iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 00:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

針對Ivanti零時差漏洞攻擊事故，資安組織MITRE揭露駭客濫用VMware虛擬化平臺的細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安機構MITRE先後於<a href="https://www.ithome.com.tw/news/162443">4月19日</a>、<a href="https://www.ithome.com.tw/news/162772">5月3日</a>，針對他們1月遭遇Ivanti零時差漏洞攻擊的事故，公布駭客攻擊的手法、事件發生的過程，以及過程中使用的後門程式、Shell Code等作案工具。當時他們曾透露攻擊者入侵該組織用於研究、開發、原型設計的協作網路環境「網路實驗、研究及虛擬化環境（NERVE）」時，藉由VMware虛擬化平臺來維持在該環境當中活動，<a href="https://medium.com/mitre-engenuity/infiltrating-defenses-abusing-vmware-in-mitres-cyber-intrusion-4ea647b83f5b">現在該機構進一步說明相關細節</a>。</p> <p>該資安機構指出，對方透過Ivanti零時差漏洞成功入侵NERVE後，先是對VMware vCenter植入後門程式BrickStorm，以及名為BeeFlush的Web Shell，然後透過另外2個稱為WireFire、BushWalk的Web Shell來竊取資料。</p> <p>但究竟對方如何隱匿相關攻擊行蹤？MITRE指出，駭客在企圖濫用虛擬化環境之前，已得到ESXi基礎架構的管理權限。</p> <p>駭客藉由系統服務帳號，產生用於攻擊行動的虛擬機器（VM），這麼做的目的，就是讓管理者無法從vCenter管理主控臺察覺這些VM的存在。</p> <p>接著，他們在今年1月5日，操縱這些VM並使用外流的管理者帳號，對於整個基礎設施進行控制。對方也在vCenter伺服器的Tomcat元件中，植入以JSP打造稱為BeeFlush的Web Shell，目的是執行以Python為基礎的隧道工具，使得駭客建立的VM，能與ESXi的管理程式能夠進行SSH連線。</p> <p>事隔2日，這些駭客存取VM並部署惡意酬載BrickStorm，值得留意的是，他們也濫用虛擬化平臺的預設帳號Vpxuser，呼叫7個API，目的是進行偵察，盤點已掛載及未掛載的磁碟。</p> <p>而對於駭客所使用的VM，還具備另一項特徵，那就是這些VM具備兩組網路介面，其中一種是用於連接網際網路，以便接收C2通訊；另一種則是與內部環境的子網路進行連線。</p> <p>該組織表示，這代表IT人員透過vCenter集中管理主控臺來管理VM，很有可能難以察覺攻擊者的行為，對此，MITRE提供相關的檢測方式，並公布兩款能掃描這類威脅的指令碼工具，它們分別是：由MITRE打造的Invoke-HiddenVMQuery，以及資安業者CrowdStrike開發的VirtualGHOST。</p> </div></div></div>
2024/5/24 16:37作者周峻佑https://www.ithome.com.tw/news/163089
Spotify將在年底終結首個硬體設備Car Thing
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.spotify.com/us/article/car-thing-discontinued/" target="_blank">Spotify本周宣布</a>，該公司在2021年發表的車上串流裝置Car Thing將在今年12月9日停止運作。</p> <p>Car Thing為Spotify的首款硬體產品，允許用戶連至手機時透過語音及車上喇叭系統來控制Spotify，它配備一個4吋的觸控螢幕，更容易選擇曲目，不過，它僅支援Spotify Premium付費用戶，也沒有太多獨特的功能，使得許多人將它稱為Spotify的搖控器。</p> <p>Spotify在2021年10月開始小規模測試Car Thing，2022年2月正式對外銷售，售價為90美元，但該公司在同年7月便宣布停產Car Thing，之後還曾將其降價至50美元。</p> <p>而根據Spotify本周的更新，Car Thing裝置自今年12月9日之後將無法再運作，目前並無計畫推出Car Thing的新版本或替代產品，建議用戶將它重置為出廠預設值，以將它回收。</p> <p>事實上，要在車上聆聽Spotify有許多方法，通常是直接將手機與車上娛樂系統連結即可，包括Spotify Connect、藍牙、AUX或USB傳輸線，或者是Android Auto與Apple CarPlay，而且現在有許多汽車的娛樂系統直接內建了Spotify。</p> <p>不過，Spotify沒有任何退款計畫，要求用戶直接把Car Thing拿去回收的態度還是<a href="https://community.spotify.com/t5/forums/searchpage/tab/message?filter=dateRangeType&q=car%20thing&rangeTime=24h&collapse_discussion=true" target="_blank">惹毛了一些人</a>，也有人<a href="https://www.reddit.com/r/spotify/comments/1cyxzyg/vote_to_open_source_car_thing/" target="_blank">開始號召</a>，要求Spotify將Car Thing開源。</p> </div></div></div>
2024/5/24 15:28作者陳曉莉https://www.ithome.com.tw/news/163087
【臺灣資安大會直擊】資安院：政府推動零信任架構，今年完成A級機關導入身分鑑別，2機關將先導入信任推斷機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「隨著資料及服務的雲端化，使用者的行動化，使用設備的多元化，傳統資安防禦以網路作為信任邊界的作法愈來愈困難」，在今年臺灣資安大會上，國家資通安全研究院副院長吳啟文分享我國推動零信任架構策略及現況時說。</p> <p>傳統以網路為邊界，網路內存取值得信任，而來自網路外的存取不被信任，然而，現今有不少資安風險來自網路內，使得此一傳統防禦觀念受到挑戰，近幾年以保護資料及應用存取，強調對資料存取永不信任（Never Trust）且必需驗證（Always Verify）的零信任架構興起。</p> <p>吳啟文表示，零信任架構從早期的概念探討，近幾年更發展至實務部署規畫階段，美國、英國、新加坡、日本、歐盟等相繼發表其零信任架構推動策略，在網路疆界不再，沒有內外網分別，資安威脅無所不在之下，零信任架構成為重要國家強化自身網路安全的對策。值得一提的是，零信任導入並非一次性技術汰換，在推動實施過程中，需與傳統模式混合運作。</p> <p>他以較早推動的美國為例，美國從2021年總統拜登提出行政命令，要求聯邦政府推動零信任架構，美國政府發表零信任架構安全原則，基於該原則，美國總務署GSA提出零信任採購指引，國防部DOD提出零信任策略，美國網路暨基礎設施安全局（CISA）也提出零信任成熟度模型。美國國家標準暨技術研究院（NIST）也發布零信任架構SP 800-207、實施指引草案，以及SP 800-63身分與存取管理指引第四版草案等。</p> <p>吳啟文指出，美國推動零信任是以整個組織推動。以國防部為例，他們將零信任架構分為7個支柱，使用者、裝置、應用程式與工作負載、資料、網路與環境、自動化與協作、可視化與分析，共畫分45個能力（Capabilities）推動依成熟度分為目標等級（Target level）及進階等級（Advanced level），並訂定2027年達到雲信任架構部署的Target level。</p> <p>CISA於2023年4月發表零信任成熟度模型2.0，將零信任能力分為5個支柱，身分、裝置、網路、應用程式與工作負載、資料，並將每個支柱成熟度分為4個階段，傳統階段（Traditional）、起始階段（Initial）、進階階段（Advanced）、最佳階段（Optimal）。不同於國防部的架構，CISA將可視性與分析、自動化與協作、治理3項，視為5個支柱的共同基礎。</p> <p>韓國則在2023年6月由科學技術情報通訊部（MSIT）發表零信任準則1.0，作為政府機關、企業導入零信任架構參考，該準則將零信任架構分為6個支柱，身分、設備、網路、系統、應用、資料，並建議規畫成熟度目標，應考慮組織內外部影響因素，例如現有技術及政策法規，以及相關的ISMS驗證、雲端安全驗證、資通訊及資安驗證等。</p> <p>值得一提的是，韓國政府列出零信任的6個應用情境，包括母公司與分公司的遠端存取、第三方協作、內部網路與網際網路、內部與雲端部署、物聯網、工業控制，列出不同應用情境之下，推動零信任的目標、實踐重點，供各產業不同情境的組織在落實零信任架構時參考。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20240515_141134-600.jpg" style="width: 600px; height: 391px;" /></p> <p><strong><span style="color:#B22222;">我國導入零信任架構策略3大核心機制：身分鑑別、設備鑑別、信任推斷</span></strong></p> <p>臺灣也不落人後，主要參考NIST SP800-207，以及身分與存取管理的SP800-63，分為身分鑑別、設備鑑別、信任推斷。吳啟文表示，考慮到整個組織推動較為困難，因此選擇以核心資通訊系統導入，並以基準（baseline）的概念推動，未來可以從身分鑑別、設備鑑別、信任推斷，逐漸擴大至整個組織。</p> <p>依據NIST SP800-207，採用資源門戶的部署方式（Resource Portal-Based Deployment），零信任架構分為核心組件、支援組件，核心組件控制資源的存取，負責鑑別、授權、管理連線，支援組件則是支援存取決策的周邊系統，例如身分管理、活動日誌、威脅情資、資料存取政策等等。</p> <p>我國將零信任分為3大核心機制，身分鑑別、設備鑑別、信任推斷。其中的身分鑑別採用多因子身分鑑別（例如FIDO無密碼驗證）與鑑別聲明；設備鑑別則是鑑別使用設備、設備健康管理；信任推斷則是綜合使用者的身分、設備及行為各方面，作為信任推斷的依據。</p> <p>依照NIST SP800-63-3，該標準建立的身分鑑別機制，將身分鑑的嚴謹度定義為身分保證等級（IAL）、鑑別保證等級（AAL）、聯邦保護等級（FAL），每個身分鑑別等級的嚴謹程度又分為3個1、2、3等級（數字愈高，等級愈高），我國採用基準概念，政府公部門推動零信任架構，至少需滿足IAL2、AAL3及FAL2（下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ID-600.jpg" style="width: 600px; height: 373px;" /></p> <p>在身分鑑別方面，採無密碼雙因子，例如FIDO2鑑別使用者的身分，至於由身分鑑別者（Identity Party，IdP）提供給服務提供者（Relying Party，RP）的使用者身分鑑別聲明，需採用簽章或加密技術，確保RP可解密及驗證鑑別聲明，確保聲明的機密性及完整性。</p> <p>在設備鑑別方面，採用公開金鑰技術作為設備鑑別，由設備上的TPM安全晶片或代理程式產生金鑰憑證，完成設備註冊及鑑別；同時也持續監控設備的健康狀態，依據設備健康狀態計算對該設備的健康信任等級。</p> <p>吳啟文指出，設備健康狀態包含作業系統更新、防毒更新、應用軟體更新、組態合規等，根據不同的狀態評分，計算使用設備的健康信任等級。</p> <p>至於信任推斷方面，基於信任推斷來決定存取權限，信任推斷機制可能制定規則、分數，或是混合規則與分數。以分數為例，依使用情境計算每次存取的信任分數，綜合參考身分鑑別、設備鑑別、設備健康、IP位址、登入時間，還有外部情資如CVSS評分、EPSS漏洞利用評分等等，根據上述資料計算信任等級，再依權重、信任等級計算出信任分數，依不同的信任分數允許或是拒絕存取。</p> <p>吳啟文表示，我國推動零信任雖然以身分鑑別、設備鑑別、信任推斷為3大核心，分別對應國防部DOD零信任架構7大支柱中的「使用者」、「裝置」、「可視化與分析」，但是在我國的零信任系統架構中，也對應DOD的「應用程式與工作負載」、「資料」、「自動化與協作」、「網路與環境」4個支柱。此外，「應用程式與工作負載」、「資料安全」則回歸我國的資通安全管理法要求。</p> <p>與DOD的零信任架構45項能力相比，他認為，我國的零信任架構並未詳細定義相關技術，例如資料外洩防護、軟體定義網路、手機裝置管理、自動動態規則，這些在未來可成為我國精進方向。另外，如以CISA零信任成熟度模型來看，我國的零信任架構要求，在CISA的「身分」、「裝置」、「網路」3個支柱方面，我國的規定可達到成熟度模型中的進階階段（Adavanced），至於「應用程式與工作負載」、「資料」2個支柱則達到起始階段（Initial）大部分能力，CISA的部分成熟度能力，例如應用程式先測試再部署、資料分類分別，屬於管理面的要求，可由資通安全管理法來補足。</p> <p><strong><span style="color:#B22222;">今年3月中接受政府零信任架構信任推斷產品驗證</span></strong></p> <p>配合政府機關推動零信任架構，從2022年開始接受政府零信任架構身分鑑別、設備鑑別2項產品功能符合性與整合驗證服務，2024年3月中開始接受信任推斷產品功能符合性驗證申請。廠商送驗分為業者依檢核表自評、業者依檢核表展示功能、業者至資安院驗測3個階段。截至5月15日為止，已有13項產品通過身分鑑別的，2項通過設備鑑別。</p> <p>吳啟文表示，為促使廠商彼此合作整合，鼓勵業者申請身分鑑別、身分鑑別+設備鑑別、身分鑑別+設備鑑別+信任推斷等驗證模式。對於業者反映驗證作業緩慢的問題，未來資安院將與學校合作，增加受理的能量。另外，也希望廠商送驗產品提交資安檢測報告的必要性，因為在檢測時發現分部產品存在漏洞，希望增加產品本身的資安檢測。</p> <p><strong><span style="color:#B22222;">去年先以資安責任A級機關優先導入身分鑑別</span></strong></p> <p>我國政府零信任架構推動，依照「第六期國家資通安全發展方案」（2021年至2024年）中「善用智慧前瞻科技，主動抵禦潛在威脅」推動策略，訂定在2021年完成零信任架構、概念性驗證及部署規畫，從2022年到2024年遴選2個機關，逐年導入身分鑑別、設備鑑別、信任推斷。至於遴選機關的標準，以機關的帳號集中度高、資通訊向上集中度高、外網存取需求高、機關配合意願高為條件，數位發展部扮演領頭羊的角色，2022年成立時即在建置資通訊系統時導入零信任網路機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ZT-600.jpg" style="width: 600px; height: 384px;" /></p> <p>目前為優先推動A級機關導入零信任架構，2023年將身分鑑別導入機關，特別是以導入T-Road的機關為優先，去年數位部開始輔導22個A級機關導入身分鑑別；2023年選定2個機關試行導入設備鑑別。</p> <p>政府導入零信任架構，首先進行資源規畫，因為以資通訊系統導入為主，先盤點各機關的核心資通訊系統，盤點不同系統的身分鑑別方式、連線方式，使用的身分鑑別伺服器、作業系統、開發程式語言等，以進一步制定導入優先順序。另外，也針對使用實體安全金鑰或手機App，評估2種FIDO身分鑑別方式的優缺點。</p> <p>身分鑑別導入的過程中，機關需要3臺主機或VM，用以部署決策引擎、存取閘道、FIDO2伺服器，並且和機關內現有的身分鑑別伺服器介接，針對使用帳號完成一致性測試，接下來是與資通訊系統介接，包括網路組態調整。2023年更進一步試行身分鑑別與設備鑑別的整合流程，為保有彈性，對於身分鑑別、設備鑑別兩者的先後執行順序沒有限制。</p> <p><span style="color:#B22222;"><strong>經費及人力影響機關導入意願，加強不同業者產品相容性及整合</strong></span></p> <p>經過一兩年的試行、導入，吳啟文也綜整政府機關試行零信任架構的幾個挑戰，例如受限於經費及人力，影響機關導入的意願，這部分數位發展部已編列預算，協助資安責任的A級機關優先導入零信任架構的身分鑑別機制。另外，各機關內資通訊系統相當多元，可能委託不同廠商開發，因此在身分鑑別機制介接資通訊系統，面臨調整成本及廠商配合意願。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ZT-infor-600.jpg" style="width: 600px; height: 384px;" /></p> <p>至於身分鑑別機制所使用的FIDO2身分驗證，目前包括實體安全金鑰及手機App，其中實體安全金鑰，相較於手機，容易遺失，需要加強資產管理。</p> <p>另一項挑戰是，零信任產品後續相容性問題，由於我國推動零信任架構的身分鑑別、設備鑑別、信任推斷3個核心機制，可能採用不同業者的產品，後續導入必需考量到解決相容性及整合問題，目前資安院已協調通過驗證的業者，必需提供API及相關文件，供其他業者的產品克服整合的問題。</p> <p>經過近一兩年機關試行導入蒐集回饋意見，例如支援更多元的身分鑑別方式，以支援實體或行動自然人憑證；另外，也需優化設備鑑別註冊流程，以及將身分鑑別時介接的資通訊系統擴大至VDI行動辦公室。此外，更換廠商的鑑別核心機制，機關希望有更大的彈性整合，並且相關日誌可整合至Log server，並且能輸出報表。吳啟文表示，這些意見可作為未來精進推動零信任架構的參考。</p> <p>吳啟文表示，數位部從2023年開始推動A級機關導入零信任架構，預定在2024年完成全部A級機關導入身分鑑別機制。目前資安院已公告信任推斷的驗證檢核表，供廠商產品送驗參考，2024年計畫由2個機關導入信任推斷機制，作為未來推動政策參考，資安院也會持續鼓勵廠商投入零信任相關產品開發，並納入共同供應契約，為政府導入零信任架構作好準備。</p> </div></div></div>
2024/5/24 15:29作者蘇文彬https://www.ithome.com.tw/news/163079
Kotlin 2.0登場！預設啟用K2編譯器多平臺支援再強化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Android主要開發語言<a href="https://blog.jetbrains.com/kotlin/2024/05/celebrating-kotlin-2-0-fast-smart-and-multiplatform/">Kotlin 2.0</a>現在已經正式發布，這是帶有K2編譯器的重大更新版本，新的K2編譯器不只能夠更好地理解程式碼，編譯速度也提升一倍，而且使Kotlin 2.0的多平臺支援更強大，伺服器端、網頁、桌面、iOS和Android應用程式，都可以共用同一套程式碼庫。</p> <p>K2編譯器現在已經成為Kotlin 2.0預設的穩定編譯器，適用於JVM、原生、WebAssembly和JavaScript等各種目標平臺。K2編譯器的一大特色，便是效能的顯著提升，加快了新語言功能的開發，並且統一了Kotlin所支援的所有平臺，替多平臺專案提供更好的架構。為了確保K2編譯器的穩定性，JetBrains團隊已經編譯了來自用戶和內部專案總共1,000萬行的程式碼，在測試過程，也已有1.8萬名開發者與8萬個專案參與測試。</p> <p>由於Kotlin 2.0採用了新的K2編譯器，因此在多平臺的支援上，有了長足的改進。在之前Kotlin編譯器的設計，無法於編譯時分離通用和平臺程式碼集，所以通用程式碼可能會存取平臺程式碼，而這可能會因平臺差異而產生不同的行為，此外，通用程式碼中的一些編譯器配置和相依項目，也會洩漏到平臺程式碼中，通用程式碼和平臺的界線變得模糊，可能導致程式碼難以維護和管理，甚至發生錯誤。</p> <p>在Kotlin 2.0中，由於K2編譯器重新設計了編譯架構，在編譯期間嚴格分離通用和平臺程式碼集，開發團隊提到，這項變更的好處在使用expected和actual函式的時候會更為明顯，因為過去通用程式碼中的函式呼叫，可能會解析到平臺中的函式，但現在這種情況已經得到改正。</p> <p>除了編譯時通用和平臺程式碼分離之外，另一個多平臺功能更新是expect和actual宣告的可見等級管理調整。在Kotlin 2.0之前，多平臺專案使用expect和actual宣告，兩者必須具有相同的可見性等級，例如expect宣告為public，則相對應的actual宣告也必須是public。</p> <p>而Kotlin 2.0的expect和actual宣告，則可以具有不同的可見性等級，只是actual宣告的可見性等級，必須比expect宣告更寬鬆，或更具包容性。這個改進使得多平臺開發更為靈活，允許在不同平臺調整可見性層級，並同時維持程式碼的一致性和可讀性。</p> <p>Kotlin 2.0編譯速度大幅提升，部分專案甚至可達到之前版本的2倍速，除了編譯速度，IntelliJ IDEA的K2模式效能也有明顯改進，在IntelliJ IDEA Ultimate的程式碼庫中，程式碼突出顯示的速度提升至1.8倍，程式碼完成速度也是之前的1.5倍。目前K2模式的IntelliJ IDEA還在Alpha階段，官方預計會在2024年底成為預設模式。</p> <p>Kotlin 2.0也提供對Compose Multiplatform專案的原生支援，Jetpack Compose編譯器被合併到Kotlin儲存庫中與Kotlin一同發布，開發者使用Compose Multiplatform進行多平臺UI開發將會更方便。Kotlin開發團隊正在積極開發新一代Kotlin Multiplatform函式庫格式，供開發者從任意主機開發和發布Kotlin Multiplatform函式庫與通用Kotlin函式庫。</p> </div></div></div>
2024/5/24 15:43作者李建興https://www.ithome.com.tw/news/163081
Bing傳出服務中斷，波及Copilot、ChatGPT與DuckDuckGo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>約莫在臺灣時間昨天（5/23）下午四點多，微軟搜尋引擎服務Bing<a href="https://x.com/mayank_jee/status/1793560213498581389" target="_blank">出現服務中斷</a>，也波及了使用Bing搜尋的<a href="https://x.com/MSFT365Status/status/1793564067191259271" target="_blank">Microsoft Copilot</a>、<a href="https://x.com/DuckDuckGo/status/1793557968027570527" target="_blank">DuckDuckGo</a>及OpenAI的<a href="https://status.openai.com/incidents/kg1szc9qhk4k" target="_blank">ChatGPT</a>，而且中斷時間超過8小時。</p> <p class="rtecenter"><a href="https://x.com/mayank_jee/status/1793560213498581389/photo/1" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-bing%20outage.png" style="width: 600px;" /></a></p> <p><a href="https://x.com/mayank_jee/status/1793560213498581389" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Mayank Parmar</span></span></a></p> <p>Bing是微軟所開發的搜尋引擎，現今的市占率為3.64%，雖然遠低於Google的90.91%，但它依然是全球第二大搜尋引擎，且擁有DuckDuckGo及Ecosia等搜尋引擎客戶，也整合至ChatGPT以提供即時資訊。</p> <p>外界猜測出問題的可能是Bing API。在這段期間，因為無法使用Bing而影響了ChatGPT的網路瀏覽功能，而不管是在網頁上、Windows或程式中使用Copilot，它都顯示離線。</p> <p>目前微軟尚未揭露肇事原因。</p> </div></div></div>
2024/5/24 14:21作者陳曉莉https://www.ithome.com.tw/news/163083
美國證券交易委員會通過8款以太幣現貨ETF的上市申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會<a href="https://www.sec.gov/files/tm/lk87adfs99.pdf" target="_blank">（SEC）周四（5/23）通過</a>了由芝加哥選擇權交易所（Cboe）、紐約證券全電子證券交易所NYSE Arca，以及那斯達克交易所（Nasdaq）所提出的8款以太幣（Ether）現貨ETF的上市申請，不過，這些ETF在上市之前，還必須個別提交S-1註冊聲明以供審核。</p> <p>SEC才在今年1月<a href="https://www.ithome.com.tw/news/160800" target="_blank">通過</a>比特幣（Bitcoin）現貨ETF，現在又通過以太幣現貨ETF，給加密貨幣社群打了強心針，以太幣價格漲幅超過1%，目前每枚為3,816美元。</p> <p>其實先前外界認為SEC通過此一提案的機率只有2成，不過，5名美國眾議院議員周三（5/22）<a href="https://x.com/matthew_sigel/status/1793617719604252699" target="_blank">寄出一封信件予SEC</a>，先是稱讚它們批准了比特幣現貨ETF，繼之要求SEC在考量加密貨幣投資產品時，必須維持一致與公平的方法，因為適用於比特幣的法令也同樣適用於以太幣。</p> <p>目前比特幣為全球第一大加密貨幣，市值已突破1.3兆美元，排名第二的以太幣市值為4,570億美元。</p> <p>此次通過的8款以太幣現貨ETF產品分別來自VanEck、Ark Invest、BlackRock、Fidelity、Franklin Templeton、Bitwise、Grayscale和Invesco，預計今年便可上市。</p> </div></div></div>
2024/5/24 15:07作者陳曉莉https://www.ithome.com.tw/news/163085
Google指企業發釣魚信件測試員工反而有害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多企業常在發送釣魚信件以測試員工對此類威脅的警戒，<a href="https://security.googleblog.com/2024/05/on-fire-drills-and-phishing-tests.html" target="_blank">但Google專家卻警告</a>，這作法害處多過好處，包括勞民傷財及效果不彰。</p> <p>一些企業IT或資安部門會對員工發送釣魚信件，目的在提高員工資安防護意識。Google則是根據美國聯邦風險與授權管理計劃（FedRAMP）規定，由資安部門實施釣魚信件測試。在這類測試中，公司製作並對員工發送釣魚信件，再監測有誰對此類信件有回應，例如點擊信件中的連結或下載附件，這些員工就會被要求「加強教育」。但Google安全事件經理Matt Linton指出，這種類似火災演練的測試，實則有很多負面影響，包括沒有實質效果、繞過正常防護機制，而且增加員工困擾及資安部門工作負擔。</p> <p>其一是沒有證據顯示這類測試有助於減少釣魚信件攻擊成功率。從結果來看，釣魚郵件測試實施這幾年來，釣魚信依舊是駭客駭入內部網路的首要方法，而且研究顯示，會中計的人仍然持續中計。其二是一些釣魚測試會繞過或降低系統控制，甚至美國FedRAMP指引要求企業IT部門這麼做。後果是讓測試人員刻意不模仿真正的駭客攻擊手法，或建立放水的白名單，後者若不小心落在真正駭客手裏反而造成風險。</p> <p>研究人員還說，這類測試大幅增加資安部門的工作負擔，因為用戶誤點信件的警報並沒有用處，反倒占住他們寶貴的時間及作業頻寬。此外，員工可能因為公司資安部門「玩弄」他們而降低信任，長期而言不利公司安全防護。最後，一些具有多個產品線的大型企業員工，這些測試可能相互重疊，導致重覆作業，影響生產力。</p> <p>Linton建議，教育員工辨識釣魚信件及社交工程、並主動回報，可讓資安團隊早一步採取回應措施。但和防火安全訓練一樣，測試前應預先公告而非突擊測試，因為訓練才是重點，而不是驚嚇與欺騙。</p> <p>他並提醒演練中應讓員工練習通報，並且蒐集有用資料，像是完成測試的用戶數、開啟郵件和通報時間間隔、通報提升到資安小組的時間點，以及信件發出後1、4及24小時通報的案件數。</p> </div></div></div>
2024/5/24 13:53作者林妍溱https://www.ithome.com.tw/news/163082
零售商業模式質變中
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情紅利消失，電商急需尋找新的動能來維持高成長。數位轉型後的實體零售商，開始用技術拓展新商機。臺灣零售業者不約而同發展零售媒體聯播網，不只要賣商品，更要用零售數據和通路助攻，賣起顧客的眼球，在臺灣掀起一波跨界廣告業務的浪潮。</p> </div></div></div>
2024/5/24 13:03作者郭又華https://www.ithome.com.tw/article/163069
Ivanti修補端點管理程式EPM重大層級的SQL注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月21日資安業者Ivanti發布<a href="https://forums.ivanti.com/s/article/Security-Advisory-May-2024">本月份資安公告</a>，修補Avalanche、Neurons for ITSM、Connect Secure（ICS）、Secure Access、Endpoint Manager（EPM）等旗下產品16個漏洞。</p> <p>值得留意的是，這次有超過半數漏洞與EPM有關，而且，這些漏洞多為高風險或重大層級。本次Ivanti共為EPM修補10個漏洞，這些漏洞皆為SQL注入漏洞，存在於EPM核心伺服器，影響2022 SU5以前的版本，一旦遭到利用，攻擊者就能在未經身分驗證的情況下，透過EPM所在的網路環境執行任意程式碼，CVSS風險評分有6個為9.6分，其餘為8.4分。</p> <p>該公司<a href="https://forums.ivanti.com/s/article/KB-Security-Advisory-EPM-May-2024">為EPM 2022 SU5發布熱修補檔案</a>，IT人員應依照指示置換特定路徑的檔案，並關閉EPM Console、執行IISReset來完成修補。</p> <p>而對於本次修補的漏洞，Ivanti表示皆尚未發現遭到利用的跡象。</p> </div></div></div>
2024/5/24 11:29作者周峻佑https://www.ithome.com.tw/news/163077
Martech雙周報第54期：經歷多年試水溫，大型元宇宙遊戲Roblox終於正式開賣遊戲內廣告版位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0505~0518)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#遊戲內廣告 #元宇宙廣告 #程序化廣告</span></span></strong><br /> <strong>元宇宙遊戲Roblox終於正式開賣遊戲內廣告版位，將支援自助式及程序化購買</strong></p> <p>與眾多大型零售及奢侈品牌實驗遊戲內廣告後，<a href="https://corp.roblox.com/2024/05/01/roblox-expands-immersive-video-ads-access-to-all-advertisers-adds-new-measurement-partners/">知名元宇宙遊戲Roblox終於正式對所有廣告主開賣遊戲內版位</a>。這個版位會在遊戲內3D看板中播放2D影片廣告，因此廣告主不須具備3D行銷素材製作能力。</p> <p>目前，此類型廣告僅支援自助式投廣，未來會進一步支援程序化廣告購買。Roblox也和Integral Ad Science和Kantar等第三方廣告成效測量商合作，來辨別3D遊戲環境中的無效流量，以及推算實際對品牌帶來哪些行銷成效。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#數據湖屋 #組合式CDP #Zero-copy #數據整合</span></span></strong><br /> <strong>Amperity推出Lakehouse CDP，不用Reverse ETL機制就能快速從數據源整合及啟用數據</strong></p> <p><a href="https://www.businesswire.com/news/home/20240516347167/en/Amperity-Redefines-Composability-with-the-World’s-First-Lakehouse-CDP">行銷數據科技廠商Amperity推出Lakehouse CDP</a>，能直接從Snowflake、Databricks等廠商的Data Lakehouse讀取、整合數據，再將整合後的數據集用於CDP顧客分析、生成式AI應用製作、行銷規畫等功能，或者共享數據到企業其他工具，進一步處理數據。</p> <p><a href="https://amperity.com/data-warehouse-demo-request">這個數據整合功能背後的技術原理是</a>，根據Data Lakehouse廠商的數據格式，以及Amperity自家機器學習演算法，來辨認出數據種類，以快速梳理、整合資料。整合資料前，使用者可以先檢查此工具給予不同數據欄位的語意標籤，確保欄位匹配正確。此技術是一種零拷貝技術，整合資料及使用資料的過程中，都是從資料來源讀取。當原始數據有變動，都會即時反應在CDP報表及其他數據處理工具中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/damp.png" style="width: 600px;" /></p> <p>這種Lakehouse CDP，最大特色是能快速讀取、整合、使用、共享數據，企業容易快速開始使用。相較來說，傳統CDP導入前需要花費大量時間來梳理、串聯、複製數據，過程繁複，成為不少企業導入途中放棄的痛點。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#LBS行銷 #計程車廣告 #OMO廣告 #DOOH廣告</span></span></strong><br /> <strong>大型計程車App Curb推出OMO個人化廣告解決方案，將乘車旅途細分為多段曝光機會來精準投放</strong></p> <p>美國大型計程車叫車App Curb推出OMO廣告解決方案，<a href="https://www.gocurb.com/post/journey-connect-360-degree-ad-solution-addressable-targeting">不只單在App或計程車的數位看板上投放廣告，而是將叫車到下車的使用者旅途分隔為不同曝光階段，依序於消費者叫車、等車、上車、下車頁面，於App或數位看板投放一系列廣告。</a>這些廣告會根據人口統計特徵、所在地點、支付方法、裝置類型、Email、手機門號等資訊來進行精準投放。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#全球Martech版圖 #生成式AI #SaaS</span></span></strong><br /> <strong>2024全球Martech版圖出爐，生成式AI大爆發使Martech產品數量年成長高達</strong>27.8%</p> <p><a href="https://chiefmartec.com/2024/05/2024-marketing-technology-landscape-supergraphic-14106-martech-products-27-8-growth-yoy/">Martech之父Scott Brinker更新了全球Martech版圖的2024版本。</a>今年，此版圖收錄了14,106個產品，與去年相比增加了3,068件，年增率高達27.8%。Scott Brinker分析，如此爆炸性的成長，與生成式AI技術普及有關。許多Martech工具都是以GPT、Gemini、Llama等LLM為基礎，打造而成的AI助理。</p> <p>Scott Brinker指出另一個有趣的統計數據是，今年Martech產品流失率（Churn rate）只有2.1%，總共只M工具鏈，也仍然以原有品牌單獨販賣自家產品。還有些SaaS服務就算營運不佳，但成本幾乎只有維持雲端服務的費用，只要維持少數訂閱者即能持續生存。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/landscape2024.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech大調查 #Martech工具整合 #Martech工具採購</span></span></strong><br /> <strong>2024 Martech大調查出爐，高整合能力Martech解決方案搭配專門小型工具成主流應用模式</strong></p> <p><a href="https://chiefmartec.com/2024/05/3-counterintuitive-surprises-about-composable-martech-stacks-in-the-state-of-martech-2024-report/">Scott Brinker同時也發布了2024年度的Martech大調查</a>，報告企業使用Martech的情況及痛點。Scott Brinker指出，一個有趣現象是，所有企業都有一套核心Martech解決方案作為主要Martech平臺，但超過8成會用其他Martech工具來取代核心Martech平臺上的部分功能。舉例來說，企業的CRM有內建簡訊行銷功能，卻會再採購另一套簡訊行銷工具來專門進行數位行銷。為何有這麼多企業採取這種看似不利於減少Martech採購費用及管理Martech工具的做法？</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1716460027023.jpg" style="width: 600px;" /></p> <p>調查顯示，企業這麼做的理由中，「為了使用更好的行銷功能」遙遙領先，接著依序是「減少花費」，「更好的UI/UX」，「以及更容易治理／控管數據使用情況」。Scott Brinker進一步分析，就算企業核心行銷平臺有特定行銷功能，該功能仍可能過於陽春、控制選項過少、使用者介面不友善，甚至是需要額外付費才能使用。他說，這也意味著，企業採購核心Martech平臺時，應特別注重平臺與外部工具整合、串接的能力。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #DCR #串流平臺行銷</span></span></strong><br /> <strong>Walmart RMN生態圈再擴大，串聯Disney串流平臺的廣告版位及觀眾數據</strong></p> <p><a href="https://press.disneyadvertising.com/disney-advertising-and-walmart-connect-to-bring-closed-loop-attribution-to-streaming-advertisers">零售龍頭Walmart旗下RMN Walmart Connect與Disney廣告生態圈串聯。</a>兩者將透過數據無塵室（DCR）技術，匹配前者消費者數據及後者觀眾數據，來強化廣告主在兩邊生態圈投放廣告時的精準度與追蹤能力。廣告主也能透過Walmart的DSP，來程序化投放廣告到Disney旗下串流平臺Disney+與Hulu。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI工程 #顧客數據標註 #自動貼標</span></span></strong><br /> <strong>CDP巨頭Tealium推出AI工程用的自動貼標、授權管理等顧客數據處理功能</strong></p> <p><a href="https://tealium.com/press-releases/tealium-for-ai-release/">繼Salesforce後，又一個Martech巨頭Tealium開始推出AI工程輔助工具，將企業顧客資料快速轉化為可以用於開發AI模型的資料</a>。</p> <p>這個工具支援數據蒐集、數據治理、情境數據貼標、數據標準化，以及數據啟用等，不同環節所需的數據處理。除了常見數據處理工具有的功能外，Tealium還利用顧客數據處理專業，打造了顧客數據使用授權管理、自動顧客數據貼標、數據使用法遵等功能。此工具與三大公有雲以及Snowflake、Databricks等大型數據處理科技廠商的生態系串接，以支援即時數據拋轉和應用。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Maretch動態：</span></strong></span></p> <p>1. <a href="https://forbusiness.snapchat.com/blog/measuring-carbon-emissions-with-scope3">Snapchat開始對自家數位行銷活動進行炭盤查，其中以AR廣告排炭量最少</a></p> <p>2. <a href="https://www.salesforce.com/news/stories/unified-knowledge-news/">Salesforce推出整合企業內外部數據的服務，可用來打造知識管理機器人等產品來支援客服</a></p> <p>3. <a href="https://www.facebook.com/business/news/Introducing-Enhanced-Gen-AI-Features-and-Other-Tools-to-Help-Build-Your-Business">Meta推出更進階的行銷圖文生成功能，未來還要用Llama 3打造可生成符合品牌語氣文案的功能</a></p> <p>資料來源：iThome整理，2024年5月</p> <p>責任編輯：郭又華</p> <p>圖片來源：chief martec、Roblox、Amperity</p> <p></p> </div></div></div>
