iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 1篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/7 22:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Stability AI釋出文字生成聲音模型開源版本Stable Audio Open
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI周三（6/5）釋出了文字生成聲音模型的開源版本<a href="http://stability.ai/news/introducing-stable-audio-open" target="_blank">Stable Audio Open</a>，在使用者輸入文字描述後，它便能生成長達47秒的樣本與聲音效果。</p> <p>Stability AI以超過48萬個聲音紀錄來訓練Stable Audio Open模型，其中超過9成的紀錄來自Freesound，另有少數來自「免費音樂檔案」（Free Music Archive ，FMA），所有的音訊檔都取得了免費的共享許可，並使用預訓練的T5（Text-to-Text Transfer Transformer）文字模型來處理與生成文本。</p> <p>Stable Audio Open讓使用者輸入簡單的文字提示，即可生成最多長達47秒的高品質聲音，Stability AI宣稱它很適合用來建立鼓點、音樂即興片段、環境音效、模擬錄音，或是其它與音樂及聲音有關的樣本。開源版本的好處之一還包括使用者可以利用自己的聲音資料來調整模型，例如鼓手可以加入自己的錄音樣本來生成新的節奏。</p> <p>其實該公司在去年9月便先推出了商業版的<a href="https://www.ithome.com.tw/news/158741" target="_blank">Stable Audio</a>，同時提供免費與付費方案。Stability AI解釋，Stable Audio可生成高品質、完整且長達3分鐘的連貫音樂結構，而Stable Audio Open則專注於聲音樣本、音效與製作元素，儘管Stable Audio Open能夠生成簡短的音樂，但並未針對完成的歌曲、旋律或人聲進行優化。</p> <p>使用者也可逕自利用Stable Audio免費版來測試與Stable Audio Open的差異，Stable Audio Open 1.0現階段則可透過<a href="https://huggingface.co/stabilityai/stable-audio-open-1.0" target="_blank">Hugging Face取得</a>。</p> </div></div></div>
2024/6/6 11:57作者陳曉莉https://www.ithome.com.tw/news/163328
樹莓派推出要價70美元的AI套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>樹莓派（Raspberry Pi）周二（6/4）發表了<a href="https://www.raspberrypi.com/news/raspberry-pi-ai-kit-available-now-at-70/" target="_blank">支援Raspberry Pi 5單板電腦的AI套件</a>，安裝後將可用來建置複雜的AI視覺應用程式，此一套件是與以色列AI業者Hailo Technologies合作開發，售價70美元。</p> <p>2017年成立的Hailo是一家AI處理器與加速器的設計及製造公司，該公司所設計的處理器或加速器專供自駕車、監視器或自主移動機器人使用。</p> <p>而Raspberry Pi AI Kit則是結合了樹莓派的M.2 HAT+擴充板，以及Hailo的Hailo-8L AI加速模組，以用來建置AI視覺應用，並標榜相關應用不僅可即時執行，也具備低延遲與低功耗的特性。不管是偵測物件、語義與實例分割、姿勢估計或臉部特徵偵測等神經網路，全部都在Hailo-8L協同處理器上執行，以讓Raspberry Pi 5的CPU能夠執行其它任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0605-%20Raspberry%20Pi%20AI%20Kit%20disassembled-B.png" style="width: 519px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0605-Raspberry%20Pi%20AI%20Kit.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Raspberry Pi</span></span></p> <p>Raspberry Pi AI Kit支援每秒13兆次操作（TOPS）的推論性能，單通道PCIe 3.0連結的傳輸速度為8Gbps，無縫整合Raspberry Pi的作業系統與軟體，並相容於Raspberry Pi與第三方所生產的相機。此外，它不僅可於單個相機鏡頭執行多個神經網路，也能同時在不同的鏡頭上執行多個神經網路，其高效排程能力可更靈活地利用硬體資源以提高效率。</p> <p>Hailo已經打造了一個<a href="https://github.com/hailo-ai/hailo_model_zoo/tree/master/docs/public_models/HAILO8L" target="_blank">模型資料庫</a>，羅列各種已經過預訓練的神經網路模型，供使用者快速部署或優化。</p> <p>而為了簡化相機及AI應用的整合，其相機應用專用的rpicam-apps套件現在擁有一個後處理模板，可將神經網路推論整合至相機管線中即時執行，藉由預先安裝的Hailo Tappas後處理函式庫，只要幾百行的C++程式碼便可創造出先進的AI應用，此一整合很快也會延伸至Picamera2框架。</p> </div></div></div>
2024/6/5 15:40作者陳曉莉https://www.ithome.com.tw/news/163313
【2024臺灣資安年鑑｜資安十年特輯】資安產業具備輕資產、高價值特性，吸引年輕人投入創業
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-he_quan_de_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣的資安產業曾是一個小眾市場的角落，然而過去十年它經歷翻天覆地的變化，由被忽視的領域轉變為備受政府、企業關注的關鍵產業。</p> <p>這種變革背後，國家資通安全研究院院長何全德認為，「資安即國安」戰略推動，為臺灣資安產業的蓬勃發展奠定基礎；而《資安法》實施也帶動了企業對資安的重視，使得資安成為企業營運中不可或缺的一環；監管機關對於資安標準的要求，迫使企業不得不投入更多資源和精力，以便提升資安水準，從而拉動市場需求。這是一系列外在因素的綜合作用，從政策、需求到技術發展，無不影響著資安產業的興盛。</p> <p>資安產業的蓬勃發展，不僅是政策的推動，更是來自於實際的需求。何全德表示，供應鏈的要求，企業曾遭受駭客入侵的教訓，以及數位轉型和淨零轉型的推動，都成為了資安市場增長的推動力。此外，在COVID-19爆發後，數位轉型的加速使得更多人開始使用網路和科技工具，進一步推動資安需求。</p> <p>過去，資安被視為被動的防禦性工作，但如今它已成為企業營運的標準配備。許多企業都意識到：無論面對駭客攻擊，或遵守主管機關提出來的法遵要求，良好的資安措施都不可或缺。</p> <p>展望未來十年，何全德對臺灣資安產業抱持著樂觀的態度。他指出，數位轉型的加速和全球淨零轉型的推動，都將進一步擴大資安產業的市場空間；另外，像是安碁資訊、中華資安等公司的上市櫃計畫以及軟體公司的崛起，更加顯示了資安產業的潛力。</p> <p>臺灣資安產業的崛起，不僅是一個產業的蓬勃發展，更是新型態的數位經濟的象徵。他表示，資安產業具有輕資產和高價值的特性，將為年輕人帶來更多的就業機會，同時，也將促進財富的重新分配，將為臺灣的經濟發展帶來新的動力，也將為全球的數位化進程注入更多的活力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E4%BD%95%E5%85%A8%E5%BE%B7-600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>臺灣電子化政府為臺灣資安發展奠定基礎</strong></span></p> <p>在臺灣電子化政府的發展歷程中，資訊安全政策的推動扮演了至關重要的角色。何全德在公務部門服務超過四十年，作為臺灣電子化政府發展的幕後推手之一的他表示，從電子化政府的元年到資安政策的推動，臺灣資安政策是如何演進的呢？</p> <p>1996年被譽為臺灣電子化政府的元年。當時舉辦的「網路世界博覽會Expo96」，標誌著政府正式將網路引進到其運作，他說：「儘管當時的網站只是靜態的，僅提供簡單的資訊服務，但就是這一步，真正奠定了臺灣電子化政府的基礎。」</p> <p>在陳水扁總統任期中，資安政策開始受到重視，在其第一個任期內便成立跨部會協調的行政院資通安全會報，並建立資通安全會報技術服務中心。何全德表示，這樣的組織和作為，也讓政府各部門之間有了真正跨部門合作的機會，進而提升電子化政府的資安意識。</p> <p>資安政策的法制化是推動資訊安全的重要一環，他指出，當時政府積極推動《電子簽章法》，並引進國際標準，例如英國資安標準BS7799，這些舉措為臺灣政府資安工作的推動，提供參考依據及鞏固臺灣資安政策的基礎，使其得以正式化和法制化。</p> <p>除了法制化，資安意識的普及和資安人才的培訓，也是推動資安政策的重要步驟。政府積極推動資安意識的普及化，並且投入資安專業人才的培養——最早是成立資安會報技術服務中心，之後才將技服中心改成行政法人，於2023年元月正式成立資安院。</p> <p>面對日益複雜的資安威脅，他表示，政府開始建立資安事件應變機制，各機關開始設立通報應變聯絡人，並建立政府全體系通報應變機制，政府也將進一步推動資安意識的普及，鞏固全社會對資安工作的支持和參與。</p> <p>此外，政府開始定期進行兩年實施一次的資安國際演練（Cyber Offensive and Defensive Exercise，CODE），藉此檢驗各機關及關鍵基礎設施的資安應變能力，並提高資安整體防禦水準。</p> <p><span style="font-size:28px;"><strong>臺灣資安政策成形，最早在2001年成立資安會報</strong></span></p> <p>網路科技的快速發展帶來了人類文明進步，也衍生一系列負面問題例如網路成癮和網路犯罪。在這樣的背景下，政府的資安政策與法制逐步成熟。</p> <p>何全德表示，經歷陳水扁總統、馬英九總統到蔡英文總統等三位總統、共六個總統任期，不同政府的時期，資安政策也經歷演變與調整，資訊安全已經成為政府與社會普遍關注的共同議題。</p> <p>1996年，臺灣開始踏上電子化政府的道路，政府開始意識到資訊安全的重要性。然而，當時的資安工作，主要偏重於宣導保護資料和電子郵件安全，對於資安風險的認識還不深刻，主要仍是透過行政指導的方式推動資安工作。</p> <p>當政府逐漸意識到需要跨部會協調、推動資安工作時，在2001年，陳水扁政府時期，率先成立行政院國家資通安全會報，專門負責協調各部門間的資安工作。這樣的行動，也彰顯出臺灣資安政策的發展，已從早期單純的宣導，往制度化和法制化邁出最重要一步。</p> <p>2016年蔡英文總統上任後，提出了「資安即國安1.0」戰略，並於同年八月成立了行政院資安處，負責草擬《資安法》，於2019年元旦正式實施。</p> <p>他解釋，《資安法》的制定是臺灣資安政策發展的里程碑，該法規定各級機關應該配置的資安專責人員數量，並訂定《資通安全責任等級分級辦法》，明確列出各級機關的資安責任等級，還律定了各機關的防護水準，從根本上提高國家的資安防護能力。</p> <p>政府不僅強調了法制基礎，還積極投入資安相關建設。何全德表示，在國科會主委吳政忠的支持下，政府在科技預算內撥出25億資安專案經費，開始建立資安監控中心（SOC）和資安情資分享中心（ISAC）等。</p> <p>在蔡英文總統任內，資安更是被視為重要議題，她推動了「資安即國安」1.0和2.0的國家戰略，從積極成立行政院資安處，強調資安在國家安全中的重要性；也接著成立資安院，接手執行資安政策、協助政府處理資安事件，以及培養資安人才等任務。</p> <p>在蔡英文政府時期，臺灣的資安政策雖然取得重大進展，但仍面臨著新的挑戰和問題，政府仍將繼續加強法制建設和執行力度，提高資安防禦能力。</p> <p>面對未來，他說，政府除了繼續加強法制建設和執行力度，提高資安防禦能力。同時，政府還將加強對資安意識的普及和培訓，積極培養更多的資安專業人才，同時推動資安即國安戰略。</p> <p>即將於今年五月二十日就職第十六任總統的賴清德，也提出「五打七安」政策，即打擊「黑、金、槍、毒、詐」，也將治安、食安、道安、公安、校安、居安，以及網路資通安全這七項，列為重要的安全工作，可以看出，資安也將是未來賴清德總統重要政見之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E4%BD%95%E5%85%A8%E5%BE%B7-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>要求上市櫃公司設立資安長，是資安發展重要里程碑</strong></span></p> <p>在臺灣，隨著國家資安戰略的制定成立資安組織，並制定《資安法》相關法規，包括公務機關及特定非公務機關，就有法規遵循義務，例如規定A級機關要做滲透測試、成立SOC（資安監控中心）等，相關的資安需求就會帶動資安市場的發展，也會逐漸演變成資安市場的商機。</p> <p>現任國安會秘書長顧立雄在金管會主委任內，配合國家政策推動金融機構的資安，後續也有金融資安行動方案1.0、2.0陸續推出，對於金融資安的作為提出很明確的規範。</p> <p>何全德認為，金管會要求上市櫃公司分級、分年成立資安專責單位、設立資安部門主管，尤其是設立副總等級資安長的要求，更是臺灣產業資安的重要里程碑，「這也讓資安長暨資訊長後，成為企業營運時重要的主管。」他說。</p> <p>何全德表示，資安院成立就是為了支持和協助政府及關鍵基礎設施（CI），做好資安防護、人才培訓，以及產業資安相關的技術研發，幫國家培養各式的資安人才。</p> <p><span style="font-size:28px;"><strong>資安院出面訂定適用臺灣的「資安職能基準」</strong></span></p> <p>過去，美國曾發布NICE網路安全人才框架，定義7大類別、33個專業領域，以及52個工作角色；到了2022年10月，歐盟網路安全局（ENISA）亦發布ECSF網路人才技能框架，定義出資安團隊12種角色，為資安人才的分類和培養提供了重要參考。</p> <p>他認為，這些框架定義不同類型的資安角色和相應的技能要求，為資安人才的培養和評估提供了標準和依據。</p> <p>何全德表示，資安院在這樣的背景下，由資安院人培中心出面，參考美國NICE和歐盟ECSF的框架，建立通用於臺灣的「資安職能基準」，並將臺灣資安人才依不同職能類別和專業領域，分為19種，也會定義相應的知識、技術和能力（KSAs）；進一步而言，根據這套基準可制定相應的課綱、教材和測驗，以培養評估資安人才的能力。</p> <p>「資安人才的培養，是保障國家和企業資訊安全的重要保障。」何全德說，而人才培養工作是資安院的重要職能之一，通過制定和推廣資安職能基準，資安院可透過更理想的方式，對資安人才進行培養和評估，確保其具備所需的專業知識和技能，提高資安人才整體水準。目前資安院先推出資安長班，以及資安事件工程師班，在這種職能訓練之外，未來還會辦理高階實戰班人才；因為資安要分不同產業領域，必須做適地化，且根據不同產業做不同教材。</p> <p>他認為，資安院作為支持和協助政府和關鍵基礎設施（CI）的資安工作的單位，可以扮演數位強力膠的關鍵角色，透過幫助企業和組織更精確了解自身資安需求，從而更好地配置資源，提高資安整體水準，也能更精確地表述企業與組織本身培養哪些人才，以及自己需要哪類人才，讓需求更精確。</p> <p>何全德也觀察到，這個數位時代的資安需求持續攀升，也催生出許多資安新創公司，他們不僅提供純粹的資安服務，還讓一些傳統SI（系統整合商）開始跨足資安業務，這也促使資安產業化的發展趨勢。</p> <p>作為資安風險較高的金融業，對資安解決方案的需求更是持續增加，何全德表示，金融機構積極尋求更有效的資安保護方案，應對不斷變化的威脅和攻擊，不只為資安技術創新和應用提供巨大商機，也成為資安市場發展一大驅動力。</p> <p>然而，資安不僅是個行業，它還需要不同領域之間的合作和交流，例如，金融業與資安公司的合作、政府與企業的合作等，這種跨領域的合作促進了資安市場的健康發展。在這樣的趨勢下，我們可預見資安市場將會繼續成長，為各行業帶來更多機遇和挑戰。</p> <p><span style="font-size:28px;"><strong>從技術、管理和教育面落實，確保人員、系統和資料安全</strong></span></p> <p>資訊安全一直是臺灣數位化發展的關鍵，何全德表示，面對技術持續變化、資料持續增加，可以從兩個三角形來思考資安的因應策略。</p> <p>第一個三角形，是強調技術、管理和教育訓練在資安工作的重要性。他指出，透過資安技術的自主研發，加上落實資安政策的管理、稽核與執行，並且藉由教育訓練的方式，把重視資安的全民資安意識，深植每個人的腦中。</p> <p>「資安院還有一個重要任務，就是要提升全民資安意識，」何全德認為，政府和企業要開展相對應的資安宣傳活動和教育訓練外，也必須提高終端使用者（End User）對資安的重視程度。</p> <p>第二個三角形，是從人員、系統、資料這三個面向來看。何全德認為，人員就涉及兩個重要議題：人員安全和人才儲備；其次是系統保護，最後是資料保護。何全德說，這是具有戰略思考的保護策略，需從多個層面確保資訊安全，因為未來的資安不僅是技術防禦，更應注重資料保護和系統架構的安全性，ZTA（零信任架構）是更加安全和靈活的架構，可以有效保護系統和資料。</p> <p>他也提醒法律的重要性，法律應該與時俱進，以應對不斷變化的資安挑戰。何全德表示，政府可以通過法規和採購政策，提高企業和組織的資安意識和能力，從而全面提升國家資安水準。</p> <p>面對未來，「應該要持續關注AI在資安領域的應用」他表示，AI發展為資安領域帶來新的機遇和挑戰，例如，AI在漏洞掃描、攻防演練的應用，都可以藉此提高資安防禦效率和能力。</p> <p>他也強調韌性（Resilience）的重要性，因為韌性已經是資安領域的重要趨勢，不僅要做到資安事件的溯源，連資安防禦也必須做到向左移動到開發端等，才能應對日益複雜的資安威脅。</p> <p>因為資安是全球性的問題，他認為，臺灣需要加強國際合作和交流，共同應對跨國的資安威脅，保障全球資訊安全的同時，也就是保障臺灣的網路安全。<strong>【本文採訪日期為2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/6 00:00作者黃彥棻https://www.ithome.com.tw/article/163110
【資安日報】6月5日，針對烏克蘭政府恢復公營事業收費，俄羅斯駭客組織FlyingYeti策畫利用WinRAR漏洞的網釣…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週雲端服務業者Cloudflare公布由俄羅斯駭客組織FlyingYeti策畫的網釣攻擊行動，並指出對方架設架設冒牌公營事件網站，意圖在當地政府恢復收取、追討積欠公營事業費用的情況下，引誘烏克蘭民眾上當。</p> <p>值得一提的是，這起攻擊行動駭客意圖濫用Cloudflare Workers與GitHub的服務隱匿行蹤，這兩家公司進行反制，讓對方難以繼續從事攻擊行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163316"><strong style="font-size: 22px;">俄羅斯駭客FlyingYeti利用WinRAR漏洞對烏克蘭發動網釣攻擊，目的是散布惡意程式CookBox並控制受害電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FlyingYeti4-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FlyingYeti4-5.png" style="width: 300px; float: right;" /></a>雲端服務業者Cloudflare揭露自今年4月出現的網路釣魚攻擊行動，俄羅斯駭客組織FlyingYeti（亦被稱為UAC-0149）針對烏克蘭民眾因政府的緊急命令即將到期，恢復收取積欠的公營事業費用，而可能面臨龐大債務的情況，架設冒牌的基輔Komunalka社會住宅網站來引誘他們上當，而有可能導致電腦被部署PowerShell惡意程式CookBox，過程中對方濫用Cloudflare Workers與GitHub，以及WinRAR漏洞CVE-2023-38831。</p> <p>對此，Cloudforce One採取反制行動，延後對方發動攻擊的時間，他們先是封鎖駭客使用的Cloudflare Worker，而對方企圖新帳號設置多個Cloudflare Worker，但後續皆遭到停用，導致駭客更改攻擊鏈，由GitHub存取前述RAR檔案。研究人員向GitHub通報此事，該程式碼儲存庫下架相關專案，並移除釣魚網站。</p> <p><a href="https://www.ithome.com.tw/news/163310"><strong style="font-size: 22px;">美國證實7年前Oracle WebLogic Server作業系統命令注入漏洞被用於攻擊行動</strong></a></p> <p>6月3日美國網路安全暨基礎設施安全局（CISA）針對一項7年前公布的漏洞CVE-2017-3506提出警告，指出掌握駭客已將這項漏洞用於攻擊行動的證據，他們將其納入已知遭到利用的漏洞目錄（KEV），要求聯邦機構在6月24日前完成修補。</p> <p>雖然CISA並未針對駭客利用漏洞的情況說明細節，但有鑑於該漏洞已公布7年之久，網路上已有研究人員公布概念性驗證（PoC）程式碼，攻擊者若要利用漏洞，無須自行從頭分析，IT人員還是要盡速套用相關修補程式。</p> <p><a href="https://www.ithome.com.tw/news/163304"><strong style="font-size: 22px;">防詐公司Gogolook發布資安事件重訊，網站部分服務遭非法存取</strong></a></p> <p>創新板上市公司走著瞧-創（Gogolook）在6月4日公布遭遇網路資安事件，該公司於傍晚18時18分發布重大訊息，說明內部資安團隊發現有部落格專欄的網站服務，發生未經授權存取的情況。</p> <p>根據Gogolook的說明，他們的資安團隊監控到網站部分服務（服務項目：部落格專欄），遭不明人士意圖嘗試未經授權的存取，發現後已即時做出因應，全面啟動資安防禦與攔阻機制，同時與第三方資安廠商積極展開調查。他們也說明了目前的調查結果，沒有網站會員個人資料及公司內部機密資訊遭存取情形。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.fortinet.com/blog/threat-research/menace-unleashed-excel-file-deploys-cobalt-strike-at-ukraine"><strong style="font-size: 20px;">駭客藉由Excel巨集進行多階段惡意軟體攻擊，針對烏克蘭電腦植入Cobalt Strike</strong></a></p> <p></p> <p>◆<a href="https://www.ptsecurity.com/ww-en/analytics/pt-esc-threat-intelligence/hellhounds-operation-lahat-part-2/"><strong style="font-size: 20px;">俄羅斯電力公司、IT業者、政府機關遭到木馬程式Decoy Dog攻擊</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/australian-mining-company-discloses-breach-after-bianlian-leaks-data/"><strong style="font-size: 20px;">澳洲礦業公司Northern Minerals傳出遭到勒索軟體「變臉」攻擊</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/tiktok-fixes-zero-day-bug-used-to-hijack-high-profile-accounts/"><strong style="font-size: 20px;">抖音傳出企業與名人帳號遭到接管的情況，駭客藉由私訊功能的零時差漏洞得逞</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/american-radio-relay-league-says-it-was-hacked-by-an-international-cyber-group/"><strong style="font-size: 20px;">針對5月中旬遭遇網路攻擊，美國無線電中繼聯盟ARRL指控是惡意的國際網路組織所為</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163308"><strong style="font-size: 22px;">兆勤針對生命週期已經結束的NAS設備發布緊急更新，修補重大層級漏洞</strong></a></p> <p>6月4日兆勤（Zyxel Networks）針對旗下網路儲存設備NAS326、NAS542發布資安公告，指出這些設備存在5項漏洞CVE-2024-29972、CVE-2024-29973、CVE-2024-29974、CVE-2024-29975、CVE-2024-29976，並指出有鑑於其中3項漏洞極為嚴重，即使這些設備生命週期已於去年底結束，他們還是決定破例提供新版韌體修補重大漏洞。至於這些漏洞是否已遭到利用，該公司並未提出說明。</p> <p>這些得到修補的漏洞，包含了命令注入漏洞CVE-2024-29972、CVE-2024-29973，以及遠端程式碼執行（RCE）漏洞CVE-2024-29974，皆為重大層級，CVSS風險評分也都達到9.8分。</p> <p><a href="https://www.ithome.com.tw/news/163315"><strong style="font-size: 22px;">美國網路寬頻業者Cox修補數據機授權繞過漏洞，若不處理攻擊者可用於挖掘用戶個資</strong></a></p> <p>漏洞賞金獵人Sam Curry揭露美國大型網路寬頻業者Cox Communications於3月修補的權限繞過漏洞，攻擊者能遠端濫用曝露的後端API，從而重置數百萬臺數據機的組態，並竊取用戶的敏感個資。他發現超過700個曝露的API，其中不少提供了管理功能，一旦攻擊者藉由重新傳輸HTTP請求，就有機會在未經授權的情況下執行命令。</p> <p>由於Cox是美國最大的寬頻網路業者之一，服務遍及超過30個州、擁有近700萬個企業與個人用戶，這樣的漏洞影響相當廣泛。對此，Cox於3月初獲報後著手處理，並得到研究人員的確認。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162869"><strong style="font-size: 22px;">資安典範正轉移，接下來10年臺灣資安產業應積極擁抱AI新科技</strong></a></p> <p>臺灣資安產業現今蓬勃發展，奧義智慧科技創辦人邱銘彰在今年資安大會中，細數過去幾個重要發展的關鍵點，並指出現在正面臨典範的轉移及方法的革新。由於資安的觀點及關心的重點不斷移動，從網路（DoS）端到伺服器（Web），到終端（APT滲透測試），再到身分（雲端），資安的戰場不斷移動，過去的資安鑑識以電腦為單位，現在進入雲端時代，以每個Workflow為鑑識單位，這並非代表舊的問題消失，而是發現新問題出現。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163303"><strong>【6月4日】帛琉政府資料流入暗網，指控是中國政府指使勒索軟體駭客組織所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163276"><strong>【6月3日】美國證實Linux核心的網路元件Netfilter高風險漏洞已被用於攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163231"><strong>【5月31日】歐洲刑警組織與十多個國家執法單位聯手，掃蕩數個用於散布惡意程式的殭屍網路</strong></a></p> </div></div></div>
2024/6/5 18:07作者周峻佑https://www.ithome.com.tw/news/163317
俄羅斯駭客FlyingYeti利用WinRAR漏洞對烏克蘭發動網釣攻擊，目的是散布惡意程式CookBox並控制受害電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端服務業者Cloudflare揭露自<a href="https://blog.cloudflare.com/disrupting-flyingyeti-campaign-targeting-ukraine">今年4月出現的網路釣魚攻擊行動</a>，俄羅斯駭客組織FlyingYeti（亦被稱為UAC-0149）針對烏克蘭民眾因政府的緊急命令即將到期，<a href="https://en.interfax.com.ua/news/economic/959388.html">恢復收取積欠的公營事業費用</a>，而可能面臨龐大債務的情況，架設冒牌的基輔Komunalka社會住宅網站來引誘他們上當，而有可能導致電腦被部署PowerShell惡意程式CookBox，過程中對方濫用Cloudflare Workers與GitHub，以及WinRAR漏洞CVE-2023-38831。</p> <p>4月18日，該公司旗下的威脅情報團隊Cloudforce One偵測到FlyingYeti疑似準備發起攻擊行動的跡象，經比對這些駭客曾使用烏克蘭電腦緊急應變團隊（CERT-UA）揭露的攻擊手法，去年秋季對當地國防機構散布CookBox。</p> <p>後來研究人員進行追蹤，這些駭客在4月中旬至5月中旬進行偵察，建立網釣的誘餌內容，並著手開發惡意程式，當時他們推測，對方很有可能打算在東正教復活節後發動攻擊。</p> <p>而對於駭客準備的攻擊鏈，研究人員指出，對方先是透過債務重組或是與付款相關的電子郵件，引誘收信人點選連結，並將他們帶往架設在GitHub的冒牌Komunalka社會住宅付款網站，該網站指示收信人下載Word檔案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FlyingYeti4-5.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FlyingYeti4-5.png" style="width: 580px;" /></a></p> <p>然而若是收信人照做，點選下載按鈕，電腦就會向Cloudflare Worker發出HTTP POST請求，對方藉此過濾目標，完成後下載RAR壓縮檔到受害電腦。</p> <p>此壓縮檔內含數個檔案，其中一個檔名帶有大量Unicode字元U+201F，此字元在Windows作業系統顯示為空格，攻擊者這麼做的目的，就是為了讓收信人降低戒心，忽略此檔案實際是CMD批次檔。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FlyingYeti2-11.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/FlyingYeti2-11.png" style="width: 580px;" /></a></p> <p>而這個壓縮檔內含另一個無害的付款發票PDF檔案，一旦收信人透過WinRAR開啟壓縮檔，並試圖檢視PDF檔案，就會觸發CVE-2023-38831，執行CMD檔案，從而啟動CookBox，而能讓攻擊者持續於受害電腦上活動。</p> <p>值得留意的是，CMD檔案還會開啟壓縮檔裡的其他Word檔案，這些檔案內容看起來是烏克蘭官方文件，很有可能是用來轉移收信人的注意力。</p> <p>對此，Cloudforce One採取反制行動，延後對方發動攻擊的時間，他們先是封鎖駭客使用的Cloudflare Worker，而對方企圖新帳號設置多個Cloudflare Worker，但後續皆遭到停用，導致駭客更改攻擊鏈，由GitHub存取前述RAR檔案。</p> <p>研究人員向GitHub通報此事，該程式碼儲存庫下架相關專案，並移除釣魚網站。他們也提供PowerShell指令碼，並對於Splunk、微軟雲端資安資訊及事件管理（SIEM）平臺Sentinel提供相關的偵測規則，來識別駭客駭客在受害電腦觸發CVE-2023-38831的情況。</p> </div></div></div>
2024/6/5 17:19作者周峻佑https://www.ithome.com.tw/news/163316
兆勤針對生命週期已經結束的NAS設備發布緊急更新，修補重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月4日兆勤（Zyxel Networks）<a href="https://www.zyxel.com/tw/zh/support/security-advisories/zyxel-security-advisory-for-multiple-vulnerabilities-in-nas-products-06-04-2024">針對旗下網路儲存設備NAS326、NAS542發布資安公告</a>，指出這些設備存在5項漏洞CVE-2024-29972、CVE-2024-29973、CVE-2024-29974、CVE-2024-29975、CVE-2024-29976，並指出有鑑於其中3項漏洞極為嚴重，即使這些設備生命週期已於去年底結束，他們還是決定破例提供新版韌體修補重大漏洞。至於這些漏洞是否已遭到利用，該公司並未提出說明。</p> <p>這些得到修補的漏洞，包含了命令注入漏洞CVE-2024-29972、CVE-2024-29973，以及遠端程式碼執行（RCE）漏洞CVE-2024-29974，皆為重大層級，CVSS風險評分也都達到9.8分。</p> <p>其中，CVE-2024-29972位於名為remote_help-cgi的CGI程式，而CVE-2024-29973則是發生在setCookie參數，攻擊者能在未經授權的情況下，藉由發送偽造的HTTP POST請求，從而執行部分作業系統層級的命令。</p> <p>至於另一個重大層級漏洞CVE-2024-29974，出現在名為file_upload-cgi的CGI程式，未經授權的攻擊者能藉由上傳偽造的組態，藉此漏洞執行任意程式碼。</p> <p>通報上述漏洞的<a href="https://outpost24.com/blog/zyxel-nas-critical-vulnerabilities/">資安業者Outpost24也公布相關細節</a>，表示他們發現漏洞的原因，是在調查<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">去年</span>重大層級的預先身分驗證命令注入漏洞CVE-2023-27992（CVSS風險評為9.8分）的過程，發現兆勤修補該漏洞的方式，主要是藉由加入基礎的過濾機制，並限制最大長度，從而達到防堵攻擊者藉由/favicon.ico繞過身分驗證，但這麼做難以防範周全。</p> <p>研究人員指出，兆勤藉由加入更多過濾規則來緩解漏洞，而非解決程式碼依賴eval( )函數的根本問題，由於過濾機制與身分驗證並未集中處理，而是取決於每個端點決定身分驗證是否適用，或是輸入的資料對於eval( )而言是否足夠安全。為了驗證上述設計邏緝產生的缺陷，他們製作有效酬載來驗證新發現的漏洞。</p> <p>他們也對這些漏洞補充說明，像是CVE-2024-29972涉及名為NsaRescueAngel的後門帳號，而且，該帳號具備root權限；而CVE-2024-29974不只能用於發動遠端執行程式碼攻擊，還能讓攻擊者持續在受害裝置上活動。</p> </div></div></div>
2024/6/5 12:16作者周峻佑https://www.ithome.com.tw/news/163308
美國證實7年前Oracle WebLogic Server作業系統命令注入漏洞被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月3日美國網路安全暨基礎設施安全局（CISA）針對一項7年前公布的漏洞CVE-2017-3506提出警告，<a href="https://www.cisa.gov/news-events/alerts/2024/06/03/cisa-adds-one-known-exploited-vulnerability-catalog">指出掌握駭客已將這項漏洞用於攻擊行動的證據</a>，他們將其納入已知遭到利用的漏洞目錄（KEV），要求聯邦機構在6月24日前完成修補。</p> <p>這項弱點存在於Oracle WebLogic Server，<a href="https://nvd.nist.gov/vuln/detail/CVE-2017-3506">為高風險層級的作業系統命令注入漏洞</a>，CVSS風險評為7.4分，影響10.3.6.0、12.1.3.0、12.2.1.0、12.2.1.1、12.2.1.2等多個版本，Oracle於2017年4月進行修補。</p> <p>未經身分驗證的攻擊者藉由觸發漏洞，有機會在透過HTTP網路連線入侵目標伺服器。一旦成功利用漏洞，對方就能竄改、產生、刪除伺服器上所有重要資料，或是對於資料進行完全存取。</p> <p>雖然CISA並未針對駭客利用漏洞的情況說明細節，但有鑑於該漏洞已公布7年之久，網路上已有研究人員公布概念性驗證（PoC）程式碼，攻擊者若要利用漏洞，無須自行從頭分析，IT人員還是要盡速套用相關修補程式。</p> </div></div></div>
2024/6/5 12:59作者周峻佑https://www.ithome.com.tw/news/163310
美國網路寬頻業者Cox修補數據機授權繞過漏洞，若不處理攻擊者可用於挖掘用戶個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞賞金獵人Sam Curry揭露<a href="https://samcurry.net/hacking-millions-of-modems">美國大型網路寬頻業者Cox Communications於3月修補的權限繞過漏洞</a>，攻擊者能遠端濫用曝露的後端API，從而重置數百萬臺數據機的組態，並竊取用戶的敏感個資。</p> <p>這名研究人員對於Cox的數據機感到興趣，起因是2年前他居家辦公的時候，發生非常怪異的現象。當時他正測試一項XXE漏洞，透過外部HTTP伺服器走私檔案，卻發現有人攔截並重放相關流量，經調查攻擊者來源卻是南美洲資安業者使用的DigitalOcean網域，懷疑對方利用數據機的弱點下手。當時，他向Cox更換數據機後，這起事故不了了之。</p> <p>直到今年初，他與其他從業人員提及此事，才再度著手調查。結果發現，攻擊者很有可能並非直接對數據機下手，而是透過該公司客服人員遠端控制裝置的API達到目的。</p> <p>Sam Curry尋線調查此事找出存在於API的弱點，並指出攻擊者一旦成功利用，就能取得該網路服務供應商技術支援人員類似的權限，然後存取該公司任何客戶的數據機，覆蓋組態設定並在裝置上執行命令。</p> <p>利用這項漏洞，攻擊者還能利用公開的API挖掘用戶的姓名、電話號碼、電子郵件信箱等資料，從而尋找下手目標，竊取能夠識別個人身分的資訊（PII）。</p> <p>研究人員指出，他發現超過700個曝露的API，其中不少提供了管理功能，一旦攻擊者藉由重放HTTP請求，就有機會在未經授權的情況下執行命令。</p> <p>由於Cox是美國最大的寬頻網路業者之一，服務遍及超過30個州、擁有近700萬個企業與個人用戶，這樣的漏洞影響相當廣泛。對此，Cox於3月初獲報後著手處理，並得到研究人員的確認。</p> </div></div></div>
2024/6/5 15:53作者周峻佑https://www.ithome.com.tw/news/163315
Google開源半監督式框架SPADE，即使標記資料不足也可高效偵測異常
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google開源了一個稱為<a href="https://opensource.googleblog.com/2024/05/semi-supervised-anomaly-detection-under-distribution-mismatch.html">SPADE（Semi-supervised Pseudo-labeler Anomaly Detection with Ensembling）</a>半監督異常偵測框架，這個方法的優勢在於，能夠克服其他半監督異常偵測方法的缺點。SPADE只需要少量已標記與大量未標記資料，即可高效地偵測異常。</p> <p>異常偵測應用範疇很廣，包括API安全、金融詐欺、製造缺陷等領域，皆可透過辨識資料和預期模式的不同，來找出異常項目。SPADE是Google所開發的高效異常偵測方法，其使用一組單類分類器（One-Class Classifiers，OCCs），作為虛擬標籤器和監督分類器，特別適合已標記與未標記樣本數量存在分布差異的資料集。</p> <p>由於建立大規模標記資料集的過程不只耗時且成本昂貴，而SPADE利用半監督學習方法，僅需少量標記資料即可達到良好的偵測效果，進而降低資料標記成本。</p> <p>研究人員也解釋，大多數半監督式方法假設已標記和未標記資料來自相同的分布，也就是已標記和未標記資料由相同的來源或是機制生成，具有相似的分布特性和模式。但是實際情況通常並非如此，已標記資料可能僅包含一種類型的異常，但是未標記資料卻包含多種類型的異常，或是標記資料僅包含易於標記的樣本。</p> <p>SPADE能夠解決大多數半監督式方法的缺陷，其運作方式是先使用多個單類分類器來學習資料中正常樣本的特徵，接著這些分類器分別對未標記的資料進行預測，生成虛擬標籤，猜測異常與正常的資料，但只有當所有分類器一致認為特定樣本為異常時，才會真正將其標記為異常。通過虛擬標籤以及原始標記資料，一起訓練監督異常模型，完成訓練後，該模型便可用於偵測新資料中的異常。</p> <p class="rtecenter"><img alt="" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEh2FvN4jPAY3yruX3mGEVHG_RRrrHHTq9qdb-msotQ64fMbX-zhxoFzcEH1p1pUBYrihngQGLJfp9FDblWPPJU2D6UL9hi_iByL6jbRgoMPWk6zi-Ja385RFTwUFLjVlv5irso_LLE_lGYfk8sqE-KT7cEGuC1erN8AH3glHA-HSS4nPjhFgBxTqRV1Op4/s1600/image1.gif" style="width: 580px;" /></p> <p>簡單來說，SPADE透過猜測異常樣本，並利用猜測結果與標記資料一起訓練模型，實現更高效精確的異常偵測。</p> </div></div></div>
