iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】5月17日，研究人員公布GE超音波醫療設備一系列漏洞，並用來植入勒索軟體進行驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來醫療設備的資訊安全逐漸受到重視，有不少研究人員公布他們的分析結果，攻擊者很有可能藉此得知病人的資料，甚至是竄改儀器量測的結果。</p> <p>例如，最近資安業者Nozomi Networks揭露GE HealthCare超音波醫療設備的漏洞，他們表示，雖然攻擊者必須實際接觸設備，才能利用他們發現的漏洞，但這些設備通常會放置於公開的環境，一旦出現無人看管的空檔，就有機會對其下手。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162951"><strong style="font-size: 22px;">研究人員揭露GE HealthCare超音波醫療設備漏洞，並指出能被用於部署惡意程式、搜刮病人檢查結果</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6642fb1af8010eb6f34b3443_ransomw.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6642fb1af8010eb6f34b3443_ransomw.jpg" style="width: 300px; float: right;" /></a>資安業者Nozomi Networks揭露GE HealthCare旗下的Vivid Ultrasound系列超音波醫療設備弱點，他們總共找到11個漏洞，並指出這些漏洞將會造成多種層面的影響，例如，竊取病人檢測資料，甚至攻擊者有機會在設備上植入勒索軟體。</p> <p>研究人員指出，攻擊者若要利用他們發現的漏洞，必須實際存取該醫療設備，因為過程中需要透過設備上的鍵盤及觸控板進行操作。不過，這也不能代表用戶就能掉以輕心，因為，攻擊者只需1分鐘的時間，就足以植入惡意程式，這也代表這類設備最好隨時都要有人看管，才能減少曝險的機會。</p> <p>他們針對心臟超音波影像系統Vivid T9進行調查，並重點放在預載的網頁應用程式Common Service Desktop，以及安裝於Windows工作站電腦的應用程式EchoPAC，該軟體的主要功能，是讓醫生能夠檢視上述系統取得的超音波影像。結果他們發現了11個漏洞，其中的寫死帳密弱點CVE-2024-27107為重大層級，CVSS風險評分最高，達到了9.6分。</p> <p><a href="https://www.ithome.com.tw/news/162952"><strong style="font-size: 22px;">VMware修補單機PC虛擬化軟體的高風險漏洞</strong></a></p> <p>5月14日VMware發布資安公告，指出旗下的虛擬化平臺VMware Workstation、Fusion存在4項漏洞，他們發布VMware Workstation 17.5.2、Fusion 13.5.2予以修補。</p> <p>這些漏洞當中，最嚴重的是評為重大層級的CVE-2024-22267，從虛擬藍牙裝置元件（vbluetooth）發現，為記憶體釋放後又再存取使用（Use After Free）的漏洞，攻擊者一旦取得本機管理員權限，就有機會對虛擬機器利用這項漏洞，藉由主機上的VMX處理程序，在虛擬機器上執行程式碼，CVSS風險評分為9.3。</p> <p>另外3個漏洞CVE-2024-22268、CVE-2024-22269、CVE-2024-22270，危險程度皆為高風險層級，其中，CVE-2024-22269、CVE-2024-22270為資訊洩露漏洞，分別存在於虛擬藍牙裝置，以及主機與虛機機器的檔案共用系統（Host Guest File System，HGFS）。至於CVE-2024-22268，則是與Shader的元件有關，為記憶體緩衝區溢位漏洞。而這些漏洞的CVSS風險評分，皆為7.1分。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/medisecure-e-script-firm-hit-by-large-scale-ransomware-data-breach/"><strong style="font-size: 20px;">澳洲電子處方箋業者MediSecure遭遇供應鏈攻擊，駭客加密檔案導致網站服務與電話中斷</strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/900k-impacted-by-data-breach-at-mississippi-healthcare-provider/"><strong style="font-size: 20px;">針對去年密西西比州醫療保健系統Singing River Health System遭遇勒索軟體攻擊，調查發現資料外洩範圍擴大，近90萬人受影響</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/nissan-north-america-data-breach-impacts-over-53-000-employees/"><strong style="font-size: 20px;">日本汽車大廠日產北美分公司去年遭駭，逾5.3萬歷任員工資料外洩</strong></a></p> <p></p> <p>◆<a href="https://www.hackread.com/intelbroker-hacker-hsbc-barclays-data-breach/"><strong style="font-size: 20px;">初始入侵管道掮客IntelBroker聲稱竊得匯豐、巴克萊銀行資料庫、原始碼等敏感資料</strong></a></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.arubanetworks.com/assets/alert/ARUBA-PSA-2024-006.txt"><strong style="font-size: 20px;">HP Aruba Networking修補路由器重大漏洞</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162771"><strong style="font-size: 22px;">Akamai將以4.5億美元併購API資安業者Noname</strong></a></p> <p></p> <p>資安業者Akamai於5月7日宣布，將以4.5億美元買下API資安業者Noname所有股權，雙方預計於今年第二季完成交易。</p> <p>該公司指出，將Noname納入麾下可強化現有API安全解決方案，另一方面也期望藉由雙方已建立的銷售、行銷、合作夥伴資源，擴大服務規模。</p> <p>具體而言，Akamai計畫結合Noname的能力提供完整的API安全套件，協助客戶更容易發現影子API、檢查安全漏洞及發現攻擊行動，亦將迅速整合Noname功能至Akamai的應用程式及API平臺。</p> <p><a href="https://www.ithome.com.tw/news/162914"><strong style="font-size: 22px;">資安業者Palo Alto Networks將買下IBM QRadar SaaS資產，雙方將建立廣泛的合作關係</strong></a></p> <p></p> <p>本月15日資安業者Palo Alto Networks與IBM宣布策略聯盟，內容包括Palo Alto買下QRadar SaaS資產，並於Cortex XSIAM整合Watsonx大型語言模型，進而加入精準人工智慧（Precision AI）解決方案。他們併購QRadar的交易，預計今年9月完成</p> <p>雙方將在安全營運、威脅管理、DevSecOps方面進行合作，將內部安全解決方案平臺化。IBM對於混合雲端和人工智慧的資料安全、身分和存取管理方面，將加速創新和投資，Palo Alto也將成為IBM跨網路、雲端與安全營運中心（SOC）的首選合作夥伴。</p> <p>他們也會共同設立安全營運中心與網路靶場（Cyber Range），目的是讓客戶能夠體驗兩家產品線整合後的價值。</p> <p><a href="https://www.ithome.com.tw/news/162936"><strong style="font-size: 22px;">SIEM解決方案供應商LogRhythm、Exabeam宣布合併</strong></a></p> <p>繼思科3月完成280億美元重金併購Splunk，以及5月中Palo Alto Networks宣布向IBM買下QRadar的SaaS資產，又有安全資訊與事件管理（SIEM）廠商整併。</p> <p>5月15日LogRhythm與Exabeam宣布將進行合併，並預計於今年第三季完成。不過，對於這起併購案的其他細節，例如：如何合併，以及合併後的執行長人選，或是擁有整併後公司的投資者身分，兩家公司並未進行說明。此外，他們也沒有透露交易金額。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162922"><strong style="font-size: 22px;">臺灣後量子資安產業聯盟正式成立，凝聚產官學研能量，加速相關產業發展</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PQC-CIA-annouce.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PQC-CIA-annouce.jpg" style="width: 300px; float: right;" /></a>利用量子運算破解目前公鑰加密技術的全新威脅即將出現，影響遍及政府憑證、金融交易、醫療隱私、物聯網等廣泛領域，全球都在加速準備因應，臺灣在這方面的發展，也是國內民眾關注的焦點，如今我國有了全新的策略，要促成產官學研公私聯手。</p> <p>在2024 CYBERSEC臺灣資安大會第三天（5月16日），數位發展部數位產業署宣布成立「後量子資安產業聯盟」（PQC Cybersecurity Industry Alliance，PQC-CIA），這也象徵著臺灣在後量子密碼發展，正跟上全球新興趨勢，現在將要藉由各方資源整合，加速推動我國後量子資安相關產業的發展。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162912"><strong>【5月16日】Google在一週內發布3次Chrome更新，修補已被用於攻擊行動的零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162880"><strong>【5月15日】微軟發布5月份例行更新，公告3個零時差漏洞受到各界關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162861"><strong>【5月14日】芬蘭首都證實資料外洩事故，起因是教育部門的遠端存取伺服器未修補已知漏洞</strong></a></p> </div></div></div>
2024/5/17 16:40作者周峻佑https://www.ithome.com.tw/news/162953
【臺灣資安大會直擊】臺灣後量子資安產業聯盟正式成立，凝聚產官學研能量，加速相關產業發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用<a href="https://www.ithome.com.tw/news/141985">量子運算破解目前公鑰加密技術的全新威脅即將出現</a>，影響遍及政府憑證、金融交易、醫療隱私、物聯網等廣泛領域，全球都在加速準備因應，臺灣在這方面的發展，也是國內民眾關注的焦點，如今我們有了全新的策略，要促成產官學研的公私聯手，在2024 CYBERSEC臺灣資安大會第三天（5月16日），數位發展部數位產業署宣布成立「後量子資安產業聯盟」（PQC Cybersecurity Industry Alliance，PQC-CIA），這也象徵著臺灣在後量子密碼發展，正跟上全球新興趨勢，例如今年2月，推動開放原始碼軟體發展的<a href="https://www.ithome.com.tw/news/161236">Linux基金會已宣布成立專屬的PQCA聯盟，促進後量子密碼學發展</a>，對於我國而言，現在將要藉由各方資源整合，加速推動我國後量子資安相關產業的發展。</p> <h2><strong>打造公私夥伴關係平臺才能加速產業發展</strong></h2> <p>在臺灣後量子資安產業聯盟啟動的儀式上，數位發展部數位產業署副署長林俊秀到場致詞，說明我國將聚焦晶片研發、應用檢測與推廣培訓這3大主軸，即將接任數位部長、現為中央研究院特聘研究員的黃彥男也到場支持，身為聯盟召集人、鴻海研究院執行長的李維斌，更是公布了該聯盟的目標與願景。</p> <p>李維斌表示，關於量子破密的危害，有如過去Y2K事件造成的廣泛影響，但衝擊可是更大且更深遠。</p> <p>雖然先前已有一些臺灣產業重視這方面的研究，但李維斌強調，現在我們需要共同、整體地推動，因為每個人的角色不一樣，不論產業、研發單位或政府，都無法單靠自己完成所有事，因此，建立後量子資安產業聯盟這樣的平臺，至關重要，希望將不同角色的大家整合起來，相互協調，這樣才能讓整體發展加速。</p> <p>他認為，臺灣有這方面的基礎研究，也有硬體，只要大家在軟體方面多重視一點，就有希望加速提升我國在後量子密碼應用領域的競爭力。</p> <p>因此，李維斌指出，這個全新的聯盟將有3大使命，包括：建立強健的公私夥伴關係（Public-Private Partnership，PPP），加速後量子產業的發展，以及採取行動確保臺灣具備後量子密碼準備能力。</p> <p>而他們的願景就是，讓臺灣走在全球量子準備與創新的前沿，並與全球夥伴建立PQC合作關係。</p> <p>同時，李維斌也介紹了這個聯盟的組織架構，除了由他擔任聯盟召集人，逄愛君教授擔任副召集人，聯盟內設有3個工作小組，分別是技術小組（Technical SIG）、應用小組（Application SIG），以及準備小組（Readiness SIG）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖1)後量子產業聯盟成立_李維斌.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%961)%E5%BE%8C%E9%87%8F%E5%AD%90%E7%94%A2%E6%A5%AD%E8%81%AF%E7%9B%9F%E6%88%90%E7%AB%8B_%E6%9D%8E%E7%B6%AD%E6%96%8C.jpg" style="width: 600px;" /></a></p> <p><strong>在後量子資安產業聯盟成立後，李維斌指出，聯盟內部將設3個小組，首先是技術專門小組而言，將由工研院來執行，負責研究密碼學與硬體與軟體設計；第二是應用專門小組，由資策會執行，目標是促進特定領域採用PQC應用程式，以及擴展PQC技術至更廣泛的領域；第三是準備專門小組，由工研院執行，任務是提供指引、提升公私夥伴關係（PPP），建立平臺與培訓。</strong></p> <p>此外，對於後量子資安產業聯盟的成立，數位產業署也表示，這個平臺將成為相關業者共同討論與交流的重要媒介，聯盟也會針對晶片研發、應用檢測與推廣培訓這3大主軸來推動，並促成國內資安自主研發技術的進步與創新，讓臺灣在後量子資安議題的技術能量，可以更被國際看得見。</p> <h2><strong>多位PQC領域專家現身說法，公開最新發展態勢</strong></h2> <p>在後量子資安產業聯盟成立之餘，現場還有後量子安全國際研討會的議程，有多位PQC領域專家介紹這方面的發展態勢，讓大家對最新現況能有更多認識。</p> <p>例如，身為臺灣PQC領域的關鍵人物的中央研究院研究員<a href="https://www.ithome.com.tw/news/141987">楊柏因</a>，同樣出席這場大會，並在後續演說當中，再次強調需重視量子電腦對密碼學與資安的影響，因為將衝擊現有公鑰密碼系統，包括RSA、DH、DSA、ECDSA、ECDH等。</p> <p>要如何因應這項威脅？PQC後量子演算法是當前的重點，這幾年已然發展成形。美國國家標準技術研究所（NIST）很早就採取行動，在2016年發起PQC標準化競賽，到了2022年7月已有初步結果，公布首批入選的4款演算法。</p> <p>同時，楊伯因還提到最新進展，包括：上述4個入選演算法，其標準有望於2024年夏天正式發布，而且，NIST又再為數位簽章項目，額外增加候選演算法，並在去年7月公布收到40個提交項目。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖2)後量子產業聯盟成立_楊伯因.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%962)%E5%BE%8C%E9%87%8F%E5%AD%90%E7%94%A2%E6%A5%AD%E8%81%AF%E7%9B%9F%E6%88%90%E7%AB%8B_%E6%A5%8A%E4%BC%AF%E5%9B%A0.jpg" style="width: 600px; height: 263px;" /></a></p> <p><strong>中央研究院研究員楊柏因</strong><strong>說明NIST PQC演算法標準化競賽的最新發展，例如，2022年7月已經宣布首批入選4款演算法，預計今夏會發布標準，特別的是，後續NIST額外徵選數位簽章項目的候選演算法，如今已有40個提交項目。</strong></p> <p>經常在臺進行PQC演算法研究的荷蘭愛因霍芬科技大學博士教授Tanja Lange，她也介紹了這方面的國際趨勢，指出一些國家已經提出這方面的戰略。</p> <p>例如，美國白宮在2022年5月發布的國家安全備忘錄，就是要促進美國在量子運算領域居於領先地位，並開始要求當地政府機構系統遷徙至PQC系統；歐洲網路安全局（ENISA）在2021年5月，先是提出了名為「PQC：現狀與量子威脅緩解」的報告，到了2022年10月再提出「PQC-整合研究」報告。</p> <p>此外，中國也啟動PQC演算法設計競賽，韓國亦舉辦KpqC競賽，目標是提升國家的後量子密碼學能力。</p> <p>而在NIST標準之外，網際網路工程工作小組（IETF）已將兩種基於Hash的演算法標準化，目前正針對4款PQC演算法與橢圓曲線加密結合的方法提出草案；國際標準組織ISO也有相關進展，包括正要出版ISO 14888-4狀態依賴的HASH機制，以及針對ISO 18033-2進行改版。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖3)後量子產業聯盟成立_Tanja Lange.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%963)%E5%BE%8C%E9%87%8F%E5%AD%90%E7%94%A2%E6%A5%AD%E8%81%AF%E7%9B%9F%E6%88%90%E7%AB%8B_Tanja%20Lange.jpg" style="width: 600px;" /></a></p> <p><strong>轉換PQC需及早準備，荷蘭愛因霍芬科技大學博士教授Tanja Lange指出，不只美國要求聯邦政府系統朝向PQC遷徙，歐洲也同樣重視，還有許多國家與不同產業都在努力。</strong></p> <p>臺灣推動PQC的新創廠商<a href="https://www.ithome.com.tw/news/158213">池安量子資安</a>，也參加這場活動，該公司的量子安全遷移中心主任的Matthias J. Kannwischer公布後量子密碼的應用現況。他先前也在中央研究院資訊科學研究所擔任博士後研究員。</p> <p>他表示，從全球網站來看，若透過Cloudflare Rader來檢視HTTPS流量中的後量子加密採用率，在2024年4月7日到4月21日之間，可以發現PQC演算法採用率明顯大增，從3%增至超過12%，他認為，這與Chrome為TLS 1.3和QUIC連線開始預設採用PQC演算法混合支援方式有關。</p> <p>另外他也以臺灣數位發展部網站為例，背後的TLS 1.3傳輸加密設定就是X25519Kyber768Draft00，也就意味支援PQC演算法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站圖4B)後量子產業聯盟成立_Matthias J_ Kannwischer.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E5%9C%964B)%E5%BE%8C%E9%87%8F%E5%AD%90%E7%94%A2%E6%A5%AD%E8%81%AF%E7%9B%9F%E6%88%90%E7%AB%8B_Matthias%20J_%20Kannwischer.jpg" style="width: 600px;" /></a></p> <p><strong>儘管PQC標準尚未正式發布，不過在2018年出爐的TLS 1.3版，已經支援最新PQC演算法，臺灣是否有網站伺服器啟用TLS 1.3，並且加密連線設定支援X25519Kyber768Draft00？</strong><strong>池安量子資安的量子安全遷移中心主任Matthias J. Kannwischer表示，臺灣的數位發展部網站就是一例。</strong></p> <p>特別的是，他還提到一件事，關於NIST後續為數位簽章項目所額外增加的候選演算法中，40個提交項目中，有8個是基於臺灣的提交項目。這也顯示臺灣在此方面的能量，在國際間可說是相當不容小覷。</p> <p>整體而言，臺灣在後量子密碼方面的能量並不容小覷，但我們的進展可能因為個別進行而不如期望，因此，加速我國相關產業推動將是關鍵，如今後量子資安產業聯盟成立，希望更能凝聚國內後量子資安產業研發能量。</p> </div></div></div>
2024/5/17 11:35作者羅正漢https://www.ithome.com.tw/news/162922
研究人員揭露GE HealthCare超音波醫療設備漏洞，並指出能被用於部署惡意程式、搜刮病人檢查結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Nozomi Networks<a href="https://www.nozominetworks.com/blog/ge-healthcare-vivid-ultrasound-vulnerabilities">揭露GE HealthCare旗下的Vivid Ultrasound系列超音波醫療設備弱點</a>，他們總共找到11個漏洞，並指出這些漏洞將會造成多種層面的影響，例如，竊取病人檢測資料，甚至攻擊者有機會在設備上植入勒索軟體。</p> <p>研究人員指出，攻擊者若要利用他們發現的漏洞，必須實際存取該醫療設備，因為過程中需要透過設備上的鍵盤及觸控板進行操作。不過，這也不能代表用戶就能掉以輕心，因為，攻擊者只需1分鐘的時間，就足以植入惡意程式，這也代表這類設備最好隨時都要有人看管，才能減少曝險的機會。</p> <p><a href="https://s4.itho.me/sites/default/files/images/6642fb1af8010eb6f34b3443_ransomw.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/6642fb1af8010eb6f34b3443_ransomw.jpg" style="width: 580px;" /></a></p> <p>他們針對心臟超音波影像系統Vivid T9進行調查，並重點放在預載的網頁應用程式Common Service Desktop，以及安裝於Windows工作站電腦的應用程式EchoPAC，該軟體的主要功能，是讓醫生能夠檢視上述系統取得的超音波影像。</p> <p>結果他們發現了11個漏洞，其中的寫死帳密弱點CVE-2024-27107為重大層級，CVSS風險評分最高，達到了9.6分。</p> <p>另外有6個高風險漏洞CVE-2020-6977、CVE-2024-1628、CVE-2024-27110、CVE-2024-1630、CVE-2024-27109、CVE-2024-1486，這些漏洞涉及防護功能失效、作業系統命令注入、能以不需要的權限執行、路徑穿越、帳密保護不足，以及重要資源權限分配不正確的情況，CVSS風險評分介於8.4至7.4分。</p> <p>究竟這些弱點會帶來那些危害？研究人員表示，所有的漏洞他們都能用來拿到root權限，並執行任意程式碼。他們規畫了漏洞利用攻擊鏈，先是透過防護功能失效漏洞CVE-2020-6977，跳脫Kiosk模式取得Vivid T9的控制權，接著，再利用命令注入漏洞CVE-2024-1628來實現程式碼執行的目的，最終他們成功在Vivid T9部署勒索軟體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/6642fbe10dbe3cdbce44c4d1_ransomw.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6642fbe10dbe3cdbce44c4d1_ransomw.png" style="width: 580px;" /></a></p> <p>上述的攻擊過程，雖然攻擊者必須實際接觸超音波設備，但研究人員表示，若要加快攻擊速度，駭客還能準備惡意隨身碟，一旦接上USB埠，就能模擬鍵盤和滑鼠，自動化執行所有攻擊步驟。他們實際製作一個專用隨身碟並進行測試，結果可在大約1分鐘完成所有攻擊步驟。</p> <p>而針對另一種攻擊手法，研究人員利用CVE-2024-27107，而能在未通過身分驗證的情況下，對於EchoPAC下手，存取本機病人資料庫的內容。他們表示，攻擊者可藉由外流的VPN帳密取得醫院內部網路的存取權限，掃描存在上述漏洞的EchoPAC發動攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/6642fb3f1a966de40262810c_data_ac.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/6642fb3f1a966de40262810c_data_ac.png" style="width: 580px;" /></a></p> <p>對此，<a href="https://www.gehealthcare.com/services/lifecycle-management/product-security-portal/security">GE HealthCare也發布資安公告</a>，並提供相關說明，研究人員也呼籲，醫護人員應隨時看管超音波設備，而對於部署EchoPAC的電腦，他們認為應封鎖特定流入的流量因應。</p> </div></div></div>
2024/5/17 15:37作者周峻佑https://www.ithome.com.tw/news/162951
索尼音樂公開聲明退出AI訓練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>索尼音樂集團（Sony Music Group，SMG）與旗下的Sony Music Publishing（SMP）與Sony Music Entertainment（SME）<a href="https://www.sonymusic.com/sonymusic/declaration-of-ai-training-opt-out/" target="_blank">本周正式對外聲明</a>，將退出AI訓練，禁止任何業者在尚未取得授權的狀態下，以其內容訓練AI模型。英國《金融時報》（Financial Times，FT）則<a href="https://www.ft.com/content/c5b93b23-9f26-4e6b-9780-a5d3e5e7a409" target="_blank">引述消息來源報導</a>，除了公開聲明之外，索尼也發出警告信通知全球的AI開發者，包括OpenAI、微軟與Google等。</p> <p>索尼表示，該集團一直擁抱以負責任的AI作為創意工具的潛力，可徹底改變詞曲作者及唱片藝術家創作音樂的方式，也支持創作者利用新技術來支持藝術，技術的發展經常改變創意產業的發展方向，AI也不例外。</p> <p>然而，相關的創新必須確保詞曲作者與唱片藝術家的權利，讓版權得到尊重，因此，除非SMP與SME特別授權，否則明確禁止及退出針對其內容的任何文字與資料的挖礦、網頁抓取或類似的重製及使用，涵蓋音樂作品、歌詞、錄音、視聽作品、藝術創作、圖像或資料等。</p> <p>索尼也強調，不管是任何目的或方式都不應違反SMP與SME的合法權利，像是用來訓練、開發或商業化AI系統，或是以機器人、抓取工具或其它自動流程來汲取資料。</p> <p>而根據FT的報導，索尼發給各大AI開發者的警告信中，直接指出依照業者所發布的AI系統資訊，有理由相信它們已未經索尼授權即使用其內容來訓練、開發與商業化AI系統，重申索尼的立場，並指稱業者剝奪了索尼對AI系統的控制權，以及適當的補償。索尼亦於信中要求開發者於下周之前提供所使用內容的詳細資訊。</p> </div></div></div>
2024/5/17 13:32作者陳曉莉https://www.ithome.com.tw/news/162949
Ruby 3.4.0預覽版引入預設啟用凍結字串過渡措施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ruby 3.4.0第一預覽版<a href="https://www.ruby-lang.org/en/news/2024/05/16/ruby-3-4-0-preview1-released/">釋出</a>，替預設啟用凍結字串（Frozen String Literals）作準備。從該版本開始，未包含frozen_string_literal註解的字串被修改時，執行時程式會發出棄用警告，而這項變更的目的在於推廣凍結字串，所採取的過渡性措施。</p> <p>在Ruby中，凍結字串是一種不可變的字串。當一個字串被凍結之後，就無法再被修改，而這有助於提高效能和減少不必要的記憶體分配。從Ruby 2.3開始，開發者可以使用frozen_string_literal: true註解，將檔案中的所有字串預設為凍結狀態，如此便可在編寫和執行程式時，避免意外的字串修改，進而提升程式的穩定性和效能。</p> <p>Ruby在2.3版本中加入frozen_string_literal: true註解時，原本預計要在Ruby 3.0時預設啟用，但這個計畫因為會造成大量相容性問題而被放棄，但是Ruby創始人松本行弘（Yukihiro Matsumoto，Matz）仍希望未來可預設啟用這項功能。</p> <p>為了要讓這項功能可行，需要合理的搬遷計畫，解決向後相容問題，因為立刻啟用將會破壞許多現有程式碼，所以開發團隊引入了棄用期，這個過渡會發出棄用警告，當未來會被凍結的字串被修改時發出警告。</p> <p>儘管添加棄用警告可能造成開發者不滿，但是官方根據過往經驗，起初在Ruby 2.7引入關鍵字參數棄用時，社群也出現許多抱怨的聲音，但是最終仍接受，因此現在官方也開始對修改凍結字串發出棄用警告，逐步推動凍結字串預設啟用進度。</p> </div></div></div>
2024/5/17 13:47作者李建興https://www.ithome.com.tw/news/162948
彙整產業意見，工程會公布資服採購經費估算編列手冊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了解決長久以來政府資訊服務採購的問題，行政院公共工程委員會協同數位發展部，已經於去年九月，發布「資訊服務採購作業指引」，讓所有政府資訊服務採購都可以採用不定底價最有利標（固定費用/費率）、杜絕機關買菜送蔥的不當回饋，強化資安因為駭客攻擊等作為，大幅改善政府採購人員針對資訊服務採購時的痛點。</p> <p>不過，行政院公共工程委員會副主委葉哲良表示，為了做到從源頭編列合理預算，工程會和數位部於五月一日正式公布「資服務採購經費估算編列手冊」（業界簡稱預算手冊），此一經費估算編列手冊經過產業界多次討論、意見彙整後才正式產出。他指出，預算手冊公布後，馬上就可以用於今年七月，針對明年預算招標的資服採購案。</p> <p>他指出，這份預算編列手冊是屬於操作型手冊，採取正面表列的方式，可以大幅度減輕負責政府資訊、資安委外的公務人員壓力；對於未來各個機關資訊、資安的委外採購事項，都可以參照經費估算編列手冊的內容「照表操課」進行編列，對於促進資訊、資安產業的發展也有正向助益。</p> <h2><strong>彙整產業經驗，列出資服採購的專案階段和成本項目</strong></h2> <p>許多公務機關的資訊、資安事項多採委外辦理，他說，為了便利採購機關能充分理解資訊服務採購經費項目的內涵及預算組成，並且促進資訊服務採購的費用合理化，工程會才和數位發展部以及相關資訊、資安產業界與相關公協會等，共同研擬制定預算手冊，經過產業界討論及數位部提供意見後，才正式對外公布。</p> <p>「這個預算手冊將可以協助機關，從計畫階段即掌握資訊服務採購的工作項目，並合理評估預算。」他說，預算手冊其實是操作型手冊，做正面表列to-do模式，明文寫出哪一些是預算編列時應該做的內容，to do列表不僅可以減少公務人員的壓力，也可以避免踩雷。</p> <p>這份預算手冊的內容架構，是包含資訊服務採購的規畫（包含可行性評估、規畫及設計）、開發（包含細部設計、開發及測試）、建置（含現場建置、整合及整體測試）以及保固維運的等不同階段。</p> <p>該預算手冊也用於電腦軟體或硬體有關的資訊服務，包括：整體規畫、系統整合、系統稽核、系統管理、網路管理、軟體開發、軟體驗證、軟體維護、硬體維護、硬體操作、機房設施管理、備援服務、網路服務、顧問諮詢、資料庫建置、資料處理、資料登錄或訓練推廣等相關預算架構及項目。</p> <p>該預算手冊也清楚載明機關參考使用時，應該要根據不同資訊服務類及個案採購內容，選擇需要的經費項目並得合併項目，核實考量費用；有必要時，也可以依據政府採購法第34條，對於主管機關的資訊網路刊登相關資料，公開說明或徵求廠商提供參考資料，由各界協助檢視個案瘀求以及經費編列的合理性。</p> <p>更重要的是，其他資訊服務類型也可以參考相關成本架構、補充說明及案例做合理調整。</p> <h2><strong>根據成本組成，獨立框計資安費用</strong></h2> <p>葉哲良表示，現在大家都在談敏捷，不過敏捷並不是只一味強調快速，而是快速中還必須有效率，像是預算手冊中的第二章就拆分資訊服務的成本項目，不只有成本大項，還包括更多的成本細項。</p> <p>他說，如果從成本大項開始，依序從規劃、系統設計、建置、維運到行政管理及教育訓練等編列預算，看起來並不敏捷，如果要更敏捷的話，可以花比較多的心力在最剛開始的規畫成本，然後依照客戶需求和專案里程碑，重複系統設計和建置階段，相對以往從頭到尾的瀑布式開發方式，可以更有彈性和效率。</p> <p>他也以代號C01的「規畫成本」大項為例，其中就包含像是資料蒐集、調查、分析的資料處理服務費（細項代號01），也有細項代號05的架構/技術概念驗證費（PoC）。</p> <p>另外，成本大項代號C02的「系統設計、開發及財物採購成本」中，有細項代號01的設備採購成本（含附加系統及首次保固成本）、細項代號02的軟體授權採購或訂閱成本、細項代號03的延長本故成本，以及細項代號04的資訊基礎資源租賃成本（地端或雲端），上述01～04的細項成本，就必須將實際涉資安的部分，得計列資安費用。</p> <p>但如果是成本大項代號02中，細項代號13的應用軟體或系統開發測試資安檢測技術服務費，或是細項代號15的資安制度顧問輔導等項目，就可以直接計列資安費用。</p> <p>葉哲良表示，工程會的資服採購規定要獨立框列計算資安費用，未來，工程會就可以針對各部會資服採購做統計，可以更直觀的看出，資安費用占整體資訊費用的比例為何，目前美國公司資安占資服費用比例大約8％～9％，一些高科技公司大概15％。甚至於，「未來還可以統計各部會資安和資服費用的占比，並且依照個機關資安等級排序，或許可以看出一些端倪。」葉哲良說。</p> <h2><strong>採購態樣搭配成本項目，可以得知哪些成本是必要或選擇性項目</strong></h2> <p>至於預算手冊第三章就是說明資訊服務的成本組成，他表示，各機關不管是採用瀑布式開發或是敏捷式開發，都可以依照各自實務上的需求，調整各計畫階段生命週期和其計畫成本。</p> <p>每一個計畫都會經歷下述階段，包括：規畫階段（階段代號P01）、設計開發階段（階段代號P02），以及建置階段（含線上/備援/測試場域建置）（階段代號P03）、維運階段（階段代號P04）、綜合階段（階段代號P05）、物價調整費（階段代號P06）、預備費（階段代號P07）和營業稅（階段代號P08）等。</p> <p>而計畫階段包括子階段，都可以對應大項計畫成本，以綜合階段為例，可以對上行政管理費用（成本大項代號C05）、教育訓練費用（成本大項代號C06）和其他費用（成本大項代號C07）。</p> <p>葉哲良表示，在預算手冊中，也詳細區分出九大類資訊服務採購樣態，包括SaaS、PaaS和IaaS服務樣態外，也明列資訊和資安系統規畫服務、應用軟體或系統開發服務、既有系統後續擴充以及應用軟體和系統維運服務等樣態。</p> <p>葉哲良表示，將資訊服務採購的樣態和計畫成本代號進行比對後，就可以清楚知道，哪一些計畫成本是必要選項，哪一些是選擇性選項。</p> <h2><strong>預算手冊是操作型手冊，降低公務人員編列預算的壓力</strong></h2> <p>預算手冊最重要的就是，提供公務機關可以先確認九大類資訊採購樣態，以及各樣態所需要的成本項目進行逐項、細項考量，確認是否為該資服採購案所需的費用，不僅可以做到讓該項目的預算可以核實編列費用、整併相關細項費用，也可以做到簡化預算內容以及避免重複或遺漏編列的問題。</p> <p>而預算編列的方式，也是依照成本項目的特性，可以選擇適合的單位做編列，例如，系統開發服務需要15人/月，或是防毒軟體延長保固二年、實體防火牆含守年原廠保固三臺等。</p> <p>葉哲良表示，這次預算手冊中，也明定可以依照市場機制制定人事費用的計算基準，「人事費用沒有標準價，只要報得出來，也可以是用公司內部的人事薪資表作為基準。」他說，只要提得出來就可以作為參考，畢竟一分錢一分貨，厲害的高手和初出茅廬的新手，薪資一定是不同級距。</p> <p>至於管理費用的部份，葉哲良指出，在預算手冊中也開放業者可以自己填寫，就算管理費用很高也可以照填，但重點在於：全部管理費用不可以超過「直接薪資扣除獎金後的百分之一百」，因為不可以打爛市場、還是要維持市場競爭力。</p> <p>葉哲良表示，這本預算手冊是操作型的手冊，五月一日公布後，因為清楚列出哪些是可以編列的預算項目，也大幅降低公務人員在編列資服採購預算時的壓力。</p> <p> </p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/5/17 12:51作者黃彥棻https://www.ithome.com.tw/news/162943
Reddit也與OpenAI簽署合作協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於今年2月<a href="https://www.ithome.com.tw/news/161440" target="_blank">提供</a>平臺資料予Google訓練AI模型之後，新聞社群Reddit周四（5/16）再<a href="https://www.redditinc.com/blog/reddit-and-oai-partner" target="_blank">宣布與OpenAI建立合作夥伴關係</a>。</p> <p>根據雙方的協議，OpenAI將把Reddit內容帶到ChatGPT及其它新產品，以協助使用者發現並與Reddit社群互動。OpenAI將存取可供應Reddit即時及結構化資料的Data API，以令OpenAI的AI工具能夠更好地理解與呈現Reddit內容，特別是最新的主題。反之，Reddit也將提供新的AI功能予Reddit用戶及版主。</p> <p>此外，OpenAI也同意成為Reddit的廣告合作夥伴。</p> <p>接連將平臺內容供應給兩大AI業者進行訓練，Reddit表示，保持網路開放是重要的，其中一部分是確保Reddit的內容可供研究及教育人員存取，此外，採用大型語言模型、機器學習及AI將令Reddit可改善用戶體驗。</p> <p>主要收入為廣告的Reddit甫於今年3月21日登上紐約股市，其發行價為34美元，當天以48%的漲幅收在50.44美元，上市前的Reddit一直處於虧損狀態，2022年與2023年的年度營收為6.66億美元及8.04億美元，分別虧損了1.58億美元及9,000萬美元。</p> <p>根據<a href="https://investor.redditinc.com/news-events/news-releases/news-details/2024/Reddit-Announces-First-Quarter-2024-Results/" target="_blank">Reddit今年第一季的財報</a>，該季營收成長了48%，達2.43億美元，因為上市費用而大幅虧損了5.8億美元，儘管外傳Google支付6,000萬美元予Reddit以取得內容授權，但財報中並未特別披露。周四Reddit的盤後股價上漲逾11%，將股價推升至63美元。</p> </div></div></div>
2024/5/17 12:51作者陳曉莉https://www.ithome.com.tw/news/162945
