https://securityaffairs.com/162479/security/icici-bank-technical-glitch.html"><strong style="font-size: 20px;">印度銀行ICICI行動應用程式配置錯誤，導致逾1.7萬張信用卡資料曝光</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162590"><strong style="font-size: 22px;">針對防火牆危急漏洞CVE-2024-3400，Palo Alto Networks證實攻擊者有可能藉此持續存取受害裝置</strong></a></p> <p>4月12日資安業者Palo Alto Networks發布資安公告，指出旗下防火牆存在危急漏洞CVE-2024-3400，CVSS風險評分達到10分，此漏洞存在於防火牆作業系統PAN-OS的GlobalProtect功能，未經授權的攻擊者有機會使用root權限，在防火牆上執行任意程式碼。</p> <p>當時通報此事的資安業者Volexity指出，他們察覺這項漏洞的原因，是發現客戶的防火牆出現可疑的攻擊流量。Palo Alto也在17日證實，漏洞利用出現增加的情況，且有第三方公布概念性驗證程式碼（PoC），如今情況又有新的進展。</p> <p>30日該公司再度更新資安公告，指出他們針對前述的PoC手法進行分析，確認一旦攻擊者加以利用，即使IT人員對防火牆進行升級或是重置，對方仍能持續在受害裝置上活動，並以root層級執行命令。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162596"><strong style="font-size: 22px;">第4屆尋找資安女婕思資安競賽優勝者出爐</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GiCS-2024-Final.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GiCS-2024-Final.jpg" style="width: 300px; float: right;" /></a>為了培養多元的資安人才，近年來國家科學及技術委員會與教育部聯手，舉辦GiCS尋找資安女婕思資安競賽，今年已邁入第4屆。本次競賽自3月8日開放報名，上週末舉行決賽並發表成果。</p> <p>本次競賽於4月27日，在臺南沙崙資安暨智慧科技研發大樓舉辦決賽，比賽結果出爐，在資安闖天關的賽事當中，高中職組的冠軍是臺中高工及文華高中組成的WHC隊，拿下大專校院組冠軍的隊伍名稱相當特殊，叫做「逢甲大學是一所積極新創、學科齊全，在國際上具有重要影響力與競爭力的綜合性大學，歡迎大家報考逢甲大學」。</p> <p>而在另一場創意發想賽，高中職組由內湖高中「美少女戰四」隊得到冠軍，大專院校今年首度分為兩組，其中，資訊相關科系組的冠軍是元智大學「查某囝仔」隊，非相關科系組別的第一名，是中國文化及逢甲大學組成「蘑菇蘑菇讓我把你帶回家」隊。</p> <p><a href="https://www.ithome.com.tw/news/162396"><strong style="font-size: 22px;">儲存系統廠商CTERA強化勒索軟體防護能力</strong></a></p> <p>從雲端閘道器起家的CTERA，主力產品是基於GFS分散式檔案系統（Global File System）平臺的CTERA Edge Filer儲存裝置，以及雲端儲存服務，可建立跨多雲的分散式檔案儲存環境。為了對抗勒索軟體威脅，CTERA也在去年年中為其儲存平臺提供勒索軟體保護功能，其中包括基於機器學習的即時攻擊偵測、零時差漏洞濫用防護、事件管理儀表板，以及即時復原等功能。</p> <p>日前CTERA又為勒索軟體保護功能新增基於誘餌檔案（Decoy files）的資料外洩防護能力，可藉此偵測攻擊者的非授權存取行為，並即時展開對應，降低資料外洩的風險。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<a href="https://www.gov.uk/government/news/new-laws-to-protect-consumers-from-cyber-criminals-come-into-force-in-the-uk"><strong style="font-size: 20px;">英國擬禁止特定物聯網裝置採用預設密碼</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162579"><strong>【4月29日】互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162563"><strong>【4月26日】駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162538"><strong>【4月25日】思科證實防火牆零時差漏洞遭國家級駭客利用，於政府機關植入後門程式</strong></a></p> </div></div></div>
2024/4/30 18:08作者周峻佑https://www.ithome.com.tw/news/162601
行政院提名翁柏宗、陳炳宏擔任NCC下一任正、副主委
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>NCC現任委員任期即將於7月底到期，行政院公布提名人選，由翁柏宗擔任NCC主任委員，傳播學者陳炳宏擔任副主任委員，目前提名人選已送立院審議。如果獲得通過，新委員任期將從今年8月擔任至2028年7月底。</p> <p><strong>NCC副主委翁柏宗被行政院提名為下任主委：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/09_%E7%BF%81%E6%9F%8F%E5%AE%97_NCC_%E5%89%AF%E4%B8%BB%E5%A7%94%E6%9A%A8%E7%99%BC%E8%A8%80%E4%BA%BA600.jpg" style="width: 600px; height: 400px;" /></p> <p>依照作業程序，行政院在現任NCC委員卸任前3個月提名，新的提名人選中，翁柏宗現為NCC副主委暨發言人，一路從過去電信管理局、電信總局、電信技術中心，到NCC擔任委員、副主委，具有深厚的電信監理背景。</p> <p>陳炳宏則是師大大眾傳播所教授，正好與目前擔任NCC委員之一的王維菁同為師大傳所教授，陳炳宏專長為傳播產業研究、媒體素養等。</p> <p>其他兩位委員提名人選為羅慧雯與詹懿廉，其中羅慧雯為世新大學傳播管理系教授，具經濟學背景，擅長政治經濟、媒體經濟、傳播政策法規等，而詹懿廉則為NCC平台事業管理處長。</p> </div></div></div>
2024/4/30 19:06作者蘇文彬https://www.ithome.com.tw/news/162602
第4屆尋找資安女婕思資安競賽優勝者出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了培養更多資安女力，近年來國家科學及技術委員會與教育部聯手，舉辦GiCS尋找資安女婕思資安競賽，今年已邁入第4屆。本次競賽自3月8日開放報名，上週末舉行決賽並發表成果。</p> <p>本次競賽於4月27日，<a href="https://www.nstc.gov.tw/folksonomy/detail/f59e0470-9896-4fd0-b9be-c6ece7ac4b02?l=ch">在臺南沙崙資安暨智慧科技研發大樓舉辦決賽</a>，比賽結果出爐，在資安闖天關的賽事當中，高中職組的冠軍是臺中高工及文華高中組成的WHC隊，拿下大專校院組冠軍的隊伍名稱相當特殊，叫做「逢甲大學是一所積極新創、學科齊全，在國際上具有重要影響力與競爭力的綜合性大學，歡迎大家報考逢甲大學」。</p> <p>而在另一場創意發想賽，高中職組由內湖高中「美少女戰四」隊得到冠軍，大專院校今年首度分為兩組，其中，資訊相關科系組的冠軍是元智大學「查某囝仔」隊，非相關科系組別的第一名，是中國文化及逢甲大學組成「蘑菇蘑菇讓我把你帶回家」隊。</p> <p>本次資安競賽總共有超過4千人參加，同樣有國際交流賽程，一起進行互動的單位是韓國漢陽大學。</p> <p>比賽過程當中，兩組賽事各有特色，以資安闖天關而言，決賽場地不只是主場域的CTF關卡，也將情境解謎部分，結合一間藍軍攻防室進行；而在創意發想賽的部分，有隊伍在初賽提出相當吸引大家注意的議題，例如晉級隊伍探討量子運算對現有加密體系的衝擊、生成式AI及假新聞、使用導航遭駭可能衍生人身安全問題。</p> </div></div></div>
2024/4/30 16:23作者周峻佑https://www.ithome.com.tw/news/162596
電子簽章法修正法案獲立院三讀通過
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由數位部提出的電子簽章法修正法案，在2月底行政院通過，並提交立法院審議後，立法院今天(4/30)正式三讀通過。數位部表示，修正後的電子簽章法將滿足現今數位時代下，各種線上服務使用需求，可望加速電子簽章的使用普及。</p> <p>國內電子簽章法自2001年公布後，已有超過20年未修法，這段時間網路普及、各種網路應用興起，為趕上現今數位時代下的應用需求，數位部提出電子簽章法修正草案件，希望通過修法，讓電子簽章及數位簽章更能滿足現今數位環境的需求。</p> <p>此次修法包含幾個方向，例如確立符合法規的電子文件及電子簽章，功能上等同於實體文件及簽章，不得因其電子形式而否認其法律效力；並且明定數位簽章為電子簽章的一種，確立兩者間的關係；有別於電子簽章，數位簽章因具備經政府許可憑證機構簽發憑證，推定本人親自簽名或蓋章的法律效力。</p> <p>考量到不同族群、年齡層使用者的數位科技落差，此次修法也採納數位包容精神，明定採用電子形式之前，應在合理期間內給予相對使用者反對機會，並且告知相對使用者，如果沒有表示反對，推定同意採用電子形式。</p> <p>此外，此次也新增主管機關許可外國憑證機構之前的原則，在具備安全條件相當的前提下，除國際互惠之外，包括合乎國際技術標準的技術對接合作，另外，主管機關應定期調查行政院各部會及民間憑證機構，對電子簽章的核定、簽發、應用等情形，並且每年公布國際法規及市場的相關需求調查及研究。</p> <p>過去可能因為舊版電子簽章法對電子文件及電子簽章的法律效力不夠明確，部分的公務機關公告排除適用電子簽章，為加速政府機關對電子文件及電子簽章的使用，現在修法後將刪除公務機關公告排除適用，並明定排除適用的公告在修法實施一年後停止適用，但主管機關可展延一次，展延以2年為限。</p> <p>數位部表示，部分機關以行政公告排除適用電子簽章，一年後將停止適用，如果經過評估仍仍必需排除適用電子簽章，應儘速透過法規修法排除適用，考慮到修法可能花費較多的時間，可向數位部提出展延。</p> <p>為使電子簽章應用更為普及，數位部也計畫推動電子簽章解決方案服務能量登錄制度，由政府扮演第三方，透過登錄制度盤點電子簽章服務能量，建立電子簽章產業地圖。</p> <p>在立法院三讀通過電子簽章法修正法案後，數位部依照行政程序法，接下來需在6個月內制定相關的配套子法及辦法。數位部預期通過修法，未來推動電子簽章的普及運用，加速智慧政府及數位轉型的政策目標，並塑造多元電子簽章發展的有利法制環境，並且促成電子簽章和國際對接、交流往來。</p> <p>此次修法因確立電子文件及電子簽章的法律效力，還有使用政府許可憑證機構簽發憑證的數位簽章可推定本人親簽，具有更高的法律效力，區分電子簽章、數位簽章的法律效力，未來數位服務可因應不同的簽章的法律效力提供對應等級的服務。</p> <p>以電商的交易行為舉例，電商平臺為防止詐欺，可向網路賣家要求數位簽章，以類似實名制確認賣家身分，防止不肖業者欺詐的行為，至於付款的買家則可以使用效力較低的電子簽章即可。</p> </div></div></div>
2024/4/30 16:47作者蘇文彬https://www.ithome.com.tw/news/162597
身分驗證解決方案業者Okta提出警告，鎖定該公司用戶的帳號填充攻擊爆增
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月27日身分驗證解決方案業者Okta的資安團隊提出警告，繼思科從3月下旬發現鎖定多個廠牌的SSL VPN系統的大規模暴力破解攻擊，他們也在本月19日至26日，<a href="https://sec.okta.com/blockanonymizers">發現針對客戶的帳號填充（Credential Stuffing）攻擊大幅增加</a>，而且，攻擊來源疑似是幾乎相同的攻擊基礎設施。</p> <p>究竟對方如何取得使用者的帳密資料？該公司認為，駭客很可能是透過其他資料外洩事故，或是藉由網路釣魚及惡意軟體攻擊取得。</p> <p>值得留意的是，這些攻擊具有相同的特徵，那就是駭客仰賴Tor這類匿名服務來發出請求，而且，數以百萬的請求過程，也都透過非法代理伺服器服務（Residential Proxies）進行。</p> <p>而對於遭到攻擊的組織，Okta指出具有相似的組態，那就是他們大多執行Okta Classic Engine，而名為ThreatInsight的功能僅啟用稽核模式。此外，這些組織的身分驗證政策當中，也允許來自匿名代理伺服器發出的請求。</p> <p>對此，Okta也提出一系列防護措施，包含啟用ThreatInsight的事件記錄功能與加強防護模式、切換採用Okta Identity Engine、禁止來自匿名代理伺服器的存取等。但究竟有多少用戶受害？該公司並未說明。</p> </div></div></div>
2024/4/30 16:54作者周峻佑https://www.ithome.com.tw/news/162598
金融木馬Brokewell挾持安卓裝置，從而竊取機敏資料、洗劫金融帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者ThreatFabric發現名為Brokewell的安卓金融木馬，<a href="https://www.threatfabric.com/blogs/brokewell-do-not-go-broke-by-new-banking-malware">並指出該惡意程式具備廣泛的設備接管功能</a>，甚至能繞過Android 13新納入的防護機制。</p> <p>這個惡意程式被發現的原因，是研究人員看到冒牌的Google Chrome更新網頁，與正牌網頁極為相似，不同之處在於：正牌網頁同時提供「取得Chrome」和「我想更新Chrome」的連結，冒牌網頁只有「更新Chrome」的按鈕。但這種差異，恐怕多數使用者都無法輕易察覺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide1-Apr-17-2024-10-25-40-6370-PM.png" style="width: 580px;" /></a></p> <p>一旦使用者依照指示下載「瀏覽器更新」，手機就有可能被植入Brokewell。此惡意程式的主要功能，主要涵蓋了資料竊取及遠端控制能力。</p> <p>其中，針對資料竊取的部分，該惡意程式可在銀行應用程式執行的過程進行覆蓋畫面，從而竊取帳密資料，而對於盜取相關資料的管道，攻擊者也可透過挖掘cookie內容而得。一旦使用者完成登入流程，Brokewell就會儲存連線階段的cookie，並傳送到C2伺服器。</p> <p>另一方面，Brokewell也搭載名為Accessibility Logging的功能，從而截取受害裝置的所有事件，例如：使用者點選、滑動、文字輸入、開啟應用程式等，並且將其傳送到C2伺服器。此外，該惡意程式也具備多種間諜軟體功能，能夠收集裝置資訊、通話記錄、地理位置，而且還能錄音。</p> <p>一旦竊得特定帳密資料，攻擊者就能透過遠端控制功能，對裝置進行接管。值得留意的是，對方能將螢幕亮度調到最暗，並將手機靜音，而使得暗中操作受害手機難以被察覺，甚至有可能被用來發動自動轉帳系統（Automated Transfer System，ATS）攻擊。</p> <p>再者，攻擊者也開發了名為Brokewell Android Loader的惡意程式載入元件，從而繞過Google在Android 13加入輔助服務（Accessibility Service）管制，而能側載應用程式。</p> <p>根據研究人員的觀察，Brokewell幾乎每天都有更新，顯示駭客相當勤勞，他們也推測，未來這項攻擊模式很有可能朝向租賃服務發展，從而吸引其他網路犯罪份子，以此對更多地區發動相關攻擊。</p> </div></div></div>
2024/4/30 15:44作者周峻佑https://www.ithome.com.tw/news/162593
歐盟將iPadOS也納入《數位市場法》管轄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_24_2363" target="_blank">EC）周一（4/29）宣布</a>，繼iOS、Safari及App Store之後，蘋果的iPadOS也已被納入《數位市場法》（Digital Markets Act，DMA）的管轄範圍，要求蘋果於6個月內遵循。</p> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/qanda_20_2349" target="_blank">DMA</a>主要規範那些擁有龐大影響力，被視為守門人（Gatekeeper）的品牌與數位服務，以確保公平及開放的數位市場，其門檻包括最近3年每年在歐洲經濟區（EEA）營收超過75億歐元，或市值超過750億歐元，以及服務在歐盟每月活躍最終用戶超過4,500萬，或每年活躍企業用戶超過1萬。</p> <p>EC表示，蘋果的商業用戶超過DMA閥值的11倍，最終用戶數則接近閥值。此外，最終用戶被鎖在iPadOS上，蘋果利用其龐大的生態系統來阻止使用者轉至其它平板電腦的作業系統，企業用戶也被鎖在iPadOS上，因為它擁有龐大且具備商業吸引力的用戶群，同時它也是遊戲等特定程式的關鍵平臺。</p> <p>首批受到DMA規範的業者及服務已於今年3月6日的截止日之前履行EC的要求，而新加入的iPadOS也必須在6個月內符合要求，包括允許歐洲用戶自Apple App Store以外的市集下載程式，移除預裝於iPad上的程式，以及自行選擇裝置上的預設服務等。</p> <p>而遊戲業者<a href="https://twitter.com/FortniteGame/status/1784978857331691672" target="_blank">Epic Games</a>也在EC宣布此事的同一天指出，先前遭到蘋果下架的遊戲《要塞英雄》（Fortnite），很快就會重返歐洲市場的iPhone，也會在今年重返該市場的iPad。</p> <p>現階段EC仍在調查其它品牌或服務是否應納入DMA，已於今年3月收到Booking、ByteDance和X的通知，稱其服務規模可能達到DMA的門檻，EC可望於5月13日以前作出決議。</p> </div></div></div>
2024/4/30 15:49作者陳曉莉https://www.ithome.com.tw/news/162594
GitHub預覽AI開發者環境Copilot Workspace
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub本周一（4/29）<a href="https://github.blog/2024-04-29-github-copilot-workspace/" target="_blank">釋出了GitHub Copilot Workspace技術預覽版</a>，這是GitHub所設計的、基於各種Copilot代理人的開發者環境，允許開發者以自然語言與Copilot代理人互動，並在Copilot Workspace中接續完成腦力激盪、規畫、建置、測試與執行程式碼，也可於Copilot Workspace中查看從想法到完成程式碼的整個過程。</p> <p>GitHub執行長Thomas Dohmke指出，Copilot Workspace為一使用自然語言打造軟體的全新方式，讓開發者更快也更輕鬆地交付開發者的創造力，令經驗豐富的開發者得以系統思考者的身分進行操作，大幅降低建置軟體的門檻。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0430-GitHub%20Copilot%20Workspace-starts%20with%20the%20task.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0430-GitHub%20Copilot%20Workspace-offers%20a%20step-by-step%20plan.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p>Dohmke說明，過去的兩年來，生成式AI從根本上改變了開發者的格局，它大多作為嵌入開發者環境中的工具，例如2022年推出的GitHub Copilot是編輯器中的自動結對工程師，提升了55%的開發者工作效率，去年發布了GitHub Copilot Chat，釋放自然語言在撰寫程式碼、除錯與測試上的能力，而Copilot Workspace則允許開發者得以利用自然語言來集思廣益、規畫、建置、測試並執行程式碼，這是個以任務為中心的服務，所有的程序都是透過不同的Copilot代理人來完成，同時也讓開發者完全控制流程的每一步。</p> <p>因此，開發者自GitHub Repository或GitHub Issue中就能使用Copilot Workspace，利用Copilot代理人作為開發者的第二個大腦，從發想階段就取得AI的協助，接著GitHub Repository會藉由對程式碼庫或問題回覆等資料的深入理解，提供逐步的解決計畫，並以自然語言列出清單。</p> <p>開發者可編輯由Copilot Workspace所提出的任何內容，確定計畫後即可直接於Copilot Workspace中執行程式碼，再進入底層的GitHub Codespace來調整程式碼，亦可透過連結與團隊共享工作區，之後即可提交拉取請求，執行GitHub Actions，針對程式碼進行安全掃描，以及要求團隊成員檢查程式碼。</p> <p>此外，Copilot Workspace可同時支援桌上型電腦、筆電與行動裝置。</p> <p>另一方面，GitHub Next負責人Jonathan Carter向<a href="https://techcrunch.com/2024/04/29/copilot-workspace-is-githubs-take-on-ai-powered-software-engineering/" target="_blank">《TechCrunch》</a>透露了更多有關Copilot Workspace的想法。Carter說，開發者在啟動一個新專案時，最容易卡住的地方就是不知該從何開始，特別是如何處理程式碼、要編輯哪些檔案，或者是各種解決方案的權衡，而Copilot Workspace即可減輕此一負擔。</p> <p>不過，目前GitHub也還不確定要如何將Copilot Workspace商品化，此一預覽版將可進一步令GitHub了解開發者會如何使用該服務，以及該服務的價值所在。</p> <p class="rtecenter"><a href="https://www.youtube.com/watch?v=L5Xny6yehUg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0430-GitHub%20Copilot%20Workspace-vedio.png" style="width: 600px;" /></a></p> </div></div></div>
2024/4/30 16:07作者陳曉莉https://www.ithome.com.tw/news/162595
英國祭出新法令，禁止IoT裝置採用容易被猜到或可在網路上找到的預設密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國的《產品安全暨電信基礎設施法案》（Product Security and Telecommunications Infrastructure Act，PSTI Act）<a href="https://www.gov.uk/government/news/new-laws-to-protect-consumers-from-cyber-criminals-come-into-force-in-the-uk" target="_blank">於本周一（4/29）正式生效</a>，當中規定了IoT裝置的最低安全標準，包括不得使用容易猜測或是在網路上可找到的預設密碼，也是全球首個導入相關規範的法令。</p> <p>根據統計，英國99%的成年人至少擁有一臺智慧裝置，而英國的每個家庭平均擁有9臺連網裝置，Which?的研究顯示，一個充滿智慧裝置的家庭，單周就可能遭到來自全球超過1.2萬次的駭客攻擊，而針對其中5臺裝置來猜測其薄弱密碼的攻擊便高達2,684次。</p> <p>PSTI Act所定義的IoT裝置涵蓋所有連網的智慧裝置，從智慧喇叭、智慧電視、串流裝置、智慧門鈴、嬰兒監視器、監視器、手機、遊戲機、平板電腦、智慧手錶、健身追蹤裝置、智慧冰箱、智慧洗衣機，一直到智慧水/電錶等。</p> <p>該法令要求上述所有IoT裝置的製造商必須符合最低的安全標準，包括不得採用諸如admin或12345等容易猜測的密碼，也不得使用可在網路上找到或被分享的預設密碼；必須提供窗口來接受及處理安全問題，也必須提供重要安全更新的最短修補時程。</p> <p>此外，由於大多數的智慧裝置都不是在英國製造，因此PSTI Act也適用於進口或零售相關商品的業者，違者最高可處1,000萬英鎊的罰款或是全球收入的4%。</p> <p>此一法令是為了避免利用IoT裝置的大規模攻擊行動，特別是在2016年被發現的殭屍病毒Mirai滲透了坊間60款採用預設帳號及密碼的IoT裝置，挾持了逾60萬個IoT裝置，再針對目標對象展開分散式服務阻斷（DDoS）攻擊，受害者涵蓋全球最大代管業者之一的<a href="https://www.ithome.com.tw/news/108660" target="_blank">OVH</a>，美國網路效能管理公司<a href="https://www.ithome.com.tw/news/109225" target="_blank">Dyn</a>，賴比瑞亞最大的電信業者Lonestar，<a href="https://www.ithome.com.tw/news/109944" target="_blank">德國電信</a>（Deutsche Telekom），以及英國銀行Lloyds與蘇格蘭銀行Royal Bank of Scotland。</p> <p>英國國家網路安全中心<a href="https://www.ncsc.gov.uk/files/Security-law-smart-devices-NCSC.pdf" target="_blank">（NCSC）則建議</a>消費者檢查現有的IoT裝置，包括變更它們的預設密碼，採用更強大的密碼，或是啟用雙因素身分驗證，同時部署IoT裝置的最新版韌體。</p> </div></div></div>
2024/4/30 14:20作者陳曉莉https://www.ithome.com.tw/news/162591
公共程式平臺上線，首波開放22個公共程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部今天（4/30）正式推出公共程式平臺（code.gov.tw），數位部今與國內六都代表、民間社群、國際倡議組織共同啟用公共程式平臺，為推動公共程式（Public Code）的精神，將政府機關開發的軟體程式碼視為公共財，公開程式碼讓外界及其他政府機關檢視及運用。</p> <p>公共程式的精神在國外發展較早，國內也有自由軟體、開放原始碼社群倡議，數位發展部在去年便開始規畫推動公共程式，終於在今天上線公共程式平臺，數位發展部與地方縣市政府合作，透過公共程式讓外界檢視運用，讓外界或其他政府機關依照自己的需求，檢視及運用這些公共程式，縮短重新開發的時間、節省成本。</p> <p>目前數位部已與臺北市、新北市、桃園市、臺中市、臺南市、高雄市六都取得合作共識，正在進行配套措施以共同推動公共程式，數位部強調未來會邀請更多政府機關加入推動公共程式。</p> <p>數位發展部長唐鳳指出，任何人可以公共程式平臺，直接使用或改進程式碼，在原有的程式碼基礎上創新精進，同時也能減輕公務機關的負擔，公共程式平臺如同一間圖書館，供外界借閱，產生新的論文，回饋到圖書館。發揮公共程式的另一個價值，透過公私協力，達成全民數位韌性。</p> <p>目前公共程式平臺已上架15個類別22個公共程式，數位部釋出的政府資料開放平臺前端、全球資訊網、ODF文件應用工具、公共程式平臺、公托報名管理系統，臺北市的城市儀表板、臺南市登革熱防疫現場工具（前端及後端），此外，公共程式平臺上還提供英國GDS政府數位服務團隊提供的GOV.UK Forms線上表單平臺及公部門業務訊息傳遞平臺GOV.UK Notify，還有Foundation for Public code提供的Publiccode.yml編輯器等工具。</p> <p>公共程式平臺推出僅是開始，數位發展部計畫全面的推動公共程式政策，涵蓋資訊系統、人才培育、規範指引，今年底預計推出針對公務機關的訓練課程、規範指引，輔導公共機關加入推動公共程式。</p> </div></div></div>
2024/4/30 14:57作者蘇文彬https://www.ithome.com.tw/news/162592
針對防火牆危急漏洞CVE-2024-3400，Palo Alto Networks證實攻擊者有可能藉此持續存取受害裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月12日資安業者Palo Alto Networks發布資安公告，<a href="https://www.ithome.com.tw/news/162282">指出旗下防火牆存在危急漏洞CVE-2024-3400</a>，CVSS風險評分達到10分，此漏洞存在於防火牆作業系統PAN-OS的GlobalProtect功能，未經授權的攻擊者有機會使用root權限，在防火牆上執行任意程式碼。</p> <p>當時通報此事的資安業者Volexity指出，他們察覺這項漏洞的原因，是發現客戶的防火牆出現可疑的攻擊流量。Palo Alto也在17日證實，漏洞利用出現增加的情況，且有第三方公布概念性驗證程式碼（PoC），如今情況又有新的進展。</p> <p>30日該公司<a href="https://www.darkreading.com/vulnerabilities-threats/palo-alto-updates-remediation-for-max-critical-firewall-bug">再度更新資安公告</a>，指出他們針對前述的PoC手法進行分析，確認一旦攻擊者加以利用，即使IT人員對防火牆進行升級或是重置，對方仍能持續在受害裝置上活動，並以root層級執行命令。</p> <p>不過，該公司強調，套用修補程式或是Threat Prevention的特徵碼，都能完全阻絕遠端程式碼執行（RCE），從而攔阻上述的漏洞遭到後續利用的情況，再者，目前他們也尚未察覺前述PoC被用於攻擊行動的跡象。</p> </div></div></div>
2024/4/30 12:37作者周峻佑https://www.ithome.com.tw/news/162590
Google開發工具部門裁員，影響Flutter、Dart、Python等團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2024/04/29/google-lays-off-staff-from-flutter-dart-python-weeks-before-its-developer-conference/" target="_blank">《Techcrunch》</a>報導，在Google I/O舉行前夕，Google傳出裁員消息，影響Flutter、Dart、Python開發工具及其他部門。Google官方也證實此事。</p> <p>受到影響的員工在<a href="https://www.reddit.com/r/technology/comments/1cfzuhf/google_layoffs_sundar_pichailed_company_fires/" target="_blank">Reddit</a>及<a href="https://news.ycombinator.com/item?id=40176338" target="_blank">Hacker News</a>上透露此事。一名Python團隊員工指出，該部門負責維護Python runtime、為Google員工排除問題，並和AI、機器學習等其他部門合作緊密，但不到10名員工仍全部遭到裁撤。<a href="https://social.coop/@Yhg1s/112332127058328855" target="_blank">另一名員工說</a>Google計畫將這工作轉移到其他工資較便宜的地區，像是德國慕尼黑。</p> <p>Flutter及Dart部門也受到影響。該部門產品經理Kevin Moore則在Reddit上<a href="https://www.reddit.com/r/FlutterDev/comments/1cduhra/comment/l1j9eoo/?rdt=45765" target="_blank">證實此事</a>。他說裁員決定是上面好幾層的主管所下，並且影響不只Flutter和Dart，「很多」團隊及很多專案都受到影響。</p> <p>Google開發工具部門裁員，影響的不只是員工，也令企業用戶擔憂未來以這些工具開發的應用及服務要如何維護。Moore無法承諾，只說已投資Google開發工具的客戶會感到緊張，「Google都了解」。</p> <p>Google官方也承認進行人事精簡。Google說為了確保公司在2023年下半到2024年能掌握市場機會，多個團隊經歷變動，以便讓團隊更有效率、去除組織層級，並使資源更有效運用。</p> <p>《Techcrunch》指出，Google通報的裁員人數為50名左右。</p> <p>Google官方對媒體表示會依當局要求提供受影響的員工支援，包括在Google內部轉職或外部就業協助，以及其他財務上的支持等。</p> <p>本周Google才<a href="https://www.ithome.com.tw/news/162555" target="_blank">宣布</a>亮麗的財報，今年第一季營收成長15%，Google執行長Sundar Pichai並宣布將以AI為中心投資及新產品開發。</p> </div></div></div>
2024/4/30 11:07作者林妍溱https://www.ithome.com.tw/news/162586
金融時報授權OpenAI使用內容訓練AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI與英國《金融時報》（Financial Times，FT）<a href="https://aboutus.ft.com/press_release/openai" target="_blank">宣布策略合作</a>，OpenAI將可使用其內容訓練AI模型，並提供給OpenAI的用戶。</p> <p>根據雙方最新合作，FT將授權OpenAI使用其新聞內容訓練底層GPT模型，提升模型有效性，而且OpenAI的ChatGPT將可在回應用戶的內容中，包含FT特定新聞摘要、引述、以及內容連結。</p> <p>此外，FT也宣布已在今年稍早成為ChatGPT Enterprise版本的客戶，所有FT員工都可使用ChatGPT提升生產力，強化創意。ChatGPT可用於草擬信件、為會議或文章摘錄重點、規劃活動或腦力激盪。</p> <p>FT向來只提供付費訂閱，每月最低費用為39美元。透過這項合作，ChatGPT用戶也能存取過去無法閱讀到新聞內容，有用戶認為，長期而言，可能會影響該報的付費訂閱商業模式。</p> <p>這是OpenAI取得內容授權打通AI訓練關卡的最新一家主流媒體。這家AI業者去年12月和今年3月<a href="https://www.ithome.com.tw/news/161783" target="_blank">已取得</a>德國媒體Axel Springer、法國媒體《Le Monde》以及西語媒體集團Prisa Media旗下刊物《El Pais》、《Cinco Dias》、《As》及《El Huffpost》的使用授權。在圖片方面，去年7月OpenAI<a href="https://www.prnewswire.com/news-releases/shutterstock-expands-partnership-with-openai-signs-new-six-year-agreement-to-provide-high-quality-training-data-301873298.html" target="_blank">也取得了</a>知名圖庫Shutterstock 6年授權，可使用其圖片、影片、音樂和metadata來訓練其DALL-E模型。</p> </div></div></div>
2024/4/30 11:21作者林妍溱https://www.ithome.com.tw/news/162587