2024/5/24 10:58作者郭又華https://www.ithome.com.tw/news/163065
SAP在臺首次展示S/4 HANA ERP中的生成式AI助理功能，今年計畫新增100個企業AI應用場景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日在臺灣舉行的SAP NOW大會上，SAP不只首度公開展示了GenAI助理Joule在ERP系統中的應用，還提出了商業AI架構，重新定義企業營運方式，更宣布今年將推出100個新的AI場景，協助企業解決內部流程或業務面的各種問題。</p> <p>為了協助企業數位轉型，SAP在會中提出三大策略面向，包括以數據驅動商業流程、全面性AI賦能以及綠色帳本助力永續發展。</p> <p>在數據驅動商業流程中，SAP以商業技術雲端平臺BTP和雲端ERP為主軸，來改善和優化企業營運流程；而在全面性AI賦能方面，則要用AI賦能商業流程智慧化，包括提供開箱即用的內嵌商業AI服務，以及推出生成式AI助理Joule等。這也是SAP近期積極發展的重點，此外，在企業永續方案上，SAP還將在ERP中整合了綠色帳本功能，加速企業永續發展。</p> <p>SAP臺灣總經理陳志惟表分享了目前SAP在AI方面的成果，包括超過2.7萬家企業客戶採用其商業AI方案。在商業AI場景的應用上，去年第4季新增了34個場景，他預告今年將推出100個新的場景。</p> <p>儘管生成式AI在今年爆紅，陳志惟指出，SAP強調的是商業AI，更加聚焦於當AI進入到企業級應用時，如何透過AI協助企業轉變內部流程、作業，以應對新的商業發展模式或需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/898989.jpg" style="width: 600px; height: 338px;" /></p> <p>SAP 現階段提出的企業AI應用場景，包含了財務、供應鏈、客戶體驗、採購、人力資源、IT與跨職能共六大場景，每個場景都還可以細分不同任務。例如在財務AI應用場景中，企業可以使用AI處理稅務合規性、現金申請、智慧權責發生制、差旅費審計、差旅費核驗、發票處理、商業誠信篩選、貨物和發票收據比對以及行動費用登錄等任務。</p> <p>又如在供應鏈AI應用場景中，AI可以協助處理在途庫存管理、視覺化檢查、需求預測與感測、項目成本預測、預測交貨處理、需求驅動補貨、正向調度、現場服務安排、資產預測與優化、慢速材料移動預測以及收貨單處理等多種任務。</p> <p>SAP台灣客戶諮詢負責人吳孟穎表示，SAP的六大企業AI應用場景中包含各種生成式AI應用。例如，在人力資源方面，企業可以利用生成式AI生成職缺說明、面試問題和學習建議；在客戶體驗方面，能以自然語言生成相關內容、票證和產品描述；在供應鏈管理上，則可使用生成式AI結合影像辨識來識別和處理物流出貨單，並自動生成出貨文件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240522_063151806.jpg" style="width: 600px; height: 338px;" /></p> <p>SAP還提出商業AI架構，要用商業AI重新定義企業營運方式，並帶進許多AI生態合作夥伴，包括Google Cloud、IBM、微軟、AWS、Nvidia、Cohere 、databricks、Anthrop\c等。</p> <p>SAP的商業AI架構分為三層，最底層是AI基礎層，它架構在SAP商業技術雲端平臺上，能夠介接主流的LLM模型，包括OpenAI的GPT、IBM Watson、Google Cloud以及Nvidia等。企業可以在內部場景中對接並試用不同的LLM模型，找出最適合自己的模型，甚至可以使用自己開發的LLM模型。</p> <p>上一層是內嵌式AI層，將生成式AI在內的商業AI帶進SAP全線產品，協助企業將業務場景智慧化，包括雲端ERP、HR管理、支出管理商業網路、供應鏈管理、CRM管理以及商業技術雲端平臺。</p> <p>最上一層是SAP生成式AI助理Joule。企業用戶可以透過自然語言方式提問，Joule會根據提問內容找出來相對應的數據、進行分析並給出建議，包括洞察問題、提供智能見解和輔助決策，企業不需要考慮資料存放在哪一套SAP系統。雖然Joule目前主要使用SAP自身的數據，但未來企業可以透過底層的AI基礎模型延伸，取得外部數據。</p> <p>吳孟穎表示，目前Joule已經在SAP人資雲服務中運用。今年底，將整合到ERP系統中，明年CRM和採購雲也將陸續採用。她提到說，目前已有臺灣企業客戶正在展開GenAI的PoC試驗。</p> <p>SAP這次在臺公開展示了GenAI助理Joule在ERP系統中的應用，如何透過Joule快速提供企業財務分析洞察資訊，讓營運管理高層可以更快擬定決策並採取行動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240522_074836922.jpg" style="width: 600px; height: 338px;" /></p> <p>過去，企業若想從S/4 HANA ERP中獲得財務業務洞察，通常需要大量人工操作，包括手動分析利潤和專案、分析專案中的數據、建立摘要、設定專案優先序，並將發掘的洞見整理成摘要，然後與團隊成員分享這些結果。</p> <p>從現場展示的應用中，使用者只需在ERP系統中的對話介面提出問題，Joule助理就能協助完成大多數的操作及分析流程，獲得最終的洞察結果，從提供專案資料、給出詳細的專案摘要，到提供關鍵利潤和專案優先序等，都能透過Joule來協助完成，大幅節省資料分析和整理時間。不過，目前Joule主要提供英文輸入，尚未包含中文。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240522_075020211.jpg" style="width: 600px; height: 338px;" /></p> </div></div></div>
2024/5/24 09:56作者余至浩https://www.ithome.com.tw/news/163057
零售業尋找新成長動能，RMN商業模式在臺崛起
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>不分實體或數位，臺灣大型零售業者近一年都相繼將廣告業務，視為下一波重要成長動能。舉凡電商、百貨、超市、量販、超商等零售領域，不少指標企業開始發展零售媒體聯播網（RMN，Retail Media Network），少數先行者更開張了RMN廣告服務。</p> <p>RMN是零售業者利用數據及通路兩大優勢打造而成的廣告服務。零售業者持有的第一方顧客數據，不僅完整記錄消費細節與顧客身分，且通常獲得顧客授權，可用於精準行銷，投放廣告到自家零售通路。零售通路本身就是消費場景，從廣告曝光到實際消費中間阻力少，且身處零售通路的廣告受眾，多為具備消費意願，正在購買決策最後階段的消費者。這些優勢，使行銷經費容易轉換為實際消費行為，廣告投資報酬率（ROAS，Return On Advertisement Spending）高。</p> <p>不過，零售業者一直以來都手握第一方數據和消費通路優勢。他們為何在這個時間點，打算從已然成熟的數位廣告市場中打下一片天地？這波「不務正業」的浪潮，是從何而來？</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>疫後零售環境加上第三方Cookie退場，推動RMN崛起</strong></span></span></p> <p>早在7、8年前，臺灣就有電商利用強大數據力，於自家通路開啟個人化廣告版位，提供平臺賣家對自家顧客進行個人化行銷。但是，直到2023年，才是RMN在臺蓬勃崛起的一年。</p> <p>這一年，Google終於宣布第三方Cookie退場時程，數位廣告行銷精準度與行銷成效追蹤受到衝擊，零售業者手上所擁有的龐大使用者資料，成了精準行銷新的數據石油，受到越來越多數位行銷業者青睞。</p> <p>許多實體零售業者因疫情而展開數位轉型，數位化程度及數據利用功力大增，成為促成RMN崛起的一大因素。超市和百貨界龍頭全聯和新光三越，都在疫情間加速了數位轉型，打造了現代化數據基礎建設及運用方法。這兩家龍頭企業也不約而同的在相近時期看中了RMN商機，前者正在規畫相關業務，後者則已經開始試營運。</p> <p>另一方面，對電商來說，後疫情時代，消費者習慣從純線上走到線上線下流動，導致電商疫情紅利消失，營收成長幅度大幅減少，必須尋找新的成長動能。本已高度數位化，且會利用數據來進行精準行銷的電商，自然也將眼光放在RMN這個國外已經證明可行的商業模式上。</p> <p>手上數據的價值更大，數位能力更強了，急需尋找新成長動力的大型零售商，紛紛跨界，加入數位行銷的戰場，仿效國外零售龍頭Amazon的作法，開始發展臺灣本土的RMN。超市一哥全聯福利中心開始籌備、百貨龍頭新光三越開始試營運、電商龍頭Momo及超商雙雄之一的全家更正式推出了RMN服務。他們都是看中了零售業者得天獨厚的數位行銷優勢，可以結合科技，打造成具有高競爭力的廣告業務。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>利用零售媒體優勢搶占數位行銷市場，新增可靠收入來源</strong></span></span></p> <p>臺灣電商龍頭Momo也感受到了疫情紅利消失。Momo也受環境因素影響，去年營收成長幅度只有7%，相較於前兩年疫情期間高達23.6%和17%的成長幅度，明顯下滑許多。</p> <p>RMN是Momo今年用來注入新成長能量的重要做法，希望希望將自家1,400萬會員數據及每月3,200萬網站人流量轉換為廣告收入。為了發展RMN，Momo成立了專屬部門，更投入大量資金，使IT預算成為他們去年少數有明顯增長的營業費用項目。</p> <p>Momo總經理谷元宏曾在今年媒體春酒上表示，在設計廣告主操作RMN系統的UI/UX設計，以及強化廣告匹配演算法來提升廣告預期ROAS時，都是以不輸Google等廣告巨頭為目標。目標是，從這些巨頭手中，搶占自家品牌商的行銷預算大餅。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用RMN開啟更多精準行銷形式與機會，以衝刺零售營業額</strong></span></span></p> <p>長年耕耘會員數據的超商雙雄之一全家便利商店，同樣看上RMN可以帶來的新成長力道，在去年正式推出了RMN業務。</p> <p>全家數位戰略核心是要促成更多交易完成。過往，他們利用會員數據等第一手零售數據做輔助，對自家會員祭出許多不同行銷做法，來嘗試提升會員交易頻率和客單價。但是到了2023年初，全家於自家法說會中提到，當訂閱模式疲乏、零售毛利緊縮時，跨界廣告業務做RMN，是填補此成長動能缺口的做法。</p> <p>「我們做RMN主要目的不是賺取廣告財，而是促成顧客完成交易。」掌舵全家RMN的商品本部副本部長兼整合行銷部部長陳菀揚說明，全家目前經營廣告業務的態度是，用不同型態的行銷方法，來促成顧客在線上或實體零售場域完成更多交易。</p> <p>這個出發點，也使全家和Momo的RMN經營模式大有不同。相較於後者容易規模化、規格化的自助式即時競價模式，全家採取人工接案的商業模式，由行銷部門深度思考、規畫，如何結合通路與專案特性，來最大化行銷效果。這也使他們採用了許多有別於常規RMN的行銷模式，以及追蹤和優化這些模式的方法。例如，於實體門市中進行LBS行銷，再利用A/B測試來測量行銷成效等。他們還期望能透過廣告業務，與更多原本沒有在全家通路販售商品的品牌進行異業合作，以創造更多商機。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1183-c-%E4%B8%BB%E6%96%87600--%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%85%A8%E5%AE%B6%E4%BE%BF%E5%88%A9%E5%95%86%E5%BA%97.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>全家開始利用於實體門市通路投放廣告，包括自家門市電子看板，以及利用LBS行銷技術在入店時推播廣告到顧客通訊軟體。</strong><span style="font-size:14px;">（圖片來源／全家便利商店）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數據基礎建設是加入RMN戰局的關鍵能力</strong></span></span></p> <p>搶先於其他大型零售商推出RMN服務的全家和Momo，都不是從零開始。</p> <p>自2016年，全家就開始為了經營數位會員而佈局，陸續導入顧客數據管理做法及技術，並建立了一種用數據滾數據的模式──依據數據開發出新服務，再從新服務中蒐集更多顧客數據。舉例來說，他們從跨店咖啡寄杯功能的數據中，鎖定了周期回購商機，再從顧客回購習慣出發，陸續推出家庭訂閱制、多人訂閱制等熱門功能。這些利用顧客數據來進行個人化行銷的做法與經驗，都沿用到了RMN業務流程。</p> <p>Momo也早已慣於用數據來支援日常營運。用零售數據支援RMN業務前，他們就會用CDP、SCM，以及其他數據處理科技來輔助商品管理、數位行銷、物流規畫、行銷策略等營業面向。高數據可用性及豐富數據應用經驗，成為他們半年內完成RMN系統建置的助力。</p> <p>不只全家和Momo，Pinkoi、露天、第一網站都是臺灣率先跨入RMN的先行者。這些先行者的共通點是，都具備了良好數據處理流程及底層技術架構，這正是建置和維運RMN的技術關鍵。最少，需要能在近乎即時的效率下處理巨量數據，隨時維持服務穩定性，並確保數據容易追蹤、分析。</p> <p>不少RMN先行者也都挖掘出各自獨特的數據競爭優勢──Pinkoi以特殊領域電商數據自行訓練出多模態多功能的AI模型；露天以上百萬間賣家數據打造了賣家分級模型；第一網站則建立了一系列快速梳理、整合、分類及應用上百間電商商品數據的處理流程。這些做法，都是為了充分發揮自己手中零售數據特性，來取得獨門行銷競爭力。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>跨界數位業務需面臨技術與組織面挑戰</strong></span></span></p> <p>利用數據來進行數位行銷，是有助於零售業者跨界數位廣告業務的重要能力。不過，要打造完善的RMN系統及業務不是光靠既有技術就夠，零售業者還會遭遇更多技術挑戰，甚至組織面挑戰。全家、Momo，以及其他行之有年的電商，都不例外。</p> <p>第一個是技術面挑戰。當精準行銷技術從自用走到商用，零售業者必須要能用客觀指標證明自家RMN行銷成效高到能與其他廣告通路競爭──這意味著，廣告系統要有能力處理大量請求、迅速清洗數據雜訊、避免廣告作弊與詐騙，且商品推薦演算法的精準度要能與專業Martech廠商匹敵。Momo電商事業資深副總經理洪偉釗坦言，直至今日，他們RMN的商品推薦演算法仍有不少加強空間，且強化演算法到ROAS足以吸引廣告主，是他們最大挑戰。</p> <p>再來是組織面轉變。零售業者既有行銷及IT等部門必須學習數位行銷領域的業務邏輯和相關知識，甚至為了經營RMN業務而徵招專職人才。Momo就開了至少7種職缺，來完善RMN系統和業務流程。全家則是制定了一系列制度，將原本行銷部門轉化為RMN廣告業務、廣告投手及行銷專案負責人，快速累積跨通路數位行銷經驗及廣告版位供給方的業務邏輯。</p> <p>最後還要整合這些技術與組織。零售業者還須在內部調度IT、行銷甚至業務等部門，以及和外部Martech技術供應廠商密切合作。陳菀揚說，如何跨部門溝通數位行銷業務邏輯及需求，以確保數位行銷每一個環節都順暢，是他們經營RMN的最大挑戰。</p> <p>這幾年來，零售業不斷發展「斜槓」業務，從品項的多元化，到通路型態的多元化，一路走出了零售本業，進入了業務多元化時期，賣起廣告板位。就如超市超商化，和超商超市化兩種斜槓做法，看似同歸，實則殊途，不同型態的零售業者開發RMN業務時，也會面臨各自挑戰。接下來，我們將分別探討實體及虛擬的大型零售商如何進入廣告市場，並從先行者案例中，了解RMN背後應備有的技術實力。</p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/24 06:00作者郭又華https://www.ithome.com.tw/news/163023
【臺灣RMN實例：全家】從會員經營到RMN，全家靠通路優勢打造全通路廣告業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全家便利商店是臺灣少數推出橫跨線上線下通路RMN的大型零售業者。2023年，許多同行仍在建置或試營運RMN時，他們已經推出Family Ads廣告服務，販售從實體門市，到會員App、社群媒體、通訊軟體等線上通路的廣告版位。</p> <p>為了經營RMN，全家打造了一系列制度和IT系統，來支援跨通路行銷專案管理、投放和成效追蹤。主導RMN業務的全家商品本部副本部長兼整合行銷部部長陳菀揚說，搶先系統化經營RMN的關鍵是，全家從數位會員開始就贏在起跑點上。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位會員經營成為打造RMN的戰略與技術基礎</strong></span></span></p> <p>臺灣超商中，全家最早提出「可追蹤會員」概念。2016年，全家捨棄手中200萬筆既有會員資料，從頭開始打造以App為中心的會員機制，用App追蹤會員數據來經營會員關係。2019年，他們的CRM流程已經細緻到以個別分店為單位，2021年更導入了AI自動化行銷解決方案。</p> <p>陳菀揚說，全家是臺灣最早開始經營數位會員的超商，且經營風格靈活，有助於發展更多數位做法。一路至今，全家會員App持續推出各式功能及行銷模組，例如以最受歡迎的咖啡寄杯功能為基礎，推出咖啡周期購買、商品周期購買、以及親友間共享周期購買商品等熱門功能，搜集更多面向的顧客數據，同時衝高數位通路流量。</p> <p>2年多前，全家意識到商品訂閱制的極限，也注意到國外崛起的RMN趨勢，開始思考自家經營RMN的可能性。「我們掌握很多流量，但這些流量未必都能轉換成實際交易。RMN也許可以讓這些流量轉換成更多交易財，順便還能拿到廣告財。」陳菀揚說明全家當時切入的考量。</p> <p>於是，全家數位戰略從強化零售本業做法，一步跨入了數位廣告領域。</p> <p>陳菀揚補充，雖然開始販售廣告，不過全家打造RMN的目的，以提升自家通路交易量為主，賺取廣費只是次要目的。這的做法延續一貫的會員經營策略，以提升既有客戶消費頻率及客單價為目的的精神。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>將RMN作為OMO零售的流量變現工具</strong></span></span></p> <p>作為大型實體零售商，他們發展和經營RMN的做法，與常見電商RMN模式大不相同。</p> <p>全家RMN籌備期的第一件事是，思考如何為每一種高人流量的通路，設計不同的專屬廣告版位，來捕捉這些顧客的眼光──這與以搜尋和展示廣告為主的電商非常不同。</p> <p>第一種通路是實體門市。「實體門市一直是重要行銷場所，只是沒那麼即時、沒那麼自動化。」陳菀揚分析，店內外海報、貨架上的插卡，都是行銷訊息，缺點是效率差、費人力。舉例來說，一個鎖定上班族午餐時段的海報，在周末晚上幾乎無法發揮行銷效益，但要店員不斷更換，又會增加大量勞動成本。全家決定為了RMN，開始導入電子看板，搭配內容排程及推播系統，依照適當時機、地點，來自動化呈現出適當行銷訊息。還要導入LBS行銷方案Line Beacon，當顧客入店時，可以透過即時通訊軟體行銷。</p> <p>再來是全家數位通路的核心，會員App，不只在既有熱門功能加入了行銷元素，更為RMN開發新功能。除了開放一般的平面廣告版位，供廣告主投放影片或圖片，還活用多種互動式行銷模組、個人化商場、票券等功能，來打造多元數位行銷呈現形式。</p> <p>最後一種重要通路是社群媒體和通訊軟體等自媒體。「全家IG有50萬粉絲，可以把自己當成網紅。」陳菀揚說。這類通路包括Facebook粉專、Instagram頁面、Line官方帳號等，全家決定提供貼文及直播的廣告方式。</p> <p>訂出不同通路的廣告形式後，全家於2022年著手建置RMN。陳菀揚說，全家App原本就會進行數位行銷，建置RMN專屬行銷模組，沒有遇到太多困難。反而是，在一間間實體門市建置實體電子看板及Line Beacon，並建立廣告投放系統和制度，更為費時。</p> <p>花了一年多，全家在6成門市，約2,500家分店建置了電子看板，並於1,000家門市裝設了Line Beacon感應器。實體門市RMN硬體建置達到一定程度後，2023年，全家開始對外提供RMN服務。</p> <p>與電商RMN常見的RTB模式不同，全家採取了專案式商業模式，以客製化OMO行銷專案的方式來銷售。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>專案式打造跨通路、多行銷格式的RMN行銷內容</strong></span></span></p> <p>陳菀揚說，全家RMN主要目的是提升既有客戶消費頻率及客單價。與其採取容易規模化的RTB模式來快速賺取廣告費，他們寧願挑選最有潛力的行銷案件，為每個通路細緻設計行銷形式與內容，來追求行銷效果最大化。</p> <p>在專案管理上，全家指派行銷人員來擔任專案負責人及通路負責人。前者以整個行銷專案為單位，負責與各行銷通路負責人協調內容細節；後者則是以行銷通路為單位，負責各專案內容遞送的排程與實際系統操作等細節。一個行銷人員同時身負兩種角色。</p> <p>通路負責人可以透過不同的內容排程和遞送系統，來組合不同通路上的廣告，包括實體店面看板廣告、Line Beacon廣告、會員App廣告等，前兩者系統是由全家和硬體供應商合作開發，後者則是由全家IT團隊及負責全家SI的子公司精藤共同打造。</p> <p>全家也將多項內部技術，用來提高RMN廣告投放的精準度，包括了既有會員貼標、商品貼標、會員購買預測模型及門市表現數據分析等技術。</p> <p>專案負責人制定行銷專案時，可以善用全家線上及線下通路高流量的優勢，同時運用實體門市、數位通路及自媒體廣告。例如，行銷咖啡時，搭配社群媒體直播、App內個人化促銷，及實體門市上班時間的看板推播。</p> <p>雖然全家RMN可以搭售實體與數位的廣告服務，不過，兩種通路廣告的投放方式和成效追蹤邏輯有很大的不同。</p> <p>因為實體門市較難於入店階段分辨顧客身分，全家在這個通路的RMN廣告投放模式是，針對不同時段及地點會出現的客群和消費情境，來投放不同的Line Beacon推播和電子看板廣告。除了行銷商品和品牌，這些實體門市的廣告版位，也用來投放消費促進的訊息，例如提醒點數即將到期、提醒春節買票等。</p> <p>如何測量實體門市廣告的成效？全家發揮了大型連鎖超商優勢，利用A/B測試，比較有無投放廣告的門市間，相關交易或顧客行為是否有明顯差異。就算無法追蹤個別顧客行為，仍可分辨出廣告的行銷成效。</p> <p>而會員App等數位通路則採取常見的分眾精準行銷作法，可以根據會員消費習慣及特徵來投放對應行銷內容。除了傳統圖文廣告，會員App上還有以特定商品、品牌或議題為主題的集點、抽獎、地圖、樣品派送、個人化商城等行銷模組，都可用於RMN專案的操作。</p> <p>成效追蹤上，全家結合了會員於App上的行為與實體門市消費記錄，可以具體計算出廣告曝光轉換為實際消費行為的比例。整合線上線下通路的優勢，讓全家能精準追蹤一般難以觀察的行銷活動成效。陳菀揚以派樣品行銷為例說明，過往實體派樣，很難追蹤行銷成效，且耗費人力，但是，全家能從會員中找出適合受眾來派送兌換券，一路追蹤開啟率、使用率，甚至是回購率。</p> <p>原本，全家還自行設計了一套追蹤方法及數據格式來呈現行銷成效。不過，許多廣告主會在各種各種行銷通路投放廣告，需要有統一數據格式來綜合評估整體行銷預算的效益。應廣告主要求，全家後來改用CPM、CPC等常見追蹤指標來製作報表。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>RMN煉成的廣告業務經驗，回頭強化超商零售行銷</strong></span></span></p> <p>全家數位策略從零售一路發展到廣告做法，為內部帶來了不少轉變。首先是，有許多行銷訊息不需要實體門市店員負責傳達，降低了店員勞務同時，仍能保有行銷成效。舉例來說，他們曾在Happy go點數到期前3天於面板播放兌點提醒廣告。就算店員不口頭提醒，只靠推送廣告，有播放的門市，兌點率仍較無播放的門市高出17%。</p> <p>再來，全家看待廣告的思維也變得更全面。「為廣告主優化廣告成效的做法，也可以用於自家廣告的投放。」陳菀揚說明，過往全家只有投放自家廣告的需求方視角，提供RMN服務後，更學會了如何從供給方視角看待數位廣告。同時具有兩邊視角，使他們能從更多角度來優化自身及外部廣告主的行銷活動。</p> <p>全家的RMN還創造了更多異業合作的契機。原本沒有在全家販售商品或業務的廣告主，可以透過派樣、消費回饋等各種行銷形式，與全家自有通路合作，間接帶來更多人流及消費契機。</p> <p>RMN上路近一年，陳菀揚表示，全家過去數位做法打下良好技術基礎，打造RMN系統時，沒有遇到太多技術瓶頸。不過，負責整合系統與數據的IT人員，開始需要學習數位行銷邏輯，才能和行銷部門密切溝通、合作，以加速專案執行及驗證行銷成果的效率。這是全家仍待解決的IT人才轉型挑戰。</p> <p>下一步，全家計畫持續在更多分店安裝RMN所需硬體設備，並進一步整合單店銷售資訊流及廣告投放資訊流，來更即時的追蹤行銷轉換率，快速調整線下行銷策略。</p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/24 06:00作者郭又華https://www.ithome.com.tw/news/163025
【臺灣RMN實例：Momo】RMN成Momo下一波成長動能，要與廣告龍頭搶市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年宣布進軍廣告業務後，電商龍頭Momo於今年正式開始營運名為Momo Ads的RMN廣告業務。Momo總經理谷元宏表示，儘管連續兩年交出營收破千億元的成績單，他們仍積極開發新成長動能，來面臨環境及時代的挑戰。這次，他們決定開發零售以外的收入來源。</p> <p>疫情紅利消失，臺灣電商整體營收成長率從2021年18.3%，一路下滑到2023年的1.9%，Momo同樣受到大環境衝擊，營收年成長率從疫情期間動輒兩位數，甚至一度高達23.6%，卻在去年縮減到只剩下7%，所以，跨界選擇RMN作為新戰場。</p> <p>Momo經營RMN的另一個理由是，跟上國外行之有年的趨勢。「並不是我們特別聰明，想得到要做這件事。」谷元宏笑道，一直以來，Momo靠CDP及SCM系統來管理會員及商品數據，支援商品行銷及推薦，也會與供應商討論如何優化商品推出時機、促銷活動時機等行銷決策。觀望數年後，他們才決定進一步用這些數據和行銷洞察，來發展廣告業務商機。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>出道即意圖對標Google，演算法精準度是競爭力關鍵</strong></span></span></p> <p>Momo電商事業資深副總經理洪偉釗進一步解釋，過往他們與供應商合作行銷時，透過業務人員，以專案形式與供應商洽談價格、行銷資源跟廣告版位。這種做法類似於傳統看板式廣告或策展式廣告，而非精準行銷數位廣告。</p> <p>這次推出Momo Ads，則是挪出一部分原本用於專案式行銷的版位，來發展自動化、可規模化的RMN商業模式，嘗試利用精準行銷做法，來提升廣告收入及行銷成效。</p> <p>Ｍomo的RMN一開始鎖定與廣告巨頭競爭，「ROAS（廣告投資報酬率）足以媲美主流數位廣告平臺，如Google或Meta等巨頭，才能吸引廣告主來投廣。」谷元宏道出Momo對自家RMN業務的期許。</p> <p>因為Momo有許多供應商都是大型品牌，不只會在電商平臺行銷，更會在Meta、Google等常見通路進行數位行銷。要經營廣告業務，Momo就得和這些廣告巨頭競爭品牌的行銷預算。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>投入大量IT資源並成立專職部門，半年完成RMN初步建置</strong></span></span></p> <p>從零售業務跨界到相對陌生的數位行銷業務，Momo投入了大量IT預算，是他們2023年少數明顯增長的營業費用類型之一。</p> <p>去年春天宣布進軍廣告業意願後，Momo同年8月如火如荼的展開建置作業，花費半年左右時間，完成了投廣與追蹤的UI/UX、商品推薦演算法、CTR/CVR預估模型等支援RMN服務的技術建置。</p> <p>洪偉釗表示，這些技術和功能大多由Momo自行開發，部分則是買斷國內外Martech廠商程式碼來自行修改，再整合進自家RMN產品中。</p> <p>為了強化自家RMN產品競爭力，洪偉釗說，Momo從UI/UX及底層廣告推薦演算法精準度兩方面下手。</p> <p>首先是UI/UX。Momo將RMN服務打造為一個獨立平臺，供應商想投放廣告時，不需要進行任何IT整合，便能至平臺自助式投放廣告及瀏覽報表平臺。洪偉釗說，平臺上的報表工具可以供廣告主監控瀏覽、點擊曝光、成交數、成交單品等數據，且數據新鮮度是即時的。來快速調整廣告投放策略。這些數據中，成交數據尤其重要，可以用來具體判斷行銷轉換率，是電商發展RMN的一大優勢。</p> <p>Momo自行開發了廣告即時競價（RTB）的主要架構和相關推薦演算法，也整合了許多第三方Martech廠商。洪偉釗說明，Momo希望將國內外Martech廠商、不同功能的程式碼視為元件，微調後整合進自家RMN架構，來強化整體底層技術。不過，有些廠商沒有賣斷程式碼，無法自行客製和整合，另外，更有許多Martech廠商的精準行銷技術難以驗證成效，這是Momo仍在嘗試解決的兩大挑戰。</p> <p>他們很早開始開始招募專職數位行銷人才來發展RMN產品及業務，後來更正式成立EC廣告業務部，專門負責RMN相關技術及業務。從此部門的職缺類別，也能看出他們發展RMN服務的未來規畫。</p> <p>新職缺主要集中於EC廣告業務部旗下2個課級單位，第一是開發及維護廣告平臺的廣告平臺課，包括廣告平臺產品PM、推薦與搜尋廣告PM、展示廣告PM等，負責對應產品的需求分析、競品調查研究、功能制定、設計規畫、上線及迭代。</p> <p>廣告平臺課還開始招募要求IT或統計學背景的廣告結算與反作弊產品PM及廣告數據分析師。前者負責流量端及客戶側行為分析，打造作弊行為挖掘模型、設計作弊感知體系、建設行銷數據監控體系及評估體系，更要收集和挖掘數位行銷相關灰色產業情報，來設計反作弊攻防機制。</p> <p>廣告數據分析師則是負責建立廣告業務數據追蹤的系統性做法與指標，規畫、收集、處理、分析和預測數據，來對廣告業務提出改善建議。這些數據包括廣告產品及廣告受眾相關數據。</p> <p>另一個開缺的部門是廣告銷售課，要招募熟悉數位行銷的廣告業務，以及負責投放策略及投放流程優化的廣告企畫，負責RMN廣告業務的銷售與溝通，並將客戶投廣需求反映回內部。</p> <p>去年雙11節前後，Momo先試營運推出搜尋廣告。與少數廠商嘗試合作、溝通商業模式後，今年3月，正式宣布RMN上路，新增了展示型廣告等更多廣告呈現形式。</p> <p>「大部分精準行銷演算法所用的數據都一樣，差別是，即時處理情況下，靠演算法匹配人貨能夠多精準。」洪偉釗直言，雖然Momo Ads建置完成了，且能達到一定的ROAS水準，但目前的廣告內容推薦精準度，距離Momo想挑戰的Google還有不小距離。</p> <p>洪偉釗認為，廣告成效比不上Google，自然不容易吸引廣告主，如何快速強化精準行銷相關演算法，是目前Momo營運RMN服務最大挑戰。他們一方面以國外RMN及廣告業者做法為研究對象來鑽研相關技術，另一方面和供應商溝通行銷需求，來修正改善方向。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從中小型第三方廠商開始，逐步吸引更多廣告主</strong></span></span></p> <p>宣布正式營運RMN同時，Momo也開始試營運開店平臺服務，讓自行營運賣場的第三方賣家進駐。谷元宏認為，此服務有望與RMN服務發揮綜效，讓一批第三方賣家初期客戶，為Momo RMN業務注入一波成長動能。「開店平臺店家希望掌握更多行銷自主性和彈性，自助式投廣模式的RMN，正好符合這個需求。」反而是，原本合作的供應商仍以大型行銷合作案為主，需要時間接受RMN行銷模式。</p> <p>不過，谷元宏有信心，隨著自家RMN進步，ROAS達到一定程度，各種規模與性質的品牌都會認同RMN作為廣告平臺的價值。「只要證明投放廣告更划算，行銷經費自然會流過來，甚至不只是用來促銷，還會用來提升整體品牌及商品曝光率。」</p> <p>未來，Momo還考慮將自家第一方數據用於外部通路的廣告投放。「長期來看，Momo跟品牌的關係是，幫助他們的商品賣得更好，所以，Momo一定會考慮將數據用於各種促進交易的用途，包括將廣告投放到第三方場域。」谷元宏說。</p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/24 06:00作者郭又華https://www.ithome.com.tw/news/163028
靠雲端維運工程撐起全球服務，SAS資訊長新課題是影子AI
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一家發跡於1960年代、轉型為雲原生資料分析和AI生命周期管理的數據分析大廠SAS，不只提供各類資料分析平臺功能，還支援AI模型訓練、部署與維運監測等服務，用戶遍布140多個國家、更是財富500強企業的愛用品牌。</p> <p>這些用戶中不乏講求高時效的金融巨頭、零售老店、大型醫院或是電信等大型產業業者，如何維持內部平臺和對外服務的穩定，來滿足大型企業顧客即時分析的需求，是SAS資訊長Jay Upchurch從2019年加入SAS之後，每一天都要面臨的挑戰。</p> <p><em><span style="font-size:28px;"><strong>維持穩定的關鍵：雲端維運工程</strong></span></em></p> <p>隨著SAS近幾年逐漸將原本的分析工具軟體，發展出一套雲端SaaS服務模式來提供，Jay Upchurch的挑戰也轉向雲端維運。</p> <p>目前，維運雲端服務的主流方法論是網站可靠性工程（SRE）。這是一套由Google提出的網站維運實踐方法論，提供了一系列用來確保企業系統可靠性的實作、指標和管理做法，後來也成為許多雲端業者和大型企業維運的作法。</p> <p>SRE的核心理念是要不斷最佳化系統架構和維運流程，比如開發自動化維運機制來提高工作效率，同時確保系統運作可靠，還要兼具擴充性。</p> <p>在SRE文化中，SRE團隊需要與開發團隊、IT維運團隊一起合作，在開發軟體的同時，整合自動化維運機制，來優化IT維運，甚至像Google做到最極致時，SRE團隊還具備了高級權限，能直接關閉有問題或發生事故的線上服務。</p> <p>不過，「SAS是一家歷史悠久的企業，不像Google以數位原生方式發展。」Jay Upchurch指出，SRE這種系統維運方法涉及許多改變，比如需拆分現有職責、改變團隊編制，因此「要成立單獨的SRE團隊，對我們而言有點挑戰，因為我們不是（如Google）那樣建立的，」他說。</p> <p>雖然SAS無法輕易套用SRE這套雲端維運最佳實踐作法，不過，他們自己後來也發展出了一套自己的雲端維運工程（Cloud Operation Engineering），將內部資訊基礎設施、平臺、雲端應用和服務等元件視為一套IT服務來維運。這些維運工作，涵蓋了網路維護、伺服器管理、服務可用性維持、風險管理和災難復原等。</p> <p>Jay Upchurch進一步說明，在雲端維運工程中，維運工作主要由IT維運工程師和研發工程師分擔，兩者角色相加，就等於所謂的SRE。</p> <p>比如，研發工程師肩負系統程式優化任務，擁有權限來處理有問題或需要優化的服務、確保服務可用性。而IT維運工程師不只要管理基礎設施，還負責開發與使用自動化工具，來讓工作流程更有效率。</p> <p>「這兩種角色在SAS內部無縫溝通，就是我們實現SRE的方式。」Jay Upchurch說。</p> <p><em><span style="font-size:28px;"><strong>靠基礎設施即程式碼自動管理</strong></span></em></p> <p>與此同時，對SAS來說，具備彈性靈活的基礎設施也相當重要，如此才能大規模提供穩定、快速的AI資料分析服務，給座落全球各地的企業組織使用。</p> <p>「我們好幾年前就決定，將內部所有基礎設施視為程式碼（Infrastructure as Code，簡稱IaC）。」Jay Upchurch的意思是，SAS幾年前就以程式碼來自動管理基礎設施，包括作業系統、資料庫連結和儲存等，不必人工手動處理。</p> <p>因為，手動管理基礎設施不僅耗費時間，還容易發生錯誤，尤其是大規模管理時。透過基礎設施即程式碼模式，他們能自行定義所需的基礎設施狀態、自動化管理基礎設施，不必每個步驟都手動一一設置。</p> <p>不只是提高了效率，另一個更大的效益是，「IaC讓我們以非常經濟的方式來維運基礎設施，」Jay Upchurch強調，當使用者用畢特定基礎設施資源時，就可以自動關閉預留的雲端資源、恢復到合理的供給量狀態，確保使用者只會用到所需的量，進而節省使用成本。</p> <p>不只內部如此，當SAS提供對外服務時，也採用這種IaC方式。</p> <p>Jay Upchurch坦言：「我們也會擔心服務延遲，不只是BI儀表板的順暢，也希望所有人的傳輸速度都一樣順暢。」為確保自家平臺足夠靈活、在客戶業務需要時滿足需求，他們也透過IaC作法，自動化處理各種對外服務所用的資訊基礎設施。</p> <p><em><span style="font-size:28px;"><strong>延伸內部自動化經驗，發展成對外服務</strong></span></em></p> <p>不只內部應用，Jay Upchurch指出，他們還將累積至今的自動化基礎設施管理經驗，進一步發展成一套產品。</p> <p>像是SAS在今年產品大會上，也發表了一款雲原生AI開發工具，可用來代管模型和運算基礎設施，像是虛擬機的生命周期，自動調度運算資源，並實現自動配置和自動終止，來大幅降低基礎設施管理需求。</p> <p>原本SAS只是一家老牌的數據分析軟體商，隨著這幾年積極上雲，將自家數據分析工具轉型，發展出一套套新的雲端分析SaaS服務後，資訊部門將這些產品上雲背後所累積的龐大IT維運經驗商品化，現在也變成了可以對外提供服務的產品。將IT內部經驗產品化，也讓SAS跨入了軟體技術開發工具領域，不只是數據分析商，現在更成了一家開發工具商。</p> <p>Jay Upchurch透露，SAS自己也用這款AI開發工具，打造了一款內部專用的預防性維護平臺，專門用來監控辦公園區內的一套飛輪電池系統（Flywheel Energy System）的運作狀態。這是一種新興的能源技術，用來儲存機械能的次世代儲能系統，透過提高飛輪的速度，將能量轉換成旋轉動能的形式來儲存，等到需要輸出電力時，再降低轉速，將動能轉化成電能來釋出。美國太空總署已經用於多處太空站，也有汽車公司和UPS業者用來打造新一代電池系統。</p> <p>當SAS園區服務中斷時，也會啟動這套飛輪電池系統來供電，而不是傳統的電池供電。不過，這種新興的飛輪維護成本相當高昂，為了降低成本，得在發生損壞前及早介入，SAS利用自家的IoT和電腦視覺技術，打造一款AI模型來預測飛輪電池系統的運作狀態。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1183-CIO-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-SAS-PNG.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／SAS</span></p> <p><em><span style="font-size:28px;"><strong>CIO新挑戰1：兼顧業務營運</strong></span></em></p> <p>對Jay Upchurch來說，技術不是唯一的挑戰。「在過去十年間，CIO的角色發生重大變化！」他點出，尤其是COVID-19疫情後，許多業務模式轉為純數位化的形式，多數解決方案也改以數位方式交付，就連SAS自己的客戶，也不再要求下載式或光碟式的軟體產品，而是改用數位服務為主。</p> <p>這也意味著，CIO在企業策略中，扮演了越來越重要的角色。