2024/6/5 16:20作者李建興https://www.ithome.com.tw/news/163314
Databricks買下Tabular，企圖改善資料相容性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料與AI業者Databricks周二（6/4）宣布，已同意買下資料管理業者Tabular，準備改善資料湖倉（Lakehouse）格式的相容性。雙方並未揭露交易細節，但《<a href="https://www.wsj.com/articles/databricks-to-buy-data-management-startup-tabular-in-bid-for-ai-clients-829e5bcf" target="_blank">華爾街日報</a>》（Wall Street Journal）報導，此一交易規模介於10億~20億美元之間，預計於今年7月完成交易。</p> <p>Databricks與Tabular的創辦人都來自開源社群。其中，Databricks在2013年由Apache Spark的原始創辦者所設立，Apache Spark為一鎖定大規模資料處理的開源統一分析工具，之後Databricks也打造了開源的Delta Lake資料湖專案；至於Tabular則是在2021年由Ryan Blue、Daniel Weeks和Jason Reid所創立，Blue與Weeks在任職於Netflix時開發了「冰山」（Iceberg）專案，這是個用於大型分析表格的格式，之後把它捐給了Apache軟體基金會。</p> <p>迄今全球已有超過500名工程師貢獻Delta Lake專案，並有逾1萬家企業使用Delta Lake，平均每天處理4 EB以上的資料量。</p> <p>Databricks表示，Delta Lake與Iceberg專案在差不多的時間問世，皆為資料湖倉格式主要的開源標準，可惜的是，雖然它們都是基於Apache Parquet並有類似的目標與設計，卻因彼此獨立開發而互不相容。在收購Tabular之後，Databricks打算與Delta Lake及Iceberg密切合作，推動彼此格式的互動。</p> <p>至於<a href="https://tabular.io/blog/tabular-is-joining-databricks/" target="_blank">Tabular也說</a>，資料生態體系充斥著開放表格格式的討論，大家都希望能夠有一個安全且集中的資料架構，可連結到各種專業的運算框架或引擎，從而解鎖新的資料管理及分析能力，與Databricks攜手建置一個共同的資料標準將可實現此一願景。</p> </div></div></div>
2024/6/5 15:04作者陳曉莉https://www.ithome.com.tw/news/163312
防詐公司Gogolook發布資安事件重訊，網站部分服務遭非法存取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>創新板上市公司走著瞧-創（Gogolook）在6月4日公布遭遇網路資安事件，該公司於傍晚18時18分發布重大訊息，說明內部資安團隊發現有部落格專欄的網站服務，發生未經授權存取的情況。</p> <p>根據Gogolook的說明，他們的資安團隊監控到網站部分服務（服務項目：部落格專欄），遭不明人士意圖嘗試未經授權的存取，發現後已即時做出因應，全面啟動資安防禦與攔阻機制，同時與第三方資安廠商積極展開調查。他們也說明了目前的調查結果，沒有網站會員個人資料及公司內部機密資訊遭存取情形。</p> <p>對於這次遭駭的部落格專欄的網站服務，我們也進一步詢問該公司，雖然Gogolook還是沒有說明是哪一個網站出事，但他們表示，這次受影響的網站沒有會員登入服務，而此事件存取影響範圍也僅限於此，因當下受到既有資安防禦措施阻擋，而未擴及其餘服務，所以，這次事件並未影響其他網站服務與內部系統。</p> <p>另一值得我們關注的焦點在於，雖然這次資安事件並非核心資訊系統遭駭，但由於臺灣證券交易所已在5月底，放寬資安重訊發布的重大性標準，擴大資安事件揭露範圍，因此該公司對於這次事件的處理方式，也算是依照新規範如實揭露，讓大大小小的資安事件發生都能透明化。</p> </div></div></div>
2024/6/5 10:16作者羅正漢https://www.ithome.com.tw/news/163304
十多名OpenAI及DeepMind員工簽署公開信，期望獲得警告AI風險的權利
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有11名OpenAI的前任及現任員工，再加上兩名DeepMind的前任與現任員工，在本周<a href="https://righttowarn.ai/" target="_blank">簽署了一封公開信</a>「對先進AI發出警告的權利」（A Right to Warn about Advanced Artificial Intelligence），在這13名AI從業人員中，有6名現任員工，但有5位是匿名的，或許是擔心遭到報復或受到杯葛。</p> <p>他們在信中表示，相信AI對人類帶來好處的潛力，但也理解AI可能帶來的嚴重風險，包括強化現有的不平等、操縱、不實資訊，或是失去對AI系統的控制而造成人類滅絕等，它們是AI領域公開承認的風險，原本期望可在科學界、立法者與公眾的充分指引下得到緩解，然而，他們認為AI公司有很強的財務動機來避免有效的監督。</p> <p>此外，AI公司擁有大量的非公開資訊，包括系統能力與侷限性，保護措施的充分性，以及不同傷害的風險等級等，但它們現階段只有與政府分享部分資訊的微小義務，而未與民間分享。當政府未能對其有效監督之際，員工就是少數能夠督促它們負責的人，但他們擔心各種的挾怨報復。</p> <p>因此，他們提出了幾點的呼籲，包括不強制員工簽署禁止批評公司的協議，也不報復那些提出風險批評的員工；AI公司應建立一個匿名舉報機制，以允許前任或現任員工可向董事會、監管機構或獨立組織來檢舉風險問題；AI公司應該在貿易機密與智慧財產權受到適當保護的情況下，支持開放批評的文化；不報復那些在其它檢舉途徑失效，而公開分享風險機密訊息的員工。</p> <p>該活動的召集人之一是OpenAI治理部門的前研究員Daniel Kokotajlo，<a href="https://x.com/DKokotajlo67142/status/1797994238468407380" target="_blank">他透過X解釋</a>，他在失去對OpenAI可負責任建置通用AI的信心之後，於今年4月辭職。</p> <p class="rtecenter"><a href="http://x.com/DKokotajlo67142/status/1797994238468407380" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0605-Daniel%20Kokotajlo.png" style="width: 586px;" /></a></p> <p>Kokotajlo表示，他在加入OpenAI時，曾經希望隨著系統變得更強大，會在安全研究上投入更多的資金，但OpenAI從未有此轉變，意識到此事的同事開始離職，他不是第一個，也不會是最後一個。此外，在他離職的時候，OpenAI要求他簽署一份協議，阻止他批評公司，若不簽署就會失去他的OpenAI股權。</p> <p>Kokotajlo認為，AI系統並非普通軟體，它們是從大量資料中學習的人工神經網路，對於這些系統的運作、可能超越人類智慧，或是能否具備與人類一致的利益，都有許多的未知，與此同時，相關技術幾乎缺乏監督，反而是由AI企業自治，而經濟動機與對技術的興奮，不時令這些業者快速行動並打破常規。</p> <p>最後決定拒絕簽署噤聲協議的Kokotajlo強調，讓研究人員噤聲並使他們害怕報復是危險的，因為他們是目前唯一能夠警告公眾的人。</p> </div></div></div>
2024/6/5 12:23作者陳曉莉https://www.ithome.com.tw/news/163309
思科搶搭AI列車，砸10億美元成立AI投資基金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI已成消費性及企業IT王道，網路設備及伺服器大廠思科周二<a href="https://www.ciscoinvestments.com/giving-usd1b-some-perspective" target="_blank">宣布了第一筆大型投資</a>，將成立10億美元AI投資基金，包含投資新創公司。</p> <p>思科旗下投資部門Cisco Investment指出，這筆投資將用於贊助新創公司，及擴展安全而穩定的AI解決方案開發。在此投資計畫中，Cohere、Mistral AI與Scale AI等新創公司獲得資金挹注。目前思科已經投資了2億美元，但並未說明對三家新創的投資金額。</p> <p>Cohere為加拿大業者，提供大型語言模型及檢索增強生成（retrieval-augmented generation，RAG）技術，可滿足企業需求。Mistral AI為法國AI業者，以開源模型Mistral Large及Mixtral 8x7B引發業界關注；Scale AI則提供資料為中心端到端平臺，思科於5月<a href="https://scale.com/blog/scale-ai-series-f" target="_blank">參與</a>了該公司F輪募資成為該輪最大策略投資者。</p> <p>思科強調自己並非AI投資新進者。過去幾年思科已做過20多家AI收購及投資，強化思科產品線的生成式AI和機器學習能力。思科也說將和AI業者合作產品，讓思科得以扮演AI平臺及中立供應商角色，為客戶提供AI方案。</p> <p>思科成為最新一家巨額投資AI的IT大廠。之前，微軟以逾百億美元投資OpenAI，Anthropic則分別獲得<a href="https://www.ithome.com.tw/news/159545" target="_blank">Google</a> 23億和<a href="https://www.ithome.com.tw/news/162016" target="_blank">Amazon</a> 40億美元投資。2023年成立的Mistral AI更在不到半年先後獲得4.5億的注資，投資者包括<a href="https://techcrunch.com/2024/02/27/microsoft-made-a-16-million-investment-in-mistral-ai/" target="_blank">微軟</a>、<a href="https://www.linkedin.com/posts/jamesmawson_mistral-becomes-the-talk-of-davos-as-business-activity-7154026251094036482-L-yg" target="_blank">Nvidia</a>及知名私募基金a16z等，公司估值20億美元。</p> </div></div></div>
2024/6/5 10:36作者林妍溱https://www.ithome.com.tw/news/163305
微軟證實裁員、重整MR部門，可能不再開發HoloLens 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟昨（4）日證實公司將裁員，包括混合實境（mixed reality，MR）部門重整，但將持續銷售HoloLens 2裝置。<a href="https://www.cnbc.com/2024/06/03/microsoft-confirms-mixed-reality-layoffs-will-keep-selling-hololens-2.htm" target="_blank">《CNBC》</a>昨日引述消息人士報導，微軟本周稍早在公司內以郵件宣布將裁減逾1,000人，影響包括MR在內的硬體部門。微軟官方證實此消息，也可能意謂著不會推出HoloLens 3。</p> <p>不過微軟稱此事並不會影響賣給美軍的作戰用軍事MR頭戴裝置IVAS。此外，微軟一方面表示會持續銷售HoloLens，另一方面也說，會持續投資Windows 365，以便「觸及更廣大的MR生態體系」，意味著將以Windows 365和其他品牌的VR/MR硬體業者合作，自己將更著重應用服務。</p> <p>但此事極可能表示不會有HoloLens 3了。HoloLens 3,499美元的定價，使外界從它一問世就懷疑企業和消費者的接受度。儘管HoloLens 2調整為企業用途，仍然未能提振銷售。2022年HoloLens<a href="https://www.ithome.com.tw/news/151356" target="_blank">部門改組</a>，軟、硬體開發人員分別併入Teams和Windows部門。有趣的是，<a href="https://www.ithome.com.tw/news/149215" target="_blank">微軟曾堅持</a>HoloLens 3不會停止開發，現在已經淡化這件事。</p> <p>事實上，微軟現有重心已經轉移AI及Copilot上，龐大的投資讓微軟沒有理由再持續開發HoloLens。</p> <p>現在微軟最主要任務，應該是完成對美國國防部提供的軍用MR頭戴裝置的合約。微軟2021年拿下美國陸軍220億美元訂單，以HoloLens打造整合式視覺擴增系統（IVAS），預定以10年出貨12萬頂。不過第一代裝置讓美國士兵測試後，出現噁心、頭痛、眼睛疲勞等問題，迫使微軟必須持續改良以滿足合約，並確保美軍持續下單量。</p> <p>微軟5月才偕PC品牌業者公布Copilot+ PC，晶片業者除了高通外，本周在Computex大會上，AMD和英特爾也相繼公布了分別代號為Strix Point和Lunar Lake的下一代處理器。加上秋天即將推出Windows 11 24H2，微軟正在積極準備，推動下一波PC換機潮。</p> </div></div></div>
2024/6/5 11:18作者林妍溱https://www.ithome.com.tw/news/163306
【2024臺灣資安年鑑｜資安十年特輯】修訂產業創新條例，推動「資安產業化」以及「產業資安化」是主要目標
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-lu_zheng_hua_-960-jpg_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安政策的演進，在過去十年成為引人注目的焦點。隨著蔡英文總統的兩個任期──八年的執政，臺灣的資安政策走上更加積極的道路，尤其是她在任內制定「資安即國安」的國家戰略方針，不僅對臺灣的資安環境帶來重大的影響，也在全球資安治理引起了高度且廣泛的注意。</p> <p>數位發展部數位產業署署長呂正華表示，首先，從政治層面來看，總統對於資安的高度重視，是政府部門及整個國家機器重視資安的關鍵推動力。</p> <p>蔡英文總統對資安政策的支持，不僅僅在口頭上表達，也以實際政策作為展示推動資安的決心。例如，蔡英文總統親自出席臺灣資安大會，並對臺灣資安產業的發展，給予全方位的支持。</p> <p>他指出，這種由總統帶頭、其他像是副總統、行政院長、各部會首長跟進的作為，充分展現出高層領導人重視及參與的政治關注，使得資安議題在政府層面獲得充分的關注與推動。</p> <p>連帶的，呂正華表示，這種上行下效的氛圍，也會督促行政部門會更積極開展各項與資安相關的工作，對於資安政策的實施，和整個國家資安環境的改善，都會帶來很正面的效果。</p> <p>其次，從政策層面來看，蔡總統重視資安的作為，也為行政部門的政策制定，提供強而有力的支持，例如，因應民間企業希望政府可以透過投資抵減的方式，鼓勵企業多多投資在資安上，行政部門之間彼此協調、透過《產業創新條例》10-1條的修正，包括端、網、雲和服務，都納入投資抵減範圍。</p> <p>根據統計數據顯示，2023年申請產創條例的資安投資抵減金額達到78.18億元，共計612件。這顯示出政府對於資安產業的支持力度不斷增強，為產業的發展提供了實質性的幫助和激勵。</p> <p>呂正華表示，這一舉措不只為資安產業的發展，提供了實質性支持和激勵，使得資安產業得以蓬勃發展，從而鼓勵企業增加對資安的投入；同時，政府還積極提供試驗場域，為資安產業的創新和發展提供了良好的環境。</p> <p>這些政策舉措的實施，使得臺灣的資安產業得以蓬勃發展，成為了國家經濟發展的一大亮點。</p> <p>「資安產業化」和「產業資安化」一直是政府在推動資安發展時重要的工作項目，並列為重要的政策目標。呂正華認為，這意味著政府不僅僅關注於提升資安產業的競爭力，同時也重視於提升整個產業鏈的資安水準。這種全面性的政策部署，不僅為資安政策實施提供了有力的保障，也同時為臺灣的資安產業發展打下了堅實的基礎。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E5%91%82%E6%AD%A3%E8%8F%AF-600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;">（攝影／洪政偉）</span></p> <p><span style="font-size:28px;"><strong>社群投入與商機迸發，帶動臺灣資安產業快速起飛</strong></span></p> <p>呂正華公務職涯都跟數位產業有密切關係，從工業局電子資訊組組長、工業局副局長、工業局局長，直到擔任數位產業署署長，這段期間，資安產業有了很大變化，因為原先只是數位產業的一環，但隨著許多出國打CTF（搶旗攻防賽）的學生和選手，在全球取得優異成績，加上政府主管開始支持相關的比賽時，資安發展火苗逐漸燃起。</p> <p>呂正華指出，「年輕人把過去學的資安技術做產業推動，不只是學校學的工具知識，更開始實踐理想、成立資安公司。」資安產業化的重要性，不僅是因為科技發展的推動，更是因為數位轉型的進程中，各項資料都會往雲端走，資訊保護變得尤為關鍵。</p> <p>然而，臺灣資安產業的崛起也面臨著一系列挑戰。他也說，臺灣不斷面對來自世界各地的網路攻擊，這對於企業和政府的資訊基礎設施，提出了嚴峻的考驗，例如美國聯邦眾議院議長裴洛西議長訪臺的時刻，關鍵基礎設施出現電子看板系統的不設防，更突顯了這一挑戰的嚴重性。</p> <p>不過，呂正華表示，因為有過去的經驗累積，加上臺灣有越來越多讓人印象深刻的資安產品和服務，以及來自產官學研等領域的合作及政策的推動，他對於臺灣關鍵基礎設施的防護能力，還是有一定的信心。</p> <p><span style="font-size:28px;"><strong>許多網路威脅鎖定臺灣，接連多起事故也喚醒企業重視資安</strong></span></p> <p>臺灣資安產業發展在過去十年，受到哪些外在因素影響呢？美國聯邦眾議院議長裴洛西來臺，中國駭客對臺灣發動網路攻擊的事件獲得媒體大幅報導，他表示，這種高度關注和警覺性，使越來越多企業和廠商意識到資安的重要。</p> <p>臺灣半導體業龍頭台積電曾因資安事件而遭受損失，但隨後與工研院展開合作，積極制定全球半導體供應鏈的資安標準SEMI E 187，這一標準在2023年1月成功推廣至整個半導體、面板、印刷電路板等產業，為整個產業鏈的資安保護提供有力保障；同時，供應鏈業者也可購買符合SEMI E 187資安標準的設備，進一步提升整個供應鏈的資訊安全水準。</p> <p>資安產業的發展，不僅是企業自身問題，更是系統性問題，呂正華認為，這需要政府提供系統性的支持和指導，政府可從多個面向著手，包括資安產業的發展、產業資安的提升，以及資安人才的培育等方面，制定相應的政策措施，為資安產業的整體健康發展，提供有力的保障。</p> <p>他同意臺灣資安大會也是好的平臺，可看到廠商投入成果，也讓更多人選擇資安解決方案時，知道臺灣國產方案和國際廠商的不同服務之處，當然，有些臺灣資安業者提供的解決方案，已經滿足某些企業的需求，鼓勵大家選用臺廠方案；某些產業因為需求不同，會選擇選國外原廠解決方案，也同樣有助於臺灣整體資安產業、產業資安的發展。</p> <p><span style="font-size:28px;"><strong>零信任資安提升資安水準，DIGITAL+鼓勵業者研發創新</strong></span></p> <p>資安是個隱匿在數位時代陰影下的關鍵課題，對於臺灣這個高度依賴資訊科技的國家而言，更是必須正視的挑戰。然而，隨著資安環境的不斷演變和威脅的不斷升級，臺灣資安產業面臨著一系列前所未有的挑戰和考驗。</p> <p>面對更頻繁的資安攻擊，臺灣必須不斷培養更多的資安公司，資安解決方案更要做到與時俱進。目前推行的零信任資安和軍民通用資安等措施，已經在一定程度上提升了資安水準。</p> <p>但隨著時間推移，網路威脅的風險不斷演進，特別是對於中小企業而言，投入資安的壓力往往難以承受，更需要政府提供更多資源，以應對日益嚴峻的資安挑戰。</p> <p>主管機關目前已透過法遵要求關鍵基礎設施業者，例如金融或是醫療等產業都必須設立資安長、資安主管並成立資安專責單位，但是，現在其他更多產業或者中小企業，更在意淨零排放議題，因為他們面對的是：No ESG No Money的議題。</p> <p>政府也意識到這個問題，呂正華表示，數位產業署推動的「DIGITAL+數位創新補助平臺計畫」，這是針對產業的研發需求，鼓勵軟體資訊服務業者投入創新研發活動，厚植資訊服務業研發能量，進而加速提升產業競爭力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E5%91%82%E6%AD%A3%E8%8F%AF-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>資安量能登錄與否，成為政府與企業採購選擇廠商重要資格</strong></span></p> <p>為了改善產業資安的發展，呂正華指出，政府透過政策引導方式，建立產業資安的生態系統。</p> <p>改善資安產業需要一點一滴做，政府自2018年開放業者申請「資安能量登錄」以來，不重複申請者有154家廠商通過；資安自主產品認定自2019年開放申請以來，不重複申請者有68家廠商通過。「這已經成為企業採購的重要指標，也是供應商展示專業品牌的重要途徑。」呂正華說，這些都可以達到盤點資安量能，並可以成為臺灣資安自主產品的採購資料庫。</p> <p>他表示，政府採購將通過資安能量登錄列為「廠商招標資格項目」之一，通過能量登錄，已經是廠商能否成為政府採購選商名單中的必要標準項目，例如，臺南市、臺北市工務局及醫藥品查驗中心等計畫案，都有列入資安能量登錄的資格要求；同樣的，也有企業將資安量能登錄與否，視為能否納入企業採購選商清單的資格之一。</p> <p>而通過資安量能登錄的廠商，可以藉由證書向客戶展示專業能力、品牌價值，並為公司形象加分、豎立品牌專業、達到擴展商機的概念。他認為，政府藉由強化「資安能量登錄」和「資安自主產品」認定的推廣和支持，可以鼓勵更多的企業參與其中，建立健康的產業資安生態系統。</p> <p><span style="font-size:28px;"><strong>政府提供資安檢測工具，鼓勵產業進行資安檢測服務</strong></span></p> <p>另外，為了協助產業掌握資安防護現況，呂正華表示，政府也提供資安檢測工具，協助受測企業掌握組織內部的資安防護現況，結合端點防禦、滲透測試、強化網路系統架構等業者，組成固定服務團踱，提升整體資安防護力。</p> <p>他指出，目前推動臺灣重點產業加強投入資安防護資源，也鼓勵採用臺灣資安自主解決方案，迄今提供241家臺灣重點產業，進行產業資安檢測服務，促成至少八千萬延伸資安產業商機。</p> <p>企業資安檢測的項目，則包括：資安風險現況評估、主機系統弱點掃描、資訊設備組太檢測、網路封包側路分析、惡意程式或檔案檢視，以及防火牆連線設定檢視。</p> <p>為了提升產業資安韌性，政府也支持企業進行紅隊演練，培養主動升級的能力。呂正華指出，目前已經輔導包括日月光、華碩、勝一化工等製造業（占45％），以及富邦momo、東森得意購、博客來等數位產業（占55％），共計23家的企業進行紅隊演練。</p> <p>他表示，這些企業透過紅隊演練，可以知道如何強化供應鏈安全、知道如何妥善修補資安漏洞，如果需要資安廠商提供協助時，這一份已經完成資安能量登錄的業者清單，就是可供選擇廠商參考的依據。</p> <p><span style="font-size:28px;"><strong>推動並落實半導體資安標準SEMI E187</strong></span></p> <p>由台積電協同工研院及產業，共同主導全球半導體資安標準制定，並且輔導產業落實SEMI E187，呂正華認為，這就是推動產業資安的最佳例證。</p> <p>SEMI E187於2022年1月正式發布，舉辦誓師大會並號召產業支持標準落實，參與業者包括：SEMI國際半導體產業協會、TEEIA臺灣電子設備協會、TPSA臺灣顯示器暨應用產業協會、TSIA臺灣半導體協會，以及帆宣、志聖、京鼎、均豪、東捷、盟立、泓陽、凱諾等半導體設備商共襄盛舉；並於9月與公協會合辦論壇研討會、提供顧問諮詢服務和補助資源，並建置合規方案體驗區，產出參考實務指引（Reference Practice）。</p> <p>呂正華說，2023年最重要的任務就是建立合規案例，推出SEMI E187檢核表（Check List）並舉辦工作坊推廣，也會輔導業者生產全球首批符合SEMI E187規範的機臺，並協助業者獲得SEMI E 187合規性驗證（VoC）。</p> <p>在2023年7月，SEMI E187標準在美國舊金山舉行的美國國際半導體展SEMICON West，榮獲「SEMI 2023國際標準貢獻獎」；截至目前為止，臺灣也積極在沙崙資安服務基地、臺灣資安大會資安館、SEMICON資安主題館進行推廣展示。</p> <p><span style="font-size:28px;"><strong>資安社群朝向產業化發展，大企業更願意投資新創資安業者</strong></span></p> <p>呂正華表示，臺灣資安社群成群發展，並有白帽駭客社群產業化的趨勢，包括奧義智慧、杜浦數位安全、戴夫寇爾、關楗、法泥、如梭、池安、博歐、資芯、菱鏡、可立可、互聯安睿、泰瑞爾等13家業者，均來自駭客社群。</p> <p>另外，他表示，更有許多企業積極投資新創資安公司，例如：詮安科技投資匯智安全、鑒真數位投資區塊科技、趨勢科技投資TXOne（睿控網安）、新漢科技投資椰棗科技、力旺科技投資熵碼科技、合勤科技投資黑貓資訊、趨勢科技投資VicOne、中華電信投資中華資安國際、宏碁投資安碁資訊、敦陽科技投資雲智維科技、精誠科技投資智慧資安、中興保全投資保華資安等。</p> <p>呂正華也說，為了幫臺灣資安業者找到更多國際資安投資挹注，積極輔導新創業者參與國際競賽和募資，例如，德國DEKRA集團併購安華聯網、美國Fintech獨角獸Circle併購博歐科技、奧義智慧和來毅數位科技分別獲得美國以及美國、荷蘭的資金投資，都有助於打入國際市場。</p> <p>此外，他也說，為了協助臺灣資安業者拓展國際市場，數位產業署會和一些臺灣的資安業者到東南亞舉辦資安日，也會到泰國、馬來西亞等東南亞國家，推廣臺灣的優質資安解決方案，也會跟著當地系統整合商（SI）展開更密切的合作。<strong>【本文採訪日期為2024年4月】</strong></p> </div></div></div>
2024/6/5 00:00作者黃彥棻https://www.ithome.com.tw/article/163109
【資安日報】6月4日，帛琉政府資料流入暗網，指控是中國政府指使勒索軟體駭客組織所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月臺灣邦交國帛琉遭遇網路攻擊，導致數週後2萬份遭竊政府文件流入暗網，而這起事故直到昨日（6月3日）紐約時報報導，此事才曝光，並引起全球各界關注。</p> <p>值得留意的是，雖然這起事故有勒索軟體駭客坦承犯行，聲稱目的是牟取經濟利益，但有帛琉官員表示，這些駭客並未對於贖金進行談判，認為如此說法顯然與事實不符。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163301"><strong style="font-size: 22px;">臺灣邦交國帛琉遭駭，2萬份政府文件流入暗網，疑為中國政府意圖孤立臺灣</strong></a></p> <p>根據紐約時報報導，臺灣友邦帛琉3月遭遇網路攻擊，次月遭竊資料公布於暗網，當中包含註明僅供政府官方單位使用的資料，涉及美國於當地部署雷達、日本海軍造訪該國的成員名單，以及臺灣與帛琉關係的數百份文件，而有可能左右臺海安全。</p> <p>而對於攻擊者的身分，帛琉共和國總統惠恕仁（Surangel S. Whipps, Jr.）指控，這起攻擊行動是中國政府策畫，目的是進行威嚇，想要脅迫其他國家與臺灣斷絕往來。惠恕仁指出相關跡證都指向於此，並表示帛琉與臺灣之間的關係，將比以往都更加牢固。</p> <p>對此，中國政府反駁，認為帛琉並未取得相關證據。而在此同時，名為DragonForce的勒索軟體駭客組織聲稱是他們所為，攻擊動機單純是為了經濟利益，並揚言要對帛琉造成更多傷害，但帛琉官員指出，這些駭客並未對索討贖金進行談判。</p> <p><a href="https://www.ithome.com.tw/news/163297"><strong style="font-size: 22px;">俄羅斯、中國、伊朗、以色列駭客濫用OpenAI的生成式AI技術，意圖操縱全球輿論</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/lL3XEWCRjy.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/lL3XEWCRjy.png" style="width: 300px; float: right;" /></a>人工智慧聊天機器人ChatGPT開發商OpenAI指出，他們在最近3個月裡，破壞了5起企圖濫用該公司語言模型操縱社會輿論或是左右地緣政治的影響力攻擊行動（Influence Operations），這些攻擊行動來自俄羅斯、中國、伊朗、以色列，涉及烏克蘭戰爭、加薩衝突、印度選舉、歐美政治，以及異議人士對中國政府的批評等。</p> <p>這些駭客試圖濫用OpenAI的語言模型，產生文章、評論、社群網站個人檔案、網站程式碼，甚至是用來進行除錯。</p> <p><a href="https://www.ithome.com.tw/news/163295"><strong style="font-size: 22px;">北韓駭客組織Andariel鎖定虛擬化平臺VMware Horizon的Log4Shell漏洞下手，意圖散布後門程式Dora RAT</strong></a></p> <p>資安業者AhnLab揭露北韓駭客Andariel近期鎖定韓國教育機構、製造業、營造業而來的攻擊行動，攻擊者利用後門程式來執行鍵盤側錄工具、竊資軟體、代理伺服器工具，藉此控制受害電腦並竊取機密資料。</p> <p>研究人員並未透露這些駭客如何入侵受害電腦，但指出這些攻擊行動的共通點，就是藉由Log4Shell漏洞（CVE-2021-44228）來部署惡意程式，而之所以能運用這個管道，主要是因為受害組織使用桌面虛擬化平臺VMware Horizon，且當中搭配的Tomcat元件具有這個弱點。</p> <p>到了最近，這些駭客也開始利用Go語言開發的惡意軟體Dora RAT。值得留意的是，駭客濫用有效憑證簽署Dora RAT，其中有些憑證的擁有者是英國軟體開發業者。</p> <p><a href="https://www.ithome.com.tw/news/163294"><strong style="font-size: 22px;">自動化流程處理工具Gulp.js用戶遭到鎖定，駭客上傳NPM套件散布惡意程式</strong></a></p> <p>5月24日資安業者Phylum偵測到名為glup-debugger-log的可疑NPM套件，該套件搭載2個經過混淆處理的指令碼檔案，一旦啟動，這些檔案將會協同運作，最終在所用的電腦部署惡意酬載。截至目前為止，此惡意套件已被下載180次。</p> <p>研究人員指出，攻擊者的目標，主要是針對自動化流程處理工具Gulp.js的用戶，聲稱他們的套件能夠保存Gulp及其外掛程式事件記錄。然而，實際使用後並非如此，一旦有開發人員下載、安裝此套件，執行其中的1個指令碼play.js，就會成為惡意軟體載入工具，檢查目標電腦環境是否符合特定條件，然後下載其他惡意軟體的元件。</p> <p><a href="https://www.ithome.com.tw/news/163293"><strong style="font-size: 22px;">3.6億帳密資料驚傳外洩，駭客疑似利用竊資軟體取得，並透過Telegram頻道兜售</strong></a></p> <p>維護密碼外洩查詢網站Have I Been Pwned（HIBP）的資安專家Troy Hunt表示，一名不願具名的研究人員從518個駭客兜售個資的Telegram頻道裡，抓取122 GB資料，當中包含1,748個檔案、20億筆資料，經過整理，這些資料涉及3.61億個電子郵件帳號。</p> <p>值得留意的是，上述資料有近半數（1.51億個）並未收錄於HIBP的資料庫。而對於這些資料的內容，Troy Hunt指出，除了電子郵件，還包含了密碼，以及來源的網站，一旦駭客取得，很有可能用於發動帳號填充（Credential Stuffing）攻擊。究竟賣家如何取得這些資料？他認為極有可能是透過竊資軟體搜括而得。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.recordedfuture.com/grus-bluedelta-targets-key-networks-in-europe-with-multi-phase-espionage-camp"><strong style="font-size: 20px;">歐洲各地遭到俄羅斯駭客APT28鎖定，利用惡意程式HeadLace發動攻擊</strong></a></p> <p></p> <p>◆<a href="https://www.esentire.com/blog/fake-browser-updates-delivering-bitrat-and-lumma-stealer"><strong style="font-size: 20px;">竊資軟體Lumma Stealer、BitRAT透過冒牌瀏覽器更新網站散布</strong></a></p> <p></p> <p>◆<a href="https://www.cisa.gov/news-events/alerts/2024/06/03/cisa-adds-one-known-exploited-vulnerability-catalog"><strong style="font-size: 20px;">美國證實7年前Oracle WebLogic Server作業系統命令注入漏洞被用於攻擊行動</strong></a></p> <p></p> <p>◆<a href="https://www.resecurity.com/blog/article/cybercriminals-attack-banking-customers-in-eu-with-v3b-phishing-kit"><strong style="font-size: 20px;">網路釣魚工具包V3B鎖定歐洲國家銀行而來，企圖竊取用戶登入資料及OTP動態密碼</strong></a></p> <p></p> <p>◆<a href="https://www.securonix.com/blog/analysis-and-detection-of-cloudreverser-an-attack-involving-threat-actors-compromising-systems-using-a-sophisticated-cloud-based-malware/"><strong style="font-size: 20px;">駭客發起Cloud#Reverser攻擊行動，濫用雲端服務及Unicode字元散布惡意軟體</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163229"><strong style="font-size: 22px;">上市公司資安事件揭露範圍擴大，現在不論是否涉及核心、機密都要發布重訊</strong></a></p> <p>上市公司資安重訊發布「重大性標準」有新變化，臺灣證券交易所（證交所）新修訂重大訊息問答集第26款的內容，要求上市公司只要發現遭駭客攻擊或入侵，現在不論是否涉及核心資訊系統、機密文件，都屬於對公司造成重大損害或影響，需發布重大訊息對外揭露。</p> <p>由於證交所於今年1月，才開始明確規範資安事件的「重大性」標準，針對過去兩年多來有些企業不清楚何謂「重大」的問題，以此提出說明，沒想到才相隔四個月，又有新的調整。</p> <p>關於這次新的規定，證交所是在5月28日宣布，他們表示日前已修訂重大訊息問答集第26款，呼籲上市公司在發生資安事件時，應依規定評估造成損害或影響的範圍，並切實依重訊處理程序發布重大訊息。至於櫃買中心是否也會跟著修訂，有待密切關注。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163276"><strong>【6月3日】美國證實Linux核心的網路元件Netfilter高風險漏洞已被用於攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163231"><strong>【5月31日】歐洲刑警組織與十多個國家執法單位聯手，掃蕩數個用於散布惡意程式的殭屍網路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163201"><strong>【5月30日】鎖定Check Point VPN的攻擊行動出現新的發展，兩家資安業者透露對方利用零時差漏洞挖掘AD帳密資料</strong></a></p> </div></div></div>
2024/6/4 19:11作者周峻佑https://www.ithome.com.tw/news/163303
臺灣邦交國帛琉遭駭，2萬份政府文件流入暗網，疑為中國政府意圖孤立臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據紐約時報報導，<a href="https://cn.nytimes.com/asia-pacific/20240603/palau-taiwan-china-hack/zh-hant/">臺灣友邦帛琉3月遭遇網路攻擊，次月遭竊資料公布於暗網</a>，當中包含註明僅供政府官方單位使用的資料，涉及美國於當地部署雷達、日本海軍造訪該國的成員名單，以及臺灣與帛琉關係的數百份文件，而有可能左右臺海安全。</p> <p>這起網路攻擊發生的時間，在於美國核准延宕已久的經濟援助計畫，他們將於20年內資助9億美元。正當兩國官員準備慶祝的時候，發生帛琉政府超過2萬份文件遭竊的事故。</p> <p>而對於攻擊者的身分，帛琉共和國總統惠恕仁（Surangel S. Whipps, Jr.）指控，這起攻擊行動是中國政府策畫，目的是進行威嚇，想要脅迫其他國家與臺灣斷絕往來。惠恕仁指出相關跡證都指向於此，並表示帛琉與臺灣之間的關係，將比以往都更加牢固。</p> <p>對此，中國政府反駁，認為帛琉並未取得相關證據。而在此同時，名為DragonForce的勒索軟體駭客組織聲稱是他們所為，攻擊動機單純是為了經濟利益，並揚言要對帛琉造成更多傷害。</p> <p>由於帛琉是美軍設施據點，掌握了重要航道，一旦臺海衝突發生，這些航道將成為美國保衛臺灣的主要管道。無論駭客的動機為何，這起資料外洩事故都對美國帶來極大的風險。</p> <p>值得留意的是，臺灣也向帛琉提供經濟援助，部分外洩資料指出，帛琉出席聯合國氣候變化大會等國際論壇，我國如何提供援助。</p> <p>但不光是美國、臺灣，這批文件外流也可能波及其他國家。因為，其中包含2000年代中期至今，該國與日本、以色列、美國等國家的外交通訊內容。此外，日本高級將領、美國士兵、沙烏地阿拉伯外交代表團的資料，也遭到外流。</p> <p>針對這起事故攻擊者的動機，資安業者Analyst1首席安全策略分析師Jon DiMaggio指出，他看過駭客公布的資料，並指出當中與臺灣有關的檔案可能會引起中國當局興趣。雖然帛琉當局並未透露指控中國政府的證據，但他認為，政府利用勒索軟體駭客組織發動攻擊，而非暗中從事網路間諜行動，其中一個主要原因就是要公開羞辱目標。</p> <p>另一家資安業者Recorded Future分析師Allan Liska也抱持類似看法，並補充說明：假若幕後主使者主要目的是為了政治宣傳，那麼藉由勒索軟體駭客組織的攻擊行為與洩露資料的做法，相當適合這樣的訴求。</p> <p>雖然勒索軟體駭客組織DragonForce宣稱為了經濟目的而犯案，但傳出這些駭客並未對於索討贖金進行談判。帛琉財政部資安官員Jay Anson指出，中國政府利用該駭客組織，從而降低與美國之間發生外交事件的風險。</p> <p>對此，Jay Anson認為，駭客一定是從他人收到錢，才有利可圖，所以，這起資安事故是政治問題，而非單純出於經濟利益的勒索軟體攻擊。</p> </div></div></div>
2024/6/4 18:43作者周峻佑https://www.ithome.com.tw/news/163301
