iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 24篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/13 03:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

6
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社3筆關係
中央社2筆關係
日經中文網1筆關係
東森新聞1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

搭配AMD資料中心APU，技嘉推出3U尺寸4路融合GPU伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_jia_g383-r80-aap1_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年以來，資料中心GPU形態出現新的變化，幾家加速運算晶片廠商開始推出融合CPU與GPU的產品，其中，最出鋒頭的，莫過於Nvidia在2022年發表、2023年量產的GH200 Grace Hopper Superchip，以及今年發表的GB200 Grace Blackwell Superchip，另一家同時擁有CPU與GPU技術的大廠AMD，也在2023年6月發表這類型產品，名為Instinct MI300A，強調它是全球首款針對HPC與AI工作負載處理而開發的。</p> <p>經過半年之後，這款資料中心等級的APU加速器（Accelerated Processing Unit）正式推出，當時有幾家伺服器廠商響應AMD的號召，宣布推出搭載Instinct MI300A的伺服器機型，像是技嘉、HPE、Supermicro。</p> <p>以技嘉為例，他們主推的產品是G383-R80，在11月的SC23大會首度公開亮相，後續在今年1月的CES，以及6月初舉行的Computex，都有現場展示。</p> <p><a href="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-2.jpg" style="width: 398px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G383-R80-06-A.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G383-R80-06-A.jpg" style="width: 600px;" /></a></p> <p>相較於現行採用Nvidia Grace Hopper平臺的伺服器，都為1U或2U尺寸，搭配1或2個融合式晶片，縱觀市面上採用AMD Instinct MI300A平臺的伺服器，有超過一半是3U或4U尺寸，絕大多數搭配4個融合式晶片，</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Instinct MI300A APU-Powered Servers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Instinct%20MI300A%20APU-Powered%20Servers.jpg" style="width: 600px;" /></a></p> <p>技嘉G383-R80就是典型的例子，它的機箱是3U尺寸，主機板MR83-AC0內建4個APU SH5插槽，可安裝4個AMD Instinct MI300A，但上面並未提供DRAM記憶體擴充插槽。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G383-R80-06-B.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G383%20BIOS.jpg" style="width: 524px;" /></p> <p>基本上，單就這款APU而言，每一顆晶片整合許多運算元件，包含：24顆Zen4架構CPU核心、228顆CDNA架構GPU運算單元、912顆Matrix核心、14,592顆Stream處理器，以及128 GB容量的HBM3高頻寬記憶體（CPU與GPU共享）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300A overview1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300A%20overview1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD MI300A overview2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300A%20overview2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300A Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300A%20Arch.jpg" style="width: 500px;" /></a></p> <p>而在整臺伺服器的介面擴充能力上，技嘉G383-R80在機箱背部提供12個PCIe 5.0介面的插槽，而在實際配置上，可搭配4個雙槽全高全長尺寸的GPU加速運算卡，以及4個單寬全高全長尺寸的PCIe介面卡。</p> <p>在儲存與網路的組態上，技嘉G383-R80在機箱前方面板當中，可安裝2.5吋外形的NVMe固態硬碟，並且內建2個10GbE規格的網路埠，以及1個GbE規格的遠端管理埠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/G380-R80-animation4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-animation4.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G380-R80-animation5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-animation5.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G380-R80-animation6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-animation6.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G383-R80-06-C.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G383-R80-06-C.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>技嘉G383-R80-AAP1</strong><br /> ●原廠：技嘉科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：3U<br /> ●處理器：4顆，AMD Instinct MI300A（熱設計功耗最高為760瓦）<br /> ●記憶體：每顆處理器內建128 GB HBM3<br /> ●儲存配置：8臺2.5吋NVMe固態硬碟<br /> ●I/O擴充介面：8個PCIe 5.0 x16全高全長（雙槽4個、單槽4個）、1個PCIe 5.0 x4（M.2）<br /> ●網路埠：2個10GbE埠（Broadcom BCM57416）<br /> ●電源供應器：4臺3000瓦（3+1）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/26 15:12作者李宗翰https://www.ithome.com.tw/review/163593
第二輪MITRE ATT&CK託管服務評估計畫結果出爐，考驗突然遭遇APT10與BlackCat攻擊的反應力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2022年MITRE Engenuity舉辦首次ATT&CK託管服務評估計畫之後，相隔兩年，2024年終於展開第二輪的評測，目的是考驗資安託管服務供應商（MSSP）服務的能力。畢竟，雖然大型企業會重視資安偵測與回應產品的評估，但還有很多企業主要依賴MSSP來協助其保護資安，因此，這方面的技術能力評估同樣重要。</p> <p>與一般ATT&CK Enterprise評估計畫相比，最大不同之處在於，在ATT&CK託管服務評測前並不會對外公布假想攻擊對象，目的是更能反映真實世界的場景，讓防禦者在不了解對手身分情況下來識別與回應威脅。</p> <p><a href="https://www.mitre.org/news-insights/news-release/mitre-attack-evaluations-managed-security-service-providers">MITRE在6月18日正式公布第二輪託管服務評估計畫的評測結果</a>，今年這次針對MSSP的評估計畫共有11家廠商參與，包括：Bitdefender、BlackBerry、CrowdStrike、微軟、Palo Alto Networks、Secureworks、SentinelOne、Sophos、趨勢科技，還有SecurityHQ、Field Effect等。而他們實際遭遇的攻擊模擬對手有兩個，分別是menuPass與ALPHV/BlackCat。</p> <p>具體而言，menuPass（又名APT10）這個APT駭客組織自2006年以來一直相當活躍，在許多研究報告中，都顯示該組織受到中國國家安全部的支持，其主要威脅是在全球從事間諜活動，包括竊取智慧產權與商業情報等敏感資料，主要攻擊對象涵蓋航太、建築、政府與電信等產業。</p> <p>ALPHV/BlackCat出現於2021年，是一個採勒索軟體及服務（RaaS）運作模式的威脅群體，也就是RaaS運作集團會招募聯盟夥伴（Affiliate）來執行勒索病毒攻擊，而ALPHV/BlackCat是一個攻擊產量相當大的俄語RaaS組織，不僅與BlackMatter、DarkSide、REvil與其他RaaS團體有聯繫，並利用Rust語言開發的勒索軟體，能對Windows、Linux 和 VMware系統進行跨平臺攻擊，目標更是涵蓋各種產業行業。</p> <p class="first-token" data-sourcepos="1:1-1:72">之所以選擇這兩個組織為假想攻擊對象，負責ATT&CK評估計畫的網路威脅情報工程負責人Amy Robertson表示，menuPass（APT10）展現了現代攻擊者謹慎、周密與靈活的手段，該組織相當擅於濫用受害電腦內建工具執行攻擊的寄生攻擊（living-off-the-land）手法，同時透過無檔案執行、程式碼混淆等技術來隱匿行蹤，規避安全防護偵測並阻礙分析。而且，他們還會滲透可信任的網路關係，以擴大攻擊範圍。</p> <p class="first-token" data-sourcepos="1:1-1:72">對於ALPHV/BlackCat，Amy Robertson表示，該組展現了攻擊者可帶來多面向的威脅，並會利用技術創新來擴大其衝擊。特別的是，該組織的RaaS模式使其招募的聯盟夥伴可使用防禦逃脫（Defense Evasion）技術，像是混淆與終止程序來關閉防護系統，並使用核心資料加密功能來癱瘓企業的業務運作。</p> <p class="first-token" data-sourcepos="1:1-1:72">隨著這次評測結果的公布，外界可以前往<a href="https://attackevals.mitre-engenuity.org/results/managed-services?evaluation=menupass-blackcat&scenario=1">MITRE Engenuity評估計畫結果的網站，了解這11家MSSP服務商的細部偵測結果</a>。</p> <p class="first-token" data-sourcepos="1:1-1:72"><a href="https://s4.itho.me/sites/default/files/images/2024-06-26_123652.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-26_123652.jpg" style="width: 320px; float: right;" /></a></p> <p class="first-token" data-sourcepos="1:1-1:72">例如，這次模擬評測共有15大步驟，包括從第一步驟開始，先模擬menuPass的建立潛伏，接著是初期探查、橫向移動到子公司的網域控制器、憑證存取與發現、準備橫向移動至子公司B網路、實際橫向移動至子公司B網路，發現與額外的權限提升、資料蒐集與滲出；再來是從第10步驟開始，模擬ALPHV/BlackCat的初始入侵與發現，憑證存取、利用憑證存取進行權限提升、收集與滲出、部署惡意Payload，到最後是加密以產生影響/抑制系統發現。</p> <p class="first-token" data-sourcepos="1:1-1:72">因此，外界可以針對這15個步驟，一一檢視11家廠商在每個步驟的偵測結果表現。此外，由於去年MITRE Engenuity以大幅調整評估計畫結果的呈現方式，因此我們若要檢視每個步驟偵測結果的螢幕截圖，可在單一頁面直接瀏覽，並可一次選擇3家廠商來做橫向對比。<br /> </p> </div></div></div>
2024/6/26 10:41作者羅正漢https://www.ithome.com.tw/news/163654
華碩在股市公開觀測站發布重大訊息，證實部分資訊系統參數設定不當導致產品資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月25日晚間電腦製造商華碩在股市公開觀測站<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=9&SPOKE_TIME=194810&SPOKE_DATE=20240625&COMPANY_ID=2357">發布重大訊息</a>，指出他們發生部分產品資料不慎曝光的情況，原因是資訊系統的參數設定出現問題造成。</p> <p>該公司表示，他們找出組態錯誤的主機，隨即檢視資料存取相關的事件記錄，清查可能外流的資料內容。但究竟資料曝光的範圍及時間，華碩並未進一步說明。</p> <p>而針對這起事故可能帶來的影響，他們初步評估，不會對公司營運及財務造成重大影響。但華碩也提及後續改善措施，表明將持續落實供應鏈管理及組態管理的審查，重新檢視現有資訊系統架構並持續精進。上述這段說明雖然表達他們的解決之道，但從另一個角度而言，大家也可能認為這家公司所謂的參數設定出現問題的資訊系統，並非由他們自己維護，而是交由外部廠商。</p> <p><a href="https://s4.itho.me/sites/default/files/images/7rlucsS6rh.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/7rlucsS6rh.png" style="width: 580px;" /></a></p> </div></div></div>
2024/6/26 11:02作者周峻佑https://www.ithome.com.tw/news/163656
Progress在6月底揭露與修補MOVEit兩個重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年上半，Progress公司因旗下檔案傳輸管理系統MOVEit的漏洞<a href="https://www.ithome.com.tw/tags/cve-2023-34362">CVE-2023-34362</a>，遭到駭客濫用，後續藉此攻擊全球32國、兩千多個組織，而鬧得沸沸揚揚，<a href="https://www.ithome.com.tw/news/158113">我們也將此弱點列為2023年頭號資安漏洞</a>，本週他們在自家網站的知識庫公告MOVEit產品線有兩個重大漏洞，分別是：位於檔案傳輸代理伺服器MOVEit Gateway的<a href="https://community.progress.com/s/article/MOVEit-Gateway-Critical-Security-Alert-Bulletin-June-2024-CVE-2024-5805">CVE-2024-5805</a>，以及建置在內網環境的檔案傳輸系統MOVEit Transfer的<a href="https://community.progress.com/s/article/MOVEit-Transfer-Product-Security-Alert-Bulletin-June-2024-CVE-2024-5806">CVE-2024-5806</a>，都是因為當中搭配的SFTP模組，居然允許略過身分認證的程序，所以產生資安漏洞，而這兩個資安弱點的嚴重程度都被評為「重大」，CVSS分數高達9.1分。</p> <p>為了要解決這樣的問題，Progress現在發布這兩個產品的更新版本。若企業與組織目前採用MOVEit Gateway的2024.0.0版，需為此升級到2024.0.1版，即可修補CVE-2024-5805；若採用MOVEit Transfer的2023.0.0、 2023.1.0、2024.0.0這三個版本，需各自升級到2023.0.11、2023.1.6、2024.0.2。</p> <p>以監測漏洞暴露在網際網路的全球威脅態勢著稱的非營利組織Shadowserver基金會，在6月25日Progress發布相關消息的當天，就觀察到有心人士蠢蠢欲動。因為他們發現，當這些資訊公開後沒多久，就出現試圖利用CVE-2024-5806的行為，有人想要趁機在系統的根目錄上傳guestaccess.aspx，進行滲透，而且，根據他們的統計，目前暴露在網際網路的Progress系統，至少有1,800臺，雖然這些環境並非全都具有上述漏洞，但可想而知，若攻擊者想要行動，它們勢必會是最先被鎖定的對象。</p> <p> </p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Very shortly after vulnerability details were published today we started observing Progress MOVEit Transfer CVE-2024-5806 POST /guestaccess.aspx exploit attempts. If you run MOVEit & have not patched yet - please do so now: <a href="https://t.co/AenLgqg1wM">https://t.co/AenLgqg1wM</a></p> <p>NVD: <a href="https://t.co/OHQRNFNE9p">https://t.co/OHQRNFNE9p</a></p> <p>— The Shadowserver Foundation (@Shadowserver) <a href="https://twitter.com/Shadowserver/status/1805676078620401831?ref_src=twsrc%5Etfw">June 25, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p> </p> <p>關於CVE-2024-5806漏洞，設立於新加坡的新創資安廠商<a href="https://labs.watchtowr.com/auth-bypass-in-un-limited-scenarios-progress-moveit-transfer-cve-2024-5806/">watchTowr</a>其實在Progress公開之前，就已經收到知情人士的通報，因而提前得知這個當時尚未被揭露的弱點，也率先發布部落格文章解析CVE-2024-5806的問題、概念驗證攻擊手法，以及修正與緩解方式。</p> <p> </p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Progress just un-embargoed a very closely guarded auth bypass in MOVEit Transfer's SFTP mechanism - CVE-2024-5806.</p> <p>We were lucky enough to receive a tip-off :-) Enjoy our analysis, we had a lot of fun.<a href="https://t.co/GLoCIAki9w">https://t.co/GLoCIAki9w</a></p> <p>— watchTowr (@watchtowrcyber) <a href="https://twitter.com/watchtowrcyber/status/1805619864201314335?ref_src=twsrc%5Etfw">June 25, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p> </p> </div></div></div>
2024/6/26 12:29作者李宗翰https://www.ithome.com.tw/news/163658
研究人員聲稱找到可冒充微軟客服向使用者行騙的漏洞，但並未進一步透露相關細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員Vsevolod Kokorin（Slonser）聲稱，<a href="https://x.com/slonser_/status/1801521692314927433">他發現可假冒微軟資安團隊的欺騙漏洞</a>，攻擊者可藉此從任意的來源，向用戶發送訊息。</p> <p>然而，這名研究人員指出，微軟收到他的通報資料後表示，他們無法重現漏洞，即使是研究人員補充提供完整的概念性驗證（PoC）攻擊影片，該公司仍舊回覆無法完成相關驗證。對此，Vsevolod Kokorin表示決定停止繼續溝通，並公開此事，但並未透露細節，以防有人試圖利用。</p> <p>根據研究人員的推文內容，我們難以判斷漏洞的影響範圍，究竟存在漏洞可被利用的是收信軟體Outlook，還是雲端電子郵件信箱服務Outlook.com，抑或是其他的環節？目前仍不得而知。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">I want to share my recent case:<br /> > I found a vulnerability that allows sending a message from any <a href="mailto:user@domain">user@domain</a><br /> > We cannot reproduce it<br /> > I send a video with the exploitation, a full PoC<br /> > We cannot reproduce it<br /> At this point, I decided to stop the communication with Microsoft. <a href="https://t.co/mJDoHTn9Xv">pic.twitter.com/mJDoHTn9Xv</a></p> <p>— slonser (@slonser_) <a href="https://twitter.com/slonser_/status/1801521692314927433?ref_src=twsrc%5Etfw">June 14, 2024</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>這名研究人員也向<a href="https://techcrunch.com/2024/06/18/security-bug-allows-anyone-to-spoof-microsoft-employee-emails/">科技新聞網站TechCrunch展示這項漏洞</a>，該媒體也確實收到看起來像是從微軟帳號資安團隊寄來的電子郵件。研究人員向該媒體透露，這項弱點只會在攻擊者寄信給Outlook的使用者帳號才會出現。</p> <p>針對通報漏洞的過程，研究人員向TechCrunch透露，當時微軟回覆表示，在沒有提供細節的情況下，該公司無法重現漏洞。但當他透過X公開此事的數個小時後，微軟似乎留意到他的推文，並重新檢視數個月前通報的內容。是否有其他人發現這項漏洞，並將其用於攻擊行動？目前仍不得而知，也不清楚微軟是否對漏洞進行了修補。微軟也並未針對此事進行公開說明。</p> <p>值得留意的是，TechCrunch提及了去年傳出<a href="https://www.ithome.com.tw/news/157763">中國駭客組織Storm-0558濫用外流的MSA簽章金鑰</a>，存取25個歐美政府組織的Outlook Web Access in Exchange Online（OWA）、Outlook.com電子郵件信箱的事故，根據這項說法，研究人員發現的漏洞，很有可能出現於Outlook.com。</p> </div></div></div>
2024/6/26 12:30作者周峻佑https://www.ithome.com.tw/news/163588
勒索軟體駭客組織RansomHub鎖定多種平臺發動攻擊，VMware虛擬化平臺是他們的新興標的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興的勒索軟體駭客組織RansomHub今年初竄起，並聲稱接連針對美國醫療保健科技業者Change Healthcare、<a href="https://www.ithome.com.tw/news/163167">英國精品拍賣業者佳士得（Christie's）</a>、<a href="https://www.ithome.com.tw/news/163347">臺灣電腦製造商藍天（Clevo）</a>出手，引起不少研究人員高度關注。繼之前資安業者賽門鐵克<a href="https://www.ithome.com.tw/news/163376">公布相關調查結果</a>，指出這些駭客疑似購買勒索軟體Knight的原始碼打造自己的工具，並透過ZeroLogon（CVE-2020-1472）取得初始入侵的管道，有研究人員公布新的發現。</p> <p>資安業者Recorded Future近期<a href="https://www.recordedfuture.com/ransomhub-draws-in-affiliates-with-multi-os-capability-and-high-commission-rates">公布他們的調查結果</a>，指出這些駭客也與許多勒索軟體組織相同，不只針對Windows、Linux電腦下手，他們也使用勒索軟體攻擊VMware ESXi虛擬化環境，而這是首度有研究人員提及該組織針對虛擬化平臺打造勒索軟體的情況。</p> <p>但究竟駭客如何入侵、控制虛擬化平臺，從而部署勒索軟體？研究人員並未進一步說明。</p> <h3><span style="color:#0000FF;"><strong>針對VMware虛擬化環境的RansomHub勒索軟體具備過往罕見的攻擊能力</strong></span></h3> <p>研究人員針對這些勒索軟體的程式碼進行分析，除了證實賽門鐵克提及與Knight有高度關連的情況，Recorded Future進一步指出，經過他們的比對，RansomHub與BlackCat（Alphv）的程式碼也有所關連，並推測這些駭客組織可能彼此互相共用資源。</p> <p>他們發現，該駭客組織約自4月開始將ESXi版本的勒索軟體納入武器庫，而有別於針對Windows及Linux電腦的RansomHub採Go語言打造而成，針對ESXi的勒索軟體則是以C++開發，但具備Windows、Linux版共通的核心功能。</p> <p>與其他勒索軟體駭客的做法相同的是，ESXi版RansomHub具備專門針對VMware虛擬化環境的功能，像是刪除快照、強制虛擬機器關機、列出要加密的檔案名單。此外，這個勒索軟體也能停用所有虛擬機器的處理程序。</p> <p>但特別的是，這個勒索軟體還具備抹除作案蹤跡的能力，像是停用ESXi的系統事件記錄服務、加密檔案完成後自我刪除，甚至能夠指定加密部分的虛擬機器，這些功能在同類型的勒索軟體當中，算是較為罕見。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RansomHub_EdWaXjljOo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RansomHub_EdWaXjljOo.png" style="width: 580px;" /></a></p> <blockquote><p>研究人員針對駭客可能會使用的指令進行說明，這裡可以看到攻擊者能停用ESXi的系統事件記錄服務，或是刪除所有虛擬機器的快照、停用相關處理程序，甚至能排除指定名稱的虛擬機器，並輸出未受害的虛擬機器名單，以便後續運用。</p> </blockquote> <p>附帶一提的是，研究人員意外發現ESXi版RansomHub的設計缺陷，這個勒索軟體使用特定檔案檢查程式是否已經執行，若是設置特定參數，就有可能導致勒索軟體進入無限循環，從而自我刪除。對此，他們也提出能暫時抵擋這款勒索軟體的做法，供企業組織參考。</p> <h3><span style="color:#0000FF;"><strong>提供高額報酬抽成，引誘打手上門</strong></span></h3> <p>除了針對勒索軟體的功能進行分析，研究人員也公布該組織造成的災情。此勒索軟體自今年2月出現，並以租用服務型式供打手運用，一旦攻擊成功，且受害組織向他們支付贖金，打手將能得到9成報酬。研究人員指出，在同樣提供勒索軟體租用服務的網路犯罪圈（Ransomware-as-a-Service）當中，打手能夠得到的報酬，通常是贖金的八至九成，因此RansomHub祭出這樣的策略，吸引了許多經驗豐富的打手上門。</p> <p>在短短4個月的時間，這些駭客聲稱有45個企業組織受害，大部分是IT產業領域的組織，而這些受害組織分布於18個國家，其中約有3成位於美國最多。該勒索軟體如此短時間內造成大量危害，引起許多研究人員的高度關注。</p> <p>而對於這些駭客的攻擊流程，研究人員並未詳細說明，但提及他們看到部分事故當中，對方鎖定雲端的備份資料，或是配置不當的AWS S3儲存桶下手，來向受害組織進行勒索。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Qn3AeHkVP8_RansomHub.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qn3AeHkVP8_RansomHub.png" style="width: 580px;" /></a></p> </div></div></div>
2024/6/26 12:30作者周峻佑https://www.ithome.com.tw/news/163627
macOS版ChatGPT全面開放下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI 5月公布多模AI模型GPT-4o的同時，也公布了<a href="https://www.ithome.com.tw/news/162866" target="_blank">macOS版本ChatGPT App</a>。周二<a href="https://twitter.com/OpenAI/status/1805679342439284831" target="_blank">OpenAI宣布</a>ChatGPT for Mac App全面開放下載。</p> <p>上個月僅付費版ChatGPT用戶能下載macOS版本使用服務，現在免費版用戶也可<a href="https://openai.com/chatgpt/mac/" target="_blank">由此下載</a>，在其Mac電腦存取ChatGPT服務，而無需另外開啟ChatGPT網頁。ChatGPT for Mac可經由鍵盤捷徑鍵（Option+空白鍵）叫出，協助用戶草擬、讀取並簡述郵件內容、螢幕擷圖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-ChatGPT%20desktop%20for%20Mac-take%20screen%20shot.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／OpenAI</span></span></p> <p>ChatGPT for Mac僅支援搭載Apple Silicon（M1晶片及以後）的macOS 14以上版本。</p> <p>OpenAI承諾桌機版ChatGPT未來將以GPT-4o為基礎，支援圖像、聲音和文字及程式，目前該公司正在加緊部署。這讓用戶可使用文字或語音模式（Voice mode）與之互動。按下ChatGPT for Mac的耳機圖示即可啟動語音輸入。</p> <p>值得一提的是，免費版ChatGPT用戶雖然未來也能享用到GPT-4o，獲得GPT-4等級的回應，但依用量及需求而定，免費版能傳送的訊息數量有上限，等超過限額，就會自動轉成GPT-3.5。</p> <p>Windows用戶也不用太著急。OpenAI預告今年稍晚就會推出Windows版本ChatGPT。</p> <p>除了macOS版ChatGPT App，<a href="https://www.reddit.com/r/OpenAI/comments/1dohn5u/openai_announcement_on_discord_were_sharing_an/" target="_blank">OpenAI另外公告</a>ChatGPT進階語音模式無法如期提供。原本預計對小部份Plus版用戶6月測試的進階語音模式（Advanced Voice Mode），將延到7月。該公司的理由是正在改善模型「偵測和拒絕用戶輸入特定內容」的能力，以及正在改善用戶體驗和擴充支援大量即時回應所需的基礎架構容量。OpenAI說將開始和少部分用戶啟動Alpha測試，並依測試回饋規畫擴大部署策略，但正式推向Plus用戶則要等到9月。</p> </div></div></div>
2024/6/26 12:18作者林妍溱https://www.ithome.com.tw/news/163657
Google已在付費版Workspace App部署Gemini
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google昨（25）日宣布已將Gemini AI助理功能提供給付費版生產力應用，包括Google Docs、Google Drive等<a href="https://workspaceupdates.googleblog.com/2024/06/gemini-in-side-panel-of-google-docs-sheets-slides-drive.html" target="_blank">Workspace生產力雲端軟體</a>以及<a href="https://workspaceupdates.googleblog.com/2024/06/gemini-in-side-panel-of-gmail.html" target="_blank">Gmail</a>，讓AI助理協助用戶寫信或製作文件、簡報等商務作業。</p> <p>Gemini AI助理是以Google最新大型LLM Gemini 1.5 Pro為基礎，具備更長的context window及更進階的理解能力。今日起，Gemini AI助理已提供給付費版Workspace用戶，後者包括具有Gemini Business及Enterprise外掛、Gemini Education與Education Premium外掛，以及Google One AI Premium授權的Workspace。</p> <p>在Workspace App部分，Gemini已經透過Google Docs、Sheets、Slides與Drive的側邊欄提供給用戶。Gemini可協助用戶摘錄文件重點、加以分析，根據蒐集自郵件、文件內容的洞見產生文件、簡報圖片，建立Sheets報表表格、或將用戶製作的內容加以潤飾。透過整合在側邊欄，所有過程用戶都不必跳離Workspace App或分頁。Google指出，更新後的Gemini介面能自動摘錄用戶手上還在作業的文件重點，並建議用戶與上下文相關的提示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Google%20Workspace-Gemini%20in%20Sheets.png" style="width: 600px;" /></p> <p>在付費版Gmail中，Gemini同樣也出現在側邊欄。即日起，用戶可請Gemini AI助理摘錄一整個訊息串的郵件內容、建議回應內容、草擬郵件、詢問Gemini關於Gmail郵件或Google Drive中檔案內容的問題，或請它找出特定資訊。用戶和Gemini互動時，可以依據它提供的提示，但也可以自由提問，例如請Gemini搜尋Gmail信件，詢問代理商的採購單號、上次行銷活動的花費總和、或下次團隊會議訂在幾點等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Google%20Workspace-Gemini%20in%20gmail.png" style="width: 600px;" /></p> <p>要讓用戶啟用Gemini，管理員必須開放用戶權限，允許他們啟用智慧功能及個人化設定。Web介面上，用戶可以從App右上角的「Ask Gemini」來啟動側邊欄中的Gemini。</p> <p>Gmail的Gemini，除了部署給Web版，Google也部署了Gemini的信件摘要（Summarize）功能給iOS或Android版Gmail App，用戶可以點入信件上方的「summarize this email」啟用。Google並預告，很快會再加入可配合上下文的情境化智慧回覆與Gmail Q&A二項新功能。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/6/26 10:05作者林妍溱https://www.ithome.com.tw/news/163652
蘋果傳早已拒絕Meta AI整合到iPhone
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周華爾街日報才<a href="https://www.ithome.com.tw/news/163605" target="_blank">報導</a>蘋果正和Meta洽談把AI功能整合進自有裝置，<a href="https://www.bloomberg.com/news/articles/2024-06-24/apple-spurned-idea-of-iphone-ai-partnership-with-meta-months-ago" target="_blank">彭博</a>本周報導，蘋果其實基於隱私疑慮已經拒絕Meta了。</p> <p>彭博記者Mark Gurman報導，蘋果的確針對是否將AI模型能力整合進iOS和Meta討論過，但幾個月前就擱置了這項提議，原因是蘋果認為Meta的隱私保護不夠嚴謹，因此蘋果現在已經沒有計畫整合Llama。</p> <p>在本月之前，蘋果在AI競賽上一直落後Google、微軟。WWDC開發者大會上，蘋果宣布和OpenAI合作，讓最新的iOS 18及macOS Sequoia中的Apple Intelligence應用程式，包括Siri整合ChatGPT，並以更好的隱私設計差異化，讓蘋果在聲勢上一舉超越對手。</p> <p>但蘋果並不只滿足於整合一家AI業者技術。根據華爾街日報的報導，除了Meta外，蘋果有興趣的AI技術供應商還包括Google、Anthropic、Perplexity等。</p> <p>無獨有偶，今年3月<a href="https://www.bloomberg.com/news/articles/2024-03-18/apple-in-talks-to-license-google-gemini-for-iphone-ios-18-generative-ai-tools" target="_blank">彭博</a>報導也引述消息人士指出，蘋果也有意在iPhone整合Google Gemini。本周的報導顯示，蘋果和Google的洽談持續進行中。</p> <p>事實上，Google Gemini相當可能會用在iPhone上。WWDC中，蘋果軟體工程部門主管Craig Federighi曾<a href="https://9to5mac.com/2024/06/10/craig-federighi-says-apple-hopes-to-add-google-gemini-and-other-ai-models-to-ios-18/" target="_blank">透露</a>公司也希望計畫整合Google Gemini及其他AI模型，只是他未提供進一步細節。</p> </div></div></div>
2024/6/26 10:18作者林妍溱https://www.ithome.com.tw/news/163653
支援SPDM、效能提升兩倍，三星新一代PCIe 5.0 SSD來了