他直言：「當今的資訊長應該在公司業務營運和企業服務間，取得良好平衡。」意思是，CIO也該涉獵到業務營運，培養商業思維，他自己就是如此。Jay Upchurch不只要擔任SAS全球IT團隊的指揮官，還身兼雲端部門執行副總裁，時常參與高層決策、負責雲端營運業務。</p> <p>不只是他自己跨界IT與業務，他也希望讓IT員工可以與業務單位更融洽的合作，Jay Upchurch推動了一項業務關係經理（BRM）機制，安排IT職員擔任業務關係經理，到各個業務單位中工作，來促進雙方的夥伴關係。</p> <p>舉例來說，SAS在人資、財務、法務、顧問等部門，就安排幾位業務關係經理，並在分配到的部門學習「他們的語言」，來理解每個部門面臨的挑戰、適時調整業務的IT需求方向，最後運用IT技術來克服這些業務面的挑戰。不只如此，SAS還正將這些業務關係經理累積的建議和經驗，整合到自家系統，同時也用來優化對外服務，兼顧IT治理與創新。</p> <p><em><span style="font-size:28px;"><strong>CIO新挑戰2：影子AI</strong></span></em></p> <p>前述的業務模式和使用者需求轉向數位化，不只帶給CIO業務營運的新挑戰，更帶來了影子IT的棘手難題。Jay Upchurch表示，當所有業務和產品都以數位方式交付，公司內部就會出現影子IT行為，不少員工未經核准就使用某些軟硬體或其他系統和服務，而且IT部門往往對這些行為不知情。</p> <p>隨著AI和生成式AI越來越普及，影子AI的問題也層出不窮。Jay Upchurch本身也負責資安職責，他表示，為確保內部智慧財產和機敏資料安全，SAS制定一套監管和治理措施，來把關職員使用軟硬體或系統服務，盡可能降低影子IT和影子AI風險。</p> <p>但同時，為了不讓這些監管治理手段遏止創新，他們也組織數據倫理措施等團隊，在符合資安和資訊保護的前提下，鼓勵內部創新。</p> <p>除了靠內部制度解決CIO挑戰，Jay Upchurch也點出CIO社群的重要性。「CIO的工作並不輕鬆，每位CIO平均在職年份才3到4年，」因此，為讓資訊長工作更順利，他也參與CIO社群，透過同儕交流來學習、因應新狀況。</p> <p><em><span style="font-size:28px;"><strong>用技術解決問題，而非發展技術再找出問題</strong></span></em></p> <p>話鋒一轉，許多科技龍頭這兩年的產品戰略紛紛擁抱生成式AI，SAS也不例外，同樣在年會上聚焦生成式AI的相關產品策略或新產品。不過，Jay Uprchurch直言：「我們沒有生成式AI策略，只有商業策略，不論是AI、生成式AI或是BI，都是驅動策略的助力。」</p> <p>Jay Uprchurch解釋，對CIO來說，職責不是先發展技術，再找出該技術可解決的問題、包裝成商業策略，而是要反過來，先在問題中尋找技術可以派上用場的地方，再來發展使用情境，最後形成商業策略。「這才是CIO該有的心態，」他強調。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>SAS資訊長暨執行副總裁　Jay Upchurch</strong></p> <p>學歷：北卡羅來納大學電腦科學系畢業</p> <p>經歷：曾任AT&T、USinternetworking和Interpath Communications多個管理層職務，後來至系統商MICROS Systems擔任資訊長，直到Oracle併購該廠商，他進入Oracle擔任旅宿與零售雲端副總裁。2019年加入SAS，帶領全球IT也兼任雲端營運部門副總裁</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%AC%E5%8F%B8%E5%A4%96%E8%A7%80-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-SAS.jpg" style="width: 280px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／SAS</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>SAS</strong></p> <p>●總部：美國北卡羅來納州卡瑞</p> <p>●成立時間：1976年</p> <p>●主要業務：提供雲原生資料分析平臺、AI模型生命周期管理平臺、行銷科技工具、IoT數據分析與醫藥開發服務</p> <p>●員工數：約12,000人</p> <p>●年營收：32億美元</p> <p>●創辦人暨執行長：Jim Goodnight</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：資訊長</p> <p>●資訊部門主管姓名：Jay Upchruch</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●1976年：SAS正式成立，推出第一代數據分析軟體產品Base SAS</p> <p>●1987年：整套SAS系統以C語言重新改寫，取代IBM PL/1程式語言</p> <p>●1989年：推出首款Mac專用統計程式包JMP</p> <p>●2016年：推出SAS Viya雲端資料分析平臺，提供視覺化分析統計、資料探勘和機器學習應用，以及IoT數據整合分析功能</p> <p>●2019年：發布AutoML自動化工具、開源模型管理工具</p> <p>●2022年：Viya分析平臺於AWS市集上架、發起負責任創新專案</p> <p>●2023年：預告整合微軟Azure OpenAI應用，預告AI應用開發工具App Factory與Viya Workbench，在行銷科技工具CI 365新添生成式AI功能；推出韌性評估工具</p> <p>●2024年：正式推出AI開發工具Viya Workbench、智能開發助理Viya Copilot、合成資料產生器Data Maker，以及AI治理顧問服務</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1182-cio-tu_pian_lai_yuan_-sas.jpg" width="960" height="420" alt="" title="SAS資訊長暨執行副總裁 Jay Upchurch（圖片來源／SAS）" /></div></div></div>
2024/5/24 06:00作者王若樸https://www.ithome.com.tw/people/163038
觀察：全球RMN逐漸規模化且多樣化，臺灣零售業才剛起步
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早期，RMN這個商業模式看似專屬於電商，在搜尋與商品頁面顯示推薦商品。不過，隨著更多線上線下零售業者，甚至是廣告業者加入戰局，他們開始探索最適合自家營業型態及技術水準的行銷方法，RMN的行銷型態與經營策略也隨之擴充。</p> <p>全球零售龍頭Walmart就是由線下零售商業務，一路發展出大規模，且行銷型態多元的RMN。2021年，他們與Martech廠商The Trade Desk合作打造了自己的廣告需求平臺（DSP，Demand Side Platform）Walmart Connect，販售許多形式的行銷選項，包括線上搜尋廣告、展示型廣告，線下門市的數位看板及自助結帳機顯示廣告、樣品派送、聲音廣播，還有生鮮外送時的樣品附贈，以及戶外大型活動等。</p> <p>接著，他們開始從自有通路（On-site）走到外部通路（Off-site）行銷，尤其在聯網電視（CTV，Connected Television）通路下重本布局，結合會員消費數據和CTV觀看數據，來投放廣告。前年，他們與CTV巨頭Roku合作推出電視購物廣告，主打不跳轉畫面就能購物。去年則新增CTV購物功能，利用串流平臺Peacock的技術辨識出節目畫面內物品，並比對出Walmart商品目錄中相同或類似商品，供消費者直接於串流平臺介面購買。後來更砸下23億美元買下另一家CTV業者Vizio，將廣告觸角深入更多家庭電視中。他們也持續和更多串流業者進行數據和行銷通路的整合。</p> <p>近月，他們更將旗下顧客行為分析服務Luminate與Connect整合。前者是提供給供應商的顧客行為、輿論及通路銷售表現分析服務，整合後供應商便能從該平臺直接使用Connect服務，加速數據分析到實際應用的流程。</p> <p>2024年，他們還要擴大廣告投放選項、拓展廣告通路、增加精準度及追蹤能力，以及提供更多行銷活動和素材設計方案。這包括開放更多商家使用自助式程序化廣告投放功能、開放非供應商成為廣告主、進攻國際廣告市場、進軍短影音行銷通路、新增更多行銷成效分析選項，以及推出自助式行銷活動設計輔助及成效追蹤工具等。</p> <p>3年來，他們不只一路整合零售業各種數據和通路，更主動開發新行銷通路、學習Martech技術，來打造涵蓋通路廣、行銷型態多元的大型RMN，儼然成為一個大型Martech及媒體代理商，去年廣告營收更高達34億美元。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>臺灣RMN模式也開始多元化發展</strong></span></span></p> <p>看回臺灣，7、8年前開始，Pinkoi、露天、第一網站等先行者已經在經營「經典款」的RMN──在電商等數位通路投放圖文等平面廣告。近一兩年，則開始有零售業者從這些經典款電商RMN的行銷模式，在規模與多元性上發展出更多不同的RMN變體。例如Momo加入戰局，打造出高度自動化、自助式投放的RMN，有意將此生意做大到遠超其他電商的規模。</p> <p>另一個大型零售業者全家的RMN則呈現出行銷型態多元性，可以讓廣告主用精細、複雜的邏輯，客製化他們在全家線上線下曝光策略，用多元廣告型態打出組合技。這使全家RMN成為了一種有別於傳統數位或實體廣告的獨特通路。</p> <p>甚至，開始有零售業者不做RMN，而是將RMN的核心競爭優勢──消費數據和零售通路──拆分出來，打造新型態廣告服務。</p> <p>開店平臺91App就是看中RMN核心競爭力之一的消費數據，在數位廣告領域可以進行更多變現。去年，他們自行打造了一個名為Jooii的AI模型，用來支援平臺上商家進行數位行銷。今年更進一步將使用者特徵、消費者訊號、商品理解與意圖、消費情境與軌跡等數據，與媒體集團關鍵評論網合作，利用Jooii模型分析出投放策略來投廣到後者通路，再用同一個模型來分析行銷活動成效。</p> <p>統一資訊則是活用了大型連鎖零售通路的優勢，將統一超商每個分店的Google商家資料頁面開設廣告版位。不過，他們目前不會取得或運用消費者在Google上的個資、喜好行為等數據。</p> <p>還有廣告商利用Martech領域的技術和知識，將RMN的核心競爭力融入廣告服務。例如，Martech廠商禾多移動整合了上百家零售商及其他非零售媒體的數據和行銷通路，打造出可一站式投放和分析廣告的RMN聯盟。The Trade Desk則是和Foodpanda等大型零售業者合作，協助他們將RMN廣告透過TTD的DSP投放到外部通路。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1183-c-%E5%A4%9A%E5%85%83%E7%AD%96%E7%95%A5%2B%E6%AF%94%E8%BC%83%E8%A1%A8-600B-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1183-c-%E5%A4%9A%E5%85%83%E7%AD%96%E7%95%A5%2B%E6%AF%94%E8%BC%83%E8%A1%A8-600.png" style="width: 600px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/24 06:00作者郭又華https://www.ithome.com.tw/news/163039
【臺灣RMN實例：露天市集】善用賣家大數據媒合，導MLOps強化場景行銷AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2008年，本土C2C電商龍頭露天市集就開始經營廣告業務。到了2017年，他們開始利用數據來進一步驅動廣告業務，成立專責數據團隊，陸續推出了即時競價（RTB，Real-time Bidding）的關聯性廣告、廣告代投機器人等現代化數位行銷服務，也利用自家數據規模優勢，和其他零售商進行聯合數位行銷。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>發揮C2C電商特性，用百萬間賣場數據作為精準行銷依據</strong></span></span></p> <p>露天推出的精準行銷服務都利用了一項零售業界少有的數據優勢，就是C2C電商平臺高達172萬間賣數據。他們做了一套自動化賣家管理機制，不只能過濾掉劣質賣家，維護平臺交易品質，更能用來優化廣告和搜尋等數位行銷情境的商品排序。</p> <p>進一步來說，露天從3個層級來對賣家評分，綜合這些層級的評分後，給予每個賣家各自的最終評分，並依照此評分調整賣家所有商品的曝光優先度。</p> <p>這3個層級是賣場特性、銷售行為、商品特性。賣場特性包括會員所在地區、寄送地點分布、IP地址等賣場基本資料等；銷售行為包含訊息即時回應率、賣家的整體被點擊率、銷售滿意度、行銷轉換率等；商品特性層級則是包括商品貼標、商品如期出貨率、金物流選項多元性等。</p> <p>露天也沒忘了用1,950萬名消費者數據來強化數位行銷。他們從頭自建了一整套消費者數據蒐集和分析平臺，紀錄消費者進站、瀏覽、點擊、加入購物車等，每一天累積超過千萬筆的事件Log。</p> <p>蒐集這些數據後，結合露天自己的零售專業知識，為消費者貼上動靜態標籤，靜態標籤包括性別等客觀事實，動態則包括行為模式和預測型標籤。前者是消費者近期購物行為，後者則是綜合各式標籤及零售知識推論出的可能消費者分類，例如高流失風險消費者，或消費者可能的實際年齡層等。</p> <p>為了密切追蹤消費者動態興趣，露天甚至會在推薦內容中混入一些與消費者標籤關聯性較低的內容，來測試消費者興趣近期是否有變動。並且，為了最大化預測型貼標對精準行銷的效益，他們在貼標時，還會同時使用不同演算法，例如Random forest、SVM、XGBoost等，並交叉比較不同演算法貼標後的行銷成效。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>為了數據驅動精準行銷目標，打造數據基礎架構</strong></span></span></p> <p>露天現在的數據基礎架構及數據工程流程，也為了善用龐大賣家及買家數據驅動精準行銷為前提來設計。</p> <p>多年前，由於露天網站流量龐大，為了節省商用網站流量分析服務的費用，他們自行打造了TypeScript Log及RTB Log紀錄器，作為替代品。直到2、3年前，他們進一步開始打造數據中臺，蒐集TS Log、RTB Log、ERP資料等原始資料，再經過ETL/ELT流程，整合廣告數據、網站數據及ERP數據，建立了專用的儲存及分析工具鏈。</p> <p>露天數據分析師可以根據應用情境，到不同資料庫探勘及分析數據，再用BI工具來視覺化分析、呈現結果，與其他團隊或部門溝通。露天還會儲存過往數據分析師使用這些分析工具的查詢及存取紀錄，作為數據處理的經驗傳承。未來有類似分析需求時，不用從頭思考查詢指令，或需要包含哪些數據維度。這種做法也使經驗較少的數據分析師或非數據相關專業的主管能快速上手，使用這些數據分析工具。</p> <p>為了快速開發、迭代ML模型，針對更多商業場景打造專屬模型，露天近年更導入了MLOps工作方法，統一數據查詢、數據集整理、模型訓練及更新、API生成、模型部署等流程，來縮短並標準化ML模型開發生命周期。這些不同場景的模型成了優化精準行銷重要的關鍵技術。目前，露天網站上有十多個專屬ML模型在負責不同行銷場景。</p> <p>下一步，露天還要增加工程團隊對於數據變動及系統異常的反應速度。一方面，他們要整合SCM及廣告系統，來加速賣家及廣告數據同步效率；另一方面，還要為內部系統打造全自動化警報系統，一有異常就會自動通知負責工程師處理。</p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/24 06:00作者郭又華https://www.ithome.com.tw/news/163062
【臺灣RMN實例：第一網站】整合百家電商6億商品資訊，打造多通路廣告聯播網
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型比價網飛比價格的母公司第一網站不只在自有通路經營廣告業務，還經營著包含200多家外部論壇、新聞網站、部落格等數位通路的聯播網廣告服務，以及利用自家使用者行為數據來代投Google廣告等第三方通路的服務。</p> <p>經營這些廣告業務，第一網站必須經手來自上百家電商的6億筆商品數據、每個月高達800萬次網站造訪人次，以及每個月有60億次廣告聯播網請求。好在，第一網站工程主管及麾下團隊中，有許多人是2000年初期就開始於Yahoo奇摩，用有限資源處理超大量數據的老將，能從流程及底層系統雙管齊下，來蒐集及處理第一網站經營廣告業務所需數據。</p> <p>蒐集資料方面，第一網站不只要蒐集自家數位通路的資料，更要蒐集上百家電商的商品數據到自家網站上，來做比價及數位行銷。為了快速梳理來自上百個資料源的6億筆電商商品數據，他們也設計了一系列商品資料蒐集及初步梳理的方法。</p> <p>首先是根據電商規模和技術成熟度，來制定不同的資料接收方法。有些電商可以直接進行串接系統，有些則需要第一網站自行爬蟲。蒐集完這些資料，他們還得將所有來源的商品資料整理成相同格式。</p> <p>為了方便梳理數據，第一網站向其他電商索取資料時，會先嘗試限縮資料格式到數種標準格式。他們要求對方用Google、Meta等國際大廠訂定的標準交換格式，或者直接用第一網站自制格式，來提供資料。</p> <p>不過，就算先於蒐集階段指定了資料格式，這些資料仍多為半結構化資料。下一步，第一網站還得用機器學習模型辨認出這些資料中的商品特徵，判斷出商品名稱、規格、標價、實際售價、促銷活動等資訊，再將所有商品資訊轉化為統一資料格式。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>降低處理海巨量資料的成本</strong></span></span></p> <p>第一網站數據儲存及處理流程設計，是為了日常營運時能短時間內處理數據、降低數據儲存成本，並降低機器處理數據時的運算成本。</p> <p>第一網站依照資料完整度，將資料分成3個層級。第一層級是蒐集自不同資料來源的完整原始資料。這層級資料量最大，也最零散，難以直接應用。經過梳理、整合後，會成為第二層級。例如，同一個使用者的點擊和瀏覽紀錄，在第一層級是分開數據，到第二層級才會結合起來。</p> <p>第二層級的資料分類、歸納後，則會成為第三層級資料。這層級資料量最少，可保存最長時間。第一層級只會於Hadoop叢集保留2至4周，第二層級資料則會保留3至6個月，第三層級更可保留長達1至2年。</p> <p>原則上，第一網站工程團隊鮮少直接使用第一層級資料。研究和開發新功能時，則會探勘第二層級資料，嘗試尋找出有價值的資訊，例如使用者行為特徵等。功能或服務正式上線後，第一網站要求工程團隊只用第三層資料來進行日常作業。</p> <p>前兩層級資料都是研究用原始資料，使用時都是整批讀取的Full table operation。只有資料量最小的第三層級資料，需要為了隨機存取而做索引。這種用途分類法，能有效降低機器處理資料時的運算成本，也能進一步壓低資料處理時間。</p> <p>第一網站還使用了許多做法，來降低處理大量數據導致機器負荷過重的風險，尤其是面臨流量峰值時。這包括開發平行處理機制來降低硬體閒置時間、非同步化請求和回應來避免任務霸佔伺服器資源、利用訊息佇列緩解瞬間流量，以及為不同熱門程度的商品設定不同頻率的資料同步周期等。</p> <p>從數據基礎架構到其他細節做法，都是為了使第一網站能有效率處理超大量數據，能營運比價網、在內部通路投廣的RMN，甚至到走到外部通路的聯播網時，且維持高服務穩定性。</p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/24 06:00作者郭又華https://www.ithome.com.tw/news/163067
【臺灣RMN實例：Pinkoi】以垂直領域數據自建模型，從自動化進階AI化投廣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>設計類垂直電商Pinkoi的RMN也不是從零開始打造，而是先有技術，再有商業模式。2015年，為了用更智慧化的方法進行數位行銷，他們開始翻新基礎數據架構，整合自家不同來源的第一方數據，並開始利用設計領域數據及顧客數據，來打造商品推薦演算法。</p> <p>不料，他們嘗試了幾個開源推薦模型，發現設計類電商數據過於特殊，必須從頭自行打造專屬AI模型才能有效用於數位行銷。結果是，他們建立了一個多功能、多模態的AI模型，具備NLP、分類、排序、CV等功能。</p> <p>這個模型還能替陌生的非規格化商品自動貼上多語言標籤。這意味著，賣家與Pinkoi方都不需要了解一件商品有哪些特性，也不需要知道一個商品可能有哪些暱稱、別稱，就可以完整在該商品上貼好這些標籤。接著，Pinkoi會再綜合這些標籤，來媒合商品與顧客。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>應廣告主需求陸續開發廣告功能</strong></span></span></p> <p>來到2018年，許多賣家主動許願，希望有一個付費提升曝光機會的管道，這個AI模型便再次派上用場。以此AI模型為基礎，RMN團隊寫了一系列廣告投放用推薦模組，根據不同廣告版面的行銷目的，來調整推薦商品的關聯性高低，或加強時下熱門主題相關商品的排序優先度。</p> <p>雖然已經手握推薦演算法技術，不過要打造自動化廣告投放系統，Pinkoi還有許多數位行銷的技術知識需要從頭學習。他們投入了4成工程資源，花費許多心力在研究Facebook（現Meta）和Google兩大廣告巨頭的Martech開發方法及投廣機制，並將這些知識結合自家AI推薦技術，打造出自己的RMN服務──一個有AI投廣助手的自助式RTB廣告平臺。</p> <p>歷年來，他們陸續開發了商品推薦、商品組合推薦、品牌推薦等廣告形式，支援網頁版、iOS及Android商城。甚至，今年AI模型分類能力進一步強化後，開始有能力將消費者標籤進一步區分為長期「購物人格」和短期「即時動機」2大類標籤，進一步強化了推薦能力。購物人格是由價值主張、興趣、地域性文化、風格等4大分類標籤組成，即時動機則包含聖誕節送禮、婚禮布置等透露短期消費目的標籤。</p> <p>能提取更多、更細緻的標籤，便可以使推薦結果更個人化，做到兩個人進行一模一樣的操作（展現即時動機），仍會分別收到不同商品推薦。甚至，不必被動等待消費者表明本次造訪網站的動機，Pinkoi就可以主動推薦合適商品和品牌給消費者。受益於這個技術突破，他們今年得以打造主動推播型RMN廣告格式。</p> <p>他們還打造了AI廣告投放建議機制，號稱30秒就能開始投廣，只要設定預算和欲行銷商品，AI助手就可以幫忙完成其他設定。做法是，AI模型分析商家成長模式，向商家推薦RMN廣告投放策略及參數設定。例如商家已有穩定客源，系統會建議下一步成長動能是獲取新客源，投放策略得重視陌生潛在買家的曝光。甚至，可以為每一則廣告提供優化建議，賣家可以選擇立即套用，快速完成設定。未來，他們還要進一步強化此功能，連商品標題、關鍵字及行銷預算等基本設定，AI都能根據實際行銷結果來提供修正建議。</p> <p>Pinkoi的RMN推薦演算法最大特色是，曝光優先度以綜合商品與賣場的品質為主，而不會只看廣告出價──廣告主出價只是排序演算法眾多參數中的其中一項，商品品質及關聯性才是決定曝光順序的主要依據。Pinkoi SaaS產品負責人李少昱說，他們會打造AI代投功能來搭配這種非價高者得的曝光機制，就是希望賣家專注於提供優質商品，而非過度計較廣告出價策略。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>維運RMN服務的技術基本功</strong></span></span></p> <p>Pinkoi的RMN每年高達74億次請求，不考慮巔峰情況，平均每秒要處理230次請求。一次RMN廣告請求的完整流程是，顧客進入頁面，系統發送廣告版面性質、顧客輸入內容等資訊到廣告競價系統。經過賣家競價、檢查賣家行銷預算餘額等程序後，廣告推薦演算法方能開始排序廣告內容。後續，Pinkoi還要紀錄廣告曝光情形、顧客互動行為等數據，作為後續廣告成效追蹤及賣家投放建議的依據。</p> <p>為了顧及顧客體驗，Pinkoi認為，廣告與一般商品內容等網站元素，需要幾乎同時完成載入。，另外，為了確保廣告數據正確性及服務穩定性，他們還必須過濾掉異常數據流量。要達到這些目的，Pinkoi有3大做法。</p> <p>首先，為了即時因應流量波動，他們不只使用公雲自動擴充（Auto-scaling）功能，還自行打造了用量調整機制，利用機器學習預測流量變動，來調整雲端資源的租用量。</p> <p>再來，他們回頭找出推薦演算法中，不須即時運算的數據，預先進行批次處理，來壓低即時運算運算對機器的負荷。例如，商品品質分數這個參數的變動頻率不大，可以每天計算一次，而不需要每次推薦都重算。</p> <p>他們還設計了雙重異常流量辨識機制，第一層辨識機制，當造訪者流量剛進來時，會依據流量來源等常見機器人行為模式來篩選。若機器人成功騙過第一層機制，Pinkoi還會根據造訪者行為模式來事後追認異常流量。</p> <p>即使先前打造了一個強大的AI模型來進行數位行銷，Pinkoi要將數位行銷活動商業化，仍需投入大量IT資源來維運，甚至打造專屬RMN的制度和技術機制。不過，李少昱說，RMN已經成為上萬個賣家持續使用的關鍵功能，且確實提升整體平臺的交易量，更貢獻了總營收3成，因此仍會持續投入IT資源到此商業模式中。</p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/5/24 06:00作者郭又華https://www.ithome.com.tw/news/163068
零售業開始大賣眼球
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>跟上全球零售質變的浪潮，臺灣零售業也開始質變。從各種實體商品、數位商品，這兩年，開始積極地賣起顧客的「注意力」。</p> <p>疫情零接觸商機，讓臺灣電商營收暴增許多，光在2021年臺灣電商營收成長率最高達到18.3%之多，不只是電商，整個零售業都因疫情而加快數位化，轉型成電商來抗疫，大型零售業者、超商、百貨都開啟了線上商城或推出電商App。</p> <p>不過，隨著疫情逐漸平息，疫情紅利消失，到了2023年，下滑到只有1.9%的微幅成長。可是，為了抗疫，而發展的各種線上商城、數位通路，都還在。民眾也養成了跨通路消費習慣，不只實體店面，數位通路也成了他們購物、逛街（站）常去的地方。</p> <p>消費者行為的轉變，促使許多傳統的零售業者，更加積極展開線上線下整合的新商業模式，追蹤顧客數據和經營會員經濟。幾乎每一家大型百貨、超商、零售業者，都比過去更注重數位通路、追蹤各種會員的上站、登入App的「逛街」行為、消費數據，甚至跨大到非會員的消費旅程追蹤。</p> <p>我的手機這兩年就多裝了5、6家零售業的會員App，不論到實體或線上結帳時，店員（App）都會詢問，要不要掃碼、集點，想盡辦法要留下了我的消費足跡。</p> <p>零售業者想用這些顧客數據進行精準行銷，向顧客推薦更多他可能感興趣的商品，來創造更多商品的銷售機會。我們在2023年就看到許多零售業，在疫情後，轉為線上線下通路並重，開始發展平臺式的會員數據管理術，就是要搜集、整合、分析和善用來自不同通路的龐大顧客數據，來進行各種精準行銷。</p> <p>同樣的廣告版面，不只可行銷自家商品，還可以用來行銷其他人的商品。我們開始看到臺灣零售業者開始跨入了另一個截然不同的新商業模式，零售業者賣起了廣告，成了新的數位行銷通路商、數位廣告平臺商。</p> <p><a href="https://www.ithome.com.tw/news/163025" target="_blank">全家便利商店</a>去年正式對旗下供應商以專案方式開賣自家廣告，<a href="https://www.ithome.com.tw/news/163028" target="_blank">電商龍頭Momo</a>的廣告即時競價平臺則在今年正式上線，任何人都可以下單，就像Google網路廣告投放模式一樣。會員數破350萬人的百貨龍頭新光三越，也開始試營運廣告業務，每年對千萬會員發出10億點數的超市一哥全聯福利中心，正緊鑼密鼓地籌備廣告業務。統一超商則是低調地推出了客製化行銷推播跟數據行銷服務。臺灣更有少數零售業者，早在多年前就開始銷售線上廣告版面，例如設計類垂直電商<a href="https://www.ithome.com.tw/news/163068" target="_blank">Pinkoi</a>、導購網<a href="https://www.ithome.com.tw/news/163067" target="_blank">飛比價格</a>。</p> <p>臺灣吹起了一股零售業跨界廣告業的浪潮。這不是臺灣零售業現在獨創的新商業模式，全球零售龍頭Walmart早在2021年就打造出自己的廣告需求平臺，提供自家供應商，各式各樣的行銷形式，從線上搜尋廣告、展示型廣告，到線下上萬家門市的數位看板、自助結帳機螢幕廣告，甚至是店內聲音廣播、樣品派送，連生鮮外送時的樣品附贈行銷都可以購買。</p> <p>到了2024年，Walmart廣告通路更開放給非供應商，跨出美國進軍國際廣告市場，短影音行銷通路，甚至有自己的成效追蹤工具和自助式行銷活動設計。不告訴你這是Walmart，完全會以為是一家國際級廣告平臺商。Walmart光在2022年的廣告營收高達27億美元。但Walmart不是特例，全球電商龍頭Amazon在同一年的廣告營收更高達了377億美元，超過臺幣1兆元！</p> <p>這個由零售業以自家數據和數位通路跨界所發展出來的廣告模式就稱為零售媒體聯播網（RMN，Retail Media Network），已經是國外零售業者，這幾年來重要的發展戰略之一，也形成了一股浪潮，尤其在第三方Cookie機制訂出退場時程之後，零售業手中的數據，更成了發展數位行銷殺手級應用的重要來源。</p> <p>臺灣早在7、8年前開始，<a href="https://www.ithome.com.tw/news/163068" target="_blank">Pinkoi</a>、<a href="https://www.ithome.com.tw/news/163062" target="_blank">露天</a>、<a href="http://www.ithome.com.tw/news/163067" target="_blank">第一網站</a>等先行者就開始經營RMN，過去2年，大型零售業者、電商、百貨紛紛跟進，在臺灣形成了一股RMN浪潮，也讓臺灣零售業開始質變，越來越像是賣商品、賣廣告的IT科技業。</p> <p><a href="https://www.ithome.com.tw/article/163069" target="_blank"><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1183-feng_mian_p1-open-you_hua_-960x420_kao_bei_0.jpg?itok=NOPYTCUE" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%9B%B6%E5%94%AE%E6%A5%AD">零售業</a></div><div class="field-item odd"><a href="/tags/%E6%95%B8%E4%BD%8D%E8%A1%8C%E9%8A%B7">數位行銷</a></div><div class="field-item even"><a href="/tags/%E6%95%B8%E4%BD%8D%E5%BB%A3%E5%91%8A">數位廣告</a></div><div class="field-item odd"><a href="/tags/%E9%9B%B6%E5%94%AE%E5%AA%92%E9%AB%94%E8%81%AF%E6%92%AD%E7%B6%B2">零售媒體聯播網</a></div><div class="field-item even"><a href="/tags/rmn">RMN</a></div></div></div>
2024/5/24 06:00作者王宏仁https://www.ithome.com.tw/voice/163070
【資安日報】5月23日，微軟推出AI電腦新功能Recall引發隱私爭議，英國主管機官宣布啟動調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日<a href="https://www.ithome.com.tw/news/162988">揭露新一代NPU加速的AI筆電</a>，並將其命名為Copilot+ PC，主打內建40多個地端AI模型和原生AI應用程式，包括能快速找出所需資訊的Recall、圖像創作Cocreator，以及能將四十多種語言即時翻譯為英文的即時字幕（Live Caption）等AI加持的工具。</p> <p>然而值得留意的是，以背景快照記錄使用者活動，以便用戶搜尋電腦檔案及上網活動的Recall，公布後便引發外界對於隱私上的爭議，英國個資保護主管機關宣布將介入調查此事。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163064"><strong style="font-size: 22px;">Foxit PDF Reader用戶遭到鎖定，駭客利用軟體彈出視窗的內容進行社交工程攻擊，散布多種惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Foxit-image-18.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxit-image-18.png" style="width: 300px; float: right;" /></a></p> <p>關於檢視PDF文件的免費軟體，最常見的是Adobe的Acrobat Reader，過去曾有許多駭客與惡意軟體緊盯它的資安漏洞，除此之外，市面上另一個同樣應用類型軟體Foxit PDF Reader，也是攻擊者的目標之一，最近有駭客專門針對這個軟體的使用者發動攻擊。</p> <p>資安業者Check Point揭露鎖定Foxit PDF Reader用戶而來的攻擊行動，對方用來散布多種惡意程式，包括：Agent Tesla、AsyncRAT、DCRat、NanoCore RAT、NjRAT、Pony、Remcos RAT、XWorm。</p> <p>研究人員指出，這些攻擊行動利用了使用者經常並未詳細檢視彈出式對話框內容，就直接點選預設選項內容的情況，引誘該PDF檢視工具的用戶上當。有鑑於濫用這種手法的情況近期不斷上演，Foxit接獲他們的通報後，也承諾計畫在後續的2024.3版進行處理。</p> <p><a href="https://www.ithome.com.tw/news/163055"><strong style="font-size: 22px;">南海軍事單位與政府機關遭中國駭客組織Unfading Sea Haze鎖定，暗中從事情報收集超過5年</strong></a></p> <p>資安業者Bitdefender揭露專門鎖定南海國家政府高層的中國駭客組織Unfading Sea Haze，他們確認至少有8個軍事單位與政府機關受害，相關攻擊行動最早可追溯到2018年，換言之，這些駭客暗中活動已超過5年。</p> <p>研究人員指出，根據他們找到駭客不同時期使用的作案工具，對方運用了木馬程式Gh0st RAT的變種，以及多種.NET惡意酬載，攻擊過程會藉由名為SharpJSHandler的工具執行JavaScript程式碼，這些手法不僅讓他們認為Unfading Sea Haze與中國有關，上述執行JavaScript程式碼的工具，也出現在與APT41有關的後門程式funnyswitch。不過，研究人員指出，除此之外兩組駭客的作案工具並未出現其他共通點，因此他們認為，這是中國駭客組織之間共用程式碼所致。</p> <p>究竟這些駭客如何入侵受害組織？研究人員表示事隔6年導致證據缺乏，並不清楚如何做到。但他們確認對方在長時間的攻擊行動裡，會多次重新取得受害系統的存取權限，其中一種做法是透過釣魚郵件進行。</p> <p><a href="https://www.ithome.com.tw/news/163058"><strong style="font-size: 22px;">中國駭客用非法代理伺服器ORB網路隱藏連線行蹤，導致資安偵測難度大幅提升</strong></a></p> <p>為了埋藏行蹤，駭客藉由代理伺服器服務（Residential Proxy）從事攻擊行動的情況日益頻繁，最近有研究人員針對這種現象提出警告。</p> <p>資安業者Mandiant揭露名為Operational Relay Box networks（下稱ORB網路）代理伺服器服務，並指出中國APT駭客利用這種服務從事網路間諜活動的情況越來越常見。這種網路組成的方式很類似殭屍網路，主要由虛擬專用伺服器（VPS），以及存在弱點的物聯網（IoT）裝置、路由器組成，而且，這些設備通常生命週期已結束（EOL），或是不再受到製造商支援。</p> <p><a href="https://www.ithome.com.tw/news/163049"><strong style="font-size: 22px;">半導體設備廠京鼎發布資安重訊，說明駭客本月21日公開資料源於1月資安事故外流檔案</strong></a></p> <p>今年1月鴻海旗下的半導體設備廠京鼎傳出遭到入侵，駭客竄改該公司網站，宣稱竊得5 TB內部資料，但究竟是只有網站受到影響，還是公司的IT環境遭到勒索軟體攻擊？最近又有新的消息傳出。</p> <p>5月21日晚間19時14分京鼎發布重大訊息，表示他們發現駭客在網路上公開竊得資料，而這些資料的來源，根據他們的調查，就是上述的資安事故流出，他們曾在1月16日發布重大訊息說明此事。</p> <p>根據上述的公告內容，雖然京鼎仍然沒有說明遭遇的攻擊類型，但也證實駭客確實得手該公司內部資料的情況。只是這些資料內容為何，以及曝光後影響的層面，有待進一步說明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.recordedfuture.com/exploring-the-depths-of-solarmarkers-multi-tiered-infrastructure"><strong style="font-size: 20px;">竊資軟體SolarMarker採用多層基礎設施，意圖躲避資安人員及執法單位打擊犯罪</strong></a></p> <p></p> <p>◆<a href="https://cyble.com/blog/new-antidot-android-banking-trojan-masquerading-as-google-play-updates/"><strong style="font-size: 20px;">安卓木馬Antidot偽裝成Google Play更新程式引誘使用者上當，意圖竊取帳密資料、聯絡人資訊、簡訊</strong></a></p> <p></p> <p>◆<a href="https://www.ptsecurity.com/ww-en/analytics/pt-esc-threat-intelligence/positive-technologies-detects-a-series-of-attacks-via-microsoft-exchange-server/"><strong style="font-size: 20px;">非洲與中東遭到鎖定，駭客利用微軟Exchange已知漏洞散布惡意程式Keylogger</strong></a></p> <p></p> <p>◆<a href="https://www.securityweek.com/omnivision-says-personal-information-stolen-in-ransomware-attack/"><strong style="font-size: 20px;">半導體製造商OmniVision去年9月遭遇勒索軟體攻擊，證實有出現資料外洩的情況</strong></a></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://forums.ivanti.com/s/article/Security-Advisory-May-2024"><strong style="font-size: 20px;">Ivanti修補端點管理程式重大層級的漏洞</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163045"><strong style="font-size: 22px;">微軟系統即將推出的Recall功能引發爭議，英國政府啟動調查</strong></a></p> <p></p> <p>本週微軟發表具備強大AI功能的新型態電腦Copilot+ PC，並揭露名為Recall的新功能，號稱可更容易搜尋使用者曾於電腦上操作的任何內容。然而，這項功能也引發AI將用戶資料看光光的疑慮，對此，英國隱私主管單位資訊委員辦公室（Information Commissioner's Office，ICO）宣布，他們著手進行調查。</p> <p>雖然微軟允許用戶刪除相關記錄，或是調查記錄的時間範圍、停用Recall，並強調索引結果不會上傳雲端，但是外界點出其他疑慮。例如，Recall的快照功能不會隱藏用戶帳密，過濾網站功能僅限Edge；有不具名資安專家指出該功能無法根據GDPR規定，刪除應用程式曝露的個資。</p> <p><a href="https://www.ithome.com.tw/news/163031"><strong style="font-size: 22px;">荷蘭網路威脅態勢與防護經驗大公開，荷蘭資安三角洲專家強調資安韌性需擴及各產業供應鏈</strong></a></p> <p>全球各國都在重視資安的推動，歐洲的發展也是全球關注的焦點，2024臺灣資安大會也持續推動國際交流，邀請荷蘭資安三角洲Security Delta（HSD）基金會的專家親自到場發表主題演說，闡述荷蘭所面對的威脅態勢，以及採取的網路安全策略與行動。</p> <p>在本次大會主題演說上，荷蘭資安三角洲基金會總監Joris den Bruinen特別以荷蘭為例，說明隨著資安威脅持續轉變，改變遊戲規則的Game changers正衝擊著我們，不同規模大小企業、政府與民眾都要有所體認。</p> <p>Joris den Bruinen強調，資安領域的公私協力、國際交流都很重要，HSD持續聚焦於緊密的產學合作，以促成活躍的資安生態系，而他們的重要任務，就是加速HSD成員間的合作，並在知識、創新、市場、資金、人才層面為其創造價值。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163037"><strong>【5月22日】針對研究人員指控修補NAS作業系統漏洞速度太慢，威聯通發布聲明說明處理進度</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163006"><strong>【5月21日】金融木馬Grandoreiro傳出東山再起，駭客攻擊範圍從拉丁美洲擴及全球逾60個國家</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162984"><strong>【5月20日】與人工智慧系統開發相關的Python套件存在漏洞，恐導致資料外流、遠端執行程式碼攻擊</strong></a></p> </div></div></div>
