iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 1篇
近 24 小時: 28篇
近 7 天: 127篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 07:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 127 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

被爆抄襲，Figma關閉AI工具Make Designs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>使用者介面設計平臺Figma上周<a href="https://www.figma.com/blog/introducing-figma-ai/?utm_medium=affiliate&utm_source=partnerstack&utm_campaign=%7Bpartner_key%7D&pscd=psxid.figma.com&ps_partner_key=c292cm5jb21tZXJjZWRlbWFuZHRlYW01Mjc4&sid=ly56b8xek90023dg0sdqy&ps_xid=zRfEX2cK6dB94S&gsxid=zRfEX2cK6dB94S&gspk=c292cm5jb21tZXJjZWRlbWFuZHRlYW01Mjc4" target="_blank">發表</a>Figma AI，提供各種整合AI的功能，不過，幾天後開發人員<a href="https://x.com/asallen/status/1807675146020454808" target="_blank">Andy Allen便揭露</a>，當他要求程式介面生成功能Make Designs設計一個天氣程式的介面時，發現生成結果跟蘋果的天氣程式幾乎一模一樣，當天Figma即暫時關閉了Make Designs。</p> <p class="rtecenter"><a href="https://x.com/asallen/status/1807675146020454808" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0703-figma%20ai-600.png" style="text-align: center; width: 599px;" /></a></p> <p>創立於2016年的Figma主要提供使用者介面及使用者經驗設計，原本要以200億美元賣給Adobe，卻因未通過監管機關的審核<a href="https://www.ithome.com.tw/news/160417" target="_blank">而告吹</a>。甫發表的Figma AI提供了視覺/資產搜尋能力，文字、文案與圖像生成工具，還有名為Make Designs的介面生成工具，使用者只要以文字描述需求，Make Designs就能提供介面的初稿供使用者參考。</p> <p>然而，Allen卻發現，他要求Make Designs所生成的天氣程式介面，基本上就跟蘋果的Weather程式布局及介面一模一樣，只有背景不同。這使得Allen認為Figma AI是利用大量現有程式進行訓練。</p> <p>Allen還警告其他開發人員，倘若要利用Make Designs設計介面，必須要留意它是否複製了其它程式，或是進行大量修改，以免陷入侵權泥淖。</p> <p>Figma共同創辦人暨執行長Dylan Field很快就出面澄清，指出Make Designs是利用多個現成的大型語言模型，再結合Figma委外開發或客製化的設計系統，並未利用Figma內容、社群檔案或是應用程式設計進行訓練；在看到Allen推文的幾小時內，他們便發現問題出在底層的設計系統，這是他的錯，因為他要求團隊要在期限內完成產品，因而未能堅持更好的品質保證（QA）流程。</p> <p>總之，Figma現已決定暫時關閉Make Designs功能，直至完成完整的QA流程之後再重新釋出。</p> </div></div></div>
2024/7/3 10:43作者陳曉莉https://www.ithome.com.tw/news/163749
蘋果展示多模態AI訓練框架4M、支援21種模態的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周<a href="https://4m.epfl.ch/" target="_blank">公開展示</a>具備文字、聲音、圖像理解能力的多模態AI模型訓練框架4M，及支援21種模態資料的多模態模型。</p> <p>4M模型框架全名為極多模態掩碼模型（Massively Multimodal Masked Modeling），為蘋果與瑞士洛桑聯邦理工學院（EPFL）合作開發。研究團隊於去年12月首先在2023年神經資訊處理系統（NeurIPS 2023）大會上發表，並<a href="https://github.com/apple/ml-4m" target="_blank">向大眾開源</a>。今年的最新成果中，研究團隊展示4M-21模型，為一any to any視覺模型，可支援21種模態任務和模態。</p> <p>4M模型及相關技術上，<a href="https://machinelearning.apple.com/research/massively-multimodal" target="_blank">蘋果解釋</a>，傳統視覺機器學習模型只能用於專門化的特定模態或任務，新近的大型語言模型則具備多模態識別能力，而4M則是更進一步的多種模態模型訓練方法。它運用掩碼建模（masked modeling）方法，來訓練出單一統合式transformer encoder-decoder，輸出、輸入都可支援多模態資料，涵括文字、幾何圖、語義模態，以及現有藝術模型DINOv2和ImageBind的神經網路特徵地圖。</p> <p>蘋果說，4M模型框架能以很少量的隨機詞元（token）訓練並有效擴充以訓練模型，其主要優點包括可適用多種視覺識別任務，經過微調後，也能在新任務或新模態資料上有效預測，並能訓練出現今最夯的生成式模型。