iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 4篇
近 24 小時: 30篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 08:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

發動供應鏈攻擊的Polyfill.io經營者傳出另起爐灶，再度向超過10萬網站傳送惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（6月25日）<a href="https://www.ithome.com.tw/news/163667">專精電子商務網站安全的資安業者Sansec提出警告</a>，知名的網站功能相容性程式庫polyfill.io，自今年2月賣給中國內容傳遞網路（CDN）業者方能（Funnuul）後，傳出被植入惡意程式碼的情況，導致使用該程式庫的網站遭到感染，用戶被導向賭博網站及其他惡意網站。</p> <p>由於全球有超過10萬個網站採用這項程式庫，包含學術期刊線上網站Journal STORage（JSTOR）、世界經濟論壇等知名組織，<a href="https://twitter.com/silentpush_labs/status/1806055707642384802">亦有不少美國聯邦機構</a>，這項供應鏈攻擊的影響範圍相當廣。針對這起事故，如今出現新的發展。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/polyfill-claims-it-has-been-defamed-returns-after-domain-shut-down/">資安新聞網站Bleeping Computer的報導</a>，他們發現<a href="https://twitter.com/malwrhunterteam/status/1806074377383121148">Polyfill.io相關網域疑似遭到網域名稱服務供應商Namecheap註銷</a>，但經營者透過新的網域polyfill[.]com，<a href="https://twitter.com/Polyfill_Global/status/1805923380857897277">開始提供名為Polyfill JS CDN的服務</a>，並認為有人在誹謗他們，強調他們所有的內容都是透過靜態快取提供，並<a href="https://twitter.com/Polyfill_Global/status/1805707089672815039">透過雲端服務業者Cloudflare進行快取</a>，而不存在供應鏈風險。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">Someone has maliciously defamed us. We have no supply chain risks because all content is statically cached. Any involvement of third parties could introduce potential risks to your website,<br /> but no one would do this as it would be jeopardize our own reputation.</p> <p>We have already…</p> <p>— Polyfill (@Polyfill_Global) <a href="https://twitter.com/Polyfill_Global/status/1805923380857897277?ref_src=twsrc%5Etfw">June 26, 2024</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>然而，代號為mdmck10的研究人員發現，polyfill[.]com網站內容，<a href="https://x.com/mdmck10/status/1806021891401912574">與專為NPM及GitHub用戶打造的開源CDN服務jsDelivr CDN網站雷同</a>，幾乎像是複製貼上，甚至有部分保留了jsDelivr的名稱。而且，polyfill[.]com也同樣提供jsDelivr網站上的Globalping分析服務。</p> <p>另一家資安業者Socket，<a href="https://socket.dev/blog/namecheap-takes-down-polyfill-io-service-following-supply-chain-attack">針對此事公布更多來龍去脈</a>；<a href="https://twitter.com/feross/status/1806110677612040233">該公司執行長Feross Aboukhadijeh呼籲</a>，若是有人採用了polyfill[.]com提供的CDN服務，應儘速移除。</p> <p>針對polyfill.io聲稱所有內容經過Cloudflare快取，Cloudflare表示，<a href="https://blog.cloudflare.com/automatically-replacing-polyfill-io-links-with-cloudflares-mirror-for-a-safer-internet">他們並未授權該經營者使用該公司的名稱，也未曾推薦polyfill.io的服務</a>，他們要求對方刪除相關內容，但polyfill.io置之不理。對此，Cloudflare認為，這是該服務經營者不可信任的警訊。</p> <p>該公司也為旗下的網站用戶提供替代方案，免費用戶將自動啟用，付費用戶可選擇是否啟用，或是套用自己的替代做法。</p> <p>值得留意的是，<a href="https://twitter.com/spazef0rze/status/1805645015663673670">Google也開始對廣告廠商發出通報</a>，指出他們發現來自polyfill.io、bootcss.com等網站的第三方程式庫存在資安問題，若是站方採用這類元件，這些程式庫有可能在站方不知情的情況下，將瀏覽網站的使用者擅自重新導向到特定網站。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GQ7wLbHXYAA4Owx.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GQ7wLbHXYAA4Owx.png" style="width: 580px;" /></a></p> </div></div></div>
2024/6/28 16:52作者周峻佑https://www.ithome.com.tw/news/163707
Meta發表LLM Compiler，以最佳化程式碼生成及編譯器能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta周四（6/27）<a href="https://ai.meta.com/research/publications/meta-large-language-model-compiler-foundation-models-of-compiler-optimization/" target="_blank">發表了LLM Compiler</a>，此為奠基於程式碼生成模型<a href="https://www.ithome.com.tw/news/161085" target="_blank">Code Llama</a>的新模型，額外強化了對編譯器中介語言（IR）、組合語言及最佳化技術的理解，可用來改善所生成的程式碼品質，<a href="https://huggingface.co/collections/facebook/llm-compiler-667c5b05557fe99a9edd25cb" target="_blank">目前已可透過Hugging face取得</a>。</p> <p><a href="https://x.com/AIatMeta/status/1806361623831171318" target="_blank">Meta表示</a>，LLM Compiler模型能夠模擬編譯器的功能，得以預測哪些最佳化步驟能夠達到最佳的程式碼尺寸，或是將以已編譯的程式碼轉換回原本的語言，目前提供7B與13B兩種版本，透過相對寬鬆的授權允許研究及商業使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-Meta%20LLM%20Compiler.png" style="width: 600px;" /></p> <p>這是因為Meta認為，儘管大型語言模型（LLM）在各種軟體工程及程式碼任務中展現卓越的能力，但它們在程式碼及編譯器最佳化領域上的應用，卻未得到充分的探索，訓練LLM是個資源密集，需要大量GPU時間與大量資料收集、可能令人望之卻步的任務，而LLM Compiler即是個專為最佳化程式碼任務所設計的預訓練模型，並可供公開使用。</p> <p>LLM Compiler已於5,460億個LLVM-IR與組合程式碼的Token上進行訓練，指令亦已經過微調以更好地編譯器的行為，開發者可透過客製化的商業授權以進行廣泛的運用，現有具備70億參數及130億參數的兩種模型可供選擇。</p> <p>Meta還展示了經過微調的模型版本，這些版本在優化程式碼大小，以及將x86_64和ARM組合語言反組譯回LLVM-IR的能力方面取得了顯著的進展。具體來說，這些模型可達到77%的程式碼最佳化潛力，以及45%的反組譯回路，當中的14%是精確匹配的能力。</p> </div></div></div>
2024/6/28 16:27作者陳曉莉https://www.ithome.com.tw/news/163706
Google釋出Gemma 2，提供9B及27B兩種版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://blog.google/technology/developers/google-gemma-2/" target="_blank">釋出了Gemma 2</a>，相較於<a href="https://www.ithome.com.tw/news/161409" target="_blank">第一代</a>僅提供20億（2B）及70億（7B）參數的版本，第二代提供了9B及27B兩種版本，除了具備更高的性能之外，也能在單個Nvidia H100 Tensor Core GPU或TPU上實現，大幅降低部署成本，開發人員現在已可透過Google AI Studio、Kaggle及Hugging Face Models存取Gemma 2，下個月便會現身於Google雲端機器學習平臺Vertex AI上。</p> <p>Gemma是個開源且輕量版的AI模型，採用與Gemini同樣的研究及技術而打造，Gemma 2不僅在所有基準測試上都超越Gemma 1，9B版本的Gemma 2在MMLU、BBH及GSM8K測試，也都超越8B版本的Llama 3；27B版本的Gemma 2在MMLU、GSM8K、MATH等測試，則超越擁有314B參數的Grok-1。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-Gemma_2_performance_final.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>此外，Google表示，27B版本的Gemma 2其設計就是為了要讓它能夠在單個Google Cloud TPU主機，或是單個Nvidia A100 80GB Tensor Core GPU，以及單個Nvidia H100 Tensor Core GPU執行全精度的高效推論，在維持高性能的同時大幅降低成本，讓開發者更容易部署AI。</p> <p>因此，Gemma 2可在高階遊戲筆電、高階桌上型電腦，以及雲端上執行。Google建議使用者可於Google AI Studio上以最高精度執行，在CPU上透過Gemma.cpp 使用量化版本來解鎖本地端性能；也能透過Hugging Face Transformers，於具備Nvidia RTX或GeForce RTX的家中電腦使用。</p> <p>相較於第一代，Gemma 2不僅有更高的性能、推論效率，並強化了安全，也更容易整合到使用者的工作流程中，它支援Hugging Face Transformers、JAX、PyTorch及TensorFlow等AI框架，並針對Nvidia的加速基礎設施進行優化，也能作為Nvidia NIM推論服務，之後也會針對Nvidia的自然語言處理解決方案NeMo展開最佳化。</p> <p>為了打造更安全的AI應用，即日起開發者已可利用Python函式庫對模型及資料進行比較評估，於程式中產生視覺化的結果，此外，Google也正準備替Gemma模型開源文字浮水印技術SynthID。</p> <p>自Google於今年初開源第一代Gemma後，該模型已被下載超過1,000萬次，其中一個Navarasa專案即利用Gemma來建立一個支援多元化印度語言的微調模型。</p> </div></div></div>
2024/6/28 16:00作者陳曉莉https://www.ithome.com.tw/news/163705
針對角川集團遭勒索軟體攻擊事故，傳出是駭客組織BlackSuit所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月上旬<a href="https://www.ithome.com.tw/news/163495">日本知名的影片共享平臺Niconico傳出服務異常</a>，隨後事態擴大，母公司角川集團發出聲明證實，不光是Niconico，角川網站及電商平臺Ebten都受到影響。該集團後來在14日證實遭遇勒索軟體攻擊，並透露資安事故發生的過程，事隔兩週，這起事故出現新的發展。</p> <p>6月22日角川發出聲明，<a href="https://tp.kadokawa.co.jp/.assets/240622_release_zA69Tsjh.pdf">表示</a>已有媒體報導透露攻擊者的身分，並認為這麼做將助長網路犯罪，甚至有可能會使犯罪者受益。對此，他們考慮循求法律途徑求償。</p> <p>究竟攻擊者的身分為何？根據本週資安新聞網站Bleeping Computer報導，<a href="https://www.bleepingcomputer.com/news/security/blacksuit-ransomware-gang-claims-attack-on-kadokawa-corporation/">勒索軟體駭客Black Suit聲稱是他們所為</a>，這些駭客宣稱約在一個月前開始存取該集團的網路環境，由於語言的差異，他們花費不少時間偵察、了解總公司與子公司的網路如何連結，理解該集團IT部門建置的混亂架構，並認為角川的網路架構配置不當，所有不同的網路與角川大型基礎架構連結，並透過虛擬化平臺VMware ESXi、vSphere建置的全球控制點進行管理。</p> <p>駭客宣稱在成功存取控制中心之後，他們就加密了整個網路環境，包含多玩國（Dwango）、Niconico、角川書店，以及其他子公司，都在他們加密檔案的範圍。</p> <p>另一方面，對方也表示從角川的網路環境竊取約1.5 TB的內部資料，這些包括合約、DocuSign文件、法律文件、各服務平臺使用者資料、員工個資、業務規畫、專案相關資料、財務資料，以及其他內部使用的機密資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/kadokawa-blacksuit.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/kadokawa-blacksuit.jpg" style="width: 580px;" /></a></p> <p>這些駭客要脅角川，若是不付錢，他們將在7月1日公布所有竊得的資料。</p> <p>而對於這起資安事故後續處理情形，<a href="https://tp.kadokawa.co.jp/.assets/240627_release_en_wD9vY5XU.pdf">角川在27日發出新的聲明</a>，表示他們正著手架構安全的網路及伺服器環境，會以業務考量為優先，復原會計相關的系統，預計在7月初會完成。該集團也透露，目前出版書籍的狀況有受到影響，雖然新出版的書籍仍能維持正常速度出貨，但部分出版品降為正常的三分之一，他們將尋求替代方式減少衝擊。</p> <p>至於是否有客戶資料外洩的情況，該公司表示尚在調查，但強調他們所有系統並未存放信用卡資料，這方面的資料不會因此事故曝光。</p> </div></div></div>
2024/6/28 14:26作者周峻佑https://www.ithome.com.tw/news/163704
零售IT雙周報第37期：Amazon如何用AI在物流中心攔截問題商品，提升顧客滿意度並降低物流和耗損成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0617~0629)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺 #品質管理 #智慧物流 #生成式AI</span></span></strong><br /> <strong>Amazon如何用AI在物流中心挑出受損品及錯規格的商品</strong></p> <p>Amazon揭露<a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ai-sustainability-carbon-footprint-product-defects">自家如何在物流中心利用AI來挑出受損品及不符訂單規格的商品</a>。他們將此技術稱為Project P.I.。出貨前，商品會經過一個掃描器，Project P.I.會用電腦視覺技術抓出商品受損或不符合訂單規格的情況，如書本封面折到、衣服錯尺寸等，並標註出問題商品，供作業人員調查。</p> <p>不只如此，Project P.I.還搭載了多模態LLM技術，用來理解過往發生類似商品受損或規格錯誤的狀況，以強化判斷問題商品能力，甚至辨識出同類型商品出問題的常見模式。接著，Amazon可以就這些出問題的常見模式，跟供應商共同探討未來改善方法。</p> <p>Amazon表示，用Project P.I.提早辨識出有問題的商品，不僅能提升整體顧客滿意度，同時還能達到節省成本及環保效果。這些辨識出有問題的商品不一定要丟棄，還能放到Amazon自家二手市集販賣，或捐出，或將這些商品用於他處。反之，若沒有及時發現問題商品就出貨，顧客退貨時會消耗包裝及物流資源。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電子標籤 #OMO零售</span></span></strong><br /> <strong>Walmart將於2,300間門市大規模導入電子貨架標籤，能快速更新資訊還可支援補貨及揀貨等作業</strong></p> <p><a href="https://corporate.walmart.com/news/2024/06/06/new-tech-better-outcomes-digital-shelf-labels-are-a-win-for-customers-and-associates">Walmart宣布將於2026年前在2,300家門市內導入電子貨架標籤。</a>一間Walmart門市約有120,000類商品，也就是說至少會啟用2.7億個電子貨架標籤。Walmart表示，導入電子標籤不只能用於快速更新價格和優惠資訊，還將用於協助門市人員作業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/walmarttag.jpg" style="width: 600px;" /></p> <p>補貨時，門市人員可以遠端操控該貨架電子標籤示意燈，以利他們找到對應貨架。同理，在支援線上下單線下取貨（BOPIS）或從門市內貨架挑揀外送用商品時，也可以遙控對應貨架示意燈，來加速揀貨作業。這意味著，隨著OMO零售成熟，電子貨架標籤的效益不僅限於支援實體門市管理，還能進一步拓展到強化數位零售效率。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO零售 #會員經營 #跨商家導流</span></span><br /> 全家會員App整合日本代購電商比比昂購物功能，還會根據全家自家會</strong><strong>員喜好來分眾推播商品</strong></p> <p>全家便利商店與日本代購電商比比昂合作，將後者電商功能整合到前者會員App中。消費者可以利用全家會員身分一鍵註冊比比昂會員，也能直接在全家App中瀏覽比比昂的商品。經實測，此功能操作介面與流暢度媲美原生功能，不會像開啟App內建瀏覽器連接到外部網站一樣卡頓。此電商功能還會依照全家會員個人喜好數據，對會員進行分眾行銷，呈現不同商品於主頁。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fmmbba.jpg" style="height: 450px;" /></p> <p>以線下零售為主的全家將外部電商整合到自家會員App，不僅能增加一個消費者打開App等數位通路的誘因，還能進一步蒐集會緣於外部通路的消費喜好數據。對合作電商來說，則是新增了一個獲客管道，還能利用全家會員數據來對潛在客戶進行分眾行銷。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AMR #自動化物流</span></span></strong><br /> <strong>網家A7物流中心開始導入上百臺AMR，提升3倍揀貨效率</strong></p> <p>網家於林口A7物流中心的3層樓中導入了上百臺智慧物流機器人（AMR），用來揀貨到工作站，節省作業人員親自揀貨的勞務。PChome表示，導入這些機器人後，揀貨模式從以人就物，改為以物就人，作業員步行距離縮短了一半，揀貨效率也提升了3倍。</p> <p>此機器人另一個好處是不需要環境照明即可揀貨，因此能節省貨架區照明成本。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #圖片背景生成</span></span></strong><br /> <strong>eBay推出用生成式AI製作商品圖片背景的功能</strong></p> <p>C2C電商巨頭eBay持續發展對圖像類AI相關應用，<a href="https://innovation.ebayinc.com/tech/features/background-swap-tool-turns-any-photo-into-a-studio-quality-product-image/">近期推出可以輕鬆替換商品圖片背景的功能</a>。過往，eBay已經有圖片去背功能，現在則能進一步生成出多種背景圖樣，來替換原本背景。若商家對AI生成的背景圖不滿意，還能簡單的編輯圖片，或是重新生成更多不同樣式。此功能目前只在iOS商家App上線，未來數月會上線到Android版App。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ebaygai.jpg" style="width: 700px;" /></p> <p>雖然這類生成式AI技術已經不算新穎，不過eBay自己推出此功能，有望降低更多中小型商家利用生成式AI來提升賣場圖片素材品質的門檻。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #聊天機器人 #線上訂位</span></span><br /> 台灣大哥大與Line、inline聯手，瞄準餐飲業者推出AI語音訂位服務</strong></p> <p>台灣大哥大與Line、碩網資訊、inline合作，共同推出AI語音預約訂位服務。消費者可透過播打電話或Line電話來訂位，以及查詢、修改及取消訂位。此服務背後技術是台灣大哥大的行動市話服務、碩網資訊的語意辨識及語音合成技術、Line的Clova聊天機器人，以及inline的線上訂位服務。</p> <p>除此之外，消費者若在訂位時，附帶提問用餐相關問題，例如店家周邊停車資訊、用餐時間限制、兒童用餐、座位等用餐環境相關問題，會由ChatGPT 3.5判斷應答。（<a href="https://www.ithome.com.tw/news/163200">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://www.prnewswire.com/news-releases/toysrus-studios-and-native-foreign-use-openais-sora-to-narrate-the-origin-story-of-beloved-toyrus-brand-302180332.html">玩具反斗城成為第一個用文字轉影音的生成式AI Sora打造行銷用影片的零售商</a></p> <p>2. Costco也要開始做RMN，將1.3億會員數據用於數位行銷</p> <p>3. 韓國公正交易委員會以操控演算法來增加自有品牌出現頻率為由，對酷澎祭出等同新臺幣33億元罰款</p> <p>4. <a href="https://www.prnewswire.com/news-releases/albertsons-media-collective-partners-with-rokt-to-extend-its-retail-media-ecosystem-adds-non-endemic-ads-across-its-portfolio-of-brands-302167123.html">北美第二大連鎖超市Albertsons開放非供應商在旗下RMN投廣</a></p> <p>資料來源：iThome整理，2023年6月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Amazon、Walmart、eBay</p> <p></p> </div></div></div>
2024/6/28 13:20作者郭又華https://www.ithome.com.tw/news/163699
防堵濫用AI模型行為，OpenAI將封鎖不支援地區的API流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI採取更積極措施，防堵中國、伊朗及俄羅斯等國用戶存取其AI模型。中國業者已經摩拳擦掌準備搶占OpenAI留下的市場空缺。</p> <p>今年5月OpenAI基於<a href="https://www.ithome.com.tw/news/163297" target="_blank">偵測到</a>數個區域人士濫用其AI模型產出及發布文章，企圖影響戰爭、政治或引發種族、宗教不安，對中國、俄羅斯、伊朗採取措施，<a href="https://openai.com/index/disrupting-deceptive-uses-of-AI-by-covert-influence-operations/" target="_blank">封鎖</a>這些地區的人士或App存取OpenAI網站或API。</p> <p>本周OpenAI電子郵件<a href="https://community.openai.com/t/identifying-api-keys-with-traffic-from-unsupported-regions/837837" target="_blank">通知一名開發商</a>，因偵測到其API使用包含「不支援」地區的流量。OpenAI指出該公司將從7月9日起，採取進一步措施封鎖不支援國家地區的API流量。這封訊息暗示，若屆時還有類似情形，可能會被封鎖存取OpenAI的API。</p> <p class="rtecenter"><a href="http://community.openai.com/t/identifying-api-keys-with-traffic-from-unsupported-regions/837837" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-open%20ai-api-block-600.png" style="width: 600px;" /></a></p> <p>媒體也<a href="https://www.dailysabah.com/business/tech/chinese-ai-firms-court-openai-users-as-it-plans-api-restrictions" target="_blank">報導</a>，中國用戶已接獲OpenAI郵件訊息，警告他們位處該公司現階段不支援的地區，告知7月初會有進一步封鎖來自這些地區的API流量。</p> <p>OpenAI此舉形同暫時撤出中國市場，可能重演2010年Google退出中國市場後，給了俄羅斯Yandex及百度坐大的歷史。</p> <p>百度本周<a href="https://mp.weixin.qq.com/s/rznAUNO8uazBWjhNc9VSzQ" target="_blank">宣布</a>用戶移轉方案，招來中國用戶轉到其AI平臺智能雲千帆。該公司提供首次使用主力模型及輕量模型5,000萬token免費，針對OpenAI移轉用戶則提供號稱同等級的ERNIE 3.5 token套裝方案。此外模型訓練、微調、SDK搬移工具及搬移服務也都免費。</p> <p>根據時代雜誌<a href="https://time.com/6992026/openai-china-ai/" target="_blank">報導</a>，阿里巴巴／騰訊支持的<a href="https://mp.weixin.qq.com/s/PcwstlCtZVL4LJY37bfX_g" target="_blank">百川智能</a>、商湯科技<a href="https://mp.weixin.qq.com/s/nDJF5JG5OtVeHTQfKY5N7A" target="_blank">「日日新」</a>、<a href="https://open.bigmodel.cn/" target="_blank">智譜</a>皆祭出零元移轉的方案，連微軟也和當地業者合作類似方案，向OpenAI用戶招手。</p> </div></div></div>
2024/6/28 12:01作者林妍溱https://www.ithome.com.tw/news/163698
蘋果開放產品維修使用第三方顯示器與電池、開放歐洲用戶自行維修
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2024/06/apple-expands-self-service-repair-diagnostics-support-to-europe/" target="_blank">蘋果昨（27）日宣布</a>，將允許iPhone維修顯示器和電池使用第三方零件，而不影響功能。蘋果同時宣布自助維修支援軟體擴大部署到歐洲32國，允許這些國家的消費者能DIY維修。</p> <p>蘋果過去為人詬病的一點是，不允許用戶找非授權經銷商或使用非蘋果零件維修iPhone或Mac電腦等產品。消費者iPhone若使用第三方零件，不僅保固會失效，也會導致特定功能失去作用。例如換了非原廠顯示器後，iOS/Mac的原彩（True Tone）功能會無法使用，這功能可偵測外在環境光線強弱而自動調整手機內容的顏色和亮度。此外，若iPhone更換了非原廠電池，在電池狀態（battery health）檢視功能也將無法顯示特定量測值，像是最大電量及充電次數等。</p> <p><a href="https://support.apple.com/content/dam/edam/applecare/images/en_US/otherassets/programs/Longevity_by_Design.pdf" target="_blank">蘋果最新文件說明</a>，今年下半，為提供第三方零件更好的支援，蘋果將允許其產品使用第三方顯示器和電池時，原彩和電池狀態資訊二項功能將可正常作用。在前者，若消費者更換非蘋果顯示器不滿意，可以透過「設定」App來關閉原彩功能。針對電池狀態資訊，蘋果會顯示第三方電池量測值，同時顯示蘋果無法驗證本資訊的警告通知。蘋果鼓勵所有使用非原廠電池的消費者應確定產品滿足嚴格的安全要求。</p> <p>此外，<a href="https://www.apple.com/newsroom/2024/06/apple-expands-self-service-repair-diagnostics-support-to-europe/" target="_blank">蘋果並在本周宣布</a>，蘋果自助服務維修診斷（Apple Diagnostics for Self Service Repair，簡稱診斷）軟體將開放歐洲32國，包括英、德、法、荷等國用戶下載。這個軟體是去年6月首先在美國提供，允許消費者享有和蘋果授權經銷維修商及獨立維修業者同等測試零件功能及效能的權利，以找出需要維修的部分。現在連同美國，該診斷軟體共支援33國及24種語言地區。這個診斷軟體明年將再擴大到加拿大。</p> <p>除了擴大到更多國家，蘋果本周也擴大可適用自助維修的蘋果產品。去年6月一開始這方案僅允許13吋M2 MacBook Air及MacBook Pro，<a href="https://www.theverge.com/2023/12/13/23999669/apple-self-service-repair-diagnostics-m2-macbook-iphone-15" target="_blank">去年12月</a>擴大到iPhone 15、更多M2-based電腦及Mac Studio。最新宣布下，支援產品進一步增加搭載M3晶片的MacBook Air，共支援42項蘋果產品。</p> </div></div></div>
2024/6/28 10:55作者林妍溱https://www.ithome.com.tw/news/163697