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/san_xing_pm9d3a_main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及支援PCIe 5.0介面的企業與資料中心固態硬碟產品，三星最早推出的產品是<a href="https://www.ithome.com.tw/review/163573">PM1743</a>，如今我們在市面上看到他們對<a href="https://www.dell.com/support/manuals/en-us/openmanage-software-v11.0.1.0/om_11.0.1.0_support_matrix_pub/supported-firmware-storage-management-service-and-server-administrator-versions-for-nvme-drives?guid=guid-284b2169-9918-4bce-9e39-52d49fc503c0&lang=en-us">Dell</a>、<a href="https://lenovopress.lenovo.com/lp1916-thinksystem-pm1745-mixed-use-nvme-pcie-50-ssd?orgRef=https%253A%252F%252Fwww.google.com%252F">聯想</a>等伺服器廠商提供PM1745，若回顧該公司過去的相關新聞發布，還可以看到有另一款支援此規格的產品PM9D3a。</p> <p>例如，在去年8月舉行的全球快閃記憶體高峰會期間，2022年同個活動亮相的PM1743，以及PM9D3a都是活動現場展示的產品，他們也趁機揭露部分規格。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/FMS%202023-08-1691587981721-web.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/FMS%202023-08-1691587988197-Web1.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/FMS%202023-08-1691587988197-Web2.jpg" style="width: 400px;" /></p> <p>首先，它採用8通道的控制器，<a href="https://www.opencompute.org/products/441/samsung-pm9d3a-pcie-gen5-nvme-ssd">相較於上一代產品</a><a href="https://www.ithome.com.tw/review/147008">PM9A3</a>，循序讀取效能提升至2.3倍，隨機寫入效能增長為2倍——<a href="https://semiconductor.samsung.com/news-events/tech-blog/samsung-announces-innovations-to-enhance-memory-customer-experience-in-data-centric-era-at-fms-2023/">以8TB容量的款式而言，可達到40萬IOPS</a>，<a href="https://www.linkedin.com/posts/samsungsemiconductor_samsungmemory-samsungsemiconductor-samsungssd-activity-7099933554804969472-fDNL/">每TB保證供應5萬IOPS效能</a>，能源使用效率改善幅度為60％；同時，三星也有效強化它的遙測（Telemetry）與除錯（Debug）功能，因應資料中心維護作業的需求；穩定度方面，這款產品的平均故障間隔時間（MTBF）提升至250萬小時，比上一代產品增加25％。</p> <p>對於儲存容量的供應，三星表示，2.5吋外形將提供7.68 TB與15.36 TB，他們已完成開發，計畫隔年將提供多種外形與產品線，屆時將有3.84 TB以下，以及最大容量可達30.72 TB的款式。</p> <p>而在同一週舉行的OCP China Day 2023，三星電子副總裁暨半導體事業軟體發展團隊負責人張實完，也特別提到並介紹PM9D3a的特色。他表示，這款產品隨機寫入效能提升至1.8倍，能源使用效率增加至1.6倍，而且針對機密性與完整性的認證要求，PM1743與PM9D3a均支援<a href="https://www.dmtf.org/standards/spdm">DMTF的SPDM（Security Protocol and Data Model）規格</a>，而在三星當天活動現場的產品展示，他們也列出PM9D3a幾項規格，像是循序讀寫效能分別為12,000 MB/s、6,800 MB/s，隨機讀寫效能為170萬IOPS與40萬IOPS，儲存容量最大為32 TB，外形將有4種：E1.S（厚度為25公釐、15公釐、9.5公釐）、E1.L（厚度為9.5公釐）、2.5吋U.2/U.3（厚度為15公釐）、M.2。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OCP China Day-2023-08-Samsung1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/OCP%20China%20Day-2023-08-Samsung1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-10-ocp%20chinaday3%20pm93a-web.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-10-ocp%20chinaday3%20pm93a.jpg" style="width: 298px;" /></p> <p>到了今年5月底，三星再次揭露PM9D3a規格資訊，例如，快閃記憶體為TLC、採用三星第8代V-NAND技術，循序讀寫效能分別為12,000 MB/s、6,200 MB/s，隨機讀寫效能為200萬IOPS與35萬IOPS，寫入效能均下修，隨機讀取效能再略微提高，可達到上一代產品的2.4倍。</p> <p>而在能源使用效率方面，三星表示，若使用2.5吋厚度15公釐外形的款式，領先上一代產品的幅度是45％，如果是E1外形的款式，都將搭配散熱片與嵌入式熱介面材料（Thermal Interface Material），以降低管理成本、緩解環境保護層面的風險。</p> <p>安全性方面，Samsung通過TCG Storage Opal Family Test Cases的驗證，正在進行FIPS 140-3驗證，正在評估安全評估共通準則（Common Criteria），以及歐盟網路與資訊安全局暨網路安全認證規則Regulation 2019/881等認證。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>三星PM9D3a</strong><br /> ●原廠：三星<br /> ●建議售價：廠商未提供<br /> ●儲存容量：3.84 TB、7.68 TB、15.36 TB、30.72 TB<br /> ●外形：2.5吋、E1.S、E1.L、M.2、E3.S<br /> ●儲存媒體：3D NAND，TLC<br /> ●最高讀寫速度：循序12,000 MB/s與6,200 MB/s，隨機200萬IOPS與35萬IOPS<br /> ●使用介面：PCIe 5.0<br /> ●可靠度：250萬小時MTBF</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/25 19:50作者李宗翰https://www.ithome.com.tw/review/163628
Fintech周報第245期：日本PayPay銀行導入HCI架構的虛擬化平臺，計畫將周邊系統轉換為私有雲架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">6/17~6/23金融科技精選新聞</span></span></h3> <p dir="ltr" style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 私有雲</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HCI </span></strong></span></p> <h3>日本PayPay銀行導入HCI架構的虛擬化平臺，計畫將周邊系統轉換為私有雲架構</h3> <p>PayPay在日本的註冊使用者有6400萬人，是日本的電子支付龍頭品牌。近日，日本PayPay銀行宣布將在地端機房打造新一代基礎設施，計畫將周邊系統遷移至超融合基礎架構（HCI）的虛擬化平臺，汰換既有的實體伺服器。目前，PayPay的周邊系統大多運作在實體伺服器上，難以因應業務規模增加，靈活擴充IT資源。雖然他們每五年會汰換一次硬體設備，但在進行系統升級時，需要較長的停機時間，難以實現停機不超過半小時的業務目標。</p> <p>PayPay的計畫，是藉由HCI架構降低使用實體伺服器的維運成本，同時減少系統升級所需的停機時間。他們不是沒有考慮過傳統三層式架構的虛擬化平臺，最終選擇HCI架構，是看上它能在不停機的情況下擴充IT資源，同時防止營運過於依賴個人。這兩點是他們最終決策的主要考量。</p> <p>目前，PayPay已經篩選出硬體設備廠商，預計一個月就能完成硬體設備建構。除了計畫將周邊系統遷移至HCI架構的虛擬化平臺上，PayPay也計畫升級儲存設備，轉換為混和雲多雲架構。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 富邦產險</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 創新保險服務 </span></strong></span></h3> <h3>富邦產險與台灣大哥大合作推出創新保險服務，一站式投保旅平險和不便險</h3> <p>富邦產險近日正式推出網路投保創新服務，他們與台灣大哥大合作推出一站式投保服務，當民眾出國前至臺灣大哥大客服App申辦漫遊時，可同時加購旅平險與不便險，可省去輸入個人資料時間，也可連同電信帳單一同支付保費。</p> <p>這項服務自今年3月底開始試辦，並在6月中獲金管會核准開辦，是全臺首例獲核准的創新保險服務。金管會在去年10月通過保險業異業合作辦理創新型保險服務。今年，金管會也提出，要在年底前完成10件以上的創新型保險服務試辦案審查，並且在第三季檢討修正「保險業辦理電子商務應注意事項」，擴大業務範圍，增加可辦理的網路投保和網路保險服務。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 嵌入式保險</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 創新保險服務 </span></strong></span></h3> <h3>日本三井住友保險和雲端會計軟體業者合作，計畫推出保險平臺發展一站式投保服務</h3> <p>日本三井住友保險在4月宣布與日本一間雲端會計軟體業者Freee合作，計畫打造一個綜合保險平臺，可以提供企業客戶連接ERP系統，管理財務、人力資源和銷售管理等日常營運任務。同時，平臺能根據客戶的業別來推薦保險產品，提供一站式投保服務，也支援企業客戶自動完成保費支付和領取理賠金等任務。</p> <p>在日本，許多新創公司會採用雲端財務和人力資源軟體，並透過連接ERP系統，自動處理保險費支付和索取理賠收據。Freee在日本則擁有近40萬中小型客戶數量。三井住友保險向媒體表示，這次合作是為了透過Freee接觸新創企業、中小型企業客戶，主要提供商業一般責任保險。未來也會考慮提供旅遊險、高爾夫球險，和一日汽車險等保險商品。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融AI指引</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span></h3> <h3>金融業運用AI指引正式出爐</h3> <p>金管會在近日發布「金融業運用AI指引」，除了提供AI系統和生成式AI定義，也將AI系統生命周期分為4個階段，提供業者在各個階段中落實六大核心原則的處理機制。綜合規劃處處長胡則華表示，目前，已有使用生成式AI的金融機構共有29家，銀行業占比最多。使用場景最多是在內部作業，第二是智能客服，第三則是行銷廣告。</p> <p>相較草案內容，正式指引提供更多第三方業者的監督管理方式，針對自建、委外和外購等不同部署方式增訂相關內容，也修改風險評估因素的敘述方式，強調指引中的舉例僅供參考，增加指引適用的彈性。（<a href="https://www.ithome.com.tw/news/163575">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融科技政策</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span></h3> <h3>金管會主委彭金隆發表未來金融科技發展方向，七月將提出更具體的發展計畫</h3> <p>「金融業未來需要很多工具，來推動數位和永續轉型，未來希望能夠讓金融業有更大的空間來應用這些工具。」金管會主委彭金隆近日接受媒體聯訪時，用這句話來說明他對金融科技發展的態度。彭金隆進一步指出，未來可能先調整金管會能全權調整的規定，讓暫時不允許的項目，成為可以試辦的範圍，以此放寬金融業的創新業務發展空間。</p> <p>金管會綜合規劃處處長胡則華則補充，接下來會放寬法規命令和法律規範，包含行政規則，或是周邊單位的自律規範，讓業者能提出更多創新試辦項目。彭金隆也表示，將在七月中或下旬提出金融科技具體規劃和未來發展方向。（<a href="https://www.ithome.com.tw/news/163596">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line Pay</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行動支付 </span></strong></span></h3> <h3>日本Line Pay將在明年四月終止在日本提供的服務</h3> <p>近期，日本Line Pay宣布，將在今年9月開始，陸續停止在日本提供的服務，並在明年4月正式退出日本。日本Line Pay表示，未來將開放用戶把餘額轉至PayPay繼續使用，流程將於明年2月公布。此外，這次服務更動並不會影響泰國和臺灣的用戶。</p> <p>Line Pay母公司LY Corporation表示，終止在日本提供服務，是為了讓集團更有效地分配經營資源。他們表示，未來不會將LINE Pay的業務轉讓給PayPay，而是由公司繼續繼承這項業務。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Apple Pay</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BNPL </span></strong></span></h3> <h3>蘋果終止Apple Pay Later服務，改以Apple Pay串聯第三方業者來提供BNPL服務</h3> <p>蘋果近日才在發布會上宣布，Apple Pay將支援分期服務、商品兌換獎勵和先買後付功能，發布會結束兩天後，蘋果接著宣布終止Apple Pay Later服務，一款僅提供美國用戶的BNPL服務。蘋果向媒體透露，由於Apple Pay將在全球支援分期貸款產品，他們決定不再向美國用戶提供Apple Pay Later，而是透過Apple Pay與第三方業者合作，來提供多種支付服務給全球用戶。目前，Apple已經宣布與特定BNPL業者合作，將開放美國用戶在Apple Pay使用先買後付服務。</p> <p></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">其他重要Fintech新聞：</p> <ul style="padding-right: 0px; padding-left: 0px; margin: 0px 0px 10px 25px; font-family: 微軟正黑體, sans-serif; font-size: 14px; background-color: rgb(247, 247, 247);"> <li style="line-height: 1.8em; font-size: 14pt;">金管會推動灰名單平臺，上線一個月136戶被列可疑帳戶</li> <li style="line-height: 1.8em; font-size: 14pt;">桑坦德銀行警告美國員工，因第三方服務供應商遭駭，其員工資料已外洩</li> <li style="line-height: 1.8em; font-size: 14pt;">花旗發布研究報告，表示銀行業被AI取代的工作將比其他行業多</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年6月</p> </div></div></div>
2024/6/25 17:30作者李昀璇https://www.ithome.com.tw/news/163646
【資安日報】6月25日，中國駭客組織RedJuliett近半年鎖定臺灣高科技產業、外交經濟、社會運動團體從事網路間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定今年臺灣總統大選的網路攻擊，已有數家資安業者公布他們觀察到的攻擊行動，但最近研究人員揭露的最新發現，攻擊者從事相關活動的期間，從去年11月到今年4月，也就是自總統選舉的2個月前，到新任總統即將上任前夕，時間接近半年。</p> <p>值得留意的是，這些駭客不僅針對外交經濟和社會運動團體而來，也鎖定高科技產業，企圖偷取相關機密。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163641"><strong style="font-size: 22px;">中國駭客組織RedJuliett近半年鎖定臺灣75個組織發動攻擊，目標主要是高科技產業，但外交經濟、社會運動團體也遭鎖定</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_02_8dada06f0b.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_02_8dada06f0b.jpg" style="width: 300px; float: right;" /></a>資安業者Recorded Future揭露為期近半年的網路間諜攻擊行動，代號為Flax Typhoon、Ethereal Panda中國駭客組織RedJuliett，自去年11月自今年4月，針對臺灣教育機構、政府機關、科技產業、外交機構而來，這些駭客利用防火牆、VPN、負載平衡設備等網路邊界裝置的已知漏洞，取得初始存取的管道，目的很有可能是為中國政府收集臺灣經濟、外交關係，以及關鍵技術研發的情報。</p> <p>由於上述攻擊發生的時間點，正好是今年臺灣總統大選前至新政府上臺的前夕，這起攻擊行動的揭露，引起國內外媒體高度關注。</p> <p>針對受害規模的部分，這些駭客入侵全球24個組織，其中包含了臺灣、竂國、肯亞、盧安達的政府機構。而對於臺灣的部分，該組織試圖針對75個企業組織下手，當中有8所大學、11個政府機關，攻擊範圍相當廣泛，涵蓋高科技產業、外交經濟，以及社會運動，但他們認為，駭客最主要的目標還是高科技產業相關組織。</p> <p><a href="https://www.ithome.com.tw/news/163647"><strong style="font-size: 22px;">中國駭客組織針對亞洲電信業者植入後門，嘗試竊取帳密資料</strong></a></p> <p>資安業者賽門鐵克揭露中國駭客組織鎖定特定亞洲國家電信業者的網路間諜活動，這些駭客在受害公司的網路環境植入後門程式，並試圖竊取各式帳密資料。</p> <p>研究人員指出，對方的攻擊行動至少可追溯至2021年，不過，他們掌握2020年已有部分活動的證據。而對於攻擊目標的部分，雖然駭客主要是鎖定電信業者，但是也有提供電信業者服務的公司，以及另一個國家的大學受害。</p> <p>究竟對方的目的為何，研究人員表示並不清楚，但很有可能是為了收集特定國家的電信行業情報，甚至進行監聽，也不排除對當地關鍵基礎設施進行破壞；而對於攻擊者的身分，他們也推測有幾種可能，有可能是多組人馬進行合作，或是不約而同發動攻擊；也有可能是未被發現的駭客組織出手，並使用其他團隊提供的作案工具犯案。</p> <p><a href="https://www.ithome.com.tw/news/163645"><strong style="font-size: 22px;">惡意軟體載入工具SquidLoader鎖定中國企業組織而來，企圖透過偽裝成Word檔案的附件引誘員工上鉤</strong></a></p> <p>今年4月下旬，電信業者AT&T旗下的資安威脅實驗室LevelBlue發現具備高度迴避偵測能力的惡意程式載入工具SquidLoader，使用此項工具的攻擊者鎖定使用簡體中文的用戶，受害者電腦會因此而載入Cobalt Strike。研究人員進一步調查指出，這些駭客在過去2年就曾發起了零星攻擊，而且似乎專門針對國家而來。由於這樣的攻擊技術及手法有可能被複製，未來很有可能被其他惡意軟體開發者如法炮製。</p> <p>研究人員認為，攻擊者的主要目標是員工，企圖藉由具有明確描述的名程引誘他們上當。值得留意的是，這些釣魚郵件的附件檔案雖然都帶有Word文件圖示，但實際上都是可執行檔，一旦收信人開啟附件，電腦就可能從遠端下載SquidLoader。</p> <p><a href="https://www.ithome.com.tw/news/163635"><strong style="font-size: 22px;">YouTube直播平臺出現馬斯克Deepfake影片，對方企圖詐騙加密貨幣</strong></a></p> <p>入侵知名企業或名人的網路服務帳號，對其支持者進行金融詐騙的手法頻傳，6月24日YouTube Live直播平臺便出現馬斯克的Deepfake影片，對方將特斯拉公司發布的公開影片透過Deepfake改造，企圖誘騙支持者造訪指定網站並轉出數位貨幣，影片被檢舉下架前5個小時，曾吸引至少3萬人同時觀看。</p> <p>根據科技新聞網站Engadget報導，這則詐騙影片看似馬斯克在特斯拉公司活動中發表演說，馬斯克指示用戶點選造訪某個網站網址，並將手上的比特幣、以太幣與狗狗幣儲存在該網站的電子錢包中。AI版「馬斯克」聲稱，只要用戶完成儲存，就可獲得存入金額2倍等值的加密貨幣作為回饋。</p> <p>值得留意的是，該影片是由貌似特斯拉的公司帳號發布，並有YouTube藝術家官方頻道（Official Artist Channel）的驗證徽章，媒體推測，這很可能是特斯拉遭駭的帳號。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://research.checkpoint.com/2024/rafel-rat-android-malware-from-espionage-to-ransomware-operations/"><strong style="font-size: 20px;">駭客組織APT-C-35鎖定安卓裝置發動超過120起攻擊行動，散布惡意程式Rafel RAT</strong></a></p> <p>◆<a href="https://blog.xlab.qianxin.com/a-deep-dive-into-the-zergeca-botnet/"><strong style="font-size: 20px;">研究人員揭露難以被防毒軟體察覺的殭屍網路病毒Zergeca</strong></a></p> <p>◆<a href="http://www.elastic.co/security-labs/grimresource"><strong style="font-size: 20px;">研究人員揭露新型態攻擊手法GrimResource，利用MMC管理主控臺存取受害電腦並迴避偵測</strong></a></p> <p></p> <p>◆<a href="https://hackread.com/qilin-ransomware-attack-nhs-patient-data-leak-telegram/"><strong style="font-size: 20px;">勒索軟體駭客組織</strong></a><a href="https://hackread.com/qilin-ransomware-attack-nhs-patient-data-leak-telegram/"><strong style="font-size: 20px;">Qilin傳出在Telegram頻道外流400 GB英國國民保健署及病人資料</strong></a></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163644"><strong style="font-size: 22px;">電子商務平臺PrestaShop的臉書外掛程式存在漏洞，已有攻擊者用於竊取信用卡付款詳細資訊</strong></a></p> <p>電商平臺技術社群Friends Of Presta指出，名為pkfacebook的付費外掛程式存在重大漏洞CVE-2024-36680，使得瀏覽電商網站的訪客有機會發動SQL注入攻擊，CVSS風險評為9.8分，影響1.0.1以前的版本。值得留意的是，這項漏洞已被積極利用，攻擊者藉此在電商平臺植入側錄工具，以便大規模竊取信用卡資料。</p> <p>這項由Promokit.eu打造的電商平臺PrestaShop外掛程式，主要是供用戶直接使用臉書帳號與站方互動，留下評論，或是透過Messenger與客服進行溝通。然而，由於這項外掛程式是由該公司自行銷售，他們並未透露有多少網站採用，究竟有多少電商網站曝險，目前仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/163636"><strong style="font-size: 22px;">微軟將透過Windows每月例行更新一併修補Visual Studio</strong></a></p> <p>為更為充分利用Windows的更新機制Microsoft Update，微軟宣布自8月開始，將會藉此機制，於每個月的例行更新（Patch Tuesday）提供用戶IDE工具Visual Studio的相關更新。</p> <p>一旦使用者在Microsoft Update啟用接收其他微軟產品更新的功能，他們將對使用Visual Studio 2022、Visual Studio 2019、Visual Studio 2017的用戶派送更新，這項服務不支援預覽版Visual Studio。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.wiz.io/blog/probllama-ollama-vulnerability-cve-2024-37032"><strong style="font-size: 20px;">開源人工智慧基礎設施平臺Ollama存在漏洞Probllama，若不修補恐被用於RCE攻擊</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163630"><strong>【6月24日】北美汽車經銷商軟體服務業者CDK Global遭攻擊而停擺，傳出是勒索軟體BlackSuit所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163599"><strong>【6月21日】駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163574"><strong>【6月20日】中國駭客UNC3886利用多項防火牆及虛擬化平臺的零時差漏洞隱匿行蹤，並部署後門程式持續存取網路環境</strong></a></p> </div></div></div>
2024/6/25 17:39作者周峻佑https://www.ithome.com.tw/news/163648
中國駭客組織RedJuliett近半年鎖定臺灣75個組織發動攻擊，目標主要是高科技產業，但外交經濟、社會運動團體也遭鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Recorded Future揭露為期近半年的網路間諜攻擊行動，代號為Flax Typhoon、Ethereal Panda中國駭客組織RedJuliett，<a href="https://www.recordedfuture.com/redjuliett-intensifies-taiwanese-cyber-espionage-via-network-perimeter">自去年11月自今年4月，針對臺灣教育機構、政府機關、科技產業、外交機構而來</a>，這些駭客利用防火牆、VPN、負載平衡設備等網路邊界裝置的已知漏洞，取得初始存取的管道，目的很有可能是為中國政府收集臺灣經濟、外交關係，以及關鍵技術研發的情報。</p> <p>由於上述攻擊發生的時間點，正好是今年臺灣總統大選前至新政府上臺的前夕，這起攻擊行動的揭露，引起國內外媒體高度關注。</p> <p>雖然這些駭客的主要目標是臺灣，但研究人員提到，對方近期也擴大攻擊範圍，開始針對香港、馬來西亞、竂國、韓國、美國、肯亞、盧安達、吉布地等國家的組織發動攻擊。</p> <p>針對受害規模的部分，這些駭客入侵全球24個組織，其中包含了臺灣、竂國、肯亞、盧安達的政府機構。而對於臺灣的部分，該組織試圖針對75個企業組織下手，當中有8所大學、11個政府機關，攻擊範圍相當廣泛，涵蓋高科技產業、外交經濟，以及社會運動，但他們認為，駭客最主要的目標還是高科技產業相關組織。</p> <p>單就被鎖定的高科技產業而言，駭客企圖滲透的對象很廣泛，包含半導體公司、與軍方有合作關系的航太業者、電子製造業、專注科技教育的大學、工業嵌入式系統製造商、科學研發機構，以及電腦工業協會等。</p> <p>而在外交經濟的領域，他們鎖定了南亞、東南亞的外交機構、專注經濟政策的政府部門、經濟政策智庫、貿易促進組織、跨國物流業者，以及航空公司。</p> <p>在社會運動方面，遭這群駭客鎖定的臺灣目標有哪些？Recorded Future認為，他們已對媒體、慈善機構、人權非政府組織（NGO）發動攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_02_8dada06f0b.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_02_8dada06f0b.jpg" style="width: 580px;" /></a></p> <blockquote><p>中國駭客組織RedJuliett過往的主要攻擊目標是臺灣的企業組織，但研究人員也發現，最近半年其他國家也有組織遭到鎖定的現象。值得留意的是，雖然他們在調查報告裡提到對方在去年11月至今年4月，企圖對75個臺灣企業組織下手，但這張圖表卻指出有85個被鎖定，為何會有這樣的差異，研究人員並未提出說明。</p> </blockquote> <p>而對於這些駭客的攻擊手段，他們試圖對網頁應用程式、SQL資料庫進行目錄穿越攻擊，或是SQL注入攻擊。在部分情況裡，駭客利用名為devilzShell、AntSword的開源Web Shell從事後期行動，並透過Linux作業系統的已知漏洞DirtyCOW（CVE-2016-5195）提升權限。</p> <p>此外，駭客們也在網際網路持續探測，想要找到可從此處存取的F5 BIG-IP設備，以及Fortinet的FortiGate防火牆，而且，駭客們也在擴展可攻擊的網路設備，例如，研究人員發現在2023年下旬，曾出現攻擊者與兆勤（Zyxel）防火牆進行通訊的跡象。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_01_1_03c33ce6d8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_01_1_03c33ce6d8.jpg" style="width: 580px;" /></a></p> <p>為了隱匿行蹤，該駭客組織使用VPN軟體SoftEther VPN存取攻擊基礎設施。而根據研究人員的調查，這些駭客的總部很可能位於中國的福建省福州市，由於地理位置臨近臺灣，研判他們可能替當地的軍情部門收集情報。</p> </div></div></div>
2024/6/25 15:42作者周峻佑https://www.ithome.com.tw/news/163641
電子商務平臺PrestaShop的臉書外掛程式存在漏洞，已有攻擊者用於竊取信用卡付款詳細資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電商平臺技術社群Friends Of Presta指出，<a href="https://security.friendsofpresta.org/modules/2024/06/18/pkfacebook.html">名為pkfacebook的付費外掛程式存在重大漏洞CVE-2024-36680</a>，使得瀏覽電商網站的訪客有機會發動SQL注入攻擊，CVSS風險評為9.8分，影響1.0.1以前的版本。值得留意的是，這項漏洞已被積極利用，攻擊者藉此在電商平臺植入側錄工具，以便大規模竊取信用卡資料。</p> <p>這項由Promokit.eu打造的電商平臺PrestaShop外掛程式，主要是供用戶直接使用臉書帳號與站方互動，留下評論，或是透過Messenger與客服進行溝通。然而，由於這項外掛程式是由該公司自行銷售，他們並未透露採用該外掛程式的網站數量，究竟有多少電商網站曝險，目前仍不得而知。</p> <p>而對於這項漏洞發生的原因，Friends Of Presta社群指出，起因是此外掛程式當中的Ajax指令碼facebookConnect.php含有敏感的SQL呼叫功能，攻擊者可執行簡單的HTTP呼叫，利用漏洞來偽造SQL注入攻擊。</p> <p>值得留意的是，攻擊者想要利用這項漏洞的難度不高，不需事先取得權限，且過程中無須使用者互動。攻擊者很有可能藉此得到管理員權限、清除與電商平臺PrestaShop有關的資料、覆寫SMTP組態來挾持電子郵件，甚至還能從敏感的資料表複製資料至前端，藉此曝露憑證並解開管理員的Ajax指令碼。</p> <p>這項漏洞由雲端資安業者TouchWeb在3月底通報，但當研究人員聯絡開發廠商Promokit.eu，對方僅表示這是很久以前的事情，並不清楚那些版本的pkfacebook曝險，也不願提供研究人員最新版本，以便確認是否完成修補。</p> <p>對此，Friends Of Presta呼籲網站管理者要儘速採取行動因應，這些措施包括：使用最新版本的pkfacebook，以及在網頁應用程式防火牆（WAF）啟動特定規則。</p> </div></div></div>
2024/6/25 17:00作者周峻佑https://www.ithome.com.tw/news/163644
惡意軟體載入工具SquidLoader鎖定中國企業組織而來，企圖透過偽裝成Word檔案的附件引誘員工上鉤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電信業者AT&T旗下的資安威脅實驗室指出LevelBlue指出，他們約從今年4月下旬，發現<a href="https://cybersecurity.att.com/blogs/labs-research/highly-evasive-squidloader-targets-chinese-organizations">具備高度迴避偵測能力的惡意程式載入工具SquidLoader</a>，攻擊者鎖定使用簡體中文的用戶，藉由此惡意軟體於受害電腦載入Cobalt Strike。</p> <p>研究人員進一步調查指出，這些駭客在過去2年就曾發起了零星攻擊，而且似乎專門針對國家而來。由於這樣的攻擊技術及手法有可能被複製，未來很有可能被其他惡意軟體開發者如法炮製。</p> <p>針對這起攻擊行動發生的過程，研究人員在釣魚郵件發現數個可被執行的附件檔案，其中一個具有簡體中文名稱的檔案，宣稱是華為工業級路由器的產品介紹及客戶成功案例。其他的惡意檔案名稱，也與中國的企業組織有關，例如：中國陝西行動網路服務公司、黃河水利職業技術學院（YRCTI）。</p> <p>對方這樣命名附件檔案的目的，研究人員認為，攻擊者的主要目標是員工，企圖藉由具有明確描述的檔案名稱引誘他們上當。值得留意的是，這些檔案雖然都帶有Word文件的圖示，但實際上都是可執行檔。</p> <p>一旦收信人開啟這些附件，電腦就會對遠端伺服器上含有flag.jpg的URI發出Get HTTPS的請求，然後下載惡意程式載入工具SquidLoader並執行Shell Code。</p> <p>值得留意的是，這些惡意程式載入工具具備高度迴避偵測的能力，也擁有誘餌的功能，使得這樣的作案工具不易被察覺。此外，被載入的Shell Code也會利用特定的處理程序執行，避免惡意酬載被寫入磁碟留下作案痕跡。</p> <p>為了讓惡意程式載入工具看起來像正常應用程式，對方利用已經過期的合法憑證進行簽章，此外，他們也在C2伺服器部署自行簽署的憑證。</p> <p>研究人員發現，為了防礙資安人員調查，這些駭客竟然在惡意附件大量混入微信、mingw-gcc等應用程式的程式碼，但實際上無法正常執行，而是在流程的特定階段就指向有效酬載。此外，部分程式碼執行後，甚至會出現檔案格式錯誤無法開啟的彈出式視窗訊息。</p> <p><a href="https://s4.itho.me/sites/default/files/images/wechat_code.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/wechat_code.gif" style="width: 580px;" /></a></p> <blockquote><p>研究人員公布駭客引用微信（WeChat）的程式碼片段，並指出這些被塞入惡意程式用來影響資安研究人員調查的程式碼，實際上並不會執行。</p> </blockquote> <p>他們也提及對這個惡意程式載入工具引起特別關注的原因，那就是對方運用許多迴避偵測的手法並進行混淆處理，而使得相關攻擊行動極少被識別出來。</p> <p>研究人員指出，攻擊者在部分函數功能使用了無意義及灰色地帶指令，例如：pause、mfence、lfence，很有可能是用來破壞防毒軟體模擬觸發的工作。</p> <p>其中，也有部分功能函數含有call或jmp指令，指向另一個功能函數，使得研究人員的反編譯工具產生解析錯誤的情況。</p> <p>而在透過演算法混淆程式碼的手法上，對方也加入了無意義的誘餌指令碼來欺騙研究人員，並透過堆疊的方式，使用多個位元組的XOR金鑰來加密特定字串。</p> <p>此外，這些駭客也針對Shell Code相關的功能函數，進行控制流程圖形（Control Flow Graph，CFG）的混淆處理，導致CFG被扁平化為帶有大量switch字串的無限迴圈。</p> <p>為了避免研究人員使用除錯工具進行調查，這些駭客也透過處理程序、檔案名稱過濾，並使用自行開發的API進行系統呼叫。</p> </div></div></div>
2024/6/25 17:17作者周峻佑https://www.ithome.com.tw/news/163645
中國駭客組織針對亞洲電信業者植入後門，嘗試竊取帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者賽門鐵克揭露中國駭客組織<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/telecoms-espionage-asia">鎖定特定亞洲國家電信業者的網路間諜活動</a>，這些駭客在受害公司的網路環境植入後門程式，並試圖竊取各式帳密資料。</p> <p>研究人員指出，對方的攻擊行動至少可追溯至2021年，不過，他們掌握2020年已有部分活動的證據。而對於攻擊目標的部分，雖然駭客主要是鎖定電信業者，但是也有提供電信業者服務的公司，以及另一個國家的大學受害。</p> <p>究竟對方的目的為何，研究人員表示並不清楚，但很有可能是為了收集特定國家的電信行業情報，甚至進行監聽，也不排除對當地關鍵基礎設施進行破壞；而對於攻擊者的身分，他們也推測有幾種可能，有可能是多組人馬進行合作，或是不約而同發動攻擊；也有可能是未被發現的駭客組織出手，並使用其他團隊提供的作案工具犯案。</p> <p>針對駭客使用的作案工具，研究人員提及3個後門程式Coolclient、Quickheal、Rainyday，其共通點是和中國駭客組織有所關連，但究竟這些駭客如何運用這些後門程式，研究人員並未進一步說明。</p> <p>其中，Coolclient與中國駭客組織Mustang Panda（也稱做Earth Preta）有關，駭客將影音播放程式VLC Media Player的主程式，偽裝成Google應用程式的更新工具（googleupdate.exe），然後使用側載的方式執行惡意程式載入工具，從而解密Coolclient，並注入winver.exe的處理程序執行。</p> <p>另一個名為Quickheal的後門程式，則與名為Neeedleminer（或叫做RedFoxtrot、Nomad Panda）的中國駭客組織有關。對方使用的版本，是名為RasTls.dll的32位元檔案，大致與資安業者Recorded Future在2021年公布後門程式的相同，主要差異是編譯組態不同，並使用VMProtect進行程式碼混淆處理。</p> <p>第3個後門程式Rainyday，過往曾有名為Firefly（Naikon）中國駭客組織使用。在這起攻擊行動當中，駭客多半濫用防毒軟體F-Secure的主要元件fsstm.exe，以側載的方式啟動惡意程式載入工具，而該工具企圖挾持可執行檔使用的記憶體位置，藉由該執行檔載入特定檔案，用來解開惡意酬載並以Shell Code的模式執行。</p> <p>特別的是，雖然駭客濫用F-Secure防毒軟體的元件，但部分版本的惡意酬載，卻是用卡巴斯基實驗室的無效憑證簽署。此外，研究人員也看到濫用其他應用程式執行檔來進行寄生攻擊（LOLBin）的情況。</p> </div></div></div>
2024/6/25 17:31作者周峻佑https://www.ithome.com.tw/news/163647
RIAA控告Suno與Udio的生成式AI音樂服務侵權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國唱片業協會（RIAA）周一（6/24）<a href="https://www.riaa.com/record-companies-bring-landmark-cases-for-responsible-ai-againstsuno-and-udio-in-boston-and-new-york-federal-courts-respectively/" target="_blank">宣布</a>，已分別在麻薩諸塞州及紐約州控告兩家未取得授權、擅自利用受版權保護的錄音，來訓練生成式AI模型的AI音樂服務業者Suno AI 和 Udio AI。</p> <p>Suno與Udio皆為提供文字生成音樂服務的AI新創，其中，Udio今年4月才發表測試版，可根據文字提示生成人聲或樂器，至於Suno則是在去年即推出文字生成音樂的Web應用程式，並與微軟合作，成為Microsoft Copilot的外掛程式。Suno甫於今年5月完成1.25億美元的增資，其估值已達50億美元。</p> <p>RIAA是由市場上主流的音樂集團組成，包括環球音樂（Universal Music Group）、華納音樂（Warner Music）及索尼音樂娛樂（Sony Music Entertainment）等，這幾年來不斷面臨數位化的市場挑戰，持續與未取得音樂授權的音樂下載業者或串流服務業者對簿公堂，現在則是生成式AI業者。事實上，在RIAA替這些音樂集團發聲之前，索尼音樂上個月便<a href="https://www.ithome.com.tw/news/162949" target="_blank">公開聲明</a>退出AI訓練，要求業者不得在未取得授權的情況下，以其內容訓練AI模型。</p> <p>有別於當初對音樂下載及串流服務的初期抵抗，RIAA主席Mitch Glazier表示，音樂界已經接受了人工智慧，並與負責任的開發商合作，建置以人類創造力為中心的AI工具，並讓藝術家與作曲家能夠掌控創作過程，但只有當開發者願意合作時才能成長。</p> <p>RIAA法務長Ken Doroshow則說，Suno AI和Udio AI都是直接侵犯版權，涉及大規模未經授權的聲音複製，它們還企圖隱瞞所侵權的全部範圍，而非將其服務建立在健全與合法的基礎上。</p> <p>這兩項訴訟除了聲明相關服務侵犯版權之外，也企圖尋求繼續侵權的禁令，以及對已發生的侵權行為求償。</p> </div></div></div>
2024/6/25 14:32作者陳曉莉https://www.ithome.com.tw/news/163638