5G趨勢月報第54期：高雄輕軌導入5G專網，強化軌道行駛安全及月臺管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color: rgb(0, 0, 255);"><strong>04/10~05/10精選5G趨勢新聞</strong></span></h3> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>高雄輕軌</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>高雄輕軌導入5G專網，改善行車控制軌道安全</strong></span></p> </div> <div> <p>在交通部補助之下，高雄輕軌導入5G專網，利用5G專用網路整合軌道通訊、資料、應用，改善軌道運輸管理、軌道行車安全。</p> <p>高雄輕軌是在電信業者協助之下，導入5G SA獨立專網，在輕軌觀光人潮最多的C10光榮碼頭至C14哈瑪星站之間，重新定義軌道通訊模組及功能，利用專網打造5G TaaS(Transportation as a Service)交通整合應用平臺，包括輕軌工作人員可透過5G專網手機作個別或群組通話，文字或影像傳輸。</p> <p>而通過5G及AIoT加強軌道安全管理，蒐集輕軌車頭光達、CCTV影像，以偵測軌道及月臺異常情形，除了向駕駛輕軌的駕駛人員告警之外，也向行控中心告警，由行控中心聯絡駕駛人員或月臺人員協助處理。另外，高雄輕軌也利用CCTV影像及AI辨識，偵測乘客行為是否有刷卡付費，對於沒有刷票的乘客，辨識其衣物、外觀、性別等特徵，透過5G傳送至行控中心，同時也通知查票人員協助處理。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>行動網路普及</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>涵蓋率</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>擴大行動寬頻網路普及，高雄與澎湖間航線行動寬頻網路涵蓋率提高至9成</strong></span></p> </div> <div> <p>近期數位部與電信業者合作，改善高雄與澎湖之間的行動寬頻網路涵蓋率，將行動寬頻網路涵蓋率從22%提高至91%，讓往返兩地的民眾有足夠的寬頻網路可供使用。</p> <p>民眾往來高雄與澎湖，海上主要搭乘交通船湖湖輪，全程約128公里，過去只要離開岸邊，即離開陸地基地臺訊號範圍，輪船只能依靠同步軌道衛星通訊，但由於頻寬有限，乘客無法順暢上網、通話，可通話上網時間不到1小時，上網速度不到1Mbps。換言之，過去民眾搭乘澎湖輪，必需忍受無法順暢上網、通話的不便。</p> <p>在政府經費補助之下，建置基地臺，船上電信設備，改善高雄市、臺南市、湖湖縣岸上81座基地臺，例如在船隻航行的沿線制高點擴建基地臺，並調整優化岸上基地臺發射角度，將行動寬頻網路訊號涵蓋率至9成，網路速度也提高到10到50Mbps，在訊號較好的地點，足以供乘客上網、通話，甚至觀看影音內容，在交通船遭遇緊急情況，也能利用行動寬頻網路傳送影像，與外界保持溝通。</p> <p>但是，目前在航程中有一段距離岸邊較遠，因距離岸邊基地臺較遠，訊號範圍比較差，網速容易因為天候狀況、乘客上網使用多寡受到影響。</p> </div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>公有雲</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>核網</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>德國Telefónica建置雲端5G核網，改善資源使用彈性及網路可用性</strong></span></p> </div> <div> <p>德國Telefónica近期與Nokia、AWS達成協議，將在AWS公有雲服務上部署Nokia的5G核心網路，在第一階段的設計中，雲端部署的5G核心網路將具備100萬用戶容量。</p> <p>德國Telefónica表示，透過新的架構方式，將帶來新的靈活及彈性，該公司正在建立未來的網路，新的雲端5G核網也同時象徵轉型過程中重要的一步，該公司也是首批採用新架構的電信商之一。</p> <p>新架構所帶來的好處，在資源分配上，電信商得以依照需求分配資源，例如當發生服務異常的情形，可以在手動修復而沒有中斷服務的情形下，將流量自動引導至其他伺服器，提高網路的可用性，有利於依賴5G網路的應用服務。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>RedCap</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>物聯網</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>德國O2 Telefónica在慕尼黑展開5G RedCap物聯網測試</strong></span></p> </div> <div> <p>德國O2 Telefónica近期宣布在慕尼黑展開5G RedCap測試，通過5G RedCap以降低終端裝置，例如穿戴裝置、工業感測器、監控系統對5G網路的需求，讓這些裝置得以更具成本效益的方式生產，並整合到現行網路中運作。</p> <p>O2 Telefónica在其現行5G網路中，測試整合5G RedCap裝置，以低成本、高效益方式連接數百萬裝置及設備，這些裝置採用5G RedCap的無線電模組。O2 Telefónica宣稱其5G網路已準備好支援5G RedCap裝置。</p> <p>相較於以高效能設計的5G大頻寬、低延遲連接，5G RedCap能夠讓物聯網裝置針對需求連接5G網路，例如因需要傳輸的數據量較低，使用較小的頻寬，但是仍具備比4G低的延遲，另外在支援5G RedCap的網路攝影機，可以快速傳輸影像，但其成本要比傳統5G攝影機低，且消耗的能源也比較低。</p> <div> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>聯發科</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>AI</b></span></font></p> <div> <p><span style="font-size:22px;"><strong>聯發科推出天璣9300+，瞄準生成式AI手機應用</strong></span></p> </div> <div> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/mtk-600.jpg" style="width: 600px; height: 527px;" /></p> <p>看準生成式AI帶動手機新一波應用潛力，IC設計商聯發科近期在開發者大會中發表新一代天璣9300+旗艦5G生成式AI行動晶片，搭配天璣AI開發套件，瞄準全球將興起的生成式AI手機市場。</p> <p>聯發科新的行動晶片採用全大核CPU架構，8個核心分別採用4個最高頻可達3.4GHz的Cortex-X4超大核，以及4個主頻為2.0GHz的Cortex-A720大核。聯發科強調該行動晶片具備AI推測解碼加速技術LoRA Fusion 2.0，效能提升10%，並可支援主流的LLM，包含Gemini Nano、Llama 2及Llama 3等。</p> <p>在通訊方面，天璣9300+支援Wi-Fi 7，在MLO多重連結模式、320MHz頻寬之下，最快可達6.5Gbps；並整合5G R16數據機，支援4載波聚合，5G下載最快能達到7Gbps。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>特斯拉</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>特斯拉將在柏林的超級工廠導入5G專網</strong></span></p> </div> <div> <p>電動汽車業者特斯拉近期在社交平臺X釋出影片，揭露將於德國柏林的超級工廠導入5G專網，運用專網來提高製造及倉儲設施的運作效率，使移動的機器設備之間能夠以更可高靠的方式進行溝通並持續運作。</p> <p>特斯拉網路團隊表示，導入5G專網改變工廠部署網路的方式，特別是室外，傳統上，室外部署網路需要大量投資在光纖和能源，現在則可在建築物上架設小型天線，就能連接室外的設備。</p> <p>特斯拉並沒有說明柏林的超級工廠何時建置完成5G專網，但強調該公司為汽車產業中最早將5G推向工業的企業之一，除了柏林的超級工廠，未來也準備擴展至全球。</p> <p><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>Cummins</b></span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);"><b>專網</b></span></font></p> <div> <p><span style="font-size: 22px;"><strong>Cummins紐約州發動機工廠導入5G專網，採用中立主機同時強化公網與專網訊號</strong></span></p> </div> <div> <p>重型柴油引擎供應商Cummins與Verizon合作，在其位於紐約州的發動機工廠導入5G專網，並首次結合Verizon中立主機（Neutral Host Network），來強化工廠內公共網路、專網訊號，讓員工及訪客可以獲得較好的行動網路服務。</p> <p>Verizon為Cummins的工廠建置中立主機，所謂中立主機是讓員工和一般用戶，不論使用哪一家的行動服務營運商，都能在特定的場所利用其專用網路設備來強化行動訊號，一方面透過專用網路滿足企業營運管理的需求，並透過中立主機來強化公共網路連接。</p> <p>位於Lakewood的工廠佔地約30萬坪，約有1,500名員工，每天製造生產500輛卡車使用的引擎。這項網路合作案，將為工廠內的員工及設備提供行動網路服務，例如自主移動機器人AMR，用以監控產線上半成品是否有缺陷的電腦視覺技術，用於培訓及操作的AR或VR，以及各種監控設備運作及健康狀態的感測器。Cummins希望透過導入5G專網，更快、可靠的網路來加速向工業4.0轉型發展。</p> <p> </p> <p>圖片來源／高雄捷運、聯發科</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">更多5G動態 </span></strong></span></p> <p><strong>1.NTT Docomo、NTT與NEC聯手測試無線寬頻技術，可達100Gbps</strong></p> <p><strong>2.數位部補助1.3萬座5G基地臺建置</strong></p> <p>資料來源：iThome整理，2024年4月</p> <p> </p> <p> </p> </div> </div> </div> </div> </div> </div> </div> </div> </div></div></div>
2024/5/17 13:14作者蘇文彬https://www.ithome.com.tw/news/162841
SIEM解決方案供應商LogRhythm、Exabeam宣布合併
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/158878">思科以280億美元重金併購Splunk</a>、<a href="https://www.ithome.com.tw/news/162914">Palo Alto Networks宣布向IBM買下QRadar的SaaS資產</a>，又有投入安全資訊與事件管理（SIEM）解決方案的資安業者出現整併的情況。</p> <p>5月15日<a href="https://logrhythm.com/press-releases/logrhythm-and-exabeam-announce-intent-to-merge/">LogRhythm</a>與<a href="https://www.exabeam.com/newsroom/logrhythm-and-exabeam-announce-intent-to-merge/">Exabeam</a>宣布將進行合併，並預計於今年第三季完成。不過，對於這起併購案的其他細節，例如：如何合併，以及合併後的執行長人選，或是擁有整併後公司的投資者身分，兩家公司並未進行說明。此外，他們也沒有透露交易金額。</p> <p>針對此事，LogRhythm執行長Chris O’Malley認為，兩家公司經驗的結合，將加速AI驅動的資安解決方案創新。他們將憑藉超過20年專精SIEM及內部存取行為監控（UEBA）領域、全球數千個客戶的實績，建立以員工啟發的新公司。</p> <p>而Exabeam執行長Adam Geller則表示，兩家公司聯手後，將繼續結合AI、自動化、SIEM、UEBA、資安事件分析，藉由提供全面性應對網路安全威脅的解決方案，來推動資安監控中心（SOC）的創新。</p> </div></div></div>
2024/5/17 12:13作者周峻佑https://www.ithome.com.tw/news/162936
Google公布Home API，建構智慧家庭生態系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google昨（16）日宣布<a href="https://developers.googleblog.com/en/home-apis-enabling-all-developers-to-build-for-the-home/" target="_blank">智慧家庭平臺Home API及Home runtime</a>，讓第三方App開發商得以存取Matter相容裝置，邀請開發商加入成為Google Home平臺的生態系。</p> <p>這是在Google及蘋果、Amazon等大廠<a href="https://www.ithome.com.tw/news/153467" target="_blank">加入支援智慧家庭標準Matter</a>後，Google的最新進展。透過三大巨頭的支持，所有支援Matter標準的App、服務與裝置將能彼此相容互通，讓消費者可以一個App管理多種連網裝置，例如智慧電燈、中央空調、影音設備或門鎖等，建構自動化運作環境。Google宣稱，透過開放Home平臺眾多API，開發商得以開發存取6億的相容裝置、Google的Matter網路基礎架構及Google自動化引擎的App，不論是Android或iOS版App。</p> <p>例如Device API及Structure API，讓開發商App得以存取相容Matter的裝置，控制和管理已連上Google Home平臺的裝置，像是Nest智慧溫控裝置或Matter智慧燈泡。新增的Commissioning API讓使用者可透過Home App、第三方App，或是Android的Fast Pair設定Matter裝置，而無需建立新的Matter網路。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-Google-Home%20APIs-Device%20and%20Structure%20APIs.png" style="width: 600px;" /></p> <p>此外，為了讓眾多家庭連網裝置共同協作，Google之前也提供<a href="https://www.googlenestcommunity.com/t5/Blog/New-starters-and-actions-for-automations-now-available-in-Home-app/ba-p/471729" target="_blank">script編輯工具</a>，讓有進階能力的用戶以生成式AI助理撰寫script實現自動化，不過本周Google宣布了新的Automation API，可讓使用者以第三方App以Google Home平臺的自動化引擎及智慧訊號（signal）設定自動化。自動化可以由家中裝置訊號驅動，像是以動作感測器啟動占用（occupancy）事件（如自動顯示浴室有人使用中），從智慧電視驅動媒體事件，或家電驅動模式變更，也可利用Google定義的智慧訊號如在家（home）及離開（away），Google的訊號可以將多個裝置訊號混合，以適用更精準的自動化（如「離開」可驅動空調和燈泡關閉、監視攝影機開啟、門鎖自動上鎖等）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-Google-Home%20APIs-Automations%20API.png" style="width: 600px;" /></p> <p>Google也宣布占據智慧家庭控制中樞的新計畫。中樞（hub）是一個能從遠端或在家中控制Wi-Fi及Thread網路的Matter裝置。今年稍晚，Google將升級其中樞（hub）裝置，推出Home runtime，讓支援Google TV串流平臺的裝置，如Chromecast with Google TV、具有Google TV的（Android 14以上）電視、LG智慧電視等，都能扮演Google Home的控制中樞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-Google-Home%20Runtime.png" style="width: 600px;" /></p> <p>目前Google正在為Google Home整合這些API，該公司宣稱，早期測試顯示裝置控制速度加快3倍，而以Home API開發的App本地端控制速度也更快、更靈活。</p> <p>Google表示現在已和多家知名品牌業者合作，開發整合Home API及Google Home平臺的App，類型涵括照明、安全、汽車、能源和娛樂如LG、Volvo、ADT、GE等，當然也會整合Google Pixel手機。Home API目前開放限量測試，Google也邀請開發商填寫<a href="https://developers.home.google.com/io/2024?hl=zh-tw#upcoming-preview-programs" target="_blank">等候清單</a>，以加入Home API或Home runtime的測試，但表示會漸次擴大邀請，預計第一批Home API開發的App，會在今年秋天於Play Store及App Store上架。</p> <p class="rtecenter"> </p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/D7fEDizrqCs?si=xLruQp9fa0IhuhdC" title="YouTube video player" width="560px"></iframe></div> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/5/17 10:34作者林妍溱https://www.ithome.com.tw/news/162921
傳微軟自製Cobalt 100晶片下周將供Azure客戶預覽使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2024/05/16/microsofts-custom-cobalt-chips-will-come-to-azure-next-week/" target="_blank">Techcrunch報導</a>，微軟可能將在下周舉行的技術大會Build，公布自製晶片Cobalt 100在內的多項雲端軟、硬體技術。</p> <p>微軟是在去年11月的Ignite大會上正式<a href="https://www.ithome.com.tw/news/159884" target="_blank">公布自製晶片</a>的計畫，包括執行Azure雲端上通用型運算作業的Arm架構處理器Microsoft Azure Cobalt CPU，以及執行AI及生成式AI而設計的Microsoft Azure Maia 100 AI加速器。其中Cobalt 100為128核心的64位元晶片，是為通用工作負載的效能最佳化的低耗能晶片，號稱比Azure使用的前幾代Arm晶片效能提升40%，目前已用於Teams及Azure SQL服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-Microsoft%20chips.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>報導指出，微軟雲端暨AI事業群執行副總裁Scott Guthrie在Build的會前分析師簡報會議中，將Cobalt類比AWS的Graviton晶片。微軟預定在下周Build大會中，將以公開預覽版開放Azure客戶使用Cobalt 100，目前已有Adobe、雲端資料分析平臺Snowflake等早期客戶試用。</p> <p>除了Cobalt 100外，報導指出，下周微軟也會公布AMD MI300X GPU-based的Azure服務。Guthrie說這款GPU是用於Azure OpenAI服務最具成本效益的GPU。另外也將預覽「即時智慧系統」，可讓用戶將資料即時串流到其資料分析平臺。這新的即時智慧系統將原生支援開源資料分析平臺Kafka，並支援包括競爭資料分析服務AWS Kinesis及Google Cloud的Pub/Sub。</p> <p>微軟資料分析平臺Fabric支援的資料格式，也會從Databricks的Parquet再擴增到Snowflake的Iceberg格式，實現Snowflake和Fabric之間的資料相容，彼此可展示對方的資料。</p> <p>最後，Copilot也會在Azure平臺佔有角色。微軟主管預告，Azure的新功能可讓Azure平臺上的開發人員利用Copilot以自然語言管理雲端資源。</p> <p>而在本周<a href="https://www.ithome.com.tw/news/162852" target="_blank">OpenAI</a>及<a href="https://www.ithome.com.tw/news/162877" target="_blank">Google I/O</a>相繼有重大AI服務宣布後，可以想見，微軟可能還會公布其他旗艦級產品消息。</p> </div></div></div>
2024/5/17 08:53作者林妍溱https://www.ithome.com.tw/news/162919
SAS技術長重磅揭露生成式AI產品策略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「過去，企業想靠AI獲益，就得自建AI。現在，企業則是買AI服務來優化業務，生成式AI亦是。」SAS技術長Byan Harris在今年度Innovate 2024大會開幕式上，一語道出企業AI需求轉向，這個轉向，也正是老牌數據分析大廠SAS產品布局的重要參考。</p> <p>於是，在今年大會上，他們以生成式AI深化AI產品策略，不只端出智能開發助理、高品質的合成資料產生器，還有生成式AI加持的新產品與新功能，如AI開發工具、開箱即用的AI模型套件等。他們如何從統計分析起家，運用生成式AI鞏固AI產品線？</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從數據分析起家，近年轉型為AI供應商</strong></span></span></p> <p>很難想像六十多年前的1960年代，臺灣才剛進入電視時代，遠在太平洋另一端的美國，就有8所南部大學聯手，要開發一套通用統計軟體，來分析多樣的農業數據。</p> <p>這項軟體開發專案以北卡羅來納州立大學為首，因為他們擁有當時先進的大型主機，有足夠算力處理巨量資料。1976年，他們成立同名軟體公司、正式開賣第一代統計分析系統（Statistical Analysis System），賽仕電腦（SAS）從此誕生。往後的數十年，他們成為財富500強企業的愛用品牌，在臺灣還有500多家產業用戶。</p> <p>2016年是一個重要轉捩點。他們推出新一代主力產品雲端資料分析平臺SAS Viya，提供視覺化分析統計、資料探勘和機器學習應用，甚至整合當時熱門的IoT數據分析，打下後來AI產品布局的重要基礎。</p> <p>之後，他們以Viya為主軸，持續擴大AI產品和功能，尤其增添模型生命周期管理功能與服務，從建模前的資料處理、建模時的模型選擇、模型訓練、AI部署和上線後監控等環節，甚至是AutoML等自動化處理機制，也都包含在內，轉型成了AI生命周期管理工具的供應商。</p> <p>在產品形式上，他們瞄準3大類角色需求，包括自建AI者、解決方案購買者、模型訂閱者，來打造相對應的產品和服務。比如，SAS針對需要自建模型的企業，就提供了建模平臺，來讓企業使用。針對有設備管理需求的企業，則提供維修預測解決方案。又或是企業需要輕量化模型來優化供應鏈作業，SAS也推出API模型訂閱服務，來讓業者整合至既有的技術生態圈中。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>生成式AI策略亮點1：多功能開發助理</strong></span></span></p> <p>這還不夠。面對生成式AI迅速爆紅，SAS隨之調整AI產品發展方向，先是在2023年年會上宣布大型語言模型（LLM）新策略，要將微軟Azure OpenAI服務整合至Viya生態系。</p> <p>於是，今年他們實作出生成式AI產品，首先是在大會上發表的多功能SAS Viya Copilot智能開發助理。Bryan Harris說明，為確保LLM正確回答，SAS早已建立一套機制，能將使用者輸入的問題，對比系統內建儲存的提示（Prompts）和企業知識庫，並以SAS計量引擎來強化LLM的回答邏輯，確保問答內容高度一致，滿足企業實務需求。</p> <p>有了這份保障，SAS首度亮相的生成式AI智能助理Viya Copilot，可執行資料清理、資料探勘、機器學習建模、統計分析、程式碼生成等任務，甚至還能客製化，供企業打造符合各產業需求的小幫手，提高開發者、資料科學家和業務使用者的生產力。</p> <p>SAS全球AI與GenAI產品策略負責人Marinela Profi進一步舉例，Viya Copilot可幫助使用者思考分析應用新情境，比如，使用者想從既有資料集中，找出可行的分析應用，這時就能詢問Viya Copilot「目前有哪些可分析的資料集」，助理搜尋資料庫後即顯示可用資料集，如美國每日空氣品質資料集和每月空氣品質資料。</p> <p>此時，使用者可點選想要分析的資料集，假設是美國每月空氣品質資料集，Viya Copilot就會給出可行的分析點子，如趨勢分析、地理分析、季節分析或州與州的對比等。使用者點選其中一項後，系統會產出相對應的分析圖表，供使用者參考或詢問後續分析應用問題。資料科學出身的Marinela Profi補充，智能助理的這種用法不只加速資料清理工作，還支援多種語言，如義大利文、西班牙文、中文、阿拉伯文和英文等。</p> <p>除了給分析情境點子，Viya Copilot還能根據資料集給出建模建議，比如時間序列預測、迴歸分析、廣義線性模型、機器學習等。使用者只要點選提供的建議，智能助理就會快速執行、給出結果。甚至，使用者還能透過Viya Copilot生成儀表板，來呈現這些建模或分析成果，供內部決策高層參考。</p> <p>不只如此，Marinela Profi點出，使用者還能順著前面執行的分析結果或建模結果，要求Viya Copilot顯示這些結果的原始程式碼，並在SAS Studio開發環境中開啟。之後，使用者也能在開發環境中使用智能助理，來處理程式碼任務，如常見的程式碼生成、解釋、除錯、精進和轉換（如將Python轉為SAS語言）等，甚至還能「發想」，要助理給出可行的應用建議。</p> <p>Marinela Profi現場實作，智能助理根據給定的程式碼，如前述建模結果的程式碼，來提供幾種發想建議，像是修正預測模型、調整預測期、增強視覺化和錯誤分析等。使用者只要點選其中一項，智能助理就會進行下一個任務。</p> <p>甚至，「你還能客製化打造自己產業專屬的智能助理！」她表示，使用者可打開客製化視窗，輸入想要的助理名稱、任務描述，再上傳一些企業文件，就能快速打造客製化的Viya Copilot助理，如保險、銀行、醫療等產業專用助理。她強調，企業資料皆保留在企業端，並不會上傳至SAS端。</p> <p>目前這個Viya Copilot助理開放特定用戶預覽使用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>生成式AI亮點2：合成資料產生器</strong></span></span></p> <p>今年度大會上揭露的另一款生成式AI亮點產品，是一款無程式碼／低程式碼的合成資料產生器Data Maker，可用來快速生成高品質的合成資料。一如智能助理，SAS在去年年會上，就預告合成資料工具的研發。當時，他們擴展生成式對抗網路（GAN）演算法、優化預測模型，今年則正式發布用來生成合成資料的工具。</p> <p>Bryan Harris表示，他們開發這款工具的目的，是因為真實世界資料的運用面臨許多挑戰，比如取得成本高、數量不足、有隱私疑慮或存在偏差（Bias）。於是，為解決痛點、讓使用者有足夠的高品質資料來打造AI應用，SAS 設計出Data Maker。</p> <p>這款工具可讓使用者生成高品質的合成資料，還兼顧資料隱私與安全，更有利於後續的AI模型訓練和分析應用。Marinela Profi接著說明，在操作上，使用者上傳真實的範本資料後，即可點選生成合成資料。產出合成資料的同時，系統也會自動給出合成資料的品質分數，以及與上傳資料的相關性、分布、差異和合成資料樣本等細節，供使用者檢視比對。而產出的合成資料，會以csv形式提供，使用者可下載用於其它用途。目前，這個產生器已對特定使用者開放預覽測試。</p> <p>美國紙張木材製造龍頭大廠Georgia-Pacific的AI資深總監Sam Coyne還現身說法，他們自行打造一款ChatGP智慧助理，底層採用AWS機器學習服務、SAS智能決策服務，再加上建模、知識處理等工具輔助，打造出上層的智能助理，進一步納入合成資料產生器，來產出合成的木頭影像，可用來加強AI影像辨識能力。</p> <p>除了Viya Copilot和合成資料產生器，SAS針對生成式AI強化分析平臺支援能力、新添不少GenAI功能。比如，Viya平臺新增生成式AI調度機制，能將現有平臺系統整合更多外部生成式AI模型，來讓使用者用LLM打造所需工具。同時，SAS行銷科技工具Customer Intelligence 360在去年增加即時行銷計畫、客戶旅程設計和創意開發等生成式AI功能的基礎上，今年進一步新添3大新GenAI特點，包括可用自然語言提示來鎖定推薦的受眾群體、可用問答方式來理解受眾數據，以及生成式AI建議的Email標題等。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>生成式AI亮點3：AI開發工具</strong></span></span></p> <p>另一方面，用生成式AI深化雲端資料分析平臺主線之餘，SAS在2023年大會就預告，將擴展AI開發工具產品線，包括2大低門檻AI應用開發工具Workbench和App Factory，要搶進AI開發市場。</p> <p>在今年技術年會上，Bryan Harris進一步宣布AI應用開發工具Workbench正式上線，這是一款隨選的雲端開發分析環境，使用者可用偏好的程式語言，如SAS、Python來建模與分析，今年預計還會新添R語言。</p> <p>尤其Viya Workbench主打自助式服務，開發者可按需求來進行資料分析和建立機器學習模型，而且模型程式撰寫、程式碼最佳化和測試等過程都能簡化，比如透過SAS分析程式（PROC）和Python API來加速模型開發，或結合Python函示庫來提高執行效能，還不需大幅更改Python程式。該工具能在更短時間啟動處理大型資料集和複雜運算，減少原本所需的IT成本。</p> <p>如同其他AI開發工具，Viya Workbench可用來建模、訓練和評估模型，它也添加生成式AI優化，開發者可用自然語言提示，來生成SAS語言的程式碼、進一步編輯，或進行程式語言轉換，來加速開發作業。除了在SAS自家平臺使用，Viya Workbench還將在今年第2季透過Amazon AWS Marketplace提供，未來還會擴大到更多雲端供應商和SaaS部署選項。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>生成式AI亮點4：開箱即用AI模型套件</strong></span></span></p> <p>不只是AI開發工具的擴張，這次，Bryan Harris也根據2023年預告的模型即產品（Models as Products）模式，即結合自家多年顧問經驗、智財和資產來打造產業專屬AI模型產品，進一步宣布推出SAS Models模型服務，也就是一款AI模型套件。呼應了開場那句「現在，企業透過購買AI服務來盡可能優化業務」的需求轉向，也是因應「模型訂閱者」需求的新產品。</p> <p>這款AI模型套件，「是我們先前宣布投資十億美元發展產業服務的承諾之一。」SAS AI暨進階分析副總裁Udo Sglavo指出，這個套件採個人授權制，內含一系列輕量級、為不同產業設計的AI模型，並結合SAS自家解決方案，如平臺服務，可用來加速企業部署AI的工作流程。</p> <p>AI模型套件的目的，是要讓企業以更低門檻、更彈性的方式來打造AI應用，且有別於傳統耗費多時的AI實作流程，AI模型套件中包含的模型經特別設計，可快速整合企業系統，快速實現可信任AI、部署上線。</p> <p>SAS強調，目前市場主流大多聚焦以LLM為主的生成式AI，但實際狀況是，LLM只是真實世界中正式部署AI的一小部分。因此，他們這次推出的AI模型套件不單只是LLM，還針對特定產業設計專屬模型，如欺詐偵測、供應鏈優化、企業／組織管理、文件對話和醫療照護支付整合等。</p> <p>Udo Sglavo現場揭露一款文件視覺（Document Vision）模型，可將非結構化資料轉換成結構化資料，比如將包含手寫資訊和表格圖片的PDF文件，轉換為JSON檔案或SAS資料集、Parquet檔案等，還能進一步整合至SAS Viya平臺，以便進行後續分析應用。這是AI模型套件中第一波揭露的模型之一，預計今年晚些時候正式上線。</p> <p>AI模型套件主打降低使用門檻、開箱即用。Udo Sglavo進一步說明，這個模型套件中的模型，可應用於各種產業和情境，像是金融、物流、製造、政府機構、醫療、法律和稅務等領域，甚至能讓不具專業技能的使用者透過自然語言提示，來執行分析任務，大幅降低使用門檻。</p> <p>這項產品的發布，正是SAS去年提出的模型即產品模式實踐，也是另一款具備生成式AI特點的重要產品。</p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> Viya Copilot功能 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Viya%20Copilot%E5%8A%9F%E8%83%BD1%EF%BC%9A%E5%88%86%E6%9E%90%E5%BB%BA%E8%AD%B0.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 功能1：分析建議 </span></strong></span></p> <p><span style="color:#696969;"><strong>使用者可透過Viya Copilot助理找出可行的建模或分析應用，比如先請助理找出合適的資料集，再請助理給出可行的建模／分析方式，擇一點選即可獲得結果。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Viya%20Copilot%E5%8A%9F%E8%83%BD2%EF%BC%9A%E7%A8%8B%E5%BC%8F%E7%A2%BC%E5%BB%BA%E8%AD%B0.png" style="width: 564px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 功能2：程式碼建議 </span></strong></span></p> <p><span style="color:#696969;"><strong>使用者可要求助理將前述的建模或分析結果，以程式碼方式呈現，並能在SAS開發環境開啟。之後，使用者一樣能使用智能助理，來執行多種程式碼功能。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Viya%20Copilot%E5%8A%9F%E8%83%BD3%EF%BC%9A%E5%AE%A2%E8%A3%BD%E5%8C%96.png" style="width: 558px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 功能3：客製化 </span></strong></span></p> <p><span style="color:#696969;"><strong>除了常見的分析和程式碼功能，使用者還能客製化，打造產業專屬的智能助理。只要輸入名稱、任務描述和上傳一些企業資料，就能建立客製化開發助理。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 合成資料工具 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1182-%E5%90%88%E6%88%90%E8%B3%87%E6%96%99%E7%94%A2%E7%94%9F%E5%99%A8.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 合成資料產生器 </span></strong></span></p> <p><span style="color:#696969;"><strong>使用者上傳一份真實範例資料，這款合成資料產生器就能生成合成資料，並給出品質分數，以及與真實資料的相關性、分布等數據。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1182-%E5%90%88%E6%88%90%E8%B3%87%E6%96%99%E6%87%89%E7%94%A8%E5%AF%A6%E4%BE%8B.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 合成資料應用實例 </span></strong></span></p> <p><span style="color:#696969;"><strong>紙張木材製造龍頭廠商Georgia-Pacific在自行開發的智能助理ChatGP中，結合這款合成資料產生器，可用來生成木樁圖像，來強化AI模型辨識能力。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 非結構化資料轉換模型 </span></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1182-%E6%96%B0%E6%8E%A8%E6%96%87%E4%BB%B6%E8%A6%96%E8%A6%BA%E6%A8%A1%E5%9E%8B.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 新推文件視覺模型 </span></strong></span></p> <p><span style="color:#696969;"><strong>SAS在新推的AI模型套件中揭露一款文件視覺模型，可將包含手寫資訊和圖表的PDF等非結構化資料，轉換為結構化資料。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1182-PDF%E8%A1%A8%E6%A0%BC%E8%BD%89%E6%88%90JSON%E6%A0%BC%E5%BC%8F.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> PDF表格轉成JSON格式 </span></strong></span></p> <p><span style="color:#696969;"><strong>該模型可將前述PDF文件，轉換為JSON格式檔案，供使用者進行後續分析應用或其他處置。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><span style="color:#FFFFFF;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1182-PDF%E8%A1%A8%E6%A0%BC%E8%BC%B8%E5%87%BA%E6%88%90Parquet%E6%A0%BC%E5%BC%8F.png" style="width: 600px;" /></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> PDF表格輸出成Parquet格式 </span></strong></span></p> <p><span style="color:#696969;"><strong>不只是JSON檔案，文件視覺模型還能將PDF資料轉換為其他格式，如符合SAS平臺本身規格的檔案，或是Parquet格式檔案。該模型預計今年正式上線。</strong><span style="font-size:14px;">（圖片來源／SAS）</span></span></p> <p><a href="https://www.ithome.com.tw/article/162903" style="font-size: 22px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多相關報導請見 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1182-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=RDLjwB3I" style="width: 550px;" /></strong></a></p> </div></div></div>
2024/5/17 06:00作者王若樸https://www.ithome.com.tw/news/162871