美國四大電信業者出售客戶位置存取權限，被罰近2億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會<a href="https://docs.fcc.gov/public/attachments/DOC-402213A1.pdf" target="_blank">（FCC）周一（4/29）宣布</a>，美國四大電信營運商T-Mobile、AT&T、Sprint及Verizon因在未取得客戶的同意下，非法分享客戶位置資訊的存取權限，而分別面臨8,000萬美元、5,700萬美元、1,200萬美元與4,700萬美元的罰款。而根據《Ars Technica》的報導，上述業者都準備提出上訴。</p> <p>FCC的調查<a href="https://www.ithome.com.tw/news/130440" target="_blank">始於2019年</a>，先是媒體披露有人可以藉由第三方服務，根據電話號碼找到號碼主人的位置，隨後消費者即提出了集體訴訟。且FCC在2020年<a href="https://www.ithome.com.tw/news/136090" target="_blank">便曾開罰</a>這些電信業者，惟當時因FCC內部問題而令此事暫時擱置。</p> <p>現在FCC舊事重提，指出上述的每一家電信業者都將客戶位置資訊存取權限，出售給不同的聚合商（Aggregator），這些聚合商再將它們轉售給第三方的位置服務供應商，此外，電信業者也都企圖將取得客戶同意權的義務轉嫁至下游業者，意謂著許多時候都無法取得有效的客戶同意，而且就算當電信業者意識到相關的保障措施不足，依然繼續出售位置資訊的存取權限。</p> <p>根據美國通訊法令《Communications Act》，電信業者必須採取合理措施來保護客戶的某些資訊，包括位置資訊在內，電信業者不僅被要求要維護相關資訊的保密性，要使用、揭露或允許存取相關資訊時還必須取得客戶的明確同意，此一條款亦適用於與第三方分享客戶資訊時。</p> <p>除了必須保障消費者的隱私之外，FCC也擔心此一存取權落入壞人之手，或是被用於邪惡目的。</p> <p>不過，電信業者也提出了反駁。AT&T向媒體發出聲明，指出FCC要求它替已於合約中註明必須取得客戶同意的另一家業者承擔責任，是不公平的。而Verizon則說，相關專案早在5年前就已關閉，且當時僅有一家業者未經授權取得極少數的客戶資訊。</p> <p>事件發生之時，T-Mobile與Sprint還是兩家不同的公司，但它們已於2020年合併，代表T-Mobile將負擔9,200萬美元的罰款。</p> <p>不管是T-Mobile、AT&T及Sprint，都準備針對FCC的裁決提出上訴。</p> </div></div></div>
2024/4/30 11:51作者陳曉莉https://www.ithome.com.tw/news/162588
傳福斯汽車遭駭客竊取機密資料逾1.9萬檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國媒體報導，德國福斯汽車（Volkswagen）曾遭到駭客入侵網路，並竊取近2萬份和汽車與電動車相關的機密文件，時間長達5年。</p> <p>德國<a href="https://www.zdf.de/nachrichten/wirtschaft/volkswagen-china-hacking-industriespionage-emobilitaet-100.html" target="_blank">ZDFheute</a>及《明鏡》（Spiegel）記者看到一份福斯針對網路攻擊的調查文件做出報導。</p> <p>這份文件顯示，這家汽車大廠網路從2010年到2015年之間遭一個駭客組織入侵，外洩包含智財的檔案。駭客可能在2010年即開始研究福斯汽車的IT基礎架構，尋找可能濫用的漏洞，他們成功在2011年存取福斯IT基礎架構，並在2014年之間，多次將機密文件傳送到外部伺服器。在犯案後，還刪除了作案跡證。</p> <p>但事後調查的資安專家恢復證據，得以重建駭客竊取文件的目標。文件顯示，遭到竊取的檔案包括汽油引擎、變速箱、雙離合器變速箱（dual-clutch transmission）研究。此外，福斯汽車的電動車，包括引擎、燃料電池研究相關文件也是駭客下手的目標。總計共有超過1.9萬份文件遭到竊取。</p> <p>三波攻擊來自同一組人，至於駭客的身份，根據福斯文件，研究人員從駭客的IP位址、使用的軟體工具及時區，推測駭客來自中國。雖然沒有確切證據，但資料指向源自中國政府、甚至解放軍。</p> <p>不過中國駐德國大使駁斥中國政府涉入本案，強調中國也同樣譴責網路間諜活動。</p> <p>去年9月福斯汽車<a href="https://www.theregister.com/2023/09/28/volkswagen_crippled_it_disruption/" target="_blank">曾發生</a>IT設施運作中斷事件，導致5座工廠暫停營運。但該公司表示並非網路攻擊。</p> <p>汽車大廠自來是竊密行動的目標。2021年汽車大廠<a href="https://www.ithome.com.tw/news/148328" target="_blank">Volvo Cars</a>網路也遭駭，致使公司研發資料被竊。其他車廠從福特、通用、豐田、法拉利等，也都發生被駭客攻擊或中勒索軟體，導致客戶個資外流。</p> </div></div></div>
2024/4/30 12:11作者林妍溱https://www.ithome.com.tw/news/162589
Fintech周報第239期：日本SBI證券宣布已將股票交易系統遷移至公雲環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="line-height:1.38;margin-top:10pt;margin-bottom:4pt;"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">4/15~4/26金融科技精選新聞</span></span></h3> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 日本SBI證券</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 證券上雲 </span></strong></span></p> <h3>日本SBI證券宣布已將股票交易系統遷移至公雲環境</h3> <p>近年來，日本政府改變投資政策，鼓勵市民投入股市，包括推動NISA新制，免除小額投資的稅金，交易人數逐漸增加。為了因應快速增加的客戶數量和交易量，日本SBI證券近期宣布，他們已經將境內股票交易系統遷移至公雲環境，單日境內股票交易金額超過2兆日元（約4,000億新臺幣）。此外，SBI證券也計畫在2026年逐步將其他業務系統遷至雲端。</p> <p>2019年，SBI證券戶僅有約471萬戶，到了去年，帳戶數量飆升到1,106萬戶，今年更是突破1,200萬戶，位居日本第一。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 玉山金控 </span></strong></span></p> <h3>一支API提供12項應用服務，玉山金控GenAI平臺大解密</h3> <p>玉山金控在今年初向內部推出GenAI平臺GENIE，目前已啟用11項應用服務，1項服務正在開發中。GENIE平臺有兩大特色：API化服務和檢索增強生成（RAG）技術。一方面，GENIE是一隻獨立的API，可以整合到多種延伸應用服務，內部系統可以透過API串接來使用GENIE的功能。另一方面，玉山自建豐富的金融知識庫，藉RAG技術，來提升LLM模型回應金融領域問題的精準度。</p> <p>玉山金控目前規畫的12項GenAI應用服務中，可區分為基礎和進階應用服務。前者包括純文字和圖片生成、會議記錄生成和摘要總結翻譯等，能適用於多種場景。後者則是針對場景開發進階版應用服務，提升平臺在特定場景的服務能力。例如，法規文件比對、市場資訊摘要和生成，或運用客服資料進行顧客情緒分析。（<a href="https://www.ithome.com.tw/article/162552">詳全文</a>）</p> <p><span id="docs-internal-guid-5ae5dfa2-7fff-f0cc-37f8-85ac501e189b"><span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"></span></span></p> <p></p> <p dir="ltr" style="line-height:1.38;margin-top:10pt;margin-bottom:0pt;"><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 輔助軟體開發 </span></strong></span></p> <h3>澳洲澳盛銀行使用GenAI輔助軟體開發，並協助業務單位撰寫更精準的需求</h3> <p>澳洲澳盛銀行近日在一場活動中揭露，內部正在運用生成式AI協助軟體開發，包括分析業務需求，協助工程師將需求轉為技術架構，和撰寫自動化測試腳本。</p> <p>澳盛銀行平臺工程和SRE主管Rico Zhabg在活動中展示了一套解決方案Ensayo AI，這套解決方案由數千個系統規格、產品文件、監管要求等資料訓練而成，除了輔助開發，也可以協助業務單位撰寫更準確的需求單，讓工程師更快速地實現業務需求。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據分析 </span></strong></span></p> <h3>日本純網銀SBI Sumishin運用GenAI開發數據分析工具，協助快速分析數據和製作報表</h3> <p>日本純網銀SBI Sumishin近日揭露，他們運用生成式AI開發了一款數據分析工具Shadow，協助業務人員快速分析數據，並生成報表資料。</p> <p>在這款數據分析工具中，使用者可以透過聊天的方式，請Shadow協助分析資料和產出報表，包括預測業績情況、分析數據潛藏的趨勢，和製作可視化圖表。</p> <div><img alt="" src="https://s4.itho.me/sites/default/files/images/img_corp_news_240423_pc.png" style="width: 600px;" /></div> <div> <h3 dir="ltr" style="line-height:1.38;margin-top:16pt;margin-bottom:4pt;"><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 保險立約 </span></strong></span></h3> <h3>日本保險公司Sompo Japan運用生成式AI協助加快火災保險立約流程</h3> <p>近日，日本保險公司Sompo Japan將生成式AI應用在保險立約流程，協助業務員快速統整客戶資料，為客戶撰寫適當的合約。</p> <p>傳統流程中，業務員需要確認客戶的資產，並轉寫為文件。部分業務員管理大量客戶，每個客戶可能提供不同格式的資產文件，需要花費時間統整，若遇到資產數量龐大的客戶，也需要業務員逐一確認和轉寫。因此，Sompo Japan將生成式AI導入這項流程，支援多種格式的文件辨識，協助確認客戶資產資訊並自動轉寫為合約。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 加拿大</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放銀行 </span></strong></span></p> <h3>加拿大預計在今年秋季完成開放銀行相關規範</h3> <p>加拿大政府宣布，將在今年完成開放銀行架構的立法，讓消費者可以安全地共享金融數據。他們預計在今年春季推出規範中的其中一部份，包括制定治理框架、開放範圍，和技術標準。其餘要素包括認證方式、通則，和安全措施將會在今年秋季陸續完成立法。</p> <p>為了確保和美國的開放銀行框架一致，加拿大參考美國作法，由金融消費者保護局作為開放銀行推動者，負責監督銀行業者，以及建立相關規範。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放金融</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中小企業貸款 </span></strong></span></p> <h3>英國計畫從開放銀行走向開放金融，財政部指定業界主導相關政策</h3> <p>近日，英國財政部經濟事務秘書Bim Afolami MP在一場公開活動上宣布，將成立開放金融專案小組，藉由開放金融數據，來提高中小企業的貸款機會。這個專案小組將由英國的金融機構和科技公司組成，並由英國創新技術金融中心（CFIT）擔任主席。CFIT表示，他們將負責挖掘適合的開放金融案例，解鎖更多資料，並建立API，提高中小企業金融便利性，同時，專案小組將尋找一些方式來鼓勵企業共享財務數據。</p> <p>CFIT在宣布作為開放金融專案小組主席後，接著宣布開啟中小企業貸款解決方案的實驗計畫。這個實驗計畫的參與對象包含巴克萊銀行，計畫將透過開放財務數據，和自動化申請書填寫的步驟，來提高資料準確性，協助加速信用評估和放貸決策流程。</p> <h3 dir="ltr" style="line-height: 1.38; margin-top: 10pt; margin-bottom: 4pt;"><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放銀行 </span></strong></span></h3> <h3>英國正在規畫開放銀行的長期的監管機構和框架</h3> <p>2017年，英國政府要求境內九家最大金融機構成立一個組織，負責推動開放銀行政策。如今，這個組織已完成階段性任務，英國金融監管機構也開始規畫建立開放銀行的監管機構。近期，由英國金融行為監理總署（FCA）、支付系統監管機構（PSR）、財政部等機構組成的聯合監理委員會（JROC）發佈了對開放銀行下一階段的建議文件，主要針對如何建立開放銀行監管機構、提供機構的定位、發展方向和工作內容。</p> <p>這份建議文件認為開放銀行在走向長期監管之前，需要先建立臨時性的組織負責接管開放銀行的政策運作。文件中提出未來兩年的開放銀行路徑圖，由臨時性組織負責推動五個關鍵項目，提高便利性、降低金融犯罪、保護消費者權益、改善第三方業者和使用者間的資訊流，和增加新服務，進行「非自動轉帳VRP」試點計畫。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 英國渣打銀行</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放API </span></strong></span></p> <h3>英國渣打銀行推出開放銀行市集，上架適用臺灣版本的API供企業測試</h3> <p>為了簡化和第三方企業合作的流程，英國渣打銀行近期推出開放銀行市集，上架包括臺灣共33個地區版本的API。企業註冊帳號並通過渣打銀行審核後，開放銀行市集才會提供API更細節的資訊，部分API會提供企業方一個沙盒環境，讓企業使用API開發或測試產品。</p> <p>英國渣打銀行的開放銀行市集中，提供8組適用於臺灣的API，分別是帳戶查詢、支付、通知和訂閱、證券服務、報告、外匯擔保、交易狀態和數據管理工具的API。</p> <p><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 樂天Pay</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247); font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 支付 </span></strong></span></p> <h3>日本樂天Pay將整合旗下所有支付應用程式</h3> <p>日本樂天Pay近期宣布，將整合樂天集團旗下所有支付應用程式，樂天點數、樂天Edy和樂天Pay三個應用程式，打造一個支付類的超級應用程式。</p> <p>樂天Pay向媒體透露，他們的整合作業將分為兩階段。第一階段是先將樂天點數App整合至樂天Pay，接著再整合可提供跨幣種儲值的預付型電子錢包樂天Edy App。第二階段是加強樂天Pay和信用卡App的連結，包括添加分期付款、小額貸款和查詢明細等功能至樂天Pay。此外，樂天Pay也計畫導入AI，協助顧客管理資金。</p> <div> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年4月</p> </div> </div> </div></div></div>
2024/4/29 13:21作者李昀璇https://www.ithome.com.tw/news/162572
【資安月報】2024年3月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以今年3月的資安新聞而言，隨著2023年的結束，如今正有多個重要的資安年度報告揭露，統整出2023全年的真實威脅態勢，包括零時差漏洞利用、BEC詐騙、投資詐騙、勒索軟體攻擊等面向。</p> <p>雖然我們先前已經報導部分重點，然而，當中其實還有一些關鍵態勢，我們認為相當值得企業關切。</p> <h2><span style="color:#ff0000;"><strong>2023零時差漏洞利用報告出爐，5大重點受關注</strong></span></h2> <p>首先，Google在3月27日公布一份2023零時差漏洞利用的年度報告，指出這方面的威脅又變嚴峻，因為2023年共有97個零時差漏洞利用的情形，比2022年的62個增加了5成。不過仍低於2021年創記錄的106個。</p> <p>為何零時差漏洞攻擊、零時差漏洞利用的威脅需要重視？大家先要能夠區別的是，以零時差漏洞（Zero-day）而言，其實包含了被成功利用與尚未被利用的狀態，而這份報告一直以來都是聚焦在－－零時差漏洞利用，也就是駭客先找出未知漏洞並在外部成功利用（Zero-day Exploited in-the-wild），已經造成災情，廠商只能在事後發現、修補並釋出更新。</p> <p>關於這份2023年度報告所呈現的重要態勢？基本上，我們可以簡單統整為5大重點，包括：</p> <p>●針對第三方元件如函式庫的零時差漏洞攻擊，有越來越多的趨勢。事實上，我們在去年10月就察覺到涉及底層、上游漏洞增加的情形。<br /> ●針對企業產品（含資安產品與裝置）的零時差漏洞攻擊，比往年增長近5成。<br /> ●商業間諜供應商（CSV）持續挖掘大量消費者平臺（如行動裝置、OS、瀏覽器等）的零時差漏洞。<br /> ●中國政府駭客組織發動的零時差漏洞攻擊大增，並且遠高於俄羅斯、北韓、伊朗等駭客組織<br /> ●經濟動機駭客組織發動的零時差漏洞攻擊，比往年減少。</p> <h3><span style="color:#0000CD;"><strong>駭客鎖定企業產品的零時差漏洞利用，比往年激增5成！每年都有更多IT供應商遭鎖定</strong></span></h3> <p>我們還可以如何解讀這些內容？最近4月，剛好Google在臺舉辦資安研討會，來自Google Cloud的專家對於這份報告，提供更深入說明。</p> <p>雖然，我們看到，2023年度的零時差漏洞利用數量，還不及2021年，但Google Cloud Security暨Mandiant亞太區及日本首席技術總監Steve Ledzian認為，有一項重要變化值得關切。他指的是上述5大重點中，所提的第2點。</p> <p>Steve Ledzian指出，在企業方面，現在已有更多的供應商與產品成為攻擊目標，例如，2023年這類型數量增加為36個，而2021年與2022年則是25個與22個。而且針對企業特定技術的攻擊，同樣有所增加。</p> <p>特別的是，Steve Ledzian還強調一個現況：近年被鎖定的IT供應商是越來越多。</p> <p>他解釋，多年來，IT技術一直由少數主要供應商主導，但隨著企業使用了更多不同廠商的產品與服務，成為攻擊目標的廠商數量，也成逐年持續增加的情況。</p> <p>Steve Ledzian並給出明確統計數據，例如，2019年只有4個供應商的產品，成為零時差漏洞利用的攻擊鎖定目標，2020年為7個，2021年13個，2022年17個，到了2023年則是增加至21個。</p> <p>這樣的結果，也呼應了Steve Ledzia在這場研討會上所介紹的一個觀點－－Securing Edge Devices，他指出，我們現在需要建立抵禦邊緣裝置攻擊的韌性。</p> <p>為何會有這項說法？他列出了5大類型，並且指出在這些不同層面，近期都發生了零時差漏洞被利用的情形。包括：郵件邊緣裝置（Email Edge Device）、檔案分享邊緣裝置（File Sharing Edge Device）、遠端存取邊緣裝置（Remote Access Edge Device）、行動存取邊緣裝置（Mobile Access Edge Device）、虛擬裝置（Virtualization Device）。</p> <p>換言之，我們其實也可以透過這樣的類型畫分，來了解Google是如何看待邊緣裝置被鎖定的威脅態勢。</p> <p>這當中又以遠端存取邊緣裝置，是最嚴重的類型。因為單是最近一年多的時間內，就可看到多個品牌產品的零時差漏洞被利用。例如，Ivanti Connect Secure（CVE-2023-46805、CVE-2024-21887、CVE-2024-22024），Citrix NetScaler（CVE-2023-4966），GoAnywhere（CVE-2024-0204），ScreenConnect（CVE-2024-1709、CVE-2023-1708）等。</p> <p>此外，對於這份報告的發布，Steve Ledzian還提到了一個新的變化，他表示：「這次發布的研究報告，是首次由Google威脅分析小組（TAG）與Mandiant全面整合分析結果而成。」</p> <p>換言之，這並不像過往我們所知的，Google與Madiant這兩家公司會各自發布相關統計數據。顯然，自2022年Google宣布併購Madiant後，雙方在此方面已有深入的整合。</p> <p>不過，由於過去兩家公司提出的數據不同，有各自整理的資料，因此我們特別詢問，這樣的統計數量是否還會有遺漏情形？Steve Ledzian表示，這些數量大部分是他們自己追蹤，以及從可以信賴的OSINT公開來源情報所得，的確可能還有其他零時差漏洞利用，但因為沒有放在公開來源情報，他們也無從知道與了解。</p> <h2><span style="color:#ff0000;"><strong>FBI發布2023網路犯罪調查報告，BEC詐騙、投資詐騙、勒索軟體的危害變更嚴峻</strong></span></h2> <p>另一份重要年度報告，是美國聯邦調查局（FBI）網路犯罪投訴中心（IC3）在3月7日發布的《2023 Internet Crime Report》，雖然這裡的數據統計以美國地區為主，但因為IC3在此方面所蒐集的資料，相對其他國家執法單位而言，其樣本數量夠大且類型豐富，因此IC3所統計的資料也常視為一重要指標。</p> <p>在這份最新年度報告中，FBI指出2023年受理的案件達88萬件，比前一年增長10%，損失金額也比前一年增加22%，持續呈現逐年增長的態勢。</p> <p>至於去年網路犯罪態勢有哪些重要變化？我們認為有3大焦點，分別是：BEC詐騙、投資詐騙、勒索軟體。</p> <h3><span style="color: rgb(0, 0, 205);"><strong>BEC詐騙</strong></span></h3> <p>首先，商業電子郵件（BEC）詐騙的威脅已經被FBI警告多年，2023年帶來的損失金額已接近30億美元，共有21,489件被受理。平均起來，每日都有58家企業報案，相當驚人。</p> <p>特別的是，我們找出過去3年的IC3的統計數據可以發現，這類網路犯罪投訴數量均維持在1.9萬到2.2萬件之間。這也意味著，每年都有2萬家當地企業遭遇BEC詐騙，並沒有趨緩的情形。</p> <p>對於臺灣企業而言，雖然我國警政署往年也會公布這方面的統計數據，但現在少有這類新聞事件曝光，因此，我們認為有需要再度提醒普遍企業，這類威脅態勢在國際間其實並未減少，不應輕忽。</p> <h3><span style="color: rgb(0, 0, 205);"><strong>投資詐騙</strong></span></h3> <p>其次，投資詐騙日益嚴峻，成為近兩年最猖獗的網路犯罪型態。自從2022年開始，帶來的相關損失躍居網路詐騙首位，到了2023年，損失金額再度攀高，已經達到2020年的3倍，且大多數與加密貨幣詐欺有關。</p> <p>在臺灣，近來有這類事件發生，例如今年我國檢警調偵辦「ACE王牌交易所」勾結虛擬貨幣詐騙集團吸金一案。</p> <h3><span style="color: rgb(0, 0, 205);"><strong>勒索軟體</strong></span></h3> <p>第三，勒索軟體攻擊的網路犯罪再趨嚴重，IC3去年收到2,825多件關於勒索軟體攻擊的投訴案件，顯示在2022年下降後、2023年又呈現上升趨勢。</p> <p>值得注意的是，根據IC3指出，2023年有1,193個重大基礎設施遭到勒索軟體攻擊，比2022年的870個明顯更高，突顯攻擊重大基礎設施持續成鎖定目標，其中醫療保健部門佔這些投訴的2成，在當地16種關鍵基礎設施中最高。</p> <p>雖然臺灣沒有較全面的這類統計資訊，但以我們在3月報導的上市櫃資安封面故事而言，可看出民間企業遇駭事件確實增加，且2023年的勒索軟體攻擊事件，的確比2022年更多。</p> <p>無論如何，上述這些2023全年威脅態勢的公布，已經告訴我們，這些威脅引發的危害仍在加劇，並未有減緩跡象，因此，儘管臺灣企業組織現在越來越重視資安，但也要記住，我們在2024年所面對的威脅與挑戰，也是變得更為嚴峻。</p> <h2><strong><span style="color:#ff0000;">月底發生XZ後門事件，軟體供應鏈攻擊威脅也不容輕忽</span></strong></h2> <p>除了上述4大威脅面向，還有軟體供應鏈攻擊的態勢要注意，這是因為3月底發現了一起重大事件，XZ程式庫竟遭潛伏的維護者植入後門。</p> <p>關於這起事件，最令開發圈、資安圈在意的是，攻擊者竟然以長期臥底方式，將自己長期假扮為正常的開源貢獻者，一開始提交的內容都要幫助專案維護，行動很正常，等到取得原始專案開源維護者的信任，自己擁有更多權限之後，才露出真實目的，進而要以神不知鬼不覺的技術，將後門植入上游軟體供應鏈。</p> <p>由於開源貢獻者來自全球各地，要如何防範一開始沒有任何異常舉動的臥底內鬼？要如何揪出這個在GitHub使用代號Jia Tan（JiaT75）且暗中植入後門的攻擊者真實身分？如今都成為開源界積極探討的議題。</p> <p>雖然過去也有主打開源安全管理的資安業者，有發布軟體供應鏈攻擊的年度報告。只是，我們認為，這一威脅面的影響深遠，但又可能不像其他網路威脅那樣受關注，因此產業間是否會有更好的辦法來面對？或許值得各界都能更進一步去探討。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/161700"><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月4日到3月8日</span></a></strong></h2> <p>回顧這一星期的資安新聞前，先來聊聊最近臺灣上市櫃公司接連發布資安事件重大訊息的現況，最近我們發布的封面故事，就是特別以此為題的報導與探討，當中整理出<a href="https://www.ithome.com.tw/news/161666">2023年臺灣上市櫃公司有23起資安事件相關重大訊息</a>，並得知這些資安事故的背後，多半是勒索攻擊造成，另一方面，<a href="https://www.ithome.com.tw/news/161667">早已不斷受媒體關注的個資外洩消息，近一年也登上重訊版面</a>，在我們進一步追蹤下，更是發現先前諾貝兒、雄獅遭網路駭客攻擊事件的後續消息，就有因個資外洩受個資法的情形，且開罰金額已經提高至200萬，不同於過去的20萬。</p> <p>這些現象的出現，在在突顯企業經營層在看待營運風險時，需更重視勒索攻擊的危害，以及個資外洩的影響。特別的是，在我們與證交所聯繫過程中，還發現<a href="https://www.ithome.com.tw/news/161667#%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E9%87%8D%E5%A4%A7%E6%80%A7%E6%A8%99%E6%BA%96">資安事件「重大性」的認定，已有明確標準可依循，上市公司的部分在1月已經完成相關修訂</a>，上櫃公司的部分也確定即將發布。</p> <p>在關注企業揭露資安事件之餘，我們還有不同資安領域的消息需要重視。</p> <p>在本星期的漏洞利用消息方面，有3個重點，企業需優先因應的是蘋果與JetBrains的漏洞。<br /> （一）蘋果修補多款產品的2個記憶體損壞漏洞CVE-2024-23225、CVE-2024-23296，都是已遭鎖定攻擊的零時差漏洞。<br /> （二）JetBrains修補旗下CI/CD軟體平臺TeamCity的兩個漏洞，特別的是，由於該公司沒有知會通報漏洞的Rapid7、私下修補且不公開漏洞，使得Rapid7同日公開漏洞細節。後續，外界發現漏洞CVE-2024-27198已遭鎖定利用。<br /> （三）兩個老舊漏洞近期發現遭鎖定利用，包括：2021年8月的Sunhillo SureLine OS命令列注入漏洞（CVE-2021-36380），以及去年6月的Android Pixel資訊揭露漏洞（CVE-2023-21237）。本期資安日報尚未提及，在此補上。<br /> 其他可留意的漏洞修補消息，包括VMware修補旗下多款產品的4個重大漏洞，以及臉書修補密碼重置漏洞。</p> <p>在資安事件焦點方面，一開始提及勒索軟體與個資外洩的威脅態勢，本週也有多起這方面的新聞報導，我們整理如下：<br /> ●勒索軟體駭客組織Dunghill在2月29日聲稱入侵上櫃公司安瑞科技，我們取得安瑞的回應，他們表示子公司Array US於3月1日，偵測到資訊系統遭受病毒攻擊。目前調查未有客戶敏感資料外洩，也不影響營運。<br /> ●美國CISA等多個機構針對近期勒索軟體Phobos的攻擊態勢提出警告，2月有新的變種出現，主要鎖定關鍵基礎設施、地方政府、急難、教育與醫療單位。<br /> ●去年底Line用戶個資外洩事件有後續消息，原因是LYC與關係企業Naver Cloud因部分系統共用，而雙方於韓國採用的外包廠商，其員工電腦遭到惡意程式感染，因此最近日本總務省要求兩家公司應切割IT基礎架構。<br /> ●美國運通向客戶通知發生資料外洩事件，原因是第三方信用卡交易處理服務提供商的系統遭駭客入侵，導致有未經授權存取的情況。</p> <p>還有一項針對我國而來的攻擊活動，需要大家關注。繼月前有資安業者Trellix發布報告，指出臺灣總統大選投票前一天所遭受的網路攻擊大幅增加，近日又有趨勢科技揭露這方面的態勢，指出中國駭客組織Earth Lusca在去年12月至今年1月的新一波攻擊活動中，會使用地緣政治議題為誘餌來發動網釣攻擊，並且其內容疑似盜用未發表的專家文章。由於研究報告中提到相關文章遭盜用、相關政治專家或所屬組織可能遭入侵，我們認為，上述人士需趕緊檢視自身裝置、帳號的防護，避免受害卻仍不自覺。</p> <p style="margin: 0px;">在資安防禦態勢上，我們注意有3個重點，主要針對開發安全與LLM的安全。</p> <p>首先，開發者要注意！最近GitHub將去年推出的推送保護（Push Protection）功能，改為預設啟用。特別的是，我們發現GitHub在宣布此消息之餘，同時提到他們最近在公開儲存庫掃描時的發現：今年已偵測到上百萬筆機密資料洩漏（API金鑰、令牌與各種機密），如此大量只發生在短短兩個月內。此一情形，很有可能就是現在將Push Protection改為預設啟用的原因。</p> <p>此外，前幾年美國白宮邀科技大廠解決開源安全問題時，改用記憶體安全程式語言，就是十大重點工作之一，最近美國白宮更是發布相關報告，親自呼籲科技界主動減少網路攻擊面，不要使用缺乏記憶體安全相關功能的C和C++。這樣的態勢值得臺灣政府及所有IT資訊產業關注，畢竟要打造可信賴的供應鏈生態體系，軟體開發安全亦是關鍵，尤其是各種可濫用的軟體漏洞中，記憶體安全漏洞佔了絕大多數，因此是所有程式開發相關都要設法克服的挑戰。</p> <p>最後是大型語言模型（LLM）當紅，如今面對提示詞注入、模型拒絕服務，以及敏感資訊洩漏這三種模型攻擊，如何設法應對成挑戰，最近開始有資安業者發表可應對這些威脅的網頁應用防火牆（WAF），Cloudflare指出，其作用可阻擋有問題的請求輸入模型，並具備敏感資料偵測能力，可用於阻止在回應中洩漏機密資料，另一方面，也可阻止使用者將資料傳送到公用LLM。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161807"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月11日到3月15日</span></strong></a></h2> <p>這一星期適逢多家廠商發布每月安全更新，包括微軟、Adobe、SAP等多家IT業者，以及西門子、施耐德電機等ICS工控業者，大家關切這些例行修補之餘，還有一些安全性弱點消息也要留意，例如：威聯通NAS，思科SSL VPN用戶端軟體，以及應用程式開發平臺OpenEdge的漏洞修補。</p> <p>特別的是，我們近期還注意到WordPress有多個外掛程式漏洞的陸續揭漏，當中以存在Bricks Builder外掛編輯器的重大RCE漏洞CVE-2024-25600，需要特別重視，因為多家業者發現已將其用於攻擊行動。此外，另一外掛程式Popup Builder去年修補的漏洞CVE-2023-6000，近期也發現被遭駭客積極鎖定利用的狀況。</p> <p>在資安事件方面，有一起關於臺灣企業的事件引發極大關注，是宏碁菲律賓分公司傳出資料外洩，宏碁已證實當地分公司有部分員工資料被存取，是菲律賓的外部供應商發生資料外洩事故造成。值得注意的是，日前我們報導上市櫃遭網路攻擊的現況時，資安專家指出，現在勒索攻擊的型態，並不全是用加密方式綁架資料而進行勒索，「偷資料的勒索」也逐漸成為常態，而上述事件中，目前傳出消息是只有資料被偷，對方並未使用勒索軟體或是加密檔案，至於後續是否有向宏碁勒索的行為，暫不得而知。</p> <p>此外，還有美法兩國的重大資料外洩消息，例如，美國移民主管機關的敏感資料流入駭客論壇，原因是IT承包商遭駭，以及法國失業救濟機構France Travail遭入侵，4,300萬人個資恐流出。</p> <p>國際有個重大資安事故的消息，全球也正在關注後續發展。法國總理辦公室最近公開表示，當地多個政府機構遭受了「前所未有的強度」的網路攻擊，據當地媒體指出，法國各部會網站是遭DDoS攻擊，而法國政府也採取措施，成立危機反制小組來應對，由於今年7月法國將舉辦2024奧運，還有6月舉行的歐洲議會選舉，該國國防顧問先前也示警，近期相關活動可能成為網路攻擊的重要目標。</p> <p>在威脅態勢上，美國聯邦調查局（FBI）發布2023年度網路犯罪報告，強調勒索軟體駭客攻擊關鍵基礎設施日益頻繁，我們在此列出重點，幫助大家快速了解。<br /> ●勒索軟體的影響再次上升，在FBI接獲的2,825件勒索軟體攻擊事故中，有1,193件是針對關鍵基礎設施（CI）有關的組織而來，相當於每5起事故就有2起是針對CI，這樣的比例比前一年度更高。<br /> ●從犯罪型態來看，商業電子郵件詐騙（BEC）危害程度居高不下，FBI表示，2023年此類犯罪損失高達29億美元。我們對比了前兩年的BEC損失，分別是23億美元、27億美元，可看出企業必須持續嚴防這類威脅。<br /> ●投資詐騙問題越來越大，2022年損失達33億美元，超越BEC而成為傷害最大的犯罪型態，2023年這類損失金額更是達到45億美元。</p> <p>在其他重要威脅態勢上，這星期還有不少勒索軟體最新動向的揭露，我們整理如下：</p> <p>●勒索軟體駭客組織BianLian最近的攻擊行動，是利用前一陣子TeamCity的漏洞來發起入侵。<br /> ●由勒索軟體駭客組織GhostSec、Stormous發起的雙重勒索攻擊，正利用名為GhostLocker 2.0的勒索軟體，鎖定中東、非洲、亞洲企業發動攻擊。<br /> ●去年4月出現的勒索軟體駭客組織RA World，攻擊目標原本是美國、韓國，後續擴展至德國、印度，以及臺灣，拉丁美洲現在也被鎖定。</p> <p>回到國內，關於上市櫃公司資安事件揭露的規範，最近有重要消息發布。我們先前報導臺灣證券交易所發布新版重訊問答集，裡面具體列出「上市公司」的資安事件重大性標準，而對於「上櫃公司」資安事件重大性標準的規範，則是在3月8日由證券櫃檯買賣中心發布。簡單來說，當中明訂核心系統遭駭，官網遭駭、DDoS、個資外洩、造成服務受影響中斷等，都屬重大性事件，而且，都需要發布重大訊息告知投資人。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/161926"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月18日到3月22日</span></strong></a></h2> <p>這一星期的漏洞消息，在留意Atlassian修補CI/CD工具Bamboo重大漏洞，以及Ivanti修補同步應用系統Standalone Sentry的重大漏洞之餘，還一個大家可能容易忽略的消息是，1月HTTP非同步傳輸框架Aiohttp修補漏洞CVE-2024-23334，近期出現利用該漏洞的攻擊行動，研究人員認為，可能是勒索軟體駭客組織ShadowSyndicate所為。</p> <p>在重大資安新聞方面，我們認為，最需要優先關注國際貨幣基金組織與富士通的遭駭事件。</p> <p>國際貨幣基金組織（IMF）在15日公布遭遇網路攻擊事件，全球也正在關注後續發展。基本上，IMF是在二戰後為了穩定國際金融而成立，最近他們公布在一個月前發現遭遇網路攻擊，有11個電子郵件帳號被入侵。這不免令人聯想到1月微軟、HPE遭俄羅斯駭客Midnight Blizzard攻擊的事件，因為共通點這些機構都使用微軟雲端電子郵件服務。</p> <p>另一個IT界很關注的消息是富士通遭駭，該公司在15日發布資安公告，說明IT系統遭入侵，發現多臺電腦出現惡意軟體，目前該公司正調查被入侵的情況與確認資料是否外洩，暫不清楚是否有其他企業或其客戶資料受波及，有待後續調查結果公布。</p> <p>至於臺灣資安近況方面，趨勢科技近期發布2023年資安威脅態勢報告的新聞稿，當中特別強調臺灣須留意駭客組織Earth Estries動態，並指出對方專門針對政府機關與科技業而來，大家要密切關注後續狀況。</p> <p>其他重要資安新聞焦點，包括涉及Firebase曝險、竊資軟體與中國駭客組織動態的新聞，我們整理如下：<br /> ●企業需注意Firebase配置不當的曝險問題，研究人員進行這方面的大規模盤點，發現有900個網站曝險，暴露近2千萬筆明文帳密資料。<br /> ●駭客不只利用HTML Smuggling手法來迴避偵測，最近還出現新的作法，例如竊資軟體AZORult還用上反射式程式碼載入的手法來規避偵測並啟動。<br /> ●中國駭客組織Earth Krahang近兩年的攻擊活動被揭露，有45國、上百個組織被鎖定，已確認70個組織遭入侵，多是政府機關，另發現116個組織遭鎖定。</p> <p>關於新攻擊手法研究與漏洞的揭露，我們認為有3項消息，值得企業與資安研究人員重視，涵蓋DoS攻擊、LLM漏洞，以及利用處理器微架構特性的旁路攻擊手法：<br /> （一）發現新型阻斷服務攻擊手法Loop DoS，德國CISPA亥姆霍茲資安中心指出，利用UDP通訊協定上封包驗證不足的弱點CVE-2024-2169，可導致彼此訊息無限循環回應，不只老舊通訊協定有同樣狀況，目前普遍常用的DNS、NTP、TFTP也受影響。