AI趨勢周報第256期：哈士奇來了！Meta團隊聯手開源多任務AI代理Husky-v1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0619～0625)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Husky-v1 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 代理 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta開源一款AI代理「哈士奇」</strong></span></p> <p>最近，來自Meta、艾倫AI研究院和華盛頓大學的研究團隊開源一款語言模型代理哈士奇（HUSKY），可處理複雜的多步驟推理任務。進一步來說，AI代理（Agent）是指由AI模型驅動的智慧系統，可從環境中學習、適應並自動完成特定任務，比如Siri。而哈士奇這個代理在統一空間中執行運算，意味著單一個哈士奇就能處理多類型任務，像是數值、表格和知識推理，而非只專注特定任務，如程式碼撰寫代理。</p> <p>團隊發表的第一代哈士奇代理為Husky-v1，透過2個階段不斷迭代：首先是根據給定任務，來生成下一步的解決動作，再來是用專家模型執行這個動作，同時不斷更新解決方案。其中，第一代哈士奇的專家模型包含程式碼生成器、詢問生成器和數學推理器等3款，它們皆用合成資料訓練而成。團隊也用14個不同任務來評測Husky-v1，發現它的表現優於其他代理，如CoT、ReAct、Lumos等，甚至在混合工具推理任務中，勝過GPT-4-Turbo。<a href="https://agent-husky.github.io/">（詳全文）</a></p> <p><img alt="" src="https://agent-husky.github.io/static/img/husky_overview.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MLX </span></strong></span></p> <p><span style="font-size: 22px;"><strong>開發者可用MLX函式庫，聯合多臺蘋果裝置跑大模型了</strong></span></p> <p>最近，蘋果才結束今年度發表大會WWDC，主打Apple Intelligence、聚焦個人化AI功能和隱私保護，但還留了一手。也就是，開發者可用蘋果的開源機器學習函式庫MLX，來聯合蘋果裝置（如Mac筆電、iPhone手機和iPad等）算力、形成一個AI叢集，來執行大型AI模型。</p> <p>日前就有位開發者Mohamed Baioumy分享經驗，他使用了2臺MacBook、2支iPhone 15 Pro和1臺iPad，來執行80億參數的Llama 3 instruct 4 bit模型，可以非常快的速度回答文字問題。另有位開發者Mohamed Baioumy表示，就算不是蘋果裝置也可以，也就是說，只要所有裝置都使用同一個網路，開發者就可堆疊多個裝置來跑大模型。這代表，開發者可透過多個裝置來執行先進的AI模型了。<a href="https://twitter.com/ac_crypto/status/1801323681370804509?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1801323681370804509%7Ctwgr%5Ee446779269aef5df127a5e37d3a5143c7d5b9dd2%7Ctwcon%5Es1_c10&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fapple-now-lets-you-stack-multiple-devices-to-run-large-ai-models%2F">（詳全文）</a></p> <p><img alt="" src="https://twitter.com/i/status/1801322369434173860" /><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-06-25%20at%2011_38_15%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI指引 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融業 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>金管會發布金融業運用AI指引</strong></span></p> <p>最近，金管會終於發布「金融業運用AI指引」，與去年12月底提出的草案大方向一致，除提供AI系統和生成式AI定義，也說明4個AI系統生命周期階段，並提供業者在各階段中落實6大核心原則的處理機制。</p> <p>進一步來說，這份AI指引就像是一份AI操作建議書，分別引導業者在導入AI或使用生成式AI時，如何在4個階段中，包括系統規畫及設計、資料蒐集及輸入、模型建立及驗證、系統部署及監控等階段，落實6大核心原則，也就是建立治理及問責機制、重視公平性及以人為本的價值觀、保護隱私及客戶權益、確保系統穩健性與安全性、落實透明性與可解釋性，和促進永續發展。</p> <p>比起草案，這份正式版多出了實務作法，也提及更多第三方業者的監督管理方式，對自建、委外和外購等不同部署方式增訂相關內容，也修改風險評估因素的敘述方式、增加指引適用的彈性。綜合規畫處處長胡則華指出，目前採用生成式AI的金融機構有29家，銀行業占最多，使用場景大多為內部作業，第二是智能客服，第三則是行銷廣告。<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0&mcustomize=news_view.jsp&dataserno=202406200001&dtable=News">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語言模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式撰寫 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta揭露4款語言模型，涵蓋程式撰寫、音樂生成和音訊浮水印</strong></span></p> <p>日前，Meta AI研究院最近發表4款語言模型，包括Meta Chameleon，含70億參數（7B）和340億參數（34B）版本，支援多模態輸入值，但只以文字輸出。另一款模型是Meta Multi-Token Prediction，是一款預訓練語言模型，專門用來處理程式碼撰寫任務。這是因為該模型採用多Token預測方法，可即時預測好幾個字，而非只預測一個，也因此提高了作業效率和回應速度。</p> <p>第三款模型是Meta JASCO，是一款生成式文字轉音樂模型，預計晚些時候釋出預訓練模型。最後一個模型是Meta AudioSeal，是一款音訊浮水印模型，能在裝置端偵測AI生成的語音，並配上浮水印；該模型開放商用授權。除了模型，Meta也發表負責任AI研究成果，包括了研究本身、資料和程式碼，可用來衡量和改善AI系統中的地理表徵、文化偏好和多元性。<a href="https://ai.meta.com/blog/meta-fair-research-new-releases/?utm_source=linkedin&utm_medium=organic_social&utm_content=video&utm_campaign=fair">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Luma AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Dream Machine </span></strong></span></p> <p><span style="font-size:22px;"><strong>美AI新創開源高品質影片生成模型</strong></span></p> <p>舊金山一家AI新創Luma AI最近發表AI系統Dream Machine，可根據簡單的文字描述，來生成高品質影片，且號稱幾分鐘就能完成。有別於OpenAI的影片生成模型Sora和快手的Kling、只對特定群眾開放，Luma AI<a href="https://lumalabs.ai/dream-machine">開放各界免費在自家網站嘗試這款系統</a>。</p> <p>Luma AI表示，Dream Machine目前雖只能生成5秒長的影片，但在品質上相對寫實逼真，可應用的領域更廣。<a href="https://twitter.com/LumaLabsAI/status/1800921380034379951">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-06-25%20at%201_42_02%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> Claude 3.5 Sonnet </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> Anthropic </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Claude 3.5 Sonnet問世了，評測表現勝過GPT-4o</strong></span></p> <p>Anthropic日前發表了新款大型語言模型Claude 3.5 Sonnet，是Claude系列的中階模型，但表現和效率都超越Claude 3.0的高階模型Opus，在大多數的評測上也勝過OpenAI今年5月推出的GPT-4o。進一步來說，Claude 3.5 Sonnet的執行速度是Claude 3 Opus的兩倍，Anthropic自己也以自然語言指令，要求不同模型修補開源程式碼臭蟲或新增功能，發現Claude 3.5 Sonnet解決了64%的問題，超越Claude 3 Opus的38%。</p> <p>在提供指示與相關工具後，Claude 3.5 Sonnet得以獨立撰寫、編輯與執行程式碼，可執行複雜的推論及故障排除能力，輕鬆處理程式碼的轉換，能更有效率更新老舊應用程式並遷移程式碼庫。Claude 3.5 Sonnet不僅在所有基準評測上勝過Claude 3 Opus，它在GPQA、HumanEval、MGSM、DROP、BIG-Bench-Hard或是與視覺有關的MathVista、AI2D、Relaxed accuracy及ANLS score等評測上也超越了GPT-4o，只有在MMLU、MATH及MMMU上略遜GPT-4o。<a href="https://www.anthropic.com/news/claude-3-5-sonnet">（詳全文）</a></p> <p><img alt="" src="https://www.anthropic.com/_next/image?url=https%3A%2F%2Fwww-cdn.anthropic.com%2Fimages%2F4zrzovbb%2Fwebsite%2Fcf2c754458e9102b7334731fb18a965bfeb7ad08-2200x1894.png&w=3840&q=75" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> EVI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Hume AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 情緒辨識 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Hume AI推出懂53種情緒的iOS App：EVI</strong></span></p> <p>最近，Hume AI上架一款號稱讀懂人類情緒的<a href="https://apps.apple.com/us/app/hume-your-personal-ai/id6502917807?ign-itscg=30200&ign-itsct=apps_box_link">iOS應用程式EVI</a>，由Anthropic最新的語言模型Claude 3.5 Sonnet驅動。特別的是，EVI背後的同理心大語言模型可解讀語調、強調字眼和非口語的暗示，來優化互動體驗。EVI可理解53種人類情緒，如開心、生氣、困惑、欺騙等。至於EVI採用的聲音模型Kora，則能以API方式提供給開發者，目前也支援Anthropic、OpenAI和開源語言模型，預計之後很快就會納入Google模型。開發者可以建立他們的應用程式，並加入EVI的Discord來獲得更新資訊。</p> <p>EVI的情緒理解能力，是來自Hume AI對非話語的情緒性語音研究成果，這類語音是指透露情緒的語助詞，或單純是透露情緒的發聲詞。為訓練EVI的情緒理解模型，Hume AI收集了來自1萬6千多人共數千個語音片段檔案，橫跨美國、中國、印度、南非和委內瑞拉。Hume AI表示，未來，他們打算擴展EVI能力，增添全球通用的臉部表情辨識能力。<a href="https://twitter.com/hume_ai/status/1803854136389308495?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1803854136389308495%7Ctwgr%5Ea2eac1e0e6c3b81eb70a5e7334075fc47ef4dd04%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fhume-ai-launches-evi-an-emotionally-intelligent-voice-ai-as-ios-app-powered-by-claude-3-5-sonnet%2F">（詳全文）</a></p> <p><img alt="" src="https://is1-ssl.mzstatic.com/image/thumb/PurpleSource221/v4/bf/7a/11/bf7a11c9-2aac-7f8b-67a9-1bb2b48c4453/cb20bc31-b049-4d47-9282-f23d5ec454c1_iPhone_6.7_-_1290_x_2796_-_01.jpg/460x0w.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Databricks </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI治理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Unity Catalog </span></strong></span></p> <p><span style="font-size:22px;"><strong>Databricks揭露一款資料與AI治理工具，採開放API和通用介面</strong></span></p> <p>Databricks最近宣布，將於今年第3季發表一款統一、可跨雲和資料平臺的資料與AI治理解決方案Unity Catalog OSS預覽版。Databricks希望藉該工具，來建立AI治理可互通的開放標準。</p> <p>這款Unity Catalog OSS提供通用介面，可支援多種資料各式和運算引擎，還能統一治理表格類資料、非結構化資料、機器學習模型等AI資產。在AI治理部分，這款工具可自動監控模型、診斷錯誤並維護資料和模型品質。該工具也會主動發出警報、自動偵測個人識別資訊（PII）資料、追蹤模型是否漂移，並能解決資料和AI工作流程中的問題。透過開放API和Apache 2.0授權，使用者可免於被廠商綁死，不過，AWS、Google Cloud、微軟、Salesforce、Confluent、dbt Labs、Immuta等多家業者都表示支援Unity Catalog OSS，認為此舉為使用者帶來更大的彈性，還與開源生態系原則相符。<a href="https://code.visualstudio.com/updates/v1_59#_terminal">（詳全文）</a></p> <p><img alt="" src="https://www.databricks.com/en-website-assets/static/32739bd7ae2933506839e61ca82fd214/22724.png" /></p> <p>圖片來源／Meta、Mohamed Baioumy、Luma AI、Anthropic、Hume AI、Databricks</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://www.ithome.com.tw/news/163576">資安院首度發表AI打詐技術，詐騙廣告偵測率超過九成</a></strong></p> <p><strong>2. 前OpenAI首席科學家Ilya Sutskever成立新公司，瞄準AI安全性</strong></p> <p><strong>3. Pixel 8、Pixel 8a終於也有Gemini Nano了</strong></p> <p>資料來源：iThome整理，2024年6月</p> </div></div></div>
2024/6/25 14:37作者王若樸https://www.ithome.com.tw/news/163639
傳聞Amazon也在打造消費者版的聊天機器人Metis
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/amazon-chatgpt-rival-codenamed-metis-2024-6" target="_blank">Business Insider</a>引述消息來源報導，Amazon正在打造適用於一般消費者的聊天機器人，內部代號為Metis，以與OpenAI的ChatGPT競爭。</p> <p>根據報導，Metis所使用的底層模型為比<a href="https://www.ithome.com.tw/news/156411" target="_blank">Titan</a>還強大的Olympus，採用檢索增強生成（Retrieval-Augmented Generation，RAG）技術，而且可同時提供文字及圖像解答，使用者則可透過瀏覽器存取Metis。</p> <p>此外，Amazon期望Metis可扮演AI代理人的角色，藉由其理解、學習及分析大量資料的能力，自動替使用者執行複雜任務，例如金融分析等。</p> <p>據稱Amazon也在整合Metis及數位語音助理Alexa的能力。可以想見的是，當不管是蘋果Siri或是Amazon Alexa都具備強大模型支援時，人們與AI聊天機器人的關係將會更趨緊密。</p> <p>Amazon已於日前推出專供企業使用的聊天機器人<a href="https://www.ithome.com.tw/news/162610" target="_blank">Amazon Q</a>，它有Amazon Q Business及Amazon Q Developer兩種版本，前者可組織企業所使用的各種資料庫以提供精確解答，後者則額外具備開發者能力，每月訂閱費用分別是20美元及25美元。</p> </div></div></div>
2024/6/25 15:06作者陳曉莉https://www.ithome.com.tw/news/163640
微軟Windows安全更新將加入Visual Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從8月起，微軟要讓每月一次的Windows更新強化更多產品，而不再只修補Windows的安全和功能問題。</p> <p>Windows Update是微軟定期發布的軟體更新管道，旨在解決Windows的安全漏洞或功能瑕疵。<a href="https://aka.ms/vs/muupdates" target="_blank">微軟宣布</a>二個月後，由Windows Update發布的Patch Tuesday將加入Visual Studio的軟體更新。</p> <p><a href="https://www.windowslatest.com/2024/06/23/windows-update-will-include-more-microsoft-products-including-visual-studio/" target="_blank">Windows Latest</a>報導，事實上，Windows Update發布的軟體更新也包含微軟其他產品如Office，但名稱改為Microsoft Update。用戶必須自行加入（opt-in）手動設定。方法是到Windows Update，找到「進階選項」>「接收其他微軟產品更新」。開啟這滑桿後，就可以自動接收其他微軟軟體更新。8月起，Microsoft Update（MU）就會加入Visual Studio安全更新。</p> <p>微軟表示，MU設計目的是自動於背景執行，不打擾用戶作業。微軟鼓勵用戶加入這項功能，以確保軟體的安全以及更新。MU會部署給微軟長期服務通道（Long-Term Servicing Channel，LTSC）的支援Visual Studio版本，包括Visual Studio 2022、Visual Studio 2019、和Visual Studio 2017，但不包含Visual Studio預覽版。</p> <p>不過這設定能力只提供給用戶有MU手動控制權的電腦，像是開發人員家中的電腦。如果看到「接收其他微軟產品更新」一區是灰色的，表示公司IT部門關掉了這個選項。</p> <p>若是用戶開啟了MU，但又不想更新Visual Studio，則可以輸入微軟提供的機碼（如下）排除之。</p> <pre> [HKLM\Software\Policies\Microsoft\VisualStudio\Setup] “VSthroughMUUpdatesOptOut” (REG_DWORD) = 1</pre><p>微軟解釋，雖然理解許多用戶希望Windows Update能自動更新所有微軟產品，但是他們相信一部份Visual Studio用戶希望擁有應用層的更新控制權，因而提供了選擇退出（opt-out）的選項。</p> <p>微軟將在6月及7月透過MU發布Visual Studio 2024更新套件的預覽版，已手動加入MU的用戶現在就可以先試用。不過用戶試用還是得再手動輸入機碼（如下），但8月正式釋出後就會自動更新，不需再動作了。更新紀錄也會顯示於MU中。若用戶的版本已是最新版本，MU也不會再部署Visual Studio了。</p> <pre> [HKLM\Software\Policies\Microsoft\VisualStudio\Setup] “PreviewAutomaticUpdates” (REG_DWORD) = 1</pre> </div></div></div>
2024/6/25 11:58作者林妍溱https://www.ithome.com.tw/news/163636
歐盟初步認定蘋果的開發者規定違反DMA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_24_3433" target="_blank">周一（6/24）指出</a>，它們初步認定蘋果App Store的開發者規定違反了《數位市場法》（Digital Markets Act，DMA），同一天也宣布將針對蘋果的核心技術費（Core Technology Fee）展開新的調查。</p> <p>《數位市場法》現階段指定Alphabet、Amazon、蘋果、字節跳動（ByteDance）、Meta、微軟（Microsoft）與Booking為數位市場的守門人，要求它們旗下的24個核心平臺服務必須符合規範，以免妨礙市場競爭，除了在今年5月新增的Booking之外，所有服務都必須在今年3月7日起遵循DMA的規範。</p> <p>EC在今年3月即針對蘋果、Alphabet/Google和Meta<a href="https://www.ithome.com.tw/news/161946" target="_blank">展開調查</a>，本周初步認定蘋果違反DMA。根據DMA的規定，透過蘋果App Store銷售行動程式的開發者，應該能夠自由告知客戶有其它更便宜的購買選項，同時引導用戶取得這些選項並進行購買。</p> <p>然而，調查卻發現，App Store沒有任何商業條款允許開發者自由地引導消費者，例如不能在應用程式內提供價格資訊，也沒有其它能與用戶溝通以推廣其它優惠購買管道的途徑；App Store中多數可用的商業條款只允許開發者提供連結，卻又對連結施加多項限制；儘管蘋果向藉由App Store獲得新客戶的開發者收費是合理的，但EC認為蘋果所收取的費用超過合理範圍。</p> <p>EC已將初步調查結果交予蘋果，允許蘋果替自己辯護，而最終確認違規的部分則必須在明年的3月25日以前遵循，否則最高可能會被處以年營收10%的罰款，累犯的罰款規模更可達20%。</p> <p>至於EC針對蘋果所啟動的新調查則涉及核心技術費、於iPhone上下載第三方行動程式市集的程序，以及得以於iPhone上提供第三方程式市集的開發者資格認定等。</p> <p>EC指出，蘋果要求第三方應用程式商店與開發者必須替使用者所安裝的每個程式支付0.5歐元的核心技術費，它們將調查此一費用結構是否符合DMA的規範；而蘋果在使用者於iPhone上下載及安裝第三方程式市集時，建立了許多步驟，將調查這些步驟是否過於繁瑣；以及蘋果對可提供第三方程式市集的開發者資格認定，是否過於嚴苛或違反DMA的規範。</p> </div></div></div>
2024/6/25 12:11作者陳曉莉https://www.ithome.com.tw/news/163637
YouTube平臺出現馬斯克Deepfake影片企圖詐騙加密貨幣，吸引3萬人同時收看
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YouTube Live周一出現一則以Deepfake手法製作的馬斯克（Elon Musk）推銷加密貨幣的詐騙影片，一度吸引3萬人同時觀看。</p> <p>科技新聞網站<a href="https://www.engadget.com/deepfakes-of-elon-musk-are-pushing-crypto-giveaway-scams-on-youtube-live-200700886.html" target="_blank">Engadget報導</a>，這則詐騙影片看似馬斯克在特斯拉公司活動中發表演說，馬斯克指示用戶點選造訪某個網站網址，並將手上的比特幣、以太幣與狗狗幣儲存在該網站的電子錢包中。AI版「馬斯克」聲稱，只要用戶完成儲存，就可獲得存入金額2倍等值的加密貨幣作為回饋。</p> <p>報導指出，該影片是由貌似特斯拉的公司帳號發布，並有YouTube藝術家官方頻道（Official Artist Channel）的驗證徽章，媒體相信可能是特斯拉帳號被駭後用以發布Deepfake影片。</p> <p class="rtecenter"><a href="https://www.engadget.com/deepfakes-of-elon-musk-are-pushing-crypto-giveaway-scams-on-youtube-live-200700886.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0625-tesla%20deepfake%20photo%20by%20Engadget.png" style="width: 600px;" /></a></p> <p><a href="http://www.engadget.com/deepfakes-of-elon-musk-are-pushing-crypto-giveaway-scams-on-youtube-live-200700886.html" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Engadget</span></span></a></p> <p>隨著影片AI生成技術愈來愈成熟且易取得，現在的deepfake影片品質已可做到普通人真假難辨，也使詐騙、侵權或政治操弄的防範更加困難。</p> <p>有多少人因這則Deepfake影片而將加密貨幣存入假馬斯克推薦的網頁不得而知，但報導指出，這則影片在遭到檢舉被YouTube下架前，掛在YouTube Live頻道上長達約5個小時，最高有3萬人同時收看。</p> <p>馬斯克的高人氣使其肖像經常被用來製作詐騙訊息，尤其馬斯克也是加密貨幣的倡導者，狗狗幣（Dogecoin）即是在他支持下爆紅。2020年當時還叫推特（Twitter）的平臺遭駭，使比爾蓋茲、馬斯克、華倫巴菲特等多位名人的推特帳號也<a href="https://www.ithome.com.tw/news/138849" target="_blank">曾被用來宣傳</a>比特幣投資詐騙訊息。</p> <p>上周美國知名饒舌歌手50 Cent的X帳號也被駭客劫持，用以<a href="https://www.forbes.com/sites/paultassi/2024/06/17/banana-nears-850000-concurrent-players-approaches-counter-strike-why/" target="_blank">散布</a>兜售假數位貨幣的詐騙訊息。<a href="https://www.yahoo.com/entertainment/50-cent-claims-hackers-made-161335151.html" target="_blank">他本人說</a>，歹徒在30分鐘內賺得3億美元。</p> </div></div></div>
2024/6/25 09:20作者林妍溱https://www.ithome.com.tw/news/163635
傳蘋果計畫開發低價版的Vision Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，蘋果取消第二版混合實境頭戴裝置Vision Pro，而改開發較低價的版本以擴大消費族群，計畫最快2025年底推出。</p> <p>科技網站<a href="https://www.theinformation.com/articles/apple-suspends-work-on-next-high-end-headset-focused-on-releasing-cheaper-model-in-late-2025" target="_blank">The Information報導</a>，由於Vision Pro售價高達3,500美元，超出許多果粉的負擔範圍，蘋果計畫開發一款定價1500美元的平價版頭戴裝置，和Meta Quest競爭，以便有更多觀望不前的果粉得以入手。</p> <p>報導指出，平民版Vision Pro會比第一代更輕，同時蘋果正在苦思如何在不大幅降低使用體驗下，降低成本與售價。消息人士說，蘋果預計2025年底前推出低價版Vision Pro。</p> <p>Vision Pro雖然評價好過微軟HoloLens，但仍面臨相同的銷售挑戰。微軟本月<a href="https://www.ithome.com.tw/news/163306" target="_blank">裁員</a>逾1,000人，影響包括HoloLens在內的硬體部門，可能意謂廢止了HoloLens 3開發計畫。</p> <p>為了增加Vision Pro的銷售，蘋果將把上市地區再擴增到加、澳及歐洲數國。軟體功能也更強化；本月WWDC公布的下一代visionOS 2，則加入了機器學習技術為基礎的空間相片和聲音效果，可將2D照片轉換為具立體視覺效果的相片。visionOS 2並提升Mac虛擬顯示（Virtual Display）功能允許使用者透過Wi-Fi連線將Mac影像顯示在Vision Pro上，提供更高解析度和更大尺寸畫面。此外，旅行模式還增加了火車模式。</p> </div></div></div>
2024/6/25 08:55作者林妍溱https://www.ithome.com.tw/news/163634
【資安日報】6月24日，北美汽車經銷商軟體服務業者CDK Global遭攻擊而停擺，傳出是勒索軟體BlackSuit所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週北美汽車經銷商軟體服務業者CDK Global因網路攻擊而導致相關服務停擺的情況，多家汽車經銷商隨之業務受到影響，客戶被迫向其他經銷商購車而造成營業損失，如今出現新的進展。</p> <p>根據多家媒體報導，攻擊者的身分疑為勒索軟體駭客組織BlackSuit，而且，這些駭客還假冒CDK Global客服打給汽車經銷商，使得情況更加嚴重。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163608"><strong style="font-size: 22px;">癱瘓CDK Global系統的兇手傳出為勒索軟體BlackSuit，駭客索討數千萬美元贖金</strong></a></p> <p>提供軟體即服務（SaaS）給北美逾1,500家汽車經銷商的CDK Global上周遭到網路攻擊，對於這起事故的後續發展，根據Bleeping Computer的報導，造成CDK Global系統停擺的兇手為BlackSuit勒索軟體；彭博社引述消息來源指出，駭客向CDK Global提出數千萬美元的贖金要求，該公司打算支付款項，正與駭客議價。</p> <p>根據外電報導，CDK Global其實是在6月18日晚間得知遭到攻擊，當時僅關閉部分系統，卻在隔天再遭到第二波攻擊，只得關閉全部系統因應。</p> <p>雪上加霜的是，這些駭客還開始偽裝成CDK Global的客服，打電話給汽車經銷商客戶，企圖獲取這些客戶的憑證或更多的機密資訊，讓正在企圖恢復系統及與駭客協商的CDK Global更加焦頭爛額。</p> <p><a href="https://www.ithome.com.tw/news/163629"><strong style="font-size: 22px;">Rust竊資軟體Fickle利用PowerShell繞過使用者帳號控制防護機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fickle-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fickle-1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Fortinet上個月察覺名為Fickle的竊資軟體，駭客以Rust為基礎開發，不僅採用相當複雜的程式碼撰寫，並透過相當靈活的手段來挑選目標下手。</p> <p>研究人員將攻擊行動大致區分成3個階段：傳送作案工具至目標電腦、部署前的準備工作，以及植入經過加殼處理的惡意酬載。</p> <p>究竟駭客如何引誘受害者上鉤，而能夠傳送作案工具，研究人員並未多做說明，但他們提及，對方利用4種管道傳送Fickle，其中有兩種是VBA巨集程式，一種是惡意軟體投放工具（Dropper），另一種則是惡意程式下載工具（Downloader），其餘兩種管道，分別是偽裝成URL捷徑或執行檔的下載器。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.talosintelligence.com/sneakychef-sugarghost-rat/"><strong style="font-size: 20px;">中國駭客組織SneakyChef鎖定亞洲、歐洲、中東、非洲政府機關，散布惡意程式SugarGh0st</strong></a></p> <p></p> <p>◆<a href="https://www.ptsecurity.com/ww-en/analytics/pt-esc-threat-intelligence/excobalt-gored-the-hidden-tunnel-technique/"><strong style="font-size: 20px;">俄羅斯駭客組織ExCobalt利用後門程式GoRed攻擊當地政府機關、關鍵基礎設施</strong></a></p> <p></p> <p>◆<a href="https://www.rapid7.com/blog/post/2024/06/17/malvertising-campaign-leads-to-execution-of-oyster-backdoor/"><strong style="font-size: 20px;">後門程式Oyster透過惡意廣告散布，駭客聲稱提供Chrome、Teams等網路應用程式，誘騙使用者上當</strong></a></p> <p></p> <p>◆<a href="https://www.esentire.com/blog/adsexhaust-a-newly-discovered-adware-masquerading-oculus-installer"><strong style="font-size: 20px;">廣告軟體AdsExhaust偽裝成Meta虛擬實境裝置的應用程式散布</strong></a></p> <p></p> <p>◆<a href="https://decoded.avast.io/davidalvarez/new-diamorphine-rootkit-variant-seen-undetected-in-the-wild/"><strong style="font-size: 20px;">Rootkit程式Diamorphine變種鎖定Linux主機而來，可藉由特定套件執行任意作業系統命令</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163626"><strong style="font-size: 22px;">Phoenix UEFI韌體存在高風險漏洞，數百款採用Intel處理器的個人電腦、筆電、伺服器恐受影響</strong></a></p> <p>專精韌體安全的資安業者Eclypsium指出，他們在聯想第7代ThinkPad X1 Carbon、第4代ThinkPad X1 Yoga的UEFI韌體當中，發現名為UEFICanHazBufferOverflow的漏洞（CVE-2024-0762），起因是信賴平臺模組（TPM）組態存在不安全的環境變數，而有可能導致記憶體緩衝區溢位，攻擊者得以執行惡意程式碼，CVSS風險評為7.5分。研究人員指出，這項漏洞出現在處理TPM組態的UEFI程式碼裡，而有可能導致TPM安全晶片的防護效果形同失效。</p> <p>值得留意的是，上述的兩款筆電，都採用了Phoenix SecureCore UEFI韌體，他們向聯想、Phoenix通報此事，經過Phoenix確認後指出，同樣的漏洞也出現在其他使用該廠牌韌體的Intel個人電腦、筆電、伺服器，搭配Core i第7代至14代處理器的電腦都可能曝險，Phoenix在今年4月提供緩解措施，並在5月14日發布資安公告，呼籲用戶向設備製造商進行確認。至於上述兩款筆電的製造商聯想，也在5月針對旗下超過150款設備，提供BIOS更新。</p> <p>由於影響的個人電腦平臺眾多，研究人員指出，恐有數百款桌上型電腦、筆電、伺服器存在相關漏洞。</p> <p><a href="https://www.ithome.com.tw/news/163623"><strong style="font-size: 22px;">75%的Magento電商平臺恐存在重大資安漏洞CosmicSting，若不設法修補，攻擊者有可能取得完整控制權</strong></a></p> <p>資安業者Sansec針對Adobe本月發布的例行更新當中公布的重大漏洞CosmicSting（CVE-2024-34102）提出警告，這項資安弱點位於Adobe Commerce及Magento Open Source電商平臺，繼2年前Adobe修補CVE-2022-24086、CVE-2022-24087，Sansec認為，這是該平臺出現最為嚴重的漏洞。</p> <p>就漏洞本身帶來的危害而言，CosmicSting可被攻擊者用來讀取含有密碼等機密資料的檔案，但研究人員指出，若是再結合Linux作業系統的GNU C程式庫（glibc）的iconv功能漏洞CVE-2024-2961，攻擊者就能發動遠端程式碼執行（RCE）攻擊，從而取得電商平臺的完整控制權。值得留意的是，通報此事的研究人員Sergey Temnikov補充說明，在已修補iconv弱點的電商平臺環境下，攻擊者還是有機會藉此存取管理者API。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162972"><strong style="font-size: 22px;">加速落實金融資安行動方案2.0，金管會提供金融上手零信任架構的三步驟</strong></a></p> <p>「資安的改變從被動變主動，從單點控制變價值驅動。」金管會副主委邱淑貞5月16日在2024 CYBERSEC臺灣資安大會金融安全論壇開場時表示，資安過去僅針對個別事件進行處理和回復，隨著金融業大力運用數位化發展業務，資安現在和業務風控結合，成為驅動業務發展的關鍵，也是金融機構前進的重要動力。</p> <p>為了推動金融機構發展資安，金管會在2020年發布金融資安行動方案1.0，兩年後接著發布2.0版，延續1.0版四大策略，增加了14項精進措施，從鼓勵金融機構擁抱零信任架構，強化核心資料保全、舉辦資安長聯繫會議強化，推動重大資安事件的支援演訓等。如今，2.0版發布已過一年半，金管會資訊服務處處長林裕泰在論壇中強調，零信任架構和資安聯防是金管會力推的兩大面向。</p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163112"><strong style="font-size: 22px;">企業重視資安的文化，不能只靠資安事件來驅動</strong></a></p> <p>幾乎每年在政府機關、上市櫃公司或關鍵基礎設施等領域，都會發生重大資安事件，帶來財務損失、商譽損失、喪失客戶信任度、損害民眾隱私甚至危害國安等負面影響。第一金控副總經理兼資安長劉培文表示，相關的受駭單位都需要花費大量資源，去修復因為發生資安事件所帶來的後果，媒體廣泛報導而引發社會大眾的關注，也迫使企業必須正視資安的議題和風險。</p> <p>「企業的流程與資源決定了企業能做什麼，文化與價值觀則決定了企業不做什麼。」劉培文指出，只有從上到下、真正重視資安的企業，因為已有正確的文化與價值觀，才能夠看到輕微的事件與徵兆出現，或看到外部發生的資安事件後，便能夠在既有的流程與資源下，檢討事件背後的根因，甚至願意投資額外的資源、新的流程等，適度及早因應減降資安風險，形成良性循環以避免未來爆發重大事件。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163599"><strong>【6月21日】駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163574"><strong>【6月20日】中國駭客UNC3886利用多項防火牆及虛擬化平臺的零時差漏洞隱匿行蹤，並部署後門程式持續存取網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163551"><strong>【6月19日】初始入侵管道掮客IntelBroker聲稱握有晶片大廠AMD內部機密資料，該公司表示將著手調查</strong></a></p> </div></div></div>
2024/6/24 18:14作者周峻佑https://www.ithome.com.tw/news/163630
Rust竊資軟體Fickle利用PowerShell繞過使用者帳號控制防護機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet上個月察覺<a href="https://www.fortinet.com/blog/threat-research/fickle-stealer-distributed-via-multiple-attack-chain">名為Fickle的竊資軟體</a>，駭客以Rust為基礎開發，不僅採用相當複雜的程式碼撰寫，並透過相當靈活的手段來挑選目標下手。</p> <p>研究人員將攻擊行動大致區分成3個階段：傳送作案工具至目標電腦、部署前的準備工作，以及植入經過加殼處理的惡意酬載。</p> <p>究竟駭客如何引誘受害者上鉤，而能夠傳送作案工具，研究人員並未多做說明，但他們提及，對方利用4種管道傳送Fickle，其中有兩種是VBA巨集程式，一種是惡意軟體投放工具（Dropper），另一種則是惡意程式下載工具（Downloader），其餘兩種管道，分別是偽裝成URL捷徑或執行檔的下載器。</p> <p>攻擊者通常會運用上述管道，傳送PowerShell指令碼到受害電腦，檔名通常是u.ps1或bypass.ps1，這些指令碼定期向攻擊者經營的Telegram機器人，傳送受害電腦資訊。此外，對方也利用PowerShell指令碼繞過使用者帳號控制（UAC）的防護機制。</p> <p>針對透過VBA巨集發動的攻擊，研究人員指出攻擊鏈都是從Word檔案開始。在使用惡意軟體投放工具的攻擊行動裡，電腦會藉由巨集載入XML檔案，而這個檔案埋藏在巨集的UserForm物件標題，一旦觸發，此XML檔案就會下載竊資軟體並執行。</p> <p>而透過VBA惡意程式下載工具的做法，研究人員看到3種型態的下載器，其中一種會直接下載PowerShell指令碼，另一種則是濫用公用程式forfiles.exe，攻擊者這麼做的目的，是要突破目標電腦的cmd使用限制。</p> <p>最後一種則是在使用者啟用巨集的過程中，存取MSHTML檔案，透過特定的URL載入攻擊命令。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fickle-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/fickle-1.png" style="width: 580px;" /></a></p> <p>而在竊資軟體的啟動過程裡，惡意酬載會執行一連串的檢查，避免在沙箱或是虛擬機器運作，然後從加密貨幣錢包、Chrome、Firefox等瀏覽器，以及AnyDesk、Discord、FileZilla、Signal、Skype、Steam、Telegram等網路應用程式收集用戶資訊，再者，該竊資軟體也會從特定資料夾收集敏感資料，並使用JSON字串外流資料。</p> <p>特別的是，攻擊者也能透過遠端伺服器指定收集的資料標的，使得竊取資料的範圍變得更加彈性。</p> </div></div></div>
2024/6/24 17:41作者周峻佑https://www.ithome.com.tw/news/163629
