iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 15篇
近 24 小時: 36篇
近 7 天: 133篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 11:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 133 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【iThome 2024 CIO大調查系列2】生成式AI創新潮吹進各產業
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1188-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=0C58rT3H" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年，隨著生成式技術和工具的成熟，近2成臺灣大型企業開始受到衝擊，尤其是醫療、政府機構和服務業最迫切想用，3成5企業開始導入和實驗不同應用，還有3成企業展開計畫也準備搶進這股GAI應用新浪潮</p> </div></div></div>
2024/7/2 10:15未署名https://www.ithome.com.tw/article/163696
臺灣繁中LLM另一里程碑！Project TAME以5,000億個Token訓練而成並開源釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（7/1），長春集團、和碩聯合科技、長庚醫院、欣興電子、科技報橘和專攻法律AI的律果科技，與臺大資工系、臺大資管系就聯手揭露臺灣繁中大型語言模型（LLM）計畫TAiwan Mixture of Experts（簡稱Project TAME），以70億參數的開源模型Llama-3 70B為基礎，使用5,000億個Token和Nvidia開發者計畫技術訓練而成，具備石化、電子製造、醫療、媒體內容和法律等在地專業知識。Project TAME目前於GitHub上開源，團隊希望藉此拋磚引玉、吸引更多產業夥伴加入，來形塑臺灣產業專用AI應用生態系。</p> <p><span style="font-size:24px;"><strong>今年初發起計畫，3階段打造這款繁中LLM</strong></span></p> <p>早在今年1月，這些參與者就發起Project TAME，要打造繁中LLM。目前坊間雖有不少強大的LLM，如GPT系列、Claude系列、Llama系列模型等，但Project TAME主要開發者臺大資工系博士班候選人林彥廷表示，對本土企業和組織而言，仍需要表現穩定的繁中LLM才行。</p> <p>於是，這些本土企業聯手臺大，要打造這個繁中優化的模型TAME。該模型經3大階段訓練而成，包括利用臺灣本土資料進行連續預訓練，再來是生成多輪AI對話資料、進行微調，最後是模型與使用者真實互動，透過使用者回饋來微調模型。</p> <p>但光是第一階段，團隊就面臨2大難題：本土訓練資料來源，以及各領域專家確認資料來源與品質。為解決這個問題，他們採用聚集各領域專家、提供相關資料的模式，來因應資料不足的挑戰。而這些資料來源，包括了占所有訓練資料三分之一的合成資料（如合成教科書內容等），約1,000億Token左右，以及其他來自媒體、石化、法律、醫療、化工、製造業製程、遊戲等資料，包括來自網頁、社群平臺、資料庫、書籍、程式碼等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-07-01%20175631.png" /></p> <p>接著，在技術部分，團隊訓練的基礎模型有兩種，包括Meta的80億參數模型Llama-3 8B和700億參數Llama-3 70B，採用Nvidia NeMo、Nvidia NeMo Megatron兩種訓練框架，以及3D平行化、DeepSpeed Zero網路通訊優化器和Flash Attention等加速方法與工具，來訓練TAME模型。在推論部分，他們採用Nvidia TensorRT-LLM框架執行，另使用Nvidia建置的Taipei-1超級電腦（搭載DGX H100）算力來驅動模型訓練與推論。</p> <p>讓模型飽讀詩書、具備繁中基礎知識後，接下來就進入第二階段：監督式微調。在這階段，首先會從資料中取出提示，模型會根據提示來自我對話、生成多輪對話，最後根據這些對話資料來進行監督式微調。這些對話資料涵蓋了通用型和知識密集型資料。</p> <p>完成對話微調後，再來就是最後一階段，也就是透過模型與真人互動，來根據人類回饋微調模型，確保模型產出與人類偏好一致。為此，團隊也<a href="https://arena.twllm.com/">繁中LLM競技場</a>添加TAME，讓民眾在平臺上提問，並根據2個模型給出的回答，來評估模型表現。透過這種方式，就能進一步改善TAME模型的不足之處。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-07-01%20182915(1).png" /></p> <p><span style="font-size:24px;"><strong>在地文化理解力、專業知識能力實測皆第一</strong></span></p> <p>完成3階段的訓練後，接著，團隊利用標準化測試題目，來評估Project TAME模型表現。</p> <p>首先是包含各種本土考試科目的語義理解基準測試TMLU，不只有國高中文科、數理化等考題，還有教師資格、領隊、駕駛等考題。經測試，Project TAME的平均分數為71.3%，與Claude 3的73.6相差無幾，還勝過GPT-4、Gemini、Llama 3等模型。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-07-01%20175417.png" /></p> <p>再來，Project TAME模型還具備在地文化知識，能根據在地文化提示（如網友戲稱哪一項早餐店的產品有通腸效果）給出正確回答，正確率是所有評測模型中的最高的，達79.4。</p> <p>特別的是，Project TAME還在臺灣律師考試的選擇題部分拿下好成績，總共209題中拿下60.8分，一樣是所有測試模型中的最高分（如下圖），意味著TAME具備臺灣法律知識，比Claude-3（60.3）、GPT-4o（53.6）、TAIDE 8B（37.8）等模型還要厲害。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-07-01%20174941.png" /></p> <p><span style="font-size:24px;"><strong>Project TAME正式對外開源，不少領域已有初步應用</strong></span></p> <p>目前，<a href="https://github.com/MiuLab/Taiwan-LLM">Project TAME已正式開源，企業可免費下載使用</a>，民眾<a href="https://www.twllm.com">也能至模型聊天頁面測試</a>。另有亞太智能機器（APMIC）整合Project TAME，<a href="http://techorange.com/tame">提供聊天機器人測試頁</a>供使用者測試。</p> <p>林彥廷表示，為降低企業部署門檻，未來Project TAME可能朝混合專家模型（MoE）形式發展。因為，MoE由好幾個專家模型組成，可想像為各有各的擅長領域，因此相較於同參數量的傳統LLM，MoE可以其中一個或多個專家來回答問題，以較經濟的方式使用運算資源，進而降低模型推論成本。</p> <p>另一方面，根據團隊說明，Project TAME 700億參數模型符合企業導入的低成本需求，估算只需1,600萬臺幣、短短3.5小時（模型迭代一次）就能利用企業內部資料訓練模型，大幅降低導入成本和時間，可優化企業在運營管理、人員訓練、產品服務、客服等AI應用。</p> <p>在實際應用上，則涵蓋了電子製造、石化、醫療、法律和媒體等領域。以長春集團為例，他們就應用TAME於自家助理iGenie，搭配RAG資料庫，可正確使用繁體字回答公安問題，還能將不同語言、格式的物質安全資料表（SDS），正確轉換為中文版本，預計每年可節省330萬元的委外翻譯費用。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-07-01%20174852.png" /></p> <p>此外，長春集團也將TAME用於自家Email服務，如新建摘要、內容提示等，也用於會議逐字稿與摘要生成。</p> <p>長春集團資訊中心資深協理黃至善表示，希望TAME更精進，未來可用於原物料價格預測、企業戰情中心資訊分析和機器人大腦等3大領域。進一步來說，就價格預測而言，長春集團起初以回歸或時間序列模型測試，發現效果不好。</p> <p>後來ChatGPT這類LLM興起，他們開始投入研究，其做法是先向LLM（使用GPT-4o）詢問價格預測的指標，接著再詢問LLM，這些指標出現在哪些網頁、能否寫支爬蟲程式，來協助抓取指標資料。有了資料，最後再詢問LLM可用哪種模型來執行預測並寫一支預測程式，在得到LLM給出的Transformer程式後，團隊將指標資料輸入模型，得出的價格預測準確度可達7成，比過往方法有效。不過，他們也分析預測不準確之處，考慮多添加重要新聞，來強化模型表現。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-07-01%20174909.png" /></p> <p>就戰情中心來說，長春集團資訊中心將過去2年、去識別化的內部銷售資料與財務資料，再加上外部的關鍵經濟指標，來讓ChatGPT分析。他們很驚訝地發現，LLM可給出人類分析師沒注意的洞見，因此可呈現在戰情中心儀表板，結合其他資訊和互動式設計，來提供另一種資訊分析服務。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-07-01%20174927.png" /></p> <p>在機器人部分，長春集團希望打造通用的實體機器人，可在石化業危險場域代替真人作業。他們也與臺大合作，以LLM作為機器人大腦，透過自然語言指令來執行任務，如巡檢、倉儲物流等，預計明年會有進一步成果。</p> <p></p> </div></div></div>
2024/7/1 18:01作者王若樸https://www.ithome.com.tw/news/163730
【資安日報】7月1日，遠端桌面連線解決方案業者TeamViewer傳出遭俄羅斯駭客APT29入侵，該公司強調旗下產品未…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週最為駭人的新聞，莫過於有超過10萬網站採用的瀏覽器相容性程式庫polyfill傳出供應鏈攻擊，但上週也有另一起資安事故相當值得留意，那就是知名的遠端桌面連線解決方案業者TeamViewer遇害的消息。</p> <p>他們在週末公布了初步調查的結果，指出攻擊者是俄羅斯駭客APT29，並強調他們旗下的產品與公司內部環境互相隔離，目前尚未發現遭到入侵的跡象。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163714"><strong style="font-size: 22px;">TeamViewer疑遭俄羅斯駭客駭入，但強調產品未受影響</strong></a></p> <p>知名遠端桌面程式供應商TeamViewer公告疑似遭到俄羅斯駭客駭入公司網路，但強調客戶資料和產品未被駭客存取。TeamViewer安全部門於6月26日偵測到內部IT環境有不正常活動，一名員工帳號遭到未經授權人士存取，立即回應阻止並和外部專家啟動調查，並實施補正措施。周五TeamViewer公布初步調查結果。證據顯示，這起事件可能和名為APT 29（或稱為Midnight Blizzard）的俄羅斯駭客有關。</p> <p>但TeamViewer表示，公司內部IT環境、產品環境和TeamViewer的連線平臺是相互隔離的，旨在防範未授權存取和不同環境間的橫向移動，且該公司採取多層次的縱深防護策略。TeamViewer指出，沒有證據顯示其產品環境或客戶資料受到影響。但該公司強調會持續調查。</p> <p><a href="https://www.ithome.com.tw/news/163713"><strong style="font-size: 22px;">南韓電信商KT被控在用戶電腦植入惡意程式，該公司宣稱是為了限制檔案分享流量</strong></a></p> <p>根據韓國媒體JTBC報導，當地電信業者KT（KT Corp）被控在60萬用戶電腦中植入惡意程式，以限制用戶利用其網路進行P2P網路檔案分享行為。該公司在4年前被指控在用戶電腦植入惡意程式，當地警方上月針對此事進行最新一波調查行動，並由媒體近日報導而曝光。</p> <p>這起事故爆發的原因，在於2020年韓國BitTorrent檔案分享服務業者WebHard的用戶，在論壇反映無法使用服務及檔案消失等異狀。這些用戶使用其他網際網路服務都沒有問題，但無法和別人點對點（P2P）分享檔案。經過資安業者調查發現，這些電腦都被駭客攻擊並安裝惡意程式，該程式在用戶電腦上建立陌生資料夾或隱藏文件、檔案，導致用戶無從分享檔案，有人電腦甚至因此當機，他們的共通點皆為KT用戶。</p> <p>根據當地媒體報導，這起「攻擊」持續了5個月，Web Hard公司估計，每天有2萬台PC遭到感染，一個月下來約有60萬用戶受害。對此KT聲稱，WebHard本身就是非法行為，他們不得已才祭出限制流量的手法。但為何透過駭客行為於客戶電腦植入惡意軟體，KT並未做出說明。</p> <p><a href="https://www.ithome.com.tw/news/163727"><strong style="font-size: 22px;">國家級駭客近3個月發動大規模網釣攻擊行動，對方鎖定超過十種類型產業的高階主管為主要目標，超過4萬人受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/LegalQloud_BPgDtb24HQ.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LegalQloud_BPgDtb24HQ.png" style="width: 300px; float: right;" /></a>專精於上網安全的資安業者Menlo Security揭露3起由國家級駭客發起的網路釣魚攻擊行動LegalQloud、Eqooqp、Boomer，這些事故在近3個月裡，造成超過4萬名使用者受害，當中包含了重要銀行機構、保險業界龍頭、法律公司、政府機關、醫療照護機構的高階主管。</p> <p>針對這樣的現象，研究人員指出，他們看到這種國家級駭客的網路攻擊行動與日遽增，如今已影響至少超過三分之一美國民眾，而且，這些攻擊的規模及複雜程度都不斷增加，其共通點在於，駭客鎖定瀏覽器而來，並不斷調整戰術，使得現有的上網安全管制機制，例如：上網安全閘道（SWG）、安全服務邊界（SSE），難以遏止相關攻擊行動。</p> <p>針對這3起攻擊行動，該資安業者也點出了其規模及態勢。他們發現駭客利用超過3千個網域，並針對政府機關及10個以上的產業而來其中，駭客發送的大量惡意連結當中，使用者被引誘而點選連入的比例高達60％，但他們也提及，其中有四分之一的網址，無法透過URL過濾機制察覺有害。</p> <p><a href="https://www.ithome.com.tw/news/163723"><strong style="font-size: 22px;">查看軟體開發人員職缺資訊要小心！研究人員揭露間諜軟體MerkSpy攻擊行動，駭客散播可濫用已知MSHTML漏洞Word檔作為網路釣魚誘餌</strong></a></p> <p>2021年9月被揭露、駭客曾大肆利用的MSHTML零時差漏洞CVE-2021-40444，如今傳出有人再度利用這項漏洞，將其用來散布惡意程式。</p> <p>資安業者Fortinet揭露近期利用這項漏洞的攻擊行動，主要針對北美和印度而來。對方先是透過內含軟體開發人員職缺的工作說明Word檔案，一旦使用者開啟，就有可能觸發CVE-2021-40444，從而向遠端伺服器取得有效酬載olerender.html。但究竟駭客如何散布上述惡意Word檔案，研究人員並未說明。</p> <p>一旦啟動，這個HTML檔案便會檢查受害電腦的作業系統組態，並解開嵌入的Shell Code，然後擷取Windows作業系統的API「VirtualProtect」和「CreateThread」，從而在受害電腦植入間諜軟體MerkSpy，並能在系統內秘密運作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/f/water-sigbin-xmrig.html"><strong style="font-size: 20px;">駭客組織8220鎖定Oracle WebLogic伺服器已知漏洞而來，透過PowerShell指令碼散布挖礦軟體</strong></a></p> <p></p> <p>◆<a href="https://www.cisa.gov/news-events/alerts/2024/06/26/cisa-adds-three-known-exploited-vulnerabilities-catalog"><strong style="font-size: 20px;">CISA針對地理位置資訊伺服器GeoServer、Linux核心、郵件伺服器Roundcube遭到利用的漏洞提出警告</strong></a></p> <p></p> <p>◆<a href="http://www.greynoise.io/blog/perma-vuln-d-link-dir-859-cve-2024-0769"><strong style="font-size: 20px;">今年初公布的D-Link無線路由器DIR-859重大層級資訊洩漏漏洞傳出遭到利用，駭客用來收集裝置的帳密資訊</strong></a></p> <p></p> <p>◆<a href="https://www.esentire.com/blog/fake-it-support-website-leading-to-vidar-infection"><strong style="font-size: 20px;">冒牌IT技術支援網站假借提供PowerShell指令碼「修補」Windows臭蟲，並透過YouTube頻道散布</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163728"><strong style="font-size: 22px;">GitLab存在重大漏洞，攻擊者可冒用任意用戶身分執行Pipeline工作流程</strong></a></p> <p>6月26日GitLab針對社群版（CE）及企業版（EE）發布重大修補更新17.1.1、17.0.3、16.11.5版，總共修補14個漏洞，其中最值得留意的部分，是列為重大層級的CVE-2024-5655，CVSS風險評為9.6分。</p> <p>這項漏洞影響15.8至16.11.4、17.0.0 至17.0.2，以及17.1.0至17.1.0版，無論CE或EE版都會受到影響。開發團隊指出，一旦攻擊者觸發漏洞，就可能在特定情況下，以其他使用者的身分存取Pipeline工作流程。</p> <p>雖然目前此漏洞尚未出現遭到利用的跡象，但有鑑於資安問題極為嚴重，開發團隊呼籲使用者應儘速套用新版程式。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="http://supportportal.juniper.net/s/article/2024-06-Out-Of-Cycle-Security-Bulletin-Session-Smart-Router-SSR-On-redundant-router-deployments-API-authentication-can-be-bypassed-CVE-2024-2973"><strong style="font-size: 20px;">Juniper Networks緊急修補重大層級身分驗證繞過漏洞CVE-2024-2973</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163669"><strong style="font-size: 22px;">推動零信任架構加速資安轉型，臺北市府今年內釋出AI使用規範</strong></a></p> <p>「至少在我任期內，臺北市政府正轉型朝向實踐零信任的政府機關」，臺北市政府資訊局長趙式隆一語道出，臺北市正推動資安轉型。趙式隆以零信任作為分水嶺，他將零信任之前視為舊資安，而在零信任之後則是新資安，過去北市在舊資安已打下良好基礎，然而面對層出不窮的風險，臺北市為強化資安，近幾年積極推動資安轉型至新資安。</p> <p>臺北市一方面規畫配合中央政府的政策推動零信任架構，另方面也與時俱進，與外部業者合作，汲取國外的新觀念及作法，例如臺北市與Cisco在資安方面簽署合作備忘錄，將國外的觀念作法引進國內，針對國內的環境、法規架構，先進行POC測試，評估是否適合引進國內，作為後續擴大投資參考。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163709"><strong>【6月28日】前幾天Polyfill.io供應鏈攻擊事件曝光震撼整個IT界，後續傳出中國CDN業者另起爐灶，再度對10萬網站下手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163687"><strong>【6月27日】舊版瀏覽器網站相容套件Polyfill.io被中國公司買下，驚傳被植入惡意程式碼，恐影響逾10萬網站</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163663"><strong>【6月26日】惡意軟體沙箱服務業者Any.Run遭到網釣攻擊，所有員工收到內部人員寄來的釣魚信</strong></a></p> </div></div></div>
2024/7/1 18:07作者周峻佑https://www.ithome.com.tw/news/163731
查看軟體開發人員職缺資訊作要小心！研究人員揭露間諜軟體MerkSpy攻擊行動，駭客散播可濫用已知MSHTML漏洞Wor…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2021年9月被揭露、駭客曾大肆利用的<a href="https://www.ithome.com.tw/news/146913">MSHTML零時差漏洞CVE-2021-40444</a>，如今傳出有人再度利用這項漏洞，將其用來散布惡意程式。</p> <p>這項漏洞發生的原因，在於Internet Explorer（IE）瀏覽器排版引擎MSHTML存在可被利用的漏洞，使得攻擊者能引誘使用者開啟特定Office檔案，從而遠端控制電腦並執行任意程式碼，CVSS風險評分為8.8，當時多家資安業者都發現利用相關攻擊行動，而使得這項漏洞受到各界關注，但事隔3年，如今又傳出漏洞利用攻擊事故。</p> <p>資安業者Fortinet揭露<a href="https://www.fortinet.com/blog/threat-research/merkspy-exploiting-cve-2021-40444-to-infiltrate-systems">近期利用這項漏洞的攻擊行動</a>，主要針對北美和印度而來。對方先是透過內含軟體開發人員職缺的工作說明Word檔案，一旦使用者開啟，就有可能觸發CVE-2021-40444，從而向遠端伺服器取得有效酬載olerender.html。但究竟駭客如何散布上述惡意Word檔案，研究人員並未說明。</p> <p>研究人員提及，駭客精心設計這個HTML檔案，為了埋藏攻擊意圖，他們在檔案開頭填滿無害的指令碼，並在文件結尾隱藏Shell Code及注入的處理程序。</p> <p>一旦啟動，這個HTML檔案便會檢查受害電腦的作業系統組態，並解開嵌入的Shell Code，然後擷取Windows作業系統的API「VirtualProtect」和「CreateThread」。</p> <p>這些駭客先是利用VirtualProtect竄改記憶體的權限，將Shell Code寫入記憶體，接著透過CreateThread來執行。研究人員指出，對方這麼做是為了確保惡意程式碼能順利執行。</p> <p>而這個Shell Code的主要功能，是充當惡意程式下載工具，從遠端伺服器下載佯裝成Google軟體更新的惡意程式，然後對其進行解碼並執行其中的有效酬載。而這個惡意程式經過深度的編碼處理，能夠成功地躲避標準的安全防護功能。</p> <p>經由上述過程植入受害電腦的有效酬載，受到VMProtect保護，並將間諜軟體MerkSpy注入系統處理程序，而能在系統內秘密運作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/merkspy-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/merkspy-1.png" style="width: 580px;" /></a></p> <p>值得留意的是，駭客也將MerkSpy偽裝成Google軟體更新工具，並在開機預設執行的程序當中，植入名為Google Update的項目，以便在電腦啟動時載入，而能在受害者不知情的情況下持續運作。</p> <p>而MerkSpy的主要功能，包括拍下螢幕截圖、側錄使用者鍵盤輸入的內容、搜刮Chrome存放的帳密資料，並存取MetaMask加密貨幣錢包的延伸套件，然後將相關資料傳送到攻擊者的伺服器。</p> </div></div></div>
2024/7/1 15:40作者周峻佑https://www.ithome.com.tw/news/163723
國家級駭客近3個月發動大規模網釣攻擊行動，對方以十多個產業高階主管為主要目標，超過4萬人受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專精於上網安全的資安業者Menlo Security揭露3起由國家級駭客發起的網路釣魚攻擊行動LegalQloud、Eqooqp、Boomer，<a href="https://www.menlosecurity.com/press-releases/menlo-security-exposes-three-new-nation-state-campaigns">這些事故在近3個月裡，造成超過4萬名使用者受害</a>，當中包含了重要銀行機構、保險業界龍頭、法律公司、政府機關、醫療照護機構的高階主管。</p> <p>針對這樣的現象，研究人員指出，他們看到這種國家級駭客的網路攻擊行動與日遽增，如今已影響至少超過三分之一美國民眾，而且，這些攻擊的規模及複雜程度都不斷增加，其共通點在於，駭客鎖定瀏覽器而來，並不斷調整戰術，使得現有的上網安全管制機制，例如：上網安全閘道（SWG）、安全服務邊界（SSE），難以遏止相關攻擊行動。</p> <p>針對這3起攻擊行動，該資安業者也點出了其規模及態勢。他們發現駭客利用超過3千個網域，並針對政府機關及10個以上的產業而來。其中，駭客每發送的10個惡意連結當中，就有6個會遇到使用者上當點選的情況，但他們也提及，其中有四分之一的網址，無法透過URL過濾機制察覺有害。</p> <p>針對其中一起名為LegalQloud的攻擊行動，攻擊者偽裝成合法的公司行號，主要目標是竊得受害者的微軟帳號資料。而為了迴避偵測，這些駭客使用騰訊雲代管的主機，從而繞過上網過濾的存取控制列表。研究人員根據該廠牌的雲端遙測及開源威脅情報OSINT，確認至少有500家企業遭到駭客鎖定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/LegalQloud_BPgDtb24HQ.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LegalQloud_BPgDtb24HQ.png" style="width: 580px;" /></a></p> <p>這起攻擊行動的起點，主要是駭客透過電子郵件寄送惡意連結，一旦收信人點選，就會被帶往攻擊者控制的網域，對方引誘他們點選下載文件檔案的連結。</p> <p>若是使用者照做，對方就會將他們帶往含有所屬公司名稱的網域，引誘輸入微軟帳密資料，並從中進行側錄。</p> <p>另一起名為Eqooqp的攻擊行動，主要是針對政府機關、金融保險、製造業而來，但也有其他企業受害的情形。對方租用名為NakedPages的網釣工具包，從事對手中間人攻擊（AiTM），研究人員推測攻擊者的身分是DEV-1101（或Storm-1101）。</p> <p>駭客先是寄送含有HTML附件的電子郵件，此附件檔案內含JavaScript程式碼，一旦收信人開啟附件，電腦就會發出JSON格式的HTTP GET請求，對方便會引導受害者到惡意網站，藉由AiTM手法挾持他們的微軟帳號。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Eqooqp_wPsgbnI205.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Eqooqp_wPsgbnI205.png" style="width: 580px;" /></a></p> <p>最後一種攻擊行動Boomer，攻擊者主要的目標是政府機關及醫療照護機構，研究人員指出，對方採取相當先進的迴避手段，例如：採用自製的HTTP標頭、追蹤cookie、偵測機器人、加密程式碼，並且透過伺服器產生動態的釣魚網頁，並冒充微軟及Adobe來竊取相關帳號資料。</p> <p>這些駭客使用的釣魚網頁相當特別，駭客似乎套用相同的範本產生，且具備使用者預期的品牌商標，但沒有拼字或文法上的錯誤，而很容易讓人信以為真，依照指示輸入帳密資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Boomer_UJsz2CrcNP.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Boomer_UJsz2CrcNP.png" style="width: 580px;" /></a></p> <p>值得留意的是，當使用者試圖輸入資料進行互動，駭客的網頁應用程式會開啟動態對話框。對方在使用者輸入相關帳號資料送出，會顯示登入失敗的錯誤訊息，並在第3次宣稱帳號遭到鎖定，並將他們重新導向Google網站。</p> </div></div></div>
2024/7/1 17:29作者周峻佑https://www.ithome.com.tw/news/163727
GitLab存在重大漏洞，攻擊者可冒用任意用戶身分執行Pipeline工作流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月26日GitLab針對社群版（CE）及企業版（EE）<a href="https://about.gitlab.com/releases/2024/06/26/patch-release-gitlab-17-1-1-released/">發布重大修補更新17.1.1、17.0.3、16.11.5版</a>，總共修補14個漏洞，其中最值得留意的部分，是列為重大層級的<a href="https://about.gitlab.com/releases/2024/06/26/patch-release-gitlab-17-1-1-released/#run-pipelines-as-any-user">CVE-2024-5655</a>，CVSS風險評為9.6分。</p> <p>這項漏洞影響15.8至16.11.4、17.0.0 至17.0.2，以及17.1.0至17.1.0版，無論CE或EE版都會受到影響。開發團隊指出，一旦攻擊者觸發漏洞，就有機會在特定情況下以其他使用者的身分存取Pipeline工作流程。</p> <p>稍微值得慶幸的是，目前尚未出現遭到利用的跡象。但有鑑於這項漏洞極為嚴重，開發團隊還是呼籲使用者應儘速套用新版程式。</p> <p>但由於這項漏洞涉及Pipeline，開發團隊也指出更新後會出現兩項重大變更。</p> <p>其中一項是MR重新鎖定的工作流程會受到改變，以便在合併請求的時候，因先前的目標分支被合併而自動重新定位，導致含有這類流程的Pipeline可能會無法自動執行。使用者必須手動啟動Pipeline，才能讓持續整合（CI）執行相關變更。</p> <p>另一個則與身分驗證有關。透過CI_JOB_TOKEN進行的GraphQL身分驗證機制，在本次更新版本皆預設為停用，使用者若要存取GraphQL的API，必須指定其中一種Token進行驗證。</p> </div></div></div>
2024/7/1 17:58作者周峻佑https://www.ithome.com.tw/news/163728
Hugging Face第二屆LLM排行榜出爐，中國LLM表現出色
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>機器學習模型與資料集共享平臺<a href="https://huggingface.co/spaces/open-llm-leaderboard/blog" target="_blank">Hugging Face上周公布</a>第二屆的開源大型語言模型（LLM）排行榜，表現最佳的是由阿里巴巴所釋出的Qwen 2，且在前十名的LLM中，就有5個來自中國。</p> <p>Hugging Face主要使用六大測試基準，包括大規模的多工語言理解MMLU-Pro，知識問答GPQA，多步驟的軟性推理MuSR，啟發式數學MATH，指令遵循能力IFEval，以及具挑戰性的任務BBH等。</p> <p>而排名在前十大的開源LLM依序是阿里巴巴 Qwen 2 -72B，Meta Llama 3-70B，微軟Phi-3-Medium-4K-Instruct，零一萬物的Yi-1.5-34B，CohereForAI的c4ai-command-r-plus，Abacus.AI的Smaug-72B，Qwen 1.5-110B，Phi-3-Small-128K-Instruct，以及Yi-1.5-9B。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0701-hugging%20face-rank-600.png" style="width: 600px;" /></p> <p>在<a href="https://huggingface.co/spaces/open-llm-leaderboard/open_llm_leaderboard" target="_blank">完整的排行榜</a>中可以看到每個開源模型的平均表現，以及於不同基準測試中的表現，其中，Qwen 2 -72B在各項基準的平均表現為43.02，明顯凌駕第二名Meta Llama 3-70B的36.67。</p> <p>Hugging Face共同創辦人暨執行長Clement Delangue在結果出爐的當時<a href="https://x.com/ClementDelangue/status/1805989925080219927" target="_blank">表示</a>，該平臺總計使用了300個H100 GPU來測試市場上的開源LLM，不僅是由源自中國阿里巴巴的Qwen 2 -72B勝出，中國在開源LLM市場上也占據主導地位，此外，對最近更新的模型來說，過去的基準變更太容易了，如同高中生在解決國中生的問題一樣。</p> <p>Delangue還發現兩件有趣的事，一是打造模型的開發者愈來愈注重各種主要的測試基準，而忽略或犧牲了其它基準；其次則是越大的模型並不總是越聰明。</p> <p>不過，就在Google上周釋出開源的<a href="https://www.ithome.com.tw/news/163705" target="_blank">Gemma 2</a>之後，DeepMind的首席研究人員Armand Joulin便<a href="https://x.com/armandjoulin/status/1807397866152849867" target="_blank">宣布</a>，Gemma 2-27B已是市場上最好的開源模型。Gemma採用與Gemini同樣的研究及技術而打造，第二代提供了9B及27B兩種版本，Joulin宣稱就算Gemma 2-27B的模型規模比其它競爭對手小了2.5倍，卻已是最好的開源模型。</p> <p>另一方面，Large Model Systems Organization（lmsys.org）也<a href="https://x.com/lmsysorg/status/1807241279560171896/photo/1" target="_blank">呼應</a>了Joulin的說法，指出在Google釋出Gemma 2以來便開始蒐集開發者的測試意見，已有超過5,000名開發者認為Gemma 2-27B已勝過Meta Llama 3-70B，為市場上最好的開源模型，不過，lmsys.org的調查一來專注於聊天機器人領域，二來是由開發者進行比較與投票，與Hugging Face所採取的方式不同。</p> </div></div></div>