【iThome 2024 CIO大調查系列2｜CIO觀點】旅宿業大缺工怎麼解，大倉久和用生成式AI留住潛在商機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「電話一直響，沒有人來接，潛在房客就這樣流失了。」大倉久和飯店資訊部經理林峻正形容旅宿業者缺工時會發生的情境。</p> <p>「如果AI能接起電話回應，甚至滿房時，推薦其他有空房的時間，就能保留住這些商機。」林峻正認為，這正是服務業重啟數位轉型的一大推力──用科技彌補缺工帶來的潛在損失。</p> <p>許多旅宿業者數位轉型腳步較為緩慢，在這波大缺工潮中，才終於開始思考如何用IT來增加效率、降低成本，以因應缺工窘境。開始有更多企業主意識到，利用IT取代人力，更符合長期經濟效益。</p> <p>林峻正坦言：「一個員工一年人事薪水要四十萬，但一個自動化機器人可能只要幾千塊，不用教育訓練，還可以24小時工作。」</p> <p>林峻正說明，旅宿業者會先拆分內外勤不同職位的工作內容，盤點出高重複性、低難度的項目，再用不同技術來打造出自動化機制，紓緩缺工壓力。常見的工作項目包括線上客服、語音客服、客房服務、系統表單填寫、工作流程管理、教育訓練等。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>利用生成式AI及RPA機器人來取代高重複性、低難度勞務</strong></span></span></p> <p>在飯店業所用的工作自動化技術中，生成式AI是非常重要的一類技術。林峻正認為，疫情爆發以來，不同服務業先後開始投資數據類科技，但市場上沒有出現特別新的數據類產品，許多企業不會再加碼更多預算來投資大數據，也無法將數據科技應用到更多場景。直到2023年，生成式AI浪潮席捲全球，許多導入門檻低、應用方法簡單的工具陸續問世，使許多企業趨之若鶩。</p> <p>以旅宿業來說，要導入CDP等較進階的數據科技產品，不只需要先花費許多功夫在數據清洗和整合等準備作業上，就算成功導入，效益也未必能馬上反應於在營收上。反觀生成式AI類產品中，有許多可以直接應用在服務端，例如客服、資料整理、簡單的問答機器人等，能有效輔助甚至取代人工勞務，成效立竿見影，因而特別受到旅宿業青睞。</p> <p>大倉久和現在就有打算利用市面上專門打造給旅宿業用的GPT類工具，來打造智慧客服及內部知識管理用的問答機器人，用生成式AI輔助基礎但重要的業務流程。林峻正也列舉了其他旅宿業常見的生成式AI應用方法，包括教育訓練、會議紀錄及工作項目追蹤等。</p> <p>RPA機器人也是一項重要的勞力缺口彌補工具。林峻正說明，旅宿業內部有許多工作流程有待自動化。例如，過往旅宿業許多系統之間的數據拋轉作業都仰賴人工作業。這包含將外部OTA（Online Travel Agency，線上旅行社）訂房資訊輸入到自家訂房系統，或是從從餐廳訂位系統抄寫數據到會員系統等。除了系統間數據拋轉，飯店業還有大量紙本資訊需要人為輸入，例如信用卡授權書、訂房確認書等紙本文件。</p> <p>旅宿業人力尚足時，一直沒有數位化這些作業的強烈誘因。如今，旅宿業面臨人手嚴重不足，IT部門便需要整合系統和打造RPA機器人，協助各部門快速完成這些作業，釋放出更多人力。林峻正補充，系統整合同時能進一步提升旅宿業者IT體質，使IT能不只能加速既有業務流程，更能打造更多新應用來進一步加速企業營運效率。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>ESG是推動數位轉型的另一大因素</strong></span></span></p> <p>不過，大缺工不是唯一一個驅使旅宿業者數位轉型的外部因素。</p> <p>林峻正說，政府及民間都積極推動ESG，是旅宿業者數位轉型另一大動力。大倉久和也將數位轉型目標對齊ESG指標，來決定優先實施的做法。</p> <p>其中一項基本但重要的措施是無紙化作業，作為許多數位轉型措施的先置作業，更作為ESG一環，許多仍有大量紙本作業的旅宿業者，終於趁著這個時機，開始將紙本文件掃描為數位文件，並導入數位簽核系統，數位化原本的紙本作業流程。</p> <p>另一項重要轉型項目是用電量監控。以大倉久和為例，他們計畫打造儀表板來監控用電量，甚至要利用AIoT技術，來自動化調節設備用電。</p> <p>林峻正還以自家做法為例，說明旅宿業其他受到大環境影響而不得不推動的數位轉型項目。例如，因應法規做資安轉型，提交個人資料安全維護計畫，以及，因應疫後消費習慣，翻新數位通路的介面和底層顧客數據分析技術等。</p> </div></div></div>
2024/6/28 09:17作者郭又華https://www.ithome.com.tw/news/163655
【iThome 2024 CIO大調查系列2｜CIO觀點】進軍數位通路更擁抱生成式AI，全國電子靠數位轉型開源節流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全國電子近一兩年的數位做法，是圍繞著人力資源限制及消費者習慣來進行。一方面，服務業人力資源難以補充，他們有意靠IT來取代人工作業，提升生產力。另一方面，則是要迎頭趕上疫後以來的OMO零售及個人化服務趨勢。</p> <p>他們今年大舉進軍數位通路，打造行動電商App和行動支付功能，更建立了號稱元宇宙商店的虛擬3D門市，用不同數位形式，來呈現自家商品及購物體驗。配合進軍數位通路策略，他們還發展數位會員管理系統，用來追蹤顧客數位足跡，以支援全國電子分析顧客喜好後，對顧客進行個人化行銷。</p> <p>他們還積極擁抱去年爆紅的生成式AI技術，逐步應用在更多業務流程中。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>3階段發展生成式AI，謹慎驗證AI產出內容精準度</strong></span></span></p> <p>為了擁抱生成式AI來強化營運效率，全國電子從去年開始，陸續整合、清洗不同系統的數據，來發展家電領域的專屬AI模型。全國電子資訊管理處協理黃漢傑表示，他們依照應用難度低至高，分3階段來發展生成式AI應用。</p> <p>第一階段最簡單，是利用生成式AI來生成行銷素材。配合全國電子大舉發展數位通路的策略，他們希望能提供個人化體驗，依照顧客喜好呈現出對應素材。為此，他們利用生成式AI來快速、大量產生多樣化圖文素材。這個應用的導入門檻相對低，幾乎不需要運用到全國電子內部的營運或家電領域數據，行銷人員就可以直接開始使用。</p> <p>全國電子目前所處的第二階段是，利用生成式AI工具來快速理解、整理內部資訊。這包括內部不同IT系統的操作方法，以及各式各樣家電的規格及操作方法等數據。他們先用些整理完的數據，來打造內部知識管理用的問答工具，供內部人員快速查詢業務所需資訊。這些數據還要用來支援下一個生成式AI應用發展階段，也就是用這些數據來打造更多、更完善的應用。</p> <p>相較於第二階段只是對內用問答工具，全國電子應用生成式AI的第三階段是打造完整內部客服與外部客服，可以用自然語言進行流暢溝通。對內，可以用於員工訓練或查詢各式知識；對外，則可以對顧客提供電器需求規劃、產品諮詢等客戶服務。黃漢傑說，之所以還沒有走到這階段，是因為全國電子希望先確保AI回答問題的準確性，再正式將生成式AI應用於對外客服。</p> <p>他進一步說明，隨著各種生成式AI工具問世，企業應用AI技術的門檻大幅降低。不過，企業難以控制生成式AI產出內容，屬於易學難精的一種技術，因此全國電子在應用時，態度非常謹慎。他們打算先用真人驗證自家AI能穩定產出高品質答案，同時，評估是否能應用其他技術，來驗證或強化生成式AI產出內容品質。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位轉型重視長期開源節流</strong></span></span></p> <p>今年CIO大調查中，服務業IT部門在採用GAI技術時，較其他產業都更重視商業面目的，例如降低成本、增加營收等。黃漢傑評論，全國電子IT部門也十分重視整體企業商業面目標，而非只是被動滿足其他部門IT需求。甚至，他們不只重視短期營收效益，更重視長期的開源節流。</p> <p>他說，有些企業投資數據建設一段時間，卻看不見效益反映於營收上，因而感到卻步。不過，數據科技在前置作業階段的效益，例如數據清洗、整合，都是反映在企業IT體質上，而非營收。要放眼長期，才能看見數據科技帶來的商業面好處。</p> <p>以全國電子為例，過往需要靠店員及總部人員統整顧客喜好數據，但有了會員管理系統等數據建設，這些人力便能轉而投入其他事務，這是節流。數據科技還可以明確追蹤消費者足跡，容易量化出營收效益，例如行銷轉換率、沉睡顧客喚醒等，是開源。這些都是經歷了數據科技導入的前置作業之後，會逐漸浮現出來的商業面效益。他說，數據就是每個企業的金庫，可以從中找出獲利的機會，或是改善營運績效的方式。「只不過，要先妥善整合好數據，才能有效發揮價值。」</p> </div></div></div>
2024/6/28 09:18作者郭又華https://www.ithome.com.tw/news/163668
【iThome 2024 CIO大調查系列2｜CIO觀點】推動零信任架構加速資安轉型，臺北市府今年內釋出AI使用規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「至少在我任期內，臺北市政府正轉型朝向實踐零信任的政府機關」，臺北市政府資訊局長趙式隆一語道出，臺北市正推動資安轉型。</p> <p>趙式隆以零信任作為分水嶺，他將零信任之前視為舊資安，而在零信任之後則是新資安，過去北市在舊資安已打下良好基礎，然而面對層出不窮的風險，臺北市為強化資安，近幾年積極推動資安轉型至新資安。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>配合中央推動零信任架構</strong></span></span></p> <p>臺北市一方面規畫配合中央政府的政策推動零信任架構，另方面也與時俱進，與外部業者合作，汲取國外的新觀念及作法，例如臺北市與Cisco在資安方面簽署合作備忘錄，將國外的觀念作法引進國內，針對國內的環境、法規架構，先進行POC測試，評估是否適合引進國內，作為後續擴大投資參考。</p> <p>由於臺北市推動資訊向上集中，因此資訊局統籌規畫導入零信任，擴大投資分階段導入零信任機制，先從各局處的共同系統著手，資訊局推動零信任架構，除了軟硬體採購，也為各局處教育訓練，各局處配合市府技術發展進程。目前臺北市政府已向中央政府爭取經費補助，未來如果獲得補助，配合中央政府推動零信任架構政策。</p> <p>除了依照政府零信任架構的推動策略，市政府也思考在身分識別，將近期三讀通過的電子簽章法納入通盤考量。由於電子簽章法規定政府機關公告排除適用電子簽章，將在一年後終止，市政府計畫先在內部先推廣運用電子簽章，未來內部推動如果成效良好，再進一步推向市府便民服務。</p> <p>趙式隆表示，現在市府內部約有9成以上公文已數位化，但涉及採購的密件公文礙於法規，仍使用紙本公文、手工蓋章，難以做到公文全數位化，電子簽章法的通過，有機會讓臺北市實現電子化公文最後一哩。「電子簽章法三讀通過，代表數位化的身分驗證，從真實世界到虛擬世界，兩個世界的整合是大家期待的普世價值，政府可以率先完成這件事」，他說。</p> <p>不論是零信任架構的身分鑑別，或是電子簽章法的數位身分，趙式隆認為兩者都是處理身分的驗證（Authentication），電子簽章法的通過，等於提供新的身分驗證選擇（Option），相當於放寬身分驗證方式，但是，隨放寬而來的風險也需要一併考量，目前國內政府機關還沒有這樣的嘗試，市府希望率先嘗試，未來將實務推動經驗提供外界參考。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>以5年10億元經費補助各局處發展人工智慧應用</strong></span></span></p> <p>除了資通安全轉型，臺北市也積極發展人工智慧應用。過去資訊局統籌分配臺北市政府資訊預算，但往往僅能提供各局處申請維護既有資訊系統費用，難以支持各局處發展創新應用，因此臺北市啟動新的作法，從明年開始以5年10億元預算，即1年2億元的預算，推動競爭型科專計畫，響應市長發展人工智慧的願景，各局處需提出AI相關計畫，由資訊局邀請外部委員，從技術、法規、倫理、採購各方面進行審議。</p> <p>趙式隆表示，臺北市希望透過獨立預算，由熟悉不同業務的各局處提出相關計畫，擴大投資AI，使其在臺北市遍地開花。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>制定市府AI管理規範</strong></span></span></p> <p>至於ChatGPT帶動的生成式AI，臺北市政府以慎重方式使用生成式AI，市政府規畫包括生成式AI在內制定一套完整規範，資訊局參考歐盟最新法規，目前已研擬草案提供給各局處以蒐集意見，後續將召開專家委員會，聽取專家的意見，預計今年內就會正式公布。</p> <p>儘管正式規範尚未推出，臺北市並沒有禁止使用生成式AI，趙式隆提出大原則是機敏性資料，由各局處自行判斷是否運用機敏性資料，並且負起責任，如果沒有涉及隱私或侵權則可使用生成式AI，北市教育局開放學校老師使用生成式AI產生考題。</p> <p>考慮到使用生成式AI公共服務如ChatGPT有一定的風險，臺北市政府要求提供AI學習的資料必需為開放資料，例如臺北市資料大平臺的資料，或是市府各機關網站的公開資訊。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>生成式AI應用涉及機敏性資料必需落地</strong></span></span></p> <p>至於機敏性資料使用生成式AI，則必需在具有主權算力環境下，使用具有較高控制權的大型語言模型。「在機敏性資料使用生成式AI來提高工作效率、提升服務品質，特別具有價值，這是不可避免的，因此軟硬體都需要較高的主導權」，趙式隆說。</p> <p>臺北市政府規畫建置主權算力，目前評估幾個可能的作法，包括建置共通機房，採購機器設備，建立完全自有的算力，另一個則是，向資料中心業者購買專屬的算力，運算資源與其他使用者為實體獨立。臺北市政府資訊局未來希望爭取預算，投入建置主權算力，並且能夠落地的大型語言模型為主，例如國科會力推的TAIDE，臺北市政府與TAIDE研發團隊合作，市府也與獨立發展繁體中文大型語言模型的聯發科合作，還有其他的開源LLM。</p> <p>趙式隆表示，不同的大型語言模型各自有不同的專精領域，未來可以交互使用，但涉及到機敏資料，必需要能落實在臺北市具有控制權的主權算力環境。</p> <p>北市已小規模測試生成式AI在公務的應用，包括輔助新手公務員生成公文草稿，還有針對話務量相當高的1999專線，民眾經常撥打1999陳情、詢問事項，以生成式AI技術開發互動式知識管理，協助客服快速取得相關資訊，再由客服調整回覆資訊給民眾。另外，還有協助機關回覆議員索取資料等等。</p> <p>趙式隆表示，不論是公文內部使用或對外服務民眾、議員索資，不會直接以生成式AI產出內容提供給議員、民眾，需要搭配人力配套執行，短時間內不會很快推出，明年上半年可能有機會。除了這些應用，資訊局目前也測試將市府網站上公告的文件資料，這些文件內容可能篇幅較長，為方便民眾快速掌握文件內容，市府正測試運用生成式AI產生文件摘要的功能。</p> </div></div></div>
2024/6/28 09:18作者蘇文彬https://www.ithome.com.tw/news/163669
【iThome 2024 CIO大調查系列2｜服務業IT趨勢1】從省科技錢到用科技省錢，服務業數位轉型力道重啟
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-feng_mian_-fu_wu_ye_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年，各產業IT預算加碼幅度大多回升，平均成長率為10%。去年不景氣仍守住2位數大關的服務業，今年也持續提升IT預算，幅度為11.7%。細看服務業IT預算各項目，讓人眼睛一亮的是數位轉型預算成長率從去年7.8%增加到13.1%。服務業不僅加碼數位轉型力道更強，更是各產業中唯一一個預算成長率為正的產業。</p> <p>這股數位轉型動能從哪來？首先是疫後OMO熱潮，至今不但沒有消退，更是深化、廣化。已經經營線上線下通路的服務業，開始進一步打通通路間數據流、增加數據分析及應用方法、甚至用來開發新業務。同時，仍有一些服務業者，直到最近才開始正式進軍數位通路，或大幅翻新舊有數位通路。</p> <p>不只如此，相較於去年，許多企業因為經濟不景氣而省IT錢，今年企業則開始用IT來省錢，用科技增加生產力，甚至取代人力。</p> <p>促使服務業者這麼做的一大理由是，已經持續數年的缺工問題。要維持企業正常營運，不因人手不足而流失更多商機，服務業者必須重新審視既有工作分配方式，由科技代勞高重複性、低難度的作業，將人力用在刀口上。</p> <p>另一個原因則是，2023年起，市面上出現了一類低導入門檻、高即用性的好用工具──生成式AI類工具。可以生成圖片和文字的生成式AI類工具，對服務業可說是再適合不過。對外客服、接待、點餐、行銷，對內知識整理、文件梳理、創意提案，都是可以用生成式AI來輔助，甚至完全取代的應用場景。這些都有助於減緩缺工壓力。再來，許多套裝生成式AI工具還不需要與導入企業的系統密切整合，只需要簡單設定和操作知識就能用，導入門檻低又能快速見效。</p> <p>積極擁抱生成式AI工具，也使服務業投資大數據的預算有著驚人成長率，從去年預算減少2.2%，變成今年增加17.3%，成長幅度近2成。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>最擁抱公雲的產業，一半企業將上雲作為因應ESG策略</strong></span></span></p> <p>服務業仍然是最積極擁抱雲端科技的產業。服務業企業雲原生應用比例及企業應用上公雲比例在各產業中都最高，且兩指標從2023年到2024年底的預估成長率也是各產業最高，前者預計成長5.7%到35.6%，後者則是成長6.5%到31.7%。</p> <p>不只採用比例最高，服務業擁抱雲端科技的力道也最大，雲原生比例超過50%的企業比例和AP上公雲超過50%的企業比例，都遠高於其他產業。採用FinOps（雲端維運成本管理）、多雲混合雲，以及將上雲作為因應ESG策略的企業比例，服務業都穩居全產業之首。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-4-PNG.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:20作者郭又華https://www.ithome.com.tw/article/163680
【iThome 2024 CIO大調查系列2｜服務業IT趨勢2】服務業最積極擁抱GAI應用，聚焦可量化商業面成果
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-feng_mian_-fu_wu_ye_2-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2023年，生成式AI應用遍地開花，服務業是最積極摘下這些花朵的產業。</p> <p>面對生成式AI浪潮，服務業比其他產業都更鼓勵員工使用GAI（如ChatGPT），從個人層級擁抱這些應用。從組織層級，他們也更積極使用GAI來提高人員生產力。一年來，高達15%服務業者已經走到正式上線生成式AI應用階段，甚至是進一步深化應用範圍。這個比例較整體產業高出一倍，凸顯出服務業採用此新興技術的步伐快速。</p> <p>雖然服務業最積極採用GAI工具，但資安方面更著重強化員工GAI（如ChatGPT）資安意識，較少服務業者特別強化機敏資料保護機制。一個原因是，服務業許多生成式AI應用場景，不需要使用到機敏資料，例如行銷素材生成。</p> <p>另一個原因來自於服務業者導入GAI應用的模式。許多服務業偏好採用低導入門檻、開箱即用的生成式AI工具，或者是直接使用ChatGPT，共通點是，都不需要跟其他系統高度整合，因此資安疑慮較少。正是這種先採用簡單的工具、「先用再說」的態度，使服務業GAI導入進程領跑其他產業。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GAI是靠IT節省成本的重要解決方案</strong></span></span></p> <p>服務業者採用GAI時，非常注重商業面成果。相比於「累積AI經驗與實力」這種難量化成果的目標，服務業者導入GAI時更注重直接的商業面成果。舉例來說，降低成本、改良既有產品或服務、設計新產品或服務、擴大營收、獲取更多新顧客、開拓新事業等，都是服務業資訊主管導入GAI應用時，較其他產業更重視的目標。</p> <p>服務業如此聚焦於商業面成果，一大原因是因為總體經濟環境和大缺工窘境，迫使他們利用科技來降低成本及人力需求。生成式AI應用，就是IT部門用來省錢的一種重要做法。</p> <p>許多生成式AI工具導入技術門檻低、使用成本低、操作容易，且容易立即看到成效。這些特質，使服務業IT願意積極嘗試用生成式AI工具，來取代部分高重複性、低難度勞務，進而省錢、省人力。要達成這些目的，IT部門也面臨新課題，必須理解不同部門業務流程，拆解出真正可用GAI取代的環節。同時，還需確保生成式AI工具產出內容的精確度。</p> <p>進入實戰的服務業者們，將GAI用在哪些場景？IT技術性工作方面，服務業與其他產業聚焦的用途大致相同，不外乎撰寫文件、學習新技能、撰寫與優化程式碼，以及解答技術問題。IT部門以外，常見用途則包括專門領域的知識管理、打造文書類RPA流程、產出行銷素材、智慧客服、接待、點餐、創意提案等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-4-PNG.png" style="text-align: center; width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-1-PNG(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-2-P%EF%BC%AE%EF%BC%A7.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-3-PNG(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:22作者郭又華https://www.ithome.com.tw/article/163683
【iThome 2024 CIO大調查系列2｜政府學校IT趨勢1】兼顧資安轉型與數位韌性，AI成為創新應用及分析決策利器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-feng_mian_-zheng_fu_xue_xiao_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ithome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">今年政府及學校的IT預算為2.11億元，較去年成長5.8%，雖然不及去年疫情後的IT預算成長幅度新高的8.9%，但顯示政府及學校IT預算逐漸恢復穩步成長。</p> <p dir="ltr">近幾年在資安即國安的政策下，強化資安一直是最多CIO的目標，今年雖然仍是最多CIO的目標，但是比例從2023年87.8%下滑到2024年的78%。這不代表資安不再受到重視，相反地，因應遠距上班、上雲等彈性的工作型態、外部資源彈性運用，資安風險隨之增加，加上兩岸情勢更為緊張，CIO投注更多心力在其他方面，例如推動資安轉型、數位韌性。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>7成CIO將資安轉型、強化數位韌性列為年度目標</strong></span></span></p> <p dir="ltr">其中推動資安轉型，面對資訊安全的風險增加，政府學校從過去被動建置防火牆、找漏洞、更新，化被動為主動，部署主動防禦，或是強調永不信任、都要驗證的零信任機制，零信任機制也是目前政府積極推動的資安防禦政策。去年的調查中，資安轉型排名為第8名，約4成的政府及學校CIO列為目標，今年調查則一舉提高到70.7%。</p> <p dir="ltr">而隨著全球極端氣候，以及兩岸情勢緊張，天災人禍可能無預警發生，措手不及之下可能導致網路通訊中斷、政府服務受阻，因此近幾年政府力推數位韌性，去年5成8的CIO將強化數位韌性列為目標，今年提高到70.7%。</p> <p dir="ltr">值得注意的是，隨著AI成為提升內部營運效率、對外服務的新技術，AI創新應用與服務已逐漸成為各產業轉型發展的趨勢，政府及學校也不例外，去年只有約26.8%的CIO將AI創新應用與服務列為目標，並未進入前十大目標，但是今年調查發現該比例增加至56.1%，為政府學校CIO年度十大目標的第4名。</p> <p dir="ltr">政府學校也積極推動以數據分析為基礎的決策，由於面臨的龐大數據，因此運用AI進行數據分析輔助決策也成為政府學校的目標，去年約2成的CIO將AI強化分析與決策列為目標，今年比例提高到近4成。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位轉型與資安仍是投資兩大重點，雲端投資增加</strong></span></span></p> <p dir="ltr">在8大領域IT投資方面，數位轉型、資訊安全仍是政府及學校的投資第一、二名，投資占IT預算的比重，分別為13.4%、11.8%。這兩年雲端投資顯著成長，雲端投資從去年1,544萬元成長到今年的2,070萬元，占IT預算比重將近1成，預算僅次於數位轉型、資安，雲端的投資金額，可能與政府近幾年放寬限制，推動政府對民服務上雲，以及因應天災人禍導致國內大規模災害發生，健保、交通、戶政、財稅等18項民生關鍵系統上雲有關，需投入更多的預算在相關上雲準備工作上。</p> <p dir="ltr">從調查來看政府學校IT的雲化發展，對雲的投資也反映在政府學校應用上公雲的比例，從2023年底的19.54%，預期到2024年上升到23.33%。不過，雲原生應用比例則從32.96%，略微下降至29.37%。</p> <p dir="ltr">至於其他重點IT投資占比皆不到5%，雖然占比並不高，但是投資金額成長幅度卻有明顯變化，例如今年對邊緣運算IoT的投資金額成長138.9%達到442萬元，對AI機器學習投資金額成長64.7%至359萬元。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-4-PNG.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:25作者蘇文彬https://www.ithome.com.tw/article/163632
【iThome 2024 CIO大調查系列2｜政府學校IT趨勢2】超過4成政府學校CIO今年將採用ChatGPT類應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188zheng_fu_xue_xiao_2-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">ChatGPT在全球帶動生成式AI、LLM快速發展，並逐漸受到政府及企業的重視，AI成為新一波數位轉型發展的焦點。行政院去年通過所屬機關使用生成式AI參考指引，為公務機關使用GAI揭示參考性的原則，今年新政府開始執政，宣示推動公務機關運用AI創新應用服務、提高行政效率，AI成為政府轉型的下一步。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>逾4成3今年將採用ChatGPT類應用</strong></span></span></p> <p dir="ltr">根據調查，在眾多技術中，RPA流程自動化頗受青睞，特別在金融業，高達6成採用RPA，在一般製造、高科技製造、服務業也是有一定的比例採用，但是ChatGPT類應用從去年開始逐漸受到重視，各產業整體採用的比例為27.7%。</p> <p dir="ltr">今年ChatGPT類應用各產業整體採用比例上升到41.2%，如果單看政府學校，ChatGPT類應用採用比例為43.9%，位居第1名，為最多政府學校CIO採用的技術，其次是微服務架構，GAI技術、多雲混合雲、AI/ML應用以相同比例居第3、4、5名，顯示政府學校採用最多前5名技術，與AI相關就有占了3項。</p> <p dir="ltr">至於第6到10名技術以現代化IT技術為主，讓政府學校IT體質彈性運用資源，並且標準化、更安全、加快開發步調，例如Kubernetes、Open API、FIDO無密碼身分識別、敏捷開發等等。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>先確保資料安全、員工意識再評估如何運用GAI</strong></span></span></p> <p dir="ltr">相較於其他產業，政府公務機關受外界監督，因此對GAI的採用多抱持謹慎的態度，從政府學校因應GAI採用的前十大對策中，可看到6成CIO加強員工的資安意識，4成3加強機敏資料保護，顯示先強化員工素養、資料保護的前提下，再評估如何運用GAI，如透過種子團隊先以小規模嘗試GAI，或是內部系統嘗試串接GAI，外部服務嘗試串接GAI等。</p> <p dir="ltr">值得注意的是，在政府學校對GAI的對策中，在內網限制禁用ChatGPT的比例為7.3%，該比例較去年的調查些微提升；另外，相較於公共服務模式的ChatGPT，政府學校基於機敏資料保護，發展企業用GPTs應用的比例為7.3%，而使用開源LLM自行訓練的也有9.8%。</p> <p dir="ltr">身為機關、組織整體資訊政策規畫者，12.3%調整現有AI發展策略，在我們與部分的CIO的採訪中，雖然行政院已提出生成式AI參考指引，但有機關規畫內部的AI管理規範，依照不同的業務情境，來進一步控管各部門運用GAI。</p> <p dir="ltr">今年CIO大調查顯示，鼓勵創新、提高員工生產力是政府學校採用GAI的主要考量，在缺乏人力的情況下，讓人力得以投入更有價值的工作上，並且導入GAI以符合政府學校的數位轉型需求。</p> <p dir="ltr">調查顯示，目前政府學校運用GAI，約3成4用於撰寫文件，將近3成用於學習新技能，2成4則是用於程式碼撰寫，也有一部分運用在大量數據的分析應用，例如資料分析、資安分析，大量程式碼分析優化，以及知識管理的技術解答等等。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-4-PNG.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:27作者蘇文彬https://www.ithome.com.tw/article/163633
【iThome 2024 CIO大調查系列2｜CIO觀點】旭榮集團靠IT強化減碳來獲取更多訂單，看重GAI潛力先鼓吹員…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「要延續企業的發展，一定要做好數位轉型與永續轉型，才有機會接到訂單」旭榮集團總管理處IT系統專案部資深經理林宗霖明白表示。</p> <p>身為50年老牌本土紡織廠，旭榮集團雖是私有企業，並未公開上市，但卻很早就開始推動ESG永續轉型，從2022年起先後完成了中國常州與越南染廠範疇一、範疇二碳排總量盤查，並在今年2月正式通過了SBTi科學淨零碳排目標審核，成為紡織業中少數幾家確定未來減碳目標的本土企業之一，展現了其減碳的決心。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>導入新數位管理系統，優化工廠能耗管理</strong></span></span></p> <p>旭榮的淨零排放策略主要聚焦在減少碳排和抵減兩大主軸，在減少碳排方面，旭榮大大仰賴IT來加速推動工廠整體減碳作業，例如在能源間接排放管理上，旭榮近年來導入了一套名為 IDCC（Intelligent Data Control Center）的數位管理系統。這套系統能夠將整個生產管理流程納入其中，優化工廠能耗管理，並對齊可持續發展目標（SDGs）。他表示，這套數位化管理系統能夠分析供料、織造、染整和倉儲的即時 KPI 數據，並以視覺化的方式呈現結果，同時提供異常管理分析，減少異常的發生。此外，旭榮還建置了自動倉儲系統，進一步提高了能源效率。</p> <p>旭榮在工廠中部署了大量感測器和智慧電表，持續蒐集能耗、各項動力成本和用水數據，並將其整合到IDCC系統中統一管理，加強碳排放數據的蒐集和管理。在用水改善方面，旭榮在染廠導入中水回用系統進行水循環再利用，截至目前，已節省超過4,300座國際標準游泳池的水量。另外所有染廠均已完成太陽能板的部署，可供應廠內10～15％用電。</p> <p>林宗霖強調，旭榮投入數位轉型與永續發展的原因，簡單來說，就是為了求生存並延續企業的發展。他觀察到，越來越多的品牌商客戶開始重視其供應商的永續發展，並將優先選擇那些在永續和減碳方面表現較好的業者。</p> <p>例如有家知名運動品牌商提出了Life Cycle Assessment （LCA）專案，要蒐集產品生命周期的碳排放數據，來符合其減碳路徑的要求，逐步落實減碳目標，也要求供應商的配合來蒐集完整的數據。在挑選供應商的過程中，他們會派人定期走訪旭榮工廠，了解生產狀況、數位化發展和減碳作為，來作為供應商挑選的參考依據之一。</p> <p>他表示，旭榮原本就已導入一套 IDCC 數位管理系統，能整合工廠中機臺的能耗、動力成本和用水數據，並將這些數據回傳到後端進行分析和儲存。後來，他們改進這套系統，可以兼顧 LCA 數據收集和分析的需求。因此讓他們可以被該品牌商選中，成為三家供應商之一。</p> <p>不只是完成碳盤查，他表示，目前旭榮已經可以因應國際品牌的要求，提供包含碳足跡在內的生產追溯。</p> <p>甚至在範疇三的供應鏈碳管理方面，旭榮近期也計畫打造自己的紡織數位雲平臺，未來可透過雲端平臺的API串接，自動取得上下游供應鏈源頭的碳排數據。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來將評估在內部KM系統上引進GenAI</strong></span></span></p> <p>除了ESG永續發展，在數位轉型方面，旭榮過去10多年來一路從數位化、自動化、智慧化BI，發展到智慧化AI，自3年前展開多方AI的探索，例如利用AI進行紡織成品的品檢，也嘗試在製造過程中應用AI。林宗霖表示，接下來他們將持續評估數據建模，利用AI最佳化染劑配比，提高生產一次成功率。此外，還在業務端評估如匯率預測等風險較低的應用。</p> <p>生成式AI技術在去年快速爆紅，今年進到企業應用階段，越來越多生成式AI產品、工具甚至開源模型推出，降低企業進入的門檻。林宗霖非常重視生成式AI的議題，不只鼓勵各單位可以多方嘗試，甚至還舉辦多場AI教育訓練，增強員工對新興科技的認識和應用，包含如何利用這個工具，有哪一些平臺可供選擇，或是辦理徵稿活動，促進員工使用AI。例如利用生成式AI規畫業務行程和客戶互動。同時也會提醒使用這類AI時的注意事項。</p> <p>他透露，目前IT部門也有開始採用GPT-4o模型的ChatGPT，應用在資料庫中處理SQL語法的優化。</p> <p>他表示，未來將會評估在公司內部的知識管理系統上應用生成式AI，但在製造現場或製程方面，則會傾向於採用傳統或較成熟的預測建模方法，甚至使用更具可解釋性的決策樹。</p> </div></div></div>
2024/6/28 09:29作者余至浩https://www.ithome.com.tw/news/163649