Phoenix UEFI韌體存在高風險漏洞，數百款採用Intel處理器的個人電腦、筆電、伺服器恐受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專精韌體安全的資安業者Eclypsium指出，他們在聯想第7代ThinkPad X1 Carbon、第4代ThinkPad X1 Yoga的UEFI韌體當中，發現<a href="https://eclypsium.com/blog/ueficanhazbufferoverflow-widespread-impact-from-vulnerability-in-popular-pc-and-server-firmware/">名為UEFICanHazBufferOverflow的漏洞（CVE-2024-0762）</a>，起因是信賴平臺模組（TPM）組態存在不安全的環境變數，而有可能導致記憶體緩衝區溢位，攻擊者得以執行惡意程式碼，CVSS風險評為7.5分。研究人員指出，這項漏洞出現在處理TPM組態的UEFI程式碼裡，而有可能導致TPM安全晶片的防護效果形同失效。</p> <p>值得留意的是，上述的兩款筆電，都採用了Phoenix SecureCore UEFI韌體，他們向聯想、Phoenix通報此事，經過Phoenix確認後指出，同樣的漏洞也出現在其他使用該廠牌韌體的Intel個人電腦、筆電、伺服器，搭配Core i第7代至14代處理器的電腦都可能曝險，Phoenix在今年4月提供緩解措施，<a href="https://www.phoenix.com/security-notifications/cve-2024-0762/">並在5月14日發布資安公告</a>，呼籲用戶向設備製造商進行確認。至於上述兩款筆電的製造商聯想，也在5月<a href="https://support.lenovo.com/tw/zh/product_security/LEN-158632">針對旗下超過150款設備，提供BIOS更新</a>。</p> <p>由於影響的個人電腦平臺眾多，研究人員指出，恐有數百款桌上型電腦、筆電、伺服器存在相關漏洞。</p> <p>而對於這項漏洞帶來的危害，研究人員指出，攻擊者能在直接接觸到電腦的情況下，透過UEFI韌體得到執行程式碼的權限。事實上，利用這種弱點的後門程式攻擊越來越常見，因為這種手法往往能迴避作業系統及軟體層面相關的防護措施，難以察覺攻擊者的行蹤，所以，能被用於相關攻擊的漏洞，也必定會引起研究人員的注意。</p> <p>為何會有上述可乘之機？研究人員表示，該弱點存在名為系統管理模式（System Management Mode，SMM）的子系統，一旦觸發就會造成記憶體的緩衝區溢位，使得攻擊者有機會覆寫鄰近的記憶體。</p> <p>若是記憶體被寫入正確的資料，攻擊者就有可能提升權限，並能夠執行程式碼，最終在韌體部署Bootkit惡意軟體。</p> </div></div></div>
2024/6/24 16:21作者周峻佑https://www.ithome.com.tw/news/163626
提供支援SAS-4的伺服器連接介面，WD增設高密度硬碟櫃機型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wd_ultrastar_data102_3000xi_lie_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>年初發布的<a href="https://www.ithome.com.tw/tech/160679">iThome儲存月報第86期</a>當中，我們介紹儲存介面SAS的最新進展，當中提及2020年問世的<a href="https://www.ithome.com.tw/tags/sas-4">24G SAS（SAS-4）</a>，支援此規格的產品仍相當有限，但今年似乎有了重大轉折，因為市面上開始陸續出現越來越多支援SAS-4的解決方案。</p> <p>舉例來說，WD在4月舉行的美國廣播電視展（NAB Show），首度公開展出第三代硬碟櫃<a href="https://www.westerndigital.com/products/data-center-platforms/ultrastar-data102-3000?sku=Data102-3000">Ultrastar Data102 3000系列</a>，在伺服器連接介面的部分支援SAS-4。至於其餘規格，則與現行Ultrastar Data102所差無幾。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Data102 3000 progress.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data102%203000%20progress.jpg" style="width: 600px;" /></a></p> <p>在機箱方面，Ultrastar Data102 3000系列採用具有雙備援與熱抽換的電源供應器、I/O模組（IOM）、風扇（4臺），在每一臺機箱背部的底側，WD也此設置兩臺主機擴充模組（Host Expander Modules，HEM），連接位於機箱外部的伺服器（主機），每臺HEM內建6個Mini-SAS HD埠（Ultrastar Data102的這些連接埠設置在I/O模組），整臺機箱最多能以SAS-4介面連接12臺伺服器（2臺HEM總共提供12個SAS-4埠）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Data 102 overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20102%20overview.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Data 102 Rear.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20102%20Rear.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Data HEM-SAS Port.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20HEM-SAS%20Port.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar Data HEM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20HEM.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%203000%20overview.jpg" style="width: 600px;" /></p> <p>關於支援SAS-4與設置內建6個SAS埠的主機擴充模組，除了4月登場的Ultrastar Data102 3000系列，WD另一款<a href="https://www.westerndigital.com/en-il/products/data-center-platforms/ultrastar-data60-3000?sku=data60-3000-one-pt-five-six-pb">Ultrastar Data60 3000系列</a>也將提供這樣的配備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%203000%20features.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data60%203000%20progress.jpg" style="width: 600px;" /></p> <p>根據WD公布的產品相容性文件來看，Ultrastar Data102 3000系列針對24G SAS的部分，可搭配的主機匯流排介面卡（HBA），包括：Broadcom的9600-16e、9600W-16e，以及Microchip的Adaptec HBA 1200-16e、Adaptec SmartRAID Ultra 3254-16e。</p> <p>基本上，這兩款資料中心儲存平臺，均可在4U尺寸機箱置入102臺3.5吋WD資料中心硬碟，可搭配12 Gb SAS或6Gb SATA介面的WD硬碟。若在此安裝CMR類型的硬碟，皆可搭配單臺最大容量24 TB的款式（Ultrastar DC HC580），若安裝SMR類型的硬碟，都能搭配最大容量26 TB的款式（Ultrastar DC HC670）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20Zoning-1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/WD Ultrastar HEM_IOM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20HEM_IOM.jpg" style="width: 600px;" /></a></p> <p>而就單臺機箱而言，兩款JBOD的原始儲存容量最大可達2.65 PB，可透過菊鏈串接4臺機箱，總共提供10.6 PB的空間。</p> <p>關於機箱散熱與抗震機制的部分，它們均採用熱區分隔冷卻技術ArcticFlow，以及基板硬碟插槽懸浮技術IsoVibe，對於硬碟因機箱內部高溫與震動而導致送修的比例，能夠因此減少62％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20Chassis-1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WD%20Ultrastar%20Data%20Chassis-2.jpg" style="width: 600px;" /></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/B1MGsgsr9GE?si=a_QMBNMy1uaq-kv5" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><strong style="color: rgb(0, 128, 128);">產品資訊</strong></p> <p><strong>WD Ultrastar Data102 3000系列</strong><br /> ●原廠：WD<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：4U（深104.8公分）<br /> ●硬碟最大容量：單臺機箱102臺3.5吋硬碟，可用菊鏈串接4臺機箱<br /> ●儲存容量：單臺機箱最大2.65 PB，4臺機箱最大為10.6 PB<br /> ●儲存I/O介面：以24G SAS（SAS-4）連接12臺伺服器，每臺機箱配備主機擴充模組（HEM），每個HEM內建6個Mini-SAS HD埠<br /> ●電源供應器：2臺1600瓦<br /> ●保固：整個平臺提供5年有限保固</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/24 16:32作者李宗翰https://www.ithome.com.tw/review/163604
【資安週報】2024年6月17日到6月21日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在這一星期資安新聞中，在防禦動向上，臺灣有兩篇探討網路防詐作法的消息，一是富邦金公布他們成立偽冒案件應變小組，一是資安院首度發表AI打詐技術的應用。</p> <p>畢竟，社群平臺的網路廣告機制與帳號時常成被詐騙或駭客組織濫用，儘管社群平臺表示有自動化過濾方式攔阻，但仍有相當多詐騙廣告成功刊登，導致民眾只能憑藉自己的見識與經驗來判斷，只是以前就有詐騙，但現在詐騙更猖狂，臺灣企業與政府也不得不積極處理，要透過業者的通報機制進行事後下架。最近有兩則新聞，就是關於企業與政府的最新因應方式。</p> <p>●假冒企業的網路詐騙不斷，是多數企業都面臨的問題，除了提醒用戶小心冒名詐騙，企業還能如何積極因應？富邦金在2024資安大會上提出他們的因應方式，目標是讓集團可以更系統化的機制，去下架偽冒網站和詐騙群組。他們特別制定處理準則，畫分3大步驟，包括定義案件樣態、成立應變小組、建立處理機制。而這半年來，他們已發現近300件偽冒案件，並也點出目前企業面對的防詐困境。</p> <p>●最近資安院公布今年1月開始採用AI技術偵測詐騙廣告的成果與經驗，當中顯示AI偵測出詐騙的準確率可達93%，並發現有97％詐騙廣告只刊登兩天就結束，以及現在詐騙經常用「不是詐騙」或「追回詐騙」來再次誤導民眾。同時數位部認為，要能有效防詐須建立詐騙防治生態系，不論是在聯防、情資交換格式、應變流程、通報平臺上都要有，他們並表示已在規畫政府提供的「打詐通報查詢網」。</p> <p>在資安威脅態勢上，有2則新聞我們認為值得關注，一是網釣簡訊攻擊持續轉向全球不同國家的態勢，一是部分零時差漏洞利用攻擊已悄悄進行多年、最近才被發現的現況，並且都與中國駭客組織有關。</p> <p>（一）國際大規模網釣簡訊攻擊行動的揭露，同樣值得我們注意。這是資安業者Resecurity的警告，他們指出，去年中國駭客組織發動Smishing Triad攻擊行動，已經針對美國、歐洲、阿拉伯聯合大公國下手，最近發現攻擊轉向巴基斯坦，以假冒巴基斯坦郵政局的名義，藉由iMessage或是簡訊，向電信業者的用戶發送惡意訊息，目的是竊取民眾的個資與財務資料。</p> <p>（二）資安業者Mandiant揭露這一兩年有多個已知漏洞被利用，其實是中國駭客組織UNC3886早在2021年就利用的零時差漏洞，但先前並沒有被發現，這些漏洞包括，VMware vCenter的漏洞（CVE-2023-34048，CVE-2022-22948）、FortiOS的漏洞（CVE-2022-41328）、Mware Tools的漏洞（CVE-2023-20867）。這代表對方恐早已滲透並潛伏，因此，Mandiant提供了入侵指標（IOC）供企業識別惡意活動。</p> <p>其他重要威脅態勢包括：有研究人員揭露針對機器學習模型而來的攻擊手法Sleepy Pickle，以及有駭客組織鎖定簡體中文用戶並假借提供VPN等翻牆工具，目的是在使用者電腦植入後門程式Winos 4.0。</p> <p style="margin: 0px;">在資安事件焦點方面，國內外均發生多起網路攻擊事件，涵蓋網釣攻擊、勒索軟體、資料外洩等，我們整理如下：</p> <p>●駭客鎖定曾介紹群暉產品的臉書粉絲專頁，並假冒群暉公司名義針對這些粉專管理者，發出侵害智財權的釣魚信，誘使粉專管理者開啟附件內的惡意軟體。<br /> ●國內老牌製藥公司永信藥品工業遭駭客攻擊，雖然該公司仍只是公開發行公司，但也發布重訊揭露這起資安事件。<br /> ●日本影音共享平臺Niconico、角川書店資料中心遭勒索軟體攻擊，導致服務中斷近一週。<br /> ●晶片大廠AMD傳出機密資料疑似外洩，有駭客在論壇兜售該公司的產品研發資料、客戶資料及員工資訊，並提供部分檔案的螢幕擷圖作為佐證。<br /> ●提供汽車經銷管理SaaS服務的CDK Global傳遭勒索軟體攻擊，該公司先暫時關閉全部系統，已引起經銷商抱怨買車客戶轉向其他汽車經銷商。</p> <p>在漏洞消息方面，近期沒有新的漏洞利用被揭露，主要是針對已知被利用的情況示警，像是有資安業者公布一起資安事故調查案例，發現攻擊者是運用企業棄用的負載平衡設備入侵，由於該設備未補漏洞且暴露在外網，突顯企業設備與漏洞管理上的疏失。</p> <p>至於最新漏洞修補動向上，要注意的包括：華碩公布路由器重大身分驗證繞過漏洞，7款機型受到影響，以及VMware修補vCenter Server的遠端執行漏洞。</p> <p>還有研究人員特別警告，上星期微軟修補Windows內建Wi-Fi驅動程式的高風險漏洞（CVE-2024-30078），特別危險，可能與無線封包處理不當有關，只要攻擊者連上目標設備所在的Wi-Fi網路，就可針對同網路下的設備發動攻擊，且所有Windows版本都受影響。</p> <p> </p> <p><a href="https://www.ithome.com.tw/news/163501"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月17日】日本影音共享平臺Niconico、角川書店傳出服務中斷近一週，起因是資料中心遭勒索軟體攻擊</span></strong></a></p> <p>本月上旬日本知名的影片共享平臺Niconico證實出現服務異常的情況，引起外界關注，然而隨著這起事故的發展，母公司角川集團表示，不光是Niconico，旗下也有其他網站停止運作。</p> <p>但值得留意的是，事隔一週，他們終於承認這是一起勒索軟體攻擊，不過，究竟是那個勒索軟體駭客組織所為，該集團表示，由於這起事故尚在調查，不便公布相關細節。</p> <h3><a href="https://www.ithome.com.tw/news/163529"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月18日】未補漏洞且暴露在外網的舊款F5 BIG-IP設備成駭客入侵企業內部環境的破口，中國駭客潛入竊密長達3年</span></strong></a></h3> <p>企業部署但最終並未正式採用、而遺留在網路環境的IT系統，很有可能會遭到攻擊者濫用。</p> <p>最近資安業者Sygnia揭露的一起事故，就是這樣的例子，駭客維持於受害企業活動的管道，就是該公司曾打算建置的災難復原系統當中，所使用的F5 BIG-IP設備。而這些設備不僅直接曝露在網際網路上，還執行存在弱點的作業系統，而讓對方有利用的機會。</p> <p><a href="https://www.ithome.com.tw/news/163551"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月19日】初始入侵管道掮客IntelBroker聲稱握有晶片大廠AMD內部機密資料，該公司表示將著手調查</span></strong></a></p> <p>晶片大廠遭駭的情況，最近幾年已有數起，例如：2020年Intel傳出遭駭，20 GB的晶片、韌體、開發工具及程式碼等機密資訊外流；2022年Nvidia遭到駭客組織Lapsus$入侵，偷走1 TB內部資料。如今，有駭客組織聲稱取得AMD內部檔案引起關注。</p> <p>值得留意的是，聲稱握有這批資料的駭客組織，是惡名昭彰的初始入侵管道掮客IntelBroker，在一個月前，這些駭客宣稱手上握有多個組織與公司的的內部資料，例如，歐洲刑警組織（Europol）、五角大厦、英國家具裝修零售業者Home Depot。</p> <p><a href="https://www.ithome.com.tw/news/163574"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月20日】中國駭客UNC3886利用多項防火牆及虛擬化平臺的零時差漏洞隱匿行蹤，並部署後門程式持續存取網路環境</span></strong></a></p> <p>利用尚未公布的零時差漏洞發動攻擊的情況，近期有數則消息揭露，例如：中國駭客利用CVE-2022-42475入侵FortiGate防火牆，並部署難以清除的惡意程式；勒索軟體駭客組織Cardinal於微軟修補CVE-2024-26169的3個月前，就將其用於攻擊行動，但如今中國駭客組織UNC3886，他們一口氣運用4個防火牆、虛擬化平臺的漏洞，以便長時間於受害組織活動。</p> <p><a href="https://www.ithome.com.tw/news/163599"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月21日】駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意程式</span></strong></a></p> <p>利用惡意廣告宣稱提供實用的應用程式，藉此來散布惡意軟體的情況，不時有事故傳出，但最近一起惡意軟體攻擊行動相當特別，因為這些駭客也同時利用Telegram頻道來進行。</p> <p>比較特別的是，由於透過即時通訊軟體的頻道來從事攻擊行動，這些駭客不只散布常見的應用程式，還散布能用於犯罪的Deepfake脫衣軟體，以及變臉、變聲工具。</p> </div></div></div>
2024/6/24 09:47作者羅正漢https://www.ithome.com.tw/news/163603
75%的Magento電商平臺恐存在重大資安漏洞CosmicSting，若不設法修補，攻擊者有可能取得完整控制權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Sansec針對<a href="https://www.ithome.com.tw/news/163422">Adobe本月發布的例行更新</a>當中公布的重大漏洞CosmicSting（CVE-2024-34102）<a href="https://sansec.io/research/cosmicsting">提出警告</a>，這項資安弱點位於Adobe Commerce及Magento Open Source電商平臺，繼2年前Adobe修補CVE-2022-24086、CVE-2022-24087，Sansec認為，這是該平臺出現最為嚴重的漏洞。</p> <p>就漏洞本身帶來的危害而言，CosmicSting可被攻擊者用來讀取含有密碼等機密資料的檔案，但研究人員指出，若是再結合Linux作業系統的GNU C程式庫（glibc）的iconv功能漏洞CVE-2024-2961，攻擊者就能發動遠端程式碼執行（RCE）攻擊，從而取得電商平臺的完整控制權。</p> <p>值得留意的是，由於利用這樣漏洞的過程無需使用者互動，攻擊者可將相關流程自動化，很有可能演變為全球大規模攻擊。</p> <p>然而，在Adobe發布更新程式以來，僅有約25%電商網站套用，換言之，採用這種電商平臺的環境恐有75%的比例，曝露於CosmicSting帶來的資安風險。針對上述更新緩慢的原因，研究人員認為網站管理員不願及時安裝更新，主要在於Adobe自推出2.4.7版之後，因應支付卡產業資料安全標準（PCI DSS）的要求，導入了內容安全政策（Content Security Policy，CSP）及子資源完整性（Subresource Integrity，SRI）強制落實的要求，並移植到舊版分支，而使得新版軟體有可能導致結帳流程採用的外部JavaScript指令碼無法正常運作。</p> <p>資安業者Sansec強調，攻擊者可將CosmicSting與CVE-2024-2961搭配，造成強大的破壞力，但通報此事的<a href="https://github.com/spacewasp/public_docs/blob/main/CVE-2024-34102.md">研究人員Sergey Temnikov補充說明</a>，在已修補iconv弱點的電商平臺環境下，攻擊者還是有機會藉此存取管理者API。</p> </div></div></div>
2024/6/24 12:42作者周峻佑https://www.ithome.com.tw/news/163623
癱瘓CDK Global系統的兇手為BlackSuit勒索軟體，提出高達數千萬美元的贖金要求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供軟體即服務（SaaS）予北美逾1,500家汽車經銷商的CDK Global上周<a href="https://www.ithome.com.tw/news/163563" target="_blank">遭到網路攻擊</a>，根據<a href="https://www.bleepingcomputer.com/news/security/cdk-global-outage-caused-by-blacksuit-ransomware-attack/" target="_blank">Bleeping Computer</a>的報導，造成CDK Global系統停擺的兇手為BlackSuit勒索軟體，而<a href="https://www.bloomberg.com/news/articles/2024-06-21/cdk-hackers-want-millions-in-ransom-to-end-car-dealership-outage" target="_blank">彭博社</a>（Bloomberg）則引述消息來源指出，駭客向CDK Global提出數千萬美元的贖金要求，CDK Global打算要支付款項，正與駭客議價中。</p> <p>CDK Global的核心產品為汽車經銷商的管理系統，主宰著經銷商每天的例行性業務，從銷售、服務、零件、庫存、合約到貸款都存放在CDK Global所提供的SaaS服務中。</p> <p>根據外電報導，CDK Global其實是在上周二（6/18）晚上便得知遭到攻擊，當時僅關閉部分系統以便因應，卻在隔天再遭到第二波攻擊，只得關閉全部系統。</p> <p>Bleeping Computer與彭博社都是透過消息來源得知CDK Global的現況，包括始作俑者為BlackSuit勒索軟體集團、要求數千萬美元的贖金，以及CDK Global傾向於支付贖金等。</p> <p>根據<a href="https://www.sentinelone.com/anthology/blacksuit/" target="_blank">SentinelOne</a>的分析，BlackSuit很可能是源自不管是技術或有效酬載都很類似的Royal勒索軟體，它現身於2023年4月，並未延攬攻擊的合作夥伴或提供勒索軟體即服務（RaaS），而是獨立運作，主要攻擊企業組織，鎖定Windows及Linux平臺，鎖定的目標涵蓋醫療保健、教育、IT、政府、零售及製造等領域。</p> <p>BlackSuit採取雙管齊下的攻擊手法，在加密並竊取被害組織的資料之餘，還設立一個用來公布被駭組織機密資料的網站，以用來勒索被害者。</p> <p>此外，駭客還開始打電話予CDK Global的汽車經銷商客戶，偽裝成CDK Global的客服，企圖獲取這些客戶的憑證或更多的機密資訊，讓正在企圖恢復系統及與駭客協商的CDK Global更加焦頭爛額，警告客戶不要相信陌生的客服人員。</p> <p>身為CDK Global客戶的汽車集團<a href="https://www.sec.gov/Archives/edgar/data/1019849/000101984924000089/pag-20240619.htm" target="_blank">Penske Automotive Group</a>及<a href="https://ir.sonicautomotive.com/sec-filings/all-sec-filings##document-3509-0001043509-24-000059" target="_blank">Sonic Automotive</a>都已向美國證券交易委員會（SEC）證實受到波及，只是影響範圍不一。</p> </div></div></div>
2024/6/24 11:19作者陳曉莉https://www.ithome.com.tw/news/163608
OpenAI買下即時分析資料庫業者Rockset
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://rockset.com/blog/openai-acquires-rockset/" target="_blank">OpenAI上周宣布</a>，已買下即時分析資料庫業者Rockset，並將把Rockset技術直接整合到OpenAI的產品中，雙方並未揭露交易金額。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0624-rockset-openai-image%20by%20rockset-500.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Rockset</span></span></p> <p>Rockset是由兩位前臉書工程師Venkat Venkataramani、Tudor Bosman，再加上資料架構師Dhruba Borthakur於2016年所創立，定位為即時索引資料庫，允許開發者直接於半結構化的資料上利用SQL查詢來建置API，以快速從資料中檢索資訊，提供給應用程式使用，讓企業得以打造雲端規模的資料應用程式。Rockset迄今對外募集的資金已超過1億美元。</p> <p>OpenAI指出，Rockset令使用者、開發人員及企業在使用AI產品或建置應用程式時，能夠利用自己的資料並存取即時資訊，在Rockset團隊加入OpenAI之後，OpenAI將利用Rockset的技術來支援各種產品的檢索基礎設施，將資料轉換成可操作的情報。</p> <p>Rockset共同創辦人暨執行長<a href="https://rockset.com/blog/openai-acquires-rockset/" target="_blank">Venkataramani表示</a>，該公司的願景就是從根本上改變建置資料驅動應用程式的方法，他們充分利用雲端的優勢開發了搜尋與分析資料庫，而消弭了這些應用程式所需之資料基礎設施的複雜性。</p> <p>未來Rockset將成為OpenAI的一部分，主要協助OpenAI解決困難的資料庫問題。</p> <p>值得注意的是，之後Rockset將不再對外提供服務，即日起不再接受試用或長約客戶，未訂定長期合約的每月用戶必須在9月30日以前遷出，Rockset亦將協助長約客戶遷出該平臺，只是時間較為彈性。</p> </div></div></div>
2024/6/24 12:00作者陳曉莉https://www.ithome.com.tw/news/163610
Martech雙周報第56期：Google強化CTV廣告業務，開始將2億臺Google TV作為一個廣告通路經營
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0609~0622)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV廣告 #電視作業系統</span></span></strong><br /> <strong>Google終於正式進軍CTV行銷，開始將2億臺Google TV作為一個廣告通路經營</strong></p> <p>聯網電視（CTV）廣告通常收費較一般網路影片平臺高，因為CTV內容通常製作規格較高，觀眾注意力也較集中。一直以來，Google都於Youtube及其他合作影片聯播網來投放廣告，並且聲稱旗下影音串流平臺Youtube是一種CTV──因為許多家庭會在電視上看Youtube。</p> <p>不過，隨著越來越多電視作業系統商開始經營CTV廣告，他們也開始將搭載自家電視OS Chromes OS的電視作為一種正式廣告通路分類，來販售CTV廣告。近日，<a href="https://blog.google/products/ads-commerce/meet-the-google-tv-network/">他們開始營運Google TV聯播網廣告</a>，於Google TV內建頻道及其他合作影音串流App中投放影音廣告。目前廣告格式有15秒不可跳過的廣告及6秒影片開場前廣告。</p> <p>Google表示，Google TV廣告可以觸及的受眾包括20億個月活躍Google TV及其他Android TV裝置。這類型廣告目前可以在Google Ads和Google Display & Video 360兩個平臺投放，目前只支援美國市場。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#廣告聯播網 #機上廣告 #旅行數據</span></span></strong><br /> <strong>美國聯合航空以旅遊數據為基礎推出廣告聯播網服務</strong></p> <p>百業皆推出聯播網的時代下，航空業也加入戰局。根據美聯航數據，他們App每個月有近1億次工作階段（Session），且乘客平均飛行時間為3.5小時。<a href="https://www.prnewswire.com/news-releases/united-launches-airline-industrys-first-media-network-302167035.html">為了嘗試變現這些注意力，他們推出廣告聯播網服務</a>，利用顧客旅遊數據來支援數位行銷，在自家App及飛機上娛樂螢幕投放個人化廣告。</p> <p>與零售媒體聯播網數據做法類似，美聯航會將自家顧客數據轉化為去識別化的分眾，讓廣告主選擇投放對象。美聯航也提供了管道，供顧客申請停止接收個人化廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#顧客授權管理 #資料刪除請求</span></span></strong><br /> <strong>IAB推出網路使用者資料刪除請求框架，制定個資紀錄刪除請求的接收、驗證及回應建議做法</strong></p> <p><a href="https://iabtechlab.com/iab-tech-lab-launches-second-public-comment-period-for-data-deletion-request-framework/">美國互動廣告協會（IAB）推出資料刪除請求框架</a>（Data Deletion Request Framework），制定網路使用者請求刪除個資時，資料持有者從接收、驗證到回應結果的方法。此框架採取JSON Web Token作為通訊標準，來確定請求者身分真實性、確保請求內容未經竄改、產生請求處理結果。</p> <p>目前，業界沒有統一處理個資刪除請求的做法。由IAB制定一個符合GDPR及美國多州隱私法規的個資資料刪除請求框架，有望降低歐美及許多跨國企業在個資使用方面的法遵門檻。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #社群媒體行銷</span></span></strong><br /> <strong>Anymind Group推出GenAI網紅搜尋功能，可用自然語言條件或品牌圖片來尋找相近風格創作者來洽談行銷合作</strong></p> <p>行銷及零售科技廠商Anymind Group推出生成式AI網紅搜尋功能，在原本以機器學習技術來搜尋相似網紅推薦功能的基礎上，加入生成式AI技術。廣告主尋找潛在合作網紅時，可以利用自然語言及圖片輸入兩種方法來輸入需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/anytag.jpg" style="width: 600px;" /></p> <p>接收自然語言輸入時，此功能可以接受網紅特徵描述，同時考慮廣告主自身情況來推薦合作對象。例如，廣告主可以輸入「請推薦我公司還沒合作過的臺灣美妝類網紅」。AI也會根據情況進一步追問更多條件。第二則是圖片輸入，廣告主可以上傳商品或品牌圖片，來搜尋照片有類似風格、色調、拍照角度和主題的網紅。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#Martech應用案例 #AI行銷應用案例</span></span></strong><br /> <strong>Verizon如何利用業務流程管理科技及內容管理科技來強化數位行銷</strong></p> <p>近期一場活動中，美國大型電信商Verizon的Martech策略副主任Tommi Marsans揭露了他們如何利用Pega業務流程管理解決方案及Adobe的內容管理產品線，用類似於B2C零售業的模式進行B2B行銷。</p> <p>首先，在B2B行銷領域中，Verizon一大挑戰是決策考量點過於複雜。Tommi Marsans說明，Verizon企業客戶非常多樣化，從中小型企業到巨型跨國企業都有。Verizon自己還有近3,000種服務方案及上百種裝置和周邊商品。「雖然有無數種方案和商品組合，但業務腦中通常只會有6至7種方案組合，導致不同類型的企業客戶都拿到類似提案。」Tommi Marsans坦言。</p> <p>於是，Verizon導入了Pega的客戶關係管理及業務流程管理解決方案，來綜合分析客戶特性及自家商品特性，並由系統推薦出適合客戶的方案組合。他們後來還延伸此技術應用場景，用於客戶教育與溝通等環節。</p> <p>不只如此，他們還並用Pega與Adobe的內容管理產品線，由前者提供決策，再由後者來呈現網站的行銷內容。例如，根據進站企業客戶類型來調整呈現的圖片、文案，以及根據企業客戶方案和裝置，來調整推薦商品內容。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#隱私權法規 #第三方Cookie退場 #隱私意識 #圍牆花園</span></span></strong><br /> <strong>不敵數據隱私環境變動，甲骨文撤出Adtech市場</strong></p> <p><a href="https://www.fool.com/earnings/call-transcripts/2024/06/11/oracle-orcl-q4-2024-earnings-call-transcript/">近期法說會中</a>，甲骨文執行長Safra Catz宣布，將終止營運廣告科技相關業務。</p> <p>甲骨文廣告科技事業去年營收衰退3億美元，且歷年來不斷因隱私環境變化而受到衝擊。舉例來說，GDPR上線使他們先後在歐盟及全球終止支援AddThis跨網站行銷功能、第三方Cookie退場使BlueKai等DMP類產品變得無用、Google和Meta等圍牆花園逐漸限制自家數據給第三方廠商使用的彈性，以及消費者隱私意識提升使他們更常拒絕企業蒐集自身個資等。這也反映出近年數據及隱私相關法規和做法的變動，對廣告科技業界帶來的衝擊。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨通路廣告追蹤 #廣告ID框架</span></span></strong><br /> <strong>IAB推出廣告創意ID框架來支援跨通路行銷素材辨認，強化廣告主管理整體行銷活動能力</strong> </p> <p>美國互動廣告協會（IAB）<a href="https://iabtechlab.com/announcing-the-ad-creative-id-framework-to-improve-connected-tv-advertising-experience/">公告廣告創意ID框架（ACIF，Ad Creative ID Framework）</a>，主旨是利用科技來辨認出投放於不同通路的廣告素材，以強化廣告曝光頻率控制、品牌安全風險管理、跨平臺行銷成效追蹤與規畫等。</p> <p>為了支援ACIF，IAB提出了一套格式來統一不同廣告ID資料來源的元數據，並提供API讓廠商存取、利用相關數據。IAB也會維護一個ACIF支援度目錄，給業界查詢哪些廠商的Martech和廣告版位支援ACIF。</p> <p>兩個業界大型廠商，廣告商Extreme Reach跟跨平臺廣告追蹤技術商AD-ID，已經開始合作，<a href="https://www.businesswire.com/news/home/20240611224716/en/XR-and-AD-ID-Enable-Ad-Creative-ID-Framework-to-Achieve-Cross-Platform-Advertising-Nirvana-for-the-Entire-TV-ecosystem">由後者遵循ACIF框架來追蹤前者在不同通路中投放的廣告。</a></p> <p><strong>更多Martech動態：</strong></p> <p>1.<a href="https://www.reddit.com/r/Instagram/comments/1d5r0lq/new_garbage_feature_is_being_tested"> Instagram開始測試新廣告型態「廣告休息時間」，強制用戶觀看廣告</a></p> <p>2. <a href="https://www.twilio.com/en-us/press/releases/linked-audiences">傳統CDP從可組式CDP取經，Twilio CDP新增與數據倉儲數據直接連結且查找訊息不須寫SQL的功能</a></p> <p>3.<a href="https://www.ana.net/content/show/id/pr-2024-06-cmm"> 美國國家廣告商聯合會（ANA）設立專職營利單位來負責打造及經營跨通路廣告成效測量科技</a></p> <p>資料來源：iThome整理，2024年6月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Anymind Group, Google</p> <p></p> </div></div></div>
2024/6/24 10:21作者郭又華https://www.ithome.com.tw/news/163601
傳蘋果與Meta、Google等AI公司也正洽談合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/tech/ai/apple-meta-have-discussed-an-ai-partnership-cc57437e" target="_blank">華爾街日報（WSJ）報導</a>，除了OpenAI之外，蘋果也正在和其他AI業者洽談合作將AI服務整合進自有裝置，包括有競爭關係的Meta和Google。</p> <p><a href="https://www.ithome.com.tw/news/163387" target="_blank">蘋果在6月的WWDC上宣布</a>iOS /iPadOS 18及macOS Sequoia中將加入Apple Intelligence AI功能，其中一些功能如Siri與撰寫工具並可整合OpenAI ChatGPT能力。但WSJ報導引述消息人士表示，蘋果合作的AI技術供應商將持續增加，涵括新創公司到大型廠商，包括Perplexity及已經談一陣子的Anthropic，連宿敵Meta、Google，蘋果也都在洽談將其AI模型及能力整合到Apple Intelligence中。</p> <p>此外，蘋果也正在尋求區域性合作廠商，以便在ChatGPT不允許的地區如中國提供Apple Intelligence。</p> <p>不過這些合作的合約細節不明，消息人士並說合作不保證有結果，也可能不會成功。這些業者都未對此發表評論。</p> <p>不過有一件事是肯定的，即蘋果AI服務今年內不會在歐盟推出。上周<a href="https://www.theverge.com/2024/6/21/24183251/apple-eu-delay-ai-screen-mirroring-shareplay-dma" target="_blank">蘋果對媒體證實</a>，歐盟《數位市場法》（Digital Markets Act）要求具有守門人角色的平臺開放第三方服務和其功能互通，這可能影響產品安全及隱私性，因此蘋果認為其AI功能如Apple Intelligence的生成式AI工具、iPhone映射（iPhone mirroring）及SharePlay螢幕共享功能，今年內應該不會在歐盟地區提供。但蘋果強調會和當局合作找到解決方案。</p> <p>歐盟今年3月對Google、蘋果和Meta啟動調查，了解三家大廠是否確實遵守規定。另外，出於隱私疑慮，<a href="https://www.ithome.com.tw/news/163485" target="_blank">Meta上周也宣布</a>延後Meta AI在歐盟上線，因為主管機關不允許Meta AI蒐集用戶資料以訓練具本地化特色的AI模型。</p> </div></div></div>
2024/6/24 10:22作者林妍溱https://www.ithome.com.tw/news/163605
近半Dell員工寧願不升官，也不想回公司上班
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>疫情後，科技公司無不想員工回到辦公室上班，但員工心態已經改變。<a href="https://www.businessinsider.com/us-dell-workers-reject-return-to-office-hybrid-work-2024-6" target="_blank">Business Insiders報導</a>指出，有相當比例的Dell員工不希望回公司上班，即使不升官或調職也在所不惜。</p> <p>Dell今年三月公布一項要求員工回公司上班（return-to-office）的政策。員工必須選擇註明自己為混合上班，或遠距上班類別。混合上班類意謂著一季進公司39天，大約是一周進公司3天。而選擇遠距上班者必須同意不得升遷，或是在公司其他部門另尋新職位。</p> <p>Business Insiders近日看到Dell內部的調查，顯示將近50%的員工選擇歸類到「遠距」類，換言之，他們寧願不升職，或是寧可轉換新職也不要回公司。</p> <p>接受媒體訪談的員工有人表示本來就對升官沒興趣，有人樂於享受更多閒暇時光，另有人住在郊外，享受消費較便宜的好處。其他理由是，員工所屬部門本來就分散世界各地，回公司上班也是要開Zoom視訊會議，另一些人則是因為原本的部門辦公室早已經關閉。</p> <p>也有選擇回公司上班的員工發現，辦公室泰半時間也是空蕩蕩，回來的協同效果不大。這些員工也坦承正在尋覓不強迫員工進公司辦公的新東家。</p> <p>Dell並非是唯一無法有效叫員工回公司上班的科技公司。疫後許多公司採取更強硬態度要求員工進辦公室，例如<a href="https://www.ithome.com.tw/news/144802" target="_blank">Google</a>將進公司與否列入考績，IBM則要求經理級員工若不進公司就離職，然而<a href="https://www.cnbc.com/2024/02/04/the-ceo-return-to-office-or-else-is-having-limited-success-this-year.html" target="_blank">CNBC報導</a>，仍然有相當比例的員工無視要求，堅持不進公司，科技公司也無計可施。</p> <p>此外，即使員工被迫回公司，疫情也出現了前所未有的抵抗文化，像是靜離職（quiet quitting）或是「用咖啡刷卡（coffee badging）」，即到公司買杯咖啡就走人等新現象。</p> </div></div></div>