2024/7/1 14:31作者陳曉莉https://www.ithome.com.tw/news/163717
Chrome即將支援Unrestricted WebUSB功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Chrome團隊正在開發一項名為<a href="https://chromestatus.com/feature/5106506475503616" target="_blank">Unrestricted WebUSB</a>的新功能，將允許隔離的網頁程式存取原本被禁止存取的介面與裝置，計畫現身於Chrome 128。</p> <p>WebUSB是個JavaScript API規格，允許網頁應用程式與USB裝置進行通訊，例如印表機/掃描器、感應器或是開發板等，為了安全性，在任何通訊前除了必須明確取得使用者授權之外，它也列出了無法存取的介面及裝置黑名單，包括鍵盤、滑鼠、硬碟、隨身碟、路由器或是實體金鑰等。</p> <p>而新的Unrestricted WebUSB功能則可繞過相關的限制，允許可靠且隔離的網頁應用程式在取得使用者同意之後，存取上述的黑名單介面與裝置。</p> <p>Unrestricted WebUSB將隨著Chrome 128而出爐，Chrome 128的測試版預計於7月24日出爐，正式版則會在8月14日推出。</p> </div></div></div>
2024/7/1 14:50作者陳曉莉https://www.ithome.com.tw/news/163718
Quora的Poe聊天機器人可存取付費牆後的文章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wired.com/story/quora-chatbot-poe-download-paywalled-articles/" target="_blank">Wired上周踢爆</a>，知名問答平臺Quora在去年<a href="https://www.ithome.com.tw/news/155420" target="_blank">發表的聊天機器人Poe</a>可讓使用者存取付費牆後的文章，包括紐約時報、彭博社及404 Media等付費新聞網站。</p> <p>根據報導，只要在Poe上輸入任何具備付費牆之文章的URL，Poe就會回覆一個數百字的文章摘要，並有涵蓋上述的部分媒體品牌可回覆一個包含整篇文章的HTML文件，讓使用者直接從Poe的伺服器下載。不過，在Wired披露此事之後，Poe下載付費媒體完整內容的功能似乎已被移除。</p> <p>在被提醒可能侵犯版權之後，Quora向Wired解釋，Poe並沒有訓練自己的AI模型，但該平臺有一個功能，允許用戶提交一個URL供機器人查看，但機器人只能看到公開的網頁內容，很樂意與媒體合作來確保付費內容不會提供給Poe用戶。此外，Poe所提供的文件是根據使用者的指示建立的，其概念類似雲端儲存、稍後閱讀或網頁剪輯產品，Quora認為這些都符合著作權法。</p> <p>Quora的言下之意是這些呈現付費牆內容的模型都不是來自於該公司。事實上，Poe支援不同的模型，包括GPT-4、Claude 3 Opus、Mistral Large、Gemini 1.5 Pro 、DALL-E 3、SDXL或Playground等，並讓使用者可選擇或比較不同模型的結果。</p> </div></div></div>
2024/7/1 12:58作者陳曉莉https://www.ithome.com.tw/news/163716
Google Vertex AI平臺新增Grounding功能解決AI幻覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大語言模型最大問題之一是幻覺，而解決AI幻覺的方法之一是grounding。<a href="https://cloud.google.com/blog/products/ai-machine-learning/rag-and-grounding-on-vertex-ai/" target="_blank">Google上周宣布</a>Cloud AI平臺Vertex AI新增包括以Google搜尋、第三方資料、混合搜尋的grounding功能，以減少AI幻覺。</p> <p>Google Cloud Vertex AI 4月<a href="https://www.ithome.com.tw/news/162190" target="_blank">發表</a>Agent Builder時，包含擷取增強生成（retrieval augmented generation，RAG）可以Google搜尋為Gemini輸出結果grounding的能力，現在又再新增數項grounding功能供用戶選擇，包括以Google搜尋grounding的能力新增動態擷取（dynamic retrieval）、以高傳真模式grounding、以第三方資料集grounding，以及擴大向量搜尋（vector search），實現關鍵字和向量混合搜尋功能。</p> <p>首先，以Google搜尋為Gemini模型grounding時，Gemini會進行Google搜尋，利用相關搜尋結果，如事實來生成輸出，藉此達成grounding。Grounding是指提供LLM真實世界的例子或相關資料，使之與模型的抽象知識整合，達到貼近真實、減少幻覺的目的，進而提升LLM產出結果的品質。</p> <p>Google說，以這方法減少幻覺最大優點是簡單，但問題是使用Google搜尋grounding會增加運算成本，再者Gemini訓練夠紮實，不需每次查詢都grounding。因此，第二項方法中，Google將為Vertex AI加入動態擷取，讓Gemini動態選擇是否要動用Google搜尋，也可只使用模型既有知識，藉此平衡成本效益和回應品質。這功能很快會上線。</p> <p>RAG-based代理程式生成結果是整合模型內在知識和企業資料提供的情境（context），這在大多數應用場景是可行的，但有嚴格法規的產業，如金融服務業、健康和保險業卻要求模型根據給定的情境來生成回應。為此，在第三項功能中，Google Cloud已開始實驗Grounded Generation API的高傳真模式（high-fidelity mode）grounding。這功能使用經微調的Gemini 1.5 Flash模型，支援重要企業應用場景，像是為多篇文件摘錄重點或對一組財務資料擷取資料。減少資料幻覺，啟用高傳真模式時，答案中的句子都會附有來源，提供資料可信度，此外也會提供grounding的信心分數。</p> <p>第三，從下一季開始，Vertex AI將提供以專門領域第三方資料grounding的功能。這可讓企業為生成式AI代理程式整合外部資料，以推升生成結果的真實性。Google Cloud正在和權威的資料供應商，像是評級公司穆迪（Moody's）、MSCI（摩根士丹利資本編製的股價指數）、企業資料來源Zoominfo、Thomson Reuters等合作，將其資料整合到本項服務中。</p> <p>最後，針對具有內嵌（embedding）的應用場景，像是推薦系統、廣告發送與RAG語義搜尋等，Vertex AI擴充向量搜尋（vector search）以支援混合搜尋（hybrid search）。內嵌是指將詞語句子、圖片等複雜資料轉化為固定維度的數值向量的技術，以捕捉語義關係並用於自然語言處理任務。</p> <p>透過支援混合搜尋，Vertex AI可結合向量搜尋及關鍵字搜尋技巧，以提供相關及精準回應。現在該功能已進入公測。此外，Google也補充，Vertex AI最新的文字內嵌模型（text-embedding-004及text-multilingual-embedding-002）生成品質更超過前幾版。</p> </div></div></div>
2024/7/1 12:17作者林妍溱https://www.ithome.com.tw/news/163715
TeamViewer疑遭俄羅斯駭客駭入，但強調產品未受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名遠端桌面程式供應商<a href="https://www.teamviewer.com/en/resources/trust-center/statement/" target="_blank">TeamViewer公告疑</a>似遭到俄羅斯駭客駭入公司網路，但強調客戶資料和產品未被駭客存取。</p> <p>TeamViewer安全部門於上周三（6/26）偵測到內部IT環境有不正常活動，一名員工帳號遭到未經授權人士存取，立即回應阻止並和外部專家啟動調查，並實施補正措施。</p> <p>上周五，TeamViewer公布初步調查結果。證據顯示，這起事件可能和APT 29或微軟稱之為Midnight Blizzard的俄羅斯駭客有關。Midnight Blizzard正是2020年駭入IT管理軟體SolarWinds供應鏈的組織，藉由在其Windows DLL檔案植入後門，再透過SolarWinds軟體更新部署給其政府和企業用戶，以對用戶發動間諜攻擊。去年11月Midnight Blizzard利用密碼潑灑成功入侵微軟Exchange Online測試帳號，存取高層、法務及網路安全部門信件，今年再度攻擊微軟，3月<a href="https://www.ithome.com.tw/news/161703" target="_blank">該公司證實</a>，俄國駭客利用之前攻擊獲得的員工憑證，已經存取微軟內部系統和產品程式碼。</p> <p>但TeamViewer表示，公司內部IT環境、產品環境和TeamViewer的連線平臺是相互隔離的，旨在防範未授權存取和不同環境間的橫向移動，且該公司採取多層次的縱深防護策略。TeamViewer指出，沒有證據顯示其產品環境或客戶資料受到影響。但該公司強調會持續調查。</p> <p>TeamViewer是很受歡迎的遠端桌面程式及遠端裝置管理方案，因而也成駭客下手的偏好目標。2016年它就曾遭中國駭客<a href="https://www.ithome.com.tw/news/130782" target="_blank">入侵</a>並植入後門程式，但當時並未主動公布此事。去年10月安全研究人員<a href="https://www.ithome.com.tw/news/159425" target="_blank">揭露</a>，俄羅斯駭客Romcom發動攻擊，濫用TeamViewer以DLL側載（DLL Side-loading）手法，在受害電腦上執行RAT程式。</p> </div></div></div>
2024/7/1 11:28作者林妍溱https://www.ithome.com.tw/news/163714
檔案分享服務業者指控Korean Telecom在用戶電腦植入惡意程式，以限制檔案分享流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mnews.jtbc.co.kr/News/Article.aspx?news_id=NB12201880" target="_blank">南韓媒體報導</a>，南韓電信業者KT（Korean Telecom）在60萬用戶電腦中植入惡意程式，以限制用戶利用其網路進行P2P網路檔案分享行為。</p> <p>KT是在4年前被指控在用戶電腦植入惡意程式，南韓警方上月就此進行最新一波調查行動，並由媒體近日報導此事。</p> <p>2020年一家南韓BitTorrent檔案分享服務業者WebHard用戶，在論壇反映無法使用服務及檔案消失等異狀。這些用戶使用其他網際網路服務都沒有問題，但就是無法和別人點對點分享檔案。經過安全業者調查發現，這些用戶電腦都被駭客攻擊並安裝惡意程式，該程式在用戶電腦上建立陌生資料夾或隱藏文件、檔案，使用戶無從分享檔案，有人電腦甚至因此當機。</p> <p>所有發生這些問題的用戶另一共通點是皆為KT用戶。警方介入調查發現，這起駭客攻擊來源指向KT的一處資料中心，顯示是KT對使用WebHard服務的用戶電腦下載了限制服務的程式。</p> <p>根據媒體報導，這起「攻擊」持續了5個月，Web Hard公司估計，每天有2萬台PC遭到感染，一個月下來約60萬用戶受害，這家業者指控這是KT對其服務網路的駭入攻擊，但KT認為該BT服務本身就是一種非法行為，它不得已才祭出限制流量的手段。</p> <p><a href="https://torrentfreak.com/south-korean-isp-infected-torrenting-subscribers-with-malware-240625/" target="_blank">Torrentfreak網站解釋</a>，檔案分享在南韓仍然非常受歡迎。新聞中的檔案分享服務是以 BitTorrent協定的網格系統（Grid System）為基礎。由於此類服務流量非常占頻寬，因而引起ISP的注意，也常和這類業者發生衝突，但該公司宣稱透過減少用戶將檔案存在其伺服器，反而省了KT巨大成本。</p> <p>南韓警方去年去KT發動搜索和扣押，指控其違反該國通訊祕密保護法和資通訊網路法，並將13名KT員工及合作業者員工移送調查。<a href="https://tinyurl.com/2qsbcw29" target="_blank">媒體報導</a>，法院判決有利KT，因為Web Hard 公司並未支付KT網路使用費，也未向用戶明白解釋其網格服務的運作，KT封鎖該業者網路流量情有可原。</p> </div></div></div>
2024/7/1 10:54作者林妍溱https://www.ithome.com.tw/news/163713
GAI創新實驗潮來了
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月展開的iThome CIO大調查，最近公布了各產業2024年度IT趨勢的調查結果，不意外地，生成式AI浪潮，已經開始影響臺灣大型企業今年的IT戰略。</p> <p>2022年底崛起的生成式AI，在2023年展開了一場激烈的科技巨頭技術追逐戰，幾家大廠之間的技術競爭，彷彿像是在科技高速公路上的飛車追逐，搶先起跑的OpenAI不時加速，想要拉大距離維持領先地位，與他們同夥的微軟也趁機跟進趨前。沒多久，Google狹龐大AI燃料加速逼近，雲端龍頭AWS也搶搭開源技術火車追上，新創Mistral AI和Anthropic像黑馬般的竄起，讓整個技術賽局更加火熱。</p> <p>到了今年，技術競賽依舊火熱，但逐漸形成了GAI技術領先群，彼此的技術差距逐漸縮小，晚出手的蘋果，更裝上了以隱私為名的翅膀，彎道超車，擠進了領先車隊之中。</p> <p>生成式AI技術的競爭，光是單看技術，就讓人眼花繚亂，不知該押寶哪一款。但是，在今年，GAI相關工具鏈，開始發展出了企業級的工具，這才是讓企業有能力進行GAI創新的軍火庫。</p> <p>兩大GAI巨頭，微軟和Google，紛紛祭出了涵蓋GAI應用開發生命周期的開發工具，也不約而同地都聚焦AI代理，開始提供這種型態GAI應用需要的工具和元件。各種不同類型用途的專門AI助手，紛紛正式推出，或開始整合到企業慣用的辦公室軟體或生產力工具中，開發人員更開始擁有了能力媲美開發同儕（可進行結對開發）的AI夥伴。個人運算裝置，不論筆電、平板、手機都開始或即將內建NPU來提高AI算力，主流作業系統內，開始提供或支援新的GAI執行，讓各種AP或App都能快速整合GAI的能力。</p> <p><a href="https://www.ithome.com.tw/article/163677" target="_blank">從今年CIO大調查可以看到</a>，17.6%企業CIO自評，GAI今年會大幅衝擊所屬產業和企業，尤其是醫療和政府學校，更是超過2、3成企業強烈感受到GAI帶來的衝擊感。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/163677" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-AI%E5%89%B5%E6%96%B0-600-1-P%EF%BC%AE%EF%BC%A7(1).png" style="width: 600px;" /></a></p> <p>也因此，今年，許多企業紛紛開始嘗試各種GAI工具。服務業和醫療業最積極，各有近1成企業，開始在正式環境中引進 GAI，也有3成企業今年展開了各項PoC驗證和實驗，想要找出可行又有價值的應用場景，金融業、醫療業、政府學校都有過半企業進入GAI導入和驗證階段。還有3成企業正在評估和規畫GAI技術，準備跟進這一波應用創新實驗潮。就算是腳步相對較慢的一般製造業，雖然展開實驗的企業不到2成，但也有32.1%一般製造業者開始規畫導入。</p> <p>生成式AI的創新，沒有現成的成功方程式，對所有人而言，都是站在相同的技術起跑線，相繼開跑。過往的技術實力、資料豐厚度、資料治理成熟度等優勢，讓企業擁有更紮實的底氣，更容易展開創新實驗。</p> <p>GAI創新的競賽，就像在未知大海中尋找新世界，得不斷嘗試實驗、積極探索，又同時戒備風險和威脅。雖然沒有人握有勝利地圖，每個產業的挑戰，適合GAI發揮的場景也不盡相同，每一家企業想達成的目標，和手上可用的資源更有極大的落差。但不論如何，大膽嘗試的心態，接受挫敗的寬容，和不斷迭代改善的能力，這三項，才是企業更快找到新世界的指南針，也是GAI創新實驗潮最關鍵的三項特質。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">CIO大調查</a></div><div class="field-item odd"><a href="/tags/it%E8%B6%A8%E5%8B%A2">IT趨勢</a></div><div class="field-item even"><a href="/tags/it%E9%A0%90%E7%AE%97">IT預算</a></div><div class="field-item odd"><a href="/tags/genai">GenAI</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/gai">GAI</a></div></div></div>
2024/7/1 10:02作者王宏仁https://www.ithome.com.tw/voice/163678
強化SASE資安防護力，思科跨入SSE安全存取應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_secure_access-main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衝擊全球持續三年的COVID-19疫情，促使企業與組織提供員工在任何地點連網辦公的需求暴增，連帶推動安全存取服務邊緣（SASE）類型的解決方案在IT市場崛起，以網路與資安大廠思科（Cisco）為例，持續提供與拓展相關產品與服務，並予以統合。</p> <p>他們先在2020年中主推2017併購Viptela而來的SD-WAN，整合多功能資安防護雲端服務服務<a href="https://www.ithome.com.tw/review/113766">Cisco Umbrella</a>，提供囊括雲端管理SD-WAN與雲端供應資安等兩大面向的SASE架構。</p> <p>2021年3月底於線上舉行的年度用戶大會期間，思科預告旗下多款資安產品統合在<a href="https://www.ithome.com.tw/review/138483">SecureX品牌</a>，並宣布所有SASE產品將以單一解決方案的形式供應。而在涵蓋連網（SD-WAN）、控制（雲端資安）之餘，Cisco SASE擴充更多功能，例如前者增加支援基於Meraki雲端網路管理平臺而成的SD-WAN，後者能使用基於Cisco Umbrella而供應的多種防禦技術，像是：<a href="https://www.ithome.com.tw/tags/casb">雲端存取安全代理（CASB）</a>、<a href="https://www.ithome.com.tw/tags/DLP">資料外洩預防（DLP）</a>、<a href="https://www.ithome.com.tw/tags/RBI">遠端瀏覽器隔離（RBI）</a>，以及雲端惡意軟體偵測（移除雲端檔案儲存環境存在的惡意軟體）等。</p> <p>這套SASE解決方案還結合思科2018年8月買下的Duo，得以使用<a href="https://duo.com/blog/duos-passwordless-authentication-is-coming?_gl=1*iletjy*_ga*MjA5Mzc1NTAxNi4xNjMzNTA3Mjgz*_ga_KP8QEFW4ML*MTcwNDg2ODU1OS43MC4xLjE3MDQ4NjkyOTEuMzguMC4w#eyJoYXNoIjoiIiwic2VhcmNoIjoiP19nbD0xKmlsZXRqeSpfZ2EqTWpBNU16YzFOVEF4Tmk0eE5qTXpOVEEzTWpneipfZ2FfS1A4UUVGVzRNTCpNVGN3TkRnMk9EVTFPUzQzTUM0eExqRTNNRFE0TmpreU9URXVNemd1TUM0dyJ9">非密碼型態的身分認證（Passwordless authentication</a>），並且在連網與控制這兩個層面當中，強化遠端安全存取及零信任網路存取（ZTNA），同時Cisco SASE也納入可觀測性（Observability）類型產品，而其技術源頭是思科2020年8月買下的ThousandEyes。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SSE-2023-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SSE-2023-12.jpg" style="width: 600px;" /></a></p> <blockquote><p>對於思科而言，他們發展的SASE解決方案包含兩大部分，其中的SSE負責守護企業連線安全，並且在這個模式下，提供多種網路與內容安全，以及零信任網路存取（ZTNA）的功能。<br /> 初期他們提供基於DNS防護的雲端資安解決方案Umbrella來對應SSE，後續Umbrella擴充「網際網路安全閘道（SIG）」層面的功能，當中涵蓋網頁安全閘道（SWG）、雲端防火牆（FWaaS）、雲端存取安全代理（CASB）、資料外洩預防（DLP），到了現在，增添基於App Connector的零信任網路存取、零信任存取中繼（ZTA Relay），從而進化成最新推出的Cisco Secure Acess來統籌所有的功能。</p> </blockquote> <p>到了2023年6月舉行的年度用戶大會，思科立足於原本的SASE解決方案，發表新的安全服務邊緣（SSE）解決方案，名為Cisco Secure Access，提供單一平臺、可橫跨任何地點、裝置、應用程式的安全存取，7月開始限量供應，預計10月正式上線，</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-3.jpg" style="width: 600px;" /></a></p> <p>而在2024年1月，思科舉行Cisco Secure Access活動臺北場，也等於宣告這套解決方案進入臺灣市場。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-01-2.jpg" style="width: 600px;" /></p> <p>思科強調，這套SSE系統具有三大特色。首先，提供通用的存取體驗，使用者可透過統一、簡單的作法，即可存取所有應用程式與資源，而且能在不需人為介入協助的狀態下，以聰明、安全的方式引導連至企業內部環境或公開網路的流量。</p> <p>第二，提供單一、位於雲端服務的管理主控臺，思科SSE將多種功能合而為一，成為容易使用、而且能保護所有網路流量的解決方案，藉此簡化資安維運的工作。系統管理者、資安分析人員只需要從一個網站入口就能看到所有流量、設定全部政策，以及分析各種資安風險，而不需管理一大堆工具，能使IT環境的作業效率提升、成本降低，而且不失使用彈性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-12-Cisco Secure Access-SSE-SASE-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-Cisco%20Secure%20Access-SSE-SASE-web.jpg" style="width: 600px;" /></a></p> <blockquote><p>對於思科而言，他們發展的SASE解決方案包含兩大部分，其中的SSE負責守護企業連線安全，並且在這個模式下，提供多種網路與內容安全，以及零信任網路存取（ZTNA）的功能。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-features-2023-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-features-2023-12.jpg" style="width: 600px;" /></a></p> <blockquote><p>思科安全服務邊緣解決方案包含4大功能：網頁安全閘道、雲端存取安全代理、零信任網路存取，以及防火牆即服務，再加上多種延伸的內容與網路保護功<br /> 能，像是資料外洩預防、DNS安全、沙箱檢測、遠端瀏覽器隔離，以及網路威脅情報服務，也能搭配思科SD-WAN、XDR、數位體驗監控系統、多因素驗<br /> 證身分管理系統。</p> </blockquote> <p>第三，加快偵測與應變速度，此套解決方案提供分析功能，可提升調查事故的能力，而且幕後有思科Talos網路威脅情報服務幫忙，能夠偵測與阻擋更多惡意行為與駭客攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-12-Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-12-Arch.jpg" style="width: 600px;" /></a></p> <blockquote><p>圖中是Cisco Secure Access的完整架構，從中可看到列管端點、非列管端點，以及企業內部環境的使用者與設備連至網際網路、公有雲或私有雲，以及資料中心或分支辦公室的流量，如何經過這套解決方案提供加密通道連線存取，以及網路、內容資安防護功能進行處理，下圖是細部政策處理流程，可看出針對不同類型的遠端存取流量，這套解決方案提供對應的步驟與流量。</p> </blockquote> <p>值得注意的是，思科為了這個解決方案，也和行動裝置廠商共同發展兼具安全性與使用體驗的遠端工作存取方式。例如，他們目前已經與蘋果公司合作，將Cisco Secure Access提供的零信任存取功能併入iOS與macOS作業系統，提供原生操作體驗，促使安全存取應用程式能夠普及，而且能簡化IT人員的相關管理工作，也能提升每個使用者的保護力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Mobile.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Mobile.jpg" style="width: 600px;" /></a></p> <p>除了多種功能的整合、強化，以及端點裝置的原生支援，就服務層面而言，Cisco Secure Access本身也是<a href="https://www.ithome.com.tw/tech/162652">Cisco Security Cloud資安雲平臺</a>的一環，可延伸運用思科其他資安與網路產品，同時能整合第三方廠商的解決方案。</p> <p>這套SSE系統底層的IT基礎架構也相當特別，思科表示，當中採用了混合型態的網路服務供應點（POP），由思科本身設置的多個資料中心與公有雲業者的環境來擔綱，可快速延伸至<a href="https://docs.sse.cisco.com/sse-user-guide/docs/secure-access-regions">全球各個地區</a>，以便就近服務用戶。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Regions-Global.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Regions-Global.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Regions.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Regions-Global%20in%20Regions.jpg" style="width: 600px;" /></p> <h3><strong><span style="color:#0000FF;">提供多種資安防護功能</span></strong></h3> <p>對比市場上既有的SASE/SSE解決方案，Cisco Secure Access最大的差異在於，思科強調，可提供最有彈性的ZTNA存取方式，當中結合VPN即服務（VPNaaS），以及基於個人端程式（client-based）與無個人端程式（clientless）的ZTNA管道，並且能夠支援任何應用系統、網路連接埠，以及通訊協定，涵蓋基於網際網路、SaaS雲端服務，以及組織內部等環境的應用系統，希望使用者能以最有效率、安全的方法登入IT系統，進而快速開始工作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ciscco Secure Access-2023-06-Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ciscco%20Secure%20Access-2023-06-Arch.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-Demo1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-Demo1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-Demo2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-Demo2.jpg" style="width: 298px;" /></a></p> <p>以提供安全的遠端存取而言，首先，在運作架構的設計上，傳統SASE解決方案，往往採用反向代理（reverse proxy），Cisco Secure Access採用更先進的零信任存取中繼（relay），可對企業與組織的資料處理與檢測點，提供更多控制方式，進而減少可遭受攻擊的面向，提升企業隱私防護，對於用戶而言，思科認為他們的解決方案可以更容易建立政策，無論特定流量透過路由交給雲端安全服務處理，或直送至網路邊緣端的安全設備。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Traffic Flow.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Traffic%20Flow.jpg" style="width: 600px;" /></a></p> <blockquote><p>此圖是Cisco Secure Access細部的政策處理流程，可看出不同類型的遠端存取流量，這套解決方案會提供對應的步驟與流量。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Security Inspection.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Security%20Inspection.jpg" style="width: 600px;" /></a></p> <p>根據思科去年8月發布的產品技術規格簡介文件，Cisco Secure Access在ZTNA呈現的特色，主要是透過應用程式代理（Application proxy），在不需將應用程式暴露在網際網路的架構下，可提供透明、安全的遠端存取管道，也能隱藏個人端存取內部應用程式的網路傳輸細節，因此，可預防駭客透過IP網路的勘察、甚至侵入個人端裝置，而得知任何資訊。</p> <p>Cisco Secure Access的另一個大賣點，是同時提供多元的資安防護功能，以及統一的系統管理儀表板，兼顧簡化的操作方式、高度工作效率，以及理想的使用成效。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Unified.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Unified.jpg" style="width: 600px;" /></a></p> <p> <a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-Demo3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-Demo3.jpg" style="width: 299px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-Demo4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-Demo4.jpg" style="width: 298px;" /></a> </p> <p>目前，Cisco Secure Access提供的資安防護功能如下：</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Security Stack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Security%20Stack.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-01-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-01-1.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>零信任網路存取</strong></span></p> <p>針對企業與組織IT環境或雲端服務環境的內部應用系統，可藉由ZTNA提供細緻、個別程式專屬的存取方式，用戶可透過預先定義的存取政策，落實最小權限的原則，並獲得具有前後脈絡的存取行為洞察分析，更加精細地限制不當的存取，而且能在使用者存取應用程式取得明確許可，無論位在何處，均可居中代理。思科此處提供的ZTNA有兩種存取方式：採用個人端程式（Cisco Secure Client），以及無個人端程式（亦即經由瀏覽器來提供存取），可進行基於SAML的身分認證，也能運用內建的身分識別提供者（IdP），以及實施基於應用程式的存取政策控管。</p> <p><span style="color:#FF0000;"><strong>VPN即服務（VPNaaS）</strong></span></p> <p>將VPN提升至雲端服務的層次，因應ZTNA難以涵蓋全部的企業與組織內部應用程式，思科提供基於雲端型態的VPN即服務，可囊括遠端安全存取，以及針對非網頁類型的網際網路存取流量，可支援多種應用情境，像是分割加密通道與完整通道、點對點通訊、自帶憑證（BYO certificate）、分割DNS、動態分割DNS；而在身分認證的處理上，用戶可運用SAML、憑證、RADIUS、LDAP方式進行；關於便利一般使用者操作的方式上，思科在此提供持續經由VPN傳輸（always on VPN），以及登入前就啟動VPN；而在簡化IT維運管理方面，可運用本地IP資源共用池（Local IP Pool）、多重VPN設定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-VPNaaS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-VPNaaS.