iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 05:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

惡意軟體載入工具SquidLoader鎖定中國企業組織而來，企圖透過偽裝成Word檔案的附件引誘員工上鉤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電信業者AT&T旗下的資安威脅實驗室指出LevelBlue指出，他們約從今年4月下旬，發現<a href="https://cybersecurity.att.com/blogs/labs-research/highly-evasive-squidloader-targets-chinese-organizations">具備高度迴避偵測能力的惡意程式載入工具SquidLoader</a>，攻擊者鎖定使用簡體中文的用戶，藉由此惡意軟體於受害電腦載入Cobalt Strike。</p> <p>研究人員進一步調查指出，這些駭客在過去2年就曾發起了零星攻擊，而且似乎專門針對國家而來。由於這樣的攻擊技術及手法有可能被複製，未來很有可能被其他惡意軟體開發者如法炮製。</p> <p>針對這起攻擊行動發生的過程，研究人員在釣魚郵件發現數個可被執行的附件檔案，其中一個具有簡體中文名稱的檔案，宣稱是華為工業級路由器的產品介紹及客戶成功案例。其他的惡意檔案名稱，也與中國的企業組織有關，例如：中國陝西行動網路服務公司、黃河水利職業技術學院（YRCTI）。</p> <p>對方這樣命名附件檔案的目的，研究人員認為，攻擊者的主要目標是員工，企圖藉由具有明確描述的檔案名稱引誘他們上當。值得留意的是，這些檔案雖然都帶有Word文件的圖示，但實際上都是可執行檔。</p> <p>一旦收信人開啟這些附件，電腦就會對遠端伺服器上含有flag.jpg的URI發出Get HTTPS的請求，然後下載惡意程式載入工具SquidLoader並執行Shell Code。</p> <p>值得留意的是，這些惡意程式載入工具具備高度迴避偵測的能力，也擁有誘餌的功能，使得這樣的作案工具不易被察覺。此外，被載入的Shell Code也會利用特定的處理程序執行，避免惡意酬載被寫入磁碟留下作案痕跡。</p> <p>為了讓惡意程式載入工具看起來像正常應用程式，對方利用已經過期的合法憑證進行簽章，此外，他們也在C2伺服器部署自行簽署的憑證。</p> <p>研究人員發現，為了防礙資安人員調查，這些駭客竟然在惡意附件大量混入微信、mingw-gcc等應用程式的程式碼，但實際上無法正常執行，而是在流程的特定階段就指向有效酬載。此外，部分程式碼執行後，甚至會出現檔案格式錯誤無法開啟的彈出式視窗訊息。</p> <p><a href="https://s4.itho.me/sites/default/files/images/wechat_code.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/wechat_code.gif" style="width: 580px;" /></a></p> <blockquote><p>研究人員公布駭客引用微信（WeChat）的程式碼片段，並指出這些被塞入惡意程式用來影響資安研究人員調查的程式碼，實際上並不會執行。</p> </blockquote> <p>他們也提及對這個惡意程式載入工具引起特別關注的原因，那就是對方運用許多迴避偵測的手法並進行混淆處理，而使得相關攻擊行動極少被識別出來。</p> <p>研究人員指出，攻擊者在部分函數功能使用了無意義及灰色地帶指令，例如：pause、mfence、lfence，很有可能是用來破壞防毒軟體模擬觸發的工作。</p> <p>其中，也有部分功能函數含有call或jmp指令，指向另一個功能函數，使得研究人員的反編譯工具產生解析錯誤的情況。</p> <p>而在透過演算法混淆程式碼的手法上，對方也加入了無意義的誘餌指令碼來欺騙研究人員，並透過堆疊的方式，使用多個位元組的XOR金鑰來加密特定字串。</p> <p>此外，這些駭客也針對Shell Code相關的功能函數，進行控制流程圖形（Control Flow Graph，CFG）的混淆處理，導致CFG被扁平化為帶有大量switch字串的無限迴圈。</p> <p>為了避免研究人員使用除錯工具進行調查，這些駭客也透過處理程序、檔案名稱過濾，並使用自行開發的API進行系統呼叫。</p> </div></div></div>
2024/6/25 17:17作者周峻佑https://www.ithome.com.tw/news/163645
中國駭客組織針對亞洲電信業者植入後門，嘗試竊取帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者賽門鐵克揭露中國駭客組織<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/telecoms-espionage-asia">鎖定特定亞洲國家電信業者的網路間諜活動</a>，這些駭客在受害公司的網路環境植入後門程式，並試圖竊取各式帳密資料。</p> <p>研究人員指出，對方的攻擊行動至少可追溯至2021年，不過，他們掌握2020年已有部分活動的證據。而對於攻擊目標的部分，雖然駭客主要是鎖定電信業者，但是也有提供電信業者服務的公司，以及另一個國家的大學受害。</p> <p>究竟對方的目的為何，研究人員表示並不清楚，但很有可能是為了收集特定國家的電信行業情報，甚至進行監聽，也不排除對當地關鍵基礎設施進行破壞；而對於攻擊者的身分，他們也推測有幾種可能，有可能是多組人馬進行合作，或是不約而同發動攻擊；也有可能是未被發現的駭客組織出手，並使用其他團隊提供的作案工具犯案。</p> <p>針對駭客使用的作案工具，研究人員提及3個後門程式Coolclient、Quickheal、Rainyday，其共通點是和中國駭客組織有所關連，但究竟這些駭客如何運用這些後門程式，研究人員並未進一步說明。</p> <p>其中，Coolclient與中國駭客組織Mustang Panda（也稱做Earth Preta）有關，駭客將影音播放程式VLC Media Player的主程式，偽裝成Google應用程式的更新工具（googleupdate.exe），然後使用側載的方式執行惡意程式載入工具，從而解密Coolclient，並注入winver.exe的處理程序執行。</p> <p>另一個名為Quickheal的後門程式，則與名為Neeedleminer（或叫做RedFoxtrot、Nomad Panda）的中國駭客組織有關。對方使用的版本，是名為RasTls.dll的32位元檔案，大致與資安業者Recorded Future在2021年公布後門程式的相同，主要差異是編譯組態不同，並使用VMProtect進行程式碼混淆處理。</p> <p>第3個後門程式Rainyday，過往曾有名為Firefly（Naikon）中國駭客組織使用。在這起攻擊行動當中，駭客多半濫用防毒軟體F-Secure的主要元件fsstm.exe，以側載的方式啟動惡意程式載入工具，而該工具企圖挾持可執行檔使用的記憶體位置，藉由該執行檔載入特定檔案，用來解開惡意酬載並以Shell Code的模式執行。</p> <p>特別的是，雖然駭客濫用F-Secure防毒軟體的元件，但部分版本的惡意酬載，卻是用卡巴斯基實驗室的無效憑證簽署。此外，研究人員也看到濫用其他應用程式執行檔來進行寄生攻擊（LOLBin）的情況。</p> </div></div></div>
2024/6/25 17:31作者周峻佑https://www.ithome.com.tw/news/163647
RIAA控告Suno與Udio的生成式AI音樂服務侵權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國唱片業協會（RIAA）周一（6/24）<a href="https://www.riaa.com/record-companies-bring-landmark-cases-for-responsible-ai-againstsuno-and-udio-in-boston-and-new-york-federal-courts-respectively/" target="_blank">宣布</a>，已分別在麻薩諸塞州及紐約州控告兩家未取得授權、擅自利用受版權保護的錄音，來訓練生成式AI模型的AI音樂服務業者Suno AI 和 Udio AI。</p> <p>Suno與Udio皆為提供文字生成音樂服務的AI新創，其中，Udio今年4月才發表測試版，可根據文字提示生成人聲或樂器，至於Suno則是在去年即推出文字生成音樂的Web應用程式，並與微軟合作，成為Microsoft Copilot的外掛程式。Suno甫於今年5月完成1.25億美元的增資，其估值已達50億美元。</p> <p>RIAA是由市場上主流的音樂集團組成，包括環球音樂（Universal Music Group）、華納音樂（Warner Music）及索尼音樂娛樂（Sony Music Entertainment）等，這幾年來不斷面臨數位化的市場挑戰，持續與未取得音樂授權的音樂下載業者或串流服務業者對簿公堂，現在則是生成式AI業者。事實上，在RIAA替這些音樂集團發聲之前，索尼音樂上個月便<a href="https://www.ithome.com.tw/news/162949" target="_blank">公開聲明</a>退出AI訓練，要求業者不得在未取得授權的情況下，以其內容訓練AI模型。</p> <p>有別於當初對音樂下載及串流服務的初期抵抗，RIAA主席Mitch Glazier表示，音樂界已經接受了人工智慧，並與負責任的開發商合作，建置以人類創造力為中心的AI工具，並讓藝術家與作曲家能夠掌控創作過程，但只有當開發者願意合作時才能成長。</p> <p>RIAA法務長Ken Doroshow則說，Suno AI和Udio AI都是直接侵犯版權，涉及大規模未經授權的聲音複製，它們還企圖隱瞞所侵權的全部範圍，而非將其服務建立在健全與合法的基礎上。</p> <p>這兩項訴訟除了聲明相關服務侵犯版權之外，也企圖尋求繼續侵權的禁令，以及對已發生的侵權行為求償。</p> </div></div></div>
2024/6/25 14:32作者陳曉莉https://www.ithome.com.tw/news/163638
AI趨勢周報第256期：哈士奇來了！Meta團隊聯手開源多任務AI代理Husky-v1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0619～0625)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Husky-v1 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 代理 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta開源一款AI代理「哈士奇」</strong></span></p> <p>最近，來自Meta、艾倫AI研究院和華盛頓大學的研究團隊開源一款語言模型代理哈士奇（HUSKY），可處理複雜的多步驟推理任務。進一步來說，AI代理（Agent）是指由AI模型驅動的智慧系統，可從環境中學習、適應並自動完成特定任務，比如Siri。而哈士奇這個代理在統一空間中執行運算，意味著單一個哈士奇就能處理多類型任務，像是數值、表格和知識推理，而非只專注特定任務，如程式碼撰寫代理。</p> <p>團隊發表的第一代哈士奇代理為Husky-v1，透過2個階段不斷迭代：首先是根據給定任務，來生成下一步的解決動作，再來是用專家模型執行這個動作，同時不斷更新解決方案。其中，第一代哈士奇的專家模型包含程式碼生成器、詢問生成器和數學推理器等3款，它們皆用合成資料訓練而成。團隊也用14個不同任務來評測Husky-v1，發現它的表現優於其他代理，如CoT、ReAct、Lumos等，甚至在混合工具推理任務中，勝過GPT-4-Turbo。<a href="https://agent-husky.github.io/">（詳全文）</a></p> <p><img alt="" src="https://agent-husky.github.io/static/img/husky_overview.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MLX </span></strong></span></p> <p><span style="font-size: 22px;"><strong>開發者可用MLX函式庫，聯合多臺蘋果裝置跑大模型了</strong></span></p> <p>最近，蘋果才結束今年度發表大會WWDC，主打Apple Intelligence、聚焦個人化AI功能和隱私保護，但還留了一手。也就是，開發者可用蘋果的開源機器學習函式庫MLX，來聯合蘋果裝置（如Mac筆電、iPhone手機和iPad等）算力、形成一個AI叢集，來執行大型AI模型。</p> <p>日前就有位開發者Mohamed Baioumy分享經驗，他使用了2臺MacBook、2支iPhone 15 Pro和1臺iPad，來執行80億參數的Llama 3 instruct 4 bit模型，可以非常快的速度回答文字問題。另有位開發者Mohamed Baioumy表示，就算不是蘋果裝置也可以，也就是說，只要所有裝置都使用同一個網路，開發者就可堆疊多個裝置來跑大模型。這代表，開發者可透過多個裝置來執行先進的AI模型了。<a href="https://twitter.com/ac_crypto/status/1801323681370804509?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1801323681370804509%7Ctwgr%5Ee446779269aef5df127a5e37d3a5143c7d5b9dd2%7Ctwcon%5Es1_c10&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fapple-now-lets-you-stack-multiple-devices-to-run-large-ai-models%2F">（詳全文）</a></p> <p><img alt="" src="https://twitter.com/i/status/1801322369434173860" /><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-06-25%20at%2011_38_15%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI指引 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融業 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>金管會發布金融業運用AI指引</strong></span></p> <p>最近，金管會終於發布「金融業運用AI指引」，與去年12月底提出的草案大方向一致，除提供AI系統和生成式AI定義，也說明4個AI系統生命周期階段，並提供業者在各階段中落實6大核心原則的處理機制。</p> <p>進一步來說，這份AI指引就像是一份AI操作建議書，分別引導業者在導入AI或使用生成式AI時，如何在4個階段中，包括系統規畫及設計、資料蒐集及輸入、模型建立及驗證、系統部署及監控等階段，落實6大核心原則，也就是建立治理及問責機制、重視公平性及以人為本的價值觀、保護隱私及客戶權益、確保系統穩健性與安全性、落實透明性與可解釋性，和促進永續發展。</p> <p>比起草案，這份正式版多出了實務作法，也提及更多第三方業者的監督管理方式，對自建、委外和外購等不同部署方式增訂相關內容，也修改風險評估因素的敘述方式、增加指引適用的彈性。綜合規畫處處長胡則華指出，目前採用生成式AI的金融機構有29家，銀行業占最多，使用場景大多為內部作業，第二是智能客服，第三則是行銷廣告。<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0&mcustomize=news_view.jsp&dataserno=202406200001&dtable=News">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語言模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式撰寫 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta揭露4款語言模型，涵蓋程式撰寫、音樂生成和音訊浮水印</strong></span></p> <p>日前，Meta AI研究院最近發表4款語言模型，包括Meta Chameleon，含70億參數（7B）和340億參數（34B）版本，支援多模態輸入值，但只以文字輸出。另一款模型是Meta Multi-Token Prediction，是一款預訓練語言模型，專門用來處理程式碼撰寫任務。這是因為該模型採用多Token預測方法，可即時預測好幾個字，而非只預測一個，也因此提高了作業效率和回應速度。</p> <p>第三款模型是Meta JASCO，是一款生成式文字轉音樂模型，預計晚些時候釋出預訓練模型。最後一個模型是Meta AudioSeal，是一款音訊浮水印模型，能在裝置端偵測AI生成的語音，並配上浮水印；該模型開放商用授權。除了模型，Meta也發表負責任AI研究成果，包括了研究本身、資料和程式碼，可用來衡量和改善AI系統中的地理表徵、文化偏好和多元性。<a href="https://ai.meta.com/blog/meta-fair-research-new-releases/?utm_source=linkedin&utm_medium=organic_social&utm_content=video&utm_campaign=fair">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Luma AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Dream Machine </span></strong></span></p> <p><span style="font-size:22px;"><strong>美AI新創開源高品質影片生成模型</strong></span></p> <p>舊金山一家AI新創Luma AI最近發表AI系統Dream Machine，可根據簡單的文字描述，來生成高品質影片，且號稱幾分鐘就能完成。有別於OpenAI的影片生成模型Sora和快手的Kling、只對特定群眾開放，Luma AI<a href="https://lumalabs.ai/dream-machine">開放各界免費在自家網站嘗試這款系統</a>。</p> <p>Luma AI表示，Dream Machine目前雖只能生成5秒長的影片，但在品質上相對寫實逼真，可應用的領域更廣。<a href="https://twitter.com/LumaLabsAI/status/1800921380034379951">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-06-25%20at%201_42_02%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> Claude 3.5 Sonnet </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> Anthropic </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Claude 3.5 Sonnet問世了，評測表現勝過GPT-4o</strong></span></p> <p>Anthropic日前發表了新款大型語言模型Claude 3.5 Sonnet，是Claude系列的中階模型，但表現和效率都超越Claude 3.0的高階模型Opus，在大多數的評測上也勝過OpenAI今年5月推出的GPT-4o。進一步來說，Claude 3.5 Sonnet的執行速度是Claude 3 Opus的兩倍，Anthropic自己也以自然語言指令，要求不同模型修補開源程式碼臭蟲或新增功能，發現Claude 3.5 Sonnet解決了64%的問題，超越Claude 3 Opus的38%。</p> <p>在提供指示與相關工具後，Claude 3.5 Sonnet得以獨立撰寫、編輯與執行程式碼，可執行複雜的推論及故障排除能力，輕鬆處理程式碼的轉換，能更有效率更新老舊應用程式並遷移程式碼庫。Claude 3.5 Sonnet不僅在所有基準評測上勝過Claude 3 Opus，它在GPQA、HumanEval、MGSM、DROP、BIG-Bench-Hard或是與視覺有關的MathVista、AI2D、Relaxed accuracy及ANLS score等評測上也超越了GPT-4o，只有在MMLU、MATH及MMMU上略遜GPT-4o。<a href="https://www.anthropic.com/news/claude-3-5-sonnet">（詳全文）</a></p> <p><img alt="" src="https://www.anthropic.com/_next/image?url=https%3A%2F%2Fwww-cdn.anthropic.com%2Fimages%2F4zrzovbb%2Fwebsite%2Fcf2c754458e9102b7334731fb18a965bfeb7ad08-2200x1894.png&w=3840&q=75" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> EVI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Hume AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 情緒辨識 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Hume AI推出懂53種情緒的iOS App：EVI</strong></span></p> <p>最近，Hume AI上架一款號稱讀懂人類情緒的<a href="https://apps.apple.com/us/app/hume-your-personal-ai/id6502917807?ign-itscg=30200&ign-itsct=apps_box_link">iOS應用程式EVI</a>，由Anthropic最新的語言模型Claude 3.5 Sonnet驅動。特別的是，EVI背後的同理心大語言模型可解讀語調、強調字眼和非口語的暗示，來優化互動體驗。EVI可理解53種人類情緒，如開心、生氣、困惑、欺騙等。至於EVI採用的聲音模型Kora，則能以API方式提供給開發者，目前也支援Anthropic、OpenAI和開源語言模型，預計之後很快就會納入Google模型。開發者可以建立他們的應用程式，並加入EVI的Discord來獲得更新資訊。</p> <p>EVI的情緒理解能力，是來自Hume AI對非話語的情緒性語音研究成果，這類語音是指透露情緒的語助詞，或單純是透露情緒的發聲詞。為訓練EVI的情緒理解模型，Hume AI收集了來自1萬6千多人共數千個語音片段檔案，橫跨美國、中國、印度、南非和委內瑞拉。Hume AI表示，未來，他們打算擴展EVI能力，增添全球通用的臉部表情辨識能力。<a href="https://twitter.com/hume_ai/status/1803854136389308495?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1803854136389308495%7Ctwgr%5Ea2eac1e0e6c3b81eb70a5e7334075fc47ef4dd04%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fhume-ai-launches-evi-an-emotionally-intelligent-voice-ai-as-ios-app-powered-by-claude-3-5-sonnet%2F">（詳全文）</a></p> <p><img alt="" src="https://is1-ssl.mzstatic.com/image/thumb/PurpleSource221/v4/bf/7a/11/bf7a11c9-2aac-7f8b-67a9-1bb2b48c4453/cb20bc31-b049-4d47-9282-f23d5ec454c1_iPhone_6.7_-_1290_x_2796_-_01.jpg/460x0w.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Databricks </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI治理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Unity Catalog </span></strong></span></p> <p><span style="font-size:22px;"><strong>Databricks揭露一款資料與AI治理工具，採開放API和通用介面</strong></span></p> <p>Databricks最近宣布，將於今年第3季發表一款統一、可跨雲和資料平臺的資料與AI治理解決方案Unity Catalog OSS預覽版。Databricks希望藉該工具，來建立AI治理可互通的開放標準。</p> <p>這款Unity Catalog OSS提供通用介面，可支援多種資料各式和運算引擎，還能統一治理表格類資料、非結構化資料、機器學習模型等AI資產。在AI治理部分，這款工具可自動監控模型、診斷錯誤並維護資料和模型品質。該工具也會主動發出警報、自動偵測個人識別資訊（PII）資料、追蹤模型是否漂移，並能解決資料和AI工作流程中的問題。透過開放API和Apache 2.0授權，使用者可免於被廠商綁死，不過，AWS、Google Cloud、微軟、Salesforce、Confluent、dbt Labs、Immuta等多家業者都表示支援Unity Catalog OSS，認為此舉為使用者帶來更大的彈性，還與開源生態系原則相符。<a href="https://code.visualstudio.com/updates/v1_59#_terminal">（詳全文）</a></p> <p><img alt="" src="https://www.databricks.com/en-website-assets/static/32739bd7ae2933506839e61ca82fd214/22724.png" /></p> <p>圖片來源／Meta、Mohamed Baioumy、Luma AI、Anthropic、Hume AI、Databricks</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://www.ithome.com.tw/news/163576">資安院首度發表AI打詐技術，詐騙廣告偵測率超過九成</a></strong></p> <p><strong>2. 前OpenAI首席科學家Ilya Sutskever成立新公司，瞄準AI安全性</strong></p> <p><strong>3. Pixel 8、Pixel 8a終於也有Gemini Nano了</strong></p> <p>資料來源：iThome整理，2024年6月</p> </div></div></div>
2024/6/25 14:37作者王若樸https://www.ithome.com.tw/news/163639
傳聞Amazon也在打造消費者版的聊天機器人Metis
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/amazon-chatgpt-rival-codenamed-metis-2024-6" target="_blank">Business Insider</a>引述消息來源報導，Amazon正在打造適用於一般消費者的聊天機器人，內部代號為Metis，以與OpenAI的ChatGPT競爭。</p> <p>根據報導，Metis所使用的底層模型為比<a href="https://www.ithome.com.tw/news/156411" target="_blank">Titan</a>還強大的Olympus，採用檢索增強生成（Retrieval-Augmented Generation，RAG）技術，而且可同時提供文字及圖像解答，使用者則可透過瀏覽器存取Metis。</p> <p>此外，Amazon期望Metis可扮演AI代理人的角色，藉由其理解、學習及分析大量資料的能力，自動替使用者執行複雜任務，例如金融分析等。</p> <p>據稱Amazon也在整合Metis及數位語音助理Alexa的能力。可以想見的是，當不管是蘋果Siri或是Amazon Alexa都具備強大模型支援時，人們與AI聊天機器人的關係將會更趨緊密。</p> <p>Amazon已於日前推出專供企業使用的聊天機器人<a href="https://www.ithome.com.tw/news/162610" target="_blank">Amazon Q</a>，它有Amazon Q Business及Amazon Q Developer兩種版本，前者可組織企業所使用的各種資料庫以提供精確解答，後者則額外具備開發者能力，每月訂閱費用分別是20美元及25美元。</p> </div></div></div>
2024/6/25 15:06作者陳曉莉https://www.ithome.com.tw/news/163640
微軟Windows安全更新將加入Visual Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從8月起，微軟要讓每月一次的Windows更新強化更多產品，而不再只修補Windows的安全和功能問題。</p> <p>Windows Update是微軟定期發布的軟體更新管道，旨在解決Windows的安全漏洞或功能瑕疵。<a href="https://aka.ms/vs/muupdates" target="_blank">微軟宣布</a>二個月後，由Windows Update發布的Patch Tuesday將加入Visual Studio的軟體更新。</p> <p><a href="https://www.windowslatest.com/2024/06/23/windows-update-will-include-more-microsoft-products-including-visual-studio/" target="_blank">Windows Latest</a>報導，事實上，Windows Update發布的軟體更新也包含微軟其他產品如Office，但名稱改為Microsoft Update。用戶必須自行加入（opt-in）手動設定。方法是到Windows Update，找到「進階選項」>「接收其他微軟產品更新」。開啟這滑桿後，就可以自動接收其他微軟軟體更新。8月起，Microsoft Update（MU）就會加入Visual Studio安全更新。</p> <p>微軟表示，MU設計目的是自動於背景執行，不打擾用戶作業。微軟鼓勵用戶加入這項功能，以確保軟體的安全以及更新。MU會部署給微軟長期服務通道（Long-Term Servicing Channel，LTSC）的支援Visual Studio版本，包括Visual Studio 2022、Visual Studio 2019、和Visual Studio 2017，但不包含Visual Studio預覽版。</p> <p>不過這設定能力只提供給用戶有MU手動控制權的電腦，像是開發人員家中的電腦。如果看到「接收其他微軟產品更新」一區是灰色的，表示公司IT部門關掉了這個選項。</p> <p>若是用戶開啟了MU，但又不想更新Visual Studio，則可以輸入微軟提供的機碼（如下）排除之。</p> <pre> [HKLM\Software\Policies\Microsoft\VisualStudio\Setup] “VSthroughMUUpdatesOptOut” (REG_DWORD) = 1</pre><p>微軟解釋，雖然理解許多用戶希望Windows Update能自動更新所有微軟產品，但是他們相信一部份Visual Studio用戶希望擁有應用層的更新控制權，因而提供了選擇退出（opt-out）的選項。</p> <p>微軟將在6月及7月透過MU發布Visual Studio 2024更新套件的預覽版，已手動加入MU的用戶現在就可以先試用。不過用戶試用還是得再手動輸入機碼（如下），但8月正式釋出後就會自動更新，不需再動作了。更新紀錄也會顯示於MU中。若用戶的版本已是最新版本，MU也不會再部署Visual Studio了。</p> <pre> [HKLM\Software\Policies\Microsoft\VisualStudio\Setup] “PreviewAutomaticUpdates” (REG_DWORD) = 1</pre> </div></div></div>
2024/6/25 11:58作者林妍溱https://www.ithome.com.tw/news/163636
歐盟初步認定蘋果的開發者規定違反DMA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_24_3433" target="_blank">周一（6/24）指出</a>，它們初步認定蘋果App Store的開發者規定違反了《數位市場法》（Digital Markets Act，DMA），同一天也宣布將針對蘋果的核心技術費（Core Technology Fee）展開新的調查。</p> <p>《數位市場法》現階段指定Alphabet、Amazon、蘋果、字節跳動（ByteDance）、Meta、微軟（Microsoft）與Booking為數位市場的守門人，要求它們旗下的24個核心平臺服務必須符合規範，以免妨礙市場競爭，除了在今年5月新增的Booking之外，所有服務都必須在今年3月7日起遵循DMA的規範。</p> <p>EC在今年3月即針對蘋果、Alphabet/Google和Meta<a href="https://www.ithome.com.tw/news/161946" target="_blank">展開調查</a>，本周初步認定蘋果違反DMA。根據DMA的規定，透過蘋果App Store銷售行動程式的開發者，應該能夠自由告知客戶有其它更便宜的購買選項，同時引導用戶取得這些選項並進行購買。</p> <p>然而，調查卻發現，App Store沒有任何商業條款允許開發者自由地引導消費者，例如不能在應用程式內提供價格資訊，也沒有其它能與用戶溝通以推廣其它優惠購買管道的途徑；App Store中多數可用的商業條款只允許開發者提供連結，卻又對連結施加多項限制；儘管蘋果向藉由App Store獲得新客戶的開發者收費是合理的，但EC認為蘋果所收取的費用超過合理範圍。</p> <p>EC已將初步調查結果交予蘋果，允許蘋果替自己辯護，而最終確認違規的部分則必須在明年的3月25日以前遵循，否則最高可能會被處以年營收10%的罰款，累犯的罰款規模更可達20%。</p> <p>至於EC針對蘋果所啟動的新調查則涉及核心技術費、於iPhone上下載第三方行動程式市集的程序，以及得以於iPhone上提供第三方程式市集的開發者資格認定等。</p> <p>EC指出，蘋果要求第三方應用程式商店與開發者必須替使用者所安裝的每個程式支付0.5歐元的核心技術費，它們將調查此一費用結構是否符合DMA的規範；而蘋果在使用者於iPhone上下載及安裝第三方程式市集時，建立了許多步驟，將調查這些步驟是否過於繁瑣；以及蘋果對可提供第三方程式市集的開發者資格認定，是否過於嚴苛或違反DMA的規範。</p> </div></div></div>
2024/6/25 12:11作者陳曉莉https://www.ithome.com.tw/news/163637
YouTube平臺出現馬斯克Deepfake影片企圖詐騙加密貨幣，吸引3萬人同時收看
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YouTube Live周一出現一則以Deepfake手法製作的馬斯克（Elon Musk）推銷加密貨幣的詐騙影片，一度吸引3萬人同時觀看。</p> <p>科技新聞網站<a href="https://www.engadget.com/deepfakes-of-elon-musk-are-pushing-crypto-giveaway-scams-on-youtube-live-200700886.html" target="_blank">Engadget報導</a>，這則詐騙影片看似馬斯克在特斯拉公司活動中發表演說，馬斯克指示用戶點選造訪某個網站網址，並將手上的比特幣、以太幣與狗狗幣儲存在該網站的電子錢包中。AI版「馬斯克」聲稱，只要用戶完成儲存，就可獲得存入金額2倍等值的加密貨幣作為回饋。</p> <p>報導指出，該影片是由貌似特斯拉的公司帳號發布，並有YouTube藝術家官方頻道（Official Artist Channel）的驗證徽章，媒體相信可能是特斯拉帳號被駭後用以發布Deepfake影片。</p> <p class="rtecenter"><a href="https://www.engadget.com/deepfakes-of-elon-musk-are-pushing-crypto-giveaway-scams-on-youtube-live-200700886.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0625-tesla%20deepfake%20photo%20by%20Engadget.png" style="width: 600px;" /></a></p> <p><a href="http://www.engadget.com/deepfakes-of-elon-musk-are-pushing-crypto-giveaway-scams-on-youtube-live-200700886.html" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Engadget</span></span></a></p> <p>隨著影片AI生成技術愈來愈成熟且易取得，現在的deepfake影片品質已可做到普通人真假難辨，也使詐騙、侵權或政治操弄的防範更加困難。</p> <p>有多少人因這則Deepfake影片而將加密貨幣存入假馬斯克推薦的網頁不得而知，但報導指出，這則影片在遭到檢舉被YouTube下架前，掛在YouTube Live頻道上長達約5個小時，最高有3萬人同時收看。</p> <p>馬斯克的高人氣使其肖像經常被用來製作詐騙訊息，尤其馬斯克也是加密貨幣的倡導者，狗狗幣（Dogecoin）即是在他支持下爆紅。2020年當時還叫推特（Twitter）的平臺遭駭，使比爾蓋茲、馬斯克、華倫巴菲特等多位名人的推特帳號也<a href="https://www.ithome.com.tw/news/138849" target="_blank">曾被用來宣傳</a>比特幣投資詐騙訊息。</p> <p>上周美國知名饒舌歌手50 Cent的X帳號也被駭客劫持，用以<a href="https://www.forbes.com/sites/paultassi/2024/06/17/banana-nears-850000-concurrent-players-approaches-counter-strike-why/" target="_blank">散布</a>兜售假數位貨幣的詐騙訊息。<a href="https://www.yahoo.com/entertainment/50-cent-claims-hackers-made-161335151.html" target="_blank">他本人說</a>，歹徒在30分鐘內賺得3億美元。</p> </div></div></div>
2024/6/25 09:20作者林妍溱https://www.ithome.com.tw/news/163635
傳蘋果計畫開發低價版的Vision Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，蘋果取消第二版混合實境頭戴裝置Vision Pro，而改開發較低價的版本以擴大消費族群，計畫最快2025年底推出。</p> <p>科技網站<a href="https://www.theinformation.com/articles/apple-suspends-work-on-next-high-end-headset-focused-on-releasing-cheaper-model-in-late-2025" target="_blank">The Information報導</a>，由於Vision Pro售價高達3,500美元，超出許多果粉的負擔範圍，蘋果計畫開發一款定價1500美元的平價版頭戴裝置，和Meta Quest競爭，以便有更多觀望不前的果粉得以入手。</p> <p>報導指出，平民版Vision Pro會比第一代更輕，同時蘋果正在苦思如何在不大幅降低使用體驗下，降低成本與售價。消息人士說，蘋果預計2025年底前推出低價版Vision Pro。</p> <p>Vision Pro雖然評價好過微軟HoloLens，但仍面臨相同的銷售挑戰。微軟本月<a href="https://www.ithome.com.tw/news/163306" target="_blank">裁員</a>逾1,000人，影響包括HoloLens在內的硬體部門，可能意謂廢止了HoloLens 3開發計畫。</p> <p>為了增加Vision Pro的銷售，蘋果將把上市地區再擴增到加、澳及歐洲數國。軟體功能也更強化；本月WWDC公布的下一代visionOS 2，則加入了機器學習技術為基礎的空間相片和聲音效果，可將2D照片轉換為具立體視覺效果的相片。visionOS 2並提升Mac虛擬顯示（Virtual Display）功能允許使用者透過Wi-Fi連線將Mac影像顯示在Vision Pro上，提供更高解析度和更大尺寸畫面。此外，旅行模式還增加了火車模式。</p> </div></div></div>