2024/5/23 18:54作者周峻佑https://www.ithome.com.tw/news/163066
Foxit PDF Reader用戶遭到鎖定，駭客利用應用程式流程設計弱點進行社交工程攻擊，散布多種惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於檢視PDF文件的免費軟體，最常見的是Adobe的Acrobat Reader，過去曾有許多駭客與惡意軟體緊盯它的資安漏洞，除此之外，市面上另一個同樣應用類型軟體Foxit PDF Reader，也是攻擊者的目標之一，最近有駭客專門針對這個軟體的使用者發動攻擊。</p> <p>資安業者Check Point揭露鎖定Foxit PDF Reader用戶而來的攻擊行動，對方用來散布多種惡意程式，包括：Agent Tesla、AsyncRAT、DCRat、NanoCore RAT、NjRAT、Pony、Remcos RAT、XWorm。</p> <p>研究人員指出，這些攻擊行動利用了使用者經常並未詳細檢視彈出式對話框內容，就直接點選預設選項內容的情況，引誘該PDF檢視工具的用戶上當。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Foxit-image-7.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxit-image-7.png" style="width: 580px;" /></a></p> <p>他們也特別詳細展示使用者上鉤的場景：當使用者開啟對方提供的PDF檔案後，Foxit PDF Reader會彈出訊息說明部分功能因資安風險考量已被停用，詢問用戶是否暫時開啟相關功能，若不慎按下確定，就會彈出第2則訊息。</p> <p>而這個彈出式視窗的內容，其實是PDF檔案要求執行特定的應用程式，若按下預設的OK鍵，就會允許電腦執行攻擊者想要啟動的作案工具，觸發對方設計的攻擊鏈。<a href="https://s4.itho.me/sites/default/files/images/Foxit-image-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxit-image-5.png" style="width: 580px;" /></a></p> <p>在其中一波攻擊行動裡，駭客散布與軍事有關的PDF檔案，一旦使用者開啟檔案並同意放行開啟特定程式，電腦就會取得惡意程式下載工具並執行，然後被植入兩款惡意酬載，導致電腦內部資料外洩。這起攻擊行動在4月5日達到高峰，研究人員指出攻擊者的身分是DoNot Team（APT-C-35）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/JN326YDWP3-rId42.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/JN326YDWP3-rId42.png" style="width: 580px;" /></a></p> <p>另一波攻擊行動疑似鎖定美國用戶，使用者打開對方提供的PDF檔案並進行操作，電腦就會可能被植入第一階段酬載，接著觸發一系列的惡意軟體感染流程，最終於受害電腦部署竊資軟體，以及挖礦程式XMRig、lolMiner。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Foxit-image-18.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Foxit-image-18.png" style="width: 580px;" /></a></p> <p>研究人員指出，雖然這種型態的弱點，同時帶有對使用者進行網路釣魚的成分，引誘他們根據習慣直接點選確定而上當，但有鑑於濫用這種手法的情況近期不斷上演，Foxit接獲他們的通報後，也承諾計畫在後續的2024.3版進行處理。</p> <p>但為何這種攻擊過往鮮少被發現？研究人員表示有2個原因，首先是大部分對於PDF檢視器的攻擊，都是針對Acrobat Reader而來，再者，則是大多數的沙箱及資安研究人員，也都是利用Acrobat Reader觸發惡意程式，而該PDF檢視器不易受到這種弱點影響。</p> </div></div></div>
2024/5/23 18:25作者周峻佑https://www.ithome.com.tw/news/163064
卓榮泰首次行政院會：盼AI加速應用，提升民間企業生產力及公部門行政效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院新內閣在5月20日上任後，行政院長卓榮泰今天（5/23）首次舉行行政院會，其中國科會提報可信任生成式AI對話引擎TAIDE（Trustworthy AI Dialogue Engine）成果，在寫文章、寫信、翻譯等任務工作上，與ChatGPT 3.5相當，行政院長卓榮泰指示，盼望國科會持續精進AI技術研究，與其他部會合作加速產業應用，以及公部門運用，提高行政效率。</p> <p>卓榮泰表示，臺灣在半導體產業領先世界，也是民主供應鏈不可缺的夥伴，為維持關鍵戰略地位，必需掌握AI發展趨勢，擴大AI基礎建設及人才投資，讓臺灣成為AI的領頭羊，打造臺灣的大型語言模型，同時符合總統賴清德上任後提出的AI島願景。請國科會持續精進AI技術及應用，並與相關部會協助發展加值應用，加速導入業界，提高民間企業的生產力，並導入政府部門及公共服務領域，提供更夕便民服務，並提升行政效率。</p> <p>國科會在去年開始推動生成式AI對話引擎TAIDE，以打造具有臺灣本地文化特色的LLM，滿足國內使用需求，這項計畫集結AI相關人才、高速運算、繁體中文資料，整合產學研人力及資源全力發展臺灣的LLM。</p> <p><span style="color:#B22222;"><strong>TAIDE模型在5大日常工作上表現評測上與ChatGPT 3.5相當</strong></span></p> <p>去年6月公布採用Llama及中文資料，70億參數的學研版TAIDE模型，去年9月推出基於Llama 2，可商用的TAIDE-7B模型，先供產學研合作夥伴測試，2024年1月發表基於Llama 2，具有130億參數的學研版TAIDE-13B，並且開發700億參數的TAIDE-70B（學研版），今年4月正式開源可商用的TAIDE LX-7B模型，供外界使用。另外，今年4月中Meta發表Llama 3，TAIDE團隊也在4月底釋出基於Llama3的測試版TAIDE模型。</p> <p>國研院科政中心副主任徐玉梅表示，TAIDE開發的目的為可信任，因此對於訓練的資料嚴格把關，目前TAIDE模型的表現，利用評測工具，以辦公室日常的工作任務，例如寫文章、寫信、摘要、英翻中、中翻英5項任務，TAIDE-13B模型的表現已和ChatGPT-3.5相當。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MS.jpg" style="width: 600px; height: 337px;" /></p> <p>以5項任務來評測，評分為0到10分，ChatGPT 3.5得到8.68分，可商用的TAIDE-7B為8.3分，學研用的TAIDE-13B為8.74分。如果以中文mt-bench為評測工具，同樣以0到10分為評分，ChatGPT 3.5得到8.72分，可商用的TAIDE-7B只有6.24分，學研用的TAIDE-13B則是8.48分。</p> <p>儘管4月底已釋出基於Llama 3的測試版模型，但目前TAIDE模型仍以Llama 2為主，結合繁體中文訓練資料。為了取得繁體中文資料，TAIDE團隊從「字詞語料」、「通用文本」、「特定領域」三方面盤點公私部門的資料，逐一取得授權，目前資料授權單位涵蓋中央部會、地方政府及民間組織，已完成處理的繁體中文資料共113.6GB，用於訓練模型。徐玉梅指出，未來精進及發展更大規模的模型，還需要各界提供更多的資料，以訓練模型。</p> <p>至於算力方面，原本臺灣杉二號建置32臺Nvidia V100，供TAIDE模型專用。政府去年以1.1億元建置Nvidia H100，並與暨有臺灣杉二號整合，去年12月正式服務，模型訓練所需的時間縮短一半。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/MS-2.jpg" style="width: 600px; height: 332px;" /></p> <p>為了讓模型符合需求，團隊開發模型的同時，也和產學研合作，例如知識檢索、跨，在產業方面，有業者結合模型開發企業專用的AI一體機，還有知識管理查詢、公文輔助文稿。</p> <p>徐玉梅表示，在計畫推動一開始，就與產學研共同合作，目前的合作案例，一部分在開發中，部分則已商品化，也有一些正與政府部門接洽，希望推動實際的應用。</p> <p>目前TAIDE模型的應用已有國臺客語，缺少原住民語言，她補充說明，目前TAIDE以純文字為主，訓練模型需要大量資料，原住民語言資料多以影像、影音為主，原住民語言的資料蒐集比較不易，後續會與原住民委員會，或是從數位典藏國家型計畫尋找可利用的原住民語言資料，TAIDE第一階段為純文字資料，後續會發展多模態發展，蒐集圖片資料。</p> <p>至於未來產業及公部門如何運用？國科會政務副主委林法正表示，TAIDE為基礎或通用模型，釋出供外界運用，公部門可結合其業務特有的資料，可應用在資料彙整、會議記錄彙整，寫公文，或是回覆民眾的詢問。TAIDE計畫剛開始與教授合作，因此最初應用在教育方面，未來在法律、醫療的應用也正在發展中。</p> <p>AI快速發展應用，各國制定專門的法規，臺灣也在研擬AI基本法，林法正指出，因AI科技發展非常快，各國在制定基本法上都採取觀望態度，因應外界的期望，國科會原本預定今年底提出基本法給行政院，如果行政院認為有需要提前，可提前至10月提出基本法。</p> </div></div></div>
2024/5/23 18:29作者蘇文彬https://www.ithome.com.tw/news/163063
中國駭客用非法代理伺服器ORB網路隱藏連線行蹤，導致資安偵測難度大幅提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了埋藏行蹤，駭客藉由代理伺服器服務（Residential Proxy）從事攻擊行動的情況日益頻繁，最近有研究人員針對這種現象提出警告。</p> <p>資安業者Mandiant揭露<a href="https://cloud.google.com/blog/topics/threat-intelligence/china-nexus-espionage-orb-networks">名為Operational Relay Box networks（下稱ORB網路）代理伺服器服務</a>，並指出中國APT駭客利用這種服務從事網路間諜活動的情況越來越常見。這種網路組成的方式很類似殭屍網路，主要由虛擬專用伺服器（VPS），以及存在弱點的物聯網（IoT）裝置、路由器組成，而且，這些設備通常生命週期已結束（EOL），或是不再受到製造商支援。</p> <p>這種網路通常會租用VPS節點，並結合專門滲透路由器的惡意軟體而來，使其能增加綁架設備的數量，從而擴大網路流量轉送（Relaying Traffic）的規模。</p> <p>駭客利用這種網狀網路從事間諜活動，可以混淆受害裝置與C2基礎設施的流量，並利用零時差漏洞攻擊網路邊界裝置。</p> <p>研究人員指出，已有許多資安業者警告這種網路濫用的情況，但值得留意的是，眾多中國駭客已在網路間諜活動廣泛利用ORB網路，產生重大影響。</p> <p>首先，是這種網路打破過往駭客自行打造攻擊基礎設施的概念，通常由中國境內的獨立企業組織、承包商、網路管理員經營，而非單一駭客組織控制。</p> <p>再者，則是ORB網路的基礎設施壽命週期很短，研究人員看到與ORB節點有關的IP位址壽命最短只有31天，而對於中國承包這種網路服務的業者來說，他們甚至有辦法每個月就輪替一定比例的基礎設施。</p> <p>而過往防禦方確認攻擊來源的指標，其中一種就是根據駭客基礎設施的IP位址，來做為判斷攻擊者身分的依據。然而，在中國駭客大肆利用ORB網路的情況下，無法依賴這項依據判斷攻擊來源，而且，與攻擊設施特徵有關的入侵指標（IoC），也難以識別駭客的行動。</p> <p>研究人員針對其中2個中國駭客用於間諜攻擊行動的ORB網路，公布相關細節。</p> <p>其中一個是名為ORB3（或稱SpaceHop）的ORB網路，包括APT5、APT15在內的中國駭客組織將其用於偵察行動，或是從事漏洞利用攻擊。該網路曾在2022年12月用於CVE-2022-27518漏洞攻擊，此漏洞存在於Citrix NetScaler ADC及Gateway設備，CVSS風險評分達9.8，而攻擊者的身分就是APT5。</p> <p>該網路使用雲端供應商位於中國及香港的環境，架設中繼伺服器（Relay server），並透過開源C2框架管理下游節點。</p> <p><a href="https://s4.itho.me/sites/default/files/images/china-nexus-orb-networks-fig3_max-2100x2100.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/china-nexus-orb-networks-fig3_max-2100x2100.jpg" style="width: 580px;" /></a></p> <p>另一個APT31等中國駭客組織運用的ORB網路ORB2（或稱FloraHox），研究人員指出它的架構較為複雜，與ORB3成為明顯的對比。這個網路由對手控制操作伺服器（Adversary Controlled Operations Server，ACOS），多個廠牌遭駭的連網裝置，以及VPS組成。</p> <p>這個網路包含多個子網域，由連網裝置組成，而這些裝置皆被植入專為路由器打造的惡意酬載，其中一種名為FlowerWater。</p> <p>而對於遭到擺布的連網裝置，研究人員提及當中含有思科、華碩、居易等廠牌多種類型的路由器，其共通點是產品本身很老舊，生命週期已經結束。</p> <p><a href="https://s4.itho.me/sites/default/files/images/china-nexus-orb-networks-fig4_max-2100x2100.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/china-nexus-orb-networks-fig4_max-2100x2100.jpg" style="width: 580px;" /></a></p> </div></div></div>
2024/5/23 17:05作者周峻佑https://www.ithome.com.tw/news/163058
荷蘭HSD專家在臺揭露最新歐盟資安法規趨勢，NIS 2、DORA、CRA是重要焦點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對於國際資安態勢，在今年2024臺灣資安大會上，荷蘭資安三角洲（HSD）基金會總監Joris den Bruinen不只在主題演說中，<a href="https://www.ithome.com.tw/news/163031">闡釋了荷蘭如何應對網路安全新興威脅</a>，同時他也介紹近年歐洲資安立法的態勢。</p> <p>事實上，在歐盟層面，過去10年在數位領域已出現許多重要立法，大家最熟悉的莫過於多年前的GDPR，而如今還有人工智慧法案、網路韌性法正推動上路，持續引發國內企業與產業的關注。</p> <p>這次Joris den Bruinen介紹3項應對資安威脅的最新重要立法，讓大家可以有基本的認識。</p> <h3><strong><span style="color: rgb(178, 34, 34);">NIS 2</span></strong></h3> <p>例如，2022年底發布的歐洲第二版資安指令NIS 2，<a href="https://www.ithome.com.tw/news/151044">我們先前曾經多次報導</a>，Joris對此有更深入的說明，他指出，這個NIS 2將在今年10月18日成為強制性指令，所有成員國都要依循並完成立法，這將是一個新的重大里程碑。</p> <p>原因在於，NIS 1主要針對關鍵基礎設施，因此它在荷蘭的定義非常狹隘，主要是政府、銀行、能源部門，而NIS 2的定義不再狹窄，而是擴及更廣泛的重要中大型產業。Joris表示，荷蘭大約有6千個組織，包括食品、物流與高科技產業，都將納入規範。</p> <p>換言之，我們保護的對象已從「關鍵」擴大至「必要」。</p> <p>而且，NIS 2還帶來一個不同於過往的意義：現在是要董事會負責並承擔責任，不再是IT單位、資安長（CISO）的事。配套上也會成立監管機構，一旦沒有即時通報，或是未盡該有防護之責，將會面對罰則。而且，董事會不僅是對自身組織負責，也要對整個供應鏈負責。</p> <h3><strong><span style="color: rgb(178, 34, 34);">DORA（Digital Operational Resilience Act）</span></strong></h3> <p>針對金融領域，在2022年底歐盟還有通過數位營運韌性法案（DORA），<a href="https://www.ithome.com.tw/news/153223">我國金管會在兩年前曾表示，這是推動災害應變復原運作機制落實的一項重要參考</a>。</p> <p>這項法案將在2025年1月17日前生效，Joris指出，這項法案針對金融實體、服務提供者及ICT提供者而來，在此立法下將有更嚴格的規範，以應對更多風險，並界定更多責任。</p> <h3><span style="color: rgb(178, 34, 34);"><strong>CRA（Cyber Resilience Act）</strong></span></h3> <p>在關注企業組織之餘，Joris表示，我們也要讓產品與服務更加安全，做到Secure by Design，而網路韌性法（CRA）就是針對所有軟硬體數位產品的基本資安要求而來，不論路由器、防火牆，實體、網路系統到物聯網產品等，都在規範之內。目前草案已在通過發布的最後階段。</p> <p>換言之，未來有了這項立法，產品、服務的提供者都將在這項立法下承擔責任。</p> <p>此外，還有2019年網路安全法案（Cyber Security Act）授權給歐盟網路安全局（ENISA）更實質的力量，建立網路安全認證框架，並在2023年提出新的修正，要擴及更多領域。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖4）荷蘭HSD威脅態勢網路策略大公開_Joris den Bruinen.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%964%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></a></p> <p>整體而言，Joris強調，這些資安規範的基本原則就是風險管理，這是一個很好的出發點，不論是董事會要負責，或是盡到該有的資安防護之責。</p> <p>對於如何算是做到應盡之責，Joris認為，網路衛生相當重要，在既有資安管理上採取更主動且良好的防護方式，就像維持自身健康一般，幫助組織預防與降低網路攻擊的風險。</p> <p>而網路衛生這樣的觀念，至今也不斷被強調著，他舉例，今年5月初美國RSA大會上，一位美國官員指出，如果你有良好的網絡衛生，可能95%的問題都會被解決。</p> </div></div></div>
2024/5/23 12:12作者羅正漢https://www.ithome.com.tw/news/163051
IBM開源程式開發專用Granite語言模型，效能超越當前多數開源模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IBM以Apache 2.0授權條款開源一系列<a href="https://research.ibm.com/blog/granite-code-models-open-source">Granite程式碼模型</a>，大小從30億到340億參數，包括基礎模型和指令跟隨模型，可用於應用程式現代化任務，甚至也可在記憶體有限的裝置上運作。經多個基準測試實驗，Granite程式碼模型在包括程式碼生成、修復與解釋任務，較多數開源程式碼大型語言模型的表現更好。</p> <p>Granite程式碼模型具有多個變體，而IBM提到，針對大部分企業使用案例，80億參數的Granite程式碼模型，是權重、執行成本和功能最合適的組合。同時Granite程式碼模型也有高達340億參數的變體，而IBM使用一種稱為深度放大（Depth Upscaling）的方式，來訓練這些較大型的模型。</p> <p>深度放大是一種增加模型層數的方法，以340億參數的Granite程式碼模型來說，研究人員創建了兩個200億參數的模型變體，每個變體有52層，藉由將第一個變體的最後8層，以及第二個變體的前8層去掉，再將這兩個模型合併，形成一個88層、具340億參數的新模型。研究人員提到，該方法將使模型層數更深，以提高其效能。</p> <p>官方同時也發表了Granite程式碼指令跟隨模型，該模型經過Git提交和人工綜合指令，還有開源合成程式碼指令資料集微調。</p> <p>研究人員針對當前各種Apache 2.0授權的開源模型，以HumanEvalPack、HumanEvalPlus和RepoBench基準測試進行比較。Granite程式碼系列模型在Python、JavaScript、Java、Go、C++和Rust程式語言的程式碼合成，修復、解釋、編輯和翻譯都表現良好。</p> <p>雖有部分模型在生成和修復程式碼等任務超越Granite程式碼模型，但整體來說，Granite程式碼模型能力表現平均，在多項測試中都獲得第一的位置。開發者現在已經可以在Hugging Face、GitHub、watsonx.ai和RHEL AI平臺使用到Granite程式碼系列模型。</p> </div></div></div>
2024/5/23 17:19作者李建興https://www.ithome.com.tw/news/163056
針對駭客近期在網路上公開的資料，半導體設備廠京鼎表示為今年1月資安事故外流的檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月鴻海旗下的半導體設備廠京鼎傳出遭到入侵，<a href="https://www.ithome.com.tw/news/160856">駭客竄改該公司網站，宣稱竊得5 TB內部資料</a>，但究竟是只有網站受到影響，還是公司的IT環境遭到勒索軟體攻擊？最近又有新的消息傳出。</p> <p>5月21日晚間19時14分京鼎發布重大訊息，<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=191412&SPOKE_DATE=20240521&COMPANY_ID=3413">表示他們發現駭客在網路上公開竊得資料</a>，而這些資料的來源，根據他們的調查，就是上述的資安事故流出，他們曾在1月16日發布重大訊息說明此事。</p> <p>而針對這起事故的處理情形，該公司指出已在今年1月通報政府部門，亦通知客戶。他們也全面檢視資安防禦機制並啟動相關檢測，強調遵守個資保護法規、遵循相關法律規定。而對於這起事故帶來的影響，他們評估對營運尚無重大影響。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/oHN8W2YPI1.png" style="width: 550px;" /></p> <p>根據上述的公告內容，雖然京鼎仍然沒有說明遭遇的攻擊類型，但也證實駭客確實得手該公司內部資料的情況。只是這些資料內容為何，以及曝光後影響的層面，有待進一步說明。</p> </div></div></div>
2024/5/23 11:36作者周峻佑https://www.ithome.com.tw/news/163049
荷蘭網路威脅態勢與防護經驗大公開，荷蘭資安三角洲專家強調資安韌性需擴及各產業供應鏈
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【臺灣資安大會直擊】全球各國都在重視資安的推動，歐洲的發展也是全球關注的焦點，2024臺灣資安大會也持續推動國際交流，邀請荷蘭資安三角洲Security Delta（HSD）的專家親自到場發表主題演說，闡述荷蘭所面對的威脅態勢，以及採取的網路安全策略與行動。</p> <p>關於荷蘭，以地理位置而言，大家可能知道荷蘭的阿姆斯特丹是歐洲最繁忙的機場，並有著歐洲第一大港鹿特丹，若是在高科技產業的層面上，大家可能想到臺灣有台積電，荷蘭有艾司摩爾（ASML），但在資安威脅態勢上，荷蘭是否面對與我們相類似的問題，大家或許不曾想過。</p> <p>在本次大會主題演說上，荷蘭資安三角洲（HSD）基金會總監Joris den Bruinen特別以荷蘭為例，說明隨著資安威脅持續轉變，改變遊戲規則的Game changers正衝擊著我們，不同規模大小企業、政府與民眾都要有所體認。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2B）荷蘭HSD威脅態勢網路策略大公開_Joris den Bruinen.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962B%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></a></p> <p>對於荷蘭而言，近年遭遇哪些重大網路威脅？Joris舉出5起影響甚鉅的資安事件。</p> <p>首先，在2017年鹿特丹港口曾發生三分之一停止運作的情形，原因是俄羅斯駭客針對烏克蘭發動大規模網路攻擊，連帶航運巨擘馬士基旗下碼頭營運商APM Terminals也受NotPetya攻擊影響所導致。這起事件衝擊了我們的實體世界，造成龐大的損失。</p> <p>荷蘭高科技業ASML也經常受到攻擊，有一段時間更是同時遭遇網路攻擊與內部員工竊密的威脅。這類攻擊導致了智慧財產權被竊取的問題。</p> <p>不只是大型跨國公司有資安危機，荷蘭當地知名的製造業VDL集團，3年前也遭遇勒索軟體攻擊，特別的是，這是一個家族企業，也成為網路攻擊的目標。</p> <p>荷蘭物流公司Bakker Logistiek也曾遭遇勒索軟體攻擊，但這起資安事件還嚴重影響民眾，因為，當時超市販售的乳酪竟因此事件而缺貨。</p> <p>Log4j漏洞的資安危機也是一例，全球都受影響。這個開源元件存在於許多軟體之中，就像食品中的糖一樣，到處都有，我們甚至不知道它在哪裡，這對許多企業組織來說，就是一場嚴重的網路危機。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%965%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></p> <h2><strong>網路威脅日益複雜，荷蘭政府重視公私協力，也要幫助中小企業</strong></h2> <p>上述這些就是荷蘭所面對的威脅現況，若是更進一步來看，關於整體歐洲的資安威脅態勢，Joris den Bruinen引用歐盟網路安全局（ENISA）公布的2020年的15大網路威脅，說明現在態勢已是更複雜的威脅組合。</p> <p>例如，惡意程式、勒索軟體等這些威脅，經常從網路釣魚開始，這樣的威脅結合已成為荷蘭的首要威脅，還有假冒執行長的商業電子郵件詐騙，為荷蘭國家經濟帶來嚴重損失。</p> <p>未來我們還將面臨新的威脅，近年就有一些預料之外的重要變化，例如，因地緣政治國家相關攻擊的風險持續攀升，網路犯罪即服務商業模式讓勒索軟體攻擊事件大增，新技術也會帶來更多新興風險，像是IT/OT漏洞的持續成長，以及生成式AI被用於惡意軟體創造與網路釣魚手法改進。</p> <p>Joris den Bruinen表示，根據ENISA公布的「2030年10大新興網路安全威脅」，我們可以看出一些端倪。從軟體相依性的供應鏈攻擊、運用新興技術散播不實資訊，數位監控威權主義崛起，一直到技術短缺、AI濫用等，都是重要議題。</p> <p>因此，這些年來，不論荷蘭或是歐盟，都在持續設法積極應對資安風險。</p> <p>荷蘭本身如何應對這些威脅？Joris表示，他們在2012年制定了第一個戰略，建立國家級的荷蘭網路安全中心（NCSC），專注於荷蘭政府部門與關鍵基礎設施的保護，共涵蓋350多個組織。</p> <p>然而，只保護350個組織是不夠的，特別是考慮到資安威脅在不同層面的擴散，因此，2018年政府開始意識到要幫助中小企業，於是成立數位信任中心（Digital Trust Center，DTC）。而且，預計2026年，NCSC與DTC將進一步整合。</p> <p>從整體歐洲層面來看，還有ENISA歐盟網路安全局這樣的組織，推動成員國提升整體網路安全水準。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖7）荷蘭HSD威脅態勢網路策略大公開_Joris den Bruinen.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%967%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></a></p> <p>至於這些機構的重要行動上，聚焦在公共政策、公私合作夥伴關係，宣導活動，以及責任悖論。</p> <p>他強調，建立公私合作夥伴關係是一大重點，如資安資訊分享與分析中心（ISAC），讓大家更好提前應對嚴重威脅，一旦事件發生，NCSC也會告知公眾並幫助受害企業。而在資安意識提升活動舉辦上，每年會有不同重點，像是針對老人、年輕人、中小企業等不同族群，還有歐洲網路安全月、網路安全周等活動等宣傳活動。</p> <p>關於責任悖論，他指出，若個人和組織都認為網路安全是另一個人的責任，又如果是每個人都負責，最後可能沒有人會負責，因此政府的因應就是需要透過立法來界定與規範。</p> <p>近年就有幾個重要的法案，例如：在網路安全策略上，2022年底發布的歐洲第二版資安指令NIS 2，將在今年10月18日成為強制性指令，使保護的對象從關鍵CI擴大至重要中大型產業；針對金融資安領域，2022年底還有通過數位營運韌性法案（DORA），預計將在2025年1月17日前生效；針對產品安全領域，還有已在最後通過發布階段的網路韌性法（Cyber Resilience Act，CRA）。</p> <h2><strong>荷蘭HSD建構產官學研聚落，以加速發展網路安全解決方案為目標</strong></h2> <p>另一方面，Joris談到了自身組織荷蘭HSD，強調公私合作夥伴關係、生態系統的建立，也是整體資安推動的重要一環。</p> <p>事實上，關於荷蘭HSD，可能有些人更有印象是海牙資安三角洲（The Hague Security Delta，HSD），在Joris的介紹下，我們才發現，這個2013年7月成立的非營利組織HSD基金會，現已更名為Security Delta（HSD），H代表荷蘭，原本Hague（海牙）一字已經去除。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%963%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></p> <p>Joris表示，HSD是荷蘭重要的資安產業聚落，有超過300個官方與民間組織加入其中，是一個集結產官學研的公私協力平臺，也是一個創新基地，專注於城市、國家與關鍵基礎設施保護等重要議題。</p> <p>特別的是，在HSD的成員中，不只是有荷蘭政府單位，還有大型企業、中小企業、國際組織、研究單位、教育界的夥伴，國際合作同樣重要，因此成員中不僅包含大型國際資安業者，並且也有來自臺灣的夥伴。</p> <p>例如，為了打入歐洲市場，在荷蘭設有辦公室的幾家臺灣業者，包括：身份認證業者來毅數位科技（Lydec&Keypasco），網路安全硬體設備製造商立端科技（Lanner），還有工業技術研究院（ITRI）亦在當地設有辦事處。事實上，近幾年來臺灣與荷蘭相互之間，已有多次的國際資安交流活動。</p> <p>Joris強調，資安領域的公私協力、國際交流都很重要，HSD持續聚焦於緊密的產學合作，以促成活躍的資安生態系，而他們的重要任務，就是加速HSD成員間的合作，並在知識、創新、市場、資金、人才層面為其創造價值。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%966%EF%BC%89%E8%8D%B7%E8%98%ADHSD%E5%A8%81%E8%84%85%E6%85%8B%E5%8B%A2%E7%B6%B2%E8%B7%AF%E7%AD%96%E7%95%A5%E5%A4%A7%E5%85%AC%E9%96%8B_Joris%20den%20Bruinen.jpg" style="width: 600px;" /></p> <p>關於HDS在創新上的發展經過，Joris提到HSD近年特別重視3大主題，包括：網路安全與韌性、資料與AI，以及智慧安全社會，因此，HSD本身也建立了一套資安創新方法，透過4步驟來創造更多合作契機。</p> <p>例如，從一開始的探索階段，研究思考問題是什麼？是否已有解決方案？是否需要創新或新知識？</p> <p>接著是成立聯盟階段，以找出相互可以合作夥伴與方式，再到營運聯盟階段，共同開發和測試創新解決方案，以及最後的收穫階段，展示全新解決方案，並盡可能在國內和國際上推廣。</p> <p>整體而言，有了公私夥伴關係這樣的平臺，如何促進合作、加速合作就是重點，尤其是供應鏈的合作。</p> <p>為了讓大家更好理解，Joris以荷蘭重要的農業發展為例。他表示，隨著多年來的轉變，傳統用馬耕地到現在成為非常創新領域，而背後是一個完整的供應鏈，從種子、肥料與溫室場域，到種植者、市場、物流到最終消費的零售業。這當中不僅有IT技術，還有溫室氣候控制等各式設備，並有營運、流程、策略等層面。</p> <p>因此，荷蘭在建立HSD創新中心時就汲取了相關教訓，我們需要共同合作，才能在整個領域做到有效推動，並要聚焦在協助建立資安意識，並確保所有相關企業知道如何增強數位安全。</p> <p>甚至，他們也將相關經驗套用到荷蘭製造業，這項策略是從荷蘭南方開始試行，再擴展至全國境內。</p> <p>Joris強調，我們必須確保的不只是個別企業，而是要讓整個供應鏈，都能在網路韌性上達到更高的水準。</p> </div></div></div>
2024/5/23 14:36作者羅正漢https://www.ithome.com.tw/news/163031
外傳開發Ai Pin的Humane有意求售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>《彭博社》（Bloomberg）本周引述消息來源<a href="https://www.bloomberg.com/news/articles/2024-05-22/wearable-ai-startup-humane-is-said-to-explore-potential-sale" target="_blank">報導</a>，甫於今年4月於美國推出首款AI裝置Ai Pin的Humane已經在尋找買家，開價7.5億至10億美元。</p> <p>Humane是由曾參與過Mac、iPhone、iPad、iPod、Apple TV及Apple Watch等蘋果產品介面設計的Imran Chaudhri，以及同樣任職於蘋果，擔任軟體工程師的妻子Bethany Bongiorno在2018年共同創立，所打造的第一款產品Ai Pin並無螢幕設計，標榜只要透過語音就能與之互動，並可把所需資訊投影至掌心，裝置售價為699美元，每月必須額外支付24美元來取得電話、通訊、雲端儲存及AI服務。</p> <p>然而，Ai Pin上市後的風評並不佳。除了裝置太重不方便別到襯衫或是會過熱等小問題之外，Ai Pin的電池續航力不佳，反應太慢，招致各界的<a href="https://www.ithome.com.tw/news/162250" target="_blank">批評</a>。</p> <p>即使Humane去年增資時的估值高達8.5億美元，但當時Ai Pin還未上市，目前並不確定有誰會想要接手Humane。</p> <p> </p> </div></div></div>
2024/5/23 14:52作者陳曉莉https://www.ithome.com.tw/news/163054
南海軍事單位與政府機關遭中國駭客組織Unfading Sea Haze鎖定，暗中從事情報收集超過5年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Bitdefender<a href="https://www.bitdefender.com/blog/businessinsights/deep-dive-into-unfading-sea-haze-a-new-threat-actor-in-the-south-china-sea/">揭露專門鎖定南海國家政府高層的中國駭客組織Unfading Sea Haze</a>，他們確認至少有8個軍事單位與政府機關受害，相關攻擊行動最早可追溯到2018年，換言之，這些駭客暗中活動已超過5年。</p> <p>研究人員指出，根據他們找到駭客不同時期使用的作案工具，對方運用了木馬程式Gh0st RAT的變種，以及多種.NET惡意酬載，攻擊過程會藉由名為SharpJSHandler的工具執行JavaScript程式碼，這些手法不僅讓他們認為Unfading Sea Haze與中國有關，上述執行JavaScript程式碼的工具，也出現在與APT41有關的後門程式funnyswitch。不過，研究人員指出，除此之外兩組駭客的作案工具並未出現其他共通點，因此他們認為，這是中國駭客組織之間共用程式碼所致。</p> <p>究竟這些駭客如何入侵受害組織？研究人員表示事隔6年導致證據缺乏，並不清楚如何做到。但他們確認對方在長時間的攻擊行動裡，會多次重新取得受害系統的存取權限，其中一種做法是透過釣魚郵件進行。</p> <p>這些釣魚信內含惡意檔案，其中包含偽裝成文件的Windows捷徑（LNK）檔案，他們發現駭客從去年3月至5月，多次以此手法嘗試發動攻擊，並藉由提供防毒軟體Microsoft Defender安裝程式及指引，或是當時美國政治議題做為誘餌。</p> <p>值得留意的是，攻擊者會在LNK的命令當中，加入冗長的註解，這麼做的目的很有可能是為了迴避偵測。</p> <p>但特別的是，駭客的程式碼執行過程當中，會特別檢查目標電腦是否有ESET防毒軟體的核心服務處理程序ekrn.exe，並在沒有該處理程序的情況下才會繼續執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-May-20-2024-04-42-49-1999-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-May-20-2024-04-42-49-1999-PM.png" style="width: 580px;" /></a></p> <p>接著他們執行PowerShell命令，濫用微軟的開發工具Microsoft Build Engine（MSBuild），從遠端SMB伺服器上搜尋專案檔案，藉此在記憶體執行駭客的惡意程式碼，而不會在受害電腦留下做案痕跡。這些惡意程式碼是名為SerialPktdoor的後門程式，功能是能讓對方遠端操控電腦。</p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-May-20-2024-04-43-30-4481-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-May-20-2024-04-43-30-4481-PM.png" style="width: 580px;" /></a></p> <p>此外，攻擊者濫用Windows電腦預設停用的本機管理員帳號Administrator，竄改其密碼並啟用，但為了不讓使用者察覺，他們又更動機碼，讓這個帳號在登入畫面隱藏。</p> <p>一旦成功入侵，這些駭客就會藉由鍵盤側錄程式xkeylog截取使用者輸入的內容，並透過竊資軟體、PowerShell指令碼挖掘瀏覽器存放的用戶資料。</p> <p>從去年開始，對方不只濫用MSBuild載入前述後門程式，還會部署Gh0st RAT變種，研究人員看到SilentGh0st、InsidiousGh0st、TranslucentGh0st、EtherealGh0st、FluffyGh0st等多款變種程式。</p> <p>最終駭客透過curl工具，並利用FTP協定外傳竊得的資料，過程中濫用動態產生的帳密隱匿流量。</p> </div></div></div>