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>網頁安全閘道器（SWG）</strong></span></p> <p>透過代理伺服器架構進行網頁流量的深層與細緻控管，涵蓋網址與內容過濾，以及進階的應用系統控制，針對選定的加密流量進行解密處理、政策強制實施。對於所有流經80埠與443埠的網頁流量，這項功能可以進行記錄與檢測，並運用IPsec加密通道、Proxy自動設定組態（PAC）檔案，以及代理伺服器鏈接（proxy chaining）等作法，將所有流量轉送至此進行處理，進而完整透視當中進行的連線行為，實施URL網址與應用程式層級的控管，以及進階的網路威脅防護，目前可運用的防護包括：網址的過濾、下載檔案的惡意軟體掃描、特定類型檔案的阻擋存取、針對部分連網應用程式的禁用、全部或選定的網路加密流量解密、通報完整的URL網址與網路身分識別，以及後面將會提到的沙箱檢測。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG3.jpg" style="width: 298px;" /></a></p> <p><strong><span style="color:#FF0000;">雲端存取安全代理（CASB）</span></strong></p> <p>提供雲端應用程式的探查、風險分數的評估、非法行為的阻擋、雲端惡意軟體的偵測，以及租戶的控制，藉此提供雲端應用程式偵測與通報能力，揭發員工的影子IT活動，以便更妥善管理雲端服務的採用、降低資安風險，以及限制或阻擋各種應用程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CASB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CASB.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>資料外洩預防（DLP）</strong></span></p> <p>思科在此提供超過190種的內容分析器，涵蓋GDPR、 PCI-DSS、HIPAA、PII、PHI等法規遵循的要求，用戶可定義違反資料外洩預防要求的政策，預防敏感資訊經由資安服務支援的各種應用系統不當傳遞，而造成洩漏。實作上，思科此處整合的DLP解決方案，透過網頁安全閘道Proxy即時線上分析，察覺是否有人正在外洩敏感資料，並搭配Restful API、提供頻外（out-of-band）監控能力，分析儲存在雲端服務的靜態資料，掌握與控管正在離開企業與組織的資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-DLP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-DLP.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>防火牆即服務（FWaaS）</strong></span></p> <p>提供網路第3層、第4層、第7層的防火牆監控機制，並且結合入侵防禦系統Snort 3的技術，而獲得特徵碼比對的網路威脅偵測能力，可透過網路流量的深層透視與控管，涵蓋多個通訊埠與協定的動向，防護範圍包含行動App、點對點檔案共享軟體、視訊線上會議軟體，以及任何非網頁或非DNS的網路流量，提升網路安全成效。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CFW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CFW.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CFW-IPS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CFW-IPS.jpg" style="width: 298px;" /></a></p> <p><span style="color:#FF0000;"><strong>DNS層級的防護（DNS-layer security）</strong></span></p> <p>基於網域名稱服務（DNS）的解析與查詢，在連線建立之前，也就是尚未經由任何通訊埠或協定傳遞至企業內部網路環境或端點之前，即可阻擋使用者連至惡意或非必要的網址，對於連至惡意網站或不符合上網政策的存取活動，能予以攔截、限制，達到預防網路威脅的目的。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-12-Umbrella.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-12-Umbrella.png" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>內用網路安全存取（Secure Private Access）</strong></span></p> <p>能保護所有企業與組織內部應用程式的存取，涵蓋使用其他通訊埠與協定的非標準化系統，以及透過多個通道、點對點連線傳輸的軟體程式，提供零信任網路存取與VPN即服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private Access1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private%20Access1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private AccessA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private%20AccessA.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private AccessB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private%20AccessB.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private AccessC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private%20AccessC.jpg" style="width: 198px;" /></a></p> <p><strong><span style="color:#FF0000;">網際網路應用程式的安全存取（Secure Internet Access）</span></strong></p> <p>針對橫跨多種網路環境、分支辦公室，以及四處移動的使用者，在存取公開SaaS應用程式或其他類型雲端服務時，可藉此防護與管理相關的網際網路存取活動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Internet Access.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Internet%20Access.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure Internet Access1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure%20Internet%20Access1.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure Internet Access2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure%20Internet%20Access2.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure Internet Access3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure%20Internet%20Access3.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure Internet Access4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure%20Internet%20Access4.jpg" style="width: 148px;" /></a></p> <p><span style="color:#FF0000;"><strong>遠端瀏覽器隔離（Remote Browser Isolation，RBI）</strong></span></p> <p>將上網設備與存取網站的流量區隔開來，使用者無法直接觸及透過網頁瀏覽器散播的惡意威脅，能以更安全的方式存取具有風險的網站，進而保護企業與組織的資安。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-RBI1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-RBI1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-RBI2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-RBI2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>惡意軟體安全分析與沙箱檢測</strong></span></p> <p>結合進階的沙箱檢測機制（sandboxing）與網路威脅情報服務，保護企業與組織免於惡意軟體的侵襲，用戶可完整存取Cisco Secure Malware Analytics（前身為2014年併購的ThreatGRID），而能在雜物箱（glovebox）開啟惡意檔案，追蹤檔案執行的動作，捕捉檔案產生的網路活動。</p> <h3><strong><span style="color:#0000FF;">下一步擴大支援更多行動裝置的應用 </span></strong></h3> <p>在零信任網路存取的架構中，Cisco Secure Access採用的中繼架構，是基於兩種先進、高效率的通訊協定：QUIC（HTTP/3），以及架構在QUIC之上的MASQUE（Multiplexed Application Substrate over QUIC Encryption），而能支援所有的應用程式、通訊埠，以及協定，並在減少資源暴露在外的狀態下，仍能作到超細緻的零信任控制、雙向混淆（bi-directional obfuscation）、效能改善，全面防護內部應用程式的存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ciscco Secure Access-2023-06-Apple1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ciscco%20Secure%20Access-2023-06-Apple1.jpg" style="width: 600px;" /></a></p> <p>而在行動裝置的原生支援上，Cisco Secure Access先預告與展示蘋果iOS平臺的零信任存取，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-iOS.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Apple2.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Apple4.jpg" style="width: 298px;" /></p> <p>去年12月提到三星Galaxy系列手機與平板也將提供這樣的安全機制，使用設備的人員就能經由Cisco Secure Access存取工作資源，而且套用零信任存取政策控管。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Android.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Android.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung1.jpg" style="width: 70px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung2.jpg" style="width: 70px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung3.jpg" style="width: 70px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung5.jpg" style="width: 70px;" /></a></p> <p>思科表示，上述行動裝置的零信任存取架構，運用MASQUE代理伺服器與QUIC協定，因此，能在保護企業IT資源的同時，也提供快速存取的便利性——使用內部應用程式需橫跨網際網路時，預防以未加密的狀態暴露在外，而且還能針對個別應用程式提供受到政策控管的存取方式，減少惡意威脅在內部網路橫向移動的風險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-QUIC Masque-2024-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-QUIC%20Masque-2024-02.png" style="width: 600px;" /></a></p> <p>除此之外，Cisco Secure Access也結合了VPN即服務，可透過單一安全個人端程式（Cisco Secure Client）的搭配使用，提供另一種安全連線方式，也能對所有應用程式進行身分與裝置安全狀態的檢查，無論使用者要存取網際網路、SaaS雲端服務，或是企業與組織的應用系統，均能以簡易、輕鬆的方式進行，只需登入就能開始工作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-Demo5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-Demo5.jpg" style="width: 600px;" /></a></p> <p>強調便利性、安全性之餘，可用性的水準也是企業與組織評估是否長期採用的關鍵，對此思科也公開向大家承諾，Cisco Secure Access將提供99.999％（5個9）的服務等級協議（SLA）。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Cisco Secure Access</strong><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●版本：Secure Access Essentials、Secure Access Advantage<br /> ●核心功能：零信任網路存取（ZTNA）、網站安全閘道（SWG）、雲端存取安全代理（CASB）、防火牆即服務（FWaaS）與入侵防禦系統（IPS）<br /> ●延伸功能：多重模式資料外洩防護（multimode DLP）、DNS安全防護、沙箱檢測、遠端瀏覽器隔離（RBI）、網路威脅情報服務、數位體驗監控分析（DEM insights）<br /> ●零信任存取類型：網際網路安全存取（Secure Internet Access）、私有網路安全存取（Secure Private Access）<br /> ●選購解決方案：SD-WAN、XDR、Duo MFA/SSO、CSPM</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/30 17:14作者李宗翰https://www.ithome.com.tw/review/160782
Google翻譯利用AI新增對粵語等110種新語言的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://blog.google/products/translate/google-translate-new-languages-2024/" target="_blank">宣布</a>，Google翻譯已利用<a href="https://ai.google/discover/palm2/" target="_blank">PaLM 2大型語言模型</a>新增對110種<a href="https://support.google.com/translate/answer/15139004?visit_id=638551412056656998-2006381606&p=TranslateNewLanguages2024&rd=1" target="_blank">新語言的支援</a>，包括香港地區所使用的粵語、巴基斯坦最常用的Punjabi，以及已失去最後一位母語人士的Manx等，讓現在的Google翻譯所支援的語言達到243種。</p> <p>此次Google所支援的新語言代表全球超過6.14億的使用者，約占全球人口的8%，有些是使用人數超過1億的主要語言，但大多數是土著的小社群在使用，也有少數幾乎沒有母語人士。整體而言，約有1/4的新語言來自非洲。</p> <p>其中，粵語長期以來一直是Google翻譯最需要的語言之一，但因為粵語在寫作上經常跟普通話重疊，因此很難找到資料並訓練模型。Manx則是英國曼島（Isle of Man）的傳統語言，為凱爾特（Celtic）語族的語言，其最後一位母語者已在1974年去世，現在僅有數千人使用Manx。另一個有趣的語言則是NKo，它是西非曼丁（Manding）語系的一種標準化形式，將所有方言統一為一種通用語言，還擁有一個專門替它開發資源與技術的活躍社群，NKo的字母是在1949年才發明。</p> <p>Google說明，在增添翻譯服務的新語言時，Google考慮了各種變種與拼法，因為不同的地區及方言，都有不同的拼寫標準，且有很多語言缺乏標準形式，很難出現所謂的正確變種，因此Google優先考慮每種語言最常用的變種，並利用PaLM 2模型來學習相近的各種語言，隨著技術的進步再加上與專業語言學家及母語人士的合作，未來的Google翻譯可望支援更多的語言變體及拼法慣例。</p> <p>對新語言的支援將直接出現在網頁、Android及iOS的Google翻譯服務上。</p> </div></div></div>
2024/6/28 20:30作者陳曉莉https://www.ithome.com.tw/news/163700
OpenAI揭露可用來發現ChatGPT生成程式碼臭蟲的CriticGPT模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/finding-gpt4s-mistakes-with-gpt-4/" target="_blank">OpenAI周四（6/27）揭露</a>一個奠基於GPT-4的新模型CriticGPT，它目前扮演人類訓練師的AI助手角色，可用來審查ChatGPT所生成的程式碼，並找出錯誤。</p> <p>現階段的ChatGPT也是基於GPT-4模型，它藉由人類反饋的強化學習（Reinforcement Learning from Human Feedback，RLHF）來調整其輸出表現，亦即由人類訓練師根據模型的行動來提供反饋或意見，而CriticGPT也能用來審核ChatGPT輸出程式碼時的表現，OpenAI正在將CriticGPT整合到RLHF的標籤管道中，以替人類訓練師提供明確的AI說明。</p> <p>OpenAI指出，隨著模型行為與推論的進步，ChatGPT變得更加精確，錯誤也變得更為微妙，令人類的AI訓練師更難找出其錯誤之處，並對RLHF方法造成了挑戰，使得模型的調整愈來愈困難，這使得他們訓練CriticGPT來進行評論，以突顯ChatGPT輸出的錯誤。</p> <p>根據OpenAI的測試，人類訓練師在取得CriticGPT的協助之後，審核ChatGPT生成程式碼的表現在大多數時候（60%），優於沒有CriticGPT幫忙的時候。</p> <p>總之，OpenAI發現，在CriticGPT的協助下，人類訓練師不僅得以發現更多的問題，而且還能藉由CriticGPT強化人類的技能，提出更全面的批評，還能減少幻覺錯誤。</p> <p>只是CriticGPT現階段仍有其侷限性，例如所支援的答案很短，也還會產生幻覺，尚未能解決分散的錯誤，也還無法處理過於複雜的任務或回應。</p> </div></div></div>
2024/6/28 20:30作者陳曉莉https://www.ithome.com.tw/news/163703
【資安日報】6月28日，前幾天Polyfill.io供應鏈攻擊事件曝光震撼整個IT界，後續傳出中國CDN業者另起爐灶，…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名的網站功能相容性程式庫polyfill.io本週傳出供應鏈攻擊，研究人員提出警告，他們發現程式碼在中國CDN業者今年初接手後，就開始植入惡意程式，由於採用這款程式庫的網站眾多，且不乏許多知名企業組織與政府單位，所以，這起供應鏈攻擊引發軟體開發與資安領域的密集關注，如今出現新的進展。</p> <p>有研究人員發現，在Namecheap註銷polyfill.io之後，經營者透過新的polyfill[.]com提供服務，並聲稱相關服務透過Cloudflare快取未含供應鏈風險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163707"><strong style="font-size: 22px;">發動供應鏈攻擊的Polyfill.io經營者傳出另起爐灶，再度向超過10萬網站傳送惡意程式碼</strong></a></p> <p>本週二（6月25日）專精電子商務網站安全的資安業者Sansec提出警告，知名的網站功能相容性程式庫polyfill.io，自今年2月賣給中國內容傳遞網路（CDN）業者方能（Funnuul）後，傳出被植入惡意程式碼的情況，導致使用該程式庫的網站遭到感染，用戶被導向賭博網站及其他惡意網站。針對這起事故，如今出現新的發展。</p> <p>根據資安新聞網站Bleeping Computer的報導，他們發現Polyfill.io相關網域疑似遭到網域名稱服務供應商Namecheap註銷，但經營者透過新的網域polyfill[.]com，開始提供名為Polyfill JS CDN的服務，並認為有人在誹謗他們，強調他們所有的內容都是透過靜態快取提供，並透過雲端服務業者Cloudflare進行快取，而不存在供應鏈風險。</p> <p>針對polyfill.io聲稱所有內容經過Cloudflare快取，Cloudflare表示，他們並未授權該經營者使用該公司的名稱，也未曾推薦polyfill.io的服務，他們要求對方刪除相關內容，但polyfill.io置之不理。對此，Cloudflare認為，這是該服務經營者不可信任的警訊。</p> <p><a href="https://www.ithome.com.tw/news/163704"><strong style="font-size: 22px;">角川集團遭勒索軟體攻擊事故，駭客組織BlackSuit聲稱是他們做的</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/kadokawa-blacksuit.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/kadokawa-blacksuit.jpg" style="width: 300px; float: right;" /></a>6月上旬日本知名的影片共享平臺Niconico傳出服務異常，隨後事態擴大，母公司角川集團發出聲明證實，不光是Niconico，角川網站及電商平臺Ebten都受到影響。該集團後來在14日證實遭遇勒索軟體攻擊，並透露資安事故發生的過程，事隔兩週，這起事故出現新的發展。</p> <p>6月22日角川發出聲明，表示已有媒體報導透露攻擊者的身分，並認為這麼做將助長網路犯罪，甚至有可能會使犯罪者受益。究竟攻擊者的身分為何？根據本週資安新聞網站Bleeping Computer報導，勒索軟體駭客Black Suit聲稱是他們所為，這些駭客宣稱約在一個月前開始存取該集團的網路環境，成功存取控制中心之後，他們就加密了整個網路環境，包含多玩國（Dwango）、Niconico、角川書店，以及其他子公司，並從中竊得1.5 TB內部資料。</p> <p><a href="https://www.ithome.com.tw/news/163686"><strong style="font-size: 22px;">駭客組織Boolka對於全球網站發動SQL注入攻擊，意圖對使用者電腦植入木馬程式Bmanger</strong></a></p> <p>資安業者Group-IB揭露名為Boolka的駭客組織，該組織從2022年開始，對於全球各地的網站隨機發動SQL注入攻擊，目的是針對瀏覽這些網站的使用者，散布名為Bmanager的模組化木馬程式。</p> <p>研究人員指出，過去3年這些駭客鎖定存在弱點的網站，藉由惡意的JavaScript指令碼進行感染，從而能在受害網站上截取使用者輸入的任何資料。但除了竊取使用者輸入的個人資料，他們也看到駭客使用名為BeEF的惡意軟體傳送框架，對存取受害網站的使用者散布Bmanager。駭客將使用者重新導向假的網頁，聲稱必須安裝指定的瀏覽器延伸套件才能正常檢視內容，然而一旦照做，電腦就有可能被植入木馬程式。</p> <p><a href="https://www.ithome.com.tw/news/163682"><strong style="font-size: 22px;">AI裝置Rabbit r1遭爆洩露眾多API金鑰</strong></a></p> <p>新創業者Rabbit與消費者裝置製造商Teenage Engineering合作開發的AI裝置Rabbit r1，本周遭爆外洩許多API金鑰，將允許任何人讀取Rabbit r1所生成的內容，或是讓所有的Rabbit r1變磚，還能竄改Rabbit r1的回應或是置換Rabbit r1的聲音，更令人訝異的是，研究人員指出Rabbit早就知道其裝置的API金鑰外洩，卻一直未採取行動。</p> <p>發現相關漏洞的是專門針對Rabbit r1專案進行逆向工程的Rabbitude社群，研究人員表示，他們在今年5月存取Rabbit r1的程式碼庫，並發現其中含有許多寫死的API金鑰，包括將文字轉譯成語音的ElevenLabs、語音轉文字的Azure系統、評論服務Yelp，以及Google Maps。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/teamviewers-corporate-network-was-breached-in-alleged-apt-hack/"><strong style="font-size: 20px;">遠端桌面連線解決方案供應商TeamViewer傳出內部網路遭APT駭客入侵</strong></a></p> <p>◆<a href="https://www.reversinglabs.com/blog/a-lurking-npm-package-makes-the-case-for-open-source-health-checks"><strong style="font-size: 20px;">惡意NPM套件鎖定AWS用戶而來，先休眠4個月減少他人關注</strong></a></p> <p>◆<a href="https://www.theregister.com/2024/06/27/kt_p2p_malware_claim/"><strong style="font-size: 20px;">韓國網路服務供應商KT傳出針對使用網路硬碟的用戶植入惡意程式碼，60萬用戶受害</strong></a></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://about.gitlab.com/releases/2024/06/26/patch-release-gitlab-17-1-1-released/#run-pipelines-as-any-user"><strong style="font-size: 20px;">GitLab存在重大漏洞，攻擊者可冒用任意用戶身分執行Pipeline工作流程</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163694"><strong style="font-size: 22px;">Amazon S3首度整合惡意程式偵測，一年限量免費使用</strong></a></p> <p>AWS在re:Inforce 2024雲端安全會議發表多項資安服務，其中最受矚目的當屬物件儲存服務Amazon S3首度整合GuardDuty惡意程式掃描過濾功能，並且自發表後一年內提供限量免費使用。</p> <p>AWS的惡意程式防護服務GuardDuty保護的範圍，繼Amazon EC2、EKS、ECS、AWS Lambda、Fargate之後，也擴及物件儲存服務Amazon S3。過去S3儲存物件的防毒掃描，必須整合第三方資安公司的防護服務，而新推出的GuardDuty Malware Protection for S3服務，則會在用戶上傳物件檔案至S3時自動啟動掃描，檢測潛在的惡意程式、病毒或可疑內容，再放行至對應的儲存貯體；如果掃描後發現潛在威脅，可疑的上傳物件就會被移至隔離區。</p> <p>GuardDuty Malware Protection for S3可視為S3預設防毒防駭功能，因為過往AWS的服務要使用GuardDuty防護服務的話，都必須先啟用GuardDuty服務，不過GuardDuty Malware Protection for S3卻首度提供不需啟用GuardDuty服務，而可直接使用掃毒與惡意程式過濾功能。</p> <p><a href="https://www.ithome.com.tw/news/163651"><strong style="font-size: 22px;">高雄市府3作法加速推動資安轉型，更以AI強化城市治理</strong></a></p> <p>近年來發展快速的高雄市，因應愈來愈高的威脅，在中央的補助之下，高雄市增加對資安的投資，高雄市政府資訊中心主任劉俊傑表示，目前高雄市政府在強化資安正推動3項做法，第一項做法是建立主動防禦，過去的資安策略較為被動防禦，例如採購防火牆、防毒軟體等，現在轉向採用比較主動式的防禦，例如蒐集Log資料，包括端點資料，以主動分析發現異常事件。</p> <p>他以紅軍演練為例，傳統委託業者扮演紅隊，利用駭客入侵找出哪裡有弱點，但市府進一步希望掌握入侵可能留下哪些Log資料，透過工具設定檢視規則，主動掃描新的Log，當發現可疑的異常情形，再由專業人員進一步分析。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://googleprojectzero.blogspot.com/2024/06/project-naptime.html"><strong style="font-size: 20px;">Google推出人工智慧技術驅動的漏洞研究專案Naptime</strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163687"><strong>【6月27日】舊版瀏覽器網站相容套件Polyfill.io被中國公司買下，驚傳被植入惡意程式碼，恐影響逾10萬網站</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163663"><strong>【6月26日】惡意軟體沙箱服務業者Any.Run遭到網釣攻擊，所有員工收到內部人員寄來的釣魚信</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163648"><strong>【6月25日】中國駭客組織RedJuliett近半年鎖定臺灣高科技產業、外交經濟、社會運動團體從事網路間諜攻擊</strong></a></p> </div></div></div>
2024/6/28 17:52作者周峻佑https://www.ithome.com.tw/news/163709
發動供應鏈攻擊的Polyfill.io經營者傳出另起爐灶，再度向超過10萬網站傳送惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（6月25日）<a href="https://www.ithome.com.tw/news/163667">專精電子商務網站安全的資安業者Sansec提出警告</a>，知名的網站功能相容性程式庫polyfill.io，自今年2月賣給中國內容傳遞網路（CDN）業者方能（Funnuul）後，傳出被植入惡意程式碼的情況，導致使用該程式庫的網站遭到感染，用戶被導向賭博網站及其他惡意網站。</p> <p>由於全球有超過10萬個網站採用這項程式庫，包含學術期刊線上網站Journal STORage（JSTOR）、世界經濟論壇等知名組織，<a href="https://twitter.com/silentpush_labs/status/1806055707642384802">亦有不少美國聯邦機構</a>，這項供應鏈攻擊的影響範圍相當廣。針對這起事故，如今出現新的發展。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/polyfill-claims-it-has-been-defamed-returns-after-domain-shut-down/">資安新聞網站Bleeping Computer的報導</a>，他們發現<a href="https://twitter.com/malwrhunterteam/status/1806074377383121148">Polyfill.io相關網域疑似遭到網域名稱服務供應商Namecheap註銷</a>，但經營者透過新的網域polyfill[.]com，<a href="https://twitter.com/Polyfill_Global/status/1805923380857897277">開始提供名為Polyfill JS CDN的服務</a>，並認為有人在誹謗他們，強調他們所有的內容都是透過靜態快取提供，並<a href="https://twitter.com/Polyfill_Global/status/1805707089672815039">透過雲端服務業者Cloudflare進行快取</a>，而不存在供應鏈風險。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">Someone has maliciously defamed us. We have no supply chain risks because all content is statically cached. Any involvement of third parties could introduce potential risks to your website,<br /> but no one would do this as it would be jeopardize our own reputation.</p> <p>We have already…</p> <p>— Polyfill (@Polyfill_Global) <a href="https://twitter.com/Polyfill_Global/status/1805923380857897277?ref_src=twsrc%5Etfw">June 26, 2024</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>然而，代號為mdmck10的研究人員發現，polyfill[.]com網站內容，<a href="https://x.com/mdmck10/status/1806021891401912574">與專為NPM及GitHub用戶打造的開源CDN服務jsDelivr CDN網站雷同</a>，幾乎像是複製貼上，甚至有部分保留了jsDelivr的名稱。而且，polyfill[.]com也同樣提供jsDelivr網站上的Globalping分析服務。</p> <p>另一家資安業者Socket，<a href="https://socket.dev/blog/namecheap-takes-down-polyfill-io-service-following-supply-chain-attack">針對此事公布更多來龍去脈</a>；<a href="https://twitter.com/feross/status/1806110677612040233">該公司執行長Feross Aboukhadijeh呼籲</a>，若是有人採用了polyfill[.]com提供的CDN服務，應儘速移除。</p> <p>針對polyfill.io聲稱所有內容經過Cloudflare快取，Cloudflare表示，<a href="https://blog.cloudflare.com/automatically-replacing-polyfill-io-links-with-cloudflares-mirror-for-a-safer-internet">他們並未授權該經營者使用該公司的名稱，也未曾推薦polyfill.io的服務</a>，他們要求對方刪除相關內容，但polyfill.io置之不理。對此，Cloudflare認為，這是該服務經營者不可信任的警訊。</p> <p>該公司也為旗下的網站用戶提供替代方案，免費用戶將自動啟用，付費用戶可選擇是否啟用，或是套用自己的替代做法。</p> <p>值得留意的是，<a href="https://twitter.com/spazef0rze/status/1805645015663673670">Google也開始對廣告廠商發出通報</a>，指出他們發現來自polyfill.io、bootcss.com等網站的第三方程式庫存在資安問題，若是站方採用這類元件，這些程式庫有可能在站方不知情的情況下，將瀏覽網站的使用者擅自重新導向到特定網站。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GQ7wLbHXYAA4Owx.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GQ7wLbHXYAA4Owx.png" style="width: 580px;" /></a></p> </div></div></div>