2024/6/25 08:55作者林妍溱https://www.ithome.com.tw/news/163634
【資安日報】6月24日，北美汽車經銷商軟體服務業者CDK Global遭攻擊而停擺，傳出是勒索軟體BlackSuit所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週北美汽車經銷商軟體服務業者CDK Global因網路攻擊而導致相關服務停擺的情況，多家汽車經銷商隨之業務受到影響，客戶被迫向其他經銷商購車而造成營業損失，如今出現新的進展。</p> <p>根據多家媒體報導，攻擊者的身分疑為勒索軟體駭客組織BlackSuit，而且，這些駭客還假冒CDK Global客服打給汽車經銷商，使得情況更加嚴重。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163608"><strong style="font-size: 22px;">癱瘓CDK Global系統的兇手傳出為勒索軟體BlackSuit，駭客索討數千萬美元贖金</strong></a></p> <p>提供軟體即服務（SaaS）給北美逾1,500家汽車經銷商的CDK Global上周遭到網路攻擊，對於這起事故的後續發展，根據Bleeping Computer的報導，造成CDK Global系統停擺的兇手為BlackSuit勒索軟體；彭博社引述消息來源指出，駭客向CDK Global提出數千萬美元的贖金要求，該公司打算支付款項，正與駭客議價。</p> <p>根據外電報導，CDK Global其實是在6月18日晚間得知遭到攻擊，當時僅關閉部分系統，卻在隔天再遭到第二波攻擊，只得關閉全部系統因應。</p> <p>雪上加霜的是，這些駭客還開始偽裝成CDK Global的客服，打電話給汽車經銷商客戶，企圖獲取這些客戶的憑證或更多的機密資訊，讓正在企圖恢復系統及與駭客協商的CDK Global更加焦頭爛額。</p> <p><a href="https://www.ithome.com.tw/news/163629"><strong style="font-size: 22px;">Rust竊資軟體Fickle利用PowerShell繞過使用者帳號控制防護機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fickle-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fickle-1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Fortinet上個月察覺名為Fickle的竊資軟體，駭客以Rust為基礎開發，不僅採用相當複雜的程式碼撰寫，並透過相當靈活的手段來挑選目標下手。</p> <p>研究人員將攻擊行動大致區分成3個階段：傳送作案工具至目標電腦、部署前的準備工作，以及植入經過加殼處理的惡意酬載。</p> <p>究竟駭客如何引誘受害者上鉤，而能夠傳送作案工具，研究人員並未多做說明，但他們提及，對方利用4種管道傳送Fickle，其中有兩種是VBA巨集程式，一種是惡意軟體投放工具（Dropper），另一種則是惡意程式下載工具（Downloader），其餘兩種管道，分別是偽裝成URL捷徑或執行檔的下載器。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.talosintelligence.com/sneakychef-sugarghost-rat/"><strong style="font-size: 20px;">中國駭客組織SneakyChef鎖定亞洲、歐洲、中東、非洲政府機關，散布惡意程式SugarGh0st</strong></a></p> <p></p> <p>◆<a href="https://www.ptsecurity.com/ww-en/analytics/pt-esc-threat-intelligence/excobalt-gored-the-hidden-tunnel-technique/"><strong style="font-size: 20px;">俄羅斯駭客組織ExCobalt利用後門程式GoRed攻擊當地政府機關、關鍵基礎設施</strong></a></p> <p></p> <p>◆<a href="https://www.rapid7.com/blog/post/2024/06/17/malvertising-campaign-leads-to-execution-of-oyster-backdoor/"><strong style="font-size: 20px;">後門程式Oyster透過惡意廣告散布，駭客聲稱提供Chrome、Teams等網路應用程式，誘騙使用者上當</strong></a></p> <p></p> <p>◆<a href="https://www.esentire.com/blog/adsexhaust-a-newly-discovered-adware-masquerading-oculus-installer"><strong style="font-size: 20px;">廣告軟體AdsExhaust偽裝成Meta虛擬實境裝置的應用程式散布</strong></a></p> <p></p> <p>◆<a href="https://decoded.avast.io/davidalvarez/new-diamorphine-rootkit-variant-seen-undetected-in-the-wild/"><strong style="font-size: 20px;">Rootkit程式Diamorphine變種鎖定Linux主機而來，可藉由特定套件執行任意作業系統命令</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163626"><strong style="font-size: 22px;">Phoenix UEFI韌體存在高風險漏洞，數百款採用Intel處理器的個人電腦、筆電、伺服器恐受影響</strong></a></p> <p>專精韌體安全的資安業者Eclypsium指出，他們在聯想第7代ThinkPad X1 Carbon、第4代ThinkPad X1 Yoga的UEFI韌體當中，發現名為UEFICanHazBufferOverflow的漏洞（CVE-2024-0762），起因是信賴平臺模組（TPM）組態存在不安全的環境變數，而有可能導致記憶體緩衝區溢位，攻擊者得以執行惡意程式碼，CVSS風險評為7.5分。研究人員指出，這項漏洞出現在處理TPM組態的UEFI程式碼裡，而有可能導致TPM安全晶片的防護效果形同失效。</p> <p>值得留意的是，上述的兩款筆電，都採用了Phoenix SecureCore UEFI韌體，他們向聯想、Phoenix通報此事，經過Phoenix確認後指出，同樣的漏洞也出現在其他使用該廠牌韌體的Intel個人電腦、筆電、伺服器，搭配Core i第7代至14代處理器的電腦都可能曝險，Phoenix在今年4月提供緩解措施，並在5月14日發布資安公告，呼籲用戶向設備製造商進行確認。至於上述兩款筆電的製造商聯想，也在5月針對旗下超過150款設備，提供BIOS更新。</p> <p>由於影響的個人電腦平臺眾多，研究人員指出，恐有數百款桌上型電腦、筆電、伺服器存在相關漏洞。</p> <p><a href="https://www.ithome.com.tw/news/163623"><strong style="font-size: 22px;">75%的Magento電商平臺恐存在重大資安漏洞CosmicSting，若不設法修補，攻擊者有可能取得完整控制權</strong></a></p> <p>資安業者Sansec針對Adobe本月發布的例行更新當中公布的重大漏洞CosmicSting（CVE-2024-34102）提出警告，這項資安弱點位於Adobe Commerce及Magento Open Source電商平臺，繼2年前Adobe修補CVE-2022-24086、CVE-2022-24087，Sansec認為，這是該平臺出現最為嚴重的漏洞。</p> <p>就漏洞本身帶來的危害而言，CosmicSting可被攻擊者用來讀取含有密碼等機密資料的檔案，但研究人員指出，若是再結合Linux作業系統的GNU C程式庫（glibc）的iconv功能漏洞CVE-2024-2961，攻擊者就能發動遠端程式碼執行（RCE）攻擊，從而取得電商平臺的完整控制權。值得留意的是，通報此事的研究人員Sergey Temnikov補充說明，在已修補iconv弱點的電商平臺環境下，攻擊者還是有機會藉此存取管理者API。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162972"><strong style="font-size: 22px;">加速落實金融資安行動方案2.0，金管會提供金融上手零信任架構的三步驟</strong></a></p> <p>「資安的改變從被動變主動，從單點控制變價值驅動。」金管會副主委邱淑貞5月16日在2024 CYBERSEC臺灣資安大會金融安全論壇開場時表示，資安過去僅針對個別事件進行處理和回復，隨著金融業大力運用數位化發展業務，資安現在和業務風控結合，成為驅動業務發展的關鍵，也是金融機構前進的重要動力。</p> <p>為了推動金融機構發展資安，金管會在2020年發布金融資安行動方案1.0，兩年後接著發布2.0版，延續1.0版四大策略，增加了14項精進措施，從鼓勵金融機構擁抱零信任架構，強化核心資料保全、舉辦資安長聯繫會議強化，推動重大資安事件的支援演訓等。如今，2.0版發布已過一年半，金管會資訊服務處處長林裕泰在論壇中強調，零信任架構和資安聯防是金管會力推的兩大面向。</p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163112"><strong style="font-size: 22px;">企業重視資安的文化，不能只靠資安事件來驅動</strong></a></p> <p>幾乎每年在政府機關、上市櫃公司或關鍵基礎設施等領域，都會發生重大資安事件，帶來財務損失、商譽損失、喪失客戶信任度、損害民眾隱私甚至危害國安等負面影響。第一金控副總經理兼資安長劉培文表示，相關的受駭單位都需要花費大量資源，去修復因為發生資安事件所帶來的後果，媒體廣泛報導而引發社會大眾的關注，也迫使企業必須正視資安的議題和風險。</p> <p>「企業的流程與資源決定了企業能做什麼，文化與價值觀則決定了企業不做什麼。」劉培文指出，只有從上到下、真正重視資安的企業，因為已有正確的文化與價值觀，才能夠看到輕微的事件與徵兆出現，或看到外部發生的資安事件後，便能夠在既有的流程與資源下，檢討事件背後的根因，甚至願意投資額外的資源、新的流程等，適度及早因應減降資安風險，形成良性循環以避免未來爆發重大事件。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163599"><strong>【6月21日】駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163574"><strong>【6月20日】中國駭客UNC3886利用多項防火牆及虛擬化平臺的零時差漏洞隱匿行蹤，並部署後門程式持續存取網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163551"><strong>【6月19日】初始入侵管道掮客IntelBroker聲稱握有晶片大廠AMD內部機密資料，該公司表示將著手調查</strong></a></p> </div></div></div>
2024/6/24 18:14作者周峻佑https://www.ithome.com.tw/news/163630
Rust竊資軟體Fickle利用PowerShell繞過使用者帳號控制防護機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet上個月察覺<a href="https://www.fortinet.com/blog/threat-research/fickle-stealer-distributed-via-multiple-attack-chain">名為Fickle的竊資軟體</a>，駭客以Rust為基礎開發，不僅採用相當複雜的程式碼撰寫，並透過相當靈活的手段來挑選目標下手。</p> <p>研究人員將攻擊行動大致區分成3個階段：傳送作案工具至目標電腦、部署前的準備工作，以及植入經過加殼處理的惡意酬載。</p> <p>究竟駭客如何引誘受害者上鉤，而能夠傳送作案工具，研究人員並未多做說明，但他們提及，對方利用4種管道傳送Fickle，其中有兩種是VBA巨集程式，一種是惡意軟體投放工具（Dropper），另一種則是惡意程式下載工具（Downloader），其餘兩種管道，分別是偽裝成URL捷徑或執行檔的下載器。</p> <p>攻擊者通常會運用上述管道，傳送PowerShell指令碼到受害電腦，檔名通常是u.ps1或bypass.ps1，這些指令碼定期向攻擊者經營的Telegram機器人，傳送受害電腦資訊。此外，對方也利用PowerShell指令碼繞過使用者帳號控制（UAC）的防護機制。</p> <p>針對透過VBA巨集發動的攻擊，研究人員指出攻擊鏈都是從Word檔案開始。在使用惡意軟體投放工具的攻擊行動裡，電腦會藉由巨集載入XML檔案，而這個檔案埋藏在巨集的UserForm物件標題，一旦觸發，此XML檔案就會下載竊資軟體並執行。</p> <p>而透過VBA惡意程式下載工具的做法，研究人員看到3種型態的下載器，其中一種會直接下載PowerShell指令碼，另一種則是濫用公用程式forfiles.exe，攻擊者這麼做的目的，是要突破目標電腦的cmd使用限制。</p> <p>最後一種則是在使用者啟用巨集的過程中，存取MSHTML檔案，透過特定的URL載入攻擊命令。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fickle-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fickle-1.png" style="width: 580px;" /></a></p> <p>而在竊資軟體的啟動過程裡，惡意酬載會執行一連串的檢查，避免在沙箱或是虛擬機器運作，然後從加密貨幣錢包、Chrome、Firefox等瀏覽器，以及AnyDesk、Discord、FileZilla、Signal、Skype、Steam、Telegram等網路應用程式收集用戶資訊，再者，該竊資軟體也會從特定資料夾收集敏感資料，並使用JSON字串外流資料。</p> <p>特別的是，攻擊者也能透過遠端伺服器指定收集的資料標的，使得竊取資料的範圍變得更加彈性。</p> </div></div></div>
2024/6/24 17:41作者周峻佑https://www.ithome.com.tw/news/163629
Phoenix UEFI韌體存在高風險漏洞，數百款採用Intel處理器的個人電腦、筆電、伺服器恐受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專精韌體安全的資安業者Eclypsium指出，他們在聯想第7代ThinkPad X1 Carbon、第4代ThinkPad X1 Yoga的UEFI韌體當中，發現<a href="https://eclypsium.com/blog/ueficanhazbufferoverflow-widespread-impact-from-vulnerability-in-popular-pc-and-server-firmware/">名為UEFICanHazBufferOverflow的漏洞（CVE-2024-0762）</a>，起因是信賴平臺模組（TPM）組態存在不安全的環境變數，而有可能導致記憶體緩衝區溢位，攻擊者得以執行惡意程式碼，CVSS風險評為7.5分。研究人員指出，這項漏洞出現在處理TPM組態的UEFI程式碼裡，而有可能導致TPM安全晶片的防護效果形同失效。</p> <p>值得留意的是，上述的兩款筆電，都採用了Phoenix SecureCore UEFI韌體，他們向聯想、Phoenix通報此事，經過Phoenix確認後指出，同樣的漏洞也出現在其他使用該廠牌韌體的Intel個人電腦、筆電、伺服器，搭配Core i第7代至14代處理器的電腦都可能曝險，Phoenix在今年4月提供緩解措施，<a href="https://www.phoenix.com/security-notifications/cve-2024-0762/">並在5月14日發布資安公告</a>，呼籲用戶向設備製造商進行確認。至於上述兩款筆電的製造商聯想，也在5月<a href="https://support.lenovo.com/tw/zh/product_security/LEN-158632">針對旗下超過150款設備，提供BIOS更新</a>。</p> <p>由於影響的個人電腦平臺眾多，研究人員指出，恐有數百款桌上型電腦、筆電、伺服器存在相關漏洞。</p> <p>而對於這項漏洞帶來的危害，研究人員指出，攻擊者能在直接接觸到電腦的情況下，透過UEFI韌體得到執行程式碼的權限。事實上，利用這種弱點的後門程式攻擊越來越常見，因為這種手法往往能迴避作業系統及軟體層面相關的防護措施，難以察覺攻擊者的行蹤，所以，能被用於相關攻擊的漏洞，也必定會引起研究人員的注意。</p> <p>為何會有上述可乘之機？研究人員表示，該弱點存在名為系統管理模式（System Management Mode，SMM）的子系統，一旦觸發就會造成記憶體的緩衝區溢位，使得攻擊者有機會覆寫鄰近的記憶體。</p> <p>若是記憶體被寫入正確的資料，攻擊者就有可能提升權限，並能夠執行程式碼，最終在韌體部署Bootkit惡意軟體。</p> </div></div></div>
2024/6/24 16:21作者周峻佑https://www.ithome.com.tw/news/163626
提供支援SAS-4的伺服器連接介面，WD增設高密度硬碟櫃機型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wd_ultrastar_data102_3000xi_lie_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>年初發布的<a href="https://www.ithome.com.tw/tech/160679">iThome儲存月報第86期</a>當中，我們介紹儲存介面SAS的最新進展，當中提及2020年問世的<a href="https://www.ithome.com.tw/tags/sas-4">24G SAS（SAS-4）</a>，支援此規格的產品仍相當有限，但今年似乎有了重大轉折，因為市面上開始陸續出現越來越多支援SAS-4的解決方案。</p> <p>舉例來說，WD在4月舉行的美國廣播電視展（NAB Show），首度公開展出第三代硬碟櫃<a href="https://www.westerndigital.com/products/data-center-platforms/ultrastar-data102-3000?sku=Data102-3000">Ultrastar Data102 3000系列</a>，在伺服器連接介面的部分支援SAS-4。至於其餘規格，則與現行Ultrastar Data102所差無幾。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Data102 3000 progress.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data102%203000%20progress.jpg" style="width: 600px;" /></a></p> <p>在機箱方面，Ultrastar Data102 3000系列採用具有雙備援與熱抽換的電源供應器、I/O模組（IOM）、風扇（4臺），在每一臺機箱背部的底側，WD也此設置兩臺主機擴充模組（Host Expander Modules，HEM），連接位於機箱外部的伺服器（主機），每臺HEM內建6個Mini-SAS HD埠（Ultrastar Data102的這些連接埠設置在I/O模組），整臺機箱最多能以SAS-4介面連接12臺伺服器（2臺HEM總共提供12個SAS-4埠）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Data 102 overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20102%20overview.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Data 102 Rear.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20102%20Rear.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Data HEM-SAS Port.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20HEM-SAS%20Port.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Data HEM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20HEM.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%203000%20overview.jpg" style="width: 600px;" /></p> <p>關於支援SAS-4與設置內建6個SAS埠的主機擴充模組，除了4月登場的Ultrastar Data102 3000系列，WD另一款<a href="https://www.westerndigital.com/en-il/products/data-center-platforms/ultrastar-data60-3000?sku=data60-3000-one-pt-five-six-pb">Ultrastar Data60 3000系列</a>也將提供這樣的配備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%203000%20features.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data60%203000%20progress.jpg" style="width: 600px;" /></p> <p>根據WD公布的產品相容性文件來看，Ultrastar Data102 3000系列針對24G SAS的部分，可搭配的主機匯流排介面卡（HBA），包括：Broadcom的9600-16e、9600W-16e，以及Microchip的Adaptec HBA 1200-16e、Adaptec SmartRAID Ultra 3254-16e。</p> <p>基本上，這兩款資料中心儲存平臺，均可在4U尺寸機箱置入102臺3.5吋WD資料中心硬碟，可搭配12 Gb SAS或6Gb SATA介面的WD硬碟。若在此安裝CMR類型的硬碟，皆可搭配單臺最大容量24 TB的款式（Ultrastar DC HC580），若安裝SMR類型的硬碟，都能搭配最大容量26 TB的款式（Ultrastar DC HC670）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20Zoning-1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar HEM_IOM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20HEM_IOM.jpg" style="width: 600px;" /></a></p> <p>而就單臺機箱而言，兩款JBOD的原始儲存容量最大可達2.65 PB，可透過菊鏈串接4臺機箱，總共提供10.6 PB的空間。</p> <p>關於機箱散熱與抗震機制的部分，它們均採用熱區分隔冷卻技術ArcticFlow，以及基板硬碟插槽懸浮技術IsoVibe，對於硬碟因機箱內部高溫與震動而導致送修的比例，能夠因此減少62％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20Chassis-1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20Chassis-2.jpg" style="width: 600px;" /></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/B1MGsgsr9GE?si=a_QMBNMy1uaq-kv5" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p><strong>WD Ultrastar Data102 3000系列</strong><br /> ●原廠：WD<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：4U（深104.8公分）<br /> ●硬碟最大容量：單臺機箱102臺3.5吋硬碟，可用菊鏈串接4臺機箱<br /> ●儲存容量：單臺機箱最大2.65 PB，4臺機箱最大為10.6 PB<br /> ●儲存I/O介面：以24G SAS（SAS-4）連接12臺伺服器，每臺機箱配備主機擴充模組（HEM），每個HEM內建6個Mini-SAS HD埠<br /> ●電源供應器：2臺1600瓦<br /> ●保固：整個平臺提供5年有限保固</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/24 16:32作者李宗翰https://www.ithome.com.tw/review/163604
【資安週報】2024年6月17日到6月21日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期資安新聞中，在防禦動向上，臺灣有兩篇探討網路防詐作法的消息，一是富邦金公布他們成立偽冒案件應變小組，一是資安院首度發表AI打詐技術的應用。</p> <p>畢竟，社群平臺的網路廣告機制與帳號時常成被詐騙或駭客組織濫用，儘管社群平臺表示有自動化過濾方式攔阻，但仍有相當多詐騙廣告成功刊登，導致民眾只能憑藉自己的見識與經驗來判斷，只是以前就有詐騙，但現在詐騙更猖狂，臺灣企業與政府也不得不積極處理，要透過業者的通報機制進行事後下架。最近有兩則新聞，就是關於企業與政府的最新因應方式。</p> <p>●假冒企業的網路詐騙不斷，是多數企業都面臨的問題，除了提醒用戶小心冒名詐騙，企業還能如何積極因應？富邦金在2024資安大會上提出他們的因應方式，目標是讓集團可以更系統化的機制，去下架偽冒網站和詐騙群組。他們特別制定處理準則，畫分3大步驟，包括定義案件樣態、成立應變小組、建立處理機制。而這半年來，他們已發現近300件偽冒案件，並也點出目前企業面對的防詐困境。</p> <p>●最近資安院公布今年1月開始採用AI技術偵測詐騙廣告的成果與經驗，當中顯示AI偵測出詐騙的準確率可達93%，並發現有97％詐騙廣告只刊登兩天就結束，以及現在詐騙經常用「不是詐騙」或「追回詐騙」來再次誤導民眾。同時數位部認為，要能有效防詐須建立詐騙防治生態系，不論是在聯防、情資交換格式、應變流程、通報平臺上都要有，他們並表示已在規畫政府提供的「打詐通報查詢網」。</p> <p>在資安威脅態勢上，有2則新聞我們認為值得關注，一是網釣簡訊攻擊持續轉向全球不同國家的態勢，一是部分零時差漏洞利用攻擊已悄悄進行多年、最近才被發現的現況，並且都與中國駭客組織有關。</p> <p>（一）國際大規模網釣簡訊攻擊行動的揭露，同樣值得我們注意。這是資安業者Resecurity的警告，他們指出，去年中國駭客組織發動Smishing Triad攻擊行動，已經針對美國、歐洲、阿拉伯聯合大公國下手，最近發現攻擊轉向巴基斯坦，以假冒巴基斯坦郵政局的名義，藉由iMessage或是簡訊，向電信業者的用戶發送惡意訊息，目的是竊取民眾的個資與財務資料。</p> <p>（二）資安業者Mandiant揭露這一兩年有多個已知漏洞被利用，其實是中國駭客組織UNC3886早在2021年就利用的零時差漏洞，但先前並沒有被發現，這些漏洞包括，VMware vCenter的漏洞（CVE-2023-34048，CVE-2022-22948）、FortiOS的漏洞（CVE-2022-41328）、Mware Tools的漏洞（CVE-2023-20867）。這代表對方恐早已滲透並潛伏，因此，Mandiant提供了入侵指標（IOC）供企業識別惡意活動。</p> <p>其他重要威脅態勢包括：有研究人員揭露針對機器學習模型而來的攻擊手法Sleepy Pickle，以及有駭客組織鎖定簡體中文用戶並假借提供VPN等翻牆工具，目的是在使用者電腦植入後門程式Winos 4.0。</p> <p style="margin: 0px;">在資安事件焦點方面，國內外均發生多起網路攻擊事件，涵蓋網釣攻擊、勒索軟體、資料外洩等，我們整理如下：</p> <p>●駭客鎖定曾介紹群暉產品的臉書粉絲專頁，並假冒群暉公司名義針對這些粉專管理者，發出侵害智財權的釣魚信，誘使粉專管理者開啟附件內的惡意軟體。<br /> ●國內老牌製藥公司永信藥品工業遭駭客攻擊，雖然該公司仍只是公開發行公司，但也發布重訊揭露這起資安事件。<br /> ●日本影音共享平臺Niconico、角川書店資料中心遭勒索軟體攻擊，導致服務中斷近一週。<br /> ●晶片大廠AMD傳出機密資料疑似外洩，有駭客在論壇兜售該公司的產品研發資料、客戶資料及員工資訊，並提供部分檔案的螢幕擷圖作為佐證。<br /> ●提供汽車經銷管理SaaS服務的CDK Global傳遭勒索軟體攻擊，該公司先暫時關閉全部系統，已引起經銷商抱怨買車客戶轉向其他汽車經銷商。</p> <p>在漏洞消息方面，近期沒有新的漏洞利用被揭露，主要是針對已知被利用的情況示警，像是有資安業者公布一起資安事故調查案例，發現攻擊者是運用企業棄用的負載平衡設備入侵，由於該設備未補漏洞且暴露在外網，突顯企業設備與漏洞管理上的疏失。</p> <p>至於最新漏洞修補動向上，要注意的包括：華碩公布路由器重大身分驗證繞過漏洞，7款機型受到影響，以及VMware修補vCenter Server的遠端執行漏洞。</p> <p>還有研究人員特別警告，上星期微軟修補Windows內建Wi-Fi驅動程式的高風險漏洞（CVE-2024-30078），特別危險，可能與無線封包處理不當有關，只要攻擊者連上目標設備所在的Wi-Fi網路，就可針對同網路下的設備發動攻擊，且所有Windows版本都受影響。</p> <p> </p> <p><a href="https://www.ithome.com.tw/news/163501"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月17日】日本影音共享平臺Niconico、角川書店傳出服務中斷近一週，起因是資料中心遭勒索軟體攻擊</span></strong></a></p> <p>本月上旬日本知名的影片共享平臺Niconico證實出現服務異常的情況，引起外界關注，然而隨著這起事故的發展，母公司角川集團表示，不光是Niconico，旗下也有其他網站停止運作。</p> <p>但值得留意的是，事隔一週，他們終於承認這是一起勒索軟體攻擊，不過，究竟是那個勒索軟體駭客組織所為，該集團表示，由於這起事故尚在調查，不便公布相關細節。</p> <h3><a href="https://www.ithome.com.tw/news/163529"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月18日】未補漏洞且暴露在外網的舊款F5 BIG-IP設備成駭客入侵企業內部環境的破口，中國駭客潛入竊密長達3年</span></strong></a></h3> <p>企業部署但最終並未正式採用、而遺留在網路環境的IT系統，很有可能會遭到攻擊者濫用。</p> <p>最近資安業者Sygnia揭露的一起事故，就是這樣的例子，駭客維持於受害企業活動的管道，就是該公司曾打算建置的災難復原系統當中，所使用的F5 BIG-IP設備。而這些設備不僅直接曝露在網際網路上，還執行存在弱點的作業系統，而讓對方有利用的機會。</p> <p><a href="https://www.ithome.com.tw/news/163551"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月19日】初始入侵管道掮客IntelBroker聲稱握有晶片大廠AMD內部機密資料，該公司表示將著手調查</span></strong></a></p> <p>晶片大廠遭駭的情況，最近幾年已有數起，例如：2020年Intel傳出遭駭，20 GB的晶片、韌體、開發工具及程式碼等機密資訊外流；2022年Nvidia遭到駭客組織Lapsus$入侵，偷走1 TB內部資料。如今，有駭客組織聲稱取得AMD內部檔案引起關注。</p> <p>值得留意的是，聲稱握有這批資料的駭客組織，是惡名昭彰的初始入侵管道掮客IntelBroker，在一個月前，這些駭客宣稱手上握有多個組織與公司的的內部資料，例如，歐洲刑警組織（Europol）、五角大厦、英國家具裝修零售業者Home Depot。</p> <p><a href="https://www.ithome.com.tw/news/163574"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月20日】中國駭客UNC3886利用多項防火牆及虛擬化平臺的零時差漏洞隱匿行蹤，並部署後門程式持續存取網路環境</span></strong></a></p> <p>利用尚未公布的零時差漏洞發動攻擊的情況，近期有數則消息揭露，例如：中國駭客利用CVE-2022-42475入侵FortiGate防火牆，並部署難以清除的惡意程式；勒索軟體駭客組織Cardinal於微軟修補CVE-2024-26169的3個月前，就將其用於攻擊行動，但如今中國駭客組織UNC3886，他們一口氣運用4個防火牆、虛擬化平臺的漏洞，以便長時間於受害組織活動。</p> <p><a href="https://www.ithome.com.tw/news/163599"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月21日】駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意程式</span></strong></a></p> <p>利用惡意廣告宣稱提供實用的應用程式，藉此來散布惡意軟體的情況，不時有事故傳出，但最近一起惡意軟體攻擊行動相當特別，因為這些駭客也同時利用Telegram頻道來進行。</p> <p>比較特別的是，由於透過即時通訊軟體的頻道來從事攻擊行動，這些駭客不只散布常見的應用程式，還散布能用於犯罪的Deepfake脫衣軟體，以及變臉、變聲工具。</p> </div></div></div>
2024/6/24 09:47作者羅正漢https://www.ithome.com.tw/news/163603
75%的Magento電商平臺恐存在重大資安漏洞CosmicSting，若不設法修補，攻擊者有可能取得完整控制權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Sansec針對<a href="https://www.ithome.com.tw/news/163422">Adobe本月發布的例行更新</a>當中公布的重大漏洞CosmicSting（CVE-2024-34102）<a href="https://sansec.io/research/cosmicsting">提出警告</a>，這項資安弱點位於Adobe Commerce及Magento Open Source電商平臺，繼2年前Adobe修補CVE-2022-24086、CVE-2022-24087，Sansec認為，這是該平臺出現最為嚴重的漏洞。</p> <p>就漏洞本身帶來的危害而言，CosmicSting可被攻擊者用來讀取含有密碼等機密資料的檔案，但研究人員指出，若是再結合Linux作業系統的GNU C程式庫（glibc）的iconv功能漏洞CVE-2024-2961，攻擊者就能發動遠端程式碼執行（RCE）攻擊，從而取得電商平臺的完整控制權。</p> <p>值得留意的是，由於利用這樣漏洞的過程無需使用者互動，攻擊者可將相關流程自動化，很有可能演變為全球大規模攻擊。</p> <p>然而，在Adobe發布更新程式以來，僅有約25%電商網站套用，換言之，採用這種電商平臺的環境恐有75%的比例，曝露於CosmicSting帶來的資安風險。針對上述更新緩慢的原因，研究人員認為網站管理員不願及時安裝更新，主要在於Adobe自推出2.4.7版之後，因應支付卡產業資料安全標準（PCI DSS）的要求，導入了內容安全政策（Content Security Policy，CSP）及子資源完整性（Subresource Integrity，SRI）強制落實的要求，並移植到舊版分支，而使得新版軟體有可能導致結帳流程採用的外部JavaScript指令碼無法正常運作。</p> <p>資安業者Sansec強調，攻擊者可將CosmicSting與CVE-2024-2961搭配，造成強大的破壞力，但通報此事的<a href="https://github.com/spacewasp/public_docs/blob/main/CVE-2024-34102.md">研究人員Sergey Temnikov補充說明</a>，在已修補iconv弱點的電商平臺環境下，攻擊者還是有機會藉此存取管理者API。</p> </div></div></div>
2024/6/24 12:42作者周峻佑https://www.ithome.com.tw/news/163623
癱瘓CDK Global系統的兇手為BlackSuit勒索軟體，提出高達數千萬美元的贖金要求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供軟體即服務（SaaS）予北美逾1,500家汽車經銷商的CDK Global上周<a href="https://www.ithome.com.tw/news/163563" target="_blank">遭到網路攻擊</a>，根據<a href="https://www.bleepingcomputer.com/news/security/cdk-global-outage-caused-by-blacksuit-ransomware-attack/" target="_blank">Bleeping Computer</a>的報導，造成CDK Global系統停擺的兇手為BlackSuit勒索軟體，而<a href="https://www.bloomberg.com/news/articles/2024-06-21/cdk-hackers-want-millions-in-ransom-to-end-car-dealership-outage" target="_blank">彭博社</a>（Bloomberg）則引述消息來源指出，駭客向CDK Global提出數千萬美元的贖金要求，CDK Global打算要支付款項，正與駭客議價中。</p> <p>CDK Global的核心產品為汽車經銷商的管理系統，主宰著經銷商每天的例行性業務，從銷售、服務、零件、庫存、合約到貸款都存放在CDK Global所提供的SaaS服務中。</p> <p>根據外電報導，CDK Global其實是在上周二（6/18）晚上便得知遭到攻擊，當時僅關閉部分系統以便因應，卻在隔天再遭到第二波攻擊，只得關閉全部系統。</p> <p>Bleeping Computer與彭博社都是透過消息來源得知CDK Global的現況，包括始作俑者為BlackSuit勒索軟體集團、要求數千萬美元的贖金，以及CDK Global傾向於支付贖金等。</p> <p>根據<a href="https://www.sentinelone.com/anthology/blacksuit/" target="_blank">SentinelOne</a>的分析，BlackSuit很可能是源自不管是技術或有效酬載都很類似的Royal勒索軟體，它現身於2023年4月，並未延攬攻擊的合作夥伴或提供勒索軟體即服務（RaaS），而是獨立運作，主要攻擊企業組織，鎖定Windows及Linux平臺，鎖定的目標涵蓋醫療保健、教育、IT、政府、零售及製造等領域。</p> <p>BlackSuit採取雙管齊下的攻擊手法，在加密並竊取被害組織的資料之餘，還設立一個用來公布被駭組織機密資料的網站，以用來勒索被害者。</p> <p>此外，駭客還開始打電話予CDK Global的汽車經銷商客戶，偽裝成CDK Global的客服，企圖獲取這些客戶的憑證或更多的機密資訊，讓正在企圖恢復系統及與駭客協商的CDK Global更加焦頭爛額，警告客戶不要相信陌生的客服人員。</p> <p>身為CDK Global客戶的汽車集團<a href="https://www.sec.gov/Archives/edgar/data/1019849/000101984924000089/pag-20240619.htm" target="_blank">Penske Automotive Group</a>及<a href="https://ir.sonicautomotive.com/sec-filings/all-sec-filings##document-3509-0001043509-24-000059" target="_blank">Sonic Automotive</a>都已向美國證券交易委員會（SEC）證實受到波及，只是影響範圍不一。</p> </div></div></div>
2024/6/24 11:19作者陳曉莉https://www.ithome.com.tw/news/163608
OpenAI買下即時分析資料庫業者Rockset