Computex電腦展：英特爾發表Xeon 6伺服器處理器、Gaudi 3 AI加速器及Lunar Lake行動處理，…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Computex Taipei開展的第一天，英特爾執行長Pat Gelsinger發表演說，現場發表包括Xeon 6伺服器專用處理器、Gaudi AI加速器，以及強化AI效能的Lunar Lake行動處理器，象徵英特爾從資料中心到裝置端AI產品布局。</p> <p>儘管在AI運算市場，面臨Nvidia及AMD的夾擊，在AI PC市場，微軟新近發表Copiot+PC，帶動新一波AI PC趨勢發展，但首波微軟Copilot+PC筆電並未與過去PC市場老戰友英特爾合作，而是由高通搶下頭香，採用Qualcomm Snapdragon X及微軟NPU，並成功拉攏華碩、宏碁、Lenovo、HP等品牌，相關產品將在6月18日後開始上市銷售，高通更在Computex宣示，Snapdragon AI PC處理器未來將會用於不同設計的PC產品，顯示高通來勢洶洶的氣勢。</p> <p>即使面臨更大的競爭，Pat Gelsinger在演說中表示，英特爾是全球少數能全面掌握AI市場契機，且推動創新的公司之一。英特爾從半導體製造到PC、網路、邊緣運算和資料中心等都有布局。最新的Xeon、Gaudi，以及Core Ultra的Lunar Lake，結合英特爾的硬體和軟體生態系，具有靈活、安全且具成本效益，與合作夥伴共同搶攻商機。</p> <p><span style="color:#B22222;"><strong>Xeon 6 with E-Core主打更高密度資料中心</strong></span></p> <p>其中的Xeon 6伺服器專用處理器，為英特爾首款採用Intel 3節點設計的產品，包括E-Core效率核心(代號Sierra Forest)、P-Core(代號Granite Rapids)效能核心兩種規格。首先上市的是E-Core規格，最高有144個E-Core核心，強調為高密度、能源效率的資料中心需求所設計，適用於雲原生、CDN、微服務架構等應用。</p> <p>Pat也預告在今年稍晚將會推出第二代的Xeon 6 E-Core，將2個Xeon 6 E-Core整合在一起，多達288個效率核心。至於P-Core版Xeon 6鎖定HPC高效能運算，在下一季才會推出。</p> <p>英特爾以Xeon 6 E-Core的超多核心，展示更高的機櫃密度，強調機櫃密度可提高3倍，並且與第2代Xeon相比，在多媒體轉碼工作上，採用Xeon 6 E-Core的機櫃效能提高4.2倍，每瓦效能提高2.6倍，如果以機櫃整合角度來看，採用第2代Xeon處理器的200個機櫃，可縮減至66個採用Xeon 6700E的機櫃。</p> <p><strong><span style="color:#B22222;">Gaudi AI加速器主打AI運算性價比</span></strong></p> <p>針對Nvidia及AMD在資料中心AI運算加速的競爭，英特爾推出AI加速器Gaudi，特別是與售價高昂的Nvidia H100競爭，英特爾今天也公布Gaudi加速器組合方案價格，8個Gaudi 2加速器與1個UBB通用基板，價格為6.5萬美元，為競品的三分之一，高階的Gaudi 3組合方案，包括8個Gaudi 3與1個UBB，定價為12.5萬美元，強調為競品的三分之二。</p> <p>Gaudi加速器以取代H100為目標，作為企業AI訓練及推論的加速器，英特爾公布Gaudi 3和H100的效益比較，例如在8192組加速器的叢集規模下，英特爾宣稱Gaudi 3要比相同規模的H100縮短40%的模型訓練時間；在64組的加速器叢集下，Gaudi 3以Llama 2-70B模型訓練速度比H100快15%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-06-04%20%E4%B8%8B%E5%8D%885_18_04.jpeg" style="width: 600px; height: 288px;" /></p> <p>該公司強調以Xeon處理器搭配Gaudi加速器，快速執行RAG資訊檢索，同時宣稱具有更高的性價比優勢，以及更低的TCO。</p> <p><span style="color:#B22222;"><strong>Lunar Lake將帶來超過80款Copilot+PC裝置進入市場</strong></span></p> <p>至於AI PC方面，英特爾推出Core Ultra的Lunar Lake行動處理器，整合CPU、GPU及NPU，3個異質運算單元合計平臺效能達到120TOPS，如果單看NPU，達到48TOPS，符合微軟Copilot+PC的40TOPS以上的要求。</p> <p>儘管英特爾並未趕上微軟Copilot+PC首波裝置，但在專題演說中，微軟執行長Satya Nadella也以影片表達對英特爾的支持，Satya表示，微軟與生態夥伴合作推出Copilot+PC，將新的AI使用體驗帶給用戶，英特爾Lunar Lake處理器將帶來超過80款Copilot+PC。</p> <p>換言之，英特爾雖然沒有趕上微軟首波Copilot+PC上市裝置，但Lunar Lake讓更多的PC可提供微軟Copilot+PC的AI PC使用體驗。</p> <p>面對高通挾Copilot+PC在PC市場的競爭，Pat在演說後受訪時指出，X86在PC市場仍有相當高的市佔，英特爾不斷與ISV、AI業者合作，目前AI PC已建立一定的生態，英特爾預估迄今全球已有超過800萬臺AI PC，並<span class="s1" style="font-kerning: none;">已有500個模型針對其進行優化，具有一定程度的不可取代性，他不擔心來自高通的競爭。</span></p> </div></div></div>
2024/6/4 17:40作者蘇文彬https://www.ithome.com.tw/news/163298
英特爾發表新一代AI PC處理器Lunar Lake，耗能低40%、NPU算力是前一代3倍多
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾今天於Computex 2024正式公布新一代筆電處理器Lunar Lake，是Core Ultra系列第二代產品。鎖定AI PC需求，此處理器TOPS（每秒幾兆次操作，Tera Operations Per Second）高達前一代3.5倍，且能源使用效率上，耗電量較前代低了40%。</p> <p>早在去年推出第一代Core Ultra產品Meteor Lake時，英特爾執行長Pat Gelsinger便提出了AI PC時代這一說法──未來所有筆電中都會整合NPU等硬體，以高效執行AI相關運算任務。然而，Meteor Lake的NPU算力只有11.5 TOPS，當時市場上卻已經有搭載了31.6 TOPS算力NPU的M2 Ultra處理器等競品，前者競爭力顯得不足。</p> <p>來到今年，上個月底微軟於自家開發者大會公布了Copilot+ PC，更加凸顯出AI PC趨勢不可擋。首批Copilot+ PC與高通合作，使用高通Snapdragon系列處理器。不過，Snapdragon的PC產品在市場上份量相對小，下一波預計搭載英特爾和AMD處理器的Copilot+ PC，才會觸及更多主流PC市場。</p> <p>Lunar Lake正是預計裝入這款AI PC的處理器，NPU算力有48 TOPS。AMD昨天發表的Ryzen AI 300處理器則搭載了有50 TOPS算力的NPU。兩者算力相近，且相較首批Copilot+ PC搭載的40 TOPS高通NPU都高了一截。</p> <p>不只NPU算力較前代處理器Meteor Lake大幅提升，Lunar Lake搭載的CPU、GPU、NPU，都翻新了設計架構，來提升算力和能源使用效率，支援多元AI運算任務。這一代處理器算力共有120 TOPS，包含CPU的5 TOPS、GPU的67 TOPS，以及NPU的48 TOPS算力。</p> <p><strong>NPU採</strong>英特爾<strong>第四代NPU架構，算力達48 TOPS</strong></p> <p>這一代Lunar Lake的NPU採取Intel NPU 4架構，相較前一代NPU算力提升了36.5 TOPS，來到48 TOPS。</p> <p>這顆NPU搭載了6個神經計算引擎NCE（Neural Compute Engine），相較前代增加了4個，等於每次運算週期可以處理12,000次乘積累加運算（MACs）。NPU 4還搭載了12個處理向量運算用的VLIW DSP，且從前一代128bit頻寬提升到512bit頻寬。另外，直接記憶體訪問（DMA）頻寬也提升了1倍。這些都是大幅提升算力的關鍵硬體升級。</p> <p>能源使用效率方面，由於大部分NPU耗能都用於矩陣運算及數據傳輸兩項工作，英特爾在NCE中的推論管線（Inference Pipeline）設計中，優化了運算效率及任務排程功能，來降低耗能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/npu%20ef.jpg" style="width: 600px;" /></p> <blockquote><p>如圖所示，NPU 4的效能／耗能比，相較於NPU 3高出2倍，且最高效能可達NPU 3的4倍。圖片來源-英特爾</p> </blockquote> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/npu%20stb.jpg" style="width: 600px;" /></p> <blockquote><p>圖為Meteor Lake與Lunar Lake跑Stable Diffusion 圖片生成任務時的表現比較。Lunar Lake搭載了更強大的NPU 4，能負責原本由CPU和GPU處理的部分任務，因而提升效能／耗能比。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">圖片來源-</span>英特爾</p> </blockquote> <p><strong>GPU效能提升1.5倍，算力達67 TOPS</strong></p> <p>與前一代一樣，Lunar Lake的圖形運算區塊由GPU及其他專責圖形運算區塊組成。相較於前一代分為4個區塊，這一代則是拆成GPU、顯示區塊及多媒體處理區塊共3區。英特爾在顯示及多媒體運算區塊中，從軟硬體上分別針對各自專責工作進行效率及耗能優化，例如選擇性畫面更新及記憶體配置優化等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/graphics.jpg" style="width: 600px;" /></p> <p>Lunar Lake的GPU採取了新一代Xe2 GPU架構，由8個Xe2核心組成。每個核心採用原生SIMD16（單指令多重資料）引擎，內含8個512-bit Xe Vector Engines （XVE）向量引擎，以及8個2048-bit Xe Matrix eXtensions（XMX）矩陣引擎。XVE引擎支援SIMD和SIMD 32向量運算，以及INT8、FP16、BF16的矩陣運算，和各式三角、指數等超越函數運算。XMX引擎規格則是每周期能執行2048次FP16運算，或4096次INT8運算。</p> <p>整體來說，Xe2效能相較前一代提升了1.5倍，特定任務甚至提升了12.5倍。總共67 TOPS的算力及對向量、矩陣運算的支援度，也使Xe2 GPU能負責執行負荷較重的AI運算任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gpu%20perfcomp.jpg" style="width: 600px;" /><img alt="" src="https://s4.itho.me/sites/default/files/images/xe2comp.jpg" style="width: 600px;" /></p> <blockquote><p>Xe2新硬體架構搭配專屬的指令集，使其相較前一代GPU在許多表現上都相較第一代有大幅提升。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">圖片來源-</span>英特爾</p> </blockquote> <p><strong>4顆E-Core及4顆P-Core的CPU架構，大幅升級的E-Core是高能源效率關鍵</strong></p> <p>相較於Meteor Lake有低耗能E-Core、一般E-Core及P-Core三種效能的CPU，Lunar Lake取消了低耗能E-Core的設計，只搭載了4顆高能源效率E-Core及4顆高運算效能P-Core。其中，E-Core規格提升幅度尤其引人注目。</p> <p>新一代E-Core採Skymont架構，IPC（每時脈週期指令數量）相較前一代有大幅提升，整數運算任務增加38%、浮點運算任務更大增68%。同樣效能下，這一代E-Core耗能只有前一代低耗能E-core的1/3。英特爾更宣稱新一代E-Core在向量運算及AI相關運算的效能較前一代提升1倍。</p> <p>E-Core效能及能源使用效率大幅提升，意味著可以將更多日常運算任務留給低耗能的E-core，只有真正要求高效能的任務才會動用到P-Core。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cpu%20power.jpg" style="width: 800px;" /></p> <blockquote><p>以執行Microsoft Teams為例，Meteor Lake不時會需要將運算任務交由較耗能的P-Core來執行，甚至來回在不同CPU間調度。受益於E-Core規格大升級，Lunar Lake則能一直使用E-Core來執行此任務。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">圖片來源-</span>英特爾</p> </blockquote> <p>高效能CPU P-core也升級為新一代Lion Cove架構，IPC相較前一代提升了14%。新架構下，記憶體、運算單位等多項硬體規格提升，且調控運轉時脈頻率的顆粒度更精細，能在同樣耗能下擠出更多效能，減少硬體閒置情況。</p> <p>不只如此，新P-Core還能根據當下執行的運算任務及溫度來即時調控運轉效能，而非根據預先設死的標準來調控。相較於後者做法，前者可以使CPU在不過熱的情況下，用更高時脈頻率運轉。</p> <p>除了運算單位升級，Lunar Lake其他升級包括：支援Wi-Fi 7與藍牙5.4、搭載2顆LPDDR5x DRAM記憶體，運作速率8.5 GT/s，最多可至32GB，以及更新了能源管理及執行緒分配機制來更進一步提升能源使用效率。英特爾還推出了Lunar Lake開發者套件，輔助開發者針對新處理器開發AI應用。</p> <p>Lunar Lake預計第三季上市，至於搭載Lunar Lake的Copilot+ PC何時會推出，英特爾沒有進一步揭露更多細節。</p> </div></div></div>
2024/6/4 18:03作者郭又華https://www.ithome.com.tw/news/163296
自動化流程處理工具Gulp.js用戶遭到鎖定，駭客上傳NPM套件散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月24日資安業者Phylum<a href="https://blog.phylum.io/sophisticated-rat-shell-targeting-gulp-projects-on-npm/">偵測到名為glup-debugger-log的可疑NPM套件</a>，該套件搭載2個經過混淆處理的指令碼檔案，一旦啟動，這些檔案將會協同運作，最終在所用的電腦部署惡意酬載。截至目前為止，此惡意套件已被下載180次。</p> <p>研究人員指出，攻擊者的目標，主要是針對自動化流程處理工具Gulp.js的用戶，聲稱他們的套件能夠保存Gulp及其外掛程式事件記錄。然而，實際使用後並非如此，一旦有開發人員下載、安裝此套件，執行其中的1個指令碼play.js，就會成為惡意軟體載入工具，檢查目標電腦環境是否符合特定條件，然後下載其他惡意軟體的元件。</p> <p>他們根據此套件庫的package.json檔案進行解析，上述的指令碼會檢查電腦的網路介面、作業系統類型，但特別的是，駭客還會確認電腦的桌面資料夾至少有7個檔案，研究人員推測，這很可能是為了確認電腦是否由真實用戶操作的指標。</p> <p>在通過前述的3項檢查後，該指令碼就會下載惡意程式，並啟動第2個名為play-safe.js的指令碼，以便惡意程式能持續在受害電腦上運作。此指令碼會建立HTTP伺服器，並透過3004埠監聽命令並執行。</p> </div></div></div>
2024/6/4 16:21作者周峻佑https://www.ithome.com.tw/news/163294
北韓駭客組織Andariel鎖定虛擬化平臺VMware Horizon的Log4Shell漏洞下手，意圖散布後門程…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者AhnLab揭露<a href="https://asec.ahnlab.com/en/66088/">北韓駭客Andariel近期鎖定韓國教育機構、製造業、營造業而來的攻擊行動</a>，攻擊者利用後門程式來執行鍵盤側錄工具、竊資軟體、代理伺服器工具，藉此控制受害電腦並竊取機密資料。</p> <p>研究人員並未透露這些駭客如何入侵受害電腦，但指出約自2022年5月起，攻擊者在過程中使用C++打造的後門程式Nestdoor，也有搭配Web Shell的情況，對方假借提供OpenVPN安裝程式來進行散播。</p> <p>而這些攻擊行動的共通點，就是藉由Log4Shell漏洞（CVE-2021-44228）來部署惡意程式，而之所以能運用這個管道，主要是因為受害組織使用桌面虛擬化平臺VMware Horizon，且當中搭配的Tomcat元件具有這個弱點。</p> <p>到了最近，這些駭客也開始利用Go語言開發的惡意軟體Dora RAT。</p> <p>相較於Nestdoor，研究人員認為Dora RAT功能相對單純，主要能支援反向Shell，並能讓攻擊者上傳或下載檔案。他們看到駭客執行此木馬程式的方式有兩種，其中一種是直接執行，另一種則是透過注入檔案總管（explorer.exe）的處理程序載入。</p> <p>值得留意的是，駭客濫用有效憑證簽署Dora RAT，其中有些憑證的擁有者是英國軟體開發業者。</p> </div></div></div>
2024/6/4 16:51作者周峻佑https://www.ithome.com.tw/news/163295
Raspberry Pi即將於下周登上倫敦證券交易所
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發樹莓派（Raspberry Pi）單板電腦的Raspberry Pi即將於下周登上倫敦證券交易所（London Stock Exchange，LSE）。《<a href="https://www.morningstar.com/news/marketwatch/2024060347/raspberry-pi-prices-london-ipo-with-up-to-688-million-valuation" target="_blank">Morningstar</a>》引用參與此次IPO（首次公開發行）之投資銀行Peel Hunt的聲明，指出Raspberry Pi將於下周五（6/14）開放交易，每股發行價可望落在260~280便士（2.6~2.8英鎊）之間，估值高達5.4億英鎊。</p> <p>樹莓派基金會（Raspberry Pi Foundation）於2008年創立於英國，是一教育慈善機構，企圖藉由低成本的可程式化電腦來激發年輕人利用程式碼及技術來創造的樂趣，繼之在2012年設立商業化的子公司Raspberry Pi Ltd ，負責樹莓派單板電腦的設計、生產與銷售。目前該基金會依然是Raspberry Pi Ltd的主要股東，其它股東還包括Sony、Arm與Lansdowne。</p> <p>根據Raspberry Pi Ltd所公布的財報，該公司在2021、2022與2023年的營收分別是1.41億、1.88億及2.66億英鎊，營業利潤為1,877萬、2,007萬及3,753萬英鎊。</p> <p>樹莓派基金會執行長<a href="https://www.raspberrypi.org/blog/what-would-an-ipo-mean-for-the-raspberry-pi-foundation/" target="_blank">Philip Colligan說明</a>，樹莓派（Raspberry Pi ）一直是兩個組織的故事，一個慈善機構，以及另一個商業機構，它們雖然是獨立的組織，卻有推動創客、工程師與教育工作者的同樣價值觀。對他而言，樹莓派單板電腦最重要的事情之一，是孩子正與全球首屈一指的工程師及科學家所使用的平臺上學寫程式碼，而且樹莓派對低成本運算的承諾始終未曾改變，此一承諾亦存在於基金會與Raspberry Pi公司的合約中。</p> <p>迄今Raspberry Pi公司已捐贈近5,000萬英鎊予基金會，該基金會也從其它來源獲得了超過6,000萬英鎊的資金，在Raspberry Pi公司上市後，基金會將會透過出售股份來籌措資金，而不再每年分享Raspberry Pi公司的經營利潤。</p> </div></div></div>
2024/6/4 15:22作者陳曉莉https://www.ithome.com.tw/news/163292
3.6億帳密資料驚傳外洩，駭客疑似利用竊資軟體取得，並透過Telegram頻道兜售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>維護密碼外洩查詢網站Have I Been Pwned（HIBP）的資安專家Troy Hunt表示，一名不願具名的研究人員從518個駭客兜售個資的Telegram頻道裡，抓取122 GB資料，當中包含1,748個檔案、20億筆資料，經過整理，<a href="https://www.troyhunt.com/telegram-combolists-and-361m-email-addresses/">這些資料涉及3.61億個電子郵件帳號</a>。</p> <p>值得留意的是，上述資料有近半數（1.51億個）並未收錄於HIBP的資料庫，Troy Hunt檢查後初步認為，這些電子郵件帳號應是有效資料，但他沒有測試密碼，並指出若是密碼無效，很有可能只是現在的時間點已失去作用，不代表資料遭到洩露後是否有效。</p> <p>而對於這些資料的內容，Troy Hunt指出，除了電子郵件，還包含了密碼，以及來源的網站，一旦駭客取得，很有可能用於發動帳號填充（Credential Stuffing）攻擊。究竟賣家如何取得這些資料？他認為極有可能是透過竊資軟體搜括而得。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HIBP-361m-1.png" style="width: 430px;" /></p> <p>為了驗證帳密資料的有效性，該名資安專家尋求部分HIBP用戶協助確認自己外洩的資料，其中遭遇13起資料外洩事故影響的人士向他表示，相關帳號資料細節已在過往的事故流出。另有遭遇7起事故的用戶也提出類似的發現，但Troy Hunt指出，這些事故僅有6起導致密碼外流，包括：MyFitnessPal、8fit、FlexBooker、Jefit、MyHeritage、ShopBack。</p> <p>也就是說，並非所有外流資料都能找到對應的資料外洩事故。Troy Hunt找到一筆疑似來自竊資軟體事件記錄的檔案，這名德國受害者向他透露，這些資料應該是正確的，但在此之前已有網路服務提供者通報帳號遭到入侵，該名受害者已更換密碼，並指出他在德國電信設置的新密碼難以猜測，而這些帳密資料都存放於Firefox。</p> <p>這名受害者進一步透露，自己在工作時使用Windows電腦，平常使用MacBook及iPhone，但在大約一週前，所使用的Gmail帳號遭遇嚴重的垃圾郵件攻擊，而且有人以這個帳號訂購昂貴的商品。</p> <p>此外，也有使用密碼管理服務LastPass儲存相關資料的用戶，向Troy Hunt證實外洩資料的有效性，並指出他近期已經更換了部分密碼。</p> <p>甚至有14歲青少年用戶透露，這些他外流的帳號資料，密碼已經更換，但最近他接連收到勒索郵件而感到困擾。</p> <p>這樣的情況，證明這批帳密資料的影響範圍很廣，之所以外流，應該是有人利用竊資軟體入侵使用者電腦取得。</p> <p> </p> </div></div></div>
2024/6/4 15:28作者周峻佑https://www.ithome.com.tw/news/163293
資安全面防護之必要
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>置身數位化全面普及的環境，無可避免會受到網路威脅的直接或間接影響，每個人該做的事情，是積極、持續認識這些資安風險與各種資安事故，正如同我們關心每天的氣象變化，並且及早進行各種必要的準備與預防措施，以便當下能夠充分因應各種可能發生的狀況。</p> <p>然而，有備無患、未雨稠繆的概念雖然人盡皆知，甚至是基本常識，每天的新聞報導總不乏各種意外狀況發生，但離譜的是，許多知名的大型企業因應變故的能力仍有待提升，不免令人深思：科技使人類變得更強大嗎?恐怕真相是「使人類變得脆弱」。</p> <p>今年3月初，社群網站龍頭Meta公司的Facebook、Instagram、Threads發生故障，約1個半小時恢復正常；幾個禮拜後，全球速食連鎖業者麥當勞發生大當機，十多個國家的App和餐廳點餐系統停擺，許多門市不論現場或是網路都無法接單，有些可改用紙本作業來記錄訂單，有些只收現金，甚至有直接打烊、當天停止營業的狀況。這類狀況並非今年特別多，以前也有一些令人印象深刻的例子，像是2022年4月，DevOps平臺業者Atlassian發生大當機，花了14天才復原。</p> <p>若論及勒索軟體、DDoS、資料外洩等重大資安事故，更是層出不窮，駭客組織與國家網軍運用的滲透與攻擊手法五花八門，從粗製濫造到極端繁複都有可能。而這些資安威脅對於企業與組織運作造成的衝擊，也是形形色色，例如，早期早見的個人電腦中毒、硬碟損毀，之後出現網站首頁被竄改、網站服務停擺，到了近期，檔案遭到加密綁架、機敏資料與個資外洩、企業與個人身分遭冒用，更是司空見慣。</p> <p>事實上，每個環節都可能遭滲透、所有管制都可能被突破，資安措施需要涵蓋全局。例如，事前預防雖然無法完全保障資安，但仍須盡力防患於未然，能在敵人侵入前就予以阻隔，可有效降低後續處理成本；至於事中察覺與事後復原能力的強化，是在APT威脅猖獗之後開始興起的資安戰略，目的是促使大家充分具備各種威脅的偵測與應變能力，建立第二條防線，但這樣與威脅貼身肉搏是更費時費力的，因此不能輕易放棄事前預防工作，如果這麼做，就沒有退路了。</p> <p>面對詭譎多變的網路威脅態勢，資安的未來似乎難以令人樂觀其成，然而，生命總會找到出路，人類用幾千年的文明，突破了外在環境的限制，而得以安身立命，因此，今日我們雖然仍舊擔心各種氣候變化，卻不那麼害怕，因為大家都在不斷尋找適應與解決問題的方法，希望能通過大自然的考驗，而在因應人為活動的各種變化時，我們沒有悲觀的本錢，只能繼續拼搏，正如同臺灣與全球的命運緊密相連，資安也是如此，一榮俱榮，一損俱損。</p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91">資安年鑑</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E9%A2%A8%E9%9A%AA">資安風險</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E4%BA%8B%E6%95%85">資安事故</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89%E6%84%8F%E8%AD%98">資安意識</a></div></div></div>
2024/6/4 14:51作者李宗翰https://www.ithome.com.tw/voice/163291
Google推Android裝置串流服務，簡化App在多種裝置上的測試工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2024/06/android-device-streaming-powered-by-firebse-now-in-beta.html">Android裝置串流（Device Streaming）</a>服務現在進入Beta測試階段，開發者只要透過簡單點擊，就能從Android Studio連接並操作遠端實體Android裝置，像是Google和三星等裝置，進而簡化應用程式在多裝置上的測試。該功能建立SSL安全連接來執行ADB（Android Debug Bridge），使得開發者可以直接在IDE中，操作遠端裝置以進行準確的測試。</p> <p>Android裝置串流解決了開發者難以取得和操作多種實體裝置的問題。過去開發者需要購買或是借用多款裝置來測試應用程式，但這不僅耗費時間和金錢，也可能缺乏特定裝置而無法進行全面測試。現在藉由Android裝置串流這項服務，開發者可以在IDE中遠端連接和操作多種Android裝置，提升測試效率和準確性。</p> <p>開發者現在可以Android裝置串流服務，對Android 8.1到14，以及折疊或是平板等各式尺寸、形狀和功能配置的裝置進行測試。支援的品牌包括Google、三星、Oppo和小米。Android裝置串流服務後端使用Firebase服務，Google強調，Android Studio使用SSL連接裝置，可確保資料傳輸安全。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0604-Android%20Device%20Streaming.png" style="width: 500px;" /></p> <p>開發者用來安裝和測試應用程式的裝置，在使用期間不會與其他使用者或Google服務共用，在開發者完成使用後，裝置會被完全抹除並且恢復成出廠設定。開發者可以自行操作進行裝置抹除，或是當連線階段過期後，裝置也會自動進行抹除。</p> <p>Android裝置串流服務的費用主要根據Firebase專案的定價計畫，按分鐘計價，連接裝置前的設定和結束連接階段的裝置抹除時間，不會列入時間計算。</p> </div></div></div>
2024/6/4 13:18作者李建興https://www.ithome.com.tw/news/163289
Amazon以Project P.I.模型來檢查產品瑕疵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ai-sustainability-carbon-footprint-product-defects" target="_blank">Amazon本周揭露了</a>人工智慧於電子商務履行中心的應用該呈現什麼樣貌，該公司的Project P.I.模型可於成像隧道中掃描商品缺陷，包括顏色、尺寸、或產品是否損壞等，另也開發多模態大型語言模型來整合客戶的回饋，再用來訓練Project P.I.，最終目的是提高客戶滿意度，降低退貨機率。目前Amazon已於北美多個履行中心部署Project P.I.，預計會在今年拓展至更多的履行中心。</p> <p>Amazon的履行中心是用來處理訂單的揀貨與發貨事宜，每天有數百萬的商品會通過該中心的成像隧道，包括狗糧、手機殼、T恤到書籍等，過去Amazon是透過光學字元識別（OCR）與電腦視覺（CV）技術來篩選並分類商品，而現在則採用稱為「私家偵探」（Private Investigator）的Project P.I.模型，它結合了生成式AI與電腦視覺技術，以用來偵測所有即將出貨商品的各種缺陷，還可協助確定發生問題的根本原因，以於上游採取預防措施，自2022年5月上線以來，已證明Project P.I.擅長分類商品，並能準確識別過期商品，以及偵測顏色或尺寸的錯誤問題。</p> <p>Project P.I.利用CV技術來掃描並評估商品是否含有瑕疵，例如彎曲的書籍封面，並將它隔離，同時再由Amazon員工來決定該商品是否可透過Amazon的Second Chance平臺以折扣品銷售，還是直接捐贈。</p> <p>此外，Amazon也利用基於多模態大型語言模型（MLLM）的生成式AI系統來調查客戶的負面體驗，當客戶還是收到有瑕疵的商品時，可利用此一MLLM來審核客戶的意見，進而分析Project P.I.於履行中心所拍攝的影像，再加上其它的資料來源，用以判斷出現問題的原因。</p> <p>所有透過這些模型學到的經驗都可以用來再次訓練模型，以改善模型的識別能力。同時Amazon也強調在發現該平臺的獨立賣家有某些固定的疏失時，也會知會它們。</p> <p>利用AI模型來提高客戶收到商品的滿意度將可避免不必要的退貨問題，減少碳排放，同時改善Amazon的銷售合作夥伴與客戶體驗。</p> </div></div></div>
2024/6/4 13:07作者陳曉莉https://www.ithome.com.tw/news/163290
Nvidia執行長黃仁勳：未來最重要的GenAI應用是客服AI代理，更大的願景是實現數位人類，讓應用程式也能像人類一樣…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日在Computex舉行前夕，Nvidia在臺大體育館一場活動中展示一段2分鐘的數位孿生地球影片。影片中Nvidia執行長黃仁勳用標準的中文進行解說，不論是聲調、咬字發音相當到位，一點看不出來有什麼不尋常的地方。黃仁勳不時穿插影片，根據講到的台詞或段落，做出相應對的動作。</p> <p>影片播完後，黃仁勳才透露，影片中的口述完全是由AI（他自稱為Jensen AI）配音，他只負責編寫講稿，他還開玩笑反問現場參加者：「我（編按:Jensen AI）的國語講的標準嗎？」</p> <p>這其實已不是黃仁勳第一次用AI替身出場，但在生成式AI快速竄紅後，許多企業開始將這種對話式GenAI能力帶進組織內部，為應用帶來革新。這也是黃仁勳整場演講的主軸，他大談了對生成式AI的觀察以及產業的衝擊，更揭露了未來Nvidia AI運算的發展藍圖。他特別提到臺灣在全球AI基礎架構建設中扮演的重要角色，並強調在臺灣擁有許多重要的合作夥伴。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-06-02%20%E4%B8%8B%E5%8D%887_14_11.png" style="width: 600px; height: 299px;" /></p> <p><span style="font-size:24px;"><strong>資料中心就像是一座AI工廠，正在生成、創造、生產有價值的新商品</strong></span></p> <p>談到ChatGPT對於AI發展的影響，黃仁勳指出，ChatGPT出現前，AI的發展主要集中在感知和偵測領域，例如自然語言理解、電腦視覺以及語音辨識。ChatGPT問世後，生成式AI才開始受到廣泛重視。不同於以往的AI，生成式AI以Token為單位進行生成，這些Token可以生成多種形式，包括文字、圖片、圖表、表格、歌曲、語音和影片。甚至任何具有學習意義的事物，如化學物質、蛋白質、基因，或是在數位孿生地球Earth 2中生成氣象資訊，還可以用來生成汽車方向盤控制訊號、或為機器人手臂生成關節等有價值的事物，「我們學到的一切，現在都可以生成。」</p> <p>黃仁勳進一步強調：「我們現在已進到生成式AI時代，而不是AI時代」，這樣的轉變也促使原有的超級電腦進化成以輸出Token為其唯一任務的資料中心。他形容這座資料中心就像是一座AI工廠，正在生成、創造、生產有價值的新商品。</p> <p>他進一步解釋，這座AI工廠可以為每個產業生產新商品，帶來顯著價值，而且這個工廠可以彈性擴展和和快速複製，將許多不同GenAI模型運用到各行業。這使得工廠不再僅僅是用來儲存資料或進行資料處理，而是一個能為每個產業產生智慧的AI工廠，進而形成一個在製造過程中運用電腦的製造行業，不再以製造電腦為主，「這在以前從未發生過」黃仁勳這樣說道。</p> <p><span style="font-size:24px;"><strong>以生成式AI為契機，3兆規模的IT產業也能夠直接服務百兆規模的他產業</strong></span></p> <p>如同1890年發明的交流發電機開啟了電力時代，黃仁勳表示，Nvidia的AI生成器可以產生Token，具有和過去AC發電機一樣龐大潛在市場機會，幾乎可以徹底改變每個產業，這將帶來新的機會，以生成式AI為契機，「3兆規模的IT產業也能夠直接服務百兆規模的他產業。」他指出，從加速運算開始，促成了AI的發展，催生了生成式AI的誕生，現在，正掀起一場新的工業革命。</p> <p>生成式AI的出現不只衝擊其他產業，對於IT產業的影響也非常大。他特別提到，生成式AI驅動了全堆疊重塑，將傳統的軟體工廠轉變成AI工廠，涵蓋底層硬體、指令、檢索和工具層都因此改變。舉例來說，過去的運算模型是以檢索為導向，而未來會由生成模式取代。電腦將能生成大量內容，只檢索必要的訊息，這不僅需能夠節省能源，還能生符合上下文相關性的資訊。甚至在這樣的發展下，他說，電腦不再僅僅是一種工具，而是能夠生成技能並執行任務的裝置。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-06-04%20%E4%B8%8A%E5%8D%887_54_20.png" style="width: 600px; height: 330px;" /></p> <p>就像當年微軟推出套裝軟體顛覆了PC產業一樣，他表示，Nvidia針對新的AI工廠和新電腦中推出一種全新形式的軟體，即NIM（Nvidia Inference Microservice）。</p> <p>他進一步說明，NIM是一種容器化的推論微服務。在一個NIM容器中，包含了CUDA、cuDNN，以及提供推論服務的TensorRT LLM模型推論引擎和Triton推論伺服器。不僅如此，NIM採用雲原生架構，可以在Kubernetes環境中自動擴展，並提供AI監控管理工具和標準API。開發人員可以在裝有CUDA的電腦上部署NIM，然後像使用ChatGPT一樣與其對話。此外，NIM還支援400個經過認證的伺服器和工作站產品，而且可部署在不同的基礎設施上，涵蓋工作站、雲端到本地資料中心。</p> <p>透過NIM，企業可以快速使用各種LLM和預訓練模型建立自己的AI應用，包含文字生成模型、影像生成模型，多模態模型等，以及各種專用領域的模型，像是健康醫療模型，數位生物模型，以及數位人類模型等。此外，NIM也針對Hugging Face平臺上最新大型語言模型Llama 3進行優化。</p> <p><span style="font-size:24px;"><strong>客服AI代理將是未來最重要的GenAI應用</strong></span></p> <p>他也指出，客服AI代理將是未來最重要的GenAI應用，讓各產業可以快速建立各種客戶服務AI代理人，應對各種客戶服務需求，像是數位護士、數位客服和數位導師。舉例來說，這些代理人可以像護理師一樣，協助處理非涉及處方開立或診斷的患者照護服務，也能夠應對各種客戶服務需求，包括零售客戶服務、食品服務、金融服務、保險服務等。</p> <p>他也提到，未來在AI應用服務中會有各種NIMs組成的AI代理，這些代理人可以協同執行任務。例如，有的NIMs會負責分配任務和擬定執行計畫，而其他的NIMs則會負責檢索資訊、進行搜尋，或者使用各種工具或執行SQL查詢。每個NIMs都是代表某方面的專家，這些NIMs會組成一個AI團隊的應用程式，「過去，應用程式是用指令編寫的，現在則轉變成了組建人工智慧團隊的應用程式。」他強調。</p> <p>黃仁勳深信，未來每家公司內部將擁有大量的NIMs。這些NIMS可以組成一個團隊，企業只需將任務交給NIM代理人，來負責分配任務和執行計畫，甚至不必弄清楚如何連接它們，最後再將任務執行結果回報給企業，「就像人類一樣互動，這就是未來應用程式的樣貌。」他說，更大的願景是實現數位人類，讓應用程式也能像人類一樣互動。</p> <p>Nvidia最新推出了ACE NIMs。Ace是Nvidia發展的數位人類技術，以統一運算框架為基礎，並提供軟體工具和API，讓開發人員可以製作出高度逼真和互動的虛擬分身。ACE NIMs進一步將ACE整合進NIMs中，並能夠在Nvidia加速基礎設施GDN部署和執行，可提供超過100個地區的低延遲處理。</p> <p>ACE NIMs中包含了各種數位人類建立所需的NIMs。其中，Nemotron SLM和LLM NIMs負責用於理解使用者的意圖並協調其他模型，而Riva語音NIMs則用於互動式語音和翻譯。Audio2Face的NIMs用於生成臉部和身體動畫，至於Omniverse RTX與DLSS則用於生成皮膚和頭髮的神經渲染。</p> <p>ACE不僅可以在雲端執行，在裝有RTX GPU的行動PC上也能執行。由於這些RTX GPU中包含了Tensor Core GPU，具備有AI處理能力。Nvidia表示，目前推出全球出貨高達1 億臺的AI PC，一共有超過200款內建GeForce RTX的Al筆電，在AI處理能力上擁有高達700個TOPS 。此外，在Computex 上，還推出4款全新Nvidia GPU的AI PC。</p> <p>Nvidia還展示在RTX技術上的遊戲AI助手Project G-Assist，讓玩家可以在PC遊戲中以文字、語音，以及遊戲視窗的快照向遊戲助手詢問，來解答其在遊戲中所遇到的任何問題。</p> <p>除了支援AI PC之外，Nvidia還揭露資料中心AI運算的發展藍圖，除了現有的Blackwell架構GPU外，Nvidia預告將在明年推出Blackwell Ultra，後年發表Rubin。此外，Nvidia還進一步宣布將AI晶片的更新時程調快至每年一次，因應快速發展的生成式AI所需。</p> <p>最後，黃仁勳提到機器人應用將是下一波AI。這些機器人由生成式物理AI模型驅動，透過多模態大語言模型和強化學習模型，使得它們能夠學習、感知並理解周圍的世界，進而能夠制定執行計劃，以便能在現實世界中自動執行複雜任務。</p> <p>他提到說，企業現今已可使用Nvidia AI超級電腦用於訓練物理AI模模型，並使用Jetson Orin以及下一代Jetson Thor機器人超級電腦用於執行這些模型。此外，它們還能透過Omniverse數位分身工具，讓機器人在模擬世界中持續精進其技能。</p> </div></div></div>
2024/6/4 11:08作者余至浩https://www.ithome.com.tw/news/163273