2024/6/28 16:52作者周峻佑https://www.ithome.com.tw/news/163707
Meta發表LLM Compiler，以最佳化程式碼生成及編譯器能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta周四（6/27）<a href="https://ai.meta.com/research/publications/meta-large-language-model-compiler-foundation-models-of-compiler-optimization/" target="_blank">發表了LLM Compiler</a>，此為奠基於程式碼生成模型<a href="https://www.ithome.com.tw/news/161085" target="_blank">Code Llama</a>的新模型，額外強化了對編譯器中介語言（IR）、組合語言及最佳化技術的理解，可用來改善所生成的程式碼品質，<a href="https://huggingface.co/collections/facebook/llm-compiler-667c5b05557fe99a9edd25cb" target="_blank">目前已可透過Hugging face取得</a>。</p> <p><a href="https://x.com/AIatMeta/status/1806361623831171318" target="_blank">Meta表示</a>，LLM Compiler模型能夠模擬編譯器的功能，得以預測哪些最佳化步驟能夠達到最佳的程式碼尺寸，或是將以已編譯的程式碼轉換回原本的語言，目前提供7B與13B兩種版本，透過相對寬鬆的授權允許研究及商業使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-Meta%20LLM%20Compiler.png" style="width: 600px;" /></p> <p>這是因為Meta認為，儘管大型語言模型（LLM）在各種軟體工程及程式碼任務中展現卓越的能力，但它們在程式碼及編譯器最佳化領域上的應用，卻未得到充分的探索，訓練LLM是個資源密集，需要大量GPU時間與大量資料收集、可能令人望之卻步的任務，而LLM Compiler即是個專為最佳化程式碼任務所設計的預訓練模型，並可供公開使用。</p> <p>LLM Compiler已於5,460億個LLVM-IR與組合程式碼的Token上進行訓練，指令亦已經過微調以更好地編譯器的行為，開發者可透過客製化的商業授權以進行廣泛的運用，現有具備70億參數及130億參數的兩種模型可供選擇。</p> <p>Meta還展示了經過微調的模型版本，這些版本在優化程式碼大小，以及將x86_64和ARM組合語言反組譯回LLVM-IR的能力方面取得了顯著的進展。具體來說，這些模型可達到77%的程式碼最佳化潛力，以及45%的反組譯回路，當中的14%是精確匹配的能力。</p> </div></div></div>
2024/6/28 16:27作者陳曉莉https://www.ithome.com.tw/news/163706
Google釋出Gemma 2，提供9B及27B兩種版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://blog.google/technology/developers/google-gemma-2/" target="_blank">釋出了Gemma 2</a>，相較於<a href="https://www.ithome.com.tw/news/161409" target="_blank">第一代</a>僅提供20億（2B）及70億（7B）參數的版本，第二代提供了9B及27B兩種版本，除了具備更高的性能之外，也能在單個Nvidia H100 Tensor Core GPU或TPU上實現，大幅降低部署成本，開發人員現在已可透過Google AI Studio、Kaggle及Hugging Face Models存取Gemma 2，下個月便會現身於Google雲端機器學習平臺Vertex AI上。</p> <p>Gemma是個開源且輕量版的AI模型，採用與Gemini同樣的研究及技術而打造，Gemma 2不僅在所有基準測試上都超越Gemma 1，9B版本的Gemma 2在MMLU、BBH及GSM8K測試，也都超越8B版本的Llama 3；27B版本的Gemma 2在MMLU、GSM8K、MATH等測試，則超越擁有314B參數的Grok-1。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-Gemma_2_performance_final.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>此外，Google表示，27B版本的Gemma 2其設計就是為了要讓它能夠在單個Google Cloud TPU主機，或是單個Nvidia A100 80GB Tensor Core GPU，以及單個Nvidia H100 Tensor Core GPU執行全精度的高效推論，在維持高性能的同時大幅降低成本，讓開發者更容易部署AI。</p> <p>因此，Gemma 2可在高階遊戲筆電、高階桌上型電腦，以及雲端上執行。Google建議使用者可於Google AI Studio上以最高精度執行，在CPU上透過Gemma.cpp 使用量化版本來解鎖本地端性能；也能透過Hugging Face Transformers，於具備Nvidia RTX或GeForce RTX的家中電腦使用。</p> <p>相較於第一代，Gemma 2不僅有更高的性能、推論效率，並強化了安全，也更容易整合到使用者的工作流程中，它支援Hugging Face Transformers、JAX、PyTorch及TensorFlow等AI框架，並針對Nvidia的加速基礎設施進行優化，也能作為Nvidia NIM推論服務，之後也會針對Nvidia的自然語言處理解決方案NeMo展開最佳化。</p> <p>為了打造更安全的AI應用，即日起開發者已可利用Python函式庫對模型及資料進行比較評估，於程式中產生視覺化的結果，此外，Google也正準備替Gemma模型開源文字浮水印技術SynthID。</p> <p>自Google於今年初開源第一代Gemma後，該模型已被下載超過1,000萬次，其中一個Navarasa專案即利用Gemma來建立一個支援多元化印度語言的微調模型。</p> </div></div></div>
2024/6/28 16:00作者陳曉莉https://www.ithome.com.tw/news/163705
針對角川集團遭勒索軟體攻擊事故，傳出是駭客組織BlackSuit所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月上旬<a href="https://www.ithome.com.tw/news/163495">日本知名的影片共享平臺Niconico傳出服務異常</a>，隨後事態擴大，母公司角川集團發出聲明證實，不光是Niconico，角川網站及電商平臺Ebten都受到影響。該集團後來在14日證實遭遇勒索軟體攻擊，並透露資安事故發生的過程，事隔兩週，這起事故出現新的發展。</p> <p>6月22日角川發出聲明，<a href="https://tp.kadokawa.co.jp/.assets/240622_release_zA69Tsjh.pdf">表示</a>已有媒體報導透露攻擊者的身分，並認為這麼做將助長網路犯罪，甚至有可能會使犯罪者受益。對此，他們考慮循求法律途徑求償。</p> <p>究竟攻擊者的身分為何？根據本週資安新聞網站Bleeping Computer報導，<a href="https://www.bleepingcomputer.com/news/security/blacksuit-ransomware-gang-claims-attack-on-kadokawa-corporation/">勒索軟體駭客Black Suit聲稱是他們所為</a>，這些駭客宣稱約在一個月前開始存取該集團的網路環境，由於語言的差異，他們花費不少時間偵察、了解總公司與子公司的網路如何連結，理解該集團IT部門建置的混亂架構，並認為角川的網路架構配置不當，所有不同的網路與角川大型基礎架構連結，並透過虛擬化平臺VMware ESXi、vSphere建置的全球控制點進行管理。</p> <p>駭客宣稱在成功存取控制中心之後，他們就加密了整個網路環境，包含多玩國（Dwango）、Niconico、角川書店，以及其他子公司，都在他們加密檔案的範圍。</p> <p>另一方面，對方也表示從角川的網路環境竊取約1.5 TB的內部資料，這些包括合約、DocuSign文件、法律文件、各服務平臺使用者資料、員工個資、業務規畫、專案相關資料、財務資料，以及其他內部使用的機密資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/kadokawa-blacksuit.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/kadokawa-blacksuit.jpg" style="width: 580px;" /></a></p> <p>這些駭客要脅角川，若是不付錢，他們將在7月1日公布所有竊得的資料。</p> <p>而對於這起資安事故後續處理情形，<a href="https://tp.kadokawa.co.jp/.assets/240627_release_en_wD9vY5XU.pdf">角川在27日發出新的聲明</a>，表示他們正著手架構安全的網路及伺服器環境，會以業務考量為優先，復原會計相關的系統，預計在7月初會完成。該集團也透露，目前出版書籍的狀況有受到影響，雖然新出版的書籍仍能維持正常速度出貨，但部分出版品降為正常的三分之一，他們將尋求替代方式減少衝擊。</p> <p>至於是否有客戶資料外洩的情況，該公司表示尚在調查，但強調他們所有系統並未存放信用卡資料，這方面的資料不會因此事故曝光。</p> </div></div></div>
2024/6/28 14:26作者周峻佑https://www.ithome.com.tw/news/163704
零售IT雙周報第37期：Amazon如何用AI在物流中心攔截問題商品，提升顧客滿意度並降低物流和耗損成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0617~0629)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺 #品質管理 #智慧物流 #生成式AI</span></span></strong><br /> <strong>Amazon如何用AI在物流中心挑出受損品及錯規格的商品</strong></p> <p>Amazon揭露<a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ai-sustainability-carbon-footprint-product-defects">自家如何在物流中心利用AI來挑出受損品及不符訂單規格的商品</a>。他們將此技術稱為Project P.I.。出貨前，商品會經過一個掃描器，Project P.I.會用電腦視覺技術抓出商品受損或不符合訂單規格的情況，如書本封面折到、衣服錯尺寸等，並標註出問題商品，供作業人員調查。</p> <p>不只如此，Project P.I.還搭載了多模態LLM技術，用來理解過往發生類似商品受損或規格錯誤的狀況，以強化判斷問題商品能力，甚至辨識出同類型商品出問題的常見模式。接著，Amazon可以就這些出問題的常見模式，跟供應商共同探討未來改善方法。</p> <p>Amazon表示，用Project P.I.提早辨識出有問題的商品，不僅能提升整體顧客滿意度，同時還能達到節省成本及環保效果。這些辨識出有問題的商品不一定要丟棄，還能放到Amazon自家二手市集販賣，或捐出，或將這些商品用於他處。反之，若沒有及時發現問題商品就出貨，顧客退貨時會消耗包裝及物流資源。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電子標籤 #OMO零售</span></span></strong><br /> <strong>Walmart將於2,300間門市大規模導入電子貨架標籤，能快速更新資訊還可支援補貨及揀貨等作業</strong></p> <p><a href="https://corporate.walmart.com/news/2024/06/06/new-tech-better-outcomes-digital-shelf-labels-are-a-win-for-customers-and-associates">Walmart宣布將於2026年前在2,300家門市內導入電子貨架標籤。</a>一間Walmart門市約有120,000類商品，也就是說至少會啟用2.7億個電子貨架標籤。Walmart表示，導入電子標籤不只能用於快速更新價格和優惠資訊，還將用於協助門市人員作業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/walmarttag.jpg" style="width: 600px;" /></p> <p>補貨時，門市人員可以遠端操控該貨架電子標籤示意燈，以利他們找到對應貨架。同理，在支援線上下單線下取貨（BOPIS）或從門市內貨架挑揀外送用商品時，也可以遙控對應貨架示意燈，來加速揀貨作業。這意味著，隨著OMO零售成熟，電子貨架標籤的效益不僅限於支援實體門市管理，還能進一步拓展到強化數位零售效率。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO零售 #會員經營 #跨商家導流</span></span><br /> 全家會員App整合日本代購電商比比昂購物功能，還會根據全家自家會</strong><strong>員喜好來分眾推播商品</strong></p> <p>全家便利商店與日本代購電商比比昂合作，將後者電商功能整合到前者會員App中。消費者可以利用全家會員身分一鍵註冊比比昂會員，也能直接在全家App中瀏覽比比昂的商品。經實測，此功能操作介面與流暢度媲美原生功能，不會像開啟App內建瀏覽器連接到外部網站一樣卡頓。此電商功能還會依照全家會員個人喜好數據，對會員進行分眾行銷，呈現不同商品於主頁。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fmmbba.jpg" style="height: 450px;" /></p> <p>以線下零售為主的全家將外部電商整合到自家會員App，不僅能增加一個消費者打開App等數位通路的誘因，還能進一步蒐集會緣於外部通路的消費喜好數據。對合作電商來說，則是新增了一個獲客管道，還能利用全家會員數據來對潛在客戶進行分眾行銷。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AMR #自動化物流</span></span></strong><br /> <strong>網家A7物流中心開始導入上百臺AMR，提升3倍揀貨效率</strong></p> <p>網家於林口A7物流中心的3層樓中導入了上百臺智慧物流機器人（AMR），用來揀貨到工作站，節省作業人員親自揀貨的勞務。PChome表示，導入這些機器人後，揀貨模式從以人就物，改為以物就人，作業員步行距離縮短了一半，揀貨效率也提升了3倍。</p> <p>此機器人另一個好處是不需要環境照明即可揀貨，因此能節省貨架區照明成本。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #圖片背景生成</span></span></strong><br /> <strong>eBay推出用生成式AI製作商品圖片背景的功能</strong></p> <p>C2C電商巨頭eBay持續發展對圖像類AI相關應用，<a href="https://innovation.ebayinc.com/tech/features/background-swap-tool-turns-any-photo-into-a-studio-quality-product-image/">近期推出可以輕鬆替換商品圖片背景的功能</a>。過往，eBay已經有圖片去背功能，現在則能進一步生成出多種背景圖樣，來替換原本背景。若商家對AI生成的背景圖不滿意，還能簡單的編輯圖片，或是重新生成更多不同樣式。此功能目前只在iOS商家App上線，未來數月會上線到Android版App。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ebaygai.jpg" style="width: 700px;" /></p> <p>雖然這類生成式AI技術已經不算新穎，不過eBay自己推出此功能，有望降低更多中小型商家利用生成式AI來提升賣場圖片素材品質的門檻。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #聊天機器人 #線上訂位</span></span><br /> 台灣大哥大與Line、inline聯手，瞄準餐飲業者推出AI語音訂位服務</strong></p> <p>台灣大哥大與Line、碩網資訊、inline合作，共同推出AI語音預約訂位服務。消費者可透過播打電話或Line電話來訂位，以及查詢、修改及取消訂位。此服務背後技術是台灣大哥大的行動市話服務、碩網資訊的語意辨識及語音合成技術、Line的Clova聊天機器人，以及inline的線上訂位服務。</p> <p>除此之外，消費者若在訂位時，附帶提問用餐相關問題，例如店家周邊停車資訊、用餐時間限制、兒童用餐、座位等用餐環境相關問題，會由ChatGPT 3.5判斷應答。（<a href="https://www.ithome.com.tw/news/163200">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://www.prnewswire.com/news-releases/toysrus-studios-and-native-foreign-use-openais-sora-to-narrate-the-origin-story-of-beloved-toyrus-brand-302180332.html">玩具反斗城成為第一個用文字轉影音的生成式AI Sora打造行銷用影片的零售商</a></p> <p>2. Costco也要開始做RMN，將1.3億會員數據用於數位行銷</p> <p>3. 韓國公正交易委員會以操控演算法來增加自有品牌出現頻率為由，對酷澎祭出等同新臺幣33億元罰款</p> <p>4. <a href="https://www.prnewswire.com/news-releases/albertsons-media-collective-partners-with-rokt-to-extend-its-retail-media-ecosystem-adds-non-endemic-ads-across-its-portfolio-of-brands-302167123.html">北美第二大連鎖超市Albertsons開放非供應商在旗下RMN投廣</a></p> <p>資料來源：iThome整理，2023年6月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Amazon、Walmart、eBay</p> <p></p> </div></div></div>
2024/6/28 13:20作者郭又華https://www.ithome.com.tw/news/163699
防堵濫用AI模型行為，OpenAI將封鎖不支援地區的API流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI採取更積極措施，防堵中國、伊朗及俄羅斯等國用戶存取其AI模型。中國業者已經摩拳擦掌準備搶占OpenAI留下的市場空缺。</p> <p>今年5月OpenAI基於<a href="https://www.ithome.com.tw/news/163297" target="_blank">偵測到</a>數個區域人士濫用其AI模型產出及發布文章，企圖影響戰爭、政治或引發種族、宗教不安，對中國、俄羅斯、伊朗採取措施，<a href="https://openai.com/index/disrupting-deceptive-uses-of-AI-by-covert-influence-operations/" target="_blank">封鎖</a>這些地區的人士或App存取OpenAI網站或API。</p> <p>本周OpenAI電子郵件<a href="https://community.openai.com/t/identifying-api-keys-with-traffic-from-unsupported-regions/837837" target="_blank">通知一名開發商</a>，因偵測到其API使用包含「不支援」地區的流量。OpenAI指出該公司將從7月9日起，採取進一步措施封鎖不支援國家地區的API流量。這封訊息暗示，若屆時還有類似情形，可能會被封鎖存取OpenAI的API。</p> <p class="rtecenter"><a href="http://community.openai.com/t/identifying-api-keys-with-traffic-from-unsupported-regions/837837" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-open%20ai-api-block-600.png" style="width: 600px;" /></a></p> <p>媒體也<a href="https://www.dailysabah.com/business/tech/chinese-ai-firms-court-openai-users-as-it-plans-api-restrictions" target="_blank">報導</a>，中國用戶已接獲OpenAI郵件訊息，警告他們位處該公司現階段不支援的地區，告知7月初會有進一步封鎖來自這些地區的API流量。</p> <p>OpenAI此舉形同暫時撤出中國市場，可能重演2010年Google退出中國市場後，給了俄羅斯Yandex及百度坐大的歷史。</p> <p>百度本周<a href="https://mp.weixin.qq.com/s/rznAUNO8uazBWjhNc9VSzQ" target="_blank">宣布</a>用戶移轉方案，招來中國用戶轉到其AI平臺智能雲千帆。該公司提供首次使用主力模型及輕量模型5,000萬token免費，針對OpenAI移轉用戶則提供號稱同等級的ERNIE 3.5 token套裝方案。此外模型訓練、微調、SDK搬移工具及搬移服務也都免費。</p> <p>根據時代雜誌<a href="https://time.com/6992026/openai-china-ai/" target="_blank">報導</a>，阿里巴巴／騰訊支持的<a href="https://mp.weixin.qq.com/s/PcwstlCtZVL4LJY37bfX_g" target="_blank">百川智能</a>、商湯科技<a href="https://mp.weixin.qq.com/s/nDJF5JG5OtVeHTQfKY5N7A" target="_blank">「日日新」</a>、<a href="https://open.bigmodel.cn/" target="_blank">智譜</a>皆祭出零元移轉的方案，連微軟也和當地業者合作類似方案，向OpenAI用戶招手。</p> </div></div></div>
2024/6/28 12:01作者林妍溱https://www.ithome.com.tw/news/163698
蘋果開放產品維修使用第三方顯示器與電池、開放歐洲用戶自行維修
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2024/06/apple-expands-self-service-repair-diagnostics-support-to-europe/" target="_blank">蘋果昨（27）日宣布</a>，將允許iPhone維修顯示器和電池使用第三方零件，而不影響功能。蘋果同時宣布自助維修支援軟體擴大部署到歐洲32國，允許這些國家的消費者能DIY維修。</p> <p>蘋果過去為人詬病的一點是，不允許用戶找非授權經銷商或使用非蘋果零件維修iPhone或Mac電腦等產品。消費者iPhone若使用第三方零件，不僅保固會失效，也會導致特定功能失去作用。例如換了非原廠顯示器後，iOS/Mac的原彩（True Tone）功能會無法使用，這功能可偵測外在環境光線強弱而自動調整手機內容的顏色和亮度。此外，若iPhone更換了非原廠電池，在電池狀態（battery health）檢視功能也將無法顯示特定量測值，像是最大電量及充電次數等。</p> <p><a href="https://support.apple.com/content/dam/edam/applecare/images/en_US/otherassets/programs/Longevity_by_Design.pdf" target="_blank">蘋果最新文件說明</a>，今年下半，為提供第三方零件更好的支援，蘋果將允許其產品使用第三方顯示器和電池時，原彩和電池狀態資訊二項功能將可正常作用。在前者，若消費者更換非蘋果顯示器不滿意，可以透過「設定」App來關閉原彩功能。針對電池狀態資訊，蘋果會顯示第三方電池量測值，同時顯示蘋果無法驗證本資訊的警告通知。蘋果鼓勵所有使用非原廠電池的消費者應確定產品滿足嚴格的安全要求。</p> <p>此外，<a href="https://www.apple.com/newsroom/2024/06/apple-expands-self-service-repair-diagnostics-support-to-europe/" target="_blank">蘋果並在本周宣布</a>，蘋果自助服務維修診斷（Apple Diagnostics for Self Service Repair，簡稱診斷）軟體將開放歐洲32國，包括英、德、法、荷等國用戶下載。這個軟體是去年6月首先在美國提供，允許消費者享有和蘋果授權經銷維修商及獨立維修業者同等測試零件功能及效能的權利，以找出需要維修的部分。現在連同美國，該診斷軟體共支援33國及24種語言地區。這個診斷軟體明年將再擴大到加拿大。</p> <p>除了擴大到更多國家，蘋果本周也擴大可適用自助維修的蘋果產品。去年6月一開始這方案僅允許13吋M2 MacBook Air及MacBook Pro，<a href="https://www.theverge.com/2023/12/13/23999669/apple-self-service-repair-diagnostics-m2-macbook-iphone-15" target="_blank">去年12月</a>擴大到iPhone 15、更多M2-based電腦及Mac Studio。最新宣布下，支援產品進一步增加搭載M3晶片的MacBook Air，共支援42項蘋果產品。</p> </div></div></div>
2024/6/28 10:55作者林妍溱https://www.ithome.com.tw/news/163697
【iThome 2024 CIO大調查系列2｜CIO觀點】旅宿業大缺工怎麼解，大倉久和用生成式AI留住潛在商機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「電話一直響，沒有人來接，潛在房客就這樣流失了。」大倉久和飯店資訊部經理林峻正形容旅宿業者缺工時會發生的情境。</p> <p>「如果AI能接起電話回應，甚至滿房時，推薦其他有空房的時間，就能保留住這些商機。」林峻正認為，這正是服務業重啟數位轉型的一大推力──用科技彌補缺工帶來的潛在損失。</p> <p>許多旅宿業者數位轉型腳步較為緩慢，在這波大缺工潮中，才終於開始思考如何用IT來增加效率、降低成本，以因應缺工窘境。開始有更多企業主意識到，利用IT取代人力，更符合長期經濟效益。</p> <p>林峻正坦言：「一個員工一年人事薪水要四十萬，但一個自動化機器人可能只要幾千塊，不用教育訓練，還可以24小時工作。」</p> <p>林峻正說明，旅宿業者會先拆分內外勤不同職位的工作內容，盤點出高重複性、低難度的項目，再用不同技術來打造出自動化機制，紓緩缺工壓力。常見的工作項目包括線上客服、語音客服、客房服務、系統表單填寫、工作流程管理、教育訓練等。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>利用生成式AI及RPA機器人來取代高重複性、低難度勞務</strong></span></span></p> <p>在飯店業所用的工作自動化技術中，生成式AI是非常重要的一類技術。林峻正認為，疫情爆發以來，不同服務業先後開始投資數據類科技，但市場上沒有出現特別新的數據類產品，許多企業不會再加碼更多預算來投資大數據，也無法將數據科技應用到更多場景。直到2023年，生成式AI浪潮席捲全球，許多導入門檻低、應用方法簡單的工具陸續問世，使許多企業趨之若鶩。</p> <p>以旅宿業來說，要導入CDP等較進階的數據科技產品，不只需要先花費許多功夫在數據清洗和整合等準備作業上，就算成功導入，效益也未必能馬上反應於在營收上。反觀生成式AI類產品中，有許多可以直接應用在服務端，例如客服、資料整理、簡單的問答機器人等，能有效輔助甚至取代人工勞務，成效立竿見影，因而特別受到旅宿業青睞。</p> <p>大倉久和現在就有打算利用市面上專門打造給旅宿業用的GPT類工具，來打造智慧客服及內部知識管理用的問答機器人，用生成式AI輔助基礎但重要的業務流程。林峻正也列舉了其他旅宿業常見的生成式AI應用方法，包括教育訓練、會議紀錄及工作項目追蹤等。</p> <p>RPA機器人也是一項重要的勞力缺口彌補工具。林峻正說明，旅宿業內部有許多工作流程有待自動化。例如，過往旅宿業許多系統之間的數據拋轉作業都仰賴人工作業。這包含將外部OTA（Online Travel Agency，線上旅行社）訂房資訊輸入到自家訂房系統，或是從從餐廳訂位系統抄寫數據到會員系統等。除了系統間數據拋轉，飯店業還有大量紙本資訊需要人為輸入，例如信用卡授權書、訂房確認書等紙本文件。</p> <p>旅宿業人力尚足時，一直沒有數位化這些作業的強烈誘因。如今，旅宿業面臨人手嚴重不足，IT部門便需要整合系統和打造RPA機器人，協助各部門快速完成這些作業，釋放出更多人力。林峻正補充，系統整合同時能進一步提升旅宿業者IT體質，使IT能不只能加速既有業務流程，更能打造更多新應用來進一步加速企業營運效率。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>ESG是推動數位轉型的另一大因素</strong></span></span></p> <p>不過，大缺工不是唯一一個驅使旅宿業者數位轉型的外部因素。</p> <p>林峻正說，政府及民間都積極推動ESG，是旅宿業者數位轉型另一大動力。大倉久和也將數位轉型目標對齊ESG指標，來決定優先實施的做法。</p> <p>其中一項基本但重要的措施是無紙化作業，作為許多數位轉型措施的先置作業，更作為ESG一環，許多仍有大量紙本作業的旅宿業者，終於趁著這個時機，開始將紙本文件掃描為數位文件，並導入數位簽核系統，數位化原本的紙本作業流程。</p> <p>另一項重要轉型項目是用電量監控。以大倉久和為例，他們計畫打造儀表板來監控用電量，甚至要利用AIoT技術，來自動化調節設備用電。</p> <p>林峻正還以自家做法為例，說明旅宿業其他受到大環境影響而不得不推動的數位轉型項目。例如，因應法規做資安轉型，提交個人資料安全維護計畫，以及，因應疫後消費習慣，翻新數位通路的介面和底層顧客數據分析技術等。</p> </div></div></div>
2024/6/28 09:17作者郭又華https://www.ithome.com.tw/news/163655