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://rockset.com/blog/openai-acquires-rockset/" target="_blank">OpenAI上周宣布</a>，已買下即時分析資料庫業者Rockset，並將把Rockset技術直接整合到OpenAI的產品中，雙方並未揭露交易金額。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0624-rockset-openai-image%20by%20rockset-500.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Rockset</span></span></p> <p>Rockset是由兩位前臉書工程師Venkat Venkataramani、Tudor Bosman，再加上資料架構師Dhruba Borthakur於2016年所創立，定位為即時索引資料庫，允許開發者直接於半結構化的資料上利用SQL查詢來建置API，以快速從資料中檢索資訊，提供給應用程式使用，讓企業得以打造雲端規模的資料應用程式。Rockset迄今對外募集的資金已超過1億美元。</p> <p>OpenAI指出，Rockset令使用者、開發人員及企業在使用AI產品或建置應用程式時，能夠利用自己的資料並存取即時資訊，在Rockset團隊加入OpenAI之後，OpenAI將利用Rockset的技術來支援各種產品的檢索基礎設施，將資料轉換成可操作的情報。</p> <p>Rockset共同創辦人暨執行長<a href="https://rockset.com/blog/openai-acquires-rockset/" target="_blank">Venkataramani表示</a>，該公司的願景就是從根本上改變建置資料驅動應用程式的方法，他們充分利用雲端的優勢開發了搜尋與分析資料庫，而消弭了這些應用程式所需之資料基礎設施的複雜性。</p> <p>未來Rockset將成為OpenAI的一部分，主要協助OpenAI解決困難的資料庫問題。</p> <p>值得注意的是，之後Rockset將不再對外提供服務，即日起不再接受試用或長約客戶，未訂定長期合約的每月用戶必須在9月30日以前遷出，Rockset亦將協助長約客戶遷出該平臺，只是時間較為彈性。</p> </div></div></div>
2024/6/24 12:00作者陳曉莉https://www.ithome.com.tw/news/163610
Martech雙周報第56期：Google強化CTV廣告業務，開始將2億臺Google TV作為一個廣告通路經營
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0609~0622)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV廣告 #電視作業系統</span></span></strong><br /> <strong>Google終於正式進軍CTV行銷，開始將2億臺Google TV作為一個廣告通路經營</strong></p> <p>聯網電視（CTV）廣告通常收費較一般網路影片平臺高，因為CTV內容通常製作規格較高，觀眾注意力也較集中。一直以來，Google都於Youtube及其他合作影片聯播網來投放廣告，並且聲稱旗下影音串流平臺Youtube是一種CTV──因為許多家庭會在電視上看Youtube。</p> <p>不過，隨著越來越多電視作業系統商開始經營CTV廣告，他們也開始將搭載自家電視OS Chromes OS的電視作為一種正式廣告通路分類，來販售CTV廣告。近日，<a href="https://blog.google/products/ads-commerce/meet-the-google-tv-network/">他們開始營運Google TV聯播網廣告</a>，於Google TV內建頻道及其他合作影音串流App中投放影音廣告。目前廣告格式有15秒不可跳過的廣告及6秒影片開場前廣告。</p> <p>Google表示，Google TV廣告可以觸及的受眾包括20億個月活躍Google TV及其他Android TV裝置。這類型廣告目前可以在Google Ads和Google Display & Video 360兩個平臺投放，目前只支援美國市場。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告聯播網 #機上廣告 #旅行數據</span></span></strong><br /> <strong>美國聯合航空以旅遊數據為基礎推出廣告聯播網服務</strong></p> <p>百業皆推出聯播網的時代下，航空業也加入戰局。根據美聯航數據，他們App每個月有近1億次工作階段（Session），且乘客平均飛行時間為3.5小時。<a href="https://www.prnewswire.com/news-releases/united-launches-airline-industrys-first-media-network-302167035.html">為了嘗試變現這些注意力，他們推出廣告聯播網服務</a>，利用顧客旅遊數據來支援數位行銷，在自家App及飛機上娛樂螢幕投放個人化廣告。</p> <p>與零售媒體聯播網數據做法類似，美聯航會將自家顧客數據轉化為去識別化的分眾，讓廣告主選擇投放對象。美聯航也提供了管道，供顧客申請停止接收個人化廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#顧客授權管理 #資料刪除請求</span></span></strong><br /> <strong>IAB推出網路使用者資料刪除請求框架，制定個資紀錄刪除請求的接收、驗證及回應建議做法</strong></p> <p><a href="https://iabtechlab.com/iab-tech-lab-launches-second-public-comment-period-for-data-deletion-request-framework/">美國互動廣告協會（IAB）推出資料刪除請求框架</a>（Data Deletion Request Framework），制定網路使用者請求刪除個資時，資料持有者從接收、驗證到回應結果的方法。此框架採取JSON Web Token作為通訊標準，來確定請求者身分真實性、確保請求內容未經竄改、產生請求處理結果。</p> <p>目前，業界沒有統一處理個資刪除請求的做法。由IAB制定一個符合GDPR及美國多州隱私法規的個資資料刪除請求框架，有望降低歐美及許多跨國企業在個資使用方面的法遵門檻。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #社群媒體行銷</span></span></strong><br /> <strong>Anymind Group推出GenAI網紅搜尋功能，可用自然語言條件或品牌圖片來尋找相近風格創作者來洽談行銷合作</strong></p> <p>行銷及零售科技廠商Anymind Group推出生成式AI網紅搜尋功能，在原本以機器學習技術來搜尋相似網紅推薦功能的基礎上，加入生成式AI技術。廣告主尋找潛在合作網紅時，可以利用自然語言及圖片輸入兩種方法來輸入需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/anytag.jpg" style="width: 600px;" /></p> <p>接收自然語言輸入時，此功能可以接受網紅特徵描述，同時考慮廣告主自身情況來推薦合作對象。例如，廣告主可以輸入「請推薦我公司還沒合作過的臺灣美妝類網紅」。AI也會根據情況進一步追問更多條件。第二則是圖片輸入，廣告主可以上傳商品或品牌圖片，來搜尋照片有類似風格、色調、拍照角度和主題的網紅。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech應用案例 #AI行銷應用案例</span></span></strong><br /> <strong>Verizon如何利用業務流程管理科技及內容管理科技來強化數位行銷</strong></p> <p>近期一場活動中，美國大型電信商Verizon的Martech策略副主任Tommi Marsans揭露了他們如何利用Pega業務流程管理解決方案及Adobe的內容管理產品線，用類似於B2C零售業的模式進行B2B行銷。</p> <p>首先，在B2B行銷領域中，Verizon一大挑戰是決策考量點過於複雜。Tommi Marsans說明，Verizon企業客戶非常多樣化，從中小型企業到巨型跨國企業都有。Verizon自己還有近3,000種服務方案及上百種裝置和周邊商品。「雖然有無數種方案和商品組合，但業務腦中通常只會有6至7種方案組合，導致不同類型的企業客戶都拿到類似提案。」Tommi Marsans坦言。</p> <p>於是，Verizon導入了Pega的客戶關係管理及業務流程管理解決方案，來綜合分析客戶特性及自家商品特性，並由系統推薦出適合客戶的方案組合。他們後來還延伸此技術應用場景，用於客戶教育與溝通等環節。</p> <p>不只如此，他們還並用Pega與Adobe的內容管理產品線，由前者提供決策，再由後者來呈現網站的行銷內容。例如，根據進站企業客戶類型來調整呈現的圖片、文案，以及根據企業客戶方案和裝置，來調整推薦商品內容。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權法規 #第三方Cookie退場 #隱私意識 #圍牆花園</span></span></strong><br /> <strong>不敵數據隱私環境變動，甲骨文撤出Adtech市場</strong></p> <p><a href="https://www.fool.com/earnings/call-transcripts/2024/06/11/oracle-orcl-q4-2024-earnings-call-transcript/">近期法說會中</a>，甲骨文執行長Safra Catz宣布，將終止營運廣告科技相關業務。</p> <p>甲骨文廣告科技事業去年營收衰退3億美元，且歷年來不斷因隱私環境變化而受到衝擊。舉例來說，GDPR上線使他們先後在歐盟及全球終止支援AddThis跨網站行銷功能、第三方Cookie退場使BlueKai等DMP類產品變得無用、Google和Meta等圍牆花園逐漸限制自家數據給第三方廠商使用的彈性，以及消費者隱私意識提升使他們更常拒絕企業蒐集自身個資等。這也反映出近年數據及隱私相關法規和做法的變動，對廣告科技業界帶來的衝擊。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路廣告追蹤 #廣告ID框架</span></span></strong><br /> <strong>IAB推出廣告創意ID框架來支援跨通路行銷素材辨認，強化廣告主管理整體行銷活動能力</strong> </p> <p>美國互動廣告協會（IAB）<a href="https://iabtechlab.com/announcing-the-ad-creative-id-framework-to-improve-connected-tv-advertising-experience/">公告廣告創意ID框架（ACIF，Ad Creative ID Framework）</a>，主旨是利用科技來辨認出投放於不同通路的廣告素材，以強化廣告曝光頻率控制、品牌安全風險管理、跨平臺行銷成效追蹤與規畫等。</p> <p>為了支援ACIF，IAB提出了一套格式來統一不同廣告ID資料來源的元數據，並提供API讓廠商存取、利用相關數據。IAB也會維護一個ACIF支援度目錄，給業界查詢哪些廠商的Martech和廣告版位支援ACIF。</p> <p>兩個業界大型廠商，廣告商Extreme Reach跟跨平臺廣告追蹤技術商AD-ID，已經開始合作，<a href="https://www.businesswire.com/news/home/20240611224716/en/XR-and-AD-ID-Enable-Ad-Creative-ID-Framework-to-Achieve-Cross-Platform-Advertising-Nirvana-for-the-Entire-TV-ecosystem">由後者遵循ACIF框架來追蹤前者在不同通路中投放的廣告。</a></p> <p><strong>更多Martech動態：</strong></p> <p>1.<a href="https://www.reddit.com/r/Instagram/comments/1d5r0lq/new_garbage_feature_is_being_tested"> Instagram開始測試新廣告型態「廣告休息時間」，強制用戶觀看廣告</a></p> <p>2. <a href="https://www.twilio.com/en-us/press/releases/linked-audiences">傳統CDP從可組式CDP取經，Twilio CDP新增與數據倉儲數據直接連結且查找訊息不須寫SQL的功能</a></p> <p>3.<a href="https://www.ana.net/content/show/id/pr-2024-06-cmm"> 美國國家廣告商聯合會（ANA）設立專職營利單位來負責打造及經營跨通路廣告成效測量科技</a></p> <p>資料來源：iThome整理，2024年6月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Anymind Group, Google</p> <p></p> </div></div></div>
2024/6/24 10:21作者郭又華https://www.ithome.com.tw/news/163601
傳蘋果與Meta、Google等AI公司也正洽談合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/tech/ai/apple-meta-have-discussed-an-ai-partnership-cc57437e" target="_blank">華爾街日報（WSJ）報導</a>，除了OpenAI之外，蘋果也正在和其他AI業者洽談合作將AI服務整合進自有裝置，包括有競爭關係的Meta和Google。</p> <p><a href="https://www.ithome.com.tw/news/163387" target="_blank">蘋果在6月的WWDC上宣布</a>iOS /iPadOS 18及macOS Sequoia中將加入Apple Intelligence AI功能，其中一些功能如Siri與撰寫工具並可整合OpenAI ChatGPT能力。但WSJ報導引述消息人士表示，蘋果合作的AI技術供應商將持續增加，涵括新創公司到大型廠商，包括Perplexity及已經談一陣子的Anthropic，連宿敵Meta、Google，蘋果也都在洽談將其AI模型及能力整合到Apple Intelligence中。</p> <p>此外，蘋果也正在尋求區域性合作廠商，以便在ChatGPT不允許的地區如中國提供Apple Intelligence。</p> <p>不過這些合作的合約細節不明，消息人士並說合作不保證有結果，也可能不會成功。這些業者都未對此發表評論。</p> <p>不過有一件事是肯定的，即蘋果AI服務今年內不會在歐盟推出。上周<a href="https://www.theverge.com/2024/6/21/24183251/apple-eu-delay-ai-screen-mirroring-shareplay-dma" target="_blank">蘋果對媒體證實</a>，歐盟《數位市場法》（Digital Markets Act）要求具有守門人角色的平臺開放第三方服務和其功能互通，這可能影響產品安全及隱私性，因此蘋果認為其AI功能如Apple Intelligence的生成式AI工具、iPhone映射（iPhone mirroring）及SharePlay螢幕共享功能，今年內應該不會在歐盟地區提供。但蘋果強調會和當局合作找到解決方案。</p> <p>歐盟今年3月對Google、蘋果和Meta啟動調查，了解三家大廠是否確實遵守規定。另外，出於隱私疑慮，<a href="https://www.ithome.com.tw/news/163485" target="_blank">Meta上周也宣布</a>延後Meta AI在歐盟上線，因為主管機關不允許Meta AI蒐集用戶資料以訓練具本地化特色的AI模型。</p> </div></div></div>
2024/6/24 10:22作者林妍溱https://www.ithome.com.tw/news/163605
近半Dell員工寧願不升官，也不想回公司上班
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情後，科技公司無不想員工回到辦公室上班，但員工心態已經改變。<a href="https://www.businessinsider.com/us-dell-workers-reject-return-to-office-hybrid-work-2024-6" target="_blank">Business Insiders報導</a>指出，有相當比例的Dell員工不希望回公司上班，即使不升官或調職也在所不惜。</p> <p>Dell今年三月公布一項要求員工回公司上班（return-to-office）的政策。員工必須選擇註明自己為混合上班，或遠距上班類別。混合上班類意謂著一季進公司39天，大約是一周進公司3天。而選擇遠距上班者必須同意不得升遷，或是在公司其他部門另尋新職位。</p> <p>Business Insiders近日看到Dell內部的調查，顯示將近50%的員工選擇歸類到「遠距」類，換言之，他們寧願不升職，或是寧可轉換新職也不要回公司。</p> <p>接受媒體訪談的員工有人表示本來就對升官沒興趣，有人樂於享受更多閒暇時光，另有人住在郊外，享受消費較便宜的好處。其他理由是，員工所屬部門本來就分散世界各地，回公司上班也是要開Zoom視訊會議，另一些人則是因為原本的部門辦公室早已經關閉。</p> <p>也有選擇回公司上班的員工發現，辦公室泰半時間也是空蕩蕩，回來的協同效果不大。這些員工也坦承正在尋覓不強迫員工進公司辦公的新東家。</p> <p>Dell並非是唯一無法有效叫員工回公司上班的科技公司。疫後許多公司採取更強硬態度要求員工進辦公室，例如<a href="https://www.ithome.com.tw/news/144802" target="_blank">Google</a>將進公司與否列入考績，IBM則要求經理級員工若不進公司就離職，然而<a href="https://www.cnbc.com/2024/02/04/the-ceo-return-to-office-or-else-is-having-limited-success-this-year.html" target="_blank">CNBC報導</a>，仍然有相當比例的員工無視要求，堅持不進公司，科技公司也無計可施。</p> <p>此外，即使員工被迫回公司，疫情也出現了前所未有的抵抗文化，像是靜離職（quiet quitting）或是「用咖啡刷卡（coffee badging）」，即到公司買杯咖啡就走人等新現象。</p> </div></div></div>
2024/6/24 10:43作者林妍溱https://www.ithome.com.tw/news/163606
華為公布HarmonyOS Next開發者預覽版、程式語言倉頡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華為上周舉行<a href="https://developer.huawei.com/home/hdc/hdc2024.html?promotion_cid=1002" target="_blank">開發者大會HDC 2024</a>，公布自有作業系統鴻蒙下一代作業系統（HarmonyOS Next）開發人員預覽版（Developer Preview），以及開發語言倉頡，與其他開發商資源。</p> <p><a href="https://developer.huawei.com/consumer/cn/develop/" target="_blank">HarmonyOS NEXT</a>號稱是全場景智慧型作業系統，可實現單一作業系統、應用程式可執行在桌機、行動或邊緣端等設備，支援多種使用場景。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0624-huawei-HarmonyOS%20NEXT-2.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／華為</span></span></p> <p>在2019年美國對華為發出多道封殺令後，華為全力<a href="https://www.ithome.com.tw/news/144628" target="_blank">開發自有作業系統</a>鴻蒙HarmonyOS及建立自有應用生態體系，並開發自有晶片麒麟，以擺脫美國的技術箝制。</p> <p>華為上周正式發布HarmonyOS Next開發人員預覽版及HarmonyOS SDK，以招募開發商。華為號稱HarmonyOS Next可實現整機效能提升30%，功耗下降20%、連網速度也提升3倍。HarmonyOS SDK則包含應用框架、開發服務、AI及圖形介面。華為同時宣布自有開發語言倉頡，支援全場景程式開發，還提供代理程式（agent）支援自然語言開發App，也提供了技術文件。</p> <p>下一代鴻蒙預計第4季發布正式版。</p> <p>該公司並稱HarmonyOS Next為「純血鴻蒙」，意味著完全不含外國的程式碼。中國媒體引述華為終端部門董事長余承東說法，<a href="https://www.ithome.com/0/776/768.htm" target="_blank">稱鴻蒙</a>可確保技術自主可控。</p> <p>至於如何和Android徹底切割，多家<a href="https://unwire.hk/2024/06/18/harmonyosnext-removed-all-source-code-from-us/fun-tech/" target="_blank">媒體</a>引述一名技術人員<a href="https://twitter.com/olalatech1/status/1802322635453546864" target="_blank">指出</a>，華為計畫從鴻蒙刪除包括Linux及Android所有美國軟體程式碼。</p> <p>華為表示全力衝刺鴻蒙的原生應用，目前規畫的5,000個App中已有1,500多個上架。華為同時於上周發表旗艦手機Huawei Mate 60及平板。</p> </div></div></div>
2024/6/24 10:54作者林妍溱https://www.ithome.com.tw/news/163607
搭8顆超微最新頂級資料中心GPU，技嘉AI加速伺服器上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_jia_g593-zx1_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底AMD正式推出新一代資料中心GPU產品<a href="https://www.ithome.com.tw/review/160523">Instinct MI300X</a>，多家廠商發表搭配這款加速運算平臺的伺服器，技嘉是當時公布機型的業者之一，他們當時宣布將推出兩款機型：G593-ZX1與G593-ZX2，到了今年上半，技嘉陸續推出兩款採用AMD Instinct MI300X的伺服器機型，4月先公布技術規格文件的產品是G593-SX1-AAX1，CPU採用英特爾第四代或第五代Xeon Scalable系列的，另一款是6月公布技術規格文件的G593-ZX1-AAX1，CPU採用AMD第四代 EPYC 9004系列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Instinct MI300X Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Instinct%20MI300X%20Server.jpg" style="width: 600px;" /></a></p> <p>基本上，這兩款機型的整體規格相當類似，同樣搭配8個OAM外形的資料中心GPU產品AMD Instinct MI300X——這些GPU結合在通用基板（OBB）2.0規格的模組，HBM3記憶體總共提供1.5 TB容量（192 GB x 8），GPU核心總共提供2,432個運算單元，9,728個矩陣核心，155,648個串流處理器（304個運算單元 x 8，1,216個矩陣核心x 8，19,456個串流處理器 x 8）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/G593-ZX1-AMD1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-ZX1-AMD1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G593-ZX1-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-ZX1-1.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G593-ZX1-AMD5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-ZX1-AMD5.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G593-ZX1-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-ZX1-2.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300X%20Spec.jpg" style="width: 600px;" /></p> <p>機箱的部分，它們均採用5U尺寸，設置28臺風扇與6臺3000瓦電源供應器（4+2備援），提供2個10GbE網路埠與1個遠端管理埠，而在儲存裝置方面，可裝載8臺2.5吋固態硬碟——預設支援NVMe，若需要SATA與SAS，需額外安裝SAS介面卡。</p> <p>它們的主要差異在於處理器平臺，以及記憶體插槽數量。G593-SX1-AAX1搭配2顆英特爾第四代或第五代Xeon Scalable處理器，熱設計功耗最高為350瓦，單顆最多可提供64顆核心，記憶體的部分，所用的主機板MSB3-G41提供32個插槽，可搭配DDR5-4400或DDR5-5600記憶體，整臺伺服器最大記憶體容量可達8 TB（全部採用256 GB）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD 8-GPU Server-2024.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%208-GPU%20Server-2024.jpg" style="width: 600px;" /></a></p> <p>至於G593-ZX1-AAX1，搭配2顆AMD第四代EPYC 9004系列處理器，熱設計功耗最高為300瓦，單顆最多可提供84顆核心（在特定散熱配置之下，可搭配128顆核心、熱設計功耗為400瓦以下的CPU款式），記憶體的部分，所用的主機板MZB3-G43提供24個插槽，可搭配DDR5-4800記憶體，整臺伺服器最大記憶體容量可達6 TB（全部採用256 GB）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-ZX1-AMD2.jpg" style="width: 398px;" /> <a href="https://s4.itho.me/sites/default/files/images/G593-ZX1-AAX1-04-web2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-ZX1-AAX1-04-web2.jpg" style="width: 98px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong>技嘉G593-ZX1-AAX1</strong><br /> ●原廠：技嘉科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：5U<br /> ●處理器：2顆，AMD第四代EPYC 9004系列<br /> ●記憶體：24個DDR5-4800插槽，最大可擴充至6 TB<br /> ●儲存配置：8臺2.5吋NVMe固態硬碟（可搭配SATA/SAS，但須安裝SAS介面卡）<br /> ●搭配GPU：8個AMD Instinct MI300X OAM<br /> ●I/O擴充介面：8個PCIe 5.0 x16介面卡（短版）、4個PCIe 5.0 x16介面卡（全高半長）、2個M.2（PCIe 3.0 x4、x1）<br /> ●電源供應器：6臺3000瓦（4+2備援）<br /> ●系統風扇：28臺（主機板2+4，PCIe介面卡4+2，中6+10）<br /> ●網路埠：2個10GbE埠（Intel X710-AT2）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/24 00:51作者李宗翰https://www.ithome.com.tw/review/163602
SpaceX推出方便攜帶的衛星天線Starlink Mini
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SpaceX近日寄出郵件邀請客戶購買便於攜帶的Starlink Mini天線，它比標準版天線輕了63%，相當於一臺筆電大小，內建Wi-Fi路由器，最高下載速率可達100 Mbps，售價為599美元，預計於今年7月出貨。</p> <p>此一消息是由<a href="https://x.com/SawyerMerritt/status/1803586964047929500" target="_blank">Sawyer Merritt所揭露</a>，SpaceX的工程副總裁Michael Nicolls還轉推了這個訊息。由於Merritt也是特斯拉（Tesla）的投資人，先前Tesla與SpaceX創辦人暨執行長馬斯克（Elon Musk）也曾關注Merritt的X帳戶，後來Musk因不滿Merritt經常爆料特斯拉的機密資訊而取消關注。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-starlink%20mini-photo%20by%20Sawyer%20Merritt%20on%20X%20(twitter)-2.jpg" style="width: 500px;" /></p> <p><a href="https://twitter.com/SawyerMerritt/status/1803586964047929500" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Sawyer Merritt</span></span></a></p> <p>Starlink官網已公布<a href="https://www.starlink.com/specifications?spec=5" target="_blank">Mini版規格</a>，雖然SpaceX或Musk都宣稱它可以放進背包，方便攜帶，但它整個套件的重量還是高達6.73公斤，最多可連結128個裝置。</p> <p>由於Starlink Mini天線的目的就是可到處使用，因此也綁售了每月30美元的Mini Roam漫遊服務，以搭配使用者既有的Residential服務方案。Mini Roam每月可支援50GB於美國各地的行動資料傳輸。</p> <p>外界原本就在期待Starlink Mini的出現，且馬斯克曾說Starlink Mini的價格將只有標準版的一半，不過，599美元的售價甚至比標準版天線貴了100美元。SpaceX於邀請郵件中表示，該公司的目標是調降Starlink的價格，特別是在那些負擔不起或無法連網的地區，但對於那些對Starlink Mini有額外需求的高使用率地區，將限量供應599美元的Starlink Mini。</p> <p>前幾天馬斯克就已開始<a href="https://x.com/elonmusk/status/1802567759835844838" target="_blank">使用</a>Starlink Mini，表示只花了5分鐘就設定好了，並說相信這個產品將會改變世界。</p> </div></div></div>
2024/6/22 05:39作者陳曉莉https://www.ithome.com.tw/news/163600
【資安日報】6月21日，駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用惡意廣告宣稱提供實用的應用程式，藉此來散布惡意軟體的情況，不時有事故傳出，但最近一起惡意軟體攻擊行動相當特別，因為這些駭客也同時利用Telegram頻道來進行。</p> <p>比較特別的是，由於透過即時通訊軟體的頻道來從事攻擊行動，這些駭客不只散布常見的應用程式，還散布能用於犯罪的Deepfake脫衣軟體，以及變臉、變聲工具。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163597"><strong style="font-size: 22px;">駭客組織Void Arachne鎖定中國用戶，假借提供VPN軟體、Deepfake人工智慧工具散布惡意程式Winos</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1New_VoidArachne.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1New_VoidArachne.png" style="width: 300px; float: right;" /></a></p> <p>資安業者趨勢科技在今年4月初發現駭客組織Void Arachne的攻擊行動，對方的目標主要是使用中文的用戶，假借提供簡體中文版Chrome，以及當地的VPN軟體LetsVPN、QuickVPN（快連VPN），甚至是使用Deepfake技術脫衣、變臉、變聲的人工智慧工具，或是Telegram簡體中文介面套件，目的是在使用者電腦植入後門程式Winos 4.0。</p> <p>值得留意的是，這些駭客同時藉由購買搜尋引擎廣告進行SEO中毒攻擊，或是透過簡體中文Telegram頻道，來散布惡意軟體。</p> <p>研究人員指出，這些駭客犯案的共通點，在於他們都向使用者提供MSI安裝程式，開啟、執行之後，確實會安裝對方宣稱的應用程式，但在此同時，也在用戶不知情的狀況下，部署惡意軟體，並向攻擊者的C2伺服器進行連線。</p> <p><a href="https://www.ithome.com.tw/news/163474"><strong style="font-size: 22px;">巴基斯坦駭客組織Cosmic Leopard鎖定Windows、macOS、安卓裝置散布惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-ee13eb90-a7a2-44b1-a495-91ddbe033d05.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-ee13eb90-a7a2-44b1-a495-91ddbe033d05.jpeg" style="width: 300px; float: right;" /></a></p> <p>思科旗下威脅情報團隊Talos揭露攻擊行動Operation Celestial Force，從2018年起，巴基斯坦駭客組織Cosmic Leopard鎖定印度政府機關、國防單位，以及相關技術領域的組織。值得留意的是，時至今日這項攻擊行動仍在持維進行，並未出現緩和的跡象。</p> <p>針對這波為期長達6年的攻擊行動，研究人員指出，對方起初使用RAT木馬程式GravityRAT鎖定Windows用戶，接著，為了擴大攻擊規模，他們也開發安卓版本，並在2019年針對行動裝置而來。再來，為了散布上述木馬程式，對方開發了名為HeavyLift的惡意程式載入工具，並將其用於攻擊行動。</p> <p>值得留意的是，HeavyLift不光能在Windows上執行，若是偵測到在macOS作業系統環境，並未取得root權限，他們就會下達特定命令取得管理權限，然後下載ZIP壓縮檔並植入有效酬載。</p> <p><a href="https://www.ithome.com.tw/news/163473"><strong style="font-size: 22px;">駭客鎖定WordPress網站下手，目的是要脅瀏覽網站的使用者瀏覽器過舊，藉此散布惡意程式</strong></a></p> <p>資安業者Sucuri揭露最近一波從今年4月下旬出現的攻擊行動，過程中攻擊者濫用名為Hustle的WordPress外掛程式，該外掛主要用途是電子郵件市場行銷，或是產生彈出式廣告視窗，從而經營客戶。</p> <p>然而，對方利用這款外掛程式對WordPress網站下手，將惡意程式碼注入，使用者只要瀏覽網站，就會看到彈出式視窗，「警告」已偵測到有漏洞的Chrome，要求更新瀏覽器。一旦使用者按下彈出式視窗上的按鈕，就會被重新導向惡意網址，下載惡意軟體（大部分被命名為GoogleChrome-x86.msix）。但值得留意的是，使用者就算是使用Firefox、Opera、Edge瀏覽網站，同樣會看到上述的彈式視窗。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://cybersecurity.att.com/blogs/labs-research/highly-evasive-squidloader-targets-chinese-organizations"><strong style="font-size: 20px;">惡意軟體載入工具SquidLoader鎖定中國企業組織而來</strong></a></p> <p></p> <p>◆<a href="https://www.fortinet.com/blog/threat-research/fickle-stealer-distributed-via-multiple-attack-chain"><strong style="font-size: 20px;">Rust竊資軟體Fickle Stealer利用PowerShell繞過使用者帳號控制防護機制</strong></a></p> <p></p> <p>◆<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/telecoms-espionage-asia"><strong style="font-size: 20px;">中國駭客組織針對亞洲電信業者植入後門，嘗試竊取帳密資料</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/solarwinds-serv-u-path-traversal-flaw-actively-exploited-in-attacks/"><strong style="font-size: 20px;">SolarWinds檔案伺服器軟體Serv-U路徑穿越漏洞傳出遭到積極利用</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163594"><strong style="font-size: 22px;">研究人員針對Wget漏洞提出警告，呼籲用戶近期應留意相關資安公告</strong></a></p> <p>德國研究人員Günter Born指出，6月17日德國電腦緊急應變團隊（CERT-Bund）針對CVE-2024-38428提出警告值得留意，因為，這項存在於下載工具Wget的漏洞相當危險，CVSS風險評分達到10分，1.24.5版及之前版本都受到影響，攻擊者可遠端利用。</p> <p>值得留意的是，在大部分的Unix與Linux系統當中，都可以用Wget來下載檔案，後續也被移植到Windows、macOS等多種應用系統，使得這套工具的存在相當普遍，以這次被找出的漏洞而言，無論是Linux還是Windows版本，都存在這項漏洞。</p> <p>不過，事隔2天，CERT-Bund下修CVE-2024-38428的CVSS分數為6.3，列為中等風險漏洞，但為何大幅調整風險評分，他們並未進一步說明。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163577"><strong style="font-size: 22px;">AWS安全長揭露防護生成式AI的心法</strong></a></p> <p></p> <p>生成式人工智慧拜ChatGPT之賜，不到一年就竄升為家戶喻曉的人工智慧代名詞，而在各行各業積極探索新興應用商機之際，對於生成式人工智慧（Generative AI）潛在的資安顧慮也隨之湧現。</p> <p>亞馬遜（Amazon）安全長Steve Schmidt在re:Inforce 2024的演講中指出，生成式人工智慧並非橫空出世，而是承襲機器學習與人工智慧技術數十年發展脈絡的最新階段，因此資安的基本原則與人工智慧安全防護經驗都仍適用，他也公開亞馬遜的人工智慧安全團隊成立的經驗，包括資安組織的定位如何不會限制人工智慧的創新可能性、如何協助開發團隊做出正確的安全決策，以及在安全檢驗方面有別於傳統資安測試之處。</p> <p><a href="https://www.ithome.com.tw/news/163576"><strong style="font-size: 22px;">資安院首度發表AI打詐技術，詐騙廣告偵測率超過九成</strong></a></p> <p>打詐是臺灣政府新內閣首要任務，也是民眾生活最大痛點之一。為了解決這個問題，數發部數位產業署委託資通安全研究院研發，他們期盼透過運用AI技術，從源頭做到「識詐」、「防詐」以遏止詐騙橫行。資安院副院長林盈達表示，從今年1月開始執行的廣告自動化巡檢技術，每個月可以檢測超過50萬筆廣告，一旦偵測到詐騙廣告，會進行後續通報。</p> <p>他表示，今年五月詐騙廣告數量超過20萬筆創下新高，資安院採用AI偵測詐騙廣告的準確度達93％，而在這個巡檢的過程中，他們也發現97％詐騙廣告刊登不到兩天，顯示相關的阻擋機制必須跟時間賽跑，因為處理時機稍縱即逝。</p> <p><a href="https://www.ithome.com.tw/news/163589"><strong style="font-size: 22px;">美國宣布全面禁售卡巴斯基產品</strong></a></p> <p>美國商務部（Department of Commerce，DoC）旗下的工業及安全局（Bureau of Industry and Security，BIS）於6月20日宣布了一項最終裁決（Final Determination），自今年7月20日起，將禁止卡巴斯基（Kaspersky）於美國銷售網路安全產品/服務及防毒軟體，自9月29日起禁止提供相關產品的更新，原因是擔心總部位於俄羅斯的卡巴斯基，會因美、俄之間的緊張關係，危害美國的國家安全。</p> <p>值得留意的是，這樣的政策並非空穴來風，2017年7月美國便限制政府採購卡巴斯基產品，9月要求政府機關全面移除卡巴斯基產品，更在2022年將卡巴斯基列入國家安全威脅名單，現在則全面擴大至美國一般個人用戶及組織。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://www.ithome.com.tw/news/163559"><strong style="font-size: 20px;">Google資安證書課程大公開，在臺合作計畫鎖定跨域轉職與大學生</strong></a></p> <p></p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163111"><strong style="font-size: 22px;">學校教育至少要能培養出資安人手，期許成為博派資安人</strong></a></p> <p>資訊安全在當今社會日益受到重視，成為眾多產業和政府機構關注的焦點之一。然而，資安的發展過程中也面臨著各種挑戰，而這些挑戰往往不只是技術，更牽涉到人、政策和社會等多個層面。臺灣科技大學資訊管理系特聘教授吳宗成對於資安領域的發展和挑戰有著深刻的見解，他指出，資安產業的發展需要適當的熱度，但又不能過熱，以免阻礙未來的發展。</p> <p>吳宗成用「變形金剛」來比喻，他說資安人就要像博派機器人，不能只活在自己的世界，要懂人民生活感受並能提出對策，不能只懂學理、固守自己觀點、活在象牙塔。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163574"><strong>【6月20日】中國駭客UNC3886利用多項防火牆及虛擬化平臺的零時差漏洞隱匿行蹤，並部署後門程式持續存取網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163551"><strong>【6月19日】初始入侵管道掮客IntelBroker聲稱握有晶片大廠AMD內部機密資料，該公司表示將著手調查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163529"><strong>【6月18日】未補漏洞且暴露在外網的舊款F5 BIG-IP設備成駭客入侵企業內部環境的破口，中國駭客潛入竊密長達3年</strong></a></p> </div></div></div>