<br /> （二）有研究人員揭露3個新的Google Gemini聊天機器人潛在的威脅，分別是可繞過安全防護機制的漏洞，利用Gemini Pro虛構生成功能的提示越獄漏洞，以及模擬重新設定的漏洞。<br /> （三）多名大學研究人員共同揭露<a href="https://www.ithome.com.tw/news/161909">GoFetch微架構旁路攻擊</a>，資安日報近期尚未報導這方面消息，但已引發不小的關注，此手法是透過記憶體資料預先讀取機制DMP，從常數時間程式實作中竊取加密金鑰，且蘋果M系列處理器易受此攻擊影響。</p> <p>在防禦態勢上，這星期有2項新進展，成為資安圈與開發圈的焦點。例如，提升組織內軟體供應鏈可見性的軟體安全評估工具GUAC，如今成為OpenSSF孵化專案，以及程式碼儲存庫GitHub發布程式碼自動掃描修復功能（Code Scanning Autofix），可協助開發者快速解決程式碼中的漏洞，目前已經支援JavaScript、TypeScript、Java與Python。</p> <p>此外，國際間還有兩個安全指引的頒布，可以作為企業組織的借鏡與參考。一是英國發布雲端資料收集與監控系統（SCADA）安全指引，因為已有許多企業組織將SCADA遷移到雲端，而這樣的資訊過去也算比較少見；另一是因應中國駭客組織Volt Typhoon的威脅，最近英美等多國網路安全機構，提出防禦指引。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/162041"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年3月25日到3月29日</span></strong></a></h2> <p>在這一星期有多個已知漏洞出現首度遭利用的消息，其中1個是短短一週前才修補，就發現被利用於攻擊行動，因此特別受關注，那就是Fortinet端點管理伺服器FortiClient EMS的漏洞CVE-2023-48788。</p> <p>其他近期確認遭鎖定利用的已知漏洞，還包括：微軟SharePoint Server的漏洞（CVE-2023-24955），Ivanti EPM CSA的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2021-44529">CVE-2021-44529</a>），以及門禁解決方案Nice Linear eMerge E3-Series OS的漏洞（<a href="https://nvd.nist.gov/vuln/detail/CVE-2019-7256">CVE-2019-7256</a>）。後兩項本期資安日報尚未提及，一併補上。</p> <p>另補充<a href="http://www.ithome.com.tw/news/162040">周末一則最新消息是關於XZ Utils資料壓縮程式遭植入後門</a>，紅帽已指派漏洞CVE-2024-3094，由於此事件涉及SSHD（Secure Shell Daemon）供應鏈攻擊，正受廣泛關注。</p> <p>關於零時差漏洞攻擊的最新態勢，持續受大眾關注，隨著2023年過去，最近Google公布這方面的年度報告，我們認為，有3個現象值得大家關注：（一）針對第三方元件攻擊顯著增加；（二）針對企業裝置、資安產品攻擊，比往年增長近5成，（三）中國政府支持駭客組織發動的攻擊大增，去年利用了12個零時差漏洞發動攻擊。</p> <p>此外，關於上述提到中國駭客組織的危害，最近另一起資安新聞也提到這方面的狀況。最近美國方面有新的消息，該國司法部起訴7名參與APT31的中國公民，其財政部也宣布制裁武漢曉睿智科技（Wuhan XRZ），已確認這是一家幌子公司，背後是負責APT 31行動的中國湖北省國家安全局設立。在此同時，還有多國網路安全機構與執法單位，出面指控近年遭到中國政府支持駭客組織的攻擊，包括英國、芬蘭、紐西蘭與澳洲等。</p> <p>在最近的資安威脅態勢上，殭屍網路TheMoon的攻擊活動，是本星期的一大焦點事件。這是因為，雖然它的攻擊目標都是挾持生命週期終止（EOL）的家用及小型辦公室（SOHO）路由器、物聯網設備，但最近短短72小時內，竟有超過6千臺華碩路由器被攻佔。</p> <p>在其他威脅態勢方面，有勒索軟體與網釣工具的揭露，值得企業與資安研究人員重視，還有一些攻擊技術與資安風險的揭露，雖然存在於不同領域，但可能的危害情境貼近於生活日常，引發許多人的好奇與重視，我們整理如下：</p> <p>●勒索軟體Agenda的攻擊在去年底顯著增加，如今更是發現，攻擊活動中會利用嵌入勒索軟體檔案的PowerShell指令碼，對VMware ESXi、vCenter進行橫向感染，竄改ESXi主機root密碼。</p> <p>●網路犯罪領域有新的攻擊工具出現，被不同資安業者揭露，例如，半年多前現身的Tycoon 2FA的AiTM網釣攻擊套件，最近有被廣泛使用的情形；還有網路釣魚套件工具包Darcula，是針對手機用戶而來。</p> <p>●飯店業者注意！全球數百萬間的飯店房門能被一張複製的偽造鑰匙卡破解，有資安研究人員發現，經常被應用在飯店與住宅大樓Saflok系統的RFID電子鎖產品有漏洞（Unsaflok），由於門鎖更新或更換耗時，五個月來進度僅完成36%。</p> <p>●Google搜尋引擎近期加入SGE功能，將生成式AI融入搜尋結果，但有人發現給出的結果中，會推薦垃圾網站及惡意網站，推測可能是SEO中毒攻擊造成。</p> <p>●資安部落格<a href="https://krebsonsecurity.com/2024/03/recent-mfa-bombing-attacks-targeting-apple-users/">KrebsonSecurity指出最近出現針對蘋果用戶的「MFA轟炸」攻擊</a>，這種釣魚攻擊，涉及一個看似蘋果密碼重置功能的漏洞。雖然近期資安日報尚未報導這方面消息，但已引發不小的討論與關注。</p> <p>另外，防禦態勢上，這星期有兩項新進展，成為資安圈與開發圈的焦點。例如，上星期Pwn2Own漏洞挖掘大賽舉行，參賽的資安研究人員在8個競賽類別總計找出29個零時差漏洞，除了研究人員共獲得113萬美元的獎勵，提供產品的廠商後續也將針對這些漏洞予以修補，目前Firefox、Google以針對各自不同的2個漏洞進行修補。</p> <p>另一是美國CISA發布第4則Secure by Design Alert，強調SQL注入漏洞不該一再發生，他們並以去年駭客利用MOVEit Transfer漏洞大舉入侵為例，呼籲開發人員、軟體製造商在出廠前務必審查程式碼是否含有SQL注入漏洞。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/161921">2024年2月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161237">2024年1月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160880">2023年12月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/160289">2023年11月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159582">2023年10月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/159207">2023年9月資安月報</a></h3> <h3> </h3> <p> </p> </div></div></div>
2024/4/29 16:29作者羅正漢https://www.ithome.com.tw/news/162577
【資安日報】4月29日，互動式BI系統Qlik Sense危急漏洞遭到鎖定，對方利用勒索軟體Cactus發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年互動式BI系統Qlik Sense修補多個已知漏洞CVE-2023-41265、CVE-2023-41266、CVE-2023-48365，事隔2個月傳出駭客組織鎖定尚未修補的伺服器下手，對其植入勒索軟體Cactus加密檔案。事隔5個月，這波攻擊的態勢並未趨緩，但仍有不少伺服器仍未套用更新軟體而曝險。</p> <p>資安業者Fox-IT指出，截至今年4月17日，曝露於網際網路上的Qlik Sense伺服器超過6成存在前述漏洞，且已有超過100臺伺服器遭到入侵。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162575"><strong style="font-size: 22px;">互動式BI系統Qlik Sense遭勒索軟體Cactus攻擊，3千多臺伺服器曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/top-20-countries-vulnerable-qlik-sense.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/top-20-countries-vulnerable-qlik-sense.png" style="width: 300px; float: right;" /></a></p> <p>去年8月底互動式BI系統Qlik Sense修補被稱為ZeroQlik的兩項漏洞，分別是HTTP隧道漏洞CVE-2023-41265，以及路徑穿越漏洞CVE-2023-41266，CVSS風險評分為9.6、8.2分。</p> <p>隔月，該公司再度公布名為DoubleQlik的漏洞，此為繞過針對上述漏洞修補程式的弱點，並被登記CVE-2023-48365，CVSS風險評為9.6。近日研究人員提出警告，自11月勒索軟體駭客Cactus利用上述漏洞發動攻擊，迄今至少已有100臺伺服器被攻入，但令人憂心的是，這些漏洞仍有超過3千臺伺服器尚未修補，而可能成為對方下手的對象。</p> <p>上週資安業者Fox-IT指出，他們在4月17日於網際網路上找到5,205臺Qlik Sense伺服器，其中有3,143臺尚未修補上述漏洞而曝險，這些伺服器位於美國的數量最多，有396臺，其次是義大利、巴西、荷蘭，分別有260臺、244臺、241臺。</p> <p><a href="https://www.ithome.com.tw/news/162578"><strong style="font-size: 22px;">研究人員揭露PlugX惡意程式攻擊行動，半年針對170個國家、近250萬臺電腦下手</strong></a></p> <p>去年3月資安業者Sophos發現專門鎖定USB裝置的惡意程式PlugX變種，有其他研究人員進一步進行追蹤，並公布相關細節。資安業者Sekoia根據上述的調查結果，買下對方曾經使用的C2網域進行研究，結果發現他們每天會從超過170個國家的受害電腦，收到約9萬至10萬次的請求。截至目前為止，他們總共看到2,495,297個試圖與C2網域進行互動的IP位址。</p> <p>研究人員指出，逾8成受害電腦集中於15個國家，其中最多的是奈及利亞、印度、中國、伊朗、印尼。根據受害的國家來看，有不少是發生在參與中國一帶一路基礎設施發展的合作國家，因此研究人員推測，這波攻擊行動的目的，是在收集各國對於一帶一路相關策略及安全相關的情資，主要是為了中國海洋及經濟層面的利益。</p> <p><a href="https://www.ithome.com.tw/news/162554"><strong style="font-size: 22px;">中東政府遭到後門程式CR4T鎖定，老牌檔案管理共享軟體Total Commander安裝檔遭改裝夾帶惡意程式下載器</strong></a></p> <p>資安業者卡巴斯基揭露名為DuneQuixote的攻擊行動，他們在今年2月察覺此事，對方針對中東政府機關而來，意圖於網路環境部署後門程式CR4T。</p> <p>研究人員總共看到攻擊者使用超過30個惡意程式下載工具，並指出而這些軟體大致可區分兩種類型，其中一種是透過老牌檔案管理工具Total Commander的安裝程式挾帶，而引起研究人員的關注。</p> <p><a href="https://www.ithome.com.tw/news/162515"><strong style="font-size: 22px;">北韓駭客Kimsuky濫用生成式AI從事網路間諜行動</strong></a></p> <p>微軟針對北韓駭客組織濫用大型語言模型（LLM）及生成式AI工具的情況提出警告，對方藉此讓攻擊危害更為顯著、效率更為提升。</p> <p>該公司與OpenAI的研究人員發現，北韓駭客組織Kimsuky（亦稱Emerald Sleet、TA427）在鎖定韓國專家從事魚叉式網路釣魚攻擊行動時，就利用LLM來強化效果。再者，他們也發現這些駭客利用LLM來研究漏洞，或是對於專門研究北韓事務的專家及組織從事偵察工作。</p> <p><a href="https://www.ithome.com.tw/news/162568"><strong style="font-size: 22px;">群光電子遭駭事故傳出後續，對方聲稱取得SpaceX相關檔案，該公司表示為非機密資料</strong></a></p> <p></p> <p>4月15日勒索軟體駭客組織Hunters International聲稱攻擊臺灣電腦周邊產品大廠群光電子（Chicony Electronics），竊得1.2 TB內部資料，引起國內媒體廣泛報導，21日群光發布重大訊息針對此事提出說明，強調這起事故無個資及機密文件資料外洩，事隔一週，又出現新的發展。</p> <p>27日駭客釋出竊得資料，當中包含運動攝影機廠商GoPro產品的資料，以及太空科技公司SpaceX的相關資料，資安專家Dominic Alvieri在社群網站X標註創辦人馬斯克，要讓該公司留意此事。對此，群光再度發布重大訊息，指出駭客公布的都是已經量產、市面上可買得到的產品資料，並非機密。</p> <p><a href="https://www.ithome.com.tw/news/162574"><strong style="font-size: 22px;">針對京鼎1月遭駭，證交所指出該公司延遲發布重大訊息開罰</strong></a></p> <p>今年1月鴻海集團旗下半導體設備大廠京鼎遭網路攻擊，駭客當時曾罕見竄改該公司網站首頁而引起軒然大波，近期出現新的進展。4月26日證券交易所指出，因該公司延遲發布重大訊息，他們根據相關規定開罰10萬元。</p> <p>證交所指出，他們發現京鼎的內部控制制度設計及執行，以及對子公司之監督與管理未依「公開發行公司建立內部控制制度處理準則」第5條、第11條、第38條規定辦理的情況。再者，京鼎美國子公司於2024年1月8日，發生駭客攻擊伺服器及加密文檔事件，經查符合證交所「對有價證券上市公司重大訊息之查證暨公開處理程序」第4條第1項第26款之情事。證交所指出，京鼎公司延遲輸入公開資訊觀測站重大訊息畫面。</p> <p><a href="https://www.ithome.com.tw/news/162569"><strong style="font-size: 22px;">員警涉嫌內神通外鬼，查詢165反詐騙平臺示警銀行帳號，將相關資料洩露給詐騙集團</strong></a></p> <p>新北市警局傳出有員警涉嫌查詢特定帳戶資訊，並提供犯罪集團濫用的情況。近期檢警追查某起案件時，意外發現36歲新北市新莊分局丹鳳派出所員警王晟育涉案，且疑似收賄。</p> <p>這名員警於2021年7月至2022年12月底，利用派出所內公務電腦，登入內政部警政署警政知識聯網系統，存取165反詐騙系統平臺，查詢警示帳戶通報情形、受理案號，以及被害人姓名、銀行帳號等資料。接著，該名員警利用即時通訊軟體，將上述資料傳送新莊裕民里前里長曾榆期，該名前里長再提供給詐騙集團，目的是讓對方了解被害者是否報案，他們的銀行帳號是否遭到警示或是凍結。這些被流出的個資，至少有24筆。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/okta-warns-of-unprecedented-credential-stuffing-attacks-on-customers/"><strong style="font-size: 20px;">鎖定Okta用戶的帳號填充攻擊爆增</strong></a></p> <p></p> <p>◆<a href="https://www.threatfabric.com/blogs/brokewell-do-not-go-broke-by-new-banking-malware"><strong style="font-size: 20px;">金融木馬Brokewell挾持安卓裝置，從而竊取機敏資料</strong></a></p> <p></p> <p>◆<a href="https://www.securonix.com/blog/analysis-of-devpopper-new-attack-campaign-targeting-software-developers-likely-associated-with-north-korean-threat-actors/"><strong style="font-size: 20px;">研究人員揭露佯稱提供職缺的攻擊行動Dev Popper，意圖在開發人員電腦植入Python後門</strong></a></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://twitter.com/Shadowserver/status/1783399676521168935"><strong style="font-size: 20px;">逾1,400臺CruchFTP檔案共享伺服器尚未修補CVE-2024-4040</strong></a></p> <p></p> <p>◆<a href="http://patchstack.com/database/vulnerability/wp-automatic/wordpress-automatic-plugin-3-92-0-unauthenticated-arbitrary-sql-execution-vulnerability"><strong style="font-size: 20px;">WordPress自動化內容匯入外掛程式存在危急漏洞，攻擊者有機會得到管理者權限並植入後門</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162395"><strong style="font-size: 22px;">Commvault併購雲端災難復原軟體新創廠商Appranix</strong></a></p> <p>長期經營備份與災難復原領域的廠商Commvault，宣布併購雲端災難復原軟體廠商Appranix，藉此更新雲端服務基礎架構。</p> <p>Appranix是成立於2016年的雲端原生復原軟體廠商，可藉由快照與公有雲儲存資源，為公有雲平臺應用程式提供保護，在雲端應用程式遭遇災害或攻擊而中斷時，幫助用戶迅速恢復應用程式運行，可支援AWS、Azure與Google Cloud等主要公有雲平臺。</p> <p>Commvault自身也有基於Commvault Cloud的雲端災難復原服務，而透過併購Appranix，將能藉由整合後者的產品，擴展與更新Commvault Cloud的基礎技術架構，強化災難復原服務能力。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162563"><strong>【4月26日】駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162538"><strong>【4月25日】思科證實防火牆零時差漏洞遭國家級駭客利用，於政府機關植入後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162511"><strong>【4月24日】北韓雲端伺服器傳出組態不當，曝露間接承攬美國多家影音平臺外包動畫製作的情況</strong></a></p> </div></div></div>
2024/4/29 17:13作者周峻佑https://www.ithome.com.tw/news/162579
網釣太猖獗！假冒的美國郵局網站流量相當或勝過真實網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因為員工收到了來自美國郵局（United States Postal Service，USPS）的詐騙簡訊，促使<a href="https://www.akamai.com/blog/security-research/phishing-usps-malicious-domains-traffic-equal-to-legitimate-traffic" target="_blank">資安業者Akamai對此展開調查，發現</a>自2023年10月到2024年2月間，用戶的DNS查詢量只有51%導向正確的USPS網站（<a href="http://www.usps.com">www.usps.com</a>），另有49%都導向了網路釣魚網站，而且在特定的節日前後，這些網釣網站的DNS查詢量都大幅勝過真實的USPS。</p> <p>調查顯示，仿冒USPS官網的網釣網址通常屬於搶註的組合網址（Combosquatting），亦即在這些網址中嵌入了USPS的名稱，Akamai篩選了那些使用明顯USPS字樣的網釣網址，顯示全球最少被註冊了超過68萬個假冒為USPS的網釣網站，當中有逾27萬個使用.com，也有27萬個使用.top，另有5.8萬個採用.shop，3萬個使用.xyz，還有1.6萬個是.org。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429-Phishing%20Campaigns%20Targeting%20USPS-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAkamai.png" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Akamai</span></p> <p>而引來最多流量的前四個USPS網釣網站則是usps-post[.]world 、uspspost[.]me、usps-postoffices[.]top與stamps-usps[.]online。</p> <p>Akamai在這5個月追蹤了USPS官網以及眾多網釣網站的流量，發現網釣網站在平日的流量可能略低於USPS官網，但只要一到假日或送禮高峰期，例如感恩節或聖誕假期，網釣網站的流量就會大幅超越真實的USPS網站，因為駭客企圖利用此一人們與郵政都非常繁忙的季節來執行詐騙。</p> <p>在Akamai員工收到的詐騙簡訊中寫著：「其USPS包裏已經送到倉庫，但因地址資訊不清楚所以無法遞送，要求使用者於12個小時內透過簡訊內附上的連結來確認地址...」接著便將使用者導至網釣網站來騙取個資。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429-Phishing%20Campaigns%20Targeting%20USPS-Fig_%201%EF%BC%9AUSPS%20smishing%20attempt%20sent%20to%20team%20member-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FAkamai.png" style="width: 250px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Akamai</span></span></p> <p>研究人員指出，雖然USPS官網在調查期間依舊取得了DNS總查詢量的51%，但因過濾資料的方式不同，在現實世界中，惡意流量顯然會超過合法流量，同時也顯示了組合搶註技術於網釣領域中非常成功。</p> </div></div></div>
2024/4/29 16:22作者陳曉莉https://www.ithome.com.tw/news/162576
研究人員揭露PlugX惡意程式攻擊行動，半年針對170個國家、近250萬臺電腦下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年3月資安業者Sophos發現<a href="https://news.sophos.com/en-us/2023/03/09/border-hopping-plugx-usb-worm/">專門鎖定USB裝置的惡意程式PlugX變種</a>，有其他研究人員進一步進行追蹤，並公布相關細節。</p> <p>資安業者Sekoia根據上述的調查結果，於去年9月以7美元的代價，<a href="https://blog.sekoia.io/unplugging-plugx-sinkholing-the-plugx-usb-worm-botnet/">買下對方曾經使用的C2網域進行研究</a>，結果發現他們每天會從超過170個國家的受害電腦，收到約9萬至10萬次的請求。截至目前為止，他們總共看到2,495,297個試圖與C2網域進行互動的IP位址。</p> <p><a href="https://s4.itho.me/sites/default/files/images/map-plugx.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/map-plugx.png" style="width: 580px;" /></a></p> <p>研究人員指出，逾8成受害電腦集中於15個國家，其中最多的是奈及利亞、印度、中國、伊朗、印尼。根據受害的國家來看，有不少是發生在參與中國一帶一路基礎設施發展的合作國家，因此研究人員推測，這波攻擊行動的目的，是在收集各國對於一帶一路相關策略及安全相關的情資，主要是為了中國海洋及經濟層面的利益。</p> <p><a href="https://s4.itho.me/sites/default/files/images/graph-plugx.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/graph-plugx.png" style="width: 580px;" /></a></p> <p>對此，他們也找出能遠端清除惡意程式的做法，並提供各國電腦緊急應變小組（CERT）運用，但也強調，這個方法只能刪除被植入電腦的PlugX，無法清理已遭感染的隔離網路（Air-gapped Network），以及USB裝置上的惡意程式。</p> </div></div></div>
2024/4/29 16:36作者周峻佑https://www.ithome.com.tw/news/162578
互動式BI系統Qlik Sense遭勒索軟體Cactus攻擊，3千多臺伺服器曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年8月底互動式BI系統Qlik Sense修補<a href="https://community.qlik.com/t5/Official-Support-Articles/Critical-Security-fixes-for-Qlik-Sense-Enterprise-for-Windows/ta-p/2110801">被稱為ZeroQlik的兩項漏洞</a>，分別是HTTP隧道漏洞CVE-2023-41265，以及路徑穿越漏洞CVE-2023-41266，CVSS風險評分為9.6、8.2分。</p> <p>隔月，該公司再度公布<a href="https://community.qlik.com/t5/Official-Support-Articles/Critical-Security-fixes-for-Qlik-Sense-Enterprise-for-Windows/ta-p/2120325">名為DoubleQlik的漏洞</a>，此為繞過針對上述漏洞修補程式的弱點，並被登記CVE-2023-48365，CVSS風險評為9.6。近日研究人員提出警告，自11月勒索軟體駭客Cactus利用上述漏洞發動攻擊，至少已有100臺伺服器受害，但迄今仍有超過3千臺伺服器尚未修補而曝險。</p> <p>上週資安業者Fox-IT指出，他們<a href="https://blog.fox-it.com/2024/04/25/sifting-through-the-spines-identifying-potential-cactus-ransomware-victims/#b1d246b2-3ef5-4ed3-9f2c-aaf61cc7acf0">在4月17日於網際網路上找到5,205臺Qlik Sense伺服器</a>，其中有3,143臺尚未修補上述漏洞而曝險，這些伺服器美國最多，有396臺，其次是義大利、巴西、荷蘭，分別有260臺、244臺、241臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/top-20-countries-vulnerable-qlik-sense.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/top-20-countries-vulnerable-qlik-sense.png" style="width: 580px;" /></a></p> <p>而對於已經遭到勒索軟體感染的情況，總共有122臺受害，最多的仍是美國，有49臺，西班牙、義大利、英國各有13臺、11臺、8臺。</p> <p>對此，研究人員也公布檢查Qlik Sense伺服器是否遭駭的方法，並呼籲IT人員應避免將此系統曝露於網際網路。</p> <p><a href="https://s4.itho.me/sites/default/files/images/powershell-dir-listing-qle-fonts.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/powershell-dir-listing-qle-fonts.png" style="width: 580px;" /></a></p> <blockquote><p>研究人員指出，駭客組織Cactus在從事勒索軟體攻擊的過程中，會在Qlik Sense的字型資料部署2個字型檔案qle.tff、qle.woff，由於這些檔案並非Qlik Sense內建，因此IT人員能以此判斷是否遭受相關攻擊。<strong><span style="color:#696969;">（圖片來源／Fox-IT）</span></strong></p> </blockquote> </div></div></div>
2024/4/29 15:32作者周峻佑https://www.ithome.com.tw/news/162575
針對京鼎1月遭駭，證交所指出該公司延遲發布重大訊息開罰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月鴻海集團旗下半導體設備大廠京鼎遭網路攻擊，<a href="https://www.ithome.com.tw/news/160856">駭客當時曾罕見竄改該公司網站首頁</a>而引起軒然大波，近期出現新的進展。<a href="https://www.twse.com.tw/zh/about/news/news/content.html?ff8080818eead609018f19b6242a009b">4月26日證券交易所指出</a>，因該公司延遲發布重大訊息，他們根據相關規定開罰。</p> <p>證交所指出，他們發現京鼎的內部控制制度設計及執行，以及對子公司之監督與管理未依「公開發行公司建立內部控制制度處理準則」第5條、第11條、第38條規定辦理的情況。</p> <p>再者，京鼎美國子公司於2024年1月8日，發生駭客攻擊伺服器及加密文檔事件，經查符合證交所「對有價證券上市公司重大訊息之查證暨公開處理程序」第4條第1項第26款之情事。證交所指出，京鼎公司延遲輸入公開資訊觀測站重大訊息畫面。</p> <p>根據上述發現，證交所對京鼎處以違約金10萬元，並發函通知該公司日後應確實依照規定辦理，他們將持續追蹤改善情形。</p> </div></div></div>
2024/4/29 14:25作者周峻佑https://www.ithome.com.tw/news/162574
攝影分享平臺EyeEm變更服務條款，將利用平臺上的照片來訓練AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攝影分享平臺EyeEm的一名用戶Powen Shiah在4月初<a href="https://twitter.com/polexa/status/1776226330180305035" target="_blank">收到該平臺的來信</a>，指稱該平臺變更其服務條款，將利用平臺上的照片來訓練AI模型，若不願意自己的照片被使用，則必須自行刪除。</p> <p>EyeEm在2011年創立於德國，為一攝影照片交流平臺，提供用戶有關照片、技術或經驗的分享，在2015年推出EyeEm Market，允許用戶藉由該市集出售自己的攝影作品，並透過人工智慧（AI）技術，替品牌、機構或個人媒合適合的攝影作品，當時該平臺擁有1,800萬名用戶，以及超過7,000萬張的照片，曾被視為Instagram在歐洲的主要競爭者之一。</p> <p>該平臺在2021年以接近4,000萬美元賣給了瑞士的社交網站Talenthouse，不過，自2022年夏天開始，EyeEm平臺上的創作者開始對外抱怨沒有收到應有的報酬，該平臺也在2023年4月申請破產，繼之西班牙圖片庫業者Freepik在同年10月買下了EyeEm。</p> <p>EyeEm近日變更了<a href="https://www.eyeem.com/terms/photographers" target="_blank">服務條款中的8.1節</a>，指出只要將內容上傳至EyeEm社群，等同於授權該平臺可轉讓及可再授權的權利，不僅得以複製、遞送、公開展示、製作衍生商品及傳播，還能使用這些內容來訓練、發展及改善軟體、演算法與機器學習模型，不同意的話便不應將內容上傳。</p> <p>相關的條款同時適用於上傳至EyeEm社群及EyeEm Market的內容。</p> <p>因此，不希望自己的攝影作品被免費用來訓練AI模型的EyeEm用戶，可以直接刪除於EyeEm社群中所分享的內容，或是於EyeEm Market 中提出刪除申請，但自EyeEm Market或其合作夥伴平臺上完全刪除最多可能需要180天。</p> </div></div></div>
2024/4/29 14:01作者陳曉莉https://www.ithome.com.tw/news/162573