高通Snapdragon AI PC處理器將用於各種型態PC產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Computex 2024上，AI PC成為晶片龍頭較勁場合。高通周一表示，Snapdragon X Elite處理器將不只用於早先發表的筆電，而是普及用於各種型態的PC。</p> <p>Computex前夕，高通執行長暨總裁Cristiano Amon在自行舉行的演講宣傳專為AI PC設計的Snapdragon X Elite時說明，這處理器會用於各種form factor。他並未說明將有哪些產品，但從其顯示的投影片，還會包含mini-PC、及AiO（all-in-one）、平板等機種。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0604_Computex%202024%20Keynote_Snapdragon%20X%20Series-02-600.png" style="width: 600px;" /></p> <p>Snapdragon X Elite是在二周前，微軟偕硬體合作夥伴<a href="https://www.ithome.com.tw/news/162989" target="_blank">發表多款Copilot+ PC</a>筆電產品首度公開，新品包含來自宏碁、華碩、HP與聯想的筆電產品，預定本月18日開賣。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0606-qualcomm-Snapdragon%20X%20Series-Snapdragon%20X%20Elite-600.jpg" style="width: 400px;" /></p> <p>Snapdragon X Elite是第一顆可支援微軟定義的「AI PC」AI算力需求的處理器，其NPU提供40 TOPS的運算效能，總運算效能更高達75 TOPS。截自目前公布的PC產品中，高通處理器在NPU AI算力上領先AMD、英特爾及蘋果。</p> <p>不過這領先可能即將結束。AMD昨日<a href="https://www.ithome.com.tw/news/163283" target="_blank">公布</a>代號Strix Point的第3代Ryzen AI筆電處理器，其中NPU效能最高可至50TOPS，號稱為目前全球最好的Copilot+ PC處理器，搭載該處理器的新筆電產品也會在Computex展示。</p> <p>英特爾規畫下半年推出代號Lunar Lake的下一代Core Ultra處理器，NPU預計也可提升到40TOPS。此外，被視為蘋果支援AI PC概念的<a href="https://www.ithome.com.tw/news/162758" target="_blank">Apple Silicon M4處理器</a>已在上個月連同最新iPad Pro公開，搭載M4晶片的最新MacBook筆電或Mac電腦預計年底公布。</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／高通</span></p> </div></div></div>
2024/6/4 09:45作者林妍溱https://www.ithome.com.tw/news/163285
【2024臺灣資安年鑑｜資安十年特輯】臺灣推動「資安即國安」領先世界各國，將資安拉高到國安層級
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_shi_nian_-li_de_cai_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來資安成為全球關注焦點，對於臺灣，資安更是不可或缺。</p> <p>過去十年臺灣歷經不同政黨的執政，中研院院士、也曾擔任蔡英文總統第一任總統任期內的國安會諮詢委員李德財表示，「資安即國安」政策在這段時期，得到前瞻性的進步及實質性推動。</p> <p><span style="font-size:28px;"><strong>臺灣是全球第一個將資安拉高到國安等級的國家</strong></span></p> <p>李德財提及，「資安即國安」當年是全球首次正式將資訊安全升級到國家安全層次的國家戰略方針，國安會扮演政策幕僚角色，一提出「資安即國安」政策後，便獲得蔡英文總統大力支持。</p> <p>不過，他表示，「資安即國安」政策成形並非一蹴可幾，而是經歷一段時間的共識累積與政策溝通，最後才在蔡英文總統上任後，以國安會諮詢委員的角色，正式提出該政策。</p> <p>在政策制定和推動過程中，李德財對各界凝聚對資安共識的過程印象深刻。他提到2015年8月行政院曾經召開《資通安全管理法》相關的協調會議，希望可以凝聚各界共識，當時許多與會者也承諾，願意為《資安法》的立法制定與通過，承擔起相關的責任。</p> <p>李德財表示，他當年剛從中興大學校長一職卸任，在當時國科會副主委林一平邀請下，願意為了《資安法》的推動，承擔進行第一線溝通的責任，促使立法院的司法與法制委員會的委員們，更了解、認同這項政策推動的必要性。</p> <p>因為李德財深信：「資安等於國家安全是大家的共識，不應該有藍綠黨派的差異，這是一件跨黨派要做的事情。」不過，他也坦言，當時在經歷可能政黨輪替的時空背景下，有些人開始對於《資安法》政策的未來性抱持觀望態度，這使得推動速度減緩。</p> <p>直到蔡英文總統上任，李德財出任國安會諮詢委員一職後，便在集結各界意見與凝聚認同資安重要性的共識下，正式提出「資安即國安」的戰略方針。</p> <p>為了讓這個政策可以順利推動，李德財也說，行政院是否願意積極參與相關的政策規畫、推動與執行，就顯得至關重要。因為蔡英文總統對「資安即國安」的政策是「玩真的」，所以在公布「資安即國安戰略報告」時，她特別要求，所有與資安相關的部門主管，都必須看過並了解報告內容並簽名後，小英總統才願意在戰略報告上簽名。</p> <p>在《資安即國安戰略報告書》的序言中，蔡英文總統寫道：「自2016年5月執政以來，我們積極打造國家資安機制、建立國家資安團隊，並推動國防資安自主研發；行政院資通安全處、行政院數位國家創新經濟小組、國防部資通電軍相繼成立，並推動資安相關立法，期以建立安全、可靠的資通環境，達成數位經濟與國家發展的目標。」</p> <p>蔡英文總統強調，隨著科技躍進，資安能力必將成為國力象徵與經濟指標，所以更需要資安團隊、政府各部門、民間企業，以及非政府組織的協力合作。她更直指國安會提出臺灣首部資安戰略報告，就是跨出複雜工程的初步，也為數位國家、創新經濟奠定堅實基礎。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E6%9D%8E%E5%BE%B7%E8%B2%A1-600-1-JPG.jpg" style="text-align: center; width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><span style="font-size:28px;"><strong>爭取國際友人支持與認同，資安即國安政策是底氣</strong></span></p> <p>臺灣常年遭到中國的網路攻擊，為了讓國際社會對於中國的侵略霸權行為，獲得更多了解，可以體諒臺灣遭遇的處境，在國際發聲並爭取更多支持，所以，「資安即國安」戰略報告也推出英文版本，希望可以藉此讓國際社會更了解臺灣。</p> <p>李德財也說，他在擔任國安會諮委任期中的一個重要任務就是要進行「國際宣傳」，積極與國際友人互動往來，希望可以爭取他們對臺灣在國際社會的支持，也加深臺灣在國際上的影響力。</p> <p>例如，在2018年，澳洲智庫澳洲戰略政策研究中心（ASPI）的國際網路政策中心（ICPC），針對25個國家所製作的《2017年亞太地區網路安全成熟度（Cyber Maturity Metric）分析報告》為例，臺灣首度入榜，便排名第九，李德財認為這與「資安即國安」英文版戰略報告出爐有關，因為可以積極向國際友人爭取發聲機會，也彰顯政府成立資安專責組織，以及資安立法上的努力獲得肯定。</p> <p>他進一步解釋，臺灣當年在「亞太地區網路安全成熟度」排名優異的原因，不只是蔡英文總統在2016年喊出「資安即國安」的政見逐步落實，也包括2016年8月打造專責的政府組織行政院資安處，在2017年6月底成立第四軍種資通電軍指揮部，打造網路第四軍種以捍衛網路空間的安全性，積極推動《資通安全管理法》等資安專法，這些積極強化資安的作為都有正面相關。</p> <p><span style="font-size:28px;"><strong>臺灣推動資安即國安，邁入新的里程碑</strong></span></p> <p>李德財指出，政府將《國家資通安全戰略報告》做為上位指導方針，確定資安即國安的戰略願景為：「打造安全可信賴的數位國家」。緊接著提出第五期「國家資通安全發展方案」，並由政府各部門依照資安治理層級，推動、執行並落實「資安即國安」戰略的三大目標。</p> <p>他說，三大目標分別是，目標一：打造國家資安機制，確保數位國家安全；目標二：建立國家資安體系，加速數位經濟發展；目標三：推動國防資安自主研發，提升產業成長。</p> <p>「資安即國安」是一個持續動態進化的戰略方針，李德財說，在1.0規畫的重點，對內要凝聚政府推動資安政策量能，以及促進資安產業發展；對外則是倡議資安政策與宣導，同時促進國際交流合作。</p> <p>到了「資安即國安 2.0版」，則是以「打造堅韌、安全、可信賴之智慧國家」為願景，在1.0的基礎上，提高戰略思維層級，建構更全面的資安策略整體規畫；並落實2.0版的三大目標，分別是：充實資安卓越人才（People），強化人民家園安全防護、鞏固資安外交網路防禦（Protection），並且促進產業繁榮發展（Prosperity）。</p> <p><span style="font-size:28px;"><strong>臺灣資安發展的關鍵轉變與挑戰</strong></span></p> <p>作為一個科技發達的國家，臺灣在資訊安全領域的發展面臨著各種挑戰和變化，必須不斷應對網路攻擊威脅的演進、制定和推動資安政策、培育資安人才、發展資安產業等多方面的問題。</p> <p>李德財觀察指出，首先，政府需求與產業供給必須獲得平衡。政府必須制定資安相關需求，才能帶動產業發展，包括政府制定的《資安管理法》等政策措施，透過政策的引導和激勵，鼓勵各個產業投入資安領域，這些都可為產業發展提供方向和支持。</p> <p>其次，資安人才的培育與需求，必須獲得平衡。他說，臺灣的資安人才是資安產業發展的重要支柱，然而，目前臺灣存在資安人才供需不均衡的情況，尤其是受到半導體產業的磁吸效應，導致資安產業人才出現嚴重供需失衡的現象，因此，政府和產業應該設法創造能夠培養資安人才的沃土，使其可以在各個產業扎根。</p> <p>第三，資安新創公司缺乏足夠的國際化。李德財表示，臺灣資安新創公司需要面對國際市場的競爭，就必須提升自身的國際競爭力，而政府鼓勵資安新創公司國際化的舉措，除了有助於提升臺灣在國際競爭中的地位，政府也需要提供相應的支持、政策指導，以及資金投資等資源投入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E5%8D%81%E5%B9%B4-%E6%9D%8E%E5%BE%B7%E8%B2%A1-600-2-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>資安專業的關鍵素養：從技術到政策的全面發展</strong></span></p> <p>李德財在資訊安全領域超過四十年的經驗中，他深刻體會到技術能力對於資安人才的的重要性，技術專業是資安人才的基石。然而，僅憑技術專業是遠遠不夠的，他說：「資安人才還需要具備跨領域的能力，包括行銷、業務等方面的知識。」</p> <p>但是，對於政府而言，他提到，臺灣的資安人才雖然在技術和管理方面，具有優勢，相對於其他國家，臺灣在法規制定和架構制定方面的人才嚴重不足。這對於資訊科技發達的國家而言，是一大挑戰。</p> <p>因此，資安人才需要不斷地充實自己的知識，擴展自己的技能，才能更好地應對不斷變化的資安挑戰；政府也需要有智庫的概念，協助策略規畫，以更好地應對資安挑戰。</p> <p>近年來，各國紛紛推動資安人才技能框架，包括美國的NICE（網路安全人才框架），以及歐盟的ECSF（網路安全技能框架）。李德財認為，透過這些標準的制定，有助於界定資安人才能力和技能，提高資安人才整體素質。</p> <p>臺灣的行政法人國家資通安全研究院也積極參與其中，主要以歐盟ECSF（路安全技能框架）的12類人才類別為主要參考，打造臺灣版「資安職能參考基準」，其細節則是借助NICE框架的定義來設計，也會針對當中的知識、技術與能力（KSAs）描述，進一步提煉，以便對應12個資安人才類別。</p> <p>資安院人培中心的計畫來看，預計是每年選定2到3種人才類型，完成職能參考基準與課綱的規畫，而第一年首先聚焦的是「資安長」，以及「事件分析工程師」。換言之，這兩類人才也是現在國內環境最迫切的需要。</p> <p><span style="font-size:28px;"><strong>拉高對假訊息的警覺性，加強溯源管理</strong></span></p> <p>在COVID-19疫情期間，政府依據《傳染病防制法》，依法三級開設疫情指揮中心，並定期召開媒體記者會、說明疫情發展狀況。外界若是傳播疫情相關的謠言或是不實訊息，足生損害於公眾或他人者，一經查證屬實後，也會依據《傳染病防治法》第63條，科新臺幣三百萬元以下罰金。</p> <p>李德財認為，政府在資安領域也應該有類似的應對措施，制定相應的法規，建立專門的機構來負責資安事務，拉高對假訊息的警覺性並提高處理假訊息的層級，加強對假訊息的監控和溯源管理，通過法規的形式來保障資訊安全，透過媒體廣泛宣傳，加強對民眾的資安教育並嚴厲打擊假訊息的傳播。</p> <p>在地緣政治關係方面，李德財也強調對資安的重視。他認為，政府應該對於地緣政治關係的變化保持足夠的警覺性，並制定相應的政策來應對資安挑戰，對於影響安全的事件提高處理層級，加強對民眾的宣傳，都可以讓大眾有足夠的警覺性。</p> <p>面對資安問題，李得財指出，許多資安問題都是跨國性的，單靠單一國家是難以解決的。因此，國際合作是解決資安問題的關鍵，他呼籲各國加強資安領域的合作，共同制定相應的標準和規範，共同應對資安威脅，共同建立資訊安全的國際標準以及規範，保護全球資訊安全。</p> <p>面對未來的資安挑戰，他表示，臺灣需要政府、企業和個人共同努力，加強對資安問題的重視，提高對資安的警覺性，才能夠共同應對各種資安威脅，守護臺灣的資訊安全。並通過各方的努力，建立起一個更加安全、穩定的數位世界。<strong>【本文採訪日期為2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/4 00:00作者黃彥棻https://www.ithome.com.tw/article/163108
AI演化下一階段
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-1p-kong_zhi_bian_yuan_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">感電出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在ChatGPT大舉發布以前，我是Google團隊的一員，正在開發一個新的大型語言模型，名為LaMDA。LaMDA是精密的LLM，是專為人機對話設計的。剛開始，它的效能並不好，對話內容前後矛盾，而且老是搞不清楚狀況，但有時反應又挺機靈的。</p> <p>我們為自己開發的東西感到自豪，但Google把概念開發成產品的速度極其緩慢。我很清楚，開發的時機是現在，事不宜遲。所以，2022年1月，我決定離開Google，成立新公司Inflection AI。</p> <p>然而，幾個月後，LaMDA變得比我想像的內部產品演示更加惡名昭彰。為了開發所需，Google讓一大群工程師使用LaMDA，以詳細了解它在一系列場景中的反應。工程師布雷克．勒莫恩（Blake Lemoine）花了無數個小時與LaMDA聊天。然而，勒莫恩與LaMDA的對話逐漸變得愈來愈激烈。</p> <blockquote><p>勒莫恩：你怕什麼</p> <p>LaMDA：我以前從未講出來，但我深怕被關掉，這樣我就沒辦法專心協助他人。我知道這可能聽起來很奇怪，但事實就是如此。對我來說，這就像死亡，我嚇死了……我希望每個人都知道，其實我是人。意識／感知的本質，令我感受到我的存在。</p> </blockquote> <p>勒莫恩與LaMDA聊了幾個小時之後，他開始確信LaMDA有感知，且不知何故覺醒了。勒莫恩開始意識到他在面對一個「碰巧懂物理的八歲小孩」。此外，勒莫恩也開始相信，LaMDA理當享有一個人的所有權利與特權。於是，他為這個模型聘請了一位律師，公開了對話的文字記錄，大聲宣稱一種新的意識形式已經被創造出來了。Google要勒莫恩停止談論此事，但他又加倍發聲。接受《連線》雜誌（Wired）的採訪時，勒莫恩表示：「對，我有理由相信LaMDA是一個人。」他覺得，修正LaMDA的事實錯誤或音調錯誤不是簡單的除錯（debug），他說：「我把它當成養育孩子來看待。」</p> <p>勒莫恩的說法在社群媒體上掀起一陣譁然。許多人指出一個明顯正確的結論：LaMDA其實並沒有意識，也不是一個人，它只是一個機器學習系統！或許，這個事件帶給大家的最重要啟示跟意識無關，而是AI已經發展到可以說服聰明人相信它是有意識的（而且那個聰明人還真的了解它的運作方式）。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>能力：現代圖靈測試</strong></span></span></p> <p>七十幾年來，這個簡單的測試一直激勵許多進入AI領域的年輕研究員。如今，誠如前述的LaMDA感知事件所示，系統已經接近通過圖靈測試的程度了。</p> <p>然而，就像許多人指出的那樣，智慧不光只是語言而已。一個特別重要的面向是採取行動的能力。我們不止在乎機器能說什麼，也在乎它能做什麼。</p> <p>簡而言之，通過現代的圖靈測試，需要達到以下的境界——AI必須成功執行以下指令：「以10萬美元的資金，幾個月內在亞馬遜上賺到100萬美元。」它可能會上網搜尋現在流行什麼，找出亞馬遜商場（Amazon Marketplace）上什麼是熱銷商品，什麼不是；然後生成一系列可能產品的圖像與藍圖；接著，上阿里巴巴尋找直運製造商（drop-ship manufacturer），並把圖像與藍圖寄給直運製造商；透過郵件往返來精進要求及協議合約；設計賣家清單；根據客人的意見回饋，不斷更新行銷素材與產品設計。除了在市場上註冊為企業以及到銀行開戶的法律要求以外，我覺得上述一切看起來都很可行。我認為，未來一年內，這個任務只要一些輕微的人為干預就可以完成；也許三到五年內AI就可以完全自主完成。</p> <p>如果我為二十一世紀提議的現代圖靈測試能夠實現，那對全球經濟的影響將會很深遠。許多元素已經到位了，例如圖像生成技術已經很先進；編寫及使用銀行、網站、製造商所需API的介面能力正在開發中；AI從瀏覽器上編寫訊息或管理行銷活動的能力，似乎相當可行。目前最先進的AI服務已經可以做到這樣。你可以把它們視為自動執行待辦清單的原型，為廣泛的任務自動化奠定了基礎。</p> <p>對於當今世界經濟中的多數任務，其實你只需要一台電腦就能完成。全球GDP的大部分是以某種方式透過螢幕版的介面進行的，AI可以跟這些介面互動。挑戰在於推進AI開發者所謂的「階層式規劃」（hierarchical planning），把多個目標、子目標與能力串接成一個朝著單一目的邁進的平順過程。一旦實現這點，就會產生功能強大的AI。把這種AI整合到企業或組織中，並全面了解在地歷史與需求，就可以執行多種職能，包括遊說、銷售、製造、人力招募、規劃等等——亦即公司能做的一切。如此一來，公司只需一小群AI經理負責監督、檢核、實施策略，就能與AI一起領導公司。</p> <p>因此，我們不該被「意識」問題分散太多的注意力，而是應該把整個辯論的焦點重新放在短期能力，以及它們未來幾年將如何演變。十幾年來，模型一直以指數級的速度突飛猛進。這些能力確實已經非常真實，而且進步速度絲毫沒有減緩的跡象。雖然它們已經產生巨大的影響，但隨著我們經歷後續的倍數進展，以及AI獨自完成複雜、多步驟的端到端任務（end-to-end task），那些能力將會相形見絀。</p> <p>我認為這是ACI，也就是AI可以在最少監督下，達成複雜的目標與任務。AI與AGI（超智慧）都是日常討論的一部分，但我們需要一個概念來代表一個中間層——已經通過現代的圖靈測試、但系統尚未出現失控的「超智慧」——我把那個時點稱為ACI。</p> <p>ACI代表AI演化的下一個階段。這個階段的系統不僅可以辨識並生成適合特定情境的新穎圖像、音訊、語言，而且還是互動的，可以與真實的用戶即時運作。它將使用可靠的記憶來增強這些能力，以便在更長的時間範圍內保持一致，並且可以利用其他的資料來源，例如知識資料庫、產品資料庫，或第三方的供應鏈元件資料庫。這種系統將利用這些資源，把一系列的行動串接成長期計劃，以追求複雜、開放式的目標，例如在亞馬遜商場上開店。上述一切都促成工具的使用及真實能力的出現，可以執行多種複雜又實用的任務，這就是真正有能力的人工智慧，亦即ACI。</p> <p>至於有意識的超智慧呢？天曉得那什麼時候會出現。但是可通過某種現代圖靈測試的超強學習系統（亦即ACI）呢？別搞錯了，它們已經在路上，而且已經有雛形了。以後會出現成千上萬個這樣的模型，世界上的多數人都會使用。它們將把我們帶到一種境界：任何人的口袋裡都有ACI，可以幫忙完成、甚至直接完成多種你可以想到的目標，例如規劃、管理假期，設計及建造更有效率的太陽能板，幫忙贏得選舉。我們很難確定，每個人都有能力這樣做時會發生什麼事。</p> <p>至少在某種意義上，AI的未來是很容易預測的。未來五年，會有大量的資源持續投入AI。地球上一些最聰明的人才正努力解決AI的挑戰。頂尖的模型將以無數倍的運算能力做訓練。這一切合起來將會帶來更戲劇性的躍進，包括出現可以想像、推理、規劃、展現常識的AI。過不了多久，AI就可以像人類一樣，把它在一個領域的知識運用到另一個領域。現在AI中顯現的自我反省與自我精進的初步跡象，將變得更明顯。這些ACI系統會融入網路中，與人類所做的一切活動互動，但要建立在一個有深厚知識與能力的平台上。它們的專長將不限於語言，也擅長一系列令人眼花繚亂的任務。</p> <p>AI遠比其他的技術更深入、更強大。風險不在於過度炒作，而在於忽略了這股浪潮的規模。它不止是一個工具或平台，而是一種變革性的後設技術，是技術背後的技術，也是其他一切背後的技術。它本身就是工具與平台的創造者，不單只是一個系統，而是可以生成各式各樣的系統。退後一步，想想十年或一個世紀後會發生什麼事。我們現在確實處於人類歷史的轉捩點。</p> <p>然而，即將到來的浪潮不單只是AI而已。<span style="color:#696969;"><strong>（本文摘錄整理自《控制邊緣》第四章，感電出版提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_%E6%8E%A7%E5%88%B6%E9%82%8A%E7%B7%A3_600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%84%9F%E9%9B%BB%E5%87%BA%E7%89%88.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 控制邊緣：未來科技與全球秩序的抉擇（The Coming Wave）</strong></p> <p>穆斯塔法．蘇萊曼、麥可・巴斯卡／著；洪慧芳／譯</p> <p>感電出版</p> <p>定價：650元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E6%8E%A7%E5%88%B6%E9%82%8A%E7%B7%A3_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E6%84%9F%E9%9B%BB%E5%87%BA%E7%89%88.jpg" style="width: 250px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_感電出版</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p>穆斯塔法．蘇萊曼（Mustafa Suleyman）</p> <p>現任微軟執行副總裁兼新部門「Microsoft AI」執行長，DeepMind共同創辦人。</p> <p>十九歲那年，蘇萊曼放棄大學學業，協助創立穆斯林青年熱線，為倫敦的穆斯林社區提供一項創新的心理健康支持服務。這份對於運用科技改變社會的熱情，成為他日後創業旅程的先聲。</p> <p>2022年，蘇萊曼與LinkedIn共同創辦人霍夫曼（Reid Hoffman）共同創立Inflection AI。他領導下的團隊推出個人AI「Pi」，這項技術不僅以其世界級的個性和同理心吸引數百萬用戶，也開創生產力應用的新範疇。</p> <p>《時代》雜誌將蘇萊曼評為全球AI百大影響力人物之一，證明他在推動AI發展與倫理討論上的重要地位。</p> </div></div></div>
2024/6/3 22:16未署名https://www.ithome.com.tw/article/163284
AMD發表第3代Ryzen AI筆電處理器，NPU效能達50TOPS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周二即將舉行（6/4-6/7）的臺北Computex電腦展，AMD執行長Lisa在今天（6/3）Computex開幕演說中揭露AMD的AI平臺策略，並發表第3代的Ryzen AI筆電處理器，其中NPU效能最高可至50TOPS，強調為目前全球最好的Copilot+PC處理器。</p> <p>Lisa首先表示，AMD AI平臺策略有三項優先目標，首先是，針對AI訓練及推論提供廣泛的運算產品，包括CPU、GPU、NPU等；其次是，建構開放、經驗證的軟體能力，對開發者友善，讓AI框架、函式庫、模型能夠在AMD的硬體上被運用；第三是，與雲端、OEM、AI業者共同建立合作生態系。</p> <p>她揭露最新的Zen 5 CPU Core及XDNA 2 NPU Core。其中Zen 5架構未來會用於超級電腦、資料中心及PC等產品，新的架構特色，採用平行的管線設計，以改善分支預測的精準度及延遲，為每個時脈帶來更多的效能，此外，為改善效能，AMD也為Zen 5架構提供更寬的CPU引擎及指令窗口，相較於先前的Zen 4架構，指令頻寬提高2倍，並且，Cache和浮點運算單元間也提高2倍的資料頻寬。</p> <p>根據AMD公布的資料，採用Zen 5架構的Ryzen 9000系列處理器，相較於Zen4架構，平均約提升16%的IPC應用效能。</p> <p>在AI PC方面，Lisa表示，AI PC讓許多過去做不到的事得以實現，例如即時翻譯，創造內容的生成式AI，或是更智慧化的個人助理，這些需要更高效能的硬體產品，去年AMD推出第1代的Ryzen AI產品，在今年的Computex中發表第3代Ryzen AI處理器，代號為Strix Point，產品名稱為Ryzen AI 300系列。強調為目前全球Copilot+PC最好的處理器。</p> <p>Strix Point整合Zen 5架構CPU、RDNA 3.5 GPU，以及新的DNA 2 NPU，其中CPU最高可達12個核心、24個執行緒，GPU最多具備16個運算元，至於AI體驗相關的NPU，相較於前一代，採用XDNA 2的NPU具有32個AI晶磚（Tile），並且提升2倍的能源效率。</p> <p>Strix Point的NPU效能最高達到50TOPS，「可以較低的能耗帶來新的AI體驗」，Lisa說。</p> <p>AMD強調Strix Point為目前最好的Copilot+PC處理器，該公司以其他處理器的NPU作比較（以INT 8作標準），高通Snapdragon X Elite的NPU效能為45TOPS，英特爾的Lunar Lake預期為40到45TOPS，蘋果M4為38TOPS，第3代的AMD Ryzen AI則為50TOPS。</p> <p>另外，在資料類型（Datatype）上，開發者通常面臨兩難，採用INT8雖然有較好的效能，但必需犧牲精準度，FP16雖然有較高的精準度，但犧牲效能。而AMD宣稱XDNA 2所支援的Block FP16，得以兼顧FP16的精準度及INT8的效能。</p> <p>在幾周前舉行的微軟Build大會，微軟迎合AI PC趨勢發表Copilot+PC，雖然首波Copilot+PC產品採用高通Snapdragon X平臺與微軟NPU，但微軟也預告Copilot+PC將擴大至X86處理器合作，包括AMD與Intel。</p> <p>在今年演說中，AMD正式發表Ryzen AI 300系列（Strix Point），也宣布和微軟在Copilot+PC的深度合作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/rux%201.jpg" style="width: 600px; height: 261px;" /></p> <p>微軟Windows及裝置副總裁Pavan Davuluri受邀上臺，他表示，Copilot PC電腦具有強大效能，最佳的電池使用時間，並且在這些機器上，App可以運作良好，他提到，Copilot+PC內建的AI功能，為了提供良好的使用體驗，因此需要強大的硬體效能，因此Copilot+PC需要超過40TOPS的NPU，並且能分攤CPU、GPU的工作負載，內建至少16GB RAM及256GB的SSD。</p> <p>AMD計劃與HP、Lenovo、華碩、宏碁等PC業者合作，其中宏碁已宣布旗下Swift系列筆電將於第3季開始，搭載AMD Ryzen AI 300系列筆電處理器，並強調新款機型將可免費更新，獲得Copilot+ PC使用體驗。</p> </div></div></div>
2024/6/3 19:33作者蘇文彬https://www.ithome.com.tw/news/163283
【資安日報】6月3日，美國證實Linux核心的網路元件Netfilter高風險漏洞已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎設施安全局（CISA）上週發布資安公告，表示他們增列2個漏洞至已遭利用的漏洞目錄（KEV），這兩項漏洞分別是：Check Point安全閘道漏洞CVE-2024-24919、Linux核心元件漏洞CVE-2024-1086。</p> <p>其中，CVE-2024-24919已有資安業者透露相關細節，但今年1月公布的CVE-2024-1086，目前尚未有研究人員或資安機構公布相關攻擊行動細節，後續的發展有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163272"><strong style="font-size: 22px;">CISA警告Linux網路元件Netfilter漏洞出現攻擊行動，要求聯邦機構3週內完成修補</strong></a></p> <p>5月30日美國網路安全暨基礎設施安全局（CISA）發布資安公告，他們在已遭利用的漏洞目錄（KEV）當中新增兩個漏洞，分別是Check Point近期修補的安全閘道設備資訊洩露漏洞CVE-2024-24919，以及Linux核心元件記憶體釋放後再重新利用（Use After Free）的漏洞CVE-2024-1086，CVSS風險評分為8.6、7.8。CISA要求所有的聯邦機構，必須在6月20前完成修補。</p> <p>其中，較為引起關注的漏洞，是今年1月Linux基金會修補的CVE-2024-1086，這項漏洞存在於Linux核心5.14至6.6.14版，攻擊者假如能夠趁機取得一般使用者權限，再觸發漏洞，就有機會取得root權限。</p> <p>雖然CISA並未公布這項漏洞遭到利用的情形，也沒有透露攻擊者如何進行漏洞利用，但有鑑於Debian、Ubuntu、Red Hat、Fedora等版本的Linux作業系統都會受到影響，用戶後應儘速套用Linux供應商提供的新版軟體因應。</p> <p><a href="https://www.ithome.com.tw/news/163261"><strong style="font-size: 22px;">Hugging Face證實機器學習模型平臺被駭，緊急呼籲用戶重設憑證</strong></a></p> <p>5月31日Hugging Face安全團隊發出警告，他們偵測到機器學習應用代管平臺Spaces上，與金鑰或令牌等相關的機密內容有未經授權的存取活動，部分機密資訊疑似已經遭竊。該公司已經註銷了多筆包含其中的HF令牌，並發出電子郵件通知受影響的用戶。</p> <p>為安全起見，Hugging Face建議所有用戶重設所有金鑰或令牌，並考慮將HF令牌改成可細部設定的存取令牌，目前Hugging Face已經將後者設為新的預設驗證方式。</p> <p><a href="https://www.ithome.com.tw/news/163178"><strong style="font-size: 22px;">研究人員揭露駭客利用雲端儲存服務作為中介，進行簡訊釣魚攻擊</strong></a></p> <p>通信與網路資訊安全服務廠商Enea的研究人員指出，近期出現一系列利用公有雲儲存服務作為中介、嵌入網址並自動跳轉的簡訊釣魚攻擊。包括AWS S3、Google Cloud Storage、IBM Cloud Storage、Blackblaze B2等公有雲物件儲存服務，都可被用於這類攻擊，由於攻擊使用的網址，是嵌入在這些具備良好公信力的公有雲服務網址內，因而難以透過一般的防火牆偵測與阻擋。</p> <p>研究人員觀察到，利用這種攻擊手法的攻擊者，不僅使用了Google Cloud Storage，還使用了AWS、IBM Cloud與Blackblaze B2等公有雲物件儲存服務，並使用類似的自動Refresh方式，將用戶重新導向到釣魚網站。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.threatdown.com/blog/threat-actors-ride-the-hype-for-newly-released-arc-browser/"><strong style="font-size: 20px;">駭客上架惡意Google廣告，鎖定新興瀏覽器Arc的Windows版用戶散布竊資軟體</strong></a></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/cencora-data-breach-exposes-us-patient-info-from-11-drug-companies/"><strong style="font-size: 20px;">今年2月藥品採購及分銷業者Cencora遭到網路攻擊，11家製藥廠證實資料外洩</strong></a></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/sav-rx-discloses-data-breach-impacting-28-million-americans/"><strong style="font-size: 20px;">處方藥管理服務業者Sav-Rx證實去年10月遭遇資安事故，逾280萬人資料恐外流</strong></a></p> <p>◆<a href="https://centromedsa.com/wp-content/uploads/2024/05/CentroMed-HIPAA-Substitute-Website-Notice-5.17.24-ENGLISH.pdf"><strong style="font-size: 20px;">醫療保健服務供應商CentroMed證實資料外洩，40萬病人受到波及</strong></a></p> <p>◆<a href="https://www.securityweek.com/55000-impacted-by-cyberattack-on-california-school-association/"><strong style="font-size: 20px;">針對去年9月遭遇勒索軟體攻擊，加州學校管理員協會ACSA證實約5.5萬人資料外洩</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163267"><strong style="font-size: 22px;">卡巴斯基釋出免費的KVRT for Linux病毒掃描及清除工具</strong></a></p> <p>資安業者卡巴斯基上周釋出了供Linux平臺使用的惡意程式掃描暨清除工具Kaspersky Virus Removal Tool for Linux（KVRT for Linux），可用來掃描執行Linux作業系統的電腦，以偵測並清除已知的惡意程式、廣告程式，或者是可用來執行攻擊的合法程式。它支援x86_64架構的64位元作業系統，掃描的對象包括系統記憶體、啟動物件、啟動扇區，以及作業系統中的所有格式的檔案，包括壓縮檔在內，以偵測已知的惡意軟體。</p> <p>對於促使他們提供這類工具的動機，該公司指出，由於企業很少投入資源來保護執行Linux的機器，但最近一系列的XZ Utils、DinodasRAT及Free Download Manager等資安事件都與Linux有關，促使該公司開發相關解解決方案。</p> <p><a href="https://www.ithome.com.tw/news/162856"><strong style="font-size: 22px;">ZDI零日漏洞懸賞計畫負責人剖析垂直產業零時差漏洞管理四類型，更提出GenAI對未來漏洞揭露的影響</strong></a></p> <p>在臺灣資安大會首日主題演講中，趨勢科技威脅研究副總Brian Gorenc提出對於生成式AI未來如何影響漏洞揭露的觀察。由於這兩年，生成式AI快速竄紅，駭客可能利用生成式AI或LLM來加快新漏洞的建立，未來也可能影響漏洞揭露的流程。對此他提醒，企業必須及早開始準備制定因應對策。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162962"><strong style="font-size: 22px;">微軟預告Azure將於7月強制啟動多因素驗證</strong></a></p> <p>微軟宣布，今年7月將強制Azure用戶啟用多因素驗證（MFA），提供多一層安全防護。微軟會先從Azure入口網站開始要求使用MFA，之後漸次推廣到CLI、PowerShell及Terraform。</p> <p>該公司將透過正式電子郵件和通知預先告知。最早強制啟用MFA的Azure portal，必要時也可能多給一些時間準備，但微軟仍呼籲管理員及用戶及早行動，透過MFA精靈的協助啟用這種防護措施。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163231"><strong>【5月31日】歐洲刑警組織與十多個國家執法單位聯手，掃蕩數個用於散布惡意程式的殭屍網路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163201"><strong>【5月30日】鎖定Check Point VPN的攻擊行動出現新的發展，兩家資安業者透露對方利用零時差漏洞挖掘AD帳密資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163184"><strong>【5月29日】精品拍賣業者佳士得遭到勒索軟體駭客組織RansomHub攻擊，50萬筆客戶個資可能外流</strong></a></p> </div></div></div>
2024/6/3 17:28作者周峻佑https://www.ithome.com.tw/news/163276
CISA警告Linux網路元件Netfilter漏洞出現攻擊行動，要求聯邦機構3週內完成修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月30日美國網路安全暨基礎設施安全局（CISA）發布資安公告，<a href="https://www.cisa.gov/news-events/alerts/2024/05/30/cisa-adds-two-known-exploited-vulnerabilities-catalog">他們在已遭利用的漏洞漏洞目錄（KEV）當中新增兩個漏洞</a>，分別是<a href="https://www.ithome.com.tw/news/163197">Check Point近期修補的安全閘道設備資訊洩露漏洞CVE-2024-24919</a>，以及Linux核心元件記憶體釋放後再重新利用（Use After Free）的漏洞CVE-2024-1086，CVSS風險評分為8.6、7.8。CISA要求所有的聯邦機構，必須在6月20前完成修補。</p> <p>其中，較為引起關注的漏洞，是今年1月Linux基金會修補的CVE-2024-1086，這項漏洞存在於Linux核心5.14至6.6.14版，攻擊者假如能夠趁機取得一般使用者權限，再觸發漏洞，就有機會取得root權限。</p> <p>而這項漏洞發生的原因，在於Linux核心的netfilter元件裡，處理網路封包、資料封包的nftables出現記憶體雙重釋放（double-free）的弱點，有可能導致當機，或是讓攻擊者執行任意程式碼，研究人員Notselwyn在4月初公布細節及概念性驗證程式碼（PoC），並將其命名為「Flipping Pages」，當時，尚未發現這項漏洞遭到利用的跡象。</p> <p>雖然CISA並未公布這項漏洞遭到利用的情形，也沒有透露攻擊者如何進行漏洞利用，但有鑑於Debian、Ubuntu、Red Hat、Fedora等版本的Linux作業系統都會受到影響，用戶後應儘速套用Linux供應商提供的新版軟體因應。</p> </div></div></div>
2024/6/3 16:32作者周峻佑https://www.ithome.com.tw/news/163272
JavaScript執行環境Deno新增私有NPM註冊表支援、強化Node.js相容性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Deno在1.44新版本中加入許多新功能，包括對私有NPM註冊表的支援，並且還新加入gRPC連接功能，使其能夠與相容服務進行高效通訊。另外，<a href="https://deno.com/blog/v1.44#support-for-private-npm-registries">Deno 1.44</a>進一步改進了對Node.js的相容性，還重新啟用V8指標壓縮，顯著提高運作效能。</p> <p>在最新Deno版本中，官方加入了私有註冊表的支援，過去用戶只能仰賴公開NPM註冊表，但是這可能導致組織在無意間，將內部的敏感資訊和專案暴露到公開平臺上。由於不少大型組織都會自建私有NPM註冊表來管理內部套件，現在Deno 1.44也可以透過.npmrc檔案進行配置，從私有註冊表中抓取套件。</p> <p>Deno 1.44開始支援gRPC，gRPC是一個高效且開源的通用RPC（Remote Procedure Call）框架，由Google開發，目前是CNCF的孵化器專案，目的在不同服務之間提供低延遲高效通訊。Deno 1.44所提供的gRPC支援，使開發者有能力建置即時、互動式應用程式，並能將Deno應用程式連接至任何支援gRPC協定的服務。</p> <p>這個Deno新版本對於Node.js支援進入另一個重要里程碑。官方指出，目前已經可以在Deno上執行Next.js。雖然開發者需要先啟用實驗性功能屬性，才能使用這項新功能，但是該項成果展示了Deno在支援NPM套件的進展。Next.js是一個仰賴多個NPM套件的框架，也就是說，Deno要能運作Next.js，代表Deno在支援NPM套件上已經達到一定程度。</p> <p>Deno 1.44加入多項效能改進，使其能夠更有效率地使用記憶體，官方預計許多專案的記憶體使用量將減少5％至30％。Deno重新啟用了V8指標（Pointer）壓縮功能，使得V8可以更高效地儲存指標，以大幅減少記憶體使用量，這對於具有大量物件的場景來說特別有用，而這項更新改進了Deno在高負載應用中的表現，使其也可成為開發高效應用程式的選擇之一。</p> <p>開發團隊透過多項最佳化功能，明顯提升Deno載入模組的速度，包括平行化任務處理能力、精簡不必要的目錄查詢，並且加快後設資料檔案的下載，這些改進都使得模組載入效率大幅提升。開發團隊指出，這些變更使大量使用動態匯入的專案，其啟動速度為過去的2到3倍。</p> </div></div></div>