【iThome 2024 CIO大調查系列2｜CIO觀點】進軍數位通路更擁抱生成式AI，全國電子靠數位轉型開源節流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全國電子近一兩年的數位做法，是圍繞著人力資源限制及消費者習慣來進行。一方面，服務業人力資源難以補充，他們有意靠IT來取代人工作業，提升生產力。另一方面，則是要迎頭趕上疫後以來的OMO零售及個人化服務趨勢。</p> <p>他們今年大舉進軍數位通路，打造行動電商App和行動支付功能，更建立了號稱元宇宙商店的虛擬3D門市，用不同數位形式，來呈現自家商品及購物體驗。配合進軍數位通路策略，他們還發展數位會員管理系統，用來追蹤顧客數位足跡，以支援全國電子分析顧客喜好後，對顧客進行個人化行銷。</p> <p>他們還積極擁抱去年爆紅的生成式AI技術，逐步應用在更多業務流程中。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>3階段發展生成式AI，謹慎驗證AI產出內容精準度</strong></span></span></p> <p>為了擁抱生成式AI來強化營運效率，全國電子從去年開始，陸續整合、清洗不同系統的數據，來發展家電領域的專屬AI模型。全國電子資訊管理處協理黃漢傑表示，他們依照應用難度低至高，分3階段來發展生成式AI應用。</p> <p>第一階段最簡單，是利用生成式AI來生成行銷素材。配合全國電子大舉發展數位通路的策略，他們希望能提供個人化體驗，依照顧客喜好呈現出對應素材。為此，他們利用生成式AI來快速、大量產生多樣化圖文素材。這個應用的導入門檻相對低，幾乎不需要運用到全國電子內部的營運或家電領域數據，行銷人員就可以直接開始使用。</p> <p>全國電子目前所處的第二階段是，利用生成式AI工具來快速理解、整理內部資訊。這包括內部不同IT系統的操作方法，以及各式各樣家電的規格及操作方法等數據。他們先用些整理完的數據，來打造內部知識管理用的問答工具，供內部人員快速查詢業務所需資訊。這些數據還要用來支援下一個生成式AI應用發展階段，也就是用這些數據來打造更多、更完善的應用。</p> <p>相較於第二階段只是對內用問答工具，全國電子應用生成式AI的第三階段是打造完整內部客服與外部客服，可以用自然語言進行流暢溝通。對內，可以用於員工訓練或查詢各式知識；對外，則可以對顧客提供電器需求規劃、產品諮詢等客戶服務。黃漢傑說，之所以還沒有走到這階段，是因為全國電子希望先確保AI回答問題的準確性，再正式將生成式AI應用於對外客服。</p> <p>他進一步說明，隨著各種生成式AI工具問世，企業應用AI技術的門檻大幅降低。不過，企業難以控制生成式AI產出內容，屬於易學難精的一種技術，因此全國電子在應用時，態度非常謹慎。他們打算先用真人驗證自家AI能穩定產出高品質答案，同時，評估是否能應用其他技術，來驗證或強化生成式AI產出內容品質。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位轉型重視長期開源節流</strong></span></span></p> <p>今年CIO大調查中，服務業IT部門在採用GAI技術時，較其他產業都更重視商業面目的，例如降低成本、增加營收等。黃漢傑評論，全國電子IT部門也十分重視整體企業商業面目標，而非只是被動滿足其他部門IT需求。甚至，他們不只重視短期營收效益，更重視長期的開源節流。</p> <p>他說，有些企業投資數據建設一段時間，卻看不見效益反映於營收上，因而感到卻步。不過，數據科技在前置作業階段的效益，例如數據清洗、整合，都是反映在企業IT體質上，而非營收。要放眼長期，才能看見數據科技帶來的商業面好處。</p> <p>以全國電子為例，過往需要靠店員及總部人員統整顧客喜好數據，但有了會員管理系統等數據建設，這些人力便能轉而投入其他事務，這是節流。數據科技還可以明確追蹤消費者足跡，容易量化出營收效益，例如行銷轉換率、沉睡顧客喚醒等，是開源。這些都是經歷了數據科技導入的前置作業之後，會逐漸浮現出來的商業面效益。他說，數據就是每個企業的金庫，可以從中找出獲利的機會，或是改善營運績效的方式。「只不過，要先妥善整合好數據，才能有效發揮價值。」</p> </div></div></div>
2024/6/28 09:18作者郭又華https://www.ithome.com.tw/news/163668
【iThome 2024 CIO大調查系列2｜CIO觀點】推動零信任架構加速資安轉型，臺北市府今年內釋出AI使用規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「至少在我任期內，臺北市政府正轉型朝向實踐零信任的政府機關」，臺北市政府資訊局長趙式隆一語道出，臺北市正推動資安轉型。</p> <p>趙式隆以零信任作為分水嶺，他將零信任之前視為舊資安，而在零信任之後則是新資安，過去北市在舊資安已打下良好基礎，然而面對層出不窮的風險，臺北市為強化資安，近幾年積極推動資安轉型至新資安。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>配合中央推動零信任架構</strong></span></span></p> <p>臺北市一方面規畫配合中央政府的政策推動零信任架構，另方面也與時俱進，與外部業者合作，汲取國外的新觀念及作法，例如臺北市與Cisco在資安方面簽署合作備忘錄，將國外的觀念作法引進國內，針對國內的環境、法規架構，先進行POC測試，評估是否適合引進國內，作為後續擴大投資參考。</p> <p>由於臺北市推動資訊向上集中，因此資訊局統籌規畫導入零信任，擴大投資分階段導入零信任機制，先從各局處的共同系統著手，資訊局推動零信任架構，除了軟硬體採購，也為各局處教育訓練，各局處配合市府技術發展進程。目前臺北市政府已向中央政府爭取經費補助，未來如果獲得補助，配合中央政府推動零信任架構政策。</p> <p>除了依照政府零信任架構的推動策略，市政府也思考在身分識別，將近期三讀通過的電子簽章法納入通盤考量。由於電子簽章法規定政府機關公告排除適用電子簽章，將在一年後終止，市政府計畫先在內部先推廣運用電子簽章，未來內部推動如果成效良好，再進一步推向市府便民服務。</p> <p>趙式隆表示，現在市府內部約有9成以上公文已數位化，但涉及採購的密件公文礙於法規，仍使用紙本公文、手工蓋章，難以做到公文全數位化，電子簽章法的通過，有機會讓臺北市實現電子化公文最後一哩。「電子簽章法三讀通過，代表數位化的身分驗證，從真實世界到虛擬世界，兩個世界的整合是大家期待的普世價值，政府可以率先完成這件事」，他說。</p> <p>不論是零信任架構的身分鑑別，或是電子簽章法的數位身分，趙式隆認為兩者都是處理身分的驗證（Authentication），電子簽章法的通過，等於提供新的身分驗證選擇（Option），相當於放寬身分驗證方式，但是，隨放寬而來的風險也需要一併考量，目前國內政府機關還沒有這樣的嘗試，市府希望率先嘗試，未來將實務推動經驗提供外界參考。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>以5年10億元經費補助各局處發展人工智慧應用</strong></span></span></p> <p>除了資通安全轉型，臺北市也積極發展人工智慧應用。過去資訊局統籌分配臺北市政府資訊預算，但往往僅能提供各局處申請維護既有資訊系統費用，難以支持各局處發展創新應用，因此臺北市啟動新的作法，從明年開始以5年10億元預算，即1年2億元的預算，推動競爭型科專計畫，響應市長發展人工智慧的願景，各局處需提出AI相關計畫，由資訊局邀請外部委員，從技術、法規、倫理、採購各方面進行審議。</p> <p>趙式隆表示，臺北市希望透過獨立預算，由熟悉不同業務的各局處提出相關計畫，擴大投資AI，使其在臺北市遍地開花。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>制定市府AI管理規範</strong></span></span></p> <p>至於ChatGPT帶動的生成式AI，臺北市政府以慎重方式使用生成式AI，市政府規畫包括生成式AI在內制定一套完整規範，資訊局參考歐盟最新法規，目前已研擬草案提供給各局處以蒐集意見，後續將召開專家委員會，聽取專家的意見，預計今年內就會正式公布。</p> <p>儘管正式規範尚未推出，臺北市並沒有禁止使用生成式AI，趙式隆提出大原則是機敏性資料，由各局處自行判斷是否運用機敏性資料，並且負起責任，如果沒有涉及隱私或侵權則可使用生成式AI，北市教育局開放學校老師使用生成式AI產生考題。</p> <p>考慮到使用生成式AI公共服務如ChatGPT有一定的風險，臺北市政府要求提供AI學習的資料必需為開放資料，例如臺北市資料大平臺的資料，或是市府各機關網站的公開資訊。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>生成式AI應用涉及機敏性資料必需落地</strong></span></span></p> <p>至於機敏性資料使用生成式AI，則必需在具有主權算力環境下，使用具有較高控制權的大型語言模型。「在機敏性資料使用生成式AI來提高工作效率、提升服務品質，特別具有價值，這是不可避免的，因此軟硬體都需要較高的主導權」，趙式隆說。</p> <p>臺北市政府規畫建置主權算力，目前評估幾個可能的作法，包括建置共通機房，採購機器設備，建立完全自有的算力，另一個則是，向資料中心業者購買專屬的算力，運算資源與其他使用者為實體獨立。臺北市政府資訊局未來希望爭取預算，投入建置主權算力，並且能夠落地的大型語言模型為主，例如國科會力推的TAIDE，臺北市政府與TAIDE研發團隊合作，市府也與獨立發展繁體中文大型語言模型的聯發科合作，還有其他的開源LLM。</p> <p>趙式隆表示，不同的大型語言模型各自有不同的專精領域，未來可以交互使用，但涉及到機敏資料，必需要能落實在臺北市具有控制權的主權算力環境。</p> <p>北市已小規模測試生成式AI在公務的應用，包括輔助新手公務員生成公文草稿，還有針對話務量相當高的1999專線，民眾經常撥打1999陳情、詢問事項，以生成式AI技術開發互動式知識管理，協助客服快速取得相關資訊，再由客服調整回覆資訊給民眾。另外，還有協助機關回覆議員索取資料等等。</p> <p>趙式隆表示，不論是公文內部使用或對外服務民眾、議員索資，不會直接以生成式AI產出內容提供給議員、民眾，需要搭配人力配套執行，短時間內不會很快推出，明年上半年可能有機會。除了這些應用，資訊局目前也測試將市府網站上公告的文件資料，這些文件內容可能篇幅較長，為方便民眾快速掌握文件內容，市府正測試運用生成式AI產生文件摘要的功能。</p> </div></div></div>
2024/6/28 09:18作者蘇文彬https://www.ithome.com.tw/news/163669
【iThome 2024 CIO大調查系列2｜服務業IT趨勢1】從省科技錢到用科技省錢，服務業數位轉型力道重啟
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-feng_mian_-fu_wu_ye_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年，各產業IT預算加碼幅度大多回升，平均成長率為10%。去年不景氣仍守住2位數大關的服務業，今年也持續提升IT預算，幅度為11.7%。細看服務業IT預算各項目，讓人眼睛一亮的是數位轉型預算成長率從去年7.8%增加到13.1%。服務業不僅加碼數位轉型力道更強，更是各產業中唯一一個預算成長率為正的產業。</p> <p>這股數位轉型動能從哪來？首先是疫後OMO熱潮，至今不但沒有消退，更是深化、廣化。已經經營線上線下通路的服務業，開始進一步打通通路間數據流、增加數據分析及應用方法、甚至用來開發新業務。同時，仍有一些服務業者，直到最近才開始正式進軍數位通路，或大幅翻新舊有數位通路。</p> <p>不只如此，相較於去年，許多企業因為經濟不景氣而省IT錢，今年企業則開始用IT來省錢，用科技增加生產力，甚至取代人力。</p> <p>促使服務業者這麼做的一大理由是，已經持續數年的缺工問題。要維持企業正常營運，不因人手不足而流失更多商機，服務業者必須重新審視既有工作分配方式，由科技代勞高重複性、低難度的作業，將人力用在刀口上。</p> <p>另一個原因則是，2023年起，市面上出現了一類低導入門檻、高即用性的好用工具──生成式AI類工具。可以生成圖片和文字的生成式AI類工具，對服務業可說是再適合不過。對外客服、接待、點餐、行銷，對內知識整理、文件梳理、創意提案，都是可以用生成式AI來輔助，甚至完全取代的應用場景。這些都有助於減緩缺工壓力。再來，許多套裝生成式AI工具還不需要與導入企業的系統密切整合，只需要簡單設定和操作知識就能用，導入門檻低又能快速見效。</p> <p>積極擁抱生成式AI工具，也使服務業投資大數據的預算有著驚人成長率，從去年預算減少2.2%，變成今年增加17.3%，成長幅度近2成。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>最擁抱公雲的產業，一半企業將上雲作為因應ESG策略</strong></span></span></p> <p>服務業仍然是最積極擁抱雲端科技的產業。服務業企業雲原生應用比例及企業應用上公雲比例在各產業中都最高，且兩指標從2023年到2024年底的預估成長率也是各產業最高，前者預計成長5.7%到35.6%，後者則是成長6.5%到31.7%。</p> <p>不只採用比例最高，服務業擁抱雲端科技的力道也最大，雲原生比例超過50%的企業比例和AP上公雲超過50%的企業比例，都遠高於其他產業。採用FinOps（雲端維運成本管理）、多雲混合雲，以及將上雲作為因應ESG策略的企業比例，服務業都穩居全產業之首。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-4-PNG.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:20作者郭又華https://www.ithome.com.tw/article/163680
【iThome 2024 CIO大調查系列2｜服務業IT趨勢2】服務業最積極擁抱GAI應用，聚焦可量化商業面成果
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-feng_mian_-fu_wu_ye_2-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2023年，生成式AI應用遍地開花，服務業是最積極摘下這些花朵的產業。</p> <p>面對生成式AI浪潮，服務業比其他產業都更鼓勵員工使用GAI（如ChatGPT），從個人層級擁抱這些應用。從組織層級，他們也更積極使用GAI來提高人員生產力。一年來，高達15%服務業者已經走到正式上線生成式AI應用階段，甚至是進一步深化應用範圍。這個比例較整體產業高出一倍，凸顯出服務業採用此新興技術的步伐快速。</p> <p>雖然服務業最積極採用GAI工具，但資安方面更著重強化員工GAI（如ChatGPT）資安意識，較少服務業者特別強化機敏資料保護機制。一個原因是，服務業許多生成式AI應用場景，不需要使用到機敏資料，例如行銷素材生成。</p> <p>另一個原因來自於服務業者導入GAI應用的模式。許多服務業偏好採用低導入門檻、開箱即用的生成式AI工具，或者是直接使用ChatGPT，共通點是，都不需要跟其他系統高度整合，因此資安疑慮較少。正是這種先採用簡單的工具、「先用再說」的態度，使服務業GAI導入進程領跑其他產業。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GAI是靠IT節省成本的重要解決方案</strong></span></span></p> <p>服務業者採用GAI時，非常注重商業面成果。相比於「累積AI經驗與實力」這種難量化成果的目標，服務業者導入GAI時更注重直接的商業面成果。舉例來說，降低成本、改良既有產品或服務、設計新產品或服務、擴大營收、獲取更多新顧客、開拓新事業等，都是服務業資訊主管導入GAI應用時，較其他產業更重視的目標。</p> <p>服務業如此聚焦於商業面成果，一大原因是因為總體經濟環境和大缺工窘境，迫使他們利用科技來降低成本及人力需求。生成式AI應用，就是IT部門用來省錢的一種重要做法。</p> <p>許多生成式AI工具導入技術門檻低、使用成本低、操作容易，且容易立即看到成效。這些特質，使服務業IT願意積極嘗試用生成式AI工具，來取代部分高重複性、低難度勞務，進而省錢、省人力。要達成這些目的，IT部門也面臨新課題，必須理解不同部門業務流程，拆解出真正可用GAI取代的環節。同時，還需確保生成式AI工具產出內容的精確度。</p> <p>進入實戰的服務業者們，將GAI用在哪些場景？IT技術性工作方面，服務業與其他產業聚焦的用途大致相同，不外乎撰寫文件、學習新技能、撰寫與優化程式碼，以及解答技術問題。IT部門以外，常見用途則包括專門領域的知識管理、打造文書類RPA流程、產出行銷素材、智慧客服、接待、點餐、創意提案等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-4-PNG.png" style="text-align: center; width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-1-PNG(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-2-P%EF%BC%AE%EF%BC%A7.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-3-PNG(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:22作者郭又華https://www.ithome.com.tw/article/163683
【iThome 2024 CIO大調查系列2｜政府學校IT趨勢1】兼顧資安轉型與數位韌性，AI成為創新應用及分析決策利器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-feng_mian_-zheng_fu_xue_xiao_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ithome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">今年政府及學校的IT預算為2.11億元，較去年成長5.8%，雖然不及去年疫情後的IT預算成長幅度新高的8.9%，但顯示政府及學校IT預算逐漸恢復穩步成長。</p> <p dir="ltr">近幾年在資安即國安的政策下，強化資安一直是最多CIO的目標，今年雖然仍是最多CIO的目標，但是比例從2023年87.8%下滑到2024年的78%。這不代表資安不再受到重視，相反地，因應遠距上班、上雲等彈性的工作型態、外部資源彈性運用，資安風險隨之增加，加上兩岸情勢更為緊張，CIO投注更多心力在其他方面，例如推動資安轉型、數位韌性。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>7成CIO將資安轉型、強化數位韌性列為年度目標</strong></span></span></p> <p dir="ltr">其中推動資安轉型，面對資訊安全的風險增加，政府學校從過去被動建置防火牆、找漏洞、更新，化被動為主動，部署主動防禦，或是強調永不信任、都要驗證的零信任機制，零信任機制也是目前政府積極推動的資安防禦政策。去年的調查中，資安轉型排名為第8名，約4成的政府及學校CIO列為目標，今年調查則一舉提高到70.7%。</p> <p dir="ltr">而隨著全球極端氣候，以及兩岸情勢緊張，天災人禍可能無預警發生，措手不及之下可能導致網路通訊中斷、政府服務受阻，因此近幾年政府力推數位韌性，去年5成8的CIO將強化數位韌性列為目標，今年提高到70.7%。</p> <p dir="ltr">值得注意的是，隨著AI成為提升內部營運效率、對外服務的新技術，AI創新應用與服務已逐漸成為各產業轉型發展的趨勢，政府及學校也不例外，去年只有約26.8%的CIO將AI創新應用與服務列為目標，並未進入前十大目標，但是今年調查發現該比例增加至56.1%，為政府學校CIO年度十大目標的第4名。</p> <p dir="ltr">政府學校也積極推動以數據分析為基礎的決策，由於面臨的龐大數據，因此運用AI進行數據分析輔助決策也成為政府學校的目標，去年約2成的CIO將AI強化分析與決策列為目標，今年比例提高到近4成。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位轉型與資安仍是投資兩大重點，雲端投資增加</strong></span></span></p> <p dir="ltr">在8大領域IT投資方面，數位轉型、資訊安全仍是政府及學校的投資第一、二名，投資占IT預算的比重，分別為13.4%、11.8%。這兩年雲端投資顯著成長，雲端投資從去年1,544萬元成長到今年的2,070萬元，占IT預算比重將近1成，預算僅次於數位轉型、資安，雲端的投資金額，可能與政府近幾年放寬限制，推動政府對民服務上雲，以及因應天災人禍導致國內大規模災害發生，健保、交通、戶政、財稅等18項民生關鍵系統上雲有關，需投入更多的預算在相關上雲準備工作上。</p> <p dir="ltr">從調查來看政府學校IT的雲化發展，對雲的投資也反映在政府學校應用上公雲的比例，從2023年底的19.54%，預期到2024年上升到23.33%。不過，雲原生應用比例則從32.96%，略微下降至29.37%。</p> <p dir="ltr">至於其他重點IT投資占比皆不到5%，雖然占比並不高，但是投資金額成長幅度卻有明顯變化，例如今年對邊緣運算IoT的投資金額成長138.9%達到442萬元，對AI機器學習投資金額成長64.7%至359萬元。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-4-PNG.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:25作者蘇文彬https://www.ithome.com.tw/article/163632
【iThome 2024 CIO大調查系列2｜政府學校IT趨勢2】超過4成政府學校CIO今年將採用ChatGPT類應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188zheng_fu_xue_xiao_2-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">ChatGPT在全球帶動生成式AI、LLM快速發展，並逐漸受到政府及企業的重視，AI成為新一波數位轉型發展的焦點。行政院去年通過所屬機關使用生成式AI參考指引，為公務機關使用GAI揭示參考性的原則，今年新政府開始執政，宣示推動公務機關運用AI創新應用服務、提高行政效率，AI成為政府轉型的下一步。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>逾4成3今年將採用ChatGPT類應用</strong></span></span></p> <p dir="ltr">根據調查，在眾多技術中，RPA流程自動化頗受青睞，特別在金融業，高達6成採用RPA，在一般製造、高科技製造、服務業也是有一定的比例採用，但是ChatGPT類應用從去年開始逐漸受到重視，各產業整體採用的比例為27.7%。</p> <p dir="ltr">今年ChatGPT類應用各產業整體採用比例上升到41.2%，如果單看政府學校，ChatGPT類應用採用比例為43.9%，位居第1名，為最多政府學校CIO採用的技術，其次是微服務架構，GAI技術、多雲混合雲、AI/ML應用以相同比例居第3、4、5名，顯示政府學校採用最多前5名技術，與AI相關就有占了3項。</p> <p dir="ltr">至於第6到10名技術以現代化IT技術為主，讓政府學校IT體質彈性運用資源，並且標準化、更安全、加快開發步調，例如Kubernetes、Open API、FIDO無密碼身分識別、敏捷開發等等。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>先確保資料安全、員工意識再評估如何運用GAI</strong></span></span></p> <p dir="ltr">相較於其他產業，政府公務機關受外界監督，因此對GAI的採用多抱持謹慎的態度，從政府學校因應GAI採用的前十大對策中，可看到6成CIO加強員工的資安意識，4成3加強機敏資料保護，顯示先強化員工素養、資料保護的前提下，再評估如何運用GAI，如透過種子團隊先以小規模嘗試GAI，或是內部系統嘗試串接GAI，外部服務嘗試串接GAI等。</p> <p dir="ltr">值得注意的是，在政府學校對GAI的對策中，在內網限制禁用ChatGPT的比例為7.3%，該比例較去年的調查些微提升；另外，相較於公共服務模式的ChatGPT，政府學校基於機敏資料保護，發展企業用GPTs應用的比例為7.3%，而使用開源LLM自行訓練的也有9.8%。</p> <p dir="ltr">身為機關、組織整體資訊政策規畫者，12.3%調整現有AI發展策略，在我們與部分的CIO的採訪中，雖然行政院已提出生成式AI參考指引，但有機關規畫內部的AI管理規範，依照不同的業務情境，來進一步控管各部門運用GAI。</p> <p dir="ltr">今年CIO大調查顯示，鼓勵創新、提高員工生產力是政府學校採用GAI的主要考量，在缺乏人力的情況下，讓人力得以投入更有價值的工作上，並且導入GAI以符合政府學校的數位轉型需求。</p> <p dir="ltr">調查顯示，目前政府學校運用GAI，約3成4用於撰寫文件，將近3成用於學習新技能，2成4則是用於程式碼撰寫，也有一部分運用在大量數據的分析應用，例如資料分析、資安分析，大量程式碼分析優化，以及知識管理的技術解答等等。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-4-PNG.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:27作者蘇文彬https://www.ithome.com.tw/article/163633
【iThome 2024 CIO大調查系列2｜CIO觀點】旭榮集團靠IT強化減碳來獲取更多訂單，看重GAI潛力先鼓吹員…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「要延續企業的發展，一定要做好數位轉型與永續轉型，才有機會接到訂單」旭榮集團總管理處IT系統專案部資深經理林宗霖明白表示。</p> <p>身為50年老牌本土紡織廠，旭榮集團雖是私有企業，並未公開上市，但卻很早就開始推動ESG永續轉型，從2022年起先後完成了中國常州與越南染廠範疇一、範疇二碳排總量盤查，並在今年2月正式通過了SBTi科學淨零碳排目標審核，成為紡織業中少數幾家確定未來減碳目標的本土企業之一，展現了其減碳的決心。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>導入新數位管理系統，優化工廠能耗管理</strong></span></span></p> <p>旭榮的淨零排放策略主要聚焦在減少碳排和抵減兩大主軸，在減少碳排方面，旭榮大大仰賴IT來加速推動工廠整體減碳作業，例如在能源間接排放管理上，旭榮近年來導入了一套名為 IDCC（Intelligent Data Control Center）的數位管理系統。這套系統能夠將整個生產管理流程納入其中，優化工廠能耗管理，並對齊可持續發展目標（SDGs）。他表示，這套數位化管理系統能夠分析供料、織造、染整和倉儲的即時 KPI 數據，並以視覺化的方式呈現結果，同時提供異常管理分析，減少異常的發生。此外，旭榮還建置了自動倉儲系統，進一步提高了能源效率。</p> <p>旭榮在工廠中部署了大量感測器和智慧電表，持續蒐集能耗、各項動力成本和用水數據，並將其整合到IDCC系統中統一管理，加強碳排放數據的蒐集和管理。在用水改善方面，旭榮在染廠導入中水回用系統進行水循環再利用，截至目前，已節省超過4,300座國際標準游泳池的水量。另外所有染廠均已完成太陽能板的部署，可供應廠內10～15％用電。</p> <p>林宗霖強調，旭榮投入數位轉型與永續發展的原因，簡單來說，就是為了求生存並延續企業的發展。他觀察到，越來越多的品牌商客戶開始重視其供應商的永續發展，並將優先選擇那些在永續和減碳方面表現較好的業者。</p> <p>例如有家知名運動品牌商提出了Life Cycle Assessment （LCA）專案，要蒐集產品生命周期的碳排放數據，來符合其減碳路徑的要求，逐步落實減碳目標，也要求供應商的配合來蒐集完整的數據。在挑選供應商的過程中，他們會派人定期走訪旭榮工廠，了解生產狀況、數位化發展和減碳作為，來作為供應商挑選的參考依據之一。</p> <p>他表示，旭榮原本就已導入一套 IDCC 數位管理系統，能整合工廠中機臺的能耗、動力成本和用水數據，並將這些數據回傳到後端進行分析和儲存。後來，他們改進這套系統，可以兼顧 LCA 數據收集和分析的需求。因此讓他們可以被該品牌商選中，成為三家供應商之一。</p> <p>不只是完成碳盤查，他表示，目前旭榮已經可以因應國際品牌的要求，提供包含碳足跡在內的生產追溯。</p> <p>甚至在範疇三的供應鏈碳管理方面，旭榮近期也計畫打造自己的紡織數位雲平臺，未來可透過雲端平臺的API串接，自動取得上下游供應鏈源頭的碳排數據。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來將評估在內部KM系統上引進GenAI</strong></span></span></p> <p>除了ESG永續發展，在數位轉型方面，旭榮過去10多年來一路從數位化、自動化、智慧化BI，發展到智慧化AI，自3年前展開多方AI的探索，例如利用AI進行紡織成品的品檢，也嘗試在製造過程中應用AI。林宗霖表示，接下來他們將持續評估數據建模，利用AI最佳化染劑配比，提高生產一次成功率。此外，還在業務端評估如匯率預測等風險較低的應用。</p> <p>生成式AI技術在去年快速爆紅，今年進到企業應用階段，越來越多生成式AI產品、工具甚至開源模型推出，降低企業進入的門檻。林宗霖非常重視生成式AI的議題，不只鼓勵各單位可以多方嘗試，甚至還舉辦多場AI教育訓練，增強員工對新興科技的認識和應用，包含如何利用這個工具，有哪一些平臺可供選擇，或是辦理徵稿活動，促進員工使用AI。例如利用生成式AI規畫業務行程和客戶互動。同時也會提醒使用這類AI時的注意事項。</p> <p>他透露，目前IT部門也有開始採用GPT-4o模型的ChatGPT，應用在資料庫中處理SQL語法的優化。</p> <p>他表示，未來將會評估在公司內部的知識管理系統上應用生成式AI，但在製造現場或製程方面，則會傾向於採用傳統或較成熟的預測建模方法，甚至使用更具可解釋性的決策樹。</p> </div></div></div>
2024/6/28 09:29作者余至浩https://www.ithome.com.tw/news/163649
【iThome 2024 CIO大調查系列2｜CIO觀點】禾伸堂靠IT推動雙軸轉型，落實ESG永續也要加速工廠轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為40年老牌本土被動元件製造商，禾伸堂企業也面臨政府課徵碳費帶來的衝擊。</p> <p>ESG永續發展已成為了企業必須重視的重要議題，尤其為落實永續淨零政策，臺灣今年將開始徵收碳費，針對用電大戶的碳排放量課稅，許多企業將根據每年使用碳排放量繳交費用，不只是進行碳排放數據搜集、監控，也得積極展開減碳的工作，落實 ESG，逐步邁向永續發展。</p> <p>碳費成為企業的新成本來源，碳排放量越多，企業所需支付的成本就越高，這迫使企業必須開始重視減碳的作為，甚至要採取更低碳的生產流程，並串接各種碳排放數據，建立更明確的碳成本，加速永續轉型。</p> <p>為了因應2024年碳費徵收制度，禾伸堂早早開始了節能減碳計畫，不僅在工廠部署太陽能板，以供應工廠所需的電力，去年展開了ISO14064- 1:2018 溫室氣體盤查，並成立推動小組進行溫室氣體排放盤查減量計畫。</p> <p>這家製造商還制定了短中長期的減碳目標，計畫在2024年將百萬顆產品的年排放強度較2019年減少10%，並在2050年達到相當於2005年排放量的50%的減量。禾伸堂IT也成為了加速公司實現永續目標和推動減碳的重要關鍵。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位轉型需求和ESG永續並重</strong></span></span></p> <p>禾伸堂目前正積極推動雙軸轉型策略，一方面加速工廠的數位轉型，另一方面也要因應ESG落實永續發展的要求。禾伸堂企業資訊中心協理郭建中坦言，目前他們遇到的最大考驗是，如何兼顧數位轉型需求和ESG永續發展，成了禾伸堂IT面臨的重要挑戰。</p> <p>幾年前，禾伸堂積極在工廠的數位轉型導入了IoT技術，希望能夠打造工業4.0的智慧工廠。目前在工廠擁有多達1千臺機臺設備，其中已有300臺機臺部署了IoT感測器，持續蒐集機臺參數數據，並將這些數據回傳到後端的資料庫進行監控與分析。他表示，這些感測器的建設和數據蒐集及儲存，都需要消耗電力，也增加了工廠和機房用電量，因而增加了碳排放量。</p> <p>為了降低轉型對環境的衝擊，符合ESG的減碳要求，禾伸堂從幾個面向著手，一方面持續收集和監控碳排放數據，作為改善碳排的參考，同時也提高種電的比例，減少非綠色能源使用。此外，在IT採購方面，開始考慮環境因素的IT友善程度，例如，在選擇CPU時傾向於選擇低耗能的CPU，如Arm架構的CPU相比於x86架構的CPU更加節能。禾伸堂不僅逐步增加Arm架構伺服器的採用比例，工廠部署的大量IoT裝置也都使用Arm處理器。</p> <p>更進一步，禾伸堂將朝向雲原生架構發展。郭建中規畫將來的IT架構完全轉向Cloud Native，先從IoT環境開始進行轉換，改用Kubernetes平臺處理和儲存IoT數據，然後逐步擴展到其他IT系統。</p> <p>他指出，這樣做的好處，在於能夠增加資源運用的彈性與擴充性。此外，考慮到安全因素，禾伸堂並沒有將這個雲原生環境放上公雲，而是選擇在地端進行部署，以確保對於數據和系統的安全和管控。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來將聚焦邊緣端的 GenAI應用</strong></span></span></p> <p>近幾年，禾伸堂在AI發展上也有不少投入，例如導入AI技術進行瑕疵檢測，搭配結合攝影機來辨識和找出來產品上的瑕疵，以提高生產效率與產品的良率。不僅如此，他們還計畫未來在MES系統中加入AI機制，使MES具備自主判斷能力，能夠由AI協助處理條件判斷式的問題。</p> <p>不光如此，企業GenAI應用在今年受到高度矚目，許多企業今年不是計畫導入，就是已經開始利用這項技術，來提高員工生產力、優化內部流程和加速數位轉型。</p> <p>郭建中指出，目前他們正在研究和評估生成式AI的企業方案，但比起立刻採用，郭建中採取的策略是從底層資料的準備開始著手，他強調，建立完整且充足的資料是首要任務，因為如果資料量不足，生成式AI助手很難提供其所需的答案。</p> <p>在GenAI應用上，郭建中表示，未來將聚焦在邊緣端的GenAI應用。例如利用GenAI進行工廠IoT數據進階分析與判斷，或是結合影像辨識的GenAI應用等。</p> </div></div></div>
2024/6/28 09:29作者余至浩https://www.ithome.com.tw/news/163650
【iThome 2024 CIO大調查系列2｜CIO觀點】高雄市府3作法加速推動資安轉型，更以AI強化城市治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來發展快速的高雄市，因應愈來愈高的威脅，在中央的補助之下，高雄市增加對資安的投資，高雄市政府資訊中心主任劉俊傑表示，目前高雄市政府在強化資安正推動3項做法，第一項做法是建立主動防禦，過去的資安策略較為被動防禦，例如採購防火牆、防毒軟體等，現在轉向採用比較主動式的防禦，例如蒐集Log資料，包括端點資料，以主動分析發現異常事件。他以紅軍演練為例，傳統委託業者扮演紅隊，利用駭客入侵找出哪裡有弱點，但市府進一步希望掌握入侵可能留下哪些Log資料，透過工具設定檢視規則，主動掃描新的Log，當發現可疑的異常情形，再由專業人員進一步分析。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建立主動偵測防禦、強化資安管理制度、產官學合作培養稽核能力</strong></span></span></p> <p>去年資訊中心開始導入這套做法，先用於偵測資訊中心底下的系統，今年計畫擴大到高雄市政府B級機關，明年再納入C級機關，其他機關由於沒有自己的資訊系統，因此明年可望納入整個市府的資訊系統。不只是市府內的資訊系統，甚至要將這套偵測機制在2026年擴大到OT系統，例如交通號誌系統、水閘門控制系統等等。</p> <p>除了導入主動偵測防禦機制，劉俊傑指出，過去資安以技術為主，現在逐漸回歸到資安風險管理，類似網路世界的風險管理，如同實體世界購買保險的風險分散、風險管理，市府規畫先強化完備資安管理制度，根據這些管理制度需求，規畫應該採購哪些資安設備。「軟硬體技術面的解決方案應該輔助制度能夠做得更快、更好，更省時省力，達到更好的效果」，劉俊傑說。</p> <p>因此，第二個做法是推動專案強化市府的資安管理制度，包括國家資通安全管理法及子法，政府推動的資安治理成熟度，以及國際上的ISO 27001、ISO27701、ISO27008等等，以往這些管理制度、標準各自推動，可能導致重覆執行，市府計畫將這些制度及標準整併，以更有效率的方式推動落實管理制度，強化資安風險管理。高雄市政府也希望利用自動化工具，讓推動管理制度更便利。</p> <p>鑑於管理制度需要定期稽核，因此第三個做法是推動產官學合作，由於市府底下有200多個機關，以現有的人力難以逐一稽核各個機關，傳統的稽核方式是高中低所有風險等級一次稽核，劉俊傑認為，這麼做不符合風險管理的角度，因此調整做法，先稽核每個機關的高風險項目，再稽核較低的風險項目。另外，依照法規要求，不同資安責任等級機關需要的資安專責人員，這些人雖需具備相關證照，但缺乏稽核的經驗，由於不能稽核自己所在的機關，市府鼓勵專責人員稽核其他機關，並委託外部業者扮演教練的角度，針對稽核主題提供檢核表，並且先教育訓練市府的資安稽核人員，至於人力不足的問題，市府與學校合作，透過資安研究領域的老師尋找適合的學生，協助市府的資安稽核工作，由業者帶領市府的資安專責人員、學生進行稽核，為了鼓勵學生參加，市府聯合產官學頒發獎狀或證書予學生，對其未來就業加分。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>運用AI改善城市治理</strong></span></span></p> <p>目前高雄市政府也積極運用AI改善市政、民眾服務，主要分為兩個方向，一個是透過智慧城市專案，媒合各個局處面臨問題，和外部民間企業的資源，來測試運用新科技解決問題，AI即是其中一例，例如運用AI協助輕軌偵測軌道上的異物、是否淹水，加強軌道運輸的安全管理，或是在KTV等場所，利用附近監視器及麥克風，透過AI辨識影像、聲音判斷是否發生高風險的行為，聯絡快打部隊前往處理。</p> <p>另一方向是市府的聊天機器人，過去運用NLP技術的聊天機器人，但會有回答錯誤的情形，市府與資訊服務業者合作，計畫運用生成式AI技術，利用RAG技術克服公部門資料外洩的風險，並且降低生成式AI的幻覺問題。</p> <p>劉俊傑表示，先蒐集各機關網站QA資料，作為檢索的資料，再運用生成式AI（微軟Open AI企業版，具有專屬資料庫）以比較自然的方式回答民眾的問題，將幻覺限制在可控的資料範圍內，初步評估成效不錯。另外，目前民眾陳情撥打1999專線話務量龐大，並且民眾經常會詢問客服某個特定單位窗口的分機號碼，他認為未來1999可運用生成式AI技術的聊天機器人，來降低真人客服的工作負擔。</p> <p>今年高雄市府也測試微軟Copilot，目前先由資訊中心測試產生會議紀錄、摘要，未來如果效果不錯再擴大至其他單位，然而，劉俊傑也表示，確實在某些方面能夠節省時間，由於訂閱的費用並不低，並非每位同仁都需要使用，並不會採購大量Copilot授權讓每位同仁都能使用。</p> <p>至於產生公文部分，因公文牽涉市府對外的公權力，政府機關在外界高度關切下，較不被允許出錯，需要更慎重的評估考量是否用於產生公文。「先從基本公務上，讓大家使用比較熟悉，且對使用者規範有概念後，再一步步導入比較嚴謹的公文系統」，劉俊傑說。</p> <p>儘管目前高雄市政府測試Copilot企業版服務，仍是雲端部署的服務，但劉俊傑表示，今年Computex電腦展中，邊緣端的AI運算成為趨勢，全才型的生成式AI固然很好，但各局處僅需要專精特定業務領域資料的AI知識助理，隨著小參數模型發展，未來幾年他相信地端AI應用方案將會愈來愈成熟。</p> <p>除了投資資安與AI，高雄市政府近幾年也積極整併各局處的小機房，資訊向上集中至資訊中心管理，高度虛擬化的大機房，以私有雲方式服務其他局處，利用資訊向上集中，讓IT預算高低不一的各局處可以統一作資料備分。</p> <p>由於資訊向上集中，也讓IT的系統備援更為重要，因此高雄市政府也強化數位韌性，今年將過去位於鳳山的縣府機房改建為第一備援機房，用以備援市府大部分的VM。另外，市府也與AWS公有雲合作，租用2臺伺服器，可使用80個VM虛擬機器，定時將各局處單位共同且重要的VM備分到AWS，例如市府官網、公文系統、API平臺等，讓位於境外的公有雲作為第二備援中心。經過測試，如果高雄市政府四維的資料中心系統出現異常，約5到10分鐘內可以由AWS境外的VM支援。</p> </div></div></div>