2024/6/21 17:40作者周峻佑https://www.ithome.com.tw/news/163599
「提供金融創新更大的容錯空間！」金管會主委彭金隆發表未來金融科技發展方向，七月將提出更具體的發展計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「金融業未來需要很多工具，來推動數位和永續轉型，未來希望能夠讓金融業有更大的空間來應用這些工具。」金管會主委彭金隆今日接受媒體聯訪時，用這句話來說明他對金融科技發展的態度。他也表示，將在七月中或下旬提出金融科技具體規劃和未來發展方向。</p> <p>他解釋，金融業未來需要面臨許多挑戰，不僅是同業間的挑戰，也包括異業。因此，金管會未來希望尋求更大的容錯空間，讓金融業有更多嘗試新方法的可能。</p> <p>彭金隆進一步指出，未來希望透過活化監理沙盒，讓社會對創新有更大的容錯空間。他說明，過去金融業推動創新是透過沙盒和試辦，多年來，三局的業務試辦已累積超過六、七十件案件，「但我們認為，除了量以外，還要提升品質。」</p> <p>他點出，目前的試辦範圍較小，僅能根據兩條路徑進行試辦，一個是依據現有核准業務進行擴展，另一個是經過金管會核准，始得試辦。「任何規定裡不同意的項目，就不允許開辦。」因此，彭金隆表示，未來可能先調整金管會能全權調整的規定，讓暫時不允許的項目，成為可以試辦的範圍，以此放寬金融業的創新業務發展空間。</p> <p>金管會綜合規劃處處長胡則華則補充，接下來會放寬法規命令和法律規範，包含行政規則，或是周邊單位的自律規範，讓業者能提出更多創新試辦項目。</p> <p>另外針對監理沙盒相關規範，金管會去年底已委外研究如何修正相關規範，包括如何更順利將實驗項目落地。預計在七月發布委外研究報告。</p> <p>彭金隆最後表示，更具體的金融科技發展規劃會在七月中或下旬提出。</p> <p></p> </div></div></div>
2024/6/21 17:10作者李昀璇https://www.ithome.com.tw/news/163596
駭客組織Void Arachne鎖定中國用戶，假借提供VPN軟體、Deepfake人工智慧工具散布惡意程式Winos
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者趨勢科技在今年4月初發現<a href="https://www.trendmicro.com/en_us/research/24/f/behind-the-great-wall-void-arachne-targets-chinese-speaking-user.html">駭客組織Void Arachne的攻擊行動</a>，對方的目標主要是使用中文的用戶，假借提供簡體中文版Chrome，以及當地的VPN軟體LetsVPN、QuickVPN（快連VPN），甚至是使用Deepfake技術脫衣、變臉、變聲的人工智慧工具，或是Telegram簡體中文介面套件，目的是在使用者電腦植入後門程式Winos 4.0。</p> <p>值得留意的是，這些駭客同時藉由購買搜尋引擎廣告進行SEO中毒攻擊，或是透過簡體中文Telegram頻道，來散布惡意軟體。</p> <p>研究人員指出，這些駭客犯案的共通點，在於他們都向使用者提供MSI安裝程式，開啟、執行之後，確實會安裝對方宣稱的應用程式，但在此同時，也在用戶不知情的狀況下，部署惡意軟體，並向攻擊者的C2伺服器進行連線。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1New_VoidArachne.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1New_VoidArachne.png" style="width: 580px;" /></a></p> <p>由於中國政府對於民眾上網嚴格監管，因此，使用VPN服務翻越當局防火長城（Great Firewall）的情況，也相當常見。駭客提供這樣的工具，確實相當容易吸引用戶上當，但在研究人員提及的攻擊行動裡，我們認為對方利用Telegram散布人工智慧工具情況，更值得留意。</p> <p>因為研究人員發現，這些駭客同時也透過多個中文Telegram頻道散布上述加料的VPN應用程式，循線進一步調查，對方竟藉由這些頻道提供利用Deepfake技術的人工智慧應用程式。</p> <p>這些應用程式大致可分成兩種類型，其中一種是一鍵脫衣的色情圖片及影片生成工具（Nudifier AI），另一種則是換臉及變聲的工具。</p> <p>其中，又以脫衣軟體最值得留意，因為這樣的工具很容易引誘男性用戶上鉤，他們聲稱可以讓用戶只要花費一包香菸的錢，就能看到心儀的女同事、女同學裸體的樣貌。</p> <p>為了讓用戶隨時能取得這些Deepfake軟體，這些駭客還在頻道頂部放置惡意MSI檔案下載的連結，甚至提供試用密碼，並要求下載檔案前必須關閉防毒軟體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig%208_Void%20Arachne.png" style="width: 364px;" /></p> <p>而對於駭客在安裝程式埋入的惡意程式，研究人員指出，一旦使用者執行安裝檔案，就會竄改防火牆規則，將惡意軟體相關網站加入白名單，然後啟動VBS指令碼，傳送名為Winos 4.0的C2框架，以及與C2伺服器建立連線的程式。</p> <p>駭客使用C++打造Winos 4.0，此程式能執行檔案管理、控制網路攝影機、螢幕截圖、透過麥克風錄音、側錄鍵盤輸入內容，甚至能發動DDoS攻擊、存取遠端Shell。此外，這個惡意程式還能透過外掛程式增加破壞威力。</p> </div></div></div>
2024/6/21 17:32作者周峻佑https://www.ithome.com.tw/news/163597
研究人員針對Wget漏洞提出警告，呼籲用戶近期應留意相關資安公告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國研究人員Günter Born指出，6月17日德國電腦緊急應變團隊（CERT-Bund）針對CVE-2024-38428提出警告值得留意，因為，<a href="https://borncity.com/win/2024/06/18/critical-vulnerability-cve-2024-38428-in-wget/">這項存在於下載工具Wget的漏洞相當危險</a>，CVSS風險評分達到10分，1.24.5版及之前版本都受到影響，攻擊者可遠端利用。</p> <p>值得留意的是，在大部分的Unix與Linux系統當中，都可以用Wget來下載檔案，後續也被移植到Windows、macOS等多種應用系統，使得這套工具的存在相當普遍，以這次被找出的漏洞而言，無論是Linux還是Windows版本，都存在這項漏洞。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38428_0617.png" style="width: 580px;" /></p> <p>不過，事隔2天，<a href="https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2024-1386">CERT-Bund下修CVE-2024-38428的CVSS分數為6.3</a>，列為中等風險漏洞，但為何大幅調整風險評分，他們並未進一步說明。</p> <p>值得留意的是，目前最新的版本，是今年3月發布的1.24.5版，因此Günter Born認為，這項弱點有可能影響相當廣泛，有待各Linux開發商著手修補。</p> <p>這項漏洞發生的原因，在於Wget模組url.c處理URI的子元件userinfo當中的分號出錯，而有可能導致在userinfo裡的資料被錯誤解讀成主機子元件的一部分，若有人使用特製的URL，就有可能讓身分驗證資料、主機標頭資訊，以及帳密資料洩露的情況，甚至部分資料攻擊者可進一步用於網路釣魚和中間人攻擊（MitM）。</p> <p>根據GNU基金會的漏洞討論區，開發人員Tim Rühsen表示，<a href="https://lists.gnu.org/archive/html/bug-wget/2024-06/msg00005.html">他們正在努力修補相關程式碼緩解漏洞</a>，但也強調，Wget 1.x版實作的URL解析器，是依據1998年的標準RFC 2396打造，所以導致這樣的錯誤，然而基於相容性的考量，開發團隊不會更換此解析器採用的標準。</p> <p>這名開發人員也指出，GNU已開發Wget2新版，有些Linux版本開始改用新版取代1.x，例如：Fedora開發團隊於40版導入Wget2。</p> </div></div></div>
2024/6/21 15:26作者周峻佑https://www.ithome.com.tw/news/163594
美國宣布全面禁售卡巴斯基產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商務部（Department of Commerce，DoC）旗下的工業及安全局（Bureau of Industry and Security，BIS）周四（6/20）<a href="https://www.bis.gov/press-release/commerce-department-prohibits-russian-kaspersky-software-us-customers" target="_blank">宣布了一項最終裁決</a>（Final Determination），自今年7月20日起，將禁止卡巴斯基（Kaspersky）於美國銷售網路安全產品/服務及防毒軟體，自9月29日起禁止提供相關產品的更新，原因是擔心總部位於俄羅斯的卡巴斯基，會因美、俄之間的緊張關係，危害美國的國家安全。</p> <p>1997年成立於俄羅斯的卡巴斯基為一全球知名的資安業者，主要開發及銷售防毒、網路安全、密碼管理、端點安全與其它資安服務，它在全球31個國家設有辦公室，服務全球逾200個國家的27萬家組織及逾4億名用戶。</p> <p>不過，美國於2017年7月<a href="https://www.ithome.com.tw/news/115525" target="_blank">便限制</a>政府採購卡巴斯基產品，9月<a href="https://www.ithome.com.tw/news/116840" target="_blank">要求</a>政府機關全面移除卡巴斯基產品，更在2022年將卡巴斯基<a href="https://www.ithome.com.tw/news/150125" target="_blank">列入</a>國家安全威脅名單，現在則全面擴大至美國一般個人用戶及組織。</p> <p>BIS說，它們已確定卡巴斯基對美國國家安全構成不可接受的風險，因為該公司受到俄羅斯政府的管轄、控制與指示，必須遵守俄羅斯政府利用其軟體存取敏感資訊的請求；卡巴斯基員工可能會將美國客戶資料傳送到俄羅斯，那麼俄羅斯政府便有權存取；此外，卡巴斯基也具備了於用戶裝置上安裝惡意軟體或是阻擋裝置關鍵更新的能力；第三方產品若是整合了卡巴斯基的技術，也可能危害美國民眾的裝置或網路。</p> <p><a href="https://oicts.bis.gov/pdfs/AppendixB.pdf" target="_blank">受到影響的卡巴斯基產品</a>超過80項，從防毒軟體、網路安全產品、VPN服務、雲端服務、端點安全產品、電子郵件安全服務到行動裝置與IoT的安全服務全被禁售。</p> <p>為了讓美國既有的卡巴斯基用戶有時間尋找替代方案，BIS允許卡巴斯基在9月29日之前還可更新用戶的病毒碼與程式碼。此外，儘管美國並不會處罰繼續使用現有卡巴斯基產品的個人與企業，但提醒任何繼續使用相關產品的個人或組織都將承擔隨後的網路安全與風險。</p> <p>值得注意的是，此一裁決並未涵蓋卡巴斯基所提供的威脅情報產品/服務、安全培訓產品/服務，或是卡巴斯基的顧問與諮詢服務，美國組織仍能與卡巴斯基交流並進行上述屬於教育性質的交易。</p> <p>卡巴斯基也在同一天<a href="https://usa.kaspersky.com/about/press-releases/2024_kaspersky-statement-on-the-us-commerce-department-determination" target="_blank">發表了聲明</a>，指出美國商務部的決定是基於當前的地緣政治氣候及理論上的考量，而非是對卡巴斯基產品和服務完整性的評估。除了強調該裁決並不會影響卡巴斯基在美國推廣及銷售網路威脅情報或培訓服務的能力之外，也說會採用一切合法手段來維持其現有的營運及關係。</p> </div></div></div>
2024/6/21 12:27作者陳曉莉https://www.ithome.com.tw/news/163589
率先提供雙埠，三星初代PCIe 5 SSD獲多家伺服器廠商採用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/san_xing_pm1743_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就市面上的伺服器運算平臺而言，從2023年以後正式迎接PCIe 5.0介面的到來，然而，在2021年下半，開始有廠商推出支援此介面的企業與資料中心固態硬碟產品，例如，<a href="https://apac.kioxia.com/en-apac/business/news/2021/20211109-1.html">11月鎧俠（Kioxia）率先發表採用E3.S外形的CD7-R系列</a>，我們現在要介紹的是另一款產品，後續於同年12月三星宣布推出的PM1743。</p> <p>根據當時所揭露的消息指出，預計2022年第1季開始量產的PM1743，已對部分全球晶片與伺服器廠商提供樣品，當中導入三星發展的第6代V-NAND技術，期盼能充分支援AI/ML應用與高效能需求的資料庫系統，預計將提供兩種外形：2.5吋（U.2/U.3）、厚度為15公釐，以及3吋、厚度為7.5公釐的E3.S，儲存容量範圍涵蓋1.92 TB至15.36 TB；而在連接介面的備援與存取穩定度的維持機制上，三星在此提供雙埠（Dual-Port）的配置。在安全性的部分，PM1743也將實作多種進階防護機制，像是嵌入1顆安全處理器與信任根（RoT），預防資安威脅與產品偽造，確保存放資料的機密性與裝置完整性，同時，也能搭配見證（attestation）機制，實現伺服器系統的安全開機啟動。</p> <p>關於存取效能的表現方面，PM1743用於循序讀取作業時，可達13,000 MB/s，若用於隨機讀取，則為250萬IOPS，相較於前一代採用PCIe 4.0介面的產品，PM1743效能提升幅度分別為70％與90％。能源使用效率也是這款新產品的重要特色，三星表示，PM1743的每瓦效能為608 MB/s，比上一代產品增加了30％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PM1743 Performance-SPEC.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PM1743%20Performance-SPEC.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PM1743-SEQ-128KB.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PM1743-SEQ-128KB.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/PM1743-RAN-4KB.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PM1743-RAN-4KB.png" style="width: 298px;" /></a></p> <p>到了2023年1月CES大展，三星正式公開展出PM1743，並更新部分規格，例如，循序讀取效能提升至14,000MB/s，能源使用效率超越上代產品的幅度增加至40％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Web-2023-01-ces-2023-samsung-electronics-showcases-cutting-edge-memory_6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-2023-01-ces-2023-samsung-electronics-showcases-cutting-edge-memory_6.jpg" style="width: 600px;" /></a></p> <p>而從2022年中開始，有多家伺服器廠商在他們的產品搭配三星PM1743。首開先例的是<a href="https://www.qct.io/Press-Releases/index/PR/Server/QCT-Collaborates-with-Samsung-and-Intel-to-Lead-Transition-to-PCIe-Gen5-with-Next-Generation-Servers-and-SSDs/1/0">雲達科技（QCT）</a>，6月宣布三星PM1743通過新款NVMe全快閃儲存伺服器的搭配驗證。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-qct-collaborates-with-samsung-and-intel_1.jpg" style="width: 600px;" /></p> <p>聯想是在2023年3月搭配三星PM1743，該公司特別為此搭配而<a href="https://lenovopress.lenovo.com/lp1712-thinksystem-pm1743-read-intensive-nvme-pcie-50-ssd?orgRef=https%253A%252F%252Fwww.google.com%252F">發布獨立的產品指南</a>，5月底增列E3.S、支援熱抽換的款式，6月中納入2.5吋U.3、支援熱抽換的款式，7月中提供E3.S、無托盤的款式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Lenovo-Samsung%20PM1743-Product%20Guide.jpg" style="width: 600px;" /></p> <p>HPE應該是在2023年4月開始搭配三星PM1743，根據ProLiant Gen11系列伺服器各款機型硬體規格更新公告，因為那時開始標示E3.S固態硬碟可搭配三星PM1743，直到12月硬體改版公告，才開始提供其他品牌的選擇（搭配鎧俠第二波推出的PCIe 5.0固態硬碟CM7）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE ProLiant Gen11-Spec-2024-04.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20ProLiant%20Gen11-Spec-2024-04.jpg" style="width: 600px;" /></a></p> <p>Dell的伺服器也搭配三星PM1743，根據該公司的伺服器管理軟體Dell OpenManage 11.0.1.0版本更新公告（2023年9月釋出A00版），可看到支援三星PM1743、PM1745這兩款機型的E3.S外形款式，以及鎧俠CM7的2.5吋U.2外形款式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20OpenManage%20Server%20V11_0_1.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>三星PM1743</strong><br /> ●原廠：三星<br /> ●建議售價：廠商未提供<br /> ●儲存容量：1.92 TB、3.84 TB、7.68 TB、15.36 TB<br /> ●外形：2.5吋U.2與U.3、E3.S<br /> ●儲存媒體：3D NAND，TLC<br /> ●最高讀寫速度：循序14,000 MB/s與7,100 MB/s，隨機250萬IOPS與36萬IOPS<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用度：每日寫入量為1<br /> ●可靠度：250萬小時MTBF</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/21 12:42作者李宗翰https://www.ithome.com.tw/review/163573
Anthropic發表Claude 3.5 Sonnet，評測凌駕Claude 3 Opus與GPT-4o
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI主要競爭對手之一Anthropic本周<a href="https://www.anthropic.com/news/claude-3-5-sonnet" target="_blank">發表了Claude 3.5 Sonnet</a>，Sonnet為Claude的中階模型，但Anthropic宣稱它的性能與效率已超越Claude 3.0的高階模型Opus，在大多數的評測上亦凌駕了OpenAI於今年5月<a href="https://www.ithome.com.tw/news/162852" target="_blank">推出的GPT-4o</a>，此外，Anthropic也在網頁版的Claude.ai預覽一項新的Artifacts功能，可於個別的工作空間即時呈現所有的生成結果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-Claude%203dot5%20Sonnet-600.png" style="width: 600px;" /></p> <p>Claude 3.5 Sonnet的執行速度是Claude 3 Opus的兩倍，Anthropic內部以自然語言描述要求不同模型修補開源程式碼臭蟲或新增功能，發現Claude 3.5 Sonnet解決了64%的問題，超越了Claude 3 Opus的38%。在提供指示與相關工具之後，Claude 3.5 Sonnet得以獨立撰寫、編輯與執行程式碼，展現了複雜的推論及故障排除能力，可輕鬆處理程式碼的轉換，令它能夠更有效率地更新老舊應用程式並遷移程式碼庫。</p> <p>此外，Claude 3.5 Sonnet不僅在所有基準評測上都凌駕Claude 3 Opus，它在GPQA、HumanEval、MGSM、DROP、BIG-Bench-Hard或是與視覺有關的MathVista、AI2D、Relaxed accuracy及ANLS score等評測上也超越了GPT-4o，只於MMLU、MATH及MMMU上略遜GPT-4o。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-Claude%203dot5%20Sonnet-2.png" style="width: 600px;" /></p> <p>Anthropic亦開始於Claude.ai上預覽新的Artifacts功能，在啟用Artifacts之後，當使用者與Claude模型對話時，旁邊會出現一個新視窗，同步呈現模型所生成的所有內容，不管是程式碼、文字檔案或是網站設計。該功能替使用者創造了一個動態的工作空間，允許使用者即時檢視、編輯及建置源自Claude模型的內容，以無縫將AI生成的內容整合到使用者的專案或工作流程之中。</p> <p class="rtecenter"><a href="https://www.youtube.com/watch?v=rHqk0ZGb6qo" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-Claude%203_5%20Sonnet-Artifacts.png" style="width: 600px;" /></a></p> <p>Anthropic指出，Artifacts功能意味著Claude將從對話式AI轉至協作工作環境，且很快就會支援團隊協作，最終令整個組織能夠在一個共用空間中集中其知識、文件，或是正在進行中的任務，讓Claude扮演一個在使用者有需要時就可出現的團隊成員。</p> <p>一般使用者透過Claude.ai及Claude iOS程式就可免費存取Claude 3.5 Sonnet，至於 Claude Pro與Claude Team 方案的訂閱用戶則有更高速率的存取權限。開發者亦可透過Anthropic API、Amazon Bedrock及Google Cloud的Vertex AI存取該模型，輸入100萬Token的費用為3美元，輸出100萬個Token的費用為15美元，且支援20萬個Token的脈絡長度。</p> <p>Anthropic表示，該公司的目標是每幾個月就會大幅改善智慧、速度與成本之間的權衡曲線，今年也會發表低階的Claude 3.5 Haiku 與高階的Claude 3.5 Opus。且除了下一代模型之外，該公司亦正在建置新模型來支援企業的應用，包括整合企業應用程式；亦正在探索諸如Memory等功能，以讓Claude能夠記憶使用者的偏好與交流紀錄，以讓它更個人化及更有效率。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Anthropic</span></span></p> </div></div></div>
2024/6/21 12:42作者陳曉莉https://www.ithome.com.tw/news/163590
戰略設計對實作DDD的重要性
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-shi_zhan_ling_yu_qu_dong_she_ji_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>協作軟體CollabOvation專案的開發團隊第一次實作DDD，一開始便偏離了正確的道路，使得模型愈來愈含糊不清。會發生這種情況是因為他們不理解戰略設計，連最基本的概念都沒有。其實大多數的軟體開發人員都是把焦點放在實體（Entity）或值物件（Value Object），目光無法放遠、看不見全局，把真正重要的核心領域概念跟一般業務混淆在一起，以至於原本應該分開的兩個模型合在一起了。很快他們就感受到下圖反映的設計問題，重點是，他們沒有達到實作DDD的目標。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AF%A6%E6%88%B0DDD_600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%9A%E7%A2%A9%E6%96%87%E5%8C%96(1).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>由於團隊不了解戰略設計的基礎，導致協作模型的概念一團糟，其中虛線圈起來的，就是有問題的部分。</strong></span></p> <p>此時SaaSOvation團隊中有些人說道：「是不是因為這套軟體的協作概念，與使用者（User）和權限（Permission）緊密耦合（tightly-coupled）？我們必須查出誰做了什麼事。」資深開發人員則表示，團隊需要注意的不僅僅是使用者與權限的耦合問題：「畢竟論壇（Forum）、發表文章（Post）、討論（Discussion）、行事曆（Calendar）還有行事曆項目（Calendar Entry），全都需要與某種協作物件建立耦合關係。這才是真正的問題，根本原因在於用語錯了。」接著這位開發人員向團隊成員說明，論壇、發表文章、討論等等全都用了錯誤的通用語言。使用者與權限與協作無關，也與協作使用的通用語言不符。使用者和權限是與安全性有關的概念，也就是身分與存取。既然是「協作情境」（Collaboration Context），那麼，在協作領域模型所處的Bounded Context內，就應該使用與協作相關的用語，但現在並非如此。「真正的重點應該在協作概念上，像是『發文者』（Author）與『版主』（Moderator），這些才是在『協作情境』中要使用的正確概念與用語。」</p> <p>基本上，SaaSOvation公司這群開發人員一開始就不知道「使用者」與「權限」跟協作軟體無關。雖然一套軟體一定會有「使用者」而且也需要「權限」管理，才能知道誰可以做什麼事情；但「協作軟體」更應該著重在使用者的「角色」上，而非這個人是誰以及這個人能夠做什麼事情。然而，目前這個協作模型完全是以使用者與權限的概念為中心，要是哪天使用者與權限的管理和運作上改變了，那麼很多模型（甚至可能是全部模型）都會受到波及。這個問題事實上已經迫在眉睫了，團隊正打算從以權限為中心的管理機制改為以角色為中心的存取管理機制；當這個決定做下去之後，他們就會更清楚戰略建模出現問題。</p> <p>現在團隊知道論壇功能的重點不應該是誰可以發表文章、或是什麼情況下可以這樣做，論壇只需要知道「發文者」在做這件事情就好。團隊現在弄清楚了，判斷誰可以做什麼事情是另外一個模型的工作，作為核心的協作模型只需知道已經決定好某個操作要授權給誰（角色）。對於論壇來說，只需要知道發文到討論串的人是「發文者」角色。對協作模型的Bounded Context─也就是「協作情境」而言，論壇和發文者顯然是情境中會使用的通用語言。至於使用者、權限、角色等等概念，又是另一個完全不同的情境用語了，不能跟「協作情境」中的詞彙混在一起。</p> <p>從開發團隊的視角來看，把使用者、權限、角色等分割為另一個模型，然後在同一個Bounded Context中，劃分出邏輯上的「安全性子領域」，乍看似乎沒錯，因此很容易就會導出這樣的結論：只需要解決使用者與權限的緊密耦合問題。然而，最佳建模策略之所以如此重要，是因為團隊下一個核心領域專案也一樣有以角色為中心的存取需求，並且各領域依賴於領域所屬的角色。很顯然，使用者與角色是屬於支援或通用子領域的概念，未來在整個公司甚至面對客戶（customer-facing）都能夠發揮作用。</p> <p>因此，採取更積極的方法來建立清晰簡潔的模型，可以幫助開發團隊避免許多潛在問題，否則很有可能會把這個專案滾成一坨大泥球（Big Ball of Mud）。雖然在DDD建模當中，模組化（modularization）確實是一項重要工具，但問題的根本原因不在於沒有把使用者與權限模組化，而是使用了錯誤的情境用語。</p> <p>幸好資深開發人員對此非常警覺，要是沒人發現，思考很容易愈來愈偏，導致情況愈來愈混亂、甚至可能變成一場災難。等到團隊要對另一組非協作的概念進行建模時，核心領域會變得更模糊，最後產出一個含糊不清的模型，也無法在程式碼中看到協作情境的通用語言。因此，團隊首先必須搞清楚他們開發的業務領域、子領域以及BoundedContext的範圍，這樣才能避開戰略設計對立面的陷阱，不至於落入「大泥球」的下場。換句話說，團隊需要先建立起戰略建模的思維模式。</p> <p><span style="font-size:28px;"><strong>Bounded Context的重要性</strong></span></p> <p>「Bounded Context」意指一個明確的邊界，領域模型存在這個範圍內，而領域模型則是透過軟體模型來表達通用語言。邊界之所以需要存在，是因為模型各自的概念、屬性（property）、行為都有其特殊意義。如果你是負責建模的團隊成員，你一定要了解情境中每個概念的確切意義。</p> <p>我們也常看到，兩個明顯不同的模型有著明明一樣或類似名稱的物件，但卻代表不同含義。當我們分別對這兩個模型畫下明確的邊界，就可以知道這些概念在不同邊界內各自代表什麼意義；因此，「Bounded Context」主要是指「語義上的分界」。讀者應該依據這些論點，檢驗自己對於Bounded Context概念的理解和運用是否正確。</p> <p>現在，讓我們回到圖片上，快速檢視一遍SaaSOvation的協作軟體開發團隊針對建模挑戰提出解決方案。</p> <p>在「協作情境」中，領域專家不會把使用協作功能的人描述成「有權限的使用者」，而是會根據他在該情境中扮演的角色，如「發文者」、「擁有者」、「參與者」或是「版主」來指稱；雖然當中會有使用者的一些聯絡資訊，但不會是全部，這些是屬於「身分與存取情境」中的「使用者」資訊，在該情境中，使用者物件會帶有使用者名稱以及相關個人資訊，像是各種聯絡方式。</p> <p>但是「發文者」物件也不是憑空產生的，每一個協作者都需要事先經過認證設定；我們會在「身分與存取情境」中進行驗證，確認使用者被指定扮演的角色，在執行安全驗證的過程中，驗證資料的屬性會隨著請求一同發送到「身分與存取情境」。要建立新的協作者物件，像是新增「版主」角色時，需要一部分的「使用者」屬性並指定一個「角色」（Role）名稱。這裡的重點是：兩個不同的概念，同時存在著異同之處，而它們之間的差異要透過Bounded Context來判斷。<strong>（本文摘錄整理自《實戰領域驅動設計》第二章，博碩文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AF%A6%E6%88%B0DDD_600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%9A%E7%A2%A9%E6%96%87%E5%8C%96.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 實戰領域驅動設計（Implementing Domain-Driven Design）</strong></p> <p>Vaughn Vernon／著；錢亞宏／譯</p> <p>博碩文化出版</p> <p>定價：1,280元</p> <p><a href="https://vaughnvernon.com/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%AF%A6%E6%88%B0DDD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Vaughn%20Vernon.jpg" style="width: 225px;" /></a></p> <p><a href="https://vaughnvernon.com/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Vaughn Vernon</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p>Vaughn Vernon</p> <p>Vaughn Vernon是一名資深的軟體工程師，在軟體設計、開發與架構方面擁有超過25年以上的豐富經驗，提倡將創新的方法運用於實作當中並簡化軟體設計。自1980年代以來，他一直在從事物件導向語言的程式設計，並於1990年代初期還以Smalltalk作為領域建模工具的時期開始就致力於領域驅動設計。他在國際間提供軟體開發的諮詢與授課服務，並在許多國家開設「實戰領域驅動設計」的訓練課程。</p> </div></div></div>
2024/6/21 13:05未署名https://www.ithome.com.tw/article/163591