SAS揭露3大類AI監管與治理工具與服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不只主打生成式AI，在今年Innovate 2024年會上，數據分析大廠SAS還聚焦另一關鍵領域：AI監管與治理，並推出新工具和服務，來因應日漸高漲的企業需求。</p> <p>這些新產品，包括整合在雲端資料分析平臺Viya、猶如營養標示卡的AI模型卡（Model Cards），清楚顯示模型各種指標，如準確率、模型漂移等。另一產品是SAS AI治理顧問服務，透過會議輔導方式，來協助企業落實合規的AI治理，同時，他們還釋出可信任AI生命周期（Trustworthy AI Life Cycle）工作流程，專門對應美國國家標準暨技術研究院（NIST）制定的AI風險管理框架需求，方便企業實踐風險管制。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>3年前就開始布局AI監管發展藍圖</strong></span></span></p> <p>這不是SAS第一次聚焦AI監管與治理。早在2019年，SAS在主力產品Viya平臺新添自動化機器學習建模功能的同時，就高調宣布了機器學習模型的解釋功能，來因應企業和監管單位對AI黑盒子的擔憂，藉此提高模型透明度和可解釋性。</p> <p>後來，2021年，他們進一步鎖定AI倫理，發起數據倫理措施（Data Ethics Practice），由時任SAS總監、現任SAS副總裁的Reggie Townsend擔任指揮官角色。當時，他才剛被任命為美國商務部國家人工智慧諮詢委員會（NAIAC）成員，負責對美國政府提供AI發展建議。而對內，他則負責組成SAS跨職能團隊，來指導、整合全球作業，以公平方式開發和部署兼具包容性的AI，提供給內外部顧客。</p> <p>隔年，SAS在數據倫理措施的原則下，進一步發起負責任創新行動，要全面開發負責任的演算法、AI應用，甚至要找出整個創新過程中可能發生的偏見，並在模型部署的每個階段確保公平性。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AI監管與治理亮點1：模型標示卡</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E6%A8%A1%E5%9E%8B%E5%8D%A1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-SAS.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>SAS今年年會發表的AI模型卡猶如模型的營養成分表，記載了模型各種關鍵指標和變動記錄，方便企業使用者落實AI監管措施。</strong><span style="font-size: 14px;">（圖片來源／SAS）</span></span></p> <p>在這些策略基礎下，今年，SAS首度亮相了AI監管工具模型卡。這是因為，如何將AI模型以通俗易懂的方式，呈現給所有參與AI生命周期工作中的人員，是一件很困難的事。再加上AI監管法規在世界各地越來越嚴格，比如歐盟議會今年3月通過AI法案，來規範AI風險等級與相應措施，美國去年則發布AI行政命令，同樣規範AI系統風險和對社會的衝擊與因應方法。</p> <p>臺灣去年則由行政院提出公家機關生成式AI指引，年底則有產業主管機關發布金融業運用AI指引草案，來規範金融機構使用AI需達到的公平性、可解釋性等要求，今年初數位部旗下AI評測中心則發布包含公平性、準確度等指標在內的評測規範。對企業來說，如何呈現模型表現和相關指標，讓監管機構容易理解，成為另一重要課題。</p> <p>看準這波需求，Reggie Townsend在2024年年會上揭露模型卡功能，能讓企業或組織內的利害關係人，不論是開發者還是董事會董事，都能查看易懂的模型重要資訊。這個模型卡功能，預計今年中正式上線。</p> <p>模型卡的運作方式是，直接根據SAS產品內容來為使用者註冊的模型，自動產生模型卡，使用者不必手動建立。不只是SAS平臺提供的模型，因SAS Viya已有用於管理開源的架構，因此也能替開源模型自動建立模型卡，目前從Python模型開始支援。</p> <p>模型卡內容會特別突顯準確性、公平性和模型漂移等指標。尤其，模型漂移是模型性能隨條件變化而下降的重要指標，可用來判斷模型的適用性。</p> <p>除了這些，模型卡還包含詳細的模型治理資訊，像是模型上次修改的時間、誰對模型做出貢獻、哪些人對模型負責等，方便使用者組織解決模型效能異常問題。SAS表示，模型卡還涵蓋模型使用資訊，可供企業或組織查明預期用途、超出範圍的應用和限制資訊。對企業和組織來說，這些訊息可因應業務營運所需的透明度和規範檢查，讓使用單位更輕鬆符合法遵。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AI監管與治理亮點2：顧問服務與監管工具</strong></span></span></p> <p>除了提供模型指標，為更進一步提供現有顧客AI監管和治理服務，SAS自己也成立了AI治理顧問服務（AI Governance Advisory）團隊，透過會議方式來協助企業達到AI治理目標。目前，SAS已試辦這項顧問服務，其中中東歐洲最大的金融機構PZU波蘭保險集團，就有採用。</p> <p>PZU集團部署了300個AI和機器學習模型來協助日常業務營運，如客戶分析、欺詐偵測等。但近幾年，AI監管法規越來越完備，PZU集團便在去年5月開始與SAS AI治理顧問團隊展開專案，來建立更完善的AI監管與治理制度。</p> <p>他們表示，這個試辦服務可為企業帶來幾大好處，包括從可信任且分散式的決策制定中，取得更高生產力，或是透過更好地劃分資料當責性，來加深信任，以及能留住呼籲負責任創新的高階人才等。</p> <p>另一方面，SAS也注意到美國NIST在去年推出的AI風險管理框架（AI RMF）。這是一份關於AI系統設計、開發、部署和使用的指南，也成為美國企業組織在缺乏官方法規的情況下，用來設計可信任和負責任AI的重要參考。</p> <p>於是，SAS根據NIST AI風險管理框架，設計出一套可信任AI生命周期工作流程，來讓企業和組織更容易實作NIST的AI風險管理框架。</p> <p>首先，這款工作流程定義了個別角色和工作期望，並收集所需文件、列出考量因素，透過自動化來簡化實作的工作流程。之後，企業或組織會得到一個正式模型，附帶一個文件，來說明他們已做好盡職調查、確保模型是公平的，且作業流程不會造成任何傷害。</p> <p>除此之外，這款工作流程還能讓使用者記載，自家AI系統可能產生的社會影響思考。</p> <p>比如，使用者可透過工作流程的幾個步驟，來確保訓練資料能足夠代表被影響的受眾群體，且模型的預測能力和表現，在受保護的類別中都差不多。這些步驟可確保模型不會造成負面影響，或傷害特定群體，而且，使用者還能建立人為介入（Human-in-the-loop）的任務，來確保模型一直準確、有效。</p> <p>目前，使用者可從SAS模型管理資源的GitHub上，下載可信任AI生命周期工作流程。預計不久後，使用者也能在NIST AI風險中心下載這個工作流程。</p> <p><a href="https://www.ithome.com.tw/article/162903" style="font-size: 22px;" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多相關報導請見 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1182-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=RDLjwB3I" style="width: 550px;" /></strong></a></p> </div></div></div>
2024/5/17 06:00作者王若樸https://www.ithome.com.tw/news/162899
中東歐最大金融集團如何治理AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一家擁有200年歷史、中東歐洲地區最大的金融集團，此時此刻正靠300多個AI模型協助執行旗下業務，他們如何管理這些模型？如何實現AI治理？</p> <p>「首先要確保資料品質、劃定資料角色和權責，最後引入第三方輔助和建議，來完善AI治理制度，」波蘭保險集團PZU數據長暨分析長Marek Wilczewski在一場會議上說道。對他們來說，這場AI治理之旅也才剛開始。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>部署300個模型支援業務，還成立資料治理委員會</strong></span></span></p> <p>PZU這家保險集團最初於1803年問世，以經營保險和銀行業務起家。200多年後的今天，他們被評為中、東歐地區最大保險與銀行集團，2022年淨收益達7.22億歐元。</p> <p>隨著業務不斷增長，PZU發展出幾條主要產品線，像是產物保險、人壽保險、資產管理規模（AUM）等。為因應這些增長，PZU集團在制定2021年至2024年的年度策略時，規畫出穩定、誠實、負責和創新等4大面向，更將AI／機器學習（ML）、進階分析、數位化和流程優化列為創新重點，同時也在誠實面向強調透明度和法遵。這些策略重點，成為了PZU集團推動AI監管治理的遠因。</p> <p>他們重視AI與數位化，是因為PZU集團在過去25年來，一直運用大量資料來協助業務發展。比如，在這數十年間，他們整合了100多套來源系統的數據，也培養出3,300多位活躍的BI使用者。這些數據，主要用來打造各種業務工具，如行銷、客戶價值洞察、獲取新客、留客、保險理賠、詐欺偵測、風險管理、員工與銷售網路管理等。</p> <p>「資料已成為我們的關鍵資產！」Marek Wilczewski說明，這些資料促使PZU集團發展出進階AI分析應用，目前部署超過300個AI／ML模型，來協助精算、客戶關係管理（CRM）、欺詐管理和保險理賠等領域業務。</p> <p>他進一步舉例，就ML來說，他們運用廣義線性模型（GLM）、梯度提升模型（GBM）和資料探勘等技術，來輔助保險精算、核保、CRM、理賠和欺詐偵測等作業。在AI應用上，PZU集團則與新創公司一起打造內部解決方案，比如他們有套通過醫學認證的1分鐘皮膚檢測App，能針對使用者的皮膚影像，來判斷皮膚癌風險；另也有套客服AI，能根據使用者提供的物件照片快速判斷損壞程度，同時偵測欺詐的可能性。甚至，他們還結合衛星影像，打造一款照片分析和偵測工具，能用來比對衛星照片，進一步判斷農業保護申請理賠的損害程度與理賠內容，加速理賠流程。</p> <p>不只如此，PZU集團還部署了90支RPA自動化機器人，用於100多個作業流程，每年使用量更高達1,100多萬次。</p> <p>面對如此大量的AI應用，PZU集團也早已發展出成熟的模型維運（ModelOps）作法。Marek Wilczewski指出，他們將模型維運成熟度分為3個等級，第1級是初階的製造階段，包括進行PoC專案／最小可行性專案MVP、仍需手動建模和驗證，但開始建立AI／ML工具鏈和技能知識。</p> <p>第2等級是工廠階段，包括具備可擴展、統一的模型開發部署與監控方法，建立標準化的分析流程、集中管理模型庫和程式碼版本、強化透明度和可解釋性文化等，但品質評估仍需人工手動處理。最後一級是工業化階段，即具備集團等級的角色分工與原則、產業化擴展性、模型交付時間縮短、具流程自動化和自助式的業務工具、能自動化重新訓練模型、元件可重複使用等，Marek Wilczewski點出，PZU集團就正處於第3級的工業化階段。</p> <p>也因此，如此仰賴資料的PZU集團，在好幾年前就已制定一套資料治理模式和原則，來定期檢測和管理資料品質。Marek Wilczewski直言：「人的問題很難處理，因為沒人想對資料品質負責。」於是，他們當時推派各大高階主管，來成立資料治理委員會，並定義各種資料角色，包括資料擁有者、業務系統擁有者、資訊使用者、領域專家和支援角色等，並對這些角色分派不同的資料管理責任，以確保資料持續發揮商業價值為由，來要求各部門職員，做好資料管理工作。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>因應AI監管法規，PZU找來第三方建立治理機制</strong></span></span></p> <p>但Marek Wilczewski話鋒一轉，這2年，各國際組織和大國大動作推動AI監管法規，比如去年美國發布AI行政命令、美國國家標準暨技術研究院（NIST）發布AI風險管理框架、今年3月歐盟議會通過AI法案等。他表示，這些法規的共通點，都是對AI系統可能造成的社會和環境風險分級，並對高風險AI系統要求透明、負責、合乎倫理，且必須要有監管單位出現、對違規者祭出罰則。</p> <p>有鑑於此，PZU集團也動起來，要建立更完善的AI監管與治理機制，而非只靠原有的資料治理作法。於是，在原本的資料品質控管和資料治理基礎上，PZU集團資料治理委員會進一步成立AI監管團隊，由一個特殊的資訊管理部門主導。這個部門很特別，其成員為各個業務和IT單位的代表，且每位代表都對應到AI法案有關的領域。</p> <p>與此同時，PZU集團也開始評估第三方廠商，想藉第三方之力來完善AI治理機制。Marek Wilczewski表示，他們研究發現，大型供應商如微軟、Google、IBM、SAS等皆有各自因應歐盟AI法案的負責任AI作法，但他們最後選擇SAS，不只因為SAS近年發起數據倫理措施（DEP）和AI治理顧問服務，還因為PZU集團自1995年開始，就採用SAS的資料倉儲、BI和分析解決方案，來處理客戶關係管理、欺詐管理等重要業務。</p> <p>於是，2023年5月至11月，雙方展開第一階段合作。他們先是建立AI監管治理框架，將其切分為4大方向，包括監督、法遵與控制、文化、平臺與維運。其中，監督是指整個集團的AI治理、策略及執行成效，法遵與控制則指效能、風險管理，平臺與維運包括基礎設施支援的標準流程，文化則指系統性的治理規則與措施。</p> <p>在第一階段，他們先鎖定資料來源為內部的AI應用，將其納入AI監管治理範圍。這個AI監管治理流程，可分為輸入階段、AI治理團隊研討階段，以及將選中的AI應用或產品，來進行4大方向分析與核對階段。就輸入階段來說，他們參考了外部法規、負責任AI規則、PZU集團與外部合作夥伴、外部法律觀點，接著由AI治理團隊開設研討會，來對AI應用進行資料、分析、安全、業務、創新、IT、法遵和風險等面向討論。</p> <p>之後，選定的AI產品會進行框架4面向分析，例如在監督部分，需符合AI系統定義、建立符合規範的風險管理模式，在法遵與控制部分，則進行風險分級分類、確認相依性，在文化部分則要符合AI模型列管清單、滿足負責任和可信任AI定義。至於平臺與維運部分，則要能供自助式使用，還要符合合作規則等。</p> <p>不只如此，PZU也參考廠商提出的技術性AI治理框架，包括資料管理、解釋性、偵測能力、隱私與安全、應對措施和模型維運的做法。其中，資料管理涵蓋資料品質、註釋資料（Metadata）、資料準備和資料資產目錄，解釋性則指自然語言解釋、因果推論、代理模型解釋等，偵測能力則是針對偏差和公平性的偵測與評估，應對措施包括降低和預防偏差、運用合成資料等。而模型維運，則涵蓋生命周期管理、模型決策與監控。這些技術性要求，也是PZU集團的AI治理目標，接下來，他們將繼續標準化更多AI應用流程，並將使用外部資料來源的AI應用，也納入治理範圍。</p> <p><a href="https://www.ithome.com.tw/article/162903" style="font-size: 22px;" target="_blank"><strong><span style="color:#FFFFFF;"><span style="background-color: rgb(51, 153, 255);"> 更多相關報導請見 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1182-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=RDLjwB3I" style="width: 550px;" /></strong></a></p> </div></div></div>
2024/5/17 06:00作者王若樸https://www.ithome.com.tw/news/162900
SAS揭露3大創新實驗方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI應用已成各科技大廠技術年會的標配，除了它，還有哪些技術能讓人耳目一新？</p> <p>轉型為AI工具供應商的老牌數據分析大廠SAS在今年度Innovate 2024大會上，不意外地力擁生成式AI，發表智能開發助理、合成資料產生器、AI應用開發工具和更多生成式AI功能，同時也擴展AI監管工具和治理顧問服務，來鞏固AI產品線。</p> <p>但在年會最後一天，他們揭露創新實驗室發展亮點，瞄準未來趨勢，包括數位雙生、實體整合（Entity resolution）和量子運算等3大主軸。</p> <p>其中，數位雙生就像是企業的分身，可透過數位方式預測特定情境下的運行變化，實體整合則指將零散、有缺失的資料歸戶到同一個實體，量子運算則可用來加速原本耗時的複雜運算，如腎臟移植匹配。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>創新亮點1：數位雙生</strong></span></span></p> <p>數位雙生並非第一次出現在SAS年會上。2023年，SAS技術長Bryan Harris在該年年會上就強調數位雙生，透過建置企業的數位身分，包括組織人事、營運細節、進銷貨、物流等關鍵數據，就能用來模擬「假如......會怎樣？」的情境，尤其是企業業務中斷的模擬，或供應鏈發生問題時的衝擊預測，來加速企業的反應能力。</p> <p>今年，SAS執行長辦公室執行副總裁Gavin Day延續這個主軸，進一步說明，數位雙生是將實體資產虛擬化模擬的作法，如建築、人、組織等，可用來模擬、預測特定條件下的可能變化。現場以一家大型零售廠商為例，該廠使用者可在SAS平臺儀表板上，檢視物流、供應鏈和整體表現數據。甚至，SAS本次揭露的Viya Copilot智能助理，還整合數位雙生，能在平臺上自動提示使用者營收和生產變化，比如根據最新資訊預測，整體營收可達到89萬美金，但某項產品可能無法達到預期生產量，並給出具體的缺失數量。接著，使用者可詢問這個缺失何時會發生，助理就會給出詳細月份，供企業預先準備。</p> <p>另一方面，使用者也能透過智能助理，來詢問、模擬不同決策的可能狀況，比如決策者接受公司訊息通知，分部工廠將關廠30天，此時就能詢問智能助理，關廠30天可能帶來的收益和服務衝擊。又或是，這個關廠對某項產品的買一送一促銷活動，有何影響。</p> <p>在這些問題背後，系統會進行一連串模擬運算，並在給出智能助理文字回答的同時，也會在平臺儀表板上，顯示各項指標的預測數字，如獲利、營收、服務水準和生產單位等。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>創新亮點2：實體整合</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1182-%E5%B0%81%E9%9D%A2P6-%E8%8B%A5%E6%A8%B8-%E5%89%B5%E6%96%B0-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FSAS.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">實體整合（Entity resolution）是指將來自不同系統的資料，整合、歸戶到同一實體上，比如將州政府各個系統的人物資料，彙整為完整的單一檔案。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">（圖片來源／SAS）</span></span></p> <p>另一創新重點是實體整合，這是一種將來自不同系統的分散資訊，歸戶到同一個實體（Entity）的作法，又可稱為數據匹配。Gavin Day指出，實體整合很重要，不只能獲得一個完整的實體數據，對AI開發來說，更能達到資料清理的效用。因為透過數據匹配、將零散的資料歸戶清理乾淨，就能降低「Garbage in，garbage out」的窘境。</p> <p>SAS資深資料科學家Charles Cavalier現場舉例，實體整合可用於資料歸戶，比如美國各個州政府系統中，有著各式各樣的民眾資料，如教育資料、駕照、醫療資料、稅收資料等，同一位民眾在不同系統的資料，可能以不同姓名寫法呈現（如縮寫），或可能缺失某些重要資訊（如電話中間碼、車牌號碼等）。但透過深度學習等方法，從不同系統中、眾多類似人名的資料裡，正確歸納出特定個人的完整資訊，這就是實體整合。實體整合使用到的技術，則包括機器學習、深度學習和圖類神經網路等，Charles Cavalier強調，原本在單一類別或系統中缺失的資料（如電話、教育程度等），甚至能因實體整合而補足。</p> <p>在實際應用上，就有國家政府機關，使用SAS Viya平臺和實體整合功能，來進行網路分析，進一步揪出稅務詐欺模式，他們也因此補足了60億筆稅務紀錄，也因抓出逃漏稅、獲得了額外的6.35億美元稅收。</p> <p>至於實體整合的下一步，Charles Cavalier透露，SAS AI建模團隊打算建置Transformer小型語言模型，作為基礎模型，接著對模型做實體整合任務微調，來讓模型學會實體分類，進一步提高實體整合的能力。他也表示，團隊目前正研究生成式資料處理技術和深度嵌入，搭配這些技術，就能用來在不同資料集中找出同一個實體的描述紀錄，就像是資料歸戶，另也能用於搜尋任務。之後，SAS計畫將這些能力整合到既有產品中。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>創新亮點3：量子運算</strong></span></span></p> <p>最後一項創新主軸是量子運算。早在年會開幕式上，Bryan Harris就揭露量子運算將是接下來SAS創新實驗室的重點發展，而且，「我們實驗發現，透過結合量子運算和傳統運算的混合運算架構，能大幅改善運算結果。」他也表示，量子運算在未來1、2年的發展，就會像是生成式AI之於AI一樣，帶來翻天覆地的變化。</p> <p>而SAS應用AI暨建模部門總監Jinxin Yi現場以腎臟捐贈配對為例，來說明量子運算加速後的運算結果。</p> <p>他表示，就腎臟移植配對來說，通常三分之一的捐贈者和受贈者無法第一次就配對成功。為解決這個問題，常見的做法是使用圖學，用點來代表捐贈者，以邊（點與點之間的直線距離）代表捐贈者與受贈者的匹配程度，並從這些點與邊形成的網路中，找出最合適的腎臟移植配對候選組，這個候選組可由好幾個點（即捐贈者與受贈者）組成。SAS團隊就採這種方法來計算。</p> <p>但這種方法，這需要大量且複雜的運算，就算是用SAS本身優化過的運算方法，也得要180秒才能得出99.4%的最佳解。但使用SAS打造的量子解算器，30秒就能找出100%的最佳解。</p> <p class="rtecenter"><strong><span style="color:#696969;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B0%81%E9%9D%A2P6-%E8%8B%A5%E6%A8%B8-%E5%89%B5%E6%96%B0-600-2%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8FSAS.png" style="width: 600px;" /></span></strong></p> <p><strong><span style="color:#696969;">SAS創新實驗室力推量子運算，以腎臟移植為例，為找出最合適的移植配對組，用量子解算器加速後，取得最佳解的時間可縮短為30秒。</span></strong><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／SAS）</span></p> <p><span style="font-size:22px;"><a href="https://www.ithome.com.tw/article/162903" target="_blank"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 更多相關報導請見 </span></strong></span></a></span><span style="color:#FFFFFF;"><span style="font-size:22px;"><a href="https://www.ithome.com.tw/article/162903" target="_blank"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1182-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=RDLjwB3I" style="width: 550px;" /></strong></a></span></span></p> </div></div></div>
2024/5/17 06:00作者王若樸https://www.ithome.com.tw/news/162901
不畏十年技術債升級難題，均一四年完成平臺大改造
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>技術汰舊換新，是每個經營超過十年的組織，都必須經歷的過程。營運邁入第12個年頭的均一教育平臺，也正在面對這項挑戰。</p> <p>均一教育平臺，是目前全臺最大的免費線上教育平臺，由非營利的均一平台教育基金會（簡稱均一）負責營運，提供超過9萬2千題練習題、3萬5千部教學影片，涵蓋國小至高中的教學資源，至今服務超過440萬名師生。</p> <p>均一平臺的基礎程式碼專案junyiacademy，複製自全球最大免費線上教學平臺可汗學院（Khan academy）2013年所釋出的開源程式碼，這是一套單體式架構的線上課程平臺系統。均一開發團隊更以此為基礎，十年來打造了許多在地化功能。隨著帳戶數和內容逐漸擴增，程式碼的複雜度與日俱增，後續的開發和維運也變得越來越不容易。</p> <p><span style="font-size:28px;"><strong>平臺發展超過十年，程式碼過時且架構複雜雙重挑戰</strong></span></p> <p>「早期看到蠻多產品發展機會、市場對接點，在基礎不夠好時就行動，造成了後續的疊床架屋。」均一平台教育基金會平臺營運總監蕭仲廷坦言。</p> <p>他回憶，組織草創初期，技術團隊尚未建立成熟的開發和管理知識，開發過程沒有確保程式碼的品質，隨著平臺內容和客製化功能越來越豐富，技術債也不斷累積，逐漸拖慢了開發新功能的速度。</p> <p>程式碼的架構複雜，不僅造成開發速度緩慢，後續維運不易，甚至，也讓開發團隊的自信心越來越低落。每當產品經理提出需求，技術人員往往得花大量時間改動相關的程式碼，越來越不敢給出太大的承諾，久而久之，「慢慢變成只做小功能，無法讓平臺大幅進展。」蕭仲廷說。雖無法治標，均一先建立監控機制，將程式臭蟲資訊視覺化，也調整開發流程來因應，但均一還有更大的挑戰。</p> <p>均一平臺所用的開發語言是Python 2，長年來，開發團隊都用同樣版本的開發語言，來打造各種新功能。但在2020年，Python軟體基金會宣布停止維護Python 2，無疑對均一投下一枚震撼彈。</p> <p>蕭仲廷表示，Python的優勢是豐富的生態圈，但在官方停止支援舊版語言後，新套件開發者可能會放棄支援舊版，這也意味著，開發語言不升級，恐怕未來無法使用新出現的好工具，「均一想不斷迭代各種新功能，無法使用新套件，對工程師是一件痛苦的事。」</p> <p>更大的風險是，「繼續使用舊版語言，就像溫水煮青蛙，」蕭仲廷解釋，系統乍看沒有問題，「一旦發生問題就會很難處理。」</p> <p>為了避免陷入這樣的困境，均一決定在2019年展開程式碼大升級，從Python 2升級至Python 3。</p> <p><span style="font-size:28px;"><strong>小規模嘗試微服務架構，卻造成後續維運不易</strong></span></p> <p>均一更希望趁著語言升級之際，同時改善程式碼架構的複雜度，蕭仲廷決定改用微服務架構，來改造原本的大型單體式系統。</p> <p>不過，是不是能夠直接用新版語言就地重構呢？均一志工先在2018年繪製出平臺母專案junyiacademy的相依性架構圖，發現不同節點間的相依性遠比想像中更複雜，不僅無法找出模組的邊界，模組之間也很難定義出上下層的位階，來進一步拆解。這也是可汗學院升級系統時遇到的同樣挑戰。</p> <p>均一所用的公雲環境，對Python 2和 3所支援的SDK截然不同，得花很大比例的程式碼人工修改才能支援新版。後來，均一決定放棄花了十年維護的母專案程式碼，不用新版語言重構，而是用Python 3直接開發全新版本的功能。均一也沒有一口氣同時改寫全套系統，而是從既有架構中，先拆出一支可以獨立提供的元件服務，先翻新該服務的程式碼，再陸續解除服務中多餘的依賴關係。經過小規模試做，均一成功將拆解出內容管理服務，先用Pyhone 3開發出了微服務的版本。</p> <p>均一原以為照著同樣的作法，就能慢慢將老舊架構上的元件和功能一一翻新，沒想到又遇到另一個難關，內容管理服務上線後，後續在維運上卻問題不斷。</p> <p>蕭仲廷解釋，平臺的核心是內容和帳號管理，許多案例和功能都依賴內容服務，彼此會有許多程式碼串接和整合。當這個核心功能獨立之後，反而提高了維運的困難度。例如，每次系統修改時，開發團隊得同時修改舊版平臺和新版內容服務兩邊的程式碼，增加了不少工作時間，有時開發人員修改程式碼時，忽略了另一邊的調整，反而衍生更多系統故障的可能性。</p> <p>經歷一番波折，均一決定將用新版語言開發的內容管理功能，再次整合回舊有單體式架構的系統中，暫時放棄獨立成微服務的做法。一切看似重頭來過，但蕭仲廷樂觀看待這一段過程，「至少我們嘗試過了架構精簡和升級Python 3，過程中也培養出升級程式碼的選題判斷力。」</p> <p><span style="font-size:28px;"><strong>重整旗鼓，歷經4年完成程式碼升級</strong></span></p> <p>即使遭遇架構轉換挫敗，均一並未因此停住腳步。2021年，他們轉而專注在程式碼升級工程，先逐步淘汰Python 2，將程式碼更換為Python 3。均一不是一口氣汰換所有程式碼，而是將舊版語言的程式碼，和新版語言的程式碼，分成兩支不同的服務同時執行，蕭仲廷以「邊開車邊換輪子」來形容這個做法，如此一來，「可以逐步修改程式碼，同時確保系統不會斷線。」</p> <p>在重整過時程式碼時，蕭仲廷坦言，「最大挑戰的是建立一步步的處理策略。」均一花了不少時間，</p> <p>才制定出一套程式碼升級的修改步驟，指派團隊中少數幾位工程師負責系統升級，歷經了4年，他們總共升級了400個API、200個頁面，也更新了20個第三方套件。</p> <p>在開發Python 3新版程式碼前，均一技術團隊先盤點出升級範圍，要求技術團隊不再用Python 2開發新功能，避免增加更多升級負擔，才開始改寫既有程式碼與Python 3相容，並且同步精簡程式碼。</p> <p>到了2021年第四季，均一完成了第一階段工程，不只完成了多項升級，更清除了一半的程式碼。到了2022年初，均一技術團隊開始更新所用的第三方Python套件，共計20個套件。他們也升級雲端基礎設施，來提供Python 3的執行環境。到了2022年，均一先完成了所有網頁頁面程式的升級。</p> <p>由於技術團隊中並非所有工程師都投入升級工程，因此，均一也在開發流程中設置了Python 3的程式碼檢核機制，確保新開發的功能不再使用過時程式碼。到了2023年，正式環境預設改用Python 3，3月時將內容管理服務整合回主站，陸續將相關API從v1版升級到了v2版本後，均一在2024年初完成了全部的升級，並在今年2月時移除了老舊程式碼，完成全平臺的升級工程。</p> <p>最近，均一技術團隊的焦點重新回到架構重整課題，再次挑戰將既有架構改為微服務架構。</p> <p>有了過往的經驗，均一團隊不再大刀闊斧，而是先從架構明確或周邊的功能開始著手。若產品經理期望改動較複雜的功能，技術團隊也會參考以往經驗，來評估可行性和時程。不只如此，均一也趁重整架構之際，同步找出可淘汰的平臺功能，來節省不必要的重構工作。目前，他們也將平臺前端伺服器部署到容器化雲端環境。未來，均一架構重整工程會對齊發展策略來調整。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1182_%E8%95%AD%E4%BB%B2%E5%BB%B7_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89_02.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>投入生成式AI應用，靠提示工程打造AI助教</strong></span></p> <p>除了汰換程式碼和架構重整，去年，均一也看準生成式AI的潛力，開始發展AI教學助理。蕭仲廷表示，過往均一內容偏重數理科教材，語言科目相對較弱。ChatGPT問世後，蕭仲廷看上其英文能力強，成了均一用來強化語言科目教材的切入點。</p> <p>例如，去年3月，均一推出英語口說助教Jutor測試版，讓學生同時練習英文檢定標準的聽力與閱讀，AI助教會提供改寫建議，以中文解釋更好的回答方式。正式版還能協助高中生練習學測英文作文，以學測的評分標準來批改使用者上傳的英文作文。</p> <p>今年四月，均一還推出了一款AI影片學習助教的測試版，可以協助老師生成備課資源，將平臺上的教學影片轉化為課程計畫，輸出搭配影片使用的學習單等，還能隨時回覆學生問題，並以蘇格拉底式的對話方式引導學生思考，而不是直接給予答案。</p> <p>均一主要透過提示工程來調校LLM模型的回應，打造出多款生成式AI應用。蕭仲廷解釋，他們注重探索更多潛在應用領域，「持續關注和嘗試，但不會躁進，」一旦出現更成熟的新技術或既有技術成本大幅降低，招募人力到位，他們就會切入發展教育領域AI。</p> <p><span style="font-size:28px;"><strong>期望吸引更多認同組織價值的技術人才</strong></span></p> <p>擔任平臺營運總監的蕭仲廷，在均一從事軟體開發已邁入第八個年頭。不過，蕭仲廷坦言，物理系畢業後，他無意往本科發展，對未來相當迷惘，為求一份穩定收入，才報名參加創業學校的課程，開始學習軟體開發。受訓時，他發現自己比他人能更快上手，漸漸地萌生了以技術協助他人的想法。結訓後，他留在創業學校協助培訓新創團隊。</p> <p>但蕭仲廷沒有忘記在培訓時萌生的想法，比起協助一群人，他更希望靠技術力，對社會發揮更大的影響力。蕭仲廷反覆問自己：「是不是我生命中接受的教育出了問題，導致我對未來迷茫？」這個疑問，促使他加入均一，希望靠自己的能力改善教育現況，幫助教育體系中的學生不再迷茫。沒想到，一待就過了8年。</p> <p>回首均一草創階段，軟體工程團隊人數不到十人，工程師不僅需要自己繪製介面，甚至要擔起產品經理的工作，前往教育現場蒐集第一線使用者需求。蕭仲廷沒有將這些工作視為負擔，反而認為自己十分幸運，能實際接觸到產品開發的全套流程。不同一般企業，「均一團隊成員更主動積極，更感受到自己的付出能對社會有所貢獻。」蕭仲廷說。</p> <p>進入均一不到一年，蕭仲廷主動接手開發教案共享平臺。菜鳥工程師的他，捲起袖子從零做起，從系統開發、雲端基礎設施管理、測試、設計介面，到部署上線，幾乎一手包辦，他也實際從教師社群尋找關鍵使用者，挖掘使用需求，開發相應的功能。系統正式上線後，不僅協助教師獲得更好的交流環境，也讓效益回饋至學生學習上，讓蕭仲廷得到不少成就感。</p> <p>有了當時的經驗，蕭仲廷帶領技術團隊時，願意嘗試理解不同工程師的開發願景，讓成員更有成就感。雖然非營利組織的薪資條件不如商業公司，但蕭仲廷相信，均一有機會吸引到更多願意嘗試不同路徑的資訊人才，就像八年前的他，將迷茫化為一份助力，用IT技術來提升臺灣的教育環境。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>均一平台教育基金會平臺營運總監蕭仲廷</strong></p> <p>學歷：臺灣師範大學物理學系</p> <p>經歷：大學畢業後參與課程與自學數位新創知識與撰寫程式碼的技能，曾在新創學校任職。在2016年加入均一，曾任軟體工程師、產品負責人、軟體組長，目前擔任平臺營運總監，帶領20人的平臺營運團隊，組織平臺開發走向，並在今年完成系統升級工程</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1182-%E5%9D%87%E4%B8%80%E5%B9%B3%E5%8F%B0%E6%95%99%E8%82%B2%E5%9F%BA%E9%87%91%E6%9C%83.jpg" style="width: 276px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 組織檔案 </span></strong></span></p> <p><strong>均一平台教育基金會</strong></p> <p>●成立時間：2017年（均一教育平臺在 2012 上線，由誠致教育基金會維運，在 2017 年底成立均一平台教育基金會後接手經營）</p> <p>●主要服務內容：營運線上教學平臺，免費提供全臺國小至高中師生使用、舉辦教師研習活動。累積註冊人次達485萬人。</p> <p>●員工數：截至2022年共72人</p> <p>●董事長兼執行長：呂冠緯</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 平臺營運部門檔案 </span></strong></span></p> <p>●平臺營運主管職稱：平臺營運總監</p> <p>●平臺營運部門主管姓名：蕭仲廷</p> <p>●平臺營運部門人數：20人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2012年：取得可汗學院授權後，沿用可汗學院約80萬行程式碼和教學影片，均一教育平臺正式上線</p> <p>●2013年：對應臺灣教育體制課程設計，開始錄製國小至高中的數學課程，開發對應的練習題</p> <p>●2014年~2016年：平臺建置更多教材內容，提供教學影片</p> <p>●2017年：均一教育平臺新增和優化多項功能、ShareClass平臺上線</p> <p>●2018年：新增教師自組卷功能和共享班級功能</p> <p>●2019年：運用AI診斷學生的學習能力，自動推薦符合學生能力的題目、小規模嘗試微服務架構</p> <p>●2021年：開始將Python 2升級至Python 3</p> <p>●2022年：升級第三方Python套件和雲端基礎設施、將獨立的內容管理功能整合回既有架構、升級頁面和API、建立Python 3單元測試</p> <p>●2023年：平臺前端伺服器和GAI工具測試環境改部署到公雲容器化服務</p> <p>●2024年：移除以Python 2撰寫的程式碼、完成程式碼升級工程、推出正式版英語口說助教Jutor和影片學習助教AI狐狸貓測試版</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1182-xiao_zhong_ting_-she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="均一平台教育基金會平臺營運總監蕭仲廷　（攝影／洪政偉）" /></div></div></div>
2024/5/17 06:00作者李昀璇https://www.ithome.com.tw/people/162902
老牌數據分析大廠押寶GenAI
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1182-feng_mian_p1-open-ruo_pu_-960x420_kao_bei_0.jpg?itok=RDLjwB3I" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">在今年Innovate 2024大會上，數據分析大廠SAS終於揭露生成式AI策略與產品，不只有AI分析智能助理Viya Copilot，還有高品質合成資料工具、AI開發工具和開箱即用的輕量化模型套件。同時，他們還擴展AI監管產品線與創新實驗方向，瞄準量子運算、數位雙生和實體整合</p> </div></div></div>
2024/5/17 06:00作者王若樸https://www.ithome.com.tw/article/162903
奇美醫院聯手新樓醫院，用共享雲端AI模式縮短城鄉醫療差距