2024/5/23 15:13作者周峻佑https://www.ithome.com.tw/news/163055
微軟正式推出雲端原生開發框架.NET Aspire，部署、災難恢復、監控功能一應俱全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>能夠簡化.NET雲端開發的開發框架<a href="https://devblogs.microsoft.com/dotnet/dotnet-aspire-general-availability/">.NET Aspire</a>正式發布。該框架包含工具、範本和NuGet套件，使得創建分散式應用程式變得更容易。目前開發者已可在Visual Studio 2022 17.10、.NET CLI和VS Code中使用.NET Aspire。</p> <p>建立雲端原生應用程式仍是一項複雜的任務，程式開發和部署過程繁瑣，開發者需要耗費大量時間處理雲端架構的細節，特別是當應用程式存在高流量和大規模存取需求時，技術和架構設計的要求更高。此外，開發分散式應用程式還需要關注服務健康度檢查、負載平衡和訊息傳遞等問題。</p> <p>.NET Aspire提供了完整的解決方案來協助開發者克服這些問題。其提供工具、範本和NuGet，簡化開發工作，簡化雲端原生應用程式的開發工作，使開發者更能專注在業務邏輯上。另外，.NET Aspire與微軟按需服務整合，滿足雲端應用程式的擴展需求。</p> <p>同時，.NET Aspire支援Health Checks、YARP、HttpClientFactory和gRPC等技術與函式庫，並運用微軟新發展的Native AOT（Ahead-of-Time Compilation）技術，平衡應用程式大小與效能。開發者也可以透過使用SDK Container Builds，將任意.NET應用程式轉為容器快速部署到雲端。</p> <p>特別的是，.NET Aspire提供App Host工具，來簡化分散式應用程式的本地開發，該工具讓開發者使用C#描述，配置應用程式及所需要的服務，而一旦App Host啟動之後，便會開始自動啟用所需的資源，諸如資料庫和快取伺服器，並注入必要的配置，使應用程式各部分都能夠順利運作和通訊。</p> <p>App Host使應用程式的雲端部署更簡單，藉由應用程式模型詳細資訊，.NET Aspire可以簡單部署程式到雲端或是Kubernetes。開發者不需要改變目前的部署方式，但使用App Host能夠有更好的部署體驗，像是透過Azure Developer CLI可以直接部署.NET Aspire App Host中的資源到Azure Container Apps，Visual Studio也可以支援直接從Solution Explorer發布到Azure，而對Kubernetes來說，開發者也可以使用易用的命令列工具Aspir8進行部署。</p> <p>.NET Aspire網頁儀表板Aspire Dashboard，則會顯示開發中應用程式的詳細資訊，包括資源、端點、環境變數和日誌，該儀表板也會呈現OpenTelemetry的結構化日誌、分散式追蹤和指標資訊，這些資料儲存在記憶體中，提供接近即時的狀態檢視圖。Aspire Dashboard為獨立工具，是一個可以供開發者簡單觀察資料的方法。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0523-Aspire%20Dashboard.png" onclick="window.open(this.href, '', 'resizable=no,status=no,location=no,toolbar=no,menubar=no,fullscreen=no,scrollbars=no,dependent=no'); return false;"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-Aspire%20Dashboard-B.png" style="width: 600px;" /></a></p> <p>.NET Aspire提供元件擴充功能，例如資料庫連接、訊息傳遞、快取、雲端服務連接以及可觀察性功能等。.NET Aspire元件是NuGet套件，能夠自動加入客戶端函式庫所需要的額外相依項目，並且與應用程式的相依注入和配置系統整合。這些元件預設啟用重要的可靠性和可觀察性功能，開發者不需要更改程式碼即可完成配置。</p> </div></div></div>
2024/5/23 15:17作者李建興https://www.ithome.com.tw/news/163052
便利臺灣政府機關採購雲端服務，工程會公布「資訊雲端服務採購契約範本」供參
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>當金管會開放金融業者上雲後，政府也已經正視這股趨勢，體認到雲端服務已經是政府資訊服務採購的某一種主流。為了便利招標的政府機關單位，以及預計投標的資訊服務業者，行政院公共工程委員會（簡稱工程會）協同數位發展部，在彙整產業意見後，於日前（5月17日）正式公布「資訊雲端服務採購契約範本」（業界簡稱雲端採購範本）。</p> <p>時任行政院公共工程委員會副主委葉哲良表示，因應資訊雲端化及循環經濟的趨勢，政府以取得雲端服務代替傳統購買的模式，將成為資訊採購的主流，但不論是採購人員的心態、與會計制度、採購契約的內容，都必須有新思維、新轉變；因此，工程會協同數位部透過凝聚各方的專業及共識，建立雲端服務專用的契約範本，引導機關邁向雲端。</p> <p>「雲端採購範本」是依照政府採購法第63條第1項規定，要求政府各類採購契約以採用公共工程委員會訂定的範本為原則，且該採購範本內容，是工程會與相關公協會、廠商討論後一起訂定的，適用範圍為提供既有軟體系統轉換至雲端服務、雲端服務（SaaS）及雲端平臺（PaaS/IaaS）公有雲與私有雲的線上服務。</p> <p>另外，葉哲良也說，在資安部分，也將統計各部會年度資安經費佔IT的占比，並與全球相關領域數據做比對，以作為政府施政時的參考，達到資安與國安同時兼顧的目標。</p> <p>不過，此次雲端採購範本正式版本公告後，我們可以發現有些意外的變化。原本工程會和產業界討論時，有設立一條希望可以透過「保險」來轉嫁機關和資服業者風險的條文，但最後在正式版本中該保險條文則被刪除，不論是保護自己的專業責任險、防範駭客入侵的第三責任險，或者是以數據保護為核心的資安險等，都從正式版本中被拿掉。</p> <h2><strong>雲端採購範本屬於服務採購，不適用於設備類的租賃轉移合約</strong></h2> <p>葉哲良指出，這個「資訊雲端服務採購契約範本」是由甲方的機關擬好所需要的內容，再提供給乙方的資服業者看內容是否合適，這主要提供給機關編列採購雲端服務時的契約範本參考，包括各種SaaS、PaaS或IaaS等公雲或私雲的雲端服務的採購，並不適用於租賃到期後將財產轉移給機關的作法，這種租賃轉移大多為資本門為主的設備採購案。</p> <p>他進一步解釋，這份「資訊雲端服務採購契約範本」是參考原本的資訊手冊修改而來，過去太過重視硬體採購，現在應該改成服務採購的概念，若是機關在採購雲端服務之餘仍需要額外的硬體設備，就應該另外採購硬體設備，不應該將硬體和服務採購混在一起。</p> <p>葉哲良指出，以目前政府採購的預算編列方式，硬體採購多以資本門的編列為主，但資訊或資安服務採購則多以經常門科目進行編列，預算法對於資本門有專屬的定義，立法院進行預算審查時，有時候會採取統一刪除經常門多少百分比的方式，造成政府資訊或資安服務採購預算編列不足。但他認為，在現在資訊和資安服務比重逐漸增加時，機關應該妥善編列預算，取得所需的資訊或資安服務，也是一大考驗。</p> <h2><strong>明列禁用陸籍人士和產品，禁在中港澳跨境資料傳輸</strong></h2> <p>這個雲端採購範本總計有21條條文，在這次訂定雲端採購範本中，有幾項重要條文值得關注。葉哲良指出，第8條「履約管理」的條文中，第8-3-1條中，明確規定「廠商執行本案之團隊成員（含分包廠商）不得為陸籍人士（係指接觸本採購案資料之人員）」。</p> <p>但這中間可能會遇到一些雲端服務業者在境外提供相關雲端服務，此時該如何限制陸籍人士不得參與該專案呢？葉哲良回答：「境內採用國籍管理，境外則採用資料流管理的方式，確保資料流經的節點，都不會有陸籍人士。」</p> <p>第19條「保密及安全需求」條文中，在第19-5條中也明確規範，提供服務的業者，不可以使用大陸廠牌的資通訊軟體、硬體或雲端服務等；第19-6條更清楚規定，雲端資料儲存地點不得位於大陸（含香港及澳門）境內，並不得在中港澳地區做跨境資料傳輸。</p> <h2><strong>明訂業者需提供6個月以上日誌檔，契約結束後保留日誌檔6個月</strong></h2> <p>雖然《資通安全管理法》主要是規範公務機關以及特定非公務機關，但根據雲端採購範本中的第15條「權利及責任」條文中，第15-14條「資通安全責任」的規定，在第15-14-1條便明確要求投標的廠商，必須遵守《資通安全管理法》以及相關子法與行政院頒訂各項資通安全規範及標準，也必須遵守機關資通安全管理及保密的相關規定。若以供應鏈的概念來看，提供公務機關資訊、資安和雲端服務的業者，一旦順利得標，都會受到《資通安全管理法》的規範。</p> <p>其中，提供和保留雲端服務系統的各種日誌檔（Log），也是此次雲端採購範本中，有詳細規範的項目。例如，第15-14-2條明定：廠商要提供雲端服務與履約標的的相關日誌，包括：應用程式日誌（AP Log）、登入日誌（Logon Log）、網站日誌（Web Log，若無法提供，廠商提出證明，經機關同意後得免提供）、作業系統日誌（OS Event Log）和其他保存期限至少6個月的相關日誌。</p> <p>第15-15條明定：廠商於終止或解除雲端服務採購契約或履約完成後，應該要提供前6個月雲端服務與履約標的相關的日誌記錄，否則機關得依比率，不發還保證金。</p> <p>第17條「契約終止、解除及暫停執行」條文中，其中第17-11-6條明確規範「廠商提供之雲端服務與履約標的相關之日誌，應於契約終止或解除或期滿後保存6個月。」</p> <p>根據這份雲端採購範本的規定，清楚訂定業者必須要提供機關6個月以上的各種日誌檔案（Log），契約結束後也必須保留日誌6個月。葉哲良表示，未來保留各種日誌檔至少6個月以上，契約結束後也必須保留日誌檔6個月的規範，將會成為臺灣各行各業的低標。</p> <h2><strong>不可歸責廠商事由造成的違約金計算，以契約價金總額20％為上限</strong></h2> <p>在政府各種採購契約中，以往對於違約金的估算，都由機關依照往例或參考其他機關標準制定，此次在雲端採購範本中，也在第14條「違約金」的條文中明定違約金的上限。例如，根據第14-3條規定，如果是不可抗力或不可歸責於廠商的事由導致違約時，屬於行政違約，違約金的計算以契約價金總額的20％為上限。</p> <p>但如果是因為廠商的內部過失，導致可歸責於廠商事由，致使無法提供保存期限內的存取記錄和日誌檔時，就可依照第14-4條規定，依照契約價金總額的2％計算違約金，若計算出的違約金不滿一萬元者，仍以一萬元計算；如果未能限期改善者，則可以按次處罰，且不受20％違約金上限的規範。</p> <p>廠商如果違反資安相關法令，或者是知道機關或廠商發生資安事件時，依照雲端採購範本第15-14-3條規定，廠商必須在知道發生資安事件的1小時內通報機關，並提出緊急應變處置且配合機關做後續處理。</p> <p>如果廠商無法配合上述規定的話，依照第14-5條違約金的規定，可以以契約價金總額的10％作為違約金，不受契約價金總額20％的違約金上限規定。</p> <p>葉哲良表示，雲端採購範本也將資安事件的通報正式明文化，避免以往曾經發生過，機關發生資安事件後，廠商或機關就刪除Log來隱瞞資安事件的發生。</p> <p>資安是未來政府所有資服採購或是雲端服務採購時的重要項目，根據第2條「履約標的」條文中第2-4條規定，在雲端採購範本涉及的資通系統，都必須在招標時，就確定其資安防護需求等級是普級、中級還是高級，如果招標時沒有清楚載明防護等級，都以普級視之。</p> <p>而且，機關對於資安防護等級需求的應該搭配何種資安作為，則必須參考「各類資訊（服務）採購之共通性資通安全基本要求參考一覽表」中，針對：雲端服務（SaaS）套裝型、雲端微服務（SaaS）辦公室生產力工具、既有雲端微服務（SaaS）客製化需求更版、雲端平臺（PaaS或IaaS）、應用軟體或系統維運服務的類型，依據所需要的資安防護等級，執行並落實所需要的防護項目內容。</p> <table border="1" cellpadding="1" cellspacing="1" style="width:500px;"> <caption> <h3>「資訊雲端服務採購契約範本」條文</h3> </caption> <tbody> <tr> <td> <h3>第1條契約文件及效力</h3> </td> </tr> <tr> <td> <h3>第2條履約標的</h3> </td> </tr> <tr> <td> <h3>第3條契約價金之給付</h3> </td> </tr> <tr> <td> <h3>第4條契約價金之調整</h3> </td> </tr> <tr> <td> <h3>第5條契約價金之給付條件</h3> </td> </tr> <tr> <td> <h3>第6條稅捐</h3> </td> </tr> <tr> <td> <h3>第7條履約期限</h3> </td> </tr> <tr> <td> <h3>第8條履約管理</h3> </td> </tr> <tr> <td> <h3>第9條履約標的品管</h3> </td> </tr> <tr> <td> <h3>第10條保證金（由機關擇定後於招標時載明，無者免填）</h3> </td> </tr> <tr> <td> <h3>第11條驗收</h3> </td> </tr> <tr> <td> <h3>第12條遲延履約</h3> </td> </tr> <tr> <td> <h3>第13條保固（無者免填）</h3> </td> </tr> <tr> <td> <h3>第14條違約金</h3> </td> </tr> <tr> <td> <h3>第15條權利及責任</h3> </td> </tr> <tr> <td> <h3>第16條契約變更及轉讓</h3> </td> </tr> <tr> <td> <h3>第17條契約終止、解除及暫停執行</h3> </td> </tr> <tr> <td> <h3>第18條爭議處理</h3> </td> </tr> <tr> <td> <h3>第19條保密及安全需求</h3> </td> </tr> <tr> <td> <h3>第20條其他</h3> </td> </tr> <tr> <td> <h3>第21條服務績效</h3> </td> </tr> </tbody> </table> <h3> 資料來源：行政院公共工程委員會，2024年5月</h3> <h3> </h3> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <p> </p> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/5/23 12:04作者黃彥棻https://www.ithome.com.tw/news/163050
OpenAI獲得紐約郵報、華爾街日報等新聞內容使用授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨（22）日<a href="https://openai.com/index/news-corp-and-openai-sign-landmark-multi-year-global-partnership/" target="_blank">宣布</a>，已和媒體集團News Corp簽定多年期授權，取得使用紐約郵報（New York Post）、華爾街日報（Wall Street Journal）等刊物內容訓練AI模型的權利。</p> <p>華爾街日報則<a href="https://www.wsj.com/business/media/openai-news-corp-strike-deal-23f186ba" target="_blank">報導</a>，雙方簽定5年合作，News Corp取得現金及OpenAI服務點數支付約當2.5億美元的代價。</p> <p>透過這項合作，OpenAI取得在ChatGPT給用戶回應中，展示News Corp部分內容，以及「提升產品」，協助用戶根據可信賴資訊和消息來源做出決策，意即使用後者旗下媒體內容訓練AI模型。</p> <p>OpenAI將可使用News Corp主要新聞和資訊刊物的最新及歸檔內容，包括華爾街日報、Barron's、MarketWatch、Investor's Business Daily、紐約郵報、The Times、每日電訊號等刊物。News Corp也會分享新聞學專業，以協助提升OpenAI內容具備的新聞學水準。但這項合作不擴及News Corp其他業務的內容。</p> <p>本項合作是OpenAI拿下授權的最新主要媒體。從去年下半以來，這家AI業者已經陸續取得德國出版商<a href="https://www.ithome.com.tw/news/161783" target="_blank">Axel Springer</a>、西班牙的Prisa Media、法國的<a href="https://www.ithome.com.tw/news/162587" target="_blank">Le Monde</a>及英國<a href="https://www.ithome.com.tw/news/162587" target="_blank">金融時報</a>的內容授權。</p> </div></div></div>
2024/5/23 10:35作者林妍溱https://www.ithome.com.tw/news/163046
Nvidia財報出爐，季營收成長262%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-first-quarter-fiscal-2025" target="_blank">Nvidia周三（5/22）公布</a>截至今年4月28日的2025財年第一季財報，該季Nvidia創下260億美元的營收，比去年同期成長262%，再度刷新該公司的營收紀錄。貢獻度最高的是資料中心業務，光是該業務營收便達到226億美元，相較去年同期成長了427%，占Nvidia總營收的87%，每股盈餘為6.12美元。當天Nvidia的盤後股價上漲了6%，達1,007美元。</p> <p>除了資料中心之外，Nvidia的遊戲營收為26億美元，年增18%；專業視覺化營收為4.27億美元，年增45%；汽車與機器人領域的營收為3.29億美元，年增11%。</p> <p>Nvidia的營收隨著全球邁入AI時代而快速成長，Nvidia設計了基於GPU的資料中心平臺，以用來加速各種任務，從AI訓練、推論、科學運算到虛擬桌面基礎設施。簡單地比較Nvidia<a href="https://www.ithome.com.tw/news/157040" target="_blank">去年同期的營收</a>，當時Nvidia的總營收只有71.9億美元，資料中心占了42.8億美元，遊戲是22億美元，視覺化是2.96億美元，汽車為2.96億美元，突顯了資料中心所扮演的重要角色。</p> <p>Nvidia創辦人暨執行長黃仁勳表示，下一個工業革命正在展開，各個公司與國家都與Nvidia合作以將規模達數兆美元的傳統資料中心遷移到加速運算，以打造新型態的資料中心，亦即AI工廠，以生產新的AI產品。</p> <p>黃仁勳說，其資料中心的成長受惠於市場對Hopper平臺生成式AI及推理的強勁且加速的需求，除了雲端服務供應商之後，生成式AI也已拓展至消費者網路公司、大型企業、主權AI、汽車及健康照護領域，創造了多個價值數十億美元的垂直市場。</p> <p><a href="https://www.cnbc.com/2024/05/22/nvidia-nvda-earnings-report-q1-2025-.html" target="_blank">《CNBC》</a>引述Nvidia財務長Colette Kress的說法指出，目前大型雲端服務供應商約占資料中心的4成營收。</p> </div></div></div>
2024/5/23 10:48作者陳曉莉https://www.ithome.com.tw/news/163047
微軟Copilot+ PC記錄PC用戶一切活動，英國政府將啟動隱私調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周發表的<a href="https://www.ithome.com.tw/news/162989" target="_blank">Copilot+ PC</a>中的Recall功能引發隱私爭議，英國隱私主管機關宣布將啟動調查。</p> <p>Recall功能類似Windows 10上的Timeline，後者可讓用戶檢視並回復之前應用程式執行狀態。Recall則是在背景以快照紀錄使用者在電腦上的活動，包括應用程式使用、產生的內容文字、圖片、以及造訪的網站，幫助使用者搜尋PC上的檔案及上網活動。這項功能仰賴PC持續蒐集資料，且與用戶使用歷程高度相關，引發隱私疑慮，尤其是蒐集的活動快照一旦被駭客取得，更可能造成財務損失或身分盜竊等問題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-microsoft-Copilot%2B%20PCs_Recall(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>英國隱私主管單位資訊委員辦公室（Information Commissioner's Office，ICO）指出，期望廠商對用戶資料蒐集方法透明公開，且只能為明確用途處理個資。業界開發產品必須從一開始就考量資料保護，且嚴格評估與降低對用戶權益和自由的風險。為此，ICO將對微軟進行調查，以了解是否已有用戶隱私保護的措施。</p> <p>其實，為解決用戶隱私疑慮，微軟也允許用戶刪除紀錄快照、或設定紀錄範圍與時間、暫停Recall，而且個人化索引結果完全儲存在本機上，不會上傳雲端。但是<a href="https://www.theregister.com/2024/05/22/windows_recall/" target="_blank">《The Register》</a>點出Recall其他隱私問題，包括快照不會隱藏用戶密碼或帳號，且雖然用戶能過濾網站資訊，但僅限使用Edge瀏覽器。報導也引述資安專家指出，Recall功能不能根據GDPR規定，在資料控制者刪除來源資料後，刪除應用程式內曝露的個資，對任何處理個資的組織來說都是隱私風險。</p> <p>微軟尚未對此評論。</p> </div></div></div>
2024/5/23 09:04作者林妍溱https://www.ithome.com.tw/news/163045
提供兩倍容量HBM與4倍網路頻寬，AMD推出新款運算加速卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_alveo_v80_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應雲端服務大型資料中心、5G網路通訊、大數據與AI等多種運算密集工作負載的崛起，帶動處理器廠商投入加速運算產品與技術的發展，以AMD為例，目前有4大產品線，當中最受矚目的是<a href="https://www.ithome.com.tw/tags/amd-instinct">Instinct系列GPU</a>，另一個提供最多解決方案的路線，是源於他們併購賽靈思（Xilinx）而得到的自適應運算加速器（Adaptive Accelerators），當中包含<a href="https://www.ithome.com.tw/tags/alveo%E5%8A%A0%E9%80%9F%E5%8D%A1">Alveo系列資料中心加速卡</a>、<a href="https://www.ithome.com.tw/tags/%E9%9B%BB%E4%BF%A1%E5%B7%A5%E4%BD%9C%E8%B2%A0%E8%BC%89%E5%8A%A0%E9%80%9F%E5%8D%A1">T系列電信加速卡</a>，以及<a href="https://www.ithome.com.tw/tags/smartSSD">SmartSSD系列運算儲存裝置（CSD）</a>，我們過去也持續追蹤報導當中最新發表的產品，而其中的Alveo系列，款式選擇最豐富，依產品定位與用途，可細分為運算加速卡、網路加速卡、金融科技加速卡、多媒體加速卡、AI推論加速卡。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Alveo series-2024-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Alveo%20series-2024-05.jpg" style="width: 600px;" /></a></p> <p>在今年5月中舉行的歐洲年度ISC超級電腦大會期間，AMD推出新的運算加速卡Alveo V80，此產品可支援高效能運算、資料分析、網路安全等多種應用，透過專屬硬體設計，克服大型資料集處理過程經常面臨的效能瓶頸。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Alveo-general%20purpose.jpg" style="width: 600px;" /></p> <p>這款加速卡採用AMD發展的自適應系統單晶片Versal HBM系列，裡面囊括32 GB的HBM記憶體、10,848個DSP運算邏輯片、563.1萬個系統邏輯單元、257.4萬個查詢表、雙核心Arm Cortex-A72應用程式處理器、雙核心Arm Cortex-R5F即時處理器等元件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD ALVEO V80 ACCELERATOR CARD overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20ALVEO%20V80%20ACCELERATOR%20CARD%20overview.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AVED DESIGN IMPLEMENTED ON VERSAL HBM DEVICE.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AVED%20DESIGN%20IMPLEMENTED%20ON%20VERSAL%20HBM%20DEVICE.png" style="width: 398px;" /></a></p> <p>相較於前一代產品Alveo U55C，最新登場的Alveo V80在HBM記憶體容量、HBM記憶體頻寬、邏輯密度／查詢表數量（logic density／LUTs）的規格，均提升1倍——32 GB HBM2e vs. 16 GB HBM2，820 GB/s vs. 460 GB/s，257.4萬個LUT vs. 130.4萬個LUT，而在網路頻寬的部分，增加至4倍——4個200 Gb/s vs. 2個100 Gb/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Alveo V80 Spec features.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Alveo%20V80%20Spec%20features.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Alveo-general purpose2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Alveo-general%20purpose2.jpg" style="width: 600px;" /></a></p> <p>基於上述配置，AMD Alveo V80能支撐超大規模的硬體平行運算處理，能用於多元、訂製的工作負載與資料型別的即時處理加速，因此可涵蓋基因定序、分子動力學、感測器處理等高效能運算的應用方式。</p> <p>而在次世代的防火牆與網路安全防護系統等使用場景，也能發揮這款加速運算卡的特色，因為它內建3個400Gb/s傳輸效能等級的密碼學高速處理引擎，以及3個600Gb/s傳輸效能等級的乙太網路媒體存取控制位址區塊（Ethernet MAC），而由於Alveo V80本身也搭配FPGA硬體運算技術，所以企業與組織也能將這款產品用於線速等級（line-rate）的封包檢測處理，以及基於AI技術而成的異常偵測機制。</p> <p>關於區塊鏈、策略回溯測試、期權定價，以及金融建模與模擬等金融科技的應用，AMD認為Alveo V80也相當適用於運算型儲存與資料分析，因為這款產品本身整合壓縮與查詢加速機制，可在縮短洞察分析時間的狀態中，同時提升有效儲存空間（effective storage capacity）。</p> <p>目前有哪些伺服器廠商率先在他們的產品搭配這款加速運算卡？AMD預告，Supermicro將在AMD EPYC處理器平臺的伺服器機型A+系列，整合Alveo V80，其中一款會是4U尺寸GPU伺服器AS -4125GS-TNRT，這臺設備可安裝8張雙寬全長尺寸的加速運算卡。</p> <p>而在先期導入用戶的部分，AMD提到的例子是<a href="https://www.amd.com/en/resources/case-studies/csiro.html">澳洲的聯邦科學和工業研究組織（CSIRO）</a>，我們2021年底在產品快報介紹<a href="https://www.ithome.com.tw/review/147967">Alveo U55C</a>時，也曾提到這個案例，現在他們正在打算換裝今年最新推出的Alveo V80。</p> <p>AMD表示，CSIRO針對天文學研究所設置的無線電天線陣列，採用420張Alveo U55C加速卡，目的是協助處理無線電波訊號，以便研究早期的宇宙與探索銀河系的演化，而隨著Alveo V80上市，CSIRO打算改用這款加速卡，屆時只需安裝140張，精簡幅度可達66％，藉此減少伺服器部署空間與耗電量、成本，同時也足以因應CSIRO太空望遠鏡的<a href="https://www.csiro.au/en/news/All/News/2024/March/Worlds-largest-radio-telescope-takes-big-step-forward-in-WA-outback">13.1萬座天線</a>的訊號處理任務。根據他們的估算，由於加速卡的數量減少，連帶導致伺服器數量、機櫃空間、耗電量的減少，每張加速卡總持有成本的降低幅度可望達到20％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSIRO%20Alveo%20U55C%20to%20V80.jpg" style="width: 600px;" /></p> <p> </p> <div class="media_embed" height="360px" width="640px"> <iframe allow="autoplay; fullscreen" allowfullscreen="" frameborder="0" height="360px" src="//player.vimeo.com/video/247728975" width="640px"></iframe></div> <p> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>AMD Alveo V80</strong><br /> ●原廠：AMD<br /> ●建議售價：9,495美元<br /> ●I/O介面：PCIe 5.0 x16或2個PCIe 5.0 x8<br /> ●外形：全高3/4長、雙槽PCIe介面卡<br /> ●晶片製程：7奈米<br /> ●技術平臺：Versal HBM XCV80（Arm Cortex-A72應用程式處理器、Arm Cortex-R5F即時處理器、HBM2e記憶體、3個400G High-Speed Crypto Engines、6個100G Multirate Ethernet MAC、3個600G Ethernet MAC、1個600G Interlaken）<br /> ●搭配記憶體：32 GB HBM2e DRAM、32 GB DDR4-3200、4GB SRAM<br /> ●HBM記憶體頻寬：820 GB/s<br /> ●網路介面： 4個200GbE埠（QSFP56接頭），每埠可分接2個100GbE網路埠或4個10/25/40/50GbE網路埠<br /> ●耗電量：190瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/5/22 10:37作者李宗翰https://www.ithome.com.tw/review/163009
【資安日報】5月22日，針對研究人員指控修補NAS作業系統漏洞速度太慢，威聯通發布聲明說明處理進度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想要快速處理漏洞的修補，單靠研究人員及早通報是不夠的，IT設備廠商必須設法加快漏洞的確認與修補，最近資安業者揭露NAS廠商威聯通產品漏洞，再度突顯此問題的影響。上週五（5月17日）資安業者watchTowr表示，他們已向威聯通通報15個NAS漏洞，但僅有4個完成修補，大部分從通報至今已超過4個月卻尚未處理。</p> <p>事隔4日，威聯通發布新聞稿公布處理情形，罕見的是，他們也對於修補速度過慢的情況做出承諾，表明日後針對重大及高風險層級漏洞，將於45日內完成處理，並發布修補程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163027"><strong style="font-size: 22px;">駭客組織BlackTech鎖定科技、研究、政府部門而來，利用新的工具Deuterbear發動攻擊，並以罕見的部署手法迴避偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Deuterbear-fig-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Deuterbear-fig-3.png" style="width: 300px; float: right;" /></a></p> <p>一個月前，資安業者趨勢科技對於惡意程式Deuterbear的攻擊行動升溫提出警告，指出名為Manga Taurus、Huapi、Earth Hundun的中國駭客組織BlackTech採用這項工具從事攻擊行動，如今他們公布更多發現。</p> <p>研究人員指出，BlackTech向來的攻擊目標集中在亞太地區，主要針對政府機關、研究機構、科技產業而來，但近期採用的攻擊策略與過往有明顯的不同。他們表示，Deuterbear與駭客先前使用的另一支惡意程式Waterbear有許多相似之處，但功能有所強化，例如：新的作案工具支援Shell Code外掛程式、使用HTTPS通訊協定與C2連線，以及在RAT木馬程式作業期間會避免進行交握（handshakes），目的是不讓資安系統察覺異狀。</p> <p>再者，他們發現Deuterbear採用新的Shell Code格式、會執行迴避記憶體掃描的反制措施、並與惡意程式下載工具（Downloader）共用流量解密金鑰，這些都是與Waterbear明顯不同的地方。研究人員認為，從Waterbear到Deuterbear的演變，代表BlackTech在反制資安人員分析及迴避偵測的工具開發上，出現顯著的突破。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.elastic.co/security-labs/invisible-miners-unveiling-ghostengine"><strong style="font-size: 20px;">駭客組織散布惡意軟體GhostEngine，意圖發動自帶驅動程式攻擊、部署挖礦程式</strong></a></p> <p></p> <p>◆<a href="https://www.rockwellautomation.com/en-us/trust-center/security-advisories/advisory.SD1672.html"><strong style="font-size: 20px;">Rockwell Automation針對工業控制系統攻擊行動升溫提出警告，呼籲管理員將設備斷開網路連線</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/lockbit-says-they-stole-data-in-london-drugs-ransomware-attack/"><strong style="font-size: 20px;">加拿大連鎖藥局London Drugs遭駭，勒索軟體駭客組織LockBit聲稱從中竊得內部資料</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163034"><strong style="font-size: 22px;">研究人員揭露威聯通NAS作業系統漏洞，並指出15個漏洞僅有4個完成修補</strong></a></p> <p>上週資安業者watchTowr表示，他們從去年12月至今，總共向NAS廠商威聯通（QNAP）通報NAS作業系統QTS的15個漏洞，但截至目前為止，僅有4個得到修補，其餘漏洞經過近半年仍未處理。</p> <p>針對watchTowr所公布的消息，5月21日威聯通也發布公告說明。該公司表示，他們在獲報的15個漏洞當中，對於已經完成確認的漏洞登記了CVE編號，並指出5個他們完成確認的漏洞，皆於同日發布的QTS 5.1.7及QuTS hero h5.1.7版進行修補。這些漏洞是：CVE-2024-21902、CVE-2024-27127、CVE-2024-27128、CVE-2024-27129、CVE-2024-27130。而對於其他漏洞，威聯通也在此公告透露處理的情形，承諾後續將著手處理CVE-2024-27131，以及另一個已登記CVE編號的漏洞，並坦承尚有3項漏洞正在向研究人員確認。</p> <p>而關於watchTowr認為威聯通修補漏洞速度太慢、多次延遲公布漏洞時間，威聯通也在新聞稿中，明確提出修補時效的承諾。</p> <p><a href="https://www.ithome.com.tw/news/163024"><strong style="font-size: 22px;">GitHub針對Enterprise Server用戶提出警告，該系統存在可繞過SAML單一登入的身分驗證弱點</strong></a></p> <p>5月20日GitHub發布3.12.4、3.11.10、3.10.12、3.9.15版GitHub Enterprise Server（GHES），這次推出新版的主要目的，是修補重大層級的身分驗證繞過漏洞CVE-2024-4985，該漏洞影響採用SAML進行單一登入程序（SSO）的GHES執行個體，根據CVSS第4版的標準來評估該漏洞，他們認為此問題的危險程度達到10分滿分。</p> <p>而對於這項漏洞造成的影響，GitHub指出，攻擊者可透過偽造的SAML回應，存取具備管理員權限的GHES用戶帳號，完全無須通過身分驗證就能進行利用。</p> <p><a href="https://www.ithome.com.tw/news/163030"><strong style="font-size: 22px;">Veeam修補備份集中管理控制臺4個漏洞，包括繞過驗證登入的重大漏洞</strong></a></p> <p></p> <p>備份與資料保護軟體廠商Veeam，於5月21日發布Veeam Backup & Replication備份軟體12.1.2.172更新版本，修補Veeam Backup Enterprise Manager（VBEM）集中管理控制臺的4個漏洞，包含被列為重大資安漏洞CVE-2024-29849，還有2個高風險漏洞CVE-2024-29850與CVE-2024-29851，以及1個低風險漏洞CVE-2024-29852。</p> <p>而在這次修補的VBEM漏洞中，最嚴重的是CVE-2024-29849，Veeam對此漏洞的嚴重性評為9.8分，允許未經身分驗證的攻擊者登入VBEM，等同允許攻擊者任意執行VBEM的管理功能，這也意味著透過VBEM管理的多個備份環境面臨重大風險，因為它們不僅因此暴露在攻擊者面前，而能被任意存取，資料外洩的可能性大增。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.tenable.com/blog/linguistic-lumberjack-attacking-cloud-services-via-logging-endpoints-fluent-bit-cve-2024-4323"><strong style="font-size: 20px;">資料收集器Fluent Bit存在重大漏洞，恐導致阻斷服務、RCE攻擊</strong></a></p> <p></p> <p>◆<a href="https://codeanlabs.com/blog/research/cve-2024-4367-arbitrary-js-execution-in-pdf-js/"><strong style="font-size: 20px;">Firefox用於存取PDF檔案的元件存在弱點，有可能被用於執行任意JavaScript程式碼</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163015"><strong style="font-size: 22px;">16家人工智慧業者共同承諾透過安全的方式開發AI</strong></a></p> <p></p> <p>繼去年英國主辦的第一屆AI安全高峰會（AI Safety Summit），28個國家共同簽署《布萊切利宣言（Bletchley Declaration）》，就AI的風險達成共識之後，本周於韓國首爾舉行的AI高峰會（AI Seoul Summit）凝聚16家AI業者，針對前沿AI的安全性達成承諾（Frontier AI Safety Commitments），包括Amazon、Anthropic、Google、IBM、Inflection AI、Meta、微軟、OpenAI、三星等。</p> <p>這些企業組織承諾，願意負責任地開發與部署前沿AI模型與系統，同時預計於明年初在法國舉行AI行動高峰會（AI Action Summit）之前，發布專注於嚴重風險的安全框架。</p> <p><a href="https://www.ithome.com.tw/news/163014"><strong style="font-size: 22px;">為打擊網路詐騙，Coinbase、Meta、Ripple等業者聯手，成立Tech Against Scams聯盟</strong></a></p> <p></p> <p>5月21日交友程式Tinder母公司Match Group，社交平臺Meta，加密貨幣交易平臺Coinbase、Kraken與Gemini，加密貨幣業者Ripple聯手，創立Tech Against Scams聯盟，宣布將共同打擊網路愛情詐騙與殺豬騙局（Pig Butchering Scams）。</p> <p>其實自去年夏天開始，Match Group、Coinbase與Meta已展開合作，利用這些公司在生態系統中各自獨特的地位，來辨識新的威脅趨勢，同時共享打擊全球詐騙的最佳實踐，並集體採取行動來保護使用者。</p> <p>Meta資安長Guy Rosen表示，詐騙者與殺豬騙局背後的組織鎖定許多網路服務上的使用者，令個別的公司很難窺得全貌，期望此一新的聯盟能夠藉由分享見解與趨勢，進而對全球的詐騙網路展開更有影響力的破壞行動。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163006"><strong>【5月21日】金融木馬Grandoreiro傳出東山再起，駭客攻擊範圍從拉丁美洲擴及全球逾60個國家</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162984"><strong>【5月20日】與人工智慧系統開發相關的Python套件存在漏洞，恐導致資料外流、遠端執行程式碼攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162953"><strong>【5月17日】研究人員公布GE超音波醫療設備一系列漏洞，並用來植入勒索軟體進行驗證</strong></a></p> </div></div></div>