【LLM應用採用實例】老牌導航大廠TomTom如何打造新一代車用助手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想像一下，你打開車門、進入駕駛座，忽然想起之前去過的景點，想再訪卻想不起名字。於是你開口問：「我想再去一次那個賽車場，它叫什麼？」方向盤旁的車用助理立刻回答：「Circuit Zandvort。」你又說：「太好了，我想去那裡。附近有哪些充電站呢？」接著，車用助理列出賽車場周遭的充電站，秀在方向盤旁的顯示器上。你看了看說：「麻煩帶我到第一個充電站，也幫我調高車內溫度，」於是，螢幕上秀出導航地圖，車內溫度也變暖了。</p> <p>這正是荷蘭老牌導航廠商TomTom，在今年Build大會上秀出的智慧座艙原型實測影片。他們如何打造？</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2-case-600-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>專攻導航與圖資的荷蘭廠商TomTom打造一款智慧座艙車上助理，駕駛用語音提問，如導航去特定的充電站、調高溫度，就能得到相對應的回覆。</strong><span style="font-size: 14px;">圖片來源／TomTom</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>選定LLM大腦搭配5大技術</strong></span></span></p> <p>「早在2023年，我們就開始動手做了。」TomTom資料科學家Massimiliano Ungheretti指出，團隊當時受到ChatGPT啟發，認為這類大型語言模型（LLM）可作為智慧座艙的大腦，來協調操控行車大小事。有了大腦，他們還需要「耳、口、手、短期記憶、知識」才能完成駕駛指令，而這5項核心技能，分別對應到自動語音識別、文字轉語音、功能／外掛／動作、對話狀態，以及向量搜尋和檢索增強生成（RAG）等技術。</p> <p>Massimiliano針對最後一項說明，雖然LLM大腦很聰明，但未必具備特定知識，因此他們決定採用RAG方法、而非微調，來更有效率地補足大腦專業知識。</p> <p>劃定這些架構後，團隊得先試水溫，採用Azure OpenAI服務和其他指令微調過的LLM作為大腦，並搭配提示工程，來驗證智慧座艙助理概念。他也提到，採用提示工程，「能帶來更好的迭代速度，加速產品正式上線。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>步驟1：概念驗證</strong></span></span></p> <p>進一步來說，在概念驗證（PoC）階段，TomTom將概念設定為「可用推理行動ReAct提示工程，來將Davinci GPT串接到TomTom服務。」Massimiliano表示，為驗證這個概念，他們首先利用微軟AI開發平臺Azure AI Studio中的遊樂場（Playground），來進行測試。</p> <p>Azure AI Studio平臺提供多種模型和API，來供企業嚐鮮、測試，在今年大會中還正式上架了強大的多模態模型GPT-4o，以API和模型形式提供，這也是TomTom團隊接下來要嘗試的模型之一，尤其用來發展更好的語音對話體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2-case-600-2.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>為打造車用助理，TomTom先是設定核心概念，接著在Azure AI Studio中的遊樂場（Playground）來快速測試。可行後，再透過開源LLM開發框架LangChain來實作、迭代。</strong><span style="font-size: 14px;">圖片來源／微軟</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>步驟2：用LangChain開發迭代</strong></span></span></p> <p>回到2023年初，當TomTom在遊樂場驗證概念後，接著將概念驗證結果，利用當時問世沒多久的開源LLM開發框架LangChain重現，進而迭代。</p> <p>在這階段，他們已將LLM大腦與智慧座艙核心技能連結，可實現簡單的互動。但「這只在我的機器上執行！」Massimiliano點出，為讓這個成果大規模擴展、取得更多回饋以進行更多迭代，他們將應用程式上雲。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2-case-600-3.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>TomTom揭露智慧座艙車用助理的開發流程，首先在遊樂場中利用提示工程來測試核心概念，接著使用LLM開發框架LangChain來實作。為取得更多回饋加速迭代，他們將原型App上雲，並簡化基礎設施管理工作。最後，他們將原型App整合至既有服務中，同時也進行各項品質評估、強化安全防護等。</strong><span style="font-size: 14px;">圖片來源／TomTom</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>步驟3：上雲擴大使用者</strong></span></span></p> <p>於是，TomTom評估後採用Azure容器應用程式，兼顧上雲和無伺服器特色，既能讓更多人使用智慧座艙原型App，團隊也只需維護少量基礎設施、專注智慧座艙助理開發。同時，他們也採用Bicep語言來部署Azure資源，實現基礎設施即程式碼（Infra as Code），簡化基礎設施管理工作。</p> <p>同時，在這個階段，團隊還得考量App上雲後的記憶和知識儲存。於是，他們選用Azure Cosmos DB資料庫來儲存智慧座艙的對話與知識，Massimiliano補充，在知識部分，團隊還添加向量與RAG資料，來補強智慧座艙的特定知識。</p> <p>他還強調，在App中增添語音或文字對話功能，就得考量對話長度增加所帶來的效能減退問題，而管理上下文長度、確保輸入模型的Token量限制，或採用一些框架來動態剪枝，或保留些時間給對話，都是能兼顧短期記憶和App效能的建議作法。</p> <p>至於知識部分，因團隊採用RAG，也就是搜尋知識資料庫、將最合適的答案回覆給使用者。但「最棘手的是如何吸收這些知識，尤其是，如何對大型文件拆分、呈現這些資料給LLM，比如回傳給模型前先進行摘要。」Massimiliano表示，這是開發者會面臨的另一個挑戰。</p> <p><span style="color:#3399ff;"><strong><span style="font-size:28px;">步驟4：整合準備上線</span></strong></span></p> <p>完成上述步驟後，接下來就是將迭代成果整合至既有服務中，並進行各項品質評估。「這並不容易，」Massimiliano解釋，因為LLM可能給出隨機回答，若用另一個LLM來檢測這個LLM的輸出值，則又更加隨機。</p> <p>與此同時，走到這一步的TomTom團隊，也開始思考是否要放棄LangChain。但後來回顧，也只是因為當時太早使用了，隨著越來越多工具和配套資源出現，他們並未捨棄這個框架。</p> <p>在這個階段，他們也思考，除了短期記憶，應該也要增添整體智慧座艙的長期記憶，來達到更好的對話體驗。最後，還有一件上線前的必做事項：紅隊演練與安全防護。</p> <p>如何進行演練呢？Massimiliano建議，起初可挑一個自動紅隊框架，並舉辦一個小型黑客松，來讓人組隊攻擊智慧座艙App，再將這些經驗納入自動紅隊框架中。此外，使用Azure OpenAI或其他框架的審核過濾器等功能，也能強化App保護。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從中學到的2件事</strong></span></span></p> <p>Massimiliano演講時展示的實測結果，正是完成上述4大步驟的TomTom智慧座艙原型App，已成功整合至座車，該原型App也持續優化中。</p> <p>Massimiliano點出，團隊從這段經驗，也學到2大重要課題。首先，為跟上快速發展的AI步調，開發者要找出最小可驗證的核心概念，來快速迭代、發展許多原型。他表示，開發者甚至可獨立於主要App，來驗證新概念，再將學習到的知識融入主要App中。接著，開發者要進行無止盡的迭代，因為技術和期望「每天都在變化。」</p> <p>再來，要確認這些原型是否有價值，就得讓原型App接觸更多人群、得到使用回饋，才能進一步改善。這時，就得將原本地端的原型轉為雲端App，採用一些現成雲端服務、使用模板，就能快速實現這一點，並專注於核心概念發展、做出差異化。</p> <p><span style="font-size: 24px;"><a href="https://www.ithome.com.tw/article/163584" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 22px;"><span style="background-color: rgb(255, 140, 0);"> 相關報導 </span></span></strong></span></a></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><a href="https://www.ithome.com.tw/article/163584" target="_blank"><strong><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1187-feng_mian_p1-ruo_pu_-open-960x420_0.jpg?itok=MnDO1UnG" style="width: 550px;" /></span></strong></a></span></span></p> </div></div></div>
2024/6/21 11:18作者王若樸https://www.ithome.com.tw/news/163579
2024微軟AI戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1187-feng_mian_p1-ruo_pu_-open-960x420_0.jpg?itok=MnDO1UnG" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;">微軟執行長Satya Nadella在Build 2024大會聚焦2大AI戰略：Copilot技術架構和Copilot+ PC。從基礎設施、模型、資料、AI工具、Copilot應用與AI安全防護，一層層祭出重大更新，要帶給開發者更好的Copilot開發能力。更要靠硬體和獨家Runtime加速，要將Windows打造成AI開發平臺。</p> </div></div></div>
2024/6/21 11:18作者王若樸https://www.ithome.com.tw/article/163584
打造五大中臺連接數據流，Sogo用IT疏通內外流程
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>佇立在忠孝東路37年的遠東Sogo百貨忠孝館，在2004年與臺北捷運忠孝復興站4號出口打通，連接起兩大地標出入口。2年後，與忠孝館對望的Sogo復興館開幕，用一個十字路口連接起兩館，捕捉了無數臺北東區來客的足跡。</p> <p>疫情以前，Sogo可以利用地利之便自然連接起人們實體的足跡，創造出這個經典雙館對望之景。3年前進入疫情，Sogo開始數位轉型，嘗試用數據來連接起人們的數位足跡，甚至串聯起散布於全臺的其他5間分店，以及即將落成的大巨蛋商城。</p> <p>「我們數位轉型的主題是連接。」遠東Sogo百貨資安長葉為立進一步說明，業務面來說，他們要連接起分店營業資訊、會員足跡和喜好、員工作業流程及權利義務；系統面來說，則是要連接起前臺、中臺、後臺系統。他們希望，將所有資訊流串聯起來，結合Sogo累積多年零售經驗，來完善各式決策。連接起這一切的關鍵，就是數據。</p> <p>葉為立是遠東集團IT老將，2011年起擔任遠東中國零售體系的資訊總監，也在紅利集點服務Happy Go擔任過資料處理相關要職。回臺後，自2021年1月成為Sogo百貨資安長，帶領資訊部門推動數位轉型及資安強化。</p> <p>串聯起橫跨集團上下系統和接觸點的數據難以一蹴而就。業為立說明，Sogo數位轉型共有4大階段，第一階段是，徹底翻新IT基礎架構，導入系統中臺並大幅遷徙系統上雲，降低開發和維運成本，梳理數據處理流程後，為後續階段準備。接著則是整合系統後升級內外部服務、設立電商部門並上線數位通路，以及串聯會員社群媒體數據。</p> <p><span style="font-size:28px;"><strong>上雲、打造中臺，提升開發及維運效率並增加系統調整彈性</strong></span></p> <p>Sogo上雲策略是，除了防毒中控等有敏感資料的內部系統不上雲，其餘系統全面上雲，尤其是面向顧客、流量變動大的系統。</p> <p>舉例來說，在周年慶等大檔期，Sogo系統必須面對20至30倍的流量，最多每秒處理1,845次請求，就需要利用雲端服務商的系統監控、流量過濾、資源調度等功能。</p> <p>他們也利用其他雲端服務來大幅加速程式碼測試和部署效率，並在雲端環境打造報警工具來自動化通知IT供應商處理異常事件處理，並搭配敏捷開發做法來快速進行小版本更新。</p> <p>上雲同時，Sogo還大幅改造IT系統架構，導入了中臺架構。他們將中臺作為串接所有前後臺系統的中心，要新增系統或更替都更容易。</p> <p>葉為立表示，中臺架構讓大巨蛋商城的IT建置歷程相當順利，尤其是串接各式新前臺系統。</p> <p>他們共打造了5大主要中臺：交易中臺、支付中臺、會員中臺、營銷中臺，以及數據中臺。這些主要中臺下，還有附屬中臺，例如發票中臺等。</p> <p>葉為立說明，之所以如此細緻地拆分中臺功能，是為了簡化中臺功能，進而降低出錯情況及系統維運成本。這種做法下，不同前後臺系統會依照數據處理目的，分別將數據拋轉到不同中臺，一方面，可以降低單點故障（Single point of failure）帶來的風險，另一方面更容易在數據處理流程出錯時，快速釐清問題所在。</p> <p>為了迅速應對這些系統和流程的異常事件，Sogo使用了雲端平臺上的中心化日誌蒐集和分析服務，集中前中後臺系統Log，並將異常事件依照嚴重程度分類為P1至P5共5個等級，P1事件必須知會所有管理階層人員、P3需通知到專案管理人員、P4以下則較輕微，可以由作業端人員自行排除，或直接由IT供應商人員處理。</p> <p><span style="font-size:28px;"><strong>與系統廠商專業分工，利用統一通訊格式和大量會議串聯起協作流程</strong></span></p> <p>升級IT基礎架構時，Sogo也把與IT廠商協作的新模式納入設計考量。前述報警機制就是其中一項設計。</p> <p>葉為立說，他們與IT廠商協作模式的精神是：「讓專家處理各自專業的事。」Sogo IT專注於零售領域系統，例如交易、營銷、贈獎等系統，其他非零售專業的系統，如人事等，則盡量交由各自IT廠商負責。</p> <p>導入中臺架構時，Sogo便要求每一個系統提供商配合清洗和整合數據，同時調整系統數據輸出格式，來符合中臺數據格式標準，並打造API來拋轉數據到Sogo大大小小的中臺。「就算是套裝軟體，我們仍要求廠商客製，來符合我們中臺標準。」葉為立說。</p> <p>要打造這個系統架構，需要Sogo IT與各家廠商IT對齊工作排程與開發需求，再經過一系列數據處理、系統客製化、測試作業。當少數系統廠商難以支援客製化需求，Sogo數據團隊便需要自行於中臺打造ETL機制，將數據轉化為中臺支援的資料格式。</p> <p>正是因為所有系統與中臺的串接使用統一的資料格式，系統Log彙整到中心化日誌蒐集和分析服務後，才更容易快速分類不同事件影響程度並通知廠商及時處理，Sogo也要求所有廠商接受異常事件處理通知的報警機制都符合Sogo通訊格式。當異常事件影響程度輕微時（P4以下），廠商端接受到自動報警後可自行排除，省去Sogo IT許多自行處理的時間與人力作業成本。</p> <p>要與IT廠商建立密切協作及分工關係，大量需求溝通不可少。Sogo IT團隊每周，甚至每天，都會與不同廠商進行Scrum敏捷開發做法中的站立會議。葉為立說，這個做法搭配雲端自動化部署服務，使他們能依照需求來快速、頻繁對系統進行小版本更新。</p> <p><span style="font-size:28px;"><strong>跨部門推動敏捷做法及數據驅動決策風氣，由IT擔任軍火庫支援各部門KPI</strong></span></p> <p>在Sogo，不只IT團隊要舉行站立會議。葉為立推動數位轉型時，也將敏捷開發方法帶入其他非IT部門。當產品IT比重大，產品負責人會由具IT背景的產品經理（Product Manager）擔任，當業務比重大，則會由各自業務背景的專案經理（Project Manager）擔任。例如，發票中臺的產品負責人就是Sogo出納部門主管，而非IT人員。</p> <p>推動敏捷等新做法及數位文化時，是否會面臨非IT部門的不適應甚至反彈？葉為立說，IT會盡可能降低溝通成本，例如將報表數據從文字轉化為圖表，增加易讀性。不過，得益於企業上層支持，加上疫情讓所有部門都感受到轉型急迫性，Sogo數位轉型從一開始就是所有部門共同推動的事項，而非由IT孤身推行。</p> <p>轉型期間，Sogo成立了電商部門，販促部門出現了數位行銷職能，人事部門導入了智慧HR系統，財會部門的財管系統也大升級。許多部門都帶著各自需求，請IT尋找解方。</p> <p>「業務KPI是各部門自己訂，IT作為軍火庫，提供他們達成KPI的武器。」葉為立如此形容Sogo IT在數位轉型中扮演的角色。許多部門都有明確需求，更使他們有能力派出產品負責人來主持Scrum小組，讓IT與非IT部門密切協作，開發解方。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-CIO-%E6%8A%BD%E8%A8%80-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>整合系統及數據來強化內外部服務</strong></span></p> <p>基礎建設和內外部新做法成一定氣候，是Sogo數位轉型的第一座里程碑。葉為立說，Sogo數位轉型第二座里程碑是，開始串聯起數據流，來升級對內及對外服務。</p> <p>對內服務升級的一個例子是員工App，整合了管理差勤、會議室預約、資訊公告及公告閱讀率追蹤等功能。配合IT基礎架構升級，Sogo先是大幅調整員工App底層架構，使其更容易與中臺串接。近期，它們更要第二次大改員工App，將部分功能模組上雲，是系統大幅上雲策略的一環。</p> <p>對外服務的升級則是會員機制強化。為了符合隱私法規，他們打造了一套會員識別機制，稱為MUID（Merchant Unique ID）。葉為立說明，雖然Sogo資料庫蒐集了會員橫跨不同分店和通路的足跡，不過受到法規限制，不同分店的商家只能看到會員在同一分店的數據。因應此規定，隨著會員於不同通路消費，Sogo會將這些行為數據紀錄在會員名下不同的MUID中。</p> <p>舉例來說，會員在忠孝館的消費行為數據會紀錄於忠孝001身分，到了復興館則會紀錄到復興003身分下。當不同分店的商家到系統中查詢MUID，便只能查詢到該名會員在同一分店中的數據。分店也不會知道，忠孝001和復興003這兩個MUID屬於同一名會員。如此一來，Sogo不同分店便能各自在去識別化的情況下，利用數據對會員進行精準行銷。</p> <p>同時，他們也將自家App整合更多系統，新增了電子禮券、贈獎活動、停車折抵等更加多元化的功能，增加消費者開啟App的誘因。</p> <p><span style="font-size:28px;"><strong>更細緻串聯起不同接觸點數據，打造個性化實體零售服務</strong></span></p> <p>第三個重要里程碑，則是在去年年初推出線上商城，延伸百貨服務到數位通路，同時將商城作為重要數據蒐集和數位行銷的接觸點。</p> <p>他們近期更朝著第四個里程碑前進，開始嘗試綁定會員身分與會員在社群媒體的身分，一方面簡化會員註冊及登入程序，另一方面開始蒐集會員於外部通路留下的喜好數據，深化Sogo對會員的了解。</p> <p>打造數位通路並將觸角伸向外部通路後，Sogo未來還要嘗試更多新做法，來持續加深加廣通路的業務及數據經營。第一個做法是近年在臺灣零售界崛起的零售媒體聯播網（RMN，Retail Media Network），利用豐富零售第一手數據，來經營數位行銷服務。</p> <p>葉為立說，Sogo曾經憂心，第三方Cookie這個過往用於數位行銷的追蹤格式退場，會降低他們數位行銷成效。</p> <p>不過，經歷一系列數位轉型後，他們已經累積足夠的數據量，和足夠完善的數據處理機制，來支援自家數位行銷。葉為立認為，Sogo RMN的技術建置已經到位。不過，他們不打算用常見的RTB或專案式數位廣告商業模式，來經營RMN。</p> <p>「我們打算將數位行銷服務作為與廠商合作的交換條件，而不是直接收費。」葉為立舉例說明，在特殊活動檔期希望廠商支援，或提供特殊優惠時，Sogo可以提出替廠商在自家線上線下通路進行數位行銷，作為與互惠的交換條件。目前，他們已經有和其中一家廠商嘗試進行這種合作模式。</p> <p>另一個做法是導入AIoT技術。葉為立說，Sogo已經開始將AI用於商品推薦、顧客導流、智能客服等零售業較為常見的應用場景。Sogo將所有系統都連接起來的下一步，更打算把AI技術用於邊緣裝置管理，利用AIoT技術來強化倉儲管理效率。</p> <p>不只如此，他們還計畫用AIoT技術打造個性化接觸點體驗，使線下購物接觸點能因應不同顧客，呈現出個人化體驗。這也延續了Sogo 3年來數位轉型的主題「連接」──利用數據更細緻的連接起所有接觸點、業務流程及消費者體驗。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CISO小檔案 </span></strong></span></p> <p><strong>遠東Sogo百貨資安長葉為立</strong></p> <p>學歷：清華大學工業工程與工程管理所碩士</p> <p>經歷：2011年進入遠東集團負責中國區零售體系的資訊總監，也於Happy Go負責數據相關業務7年。2021年起擔任Sogo百貨資訊部負責人，帶領IT團隊推動數位轉型與雲端服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-CISO-300.jpg" style="width: 299px; height: 133px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p>太平洋崇光百貨（遠東Sogo百貨）</p> <p>●地址：臺北市大安區忠孝東路4段45號</p> <p>●成立時間：1986年</p> <p>●主要業務：百貨零售</p> <p>●員工數：1,500人</p> <p>●董事長：黃晴雯</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●直屬主管：葉為立</p> <p>●資訊部門名稱：資訊部</p> <p>●資訊部門人數：約30人</p> <p>●資訊部門分工：資訊開發、資訊管理、資訊應用</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2019年：Sogo App上線</p> <p>●2020年：開始推動系統上雲、開始提供Sogo電子禮券</p> <p>●2021年：開始打造大數據CDP、開始積極推動跨部門敏捷做法</p> <p>●2022年：導入中臺架構進行智慧零售應用</p> <p>●2023年：建立資訊維運監管系統，推動智能管理、Sogo Plus電子商城上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1187-ciso-960.jpg" width="960" height="420" alt="" title="遠東Sogo百貨資安長葉為立" /></div></div></div>
2024/6/21 11:32作者郭又華https://www.ithome.com.tw/people/163586
資安自知之明
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣上千家上市公司，從今年五月開始，對於資安重訊的發布，有了更高的要求，<a href="https://www.ithome.com.tw/news/163229" target="_blank"><span style="color:#3333ff;">證交所修訂了重大訊息問答集第26款的內容</span></a>，要求企業，只要發現遭駭客攻擊或入侵，不論是否涉及核心資訊系統、機密文件，都屬於對公司造成重大損害或影響，需發布重大訊息對外揭露。甚至，不一定要發生個資或內部文件外洩事實，而是只要有外洩的風險（問答集中的用語是「外洩之虞」），就需要發布重訊。</p> <p>在這項的規定修正公布後不久，在6月上半，我們看到三家公司發布資安重訊，<a href="https://www.ithome.com.tw/news/163304" target="_blank"><span style="color:#3366ff;">已經有企業採取了更高標準的自我要</span></a>求，就算是周邊靜態的網頁（非核心）有遭存取的風險（偵測到遭外部入侵的意圖），也如實發布重訊。這一點正是證交所擴大資安重訊通報範圍的目的，要為企業資安態勢的透明化，樹立新的參考標準。</p> <p>我認為，這樣如實揭露的企業態度，相當值得肯定。唯有更多企業如實揭露，才能讓整體產業培養出更成熟的資安當責文化，讓各界對資安事件有更正面的態度，不是一昧責難，導致許多企業擔心影響股價而資安噤口。應該反過來，鼓勵更多企業願意面對，讓企業將危機視為強化資安的成長機會。</p> <p>但是，另一方面，在這三起六月初的資安重訊中，有家老牌企業，直到國外媒體曝光資料遭竊消息後2天，才發布重大訊息，<a href="https://www.ithome.com.tw/news/163347" target="_blank"><span style="color:#3366ff;">坦言資安部門的確偵測到網路傳輸異常</span></a>。</p> <p>原本證交所就要求，上市公司需要回應媒體所披露的資料外洩，以免影響到公司形象（股價）。但是，這家公司直到外洩傳聞曝光兩天後，才出面證實有異常情事。這凸顯了企業對於自身資安防護態勢的認識不足，一種可能是資安偵測能力不足，沒有足夠的紀錄和資訊，更早一點發現自家哪些系統遭殃，或者可能是資安識別能力不足，無法更快判斷出自己遭遇了什麼樣的威脅。</p> <p><a href="https://www.ithome.com.tw/article/163449" target="_blank"><span style="color:#3366ff;">從今年CIO與資安大調查結果中</span></a>，只有4成多的臺灣大型企業對自己的資安能力夠有信心，識別能力不足是多數企業資安自信心最低的資安短板。為了進一步了解臺灣大型企業今年資安布局如何因應這個資安短板。我們參考前美國銀行首席安全科學家Sounil Yu在2016年，他於銀行任職時發明的網路防禦矩陣CDM（Cyber Defense Matrix），繪製了一張臺灣大型企業網路防禦矩陣的2024年資安投資重點的分布圖。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/163449" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2%E8%B3%87%E5%AE%89%E4%BF%A1%E5%BF%83-600-4-PNG.png" style="width: 600px;" /></a></p> <p>從這份CDM對應圖，可以看到臺灣近5成的企業，今年資安投資仍是散彈打鳥，重點式的強化，主要聚焦在保護作為，也大多只涵蓋到特定資產的識別和偵測能力，另外在復原能力上，多數企業則偏重以事後因應而非更及時應變的異地備援作法。</p> <p>不過，已有1~2成積極落實資安的企業，今年資安布局涵蓋到更完整的識別與保護面向，例如推動零信任資安、資安治理、身分識別與存取控管、紅隊演練等。甚至有極少數，約5％格外重視資安的大型企業，今年進一步要強化到各類資產的偵測、回應和復原能力，例如設立CSIRT小組。</p> <p>現在的企業資安，不可能做到百分之百的防禦，不可能完全不受到有心人士（惡意程式）攻擊的影響。但是，企業是否能更快、更早知道自己遭到鎖定，知道自家門外已有可疑人士徘徊，甚至在門口被畫上了日後犯案的標記，這就考驗了企業對自家資安防護態勢的認識能力，企業得有足夠的資安自知之明，才能採取更適當也更有效的應變。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/%E9%87%8D%E8%A8%8A">重訊</a></div><div class="field-item even"><a href="/tags/%E8%AD%89%E4%BA%A4%E6%89%80">證交所</a></div><div class="field-item odd"><a href="/tags/cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">CIO大調查</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E5%A4%A7%E8%AA%BF%E6%9F%A5">資安大調查</a></div></div></div>
2024/6/21 11:36作者王宏仁https://www.ithome.com.tw/voice/163587
【微軟Build 2024 AI戰略1】微軟Copilot技術架構大更新，深度優化智慧助理開發體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月21日，微軟執行長Satya Nadella現身西雅圖會議中心，揭開微軟Build 2024技術大會的序幕。他用將近1小時的時間，揭露微軟今年度2大AI新戰略以及共數十項的重大新進展。</p> <p>其中一大戰略就是微軟Copilot架構（Microsoft Copilot Stack）更新。「我們一直是平臺公司，」Satya說明：「我們的目標是打造最完整的端到端技術架構，涵蓋基礎設施、模型、資料、工具再到應用擴充外掛。如此，使用者就能用來打造專屬應用！」</p> <p>這句話點出了Copilot架構鎖定的目標族群和重要性：開發者與AI驅動的個人化助理應用。一如Satya所言，這個微軟Copilot架構更新層面廣泛，涵蓋了底層、應用層和AI安全與資安層等3大層，每層皆有重要突破，加總起來強化了Copilot智慧助理的開發便利性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2P3P4-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟執行長Satya Nadella揭露今年度微軟AI戰略之一的Copilot技術架構更新，如AI基礎設施的資料中心將在2025年全面採用再生能源、基礎模型層新添更多第三方和微軟Phi系列基礎模型，資料層則推出PB級即時串流資料分析服務等。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>底層更新1：資料中心擁抱新能源與算力突破</strong></span></span></p> <p>延續上述的Copilot技術架構底層，可細分為AI基礎設施層、基礎模型層、資料層、AI調度與工具鏈層。</p> <p>就AI基礎設施層來說，目前微軟已在60多個區域建置資料中心，過去1年也在日本、法國、墨西哥、馬來西亞等地打造新資料中心。Satya點出，微軟接下來要在2025年前，將資料中心全數採用再生能源，不產生任何碳排。而且，他們最新的資料中心專為AI設計，結合新的冷卻技術，來大幅優化執行效率、降低能耗成本。這是微軟資料中心的發展新策略，是驅動所有開發和應用運算的關鍵。</p> <p>不只資料中心，基礎設施層還包括了AI加速器、I／O設備、網路等硬體設備的更新。在這部分，「過去6個月以來，微軟不只將Azure雲端超級算力提高了30倍，」Satya表示，今年還要新添Nvidia H200 GPU到微軟Azure雲端算力，且微軟也將是第一批提供Nvidia Blackwell GPU配置（含B100和GB200）的雲端供應商。</p> <p>同時，微軟還布局虛擬機器與加速開發配套，正式推出基於AMD最新Instinct GPU的虛擬機器ND MI300X v5，配有更高的頻寬記憶體，可更快、更有效率執行AI模型推論，優化AI應用體驗。這系列虛擬機器，還搭配AMD ROCm開源軟體平臺，開發者可存取該平臺的AI開發部署工具和函式庫，如TensorFlow、PyTorch等熱門框架，或ONNX Runtime、DeepSpeed和 MSCCL等AI加速的微軟函式庫，來縮短AI開發部署時間。</p> <p>除了ND MI300X v5，微軟還有另一系列虛擬機器進入公開預覽，包括通用型的Dpsv6系列、Dplsv6系列，以及記憶體優化的Epsv6系列虛擬機器。這些虛擬機器採用Azure Cobalt 100處理器，專門用來高效率執行雲原生運算解決方案，甚至，微軟自己就用於影片處理、M365許可管理等任務，還「驅動了微軟Teams這類服務上數十億的對話。」Satya指出，根據微軟測試，Cobalt 100可提高40%效能，大幅優化作業表現。他期盼將這些優秀的基礎設施工具，能讓更多企業和開發者享用。</p> <p>從資料中心的能源政策、雲端算力的躍升再到虛擬機器的加速，都為Copilot開發提供更快速的基礎。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>底層更新2：GPT-4o正式上架、更多Phi系列模型</strong></span></span></p> <p>AI基礎設施往上一層，來到了基礎模型層。</p> <p>這層亮點也不少，聚焦第三方模型的整合和自家模型更新。首先，微軟AI開發平臺Azure AI中有套生成式AI開發工具Azure AI Studio，這次正式上線，其上的多模態模型GPT-4o也進入正式版本，以模型形式和API形式供開發者取用、打造AI應用。</p> <p>再來，Azure AI Studio還提供模型即服務（MaaS），裡面正新添各種語言模型，提供隨用隨附的模型API和託管式微調功能，讓開發者用來打造生成式AI應用。在這次更新中，MaaS新添了Core42的JAIS、Nixtla的TimeGEN-1等2款模型預覽版，Satya預告，接下來還會新添來自AI21、Bria AI、Gretel Labs、NTT DATA、Stability AI和Cohere Rerank等AI領先者旗下的模型預覽版，同時簡化應用程式的整合與微調工作，讓開發者不必管理底層GPU等基礎設施，就能順利開發AI應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2P3P4-600-3.jpg" style="width: 600px;" /></p> <p>在整合第三方模型的策略上，微軟繼續擴大與Hugging Face的合作，將所有Hugging Face上的開源模型也納入Azure AI Studio，更方便開發者取用。</p> <p>除此之外，微軟也繼續拓展自研的Phi系列小型語言模型，新添42億參數的Phi-3-vision模型預覽版，可用來執行視覺任務，如處理圖表、圖形和表格等資訊。同時，微軟先前發表的Phi-3-mini、Phi-3-small和Phi-3-medium三款模型，也在MaaS中進入正式版本。Azure AI Studio還推出客製化模型功能，使用者可用自己的資料訓練模型，更客製化。</p> <p>所以，微軟基礎模型層的新進展，就聚焦於第三方模型整合和自家Phi系列模型更新。</p> <p>不過，Satya也補充，為確保這些模型產出正確內容，Azure AI Studio也新添內容安全工具和功能，包括即將推出的自定義類別（Custom Categories）、預覽版的提示盾（Prompt Shields）和基準偵測（Groundedness Detection），其中自定義類別可讓使用者自定過濾器，最快不到1小時就能部署過濾器來把關生成式AI應用程式。提示盾和基準偵測則能偵測模型是否產生幻覺，還能介入間接或越獄提示攻擊。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>底層更新3：能即時處理PB級串流資料了</strong></span></span></p> <p>從基礎模型層往上，就是微軟Copilot架構的資料層。在這裡，微軟布局紮實，早有一系列資料處理工具來提供服務，如Azure SQL DB、Azure Cosmos DB、Azure for PostgreSQL、MySQL、Azure AI、Azure Databricks和Microsoft Purview等。</p> <p>而今年的資料層一大進展，就鎖定擁有1萬1千多名企業用戶的資料分析平臺Microsoft Fabric。微軟特別針對企業難以處理的資料即時分析，在該平臺上新添一項無程式碼／低程式碼的即時智慧（Real-Time Intelligence）SaaS解決方案。Satya強調，使用者透過這個功能，可更快速處理大量、顆粒度更細緻的數據，包括PB級的即時串流資料分析。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2P3P4-600-2-Microsoft%20Fabric-Real-Time%20Intelligence.jpg" style="width: 600px;" /></p> <p>這項即時智慧目前為公開預覽版，也因為低程式碼特性，分析師能簡單上手，另對專業開發者，也提供完整的程式碼使用介面。尤其，巴西極限賽車隊Dener Motorsport一直用這個平臺來支援即時分析和通報，現在他們計畫用即時智慧，來在比賽當下，直接分析資料、調整贏賽策略。</p> <p>不只瞄準即時串流資料分析，為降低App開發門檻，微軟還在Fabric平臺中新添工作負載開發套件（Workload Development Kit），能讓獨立軟體商和開發者，用來打造更一致的使用者體驗應用。該套件目前為預覽版。</p> <p>另一大重點，則與檢索增強生成（RAG）相關。</p> <p>自以大型語言模型驅動的生成式AI興起後，RAG就成為降低模型幻覺和胡言亂語的重要技術，微軟也早已打造AI資訊檢索平臺Azure AI Search，來支援各種規模的RAG應用，甚至「連ChatGPT、Assistant API等都靠Azure AI Search來完成。」Satya點出，在這次更新中，Azure AI Search整合了OneLake資料湖，可自動索引非結構化資料，使用者也能在Microsoft Fabric直接使用Azure AI Search，擴大RAG可索引和搜尋的範圍，讓模型回答更精準。</p> <p>也就是說，在資料層，微軟更新策略鎖定巨量資料即時分析和RAG範圍擴增，後者也搭配基礎模型提供更好的回答體驗。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>底層更新4：AI工具鏈添新外掛</strong></span></span></p> <p>再來，AI調度與工具鏈層的新進展，是微軟延伸2年前新闢的GitHub Copilot開發助理戰線。該助理至今累積了180萬名訂閱者、共5萬多家組織使用，微軟還在今年4月底，聯手GitHub推出私有預覽版的AI程式開發工具GitHub Copilot Workspace，開發者用自然語言就能規畫、建置、測試和執行程式碼，加速軟體開發流程。Satya在這次大會上就透露，接下來幾個月，微軟將開放讓更多人使用這套工具。</p> <p>不只如此，Sayta進一步揭露該工具的程式開發新外掛GitHub Copilot Extensions，一樣是私有預覽版，開發者可用自然語言和自己習慣的第三方工具，來打造、部署雲端應用，完全不必離開開發環境IDE或GitHub網站。這些外掛包含微軟自己開發的和第三方合作夥伴開發的，第一波就有16個外掛，來自DataStax、Docker、LambdaTest、LaunchDarkly、Microsoft Azure和Teams、MongoDB等，建立更好的AI開發第三方生態系。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2P3P4-600-4.jpg" style="width: 600px;" /></p> <p>這些外掛，還可讓開發者用來客製自己的GitHub Copilot應用。比如，微軟自己就打造一款GitHub Copilot for Azure外掛，能讓開發者用自然語言來探索、管理Azure資源，還能排除問題、尋找相關日誌和程式碼。</p> <p>所以在AI調度與工具層，微軟主打開發者助理外掛，來提高開發便利性。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>應用層更新：擴大客製範圍、新推協作助理</strong></span></span></p> <p>接著進入應用層，Satya將新進展分為「個人、團隊、代理（Agent）」等三大層次。</p> <p>就個人層次來說，指的是Copilot應用客製化，微軟一樣走整合擴展路線，在Copilot Studio助理開發平臺中，新添Microsoft Copilot Connector連結器預覽版，可助Copilot摒除障礙，跨App和工作流程存取使用者資料，更好地打造客製化應用。因為，這個連結器集結了微軟Graph和Power平臺的連結器、微軟Fabric平臺的AI技能和微軟Dataverse平臺，來讓第一方和第三方的Copilot整合知識、更快落地。</p> <p>再來，「團隊」是指Copilot協作應用，微軟針對既有的M365 Copilot，新推一款協作助理Team Copilot，專門處理複雜的協作任務。比如，它可在協作工具Teams中管理會議、安排議程、管理時間和記錄重點，還能管理Teams對話，摘要重要資訊、回覆群組問題等。甚至能扮演PM角色，確保任務管理看板Planner中的每個專案順利進行，同時也會在Loop應用中通知團隊新消息、加強專案協作。這款Team Copilot預計今年晚些時候預覽。</p> <p>最後，在代理層次，微軟在低程式碼助理開發平臺Microsoft Copilot Studio中，增添新的代理能力類別，開發者只要輸入工作描述、提供相關知識，或點選預設的模板，就能打造能主動回應數據和事件的智慧助理，還能執行特定任務與功能。</p> <p>Satya還強調，用這個新能力打造的Copilot助理，可用學習到的知識和使用者回饋，來獨立管理複雜、冗長的業務流程，甚至能在遇到棘手問題時，主動尋求使用者幫助。</p> <p>可以說，微軟用個人客製化、團隊協作應用、更聰明且個人化的代理能力，來優化Copilot的應用體驗。</p> </div></div></div>
2024/6/21 11:08作者王若樸https://www.ithome.com.tw/news/163530