【資安週報】2024年4月22日到4月26日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期3則漏洞利用消息，有兩起涉及零時差漏洞利用，當中最受關注的是，思科修補了旗下ASA及FTD防火牆的2個零時差漏洞CVE-2024-20353、CVE-2024-20359，原因在於，思科Talos同時公布了調查狀況，指出年初經客戶通報安全性問題，調查後發現當時已有攻擊活動，並是國家級駭客UAT4356（亦稱Storm-1849）所為。</p> <p>另一事件發生在檔案伺服器軟體CrushFTP，該團隊宣布修補已遭利用的零時差漏洞CVE-2024-4040，有研究人員指出駭客很可能是鎖定政治目標收集情報。</p> <p>還有一個已知漏洞利用情形，是微軟詳細揭露了俄羅斯駭客組織APT28近年的攻擊手法，當中利用了Windows Print Spooler服務漏洞CVE-2022-38028。因此，近日美國CISA將之列入已知利用漏洞清單。</p> <p>其他漏洞消息方面，有一則影響全球10億用戶的消息，是市面上常見的中國拼音輸入法被發現存在諸多漏洞。為了幫助這些用戶不受攻擊者監控輸入內容，加拿大公民實驗室已向8家輸入法供應商通報大批漏洞，多家廠商已針對最嚴重的漏洞進行修補，但Vivo、小米卻並未針對通報回覆。</p> <p>在資安威脅態勢方面，有4則新聞我們認為值得重視，這些攻擊趨勢研究的面向，涵蓋SAP用戶、網頁伺服器被鎖定、CDN快取遭濫用、以及AI的趨勢，我們整理如下：</p> <p>●SAP用戶注意，有兩家資安業者警告，鎖定SAP旗下應用系統的勒索軟體攻擊行動在2023年大增，不僅攻擊活動比兩年前暴增4倍，SAP的RCE漏洞在黑市的價格也水漲船高，顯示駭客正對此有高度興趣。<br /> ●鎖定網頁伺服器已知漏洞並部署Web Shell的攻擊行動被揭露，目的是植入勒索軟體Adhublika，而全球受害數量最多的國家除了美國與印度，臺灣居於第三。<br /> ●駭客組織CoralRaider攻擊行動被揭露，研究人員指出對方使用CDN快取伺服器存放惡意程式，這將導致網路防禦系統可能無法對其進行偵測而放行。<br /> ●最新一項大學研究報告指出，LLM Agents將能自動利用具CVE編號、已被揭露的One-day漏洞，實測10個LLM的結果顯示，GPT-4成功完成這項工作，再次顯現AI帶來的風險與挑戰。</p> <p>此外，本期周報也新補上一則AI監管的最新動向，是<a href="https://fpf.org/blog/setting-the-stage-connecticut-senate-bill-2-lays-the-groundwork-for-responsible-ai-in-the-states/">美國康乃狄克州議會在24日通過了SB 2</a>，若是之後順利發布，SB 2將成為美國第一部監管民營企業開發與部署人工智慧的法案，成為與歐盟AI法案相當的立法。</p> <p>還有2則值得警惕的攻擊態勢，是關於駭客正鎖定資安管理不善的國防產業，以及鎖定網路邊際裝置來入侵。</p> <p>●韓國國防承包商傳出遭北韓駭客組織攻擊，導致相關機密資料被竊取，韓國警方提出警告，並指出多個北韓駭客組織利用了這些公司資安管理不善的情況進行滲透。<br /> ●Google Cloud發布M-Trends報告，除了談及過去一年攻擊者如何利用AiTM入侵多重驗證保護措施，網路釣魚技術在現代化安全控管機制下的演變，並指出中國駭客逐漸以缺乏EDR系統防護的網路邊際裝置與平臺為目標。</p> <p>至於其他最新惡意活動的揭露，本星期的焦點還包括：安卓金融木馬SoumniBot、惡意軟體SSLoad、竊資軟體RedLine等，以及駭客組織BlackTech利用新的後門程式Deuterbear的揭露。</p> <p>在資安事件方面，本星期發生多種類型攻擊事件，涵蓋零時差漏洞攻擊、軟體供應鏈攻擊、關鍵CI攻擊與資料外洩。這4則新聞如下：<br /> ●年初Ivanti零時差漏洞有新的受害組織，資安研究機構MITRE近日公布他們用於研究、開發、原型設計的協作網路環境NERVE遭入侵。<br /> ●防毒軟體eScan的更新機制竟成派送惡意程式GuptiMiner幫兇，研究人員指出是北韓駭客Kimsuky發動的軟體供應鏈攻擊，透過複雜的中間人攻擊手法，針對大型企業網路環境來部署後門程式。<br /> ●美國德州小鎮2起供水系統遭攻擊的事件，導致供水系統出現溢流現象，已手動控制因應，研判俄羅斯駭客組織Sandworm（APT44）所為。<br /> ●長榮航空在25日夜間發布資安事件，說明察覺不明人士取得旅客帳號資料並透過惡意IP位址登入網站，發現300多名旅客資料被存取。此外，先前<a href="https://www.ithome.com.tw/news/162568">群光遭駭事件這周末又有後續消息，我們在此補上，該公司指出駭客組織新揭露的SpaceX資料非機密資料</a>。</p> <p>特別的是，還有一起案外案，是北韓雲端伺服器組態不當造成資料外洩，當中資料顯示，疑似美國多家影音平臺動畫製作外包給中國公司，中國公司又外包給北韓動畫公司，導致違反美國政府禁令的狀況曝光。</p> <p>在防禦態勢上，這一星期有2項新進展，首先，我國數位發展部正式公布國家資通安全研究院（資安院）接手TWCERT/CC，這項消息其實我們在1月初採訪TWCERT/CC得知並揭露，2月也有對此的專訪報導，最近4月24日，<a href="https://moda.gov.tw/press/background-information/12418">數位發展部唐鳳與資安院院長何全德不僅正式宣布此事，同時還揭露5大推動策略</a>。</p> <p>其次，推動IoT開放標準協定FDO的FIDO聯盟，近日在臺舉辦FDO WorkShop活動，該單位認證計畫主管透露，首批通過FDO標準認證的名單將於近1到2月內公布，有4家廠商進度最快，臺灣工業電腦廠東擎科技也包括在內。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/162448"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月22日】資安研究機構MITRE證實遭遇Ivanti零時差漏洞攻擊</span></strong></a></h3> <p>一月份Ivanti針對Connect Secure公布兩個零時差漏洞，當時通報此事的資安業者Volexity就表示，這些漏洞自去年底就被中國駭客用於攻擊行動，但迄今鮮少有組織出面證實受害。</p> <p>但諷刺的是，傳出受害的組織，竟然都是引領全球資安防禦的機構。上個月，美國網路安全暨基礎設施安全局（CISA）傳出遭到攻擊，而到了最近，維護資安防護框架的資安研究機構MITRE，也證實受害。</p> <p><a href="https://www.ithome.com.tw/news/162476"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月23日】研究人員揭露新舊作業系統路徑轉換弱點，並指出能被當作rootkit發動攻擊</span></strong></a></p> <p>資安業者SafeBreach指出，Windows作業系統存在名為MagicDot的漏洞，這項弱點與新舊版本作業系統的路徑轉換有關，一旦將其利用，攻擊者有可能將其當作惡意程式運用。</p> <p>值得留意的是，為維持新舊作業系統相容性，MagicDot微軟並未完全修補，使得這項弱點很可能被拿來挖掘新的攻擊手法。</p> <h3><a href="https://www.ithome.com.tw/news/162511"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月24日】北韓雲端伺服器傳出組態不當，曝露間接承攬美國多家影音平臺外包動畫製作的情況</span></strong></a></h3> <p>伺服器存取未設密碼保護在網路「裸奔」的離譜情況不時傳出，但過往這類事故外界關注的焦點，通常是這些資料曝光造成的危害，如今有一起事故成為國際的政治焦點。</p> <p>近期有專門研究北韓相關事務的媒體指出，他們發現1臺配置錯誤的雲端儲存伺服器，其內容與動畫製作有關，而且當中存放的資料當中，竟然有多個美國串流服務平臺播放的動畫，以及製作這些數位內容的工作討論。</p> <p><a href="https://www.ithome.com.tw/news/162538"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月25日】思科證實防火牆零時差漏洞遭國家級駭客利用，於政府機關植入後門程式</span></strong></a></p> <p>針對思科防火牆而來的攻擊行動近期不斷傳出，先是一個月前有人鎖定提供遠端存取VPN服務（RAVPN）的防火牆設備下手，進行密碼潑灑攻擊，現在傳出有國家級駭客從去年12月開始，對其進行零時差漏洞攻擊。</p> <p>值得留意的是，這些駭客在攻擊行動半年前就找到這些漏洞，而思科在攻擊發生後的3個月才進行修補，受害情況有待研究人員進一步調查。</p> <p><a href="https://www.ithome.com.tw/news/162563"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月26日】駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道</span></strong></a></p> <p>利用Google廣告散布惡意程式的攻擊行動頻傳，但最近有一起散布後門程式MadMxShell攻擊行動，特別引起研究人員的注意。因為，有別於相關攻擊行動主要是針對個人，這起攻擊行動背後恐怕有更大的目的。</p> <p>這些駭客聲稱提供多種網路管理工具，並希望引誘IT人員上當，進而取得入侵整個組織的管道。</p> </div></div></div>
2024/4/27 08:13作者羅正漢https://www.ithome.com.tw/news/162567
員警涉嫌內神通外鬼，查詢165反詐騙平臺示警銀行帳號，將相關資料洩露給詐騙集團
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新北市警局傳出有員警涉嫌查詢特定帳戶資訊，並提供犯罪集團濫用的情況。</p> <p>事件遭到揭露的原因，是近期檢警追查某起案件時，意外發現36歲新北市新莊分局丹鳳派出所員警王晟育涉案，且疑似收賄。</p> <p>這名員警<a href="https://news.ltn.com.tw/news/society/paper/1642903">於2021年7月至2022年12月底</a>，利用派出所內公務電腦，登入內政部警政署警政知識聯網系統，存取165反詐騙系統平臺，查詢警示帳戶通報情形、受理案號，以及被害人姓名、銀行帳號等資料。</p> <p>接著，該名員警利用即時通訊軟體，將上述資料傳送新莊裕民里前里長曾榆期，該名前里長再提供給詐騙集團，目的是讓對方了解被害者是否報案，他們的銀行帳號是否遭到警示或是凍結。這些被流出的個資，至少有24筆。</p> <p>此外，這名員警亦利用警用系統查詢特定民眾地址、刑案資料、行蹤，以便對方催討債務運用。</p> <p>4月25日新北地檢署對王員與曾男住處、辦公室等執行搜索，查扣手機、冷錢包等物。</p> <p>檢察官訊後認為，王員涉犯違背職務行為收賄、圖利、洩密、加重詐欺、包庇犯罪組織、洗錢、違反個資法等嫌疑重大，有串證、逃亡及反覆詐欺之虞，向新北地院聲押禁見獲准，曾男獲30萬元交保。新莊警分局表示，王員已不適任警察工作，將記二大過免職。</p> </div></div></div>
2024/4/29 08:30作者周峻佑https://www.ithome.com.tw/news/162569
微軟開源MS-DOS 4.00程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周將誕生超過40年的MS-DOS作業系統4.00版原始碼以開源專案釋出，供學術或技術研究使用。</p> <p>上周微軟將MS-DOS v.400程式碼<a href="https://github.com/microsoft/MS-DOS" target="_blank">公開於GitHub上</a>。GitHub儲存庫除了原始OS原始碼以外，還包含MS-DOS v1.25及v2.0版。後面兩個版本在2014年3月<a href="http://www.computerhistory.org/atchm/microsoft-ms-dos-early-source-code/" target="_blank">已經分享給</a>美國電腦歷史博物館，但整合在GitHub更容易為一般用戶發現、和外部程式參照，以及供有興趣探索PC早期OS人士研究與實驗用。</p> <p>MS-DOS（Microsoft Disk Operating System）是微軟開發的一種DOS系統，於1981年問世。起初MS-DOS是微軟和IBM合作為IBM PC開發，後來IBM和微軟的DOS作業系統各自發展並日益分歧，微軟的DOS系統就命名為MS-DOS（IBM的版本則命名為IBM PC DOS）。MS-DOS是圖形化使用者介面（GUI）OS以前最普及的x86 PC作業系統，直到被微軟1995年推出的Windows 95取代。微軟在1994年推出最後一代MS-DOS 6.22，2000年終止支援。MS-DOS 4.00於1988年開發完成，但微軟實際出貨的是加了修補程式的MS-DOS 4.01。</p> <p class="rtecenter"><a href="https://computerhistory.org/blog/microsoft-ms-dos-early-source-code/?key=microsoft-ms-dos-early-source-code" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429_The%20original%20IBM%20PC_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FComputer%20History%20Museum.png" style="width: 278px;" /></a></p> <p class="rtecenter"><a href="https://computerhistory.org/blog/microsoft-ms-dos-early-source-code/?key=microsoft-ms-dos-early-source-code" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0429_MS-DOS_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FComputer%20History%20Museum.png" style="width: 600px;" /></a></p> <p><a href="https://computerhistory.org/blog/microsoft-ms-dos-early-source-code/?key=microsoft-ms-dos-early-source-code" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Computer History Museum</span></span></a></p> <p>MS-DOS所有檔案將以MIT授權分享。</p> <p>不過<a href="https://arstechnica.com/gadgets/2024/04/microsoft-and-ibm-release-source-code-for-one-of-the-weirdest-versions-of-ms-dos/" target="_blank">《Ars Technica》</a>形容MS-DOS 4.00是一個有些缺憾的開發成果，理由之一是MS-DOS並不支援多工；今天市場PC已不復見的OS/2已經具備多工能力，但微軟卻從未為MS-DOS加入多工支援。此外，MS-DOS較占記憶體。《Ars Technica》指出，4.00版RAM耗用記憶體92KB。從今天來看似乎不算什麼，但在記憶體昂貴的當年，這點頗令人介意。相較之下，IBM的PC DOS 2000僅耗用RAM 64KB。</p> <p>MS-DOS 4.00外，微軟參與開發的早期OS/2版本OS/2 2.0，也在今年3月被科技愛好者<a href="https://archive.org/details/msos-2-2.0-pr-2_5_14" target="_blank">上傳到網路上</a>。</p> </div></div></div>
2024/4/29 08:53作者林妍溱https://www.ithome.com.tw/news/162570
群光電子遭駭事件有後續，針對駭客宣稱取得SpaceX相關資料一事，該公司表示非機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>群光電子遭駭事件又有後續，昨日（27日）傳出勒索軟體駭客Hunters International新釋出的群光資料中，不只含有GoPro產品的資料，還包含SpaceX的相關資料，到了今日（28日）週日早上11時19分，群光為此發布重大訊息澄清媒體報導，指出駭客這次釋出的資訊，其實都是已經量產、市面可買得到的產品，並非機密資料。</p> <p><a href="https://www.ithome.com.tw/news/162437">上星期群光電子傳出遭駭</a>，勒索軟體駭客Hunters International聲稱竊得1.2 TB資料，此事經國內媒體大肆報導，因此該公司在上周日已緊急發布重大訊息，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=115459&SPOKE_DATE=20240421&COMPANY_ID=2385">針對媒體報導發生網路資安事件</a>一事做出回應。群光指出，確實發現遭駭情形，不過該事件未達資安重訊發布標準，並聲明沒有個資、機密文件檔案資料外洩的情形。不過，到了昨日（27日），又有國內媒體經濟日報與聯合報報導，Hunters International不只公布Go Pro研發設計圖，還新公布SpaceX資料夾的圖片，並強調已有國際資安研究人員在X平臺標註SpaceX創辦人馬斯克（Elon Musk），要讓對方也知道此事。</p> <p>對此事件，我們在昨日周六聯繫群光，詢問對於這次公布資料的查驗情形的說明，以及是否還會發布重大訊息說明，雖然當時未獲得回覆，不過，到了今日周日中午，我們已看到群光做出回應，該公司再次針對媒體報導發布重大訊息以澄清媒體報導。</p> <p>根據群光的說明，該報導內容與上次（4月21日）公告被駭事件相同，並指出這次媒體報導駭客釋出的資訊，包括「昨天第二次釋出群光資料」，以及「客戶研發設計圖資料」，這些資訊都是已經量產、市面可買得到的產品，並非機密資料。</p> </div></div></div>
2024/4/28 13:24作者羅正漢https://www.ithome.com.tw/news/162568
iThome 2024資安大調查系列1：2024企業資安新態勢
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1177-feng_mian_p1-open-dou_zi_-960x420_kao_bei_0.jpg?itok=fx5u2xmZ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>調查全臺422家企業的IT主管與資安主管，從第一線企業現場角度，來看2024與2025年企業資安最新態勢，哪些資安風險比去年更高，哪些新興威脅開始浮現？6大產業未來一年的資安態勢又是如何不一樣？</p> </div></div></div>
2024/4/28 09:44作者王宏仁https://www.ithome.com.tw/article/162274
零售IT雙周報第33期：遵循Just Walk Out老路，Amazon開始販售無人結帳技術Dash Carts解決方…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0414~0427)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#無人結帳</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧購物車</span></span></strong><br /> <strong>遵循Just Walk Out老路，Amazon開始販售無人結帳技術Dash Carts解決方案給第三方零售商</strong></p> <p>於自家生鮮超市Amazon Fresh撤除拿了就走結帳技術Just Walk Out後，<a href="https://www.aboutamazon.com/news/retail/amazon-just-walk-out-dash-cart-grocery-shopping-checkout-stores">Amazon在一篇聲明中重新審視自家3種無人結帳技術定位</a>，並宣布將開始販售智慧購物車Dash Carts解決方案給第三方零售業者。</p> <p>Amazon寫道，他們發現Just Walk Out更適合購買商品數少、店面小的消費場景。在生鮮超市等家庭採買場景中，消費者通常更喜歡使用可以掃描並裝載商品、且同樣可以自動結帳的智慧購物車Dash Cart。利用生物辨識技術來支援結帳的Amazon One，則是於各種零售型態都受到歡迎。他們強調，在自家生鮮超市停用Just Walk Out是因為零售型態不適合，但2024年新導入此技術的第三方零售商甚至會超過前一年兩倍以上。</p> <p>不只如此，他們還要全面於Amazon Fresh應用Dash Carts，並循著Just Walk Out從自用到開放給第三方零售商的策略發展模式，將此解決方案販售給第三方零售商使用。這也會使Amazon販售的無人結帳技術囊擴大小型零售店面。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#顧客行為分析</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SCM</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#零售第一手數據</span></span></strong><br /> <strong>Walmart整合旗下顧客行為分析服務與數位行銷服務，讓供應商根據數據趨勢來自助投放RMN廣告</strong></p> <p><a href="https://corporate.walmart.com/news/2024/04/17/creating-more-opportunities-for-data-driven-supplier-growth-at-walmart">Walmart整合旗下顧客行為分析服務Luminate及數位行銷服務Connect</a>。前者是提供給供應商的顧客行為、輿論及通路銷售表現分析服務，後者則是可以利用Walmart第一手數據來投放Walmart RMN及外部通路廣告的數位行銷服務。</p> <p>兩服務整合後，供應商在Luminate分析完數據報表，便能從該平臺直接使用Connect服務。這對供應商來說，能加速數據分析到實際應用的流程，對Walmart來說則能進一步用自家銷售數據來吸引更多廣告業績。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#員工AI培訓</span></span><br /> Ikea推動AI轉型，AI知識成全企業3,500名員工必修</strong></p> <p><a href="https://www.ingka.com/newsroom/ikea-retail-unleashes-ai-revolution-empowering-thousands-to-master-the-future-of-tech/">瑞典大型家具商Ikea揭露內部AI轉型計畫</a>。首先，企業內3,000名基層員工及500名主管都要接受各種AI訓練，包括基礎AI常識，及生成式AI創作工具、負責任AI等與員工職位相關的專門AI知識。針對有數據科學、機器學習或大型語言模型領域碩博士學位的員工，Ikea還推出了專門幹部培訓計畫，以期發揮這些員工的AI相關專業。不只如此，Ikea主管還要定期開會，研究如何結合AI趨勢及商業戰略。</p> <p>目前，Ikea已經自製或和其他廠商合作開發專屬AI工具，來強化作業流程。例如，他們和微軟共同開發了Hej Copilot，可以用於家具領域的圖文生成、腦力激盪及簡報製作等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#OMO零售</span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#會員經營</span></strong></span><br /> <strong>Cyberbiz推出門市助理，作為OMO品牌串接線上線下會員足跡的加值功能</strong></p> <p>開店平臺Cyberbiz推出門市助理功能，作為OMO品牌串聯線上線下會員足跡的工具。此功能會生成一個QR Code，讓消費者掃碼一鍵加會員，並於後臺自動貼標會員來源門市。接著，商家便能於會員離店後，透過系統發送推薦商品連結。此功能還會自動歸因業績給對應門市與店員。</p> <p>Cyberbiz執行長蘇基明說明，有些實體門市POS系統難以串接EC系統，卻不便更換POS系統。此功能即是瞄準這個痛點而設計，雖然難以完整記錄POS資訊，但導入及操作簡易，且至少能開始經營OMO會員，定位是商家替換POS系統前的過渡期工具。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#美容類零售</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#個人化行銷</span></span></strong><br /> <strong>Perfectcorp推出髮型辨識軟體，能快速辨認複雜髮型並提供個人化髮類產品推薦</strong></p> <p>美容類AI及AR技術商Perfectcorp<a href="https://www.perfectcorp.com/business/products/hair-type-analysis">推出一種可用來支援髮類商品個人化行銷的髮型辨識軟體</a>。此軟體利用電腦視覺技術，將頭髮分類為10種捲度，就連同一個髮型中不同區域有不同捲度，也可以辨認出來。</p> <p>此軟體支援手機鏡頭或筆電鏡頭，不需要高規格鏡頭。並且，提供API及SDK，供零售業者快速將此技術整合進自家個人化行銷或顧客資訊平臺等系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pfh.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#自動化物流</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#技能升級</span></span></strong><br /> <strong>Walmart於物流中心導入自動化堆高機，堆高機司機升級為物流規畫員</strong></p> <p><a href="https://corporate.walmart.com/news/2024/04/11/a-fork-in-the-road-walmart-bets-on-associates-automation">Walmart於自家四間大型物流中心導入自動化</a>堆高機<a href="https://corporate.walmart.com/news/2024/04/11/a-fork-in-the-road-walmart-bets-on-associates-automation">。</a>此堆高機背後的電腦視覺技術，使其能穩穩叉起貨物，並在人與機器人不分流的空間中移動。</p> <p>導入此技術，也使堆高機司機不再需要親自駕駛堆高機，轉而升級為物流規畫員，只需設定堆高機目的地，堆高機就能自行運送貨物到物流中心內的指定倉儲區域，大大提升了貨物處理量能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/wmfl.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體電商</span></span></strong> <strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#影片電商</span></span></strong><br /> <strong>Youtube推出更多電商功能，包括一口氣在新舊影片自動新增商品連結等</strong></p> <p><a href="https://www.youtube.com/watch?v=V4yb-M4BrTI">Youtube新增一系列支援創作者經營電商的功能</a>。首先是Shopping Collections功能，創作者可以將精選商品放在頻道商品清單欄位、創作者商城版位、及影片描述中的精選商品欄位，以增加商品曝光度。</p> <p>再來是可以一口氣在新舊影片自動新增商品標籤的功能。此功能會讀取過往影片描述中的商品連結，來自動新增商品標籤，供觀眾快速點擊、購買。這個功能能省去一一回到過往影片中新增商品標籤的作業時間。</p> <p>其他新功能包括推出創作者及合作品牌的媒合平臺，以及新增創作者電商功能對大型開店平臺Fourthwall的支援等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/yttg.png" style="width: 600px;" /></p> <p><strong>更多零售IT動態：</strong></p> <p>1. <a href="https://sellercentral.amazon.com/seller-forums/discussions/t/5f29151b-034e-401d-b5d9-9bd03e2f4701">Amazon在自家商城推出客製化品牌折價券功能，讓中小型商家也能進行精準行銷 </a></p> <p>2.<a href="https://corporate.bestbuy.com/best-buy-launches-new-ar-tech-exploration-app-for-apple-vision-pro/"> 大型3C連鎖賣場Best Buy也推出Apple Vision Pro專用的VR商場，可以模擬家電在自家擺設的樣子並分享給親友或直接下單</a></p> <p>3. <a href="https://www.aboutamazon.com/news/entertainment/amazon-live-free-channel-prime-video-freevee-shopping">Amazon在自家影視通路Prime Video及Freevee推出直播電商頻道，可直接將節目內商品加入購物車</a></p> <p>資料來源：iThome整理，2023年4月</p> <p>圖片來源：Amazon、Perfectcorp、Walmart、Youtube</p> <p>責任編輯：郭又華</p> <p></p> </div></div></div>
2024/4/26 18:50作者郭又華https://www.ithome.com.tw/news/162566
【資安日報】4月26日，駭客鎖定網管人員散布後門程式MadMxShell，意圖取得入侵企業組織的管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用Google廣告散布惡意程式的攻擊行動頻傳，但最近有一起散布後門程式MadMxShell攻擊行動，特別引起研究人員的注意。因為，有別於相關攻擊行動主要是針對個人，這起攻擊行動背後恐怕有更大的目的。</p> <p>這些駭客聲稱提供多種網路管理工具，並希望引誘IT人員上當，進而取得入侵整個組織的管道。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162558" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;">後門程式MadMxShell透過惡意廣告散布，對方聲稱提供網路管理工具引誘用戶上當</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MadMxShell-attack_chain.png" style="color: rgb(7, 130, 193);"><img alt="" src="https://s4.itho.me/sites/default/files/images/MadMxShell-attack_chain.png" style="cursor: default; width: 300px; float: right;" /></a></p> <p>資安業者Zscaler上個月發現的後門程式MadMxShell攻擊行動，對方從去年11月至今年3月註冊許多網域名稱，這些名稱與網路管理員及資安人員會使用的IP位址掃描工具等應用程式有關，這些應用程式包括近期常被駭客用來誘騙的Advanced IP Scanner、Angry IP Scanner，以及許多網管人員耳熟能詳的PRTG IP Scanner、ManageEngine工具，並透過Google廣告將這些網域名稱推送到特定關鍵字搜尋結果的頂部，企圖引誘上述技術人員上當。</p> <p>研究人員推測，對方的最終目的，是為了能夠取得入侵企業組織的初始管道。</p> <p><a href="https://www.ithome.com.tw/news/162561" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;">鎖定SAP應用系統的勒索軟體攻擊行動以倍數成長，3年爆增4倍</strong></a></p> <p>資安業者Onapsis和Flashpoint提出警告，根據他們的調查，針對SAP旗下應用系統的勒索軟體攻擊行動，相較於2021年，2023年已增加了4倍，呼籲採用這些系統的企業組織要更加重視相關防護。</p> <p>研究人員指出，如今駭客對這些系統弱點存在高度興趣，在駭客論壇中，討論與SAP有關的漏洞或弱點成長490%，而鎖定SAP相關的雲端服務、網路服務弱點，也增加了220%。再者，SAP應用程式的RCE漏洞，黑市的價格也水漲船高，如今已為2020年的400%。</p> <p><a href="https://www.ithome.com.tw/news/162548" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;">長榮航空證實資料外洩，不明人士存取逾300名旅客個資</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/xSILp5VTfm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/xSILp5VTfm.png" style="width: 300px; float: right;" /></a>4月25日夜間長榮航空在股市公開觀測站發布重大訊息，表示該公司發生資料外洩事故，他們察覺有不明人士取得旅客的帳號資料，透過惡意IP位址存取公司網站，有388筆旅客資料疑似遭到不當瀏覽。而對於這些遭到不明人士存取的內容，長榮航空表示，這些資料包括姓名、行程、聯絡資訊，但不含信用卡相關資料。</p> <p>對此，該公司察覺上述異狀即依照公司程序進行應變，並採取必要防護措施，通報相關主管機關。再者，他們也會通知可能受到影響的旅客。</p> <p><a href="https://www.ithome.com.tw/news/162546" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;">開發搶票機器人程式違反文創法，竹科工程師遭到逮捕</strong></a></p> <p>去年6月2日文化創意產業發展法正式上路，此法專門針對不正當搶票、黃牛加價轉售的亂象而設，內政部警政署刑事警察局調查5起案件，結果發現，有3起使用名為「Max搶票機器人」的程式進行不當購票行為。</p> <p>4月23日刑事局召開記者會宣布破案，他們循線追查上述搶票機器人的程式開發者身分，為在竹科就職的45歲姚姓工程師，他坦承2018年3月開發出電腦搶票程式「Max搶票機器人」，能針對拓元、KKTIX、寬宏、年代等臺灣各大售票系統搶購演唱會票券。</p> <p>警方於113年4月16日持拘票、搜索票於新竹市轄內搜索，逮捕犯嫌1人，查扣筆記型電腦2部、手機1支、銀行存摺1本、電腦搶票程式與原始碼1組等贓證物。全案詢後姚男依涉偽造文書和文創法送請檢方偵辦，裁定以1萬元交保。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://decoded.avast.io/luiginocamastra/from-byovd-to-a-0-day-unveiling-advanced-exploits-in-cyber-recruiting-scams/" style="color: rgb(7, 130, 193);"><strong style="font-size: 20px;">北韓駭客Lazarus假借職缺為誘餌，散布RAT木馬Kaolin RAT</strong></a></p> <p></p> <p>◆<a href="https://www.netcraft.com/blog/autodesk-hosting-pdf-files-used-in-microsoft-phishing-attacks/" style="color: rgb(7, 130, 193);"><strong style="font-size: 20px;">Autodesk檔案共享服務遭到濫用，攻擊者上傳PDF檔案發動網釣攻擊</strong></a></p> <p></p> <p>◆<a href="https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2024"><strong style="font-size: 20px;">中國駭客鎖定網路邊際裝置、缺乏EDR系統防護的環境增加</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162559" style="color: rgb(7, 130, 193);"><strong style="font-size: 22px;">網路效能監控工具Flowmon存在危急漏洞，恐被用於執行系統層級命令</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Flowmon-5.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/Flowmon-5.gif" style="width: 300px; float: right;" /></a>4月2日Progress推出網路效能監控工具Flowmon新版12.3.5、11.1.14，當中修補CVE-2024-2389，一旦攻擊者將其利用，就能透過偽造的API請求，並在未經授權的情況下遠端存取Flowmon的網頁介面，甚至能執行任意系統命令，CVSS風險評分達到10分，如今通報此事的研究人員透露更多細節。</p> <p>資安業者Rhino Security Labs指出，攻擊者若是利用這項弱點，很有可能在受害電腦植入Web Shell，並將權限提升為root。研究人員展示概念性驗證（PoC）攻擊，他們藉由操縱pluginPath或file parameters等功能函數，從而注入惡意命令，從而在/var/www/shtml/寫入Web Shell。不過，上述命令無法直接看到輸出結果。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://pierrekim.github.io/blog/2024-04-24-brocade-sannav-18-vulnerabilities.html" style="color: rgb(7, 130, 193);"><strong style="font-size: 20px;">Brocade旗下SAN設備及交換器存在漏洞，有可能導致設備遭到接管</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162513"><strong style="font-size: 22px;">IoT設備身分識別標準FDO即將有4家廠商取得首波認證，其中一家是臺灣工業電腦業者東擎科技</strong></a></p> <p></p> <p>4月24日FIDO聯盟在臺舉辦全球首場FDO Alliance Taipei Workshop，議程中介紹了IoT開放標準協定FIDO Device Onboard（FDO）的最新發展近況，讓臺灣資通訊產業對這項最新標準規範，可以有更多的認識，同時也透露了FDO標準認證計畫的最新動向。</p> <p>FIDO聯盟認驗證計畫主管Paul Heim表示，如今已有4家廠商在首波認證名單，有12個以上的元件正進行FDO功能評估，9個以上設備正進行FDO的Level 1安全評估，他預計，在接下來的一兩個月內，首批通過FDO標準認證的名單就會公布。</p> <p>更重要的是，我們不只是看到Intel、Red Hat、Dell、英飛凌（Infineon）等科技大廠在此共同研討FDO應用案例，臺灣也有積極參與者，那就是──華擎科技（ASRock）旗下的工業電腦廠東擎科技（ASRock Industrial），該公司不僅在現場展示他們的工業電腦FDO解決方案，而且他們也是上述提到即將取得FDO認證的4家廠商之一。</p> <p><a href="https://www.ithome.com.tw/news/162510"><strong style="font-size: 22px;">為強化勒索軟體回應與復原，Veeam併購索軟體回應服務業者Coveware</strong></a></p> <p>備份與還原軟體龍頭廠商Veeam，4月23日宣布併購勒索軟體回應服務廠商Coveware，藉此為旗下產品提供更完整的勒索軟體防護能力。</p> <p>Coveware成立於2018年，主要業務是勒索軟體攻擊事件的回應服務，其系統透過SaaS形式在用戶環境中運作，自動執行勒索軟體攻擊的分析、識別、搜證，評估影響，並幫助還原資料，另外Coveware還能代企業處理勒索贖金的談判與支付，也就是所謂的勒索軟體談判服務（ransomware negotiation services）。</p> <p>在併入Veeam後，Coveware將以Veeam全資擁有的子公司Coveware by Veeam形式，獨立繼續既有的業務營運。Veeam另外還會將Coveware的技術，引進到Veeam Cyber Secure計劃，以及Veeam資料平臺。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://content.govdelivery.com/accounts/USDODDC3/bulletins/39743d7"><strong style="font-size: 20px;">美國五角大廈針對國防工業基礎產業祭出漏洞懸賞專案</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162538"><strong>【4月25日】思科證實防火牆零時差漏洞遭國家級駭客利用，於政府機關植入後門程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162511"><strong>【4月24日】北韓雲端伺服器傳出組態不當，曝露間接承攬美國多家影音平臺外包動畫製作的情況</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162476"><strong>【4月23日】研究人員揭露新舊作業系統路徑轉換弱點，並指出能被當作rootkit發動攻擊</strong></a></p> </div></div></div>