2024/6/28 09:30作者蘇文彬https://www.ithome.com.tw/news/163651
【iThome 2024 CIO大調查系列2｜各產業IT趨勢總論】GAI浪潮開始衝擊臺灣大型企業，三產業破4成企業積極…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-feng_mian_-aichuang_xin_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是生成式AI創新大爆發的一年。生成式AI開始影響，甚至是改變臺灣的大型企業，<strong><span style="color:#B22222;">高達17.6%的企業CIO評估，自家企業或所屬產業，2024年會因生成式AI而大受衝擊</span></strong>，其中有些現在就開始感受到衝擊。又以人力密集需求高的醫療和政府學校，感受到的生成式AI衝擊感最強烈，超過兩、三成的CIO如此認為。對這些企業而言，生成式AI不是未來的課題，而是今年需要面對的挑戰。</p> <p>不少企業早在去年，就開始嘗試生成式AI，除了鼓勵員工嘗試之外，去年已有2企業開始評估生成式AI技術的可行性，更有一成多的企業設立了種子團隊來嘗試生成式AI。</p> <p>到了今年，隨著企業級GAI相關技術和開發工具，在今年陸續出現，更加速了這股GAI浪潮，開始影響到臺灣各個產業。在今年3月，已有8.8%企業認為，生成式AI技術已經大幅改變了所屬產業和自家企業。不只是服務業，就連高科技製造業、一般製造業也開始有少數企業CIO感受到衝擊。</p> <p><span style="color:#B22222;"><strong>整體產業平均高達近9成企業認為，自家企業有需要採用生成式AI</strong></span>，有些企業就算所屬產業還沒有受到衝擊，也打算跟進嚐鮮。不過，今年真正開展開計畫和行動的企業大約是七成。其中，金融業和政府學校的需求最高，高達96.2%金融業者自評有需要採用，政府學校也高達95%。需求最低的產業是一般製造業，不過也有近8成企業自評有採用需求。</p> <p>為了因應這波GAI浪潮的衝擊，不少企業紛紛積極嘗試，尋找可行的GAI應用方式和場景。去年那一群積極嘗試的企業，模索到了部分可行的應用場景，因此，7%領頭羊企業已開始在正式環境中採用GAI，尤以服務業和醫療業較多。</p> <p>近3成企業今年開始導入，展開各種PoC驗證實驗，另外還有3成企業正在計畫，準備跟進。金融業、醫療和政府學校都過超過半數企業，在今年積極擁抱GAI，開始嘗試，誰能更快以合理資源和成本，找出更有價值的生成式AI應用場景和做法，就能在逐漸成形的創新競爭浪潮中搶先一步。</p> <p>ChatGPT讓企業高層或一般員工感受到生成式AI的威力，不過，對企業來說，不見得所有工作或業務，都能夠或適合引進生成式AI技術。許多企業仍舊處於導入和驗證階段，還有另外一個AI監理與法遵風險的考量，讓企業不敢冒進，就算在正式環境中採用，也會搭配真人把關，或者避開可能有法遵風險潛在法遵風險的應用場景。</p> <p>不過，<span style="color:#B22222;"><strong>金管會在去年發布了《人工智慧法案金融業運用AI指引》草案</strong></span>，這是國內第一份產業AI指引。在去年發布了草案之後，從四大AI系統生命周期，包括了系統規畫設計、資料搜集和輸入、模型建立及驗證，到系統部署與監控，來規範各階段的採用建議。這份指引，迅速成為各產業引進生成式AI時的參考採用原則，企業為了避免日後所屬主管機關跟進發布同樣的產業AI指引，相當重視這份產業AI指引。這份指引在今年6月正式發布，也修正了諸多實務執行上的細節，例如針對不同部署方式而有不同的考量，更明定了高風險AI系統可視需要引進第三方審查評測，也放寬AI可解釋性的要求，不用解釋無法取得的AI模型運作細節，而是由採用企業自行說明在自家AI系統中的運作情況即可。</p> <p>臺灣第一份產業AI指引出爐，有助於加快企業在正式環境中採用生成式AI的腳步，不用面對未來可能的法遵風險自行摸索，而能依據不同AI法遵的規範方向，預作準備，更放心的嘗試生成式AI的應用場景。這一步，將成為企業從實驗驗證階段，跨入正式採用的關鍵助力，可以預期，從2024年下半年開始，會有更多企業開始將生成式AI整合到正式環境，與內部系統或對外產品與服務中採用，這也會帶來臺灣另一波生成式AI應用的爆發。文⊙王宏仁 </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-AI%E5%89%B5%E6%96%B0-600-1-P%EF%BC%AE%EF%BC%A7.png" style="width: 600px;" /></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1188-%E5%B0%81%E9%9D%A2-AI%E5%89%B5%E6%96%B0-600-2-%E5%8E%9F%E5%9C%96-PNG(2).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-AI%E5%89%B5%E6%96%B0-600-2-PNG.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 08:52作者王宏仁https://www.ithome.com.tw/article/163677
【iThome 2024 CIO大調查系列2｜高科技製造業IT趨勢2】超過兩成高科技製造業者已導入GAI應用，少數更開…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-gao_ke_ji_2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高科技製造業CIO今年的目標不僅是發展ESG和資安，還比以往更加重視AI，特別是ChatGPT類應用和生成式AI（GAI）技術，使得生成式AI成為高科技製造業今年最火紅的新興科技。</p> <p>高科技製造業今年CIO年度目標中，<span style="color:#B22222;"><strong>ESG企業永續排名提升一名，成為第二大年度目標</strong></span>。超過4成高科技製造業今年把永續發展列為年度優先目標，僅次於強化資安，顯示配合公司永續目標依然是CIO今年很重要的任務，至於資安在今年依舊十分重要，有超過7成的高科技製造企業列為年度優先目標。</p> <p>不過，值得一提的是，在這些年度目標中，AI受到CIO更多的重視，<span style="color:#B22222;"><strong>今年在用AI創新應用與服務，以及用AI強化分析與決策這兩項目標的排名有很大進步</strong></span>，從原本的第十名之外，大幅提升至第五和第六名，甚至超越了數位轉型的目標。</p> <p>近4成的高科技製造業CIO將AI創新應用與服務以及AI強化分析與決策列為年度目標。這些CIO對於AI更加重視，也反應在AI投資上比去年增長2成。另外從高科技製造業採用十大熱門新興技術中，也能看出這個趨勢，高科技製造企業今年計畫導入的新興技術中，前十名中有四項與AI 相關，且採用比例都有所增長。例如近2成高科技製造業今年要導入行動AI應用，去年僅不到一成。</p> <p>尤其是去年ChatGPT應用的出現，掀起了新AI應用風潮，許多企業今年開始在內部嘗試導入這類應用，使得ChatGPT類應用在今年一舉成為企業最受歡迎的新興科技。近四成的高科技製造業將其列為今年優先導入的重點。</p> <p>ChatGPT背後關鍵技術是GAI技術，包含LLM、圖片生成、影片生成等，帶動了企業對於GAI技術的採用，甚至今年計畫導入GAI技術的高科技製造業比去年增長3倍。超過2成高科技製造業CIO要導入GAI技術，希望藉此來提高員工生產力和優化內部流程，甚至利用AI加速內部轉型。</p> <p>從高科技製造業GAI成熟分布來看，也能反映出，高科技製造業目前所身處的GAI應用階段。整體來看，超過兩成高科技製造業者已導入GAI應用，少數更開始擴大採用。另外有超過5成高科技製造業不是今年開始計畫採用，就是已經進到導入和驗證的階段。不過，仍有快4成的高科技製造業尚未採用。</p> <p><span style="color:#B22222;"><strong>高科技製造企業IT 部門是公司內部最早採用GAI的內部單位之一</strong></span>，在許多技術性工作中已經開始採用GAI。近3成高科技製造業IT部門開始用GAI培訓人員學習新技能，讓IT人員能夠更快掌握新技能，提升工作效率。此外，也有超過兩成的高科技製造業IT是將GAI用於文件撰寫文件和程式碼優化。另有超過一成高科技製造業IT則是將GAI應用在程式碼撰寫、資料分析和團隊協作上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-4-PNG.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#FF8C00;"> 問卷說明 </span></strong></span><span style="color:#696969;"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:12作者余至浩https://www.ithome.com.tw/article/163675
【iThome 2024 CIO大調查系列2｜一般製造業IT趨勢】ESG和數位轉型並重，7成一般製造業者已經是轉型領先者
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-yi_ban_zhi_zao_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般製造業今年的IT預算平均達到3,373萬元，儘管與高科技業的預算金額相比仍有不小差距，但預算增長達到10.4%，不僅高於去年的7.4%，也超過了高科技業的6.2%成長率。這反映出在疫情解除後，一般製造業並沒有縮減IT預算，反而在ESG浪潮和數位轉型的驅動下，進一步加碼投資。</p> <p>儘管今年的IT預算高於去年，但一般製造業CIO在八大重點IT投資項目中，相比去年整體投資上較為保守，僅有DevOps和資安預算有超過1成的增長，尤其是DevOps預算更有近3成增長。<strong><span style="color:#B22222;">今年一般製造業技術轉型的投資重點主要在IT現代化，也帶動了DevOps的投資</span></strong>，進一步強化IT開發戰力。至於大數據的投資比重則持續減少，成為所有IT投資項目中負成長最多的項目。</p> <p>數位轉型依然是一般製造業所有IT投資項目中占比最高的項目，達到520萬元，幾乎占了整體IT預算的一成五。不過相比去年，一般製造業在數位轉型投資力道稍微減弱，反映出一般製造業不再像疫情期間那樣加速推動內部轉型，而是回歸原有的轉型步調來推動。</p> <p>從一般製造業數位轉型成熟度分布來看，也能反應這樣的趨勢。過去3年疫情，促使一般製造業者將轉型計畫提前實施，帶動一波數位轉型的加速。到了今年，超過7成的一般製造業者已經是轉型領先者，而轉型落後者的比例則下降到了約10%。</p> <p>另從一般製造業CIO年度目標來看，<span style="color:#B22222;"><strong>數位轉型和ESG企業永續在今年都相當重要</strong></span>，分占年度目標的3、4名。今年超過4成一般製造業CIO將這兩項列為年度優先目標，僅次於強化資安與確保IT穩定與一致的目標。</p> <p>臺灣今年碳費將上路，一般製造業中有不少是用電大戶，未來每年不僅需要定期進行碳盤查，還得依據自身碳排放量繳交碳費，因此，如何用系統化方式定期進行碳盤查及產品碳足跡追蹤變得更為重要。這已成為一般製造業CIO今年首要任務。</p> <p>從一般製造業因應ESG的六大IT對策來看，<span style="color:#B22222;"><strong>超過半數的一般製造業CIO今年優先完成碳盤查及碳足跡監測的系統化工作；其次是ERP支援ESG資訊搜集</strong></span>，也有超過三成計畫導入了這項功能，以建立明確的碳成本。這反映出，隨著今年碳價的公布，一般製造業CIO必須將碳成本與內部財務系統整合，以便掌握生產過程中的碳成本，並納入企業營運決策。此外，今年也有約兩成一般製造業要建置碳足跡儀表板，讓公司管理或營運高層能夠根據這些資訊制定減碳策略。</p> <p>但是，一般製造業在ESG和數位轉型並重的情況下，帶來了新的挑戰。如何兼顧IT轉型和環境永續發展，將成為CIO們今年的新課題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-4-PNG.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:16作者余至浩https://www.ithome.com.tw/article/163676
【re:Inforce 2024】Amazon S3首度整合惡意程式偵測，一年限量免費使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在re:Inforce 2024雲端安全會議發表多項資安服務，其中最受矚目的當屬物件儲存服務Amazon S3首度整合GuardDuty惡意程式掃描過濾功能，並且自發表後一年內提供限量免費使用。</p> <p>AWS的惡意程式防護服務GuardDuty保護的範圍，繼Amazon EC2、EKS、ECS、AWS Lambda、Fargate之後，也擴及物件儲存服務Amazon S3。過去S3儲存物件的防毒掃描，必須整合第三方資安公司的防護服務，而新推出的GuardDuty Malware Protection for S3服務，則會在用戶上傳物件檔案至S3時自動啟動掃描，檢測潛在的惡意程式、病毒或可疑內容，再放行至對應的儲存貯體；如果掃描後發現潛在威脅，可疑的上傳物件就會被移至隔離區。</p> <p>GuardDuty Malware Protection for S3可視為S3預設防毒防駭功能，因為過往AWS的服務要使用GuardDuty防護服務的話，都必須先啟用GuardDuty服務，不過GuardDuty Malware Protection for S3卻首度提供不需啟用GuardDuty服務，而可直接使用掃毒與惡意程式過濾功能。</p> <p>上述兩種模式的差異在於，有啟用GuardDuty服務的話，啟用的帳號會被賦予一個偵測識別碼，物件掃描結果會以該識別碼記錄下來，因此可以關連到所屬GuardDuty帳號，而如果同一帳號之下的其他服務也有使用GuardDuty，就可以在GuardDuty主控臺集中管理，檢視所有服務的掃描結果、可疑事件與防護狀態等。</p> <p>而單獨使用GuardDuty Malware Protection for S3的模式，雖因不需先啟用GuardDuty而能以簡單快速的方式啟動防護，不過也由於未啟用GuardDuty而無偵測識別碼，因此適合只有S3服務需要使用惡意程式防護功能，而無需使用GuardDuty完整功能的用戶。</p> <p>GuardDuty Malware Protection for S3掃描對象的設定，可以掃描所有新增至儲存貯體的檔案物件，或是只掃描符合特定前綴條件的物件，最多可設定5項條件。而掃描記錄亦可依結果標注相對應狀態的標籤，並傳送到EventBridge，用戶可據此安排後續的工作流程，用戶亦可自訂標籤，以利後續處理。</p> <p>GuardDuty Malware Protection for S3依目前提供截至2025年6月11日每月掃描限量1GB、1千次存取的免費使用額度。</p> </div></div></div>
2024/6/27 23:55作者吳其勳https://www.ithome.com.tw/news/163694
金管會修法擴大電支特約機構涵蓋外送、計程車等平臺，開放專營電支業者上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今天(6/27)預告「電子支付機構業務管理規則」修正草案，該草案修改13條，新增1條文，包括放寬特約機構範圍，將外送、計程車、停車平臺及業者納入電子支付範圍，並且，開放一卡通、街口、全支付等專營電支業者使用雲端服務。</p> <p>金管會表示，過去在疫情期間，帶動零接觸經濟需求，電子支付帳戶使用人數逐年增加，為滿足國人民生支付需求，同時因應電支機構業務發展需要，修正法規擴大支付範圍，此次修法有3大重點。</p> <p><span style="color:#B22222;"><strong>第1點，授權電支業者評估特約商家自動扣款交易</strong></span></p> <p>在電子支付的代理收付實質交易的自動扣款上，原本法規採正面表列方式，例如水電、政府規費等可以電子支付代理收付實質交易的自動扣款，然而考量到市場變化快速，若有不特定金額自動扣款的交易樣態，透過修法或解釋可能緩不濟急，並限制電支業者的業務發展。</p> <p>修正草案基於風險導向的規管精神，捨棄正面表列，授權電支業者依照銀行公會全國聯合會制定的資安、業務自律規範，評估特約機構的交易安全機制、交易爭議處理流程符合規範後，提供電支代理收付實質交易的自動扣款。</p> <p>換言之，原本金管會正面表列，僅開放水電、政府規費等可使用電支自動扣款交易，在修法之後，授權電支業者自行評估特約商家，只要符合一定的資安、業務自律規範，也能使用電支的自動扣款功能。</p> <p><span style="color:#B22222;"><strong>第2個重點，外送、計程車、停車平臺業者納入支付範圍</strong></span></p> <p>依原本管理規則第15條規定，特約機構應為最終收款方，但是金融業者、便利超商因為其代收的角色，可排除限制。</p> <p>金管會表示，疫情帶動零接觸經濟之下，國人已習慣透過平臺業者使用服務，例如外送平臺業者、計程車平臺業者、停車服務平臺，因這些平臺服務的交易特性屬於小額、非接觸消費，因此修法，只要建置相關的風險控管，外送、計程車、停車平臺可被列入電支支付的特約機構，進一步擴大電支的支付範圍。</p> <p><span style="color:#B22222;"><strong>第3點，開放專營電支業者上雲</strong></span></p> <p>因應開放金融業上雲，兼營電支機構多為金融機構，已可依照「金融機構作業委託他人處理內部作業制度及程序辦法」，金管會為監管一致性，草案新增45條之1，讓專營電支業者委外作業得以使用雲端服務，該條款要求專營電支業者，應對使用雲端服務訂定政策及原則，以及擬定風險管控措施，注意委託雲端服務業者的適度分散，並且電支業者對委託雲端業者負有最終監督義務，可自行或委託第三人查核雲端服務業者。</p> <p>電支業者傳輸或儲存客戶資料至雲端，必需經過資料加密或代碼化，並建立加密金鑰管理機制；此外，必需確保擁有資料完整所有權，需確保雲端服務業者沒有取得資料的權限。資料儲存以境內為原則，如儲存於境外，電支業者需具有指定資料處理及儲存地的權利，且境外資料保護法規不能低於我國，另外，除了經金管會核准，客戶重要資料應在我國留存備分。</p> <p>目前「金融機構作業委託他人處理內部作業制度及程序辦法」修正草案已在行政院公報及金管會網站上預告，以蒐集外界意見。</p> </div></div></div>
2024/6/27 18:51作者蘇文彬https://www.ithome.com.tw/news/163690
專門鎖定Redis伺服器的殭屍網路P2PInfect出現新的攻擊手法，駭客為其加入勒索軟體模組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自去年7月被發現的殭屍網路P2PInfect，主要的攻擊目標是分散式資料庫Redis伺服器，並運用其運算資源挖礦，但最近研究人員發現，有駭客在這款殭屍網路病毒納入勒索軟體功能，而有可能對目標伺服器進行檔案挾持。</p> <p>資安業者Cado發現<a href="https://www.cadosecurity.com/blog/from-dormant-to-dangerous-p2pinfect-evolves-to-deploy-new-ransomware-and-cryptominer">新的P2PInfect攻擊行動</a>，他們看到受害Redis伺服器在感染殭屍網路病毒後，會從特定的URL下載勒索軟體rsagen並執行，並對於資料庫檔案SQLITE3、SQL、DB，文件檔案DOC、XLS，以及影音檔案MKV、WAV、MP3等，執行檔案加密作業，並留下勒索訊息。</p> <p><a href="https://s4.itho.me/sites/default/files/images/P2PInfect-rsagen-note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2PInfect-rsagen-note.png" style="width: 580px;" /></a></p> <p>照理而言，Redis通常不會將資料存放於磁碟，即使勒索軟體取得高權限執行，很可能只能加密Redis組態配置檔案，雖然IT人員可指定將資料儲存到名為RDB的檔案裡，但這類檔案並不在勒索軟體的加密範圍，究竟駭客要如何綁架Redis伺服器，研究人員表示仍不清楚。</p> <p>除了上述的勒索軟體模組，研究人員指出與過往的版本相比，這個殭屍網路病毒也在其他層面出現大幅度的變化。首先，他們發現對方重新利用Rust非同步框架Tokio打造，並透過UPX加殼處理，而且，主要執行檔被剝離，且有部分程式碼經過混淆處理，這樣的做法使得靜態分析難以識別這款惡意程式。</p> <p>另一方面，此殭屍網路病毒具備新的使用者模式Rootkit元件，使得該病毒能夠藉由挾持合法的處理程序，埋藏惡意處理程序及相關檔案。</p> <p>再者，則是攻擊者可能採用障眼法，因為他們起初看到對方在P2Pinfect嵌入名為miner的執行檔，但這項元件實際上未曾被使用。後來研究人員在P2Pinfect主程式運作約5分鐘後，才看到挖礦程式啟動。</p> <p>究竟對方賺了多少錢？研究人員看到駭客賺得71個門羅幣（XMR），相當於9,660英鎊（約新臺幣39.7萬元），對方的礦池卻顯示僅有1臺機器執行挖礦，每個月約能產生15英鎊，對比P2Pinfect殭屍網路的規模，這種現象極為不合理，他們推測，駭客另有實際在挖礦的礦池。</p> </div></div></div>
2024/6/27 16:24作者周峻佑https://www.ithome.com.tw/news/163685
【資安日報】6月27日，舊版瀏覽器網站相容套件Polyfill.io被中國公司買下，驚傳被植入惡意程式碼，恐影響逾10…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定網站而來的供應鏈攻擊頻傳，在昨天我們報導有人對<a href="https://www.ithome.com.tw/news/163662">上架到WordPress.org市集的外掛程式植入惡意程式碼</a>後，有另一款熱門的網站程式庫Polyfill.io，也傳出更換經營團隊後，被植入惡意內容。</p> <p>值得留意的是，這個程式庫在輾轉交給中國一家內容傳遞網路（CDN）業者經營後，該業者就開始隨意竄改回傳用戶端的檔案，使得研究人員呼籲網站管理者應儘速移除，並尋求替代方案。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163667"><strong style="font-size: 22px;">易主後的polyfill.io被用來執行供應鏈攻擊</strong></a></p> <p>專門偵測電子商務惡意軟體與安全漏洞的資安業者Sansec周二（6月25日）警告，知名的Polyfill程式庫polyfill.io自今年2月賣給一家中國業者之後，開始嵌入惡意程式，將造訪使用其服務的網站使用者重新引導至體育賭博或其他惡意網站，呼籲網站管理人員應該關閉Polyfill，或是改用其他較為可靠的服務，例如：Fastly、Cloudflare提供的解決方案。</p> <p>此程式庫的主要功能，是在舊版瀏覽器中補充或模擬現代瀏覽器所支援的功能，當舊版瀏覽器用戶存取的網站採用現代化瀏覽器所支援的新功能時，網站即可導入該函式庫來實現相同的功能，讓網頁於舊版瀏覽器上能夠正常運作，目前全球有超過10萬個網站嵌入該函式庫而曝險。</p> <p><a href="https://www.ithome.com.tw/news/163671"><strong style="font-size: 22px;">勒索軟體LockBit聲稱入侵美國聯準會，竊得33 TB敏感資料，但傳出遭駭的實際上是一家銀行</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站SecurityAffair、Cybernews報導，6月24日惡名昭彰的勒索軟體駭客組織LockBit聲稱，他們駭入美國聯邦儲備系統（聯準會）的系統，竊得33 TB敏感資料，當中包含了「美國的銀行秘密」，要脅若不在期眼內付錢，將於25日公布這批資料。然而，這些駭客並未公布部分內容供買家查證，引起多名資安專家質疑，認為LockBit這麼做其實只是在虛張聲勢。</p> <p>隔天，該組織公布了21個下載連結，但值得留意的是，有部分疑似來自美國金融機構Evolve Bank and Trust，而且，這些駭客還附上聯準會6月14日針對這家金融機構進行執法行動的新聞稿，當時聯準會表示這家銀行在洗錢防治、風險管理、消費者法規遵循的執行上出現瑕疵。</p> <p>但這些資料究竟來自聯準會還是Evolve Bank and Trust？網路威脅監控公司HackManac透露，根據駭客公布的資料，對方顯然入侵了Evolve Bank and Trust，但目前並未發現機密文件的情況，該公司仍著手持續調查當中。</p> <p><a href="https://www.ithome.com.tw/news/163672"><strong style="font-size: 22px;">微軟旗下語音技術廠商管理不當，離職員工竊取美國賓州醫院百萬病患個資</strong></a></p> <p>美國賓州醫療院所Geisinger Health去年因微軟IT管理不當，讓一名員工離職後仍可存取其系統並竊取超過100萬名病人個資。</p> <p>根據Geisinger的說明，去年11月29日Geisinger發現隷屬於微軟的Nuance員工存取其病患資訊系統，而且是在他被公司解職後2天所為。在獲得客戶通知後，Nuance已永久終止這名前員工的系統存取權。目前這名員工已遭到逮捕，將面臨起訴。</p> <p>微軟在2021年併購語音技術供應商Nuance，並將其技術整合AI模型提供語音聽寫方案DAX，後者可用於醫療情境，像是產生臨床筆記、醫囑、電子病歷等。這並非Nuance首度因IT管理不當的釀禍，2018年舊金山公共健康部也遭Nuance離職員工存取了當地醫療網絡的IT系統。</p> <p><a href="https://www.ithome.com.tw/news/163685"><strong style="font-size: 22px;">專門鎖定Redis伺服器的殭屍網路P2PInfect出現新的攻擊手法，駭客為其加入勒索軟體模組</strong></a></p> <p>自去年7月被發現的殭屍網路P2PInfect，主要的攻擊目標是分散式資料庫Redis伺服器，並運用其運算資源挖礦，但最近研究人員發現，有駭客在這款殭屍網路病毒納入勒索軟體功能，而有可能對目標伺服器進行檔案挾持。</p> <p>資安業者Cado發現新的P2PInfect攻擊行動，他們看到受害Redis伺服器在感染殭屍網路病毒後，會從特定的URL下載勒索軟體rsagen並執行，並對於資料庫檔案SQLITE3、SQL、DB，文件檔案DOC、XLS，以及影音檔案MKV、WAV、MP3等，執行檔案加密作業，並留下勒索訊息。</p> <p>除了上述的勒索軟體模組，研究人員指出與過往的版本相比，這個殭屍網路病毒也在其他層面出現大幅度的變化。首先，他們發現對方重新利用Rust非同步框架Tokio打造，並透過UPX加殼處理，而且，主要執行檔被剝離，且有部分程式碼經過混淆處理，這樣的做法使得靜態分析難以識別這款惡意程式。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.cadosecurity.com/blog/from-dormant-to-dangerous-p2pinfect-evolves-to-deploy-new-ransomware-and-cryptominer"><strong style="font-size: 20px;">專門鎖定Redis伺服器的殭屍網路P2PInfect出現新的攻擊手法，駭客為其加入勒索軟體模組</strong></a></p> <p>◆<a href="https://https://thehackernews.com/2024/06/new-"><strong style="font-size: 20px;">駭客組織Boolka鎖定網站發動SQL注入攻擊，意圖植入木馬程式Bmanger</strong></a></p> <p>◆<a href="https://www.cleafy.com/cleafy-labs/medusa-reborn-a-new-compact-variant-discovered"><strong style="font-size: 20px;">金融木馬Medusa鎖定安卓用戶下手，攻擊範圍遍及歐美7個國家</strong></a></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/polyfillio-javascript-supply-chain-attack-impacts-over-100k-sites/"><strong style="font-size: 20px;">舊版瀏覽器網站相容套件Polyfill被中國公司買下並植入惡意程式碼，恐影響10萬網站</strong></a></p> <p>◆<a href="https://snailload.com/"><strong style="font-size: 20px;">研究人員揭露新的攻擊手法SnailLoad，藉由網路延遲的變化推測用戶的活動內容</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163674"><strong style="font-size: 22px;">蘋果發布AirPods韌體更新，修補藍牙耳機配對漏洞</strong></a></p> <p>6月25日蘋果針對旗下藍牙耳機AirPods發布韌體更新6A326、6F8，修補身分驗證漏洞CVE-2024-27867，這項漏洞影響第2代以上的AirPods、所有型號的AirPods Pro、AirPods Max，以及Beats旗下的Powerbeats Pro、Beats Fit Pro。</p> <p>而對於這項漏洞帶來的影響，蘋果指出，當使用者的耳機在搜尋已成功配對的裝置時，攻擊者若是在藍牙訊號的範圍內，就有機會冒充已配對的裝置，從而取得存取耳機的權限。換言之，攻擊者可能藉此竊聽用戶的聲音。</p> <p><a href="https://www.ithome.com.tw/news/163681"><strong style="font-size: 22px;">研究人員針對西門子修補的SICAM設備漏洞提出警告，若不修補有可能被用於針對能源產業攻擊</strong></a></p> <p>今年5月、6月西門子針對旗下工業控制系統SICAM產品線發布例行更新，針對CVE-2024-31484、CVE-2024-31485、CVE-2024-31486進行公告，這些漏洞影響終端機單元A8000、AK3、TM、BC系列，以及強化電網感應器（Enhanced Grid Sensor，EGS）、SICAM 8電力自動化平臺，而這些系統主要是針對變電站自動化打造的電網解決方案，一旦遭到利用，影響層面可能將會相當廣泛。</p> <p>本週通報上述漏洞的資安業者SEC Consult說明相關細節，公布這些漏洞發生的原因，並展示概念性驗證（PoC）程式碼。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163451"><strong style="font-size: 22px;">4成企業今年要招募資安好手，資安事件應變人才最搶手</strong></a></p> <p>這幾年，兩大法遵推力下，包括影響公部門資安人力的政府資安管理法，以及主管機關對上市櫃公司的資安要求，大幅帶動了企業對於資安人力的建置，根據2024 iThome CIO大調查的統計結果來看，企業平均專責資安人力達到了4.8人，尤以金融業的平均11.6人最多，其次是政府學校（4.4人）、高科技製造業（4.1人），醫療則是資安人力最少的產業，只有2.4人，比一般製造業的平均人數（2.9人）還要低。</p> <p>不過，企業現有資安人力，遠低於資安長心中理想的團隊規模，要足以對抗企業當前資安威脅，資安長期望平均要達到5.9人，換句話說，現有4.8人的規模，還少了近四分之一的人手。各產業都有資安人手達不到資安長期望的情況，又以醫療業和政府學校的落差最大。</p> <p>今年有4成企業要招募資安職缺，平均招募人數是2.7人，又以政府學校的招募人數需求最多，達到6.1人，主要來自少數一級政府機關、大型國營企業、大型學校為了資安轉型而展開的人力需求擴編，才拉高了整體平均值。其次，金融業平均要招募4.2人，也遠高於其他產業的平均資安人力需求量。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163663"><strong>【6月26日】惡意軟體沙箱服務業者Any.Run遭到網釣攻擊，所有員工收到內部人員寄來的釣魚信</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163648"><strong>【6月25日】中國駭客組織RedJuliett近半年鎖定臺灣高科技產業、外交經濟、社會運動團體從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163630"><strong>【6月24日】北美汽車經銷商軟體服務業者CDK Global遭攻擊而停擺，傳出是勒索軟體BlackSuit所為</strong></a></p> </div></div></div>