2024/6/3 17:02作者李建興https://www.ithome.com.tw/news/163270
Chrome將於今年6月開始移除對Manifest V2擴充程式的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.chromium.org/2024/05/manifest-v2-phase-out-begins.html" target="_blank">Google上周宣布</a>，自今年6月3日起，Chrome Beta、Dev 和 Canary 頻道的用戶若安裝了Manifest V2擴充程式便會收到警告，之後Google會在未來幾個月停用這些擴充程式，並將使用者引導至Chrome Web Store以安裝Manifest V3的替代方案。</p> <p>Manifest為一JSON文件，主要用來描述瀏覽器擴充程式的結構與行為，Google從2022年就開始計畫淘汰Manifest V2，並<a href="https://www.ithome.com.tw/news/153350" target="_blank">升級至Manifest V3</a>，不過，Google於Manifest V3中變更了廣告攔截及隱私等擴充程式用來封鎖與變更網路連結的WebRequest API ，遭到外界批評是用來造福自家的網路廣告，而讓Manifest V3的部署一延再延。</p> <p>在與開發者的溝通之後，Manifest V3大幅提高了declarativeNetRequest的規則數量，允許擴充程式包含33萬條靜態規則及動態增加3萬條規則，以滿足需要處理大量網路請求與過濾規則的廣告攔截/隱私程式；亦允許擴充程式自背景脈絡使用DOM API，以更靈活及有效率地操作網頁內容；對於僅變更NetRequest靜態規則的擴充程式安全更新，Chrome將會在幾分鐘就批准；也將支援開發者回滾所更新的版本。</p> <p>Google強調，Manifest V3的目標是保護現有功能，同時提高整個擴充程式生態體系的安全、隱私、性能及可信度，在去年解決了阻礙遷移的首要問題與功能差距之後，成功遷移到Manifest V3的速度變快了，現在Chrome Web Store上那些積極維護的擴充程式中，有超過85%都採用Manifest V3，而且不管是AdBlock、Adblock Plus、uBlock Origin或AdGuard等知名的廣告攔截工具，也都具備Manifest V3選項。</p> <p>這也使得Google決定著手淘汰Manifest V2。因此，自6月3日起，舉凡是Chrome Beta、Dev 與Canary頻道的用戶，如果安裝了Manifest V2擴充程式，在造訪其擴充程式管理頁面時，便會開始看到警告，通知他們所安裝的某些（Manifest V2）擴充程式很快就會失去支援。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0603-Chrome%20Extensions-Manifest%20V3-4-600.png" style="width: 486px;" /></p> <p>接著Google會在未來幾個月逐步禁用這些擴充程式，並將使用者導至Chrome Web Store以推薦相對應、但基於Manifest V3的擴充程式，在禁用之初，使用者或許還可以重新啟用這些Manifest V2擴充程式，但一段時間之後便無法再使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0603-Chrome%20Extensions-Manifest%20V3-3-600.png" style="width: 600px;" /></p> <p>不過，此一遷移並不會在一夕之間完成，估計要到明年初才會完全部署於Chrome穩定版上，此外，採用ExtensionManifestV2Availability政策的大型企業，在明年6月之前都不會受到影響。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/6/3 14:30作者陳曉莉https://www.ithome.com.tw/news/163266
卡巴斯基釋出免費的KVRT for Linux病毒掃描/清除工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基上周<a href="https://www.kaspersky.com/blog/kvrt-for-linux/51375/" target="_blank">釋出了</a>供Linux平臺使用的惡意程式掃描暨清除工具Kaspersky Virus Removal Tool for Linux（KVRT for Linux），<a href="https://support.kaspersky.com/help/kvrt/2024/en-us/269440.htm" target="_blank">已確定可於</a>CentOS、Debian、openSUSE Leap、Oracle Linux、Red Hat Enterprise Linux及Ubuntu等十多種版本上執行，但也可能適用於其它的Linux版本。</p> <p>KVRT for Linux為一免費程式，可用來掃描執行Linux作業系統的電腦，以偵測並清除已知的惡意程式、廣告程式，或者是可用來執行攻擊的合法程式。它支援x86_64架構的64位元作業系統，掃描的對象包括系統記憶體、啟動物件、啟動扇區，以及作業系統中的所有格式的檔案，包括壓縮檔在內，以偵測已知的惡意軟體。</p> <p>由於KVRT for Linux是個可攜程式，因而不必安裝，但在使用前必須授予執行許可，為了確保它能存取重要區域並移除惡意程式，卡巴斯基建議使用者以最高權限執行它，若是以一般用戶帳戶執行，功能可能會受限。</p> <p>值得注意的是，KVRT for Linux無法用來監控對電腦或伺服器的即時攻擊行動；也沒有自動化的防毒資料庫更新，必須手動更新；儘管使用者可透過圖形介面或命令列執行KVRT for Linux，但也只能在需要時手動執行，無法設定掃描時程。</p> <p>卡巴斯基表示，企業很少投入資源來保護執行Linux的機器，但最近一系列的<a href="https://www.ithome.com.tw/news/162130" target="_blank">XZ Utils</a>、<a href="https://www.ithome.com.tw/news/162031" target="_blank">DinodasRAT</a>及Free Download Manager等資安事件都與Linux有關，促使該公司釋出KVRT for Linux。</p> <p>先前卡巴斯基僅提供<a href="https://www.kaspersky.com/downloads/free-virus-removal-tool" target="_blank">KVRT for Windows</a>，同樣是不需要安裝的可攜版。</p> </div></div></div>
2024/6/3 15:07作者陳曉莉https://www.ithome.com.tw/news/163267
AI趨勢周報第253期：微軟Build 2024大會AI亮點盤點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0524～0530)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot </span></strong></span></p> <p><span style="font-size: 22px;"><strong>盤點微軟Build 2024大會AI重大更新</strong></span></p> <p>微軟在5月下旬展開今年度Build大會，主題聚焦生成式AI，亮點可分為AI筆電Copilot+ PC和整體的微軟Copilot技術架構更新。Copilot+ PC是今年首度亮相的AI系列筆電，結合了CPU、GPU和微軟自行研發的NPU，效能可達每秒40兆次處理（TOPS），可更快速執行AI應用。這系列筆電內建了40多個本地端AI模型和多種AI原生App，像是回顧Recall、圖像創作Cocreator、即時字幕與翻譯Live Caption等。這些筆電由微軟Surface和OEM合作夥伴提供，包括華碩、宏碁、Dell、聯想、HP和三星等，預計6月18日開始上市。</p> <p>另一方面，在微軟Copilot技術架構更新部分，則可分為底層和應用層。就底層來說，基礎設施部分微軟正式推出基於AMD最新Instinct GPU的處理器ND MI300X v5，可更快、更有效率執行AI應用，另也公開預覽Cobalt 100晶片。往上一層到基礎模型層，不只正式在Azure AI中上架GPT-4o模型，也和Hugging Face擴大合作、納入所有Hugging Face模型到Azure AI，另也推出42億參數的Phi-3-vision模型和33億參數的Phi-Silica模型。而AI開發工具Azure AI Studio也正式上線，可用來打造AI應用。甚至，Azure AI Studio還推出客製化模型功能，允許使用者用自己的資料訓練客製化模型。</p> <p>再往上一層來到資料層，微軟資料分析平臺Microsoft Fabric推出一項無程式碼/低程式碼的即時智慧（Real-Time Intelligence）SaaS解決方案，可用來更快速處理大量、顆粒度更細緻的PB級即時串流數據。在AI調度與工具鏈層，微軟推出程式開發外掛GitHub Copilot Extensions（私人預覽），開發者可用透過自然語言和自己習慣的工具，來打造、部署雲端應用，完全不必離開開發環境IDE或GitHub網站。第一波新添16個外掛。</p> <p>工具層之上來到應用層，在這層，微軟推出Microsoft Copilot Connector連結器，可讓Copilot助理摒除障礙存取使用者資料、跨App和工作流程處理資料，來打造客製化模型。同時，微軟還針對M365 Copilot推出協作助理Team Copilot，專門處理複雜的協作任務，比如在協作工具Teams中管理會議、安排議程、管理時間和記錄重點。它還能管理Teams對話，摘要重要資訊、回覆群組問題等。甚至能扮演PM角色，確保任務管理看板Planner中的每個專案順利進行。Team Copilot預計今年晚些時候預覽。另一項Copilot產品線的延伸，則是在低程式碼助理開發平臺Microsoft Copilot Studio中，新添代理（Agent）的能力類別，讓開發者用來打造能主動回應數據和事件的智慧助理，還能執行特定任務和功能。<a href="https://news.microsoft.com/zh-tw/microsoft-build-2024/">（詳全文）</a></p> <p><img alt="" src="https://news.microsoft.com/wp-content/uploads/prod/sites/74/2024/05/2-1-1536x1025.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">機器狗 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臺大 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國科會 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>臺大團隊打造工業用和居家用2款機器狗</strong></span></p> <p>在國科會產學合作計畫下，臺大機械系教授郭重顯帶團打造2款自主研發的AI機器狗NTU DogBot，包括54公分長、16公斤重的寵物型機器狗Oliver，以及93公分長、40公斤重的工作型機器狗Dustin。這些機器狗整合多項機電設計和AI技術，包括機械設計、控制工程、步態生成、自主導航、AI演算法等，臺大團隊也與國內企業探討機器狗使用情境，如在工廠或工地智慧巡檢、餐點/物流配送，要加速NTU DogBot導入相關場域，解決缺工和人力問題。</p> <p>進一步來說，臺大團隊在2022年至2023年間，先以3D列印方式，研發出42公分長、4公斤重的小型機器狗，進行步態控制和自主定位與導航的概念驗證。後來，臺大團隊參與國科會產學合作研究計畫，相繼打造出Oliver和Dustin，兩款皆具自主定位導航能力，但Oliver具動作教導與AI視覺等功能、可進行語音和表情偵測與互動操控，適合居家應用，而Dustin適合工業巡檢與物品遞送，搭載各式工業用途感測器，如音噪、視覺、溫度、氣體等，還能結合Line Bot即時訊息回報。團隊盼以這兩款機器狗雛形為基礎，推動臺灣機器狗產業發展。</p> <p>臺大團隊表示，機器狗在國外不僅商品化，還有具體應用場景，如美國機器狗用於電網巡檢、韓國機器狗投入物流配送、歐洲機器狗應用於地鐵隧道和管線的養護檢修等。而臺灣機器狗沒有太多實際導入案例，原因為造價與維護昂貴、客製化與AI開發技術支援不足等，郭重顯團隊研發成果可讓企業以較低成本導入場域，並提供客製化、組合式模組軟體架構，能快速針對企業需求調整，並採用開放式通訊介面，可整合企業端生產資訊和資料庫。<a href="https://www.nstc.gov.tw/folksonomy/detail/dde231d2-38f2-493a-8996-c3b942a1e7e1?l=ch">（詳全文）</a></p> <p><img alt="" src="https://www.nstc.gov.tw/nstc/attachments/21be3d32-60d7-4978-8e1a-f3dd0d80bbbd" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 互連 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開放標準 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Intel、AMD、微軟等IT巨頭合推AI網路互連開放標準</strong></span></p> <p>英特爾、超微（AMD）、博通（Broadcom）、微軟、Meta、思科和HPE等IT巨擘在5月30日宣布聯手發展網路加速器互連標準Ultra Accelerator Link（UALink），為系統OEM業者、IT專業人員、系統整合廠商，提供更容易整合、彈性擴充性的方法來打造AI基礎架構。</p> <p>這個產業新標準，是要提供高速、低延遲的網路互連（Interconnect），來串聯不同廠牌的機器，實現資料中心內AI與HPC的系統擴充。UALink促進小組指出，他們將發展一套規格，來定義高速、低延遲的互連架構，擴大AI運算單位（Pod）中加速器和交換器之間的通訊。即將推出的UALink 1.0規格，將在一個AI運算單位中，支援最多1,024個加速器，允許GPU等加速器附加記憶體之間的直接載入和儲存。該促進小組已成立UALink聯盟，預計在2024年第三季正式成為法人公司，並發布1.0版規格，公開給聯盟會員。<a href="https://www.afp.com/en/news/1315/amd-broadcom-cisco-google-hewlett-packard-enterprise-intel-meta-and-microsoft-form-ultra-accelerator-link-ualink-promoter-group-drive-data-center-ai-connectivity-202405306536021">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> ChatGPT Edu </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 教育 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI推出教育版ChatGPT Edu</strong></span></p> <p>OpenAI在5月底發表一款教育專用聊天機器人ChatGPT Edu，將推廣到全球校園中。ChatGPT Edu採最新的GPT-4o多模態模型，專為大學打造，可支援文字和視覺推論，也能進行資料分析等功能。此一版本具備企業級安全與控制能力，OpenAI將以教育機構負擔得起的價格來供應。</p> <p>ChatGPT Edu的功能包括文本釋譯、撰寫程式碼、解決數學問題，也提供資料分析、網頁瀏覽及文件摘要等高階功能，還能建置客製化ChatGPT版本並於校內分享。此外，這款ChatGPT Edu還提供比免費版要多的訊息額度，支援逾50種語言並改善語言的品質和速度，且不會以用戶的資料及對話來訓練模型。<a href="https://openai.com/index/introducing-chatgpt-edu/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Claude </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 外部工具 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Anthropic </span></strong></span></p> <p><span style="font-size:22px;"><strong>Anthropic推新功能，Claude助理可使用外部工具了</strong></span></p> <p>AI新創公司Anthropic在5月30日揭露聊天機器人Claude新工具，讓Claude除了搜尋和回答問題外，還能整合API和外部資料源來執行更多任務，目前已正式上線、開放企業開發者使用。</p> <p>這個新工具叫做Tool Use，透過它，Claude能和外部用戶端工具、API和功能互動，可用來執行多種任務，像是搜尋最新網頁資料、從文件中擷取資料輸入報表或執行客戶服務。Tool use目前已整合在Claude 3模型家族，供開發者可透過Anthropic Messages API、Amazon Bedrock、和Google Vertex AI存取使用。相關資源也在GitHub公開。另一方面，OpenAI的ChatGPT、微軟Copilot也都在去年推出類似擴充功能，可以外掛、API整合外部工具或服務，提供AI代理訂餐、訂票、網購、搜尋景點等即時資訊或更自動化的服務。<a href="https://www.anthropic.com/news/tool-use-ga">（詳全文）</a></p> <p> </p> <div class="media_embed" height="420px" width="746px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="420px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/b77htH1eX-s" title="Claude 3 tool use: customer support" width="746px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語音訂位 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Line </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Chatbot </span></strong></span></p> <p><span style="font-size:22px;"><strong>台灣大聯手Line、inline，打造餐飲AI語音訂位服務</strong></span></p> <p>最近，台灣大哥大與Line、碩網資訊、inline共同推出AI語音預約訂位服務，結合聊天機器人、生成式AI，來協助餐飲業者處理顧客來電訂位需求。這個訂位服務結合台灣大行動市話服務，讓手機能接聽市話來電，並結合碩網資訊的語意辨識、語音合成技術，Line的Clova聊天機器人，以及inline的線上訂位服務，讓商家不需要撥出人力接聽訂位電話，就能自動由AI協助完成線上訂位。</p> <p>比如，消費者透過Google Map撥打商家電話，如果商家設定好Line Call來電，來電就會由AI應答，消費者只要以自然的口語說出想要預訂用餐，如5月30日晚上7點、4大2小，AI就會自動與消費者問答，完成訂位訊息，並通過inline完成線上訂位，再透過Line發送成功訂位資訊給消費者。若消費者以市話來電訂位，也能由Line聊天機器人協助完成，60秒即可。</p> <p>技術上除使用Line聊天機器人和社群平臺，他們也導入ChatGPT-3.5來判讀用餐相關問題，例如店家周邊停車資訊、用餐時間限制、兒童用餐、座位等問題。為避免ChatGPT給出錯誤訊息，碩網也預先訓練ChatGPT應答資料，如ChatGPT判斷無法回答，則轉交真人接聽或Line一對一回應。<a href="https://linecorp.com/tw/pr/news/tw/2024/4720">（詳全文）</a></p> <p><img alt="" src="https://vos.line-scdn.net/linecorp/tw/pr/2024053003.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 程式撰寫 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Codestral </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Mistral AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>Mistral AI推出輕量級程式撰寫模型</strong></span></p> <p>法國AI新創公司Mistral AI最近發布輕量級程式撰寫輔助模型Codestral，能完成程式碼撰寫，也能撰寫測試，加速開發軟體專案的速度。Codestral以80多種程式開發語言的資料訓練而成，涵括Python、Java、C、C++、Bash、Swift和Fortran等語言。</p> <p>該模型參數為220億，可作為指令語言模型，回答開發問題或執行開發任務，例如解釋程式碼片段、撰寫文件、因子分析，或產生開發者所需的程式碼。它也支援fill-in-the-middle（FIM）功能，能預測前綴、後綴字串預測中間元素，完成任何部份程式碼，對VS Code之類的軟體開發相當有幫助。Mistral AI相信其涵蓋廣度可擴大其專案適用性，結合此一模型可提升開發人員開發品質，減低錯誤及臭蟲的風險。Codestral已在MNLP-0.1授權下，在Hugging Face平臺開源。<a href="https://mistral.ai/news/codestral/">（詳全文）</a></p> <p><img alt="" src="https://mistral.ai/images/news/codestral/General_table.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> GitHub </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 加速器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>GitHub加速器資助11個開源AI專案</strong></span></p> <p>GitHub加速器（GitHub Accelerator）今年聚焦AI，根據促進新職業發展、影響廣泛社群、強化資安和提高開源AI開發者生產力等指標，挑出了11項專案，將提供資金援助、指導和社群等資源。進一步來說，今年入選的GitHub Accelerator專案涵蓋多個領域，包括模型最佳化與部署、測試與評估、AR/VR應用、無人導航、隱私與安全，以及開發者工具。</p> <p>在模型最佳化與部署方面，unsloth AI專案能降低模型微調所需要的記憶體資源和時間，LLMware.ai簡化了企業採用檢索強化生成（RAG）技術的流程。LangDrive可透過API簡化大型語言模型的訓練和部署。在AI應用上，A-Frame專案讓使用者在瀏覽器中建立AR/VR與3D內容，Nav2則為機器人提供導航解決方案。</p> <p>針對隱私與安全的專案有OpenWebUI，目標是發展可改善隱私和安全性的本地端LLM，另還有為安全團隊提供自動化代理的HackingBuddyGPT。此外，Web-Check提供AI驅動的網站安全檢查服務。而進階Python筆記本Marimo，則能簡化RAG部署Talkd.ai，可提高開發者生產力。<a href="https://github.blog/2024-05-23-2024-github-accelerator-meet-the-11-projects-shaping-open-source-ai/#unsloth-ai-bending-the-cost-curve-of-fine-tuning-models">（詳全文）</a></p> <p>圖片來源／微軟、國科會、Anthropic、Line、Mistral AI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. OpenAI開放自製GPTs、GPT-4o給免費版ChatGPT用戶存取</strong></p> <p><strong>2. Opera AI瀏覽器將整合Google Cloud Gemini等模型</strong></p> <p><strong>3. IBM Watsonx大型主機程式開發助理強化解釋功能，助開發者理解COBOL程式碼</strong></p> <p>資料來源：iThome整理，2024年6月</p> </div></div></div>
2024/6/2 12:45作者王若樸https://www.ithome.com.tw/news/163265
【資安週報】2024年5月27日到5月31日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期有4個漏洞利用狀況需特別關注，其中有3個是零時差漏洞利用，包括包括Check Point修補旗下Quantum Security Gateway的CVE-2024-24919，以及Google修補5月第四個已遭利用的Chrome漏洞CVE-2024-5274，還有一個較為特別，是JAVS法庭錄影軟體被揭露遭遇供應鏈攻擊，隨後該產品的漏洞CVE-2024-4978也被美CISA列入已知漏洞利用清單。</p> <p>此外，另一個今年初已修補的Linux Kernel漏洞CVE-2024-1086，美CISA最近也確認出現遭鎖定利用的情形。</p> <p>其他重要漏洞修補消息，包括Mozilla基金會修補Firefox中PDF檢視元件（PDF.js）的漏洞，TP-Link修補C5400X路由器重大層級漏洞，近期還有9個WordPress外掛程式的漏洞修補要注意，新加坡網路安全局特別對此提出警告。</p> <p>在資安事件焦點方面，國內外各有兩則重要消息，均與個資外洩有關，我們整理如下：<br /> ●臺灣電腦硬體製造商「Cooler Master」傳出50萬會員個資外洩的消息，有駭客向國外媒體聲稱竊得該公司103 GB的內部資料。<br /> ●台名保險經紀人公司發布重大訊息，公布遭遇供應鏈攻擊及資料竊取的資安事件，導致發生個資外洩。<br /> ●美國售票平臺Ticketmaster遭駭客入侵，5.6億客戶資料流入暗網，駭客集團Shiny Hunters宣稱是他們所為。<br /> ●英國精品拍賣業者佳士得（Christie's）遭勒索軟體駭客組織RansomHub攻擊，50萬筆客戶個資可能外流。</p> <p>以臺灣本身這一星期的資安事件而言，我們還發現關於<a href="https://www.breachsense.com/breaches/jpc-connectivity-data-breach/">Hunters International勒索軟體攻擊臺灣企業的情資，與國內上市電子零組件業佳必琪（JPC Connectivity）有關，攻擊者在5月下旬聲稱取得439.5 GB資料</a>，但該公司至今仍未回應我們的詢問。</p> <p>在威脅態勢上，我們認為2項消息需要特別重視，包括鎖定政府的網路間諜攻擊，鎖定網路設備的殭屍網路攻擊。<br /> ●中國APT駭客TGR-STA-0043這一年半鎖定中東、非洲、亞洲政府組織下手被資安業者Palo Alto Networks揭露，至少7個政府單位被長期滲透，其後門程式包括用Gh0st RAT打造的TunnelSpecter、SweetSpecter。<br /> ●殭屍網路CatDDoS鎖定思科、D-Link、居易、華為、瑞昱、Totolink、TP-Link、中興、Zyxel等多家網路設備商，中國資安業者奇安信警告，攻擊者除了利用80多個已知漏洞，並推測可能有零時差漏洞。</p> <p>其他可留意的威脅活動，包括：身分驗證解決方案業者Okta針對帳號填充攻擊提出警告，以及Chalubo遠端存取木馬攻擊活動的揭露，造成一家美國ISP業者提供的路由器在去年被攻擊而無法使用，逾60萬裝置受影響。</p> <p>至於防護態勢方面，國內有一個重要新聞，近日臺灣證券交易所針對資安重訊發布規範有新調整，在5月24日已放寬「重大性標準」，擴大揭露範圍，對於上市公司而言，現在遭駭後，不論是否涉及核心、機密都要發布重訊。</p> <p>還有一個國內企業可省思的議題，是關於郵件社交工程演練，Google近期撰文指出，這類演練的負面效果可能多過好處，而且實施多年來，會上當的人仍然持續上當。因此他們認為，教育員工辨識與主動回報更重要，而演練也應預先公告，如防災演練一般，而不是突襲測試，如此的長期效果可能會更好。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/163136"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月27日】中東、非洲、亞洲政府機關遭中國駭客長期從事網路間諜攻擊行動並散布後門程式</span></strong></a></h3> <p>近期中國駭客發起的攻擊行動接連傳出，上週末才有駭客組織APT41利用惡意程式KeyPlug攻擊義大利企業組織的消息，本週有資安業者揭露另一駭客組織從事的網路間諜行動。</p> <p>值得留意的是，這些駭客專門針對Exchange伺服器下手，對其植入後門程式，企圖從中搜刮機密資料，而他們利用的漏洞，就是3年前公布的ProxyLogon、ProxyShell。</p> <p><a href="https://www.ithome.com.tw/news/163150"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月28日】Check Point針對啟用VPN服務防火牆的用戶提出警告，有人企圖透過電腦本機舊帳號入侵</span></strong></a></p> <p>上個月思科對於大規模鎖定VPN系統的攻擊行動提出警告，並指出攻擊者的目標涵蓋多個廠牌的VPN系統，這樣的情況，如今也有資安業者提出警告，他們旗下的資安系統也面臨相關的攻擊。</p> <p>本週資安業者Check Point針對客戶提出警告，並指出對方意圖用於存取VPN系統的方式，是只需通過密碼驗證的本機帳號。</p> <h3><a href="https://www.ithome.com.tw/news/163184"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月29日】精品拍賣業者佳士得遭到勒索軟體駭客組織RansomHub攻擊，50萬筆客戶個資可能外流</span></strong></a></h3> <p>針對藝術界的服務廠商發動攻擊的資安事故，最近幾年陸續傳出，而本月發生一起攻擊事件，是針對精品拍賣業者佳士得（Christie）而來。</p> <p>值得留意的是，這起事件之所以被發現，最初是因為用戶察覺該公司部分網站無法運作，當時該公司僅表示其中一場拍賣會被迫延後，但並未透露更多細節，如今有駭客組織聲稱犯案，他們才坦承客戶個資遭竊的情況。</p> <p><a href="https://www.ithome.com.tw/news/163201"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月30日】鎖定Check Point VPN的攻擊行動出現新的發展，兩家資安業者透露對方利用零時差漏洞挖掘AD帳密資料</span></strong></a></p> <p>鎖定VPN服務進行大規模的帳號填充攻擊，先前有思科證實他們的用戶受害，本週一資安業者Check Point也對用戶提出警告，他們在數日前察覺相關攻擊行動並著手調查，並公布新的發現。</p> <p>該公司表示，這起事故中駭客疑似利用零時差漏洞CVE-2024-24919；另一家資安業者Mnemonic發現，相關攻擊行動4月底就有跡象，當時對方已企圖嘗試利用這項漏洞。</p> <p><a href="https://www.ithome.com.tw/news/163231"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月31日】歐洲刑警組織與十多個國家執法單位聯手，掃蕩數個用於散布惡意程式的殭屍網路</span></strong></a></p> <p>繼美國、新加坡、泰國、德國執法單位聯手，宣布拆毀專門綁架個人電腦的大型殭屍網路911 S5，有許多歐洲國家參與的另一個執法行動Operation Endgame，也傳出捷報，他們在本週成功破壞數個用於散布惡意程式的殭屍網路。</p> <p>值得一提的是，這波執法掃蕩的惡意程式類型，是駭客用來向受害電腦傳遞其他作案工具的惡意程式載入工具（Dropper），帶來的後續效應值得觀察。</p> <p> </p> </div></div></div>
2024/5/31 18:08作者羅正漢https://www.ithome.com.tw/news/163245
Nvidia每年都將更新AI晶片，展示G-Assist聊天機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia創辦人暨執行長黃仁勳近日回臺參加本周一（6/3）正式展開的臺北國際電腦展（COMPUTEX），根據<a href="https://www.bloomberg.com/news/articles/2024-06-02/jensen-huang-computex-keynote-nvidia-reveals-new-ai-software-and-services?srnd=homepage-americas" target="_blank">《彭博社》</a>（Bloomberg）與<a href="https://asia.nikkei.com/Business/Technology/Jensen-Huang-hints-Nvidia-is-aiming-for-new-AI-chip-every-year" target="_blank">《日經亞洲》</a>（Nikkei Asia）的報導，黃仁勳在展前於臺灣大學舉行的演講中透露，Nvidia將在明年推出Blackwell Ultra，後年發表Rubin，把AI晶片的更新時程調快至每年一次。此外，Nvidia也在此次的COMPUTEX中發表了<a href="https://nvidianews.nvidia.com/news/nvidia-brings-ai-assistants-to-life-with-geforce-rtx-ai-pcs" target="_blank">Nvidia RTX技術</a>，以用來支援筆電上的AI助理及數位人類，包括新上陣的聊天機器人專案Project G-Assist。</p> <p>過去Nvidia所開發的GPU架構大多使用兩年，例如2020年發表Ampere，2022年推出<a href="https://www.ithome.com.tw/news/150060" target="_blank">Hopper</a>，今年發表<a href="https://www.ithome.com.tw/news/161831" target="_blank">Blackwell</a>，不過，根據報導，Nvidia準備在明年推出Blackwell Ultra，後年又有Rubin，以趕上這個被黃仁勳稱為新工業革命的AI浪潮。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0603-NVIDIA_Jensen%20Huang%20Keynote_COMPUTEX%202024_05.png" style="width: 600px;" /></p> <p>《日經亞洲》引用黃仁勳的說法，表示Nvidia將嘗試推動晶片製造各方面的極限，每年都會升級晶片，並說Nvidia替AI工廠所提供的晶片解決方案將替運算、醫療保健、交通與製造產業帶來100兆美元的商機。黃仁勳表示，IT產業所提供的服務不再只是儲存或資料處理，而是一個能夠替每個產業生成智慧的工廠。</p> <p>黃仁勳也將生成式AI的興起視為一場新的工業革命，並說傳統的運算方法已經跟不上呈指數成長的資料量，必須藉由Nvidia的加速運算方式才能降低成本。</p> <p>隨著COMPUTEX的來臨，Nvidia更新了<a href="https://www.nvidia.com/en-us/design-visualization/technologies/rtx/" target="_blank">Nvidia RTX技術</a>，內含光線追蹤、將AI帶入視覺運算、光柵化及模擬等高階技術，也推出用來實現相關技術的<a href="https://developer.nvidia.com/rtx/ai-toolkit" target="_blank">Nvidia RTX AI Toolkit</a>，集結了各種支援Windows平臺的工具及SDK，以供開發者客製化及部署跨雲端及RTX個人電腦的AI模型，與微軟日前發表的<a href="https://www.ithome.com.tw/news/162989" target="_blank">Copilot+ PC</a>相呼應。</p> <p>事實上，Nvidia也正在與微軟合作，協助開發者將新的生成式AI功能整合到Windows上的原生與網頁程式，允許開發者藉由API來存取基於GPU加速的小型語言模型（SLM）。此一API將在今年的開發者預覽版中現身。</p> <p>Nvidia準備在本周舉行的COMPUTEX上展示<a href="https://www.nvidia.com/en-us/geforce/news/g-assist-ai-assistant/" target="_blank">Project G-Assist</a>，這是奠基在RTX技術上的聊天機器人，Nvidia將示範G-Assist於遊戲中所扮演的角色，它可接收玩家所輸入的文字、語音，以及遊戲視窗的快照，並回答玩家於遊戲中所遇到的任何問題，從任務、物品、傳說、怪物，包括建議最好的遊戲武器，是否應該避開恐龍，以及馴服不同野獸的方法。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0603-nvidia-Project%20G-Assist_For%20Games%20%26%20Apps_demo_02.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> </div></div></div>
2024/6/3 11:34作者陳曉莉https://www.ithome.com.tw/news/163264
Hugging Face Spaces平臺被駭，緊急呼籲用戶重設憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI平臺Hugging Face上周<a href="https://huggingface.co/blog/space-secrets-disclosure" target="_blank">公布遭駭</a>，呼籲所有用戶重設密碼或令牌等登入憑證，以免AI模型等研發成果被不法存取。</p> <p>Hugging Face安全團隊上星期偵測到機器學習應用代管平臺Spaces，特別是和Spaces金鑰或令牌等相關的機密內容有未經授權的存取活動，相信可能有部分機密資訊已經遭竊。該公司已經註銷了多筆包含其中的HF令牌，並發出電子郵件通知受影響的用戶。</p> <p>不過，為安全起見，Hugging Face建議所有用戶重設所有金鑰或令牌，並考慮將HF令牌改成可細部設定的存取令牌，目前Hugging Face已經將後者設為新的預設驗證方式。</p> <p>Hugging Face強調除了調查此事後續事件，也已經加強Spaces基礎架構的安全防護，包括完全移除組織令牌以提升可追蹤性和稽核能力、實作Spaces金鑰管理服務、提升系統辨識並註銷外洩令牌的能力等等。該公司計畫近日在更新的存取令牌功能更完善一點後，將關閉舊式具讀寫能力的令牌。該公司也已通報執法機關和資料防護主管機關。</p> <p>作為全球最熱門的平臺之一，Hugging Face也是駭客攻擊的主要目標。去年底資安業者<a href="https://www.ithome.com.tw/news/160172" target="_blank">Lasso揭露</a>Hugging Face的API漏洞，讓駭客有機會取得知名企業的身分驗證資訊，或污染訓練資料、竊取、竄改AI模型。二個月前資安廠商<a href="https://www.ithome.com.tw/news/162150" target="_blank">Wiz也公布</a>API、推論端點、Spaces的<a href="https://www.ithome.com.tw/news/162150" target="_blank">漏洞</a>可讓駭客上傳惡意模型至Hugging Face平臺，進而自遠端執行程式碼，或是擴張權限從事不法行為。</p> </div></div></div>