【iThome 2024 CIO大調查系列2｜CIO觀點】禾伸堂靠IT推動雙軸轉型，落實ESG永續也要加速工廠轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為40年老牌本土被動元件製造商，禾伸堂企業也面臨政府課徵碳費帶來的衝擊。</p> <p>ESG永續發展已成為了企業必須重視的重要議題，尤其為落實永續淨零政策，臺灣今年將開始徵收碳費，針對用電大戶的碳排放量課稅，許多企業將根據每年使用碳排放量繳交費用，不只是進行碳排放數據搜集、監控，也得積極展開減碳的工作，落實 ESG，逐步邁向永續發展。</p> <p>碳費成為企業的新成本來源，碳排放量越多，企業所需支付的成本就越高，這迫使企業必須開始重視減碳的作為，甚至要採取更低碳的生產流程，並串接各種碳排放數據，建立更明確的碳成本，加速永續轉型。</p> <p>為了因應2024年碳費徵收制度，禾伸堂早早開始了節能減碳計畫，不僅在工廠部署太陽能板，以供應工廠所需的電力，去年展開了ISO14064- 1:2018 溫室氣體盤查，並成立推動小組進行溫室氣體排放盤查減量計畫。</p> <p>這家製造商還制定了短中長期的減碳目標，計畫在2024年將百萬顆產品的年排放強度較2019年減少10%，並在2050年達到相當於2005年排放量的50%的減量。禾伸堂IT也成為了加速公司實現永續目標和推動減碳的重要關鍵。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位轉型需求和ESG永續並重</strong></span></span></p> <p>禾伸堂目前正積極推動雙軸轉型策略，一方面加速工廠的數位轉型，另一方面也要因應ESG落實永續發展的要求。禾伸堂企業資訊中心協理郭建中坦言，目前他們遇到的最大考驗是，如何兼顧數位轉型需求和ESG永續發展，成了禾伸堂IT面臨的重要挑戰。</p> <p>幾年前，禾伸堂積極在工廠的數位轉型導入了IoT技術，希望能夠打造工業4.0的智慧工廠。目前在工廠擁有多達1千臺機臺設備，其中已有300臺機臺部署了IoT感測器，持續蒐集機臺參數數據，並將這些數據回傳到後端的資料庫進行監控與分析。他表示，這些感測器的建設和數據蒐集及儲存，都需要消耗電力，也增加了工廠和機房用電量，因而增加了碳排放量。</p> <p>為了降低轉型對環境的衝擊，符合ESG的減碳要求，禾伸堂從幾個面向著手，一方面持續收集和監控碳排放數據，作為改善碳排的參考，同時也提高種電的比例，減少非綠色能源使用。此外，在IT採購方面，開始考慮環境因素的IT友善程度，例如，在選擇CPU時傾向於選擇低耗能的CPU，如Arm架構的CPU相比於x86架構的CPU更加節能。禾伸堂不僅逐步增加Arm架構伺服器的採用比例，工廠部署的大量IoT裝置也都使用Arm處理器。</p> <p>更進一步，禾伸堂將朝向雲原生架構發展。郭建中規畫將來的IT架構完全轉向Cloud Native，先從IoT環境開始進行轉換，改用Kubernetes平臺處理和儲存IoT數據，然後逐步擴展到其他IT系統。</p> <p>他指出，這樣做的好處，在於能夠增加資源運用的彈性與擴充性。此外，考慮到安全因素，禾伸堂並沒有將這個雲原生環境放上公雲，而是選擇在地端進行部署，以確保對於數據和系統的安全和管控。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來將聚焦邊緣端的 GenAI應用</strong></span></span></p> <p>近幾年，禾伸堂在AI發展上也有不少投入，例如導入AI技術進行瑕疵檢測，搭配結合攝影機來辨識和找出來產品上的瑕疵，以提高生產效率與產品的良率。不僅如此，他們還計畫未來在MES系統中加入AI機制，使MES具備自主判斷能力，能夠由AI協助處理條件判斷式的問題。</p> <p>不光如此，企業GenAI應用在今年受到高度矚目，許多企業今年不是計畫導入，就是已經開始利用這項技術，來提高員工生產力、優化內部流程和加速數位轉型。</p> <p>郭建中指出，目前他們正在研究和評估生成式AI的企業方案，但比起立刻採用，郭建中採取的策略是從底層資料的準備開始著手，他強調，建立完整且充足的資料是首要任務，因為如果資料量不足，生成式AI助手很難提供其所需的答案。</p> <p>在GenAI應用上，郭建中表示，未來將聚焦在邊緣端的GenAI應用。例如利用GenAI進行工廠IoT數據進階分析與判斷，或是結合影像辨識的GenAI應用等。</p> </div></div></div>
2024/6/28 09:29作者余至浩https://www.ithome.com.tw/news/163650
【iThome 2024 CIO大調查系列2｜CIO觀點】高雄市府3作法加速推動資安轉型，更以AI強化城市治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來發展快速的高雄市，因應愈來愈高的威脅，在中央的補助之下，高雄市增加對資安的投資，高雄市政府資訊中心主任劉俊傑表示，目前高雄市政府在強化資安正推動3項做法，第一項做法是建立主動防禦，過去的資安策略較為被動防禦，例如採購防火牆、防毒軟體等，現在轉向採用比較主動式的防禦，例如蒐集Log資料，包括端點資料，以主動分析發現異常事件。他以紅軍演練為例，傳統委託業者扮演紅隊，利用駭客入侵找出哪裡有弱點，但市府進一步希望掌握入侵可能留下哪些Log資料，透過工具設定檢視規則，主動掃描新的Log，當發現可疑的異常情形，再由專業人員進一步分析。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建立主動偵測防禦、強化資安管理制度、產官學合作培養稽核能力</strong></span></span></p> <p>去年資訊中心開始導入這套做法，先用於偵測資訊中心底下的系統，今年計畫擴大到高雄市政府B級機關，明年再納入C級機關，其他機關由於沒有自己的資訊系統，因此明年可望納入整個市府的資訊系統。不只是市府內的資訊系統，甚至要將這套偵測機制在2026年擴大到OT系統，例如交通號誌系統、水閘門控制系統等等。</p> <p>除了導入主動偵測防禦機制，劉俊傑指出，過去資安以技術為主，現在逐漸回歸到資安風險管理，類似網路世界的風險管理，如同實體世界購買保險的風險分散、風險管理，市府規畫先強化完備資安管理制度，根據這些管理制度需求，規畫應該採購哪些資安設備。「軟硬體技術面的解決方案應該輔助制度能夠做得更快、更好，更省時省力，達到更好的效果」，劉俊傑說。</p> <p>因此，第二個做法是推動專案強化市府的資安管理制度，包括國家資通安全管理法及子法，政府推動的資安治理成熟度，以及國際上的ISO 27001、ISO27701、ISO27008等等，以往這些管理制度、標準各自推動，可能導致重覆執行，市府計畫將這些制度及標準整併，以更有效率的方式推動落實管理制度，強化資安風險管理。高雄市政府也希望利用自動化工具，讓推動管理制度更便利。</p> <p>鑑於管理制度需要定期稽核，因此第三個做法是推動產官學合作，由於市府底下有200多個機關，以現有的人力難以逐一稽核各個機關，傳統的稽核方式是高中低所有風險等級一次稽核，劉俊傑認為，這麼做不符合風險管理的角度，因此調整做法，先稽核每個機關的高風險項目，再稽核較低的風險項目。另外，依照法規要求，不同資安責任等級機關需要的資安專責人員，這些人雖需具備相關證照，但缺乏稽核的經驗，由於不能稽核自己所在的機關，市府鼓勵專責人員稽核其他機關，並委託外部業者扮演教練的角度，針對稽核主題提供檢核表，並且先教育訓練市府的資安稽核人員，至於人力不足的問題，市府與學校合作，透過資安研究領域的老師尋找適合的學生，協助市府的資安稽核工作，由業者帶領市府的資安專責人員、學生進行稽核，為了鼓勵學生參加，市府聯合產官學頒發獎狀或證書予學生，對其未來就業加分。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>運用AI改善城市治理</strong></span></span></p> <p>目前高雄市政府也積極運用AI改善市政、民眾服務，主要分為兩個方向，一個是透過智慧城市專案，媒合各個局處面臨問題，和外部民間企業的資源，來測試運用新科技解決問題，AI即是其中一例，例如運用AI協助輕軌偵測軌道上的異物、是否淹水，加強軌道運輸的安全管理，或是在KTV等場所，利用附近監視器及麥克風，透過AI辨識影像、聲音判斷是否發生高風險的行為，聯絡快打部隊前往處理。</p> <p>另一方向是市府的聊天機器人，過去運用NLP技術的聊天機器人，但會有回答錯誤的情形，市府與資訊服務業者合作，計畫運用生成式AI技術，利用RAG技術克服公部門資料外洩的風險，並且降低生成式AI的幻覺問題。</p> <p>劉俊傑表示，先蒐集各機關網站QA資料，作為檢索的資料，再運用生成式AI（微軟Open AI企業版，具有專屬資料庫）以比較自然的方式回答民眾的問題，將幻覺限制在可控的資料範圍內，初步評估成效不錯。另外，目前民眾陳情撥打1999專線話務量龐大，並且民眾經常會詢問客服某個特定單位窗口的分機號碼，他認為未來1999可運用生成式AI技術的聊天機器人，來降低真人客服的工作負擔。</p> <p>今年高雄市府也測試微軟Copilot，目前先由資訊中心測試產生會議紀錄、摘要，未來如果效果不錯再擴大至其他單位，然而，劉俊傑也表示，確實在某些方面能夠節省時間，由於訂閱的費用並不低，並非每位同仁都需要使用，並不會採購大量Copilot授權讓每位同仁都能使用。</p> <p>至於產生公文部分，因公文牽涉市府對外的公權力，政府機關在外界高度關切下，較不被允許出錯，需要更慎重的評估考量是否用於產生公文。「先從基本公務上，讓大家使用比較熟悉，且對使用者規範有概念後，再一步步導入比較嚴謹的公文系統」，劉俊傑說。</p> <p>儘管目前高雄市政府測試Copilot企業版服務，仍是雲端部署的服務，但劉俊傑表示，今年Computex電腦展中，邊緣端的AI運算成為趨勢，全才型的生成式AI固然很好，但各局處僅需要專精特定業務領域資料的AI知識助理，隨著小參數模型發展，未來幾年他相信地端AI應用方案將會愈來愈成熟。</p> <p>除了投資資安與AI，高雄市政府近幾年也積極整併各局處的小機房，資訊向上集中至資訊中心管理，高度虛擬化的大機房，以私有雲方式服務其他局處，利用資訊向上集中，讓IT預算高低不一的各局處可以統一作資料備分。</p> <p>由於資訊向上集中，也讓IT的系統備援更為重要，因此高雄市政府也強化數位韌性，今年將過去位於鳳山的縣府機房改建為第一備援機房，用以備援市府大部分的VM。另外，市府也與AWS公有雲合作，租用2臺伺服器，可使用80個VM虛擬機器，定時將各局處單位共同且重要的VM備分到AWS，例如市府官網、公文系統、API平臺等，讓位於境外的公有雲作為第二備援中心。經過測試，如果高雄市政府四維的資料中心系統出現異常，約5到10分鐘內可以由AWS境外的VM支援。</p> </div></div></div>
2024/6/28 09:30作者蘇文彬https://www.ithome.com.tw/news/163651
【iThome 2024 CIO大調查系列2｜各產業IT趨勢總論】GAI浪潮開始衝擊臺灣大型企業，三產業破4成企業積極…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-feng_mian_-aichuang_xin_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是生成式AI創新大爆發的一年。生成式AI開始影響，甚至是改變臺灣的大型企業，<strong><span style="color:#B22222;">高達17.6%的企業CIO評估，自家企業或所屬產業，2024年會因生成式AI而大受衝擊</span></strong>，其中有些現在就開始感受到衝擊。又以人力密集需求高的醫療和政府學校，感受到的生成式AI衝擊感最強烈，超過兩、三成的CIO如此認為。對這些企業而言，生成式AI不是未來的課題，而是今年需要面對的挑戰。</p> <p>不少企業早在去年，就開始嘗試生成式AI，除了鼓勵員工嘗試之外，去年已有2企業開始評估生成式AI技術的可行性，更有一成多的企業設立了種子團隊來嘗試生成式AI。</p> <p>到了今年，隨著企業級GAI相關技術和開發工具，在今年陸續出現，更加速了這股GAI浪潮，開始影響到臺灣各個產業。在今年3月，已有8.8%企業認為，生成式AI技術已經大幅改變了所屬產業和自家企業。不只是服務業，就連高科技製造業、一般製造業也開始有少數企業CIO感受到衝擊。</p> <p><span style="color:#B22222;"><strong>整體產業平均高達近9成企業認為，自家企業有需要採用生成式AI</strong></span>，有些企業就算所屬產業還沒有受到衝擊，也打算跟進嚐鮮。不過，今年真正開展開計畫和行動的企業大約是七成。其中，金融業和政府學校的需求最高，高達96.2%金融業者自評有需要採用，政府學校也高達95%。需求最低的產業是一般製造業，不過也有近8成企業自評有採用需求。</p> <p>為了因應這波GAI浪潮的衝擊，不少企業紛紛積極嘗試，尋找可行的GAI應用方式和場景。去年那一群積極嘗試的企業，模索到了部分可行的應用場景，因此，7%領頭羊企業已開始在正式環境中採用GAI，尤以服務業和醫療業較多。</p> <p>近3成企業今年開始導入，展開各種PoC驗證實驗，另外還有3成企業正在計畫，準備跟進。金融業、醫療和政府學校都過超過半數企業，在今年積極擁抱GAI，開始嘗試，誰能更快以合理資源和成本，找出更有價值的生成式AI應用場景和做法，就能在逐漸成形的創新競爭浪潮中搶先一步。</p> <p>ChatGPT讓企業高層或一般員工感受到生成式AI的威力，不過，對企業來說，不見得所有工作或業務，都能夠或適合引進生成式AI技術。許多企業仍舊處於導入和驗證階段，還有另外一個AI監理與法遵風險的考量，讓企業不敢冒進，就算在正式環境中採用，也會搭配真人把關，或者避開可能有法遵風險潛在法遵風險的應用場景。</p> <p>不過，<span style="color:#B22222;"><strong>金管會在去年發布了《人工智慧法案金融業運用AI指引》草案</strong></span>，這是國內第一份產業AI指引。在去年發布了草案之後，從四大AI系統生命周期，包括了系統規畫設計、資料搜集和輸入、模型建立及驗證，到系統部署與監控，來規範各階段的採用建議。這份指引，迅速成為各產業引進生成式AI時的參考採用原則，企業為了避免日後所屬主管機關跟進發布同樣的產業AI指引，相當重視這份產業AI指引。這份指引在今年6月正式發布，也修正了諸多實務執行上的細節，例如針對不同部署方式而有不同的考量，更明定了高風險AI系統可視需要引進第三方審查評測，也放寬AI可解釋性的要求，不用解釋無法取得的AI模型運作細節，而是由採用企業自行說明在自家AI系統中的運作情況即可。</p> <p>臺灣第一份產業AI指引出爐，有助於加快企業在正式環境中採用生成式AI的腳步，不用面對未來可能的法遵風險自行摸索，而能依據不同AI法遵的規範方向，預作準備，更放心的嘗試生成式AI的應用場景。這一步，將成為企業從實驗驗證階段，跨入正式採用的關鍵助力，可以預期，從2024年下半年開始，會有更多企業開始將生成式AI整合到正式環境，與內部系統或對外產品與服務中採用，這也會帶來臺灣另一波生成式AI應用的爆發。文⊙王宏仁 </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-AI%E5%89%B5%E6%96%B0-600-1-P%EF%BC%AE%EF%BC%A7.png" style="width: 600px;" /></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1188-%E5%B0%81%E9%9D%A2-AI%E5%89%B5%E6%96%B0-600-2-%E5%8E%9F%E5%9C%96-PNG(2).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-AI%E5%89%B5%E6%96%B0-600-2-PNG.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 08:52作者王宏仁https://www.ithome.com.tw/article/163677
【iThome 2024 CIO大調查系列2｜高科技製造業IT趨勢2】超過兩成高科技製造業者已導入GAI應用，少數更開…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-gao_ke_ji_2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高科技製造業CIO今年的目標不僅是發展ESG和資安，還比以往更加重視AI，特別是ChatGPT類應用和生成式AI（GAI）技術，使得生成式AI成為高科技製造業今年最火紅的新興科技。</p> <p>高科技製造業今年CIO年度目標中，<span style="color:#B22222;"><strong>ESG企業永續排名提升一名，成為第二大年度目標</strong></span>。超過4成高科技製造業今年把永續發展列為年度優先目標，僅次於強化資安，顯示配合公司永續目標依然是CIO今年很重要的任務，至於資安在今年依舊十分重要，有超過7成的高科技製造企業列為年度優先目標。</p> <p>不過，值得一提的是，在這些年度目標中，AI受到CIO更多的重視，<span style="color:#B22222;"><strong>今年在用AI創新應用與服務，以及用AI強化分析與決策這兩項目標的排名有很大進步</strong></span>，從原本的第十名之外，大幅提升至第五和第六名，甚至超越了數位轉型的目標。</p> <p>近4成的高科技製造業CIO將AI創新應用與服務以及AI強化分析與決策列為年度目標。這些CIO對於AI更加重視，也反應在AI投資上比去年增長2成。另外從高科技製造業採用十大熱門新興技術中，也能看出這個趨勢，高科技製造企業今年計畫導入的新興技術中，前十名中有四項與AI 相關，且採用比例都有所增長。例如近2成高科技製造業今年要導入行動AI應用，去年僅不到一成。</p> <p>尤其是去年ChatGPT應用的出現，掀起了新AI應用風潮，許多企業今年開始在內部嘗試導入這類應用，使得ChatGPT類應用在今年一舉成為企業最受歡迎的新興科技。近四成的高科技製造業將其列為今年優先導入的重點。</p> <p>ChatGPT背後關鍵技術是GAI技術，包含LLM、圖片生成、影片生成等，帶動了企業對於GAI技術的採用，甚至今年計畫導入GAI技術的高科技製造業比去年增長3倍。超過2成高科技製造業CIO要導入GAI技術，希望藉此來提高員工生產力和優化內部流程，甚至利用AI加速內部轉型。</p> <p>從高科技製造業GAI成熟分布來看，也能反映出，高科技製造業目前所身處的GAI應用階段。整體來看，超過兩成高科技製造業者已導入GAI應用，少數更開始擴大採用。另外有超過5成高科技製造業不是今年開始計畫採用，就是已經進到導入和驗證的階段。不過，仍有快4成的高科技製造業尚未採用。</p> <p><span style="color:#B22222;"><strong>高科技製造企業IT 部門是公司內部最早採用GAI的內部單位之一</strong></span>，在許多技術性工作中已經開始採用GAI。近3成高科技製造業IT部門開始用GAI培訓人員學習新技能，讓IT人員能夠更快掌握新技能，提升工作效率。此外，也有超過兩成的高科技製造業IT是將GAI用於文件撰寫文件和程式碼優化。另有超過一成高科技製造業IT則是將GAI應用在程式碼撰寫、資料分析和團隊協作上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-4-PNG.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#FF8C00;"> 問卷說明 </span></strong></span><span style="color:#696969;"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:12作者余至浩https://www.ithome.com.tw/article/163675
【iThome 2024 CIO大調查系列2｜一般製造業IT趨勢】ESG和數位轉型並重，7成一般製造業者已經是轉型領先者
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-yi_ban_zhi_zao_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般製造業今年的IT預算平均達到3,373萬元，儘管與高科技業的預算金額相比仍有不小差距，但預算增長達到10.4%，不僅高於去年的7.4%，也超過了高科技業的6.2%成長率。這反映出在疫情解除後，一般製造業並沒有縮減IT預算，反而在ESG浪潮和數位轉型的驅動下，進一步加碼投資。</p> <p>儘管今年的IT預算高於去年，但一般製造業CIO在八大重點IT投資項目中，相比去年整體投資上較為保守，僅有DevOps和資安預算有超過1成的增長，尤其是DevOps預算更有近3成增長。<strong><span style="color:#B22222;">今年一般製造業技術轉型的投資重點主要在IT現代化，也帶動了DevOps的投資</span></strong>，進一步強化IT開發戰力。至於大數據的投資比重則持續減少，成為所有IT投資項目中負成長最多的項目。</p> <p>數位轉型依然是一般製造業所有IT投資項目中占比最高的項目，達到520萬元，幾乎占了整體IT預算的一成五。不過相比去年，一般製造業在數位轉型投資力道稍微減弱，反映出一般製造業不再像疫情期間那樣加速推動內部轉型，而是回歸原有的轉型步調來推動。</p> <p>從一般製造業數位轉型成熟度分布來看，也能反應這樣的趨勢。過去3年疫情，促使一般製造業者將轉型計畫提前實施，帶動一波數位轉型的加速。到了今年，超過7成的一般製造業者已經是轉型領先者，而轉型落後者的比例則下降到了約10%。</p> <p>另從一般製造業CIO年度目標來看，<span style="color:#B22222;"><strong>數位轉型和ESG企業永續在今年都相當重要</strong></span>，分占年度目標的3、4名。今年超過4成一般製造業CIO將這兩項列為年度優先目標，僅次於強化資安與確保IT穩定與一致的目標。</p> <p>臺灣今年碳費將上路，一般製造業中有不少是用電大戶，未來每年不僅需要定期進行碳盤查，還得依據自身碳排放量繳交碳費，因此，如何用系統化方式定期進行碳盤查及產品碳足跡追蹤變得更為重要。這已成為一般製造業CIO今年首要任務。</p> <p>從一般製造業因應ESG的六大IT對策來看，<span style="color:#B22222;"><strong>超過半數的一般製造業CIO今年優先完成碳盤查及碳足跡監測的系統化工作；其次是ERP支援ESG資訊搜集</strong></span>，也有超過三成計畫導入了這項功能，以建立明確的碳成本。這反映出，隨著今年碳價的公布，一般製造業CIO必須將碳成本與內部財務系統整合，以便掌握生產過程中的碳成本，並納入企業營運決策。此外，今年也有約兩成一般製造業要建置碳足跡儀表板，讓公司管理或營運高層能夠根據這些資訊制定減碳策略。</p> <p>但是，一般製造業在ESG和數位轉型並重的情況下，帶來了新的挑戰。如何兼顧IT轉型和環境永續發展，將成為CIO們今年的新課題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-4-PNG.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:16作者余至浩https://www.ithome.com.tw/article/163676
【re:Inforce 2024】Amazon S3首度整合惡意程式偵測，一年限量免費使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在re:Inforce 2024雲端安全會議發表多項資安服務，其中最受矚目的當屬物件儲存服務Amazon S3首度整合GuardDuty惡意程式掃描過濾功能，並且自發表後一年內提供限量免費使用。</p> <p>AWS的惡意程式防護服務GuardDuty保護的範圍，繼Amazon EC2、EKS、ECS、AWS Lambda、Fargate之後，也擴及物件儲存服務Amazon S3。過去S3儲存物件的防毒掃描，必須整合第三方資安公司的防護服務，而新推出的GuardDuty Malware Protection for S3服務，則會在用戶上傳物件檔案至S3時自動啟動掃描，檢測潛在的惡意程式、病毒或可疑內容，再放行至對應的儲存貯體；如果掃描後發現潛在威脅，可疑的上傳物件就會被移至隔離區。</p> <p>GuardDuty Malware Protection for S3可視為S3預設防毒防駭功能，因為過往AWS的服務要使用GuardDuty防護服務的話，都必須先啟用GuardDuty服務，不過GuardDuty Malware Protection for S3卻首度提供不需啟用GuardDuty服務，而可直接使用掃毒與惡意程式過濾功能。</p> <p>上述兩種模式的差異在於，有啟用GuardDuty服務的話，啟用的帳號會被賦予一個偵測識別碼，物件掃描結果會以該識別碼記錄下來，因此可以關連到所屬GuardDuty帳號，而如果同一帳號之下的其他服務也有使用GuardDuty，就可以在GuardDuty主控臺集中管理，檢視所有服務的掃描結果、可疑事件與防護狀態等。</p> <p>而單獨使用GuardDuty Malware Protection for S3的模式，雖因不需先啟用GuardDuty而能以簡單快速的方式啟動防護，不過也由於未啟用GuardDuty而無偵測識別碼，因此適合只有S3服務需要使用惡意程式防護功能，而無需使用GuardDuty完整功能的用戶。</p> <p>GuardDuty Malware Protection for S3掃描對象的設定，可以掃描所有新增至儲存貯體的檔案物件，或是只掃描符合特定前綴條件的物件，最多可設定5項條件。而掃描記錄亦可依結果標注相對應狀態的標籤，並傳送到EventBridge，用戶可據此安排後續的工作流程，用戶亦可自訂標籤，以利後續處理。</p> <p>GuardDuty Malware Protection for S3依目前提供截至2025年6月11日每月掃描限量1GB、1千次存取的免費使用額度。</p> </div></div></div>
2024/6/27 23:55作者吳其勳https://www.ithome.com.tw/news/163694
金管會修法擴大電支特約機構涵蓋外送、計程車等平臺，開放專營電支業者上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今天(6/27)預告「電子支付機構業務管理規則」修正草案，該草案修改13條，新增1條文，包括放寬特約機構範圍，將外送、計程車、停車平臺及業者納入電子支付範圍，並且，開放一卡通、街口、全支付等專營電支業者使用雲端服務。</p> <p>金管會表示，過去在疫情期間，帶動零接觸經濟需求，電子支付帳戶使用人數逐年增加，為滿足國人民生支付需求，同時因應電支機構業務發展需要，修正法規擴大支付範圍，此次修法有3大重點。</p> <p><span style="color:#B22222;"><strong>第1點，授權電支業者評估特約商家自動扣款交易</strong></span></p> <p>在電子支付的代理收付實質交易的自動扣款上，原本法規採正面表列方式，例如水電、政府規費等可以電子支付代理收付實質交易的自動扣款，然而考量到市場變化快速，若有不特定金額自動扣款的交易樣態，透過修法或解釋可能緩不濟急，並限制電支業者的業務發展。</p> <p>修正草案基於風險導向的規管精神，捨棄正面表列，授權電支業者依照銀行公會全國聯合會制定的資安、業務自律規範，評估特約機構的交易安全機制、交易爭議處理流程符合規範後，提供電支代理收付實質交易的自動扣款。</p> <p>換言之，原本金管會正面表列，僅開放水電、政府規費等可使用電支自動扣款交易，在修法之後，授權電支業者自行評估特約商家，只要符合一定的資安、業務自律規範，也能使用電支的自動扣款功能。</p> <p><span style="color:#B22222;"><strong>第2個重點，外送、計程車、停車平臺業者納入支付範圍</strong></span></p> <p>依原本管理規則第15條規定，特約機構應為最終收款方，但是金融業者、便利超商因為其代收的角色，可排除限制。</p> <p>金管會表示，疫情帶動零接觸經濟之下，國人已習慣透過平臺業者使用服務，例如外送平臺業者、計程車平臺業者、停車服務平臺，因這些平臺服務的交易特性屬於小額、非接觸消費，因此修法，只要建置相關的風險控管，外送、計程車、停車平臺可被列入電支支付的特約機構，進一步擴大電支的支付範圍。</p> <p><span style="color:#B22222;"><strong>第3點，開放專營電支業者上雲</strong></span></p> <p>因應開放金融業上雲，兼營電支機構多為金融機構，已可依照「金融機構作業委託他人處理內部作業制度及程序辦法」，金管會為監管一致性，草案新增45條之1，讓專營電支業者委外作業得以使用雲端服務，該條款要求專營電支業者，應對使用雲端服務訂定政策及原則，以及擬定風險管控措施，注意委託雲端服務業者的適度分散，並且電支業者對委託雲端業者負有最終監督義務，可自行或委託第三人查核雲端服務業者。</p> <p>電支業者傳輸或儲存客戶資料至雲端，必需經過資料加密或代碼化，並建立加密金鑰管理機制；此外，必需確保擁有資料完整所有權，需確保雲端服務業者沒有取得資料的權限。資料儲存以境內為原則，如儲存於境外，電支業者需具有指定資料處理及儲存地的權利，且境外資料保護法規不能低於我國，另外，除了經金管會核准，客戶重要資料應在我國留存備分。</p> <p>目前「金融機構作業委託他人處理內部作業制度及程序辦法」修正草案已在行政院公報及金管會網站上預告，以蒐集外界意見。</p> </div></div></div>
2024/6/27 18:51作者蘇文彬https://www.ithome.com.tw/news/163690
專門鎖定Redis伺服器的殭屍網路P2PInfect出現新的攻擊手法，駭客為其加入勒索軟體模組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自去年7月被發現的殭屍網路P2PInfect，主要的攻擊目標是分散式資料庫Redis伺服器，並運用其運算資源挖礦，但最近研究人員發現，有駭客在這款殭屍網路病毒納入勒索軟體功能，而有可能對目標伺服器進行檔案挾持。</p> <p>資安業者Cado發現<a href="https://www.cadosecurity.com/blog/from-dormant-to-dangerous-p2pinfect-evolves-to-deploy-new-ransomware-and-cryptominer">新的P2PInfect攻擊行動</a>，他們看到受害Redis伺服器在感染殭屍網路病毒後，會從特定的URL下載勒索軟體rsagen並執行，並對於資料庫檔案SQLITE3、SQL、DB，文件檔案DOC、XLS，以及影音檔案MKV、WAV、MP3等，執行檔案加密作業，並留下勒索訊息。</p> <p><a href="https://s4.itho.me/sites/default/files/images/P2PInfect-rsagen-note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2PInfect-rsagen-note.png" style="width: 580px;" /></a></p> <p>照理而言，Redis通常不會將資料存放於磁碟，即使勒索軟體取得高權限執行，很可能只能加密Redis組態配置檔案，雖然IT人員可指定將資料儲存到名為RDB的檔案裡，但這類檔案並不在勒索軟體的加密範圍，究竟駭客要如何綁架Redis伺服器，研究人員表示仍不清楚。</p> <p>除了上述的勒索軟體模組，研究人員指出與過往的版本相比，這個殭屍網路病毒也在其他層面出現大幅度的變化。首先，他們發現對方重新利用Rust非同步框架Tokio打造，並透過UPX加殼處理，而且，主要執行檔被剝離，且有部分程式碼經過混淆處理，這樣的做法使得靜態分析難以識別這款惡意程式。</p> <p>另一方面，此殭屍網路病毒具備新的使用者模式Rootkit元件，使得該病毒能夠藉由挾持合法的處理程序，埋藏惡意處理程序及相關檔案。</p> <p>再者，則是攻擊者可能採用障眼法，因為他們起初看到對方在P2Pinfect嵌入名為miner的執行檔，但這項元件實際上未曾被使用。後來研究人員在P2Pinfect主程式運作約5分鐘後，才看到挖礦程式啟動。</p> <p>究竟對方賺了多少錢？研究人員看到駭客賺得71個門羅幣（XMR），相當於9,660英鎊（約新臺幣39.7萬元），對方的礦池卻顯示僅有1臺機器執行挖礦，每個月約能產生15英鎊，對比P2Pinfect殭屍網路的規模，這種現象極為不合理，他們推測，駭客另有實際在挖礦的礦池。</p> </div></div></div>
2024/6/27 16:24作者周峻佑https://www.ithome.com.tw/news/163685