</p> <p>在最新的研究進展下，研究團隊將4M擴展為21種模態資料，加入了包括人類姿勢和體形、SAM（Segment Anything Model）instances、以及metadata，還提出了針對特定模型的詞元化（tokenization）方法。研究團隊也成功以4M框架擴展到30億參數的模型，還能結合視覺與語言資料來進行訓練。</p> <p>研究團隊本周也釋出了二種模型，包括4M-7及<a href="https://huggingface.co/EPFL-VILAB/4M-21_XL" target="_blank">4M-21</a>的程式碼和模型。4M-21全名為An Any-to-Any Vision Model for Tens of Tasks and Modalities，研究團隊聲稱練出的模型具備未經微調（out-of-box）的極佳視覺識別效能、可執行任何條件及可操控（any-conditional & steerable）生成、跨模態擷取、支援多種感測器資料混合的能力。研究人員指出，透過4M及4M-21的研究，他們展示了可解決了多模態資料輸入任務，比現行模型多3倍，而且完全不損及效能。</p> <p><a href="https://venturebeat.com/ai/apple-just-launched-a-public-demo-of-its-4m-ai-model-heres-why-its-a-big-deal/" target="_blank">VenturBeat</a>指出，這次公布是蘋果過去極少見透明化宣傳的行為，顯示為了在AI業務上急起直追，蘋果逐漸改變行為作風。在6月的WWDC上，蘋果宣布將在iOS 18、macOS Sequoia加入和OpenAI ChatGPT的整合，也可能再引入Google Gemini或其他AI模型功能。</p> </div></div></div>
2024/7/3 11:16作者林妍溱https://www.ithome.com.tw/news/163750
【資安日報】7月2日，研究人員揭露polyfill供應鏈攻擊事故最新發現，駭客同時運用多個網域犯案，保守估計超過30萬…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週最令人聞之色變的polyfill[.]io供應鏈攻擊事故，引起許多研究人員關注，並呼籲網站管理者要儘速更換相關程式碼因應。事隔數日，這起事故又有新的變化。</p> <p>根據資安研究團隊MalwareHunterTeam與多名研究人員的調查，這些駭客同時也使用其他4個網域從事相關攻擊，因此受害範圍將進一步擴大，首先公布這起事故的資安業者Sansec表示，這些駭客已持續攻擊長達1年，他們找到8個對方使用的網域名稱。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163742"><strong style="font-size: 22px;">Polyfill供應鏈攻擊事故受害規模擴大，對方同時運用至少8個網域，至少有30萬個網站受害</strong></a></p> <p>上週引起各界高度關注的polyfill[.]io供應鏈攻擊事故，使用此瀏覽器相容性程式庫的網站，會導致使用者被導向賭博網站或是惡意網站。事隔數日，經營者聲稱透過polyfill[.]com繼續提供服務，使得研究人員對於使用該程式庫的網站提出警告，呼籲網站管理者應儘速移除，或是尋求替代方案，如今有研究人員指出，對方同時其他網域來從事相關的供應鏈攻擊。</p> <p>資安研究團隊MalwareHunterTeam指出，Google近期針對廣告業者發出的警告當中，提及會造成網站資安問題的第三方程式庫來源，除了polyfill之外，也提及Bootcss[.]com、BootCDN[.]net、Staticfile[.]org，但有研究人員進一步調查後發現，這些網域的背後經營者，其實都是同一組人馬，估計遭到相關攻擊的網站，規模達到至少30萬至35萬個。</p> <p>最早針對此事提出警告的資安業者Sansec也公布新的發現，他們指出對方至少從2023年6月發動供應鏈攻擊，藉此散布惡意軟體，當時這些駭客使用的網域，包括bootcdn[.]net、bootcss[.]com、staticfile[.]net、staticfile[.]org、unionadjs[.]com、xhsbpza[.]com、union.macoms[.]la、newcrbpc[.]com。</p> <p><a href="https://www.ithome.com.tw/news/163735"><strong style="font-size: 22px;">針對俄羅斯駭客APT29入侵微軟內部郵件系統的事故，該公司警告恐有更多用戶受到波及</strong></a></p> <p>與俄羅斯情報單位關係密切的駭客組織APT29（又稱Nobelium、Cozy Bear、Midnight Blizzard），去年11月經由密碼潑灑手法取得微軟Exchange Online測試帳號密碼，先是存取高層、法務及網路安全部門信件，今年再度攻擊微軟。微軟3月證實，這些駭客利用之前攻擊獲得的員工憑證，已經存取微軟內部系統和產品程式碼。6月底的用戶通知顯示這起攻擊災害真正範圍，正隨著微軟調查持續展開。</p> <p>微軟將已遭駭客存取的企業客戶信件獨立出來存在個別安全系統中，要求客戶指派經授權人士檢視這批信件，該公司將提供相關資訊，包括TenantID、存取密碼及連結等，供企業指派的人士存取信件。不過，該公司尚未證實此事，究竟有多少用戶收到通知信，也不得而知。</p> <p><a href="https://www.ithome.com.tw/news/163736"><strong style="font-size: 22px;">思科針對網路設備作業系統NX-OS零時差漏洞提出警告，中國駭客Velvet Ant將其用於散布惡意軟體</strong></a></p> <p>7月1日思科針對旗下網路設備作業系統NX-OS的漏洞CVE-2024-20399提出警告，此為命令列介面（CLI）的命令注入漏洞，攻擊者可在通過身分驗證的情況下，在本機以root的權限，於目標裝置的底層作業系統執行任意命令，CVSS風險評為6.0分。