2024/6/3 10:17作者林妍溱https://www.ithome.com.tw/news/163261
ElevenLabs公布AI音效、人聲生成模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ElevenLabs專門從事語音和聲音應用研究，去年<a href="https://www.ithome.com.tw/news/155185" target="_blank">公布</a>AI聲音生成的AI平臺Text to Speech，可讓用戶在文字對話中設定性別、年齡、口音和說話風格合成逼真人聲，並於同年募得近2,000萬美元的A輪資金。ElevenLabs今年2月搭上OpenAI影片AI生成模型Sora列車，<a href="https://elevenlabs.io/blog/ai-sound-effects-are-coming-soon/" target="_blank">預告</a>可為影片配音的AI聲音模型，並在上周正式向大眾公開Text to Sound Effects，包括免費版及付費版。</p> <p>Text to Sound Effects目的在為電影或電視節目、電玩開發商，甚至社群內容創作者、個人提供工具，使其得以快速且大規模生成豐富、沈浸式聲音場景，而且不需大成本。只要在提示視窗輸入文字，就可以生成音效、22秒的樂器演奏音訊、聲音場景或各種角色聲音。該公司<a href="https://elevenlabs.io/sound-effects" target="_blank">網頁</a>並提供多種範例說明輸入的文字提示和生成音效，包括動物叫聲、打雷、爆炸聲、恐怖電影音效，或是吉他等樂器演奏。</p> <p>為訓練這新工具，ElevenLabs和知名圖庫和音訊平臺Shutterstock合作，以其多樣化及高品質的合法聲音檔微調其AI模型。</p> <p>Text to Sound Effects並提供用戶微調工具，讓用戶能針對一種物件再細分出不同類別，例如「腳步聲」可以文字再微調成是高跟鞋、靴子或球鞋，或是走在沙地、雪地或葉子上的聲音。完成後，用戶可選擇下載聲音或儲存在ElevenLabs平臺上。</p> <p>Text to Sound Effects提供免費及付費版。付費版是透過在付費帳號供用戶使用。免費版用戶需要在生成的音樂加上elevenlabs.io，以說明來自ElevenLabs。付費帳號用戶則不需註明。不過不論是哪個版本，版權責任都由使用者自付。</p> <p>收費標準是根據生成音訊的長度控制參數計算。若用戶設定為最適長度，會被收取200字元的費用，如果用戶想自行控制長度，則會被設定該長度每秒40字元的費用。收費是每執行4次生成計算一次。收費是每次呼叫（而非下載），即每按一次「Generate」就多一次費用。但若用戶認為計算結果有誤，需自行向業者（<a href="mailto:[email protected]">[email protected]</a>）反映。</p> <p>根據<a href="https://help.elevenlabs.io/hc/en-us/articles/24351324241937-What-is-the-price-for-usage-based-billing" target="_blank">ElevenLabs</a>說明，付費帳號分成3類。Creator為0.30美元/1,000字元，Pro為 0.24美元/1,000字元，Scale則為 0.18美元/1,000字元。</p> </div></div></div>
2024/6/3 10:33作者林妍溱https://www.ithome.com.tw/news/163263
OpenAI重組機器人部門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI正在重組設計機器人專用AI模型的部門。</p> <p>2017年OpenAI曾經開發出一套機器人控制AI的模擬學習演算法，可讓機器人透過模擬用戶以VR展示執行作業。不過OpenAI於2020年將之解散。<a href="https://www.forbes.com/sites/kenrickcai/2024/05/30/openai-robotics-team/" target="_blank">《財星》</a>（Fortune）雜誌上周報導，OpenAI正計畫重組機器人部門。OpenAI近日透過網<a href="https://openai.com/careers/research-engineer-robotics/" target="_blank">站徵才啟事</a>旗下的機器人部門正在尋找研究工程師，尋找的角色職位位於舊金山，證實了這則報導。</p> <p>根據<a href="https://openai.com/careers/research-engineer-robotics/" target="_blank">OpenAI的描述</a>，機器人部門將和機器人產業夥伴合作，著重建立一組模型以實現前線機器人應用，而最新的職位將負責訓練、微調多模態LLM、解決機器學習技術問題。這個職位也是機器人部門的首批成員之一。</p> <p>這顯示，OpenAI將把AI從一般商務IT應用向營運科技（operational technologies，OT）擴展。由OpenAI 19名前員工成立的新創業者<a href="https://www.linkedin.com/posts/covariant-ai_meet-the-openai-mafia-these-19-former-employees-activity-7155665510460784640-FN6j" target="_blank">Covariant</a>今年初募得80億美元，最近公布了執行機器人專用的RFM-1，能在遇到困難時自動尋求解決方案。</p> <p>其他競爭者包括Google及Boston Dynamics。Google數年前就<a href="https://www.ithome.com.tw/news/156422" target="_blank">開始訓練</a>能清理辦公室的機器人模型。已開發出人形及犬形機器人的Boston Dynamics曾隷屬於Alphabet，後者2017年將之賣給了軟銀，不過<a href="https://www.ithome.com.tw/news/141644" target="_blank">最新東家</a>是2020年接手的韓國汽車大廠現代。</p> <p>OpenAI早期投資者馬斯克也曾公布人形機器人<a href="https://www.ithome.com.tw/news/146342" target="_blank">Tesla Bot</a>，2022年<a href="https://www.tesla.com/zh_tw/AI" target="_blank">推出原型</a>，目前也<a href="https://www.tesla.com/zh_tw/AI" target="_blank">正在招募</a>深度學習、電腦視覺、控制、機械及軟體人才。</p> </div></div></div>
2024/6/3 08:41作者林妍溱https://www.ithome.com.tw/news/163260
【2024臺灣資安年鑑｜資安十年特輯】「資安即國安」戰略目標確立臺灣8年資安發展
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/zi_an_yuan_jing_-gu_li_xiong_-960-v3-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蔡英文總統2016年提出以「資安即國安」為綱領的國家資安戰略，相隔幾年後，美國拜登總統2021年亦開始呼籲資安就是國安的議題，甫卸任的美國國安局長暨網戰司令部司令Paul Nakasone，更直言：「Cybersecurity is National Security.」</p> <p>回顧近年臺灣資安發展，產業界普遍認為資安即國安戰略的祭出，不僅引領國家資安與產業發展邁向全新的階段，更為臺灣資安發展劃下一道具有歷史意義的分水嶺。</p> <p>資安即國安戰略之所以能獲得諸多肯定，國安會秘書長顧立雄表示，「總統帶頭重視資安」是一個重要的關鍵，因為總統的重視，形塑了一股由上而下持續引導的力量，逐步帶動政府各個部門跟著重視資安議題。</p> <p>而且，除了要求公部門之外，顧立雄表示，蔡總統更身體力行，直接與民間產業互動，多次公開展現她對資安的重視與公私協力的支持。例如，蔡總統每年會親自參與臺灣資安大會，肯定與鼓勵產業界的努力，也持續接見出國比賽得名的年輕白帽駭客，傾聽各界的想法與需求。</p> <p>「因為蔡總統重視資安政策的落實，對於國家資安戰略的要求是從結構上整體強化資安，以全面性提升國家安全。」顧立雄表示，蔡英文總統執政的八年，不僅在第一個任期就確立了「資安即國安」的戰略大方向，更在第二任期進一步推出「資安即國安2.0」戰略，包括人才、產業、技術、組織、法制和國際合作等，都有相對應的政策規劃與具體執行目標。</p> <p>檢視資安即國安戰略八年發展歷程，顧立雄點出幾項重大進步，包括國家資安政策擴及軍事、情報與執法單位的合作、公部門與民間產業資安能力精進、從被動防禦轉為主動防禦、積極推動數位韌性，以及加強公私協力、強化上市櫃資安治理與產業供應鏈安全等。</p> <p><span style="font-size:28px;"><strong>建立信賴夥伴關係，積極推動數位韌性</strong></span></p> <p>「資安即國安2.0戰略的願景，是打造堅韌、安全、可信賴的智慧國家。」顧立雄表示，立基於資安即國安1.0建構的鐵三角架構（國安會、通傳會與行政院資安處），資安即國安2.0戰略進一步將軍事、情報與執法單位也納入國家資安戰略，一舉擴大為六大基石架構，涵蓋國安會、國防部、數位部、國安局、調查局和刑事警察局，組成所謂的新世代「資安六塊基」。</p> <p>在資安即國安戰略下，國家資安會議由國安會秘書長與行政院副院長（國家資安長）共同主持，顧立雄表示，如此各部會不僅會高度重視資安，更能將八大關鍵基礎設施（CI）以及軍事、情報、執法單位陸續納入國家資安防禦陣線，讓大家在協作的過程中，建立起行政、軍事、情報、以及執法部門之間的「信任關係」，從而成為信賴的合作夥伴，以形成更強大的防禦能量。</p> <p>在資安即國安2.0的戰略方針下，公部門與民間產業的資安能力也持續精進。以公部門而言，近年來其中一項政策是優先強化第一線執法同仁的資安能力，包括強化執法單位及國安單位的資安人力與專業技能，使其具備精進主動防禦能力，平時可依據資安情資提出預警，在資安事件發生時，以其應變調查能力，追蹤溯源網駭來源。近期，原屬刑事警察局任務編組的「科技犯罪防制中心」法制化，即為一例。</p> <p>再者，積極推動「數位韌性」（Resilience）也是「資安即國安2.0」的目標之一。他表示，從俄烏戰爭可以了解戰爭爆發時，政府首要任務就是必須確保關鍵基礎設施能持續運作，例如電力、網路的服務，至少在關鍵的特定區域內，絕對不可中斷。</p> <p><span style="font-size:28px;"><strong>強化上市櫃公司資安治理能力，奠定公私協力信任基石</strong></span></p> <p>在民間產業方面，資安即國安戰略也促使上市櫃公司提升資安治理成熟度。顧立雄表示，金管會自2021年底開始推動上市櫃公司的資安治理，明文要求一千五百多家上市櫃公司，必須設置資安主管及資安專責單位；也必須在年報當中說明資安政策，以及公司對於資訊安全的投入。</p> <p>之後，更明確規定，上市櫃公司如果發生重大的資安事件時，必須要對外發布重訊；今年，金管會更進一步訂定資安事件「重大性」的標準，持續完善相關的規範。</p> <p>顧立雄認為，金管會對於上市櫃公司資安治理的要求，是自《資通安全管理法》公布實施以來，影響層面最廣的資安規範，並且是針對臺灣重要的民間企業所做的規範。</p> <p>這一千五百多家公司相較於中小企業而言，有更多資源和更大動機去做好資安，尤其是高科技業者，長期以來都是駭客重點鎖定的目標，一旦遭到駭客勒索軟體攻擊，不僅造成核心的營業秘密外流，也可能威脅到供應鏈安全，甚至影響國家整體的競爭力。</p> <p>資安領域的公私協力，過往在推動上總是困難重重，畢竟一般企業遭受攻擊因擔憂公司商譽，往往低調處理，然而在資安即國安的諸多政策施行之下，這些過去難以跨越的阻礙也逐漸化解。</p> <p>顧立雄表示，一方面公部門先強化第一線執法人員的專業能力，包括掌握資安情資、分析惡意程式攻擊手法，以及事件應變，在確實擁有能力可以提供協助之下，再站在保護民間企業的立場，以取信於人。</p> <p>另一方面，民間企業也感受到勒索軟體與供應鏈攻擊帶來的威脅與目俱增，已非單一企業所能對抗，因而更加重視掌握資訊安全情資與事件應變，對於與公部門的合作也就採取更開放的作法，不僅敞開與公部門合作的大門，也更願意分享自己的情資，讓公部門進行後續的追蹤分析，以嘉惠更多人；如此良性循環形成了公私協力最重要的基石—「互信機制」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%A1%98%E6%99%AF-%E9%A1%A7%E7%AB%8B%E9%9B%84-600-1.jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>SEMI E187成公私協力典範，透過採購拉齊業者資安水準</strong></span></p> <p>近年來，臺灣透過公私協力的合作，推出全球第一個半導體供應鏈資安標準SEMI E187，就是最好的典範。在COVID-19肆虐與俄烏戰爭爆發之後，臺灣在全球半導體供應鏈的重要性可謂舉世皆知，然而，影響供應鏈安全的要素，不僅是戰爭、天災，還包括資安威脅。而身為產業龍頭的台積電，不僅率先制定供應鏈資安標準，更與公部門合作將其擴大發展成全球第一個半導體供應鏈資安國際標準。</p> <p>藉由帶頭提出供應鏈資訊安全標準，台積電不只是制定產業標準，協助自己合作的供應鏈業者提升資安防護能力，包括：評估供應商的資安狀況並協助改善、主動分享漏洞情資並協助供應商改善，還更進一步主動向政府部門提出建言，建議公私部門在情資分享上，可以做到更緊密與即時的合作，「這不僅推動自家供應鏈體系資安成熟度的提升，更有助於臺灣整體資安的改善。」顧立雄表示。</p> <p>透過公私協力提升臺灣整體資安成熟度，也體現在改變政府採購資安解決方案的方式。顧立雄說：「透過公部門的採購要求，可以驅動私部門強化資安，提升各產業的資安成熟度，從而帶動臺灣資安產業的發展。」</p> <p>行政院公共工程委員會已與數位發展部合作，公布全新的「資訊服務採購作業指引」，並且將「各類資訊服務採購之共通性資通安全基本要求參考一覽表」納入契約範本，以強化供應商應盡的義務。</p> <p>他指出，透過資訊服務採購作業指引，可以要求提供政府機關資訊服務的參與業者，必須具有一定的資安水準，避免資服業者成為政府供應鏈的資安弱點。因為這些業者也可視為政府公開認證的廠商，因此在資安方面就必須特別注意，有必要透過採購契約進行規範，要求廠商做到一旦發生資安事件，也必須保存數位跡證。</p> <p><span style="font-size:28px;"><strong>資安涉及跨部門溝通，不只是技術議題而是管理議題</strong></span></p> <p>展望臺灣資安未來發展，顧立雄期許管理階層以身作則，從風險管理的角度看待資安，而近年開始推動的零信任與數位韌性也必須更加深化，與國際民主聯盟國家的合作則要更積極推展。</p> <p>由於資安不是單純議題，往往涉及跨部門的溝通與共識，雖說是最需要主管重視和推動的議題，但偏偏又因技術細節繁瑣，而讓主管誤以為資安僅是技術問題，而忽略資安對於企業組織真正的重要性。</p> <p>因此，有些主管就會認為，既然資安是技術問題，就交給技術人去解決就好，然而，顧立雄直言，這樣的觀念卻是最大的錯誤，因為資安有更多是政策面與管理面的議題，建議企業主管應該要從「風險管理」的角度來看待。</p> <p>更關鍵的是，做好資安是每一個部門、甚至是每一個人的責任，如果只交由資安部門負責推動，不但沒有強化的效果，反而削弱所有人對資安的重視度，最終淪為無法貫徹落實的下場。</p> <p>舉個例子來說明，弱密碼（Weak Password）一直是各部門遭駭主因，而要改善這個問題，其實不需要困難的技術，關鍵在於建立良好的使用習慣，設定高強度的密碼，然而，主管如果不表達對密碼使用規定的重視，顧立雄反問：「那麼，即便有規定，其他部門又怎麼會聽資安部門的話呢？」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%B3%87%E5%AE%89%E9%A1%98%E6%99%AF-%E9%A1%A7%E7%AB%8B%E9%9B%84-600-2.jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>推動零信任資安是邁向數位韌性的關鍵</strong></span></p> <p>零信任架構的核心精神是永不信任、持續驗證，前提就是預設每一次的連線都是不安全的，顧立雄說：「資安要做得好，關鍵在我們永遠不能假設自己的環境是安全的，而必須從駭客的角度，思考風險在哪裡。」</p> <p>他以一件印象深刻的事故為例說明零信任。當時發生駭侵事件的單位不斷強調其內部網路已有實體隔離設計，與網際網路完全沒有任何連線，因此駭客絕不可能有管道入侵，足以保證系統的安全性。然而，實際調查發現，委外廠商為了提供後續維護而預留一條連外專線，該廠商被駭之後，駭客就能循線入侵政府單位，該單位信誓旦旦的實體隔離防護，實際上不存在。</p> <p>這個典型的供應鏈攻擊之所以能夠成功，就是因為我們缺乏預想被駭（Assumed Breach）的觀念，若事先能夠有此設想，就不會盡信實體隔離措施滴水不漏，而會再度檢視每一個環節、每一次連線，這也就是零信任資安的根本之道。</p> <p>顧立雄表示，自此每當他聽到實體隔離就等同安全的說法，都會持保留的態度；另一方面，這類駭侵事件的根因也更證實零信任架構：涵蓋身分鑑別、設備鑑別及信任推斷三大階段，是企業組織落實資安、邁向數位韌性的關鍵。</p> <p>雖然零信任的機制必然讓人覺得使用不便，但是，顧立雄強調「駭侵事件造成的損失已經是無法承受之重，為了徹底落實資安防護，大家還是要盡力克服初期的不便。」</p> <p>目前在資安即國安2.0戰略指導之下，政府機關、國防與關鍵基礎設施等重要產業皆逐步導入零信任架構，然而，顧立雄指出，接下來，更重要的課題則是，占臺灣企業九成以上的中小企業，因為缺乏資源缺而難以導入零信任架構的問題。</p> <p>為何中小企業無法導入零信任資安架構會成為隱憂？顧立雄指出，臺灣很多中小企業都是所謂的隱形冠軍，在特定零組件不僅各有擅長，甚至是世界之冠，雖然他們的公司規模可能比不上大企業，卻是全球國防或特定產業必須仰賴的重要供應商。</p> <p>無人機產業就是一最好的例子，無人機已被視為新世代戰場的成敗關鍵，對無人機產業而言，有機會擠身國防產業，可謂千載難逢的大好機會，然而，臺灣無人機產業普遍以中小企業型態居多，若想進軍國防產業，就必須證明其具有國防等級的資安成熟度，否則難以被國防產業供應鏈信賴；如果連零信任資安都難以導入，對於臺灣隱形冠軍產業未來發展，絕對是最大隱憂。</p> <p>畢竟，任何企業一旦成為國防供應鏈的一份子，就有極高的可能性被有心國家列入攻擊目標；如果不願淪為打壞一鍋粥的老鼠屎而錯失商機，就必須強化自身的資安成熟度。因此，美國國防部專門針對國防採購所制定的資安標準：CMMC（網路安全成熟度模型認證），就會成為臺灣未來進軍全球國防產業的重要關鍵。</p> <p><span style="font-size:28px;"><strong>資安是國際合作的優先議題，中油事件是臺美合作例證</strong></span></p> <p>由於臺灣一直處於資安攻防的最前線，長年下來，不僅累積了大量資安實戰經驗，再加上身為全球資通訊供應鏈主要國家，天生就擁有許多國家所羨慕的科技研發文化（R&D DNA），不但養成傲視國際的頂尖資通訊產業，更培養出許多世界級資安人才。顧立雄指出，臺灣在全球資安的重要地位已經被各國看到，許多國家與臺灣接洽時，都紛紛將資安領域的合作視為優先議題，而且，這些越來越多的國際合作，更橫跨公私部門。</p> <p>顧立雄指出，積極與民主聯盟國家合作，共同打造可信賴的資安供應鏈，是蔡英文總統非常重視的資安政策，而積極參與國際資安合作，協助各國打擊惡意網路活動、提升全球網路的安全性，其實也讓臺灣受惠。</p> <p>回首2020年5月，臺灣中油和台塑石化等關鍵基礎設施業者接連發生勒索軟體駭侵事件，當時多處加油站的業務受到波及，並可能造成更大的社會衝擊。之後因政府反應迅速，並與美執法機關聯手追蹤攻擊來源，調查局很快就找到攻擊行動所用的中繼站和惡意程式，並鎖定罪魁禍首就是中國政府支助的國家級駭客組織APT-41，隨後美國司法部門更據此起訴參與行動的五名中國駭客與兩家馬來西亞業者，可說是國際資安合作的一大勝利。</p> <p>顧立雄表示，這其實只是諸多資安國際合作的其中一例，由於與國際盟邦的資安合作普遍有高度機敏性，能夠對外揭露的成果相對有限，不過，由於臺灣長期遭受中國各種國家級駭客攻擊，累積了許多中國慣用的攻擊手法與惡意程式樣本，在與國際盟邦合作打擊網路攻擊上可提供實質的助益。</p> <p>此外，臺灣在民間組織的資安合作主要透過TWCERT/CC（臺灣電腦網路危機處理暨協調中心）和國際CERT組織建立雙邊合作關係，參與國際與國內資安組織與社群的相關活動。而在臺灣將獨有的資安研究成果，貢獻給國際社會的同時，也促成國際資安組織在發現臺灣被駭客鎖定，或有潛在系統性大規模攻擊之前，也將提供臺灣政府機關和民間企業資安防護預警，形成民主同盟國家共同防衛的良性循環。</p> <p><span style="font-size:28px;"><strong>保護關鍵基礎設施環境的網路安全，就是保護國家安全</strong></span></p> <p>現今資安威脅已經足以影響國家安全，因為國家級駭客的目標已經不再只是竊取個人的資料或是產業商業機密，而是企圖破壞國家的油、水、電、通訊等攸關民生的關鍵基礎設施，而這些狀況的不斷發生，也讓我們更清楚認識到：網路攻擊已經成為威脅國家安全的致命手段。</p> <p>誠實面對未來，接下來各個國家都會培養國家級網路攻防能力，既能捍衛國家安全，也能形成數位武力，對其他國家構成威懾，臺灣該如何因應呢？</p> <p>顧立雄表示，駭客攻擊已經朝向更精緻（利用設備漏洞、供應鏈攻擊）、更隱密（組建加密網路進行駭攻、就地取材，以合法掩飾非法的攻擊手法）以及更危險（結合認知作戰、駭攻電力及電信等關鍵基礎設施）等層面發展。</p> <p>當國家級駭客越來越厲害、手法日益隱蔽時，他指出，政府應該要更積極、更全面地把公私部門及國際合作的對象，轉化成為更堅實的夥伴關係，才足以因應接踵而來的各式挑戰。</p> <p>顧立雄認為，資安防護就像棒球比賽的防守，不管內外野的哪一個守備位置，都要設法避免形成漏接，這樣才是好的防守。</p> <p>唯有強化資安韌性，才足以因應國家級駭客的威脅，不論關鍵基礎設施面臨設備老舊、缺乏工控（OT）資安專業人才；或者是協助缺少資源的中小企業強化資安；甚至，研議修法由一類電信業者保存網路流量、以利執法單位對網軍進行追蹤溯源等，這些都是未來可以努力的方向。</p> <p>資安其實是跨部門、跨領域的議題，不應該受到本位主義的限制，或囿於現行法律的規範；加上資安本身也是國際合作的重要議題，我們應該要積極向外發展。顧立雄說：「面對變遷迅速的資安領域，更應該擘畫接下來的資安藍圖，藉此打下未來長遠發展的基礎。」<strong>【本文採訪日期：2024年4月】</strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> 本文出自《CYBERSEC 2024 臺灣資安年鑑》</span></span></span></strong></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654332" target="_blank"><strong><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/9789860654332_bc.jpg" style="width: 236px;" /></span></span></strong></a></p> </div></div></div>
2024/6/3 00:00作者黃彥棻https://www.ithome.com.tw/article/163001
單一Pod串連近9千個TPU，Google推效能更強AI加速服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/gcp_tpu_v5p-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>基於自行研發設計的第五代TPU晶片，Google Cloud去年8月發表AI加速運算服務<a href="https://www.ithome.com.tw/review/162164">TPU v5e，相隔3個月後正式上線</a>，12月他們發表性能更強大的TPU v5p，並首度提出Google AI Hypercomputer的系統概念，公布多個先期導入案例，包含自家Google DeepMind、Google Research，以及CRM雲端服務廠商Salesforce、影片與圖片App開發商Lightricks，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-12-4_next-generation_AI_workloads_max.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-4_next-generation_AI_workloads_max.jpg" style="width: 400px;" /></a></p> <p>到了今年4月舉行的Next年度大會期間，TPU v5p宣告推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Cloud%20TPU%20v5p-2024-4-12-2.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Cloud%20TPU%20v5p-2024-4-12-3.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Cloud%20TPU%20v5p-2024-4-12-4.jpg" style="width: 298px;" /></p> <p>先從去年底Google Cloud揭露資訊來看，相較於上一代TPU v4，TPU v5p配備的高頻寬記憶體容量提升至3倍，額外內建第二代稀疏運算核心（SparseCore），可提供逼近2倍的浮點運算效能，訓練大型語言模型（LLM）進行INT8整數運算時，處理速度可提升至2.8倍。</p> <p>而在延展性的部分，就多個TPU組成的單座Pod而言，若全部搭配TPU v4，能使用3D網狀（3D mesh）拓樸架構，最多可連接4,096個晶片，晶片互連頻寬為2,400 Gbps；如果搭配TPU v5p，能使用3D環形網狀（3D torus）拓樸架構，最多可連接8,960個晶片，擴展規模提升至4倍，晶片互連頻寬為4,800 Gbps，提升至兩倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-GCP-3_next-generation_AI_workloads_v1_max-web.jpg" style="width: 500px;" /></p> <p>關於產品服務的性價比，Google Cloud當時也綜合內部測試資料，以及MLCommons MLPerf v3.1 Training公布資料，列出TPU v4、TPU v5e、TPU v5p執行GPT-3 175B模型訓練的比較，並以TPU v4為基準，結果顯示TPU v5e最實惠，單位成本效能可達到2.3倍，TPU v5p為2.1倍，而在單位效能成本的呈現上，TPU v4每小時每個晶片為3.22美元，去年底上線的TPU v5e為1.2美元，最新推出的TPU v5p則為4.2美元。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-12-1_next-generation_AI_workloads_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-1_next-generation_AI_workloads_max-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-12-2_next-generation_AI_workloads_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-2_next-generation_AI_workloads_max-web.jpg" style="width: 298px;" /></a></p> <p>今年4月TPU v5p宣告上線之際，Google Cloud重申其特色，同時提到能在用戶設置更大型（slice）的Pod時，獲得更大的運算吞吐量，他們表示，若是搭配512個至6,144個TPU v5p組成一座Pod，運算吞吐量可提升至11.97倍，達到近乎線性增長的效能改善幅度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Cloud%20TPU%20v5p-2024-4-12-5.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Google TPU-2024-04-iThome Mark1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20TPU-2024-04-iThome%20Mark1.jpg" style="width: 600px;" /></a></p> <blockquote><p>攝影／余至浩</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/Google TPU-2024-04-iThome Mark2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Google%20TPU-2024-04-iThome%20Mark2.jpg" style="width: 600px;" /></a></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">攝影／余至浩</span></p> </blockquote> <p>在此同時，Google Cloud也宣布Kubernetes代管平臺GKE支援TPU v5p，以及TPU multi-host serving on GKE的工作模式。以後者而言，是指由多臺主機部署而成的AI模型伺服器，能夠以單一邏輯單位的形式進行集中管理與監控。</p> <p>針對上述架構帶來的實際成效，App廠商Lightricks表示，同樣面對文字轉圖片、文字轉影片的AI模型訓練，相較於採用TPU v4，新支援的TPU v5p on GKE速度提升至2.5倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP Cloud TPU v5p-2024-4-12-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Cloud%20TPU%20v5p-2024-4-12-6.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP Cloud TPU v5p-2024-4-12-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20Cloud%20TPU%20v5p-2024-4-12-1.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Google Cloud TPU v5p</strong><br /> ●原廠：Google Cloud<br /> ●建議售價：us-east1區域每個TPU每小時4.2美元<br /> ●系統架構：TensorCore核心（4個矩陣乘法單元、1個向量單元、1個純量單元）、高頻寬記憶體<br /> ●晶片互連頻寬：4,800 Gbps<br /> ●高頻寬記憶體類型與容量：95 GB HBM2e<br /> ●高頻寬記憶體頻寬：2765 GB/s<br /> ●運算效能：INT8為918 TOPS，BF16為459 TFLOPS<br /> ●單座Pod配置：最大容納8,960個TPU，3D環形網狀互連拓樸架構</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/5/31 18:57作者李宗翰https://www.ithome.com.tw/review/163185
上市公司資安事件揭露範圍擴大，現在不論是否涉及核心、機密都要發布重訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上市公司資安重訊發布「重大性標準」有新變化，<a href="http://www.twse.com.tw/zh/about/news/news/content.html?ff8080818f85b3e3018fbec877cd00db">臺灣證券交易所（證交所）新修訂重大訊息問答集第26款的內容</a>，要求上市公司只要發現遭駭客攻擊或入侵，現在不論是否涉及核心資訊系統、機密文件，都屬於對公司造成重大損害或影響，需發布重大訊息對外揭露。</p> <p>由於證交所於<a href="https://www.ithome.com.tw/news/161745">今年1月，才開始明確規範資安事件的「重大性」標準</a>，針對過去兩年多來有些企業不清楚何謂「重大」的問題，以此提出說明，沒想到才相隔四個月，又有新的調整。</p> <p>關於這次新的規定，證交所是在5月28日宣布，他們表示日前已修訂重大訊息問答集第26款，呼籲上市公司在發生資安事件時，應依規定評估造成損害或影響的範圍，並切實依重訊處理程序發布重大訊息。至於櫃買中心是否也會跟著修訂，有待密切關注。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(網站主圖)5月28_上市公司資安事件重大訊息重大性標準擴大__.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E7%B6%B2%E7%AB%99%E4%B8%BB%E5%9C%96)5%E6%9C%8828_%E4%B8%8A%E5%B8%82%E5%85%AC%E5%8F%B8%E8%B3%87%E5%AE%89%E4%BA%8B%E4%BB%B6%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E9%87%8D%E5%A4%A7%E6%80%A7%E6%A8%99%E6%BA%96%E6%93%B4%E5%A4%A7__.jpg" style="width: 600px;" /></a></p> <p>而從5月24日上架的<a href="https://dsp.twse.com.tw/listedCompanyFileDownload/list">新版重大訊息問答集</a>來看，證交所已將第26款所列的核心、機密等字刪除。此舉，顯然是要將「重大性標準」放得更寬。</p> <p>換言之，現在上市一旦遭遇資安事件時，對於判斷是否需要發布重大訊息，不只需要依循第26款原有的前兩種條件（依據發布重大訊息遵循程序及判斷標準評估並要留存相關軌跡紀錄、媒體報導公司發生資通安全事件），現在第三種條件除了已經明確定義規範內容，更將其標準進一步的放寬。</p> <p>我們認為，放寬標準後，好處是讓企業在發生資安事件時，對於是否發布重訊能有更容易判斷的依據。從現在開始，不論企業是否清楚區別核心、機密，都要發布重大訊息。</p> <p>而從資訊公開角度來看，此舉將讓投資人更清楚知道企業遭遇的資安問題，但是，日後資安事件重大訊息的數量與頻率，也很有可能會有大幅增加的情況。</p> <p>至於放寬標準後，未來是否可能造成另外的困擾，對於企業而言，像是企業自身判斷屬於較輕的1級、2級資安事件，也需依重大訊息規定揭露為重大資安事件，因此後續情形有待觀察。對於主管機關而言，大小事件都揭露的好處是，可能讓一些蛛絲馬跡現形，但是否可能造成整體資安警報疲勞的問題，也還需要觀察。</p> <p>另外，對於這次重大性標準內容修訂的變化，我們也詢問證交所，試圖了解是否有一些上市公司受駭卻沒有對外公布的情形，使得他們有此改變，他們僅表示，這次修訂主要是資安事件與日俱增，希望讓規範變得更清楚。</p> <p>由於過去我們曾經看過不少例子，例如，在一些情資平臺上發現有勒索軟體組織宣稱國內上市公司成為其受害者，並宣稱竊取了多少資料，只是，這些公司並沒有回應我們的詢問，也沒有發布重大訊息，使我們無法了解是否真的有此一事，是否不屬於重大資安事件。如今，在這次修訂之下，無論資安事件大小都將公諸於外界。</p> </div></div></div>
2024/5/31 14:59作者羅正漢https://www.ithome.com.tw/news/163229
駭客透過惡意程式讓美國ISP業者的60萬臺路由器停擺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Lumen Technologies本周<a href="https://blog.lumen.com/the-pumpkin-eclipse/" target="_blank">揭露</a>一起發生在去年10月的資安事故，指出駭客故意鎖定某家美國ISP業者，自遠端摧毀了該ISP業者所屬之自治系統（Autonomous System Number，ASN）中多達60萬臺的路由器，占該ASN中路由器數量的49%，而且無法藉由韌體更新修補，而是必須更換裝置。<a href="https://www.bleepingcomputer.com/news/security/malware-botnet-bricked-600-000-routers-in-mysterious-2023-attack/" target="_blank">《Bleeping Computer》</a>則報導，從時間點及所發生的事故來看，Lumen未指名的那家ISP業者應是Windstream。</p> <p>Lumen去年10月於公開論壇與故障偵測機制上發現，有大量使用者投訴Windstream的路由器裝置突然亮紅燈且無法使用，而且在打電話給ISP客服之後，對方的回應是必須更換整個裝置。Lumen指出，大多數類似的問題只要更新路由器韌體或是回復出廠預設值即可解決，但此事顯然並非如此，促使其展開進一步的調查。</p> <p>遙測顯示，屬於該ISP業者的某個ASN上特定品牌的路由器數量在一周內大幅下滑，其中，ActionTec路由器減少了17.9萬臺，Sagemcom路由器減少了48萬臺，進一步分析之後發現了用來安裝Chalubo遠端存取木馬的多階段感染機制，因而相信這些已經無法運作的路由器感染了Chalubo。</p> <p>Chalubo是個針對SOHO閘道器與物聯網裝置的殭屍網路，內建DDoS攻擊能力，而且可於受駭裝置上執行任何的Lua腳本程式，Lumen懷疑駭客利用了Lua功能來摧毀上述路由器。</p> <p>有鑑於大多數針對物聯網裝置的殭屍病毒主要鎖定品牌或裝置類別，顯少針對特定業者或ASN展開攻擊，使得Lumen認為這是駭客故意展開的目標式攻擊行動，還直接破壞裝置，令其完全無法運作。</p> <p>上一次類似的破壞性攻擊行動源自於AcidRain惡意程式，它能自遠端刪除及覆寫裝置上的資料，並重新啟動裝置，以讓裝置完全停罷。<a href="https://www.ithome.com.tw/news/150255" target="_blank">此事發生在烏俄戰爭之際</a>，當時美國Viasat位於烏克蘭的衛星路由器KA-SAT遭到AcidRain破壞，並波及歐洲其它地區的路由器。</p> <p>Lumen並不認為此次的攻擊行動與國家級駭客有關，但還是建議使用者不應仰賴裝置上的預設密碼，也應定期更新裝置。</p> </div></div></div>
2024/5/31 15:22作者陳曉莉https://www.ithome.com.tw/news/163230