【資安日報】6月27日，舊版瀏覽器網站相容套件Polyfill.io被中國公司買下，驚傳被植入惡意程式碼，恐影響逾10…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定網站而來的供應鏈攻擊頻傳，在昨天我們報導有人對<a href="https://www.ithome.com.tw/news/163662">上架到WordPress.org市集的外掛程式植入惡意程式碼</a>後，有另一款熱門的網站程式庫Polyfill.io，也傳出更換經營團隊後，被植入惡意內容。</p> <p>值得留意的是，這個程式庫在輾轉交給中國一家內容傳遞網路（CDN）業者經營後，該業者就開始隨意竄改回傳用戶端的檔案，使得研究人員呼籲網站管理者應儘速移除，並尋求替代方案。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163667"><strong style="font-size: 22px;">易主後的polyfill.io被用來執行供應鏈攻擊</strong></a></p> <p>專門偵測電子商務惡意軟體與安全漏洞的資安業者Sansec周二（6月25日）警告，知名的Polyfill程式庫polyfill.io自今年2月賣給一家中國業者之後，開始嵌入惡意程式，將造訪使用其服務的網站使用者重新引導至體育賭博或其他惡意網站，呼籲網站管理人員應該關閉Polyfill，或是改用其他較為可靠的服務，例如：Fastly、Cloudflare提供的解決方案。</p> <p>此程式庫的主要功能，是在舊版瀏覽器中補充或模擬現代瀏覽器所支援的功能，當舊版瀏覽器用戶存取的網站採用現代化瀏覽器所支援的新功能時，網站即可導入該函式庫來實現相同的功能，讓網頁於舊版瀏覽器上能夠正常運作，目前全球有超過10萬個網站嵌入該函式庫而曝險。</p> <p><a href="https://www.ithome.com.tw/news/163671"><strong style="font-size: 22px;">勒索軟體LockBit聲稱入侵美國聯準會，竊得33 TB敏感資料，但傳出遭駭的實際上是一家銀行</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站SecurityAffair、Cybernews報導，6月24日惡名昭彰的勒索軟體駭客組織LockBit聲稱，他們駭入美國聯邦儲備系統（聯準會）的系統，竊得33 TB敏感資料，當中包含了「美國的銀行秘密」，要脅若不在期眼內付錢，將於25日公布這批資料。然而，這些駭客並未公布部分內容供買家查證，引起多名資安專家質疑，認為LockBit這麼做其實只是在虛張聲勢。</p> <p>隔天，該組織公布了21個下載連結，但值得留意的是，有部分疑似來自美國金融機構Evolve Bank and Trust，而且，這些駭客還附上聯準會6月14日針對這家金融機構進行執法行動的新聞稿，當時聯準會表示這家銀行在洗錢防治、風險管理、消費者法規遵循的執行上出現瑕疵。</p> <p>但這些資料究竟來自聯準會還是Evolve Bank and Trust？網路威脅監控公司HackManac透露，根據駭客公布的資料，對方顯然入侵了Evolve Bank and Trust，但目前並未發現機密文件的情況，該公司仍著手持續調查當中。</p> <p><a href="https://www.ithome.com.tw/news/163672"><strong style="font-size: 22px;">微軟旗下語音技術廠商管理不當，離職員工竊取美國賓州醫院百萬病患個資</strong></a></p> <p>美國賓州醫療院所Geisinger Health去年因微軟IT管理不當，讓一名員工離職後仍可存取其系統並竊取超過100萬名病人個資。</p> <p>根據Geisinger的說明，去年11月29日Geisinger發現隷屬於微軟的Nuance員工存取其病患資訊系統，而且是在他被公司解職後2天所為。在獲得客戶通知後，Nuance已永久終止這名前員工的系統存取權。目前這名員工已遭到逮捕，將面臨起訴。</p> <p>微軟在2021年併購語音技術供應商Nuance，並將其技術整合AI模型提供語音聽寫方案DAX，後者可用於醫療情境，像是產生臨床筆記、醫囑、電子病歷等。這並非Nuance首度因IT管理不當的釀禍，2018年舊金山公共健康部也遭Nuance離職員工存取了當地醫療網絡的IT系統。</p> <p><a href="https://www.ithome.com.tw/news/163685"><strong style="font-size: 22px;">專門鎖定Redis伺服器的殭屍網路P2PInfect出現新的攻擊手法，駭客為其加入勒索軟體模組</strong></a></p> <p>自去年7月被發現的殭屍網路P2PInfect，主要的攻擊目標是分散式資料庫Redis伺服器，並運用其運算資源挖礦，但最近研究人員發現，有駭客在這款殭屍網路病毒納入勒索軟體功能，而有可能對目標伺服器進行檔案挾持。</p> <p>資安業者Cado發現新的P2PInfect攻擊行動，他們看到受害Redis伺服器在感染殭屍網路病毒後，會從特定的URL下載勒索軟體rsagen並執行，並對於資料庫檔案SQLITE3、SQL、DB，文件檔案DOC、XLS，以及影音檔案MKV、WAV、MP3等，執行檔案加密作業，並留下勒索訊息。</p> <p>除了上述的勒索軟體模組，研究人員指出與過往的版本相比，這個殭屍網路病毒也在其他層面出現大幅度的變化。首先，他們發現對方重新利用Rust非同步框架Tokio打造，並透過UPX加殼處理，而且，主要執行檔被剝離，且有部分程式碼經過混淆處理，這樣的做法使得靜態分析難以識別這款惡意程式。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.cadosecurity.com/blog/from-dormant-to-dangerous-p2pinfect-evolves-to-deploy-new-ransomware-and-cryptominer"><strong style="font-size: 20px;">專門鎖定Redis伺服器的殭屍網路P2PInfect出現新的攻擊手法，駭客為其加入勒索軟體模組</strong></a></p> <p>◆<a href="https://https://thehackernews.com/2024/06/new-"><strong style="font-size: 20px;">駭客組織Boolka鎖定網站發動SQL注入攻擊，意圖植入木馬程式Bmanger</strong></a></p> <p>◆<a href="https://www.cleafy.com/cleafy-labs/medusa-reborn-a-new-compact-variant-discovered"><strong style="font-size: 20px;">金融木馬Medusa鎖定安卓用戶下手，攻擊範圍遍及歐美7個國家</strong></a></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/polyfillio-javascript-supply-chain-attack-impacts-over-100k-sites/"><strong style="font-size: 20px;">舊版瀏覽器網站相容套件Polyfill被中國公司買下並植入惡意程式碼，恐影響10萬網站</strong></a></p> <p>◆<a href="https://snailload.com/"><strong style="font-size: 20px;">研究人員揭露新的攻擊手法SnailLoad，藉由網路延遲的變化推測用戶的活動內容</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163674"><strong style="font-size: 22px;">蘋果發布AirPods韌體更新，修補藍牙耳機配對漏洞</strong></a></p> <p>6月25日蘋果針對旗下藍牙耳機AirPods發布韌體更新6A326、6F8，修補身分驗證漏洞CVE-2024-27867，這項漏洞影響第2代以上的AirPods、所有型號的AirPods Pro、AirPods Max，以及Beats旗下的Powerbeats Pro、Beats Fit Pro。</p> <p>而對於這項漏洞帶來的影響，蘋果指出，當使用者的耳機在搜尋已成功配對的裝置時，攻擊者若是在藍牙訊號的範圍內，就有機會冒充已配對的裝置，從而取得存取耳機的權限。換言之，攻擊者可能藉此竊聽用戶的聲音。</p> <p><a href="https://www.ithome.com.tw/news/163681"><strong style="font-size: 22px;">研究人員針對西門子修補的SICAM設備漏洞提出警告，若不修補有可能被用於針對能源產業攻擊</strong></a></p> <p>今年5月、6月西門子針對旗下工業控制系統SICAM產品線發布例行更新，針對CVE-2024-31484、CVE-2024-31485、CVE-2024-31486進行公告，這些漏洞影響終端機單元A8000、AK3、TM、BC系列，以及強化電網感應器（Enhanced Grid Sensor，EGS）、SICAM 8電力自動化平臺，而這些系統主要是針對變電站自動化打造的電網解決方案，一旦遭到利用，影響層面可能將會相當廣泛。</p> <p>本週通報上述漏洞的資安業者SEC Consult說明相關細節，公布這些漏洞發生的原因，並展示概念性驗證（PoC）程式碼。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163451"><strong style="font-size: 22px;">4成企業今年要招募資安好手，資安事件應變人才最搶手</strong></a></p> <p>這幾年，兩大法遵推力下，包括影響公部門資安人力的政府資安管理法，以及主管機關對上市櫃公司的資安要求，大幅帶動了企業對於資安人力的建置，根據2024 iThome CIO大調查的統計結果來看，企業平均專責資安人力達到了4.8人，尤以金融業的平均11.6人最多，其次是政府學校（4.4人）、高科技製造業（4.1人），醫療則是資安人力最少的產業，只有2.4人，比一般製造業的平均人數（2.9人）還要低。</p> <p>不過，企業現有資安人力，遠低於資安長心中理想的團隊規模，要足以對抗企業當前資安威脅，資安長期望平均要達到5.9人，換句話說，現有4.8人的規模，還少了近四分之一的人手。各產業都有資安人手達不到資安長期望的情況，又以醫療業和政府學校的落差最大。</p> <p>今年有4成企業要招募資安職缺，平均招募人數是2.7人，又以政府學校的招募人數需求最多，達到6.1人，主要來自少數一級政府機關、大型國營企業、大型學校為了資安轉型而展開的人力需求擴編，才拉高了整體平均值。其次，金融業平均要招募4.2人，也遠高於其他產業的平均資安人力需求量。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163663"><strong>【6月26日】惡意軟體沙箱服務業者Any.Run遭到網釣攻擊，所有員工收到內部人員寄來的釣魚信</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163648"><strong>【6月25日】中國駭客組織RedJuliett近半年鎖定臺灣高科技產業、外交經濟、社會運動團體從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163630"><strong>【6月24日】北美汽車經銷商軟體服務業者CDK Global遭攻擊而停擺，傳出是勒索軟體BlackSuit所為</strong></a></p> </div></div></div>
2024/6/27 17:44作者周峻佑https://www.ithome.com.tw/news/163687
研究人員針對西門子修補的SICAM設備漏洞提出警告，若不修補有可能被用於針對能源產業攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年<a href="https://cert-portal.siemens.com/productcert/html/ssa-871704.html">5月</a>、<a href="https://cert-portal.siemens.com/productcert/html/ssa-620338.html">6月</a>西門子針對旗下工業控制系統SICAM產品線發布例行更新，針對CVE-2024-31484、CVE-2024-31485、CVE-2024-31486進行公告，這些漏洞影響終端機單元A8000、AK3、TM、BC系列，以及強化電網感應器（Enhanced Grid Sensor，EGS）、SICAM 8電力自動化平臺，而這些系統主要是針對變電站自動化打造的電網解決方案，一旦遭到利用，影響層面可能將會相當廣泛。</p> <p>本週通報上述漏洞的資安業者SEC Consult<a href="https://sec-consult.com/vulnerability-lab/advisory/multiple-vulnerabilities-in-siemens-power-automation-products-cp-8000-cp-8021-cp8-022-cp-8031-cp-8050-sicore/">說明相關細節</a>，他們指出，這些漏洞最早通報的是去年4月找到的CVE-2024-31484，但在一年後找到CVE-2024-31486，西門子才在今年進行處理，但為何會間隔1年才處理CVE-2024-31484，雙方並未對此做出說明。</p> <p>研究人員也公布這些漏洞發生的原因，並展示概念性驗證（PoC）程式碼。</p> <p>針對記憶體緩衝區過度讀取（buffer-overread）漏洞CVE-2024-31484，若是攻擊者加以利用，將能透過未經授權的記憶體緩衝區過度讀取，導致資訊洩露的情況。這項漏洞發生的原因，在於HTTP標頭Session-ID數值，被strncpy呼叫及使用時，出現不正常終止的現象，使得攻擊者有機會從記憶體讀取敏感資料。</p> <p>對於權限提升漏洞CVE-2024-31485的部分，攻擊者可在通過身分驗證的情況下，藉由這項缺乏輸入清理的弱點，實現權限升級，而該漏洞發生的原因，主要是具備viewer層級的角色就有機會截取其他使用者網頁介面的未加密流量，因此，攻擊者可截取權限較高的使用者帳號及密碼資料，從而存取這種帳號來提升權限。</p> <p>最後一個漏洞CVE-2024-31486，發生的原因在於部分SICAM設備存放MQTT密碼的做法並不安全，使得攻擊者有機會發動硬體攻擊，或是透過Shell存取的方式，取得儲存的密碼資訊。這項弱點發生在部署OPUPI0 MQTT應用程式的可程式化邏輯控制器（PLC），因為在連線的MQTT伺服器上，密碼以明文儲存，攻擊者有可能藉由程式碼執行弱點，或是檔案洩露漏洞，甚至是實際存取裝置，從而讀取密碼。</p> </div></div></div>
2024/6/27 15:02作者周峻佑https://www.ithome.com.tw/news/163681
駭客組織Boolka對於全球網站發動SQL注入攻擊，意圖對使用者電腦植入木馬程式Bmanger
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Group-IB揭露<a href="https://www.group-ib.com/blog/boolka/">名為Boolka的駭客組織</a>，該組織從2022年開始，對於全球各地的網站隨機發動SQL注入攻擊，目的是對瀏覽網站的使用者散布名為Bmanager的模組化木馬程式。</p> <p>研究人員指出，過去3年這些駭客鎖定存在弱點的網站，藉由惡意的JavaScript指令碼進行感染，從而能在受害網站上截取使用者輸入的任何資料。</p> <p>一旦使用者存取遭到感染的網站，攻擊者的指令碼就會被下載及執行，向攻擊者伺服器發送請求，然後透過植入網站上的表單，截取使用者輸入的內容。此指令碼積極監控使用者與表單之間的互動，只要用表單上的元素有所變動，或是被使用者點選，對方就會對輸入內容進行截取，並將其經過Base64演算法處理，再傳輸至攻擊者的伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/blog-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog-1.png" style="width: 580px;" /></a></p> <p>但除了竊取使用者輸入的個人資料，他們也看到駭客使用名為BeEF的惡意軟體傳送框架，對存取受害網站的使用者散布Bmanager。駭客將使用者重新導向假的網頁，聲稱必須安裝指定的瀏覽器延伸套件才能正常檢視內容，然而一旦照做，電腦就有可能被植入木馬程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/unnamed-5-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unnamed-5-1.png" style="width: 580px;" /></a></p> <p>此惡意程式可根據攻擊者的需求，安裝4種攻擊模組，這些分別是：收集受害電腦檔案工具Bmbackup、記錄正在運作的應用程式的Bmhook、側錄鍵盤輸入內容的Bmlog，以及外流檔案的Bmreader。</p> </div></div></div>
2024/6/27 17:10作者周峻佑https://www.ithome.com.tw/news/163686
AI裝置Rabbit r1遭爆外洩眾多API金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新創業者Rabbit與消費者裝置製造商Teenage Engineering合作開發的AI裝置Rabbit r1，本周遭爆外洩許多API金鑰，將允許任何人讀取Rabbit r1所生成的內容，或是讓所有的Rabbit r1變磚，還能竄改Rabbit r1的回應或是置換Rabbit r1的聲音，更令人訝異的是，研究人員指出Rabbit r1早就知道其裝置的API金鑰外洩，卻一直未採取行動。</p> <p>甫於去年才成立的Rabbit主要開發支援自然語言介面的作業系統與硬體，所打造的rabbit OS是基於大型語言模型（LLM）及大型動作模型（Large Action Model ，LAM），意味著其指令不僅可生成解答，還可用來執行動作。Rabbit在今年1月<a href="https://www.rabbit.tech/newsroom/introducing-r1" target="_blank">發表了</a>委由Teenage Engineering製造的AI裝置Rabbit r1，售價199美元，<a href="https://www.rabbit.tech/newsroom/r1-lam-updates" target="_blank">已於今年3月出貨</a>。</p> <p>Rabbit r1是個小型裝置，具備SIM卡插槽，能與LLM對話，可透過Perplexity進行搜尋，支援AI視覺，能夠進行雙向翻譯，也可利用AI來摘要文字，其LAM功能則包括播放Spotify等音樂程式、叫車或叫外賣。不過，SIM卡只是用來使用網路，Rabbit r1並非手機，既不支援撥打電話，亦無簡訊功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0627-rabbit%20r1.png" style="width: 500px;" /></p> <p>發現相關漏洞的是專門針對Rabbit r1專案進行反向工程的<a href="https://rabbitu.de/articles/security-disclosure-1" target="_blank">Rabbitude社群</a>，研究人員表示，他們在今年5月存取了Rabbit r1的程式碼庫，並發現其中含有許多寫死的API金鑰，包括將文字轉譯成語音的ElevenLabs、語音轉文字的Azure系統、評論服務Yelp，以及Google Maps。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0627-rabbitude(1).png" style="width: 500px;" /></p> <p>其中的ElevenLabs金鑰甚至具備了完整權限，允許任何人取得該服務的完整歷史紀錄，變更及刪除所使用的聲音，添加客製化的文字置換能力，更有令Rabbit r1裝置變磚的能力。</p> <p>研究人員還指出，其實Rabbit團隊也知道其API金鑰已經外洩，卻未採取任何行動，任由它們存在於程式碼中，之所以未公布所有細節是為了尊重Rabbit r1用戶，而非Rabbit。</p> <p>在Rabbit r1上市後，也有許多媒體測試了該裝置，對它的評價還低於Humane的<a href="https://www.ithome.com.tw/news/162250" target="_blank">Ai Pin</a>，例如<a href="https://www.engadget.com/rabbit-r1-review-a-199-ai-toy-that-fails-at-almost-everything-161043050.html" target="_blank">Engadget</a>稱這個AI玩具在各方面都是失敗的，<a href="https://www.pcmag.com/reviews/rabbit-r1" target="_blank">PCMag</a>還說它的優點只有便宜跟造型可愛，其它不管是性能、功能、操作介面或電池壽命都不怎樣；<a href="https://www.tomsguide.com/ai/rabbit-r1-review" target="_blank">Tom's Guide</a>更直接勸告消費者不要買Rabbit r1。Rabbit未曾公布Rabbit r1的銷售量。</p> <p>同樣身為AI裝置，曾經備受期待，卻在產品現身後評價不佳的Ai Pin，其製造商Humane已傳出<a href="https://www.ithome.com.tw/news/163054" target="_blank">有意求售</a>的消息。</p> </div></div></div>
2024/6/27 15:28作者陳曉莉https://www.ithome.com.tw/news/163682
7家AI資料集供應商成立聯盟，推動符合著作權法的AI模型開發標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7家涉及音樂、聲音、影像、文字與技術的AI資料集供應商，在周三（6/26）<a href="https://www.thedpa.ai/post/leading-dataset-licensors-unite-to-launch-the-dataset-providers-alliance-dpa" target="_blank">共同宣布成立資料集供應商聯盟</a>（Dataset Providers Alliance ，DPA），將致力於推動AI與機器學習（ML）資料集之智慧財產權的負責任與合乎道德的授權活動，以於快速發展的AI及ML領域中宣導內容創作者的權利。</p> <p>相較於<a href="https://www.ithome.com.tw/news/162587" target="_blank">金融時報</a>、華爾街日報、<a href="https://www.ithome.com.tw/news/163046" target="_blank">紐約時報</a>、美國唱片業協會（RIAA）或Reddit等知名組織直接與AI業者簽署協議，DPA的創始成員多半為新創，採用聯盟型態或許可取得更好的談判籌碼。</p> <p>這7家業者包括全球音樂授權機構Rightsify，去年才成立且專門提供AI音樂資料集的GCX，專注於視覺AI解決方案的vAIsual，專門提供資料標註服務的Pixta AI，廣納音樂、圖像、視覺與創意藝術家的社群平臺ado，專門供應高品質影片及書籍文字以訓練AI模型的Calliope Networks，以及資料商店Datarade等。</p> <p>DPA的任務包括推動AI與ML資料集知識產權內容授權的透明度與標準化，教育市場使用合法資料的重要性，推動資料供應商，推動AI/ML研究人員及業界合作夥伴之間的溝通與合作，宣導內容創作者與權利人的權益，以及在鼓勵與開發尖端AI/ML技術的同時確保智慧財產權的保護。</p> <p>簡言之，DPA是要建立訓練AI模型所使用資料的合法授權的透明度及標準化，並準備在今年7月發表一份有關資料集授權標準的白皮書，讓DPA成為資料集供應商的代言人，並讓開發者得以存取大量高品質的AI訓練內容。</p> </div></div></div>
2024/6/27 14:21作者陳曉莉https://www.ithome.com.tw/news/163679
勒索軟體LockBit聲稱入侵美國聯準會，竊得33 TB敏感資料，但傳出遭駭的實際上是一家銀行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站SecurityAffair、Cybernews報導，6月24日惡名昭彰的勒索軟體駭客組織LockBit聲稱，<a href="https://securityaffairs.com/164873/cyber-crime/lockbit-claims-hacked-us-federal-reserve.html">他們駭入美國聯邦儲備系統（聯準會）的系統</a>，竊得33 TB敏感資料，當中包含了「美國的銀行秘密」，要脅若不在期眼內付錢，將於25日公布這批資料。然而，這些駭客並未公布部分內容供買家查證，引起多名資安專家質疑，LockBit這麼做其實只是在虛張聲勢。</p> <p>隔天，<a href="https://cybernews.com/news/lockbit-ransomware-us-federal-reserve-published/">該組織公布了21個下載連結</a>，但值得留意的是，有部分疑似來自美國金融機構Evolve Bank and Trust，而且，這些駭客還附上聯準會6月14日<a href="https://www.federalreserve.gov/newsevents/pressreleases/enforcement20240614a.htm">針對這家金融機構進行執法行動的新聞稿</a>，當時聯準會表示這家銀行在洗錢防治、風險管理、消費者法規遵循的執行上出現瑕疵。</p> <p><a href="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg" style="width: 580px;" /></a></p> <p>但這些資料究竟來自聯準會還是Evolve Bank and Trust？<a href="https://www.bleepingcomputer.com/news/security/lockbit-lied-stolen-data-is-from-a-bank-not-us-federal-reserve/">網路威脅監控公司HackManac透露</a>，根據駭客公布的資料，對方顯然入侵了Evolve Bank and Trust，但目前並未發現機密文件的情況，該公司仍著手持續調查當中。</p> <p>資安新聞網站Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/lockbit-lied-stolen-data-is-from-a-bank-not-us-federal-reserve/">向這家金融機構進行確認</a>，他們表示得知有駭客組織在暗網發布非法取得的資料，正在著手調查此事，而對於受到影響的客戶，他們將會提供信用監控及身分盜用保護服務。</p> </div></div></div>
2024/6/27 10:55作者周峻佑https://www.ithome.com.tw/news/163671
蘋果發布AirPods韌體更新，修補藍牙耳機配對漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月25日蘋果針對旗下藍牙耳機AirPods<a href="https://support.apple.com/zh-tw/HT214111">發布韌體更新6A326、6F8</a>，修補身分驗證漏洞CVE-2024-27867，這項漏洞影響第2代以上的AirPods、所有型號的AirPods Pro、AirPods Max，以及Beats旗下的Powerbeats Pro、Beats Fit Pro。</p> <p>而對於這項漏洞帶來的影響，蘋果指出，當使用者的耳機在搜尋已成功配對的裝置時，攻擊者若是在藍牙訊號的範圍內，就有機會冒充已配對的裝置，從而取得存取耳機的權限。換言之，攻擊者可能藉此竊聽用戶的聲音。</p> <p>他們也對於韌體派送的部分提出說明，指出使用者若是透過iPhone、iPad、Mac電腦與耳機連線，就會自動派送相關的韌體更新。</p> <p>若成功取得上述更新，第2及第3代AirPods、第1代AirPods Pro、AirPods Max將會執行6A326版韌體；第2代AirPods Pro及Powerbeats Pro、Beats Fit Pro則會搭載6F8版韌體。</p> </div></div></div>
2024/6/27 11:29作者周峻佑https://www.ithome.com.tw/news/163674
微軟管理不當，致離職員工竊取美醫院百萬病患個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國賓州一家醫療院所Geisinger Health去年因微軟IT管理不當，讓一名員工離職後仍可存取其系統並竊取超過100萬病患個資。</p> <p>Geisinger Health是美國知名醫療院所，擁有10個院區、2.6萬名員工包括1,600多位醫師，其醫療計畫下的企業及政府方案有60萬會員，年營收100億美元。</p> <p><a href="https://www.geisinger.org/about-geisinger/news-and-media/news-releases/2024/06/24/18/17/geisinger-provides-notice-of-nuances-data-security-incident" target="_blank">Geisinger說明</a>，去年11月29日Geisinger發現隷屬於微軟的Nuance員工存取其病患資訊系統，而且是在他被公司解職後2天所為。在獲得客戶通知後，Nuance已永久終止這名前員工的系統存取權。目前這名員工已遭到逮捕，將面臨起訴。</p> <p>微軟是在2021年<a href="https://www.ithome.com.tw/news/143790" target="_blank">收購</a>語音技術供應商Nuance，並將其技術整合AI模型提供語音聽寫方案<a href="https://www.ithome.com.tw/news/156015" target="_blank">DAX</a>，後者可用於醫療情境，像是產生臨床筆記、醫囑、電子病歷等。</p> <p>經過調查，這起事件導致Geisinger超過100萬病患資訊被這名前微軟員工存取。遭到存取的資訊包括病患姓名、生日、住家地址、入／出院及轉診號碼、病歷號、種族、性別、電話及醫療設施名稱縮寫。但保險理賠、保險資訊、信用卡、銀行帳戶及其他財務資訊、與社會安全號碼都未受影響。</p> <p>媒體The Register報導，這不是Nuance第一次IT管理不當。2018年舊金山公共健康部也<a href="https://www.nbcbayarea.com/news/local/sf-public-health-officials-inform-895-patients-about-data-breach/178406/" target="_blank">遭Nuance離職員工存取</a>了當地醫療網絡的IT系統，包括2家醫院近900名病患的醫療謄寫紀錄。</p> </div></div></div>
2024/6/27 10:57作者林妍溱https://www.ithome.com.tw/news/163672
歐盟初步認定微軟Microsoft 365搭售Teams違法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會本周就Microsoft 365（M365）與Office 365搭售通訊協同軟體Teams<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_24_3446" target="_blank">公布初步調查意見</a>，認定微軟此一搭售行為已經違反歐盟反托拉斯規定。</p> <p>本案是歐盟啟動調查將近一年的初步認定結果，已將此以聲明異議書（statement of objections）提供微軟。Salesforce旗下子公司Slack分別於2020與2021年<a href="https://www.ithome.com.tw/news/138979" target="_blank">向歐盟提告</a>微軟搭售Teams及其優勢商務生產力軟體Office/Microsoft 365（以下合稱M365）企圖強迫企業客戶安裝Teams，並隱藏真正成本以打壓競爭者產品，歐盟於去年7月<a href="https://www.ithome.com.tw/news/158010" target="_blank">啟動調查</a>。</p> <p>根據歐盟初步調查發現，微軟最少從2019年4月就將Teams和其SaaS生產力應用軟體（即M365）綑綁，藉此打壓通訊協同產品競爭者，並確保生產力軟體市場地位及套件導向的產品模式，防止單一產品供應商的挑戰。</p> <p>其中微軟不給M365訂閱用戶不購買Teams的選項，並且限制Teams競爭產品和M365產品的相容性，令歐盟執委會擔憂，這行為可能減低Teams對手廠商的競爭力及創新能力，進而損害歐盟經濟區（European Economic Area，EEC）用戶的權益。</p> <p>在歐盟啟動調查後，微軟已經著手調整產品銷售策略。微軟先是<a href="https://www.ithome.com.tw/news/158559" target="_blank">於去年9月解除</a>歐盟及瑞士地區M365及Teams的綑綁，允許企業用戶購買不包含Teams的M365，以及單獨出售Teams授權。今年4月微軟進一步將之<a href="https://www.ithome.com.tw/news/162070" target="_blank">推向全球</a>。微軟也說會強化M365和Teams對手如Slack等軟體相容性，像是提供API等，並且提供新的Office Web版App以方便在其他協同平臺上編輯。</p> <p>不過對此歐盟執委會表示，微軟目前所為尚並不足平息其疑慮，微軟需要做更多變革。</p> <p>微軟法務長Brad Smith透過媒體發出聲明指出，在微軟做出鬆綁Teams及相容性措施之後，該公司對歐盟提供進一步說明表達感謝，也將持續和歐盟合作以解決其疑慮。</p> <p>一旦微軟最終被歐盟判決違反反托拉斯法，可能被處以高達全球年營收的10%的罰款。</p> <p>微軟已經多次因搭售行為遭歐盟當局控告，包括在Windows搭售Media Player以及Internet Explorer（IE）瀏覽器，分別導致2012年<a href="https://www.ithome.com.tw/news/74643" target="_blank">判罰</a>8.6億歐元及2013年<a href="https://www.theverge.com/2013/3/6/4069126/eu-fines-microsoft-for-windows-7-sp1-browser-ballot" target="_blank">裁罰</a>5.6億歐元。</p> <p>這也是歐盟繼本周稍早對美國科技大廠發出的第二份判決。周一<a href="https://www.ithome.com.tw/news/163637" target="_blank">歐盟初步判決蘋果</a>App Store禁止App開發商將用戶引導到其他付費平臺的「限制引導條款」（anti-steering provision），已違反了《數位市場法》（Digital Markets Act）。</p> </div></div></div>
2024/6/27 10:20作者林妍溱https://www.ithome.com.tw/news/163670
【資安日報】6月26日，惡意軟體沙箱服務業者Any.Run遭到網釣攻擊，所有員工收到內部人員寄來的釣魚信