值得留意的是，他們提及今年4月這項漏洞已被用於攻擊行動。</p> <p>值得留意的是，雖然思科強調攻擊者利用漏洞的前提，是必須取得管理員權限，並存取特定的組態命令，才會觸發，但他們也提及，攻擊者無須啟用bash-shell的功能，也不會留下執行run bash命令的相關系統事件記錄，而能夠對使用者隱藏Shell命令執行的蹤跡。</p> <p>而針對這項零時差漏洞被用於攻擊行動的情形，通報漏洞的資安業者Sygnia指出，中國駭客組織Velvet Ant成功利用這項漏洞，在思科的Nexus裝置底層Linux作業系統執行命令，從而執行過往尚未被揭露的惡意程式，使得駭客能遠端存取Nexus設備，從中進行檔案上傳或是執行程式碼。</p> <p><a href="https://www.ithome.com.tw/news/163741"><strong style="font-size: 22px;">冒牌IT技術支援網站假借提供PowerShell指令碼「解決」Windows更新錯誤，意圖散布竊資軟體Vidar Stealer</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fake-IT-Support-Website-Leading-Figure2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fake-IT-Support-Website-Leading-Figure2.jpg" style="width: 300px; float: right;" /></a>資安業者eSentire揭露一起散布竊資軟體Vidar Stealer的攻擊行動，但這起攻擊行動的特別之處在於，攻擊者架設名為PCHelper Wizards的知識庫網站，聲稱能協助使用者修正Windows安裝更新產生的錯誤，然而一旦照做，執行對方提供的PowerShell指令碼，電腦就會下載惡意程式載入工具Hijack Loader（IDAT Loader），並注入netsh.exe處理程序執行，最終植入竊資軟體。</p> <p>在其中一起攻擊行動裡，對方號稱提供Windows更新過程出現0x80070643錯誤碼的解決方法。這是今年1月微軟例行更新（Patch Tuesady）當中，針對Windows 10使用者發布KB5034441更新，修補BitLocker安全功能繞過漏洞CVE-2024-20666，有部分使用者在安裝的過程出現上述錯誤代碼。</p> <p>值得留意的是，這些駭客也上傳教學影片來試圖散布PowerShell指令碼。研究人員在調查的過程發現，有一支YouTube影片與之有關，其中內含來自機器人的評論，聲稱影片提供的方法確實有效。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.zscaler.com/blogs/security-research/kimsuky-deploys-translatext-target-south-korean-academia"><strong style="font-size: 20px;">北韓駭客組織Kimsuky散布惡意Chrome延伸套件TransLatext，針對韓國學術機構竊取帳密資料</strong></a></p> <p></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/meet-brain-cipher-the-new-ransomware-behind-indonesia-data-center-attack/"><strong style="font-size: 20px;">印尼臨時國家資料中心遭到網路攻擊，傳出是勒索軟體駭客組織Brain Cipher所為</strong></a></p> <p>◆<a href="https://www.rapid7.com/blog/post/2024/06/27/supply-chain-compromise-leads-to-trojanized-installers-for-notezilla-recentx-copywhiz/"><strong style="font-size: 20px;">印度軟體開發業者遭遇供應鏈攻擊，旗下產品安裝檔被植入竊資軟體</strong></a></p> <p></p> <p>◆<a href="https://outpost24.com/blog/unfurling-hemlock-cluster-bomb-campaign/"><strong style="font-size: 20px;">駭客組織Unfurling Hemlock在受害電腦投放多種惡意程式進行轟炸</strong></a></p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163737"><strong style="font-size: 22px;">開源加密程式庫OpenSSH存在RCE漏洞regreSSHion，攻擊者有機會藉此在Linux作業系統取得root權限</strong></a></p> <p></p> <p>資安業者Qualys提出警告，他們在基於glibc之Linux系統的OpenSSH伺服器上發現安全漏洞CVE-2024-6387，未經授權的攻擊者一旦觸發漏洞，就能自遠端執行任意程式，該漏洞波及了絕大多數的Linux版本。研究人員透過Censys與Shodan的物聯網裝置搜尋引擎掃描，發現網路上可能受影響的OpenSSH實例超過1,400萬個，他們根據Qualys CSAM 3.0外部攻擊面管理工具的資料，有70萬個曝露於公開網路上的OpenSSH實體含有這項漏洞。</p> <p>對此，開發團隊於7月1日發布9.8及9.8p1版修補這項漏洞，他們也針對這項漏洞提出說明，表示他們已在特定組態的32位元Linux作業系統環境重現漏洞，但也有可能用來攻擊64位元的Linux主機，甚至是未採用glibc程式庫的電腦。