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2022年8月，奇美醫院就與新樓醫院簽訂醫療人工智慧合作契約書，要透過導入奇美醫院的急診胸痛與肺炎雲端AI病情預測服務，來讓新樓醫院麻豆新樓醫院急診室使用，減輕急診醫師負擔。近2年後的今天，雙方揭露執行成果，比如透過AI預測胸痛病人1個月內死亡與心肌梗塞風險，來協助新樓醫院急診室醫師更快預測病情變化、提供適當的治療措施，對資淺的醫師特別有幫助。奇美醫院認為，這種成功的雲端AI分享模式不只縮短城鄉醫療數位落差，還可進一步擴大，比如鼓勵更多醫院貢獻各式AI應用服務、甚至發展出醫療AI市集，來提供更多樣的醫療服務。</p> <p><strong><span style="font-size:24px;">2022年展開合作，胸痛預測AI輔助救助高風險患者</span></strong></p> <p>進一步來說，奇美醫院自2019年成立AI中心，由劉忠峰教授擔任中心主任，來組隊打造AI基礎建設、導入專業開發平臺，發展醫療AI應用。該中心在2023年進一步升級為智慧醫療中心，奇美醫院強調，有別於常見的醫療影像AI應用，他們專攻以電子病歷為基礎的AI預測模型，並聯手資訊室將AI成果整合至醫院醫療資訊系統（HIS），實際落地於臨床診間，包含奇美醫院3院區共採用了30類AI病情預測系統，涵蓋急診、外科、麻醉、加護病房、生殖醫學、透析中心、胸腔內科、小兒科等科室。</p> <p>不過，打造醫療AI成本高昂，不只要有巨量的醫療數據，還要有強大的運算設備和資源。為了讓更多醫院和病人受惠於醫療AI，奇美醫院和新樓醫院在2022年簽約，要先導入奇美醫院自家的急診胸痛預測AI和肺炎預測AI，來供新樓醫院與麻豆新樓醫院急診室使用。就急診胸痛AI來說，可預測胸痛病人一個月內的死亡和心肌梗塞風險，肺炎預測AI則能預測肺炎患者的呼吸衰竭、敗血症或休克和死風險。</p> <p>不過，由於雙方醫療作業有所差異，為了讓新樓醫院順利使用這些AI服務，奇美醫院調整、優化AI預測模型，並對每個模型提供特徵重要性圖（SHAP圖），來讓使用者精確掌握主要影響風險的關鍵因素。最後，雙方在2023年10月成功連線測試「胸痛病人」病情預測功能，也在今年2月成功連線測試「肺炎病人」病情預測功能。他們統計，新樓醫院急診導入奇美醫院AI預測系統近3個月以來，整體預測準確性（AUC）約九成，與奇美醫院原始模型相近。</p> <div align="center" dir="ltr" style="margin-left:0pt;"> <table style="border:none;border-collapse:collapse;"> <colgroup> <col width="560" /><br /> </colgroup> <tbody> <tr style="height:0pt"> <td style="border-left:solid #000000 0.5pt;border-right:solid #000000 0.5pt;border-bottom:solid #000000 0.5pt;border-top:solid #000000 0.5pt;vertical-align:middle;background-color:#e5dfec;padding:0pt 5.75pt 0pt 5.75pt;overflow:hidden;overflow-wrap:break-word;"> <p dir="ltr" style="line-height:1.2;text-align: center;margin-top:0pt;margin-bottom:0pt;"><span id="docs-internal-guid-fa1adb0a-7fff-5802-0ff1-e49e2e8d6abd"><span style="font-size: 12pt; font-family: Arial, sans-serif; color: rgb(227, 108, 9); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"><span style="border:none;display:inline-block;overflow:hidden;width:546px;height:283px;"><img alt="奇美預測畫面" height="283" src="https://lh7-us.googleusercontent.com/qH1a45P6YutVVBbXVhvqaMXrYaQcx61x91tbNxp945F3C42y2BnyS054emtwQ-QRkCxNkjKn6tLe8r60CWSACfJcOUbsbRbuR_dDgVWQM_bK2KvHW18Ic1edetnOhGFS3kgaX1KdmD8ek78fIu6dTA" style="margin-left:0px;margin-top:0px;" width="546" /></span></span></span></p> </td> </tr> <tr style="height:275.95pt"> <td style="border-left:solid #000000 0.5pt;border-right:solid #000000 0.5pt;border-bottom:solid #000000 0.5pt;border-top:solid #000000 0.5pt;vertical-align:middle;background-color:#e5dfec;padding:0pt 5.75pt 0pt 5.75pt;overflow:hidden;overflow-wrap:break-word;"> <p dir="ltr" style="line-height:1.2;text-align: center;margin-top:0pt;margin-bottom:0pt;"><span id="docs-internal-guid-fa1adb0a-7fff-5802-0ff1-e49e2e8d6abd"><span style="font-size: 12pt; font-family: Arial, sans-serif; color: rgb(227, 108, 9); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"><span style="border:none;display:inline-block;overflow:hidden;width:469px;height:442px;"><img alt="新樓預測畫面" height="458.5823345184326" src="https://lh7-us.googleusercontent.com/j8cW40ksub60a2O0dACKpojglkmo0JF_1pNJzLakqCEOTHSGPqKgGRVMMsdGszWtm8vXchn2_nlqgxKKsHOzQb2Jac3BduMmZ0D_lMZBhl7-P6czpDAyeG4LDbrer72vKhD84xNAQ_09vrBXOPqGUA" style="margin-left:0px;margin-top:0px;" width="469" /></span></span></span></p> </td> </tr> </tbody> </table> </div> <p dir="ltr" style="line-height:1.2;text-align: center;margin-top:0pt;margin-bottom:0pt;"><span id="docs-internal-guid-fa1adb0a-7fff-5802-0ff1-e49e2e8d6abd"><span style="font-size: 12pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;">系統預測結果畫面（上：奇美醫院畫面；下：新樓醫院畫面）</span></span></p> <p>就實際案例來說，新樓醫院就透過胸痛雲端AI病情預測服務，成功救助一名82歲長者。該長者本身患有糖尿病和冠心症，也做過心導管支架，但自行停用心臟藥物3年，日前因突發胸痛、呼吸困難至新樓醫院急診就醫。當時，她血壓偏低、血氧濃度僅有91%且呼吸急促，心電圖也呈現陳舊性心肌梗塞，但心肌酵素正常。由於情況複雜棘手，無法確定是否有急性心肌梗塞現象，急診室因此使用奇美醫院的胸痛雲端AI預測輔助，發現該患者在1個月內發生心肌梗塞的機率為43.3%、死亡率高達94.64%。經心導管檢查後，他們發現左側主幹和前降支動脈嚴重阻塞，左心室收縮功能只剩30%，因此立即啟動緊急心導管手術、及時放置血管支架，恢復患者血流，6天後順利出院。</p> <p>要實現共享雲端醫療AI，很重要的一點是資安合規。劉忠峰表示，奇美醫院和新樓醫院長久以來都通過ISO27001 ISMS資訊安全管理系統認證，奇美醫院還採用SSL非對稱加密機制和JWT技術，來強化傳輸身份的安全驗證。</p> <p>與此同時，臺南新樓醫院院長劉啓擧表示，自奇美醫院的AI預測服務上線後，對急診室提供實質上幫助，尤其是對資歷尚淺的醫師。比如，AI可協助他們更快預測病情可能的變化，進而能儘早提供適當的處置措施，提高應變效率和更好地運用醫療資源，新樓醫院醫護還因此感受醫療AI的好處。</p> <p><span style="font-size:24px;"><strong>不只要縮小城鄉醫療數位落差，還盼進一步擴大發展</strong></span></p> <p>奇美醫院院長林宏榮指出，奇美醫院與新樓醫院合作建立安全的AI雲端分享機制，是臺灣發展醫療AI的重要里程碑。這種成功模式，有機會讓醫界運用AI來縮小城鄉醫療數位落差，實現醫療平權。</p> <p>他也點出，在這個雲端分享平臺上，除了奇美醫院，也期盼更多醫院貢獻各式AI應用服務，來讓更多醫療機構從平臺獲得AI輔助，就像是各家優秀的醫療團隊進駐偏鄉離島，不僅能提升醫院醫療品質，還能幫助降低總體醫療成本。甚至，未來能朝建立醫療AI市集方向思考，亦即透過各家醫院合作研發，來提高AI模型適用性與品質、打造更多種類的醫療AI服務，並對各國人民開放使用。</p> <p></p> </div></div></div>
2024/5/16 23:57作者王若樸https://www.ithome.com.tw/news/162917
【資安日報】5月16日，Google在一週內發布3次Chrome更新，修補已被用於攻擊行動的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布了新的電腦版Chrome 125，增加不少新功能，其中，與資安防護有關的部分，包含了新的隱私控制選項，來避免攻擊者挾持，而對於Windows版用戶，他們將網路服務放在沙箱執行。</p> <p>但在此同時，本次Google也修補9個弱點，當中包含了JavaScript引擎V8的高風險漏洞CVE-2024-4947，而這是該公司在最近一週修補的第3個零時差漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162907"><strong style="font-size: 22px;">Windows遠端協助工具「快速助手」遭到濫用，駭客從事勒索軟體Black Basta攻擊行動</strong></a></p> <p>5月10日資安業者Rapid7揭露一項社交工程攻擊行動，駭客鎖定採用威脅偵測與應變代管服務（Managed Detection and Response，MDR）的企業組織而來，利用垃圾郵件轟炸目標用戶的電子郵件信箱，然後撥打電話表示能提供協助，引誘用戶下載遠端管理軟體，其中一種是Windows作業系統內建的「快速助手（Quick Assist）」，攻擊者的身分很可能與勒索軟體駭客組織Black Basta有關。而相關的攻擊行動，最近有了新的發現。</p> <p>微軟也針對這項社交工程攻擊著手調查，並指出攻擊者的身分是出於經濟動機的駭客組織Storm-1811，而這個組織經常會在攻擊行動部署勒索軟體Black Basta。他們從4月中旬看到對方從事攻擊行動，先是透過語音網路釣魚（Vishing）來引誘目標用戶上當，然後啟動快速助手控制目標電腦，從而散布ScreenConnect、NetSupport Manager等遠端管理工具，以及惡意程式QBot、滲透測試工具Cobalt Strike，最終達到部署勒索軟體的目的。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.welivesecurity.com/en/eset-research/moon-backdoors-lunar-landing-diplomatic-missions/"><strong style="font-size: 20px;">歐洲外交機關遭俄羅斯駭客Turla鎖定，植入後門程式LunarWeb、LunarMail</strong></a></p> <p></p> <p>◆<a href="https://www.santander.com/content/dam/santander-com/en/stories/contenido-stories/2024/statement.pdf"><strong style="font-size: 20px;">桑坦德銀行傳出資料外洩，影響智利、西班牙、烏拉圭客戶，起因是第三方供應商遭駭</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162904"><strong style="font-size: 22px;">Google發布Chrome 125新版，一週內修補3個零時差漏洞受到關注</strong></a></p> <p>5月15日Google發布Chrome 125新版本（125.0.6422.60、61），當中總共修補9個漏洞，值得留意的是高風險漏洞CVE-2024-4947，Google指出已被用於實際攻擊行動，而這是自5月9日以來，該公司修補的第3個零時差漏洞。</p> <p>這項漏洞存在於JavaScript引擎V8，為類型混淆弱點，由資安業者卡巴斯基13日通報。Google並未進一步說明細節，而對於提供研究人員的獎勵，他們表示有待進一步決定。</p> <p><a href="https://www.ithome.com.tw/news/162898"><strong style="font-size: 22px;">Adobe發布5月例行更新，修補PDF編輯工具、檢視器，以及FrameMaker、Animate等多項應用程式漏洞</strong></a></p> <p>本週二Adobe發布5月份例行修補，針對旗下的Acrobat及Acrobat Reader、Illustrator、Substance 3D Painter、Substance 3D Designer、Animate、FrameMaker、Dreamweaver、Aero等多項產品發布更新，總共修補35個漏洞，這些漏洞多數同時影響Windows版及macOS版用戶，該公司表示，截至發布公告為止，他們尚未發現漏洞遭到利用的跡象。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24280"><strong style="font-size: 20px;">VMware修補虛擬化平臺在Pwn2Own 2024揭露的高風險漏洞</strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/intel-publishes-41-security-advisories-for-over-90-vulnerabilities/"><strong style="font-size: 20px;">Intel發布5月例新更新，修補逾90個漏洞</strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/ics-patch-tuesday-advisories-published-by-siemens-rockwell-mitsubishi-electric/"><strong style="font-size: 20px;">西門子、三菱電機、江森自控、Rockwell發布5月份工控系統資安公告</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162873"><strong style="font-size: 22px;">賴清德準總統公開承諾，新政府仍將繼續支持資安產業發展</strong></a></p> <p>下週一（5月20日）臺灣第16任、新任總統賴清德即將走馬上任，此次他率領未新內閣中與資安發展相關的主管，一同蒞臨CYBERSEC 2024臺灣資安大會，包括：現任青平臺基金會董事長、候任行政院副院長兼資安長鄭麗君，中研院資創中心研究員、候任國安會諮詢委員李育杰，以及中研院資創中心特聘研究員、候任數位發展部部長黃彥男等人，共同關心臺灣資安產業的發展。</p> <p>賴清德致詞表示，未來新政府也會延續蔡英文總統「資安即國安」的政策繼續推動資安，並公開承諾，將會繼續支持臺灣資安產業的發展，推動產業更上一層樓。</p> <p>他也提及，臺灣是全球假訊息被攻擊最嚴重的國家，如果將這個視為可以磨練、鍛鍊臺灣資安產業的場域時，就會是臺灣資安產業發展的契機。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162783"><strong style="font-size: 22px;">行政院通過打詐專法，Google、Meta等網路廣告平臺未盡防詐義務最高開罰2,500萬元，嚴重者可限制流量或阻擋連結</strong></a></p> <p>行政院5月9日通過外界期待的「詐欺犯罪危害防治條例」，也就是俗稱的打詐專法，未來將連同其他法規，包括洗錢防制法、科技偵查及保障法、通訊保障及監察法，合稱打詐新四法，一起送到立法院審議。</p> <p>在新的打詐專法中，明訂金融、電信、數位產業的打詐義務，其中在數位產業方面，要求Google、Meta等網路廣告平臺業者在臺設立法律代表，依法配合防詐，若情節嚴重者最高可罰2,500萬元，未改正者由專家審議，祭出停止解析或限制接取等重罰。</p> <p><a href="https://www.ithome.com.tw/news/162910"><strong style="font-size: 22px;">美國聯邦通訊委員會揭露機器人電話駭客組織Royal Tiger，意圖打擊當地報稅季語音網釣氾濫的現象</strong></a></p> <p>5月13日美國聯邦通訊委員會（FCC）揭露名為Royal Tiger的駭客組織，該組織專門透過機器人撥打電話（Robocall）犯案，他們經常假冒政府機關、銀行、企業組織，利用偽冒的電話號碼撥打電話，聲稱提供信用卡低利分期優惠，來引誘受害者上當，過程中濫用生成式AI複製的聲音來進行。</p> <p>為何公布此駭客組織的相關細節？主要與美國執法單位4月進行的「春季掃蕩（Spring Cleaning）」執法行動有關，該行動的主要目的，就是打擊在該國報稅季當中，以電話撥打機器人（Robocaller）宣稱能提供納稅人減稅的網釣攻擊。</p> <p>FCC將Royal Tiger歸於消費者通訊資訊服務威脅（Consumer Communications Information Services Threat，C-CIST），並公布該組織的相關細節，以便地方政府與國內外執法單位，識別、調查其攻擊行動及攻擊基礎設施。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162880"><strong>【5月15日】微軟發布5月份例行更新，公告3個零時差漏洞受到各界關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162861"><strong>【5月14日】芬蘭首都證實資料外洩事故，起因是教育部門的遠端存取伺服器未修補已知漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162840"><strong>【5月13日】韓國警方證實法院大量民眾個資遭北韓駭客竊取，近1 TB資料流出但僅有少部分能確認受害者身分</strong></a></p> </div></div></div>
2024/5/16 12:32作者周峻佑https://www.ithome.com.tw/news/162912
Palo Alto Networks將收購IBM QRadar SaaS資產，與IBM建立廣泛的合作關係
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總部設於美國的跨國資安業者Palo Alto Networks與IBM本周三（5/15）<a href="https://newsroom.ibm.com/2024-05-15-Palo-Alto-Networks-and-IBM-to-Jointly-Provide-AI-powered-Security-Offerings-IBM-to-Deliver-Security-Consulting-Services-Across-Palo-Alto-Networks-Security-Platforms" target="_blank">宣布策略聯盟</a>，協議內容包括Palo Alto Networks將買下IBM旗下的QRadar SaaS資產，並於Cortex XSIAM中整合watsonx大型語言模型；而IBM則會與Palo Alto Networks合作，把內部安全解決方案平臺化，同時Palo Alto Networks亦將成為IBM的首選網路安全合作夥伴。</p> <p>IBM QRadar為一模組化的安全套件，其產品包括端點偵測與回應（EDR）、端點多層偵測與回應（XDR），以及受控的端點偵測與回應（MDR）等利用機器學習技術的端點安全產品，以及QRadar SIEM安全分析工具，可自動化編排事件回應流程的QRadar SOAR，以及日誌洞察與管理產品QRadar Log Insights 。</p> <p>Palo Alto Networks將收購QRadar SaaS資產，以及QRadar的智慧財產權，交易完成後將把QRadar SaaS用戶端，遷移到Palo Alto Networks旗下的AI安全操作平臺Cortex XSIAM，打算保留在本地端的QRadar用戶則可繼續獲得IBM的功能與支援，包括安全性、可用性及修補重要臭蟲，IBM也會負責更新相關客戶的現有連結器與擴大使用能力。</p> <p>對於選擇遷移到Cortex XSIAM的QRadar SaaS及本地端用戶，則會由 IBM及Palo Alto Networks共同合作，提供免費且流暢的遷移服務。而且舉凡有QRadar的本地端用戶選擇遷移到Cortex XSIAM，IBM都可獲得額外的款項。</p> <p>此一併購交易預計於今年9月完成。</p> <p>除了買下QRadar SaaS資產外，Palo Alto Networks也準備在Cortex XSIAM中整合IBM的watsonx大型語言模型，以提供額外的精準人工智慧（Precision AI）解決方案。</p> <p>至於IBM的回饋則包括與Palo Alto Networks合作，將內部安全解決方案平臺化；讓Palo Alto Networks成為IBM跨網路、雲端與安全營運中心（SOC）的首選合作夥伴；在拓展的安全產品中採用Palo Alto Networks平臺；針對逾1,000名安全顧問進行遷移、採用與部署Palo Alto Networks產品的教育訓練；也將與Palo Alto Networks在安全營運、威脅管理及DevSecOps上展開合作。</p> <p>雙方還將共同設立安全營運中心與網路靶場（Cyber Range），前者帶來受控的安全營運中心，後者則提供身歷其境的安全體驗，以供客戶理解Palo Alto Networks安全產品的價值。</p> </div></div></div>
2024/5/16 14:31作者陳曉莉https://www.ithome.com.tw/news/162914
英特爾發表可用來快速連結兩臺電腦的Thunderbolt Share規格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）周三（5/15）<a href="https://www.intel.com/content/www/us/en/newsroom/news/intel-unlocks-ultra-fast-pc-to-pc-with-thunderbolt-share.html" target="_blank">發表了Thunderbolt Share規格</a>，這是一個軟體解決方案，可替兩臺Windows電腦提供快速且低延遲的連結，以實現螢幕共用或是快速的檔案傳輸，即將於6月初開放使用者下載軟體，前提是所使用的電腦或配件必須至少有一個擁有Thunderbolt Share授權。</p> <p>Thunderbolt原本是由英特爾與蘋果共同開發的硬體介面，主要用來連結電腦與配件，根據聯想（Lenovo）的<a href="https://www.lenovo.com/us/en/glossary/thunderbolt-vs-usb-c/?orgRef=https%253A%252F%252Fwww.google.com%252F" target="_blank">說明</a>，Thunderbolt 3的傳輸速度最高可達40 Gbps，但USB Type C 3.2僅有10 Gbps。</p> <p>至於相容於Thunderbolt Share的Thunderbolt 4及Thunderbolt 5，其最快的傳輸速度則分別為40 Gbps與80 Gbps。</p> <p>當兩臺支援Thunderbolt 4或Thunderbolt 5的Windows電腦利用Thunderbolt Share相連時，使用者可透過滑鼠及鍵盤實現順暢且無壓縮的螢幕分享能力；且只要簡單地拖曳就能在兩臺電腦之間快速傳遞檔案；亦可讓兩名使用者共享大型檔案以進行協作；電腦之間可直接連結，或是透過諸如Thunderbolt擴充埠來支援Thunderbolt配件的連結；強調不影響Wi-Fi及乙太網路的安全連線，也不會危及雲端網路的性能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-Thunderbolt%20Share-intel-3.png" style="width: 600px;" /></p> <p>Thunderbolt Share預計於今年6月初開放下載，目前僅適用於Windows 10/11，儘管它可以被安裝在滿足基本軟/硬體需求的系統上，但要執行Thunderbolt Share，必須至少有一臺連結的電腦或Thunderbolt配件具備Thunderbolt Share授權，電腦也必須配備Thunderbolt 4或Thunderbolt 5傳輸埠，並使用支援Thunderbolt 4或Thunderbolt 5的纜線。</p> <p>預計於今年下半年支援Thunderbolt Share的電腦/配件製造商包括聯想、宏碁、微星、Razer、Kensington、Belkin、Promise、Plugable及OWC等，產品上將被嵌入一個類似閃電的白色箭頭商標以作為支援Thunderbolt Share的識別。</p> </div></div></div>
2024/5/16 14:54作者陳曉莉https://www.ithome.com.tw/news/162915
Anthropic延攬IG共同創辦人為產品長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic周三宣布Instagram共同創辦人Mike Krieger將加入團隊，擔任產品長一職。</p> <p>Krieger在加入Anthropic後，將掌管該公司的產品工程、產品管理及產品設計，以協助擴增企業應用套件，將Claude AI模型推向更多用戶。</p> <p>Krieger是IG共同創辦人之一，也曾共同創辦個人化新聞業者Artifact。在IG擔任技術長期間，Krieger將工程部門擴大為超過450人的團隊，用戶也突破10億人。而在Artifact被Yahoo收購前，也待了3年打造出App。Anthropic相信Krieger擁有完成產品開發生命周期，從寫程式到產品願景及領導的專業知識，是這個位子的最佳人選。</p> <p>AI競賽引發各軟體公司高階人才爭奪戰。在OpenAI執行長Sam Altman加入不到一周後又離開，微軟3月從Inflection<a href="https://www.ithome.com.tw/news/161865" target="_blank">挖角共同創辦人Mustafa Suleyman</a>加入並率領其AI部門。OpenAI共同創辦人Ilya Sutskever也在本周<a href="https://www.ithome.com.tw/news/162887" target="_blank">宣布離開</a>公司。之前曾有傳言馬斯克（Elon Musk）找他加入xAI公司，並出任管理團隊。</p> </div></div></div>
2024/5/16 12:21作者林妍溱https://www.ithome.com.tw/news/162911
美國聯邦通訊委員會揭露機器人電話駭客組織Royal Tiger，意圖打擊當地報稅季語音網釣氾濫的現象
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月13日美國聯邦通訊委員會（FCC）<a href="https://docs.fcc.gov/public/attachments/DA-24-388A1.pdf">揭露名為Royal Tiger的駭客組織</a>，該組織專門透過機器人撥打電話（Robocall）犯案，他們經常假冒政府機關、銀行、企業組織，利用偽冒的電話號碼撥打電話，聲稱提供信用卡低利分期優惠，來引誘受害者上當，過程中濫用生成式AI複製的聲音來進行。</p> <p>而對於這些駭客的身分，FCC表示，該組織成員來自多個國家，包含印度、英國、阿拉伯聯合大公國（UAE）、美國。此組織的首腦是Prince Jashvantlal Anand，其副手是Kaushal Bhavsar，經營多家被用於撥打非法電話的美國公司，包括VoIP業者Illum Telecommunication Limited、PZ Telecommunication LLC、One Eye LLC。</p> <p>這些駭客將騷擾電話轉接到位於德州的Great Choice Telecom，此公司曾因撥打自動騷擾電話，被FCC與聯邦交易委員會（FTC）重罰2.25億美元，並勒令停業。</p> <p>為何公布此駭客組織的相關細節？主要與美國執法單位4月進行的「<a href="https://www.fcc.gov/document/fcc-orders-provider-cease-national-tax-relief-program-robocalls">春季掃蕩（Spring Cleaning）</a>」執法行動有關，該行動的主要目的，就是打擊在該國報稅季當中，以電話撥打機器人（Robocaller）宣稱能提供納稅人減稅的網釣攻擊。</p> <p>FCC將Royal Tiger歸於消費者通訊資訊服務威脅（Consumer Communications Information Services Threat，C-CIST），並公布該組織的相關細節，以便地方政府與國內外執法單位，識別、調查其攻擊行動及攻擊基礎設施。</p> </div></div></div>
2024/5/16 11:33作者周峻佑https://www.ithome.com.tw/news/162910
蘋果為新款iOS裝置加入眼球追蹤、防動暈及音樂觸覺等輔助功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>響應全球無障礙體認日（Global Accessibility Awareness Day），<a href="https://www.apple.com/newsroom/2024/05/apple-announces-new-accessibility-features-including-eye-tracking/" target="_blank">蘋果宣布</a>將為iOS裝置加入，包括眼球控制、防止暈車、用振動「演奏」音樂等多項輔助功能。Vision Pro也將加入更多障礙輔助功能。</p> <p>新的輔助功能包括眼動追蹤、音樂觸覺（Music Haptic）、語音捷徑及車輛移動提示（Vehicle Motion Cue）。<a href="https://www.macrumors.com/2024/05/15/ios-18-accessibility-features/" target="_blank">MacRumors</a>、<a href="https://9to5mac.com/2024/05/15/daily-may-15-2024/" target="_blank">9to5Mac</a>報導，將在預定今年稍晚的iOS 18、iPadOS 18、macOS 15或visionOS 2推出。眼動追蹤讓手不方便的用戶以眼球控制並使用iPad或iPhone。這項功能是以裝置前方的相機和裝置上機器學習技術為基礎，幾秒鐘就能設定及校準完成，所有設定和控制所需的資料都儲存在裝置上，不會傳送給蘋果。利用眼動追蹤功能，用戶可以眼球操作App各元素，並以Dwell Control功能作動每個元素，進而存取實體鍵、或實現滑、點等其他動作。</p> <p>音樂觸覺則提供給有聽力障礙的用戶。iPhone上的觸感引擎會根據音樂聲響產生點擊、觸感或振動效果。這功能適用於Apple Music上數百萬首歌曲，也將提供API供開發人員整合在其應用程式中。</p> <p class="rtecenter"><a href="https://www.apple.com/newsroom/videos/apple-accessibility-music-haptics/large_2x.mp4" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0516-ios-Music%20Haptics.png" style="width: 237px;" /></a></p> <p>語音捷徑功能（下圖）讓iPhone及iPad用戶可設定給Siri理解的捷徑，以便執行複雜任務。聆聽非典型語音（Listen for Atypical Speech）則是提供多種少見語音的辨識選擇，適用於腦性麻痺、肌萎縮性側索硬化（ALS，即漸凍人）或中風等病患，使他們得以使用iPhone功能。該功能使用裝置端機器學習技術來了解用戶語音樣態，因底層技術包含於iOS 17，因此僅較新iOS裝置支援。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/Apple-accessibility-features-Vocal-Shortcuts-600.png" style="width: 600px;" /></p> <p>車輛移動提示則是為了減少在車上使用iPhone及iPad暈車而設計。研究顯示，暈車或動暈症（motion sickness）一般是人所感覺及所看見事物引發的感官衝突（sensor conflict）所致。這項功能啟用時，螢幕邊緣的動態小點會反映車輛動作的變化，可以減少感官衝突，又不干擾主要內容。車輛移動提示是利用裝置上的感測器辨識出用戶身處移動的車輛。iPhone用戶可設定這功能自動開啟，或是透過控制中心手動開關。</p> <p class="rtecenter"><a href="https://www.apple.com/newsroom/videos/apple-accessibility-vehicle-motion-cues/large_2x.mp4" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0516-apple%20ios-Vehicle%20Motion%20Cues.png" style="width: 348px;" /></a></p> <p>Vision Pro已有數十項輔助功能，今年內將再加入即時字幕，包括visionOS的FaceTime。Vision Pro將在Apple沈浸式影片加入移動字幕功能，並支援Made for iPhone耳機或人工耳蝸聽力處理器等聽力設備。新功能包括降低透明度、智慧反向（smart invert）及調暗閃爍，以適應有弱視問題的用戶。</p> <p>此外，CarPlay也將包含新輔助功能，如語音控制、顏色濾鏡和聲音辨識。語音控制讓用戶可以說話控制App和CarPlay，聲音辨識可告知聾人或有聽覺障礙者路車上警笛或喇叭聲，顏色濾鏡則可提供視覺輔助，如粗字體或較大字體，使CarPlay更清楚。</p> <p>其他功能還包括旁白、閱讀器加入放大鏡、點字螢幕輸入支援日文、可在打字時字體放大的Hover Typing、個人聲音支援中文、即時語音可和即時字幕同步相容、利用螢幕一小部分作為觸控板的「虛擬觸控板」、利用相機將點擊解讀為開關的Switch Control，以及語音控制支援特定字彙和複雜字詞等。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2024/5/16 11:44作者林妍溱https://www.ithome.com.tw/news/162909
VMware開放個人免費使用Workstation Pro與Fusion Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>博通（Broadcom）於去年11月買下VMware後持續調整其產品策略，<a href="https://blogs.vmware.com/cloud-foundation/2024/05/14/vmware-desktop-hypervisor-pro-apps-now-available-for-personal-use/" target="_blank">本周二（5/14）宣布</a>將開放個人免費使用兩款桌面虛擬化管理軟體，包括VMware Workstation Pro與VMware Fusion Pro，同時停產功能較為陽春的VMware Workstation Player與VMware Fusion Player 。</p> <p>Workstation Pro主要支援採用英特爾及AMD處理器的Windows與Linux作業系統，Fusion Pro則是適用於基於英特爾及蘋果自製晶片的Mac電腦，兩者皆屬桌面虛擬化管理軟體，允許使用者建立本地端的虛擬化環境來安裝其它作業系統，也許是為了了解技術，或者是測試軟體、複雜系統、瀏覽器、應用或遊戲等。</p> <p>原本僅供專業人士付費使用的Workstation Pro與Fusion Pro現在將提供兩種授權模式，包括免費個人使用（Free Personal Use）與付費商業使用（Paid Commercial Use），使用者可根據其使用案例來決定是否需要付費訂閱以取得商業授權。且個人版或商業版軟體的功能完全一致。</p> <p>因此，現在使用者只需透過support.broadcom.com註冊，並下載<a href="https://support.broadcom.com/group/ecx/productdownloads?subfamily=VMware+Workstation+Pro" target="_blank">Workstation Pro</a>與<a href="https://support.broadcom.com/group/ecx/productdownloads?subfamily=VMware+Fusion" target="_blank">Fusion Pro</a>即可取得它們的免費使用版。</p> <p>負責虛擬機管理產品的VMware經理Michael Roy指出，Workstation與Fusion是許多人使用的第一批VMware產品，它們是理解虛擬化與vSphere基礎知識的重要工具，而商業組織則利用它們來開發及測試程式與系統，以及用來與組織的vSphere環境互動，此一改變的目的是簡化將VMware桌面虛擬機管理程式推向市場的方式。</p> <p>隨著專業版免費開放個人使用，VMware也將停產Workstation Player與Fusion Player。Workstation Player與Fusion Player原本也提供個人免費版與商業付費版，現在也已停售付費版，其中，擁有Fusion Player個人使用授權的用戶只要升級到Fusion 13.5.2，並刪除其授權金鑰，就能直接取得Fusion Pro的完整功能且不再需要金鑰。Workstation Player用戶則必須重新下載與安裝Workstation Pro，其預設授權即為免費的個人使用。</p> <p>此外，現階段使用Fusion Player 13和Workstation Player 17商業授權的用戶可繼續使用相關產品，且無需新的授權金鑰，直至有效支援期限到期。屆時VMware建議用戶升級至Pro版。</p> <p>雖然Workstation Player與Fusion Player都將停產，但VMware會繼續支援它們直至產品原本設定的生命周期與支援期限到期為止。</p> </div></div></div>
2024/5/16 10:27作者陳曉莉https://www.ithome.com.tw/news/162908
Windows遠端協助工具「快速助手」遭到濫用，駭客從事勒索軟體Black Basta攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月10日<a href="https://www.rapid7.com/blog/post/2024/05/10/ongoing-social-engineering-campaign-linked-to-black-basta-ransomware-operators/">資安業者Rapid7揭露一項社交工程攻擊行動</a>，駭客鎖定採用威脅偵測與應變代管服務（Managed Detection and Response，MDR）的企業組織而來，利用垃圾郵件轟炸目標用戶的電子郵件信箱，然後撥打電話表示能提供協助，引誘用戶下載遠端管理軟體，其中一種是Windows作業系統內建的「快速助手（Quick Assist）」，攻擊者的身分很可能與勒索軟體駭客組織Black Basta有關。而相關的攻擊行動，最近有了新的發現。</p> <p>微軟也針對這項社交工程攻擊著手調查，並指出攻擊者的身分是出於經濟動機的駭客組織Storm-1811，而這個組織經常會在攻擊行動部署勒索軟體Black Basta。<a href="https://www.microsoft.com/en-us/security/blog/2024/05/15/threat-actors-misusing-quick-assist-in-social-engineering-attacks-leading-to-ransomware/">他們從4月中旬看到對方從事攻擊行動</a>，先是透過語音網路釣魚（Vishing）來引誘目標用戶上當，然後啟動快速助手控制目標電腦，從而散布ScreenConnect、NetSupport Manager等遠端管理工具，以及惡意程式QBot、滲透測試工具Cobalt Strike，最終達到部署勒索軟體的目的。</p> <p>研究人員指出，對方通常會試圖冒充技術人員或是服務臺（Help Desk）人員，假借修復目標電腦的名義部署遠端管理工具，以便對其進行控制。但究竟駭客怎麼讓電腦「故障」？研究人員指出，對方利用名為連結列表（Link Listing）的電子郵件轟炸攻擊手法，為使用者大量訂閱電子報，間接透過這些訂閱內容將用戶電子郵件信箱淹沒，然後再撥打電話宣稱能協助解決問題。</p> <p>在通話的過程中，駭客引誘使用者按下快速鍵CTRL+Windows+Q，啟動快速助手並輸入安全性驗證碼，進而掌控受害者的電腦。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/QuickAssist_Oftg6QtZCO.png" style="width: 580px;" /></p> <p>大多數人可能對於快速助手這個名稱感到冒生，這項工具微軟在Windows 10導入，主要用途是提供技術人員能透過網際網路遠端協助用戶排除問題。微軟最早提供類似的功能是在Windows XP作業系統上，當時叫做「Windows遠端協助（Windows Remote Assistance）」。</p> <p>一旦使用者依照指示允許攻擊者進行控制，對方就會透過cURL命令下載一系列的批次檔或是ZIP壓縮檔，用途是傳送惡意酬載。研究人員看到攻擊者會使用QBot，但也有下載遠端管理工具的情況。</p> <p>研究人員指出，攻擊者運用QBot傳遞Cobalt Strike及其他惡意酬載，而遠端管理工具ScreenConnect則是用於進行橫向移動，至於NetSupport Manager，對方拿來安裝其他惡意程式，或是對受害電腦執行命令。在部分攻擊行動裡，駭客也會濫用OpenSSH來建立SSH隧道，以便持續在受害環境行動。</p> <p>攻擊者在結束通話後，會進一步進行偵察並橫向移動，然後使用PsExec於受害組織的網路環境部署勒索軟體並加密檔案。</p> </div></div></div>