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為資安業者卻遭到駭客入侵的情況，最近傳出新的資安事故。例如，有許多研究人員使用的雲端惡意軟體沙箱Any.Run，其服務供應商傳出遭到網路攻擊，公司所有的員工都收到來自內部人士寄送的釣魚郵件。</p> <p>這起事故可追溯到一個月前有員工上當，雖然他嘗試利用沙箱環境檢查惡意連結，但並未做好相關設定，且依照對方指示提供自己的帳號密碼，導致帳號遭到對方挾持。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163659"><strong style="font-size: 22px;">惡意軟體沙箱服務業者Any.Run的員工遭到鎖定，駭客對其發動網釣攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/anyrun-image-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/anyrun-image-1.jpg" style="width: 300px; float: right;" /></a></p> <p>提供雲端沙箱測試環境的網站Any.Run指出，他們全體員工在上週收到藉由內部員工發出的釣魚郵件，經調查發現，原因是其中一名員工的帳號已經外洩所致，駭客企圖利用他的帳號進行商業郵件詐騙（BEC）攻擊。</p> <p>事件最初發生於5月23日，一名銷售團隊的員工藉由第三方服務收取釣魚郵件，對方聲稱是之前曾經聯繫過的客戶，這封信件內含可疑連結。為求保險起見，這名員工在27日將這封信傳送至沙箱進行檢查，確認上述連結是否有害，但他並未啟用中間人代理伺服器模式（MitM Proxy），使得入侵偵測系統Suricata IDS並未發揮作用，因此沒有解開HTTPS流量並偵測是否含有惡意內容。但這名員工卻在沙箱環境裡，依照駭客指示輸入帳密資料，而被對方得逞。</p> <p>到了6月18日，駭客利用這名員工的電子郵件信箱，對所有聯絡人名單裡的員工發送釣魚信。而這些信件的內容，與已經受害的員工收到的信件雷同。使得該公司察覺異常，並採取行動。</p> <p><a href="https://www.ithome.com.tw/news/163662"><strong style="font-size: 22px;">5個上架到WordPress.org市集的外掛程式遭到供應鏈攻擊，被植入惡意指令碼</strong></a></p> <p>專注於WordPress網站安全的資安業者Wordfence指出，他們本週留意到名為Social Warfare的外掛程式，近期被WordPress.org外掛程式市集的審查團隊發現，遭人植入惡意程式碼，Wordfence透過內部的威脅情報平臺進行比對，結果找到其他4個也被植入類似程式碼的外掛程式，他們向審查團隊通報此事，遭感染的外掛程式自24日暫停提供下載，但究竟駭客如何上傳這些有問題的外掛程式，研究人員表示並不清楚。</p> <p>而對於攻擊者的動機，研究人員指出，一旦對方成功在網站植入惡意外掛程式，就會試圖建立新的管理員帳號，並將結果回傳駭客控制的伺服器。此外，駭客疑似藉由注入惡意JavaScript程式碼，透過網站增加搜尋引擎最佳化（SEO）的垃圾索引。</p> <p><a href="https://www.ithome.com.tw/news/163627"><strong style="font-size: 22px;">勒索軟體駭客組織RansomHub鎖定多種平臺發動攻擊，VMware虛擬化平臺是他們的新興標的</strong></a></p> <p>新興的勒索軟體駭客組織RansomHub今年初竄起，並聲稱接連針對美國醫療保健科技業者Change Healthcare、英國精品拍賣業者佳士得（Christie's）、臺灣電腦製造商藍天（Clevo）出手，引起不少研究人員高度關注。繼之前資安業者賽門鐵克公布相關調查結果，指出這些駭客疑似購買勒索軟體Knight的原始碼打造自己的工具，並透過ZeroLogon（CVE-2020-1472）取得初始入侵的管道，有研究人員公布新的發現。</p> <p>資安業者Recorded Future近期公布他們的調查結果，指出這些駭客也與許多勒索軟體組織相同，不只針對Windows、Linux電腦下手，他們也使用勒索軟體攻擊VMware ESXi虛擬化環境，而這是首度有研究人員提及該組織針對虛擬化平臺打造勒索軟體的情況。</p> <p><a href="https://www.ithome.com.tw/news/163661"><strong style="font-size: 22px;">兆勤已終止支援的NAS設備再度遭到鎖定，殭屍網路嘗試利用甫公布的漏洞進行滲透</strong></a></p> <p>6月初兆勤（Zyxel Networks）針對半年前已經終止支援的NAS設備NAS326、NAS542發布緊急更新，破例修補重大漏洞CVE-2024-29972、CVE-2024-29973，以及CVE-2024-29974，如今傳出已有漏洞被用於攻擊行動的情況。</p> <p>上週末Shadowserver基金會提出警告，他們偵測到類似Mirai的殭屍網路嘗試利用CVE-2024-29973的跡象，呼籲用戶應儘速套用緩解措施。</p> <p><a href="https://www.ithome.com.tw/news/163656"><strong style="font-size: 22px;">華碩在股市公開觀測站發布重大訊息，證實部分資訊系統參數設定不當導致產品資料曝光</strong></a></p> <p>6月25日晚間電腦製造商華碩在股市公開觀測站發布重大訊息，指出他們發生部分產品資料不慎曝光的情況，原因是資訊系統的參數設定出現問題造成。</p> <p>該公司表示，他們找出組態錯誤的主機，隨即檢視資料存取相關的事件記錄，清查可能外流的資料內容。但究竟資料曝光的範圍及時間，華碩並未進一步說明。而針對這起事故可能帶來的影響，他們初步評估，不會對公司營運及財務造成重大影響。但華碩也提及後續改善措施，表明將持續落實供應鏈管理及組態管理的審查，重新檢視現有資訊系統架構並持續精進。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.cadosecurity.com/blog/from-dormant-to-dangerous-p2pinfect-evolves-to-deploy-new-ransomware-and-cryptominer"><strong style="font-size: 20px;">專門鎖定Redis伺服器的殭屍網路P2PInfect出現新的攻擊手法，駭客為其加入勒索軟體模組</strong></a></p> <p></p> <p>◆<a href="https://https://thehackernews.com/2024/06/new-"><strong style="font-size: 20px;">駭客組織Boolka鎖定網站發動SQL注入攻擊，意圖植入木馬程式Bmanger</strong></a></p> <p></p> <p>◆<a href="https://www.cleafy.com/cleafy-labs/medusa-reborn-a-new-compact-variant-discovered"><strong style="font-size: 20px;">金融木馬Medusa鎖定安卓用戶下手，攻擊範圍遍及歐美7個國家</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/polyfillio-javascript-supply-chain-attack-impacts-over-100k-sites/"><strong style="font-size: 20px;">舊版瀏覽器網站相容套件Polyfill被中國公司買下並植入惡意程式碼，恐影響10萬網站</strong></a></p> <p></p> <p>◆<a href="https://snailload.com/"><strong style="font-size: 20px;">研究人員揭露新的攻擊手法SnailLoad，藉由網路延遲的變化推測用戶的活動內容</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163658"><strong style="font-size: 22px;">Progress在6月底揭露與修補MOVEit兩個重大漏洞</strong></a></p> <p>本週Progress在他們在自家網站的知識庫公告MOVEit產品線有兩個重大漏洞，分別是：位於檔案傳輸代理伺服器MOVEit Gateway的CVE-2024-5805，以及建置在內網環境的檔案傳輸系統MOVEit Transfer的CVE-2024-5806，都是因為當中搭配的SFTP模組，居然允許略過身分認證的程序，所以產生資安漏洞，而這兩個資安弱點的嚴重程度都被評為「重大」，CVSS分數高達9.1分。</p> <p>值得留意的是，以監測漏洞暴露在網際網路的全球威脅態勢著稱的非營利組織Shadowserver基金會，在6月25日Progress發布相關消息的當天，就觀察到有心人士蠢蠢欲動。</p> <p>關於CVE-2024-5806漏洞，設立於新加坡的新創資安廠商watchTowr其實在Progress公開之前，就已經收到知情人士的通報，因而提前得知這個當時尚未被揭露的弱點，也率先發布部落格文章解析CVE-2024-5806的問題、概念驗證攻擊手法，以及修正與緩解方式。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163654"><strong style="font-size: 22px;">第二輪MITRE ATT&CK託管服務評估計畫結果出爐，考驗突然遭遇APT10與BlackCat攻擊的反應力</strong></a></p> <p>自2022年MITRE Engenuity舉辦首次ATT&CK託管服務評估計畫之後，相隔兩年，2024年終於展開第二輪的評測，目的是考驗資安託管服務供應商（MSSP）服務的能力。畢竟，雖然大型企業會重視資安偵測與回應產品的評估，但還有很多企業主要依賴MSSP來協助其保護資安，因此，這方面的技術能力評估同樣重要。</p> <p>MITRE在6月18日正式公布第二輪託管服務評估計畫的評測結果，今年這次針對MSSP的評估計畫共有11家廠商參與，包括：Bitdefender、BlackBerry、CrowdStrike、微軟、Palo Alto Networks、Secureworks、SentinelOne、Sophos、趨勢科技，還有SecurityHQ、Field Effect等。而他們實際遭遇的攻擊模擬對手有兩個，分別是menuPass與ALPHV/BlackCat。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163648"><strong>【6月25日】中國駭客組織RedJuliett近半年鎖定臺灣高科技產業、外交經濟、社會運動團體從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163630"><strong>【6月24日】北美汽車經銷商軟體服務業者CDK Global遭攻擊而停擺，傳出是勒索軟體BlackSuit所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163599"><strong>【6月21日】駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意程式</strong></a></p> </div></div></div>
2024/6/26 15:49作者周峻佑https://www.ithome.com.tw/news/163663
易主後的polyfill.io被用來執行供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門偵測電子商務惡意軟體與安全漏洞的資安業者<a href="https://sansec.io/research/polyfill-supply-chain-attack" target="_blank">Sansec周二（6/25）警告</a>，知名的Polyfill函式庫polyfill.io自今年2月賣給了一家中國業者之後，開始嵌入惡意程式，以將造訪使用其服務的網站使用者重新引導至體育賭博或其它惡意網站，呼籲網站管理人員應該關閉Polyfill，或是改用其它較為可靠的服務。</p> <p>Polyfill函式庫的功能是在舊版瀏覽器中補充或模擬現代瀏覽器所支援的功能，因此，當舊版瀏覽器用戶所造訪的網站具備現代化瀏覽器所支援的新功能時，網站即可導入該函式庫來實現相同的功能，讓網頁於舊版瀏覽器上能夠正常運作。polyfill.io即為熱門的Polyfill函式庫之一，目前全球有超過10萬個網站嵌入該函式庫。</p> <p>根據照片部落格Notos共同創辦人暨執行長Renaud Chaput<a href="https://github.com/formatjs/formatjs/issues/4363" target="_blank">今年2月的說明</a>，polyfill.io原本隸屬於金融時報（Financial Times）的網頁團隊，該團隊之後將它移交給社群管理，但最後的一名管理人員在今年2月將它賣給了中國一家奇怪的內容交付網路（CDN）公司，新公司將polyfill.io自Fastly平臺搬離，並開始修改及胡弄返回用戶端的檔案。當時Chaput即建議各界不應該再推薦polyfill.io。</p> <p class="rtecenter"><a href="http://github.com/formatjs/formatjs/issues/4363" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-polyfill-600-1.jpg" style="width: 600px;" /></a></p> <p>同樣是在今年2月polyfill.io易主之後，Polyfill專案的作者<a href="https://x.com/triblondon/status/1761852117579427975" target="_blank">Andrew Betts也警告</a>各網站應立刻移除polyfill.io。Betts還澄清，雖然他建立了Polyfill服務，但從未擁有該網域名稱，也從未參與它的銷售。</p> <p class="rtecenter"><a href="http://x.com/triblondon/status/1761852117579427975" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-polyfill-600-2.jpg" style="width: 600px;" /></a></p> <p>Sansec則說，這家中國公司同時購買了polyfill.io及<a href="https://github.com/polyfillpolyfill/polyfill-service" target="_blank">其GitHub帳戶</a>，且不時有用戶至其GitHub帳戶提出控訴，只是都被刪除。</p> <p>Sansec建議，不再需要Polyfill函式庫的網站應該立刻移除polyfill.io，或是改用由Fastly或Cloudflare所提供的Polyfill方案。</p> </div></div></div>
2024/6/26 16:28作者陳曉莉https://www.ithome.com.tw/news/163667
兆勤已終止支援的NAS設備再度遭到鎖定，殭屍網路嘗試利用甫公布的漏洞進行滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月初兆勤（Zyxel Networks）針對半年前已經終止支援的NAS設備NAS326、NAS542<a href="https://www.ithome.com.tw/news/163308">發布緊急更新</a>，破例修補重大漏洞CVE-2024-29972、CVE-2024-29973，以及CVE-2024-29974，如今傳出已有漏洞被用於攻擊行動的情況。</p> <p>上週末Shadowserver基金會<a href="https://infosec.exchange/@shadowserver/112654674785669239">提出警告</a>，他們偵測到類似Mirai的殭屍網路嘗試利用CVE-2024-29973的跡象，呼籲用戶應儘速套用緩解措施。</p> <p>雖然該資安組織並未進一步說明有多少設備受害，也沒透露是否有其他漏洞遭到利用，但這次的揭露，是首度有人發現這些老舊NAS設備被鎖定的情況。</p> </div></div></div>
2024/6/26 14:54作者周峻佑https://www.ithome.com.tw/news/163661
5個上架到WordPress.org市集的外掛程式遭到供應鏈攻擊，被植入惡意指令碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注於WordPress網站安全的資安業者Wordfence指出，他們本週留意到名為Social Warfare的外掛程式，近期被WordPress.org外掛程式市集的審查團隊發現，遭人植入惡意程式碼，Wordfence透過內部的威脅情報平臺進行比對，<a href="https://www.wordfence.com/blog/2024/06/supply-chain-attack-on-wordpress-org-plugins-leads-to-5-maliciously-compromised-wordpress-plugins/">結果找到其他4個也被植入類似程式碼的外掛程式</a>，他們向審查團隊通報此事，遭感染的外掛程式自24日暫停提供下載，但究竟駭客如何上傳這些有問題的外掛程式，研究人員表示並不清楚。</p> <p>對此，他們也公布被植入惡意程式碼的外掛程式名稱及版本，這些外掛程式是：</p> <p>●4.4.6.4至4.4.7.1版Social Warfare<br /> ●2.2.5至2.5.2版Blaze Widget<br /> ●1.0.2至1.0.3版Wrapper Link Element<br /> ●1.0.4至1.0.5版Contact Form 7 Multi-Step Addon<br /> ●1.2.1版Simply Show Hooks</p> <p>值得留意的是，除了Social Warfare推出4.4.7.3版移除相關程式碼，Wrapper Link Element提供不含有關內容的1.0.0版，其餘開發者並未推出更新予以修補。</p> <p>而對於攻擊者的動機，研究人員指出，一旦對方成功在網站植入惡意外掛程式，就會試圖建立新的管理員帳號，並將結果回傳駭客控制的伺服器。此外，駭客疑似藉由注入惡意JavaScript程式碼，透過網站增加搜尋引擎最佳化（SEO）的垃圾索引。</p> </div></div></div>
2024/6/26 15:30作者周峻佑https://www.ithome.com.tw/news/163662
Anthropic推出Claude協作功能Projects
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic周三（6/26）針對Claude.ai Pro與Claude.ai Team等訂閱用戶推出了<a href="https://www.anthropic.com/news/projects" target="_blank">協作功能Projects</a>，除了可彙整團隊成員的聊天內容之外，也可提供組織內部知識，讓Claude生成基於內部知識的結果。Projects支援最新的<a href="https://www.ithome.com.tw/news/163590" target="_blank">Claude 3.5 Sonnet</a>，每個專案可使用200K的脈絡長度，相當於一本500頁的書籍。</p> <p>Anthropic表示，該公司對Claude的願景一直是建立能夠與人類共事的AI系統，並強化人類的工作流程，而Projects即可集中人們與AI系統的對話及知識集，並供團隊成員檢視，以實現更好的創意及決策。</p> <p>在每個專案所支援的200K脈絡長度中，使用者可添加各種文件、程式碼或見解，以強化Claude的效率，並讓Claude的輸出建立在組織的內部知識上，例如風格、程式碼庫、採訪紀錄或先前的工作成果。這使得Claude有能力提供不同任務的專家意見，或是以企業原有的行銷風格撰寫電子郵件，也能像資料分析般地編寫SQL查詢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Anthropic-Claude-Projects-900.png" style="width: 600px;" /></p> <p>使用者還可藉由定義專案以客製化Claude的回答，例如指示Claude使用更正式的語氣或特定角色來回答問題。Projects也支援Claude.ai正在預覽的Artifacts功能，這是一個工作區，可集中呈現Claude所生成的程式碼、文件、圖像或網站設計等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Anthropic-Claude-Projects%2BArtifacts%3DCreate%20side-by-side%20with%20Claude-900.png" style="width: 600px;" /></p> <p>Claude.ai服務<a href="https://www.anthropic.com/pricing" target="_top">目前提供</a>免費、Pro及Team方案，不管是哪一個方案都已支援最新的Claude 3.5 Sonnet，具備優先存取權限及可存取新功能的Pro方案每月需要支付20美元，至於能夠分享及探索聊天內容，以及具備管理功能的Team方案則是每月25美元。Anthropic強調，在未取得用戶的明確同意之前，並不會使用專案內的任何資料或聊天內容來訓練模型。</p> </div></div></div>
2024/6/26 16:04作者陳曉莉https://www.ithome.com.tw/news/163666
惡意軟體沙箱服務業者Any.Run的員工遭到鎖定，駭客對其發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供雲端沙箱測試環境的網站Any.run指出，<a href="https://any.run/cybersecurity-blog/phishing-incident-report/">他們全體員工在上週收到藉由內部員工發出的釣魚郵件</a>，經調查發現，原因是其中一名員工的帳號已經外洩所致，駭客企圖利用他的帳號進行商業郵件詐騙（BEC）攻擊。</p> <p>事件最初發生於5月23日，一名銷售團隊的員工藉由第三方服務收取釣魚郵件，對方聲稱是之前曾經聯繫過的客戶，這封信件內含可疑連結。</p> <p>為求保險起見，這名員工在27日將這封信傳送至沙箱進行檢查，確認上述連結是否有害，但他並未啟用中間人代理伺服器模式（MitM Proxy），使得入侵偵測系統Suricata IDS並未發揮作用，因此沒有解開HTTPS流量並偵測是否含有惡意內容。</p> <p>這名員工卻在沙箱環境當中，點選連結被帶往已被駭客植入冒牌登入表單的合法網站，接著，他填寫自己的帳密資料，並通過多因素驗證（MFA），結果看到網站無法存取他發送的內容的錯誤訊息。然而在此同時，攻擊者已掌握了該名員工的帳號，並加入自己的行動裝置，以便將其用於MFA驗證流程。</p> <p>6月5日，對方使用整合Azure雲端服務環境的資料備份應用程式PerfectData，竊取該名員工信箱裡所有的電子郵件。</p> <p>到了18日，駭客利用這名員工的電子郵件信箱，對所有聯絡人名單裡的員工發送釣魚信。而這些信件的內容，與已經受害的員工收到的信件雷同。使得該公司察覺異常，並採取行動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/anyrun-image-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/anyrun-image-1.jpg" style="width: 580px;" /></a></p> <p>他們也坦承，相關惡意連結一週前已出現在自家威脅情資的資料庫，但這些源於免費版沙箱用戶的情資，卻因為相關環境並未執行最新版本作業系統，以及MitM Proxy工具，而無法及早識別這些網域有害。</p> </div></div></div>
2024/6/26 14:33作者周峻佑https://www.ithome.com.tw/news/163659
Google將關閉搜尋連續滾動功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google向Search Engine Land<a href="https://searchengineland.com/google-dropping-continuous-scroll-in-search-results-443529" target="_blank">證實</a>，即日起將關閉桌面搜尋結果的連續滾動功能，並於未來幾個月關閉行動搜尋結果的連續滾動功能。</p> <p>Google<a href="https://www.ithome.com.tw/news/147292" target="_blank">是在2021年</a>10月率先針對行動版搜尋功能提供「連續滾動」（Continuous scrolling）機制，並在2022年12月延伸至桌面搜尋。使用者輸入關鍵字進行搜尋之後，不必再點選「查看更多」（See more），而能持續滾動以檢視更多的搜尋結果。當時Google的想法時，雖然人們通常會在前幾個結果就找到所需的內容，但有時會想繼續看看更多的相關資訊，利用連續滾動就能無縫瀏覽更多內容。</p> <p>不過，此一功能似乎僅出現在英文版的Google搜尋中，並未部署至其它語言。</p> <p>Google向Search Engine Land表示，此一變更可加快Google供應搜尋結果的時間，而不必再額外載入那些不確定使用者是否需要的結果，況且，提供連續滾動功能之後，Google Search用戶的滿意度並沒有重大的提升。</p> </div></div></div>
2024/6/26 14:50作者陳曉莉https://www.ithome.com.tw/news/163660
搭配AMD資料中心APU，技嘉推出3U尺寸4路融合GPU伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_jia_g383-r80-aap1_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年以來，資料中心GPU形態出現新的變化，幾家加速運算晶片廠商開始推出融合CPU與GPU的產品，其中，最出鋒頭的，莫過於Nvidia在2022年發表、2023年量產的GH200 Grace Hopper Superchip，以及今年發表的GB200 Grace Blackwell Superchip，另一家同時擁有CPU與GPU技術的大廠AMD，也在2023年6月發表這類型產品，名為Instinct MI300A，強調它是全球首款針對HPC與AI工作負載處理而開發的。</p> <p>經過半年之後，這款資料中心等級的APU加速器（Accelerated Processing Unit）正式推出，當時有幾家伺服器廠商響應AMD的號召，宣布推出搭載Instinct MI300A的伺服器機型，像是技嘉、HPE、Supermicro。</p> <p>以技嘉為例，他們主推的產品是G383-R80，在11月的SC23大會首度公開亮相，後續在今年1月的CES，以及6月初舉行的Computex，都有現場展示。</p> <p><a href="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-2.jpg" style="width: 398px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G383-R80-06-A.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G383-R80-06-A.jpg" style="width: 600px;" /></a></p> <p>相較於現行採用Nvidia Grace Hopper平臺的伺服器，都為1U或2U尺寸，搭配1或2個融合式晶片，縱觀市面上採用AMD Instinct MI300A平臺的伺服器，有超過一半是3U或4U尺寸，絕大多數搭配4個融合式晶片，</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Instinct MI300A APU-Powered Servers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Instinct%20MI300A%20APU-Powered%20Servers.jpg" style="width: 600px;" /></a></p> <p>技嘉G383-R80就是典型的例子，它的機箱是3U尺寸，主機板MR83-AC0內建4個APU SH5插槽，可安裝4個AMD Instinct MI300A，但上面並未提供DRAM記憶體擴充插槽。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G383-R80-06-B.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G383%20BIOS.jpg" style="width: 524px;" /></p> <p>基本上，單就這款APU而言，每一顆晶片整合許多運算元件，包含：24顆Zen4架構CPU核心、228顆CDNA架構GPU運算單元、912顆Matrix核心、14,592顆Stream處理器，以及128 GB容量的HBM3高頻寬記憶體（CPU與GPU共享）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300A overview1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300A%20overview1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD MI300A overview2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300A%20overview2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300A Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300A%20Arch.jpg" style="width: 500px;" /></a></p> <p>而在整臺伺服器的介面擴充能力上，技嘉G383-R80在機箱背部提供12個PCIe 5.0介面的插槽，而在實際配置上，可搭配4個雙槽全高全長尺寸的GPU加速運算卡，以及4個單寬全高全長尺寸的PCIe介面卡。</p> <p>在儲存與網路的組態上，技嘉G383-R80在機箱前方面板當中，可安裝2.5吋外形的NVMe固態硬碟，並且內建2個10GbE規格的網路埠，以及1個GbE規格的遠端管理埠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/G380-R80-animation4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-animation4.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G380-R80-animation5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-animation5.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G380-R80-animation6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-animation6.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G383-R80-06-C.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G383-R80-06-C.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>技嘉G383-R80-AAP1</strong><br /> ●原廠：技嘉科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：3U<br /> ●處理器：4顆，AMD Instinct MI300A（熱設計功耗最高為760瓦）<br /> ●記憶體：每顆處理器內建128 GB HBM3<br /> ●儲存配置：8臺2.5吋NVMe固態硬碟<br /> ●I/O擴充介面：8個PCIe 5.0 x16全高全長（雙槽4個、單槽4個）、1個PCIe 5.0 x4（M.2）<br /> ●網路埠：2個10GbE埠（Broadcom BCM57416）<br /> ●電源供應器：4臺3000瓦（3+1）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/26 15:12作者李宗翰https://www.ithome.com.tw/review/163593