2024/6/27 17:44作者周峻佑https://www.ithome.com.tw/news/163687
研究人員針對西門子修補的SICAM設備漏洞提出警告，若不修補有可能被用於針對能源產業攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年<a href="https://cert-portal.siemens.com/productcert/html/ssa-871704.html">5月</a>、<a href="https://cert-portal.siemens.com/productcert/html/ssa-620338.html">6月</a>西門子針對旗下工業控制系統SICAM產品線發布例行更新，針對CVE-2024-31484、CVE-2024-31485、CVE-2024-31486進行公告，這些漏洞影響終端機單元A8000、AK3、TM、BC系列，以及強化電網感應器（Enhanced Grid Sensor，EGS）、SICAM 8電力自動化平臺，而這些系統主要是針對變電站自動化打造的電網解決方案，一旦遭到利用，影響層面可能將會相當廣泛。</p> <p>本週通報上述漏洞的資安業者SEC Consult<a href="https://sec-consult.com/vulnerability-lab/advisory/multiple-vulnerabilities-in-siemens-power-automation-products-cp-8000-cp-8021-cp8-022-cp-8031-cp-8050-sicore/">說明相關細節</a>，他們指出，這些漏洞最早通報的是去年4月找到的CVE-2024-31484，但在一年後找到CVE-2024-31486，西門子才在今年進行處理，但為何會間隔1年才處理CVE-2024-31484，雙方並未對此做出說明。</p> <p>研究人員也公布這些漏洞發生的原因，並展示概念性驗證（PoC）程式碼。</p> <p>針對記憶體緩衝區過度讀取（buffer-overread）漏洞CVE-2024-31484，若是攻擊者加以利用，將能透過未經授權的記憶體緩衝區過度讀取，導致資訊洩露的情況。這項漏洞發生的原因，在於HTTP標頭Session-ID數值，被strncpy呼叫及使用時，出現不正常終止的現象，使得攻擊者有機會從記憶體讀取敏感資料。</p> <p>對於權限提升漏洞CVE-2024-31485的部分，攻擊者可在通過身分驗證的情況下，藉由這項缺乏輸入清理的弱點，實現權限升級，而該漏洞發生的原因，主要是具備viewer層級的角色就有機會截取其他使用者網頁介面的未加密流量，因此，攻擊者可截取權限較高的使用者帳號及密碼資料，從而存取這種帳號來提升權限。</p> <p>最後一個漏洞CVE-2024-31486，發生的原因在於部分SICAM設備存放MQTT密碼的做法並不安全，使得攻擊者有機會發動硬體攻擊，或是透過Shell存取的方式，取得儲存的密碼資訊。這項弱點發生在部署OPUPI0 MQTT應用程式的可程式化邏輯控制器（PLC），因為在連線的MQTT伺服器上，密碼以明文儲存，攻擊者有可能藉由程式碼執行弱點，或是檔案洩露漏洞，甚至是實際存取裝置，從而讀取密碼。</p> </div></div></div>
2024/6/27 15:02作者周峻佑https://www.ithome.com.tw/news/163681
駭客組織Boolka對於全球網站發動SQL注入攻擊，意圖對使用者電腦植入木馬程式Bmanger
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Group-IB揭露<a href="https://www.group-ib.com/blog/boolka/">名為Boolka的駭客組織</a>，該組織從2022年開始，對於全球各地的網站隨機發動SQL注入攻擊，目的是對瀏覽網站的使用者散布名為Bmanager的模組化木馬程式。</p> <p>研究人員指出，過去3年這些駭客鎖定存在弱點的網站，藉由惡意的JavaScript指令碼進行感染，從而能在受害網站上截取使用者輸入的任何資料。</p> <p>一旦使用者存取遭到感染的網站，攻擊者的指令碼就會被下載及執行，向攻擊者伺服器發送請求，然後透過植入網站上的表單，截取使用者輸入的內容。此指令碼積極監控使用者與表單之間的互動，只要用表單上的元素有所變動，或是被使用者點選，對方就會對輸入內容進行截取，並將其經過Base64演算法處理，再傳輸至攻擊者的伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/blog-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog-1.png" style="width: 580px;" /></a></p> <p>但除了竊取使用者輸入的個人資料，他們也看到駭客使用名為BeEF的惡意軟體傳送框架，對存取受害網站的使用者散布Bmanager。駭客將使用者重新導向假的網頁，聲稱必須安裝指定的瀏覽器延伸套件才能正常檢視內容，然而一旦照做，電腦就有可能被植入木馬程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/unnamed-5-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unnamed-5-1.png" style="width: 580px;" /></a></p> <p>此惡意程式可根據攻擊者的需求，安裝4種攻擊模組，這些分別是：收集受害電腦檔案工具Bmbackup、記錄正在運作的應用程式的Bmhook、側錄鍵盤輸入內容的Bmlog，以及外流檔案的Bmreader。</p> </div></div></div>
2024/6/27 17:10作者周峻佑https://www.ithome.com.tw/news/163686
AI裝置Rabbit r1遭爆外洩眾多API金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新創業者Rabbit與消費者裝置製造商Teenage Engineering合作開發的AI裝置Rabbit r1，本周遭爆外洩許多API金鑰，將允許任何人讀取Rabbit r1所生成的內容，或是讓所有的Rabbit r1變磚，還能竄改Rabbit r1的回應或是置換Rabbit r1的聲音，更令人訝異的是，研究人員指出Rabbit r1早就知道其裝置的API金鑰外洩，卻一直未採取行動。</p> <p>甫於去年才成立的Rabbit主要開發支援自然語言介面的作業系統與硬體，所打造的rabbit OS是基於大型語言模型（LLM）及大型動作模型（Large Action Model ，LAM），意味著其指令不僅可生成解答，還可用來執行動作。Rabbit在今年1月<a href="https://www.rabbit.tech/newsroom/introducing-r1" target="_blank">發表了</a>委由Teenage Engineering製造的AI裝置Rabbit r1，售價199美元，<a href="https://www.rabbit.tech/newsroom/r1-lam-updates" target="_blank">已於今年3月出貨</a>。</p> <p>Rabbit r1是個小型裝置，具備SIM卡插槽，能與LLM對話，可透過Perplexity進行搜尋，支援AI視覺，能夠進行雙向翻譯，也可利用AI來摘要文字，其LAM功能則包括播放Spotify等音樂程式、叫車或叫外賣。不過，SIM卡只是用來使用網路，Rabbit r1並非手機，既不支援撥打電話，亦無簡訊功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0627-rabbit%20r1.png" style="width: 500px;" /></p> <p>發現相關漏洞的是專門針對Rabbit r1專案進行反向工程的<a href="https://rabbitu.de/articles/security-disclosure-1" target="_blank">Rabbitude社群</a>，研究人員表示，他們在今年5月存取了Rabbit r1的程式碼庫，並發現其中含有許多寫死的API金鑰，包括將文字轉譯成語音的ElevenLabs、語音轉文字的Azure系統、評論服務Yelp，以及Google Maps。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0627-rabbitude(1).png" style="width: 500px;" /></p> <p>其中的ElevenLabs金鑰甚至具備了完整權限，允許任何人取得該服務的完整歷史紀錄，變更及刪除所使用的聲音，添加客製化的文字置換能力，更有令Rabbit r1裝置變磚的能力。</p> <p>研究人員還指出，其實Rabbit團隊也知道其API金鑰已經外洩，卻未採取任何行動，任由它們存在於程式碼中，之所以未公布所有細節是為了尊重Rabbit r1用戶，而非Rabbit。</p> <p>在Rabbit r1上市後，也有許多媒體測試了該裝置，對它的評價還低於Humane的<a href="https://www.ithome.com.tw/news/162250" target="_blank">Ai Pin</a>，例如<a href="https://www.engadget.com/rabbit-r1-review-a-199-ai-toy-that-fails-at-almost-everything-161043050.html" target="_blank">Engadget</a>稱這個AI玩具在各方面都是失敗的，<a href="https://www.pcmag.com/reviews/rabbit-r1" target="_blank">PCMag</a>還說它的優點只有便宜跟造型可愛，其它不管是性能、功能、操作介面或電池壽命都不怎樣；<a href="https://www.tomsguide.com/ai/rabbit-r1-review" target="_blank">Tom's Guide</a>更直接勸告消費者不要買Rabbit r1。Rabbit未曾公布Rabbit r1的銷售量。</p> <p>同樣身為AI裝置，曾經備受期待，卻在產品現身後評價不佳的Ai Pin，其製造商Humane已傳出<a href="https://www.ithome.com.tw/news/163054" target="_blank">有意求售</a>的消息。</p> </div></div></div>
2024/6/27 15:28作者陳曉莉https://www.ithome.com.tw/news/163682
7家AI資料集供應商成立聯盟，推動符合著作權法的AI模型開發標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7家涉及音樂、聲音、影像、文字與技術的AI資料集供應商，在周三（6/26）<a href="https://www.thedpa.ai/post/leading-dataset-licensors-unite-to-launch-the-dataset-providers-alliance-dpa" target="_blank">共同宣布成立資料集供應商聯盟</a>（Dataset Providers Alliance ，DPA），將致力於推動AI與機器學習（ML）資料集之智慧財產權的負責任與合乎道德的授權活動，以於快速發展的AI及ML領域中宣導內容創作者的權利。</p> <p>相較於<a href="https://www.ithome.com.tw/news/162587" target="_blank">金融時報</a>、華爾街日報、<a href="https://www.ithome.com.tw/news/163046" target="_blank">紐約時報</a>、美國唱片業協會（RIAA）或Reddit等知名組織直接與AI業者簽署協議，DPA的創始成員多半為新創，採用聯盟型態或許可取得更好的談判籌碼。</p> <p>這7家業者包括全球音樂授權機構Rightsify，去年才成立且專門提供AI音樂資料集的GCX，專注於視覺AI解決方案的vAIsual，專門提供資料標註服務的Pixta AI，廣納音樂、圖像、視覺與創意藝術家的社群平臺ado，專門供應高品質影片及書籍文字以訓練AI模型的Calliope Networks，以及資料商店Datarade等。</p> <p>DPA的任務包括推動AI與ML資料集知識產權內容授權的透明度與標準化，教育市場使用合法資料的重要性，推動資料供應商，推動AI/ML研究人員及業界合作夥伴之間的溝通與合作，宣導內容創作者與權利人的權益，以及在鼓勵與開發尖端AI/ML技術的同時確保智慧財產權的保護。</p> <p>簡言之，DPA是要建立訓練AI模型所使用資料的合法授權的透明度及標準化，並準備在今年7月發表一份有關資料集授權標準的白皮書，讓DPA成為資料集供應商的代言人，並讓開發者得以存取大量高品質的AI訓練內容。</p> </div></div></div>
2024/6/27 14:21作者陳曉莉https://www.ithome.com.tw/news/163679
勒索軟體LockBit聲稱入侵美國聯準會，竊得33 TB敏感資料，但傳出遭駭的實際上是一家銀行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站SecurityAffair、Cybernews報導，6月24日惡名昭彰的勒索軟體駭客組織LockBit聲稱，<a href="https://securityaffairs.com/164873/cyber-crime/lockbit-claims-hacked-us-federal-reserve.html">他們駭入美國聯邦儲備系統（聯準會）的系統</a>，竊得33 TB敏感資料，當中包含了「美國的銀行秘密」，要脅若不在期眼內付錢，將於25日公布這批資料。然而，這些駭客並未公布部分內容供買家查證，引起多名資安專家質疑，LockBit這麼做其實只是在虛張聲勢。</p> <p>隔天，<a href="https://cybernews.com/news/lockbit-ransomware-us-federal-reserve-published/">該組織公布了21個下載連結</a>，但值得留意的是，有部分疑似來自美國金融機構Evolve Bank and Trust，而且，這些駭客還附上聯準會6月14日<a href="https://www.federalreserve.gov/newsevents/pressreleases/enforcement20240614a.htm">針對這家金融機構進行執法行動的新聞稿</a>，當時聯準會表示這家銀行在洗錢防治、風險管理、消費者法規遵循的執行上出現瑕疵。</p> <p><a href="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg" style="width: 580px;" /></a></p> <p>但這些資料究竟來自聯準會還是Evolve Bank and Trust？<a href="https://www.bleepingcomputer.com/news/security/lockbit-lied-stolen-data-is-from-a-bank-not-us-federal-reserve/">網路威脅監控公司HackManac透露</a>，根據駭客公布的資料，對方顯然入侵了Evolve Bank and Trust，但目前並未發現機密文件的情況，該公司仍著手持續調查當中。</p> <p>資安新聞網站Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/lockbit-lied-stolen-data-is-from-a-bank-not-us-federal-reserve/">向這家金融機構進行確認</a>，他們表示得知有駭客組織在暗網發布非法取得的資料，正在著手調查此事，而對於受到影響的客戶，他們將會提供信用監控及身分盜用保護服務。</p> </div></div></div>
2024/6/27 10:55作者周峻佑https://www.ithome.com.tw/news/163671
蘋果發布AirPods韌體更新，修補藍牙耳機配對漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月25日蘋果針對旗下藍牙耳機AirPods<a href="https://support.apple.com/zh-tw/HT214111">發布韌體更新6A326、6F8</a>，修補身分驗證漏洞CVE-2024-27867，這項漏洞影響第2代以上的AirPods、所有型號的AirPods Pro、AirPods Max，以及Beats旗下的Powerbeats Pro、Beats Fit Pro。</p> <p>而對於這項漏洞帶來的影響，蘋果指出，當使用者的耳機在搜尋已成功配對的裝置時，攻擊者若是在藍牙訊號的範圍內，就有機會冒充已配對的裝置，從而取得存取耳機的權限。換言之，攻擊者可能藉此竊聽用戶的聲音。</p> <p>他們也對於韌體派送的部分提出說明，指出使用者若是透過iPhone、iPad、Mac電腦與耳機連線，就會自動派送相關的韌體更新。</p> <p>若成功取得上述更新，第2及第3代AirPods、第1代AirPods Pro、AirPods Max將會執行6A326版韌體；第2代AirPods Pro及Powerbeats Pro、Beats Fit Pro則會搭載6F8版韌體。</p> </div></div></div>
2024/6/27 11:29作者周峻佑https://www.ithome.com.tw/news/163674
微軟管理不當，致離職員工竊取美醫院百萬病患個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國賓州一家醫療院所Geisinger Health去年因微軟IT管理不當，讓一名員工離職後仍可存取其系統並竊取超過100萬病患個資。</p> <p>Geisinger Health是美國知名醫療院所，擁有10個院區、2.6萬名員工包括1,600多位醫師，其醫療計畫下的企業及政府方案有60萬會員，年營收100億美元。</p> <p><a href="https://www.geisinger.org/about-geisinger/news-and-media/news-releases/2024/06/24/18/17/geisinger-provides-notice-of-nuances-data-security-incident" target="_blank">Geisinger說明</a>，去年11月29日Geisinger發現隷屬於微軟的Nuance員工存取其病患資訊系統，而且是在他被公司解職後2天所為。在獲得客戶通知後，Nuance已永久終止這名前員工的系統存取權。目前這名員工已遭到逮捕，將面臨起訴。</p> <p>微軟是在2021年<a href="https://www.ithome.com.tw/news/143790" target="_blank">收購</a>語音技術供應商Nuance，並將其技術整合AI模型提供語音聽寫方案<a href="https://www.ithome.com.tw/news/156015" target="_blank">DAX</a>，後者可用於醫療情境，像是產生臨床筆記、醫囑、電子病歷等。</p> <p>經過調查，這起事件導致Geisinger超過100萬病患資訊被這名前微軟員工存取。遭到存取的資訊包括病患姓名、生日、住家地址、入／出院及轉診號碼、病歷號、種族、性別、電話及醫療設施名稱縮寫。但保險理賠、保險資訊、信用卡、銀行帳戶及其他財務資訊、與社會安全號碼都未受影響。</p> <p>媒體The Register報導，這不是Nuance第一次IT管理不當。2018年舊金山公共健康部也<a href="https://www.nbcbayarea.com/news/local/sf-public-health-officials-inform-895-patients-about-data-breach/178406/" target="_blank">遭Nuance離職員工存取</a>了當地醫療網絡的IT系統，包括2家醫院近900名病患的醫療謄寫紀錄。</p> </div></div></div>
2024/6/27 10:57作者林妍溱https://www.ithome.com.tw/news/163672
歐盟初步認定微軟Microsoft 365搭售Teams違法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會本周就Microsoft 365（M365）與Office 365搭售通訊協同軟體Teams<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_24_3446" target="_blank">公布初步調查意見</a>，認定微軟此一搭售行為已經違反歐盟反托拉斯規定。</p> <p>本案是歐盟啟動調查將近一年的初步認定結果，已將此以聲明異議書（statement of objections）提供微軟。Salesforce旗下子公司Slack分別於2020與2021年<a href="https://www.ithome.com.tw/news/138979" target="_blank">向歐盟提告</a>微軟搭售Teams及其優勢商務生產力軟體Office/Microsoft 365（以下合稱M365）企圖強迫企業客戶安裝Teams，並隱藏真正成本以打壓競爭者產品，歐盟於去年7月<a href="https://www.ithome.com.tw/news/158010" target="_blank">啟動調查</a>。</p> <p>根據歐盟初步調查發現，微軟最少從2019年4月就將Teams和其SaaS生產力應用軟體（即M365）綑綁，藉此打壓通訊協同產品競爭者，並確保生產力軟體市場地位及套件導向的產品模式，防止單一產品供應商的挑戰。</p> <p>其中微軟不給M365訂閱用戶不購買Teams的選項，並且限制Teams競爭產品和M365產品的相容性，令歐盟執委會擔憂，這行為可能減低Teams對手廠商的競爭力及創新能力，進而損害歐盟經濟區（European Economic Area，EEC）用戶的權益。</p> <p>在歐盟啟動調查後，微軟已經著手調整產品銷售策略。微軟先是<a href="https://www.ithome.com.tw/news/158559" target="_blank">於去年9月解除</a>歐盟及瑞士地區M365及Teams的綑綁，允許企業用戶購買不包含Teams的M365，以及單獨出售Teams授權。今年4月微軟進一步將之<a href="https://www.ithome.com.tw/news/162070" target="_blank">推向全球</a>。微軟也說會強化M365和Teams對手如Slack等軟體相容性，像是提供API等，並且提供新的Office Web版App以方便在其他協同平臺上編輯。</p> <p>不過對此歐盟執委會表示，微軟目前所為尚並不足平息其疑慮，微軟需要做更多變革。</p> <p>微軟法務長Brad Smith透過媒體發出聲明指出，在微軟做出鬆綁Teams及相容性措施之後，該公司對歐盟提供進一步說明表達感謝，也將持續和歐盟合作以解決其疑慮。</p> <p>一旦微軟最終被歐盟判決違反反托拉斯法，可能被處以高達全球年營收的10%的罰款。</p> <p>微軟已經多次因搭售行為遭歐盟當局控告，包括在Windows搭售Media Player以及Internet Explorer（IE）瀏覽器，分別導致2012年<a href="https://www.ithome.com.tw/news/74643" target="_blank">判罰</a>8.6億歐元及2013年<a href="https://www.theverge.com/2013/3/6/4069126/eu-fines-microsoft-for-windows-7-sp1-browser-ballot" target="_blank">裁罰</a>5.6億歐元。</p> <p>這也是歐盟繼本周稍早對美國科技大廠發出的第二份判決。周一<a href="https://www.ithome.com.tw/news/163637" target="_blank">歐盟初步判決蘋果</a>App Store禁止App開發商將用戶引導到其他付費平臺的「限制引導條款」（anti-steering provision），已違反了《數位市場法》（Digital Markets Act）。</p> </div></div></div>
2024/6/27 10:20作者林妍溱https://www.ithome.com.tw/news/163670
【資安日報】6月26日，惡意軟體沙箱服務業者Any.Run遭到網釣攻擊，所有員工收到內部人員寄來的釣魚信
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為資安業者卻遭到駭客入侵的情況，最近傳出新的資安事故。例如，有許多研究人員使用的雲端惡意軟體沙箱Any.Run，其服務供應商傳出遭到網路攻擊，公司所有的員工都收到來自內部人士寄送的釣魚郵件。</p> <p>這起事故可追溯到一個月前有員工上當，雖然他嘗試利用沙箱環境檢查惡意連結，但並未做好相關設定，且依照對方指示提供自己的帳號密碼，導致帳號遭到對方挾持。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163659"><strong style="font-size: 22px;">惡意軟體沙箱服務業者Any.Run的員工遭到鎖定，駭客對其發動網釣攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/anyrun-image-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/anyrun-image-1.jpg" style="width: 300px; float: right;" /></a></p> <p>提供雲端沙箱測試環境的網站Any.Run指出，他們全體員工在上週收到藉由內部員工發出的釣魚郵件，經調查發現，原因是其中一名員工的帳號已經外洩所致，駭客企圖利用他的帳號進行商業郵件詐騙（BEC）攻擊。</p> <p>事件最初發生於5月23日，一名銷售團隊的員工藉由第三方服務收取釣魚郵件，對方聲稱是之前曾經聯繫過的客戶，這封信件內含可疑連結。為求保險起見，這名員工在27日將這封信傳送至沙箱進行檢查，確認上述連結是否有害，但他並未啟用中間人代理伺服器模式（MitM Proxy），使得入侵偵測系統Suricata IDS並未發揮作用，因此沒有解開HTTPS流量並偵測是否含有惡意內容。但這名員工卻在沙箱環境裡，依照駭客指示輸入帳密資料，而被對方得逞。</p> <p>到了6月18日，駭客利用這名員工的電子郵件信箱，對所有聯絡人名單裡的員工發送釣魚信。而這些信件的內容，與已經受害的員工收到的信件雷同。使得該公司察覺異常，並採取行動。</p> <p><a href="https://www.ithome.com.tw/news/163662"><strong style="font-size: 22px;">5個上架到WordPress.org市集的外掛程式遭到供應鏈攻擊，被植入惡意指令碼</strong></a></p> <p>專注於WordPress網站安全的資安業者Wordfence指出，他們本週留意到名為Social Warfare的外掛程式，近期被WordPress.org外掛程式市集的審查團隊發現，遭人植入惡意程式碼，Wordfence透過內部的威脅情報平臺進行比對，結果找到其他4個也被植入類似程式碼的外掛程式，他們向審查團隊通報此事，遭感染的外掛程式自24日暫停提供下載，但究竟駭客如何上傳這些有問題的外掛程式，研究人員表示並不清楚。</p> <p>而對於攻擊者的動機，研究人員指出，一旦對方成功在網站植入惡意外掛程式，就會試圖建立新的管理員帳號，並將結果回傳駭客控制的伺服器。此外，駭客疑似藉由注入惡意JavaScript程式碼，透過網站增加搜尋引擎最佳化（SEO）的垃圾索引。</p> <p><a href="https://www.ithome.com.tw/news/163627"><strong style="font-size: 22px;">勒索軟體駭客組織RansomHub鎖定多種平臺發動攻擊，VMware虛擬化平臺是他們的新興標的</strong></a></p> <p>新興的勒索軟體駭客組織RansomHub今年初竄起，並聲稱接連針對美國醫療保健科技業者Change Healthcare、英國精品拍賣業者佳士得（Christie's）、臺灣電腦製造商藍天（Clevo）出手，引起不少研究人員高度關注。繼之前資安業者賽門鐵克公布相關調查結果，指出這些駭客疑似購買勒索軟體Knight的原始碼打造自己的工具，並透過ZeroLogon（CVE-2020-1472）取得初始入侵的管道，有研究人員公布新的發現。</p> <p>資安業者Recorded Future近期公布他們的調查結果，指出這些駭客也與許多勒索軟體組織相同，不只針對Windows、Linux電腦下手，他們也使用勒索軟體攻擊VMware ESXi虛擬化環境，而這是首度有研究人員提及該組織針對虛擬化平臺打造勒索軟體的情況。</p> <p><a href="https://www.ithome.com.tw/news/163661"><strong style="font-size: 22px;">兆勤已終止支援的NAS設備再度遭到鎖定，殭屍網路嘗試利用甫公布的漏洞進行滲透</strong></a></p> <p>6月初兆勤（Zyxel Networks）針對半年前已經終止支援的NAS設備NAS326、NAS542發布緊急更新，破例修補重大漏洞CVE-2024-29972、CVE-2024-29973，以及CVE-2024-29974，如今傳出已有漏洞被用於攻擊行動的情況。</p> <p>上週末Shadowserver基金會提出警告，他們偵測到類似Mirai的殭屍網路嘗試利用CVE-2024-29973的跡象，呼籲用戶應儘速套用緩解措施。</p> <p><a href="https://www.ithome.com.tw/news/163656"><strong style="font-size: 22px;">華碩在股市公開觀測站發布重大訊息，證實部分資訊系統參數設定不當導致產品資料曝光</strong></a></p> <p>6月25日晚間電腦製造商華碩在股市公開觀測站發布重大訊息，指出他們發生部分產品資料不慎曝光的情況，原因是資訊系統的參數設定出現問題造成。</p> <p>該公司表示，他們找出組態錯誤的主機，隨即檢視資料存取相關的事件記錄，清查可能外流的資料內容。但究竟資料曝光的範圍及時間，華碩並未進一步說明。而針對這起事故可能帶來的影響，他們初步評估，不會對公司營運及財務造成重大影響。但華碩也提及後續改善措施，表明將持續落實供應鏈管理及組態管理的審查，重新檢視現有資訊系統架構並持續精進。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.cadosecurity.com/blog/from-dormant-to-dangerous-p2pinfect-evolves-to-deploy-new-ransomware-and-cryptominer"><strong style="font-size: 20px;">專門鎖定Redis伺服器的殭屍網路P2PInfect出現新的攻擊手法，駭客為其加入勒索軟體模組</strong></a></p> <p></p> <p>◆<a href="https://https://thehackernews.com/2024/06/new-"><strong style="font-size: 20px;">駭客組織Boolka鎖定網站發動SQL注入攻擊，意圖植入木馬程式Bmanger</strong></a></p> <p></p> <p>◆<a href="https://www.cleafy.com/cleafy-labs/medusa-reborn-a-new-compact-variant-discovered"><strong style="font-size: 20px;">金融木馬Medusa鎖定安卓用戶下手，攻擊範圍遍及歐美7個國家</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/polyfillio-javascript-supply-chain-attack-impacts-over-100k-sites/"><strong style="font-size: 20px;">舊版瀏覽器網站相容套件Polyfill被中國公司買下並植入惡意程式碼，恐影響10萬網站</strong></a></p> <p></p> <p>◆<a href="https://snailload.com/"><strong style="font-size: 20px;">研究人員揭露新的攻擊手法SnailLoad，藉由網路延遲的變化推測用戶的活動內容</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163658"><strong style="font-size: 22px;">Progress在6月底揭露與修補MOVEit兩個重大漏洞</strong></a></p> <p>本週Progress在他們在自家網站的知識庫公告MOVEit產品線有兩個重大漏洞，分別是：位於檔案傳輸代理伺服器MOVEit Gateway的CVE-2024-5805，以及建置在內網環境的檔案傳輸系統MOVEit Transfer的CVE-2024-5806，都是因為當中搭配的SFTP模組，居然允許略過身分認證的程序，所以產生資安漏洞，而這兩個資安弱點的嚴重程度都被評為「重大」，CVSS分數高達9.1分。</p> <p>值得留意的是，以監測漏洞暴露在網際網路的全球威脅態勢著稱的非營利組織Shadowserver基金會，在6月25日Progress發布相關消息的當天，就觀察到有心人士蠢蠢欲動。</p> <p>關於CVE-2024-5806漏洞，設立於新加坡的新創資安廠商watchTowr其實在Progress公開之前，就已經收到知情人士的通報，因而提前得知這個當時尚未被揭露的弱點，也率先發布部落格文章解析CVE-2024-5806的問題、概念驗證攻擊手法，以及修正與緩解方式。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163654"><strong style="font-size: 22px;">第二輪MITRE ATT&CK託管服務評估計畫結果出爐，考驗突然遭遇APT10與BlackCat攻擊的反應力</strong></a></p> <p>自2022年MITRE Engenuity舉辦首次ATT&CK託管服務評估計畫之後，相隔兩年，2024年終於展開第二輪的評測，目的是考驗資安託管服務供應商（MSSP）服務的能力。畢竟，雖然大型企業會重視資安偵測與回應產品的評估，但還有很多企業主要依賴MSSP來協助其保護資安，因此，這方面的技術能力評估同樣重要。</p> <p>MITRE在6月18日正式公布第二輪託管服務評估計畫的評測結果，今年這次針對MSSP的評估計畫共有11家廠商參與，包括：Bitdefender、BlackBerry、CrowdStrike、微軟、Palo Alto Networks、Secureworks、SentinelOne、Sophos、趨勢科技，還有SecurityHQ、Field Effect等。而他們實際遭遇的攻擊模擬對手有兩個，分別是menuPass與ALPHV/BlackCat。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163648"><strong>【6月25日】中國駭客組織RedJuliett近半年鎖定臺灣高科技產業、外交經濟、社會運動團體從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163630"><strong>【6月24日】北美汽車經銷商軟體服務業者CDK Global遭攻擊而停擺，傳出是勒索軟體BlackSuit所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163599"><strong>【6月21日】駭客組織Void Arachne藉由提供中國用戶翻牆工具、Deepfake人工智慧工具散布惡意程式</strong></a></p> </div></div></div>