2024/5/16 10:03作者周峻佑https://www.ithome.com.tw/news/162907
【臺灣資安大會現場直擊】美國資安顧問公司總裁：資安長的4大挑戰與建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>KLC Consulting顧問公司總裁暨資安長賴弘偉（Kyle Lai）在資安界工作25年多，不只在美國國防部和微軟、Zoom、波音、PwC等大型企業擔任資安顧問，也累積不少與財富500強企業資安長的交流經驗。他今日在臺灣資安大會上點出，資安長們目前面臨4大挑戰，包括領導決策、培養業務思維、風險管理，以及技術應用管理。</p> <p>因應這些挑戰，他建議，資安長在進行領導決策和培養業務思維時，首先要與董事會立場一致、理解公司業務，特別是財務術語，再來透過合作，建立企業內強健的信任關係，並提供前後輩指導資源。至於風險管理，則要先理解法規、建立詳細的事件回應計畫、供應鏈風險管理計畫，而因應技術應用管理挑戰，則要緊盯新技術發展、與業務單位和IT單位的新技術應用緊密合作，並與廠商諮詢新工具，來更好地評估應用風險。</p> <p><span style="font-size:24px;"><strong>資安長面臨的4大挑戰</strong></span></p> <p>賴弘偉先是秀出一份2024年資安現況報告（State of Security 2024），該報告由美國資安公司Splunk發布，統計近2年企業最常遭受的資安事件，像是資料外洩（52%）、業務相關的電子郵件詐騙（49%）、勒索軟體（48%）和DDoS攻擊（46%）等（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_0385.JPG" /></p> <p>「這份清單非常有用，」他表示，不只列出10多項常見的資安事件，也顯示資安長們的工作重心—防範這些資安事件。當然，資安長的任務不只防範問題，還包括其他形形色色的工作內容，如事件回應、建置零信任架構、法遵法規遵從、滲透測試、第三方風險管理等林林總總數十項。</p> <p>其中，賴弘偉認為，資安長工作中所面臨的最大挑戰是領導決策、培養企業業務思維、風險管理，以及技術應用管理。</p> <p><span style="font-size:24px;"><strong>挑戰與建議1：領導決策</strong></span></p> <p>就第一個挑戰來說，「資安長是個企業管理職位，而非技術職位，因此資安長必須與董事會立場一致。」賴弘偉表示，資安長首先要理解公司的營運方式，也就是公司如何賺錢、靠哪些產品或服務獲利，以及公司有哪些客戶、如何與客戶溝通，此外也得掌握供應商資訊，如公司如何與供應商溝通等。「對公司業務有了基本理解，就能建立符合業務需求的安全流程，」他說。</p> <p>再來，資安長必須要與公司內部關鍵的管理人員，建立強健的關係和信任，比如法律顧問、人資部門、財務長等。尤其資安長想推動資安意識培養或新政策時，人資就能協助傳遞這些訊息，而財務長則能協助批准預算，甚至能提供資安長更多公司營運的資訊。另外，與關鍵業務部門的負責人建立關係也很重要，因為，當他們想引進新技術時，資安團隊就能在第一時間給予協助。賴弘偉也表示，資安長也要培訓自己的團隊，讓成員不要經常對業務單位說不，否則「久而久之，業務單位會繞過資安團隊，讓你的工作更難執行。」</p> <p>還有一種方法是建立前後輩指導資源，可細分為2種形式。一種是針對資安長們，如透過資安長社群資源，藉同儕交流來得到新狀況的解方；另一種是對資安團隊成員，提供指導資源，來讓團隊與時俱進成長。</p> <p>最後一種方法是建立資安和學習文化。賴弘偉以自己為例，他在輔導美國國防部時，必須讓7名成員在90天內考取特定的資安認證，否則就會被辭退。為實現這一點，他們抽出周末來讀書、學習，最終在期限內達標，團隊的學習文化也因此建立了起來。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B1%BA%E7%AD%96.JPG" /></p> <p><span style="font-size:24px;"><strong>挑戰與建議2：培養業務思維</strong></span></p> <p>資安長面臨的第2大挑戰是商業頭腦，也就是要培養企業業務思維。賴弘偉給出3個建議（如下圖），首先是了解財務知識，尤其資安長是企業管理職，若參與董事會會議，就得花時間討論公司業務與財務，因此得先了解財務知識如損益表、資產負債表等。另一個建議是與業務單位討論時，不要使用技術詞彙，尤其是在會議中，資安長只有幾分鐘能表達，因此應開門見山、進入正題，並以白話方式與其他單位溝通。最後一個建議是認清目前的狀態與期望目標，並規畫實現方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%95%86%E5%8B%99.JPG" /></p> <p><span style="font-size:24px;"><strong>挑戰與建議3：風險管理</strong></span></p> <p>風險管理是資安長的另一大挑戰。賴弘偉點出，資安長可從理解法規、建立資安框架和風險註記機制、制定詳細的事件回應計畫，以及供應鏈風險管理等4點來因應（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A2%A8%E9%9A%AA.JPG" /></p> <p>就理解法規來說，資安長得與法遵部門聯手，來找出影響網路安全的規範。再來，就建立資安框架而言，資安長可推動取得ISO 27001認證並遵循該方法，但若資安長任職的公司屬於嚴格監管產業，則建議使用美國NIST CSF網路安全框架。賴弘偉點出，該框架基於成熟度來劃分，且具備適當的信心結構，如此，資安長與高階管理層溝通時，使用該框架就會容易許多。</p> <p>至於事件回應計畫，則得涵蓋軟體、勒索軟體和供應鏈等類別，比如遭受勒索軟體攻擊時，由誰來決定支付贖金、支付與否的政策為何、最終由誰支付等回應計畫。</p> <p>最後，資安長得認識公司的供應商，「至少要了解保密性，比如公司與供應商交換哪些類型的資訊，以及可用性，比如供應商停工一周，公司能否承受此舉帶來的損失等問題。」賴弘偉表示，資安長可依此找出對企業至關重要的供應商，並派人去了解供應商的資安狀況，落實監管與合規。</p> <p><span style="font-size:24px;"><strong>挑戰與建議4：技術應用管理</strong></span></p> <p>對資安長來說，還有一項技術採用管理的挑戰。面對這個挑戰，資安長可密切關注新技術發展，比如近年興盛的生成式AI，再來是與業務和IT團隊緊密合作，尤其企業業務團隊一定會儘早嘗試這些新技術，因此資安長得在業務團隊嘗試之初，就加入業務與IT團隊的討論，及早辨識風險和漏洞。賴弘偉表示，若資安長在業務和IT團隊引入新技術後才參與其中，就會很難確定風險，並失去與開發該技術的供應商的談判優勢。</p> <p>最後，他建議，資安長可與供應商討論新工具，來因應新風險。甚至，和資安創投交換意見也會幫助，「因為他們對新創公司投資，勢必研究過特定領域和解決方案，」賴弘偉認為，這些資訊能幫助資安長更理解一家公司及其提出的解方。</p> <p>除了上述4大挑戰和建議，賴弘偉最後也補充，對資安長角色的監管法規將會出現，資安長也該向公司要求承保董監事及重要職員責任保險（D&O）來保護自己，如此就不必為每個決策過度提心吊膽。</p> <p></p> </div></div></div>
2024/5/15 22:34作者王若樸https://www.ithome.com.tw/news/162897
Google發布Chrome 125新版，一週內修補3個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月15日Google發布<a href="https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_15.html">Chrome 125新版本（125.0.6422.60、61）</a>，當中總共修補9個漏洞，值得留意的是高風險漏洞CVE-2024-4947，Google指出已被用於實際攻擊行動，而這是自5月9日以來，該公司修補的第3個零時差漏洞。</p> <p>這項漏洞存在於JavaScript引擎V8，為類型混淆弱點，由資安業者卡巴斯基13日通報。Google並未進一步說明細節，而對於提供研究人員的獎勵，他們表示有待進一步決定。</p> <p>一般來說，攻擊者往往會藉由讀取或寫入記憶體，觸發類型混淆弱點造成瀏覽器當掉，但他們也有可能利用這類漏洞來執行任意程式碼。</p> <p>此漏洞是今年Google修補的第7個被積極利用的Chrome零時差漏洞，而在不到一週前，該公司已為124版發布2次更新，修補2項零時差漏洞，分別是<a href="https://www.ithome.com.tw/news/162822">視覺呈現元件的記憶體釋放後又再存取使用（Use After Free）漏洞CVE-2024-4671</a>，以及<a href="https://www.ithome.com.tw/news/162872">V8記憶體越界寫入漏洞CVE-2024-4761</a>。</p> </div></div></div>
2024/5/16 08:59作者周峻佑https://www.ithome.com.tw/news/162904
資安十年
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是iThome舉辦臺灣資安大會的第十年，超過3百場資安演講，也聚集了超過500家資安品牌參展，參與人數從十年前的一千五百人，到今年多達二萬人來參與。臺灣資安大會也從一場在地的資安會議，現在已經成為亞洲最大規模的資安展，數百位來自二十多個國家的與會者到場參加，像韓國就有三十多家金融機構組成的金融資安觀摩團，包括韓國的重要銀行、信用卡公司、證券和保險業者，一起組團來臺灣參加臺灣資安大會。</p> <p>今年的臺灣資安大會在520新總統就職典禮前一周舉辦，但是，總統蔡英文仍舊趕在任期結束前，再次參加臺灣資安大會擔任第一天開場演講，這是她連續第六年參加，今年同樣帶了政府與資安相關各部會首長參加，甚至一一參觀臺灣資安館中48家在地業者的展示。</p> <p>臺灣在2018年提出了第一部資安戰略報告，將資安拉高到國安層級，積極推動資通安全基礎建設和全民資安各項作為。2021年時，蔡英文更在臺灣資安大會上宣布了「資安即國安2.0」戰略，從國家資安，政府資安的強化，進一步要發展臺灣自己的資安產業力，將資安產業視為國家六大核心戰略產業之一。</p> <p>3年來，政府投入了不少政策推動力道，像是透過產創條例的修法，將資安產品及服務等投資納入租稅優惠，來鼓勵企業提升資安投資及開發相關的防護技術。</p> <p>或像是這幾年也強化了對上市櫃公司資通安全管理的法遵要求，不只是提升各產業的整體資安能量，也創造了龐大的在地資安需求。國發基金更編列了三十億元，來打造臺灣的資安產業創業基地。資安人才成了科技人才中的當紅炸子雞，今年的臺灣資安館，也一口氣多了11家新參加的本土資安業者。蔡英文在今年臺灣資安大會開場演講強調， 2023年臺灣的資安產值已經超過740億元，穩定朝向2025年800億元產值的目標前進。</p> <p>不只蔡英文總統，下一任總統當選人賴清德也連續第三年來參加臺灣資安大會，他在資安大會第二天，率領新內閣多位資安相關主管來關心臺灣資安產業發展現況，像是新內閣中的行政院副院長兼資安長鄭麗君以及數位發展部部長黃彥男等。</p> <p>賴清德同樣強調「資安即國安」，他也承諾，未來的新政府，會延續蔡英文總統的政策，繼續推動國安的工作，並將繼續支持臺灣資安產業的發展，推動臺灣資安產業更上一層樓。</p> <p>從2015年到2024年，臺灣資安大會十年，正好見證也參與了臺灣資安發展最蓬勃的十年，但這十年也是資安挑戰和考驗變化最劇烈的十年，不斷的改變是IT技術的本質，資安的威脅和挑戰更是如此。2015年那年才新出現了6,487個新漏洞，但是到了2023年，新漏洞已經暴增到26,447個，今年更預估會超過3萬個新漏洞。</p> <p>奧義智慧科技創辦人邱銘彰（Birdman）回顧十年資安發展，資安發展從網路課題（以DoS攻擊為主），歷經了伺服器課題（以Web攻擊為主），前幾年轉而聚焦端點課題（以APT攻擊為主），而現在最新的資安課題則是Identity（身分）課題（以雲端攻擊為主）。「雲端時代的戰場，不再是端點，而是各式各樣的工作流程中的身分風險。」他強調。</p> <p>也因此，這十年來，企業的資安戰略已經出現了典範轉移，邱銘彰歸納，從過去以「了解敵人」的「什麼不能出現的Security典範」，現在轉而變成「了解自己」的「什麼不該出現的Safety典範」，許多不該出現的存取行為、操作記錄都成了判斷資安風險高低，即時告警和阻斷的關鍵。</p> <p>在新的資安典範中，企業得在自己熟悉的IT場域中，找出風險最高，最容易發生攻擊的弱點環節來防禦，邱銘彰比喻，就像是要找出城市中最容易發生車禍的高風險路口，將資源集中到這些路口來防範車禍發生。</p> <p>早在2014年，臺灣資安全就流傳Birdman的一句話，「臺灣雖然是一個礦產、石油等天然資源缺乏的國家，卻是一個擁有源源不絕惡意程式的天然資源國家。」他的這句話，點出了臺灣發展資安最獨特的國際級「優勢」，這個優勢正是過去十年，臺灣資安產業蓬勃發展的重要推力。</p> <p>但在下個十年，新的技術浪潮來襲，生成式AI浪潮掀起了全新的資安衝擊，邱銘彰觀察，多模態AI、合成資料（Synthetic Data）和因果推斷（Causal Inference），這將是資安結合AI後的三大未來趨勢，將會大大改變許多資安專業人員的工作樣貌。</p> <p>邱銘彰的預言，正是臺灣企業和臺灣資安產業，下個資安十年的第一道挑戰和課題。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4">資安十年</a></div><div class="field-item odd"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">臺灣資安大會</a></div></div></div>
2024/5/16 09:04作者王宏仁https://www.ithome.com.tw/voice/162905
Android新增失竊偵測、防護功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google I/O 2024上，Google<a href="https://blog.google/products/android/android-theft-protection/" target="_blank">宣布新的Android失竊防護</a>（Android Theft Protection）功能，在手機失竊或被搶前、後及發生時都能發揮防護作用，防止手機被重設或竊取資料。</p> <p>新增的防護功能今年稍晚會透過Google Play服務，部署給Android 10以上的用戶，有些則只會提供給Android 15。</p> <p>最新的Android裝置失竊防護功能涵括失竊或被搶之前、剛發生及發生後等時期。為平時的Android裝置及資料加入防護功能，首先是回復出廠設定需輸入裝置或Google帳號密碼，防止手機被竊賊回復出廠設定後出售。其次是一項新功能，可在Android中建立私密空間以隱藏敏感App如網銀、電子錢包或醫療程式，並以另外的PIN鎖定，防止隱私或財務資料曝光。此外，一項進階驗證防護，旨在防止竊賊知道手機PIN後想變更PIN、存取Passkey或關閉原有的失竊防護，這功能一經啟動，會在偵測到手機位於陌生地方時，要求進行生物辨識（如指紋）驗證才能進行以上變更。</p> <p>在手機被搶時，新的失竊偵測鎖（Theft Detection Lock）可利用Google AI功能偵測有人從用戶手上搶走手機、試圖跑步或騎車、開車逃逸的動作。一旦根據感測器數據判斷為搶案，新功能會迅速鎖定手機。其次，若搶匪或小偷試圖關閉連線，或是多次驗證失敗，新的離線裝置鎖（Offline Device Lock）可自動鎖定手機螢幕。</p> <p>Android 5以上的裝置已有Find My Device，但現在起，關閉Find My Device或延後螢幕鎖定保護時間，都需要PIN、密碼或生物驗證（如指紋辨識），以增加歹徒破解難度。不過為防有用戶失去手機後忘記Google帳號密碼，而無法Find My Device遠端鎖定手機（或刪除資料），Google也為Find My Device加入遠端鎖（Remote Lock）新選項，允許以行動電話號碼及一道簡單的安全問題，從任何裝置鎖定螢幕。</p> <p>出廠重設防護更新、App私密空間會連同Android 15一起推出。而失竊偵測鎖、離線裝置鎖，以及遠端鎖則會在今年稍後，透過Google Play服務提供給Android 10以上的裝置。而根據地點判斷的進階驗證防護功能，則會在今年內部署給特定手機（至少包括最新款Pixel手機）。</p> </div></div></div>
2024/5/16 09:10作者林妍溱https://www.ithome.com.tw/news/162906
Adobe發布5月例行更新，修補PDF編輯工具、檢視器，以及FrameMaker、Animate等多項應用程式漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二Adobe發布5月份例行修補，針對旗下的Acrobat及Acrobat Reader、Illustrator、Substance 3D Painter、Substance 3D Designer、Animate、FrameMaker、Dreamweaver、Aero等多項產品發布更新，總共修補35個漏洞，這些漏洞多數同時影響Windows版及macOS版用戶，該公司表示，截至發布公告為止，他們尚未發現漏洞遭到利用的跡象。</p> <p>其中，最值得留意的是Acrobat及Acrobat Reader相關漏洞，<a href="https://helpx.adobe.com/security/products/acrobat/apsb24-29.html">該公司共修補12個漏洞</a>，為所有應用程式數量最多，而且，大多數被列為重大層級。</p> <p>這些被歸為重大等級的漏洞有9個，共通點是其影響層面，攻擊者若是利用就有可能執行任意程式碼。從漏洞的類型來看，主要與記憶體釋放後又再存取使用（Use After Free）有關，但也有輸入驗證不當、存取控制不當引發的漏洞。</p> <p>從修補的漏洞數量而言，數量第2多的是文件排版軟體FrameMaker，<a href="https://helpx.adobe.com/security/products/framemaker-publishing-server/apsb24-37.html">本次Adobe共緩解了8個漏洞</a>，其中有5個為重大層級，一旦遭到利用，攻擊者就有機會執行任意程式碼。這些漏洞涉及越界寫入、越界讀取、記憶體緩衝區溢位等情形。</p> <p>另一個公布漏洞數量也相當多的是向量圖形動畫軟體Animate，<a href="https://helpx.adobe.com/security/products/animate/apsb24-36.html">總共有7個漏洞</a>，當中有6個為可被用於執行任意程式碼的重大層級漏洞，這些漏洞發生的原因，包含了越界寫入、記憶體緩衝區溢位，以及空指標取消引用（NULL Pointer Dereference）的弱點。</p> </div></div></div>
2024/5/16 07:49作者周峻佑https://www.ithome.com.tw/news/162898
Google公布Firebase Genkit、多平臺開發環境Project IDX開放公測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>周三在Google I/O 2024上，除了公布最新Gemini AI模型外，Google也針對開發人員<a href="https://developers.googleblog.com/en/google-io-2024-recap-making-ai-accessible-and-helpful-for-every-developer/" target="_blank">提供了多項開發AI應用的新工具及服務</a>，包括多平臺開發環境Project IDX開放測試，以及開發框架Firebase Genkit等。</p> <p>Project IDX和Firebase Genkit皆為Google全堆疊多平臺開發工具的一部份。Project IDX首先於去年8月<a href="https://www.ithome.com.tw/news/158215" target="_blank">發表</a>，一開始Project IDX是以邀請制上線，僅提供少數用戶，現在則<a href="https://idx.google.com/?pli=1" target="_blank">以Beta版開放</a>更多開發人員使用，不再需要加入watch list。</p> <p>Project IDX是在Google Cloud上打造的Web開發服務，目的是開發人員打開瀏覽器就能開發程式，簡化開發、管理及部署完整堆疊的開發工作。Project IDX具備熱門框架及支援多種語言，內建和Chrome DevTools、Lighthouse與Cloud Run的整合，並有AI輔助開發與預覽、發布。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google-Project%20IDX-4.png" style="width: 421px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google-Project%20IDX-3.png" style="width: 600px;" /></p> <p>Google也為App雲端開發平臺Firebase加入開發AI App的新功能。其一為Genkit；Genkit是開源開發框架，可簡化AI助理的開發、部署和效能監控。Genkit以Vertex AI外掛形式提供，提供Firebase開發人員Gemini與Imagen 2模型，以及文字嵌入（text embeddings）等功能。現在Genkit支援Typescript/JavaScript，很快就會支援Go語言。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-Firebase%20Genkit-projecy%20IDX-google.png" style="width: 600px;" /></p> <p>Google也和Nvidia合作為Gemma模型最佳化產品效能，讓開發人員可在RTX GPU上以Genkit為工具，以開源模型Ollama或Google自己的Gemma為基礎模型開發App。</p> <p>Project IDX和Genkit之外，Google還宣布新版本開發語言工具Flutter 3.22及Dart 3.4，特色包括Flutter Impeller渲染引擎在Android效能提升30%、支援WebAssembly，以及可加速開發速度的實驗性語言功能Dart Macros等。</p> <p>對於Web開發專案，Google宣布將Gemini Nano整合到Chrome桌機版，以提供內建AI功能。這一方面是給一般用戶的新功能，但另一方面，對開發人員而言，可簡化Web程式部署，因為開發商不需下載或更新模型、解決儲存驅逐（storage eviction）、runtime記憶體不足等問題，也能利用硬體加速。</p> <p><a href="https://developers.googleblog.com/en/google-io-2024-recap-making-ai-accessible-and-helpful-for-every-developer/" target="_blank">其他開發工具的宣布</a>還包括裝置上基礎模型管理系統服務AlCore，目前已部署給Pixel 9 Pro及Samsung Galaxy S24系列，可方便在Android手機上執行Gemini Nano；Android Studio的AI程式撰寫助理Studio Bot推向200多國；以及Vertex AI的開源框架從原先LangChain，再擴增到LlamaIndex等。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/5/16 06:00作者林妍溱https://www.ithome.com.tw/news/162890
Meta的企業版臉書Facebook Workplace要在2026年退役了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.workplace.com/help/work/1167689491269151" target="_blank">Meta於本周公告</a>，旗下的企業版臉書Facebook Workplace將在2026年退役，目前用戶仍可正常使用，但到了2025年的9月1日起就只能讀取及下載資料，預計於2026年6月1日正式關閉。</p> <p>臉書是在2016年10月<a href="https://www.ithome.com.tw/news/108955" target="_blank">發表</a>Facebook Workplace，這是供企業使用的封閉版臉書，除了具備基本的臉書交流及社團功能之外，也嵌入了企業管理能力。</p> <p>Meta僅說關閉Facebook Workplace是個艱難的決定，並未說明原因。不過，Meta向《<a href="https://www.pymnts.com/meta/2024/meta-to-phase-out-workplace-over-next-2-years/" target="_blank">PYMNTS</a>》透露，讓Workplace退役可讓Meta專注於打造人工智慧及元宇宙技術，相信這些技術將從根本上重塑人們的工作方式，在關閉之前，Meta將協助客戶轉移到Zoom的Workvivo產品，而這也是Meta唯一的首選遷移合作夥伴。</p> <p>《TechCruch》則引述消息來源報導，這些年來Workplace受到許多挑戰，不管是競爭對手Slack、Teams的出現，或是關鍵員工的離去，也未從COVID-19疫情中復原。</p> <p>最近一次Meta公布其Workplace用戶數是在2021年5月，當時Workplace的付費訂閱用戶數達到了700萬名，且年成長率高達40%。</p> <p>為了安撫Workplace用戶，從今年9月1日到明年8月31日的Workplace服務將提供50%的折扣，到了明年9月，只能存取及下載，而無法上傳資料的階段，便不再向客戶收費。</p> </div></div></div>
2024/5/15 16:01作者陳曉莉https://www.ithome.com.tw/news/162892
OpenAI共同創辦人Ilya Sutskever離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2015年與Sam Altman等人共同創辦OpenAI，也是OpenAI科學長的Ilya Sutskever，昨晚（5/14）<a href="https://twitter.com/ilyasut/status/1790517455628198322" target="_blank">透過X宣布</a>將離開OpenAI，同一天<a href="https://twitter.com/sama/status/1790518031640347056" target="_blank">Altman也透過X</a>表達他對Sutskever的感謝，同時宣布接任OpenAI科學長的人選是Jakub Pachocki。</p> <p>在OpenAI董事會於去年11月17日<a href="https://www.ithome.com.tw/news/159901" target="_blank">開除Altman</a>時，身為OpenAI董事的Sutskever也投下了贊成票，據稱雙方是對AI的安全性看法產生了分歧，兩天後<a href="https://www.ithome.com.tw/news/159922" target="_blank">微軟就宣布</a>要成立AI新創並交由被免職的Altman來管理，並有超過9成的OpenAI員工誓言<a href="https://www.ithome.com.tw/news/159926" target="_blank">要追隨Altman</a>，但不到一周的時間，Altman便<a href="https://www.ithome.com.tw/news/159962" target="_blank">回鍋OpenAI</a>。</p> <p>在此一事件之後，Sutskever便離開了OpenAI董事會，且根據《<a href="https://www.nytimes.com/2024/05/14/technology/ilya-sutskever-leaving-openai.html" target="_blank">紐約時報</a>》（New York Times）的報導，Sutskever雖然仍是OpenAI的員工，但再也沒有重返工作崗位。</p> <p>現年38歲的Sutskever同時擁有俄羅斯、以色列與加拿大的公民身分，為多倫多大學計算機科學的哲學博士。Sutskever表示，相信OpenAI在Altman等人的領導下會建構既安全又有益的通用人工智慧，而接下來他將從事對他個人非常有意義的專案。</p> <p>至於Altman除了感謝Sutskever的貢獻外，亦描述Sutskever是個有才華、具遠見、溫暖又有同情心的人，並專注於替人類實現最美好的未來。</p> <p>新任的OpenAI科學長Pachocki之前為該公司的研究總監，曾領導GPT-4和OpenAI Five的開發，以及大規模強化學習與深度學習的最佳化，擁有卡內基梅隆大學理論計算機科學的博士學位。</p> </div></div></div>
2024/5/15 15:10作者陳曉莉https://www.ithome.com.tw/news/162887
殭屍網路Ebury從2009年出現，迄今已感染40萬臺Linux主機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者ESET針對<a href="https://www.welivesecurity.com/en/eset-research/ebury-alive-unseen-400k-linux-servers-compromised-cryptotheft-financial-gain/">名為Ebury的殭屍網路病毒攻擊行動提出警告</a>，指出該惡意程式從2009年開始活動，迄今已感染約40萬臺Linux主機，截至2023年底，仍有超過10萬臺主機遭到控制。</p> <p>研究人員針對近期的攻擊行動進行分析，指出駭客偏好先針對伺服器代管服務業者下手，然後向這些廠商租用虛擬機器的用戶發動供應鏈攻擊。</p> <p>攻擊者最初入侵伺服器的管道，是透過外流的帳密資料進行帳號填充攻擊得逞。一旦成功存取目標主機，他們的惡意程式就會從wtmp、known_hosts搜括SSH連線清單，並竊取其中的SSH金鑰，然後用於試圖入侵其他伺服器；此外，他們也發現駭客利用伺服器上軟體的已知漏洞，進一步提升權限的情況。</p> <p>接著，這些駭客透過位址解析協定（ARP），將目標伺服器的SSH流量重新導向至他們控制的伺服器，藉此進一步在使用者登入的過程截取帳密。</p> <p>值得留意的是，假若目標伺服器被用於代管加密貨幣錢包，對方還會透過前述的帳密資料來洗劫加密貨幣。</p> <p>研究人員指出，他們看到攻擊者也以此殭屍網路病毒散布其他惡意程式模組，這些涵蓋了能將受害伺服器充當代理伺服器使用的HelimodProxy、重新導向流量的HelimodRedirect、側錄網站表單內容的HelimodSteal、將網站用戶重新導向惡意URL的KernelRedirect，以及攔截HTTP請求竊取其中機密內容的FrizzySteal。</p> </div></div></div>
2024/5/15 13:28作者周峻佑https://www.ithome.com.tw/news/162878
【資安日報】5月15日，微軟發布5月份例行更新，公告3個零時差漏洞受到各界關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨日（5月14日）微軟發布本月的例行更新，總共修補60個漏洞，相較於<a href="https://www.ithome.com.tw/news/162224#patch-tuesday">上個月達到149個</a>，這次的數量僅約上個月的4成。</p> <p>僅管這次公布的漏洞數量大幅減少，但值得留意的是，這次有3個零時差漏洞，其中又以桌面視窗管理員（DWM）核心程式庫權限提升漏洞CVE-2024-30051最值得留意，因為有多組研究人員向微軟通報，並指出他們看到駭客將其用於攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162870"><strong style="font-size: 22px;">臺灣飽受中國駭客網路攻擊，Google在臺揭露最新一波輿論影響行動，目的是干擾臺灣總統大選</strong></a></p> <p></p> <p>近年來，無所不在的駭客網路攻擊，已讓傳統網路安全攻防有了進一步的延伸，擴展至認知安全的混合戰，在2024 CYBERSEC臺灣資安大會上，長年追蹤國家級駭客攻擊的Google Cloud Mandiant，不僅向所有臺灣與會者介紹他們觀察到的攻擊活動，並說明了臺灣所遭遇的真實現況。</p> <p>Google Cloud Mandiant Intelligence主席Sandra Joyce指出，他們從2019年開始密切追蹤的中國駭客組織Dragonbridge，當時該組織的鎖定目標是，污衊香港抗議者的名譽，但如今也針對臺灣而來。她首次揭露該組織的最新一波活動，是圍繞著2024年1月我國的總統大選而來。</p> <p>她表示，Dragonbridge這次散布的內容有幾個主軸，包括：試圖汙名化一些公眾人物，指控美國與臺灣串通灌票等，還有一些活動是針對臺灣年輕人而來，鼓勵他們投票的同時也夾帶批評特定政黨，以及許許多多不同議題。該組織針對臺灣從事相關攻擊，已經至少5年。</p> <p><a href="https://www.ithome.com.tw/news/162878"><strong style="font-size: 22px;">殭屍網路Ebury從2009年出現，迄今已感染40萬臺Linux主機</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-2.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-2.jpeg" style="width: 300px; float: right;" /></a></p> <p>資安業者ESET針對名為Ebury的殭屍網路病毒攻擊行動提出警告，指出該惡意程式從2009年開始活動，迄今已感染約40萬臺Linux主機，截至2023年底，仍有超過10萬臺主機遭到控制。</p> <p>研究人員針對近期的攻擊行動進行分析，指出駭客偏好先針對伺服器代管服務業者下手，然後向這些廠商租用虛擬機器的用戶發動供應鏈攻擊。</p> <p>攻擊者最初入侵伺服器的管道，是透過外流的帳密資料進行帳號填充攻擊得逞。一旦成功存取目標主機，他們的惡意程式就會從wtmp、known_hosts搜括SSH連線清單，並竊取其中的SSH金鑰，然後用於試圖入侵其他伺服器；此外，他們也發現駭客利用伺服器上軟體的已知漏洞，進一步提升權限的情況。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/fcc-reveals-royal-tiger-its-first-tagged-robocall-threat-actor/"><strong style="font-size: 20px;">美國揭露機器人電話駭客組織Royal Tiger</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162875"><strong style="font-size: 22px;">微軟發布5月份例行更新，修補3個零時差漏洞</strong></a></p> <p>5月14日微軟發布本月份例行更新（Patch Tuesday），總共修補60個漏洞，包含17個權限提升漏洞、2個安全功能繞過漏洞、27個遠端程式碼執行（RCE）漏洞、7個資訊洩露漏洞、3個阻斷服務（DoS）漏洞，以及4個可被用於欺騙的漏洞。</p> <p>這些漏洞當中，最受到關注的是3個零時差漏洞，根據CVSS風險評分的高低，依序是：MSHTML平臺安全功能繞過漏洞CVE-2024-30040、桌面視窗管理員（DWM）核心程式庫權限提升漏洞CVE-2024-30051，以及Visual Studio阻斷服務漏洞CVE-2024-30046。</p> <p>其中，CVE-2024-30040、CVE-2024-30051已被攻擊者積極用於攻擊行動，美國網路安全暨基礎設施安全局（CISA）同日將其列入已被利用的漏洞名冊（KEV），要求聯邦機構在6月4日前完成修補。而CVE-2024-30046的部分，則是在微軟發布資安公告之前，就被公開揭露。</p> <p><a href="https://www.ithome.com.tw/news/162872"><strong style="font-size: 22px;">Google修補Chrome漏洞CVE-2024-4761，與上一個零時差漏洞僅相隔不到一週</strong></a></p> <p>5月13日Google發布電腦版Chrome更新124.0.6367.207、208，該公司表示，這個版本主要修補高風險漏洞CVE-2024-4761，這項漏洞存在於JavaScript引擎V8，為記憶體越界寫入的問題，由不具名的研究人員在9日通報，而這是今年Google修補的第6個Chrome零時差漏洞。</p> <p>該公司表示，他們已經得知漏洞被用於攻擊行動的情況。不過，他們這次依然沒有透露進一步的細節，也沒有透露頒發通報者的獎勵金額。值得留意的是，Google才在上週發布124.0.6367.201、202版Chrome，修補另一個也被用於攻擊行動的零時差漏洞CVE-2024-4671，兩次更新間隔僅有4天，皆由不具名的研究人員通報，這也突顯針對瀏覽器弱點而來的威脅加劇的現象。</p> <p><a href="https://www.ithome.com.tw/news/162876"><strong style="font-size: 22px;">開源網路效能及配置管理框架Cacti存在重大漏洞，若不修補有可能被攻擊者用於執行任意程式碼</strong></a></p> <p>5月12日開源網路效能及配置管理框架Cacti發布1.2.27版，當中總共修補9個漏洞，其中最值得留意的是被列為重大等級的CVE-2024-29895、CVE-2024-25641。</p> <p>其中，CVE-2024-29895為命令注入漏洞，攻擊者可在Cacti伺服器的PHP元件啟用register_argc_argv功能的情況下，對伺服器下達任意命令，過程中無須通過身分驗證，CVSS風險評為10分。</p> <p>另一個重大層級的漏洞CVE-2024-25641，此為任意檔案寫入漏洞，存在於套件匯入功能，一旦攻擊者通過身分驗證，且取得匯入範本的權限，就有機會在網頁伺服器執行任意PHP程式碼，從而發動遠端程式碼執行（RCE）攻擊，CVSS風險評分為9.1。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/sap-patches-critical-vulnerabilities-in-cx-commerce-netweaver/"><strong style="font-size: 20px;">SAP修補CX Commerce、NetWeaver重大漏洞</strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/adobe-patches-critical-flaws-in-reader-acrobat/"><strong style="font-size: 20px;">Adobe發布5月例行更新，修補PDF編輯工具、檢視器重大漏洞</strong></a></p> <p></p> <p>◆<a href="https://ssd-disclosure.com/ssd-advisory-d-link-dir-x4860-security-vulnerabilities/"><strong style="font-size: 20px;">研究人員公布D-Link EXO AX4800路由器零時差漏洞的概念性驗證程式碼</strong></a></p> <p></p> <p>◆<a href="https://usa.kaspersky.com/about/press-releases/2024_kaspersky-identifies-significant-security-risks-in-widely-used-cinterion-modems"><strong style="font-size: 20px;">Cinterion工控數據機存在漏洞，攻擊者有機會透過簡訊執行任意程式碼</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162862"><strong style="font-size: 22px;">蔡英文總統連續6年親臨臺灣資安大會，臺灣資安產值去年突破740億元</strong></a></p> <p>CYBERSEC 2024臺灣資安大會於5月14日於南港展覽館舉行，總統蔡英文率領政府與資安相關各部會首長，親臨會場並進行開幕致詞，她已連續6年到場參與這場亞太地區規模最大的資安盛會。</p> <p>蔡英文致詞時表示，過去幾年臺灣持續展現並發展資安量能，除了成立數位發展部、帶動國家數位轉型外，也集結各部會力量，共同推動六大核心戰略產業，全力支持臺灣的資安產業發展，要讓臺灣能夠跟上全球數位轉型浪潮，並在全球供應鏈中，持續保有關鍵地位。在相關政策帶動下，2023年臺灣的資安產值已經超過740億元，穩定朝向2025年800億元產值的目標前進。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162861"><strong>【5月14日】芬蘭首都證實資料外洩事故，起因是教育部門的遠端存取伺服器未修補已知漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162840"><strong>【5月13日】韓國警方證實法院大量民眾個資遭北韓駭客竊取，近1 TB資料流出但僅有少部分能確認受害者身分</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162815"><strong>【5月10日】CYBERSEC 2024臺灣資安大會下周舉行，逾300場專業資安演講與超大規模資安品牌展覽即將登場</strong></a></p> </div></div></div>