第二輪MITRE ATT&CK託管服務評估計畫結果出爐，考驗突然遭遇APT10與BlackCat攻擊的反應力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2022年MITRE Engenuity舉辦首次ATT&CK託管服務評估計畫之後，相隔兩年，2024年終於展開第二輪的評測，目的是考驗資安託管服務供應商（MSSP）服務的能力。畢竟，雖然大型企業會重視資安偵測與回應產品的評估，但還有很多企業主要依賴MSSP來協助其保護資安，因此，這方面的技術能力評估同樣重要。</p> <p>與一般ATT&CK Enterprise評估計畫相比，最大不同之處在於，在ATT&CK託管服務評測前並不會對外公布假想攻擊對象，目的是更能反映真實世界的場景，讓防禦者在不了解對手身分情況下來識別與回應威脅。</p> <p><a href="https://www.mitre.org/news-insights/news-release/mitre-attack-evaluations-managed-security-service-providers">MITRE在6月18日正式公布第二輪託管服務評估計畫的評測結果</a>，今年這次針對MSSP的評估計畫共有11家廠商參與，包括：Bitdefender、BlackBerry、CrowdStrike、微軟、Palo Alto Networks、Secureworks、SentinelOne、Sophos、趨勢科技，還有SecurityHQ、Field Effect等。而他們實際遭遇的攻擊模擬對手有兩個，分別是menuPass與ALPHV/BlackCat。</p> <p>具體而言，menuPass（又名APT10）這個APT駭客組織自2006年以來一直相當活躍，在許多研究報告中，都顯示該組織受到中國國家安全部的支持，其主要威脅是在全球從事間諜活動，包括竊取智慧產權與商業情報等敏感資料，主要攻擊對象涵蓋航太、建築、政府與電信等產業。</p> <p>ALPHV/BlackCat出現於2021年，是一個採勒索軟體及服務（RaaS）運作模式的威脅群體，也就是RaaS運作集團會招募聯盟夥伴（Affiliate）來執行勒索病毒攻擊，而ALPHV/BlackCat是一個攻擊產量相當大的俄語RaaS組織，不僅與BlackMatter、DarkSide、REvil與其他RaaS團體有聯繫，並利用Rust語言開發的勒索軟體，能對Windows、Linux 和 VMware系統進行跨平臺攻擊，目標更是涵蓋各種產業行業。</p> <p class="first-token" data-sourcepos="1:1-1:72">之所以選擇這兩個組織為假想攻擊對象，負責ATT&CK評估計畫的網路威脅情報工程負責人Amy Robertson表示，menuPass（APT10）展現了現代攻擊者謹慎、周密與靈活的手段，該組織相當擅於濫用受害電腦內建工具執行攻擊的寄生攻擊（living-off-the-land）手法，同時透過無檔案執行、程式碼混淆等技術來隱匿行蹤，規避安全防護偵測並阻礙分析。而且，他們還會滲透可信任的網路關係，以擴大攻擊範圍。</p> <p class="first-token" data-sourcepos="1:1-1:72">對於ALPHV/BlackCat，Amy Robertson表示，該組展現了攻擊者可帶來多面向的威脅，並會利用技術創新來擴大其衝擊。特別的是，該組織的RaaS模式使其招募的聯盟夥伴可使用防禦逃脫（Defense Evasion）技術，像是混淆與終止程序來關閉防護系統，並使用核心資料加密功能來癱瘓企業的業務運作。</p> <p class="first-token" data-sourcepos="1:1-1:72">隨著這次評測結果的公布，外界可以前往<a href="https://attackevals.mitre-engenuity.org/results/managed-services?evaluation=menupass-blackcat&scenario=1">MITRE Engenuity評估計畫結果的網站，了解這11家MSSP服務商的細部偵測結果</a>。</p> <p class="first-token" data-sourcepos="1:1-1:72"><a href="https://s4.itho.me/sites/default/files/images/2024-06-26_123652.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-26_123652.jpg" style="width: 320px; float: right;" /></a></p> <p class="first-token" data-sourcepos="1:1-1:72">例如，這次模擬評測共有15大步驟，包括從第一步驟開始，先模擬menuPass的建立潛伏，接著是初期探查、橫向移動到子公司的網域控制器、憑證存取與發現、準備橫向移動至子公司B網路、實際橫向移動至子公司B網路，發現與額外的權限提升、資料蒐集與滲出；再來是從第10步驟開始，模擬ALPHV/BlackCat的初始入侵與發現，憑證存取、利用憑證存取進行權限提升、收集與滲出、部署惡意Payload，到最後是加密以產生影響/抑制系統發現。</p> <p class="first-token" data-sourcepos="1:1-1:72">因此，外界可以針對這15個步驟，一一檢視11家廠商在每個步驟的偵測結果表現。此外，由於去年MITRE Engenuity以大幅調整評估計畫結果的呈現方式，因此我們若要檢視每個步驟偵測結果的螢幕截圖，可在單一頁面直接瀏覽，並可一次選擇3家廠商來做橫向對比。<br /> </p> </div></div></div>
2024/6/26 10:41作者羅正漢https://www.ithome.com.tw/news/163654
華碩在股市公開觀測站發布重大訊息，證實部分資訊系統參數設定不當導致產品資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月25日晚間電腦製造商華碩在股市公開觀測站<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=9&SPOKE_TIME=194810&SPOKE_DATE=20240625&COMPANY_ID=2357">發布重大訊息</a>，指出他們發生部分產品資料不慎曝光的情況，原因是資訊系統的參數設定出現問題造成。</p> <p>該公司表示，他們找出組態錯誤的主機，隨即檢視資料存取相關的事件記錄，清查可能外流的資料內容。但究竟資料曝光的範圍及時間，華碩並未進一步說明。</p> <p>而針對這起事故可能帶來的影響，他們初步評估，不會對公司營運及財務造成重大影響。但華碩也提及後續改善措施，表明將持續落實供應鏈管理及組態管理的審查，重新檢視現有資訊系統架構並持續精進。上述這段說明雖然表達他們的解決之道，但從另一個角度而言，大家也可能認為這家公司所謂的參數設定出現問題的資訊系統，並非由他們自己維護，而是交由外部廠商。</p> <p><a href="https://s4.itho.me/sites/default/files/images/7rlucsS6rh.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/7rlucsS6rh.png" style="width: 580px;" /></a></p> </div></div></div>
2024/6/26 11:02作者周峻佑https://www.ithome.com.tw/news/163656
Progress在6月底揭露與修補MOVEit兩個重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年上半，Progress公司因旗下檔案傳輸管理系統MOVEit的漏洞<a href="https://www.ithome.com.tw/tags/cve-2023-34362">CVE-2023-34362</a>，遭到駭客濫用，後續藉此攻擊全球32國、兩千多個組織，而鬧得沸沸揚揚，<a href="https://www.ithome.com.tw/news/158113">我們也將此弱點列為2023年頭號資安漏洞</a>，本週他們在自家網站的知識庫公告MOVEit產品線有兩個重大漏洞，分別是：位於檔案傳輸代理伺服器MOVEit Gateway的<a href="https://community.progress.com/s/article/MOVEit-Gateway-Critical-Security-Alert-Bulletin-June-2024-CVE-2024-5805">CVE-2024-5805</a>，以及建置在內網環境的檔案傳輸系統MOVEit Transfer的<a href="https://community.progress.com/s/article/MOVEit-Transfer-Product-Security-Alert-Bulletin-June-2024-CVE-2024-5806">CVE-2024-5806</a>，都是因為當中搭配的SFTP模組，居然允許略過身分認證的程序，所以產生資安漏洞，而這兩個資安弱點的嚴重程度都被評為「重大」，CVSS分數高達9.1分。</p> <p>為了要解決這樣的問題，Progress現在發布這兩個產品的更新版本。若企業與組織目前採用MOVEit Gateway的2024.0.0版，需為此升級到2024.0.1版，即可修補CVE-2024-5805；若採用MOVEit Transfer的2023.0.0、 2023.1.0、2024.0.0這三個版本，需各自升級到2023.0.11、2023.1.6、2024.0.2。</p> <p>以監測漏洞暴露在網際網路的全球威脅態勢著稱的非營利組織Shadowserver基金會，在6月25日Progress發布相關消息的當天，就觀察到有心人士蠢蠢欲動。因為他們發現，當這些資訊公開後沒多久，就出現試圖利用CVE-2024-5806的行為，有人想要趁機在系統的根目錄上傳guestaccess.aspx，進行滲透，而且，根據他們的統計，目前暴露在網際網路的Progress系統，至少有1,800臺，雖然這些環境並非全都具有上述漏洞，但可想而知，若攻擊者想要行動，它們勢必會是最先被鎖定的對象。</p> <p> </p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Very shortly after vulnerability details were published today we started observing Progress MOVEit Transfer CVE-2024-5806 POST /guestaccess.aspx exploit attempts. If you run MOVEit & have not patched yet - please do so now: <a href="https://t.co/AenLgqg1wM">https://t.co/AenLgqg1wM</a></p> <p>NVD: <a href="https://t.co/OHQRNFNE9p">https://t.co/OHQRNFNE9p</a></p> <p>— The Shadowserver Foundation (@Shadowserver) <a href="https://twitter.com/Shadowserver/status/1805676078620401831?ref_src=twsrc%5Etfw">June 25, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p> </p> <p>關於CVE-2024-5806漏洞，設立於新加坡的新創資安廠商<a href="https://labs.watchtowr.com/auth-bypass-in-un-limited-scenarios-progress-moveit-transfer-cve-2024-5806/">watchTowr</a>其實在Progress公開之前，就已經收到知情人士的通報，因而提前得知這個當時尚未被揭露的弱點，也率先發布部落格文章解析CVE-2024-5806的問題、概念驗證攻擊手法，以及修正與緩解方式。</p> <p> </p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Progress just un-embargoed a very closely guarded auth bypass in MOVEit Transfer's SFTP mechanism - CVE-2024-5806.</p> <p>We were lucky enough to receive a tip-off :-) Enjoy our analysis, we had a lot of fun.<a href="https://t.co/GLoCIAki9w">https://t.co/GLoCIAki9w</a></p> <p>— watchTowr (@watchtowrcyber) <a href="https://twitter.com/watchtowrcyber/status/1805619864201314335?ref_src=twsrc%5Etfw">June 25, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p> </p> </div></div></div>
2024/6/26 12:29作者李宗翰https://www.ithome.com.tw/news/163658
研究人員聲稱找到可冒充微軟客服向使用者行騙的漏洞，但並未進一步透露相關細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員Vsevolod Kokorin（Slonser）聲稱，<a href="https://x.com/slonser_/status/1801521692314927433">他發現可假冒微軟資安團隊的欺騙漏洞</a>，攻擊者可藉此從任意的來源，向用戶發送訊息。</p> <p>然而，這名研究人員指出，微軟收到他的通報資料後表示，他們無法重現漏洞，即使是研究人員補充提供完整的概念性驗證（PoC）攻擊影片，該公司仍舊回覆無法完成相關驗證。對此，Vsevolod Kokorin表示決定停止繼續溝通，並公開此事，但並未透露細節，以防有人試圖利用。</p> <p>根據研究人員的推文內容，我們難以判斷漏洞的影響範圍，究竟存在漏洞可被利用的是收信軟體Outlook，還是雲端電子郵件信箱服務Outlook.com，抑或是其他的環節？目前仍不得而知。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">I want to share my recent case:<br /> > I found a vulnerability that allows sending a message from any <a href="mailto:user@domain">user@domain</a><br /> > We cannot reproduce it<br /> > I send a video with the exploitation, a full PoC<br /> > We cannot reproduce it<br /> At this point, I decided to stop the communication with Microsoft. <a href="https://t.co/mJDoHTn9Xv">pic.twitter.com/mJDoHTn9Xv</a></p> <p>— slonser (@slonser_) <a href="https://twitter.com/slonser_/status/1801521692314927433?ref_src=twsrc%5Etfw">June 14, 2024</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>這名研究人員也向<a href="https://techcrunch.com/2024/06/18/security-bug-allows-anyone-to-spoof-microsoft-employee-emails/">科技新聞網站TechCrunch展示這項漏洞</a>，該媒體也確實收到看起來像是從微軟帳號資安團隊寄來的電子郵件。研究人員向該媒體透露，這項弱點只會在攻擊者寄信給Outlook的使用者帳號才會出現。</p> <p>針對通報漏洞的過程，研究人員向TechCrunch透露，當時微軟回覆表示，在沒有提供細節的情況下，該公司無法重現漏洞。但當他透過X公開此事的數個小時後，微軟似乎留意到他的推文，並重新檢視數個月前通報的內容。是否有其他人發現這項漏洞，並將其用於攻擊行動？目前仍不得而知，也不清楚微軟是否對漏洞進行了修補。微軟也並未針對此事進行公開說明。</p> <p>值得留意的是，TechCrunch提及了去年傳出<a href="https://www.ithome.com.tw/news/157763">中國駭客組織Storm-0558濫用外流的MSA簽章金鑰</a>，存取25個歐美政府組織的Outlook Web Access in Exchange Online（OWA）、Outlook.com電子郵件信箱的事故，根據這項說法，研究人員發現的漏洞，很有可能出現於Outlook.com。</p> </div></div></div>
2024/6/26 12:30作者周峻佑https://www.ithome.com.tw/news/163588
勒索軟體駭客組織RansomHub鎖定多種平臺發動攻擊，VMware虛擬化平臺是他們的新興標的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興的勒索軟體駭客組織RansomHub今年初竄起，並聲稱接連針對美國醫療保健科技業者Change Healthcare、<a href="https://www.ithome.com.tw/news/163167">英國精品拍賣業者佳士得（Christie's）</a>、<a href="https://www.ithome.com.tw/news/163347">臺灣電腦製造商藍天（Clevo）</a>出手，引起不少研究人員高度關注。繼之前資安業者賽門鐵克<a href="https://www.ithome.com.tw/news/163376">公布相關調查結果</a>，指出這些駭客疑似購買勒索軟體Knight的原始碼打造自己的工具，並透過ZeroLogon（CVE-2020-1472）取得初始入侵的管道，有研究人員公布新的發現。</p> <p>資安業者Recorded Future近期<a href="https://www.recordedfuture.com/ransomhub-draws-in-affiliates-with-multi-os-capability-and-high-commission-rates">公布他們的調查結果</a>，指出這些駭客也與許多勒索軟體組織相同，不只針對Windows、Linux電腦下手，他們也使用勒索軟體攻擊VMware ESXi虛擬化環境，而這是首度有研究人員提及該組織針對虛擬化平臺打造勒索軟體的情況。</p> <p>但究竟駭客如何入侵、控制虛擬化平臺，從而部署勒索軟體？研究人員並未進一步說明。</p> <h3><span style="color:#0000FF;"><strong>針對VMware虛擬化環境的RansomHub勒索軟體具備過往罕見的攻擊能力</strong></span></h3> <p>研究人員針對這些勒索軟體的程式碼進行分析，除了證實賽門鐵克提及與Knight有高度關連的情況，Recorded Future進一步指出，經過他們的比對，RansomHub與BlackCat（Alphv）的程式碼也有所關連，並推測這些駭客組織可能彼此互相共用資源。</p> <p>他們發現，該駭客組織約自4月開始將ESXi版本的勒索軟體納入武器庫，而有別於針對Windows及Linux電腦的RansomHub採Go語言打造而成，針對ESXi的勒索軟體則是以C++開發，但具備Windows、Linux版共通的核心功能。</p> <p>與其他勒索軟體駭客的做法相同的是，ESXi版RansomHub具備專門針對VMware虛擬化環境的功能，像是刪除快照、強制虛擬機器關機、列出要加密的檔案名單。此外，這個勒索軟體也能停用所有虛擬機器的處理程序。</p> <p>但特別的是，這個勒索軟體還具備抹除作案蹤跡的能力，像是停用ESXi的系統事件記錄服務、加密檔案完成後自我刪除，甚至能夠指定加密部分的虛擬機器，這些功能在同類型的勒索軟體當中，算是較為罕見。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RansomHub_EdWaXjljOo.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RansomHub_EdWaXjljOo.png" style="width: 580px;" /></a></p> <blockquote><p>研究人員針對駭客可能會使用的指令進行說明，這裡可以看到攻擊者能停用ESXi的系統事件記錄服務，或是刪除所有虛擬機器的快照、停用相關處理程序，甚至能排除指定名稱的虛擬機器，並輸出未受害的虛擬機器名單，以便後續運用。</p> </blockquote> <p>附帶一提的是，研究人員意外發現ESXi版RansomHub的設計缺陷，這個勒索軟體使用特定檔案檢查程式是否已經執行，若是設置特定參數，就有可能導致勒索軟體進入無限循環，從而自我刪除。對此，他們也提出能暫時抵擋這款勒索軟體的做法，供企業組織參考。</p> <h3><span style="color:#0000FF;"><strong>提供高額報酬抽成，引誘打手上門</strong></span></h3> <p>除了針對勒索軟體的功能進行分析，研究人員也公布該組織造成的災情。此勒索軟體自今年2月出現，並以租用服務型式供打手運用，一旦攻擊成功，且受害組織向他們支付贖金，打手將能得到9成報酬。研究人員指出，在同樣提供勒索軟體租用服務的網路犯罪圈（Ransomware-as-a-Service）當中，打手能夠得到的報酬，通常是贖金的八至九成，因此RansomHub祭出這樣的策略，吸引了許多經驗豐富的打手上門。</p> <p>在短短4個月的時間，這些駭客聲稱有45個企業組織受害，大部分是IT產業領域的組織，而這些受害組織分布於18個國家，其中約有3成位於美國最多。該勒索軟體如此短時間內造成大量危害，引起許多研究人員的高度關注。</p> <p>而對於這些駭客的攻擊流程，研究人員並未詳細說明，但提及他們看到部分事故當中，對方鎖定雲端的備份資料，或是配置不當的AWS S3儲存桶下手，來向受害組織進行勒索。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Qn3AeHkVP8_RansomHub.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qn3AeHkVP8_RansomHub.png" style="width: 580px;" /></a></p> </div></div></div>
2024/6/26 12:30作者周峻佑https://www.ithome.com.tw/news/163627
macOS版ChatGPT全面開放下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI 5月公布多模AI模型GPT-4o的同時，也公布了<a href="https://www.ithome.com.tw/news/162866" target="_blank">macOS版本ChatGPT App</a>。周二<a href="https://twitter.com/OpenAI/status/1805679342439284831" target="_blank">OpenAI宣布</a>ChatGPT for Mac App全面開放下載。</p> <p>上個月僅付費版ChatGPT用戶能下載macOS版本使用服務，現在免費版用戶也可<a href="https://openai.com/chatgpt/mac/" target="_blank">由此下載</a>，在其Mac電腦存取ChatGPT服務，而無需另外開啟ChatGPT網頁。ChatGPT for Mac可經由鍵盤捷徑鍵（Option+空白鍵）叫出，協助用戶草擬、讀取並簡述郵件內容、螢幕擷圖。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-ChatGPT%20desktop%20for%20Mac-take%20screen%20shot.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／OpenAI</span></span></p> <p>ChatGPT for Mac僅支援搭載Apple Silicon（M1晶片及以後）的macOS 14以上版本。</p> <p>OpenAI承諾桌機版ChatGPT未來將以GPT-4o為基礎，支援圖像、聲音和文字及程式，目前該公司正在加緊部署。這讓用戶可使用文字或語音模式（Voice mode）與之互動。按下ChatGPT for Mac的耳機圖示即可啟動語音輸入。</p> <p>值得一提的是，免費版ChatGPT用戶雖然未來也能享用到GPT-4o，獲得GPT-4等級的回應，但依用量及需求而定，免費版能傳送的訊息數量有上限，等超過限額，就會自動轉成GPT-3.5。</p> <p>Windows用戶也不用太著急。OpenAI預告今年稍晚就會推出Windows版本ChatGPT。</p> <p>除了macOS版ChatGPT App，<a href="https://www.reddit.com/r/OpenAI/comments/1dohn5u/openai_announcement_on_discord_were_sharing_an/" target="_blank">OpenAI另外公告</a>ChatGPT進階語音模式無法如期提供。原本預計對小部份Plus版用戶6月測試的進階語音模式（Advanced Voice Mode），將延到7月。該公司的理由是正在改善模型「偵測和拒絕用戶輸入特定內容」的能力，以及正在改善用戶體驗和擴充支援大量即時回應所需的基礎架構容量。OpenAI說將開始和少部分用戶啟動Alpha測試，並依測試回饋規畫擴大部署策略，但正式推向Plus用戶則要等到9月。</p> </div></div></div>
2024/6/26 12:18作者林妍溱https://www.ithome.com.tw/news/163657
Google已在付費版Workspace App部署Gemini
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google昨（25）日宣布已將Gemini AI助理功能提供給付費版生產力應用，包括Google Docs、Google Drive等<a href="https://workspaceupdates.googleblog.com/2024/06/gemini-in-side-panel-of-google-docs-sheets-slides-drive.html" target="_blank">Workspace生產力雲端軟體</a>以及<a href="https://workspaceupdates.googleblog.com/2024/06/gemini-in-side-panel-of-gmail.html" target="_blank">Gmail</a>，讓AI助理協助用戶寫信或製作文件、簡報等商務作業。</p> <p>Gemini AI助理是以Google最新大型LLM Gemini 1.5 Pro為基礎，具備更長的context window及更進階的理解能力。今日起，Gemini AI助理已提供給付費版Workspace用戶，後者包括具有Gemini Business及Enterprise外掛、Gemini Education與Education Premium外掛，以及Google One AI Premium授權的Workspace。</p> <p>在Workspace App部分，Gemini已經透過Google Docs、Sheets、Slides與Drive的側邊欄提供給用戶。Gemini可協助用戶摘錄文件重點、加以分析，根據蒐集自郵件、文件內容的洞見產生文件、簡報圖片，建立Sheets報表表格、或將用戶製作的內容加以潤飾。透過整合在側邊欄，所有過程用戶都不必跳離Workspace App或分頁。Google指出，更新後的Gemini介面能自動摘錄用戶手上還在作業的文件重點，並建議用戶與上下文相關的提示。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Google%20Workspace-Gemini%20in%20Sheets.png" style="width: 600px;" /></p> <p>在付費版Gmail中，Gemini同樣也出現在側邊欄。即日起，用戶可請Gemini AI助理摘錄一整個訊息串的郵件內容、建議回應內容、草擬郵件、詢問Gemini關於Gmail郵件或Google Drive中檔案內容的問題，或請它找出特定資訊。用戶和Gemini互動時，可以依據它提供的提示，但也可以自由提問，例如請Gemini搜尋Gmail信件，詢問代理商的採購單號、上次行銷活動的花費總和、或下次團隊會議訂在幾點等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Google%20Workspace-Gemini%20in%20gmail.png" style="width: 600px;" /></p> <p>要讓用戶啟用Gemini，管理員必須開放用戶權限，允許他們啟用智慧功能及個人化設定。Web介面上，用戶可以從App右上角的「Ask Gemini」來啟動側邊欄中的Gemini。</p> <p>Gmail的Gemini，除了部署給Web版，Google也部署了Gemini的信件摘要（Summarize）功能給iOS或Android版Gmail App，用戶可以點入信件上方的「summarize this email」啟用。Google並預告，很快會再加入可配合上下文的情境化智慧回覆與Gmail Q&A二項新功能。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/6/26 10:05作者林妍溱https://www.ithome.com.tw/news/163652
蘋果傳早已拒絕Meta AI整合到iPhone
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周華爾街日報才<a href="https://www.ithome.com.tw/news/163605" target="_blank">報導</a>蘋果正和Meta洽談把AI功能整合進自有裝置，<a href="https://www.bloomberg.com/news/articles/2024-06-24/apple-spurned-idea-of-iphone-ai-partnership-with-meta-months-ago" target="_blank">彭博</a>本周報導，蘋果其實基於隱私疑慮已經拒絕Meta了。</p> <p>彭博記者Mark Gurman報導，蘋果的確針對是否將AI模型能力整合進iOS和Meta討論過，但幾個月前就擱置了這項提議，原因是蘋果認為Meta的隱私保護不夠嚴謹，因此蘋果現在已經沒有計畫整合Llama。</p> <p>在本月之前，蘋果在AI競賽上一直落後Google、微軟。WWDC開發者大會上，蘋果宣布和OpenAI合作，讓最新的iOS 18及macOS Sequoia中的Apple Intelligence應用程式，包括Siri整合ChatGPT，並以更好的隱私設計差異化，讓蘋果在聲勢上一舉超越對手。</p> <p>但蘋果並不只滿足於整合一家AI業者技術。根據華爾街日報的報導，除了Meta外，蘋果有興趣的AI技術供應商還包括Google、Anthropic、Perplexity等。</p> <p>無獨有偶，今年3月<a href="https://www.bloomberg.com/news/articles/2024-03-18/apple-in-talks-to-license-google-gemini-for-iphone-ios-18-generative-ai-tools" target="_blank">彭博</a>報導也引述消息人士指出，蘋果也有意在iPhone整合Google Gemini。本周的報導顯示，蘋果和Google的洽談持續進行中。</p> <p>事實上，Google Gemini相當可能會用在iPhone上。WWDC中，蘋果軟體工程部門主管Craig Federighi曾<a href="https://9to5mac.com/2024/06/10/craig-federighi-says-apple-hopes-to-add-google-gemini-and-other-ai-models-to-ios-18/" target="_blank">透露</a>公司也希望計畫整合Google Gemini及其他AI模型，只是他未提供進一步細節。</p> </div></div></div>
2024/6/26 10:18作者林妍溱https://www.ithome.com.tw/news/163653
支援SPDM、效能提升兩倍，三星新一代PCIe 5.0 SSD來了