2024/5/22 18:45作者周峻佑https://www.ithome.com.tw/news/163037
新任國科會主委吳誠文：借重半導體產業優勢，結合AI等科技加速產業智慧化發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周一才走馬上任的行政院政務委員，同時也是國科會新科主委的吳誠文今天(5/22)攜國科會三位副主委，政務副主委林法正及陳炳宇，還有常務副主委陳宗權，宣示未來國科會新團隊除了鼓勵科研發展，也將和其他部會合作協助國內產業，不只科技業，包括傳統產業，運用半導體產業優勢及AI等科技，加速產業均衡發展及智慧化應用。</p> <p>吳誠文為臺大電機系畢業，擁有加州大學聖塔芭芭拉分校電子與計算機工程博士學位，過去曾擔任南臺科技大學校長、成功大學副校長、清大副校長、清大電機資訊學院院長，長時間從事高等教育人才培育工作，他也曾在工研院任職，擔任資通所所長、系統晶片科技中心主任、工研院南分院執行長，熟悉積體電路等半導體專業領域。</p> <p>吳誠文首先提到，他上任的重要任務，過去半導體產業支撐臺灣的經濟，在我國科技及經濟成功發展基礎上，是否能讓全民感受到社會、文化、產業提升，未來國科會將會與經濟部等其他部會合作，不只是協助大型科技公司發展，也要幫助傳統產業及各行各業，在臺灣的科技實力之下，更均衡快速發展，其中產業及區域的均衡發展也是賴總統的理念，不只是注重科技，更利用科技協助全民健康及文化的均衡發展。</p> <p>他表示，基於環境、永續、淨零碳排等議題，背後需要有效率的能源使用，因此由具有電力、電網專業背景的前國研院院長林法正擔任國科會政務副主委，借助他的專業，在既有的半導體產業優勢下，發展國內半導體產業較缺乏的功率半導體，有助於促成電網智慧化，以及智慧電動車輛產業發展。</p> <p>從前任主委吳政忠開始，國科會推動產業的智慧化發展，吳誠文表示，接下來新團隊仍會持續推動國內AI發展，在學術界、產業界協助開發新的AI技術之外，也能有效推動AI的產業應用，協助各行各業發展，因此邀請具有AI電腦視覺專業的臺大國創新設計學院院長陳炳宇擔任國科會政務副主委。</p> <p>儘管兩位政務副主委分別專精電力電網發展、AI專業等工程領域，但吳誠文也強調國科會仍會長期穩定協助國內產學研的基礎及前瞻研究，並讓研究開發成果能夠落地。</p> <p><span style="color:#B22222;"><strong>加速產業的數位及智慧化轉型</strong></span></p> <p>另外，國科會轄下管理竹科、中科、南科三大科學園區，未來不只聚焦在區域均衡發展，也會和經濟部等跨部會合作，共同推動產業數位轉型及智慧化；吳誠文進一步指出，國科會將和經濟部、教育部等合作，通過國內學界、許多科技大學的人力，有足夠能力協助產業發展，具體的相關計畫將會在3個月內提出。</p> <p>至於國科會與行政院先前提出的晶創臺灣計畫，以10年挹注3,000億元經費，運用我國半導體的晶片製造、設計、封測優勢，結合全球興起的生成式AI，加速AI在各產業的應用。吳誠文表示，今年晶創臺灣計畫開始推動，國科會將會持續精進，讓國內半導體製造、IC設計更上一層樓。</p> <p>吳誠文也強調新政府的均衡產業發展政策，未來對半導體產業的協助，不會只有大型半導體業者，以IC設計為例，國內IC設計除了大型公司，仍有許多小型IC設計業者，這些業者承接國外IC設計需求，他以棒球運動為例，個人的突出表現無法贏得比賽，需要結合投手、游擊手、打者形成團隊才能贏下比賽。未來推動產業均衡發展，也會向外，向國際市場發展。</p> <p>至於產業的智慧化發展也要均衡發展，不只是科技業，還包括傳統產業，曾在技職教育現場的吳誠文以我國傳統產業中具代表性的工具機為例，雖然CNC工具機與軟體有關，但工具機仍屬傳統機械製造，未來如果能朝智慧化發展轉型，將可轉型為智慧機械製造。</p> <p>面對國內少子化，勞動人力短缺，吳誠文也提供他的看法。他認為，除了美國因移民增加人口，少子化已是全球經濟發展成熟的國家的共同問題，我國產業，不管是傳統產業或高科技產業都面臨少子化帶來的人力不足問題，為了解決少子化問題，除了政府設法提升生育率，引進外籍勞工容易引發爭議，未來或許可從教育著手，讓非本科人力，接受再教育，來滿足產業的專業人力需求。此外，少子化也意謂需要更少的人力來完成更多的工作，AI能夠起到輔助的作用，擴大AI的產業應用也能緩解人力短缺的衝擊。</p> <p>國科會政務副主委陳炳宇表示，先前政府規畫中的AI基本法，考慮AI技術發展快速，需要凝聚各界意見，政府研擬的AI基本法應用會在今年內公布。另外，先前國科會推動的TAIDE計畫，在新的國科會主委、副主委上任後，未來也會繼續支持。</p> </div></div></div>
2024/5/22 16:57作者蘇文彬https://www.ithome.com.tw/news/163029
研究人員揭露威聯通NAS作業系統漏洞，並指出15個漏洞僅有4個完成修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週資安業者watchTowr表示，他們從去年12月至今，<a href="https://labs.watchtowr.com/qnap-qts-qnapping-at-the-wheel-cve-2024-27130-and-friends/">總共向NAS廠商威聯通（QNAP）通報NAS作業系統QTS的15個漏洞</a>，但截至目前為止，僅有4個得到修補，其餘漏洞經過近半年仍未處理。</p> <p>針對通報漏洞的過程，研究人員指出威聯通其實相當配合，而且在許多意想不到的細節讓他們留下極佳的印象，並認為該公司將用戶的資訊安全列為相當優先的層級。其中，為了讓他們更詳細說明漏洞的環節，該公司甚至提供測試環境，讓研究人員能遠端存取、運用。</p> <p>但是，在處理漏洞的修補上，他們認為威聯通耗費很長時間處理，而在聯繫這些問題的過程中，該公司也多次要求延遲公布漏洞的時間。</p> <p>而對於該公司處理漏洞緩慢的情況，研究人員認為，他們的程式碼基礎（Codebase）顯然內含大量老舊元件，即使威聯通已經試圖盡力解決所有弱點，仍難以擺脫現在面臨的處境。</p> <p>為了說明他們找到的漏洞帶來的影響，研究人員這次也針對其中的記憶體堆疊緩衝區溢位漏洞CVE-2024-27130，公布概念性驗證（PoC）的漏洞利用攻擊，並指出雖然要利用該漏洞有先決條件，但攻擊者無需通過身分驗證，就有機會發動遠端執行任意碼（RCE）攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/watchTowr-qnap-image-6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/watchTowr-qnap-image-6.png" style="width: 580px;" /></a></p> <p>該漏洞出現在QTS的No_Support_ACL功能函數當中，其中一個名為strcpy子功能不安全使用所致。攻擊者可發出偽造的惡意請求，而有機會導致NAS設備出現記憶體緩衝區溢位的情況，最終達到遠端執行任意程式碼的目的。</p> <p>而前述的先決條件，就是攻擊者必須取得使用者共用檔案時產生的「ssid」參數，而這樣的資料，基本上攻擊者可透過社交工程攻擊取得，但研究人員指出，他們也發現許多用戶公開檔案共用連結，並能透過Google找到，從而能進一步挖掘這種參數。</p> <p>針對watchTowr所公布的消息，<a href="https://www.qnap.com/zh-tw/news/2024/qnap-%E7%94%A2%E5%93%81%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E6%87%89%E8%AE%8A%E5%9C%98%E9%9A%8A-psirt-%E9%87%9D%E5%B0%8D-watchtowr-labs-%E6%8F%90%E5%87%BA%E7%9A%84%E8%B3%87%E5%AE%89%E5%A0%B1%E5%91%8A%E5%9B%9E%E6%87%89">5月21日威聯通也發布公告說明</a>。</p> <p>該公司表示，他們在獲報的15個漏洞當中，對於已經完成確認的漏洞登記了CVE編號，並指出5個他們完成確認的漏洞，皆於同日發布的QTS 5.1.7及QuTS hero h5.1.7版進行修補。這些漏洞是：CVE-2024-21902、CVE-2024-27127、CVE-2024-27128、CVE-2024-27129、CVE-2024-27130，CVSS風險評分介於6.4至7.2分。</p> <p>而對於其他漏洞，威聯通也在此公告透露處理的情形，承諾後續將著手處理CVE-2024-27131，以及另一個已登記CVE編號的漏洞，並坦承尚有3項漏洞正在向研究人員確認。</p> <p>至於研究人員公布概念性驗證的CVE-2024-27130，威聯通也對其補充說明，他們在QTS啟用了位址空間布局隨機化（Address Space Layout Randomization，ASLR）的防護措施，因此攻擊者實際想要利用這項漏洞的難度將會提高，儘管如此，他們還是呼籲用戶升級新版QTS、QuTS hero作業系統，來緩解這項漏洞。</p> <p>而關於watchTowr認為威聯通修補漏洞速度太慢、多次延遲公布漏洞時間，威聯通也在新聞稿中明確提出承諾：「未來，對於被分類為高或關鍵嚴重性的弱點，我們承諾在 45 天內完成修復並發布修復程式。對於中等嚴重性的弱點，我們將在 90 天內完成修復並發布修復程式。」</p> </div></div></div>
2024/5/22 17:53作者周峻佑https://www.ithome.com.tw/news/163034
駭客組織BlackTech鎖定科技、研究、政府部門而來，利用新的工具Deuterbear發動攻擊，並以罕見的部署手法迴…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個月前，<a href="https://www.ithome.com.tw/news/162440">資安業者趨勢科技對於惡意程式Deuterbear的攻擊行動升溫提出警告</a>，指出名為Manga Taurus、Huapi、Earth Hundun的中國駭客組織BlackTech採用這項工具從事攻擊行動，<a href="https://www.trendmicro.com/en_us/research/24/e/earth-hundun-2.html">如今他們公布更多發現</a>。</p> <p>研究人員指出，BlackTech向來的攻擊目標集中在亞太地區，主要針對政府機關、研究機構、科技產業而來，但近期採用的攻擊策略與過往有明顯的不同。他們表示，Deuterbear與駭客先前使用的另一支惡意程式Waterbear有許多相似之處，但功能有所強化，例如：新的作案工具支援Shell Code外掛程式、使用HTTPS通訊協定與C2連線，以及在RAT木馬程式作業期間會避免進行交握（handshakes），目的是不讓資安系統察覺異狀。</p> <p>再者，他們發現Deuterbear採用新的Shell Code格式、會執行迴避記憶體掃描的反制措施、並與惡意程式下載工具（Downloader）共用流量解密金鑰，這些都是與Waterbear明顯不同的地方。研究人員認為，從Waterbear到Deuterbear的演變，代表BlackTech在反制資安人員分析及迴避偵測的工具開發上，出現顯著的突破。</p> <p>而這些駭客究竟在攻擊行動裡如何運用Deuterbear？研究人員指出，攻擊流程大致可分成2個階段。首先，對方透過惡意程式載入工具（Loader）進行XOR演算法解密，執行下載工具從C2取得Deuterbear惡意酬載，植入後進行偵察工作，然後挑選特定資料夾，以便能持續存取受害電腦。</p> <p>在下一階段的攻擊行動中，駭客藉由前一個階段植入的惡意酬載，透過DLL側載的方式，執行另一支具備CryptUnprotectData解密功能的惡意程式載入工具，然後探索相關機碼，對受到加密保護的下載工具進行處理，再從C2下載Deuterbear惡意酬載，以及攻擊所需的外掛程式。</p> <p>比較特別的是，雖然駭客在兩個階段使用了相同的惡意程式載入工具、下載工具，以及惡意酬載，但研究人員對於遭到感染的電腦進行調查發現，對方在作案後僅留下第二階段所使用的Deuterbear，至於第一階段的作案工具，在他們能對受害電腦持續存取後，就全數予以清除。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Deuterbear-fig-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Deuterbear-fig-3.png" style="width: 580px;" /></a></p> <p>研究人員指出，駭客如此複雜的攻擊策略，確實有效地保護他們的行蹤不會曝光，而且能夠避免資安人員輕易找到惡意軟體並進行分析。</p> <p>他們也對於新舊惡意程式進行比較，並指出Deuterbear大幅精簡功能，從原本支援超過60個命令縮減為20個，對方對其開發了更多外掛程式，以便讓運用該惡意程式更加靈活。</p> <p>值得一提的是，雖然Deuterbear是以Waterbear為基礎打造而成，但研究人員表示，駭客仍持續對Waterbear進行開發，並未打算以Deuterbear全面取代。</p> </div></div></div>
2024/5/22 16:16作者周峻佑https://www.ithome.com.tw/news/163027
【西雅圖現場直擊】微軟揭露十大AI產品策略新亮點，全力搶攻桌面AI應用浪潮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天（北美太平洋夏令時間5月21日）今年度微軟Build大會正式展開，微軟執行長Satya Nadella一口氣揭露不少新進展，可分為2大類，包括專為AI開發優化的執行環境Windows Copilot Runtime，以及Copilot技術架構的重大更新。這2大類中就有新添的Phi-3 Silica多模態小型語言模型、GPT-4o正式在Azure AI Studio開發環境中上架、Azure AI Studio正式上線，甚至在資料分析平臺Microsoft Fabric上，還新增即時智慧（Real-time Intelligence）解決方案，可處理PB級串流資料等。</p> <p><span style="color:#FF0000;"><span style="font-size:24px;"><strong>亮點1：為AI開發優化的Windows Copilot Runtime執行環境</strong></span></span></p> <p>Satya指出，70年前，科學家對電腦的期待是「電腦能理解我們嗎？還是我們要理解它？」以及「電腦能幫助我們理解複雜資料嗎？」這是70年來科學家追尋的2大目標。</p> <p>這也是微軟想實現的目標，他們的策略是透過智慧助理Microsoft Copilot、AI筆電Copilot+ PC和技術堆疊Copilot Stack來實現。其中一個重要基石，就是微軟這次整合打造的執行環境Windows Copilot Runtime。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/runtime.jpeg" /></p> <p>這個執行環境包括3個層面，首先是底層的AI框架和工具鏈，包括微軟既有的AI框架DirectML、ONNX Runtime，以及Visual Studio Code AI開發工具套件等。</p> <p><span style="font-size:18px;"><strong>支援PyTorch原生，上千個Hugging Face模型可在Windows執行了</strong></span></p> <p>在底層中，Satya揭露2大重點更新，一是開發者現在透過DirectML，就能享有Windows作業系統對PyTorch開發框架的原生支援。這意味著，Hugging Face上的上千個模型終於能在Windows中執行，同時，微軟也正式推出GPU對PyTorch的支援，NPU支援也即將上線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PyTorch.jpeg" /></p> <p>另一個底層更新是WebNN，也就是網頁原生的機器學習框架，可在Windows作業程式中透過DirectML和ONNX Runtime Web來執行。這個WebNN目前為開發者預覽版，它的出現，能讓開發者更好地利用裝置硬體資源，來提供更好的AI網頁App體驗。</p> <p><span style="font-size:18px;"><strong>新添33億參數SOTA小模型Phi-Silica，另推多款API</strong></span></p> <p>往上一層，就是Windows Copilot函示庫與裝置端模型層。這層包含了由40多個裝置端AI模型驅動的API、向量儲存庫和演算法。在這層的模型部分，Satya宣布Phi系列模型正式可用、Phi-3-vision開始預覽，並揭露最新、只有33億參數的SOTA小型語言模型Phi-Silica，專為Copilot+ PC和NPU設計而成。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/phi-3-vision.jpeg" /></p> <p>不只模型，在API部分也有重磅更新，包括Studio Effects、即時字幕翻譯、OCR、Recall with User Activity和Phi Silica等API將於6月向開發者提供，之後會再納入向量嵌入、支援地端資料的檢索增強生成（RAG）、文字摘要和其他API。</p> <p><span style="font-size:18px;"><strong>推出更多AI App，還整合第三方App強化AI功能</strong></span></p> <p>再往上一層，到應用程式和體驗層，這層的新進展包括微軟最新開發的AI App，如回顧（Recall）、圖像創作（Cocreator）、即時字幕翻譯（Live Caption）、風格編輯（Restyle Image）等。其中，回顧是透過對螢幕快照，來讓使用者以關鍵字，進行語意搜尋、找出所需資訊，不論是網頁、簡報還是對話都可以。圖像創作則以小型語言模型和Stable Diffusion等擴散模型驅動，可根據文字提示和簡單筆畫，來產出逼真的圖像。即時字幕則支援筆電上任何音訊的語言翻譯，可將40多種語言翻譯為英文，離線也行。</p> <p>同時，微軟Windows Copilot Runtime還正整合多個第三方應用程式，如Davinci Resolve、CapCut、WhatsApp、Cephable、LiquidText、Luminar Neo等，要用NPU來優化這些程式的AI功能。</p> <p><span style="color:#FF0000;"><span style="font-size:24px;"><strong>亮點2：更完善的Copilot技術架構</strong></span></span></p> <p>「我們一直是平臺公司，要建造完整的技術架構！」Satya解釋，Copilot技術架構（Tech Stack）就是一大重點，從底層開始向上，可分為AI基礎設施、基礎模型、資料、AI調度與工具鏈，以及最上層的微軟Copilot/自建Copilot、Copilot外掛等。微軟今年大會的重點更新，也圍繞這個架構展開。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/copilot%20stack.jpeg" /></p> <p>就AI基礎設施層而言，Satya回顧，光是去年，微軟就在60多個區域建置資料中心，接下來則要在2025年前，全數採用再生能源，不產生任何碳排。同時，在硬體部分，微軟還正式推出基於AMD最新Instinct GPU的處理器ND MI300X v5，可更快、更有效率執行AI應用，另也公開預覽Cobalt 100晶片。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ND.jpeg" /></p> <p><span style="font-size:18px;"><strong>AI開發環境Azure AI Studio正式上架GPT-4o，納入更多安全工具</strong></span></p> <p>在基礎模型層部分，不只正式在Azure AI中上架GPT-4o，也和Hugging Face擴大合作、納入所有Hugging Face模型到Azure AI Studio中，另也推出上述提到的42億參數Phi-3-vision模型。而AI開發工具Azure AI Studio也正式上線，可用來打造AI應用。</p> <p>甚至，在Azure AI Studio中，還包含即將上線的安全工具與功能，包括自定義類別（將上線）、提示盾（預覽）、基準偵測（預覽）等。而且，Azure AI Studio還推出客製化模型功能，允許使用者用自己的資料訓練客製化模型。</p> <p><span style="font-size:18px;"><strong>能即時處理PB級串流資料了，資料分析平臺推出新功能</strong></span></p> <p>往上一層到資料層，重大更新莫屬微軟自家的資料分析平臺Microsoft Fabric，特別針對企業難以處理的資料即時分析，推出一項無程式碼/低程式碼的即時智慧（Real-Time Intelligence）SaaS解決方案。Satya強調，使用者可透過這個功能，來更快速處理大量、顆粒度更細緻的數據。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/reatime.jpeg" /></p> <p>這項即時智慧目前為公開預覽版，因為無/低程式碼特性，分析師能簡單上手，另也能針對專業開發者提供完整的程式碼使用介面。比如，巴西極限賽車隊Dener Motorsport一直用這個平臺來支援即時分析和通報，來維持最佳表現、確保車子狀態，他們現在打算用即時智慧，來在比賽當下，直接分析資料、調整贏賽策略。</p> <p>不只是即時智慧，為降低App開發門檻，微軟還在Fabric平臺中新添工作負載開發套件（Workload Development Kit），能讓獨立軟體商和開發者，用來打造更一致的使用者體驗應用。</p> <p><span style="font-size:18px;"><strong>AI工具鏈新添更強大的開發外掛GitHub Copilot Extensions</strong></span></p> <p>再來，在AI調度與工具鏈層，微軟本身就有套AI專用的資訊檢索平臺Azure AI Search、預覽版的AI程式開發工具GitHub Copilot Workspace。今天，Satya進一步推出程式開發外掛GitHub Copilot Extensions，開發者可用透過自然語言和自己習慣的工具，來打造、部署雲端應用，完全不必離開開發環境IDE或GitHub網站。第一波新添16個外掛，來自DataStax、Docker、LambdaTest、LaunchDarkly、Microsoft Azure和Teams、MongoDB等，建立更好的AI開發第三方生態系。</p> <p><span style="font-size:18px;"><strong>推出微軟Copilot Connector，跨App、工作流程打造客製化智慧助理</strong></span></p> <p>工具層之上來到應用層，在這層，微軟推出Microsoft Copilot Connector連結器，可讓Copilot助理摒除障礙存取使用者資料、跨App和工作流程處理，來幫助使用者打造客製化模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/connector.jpeg" /></p> <p>不只如此，今年，微軟繼續延伸Copilot產品線，針對M365 Copilot推出協作助理Team Copilot，專門處理複雜的協作任務，比如可在協作工具Teams中管理會議、安排議程、管理時間和記錄重點。同時，它還能管理Teams對話，摘要重要資訊、回覆群組問題等。甚至能扮演PM角色，確保任務管理看板Planner中的每個專案順利進行，同時也會在Loop應用中通知團隊新消息、加強專案協作。這個Team Copilot預計今年晚些時候預覽。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/team%20copilot.jpeg" /></p> <p>另一項Copilot產品線的延伸，則是在低程式碼助理開發平臺Microsoft Copilot Studio中，新添代理（Agent）的能力類別，讓開發者用來打造能主動回應數據和事件的智慧助理，還能執行特定任務和功能。微軟表示，用這個新能力打造的Copilot助理，可用學習到的知識和使用者回饋，來獨立管理複雜、長期的業務流程，甚至能在遇到棘手問題時，尋求使用者幫助。</p> <p></p> </div></div></div>
2024/5/22 16:24作者王若樸https://www.ithome.com.tw/news/163026
Zoom針對Zoom Workplace推出後量子端對端加密解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Zoom Video Communications周二（5/21）<a href="https://news.zoom.us/post-quantum-e2ee/" target="_blank">宣布</a>，已針對Zoom Workplace服務推出後量子（post-quantum）端對端加密（end-to-end encryption，E2EE）解決方案，將率先支援Zoom Meetings視訊會議，之後也會支援Zoom Phone與Zoom Rooms。</p> <p>Zoom說明，隨著對抗性威脅變得愈來愈複雜，保護用戶資料的需求也日益升溫，在某些情況下，駭客可能具備立即取得加密流量的能力，並打算在量子電腦變得更先進時再將其解密，形成「先蒐集、後解密」的潛在安全威脅。</p> <p>當Zoom用戶於會議中啟用E2EE時，該系統的作法是僅有參與者可存取用來加密會議的金鑰，由於Zoom伺服器並未存放必要的解密金鑰，因此無法透過其伺服器破解。而為了對抗「先蒐集、後解密」攻擊，Zoom採用了後量子端對端加密技術Kyber 768，以在量子運算成熟之後，依能確保其加密資料的安全。</p> <p>Kyber 768為一基於晶格（Lattice）的金鑰封裝機制（KEM），被認為可對抗量子電腦的攻擊，已被納入聯邦資訊處理標準（FIPS）203，美國國家標準暨技術研究院（National Institute of Standards and Technology，NIST）也正在將它標準化。</p> <p>Zoom資安長 Michael Adams指出，自分別於2020年及2022年針對Zoom Meetings和Zoom Phone推出端對端加密功能以來，有愈來愈多的客戶使用該功能，現在Zoom進一步升級該功能，以讓它能夠防禦未來的威脅。</p> </div></div></div>
2024/5/22 14:00作者陳曉莉https://www.ithome.com.tw/news/163022
IBM Watsonx大型主機程式開發助理強化解釋功能，助開發者理解COBOL程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ibm.com/blog/announcement/ibm-watsonx-code-assistant-for-z-accelerate-the-application-lifecycle-with-generative-ai-and-automation/" target="_blank">IBM更新</a>其人工智慧程式碼開發助理Watsonx Code Assistant for Z，以附加元件的形式提供程式碼解釋，協助開發人員理解大型主機COBOL程式碼，使其更容易維護程式碼，或是現代化程式碼轉換為Java。</p> <p>Watsonx Code Assistant for Z是IBM於2023年底推出的人工智慧工具，其目的是要協助開發人員將大型主機IBM Z上的COBOL應用程式，轉換成更流行的Java程式語言，以加速大型主機應用現代化。</p> <p>過去COBOL被大量應用在許多重要商業、金融與行政系統開發上，但是當前卻遭遇現代化挑戰，老舊的程式碼難以支援現代開發實務，和雲端系統也無法良好整合，再加上COBOL專家越來越少，相關系統維護越來越困難。</p> <p>而IBM推出Watsonx Code Assistant for Z，便是要解決COBOL系統的維護困境，而現在新增的程式碼解釋功能，則進一步運用生成式人工智慧解釋COBOL程式碼，使得開發人員可以在了解程式碼邏輯後，執行正確的現代化策略，IBM提到，這對於單體式且缺乏良好文件紀錄，又需要專業技能維護的複雜應用程式來說特別重要。 Watsonx Code Assistant for Z程式碼解釋功能，可以針對應用程式的COBOL程式碼，產生自然語言解釋，並且以註解的方式保存或是插入到程式碼中。該功能將有助於開發人員學習COBOL相關知識，並且加速程式碼現代化工作，解決大型主機程式維護知識瓶頸。</p> <p>IBM除了計畫在6月的時候全面釋出Watsonx Code Assistant for Z程式碼解釋功能外，用戶也將能夠在本地端部署Watsonx Code Assistant for Z，不需要上傳雲端就能將COBOL程式碼轉換為Java，在本地進行程式碼理解、重構與驗證。</p> </div></div></div>
2024/5/22 12:59作者李建興https://www.ithome.com.tw/news/163016
Match Group、Meta與Ripple等業者創立Tech Against Scams以共同打擊網路詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>交友程式Tinder母公司Match Group，社交平臺Meta，加密貨幣交易平臺Coinbase、Kraken與Gemini，加密貨幣業者Ripple本周攜手<a href="https://www.prnewswire.com/news-releases/tech-companies-announce-a-new-coalition-to-fight-online-fraud--pig-butchering-scams-302149506.html" target="_blank">創立了Tech Against Scams聯盟</a>，宣布將共同打擊網路愛情詐騙與殺豬騙局（Pig Butchering Scams）。</p> <p>根據美國聯邦調查局（FBI）旗下網路犯罪投訴中心（Internet Crime Complaint Center，IC3）<a href="https://www.ic3.gov/Media/PDF/AnnualReport/2023_IC3Report.pdf" target="_blank">在2023年的統計</a>，該年所收到的投訴數量中，投資詐騙名列第五，羅曼史詐騙名列第九，然而，若觀察損失金額，投資詐騙的損失排名第一，羅曼史詐騙則排名第四。而殺豬騙局指的則是受害者長期被引誘向欺詐的加密貨幣專案做出貢獻，屬於投資詐騙的一種。</p> <p>其實自去年夏天開始，Match Group、Coinbase與Meta便率先展開合作，以理解包括殺豬騙局在內的跨平臺威脅，利用它們在生態系統中各自獨特的地位來辨識新的對手趨勢，同時分享打擊全球詐騙的最佳實踐，並採取集體行動來保護使用者。</p> <p>Meta資安長Guy Rosen表示，詐騙者與殺豬騙局背後的組織鎖定許多網路服務上的使用者，令個別的公司很難窺得全貌，期望此一新的聯盟能夠藉由分享見解與趨勢，進而對全球的詐騙網路展開更有影響力的破壞行動。</p> <p>Tech Against Scams聯盟將共同研究如何針對詐騙者所使用的工具採取行動，教育及保護消費者，以及破壞快速發展的金融詐騙。</p> </div></div></div>
2024/5/22 11:19作者陳曉莉https://www.ithome.com.tw/news/163015
全球16家AI業者承諾要安全開發AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼英國去年主辦的第一屆AI安全高峰會（AI Safety Summit），邀請28個國家共同簽署<a href="https://www.ithome.com.tw/news/159602" target="_blank">《布萊切利宣言》</a>（Bletchley Declaration），就AI的風險達成共識之後。本周於韓國首爾舉行的AI高峰會（AI Seoul Summit）則凝聚了<a href="https://www.gov.uk/government/publications/frontier-ai-safety-commitments-ai-seoul-summit-2024/frontier-ai-safety-commitments-ai-seoul-summit-2024" target="_blank">全球的16家AI業者</a>，針對前沿AI的安全性達成承諾（Frontier AI Safety Commitments），包括Amazon、Anthropic、Google、IBM、Inflection AI、Meta、微軟、OpenAI及三星等。</p> <p>這16個組織承諾自願負責任地開發與部署前沿AI模型與系統，同時預計於明年初在法國舉行AI行動高峰會（AI Action Summit）之前，發布一個專注於嚴重風險的安全框架。</p> <p>相關組織承諾開發與部署前沿AI模型系統時得以有效的識別、評估及管理風險，涵蓋自訓練到部署的整個AI生命周期，將同時考量內部與外部的評估；它們也將設定一個模型或系統構成嚴重風險的閥值，該閥值也將參考國際協定；同時闡明如何識別及實施風險緩解措施，以將風險保持在規定的閥值內。</p> <p>而在極端情況下，倘若無法透過緩解措施將風險保持在閥值以下，這些AI巨頭承諾將停止開發或部署其模型或系統。</p> </div></div></div>
2024/5/22 11:02作者陳曉莉https://www.ithome.com.tw/news/163014
微軟公布具視覺能力的Phi-3-vision多模態模型，可跑在行動裝置上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Build 2024開發者大會上，<a href="https://azure.microsoft.com/en-us/blog/new-models-added-to-the-phi-3-family-available-on-microsoft-azure/" target="_blank">微軟公布Phi-3-vision模型</a>，輕巧到可執行在行動裝置上，又具備視覺能力，可理解文字和圖片。</p> <p>Phi-3-vision為<a href="https://www.ithome.com.tw/news/162479" target="_blank">4月公布的</a>Phi-3模型家族最新成員，參數量為42億，大於Phi-3-mini（3.8B），但小於Phi-3-small（7B）。Phi-3-vision是Phi-3家族第一個多模態模型，其文字理解能力是以Phi-3-mini為基礎，也具備Phi-3-mini的輕量特色，可執行在行動裝置上。但它最大特色是整合了圖片識別能力，能理解真實世界的圖片，也能理解並擷取出圖片中的文字。</p> <p>微軟說，Phi-3-vision特別為了圖表與方塊圖理解優化，可用於產出洞見與回答問題。例如用戶輸入不同世代員工使用的職場工具的圖表圖片後，要求它以產出協助決策的洞見，Phi-3-vision可以說明它看到了Z世代、千禧世代、X世代及嬰兒潮世代員工使用AI工具的比例，並能分點描述各年齡群組的數據、推論群組的行為，還能做出結論、提供企業相應建議（例如制定促進各群組使用的策略）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0522-microsoft-Phi-3-vision-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Phi-3-vision現在已以預覽版<a href="https://huggingface.co/microsoft/Phi-3-vision-128k-instruct" target="_blank">公開於Hugging Face平臺</a>上。</p> <p>最新公布的Phi-3-vision為指令調校過的Phi-3-128K-Instruct模型，包括Phi-3-mini語言模型、圖片編碼器、連接器（connector）與投影器（projector）。其脈絡長度為128k token，訓練期間為2024年2月到4月。</p> <p>資料集方面，Phi-3-vision是以500B token的多種類型圖片及文字資料來訓練，包括嚴選公開內容、高品質教育資料與程式碼、高品質的圖文整合資料、新的「教科書等級」合成資料（主要是數學、程式、常識理解、真實世界知識如科學、日常活動、心靈理論）與圖表圖片，以及高品質的監督式聊天格式資料，後者涵括多種人類偏好如遵從指令、真實、誠實、助益等主題。為了確保隱私，資料蒐集過程中已篩選掉包含個資的資料。</p> <p>微軟也提供了Phi-3-vision相較於字節跳動Llama3-Llava-Next（8B）及（微軟研究院和威斯康辛大學、哥倫比亞大學合作的）LlaVA-1.6（7B）、阿里巴巴通義千問QWEN-VL-Chat模型在效能比較，顯示最新模型在多個項目上表現優異。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0522-microsoft-Phi-3-vision-Benchmarks.png" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">資料來源／微軟</span></span></p> </div></div></div>