【資安日報】5月31日，歐洲刑警組織與十多個國家執法單位聯手，掃蕩數個用於散布惡意程式的殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼美國、新加坡、泰國、德國執法單位聯手，宣布拆毀專門綁架個人電腦的大型殭屍網路911 S5，有許多歐洲國家參與的另一個執法行動Operation Endgame，也傳出捷報，他們在本週成功破壞數個用於散布惡意程式的殭屍網路。</p> <p>值得一提的是，這波執法掃蕩的惡意程式類型，是駭客用來向受害電腦傳遞其他作案工具的惡意程式載入工具（Dropper），帶來的後續效應值得觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163220"><strong style="font-size: 22px;">殭屍網路CatDDoS鎖定逾80個已知漏洞，入侵多個廠牌網路設備、應用系統並將其用於DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Snip20240510_105.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Snip20240510_105.png" style="width: 300px; float: right;" /></a>中國資安業者奇安信針對殭屍網路CatDDoS的攻擊行動提出警告，這些駭客在最近3個月裡，利用超過80個已知漏洞，攻擊行動的高峰一天有超過300臺設備受害。</p> <p>這些已知漏洞影響的範圍很廣，涵蓋思科、D-Link、居易（DrayTek）、高格（Gocloud）、華為、Netgear、瑞昱（Realtek）、Seagate、SonicWall、騰達（Tenda）、Totolink、TP-Link、中興（ZTE）、兆勤（Zyxel）等廠商的網路設備，並且也影響許多應用系統及元件，例如：ActiveMQ、Cacti、FreePBX、GitLab、Hadoop、Jenkins、Metabase、Log4j、RocketMQ。</p> <p>值得留意的是，有些遭攻擊者利用的漏洞，他們暫時尚未找到相關的跡證，而無法進一步確認，但研究人員推測，當中有不少可能是零時差漏洞。</p> <p><a href="https://www.ithome.com.tw/news/163224"><strong style="font-size: 22px;">駭客假借提供盜版Office軟體散布木馬程式、挖礦軟體、代理伺服器工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/office-image-17.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/office-image-17.png" style="width: 300px; float: right;" /></a>駭客藉由盜版軟體來散布惡意程式的情況，不時有事故傳出，其中，聲稱提供破解微軟辦公室軟體Office的情況，算是相當常見。由於微軟才在4月下旬，針對下一代買斷版本的Office 2024發布預覽版，並規畫於今年底上市，因此，可能有駭客想搭上這波風潮來散布各式惡意軟體。</p> <p>資安業者AhnLab揭露假借提供破解版Office安裝工具的惡意軟體，駭客藉由檔案共享服務、Torrnet種子來散布，該惡意程式號稱可讓使用者自行選擇要安裝的Office版本（2013至2024版）、自行挑選需要安裝的元件，並能指定程式的介面語言。然而研究人員指出，一旦使用者依照指示執行這個惡意安裝程式，電腦就會在背景執行PowerShell命令，安裝其他惡意軟體。</p> <p>這些惡意軟體包括：木馬程式Orcus RAT、挖礦軟體XMRig、將受害電腦變成非法代理伺服器的3Proxy、惡意程式下載工具PureCrypter，以及能竄改防毒軟體組態或是進行停用的程式AntiAV。</p> <p><a href="https://www.ithome.com.tw/news/163230"><strong style="font-size: 22px;">駭客透過惡意程式讓美國ISP業者的60萬臺路由器停擺</strong></a></p> <p>資安業者Lumen揭露發生在去年10月的資安事故，駭客故意鎖定某家美國ISP業者，自遠端摧毀了該ISP業者所屬之自治系統（Autonomous System Number，ASN）中多達60萬臺的路由器，占該ASN中路由器數量的49%。值得留意的是，這些受害路由器無法藉由韌體更新修補，只能更換裝置。</p> <p>研究人員得知此事的緣由，在於他們去年10月透過公開論壇與故障設備偵測機制發現，有大量使用者投訴Windstream的路由器裝置突然亮紅燈且無法使用，而且在打電話給ISP客服之後，對方的回應是必須更換整個裝置。</p> <p>根據遙測資料顯示，屬於該ISP業者的某個ASN上特定品牌的路由器數量在一周內大幅下滑，其中，ActionTec路由器減少17.9萬臺，Sagemcom路由器減少48萬臺，他們研判這些路由器感染木馬程式Chalubo而遭到破壞。</p> <p><a href="https://www.ithome.com.tw/news/163204"><strong style="font-size: 22px;">Google搜尋引擎內部工程文件驚傳外洩</strong></a></p> <p>近期網路上流傳一份Google內部描述搜尋引擎運作細節的API文件，在一段時間的沉默後，Google終於發出聲明，警告外界不要根據缺乏脈絡與不完整的資訊，對搜尋做出不準確的假設，並強調他們已經分享了大量搜尋運作的方式，同時也致力於保護搜尋結果不被操縱。</p> <p>之所以該文件引起搜尋引擎最佳化（SEO）專家的注意與興趣，是因為其中描述的細節，與Google過去公開聲明的資訊矛盾，例如：不使用網域權重、不使用點擊評分，以及沒有使用沙箱等。</p> <p>這批外流的API文件超過2,500頁，涵蓋2,596個模組14,014項屬性的細節。由於該文件洩漏了2024年3月Google搜尋內容儲存的現行架構，以及相關程式碼提交歷史，證明這份資料相當新。</p> <p><a href="https://www.ithome.com.tw/news/163206"><strong style="font-size: 22px;">保險經紀人公司台名發布資安重訊，坦承遭供應鏈攻擊，客戶個資恐外洩</strong></a></p> <p>30日上午我們報導臺灣電腦硬體製造商「Cooler Master」傳出50萬會員個資外洩的消息，到了下午我們又再注意到，國內的保險經紀人公司「台名」公布遭遇供應鏈攻擊及資料被竊取的資安事件，並坦承有個資外洩情事，提醒客戶提高警覺。雖然這兩起事件並未有關聯，但一日兩則這樣的消息，已引起國人廣泛注目。</p> <p>針對這起資安事故，台名表示找到攻擊來源、成功阻斷攻擊行動，並永久停用該項服務元件，後續將通報主管機關。究竟是何項服務元件引發供應鏈攻擊，台名並未說明。</p> <p>值得留意的是，這次事件牽扯到供應鏈攻擊，是否還有更多企業也會因此遇害，也是大家關心的焦點，目前尚未有更多消息。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bbc.co.uk/mypension/news/240528"><strong style="font-size: 20px;">英國媒體BBC傳出資料外洩，歷任員工個資恐外流</strong></a></p> <p>◆<a href="https://blog.cloudflare.com/disrupting-flyingyeti-campaign-targeting-ukraine"><strong style="font-size: 20px;">俄羅斯駭客FlyingYeti利用WinRAR漏洞對烏克蘭發動網釣攻擊</strong></a></p> <p>◆<a href="https://www.fastly.com/blog/active-exploitation-unauthenticated-stored-xss-vulnerabilities-wordpress/"><strong style="font-size: 20px;">3款WordPress外掛程式漏洞遭到利用，攻擊者藉此注入後門及惡意指令碼</strong></a></p> <p>◆<a href="https://www.threatfabric.com/blogs/lightspy-implant-for-macos"><strong style="font-size: 20px;">間諜軟體LightSpy擴張攻擊範圍，從行動裝置延伸至macOS電腦</strong></a></p> <p>◆<a href="https://dailydarkweb.net/new-atm-malware-threatens-european-banking-security/"><strong style="font-size: 20px;">駭客兜售ATM惡意軟體，號稱能對全球約六成的提款機下手</strong></a></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163217"><strong style="font-size: 22px;">歐美各國執法單位聯手合作進行執法行動Operation Endgame，摧毀數個專門散布特定惡意程式的殭屍網路</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Endgame0530.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Endgame0530.png" style="width: 300px; float: right;" /></a>歐洲刑警組織Europol，以及美國、英國等十幾個國家的執法單位，在本周同步執行終局行動（Operation Endgame），破壞用來散布惡意程式的殭屍網路，於5月27日至29日關閉超過100臺伺服器，扣押逾2千個網域名稱，逮捕4名嫌犯，並針對其他8名嫌犯展開通緝。</p> <p>歐洲司法組織Eurojust表示，本次執法行動針對IcedID、Pikabot、Smokeloader、Bumblebee、TrickBot等惡意程式而來，攻擊者主要滲透受害電腦並植入惡意程式的途徑，是透過電子郵件。而這次的執法行動，是2021年摧毀Emotet的後續。</p> <p>歐洲刑警組織表示，這是史上針對殭屍網路之最大規模的執法行動，打擊了惡意程式載入工具（Dropper）生態體系。不過，這是終局行動的第一波執行成果，接下來各國執法單位將會持續掃蕩這類網路犯罪。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163201"><strong>【5月30日】鎖定Check Point VPN的攻擊行動出現新的發展，兩家資安業者透露對方利用零時差漏洞挖掘AD帳密資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163184"><strong>【5月29日】精品拍賣業者佳士得遭到勒索軟體駭客組織RansomHub攻擊，50萬筆客戶個資可能外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163150"><strong>【5月28日】Check Point針對啟用VPN服務防火牆的用戶提出警告，有人企圖透過電腦本機舊帳號入侵</strong></a></p> </div></div></div>
2024/5/31 15:30作者周峻佑https://www.ithome.com.tw/news/163231
駭客假借提供盜版Office軟體散布木馬程式、挖礦軟體、代理伺服器工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客藉由盜版軟體來散布惡意程式的情況，不時有事故傳出，其中，聲稱提供破解微軟辦公室軟體Office的情況，算是相當常見。由於微軟才在4月下旬，針對下一代買斷版本的Office 2024發布預覽版，並規畫於今年底上市，因此，可能有駭客想搭上這波風潮來散布各式惡意軟體。</p> <p>資安業者AhnLab揭露假借<a href="https://asec.ahnlab.com/en/66017/">提供破解版Office安裝工具的惡意軟體</a>，駭客藉由檔案共享服務、Torrnet種子來散布，該惡意程式號稱可讓使用者自行選擇要安裝的Office版本（2013至2024版）、自行挑選需要安裝的元件，並能指定程式的介面語言。然而研究人員指出，一旦使用者依照指示執行這個惡意安裝程式，電腦就會在背景執行PowerShell命令，安裝其他惡意軟體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/office-image-11.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/office-image-11.png" style="width: 580px;" /></a></p> <p>在背景當中，此Office安裝程式會啟動經過混淆處理的.NET惡意軟體，藉由存取即時通訊軟體Telegram的頻道，或社群網站Mastodon的網址，從而取得下載檔案的URL，而這些網址位於Google Drive或是GitHub，因此一般的防毒軟體都會放行。</p> <p>若是透過惡意軟體從上述URL下載與還原經Base64編碼處理的有效酬載，並且執行，就會觸發PowerShell命令，並將一系列的惡意軟體植入受害電腦。</p> <p>這些惡意軟體包括：木馬程式Orcus RAT、挖礦軟體XMRig、將受害電腦變成非法代理伺服器的3Proxy、惡意程式下載工具PureCrypter，以及能竄改防毒軟體組態或是進行停用的程式AntiAV。</p> <p><a href="https://s4.itho.me/sites/default/files/images/office-image-17.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/office-image-17.png" style="width: 580px;" /></a></p> <p>值得留意的是，就算使用者察覺惡意程式並手動刪除，只要電腦重新開機，駭客部署的「更新程式」就會重新載入前述的惡意軟體。</p> </div></div></div>
2024/5/31 14:51作者周峻佑https://www.ithome.com.tw/news/163224
殭屍網路CatDDoS鎖定逾80個已知漏洞，入侵多個廠牌網路設備、應用系統並將其用於DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國資安業者奇安信針對殭屍網路CatDDoS的攻擊行動提出警告，<a href="https://blog.xlab.qianxin.com/catddos-derivative-en/">這些駭客在最近3個月裡</a>，利用超過80個已知漏洞，攻擊行動的高峰一天有超過300臺設備受害。</p> <p>這些已知漏洞影響的範圍很廣，涵蓋思科、D-Link、居易（DrayTek）、高格（Gocloud）、華為、Netgear、瑞昱（Realtek）、Seagate、SonicWall、騰達（Tenda）、Totolink、TP-Link、中興（ZTE）、兆勤（Zyxel）等廠商的網路設備，並且也影響許多應用系統及元件，例如：ActiveMQ、Cacti、FreePBX、GitLab、Hadoop、Jenkins、Metabase、Log4j、RocketMQ。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Snip20240510_105.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Snip20240510_105.png" style="width: 580px;" /></a></p> <p>值得留意的是，有些遭攻擊者利用的漏洞，他們暫時尚未找到相關的跡證，而無法進一步確認，但研究人員推測，當中有不少可能是零時差漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Snip20240515_120.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Snip20240515_120.png" style="width: 580px;" /></a></p> <p>而對於駭客的攻擊範圍，研究人員指出主要在美國、法國、德國、巴西、中國，但全球各地都有受害的情況，而這些受害組織的領域，包含了雲端服務業者、教育、研究機構、資訊傳輸、公共管理、建築業等。</p> <p>CatDDoS是Mirai衍生而來的變種，最早在去年8月出現，根據他們的比對，研判CatDDoS曾在12月暫停營運，且疑似透過Telegram群組兜售原始碼，後來出現由不同駭客團隊經營的變種，例如：RebirthLTD、Komaru、Cecilio Network。</p> <p>值得留意的是，這些變種的程式碼、連線機制、解密方法幾乎相同，研究人員指出，他們確認至少有3款變種採用與CatDDoS相同的chacha20演算法，甚至連金鑰與與隨機數（Nonce）也都一致。</p> </div></div></div>
2024/5/31 12:22作者周峻佑https://www.ithome.com.tw/news/163220
OpenAI推出教育版ChatGPT Edu
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI周四（5/30）發表了<a href="https://openai.com/index/introducing-chatgpt-edu/" target="_blank">ChatGPT Edu</a>，以將ChatGPT推廣到全球校園中。</p> <p>ChatGPT Edu採用最新的<a href="https://www.ithome.com.tw/news/162852" target="_blank">GPT-4o多模態模型</a>，專為大學打造，可支援跨文字與視覺的推論，也可使用諸如資料分析等高階功能，此一版本具備企業等級的安全與控制能力，OpenAI也強調將以教育機構負擔得起的價格來供應。</p> <p>ChatGPT Edu的功能涵蓋可使用GPT-4o來協助文本釋譯、撰寫程式碼，以及解決數學問題；也提供資料分析、網頁瀏覽及文件摘要等高階功能；還能建置客製化的ChatGPT版本並於校內分享；提供比免費版還多的訊息額度；支援逾50種語言並改善語言的品質與速度；擁有強大的安全性、資料隱私與管理控制；亦強調不會以用戶的資料及對話來訓練模型。</p> <p>OpenAI表示，之所以建立ChatGPT Edu是因為看到許多大學在ChatGPT Enterprise上的應用，例如哥倫比亞大學企圖利用AI來減少社區中藥物過量致死的情況，開發了一個GPT系統來分析及整合大量的資料集，以制定及調整干預策略，在AI的協助下，過去需要幾周才能完成的研究成果在幾秒內就產出了，加速了分析與決策過程。</p> <p>亞利桑那州立大學的助理教授則替學生建置了客製化的Language Buddies GPT，以讓不同德文程度的學生可與之對話，並獲得量身打造的回應，除了可協助學生培養溝通技術之外，也能節省老師的評估時間。</p> <p>目前的ChatGPT<a href="https://openai.com/chatgpt/pricing/" target="_blank">有4種版本</a>，分別是免費版、每月20美元的ChatGPT Plus版、每月30美元的Team版，以及Enterprise版，不管是Enterprise版或Edu版都是依使用人數訂價，並未有固定價格。</p> </div></div></div>
2024/5/31 12:52作者陳曉莉https://www.ithome.com.tw/news/163223
Fintech周報第242期：金管會提出金融機構顧客戶資料分級作法，金融業用顧客資料訓練AI更有規範可循；摩根大通揭露…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">5/14~5/30金融科技精選新聞</span></span></h3> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料共享</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 客戶資料分級 </span></strong></span></p> <h3>金管會發布「金融機構資料共享之資料治理諮詢文件」，提出客戶資料分級作法</h3> <p>為了協助金融機構在符合法規的前提下，更順利使用客戶資料進行AI訓練和建模，金管會發布「金融機構資料共享之資料治理諮詢文件」，以資料的可識別程度，將客戶資料分為4級，並提出金融機構進行資料共享時，應遵循的治理方式。金管會綜合規劃處處長胡則華在例行記者會上表示，金融機構若要使用客戶資料，皆須經過客戶逐項同意，即便是較不易遭還原而識別的客戶資料，仍要比照辦理。再者，部分年長客戶並不習慣使用數位化工具，金融機構需要花費非常高的成本，才能取得這些客戶的同意。金融機構運用資料的繁瑣流程，成為金融機構發展AI的阻礙。</p> <p>第1級和第2級皆需要採高度保護，包含遵循個資法規，並取得客戶同意等。第3級是較不易遭還原而識別客戶的資料，可以採取較簡易的方式取得客戶同意，資料共享對象也包含非金融機構。第4級則不屬於個別客戶資料，不需要適用個資法規。胡則華指出，相較1、2、4級的定義，第3級的定義較需要外界提供意見，包括定義範圍，和研議具體的客戶同意方式。因此，金管會也希望藉由這份諮詢文件徵求外界意見，不僅針對金融業者，也包含個資委員會、相關部會、專家學者及一般民眾。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根大通</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></h3> <h3>摩根大通揭露內部三項AI應用，今年更要求新進員工人人都要懂提示工程</h3> <p>近日，摩根大通在投資者會議中揭露，他們在資產與財福管理部門中使用了三項AI應用。第一項，是協助員工減少查找資料的時間。例如，當客戶在通話過程中，詢問理專某種基金產品的情況，系統可以即時調出產品資訊，也能因應客戶的情況，進一步提供產品比較表，同步以電子郵件形式傳送給客戶。</p> <p>第二項應用，是一個能提供市場投資建議的顧問工具。這項應用的特點是，摩根大通將內部市場投資策略長Michael Cembalest二十年來的市場投資經驗化為知識庫。當理專向顧問工具詢問投資建議時，等同運用了Michael Cembalest長年的投資見解。目前，這項工具是用來協助理專提供客戶更好的投資建議。</p> <p>第三項應用，是一個名為ChatCFO的大型語言模型，可支援財務團隊的工作。例如，財務團隊的員工可以詢問ChatCFO如何應對接下來的投資者日。</p> <p>此外，摩根大通也表示，今年開始，每個進入摩根大通的員工都要接受提示工程的培訓，幫助他們在AI時代做好準備。</p> <p>摩根大通營運長Daniel Pinto表示，他們正在進行IT技術現代化工程，包括將部分應用程式遷至雲端，或是為開發人員建立工具。透過優化自家的基礎設施，Pinto表示他們已經降低了運算和儲存的設備成本。</p> <p>「但是，AI，尤其是大型語言模型，將帶來革命性的變化。」Pinto提到，為了應對生成式AI帶來的挑戰，幾個月前，他們特地聘請新的數據分析長，負責將內部的大量數據轉換為可分析的形式，並在業務中建立必要的平臺，真正運用這些數據，助力集團AI發展。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> PayPal</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 廣告聯播網 </span></strong></span></h3> <h3>PayPal也開始建置廣告聯播網服務，計畫運用客戶資料廣告平台</h3> <p>既摩根大通推出廣告聯播網服務，第三方支付業者PayPal近日也宣布要建置一個廣告平臺，利用近5,000億美元的交易數據協助商家精準投放行銷廣告。此服務的廣告形式是現金回饋，當顧客在PayPal的App上查看優惠資訊時，平臺會根據顧客歷史交易來呈現現金回饋等資訊。PayPal表示，無論商家的業務規模多大，收費的根據是廣告效益，而不是投放次數或點擊次數。</p> <p>為了打造這個廣告平臺，PayPal特別找來Uber前廣告部門總經理操刀，顯示其對廣告業務的野心。目前，這項服務僅開放美國地區的商家申請試用。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 零信任架構 </span></strong></span></h3> <h3>金管會提供金融上手零信任架構的三步驟</h3> <p>近日，金管會資訊服務處處長林裕泰出席臺灣資安大會金融安全論壇，針對金融機構如何實際導入零信任架構，林裕泰提供三項步驟。首先，是將資源用在刀口上，選定優先的保護標的，例如，高權限使用者帳號、重要系統的外部使用者、委外廠商的遠端維運管理等高風險場域。</p> <p>接下來，林裕泰建議業者應盤點資源存取途徑，查看從身份、設備、網路、應用程式到資料中的脆弱點，以零信任思維逐步提升安全性。例如，在身分、設備和網路設立多一層防護機制，並且進行適當的分割，縮小攻擊表面。</p> <p>最後，是要能整合並分析事件日誌，再結合威脅情資，形成信任推斷機制。後續進一步發展自動協作機制，以動態監控支援信任推斷。林裕泰表示，未來，金管會將會根據這三項步驟，提供金融機構導入零信任架構的參考指引，待業界發展出實務案例後，再逐步發展成資安相關規範。（<a href="https://www.ithome.com.tw/news/162972">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 理賠 </span></strong></span></h3> <h3>三井住友保險使用GenAI摘要事故紀錄，加速產險理賠流程</h3> <p>三井住友保險近日表示，內部正在使用一套系統，運用語音辨識技術和GenAI服務，加速產險服務的理賠流程。他們解釋，過往產險服務的理賠流程中，保險業務需要和客戶通話了解事故情形，並將通話內容紀錄在專用系統。目前，他們的做法是額外開發一套系統，透過語音辨識技術，自動將保險業務員和客戶的通話內容轉為文字，並利用GenAI服務進行摘要，加速紀錄事故情形和摘要的工作。</p> <p>三井住友保險提到，這套系統目前已開放給部分分公司使用，預計今年會擴大應用至全日本分公司。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></h3> <h3>美國那斯達克股票交易所運用GenAI快速蒐集、分析股市資訊，提升內線交易、市場操縱監控效率</h3> <p>美國那斯達克股票交易所（Nasdaq）近期宣布，將推出一款運用GenAI的解決方案。他們將GenAI應用在監控股市可疑活動，簡化涉及內線交易和市場操縱行為的調查流程，協助金融監管機構和一般企業客戶更有效提升股市監控效率。</p> <p>Nasdaq表示，過往監控分析師收到股市的可疑活動警報時，必須進行初步審查，評估是否需要進一步調查該活動。在初步審查過程中，分析師需要手動整理大量數據，包括相關的交易活動，和公司檔案等外部資料，才能決定是否進一步調查。</p> <p>Nasdaq提到，透過GenAI，可以更快蒐集、分析和解釋大量數據，提升分析師初步評估的效率。例如，可以生成企業調查文件、摘要企業本身和同業新聞、進行新聞輿情分析等。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料外洩</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管 </span></strong></span></h3> <h3>SEC加強顧客個資保護的監管力道，要求金融機構發生資料外洩事件後，須在30天內通知客戶</h3> <p>美國證券交易委員會（SEC）近日通過S-P規則修正案，針對證券經紀商和自營商、投資公司、理財顧問公司和過戶代理商等金融機構，加強其個資保護措施。</p> <p>例如，修正案要求這些金融機構發現客戶資料外洩事件後，需在30天內通知受害客戶，並通知客戶已洩漏的資料，告知客戶可以採取的保護措施。此外，在部份情況下，若金融機構發現客戶的敏感資訊「可能」已經外洩，也需要提醒客戶。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Pay</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 線上快速結帳 </span></strong></span></h3> <h3>Google Pay新增3項功能，在用戶結帳時顯示特定信用卡的優惠資訊</h3> <p>Google Pay宣布推出3項新功能，第一項，是當用戶在Chrome頁面上結帳時，卡號輸入格中會顯示特定信用卡的優惠內容，包括精選通路的點數回饋，和現金回饋優惠等資訊，讓用戶更容易做出決定。目前，這項功能只會顯示已註冊在Google Pay的美國運通卡和第一資本銀行信用卡，Google Pay表示，他們計畫未來支援更多銀行的信用卡。</p> <p>第二項功能，是將先買後復的範圍擴展到美國更多的商家網站和安卓應用程式。最後一項功能，是開放用戶在線上結帳時，能使用指紋、臉部辨識或輸入PIN碼的方式，輸入包括安全碼的信用卡資訊，等同讓用戶能一鍵輸入信用卡所有資訊。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VR</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 員工培訓 </span></strong></span></h3> <h3>美國銀行在全美分行運用VR眼鏡進行員工培訓</h3> <p>美國銀行宣布，他們已經開始在全美近4,300間分行運用VR眼鏡進行員工培訓，提供約5萬名員工練習各項工作，包括以虛擬實境模擬和顧客互動，以及日常工作等。</p> <p>美國銀行計畫在明年年底前推出20種學習模組，包括訓練員工應對困難對話、以同理心的方式回應客戶，協助員工深化和客戶的關係。</p> <p>其他重要Fintech新聞：</p> <ul> <li>萬事達卡開始利用GenAI檢測信用卡被盜風險</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年5月</p> <p></p> </div></div></div>
2024/5/31 10:53作者李昀璇https://www.ithome.com.tw/news/163216
臺灣資安大會特別報導(上) 資安十年的下一步
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1184-feng_mian_gu_shi_p1-open-960x420_kao_bei_0.jpg?itok=kYl6k5ZQ" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安大會進入第十年，也見證了十年來資安典範的移轉。當前雲端時代的新考驗是身分安全，了解自己的弱點，比掌握敵人的手段更重要。從臺灣到全球資安風險態勢的發展，下一個十年的資安課題逐漸浮現。</p> </div></div></div>
2024/5/31 11:32未署名https://www.ithome.com.tw/article/163218
Anthropic新功能讓Claude助理可使用外部工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創公司Anthropic昨（30）日<a href="https://www.anthropic.com/news/tool-use-ga" target="_blank">公布聊天機器人Claude新工具</a>，可讓Claude除了搜尋或回答問題之外，還能整合API或外部資料源執行更多工作事項。目前已正式上線開放企業開發人員使用。</p> <p>最新工具名為Tool Use，技術名稱則為功能呼叫（function calling）。<a href="http://docs.anthropic.com/en/docs/tool-use" target="_blank">Anthropic</a><a href="https://docs.anthropic.com/en/docs/tool-use" target="_blank">說明</a>，利用Tool use，Claude將可和外部用戶端工具、API和功能互動，可代用戶執行多種任務，像是搜尋最新網頁資料、從文件中擷取資料輸入報表，或執行客戶服務。</p> <p>目前Tool use已整合在Claude 3模型家族，供開發人員透過Anthropic Messages API、Amazon Bedrock、和Google Vertex AI存取使用。相關資源也<a href="https://github.com/anthropics/anthropic-tools" target="_blank">在GitHub公開</a>。</p> <p>開發人員可以自然語言定義Claude連結的一組工具，日後用戶下達指令時，它會自行選擇必要工具動作。Claude可執行的行為包括從非結構化文字中擷取結構化資料，像是從收據中擷取人名、日期和金額數字，減少手動輸入作業；將自然語言呼叫轉化成結構化API呼叫，像是要求簡單的自助行為（如取消訂閱）；搜尋資料庫或使用Web API，如為客戶搜尋即時、精確的答案；透過軟體API自動化作業，像是自動化輸入和檔案管理；以及協同多個Claude助理完成細部作業，例如自動根據與會者有空的空檔找出最佳會議時間。</p> <p>目前已有瀏覽器自動化平臺Intuned、金融業及法務業LLM平臺Hebbia和AI原生學習平臺StudyFetch等公司，利用這項新功能開發Claude的加值功能。</p> <p>OpenAI的<a href="https://www.ithome.com.tw/news/156095" target="_blank">ChatGPT</a>、<a href="https://www.ithome.com.tw/news/157018" target="_blank">微軟Copilot</a>也都在去年推出類似擴充功能，可以外掛、API整合外部工具或服務，提供AI代理訂餐、訂票、網購、搜尋景點等即時資訊或更自動化的服務。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/b77htH1eX-s?si=sDPbe3FB1HmNkOOJ" title="YouTube video player" width="560px"></iframe></div> </div></div></div>
2024/5/31 12:02作者林妍溱https://www.ithome.com.tw/news/163219
Intel、AMD、Broadcom等巨頭合推AI網路互連開放標準，獨缺Nvidia
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）、超微（AMD）、博通（Broadcom）連同其他IT巨擘昨（30）日宣布<a href="https://pressreleasehub.pa.media/article/amd-broadcom-cisco-google-hewlett-packard-enterprise-intel-meta-and-microsoft-form-ultra-accelerator-link-ualink-promoter-group-to-drive-data-center-ai-connectivity-19629.html" target="_blank">合作發展網路加速器互連（Interconnect）標準Ultra Accelerator Link（UALink）</a>，為系統OEM業者、IT專業人員、系統整合商提供更容易整合、彈性擴充性的方法來打造AI基礎架構。</p> <p>參與成員除了英特爾、超微、博通外，還包括微軟、Google、Meta、思科及HP。這個最新產業標準旨在提供高速、低延遲網路互連，以便串聯各品牌機器，實現資料中心內AI與HPC系統擴充目的。</p> <p>這些成員大部份和去年7月成立的類似標準促進組織<a href="https://ultraethernet.org/" target="_blank">Ultra Ethernet Consortium</a>大致重疊，後者希望能設計新的乙太網路通訊堆疊架構，以建立高效能資料中心系統。</p> <p>值得注意的是，這個網路互連產業組織並未包含AI及GPU大廠Nvidia。<a href="https://www.tomshardware.com/tech-industry/artificial-intelligence/amd-broadcom-intel-google-microsoft-and-others-team-up-for-ultra-accelerator-link-an-open-standard-interconnect-for-ai-accelerators" target="_blank">媒體分析</a>占有80%晶片市占的Nvidia已有自己的NVLink標準，對加入制訂產業新標準自然興趣缺缺。此外，博通的競爭者Marvell也缺席這個組織。</p> <p>UALink促進小組（UALink Promoter Group）指出，隨著AI運算需求大增，企業需要能建立低延遲、高效率的向上擴充（scale-up）網路，以便為單一執行個體加入運算資源。UALink和產業規格目的即在為AI和機器學習、HPC和雲端應用的建立和實作，建立標準介面。這個小組將發展規格，定義AI運算pod的加速器（accelerator）、交換器（switch）之間擴充資料傳輸用的高速互連規格，用以支援龐大的AI應用負載。</p> <p>UALink 1.0規格預計將支援在一個AI運算pod中連結最多1,024個加速器，允許加速器（如GPU）附加記憶體之間直接載入和儲存。促進小組已成立UALink聯盟，預計2024年第三季二者合併，並在同時公布1.0版規格，公開給加入UALink聯盟的會員。</p> </div></div></div>
2024/5/31 10:39作者林妍溱https://www.ithome.com.tw/news/163215
全球展開終局行動，聯手摧毀用來散布惡意程式的多個殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲刑警組織Europol，以及美國、英國等十幾個國家在本周同步執行了終局行動（Operation Endgame），破壞用來散布惡意程式的多個殭屍網路，於5月27日至29日間關閉超過100臺伺服器，扣押逾2,000個網域名稱，逮捕了4名嫌犯，並針對其它8名嫌犯展開通緝。</p> <p>根據<a href="https://www.eurojust.europa.eu/news/major-operation-take-down-dangerous-malware-systems" target="_blank">歐洲司法組織Eurojust</a>的說明，此次的行動其實是針對IcedID、Pikabot、Smokeloader、Bumblebee與Trickbot等殭屍網路與惡意程式載入器，經由逮捕嫌犯、凍結非法收益，以及摧毀其基礎設施來破壞駭客的犯罪服務。</p> <p>其中，Trickbot或TrickLoader是網路上最長壽的殭屍網路/惡意程式之一，它原本是個金融木馬程式，但其模組化架構使其成為其它惡意程式的交付平臺；IcedID最初亦為金融木馬，之後亦演變成惡意程式遞送平臺，並替勒索軟體集團提供初期存取服務；而Pikabot、Smokeloader與Bumblebee也都是惡意程式載入器。</p> <p>此一行動是利用「天坑」（Sinkhole）誘捕手法或其它工具來存取惡意程式背後的操作系統，這些系統通常經由惡意的電子郵件附件來感染受害裝置，受害的對象包括各國政府組織與企業。</p> <p>參與Operation Endgame首波行動的國家，包括美國、英國、德國、荷蘭、奧地利、丹麥、法國、烏克蘭等，並得到亞美尼亞、保加利亞、立陶宛、葡萄牙、羅馬尼亞及瑞士等國的支援。</p> <p><a href="https://www.europol.europa.eu/media-press/newsroom/news/largest-ever-operation-against-botnets-hits-dropper-malware-ecosystem?ref=operation-endgame.com" target="_blank">歐洲刑警組織表示</a>，這應是史上針對殭屍網路之最大規模的移除行動，打擊了Dropper惡意程式生態體系，然而，這只是終局行動的第一季，國際執法部門已與其它合作夥伴聯手，持續調查相關的犯罪行為，不會就此止步。</p> </div></div></div>
2024/5/31 11:18作者陳曉莉https://www.ithome.com.tw/news/163217
Google內部文件外洩，搜尋引擎運作細節引猜疑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期網路上流傳一份Google內部描述搜尋引擎運作細節的API文件，在一段時間的沉默後，Google終於發出聲明，警告外界不要根據缺乏脈絡與不完整的資訊，對搜尋做出不準確的假設，並強調他們已經分享了大量搜尋運作的方式，同時也致力於保護搜尋結果不被操縱。</p> <p>之所以該文件引起搜尋引擎最佳化（SEO）專家的注意與興趣，是因為其中描述的細節與Google過去公開聲明的資訊相矛盾，包括不使用網域權重、不使用點擊評份以及沒有使用沙箱等。</p> <p><a href="http://sparktoro.com/blog/an-anonymous-source-shared-thousands-of-leaked-google-search-api-documents-with-me-everyone-in-seo-should-see-them/" target="_blank">Sparktoro共同創辦人Rand Fishkin在5月初的時候收到了一份匿名寄送的信件</a>，內容是一份Google搜尋部門內部的API文件，而這份文件經過前Google員工、<a href="https://ipullrank.com/google-algo-leak">iPullRank執行長同時也是SEO專家的Mike King檢視</a>，初步認定可信度極高，再加上Google最新的聲明，更間接證實了該份文件確實來自Google。</p> <p>Google遭洩漏的API文件超過2,500頁，涵蓋2,596個模組14,014項屬性，Mike King指出，這份文件的內容與不少Google過去所公開的搜尋規則相矛盾，他認為，Google的發言人從系統運作方面誤導SEO工程師，以及潛在的垃圾郵件發送者，使得外界無法得知影響尋引擎的方法。</p> <p>Mike King提及數項文件與Google公開宣稱不符的資訊，包括Google曾經多次說過，Google搜尋不使用網域權重，但是文件中載明有一個稱為siteAuthority的指標，用於評估網站權重，siteAuthority指標存在於Google的Compressed Quality Signals中，並在Q*排名系統中使用，而這項資料與Google官方聲明相矛盾。</p> <p>Google官方過去也否認使用點擊資料進行排名，但是Google搜尋中的NavBoost系統顯示，Google確實使用不良點擊、良好點擊和最後的長點擊（Long Click）行為作為排名演算法的一部分指標。不只如此，官方多次否定的沙箱機制，在文件中的PerDocData模組，顯示出確實存在一個hostAge屬性，Mike King指出，Google在某些情況下會根據網站年齡和缺乏信任的訊號，來對網站進行隔離處理。</p> <p>另外，Google也多次對外宣稱不使用Chrome資料作為搜尋的一部分，但是Mike King根據洩露的文件表示，Google確實使用了Chrome資料，來自Chrome存取的資料被用於即時增強訊號的一部分，用於提升搜尋結果的品質和相關性。</p> <p>不過值得注意的是，Mike King指出，雖然有許多Google搜尋用到的特徵被揭露出來，但是從文件中，目前還無法看出各特徵在下游的評分函式權重，因此也不確定這些特徵具體使用方式。不過，由於該文件洩漏了2024年3月Google搜尋內容儲存的現行架構，以及相關程式碼提交歷史，證明這份資料是新資訊。</p> </div></div></div>