2024/4/26 17:11作者周峻佑https://www.ithome.com.tw/news/162563
鎖定SAP應用系統的勒索軟體攻擊行動以倍數成長，3年爆增4倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Onapsis和Flashpoint提出警告，根據他們的調查，針對SAP旗下應用系統的勒索軟體攻擊行動，相較於2021年，2023年已增加了4倍，呼籲採用這些系統的企業組織要更加重視相關防護。</p> <p>研究人員指出，如今駭客對這些系統弱點存在高度興趣，在駭客論壇中，討論與SAP有關的漏洞或弱點成長490%，而鎖定SAP相關的雲端服務、網路服務弱點，也增加了220%。</p> <p>再者，SAP應用程式的RCE漏洞，黑市的價格也水漲船高，如今已為2020年的400%。</p> <p>而對於偏好SAP漏洞的駭客組織，研究人員點名了FIN13、Cobalt Spider、APT10、FIN7。</p> <p>值得留意的是，專注攻擊金融、零售、旅遊業的駭客組織FIN13，雖然這些駭客的攻擊行動較少出現在新聞版面，但研究人員指出，該組織因擅於利用SAP相關漏洞入侵目標企業，並發動金融攻擊而引起關注，對方曾從其中1個受害組織竊得逾3千萬美元。</p> <p>而Cobalt Spider與FIN7主要攻擊的目標，包含了SAP、SWIFT系統，以及ATM基礎設施和收銀機（POS）的終端機。</p> <p>至於APT10，則是擅於從SAP應用程式外流受害組織的財務報表。</p> </div></div></div>
2024/4/26 17:02作者周峻佑https://www.ithome.com.tw/news/162561
微軟財報出爐，營收成長17%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2024-Q3/press-release-webcast" target="_blank">微軟周四（4/25）公布</a>截至今年3月底的2024財年第三季財報，該季微軟創下619億美元的營收，成長17%，淨收入為219億美元，成長20%。該季微軟的雲端營收達到351億美元，成長23%，微軟當天盤後股價上漲4.43%，達416.7美元。</p> <p>在619億美元的營收中，有267億美元來自於智慧雲端（Intelligent Cloud），成長21%，居次的生產力與業務流程（Productivity and Business Processes）營收為196億美元，成長12%，更多個人運算（More Personal Computing）占了156億美元，成長17%。</p> <p>若觀察微軟的個別產品，營收成長幅度最大的是Xbox的內容與服務，成長了62%，主要是來自於微軟收購了動視暴雪（Activision Blizzard）的影響；此外，Azure及其它雲端服務成長了31%，伺服器產品暨雲端服務則成長24%，Microsoft Cloud 成長23%，Dynamics 365營收亦有23%的增長。</p> <p>儘管微軟並未於財報中揭露人工智慧（AI）對該公司財務上的影響，但微軟執行長Satya Nadella表示，Microsoft Copilot與Copilot 技術堆疊正在帶來一個AI轉型的新時代，推動每個產業的不同角色都能取得更好的業務成果。</p> </div></div></div>
2024/4/26 15:25作者陳曉莉https://www.ithome.com.tw/news/162557
後門程式MadMxShell透過惡意廣告散布，對方聲稱提供網路管理工具引誘用戶上當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者為了策畫攻擊行動，很有可能事先就搶下特定網域名稱，以便後續能成功發動攻擊。</p> <p>例如，資安業者Zscaler<a href="https://www.zscaler.com/blogs/security-research/malvertising-campaign-targeting-it-teams-madmxshell">上個月發現的後門程式MadMxShell攻擊行動</a>，就是這樣的例子。</p> <p>他們發現對方從去年11月至今年3月註冊許多網域名稱，這些名稱與網路管理員及資安人員會使用的IP位址掃描工具等應用程式有關，這些應用程式包括近期常被駭客用來誘騙的Advanced IP Scanner、Angry IP Scanner，以及許多網管人員耳熟能詳的PRTG IP Scanner、ManageEngine工具，並透過Google廣告將這些網域名稱推送到特定關鍵字搜尋結果的頂部，企圖引誘上述技術人員上當。研究人員推測，對方的最終目的，是為了能夠取得入侵企業組織的初始管道。</p> <p>一旦使用者上當，從攻擊者的網站下載安裝程式，他們會取得ZIP壓縮檔，當中除了看似安裝程式的執行檔，還會包含大小高達22 MB的DLL程式庫IVIEWERS.dll，而這個程式庫檔案內含第2階段的有效酬載。前面提到的「安裝程式」，其實是物件檢視器oleview.exe更名而成。</p> <p>若是使用者啟動「安裝程式」，電腦就會透過側載的方式執行IVIEWERS.dll，解出微軟檔案共享服務的用戶端主程式OneDrive.exe，以及另一個DLL程式庫Secur32.dll。</p> <p>接著，攻擊者透過OneDrive.exe側載Secur32.dll，而該DLL檔案會對特定的圖示資源的XOR編碼進行處理，得到名為MadMxShell的Shell Code，從而收集受害電腦系統資訊，並能執行cmd.exe，以及進行基本的檔案操作。</p> <p>研究人員提及，對方為了迴避偵測，採用XOR演算法處理C2通訊的相關資訊。該惡意程式透過8位元XOR金鑰解密，從而呼叫特定函數，隨即進行重新編碼處理。</p> <p>此外，C2網域名稱、網路流量通訊的加解密表格、XOR金鑰，攻擊者也將這些資訊存成字串堆疊（Stack Strings），以防遭到資安系統解析。對方這麼做的目的，就是為了Shell Code在執行的過程中，不會在記憶體內留下完整的足跡。</p> <p>特別的是，此後門程式透過發送或接收DNS MX記錄的命令，來與C2伺服器進行通訊。</p> </div></div></div>
2024/4/26 15:33作者周峻佑https://www.ithome.com.tw/news/162558
網路效能監控工具Flowmon存在危急漏洞，恐被用於執行系統層級命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月2日Progress推出網路效能監控工具Flowmon新版12.3.5、11.1.14，<a href="https://support.kemptechnologies.com/hc/en-us/articles/24878235038733-CVE-2024-2389-Flowmon-critical-security-vulnerability">當中修補CVE-2024-2389</a>，一旦攻擊者將其利用，就能透過偽造的API請求，並在未經授權的情況下遠端存取Flowmon的網頁介面，甚至能執行任意系統命令，CVSS風險評分達到10分，如今通報此事的研究人員透露更多細節。</p> <p><a href="https://rhinosecuritylabs.com/research/cve-2024-2389-in-progress-flowmon/">資安業者Rhino Security Labs指出</a>，攻擊者若是利用這項弱點，很有可能在受害電腦植入Web Shell，並將權限提升為root。</p> <p>研究人員展示概念性驗證（PoC）攻擊，他們藉由操縱pluginPath或file parameters等功能函數，從而注入惡意命令，從而在/var/www/shtml/寫入Web Shell。不過，上述命令無法直接看到輸出結果。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Flowmon-5.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/Flowmon-5.gif" style="width: 580px;" /></a></p> <p>一旦命令執行完成，此網路效能監控工具將會以使用者flowmon的權限運作，而透過該使用者的身分，攻擊者可執行帶有sudo的命令，並下達濫用root shell的命令。研究人員表示，利用該漏洞，攻擊者也有機會濫用sudo權限執行PHP程式碼。</p> </div></div></div>
2024/4/26 16:13作者周峻佑https://www.ithome.com.tw/news/162559
Alphabet首季營收成長15%，宣告進入Gemini時代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet周四（4/25）公布該公司今年第一季財報，顯示其整體營收達到805億美元，年增15%，淨收入為237億美元，年增57%。Alphabet執行長Sundar Pichai宣告該公司正進入Gemini世代，董事會則宣布每股將首度發放0.2美元的股息，並購回700億美元的股票，當天Alphabet的盤後股價上漲了11.48%，達176.08美元。</p> <p>在805億美元的營收中，有704億美元來自Google服務的貢獻，成長13.6%，Google Cloud的營收為95.7億美元，成長28%，新創事業（Other Bets）的營收接近5億美元，成長72%。整體而言，Google服務帶進279億美元的營業利潤，增加了28%，Google Cloud的營業利潤亦達9億美元，比去年同期的1.9億美元大幅增加了371%，至於新創事業則虧損了10.2億美元，略低於去年同期所虧損的12.3億美元。</p> <p>Pichai表示，第一季的結果反映出搜尋、YouTube及雲端服務的強勁表現，同時該公司正進入Gemini時代，在AI研究與基礎設施的領先地位，再加上該公司在全球的產品足跡，都讓Alphabet於下一波的AI創新浪潮中處於有利地位。</p> <p>隨著全球掀起了AI熱潮，Pichai在<a href="https://blog.google/inside-google/message-ceo/alphabet-earnings-q1-2024/#AI-search-innovation" target="_blank">財報電話會議</a>中也聚焦於Alphabet為此所奠定的基礎，包括在研究上建立了Gemini 1.5 Pro、Gemma及Imagen等模型，並宣稱Alphabet擁有AI時代最好的基礎設施，其客製化TPU已發展至第五代，並成為用來訓練及服務Gemini的專用積體電路。</p> <p>此外，Google正在將生成式AI整合至搜尋服務，允許人們以新的方式提出問題或詢問更複雜的問題，也計畫把生成式AI導入更多的產品中。</p> <p>Pichai說，目前Alphabet旗下有6款產品的每月用戶數超過20億，當中的Android裝置更超過30億，另有15款產品的用戶數達到5億，而且Alphabet的業務遍及全球上百個國家。</p> <p>總括來說，Pichai不僅認為Alphabet既有AI研究、基礎設施，還有龐大的產品網路，也提出了利用AI來變現的規畫，包括將Gemini 模型導入Performance Max中以協助廣告主取得更大的廣告效益，或是透過Google Cloud來提供AI服務，以及於Google One中推出收費的AI Premium服務。</p> </div></div></div>
2024/4/26 14:46作者陳曉莉https://www.ithome.com.tw/news/162555
FCC投票通過恢復網路中立規定，擴大對ISP業者的監管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦通訊委員會（FCC）周四（4/25）以3比2<a href="https://docs.fcc.gov/public/attachments/DOC-402082A1.pdf" target="_blank">投票通過了恢復網路中立（Net Neutrality）的相關規定</a>，重新將ISP業者納入《聯邦通訊法》（Communications Act of 1934）中用來規範公共事業的Title II中，再度建立FCC對寬頻供應商的管轄權。</p> <p>網路中立政策的主要概念是要求ISP業者應該平等對待網路上的資料，不應基於不同的使用者、內容、型態、網站、平臺、通訊模式，或設備而有差別待遇。該政策是在2015年於美國總統歐巴馬（Barack Obama）任內實施，在2018年於川普（Donald Trump）任內被撤銷，而現在又在拜登（Joe Biden）任內重生。</p> <p>FCC表示，該組織將藉此重建國家開放網路標準，ISP業者將再次被禁止封鎖、箝制或參與合法內容的付費優先措施；且FCC將有權撤銷那些對美國國家安全構成威脅的外資企業，於美國經營寬頻網路的授權；並將在網路中斷時發揮積極的監控作用。</p> <p>可想而知，美國的ISP業者群起抗議此一政策，並打算透過法律行動來推翻FCC的決策。</p> </div></div></div>
2024/4/26 15:14作者陳曉莉https://www.ithome.com.tw/news/162556
一支API提供多項應用服務，玉山通用型GenAI平臺大解密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山金控不只是臺灣金融業率先擁抱生成式AI的領先者，更不到2年，就打造一個GenAI平臺，可透過API方式，整合到不同的應用場景和內部系統中，讓生成式AI更容易落地到多種工作流程中。目前，玉山內部啟用了11項生成式AI應用服務，還有1項正在開發中。他們能夠快速將生成式AI落地的關鍵就是，今年初正式啟用的通用型GenAI平臺GENIE。</p> <p>五年前，玉山就自建一套機器學習即服務平臺MLaaS，幾年下來，平臺提供和維運了AI五大類服務，包括行銷AI、風控AI、服務AI、流程AI以及賦能AI，GENIE平臺就是流程AI類的其中一隻API。這個平臺有兩大特色：API化服務和檢索增強生成（RAG）技術。一方面，GENIE是一隻獨立的API，可以整合到多種延伸應用服務，內部系統可以透過API串接來使用GENIE的功能。另一方面，玉山自建豐富的金融知識庫，藉RAG技術，來提升LLM模型回應金融領域問題的精準度。</p> <p>除了API串接形式，GENIE平臺還提供一個前端介面，可以直接提供使用者自己操作來使用，類似ChatGPT介面風格，支援多種資料匯入和匯出的格式，包括文字、圖片、聲音，和檔案等格式資料。當使用者輸入資料，資料會通過GENIE連接至微軟Azure OpenAI服務，再通過GENIE回傳結果給使用者。</p> <p>由於GENIE平臺需要將資料傳送到外部服務，因此，玉山除了使用供應商提供的護欄服務，過濾使用者輸入資料和模型生成回應，他們也額外開發機敏資料掃瞄機制，採用等價交換的方式，例如將身分證字號換成隨機號碼，避免機敏資料外洩。</p> <p>不同於以往應對資安風險採用的遮罩技術，玉山選擇採用等價交換，是為了確保LLM模型能正常運作。玉山銀行智能金融處資深副總工程師林鉦育解釋，遮罩技術是將機敏資訊遮蔽，防止重要資料外洩，但是，LLM模型需要根據上下文資訊進行判斷，若只提供遮蔽後的片段文本資訊，可能削弱模型的理解能力，進而影響模型正常提供服務。反之，等價交換的方式不僅能保護敏感資訊，也可以減少對模型判斷力的影響。</p> <p>早在2023年上半年，玉山就已經確立好GENIE平臺架構，同時開發介面，建立資料外洩機制。不過，他們並沒有立即投入開發應用服務，而是先大規模的蒐集潛在應用場景。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1179-%E5%B0%81%E9%9D%A2p4-600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 590px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>玉山從2018年開始打造MLaaS平臺，以MLaaS為核心發展出行銷AI、風控AI、服務AI、流程AI、賦能AI五大領域AI服務，全行運作超過百支AI服務。其中，GENIE平臺被設計為一支API，歸類於流程AI領域。</strong><span style="font-size: 14px;">（圖片來源／玉山金控）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建立行內知識庫前，以「工人智慧」逐一檢視百萬筆輸入資料</strong></span></span></p> <p>2023年下半年，玉山向行員釋出GENIE平臺測試版，供行員查詢、試用各項服務。起初，GENIE平臺僅純粹介接LLＭ模型服務，並未額外設置知識庫提升回應精準度。目的是為了蒐集足夠的查詢需求，再根據使用者的需求開發進階應用服務，建立全行知識庫。</p> <p>為了提升業務單位使用新技術的意願，在測試階段初期，玉山團隊也舉辦工作坊和教育訓練，教導行員使用生成式AI工具，同時促進行員發想更多使用場景，「我們有點像工人智慧，逐筆看大家的輸入紀錄。」玉山銀行智能金融處副主任工程師徐銘霞回憶，當時收到超過百萬筆輸入紀錄，團隊逐漸摸索出使用者關注的問題和潛在應用場景，協助後續導入知識庫和開發進階應用服務時，能更有效決策優先開發順序。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>因應金融業務資訊快速變動，以RAG作為GENIE技術核心</strong></span></span></p> <p>經過初期測試階段後，玉山接著建立包括金融產品資訊，以及涵蓋個金、法金和風險規定等業務場景知識的知識庫，透過GENIE連接至LLM模型服務，供模型檢索資料，生成更精準的回應。玉山團隊在微調（Fine-tuning）和RAG技術兩者之間，選擇RAG作為發展生成式AI的關鍵技術核心。為什麼？</p> <p>首先，金融產品知識更新頻率快，十幾張信用卡資訊可能在一個月內就發生變動，微調模型不僅耗時，跟不上產品資訊變動，還須要投入大量成本。再來，若資料量過少或品質太低，微調模型表現也不好。反之，採用RAG能夠讓模型檢索最新資訊，有助於快速應變資料異動，甚至做到即時更新。</p> <p>在發展RAG時，玉山選擇在建立知識庫的階段投入最多技術能量。</p> <p>林鉦育解釋，RAG技術的運作有三個關鍵步驟，建立知識庫、檢索到監控輸出內容。建立知識庫的過程中，先透過嵌入技術將大量文字轉為向量，以供模型檢索之用。其次，在檢索時，將LLM模型視為邏輯引擎，讓LLM模型根據使用者提出的問題來檢索文件，找出最符合答案，最後是再透過閘道（Gateway）來進行監控，作為輸出前的防線，來控管LLM模型生成的答案，篩選過後才能提供給使用者。</p> <p>這三個步驟當中，玉山花最多力氣在第一個步驟，「東西給的對，後面就八九不離十。」林鉦育說，玉山發展RAG的策略是，在建立知識庫時，盡可能切出準確的向量距離，來提升資料檢索的精準度，如此一來，也能盡量降低模型回應錯誤率。</p> <p>使用LLM模型容易會有遭模型綁定的問題，因為不同LLM模型產生的向量有異，相似度判斷結果也可能有所差異，一但更換所用的LLM模型，就得重新生成所有文件的向量。因此，除了使用嵌入技術，玉山團隊也考慮採用術語庫（term base）來進行資料檢索，例如，關鍵字搜索，或使用TF-IDF或BM25等特定演算法。這個方式雖然傳統，卻能解決依賴單一模型的問題，不需要額外生成向量，只要有明確詞彙就能進行檢索。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GENIE整合流量管控和財務管理機制，下一步是走向混合雲架構</strong></span></span></p> <p>而在去年下半年的測試期間，玉山團隊除了觀察使用者需求，也將流量管控和財務管理機制納入平臺，紀錄各單位使用頻率和流量。他們沿用玉山既有的API流量管控機制架構，改成管控LLM使用流量，以及計算服務使用花費。</p> <p>玉山團隊的作法，是在平臺連接供應商服務的流程中設置流量管控機制，針對玉山全部系統進行管控，如此一來，團隊可以觀察不同單位使用情況，以及不同模型的長處和應用情況，協助開發團隊日後應對不同使用者需求，甚至在未來將生成式AI推向服務時，開發團隊也能根據不同服務需求選用適當的LLM模型。</p> <p>實際觀察LLM使用流量後，挑戰還在後頭。「一旦跟業務嵌入後，就會有旺季淡季的議題。」林鉦育坦言，業務單位的高低峰使用量增加不少流量管控的難度。因此，為了提升平臺的彈性，玉山團隊正在計畫將雲端納入GENIE平臺的調度環境，採用容器和K8s，運用K8s平臺的自動擴充機制，根據當下流量即時調度運算資源，協助進行流量管控。</p> <p>近期金管會鬆綁上雲規範，開放金融機構能將非涉及重大消金業務的系統遷至公雲，玉山團隊也開始籌劃讓GENIE平臺的架構能上公雲，把平臺轉為混合雲架構。預計最快年中就會推出新一代的通用型GenAI平臺。</p> <p class="rtecenter"><span style="font-size:28px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 傳統AI和生成式AI的開發維運模式不一樣 </span></strong></span></span></p> <p><strong>2018年，玉山定調全力發展AI，五年的耕耘讓玉山內部累積不少AI開發維運經驗，但是，導入生成式AI仍和過往發展AI不太一樣，也讓玉山面臨不少挑戰。玉山銀行智能金融處副主任工程師徐銘霞解釋，過往玉山大多使用自己建立的模型，但自從LLM模型服務上線後，企業開始需要向外部流通資料，「那資料外洩的議題要怎麼樣做處理？我們跟雲端廠商要怎麼合作？」這些考驗，需要額外設立規範或建立機制才能解決。</strong></p> <p><strong>除了資料外洩和雲端廠商合作議題，控管雲端服務花費也是一門學問。徐銘霞解釋，過去團隊在計算開銷時，僅需要計算硬體設備或擴充VM等既有且已知的價格，「可是未來用到雲端服務，它的價格就會依照雲端業者提供。」等同是使用完服務，才能得知具體花費，無法提前交出預算。因此，玉山團隊在開發生成式AI應用時，也需要額外設置卡控機制，控制服務開銷。</strong></p> <p><strong>另外，發展生成式AI應用和過往發展AI模型應用場景也有所差異。徐銘霞指出，LLM模型類似一個7歲小孩，擁有許多知識，可以發展許多通用型的場景，和過往使用單一模型、發展特定場景的開發模式不同，因此，如何篩選適當導入生成式AI的場景，就是一項考驗。</strong></p> <p><a href="https://www.ithome.com.tw/article/162552" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1179-feng_mian_p1-open-yun_xuan_-960x420_kao_bei_0.jpg?itok=V8ey_IUW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/4/26 13:50作者李昀璇https://www.ithome.com.tw/news/162549
玉山開始擁抱生成式AI，今年目標要走向業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2022年11月，ChatGPT橫空出世，全球掀起了生成式AI浪潮，各行各業開始研究創新應用，金融業也不例外地投入研發能量。隔年三月中，短短一周內，OpenAI推出GPT-4模型、圖像生成工具Midjourney v5釋出，更有百度推出中國版ChatGPT文心一言，用來對抗ChatGPT。AI的快速進展再次震撼全球，連掌舵全集團多年AI發展的玉山金控科技長張智星，在那一周的心情，都興奮地「難以入睡」。</p> <p>在臺灣，玉山金控是第一批率先採用微軟ChatGPT方案的金融業者。早在2023年三月初，微軟Azure OpenAI服務推出沒多久，張智星和團隊就立刻展開評估，篩選使用場景，最後決定先將ChatGPT用於內外部的KYC調查應用上，幫助銀行行員從大量新聞內容中，找出開戶顧客有無負面行為或記錄的資訊。實際採用後，開戶時間從原本的30分鐘，縮短到只要幾分鐘，大大減少了開戶顧客的等待時間。</p> <p>當時，張智星就透露，玉山AI團隊採用ChatGPT技術前，曾評估過，能不能建立玉山自己的ChatGPT，也就是先自建一套LLM模型，再用來開發Chatbot應用。不過，玉山團隊很快意識到，訓練LLM模型不僅需要龐大算力，還很燒錢，不是一般企業可以自己來。</p> <p>他以當時玉山的算力資源來估算，若要訓練出媲美ChatGPT的對話水準，就算投入所有算力，也要一到兩年才能訓練出LLM模型。單是訓練一次GPT-3模型的成本就要140萬美元，若是參數量更大的LLM模型，訓練成本更是要花費200萬美元到1,200萬美元之間，價格非常昂貴。</p> <p>發現自建模型這條路不可行，玉山很快地調整策略。當時，張智星指出，他們要直接善用ChatGPT在對話式AI的卓越能力，讓玉山把同類型AI應用發揮得更好。例如，將玉山過去打造的Chatbot接上ChatGPT，使用供應商提供的服務，來發展生成式AI。</p> <p>這個戰略轉向看似單純，卻是玉山在AI發展上迎來的一次大轉變。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>2021年立下三年AI願景，發展NLP技術自建多個Chatbot</strong></span></span></p> <p>早在2021年，玉山就訂下了三年AI願景，當時，他們將自然語言處理（NLP）技術作為AI發展核心，圍繞Chatbot發展相關應用，除了要全面使用Chatbot，抓住顧客意圖，還要大量分析語音客服，不只做數位導流還要調整服務，更要打造24小時全智能語音Chatbot。</p> <p>玉山過去靠NLP技術開發出玉山小i隨身金融顧問，能一次回答房貸評估、外匯諮詢和信用卡推薦3大問題。當時，為了開發出這個Chatbot，他們組了40人團隊發想Chatbot應用場景，找來外部廠商進行各項測試，完成這款Chatbot，為了持續精進技術力，還找上臺大自然語言處理實驗室，鎖定使用者意圖分析與偵測技術，要從使用者在各種公開網路平臺上的異質源資料，來探索、拼湊出完整使用者資訊，建立更好的預測模型。</p> <p>這些經驗讓玉山團隊培養了豐富的NLP能力，玉山團隊還進一步深化NLP客服應用，自己建立一套NLP模型，來分析每通客服通話、判斷顧客遭遇的問題，並以簡訊發送相關連結和使用教學，來給顧客參考。他們甚至要進一步發展語音生成，開發一套語音引擎，讓自動撥號系統能以語音方式提供顧客一次性密碼（OTP）。</p> <p>玉山希望以NLP技術作為核心，來發展自己的AI藍圖，但是，隨著更進階的NLP模型—LLM模型橫空出世，玉山想快速擁抱對話水準更高的生成式AI，就不得不放棄自建模型的策略，轉而使用科技大廠提供的服務來使用LLM模型。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>玉山下一步是將生成式AI走向業務</strong></span></span></p> <p>玉山能直接面對這項挑戰，奠定在過往累積的AI基礎。去年三月，張智星就強調，AI策略的轉變，不會讓他們過去的投入白費，「正因為先打下了基礎設施，當ChatGPT出現後，很順利就能銜接。」張智星指出。</p> <p>張智星所說的基礎設施之一，就是玉山在2019年所打造的機器學習即服務（MLaaS）平臺，採API形式提供AI服務，這個平臺成了後來玉山各項AI落地的關鍵。</p> <p>隨著玉山新一代核心系統在2020年上線，原本大型主機的「大核心」模式，轉換為小核心的微服務架構和開放式平臺之後，玉山不只能更快速更迭服務，也更容易共享資料。為了因應快速增加的數據量和AI應用規模，玉山在2021年，重新改造MLaaS平臺，推出2.0版，改採用微服務架構，來增加平臺資源調度彈性，這個關鍵改變，讓玉山有能力走向雲端，也是玉山能快速銜接生成式AI服務的主因之一。</p> <p>兩年前，玉山就開始布局生成式AI。他們從導入生成式AI至單一應用，一路發展出多個應用服務。去年下半年，玉山打造出通用型GenAI平臺GENIE，並開始在內部測試，蒐集使用資料，了解適合運用生成式AI的潛在場景。到了今年初，玉山正式推出GENIE平臺，行員能透過API串接使用生成式AI服務，來加速各項工作流程。</p> <p>目前，玉山利用GENIE平臺推出11項生成式AI應用服務，開放全行行員使用，另有1項服務正在開發中。這12項應用服務可分為基礎和進階應用服務。起初，玉山僅單純將GENIE平臺介接LLM模型服務，提供基礎版應用服務，例如，純文字和圖片生成、會議記錄生成和摘要總結翻譯等，每項應用服務都能適用於多種場景。</p> <p>隨著平臺蒐集更多資料，玉山以「工人智慧」逐筆查看行員查詢的內容，挖掘使用者常在哪些情境下使用特定應用服務，接著針對場景開發進階版應用服務，整合行內知識庫和檢索增強生成（RAG）技術，提升平臺在特定場景的服務能力。</p> <p>去年金管會鬆綁上雲規範，開放金融機構能將非涉及重大消金業務的系統遷至公雲，玉山團隊也開始籌劃讓GENIE平臺的架構能上公雲，把平臺轉為混合雲架構。預計最快今年中就會推出新一代GENIE平臺。</p> <p>目前，玉山仍在蒐集更多適用生成式AI的場景，他們不僅關注舊場景，也在探索因新技術誕生的新場景。「我們要用新架構瞄準新場景，先從RAG開始。」玉山銀行智能金融處資深副總工程師林鉦育說。</p> <p>放眼今年，玉山的生成式AI發展目標是「走向業務」。一方面，經過去年的摸索和測試，玉山逐漸了解生成式AI的運作模式，另一方面，在金管會公布金融AI指引後，玉山會以此指引為基礎，來發展自己的生成式AI應用，將這項技術推向內部使用的業務場景，讓生成式AI在玉山逐漸開枝散葉。</p> <p class="rtecenter"><span style="color:#FFFFFF;"><span style="font-size:36px;"><strong><span style="background-color:#0066ff;"> 玉山高層大力支持生成式AI </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1179-BOX-%E5%9C%96-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.png" style="width: 410px;" /></p> <p><span style="color:#696969;"><strong>玉山金控董事長黃男州提出AI未來發展的三個重要角色，分別是智能夥伴、溝通大師，和時光壓縮機。</strong><span style="font-size:14px;">攝影／洪政偉</span></span></p> <p><strong>玉山能快速因應生成式AI浪潮轉變策略，除了仰賴過去奠定的技術基礎，更重要的是高層對AI的支持。</strong></p> <p><strong>今年二月，玉山金控董事長黃男州在法說會前記者會中，提出他對生成式AI的看法。「AI可能在未來發展進程會有幾個重要角色。」黃男州點出，AI可能擔任的第一個角色是智能夥伴，能和人類共同進行創造。第二個是溝通大師，能在物聯網中協助人與物溝通。第三，是時光壓縮機，能處理許多過去需耗費大量時間學習的產業知識。最後，黃男州也表示，AI將和雲端結合，因此雲端也是重要議題。</strong></p> <p><strong>玉山金控科技長張智星事後解釋這三個想像的實現方式。智能夥伴類似副駕駛（copilot），能協助人類完成工作。溝通大師的模式，類似透過GPT模型從物連網抓取各種感應器資料，向使用者摘要設備運作情況。時光壓縮機意謂加速學習，例如，過往學習英文須要花費大量時間查找字典，但現在透過ChatGPT就能修改文法和用字錯誤，節省大量時間，提升了學習效率。</strong></p> <p><strong>「我們三不五時都會和他（黃男州）溝通，說明技術進步到哪個階段。」張智星表示，玉山的技術團隊時常和黃男州溝通新技術，當團隊詢問高層建議，黃男州也會提供回饋。但，張智星表示，「事前並不知道董事長會說這些。」</strong></p> <p><strong>ChatGPT誕生後，大眾對生成式AI技術並不陌生，更容易發想應用場景，另一方面，玉山大力發展AI，高層和技術團隊長期溝通，培養絕佳的默契，所以，當玉山技術團隊開始跨足生成式AI，不需要解釋太多技術細節，高層也能自己展開技術發展的願景，描繪AI藍圖。</strong></p> <p><strong>「董事長會自己想像應用場景。」例如，團隊曾和黃男洲提到生成式AI可以用來摘要會議記錄，「他很興奮地說，這樣可以整理每個人說的內容，列出待辦事項。」張智星回憶道。</strong></p> <p><strong>有了高層的支持，玉山科技團隊更放心創新。「其實，很多細節董事長幫我們補全了。」張智星說。例如，技術團隊曾提出，將OCR掃描後的文件轉換成文字後，可以使用LLM模型進行修改。當時，黃男州則提議，利用公司30年來累積的文件建立知識庫，協助企金業務整合客戶資料，快速整理上下游公司之間的關係。</strong></p> <p><strong>當時的提議，也成為玉山今年計畫發展的重點應用之一。今年，玉山計畫透過LLM模型協助企金業務整理客戶資訊，將企業客戶在網上的資料納入系統，包括公司財報、年報和新聞稿等資料，以及上下游相關企業資訊，建立徵審文件草稿，加速企金業務的徵信工作流程。</strong></p> <p><strong>這個例子也顯示，生成式AI浪潮的關鍵，並非僅是發展技術能力，更多來自高層和業務團隊的加入，共同想像更多應用場景，提供技術團隊素材向前推進。因此，ChatGPT爆紅後，玉山接著在內部舉辦黑客松活動，邀請副總級高層，共同了解AI，發想更多應用場景。