2024/6/24 10:43作者林妍溱https://www.ithome.com.tw/news/163606
華為公布HarmonyOS Next開發者預覽版、程式語言倉頡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華為上周舉行<a href="https://developer.huawei.com/home/hdc/hdc2024.html?promotion_cid=1002" target="_blank">開發者大會HDC 2024</a>，公布自有作業系統鴻蒙下一代作業系統（HarmonyOS Next）開發人員預覽版（Developer Preview），以及開發語言倉頡，與其他開發商資源。</p> <p><a href="https://developer.huawei.com/consumer/cn/develop/" target="_blank">HarmonyOS NEXT</a>號稱是全場景智慧型作業系統，可實現單一作業系統、應用程式可執行在桌機、行動或邊緣端等設備，支援多種使用場景。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0624-huawei-HarmonyOS%20NEXT-2.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／華為</span></span></p> <p>在2019年美國對華為發出多道封殺令後，華為全力<a href="https://www.ithome.com.tw/news/144628" target="_blank">開發自有作業系統</a>鴻蒙HarmonyOS及建立自有應用生態體系，並開發自有晶片麒麟，以擺脫美國的技術箝制。</p> <p>華為上周正式發布HarmonyOS Next開發人員預覽版及HarmonyOS SDK，以招募開發商。華為號稱HarmonyOS Next可實現整機效能提升30%，功耗下降20%、連網速度也提升3倍。HarmonyOS SDK則包含應用框架、開發服務、AI及圖形介面。華為同時宣布自有開發語言倉頡，支援全場景程式開發，還提供代理程式（agent）支援自然語言開發App，也提供了技術文件。</p> <p>下一代鴻蒙預計第4季發布正式版。</p> <p>該公司並稱HarmonyOS Next為「純血鴻蒙」，意味著完全不含外國的程式碼。中國媒體引述華為終端部門董事長余承東說法，<a href="https://www.ithome.com/0/776/768.htm" target="_blank">稱鴻蒙</a>可確保技術自主可控。</p> <p>至於如何和Android徹底切割，多家<a href="https://unwire.hk/2024/06/18/harmonyosnext-removed-all-source-code-from-us/fun-tech/" target="_blank">媒體</a>引述一名技術人員<a href="https://twitter.com/olalatech1/status/1802322635453546864" target="_blank">指出</a>，華為計畫從鴻蒙刪除包括Linux及Android所有美國軟體程式碼。</p> <p>華為表示全力衝刺鴻蒙的原生應用，目前規畫的5,000個App中已有1,500多個上架。華為同時於上周發表旗艦手機Huawei Mate 60及平板。</p> </div></div></div>
2024/6/24 10:54作者林妍溱https://www.ithome.com.tw/news/163607
搭8顆超微最新頂級資料中心GPU，技嘉AI加速伺服器上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_jia_g593-zx1_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底AMD正式推出新一代資料中心GPU產品<a href="https://www.ithome.com.tw/review/160523">Instinct MI300X</a>，多家廠商發表搭配這款加速運算平臺的伺服器，技嘉是當時公布機型的業者之一，他們當時宣布將推出兩款機型：G593-ZX1與G593-ZX2，到了今年上半，技嘉陸續推出兩款採用AMD Instinct MI300X的伺服器機型，4月先公布技術規格文件的產品是G593-SX1-AAX1，CPU採用英特爾第四代或第五代Xeon Scalable系列的，另一款是6月公布技術規格文件的G593-ZX1-AAX1，CPU採用AMD第四代 EPYC 9004系列。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Instinct MI300X Server.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Instinct%20MI300X%20Server.jpg" style="width: 600px;" /></a></p> <p>基本上，這兩款機型的整體規格相當類似，同樣搭配8個OAM外形的資料中心GPU產品AMD Instinct MI300X——這些GPU結合在通用基板（OBB）2.0規格的模組，HBM3記憶體總共提供1.5 TB容量（192 GB x 8），GPU核心總共提供2,432個運算單元，9,728個矩陣核心，155,648個串流處理器（304個運算單元 x 8，1,216個矩陣核心x 8，19,456個串流處理器 x 8）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/G593-ZX1-AMD1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-ZX1-AMD1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G593-ZX1-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-ZX1-1.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G593-ZX1-AMD5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-ZX1-AMD5.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G593-ZX1-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-ZX1-2.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300X%20Spec.jpg" style="width: 600px;" /></p> <p>機箱的部分，它們均採用5U尺寸，設置28臺風扇與6臺3000瓦電源供應器（4+2備援），提供2個10GbE網路埠與1個遠端管理埠，而在儲存裝置方面，可裝載8臺2.5吋固態硬碟——預設支援NVMe，若需要SATA與SAS，需額外安裝SAS介面卡。</p> <p>它們的主要差異在於處理器平臺，以及記憶體插槽數量。G593-SX1-AAX1搭配2顆英特爾第四代或第五代Xeon Scalable處理器，熱設計功耗最高為350瓦，單顆最多可提供64顆核心，記憶體的部分，所用的主機板MSB3-G41提供32個插槽，可搭配DDR5-4400或DDR5-5600記憶體，整臺伺服器最大記憶體容量可達8 TB（全部採用256 GB）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD 8-GPU Server-2024.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%208-GPU%20Server-2024.jpg" style="width: 600px;" /></a></p> <p>至於G593-ZX1-AAX1，搭配2顆AMD第四代EPYC 9004系列處理器，熱設計功耗最高為300瓦，單顆最多可提供84顆核心（在特定散熱配置之下，可搭配128顆核心、熱設計功耗為400瓦以下的CPU款式），記憶體的部分，所用的主機板MZB3-G43提供24個插槽，可搭配DDR5-4800記憶體，整臺伺服器最大記憶體容量可達6 TB（全部採用256 GB）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-ZX1-AMD2.jpg" style="width: 398px;" /> <a href="https://s4.itho.me/sites/default/files/images/G593-ZX1-AAX1-04-web2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G593-ZX1-AAX1-04-web2.jpg" style="width: 98px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong>技嘉G593-ZX1-AAX1</strong><br /> ●原廠：技嘉科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：5U<br /> ●處理器：2顆，AMD第四代EPYC 9004系列<br /> ●記憶體：24個DDR5-4800插槽，最大可擴充至6 TB<br /> ●儲存配置：8臺2.5吋NVMe固態硬碟（可搭配SATA/SAS，但須安裝SAS介面卡）<br /> ●搭配GPU：8個AMD Instinct MI300X OAM<br /> ●I/O擴充介面：8個PCIe 5.0 x16介面卡（短版）、4個PCIe 5.0 x16介面卡（全高半長）、2個M.2（PCIe 3.0 x4、x1）<br /> ●電源供應器：6臺3000瓦（4+2備援）<br /> ●系統風扇：28臺（主機板2+4，PCIe介面卡4+2，中6+10）<br /> ●網路埠：2個10GbE埠（Intel X710-AT2）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/24 00:51作者李宗翰https://www.ithome.com.tw/review/163602
SpaceX推出方便攜帶的衛星天線Starlink Mini
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SpaceX近日寄出郵件邀請客戶購買便於攜帶的Starlink Mini天線，它比標準版天線輕了63%，相當於一臺筆電大小，內建Wi-Fi路由器，最高下載速率可達100 Mbps，售價為599美元，預計於今年7月出貨。</p> <p>此一消息是由<a href="https://x.com/SawyerMerritt/status/1803586964047929500" target="_blank">Sawyer Merritt所揭露</a>，SpaceX的工程副總裁Michael Nicolls還轉推了這個訊息。由於Merritt也是特斯拉（Tesla）的投資人，先前Tesla與SpaceX創辦人暨執行長馬斯克（Elon Musk）也曾關注Merritt的X帳戶，後來Musk因不滿Merritt經常爆料特斯拉的機密資訊而取消關注。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-starlink%20mini-photo%20by%20Sawyer%20Merritt%20on%20X%20(twitter)-2.jpg" style="width: 500px;" /></p> <p><a href="https://twitter.com/SawyerMerritt/status/1803586964047929500" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Sawyer Merritt</span></span></a></p> <p>Starlink官網已公布<a href="https://www.starlink.com/specifications?spec=5" target="_blank">Mini版規格</a>，雖然SpaceX或Musk都宣稱它可以放進背包，方便攜帶，但它整個套件的重量還是高達6.73公斤，最多可連結128個裝置。</p> <p>由於Starlink Mini天線的目的就是可到處使用，因此也綁售了每月30美元的Mini Roam漫遊服務，以搭配使用者既有的Residential服務方案。Mini Roam每月可支援50GB於美國各地的行動資料傳輸。</p> <p>外界原本就在期待Starlink Mini的出現，且馬斯克曾說Starlink Mini的價格將只有標準版的一半，不過，599美元的售價甚至比標準版天線貴了100美元。SpaceX於邀請郵件中表示，該公司的目標是調降Starlink的價格，特別是在那些負擔不起或無法連網的地區，但對於那些對Starlink Mini有額外需求的高使用率地區，將限量供應599美元的Starlink Mini。</p> <p>前幾天馬斯克就已開始<a href="https://x.com/elonmusk/status/1802567759835844838" target="_blank">使用</a>Starlink Mini，表示只花了5分鐘就設定好了，並說相信這個產品將會改變世界。</p> </div></div></div>
2024/6/22 05:39作者陳曉莉https://www.ithome.com.tw/news/163600
【資安日報】6月21日，駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用惡意廣告宣稱提供實用的應用程式，藉此來散布惡意軟體的情況，不時有事故傳出，但最近一起惡意軟體攻擊行動相當特別，因為這些駭客也同時利用Telegram頻道來進行。</p> <p>比較特別的是，由於透過即時通訊軟體的頻道來從事攻擊行動，這些駭客不只散布常見的應用程式，還散布能用於犯罪的Deepfake脫衣軟體，以及變臉、變聲工具。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163597"><strong style="font-size: 22px;">駭客組織Void Arachne鎖定中國用戶，假借提供VPN軟體、Deepfake人工智慧工具散布惡意程式Winos</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1New_VoidArachne.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1New_VoidArachne.png" style="width: 300px; float: right;" /></a></p> <p>資安業者趨勢科技在今年4月初發現駭客組織Void Arachne的攻擊行動，對方的目標主要是使用中文的用戶，假借提供簡體中文版Chrome，以及當地的VPN軟體LetsVPN、QuickVPN（快連VPN），甚至是使用Deepfake技術脫衣、變臉、變聲的人工智慧工具，或是Telegram簡體中文介面套件，目的是在使用者電腦植入後門程式Winos 4.0。</p> <p>值得留意的是，這些駭客同時藉由購買搜尋引擎廣告進行SEO中毒攻擊，或是透過簡體中文Telegram頻道，來散布惡意軟體。</p> <p>研究人員指出，這些駭客犯案的共通點，在於他們都向使用者提供MSI安裝程式，開啟、執行之後，確實會安裝對方宣稱的應用程式，但在此同時，也在用戶不知情的狀況下，部署惡意軟體，並向攻擊者的C2伺服器進行連線。</p> <p><a href="https://www.ithome.com.tw/news/163474"><strong style="font-size: 22px;">巴基斯坦駭客組織Cosmic Leopard鎖定Windows、macOS、安卓裝置散布惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-ee13eb90-a7a2-44b1-a495-91ddbe033d05.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-ee13eb90-a7a2-44b1-a495-91ddbe033d05.jpeg" style="width: 300px; float: right;" /></a></p> <p>思科旗下威脅情報團隊Talos揭露攻擊行動Operation Celestial Force，從2018年起，巴基斯坦駭客組織Cosmic Leopard鎖定印度政府機關、國防單位，以及相關技術領域的組織。值得留意的是，時至今日這項攻擊行動仍在持維進行，並未出現緩和的跡象。</p> <p>針對這波為期長達6年的攻擊行動，研究人員指出，對方起初使用RAT木馬程式GravityRAT鎖定Windows用戶，接著，為了擴大攻擊規模，他們也開發安卓版本，並在2019年針對行動裝置而來。再來，為了散布上述木馬程式，對方開發了名為HeavyLift的惡意程式載入工具，並將其用於攻擊行動。</p> <p>值得留意的是，HeavyLift不光能在Windows上執行，若是偵測到在macOS作業系統環境，並未取得root權限，他們就會下達特定命令取得管理權限，然後下載ZIP壓縮檔並植入有效酬載。</p> <p><a href="https://www.ithome.com.tw/news/163473"><strong style="font-size: 22px;">駭客鎖定WordPress網站下手，目的是要脅瀏覽網站的使用者瀏覽器過舊，藉此散布惡意程式</strong></a></p> <p>資安業者Sucuri揭露最近一波從今年4月下旬出現的攻擊行動，過程中攻擊者濫用名為Hustle的WordPress外掛程式，該外掛主要用途是電子郵件市場行銷，或是產生彈出式廣告視窗，從而經營客戶。</p> <p>然而，對方利用這款外掛程式對WordPress網站下手，將惡意程式碼注入，使用者只要瀏覽網站，就會看到彈出式視窗，「警告」已偵測到有漏洞的Chrome，要求更新瀏覽器。一旦使用者按下彈出式視窗上的按鈕，就會被重新導向惡意網址，下載惡意軟體（大部分被命名為GoogleChrome-x86.msix）。但值得留意的是，使用者就算是使用Firefox、Opera、Edge瀏覽網站，同樣會看到上述的彈式視窗。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://cybersecurity.att.com/blogs/labs-research/highly-evasive-squidloader-targets-chinese-organizations"><strong style="font-size: 20px;">惡意軟體載入工具SquidLoader鎖定中國企業組織而來</strong></a></p> <p></p> <p>◆<a href="https://www.fortinet.com/blog/threat-research/fickle-stealer-distributed-via-multiple-attack-chain"><strong style="font-size: 20px;">Rust竊資軟體Fickle Stealer利用PowerShell繞過使用者帳號控制防護機制</strong></a></p> <p></p> <p>◆<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/telecoms-espionage-asia"><strong style="font-size: 20px;">中國駭客組織針對亞洲電信業者植入後門，嘗試竊取帳密資料</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/solarwinds-serv-u-path-traversal-flaw-actively-exploited-in-attacks/"><strong style="font-size: 20px;">SolarWinds檔案伺服器軟體Serv-U路徑穿越漏洞傳出遭到積極利用</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163594"><strong style="font-size: 22px;">研究人員針對Wget漏洞提出警告，呼籲用戶近期應留意相關資安公告</strong></a></p> <p>德國研究人員Günter Born指出，6月17日德國電腦緊急應變團隊（CERT-Bund）針對CVE-2024-38428提出警告值得留意，因為，這項存在於下載工具Wget的漏洞相當危險，CVSS風險評分達到10分，1.24.5版及之前版本都受到影響，攻擊者可遠端利用。</p> <p>值得留意的是，在大部分的Unix與Linux系統當中，都可以用Wget來下載檔案，後續也被移植到Windows、macOS等多種應用系統，使得這套工具的存在相當普遍，以這次被找出的漏洞而言，無論是Linux還是Windows版本，都存在這項漏洞。</p> <p>不過，事隔2天，CERT-Bund下修CVE-2024-38428的CVSS分數為6.3，列為中等風險漏洞，但為何大幅調整風險評分，他們並未進一步說明。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163577"><strong style="font-size: 22px;">AWS安全長揭露防護生成式AI的心法</strong></a></p> <p></p> <p>生成式人工智慧拜ChatGPT之賜，不到一年就竄升為家戶喻曉的人工智慧代名詞，而在各行各業積極探索新興應用商機之際，對於生成式人工智慧（Generative AI）潛在的資安顧慮也隨之湧現。</p> <p>亞馬遜（Amazon）安全長Steve Schmidt在re:Inforce 2024的演講中指出，生成式人工智慧並非橫空出世，而是承襲機器學習與人工智慧技術數十年發展脈絡的最新階段，因此資安的基本原則與人工智慧安全防護經驗都仍適用，他也公開亞馬遜的人工智慧安全團隊成立的經驗，包括資安組織的定位如何不會限制人工智慧的創新可能性、如何協助開發團隊做出正確的安全決策，以及在安全檢驗方面有別於傳統資安測試之處。</p> <p><a href="https://www.ithome.com.tw/news/163576"><strong style="font-size: 22px;">資安院首度發表AI打詐技術，詐騙廣告偵測率超過九成</strong></a></p> <p>打詐是臺灣政府新內閣首要任務，也是民眾生活最大痛點之一。為了解決這個問題，數發部數位產業署委託資通安全研究院研發，他們期盼透過運用AI技術，從源頭做到「識詐」、「防詐」以遏止詐騙橫行。資安院副院長林盈達表示，從今年1月開始執行的廣告自動化巡檢技術，每個月可以檢測超過50萬筆廣告，一旦偵測到詐騙廣告，會進行後續通報。</p> <p>他表示，今年五月詐騙廣告數量超過20萬筆創下新高，資安院採用AI偵測詐騙廣告的準確度達93％，而在這個巡檢的過程中，他們也發現97％詐騙廣告刊登不到兩天，顯示相關的阻擋機制必須跟時間賽跑，因為處理時機稍縱即逝。</p> <p><a href="https://www.ithome.com.tw/news/163589"><strong style="font-size: 22px;">美國宣布全面禁售卡巴斯基產品</strong></a></p> <p>美國商務部（Department of Commerce，DoC）旗下的工業及安全局（Bureau of Industry and Security，BIS）於6月20日宣布了一項最終裁決（Final Determination），自今年7月20日起，將禁止卡巴斯基（Kaspersky）於美國銷售網路安全產品/服務及防毒軟體，自9月29日起禁止提供相關產品的更新，原因是擔心總部位於俄羅斯的卡巴斯基，會因美、俄之間的緊張關係，危害美國的國家安全。</p> <p>值得留意的是，這樣的政策並非空穴來風，2017年7月美國便限制政府採購卡巴斯基產品，9月要求政府機關全面移除卡巴斯基產品，更在2022年將卡巴斯基列入國家安全威脅名單，現在則全面擴大至美國一般個人用戶及組織。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://www.ithome.com.tw/news/163559"><strong style="font-size: 20px;">Google資安證書課程大公開，在臺合作計畫鎖定跨域轉職與大學生</strong></a></p> <p></p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163111"><strong style="font-size: 22px;">學校教育至少要能培養出資安人手，期許成為博派資安人</strong></a></p> <p>資訊安全在當今社會日益受到重視，成為眾多產業和政府機構關注的焦點之一。然而，資安的發展過程中也面臨著各種挑戰，而這些挑戰往往不只是技術，更牽涉到人、政策和社會等多個層面。臺灣科技大學資訊管理系特聘教授吳宗成對於資安領域的發展和挑戰有著深刻的見解，他指出，資安產業的發展需要適當的熱度，但又不能過熱，以免阻礙未來的發展。</p> <p>吳宗成用「變形金剛」來比喻，他說資安人就要像博派機器人，不能只活在自己的世界，要懂人民生活感受並能提出對策，不能只懂學理、固守自己觀點、活在象牙塔。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163574"><strong>【6月20日】中國駭客UNC3886利用多項防火牆及虛擬化平臺的零時差漏洞隱匿行蹤，並部署後門程式持續存取網路環境</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163551"><strong>【6月19日】初始入侵管道掮客IntelBroker聲稱握有晶片大廠AMD內部機密資料，該公司表示將著手調查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163529"><strong>【6月18日】未補漏洞且暴露在外網的舊款F5 BIG-IP設備成駭客入侵企業內部環境的破口，中國駭客潛入竊密長達3年</strong></a></p> </div></div></div>
2024/6/21 17:40作者周峻佑https://www.ithome.com.tw/news/163599
「提供金融創新更大的容錯空間！」金管會主委彭金隆發表未來金融科技發展方向，七月將提出更具體的發展計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「金融業未來需要很多工具，來推動數位和永續轉型，未來希望能夠讓金融業有更大的空間來應用這些工具。」金管會主委彭金隆今日接受媒體聯訪時，用這句話來說明他對金融科技發展的態度。他也表示，將在七月中或下旬提出金融科技具體規劃和未來發展方向。</p> <p>他解釋，金融業未來需要面臨許多挑戰，不僅是同業間的挑戰，也包括異業。因此，金管會未來希望尋求更大的容錯空間，讓金融業有更多嘗試新方法的可能。</p> <p>彭金隆進一步指出，未來希望透過活化監理沙盒，讓社會對創新有更大的容錯空間。他說明，過去金融業推動創新是透過沙盒和試辦，多年來，三局的業務試辦已累積超過六、七十件案件，「但我們認為，除了量以外，還要提升品質。」</p> <p>他點出，目前的試辦範圍較小，僅能根據兩條路徑進行試辦，一個是依據現有核准業務進行擴展，另一個是經過金管會核准，始得試辦。「任何規定裡不同意的項目，就不允許開辦。」因此，彭金隆表示，未來可能先調整金管會能全權調整的規定，讓暫時不允許的項目，成為可以試辦的範圍，以此放寬金融業的創新業務發展空間。</p> <p>金管會綜合規劃處處長胡則華則補充，接下來會放寬法規命令和法律規範，包含行政規則，或是周邊單位的自律規範，讓業者能提出更多創新試辦項目。</p> <p>另外針對監理沙盒相關規範，金管會去年底已委外研究如何修正相關規範，包括如何更順利將實驗項目落地。預計在七月發布委外研究報告。</p> <p>彭金隆最後表示，更具體的金融科技發展規劃會在七月中或下旬提出。</p> <p></p> </div></div></div>
2024/6/21 17:10作者李昀璇https://www.ithome.com.tw/news/163596
駭客組織Void Arachne鎖定中國用戶，假借提供VPN軟體、Deepfake人工智慧工具散布惡意程式Winos
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者趨勢科技在今年4月初發現<a href="https://www.trendmicro.com/en_us/research/24/f/behind-the-great-wall-void-arachne-targets-chinese-speaking-user.html">駭客組織Void Arachne的攻擊行動</a>，對方的目標主要是使用中文的用戶，假借提供簡體中文版Chrome，以及當地的VPN軟體LetsVPN、QuickVPN（快連VPN），甚至是使用Deepfake技術脫衣、變臉、變聲的人工智慧工具，或是Telegram簡體中文介面套件，目的是在使用者電腦植入後門程式Winos 4.0。</p> <p>值得留意的是，這些駭客同時藉由購買搜尋引擎廣告進行SEO中毒攻擊，或是透過簡體中文Telegram頻道，來散布惡意軟體。</p> <p>研究人員指出，這些駭客犯案的共通點，在於他們都向使用者提供MSI安裝程式，開啟、執行之後，確實會安裝對方宣稱的應用程式，但在此同時，也在用戶不知情的狀況下，部署惡意軟體，並向攻擊者的C2伺服器進行連線。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1New_VoidArachne.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1New_VoidArachne.png" style="width: 580px;" /></a></p> <p>由於中國政府對於民眾上網嚴格監管，因此，使用VPN服務翻越當局防火長城（Great Firewall）的情況，也相當常見。駭客提供這樣的工具，確實相當容易吸引用戶上當，但在研究人員提及的攻擊行動裡，我們認為對方利用Telegram散布人工智慧工具情況，更值得留意。</p> <p>因為研究人員發現，這些駭客同時也透過多個中文Telegram頻道散布上述加料的VPN應用程式，循線進一步調查，對方竟藉由這些頻道提供利用Deepfake技術的人工智慧應用程式。</p> <p>這些應用程式大致可分成兩種類型，其中一種是一鍵脫衣的色情圖片及影片生成工具（Nudifier AI），另一種則是換臉及變聲的工具。</p> <p>其中，又以脫衣軟體最值得留意，因為這樣的工具很容易引誘男性用戶上鉤，他們聲稱可以讓用戶只要花費一包香菸的錢，就能看到心儀的女同事、女同學裸體的樣貌。</p> <p>為了讓用戶隨時能取得這些Deepfake軟體，這些駭客還在頻道頂部放置惡意MSI檔案下載的連結，甚至提供試用密碼，並要求下載檔案前必須關閉防毒軟體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig%208_Void%20Arachne.png" style="width: 364px;" /></p> <p>而對於駭客在安裝程式埋入的惡意程式，研究人員指出，一旦使用者執行安裝檔案，就會竄改防火牆規則，將惡意軟體相關網站加入白名單，然後啟動VBS指令碼，傳送名為Winos 4.0的C2框架，以及與C2伺服器建立連線的程式。</p> <p>駭客使用C++打造Winos 4.0，此程式能執行檔案管理、控制網路攝影機、螢幕截圖、透過麥克風錄音、側錄鍵盤輸入內容，甚至能發動DDoS攻擊、存取遠端Shell。此外，這個惡意程式還能透過外掛程式增加破壞威力。</p> </div></div></div>
2024/6/21 17:32作者周峻佑https://www.ithome.com.tw/news/163597
研究人員針對Wget漏洞提出警告，呼籲用戶近期應留意相關資安公告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國研究人員Günter Born指出，6月17日德國電腦緊急應變團隊（CERT-Bund）針對CVE-2024-38428提出警告值得留意，因為，<a href="https://borncity.com/win/2024/06/18/critical-vulnerability-cve-2024-38428-in-wget/">這項存在於下載工具Wget的漏洞相當危險</a>，CVSS風險評分達到10分，1.24.5版及之前版本都受到影響，攻擊者可遠端利用。</p> <p>值得留意的是，在大部分的Unix與Linux系統當中，都可以用Wget來下載檔案，後續也被移植到Windows、macOS等多種應用系統，使得這套工具的存在相當普遍，以這次被找出的漏洞而言，無論是Linux還是Windows版本，都存在這項漏洞。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-38428_0617.png" style="width: 580px;" /></p> <p>不過，事隔2天，<a href="https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2024-1386">CERT-Bund下修CVE-2024-38428的CVSS分數為6.3</a>，列為中等風險漏洞，但為何大幅調整風險評分，他們並未進一步說明。</p> <p>值得留意的是，目前最新的版本，是今年3月發布的1.24.5版，因此Günter Born認為，這項弱點有可能影響相當廣泛，有待各Linux開發商著手修補。</p> <p>這項漏洞發生的原因，在於Wget模組url.c處理URI的子元件userinfo當中的分號出錯，而有可能導致在userinfo裡的資料被錯誤解讀成主機子元件的一部分，若有人使用特製的URL，就有可能讓身分驗證資料、主機標頭資訊，以及帳密資料洩露的情況，甚至部分資料攻擊者可進一步用於網路釣魚和中間人攻擊（MitM）。</p> <p>根據GNU基金會的漏洞討論區，開發人員Tim Rühsen表示，<a href="https://lists.gnu.org/archive/html/bug-wget/2024-06/msg00005.html">他們正在努力修補相關程式碼緩解漏洞</a>，但也強調，Wget 1.x版實作的URL解析器，是依據1998年的標準RFC 2396打造，所以導致這樣的錯誤，然而基於相容性的考量，開發團隊不會更換此解析器採用的標準。</p> <p>這名開發人員也指出，GNU已開發Wget2新版，有些Linux版本開始改用新版取代1.x，例如：Fedora開發團隊於40版導入Wget2。</p> </div></div></div>
2024/6/21 15:26作者周峻佑https://www.ithome.com.tw/news/163594
美國宣布全面禁售卡巴斯基產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商務部（Department of Commerce，DoC）旗下的工業及安全局（Bureau of Industry and Security，BIS）周四（6/20）<a href="https://www.bis.gov/press-release/commerce-department-prohibits-russian-kaspersky-software-us-customers" target="_blank">宣布了一項最終裁決</a>（Final Determination），自今年7月20日起，將禁止卡巴斯基（Kaspersky）於美國銷售網路安全產品/服務及防毒軟體，自9月29日起禁止提供相關產品的更新，原因是擔心總部位於俄羅斯的卡巴斯基，會因美、俄之間的緊張關係，危害美國的國家安全。</p> <p>1997年成立於俄羅斯的卡巴斯基為一全球知名的資安業者，主要開發及銷售防毒、網路安全、密碼管理、端點安全與其它資安服務，它在全球31個國家設有辦公室，服務全球逾200個國家的27萬家組織及逾4億名用戶。</p> <p>不過，美國於2017年7月<a href="https://www.ithome.com.tw/news/115525" target="_blank">便限制</a>政府採購卡巴斯基產品，9月<a href="https://www.ithome.com.tw/news/116840" target="_blank">要求</a>政府機關全面移除卡巴斯基產品，更在2022年將卡巴斯基<a href="https://www.ithome.com.tw/news/150125" target="_blank">列入</a>國家安全威脅名單，現在則全面擴大至美國一般個人用戶及組織。</p> <p>BIS說，它們已確定卡巴斯基對美國國家安全構成不可接受的風險，因為該公司受到俄羅斯政府的管轄、控制與指示，必須遵守俄羅斯政府利用其軟體存取敏感資訊的請求；卡巴斯基員工可能會將美國客戶資料傳送到俄羅斯，那麼俄羅斯政府便有權存取；此外，卡巴斯基也具備了於用戶裝置上安裝惡意軟體或是阻擋裝置關鍵更新的能力；第三方產品若是整合了卡巴斯基的技術，也可能危害美國民眾的裝置或網路。</p> <p><a href="https://oicts.bis.gov/pdfs/AppendixB.pdf" target="_blank">受到影響的卡巴斯基產品</a>超過80項，從防毒軟體、網路安全產品、VPN服務、雲端服務、端點安全產品、電子郵件安全服務到行動裝置與IoT的安全服務全被禁售。</p> <p>為了讓美國既有的卡巴斯基用戶有時間尋找替代方案，BIS允許卡巴斯基在9月29日之前還可更新用戶的病毒碼與程式碼。此外，儘管美國並不會處罰繼續使用現有卡巴斯基產品的個人與企業，但提醒任何繼續使用相關產品的個人或組織都將承擔隨後的網路安全與風險。</p> <p>值得注意的是，此一裁決並未涵蓋卡巴斯基所提供的威脅情報產品/服務、安全培訓產品/服務，或是卡巴斯基的顧問與諮詢服務，美國組織仍能與卡巴斯基交流並進行上述屬於教育性質的交易。</p> <p>卡巴斯基也在同一天<a href="https://usa.kaspersky.com/about/press-releases/2024_kaspersky-statement-on-the-us-commerce-department-determination" target="_blank">發表了聲明</a>，指出美國商務部的決定是基於當前的地緣政治氣候及理論上的考量，而非是對卡巴斯基產品和服務完整性的評估。除了強調該裁決並不會影響卡巴斯基在美國推廣及銷售網路威脅情報或培訓服務的能力之外，也說會採用一切合法手段來維持其現有的營運及關係。</p> </div></div></div>
2024/6/21 12:27作者陳曉莉https://www.ithome.com.tw/news/163589
率先提供雙埠，三星初代PCIe 5 SSD獲多家伺服器廠商採用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/san_xing_pm1743_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就市面上的伺服器運算平臺而言，從2023年以後正式迎接PCIe 5.0介面的到來，然而，在2021年下半，開始有廠商推出支援此介面的企業與資料中心固態硬碟產品，例如，<a href="https://apac.kioxia.com/en-apac/business/news/2021/20211109-1.html">11月鎧俠（Kioxia）率先發表採用E3.S外形的CD7-R系列</a>，我們現在要介紹的是另一款產品，後續於同年12月三星宣布推出的PM1743。</p> <p>根據當時所揭露的消息指出，預計2022年第1季開始量產的PM1743，已對部分全球晶片與伺服器廠商提供樣品，當中導入三星發展的第6代V-NAND技術，期盼能充分支援AI/ML應用與高效能需求的資料庫系統，預計將提供兩種外形：2.5吋（U.2/U.3）、厚度為15公釐，以及3吋、厚度為7.5公釐的E3.S，儲存容量範圍涵蓋1.92 TB至15.36 TB；而在連接介面的備援與存取穩定度的維持機制上，三星在此提供雙埠（Dual-Port）的配置。在安全性的部分，PM1743也將實作多種進階防護機制，像是嵌入1顆安全處理器與信任根（RoT），預防資安威脅與產品偽造，確保存放資料的機密性與裝置完整性，同時，也能搭配見證（attestation）機制，實現伺服器系統的安全開機啟動。</p> <p>關於存取效能的表現方面，PM1743用於循序讀取作業時，可達13,000 MB/s，若用於隨機讀取，則為250萬IOPS，相較於前一代採用PCIe 4.0介面的產品，PM1743效能提升幅度分別為70％與90％。能源使用效率也是這款新產品的重要特色，三星表示，PM1743的每瓦效能為608 MB/s，比上一代產品增加了30％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PM1743 Performance-SPEC.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PM1743%20Performance-SPEC.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PM1743-SEQ-128KB.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PM1743-SEQ-128KB.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/PM1743-RAN-4KB.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/PM1743-RAN-4KB.png" style="width: 298px;" /></a></p> <p>到了2023年1月CES大展，三星正式公開展出PM1743，並更新部分規格，例如，循序讀取效能提升至14,000MB/s，能源使用效率超越上代產品的幅度增加至40％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Web-2023-01-ces-2023-samsung-electronics-showcases-cutting-edge-memory_6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-2023-01-ces-2023-samsung-electronics-showcases-cutting-edge-memory_6.jpg" style="width: 600px;" /></a></p> <p>而從2022年中開始，有多家伺服器廠商在他們的產品搭配三星PM1743。首開先例的是<a href="https://www.qct.io/Press-Releases/index/PR/Server/QCT-Collaborates-with-Samsung-and-Intel-to-Lead-Transition-to-PCIe-Gen5-with-Next-Generation-Servers-and-SSDs/1/0">雲達科技（QCT）</a>，6月宣布三星PM1743通過新款NVMe全快閃儲存伺服器的搭配驗證。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-06-qct-collaborates-with-samsung-and-intel_1.jpg" style="width: 600px;" /></p> <p>聯想是在2023年3月搭配三星PM1743，該公司特別為此搭配而<a href="https://lenovopress.lenovo.com/lp1712-thinksystem-pm1743-read-intensive-nvme-pcie-50-ssd?orgRef=https%253A%252F%252Fwww.google.com%252F">發布獨立的產品指南</a>，5月底增列E3.S、支援熱抽換的款式，6月中納入2.5吋U.3、支援熱抽換的款式，7月中提供E3.S、無托盤的款式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Lenovo-Samsung%20PM1743-Product%20Guide.jpg" style="width: 600px;" /></p> <p>HPE應該是在2023年4月開始搭配三星PM1743，根據ProLiant Gen11系列伺服器各款機型硬體規格更新公告，因為那時開始標示E3.S固態硬碟可搭配三星PM1743，直到12月硬體改版公告，才開始提供其他品牌的選擇（搭配鎧俠第二波推出的PCIe 5.0固態硬碟CM7）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE ProLiant Gen11-Spec-2024-04.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20ProLiant%20Gen11-Spec-2024-04.jpg" style="width: 600px;" /></a></p> <p>Dell的伺服器也搭配三星PM1743，根據該公司的伺服器管理軟體Dell OpenManage 11.0.1.0版本更新公告（2023年9月釋出A00版），可看到支援三星PM1743、PM1745這兩款機型的E3.S外形款式，以及鎧俠CM7的2.5吋U.2外形款式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20OpenManage%20Server%20V11_0_1.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>三星PM1743</strong><br /> ●原廠：三星<br /> ●建議售價：廠商未提供<br /> ●儲存容量：1.92 TB、3.84 TB、7.68 TB、15.36 TB<br /> ●外形：2.5吋U.2與U.3、E3.S<br /> ●儲存媒體：3D NAND，TLC<br /> ●最高讀寫速度：循序14,000 MB/s與7,100 MB/s，隨機250萬IOPS與36萬IOPS<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用度：每日寫入量為1<br /> ●可靠度：250萬小時MTBF</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/21 12:42作者李宗翰https://www.ithome.com.tw/review/163573