2024/5/22 09:40作者林妍溱https://www.ithome.com.tw/news/163007
GitHub Copilot Extensions將可於Copilot Chat中整合第三方工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub周二（5/21）發表了<a href="https://github.blog/2024-05-21-introducing-github-copilot-extensions/" target="_blank">GitHub Copilot Extensions預覽版</a>，將允許開發人員自GitHub.com、Visual Studio及VS Code中的GitHub Copilot Chat直接整合第三方工具，首批支援的工具包括Docker、Microsoft Azure、Teams、MongoDB、Sentry及Stripe等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0522-Copilot%20Extensions-DataStax%20Extension%20for%20GitHub%20Copilot%20(2).png" style="width: 518px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p>受邀的開發者將可透過GitHub Marketplace取得相關工具，但開發者也可建立私有的擴充程式，以整合在它們的內部系統與API中。</p> <p>GitHub解釋，倘若你是一位剛因資料庫相關錯誤而被傳呼的開發人員，準備透過不同的工具來釐清問題所在，也許是來自GitHub的問題或是DataStax的審核日誌，得到足夠的脈絡之後再利用諸如Sentry的工具來偵錯，進而找出解決方案並修復，再透過Azure部署。</p> <p>而GitHub Copilot Extensions的基本概念為協助開發人員維持在流程中，並以自然語言與系統互動而無需切換脈絡。因此，它結合了上述程序，藉由調用所有的工具來取得脈絡、展開行動，並生成檔案及拉取請求，加速使用各種工具的流程。</p> </div></div></div>
2024/5/22 10:13作者陳曉莉https://www.ithome.com.tw/news/163008
美國公告3個漏洞已出現攻擊行動，其中包含已終止支援的老舊D-Link路由器漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月16日美國網路安全暨基礎設施安全局（CISA）提出警告，<a href="https://www.cisa.gov/news-events/alerts/2024/05/16/cisa-adds-three-known-exploited-vulnerabilities-catalog">他們得知有3個漏洞已出現遭到利用的情況</a>，並將其列入已遭利用的漏洞名單（KEV），值得留意的是，部分漏洞出現於已不再受到支援的D-Link路由器裝置。</p> <p>這些漏洞包含了：Google於15日修補的JavaScript引擎V8記憶體越界寫入漏洞CVE-2024-4761，以及D-Link路由器DIR-600跨網站指令碼請求（CSRF）漏洞CVE-2014-100005、DIR-605資訊洩露漏洞CVE-2021-40655，CISA要求聯邦機構必須在6月6日前完成修補。</p> <p>其中，CVE-2014-100005存在長達10年而受到關注，當時雖然該廠商4年前已停止支援DIR-600，但D-Link還是發布資安公告，<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10018">並推出2.17b02版韌體修補</a>。揭露此事的研究人員表示，假如漏洞遭到利用，攻擊者有可能挾持網頁管理介面、建立管理員帳號，竄改設定並控制路由器設備，或是向攻擊者的主機發送ping，而能得知路由器WAN埠IP位址。</p> <p>另一個D-Link路由器漏洞CVE-2021-40655就沒那麼幸運了，該漏洞影響<a href="http://legacy.us.dlink.com/pages/product.aspx?id=2b09e95d90ff4cb38830ecc04c89cee5">已於2015年終止支援的DIR-605</a>，<a href="https://github.com/Ilovewomen/D-LINK-DIR-605/">此漏洞的概念性驗證程式碼在2021年公布</a>，攻擊者一旦發送特製的請求到指定PHP網頁，就有機會在無須通過身分驗證的情況下，得知管理員使用者名稱及密碼。</p> <p>雖然CISA並未在公告裡透露進一步的影響範圍，以及將上述漏洞用於攻擊的駭客身分，但駭客鎖定生命週期已經結束的D-Link路由器設備，這樣的現象近期有數起事故出現，用戶應考慮汰換以降低資安風險。</p> </div></div></div>
2024/5/21 15:03作者周峻佑https://www.ithome.com.tw/news/162998
勒索軟體駭客透過惡意廣告聲稱提供PuTTY、WinSCP，意圖對企業組織的網路管理員下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Rapid7揭露惡意廣告的攻擊行動，這些廣告聲稱提供WinSCP、PuTTY等知名工具，一旦使用者點選，就會被引導到駭客的冒牌網站，而若是他們依照指示安裝對方提供的應用程式，就有可能引發勒索軟體攻擊。</p> <p>研究人員在今年3月初，<a href="https://www.rapid7.com/blog/post/2024/05/13/ongoing-malvertising-campaign-leads-to-ransomware/">開始發現相關攻擊行動</a>，駭客的攻擊鏈啟動，通常是使用者在Bing或其他搜尋引擎上，下達download winscp、download putty等指令進行搜尋開始，對方引誘使用者點選廣告內容並下載應用程式，並提供ZIP壓縮檔，以便進行後續攻擊行動。</p> <p>若是使用者進行解壓縮、執行壓縮檔內的Setup.exe，電腦就會側載駭客提供的python311.dll，從而執行經過加密處理的Python指令碼，然後於受害電腦植入滲透測試工具Silver，藉此投放更多惡意酬載，最終嘗試部署勒索軟體，但並未得逞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-05-10-at-4_03_19-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-05-10-at-4_03_19-PM.png" style="width: 580px;" /></a></p> <p>研究人員指出，這波攻擊行動很有可能是針對企業組織的系統管理員而來，因為他們經常會使用上述兩款軟體。由於系統管理員握有高權限，一旦攻擊者得逞，就有機會在內部網路的環境快速散布惡意軟體、竊取機密資料，或是存取網域控制器。</p> </div></div></div>
2024/5/21 17:12作者周峻佑https://www.ithome.com.tw/news/163003
【資安日報】5月21日，金融木馬Grandoreiro傳出東山再起，駭客攻擊範圍從拉丁美洲擴及全球逾60個國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡名昭彰的金融木馬Grandoreiro，曾在今年1月跨國執法行動後消聲匿跡，但最近有研究人員提出警告，這些駭客準備了2個月就捲土重來，而且發動攻擊的範圍變得更廣，從拉丁美洲擴及全世界。</p> <p>究竟駭客如何大幅增加攻擊的力道及範圍？研究人員推測，對方很有可能透過惡意軟體租賃服務的方式，吸引許多打手上門、加入攻擊的行列。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163002"><strong style="font-size: 22px;">遭跨國執法單位圍勦的金融木馬Grandoreiro傳出東山再起，駭客鎖定超過60個國家、1,500家銀行客戶發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Zz03NWE0ZDgwNjEzN2IxMWVmOTRjNGRhMGUyYmFmMzZkNQ%3D%3D.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz03NWE0ZDgwNjEzN2IxMWVmOTRjNGRhMGUyYmFmMzZkNQ%3D%3D.png" style="width: 300px; float: right;" /></a>今年1月巴西、西班牙、國際刑警組織、資安業者ESET、Caixa銀行聯手參與跨國執法行動，中斷金融木馬Grandoreiro的營運，巴西警方進行5次逮捕行動、13次搜查，但如今有研究人員發現背後的駭客組織再度活動的跡象。</p> <p>IBM旗下的威脅情報團隊X-Force指出，他們從3月看到該木馬程式大規模散布的攻擊行動，推測駭客組織很有可能透過惡意軟體租賃服務的方式，號召更多打手從事相關攻擊。</p> <p>而對於駭客的攻擊範圍，研究人員表示他們在中南美洲、非洲、歐洲、印太地區超過60個國家，對於全球1,500家銀行的客戶下手，相較於執法行動前，這些駭客主要活動範圍為拉丁美洲、西斑牙、葡萄牙，攻擊的規模變得相當廣泛。</p> <p><a href="https://www.ithome.com.tw/news/163003"><strong style="font-size: 22px;">勒索軟體駭客透過惡意廣告聲稱提供PuTTY、WinSCP，意圖對企業組織的網路管理員下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2024-05-10-at-4_03_19-PM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2024-05-10-at-4_03_19-PM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Rapid7揭露惡意廣告的攻擊行動，這些廣告聲稱提供WinSCP、PuTTY等知名工具，一旦使用者點選，就會被引導到駭客的冒牌網站，而若是他們依照指示安裝對方提供的應用程式，就有可能引發勒索軟體攻擊。</p> <p>研究人員在今年3月初，開始發現相關攻擊行動，駭客的攻擊鏈啟動，通常是使用者在Bing或其他搜尋引擎上，下達download winscp、download putty等指令進行搜尋開始，對方引誘使用者點選廣告內容並下載應用程式，並提供ZIP壓縮檔，以便進行後續攻擊行動。</p> <p>這波攻擊行動很有可能是針對企業組織的系統管理員而來，因為他們經常會使用上述兩款軟體。由於系統管理員握有高權限，一旦攻擊者得逞，就有機會在內部網路的環境快速散布惡意軟體、竊取機密資料，或是存取網域控制器。</p> <p><a href="https://www.ithome.com.tw/news/162998"><strong style="font-size: 22px;">美國公告3個漏洞已出現攻擊行動，影響已終止支援的老舊D-Link路由器</strong></a></p> <p>5月16日美國網路安全暨基礎設施安全局（CISA）提出警告，他們得知有3個漏洞已出現遭到利用的情況，並將其列入已遭利用的漏洞名單（KEV），值得留意的是，部分漏洞出現於已不再受到支援的D-Link路由器裝置。</p> <p>這些漏洞包含了：Google於15日修補的JavaScript引擎V8記憶體越界寫入漏洞CVE-2024-4761，以及D-Link路由器DIR-600跨網站指令碼請求（CSRF）漏洞CVE-2014-100005、DIR-605資訊洩露漏洞CVE-2021-40655，CISA要求聯邦機構必須在6月6日前完成修補。</p> <p>雖然CISA並未在公告裡透露進一步的影響範圍，以及將上述漏洞用於攻擊的駭客身分，但駭客鎖定生命週期已經結束的D-Link路由器設備，這樣的現象近期已有數起事故出現，用戶應考慮汰換以降低資安風險。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://research.checkpoint.com/2024/foxit-pdf-flawed-design-exploitation/"><strong style="font-size: 20px;">Foxit PDF Reader用戶遭到鎖定，駭客利用應用程式弱點散布多種惡意軟體</strong></a></p> <p>◆<a href="https://www.recordedfuture.com/gitcaught-threat-actor-leverages-github-repository-for-malicious-infrastructure"><strong style="font-size: 20px;">使用俄文的駭客濫用GitHub發起攻擊行動GitCaught，聲稱提供知名應用程式散布竊資軟體</strong></a></p> <p>◆<a href="https://www.genians.co.kr/blog/threat_intelligence/facebook"><strong style="font-size: 20px;">北韓駭客Kimsuky藉由Facebook Messenger鎖定目標，藉此散布惡意程式</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163000"><strong style="font-size: 22px;">Git修補5個漏洞，其中包含子模組複製儲存庫產生的RCE漏洞</strong></a></p> <p>廣大軟體開發者所仰賴的分散式版本控制系統Git，5月14日發布2.45.1版，之所以改版是為了修正5個資安漏洞，包含被標示為重大資安漏洞CVE-2024-32002，高風險的資安漏洞CVE-2024-32004與CVE-2024-32465，以及低度危險的資安漏洞CVE-2024-32020與CVE-2024-32021。</p> <p>其中最受到關注的漏洞是CVE-2024-32002，Git開發團隊將此漏洞的嚴重程度評為9.1分，當大家在Windows或macOS電腦使用子模組（submodules）對軟體儲存庫進行Git處理時，可在Git執行複製（clone）作業的過程當中進行操弄，趁機執行來自git/資料夾的掛勾（hook），而此舉將導致遠端執行程式碼（RCE）的資安危機。</p> <p>根據資安媒體Help Net Security持續追蹤，漏洞懸賞平臺公司Bugcrowd資安維運團隊領導人Amal Murali，在5月19日公布濫用該漏洞的概念驗證技術研究。</p> <p><a href="https://www.ithome.com.tw/news/162969"><strong style="font-size: 22px;">Android裝置App的資料共享方式有資安破口，研究人員揭露能以此發動的攻擊手法Dirty Stream，影響範圍廣大</strong></a></p> <p>微軟揭露新型態的路徑穿越攻擊手法Dirty Stream，攻擊者可藉由惡意安卓應用程式，覆蓋另一個應用程式的程式資料夾的內容，而有可能執行任意程式碼，或是竊取Token。該公司指出，這麼一來，攻擊者有可能完全操控應用程式的行為，或是存取用戶帳號及相關的敏感資料。</p> <p>研究人員找到這種攻擊手法的原因，主要是他們在Google Play市集找到多款存在弱點的應用程式，值得留意的是，這些應用程式迄今至少被安裝超過40億次，其中有4款下載次數超過5億。他們公布兩個存在弱點的應用程式名稱，包含了小米發行的檔案管理工具Mi File Manager，以及辦公室軟體WPS Office，分別被下載超過10億次、5億次，兩家軟體開發商接獲通報後皆已進行修補。不過，研究人員認為，實際上還有其他的應用程式，也可能存在相關弱點而可能曝露於Dirty Stream的風險，因此這項弱點影響範圍，恐怕還會擴大。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://labs.watchtowr.com/qnap-qts-qnapping-at-the-wheel-cve-2024-27130-and-friends/"><strong style="font-size: 20px;">研究人員揭露向威聯通通報的NAS作業系統漏洞，並指出15個漏洞僅有4個完成修補</strong></a></p> <p>◆<a href="https://techcrunch.com/2024/05/17/csc-serviceworks-free-laundry-million-machines/"><strong style="font-size: 20px;">兩名大學生發現CSC ServiceWorks自助洗衣機漏洞，可遠端向洗衣機發送命令進行控制</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162999"><strong style="font-size: 22px;">美國逮捕涉嫌經營暗網Incognito Market的23歲臺灣人</strong></a></p> <p></p> <p>美國司法部宣布，5月18日在美國約翰·甘迺迪國際機場逮捕年僅23歲的臺灣公民林睿庠（Ruisiang Lin），因他涉嫌經營專門銷售毒品的暗網市集Incognito Market，倘若包括毒品陰謀罪、洗錢罪、假藥罪的罪名皆成立，最高可能面臨終身監禁。</p> <p>Incognito Market在2020年10月於暗網中成立，使用者只能透過Tor網路存取。根據調查，林睿庠在網路上使用Pharoah或faro的ID，並負責監督Incognito Market的所有營運。從成立到今年3月結束，該平臺的毒品交易金額超過1億美元，估計林睿庠從中獲利數百萬美元。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/162984"><strong>【5月20日】與人工智慧系統開發相關的Python套件存在漏洞，恐導致資料外流、遠端執行程式碼攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162953"><strong>【5月17日】研究人員公布GE超音波醫療設備一系列漏洞，並用來植入勒索軟體進行驗證</strong></a></p> <p><a href="https://www.ithome.com.tw/news/162912"><strong>【5月16日】Google在一週內發布3次Chrome更新，修補已被用於攻擊行動的零時差漏洞</strong></a></p> </div></div></div>
2024/5/21 17:33作者周峻佑https://www.ithome.com.tw/news/163006
遭跨國執法單位圍勦的金融木馬Grandoreiro傳出東山再起，駭客鎖定超過60個國家、1,500家銀行客戶發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月巴西、西班牙、國際刑警組織、資安業者ESET、Caixa銀行聯手參與跨國執法行動，中斷金融木馬Grandoreiro的營運，巴西警方進行5次逮捕行動、13次搜查，但如今有研究人員發現背後的駭客組織再度活動的跡象。</p> <p>IBM旗下的威脅情報團隊X-Force指出，<a href="https://securityintelligence.com/x-force/grandoreiro-banking-trojan-unleashed/">他們從3月看到該木馬程式大規模散布的攻擊行動</a>，推測駭客組織很有可能透過惡意軟體租賃服務的方式，號召更多打手從事相關攻擊。</p> <p>而對於駭客的攻擊範圍，研究人員表示他們在中南美洲、非洲、歐洲、印太地區超過60個國家，對於全球1,500家銀行的客戶下手，相較於執法行動前，這些駭客主要活動範圍為拉丁美洲、西斑牙、葡萄牙，攻擊的規模變得相當廣泛。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zz03NWE0ZDgwNjEzN2IxMWVmOTRjNGRhMGUyYmFmMzZkNQ%3D%3D.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz03NWE0ZDgwNjEzN2IxMWVmOTRjNGRhMGUyYmFmMzZkNQ%3D%3D.png" style="width: 580px;" /></a></p> <p>這些駭客冒充墨西哥稅務管理局（SAT）、墨西哥聯邦電力委員會（CFE）、墨西哥行政和財政部長、阿根廷稅務局、南非稅務局（SARS）等政府機關或首長名義，以收信人使用的母語寄送釣魚郵件，並以檢視發票、財務報表、稅務資料的名義，引誘他們點選信中的連結，一旦收信人依照指示操作，就會被引導至下載PDF的網頁，但實際上，使用者會取得內含超過100 MB執行檔的ZIP檔案。研究人員指出，這個執行檔就是Grandoreiro的載入工具，而檔案製作的時間，通常是在電子郵件發送的前一天或當日。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Zz1iOGZmODY5ZTEzNzgxMWVmOTM0NGM2NTQ4N2FkMmYzNw%3D%3D.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz1iOGZmODY5ZTEzNzgxMWVmOTM0NGM2NTQ4N2FkMmYzNw%3D%3D.png" style="width: 580px;" /></a></p> <p>特別的是，為了防止自動執行影響攻擊鏈進行，該載入工具還加入了Adobe Reader的檢視器CAPTCHA對話框，使用者必須進行「驗證」，才會正常執行後續工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Zz0yYWE0NGRlODEzNzkxMWVmYjM3MjdhNzcxZDQ1YmY2OQ%3D%3D.png" style="width: 423px;" /></p> <p>針對最近出現的Grandoreiro，研究人員指出有多項與過往版本不同之處。首先，攻擊者導入了AES CBC並結合自有的演算法進行資料加解密，並透過網域產生演算法（DGA）取得C2的IP位址，再者，則是將攻擊範圍從銀行應用程式擴及加密貨幣錢包，此外，他們也針對使用收信軟體Outlook的用戶，停用安全性警示通知，並利用這種收信軟體向其他人發送釣魚信。</p> <p>為了避免惡意軟體在沙箱環境執行，這些駭客也透過前述的惡意程式載入工具，收集電腦系統資訊，其中包含防毒軟體名稱、受害者所在的國家，以及正在運作的處理程序列表。</p> <p>特別的是，Grandoreiro不只會在俄羅斯、捷克、波蘭、荷蘭終止運作，針對位於美國但尚未部署防毒軟體的Windows 7電腦，該惡意程式也同樣不會執行。若依此態勢判斷，不容易猜測攻擊者是否受到特定國家的支持。</p> </div></div></div>
2024/5/21 16:18作者周峻佑https://www.ithome.com.tw/news/163002
Git修補5個漏洞，其中包含子模組複製儲存庫產生的RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>廣大軟體開發者所仰賴的分散式版本控制系統Git，<a href="https://github.blog/2024-05-14-securing-git-addressing-5-new-vulnerabilities/">5月14日發布2.45.1版</a>，之所以改版是為了修正5個資安漏洞，包含被標示為重大資安漏洞CVE-2024-32002，高風險的資安漏洞CVE-2024-32004與CVE-2024-32465，以及低度危險的資安漏洞CVE-2024-32020與CVE-2024-32021，用戶應將Git的版本升級至2.45.1、2.44.1、2.43.4、2.42.2、2.41.1、v2.40.2、v2.39.4。Git目前可安裝在多種作業系統平臺的電腦，像是Windows、macOS、Linux，以及各種類Unix的BSD版本，網站型態的軟體開發平臺GitHub與GitLab，都是基於Git而成的系統，許多整合式開發環境（IDE）也都依賴Git系統，像是微軟Visual Studio，直接內建Git tooling（MinGit），因應Git這次發布的資安漏洞，微軟也針對<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-32002">CVE-2024-32002</a>與<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-32004">CVE-2024-32004</a>，發布Visual Studio版本更新，涵蓋<a href="https://learn.microsoft.com/en-us/visualstudio/releases/2022/release-notes#17.9.7">Visual Studio 2022（17.9.7）</a>、<a href="https://learn.microsoft.com/en-us/visualstudio/releases/2019/release-notes#16.11.36">Visual Studio 2019（16.11.36）</a>、<a href="https://learn.microsoft.com/en-us/visualstudio/releasenotes/vs2017-relnotes#15.9.62">Visual Studio 2017（15.9.62）</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/msrc-GitHub-CVE-2024-32002.png" style="width: 600px;" /></p> <p>其中最受到關注的漏洞是<a href="https://github.com/git/git/security/advisories/GHSA-8h77-4q3w-gfgv">CVE-2024-32002</a>，Git開發團隊將此漏洞的嚴重程度評為9.1分（滿分10分），當大家在Windows或macOS電腦使用子模組（submodules）對軟體儲存庫進行Git處理時，可在Git執行複製（clone）作業的過程當中進行操弄，趁機執行來自git/資料夾的掛勾（hook），而此舉將導致遠端執行程式碼（RCE）的資安危機。</p> <p>負責維護Git for Windows 的微軟軟體工程師Johannes Schindelin表示，具有子模組的儲存庫，能夠透過一些方法利用Git的程式臭蟲，因此當進到寫入檔案的階段，資料不會寫入子模組的工作區（worktree），而是寫入名為.git/的資料夾。</p> <p>之所以發生這樣的狀況，Johannes Schindelin認為可能是因為Git處理資料夾與符號連結路徑時，只有名稱大小寫的差別，而容易搞混，所以Git會寫入其中一個位置，但不會兩個都寫入。這樣的混淆狀況可用來操弄Git，使其在複製作業進行之際，也同時寫入一個可被執行的掛勾機制，如此一來，用戶將無法檢測當中執行的程式碼。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2024-32002.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-32002.jpg" style="width: 600px;" /></a></p> <p>根據<a href="https://www.helpnetsecurity.com/2024/05/16/git-cve-2024-32002/?web_view=true">資安媒體Help Net Security</a>持續追蹤，漏洞懸賞平臺公司Bugcrowd資安維運團隊領導人Amal Murali，在5月19日公布<a href="https://amalmurali.me/posts/git-rce/">CVE-2024-32002漏洞濫用的概念驗證技術研究</a></p> <p>至於CVE-2024-32004、CVE-2024-32465這兩個高風險漏洞的嚴重程度，Git團隊分別評為8.2分與7.4分。</p> <p>就CVE-2024-32004而言，問題發生在服務多個使用者的系統當中，攻擊者可以特製1個本機儲存庫，貌似複製作業只進行到一部分而產生丟失物件的狀況，因此，當這個殘缺的儲存庫後續透過Git進行複製時，Git會在具有使用者完整權限執行複製作業的同時，而得以任意執行程式碼。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2024-32004.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-32004.jpg" style="width: 600px;" /></a></p> <p>CVE-2024-32465的問題也是與複製Git儲存庫有關，若有人拿到內含Git儲存庫完整副本的ZIP壓縮檔，不應該被視為安全可信的狀態，原則上，在本機電腦進行Git複製時，這類可疑的儲存庫會被清理掉，然而，在未修補這個漏洞的Git版本，卻能複製包含Git儲存庫的ZIP壓縮檔時，略過相關的防護機制，有心人士可藉此疏漏而能執行不安全的掛鉤機制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2024-32465.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-32465.jpg" style="width: 600px;" /></a></p> </div></div></div>
2024/5/21 16:23作者李宗翰https://www.ithome.com.tw/news/163000
【西雅圖現場直擊】宏碁推出微軟Copilot+PC筆電，搭載NPU內建3大原生AI應用程式和AI優化功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日，隨著微軟在美國西雅圖時間5月20日發表AI系列筆電Copilot+PC，宏碁也在現場展示該系列筆電Swift 14 AI，搭載高通Snapdragon X系列平臺、整合微軟NPU晶片，每秒提供45兆次運算能力（TOPS），可加速AI模型推論和整體AI應用處理速度，讓Copilot執行速度更快了。該筆電除了有Copilot鍵，也內建幾款微軟開發的AI應用程式，像是回顧（Recall）、圖像創作（Cocreator）、即時字幕（Live Caption）等，也提供AI優化功能。</p> <p><span style="font-size:22px;"><strong>硬體加速，內建微軟原生AI Apps和AI優化功能</strong></span></p> <p>進一步來說，這款<a href="https://u18381814.ct.sendgrid.net/ls/click?upn=u001.-2FWpo-2FORJvEP85qZks-2B0bUEgGzSpkLEZXuirXSL5g5jlIFYIsIxQL3iI3RxIG41nqxcvu_orjysA4GfiNEzEI9PKfLoSLKukJzsSUs3Ue1eC0IuTm4qc-2Bue42uI87tBURS5TcWQQayYhlLCxwnm7VHbPsKnbGJJozRia00GHYHRu1bxWQBjg-2BRo2tCy3-2BYpjQiSRamCXgu3B5Q8Of9yY9uUS4i4TI5QT4uNmur8xWgQUECV-2Fy1PAZS1aQ5x9AYo9gyHhjHX1LawpXsW0VV4kcXK54wjklyzbMtV3NrX6WArY1CR3TLgoK5EHLS6o9uBjzyP1eGGFejpe8EEN17ZUfc8yoJirY8vLcsHd2gHaSQDHrkOr28RStvxaqM6MaliVQMOLKxMwkWP6I0I6qFf3AXVmg-2FH9Y-2BCb59r3DkSSgtjh7ePPl-2BzMP2w77Gz2gM5030dhpCY9eJYGWysFDtq-2B1OafjnvsxRU-2BesyOSouVA1KeFST9u5qk1MswQbzdSGmKOXLt9N3Ee7AWNeG4sLTIdPpBsKdXHwrvoq4vG-2BDz7r8mWZdPQ-3D">Swift 14 AI</a>筆電有多種機型，皆搭載微軟NPU、Snapdragon X Elite或Snapdragon X Plus平臺，可用來加速AI模型推論，每秒執行45兆次運算。這個Snapdragon X系列處理器專為Windows打造，功能強大、低功耗，而Swift 14 AI搭載Snapdragon X Elite處理器的機型，在4奈米製程節點上，設置12個高性能CPU核心，也搭載3.8 TFLOPS的Adreno GPU和45 TOPS的Hexagon NPU。該筆電還同時配備32GB LPDDR5X-8533記憶體，以及最高1TB的NVMe PCIe Gen 4 SSD，能在不犧牲功耗的情況下增強系統效能，並實現複雜的多工處理。</p> <p>在這些硬體優勢下，該系列筆電內建微軟AI功能，比如回顧（Recall）透過對螢幕快照，供使用者用關鍵字來查找瀏覽過的資訊，不論是網頁、簡報或對話都可以，也能手動滾動時間軸來尋找。同時，為確保隱私，使用者也能自行設定快照範圍，或在某些網站停用快照功能。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/acer%20recall.jpeg" /></p> <p>另一個AI應用程式是Cocreator，使用者只要輸入文字提示，或在畫布上簡單畫幾筆，系統就能生成細緻的圖像。另一個AI功能則是即時字幕（Live Captions），可對電腦中任何音檔進行即時字幕顯示和翻譯，不論是直播內容、線上會議還是預錄好的影片都可以，能將44種語言翻譯為英文。</p> <p>其他AI優化功能還包括自動超解析度（Auto Super Resolution），能即時自動提高遊戲影像解析度和螢幕刷新率，Windows工作室效果（Windows Studio Effects）則能自動改善光線，同時過濾不必要的環境噪音，保持視訊會議中的最佳狀態。Swift 14 AI一樣具備Copilot專屬按鍵，使用者可一鍵呼叫AI助理。</p> <p>宏碁運算軟體技術資訊產品事業總處長楊朝光現場說明，宏碁這系列Copilot+ PC筆電設計輕薄，僅1.36公斤，在機殼上還印有特殊AI圖示、在觸控板上配置AI指示燈（如下圖），後者在筆電執行Copilot功能或使用NPU資源時，就會亮起。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/acer%E8%A7%B8%E6%8E%A7.jpeg" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/acer%E5%A4%96%E6%AE%BC.jpeg" /></p> <p>宏碁營運長高樹國現場指出，Swift 14 AI這一系列筆電是宏碁Copilot+ PC產品線中的首發產品，專為AI打造。但他也表示，這並非宏碁唯一瞄準的產品線，「我們的目標是打破人們與科技的壁壘，」包括讓不同需求和背景的客群都能享受AI。於是他們以此原則來佈局AI筆電產品線，涵蓋微軟、Google、英特爾、AMD和高通等作業系統和硬體廠商，範圍也包括消費級筆電、商務級和電競級筆電，盡可能滿足各個市場需求。</p> <p></p> </div></div></div>
2024/5/21 17:12作者王若樸https://www.ithome.com.tw/news/163004
強化DevOps與開發效率，GitLab 17.0加入CI/CD目錄與AI影響分析儀表板
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.gitlab.com/releases/2024/05/16/gitlab-17-0-released/">GitLab 17.0</a>新版本擁有許多新功能與改進，主要更新包括目前CI/CD目錄功能已經正式推出，開發團隊可以更容易地管理和使用CI/CD資源，而新增的AI影響分析儀表板，則可供開發團隊更好地理解AI對專案的影響，改善協作、可見性和開發效率。另外，GitLab託管執行器（Hosted Runner）現在也新增Linux Arm機器，讓開發者有更多平臺選擇。</p> <p>該版本CI/CD目錄功能向所有層級使用者開放，CI/CD目錄是一個元件庫，其中包含了由社群與業界專家所建立的元件，提供大量持續整合、工作管線部署和自動化任務解決方案，用戶可以在CI/CD目錄中，找到符合需求的元件。</p> <p>CI/CD目錄中的兩個重要基本功能，分別是CI/CD元件以及CI/CD輸入。CI/CD元件是可重複使用且單一用途的建構模組，抽象化了複雜的工作管線配置工作，透過使用元件，開發者便可以快速組裝工作管線，不需要每次都從頭開始建置。CI/CD輸入功能則讓開發者在元件配置中定義輸入參數，而這些參數可以動態替換元件中的特定關鍵字，這將使CI/CD設定檔可被重複使用，提升了配置的靈活性。</p> <p>GitLab新的AI影響分析儀表板，目的在於呈現GitLab Duo對開發生產力的影響。GitLab Duo是GitLab的人工智慧程式開發助理，具有程式碼建議、分析等功能。而AI影響分析儀表板則會按月，將人工智慧功能使用趨勢和軟體開發周期指標進行比較，顯示開發工作流程節省的時間與成果。</p> <p>現在GitLab也在GitLab.com上推出Linux Arm託管執行器，新的執行器提供中型和大型Arm機器，分別配備4與8個vCPU，並且與GitLab CI/CD功能緊密整合，官方提到，Linux Arm託管執行器將可提供更快速且經濟的應用程式建置和測試服務。</p> </div></div></div>
2024/5/21 15:30作者李建興https://www.ithome.com.tw/news/162997
美國逮捕涉嫌經營暗網Incognito Market的一名臺灣人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.justice.gov/opa/pr/incognito-market-owner-arrested-operating-one-largest-illegal-narcotics-marketplaces" target="_blank">美國司法部本周表示</a>，18日在美國約翰·甘迺迪國際機場逮捕了一名年僅23歲的臺灣公民林睿庠（Ruisiang Lin），因他涉嫌經營專門銷售毒品的暗網市集Incognito Market，倘若包括毒品陰謀罪、洗錢罪、假藥罪的罪名皆成立，最高可能面臨終身監禁。</p> <p>Incognito Market在2020年10月於暗網中成立，使用者只能透過Tor網路存取該市集，根據調查，林睿庠在網路上使用Pharoah或faro的暱稱，並負責監督Incognito Market的所有營運。</p> <p>Incognito Market主要銷售毒品，還建立了自己的銀行，供應商必須先註冊並支付平臺費用，買家可於該平臺建立自己的加密貨幣銀行帳戶以用來交易，平臺則在收取5%的交易手續費之後再把金額轉至供應商的帳戶。從成立到今年3月結束，該平臺的毒品交易金額超過1億美元，估計林睿庠已因此而獲利數百萬美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-Incognito%20Market-1-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%BE%8E%E5%9C%8B%E5%8F%B8%E6%B3%95%E9%83%A8.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／美國司法部</span></span></p> <p>美國司法部並未公布Incognito Market市集上的供應商或買家數量，不過在林睿庠被逮捕之前，位於暗網的Incognito Market即已浮上檯面。</p> <p>主要是Incognito Market用戶在今年3月初發現，無法自該平臺的銀行領出加密貨幣，懷疑遭到「結束詐騙」（Exit Scam），亦即駭客在收山之前捲走所有款項。而根據<a href="https://www.coindesk.com/policy/2024/05/20/alleged-owner-of-darknet-narcotics-bazaar-incognito-market-arrested-in-new-york/" target="_blank">《CoinDesk》</a>的報導，林睿庠不僅捲走款項，還勒索供應商，要求它們支付100至2萬美元不等的費用，否則就要外洩其客戶資料。</p> </div></div></div>
2024/5/21 15:09作者陳曉莉https://www.ithome.com.tw/news/162999