2024/6/26 15:49作者周峻佑https://www.ithome.com.tw/news/163663
易主後的polyfill.io被用來執行供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門偵測電子商務惡意軟體與安全漏洞的資安業者<a href="https://sansec.io/research/polyfill-supply-chain-attack" target="_blank">Sansec周二（6/25）警告</a>，知名的Polyfill函式庫polyfill.io自今年2月賣給了一家中國業者之後，開始嵌入惡意程式，以將造訪使用其服務的網站使用者重新引導至體育賭博或其它惡意網站，呼籲網站管理人員應該關閉Polyfill，或是改用其它較為可靠的服務。</p> <p>Polyfill函式庫的功能是在舊版瀏覽器中補充或模擬現代瀏覽器所支援的功能，因此，當舊版瀏覽器用戶所造訪的網站具備現代化瀏覽器所支援的新功能時，網站即可導入該函式庫來實現相同的功能，讓網頁於舊版瀏覽器上能夠正常運作。polyfill.io即為熱門的Polyfill函式庫之一，目前全球有超過10萬個網站嵌入該函式庫。</p> <p>根據照片部落格Notos共同創辦人暨執行長Renaud Chaput<a href="https://github.com/formatjs/formatjs/issues/4363" target="_blank">今年2月的說明</a>，polyfill.io原本隸屬於金融時報（Financial Times）的網頁團隊，該團隊之後將它移交給社群管理，但最後的一名管理人員在今年2月將它賣給了中國一家奇怪的內容交付網路（CDN）公司，新公司將polyfill.io自Fastly平臺搬離，並開始修改及胡弄返回用戶端的檔案。當時Chaput即建議各界不應該再推薦polyfill.io。</p> <p class="rtecenter"><a href="http://github.com/formatjs/formatjs/issues/4363" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-polyfill-600-1.jpg" style="width: 600px;" /></a></p> <p>同樣是在今年2月polyfill.io易主之後，Polyfill專案的作者<a href="https://x.com/triblondon/status/1761852117579427975" target="_blank">Andrew Betts也警告</a>各網站應立刻移除polyfill.io。Betts還澄清，雖然他建立了Polyfill服務，但從未擁有該網域名稱，也從未參與它的銷售。</p> <p class="rtecenter"><a href="http://x.com/triblondon/status/1761852117579427975" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-polyfill-600-2.jpg" style="width: 600px;" /></a></p> <p>Sansec則說，這家中國公司同時購買了polyfill.io及<a href="https://github.com/polyfillpolyfill/polyfill-service" target="_blank">其GitHub帳戶</a>，且不時有用戶至其GitHub帳戶提出控訴，只是都被刪除。</p> <p>Sansec建議，不再需要Polyfill函式庫的網站應該立刻移除polyfill.io，或是改用由Fastly或Cloudflare所提供的Polyfill方案。</p> </div></div></div>
2024/6/26 16:28作者陳曉莉https://www.ithome.com.tw/news/163667
兆勤已終止支援的NAS設備再度遭到鎖定，殭屍網路嘗試利用甫公布的漏洞進行滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月初兆勤（Zyxel Networks）針對半年前已經終止支援的NAS設備NAS326、NAS542<a href="https://www.ithome.com.tw/news/163308">發布緊急更新</a>，破例修補重大漏洞CVE-2024-29972、CVE-2024-29973，以及CVE-2024-29974，如今傳出已有漏洞被用於攻擊行動的情況。</p> <p>上週末Shadowserver基金會<a href="https://infosec.exchange/@shadowserver/112654674785669239">提出警告</a>，他們偵測到類似Mirai的殭屍網路嘗試利用CVE-2024-29973的跡象，呼籲用戶應儘速套用緩解措施。</p> <p>雖然該資安組織並未進一步說明有多少設備受害，也沒透露是否有其他漏洞遭到利用，但這次的揭露，是首度有人發現這些老舊NAS設備被鎖定的情況。</p> </div></div></div>
2024/6/26 14:54作者周峻佑https://www.ithome.com.tw/news/163661
5個上架到WordPress.org市集的外掛程式遭到供應鏈攻擊，被植入惡意指令碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專注於WordPress網站安全的資安業者Wordfence指出，他們本週留意到名為Social Warfare的外掛程式，近期被WordPress.org外掛程式市集的審查團隊發現，遭人植入惡意程式碼，Wordfence透過內部的威脅情報平臺進行比對，<a href="https://www.wordfence.com/blog/2024/06/supply-chain-attack-on-wordpress-org-plugins-leads-to-5-maliciously-compromised-wordpress-plugins/">結果找到其他4個也被植入類似程式碼的外掛程式</a>，他們向審查團隊通報此事，遭感染的外掛程式自24日暫停提供下載，但究竟駭客如何上傳這些有問題的外掛程式，研究人員表示並不清楚。</p> <p>對此，他們也公布被植入惡意程式碼的外掛程式名稱及版本，這些外掛程式是：</p> <p>●4.4.6.4至4.4.7.1版Social Warfare<br /> ●2.2.5至2.5.2版Blaze Widget<br /> ●1.0.2至1.0.3版Wrapper Link Element<br /> ●1.0.4至1.0.5版Contact Form 7 Multi-Step Addon<br /> ●1.2.1版Simply Show Hooks</p> <p>值得留意的是，除了Social Warfare推出4.4.7.3版移除相關程式碼，Wrapper Link Element提供不含有關內容的1.0.0版，其餘開發者並未推出更新予以修補。</p> <p>而對於攻擊者的動機，研究人員指出，一旦對方成功在網站植入惡意外掛程式，就會試圖建立新的管理員帳號，並將結果回傳駭客控制的伺服器。此外，駭客疑似藉由注入惡意JavaScript程式碼，透過網站增加搜尋引擎最佳化（SEO）的垃圾索引。</p> </div></div></div>
2024/6/26 15:30作者周峻佑https://www.ithome.com.tw/news/163662
Anthropic推出Claude協作功能Projects
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic周三（6/26）針對Claude.ai Pro與Claude.ai Team等訂閱用戶推出了<a href="https://www.anthropic.com/news/projects" target="_blank">協作功能Projects</a>，除了可彙整團隊成員的聊天內容之外，也可提供組織內部知識，讓Claude生成基於內部知識的結果。Projects支援最新的<a href="https://www.ithome.com.tw/news/163590" target="_blank">Claude 3.5 Sonnet</a>，每個專案可使用200K的脈絡長度，相當於一本500頁的書籍。</p> <p>Anthropic表示，該公司對Claude的願景一直是建立能夠與人類共事的AI系統，並強化人類的工作流程，而Projects即可集中人們與AI系統的對話及知識集，並供團隊成員檢視，以實現更好的創意及決策。</p> <p>在每個專案所支援的200K脈絡長度中，使用者可添加各種文件、程式碼或見解，以強化Claude的效率，並讓Claude的輸出建立在組織的內部知識上，例如風格、程式碼庫、採訪紀錄或先前的工作成果。這使得Claude有能力提供不同任務的專家意見，或是以企業原有的行銷風格撰寫電子郵件，也能像資料分析般地編寫SQL查詢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Anthropic-Claude-Projects-900.png" style="width: 600px;" /></p> <p>使用者還可藉由定義專案以客製化Claude的回答，例如指示Claude使用更正式的語氣或特定角色來回答問題。Projects也支援Claude.ai正在預覽的Artifacts功能，這是一個工作區，可集中呈現Claude所生成的程式碼、文件、圖像或網站設計等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Anthropic-Claude-Projects%2BArtifacts%3DCreate%20side-by-side%20with%20Claude-900.png" style="width: 600px;" /></p> <p>Claude.ai服務<a href="https://www.anthropic.com/pricing" target="_top">目前提供</a>免費、Pro及Team方案，不管是哪一個方案都已支援最新的Claude 3.5 Sonnet，具備優先存取權限及可存取新功能的Pro方案每月需要支付20美元，至於能夠分享及探索聊天內容，以及具備管理功能的Team方案則是每月25美元。Anthropic強調，在未取得用戶的明確同意之前，並不會使用專案內的任何資料或聊天內容來訓練模型。</p> </div></div></div>
2024/6/26 16:04作者陳曉莉https://www.ithome.com.tw/news/163666
惡意軟體沙箱服務業者Any.Run的員工遭到鎖定，駭客對其發動網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供雲端沙箱測試環境的網站Any.run指出，<a href="https://any.run/cybersecurity-blog/phishing-incident-report/">他們全體員工在上週收到藉由內部員工發出的釣魚郵件</a>，經調查發現，原因是其中一名員工的帳號已經外洩所致，駭客企圖利用他的帳號進行商業郵件詐騙（BEC）攻擊。</p> <p>事件最初發生於5月23日，一名銷售團隊的員工藉由第三方服務收取釣魚郵件，對方聲稱是之前曾經聯繫過的客戶，這封信件內含可疑連結。</p> <p>為求保險起見，這名員工在27日將這封信傳送至沙箱進行檢查，確認上述連結是否有害，但他並未啟用中間人代理伺服器模式（MitM Proxy），使得入侵偵測系統Suricata IDS並未發揮作用，因此沒有解開HTTPS流量並偵測是否含有惡意內容。</p> <p>這名員工卻在沙箱環境當中，點選連結被帶往已被駭客植入冒牌登入表單的合法網站，接著，他填寫自己的帳密資料，並通過多因素驗證（MFA），結果看到網站無法存取他發送的內容的錯誤訊息。然而在此同時，攻擊者已掌握了該名員工的帳號，並加入自己的行動裝置，以便將其用於MFA驗證流程。</p> <p>6月5日，對方使用整合Azure雲端服務環境的資料備份應用程式PerfectData，竊取該名員工信箱裡所有的電子郵件。</p> <p>到了18日，駭客利用這名員工的電子郵件信箱，對所有聯絡人名單裡的員工發送釣魚信。而這些信件的內容，與已經受害的員工收到的信件雷同。使得該公司察覺異常，並採取行動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/anyrun-image-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/anyrun-image-1.jpg" style="width: 580px;" /></a></p> <p>他們也坦承，相關惡意連結一週前已出現在自家威脅情資的資料庫，但這些源於免費版沙箱用戶的情資，卻因為相關環境並未執行最新版本作業系統，以及MitM Proxy工具，而無法及早識別這些網域有害。</p> </div></div></div>
2024/6/26 14:33作者周峻佑https://www.ithome.com.tw/news/163659
Google將關閉搜尋連續滾動功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google向Search Engine Land<a href="https://searchengineland.com/google-dropping-continuous-scroll-in-search-results-443529" target="_blank">證實</a>，即日起將關閉桌面搜尋結果的連續滾動功能，並於未來幾個月關閉行動搜尋結果的連續滾動功能。</p> <p>Google<a href="https://www.ithome.com.tw/news/147292" target="_blank">是在2021年</a>10月率先針對行動版搜尋功能提供「連續滾動」（Continuous scrolling）機制，並在2022年12月延伸至桌面搜尋。使用者輸入關鍵字進行搜尋之後，不必再點選「查看更多」（See more），而能持續滾動以檢視更多的搜尋結果。當時Google的想法時，雖然人們通常會在前幾個結果就找到所需的內容，但有時會想繼續看看更多的相關資訊，利用連續滾動就能無縫瀏覽更多內容。</p> <p>不過，此一功能似乎僅出現在英文版的Google搜尋中，並未部署至其它語言。</p> <p>Google向Search Engine Land表示，此一變更可加快Google供應搜尋結果的時間，而不必再額外載入那些不確定使用者是否需要的結果，況且，提供連續滾動功能之後，Google Search用戶的滿意度並沒有重大的提升。</p> </div></div></div>
2024/6/26 14:50作者陳曉莉https://www.ithome.com.tw/news/163660
搭配AMD資料中心APU，技嘉推出3U尺寸4路融合GPU伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ji_jia_g383-r80-aap1_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年以來，資料中心GPU形態出現新的變化，幾家加速運算晶片廠商開始推出融合CPU與GPU的產品，其中，最出鋒頭的，莫過於Nvidia在2022年發表、2023年量產的GH200 Grace Hopper Superchip，以及今年發表的GB200 Grace Blackwell Superchip，另一家同時擁有CPU與GPU技術的大廠AMD，也在2023年6月發表這類型產品，名為Instinct MI300A，強調它是全球首款針對HPC與AI工作負載處理而開發的。</p> <p>經過半年之後，這款資料中心等級的APU加速器（Accelerated Processing Unit）正式推出，當時有幾家伺服器廠商響應AMD的號召，宣布推出搭載Instinct MI300A的伺服器機型，像是技嘉、HPE、Supermicro。</p> <p>以技嘉為例，他們主推的產品是G383-R80，在11月的SC23大會首度公開亮相，後續在今年1月的CES，以及6月初舉行的Computex，都有現場展示。</p> <p><a href="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-2024-06-2.jpg" style="width: 398px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G383-R80-06-A.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G383-R80-06-A.jpg" style="width: 600px;" /></a></p> <p>相較於現行採用Nvidia Grace Hopper平臺的伺服器，都為1U或2U尺寸，搭配1或2個融合式晶片，縱觀市面上採用AMD Instinct MI300A平臺的伺服器，有超過一半是3U或4U尺寸，絕大多數搭配4個融合式晶片，</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD Instinct MI300A APU-Powered Servers.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20Instinct%20MI300A%20APU-Powered%20Servers.jpg" style="width: 600px;" /></a></p> <p>技嘉G383-R80就是典型的例子，它的機箱是3U尺寸，主機板MR83-AC0內建4個APU SH5插槽，可安裝4個AMD Instinct MI300A，但上面並未提供DRAM記憶體擴充插槽。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G383-R80-06-B.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/G383%20BIOS.jpg" style="width: 524px;" /></p> <p>基本上，單就這款APU而言，每一顆晶片整合許多運算元件，包含：24顆Zen4架構CPU核心、228顆CDNA架構GPU運算單元、912顆Matrix核心、14,592顆Stream處理器，以及128 GB容量的HBM3高頻寬記憶體（CPU與GPU共享）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300A overview1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300A%20overview1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AMD MI300A overview2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300A%20overview2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AMD MI300A Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20MI300A%20Arch.jpg" style="width: 500px;" /></a></p> <p>而在整臺伺服器的介面擴充能力上，技嘉G383-R80在機箱背部提供12個PCIe 5.0介面的插槽，而在實際配置上，可搭配4個雙槽全高全長尺寸的GPU加速運算卡，以及4個單寬全高全長尺寸的PCIe介面卡。</p> <p>在儲存與網路的組態上，技嘉G383-R80在機箱前方面板當中，可安裝2.5吋外形的NVMe固態硬碟，並且內建2個10GbE規格的網路埠，以及1個GbE規格的遠端管理埠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/G380-R80-animation4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-animation4.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G380-R80-animation5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-animation5.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/G380-R80-animation6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G380-R80-animation6.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/G383-R80-06-C.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/G383-R80-06-C.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>技嘉G383-R80-AAP1</strong><br /> ●原廠：技嘉科技<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：3U<br /> ●處理器：4顆，AMD Instinct MI300A（熱設計功耗最高為760瓦）<br /> ●記憶體：每顆處理器內建128 GB HBM3<br /> ●儲存配置：8臺2.5吋NVMe固態硬碟<br /> ●I/O擴充介面：8個PCIe 5.0 x16全高全長（雙槽4個、單槽4個）、1個PCIe 5.0 x4（M.2）<br /> ●網路埠：2個10GbE埠（Broadcom BCM57416）<br /> ●電源供應器：4臺3000瓦（3+1）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/26 15:12作者李宗翰https://www.ithome.com.tw/review/163593
第二輪MITRE ATT&CK託管服務評估計畫結果出爐，考驗突然遭遇APT10與BlackCat攻擊的反應力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2022年MITRE Engenuity舉辦首次ATT&CK託管服務評估計畫之後，相隔兩年，2024年終於展開第二輪的評測，目的是考驗資安託管服務供應商（MSSP）服務的能力。畢竟，雖然大型企業會重視資安偵測與回應產品的評估，但還有很多企業主要依賴MSSP來協助其保護資安，因此，這方面的技術能力評估同樣重要。</p> <p>與一般ATT&CK Enterprise評估計畫相比，最大不同之處在於，在ATT&CK託管服務評測前並不會對外公布假想攻擊對象，目的是更能反映真實世界的場景，讓防禦者在不了解對手身分情況下來識別與回應威脅。</p> <p><a href="https://www.mitre.org/news-insights/news-release/mitre-attack-evaluations-managed-security-service-providers">MITRE在6月18日正式公布第二輪託管服務評估計畫的評測結果</a>，今年這次針對MSSP的評估計畫共有11家廠商參與，包括：Bitdefender、BlackBerry、CrowdStrike、微軟、Palo Alto Networks、Secureworks、SentinelOne、Sophos、趨勢科技，還有SecurityHQ、Field Effect等。而他們實際遭遇的攻擊模擬對手有兩個，分別是menuPass與ALPHV/BlackCat。</p> <p>具體而言，menuPass（又名APT10）這個APT駭客組織自2006年以來一直相當活躍，在許多研究報告中，都顯示該組織受到中國國家安全部的支持，其主要威脅是在全球從事間諜活動，包括竊取智慧產權與商業情報等敏感資料，主要攻擊對象涵蓋航太、建築、政府與電信等產業。</p> <p>ALPHV/BlackCat出現於2021年，是一個採勒索軟體及服務（RaaS）運作模式的威脅群體，也就是RaaS運作集團會招募聯盟夥伴（Affiliate）來執行勒索病毒攻擊，而ALPHV/BlackCat是一個攻擊產量相當大的俄語RaaS組織，不僅與BlackMatter、DarkSide、REvil與其他RaaS團體有聯繫，並利用Rust語言開發的勒索軟體，能對Windows、Linux 和 VMware系統進行跨平臺攻擊，目標更是涵蓋各種產業行業。</p> <p class="first-token" data-sourcepos="1:1-1:72">之所以選擇這兩個組織為假想攻擊對象，負責ATT&CK評估計畫的網路威脅情報工程負責人Amy Robertson表示，menuPass（APT10）展現了現代攻擊者謹慎、周密與靈活的手段，該組織相當擅於濫用受害電腦內建工具執行攻擊的寄生攻擊（living-off-the-land）手法，同時透過無檔案執行、程式碼混淆等技術來隱匿行蹤，規避安全防護偵測並阻礙分析。而且，他們還會滲透可信任的網路關係，以擴大攻擊範圍。</p> <p class="first-token" data-sourcepos="1:1-1:72">對於ALPHV/BlackCat，Amy Robertson表示，該組展現了攻擊者可帶來多面向的威脅，並會利用技術創新來擴大其衝擊。特別的是，該組織的RaaS模式使其招募的聯盟夥伴可使用防禦逃脫（Defense Evasion）技術，像是混淆與終止程序來關閉防護系統，並使用核心資料加密功能來癱瘓企業的業務運作。</p> <p class="first-token" data-sourcepos="1:1-1:72">隨著這次評測結果的公布，外界可以前往<a href="https://attackevals.mitre-engenuity.org/results/managed-services?evaluation=menupass-blackcat&scenario=1">MITRE Engenuity評估計畫結果的網站，了解這11家MSSP服務商的細部偵測結果</a>。</p> <p class="first-token" data-sourcepos="1:1-1:72"><a href="https://s4.itho.me/sites/default/files/images/2024-06-26_123652.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-26_123652.jpg" style="width: 320px; float: right;" /></a></p> <p class="first-token" data-sourcepos="1:1-1:72">例如，這次模擬評測共有15大步驟，包括從第一步驟開始，先模擬menuPass的建立潛伏，接著是初期探查、橫向移動到子公司的網域控制器、憑證存取與發現、準備橫向移動至子公司B網路、實際橫向移動至子公司B網路，發現與額外的權限提升、資料蒐集與滲出；再來是從第10步驟開始，模擬ALPHV/BlackCat的初始入侵與發現，憑證存取、利用憑證存取進行權限提升、收集與滲出、部署惡意Payload，到最後是加密以產生影響/抑制系統發現。</p> <p class="first-token" data-sourcepos="1:1-1:72">因此，外界可以針對這15個步驟，一一檢視11家廠商在每個步驟的偵測結果表現。此外，由於去年MITRE Engenuity以大幅調整評估計畫結果的呈現方式，因此我們若要檢視每個步驟偵測結果的螢幕截圖，可在單一頁面直接瀏覽，並可一次選擇3家廠商來做橫向對比。<br /> </p> </div></div></div>
2024/6/26 10:41作者羅正漢https://www.ithome.com.tw/news/163654
華碩在股市公開觀測站發布重大訊息，證實部分資訊系統參數設定不當導致產品資料曝光
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月25日晚間電腦製造商華碩在股市公開觀測站<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=9&SPOKE_TIME=194810&SPOKE_DATE=20240625&COMPANY_ID=2357">發布重大訊息</a>，指出他們發生部分產品資料不慎曝光的情況，原因是資訊系統的參數設定出現問題造成。</p> <p>該公司表示，他們找出組態錯誤的主機，隨即檢視資料存取相關的事件記錄，清查可能外流的資料內容。但究竟資料曝光的範圍及時間，華碩並未進一步說明。</p> <p>而針對這起事故可能帶來的影響，他們初步評估，不會對公司營運及財務造成重大影響。但華碩也提及後續改善措施，表明將持續落實供應鏈管理及組態管理的審查，重新檢視現有資訊系統架構並持續精進。上述這段說明雖然表達他們的解決之道，但從另一個角度而言，大家也可能認為這家公司所謂的參數設定出現問題的資訊系統，並非由他們自己維護，而是交由外部廠商。</p> <p><a href="https://s4.itho.me/sites/default/files/images/7rlucsS6rh.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/7rlucsS6rh.png" style="width: 580px;" /></a></p> </div></div></div>
2024/6/26 11:02作者周峻佑https://www.ithome.com.tw/news/163656
Progress在6月底揭露與修補MOVEit兩個重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年上半，Progress公司因旗下檔案傳輸管理系統MOVEit的漏洞<a href="https://www.ithome.com.tw/tags/cve-2023-34362">CVE-2023-34362</a>，遭到駭客濫用，後續藉此攻擊全球32國、兩千多個組織，而鬧得沸沸揚揚，<a href="https://www.ithome.com.tw/news/158113">我們也將此弱點列為2023年頭號資安漏洞</a>，本週他們在自家網站的知識庫公告MOVEit產品線有兩個重大漏洞，分別是：位於檔案傳輸代理伺服器MOVEit Gateway的<a href="https://community.progress.com/s/article/MOVEit-Gateway-Critical-Security-Alert-Bulletin-June-2024-CVE-2024-5805">CVE-2024-5805</a>，以及建置在內網環境的檔案傳輸系統MOVEit Transfer的<a href="https://community.progress.com/s/article/MOVEit-Transfer-Product-Security-Alert-Bulletin-June-2024-CVE-2024-5806">CVE-2024-5806</a>，都是因為當中搭配的SFTP模組，居然允許略過身分認證的程序，所以產生資安漏洞，而這兩個資安弱點的嚴重程度都被評為「重大」，CVSS分數高達9.1分。</p> <p>為了要解決這樣的問題，Progress現在發布這兩個產品的更新版本。若企業與組織目前採用MOVEit Gateway的2024.0.0版，需為此升級到2024.0.1版，即可修補CVE-2024-5805；若採用MOVEit Transfer的2023.0.0、 2023.1.0、2024.0.0這三個版本，需各自升級到2023.0.11、2023.1.6、2024.0.2。</p> <p>以監測漏洞暴露在網際網路的全球威脅態勢著稱的非營利組織Shadowserver基金會，在6月25日Progress發布相關消息的當天，就觀察到有心人士蠢蠢欲動。因為他們發現，當這些資訊公開後沒多久，就出現試圖利用CVE-2024-5806的行為，有人想要趁機在系統的根目錄上傳guestaccess.aspx，進行滲透，而且，根據他們的統計，目前暴露在網際網路的Progress系統，至少有1,800臺，雖然這些環境並非全都具有上述漏洞，但可想而知，若攻擊者想要行動，它們勢必會是最先被鎖定的對象。</p> <p> </p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Very shortly after vulnerability details were published today we started observing Progress MOVEit Transfer CVE-2024-5806 POST /guestaccess.aspx exploit attempts. If you run MOVEit & have not patched yet - please do so now: <a href="https://t.co/AenLgqg1wM">https://t.co/AenLgqg1wM</a></p> <p>NVD: <a href="https://t.co/OHQRNFNE9p">https://t.co/OHQRNFNE9p</a></p> <p>— The Shadowserver Foundation (@Shadowserver) <a href="https://twitter.com/Shadowserver/status/1805676078620401831?ref_src=twsrc%5Etfw">June 25, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p> </p> <p>關於CVE-2024-5806漏洞，設立於新加坡的新創資安廠商<a href="https://labs.watchtowr.com/auth-bypass-in-un-limited-scenarios-progress-moveit-transfer-cve-2024-5806/">watchTowr</a>其實在Progress公開之前，就已經收到知情人士的通報，因而提前得知這個當時尚未被揭露的弱點，也率先發布部落格文章解析CVE-2024-5806的問題、概念驗證攻擊手法，以及修正與緩解方式。</p> <p> </p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en">Progress just un-embargoed a very closely guarded auth bypass in MOVEit Transfer's SFTP mechanism - CVE-2024-5806.</p> <p>We were lucky enough to receive a tip-off :-) Enjoy our analysis, we had a lot of fun.<a href="https://t.co/GLoCIAki9w">https://t.co/GLoCIAki9w</a></p> <p>— watchTowr (@watchtowrcyber) <a href="https://twitter.com/watchtowrcyber/status/1805619864201314335?ref_src=twsrc%5Etfw">June 25, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p> </p> </div></div></div>
2024/6/26 12:29作者李宗翰https://www.ithome.com.tw/news/163658