Anthropic發表Claude 3.5 Sonnet，評測凌駕Claude 3 Opus與GPT-4o
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI主要競爭對手之一Anthropic本周<a href="https://www.anthropic.com/news/claude-3-5-sonnet" target="_blank">發表了Claude 3.5 Sonnet</a>，Sonnet為Claude的中階模型，但Anthropic宣稱它的性能與效率已超越Claude 3.0的高階模型Opus，在大多數的評測上亦凌駕了OpenAI於今年5月<a href="https://www.ithome.com.tw/news/162852" target="_blank">推出的GPT-4o</a>，此外，Anthropic也在網頁版的Claude.ai預覽一項新的Artifacts功能，可於個別的工作空間即時呈現所有的生成結果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-Claude%203dot5%20Sonnet-600.png" style="width: 600px;" /></p> <p>Claude 3.5 Sonnet的執行速度是Claude 3 Opus的兩倍，Anthropic內部以自然語言描述要求不同模型修補開源程式碼臭蟲或新增功能，發現Claude 3.5 Sonnet解決了64%的問題，超越了Claude 3 Opus的38%。在提供指示與相關工具之後，Claude 3.5 Sonnet得以獨立撰寫、編輯與執行程式碼，展現了複雜的推論及故障排除能力，可輕鬆處理程式碼的轉換，令它能夠更有效率地更新老舊應用程式並遷移程式碼庫。</p> <p>此外，Claude 3.5 Sonnet不僅在所有基準評測上都凌駕Claude 3 Opus，它在GPQA、HumanEval、MGSM、DROP、BIG-Bench-Hard或是與視覺有關的MathVista、AI2D、Relaxed accuracy及ANLS score等評測上也超越了GPT-4o，只於MMLU、MATH及MMMU上略遜GPT-4o。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-Claude%203dot5%20Sonnet-2.png" style="width: 600px;" /></p> <p>Anthropic亦開始於Claude.ai上預覽新的Artifacts功能，在啟用Artifacts之後，當使用者與Claude模型對話時，旁邊會出現一個新視窗，同步呈現模型所生成的所有內容，不管是程式碼、文字檔案或是網站設計。該功能替使用者創造了一個動態的工作空間，允許使用者即時檢視、編輯及建置源自Claude模型的內容，以無縫將AI生成的內容整合到使用者的專案或工作流程之中。</p> <p class="rtecenter"><a href="https://www.youtube.com/watch?v=rHqk0ZGb6qo" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0621-Claude%203_5%20Sonnet-Artifacts.png" style="width: 600px;" /></a></p> <p>Anthropic指出，Artifacts功能意味著Claude將從對話式AI轉至協作工作環境，且很快就會支援團隊協作，最終令整個組織能夠在一個共用空間中集中其知識、文件，或是正在進行中的任務，讓Claude扮演一個在使用者有需要時就可出現的團隊成員。</p> <p>一般使用者透過Claude.ai及Claude iOS程式就可免費存取Claude 3.5 Sonnet，至於 Claude Pro與Claude Team 方案的訂閱用戶則有更高速率的存取權限。開發者亦可透過Anthropic API、Amazon Bedrock及Google Cloud的Vertex AI存取該模型，輸入100萬Token的費用為3美元，輸出100萬個Token的費用為15美元，且支援20萬個Token的脈絡長度。</p> <p>Anthropic表示，該公司的目標是每幾個月就會大幅改善智慧、速度與成本之間的權衡曲線，今年也會發表低階的Claude 3.5 Haiku 與高階的Claude 3.5 Opus。且除了下一代模型之外，該公司亦正在建置新模型來支援企業的應用，包括整合企業應用程式；亦正在探索諸如Memory等功能，以讓Claude能夠記憶使用者的偏好與交流紀錄，以讓它更個人化及更有效率。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Anthropic</span></span></p> </div></div></div>
2024/6/21 12:42作者陳曉莉https://www.ithome.com.tw/news/163590
戰略設計對實作DDD的重要性
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-shi_zhan_ling_yu_qu_dong_she_ji_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>協作軟體CollabOvation專案的開發團隊第一次實作DDD，一開始便偏離了正確的道路，使得模型愈來愈含糊不清。會發生這種情況是因為他們不理解戰略設計，連最基本的概念都沒有。其實大多數的軟體開發人員都是把焦點放在實體（Entity）或值物件（Value Object），目光無法放遠、看不見全局，把真正重要的核心領域概念跟一般業務混淆在一起，以至於原本應該分開的兩個模型合在一起了。很快他們就感受到下圖反映的設計問題，重點是，他們沒有達到實作DDD的目標。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AF%A6%E6%88%B0DDD_600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%9A%E7%A2%A9%E6%96%87%E5%8C%96(1).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>由於團隊不了解戰略設計的基礎，導致協作模型的概念一團糟，其中虛線圈起來的，就是有問題的部分。</strong></span></p> <p>此時SaaSOvation團隊中有些人說道：「是不是因為這套軟體的協作概念，與使用者（User）和權限（Permission）緊密耦合（tightly-coupled）？我們必須查出誰做了什麼事。」資深開發人員則表示，團隊需要注意的不僅僅是使用者與權限的耦合問題：「畢竟論壇（Forum）、發表文章（Post）、討論（Discussion）、行事曆（Calendar）還有行事曆項目（Calendar Entry），全都需要與某種協作物件建立耦合關係。這才是真正的問題，根本原因在於用語錯了。」接著這位開發人員向團隊成員說明，論壇、發表文章、討論等等全都用了錯誤的通用語言。使用者與權限與協作無關，也與協作使用的通用語言不符。使用者和權限是與安全性有關的概念，也就是身分與存取。既然是「協作情境」（Collaboration Context），那麼，在協作領域模型所處的Bounded Context內，就應該使用與協作相關的用語，但現在並非如此。「真正的重點應該在協作概念上，像是『發文者』（Author）與『版主』（Moderator），這些才是在『協作情境』中要使用的正確概念與用語。」</p> <p>基本上，SaaSOvation公司這群開發人員一開始就不知道「使用者」與「權限」跟協作軟體無關。雖然一套軟體一定會有「使用者」而且也需要「權限」管理，才能知道誰可以做什麼事情；但「協作軟體」更應該著重在使用者的「角色」上，而非這個人是誰以及這個人能夠做什麼事情。然而，目前這個協作模型完全是以使用者與權限的概念為中心，要是哪天使用者與權限的管理和運作上改變了，那麼很多模型（甚至可能是全部模型）都會受到波及。這個問題事實上已經迫在眉睫了，團隊正打算從以權限為中心的管理機制改為以角色為中心的存取管理機制；當這個決定做下去之後，他們就會更清楚戰略建模出現問題。</p> <p>現在團隊知道論壇功能的重點不應該是誰可以發表文章、或是什麼情況下可以這樣做，論壇只需要知道「發文者」在做這件事情就好。團隊現在弄清楚了，判斷誰可以做什麼事情是另外一個模型的工作，作為核心的協作模型只需知道已經決定好某個操作要授權給誰（角色）。對於論壇來說，只需要知道發文到討論串的人是「發文者」角色。對協作模型的Bounded Context─也就是「協作情境」而言，論壇和發文者顯然是情境中會使用的通用語言。至於使用者、權限、角色等等概念，又是另一個完全不同的情境用語了，不能跟「協作情境」中的詞彙混在一起。</p> <p>從開發團隊的視角來看，把使用者、權限、角色等分割為另一個模型，然後在同一個Bounded Context中，劃分出邏輯上的「安全性子領域」，乍看似乎沒錯，因此很容易就會導出這樣的結論：只需要解決使用者與權限的緊密耦合問題。然而，最佳建模策略之所以如此重要，是因為團隊下一個核心領域專案也一樣有以角色為中心的存取需求，並且各領域依賴於領域所屬的角色。很顯然，使用者與角色是屬於支援或通用子領域的概念，未來在整個公司甚至面對客戶（customer-facing）都能夠發揮作用。</p> <p>因此，採取更積極的方法來建立清晰簡潔的模型，可以幫助開發團隊避免許多潛在問題，否則很有可能會把這個專案滾成一坨大泥球（Big Ball of Mud）。雖然在DDD建模當中，模組化（modularization）確實是一項重要工具，但問題的根本原因不在於沒有把使用者與權限模組化，而是使用了錯誤的情境用語。</p> <p>幸好資深開發人員對此非常警覺，要是沒人發現，思考很容易愈來愈偏，導致情況愈來愈混亂、甚至可能變成一場災難。等到團隊要對另一組非協作的概念進行建模時，核心領域會變得更模糊，最後產出一個含糊不清的模型，也無法在程式碼中看到協作情境的通用語言。因此，團隊首先必須搞清楚他們開發的業務領域、子領域以及BoundedContext的範圍，這樣才能避開戰略設計對立面的陷阱，不至於落入「大泥球」的下場。換句話說，團隊需要先建立起戰略建模的思維模式。</p> <p><span style="font-size:28px;"><strong>Bounded Context的重要性</strong></span></p> <p>「Bounded Context」意指一個明確的邊界，領域模型存在這個範圍內，而領域模型則是透過軟體模型來表達通用語言。邊界之所以需要存在，是因為模型各自的概念、屬性（property）、行為都有其特殊意義。如果你是負責建模的團隊成員，你一定要了解情境中每個概念的確切意義。</p> <p>我們也常看到，兩個明顯不同的模型有著明明一樣或類似名稱的物件，但卻代表不同含義。當我們分別對這兩個模型畫下明確的邊界，就可以知道這些概念在不同邊界內各自代表什麼意義；因此，「Bounded Context」主要是指「語義上的分界」。讀者應該依據這些論點，檢驗自己對於Bounded Context概念的理解和運用是否正確。</p> <p>現在，讓我們回到圖片上，快速檢視一遍SaaSOvation的協作軟體開發團隊針對建模挑戰提出解決方案。</p> <p>在「協作情境」中，領域專家不會把使用協作功能的人描述成「有權限的使用者」，而是會根據他在該情境中扮演的角色，如「發文者」、「擁有者」、「參與者」或是「版主」來指稱；雖然當中會有使用者的一些聯絡資訊，但不會是全部，這些是屬於「身分與存取情境」中的「使用者」資訊，在該情境中，使用者物件會帶有使用者名稱以及相關個人資訊，像是各種聯絡方式。</p> <p>但是「發文者」物件也不是憑空產生的，每一個協作者都需要事先經過認證設定；我們會在「身分與存取情境」中進行驗證，確認使用者被指定扮演的角色，在執行安全驗證的過程中，驗證資料的屬性會隨著請求一同發送到「身分與存取情境」。要建立新的協作者物件，像是新增「版主」角色時，需要一部分的「使用者」屬性並指定一個「角色」（Role）名稱。這裡的重點是：兩個不同的概念，同時存在著異同之處，而它們之間的差異要透過Bounded Context來判斷。<strong>（本文摘錄整理自《實戰領域驅動設計》第二章，博碩文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AF%A6%E6%88%B0DDD_600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8D%9A%E7%A2%A9%E6%96%87%E5%8C%96.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 實戰領域驅動設計（Implementing Domain-Driven Design）</strong></p> <p>Vaughn Vernon／著；錢亞宏／譯</p> <p>博碩文化出版</p> <p>定價：1,280元</p> <p><a href="https://vaughnvernon.com/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E5%AF%A6%E6%88%B0DDD_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Vaughn%20Vernon.jpg" style="width: 225px;" /></a></p> <p><a href="https://vaughnvernon.com/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Vaughn Vernon</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p>Vaughn Vernon</p> <p>Vaughn Vernon是一名資深的軟體工程師，在軟體設計、開發與架構方面擁有超過25年以上的豐富經驗，提倡將創新的方法運用於實作當中並簡化軟體設計。自1980年代以來，他一直在從事物件導向語言的程式設計，並於1990年代初期還以Smalltalk作為領域建模工具的時期開始就致力於領域驅動設計。他在國際間提供軟體開發的諮詢與授課服務，並在許多國家開設「實戰領域驅動設計」的訓練課程。</p> </div></div></div>
2024/6/21 13:05未署名https://www.ithome.com.tw/article/163591
【LLM應用採用實例】老牌導航大廠TomTom如何打造新一代車用助手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想像一下，你打開車門、進入駕駛座，忽然想起之前去過的景點，想再訪卻想不起名字。於是你開口問：「我想再去一次那個賽車場，它叫什麼？」方向盤旁的車用助理立刻回答：「Circuit Zandvort。」你又說：「太好了，我想去那裡。附近有哪些充電站呢？」接著，車用助理列出賽車場周遭的充電站，秀在方向盤旁的顯示器上。你看了看說：「麻煩帶我到第一個充電站，也幫我調高車內溫度，」於是，螢幕上秀出導航地圖，車內溫度也變暖了。</p> <p>這正是荷蘭老牌導航廠商TomTom，在今年Build大會上秀出的智慧座艙原型實測影片。他們如何打造？</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2-case-600-1.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>專攻導航與圖資的荷蘭廠商TomTom打造一款智慧座艙車上助理，駕駛用語音提問，如導航去特定的充電站、調高溫度，就能得到相對應的回覆。</strong><span style="font-size: 14px;">圖片來源／TomTom</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>選定LLM大腦搭配5大技術</strong></span></span></p> <p>「早在2023年，我們就開始動手做了。」TomTom資料科學家Massimiliano Ungheretti指出，團隊當時受到ChatGPT啟發，認為這類大型語言模型（LLM）可作為智慧座艙的大腦，來協調操控行車大小事。有了大腦，他們還需要「耳、口、手、短期記憶、知識」才能完成駕駛指令，而這5項核心技能，分別對應到自動語音識別、文字轉語音、功能／外掛／動作、對話狀態，以及向量搜尋和檢索增強生成（RAG）等技術。</p> <p>Massimiliano針對最後一項說明，雖然LLM大腦很聰明，但未必具備特定知識，因此他們決定採用RAG方法、而非微調，來更有效率地補足大腦專業知識。</p> <p>劃定這些架構後，團隊得先試水溫，採用Azure OpenAI服務和其他指令微調過的LLM作為大腦，並搭配提示工程，來驗證智慧座艙助理概念。他也提到，採用提示工程，「能帶來更好的迭代速度，加速產品正式上線。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>步驟1：概念驗證</strong></span></span></p> <p>進一步來說，在概念驗證（PoC）階段，TomTom將概念設定為「可用推理行動ReAct提示工程，來將Davinci GPT串接到TomTom服務。」Massimiliano表示，為驗證這個概念，他們首先利用微軟AI開發平臺Azure AI Studio中的遊樂場（Playground），來進行測試。</p> <p>Azure AI Studio平臺提供多種模型和API，來供企業嚐鮮、測試，在今年大會中還正式上架了強大的多模態模型GPT-4o，以API和模型形式提供，這也是TomTom團隊接下來要嘗試的模型之一，尤其用來發展更好的語音對話體驗。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2-case-600-2.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>為打造車用助理，TomTom先是設定核心概念，接著在Azure AI Studio中的遊樂場（Playground）來快速測試。可行後，再透過開源LLM開發框架LangChain來實作、迭代。</strong><span style="font-size: 14px;">圖片來源／微軟</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>步驟2：用LangChain開發迭代</strong></span></span></p> <p>回到2023年初，當TomTom在遊樂場驗證概念後，接著將概念驗證結果，利用當時問世沒多久的開源LLM開發框架LangChain重現，進而迭代。</p> <p>在這階段，他們已將LLM大腦與智慧座艙核心技能連結，可實現簡單的互動。但「這只在我的機器上執行！」Massimiliano點出，為讓這個成果大規模擴展、取得更多回饋以進行更多迭代，他們將應用程式上雲。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2-case-600-3.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>TomTom揭露智慧座艙車用助理的開發流程，首先在遊樂場中利用提示工程來測試核心概念，接著使用LLM開發框架LangChain來實作。為取得更多回饋加速迭代，他們將原型App上雲，並簡化基礎設施管理工作。最後，他們將原型App整合至既有服務中，同時也進行各項品質評估、強化安全防護等。</strong><span style="font-size: 14px;">圖片來源／TomTom</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>步驟3：上雲擴大使用者</strong></span></span></p> <p>於是，TomTom評估後採用Azure容器應用程式，兼顧上雲和無伺服器特色，既能讓更多人使用智慧座艙原型App，團隊也只需維護少量基礎設施、專注智慧座艙助理開發。同時，他們也採用Bicep語言來部署Azure資源，實現基礎設施即程式碼（Infra as Code），簡化基礎設施管理工作。</p> <p>同時，在這個階段，團隊還得考量App上雲後的記憶和知識儲存。於是，他們選用Azure Cosmos DB資料庫來儲存智慧座艙的對話與知識，Massimiliano補充，在知識部分，團隊還添加向量與RAG資料，來補強智慧座艙的特定知識。</p> <p>他還強調，在App中增添語音或文字對話功能，就得考量對話長度增加所帶來的效能減退問題，而管理上下文長度、確保輸入模型的Token量限制，或採用一些框架來動態剪枝，或保留些時間給對話，都是能兼顧短期記憶和App效能的建議作法。</p> <p>至於知識部分，因團隊採用RAG，也就是搜尋知識資料庫、將最合適的答案回覆給使用者。但「最棘手的是如何吸收這些知識，尤其是，如何對大型文件拆分、呈現這些資料給LLM，比如回傳給模型前先進行摘要。」Massimiliano表示，這是開發者會面臨的另一個挑戰。</p> <p><span style="color:#3399ff;"><strong><span style="font-size:28px;">步驟4：整合準備上線</span></strong></span></p> <p>完成上述步驟後，接下來就是將迭代成果整合至既有服務中，並進行各項品質評估。「這並不容易，」Massimiliano解釋，因為LLM可能給出隨機回答，若用另一個LLM來檢測這個LLM的輸出值，則又更加隨機。</p> <p>與此同時，走到這一步的TomTom團隊，也開始思考是否要放棄LangChain。但後來回顧，也只是因為當時太早使用了，隨著越來越多工具和配套資源出現，他們並未捨棄這個框架。</p> <p>在這個階段，他們也思考，除了短期記憶，應該也要增添整體智慧座艙的長期記憶，來達到更好的對話體驗。最後，還有一件上線前的必做事項：紅隊演練與安全防護。</p> <p>如何進行演練呢？Massimiliano建議，起初可挑一個自動紅隊框架，並舉辦一個小型黑客松，來讓人組隊攻擊智慧座艙App，再將這些經驗納入自動紅隊框架中。此外，使用Azure OpenAI或其他框架的審核過濾器等功能，也能強化App保護。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>從中學到的2件事</strong></span></span></p> <p>Massimiliano演講時展示的實測結果，正是完成上述4大步驟的TomTom智慧座艙原型App，已成功整合至座車，該原型App也持續優化中。</p> <p>Massimiliano點出，團隊從這段經驗，也學到2大重要課題。首先，為跟上快速發展的AI步調，開發者要找出最小可驗證的核心概念，來快速迭代、發展許多原型。他表示，開發者甚至可獨立於主要App，來驗證新概念，再將學習到的知識融入主要App中。接著，開發者要進行無止盡的迭代，因為技術和期望「每天都在變化。」</p> <p>再來，要確認這些原型是否有價值，就得讓原型App接觸更多人群、得到使用回饋，才能進一步改善。這時，就得將原本地端的原型轉為雲端App，採用一些現成雲端服務、使用模板，就能快速實現這一點，並專注於核心概念發展、做出差異化。</p> <p><span style="font-size: 24px;"><a href="https://www.ithome.com.tw/article/163584" target="_blank"><span style="color: rgb(255, 255, 255);"><strong><span style="font-size: 22px;"><span style="background-color: rgb(255, 140, 0);"> 相關報導 </span></span></strong></span></a></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><a href="https://www.ithome.com.tw/article/163584" target="_blank"><strong><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1187-feng_mian_p1-ruo_pu_-open-960x420_0.jpg?itok=MnDO1UnG" style="width: 550px;" /></span></strong></a></span></span></p> </div></div></div>
2024/6/21 11:18作者王若樸https://www.ithome.com.tw/news/163579
2024微軟AI戰略
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1187-feng_mian_p1-ruo_pu_-open-960x420_0.jpg?itok=MnDO1UnG" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;">微軟執行長Satya Nadella在Build 2024大會聚焦2大AI戰略：Copilot技術架構和Copilot+ PC。從基礎設施、模型、資料、AI工具、Copilot應用與AI安全防護，一層層祭出重大更新，要帶給開發者更好的Copilot開發能力。更要靠硬體和獨家Runtime加速，要將Windows打造成AI開發平臺。</p> </div></div></div>
2024/6/21 11:18作者王若樸https://www.ithome.com.tw/article/163584
打造五大中臺連接數據流，Sogo用IT疏通內外流程
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>佇立在忠孝東路37年的遠東Sogo百貨忠孝館，在2004年與臺北捷運忠孝復興站4號出口打通，連接起兩大地標出入口。2年後，與忠孝館對望的Sogo復興館開幕，用一個十字路口連接起兩館，捕捉了無數臺北東區來客的足跡。</p> <p>疫情以前，Sogo可以利用地利之便自然連接起人們實體的足跡，創造出這個經典雙館對望之景。3年前進入疫情，Sogo開始數位轉型，嘗試用數據來連接起人們的數位足跡，甚至串聯起散布於全臺的其他5間分店，以及即將落成的大巨蛋商城。</p> <p>「我們數位轉型的主題是連接。」遠東Sogo百貨資安長葉為立進一步說明，業務面來說，他們要連接起分店營業資訊、會員足跡和喜好、員工作業流程及權利義務；系統面來說，則是要連接起前臺、中臺、後臺系統。他們希望，將所有資訊流串聯起來，結合Sogo累積多年零售經驗，來完善各式決策。連接起這一切的關鍵，就是數據。</p> <p>葉為立是遠東集團IT老將，2011年起擔任遠東中國零售體系的資訊總監，也在紅利集點服務Happy Go擔任過資料處理相關要職。回臺後，自2021年1月成為Sogo百貨資安長，帶領資訊部門推動數位轉型及資安強化。</p> <p>串聯起橫跨集團上下系統和接觸點的數據難以一蹴而就。業為立說明，Sogo數位轉型共有4大階段，第一階段是，徹底翻新IT基礎架構，導入系統中臺並大幅遷徙系統上雲，降低開發和維運成本，梳理數據處理流程後，為後續階段準備。接著則是整合系統後升級內外部服務、設立電商部門並上線數位通路，以及串聯會員社群媒體數據。</p> <p><span style="font-size:28px;"><strong>上雲、打造中臺，提升開發及維運效率並增加系統調整彈性</strong></span></p> <p>Sogo上雲策略是，除了防毒中控等有敏感資料的內部系統不上雲，其餘系統全面上雲，尤其是面向顧客、流量變動大的系統。</p> <p>舉例來說，在周年慶等大檔期，Sogo系統必須面對20至30倍的流量，最多每秒處理1,845次請求，就需要利用雲端服務商的系統監控、流量過濾、資源調度等功能。</p> <p>他們也利用其他雲端服務來大幅加速程式碼測試和部署效率，並在雲端環境打造報警工具來自動化通知IT供應商處理異常事件處理，並搭配敏捷開發做法來快速進行小版本更新。</p> <p>上雲同時，Sogo還大幅改造IT系統架構，導入了中臺架構。他們將中臺作為串接所有前後臺系統的中心，要新增系統或更替都更容易。</p> <p>葉為立表示，中臺架構讓大巨蛋商城的IT建置歷程相當順利，尤其是串接各式新前臺系統。</p> <p>他們共打造了5大主要中臺：交易中臺、支付中臺、會員中臺、營銷中臺，以及數據中臺。這些主要中臺下，還有附屬中臺，例如發票中臺等。</p> <p>葉為立說明，之所以如此細緻地拆分中臺功能，是為了簡化中臺功能，進而降低出錯情況及系統維運成本。這種做法下，不同前後臺系統會依照數據處理目的，分別將數據拋轉到不同中臺，一方面，可以降低單點故障（Single point of failure）帶來的風險，另一方面更容易在數據處理流程出錯時，快速釐清問題所在。</p> <p>為了迅速應對這些系統和流程的異常事件，Sogo使用了雲端平臺上的中心化日誌蒐集和分析服務，集中前中後臺系統Log，並將異常事件依照嚴重程度分類為P1至P5共5個等級，P1事件必須知會所有管理階層人員、P3需通知到專案管理人員、P4以下則較輕微，可以由作業端人員自行排除，或直接由IT供應商人員處理。</p> <p><span style="font-size:28px;"><strong>與系統廠商專業分工，利用統一通訊格式和大量會議串聯起協作流程</strong></span></p> <p>升級IT基礎架構時，Sogo也把與IT廠商協作的新模式納入設計考量。前述報警機制就是其中一項設計。</p> <p>葉為立說，他們與IT廠商協作模式的精神是：「讓專家處理各自專業的事。」Sogo IT專注於零售領域系統，例如交易、營銷、贈獎等系統，其他非零售專業的系統，如人事等，則盡量交由各自IT廠商負責。</p> <p>導入中臺架構時，Sogo便要求每一個系統提供商配合清洗和整合數據，同時調整系統數據輸出格式，來符合中臺數據格式標準，並打造API來拋轉數據到Sogo大大小小的中臺。「就算是套裝軟體，我們仍要求廠商客製，來符合我們中臺標準。」葉為立說。</p> <p>要打造這個系統架構，需要Sogo IT與各家廠商IT對齊工作排程與開發需求，再經過一系列數據處理、系統客製化、測試作業。當少數系統廠商難以支援客製化需求，Sogo數據團隊便需要自行於中臺打造ETL機制，將數據轉化為中臺支援的資料格式。</p> <p>正是因為所有系統與中臺的串接使用統一的資料格式，系統Log彙整到中心化日誌蒐集和分析服務後，才更容易快速分類不同事件影響程度並通知廠商及時處理，Sogo也要求所有廠商接受異常事件處理通知的報警機制都符合Sogo通訊格式。當異常事件影響程度輕微時（P4以下），廠商端接受到自動報警後可自行排除，省去Sogo IT許多自行處理的時間與人力作業成本。</p> <p>要與IT廠商建立密切協作及分工關係，大量需求溝通不可少。Sogo IT團隊每周，甚至每天，都會與不同廠商進行Scrum敏捷開發做法中的站立會議。葉為立說，這個做法搭配雲端自動化部署服務，使他們能依照需求來快速、頻繁對系統進行小版本更新。</p> <p><span style="font-size:28px;"><strong>跨部門推動敏捷做法及數據驅動決策風氣，由IT擔任軍火庫支援各部門KPI</strong></span></p> <p>在Sogo，不只IT團隊要舉行站立會議。葉為立推動數位轉型時，也將敏捷開發方法帶入其他非IT部門。當產品IT比重大，產品負責人會由具IT背景的產品經理（Product Manager）擔任，當業務比重大，則會由各自業務背景的專案經理（Project Manager）擔任。例如，發票中臺的產品負責人就是Sogo出納部門主管，而非IT人員。</p> <p>推動敏捷等新做法及數位文化時，是否會面臨非IT部門的不適應甚至反彈？葉為立說，IT會盡可能降低溝通成本，例如將報表數據從文字轉化為圖表，增加易讀性。不過，得益於企業上層支持，加上疫情讓所有部門都感受到轉型急迫性，Sogo數位轉型從一開始就是所有部門共同推動的事項，而非由IT孤身推行。</p> <p>轉型期間，Sogo成立了電商部門，販促部門出現了數位行銷職能，人事部門導入了智慧HR系統，財會部門的財管系統也大升級。許多部門都帶著各自需求，請IT尋找解方。</p> <p>「業務KPI是各部門自己訂，IT作為軍火庫，提供他們達成KPI的武器。」葉為立如此形容Sogo IT在數位轉型中扮演的角色。許多部門都有明確需求，更使他們有能力派出產品負責人來主持Scrum小組，讓IT與非IT部門密切協作，開發解方。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-CIO-%E6%8A%BD%E8%A8%80-JPG.jpg" style="width: 600px;" /></p> <p><span style="font-size:28px;"><strong>整合系統及數據來強化內外部服務</strong></span></p> <p>基礎建設和內外部新做法成一定氣候，是Sogo數位轉型的第一座里程碑。葉為立說，Sogo數位轉型第二座里程碑是，開始串聯起數據流，來升級對內及對外服務。</p> <p>對內服務升級的一個例子是員工App，整合了管理差勤、會議室預約、資訊公告及公告閱讀率追蹤等功能。配合IT基礎架構升級，Sogo先是大幅調整員工App底層架構，使其更容易與中臺串接。近期，它們更要第二次大改員工App，將部分功能模組上雲，是系統大幅上雲策略的一環。</p> <p>對外服務的升級則是會員機制強化。為了符合隱私法規，他們打造了一套會員識別機制，稱為MUID（Merchant Unique ID）。葉為立說明，雖然Sogo資料庫蒐集了會員橫跨不同分店和通路的足跡，不過受到法規限制，不同分店的商家只能看到會員在同一分店的數據。因應此規定，隨著會員於不同通路消費，Sogo會將這些行為數據紀錄在會員名下不同的MUID中。</p> <p>舉例來說，會員在忠孝館的消費行為數據會紀錄於忠孝001身分，到了復興館則會紀錄到復興003身分下。當不同分店的商家到系統中查詢MUID，便只能查詢到該名會員在同一分店中的數據。分店也不會知道，忠孝001和復興003這兩個MUID屬於同一名會員。如此一來，Sogo不同分店便能各自在去識別化的情況下，利用數據對會員進行精準行銷。</p> <p>同時，他們也將自家App整合更多系統，新增了電子禮券、贈獎活動、停車折抵等更加多元化的功能，增加消費者開啟App的誘因。</p> <p><span style="font-size:28px;"><strong>更細緻串聯起不同接觸點數據，打造個性化實體零售服務</strong></span></p> <p>第三個重要里程碑，則是在去年年初推出線上商城，延伸百貨服務到數位通路，同時將商城作為重要數據蒐集和數位行銷的接觸點。</p> <p>他們近期更朝著第四個里程碑前進，開始嘗試綁定會員身分與會員在社群媒體的身分，一方面簡化會員註冊及登入程序，另一方面開始蒐集會員於外部通路留下的喜好數據，深化Sogo對會員的了解。</p> <p>打造數位通路並將觸角伸向外部通路後，Sogo未來還要嘗試更多新做法，來持續加深加廣通路的業務及數據經營。第一個做法是近年在臺灣零售界崛起的零售媒體聯播網（RMN，Retail Media Network），利用豐富零售第一手數據，來經營數位行銷服務。</p> <p>葉為立說，Sogo曾經憂心，第三方Cookie這個過往用於數位行銷的追蹤格式退場，會降低他們數位行銷成效。</p> <p>不過，經歷一系列數位轉型後，他們已經累積足夠的數據量，和足夠完善的數據處理機制，來支援自家數位行銷。葉為立認為，Sogo RMN的技術建置已經到位。不過，他們不打算用常見的RTB或專案式數位廣告商業模式，來經營RMN。</p> <p>「我們打算將數位行銷服務作為與廠商合作的交換條件，而不是直接收費。」葉為立舉例說明，在特殊活動檔期希望廠商支援，或提供特殊優惠時，Sogo可以提出替廠商在自家線上線下通路進行數位行銷，作為與互惠的交換條件。目前，他們已經有和其中一家廠商嘗試進行這種合作模式。</p> <p>另一個做法是導入AIoT技術。葉為立說，Sogo已經開始將AI用於商品推薦、顧客導流、智能客服等零售業較為常見的應用場景。Sogo將所有系統都連接起來的下一步，更打算把AI技術用於邊緣裝置管理，利用AIoT技術來強化倉儲管理效率。</p> <p>不只如此，他們還計畫用AIoT技術打造個性化接觸點體驗，使線下購物接觸點能因應不同顧客，呈現出個人化體驗。這也延續了Sogo 3年來數位轉型的主題「連接」──利用數據更細緻的連接起所有接觸點、業務流程及消費者體驗。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CISO小檔案 </span></strong></span></p> <p><strong>遠東Sogo百貨資安長葉為立</strong></p> <p>學歷：清華大學工業工程與工程管理所碩士</p> <p>經歷：2011年進入遠東集團負責中國區零售體系的資訊總監，也於Happy Go負責數據相關業務7年。2021年起擔任Sogo百貨資訊部負責人，帶領IT團隊推動數位轉型與雲端服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-CISO-300.jpg" style="width: 299px; height: 133px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p>太平洋崇光百貨（遠東Sogo百貨）</p> <p>●地址：臺北市大安區忠孝東路4段45號</p> <p>●成立時間：1986年</p> <p>●主要業務：百貨零售</p> <p>●員工數：1,500人</p> <p>●董事長：黃晴雯</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●直屬主管：葉為立</p> <p>●資訊部門名稱：資訊部</p> <p>●資訊部門人數：約30人</p> <p>●資訊部門分工：資訊開發、資訊管理、資訊應用</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2019年：Sogo App上線</p> <p>●2020年：開始推動系統上雲、開始提供Sogo電子禮券</p> <p>●2021年：開始打造大數據CDP、開始積極推動跨部門敏捷做法</p> <p>●2022年：導入中臺架構進行智慧零售應用</p> <p>●2023年：建立資訊維運監管系統，推動智能管理、Sogo Plus電子商城上線</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1187-ciso-960.jpg" width="960" height="420" alt="" title="遠東Sogo百貨資安長葉為立" /></div></div></div>
2024/6/21 11:32作者郭又華https://www.ithome.com.tw/people/163586
資安自知之明
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣上千家上市公司，從今年五月開始，對於資安重訊的發布，有了更高的要求，<a href="https://www.ithome.com.tw/news/163229" target="_blank"><span style="color:#3333ff;">證交所修訂了重大訊息問答集第26款的內容</span></a>，要求企業，只要發現遭駭客攻擊或入侵，不論是否涉及核心資訊系統、機密文件，都屬於對公司造成重大損害或影響，需發布重大訊息對外揭露。甚至，不一定要發生個資或內部文件外洩事實，而是只要有外洩的風險（問答集中的用語是「外洩之虞」），就需要發布重訊。</p> <p>在這項的規定修正公布後不久，在6月上半，我們看到三家公司發布資安重訊，<a href="https://www.ithome.com.tw/news/163304" target="_blank"><span style="color:#3366ff;">已經有企業採取了更高標準的自我要</span></a>求，就算是周邊靜態的網頁（非核心）有遭存取的風險（偵測到遭外部入侵的意圖），也如實發布重訊。這一點正是證交所擴大資安重訊通報範圍的目的，要為企業資安態勢的透明化，樹立新的參考標準。</p> <p>我認為，這樣如實揭露的企業態度，相當值得肯定。唯有更多企業如實揭露，才能讓整體產業培養出更成熟的資安當責文化，讓各界對資安事件有更正面的態度，不是一昧責難，導致許多企業擔心影響股價而資安噤口。應該反過來，鼓勵更多企業願意面對，讓企業將危機視為強化資安的成長機會。</p> <p>但是，另一方面，在這三起六月初的資安重訊中，有家老牌企業，直到國外媒體曝光資料遭竊消息後2天，才發布重大訊息，<a href="https://www.ithome.com.tw/news/163347" target="_blank"><span style="color:#3366ff;">坦言資安部門的確偵測到網路傳輸異常</span></a>。</p> <p>原本證交所就要求，上市公司需要回應媒體所披露的資料外洩，以免影響到公司形象（股價）。但是，這家公司直到外洩傳聞曝光兩天後，才出面證實有異常情事。這凸顯了企業對於自身資安防護態勢的認識不足，一種可能是資安偵測能力不足，沒有足夠的紀錄和資訊，更早一點發現自家哪些系統遭殃，或者可能是資安識別能力不足，無法更快判斷出自己遭遇了什麼樣的威脅。</p> <p><a href="https://www.ithome.com.tw/article/163449" target="_blank"><span style="color:#3366ff;">從今年CIO與資安大調查結果中</span></a>，只有4成多的臺灣大型企業對自己的資安能力夠有信心，識別能力不足是多數企業資安自信心最低的資安短板。為了進一步了解臺灣大型企業今年資安布局如何因應這個資安短板。我們參考前美國銀行首席安全科學家Sounil Yu在2016年，他於銀行任職時發明的網路防禦矩陣CDM（Cyber Defense Matrix），繪製了一張臺灣大型企業網路防禦矩陣的2024年資安投資重點的分布圖。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/163449" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2%E8%B3%87%E5%AE%89%E4%BF%A1%E5%BF%83-600-4-PNG.png" style="width: 600px;" /></a></p> <p>從這份CDM對應圖，可以看到臺灣近5成的企業，今年資安投資仍是散彈打鳥，重點式的強化，主要聚焦在保護作為，也大多只涵蓋到特定資產的識別和偵測能力，另外在復原能力上，多數企業則偏重以事後因應而非更及時應變的異地備援作法。</p> <p>不過，已有1~2成積極落實資安的企業，今年資安布局涵蓋到更完整的識別與保護面向，例如推動零信任資安、資安治理、身分識別與存取控管、紅隊演練等。甚至有極少數，約5％格外重視資安的大型企業，今年進一步要強化到各類資產的偵測、回應和復原能力，例如設立CSIRT小組。</p> <p>現在的企業資安，不可能做到百分之百的防禦，不可能完全不受到有心人士（惡意程式）攻擊的影響。但是，企業是否能更快、更早知道自己遭到鎖定，知道自家門外已有可疑人士徘徊，甚至在門口被畫上了日後犯案的標記，這就考驗了企業對自家資安防護態勢的認識能力，企業得有足夠的資安自知之明，才能採取更適當也更有效的應變。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/%E9%87%8D%E8%A8%8A">重訊</a></div><div class="field-item even"><a href="/tags/%E8%AD%89%E4%BA%A4%E6%89%80">證交所</a></div><div class="field-item odd"><a href="/tags/cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">CIO大調查</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89%E5%A4%A7%E8%AA%BF%E6%9F%A5">資安大調查</a></div></div></div>