【深化Copilot技術架構，還要將Windows打造成AI開發平臺】微軟揭露年度2大AI戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年，微軟做了2件大事，影響今年AI戰略走向。</p> <p>一是推出生成式AI助理微軟Copilot，短短1年更新了150多次，成為新一代微軟跨生產力工具的智慧小幫手。另一件事是，微軟也開始打造Copilot技術架構，提供技術資源和工具，來讓開發者打造自己的Copilot助理。甚至過去2年來，微軟聯手GitHub推出程式開發AI助理GitHub Copilot，搖身一變成為全球工程師愛用的熱門工具，光付費訂閱者就有180萬人。</p> <p>可以說，微軟近期AI戰略鎖定Copilot本身、Copilot客製化開發能力，以及更便捷智慧的程式開發助手。</p> <p>到了今年，微軟AI戰略又有何變化？下一步往哪前進？</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>微軟Build 2024的兩大AI戰略</strong></span></span></p> <p>他們在今年度Build大會上給了答案。在這場20萬人註冊、4千人親自至西雅圖參加的微軟Build 2024大會上，微軟執行長Satya Nadella開宗明義點出了今年發展3大元素：微軟Copilot、Copilot技術架構和AI系列筆電Copilot+ PC。</p> <p>Satya並未過多著墨微軟Copilot，反而聚焦於後兩者，意味著這是微軟2024年的2大AI戰略。一如前述，Copilot技術架構並非新東西，是微軟去年就開始發展的架構，目標是滿足開發者需求，來打造客製化Copilot助理。</p> <p>今年，Satya進一步詳解這個技術架構的組成，涵蓋底層的AI基礎設施、基礎模型、資料、AI調度和工具鏈，以及上層的Copilot應用、擴充外掛，還有AI安全與資安。這個架構，比去年揭露的更細緻。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟執行長Satya Nadella在今年度Build大會上點出Copilot架構和Copilot+ PC兩大AI戰略，其中後者有個Runtime重要基礎，以Windows Copilot函式庫和40多個本地端模型為核心。</strong><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>戰略1：Copilot技術架構</strong></span></span></p> <p>今年，基礎設施層有3大亮點，首先是遍布全球的資料中心將於2025年全數採用再生能源、零碳排，再來是過去6個月Azure雲端算力提高了30倍，最後是推出2款加速AI訓練和推論的虛擬機器（VM），包括ND MI300X v5和搭載Azure Cobalt 100處理器的系列虛擬機器。</p> <p>在基礎模型部分，微軟生成式AI開發工具Azure AI Studio終於進入正式版，其上的強大多模態模型GPT-4o也正式上線。至於模型發展則朝2方向並行，一是延續微軟自建的Phi小型語言模型，新推更小更有效率的多模態模型Phi-3-vision，另一是深化第三方模型整合，包括擴大與Hugging Face合作、要導入其開源模型，同時也在模型即服務（MaaS）中納入第三方企業模型。</p> <p>至於資料和AI工具層，分別主打即時串流資料分析服務Real-Time Intelligence、整合資料湖OneLake擴大RAG範圍，以及在AI程式開發工具GitHub Copilot Workspace中，推出程式開發外掛GitHub Copilot Extensions，首波推出16個外掛，包括微軟自建的GitHub Copilot for Azure外掛。</p> <p>在應用層，則有橫跨資料壁壘的Microsoft Copilot Connector連結器、可扮演PM角色的協作助理Team Copilot，還有Microsoft Copilot Studio平臺更強大的代理能力類別，用自然語言來客製化智慧助理Copilot。</p> <p>而AI安全與資安層，則以微軟去年發起的未來安全計畫（SFI）為核心，遵守安全設計、安全預設和安全維運3大原則，並以6項安全文化和治理作法來確保Copilot技術架構的安全。</p> <p>這就是微軟今年端出的一大AI戰略。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>戰略2：AI系列筆電Copilot+ PC</strong></span></span></p> <p>他們的第2大AI戰略，則要將雲端AI開發和應用能力延伸到裝置端，要將Windows打造成最開放的AI開發平臺。因此，微軟祭出了AI筆電Copilot+ PC戰略，其中一個重要基礎就是Windows Copilot Runtime。Satya稱之為Copilot技術架構到Windows作業系統的延伸，該Runtime以Windows Copilot函式庫為核心，向下支援AI框架和工具，向上用來打造高階AI應用與體驗。</p> <p>其中，Copilot函式庫內含一系列API和演算法，這些API由40多個本地端模型驅動。第一波API在今年6月上架，包括用於影像特效的Studio Effects、即時字幕翻譯Live Caption、OCR、回顧使用者活動Recall User Activity和多模態模型Phi Silica等。接下來還會納入向量嵌入、檢索增強生成（RAG）、文本摘要等API。這些API，加速了使用者打造生成式AI應用和體驗的作業。</p> <p>再來，Runtime支援的AI框架和工具有2大亮點，分別是Windows專用高效能低階API DirectML可原生支援PyTorch了，以及使用者可在DirectML和ONNX Runtime Web使用網頁原生ML框架WebNN。這意味著，AI開發的便利性更高了。</p> <p>利用Runtime優勢，可打造出高階AI應用與體驗，Satya用微軟自己打造的原生AI應用程式來說明。比如回顧（Recall）透過對螢幕快照，將快照資訊轉為向量、儲存在語義索引中。當使用者想搜尋先前看過的資訊時，就能輸入關鍵字來啟動向量語意辨識、快速找出所需內容。又或是由5個本地端模型驅動的圖像創作（Cocreator），可根據簡單的筆畫快速生成逼真細緻圖畫，其他還有即時字幕翻譯，可隨時替影片、音檔添加字幕或翻譯為英語。這些程式，在Copilot+ PC系列筆電中皆能開箱即用。</p> <p>不只原生AI程式，Runtime加上NPU等硬體優勢，還能優化第三方應用程式的AI功能，如Adobe系列程式、CapCut、Davinci Resolve、WhatsApp、LiquidText、Cephable等。這些程式在Copilot+ PC筆電上，都能獲得強化過的AI功能。</p> <p>不單是Windows Copilot Runtime，Copilot+ PC這系列筆電，還有強大的硬體支撐。比如採用新型架構來優化NPU、CPU和GPU的資源使用，每秒能實現40兆次操作（TOPS），可更快執行AI推論。在處理器部分，首波筆電搭載高通Snapdragon X Elite和Snapdragon X Plus處理器，可實現45 TOPS。之後，微軟還會推出搭載英特爾Lunar Lake處理器和AMD Strix Point處理器的Copilot+ PC筆電。甚至他們預告，希望這類硬體架構的筆電，未來能搭載Nvidia GeForce RTX顯卡和AMD Radeon顯卡，從硬體上更進一步優化使用體驗。</p> <p>持續深化Copilot技術架構、將Windows打造成AI開發平臺，這正是微軟Build 2024大會的2大AI戰略。</p> <p><span style="font-size:36px;"><span style="color:#6666ff;"><strong>微軟如何用GenAI協助開發者工作</strong></span></span></p> <p class="rtecenter"><span style="color:#6666ff;"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8B%A5%E6%A8%B8-Amanda-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.jpg" style="width: 250px;" /></strong></span></span></p> <p><strong><span style="color:#696969;">微軟開發者部門企業副總Amanda Silver</span></strong></p> <p><strong>在微軟Build 2024大會上，負責程式開發工具設計、GenAI工具研發的微軟開發者部門企業副總Amanda Silver接受iThome專訪，特別說明GenAI如何協助開發者日常工作。</strong></p> <p><strong>她點出，開發者最常面臨的痛點是工作不一致性，尤其開發者「通常使用30多種工具來完成工作，因此不斷在不同工具間切換，」她繼續說明：「每次切換環境時，平均需要23分鐘才能重新集中注意力。」這造成工作效率低下，而在程式開發工具中導入GenAI工具，來提供問答和指令操作，就能減少來回切換次數、提高效率。</strong></p> <p><strong>Amanda Silver也分享微軟內部如何使用GenAI工具，她指出，程式開發最重要的是「正確的第一步」，因此，微軟自己有套正確啟動模板（Start Right Templates），內含儲存庫、工作流程、正式上線流程，無論開發者想打造什麼應用程式，都可使用這套模板，來滿足安全監管和生命周期管理。而開發者可將使用模板的知識，輸入到程式開發助理GitHub Copilot中，往後有人需要類似知識時，就能透過GitHub Copilot來存取最佳實踐，提高組織效率、形塑工作文化。</strong></p> <p><strong>甚至，微軟也用GenAI來降低內部故障排除等技術問題支援的工作負擔。她解釋，微軟內部有套故障排除指南，供技術支援工程師參考、解決客戶面臨的技術問題。這些工程師還能將自己解決問題的知識，輸入到GenAI工具中，來形成一個更聰明的Copilot助理，降低整體從頭摸索的支援成本。</strong></p> </div></div></div>
2024/6/21 11:09作者王若樸https://www.ithome.com.tw/news/163583
如何保護Copilot技術架構？微軟推未來安全計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年微軟Build 2024大會上，微軟執行長Satya Nadella揭露微軟2大AI戰略：微軟Copilot技術架構和Copilot+ PC。前者的技術架構，涵蓋了AI基礎層、基礎模型層、資料層、AI調度工具層以及Copilot應用層，十分廣泛。</p> <p>為保障這個技術架構安全運行，微軟特別打造了AI安全與資安層，就像是最底層基礎設施到最上層應用層的金鐘罩，確保所有基礎設施、開發工具和應用都能夠安全執行。</p> <p>但，這個AI安全與資安層到底是什麼？</p> <p>Satya點出，該層的核心是微軟去年11月底發起未來安全計畫（SFI）。這個計畫遵守3大原則，包括安全設計（Security by design）、安全預設（Security by default）和安全維運。在這3個原則下，微軟列出6項安全文化和治理作法，有保護身分和秘密、保護租戶和獨立產品系統、保護網路、保護工程系統、監控與偵測威脅，以及加速因應和恢復。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2-BOX-%E6%9C%AA%E4%BE%86%E5%AE%89%E5%85%A8%E8%A8%88%E7%95%AB-600.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">微軟執行長Satya Nadella揭露微軟Copilot技術架構中的AI資安與安全層，以去年11月底發起的未來安全計畫（SFI）為核心，包括安全設計、安全預設和安全維運三大原則，以及6項安全文化和治理作法。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／微軟</span></span></p> <p>微軟開發者部門總裁Julia Liuson和微軟威脅情資部門客戶副總裁John Lambert更進一步說明，其中的保護身分和秘密、保護工程系統做法。尤其，自去年底以來，他們跨部門密切合作，共同對抗了俄羅斯駭客組織午夜暴雪（Midnight Blizzard）攻擊，並將這些經驗融入到SFI之中。</p> <p>John Lambert說明，午夜暴雪採圖（Graph）攻擊，策略是獲取憑證，因此他們鎖定開發者，想得到開發者憑證，再用這些憑證建立攻擊圖，進而掌握公司機密。為防止開發者不小心在Email或原始程式碼中洩漏秘密，微軟建立了GitHub Advenced Security工具來掃描秘密，這是保護身分和秘密的作法之一。</p> <p>但這個掃描工具也有缺點，比如它可能無法識別每個秘密，而且這些秘密沒有明確特徵，也很難被辨識。因此，使用系統託管的身分識別（System managed identities）工具就很重要，它不只能自動更換授權所需的關鍵資訊、降低人工成本，還能快速回應。這是微軟從午夜暴雪事件學習到的重要一課，「我們希望所有應用程式都受到系統託管身分識別的保護，」Julia Liuson說明：「長期而言，我們希望不再使用任何密碼。」如此，開發者就不會不小心把這些秘密資訊遺留在原始程式碼中，或Email給他們的朋友，也不必再定期更換密碼。這是微軟SFI的另一努力方向。</p> <p>同時，在保護工程系統方面，微軟的做法是刪除70多萬個未使用的示範（demo）應用程式、範例應用程式和測試應用程式，也刪除了許多與這些應用程式有關的儲存庫和建置流程。因為，只要還有憑證、還能存取資源，就會被威脅者所利用。</p> <p>Julia Liuson總結，在保護工程系統方面，微軟學到2個非常重要的經驗，一是從所有工程系統中，刪除不需要的應用程式，再來是以對待正式上線程式的嚴格標準，來對待非正式上線的示範、範例和測試等3類應用程式。</p> <p>除了企業內部的工程系統，還得注意另一個常被攻擊的目標：開源開發生態。這類攻擊大多是社交工程，比如今年上半年XZ Utils開源專案遭威脅者植入後門，這些後門只讓XZ Utils執行速度慢了些，很難讓人察覺問題。</p> <p>但，微軟PostgreSQL開發者發現這個問題，一番研究後確認XZ Utils資料壓縮程式庫被植入後門，並點出這是一場供應鏈攻擊事件，引發全球性的調查。微軟因此未受到後門程式影響，也將自己的經驗整合到GitHub Advenced Security工具相依性檢視中，比如利用GitHub軟體專案相依性自動管理工具Dependabot，來警示開發者哪些儲存庫正使用有漏洞的軟體，並協助開發者解決問題。這是微軟安全文化的體現。</p> <p>不單靠工具發出警報通知，Julia Liuson也力推安全第一文化，尤其透過培訓，在團隊保有好奇心與創意，還能提高團隊資安意識。她表示，微軟將持續研究更多安全技術和工具，來確保服務安全。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2-BOX-%E6%9C%AA%E4%BE%86%E5%AE%89%E5%85%A8%E8%A8%88%E7%95%AB-600(1).png" style="width: 376px;" /></p> </div></div></div>
2024/6/21 11:10作者王若樸https://www.ithome.com.tw/news/163531
【微軟Build 2024 AI戰略2】微軟打造更快更聰明AI筆電Copilot+ PC的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在5月下旬的微軟Build 2024大會上，微軟執行長Satya Nadella一口氣揭露數十項新突破，還點出今年的2大重要AI戰略：支撐起AI開發和應用的Copilot技術架構，以及號稱史上最快的AI系列筆電Copilot+ PC。</p> <p>大會進入Copilot+ PC主題時，Satya並未直接亮相AI筆電新品，而是興致勃勃地聊起一個重要基礎：Windows Copilot Runtime。微軟官網將它形容為「Copilot技術架構到Windows作業系統的延伸」，Satya則稱：「它會讓Windows成為最好的AI開發平臺！」甚至還比喻，就像Win32帶起圖形使用者介面GUI應用風潮一樣，Windows Copilot Runtime也將帶起AI應用大爆發。</p> <p>這是因為，Windows Copilot Runtime是專為Windows作業系統設計的底層函式庫，內建多種模型API和工具，能用來更快、更有效率地執行AI開發工作和AI應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2-%E6%88%B0%E7%95%A52-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟執行長Satya Nadella指出，Windows Copilot Runtime是微軟AI筆電Copilot+ PC的重要基礎，以函式庫、本地端模型與API為核心，來驅動高階AI應用與體驗。</strong><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特點1：專為AI設計的Windows函式庫</strong></span></span></p> <p>進一步來說，Windows Copilot Runtime的核心是「Windows Copilot函式庫與本地端模型」，向下支援微軟AI框架和工具鏈，向上可用來發展AI應用程式、提供一致的使用體驗。這3大層次加起來，就是一套完整的端到端Windows AI生態系統，「Windows Copilot Runtime就是這樣的系統」，微軟官網如此說明。</p> <p>就Windows Copilot函式庫與本地端模型來說，它包括一系列即用型本地端API，這些API由40多個本地端AI模型和Windows內建的DiskANN等演算法驅動，使用者可用來打造AI應用和體驗。</p> <p>第一波API在6月對開發者開放，包括工作室特效（Studio Effects）、即時字幕翻譯（Live Caption）、OCR、回顧使用者活動（Recall User Activity）和語言模型Phi Silica等。接下來，Windows Copilot函式庫預計還會新添向量嵌入、檢索增強生成（RAG）、文本摘要等API。其中，向量嵌入API還能用來打造開發者自己的向量儲存庫，能介接專屬App的資料，更客製化回答問題。</p> <p>如何使用這些API？微軟舉例，開發者不需任何程式碼，就能在Copilot+ PC系列筆電上，將Studio Effects整合至自己的應用程式，比如創意濾鏡、人像模糊化、注視提詞機（Eye contact teleprompter）等。或是使用即時字幕翻譯API，來替音檔和影片即時添加字幕。</p> <p>而驅動這些API的本地端模型，則有40多款小型語言模型，如Phi系列模型、近期新打造的Phi-3-vision，以及專為Copilot+ PC和NPU設計的33億參數SOTA模型Phi-Silica，延遲更低、更省能源。這意味著，所有Copilot+ PC都內建40多個小型語言模型。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特點2：支援多款AI框架與工具</strong></span></span></p> <p>除了函式庫與模型，Windows Copilot Runtime還支援底層AI框架與工具，像是微軟既有的AI框架DirectML、ONNX Runtime等。</p> <p>Satya揭露底層工具2大亮點，開發者透過Windows中用於機器學習的高效能低階API：DirectML，就能獲得Windows作業系統對PyTorch開發框架的原生支援（開發者預覽版）。這意味著，Hugging Face上的上千個模型終於能在Windows中執行，而且微軟也正式推出GPU對PyTorch的支援，NPU支援也即將上線。</p> <p>另一亮點是WebNN，也就是網頁原生的機器學習框架，可在Windows作業程式中透過DirectML和ONNX Runtime Web來執行。同樣是開發者預覽版，WebNN的出現，能讓開發者更好地利用筆電硬體資源，來提供更好的AI網頁App體驗。這2項就是Windows Copilot Runtime的底層工具亮點。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特點3：更多原生與第三方AI應用</strong></span></span></p> <p>不只支援AI工具，Windows Copilot Runtime還能向上發展AI應用與體驗，這部分有2大特點，一是微軟用Windows Copilot Runtime自建的AI應用程式，如使用者活動回顧（Recall）、圖像創作（Cocreator）、即時字幕翻譯、風格編輯（Restyle Image）等。</p> <p>其中，回顧是透過對螢幕快照，將這些資訊轉為向量、儲存在語義索引中。當使用者想搜尋先前看過的資訊時，就能在回顧中手動捲動時間軸搜尋，或輸入關鍵字，來啟動向量語意辨識、快速找出所需內容。這些快照皆儲存在本地端，使用者可隨時刪除，或在設定中設置不想留存快照的特定網站或應用程式。但日前，為顧及使用者隱私，微軟預設回顧為關閉狀態。</p> <p>再來，圖像創作則以小型語言模型和Stable Diffusion等共5款模型驅動，可根據文字提示和簡單筆畫，來即時生成逼真的圖像。即時字幕則支援筆電上任何音訊的語言翻譯，可將40多種語言翻譯為英文，離線也行。不只開發這些應用，微軟還用來優化既有的智慧助理Copilot，比如能在筆電上與玩家語音對話、給玩家XBox遊戲Minecraft的破關建議。</p> <p>除了自建的AI應用，微軟Windows Copilot Runtime還正整合多個第三方應用程式，如專業級影像處理程式Davinci Resolve、影像剪輯程式CapCut、通訊軟體WhatsApp、聲音手勢控制程式Cephable、文件註解程式LiquidText和Adobe系列應用等，要用NPU來優化這些程式的AI功能。</p> <p>因此微軟自建的AI應用程式，使用者可在Copilot+ PC筆電中開箱即用，要是在這系列筆電使用微軟整合的第三方應用程式，也能獲得筆電加持的AI功能。可以說，這個Windows Copilot Runtime，是支撐起Copilot+ PC這一系列AI筆電的重要基礎。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>強大硬體撐起史上最快AI筆電</strong></span></span></p> <p>當然，光靠強大的底層系統驅動這系列筆電，還是不夠的。因此Satya點出，這系列筆電採用新型硬體架構，大幅優化NPU、CPU和GPU的資源使用，每秒能實現40兆次操作（TOPS）。微軟測試證實，這樣的硬體設計能更快進行AI模型推論，執行AI工作負載的效率還能提高100倍，續航力也更好，充電一次就能支援長達15小時的網頁瀏覽，或22小時的本地影片播放，後者比MacBook Air 15 吋還要久20%。</p> <p>至於處理器部分，首批Copilot+ PC筆電採搭載高通Snapdragon X Elite和Snapdragon X Plus處理器，可實現45 TOPS。之後，還會推出搭載英特爾Lunar Lake處理器和AMD Strix Point處理器的Copilot+ PC筆電。甚至微軟預告，希望這類硬體架構的筆電，未來能搭載Nvidia GeForce RTX顯卡和AMD Radeon顯卡，來從硬體上更進一步優化Copilot+ PC筆電的使用體驗。</p> <p>這些硬體和Windows Copilot Runtime優勢，正是微軟發豪語稱Copilot+ PC筆電是史上最快、最聰明筆電的底氣。</p> </div></div></div>
2024/6/21 11:17作者王若樸https://www.ithome.com.tw/news/163532
Google資安證書課程大公開，在臺合作計畫鎖定跨域轉職與大學生
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於臺灣資安人力需求持續擴大，繼去年底Google捐助資安院100萬美元，協助推出針對中小企業NICS臺灣資安計畫後，最近再有資安人培方面的新合作計畫宣布。</p> <p>在6月17日，Google宣布，將他們推動的入門級資安專業證書：「Google Cybersecurity Certificate（GCC）」課程，推廣至臺灣，並由Google台灣、數位發展部、資訊工業策進會（資策會）、臺北科技大學（北科大）共同合作，啟動這項臺灣資安人才培育計畫。</p> <p>關於上述GCC資安專業證書課程，其實在1年前Google已經推出，這是設置於Coursera教育訓練平臺的付費課程，由Google資安專家設計與授課。</p> <p>而在這次的合作計畫之下，Google將原本要付費的課程，釋出1,000個免費課程帳號，提供給我國數位發展部產業署，並且由資策會與北科大負責招募並審核報名申請。這項計畫的目標是，要在短時間之內，為國內培育2千名資安即戰力，包括2024年底鎖定500名跨域轉職在職人士，以及2025年底鎖定1,500名在學人士。</p> <p>值得我們關注的是，這是以資安入門為主，已在全球多國推廣的線上證書課程。2023年推出GCC認證課程之後，對於想投入資安領域的人來說，有具體幫助嗎？Google台灣政府事務及公共政策資深協理陳幼臻舉例說明，她表示，美國有一位無資安經驗的貨車駕駛，透過Google資安專業證書轉職，結果錄取全美前五大銀行Wells Fargo的資安專員職位。</p> <p>而且，去年Google就已經將此課程推展到亞太多國，包括日本、印度、新加坡，後續還有印尼、巴基斯坦等，也都是與當地政府或非營利組織來合作推動。</p> <p>換言之，這套資安證書課程在國際間已獲得實際應用，而且，如今這樣的合作計畫也引進至臺灣。</p> <h2><strong>課程畫分8大主題，涵蓋實務操作是一大特色</strong></h2> <p>相較於坊間林立的各種類型資安訓練資源，這套Google Cybersecurity Certificate證書課程有何不同？陳幼臻表示，這套課程以全英文授課，共有8大主題，從「網路安全基礎」課程開始，以深入淺出的方式帶大家了解「資安風險管理」，進而學習如何保護「網路跟網路安全」、懂得「資產、威脅與弱點」，以及了解「偵測與回應」。</p> <p>同時，這裡也有實務操作的部分，包括資安分析所需要的「Linux與SQL工具」，並會教導「Python自動化任務」，還有重要的「職涯準備」課程，會針對職涯準備、職場溝通進行指導，並且包括如何通報事件，以及如何說服管理者投入資安支援等。</p> <p>整體而言，這裡提供180小時的課程內容，不僅包含314部影片、252篇文章，也有157次小考，最特別的是，還有125個實務演練活動。</p> <p>陳幼臻表示，以在職學員而言，只用工作之外的時間來學習，約4到6個月內完成培訓。目前，國外有相當多人完成這套課程，美國有超過15萬人取得GCC證書，逾150家企業有意願聘用GCC證書的求職者；在亞太區，則有超過12萬5千人取得證書，並有8成認為對職涯有所幫助，像是得到新工作、升遷與加薪。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Google%E8%B3%87%E5%AE%89%E5%B0%88%E6%A5%AD%E8%AD%89%E6%9B%B8X_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <h2><strong>今年下半鎖定跨域轉職者500人，並有更多名額提供大專院校</strong></h2> <p>在Google這次提供1,000個免費課程帳號之餘，資策會與北科大也計畫有效運用這些資源於國內人才培訓，若要報名，需具備哪些資格？</p> <p>資安科技研究所策略總監蕭榮興表示，以數位部數產署過去的資安人培目標而言，主要針對資安在職人員，以及資通訊兼任資安工作者，提升其資安能力，但這樣的作法不足以滿足市場的需求。</p> <p>因此，在數位發展部部長黃彥男上任後，數產署討論要進一步擴大人培的來源，也就是讓非資通訊產業工作者跨入資安領域，而這次與Google合作下也發現這方面的契機，可促進資安人培新動能的建立。</p> <p>因此，在2024年下半，資策會所負責的500個報名申請資格，將以跨域人才轉職為優先錄取，並且只要學員14天都沒有上課，他們就會釋出名額給新的學員，最終目標希望，這500位完成課程的資安新血，能滿足百100家企業的資安能量強化。</p> <p>台北科技大學資工系助理教授張世豪也表示，他們的推廣對象是以全國大專院校為主，預計在接下來一年半，他們將利用這500個免費帳號，培育出1,500名資安人才。</p> <p>他表示，不論是否有電腦資訊背景都可參加，希望藉由提供學生資安知識跟技能，體驗在實際工作中的場景，以促進更多學生投入資安領域。但也因為這是全英文授課，因此，他們希望學員的多益分數要在550分以上，對於Python、SQL有興趣也會加分。</p> <h2><strong>國際間同樣積極發展資安人培，3年前Google即承諾在美推廣</strong></h2> <p>關於Google Cybersecurity Certificate證書課程的發展，最早可追溯到2021年8月。最讓我們印象深刻的是，這一年美國白宮舉行資安高峰會，我們注意到多家科技大廠均公開響應此舉，紛紛表示將大幅改善與協助推動資安，他們不只承諾要強化資安與投入資安研發，也包括幫助資安人才的培育。</p> <p>當時，包括微軟、IBM、Google等公司，都承諾要協助美國的資安人才培育。例如：微軟將擴大與大專院校合作培育資安人才；Code.org承諾3年內教導300萬名學生網路安全概念；IBM計畫3年內培養15萬名資安人才；Google也宣布將協助10萬美國人取得「Google的職涯證書（Google Career Certificates）」，並在IT支援、資料分析領域，學習資料隱私與資安方面技能等。</p> <p>2023年5月，Google基於Google Career Certificates，除了既有的IT支援、雲端工程、數位行銷、資料分析、AI應用及開發的課程之餘，新開發出第6款課程，也就是這次的GCC資安專業證書（Google Cybersecurity Certificate）。</p> <p>最特別的是，Google不僅在美國推動，也將這項GCC資安專業證書課程推廣至全球，並有不同的在地推動策略。</p> <p>例如，去年10月，他們與印度的CERT-IN、新加坡的網路安全局合作，提供當地12.5萬個獎學金；對於日本，他們則提供日文版的認證課程，並透過日本技能再培訓聯盟（日本リスキリングコンソーシアム）提供2萬個獎學金。</p> <p>基本上，這個線上課程原本就是全球用戶都可申請註冊，如果個人不打算透過上述合作計畫參加，還是可自行付費線上學習，一開始註冊可獲得7天免費試用，試用結束後，需每月49美元訂閱才能繼續學習。。</p> <p>當然，對於臺灣整體環境而言，主要期盼藉助這樣的合作計畫，開拓更多資安培訓資源與管道，重點不僅是在持續擴大國內的資安培訓能量，還希望促進更多人投入資安領域。</p> <h2><strong>擴大資安人培來源成國內關注重點，並讓培訓資源更有可見性</strong></h2> <p>總體而言，越來越多資安人培計畫的進行，目的都是幫助臺灣當前市場填補資安人力，以這次Google資安專業證書而言，雖然這只是項證書（Certificate），並非證照（Certification），但現在重點放在可促進更多人進入資安領域，以及協助企業招募時，使他們知道至少這些取得證書的人已有資安基礎，甚至接觸過實作。</p> <p>至於企業如何看待這項計畫的效益？對於資安人才招募是否有幫助，是否買單願意採用該證照的求職者，以及是否影響國內其他培訓計畫，將是我們將會持續關注的焦點。</p> <p>回顧國內，持續進行的資安培訓計畫不少。例如，在教育部先進資通安全實務人才培育計畫下，每年都有「AIS3新型態資安暑期課程」，以及「台灣好厲駭」的計畫；近年還有一些大學與研究所，陸續開設資安相關課程與系所；國內資安社群HITCON也時常舉辦Training課程。</p> <p>在政府方面，也持續藉由與多個專業訓練機構合作，開設培訓課測，甚至提供培訓與考照補助，讓公職人員提升資安技能，近年經濟部也有初期／中級資訊安全工程師能力鑑定，也是希望擴大人才招募。</p> <p>特別的是，還有資安院提出12+7人才類型，將陸續制定不同的專屬培育課程。再者，包括恆逸等專業訓練機構，以及思科、ISC2在臺持續推動資安證照與培訓課程，安碁學苑亦在今年開展資安職能與證照人才培訓業務。</p> <p>資安業者對人才培育更加重視，例如，國內資安業者如趨勢科技、奧義智慧、戴夫寇爾，時常啟動年度資安人才培育計畫，以及實習生、資安獎學金等計畫，有利於自家公司徵才：還有一些國際資安業者，如Palo Alto Networks、Check Point、Fortinet等，與學校合作，提供資安設備或協助推出一系列資安課程。</p> <p>而在企業方面，近年來，我們也看到台灣資安主管聯盟發起資安專責人員培訓。</p> <p>面對國內如此多的資安培訓計畫，或許接下來，大家該思考的是，能否讓求職者快速找到資安方面的所有培訓資源，又或是能否建立針對在職人士的學習與能力認證平臺，幫助他們規畫適合自己的學習與成長路徑，更有效率地培養與提升資安專業能力。</p> </div></div></div>
2024/6/20 18:46作者羅正漢https://www.ithome.com.tw/news/163559
駭客鎖定WordPress網站下手，目的是要脅瀏覽網站的使用者瀏覽器過舊，藉此散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>假冒瀏覽器更新散布惡意程式的情況，近期不斷有相關事故傳出，如今有一起資安事故，是專門針對特定網站下手，引誘使用者上當。</p> <p>資安業者Sucuri揭露最近一波從今年4月下旬出現的攻擊行動，過程中<a href="https://blog.sucuri.net/2024/06/hundreds-sites-targeted-by-fake-chrome-update-pop-ups.html">攻擊者濫用名為Hustle的WordPress外掛程式</a>，該外掛主要用途是電子郵件市場行銷，或是產生彈出式廣告視窗，從而經營客戶。</p> <p>然而，對方利用這款外掛程式對WordPress網站下手，將惡意程式碼注入，使用者只要瀏覽網站，就會看到彈出式視窗，「警告」已偵測到有漏洞的Chrome，要求更新瀏覽器。一旦使用者按下彈出式視窗上的按鈕，就會被重新導向惡意網址，下載惡意軟體（大部分被命名為GoogleChrome-x86.msix）。但值得留意的是，使用者就算是使用Firefox、Opera、Edge瀏覽網站，同樣會看到上述的彈式視窗。</p> <p>根據駭客使用的網域，這起攻擊行動最早可能在今年3月中旬出現。研究人員也透過原始碼搜尋引擎PublicWWW尋找攻擊者入侵的網站，結果有341個受害。</p> <p>研究人員強調，攻擊者並非針對Hustle的漏洞下手，而是在已經取得WordPress管理介面的存取權限而能得逞。對方利用合法外掛程式的目的，就是迴避靜態掃描工具的偵測，呼籲網站管理員提高警覺。</p> </div></div></div>
2024/6/20 21:12作者周峻佑https://www.ithome.com.tw/news/163473
巴基斯坦駭客組織Cosmic Leopard鎖定Windows、macOS、安卓裝置散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科旗下威脅情報團隊Talos揭露攻擊行動Operation Celestial Force，從2018年起，巴基斯坦駭客組織Cosmic Leopard鎖定印度政府機關、國防單位，以及相關技術領域的組織。值得留意的是，時至今日這項攻擊行動仍在持維進行，並未出現緩和的跡象。</p> <p>針對這波為期長達6年的攻擊行動，研究人員指出，對方起初使用RAT木馬程式GravityRAT鎖定Windows用戶，接著，為了擴大攻擊規模，他們也開發安卓版本，並在2019年針對行動裝置而來。再來，為了散布上述木馬程式，對方開發了名為HeavyLift的惡意程式載入工具，並將其用於攻擊行動，過程中運用名為GravityAdmin的管理介面來控制受害裝置。</p> <p>究竟駭客如何接觸攻擊目標？研究人員指出主要透過兩種媒介，分別是魚叉式網路釣魚和社交工程攻擊。值得留意的是，對方運用社交工程手法的情況越來越頻繁，多年發展下來，社交工程已是他們的主要滲透管道。</p> <p>駭客先是利用社群網站與目標人士進行聯繫，建立信任關係，最終向受害者散布GravityRAT或是HeavyLift。</p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-ee13eb90-a7a2-44b1-a495-91ddbe033d05.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-ee13eb90-a7a2-44b1-a495-91ddbe033d05.jpeg" style="width: 580px;" /></a></p> <p>研究人員指出，根據他們對駭客的整個生態系統進行調查，很有可能在2016年就開始將GravityRAT用於攻擊行動，但有些惡意網站的網域在今年1月初註冊，偽製成合法安卓應用程式的下載網站，誘騙使用者上當。</p> <p>一旦該木馬程式植入受害電腦，會向C2發送設備的系統資訊，例如：IMEI碼、電話號碼、網路服務供應商、SIM卡序號、電信業者，以及設備型號、廠牌、作業系統版本，甚至是地理位置。此外，對方還會收集簡訊的內容、特定格式檔案、通話記錄，並隱匿與惡意軟體有關的聯絡人及通話記錄。</p> <p>至於另外一款名為HeavyLift的惡意軟體載入器，研究人員指出是以應用程式開發框架Electron為基礎打造而成，對方將其偽裝成合法應用程式的安裝檔案散布，並從C2取得其他的惡意程式。</p> <p>值得留意的是，這個惡意軟體不光能在Windows上執行，若是偵測到在macOS作業系統環境，並未取得root權限，他們就會下達特定命令取得管理權限，然後下載ZIP壓縮檔並植入有效酬載。</p> </div></div></div>
2024/6/20 21:01作者周峻佑https://www.ithome.com.tw/news/163474
資安院首度發表AI打詐技術，詐騙廣告偵測率超過九成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打詐是臺灣政府新內閣首要任務，也是民眾生活最大痛點之一。為了解決這個問題，數發部數位產業署委託資通安全研究院研發，他們期盼透過運用AI技術，從源頭做到「識詐」、「防詐」以遏止詐騙橫行。資安院副院長林盈達表示，從今年1月開始執行的廣告自動化巡檢技術，每個月可以檢測超過50萬筆廣告，一旦偵測到詐騙廣告，會進行後續通報。他表示，今年五月詐騙廣告數量超過20萬筆創下新高，資安院採用AI偵測詐騙廣告的準確度達93％，而在這個巡檢的過程中，他們也發現97％詐騙廣告刊登不到兩天，顯示相關的阻擋機制必須跟時間賽跑，因為處理時機稍縱即逝。<br /> 數位部政務次長林宜敬則表示，數位部目前也積極規畫「打詐通報查詢網」，預計三個月內正式上線，該網站之所以設立，是為了便利民眾通報並查詢各種可疑廣告資訊，當中也會顯示被檢舉詐騙廣告的處理進度，讓一般民眾參考。<br /> 面對現在最常見的假冒名人投資的詐騙廣告，林宜敬指出，數位部將規畫出最妥善的SOP，在與名人求證與下架冒名詐騙廣告的效率中，取得平衡點。<br /> 資安院前瞻研究籌獲中心代理經理江禹賢表示，根據廣告自動化巡檢的資料，遭到詐騙集團冒用數量最高的名人是486先生（陳延昶），詐騙集團也會因應熱門時事，冒用不同名人、投放名人投資詐騙廣告，先前輝達公司執行長黃仁勳訪臺時，偽冒黃仁勳的名人詐騙投資廣告數量便暴增，而在資安院的偵測並進行通報的處理之下，各個平臺的詐騙廣告下架率高達九成。<br /> <strong>97％的詐騙廣告刊登天數不到兩天，詐騙是關鍵字第一名</strong><br /> 江禹賢表示，從今年1月開始，資安院開始利用廣告自動化巡檢技術，偵測網路廣告是否為詐騙廣告，迄今發現，詐騙廣告數量每個月增加超過6萬筆，截至5月為止，更有超過二十萬筆詐騙廣告，創下新高。<br /> 細究這類網路詐騙廣告的特色，江禹賢指出，97％的詐騙廣告只會刊登不到兩天，只刊登1天的詐騙廣告更是主流，而目前偵測到刊登最多天數的詐騙廣告，長達33天。<br /> 他也解釋，目前只要偵測到詐騙廣告，就會跟各個平臺業者進行通報、下架，所以廣告刊登的天數，並不等於實際曝光的天數。若進一步分析詐騙廣告的內容，以五月（1日至24日）的統計發現，將近3成是高風險廣告，所謂的高風險廣告，是指假投資群組、偽冒名人，以及加入Line群組連結的廣告。<br /> 他進一步解釋，從今年1至4月間，詐騙廣告關鍵字排行榜第一名的就是「詐騙」，詐騙在假投資廣告存在的次數高達8萬多次，而且這些詐騙廣告都會強調「不是詐騙」或「追回詐騙」來吸引民眾相信；至於關鍵字第二至五名則是股票池、反彈暴漲、當沖技巧，以及龍頭股。<br /> 林盈達表示，目前資安院使用的廣告自動化巡檢技術，就是透過AI技術偵測，檢查關鍵字、貼文型態、出處、以及Line連結是否被動過手腳，目前準確度高達93％，每天可以偵測5千至1萬則詐騙廣告匯入資料庫，相關的清單也會提供給各個平臺業者。<br /> 林盈達補充說明，現在偵測詐騙廣告已經不是問題，但平臺要下架詐騙廣告，往往需要經歷一定的內部程序，而只存在一天、甚至兩天的詐騙廣告，這些內容可能在平臺下架之前，就已經自動消失了。<br /> 因此，林盈達認為，未來最關鍵的任務就是，如何讓平臺下架詐騙廣告也可以做到自動化，才是關鍵。換言之，目前詐騙廣告因為平臺下架流程，從偵測、通報到下架，如果能夠存活8小時，「未來可以透過自動化下架詐騙廣告的方式，讓詐騙廣告存活的時間越來越短，使得一偵測到詐騙廣告並通報後，可以做到即時下架。」他說。<br /> 林宜敬則指出，數發部目前積極規畫的打詐通報查詢網，就是希望鼓勵民眾協助通報詐騙廣告外，也可以透過程式自動化加上部分人工的輔助方式，偵測是否有偽冒名人身分的貼文，並且透過向名人求證的方式，減少誤判的情況。他表示，這個打詐通報查詢網預計3個月內正式上線，對於通報的詐騙廣告也會顯示處理進度，保護民眾不會受騙上當。<br /> 目前跨國社群平臺或是通訊平臺雖然也會下架詐騙廣告，但林宜敬對於處理速度並不滿意，關鍵在於，平臺雖然可以收到資安院提供的、每天5千至1萬筆的詐騙廣告清單，但因為下架作業仍未做到自動化，所以，平臺每日可以下架廣告的數量或許只有十分之一，顯然下架效率仍有提升的空間。<br /> 再者，林宜敬認為，並不是每筆詐騙廣告都一樣重要，熱門的、大家關注的詐騙廣告，要有比較高的優先順序和權重，平臺也應該優先下架這類型的詐騙廣告、降低對民眾的危害。最後，他也說，目前政府也積極透過和立法院協商，提供相關平臺有更多法源依據，使他們可以下架詐騙廣告。<br /> <strong>針對詐騙廣告人名偵測精準率達93％</strong><br /> 江禹賢表示，目前資安院利用機器學習、自然語言處理（NLP）並結合大數據分析等技術，研發出更高效率的識詐工具，可以從源頭遏止詐騙蔓延，目前針對人名是別的準確度達93.3％，而Line帳戶識別準確度也達94.2％。他說，藉由這樣的識詐工具，可提取詐騙廣告最常偽冒的人名，作為加強重點人物回報機制。<br /> 資安院在數位產業署的指導下，逐步打造跨領域打詐協作及訊息交換平臺，目前投入9個人力、整個專案投入約2千萬元，目前研發的重點在於：深化資料探勘技術，除了目前使用的廣告自動化巡檢技術，還有AI詐騙關鍵字提取、身分資訊識別技術，透過每個月超過50萬筆的廣告巡檢數量，做到有效偵測詐騙廣告並進行通報。<br /> 另外，他說，持續精進情報收整應用也是目前資安院的研發重點，不僅會分析詐騙廣告特徵，包括名人偽冒、用語和行為等，也會針對文本內容做風險評估。<br /> 資安院也綜整近二十年來臺灣詐騙事件的類型，並且彙整美國FBI、澳洲國家反詐騙中心NASC、英國內政部 Fraud Strategy 等單位的研究，歸納出9大詐騙樣態，包括：愛情交友（Romance）、金融投資（Investment）、產品服務（Product and Service）、意外之財（Unexpected Money）、威脅勒索（Threat and Extortion）、身分冒充（Impersonation）、工作求職（Jobs and Employment）、錢騾車手（Money Mules）及慈善捐款（Charity），而臺灣目前最盛行的詐騙態樣，主要是金融投資、身分冒充、愛情交友的混合式詐騙。<br /> 江禹賢表示，資安院分析、歸納這九大詐騙樣態指南之後，希望可以提高針對詐騙手法的識別能力，透過強化打詐策略與資源分配，促進識詐、防詐的教育宣導工作外，也希望透過研發「詐騙事件描述框架」（TTPs），藉由描述詐騙集團的戰術（Tactics）、技術（Techniques）以及程序（Procedures），做到強化詐騙事件溯源能力和情報共享能力，並提升自動化處理效率，進一步做到主動監測和事前預警。<br /> 未來，江禹賢認為，若要精進數位詐騙反制技術研發，就必須做到詐騙防治生態系的規畫，強化跨單位聯防能力，並規畫情資交換格式，建立詐騙事件快速應變流程，也要規畫事件目擊通報平臺。<br /> <strong>關注臺灣近期常見的四種新興詐騙手法</strong><br /> 資安院也從目前詐騙廣告的多樣性，發現幾種臺灣目前較為常見的新興詐騙手法。江禹賢指出，偽冒政府單位是最常見的詐騙形式，像是假冒交通部公路局發送假催收簡訊、假政策宣導、假監理服務網站；或是偽冒法務部假冒地檢署、假冒檢察官或是假冒律師事務所等，都試過網常見的詐騙廣告型態。<br /> 而另外一種常見的愛情交友詐騙，主要分布在社群通訊平臺、交友約會平臺，以及廣告，會因為受眾不同而有差異。像是社群平臺的愛情交友詐騙，是以虛假身分、長期情感培養操弄（精聊盤）、跨國操作（美國盤、臺灣盤）和詐騙App等方式；若是廣告平臺的愛情交友詐騙，則是感情投資詐騙、戀愛指導諮詢、違禁藥品交易和詐騙App等手法。<br /> 不過，江禹賢表示，資安院也分析4種現在臺灣常見的新興詐騙手法，因為，只有先識詐才能夠防詐！<br /> 第1種新興詐騙手法就是，詐騙集團透過釣魚貼文，並利用社群平臺的跳轉機制，使連結看起來像是來自官方的來源，事實上，該連結卻會導向一個不安全的釣魚網站，會竊取用戶的個人資訊。<br /> 第2種則是利用虛假課程來騙取個人資料，這些假課程的報名廣告，強調課程精美、限時免費，吸引用戶報名，但真正目的則是要騙取個人資料。第3種和第4種類似，則是出現各種假活動報名廣告，目的也是在騙取民眾個資，破解方式就是看到相關訊息時，都必須先向官方管道求證。<br /> 最後一種常見的新興詐騙手法，就是假冒慈善捐款機構詐騙，根據刑事局統計，光是今年三月，就有45家基金會遭到詐騙集團冒名進行詐騙，累計案件超過135案。這類詐騙主要發生在社群通訊平臺及廣告平臺，「免費占卜抽獎」是常見關鍵字，除了假冒社福團體騙取個資外，也會藉由免費占卜抽獎接觸民眾，更會根據新聞時事更換題材，像是4月2日的花蓮大地震過後，就會立刻出現相關的慈善詐騙廣告。<br /> <strong>從事前、事中、事後來因應詐騙</strong><br /> 伴隨著數位科技發展，也同時面臨一些風險與挑戰，江禹賢表示，首先，現階段可以看到的就是AI生成內容的濫用，像是深偽技術（Deep Fake）用於詐欺與不實訊息，或者是大規模生成爭議內容、虛假評論，都會干擾輿論生態。<br /> 其次，也會面臨去中心化平臺監管困難，像是去中心化的訊息傳播管道，缺乏有效內容審核機制，加上全程加密的通訊管道，也使得執法部門難以監測和取證。第三，如何在隱私保護和打擊危害取得平衡，像是法律保護隱私，但也為違法犯罪提供隱蔽空間。<br /> 第四，公眾意識與數位素養教育的養成，因為很多資訊缺乏事實查核意識，反而會助長詐騙訊息快速傳播。最後則是法規與執法工具的滯後性，法規制定跟不上科技發展，對於隱含的風險也面臨無法可管的情況。<br /> 因此，江禹賢表示，資安院對於詐騙應變流程提出四大策略，包括：事前的識別預警，事中的查核驗證和清掃阻斷，以及事後的採證調查。<br /> 在識別預警上，江禹賢表示，要先做到時序趨勢，把危害活動的時間序列分析，並研究相關趨勢變化與互動歸因；再者進行行為分析，透過社群分析、自然語言處理來了解行為的影響因素。最後則是異常預警，隨著分析技術發展，就可以研發異常資訊檢測與事件預警技術。<br /> 在查核驗證上，先做到跨平臺溯源，建立跨平臺訊息溯源機制，做到快速查證訊息源頭和傳播路徑；再者透過通報查核平臺，提供使用者訊息真偽驗證功能，並強化公民參與管道。最後則是要做到多語系資訊處理，在多語言環境下運作的關鍵字識別系統，降低語言差異對於詐騙內容識別的影響。<br /> 針對清掃阻斷，則需要先做到公私聯防，建立跨平臺訊息下架機制，整合平臺業者和NGO（非政府組織）資源；再者，透過自動化工具，大量清楚惡意散布的不實和詐騙訊息；最後則要強化關鍵基礎設施，強化電信網路黑名單更新機制，並縮短釣魚網站存活時間。<br /> 而在最後的採證調查上，我們要先做到威脅情資整合，透過跨單位情資分享，建立整合資料庫並加強犯罪偵查；其次，做到隱私強化技術，確保情資分享過程中的個資保護；最後則是開發鑑識工具，運用資安鑑識工具，保全惡意程式或仿冒網頁等數位證據。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A9%90%E9%A8%99%E9%98%B2%E6%B2%BB%E7%94%9F%E6%85%8B%E7%B3%BB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%9A%E8%B3%87%E5%AE%89%E9%99%A2.jpg" style="width: 831px; height: 457px;" /></p> <blockquote><p>資安院前瞻研究籌獲中心代理經理江禹賢表示，防制詐騙這個議題不會是一個單位可以解決，我們借鏡傳統資安的CERT、SOC、iSAC概念，認為詐騙防治也應該要有健全的分工運作機制。</p> <p>而資安院的角色是發揮研究與開發技術的優勢來幫助這個機制建立，特別是打詐議題橫跨公私部門甚至是國際合作，如何有效的 "分享情資" 是最重要也最需要去克服的部分。</p> <p>在上圖中，資安院下面的詐騙情資交換平臺有個循環的箭頭也正代表這個目標。然後我們現在在進行的就是這個過程所需要的資料蒐集分析、彙整到最後的情資分享的相關技術研發。</p> <p>圖片來源：資安院</p> </blockquote> <p> </p> <p> </p> <p> </p> <p> </p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/6/20 19:00作者黃彥棻https://www.ithome.com.tw/news/163576