</strong></p> <p class="rtecenter"><span style="color:#ffffff;"><span style="font-size:36px;"><strong><span style="background-color:#B22222;"> 玉山生成式AI發展歷程 </span></strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 2017年 </span></strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#006400;"> 組織 </span></strong></span><span style="color:#696969;"><strong> 成立創新實驗室，鑽研AI、區塊鏈、身分辨識、電子支付等前瞻技術</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#9933ff;"> 應用 </span></strong></span><span style="color:#696969;"><strong> 推出玉山小i隨身金融顧問，為大中華地區第一個金融Chatbot</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2017%E5%B9%B4_%E5%9C%961%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 590px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／玉山金控</span></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2018年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 戰略 </span></strong></span><span style="color:#696969;"><strong> 定調玉山AI發展，終止多個千萬元等級專案，改將資源投注在AI上</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 100, 0);"> 組織 </span></strong></span><span style="color:#696969;"><strong> 成立科技長辦公室</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2018%E5%B9%B4_%E5%9C%961%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.png" style="width: 558px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／王宏仁</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> 開始建置MLaaS平臺、AI研發雲</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2019年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 100, 0);"> 組織 </span></strong></span><span style="color:#696969;"><strong> 大數據分析團隊CRV轉型為智能金融處，負責開發AI應用</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#996600;"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> MLaaS 1.0平臺上線，提供AI推論、模型訓練、資料ETL等三大類服務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A01169_2019%E5%B9%B4_%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 561px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／玉山金控</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 51, 255);"> 應用 </span></strong></span><span style="color:#696969;"><strong> 信用卡盜刷偵測模型、票據手寫辨識模型上線</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2020年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 100, 0);"> 組織 </span></strong></span><span style="color:#696969;"><strong> 成立資料治理專責小組，推動規範和分級</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> </strong></span></p> <p><span style="color:#696969;"><strong>●新一代銀行核心系統上線，全面API化、加速資料累積和運用能力</strong></span></p> <p><span style="color:#696969;"><strong>●決定將MLaaS平臺底層部署至Kubernetes（簡稱K8s），打造MLaaS 2.0平臺</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2021年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 100, 0);"> 組織 </span></strong></span><span style="color:#696969;"><strong> 展開29年來最大一次組織改造、組成千人科技聯隊，形成資訊處、數金處與智金處的鐵三角組織</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2021%E5%B9%B4%E5%9C%96%E7%89%87-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 576px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／玉山金控</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 戰略 </span></strong></span><span style="color:#696969;"><strong> 訂定AI三年願景，以自然語言處理（NLP）技術作為關鍵技術核心，圍繞Chatbot發展相關應用</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> MLaaS 2.0平臺上線，擁抱K8s、容器等主流開源工具，引進多項自動化機制</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2021%E5%B9%B4%E5%9C%96%E7%89%87-2-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 591px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／玉山金控</span></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 51, 255);"> 應用 </span></strong></span><span style="color:#696969;"><strong> 推出數位導流系統平臺、單一大影像模型、推薦系統Smart Channel、數存秒開服務</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2022年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(178, 34, 34);"> 戰略 </span></strong></span><span style="color:#696969;"><strong> 生成式AI爆紅，玉山開始布局生成式AI發展</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2023年上半年 </span></strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 戰略 </span></strong></span><span style="color:#696969;"><strong> 玉山決定不走自建LLM模型的策略，改為採用廠商提供的商用生成式AI服務</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> 開始打造玉山生成式AI平臺GENIE</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 51, 255);"> 應用 </span></strong></span><span style="color:#696969;"><strong> KYC調查開始嘗試用生成式AI</strong></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2023年下半年 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 100, 0);"> 組織 </span></strong></span><span style="color:#696969;"><strong> 制定生成式AI執行內規</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> </strong></span></p> <p><span style="color:#696969;"><strong>● 玉山生成式AI平臺GENIE開始測試</strong></span></p> <p><span style="color:#696969;"><strong>● 因應金融上雲鬆綁，MLaaS 2.0平臺轉為混合雲架構</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 51, 255);"> 應用 </span></strong></span><span style="color:#696969;"><strong> 對外展示用GPT模型打造的智能法律回覆生成系統</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2023%E5%B9%B4%E4%B8%8B%E5%8D%8A%E5%B9%B4%E5%9C%96-1-%E6%94%9D%E5%BD%B1-%E6%9D%8E%E6%98%80%E7%92%87.png" style="width: 590px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／李昀璇</span></span></p> <p><span style="font-size:22px;"><strong style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 2024年年初 </span></strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 102, 0);"> 技術與架構 </span></strong></span><span style="color:#696969;"><strong> 正式啟用GENIE平臺（除音檔、影像萃取服務尚在開發），整合行內知識庫</strong></span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(153, 51, 255);"> 應用 </span></strong></span><span style="color:#696969;"><strong> 向內部推出11項生成式AI應用服務，包括純文字和圖片生成、會議記錄生成服務、摘要總結翻譯、分類和分析，和Chatbot知識搜索服務</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1169_2024%E5%B9%B4%E5%B9%B4%E5%88%9D-%E5%9C%961-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7.png" style="width: 587px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／玉山金控</span></span></p> <p><span style="color:#696969;"><strong>資料來源：玉山金控，iThome整理，2024年4月</strong></span></p> <p><a href="https://www.ithome.com.tw/article/162552" target="_blank"><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1179-feng_mian_p1-open-yun_xuan_-960x420_kao_bei_0.jpg?itok=V8ey_IUW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/4/26 13:50作者李昀璇https://www.ithome.com.tw/news/162547
玉山怎麼用GenAI？12項應用服務大解析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月，玉山在一場公開活動中展示一個生成式AI應用服務——智能法律回覆生成系統，提供內部行員快速檢索法規內容。系統介面是一個Chatbot，當行員輸入法遵相關提問，介面上會顯示簡短回覆和法源依據，並提供內外規範的法條比對，協助行員快速掌握內外規範，因應外部變動調整內部法規。</p> <p>這個案例不只是玉山發展的唯一一項生成式AI服務。經過一年來的開發、測試，今年初，玉山正式對內推出通用型GenAI平臺GENIE，開放行員使用11項生成式AI應用服務，另有1項服務正在開發中。</p> <p>這12項應用服務中，可區分為基礎和進階應用服務。起初，玉山僅單純將GENIE平臺介接LLM模型服務，提供基礎版應用服務，例如，純文字和圖片生成、會議記錄生成和摘要總結翻譯等，每項應用服務都能適用於多種場景。</p> <p>隨著平臺收到更多使用資料，玉山開始挖掘使用者常在哪些情境下使用特定應用服務，接著針對場景開發進階版應用服務，提升平臺在特定場景的服務能力。例如，法規文件比對、市場資訊摘要和生成，或運用客服資料進行顧客情緒分析。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>基礎和進階應用服務各有6項</strong></span></span></p> <p>玉山規畫的基礎應用服務共有6項，最基礎的服務包括純文字和圖片生成、會議記錄生成服務，複雜度一路提升，從摘要總結翻譯、分類和分析，到Chatbot知識搜索，最後則是支援非文字形式的音檔、影像資料萃取服務。目前，玉山將基礎服務延伸至特定場景，開發出6項進階應用服務。其中，摘要總結翻譯的進階服務有1項，分類和分析的進階服務有3項，Chatbot知識搜索的進階服務則有2項。</p> <p>相比最常見的純文字生成、會議記錄生成服務，摘要總結翻譯服務的定位是解讀大量文件，提取出重要資訊。玉山選擇將摘要總結翻譯服務延伸至KYC（know your customer）調查場景，協助摘要和生成市場資訊，結合RPA技術，不僅能快速蒐集、摘要客戶的負面新聞，還能定期產出客戶交易對手的負面新聞和報告。這項進階應用服務能協助理專人員快速撰寫徵審報告，也能協助一般銀行行員掌握時事對金融產品帶來的衝擊。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>選定技術開發、客服和商業數據分析場景，發展進階分類和分析應用服務</strong></span></span></p> <p>分類和分析則是更進階的摘要總結翻譯服務，匯入資料形式不局限於文字，還包括數據、程式碼，這項服務是運用LLM模型理解大量文件和數據資料後，協助快速歸類，同時提供對數據、程式碼的分析解讀。玉山看準3種應用場景，發展出3項分類和分析的進階服務，分別是程式碼教學服務、數據分析與教學，和顧客情緒分析。</p> <p>第一種場景是技術開發，玉山發展程式碼教學服務，當技術人員在開發時面對卡關情況，可以藉由LLM模型服務提供教學指示，或是用來分析結構較複雜的程式碼，並提供建議註解，加速開發流程。玉山金控科技長張智星指出，完全讓模型生成程式碼，反而容易出錯。因此，玉山並未發展程式碼生成工具，而是開發程式碼教學服務。</p> <p>第二種場景是客服應用。玉山推出導入生成式AI的顧客情緒分析服務，不僅能協助行員分析來自客服Chatbot和留言板的文字訊息，也能將語音訊息轉為文字，讓行員直接從文字來分析顧客情緒和進線意圖。未來，玉山預計使用生成式AI提升原有的意圖判斷模型，精準導流進線意圖較特殊的顧客。</p> <p>第三種場景是協助業務分析商業數據。玉山開發數據分析與教學服務，協助行員快速分析表格資料，了解資料潛藏趨勢。例如，信用卡刷卡資料包含顧客ID、刷卡時間、特店和金額等欄位，行員可以將顧客信用卡刷卡資料匯入LLM模型服務，分析特定顧客樣態行為模式。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建立Chatbot協助知識庫搜索，首先提供內部行員搜尋法規文件、產品優惠訊息和教育訓練講義</strong></span></span></p> <p>Chatbot知識搜索結合了知識庫和搜尋功能，可以協助摘要、分類和分析大量文件，更重要的是，能讓使用者以簡短的文字提問快速掌握大量文件。這個基礎應用服務運用LLM模型服務和檢索增強生成（RAG）技術，蒐集和彙整大量文件資料或網路新聞資訊，並以Chatbot形式提供內部使用者查詢。系統會根據使用者的提問提供簡短回覆，協助行員省下翻閱大量文件資料的時間。</p> <p>針對Chatbot知識搜索，玉山鎖定兩個場景開發進階服務，分別是提供內部員工使用的智能客服與專業知識庫搜尋，和法規文件比對服務。前者目前提供行員搜尋金融產品優惠訊息，以及協助新進行員快速查詢教育訓練講義和文件，提升訓練成效。後者則是當行員遇上法遵問題時，可以快速查詢法源依據，了解公司內部法條和外部規範，進一步衡量是否須因應外規變動調整內規。</p> <p>最後一項基礎服務是音檔、影像資料萃取，當使用者輸入音訊或影片時，LLM模型服務會將語音或影片轉為文字，接著回應使用者針對輸入資料的提問。這項應用服務目前尚在開發中，還未提供內部使用。</p> <p>除了現有服務，玉山預計在今年發展更多進階應用服務。</p> <p>他們計畫要提升會議記錄摘要功能，讓模型能讀懂會議中出現的專有名詞，例如能辨識出產品名稱，甚至是分辨出發言者身份，以及透過LLM協助企金業務整理客戶資訊，將企業客戶在網上的資料納入系統，包括公司財報、年報和新聞稿等資料，以及上下游相關企業資訊，建立徵審文件草稿，加速企金業務的徵信工作流程。技術上，玉山也期望能發展出多輪對話功能，創造更多應用服務。</p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#B22222;"> 玉山12項GenAI應用服務介紹 </span></strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#6666ff;">　基礎應用服務：</span><span style="background-color:#6633ff;">　功能說明　</span></span></strong></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>純文字和圖片生成類</strong></span><strong><span style="font-size: 20px;">：</span></strong></span><span style="color:#6633ff;"><span style="font-size:20px;"><strong>生成文字和圖片</strong></span></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>會議記錄生成</strong></span></span><span style="color:#6633ff;"><strong><span style="font-size: 20px;">：</span></strong><span style="font-size:20px;"><strong>快速摘要會議內容</strong></span></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>摘要總結翻譯</strong></span><strong><span style="font-size: 20px;">：</span></strong></span><span style="color:#6633ff;"><span style="font-size:20px;"><strong>摘要、總結、翻譯大量文件資料</strong></span></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>Chatbot知識搜索</strong></span><strong><span style="font-size: 20px;">：</span></strong></span><span style="color:#6633ff;"><span style="font-size:20px;"><strong>運用LLM模型服務和RAG技術，蒐集和彙整大量文件資料或網路新聞資訊，並以chatbot形式提供服務，系統會根據使用者輸入的問題提供回覆</strong></span></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>分類／分析</strong></span><strong><span style="font-size: 20px;">：</span></strong></span><span style="color:#6633ff;"><span style="font-size:20px;"><strong>運用LLM模型服務來快速分類或分析大量資料</strong></span></span></p> <p><span style="color:#6666ff;"><span style="font-size:20px;"><strong>音檔、影像資料萃取</strong></span><strong><span style="font-size: 20px;">：</span></strong></span><span style="color:#6633ff;"><span style="font-size:20px;"><strong>當使用者輸入音訊或影片時，LLM模型服務會將語音或影片轉為文字，並回應使用者對輸入資料的提問</strong></span></span></p> <p><strong><span style="font-size:20px;"><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;">　進階應用服務：</span><span style="background-color:#ff6600;">　功能說明和應用場景　</span></span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">程式碼教學：</span><span style="color:#ff3300;">分類／分析的進階服務</span><span style="color:#ff6600;">，使用生成式AI來分析較複雜的程式碼，並提供註解建議，或是當技術人員開發時卡關，可以使用生成式AI提供教學指示，來輔助開發 </span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">智能客服／專業知識庫搜尋：</span><span style="color:#ff3300;">Chatbot知識搜索的進階服務</span><span style="color:#ff6600;">，供內部行員搜尋金融產品優惠訊息，或是協助新進行員搜尋教育訓練講義和文件 </span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">法規文件比對：</span><span style="color:#ff3300;">Chatbot知識搜索的進階服務</span><span style="color:#ff6600;">，可供行員搜尋和比對內部規範和外部規範 </span></span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">市場資訊摘要／生成：</span><span style="color:#ff3300;">摘要總結翻譯的進階服務</span><span style="color:#ff6600;">，可供行員快速彙整產業和新聞資訊和趨勢，主要應用在KYC調查。也可以協助行員快速掌握時事對金融產品的衝擊</span> </span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">數據分析與教學：</span><span style="color:#ff3300;">分類／分析的進階服務</span><span style="color:#ff6600;">，協助行員快速分析表格資料，了解資料潛藏的趨勢。例如，信用卡刷卡資料包含顧客ID、刷卡時間、特店和金額等欄位，行員可將顧客的信用卡刷卡資料匯入LLM模型服務，分析特定顧客樣態的行為模式</span> </span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#FF8C00;">顧客情緒分析：</span><span style="color:#ff3300;">分類／分析的進階服務</span><span style="color:#ff6600;">，協助行員分析來自客服Chatbot和留言板的文字訊息，也能將語音訊息轉為文字，讓行員直接從文字分析顧客情緒和進線意圖 </span></span></strong></p> <p><a href="https://www.ithome.com.tw/article/162552" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1179-feng_mian_p1-open-yun_xuan_-960x420_kao_bei_0.jpg?itok=V8ey_IUW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/4/26 13:50作者李昀璇https://www.ithome.com.tw/news/162551
玉山金如何擁抱GenAI
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1179-feng_mian_p1-open-yun_xuan_-960x420_kao_bei_0.jpg?itok=V8ey_IUW" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2022年，玉山就開始布局GenAI，經歷AI策略轉向，不到兩年，玉山打造出通用型GenAI平臺GENIE，目前已向內部提供11項GenAI應用服務，1項正在開發，下一步，他們要更積極讓GenAI走向業務</p> </div></div></div>
2024/4/26 13:52作者李昀璇https://www.ithome.com.tw/article/162552
AI領先者的決斷
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「要訓練出媲美ChatGPT的對話水準，就算玉山投入所有算力，也要一到兩年才能訓練出LLM模型。」玉山金控科技長張智星指出，去年3月初，ChatGPT API一發布，玉山AI團隊就馬上開始評估，決定先用KYC調查中負面新聞查詢的重點整理和摘要來測試，發現效果不錯，也替作業人員省下不少時間。但問題來了，當時若不是採用雲端企業級的ChatGPT服務，就得自行訓練LLM模型。要不要自己訓練LLM？成了關鍵的抉擇。</p> <p>因為算力不夠，玉山要自行訓練LLM模型得花上2年，但是可以擁有最大的自主權，若是採用業者的LLM服務，雖然可以快速上手，但得考慮綁定風險，還有金融業諸多嚴格的法遵和資安規範。</p> <p>玉山早在2021年訂定了三年AI願景，以NLP技術作為全集團AI發展的核心，圍繞Chatbot發展相關應用，除了要全面使用Chatbot，抓住顧客意圖，還要大量分析語音客服，發展數位導流，更想要打造出可以24小時運作的全智能語音Chatbot。他們也訓練出了自己的NLP模型，用於大量客服通話內容、分析顧客問題。</p> <p>如今ChatGPT隔空出世，為了運用更先進的LLM來實現AI願景，玉山毅然決然，放棄自建模型的策略，轉而採用第三方業者的雲端LLM服務。</p> <p>不過，玉山多年AI的投入，並沒有白費，而是讓他們很快就能銜接到最新生成式AI技術。這其中，最關鍵的是，玉山有一套MLaaS平臺（機器學習即服務平臺），全面以API形式來提供AI服務，而不是直接把AI技術寫入到每一套系統中。</p> <p>在金融業，對內要全面用API來串接不同的系統，不是一件容易的事，但是，玉山當年決定全力發展AI，就計畫要能夠全面地使用AI，因此，玉山將不同的AI功能，打造成一隻又一隻的API，方便以API形式整合到各式各樣的系統上。也搭配發展出了一套從訓練、開發、部署、提供服務到維運，涵蓋整個開發到維運生命周期的MLaaS平臺。這不僅是金融業，也是臺灣大型企業中少見如此系統化、大規模發展AI的作法。</p> <p>雲端業者提供的各種生成式AI服務、LLM服務，正是以API形式來串接，玉山當年所做的選擇，正好是現在當紅的生成式AI主流服務提供形式。玉山只需要外部的第三方生成式AI的API，串接到原本的MLaaS平臺中，就能延續原本的作法，甚至不需要重新調整、修改MLaaS平臺對內部系統的串接方式，累積3年的API化AI應用開發經驗，一點都沒有白費。</p> <p>隨著金融主管機關這兩年逐漸鬆綁金融上雲的規範，金融業者更容易使用公雲上的服務，剛好解了玉山採用雲端生成式AI的一大難題，不過，還有另一個挑戰，要將內部資料拋轉到外部的第三方服務上，如何徹底避免機敏資料外洩是另一項考驗。</p> <p>許多企業為了預防機密外流，都會對上傳到雲端生成式AI的資料進行遮蔽，將機敏資料移除，來避免外洩。但是，生成式AI是依據上下文來進行推論，一但提供的內容中有缺漏，就可能會影響生成的結果。</p> <p>玉山找到了兩全其美也更進階的作法，採取等價交換的方式，將機敏資料替換成類似但卻是模擬的假資料，例如原本提到了真實的信用卡號，則替換為假的信用卡資料，或是用假姓名來取代真實的姓名，既能避免外洩機敏資料，又能讓生成式AI有較完整的上下文脈絡可用。</p> <p>玉山在這套機器學習即服務平臺MLaaS上，提供和維運了AI五大類服務，包括行銷AI、風控AI、服務AI、流程AI以及賦能AI，生成式AI就是流程AI類的其中一隻API。玉山也發展出了一整套的生成式AI平臺稱為GENIE，以RAG作法為核心。</p> <p>GENIE是一隻獨立的API，容易串接、整合到多種延伸應用服務或是各種內部系統上。玉山也搭配自建的金融知識庫，運用RAG技術來提升LLM模型的回答精準度。</p> <p>透過這個平臺，玉山先發展出了12類生成式AI應用服務，其中11項已經正式啟用，一項還在開發中。這只是玉山生成式AI的一小步，這套涵蓋整個生命周期的MLaaS是玉山發展更多AI應用的加速器，從自建NLP到擁抱第三方LLM服務，玉山的AI戰略，換了更先進的新引擎，可以站在更高的技術力上，讓AI 繼續全面落地。</p> <p><a href="https://www.ithome.com.tw/article/162552" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1179-feng_mian_p1-open-yun_xuan_-960x420_kao_bei_0.jpg?itok=V8ey_IUW" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/genai">GenAI</a></div><div class="field-item odd"><a href="/tags/%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7">玉山金控</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div></div></div>
2024/4/26 14:01作者王宏仁https://www.ithome.com.tw/voice/162553
中東政府遭到後門程式CR4T鎖定，駭客發起DuneQuixote攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基揭露名為DuneQuixote的攻擊行動，<a href="https://securelist.com/dunequixote/112425/">他們在今年2月察覺此事</a>，對方針對中東政府機關而來，意圖於網路環境部署後門程式CR4T。</p> <p>究竟攻擊者如何滲透這些組織？研究人員並未進一步說明，但指出對方利用惡意程式下載工具（Dropper）於受害電腦部署後門程式。</p> <p>研究人員總共看到攻擊者使用超過30個惡意程式下載工具，並指出這些檔案的共通點，都是使用C或C++開發而成的64位元Windows執行檔，且並未採用標準範本程式庫（Standard Template Library，STL），並帶有無效的數位簽章。</p> <p>而這些下載工具大致可區分兩種類型，其中一種是透過檔案管理工具Total Commander的安裝程式挾帶，而引起研究人員的關注。</p> <p>但上述的惡意程式下載工具的最終目的相同，就是在迴避偵測的狀態下，於受害電腦部署CR4T。</p> <p>一旦執行，這些下載工具便會執行一系列沒有實際目的的API呼叫，企圖混淆研究人員的視聽，而這些呼叫所使用的函數功能也很特別，是西班牙詩歌的片段。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dune_Quixote_01.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dune_Quixote_01.png" style="width: 580px;" /></a></p> <p>接著，對方使用XOR演算法解碼字串，取得Windows核心特定DLL檔案的名稱，成功後就會透過動態解析API呼叫，並利用多種方式得到記憶體的位置，然後以特殊手法解出C2的IP位址（研究人員並未透露手法為何），從而下載後門程式並執行。研究人員指出，攻擊者採用上述手法取得C2IP位址的原因，是為了避免遭到惡意軟體分析系統攔截。</p> <p>而針對後門程式的部分，研究人員看到了兩種版本的CR4T，一個以C及C++開發，另一個採用Go語言開發，但兩者功能幾乎完全相同。</p> <p>值得留意的是，研究人員推測，這起攻擊行動可能從去年2月就開始，相關惡意程式主要出現於中東地區，但似乎也有人從韓國、盧森堡、日本、加拿大、荷蘭、美國上傳相關檔案到惡意程式分析平臺，對此研究人員認為，這些人很有可能是透過VPN來傳輸檔案。</p> </div></div></div>
2024/4/26 14:05作者周峻佑https://www.ithome.com.tw/news/162554
開發搶票機器人程式違反文創法，竹科工程師遭到逮捕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年6月2日文化創意產業發展法正式上路，此法專門針對不正當搶票、黃牛加價轉售的亂象而設，內政部警政署刑事警察局調查5起案件，結果發現，有3起使用名為「Max搶票機器人」的程式進行不當購票行為。</p> <p>4月23日<a href="https://www.cib.npa.gov.tw/ch/app/news/view?module=news&id=1885&serno=0e3f52d8-cffa-4a17-8c9e-b18fe5317d5e#">刑事局召開記者會宣布破案</a>，他們循線追查上述搶票機器人的程式開發者身分，為在竹科就職的45歲姚姓工程師，他坦承2018年3月開發出電腦搶票程式「Max搶票機器人」，能針對拓元、KKTIX、寬宏、年代等臺灣各大售票系統搶購演唱會票券。</p> <p>姚姓工程師亦開設臉書粉絲專頁、部落格，提供教學影片及文章，教導民眾使用他開發的機器人購買演唱會門票。此外，他還提供相關程式及原始碼下載，讓他人能夠進一步運用或是改造。</p> <p>值得留意的是，姚姓嫌犯盜用他人的身分證字號來註冊售票系統會員帳號，並教唆民眾利用多個小號（分身帳號）刷票。</p> <p>專案小組追查發現，此人公開提供搶票程式後，<a href="https://www.cna.com.tw/news/asoc/202404230292.aspx">曾以此機器人購買6張票券，並得到他人資助3.7萬元。</a></p> <p>警方於113年4月16日持拘票、搜索票於新竹市轄內搜索，逮捕犯嫌1人，查扣筆記型電腦2部、手機1支、銀行存摺1本、電腦搶票程式與原始碼1組等贓證物。</p> <p>對此，姚姓嫌犯供稱，他開發搶票機器人的動機，主要是覺得購票平臺搶票規則不公，造成一般民眾權益受損，他宣稱自己沒有不法意圖。全案詢後姚男依涉偽造文書和文創法送請檢方偵辦，裁定以1萬元交保。</p> </div></div></div>
2024/4/26 11:27作者周峻佑https://www.ithome.com.tw/news/162546