2024/6/21 11:36作者王宏仁https://www.ithome.com.tw/voice/163587
【微軟Build 2024 AI戰略1】微軟Copilot技術架構大更新，深度優化智慧助理開發體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月21日，微軟執行長Satya Nadella現身西雅圖會議中心，揭開微軟Build 2024技術大會的序幕。他用將近1小時的時間，揭露微軟今年度2大AI新戰略以及共數十項的重大新進展。</p> <p>其中一大戰略就是微軟Copilot架構（Microsoft Copilot Stack）更新。「我們一直是平臺公司，」Satya說明：「我們的目標是打造最完整的端到端技術架構，涵蓋基礎設施、模型、資料、工具再到應用擴充外掛。如此，使用者就能用來打造專屬應用！」</p> <p>這句話點出了Copilot架構鎖定的目標族群和重要性：開發者與AI驅動的個人化助理應用。一如Satya所言，這個微軟Copilot架構更新層面廣泛，涵蓋了底層、應用層和AI安全與資安層等3大層，每層皆有重要突破，加總起來強化了Copilot智慧助理的開發便利性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2P3P4-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟執行長Satya Nadella揭露今年度微軟AI戰略之一的Copilot技術架構更新，如AI基礎設施的資料中心將在2025年全面採用再生能源、基礎模型層新添更多第三方和微軟Phi系列基礎模型，資料層則推出PB級即時串流資料分析服務等。</strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>底層更新1：資料中心擁抱新能源與算力突破</strong></span></span></p> <p>延續上述的Copilot技術架構底層，可細分為AI基礎設施層、基礎模型層、資料層、AI調度與工具鏈層。</p> <p>就AI基礎設施層來說，目前微軟已在60多個區域建置資料中心，過去1年也在日本、法國、墨西哥、馬來西亞等地打造新資料中心。Satya點出，微軟接下來要在2025年前，將資料中心全數採用再生能源，不產生任何碳排。而且，他們最新的資料中心專為AI設計，結合新的冷卻技術，來大幅優化執行效率、降低能耗成本。這是微軟資料中心的發展新策略，是驅動所有開發和應用運算的關鍵。</p> <p>不只資料中心，基礎設施層還包括了AI加速器、I／O設備、網路等硬體設備的更新。在這部分，「過去6個月以來，微軟不只將Azure雲端超級算力提高了30倍，」Satya表示，今年還要新添Nvidia H200 GPU到微軟Azure雲端算力，且微軟也將是第一批提供Nvidia Blackwell GPU配置（含B100和GB200）的雲端供應商。</p> <p>同時，微軟還布局虛擬機器與加速開發配套，正式推出基於AMD最新Instinct GPU的虛擬機器ND MI300X v5，配有更高的頻寬記憶體，可更快、更有效率執行AI模型推論，優化AI應用體驗。這系列虛擬機器，還搭配AMD ROCm開源軟體平臺，開發者可存取該平臺的AI開發部署工具和函式庫，如TensorFlow、PyTorch等熱門框架，或ONNX Runtime、DeepSpeed和 MSCCL等AI加速的微軟函式庫，來縮短AI開發部署時間。</p> <p>除了ND MI300X v5，微軟還有另一系列虛擬機器進入公開預覽，包括通用型的Dpsv6系列、Dplsv6系列，以及記憶體優化的Epsv6系列虛擬機器。這些虛擬機器採用Azure Cobalt 100處理器，專門用來高效率執行雲原生運算解決方案，甚至，微軟自己就用於影片處理、M365許可管理等任務，還「驅動了微軟Teams這類服務上數十億的對話。」Satya指出，根據微軟測試，Cobalt 100可提高40%效能，大幅優化作業表現。他期盼將這些優秀的基礎設施工具，能讓更多企業和開發者享用。</p> <p>從資料中心的能源政策、雲端算力的躍升再到虛擬機器的加速，都為Copilot開發提供更快速的基礎。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>底層更新2：GPT-4o正式上架、更多Phi系列模型</strong></span></span></p> <p>AI基礎設施往上一層，來到了基礎模型層。</p> <p>這層亮點也不少，聚焦第三方模型的整合和自家模型更新。首先，微軟AI開發平臺Azure AI中有套生成式AI開發工具Azure AI Studio，這次正式上線，其上的多模態模型GPT-4o也進入正式版本，以模型形式和API形式供開發者取用、打造AI應用。</p> <p>再來，Azure AI Studio還提供模型即服務（MaaS），裡面正新添各種語言模型，提供隨用隨附的模型API和託管式微調功能，讓開發者用來打造生成式AI應用。在這次更新中，MaaS新添了Core42的JAIS、Nixtla的TimeGEN-1等2款模型預覽版，Satya預告，接下來還會新添來自AI21、Bria AI、Gretel Labs、NTT DATA、Stability AI和Cohere Rerank等AI領先者旗下的模型預覽版，同時簡化應用程式的整合與微調工作，讓開發者不必管理底層GPU等基礎設施，就能順利開發AI應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2P3P4-600-3.jpg" style="width: 600px;" /></p> <p>在整合第三方模型的策略上，微軟繼續擴大與Hugging Face的合作，將所有Hugging Face上的開源模型也納入Azure AI Studio，更方便開發者取用。</p> <p>除此之外，微軟也繼續拓展自研的Phi系列小型語言模型，新添42億參數的Phi-3-vision模型預覽版，可用來執行視覺任務，如處理圖表、圖形和表格等資訊。同時，微軟先前發表的Phi-3-mini、Phi-3-small和Phi-3-medium三款模型，也在MaaS中進入正式版本。Azure AI Studio還推出客製化模型功能，使用者可用自己的資料訓練模型，更客製化。</p> <p>所以，微軟基礎模型層的新進展，就聚焦於第三方模型整合和自家Phi系列模型更新。</p> <p>不過，Satya也補充，為確保這些模型產出正確內容，Azure AI Studio也新添內容安全工具和功能，包括即將推出的自定義類別（Custom Categories）、預覽版的提示盾（Prompt Shields）和基準偵測（Groundedness Detection），其中自定義類別可讓使用者自定過濾器，最快不到1小時就能部署過濾器來把關生成式AI應用程式。提示盾和基準偵測則能偵測模型是否產生幻覺，還能介入間接或越獄提示攻擊。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>底層更新3：能即時處理PB級串流資料了</strong></span></span></p> <p>從基礎模型層往上，就是微軟Copilot架構的資料層。在這裡，微軟布局紮實，早有一系列資料處理工具來提供服務，如Azure SQL DB、Azure Cosmos DB、Azure for PostgreSQL、MySQL、Azure AI、Azure Databricks和Microsoft Purview等。</p> <p>而今年的資料層一大進展，就鎖定擁有1萬1千多名企業用戶的資料分析平臺Microsoft Fabric。微軟特別針對企業難以處理的資料即時分析，在該平臺上新添一項無程式碼／低程式碼的即時智慧（Real-Time Intelligence）SaaS解決方案。Satya強調，使用者透過這個功能，可更快速處理大量、顆粒度更細緻的數據，包括PB級的即時串流資料分析。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2P3P4-600-2-Microsoft%20Fabric-Real-Time%20Intelligence.jpg" style="width: 600px;" /></p> <p>這項即時智慧目前為公開預覽版，也因為低程式碼特性，分析師能簡單上手，另對專業開發者，也提供完整的程式碼使用介面。尤其，巴西極限賽車隊Dener Motorsport一直用這個平臺來支援即時分析和通報，現在他們計畫用即時智慧，來在比賽當下，直接分析資料、調整贏賽策略。</p> <p>不只瞄準即時串流資料分析，為降低App開發門檻，微軟還在Fabric平臺中新添工作負載開發套件（Workload Development Kit），能讓獨立軟體商和開發者，用來打造更一致的使用者體驗應用。該套件目前為預覽版。</p> <p>另一大重點，則與檢索增強生成（RAG）相關。</p> <p>自以大型語言模型驅動的生成式AI興起後，RAG就成為降低模型幻覺和胡言亂語的重要技術，微軟也早已打造AI資訊檢索平臺Azure AI Search，來支援各種規模的RAG應用，甚至「連ChatGPT、Assistant API等都靠Azure AI Search來完成。」Satya點出，在這次更新中，Azure AI Search整合了OneLake資料湖，可自動索引非結構化資料，使用者也能在Microsoft Fabric直接使用Azure AI Search，擴大RAG可索引和搜尋的範圍，讓模型回答更精準。</p> <p>也就是說，在資料層，微軟更新策略鎖定巨量資料即時分析和RAG範圍擴增，後者也搭配基礎模型提供更好的回答體驗。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>底層更新4：AI工具鏈添新外掛</strong></span></span></p> <p>再來，AI調度與工具鏈層的新進展，是微軟延伸2年前新闢的GitHub Copilot開發助理戰線。該助理至今累積了180萬名訂閱者、共5萬多家組織使用，微軟還在今年4月底，聯手GitHub推出私有預覽版的AI程式開發工具GitHub Copilot Workspace，開發者用自然語言就能規畫、建置、測試和執行程式碼，加速軟體開發流程。Satya在這次大會上就透露，接下來幾個月，微軟將開放讓更多人使用這套工具。</p> <p>不只如此，Sayta進一步揭露該工具的程式開發新外掛GitHub Copilot Extensions，一樣是私有預覽版，開發者可用自然語言和自己習慣的第三方工具，來打造、部署雲端應用，完全不必離開開發環境IDE或GitHub網站。這些外掛包含微軟自己開發的和第三方合作夥伴開發的，第一波就有16個外掛，來自DataStax、Docker、LambdaTest、LaunchDarkly、Microsoft Azure和Teams、MongoDB等，建立更好的AI開發第三方生態系。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2P3P4-600-4.jpg" style="width: 600px;" /></p> <p>這些外掛，還可讓開發者用來客製自己的GitHub Copilot應用。比如，微軟自己就打造一款GitHub Copilot for Azure外掛，能讓開發者用自然語言來探索、管理Azure資源，還能排除問題、尋找相關日誌和程式碼。</p> <p>所以在AI調度與工具層，微軟主打開發者助理外掛，來提高開發便利性。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>應用層更新：擴大客製範圍、新推協作助理</strong></span></span></p> <p>接著進入應用層，Satya將新進展分為「個人、團隊、代理（Agent）」等三大層次。</p> <p>就個人層次來說，指的是Copilot應用客製化，微軟一樣走整合擴展路線，在Copilot Studio助理開發平臺中，新添Microsoft Copilot Connector連結器預覽版，可助Copilot摒除障礙，跨App和工作流程存取使用者資料，更好地打造客製化應用。因為，這個連結器集結了微軟Graph和Power平臺的連結器、微軟Fabric平臺的AI技能和微軟Dataverse平臺，來讓第一方和第三方的Copilot整合知識、更快落地。</p> <p>再來，「團隊」是指Copilot協作應用，微軟針對既有的M365 Copilot，新推一款協作助理Team Copilot，專門處理複雜的協作任務。比如，它可在協作工具Teams中管理會議、安排議程、管理時間和記錄重點，還能管理Teams對話，摘要重要資訊、回覆群組問題等。甚至能扮演PM角色，確保任務管理看板Planner中的每個專案順利進行，同時也會在Loop應用中通知團隊新消息、加強專案協作。這款Team Copilot預計今年晚些時候預覽。</p> <p>最後，在代理層次，微軟在低程式碼助理開發平臺Microsoft Copilot Studio中，增添新的代理能力類別，開發者只要輸入工作描述、提供相關知識，或點選預設的模板，就能打造能主動回應數據和事件的智慧助理，還能執行特定任務與功能。</p> <p>Satya還強調，用這個新能力打造的Copilot助理，可用學習到的知識和使用者回饋，來獨立管理複雜、冗長的業務流程，甚至能在遇到棘手問題時，主動尋求使用者幫助。</p> <p>可以說，微軟用個人客製化、團隊協作應用、更聰明且個人化的代理能力，來優化Copilot的應用體驗。</p> </div></div></div>
2024/6/21 11:08作者王若樸https://www.ithome.com.tw/news/163530
【深化Copilot技術架構，還要將Windows打造成AI開發平臺】微軟揭露年度2大AI戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年，微軟做了2件大事，影響今年AI戰略走向。</p> <p>一是推出生成式AI助理微軟Copilot，短短1年更新了150多次，成為新一代微軟跨生產力工具的智慧小幫手。另一件事是，微軟也開始打造Copilot技術架構，提供技術資源和工具，來讓開發者打造自己的Copilot助理。甚至過去2年來，微軟聯手GitHub推出程式開發AI助理GitHub Copilot，搖身一變成為全球工程師愛用的熱門工具，光付費訂閱者就有180萬人。</p> <p>可以說，微軟近期AI戰略鎖定Copilot本身、Copilot客製化開發能力，以及更便捷智慧的程式開發助手。</p> <p>到了今年，微軟AI戰略又有何變化？下一步往哪前進？</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>微軟Build 2024的兩大AI戰略</strong></span></span></p> <p>他們在今年度Build大會上給了答案。在這場20萬人註冊、4千人親自至西雅圖參加的微軟Build 2024大會上，微軟執行長Satya Nadella開宗明義點出了今年發展3大元素：微軟Copilot、Copilot技術架構和AI系列筆電Copilot+ PC。</p> <p>Satya並未過多著墨微軟Copilot，反而聚焦於後兩者，意味著這是微軟2024年的2大AI戰略。一如前述，Copilot技術架構並非新東西，是微軟去年就開始發展的架構，目標是滿足開發者需求，來打造客製化Copilot助理。</p> <p>今年，Satya進一步詳解這個技術架構的組成，涵蓋底層的AI基礎設施、基礎模型、資料、AI調度和工具鏈，以及上層的Copilot應用、擴充外掛，還有AI安全與資安。這個架構，比去年揭露的更細緻。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-600-1.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟執行長Satya Nadella在今年度Build大會上點出Copilot架構和Copilot+ PC兩大AI戰略，其中後者有個Runtime重要基礎，以Windows Copilot函式庫和40多個本地端模型為核心。</strong><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>戰略1：Copilot技術架構</strong></span></span></p> <p>今年，基礎設施層有3大亮點，首先是遍布全球的資料中心將於2025年全數採用再生能源、零碳排，再來是過去6個月Azure雲端算力提高了30倍，最後是推出2款加速AI訓練和推論的虛擬機器（VM），包括ND MI300X v5和搭載Azure Cobalt 100處理器的系列虛擬機器。</p> <p>在基礎模型部分，微軟生成式AI開發工具Azure AI Studio終於進入正式版，其上的強大多模態模型GPT-4o也正式上線。至於模型發展則朝2方向並行，一是延續微軟自建的Phi小型語言模型，新推更小更有效率的多模態模型Phi-3-vision，另一是深化第三方模型整合，包括擴大與Hugging Face合作、要導入其開源模型，同時也在模型即服務（MaaS）中納入第三方企業模型。</p> <p>至於資料和AI工具層，分別主打即時串流資料分析服務Real-Time Intelligence、整合資料湖OneLake擴大RAG範圍，以及在AI程式開發工具GitHub Copilot Workspace中，推出程式開發外掛GitHub Copilot Extensions，首波推出16個外掛，包括微軟自建的GitHub Copilot for Azure外掛。</p> <p>在應用層，則有橫跨資料壁壘的Microsoft Copilot Connector連結器、可扮演PM角色的協作助理Team Copilot，還有Microsoft Copilot Studio平臺更強大的代理能力類別，用自然語言來客製化智慧助理Copilot。</p> <p>而AI安全與資安層，則以微軟去年發起的未來安全計畫（SFI）為核心，遵守安全設計、安全預設和安全維運3大原則，並以6項安全文化和治理作法來確保Copilot技術架構的安全。</p> <p>這就是微軟今年端出的一大AI戰略。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>戰略2：AI系列筆電Copilot+ PC</strong></span></span></p> <p>他們的第2大AI戰略，則要將雲端AI開發和應用能力延伸到裝置端，要將Windows打造成最開放的AI開發平臺。因此，微軟祭出了AI筆電Copilot+ PC戰略，其中一個重要基礎就是Windows Copilot Runtime。Satya稱之為Copilot技術架構到Windows作業系統的延伸，該Runtime以Windows Copilot函式庫為核心，向下支援AI框架和工具，向上用來打造高階AI應用與體驗。</p> <p>其中，Copilot函式庫內含一系列API和演算法，這些API由40多個本地端模型驅動。第一波API在今年6月上架，包括用於影像特效的Studio Effects、即時字幕翻譯Live Caption、OCR、回顧使用者活動Recall User Activity和多模態模型Phi Silica等。接下來還會納入向量嵌入、檢索增強生成（RAG）、文本摘要等API。這些API，加速了使用者打造生成式AI應用和體驗的作業。</p> <p>再來，Runtime支援的AI框架和工具有2大亮點，分別是Windows專用高效能低階API DirectML可原生支援PyTorch了，以及使用者可在DirectML和ONNX Runtime Web使用網頁原生ML框架WebNN。這意味著，AI開發的便利性更高了。</p> <p>利用Runtime優勢，可打造出高階AI應用與體驗，Satya用微軟自己打造的原生AI應用程式來說明。比如回顧（Recall）透過對螢幕快照，將快照資訊轉為向量、儲存在語義索引中。當使用者想搜尋先前看過的資訊時，就能輸入關鍵字來啟動向量語意辨識、快速找出所需內容。又或是由5個本地端模型驅動的圖像創作（Cocreator），可根據簡單的筆畫快速生成逼真細緻圖畫，其他還有即時字幕翻譯，可隨時替影片、音檔添加字幕或翻譯為英語。這些程式，在Copilot+ PC系列筆電中皆能開箱即用。</p> <p>不只原生AI程式，Runtime加上NPU等硬體優勢，還能優化第三方應用程式的AI功能，如Adobe系列程式、CapCut、Davinci Resolve、WhatsApp、LiquidText、Cephable等。這些程式在Copilot+ PC筆電上，都能獲得強化過的AI功能。</p> <p>不單是Windows Copilot Runtime，Copilot+ PC這系列筆電，還有強大的硬體支撐。比如採用新型架構來優化NPU、CPU和GPU的資源使用，每秒能實現40兆次操作（TOPS），可更快執行AI推論。在處理器部分，首波筆電搭載高通Snapdragon X Elite和Snapdragon X Plus處理器，可實現45 TOPS。之後，微軟還會推出搭載英特爾Lunar Lake處理器和AMD Strix Point處理器的Copilot+ PC筆電。甚至他們預告，希望這類硬體架構的筆電，未來能搭載Nvidia GeForce RTX顯卡和AMD Radeon顯卡，從硬體上更進一步優化使用體驗。</p> <p>持續深化Copilot技術架構、將Windows打造成AI開發平臺，這正是微軟Build 2024大會的2大AI戰略。</p> <p><span style="font-size:36px;"><span style="color:#6666ff;"><strong>微軟如何用GenAI協助開發者工作</strong></span></span></p> <p class="rtecenter"><span style="color:#6666ff;"><span style="font-size:28px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%8B%A5%E6%A8%B8-Amanda-%E5%9C%962-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.jpg" style="width: 250px;" /></strong></span></span></p> <p><strong><span style="color:#696969;">微軟開發者部門企業副總Amanda Silver</span></strong></p> <p><strong>在微軟Build 2024大會上，負責程式開發工具設計、GenAI工具研發的微軟開發者部門企業副總Amanda Silver接受iThome專訪，特別說明GenAI如何協助開發者日常工作。</strong></p> <p><strong>她點出，開發者最常面臨的痛點是工作不一致性，尤其開發者「通常使用30多種工具來完成工作，因此不斷在不同工具間切換，」她繼續說明：「每次切換環境時，平均需要23分鐘才能重新集中注意力。」這造成工作效率低下，而在程式開發工具中導入GenAI工具，來提供問答和指令操作，就能減少來回切換次數、提高效率。</strong></p> <p><strong>Amanda Silver也分享微軟內部如何使用GenAI工具，她指出，程式開發最重要的是「正確的第一步」，因此，微軟自己有套正確啟動模板（Start Right Templates），內含儲存庫、工作流程、正式上線流程，無論開發者想打造什麼應用程式，都可使用這套模板，來滿足安全監管和生命周期管理。而開發者可將使用模板的知識，輸入到程式開發助理GitHub Copilot中，往後有人需要類似知識時，就能透過GitHub Copilot來存取最佳實踐，提高組織效率、形塑工作文化。</strong></p> <p><strong>甚至，微軟也用GenAI來降低內部故障排除等技術問題支援的工作負擔。她解釋，微軟內部有套故障排除指南，供技術支援工程師參考、解決客戶面臨的技術問題。這些工程師還能將自己解決問題的知識，輸入到GenAI工具中，來形成一個更聰明的Copilot助理，降低整體從頭摸索的支援成本。</strong></p> </div></div></div>
2024/6/21 11:09作者王若樸https://www.ithome.com.tw/news/163583
如何保護Copilot技術架構？微軟推未來安全計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年微軟Build 2024大會上，微軟執行長Satya Nadella揭露微軟2大AI戰略：微軟Copilot技術架構和Copilot+ PC。前者的技術架構，涵蓋了AI基礎層、基礎模型層、資料層、AI調度工具層以及Copilot應用層，十分廣泛。</p> <p>為保障這個技術架構安全運行，微軟特別打造了AI安全與資安層，就像是最底層基礎設施到最上層應用層的金鐘罩，確保所有基礎設施、開發工具和應用都能夠安全執行。</p> <p>但，這個AI安全與資安層到底是什麼？</p> <p>Satya點出，該層的核心是微軟去年11月底發起未來安全計畫（SFI）。這個計畫遵守3大原則，包括安全設計（Security by design）、安全預設（Security by default）和安全維運。在這3個原則下，微軟列出6項安全文化和治理作法，有保護身分和秘密、保護租戶和獨立產品系統、保護網路、保護工程系統、監控與偵測威脅，以及加速因應和恢復。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2-BOX-%E6%9C%AA%E4%BE%86%E5%AE%89%E5%85%A8%E8%A8%88%E7%95%AB-600.jpg" style="width: 600px;" /></p> <p><strong><span style="color: rgb(105, 105, 105);">微軟執行長Satya Nadella揭露微軟Copilot技術架構中的AI資安與安全層，以去年11月底發起的未來安全計畫（SFI）為核心，包括安全設計、安全預設和安全維運三大原則，以及6項安全文化和治理作法。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／微軟</span></span></p> <p>微軟開發者部門總裁Julia Liuson和微軟威脅情資部門客戶副總裁John Lambert更進一步說明，其中的保護身分和秘密、保護工程系統做法。尤其，自去年底以來，他們跨部門密切合作，共同對抗了俄羅斯駭客組織午夜暴雪（Midnight Blizzard）攻擊，並將這些經驗融入到SFI之中。</p> <p>John Lambert說明，午夜暴雪採圖（Graph）攻擊，策略是獲取憑證，因此他們鎖定開發者，想得到開發者憑證，再用這些憑證建立攻擊圖，進而掌握公司機密。為防止開發者不小心在Email或原始程式碼中洩漏秘密，微軟建立了GitHub Advenced Security工具來掃描秘密，這是保護身分和秘密的作法之一。</p> <p>但這個掃描工具也有缺點，比如它可能無法識別每個秘密，而且這些秘密沒有明確特徵，也很難被辨識。因此，使用系統託管的身分識別（System managed identities）工具就很重要，它不只能自動更換授權所需的關鍵資訊、降低人工成本，還能快速回應。這是微軟從午夜暴雪事件學習到的重要一課，「我們希望所有應用程式都受到系統託管身分識別的保護，」Julia Liuson說明：「長期而言，我們希望不再使用任何密碼。」如此，開發者就不會不小心把這些秘密資訊遺留在原始程式碼中，或Email給他們的朋友，也不必再定期更換密碼。這是微軟SFI的另一努力方向。</p> <p>同時，在保護工程系統方面，微軟的做法是刪除70多萬個未使用的示範（demo）應用程式、範例應用程式和測試應用程式，也刪除了許多與這些應用程式有關的儲存庫和建置流程。因為，只要還有憑證、還能存取資源，就會被威脅者所利用。</p> <p>Julia Liuson總結，在保護工程系統方面，微軟學到2個非常重要的經驗，一是從所有工程系統中，刪除不需要的應用程式，再來是以對待正式上線程式的嚴格標準，來對待非正式上線的示範、範例和測試等3類應用程式。</p> <p>除了企業內部的工程系統，還得注意另一個常被攻擊的目標：開源開發生態。這類攻擊大多是社交工程，比如今年上半年XZ Utils開源專案遭威脅者植入後門，這些後門只讓XZ Utils執行速度慢了些，很難讓人察覺問題。</p> <p>但，微軟PostgreSQL開發者發現這個問題，一番研究後確認XZ Utils資料壓縮程式庫被植入後門，並點出這是一場供應鏈攻擊事件，引發全球性的調查。微軟因此未受到後門程式影響，也將自己的經驗整合到GitHub Advenced Security工具相依性檢視中，比如利用GitHub軟體專案相依性自動管理工具Dependabot，來警示開發者哪些儲存庫正使用有漏洞的軟體，並協助開發者解決問題。這是微軟安全文化的體現。</p> <p>不單靠工具發出警報通知，Julia Liuson也力推安全第一文化，尤其透過培訓，在團隊保有好奇心與創意，還能提高團隊資安意識。她表示，微軟將持續研究更多安全技術和工具，來確保服務安全。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2-BOX-%E6%9C%AA%E4%BE%86%E5%AE%89%E5%85%A8%E8%A8%88%E7%95%AB-600(1).png" style="width: 376px;" /></p> </div></div></div>
2024/6/21 11:10作者王若樸https://www.ithome.com.tw/news/163531
【微軟Build 2024 AI戰略2】微軟打造更快更聰明AI筆電Copilot+ PC的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在5月下旬的微軟Build 2024大會上，微軟執行長Satya Nadella一口氣揭露數十項新突破，還點出今年的2大重要AI戰略：支撐起AI開發和應用的Copilot技術架構，以及號稱史上最快的AI系列筆電Copilot+ PC。</p> <p>大會進入Copilot+ PC主題時，Satya並未直接亮相AI筆電新品，而是興致勃勃地聊起一個重要基礎：Windows Copilot Runtime。微軟官網將它形容為「Copilot技術架構到Windows作業系統的延伸」，Satya則稱：「它會讓Windows成為最好的AI開發平臺！」甚至還比喻，就像Win32帶起圖形使用者介面GUI應用風潮一樣，Windows Copilot Runtime也將帶起AI應用大爆發。</p> <p>這是因為，Windows Copilot Runtime是專為Windows作業系統設計的底層函式庫，內建多種模型API和工具，能用來更快、更有效率地執行AI開發工作和AI應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1187-%E5%B0%81%E9%9D%A2-%E6%88%B0%E7%95%A52-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>微軟執行長Satya Nadella指出，Windows Copilot Runtime是微軟AI筆電Copilot+ PC的重要基礎，以函式庫、本地端模型與API為核心，來驅動高階AI應用與體驗。</strong><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特點1：專為AI設計的Windows函式庫</strong></span></span></p> <p>進一步來說，Windows Copilot Runtime的核心是「Windows Copilot函式庫與本地端模型」，向下支援微軟AI框架和工具鏈，向上可用來發展AI應用程式、提供一致的使用體驗。這3大層次加起來，就是一套完整的端到端Windows AI生態系統，「Windows Copilot Runtime就是這樣的系統」，微軟官網如此說明。</p> <p>就Windows Copilot函式庫與本地端模型來說，它包括一系列即用型本地端API，這些API由40多個本地端AI模型和Windows內建的DiskANN等演算法驅動，使用者可用來打造AI應用和體驗。</p> <p>第一波API在6月對開發者開放，包括工作室特效（Studio Effects）、即時字幕翻譯（Live Caption）、OCR、回顧使用者活動（Recall User Activity）和語言模型Phi Silica等。接下來，Windows Copilot函式庫預計還會新添向量嵌入、檢索增強生成（RAG）、文本摘要等API。其中，向量嵌入API還能用來打造開發者自己的向量儲存庫，能介接專屬App的資料，更客製化回答問題。</p> <p>如何使用這些API？微軟舉例，開發者不需任何程式碼，就能在Copilot+ PC系列筆電上，將Studio Effects整合至自己的應用程式，比如創意濾鏡、人像模糊化、注視提詞機（Eye contact teleprompter）等。或是使用即時字幕翻譯API，來替音檔和影片即時添加字幕。</p> <p>而驅動這些API的本地端模型，則有40多款小型語言模型，如Phi系列模型、近期新打造的Phi-3-vision，以及專為Copilot+ PC和NPU設計的33億參數SOTA模型Phi-Silica，延遲更低、更省能源。這意味著，所有Copilot+ PC都內建40多個小型語言模型。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特點2：支援多款AI框架與工具</strong></span></span></p> <p>除了函式庫與模型，Windows Copilot Runtime還支援底層AI框架與工具，像是微軟既有的AI框架DirectML、ONNX Runtime等。</p> <p>Satya揭露底層工具2大亮點，開發者透過Windows中用於機器學習的高效能低階API：DirectML，就能獲得Windows作業系統對PyTorch開發框架的原生支援（開發者預覽版）。這意味著，Hugging Face上的上千個模型終於能在Windows中執行，而且微軟也正式推出GPU對PyTorch的支援，NPU支援也即將上線。</p> <p>另一亮點是WebNN，也就是網頁原生的機器學習框架，可在Windows作業程式中透過DirectML和ONNX Runtime Web來執行。同樣是開發者預覽版，WebNN的出現，能讓開發者更好地利用筆電硬體資源，來提供更好的AI網頁App體驗。這2項就是Windows Copilot Runtime的底層工具亮點。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>特點3：更多原生與第三方AI應用</strong></span></span></p> <p>不只支援AI工具，Windows Copilot Runtime還能向上發展AI應用與體驗，這部分有2大特點，一是微軟用Windows Copilot Runtime自建的AI應用程式，如使用者活動回顧（Recall）、圖像創作（Cocreator）、即時字幕翻譯、風格編輯（Restyle Image）等。</p> <p>其中，回顧是透過對螢幕快照，將這些資訊轉為向量、儲存在語義索引中。當使用者想搜尋先前看過的資訊時，就能在回顧中手動捲動時間軸搜尋，或輸入關鍵字，來啟動向量語意辨識、快速找出所需內容。這些快照皆儲存在本地端，使用者可隨時刪除，或在設定中設置不想留存快照的特定網站或應用程式。但日前，為顧及使用者隱私，微軟預設回顧為關閉狀態。</p> <p>再來，圖像創作則以小型語言模型和Stable Diffusion等共5款模型驅動，可根據文字提示和簡單筆畫，來即時生成逼真的圖像。即時字幕則支援筆電上任何音訊的語言翻譯，可將40多種語言翻譯為英文，離線也行。不只開發這些應用，微軟還用來優化既有的智慧助理Copilot，比如能在筆電上與玩家語音對話、給玩家XBox遊戲Minecraft的破關建議。</p> <p>除了自建的AI應用，微軟Windows Copilot Runtime還正整合多個第三方應用程式，如專業級影像處理程式Davinci Resolve、影像剪輯程式CapCut、通訊軟體WhatsApp、聲音手勢控制程式Cephable、文件註解程式LiquidText和Adobe系列應用等，要用NPU來優化這些程式的AI功能。</p> <p>因此微軟自建的AI應用程式，使用者可在Copilot+ PC筆電中開箱即用，要是在這系列筆電使用微軟整合的第三方應用程式，也能獲得筆電加持的AI功能。可以說，這個Windows Copilot Runtime，是支撐起Copilot+ PC這一系列AI筆電的重要基礎。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>強大硬體撐起史上最快AI筆電</strong></span></span></p> <p>當然，光靠強大的底層系統驅動這系列筆電，還是不夠的。因此Satya點出，這系列筆電採用新型硬體架構，大幅優化NPU、CPU和GPU的資源使用，每秒能實現40兆次操作（TOPS）。微軟測試證實，這樣的硬體設計能更快進行AI模型推論，執行AI工作負載的效率還能提高100倍，續航力也更好，充電一次就能支援長達15小時的網頁瀏覽，或22小時的本地影片播放，後者比MacBook Air 15 吋還要久20%。</p> <p>至於處理器部分，首批Copilot+ PC筆電採搭載高通Snapdragon X Elite和Snapdragon X Plus處理器，可實現45 TOPS。之後，還會推出搭載英特爾Lunar Lake處理器和AMD Strix Point處理器的Copilot+ PC筆電。甚至微軟預告，希望這類硬體架構的筆電，未來能搭載Nvidia GeForce RTX顯卡和AMD Radeon顯卡，來從硬體上更進一步優化Copilot+ PC筆電的使用體驗。</p> <p>這些硬體和Windows Copilot Runtime優勢，正是微軟發豪語稱Copilot+ PC筆電是史上最快、最聰明筆電的底氣。</p> </div></div></div>
2024/6/21 11:17作者王若樸https://www.ithome.com.tw/news/163532
Google資安證書課程大公開，在臺合作計畫鎖定跨域轉職與大學生