2024/5/15 13:46作者周峻佑https://www.ithome.com.tw/news/162880
【臺灣資安大會直擊】汽車關鍵核心的ADAS系統成為駭客鎖定目標，如何避免未來自駕車遭駭而失控將是更大的挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺灣資安大會第二天主題演講中，臺上的Vic One威脅研究副總張裕敏借用電影《斷訊》的場景，描述全城市訊號中斷時，特斯拉車上無法收到自駕車軟體的控制訊號，結果許多特斯拉汽車相互追撞，塞滿了所有道路，「同樣的場景，如果將來被駭客操控，每輛車子都能遙控，情況可能差不多。」他這樣說道。</p> <p>張裕敏指出，對駭客而言，城市中擁有許多車輛，每輛車子都可能被遙控，駭客入侵後可能對整座城市發起勒索，或對車主進行勒索，若被勒索者不從，駭客可能將整座城市的車輛引導撞成一團，進而引起大規模的恐慌。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240515_030502803.jpeg" /></p> <p>這段描述了大規模自駕車遭駭的資安場景，雖然只是想像中的未來情景，但也反映了當自駕車遭到駭客入侵後失控可能帶來的後果，不僅會影響行車安全，甚至嚴重可能影響整個城市的安全。</p> <p>身為趨勢科技資安老將，張裕敏過去在APT攻擊、駭客攻防與駭客手法趨勢研究方面很有經驗，2022年趨勢科技成立汽車資安新創Vic One，張裕敏在該公司擔任汽車網路威脅研究副總，率領團隊投入汽車領域資安研究。</p> <p>儘管，目前臺灣自駕車發展仍處在等級2，也就是能夠做到車道維持、自動停車、自動跟車等功能，但是在美國，已經開放等級3的自駕車在路上行駛，可以在大部分情況下自動駕駛。張裕敏表示，最快今年底就會有等級4的汽車就會推出，明年甚至可以購買到等級4或5的車款。</p> <p>他觀察到，隨著越來越多高度自動化的汽車上路，也就越容易出現交通大打結的情況。例如，舊金山去年到今年就發生了10多起因為自駕車引起的交通堵塞事件。</p> <p>不光是自駕車有資安風險，隨汽車越來越依賴軟體，成為駭客鎖定的目標，汽車資安防護也成了重要的議題。尤其是汽車關鍵核心的先進輔助駕駛（ADAS）系統，需要更高的資安防護，才能降低被駭的風險。</p> <p>一般而言，ADAS的重要核心元件，包括了感測器和攝影機、雷達和光學雷達，運算平臺和演算法。當駭客入侵了這些核心元件，也就可能從遠端操控汽車ADAS的功能，造成嚴重的資安危機。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240515_030803873.jpeg" /></p> <h3>鎖定汽車ADAS攻擊的三大類型</h3> <p>張裕敏統計歷年汽車資安事件，從2005迄今發生300多起因為駭客攻擊產生的汽車資安事件，可以進一步分析駭客攻擊手法，如何入侵車輛，達到遠端攻擊的目標。</p> <p>張裕敏由此整理出了數十種鎖定汽車ADAS攻擊的三大類型，分別是運算平臺的威脅、感測器的威脅，以及演算法的威脅，總共涵蓋了28種攻擊樣態。</p> <p>在ADAS的安全威脅樹狀圖中，每一個樹狀結構都代表一種攻擊。其中，感測器的威脅包括多種攻擊方式。例如，駭客可能對毫米波雷達進行干擾攻擊，對超音波雷達則可能發動干擾攻擊和欺騙攻擊。對於高畫質攝影機，可能採取致盲攻擊、光線干擾和實體阻檔等手段。而在光達的利用方面，則可能採取中繼攻擊，電池干擾、遮敝攻擊等，以及GPS和V2X系統，都可能成為攻擊的目標。</p> <p>在運算平臺的威脅方面，不僅包含了IT領域常見的軟體和作業系統，還增加晶片項目，包括了偵錯埠資安、日誌存取權限、敏感性資料檢查、私鑰管理、晶片連接服務、晶片支援服務、韌體逆向保護、晶片封裝測試、加密演算法驗證等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240515_031252995.jpg" style="width: 600px; height: 338px;" /></p> <p>在演算法的威脅方面，則以程式碼洩漏和演算法邏輯異常為主。舉例來說，演算法邏輯錯誤中，包含了多種可能錯誤造成演算法邏輯異常，例如邊界條件錯誤、狀態管理錯誤、不一致的資料處理、演算法複雜度問題、演算法存在死鎖或競爭條件，以及異常處理不當等。</p> <p>對ADAS與自動動駕駛的安全防護，各國也有提出相應安全規範要求車廠落實，如美國SAE的J3016，歐洲UN/ECE 157等。</p> <p>面對汽車資安的威脅，張裕敏提到一些應對措施，除了持續收集情資預作風險控管之外，車廠需要不斷加強ADAS在行車安全的提升，同時，面對網路攻擊的風險日益增加，車輛製造商必須投資強化安全措施，防範潛在的威脅，另外，對於車主來說，應該慎選車輛配件並確保其具有認證，以增加車輛的安全性。</p> </div></div></div>
2024/5/15 13:57作者余至浩https://www.ithome.com.tw/news/162879
Google I/O：Gemini模型家族新成員Gemini 1.5 Flash及第六代雲端TPU報到
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google於周二（5/14）舉行的Google I/O開發者大會上，<a href="https://blog.google/technology/developers/google-io-2024-collection/" target="_blank">發表了</a>十多項全新或改善的服務與產品，幾乎全都圍繞著人工智慧（AI），包括推出新的文字生成影片模型<a href="https://blog.google/technology/ai/google-generative-ai-veo-imagen-3/#veo" target="_blank">Veo</a>，第六代的Google Cloud TPU──<a href="https://cloud.google.com/blog/products/compute/introducing-trillium-6th-gen-tpus/" target="_blank">Trillium</a>，開源視覺語言模型<a href="https://developers.googleblog.com/en/gemma-family-and-toolkit-expansion-io-2024/" target="_blank">PaliGemma</a>，於Gemini模型家族增添<a href="https://blog.google/technology/ai/google-gemini-update-flash-ai-assistant-io-2024/" target="_blank">Gemini 1.5 Flash</a>，以及於搜尋中整合<a href="https://blog.google/products/search/generative-ai-google-search-may-2024/" target="_blank">AI Overviews</a>，於Google Photo中嵌入<a href="https://blog.google/products/photos/ask-photos-google-io-2024/" target="_blank">Ask Photos with Gemini</a>等。</p> <p><span style="font-size:28px;"><strong>Trillium TPU峰值運算性能增加了4.7倍，效率提升67%</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google%20io%2024-Trillium%20TPU.jpg" style="width: 600px;" /></p> <p>TPU的全名為張量處理單元（Tensor Processing Unit），是Google專為神經網路機器學習所設計的特殊應用積體電路（ASIC），Google自2015年便開始於內部使用TPU，一直到2018才開始將其授權給第三方使用。</p> <p>Google積極開發TPU，上一版的Cloud TPU v5p甫於去年12月<a href="https://www.ithome.com.tw/news/160206" target="_blank">發表</a>，第六代的Trillium在高頻寬記憶體（HBM）的容量與頻寬都提高了一倍，晶片互連頻寬也提高一倍，同時它配備第三代、專門用來處理高階排序及推薦任務的SparseCore加速器；且其每個核心的峰值運算性能比TPU v5p增加了4.7倍，效率亦比TPU v5p多出了67%。</p> <p>此外，Trillium在單一的Pod中最多可擴展到256個TPU，並可藉由多層技術（Multislice Technology）及Titanium智慧處理單元拓展至數百個Pod，可造就連結數十萬個晶片的超級電腦架構，以支援高性能運算任務。</p> <p>想當然爾，Trillium TPU將支撐下一波AI模型的訓練，除了Google DeepMind將用它來訓練與服務未來的Gemini模型之外，也有其它業者已計畫利用Trillium TPU來訓練模型。同時Trillium TPU也會成為Google Cloud AI Hypercomputer超級電腦服務的基礎。</p> <p><span style="font-size:28px;"><strong>Gemini模型家族加入新成員Gemini 1.5 Flash</strong></span></p> <p class="rtecenter"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google%20io%2024-gemini%201_5%20flash.jpg" style="width: 600px;" /></strong></span></p> <p>原本Google的Gemini模型家族有3種版本，分別是可於手機上運作的Gemini Nano、通用版的Gemini Pro，以及最強大的Gemini Ultra，但本周添了新血Gemini Flash，由於它奠基在Gemini 1.5上，目前稱為Gemini 1.5 Flash。</p> <p>根據Google的解釋，Gemini 1.5 Flash是利用Gemini 1.5 Pro蒸餾而成，屬於Gemini 1.5 Pro的精簡版，它將大模型的基本知識與技能轉移到更小卻更高效的模型中。它們同樣支援100萬個Token的脈絡，但Gemini 1.5 Flash特別針對大規模容量及大規模的高頻率任務進行了最佳化，它是速度最快的Gemini API版本。</p> <p>儘管它僅是輕量級的Gemini 1.5 Pro，但Google強調它對於大量資訊有強大的多模態推理能力，擅長摘要、聊天應用程式、圖像、影像字幕、從大量文字及表格中汲取資料等。</p> <p>Gemini 1.5 Flash每100萬個Token的輸入費用為0.35美元，每100萬個Token的輸出費用則是0.53美元，比Gemini 1.5 Pro分別是3.5美元及1.75美元的價格便宜許多。</p> <p><span style="font-size:28px;"><strong>影片生成模型Veo報到</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-VideoFX%20powered%20by%20Veo%20video%20generation%20model-google%20deepmind.png" style="width: 600px;" /></p> <p>在推出了圖像生成模型Imagen及音樂生成模型<a href="https://www.ithome.com.tw/news/159923" target="_blank">Lyria</a>之後，由Google所開發的影片生成模型Veo也在本周出爐。</p> <p>根據<a href="https://deepmind.google/technologies/veo/" target="_blank">DeepMind的說明</a>，Veo可用來生成1080p且可超過1分鐘的高解析度影片，並支援不同電影與視覺風格。它可準確捕捉使用者所輸入文字的細微差別及語氣，還能理解各種電影效果的提示，例如延遲攝影或空拍。</p> <p>Veo將使每個人都能製作影片，不管是經驗豐富的製作人、企圖分享知識的教育家，或只是充滿抱負的創作者。</p> <p>Veo的部分功能將在未來幾周透過Google實驗室中的新工具VideoFX，遞送給部分創作者，目前屬封閉預覽階段，得先提出申請。</p> <p><span style="font-size:28px;"><strong>視覺語言模型PaliGemma可將視覺資訊轉為文字</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google%20io-paligemma.jpg" style="width: 600px;" /></p> <p>本周開源的視覺語言模型（Vision-Language Model，VLM）PaliGemma則是奠基在Google的開源語言模型<a href="https://www.ithome.com.tw/news/161409" target="_blank">Gemma</a>及視覺模型SigLIP之上，它是個多模態模型，可輸入圖像或文字，並生成文字，支援多種視覺語言任務，例如圖像的字幕、短影片的字幕、視覺問答、閱讀文字、檢測物件，或是物件分割等。</p> <p>PaliGemma是個小型語言模型，意謂著它不需要大量的記憶體或處理能力即可執行，適用於個人電腦、智慧型手機或物聯網裝置等資源受限的設備，可用來啟用更多的搜尋能力，或是幫助視障人士理解周圍的世界。</p> <p><span style="font-size:28px;"><strong>將AI整合至搜尋的AI Overviews與Ask Photos with Gemini</strong></span></p> <p>AI技術的發展最終還是要回歸到應用上。即日起，Google將在美國市場全面推出AI Overviews，這是Google<a href="https://www.ithome.com.tw/news/157080" target="_blank">在去年5月發表</a>AI搜尋測試平臺Search Labs時所實驗的服務之一，如今將它正名為AI Overviews。</p> <p>AI Overviews奠基在Gemini模型上，由於還在發展中，目前並沒有精確的定義，大抵是利用AI來協助搜尋用戶找到更完整、更有組織的答案。例如當使用者搜尋「閃電與打雷的連結」時，AI Overviews就會跳出一篇完整的答案，使用者可選擇簡化該答案，或是要求它更細緻地說明解答。</p> <p>此外，Google也打算進一步強化AI Overviews的能力，藉由Gemini模型的多步驟推論功能，協助解答使用者的複雜問題，認為與其將問題分成不同的搜尋，不如一次就提出複雜的問題，例如要找一家熱門、位置好、交通方便而且有折扣的瑜珈教室，只要交給AI Overviews就能直接找出答案。該功能隨後將透過Search Labs開放預覽。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0515-google%20io%2024-ai%20overview-2.png" style="width: 497px;" /></p> <p>Ask Photos with Gemini則是將多模態模型應用在Google Photos的AI服務，亦即幫使用者於Google Photos中找到所需的照片，簡單的像是「秀出我去過的國家公園的最佳照片。」還能進一步詢問「我去年在哪裡露營？」或是「我的禮券何時會過期？」</p> <p>Google計畫近日就會開始部署Ask Photos with Gemini，這是項實驗性功能，不確定能否成為正式功能。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/5/15 14:03作者陳曉莉https://www.ithome.com.tw/news/162877
微軟發布5月份例行更新，修補3個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月14日<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-May">微軟發布本月份例行更新</a>（Patch Tuesday），總共修補60個漏洞，<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2024-patch-tuesday-fixes-3-zero-days-61-flaws/">包含</a>17個權限提升漏洞、2個安全功能繞過漏洞、27個遠端程式碼執行（RCE）漏洞、7個資訊洩露漏洞、3個阻斷服務（DoS）漏洞，以及4個可被用於欺騙的漏洞。</p> <p>這些漏洞當中，最受到關注的是3個零時差漏洞，根據CVSS風險評分的高低，依序是：MSHTML平臺安全功能繞過漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-30040">CVE-2024-30040</a>、桌面視窗管理員（DWM）核心程式庫權限提升漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-30051">CVE-2024-30051</a>，以及Visual Studio阻斷服務漏洞CVE-2024-30046。</p> <p>其中，CVE-2024-30040、CVE-2024-30051已被攻擊者積極用於攻擊行動，<a href="https://www.cisa.gov/news-events/alerts/2024/05/14/cisa-adds-two-known-exploited-vulnerabilities-catalog">美國網路安全暨基礎設施安全局（CISA）同日將其列入已被利用的漏洞名冊（KEV）</a>，要求聯邦機構在6月4日前完成修補。而CVE-2024-30046的部分，則是在微軟發布資安公告之前，就被公開揭露。</p> <p>本次公布的零時差漏洞裡，最受到研究人員關注的是CVE-2024-30051，若是攻擊者成功觸發漏洞，就有機會得到SYSTEM權限，CVSS風險評分為7.8。通報漏洞的資安業者卡巴斯基表示，<a href="https://securelist.com/cve-2024-30051/112618/">他們看到有多組人馬用於攻擊行動</a>，目的是要散布包含QBot在內的多款惡意程式。Google、中國資安業者安恒信息（DBAPPSecurity）也向微軟通報漏洞，並指出他們看到相關攻擊行動。</p> <p>另一個也被用於攻擊行動的CVE-2024-30040能繞過Microsoft 365及Office的物件連結與嵌入（OLE）防護機制，攻擊者一旦成功利用，可藉由引誘使用者下載、開啟惡意檔案，而有機會獲得相關權限並執行任意程式碼，CVSS風險評為8.8分。</p> <p>至於CVE-2024-30046，<a href="http://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-30046">微軟在公告中指出</a>，攻擊者若要利用該漏洞，需要進行高度複雜的攻擊，他們指出攻擊者需要透過發送持續性或間歇性的資料，耗費時間反覆嘗試利用，在贏得競爭條件的情況下才有機會成功利用，CVSS風險評分為5.9，該公司為Visual Studio 2022提供修補程式。</p> <p>值得留意的是，由於大部分的資料傳輸都是連續或間歇性進行，且微軟並未公布其他細節，僅透露他們發布公告前漏洞就被揭露，因此實際帶來的影響程度有待觀察。</p> <p>附帶一提的是，Zero Day Initiative（ZDI）與Rapid7皆提出呼籲，應特別留意本次公布的SharePoint Server漏洞。</p> <p>ZDI針對<a href="https://www.zerodayinitiative.com/blog/2024/5/14/the-may-2024-security-update-review">他們通報的資訊洩漏漏洞CVE-2024-30043提出警告</a>，此為SharePoint Server 2019的XML外部實體注入（XXE）漏洞，雖然CVSS風險評分僅有6.5，但通過身分驗證的攻擊者有機會利用SharePoint Farm服務帳號的高權限，存取本機檔案，還有可能進行NLTM重放（NTLM Relay）攻擊，或是發動伺服器請求偽造（SSRF）攻擊。</p> <p>Rapid7則是針對<a href="https://www.rapid7.com/blog/post/2024/05/14/patch-tuesday-may-2024/">微軟列為重大等級的RCE漏洞CVE-2024-30044提出警告</a>，因為該漏洞具備較低的利用需求，攻擊者僅需取得低權限就有機會利用。<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-30044">微軟也在資安公告中指出</a>，這項漏洞接下來被利用的可能性很高。</p> </div></div></div>
2024/5/15 12:26作者周峻佑https://www.ithome.com.tw/news/162875
開源網路效能及配置管理框架Cacti存在重大漏洞，若不修補有可能被攻擊者用於執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月12日開源網路效能及配置管理框架Cacti發布1.2.27版，當中總共修補9個漏洞，其中最值得留意的是被列為重大等級的<a href="https://github.com/Cacti/cacti/security/advisories/GHSA-cx8g-hvq8-p2rv">CVE-2024-29895</a>、<a href="https://github.com/Cacti/cacti/security/advisories/GHSA-vjph-r677-6pcc">CVE-2024-25641</a>。</p> <p>其中，CVE-2024-29895為命令注入漏洞，攻擊者可在Cacti伺服器的PHP元件啟用register_argc_argv功能的情況下，對伺服器下達任意命令，過程中無須通過身分驗證，CVSS風險評為10分。</p> <p>另一個重大層級的漏洞CVE-2024-25641，此為任意檔案寫入漏洞，存在於套件匯入功能，一旦攻擊者通過身分驗證，且取得匯入範本的權限，就有機會在網頁伺服器執行任意PHP程式碼，從而發動遠端程式碼執行（RCE）攻擊，CVSS風險評分為9.1。</p> <p>開發團隊也針對這次修補的漏洞提供概念性驗證（PoC），並呼籲用戶儘速套用新版程式。</p> </div></div></div>
2024/5/15 12:54作者周峻佑https://www.ithome.com.tw/news/162876
賴清德準總統公開承諾，新政府仍將繼續支持資安產業發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>下週一（520）即是臺灣第十六任、新任總統副總統就職典禮，值此繁忙之際，現任副總統賴清德、也是下一任總統當選人百忙之中，連續第三年蒞臨臺灣資安大會。賴清德此次並率領未來新內閣中與資安發展相關的主管一同到場，包括：現任青平臺基金會董事長、候任行政院副院長兼資安長鄭麗君，中研院資創中心研究員、候任國安會諮詢委員李育杰，以及中研院資創中心特聘研究員、候任數位發展部部長黃彥男等人，共同關心臺灣資安產業的發展。</p> <p>賴清德蒞臨臺灣資安大會並致開幕詞表示，「資安即國安」，未來新政府也會延續蔡英文總統的政策，繼續推動國安的工作，並公開承諾，將會繼續支持臺灣資安產業的發展，推動臺灣資安產業更上一層樓。</p> <h2><strong>假訊息是臺灣最大資安風險，卻也是產業升級鍛鍊的機會</strong></h2> <p>賴清德致詞時指出，根據世界經濟論壇（WEF）2024全球風險評估報告，未來兩年內，世界最高的風險就是錯誤訊息和假訊息；另外一個報告則是，未來兩年內，全世界第四大風險就是網路犯罪和網路犯罪延伸的風險。</p> <p>另外，賴清德也引述另外一個報告內容表示，臺灣是全球假訊息被攻擊最嚴重的國家，但他對此非常正面看待。他認為，雖然臺灣在全球當中，是受到假訊息攻擊嚴重的國家是壞消息，但如果將這個視為可以磨練、鍛鍊臺灣資安產業的場域時，就會是臺灣資安產業發展的契機。「臺灣資安產業就可以化挑戰為機會，進一步提升。」他說，</p> <p>賴清德表示，他在擔任行政院院長時，也有看到假訊息這個問題的嚴重性，當時，行政院就已經推動臺灣資安產業發展行動方案；後來蘇貞昌院長時，也通過臺灣的《資通安全管理法》以及成立數位發展部等部會，目的都是希望做好資安，好好發展資安產業。他強調，這也是他為什麼會率領新內閣與資安相關的政府未來同仁，一起出席臺灣資安大會的原因，這就是他用實際行動表達對資安產業的支持。</p> <h2><strong>臺灣資安大會有20多國人士參與，韓國更有金融業者組團參加</strong></h2> <p>臺灣資安大會主席、iThome總編輯吳其勳開幕致詞時表示，今年是臺灣資安大會十周年，也臺灣體現民主、進行四年一度總統大選的一年，在520總統就職前夕，昨天有蔡英文總統到場幫大家打氣，今天則有賴副總統、未來的賴總統，連續第三年蒞臨臺灣資安大會，也讓臺灣資安大會創下史無前例，首度有前後任總統副總統蒞臨的紀錄。他說：「這也是國家資安政策，無縫接軌的最好證明。」</p> <p>這幾年，臺灣資安大會持續朝國際化前進，吳其勳指出，今年有好幾百位、來自二十多個國家的與會者到場參加會議，其中，像是韓國就有三十多家金融機構組成的金融資安觀摩團，成員包括韓國的重要銀行、信用卡公司、證券和保險業者，組團來臺灣參加並觀摩臺灣資安大會。他表示，這也證實，臺灣資安已經成為國際上被世界各國看到的重點。</p> <p>他表示，今年臺灣資安大會首度使用南港展覽館全館場地，包括一樓、四樓和七樓，三天有超過三百場演講，以及豐富的上機實作課程，參與人數從十年前的一千五百人到今年的二萬人參與，都是十年前、甚至是五年前想不到的事情。</p> <p>今年四樓展區，首度新增加AIoT和硬體安全展區，下午都有5G物聯網、硬體、晶片安全的豐富一成，吳其勳表示，資安可以結合臺灣半導體資通訊硬體、物聯網優勢，將是臺灣未來可期的產業發展重點。</p> <p>此外，他也說，四樓也首度新增資安競技場，提供大家學習並演練資安實戰的技能，可以透過實際演練了解真實世界中，中國網軍的攻擊手法，透過熟悉攻擊腳本，可以學習怎麼偵測和應變，也會於5月16日下午一點，舉辦第一屆實機攻防競賽。</p> <p>國際上有許多人對臺灣資安有興趣，但因為種種原因不克前來，對此，臺灣資安大會也首度成立CyberSec Globe的線上活動，全英文議程透過線上播出，希望可以讓臺灣更多優秀的人才，以及實力堅強的資安產業，都可以站上全球舞台，讓世界看到臺灣資安、讓臺灣資安走進世界。</p> <p> </p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/5/15 11:36作者黃彥棻https://www.ithome.com.tw/news/162873
AWS執行長Adam Selipsky將在6月下臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon雲端事業部門Amazon Web Services（AWS）執行長Adam Selipsky將在6月下臺，成為Amazon最新一樁人事變動的主角。</p> <p>《<a href="https://www.theverge.com/2024/5/14/24156306/amazon-web-services-aws-ceo-stepping-down" target="_blank">The Verge</a>》取得Amazon執行長Andy Jassy昨（14）日公司電子郵件得知這項消息，隨後該公司透過<a href="https://www.aboutamazon.com/news/company-news/leadership-update-aws-adam-selipsky-matt-garman" target="_blank">官方部落格</a>證實並正式宣布。</p> <p>Selipsky將離開公司，追尋「下一個挑戰」，其遺缺將由AWS行銷、業務暨全球服務資深副總裁Matt Garman接任。人事命令將自6月3日生效。</p> <p>Selipsky 2005年就加入Amazon，在11年期間內擔任行銷、業務與服務職位。他於2016年跳槽資料視覺化軟體公司Tableau，並在3年後連同Salesforce的收購後持續留任。Selipsky <a href="https://www.ithome.com.tw/news/143431" target="_blank">2021年回鍋</a>Amazon，在Jessy成為Amazon執行長後接任其位。</p> <p>在位3年之中，Selipsky有許多和AI有關的事蹟，包括創立AI模型開發平臺Amazon Bedrock及生成式AI支援助理Amazon Q，投資Anthropic 40億美元，以及推出Amazon自有AI晶片Trainium等。</p> <p>Selipsky離職原因不明。AWS向來是公有雲市占龍頭，掌握約33%以上市占，領先微軟Azure及Google Cloud。但近年在AI逐漸成為雲端業務要角後，AWS在技術及知名度上已逐漸被對手趕上。根據分析機構<a href="https://www.crn.com/news/cloud/2024/microsoft-vs-aws-vs-google-cloud-earnings-q1-2024-face-off" target="_blank">Synergy Research Group</a>的數據，今年第一季微軟Azure雲業績及年度預期收入（annual run rate）分別達267億及1,070億美元，超越AWS的250億及1,000億美元。</p> <p>另一方面，Jessy 2021年上任後，Amazon人事已大幅變動。去年該公司消費性電子產品主管<a href="https://www.ithome.com.tw/news/158265" target="_blank">David Limp下臺</a>，開發Alexa的部門也經過重組，和AI部門整合，傳將於年中推出收費的AI-based Alexa服務。</p> </div></div></div>
2024/5/15 11:49作者林妍溱https://www.ithome.com.tw/news/162874
Google修補Chrome漏洞CVE-2024-4761，與上一個零時差漏洞僅相隔不到一週
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月13日Google發布<a href="https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html">電腦版Chrome更新124.0.6367.207、208</a>，該公司表示，這個版本主要修補高風險漏洞CVE-2024-4761，這項漏洞存在於JavaScript引擎V8，為記憶體越界寫入的問題，由不具名的研究人員在9日通報，而這是今年Google修補的第6個Chrome零時差漏洞。</p> <p>該公司表示，他們已經得知漏洞被用於攻擊行動的情況。由於記憶體越界寫入（或讀取）的相關弱點，有可能被拿來操縱部分記憶體並提供給更為重大的功能運用，而使得攻擊者有機會透過應用程式及使用者不具備的權限，執行任意程式碼，該公司呼籲使用者應儘速升級新版本。</p> <p>不過，他們這次依然沒有透露進一步的細節，也沒有透露頒發通報者的獎勵金額。但資安研究人員Mich宣稱，<a href="https://github.com/michredteam/CVE-2024-4761">他已開發出針對Windows版瀏覽器的概念性驗證程式（PoC）</a>，將於大多數使用者完成修補後再行公布。</p> <p>值得留意的是，Google才在上週發布124.0.6367.201、202版Chrome，<a href="https://www.ithome.com.tw/news/162822">修補另一個也被用於攻擊行動的零時差漏洞CVE-2024-4671</a>，兩次更新間隔僅有4天，皆由不具名的研究人員通報，這也突顯針對瀏覽器弱點而來的威脅加劇的現象。</p> <p>附帶一提的是，美國網路安全暨基礎設施安全局（CISA）於13日，<a href="https://www.cisa.gov/news-events/alerts/2024/05/13/cisa-adds-one-known-exploited-vulnerability-catalog">將CVE-2024-4671列入已被用於攻擊行動的漏洞名單（KEV）</a>，並要求聯邦機構於6月3日完成修補。依照這樣的態勢看來，CVE-2024-4761應該也很快會被CISA加入KEV資料庫。</p> <p>另一方面，由於CVE-2024-4761存在於JavaScript引擎V8，其他以Chromium為基礎開發的瀏覽器Edge、Brave、Opera很有可能也受到影響，用戶近期應留意開發團隊的相關公告。</p> </div></div></div>
2024/5/15 10:52作者周峻佑https://www.ithome.com.tw/news/162872
ChatGPT也推出桌機版App了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨日公布最新多模AI模型<a href="https://www.ithome.com.tw/news/162852" target="_blank">GPT-4o</a>的同時，也宣布<a href="https://openai.com/index/gpt-4o-and-more-tools-to-chatgpt-free/" target="_blank">推出macOS版本應用程式</a>，之後也會推出Windows版本。</p> <p>免費版及付費版ChatGPT用戶都可下載ChatGPT macOS版，以便能和電腦端的作業無縫整合。只要按下鍵盤上的捷徑鍵（Option+空白鍵）即可叫出ChatGPT，用它直接螢幕擷圖和友人討論。Plus用戶今天就能使用macOS版本，幾個星期內會推到免費用戶。Windows版本也會在今年稍晚推出。此外，OpenAI也為ChatGPT改版，主頁、訊息排版等都換上新面貌，使其更友善，方便對話。</p> <p class="rtecenter"><a href="https://videos.ctfassets.net/kftzwdyauwt9/7n0KpQhRuMjXktVdkls59B/c8f9215d4ece3a37baf1303fd48e81f6/7_DesktopLauncher.mp4" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-chatgpt-macos-600.png" style="width: 600px;" /></a></p> <p>桌機版ChatGPT未來將以GPT-4o為基礎，支援圖像、聲音和文字及程式。用戶現在已經可使用語音模式（Voice）與之互動（免費版為GPT 3.5，付費版用戶則可選用GPT 4）。目前OpenAI正在部署GPT-4o，未來就能接受多種模態的資料輸入，像是為公司腦力激盪、準備採訪，或討論某個主題。按下桌機App右下角的耳機圖示即可啟動語音模式。</p> <p>免費版ChatGPT用戶也能享用到GPT-4o，獲得GPT-4等級的回應，分析資料、建立圖表、討論照片、上傳檔案，或在GPT Store上搜尋其他客製化服務。但OpenAI說，依用量及需求而定，免費版能傳送的訊息數量有上限，等超過限額，就會自動轉成GPT-3.5。</p> <p>ChatGPT iOS和Android版App已分別在去年5月和7月推出。</p> </div></div></div>
2024/5/15 09:00作者林妍溱https://www.ithome.com.tw/news/162866
【臺灣資安大會直擊】臺灣飽受中國駭客網路攻擊，Google在臺揭露最新一波輿論影響行動，目的是干擾臺灣總統大選