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.evasec.io/blog/eva-discovered-supply-chain-vulnerabities-in-cocoapods"><strong style="font-size: 20px;">蘋果應用程式相依性管理套件CocoaPods存在重大缺陷，恐導致iOS、macOS應用程式出現供應鏈攻擊</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163711"><strong style="font-size: 22px;">2024臺灣AD防護現況大公開，兩家本土資安業者持續示警，呼籲企業重視多種管理設定不當引發的風險</strong></a></p> <p>對於Active Directory（AD）的防護，由於影響企業與組織應用系統的身分與存取安全，近年來持續受到許多國內外資安業者關注，原因在於，大家都疏於防護，存在管理不當、設定不安全的狀況。</p> <p>在2022年，臺灣兩家本土資安業者奧義智慧與戴夫寇爾曾聯手，共同揭露臺灣企業AD防護上的多項問題，包括：高達77%可從DMZ區直接存取AD，以及企業不夠重視最新AD提權漏洞修補。</p> <p>今年上半，我們看到這兩家資安業者持續針對這方面議題示警，他們各自依據處理的實際案例與演練經驗，在最近幾個月相繼公布臺灣最新AD安全分析結果，呼籲企業應重新檢視自家AD，是否存在類似的安全問題。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163731"><strong>【7月1日】遠端桌面連線解決方案業者TeamViewer傳出遭俄羅斯駭客APT29入侵，該公司強調旗下產品未受影響</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163709"><strong>【6月28日】前幾天Polyfill.io供應鏈攻擊事件曝光震撼整個IT界，後續傳出中國CDN業者另起爐灶，再度對10萬網站下手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163687"><strong>【6月27日】舊版瀏覽器網站相容套件Polyfill.io被中國公司買下，驚傳被植入惡意程式碼，恐影響逾10萬網站</strong></a></p> </div></div></div>
2024/7/2 17:46作者周峻佑https://www.ithome.com.tw/news/163743
體型縮減近一半、可橫置堆疊多臺，Dell新款單路伺服器登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_t160_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月中Dell推出新一代入門級單路伺服器機型<a href="https://www.ithome.com.tw/review/160700">R360與T360</a> ，採用英特爾此時發表的<a href="https://www.ithome.com.tw/tags/xeon-e-2400">Xeon E-2400處理器</a>，今年5月中舉行Dell Technologies World大會期間，他們接續發表基於同樣運算平臺的T160與R260，而到了月底，Dell也正式公開這兩款機型的規格表與技術指南文件。</p> <p>相較於Dell既有的入門級伺服器，T160與R260最顯著的差異是採用體型更小的機箱，對比上一代採用Xeon E-2300處理器的伺服器款式T150與R250，體型精簡幅度分別是42％與24％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R260-T160-1.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R260-size.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20T160-size.jpg" style="width: 298px;" /></p> <p>仔細比對兩代機型的機箱外形規格，也可清楚看出它們之間的差異。例如，T150機箱為4U（360 x 175 x 428.75公釐），新推出的T160機箱為3U（332.5 x 132.52 x 403.8公釐），長度、寬度、深度都縮減，體積從27公升降至17.7公升；R250機箱為1U（42.8 x 482 x 598.64公釐），R260機箱為1U（42.8 x 482 x 496.8公釐），深度從23吋減至17吋。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/T160_T150%20Comparison.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell T160_R260 filter bezel.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20T160_R260%20filter%20bezel.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，T160的直立型機箱，在前緣額外設置空氣過濾邊框（filter bezel），可遮蔽灰塵與油汙、防止這些物質進入伺服器內部，確保送至系統主元件的氣流能夠暢通無阻，減少故障、效能不彰、噪音等問題，提升能源使用效率（R260也提供過濾邊框）。Dell也在T160機箱外殼，導入環境永續友善的材料——採用再生鋼鐵與不塗漆的機殼（採用高耐用的鋅塗裝），不需焊接、研磨、上漆等二次處理，減少化學製品的使用，兼顧無汙垢、無鏽蝕的外觀需求，為乾淨、健康的環境貢獻心力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell T160 Filter Bezel without.