AI老手如何防護生成式AI Amazon安全長首揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式人工智慧拜ChatGPT之賜，不到一年就竄升為家戶喻曉的人工智慧代名詞，而在各行各業積極探索新興應用商機之際，對於生成式人工智慧（Generative AI）潛在的資安顧慮也隨之湧現。亞馬遜（Amazon）安全長Steve Schmidt在re:Inforce 2024的演講中指出，生成式人工智慧並非橫空出世，而是承襲機器學習與人工智慧技術數十年發展脈絡的最新階段，因此資安的基本原則與人工智慧安全防護經驗都仍適用，他也公開亞馬遜的人工智慧安全團隊成立的經驗，包括資安組織的定位如何不會限制人工智慧的創新可能性、如何協助開發團隊做出正確的安全決策，以及在安全檢驗方面有別於傳統資安測試之處。</p> <p>身為全球電子商務巨擘的亞馬遜，運用機器學習與人工智慧技術已有十多年經驗，Schmidt表示，從2012年物流倉儲中心引入Kiva倉儲機器人、2014年推出Alexa個人虛擬助理，以至2017年推出個資保護服務Amazon Mice，皆是機器學習與人工智慧技術的應用。</p> <p>面對發展速度越來越快的新興技術，如生成式人工智慧，Schmidt指出，資安防護的基本原則依然不變，像是人人當責的資安文化、必要的防護工具與檢驗機制、安全守則指引、多因素認證，以及可將資安擴及全組織的分散式資安的觀念等。因此，因應人工智慧安全的三個基本問題依然可運用在生成式人工智慧，包括：資料的來源？資料經查詢後會發生什麼狀況，以及會對與之相關的任何資料造成什麼影響？第三則是人工智慧模型輸出的資料是否準確？</p> <h3>人工智慧安全團隊的定位：守門員 vs. 助攻員</h3> <p>企業要探索人工智慧的機會，首先需要人才，然而，不只人工智慧人才難找，資安人才也很難找，而要同時兼顧兩個領域的人工智慧安全人才，更是難上加難。找到人才之後，人工智慧安全團隊的職能定位更是關鍵，因為資安團隊最終扮演的是守門員或助攻員的角色，將決定人工智慧應用的創新機會。</p> <p>Schmidt表示，通常企業會賦予人工智慧安全團隊守門員的角色，由這些擁有專門知識技能的安全專家肩負起防護人工智慧的責任，然而由少數幾位專家來審查把關，一方面會成為開發流程的瓶頸，影響開發效率，拖累創新速度；另一方面，重重審查所帶來的額外負擔，也會造成開發人員為了避免審查而變相繞道，反而無法達到提升資安的效果。</p> <p>因此，如何讓人工智慧安全團隊既為資安把關又不阻礙創新的速度？Schmidt指出，亞馬遜最後採取的權衡作法，是讓資安團隊成為助攻員，協助開發人工智慧安全防護的解決方案，包括防護工具、檢驗工具與防護機制，再提供給開發團隊，協助開發人員以更安全的方式，更快開發出安全又創新的人工智慧應用。而這也與亞馬遜提倡的「分散式資安」—將資安作法散布到各個部門的作法如出一轍。</p> <h3>生成式人工智慧安全需求評估框架</h3> <p>亞馬遜人工智慧安全團隊因而開發出一系列評估框架、決策準則與最佳作法建議。其中，他們針對生成式人工智慧安全提出的需求評估框架「Generative Artificial Intelligence Scope Matrix（生成式人工智慧範疇矩陣）」，可協助開發團隊評估專案範疇與資安防護構面。</p> <p>生成式人工智慧範疇矩陣界定五種應用類型，第一種是如ChatGPT、Midjourney這類人人都能直接使用的生成式人工智慧服務；第二種是已整合生成式人工智慧功能的企業SaaS服務；第三種是利用基礎模式開發生成式人工智慧應用；第四種是利用基礎模式與自有資料微調模型；第五種則是自主訓練模型。而這五種範疇應用的資安防護，都必須顧及治理與法遵、法律與隱私、風險管理、管控措施與韌性等五個構面的要求。</p> <h3>四大措施強化人工智慧安全</h3> <p>此外，亞馬遜人工智慧安全團隊也發展出一系列可協助開發團隊強化安全的措施，包括生成式人工智慧安全標準、威脅模型分析指南、測試工具與安全審查等。</p> <p>第一項措施是建立生成式人工智慧安全標準，內容包含如何處理機密資料，以及檢測模型、提示工作流程與人工智慧應用服務的安全性所要考量的測試條件。有標準可循，開發人員就更加清楚需要考量的安全措施，使他們能夠在一開始就結合安全設計，而不是在審查過後才做資安補強，Schmidt表示，不光只是生成式人工智慧，任何軟體若是在開發完成後才做資安補強，那就太晚了。</p> <p>第二項措施是建立生成式人工智慧威脅模型（Threat Modeling）分析指南，威脅模型分析是以系統性的方法分析潛在威脅、設計緩解措施，並排定優先順序，以確保將有限的資源挹注在能發揮最大安全成效的工作。Schmidt指出，威脅模型分析是亞馬遜愛用的方法，由人工智慧安全團隊建立威脅模型，再提供給所有開發團隊參考運用，對於提升安全有很大的幫助。</p> <p>第三項措施是提供測試工具，亞馬遜人工智慧安全團隊依據威脅模型分析的結果，開發對應的測試工具，協助開發人員據以檢驗生成式人工智慧應用程式的安全態勢，例如為了確保模型如何因應一些古怪的提示，他們就開發一套工具來檢驗。而隨著人工智慧安全團隊學習到越來越多攻擊樣態，把這些知識都集中在一起，整合成工具提供給開發人員使用，那麼所有開發人員自然而然直接受益，因此組織持續提升安全的效果就會發揮到最大。</p> <p>第四項措施是安全檢驗，Schmidt表示，亞馬遜的應用程式在上線前都必須通過滲透測試的檢驗，而且日後程式碼若有重大改變，則要再一次進行；然而，立基於基礎模型運作的生成式人工智慧卻不是如此，因為在生成式人工智慧的世界中，模型就是程式碼，而且生成式人工智慧應用的反應，會隨著使用者與模型的互動方式與時間推移而有所不同。也就是說，生成式人工智慧的安全檢驗永遠沒有完成的一天，必須從傳統一次性檢驗方式，改為持續性檢驗。</p> <p>Schmidt指出，為了因應生成式人工智慧特性所需的持續性檢驗，亞馬遜的人工智慧安全團隊因而開發防護機制（Guardrail）工具，例如評估每一次使用者的輸入與模型輸出的內容，依據管制政策拒絕使用者輸入或過濾模型輸出的內容或主題，如有害內容、提示攻擊或含有機敏個資的資訊等。</p> <h3>生成式人工智慧應用上線四大安全守則</h3> <p>由於生成式人工智慧技術從模型建立到面向使用者的應用服務，整個過程都涉及大量資料的輸入與輸出，Schmidt因此建議企業在推出生成式人工智慧應用前要重視四大安全守則。首先，在訓練人工智慧模型時要確保正確處理機敏機料，必須清楚掌握你的資料、儲存的地點與保管方式、資料存取權以及使用目的，並且要檢視日誌檔以了解資料實際上被使用的情形。</p> <p>再者，於企業陸續採用的檢索增強生成（Retrieval-Augmented Generation，RAG）領域，Schmidt提醒要注意信任邊界的問題，確保人工智慧應用帶出用戶正確的上下文，而且只能存取用戶授權的資料。</p> <p>第三項守則是依據人工智慧應用的特性設計合適的測試方法，例如定期或持續以特別設計的提示測試模型，主動偵測潛在的注入攻擊或資料外洩問題。第四項則是部署合適的防護機制，Schmidt表示，任何AI應用都會需要防護機制，才能依照用戶的性質去過濾不適當的術語或主題。<br /> 「在人工智慧世界裏，安全工作永無境。」Schmidt表示，人工智慧安全的相關研究非常活躍，未來勢必會有更多新的進展，需要持續保持觀注。</p> </div></div></div>
2024/6/20 19:14作者吳其勳https://www.ithome.com.tw/news/163577
【資安日報】6月20日，中國駭客UNC3886利用多項防火牆及虛擬化平臺的零時差漏洞隱匿行蹤，並部署後門程式持續存取網…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用尚未公布的零時差漏洞發動攻擊的情況，近期有數則消息揭露，例如：中國駭客利用CVE-2022-42475入侵FortiGate防火牆，並部署難以清除的惡意程式；勒索軟體駭客組織Cardinal於微軟修補CVE-2024-26169的3個月前，就將其用於攻擊行動，但如今中國駭客組織UNC3886，他們一口氣運用4個防火牆、虛擬化平臺的漏洞，以便長時間於受害組織活動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163572"><strong style="font-size: 22px;">中國駭客UNC3886利用Fortinet、VMware設備零時差漏洞持續在受害組織網路環境活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/unc3886-cloaked-covert-fig1_max-2200x2200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc3886-cloaked-covert-fig1_max-2200x2200.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Mandiant指出，他們曾於今年1月揭露中國駭客組織UNC3886從事多年的攻擊行動，對方自2021年底利用VMware vCenter的重大漏洞CVE-2023-34048，並在癱瘓VMware服務後的數分鐘內，部署後門程式。</p> <p>但後來他們發現，這些駭客在攻擊行動過程還可能運用了其他的零時差漏洞。一旦目標已修補上述漏洞，或是他們取得的外流帳密資料無法使用，這些駭客就會運用其他3個零時差漏洞。</p> <p>這些分別是防火牆作業系統FortiOS漏洞CVE-2022-41328、VMware vCenter 漏洞CVE-2022-22948，以及VMware Tools漏洞CVE-2023-20867。</p> <p><a href="https://www.ithome.com.tw/news/163566"><strong style="font-size: 22px;">Linux惡意軟體Disgomoji鎖定印度政府機關而來，攻擊者利用表情符號來下達命令</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UTA0137-image005a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/UTA0137-image005a.png" style="width: 300px; float: right;" /></a>資安業者Volexity揭露巴基斯坦駭客組織UTA0137的網路間諜攻擊行動，對方鎖定印度政府機關下手，過程中使用以Go語言打造的Linux惡意程式Disgomoji。</p> <p>研究人員公布駭客運用的9種表情符號，這些包含了執行命令、截取螢幕截圖、取得受害電腦特定檔案、上傳檔案、打包Firefox的設定，以及搜尋特定格式的文件、圖片、壓縮檔案。</p> <p>一旦受害電腦成功感染惡意程式，對方就會利用Nmap掃描受害組織的網路環境，並透過Chisel和Ligolo建立網路隧道，而在部分情況下，攻擊者還會企圖利用名為Zenity的工具，引誘受害者輸入密碼。值得留意的是，這些駭客也利用漏洞DirtyPipe（CVE-2022-0847）進行權限提升。</p> <p><a href="https://www.ithome.com.tw/news/163565"><strong style="font-size: 22px;">駭客假借提供思科Webex視訊會議軟體，意圖散布竊資軟體Vidar Stealer</strong></a></p> <p>資安業者Trellix揭露一起散布竊資軟體的攻擊行動，駭客鎖定拉丁美洲及亞太地區的使用者，誘騙他們下載受到密碼保護的壓縮檔，這個檔案的內容，包含了遭竄改的思科Webex Meeting應用程式元件ptService.exe，一旦使用者解壓縮並執行Setup.exe，Webex Meeting就會秘密啟動惡意程式載入工具HijackLoader，從而在受害電腦植入竊資軟體Vidar Stealer。</p> <p>一旦該程式與C2成功連線後，便會存取Chrome、Firefox、Zoom等應用程式的使用者設定資料，而且還會進行權限提升，並將自己加入防毒軟體Microsoft Defender的白名單，然後透過MSBuild.exe取得遠端.NET執行檔，試圖利用受害電腦挖礦。</p> <p><a href="https://www.ithome.com.tw/news/163563"><strong style="font-size: 22px;">網路攻擊促使北美汽車經銷業者SaaS服務供應商CDK Global暫時關閉系統</strong></a></p> <p>提供軟體即服務（SaaS）予北美逾1,500家汽車經銷商的CDK Global，在6月19日凌晨傳出遭到大規模的網路攻擊，促使CDK Global關閉了所有系統，而讓客戶服務停擺。</p> <p>CDK Global尚未對外公開說明遭到攻擊的情況，但已通知部分受到影響的客戶，表示已聘請第三方資安專家展開全面測試，目前已恢復CDK Phones、DMS及Digital Retail等服務。</p> <p>已有經銷商抱怨CDK Global遭駭事件讓原本要買車的客戶，轉向其它未使用CDK Global平臺的汽車經銷商。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/f/behind-the-great-wall-void-arachne-targets-chinese-speaking-user.html"><strong style="font-size: 20px;">駭客組織Void Arachne鎖定中國用戶，假借提供VPN軟體散布惡意程式Winos</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163562"><strong style="font-size: 22px;">研究人員針對微軟本月修補的Wi-Fi驅動程式漏洞提出警告，所有版本Windows都可能曝險</strong></a></p> <p>本月微軟在例行更新（Patch Tuesday）當中，修補Windows作業系統內建Wi-Fi驅動程式的高風險漏洞CVE-2024-30078，CVSS風險評分達到了8.8，如今有研究人員提出警告，呼籲用戶要特別留意這項漏洞。</p> <p>裝置遠端管理業者Automox在綜覽本次微軟修補的漏洞當中，希望用戶最優先注意的資安弱點，就是能被用於發動遠端程式碼執行（RCE）攻擊的CVE-2024-30078，原因是攻擊者想要觸發這項漏洞，只需要靠近目標設備就有機會達成，不需要其他特殊的存取條件，由於是透過Wi-Fi無線網路進行，攻擊者也無須實際接觸受害者的裝置。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.sonarsource.com/blog/remote-code-execution-in-mailcow-always-sanitize-error-messages/"><strong style="font-size: 20px;">研究人員揭露Mailcow郵件伺服器系統的遠端程式碼執行漏洞</strong></a></p> <p></p> <p>◆<a href="https://chromereleases.googleblog.com/2024/06/stable-channel-update-for-desktop_18.html"><strong style="font-size: 20px;">Google發布Chrome 126更新，修補漏洞懸賞競賽揭露的弱點</strong></a></p> <p></p> <p>◆<a href="https://www.horizon3.ai/attack-research/attack-blogs/cve-2024-29824-deep-dive-ivanti-epm-sql-injection-remote-code-execution-vulnerability/"><strong style="font-size: 20px;">研究人員公布Ivanti Endpoint Manager重大漏洞的細節</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162879"><strong style="font-size: 22px;">汽車關鍵核心的ADAS系統成為駭客鎖定目標，如何避免未來自駕車遭駭而失控將是更大的挑戰</strong></a></p> <p>在2024 CYBERSEC臺灣資安大會第二天主題演講中，趨勢科技核心技術部資深協理暨VicOne威脅研究副總裁張裕敏公開揭露了數十種鎖定汽車ADAS攻擊的三大類型，涵蓋28種攻擊樣態，更提出自動駕駛場景的防護之道。</p> <p>面對汽車資安的威脅，張裕敏提到應對措施，除了持續收集情資預作風險控管之外，車廠需要不斷加強ADAS在行車安全的提升，同時，面對網路攻擊的風險日益增加，車輛製造商必須投資強化安全措施，防範潛在的威脅。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<a href="https://www.cisa.gov/topics/partnerships-and-collaboration/joint-cyber-defense-collaborative/Joint-Cyber-Defense-Collaborative-Artificial-Intelligence-Cyber-Tabletop-Exercise"><strong style="font-size: 20px;">美國CISA針對AI資安事故進行首次演習</strong></a></p> <p></p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163110"><strong style="font-size: 22px;">資安產業具備輕資產、高價值特性，吸引年輕人投入創業</strong></a></p> <p>臺灣的資安產業曾是一個小眾市場的角落，然而過去十年它經歷翻天覆地的變化，由被忽視的領域轉變為備受政府、企業關注的關鍵產業。</p> <p>這種變革背後，國家資通安全研究院院長何全德認為，「資安即國安」戰略推動，為臺灣資安產業的蓬勃發展奠定基礎；而《資安法》實施也帶動了企業對資安的重視，使得資安成為企業營運中不可或缺的一環；監管機關對於資安標準的要求，迫使企業不得不投入更多資源和精力，以便提升資安水準，從而拉動市場需求。這是一系列外在因素的綜合作用，從政策、需求到技術發展，無不影響著資安產業的興盛。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163551"><strong>【6月19日】初始入侵管道掮客IntelBroker聲稱握有晶片大廠AMD內部機密資料，該公司表示將著手調查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163529"><strong>【6月18日】未補漏洞且暴露在外網的舊款F5 BIG-IP設備成駭客入侵企業內部環境的破口，中國駭客潛入竊密長達3年</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163501"><strong>【6月17日】日本影音共享平臺Niconico、角川書店傳出服務中斷近一週，起因是資料中心遭勒索軟體攻擊</strong></a></p> </div></div></div>
2024/6/20 18:09作者周峻佑https://www.ithome.com.tw/news/163574
研究人員針對微軟本月修補的Wi-Fi驅動程式漏洞提出警告，所有版本Windows都可能曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月微軟在<a href="https://www.ithome.com.tw/news/163421">例行更新（Patch Tuesday）</a>當中，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-30078">修補Windows作業系統內建Wi-Fi驅動程式的高風險漏洞CVE-2024-30078</a>，CVSS風險評分達到了8.8，如今有研究人員提出警告，呼籲用戶要特別留意這項漏洞。</p> <p>裝置遠端管理業者Automox<a href="https://www.automox.com/blog/patch-tuesday-june-2024">在綜覽本次微軟修補的漏洞</a>當中，希望用戶最優先注意的資安弱點，就是能被用於發動遠端程式碼執行（RCE）攻擊的CVE-2024-30078，原因是攻擊者想要觸發這項漏洞，只需要靠近目標設備就有機會達成，不需要其他特殊的存取條件，由於是透過Wi-Fi無線網路進行，攻擊者也無須實際接觸受害者的裝置。</p> <p>根據微軟的資安公告，攻擊者利用這項漏洞無須通過身分驗證，也不需事先存取受害電腦的組態或是特定檔案，攻擊過程中，也完全不需與使用者互動。</p> <p>Automox首席資訊安全長Jason Kikta表示，有鑑於這項漏洞的性質，有可能會在端點裝置密集的環境造成重大風險，像是旅館、展覽會場，以及其他有大量裝置連接Wi-Fi網路的環境，攻擊者可以輕易針對毫無戒心的用戶下手。因此，了解如何緩解、減輕相關威脅極為重要。</p> <p>微軟已針對Windows 10、Windows 11、Windows Server 2008至2022等版本的作業系統提供修補程式，但Jason Kikta提出警告，已終止支援的作業系統特別容易受到該漏洞影響。此外，若是IT人員無法套用更新軟體，則必須使用端點防護系統監控是否出現可疑活動，基於這項漏洞是允許無線網卡或基地臺的訊號，近距離傳輸惡意封包，Jason Kikta警告，單靠一般的網路偵測機制，將難以察覺這類威脅。</p> <p>而對於這項漏洞帶來的危險，Jason Kikta指出，這是一種近距離的攻擊手段，能繞過網路層面的偵測及緩解措施，從而迴避大部分的威脅模型。因此，他們認為企業組織應將緩解這項漏洞列為優先事項，因為，不久之後很有可能就會出現相關的漏洞利用工具。</p> </div></div></div>
2024/6/20 11:36作者周峻佑https://www.ithome.com.tw/news/163562
駭客假借提供思科Webex視訊會議軟體，意圖散布竊資軟體Vidar Stealer
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Trellix揭露一起散布竊資軟體的攻擊行動，駭客鎖定拉丁美洲及亞太地區的使用者，誘騙他們下載受到密碼保護的壓縮檔，這個檔案的內容，包含了遭竄改的思科Webex Meeting應用程式元件ptService.exe，一旦使用者解壓縮並執行Setup.exe，Webex Meeting就會秘密啟動惡意程式載入工具HijackLoader，從而在受害電腦植入竊資軟體Vidar Stealer。</p> <p>研究人員進一步調查，攻擊者利用的壓縮檔約有400個左右，這些檔案有ZIP及RAR格式，共通點是駭客聲稱提供免費軟體或盜版商業軟體，並為這些壓縮檔設置密碼。</p> <p>若是使用者依照對方指示執行特定的執行檔，電腦就會透過DLL側載啟動HijackLoader，而這個惡意程式載入工具將下載AutoIT自動化工具的執行檔，然後與C2進行連線，而這個C2伺服器位於Vidar殭屍網路的基礎設施。</p> <p>駭客濫用AutoIT打造的Vidar Stealer，一旦該程式與C2成功連線後，便會存取Chrome、Firefox、Zoom等應用程式的使用者設定資料，而且還會進行權限提升，並將自己加入防毒軟體Microsoft Defender的白名單，然後透過MSBuild.exe取得遠端.NET執行檔，試圖利用受害電腦挖礦。</p> </div></div></div>
2024/6/20 14:37作者周峻佑https://www.ithome.com.tw/news/163565
Linux惡意軟體Disgomoji鎖定印度政府機關而來，攻擊者利用表情符號來下達命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Volexity揭露<a href="http://www.volexity.com/blog/2024/06/13/disgomoji-malware-used-to-target-indian-government/">巴基斯坦駭客組織UTA0137的網路間諜攻擊行動</a>，對方鎖定印度政府機關下手，過程中使用以Go語言打造的Linux惡意程式Disgomoji。</p> <p>駭客使用Linux惡意軟體及對應的誘餌，這樣的情況並不常見，因為，這代表對方已確認攻擊目標的工作站電腦執行Linux作業系統，才會採用這些對應的工具來犯案。而印度政府採用名為BOSS的Linux發行版部署於辦公電腦，他們研判，駭客使用的工具顯然是針對這些政府機關而來。</p> <p>對方先是傳送以Go語言編譯，並透過UPX加殼的ELF執行檔，一旦執行，就會下載誘餌檔案DSOP.pdf，這很可能是印度國防官員公積金的有關資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UTA0137-image001.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/UTA0137-image001.png" style="width: 580px;" /></a></p> <blockquote><p>這份誘餌文件相當特別的是，內容看起來有些歪斜，而這樣的檔案很有可能是將紙本資料掃描而成，但是否有經過光學字元辨識（OCR）處理？研究人員並未進一步說明。</p> </blockquote> <p>接著，惡意軟體會下載第2階段的酬載vmcoreinfo，此為酬載就是Disgomoji的其中一個處理程序。</p> <p>研究人員指出，Disgomoji是UPX加殼的ELF檔案，並濫用Discord充當C2，駭客很可能是透過discord-c2的程式修改而成。值得留意的是，用於存取Discord伺服器的身分驗證憑證及伺服器ID，都寫死在ELF檔案裡。而該惡意軟體一旦與伺服器連線，就會為不同的受害電腦建立專屬的通道，攻擊者可藉此與特定受害者互動。</p> <p>這款惡意程式比較特別的地方在於，攻擊者透過表情符號（emoji）向惡意程式發送命令，有時候還會使用參數。而惡意程式也會在處理收到的命令時，回傳時鐘的符號進行回應。</p> <p>研究人員公布駭客運用的9種表情符號，這些包含了執行命令、截取螢幕截圖、取得受害電腦特定檔案、上傳檔案、打包Firefox的設定，以及搜尋特定格式的文件、圖片、壓縮檔案。</p> <p>一旦受害電腦成功感染惡意程式，對方就會利用Nmap掃描受害組織的網路環境，並透過Chisel和Ligolo建立網路隧道，而在部分情況下，攻擊者還會企圖利用名為Zenity的工具，引誘受害者輸入密碼。</p> <p>值得留意的是，這些駭客也利用漏洞DirtyPipe（CVE-2022-0847）進行權限提升。</p> <p><a href="https://s4.itho.me/sites/default/files/images/UTA0137-image005a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/UTA0137-image005a.png" style="width: 580px;" /></a></p> </div></div></div>
2024/6/20 16:44作者周峻佑https://www.ithome.com.tw/news/163566
提供9.3G效能與3個2.5GbE埠，Netgear Wi-Fi 7路由器登臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/netgear_nighthawk_rs300_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩年來，出現越來越多支援Wi-Fi 7的網路設備，以今年6月而言，Netgear發表兩款產品，其中一款為無線路由器Nighthawk RS300，正式由代理商瀚錸科技引進臺灣市場，19日開放預購。</p> <p>事實上，Netgear去年3月已發表該公司第一款Wi-Fi 7無線路由器，機型名稱為Nighthawk RS700S，採用的無線通訊晶片是Broadcom的BCM67263或BCM6726，搭配4核心2.6GHz時脈的處理器、2GB記憶體，以及512MB快閃記憶體，整臺設備總共可提供19 Gbps的無線網路傳輸能力——6GHz效能為11.5 Gbps，5GHz為5.8 Gbps，2.4GHz為1.4 Gbps，三個頻段採用4x4天線架構（設置8支內部天線）。</p> <p>在網路介面的部分，RS700S提供1個10GbE規格的WAN埠，LAN埠為1個10GbE埠與4個GbE埠，能夠負擔200個連網裝置同時存取，Wi-Fi訊號覆蓋範圍為3,500平方英尺。</p> <p>今年最新推出的Nighthawk RS300，搭配4核心2GHz時脈的處理器、2GB記憶體，以及512MB快閃記憶體，Netgear並未透露搭配的無線通訊晶片款式，整臺設備總共可提供9.3 Gbps的無線網路傳輸能力——6GHz效能為5.8 Gbps，5GHz為2.9 Gbps，2.4GHz為0. 7Gbps，三個頻段採用2x2天線架構（設置8支內部天線）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Nighthawk%20WiFi%207%20models.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear Wi-Fi 7 routers-2024-06.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Wi-Fi%207%20routers-2024-06.jpg" style="width: 298px;" /></a> </p> <p>值得注意的是，RS300在6月已取得電信管制射頻器材型式認證證明，可看出這款機型支援Wi-Fi網路通訊的配置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear RS300 certificated1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300%20certificated1.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300%20certificated2.png" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear RS300 certificated3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300%20certificated3.png" style="width: 600px;" /></a></p> <p>而在有線網路連接能力方面，它配置1個WAN埠為2.5GbE規格，LAN埠包含2個2.5 GbE埠與2個GbE埠，能夠負擔100個連網裝置的同時存取，Wi-Fi訊號覆蓋範圍為2,500平方英尺。</p> <p>若用戶的網際網路線路速度超過1 Gbps，但業者提供的寬頻網路數據機提供的網路埠速度不足，或未內建支援多種Gbps速度的網路埠，且這些埠也不支援鏈路聚合（link aggregation），搭配Netgear RS700S和RS300使用時，可在設備網頁管理介面的網際網路頁面，到WAN偏好設定當中，勾選Multi-Gig Internet的項目啟用，即可將第4個LAN埠設為第2個WAN埠，並與預設的WAN埠進行鏈路聚合。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear RS300-NIC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300-NIC.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear RS300-WAN_LAG.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300-WAN_LAG.jpg" style="width: 368px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Netgear RS300-LAN_LAG.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RS300-LAN_LAG.jpg" style="width: 218px;" /></a></p> <p>在網路安全相關應用而言，這兩款機型均提供狀態封包檢測（SPI）防火牆，以及VPN遠端安全連線（個人端裝置需安裝OpenVPN軟體），若需要更多威脅防護功能，它們均可選用資安訂閱服務Netgear Armor，背後技術來自資安廠商Bitdefender，用戶能提升個人電腦、網路監控攝影機等連網設備的安全性，當中提供惡意軟體與網址偵測與阻擋、裝置弱點掃描、失竊防護（追蹤位置、遠端抹除Android與Windows裝置的資料、網頁瀏覽防護），並且提升VPN存取的隱私防護（Bitdefender VPN每天免費使用200 MB加密流量）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear Armor-WEB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Armor-WEB.jpg" style="width: 498px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Netgear Armor-App.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Armor-App.jpg" style="width: 98px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Netgear Nighthawk RS300</strong><br /> ●代理商：瀚錸科技<br /> ●建議售價：15,900元（含稅）<br /> ●支援無線網路標準：802.11a/b/g/n/ac/ax/be<br /> ●天線架構：6GHz、5GHz、2.4GHz均為2x2，MU-MIMO<br /> ●傳輸速度：總共為9.3 Gbps，6GHz為5.8 Gbps，5GHz為2.9 Gbps，2.4GHz為0.7 Gbps<br /> ●連接埠：3個2.5 GbE埠（其中1個為WAN埠）、2個GbE埠（LAN埠）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/20 17:58作者李宗翰https://www.ithome.com.tw/review/163527
中國駭客UNC3886利用Fortinet、VMware設備零時差漏洞持續在受害組織網路環境活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客組織利用尚未公開的零時差漏洞隱匿攻擊行動的情況，近期有不少研究人員公布相關的發現，例如：中國駭客組織在Fortinet發布修補程式的2個月前，<a href="https://www.ithome.com.tw/news/163443">就開始利用CVE-2022-42475入侵FortiGate防火牆</a>；勒索軟體駭客組織Cardinal<a href="https://www.ithome.com.tw/news/163455">於微軟修補CVE-2024-26169的3個月前，就將其用於滲透受害組織</a>，企圖部署勒索軟體Black Basta，如今又有駭客組織暗中利用零時差漏洞的情況。</p> <p>資安業者Mandiant指出，他們曾於今年1月揭露中國駭客組織UNC3886從事多年的攻擊行動，對方自2021年底利用VMware vCenter的重大漏洞CVE-2023-34048，並在癱瘓VMware服務後的數分鐘內，部署後門程式。</p> <p>但後來他們發現，<a href="https://cloud.google.com/blog/topics/threat-intelligence/uncovering-unc3886-espionage-operations">這些駭客在攻擊行動過程還可能運用了其他的零時差漏洞</a>。一旦目標已修補上述漏洞，或是他們取得的外流帳密資料無法使用，這些駭客就會運用其他3個零時差漏洞。</p> <p>這些分別是防火牆作業系統FortiOS漏洞CVE-2022-41328、VMware vCenter 漏洞CVE-2022-22948，以及VMware Tools漏洞CVE-2023-20867。</p> <p>駭客先是利用CVE-2022-41328，在FortiGate防火牆下載並執行後門程式；接著，利用CVE-2022-22948取得vCenter的PostgresDB資料庫當中，經加密處理的帳密資料；再來，他們利用CVE-2023-20867在ESXi系統對虛擬機器（VM）執行未經授權的操作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/unc3886-cloaked-covert-fig1_max-2200x2200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc3886-cloaked-covert-fig1_max-2200x2200.jpg" style="width: 580px;" /></a></p> <p>除此之外，他們也發現這些駭客也有利用FortiOS的SSL VPN漏洞CVE-2022-42475的情況，而這項漏洞能讓攻擊者藉由發送偽造的請求執行任意程式碼。</p> <p>在成功利用上述漏洞控制vCenter伺服器及ESXi伺服器後，對方於虛擬機器部署名為Reptile、Medusa兩款rootkit，以便在不被察覺異狀的情況下，持續存取受害的網路環境。</p> <p>而為了遠端進行控制，這些駭客也使用名為Mopsled、Riflespine的惡意程式，它們濫用GitHub及Google Drive做為存取C2的通道。</p> </div></div></div>