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/san_xing_pm9d3a_main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>論及支援PCIe 5.0介面的企業與資料中心固態硬碟產品，三星最早推出的產品是<a href="https://www.ithome.com.tw/review/163573">PM1743</a>，如今我們在市面上看到他們對<a href="https://www.dell.com/support/manuals/en-us/openmanage-software-v11.0.1.0/om_11.0.1.0_support_matrix_pub/supported-firmware-storage-management-service-and-server-administrator-versions-for-nvme-drives?guid=guid-284b2169-9918-4bce-9e39-52d49fc503c0&lang=en-us">Dell</a>、<a href="https://lenovopress.lenovo.com/lp1916-thinksystem-pm1745-mixed-use-nvme-pcie-50-ssd?orgRef=https%253A%252F%252Fwww.google.com%252F">聯想</a>等伺服器廠商提供PM1745，若回顧該公司過去的相關新聞發布，還可以看到有另一款支援此規格的產品PM9D3a。</p> <p>例如，在去年8月舉行的全球快閃記憶體高峰會期間，2022年同個活動亮相的PM1743，以及PM9D3a都是活動現場展示的產品，他們也趁機揭露部分規格。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/FMS%202023-08-1691587981721-web.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/FMS%202023-08-1691587988197-Web1.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/FMS%202023-08-1691587988197-Web2.jpg" style="width: 400px;" /></p> <p>首先，它採用8通道的控制器，<a href="https://www.opencompute.org/products/441/samsung-pm9d3a-pcie-gen5-nvme-ssd">相較於上一代產品</a><a href="https://www.ithome.com.tw/review/147008">PM9A3</a>，循序讀取效能提升至2.3倍，隨機寫入效能增長為2倍——<a href="https://semiconductor.samsung.com/news-events/tech-blog/samsung-announces-innovations-to-enhance-memory-customer-experience-in-data-centric-era-at-fms-2023/">以8TB容量的款式而言，可達到40萬IOPS</a>，<a href="https://www.linkedin.com/posts/samsungsemiconductor_samsungmemory-samsungsemiconductor-samsungssd-activity-7099933554804969472-fDNL/">每TB保證供應5萬IOPS效能</a>，能源使用效率改善幅度為60％；同時，三星也有效強化它的遙測（Telemetry）與除錯（Debug）功能，因應資料中心維護作業的需求；穩定度方面，這款產品的平均故障間隔時間（MTBF）提升至250萬小時，比上一代產品增加25％。</p> <p>對於儲存容量的供應，三星表示，2.5吋外形將提供7.68 TB與15.36 TB，他們已完成開發，計畫隔年將提供多種外形與產品線，屆時將有3.84 TB以下，以及最大容量可達30.72 TB的款式。</p> <p>而在同一週舉行的OCP China Day 2023，三星電子副總裁暨半導體事業軟體發展團隊負責人張實完，也特別提到並介紹PM9D3a的特色。他表示，這款產品隨機寫入效能提升至1.8倍，能源使用效率增加至1.6倍，而且針對機密性與完整性的認證要求，PM1743與PM9D3a均支援<a href="https://www.dmtf.org/standards/spdm">DMTF的SPDM（Security Protocol and Data Model）規格</a>，而在三星當天活動現場的產品展示，他們也列出PM9D3a幾項規格，像是循序讀寫效能分別為12,000 MB/s、6,800 MB/s，隨機讀寫效能為170萬IOPS與40萬IOPS，儲存容量最大為32 TB，外形將有4種：E1.S（厚度為25公釐、15公釐、9.5公釐）、E1.L（厚度為9.5公釐）、2.5吋U.2/U.3（厚度為15公釐）、M.2。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OCP China Day-2023-08-Samsung1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/OCP%20China%20Day-2023-08-Samsung1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-10-ocp%20chinaday3%20pm93a-web.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-10-ocp%20chinaday3%20pm93a.jpg" style="width: 298px;" /></p> <p>到了今年5月底，三星再次揭露PM9D3a規格資訊，例如，快閃記憶體為TLC、採用三星第8代V-NAND技術，循序讀寫效能分別為12,000 MB/s、6,200 MB/s，隨機讀寫效能為200萬IOPS與35萬IOPS，寫入效能均下修，隨機讀取效能再略微提高，可達到上一代產品的2.4倍。</p> <p>而在能源使用效率方面，三星表示，若使用2.5吋厚度15公釐外形的款式，領先上一代產品的幅度是45％，如果是E1外形的款式，都將搭配散熱片與嵌入式熱介面材料（Thermal Interface Material），以降低管理成本、緩解環境保護層面的風險。</p> <p>安全性方面，Samsung通過TCG Storage Opal Family Test Cases的驗證，正在進行FIPS 140-3驗證，正在評估安全評估共通準則（Common Criteria），以及歐盟網路與資訊安全局暨網路安全認證規則Regulation 2019/881等認證。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>三星PM9D3a</strong><br /> ●原廠：三星<br /> ●建議售價：廠商未提供<br /> ●儲存容量：3.84 TB、7.68 TB、15.36 TB、30.72 TB<br /> ●外形：2.5吋、E1.S、E1.L、M.2、E3.S<br /> ●儲存媒體：3D NAND，TLC<br /> ●最高讀寫速度：循序12,000 MB/s與6,200 MB/s，隨機200萬IOPS與35萬IOPS<br /> ●使用介面：PCIe 5.0<br /> ●可靠度：250萬小時MTBF</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/25 19:50作者李宗翰https://www.ithome.com.tw/review/163628
Fintech周報第245期：日本PayPay銀行導入HCI架構的虛擬化平臺，計畫將周邊系統轉換為私有雲架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">6/17~6/23金融科技精選新聞</span></span></h3> <p dir="ltr" style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 私有雲</span></strong></span><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HCI </span></strong></span></p> <h3>日本PayPay銀行導入HCI架構的虛擬化平臺，計畫將周邊系統轉換為私有雲架構</h3> <p>PayPay在日本的註冊使用者有6400萬人，是日本的電子支付龍頭品牌。近日，日本PayPay銀行宣布將在地端機房打造新一代基礎設施，計畫將周邊系統遷移至超融合基礎架構（HCI）的虛擬化平臺，汰換既有的實體伺服器。目前，PayPay的周邊系統大多運作在實體伺服器上，難以因應業務規模增加，靈活擴充IT資源。雖然他們每五年會汰換一次硬體設備，但在進行系統升級時，需要較長的停機時間，難以實現停機不超過半小時的業務目標。</p> <p>PayPay的計畫，是藉由HCI架構降低使用實體伺服器的維運成本，同時減少系統升級所需的停機時間。他們不是沒有考慮過傳統三層式架構的虛擬化平臺，最終選擇HCI架構，是看上它能在不停機的情況下擴充IT資源，同時防止營運過於依賴個人。這兩點是他們最終決策的主要考量。</p> <p>目前，PayPay已經篩選出硬體設備廠商，預計一個月就能完成硬體設備建構。除了計畫將周邊系統遷移至HCI架構的虛擬化平臺上，PayPay也計畫升級儲存設備，轉換為混和雲多雲架構。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 富邦產險</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 創新保險服務 </span></strong></span></h3> <h3>富邦產險與台灣大哥大合作推出創新保險服務，一站式投保旅平險和不便險</h3> <p>富邦產險近日正式推出網路投保創新服務，他們與台灣大哥大合作推出一站式投保服務，當民眾出國前至臺灣大哥大客服App申辦漫遊時，可同時加購旅平險與不便險，可省去輸入個人資料時間，也可連同電信帳單一同支付保費。</p> <p>這項服務自今年3月底開始試辦，並在6月中獲金管會核准開辦，是全臺首例獲核准的創新保險服務。金管會在去年10月通過保險業異業合作辦理創新型保險服務。今年，金管會也提出，要在年底前完成10件以上的創新型保險服務試辦案審查，並且在第三季檢討修正「保險業辦理電子商務應注意事項」，擴大業務範圍，增加可辦理的網路投保和網路保險服務。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 嵌入式保險</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 創新保險服務 </span></strong></span></h3> <h3>日本三井住友保險和雲端會計軟體業者合作，計畫推出保險平臺發展一站式投保服務</h3> <p>日本三井住友保險在4月宣布與日本一間雲端會計軟體業者Freee合作，計畫打造一個綜合保險平臺，可以提供企業客戶連接ERP系統，管理財務、人力資源和銷售管理等日常營運任務。同時，平臺能根據客戶的業別來推薦保險產品，提供一站式投保服務，也支援企業客戶自動完成保費支付和領取理賠金等任務。</p> <p>在日本，許多新創公司會採用雲端財務和人力資源軟體，並透過連接ERP系統，自動處理保險費支付和索取理賠收據。Freee在日本則擁有近40萬中小型客戶數量。三井住友保險向媒體表示，這次合作是為了透過Freee接觸新創企業、中小型企業客戶，主要提供商業一般責任保險。未來也會考慮提供旅遊險、高爾夫球險，和一日汽車險等保險商品。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融AI指引</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span></h3> <h3>金融業運用AI指引正式出爐</h3> <p>金管會在近日發布「金融業運用AI指引」，除了提供AI系統和生成式AI定義，也將AI系統生命周期分為4個階段，提供業者在各個階段中落實六大核心原則的處理機制。綜合規劃處處長胡則華表示，目前，已有使用生成式AI的金融機構共有29家，銀行業占比最多。使用場景最多是在內部作業，第二是智能客服，第三則是行銷廣告。</p> <p>相較草案內容，正式指引提供更多第三方業者的監督管理方式，針對自建、委外和外購等不同部署方式增訂相關內容，也修改風險評估因素的敘述方式，強調指引中的舉例僅供參考，增加指引適用的彈性。（<a href="https://www.ithome.com.tw/news/163575">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融科技政策</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span></h3> <h3>金管會主委彭金隆發表未來金融科技發展方向，七月將提出更具體的發展計畫</h3> <p>「金融業未來需要很多工具，來推動數位和永續轉型，未來希望能夠讓金融業有更大的空間來應用這些工具。」金管會主委彭金隆近日接受媒體聯訪時，用這句話來說明他對金融科技發展的態度。彭金隆進一步指出，未來可能先調整金管會能全權調整的規定，讓暫時不允許的項目，成為可以試辦的範圍，以此放寬金融業的創新業務發展空間。</p> <p>金管會綜合規劃處處長胡則華則補充，接下來會放寬法規命令和法律規範，包含行政規則，或是周邊單位的自律規範，讓業者能提出更多創新試辦項目。彭金隆也表示，將在七月中或下旬提出金融科技具體規劃和未來發展方向。（<a href="https://www.ithome.com.tw/news/163596">詳全文</a>）</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line Pay</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 行動支付 </span></strong></span></h3> <h3>日本Line Pay將在明年四月終止在日本提供的服務</h3> <p>近期，日本Line Pay宣布，將在今年9月開始，陸續停止在日本提供的服務，並在明年4月正式退出日本。日本Line Pay表示，未來將開放用戶把餘額轉至PayPay繼續使用，流程將於明年2月公布。此外，這次服務更動並不會影響泰國和臺灣的用戶。</p> <p>Line Pay母公司LY Corporation表示，終止在日本提供服務，是為了讓集團更有效地分配經營資源。他們表示，未來不會將LINE Pay的業務轉讓給PayPay，而是由公司繼續繼承這項業務。</p> <h3><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Apple Pay</span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);"> </span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BNPL </span></strong></span></h3> <h3>蘋果終止Apple Pay Later服務，改以Apple Pay串聯第三方業者來提供BNPL服務</h3> <p>蘋果近日才在發布會上宣布，Apple Pay將支援分期服務、商品兌換獎勵和先買後付功能，發布會結束兩天後，蘋果接著宣布終止Apple Pay Later服務，一款僅提供美國用戶的BNPL服務。蘋果向媒體透露，由於Apple Pay將在全球支援分期貸款產品，他們決定不再向美國用戶提供Apple Pay Later，而是透過Apple Pay與第三方業者合作，來提供多種支付服務給全球用戶。目前，Apple已經宣布與特定BNPL業者合作，將開放美國用戶在Apple Pay使用先買後付服務。</p> <p></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">其他重要Fintech新聞：</p> <ul style="padding-right: 0px; padding-left: 0px; margin: 0px 0px 10px 25px; font-family: 微軟正黑體, sans-serif; font-size: 14px; background-color: rgb(247, 247, 247);"> <li style="line-height: 1.8em; font-size: 14pt;">金管會推動灰名單平臺，上線一個月136戶被列可疑帳戶</li> <li style="line-height: 1.8em; font-size: 14pt;">桑坦德銀行警告美國員工，因第三方服務供應商遭駭，其員工資料已外洩</li> <li style="line-height: 1.8em; font-size: 14pt;">花旗發布研究報告，表示銀行業被AI取代的工作將比其他行業多</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年6月</p> </div></div></div>
2024/6/25 17:30作者李昀璇https://www.ithome.com.tw/news/163646
【資安日報】6月25日，中國駭客組織RedJuliett近半年鎖定臺灣高科技產業、外交經濟、社會運動團體從事網路間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定今年臺灣總統大選的網路攻擊，已有數家資安業者公布他們觀察到的攻擊行動，但最近研究人員揭露的最新發現，攻擊者從事相關活動的期間，從去年11月到今年4月，也就是自總統選舉的2個月前，到新任總統即將上任前夕，時間接近半年。</p> <p>值得留意的是，這些駭客不僅針對外交經濟和社會運動團體而來，也鎖定高科技產業，企圖偷取相關機密。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163641"><strong style="font-size: 22px;">中國駭客組織RedJuliett近半年鎖定臺灣75個組織發動攻擊，目標主要是高科技產業，但外交經濟、社會運動團體也遭鎖定</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_02_8dada06f0b.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_02_8dada06f0b.jpg" style="width: 300px; float: right;" /></a>資安業者Recorded Future揭露為期近半年的網路間諜攻擊行動，代號為Flax Typhoon、Ethereal Panda中國駭客組織RedJuliett，自去年11月自今年4月，針對臺灣教育機構、政府機關、科技產業、外交機構而來，這些駭客利用防火牆、VPN、負載平衡設備等網路邊界裝置的已知漏洞，取得初始存取的管道，目的很有可能是為中國政府收集臺灣經濟、外交關係，以及關鍵技術研發的情報。</p> <p>由於上述攻擊發生的時間點，正好是今年臺灣總統大選前至新政府上臺的前夕，這起攻擊行動的揭露，引起國內外媒體高度關注。</p> <p>針對受害規模的部分，這些駭客入侵全球24個組織，其中包含了臺灣、竂國、肯亞、盧安達的政府機構。而對於臺灣的部分，該組織試圖針對75個企業組織下手，當中有8所大學、11個政府機關，攻擊範圍相當廣泛，涵蓋高科技產業、外交經濟，以及社會運動，但他們認為，駭客最主要的目標還是高科技產業相關組織。</p> <p><a href="https://www.ithome.com.tw/news/163647"><strong style="font-size: 22px;">中國駭客組織針對亞洲電信業者植入後門，嘗試竊取帳密資料</strong></a></p> <p>資安業者賽門鐵克揭露中國駭客組織鎖定特定亞洲國家電信業者的網路間諜活動，這些駭客在受害公司的網路環境植入後門程式，並試圖竊取各式帳密資料。</p> <p>研究人員指出，對方的攻擊行動至少可追溯至2021年，不過，他們掌握2020年已有部分活動的證據。而對於攻擊目標的部分，雖然駭客主要是鎖定電信業者，但是也有提供電信業者服務的公司，以及另一個國家的大學受害。</p> <p>究竟對方的目的為何，研究人員表示並不清楚，但很有可能是為了收集特定國家的電信行業情報，甚至進行監聽，也不排除對當地關鍵基礎設施進行破壞；而對於攻擊者的身分，他們也推測有幾種可能，有可能是多組人馬進行合作，或是不約而同發動攻擊；也有可能是未被發現的駭客組織出手，並使用其他團隊提供的作案工具犯案。</p> <p><a href="https://www.ithome.com.tw/news/163645"><strong style="font-size: 22px;">惡意軟體載入工具SquidLoader鎖定中國企業組織而來，企圖透過偽裝成Word檔案的附件引誘員工上鉤</strong></a></p> <p>今年4月下旬，電信業者AT&T旗下的資安威脅實驗室LevelBlue發現具備高度迴避偵測能力的惡意程式載入工具SquidLoader，使用此項工具的攻擊者鎖定使用簡體中文的用戶，受害者電腦會因此而載入Cobalt Strike。研究人員進一步調查指出，這些駭客在過去2年就曾發起了零星攻擊，而且似乎專門針對國家而來。由於這樣的攻擊技術及手法有可能被複製，未來很有可能被其他惡意軟體開發者如法炮製。</p> <p>研究人員認為，攻擊者的主要目標是員工，企圖藉由具有明確描述的名程引誘他們上當。值得留意的是，這些釣魚郵件的附件檔案雖然都帶有Word文件圖示，但實際上都是可執行檔，一旦收信人開啟附件，電腦就可能從遠端下載SquidLoader。</p> <p><a href="https://www.ithome.com.tw/news/163635"><strong style="font-size: 22px;">YouTube直播平臺出現馬斯克Deepfake影片，對方企圖詐騙加密貨幣</strong></a></p> <p>入侵知名企業或名人的網路服務帳號，對其支持者進行金融詐騙的手法頻傳，6月24日YouTube Live直播平臺便出現馬斯克的Deepfake影片，對方將特斯拉公司發布的公開影片透過Deepfake改造，企圖誘騙支持者造訪指定網站並轉出數位貨幣，影片被檢舉下架前5個小時，曾吸引至少3萬人同時觀看。</p> <p>根據科技新聞網站Engadget報導，這則詐騙影片看似馬斯克在特斯拉公司活動中發表演說，馬斯克指示用戶點選造訪某個網站網址，並將手上的比特幣、以太幣與狗狗幣儲存在該網站的電子錢包中。AI版「馬斯克」聲稱，只要用戶完成儲存，就可獲得存入金額2倍等值的加密貨幣作為回饋。</p> <p>值得留意的是，該影片是由貌似特斯拉的公司帳號發布，並有YouTube藝術家官方頻道（Official Artist Channel）的驗證徽章，媒體推測，這很可能是特斯拉遭駭的帳號。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://research.checkpoint.com/2024/rafel-rat-android-malware-from-espionage-to-ransomware-operations/"><strong style="font-size: 20px;">駭客組織APT-C-35鎖定安卓裝置發動超過120起攻擊行動，散布惡意程式Rafel RAT</strong></a></p> <p>◆<a href="https://blog.xlab.qianxin.com/a-deep-dive-into-the-zergeca-botnet/"><strong style="font-size: 20px;">研究人員揭露難以被防毒軟體察覺的殭屍網路病毒Zergeca</strong></a></p> <p>◆<a href="http://www.elastic.co/security-labs/grimresource"><strong style="font-size: 20px;">研究人員揭露新型態攻擊手法GrimResource，利用MMC管理主控臺存取受害電腦並迴避偵測</strong></a></p> <p></p> <p>◆<a href="https://hackread.com/qilin-ransomware-attack-nhs-patient-data-leak-telegram/"><strong style="font-size: 20px;">勒索軟體駭客組織</strong></a><a href="https://hackread.com/qilin-ransomware-attack-nhs-patient-data-leak-telegram/"><strong style="font-size: 20px;">Qilin傳出在Telegram頻道外流400 GB英國國民保健署及病人資料</strong></a></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163644"><strong style="font-size: 22px;">電子商務平臺PrestaShop的臉書外掛程式存在漏洞，已有攻擊者用於竊取信用卡付款詳細資訊</strong></a></p> <p>電商平臺技術社群Friends Of Presta指出，名為pkfacebook的付費外掛程式存在重大漏洞CVE-2024-36680，使得瀏覽電商網站的訪客有機會發動SQL注入攻擊，CVSS風險評為9.8分，影響1.0.1以前的版本。值得留意的是，這項漏洞已被積極利用，攻擊者藉此在電商平臺植入側錄工具，以便大規模竊取信用卡資料。</p> <p>這項由Promokit.eu打造的電商平臺PrestaShop外掛程式，主要是供用戶直接使用臉書帳號與站方互動，留下評論，或是透過Messenger與客服進行溝通。然而，由於這項外掛程式是由該公司自行銷售，他們並未透露有多少網站採用，究竟有多少電商網站曝險，目前仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/163636"><strong style="font-size: 22px;">微軟將透過Windows每月例行更新一併修補Visual Studio</strong></a></p> <p>為更為充分利用Windows的更新機制Microsoft Update，微軟宣布自8月開始，將會藉此機制，於每個月的例行更新（Patch Tuesday）提供用戶IDE工具Visual Studio的相關更新。</p> <p>一旦使用者在Microsoft Update啟用接收其他微軟產品更新的功能，他們將對使用Visual Studio 2022、Visual Studio 2019、Visual Studio 2017的用戶派送更新，這項服務不支援預覽版Visual Studio。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.wiz.io/blog/probllama-ollama-vulnerability-cve-2024-37032"><strong style="font-size: 20px;">開源人工智慧基礎設施平臺Ollama存在漏洞Probllama，若不修補恐被用於RCE攻擊</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163630"><strong>【6月24日】北美汽車經銷商軟體服務業者CDK Global遭攻擊而停擺，傳出是勒索軟體BlackSuit所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163599"><strong>【6月21日】駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163574"><strong>【6月20日】中國駭客UNC3886利用多項防火牆及虛擬化平臺的零時差漏洞隱匿行蹤，並部署後門程式持續存取網路環境</strong></a></p> </div></div></div>
2024/6/25 17:39作者周峻佑https://www.ithome.com.tw/news/163648
中國駭客組織RedJuliett近半年鎖定臺灣75個組織發動攻擊，目標主要是高科技產業，但外交經濟、社會運動團體也遭鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Recorded Future揭露為期近半年的網路間諜攻擊行動，代號為Flax Typhoon、Ethereal Panda中國駭客組織RedJuliett，<a href="https://www.recordedfuture.com/redjuliett-intensifies-taiwanese-cyber-espionage-via-network-perimeter">自去年11月自今年4月，針對臺灣教育機構、政府機關、科技產業、外交機構而來</a>，這些駭客利用防火牆、VPN、負載平衡設備等網路邊界裝置的已知漏洞，取得初始存取的管道，目的很有可能是為中國政府收集臺灣經濟、外交關係，以及關鍵技術研發的情報。</p> <p>由於上述攻擊發生的時間點，正好是今年臺灣總統大選前至新政府上臺的前夕，這起攻擊行動的揭露，引起國內外媒體高度關注。</p> <p>雖然這些駭客的主要目標是臺灣，但研究人員提到，對方近期也擴大攻擊範圍，開始針對香港、馬來西亞、竂國、韓國、美國、肯亞、盧安達、吉布地等國家的組織發動攻擊。</p> <p>針對受害規模的部分，這些駭客入侵全球24個組織，其中包含了臺灣、竂國、肯亞、盧安達的政府機構。而對於臺灣的部分，該組織試圖針對75個企業組織下手，當中有8所大學、11個政府機關，攻擊範圍相當廣泛，涵蓋高科技產業、外交經濟，以及社會運動，但他們認為，駭客最主要的目標還是高科技產業相關組織。</p> <p>單就被鎖定的高科技產業而言，駭客企圖滲透的對象很廣泛，包含半導體公司、與軍方有合作關系的航太業者、電子製造業、專注科技教育的大學、工業嵌入式系統製造商、科學研發機構，以及電腦工業協會等。</p> <p>而在外交經濟的領域，他們鎖定了南亞、東南亞的外交機構、專注經濟政策的政府部門、經濟政策智庫、貿易促進組織、跨國物流業者，以及航空公司。</p> <p>在社會運動方面，遭這群駭客鎖定的臺灣目標有哪些？Recorded Future認為，他們已對媒體、慈善機構、人權非政府組織（NGO）發動攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_02_8dada06f0b.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_02_8dada06f0b.jpg" style="width: 580px;" /></a></p> <blockquote><p>中國駭客組織RedJuliett過往的主要攻擊目標是臺灣的企業組織，但研究人員也發現，最近半年其他國家也有組織遭到鎖定的現象。值得留意的是，雖然他們在調查報告裡提到對方在去年11月至今年4月，企圖對75個臺灣企業組織下手，但這張圖表卻指出有85個被鎖定，為何會有這樣的差異，研究人員並未提出說明。</p> </blockquote> <p>而對於這些駭客的攻擊手段，他們試圖對網頁應用程式、SQL資料庫進行目錄穿越攻擊，或是SQL注入攻擊。在部分情況裡，駭客利用名為devilzShell、AntSword的開源Web Shell從事後期行動，並透過Linux作業系統的已知漏洞DirtyCOW（CVE-2016-5195）提升權限。</p> <p>此外，駭客們也在網際網路持續探測，想要找到可從此處存取的F5 BIG-IP設備，以及Fortinet的FortiGate防火牆，而且，駭客們也在擴展可攻擊的網路設備，例如，研究人員發現在2023年下旬，曾出現攻擊者與兆勤（Zyxel）防火牆進行通訊的跡象。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_01_1_03c33ce6d8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Red_Juliett_infographic_01_1_03c33ce6d8.jpg" style="width: 580px;" /></a></p> <p>為了隱匿行蹤，該駭客組織使用VPN軟體SoftEther VPN存取攻擊基礎設施。而根據研究人員的調查，這些駭客的總部很可能位於中國的福建省福州市，由於地理位置臨近臺灣，研判他們可能替當地的軍情部門收集情報。</p> </div></div></div>
2024/6/25 15:42作者周峻佑https://www.ithome.com.tw/news/163641
電子商務平臺PrestaShop的臉書外掛程式存在漏洞，已有攻擊者用於竊取信用卡付款詳細資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電商平臺技術社群Friends Of Presta指出，<a href="https://security.friendsofpresta.org/modules/2024/06/18/pkfacebook.html">名為pkfacebook的付費外掛程式存在重大漏洞CVE-2024-36680</a>，使得瀏覽電商網站的訪客有機會發動SQL注入攻擊，CVSS風險評為9.8分，影響1.0.1以前的版本。值得留意的是，這項漏洞已被積極利用，攻擊者藉此在電商平臺植入側錄工具，以便大規模竊取信用卡資料。</p> <p>這項由Promokit.eu打造的電商平臺PrestaShop外掛程式，主要是供用戶直接使用臉書帳號與站方互動，留下評論，或是透過Messenger與客服進行溝通。然而，由於這項外掛程式是由該公司自行銷售，他們並未透露採用該外掛程式的網站數量，究竟有多少電商網站曝險，目前仍不得而知。</p> <p>而對於這項漏洞發生的原因，Friends Of Presta社群指出，起因是此外掛程式當中的Ajax指令碼facebookConnect.php含有敏感的SQL呼叫功能，攻擊者可執行簡單的HTTP呼叫，利用漏洞來偽造SQL注入攻擊。</p> <p>值得留意的是，攻擊者想要利用這項漏洞的難度不高，不需事先取得權限，且過程中無須使用者互動。攻擊者很有可能藉此得到管理員權限、清除與電商平臺PrestaShop有關的資料、覆寫SMTP組態來挾持電子郵件，甚至還能從敏感的資料表複製資料至前端，藉此曝露憑證並解開管理員的Ajax指令碼。</p> <p>這項漏洞由雲端資安業者TouchWeb在3月底通報，但當研究人員聯絡開發廠商Promokit.eu，對方僅表示這是很久以前的事情，並不清楚那些版本的pkfacebook曝險，也不願提供研究人員最新版本，以便確認是否完成修補。</p> <p>對此，Friends Of Presta呼籲網站管理者要儘速採取行動因應，這些措施包括：使用最新版本的pkfacebook，以及在網頁應用程式防火牆（WAF）啟動特定規則。</p> </div></div></div>
2024/6/25 17:00作者周峻佑https://www.ithome.com.tw/news/163644