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20T160%20Filter%20Bezel%20without.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell T160 Filter Bezel with.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20T160%20Filter%20Bezel%20with.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell T160-Filter replace1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20T160-Filter%20replace1.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell T160-Filter replace2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20T160-Filter%20replace2.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell T160-Filter replace3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20T160-Filter%20replace3.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Dell T160-Filter replace4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20T160-Filter%20replace4.jpg" style="width: 148px;" /></a></p> <p>在設備部署的作法上，T160直立式機箱也能改用橫放方式置入標準機櫃，或是直接將多臺T160橫置堆疊起來（Stackable），基本上，Dell在這款產品機殼的6個邊角都設有橡膠護墊，可避免機箱頂部與底部直接與其他T160碰觸、摩擦。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/50-05832-2024PD_1052038_CO-web.jpg" style="width: 198px;" /></p> <p>由於T160與R260本身的產品組態與運算性能等級，很容易令人聯想到主攻中小型企業IT建置需求，但機箱採用上述獨特的外形設計，像是短小的機身、搭配空氣過濾邊框，顯然是為了支援設置空間相當有限的邊緣運算應用，Dell表示，這兩款產品能用於與核心資料中心相對緊鄰的近端邊緣環境（Near-Edge）——距離更遠的邊緣環境稱為Far Edge。</p> <p>關於整臺伺服器系統性能的部分，T160與R260均搭配Xeon E-2400處理器，運算效能可達到上一代機型T150與R250的兩倍（SPEC CPU 2017基礎浮點運算效能，T160搭配Xeon E-2478對上T350搭配Xeon E-2378）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell T160_R260-Xeon E-2400 SPECCPU-FP.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20T160_R260-Xeon%20E-2400%20SPECCPU-FP.png" style="width: 600px;" /></a></p> <p>而在單位成本效能的表現上，根據Dell的處理器售價，新款伺服器採用Xeon E-2400的系統領先幅度，可達到60％。節能效率的部分，T160採用Xeon E-2414處理器對上T150採用Xeon E-2388G處理器，每瓦效能領先幅度為23％（SPECpower_ssj 2008，T160為10,179 ssj_ops/watt，T150為8,259 ssj_ops/watt）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20T160_R260-Xeon%20E-2400%20SPECpower_ssj%202008.png" style="width: 367px;" /></p> <p>若執行不同類型的工作負載，兩代產品效能差異又是如何？根據Dell內部測試結果，T160與R260採用Xeon E-2414處理器、16GB DDR5記憶體的組態，對上T150與R250採用Xeon E-2314處理器、8GB DDR4記憶體時，兩款新機型在關聯式資料庫的平均延遲均可縮減50％，傳輸效能領先上一代產品的幅度，各為90％與85％，而在網站伺服器的測試當中，每秒可處理的存取請求數量各超出60％與69％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell T160_R260 Workload performance.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20T160_R260%20Workload%20performance.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Dell PowerEdge T160</strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：直立式，3U高度<br /> ●處理器：1顆，Xeon E-2400系列（最高8核心），或Pentium G7400、G7400T（雙核心）<br /> ●記憶體：4個DDR5-4400插槽，最大128 GB<br /> ●儲存配置：3臺3.5吋硬碟（最大48 TB），或3臺3.5吋硬碟加2臺2.5吋硬碟（最大63.36 TB），開機NVMe固態硬碟BOSS-N1（2張M.2固態硬碟）<br /> ●I/O介面：PCIe 4.0 x16、x8（2個半高半長）<br /> ●電源供應器：300瓦或500瓦<br /> ●網路介面：2個GbE埠</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/7/2 17:00作者李宗翰https://www.ithome.com.tw/review/163259