【西雅圖現場直擊】微軟揭露新一代AI筆電Copilot+PC，不只更快更有效率還內建40多個AI模型和3大AI App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（美西時間5月20日），就在微軟Build 2024技術大會前一天，微軟執行長Satya Nadella在西雅圖園區重磅揭露新一代AI筆電產品，稱為Copilot+PC，由微軟處理器NPU驅動、每秒可執行40兆次運算（TOPS），比傳統CPU和GPU更有效率。在軟體部分，這系列筆電內建了40多個地端AI模型和多種AI原生App，像是回顧Recall、圖像創作Cocreator、即時字幕與翻譯Live Caption等，另還有自動超解析度（Auto Super Resolution）和Windows工作室效果（Windows Studio Effects）等功能。這些筆電將由微軟Surface和OEM合作夥伴提供，包括華碩、宏碁、Dell、聯想、HP和三星等，預計6月18日開始上市。</p> <p><span style="font-size:22px;"><strong>硬體加速多模態AI應用，新添回顧App快速找到所需資料</strong></span></p> <p>「30年前，微軟在西雅圖園區發表Windows 95電腦；30年後的今天，我們在令人驚豔的AI時代再次談論Windows電腦。」Satya Nadella口中的Windows新電腦，正是用NPU加速、每秒執行40兆次運算的Copilot+PC。這系列筆電搭載高通Snapdragon X Elite和Snapdragon X Plus處理器，可更快進行AI模型推論，比如執行AI工作負載的效率可高上100倍，續航力也更好，充電一次就能支援長達15小時的網頁瀏覽，或是22小時的本地影片播放，後者比MacBook Air 15 吋還要持久20%。</p> <p>有了硬體優勢，再加上40多個內建的AI模型，微軟在這系列筆電中新添功能更強大的AI App，其一就是回顧（Recall）。這個App由微軟軟體工程師Carolina Hernandez帶領開發，目的是要幫助使用者快速找到所需的資訊，不論是瀏覽過的網頁、簡報、Email還是對話。它的運作原理是，在使用者操作時先進行螢幕快照（Snapshot），並將這些資訊轉換為向量，儲存在語意索引中。當使用者後來想搜尋先前看過的資訊時，就能在Recall中手動捲動時間軸搜尋，或輸入關鍵字，來啟動向量語意辨識、快速找出所需內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/recall.jpeg" /></p> <p>這些快照皆儲存在本地端，使用者可隨時刪除，或是在設定中設置不想留存快照的特定網站或應用程式。</p> <p><span style="font-size:22px;"><strong>以Stable Diffusion模型為基礎，新推圖像創作App</strong></span></p> <p>另一款Copilot+PC筆電內建的AI App是Cocreator。這個App由5個本地端模型驅動，像是Stable Diffusion、小型語言模型等，來根據使用者文字提示或畫布上簡單幾筆，即時生成高品質逼真圖像。使用者還能自行調整創意程度，來決定生成的逼真程度；此外，不只是圖像生成，使用者還能透過照片編輯功能，來重新設計照片風格，比如更改背景、前景或整張照片。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cocreator.jpeg" /></p> <p><span style="font-size:22px;"><strong>即時字幕App支援40多種語言即時翻譯</strong></span></p> <p>Copilot+PC筆電還內建一款即時字幕（Live Caption）的原生AI App。這款App可即時將中文、法文、俄文等40多種語言翻譯到英文，不論是線上會議還是YouTube影片，只要是筆電發出的音訊都能即時翻譯。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%8D%B3%E6%99%82%E7%BF%BB%E8%AD%AF.jpeg" /></p> <p><strong><span style="font-size:22px;">還有更多AI加持功能</span></strong></p> <p>不只上述3大原生AI App，這系列筆電還有許多AI優化的功能，像是自動超解析度（Auto Super Resolution）能自動提高影像解析度和螢幕刷新率，Windows工作室效果（Windows Studio Effects）能自動改善光線、過濾環境噪音，還能追蹤視線，自動調整視訊會議的角度，如放大、置中等。甚至，就連智慧助理Copilot也更智慧化，比如能在筆電上與玩家語音對話、給玩家XBox遊戲Minecraft的破關建議。</p> <p>微軟這一系列筆電之所以能整合如此多種AI功能，是因為具備Windows Copilot Runtime新架構，包含40多個AI模型，來支援各種智慧應用。微軟預告，接下來，他們也會用AI強化Photos App功能，比如提供AI生成的照片描述、改善照片品質等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/photos%20app.jpeg" /></p> <p>除了AI原生App和功能，微軟今日也預告，Copilot+PC系列筆電將整合更多應用程式，並用NPU來優化這些應用程式的AI功能，目前已納入Adobe Photoshop、Lightroom和Express，而Illustrator、Premiere Pro等應用程式將於今年夏季推出。不只Adobe，這系列筆電還內建專業影片編輯工具DaVinci Resolve Studio、影片剪輯工具CapCut，後者還能將使用者加入的影片重置，另外配新背景和音樂，打造專屬MV。</p> <p>這個Copilot+PC系列筆電，包含微軟自己的Surface Laptop、Surface Pro，以及OEM合作夥伴宏碁、華碩、Dell、HP、聯想、三星的系列筆電，預計6月18日開始供貨。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/copilotpc.jpeg" /></p> <p></p> </div></div></div>
2024/5/21 10:26作者王若樸https://www.ithome.com.tw/news/162988
美國女演員Scarlett Johansson抗議OpenAI未經許可使用她的聲音
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾經主演過《戴珍珠耳環的少女》（Girl with a Pearl Earring）與《愛情，不用翻譯》（Lost in Translation）等電影的美國女演員<a href="https://x.com/BobbyAllyn/status/1792679435701014908" target="_blank">喬韓森（Scarlett Johansson）本周向媒體發出聲明</a>，指出OpenAI未經她的同意便在ChatGPT 4.0中使用她的聲音，隨著媒體披露此事，<a href="https://x.com/OpenAI/status/1792443575839678909" target="_blank">OpenAI即宣布</a>將暫停使用遭到質疑的Sky聲音。</p> <p>Johansson於聲明中表示，她是在去年9月收到OpenAI執行長Sam Altman的邀請，希望她能替ChatGPT 4.0配音，認為她的聲音可撫慰人心，彌補科技公司與創意人員之間的差距，也能推動人們遷移至AI。後來Johansson因為個人原因婉拒了這個提議，但她的親友卻在最新的系統上，發現被OpenAI命名為Sky的聲音很像她。</p> <p class="rtecenter"><a href="https://x.com/BobbyAllyn/status/1792679435701014908" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-Scarlett%20Johansson-OpenAI-statement.png" style="width: 520px;" /></a></p> <p>當她自己聽到時也感到震驚、憤怒與難以置信，且Altman在新系統發布當天<a href="https://x.com/sama/status/1790075827666796666" target="_blank">還在X上打了個「her」</a>，而這正是Johansson在2013年主演的電影名稱《雲端情人》（Her），Johansson劇中飾演的就是與人類談戀愛的AI助手。</p> <p>Johansson說，就在ChatGPT 4.0要發表的前兩天，Altman仍企圖聯繫她，要求她再考慮一下，但雙方還未真正接觸時，ChatGPT 4.0就上線了，這迫使她聘請了法律顧問，要求OpenAI揭露創造出Sky聲音的程序，最後OpenAI才勉強同意刪除Sky。</p> <p>Johansson所指的新系統應該是OpenAI在5月中發表的<a href="https://www.ithome.com.tw/news/162852" target="_blank">多模態模型GPT-4o</a>，該模型同時支援文字、聲音與圖像的輸入與輸出。在語音模式中，ChatGPT允許使用者選擇不同的聲音，包括Breeze、Cove、Ember、Juniper和Sky。</p> <p>另一方面，<a href="https://openai.com/index/how-the-voices-for-chatgpt-were-chosen/" target="_blank">OpenAI也解釋</a>了挑選ChatGPT聲音的過程，指出這5種聲音是經由長達5個月的遴選才定案的，去年的公開招募吸引了超過400名配音員或演員的角逐，Sky的聲音並非模仿Johansson，而是另一位女演員的作品。</p> <p>不過，OpenAI以隱私為由，拒絕透露該名女演員的姓名，繼之又透過X宣布，將暫停使用Sky直至爭議解決。</p> </div></div></div>
2024/5/21 14:02作者陳曉莉https://www.ithome.com.tw/news/162990
【moda專欄】電子簽章的相關技術介紹
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>作者／數位發展部資訊處周智禾副處長</strong></p> <p>近期為因應資訊科技及數位經濟的迅速發展，我國正如火如荼展開相關電子簽章法修法作業。本篇將深入探討其中的技術細節。</p> <p>與《電子簽章法》修法相關討論，請參考這篇文章：<a href="https://moda.gov.tw/press/multimedia/blog/12792.html" target="_blank" title="另開新視窗">電子簽章法新制與產業新興應用場景</a></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>什麼是電子簽章？</strong></span></span></p> <p>我們這裡要探討的是符合《電子簽章法》所定義的電子簽章（Electronic Signature）：指的是依附在電子文件內並與文件相關連，用以辨識及確認電子文件簽署人身分、資格及電子文件真偽的簽章；一般電子簽章常使用演算法與資通訊安全技術（<a href="https://www-api.moda.gov.tw/File/Get/moda/zh-tw/IECWFhsBwSg9XTt" target="_blank" title="另開新視窗">相關技術詳本部 111 年 12 月 2 日產經字第 1114000229 函釋</a>），以達成符合電子簽章法的要件。</p> <p>其他像是將一張手寫簽名的圖片加到電子文件中，或是在電子文件上，使用手機、平板或手寫板進行簽名等，這些方式容易被人使用繪圖工具進行複製或修改，而不易辨別其真偽，難以正確舉證簽署人的身分，並不是電子簽章法中所說的電子簽章，所具備的效力較低。</p> <p>我們將使用電子簽章的過程分為三階段來看：</p> <p><strong>一、事前準備：</strong></p> <p>使用者選擇線上簽署平臺，如中華電信快意簽、凱鈿行動科技點點簽、蒙恬科技好好簽、臺灣網路認證的 TWES 電子簽署等平臺，先進行註冊及上傳待簽署的電子文件，並指定簽署人資訊、身分驗證方式及待簽章欄位等資訊，以「設定簽章與電子文件的關連」；等設定完成後，簽署平臺會通知簽署人登入平台上進行後續的文件簽署。</p> <p><strong>二、事中簽章：</strong></p> <p>當簽署人要在文件上簽章時，會需要通過指定的驗證方式（像是帳號密碼、SMS 簡訊密碼、一次性密碼 OTP 等），來達成「辨識及確認簽電子文件簽署人身分、資格」的要件，然後執行簽章動作，例如將自己簽名的圖片檔擺放到文件中的簽章欄位。</p> <p><strong>三、事後驗證：</strong></p> <p>拿到經過電子簽章的文件後，任何人都可以直覺判斷這份文件是否具備合法的簽章。</p> <p>如果在前一步驟進行電子簽章時，簽署平臺有搭配使用符合 PDF 軟體，如 Adobe 所列的認可信任清單（Adobe Approved Trust List, AATL）的數位憑證（Digital Certificate）來針對電子文件或稽核軌跡資訊進行數位簽章，那麼使用 Adobe Acrobat 或 Acrobat Reader 軟體開啟已簽署文件時，軟體會協助確認文件是否曾被竄改、數位憑證資訊的有效性等，並在軟體上顯示，藉此更好的達成電子簽章法要件中「辨識及確認電子文件真偽」。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>更具效力的數位簽章</strong></span></span></p> <p>在這次電子簽章法修法中，明定數位簽章（Digital Signature）是電子簽章的一種，並且符合以下條件：將電子文件以數學演算法或其他方式運算為一定長度之數位資料，以簽署人之私密金鑰對其加密，形成電子簽章，得以公開金鑰加以驗證，並具憑證機構簽發之憑證者。</p> <p>從這個條件中我們可以看到幾個重點，依先後順序大概可分為 3 個部分：</p> <p>我們將使用電子簽章的過程分為三階段來看：</p> <p>一、我們通常會透過雜湊演算法將電子文件進行運算，然後得到一個固定長度的數位資料，除有效縮短資料長度外（一般我們可以把運算結果稱為訊息摘要，就像是用指紋來代替某個真實的人），同時也可以用來加速後續進行數位簽章的運算速度。</p> <p>二、在進行數位簽章時，以目前常見技術，我們通常使用非對稱式加密系統，每個人會有 1 把公開金鑰及 1 把私密金鑰，要進行簽章的人（稱為簽署人），會用他的私密金鑰（就像是他的私人印章）對前面固定長度的數位資料進行加密運算（就像蓋章的動作，在密碼學中實際稱為簽章運算），其結果稱為數位簽章。</p> <p>三、任何人拿到前面的數位簽章，如果想要驗證這個數位簽章的正確性，可以拿簽署人的公開金鑰進行驗證，為了知道這把公開金鑰是不是真的是屬於這個簽署人的，我們會拿憑證（就像是印鑑證明）來證明它的真偽。</p> <p>這雖然聽起來很複雜，但對簽署人來說其實完全可以對應到現實生活中經常使用的簽名需求：假設我們要簽署一份文件，只要使用自己的個人私章（私密金鑰）進行蓋章（簽章），就可以得到這份蓋章（簽章）後的文件，若要確認蓋章（簽章）的真實性，只需要利用蓋章人的印鑑證明（簽章人的公開金鑰）進行驗證即可。</p> <p>在真實世界中，我們可以透過申請得來的印鑑證明來確認印章的真實性及正確性，但在數位世界中，前面所提的數位簽章過程有一個問題：如何得知拿到的公開金鑰是正確的？畢竟它看起來只是一串很長的數字或是英數混合的字串。這時候就需要一份資料能夠說明和證明這把公開金鑰是誰的，這份資料就是所謂的「憑證（Certificate）」。憑證的內容包含序號、版本、公開金鑰、用途（用來加解密或簽章）、識別碼、有效日期等資訊，但這些內容只能說明這張憑證是誰的，並不能保證憑證是真的，所以需要有一個公正第三方來為這張憑證進行背書，也就是憑證機構（Certificate Authority, CA）。</p> <p>像是中華電信通用憑證管理中心（PublicCA）及台灣網路認證公司（TWCA）皆為憑證機構，而背書指的是「由憑證機構為這張憑證進行簽章」，因此簽章還包含簽發者名稱、簽發者唯一識別碼、簽章演算法、CA 對這張憑證的簽章等資訊，可以確保這張憑證的完整性及不可否認性。</p> <p>總之，這次修法特別強調數位簽章能「連結及識別簽名人」、「偵測簽名所依附文件之改變」，並且「具憑證機構簽發之憑證，具一定程度的公信力」，因此「推定」為本人親自簽名或蓋章的效力。</p> <p>接下來我們將近一步解釋數位簽章的技術細節及相關的名詞。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>淺談密碼學</strong></span></span></p> <p>前文我們解釋了數位簽章需要以私密金鑰進行數學的運算，但實際上怎麼進行呢？這牽涉到一些密碼學（Cryptography）的相關知識。讓我們先有個簡單的概念：加密前的訊息稱為明文（Plaintext），而加密後的則稱為密文（Ciphertext）。</p> <p><span style="color:#3399ff;"><strong>對稱式密碼系統</strong></span></p> <p>早在上千年以前就出現著名的凱薩密碼（Caesar Cipher），其原理是將明文的每個英文字母使用往後數的第三個字母來取代，例如把 A 用 D 取代、把 B 用 E 取代，以此類推，全部取代完後的訊息就是密文；之後也出現多個類似用這種取代（Substitution）技巧，而複雜度越來越高的密碼系統。</p> <p>另一類密碼系統則是使用置換（Transposition）的技巧，主要是將明文的每個字母按一定的規則進行重新排列成為密文，例如明文為digitalaffairs，把它分成 2 行寫，再按列的順序讀取成為密文，如表圖 1 所示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-moda-%E9%9B%BB%E5%AD%90%E7%B0%BD%E7%AB%A0-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">表圖 1：使用置換技巧之加密方式</span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／數位部）</span></p> <p>你會發現，前面所提到的取代或置換，只要你知道明文如何轉換成密文的規則，你就可以很容易將密文再轉回原本的明文，這個規則如同一把金鑰（Key），只要反過來執行一次就行了。</p> <p>這就是對稱式密碼系統（Symmetric Cryptosystem），加密及解密使用同一把金鑰。隨著時間的推移，密碼系統透過更複雜的取代及置換，再搭配其他數學邏輯（如「互斥或」Exclusive or, XOR）或其他運算等，形成更加安全的對稱式密碼系統，簡單的示意如圖 2，如近代著名的資料加密標準（Data Encryption Standard, DES）、進階加密標準（Advanced Encryption Standard, AES）等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-moda-%E9%9B%BB%E5%AD%90%E7%B0%BD%E7%AB%A0-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖 2：對稱式密碼系統加解密</span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／數位部）</span></p> <p>對稱式密碼系統成功實現了我們對資料機密性的需求，它的優點包括，金鑰較小：金鑰長度如果是 128 位元，把它轉成我們生活常見的十進位數字，長度大概是 38 位數，而適用於缺乏運算能力的環境；此外，對稱式的加解密機制容易使用硬體來實作，執行速度相當快；最後，它還能有效抵抗這幾年大家常討論量子運算（Quantum Computing）所帶來的破密威脅。</p> <p>但因為它的機制是加密及解密使用同一把金鑰，因此衍生出諸多問題，例如，通訊雙方彼此不認識，如何產生或分享同一把金鑰？此外，每個人都要與另一個人之間有一把獨一無二的金鑰，將會造成金鑰數量龐大，例如有 1,000 個人，彼此之間都有加密解密的需求，那麼任兩人之間都要有一把金鑰，透過排列組合運算，總共需要 C10002 把金鑰，也就是 499,500 個；最後，因為通訊雙方都有同一把金鑰，我們無法得知是誰拿金鑰對訊息進行加密，無法滿足不可否認性（Non-Repudiation），也就是說，你無法確切知道是誰拿金鑰對訊息進行加密運算，萬一這把金鑰不小心掉了，也無從知道是誰洩露了。</p> <p><span style="color:#3399ff;"><strong>非對稱式密碼系統</strong></span></p> <p>因為對稱式密碼系統存在許多尚待克服的議題，因此後面發展出非對稱式密碼系統（Asymmetric Cryptosystem），如 RSA、橢圓曲線密碼學（Elliptic Curve Cryptography, ECC），這也是目前數位簽章主要的使用技術。</p> <p>非對稱式密碼系統與對稱式密碼系統最大的不同點在於，每個人都會有 2 把金鑰，分別為公開金鑰（Public Key）及私密金鑰（Private Key），使用者先選擇一把私密金鑰並收藏好，不讓別人知道，之後就可以輕易地計算得到相對應獨一無二的公開金鑰。</p> <p>公開金鑰及私密金鑰的用法有兩種，第一種是所謂的加解密，假如 Alice 想要將訊息加密傳給 Bob，那麼 Alice 拿 Bob 的公開金鑰對訊息進行加密運算得到密文，Bob 收到後拿自己的私密金鑰進行解密運算得到明文；另外一種應用則是所謂的數位簽章。在大部分的密碼系統中，加密指的是拿對方的公開金鑰來進行加密運算，而簽章一樣是執行加密運算，只不過改成拿自己的私密金鑰。你會發現，前面所提到的取代或置換，只要你知道明文如何轉換成密文的規則，你就可以很容易將密文再轉回原本的明文，這個規則如同一把金鑰（Key），只要反過來執行一次就行了。</p> <p>舉例來說，Alice 想要傳遞一份他看過且認可的訊息，如同現實生活中我們簽署同意書或契約書一樣，那麼 Alice 可以拿自己的私密金鑰對訊息進行簽章運算，運算完的結果就是所謂的數位簽章，任何人想驗證這個數位簽章的真實性，可以拿 Alice 的公開金鑰來進行解簽章運算，解完後的結果再與原始訊息比對是否一致。簡單的示意如圖 3。</p> <p>附帶一提，前面所談的簽章，一般實務上會先將訊息進行雜湊運算1得到雜湊值，之後再針對雜湊值進行簽章運算，除了可縮小訊息的大小，也可以加快運算速度。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-moda-%E9%9B%BB%E5%AD%90%E7%B0%BD%E7%AB%A0-600-3.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖 3：非對稱式密碼系統加解密及數位簽章</span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／數位部）</span></p> <p>非對稱式密碼系統似乎完美解決了對稱式密碼系統面對的金鑰分配問題，也可透過簽章達到不可否認性，因為簽章需要拿自己的私密金鑰，也只有簽署人有這把私密金鑰。不過，非對稱式密碼系統的公開金鑰及私密金鑰長度相對較長，以 RSA 1024 為例，把它轉成我們生活常見的十進位數字，其長度大概是 308 位數，比起對稱式密碼系統金鑰多出許多，再加上大部分非對稱式密碼系統設計原理是基於特定數學的困難度，計算過程相當複雜，所以它的加解密速度較慢，較難適用於缺乏運算資源的環境。</p> <p><span style="color:#3399ff;"><strong>安全與強度</strong></span></p> <p>以下補充幾個非對稱式密碼系統議題。首先是私密金鑰很重要也很隱密，最方便的作法是將私密金鑰儲存成一個檔案，並輔以用密碼保護它，當要開啟及使用私密金鑰時，使用者需要輸入正確的密碼才能使用；另一種常見的作法係將私密金鑰存放到硬體載具中，如自然人憑證，為確保其安全性，私密金鑰不會被讀取出來，所有使用私密金鑰進行解密或簽章時，是將密文資料送到自然人憑證中進行運算，再取得運算完的結果。</p> <p>此外，非對稱式密碼系統讓任何人都可以拿到別人的公開金鑰，而公開金鑰跟私密金鑰之間存在一定的關係，由於這是基於數學困難度的演算法，並非不能被破解，關鍵在於時間及成本，最直覺的作法是暴力破解法，一個一個去猜密鑰是什麼，就像猜密碼一樣。</p> <p>如果以電腦每秒可運算百萬或千萬次的速度去破解，可能需要數百年才能完成；但積體電路存在摩爾定律，也就是相同面積的晶圓下生產同樣規格的 IC，隨著製程技術的進步，每隔 18 個月，IC 產出量就可增加一倍。隨著電腦速度越來越快，再加上各式超級電腦的誕生，破解非對稱式密碼系統的時間逐漸大幅降低，所以我們可以發現，這類非對稱式密碼系統所使用的金鑰越來越長，如 RSA 從一開始的 512 位元變成 1024 位元，現在則是建議至少使用 2048 位元，這數字的確相當大，所以要暴力破解需要非常長的時間，甚至安全等級要求高一點的金鑰會長達 4096 位元。</p> <p><span style="color:#3399ff;"><strong>數位信封</strong></span></p> <p>對稱式密碼系統及非對稱式密碼系統各有優缺點，各取兩種系統的長處所開發出來的「數位信封」是目前最新型態的做法：假設 Alice 及 Bob 都各自擁有非對稱式密碼系統的公開金鑰及私密金鑰， Alice 先產生一把對稱式密碼系統的金鑰，再拿這把金鑰對明文進行加密後得到密文，然後 Alice 再拿 Bob 的公開金鑰對前面的金鑰進行加密，形成數位信封（Digital Envelope）；Alice 同時把密文及數位信封送給 Bob，Bob 用自己的私密金鑰對數位信封進行解密以得到金鑰，再用這把金鑰對密文進行解密以得到明文，如圖 4 所示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-moda-%E9%9B%BB%E5%AD%90%E7%B0%BD%E7%AB%A0-600-4.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖 4：數位信封（圖片來源／數位部）</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>與時俱進的數位簽章</strong></span></span></p> <p>隨著數位簽章的技術成熟，搭配本次修正電子簽章法，確認使用經主管機關許可的憑證機構所簽發的憑證，除強化數位簽章的效力，並要求各行政機關須以法律明定排除電子簽章法適用，數位簽章將如同傳統紙本時代的印鑑證明，可推定數位簽章為本人親簽或蓋章，在法律訴訟上具有更強的證據能力。未來，現行紙本模式的行政程序，基本都可以採線上方式。</p> <p>隨著數位簽章的國際標準化及法律認可後，在安全條件相當，且符合國際互惠或技術對接合作原則下，數位簽章可應用在更多國際互動，例如國與國之間簽訂合作備忘錄（MOU），以後將有機會演進成直接進行線上（數位）簽署。</p> <p>前面提到常用的數位簽章均是使用非對稱式加解密演算法，是目前相對安全的方式，但這類的演算法多是基於數學計算難題（如分解質因數問題、離散對數問題等），未來，運算能力更強的量子電腦可以輕易的破解這些問題。雖然量子電腦目前尚未成熟，但近年來研究機構已開始未雨綢繆，著手研究「後量子密碼學（PQC）」，利用現有的電腦環境，設計出無法被量子電腦有效解決的計算難題，以因應未來可能面臨的威脅。</p> <p>此外，面對生成式 AI 帶來新的挑戰與衝擊，數位簽章也可以用來驗證資料是否為 AI 或是人類產生，未來數位簽章會是數位世界裡的重要基礎建設，提供信任、驗證與不可否認等機制，值得所有人一起努力，讓數位世界更安全與便利。</p> <p><a href="https://moda.gov.tw/press/multimedia/blog/12794" target="_blank"><strong>（本文轉載自moda blog）</strong></a></p> </div></div></div>
2024/5/21 12:00署名 moda專欄https://www.ithome.com.tw/news/162980
微軟發表具備強大AI支援能力的Copilot+ PC，最低價999美元，6月出貨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周一（5/20）<a href="https://blogs.microsoft.com/blog/2024/05/20/introducing-copilot-pcs/" target="_blank">揭露了全新的個人電腦系列Copilot+ PC</a>，這是專為AI時代打造的個人電腦，採用高階的高通（Qualcomm）Snapdragon X Elite或 Snapdragon X Plus處理器，宣稱其性能超越基於蘋果自製晶片M3的MacBook Air，除了微軟自家的Surface產品線之外，包括宏碁、華碩、Dell、HP、聯想與三星都將推出Copilot+ PC，預計於6月18日上市，最低售價為999美元。同一天微軟也發表了藉助AI能力的<a href="https://blogs.windows.com/windowsexperience/2024/05/20/accelerating-innovation-a-new-era-of-ai-at-work-begins/" target="_blank">新功能Recall</a>，這是個進階版的時間機器，可更容易搜尋使用者曾於桌面上所看到的任何內容。</p> <p>Copilot+ PC採用全新的系統架構，整合了CPU、GPU與神經處理單元（NPU），結合裝置上的小型語言模型（SLM）與連結到Azure Cloud的大型語言模型（LLM）來達到前所未有的AI性能。根據微軟的說法，Copilot+ PC在執行AI任務時，可達到20倍的性能，與100倍的效能，播放影片的電池續航力為22小時，瀏覽網路則是15小時，相較於採用蘋果自製M3晶片的15吋MacBook Air，Copilot+ PC的多執行緒性能提升了58%，播放影片的電池續航力則多出了20%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-microsoft-Copilot%2B%20PCs_new%20Surface%20(2).png" style="width: 600px;" /></p> <p>不管是Copilot+ PC所採用的高通Snapdragon X Elite與Snapdragon X Plus處理器，或者是蘋果自製的M系列處理器，都是基於Arm架構。</p> <p>包括微軟與其合作夥伴都已準備要推出Copilot+ PC，其中，微軟自家的Surface Pro及Surface Laptop即日起便開放預購，其它還有宏碁的Swift 14 AI 2.5K、華碩的ASUS Vivobook S 15、Dell則有5款Copilot+ PC，HP的OmniBook X AI PC與HP EliteBook Ultra G1q AI PC，聯想的Yoga Slim 7x與ThinkPad T14s Gen 6，以及三星的Galaxy Book4 Edge。上述AI筆電的最低價格為999美元。</p> <p>Copilot+ PC每秒可實現40兆次以上的操作，支援全天候的電池續航力，也可存取最先進的AI模型，使其解鎖了許多功能，包括新的Recall，它是用來查詢使用者在電腦上所看過的任何內容。微軟說明，Copilot+ PC組織資訊的方式跟使用者一樣，是基於每個人所經歷的特定關係或關連，因此只要利用某些記得的線索就能快速找到內容。</p> <p>例如使用者可透過時間軸來查找內容，不管這些內容是存在於應用程式、網站或文件中，Recall透過螢幕快照與使用者互動，並可提出建議。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-microsoft-Copilot%2B%20PCs_Recall.png" style="width: 600px;" /></p> <p>Recall的程序與內容只存在於裝置上，於是使用者可刪除個別的快照，也能藉由設定調整及刪除時間範圍，或是直接在工作列System Tray中的圖示按暫停，也能過濾那些不想被儲存的應用程式及網站，以保護自己的隱私。</p> <p>在Copilot+ PC上能展現更佳性能的微軟應用，還包括即時字幕及即時翻譯，當中的即時字幕目前支援將逾40種語言轉譯成英文，不論是即時視訊、錄音或串流內容。Paint中的Cocreator允許使用者結合其筆觸，以及以文字描述的圖像來創造畫面。受益於Copilot+ PC還有諸如DaVinci Resolve Studio、Cephable及CapCut等第三方影像編輯應用。</p> <p>除了基於Arm架構的Copilot+ PC之外，微軟也計畫在今年發表採用英特爾及AMD處理器的Copilot+ PC。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2024/5/21 12:03作者陳曉莉https://www.ithome.com.tw/news/162989
提供3百萬IOPS隨機讀取效能，群聯推出PCIe 5.0商用SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/qun_lian_phison_x200_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年台北國際電腦展於6月初舉行，部分廠商搶先在5月陸續發布新一代產品，提前預告他們接下來的市場發展布局，例如，以NAND快閃記憶體控制晶片與固態儲存著稱的群聯電子（Phison），選在15日發表全新的企業級與資料中心固態硬碟品牌「Pascari」，當中細分為5大產品線，其中最受矚目的是主打高效能的X系列，提供2.5吋U.2與E3.S這兩種外形，儲存容量最大可達30 TB，而且均採用雙埠（Dual-Port）的配置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/X-Series-card.jpg" style="width: 600px;" /></p> <p>以最新發表的X200系列為例，最顯著的特色是採用PCIe 5.0介面，而且導入群聯電子特有的<a href="https://www.phison.com/zh-tw/technology">CoXProcessor</a>處理器架構，適用於需要最大資料吞吐效能的應用領域，像是高效能運算、人工智慧、超大處理規模，以及資料中心。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CoxProcessor 2_0.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CoxProcessor%202_0.png" style="width: 600px;" /></a></p> <p>其實，X200系列最初登場亮相的場合，是今年3月下半舉行的Nvidia GTC 2024大會，當時他們宣布與技嘉、華碩、Maingear、台灣大哥大及聯發科技建立「aiDAPTIV+」技術合作夥伴關係，整合硬體和軟體的AI模型微調訓練解決方案aiDAPTIV+，目的是讓中小企業就地處理與保存敏感的機器學習資料，保有安全性、預防外流，當中除了展示這項技術的架構，也秀出群聯的M.2外形固態硬碟AI100系列，作為aiDAPTIVCache系列解決方案，以及PCIe 5.0固態硬碟產品X200系列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/X200 Overview-2024-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/X200%20Overview-2024-03.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Phison aiDAPTIVCache Family-AI100.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phison%20aiDAPTIVCache%20Family-AI100.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Phison%20Pascari.jpg" style="width: 600px;" /></p> <p>而隨著Pascari品牌的推出，AI100系列與X200系列均換上新的產品識別包裝，群聯也明確指出AI系列是用於將NAND Flash儲存當作DRAM記憶體的AI訓練解決方案aiDAPTIV+，採用SLC快閃記憶體擴展GPU記憶體容量，促成單一工作站的大型語言訓練，而X系列是主打旗艦級高效能應用，提供U.2與E3.S外形選擇，並且內建雙埠介面，最大容量達30 TB，具有頂尖的效能與能源使用效率。</p> <p>依據耐用度的差異，X200系列區分為每日寫入量為3的X200E，最大容量為25 TB，以及每日寫入量為1的X200P，最大容量為30 TB。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_X200E_63x25_RGB_Portrait_IsometrictView.jpg" style="width: 198px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_X200P_63x25_RGB_Portrait_IsometrictView.jpg" style="width: 192px;" /></p> <p>就存取效能而言，X200系列的部分規格相當驚人。例如，在4K隨機處理的部分，X200系列的讀取均高達300萬IOPS，寫入最高為90萬IOPS（X200E的6.25 TB與12.5 TB機型）；在循序處理的部分，X200系列的讀取均為14,800 MB/s，寫入最高為8,700 MB/s（X200E的6.25 TB機型、X200P 的7.5 TB機型）；關於存取延遲，X200系列在4K隨機讀寫作業，均各為60微秒、10微秒。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/X200E-Spec.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/X200P-Spec.png" style="width: 600px;" /></p> <p>若對照目前已發表的PCIe 5.0資料中心等級固態硬碟產品，更能看出群聯X200系列的效能規格差異。</p> <p>例如鎧俠（Kioxia）2021年發表的CD7系列，4K隨機讀寫最高為110萬IOPS、37.5萬IOPS；2022年發表的<a href="https://www.ithome.com.tw/review/159046">CM7系列</a>，4K隨機讀寫最高為270萬IOPS、60萬IOPS，循序讀寫最高為14,000 MB/s、7,000 MB/s；2023年發表的<a href="https://www.ithome.com.tw/review/158091">CD8P系列</a>，4K隨機讀寫最高200萬IOPS、40萬IOPS，循序讀寫最高12,000 MB/s、5,500 MB/s。</p> <p>除了提供PCIe 5.0介面的款式X200系列，群聯高效能X系列也有PCIe 4.0介面的款式X100系列，僅有2.5吋U.2或U.3外形，同樣依耐用性區分為每日寫入量為3的X100E，儲存容量最大為25 TB，以及每日寫入量為1的X100P，儲存容量最大為30 TB。</p> <p>就存取效能而言，X100系列的隨機讀寫效能最大為175萬IOPS、48萬IOPS，循序讀寫效能最大為7,400 MB/s、6,900 MB/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/X100E-Spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/X100E-Spec.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/X100P-Spec.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/X100P-Spec.png" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong>Phison X200</strong><br /> ●原廠：群聯電子<br /> ●建議售價：廠商未提供<br /> ●款式：X200E、X200P<br /> ●儲存容量：X200E提供1,600 GB、3,200 GB、6,400 GB、12,800 GB（U.2與E3.S），以及25600 GB（U.2）；X200P提供1,920 GB、3,840 GB、7,680 GB、15,360 GB（U.2與E3.S），以及30,720 GB（U.2）<br /> ●外形：U.2、E3.S<br /> ●儲存媒體：3D NAND，TLC <br /> ●最高讀寫速度：循序14,800 MB/s與8,700 MB/s，隨機300萬IOPS與90萬IOPS<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用度：X200E每日寫入量為3，X200P每日寫入量為1<br /> ●可靠度：250萬小時MTBF</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/5/21 11:04作者李宗翰https://www.ithome.com.tw/review/162973