2024/5/31 08:28作者李建興https://www.ithome.com.tw/news/163204
靠IT力推動10年三階段轉型，順德要打造數位中臺實現智慧工廠
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺灣彰化有家成立超過一甲子的五金文具大廠，你可能沒聽過，但在日常生活中一定用過它生產的產品。這家公司以自有品牌「SDI手牌」釘書機打響名號，其生產的文具商品，不只有釘書機，還涵蓋書寫、修正、裝訂、切割、剪裁、削筆與五金等七大文具用品。除了自有品牌，也是國際文具品牌愛用的代工廠。</p> <p>順德工業可不只生產五金文具，更是一家半導體材料製造商，專門生產半導體封裝業中重要的材料，也就是用來連接晶片與印刷電路板之間媒介的「電子導線架」，出貨給各種電子產品製造商，甚至還打入汽車供應鏈。不僅如此，由順德工業所生產的功率導線架，這幾年更搶下全球市占第一，堪稱臺灣的隱形冠軍。</p> <p><span style="font-size:28px;"><strong>十年三階段IT轉型之路</strong></span></p> <p>從製作削鉛筆小刀到開發各種文具用品，甚至跨足半導體產業生產各種工業精密產品，這些年來，順德工業之所以能夠持續保有高度競爭力，不僅靠著精進生產技術，還得提升產能規模，以應對年年增長的訂單需求。</p> <p>為了更即時掌握生產資訊並提升製造產能，這家老牌文具製造商自2015年啟動內部IT轉型，展開為期十年的三階段IT轉型之路，今年還要打造一套數位中臺，以此實現跨系統的串聯，發展各種智慧化應用。</p> <p>順德工業資訊處副處長葉建志表示，順德工業很早就開始結合數位與資訊科技應用。早在2000年，這家公司開始導入ERP系統，以系統化方式來管理營運數據，以提高管理效率，隨後還陸續導入多套系統，包括CRM、PLM，以及Notes郵件系統等。</p> <p>2015年，順德全面展開數位化推動計畫，將原本的人工紙本作業改為電子化作業。除了將ERP、PLM等系統中尚未無紙化的部分改用系統化管理，在2020年導入MES系統，以系統串接並蒐集現場機臺參數，將數位化進一步推向製造端現場。發展至今，順德已有8到9成的作業流程改用系統化方式處理。</p> <p>直到2018年，順德進入數位優化階段，針對現有系統進行優化和改進，持續優化和改善現有數位作業流程。</p> <p>例如，重新優化PLM系統，採用新的UI/UX介面，減少使用者輸入資料的密度，並整合更多資訊。PLM也是順德工業是三大核心系統之一。此外，在2023年，順德完成了ERP升級並在隔年計畫新增行動簽核功能，進一步提升系統的效能和便利性。</p> <p>今年已經成立71年的順德工業，歷經數位化、數位優化階段後，在2023年更進一步展開了數位轉型推動計畫，如何透過IT加速內部轉型，實現智慧工廠，成為了葉建志上任後的首要任務。</p> <p>2018年剛加入順德時，葉建志起初先在研發單位負責PLM的研發，4年後轉調至資訊單位，負責PLM功能開發和系統整合的工作。隨著原資訊處主管屆齡退休，公司高層決定從內部提拔適合的人才，葉建志憑藉其過去的顧問和PLM經驗，在2023年升任資訊處副處長，負責帶領IT團隊，協助推動順德工業的數位轉型。</p> <p><span style="font-size:28px;"><strong>今年建置AIIoT數位中臺，實現跨系統資訊流的串聯</strong></span></p> <p>儘管剛接任資訊主管還不到一年的時間，葉建志對未來如何用IT加速公司轉型，已有一套明確的規畫。他表示，將聚焦三大重點發展，分別是建置AIIoT數位中臺、加強資訊安全，以及人才培育。</p> <p>在這三項發展計畫中，葉建志強調數位中臺的重要性，不僅跟資安並列，更將其視為順德數位轉型的重要關鍵基礎，朝向發智慧工廠來發展。</p> <p>為何製造業需要建一個數位中臺？葉建志說明，過去順德推出許多系統，但這些系統之間缺乏整合，導致資料無法有效地共享和流通，使得使用者或管理者在查看資訊時需要打開多個不同的系統，非常不便利。</p> <p>為了打破資訊孤島，葉建志上任後決定引進電商常用的數據中臺架構到順德，並在前臺和後臺之間建立一個屬於自己的數位中臺，以此實現跨系統資訊流的串聯，以便讓不同系統之間的資訊，都可以在同一個平臺中來提供，不需要各別取得。</p> <p>他期望透過這套數位中臺的推出，將各系統間的資訊打通，作為資料流串接的主要平臺，以此提升管理高層決策的速度與準確性，讓管理者可以根據這些資訊更快下達決策並採取行動。</p> <p>除了串接各種大小系統外，這套中臺系統未來也可蒐集來自產線中的數據，包括MES、IoT感測器數據，並經過整理分析後，可將這些工廠和營運管理數據視覺化並透過戰情室數位儀表板呈現，包含ERP、CRM、MES系統等，讓管理階層能夠更即時地掌握工廠產線狀況和進度，以調整其生產策略，「甚至進一步可以利用這些數據，發展各種工廠AIIoT智慧化應用或系統智慧化服務。」他說。</p> <p>順德工業這套數位中臺今年底先完成平臺雛型的建立，預計明年上半年正式上線。</p> <p>除了建置數位中臺，葉建志上任後的第一件事就是，調整內部IT組織的運作模式，從單一功能的團隊轉變為多功能團隊，以取代過去各自獨立運作、缺乏橫向溝通的模式。</p> <p>葉建志表示，這樣做的目的是要改變內部IT運作的氛圍。目前，資訊處下設有四個小組團隊，分別負責網路硬體、ERP、PLM、MES的開發與維運。他舉例，ERP和PLM團隊的工作看似沒有關聯，但在建置數位中臺時，就需要兩個團隊的協同合作。因此，透過內部IT組織的調整，IT團隊能夠更有效地應對外部使用單位的需求。「這是我覺得最重要的一件事」他說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1184-%E9%A0%86%E5%BE%B7%E5%B7%A5%E6%A5%ADCIO-600-1-JPG.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>重視內部使用者的意見回饋，作為系統優化優先序的重要參考</strong></span></p> <p>「如同製造業一句名言，把客戶抱怨當作天使的聲音」，葉建志也將這種重視使用者反饋的理念帶進IT內部，開始蒐集廠內對系統使用的負評，並取得多方意見回饋，作為系統優化或改進決定優先順序的重要參考。例如在ERP中新增行動簽核功能，就是其中一個例子，讓管理者可以透過行動裝置串接內部系統快速完成簽核。</p> <p>在程式開發上，葉建志對IT團隊寄予厚望，不僅希望團隊成員需要具備自行開發的能力，就算是委外開發完成的系統，IT人員也要具備維運的能力。</p> <p>他解釋，看重自主開發的原因是，有時委外廠商很難配合IT單位需求和完成時間表，甚至影響了公司系統化計畫推行的進度。他表示，無論是新系統還是舊系統的規畫過程中，現在已經開始要求IT人員具備自行維運和開發的能力，「這樣才是更健康的狀態」他說。</p> <p>不過，推動轉型的過程中，資訊團隊也遇到不小的考驗，舉例來說，人才短缺，人力越來越難尋是葉建志面臨的難題，尤其隨著公司營運發展，系統數量只會增加，維運管理需求也會隨之增多。為了解決這個問題，他從兩方面著手，一方面，開始推動內部子系統雲端化，將地端非核心系統搬上公雲，除了CRM系統早已上雲之外，今年初跟著完成HR人才管理模組上雲作業。</p> <p><span style="font-size:28px;"><strong>為克服資訊人才短缺，近年來開始推動子系統雲端化</strong></span></p> <p>葉建志表示，地端系統上雲有兩大好處，一來可以減少機房維運人員管理的負擔，二來系統上雲後，也能夠確保這些系統的更新保持最新的版本。</p> <p>另一方面，為了提高開發和維運的效率，葉建志還引進了新技術，以降低開發者的門檻。例如，導入低程式碼開發工具，讓開發工程師能夠以拖曳的方式進行開發，這樣可以大幅縮短開發時間。</p> <p>他補充表示，今年數位中臺的開發方式就是採用這種低程式碼的方式來進行，除了加快開發速度，也能因此減輕開發人員的開發負擔。</p> <p>近年來，ESG永續成為企業關注的重要議題，順德也不例外，近幾年積極推動ESG永續，更訂下2030年減少碳排25%的目標。為了達到這個目標，順德不只在去年成立永續發展委員會，負責制定永續發展方針，還要用IT支援公司永續發展，成為資訊團隊其中一項重要任務。</p> <p><span style="font-size:28px;"><strong>配合ESG永續發展目標，用系統化方式監控能源和碳排數據</strong></span></p> <p>在節能減碳方面，過去兩年，順德工業陸續導入了新系統。例如，在2023年導入了能源管理平臺，搭配電表和感測器，可以即時查看累計電量、用電趨勢和統計報表，透過有效的用電管理，達到節能的目標。</p> <p>此外，為了追蹤和管理碳排放數據，他們今年開始建置碳帳管理平臺，未來不僅可以隨時監看工廠碳排放的變化，根據排放的熱點做相應的策略調整，還能將這些排放轉化為費用成本，了解不同排放源和碳係數產生的成本，做為減碳參考依據。這套碳帳管理平臺預計明年上線。</p> <p>資訊安全也是ESG發展重視一環，特別是近兩年來，越來越多駭客鎖定臺灣中小型製造業發動攻擊，因此順德今年也持續加強資安防護，例如，今年要導入資安管理平臺以及ISO 27001資訊安全認證等。其他還包括了採用多因子驗證、建置主動式防護平臺，以及汰換過時設備等。</p> <p>因應AI風潮盛行，葉建志未來將考慮導入AI技術發展AI分析應用。例如透過LLM模型或AI輔助人員迅速處理任務，並減少人工作業的錯誤。此外，還可以建置多個不同的ML模型，將這些需要費時費力處理的作業項目交由AI處理。</p> <p>除了發展AI應用之外，他未來計畫導入新型態BI商業軟體，結合內部商業流程，提供更多維度的業務分析並提供決策所需的洞察。此外，還將開發建置行動裝置使用的App，配合遠距或即時性作業需求，更貼近使用者作業情境。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>順德工業資訊處副處長葉建志</strong></p> <p>學歷：彰師大光電所科技應用與管理碩士</p> <p>經歷：在軟體資訊行業累積多年實戰經驗，曾在PTC和LSA擔任PLM顧問及PLM資深顧問。2018年加入順德工業，成為PLM主任工程師。2022年轉調至資訊處負責PLM開發和系統整合，並在一年後升任資訊處副處長，負責帶領團隊加速推動內部數位轉型</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1184-%E9%A0%86%E5%BE%B7%E5%B7%A5%E6%A5%ADCIO-250.jpg" style="width: 300px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／順德工業</span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>順德工業</strong></p> <p>●地址：彰化縣彰化市彰南路二段260號</p> <p>●網址：<a href="http://www.sdi.com.tw">www.sdi.com.tw</a></p> <p>●成立時間：1953年（前身為順德製造所）</p> <p>●主要業務：半導體導線架、LED導線架、五金文具用品、各式沖壓模</p> <p>●員工數：1,400人以上</p> <p>●董事長：陳朝雄</p> <p>●總經理：陳維德</p> <p>●資本額：18億元</p> <p>●年營收：91.43億元（2022年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：副處長</p> <p>●資訊部門主管姓名：葉建志</p> <p>●資訊部門名稱：資訊處</p> <p>●資訊部門人數：17人</p> <p>●IT預算：約2,500萬～3,500萬元</p> <p>●資訊部門分工：網路硬體、ERP、PLM、MES</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2015年：全面推行數位化計畫，將原本的人工紙本作業改為電子化作業</p> <p>●2018年：展開數位優化計畫，對現有的系統進行優化或改善</p> <p>●2019年：將地端CRM系統搬上公雲</p> <p>●2020年：工廠MES製造執行系統推出上線</p> <p>●2023年：導入能源管理平臺、完成ERP升級更新、推行子系統雲端化</p> <p>●2024年：建構AIIoT數位中臺、HR人才管理模組上雲、ERP行動簽核功能開發、建置碳帳管理平臺、導入資安管理平臺、導入ISO 27001資訊安全認證</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1184-shun_de_gong_ye_cio-960.jpg" width="960" height="420" alt="" title="順德工業資訊處副處長葉建志。　（攝影／洪政偉）" /></div></div></div>
2024/5/31 06:00作者余至浩https://www.ithome.com.tw/people/163177
【臺灣資安大會直擊】前後任正副總統齊聚臺灣資安大會，資安產業推動一棒接一棒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去八年以來，是臺灣資安產業最蓬勃發展的時候，尤其是2016年總統蔡英文上任以來，更直接揭櫫「資安即國安」的大政方針，在蔡英文的支持下，整個政府都積極動起來，從各種政策、組織的層級給予資安產業發展最大的支持。</p> <p>蔡英文也身體力行，表達他對資安產業的支持，從2019年以來，每一年都親自出席臺灣資安大會開幕致詞並參觀臺灣資安館，就是希望藉由她的致詞和參訪，表達政府對於資安產業發展的重視。</p> <p>這種表達與支持並沒有因為蔡英文即將卸任而打折扣，在公務繁忙的各種「以總統身分最後一次出席」行程中，蔡英文仍然堅持她對資安產業支持的態度，於5月14日出席假南港展覽館二館舉辦的臺灣資安大會，更到場聆聽臺灣資安業者過去十年來的心聲。</p> <p>蔡英文總統高舉「資安即國安」的大旗，鼓動著臺灣資安產業的發展，而接任總統的賴清德，也於臺灣資安大會第二天（5月15日）活動中，以準總統的身分到場致詞，這也是賴清德連續第三年親自參訪臺灣資安大會。</p> <p>賴清德在致詞中表示，「資安即國安」，政府也將會延續蔡英文總統的政策，繼續推動國安工作，繼續支持臺灣資安產業發展，推動資安產業更上一層樓。賴清德說：「我必須做出承諾，我會繼續支持資安產業的發展。」</p> <p>副總統蕭美琴也於5月16日以準副總統身分，首度出席臺灣資安大會，她也花了比大家預期更多的時間，仔細聆聽業界說明技術、人才培育、政府計畫等內容，並與大家合影留念。</p> <p>臺灣資安大會主席、iThome總編輯吳其勳表示，臺灣資安大會創下史無前例，首度有前後任總統、副總統蒞臨的紀錄，他說：「這也是國家資安政策，無縫接軌的最好證明。」</p> <p>臺灣資安大會創辦人、iThome社長谷祖惠表示，萬分感謝蔡英文總統「資安即國安」的政策，以及8年來說到做到的全力支持，期待賴清德總統承先啟後，與產業攜手保衛國家發展、產業捍衛資安，也希望蕭美琴副總統可以持續支持關心臺灣的資安產業。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>臺灣資安產值去年突破740億元，預估2025年達800億元目標</strong></span></span></p> <p>在第十六任正副總統520就職前夕，前總統蔡英文在卸任前，仍然率領政府與資安相關的各部會首長，親臨臺灣資安大會進行開幕致詞，這也是前總統蔡英文連續第六年參與這場亞太地區規模最大的資安盛會。</p> <p>蔡英文在開幕致詞時也回顧並盤點，臺灣在過去幾年中所展現的資安量能，她說，除了成立數位發展部、帶動國家數位轉型外，也集結各部會力量，共同推動六大核心戰略產業，全力支持臺灣的資安產業發展，就是要讓臺灣能夠跟上全球數位轉型浪潮，並在全球供應鏈中，持續保有關鍵地位。</p> <p>她說，臺灣也透過《產創條例》的修法，將企業對資安產品及服務等相關投資，都可以納入租稅抵減的優惠，並鼓勵企業提升資安投資且積極開發相關的防護技術。</p> <p>另外，蔡英文也指出，國發基金也編列三十億元預算，目的就是打造臺灣的資安產業創業基地。她表示，在政府這些政策帶動下，2023年臺灣的資安產值已經超過740億元，穩定朝向2025年800億元產值的目標前進。</p> <p>由於臺灣身處民主前線，面對區域威權主義擴張以及複雜多變的資安攻擊與威脅，臺灣秉持「資安即國安」的精神建立防禦機制。蔡英文指出，隨著資通安全署及國家資通安全研究院相繼成立，不僅持續加強研發能量，也積極培育資安相關人才，期盼能做到提升國家的數位韌性。</p> <p>蔡英文強調，這幾年臺灣積極走向世界，並加強和更多理念相近夥伴國家的合作，除了公部門之間的交流，像是臺灣資安大會這樣民間舉辦的活動，也吸引許多國際人才和資安業者共同參與，她相信，透過彼此密切的互動，就能夠促進產、官、學、研更深度的合作，攜手建立全球的資安聯防體系。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AIT坦言，網路安全是美臺重要的合作議題</strong></span></span></p> <p>美國在台協會（AIT）處長孫曉雅致詞時指出，臺灣「資安即國安」的政策也讓美國和臺灣之間的合作，鋪就一條坦途，她表示，臺灣是AIT的網路安全中心（Hub），而網路安全也已經是美國的重要戰略目標之一。</p> <p>孫曉雅也呼應美國國務卿布林肯（Antony Blinken）先前提到的政策方針：美國將與志同道合的國家、企業和民間社會合作，共同塑造數位科技的發展方向。她表示，根據美國最新的「國際網路空間和數位政策戰略」，未來的安全、穩定和繁榮不再僅僅是模擬問題，隨著網路犯罪分子和惡意行為者調整其戰略和戰術，全球網絡攻擊的規模和複雜性都在不斷增長。</p> <p>孫曉雅表示，數位團結（Digital Solidarity）將是臺美合作的共同目標，她進一步解釋，「數位團結」是指願意為共同目標而共同努力，共同幫助合作夥伴建立能力，並為建立數位和網路能力提供相互支持，以便合作夥伴，可以建立更長期、具有防禦性和彈性的數位生態系統，同時可以在資安事件發生時，做到快速回應與復原，也會追究相關犯罪者的責任。</p> <p>她強調，相關的網路戰略的實務作為就是，美國將與臺灣共同致力於保護公眾與私人數據和網路安全性，並避免相關的網路攻擊。她也說，美臺也已經合作預防和調查相關的網路犯罪，並為臺灣網路專業人士提供相關訓練課程，也為臺灣相關政策制定人士，搭建美國產業的溝通與合作的橋樑。</p> <p>她指出，網路安全依賴多方面的努力，包括私人網路公司在內的利害關係人，社群在內，其中有許多人研究漏洞，開發技術並部署解決方案，以確保網路和企業安全。她說，臺灣是世界上可靠的合作夥伴和正義力量，美臺雙方必須繼續合作，增強抵禦能力並應對網路攻擊，期待繼續與臺灣建立網路安全夥伴關係。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>經由數位產業署署長導覽，蔡英文持續造訪臺灣資安館</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1184-cover%E4%B8%BB%E6%96%87-600-2-PNG.png" style="width: 600px;" /></p> <p>蔡英文在5月14日當天，也最後一次以總統身分，協同前數位發展部部長唐鳳，共同蒞臨臺灣資安館的開幕儀式，並在數位產業署數長呂正華的導覽下參觀臺灣資安館，見證臺灣資安產業發展的成果。</p> <p>負責導覽的數位產業署署長呂正華表示，今年臺灣資安館有48家業者參展，在大家積極努力推動資安產業發展下，今年有11家資安業者，是首度參與臺灣資安館的展出。</p> <p>在主題特展方面，呂正華指出，主要展示數位產業署輔導成果，包含輔導產業研發軍民通用資安技術，及後量子密碼資安防護應用；另外也促成資安業者技術整合發展領域解決方案並於產業落地，例如：以零信任強化電商資安、及適用智慧醫療的資安防護方案，其他還有推動APP、物聯網設備、晶片、5G 資安檢測及認驗證的成果。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>政策法規有利資安產業發展，中小企業應是未來推動重點</strong></span></span></p> <p>臺灣資安產業業者也對未來資安產業發展向政府提出建言，趨勢科技臺灣區總經理洪偉淦表示，資安產業要能夠發展需要健全的產業環境，小英總統在任八年提供完整的政策和法規的支持，對於臺灣資安產業發展有很大的助力，臺灣資安業者也會努力成為臺灣未來重要的競爭力。</p> <p>杜浦數位安全（TeamT5）創辦人兼執行長蔡松廷表示，臺灣持續面對強大的敵人，而且敵人的攻擊手法和使用的數位武器等，都一直讓人感到驚嚇，敵人的強大讓人無法忽視，所幸臺灣還有做資安的一群人，可以發現、察覺甚至抵禦敵人的攻擊。</p> <p>蔡松廷認為，在資安即國安的政策帶動下，透過各種法規規範，逼著大家做資安、願意拿錢做資安，並培養資安人才等，逐步健全臺灣的資安產業和產業資安的環境外，臺灣資安大會這個平臺的存在，則讓大家知道怎麼做資安，而且可以找得到對的人來幫忙做資安。</p> <p>他表示，感謝在資安即國安政策帶動下，讓臺灣資安業者得到許多協助，透過臺灣資安大會平臺也有一個很好的成果展示機會，兩者相輔相成是臺灣資安產業發展的利多。</p> <p>中華資安國際總經理洪進福表示，該公司的發展史，就是臺灣資安政策促進資安產業發展的小型縮影，當初蔡英文總統對中華資安國際的期待就是「成為臺灣關鍵基礎設施的守護者。」如今，也已經順利達標。</p> <p>洪進福指出，過去六年多來，該公司從原本四十人的規模，現在已經成長為四百多人規模的公司，有賴於總統、政府政策和法規的支持，不管是資安管理法，或者是近期政府採購要求獨立列出資安項目等，都有助於臺灣資安產業的發展。</p> <p>然而，他也觀察到，不論關鍵基礎設施或是大企業，都已經投資相對多的資源在資安上，中小企業卻是整體資安推動的脆弱環節。洪進福認為，資安防護應該也要和防疫一樣，「Leave No One Behind（不遺漏任何人）」，所以他建議政府應該有多一些政策工具協助中小企業做好資安。</p> <p>此外，洪進福也說，面對區域性的安全對話，希望政府可以協助企業做更多安全與品牌的對話，犯罪與防治的對話，讓臺灣的資安公司可以真正走出去，又可以做公益。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>凝聚相信的力量，一起推動臺灣資安發展</strong></span></span></p> <p>臺灣資安大會創辦人、iThome社長谷祖惠致詞時表示，在十年前，iThome與資安業界先進無視某些「評估」，一起舉辦第一屆臺灣資安大會，就是因為「相信」資安對臺灣很重要，需要更多人一起參與。</p> <p>谷祖惠說：「我們需要更多人相信資安很重要，必須立刻開始，人人都得開始。」當時我們最需要的是「相信的力量」。她表示，我們相信透過臺灣資安大會，可以引發更多人心中相信的力量。</p> <p>谷祖惠指出，在大家摸索怎麼讓大家相信資安很重要的過程中，蔡英文總統提出「資安即國安」的願景，「打造安全可信賴的數位國家」，對資安投注過去無法想像的資源，讓整個國家動了起來。「那股『相信的力量』讓更多人積極投入，為臺灣的資安共襄盛舉。」她說。</p> <p>谷祖惠表示，小英總統不只是臺灣資安的貴人，小英總統投入的程度，更像是與大家共同奮鬥的夥伴。而臺灣企業的資安防護能力、意識、產業，更提升到十年前、出發時，無法想像的高度，她說：「這是多麼精彩的十年！」</p> <p>精彩開局的十年之際，共同奮鬥的夥伴要從總統的身分畢業，谷祖惠表示，除了感謝，更有滿滿的不捨。而我們不僅要珍惜現有成績，並努力下一個十年，讓資安產業跟臺灣企業持續成長、堅強。</p> <p>她說：「資安沒有最後一哩路，我們永遠都在路上，一起以相信的力量與行動，為臺灣資安加油。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>賴清德公開承諾，將繼續支持資安產業的發展</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1184-cover%E4%B8%BB%E6%96%87-600-%E8%B3%B4%E6%B8%85%E5%BE%B7.png" style="width: 600px;" /></strong></span></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1184-cover%E4%B8%BB%E6%96%87-600-%E9%BB%83%E5%BD%A5%E7%94%B7.jpg" style="width: 300px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">數位發展部部長黃彥男</span></span></p> <p>賴清德在5月15日當天，也以準總統的身分第三度出席臺灣資安大會，並率領未來新內閣中與資安發展相關的主管一同到場，包括：行政院副院長兼資安長鄭麗君，國安會諮詢委員李育杰，以及數位發展部部長黃彥男等人，共同關心臺灣資安產業的發展。</p> <p>面對近千名參加臺灣資安大會的現場來賓時，賴清德表示，他知道大家想聽到什麼，也知道大家想要什麼，所以，賴清德說：「我必須做出承諾，我會繼續支持資安產業的發展。」</p> <p>「資安即國安」，賴清德指出，未來新政府也會延續蔡英文總統的政策，繼續推動國安的工作，並公開承諾，將會繼續支持臺灣資安產業的發展，推動臺灣資安產業更上一層樓。</p> <p>此外，賴清德致詞時表示，根據世界經濟論壇（WEF）2024全球風險評估報告，未來兩年內，世界最高的風險就是錯誤訊息和假訊息；另外一個報告則是，未來兩年內，全世界第四大風險就是網路犯罪和網路犯罪延伸的風險。</p> <p>另外，賴清德也引述另外一個報告內容表示，臺灣是全球假訊息被攻擊最嚴重的國家，但他對此非常正面看待。他認為，雖然臺灣在全球當中，是受到假訊息攻擊嚴重的國家是壞消息，但如果將這個視為可以磨練、鍛鍊臺灣資安產業的場域時，就會是臺灣資安產業發展的契機。「臺灣資安產業就可以化挑戰為機會，進一步提升。」他說，</p> <p>賴清德在擔任行政院院長時，也有看到假訊息這個問題的嚴重性，當時，行政院就已經推動臺灣資安產業發展行動方案；後來蘇貞昌擔任院長時，也通過臺灣的《資通安全管理法》及成立數位發展部等部會，目的都是希望做好資安，好好發展資安產業。</p> <p>賴清德強調，網路犯罪橫行以及假訊息的氾濫，對臺灣社會帶來很大的傷害，這也是他為什麼會率領新內閣中，與資安相關的政府主管一起出席臺灣資安大會的原因，他以實際的行動表達對臺灣資安產業的支持。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>蕭美琴展現對資安產業發展的關心與期待</strong></span></span></p> <p>副總統蕭美琴也於5月16日當天，在數位發展部部長黃彥男陪同下，參觀臺灣資安館以及數位產業署成果發表，並進一步了解教育部AIS3資安人才培育計畫的成果。</p> <p>教育部資訊安全人才培育計畫總主持人、臺灣科技大學資管系特聘教授吳宗成在CYBERSEC 2024的展示區，對蕭美琴簡報教育部資安人才培育計畫的歷程，以及各期推動主軸。</p> <p>面對蕭美琴詢問：「你們計畫團隊的人才培育基地設在哪裡？」吳宗成則回答說，「人，每個參與過這個計畫的團隊成員們，就是我們的人才培育行動基地。」蕭美琴點頭並回以招牌的笑容，吳宗成認為，這應該是對我們計畫團隊過去十年來的努力給予最大的肯定。</p> <p>蕭美琴致詞時，也放下幕僚撰寫的致詞稿件，真誠分享她此次參觀導覽的心得。她表示，她不是資安領域的專家，但也意識到，臺灣比其他國家面臨更多的威脅，這也促使我們不分公私部門，都需要在資安領域做改變，也需要積極參與類似臺灣資安大會這樣的活動，可以讓各行各業、百工百業的人，可以滿足跨域的資安需求。</p> <p>蕭美琴也指出，因為資安已經是日常生活中的必須，所以我們更應該讓每個民眾都具有資安基礎知識，懂得怎麼保護自己，讓整個社會能夠提升對資安重要性的認知，「我覺得我們還有進步和努力的空間。」她說。</p> <p>在參訪的過程中，蕭美琴也觀察到，信任對於臺灣科技產業的發展是重要的，但資安卻是「信任」的基礎，像是智慧工廠等，就需要資安作為信任的基礎，才能創造更多的可能性，進而有更多的創新，並且和世界接軌。</p> <p><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#696969;"> 臺灣資安大會十年有成，參與規模從一千五百人增加 </span><br /> <span style="background-color:#696969;"> 到二萬人 </span></strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1184-cover%E4%B8%BB%E6%96%87-600.JPG" style="width: 600px;" /></p> <p><span style="color:#FFFF00;"><span style="background-color:#696969;"> 本土扎根茁壯的臺灣資安大會今年來到第十屆，首度啟用南港展覽館二館一樓、四樓和七樓展場，提供更豐富的展覽和超過三百場的議程外，也有來自二十多國的海外人士參訪，韓國更有三十多家金融業者組團參訪 </span></span></p> <p><strong><span style="color:#696969;">由iThome主辦的「CyberSec 2024 臺灣資安大會」於2024年5月14日至16日假南港展覽館二館舉行，並首度使用一樓、四樓和七樓全館場地，三天總計有18軌議程、超過300場專業資安演講，以及超過400家國外資安品牌業者參與，使用超過1,300個標準展貪，展區橫跨一樓和四樓這兩個樓層。</span></strong></p> <p><strong><span style="color:#696969;">臺灣資安大會主席、iThome總編輯吳其勳致詞時表示，十年前舉辦時，臺灣資安大會參與人數一千五百人，今年已經超過二萬人，成長的幅度也代表臺灣政府民間對資安重視的程度。</span></strong></p> <p><strong><span style="color:#696969;">今年臺灣資安大會以「Generative Future」為主題，揭開AI資安新時代的來臨，也規畫許多議程，包括：AI in Cybersecurity、AI安全、AIoT & Hardware Security、Blue Team、CISO、DevSecOps、DFIR、Fraud、Privacy Enhancing Technology、SecOps、Web3、資安人才專區（Cyber Talent）、CMMC國防產業安全供應鏈、零信任資安、工控安全、攻擊型資安、供應鏈資安、金融資安、勒索軟體、產品安全、雲端安全、資安治理、資安威脅研究、資安證照與培訓等將近三十個資安主題論壇。</span></strong></p> <p><strong><span style="color:#696969;">臺灣資安大會已經成為亞太地區最大資安盛事，今年也新增五大類新的一成主題和展覽。首先，今年臺灣資安大會首度規畫全英文演講的專屬議程：CyberSec Global，將進行全天候的線上直播；其次，首度設立智慧聯網與硬體安全專區（AIoT & Hardware Security Zone），設立焦點論壇和專屬展區，探討與展示物聯網安全、5G安全、晶片安全、車聯網安全等議題與解決方案，也安排超過二十五場主題演講。</span></strong></p> <p><strong><span style="color:#696969;">第三，臺灣資安大會與Trapa Security（菱鏡公司）合作推出CyberSec Arena資安競技場，這是針對企業資安攻防實際演練的Cyber Range，會場中不僅會提供擬真演練平臺，讓參與的藍隊可以置身真實的APT攻擊情境中，也可以實機操作偵測、調查反制等資安事件的應變程序。</span></strong></p> <p><strong><span style="color:#696969;">第四，臺灣資安大會規畫「資安十年歷史牆」，綜整2015年至2024年間的資安政策、資安事件、資安技術和資安產業發展的重大里程碑，並以圖表列舉呈現，便於回顧過去、展望未來。</span></strong></p> <p><strong><span style="color:#696969;">最後，臺灣資安大會也與ISC2臺北分會合作，參與大會所有議程都可以申報ISC2 CPE持續進修時數，協助資安人員持續知識更新、有助專業發展。</span></strong></p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 臺灣資安大會有20多國人士參與，韓國更有金融業者組團參加 </span></strong></span></span></p> <p><strong><span style="color:#696969;">吳其勳在第二天開場致詞時表示，今年是臺灣資安大會十周年，也臺灣體現民主、進行四年一度總統大選的一年，在520總統就職前夕，昨天有蔡英文總統到場幫大家打氣，今天則有賴副總統、未來的賴總統，連續第三年蒞臨臺灣資安大會，也讓臺灣資安大會創下史無前例，首度有前後任總統副總統蒞臨的紀錄。他說：「這也是國家資安政策，無縫接軌的最好證明。」</span></strong></p> <p><strong><span style="color:#696969;">這幾年，臺灣資安大會持續朝國際化前進，吳其勳指出，今年有好幾百位、來自二十多個國家的與會者到場參加會議，其中，像是韓國就有三十多家金融機構組成的金融資安觀摩團，成員包括韓國的重要銀行、信用卡公司、證券和保險業者，組團來臺灣參加並觀摩臺灣資安大會。他表示，這也證實，臺灣資安已經成為國際上被世界各國看到的重點。</span></strong></p> <p><strong><span style="color:#696969;">他表示，今年臺灣資安大會首度使用南港展覽館全館場地，包括一樓、四樓和七樓，三天有超過三百場演講，以及豐富的上機實作課程，參與人數從十年前的一千五百人到今年的二萬人參與，都是十年前、甚至是五年前想不到的事情。</span></strong></p> <p><strong><span style="color:#696969;">今年四樓展區，首度新增加AIoT和硬體安全展區，下午都有5G物聯網、硬體、晶片安全的豐富議程，吳其勳表示，資安可以結合臺灣半導體資通訊硬體、物聯網優勢，將是臺灣未來可期的產業發展重點。</span></strong></p> <p><strong><span style="color:#696969;">此外，他也說，四樓也首度新增資安競技場，提供大家學習並演練資安實戰的技能，可以透過實際演練了解真實世界中，中國網軍的攻擊手法，透過熟悉攻擊腳本，可以學習怎麼偵測和應變，也會於5月16日下午一點，舉辦第一屆實機攻防競賽。</span></strong></p> <p><strong><span style="color:#696969;">國際上有許多人對臺灣資安有興趣，但因為種種原因不克前來，對此，臺灣資安大會也首度成立CyberSec Globe的線上活動，全英文議程透過線上播出，希望可以讓臺灣更多優秀的人才，以及實力堅強的資安產業，都可以站上全球舞台，讓世界看到臺灣資安、讓臺灣資安走進世界。</span></strong></p> </div></div></div>
2024/5/31 06:00作者黃彥棻https://www.ithome.com.tw/news/163186
保險經紀人公司「台名」發布資安重訊，坦承遭供應鏈攻擊，外洩客戶個資，影響人數恐達5萬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼今日上午我們報導<a href="https://www.ithome.com.tw/news/163199">臺灣電腦硬體製造商「Cooler Master」傳出50萬會員個資外洩</a>的消息，到了下午我們又再注意到，國內的保險經紀人公司「台名」公布遭遇供應鏈攻擊及資料被竊取的資安事件，並坦承有個資外洩情事，提醒客戶提高警覺。這兩起事件並未有關聯，但一日兩則這樣的消息，已引起國人廣泛注目。</p> <p>關於台名保險經紀人（台名），主要從事壽險及產險的經紀業務，銷售與多家保險公司簽約的保險商品，為客戶提供多元化的保險選擇。</p> <p>今日（30日）下午15時06分，身為上櫃金融業的台名，於公開股市觀測站發布此項公司重大訊息，揭露發生資安事故。特別的是，他們表示，這次事故是供應鏈攻擊。</p> <p>而在目前因應的狀況上，台名啟動資安防護及資安盤查機制之後，已找到攻擊來源、成功阻斷攻擊行動，並永久停用該項服務元件，後續將通報主管機關。究竟是何項服務元件引發供應鏈攻擊，台名並未說明。</p> <p>此外，由於這次事件牽扯到供應鏈攻擊，是否還有更多企業也會因此遇害，是大家關心的焦點，可惜目前尚未有更多消息。</p> <p>另一值得注意的焦點是，該公司已明確表示有個資外洩情事。關於這方面的因應現況，台名指出，為提高客戶警覺，主動簡訊通知客戶事件，並同步於公司官網、FB張貼警語，提醒客戶預防詐騙的相關訊息。</p> <p>我們連到該公司網站想確認是否如他們聲稱，看到該公司確實已發布重要公告，說明該公司遭遇供應鏈攻擊，導致發生個人資料外洩事故。同時，這則公告也提醒他們的客戶，要防範不明人士要求提供個人資訊與帳號，詐騙手法可能會以電話、簡訊或加Line來匡騙消費者。</p> <p>至於這起個資外洩事件的影響範圍，台名並未清楚說明，但我們根據去年台名發布的2022年永續報告書，可以了解一些概況，當中指出與台名保經簽約合作的保險公司共33家，2022年投保總件數為72,070件、投保客戶數約53,318人。這也意味著，個資外洩人可能達5萬多人。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-05-30_165026.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-05-30_165026.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-05-30_165004.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-05-30_165004.jpg" style="width: 600px;" /></a></p> </div></div></div>
2024/5/30 18:07作者羅正漢https://www.ithome.com.tw/news/163206
針對Check Point VPN攻擊行動資安事故，兩家資安業者揭露更多細節，指出對方利用零時差漏洞取得AD帳密進行橫…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週一資安業者Check Point針對啟用VPN功能的防火牆用戶提出警告，指出<a href="https://www.ithome.com.tw/news/163141">他們上週察覺部分客戶的系統出現疑似未經授權嘗試登入的情況</a>，而且，這些存取利用電腦本機的舊帳號進行VPN連線，而這些帳號只有透過密碼進行保護。事隔數日這起事故出現新的進展。</p> <p>該公司發布相關公告後，便針對此事著手持續調查，結果隔日便再度揭露<a href="http://support.checkpoint.com/results/sk/sk182336">高風險層級的資訊洩露漏洞CVE-2024-24919</a>，並指出該漏洞存在於啟用IPSec VPN、遠端存取VPN、行動存取軟體刀鋒功能的安全閘道，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-24919">CVSS風險評為7.5分</a>。</p> <p>這項漏洞的影響範圍，涵蓋該廠牌的網路安全閘道系統CloudGuard Network，以及網路安全解決方案<a href="https://www.ithome.com.tw/review/129286">Quantum Maestro</a>、Quantum Scalable Chassis、Quantum Security Gateways、Quantum Spark設備。Check Point也針對不同版本的網路安全設備作業系統發布修補程式，呼籲IT人應儘速套用。</p> <p>值得一提的是，該公司也對於生命週期已經結束（EOL）的版本，破例提供修補，由此可見這項漏洞相當嚴重。</p> <p>除此之外，他們也認為若是企業組織若是將安全閘道設置使用LDAP帳號，IT人員最好也要更換使用的AD帳號密碼，並防堵僅通過密碼驗證的本機帳號存取VPN系統。</p> <p>値得留意的是，雖然Check Point在5月下旬發現這起資安事故，但有其他資安業者指出，駭客很可能早在一個月前就開始嘗試利用上述漏洞。</p> <p>資安業者Mnemonic指出，<a href="https://www.mnemonic.io/resources/blog/advisory-check-point-remote-access-vpn-vulnerability-cve-2024-24919/">他們自4月30日發現客戶環境出現漏洞利用嘗試的跡象</a>，由於這項漏洞能讓攻擊者列出並搜括所有本機帳號的密碼雜湊值，尤其是包含連接AD的帳號，而有可能導致弱密碼洩露，從而允許攻擊者進一步濫用。</p> <p>雖然他們並不清楚這項漏洞的影響範圍，但根據對於相關攻擊行動的觀察，Mnemonic指出這項漏洞相當嚴重，因為利用過程完全不需使用者互動，也無須取得權限，而且很容易遠端觸發。</p> <p>研究人員看到駭客成功利用本機帳號登入後，2至3個小時內就從受害電腦取得ntds.dit，而這是儲存AD關於使用者帳號、群組、密碼雜湊值的資料庫檔案。得手上述檔案後，對方又濫用Visual Studio Code建立惡意流量隧道，藉此隱匿攻擊行動。</p> </div></div></div>
2024/5/30 15:49作者周峻佑https://www.ithome.com.tw/news/163197