惡意軟體載入工具SquidLoader鎖定中國企業組織而來，企圖透過偽裝成Word檔案的附件引誘員工上鉤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電信業者AT&T旗下的資安威脅實驗室指出LevelBlue指出，他們約從今年4月下旬，發現<a href="https://cybersecurity.att.com/blogs/labs-research/highly-evasive-squidloader-targets-chinese-organizations">具備高度迴避偵測能力的惡意程式載入工具SquidLoader</a>，攻擊者鎖定使用簡體中文的用戶，藉由此惡意軟體於受害電腦載入Cobalt Strike。</p> <p>研究人員進一步調查指出，這些駭客在過去2年就曾發起了零星攻擊，而且似乎專門針對國家而來。由於這樣的攻擊技術及手法有可能被複製，未來很有可能被其他惡意軟體開發者如法炮製。</p> <p>針對這起攻擊行動發生的過程，研究人員在釣魚郵件發現數個可被執行的附件檔案，其中一個具有簡體中文名稱的檔案，宣稱是華為工業級路由器的產品介紹及客戶成功案例。其他的惡意檔案名稱，也與中國的企業組織有關，例如：中國陝西行動網路服務公司、黃河水利職業技術學院（YRCTI）。</p> <p>對方這樣命名附件檔案的目的，研究人員認為，攻擊者的主要目標是員工，企圖藉由具有明確描述的檔案名稱引誘他們上當。值得留意的是，這些檔案雖然都帶有Word文件的圖示，但實際上都是可執行檔。</p> <p>一旦收信人開啟這些附件，電腦就會對遠端伺服器上含有flag.jpg的URI發出Get HTTPS的請求，然後下載惡意程式載入工具SquidLoader並執行Shell Code。</p> <p>值得留意的是，這些惡意程式載入工具具備高度迴避偵測的能力，也擁有誘餌的功能，使得這樣的作案工具不易被察覺。此外，被載入的Shell Code也會利用特定的處理程序執行，避免惡意酬載被寫入磁碟留下作案痕跡。</p> <p>為了讓惡意程式載入工具看起來像正常應用程式，對方利用已經過期的合法憑證進行簽章，此外，他們也在C2伺服器部署自行簽署的憑證。</p> <p>研究人員發現，為了防礙資安人員調查，這些駭客竟然在惡意附件大量混入微信、mingw-gcc等應用程式的程式碼，但實際上無法正常執行，而是在流程的特定階段就指向有效酬載。此外，部分程式碼執行後，甚至會出現檔案格式錯誤無法開啟的彈出式視窗訊息。</p> <p><a href="https://s4.itho.me/sites/default/files/images/wechat_code.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/wechat_code.gif" style="width: 580px;" /></a></p> <blockquote><p>研究人員公布駭客引用微信（WeChat）的程式碼片段，並指出這些被塞入惡意程式用來影響資安研究人員調查的程式碼，實際上並不會執行。</p> </blockquote> <p>他們也提及對這個惡意程式載入工具引起特別關注的原因，那就是對方運用許多迴避偵測的手法並進行混淆處理，而使得相關攻擊行動極少被識別出來。</p> <p>研究人員指出，攻擊者在部分函數功能使用了無意義及灰色地帶指令，例如：pause、mfence、lfence，很有可能是用來破壞防毒軟體模擬觸發的工作。</p> <p>其中，也有部分功能函數含有call或jmp指令，指向另一個功能函數，使得研究人員的反編譯工具產生解析錯誤的情況。</p> <p>而在透過演算法混淆程式碼的手法上，對方也加入了無意義的誘餌指令碼來欺騙研究人員，並透過堆疊的方式，使用多個位元組的XOR金鑰來加密特定字串。</p> <p>此外，這些駭客也針對Shell Code相關的功能函數，進行控制流程圖形（Control Flow Graph，CFG）的混淆處理，導致CFG被扁平化為帶有大量switch字串的無限迴圈。</p> <p>為了避免研究人員使用除錯工具進行調查，這些駭客也透過處理程序、檔案名稱過濾，並使用自行開發的API進行系統呼叫。</p> </div></div></div>
2024/6/25 17:17作者周峻佑https://www.ithome.com.tw/news/163645
中國駭客組織針對亞洲電信業者植入後門，嘗試竊取帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者賽門鐵克揭露中國駭客組織<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/telecoms-espionage-asia">鎖定特定亞洲國家電信業者的網路間諜活動</a>，這些駭客在受害公司的網路環境植入後門程式，並試圖竊取各式帳密資料。</p> <p>研究人員指出，對方的攻擊行動至少可追溯至2021年，不過，他們掌握2020年已有部分活動的證據。而對於攻擊目標的部分，雖然駭客主要是鎖定電信業者，但是也有提供電信業者服務的公司，以及另一個國家的大學受害。</p> <p>究竟對方的目的為何，研究人員表示並不清楚，但很有可能是為了收集特定國家的電信行業情報，甚至進行監聽，也不排除對當地關鍵基礎設施進行破壞；而對於攻擊者的身分，他們也推測有幾種可能，有可能是多組人馬進行合作，或是不約而同發動攻擊；也有可能是未被發現的駭客組織出手，並使用其他團隊提供的作案工具犯案。</p> <p>針對駭客使用的作案工具，研究人員提及3個後門程式Coolclient、Quickheal、Rainyday，其共通點是和中國駭客組織有所關連，但究竟這些駭客如何運用這些後門程式，研究人員並未進一步說明。</p> <p>其中，Coolclient與中國駭客組織Mustang Panda（也稱做Earth Preta）有關，駭客將影音播放程式VLC Media Player的主程式，偽裝成Google應用程式的更新工具（googleupdate.exe），然後使用側載的方式執行惡意程式載入工具，從而解密Coolclient，並注入winver.exe的處理程序執行。</p> <p>另一個名為Quickheal的後門程式，則與名為Neeedleminer（或叫做RedFoxtrot、Nomad Panda）的中國駭客組織有關。對方使用的版本，是名為RasTls.dll的32位元檔案，大致與資安業者Recorded Future在2021年公布後門程式的相同，主要差異是編譯組態不同，並使用VMProtect進行程式碼混淆處理。</p> <p>第3個後門程式Rainyday，過往曾有名為Firefly（Naikon）中國駭客組織使用。在這起攻擊行動當中，駭客多半濫用防毒軟體F-Secure的主要元件fsstm.exe，以側載的方式啟動惡意程式載入工具，而該工具企圖挾持可執行檔使用的記憶體位置，藉由該執行檔載入特定檔案，用來解開惡意酬載並以Shell Code的模式執行。</p> <p>特別的是，雖然駭客濫用F-Secure防毒軟體的元件，但部分版本的惡意酬載，卻是用卡巴斯基實驗室的無效憑證簽署。此外，研究人員也看到濫用其他應用程式執行檔來進行寄生攻擊（LOLBin）的情況。</p> </div></div></div>
2024/6/25 17:31作者周峻佑https://www.ithome.com.tw/news/163647
RIAA控告Suno與Udio的生成式AI音樂服務侵權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國唱片業協會（RIAA）周一（6/24）<a href="https://www.riaa.com/record-companies-bring-landmark-cases-for-responsible-ai-againstsuno-and-udio-in-boston-and-new-york-federal-courts-respectively/" target="_blank">宣布</a>，已分別在麻薩諸塞州及紐約州控告兩家未取得授權、擅自利用受版權保護的錄音，來訓練生成式AI模型的AI音樂服務業者Suno AI 和 Udio AI。</p> <p>Suno與Udio皆為提供文字生成音樂服務的AI新創，其中，Udio今年4月才發表測試版，可根據文字提示生成人聲或樂器，至於Suno則是在去年即推出文字生成音樂的Web應用程式，並與微軟合作，成為Microsoft Copilot的外掛程式。Suno甫於今年5月完成1.25億美元的增資，其估值已達50億美元。</p> <p>RIAA是由市場上主流的音樂集團組成，包括環球音樂（Universal Music Group）、華納音樂（Warner Music）及索尼音樂娛樂（Sony Music Entertainment）等，這幾年來不斷面臨數位化的市場挑戰，持續與未取得音樂授權的音樂下載業者或串流服務業者對簿公堂，現在則是生成式AI業者。事實上，在RIAA替這些音樂集團發聲之前，索尼音樂上個月便<a href="https://www.ithome.com.tw/news/162949" target="_blank">公開聲明</a>退出AI訓練，要求業者不得在未取得授權的情況下，以其內容訓練AI模型。</p> <p>有別於當初對音樂下載及串流服務的初期抵抗，RIAA主席Mitch Glazier表示，音樂界已經接受了人工智慧，並與負責任的開發商合作，建置以人類創造力為中心的AI工具，並讓藝術家與作曲家能夠掌控創作過程，但只有當開發者願意合作時才能成長。</p> <p>RIAA法務長Ken Doroshow則說，Suno AI和Udio AI都是直接侵犯版權，涉及大規模未經授權的聲音複製，它們還企圖隱瞞所侵權的全部範圍，而非將其服務建立在健全與合法的基礎上。</p> <p>這兩項訴訟除了聲明相關服務侵犯版權之外，也企圖尋求繼續侵權的禁令，以及對已發生的侵權行為求償。</p> </div></div></div>
2024/6/25 14:32作者陳曉莉https://www.ithome.com.tw/news/163638
AI趨勢周報第256期：哈士奇來了！Meta團隊聯手開源多任務AI代理Husky-v1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0619～0625)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Husky-v1 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 代理 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta開源一款AI代理「哈士奇」</strong></span></p> <p>最近，來自Meta、艾倫AI研究院和華盛頓大學的研究團隊開源一款語言模型代理哈士奇（HUSKY），可處理複雜的多步驟推理任務。進一步來說，AI代理（Agent）是指由AI模型驅動的智慧系統，可從環境中學習、適應並自動完成特定任務，比如Siri。而哈士奇這個代理在統一空間中執行運算，意味著單一個哈士奇就能處理多類型任務，像是數值、表格和知識推理，而非只專注特定任務，如程式碼撰寫代理。</p> <p>團隊發表的第一代哈士奇代理為Husky-v1，透過2個階段不斷迭代：首先是根據給定任務，來生成下一步的解決動作，再來是用專家模型執行這個動作，同時不斷更新解決方案。其中，第一代哈士奇的專家模型包含程式碼生成器、詢問生成器和數學推理器等3款，它們皆用合成資料訓練而成。團隊也用14個不同任務來評測Husky-v1，發現它的表現優於其他代理，如CoT、ReAct、Lumos等，甚至在混合工具推理任務中，勝過GPT-4-Turbo。<a href="https://agent-husky.github.io/">（詳全文）</a></p> <p><img alt="" src="https://agent-husky.github.io/static/img/husky_overview.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MLX </span></strong></span></p> <p><span style="font-size: 22px;"><strong>開發者可用MLX函式庫，聯合多臺蘋果裝置跑大模型了</strong></span></p> <p>最近，蘋果才結束今年度發表大會WWDC，主打Apple Intelligence、聚焦個人化AI功能和隱私保護，但還留了一手。也就是，開發者可用蘋果的開源機器學習函式庫MLX，來聯合蘋果裝置（如Mac筆電、iPhone手機和iPad等）算力、形成一個AI叢集，來執行大型AI模型。</p> <p>日前就有位開發者Mohamed Baioumy分享經驗，他使用了2臺MacBook、2支iPhone 15 Pro和1臺iPad，來執行80億參數的Llama 3 instruct 4 bit模型，可以非常快的速度回答文字問題。另有位開發者Mohamed Baioumy表示，就算不是蘋果裝置也可以，也就是說，只要所有裝置都使用同一個網路，開發者就可堆疊多個裝置來跑大模型。這代表，開發者可透過多個裝置來執行先進的AI模型了。<a href="https://twitter.com/ac_crypto/status/1801323681370804509?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1801323681370804509%7Ctwgr%5Ee446779269aef5df127a5e37d3a5143c7d5b9dd2%7Ctwcon%5Es1_c10&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fapple-now-lets-you-stack-multiple-devices-to-run-large-ai-models%2F">（詳全文）</a></p> <p><img alt="" src="https://twitter.com/i/status/1801322369434173860" /><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-06-25%20at%2011_38_15%20AM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI指引 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融業 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>金管會發布金融業運用AI指引</strong></span></p> <p>最近，金管會終於發布「金融業運用AI指引」，與去年12月底提出的草案大方向一致，除提供AI系統和生成式AI定義，也說明4個AI系統生命周期階段，並提供業者在各階段中落實6大核心原則的處理機制。</p> <p>進一步來說，這份AI指引就像是一份AI操作建議書，分別引導業者在導入AI或使用生成式AI時，如何在4個階段中，包括系統規畫及設計、資料蒐集及輸入、模型建立及驗證、系統部署及監控等階段，落實6大核心原則，也就是建立治理及問責機制、重視公平性及以人為本的價值觀、保護隱私及客戶權益、確保系統穩健性與安全性、落實透明性與可解釋性，和促進永續發展。</p> <p>比起草案，這份正式版多出了實務作法，也提及更多第三方業者的監督管理方式，對自建、委外和外購等不同部署方式增訂相關內容，也修改風險評估因素的敘述方式、增加指引適用的彈性。綜合規畫處處長胡則華指出，目前採用生成式AI的金融機構有29家，銀行業占最多，使用場景大多為內部作業，第二是智能客服，第三則是行銷廣告。<a href="https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0&mcustomize=news_view.jsp&dataserno=202406200001&dtable=News">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 語言模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式撰寫 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Meta揭露4款語言模型，涵蓋程式撰寫、音樂生成和音訊浮水印</strong></span></p> <p>日前，Meta AI研究院最近發表4款語言模型，包括Meta Chameleon，含70億參數（7B）和340億參數（34B）版本，支援多模態輸入值，但只以文字輸出。另一款模型是Meta Multi-Token Prediction，是一款預訓練語言模型，專門用來處理程式碼撰寫任務。這是因為該模型採用多Token預測方法，可即時預測好幾個字，而非只預測一個，也因此提高了作業效率和回應速度。</p> <p>第三款模型是Meta JASCO，是一款生成式文字轉音樂模型，預計晚些時候釋出預訓練模型。最後一個模型是Meta AudioSeal，是一款音訊浮水印模型，能在裝置端偵測AI生成的語音，並配上浮水印；該模型開放商用授權。除了模型，Meta也發表負責任AI研究成果，包括了研究本身、資料和程式碼，可用來衡量和改善AI系統中的地理表徵、文化偏好和多元性。<a href="https://ai.meta.com/blog/meta-fair-research-new-releases/?utm_source=linkedin&utm_medium=organic_social&utm_content=video&utm_campaign=fair">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Luma AI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Dream Machine </span></strong></span></p> <p><span style="font-size:22px;"><strong>美AI新創開源高品質影片生成模型</strong></span></p> <p>舊金山一家AI新創Luma AI最近發表AI系統Dream Machine，可根據簡單的文字描述，來生成高品質影片，且號稱幾分鐘就能完成。有別於OpenAI的影片生成模型Sora和快手的Kling、只對特定群眾開放，Luma AI<a href="https://lumalabs.ai/dream-machine">開放各界免費在自家網站嘗試這款系統</a>。</p> <p>Luma AI表示，Dream Machine目前雖只能生成5秒長的影片，但在品質上相對寫實逼真，可應用的領域更廣。<a href="https://twitter.com/LumaLabsAI/status/1800921380034379951">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-06-25%20at%201_42_02%20PM.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> Claude 3.5 Sonnet </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color:#3399ff;"> Anthropic </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語言模型 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Claude 3.5 Sonnet問世了，評測表現勝過GPT-4o</strong></span></p> <p>Anthropic日前發表了新款大型語言模型Claude 3.5 Sonnet，是Claude系列的中階模型，但表現和效率都超越Claude 3.0的高階模型Opus，在大多數的評測上也勝過OpenAI今年5月推出的GPT-4o。進一步來說，Claude 3.5 Sonnet的執行速度是Claude 3 Opus的兩倍，Anthropic自己也以自然語言指令，要求不同模型修補開源程式碼臭蟲或新增功能，發現Claude 3.5 Sonnet解決了64%的問題，超越Claude 3 Opus的38%。</p> <p>在提供指示與相關工具後，Claude 3.5 Sonnet得以獨立撰寫、編輯與執行程式碼，可執行複雜的推論及故障排除能力，輕鬆處理程式碼的轉換，能更有效率更新老舊應用程式並遷移程式碼庫。Claude 3.5 Sonnet不僅在所有基準評測上勝過Claude 3 Opus，它在GPQA、HumanEval、MGSM、DROP、BIG-Bench-Hard或是與視覺有關的MathVista、AI2D、Relaxed accuracy及ANLS score等評測上也超越了GPT-4o，只有在MMLU、MATH及MMMU上略遜GPT-4o。<a href="https://www.anthropic.com/news/claude-3-5-sonnet">（詳全文）</a></p> <p><img alt="" src="https://www.anthropic.com/_next/image?url=https%3A%2F%2Fwww-cdn.anthropic.com%2Fimages%2F4zrzovbb%2Fwebsite%2Fcf2c754458e9102b7334731fb18a965bfeb7ad08-2200x1894.png&w=3840&q=75" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> EVI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Hume AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 情緒辨識 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Hume AI推出懂53種情緒的iOS App：EVI</strong></span></p> <p>最近，Hume AI上架一款號稱讀懂人類情緒的<a href="https://apps.apple.com/us/app/hume-your-personal-ai/id6502917807?ign-itscg=30200&ign-itsct=apps_box_link">iOS應用程式EVI</a>，由Anthropic最新的語言模型Claude 3.5 Sonnet驅動。特別的是，EVI背後的同理心大語言模型可解讀語調、強調字眼和非口語的暗示，來優化互動體驗。EVI可理解53種人類情緒，如開心、生氣、困惑、欺騙等。至於EVI採用的聲音模型Kora，則能以API方式提供給開發者，目前也支援Anthropic、OpenAI和開源語言模型，預計之後很快就會納入Google模型。開發者可以建立他們的應用程式，並加入EVI的Discord來獲得更新資訊。</p> <p>EVI的情緒理解能力，是來自Hume AI對非話語的情緒性語音研究成果，這類語音是指透露情緒的語助詞，或單純是透露情緒的發聲詞。為訓練EVI的情緒理解模型，Hume AI收集了來自1萬6千多人共數千個語音片段檔案，橫跨美國、中國、印度、南非和委內瑞拉。Hume AI表示，未來，他們打算擴展EVI能力，增添全球通用的臉部表情辨識能力。<a href="https://twitter.com/hume_ai/status/1803854136389308495?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1803854136389308495%7Ctwgr%5Ea2eac1e0e6c3b81eb70a5e7334075fc47ef4dd04%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fhume-ai-launches-evi-an-emotionally-intelligent-voice-ai-as-ios-app-powered-by-claude-3-5-sonnet%2F">（詳全文）</a></p> <p><img alt="" src="https://is1-ssl.mzstatic.com/image/thumb/PurpleSource221/v4/bf/7a/11/bf7a11c9-2aac-7f8b-67a9-1bb2b48c4453/cb20bc31-b049-4d47-9282-f23d5ec454c1_iPhone_6.7_-_1290_x_2796_-_01.jpg/460x0w.webp" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Databricks </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI治理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Unity Catalog </span></strong></span></p> <p><span style="font-size:22px;"><strong>Databricks揭露一款資料與AI治理工具，採開放API和通用介面</strong></span></p> <p>Databricks最近宣布，將於今年第3季發表一款統一、可跨雲和資料平臺的資料與AI治理解決方案Unity Catalog OSS預覽版。Databricks希望藉該工具，來建立AI治理可互通的開放標準。</p> <p>這款Unity Catalog OSS提供通用介面，可支援多種資料各式和運算引擎，還能統一治理表格類資料、非結構化資料、機器學習模型等AI資產。在AI治理部分，這款工具可自動監控模型、診斷錯誤並維護資料和模型品質。該工具也會主動發出警報、自動偵測個人識別資訊（PII）資料、追蹤模型是否漂移，並能解決資料和AI工作流程中的問題。透過開放API和Apache 2.0授權，使用者可免於被廠商綁死，不過，AWS、Google Cloud、微軟、Salesforce、Confluent、dbt Labs、Immuta等多家業者都表示支援Unity Catalog OSS，認為此舉為使用者帶來更大的彈性，還與開源生態系原則相符。<a href="https://code.visualstudio.com/updates/v1_59#_terminal">（詳全文）</a></p> <p><img alt="" src="https://www.databricks.com/en-website-assets/static/32739bd7ae2933506839e61ca82fd214/22724.png" /></p> <p>圖片來源／Meta、Mohamed Baioumy、Luma AI、Anthropic、Hume AI、Databricks</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://www.ithome.com.tw/news/163576">資安院首度發表AI打詐技術，詐騙廣告偵測率超過九成</a></strong></p> <p><strong>2. 前OpenAI首席科學家Ilya Sutskever成立新公司，瞄準AI安全性</strong></p> <p><strong>3. Pixel 8、Pixel 8a終於也有Gemini Nano了</strong></p> <p>資料來源：iThome整理，2024年6月</p> </div></div></div>
2024/6/25 14:37作者王若樸https://www.ithome.com.tw/news/163639
傳聞Amazon也在打造消費者版的聊天機器人Metis
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/amazon-chatgpt-rival-codenamed-metis-2024-6" target="_blank">Business Insider</a>引述消息來源報導，Amazon正在打造適用於一般消費者的聊天機器人，內部代號為Metis，以與OpenAI的ChatGPT競爭。</p> <p>根據報導，Metis所使用的底層模型為比<a href="https://www.ithome.com.tw/news/156411" target="_blank">Titan</a>還強大的Olympus，採用檢索增強生成（Retrieval-Augmented Generation，RAG）技術，而且可同時提供文字及圖像解答，使用者則可透過瀏覽器存取Metis。</p> <p>此外，Amazon期望Metis可扮演AI代理人的角色，藉由其理解、學習及分析大量資料的能力，自動替使用者執行複雜任務，例如金融分析等。</p> <p>據稱Amazon也在整合Metis及數位語音助理Alexa的能力。可以想見的是，當不管是蘋果Siri或是Amazon Alexa都具備強大模型支援時，人們與AI聊天機器人的關係將會更趨緊密。</p> <p>Amazon已於日前推出專供企業使用的聊天機器人<a href="https://www.ithome.com.tw/news/162610" target="_blank">Amazon Q</a>，它有Amazon Q Business及Amazon Q Developer兩種版本，前者可組織企業所使用的各種資料庫以提供精確解答，後者則額外具備開發者能力，每月訂閱費用分別是20美元及25美元。</p> </div></div></div>
2024/6/25 15:06作者陳曉莉https://www.ithome.com.tw/news/163640
微軟Windows安全更新將加入Visual Studio
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從8月起，微軟要讓每月一次的Windows更新強化更多產品，而不再只修補Windows的安全和功能問題。</p> <p>Windows Update是微軟定期發布的軟體更新管道，旨在解決Windows的安全漏洞或功能瑕疵。<a href="https://aka.ms/vs/muupdates" target="_blank">微軟宣布</a>二個月後，由Windows Update發布的Patch Tuesday將加入Visual Studio的軟體更新。</p> <p><a href="https://www.windowslatest.com/2024/06/23/windows-update-will-include-more-microsoft-products-including-visual-studio/" target="_blank">Windows Latest</a>報導，事實上，Windows Update發布的軟體更新也包含微軟其他產品如Office，但名稱改為Microsoft Update。用戶必須自行加入（opt-in）手動設定。方法是到Windows Update，找到「進階選項」>「接收其他微軟產品更新」。開啟這滑桿後，就可以自動接收其他微軟軟體更新。8月起，Microsoft Update（MU）就會加入Visual Studio安全更新。</p> <p>微軟表示，MU設計目的是自動於背景執行，不打擾用戶作業。微軟鼓勵用戶加入這項功能，以確保軟體的安全以及更新。MU會部署給微軟長期服務通道（Long-Term Servicing Channel，LTSC）的支援Visual Studio版本，包括Visual Studio 2022、Visual Studio 2019、和Visual Studio 2017，但不包含Visual Studio預覽版。</p> <p>不過這設定能力只提供給用戶有MU手動控制權的電腦，像是開發人員家中的電腦。如果看到「接收其他微軟產品更新」一區是灰色的，表示公司IT部門關掉了這個選項。</p> <p>若是用戶開啟了MU，但又不想更新Visual Studio，則可以輸入微軟提供的機碼（如下）排除之。</p> <pre> [HKLM\Software\Policies\Microsoft\VisualStudio\Setup] “VSthroughMUUpdatesOptOut” (REG_DWORD) = 1</pre><p>微軟解釋，雖然理解許多用戶希望Windows Update能自動更新所有微軟產品，但是他們相信一部份Visual Studio用戶希望擁有應用層的更新控制權，因而提供了選擇退出（opt-out）的選項。</p> <p>微軟將在6月及7月透過MU發布Visual Studio 2024更新套件的預覽版，已手動加入MU的用戶現在就可以先試用。不過用戶試用還是得再手動輸入機碼（如下），但8月正式釋出後就會自動更新，不需再動作了。更新紀錄也會顯示於MU中。若用戶的版本已是最新版本，MU也不會再部署Visual Studio了。</p> <pre> [HKLM\Software\Policies\Microsoft\VisualStudio\Setup] “PreviewAutomaticUpdates” (REG_DWORD) = 1</pre> </div></div></div>
2024/6/25 11:58作者林妍溱https://www.ithome.com.tw/news/163636
歐盟初步認定蘋果的開發者規定違反DMA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_24_3433" target="_blank">周一（6/24）指出</a>，它們初步認定蘋果App Store的開發者規定違反了《數位市場法》（Digital Markets Act，DMA），同一天也宣布將針對蘋果的核心技術費（Core Technology Fee）展開新的調查。</p> <p>《數位市場法》現階段指定Alphabet、Amazon、蘋果、字節跳動（ByteDance）、Meta、微軟（Microsoft）與Booking為數位市場的守門人，要求它們旗下的24個核心平臺服務必須符合規範，以免妨礙市場競爭，除了在今年5月新增的Booking之外，所有服務都必須在今年3月7日起遵循DMA的規範。</p> <p>EC在今年3月即針對蘋果、Alphabet/Google和Meta<a href="https://www.ithome.com.tw/news/161946" target="_blank">展開調查</a>，本周初步認定蘋果違反DMA。根據DMA的規定，透過蘋果App Store銷售行動程式的開發者，應該能夠自由告知客戶有其它更便宜的購買選項，同時引導用戶取得這些選項並進行購買。</p> <p>然而，調查卻發現，App Store沒有任何商業條款允許開發者自由地引導消費者，例如不能在應用程式內提供價格資訊，也沒有其它能與用戶溝通以推廣其它優惠購買管道的途徑；App Store中多數可用的商業條款只允許開發者提供連結，卻又對連結施加多項限制；儘管蘋果向藉由App Store獲得新客戶的開發者收費是合理的，但EC認為蘋果所收取的費用超過合理範圍。</p> <p>EC已將初步調查結果交予蘋果，允許蘋果替自己辯護，而最終確認違規的部分則必須在明年的3月25日以前遵循，否則最高可能會被處以年營收10%的罰款，累犯的罰款規模更可達20%。</p> <p>至於EC針對蘋果所啟動的新調查則涉及核心技術費、於iPhone上下載第三方行動程式市集的程序，以及得以於iPhone上提供第三方程式市集的開發者資格認定等。</p> <p>EC指出，蘋果要求第三方應用程式商店與開發者必須替使用者所安裝的每個程式支付0.5歐元的核心技術費，它們將調查此一費用結構是否符合DMA的規範；而蘋果在使用者於iPhone上下載及安裝第三方程式市集時，建立了許多步驟，將調查這些步驟是否過於繁瑣；以及蘋果對可提供第三方程式市集的開發者資格認定，是否過於嚴苛或違反DMA的規範。</p> </div></div></div>
2024/6/25 12:11作者陳曉莉https://www.ithome.com.tw/news/163637