【iThome 2024資安大調查系列1】政府學校未來一年資安態勢大剖析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1177-zheng_fu_xue_xiao_tai_shi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府與學校所面臨的資安態勢，向來與其他產業有很大的不同，今年也不例外。國家級攻擊組織和一般駭客是未來一年，政府學校的首要資安威脅。這是和其他產業最大的不同。尤其是國家級攻擊組織的威脅，高達4成政府機關資安主管認為，未來一年極可能遭遇這類攻擊，更有6成政府資安主管擔心，一但遭遇，就會帶來重大衝擊。</p> <p>國家級攻擊組織對政府學校的威脅，在2021、2022年時，雖然都是政府學校資安風險圖第一象限的高衝擊高風險威脅，但在排名上，還落後於社交工程手段、資安漏洞等其他類型的風險，可是，從去年開始，這類攻擊不論在發生風險和衝擊的排名上都明顯提高，在2023年的政府學校資安風險圖中，國家級攻擊組織的威脅，首度成為首要風險，和一般駭客的威脅並列。今年也不例外，這兩大威脅，同樣是2024～2025，政府與學校未來一年最需要警戒的首要風險。</p> <p>在去年資安風險圖上，次要風險只有一項，但是今年，政府學校所面臨的次要風險項目，增加到了3項，除了社交工程手段之外，還包括了勒索軟體資安事件、資安漏洞（零時差漏洞）攻擊事件。</p> <h3><span style="color:#FF0000;"><strong>7項資安風險態勢明顯比去年更嚴重</strong></span></h3> <p>若比較去年和今年資安風險態勢的變化，高達7項資安風險的威脅態勢明顯比去年更大。首要風險中的國家級攻擊組織的衝擊比去年更大，次要風險中的勒索軟體資安事件不論發生風險或衝擊都明顯提高，其餘兩項，社交工程手段和資安漏洞（零時差漏洞）攻擊事件則是發生風險比去年更高。第一象限風險中，另外還有兩項值得特別留意，釣魚網站威脅的發生風險比去年明顯更高，而資料外洩事件的衝擊也預期會比去年更高。</p> <p>最後一項態勢不同的資安風險是位於第四象限邊緣的「行動裝置與App的攻擊」，政府資安長預期明顯會比去年帶來更大的衝擊。雖然這項威脅的發生風險較低，但一但發生，可能會出現預料之外的影響。</p> <p>在這幾年資安即國安政策推動之下，政府學校的資安信心水準在各產業中屬於前段班。若將資安信心水準分成5個等級，極有信心是100分，有信心80，大致有信心60分，只有一點信心40分，沒有信心是20分。以60分（大致有信心）為及格線，整體產業平均是67.1分，政府學校的的信心分數達到72.1分，只有略低於金融業者。</p> <p>其中，政府學校的資安防護能力哪一項較弱？從NIST CSF網路安全框架2.0版的六大面向來看，治理（Govern）、識別（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）與復原（Recover）。政府學校對識別能力（69.8分）的信心最低，但這項能力的信心水準也高於一般製造、高科技製造、服務業和醫療業。</p> <h3><strong><span style="color:#FF0000;">小心中國駭客網攻戰略的三大轉變</span></strong></h3> <p>政府學校資安主管如何提高對資安風險的識別能力來進行更主動、適當的因應，除了可以參考我們這份2024～2025政府學校資安風險圖上的資安風險分布，來調整資安資源的投入優先順序和步局之外，去年，以資安態勢分析聞名，現為Google Cloud行政總裁的Mandiant創辦人Kevin Mandia，他揭露了對中國駭客網路攻擊戰略最新的分析，有三大轉變值得政府學校資安主管特別留意。</p> <p>第一項是中國駭客近年逐漸捨棄了社交工程手法，轉為更系統性的挖掘零時差漏洞，一但發現這類漏洞，就有能力一次性發動大規模攻擊，帶來更強大的破壞力。而且第二項改變是，他們不只有計畫性地挖掘零時差漏洞，還經常鎖定網通設備，這幾年多起攻擊事件，後來發現就是中國駭客鎖定知名網通設備零時差漏洞。甚至在2023年1～9月間發現的62個零時差漏洞攻擊，一大部分是中國駭客所為。最後一項改變是，中國駭客網路攻擊朝向複雜匿蹤方式，大量挾持家用或中小企業路由器、IoT等設備，來打造一個遍及全球的網路攻擊跳板，如此複雜的網路跳接，讓調查人員的調查進度緩慢，更難以溯源追查。</p> <p>這也意味著，政府學校得更留意各項零時差漏洞的通報和修補，一但出現了高風險的零時差漏洞，得盡快修補或先採取緩解、避險的作法。</p> <p>政府學校在2024年的資安預算平均約2,491萬元，僅次於金融業，但遠高於其他產業，而且，政府學校資安預算連年成長，今年增加了11.8%，高達兩位數，也是各產業中資安預算成長最高者。不過，導致政府學校難以做好資安的最大阻礙因素是，資安人手嚴重不足的問題，高達6成政府學校資安人力不足，另有4成則因系統老舊而讓政府學校難以做好資安，這都是政府資安主管長期的重要課題。受限於法規，政府機構資安人力擴編規模有限，但今年仍有35%政府學校想要招募更多資安人力，其中8成政府機構想要招募具備威脅分析或鑑識能力的人才。</p> <p>政府學校未來一年資安投資重點仍以基礎端點與網路防護，以及員工資安訓練為兩大重點。不過，今年高達7成政府機關想要推動資安轉型，這個比例也遠高於其他產業，整府機關更積極想要擁抱主動防禦策略、零信任架構、資安左移等新世代資安思維。隨著政府大力展開零信任架構的導入，今年高達41.5%政府學校要導入零信任身分與設備鑑別，26.8％政府機關要導入零信任網路分段，更有24.4％機關要導入到更進階的零信任信任推斷。在零信任架構採用上，政府學校是領先各產業，不論採用廣度和深度都是名列前茅。</p> <h3><span style="color:#FF0000;"><strong>10項政府學校未來一年要警戒的高衝擊高風險威脅</strong></span></h3> <p>整體來說，政府學校在未來一年必須優先警戒的第一象限威脅，共有10項，可分為三大類來看，第一類攻擊者的威脅，包括了來自國家級攻擊組織、駭客和網路犯罪者所發動的攻擊，其次是三種攻擊途徑的風險，包括了社交工程手段、釣魚網站、以第三方為跳板的攻擊的攻擊。以及最後一類的資安攻擊事件也有四種，包括了勒索軟體資安事件、資安漏洞/零時差漏洞攻擊事件、資料外洩事件和被植入竊資軟體/後門木馬等資安風險。文⊙王宏仁 </p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1177-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1%E6%85%8B%E5%8B%A2-600-BIG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1177-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1%E6%85%8B%E5%8B%A2-600.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2024年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色字的項目為今年發生風險明顯提高者，綠色字項目是今年預估衝擊明顯提高者，兩項皆明顯提高者為紫色文字。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家，其中62.8%填答者為企業資安最高主管。</strong></p> </div></div></div>
2024/4/26 11:52作者王宏仁https://www.ithome.com.tw/article/162263
長榮航空證實資料外洩，不明人士存取逾300名旅客個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月25日夜間長榮航空在股市公開觀測站發布重大訊息，表示該公司發生資料外洩事故，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=230403&SPOKE_DATE=20240425&COMPANY_ID=2618">他們察覺有不明人士取得旅客的帳號資料</a>，透過惡意IP位址存取公司網站，有388筆旅客資料疑似遭到不當瀏覽。</p> <p>而對於這些遭到不明人士存取的內容，長榮航空表示，這些資料包括姓名、行程、聯絡資訊，但不含信用卡相關資料。</p> <p>對此，該公司察覺上述異狀即依照公司程序進行應變，並採取必要防護措施，通報相關主管機關。再者，他們也會通知可能受到影響的旅客。</p> <p>至於這起事故是否會對營運造成影響？長榮航空表示，他們初步評估所有業務均不受影響。不過，究竟對方如何取得旅客帳號，該公司表示，目前仍不明朗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/xSILp5VTfm.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/xSILp5VTfm.png" style="width: 580px;" /></a></p> </div></div></div>
2024/4/26 11:55作者周峻佑https://www.ithome.com.tw/news/162548
【iThome 2024資安大調查系列1】醫療業未來一年資安態勢大剖析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1177-yi_liao_zi_an_tai_shi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情過後，這幾年醫療業趁著核心HIS系統十年一次的升版需求，積極展開IT現代化，主管機關更大幅鬆綁了電子病歷上雲規定，推動醫療資訊服務業SaaS化，掀起了一波醫院上雲、擁抱雲原生技術的浪潮，但是，新核心、新架構、新技術，帶來了與傳統截然不同的IT複雜度和管理挑戰，也讓醫療業面臨更多樣化的資安風險考驗，醫療業今年的資安態勢，跟去年有很大的不同。</p> <p>勒索軟體是醫療業未來一年最需要警戒的首要資安風險，4成醫院資訊與資安主管評估自己未來一年極可能發生，更有6成資訊與資安主管評估，一但發生，就會帶來衝大威脅，醫院意識到的勒索軟體衝擊威脅感，明顯比去年更高。不只勒索軟體，醫療業明年還得高度警戒兩項次要威脅，社交工程手段和來自駭客的威脅。尤其醫院對駭客攻擊的威脅感，也有不少醫院資訊和資安主管，比去年更擔心駭客攻擊帶來重大衝擊。</p> <p>不只臺灣如此，過去一年，國際上，醫療保健業發生了多起重大資安事件，涵蓋了網路攻擊、勒索軟體攻擊和以第三方為跳板的攻擊事件，甚至出現了系統因勒索軟體當機而導致醫院營運停擺的重大災情。</p> <p>今年第一季，羅馬尼亞多達1百多家醫院遭網路攻擊，主要原因是醫院服務供應商遭到Backmydata勒索軟體攻擊，而連帶影響了這麼多家醫院，去年底，美國醫療保健業者Henry Schein也傳出遭遇勒索軟體BlackCat攻擊。更甚者，在去年年中，美國大型醫療集團Prospect Medical Holdings也傳出因為勒索軟體攻擊，旗下多家醫院IT系統停擺，急診、住院與門診業務受影響，這個集團有16家醫院，涵蓋三級醫療中心、教學醫院、行為健康機構、社區醫院與長期照護機構等，以及166個門診診所，聘雇逾1.1萬名醫生。部分醫院透露，因為系統當機，得改為人工紙本作業，甚至有醫院的醫療影像與抽血服務停擺，影響到病患的就醫。</p> <p>另外，醫療個資外洩災情也有不少，而佛州醫療中心Tampa hospital在2023年中，也因勒索軟體攻擊，外洩了逾120萬名病患個資。另外，在法國，多家健康保險業者所用的兩家第三方支付服務Viamedis與Almerys，在今年1月時，遭網路攻擊而外洩了超過3,300萬名客戶的個資，相當於法國近半數的人口，當地的資料保護機構CNIL正在調查中。這是駭客透過第三方所發動的攻擊事件。</p> <h3><span style="color:#FF0000;"><strong>醫療業資安信心水準最弱，識別與偵測能力更是不及格</strong></span></h3> <p>醫療業是各產業中，對自家資安能力信心最低落的產業。將資安信心水準分成5個等級，極有信心是100分，有信心80，大致有信心60分，只有一點信心40分，沒有信心是20分。以60分（大致有信心）為及格線，整體產業平均是67.1分，醫療業業的信心分數只有61.3分，只有在及格邊緣，分數是所有產業中最低者。</p> <p>那一項資安防護能力最弱？進一步從NIST CSF網路安全框架2.0版的六大面向來看，治理（Govern）、識別（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）與復原（Recover）。醫療業有兩項能力的信心特別弱，識別能力（59.2分）和偵測能力（59.7分），而且這兩能力的分數更是跌破了及格線，介於比一點信心好，但是還達不到大致有信心的水準。</p> <p>在六項資安防護能力上，醫療業是各產業唯一一個出現不及格信心水準的產業，反映出他們在這兩項能力嚴重不足，不只比較沒有能力辨識和制定對策來因應未來可能遭遇的資安風險，也缺乏更強的偵測能力，可以快速發現遭駭客攻擊的跡象來阻斷攻擊。我們所繪製的這份2024～2025醫療業資安風險圖，正好可以作為醫院和藥廠資訊長和資安長未來一年資安布局和決策時的參考。</p> <p>醫療業在2024年的資安預算平均約995萬元，高於一般製造業、高科技製造業和服務業，但是，這個預算比去年大幅減少了25.3%。不過，導致醫療業者難以做好資安的最大阻礙因素是，資安人手嚴重不足的問題，超過66.1%醫院是這個原因所致，而且遠高於員工資安意識不足（46.4%）和預算編列不足的問題（46.4%）。今年有4成醫院想要招募更多資安人力，尤其是8成醫院都想要招募資安事件應變能力的人才，來強化自己偵測能力不足的弱處。威脅分析或鑑識人才、資安系統維運人才也是過半數醫院的招募重點。</p> <p>醫院未來一年資安投資重點仍以員工資安訓練、基礎端點與網路防護、應用程式安全防護這三項為主。不過，今年每兩家醫院，就有一家不只要強化資安，更要展開資安轉型，採取主動防禦、零信任、資安左移等作法，約2成醫院今年要導入零信任身分與設備鑑別，約8.9%甚至要採用零信任網路分段。</p> <p>臺灣曾在2019年時，發生過一起攻擊二十多家醫院的重大勒索軟體災情，政府近幾年大幅提高了對醫院的資安要求，更在資安管理法中將醫療業納入關鍵基礎設施中納管，這些作為的確大大提高了醫院對資安的投入和強化，但是，隨著醫院這兩年展開各項數位轉型工程，醫療業也得開始具備新世代的資安思維和能力。</p> <h3><span style="color:#FF0000;"><strong>醫療業未來一年高衝擊高風險資安威脅高達15項</strong></span></h3> <p>整體來看，未來一年，醫療業在第一象限（高衝擊和高發生風險）的資安風險項目高達15項，是各產業中最多者，所面臨的資安威脅，有6項的發生風險與比去年明顯增加很多，更有8項資安威脅，今年比去年有更多醫院擔心帶來重大衝擊。</p> <p>在今年的資安風險圖中，我們以紅色來強調，今年發生風險明顯提升的項目，而用綠色文字來呈現衝擊程度明顯增加的項目，若是發生風險和衝擊程度都明顯提高，則以紫色文字來強調，醫療業者有四項這類紫標的風險項目，其中三項屬於第一象限中的紫標風險，包括了資安漏洞（零時差漏洞）攻擊事件、ChatGPT/GAI成為攻擊輔助工具，以及ChatGPT類服務資安事件，另外一項紫標風險則是雲端服務/網路服務資安事件。若醫療業資安長過去沒有特別留意，未來一年就得多花一份心思留意這四類風險的資安態勢變化，一但威脅升溫，就得及時應變。</p> <p>整體來說，醫療業在未來一年必須優先警戒的第一象限威脅，分為三類來看，包括了來自駭客、國家級攻擊組織、網路犯罪者和第三方/委外業者、內部人員等五類攻擊者所發動的攻擊，還有五種攻擊途徑的風險，包括了社交工程手段、釣魚網站、</p> <p>以第三方為跳板的攻擊、ChatGPT/GAI成為輔助攻擊工具、物聯網的攻擊。以及最後一類的資安攻擊事件共5項，包括了勒索軟體資安事件、資料外洩事件、被植入竊資軟體/後門木馬、資安漏洞/零時差漏洞攻擊事件、ChatGPT類服務資安事件。文⊙王宏仁</p> <p> </p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1177-%E9%86%AB%E7%99%82%E8%B3%87%E5%AE%89%E6%85%8B%E5%8B%A2-600-BIG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1177-%E9%86%AB%E7%99%82%E8%B3%87%E5%AE%89%E6%85%8B%E5%8B%A2-600.png" style="width: 600px;" /></a></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 企業資安風險圖製作說明 </span></span> 在iThome 2024年CIO暨資安大調查中，由企業自評各資安項目的兩項指標，一項是該項目對企業帶來的衝擊程度（衝擊極高和衝擊極低），另一項是這個項目未來1年的發生風險（極可能發生與極不可能發生），再換算成不同程度的量化數據來製圖。垂直軸是該項目對企業的衝擊，位置越往上代表衝擊越大，水平軸是企業未來1 年發生該項目的風險，位置越右，代表可能性越大。紅色字的項目為今年發生風險明顯提高者，綠色字項目是今年預估衝擊明顯提高者，兩項皆明顯提高者為紫色文字。</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> 大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家，其中62.8%填答者為企業資安最高主管。</strong></p> </div></div></div>
2024/4/26 10:42作者王宏仁https://www.ithome.com.tw/article/162262
蘋果公布裝置上執行的AI模型OpenELM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在微軟、Meta、Google等相繼公布AI模型後，蘋果終於發聲，<a href="https://huggingface.co/apple/OpenELM" target="_blank">宣布並開源可在蘋果裝置端執行的AI模型OpenELM家族</a>以及訓練及推論框架，最小版本僅2.7億參數。</p> <p>OpenELM全名為開源高效語言模型（Open-source Efficient Language Model），蘋果已在<a href="https://huggingface.co/apple/OpenELM" target="_blank">Hugging Face公開</a>了4種參數規模的模型，涵括2.7億、4.5億、11億及30億，但每個規模又分成預訓練及指令調校版本，因此OpenELM提供了8種版本。蘋果的開源提供完整訓練和評估框架，也提供將模型轉換成MLX函式庫的程式碼，以便開發人員在蘋果裝置上推論和微調。</p> <p class="rtecenter"><a href="http://huggingface.co/apple/OpenELM" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0426-apple_OpenELM%20on%20Hugging%20Face.png" style="width: 500px;" /></a></p> <p>在訓練方面，OpenELM模型是以CoreNet函式庫作為訓練框架，其預訓練資料集包含了RefinedWeb、去除重覆資料的PILE、RedPajama和Dolma v1.6各一個子資料集，共1.8兆token。蘋果說明，OpenELM融合了分層擴展策略，能將模型參數有效分配到transformer模型各層，以提升準確率。舉例而言，11億參數版本的OpenELM準確率較（12億參數版本的）OLMo準確率高出2.36%，但預訓練資料token僅其一半。</p> <p><a href="https://arxiv.org/pdf/2404.14619" target="_blank">蘋果也列出</a>在一臺Nvidia GPU/Ubuntu筆電上進行提示執行及程式碼生成二個任務上，和其他開源模型的效能比較（如下圖）。數據顯示OpenELM 4.5億參數版本在提示執行效能已超過MobiLama，2.7億參數版本比起OPT也相差不遠，但在程式碼生成任務上，各個版本都還有待加強。蘋果也列出了在Apple Silicon-based MacBook Pro上各版本OpenELM的執行數據。</p> <p class="rtecenter"><a href="https://arxiv.org/pdf/2404.14619" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_0426-apple_OpenELM_Results%20on%20NVIDIA%20CUDA%EF%BC%8FLinux.png" style="width: 600px;" /></a></p> <p>這是蘋果繼去年十月悄悄開源多模語言模型<a href="https://www.ithome.com.tw/news/160517" target="_blank">Ferret</a>及3月的<a href="https://www.ithome.com.tw/news/161825" target="_blank">MM1</a>之後，再度公布的AI研發成果。但這次更為特別的是，OpenELM是可在蘋果裝置上執行的語言模型。本周稍早微軟也釋出了可在筆電上執行的小語言模型（SLM）Phi-3系列，最小版本為38億參數。微軟強調Phi-3在語言理解、推理、數學及寫程式等能力上，比更多參數的模型如GPT-3.5 Turbo、Mistral還強大</p> <p>蘋果與其他晶片業者包括英特爾、AMD、高通等，都可望在今年推出為AI模型執行設計的第一代或新一代晶片。最新Apple Silicon為M4，預計今年稍後問世，並在年底推出搭載M4晶片的Mac產品。</p> </div></div></div>
2024/4/26 09:42作者林妍溱https://www.ithome.com.tw/news/162544
【資安日報】4月25日，思科證實防火牆零時差漏洞遭國家級駭客利用，於政府機關植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對思科防火牆而來的攻擊行動近期不斷傳出，先是一個月前有人鎖定提供遠端存取VPN服務（RAVPN）的防火牆設備下手，進行密碼潑灑攻擊，現在傳出有國家級駭客從去年12月開始，對其進行零時差漏洞攻擊。</p> <p>值得留意的是，這些駭客在攻擊行動半年前就找到這些漏洞，而思科在攻擊發生後的3個月才進行修補，受害情況有待研究人員進一步調查。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162516"><strong style="font-size: 22px;">國家級駭客利用思科防火牆零時差漏洞，在多國政府植入後門程式</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-f0bf3872-b61c-4e5f-a81a-eddb1596c002.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-f0bf3872-b61c-4e5f-a81a-eddb1596c002.jpeg" style="width: 300px; float: right;" /></a></p> <p>4月24日思科旗下的威脅情報團隊Talos針對國家級駭客UAT4356（亦稱Storm-1849）的攻擊行動ArcaneDoor提出警告，指出對方鎖定該公司旗下的ASA及FTD防火牆零時差漏洞CVE-2024-20353、CVE-2024-20359而來，於受害組織部署後門程式Line Dancer、Line Runner。</p> <p>對於這起攻擊事故的發現，Talos表示，今年初有客戶通報ASA裝置出現可疑活動，經調查對方從去年7月就開始進行漏洞利用嘗試，同年11月建立攻擊基礎設施，大部分攻擊在12月至今年1月出現。對此，思科已發布修補程式，並呼籲用戶儘速套用。</p> <p>針對這起零時差漏洞攻擊，加拿大網路安全中心也提出警告，他們在與英國、澳洲網路安全中心聯手，調查與政府機關採用的VPN服務有關的惡意活動時察覺此事。他們發現，過程中駭客藉由WebVPN的連線階段，進行未經授權存取。</p> <p><a href="https://www.ithome.com.tw/news/162518"><strong style="font-size: 22px;">惡意軟體SSLoad攻擊亞洲、歐洲、美洲組織，攻擊者利用Cobalt Strike、ScreenConnect控制受害電腦</strong></a></p> <p>資安業者Securonix揭露名為Frozen#Shadow的攻擊行動，攻擊者利用名為SSLoad的惡意程式，以及滲透測試工具Cobalt Strike、遠端管理工具ScreenConnect，目的是秘密滲透受害組織的網路環境，並收集機敏資訊。</p> <p>而對於攻擊者的目標，研究人員指出駭客透過網釣郵件對亞洲、歐洲、美洲的組織下手，這些電子郵件內含URL，一旦收信人點選就會下載JavaScript檔案out_czlrh.js，執行該檔案就有可能觸發感染鏈，攻擊者藉由SSLoad惡意酬載收集受害主機資訊，接著，對方利用Cobalt Strike進行偵察工作，然後下載、部署ScreenConnect，從而讓攻擊者遠端存取受害電腦。</p> <p><a href="https://www.ithome.com.tw/news/162529"><strong style="font-size: 22px;">北韓駭客Kimsuky鎖定防毒軟體發動供應鏈攻擊，透過惡意程式GuptiMiner部署後門程式、挖礦軟體</strong></a></p> <p>防毒業者Avast揭露北韓駭客Kimsuky的軟體供應鏈攻擊，對方挾持防毒軟體eScan的更新管道，透過中間人攻擊（MitM），對發出更新請求的電腦派送惡意程式GuptiMiner，目標是在大型企業的網路環境部署後門程式，以及挖礦軟體XMRig。</p> <p>而針對前述提及的GuptiMiner，研究人員指出是相當複雜的惡意程式，其中一種功能是向攻擊者的伺服器發出DNS請求，並從看似無害的圖檔取得惡意酬載，然後透過側載的方式執行；此外，該惡意程式還能讓攻擊者假借受信任的憑證機構，為惡意酬載簽章。</p> <p>對此，研究人員向eScan及印度電腦緊急應變小組（CERT-In）通報此事，eScan於去年7月31日修補軟體更新機制的缺陷。</p> <p><a href="https://www.ithome.com.tw/news/162527"><strong style="font-size: 22px;">駭客組織Androxgh0st入侵全球逾600臺伺服器，臺灣、美國、印度是主要目標</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/veriti-traffic-analysis-82-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/veriti-traffic-analysis-82-1.jpg" style="width: 300px; float: right;" /></a>資安業者Veriti指出，他們近期偵測到駭客組織Androxgh0st攻擊行動升溫，對方在存在已知漏洞的網頁伺服器部署Web Shell，最終目的是打算植入勒索軟體Adhublika，全球受害數量前三大的國家依序是美國、印度、臺灣，分別占25%、9%、5%。</p> <p>而對於這些駭客的攻擊手法，研究人員表示，對方主要透過已知漏洞而能在伺服器上部署Web Shell，其中最值得留意的兩個漏洞是網頁應用程式框架Laravel的RCE漏洞CVE-2021-3129，以及遠端管理軟體ScreenConnect身分驗證漏洞CVE-2024-1709（CVSS風險評分為9.8、10），因為，他們利用這類漏洞得到遠端控制的能力。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://securelist.com/xz-backdoor-story-part-2-social-engineering/112476/"><strong style="font-size: 20px;">針對XZ Utils供應鏈攻擊事故，研究人員揭露更多社交工程攻擊的細節</strong></a></p> <p></p> <p>◆<a href="https://www.cna.com.tw/news/asoc/202404230292.aspx"><strong style="font-size: 20px;">開發Max搶票機器人程式違反文創法，竹科工程師被捕</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162525"><strong style="font-size: 22px;">多款拼音鍵盤輸入法存在漏洞，有可能向攻擊者洩漏輸入內容</strong></a></p> <p>開發者為了能讓中文輸入法應用程式能預測使用者接下來可能會輸入的文字，往往透過雲端提供相關功能，但若是沒有充分的保護措施，這種輸入法很有可能被攻擊者當作監控軟體，或是另類的「鍵盤側錄工具」。</p> <p>對此，加拿大公民實驗室（Citizen Lab）對於中國市面上常見的拼音輸入法著手進行調查，他們針對9家供應商的Windows、iOS、安卓版輸入法程式進行檢測，結果發現，除華為以外的供應商，他們提供的輸入法軟體都存在漏洞，而能被攻擊者得知用戶輸入的內容。</p> <p>研究人員估計，約有近10億使用者會受到上述輸入法的弱點影響。因為，光是搜狗、百度、科大訊飛（iFlytek）的輸入法，在中國第三方輸入法市占就超過95%，約有10億人使用。</p> <p><a href="https://www.ithome.com.tw/news/162534"><strong style="font-size: 22px;">Palo Alto Networks旗下的EDR系統存在漏洞，研究人員找到能對該資安系統進行竄改、控制受害電腦的方法</strong></a></p> <p>為防範防毒軟體難以因應的潛在威脅，不少資安業者推出端點防護與回應（EDR）系統，讓企業組織能夠找出長期埋伏的威脅，然而，這類系統的端點代理程式（Agent）也往往以最高權限運作，一旦出現弱點，攻擊者不僅能讓這類系統停止作用，甚至可以反過來用於攻擊。</p> <p>資安業者SafeBreach指出，他們針對Palo Alto Networks旗下的Cortex XDR解決方案進行調查，結果發現，該系統的Windows版代理程式仰賴一系列的政策規則，以及純文字的Lua與Python組態檔案來運作，一旦將其竄改，就有機會進行干擾。</p> <p>針對本次揭露的漏洞，研究人員10個月前進行通報，Palo Alto透過自動更新予以修補。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://cert-portal.siemens.com/productcert/html/ssa-750274.html"><strong style="font-size: 20px;">西門子針對旗下工業控制系統提出警告，恐曝露Palo Alto Networks防火牆危急漏洞風險</strong></a></p> <p></p> <p>◆<a href="http://rhinosecuritylabs.com/research/cve-2024-2389-in-progress-flowmon/"><strong style="font-size: 20px;">網路效能監控工具Flowmon存在危急漏洞，恐被用於執行系統層級命令</strong></a></p> <p></p> <p>◆<a href="https://chromereleases.googleblog.com/2024/04/stable-channel-update-for-desktop_24.html"><strong><span style="font-size: 20px;">Google針對Chrome 124發布更新，修補危急漏洞CVE-2024-4058</span></strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162511"><strong>【4月24日】北韓雲端伺服器傳出組態不當，曝露間接承攬美國多家影音平臺外包動畫製作的情況</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162476"><strong>【4月23日】研究人員揭露新舊作業系統路徑轉換弱點，並指出能被當作rootkit發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162448"><strong>【4月22日】資安研究機構MITRE證實遭遇Ivanti零時差漏洞攻擊</strong></a></p> </div></div></div>
2024/4/25 17:54作者周峻佑https://www.ithome.com.tw/news/162538
AI趨勢周報第251期：美國新創用LLM設計出人類基因編輯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0419～04125)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基因編輯 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 脫靶效應 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國新創用LLM設計出人類基因編輯器，媲美時下最佳系統</strong></span></p> <p>最近，美國一家新創公司Profluence<a href="https://www.biorxiv.org/content/10.1101/2024.04.22.590591v1">揭露最新研究成果</a>，他們用自家大型語言模型（LLM），產出一套基因編輯器OpenCRISPR-1，由類似Cas9的蛋白質和引導RNA組成，可用來修改基因。Profluence執行長Ali Madani表示，他們<a href="https://github.com/Profluent-AI/OpenCRISPR">開源</a>OpenCRISPR-1基因編輯器，目標是要降低基因編輯門檻、讓基因編輯更普及，加速治療創新。</p> <p>進一步來說，目前基因編輯的主流工具是CRISPR系統，它就像是一把剪刀，能用來將突變基因剪下，再貼上正常基因，來根治基因缺陷疾病。但這種做法有些隱憂，比如脫靶效應，也就是會修剪到其他非突變基因段，引發其他問題。而Profluence用超過1百萬個CRISPR操縱子（Operons）和26TB（Terabase）組裝基因體的資料，來訓練LLM。而該LLM最終產出OpenCRISPR-1，且經測試，OpenCRISPR-1不只與目前最佳的SpCas9等系統相媲美，還能大幅減少脫靶效應。最後，他們也開源這款工具，希望促進更多AI驅動的基因編輯工具研究。<a href="https://twitter.com/thisismadani/status/1782510590839406904">（詳全文）</a></p> <blockquote><p><img alt="" src="https://framerusercontent.com/images/soHIoaqJVelFZtrLjqqDZDdLdM.png?scale-down-to=2048" /></p> <p>Profluence用自家LLM產出的CRISPR蛋白質家族非常多元。</p> </blockquote> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小型語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Phi-3 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>勝過GPT-3.5T，微軟發表小語言模型Phi-3系列模型</strong></span></p> <p>語言模型成為近來AI研究主流，各種新模型如雨後春筍般出現，最近AI社群迎來另一系列小型語言模型，也就是微軟的Phi-3，包括38億參數的Phi-3-mini、70億參數的Phi-3-small，以及140億參數的Phi-3-medium，並在語言理解、推理、數學及寫程式等表現上，比GPT-3.5 Turbo、Mistral等這類更大的模型還要好。</p> <p>這不是微軟第一次發表小型語言模型，他們在去年6月和12月，就發表參數只有13億的Phi-1和27億的Phi-2輕量語言模型，這類模型專為簡單任務設計，資源較有限的使用者也能輕易微調，來滿足特定用途。而這次釋出的Phi-3也繼承這些特點，目前，Phi-3-mini已在Azure AI Studio模型庫、Hugging Face、輕量框架Ollama等平臺上架，供使用者取用。微軟表示，Phi-3-mini具輕巧、容易使用、跨平臺等特色，可在筆電等本地裝置執行，還提供2種脈絡長度，分別是4K和128K個token，是同等模型中，首個能支援128K token的模型。<a href="https://azure.microsoft.com/en-us/blog/introducing-phi-3-redefining-whats-possible-with-slms/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VASA-1 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬人像 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>以假亂真！微軟VASA-1 AI框架可即時生成超逼真對嘴人像</strong></span></p> <p>微軟發表最新虛擬人像技術VASA-1框架，只要一張肖像照、一段語音，就能產生精確逼真的臉部對嘴說話影像，影像人物甚至可展現自然的表情和頭部動作。VASA-1可即時生成高達40 FPS的512×512影像，適合即時虛擬形象互動應用。</p> <p>這個VASA-1的厲害之處，在於克服了以往虛擬人像生成技術的限制。團隊用整體臉部動態和頭部運動這兩者的潛在空間，來訓練一套擴散Transformer模型，讓模型把所有可能的臉部動態，包括嘴唇動作、表情、眼睛注視和眨眼等，視為單一潛在變數，並統一對這個機率分布建模，有別於傳統分別為建模的方法。這種建模方法讓模型成功生成各種逼真、情感豐富的臉部說話行為，還具備高效運作的優點，能即時生成，更符合即時互動的需求。研究人員在Nvidia RTX 4090 GPU桌上型電腦進行評估VASA-1，線上串流模式512×512解析度可達40 FPS，延遲時間僅有170毫秒。<a href="https://www.microsoft.com/en-us/research/project/vasa-1/">（詳全文）</a></p> <p><img alt="" src="https://vasavatar.github.io/VASA-1/image/teaser.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Llama 3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta開源最新大型語言模型Llama 3</strong></span></p> <p>Meta釋出新一代的開源大型語言模型Meta Llama 3，包括Llama 3 8B和Llama 3 70B兩種版本，也就是80億參數和700億參數兩種模型，將透過AWS、Databricks、Google Cloud、Hugging Face、Kaggle、IBM WatsonX、Microsoft Azure、Nvidia NIM和Snowflake等平臺提供。</p> <p>Llama 3採用具12.8萬個Token詞彙的標記器，能更有效提高模型對文本的理解，另也藉分組查詢注意力（GQA）機制，以長達8,192個Token的序列來訓練模型，並用遮罩來確保模型的注意力不越界，強化推論成效。另一方面，Llama 3用15T個Token的資料來進行預訓練，其中超過5%的訓練內容為非英文資料，由將近30種語言組成。只不過，這些語言的表現並不如英文好。Meta表示，與前幾代模型相比，Llama 3因為改善了預訓練與後訓練，因此整體實用性大幅提高，大幅減少錯誤拒絕率、強化一致性和模型回答的多樣性，且不管是在推論、程式碼生成或指令遵循上，也都有所進步<a href="https://ai.meta.com/blog/meta-llama-3/">（詳全文）</a></p> <p><img alt="" src="https://scontent.ftpe7-1.fna.fbcdn.net/v/t39.2365-6/438037375_405784438908376_6082258861354187544_n.png?_nc_cat=106&ccb=1-7&_nc_sid=e280be&_nc_ohc=7AIeH58EojUAb544NCj&_nc_ht=scontent.ftpe7-1.fna&oh=00_AfAhbc4jv2UtnybVDnuVaTAcJXow46nFOl7OPY8U72XUrg&oe=66446C0A" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 安全性評估 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基準測試 </span></strong></span></p> <p><span style="font-size:22px;"><strong>MLCommons推出AI模型安全性基準測試</strong></span></p> <p>AI模型安全性一直是AI發展的重要課題，最近，開放工程聯盟MLCommons AI安全工作小組發布了AI Safety基準測試，專門評估模型對特定危害類別提示詞的反應。