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，無所不在的駭客網路攻擊，已讓傳統網路安全攻防有了進一步的延伸，擴展至認知安全的混合戰，在今天（5/14）第一天舉行的2024 CYBERSEC臺灣資安大會上，長年追蹤國家級駭客攻擊的Google Cloud Mandiant，不僅向所有臺灣與會者介紹他們觀察到的攻擊活動，並說明了臺灣所遭遇的真實現況。</p> <h2><strong>Dragonbridge鎖定臺灣已5年之久，大選期間發動更多針對人身攻擊的輿論操作</strong></h2> <p>關於國家級駭客組織發起的輿論影響行動（Information Operations），自2年前俄烏戰事爆發，已成為全球資安界關注的一大重點，臺灣民眾對此議題更是不陌生，以大型民主指標研究Varieties of Democracy的資料為例，臺灣從2013年以來，受到外國假消息攻擊的情形就持續是全球第一嚴重，然而，鮮少將攻擊行動與背後攻擊者進一步追蹤關聯。</p> <p>在臺灣資安大會首日主題演說中，Google Cloud Mandiant Intelligence主席Sandra Joyce不僅針對一些重要的網路威脅態勢示警，包括零時差利用攻擊現在更常鎖定邊緣設備，濫用受害電腦內建工具執行攻擊的寄生攻擊手法（Living Off-the-Land）越來越多，同時還揭露了近期臺灣持續面對輿論影響行動的威脅。</p> <p>Sandra Joyce指出，Google Cloud Mandiant在全球看到了很多間諜活動，不只是美國，臺灣也不例外，尤其是輿論影響行動，許多這類攻擊活動都已經獲得證實，而且仍然持續再進行。</p> <p>例如，他們從2019年開始密切中國駭客組織Dragonbridge，因為該組織的活動是聚焦在網路上發動輿論影響的網路攻擊。而在在2022年，Google就已經在YouTube、Blogger、AdSense等平臺上，就刪除了超過46,000個Dragonbridge的活動。</p> <p>Sandra Joyce解釋，這個代號為Dragonbridge的中國駭客組織，是在2019年首度被發現，當時該組織的鎖定目標是，污衊香港抗議者的名譽，並批評民主主義者。而且，不僅是針對香港，臺灣民眾也是他們針對的目標，並且已經有多次這樣的攻擊活動。</p> <p>特別的是，Sandra Joyce在今日大會上，首次公開揭露了該組織的最新一波活動，是圍繞著2024年1月我國的總統大選而來。</p> <p>她表示，Dragonbridge這次散布的內容有幾個主軸，包括：試圖汙名化一些公眾人物，指控美國與臺灣串通灌票等，還有一些活動是針對臺灣年輕人而來，鼓勵他們投票的同時也夾帶批評特定政黨，以及許許多多不同議題。</p> <p>有哪些具體活動內容？Sandra Joyce以污衊臺灣總統蔡英文為例，舉出Dragonbridge發動的3項操作手法。</p> <p>首先，大規模散布一份300頁、蔡英文秘史的抹黑內容，透過大量社群帳號上傳、聯播與分享這類內容，吸引好事之徒支持並轉傳，其次是散布私生子相關消息，第三是散布政府告密者有關的資訊。因此，這些抹黑內容都是由Dragonbridge發布，藉由一系列的主題，來達到輿論影響臺灣的目的。</p> <p>儘管蔡英文總統不是2024大選參選者，但Dragonbridge這樣的詆毀、抹黑，無非是衝著蔡英文總統與其政黨的好感度而來。</p> <p>Sandra Joyce強調，Dragonbridge這麼做已經至少5年，尤其是在臺灣總統大選期間，一些針對人身攻擊的操作又會大幅增加，試圖混淆民主選舉的重要議題討論，針對個人發動疑似或毫無根據的詆毀。</p> <p>去年，Google也曾發布相關研究報告，揭露Dragonbridge的威脅行動。例如，美國聯邦眾議院議長裴洛西在2022年7月底公布可能訪臺後，Dragonbridge將焦點轉向對裴洛西與其家人及財物的批評，到了8月，中國人民解放軍在臺灣周邊進行軍事演習期間，Dragonbridge再加強力道，上傳中國解放軍國際形象宣傳片，以及呼籲臺灣總統與其政治盟友投降的影片。</p> <p>不只是臺灣，Sandra Joyce強調，美國也受到這樣的網路攻擊威脅。例如，一個名為HaiEnergy的攻擊活動，這項活動實際上是中國聘請一家公關公司來進行，進一步影響美國政治風向。特別的是，手法上還會利用新聞社的機制，將親中內容擴散到美國合法新聞媒體的特定主題之下，甚至還會在選舉現場資助了現場抗議活動，包括招募假示威者，再將活動照片、影片上傳社群媒體平臺，影片結尾還帶有批評民主、鼓勵不要投票的輿論操作。</p> <p>最後，Sandra Joyce要提醒大家的是，儘管一些輿論影響行動不算非常成功，影響力不大，例如，2022年Google關閉Dragonbridge的數萬個YouTube頻道中，有58%頻道訂閱人數為0，有42%影片瀏覽次數為0，有83％影片瀏覽不到100次。</p> <p>但是，Dragonbridge仍持續不段嘗試新的手法、形式與發文。因此，這並不意味著我們不應該保持警惕，要知道，隨著這些輿論影響行動的增加，可能越來越能夠達到他們的目的。</p> <p>換言之，我們每個人，必需努力去理解，什麼是真實的，什麼是不真實的，並要持續對突然新出現、來源非常可疑的新聞保持警惕。因為這些組織的唯一工作，就是嘗試發表不真實的消息，並試圖左右事件的風向。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖1)2024臺灣資安大會Google Cloud Mandiant Intelligence主席Sandra Joyce.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)2024%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83Google%20Cloud%20Mandiant%20Intelligence%E4%B8%BB%E5%B8%ADSandra%20Joyce.jpg" style="width: 600px;" /></a></p> <p><strong>在2024 CYBERSEC臺灣資安大會上第一天的主題演說中，Google Cloud Mandiant Intelligence主席Sandra Joyce揭露了中國駭客組織Dragonbridge的最新一波活動。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)2024%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83%E4%B8%AD%E5%9C%8B%E9%A7%AD%E5%AE%A2%E9%87%9D%E5%B0%8D%E8%87%BA%E7%81%A3%E7%99%BC%E5%8B%95%E8%BC%BF%E8%AB%96%E5%BD%B1%E9%9F%BF%E8%A1%8C%E5%8B%95.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖3)2024臺灣資安大會中國駭客針對臺灣發動輿論影響行動.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%963)2024%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83%E4%B8%AD%E5%9C%8B%E9%A7%AD%E5%AE%A2%E9%87%9D%E5%B0%8D%E8%87%BA%E7%81%A3%E7%99%BC%E5%8B%95%E8%BC%BF%E8%AB%96%E5%BD%B1%E9%9F%BF%E8%A1%8C%E5%8B%95.jpg" style="width: 600px;" /></a></p> <p><strong>Sandra Joyce指出，中國駭客組織Dragonbridge最新行動聚焦於臺灣總統大選，她並以中國駭客試圖汙名化我國總統為例，說明對方使用的3項操作手法，包括先是散布關於一份300頁、蔡英文秘史的抹黑內容，接著散布私生子相關消息，再散布政府告密者有關的資訊。</strong></p> <h2><strong>這一年來的網路攻擊威脅，還有哪些重要變化？</strong></h2> <p>在這場大會演說之餘，我們也向遠道而來的Sandra Joyce提出一些問題，想針對多談談對於這一年來資安威脅演變的看法。</p> <p>首先，對於今年3月底XZ Utils後門事件，他們有何特殊的觀察？Sandra Joyce指出，雖然軟體供應鏈攻擊並不是一個新的現象，但這次事件的確再次突顯上游層次惡意程式碼注入的潛在風險，值得注意的是，這項行動可能存在間諜動機，因為後門下一階段的行動，需要攻擊者的私鑰與受害者的公鑰才能進行，這有點類似APT29對Solarwinds Orion的供應鏈攻擊事件，會是有選擇性地挑選第二階段的受害目標。同時，分析該後門之後，可以發現攻擊者花了相當大的心力，避免行動被發現並設法阻礙分析。</p> <p>此外，從這一年的威脅變化來看，有3點是她想特別強調的部分，第一點，企業組織發現入侵的時間，從2022年的16天降至9天，雖然這可能也與勒索軟體事件增加而導致，不過，在此同時，從自身內部發現入侵的比例，也從2022年的37％增至46%，這顯現出全球防禦者的偵測能力已有所提升。第二點，亞太區要特別注意勒索軟體攻擊的態勢，因為亞太區有一項明顯的變化，是發現入侵的時間從2022年的33天降至9天，這很可能是勒索軟體攻擊事件造成，因為在2023年，亞太區的勒索軟體攻擊事件佔比比其他地區都高；第三點，攻擊者為了不被發現正採取更多手法，例如透過零時差漏洞利用的攻擊，因此持續合作的情資交流至關重要。</p> <p>對於我們要如何面對輿論影響行動？她再次強調，我們不應該急於接受內容，每個人都應該對突然出現、來源可疑的內容揭露，抱持極度謹慎的態度。換言之，這就是我們應對上最簡單的原則。</p> </div></div></div>
2024/5/14 22:38作者羅正漢https://www.ithome.com.tw/news/162870
【臺灣資安大會直擊】邱銘彰：資安典範正轉移，接下來10年資安產業應積極擁抱AI新科技
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安產業現今蓬勃發展，奧義智慧科技創辦人邱銘彰在今年資安大會中，細數過去幾個重要發展的關鍵點，從2003年第一個中國APT攻擊政府機關引起媒體報導，喚起政府及社會對資安事件的重視，國內團隊在DEFCON CTF獲得第2名好成績，對國內資安社群及人才帶來的鼓舞作用，2016年政府倡議資安即國安下，資通安全處成立，2017年至2019年間資安社群及學校課程培育更多人才，奧義、中華資安、TXOne等業者興起。</p> <p>2019年資通安全法實施，要求上市公司配合，2022年數位部成立資通安全署，2023年政府要求上市公司設立資安長，這幾年資安受到更多的重視，從資安大會的主題及議題來看，零信任架構、法遵、雲端安全、AI及機器學習在不同階段都受到重視。</p> <p>他也分享對國內資安的觀點，他認為正面臨典範的轉移及方法的革新。首先是典範的轉移，資安的觀點及關心的重點不斷移動中，他解釋這並非代表舊的問題消失，而是發現新問題出現。過去資安防護的邊界防線，是以建立邊界防線，建置防火牆阻斷外部的攻擊，但事實上，防禦的邊界不只有防火牆及VPN。</p> <p>他觀察近10年的資安關心的重點變化，從網路(DoS)端到伺服器(Web)，到終端(APT滲透測試)，再到身分(雲端)，資安的戰場不斷移動，過去的資安鑑識以電腦為單位，現在進入雲端時代，以每個Workflow為鑑識單位。早期在於找出惡意程式，後來偵測威脅找出駭客入侵行為，現在則是協助企業辨識風險，找出哪裡存在威脅。</p> <p><span style="color:#B22222;"><strong>典範轉移：從了解敵人到了解自己</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20240514_105913.jpeg" style="width: 600px; height: 376px;" /></p> <p>邱銘彰表示，資安產業正發生典範的轉移，從過去「了解敵人」(Know your enemy)，逐漸轉移到「了解自己」(Know yourself)，了解自己的架構、IT、資產，存在哪些弱點。了解敵人找出甚麼不能出現，例如惡意程式，而了解自己是找出甚麼不該出現，不該出現的軟體、不該登入的帳號，不該頻繁的連線等。</p> <p>在資安的攻防戰中，他認為企業更具有優勢，「駭客是矇著眼攻擊，而你(企業)是地主」，企業建立防火牆、帳號管理，熟悉自己的架構，雖然無法知道攻擊者是誰，但是能知道攻擊可能從哪裡過來。可以將資安防護分為External Attack Surface和Internal Attack Surface，前者包括對外的網站、Cloud上的資產、暗網情資等，後者如企業內的AD、終端設備、Azure Identity等，找出攻擊可能的路徑，評估這些路徑告警的預測率高低，擬定因應的對策。</p> <p>邱銘彰認為，企業可以透過很多方法論，去界定新的邊界、識別風險，從過去網路、伺服器、終端到身分，資安的重點不斷變化，舊的威脅仍然存在，了解新威脅的演化方向，對企業的採購、制定防禦計畫帶來幫助。</p> <p><span style="color:#B22222;"><strong>資安產業應擁抱AI</strong></span></p> <p>至於方法革新方面，近幾年AI快速發展，特別是沒有賦予或讓其學習的能力，AI可以自己具備學習新能力，但根據邱銘彰觀察，資安圈沒有興起AI風，他猜測理由可能有3個，一是資安人怕告警疲勞，難以忍受誤判，而AI現在具有不確定性；第二是習慣以傳統方法，例如建立黑名單來防範攻擊，第3個是看不懂與跟不上，仍停留在AI容易出錯的認知。</p> <p>雖然目前生成式AI能夠與人聊天對話，產生影像內容，但AI不是玩具，可以成為工具，協助分析、決策、產生報告，邱銘彰認為，資安產業應該擁抱AI。</p> <p>在OpenAI發表新一代多模態AI模型GPT-4o後，邱銘彰認為，未來資安產業結合AI有3個發展潛力。</p> <p>在多模態方面，生成式AI已能整合不同資料類型，未來可協助資安SOC人員融合不同資安設備的異質資料，產生具有情境脈絡的報告(Contextual Report)；在合成資料方面，由生成式AI合成訓練資料，彌補資料不足及克服隱私的問題，讓AI自己訓練自己；在因果推斷方面，在因果計算進步之下，未來可運用AI找出資料間的隱藏統計關係，解釋深層的因果關係，說明資安事件發生的背後可能原因。</p> <p>然而，AI也會對資安專家帶來衝擊，他將資安分為4種類專家，鑑識分析專家(IR Team)、事件應變專家(SOC Team)、威脅情資專家(CTI Team)、紅隊演練專家(Red Team)，他開玩笑的說，從事其中2種類型工作，衍生出第5種資安專家，資安嘴砲專家(Rapper Team)。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20240514_111658.jpeg" style="width: 600px; height: 278px;" /></p> <p>這些不同類型的資安專家團隊，其工作之一是產生報告，未來AI能夠模仿不同類型資安專家的工作風格產生報告，甚至AI的工作能力不亞於資安專家，例如紅隊演練專家，Red Team AI自動分析程式碼找出漏洞，並且模擬攻擊、找出攻擊路徑；對於威脅情資專家，CTI AI運用LLM的理解能力，結合RAG處理大量資安新聞、威脅情資，模擬專家產出報告等等。過去人工專家產生報告的產力有限，AI不會感到疲累，且產生報告的費用降低。</p> <p>過去資安產業歷經20多年蓬勃發展，接下來10年如何面對新科技衝擊？他能夠理解資安產業會感到焦慮，但AI等新科技帶來的變化已經到眼前，必需擁抱新科技帶來的變化，改革方法、動起來、跑起來。</p> </div></div></div>
2024/5/14 20:45作者蘇文彬https://www.ithome.com.tw/news/162869
五百大超級電腦出爐，Aurora加入Frontier，成為另一達到Exascale規模的超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>半年一次的五百大超級電腦排行榜<a href="https://top500.org/lists/top500/2024/06/" target="_blank">（TOP500）在本周出爐了</a>，由美國能源部橡樹嶺國家實驗室的Frontier蟬連榜首，其HPL（High-Performance Linpack）測試運算速度為1,206 PFlop/s，等於是1.206 Exaflop/s，排名第二的是位於美國能源部阿拉貢國家實驗室的Aurora，此次Aurora躋進了Exascale俱樂部，HPL運算速度達到1.012 Exaflop/s。</p> <p>此次前十名的變動不大，除了Frontier與Aurora之外，第三到第十名依序是微軟Azure的Eagle（561.20 PFlop/s）、日本RIKEN運算科學中心的Fugaku（442.01 PFlop/s）、芬蘭卡亞尼CSC資料中心的LUMI系統（379.70 PFlop/s）、瑞士國家超級計算中心的Alps（270 PFlop/s）、義大利EuroHPC的Leonardo（241.2 PFlop/s）、西班牙EuroHPC的MareNostrum 5 ACC系統（175.3 PFlop/s）、橡樹嶺國家實驗室的Summit（148.6 PFlop/s），以及Nvidia所使用的Eos系統（121.4 PFlop/s）。</p> <p>新進榜的只有瑞士的Alps，被踢出前十大榜外的則是美國能源部的Sierra。</p> <p>此外，在全球前五百大超級電腦中，有32.6%出自聯想，22.4%出自HPE，9.8%出自EVIDEN，另有6.8%出自Dell EMC，Inspur與Nvidia亦各占4.4%。這些超級電腦有39.2%被應用於工業上，28.2%用於研究，20.6%是在學術界。</p> <p>擁有最多尖端超級電腦的國家是美國，占了34.2%，居次的是中國的16%，德國為8%，日本是5.8%，法國為4.8%。臺灣則擁有6臺，占1.2%。</p> <p>臺灣這6臺入榜前五百大的超級電腦依序是Nvidia所使用的TAIPEI-1（22.3 PFlop/s），中央氣象局所使用的PRIMEHPC FX1000（11.16 PFlop/s），用於國家高速網路與計算中心的台灣杉二號（Taiwania 2，9 PFlop/s），中央氣象局另一臺PRIMEHPC FX1000（5.6 PFlop/s），國家高速網路與計算中心的Forerunner 1（3.53 PFlop/s），以及國家高速網路與計算中心的台灣杉三號（Taiwania 3，2.3 PFlop/s）。當中，名次最高的TAIPEI-1在前五百大中排行38。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-top500.png" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>臺灣6臺超級電腦入榜</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-top500-38(1).png" style="width: 600px;" /></p> </div></div></div>
2024/5/14 15:54作者陳曉莉https://www.ithome.com.tw/news/162864
【資安日報】5月14日，芬蘭首都證實資料外洩事故，起因是教育部門的遠端存取伺服器未修補已知漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週芬蘭首都赫爾辛基證實教育部門的資料外洩事故，駭客藉由存在已知漏洞的遠端存取伺服器，成功入侵教育部門的網路磁碟，存取大量內部檔案。</p> <p>至於為何該伺服器尚末修補？有待進一步釐清。對此，針對這起事故發生的原因，他們認為與漏洞修補與裝置管理不力有關。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162854"><strong style="font-size: 22px;">芬蘭首都赫爾辛基市教育部門傳出資料外洩，未經授權人士利用已知漏洞得到網路磁碟存取權限</strong></a></p> <p>芬蘭首都赫爾辛基市傳出教育部門遭到入侵的資料外洩事故，攻擊者能夠得逞的原因，竟是存在已知漏洞的遠端存取伺服器，因尚未修補而釀禍。</p> <p>5月13日赫爾辛基市政府指出，他們在4月30日察覺資料外洩的跡象，隨即展開調查並採取相關防護措施，同時他們也通報了資料外洩監察員、警方，以及隸屬於芬蘭運輸和通訊局（Traficom）的國家網路安全中心。而對於這起事故的受害規模，很有可能影響逾8萬名學生及家長。</p> <p>除了上述個資，市府人員還發現駭客取得教育部門網路磁碟的存取權限，當中存放了數千萬個檔案，有少部分含有機密資訊，以及敏感的個人資訊。而對於攻擊者入侵的管道，赫爾辛基市表示，是透過遠端存取伺服器的已知漏洞，但為何沒有部署相關修補程式，原因仍不清楚。</p> <p><a href="https://www.ithome.com.tw/news/162859"><strong style="font-size: 22px;">波蘭針對俄羅斯駭客APT28的惡意軟體攻擊提出警告，對方濫用雲端測試服務Mocky、Webhook，企圖迴避偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/apt28-graph.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt28-graph.png" style="width: 300px; float: right;" /></a>上週波蘭電腦緊急應變小組CERT Polska（CSIRT NSK）與CSIRT MON聯手提出警告，俄羅斯駭客APT28針對該國政府機關從事大規模惡意軟體攻擊行動。</p> <p>對方透過釣魚郵件吸引收信人注意，並點選信中的連結，一旦點選，收信人就會被先重新導向到API測試服務網站run.mocky[.]io，再被引導至Webhook[.]site雲端測試服務，下載ZIP壓縮檔，其內容含有檔名為IMG開頭的執行檔，以及設為隱藏的批次檔及DLL程式庫。</p> <p>若是收信人啟動執行檔，電腦就會側載駭客的DLL檔案，從而執行批次檔。此批次檔會開啟Edge下載另一個存放在Webhook[.]site的批次檔案，最終擷取惡意酬載並收集受害電腦資訊。</p> <p><a href="https://www.ithome.com.tw/news/162835"><strong style="font-size: 22px;">歐洲刑警組織證實入口網站遭駭，對方聲稱竊得內部機密文件</strong></a></p> <p></p> <p>經常協調各國打擊犯罪及網路攻擊行動的歐洲刑警組織（Europol），在上周也成為網路攻擊的受害者，駭客攻陷該組織供全球執法機構分享對抗犯罪的知識及最佳實踐的Europol Platform for Experts（EPE）網站，歐洲刑警組織證實此事。目前的EPE網站仍處於維護狀態。</p> <p>針對這起事故的攻擊者身分，初始入侵管道掮客IntelBroker聲稱是他們所為，並在駭客論壇BreachForums透露取得多種類似的機密資料。對方宣稱，不只EPE，他們還攻陷歐洲安全聯合中心（CCSE）、網路犯罪專家認證平臺EC3、執法機構論壇Law Enforcement Form，以及供47個國家使用的跨境電子證據系統SIRIUS。</p> <p><a href="https://www.ithome.com.tw/news/162849"><strong style="font-size: 22px;">Google Cloud誤刪澳洲大型用戶雲端基礎架構，導致用戶資料遺失與服務中斷</strong></a></p> <p>旗下擁有61.5萬會員、負責管理1,240億澳幣（約820億美元）資金的澳洲退休基金Unisuper，於Google Cloud上的雲端基礎設施服務，5月2日因Google Cloud方面的錯誤操作，誤刪用戶的訂閱，導致用戶資料遭到刪除與服務中斷。但值得留意的是，Unisuper最後透過第三方雲端服務商的備份資料，才得以逐步恢復服務。</p> <p>在雙方於5月7日共同發表的聲明中，Google Cloud執行長Thomas Kurian親自表示，這次服務中斷是一系列前所未有的事件引起，是全球Google Cloud用戶未曾發生過、一次孤立的「獨一無二事件」，這次事故並非惡意行為或網路攻擊造成，而是Google Cloud內部配置錯誤，引發未知的軟體錯誤導致。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/largest-non-bank-lender-in-australia-warns-of-a-data-breach/"><strong style="font-size: 20px;">澳洲融資業者Firstmac資料外洩，傳出勒索軟體駭客組織Embargo對其出手</strong></a></p> <p></p> <p>◆<a href="https://therecord.media/newsquest-media-group-british-newspaper-websites-defaced"><strong style="font-size: 20px;">數百個英國新聞網站遭自稱來自俄羅斯的駭客破壞</strong></a></p> <p></p> <p>◆<a href="https://blog.phylum.io/malicious-go-binary-delivered-via-steganography-in-pypi/"><strong style="font-size: 20px;">攻擊者藉由PyPI套件散布滲透測試框架Sliver，意圖在Mac電腦植入後門</strong></a></p> <p></p> <p>◆<a href="https://unit42.paloaltonetworks.com/three-dns-tunneling-campaigns/"><strong style="font-size: 20px;">DNS隧道遭到濫用，駭客用來進行網路掃描、追蹤攻擊目標</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162851"><strong style="font-size: 22px;">蘋果針對舊版iOS、iPadOS、macOS作業系統，修補3月公布的零時差漏洞CVE-2024-23296</strong></a></p> <p>3月5日蘋果針對零時差漏洞CVE-2024-23296發布公告，並對於執行iOS 17、iPadOS 17、macOS Sonoma的行動裝置與電腦，以及tvOS、watchOS、visionOS等作業系統予以修補，現在該公司也對於執行舊版作業系統的裝置提供修補，並指出該漏洞疑似出現被駭客積極利用的現象。</p> <p>5月13日他們發布本月份例行更新，並在iOS 16.7.8、iPadOS 16.7.8、macOS Ventura 13.6.7、macOS Monterey 12.7.5當中，納入對於CVE-2024-23296的修補。雖然蘋果並未說明如何發現這項漏洞，也沒有公布通報的研究人員身分，或是透露受害情形，但他們對於執行舊版作業系統的行動裝置與電腦提供修補，並表明他們得知漏洞遭到利用的情形，很有可能是這些裝置也遭到鎖定。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/citrix-warns-admins-to-manually-mitigate-putty-ssh-client-bug/"><strong style="font-size: 20px;">Citrix針對PuTTY用戶端元件漏洞提出警告，攻擊者有可能竊取虛擬化平臺的SSH金鑰</strong></a></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/article/162791"><strong style="font-size: 22px;">5成企業大舉推動資安轉型，政府和金融業最積極</strong></a></p> <p>今年大型企業的資安戰略開始不一樣，不只要做好資安、強化資安，還要更進一步推動資安轉型。</p> <p>根據iThome 2024 CIO大調查，強化資安目標，依舊是優先度最高的CIO目標，但是，將這一項列為年度目標的CIO比例，從去年的81%，在今年下滑到72％。不是CIO對資安的重視度下滑了，而是CIO今年開始轉向更進階的資安戰略，也就是要推動資安轉型。今年高達49.8%的企業要推動資安轉型，比去年的3成比例，足足多了快2成。半數企業不再只想延續舊有思維來強化資安，而要更進一步改變資安思維，從過去的被動防禦作法，轉為主動防禦的資安思維，也比過去更積極擁抱零信任架構、推動資安左移等新一代資安作法。</p> <p>從各產業來看，以政府學校（70.7%）金融業（61.1%）最積極推動資安轉型，這兩個產業對新一代零信任架構的採用意願也是各產業中最積極者。原因在於，行政院這兩年大舉推動政府機關擁抱零信任，金管會也開始鼓勵金融機構採用。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162840"><strong>【5月13日】韓國警方證實法院大量民眾個資遭北韓駭客竊取，近1 TB資料流出但僅有少部分能確認受害者身分</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162815"><strong>【5月10日】CYBERSEC 2024臺灣資安大會下周舉行，逾300場專業資安演講與超大規模資安品牌展覽即將登場</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162785"><strong>【5月9日】BIG-IP Next集中控管系統的高風險漏洞有可能被用於建立隱藏帳號</strong></a></p> </div></div></div>
2024/5/14 13:27作者周峻佑https://www.ithome.com.tw/news/162861
蔡英文總統親臨臺灣資安大會，臺灣資安產值去年突破740億元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總統蔡英文在即將卸任之際，仍然率領政府與資安相關各部會首長，親臨臺灣資安大會並進行開幕致詞，這也是蔡英文總統連續第六年，到場參與這場亞太地區規模最大的資安盛會。</p> <p>蔡英文致詞時表示，過去幾年臺灣持續展現並發展資安量能，除了成立數位發展部、帶動國家數位轉型外，也集結各部會力量，共同推動六大核心戰略產業，全力支持臺灣的資安產業發展，要讓臺灣能夠跟上全球數位轉型浪潮，並在全球供應鏈中，持續保有關鍵地位。</p> <p>她說，臺灣也透過產創條例的修法，將資安產品及服務等投資，都納入租稅優惠、鼓勵企業提升資安投資及開發相關的防護技術；另外，國發基金也編列三十億元，打造臺灣的資安產業創業基地。蔡英文表示，在這些政策帶動下，2023年臺灣的資安產值已經超過740億元，穩定朝向2025年800億元產值的目標前進。</p> <p>由於臺灣身處民主前線，面對區域威權主義擴張以及複雜多變的資安威脅，臺灣秉持「資安即國安」的精神建立防禦機制，蔡英文指出，隨著資通安全署及國家資通安全研究院相繼成立，持續加強研發能量，並且積極培育人才，提升國家的數位韌性。</p> <p>蔡英文強調，這幾年臺灣積極走向世界，並加強和更多理念相近夥伴國家的合作，除了公部門之間的交流，像是今天的資安大會，我們也看到許多國際人才和業者參與，相信，透過彼此互動密切，能夠促進產官學研更深度的合作，攜手建立全球的資安聯防體系。</p> <h2><strong>網路安全是美臺重要合作議題</strong></h2> <p>美國在台協會（AIT）處長孫曉雅致詞時指出，臺灣「資安即國安」的政策也讓美國和臺灣之間的合作，鋪就一條坦途，並指出，臺灣是AIT的網路安全中心（Hub），而網路安全也已經是美國的重要戰略目標之一。</p> <p>孫曉雅也呼應美國國務卿布林肯（Antony Blinken）日前提到的政策方針：美國將與志同道合的國家、企業和民間社會合作，共同塑造數位科技的發展方向。她表示，根據美國最新的「國際網路空間和數位政策戰略」，未來的安全、穩定和繁榮不再僅僅是模擬問題，隨著網路犯罪分子和惡意行為者調整其戰略和戰術，全球網絡攻擊的規模和複雜性都在不斷增長。</p> <p>孫曉雅表示，數位團結（Digital Solidarity）是指願意為共同目標而共同努力，共同幫助合作夥伴建立能力，並為建立數位和網路能力提供相互支持，以便合作夥伴，可以建立更長期、具有防禦性和彈性的數位生態系統，並可以在資安事件發生時快速回應與復原，並追究相關犯罪者的責任。</p> <p>她強調，相關的網路戰略的實務作為就是，美國將與臺灣共同致力於保護公眾與私人數據和網路安全性，並避免相關的網路攻擊。她也說，美臺也已經合作預防和調查相關的網路犯罪，並為臺灣網路專業人士提供相關訓練課程，也為臺灣相關政策制定人士，搭建美國產業的溝通與合作的橋樑。</p> <p>她指出，網路安全依賴多方面的努力，包括私人網路公司在內的利害關係人，社群在內，其中有許多人研究漏洞，開發技術並部署解決方案，以確保網路和企業安全。她說，臺灣是世界上可靠的合作夥伴和正義力量，美臺雙方必須繼續合作，增強抵禦能力並應對網路攻擊，期待繼續與臺灣建立網路安全夥伴關係。</p> <h2><strong>十年有成，從一千五百人參與規模增加到二萬人與會</strong></h2> <p>由iThome主辦的「CyberSec 2024 臺灣資安大會」於2024年5月14日～5月16日假南港展覽館二館舉行，並首度使用一樓、四樓和七樓全館場地，三天總計有18軌一成、超過300場專業資安演講，以及超過400家國外資安品牌業者參與，使用超過1,300個標準展貪，展區橫跨一樓和四樓兩個樓層。</p> <p>臺灣資安大會主席、iThome總編輯吳其勳致詞時表示，十年前舉辦時，臺灣資安大會參與人數一千五百人，今年已經超過二萬人，成長的幅度也代表臺灣政府民間對資安重視的程度。</p> <p>今年臺灣資安大會以「Generative Future」為主題，揭開AI資安新時代的來臨，也規畫許多議程，包括：AI in Cybersecurity、AI安全、AIoT & Hardware Security、Blue Team、CISO、DevSecOps、DFIR、Fraud、Privacy Enhancing Technology、SecOps、Web3、資安人才專區（Cyber Talent）、CMMC國防產業安全供應鏈、零信任資安、工控安全、攻擊型資安、供應鏈資安、金融資安、勒索軟體、產品安全、雲端安全、資安治理、資安威脅研究、資安證照與培訓等將近三十個資安主題論壇。</p> <p>臺灣資安大會已經成為亞太地區最大資安盛事，今年也新增五大類新的一成主題和展覽。首先，今年臺灣資安大會首度規劃全英文的專屬議程：CyberSec Global，將進行全天候的線上直播；其次，首度設立智慧聯網與硬體安全專區（AIoT & Hardware Security Zone），設立焦點論壇和專屬展區，探討與展示物聯網安全、5G安全、晶片安全、車聯網安全等議題與解決方案，也安排超過二十五場主題演講。</p> <p>第三，臺灣資安大會與Trapa Security（菱鏡公司）合作推出CyberSec Arena資安競技場，這是針對企業資安攻防實際演練的Cyber Range，會場中不僅會提供擬真演練平臺，讓參與的藍隊可以置身真實的APT攻擊情境中，也可以實機操作偵測、調查反制等資安事件的應變程序。</p> <p>第四，臺灣資安大會規畫「資安十年歷史牆」，綜整2015年～2024年間的資安政策、資安事件、資安技術和資安產業發展的重大里程碑，並以視覺化方式呈現，便於回顧過去、展望未來。</p> <p>最後，臺灣資安大會也與ISC2臺北分會合作，參與大會所有議程都可以申報ISC2 CPE持續進修時數，協助資安人員持續知識更新、有助專業發展。</p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_514%20_%20%E7%B8%BD%E7%B5%B1_240514_3.jpg" style="width: 600px; height: 400px; float: left;" /></p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div id="gtx-trans" style="position: absolute; left: -4px; top: 561.125px;"> <div class="gtx-trans-icon"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/5/14 13:39作者黃彥棻https://www.ithome.com.tw/news/162862
Google與蘋果攜手建立藍牙追蹤規範，將針對不必要的追蹤提醒Android/iOS用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://security.googleblog.com/2024/05/google-and-apple-deliver-support-for.html" target="_blank">Google周一（5/13）宣布</a>，已與蘋果針對藍牙追蹤裝置共同建立「偵測不必要位置追蹤器」（Detecting Unwanted Location Trackers）的業界規範，讓不管是Android手機或是iPhone都可以在偵測到附近有奇怪的藍牙追蹤裝置時提醒使用者。</p> <p>在蘋果於2021年<a href="https://www.ithome.com.tw/news/143968" target="_blank">發表AirTag追蹤器</a>之後，便不時傳出有人利用此一原本用來追蹤物品的裝置來追蹤個人，Google更曾於Android上<a href="https://www.ithome.com.tw/news/157984" target="_blank">部署不明追蹤警告</a>，以讓Android用戶也能偵測身旁的不明AirTag。</p> <p>不過，Google與蘋果<a href="https://www.ithome.com.tw/news/156681" target="_blank">在去年5月宣布合作</a>，針對位置追蹤裝置的配件製造商訂定了最佳實踐與協議，以讓這些追蹤裝置能夠相容於不必要的追蹤偵測，並於行動平臺上發出警告，無論追蹤裝置是與哪個行動作業系統配對，目的是提高使用者的隱私與安全，以避免使用者在不知情的狀況下遭到追蹤。</p> <p>Google正將該規範部署於Android 6.0以上的裝置，而蘋果則於周一釋出的<a href="https://support.apple.com/en-us/118723" target="_blank"> iOS 17.5</a>加入了該功能。</p> <p>倘若Android或iPhone用戶在裝置上收到了「追蹤器正跟著你」（Tracker traveling with you）的警告，便代表有其它的AirTag、相容於Google Find My Device網路的追蹤器，或者是來自其它廠商的追蹤器正在追蹤使用者。除了遞送警告之外，使用者還可查看追蹤器的識別碼，讓追蹤器播放聲音，以及取得如何停用該追蹤器的說明。</p> <p>目前包括Chipolo、eufy、Jio、Motorola與Pebblebee等追蹤器製造商，都已承諾要於未來的產品支援該規範。</p> <p>至於Google及蘋果則將繼續透過Detecting Unwanted Location Trackers工作小組，來與網際網路工程任務小組（Internet Engineering Task Force，IETF）合作，以推動官方技術標準的建立。</p> </div></div></div>
2024/5/14 13:52作者陳曉莉https://www.ithome.com.tw/news/162860
蔡英文總統參觀臺灣資安館，聆聽資安產業建言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蔡英文總統於臺灣資安大會開幕致詞時表示，臺灣資安產值2023年已經突破740億元，預估2025年可望突破800億元，她在開幕致詞後也蒞臨臺灣資安館開幕一是，並在數位產業署數整呂正華導覽下參觀臺灣資安館，並見證臺灣資安產業發展的成果。</p> <p>負責導覽的數位產業署署長呂正華表示，今年臺灣資安館有48家業者參展，因為大家努力推動資安產業，今年有11家是第一次參與臺灣資安館的展示。</p> <p>在主題特展方面，呂正華指出，主要展示數位產業署輔導成果，包含輔導產業研發軍民通用資安技術，及後量子密碼資安防護應用；另外也促成資安業者技術整合發展領域解決方案並於產業落地，例如：以零信任強化電商資安、及適用智慧醫療的資安防護方案，其他還有推動APP、物聯網設備、晶片、5G 資安檢測及認驗證的成果。</p> <h2><strong>政策法規有利資安產業發展，中小企業應是未來推動重點</strong></h2> <p>臺灣資安產業業者也對未來資安產業發展向政府提出建言，趨勢科技臺灣區總經理洪偉淦表示，政策和法規制定與推動，對於臺灣資安產業發展有很大的助力，臺灣資安業者也會努力成為臺灣未來重要的競爭力。杜浦數位安全創辦人兼執行長蔡松廷表示，臺灣持續面對強大的敵人，感謝在資安即國安政策帶動下，讓臺灣資安業者得到許多協助，透過臺灣資安大會平臺也有一個很好的成果展示機會，兩者相輔相成是臺灣資安產業發展的利多。</p> <p>中華資安國際總經理洪進福表示，該公司就是臺灣資安政策促進資安產業發展的縮影，順利達到守護臺灣關鍵基礎設施的目標，但政府未來如何讓為數眾多的中小企業，可以在資安領域獲得保護並落實，「讓臺灣的資安防護不要落下任何人。」他說。</p> <p>臺灣資安大會創辦人、iThome社長谷祖惠則強調，只有相信才能夠做到，當初創辦臺灣資安大會就是因為相信「資安」對臺灣很重要，透過舉辦臺灣資安大會做到「讓人人相信資安很重要」、「應該要馬上開始做資安」，政府透過政策的制定和資源投入，讓整個國家都認為「資安很重要」。</p> <p>谷祖惠表示，蔡英文總統是臺灣資安產業發展共同奮鬥的夥伴，看似十年有成之際，但事實上，資安其實是一條必須不斷前進的道路，「因為，資安沒有最後一哩路、我們每一個人始終都在路上。」她說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600%20_%20%E7%B8%BD%E7%B5%B1_240514_4.jpg" style="width: 600px; height: 399px; float: left;" /></p> <blockquote><p>總統蔡英文（左三）率領行政院副院長兼資安長鄭文燦（左二）和國安會諮詢委員李漢銘（左一）等國家資安高層，共同參觀臺灣資安館。</p> </blockquote> <p> </p> <p> </p> <p> </p> <p> </p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/5/14 14:05作者黃彥棻https://www.ithome.com.tw/news/162863
芬蘭首都赫爾辛基市教育機構傳出資料外洩，未經授權人士利用已知漏洞得到網路磁碟存取權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>芬蘭首都赫爾辛基市傳出教育部門遭到入侵的資料外洩事故，攻擊者能夠得逞的原因，竟是存在已知漏洞的遠端存取伺服器，因尚未修補而釀禍。</p> <p>5月13日赫爾辛基市政府指出，<a href="https://www.hel.fi/en/news/investigation-into-helsinki-education-division-data-breach-proceeds">他們在4月30日察覺資料外洩的跡象</a>，隨即展開調查並採取相關防護措施，同時他們也通報了資料外洩監察員、警方，以及隸屬於芬蘭運輸和通訊局（Traficom）的國家網路安全中心。而對於這起事故的受害規模，很有可能影響逾8萬名學生及家長。</p> <p>赫爾辛基市也在5月2日向教育部門通報此事，並協同外部專家進行調查。初期的調查結果顯示，攻擊者疑似取得學生及員工的使用者名稱及電子郵件信箱，但後來他們發現，對方也竊得所有市府人員的使用者名稱及電子郵件信箱，甚至是學生、家長、教育部門工作者的身分證字號與居住地址。</p> <p>除了上述個資，市府人員還發現駭客取得教育部門網路磁碟的存取權限，當中存放了數千萬個檔案，有少部分含有機密資訊，以及敏感的個人資訊。</p> <p>其中包含了學齡前孩童教育的客戶名單，當中包含費用及收託的原因，再者，這批資料也存放兒童特殊狀況的敏感資訊，例如：學童福利請求、特殊支援需求、與休學有關的醫療證明文件等。此外，調查人員也發現教育部門人員的病假記錄。市政府不排除對方竊得受保密的人員資料。</p> <p>而對於攻擊者入侵的管道，赫爾辛基市表示，是透過遠端存取伺服器的已知漏洞，但為何沒有部署相關修補程式，原因仍不清楚，稍微慶幸的是，他們並未察覺攻擊者入侵其他機關網路環境的跡象。</p> <p>雖然這則公告並未透露遭駭的系統名稱及漏洞編號，但他們認為，這突顯市政府的資安更新及設備管理不足，將採取相關措施來防範類似事故不再發生。</p> </div></div></div>
2024/5/14 12:36作者周峻佑https://www.ithome.com.tw/news/162854
OpenAI新AI多模模型GPT-4o提供所有ChatGPT用戶，速度更快，價格減半