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於臺灣資安人力需求持續擴大，繼去年底Google捐助資安院100萬美元，協助推出針對中小企業NICS臺灣資安計畫後，最近再有資安人培方面的新合作計畫宣布。</p> <p>在6月17日，Google宣布，將他們推動的入門級資安專業證書：「Google Cybersecurity Certificate（GCC）」課程，推廣至臺灣，並由Google台灣、數位發展部、資訊工業策進會（資策會）、臺北科技大學（北科大）共同合作，啟動這項臺灣資安人才培育計畫。</p> <p>關於上述GCC資安專業證書課程，其實在1年前Google已經推出，這是設置於Coursera教育訓練平臺的付費課程，由Google資安專家設計與授課。</p> <p>而在這次的合作計畫之下，Google將原本要付費的課程，釋出1,000個免費課程帳號，提供給我國數位發展部產業署，並且由資策會與北科大負責招募並審核報名申請。這項計畫的目標是，要在短時間之內，為國內培育2千名資安即戰力，包括2024年底鎖定500名跨域轉職在職人士，以及2025年底鎖定1,500名在學人士。</p> <p>值得我們關注的是，這是以資安入門為主，已在全球多國推廣的線上證書課程。2023年推出GCC認證課程之後，對於想投入資安領域的人來說，有具體幫助嗎？Google台灣政府事務及公共政策資深協理陳幼臻舉例說明，她表示，美國有一位無資安經驗的貨車駕駛，透過Google資安專業證書轉職，結果錄取全美前五大銀行Wells Fargo的資安專員職位。</p> <p>而且，去年Google就已經將此課程推展到亞太多國，包括日本、印度、新加坡，後續還有印尼、巴基斯坦等，也都是與當地政府或非營利組織來合作推動。</p> <p>換言之，這套資安證書課程在國際間已獲得實際應用，而且，如今這樣的合作計畫也引進至臺灣。</p> <h2><strong>課程畫分8大主題，涵蓋實務操作是一大特色</strong></h2> <p>相較於坊間林立的各種類型資安訓練資源，這套Google Cybersecurity Certificate證書課程有何不同？陳幼臻表示，這套課程以全英文授課，共有8大主題，從「網路安全基礎」課程開始，以深入淺出的方式帶大家了解「資安風險管理」，進而學習如何保護「網路跟網路安全」、懂得「資產、威脅與弱點」，以及了解「偵測與回應」。</p> <p>同時，這裡也有實務操作的部分，包括資安分析所需要的「Linux與SQL工具」，並會教導「Python自動化任務」，還有重要的「職涯準備」課程，會針對職涯準備、職場溝通進行指導，並且包括如何通報事件，以及如何說服管理者投入資安支援等。</p> <p>整體而言，這裡提供180小時的課程內容，不僅包含314部影片、252篇文章，也有157次小考，最特別的是，還有125個實務演練活動。</p> <p>陳幼臻表示，以在職學員而言，只用工作之外的時間來學習，約4到6個月內完成培訓。目前，國外有相當多人完成這套課程，美國有超過15萬人取得GCC證書，逾150家企業有意願聘用GCC證書的求職者；在亞太區，則有超過12萬5千人取得證書，並有8成認為對職涯有所幫助，像是得到新工作、升遷與加薪。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Google%E8%B3%87%E5%AE%89%E5%B0%88%E6%A5%AD%E8%AD%89%E6%9B%B8X_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <h2><strong>今年下半鎖定跨域轉職者500人，並有更多名額提供大專院校</strong></h2> <p>在Google這次提供1,000個免費課程帳號之餘，資策會與北科大也計畫有效運用這些資源於國內人才培訓，若要報名，需具備哪些資格？</p> <p>資安科技研究所策略總監蕭榮興表示，以數位部數產署過去的資安人培目標而言，主要針對資安在職人員，以及資通訊兼任資安工作者，提升其資安能力，但這樣的作法不足以滿足市場的需求。</p> <p>因此，在數位發展部部長黃彥男上任後，數產署討論要進一步擴大人培的來源，也就是讓非資通訊產業工作者跨入資安領域，而這次與Google合作下也發現這方面的契機，可促進資安人培新動能的建立。</p> <p>因此，在2024年下半，資策會所負責的500個報名申請資格，將以跨域人才轉職為優先錄取，並且只要學員14天都沒有上課，他們就會釋出名額給新的學員，最終目標希望，這500位完成課程的資安新血，能滿足百100家企業的資安能量強化。</p> <p>台北科技大學資工系助理教授張世豪也表示，他們的推廣對象是以全國大專院校為主，預計在接下來一年半，他們將利用這500個免費帳號，培育出1,500名資安人才。</p> <p>他表示，不論是否有電腦資訊背景都可參加，希望藉由提供學生資安知識跟技能，體驗在實際工作中的場景，以促進更多學生投入資安領域。但也因為這是全英文授課，因此，他們希望學員的多益分數要在550分以上，對於Python、SQL有興趣也會加分。</p> <h2><strong>國際間同樣積極發展資安人培，3年前Google即承諾在美推廣</strong></h2> <p>關於Google Cybersecurity Certificate證書課程的發展，最早可追溯到2021年8月。最讓我們印象深刻的是，這一年美國白宮舉行資安高峰會，我們注意到多家科技大廠均公開響應此舉，紛紛表示將大幅改善與協助推動資安，他們不只承諾要強化資安與投入資安研發，也包括幫助資安人才的培育。</p> <p>當時，包括微軟、IBM、Google等公司，都承諾要協助美國的資安人才培育。例如：微軟將擴大與大專院校合作培育資安人才；Code.org承諾3年內教導300萬名學生網路安全概念；IBM計畫3年內培養15萬名資安人才；Google也宣布將協助10萬美國人取得「Google的職涯證書（Google Career Certificates）」，並在IT支援、資料分析領域，學習資料隱私與資安方面技能等。</p> <p>2023年5月，Google基於Google Career Certificates，除了既有的IT支援、雲端工程、數位行銷、資料分析、AI應用及開發的課程之餘，新開發出第6款課程，也就是這次的GCC資安專業證書（Google Cybersecurity Certificate）。</p> <p>最特別的是，Google不僅在美國推動，也將這項GCC資安專業證書課程推廣至全球，並有不同的在地推動策略。</p> <p>例如，去年10月，他們與印度的CERT-IN、新加坡的網路安全局合作，提供當地12.5萬個獎學金；對於日本，他們則提供日文版的認證課程，並透過日本技能再培訓聯盟（日本リスキリングコンソーシアム）提供2萬個獎學金。</p> <p>基本上，這個線上課程原本就是全球用戶都可申請註冊，如果個人不打算透過上述合作計畫參加，還是可自行付費線上學習，一開始註冊可獲得7天免費試用，試用結束後，需每月49美元訂閱才能繼續學習。。</p> <p>當然，對於臺灣整體環境而言，主要期盼藉助這樣的合作計畫，開拓更多資安培訓資源與管道，重點不僅是在持續擴大國內的資安培訓能量，還希望促進更多人投入資安領域。</p> <h2><strong>擴大資安人培來源成國內關注重點，並讓培訓資源更有可見性</strong></h2> <p>總體而言，越來越多資安人培計畫的進行，目的都是幫助臺灣當前市場填補資安人力，以這次Google資安專業證書而言，雖然這只是項證書（Certificate），並非證照（Certification），但現在重點放在可促進更多人進入資安領域，以及協助企業招募時，使他們知道至少這些取得證書的人已有資安基礎，甚至接觸過實作。</p> <p>至於企業如何看待這項計畫的效益？對於資安人才招募是否有幫助，是否買單願意採用該證照的求職者，以及是否影響國內其他培訓計畫，將是我們將會持續關注的焦點。</p> <p>回顧國內，持續進行的資安培訓計畫不少。例如，在教育部先進資通安全實務人才培育計畫下，每年都有「AIS3新型態資安暑期課程」，以及「台灣好厲駭」的計畫；近年還有一些大學與研究所，陸續開設資安相關課程與系所；國內資安社群HITCON也時常舉辦Training課程。</p> <p>在政府方面，也持續藉由與多個專業訓練機構合作，開設培訓課測，甚至提供培訓與考照補助，讓公職人員提升資安技能，近年經濟部也有初期／中級資訊安全工程師能力鑑定，也是希望擴大人才招募。</p> <p>特別的是，還有資安院提出12+7人才類型，將陸續制定不同的專屬培育課程。再者，包括恆逸等專業訓練機構，以及思科、ISC2在臺持續推動資安證照與培訓課程，安碁學苑亦在今年開展資安職能與證照人才培訓業務。</p> <p>資安業者對人才培育更加重視，例如，國內資安業者如趨勢科技、奧義智慧、戴夫寇爾，時常啟動年度資安人才培育計畫，以及實習生、資安獎學金等計畫，有利於自家公司徵才：還有一些國際資安業者，如Palo Alto Networks、Check Point、Fortinet等，與學校合作，提供資安設備或協助推出一系列資安課程。</p> <p>而在企業方面，近年來，我們也看到台灣資安主管聯盟發起資安專責人員培訓。</p> <p>面對國內如此多的資安培訓計畫，或許接下來，大家該思考的是，能否讓求職者快速找到資安方面的所有培訓資源，又或是能否建立針對在職人士的學習與能力認證平臺，幫助他們規畫適合自己的學習與成長路徑，更有效率地培養與提升資安專業能力。</p> </div></div></div>
2024/6/20 18:46作者羅正漢https://www.ithome.com.tw/news/163559
駭客鎖定WordPress網站下手，目的是要脅瀏覽網站的使用者瀏覽器過舊，藉此散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>假冒瀏覽器更新散布惡意程式的情況，近期不斷有相關事故傳出，如今有一起資安事故，是專門針對特定網站下手，引誘使用者上當。</p> <p>資安業者Sucuri揭露最近一波從今年4月下旬出現的攻擊行動，過程中<a href="https://blog.sucuri.net/2024/06/hundreds-sites-targeted-by-fake-chrome-update-pop-ups.html">攻擊者濫用名為Hustle的WordPress外掛程式</a>，該外掛主要用途是電子郵件市場行銷，或是產生彈出式廣告視窗，從而經營客戶。</p> <p>然而，對方利用這款外掛程式對WordPress網站下手，將惡意程式碼注入，使用者只要瀏覽網站，就會看到彈出式視窗，「警告」已偵測到有漏洞的Chrome，要求更新瀏覽器。一旦使用者按下彈出式視窗上的按鈕，就會被重新導向惡意網址，下載惡意軟體（大部分被命名為GoogleChrome-x86.msix）。但值得留意的是，使用者就算是使用Firefox、Opera、Edge瀏覽網站，同樣會看到上述的彈式視窗。</p> <p>根據駭客使用的網域，這起攻擊行動最早可能在今年3月中旬出現。研究人員也透過原始碼搜尋引擎PublicWWW尋找攻擊者入侵的網站，結果有341個受害。</p> <p>研究人員強調，攻擊者並非針對Hustle的漏洞下手，而是在已經取得WordPress管理介面的存取權限而能得逞。對方利用合法外掛程式的目的，就是迴避靜態掃描工具的偵測，呼籲網站管理員提高警覺。</p> </div></div></div>
2024/6/20 21:12作者周峻佑https://www.ithome.com.tw/news/163473
巴基斯坦駭客組織Cosmic Leopard鎖定Windows、macOS、安卓裝置散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科旗下威脅情報團隊Talos揭露攻擊行動Operation Celestial Force，從2018年起，巴基斯坦駭客組織Cosmic Leopard鎖定印度政府機關、國防單位，以及相關技術領域的組織。值得留意的是，時至今日這項攻擊行動仍在持維進行，並未出現緩和的跡象。</p> <p>針對這波為期長達6年的攻擊行動，研究人員指出，對方起初使用RAT木馬程式GravityRAT鎖定Windows用戶，接著，為了擴大攻擊規模，他們也開發安卓版本，並在2019年針對行動裝置而來。再來，為了散布上述木馬程式，對方開發了名為HeavyLift的惡意程式載入工具，並將其用於攻擊行動，過程中運用名為GravityAdmin的管理介面來控制受害裝置。</p> <p>究竟駭客如何接觸攻擊目標？研究人員指出主要透過兩種媒介，分別是魚叉式網路釣魚和社交工程攻擊。值得留意的是，對方運用社交工程手法的情況越來越頻繁，多年發展下來，社交工程已是他們的主要滲透管道。</p> <p>駭客先是利用社群網站與目標人士進行聯繫，建立信任關係，最終向受害者散布GravityRAT或是HeavyLift。</p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-ee13eb90-a7a2-44b1-a495-91ddbe033d05.jpeg"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-ee13eb90-a7a2-44b1-a495-91ddbe033d05.jpeg" style="width: 580px;" /></a></p> <p>研究人員指出，根據他們對駭客的整個生態系統進行調查，很有可能在2016年就開始將GravityRAT用於攻擊行動，但有些惡意網站的網域在今年1月初註冊，偽製成合法安卓應用程式的下載網站，誘騙使用者上當。</p> <p>一旦該木馬程式植入受害電腦，會向C2發送設備的系統資訊，例如：IMEI碼、電話號碼、網路服務供應商、SIM卡序號、電信業者，以及設備型號、廠牌、作業系統版本，甚至是地理位置。此外，對方還會收集簡訊的內容、特定格式檔案、通話記錄，並隱匿與惡意軟體有關的聯絡人及通話記錄。</p> <p>至於另外一款名為HeavyLift的惡意軟體載入器，研究人員指出是以應用程式開發框架Electron為基礎打造而成，對方將其偽裝成合法應用程式的安裝檔案散布，並從C2取得其他的惡意程式。</p> <p>值得留意的是，這個惡意軟體不光能在Windows上執行，若是偵測到在macOS作業系統環境，並未取得root權限，他們就會下達特定命令取得管理權限，然後下載ZIP壓縮檔並植入有效酬載。</p> </div></div></div>
2024/6/20 21:01作者周峻佑https://www.ithome.com.tw/news/163474
資安院首度發表AI打詐技術，詐騙廣告偵測率超過九成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>打詐是臺灣政府新內閣首要任務，也是民眾生活最大痛點之一。為了解決這個問題，數發部數位產業署委託資通安全研究院研發，他們期盼透過運用AI技術，從源頭做到「識詐」、「防詐」以遏止詐騙橫行。資安院副院長林盈達表示，從今年1月開始執行的廣告自動化巡檢技術，每個月可以檢測超過50萬筆廣告，一旦偵測到詐騙廣告，會進行後續通報。他表示，今年五月詐騙廣告數量超過20萬筆創下新高，資安院採用AI偵測詐騙廣告的準確度達93％，而在這個巡檢的過程中，他們也發現97％詐騙廣告刊登不到兩天，顯示相關的阻擋機制必須跟時間賽跑，因為處理時機稍縱即逝。<br /> 數位部政務次長林宜敬則表示，數位部目前也積極規畫「打詐通報查詢網」，預計三個月內正式上線，該網站之所以設立，是為了便利民眾通報並查詢各種可疑廣告資訊，當中也會顯示被檢舉詐騙廣告的處理進度，讓一般民眾參考。<br /> 面對現在最常見的假冒名人投資的詐騙廣告，林宜敬指出，數位部將規畫出最妥善的SOP，在與名人求證與下架冒名詐騙廣告的效率中，取得平衡點。<br /> 資安院前瞻研究籌獲中心代理經理江禹賢表示，根據廣告自動化巡檢的資料，遭到詐騙集團冒用數量最高的名人是486先生（陳延昶），詐騙集團也會因應熱門時事，冒用不同名人、投放名人投資詐騙廣告，先前輝達公司執行長黃仁勳訪臺時，偽冒黃仁勳的名人詐騙投資廣告數量便暴增，而在資安院的偵測並進行通報的處理之下，各個平臺的詐騙廣告下架率高達九成。<br /> <strong>97％的詐騙廣告刊登天數不到兩天，詐騙是關鍵字第一名</strong><br /> 江禹賢表示，從今年1月開始，資安院開始利用廣告自動化巡檢技術，偵測網路廣告是否為詐騙廣告，迄今發現，詐騙廣告數量每個月增加超過6萬筆，截至5月為止，更有超過二十萬筆詐騙廣告，創下新高。<br /> 細究這類網路詐騙廣告的特色，江禹賢指出，97％的詐騙廣告只會刊登不到兩天，只刊登1天的詐騙廣告更是主流，而目前偵測到刊登最多天數的詐騙廣告，長達33天。<br /> 他也解釋，目前只要偵測到詐騙廣告，就會跟各個平臺業者進行通報、下架，所以廣告刊登的天數，並不等於實際曝光的天數。若進一步分析詐騙廣告的內容，以五月（1日至24日）的統計發現，將近3成是高風險廣告，所謂的高風險廣告，是指假投資群組、偽冒名人，以及加入Line群組連結的廣告。<br /> 他進一步解釋，從今年1至4月間，詐騙廣告關鍵字排行榜第一名的就是「詐騙」，詐騙在假投資廣告存在的次數高達8萬多次，而且這些詐騙廣告都會強調「不是詐騙」或「追回詐騙」來吸引民眾相信；至於關鍵字第二至五名則是股票池、反彈暴漲、當沖技巧，以及龍頭股。<br /> 林盈達表示，目前資安院使用的廣告自動化巡檢技術，就是透過AI技術偵測，檢查關鍵字、貼文型態、出處、以及Line連結是否被動過手腳，目前準確度高達93％，每天可以偵測5千至1萬則詐騙廣告匯入資料庫，相關的清單也會提供給各個平臺業者。<br /> 林盈達補充說明，現在偵測詐騙廣告已經不是問題，但平臺要下架詐騙廣告，往往需要經歷一定的內部程序，而只存在一天、甚至兩天的詐騙廣告，這些內容可能在平臺下架之前，就已經自動消失了。<br /> 因此，林盈達認為，未來最關鍵的任務就是，如何讓平臺下架詐騙廣告也可以做到自動化，才是關鍵。換言之，目前詐騙廣告因為平臺下架流程，從偵測、通報到下架，如果能夠存活8小時，「未來可以透過自動化下架詐騙廣告的方式，讓詐騙廣告存活的時間越來越短，使得一偵測到詐騙廣告並通報後，可以做到即時下架。」他說。<br /> 林宜敬則指出，數發部目前積極規畫的打詐通報查詢網，就是希望鼓勵民眾協助通報詐騙廣告外，也可以透過程式自動化加上部分人工的輔助方式，偵測是否有偽冒名人身分的貼文，並且透過向名人求證的方式，減少誤判的情況。他表示，這個打詐通報查詢網預計3個月內正式上線，對於通報的詐騙廣告也會顯示處理進度，保護民眾不會受騙上當。<br /> 目前跨國社群平臺或是通訊平臺雖然也會下架詐騙廣告，但林宜敬對於處理速度並不滿意，關鍵在於，平臺雖然可以收到資安院提供的、每天5千至1萬筆的詐騙廣告清單，但因為下架作業仍未做到自動化，所以，平臺每日可以下架廣告的數量或許只有十分之一，顯然下架效率仍有提升的空間。<br /> 再者，林宜敬認為，並不是每筆詐騙廣告都一樣重要，熱門的、大家關注的詐騙廣告，要有比較高的優先順序和權重，平臺也應該優先下架這類型的詐騙廣告、降低對民眾的危害。最後，他也說，目前政府也積極透過和立法院協商，提供相關平臺有更多法源依據，使他們可以下架詐騙廣告。<br /> <strong>針對詐騙廣告人名偵測精準率達93％</strong><br /> 江禹賢表示，目前資安院利用機器學習、自然語言處理（NLP）並結合大數據分析等技術，研發出更高效率的識詐工具，可以從源頭遏止詐騙蔓延，目前針對人名是別的準確度達93.3％，而Line帳戶識別準確度也達94.2％。他說，藉由這樣的識詐工具，可提取詐騙廣告最常偽冒的人名，作為加強重點人物回報機制。<br /> 資安院在數位產業署的指導下，逐步打造跨領域打詐協作及訊息交換平臺，目前投入9個人力、整個專案投入約2千萬元，目前研發的重點在於：深化資料探勘技術，除了目前使用的廣告自動化巡檢技術，還有AI詐騙關鍵字提取、身分資訊識別技術，透過每個月超過50萬筆的廣告巡檢數量，做到有效偵測詐騙廣告並進行通報。<br /> 另外，他說，持續精進情報收整應用也是目前資安院的研發重點，不僅會分析詐騙廣告特徵，包括名人偽冒、用語和行為等，也會針對文本內容做風險評估。<br /> 資安院也綜整近二十年來臺灣詐騙事件的類型，並且彙整美國FBI、澳洲國家反詐騙中心NASC、英國內政部 Fraud Strategy 等單位的研究，歸納出9大詐騙樣態，包括：愛情交友（Romance）、金融投資（Investment）、產品服務（Product and Service）、意外之財（Unexpected Money）、威脅勒索（Threat and Extortion）、身分冒充（Impersonation）、工作求職（Jobs and Employment）、錢騾車手（Money Mules）及慈善捐款（Charity），而臺灣目前最盛行的詐騙態樣，主要是金融投資、身分冒充、愛情交友的混合式詐騙。<br /> 江禹賢表示，資安院分析、歸納這九大詐騙樣態指南之後，希望可以提高針對詐騙手法的識別能力，透過強化打詐策略與資源分配，促進識詐、防詐的教育宣導工作外，也希望透過研發「詐騙事件描述框架」（TTPs），藉由描述詐騙集團的戰術（Tactics）、技術（Techniques）以及程序（Procedures），做到強化詐騙事件溯源能力和情報共享能力，並提升自動化處理效率，進一步做到主動監測和事前預警。<br /> 未來，江禹賢認為，若要精進數位詐騙反制技術研發，就必須做到詐騙防治生態系的規畫，強化跨單位聯防能力，並規畫情資交換格式，建立詐騙事件快速應變流程，也要規畫事件目擊通報平臺。<br /> <strong>關注臺灣近期常見的四種新興詐騙手法</strong><br /> 資安院也從目前詐騙廣告的多樣性，發現幾種臺灣目前較為常見的新興詐騙手法。江禹賢指出，偽冒政府單位是最常見的詐騙形式，像是假冒交通部公路局發送假催收簡訊、假政策宣導、假監理服務網站；或是偽冒法務部假冒地檢署、假冒檢察官或是假冒律師事務所等，都試過網常見的詐騙廣告型態。<br /> 而另外一種常見的愛情交友詐騙，主要分布在社群通訊平臺、交友約會平臺，以及廣告，會因為受眾不同而有差異。像是社群平臺的愛情交友詐騙，是以虛假身分、長期情感培養操弄（精聊盤）、跨國操作（美國盤、臺灣盤）和詐騙App等方式；若是廣告平臺的愛情交友詐騙，則是感情投資詐騙、戀愛指導諮詢、違禁藥品交易和詐騙App等手法。<br /> 不過，江禹賢表示，資安院也分析4種現在臺灣常見的新興詐騙手法，因為，只有先識詐才能夠防詐！<br /> 第1種新興詐騙手法就是，詐騙集團透過釣魚貼文，並利用社群平臺的跳轉機制，使連結看起來像是來自官方的來源，事實上，該連結卻會導向一個不安全的釣魚網站，會竊取用戶的個人資訊。<br /> 第2種則是利用虛假課程來騙取個人資料，這些假課程的報名廣告，強調課程精美、限時免費，吸引用戶報名，但真正目的則是要騙取個人資料。第3種和第4種類似，則是出現各種假活動報名廣告，目的也是在騙取民眾個資，破解方式就是看到相關訊息時，都必須先向官方管道求證。<br /> 最後一種常見的新興詐騙手法，就是假冒慈善捐款機構詐騙，根據刑事局統計，光是今年三月，就有45家基金會遭到詐騙集團冒名進行詐騙，累計案件超過135案。這類詐騙主要發生在社群通訊平臺及廣告平臺，「免費占卜抽獎」是常見關鍵字，除了假冒社福團體騙取個資外，也會藉由免費占卜抽獎接觸民眾，更會根據新聞時事更換題材，像是4月2日的花蓮大地震過後，就會立刻出現相關的慈善詐騙廣告。<br /> <strong>從事前、事中、事後來因應詐騙</strong><br /> 伴隨著數位科技發展，也同時面臨一些風險與挑戰，江禹賢表示，首先，現階段可以看到的就是AI生成內容的濫用，像是深偽技術（Deep Fake）用於詐欺與不實訊息，或者是大規模生成爭議內容、虛假評論，都會干擾輿論生態。<br /> 其次，也會面臨去中心化平臺監管困難，像是去中心化的訊息傳播管道，缺乏有效內容審核機制，加上全程加密的通訊管道，也使得執法部門難以監測和取證。第三，如何在隱私保護和打擊危害取得平衡，像是法律保護隱私，但也為違法犯罪提供隱蔽空間。<br /> 第四，公眾意識與數位素養教育的養成，因為很多資訊缺乏事實查核意識，反而會助長詐騙訊息快速傳播。最後則是法規與執法工具的滯後性，法規制定跟不上科技發展，對於隱含的風險也面臨無法可管的情況。<br /> 因此，江禹賢表示，資安院對於詐騙應變流程提出四大策略，包括：事前的識別預警，事中的查核驗證和清掃阻斷，以及事後的採證調查。<br /> 在識別預警上，江禹賢表示，要先做到時序趨勢，把危害活動的時間序列分析，並研究相關趨勢變化與互動歸因；再者進行行為分析，透過社群分析、自然語言處理來了解行為的影響因素。最後則是異常預警，隨著分析技術發展，就可以研發異常資訊檢測與事件預警技術。<br /> 在查核驗證上，先做到跨平臺溯源，建立跨平臺訊息溯源機制，做到快速查證訊息源頭和傳播路徑；再者透過通報查核平臺，提供使用者訊息真偽驗證功能，並強化公民參與管道。最後則是要做到多語系資訊處理，在多語言環境下運作的關鍵字識別系統，降低語言差異對於詐騙內容識別的影響。<br /> 針對清掃阻斷，則需要先做到公私聯防，建立跨平臺訊息下架機制，整合平臺業者和NGO（非政府組織）資源；再者，透過自動化工具，大量清楚惡意散布的不實和詐騙訊息；最後則要強化關鍵基礎設施，強化電信網路黑名單更新機制，並縮短釣魚網站存活時間。<br /> 而在最後的採證調查上，我們要先做到威脅情資整合，透過跨單位情資分享，建立整合資料庫並加強犯罪偵查；其次，做到隱私強化技術，確保情資分享過程中的個資保護；最後則是開發鑑識工具，運用資安鑑識工具，保全惡意程式或仿冒網頁等數位證據。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A9%90%E9%A8%99%E9%98%B2%E6%B2%BB%E7%94%9F%E6%85%8B%E7%B3%BB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%9A%E8%B3%87%E5%AE%89%E9%99%A2.jpg" style="width: 831px; height: 457px;" /></p> <blockquote><p>資安院前瞻研究籌獲中心代理經理江禹賢表示，防制詐騙這個議題不會是一個單位可以解決，我們借鏡傳統資安的CERT、SOC、iSAC概念，認為詐騙防治也應該要有健全的分工運作機制。</p> <p>而資安院的角色是發揮研究與開發技術的優勢來幫助這個機制建立，特別是打詐議題橫跨公私部門甚至是國際合作，如何有效的 "分享情資" 是最重要也最需要去克服的部分。</p> <p>在上圖中，資安院下面的詐騙情資交換平臺有個循環的箭頭也正代表這個目標。然後我們現在在進行的就是這個過程所需要的資料蒐集分析、彙整到最後的情資分享的相關技術研發。</p> <p>圖片來源：資安院</p> </blockquote> <p> </p> <p> </p> <p> </p> <p> </p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/6/20 19:00作者黃彥棻https://www.ithome.com.tw/news/163576
AI老手如何防護生成式AI Amazon安全長首揭露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式人工智慧拜ChatGPT之賜，不到一年就竄升為家戶喻曉的人工智慧代名詞，而在各行各業積極探索新興應用商機之際，對於生成式人工智慧（Generative AI）潛在的資安顧慮也隨之湧現。亞馬遜（Amazon）安全長Steve Schmidt在re:Inforce 2024的演講中指出，生成式人工智慧並非橫空出世，而是承襲機器學習與人工智慧技術數十年發展脈絡的最新階段，因此資安的基本原則與人工智慧安全防護經驗都仍適用，他也公開亞馬遜的人工智慧安全團隊成立的經驗，包括資安組織的定位如何不會限制人工智慧的創新可能性、如何協助開發團隊做出正確的安全決策，以及在安全檢驗方面有別於傳統資安測試之處。</p> <p>身為全球電子商務巨擘的亞馬遜，運用機器學習與人工智慧技術已有十多年經驗，Schmidt表示，從2012年物流倉儲中心引入Kiva倉儲機器人、2014年推出Alexa個人虛擬助理，以至2017年推出個資保護服務Amazon Mice，皆是機器學習與人工智慧技術的應用。</p> <p>面對發展速度越來越快的新興技術，如生成式人工智慧，Schmidt指出，資安防護的基本原則依然不變，像是人人當責的資安文化、必要的防護工具與檢驗機制、安全守則指引、多因素認證，以及可將資安擴及全組織的分散式資安的觀念等。因此，因應人工智慧安全的三個基本問題依然可運用在生成式人工智慧，包括：資料的來源？資料經查詢後會發生什麼狀況，以及會對與之相關的任何資料造成什麼影響？第三則是人工智慧模型輸出的資料是否準確？</p> <h3>人工智慧安全團隊的定位：守門員 vs. 助攻員</h3> <p>企業要探索人工智慧的機會，首先需要人才，然而，不只人工智慧人才難找，資安人才也很難找，而要同時兼顧兩個領域的人工智慧安全人才，更是難上加難。找到人才之後，人工智慧安全團隊的職能定位更是關鍵，因為資安團隊最終扮演的是守門員或助攻員的角色，將決定人工智慧應用的創新機會。</p> <p>Schmidt表示，通常企業會賦予人工智慧安全團隊守門員的角色，由這些擁有專門知識技能的安全專家肩負起防護人工智慧的責任，然而由少數幾位專家來審查把關，一方面會成為開發流程的瓶頸，影響開發效率，拖累創新速度；另一方面，重重審查所帶來的額外負擔，也會造成開發人員為了避免審查而變相繞道，反而無法達到提升資安的效果。</p> <p>因此，如何讓人工智慧安全團隊既為資安把關又不阻礙創新的速度？Schmidt指出，亞馬遜最後採取的權衡作法，是讓資安團隊成為助攻員，協助開發人工智慧安全防護的解決方案，包括防護工具、檢驗工具與防護機制，再提供給開發團隊，協助開發人員以更安全的方式，更快開發出安全又創新的人工智慧應用。而這也與亞馬遜提倡的「分散式資安」—將資安作法散布到各個部門的作法如出一轍。</p> <h3>生成式人工智慧安全需求評估框架</h3> <p>亞馬遜人工智慧安全團隊因而開發出一系列評估框架、決策準則與最佳作法建議。其中，他們針對生成式人工智慧安全提出的需求評估框架「Generative Artificial Intelligence Scope Matrix（生成式人工智慧範疇矩陣）」，可協助開發團隊評估專案範疇與資安防護構面。</p> <p>生成式人工智慧範疇矩陣界定五種應用類型，第一種是如ChatGPT、Midjourney這類人人都能直接使用的生成式人工智慧服務；第二種是已整合生成式人工智慧功能的企業SaaS服務；第三種是利用基礎模式開發生成式人工智慧應用；第四種是利用基礎模式與自有資料微調模型；第五種則是自主訓練模型。而這五種範疇應用的資安防護，都必須顧及治理與法遵、法律與隱私、風險管理、管控措施與韌性等五個構面的要求。</p> <h3>四大措施強化人工智慧安全</h3> <p>此外，亞馬遜人工智慧安全團隊也發展出一系列可協助開發團隊強化安全的措施，包括生成式人工智慧安全標準、威脅模型分析指南、測試工具與安全審查等。</p> <p>第一項措施是建立生成式人工智慧安全標準，內容包含如何處理機密資料，以及檢測模型、提示工作流程與人工智慧應用服務的安全性所要考量的測試條件。有標準可循，開發人員就更加清楚需要考量的安全措施，使他們能夠在一開始就結合安全設計，而不是在審查過後才做資安補強，Schmidt表示，不光只是生成式人工智慧，任何軟體若是在開發完成後才做資安補強，那就太晚了。</p> <p>第二項措施是建立生成式人工智慧威脅模型（Threat Modeling）分析指南，威脅模型分析是以系統性的方法分析潛在威脅、設計緩解措施，並排定優先順序，以確保將有限的資源挹注在能發揮最大安全成效的工作。Schmidt指出，威脅模型分析是亞馬遜愛用的方法，由人工智慧安全團隊建立威脅模型，再提供給所有開發團隊參考運用，對於提升安全有很大的幫助。</p> <p>第三項措施是提供測試工具，亞馬遜人工智慧安全團隊依據威脅模型分析的結果，開發對應的測試工具，協助開發人員據以檢驗生成式人工智慧應用程式的安全態勢，例如為了確保模型如何因應一些古怪的提示，他們就開發一套工具來檢驗。而隨著人工智慧安全團隊學習到越來越多攻擊樣態，把這些知識都集中在一起，整合成工具提供給開發人員使用，那麼所有開發人員自然而然直接受益，因此組織持續提升安全的效果就會發揮到最大。</p> <p>第四項措施是安全檢驗，Schmidt表示，亞馬遜的應用程式在上線前都必須通過滲透測試的檢驗，而且日後程式碼若有重大改變，則要再一次進行；然而，立基於基礎模型運作的生成式人工智慧卻不是如此，因為在生成式人工智慧的世界中，模型就是程式碼，而且生成式人工智慧應用的反應，會隨著使用者與模型的互動方式與時間推移而有所不同。也就是說，生成式人工智慧的安全檢驗永遠沒有完成的一天，必須從傳統一次性檢驗方式，改為持續性檢驗。</p> <p>Schmidt指出，為了因應生成式人工智慧特性所需的持續性檢驗，亞馬遜的人工智慧安全團隊因而開發防護機制（Guardrail）工具，例如評估每一次使用者的輸入與模型輸出的內容，依據管制政策拒絕使用者輸入或過濾模型輸出的內容或主題，如有害內容、提示攻擊或含有機敏個資的資訊等。</p> <h3>生成式人工智慧應用上線四大安全守則</h3> <p>由於生成式人工智慧技術從模型建立到面向使用者的應用服務，整個過程都涉及大量資料的輸入與輸出，Schmidt因此建議企業在推出生成式人工智慧應用前要重視四大安全守則。首先，在訓練人工智慧模型時要確保正確處理機敏機料，必須清楚掌握你的資料、儲存的地點與保管方式、資料存取權以及使用目的，並且要檢視日誌檔以了解資料實際上被使用的情形。</p> <p>再者，於企業陸續採用的檢索增強生成（Retrieval-Augmented Generation，RAG）領域，Schmidt提醒要注意信任邊界的問題，確保人工智慧應用帶出用戶正確的上下文，而且只能存取用戶授權的資料。</p> <p>第三項守則是依據人工智慧應用的特性設計合適的測試方法，例如定期或持續以特別設計的提示測試模型，主動偵測潛在的注入攻擊或資料外洩問題。第四項則是部署合適的防護機制，Schmidt表示，任何AI應用都會需要防護機制，才能依照用戶的性質去過濾不適當的術語或主題。<br /> 「在人工智慧世界裏，安全工作永無境。」Schmidt表示，人工智慧安全的相關研究非常活躍，未來勢必會有更多新的進展，需要持續保持觀注。</p> </div></div></div>
2024/6/20 19:14作者吳其勳https://www.ithome.com.tw/news/163577
【資安日報】6月20日，中國駭客UNC3886利用多項防火牆及虛擬化平臺的零時差漏洞隱匿行蹤，並部署後門程式持續存取網…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用尚未公布的零時差漏洞發動攻擊的情況，近期有數則消息揭露，例如：中國駭客利用CVE-2022-42475入侵FortiGate防火牆，並部署難以清除的惡意程式；勒索軟體駭客組織Cardinal於微軟修補CVE-2024-26169的3個月前，就將其用於攻擊行動，但如今中國駭客組織UNC3886，他們一口氣運用4個防火牆、虛擬化平臺的漏洞，以便長時間於受害組織活動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163572"><strong style="font-size: 22px;">中國駭客UNC3886利用Fortinet、VMware設備零時差漏洞持續在受害組織網路環境活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/unc3886-cloaked-covert-fig1_max-2200x2200.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc3886-cloaked-covert-fig1_max-2200x2200.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Mandiant指出，他們曾於今年1月揭露中國駭客組織UNC3886從事多年的攻擊行動，對方自2021年底利用VMware vCenter的重大漏洞CVE-2023-34048，並在癱瘓VMware服務後的數分鐘內，部署後門程式。</p> <p>但後來他們發現，這些駭客在攻擊行動過程還可能運用了其他的零時差漏洞。一旦目標已修補上述漏洞，或是他們取得的外流帳密資料無法使用，這些駭客就會運用其他3個零時差漏洞。</p> <p>這些分別是防火牆作業系統FortiOS漏洞CVE-2022-41328、VMware vCenter 漏洞CVE-2022-22948，以及VMware Tools漏洞CVE-2023-20867。</p> <p><a href="https://www.ithome.com.tw/news/163566"><strong style="font-size: 22px;">Linux惡意軟體Disgomoji鎖定印度政府機關而來，攻擊者利用表情符號來下達命令</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/UTA0137-image005a.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/UTA0137-image005a.png" style="width: 300px; float: right;" /></a>資安業者Volexity揭露巴基斯坦駭客組織UTA0137的網路間諜攻擊行動，對方鎖定印度政府機關下手，過程中使用以Go語言打造的Linux惡意程式Disgomoji。</p> <p>研究人員公布駭客運用的9種表情符號，這些包含了執行命令、截取螢幕截圖、取得受害電腦特定檔案、上傳檔案、打包Firefox的設定，以及搜尋特定格式的文件、圖片、壓縮檔案。</p> <p>一旦受害電腦成功感染惡意程式，對方就會利用Nmap掃描受害組織的網路環境，並透過Chisel和Ligolo建立網路隧道，而在部分情況下，攻擊者還會企圖利用名為Zenity的工具，引誘受害者輸入密碼。值得留意的是，這些駭客也利用漏洞DirtyPipe（CVE-2022-0847）進行權限提升。</p> <p><a href="https://www.ithome.com.tw/news/163565"><strong style="font-size: 22px;">駭客假借提供思科Webex視訊會議軟體，意圖散布竊資軟體Vidar Stealer</strong></a></p> <p>資安業者Trellix揭露一起散布竊資軟體的攻擊行動，駭客鎖定拉丁美洲及亞太地區的使用者，誘騙他們下載受到密碼保護的壓縮檔，這個檔案的內容，包含了遭竄改的思科Webex Meeting應用程式元件ptService.exe，一旦使用者解壓縮並執行Setup.exe，Webex Meeting就會秘密啟動惡意程式載入工具HijackLoader，從而在受害電腦植入竊資軟體Vidar Stealer。</p> <p>一旦該程式與C2成功連線後，便會存取Chrome、Firefox、Zoom等應用程式的使用者設定資料，而且還會進行權限提升，並將自己加入防毒軟體Microsoft Defender的白名單，然後透過MSBuild.exe取得遠端.NET執行檔，試圖利用受害電腦挖礦。</p> <p><a href="https://www.ithome.com.tw/news/163563"><strong style="font-size: 22px;">網路攻擊促使北美汽車經銷業者SaaS服務供應商CDK Global暫時關閉系統</strong></a></p> <p>提供軟體即服務（SaaS）予北美逾1,500家汽車經銷商的CDK Global，在6月19日凌晨傳出遭到大規模的網路攻擊，促使CDK Global關閉了所有系統，而讓客戶服務停擺。</p> <p>CDK Global尚未對外公開說明遭到攻擊的情況，但已通知部分受到影響的客戶，表示已聘請第三方資安專家展開全面測試，目前已恢復CDK Phones、DMS及Digital Retail等服務。</p> <p>已有經銷商抱怨CDK Global遭駭事件讓原本要買車的客戶，轉向其它未使用CDK Global平臺的汽車經銷商。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/f/behind-the-great-wall-void-arachne-targets-chinese-speaking-user.html"><strong style="font-size: 20px;">駭客組織Void Arachne鎖定中國用戶，假借提供VPN軟體散布惡意程式Winos</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163562"><strong style="font-size: 22px;">研究人員針對微軟本月修補的Wi-Fi驅動程式漏洞提出警告，所有版本Windows都可能曝險</strong></a></p> <p>本月微軟在例行更新（Patch Tuesday）當中，修補Windows作業系統內建Wi-Fi驅動程式的高風險漏洞CVE-2024-30078，CVSS風險評分達到了8.8，如今有研究人員提出警告，呼籲用戶要特別留意這項漏洞。</p> <p>裝置遠端管理業者Automox在綜覽本次微軟修補的漏洞當中，希望用戶最優先注意的資安弱點，就是能被用於發動遠端程式碼執行（RCE）攻擊的CVE-2024-30078，原因是攻擊者想要觸發這項漏洞，只需要靠近目標設備就有機會達成，不需要其他特殊的存取條件，由於是透過Wi-Fi無線網路進行，攻擊者也無須實際接觸受害者的裝置。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.sonarsource.com/blog/remote-code-execution-in-mailcow-always-sanitize-error-messages/"><strong style="font-size: 20px;">研究人員揭露Mailcow郵件伺服器系統的遠端程式碼執行漏洞</strong></a></p> <p></p> <p>◆<a href="https://chromereleases.googleblog.com/2024/06/stable-channel-update-for-desktop_18.html"><strong style="font-size: 20px;">Google發布Chrome 126更新，修補漏洞懸賞競賽揭露的弱點</strong></a></p> <p></p> <p>◆<a href="https://www.horizon3.ai/attack-research/attack-blogs/cve-2024-29824-deep-dive-ivanti-epm-sql-injection-remote-code-execution-vulnerability/"><strong style="font-size: 20px;">研究人員公布Ivanti Endpoint Manager重大漏洞的細節</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/162879"><strong style="font-size: 22px;">汽車關鍵核心的ADAS系統成為駭客鎖定目標，如何避免未來自駕車遭駭而失控將是更大的挑戰</strong></a></p> <p>在2024 CYBERSEC臺灣資安大會第二天主題演講中，趨勢科技核心技術部資深協理暨VicOne威脅研究副總裁張裕敏公開揭露了數十種鎖定汽車ADAS攻擊的三大類型，涵蓋28種攻擊樣態，更提出自動駕駛場景的防護之道。</p> <p>面對汽車資安的威脅，張裕敏提到應對措施，除了持續收集情資預作風險控管之外，車廠需要不斷加強ADAS在行車安全的提升，同時，面對網路攻擊的風險日益增加，車輛製造商必須投資強化安全措施，防範潛在的威脅。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<a href="https://www.cisa.gov/topics/partnerships-and-collaboration/joint-cyber-defense-collaborative/Joint-Cyber-Defense-Collaborative-Artificial-Intelligence-Cyber-Tabletop-Exercise"><strong style="font-size: 20px;">美國CISA針對AI資安事故進行首次演習</strong></a></p> <p></p> <p> </p> <h3><strong>【資安關鍵人物】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163110"><strong style="font-size: 22px;">資安產業具備輕資產、高價值特性，吸引年輕人投入創業</strong></a></p> <p>臺灣的資安產業曾是一個小眾市場的角落，然而過去十年它經歷翻天覆地的變化，由被忽視的領域轉變為備受政府、企業關注的關鍵產業。</p> <p>這種變革背後，國家資通安全研究院院長何全德認為，「資安即國安」戰略推動，為臺灣資安產業的蓬勃發展奠定基礎；而《資安法》實施也帶動了企業對資安的重視，使得資安成為企業營運中不可或缺的一環；監管機關對於資安標準的要求，迫使企業不得不投入更多資源和精力，以便提升資安水準，從而拉動市場需求。這是一系列外在因素的綜合作用，從政策、需求到技術發展，無不影響著資安產業的興盛。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163551"><strong>【6月19日】初始入侵管道掮客IntelBroker聲稱握有晶片大廠AMD內部機密資料，該公司表示將著手調查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163529"><strong>【6月18日】未補漏洞且暴露在外網的舊款F5 BIG-IP設備成駭客入侵企業內部環境的破口，中國駭客潛入竊密長達3年</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163501"><strong>【6月17日】日本影音共享平臺Niconico、角川書店傳出服務中斷近一週，起因是資料中心遭勒索軟體攻擊</strong></a></p> </div></div></div>
2024/6/20 18:09作者周峻佑https://www.ithome.com.tw/news/163574
研究人員針對微軟本月修補的Wi-Fi驅動程式漏洞提出警告，所有版本Windows都可能曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月微軟在<a href="https://www.ithome.com.tw/news/163421">例行更新（Patch Tuesday）</a>當中，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-30078">修補Windows作業系統內建Wi-Fi驅動程式的高風險漏洞CVE-2024-30078</a>，CVSS風險評分達到了8.8，如今有研究人員提出警告，呼籲用戶要特別留意這項漏洞。</p> <p>裝置遠端管理業者Automox<a href="https://www.automox.com/blog/patch-tuesday-june-2024">在綜覽本次微軟修補的漏洞</a>當中，希望用戶最優先注意的資安弱點，就是能被用於發動遠端程式碼執行（RCE）攻擊的CVE-2024-30078，原因是攻擊者想要觸發這項漏洞，只需要靠近目標設備就有機會達成，不需要其他特殊的存取條件，由於是透過Wi-Fi無線網路進行，攻擊者也無須實際接觸受害者的裝置。</p> <p>根據微軟的資安公告，攻擊者利用這項漏洞無須通過身分驗證，也不需事先存取受害電腦的組態或是特定檔案，攻擊過程中，也完全不需與使用者互動。</p> <p>Automox首席資訊安全長Jason Kikta表示，有鑑於這項漏洞的性質，有可能會在端點裝置密集的環境造成重大風險，像是旅館、展覽會場，以及其他有大量裝置連接Wi-Fi網路的環境，攻擊者可以輕易針對毫無戒心的用戶下手。因此，了解如何緩解、減輕相關威脅極為重要。</p> <p>微軟已針對Windows 10、Windows 11、Windows Server 2008至2022等版本的作業系統提供修補程式，但Jason Kikta提出警告，已終止支援的作業系統特別容易受到該漏洞影響。此外，若是IT人員無法套用更新軟體，則必須使用端點防護系統監控是否出現可疑活動，基於這項漏洞是允許無線網卡或基地臺的訊號，近距離傳輸惡意封包，Jason Kikta警告，單靠一般的網路偵測機制，將難以察覺這類威脅。</p> <p>而對於這項漏洞帶來的危險，Jason Kikta指出，這是一種近距離的攻擊手段，能繞過網路層面的偵測及緩解措施，從而迴避大部分的威脅模型。因此，他們認為企業組織應將緩解這項漏洞列為優先事項，因為，不久之後很有可能就會出現相關的漏洞利用工具。</p> </div></div></div>
2024/6/20 11:36作者周峻佑https://www.ithome.com.tw/news/163562