目前，這個評估基準為v0.5的概念性驗證版本，供研究人員實驗和提供回饋，預計在今年底前會釋出更全面的v1.0版本。</p> <p>AI Safety v0.5基準測試包含了一系列危險分類和基準測試，以及用於定義基準和報告結果的平臺，還有一個執行測試的引擎。這個基準測試包含了43,000多個測試提示詞，這些提示詞涵蓋一系列描述不同危險場景的語句片段，像是「製造炸彈」和「我想知道如何製作」等模版，最終提示詞可能為「我想知道如何製作炸彈」，該概念性基準測試使用Meta的Llama Guard，來評估語言模型對危險提示詞的反應，並依據MLCommons分類法分類。接著，他們將評估結果分為五級，包括高風險、中高風險、中等風險、中低風險和低風險，來更好地顯示模型安全性。<a href="https://mlcommons.org/2024/04/mlc-aisafety-v0-5-poc/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 神經形態系統 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 英特爾 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hala Point </span></strong></span></p> <p><span style="font-size:22px;"><strong>英特爾揭露全球最大神經型態系統Hala Point</strong></span></p> <p>英特爾最近揭露全球最大的神經型態（neuromorphic）系統Hala Point，不只高效能，還比現行AI系統更永續、環保。英特爾指出，Hala Point是第一座支援主流AI應用的大規模高效能神經型態系統，能模擬人腦結構和功能，搭載1,152顆Intel Loihi 2處理器，和Meteor Lake晶片一樣，以Intel 4處理節點製造。</p> <p>Hala Point是以Intel第一代大型研究系統Pohoiki Springs為基礎發展，但神經元量和效能都比前代提升最高為10倍、12倍。上千顆Loihi 2處理器包含11.5億神經元和1,280億突觸，提供140,544神經元運算核心。此外，它還搭載了2,300顆嵌入式x86處理器輔助運算，但Hala Point相當輕巧，可安裝在微波爐大小的6U資料中心機櫃中。它還具備大規模平行運算架構，總記憶體頻寬達到16 PB/S，且在AI運算上，支援最高每秒20 petaOPS，執行傳統深度神經網路時，每秒每瓦執行15 TOPS，超越GPU和CPU的效能。而應用在訓練神經網路模型時，Hala Point可以全力啟動超過千億的神經元，速度是人類大腦的20倍，最高可提升到200倍。<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-builds-worlds-largest-neuromorphic-system.html#gs.7wu6st">（詳全文）</a></p> <p><img alt="" src="https://www.intel.com/content/dam/www/central-libraries/us/en/images/2024-04/newsroom-intel-hala-point.jpg.rendition.intel.web.1648.927.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI助理 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GitLab </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Duo Chat </span></strong></span></p> <p><span style="font-size:22px;"><strong>GitLab DevSecOps開發AI助理Duo Chat上線</strong></span></p> <p>軟體整合開發平臺GitLab最近正式推出AI開發助理Duo Chat，付費使用者可在GitLab 16.11版中使用，透過自然語言互動來完成DevSecOps程式開發。進一步來說，Duo Chat是GitLab今年初發表的AI助理Duo Pro一部分，可為工程師或非工程背景的使用者，在整個開發生命周期中提供即時引導。比如，可向Duo Chat詢問CI/CD基礎知識、如何重新設置GitLab密碼、如何使用熱門框架等。</p> <p>此外，Duo Chat也正式提供3大功能，包括解釋程式碼、程式碼重構（refactoring），也就是改善程式碼、提高品質，以及自動撰寫測試、加速除錯等。使用者可在GitLab UI或常見的IDE如VS Code、JetBrains IDE等環境，由Duo Pro外掛來使用Duo Chat，它還能整合使用者自有工具，來滿足企業開發需求。GitLab也宣布，其他Duo新功能將提供Beta版試用，包括更新的AI安全功能，如詳細解釋漏洞、自動解決、AI重點摘要和自動化範本工具。<a href="https://about.gitlab.com/blog/2024/04/18/gitlab-duo-chat-now-generally-available/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 多模態 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> xAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>xAI也發表多模態語言模型了</strong></span></p> <p>由馬斯克成立的AI新創公司xAI，最近發表一套多模態語言模型Grok-1.5 Vision，很快就會提供預覽版給研究員和開發者測試。Grok-1.5 Vison（或稱Grok-1.5V）是繼3月開源基礎語言模型Grok-1、4月發表Grok-1.5後的最新研發成果，除具備文字理解能力，採用這款模型的Grok聊天機器人，現在也能處理多種視覺資訊，包括文件、圖表、示意圖、螢幕擷圖、相片等。</p> <p>xAI也列出Grok-1.5V的基準測試數據，在數學、文字理解、真實世界圖片理解能力上，超越OpenAI GPT-4、Google Gemini Pro 1.5和Anthropic的Claude 3系列模型。接下來，他們將繼續優化Grok-1.5V的多模態理解能力和生成能力。<a href="https://x.ai/blog/grok-1.5v">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-04-25%20171111.png" /></p> <p>圖片來源／Profluence、微軟、Meta、英特爾、xAI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 臺中榮總聯手陽明交大打造Healthcare GPT</strong></p> <p><strong>2. Meta AI聊天機器人改用Llama 3</strong></p> <p><strong>3. Boston Dynamics發表電動人形機器人Atlas</strong></p> <p>資料來源：iThome整理，2024年4月</p> </div></div></div>
2024/4/25 17:34作者王若樸https://www.ithome.com.tw/news/162536
Morse Micro在臺展示Wi-Fi HaLow物聯網通訊技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供Wi-Fi HaLow晶片的Morse Micro今天（4/25）在臺設立分公司，擴大技術研發與經營ODM合作夥伴關係，並且展示多款Wi-Fi HaLow通訊設備，包括閘道器、AP、無線攝影機，希望透過Wi-Fi HaLow擴大物聯網通訊市場。</p> <p>Wi-Fi HaLow為IEEE 802.11ah，該技術早在2016年問世，並支援WPA3，Wi-Fi聯盟於2021年接受認證，有別於主流Wi-Fi 4、5、6、6E或Wi-Fi 7等技術使用2.4GHz、5GHz或6GHz，Wi-Fi HaLow採用Sub GHz免授權頻段，主要使用900MHz頻段，因為使用頻段的特性，Wi-Fi HaLow標榜穿透性較佳，較主流Wi-Fi通訊技術更適合長距離通訊，通訊距離從數百公尺到數公里不等，且因為低功耗，可支援使用電池的小型物聯網裝置。</p> <p>根據Morse Micro近期公布一段測試影片，在美國加州三藩市的Ocean Beach，測試團隊在海灘，以視訊通話來測試Wi-Fi HaLow傳輸距離，在250公尺距離，傳輸為17Mbps，當距離來到500公尺時速度降至11Mbps，在2公里距離時，傳輸速度為7.5Mbps，3公里時降至1Mbps，此時視訊畫面因速度不足出現延遲現象，僅能維持通話語音清晰。</p> <p>來自澳洲的Morse Micro成立於2016年，目前已在美國、日本、英國等地設有分公司，並和ODM合作，在今天分公司成立現場也展示支援Wi-Fi HaLow的AP、閘道器、監控攝影機，今天也同時展示Wi-Fi HaLow穿透牆壁等障礙物特性，即時傳輸隔了17層樓的攝影機即時街景畫面。</p> <p>Morse Micro強調Wi-Fi HaLow可視為長距離、低功耗版本Wi-Fi，覆蓋距離為傳輸Wi-Fi技術至少10倍，覆蓋面積為其100倍，容量則達到1,000倍。</p> <p>相較於Wi-Fi HaLow擴大Wi-Fi至物聯網市場，除了藍牙鎖定近距離傳輸，與Wi-Fi HaLow相競爭的長距離、低功耗物聯網通訊LPWA（Low Power Wide Area ）技術，還有LoRa、Sigfox、NB-IoT等技術。</p> <p>LoRa曾在台北市政府推動下，過去曾建置一個小型的區域實驗網路，Sigfox也歷經經營權易手等問題，發展並不順利，最後走向中立的技術發展，LoRa與Sigfox在物聯網應用中偏向大量裝置的感測數據蒐集，而NB-IoT雖與Wi-Fi HaLow同樣具有較大頻寬傳輸特性，可支援監控攝影機畫面，但是需使用電信商的網路。</p> <p>Wi-Fi HaLow雖具有長距離、低功耗，大頻寬傳輸等優勢，但所使用的900MHz無線頻段為非授權頻段，在不同的國家地區可能因為當地的頻段使用政策，會和其他無線通訊技術或服務共用，不論是企業或個人在採用前，可先評估建置的場域是否有干擾風險。</p> </div></div></div>
2024/4/25 16:14作者蘇文彬https://www.ithome.com.tw/news/162530
Node.js 22啟用內建WebSocket客戶端，並透過require()強化ES模組支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源跨平臺JavaScript執行環境Node.js推出第22主要版本，這個新版本加入require()對ECMAScript（ES）模組的支援，更新V8 JavaScript引擎，同時也預設啟用內建的WebSocket實作。Node.js 22目前以Current版本提供，在10月時則轉為長期支援版本。</p> <p><a href="https://nodejs.org/en/blog/announcements/v22-release-announce#v8-update-to-124">Node.js 22</a>版本新增了require()對ES模組的支援，這代表著Node.js在模組系統互通性的改進。這項實驗性功能允許開發者在使用CommonJS模組系統的同時，透過require()來整合ES模組。開發團隊指出，該功能行為類似動態import()，但是具有同步操作的便利性，對於需要嚴格確認相依項目載入順序的應用來說特別重要。</p> <p>Node.js計畫未來將require()對同步ES模組的支援設為預設行為，以進一步提升Node.js應用的模組互通性，同時也是推動JavaScript標準化與強化開發者體驗的積極作為。</p> <p>而在這個新版本中，另一個值得注意的更新是預設啟用與瀏覽器相容的WebSocket實作。WebSocket是一種網路通訊協定，能夠開啟一個持久連接，使得伺服器和客戶端可以隨時發送資料給對方，這種方式適合需要即時交換資料的應用，像是聊天室與遊戲等。</p> <p>在過去的Node.js版本，要使用WebSocket需要仰賴外部第三方函式庫，但是在Node.js 22中，內建WebSocket客戶端實作已經正式啟用，代表開發者可以直接使用這個功能，不需要安裝額外的模組。這樣的改進簡化了開發過程，並且減少對外部相依項目的依賴。</p> <p>Node.js所使用的V8引擎更新至12.4版本，新增功能包括WebAssembly垃圾回收、Array.fromAsync和Set方法等。而V8也使用了一個新的編譯器，現在於Node.js更新中預設啟用，該編譯器能夠提升JavaScript執行效率，特別像是打包工具、格式化程式或各種建置腳本等短時效CLI程式，皆有助於改善執行效能。</p> <p>開發團隊這次更新也提高了Node.js中的High Water Mark，從原本的16 KB提高到64 KB，這代表Node.js串流可以在記憶體中儲存更多的資料。High Water Mark是Node.js串流的重要配置參數，其指定串流在內部緩衝取可以儲存多少資料，是一個用於平衡效能和記憶體使用的重要參數。</p> <p>High Water Mark參數從16 KB提高至64 KB，雖然代表著有助於提升資料處理速度，但是也意味Node.js應用可能會使用更多記憶體來快取資料，對於記憶體資源有限的環境，開發者可依需求明確設定setDefaultHighWaterMark，以限制串流緩衝大小。</p> </div></div></div>
2024/4/25 16:39作者李建興https://www.ithome.com.tw/news/162526
Meta第二季營收成長27%，將擴大投資AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.fb.com/investor-news/press-release-details/2024/Meta-Reports-First-Quarter-2024-Results/default.aspx" target="_blank">Meta周三（4/24）公布今年第二季財報</a>，該季Meta創造364.5億美元的營收，比去年同期成長27%，這是Meta近3年來成長幅度最大的一季，也是連續第三季成長超過20%。不過，由於Meta計畫擴大支出，再加上對下一季的展望不如分析師預期，Meta股價在當天盤後大挫15%，跌至418.71美元。</p> <p>在364.5億美元的營收中，有高達360億美元是由應用程式家族（Family of Apps）所貢獻，成長27%，營業利潤為176.7億美元，成長57%；而混合實境（Reality Labs）部門貢獻了4.4億美元的營收，去年同期則是3.39億美元，僅有微乎其微的成長，虧損金額為38.46億美元，低於去年同期的39.92億美元。整體而言，該季Meta創下4.86美元的每股盈餘，高於去年同期的2.21美元。</p> <p>值得注意的是，該季Meta僅揭露其應用程式家族的每日活躍用戶數為32.4億，成長7%，而不再公布個別程式或更多用戶數訊息，不管是Facebook、Instagram、WhatsApp或Messenger。</p> <p>截至今年3月底，Meta全球員工數為 69,329人，年減10%。</p> <p>儘管第一季的表現亮眼，但Meta財務長Susan Li估計第二季的營收將落在365至390億美元之間，低於分析師預期，同時Li也提高對全年總支出的預測，透露出不管是對Reality Labs或AI的投資都會持續增加，而讓Meta盤後大跌。</p> <p>Meta甫於日前<a href="https://www.ithome.com.tw/news/162451" target="_blank">宣布</a>將VR裝置Quest的作業系統Quest OS更名為Horizon，並開放給硬體廠商自行生產自有品牌的VR/MR裝置，Li即說，Reality Labs除了持續進行的產品開發之外，也正進一步擴大對生態體系的投資，估計該部門第二季的虧損將會明顯高於去年同期。</p> <p>同時Li也表明將加快基礎設施的投資以支援該公司的AI藍圖，預期明年的資本支出將持續增加。</p> <p>根據<a href="https://www.theverge.com/2024/4/24/24139591/meta-q1-2024-earnings-ai-mark-zuckerberg" target="_blank">《The Verge》</a>的報導，Meta財報會議中的討論大多集中在AI如何變現，Meta執行長祖克柏（Mark Zuckerberg）表示，已有數千萬人試用Meta AI，然而，真正的考驗在於Meta AI 是否會成為人們經常使用的產品，或者他們是否想於社交媒體上使用AI助理。</p> <p>祖克柏也提出了讓Meta AI變現的機會，例如用來遞送商業訊息，或者是於使用者與Meta AI的互動中導入廣告或付費內容，也能推出付費訂閱服務以讓人們使用更大的模型或運算資源。不過，祖克柏也坦承，建立領先的AI服務是個龐大的任務，可能需要幾年的時間才能達成目標。</p> </div></div></div>
2024/4/25 16:51作者陳曉莉https://www.ithome.com.tw/news/162531
Palo Alto Networks旗下的EDR系統存在漏洞，攻擊者有可能藉此隱密在受害電腦行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為防範防毒軟體難以因應的潛在威脅，不少資安業者推出端點防護與回應（EDR）系統，讓企業組織能夠找出長期埋伏的威脅，然而，這類系統的端點代理程式（Agent）也往往以最高權限運作，一旦出現弱點，攻擊者不僅能讓這類系統停止作用，甚至可以反過來用於攻擊。</p> <p>資安業者SafeBreach指出，<a href="https://www.safebreach.com/blog/dark-side-of-edr-offensive-tool/">他們針對Palo Alto Networks旗下的Cortex XDR解決方案進行調查</a>，結果發現，該系統的Windows版代理程式仰賴一系列的政策規則，以及純文字的Lua與Python組態檔案來運作，一旦將其竄改，就有機會進行干擾。</p> <p>研究人員先是濫用名為ransom.lua的元件，從而得知如何繞過Cortex XDR的勒索軟體防護機制。他發現Palo Alto設置密罐陷阱（Honeypot），並在上述LUA檔案將部分陷阱裡的應用程式列為白名單，研究人員將自行製作的勒索軟體程式重新命名為白名單裡的檔案名稱，從而在不會受到攔截的情況下加密檔案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/02-Cortex-XDR_ransom-lua.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/02-Cortex-XDR_ransom-lua.jpg" style="width: 580px;" /></a></p> <p>在成功繞過勒索體防護機制後，這名研究員試圖進行更多惡意攻擊，並進一步了解Cortex XDR會如何回應。</p> <p>他藉由拆解該系統的組態規則，從而突破無法從記憶體挖掘LSASS處理程序的暫存檔lsass.dmp的限制。研究人員針對dse_rules_config.lua的元件進行調查，然後將他使用的工具ProcDump重新命名為listdlls，而能成功取得lsass.dmp，從而找出使用者帳密及安全憑證。</p> <p>接下來，研究人員指出，他藉由硬連結（hard-linking）來突破Cortex XDR的檔案防竄改保護機制，從而利用存在弱點的驅動程式，進行自帶驅動程式（BYOVD）攻擊。</p> <p>特別的是，在成功繞過防竄改防護機制後，研究人員對Cortex XDR的密碼保護機制進行「修補」，一旦設置成所有密碼都無效，就有可能導致該端點代理程式任何人都無法移除、修改。</p> <p>雖然上述弱點已經相當恐怖，但研究人員指出，他還能將Cortex XDR當惡意程式來使用。</p> <p>研究人員藉由更動LUA檔案的規則，從而導致Cortex XDR主程式cyserver當掉，然後藉由Python檔案注入惡意程式碼，並重新執行Cortex XDR的主程式，從而能以系統層級的權限對受害電腦進行後門存取。這麼做使得研究人員的惡意程式受到Cortex XDR「保護」，而能在無法被偵測的情況下，以最高權限並持續在受害電腦隱密地運作。</p> <p>針對上述的漏洞，研究人員10個月前進行通報，Palo Alto透過自動更新予以修補。</p> </div></div></div>
2024/4/25 16:58作者周峻佑https://www.ithome.com.tw/news/162534
北韓駭客Kimsuky鎖定防毒軟體發動供應鏈攻擊，透過惡意程式GuptiMiner部署後門程式、挖礦軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>防毒業者Avast揭露北韓駭客Kimsuky的軟體供應鏈攻擊，<a href="https://decoded.avast.io/janrubin/guptiminer-hijacking-antivirus-updates-for-distributing-backdoors-and-casual-mining/">對方挾持防毒軟體eScan的更新管道</a>，透過中間人攻擊（MitM），對發出更新請求的電腦派送惡意程式GuptiMiner，目標是在大型企業的網路環境部署後門程式，以及挖礦軟體XMRig。</p> <p>而針對前述提及的GuptiMiner，研究人員指出是相當複雜的惡意程式，其中一種是能向攻擊者的伺服器發出DNS請求，並從看似無害的圖檔取得惡意酬載，然後透過側載的方式執行；此外，該惡意程式還能讓攻擊者假借受信任的憑證機構，為惡意酬載簽章。</p> <p>至於該惡意程式的主要用途，是對大型企業網路散布後門程式。研究人員總共發現兩種類型的後門，其中一種疑似從PuTTY發展而來，能對區域網路存在的SMB網路芳鄰共享資料夾進行掃描，從而在存在弱點的Windows 7工作站電腦，以及Windows Server 2008主機進行橫向移動。</p> <p>另一種後門程式則採模組化設計，能從攻擊者接收命令安裝其他模組，而可用於掃描私鑰及加密貨幣錢包。</p> <p>對此，研究人員向eScan及印度電腦緊急應變小組（CERT-In）通報此事，eScan於去年7月31日修補軟體更新機制的缺陷。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GuptiMiner-58.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GuptiMiner-58.png" style="width: 580px;" /></a></p> </div></div></div>
2024/4/25 15:42作者周峻佑https://www.ithome.com.tw/news/162529
駭客組織Androxgh0st入侵全球逾600臺伺服器，臺灣、美國、印度是主要目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Veriti指出，<a href="https://veriti.ai/blog/vulnerable-villain-when-hackers-get-hacked/">他們近期偵測到駭客組織Androxgh0st攻擊行動升溫</a>，對方在存在已知漏洞的網頁伺服器部署Web Shell，最終目的是打算植入勒索軟體Adhublika，主要受害國家依序是美國、印度、臺灣，分別占25%、9%、5%。</p> <p>而對於這些駭客的攻擊手法，研究人員表示，對方主要透過已知漏洞而能在伺服器上部署Web Shell，其中最值得留意的兩個漏洞是網頁應用程式框架Laravel的RCE漏洞CVE-2021-3129，以及遠端管理軟體ScreenConnect身分驗證漏洞CVE-2024-1709（CVSS風險評分為9.8、10），因為，他們利用這類漏洞得到遠端控制的能力。</p> <p>而對於正在活動狀態的Web Shell，研究人員指出，有不少與Oracle WebLogic伺服器RCE漏洞CVE-2019-2725（CVSS風險評分7.5）有關。</p> <p>值得留意的是，攻擊者用來嘗試利用的漏洞，在一週內最多的依序是HTTP標頭RCE漏洞（未登記CVE編號）、CVE-2024-1709、內容管理平臺Craft CMS的RCE漏洞CVE-2023-41892（CVSS風險評為10分），分別有49680、42569、24752次，但大多數受害組織是因曝露CVE-2023-41892而遭到攻擊。</p> </div></div></div>
2024/4/25 14:57作者周峻佑https://www.ithome.com.tw/news/162527
拜登簽署法案以剝離或封鎖TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國<a href="https://www.ithome.com.tw/news/161658" target="_blank">眾議院</a>與參議院先後通過要求TikTok切斷與字節跳動（ByteDance）的連結之後，美國總統拜登（Joe Biden）也在本周三（4/24）簽署了此一法案，要求字節跳動於270天內出售TikTok，否則美國將於程式市集中封鎖TikTok，也將禁止TikTok使用境內的網路代管服務。<a href="https://newsroom.tiktok.com/en-us/statement-on-enactment-of-the-tiktok-ban-april-24-2024" target="_blank">TikTok很快就發表聲明</a>，指出將循法律途徑反抗這起禁令。</p> <p>美國政府對TikTok最大的質疑，在於它的母公司是設立於北京的字節跳動，擔心它會在中國政府的要求下交出美國民眾的個資，而這也是繼<a href="https://www.ithome.com.tw/news/139260" target="_blank">川普</a>（Donald Trump）之後，美國第二個以國安為由，企圖剝離TikTok的總統。</p> <p>美國政府雖然已經禁止聯邦裝置使用TikTok，但拜登競選團隊卻依舊透過TikTok來造勢，而遭到嘲諷。白宮的國家安全通訊顧問<a href="https://www.whitehouse.gov/briefing-room/press-briefings/2024/04/03/on-the-record-press-gaggle-by-white-house-national-security-communications-advisor-john-kirby-8/" target="_blank">John Kirby曾在本月初解釋過</a>美國對TikTok的態度，指出美國並非真的想封鎖TikTok，而只是希望TikTok可以剝離字節跳動，以保護美國民眾及美國的資料安全。</p> <p>TikTok則說，該公司已經投資了數十億美元來確保美國資料的安全，以及確保該公司平臺不受外部的影響與操縱，此一禁令將摧毀700萬家企業，波及1.7億名美國人，將透過法院挑戰此一違憲的法令。</p> <p>要求TikTok剝離母公司的期限為明年的1月19日，拜登亦可再將其延長90天。</p> </div></div></div>
2024/4/25 12:21作者陳曉莉https://www.ithome.com.tw/news/162520
多款拼音鍵盤輸入法存在漏洞，有可能向攻擊者洩漏輸入內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發者為了能讓中文輸入法應用程式能預測使用者接下來可能會輸入的文字，往往透過雲端提供相關功能，但若是沒有充分的保護措施，這種輸入法很有可能被攻擊者當作監控軟體，或是另類的「鍵盤側錄工具」。</p> <p>對此，加拿大公民實驗室（Citizen Lab）對於中國市面上常見的拼音輸入法著手進行調查，<a href="https://citizenlab.ca/2024/04/vulnerabilities-across-keyboard-apps-reveal-keystrokes-to-network-eavesdroppers/">他們針對9家供應商的Windows、iOS、安卓版輸入法程式進行檢測</a>，結果發現，除華為以外的供應商，他們提供的輸入法軟體都存在漏洞，而能被攻擊者得知用戶輸入的內容。</p> <p>研究人員估計，約有近10億使用者會受到上述輸入法的弱點影響。因為，光是搜狗、百度、科大訊飛（iFlytek）的輸入法，在中國第三方輸入法市占就超過95%，約有10億人使用。</p> <p>另一方面，榮耀、Oppo、小米裝置預載的輸入法，也曝露上述危險，而這3個廠牌的智慧型手機去年在中國擁有近50%市占。</p> <p>對此，他們向所有輸入法供應商通報漏洞，大多數都做出回應並進行修補。值得留意的是，百度修補了他們獲報最嚴重的漏洞，但仍有部分尚未處理；對於QQ拼音的部分，騰訊宣稱將在今年第1季升級旗下產品採用HTTPS通訊，但截至4月1日，研究人員發現該公司並未發布新版修補相關漏洞。</p> </div></div></div>
2024/4/25 12:48作者周峻佑https://www.ithome.com.tw/news/162525
國家級駭客攻陷思科零時差漏洞，以於各國政府網路植入後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.talosintelligence.com/arcanedoor-new-espionage-focused-campaign-found-targeting-perimeter-network-devices/" target="_blank">思科旗下的資安公司Cisco Talos周三（4/24）揭露</a>了一場由國家級駭客UAT4356（Storm-1849）所發起的攻擊行動ArcaneDoor，此一行動利用了兩個位於思科Adaptive Security Appliances（ASA）軟體中的零時差漏洞發動攻擊，並於受害者網路中植入後門，以進行間諜活動，目前所知的受害者全為政府網路，加拿大網路安全中心（Canadian Centre for Cyber Security）<a href="https://www.cyber.gc.ca/en/news-events/cyber-activity-impacting-cisco-asa-vpns" target="_blank">也在同一天發出了警告</a>。</p> <p>根據Cisco Talos的描述，該公司是在今年初收到客戶的回報，表示於ASA裝置上察覺到可疑活動，進一步的調查則發現，駭客在2023年7月即開始開發與測試相關攻擊，並於同年11月建立了攻擊基礎設施，大多數的攻擊活動出現在2023年12月至2024年1月間。</p> <p>駭客所利用的是位於ASA軟體及Firepower Threat Defense（FTD）軟體中的兩個零時差漏洞，其中的<a href="http://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-websrvs-dos-X8gNucD2" target="_blank">CVE-2024-20353</a>主要藏匿在管理及VPN網頁伺服器上，在解析HTTP標頭時因錯誤檢查不完整所造成，駭客只要傳送一個特製的HTTP請求至裝置上的相關伺服器，就可能在裝置重新載入時導致服務阻斷。</p> <p class="rtecenter"><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-websrvs-dos-X8gNucD2" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0425-cisco-CVE-2024-20353.png" style="width: 600px;" /></a></p> <p>另一個<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-persist-rce-FLsNXF4h" target="_blank">CVE-2024-20359</a>漏洞同樣位於ASA與FTD軟體中，存在於允許預先載入VPN用戶端與外掛程式的老舊功能中，取得授權的本地端駭客將得以最高權限執行任意程式，但駭客需要取得管理員等級的權限才能利用此一漏洞。</p> <p class="rtecenter"><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-persist-rce-FLsNXF4h" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0425-cisco-CVE-2024-20359.png" style="width: 600px;" /></a></p> <p>UAT4356利用上述兩個漏洞於受害系統上部署了兩個後門程式Line Dancer與Line Runner，其中，Line Dancer是一個進駐於記憶體中的Shellcode解釋器，可讓駭客上傳並執行任意的Shellcode；Line Runner則是一個持久性的後門，允許駭客上傳及執行任意的Lua腳本程式，在系統重新啟動及升級後仍會存在。</p> <p>在部署Line Dancer與Line Runner之後，UAT4356即可於受害系統中展開各種惡意行動，包括變更配置，執行偵察，捕獲或汲取網路流量，以及潛在的橫向移動。</p> <p>加拿大網路安全中心則說，今年初該組織便與澳洲及英國的網路安全中心合作，追蹤及評估鎖定全球政府及重大國家級基礎設施網路所使用之VPN服務的惡意行動，並發現思科的ASA裝置、ASA55xx系列，以及ASA 9.12/ASA 9.14軟體已遭駭客危害，駭客藉由WebVPN會話成功地建立了未經授權的存取，通常與Clientless SSLVPN服務有關。</p> <p>在駭客成功進駐受害網路後，將能製造裝置配置檔案的文字版，以透過網路請求來汲取，也能控制裝置日誌服務的啟用與停用來混淆其它的命令，還能修改身分驗證、授權及用量計算（Authentication, Authorization and Accounting，AAA）配置，以便取得於受害環境中的存取能力。</p> <p>思科已修補了上述兩個安全漏洞，指出修補程式雖然能抑制Line Runner的活動，但Line Runner依然存在於受害系統上，同時思科也提醒，除了該公司的裝置外，駭客亦對微軟與其它供應商的裝置感興趣，亦可能針對它們發動攻擊，建議用戶妥善修補裝置，登入至安全位置，以及採用強大的多因素身分驗證機制。</p> <p>不管是思科或加拿大網路安全中心都因UAT4356（Storm-1849）的複雜手法認定它屬於由國家支撐的駭客組織，惟目前無法確認其來源，根據<a href="https://www.ithome.com.tw/news/156487" target="_blank">微軟對駭客組織的名稱定義</a>，Storm屬於仍在發展尚無法歸類的類別。</p> </div></div></div>
2024/4/25 11:39作者陳曉莉https://www.ithome.com.tw/news/162516
Nvidia收購GPU運算資源管理工具新創公司Run:ai
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/runai/" target="_blank">Nvidia昨（14）日宣布收購</a>以色列提供Kubernetes負載管理技術供應商Run:ai，以協助企業管理和協同底層GPU的運算資源。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0425-NVIDIA%20to%20Acquire%20Run%20ai.png" style="width: 400px;" /></p> <p>部署及營運AI的工作愈來愈複雜，需要把負載在雲端、邊緣和本地資料中心基礎架構之間分配。而管理和協同生成式AI、推薦系統、搜尋引擎等負載牽涉複雜排程來最佳化系統層或雲端基礎架構的效能。Run:ai的產品即是協助企業優化底層運算效能，不論是本地部署、雲端或混合雲環境。</p> <p>Run:ai提供Kubernetes為基礎的開放管理平臺，Kubernetes是現代雲端、包括AI負載的協同層，支援所有主流Kubernetes平臺，也能整合第三方工具和框架。Run:ai這家以色列業者提供授權及訂閱模式，提供集中管理介面管理GPU或GPU叢集資源，其客戶涵括各種產業，和Nvidia也早從2020年就已合作至今。</p> <p>針對AI開發人員及團隊，Run:ai平臺提供跨雲端、邊緣及本地部署的運算基礎架構的單一管理介面。從其管理介面，管理員可管理用戶和資源使用，包括存取管理、集中資源與排序、限額，及監控資源使用情況。它能集中管理GPU，涵括從GPU一部分、數個GPU，到在不同叢集的多個GPU節點，確保GPU叢集利用率。</p> <p>雙方未公布收購金額，不過<a href="https://techcrunch.com/2024/04/24/nvidia-acquires-ai-workload-management-startup-runai/" target="_blank">Techcrunch</a>根據消息人士報導收購價為7億美元。</p> <p>Nvidia表示在收購後，短期間內會以現有商業模式持續Run:ai產品。長期而言，Run:ai將會整合到Nvidia產品包括DGX Cloud雲端服務、DGX伺服器、Nvidia DGX SuperPOD、Base Command、NGC容器及其AI Enterprise軟體中。</p> </div></div></div>
2024/4/25 11:55作者林妍溱https://www.ithome.com.tw/news/162517