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過上周賣關子吊足媒體胃口之後，OpenAI昨（13）日<a href="https://openai.com/index/hello-gpt-4o/" target="_blank">宣布最新多模AI模型GPT-4o</a>，將提供給所有ChatGPT服務，包括免費版本。對開發人員而言，新模型比GPT-4T速度快2倍，限制頻寬提高5倍，價格僅一半。</p> <p>OpenAI執行長<a href="https://twitter.com/sama/status/1790065469296156715" target="_blank">Sam Altman指出</a>，GPT-4o更聰明，更快，且具原生多模能力。文字及圖片輸入能力現在將逐步部署到ChatGPT，包括免費版，但暫時不能生成圖片，也還不會輸出、輸入語音。</p> <p>最新宣布讓上周猜測的媒體撲了個空。<a href="https://www.bloomberg.com/news/articles/2024-05-07/openai-is-readying-an-ai-search-product-to-rival-google-perplexity" target="_blank">彭博</a>、<a href="https://www.theinformation.com/articles/openai-develops-ai-voice-assistant-as-it-chases-google-apple" target="_blank">The Information</a>、<a href="https://www.reuters.com/technology/openai-plans-announce-google-search-competitor-monday-sources-say-2024-05-09/" target="_blank">路透社</a>相繼報導OpenAI將推出搜尋服務挑戰Google及Perplexity AI。但周末<a href="https://twitter.com/sama/status/1788989777452408943" target="_blank">Altman預告</a>，不是GPT-5，也不是搜尋引擎，而是「像魔法一般的」ChatGPT及GPT-4更新功能。</p> <p>GPT-4o的o代表的是omni，意謂著可接受文字、聲音和圖像任何組合的提示輸入，而且生成的輸出也可以是文字、聲音和圖像的整合。OpenAI強調GPT-4o具高效能，平均320毫秒即可對聲音輸入產生回應，等同人類反應時間，最快則只需232毫秒。</p> <p>一如所有廠商公布新模型的作法，OpenAI也提供數據，顯示GPT-4o視覺及聲音理解能力比前代及競爭者更優異，其中在文字、理解、程式撰寫效能已具GPT-4 Turbo水準，在多語能力（尤其是英文）、聲音翻譯和視覺理解能力都比GPT-4、GPT-4T、Claude 3 Opus、Gemini Pro 1.5、Meta Llama3 400b來得高。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0514-GPT-4o-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>OpenAI解釋新模型的語音模式效能提升的原因。過去GPT-3.5及GPT-4下的語音模式運作是以三個模型接續運作而成：第一個模型將聲音轉錄成文字，由GPT-3.5或GPT-4產出文字對話內容，再由第三個模型將文字轉回聲音。不但增長延遲性，且因過程中GPT-3.5或GPT-4模型喪失大量資訊，使其無法觀察出聲調、多名說話者、背景噪音，也無法產出笑聲、不會唱歌或表達情緒。但GPT-4o是能具備文字、視覺和聲音理解能力的單一模型，輸出輸入都在同一神經網路中處理而成，使互動能力速度和表現豐富度大增。</p> <p>OpenAI並提供多段影片展示新模型的能力，包括二個GPT-4o為基礎的聊天機器人扮演手機業者客服中心人員和客戶交談；一個聊天機器人問問題，另一個則描述它「看」到的OpenAI員工影像描述，前者還能根據其描述即興創作歌唱；以及聊天機器人可和OpenAI員工流暢對談，其間還能發出笑聲，或是在人類插嘴打斷時自動停下來。</p> <p>影片中的聊天機器人聲音自然生動，<a href="https://www.theverge.com/2024/5/13/24155652/chatgpt-voice-mode-gpt4o-upgrades" target="_blank">媒體形容</a>很像Altman最喜歡的電影《雲端情人》（Her）女主角Scarlett Johansson的聲音。</p> <p>不過，在說明GPT-4o強大能力後，OpenAI強調它的安全性。根據其整備度框架（Preparedness Framework）及人類評估，新模型在網路安全、CBRN（化學、生物、放射及核能）威脅、誘騙（persuasion）能力及模型自主能力都在中度以下。該公司也強調GPT-4o經過外部團隊及70多名外部跨領域專家評估，協助減低可能的社會心理、偏見及假訊息風險。</p> <p>OpenAI今天起將GPT-4o的文字及圖像輸入、以及文字輸出能力逐步部署到所有ChatGPT，包括免費版，但付費的Plus版，訊息輸入上限為5倍之多。為了因應ChatGPT語音模式（voice mode）可能的語音deepfake風險，聲音輸出僅侷限數種限定的聲音，也說都會遵循現有安全政策。GPT-4o為基礎的語音模式alpha版，未來幾個星期內只會提供給ChatGPT Plus。</p> <p>針對開發人員，現在可以API存取GPT-4o文字和視覺模型。相較GPT-4 Turbo，新模型速度快2倍，限制頻寬提高5倍，價格僅一半。OpenAI計畫幾周內，會對少數用戶及信任夥伴提供聲音和影片功能。</p> </div></div></div>
2024/5/14 12:43作者林妍溱https://www.ithome.com.tw/news/162852
波蘭針對俄羅斯駭客APT28的惡意軟體攻擊提出警告，對方濫用雲端測試服務Mocky、Webhook，企圖迴避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週波蘭電腦緊急應變小組CERT Polska（CSIRT NSK）與CSIRT MON聯手提出警告，<a href="https://cert.pl/en/posts/2024/05/apt28-campaign/">俄羅斯駭客APT28針對該國政府機關從事大規模惡意軟體攻擊行動</a>。</p> <p>對方透過釣魚郵件吸引收信人注意，並點選信中的連結，一旦點選，收信人就會被先重新導向到API測試服務網站run.mocky[.]io，再被引導至Webhook[.]site雲端測試服務，下載ZIP壓縮檔，其內容含有檔名為IMG開頭的執行檔，以及設為隱藏的批次檔及DLL程式庫。</p> <p>若是收信人啟動執行檔，電腦就會側載駭客的DLL檔案，從而執行批次檔。此批次檔會開啟Edge下載另一個存放在Webhook[.]site的批次檔案，最終擷取惡意酬載並收集受害電腦資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/apt28-graph.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/apt28-graph.png" style="width: 580px;" /></a></p> <p>對此，CERT Polska認為，駭客利用Mocky及Webhook兩個網站服務，目的是迴避防毒軟體偵測，若是企業組織沒有採用，應考慮透過邊際設備封鎖相關網域來因應。</p> </div></div></div>
2024/5/14 13:00作者周峻佑https://www.ithome.com.tw/news/162859
【臺灣資安大會直擊】全球最大ZDI零日漏洞懸賞計畫負責人提出垂直產業零時差漏洞管理四類型，更揭露GenAI對未來漏洞揭…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2023漏洞事件層出不窮，從Progress旗下的MFT檔案共享系統、NetScaler網路設備、HTTP/2通訊協定漏洞、到解壓縮軟體常用的WinRAR工具漏洞，影響更遍及各行各業，導致這些企業內部的機敏資料洩。在今天（5/14）臺灣資安大會首日主題演講中，趨勢科技威脅研究副總Brian Gorenc剖析各產業軟體漏洞生命周期各階段的挑戰，以及應對策略，更提出他對於生成式AI如何影響漏洞揭露的觀察。</p> <p>Brian Gorenc過去主要專注在帶領團隊開發防護技術與威脅情報，以對抗精密攻擊，他同時也是供應商發起的全球最大ZDI零日漏洞懸賞計畫的負責人，並在知名Pwn2Own駭客競賽中擔任裁判。</p> <p>根據ZDI公布的2023年數據顯示，零時差漏洞呈現逐年增長的趨勢，僅在2023年就揭露了1,914個零時差漏洞，較2022年增加了12%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240514_022327790.jpeg" style="width: 600px; height: 338px;" /></p> <p>一家供應商收到零時差漏洞通知，通常需花費約90至120天的時間來修復這些漏洞，如微軟、蘋果會在90天後發布修補更新，若是工業控制系統（ICS）出現漏洞，廠商修補的時間可能更長，達180或200天。這還未考慮到在收到通知前漏洞被發現的時間。</p> <p>在更新發布後，企業可能隔一段時間才開始在受影響的軟體上進行更新修補漏洞，這段期間可能長達180天，因此從收到漏洞通知到實際修補漏洞可能需要300天。Brian Goren坦言，這段空窗期間，等於是讓駭客有可趁機之機。</p> <h3><strong>廠商收到0-day漏洞通知到企業實際修補漏洞可能長達300天</strong></h3> <p>他指出，傳統漏洞管理發布周期，包含發現錯誤、披露錯誤、修補錯誤等過程，大多是由軟體供應廠，如微軟、甲骨文等定期發布修補程式，由企業定期更新有問題的程式，但這樣的做法，不僅耗時費日，在這樣的發布週期中，駭客可以利用廠商的漏洞披露期，在漏洞被披露但尚未修補之前對企業發動攻擊。</p> <p>他表示，零時差漏洞並不罕見，他們的團隊每年向不同的供應商揭露超過1,000個漏洞資訊。企業需要根據身處的產業和生產環境，來擬定漏洞修補策略。</p> <h3><strong>垂直產業漏洞管理的4種類型</strong></h3> <p>相較於傳統的漏洞管理方式，Brian Gorenc另外還提出3種垂直產業漏洞管理的類型，分別是敏捷漏洞管理模式（rapid release cycle）、客戶部署導向漏洞管理模式（customer notification first）、以及OTA更新，這些模式對應到不同垂直產業對於漏洞管理的做法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240514_022910832.jpeg" style="width: 600px; height: 338px;" /></p> <p>在敏捷漏洞管理模式中，提供的是一種最低限度的披露方式，使企業能夠採用快速修補策略來進行漏洞修補，將補丁發布到企業實際套用完成更新的時間縮短為30天內。如Google等雲端服務供應商就是採用這種管理模式。</p> <p>對於製造業常用的工控系統或 SCADA 系統，在漏洞管理上則通常採用客戶部署導向漏洞管理模式。他表示，這是因為這些系統的客群相對較小，可以透過付費平臺或客戶支援系統等方式，來提供軟體漏洞的補丁，減少對任何資訊揭露或僅提供有限資訊，以便讓這些客戶在公告前就完成更新。</p> <p>OTA更新是最後一類漏洞管理類型，常見於終端行動裝置、汽車等領域，供應商通常透過OTA更新向用戶更新軟體。然而，Brian Gorenc指出，OTA軟體更新在漏洞揭露生命週期中產生了新問題，例如無法同時讓所有受影響的用戶進行更新，而是需要分批完成更新修補，這也增加了遭受駭客攻擊的風險。</p> <p>在處理漏洞揭露和修補漏洞上，他強調，沒有一套做法可以適用到所有的產業，每個垂直行業都有各自獨特應對方式，用以管理內部的漏洞。此外，進行風險評估時，必須基於適合企業所在產業的真實揭露風格，這樣才能更好地應對漏洞帶來的風險。</p> <p>這兩年，生成式AI快速竄紅，Brian Gorenc相信生成式AI將會對漏洞發現和揭露過產生影響，例如駭客可能利用生成式AI或LLM來加快新漏洞的發現等，<span style="white-space-collapse: preserve;">未來也可能影響漏洞揭露的流程</span>。他提醒，企業必須及早開始準備制定因應對策。</p> </div></div></div>
2024/5/14 13:10作者余至浩https://www.ithome.com.tw/news/162856
蘋果針對舊版iOS、iPadOS、macOS作業系統，修補3月公布的零時差漏洞CVE-2024-23296
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月5日蘋果針對零時差漏洞CVE-2024-23296發布公告，並對於執行<a href="https://support.apple.com/kb/HT214081">iOS 17、iPadOS 17</a>、<a href="https://support.apple.com/kb/HT214084">macOS Sonoma</a>的行動裝置與電腦，以及<a href="https://support.apple.com/kb/HT214086">tvOS</a>、<a href="https://support.apple.com/kb/HT214088">watchOS</a>、<a href="https://support.apple.com/kb/HT214087">visionOS</a>等作業系統予以修補，現在該公司也對於執行舊版作業系統的裝置提供修補，並指出該漏洞疑似出現被駭客積極利用的現象。</p> <p>5月13日他們發布本月份例行更新，並在<a href="https://support.apple.com/kb/HT214100">iOS 16.7.8、iPadOS 16.7.8</a>、<a href="https://support.apple.com/kb/HT214107">macOS Ventura 13.6.7</a>、<a href="https://support.apple.com/kb/HT214105">macOS Monterey 12.7.5</a>當中，納入對於CVE-2024-23296的修補。雖然蘋果並未說明如何發現這項漏洞，也沒有公布通報的研究人員身分，或是透露受害情形，但他們對於執行舊版作業系統的行動裝置與電腦提供修補，並表明他們得知漏洞遭到利用的情形，很有可能是這些裝置也遭到鎖定。</p> <p>這項漏洞是蘋果今年揭露的第3個零時差漏洞，存在於名為RTKit的即時作業系統元件，有可能會導致記憶體中斷，攻擊者一旦取得作業系統核心的任意讀寫權限，就能繞過系統核心的記憶體防護措施，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-23296">CVSS風險評分為7.6</a>。</p> </div></div></div>
2024/5/14 11:48作者周峻佑https://www.ithome.com.tw/news/162851
零售IT雙周報第34期：Etsy靠機器學習來強化預測商品到貨能力，縮短承諾到貨期限以增加消費意願
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0428~0513)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#機器學習 #物流追蹤 #快電商</span></span></strong><br /> <strong>Etsy利用機器學習強化商品到貨時間預測，提前保證到貨時間以提升購買意願</strong></p> <p><a href="https://seekingalpha.com/article/4688322-etsy-inc-etsy-q1-2024-earnings-call-transcript">美國大型電商Etsy近期宣布，他們用機器學習技術強化了預測商品到貨時間的能力。</a>預測到貨時間更精確，Etsy便可以將承諾到貨時間抓得更短，不用預留太長緩衝期。經過此次強化，他們平均減少了1天以上的承諾到貨期，且保證1周內到貨的商品數增加了2倍。Etsy執行長Josh Silverman表示，預計今年還能再縮短承諾到貨期限2天。他們期望透過承諾商品能早點到貨，來增加消費者購買意願。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#自助結帳 #面部掃描 #年齡檢查</span></span></strong><br /> <strong>買酒不用請店員看證件，德國超商Edeka Jaegar開始於自助結帳場景導入電腦視覺技術來檢查年齡</strong></p> <p>消費者購買菸酒等有年齡限制的商品時，如果使用自助結帳機，仍必須由真人店員檢查證件，拖延結帳效率。針對此痛點，<a href="https://investors.dieboldnixdorf.com/news-and-events/press-releases/news-details/2024/EDEKA-Jaeger-Introduces-AI-powered-Age-Verification-at-Self-Service-Checkouts/default.aspx">德國超商Edeka Jaegar於斯圖加特機場的門市導入AI年齡檢查機制</a>，利用電腦視覺技術分析消費者面部特徵來判定年齡。只有當系統認定消費者未成年，或消費者自己選擇不使用AI年齡檢查機制時，才需要店員介入。Edeka強調，此系統符合GDPR等隱私相關法規，不使用面部身分辨識技術，也不會保存顧客面部影像或其他任何個資。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#無人結帳 #電腦視覺</span></span></strong><br /> <strong>不須門市大改造，Aldi將無人結帳技術導入既有大型超市分店</strong></p> <p><a href="https://www.grabango.com/aldi-launches-aldigo-checkout-free-grocery-shopping-powered-by-grabango/">大型連鎖超市Aldi於芝加哥一間既有大型超市導入無人結帳系統</a>，顧客只需照常購物，離店前不須掃描商品，即可利用App或前往支付櫃台利用信用卡結帳。同時，這家店仍保留傳統結帳通道。</p> <p>這套結帳機制背後是無人結帳技術商Grabango的電腦視覺技術，用來追蹤商品被拿取的情況。此案例特別之處是，Aldi將無人結帳機制導入既有商店時，貨架和商品陳列方式幾乎都沒有改動。許多從頭為無人結帳專門設計店面，在商品密度、貨架密度、電纜網路纜布局等面向，都會有特別設計。舉例來說，統一超商的無人結帳門市，貨架間隔就明顯較寬。市場上無人結帳技術已經發展到不大幅門市改造貨架及陳列方式也能導入，意味著零售商更容易大規模採用這種技術。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#虛擬商店 #元宇宙</span></span></strong><br /> <strong>全國電子推出「元宇宙」商城，利用虛擬商店的互動式體驗導流消費者到官方電商商城</strong></p> <p>3C家電賣場全國電子與Google Cloud、3D動畫公司IN3D合作打造名為元宇宙展售店的虛擬商店。此虛擬商店可從全國電子手機App或瀏覽器網站進入，擺設了許多家電及用來展示家電功能的互動元素。例如，可以在虛擬商店中操作咖啡機、啟動打掃機器人等。消費者點擊虛擬商店內陳列物品，或者透過搜尋欄輸入商品名稱，便會被導向全國電子官方線上商城。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/qgdz.png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#生成式AI #產品開發 #數據存取 #行銷規畫</span></span></strong></p> <p><strong>雅詩蘭黛將打造一系列應用生成式AI工具，用於行銷、產品開發等用途</strong></p> <p><a href="https://news.microsoft.com/2024/04/26/the-estee-lauder-companies-and-microsoft-increase-collaboration-to-power-prestige-beauty-with-generative-ai/">美妝集團雅詩蘭黛與微軟合作打造一系列生成式AI工具，用於旗下20多個品牌的行銷和產品開發等業務。</a>這包括一個內部用的行銷助手聊天機器人，能快速存取公司內各種產品及行政資料，加速期下品牌規畫大小行銷專案。</p> <p>除此之外，他們也打造了號稱可以快速分析商品市場趨勢及產品原料使用趨勢的工具，來輔助產品研究與開發，不過並未提到具體做法。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺 #動線管理 #貨物損失防止</span></span></strong><br /> <strong>實驗成效佳，Walmart旗下Sam's Club將全面導入電腦視覺購物車檢查技術，來取代耗時的人工檢查</strong></p> <p><a href="https://corporate.walmart.com/about/samsclub/news/2024/04/30/sams-club-deploys-ai-powered-exit-technology-at-120-locations-leading-retail-industry-with-customer-experience-innovation">Walmart於今年CES宣布開始嘗試於旗下量販店Sam's Club利用電腦視覺技術來取代人工二次確認收據。</a>經過一季的實驗，他們發現此做法大幅提升動線順暢度，顧客離店時間縮短了23%。這也使他們決定大規模採用此技術，預計今年於全美600間分店中都導入。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #電信商</span></span></strong><br /> <strong>電信商也要做RMN！T-mobile推出RMN服務，可投廣於自家線上線下通路及外部CTV通路</strong></p> <p><a href="https://www.t-mobile.com/news/business/t-mobile-expands-advertising-solutions-business">美國大型電信商T-mobile宣布推出自家RMN服務，供廣告主在自家旗下11,000間實體門市數位看板、線上App，以及外部CTV通路投放廣告。</a></p> <p>相較於一般零售業者經營的RMN，是利用自家顧客消費數據來支援供應商投放廣告，T-mobile並沒有限定廣告主身分，也沒有提到電信業者手中顧客數據如何幫助不同品牌精準投放廣告。T-mobile作為電信業者，確實有大量實體通路可以投放廣告，不過，若廣告播放場域中無法實際購買廣告內商品，且數據無助於精準行銷，T-mobile廣告聯播網是否能複製Walmart Connect等一般零售業者RMN的成功，還有待觀察。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://www.aboutamazon.com/news/transportation/amazon-drone-delivery-arizona">Amazon送貨無人機再增加一服務區，這次無人機能直接從當日到貨訂單用的小型物流中心出發</a></p> <p>2. Walmart開始從更多分店中撤除自助結帳機，以提升服務品質</p> <p>3. Walmart擴大遊戲電商實驗，開始元宇宙遊戲Roblox中販售實體商品而非只是遊戲內商品</p> <p>資料來源：iThome整理，2023年5月</p> <p>責任編輯：郭又華</p> </div></div></div>
2024/5/14 09:34作者郭又華https://www.ithome.com.tw/news/162821
【資安日報】5月13日，韓國警方證實法院大量民眾個資遭北韓駭客竊取，近1 TB資料流出但僅有少部分能確認受害者身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>韓國政府發出聲明指出司法機關遭到北韓駭客攻擊！去年2月韓國法院察覺網路環境被植入惡意程式，去年底警方協助調查此事，結果發現，對方總共竊得1,014 GB機密資料，但他們僅能復原其中4.7 GB的內容，而得知少部分受害者身分。</p> <p>值得留意的是，從韓國法院察覺受害到警方介入調查，間隔長達10個月，這段期間相關的跡證很有可能遭到清除或是破壞，而難以進一步找出事故發生的原因。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162834"><strong style="font-size: 22px;">韓國法院傳出大量民眾個資遭北韓駭客竊取，但大多數遭竊資料沒有留底，而難以確認受影響範圍</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/skoreancourt-image7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/skoreancourt-image7.jpg" style="width: 300px; float: right;" /></a>5月13日韓國警察廳國家搜查本部發出聲明，他們與國家情報院、檢察廳針對韓國法院遭駭一事進行聯合調查，發現北韓駭客曾入侵該國法院長達2年，近1 TB資料遭竊。而這起事故，是首度有韓國司法單位遭到北韓駭客攻擊的情況。</p> <p>根據調查的結果，對方從2021年1月7日至2023年2月9日存取韓國法院系統，但不排除駭客在這段時間之前就已嘗試存取相關系統。在上述期間共有1,014 GB資料外流，但僅有5,171個檔案（4.7 GB）復原，這些資料包含自述書、破產報告、結婚證書、醫療證明文件，由於這類文件都含有個資甚至是詳細的金融資料，他們已通知受影響的民眾。</p> <p>但為何僅有少數資料被復原？因為多數資料因超過儲存期限而遭到刪除。他們研判攻擊者至少從2021年1月7日就入侵韓國法院，但其餘在調查時，因記錄過期遭到清除，因此無法確認對方是否更早就已滲透韓國法院的相關系統，也無從得知事故發生的原因。</p> <p><a href="https://www.ithome.com.tw/news/162825"><strong style="font-size: 22px;">針對Dell資料外洩事故，駭客宣稱濫用合作夥伴入口網站API得逞</strong></a></p> <p></p> <p>電腦大廠Dell近月發生一樁網路安全事件，可能導致4,900萬個人或企業用戶資訊外洩。對此，兜售相關資料的賣家向資安新聞網站Bleeping Computer透露，他們如何取得這批資料。</p> <p>駭客聲稱先是找到Dell供經銷商、零售商等合作夥伴存取的入口網站，以假公司註冊多個帳號，然後他們將開發的作案工具植入該網站，並下達指令查詢，並收集網站回傳的用戶資料。</p> <p>值得留意的是，對方曾在4月中旬寄送電子郵件告知系統漏洞，但並未得到回應。Dell則證實有收到駭客通知並報警，以執法機關正在調查為由而不願透露細節。該公司堅稱在駭客聯繫前即已偵測到惡意活動，他們也對網站進行修正。</p> <p><a href="https://www.ithome.com.tw/news/162839"><strong style="font-size: 22px;">資安業者Zscaler傳出遭駭，該公司發布聲明否認，但承認有個無客戶資料的測試環境暴露在網際網路上</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/intelbroker-hacker-cybersecurity-firm-breach-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/intelbroker-hacker-cybersecurity-firm-breach-1.jpg" style="width: 300px; float: right;" /></a>惡名昭彰的初始入侵管道掮客IntelBroker，近期聲稱他們得到存取其中一家大型資安業者的管道，並在駭客論壇BreachForums兜售，開價為2萬美元的門羅幣（XMR）。賣家聲稱，這家資安業者的年營收達到18億美元，並表示他們握有SSL憑證、能存取該公司的SMTP伺服器來寄信、內含關鍵帳密的事件記錄資料，以及PAuth Pointer Auth Access等其他機密資料。</p> <p>雖然他們並未直接在廣告透露資安業者的名稱，但研究人員James H表示，對方在BreachForums的聊天對話框（Shoutbox）透露，該公司名稱開頭第一個字母是Z。而Zscaler年營收確實符合駭客透露的數字，而被外界懷疑駭客就是針對他們而來。</p> <p>巧合的是，5月8日Zscaler證實他們得知此事並著手調查，且尚未發現該公司環境遭到破壞的跡象，而沒有對客戶及生產環境造成影響。該公司後來透露，他們曾在一臺曝露於網際網路的伺服器架設獨立的測試環境，該系統並未與Zscaler的環境連結，也並未部署於他們的基礎架構上。為了採集證據，他們已將該測試環境離線。</p> <p><a href="https://www.ithome.com.tw/news/162833"><strong style="font-size: 22px;">美國針對勒索軟體駭客Black Basta攻擊行動升溫提出警告，起因疑為醫療系統Ascension遭遇攻擊，導致部分治療出現中斷</strong></a></p> <p></p> <p>美國網路安全暨基礎設施安全局（CISA）與美國聯邦調查局（FBI）於5月10日，攜手針對勒索軟體集團Black Basta的攻擊行動發出警告，指出全球已有逾500個組織受到影響，尤其是，醫療照護組織因其規模、對技術的依賴、可存取個人健康資訊，再加上可能影響病患的護理等因素，而成為極具吸引力的攻擊目標。</p> <p>巧合的是，美國大型醫療系統Ascension於8日證實遭遇勒索軟體攻擊，導致部分服務中斷，攻擊者的身分傳出就是Black Basta，讓人很難不聯想上述的資安公告與此事有關。</p> <p><a href="https://www.ithome.com.tw/news/162837"><strong style="font-size: 22px;">故宮數位圖檔外洩疑雲調查結果出爐，證實問題出在承辦人員不該將高階圖檔上傳至可提供對外服務的伺服器</strong></a></p> <p>去年3月故宮博物院數千件國寶的高解析度數位圖檔傳出被中國駭客盜取，於百度等網站兜售，甚至免費提供下載，國寶名畫圖檔被賤賣，被懷疑很有可能是駭客入侵盜取，而引發國安危機。當時故宮博物院表示，他們於2022年6月得知資料外洩情形，已改採內部封閉式儲存設備，阻絕人為操作可能外流之風險，而這起事故後續有新的進展。</p> <p>士林地檢署為釐清有無人員涉嫌外流檔案，或是故宮遭到駭客入侵的情況，而決定調查此事。結果發現，這起事故發生的原因如同故宮博物院去年3月發布的聲明，在於他們推行數位典藏、成立Open Data專區開放下載免費館藏圖像，承辦人員將資料移至公務系統中可提供對外服務之伺服器（非個人電腦），造成院外有心人士得以使用工具軟體或拼圖軟體等方式，操作讀取局部的高階圖檔後加以拼接存取。</p> <p>調查的過程中，士林地檢署透過法務部調查局資安工作站向故宮調取電磁紀錄，根據IP位址鎖定2名曾經下載前述圖檔的人士，結果發現，他們是直接從故宮網站的免費低解析度圖檔下載區取得檔案，過程中並未使用破解程式。事實上，這些檔案一般民眾都能隨意下載。根據調查結果，全案查無人員疏失、外力入侵因素，也查無具體不法犯罪實據，已於今年初簽結。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.ithome.com.tw/news/162835"><strong style="font-size: 20px;">歐洲刑警組織證實入口網站遭駭，對方聲稱竊得員工資訊、原始碼、內部機密文件</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/mondaycom-removes-share-update-feature-abused-for-phishing-attacks/"><strong style="font-size: 20px;">雲端專案管理平臺Monday.com特定共享功能遭到濫用，攻擊者用於網路釣魚攻擊</strong></a></p> <p><a href="https://www.bleepingcomputer.com/news/security/mondaycom-removes-share-update-feature-abused-for-phishing-attacks/"><strong style="font-size: 20px;"></strong></a></p> <p></p> <p>◆<a href="https://www.esentire.com/blog/fin7-uses-trusted-brands-and-sponsored-google-ads-to-distribute-msix-payloads"><strong style="font-size: 20px;">駭客組織FIN7透過惡意廣告散布木馬程式NetSupport RAT</strong></a></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/ohio-lottery-ransomware-attack-impacts-over-538-000-individuals/"><strong style="font-size: 20px;">去年彩卷業者Ohio Lottery遭遇勒索軟體攻擊，影響逾53萬人</strong></a></p> <p></p> <p>◆<a href="https://thehackernews.com/2024/05/north-korean-hackers-deploy-new-golang.html"><strong style="font-size: 20px;">加密貨幣業者遭到北韓駭客鎖定，對方企圖植入惡意程式Durian</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162822"><strong style="font-size: 22px;">Chrome瀏覽器揭露與修補零時差漏洞CVE-2024-4671，Google證實漏洞濫用活動已經廣泛存在</strong></a></p> <p></p> <p>5月9日Google發布Chrome瀏覽器新版124.0.6367.201、202，根據該公司Chrome版本更新部落格發布的文章指出，這個版本的推出，主要目的是修補高危險性的漏洞CVE-2024-4671，這個弱點是在5月7日由匿名人士通報給Google，問題出在視覺呈現元件具有「記憶體釋放後又再存取使用（Use After Free）」的弱點，這種狀況可能導致程式當機、遠端程式執行或權限提升。</p> <p>同時，Google也簡略用一句話提出警告，提醒大家這方面的資安風險很高，他們表示濫用CVE-2024-4671漏洞的行為已經大量出現。因此，使用Chrome瀏覽器的用戶應盡快更新版本。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162815"><strong>【5月10日】CYBERSEC 2024臺灣資安大會下周舉行，逾300場專業資安演講與超大規模資安品牌展覽即將登場</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162785"><strong>【5月9日】BIG-IP Next集中控管系統的高風險漏洞有可能被用於建立隱藏帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162773"><strong>【5月8日】多明尼加COVID-19疫苗接種資訊外流，影響82萬人</strong></a></p> </div></div></div>
2024/5/13 17:58作者周峻佑https://www.ithome.com.tw/news/162840
故宮清明上河圖數位圖檔外洩疑雲調查結果出爐，承辦人員誤將檔案上傳網站所致
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年3月故宮博物院數千件國寶的高解析度數位圖檔傳出被中國駭客盜取，於百度等網站兜售，甚至免費提供下載，國寶名畫圖檔被賤賣，被懷疑很有可能是駭客入侵盜取，而引發國安危機。<a href="https://www.npm.gov.tw/News-Content.aspx?sno=04013271&l=1&idstr=MDEwMDAwMDE=">當時故宮博物院表示</a>，他們於2022年6月得知資料外洩情形，已改採內部封閉式儲存設備，阻絕人為操作可能外流之風險，而這起事故後續有新的進展。</p> <p>士林地檢署為釐清有無人員涉嫌外流檔案，或是故宮遭到駭客入侵的情況，而決定調查此事。<a href="https://www.cna.com.tw/news/asoc/202405100342.aspx">結果發現</a>，這起事故發生的原因，在於故宮博物院推行數位典藏，成立Open Data專區開放下載免費館藏圖像，承辦人員將資料移至公務系統中可提供對外服務之伺服器（非個人電腦），造成院外有心人士得以使用工具軟體或拼圖軟體等方式，操作讀取局部的高階圖檔後加以拼接存取。</p> <p>因為，他們透過法務部調查局資安工作站向故宮調取電磁紀錄，根據IP位址鎖定2名曾經下載前述圖檔的人士，結果發現，他們是直接從故宮網站的免費低解析度圖檔下載區取得檔案，過程中並未使用破解程式。事實上，這些檔案一般民眾都能隨意下載。</p> <p>根據調查結果，全案查無人員疏失、外力入侵因素，也查無具體不法犯罪實據，已於今年初簽結。</p> <p>而<a href="https://www.npm.gov.tw/News-Content.aspx?sno=04013685&l=1&type=03000096&idstr=MDMwMDAwOTY=">對於這起事故的後續改善</a>，故宮表示他們透過圖檔上傳、下載、轉檔機制的自動化，阻絕人為操作可能外流的風險，並提出5項改善資安機制的做法。</p> <p>值得留意的是，這起事故雖然以查無不法結案，該名承辦人員被記申誡、現已離職。但尚未轉換的高解析度檔案外流的情況，加上近期故宮傳出打破文物，以及有員工在翠玉白菜旁邊簽署文件，而有可能傷害文物的爭議，這些事故也引發外界質疑，認為故宮保護文物、數位資產不力。</p> </div></div></div>
2024/5/13 16:36作者周峻佑https://www.ithome.com.tw/news/162837
資安業者Zscaler傳出遭駭，該公司發布聲明否認，但承認有個無客戶資料的測試環境暴露在網際網路上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡名昭彰的初始入侵管道掮客IntelBroker，近期聲稱他們得到存取其中一家大型資安業者的管道，並在駭客論壇BreachForums兜售，開價為2萬美元的門羅幣（XMR）。</p> <p>賣家聲稱，這家資安業者的年營收達到18億美元，並表示他們握有SSL憑證、能存取該公司的SMTP伺服器來寄信、內含關鍵帳密的事件記錄資料，以及PAuth Pointer Auth Access等其他機密資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/intelbroker-hacker-cybersecurity-firm-breach-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/intelbroker-hacker-cybersecurity-firm-breach-1.jpg" style="width: 580px;" /></a></p> <p>雖然他們並未直接在廣告透露資安業者的名稱，但研究人員James H表示，對方在BreachForums的聊天對話框（Shoutbox）透露，<a href="https://twitter.com/milkshakesbot/status/1788264515877949951">該公司名稱開頭第一個字母是Z</a>。而Zscaler年營收確實符合駭客透露的數字，而被<a href="https://infosec.exchange/@thint/112407111767459077">外界懷疑駭客就是針對他們而來</a>。</p> <p>巧合的是，<a href="https://trust.zscaler.com/zscaler.net/posts/18686">5月8日Zscaler證實他們得知此事並著手調查</a>，且尚未發現該公司環境遭到破壞的跡象，而沒有對客戶及生產環境造成影響。</p> <p>該公司後來透露，他們曾在一臺曝露於網際網路的伺服器架設獨立的測試環境，該系統並未與Zscaler的環境連結，也並未部署於他們的基礎架構上。為了採集證據，他們已將該測試環境離線。</p> <p><a href="https://s4.itho.me/sites/default/files/images/qRt7Pw8ry4-zscaler.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/qRt7Pw8ry4-zscaler.png" style="width: 580px;" /></a></p> <p>但究竟駭客點名兜售存取管道的這家資安公司是否就是Zscaler？Zscaler表示他們將持續進行調查、監控。</p> </div></div></div>
2024/5/13 17:17作者周峻佑https://www.ithome.com.tw/news/162839