2024/6/20 18:01作者周峻佑https://www.ithome.com.tw/news/163572
Framework與DeepComputing合作打造筆電專用RISC-V主機板
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>成立於2020年，專門打造客製化、可維修之筆記型電腦的Framework，周三（6/19）宣布將與成立於2022年、專門推動RISC-V生態體系的DeepComputing合作，<a href="https://frame.work/tw/en/blog/introducing-a-new-risc-v-mainboard-from-deepcomputing" target="_blank">打造一款可相容於Framework筆電的RISC-V主機板</a>。Framework強調，該主機板初期主要供開發人員、維修人員與科技愛好者在RISC-V上進行測試與創造，其效能或是周邊設備的支援，尚無法比擬採用AMD或Intel處理器的主機板。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0620-Framework%20Laptop%2013%2BDC-ROMA%20RISC-V%20Modular%20Mini%20Mainboard.png" style="width: 318px;" /></p> <p><span style="color:#696969;"><span style="font-size: 14px;">圖片來源／DeepComputing</span></span></p> <p>RISC-V為一開源的指令集架構（ISA），除了是個免費的開源規格之外，它具備模組化及可擴展的能力，同時透過快速及簡潔的指令集來提高執行效率，目前主要被應用在嵌入式系統中，致力於推廣RISC-V的DeepComputing則計畫將其應用擴大到筆電、平板電腦、工作站、耳機、智慧手錶、智慧喇叭、AR眼鏡、玩具或自駕車等領域上。</p> <p>只是現階段的RISC-V仍有其侷限性，例如它在工具及軟體的支援上、性能優化上，或是相容性上都不及Arm與x86架構。Framework也說，RISC-V主機板的周邊及性能都無法與AMD及英特爾主機板競爭。此外，受限於RISC-V的特性，它的記憶體是焊在主機版上的，所以無法更換或升級，並以MicroSD卡及eMMC作為儲存裝置。</p> <p>DeepComputing所開發的RISC-V主機板採用的是StarFive的JH7110處理器，StarFive專門以RISC-V ISA開放處理器核心，JH7110則具備了4個U74 RISC-V核心。</p> <p>不論如何，RISC-V主機板讓開發人員及科技愛好者有了另一種選擇，它將相容於Framework推出的各種13吋筆電，或是Cooler Master所生產的Mainboard Case主機板機箱。此外，Framework也正在與Canonical及Red Hat合作，讓Ubuntu及Fedora等Linux作業系統都能支援RISC-V主機板。</p> <p>其實DeepComputing自己已經推出許多<a href="https://store.deepcomputing.io/collections/all" target="_blank">採用RISC-V主機板的產品</a>，從平板、玩具車到筆電等，其中，筆電的售價都不到1.5萬元新臺幣，而<a href="https://frame.work/tw/en/marketplace/laptops" target="_blank">Framework的筆電</a>由於規格較高，再加上強調零件皆可維修及客製化，價格約落在3萬元新臺幣左右。目前Framework尚未揭露此一新款RISC-V主機板的售價。</p> </div></div></div>
2024/6/20 13:39作者陳曉莉https://www.ithome.com.tw/news/163564
歐盟兒童保護法案要求聊天App監控用戶訊息，Signal稱可能被迫離開歐盟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟一項打擊兒童性剝削的新法案要求訊息服務App加裝監控用戶內容的技術，引發隱私人士反對，Signal示警，若此法案成為法律，Signal可能終止在歐盟市場的業務。</p> <p>歐洲議會於2022年提出《兒童性虐待法規》（Regulation on Child Sexual Abuse，CSA），旨在打擊兒童性剝削、兒童色情的網路內容傳布。CSA當中條款要求提供私人通訊服務業者，應在其軟體中安裝名為「上傳仲裁（upload moderation）」的技術，以偵測用戶訊息中是否散布已知或新的兒童色情內容，包括提供全程加密的通訊服務。這項法規並要求，供應商必須清楚告知用戶其服務內含這類監控技術，如果用戶不同意，就無法使用其服務分享圖片或URL。</p> <p>這規定和歐盟確保用戶隱私及安全的一貫原則似乎抵觸。歐盟理事會上個月<a href="https://netzpolitik.org/wp-upload/2024/05/2024-05-28_Council_Presidency_LEWP_CSAR_Compromise-texts_9093.pdf" target="_blank">給執法機關的文件中</a>，還強調全程加密服務業者仍可持續提供服務，不應視「上傳仲裁」的規定為禁止、關閉全程加密的行政要求，因為新規定要求業者使用經過主管機關同意的監控技術，且需小心此類技術可能的網路安全風險。</p> <p>新法案引發隱私業者反彈。全程加密服務供應商<a href="https://x.com/mer__edith/status/1802612199426306150" target="_blank">Signal執行長Meredith Wittaker</a>本周稍早回應歐盟理事會說法指出，「上傳仲裁」只是新名詞，骨子裏仍然是掃瞄監控。她說大規模掃瞄私密通訊的規定將根本顛覆加密。不論其手法是破壞加密演算法隨機數字的產生、或實作金鑰託管系統、或是迫使通訊流量在加密前通過監控系統，不論技術是叫後門、前門或上傳仲裁。對該公司而言，都是可為駭客或國家濫用以監聽用戶的漏洞。<a href="https://mastodon.world/@Mer__edith/112535616774247450" target="_blank">她說</a>，一旦CSA變成法律，Signal服務將被迫離開歐洲市場。</p> <p>CSA已在去年11月在歐洲議會完成一讀，今年4月歐盟理事會及歐盟議會同意延長打擊線上兒童性剝削措施到2026年4月。</p> <p>上個月包括Signal、Mozilla、VPN業者Proton、Surfshark及多個隱私倡議團體也聯署，<a href="https://www.globalencryption.org/2024/05/joint-statement-on-the-dangers-of-the-may-2024-council-of-the-eu-compromise-proposal-on-eu-csam/" target="_blank">要求歐盟理事會成員</a>的各國部長拒絕使用危害用戶安全及上網權利的侵害技術。</p> </div></div></div>
2024/6/20 11:33作者林妍溱https://www.ithome.com.tw/news/163561
網路攻擊促使北美汽車經銷業者的SaaS服務供應商CDK Global暫時關閉系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供軟體即服務（SaaS）予北美逾1,500家汽車經銷商的CDK Global，在周三（6/19）凌晨傳出遭到大規模的網路攻擊，促使CDK Global關閉了所有系統，而讓客戶服務停擺。</p> <p>CDK Global所提供的服務包括數位銷售、客戶關係管理、融資、經銷商管理、維修操作及IT解決方案等，具體而言，採用該服務的汽車經銷商很可能把客戶訂單、零件訂單、庫存，以及客戶資料全都存放在CDK Global的系統上。</p> <p>CDK Global尚未對外公開說明遭到攻擊的情況，<a href="https://x.com/GuyDealership/status/1803503961657209310/photo/1" target="_blank">但已通知部分受到影響的客戶</a>，表示已聘請第三方資安專家展開全面測試，目前已恢復CDK Phones、DMS及Digital Retail等服務。</p> <p>已有經銷商抱怨CDK Global遭駭事件讓原本要買車的客戶，轉向其它未使用CDK Global平臺的汽車經銷商。</p> <p>資安媒體<a href="https://www.bleepingcomputer.com/news/security/cdk-global-cyberattack-impacts-thousands-of-us-car-dealerships/" target="_blank">Bleeping Computer</a>則說，倘若CDK Global是遭到勒索軟體攻擊，那麼很可能需要數天的時間才能復原。</p> </div></div></div>
2024/6/20 11:57作者陳曉莉https://www.ithome.com.tw/news/163563
英國政府啟動HPE、Juniper收購案調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gov.uk/cma-cases/hewlett-packard-enterprise-company-slash-juniper-networks-inc-merger-inquiry" target="_blank">英國政府本周三（6/19）宣布</a>，將針對HPE收購網路設備業者Juniper是否造成壟斷現象啟動調查。</p> <p>英國市場主管機關競爭與市場管理署（Competition and Markets Authority，CMA）昨日通知二家公司於6月20日啟動第一階段調查。CMA表示，這階段調查目的在了解HPE和Juniper的併購案，是否會導致英國任何商品或服務市場競爭大幅減弱。</p> <p><a href="https://assets.publishing.service.gov.uk/media/667288f031a88528d2da7dd0/Commencement_notice.pdf" target="_blank">CMA進一步指出</a>，根據第一階段調查結果，該署將在最晚2024年8月14日之前決定是否啟動第二階段調查。</p> <p>科技大廠<a href="https://www.ithome.com.tw/news/160784" target="_blank">HPE今年1月宣布</a>以近140億美元全現金收購Juniper，以強化AI網路管理產品線，並擴展高毛利的網路業務，成為該公司自2008年以來的最大宗收購案。本交易預計在2024年底或2025年初完成。</p> <p>以二家公司在各自領域的地位，這樁收購案勢必引發各國市場主管機關介入。<a href="https://mlexmarketinsight.com/news/insight/hpe-juniper-deal-gets-unconditional-clearance-in-brazil" target="_blank">巴西</a>已在5月批准本案進行。美國聯邦貿易委員會（FTC）、歐盟是最關鍵因素。</p> <p>主要國家及政府實體主管機關極可能對超大併購案投下反對票。2020年<a href="https://www.ithome.com.tw/news/149264" target="_blank">Nvidia</a>以400億美元收購Arm，以及2022年<a href="https://www.ithome.com.tw/news/160417" target="_blank">Adobe</a> 200億美元收購對手Figma的交易，都在遭到包括歐盟及美、英國政府阻撓下失敗告終。</p> </div></div></div>
2024/6/20 10:36作者林妍溱https://www.ithome.com.tw/news/163558
OpenAI共同創辦人Ilya Sutskever另起爐灶，成立Safe Superintelligence
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>才<a href="https://www.ithome.com.tw/news/162887" target="_blank">從OpenAI離職</a>一個月的Ilya Sutskever周三（6/19）<a href="https://ssi.inc/" target="_blank">宣布</a>，已與Daniel Gross及Daniel Levy共同創辦了Safe Superintelligence Inc.，且新公司的終極任務便如同它的名稱，將以建置安全的超級智慧（Safe Superintelligence，SSI）為首要之務，並開始對外招兵買馬。</p> <p class="rtecenter"><a href="https://x.com/ilyasut/status/1803472978753303014" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0620-Ilya%20Sutskever-600.png" style="width: 598px;" /></a></p> <p>Sutskever是當初OpenAI罷黜執行長Sam Altman的支持者之一，據說雙方是對AI的安全理念有所衝突，在各種內部與外部的壓力下，最終OpenAI請回了Altman，而Sutskever則選擇離職。</p> <p>Sutskever表示，SSI是該公司的名字、使命，也是整個產品藍圖，是他們唯一關注的重心，不管是該公司團隊、投資者，或者是商業模式，都將是為了實現SSI而保持一致。</p> <p>Safe Superintelligence Inc.的另一名共同創辦人Gross，是一名年僅32歲的美國企業家，他不僅曾共同創辦可蒐集使用者社交帳戶活動並呈現其一日生活的Cue服務，也曾主導蘋果的AI服務，曾投資語音AI測試平臺的ElevenLabs，亦曾贊助閱讀被火山爆發淹沒的碳化紙卷的維蘇威火山挑戰賽（Vesuvius Challenge）。</p> <p>儘管Sutskever並未揭露新公司其它的投資者，但強調新公司將把安全與能力都當作技術問題，利用革命性的工程與科學突破來解決，確保始終以安全為優先，才能安心地擴展AI的能力。</p> <p>由於Safe Superintelligence Inc.的方向明確，Sutskever認為這將使得新公司不會受到管理成本或產品周期的影響，且其商業模式也讓安全與進步能夠不受到短期商業壓力的脅迫。</p> <p>在美國成立的Safe Superintelligence Inc.於美國的Palo Alto及以色列的Tel Aviv都設有辦公室，並正努力延攬兩地的人才加入。</p> </div></div></div>
2024/6/20 10:54作者陳曉莉https://www.ithome.com.tw/news/163560
【資安日報】6月18日，初始入侵管道掮客IntelBroker聲稱握有晶片大廠AMD內部機密資料，該公司表示將著手調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>晶片大廠遭駭的情況，最近幾年已有數起，例如：2020年Intel傳出遭駭，20 GB的晶片、韌體、開發工具及程式碼等機密資訊外流；2022年Nvidia遭到駭客組織Lapsus$入侵，偷走1 TB內部資料。如今，有駭客組織聲稱取得AMD內部檔案引起關注。</p> <p>值得留意的是，聲稱握有這批資料的駭客組織，是惡名昭彰的初始入侵管道掮客IntelBroker，在一個月前，這些駭客宣稱手上握有多個組織與公司的的內部資料，例如，歐洲刑警組織（Europol）、五角大厦、英國家具裝修零售業者Home Depot。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163539"><strong style="font-size: 22px;">晶片大廠AMD驚傳產品研發、客戶資料外洩，初始入侵管道掮客IntelBroker於駭客論壇兜售相關資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GQTsd33W0AASdRZ.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GQTsd33W0AASdRZ.jpg" style="width: 300px; float: right;" /></a></p> <p>晶片大廠AMD的產品研發、客戶資料及員工資訊等機密資料疑似外洩，本周遭人在駭客論壇公然兜售。資安研究人員Dark Web Informer發現初始入侵管道掮客IntelBroker在駭客論壇BreachForums上，張貼出售疑似6月竊自AMD公司系統的檔案資訊，並要求以門羅幣（XMR）交易。</p> <p>駭客宣稱這批資料包括AMD未來產品、產品規格表、員工資料庫、客戶資料庫、智財檔案、程式碼、韌體和財務資料。外洩的員工資訊包含用戶ID、姓氏、名字、工作內容、公司電話、郵件信箱等，駭客提供部分檔案的螢幕擷圖作為佐證。</p> <p>對此，AMD對英國媒體The Register表示他們已經報警，將與執法單位及第三方資安業者合作調查此事。AMD外洩的資料有多少不得而知，而這批資料如何取得，目前也不明朗。</p> <p><a href="https://www.ithome.com.tw/news/163550"><strong style="font-size: 22px;">中國駭客組織發起釣魚簡訊攻擊Smishing Triad規模擴大，鎖定巴基斯坦用戶發送惡意訊息</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/a900a7a910364a6ba3a9a15524e32886.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/a900a7a910364a6ba3a9a15524e32886.jpeg" style="width: 300px; float: right;" /></a>去年中國駭客組織發起的大規模網釣簡訊攻擊行動Smishing Triad，這些駭客先是針對美國、歐洲下手，後來又將範圍延伸至阿拉伯聯合大公國（UAE），如今他們也針對巴基斯坦發起攻擊行動。</p> <p>資安業者Resecurity提出警告，他們發現最新一波的Smishing Triad攻擊行動，對方假冒巴基斯坦郵政局的名義，藉由iMessage或是簡訊，向電信業者的用戶發送惡意訊息，目的是竊取民眾的個資與財務資料。</p> <p>對此，巴基斯坦電腦網路緊急應變團隊（PKCERT）也發布資安公告，提醒當地民眾提高警覺，並指出駭客除佯稱巴基斯坦郵政局，也冒用快遞業者TCS、Leopard、FedEx的名義行騙。</p> <p><a href="https://www.ithome.com.tw/news/163545"><strong style="font-size: 22px;">研究人員揭露針對機器學習模型而來的攻擊手法Sleepy Pickle</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Sleepy-Pickle_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sleepy-Pickle_1.png" style="width: 300px; float: right;" /></a>資安業者Trail of Bits揭露針對機器學習（ML）模型的攻擊手法Sleepy Pickle，這項手法針對廣泛使用的檔案格式Pickle而來，攻擊者可用來破壞模型本身，從而對使用該模型的終端用戶下手。</p> <p>他們展示了3種型態的Sleepy Pickle攻擊手法，從而讓生成式AI輸出有害內容及散布假訊息、竊取使用者的資料，或是發動網路釣魚攻擊。研究人員指出，雖然攻擊者只需插入惡意連結，但也可以結合更複雜的內容，包含JavaScript程式碼，或是跨網站指令碼（XSS）弱點，從而在回傳使用者的內容注入惡意指令碼。</p> <p><a href="https://www.ithome.com.tw/news/163537"><strong style="font-size: 22px;">曾介紹群暉產品的臉書粉絲專頁被駭客盯上，歹徒冒用該公司名義發出侵害智財權的釣魚信</strong></a></p> <p>上週臺灣NAS設備供應商群暉科技（Synology）提出警告，他們在6月12日得知，有人冒用他們的名義寄送釣魚郵件，並以聳動的主旨和內容，意圖誘騙收件人開啟附件，或是點選惡意連結，一旦收件人照做，就有可能遭到對方勒索，或是遭到進一步攻擊。</p> <p>針對該公司提出的警告，我們也進一步向群暉確認。該公司表示，駭客鎖定臉書粉絲專頁的管理員，佯稱是群暉的法律代表，透過Gmail向專頁的公開聯絡信箱寄送釣魚信，信件主旨是「關於知識產權侵權的緊急通知」，聲稱粉絲專頁非法使用群暉的圖片、「視頻」，收信人必須下載附件進行後續處理，否則將面臨嚴重後果。但實際上，若是收信人照做，他們將有可能啟動附件內含的惡意軟體，導致電腦遭到感染。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.eclecticiq.com/onnx-store-targeting-financial-institution"><strong style="font-size: 20px;">網釣工具套件租賃服務Onnx鎖定金融業的Microsoft 365帳號而來</strong></a></p> <p></p> <p>◆<a href="https://www.gdatasoftware.com/blog/2024/06/37947-badspace-backdoor"><strong style="font-size: 20px;">後門程式BadSpace透過被感染的WordPress網站散布</strong></a></p> <p></p> <p>◆<a href="https://securitylabs.datadoghq.com/articles/attackers-deploying-new-tactics-in-campaign-targeting-exposed-docker-apis/"><strong style="font-size: 20px;">駭客鎖定公開的Docker API下手，從而部署惡意程式並挖掘加密貨幣</strong></a></p> <p></p> <p>◆<a href="https://www.trellix.com/blogs/research/how-attackers-repackaged-a-threat-into-something-that-looked-benign/"><strong style="font-size: 20px;">有人假借提供思科Webex視訊會議軟體，意圖散布竊資軟體Vidar Stealer</strong></a></p> <p></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/f/noodle-rat-reviewing-the-new-backdoor-used-by-chinese-speaking-g.html"><strong style="font-size: 20px;">研究人員揭露鎖定亞太地區的惡意軟體Noodle RAT</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163541"><strong style="font-size: 22px;">VMware修補vCenter Server的遠端執行漏洞</strong></a></p> <p>6月18日VMware修補了位於vCenter Server的3個安全漏洞，其中的CVE-2024-37079與CVE-2024-37080屬於重大層級的記憶體緩衝區堆疊溢位漏洞，可導致遠端程式攻擊，CVSS風險評分高達9.8，另一個CVE-2024-37081則是本地端權限擴充漏洞，CVSS風險評分為7.8。</p> <p>上述兩個重大層級漏洞，起因是該公司在實作DCERPC通訊協定出錯，攻擊者一旦能夠發送特製網路封包觸發漏洞，就有機會存取vCenter Server，並導致遠端程式碼執行。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163542"><strong style="font-size: 22px;">Google宣布啟動臺灣資安人才培育計畫，目標在明年底培育2千名人才</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/LIN_8767.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/LIN_8767.jpg" style="width: 300px; float: right;" /></a>6月17日Google宣布，為了增加臺灣的資安實力，他們啟動「Google臺灣資安人才培育計畫」，這項計畫將與數位發展部、資訊工業策進會（資策會）、臺北科技大學（北科大）合作，免費提供Google資安專業證書（Google Cybersecurity Certificates）訓練課程，加速培養更多資安專家。</p> <p>他們目前提供資策會及北科大各500個免費帳號，目標是在明年底培養2千名資安人才。而這是在去年該公司透過旗下基金會Google.org捐款100萬美元贊助資安院「NICS臺灣資安計畫」後，對於提升臺灣資安實力的最新行動。</p> <p>這些課程由該公司資安專家設計、授課，內容涵蓋風險識別、網路與設備保護、資安事件應對、資安分析師必備的Linux、SQL、Python 工具操作，以及職場溝通技巧等八大主題，總時數為181個小時，包含影片、閱讀、考試，以及實務演練。</p> <p><a href="https://www.ithome.com.tw/news/162856"><strong style="font-size: 22px;">全球最大ZDI零日漏洞懸賞計畫負責人剖析垂直產業漏洞管理四類型，更提出GenAI對未來漏洞揭露的影響</strong></a></p> <p>2023漏洞事件層出不窮，從Progress旗下的MFT檔案共享系統、NetScaler網路設備、HTTP/2通訊協定漏洞、到解壓縮軟體常用的WinRAR工具漏洞，影響更遍及各行各業，導致這些企業內部的機敏資料外洩。在2024 CYBERSEC臺灣資安大會首日主題演講中，趨勢科技威脅研究副總Brian Gorenc剖析各產業軟體漏洞生命周期各階段的挑戰，以及應對策略。</p> <p>這兩年生成式AI快速竄紅，Brian Gorenc相信生成式AI將會對現有的漏洞發現和揭露過程產生影響，例如，駭客可能利用生成式AI或LLM來加快新漏洞的建立，未來也可能影響漏洞揭露的流程。</p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163109"><strong style="font-size: 22px;">產業創新條例的修訂，推動「資安產業化」以及「產業資安化」是主要目標</strong></a></p> <p>臺灣資安政策的演進，在過去十年成為引人注目的焦點。隨著蔡英文總統的兩個任期──八年的執政，臺灣的資安政策走上更加積極的道路，尤其是她在任內制定「資安即國安」的國家戰略方針，不僅對臺灣的資安環境帶來重大的影響，也在全球資安治理引起了高度且廣泛的注意。</p> <p>數位發展部數位產業署署長呂正華表示，「資安產業化」和「產業資安化」一直是政府在推動資安發展時重要的工作項目，並列為重要的政策目標。呂正華認為，這意味著政府不僅僅關注於提升資安產業的競爭力，同時也重視於提升整個產業鏈的資安水準。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163529"><strong>【6月18日】未補漏洞且暴露在外網的舊款F5 BIG-IP設備成駭客入侵企業內部環境的破口，中國駭客潛入竊密長達3年</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163501"><strong>【6月17日】日本影音共享平臺Niconico、角川書店傳出服務中斷近一週，起因是資料中心遭勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163458"><strong>【6月14日】勒索軟體駭客組織Black Basta在微軟提供漏洞修補3個月前，利用掌握到的資安弱點打造攻擊工具</strong></a></p> </div></div></div>
2024/6/19 17:54作者周峻佑https://www.ithome.com.tw/news/163551
曾介紹群暉產品的臉書粉絲專頁被駭客盯上，歹徒冒用該公司名義發出侵害智財權的釣魚信
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週臺灣NAS設備供應商群暉科技（Synology）提出警告，<a href="https://www.synology.com/zh-tw/company/news/article/TW_phishing_incident/Synology® 呼籲使用者提高警覺，防範網路詐騙及釣魚郵件">他們在6月12日得知，有人冒用他們的名義寄送釣魚郵件</a>，並以聳動的主旨和內容，意圖誘騙收件人開啟附件，或是點選惡意連結，一旦收件人照做，就有可能遭到對方勒索，或是遭到進一步攻擊。</p> <p>對此，他們呼籲用戶提高警覺，表明該公司只會透過@synology.com、@synologynotification.com兩個網域的電子郵件聯繫使用者，面對來源可疑的郵件，不要點擊連結，或是回信透露自己的個資，並透過他們的正式管道進行確認。</p> <p>針對該公司提出的警告，我們也進一步向群暉確認。該公司表示，駭客鎖定臉書粉絲專頁的管理員，佯稱是群暉的法律代表，透過Gmail向專頁的公開聯絡信箱寄送釣魚信，信件主旨是「關於知識產權侵權的緊急通知」，聲稱粉絲專頁非法使用群暉的圖片、「視頻」，收信人必須下載附件進行後續處理，否則將面臨嚴重後果。</p> <p>但實際上，若是收信人照做，他們將有可能啟動附件內含的惡意軟體，導致電腦遭到感染。</p> <p>該公司表示，這些受害者有幾項共通點，除了他們都是臉書粉絲專頁的管理員，這些專頁也曾發布與群暉有關的資訊，而成為對方鎖定的目標。該公司進一步調查指出，駭客鎖定的電子郵件信箱皆未註冊他們旗下的服務，初步排除資料外洩的可能性。</p> <p>而對於受害規模，群暉表示，他們約從12日上午9時開始，接獲用戶撥打電話或是透過客戶服務支援表單，查證是否有寄發標題為智慧財產權侵權通知之郵件。當日接獲約70通電話，以及10則確認的表單。</p> <p>雖然群暉並未透露駭客的身分，但由於攻擊者在信件裡使用了中國用語，發起這次攻擊的駭客很有可能來自中國。</p> </div></div></div>
2024/6/19 11:39作者周峻佑https://www.ithome.com.tw/news/163537
Google宣布啟動臺灣資安人才培育計畫，目標在明年底培育2千名人才
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月17日Google宣布，為了增加臺灣的資安實力，他們啟動「<a href="https://taiwan.googleblog.com/2024/06/gcc-launch-in-taiwan.html">Google臺灣資安人才培育計畫</a>」，這項計畫將與數位發展部、資訊工業策進會（資策會）、臺北科技大學（北科大）合作，免費提供Google資安專業證書（Google Cybersecurity Certificates）訓練課程，加速培養更多資安專家。</p> <p>他們目前提供資策會及北科大各500個免費帳號，目標是在明年底培養2千名資安人才。而這是在去年<a href="https://www.ithome.com.tw/news/160192">該公司透過旗下基金會Google.org捐款100萬美元贊助資安院「NICS臺灣資安計畫」</a>後，對於提升臺灣資安實力的最新行動。</p> <p>這些課程由該公司資安專家設計、授課，內容涵蓋風險識別、網路與設備保護、資安事件應對、資安分析師必備的Linux、SQL、Python 工具操作，以及職場溝通技巧等八大主題，總時數為181個小時，包含影片、閱讀、考試，以及實務演練。</p> <p>該公司強調，這些課程的進度能夠彈性安排，即使是就業人士也能參與，約需4至6個月可完成。特別的是，訓練內容不光針對資安技能，也對於職涯準備、職場溝通進行指導，並能讓學員取得實務操作經驗。</p> <p>而針對這項資安認證的有效性，Google指出，美國超過150家企業願意聘用取得Google專業證書（Google Career Certificates）的人士，亞太地區有12.5萬人取得證照，超過八成在職涯上有所幫助，例如：得到新工作、升遷、加薪。</p> <p>值得留意的是，資策會和北科大提供報名的條件有所不同。</p> <p>資策會主要針對<a href="https://ievents.iii.org.tw/EventS.aspx?t=0&id=2504">打算從事資安相關工作的人士提供課程</a>，強調學員不需具備相關知識及經驗，但由於全程以英文授課，他們建議學員要有一定的英文聽讀能力再來報名；北科大則是針對<a href="https://docs.google.com/forms/d/1eNAGoCYPMBCc5tAa687hOZvqklzm4oh-nH--Ok1CcPo/viewform?edit_requested=true">各大專院校的在學學生提供課程</a>，並要求具備多益550分以上的英文能力。</p> </div></div></div>
2024/6/19 13:04作者周峻佑https://www.ithome.com.tw/news/163542
研究人員揭露針對機器學習模型而來的攻擊手法Sleepy Pickle
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Trail of Bits揭露<a href="https://blog.trailofbits.com/2024/06/11/exploiting-ml-models-with-pickle-file-attacks-part-1/">針對機器學習（ML）模型的攻擊手法Sleepy Pickle</a>，這項手法針對廣泛使用的檔案格式Pickle而來，攻擊者可用來破壞模型本身，從而對使用該模型的終端用戶下手。</p> <p>研究人員指出，Pickle這種檔案格式本身就存在嚴重的資安風險，因為攻擊者能輕易將字元碼（Bytecode）植入無害的Pickle檔案。再者，網路上就出現像是Fickling這種工具，讓駭客只要透過單一命令建立惡意Pickle檔案，甚至還能產生API對特定目標發動進階攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Sleepy-Pickle_1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Sleepy-Pickle_1.png" style="width: 580px;" /></a></p> <p>一旦這種惡意Pickle檔案載入後，攻擊者就有機會進行中間人攻擊（MitM）、供應鏈攻擊、網路釣魚、利用系統特定的弱點。</p> <p>一般而言，攻擊者要直接利用Pickle檔案格式的漏洞造成損害並不容易，但研究人員指出，Sleepy Pickle能用於破壞機器學習模型，使得Pickle檔案格式的弱點危害更加顯著。</p> <p>究竟什麼是Sleepy Pickle？研究人員利用前述提及的Fickling，將自訂函數功能（惡意酬載）注入內含序列化機器學習模型的Pickle檔案，接著，他們透過中間人攻擊、供應鏈攻擊、社交工程等手法，將惡意Pickle檔案傳送至受害者的系統，一旦該檔案在受害系統進行反序列化，惡意酬載就會啟動，在模型植入後門、控制輸出的內容，或是在資料回傳給使用者之前進行竄改。</p> <p>研究人員指出，攻擊者可藉由模型參數或是模型程式碼兩種面向，發動Sleepy Pickle攻擊，而且，他們可以藉此維持存取機器學習模型，還能迴避資安團隊的偵測。</p> <p>當駭客的檔案在Python處理程序載入時，機器學習模型就會遭到破壞，而且，不會在磁碟留下痕跡；再者，由於這種手法僅依賴單一Pickle檔案，因此攻擊者無須對系統其他部分進行存取；其次，則是攻擊者透過反序列化過程動態修改模型，使得靜態資安分析系統難以察覺模型的變更。</p> <p>最重要的是，這種攻擊手法具備高度彈性。研究人員舉例，駭客可設計惡意酬載，以Python程式庫掃描底層系統，或是檢查時區、日期，然後在符合特定條件的環境才會啟動。這樣做使得相關攻擊變得難以偵測，而且攻擊者可鎖定特定系統及組織犯案。</p> <p>這種專門鎖定Pickle檔案的手法，Sleepy Pickle並非首例。先前有針對<a href="https://www.ithome.com.tw/news/162150">AI技術與資料共享平臺Hugging Face上傳惡意模型的攻擊手段</a>，但這種手法攻擊者必須提供程式碼給使用者下載、執行，並設法引誘目標下載特定模型，而有可能曝露攻擊意圖，Sleepy Pickle能隱密竄改程式碼，攻擊者甚至可以建立不是機器模型的Pickle檔案來犯案。</p> <p>他們展示了3種型態的Sleepy Pickle攻擊手法，從而讓生成式AI輸出有害內容及散布假訊息、竊取使用者的資料，或是發動網路釣魚攻擊。研究人員指出，雖然攻擊者只需插入惡意連結，但也可以結合更複雜的內容，包含JavaScript程式碼，或是跨網站指令碼（XSS）弱點，從而在回傳使用者的內容注入惡意指令碼。</p> </div></div></div>
2024/6/19 16:25作者周峻佑https://www.ithome.com.tw/news/163545
中國駭客組織發起釣魚簡訊攻擊Smishing Triad規模擴大，鎖定巴基斯坦用戶發送惡意訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年中國駭客組織發起的大規模網釣簡訊攻擊行動Smishing Triad，這些駭客先是針對美國、歐洲下手，後來又將範圍延伸至阿拉伯聯合大公國（UAE），如今他們也針對巴基斯坦發起攻擊行動。</p> <p>資安業者Resecurity提出警告，<a href="https://www.resecurity.com/blog/article/smishing-triad-is-targeting-pakistan-to-defraud-banking-customers-at-scale">他們發現最新一波的Smishing Triad攻擊行動</a>，對方假冒巴基斯坦郵政局的名義，藉由iMessage或是簡訊，向電信業者的用戶發送惡意訊息，目的是竊取民眾的個資與財務資料。</p> <p>對於這起攻擊行動發生的時間，研究人員表示從5月下旬出現，並在6月初達到高峰。針對這波攻擊行動的規模，研究人員指出對方發送的訊息數量，每天介於5萬至10萬則。但究竟對方如何取得大量的用戶名單來發動相關攻擊？研究人員指出，駭客從暗網取得外流的資料庫，並透過自動化工具進行處理。由於該國在今年上半發生多起資料外洩事故，導致大量民眾的個人識別資訊（PII）遭竊，因此駭客想要取得這些資料的難度並不高。</p> <p>這些駭客聲稱，民眾的包裹因地址不正確而無法送達，要求民眾透過簡訊連結提供正確地址，否則將會被退回。</p> <p><a href="https://s4.itho.me/sites/default/files/images/a900a7a910364a6ba3a9a15524e32886.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/a900a7a910364a6ba3a9a15524e32886.jpeg" style="width: 580px;" /></a></p> <p>一旦使用者點選連結，對方就會將他們帶往線上付款網頁，並再度寄送簡訊，要求提供信用卡詳細資料，支付寄送包裹所需的額外費用。值得留意的是，這些駭客特別要求受害者回覆訊息，使得他們能掌握受害者的門號是否有人使用，並藉此調整攻擊策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4ef4601adbde0a5ec50e4453a3ac0df5.png" style="width: 580px;" /></p> <p>對此，巴基斯坦電腦網路緊急應變團隊（PKCERT）也發布資安公告，提醒當地民眾提高警覺，並指出駭客除佯稱巴基斯坦郵政局，也冒用快遞業者TCS、Leopard、FedEx的名義行騙。</p> </div></div></div>
2024/6/19 17:30作者周峻佑https://www.ithome.com.tw/news/163550