Polyfill供應鏈攻擊事故受害規模擴大，對方同時運用至少8個網域，至少有30萬個網站受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週引起各界高度關注的<a href="https://www.ithome.com.tw/news/163667">polyfill[.]io供應鏈攻擊事故</a>，使用此瀏覽器相容性程式庫的網站，會導致使用者被導向賭博網站或是惡意網站。事隔數日，<a href="https://www.ithome.com.tw/news/163707">經營者聲稱透過polyfill[.]com繼續提供服務</a>，使得研究人員對於使用該程式庫的網站提出警告，呼籲網站管理者應儘速移除，或是尋求替代方案，如今有研究人員指出，對方同時其他網域來從事相關的供應鏈攻擊。</p> <p><a href="https://x.com/malwrhunterteam/status/1806429093778559214">資安研究團隊MalwareHunterTeam指出</a>，Google近期針對廣告業者發出的警告當中，提及會造成網站資安問題的第三方程式庫來源，除了polyfill之外，也提及Bootcss[.]com、BootCDN[.]net、Staticfile[.]org，但有研究人員進一步調查後發現，這些網域的背後經營者，其實都是同一組人馬，估計遭到相關攻擊的網站，規模達到至少30萬至35萬個。</p> <p><a href="https://s4.itho.me/sites/default/files/images/google-polyfill-alert.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/google-polyfill-alert.jpg" style="width: 580px;" /></a></p> <p>中國研究員Ze-Zheng Wu<a href="https://x.com/zzwudev/status/1806339023092560323">發現</a>名為data.polyfill.com的GitHub程式碼儲存庫，從儲存庫的名稱來看，當中疑似含有Polyfill相關的資料。研究人員檢視其中的內容指出，經營此儲存庫的人士曝露了許多機敏資料，並向MalwareHunterTeam表示，這家宣稱是合法的中國公司，不僅買下了網域名稱polyfill[.]io，並在GitHub上洩露他們Cloudflare的「ApiToken」及「ZoneId」兩項資訊。</p> <p>資安新聞網站Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/polyfillio-bootcdn-bootcss-staticfile-attack-traced-to-1-operator/">進一步透露細節</a>，對方公開了<a href="https://web.archive.org/web/20240701033714/https://github.com/vincent-backend/data.polyfillcache/blob/main/.env">環境變數檔案（.ENV）</a>，從而曝露polyfill[.]io的Cloudflare API Token，以及區域ID，此外，他們還看到Algolia API金鑰等相關資料，甚至是舊版的.ENV，從而找到這些人士早期使用的MySQL帳密資料。</p> <p>另一名使用ID名稱mdmck10的研究人員也針對這些資料進行調查，<a href="https://x.com/mdmck10/status/1806350487635083517">並指出對方採用非常嚴格的方式管制Token的用途</a>，只能在特定的地理區域存取，研究人員透過其他區域嘗試，結果都是回傳403錯誤訊息。</p> <p>除此之外，這名研究員也表示，<a href="https://x.com/mdmck10/status/1806349965733544160">根據對方使用的Cloudflare帳號</a>，總共有bootcdn[.]net、bootcss[.]com、polyfill[.]io、staticfile[.]net、staticfile[.]org與之相關。換言之，這些從事供應鏈攻擊的駭客，至少使用了5個網域來進行有關攻擊行動。</p> <p>而針對這起供應鏈攻擊發生的時間，澳洲資安鑑識員Nullify指出，<a href="https://x.com/nullifysecurity/status/1806489013567778923">很有可能可以追溯到去年6月</a>。當時在中文論壇上，有專門討論影響bootcss[.]com的早期版本注入程式碼，當中提及名為check_tiaozhuan的函數功能。</p> <p>資安新聞網站Bleeping Computer指出，上述的函數功能代表注入的惡意程式碼，他們進一步確認此事，約在去年6月20日有多個中文論壇的開發人員進行相關討論，試圖破解BootCSS內含的異常程式碼，並指出這些程式碼經過混淆處理，而名為check_tiaozhuan的函數功能，則會檢查瀏覽網站的使用者是否使用行動裝置，並將他們重新導向另一個網頁。</p> <p>最早針對此事提出警告的<a href="https://sansec.io/research/polyfill-supply-chain-attack">資安業者Sansec</a>也公布新的發現，他們指出對方至少從2023年6月發動供應鏈攻擊，藉此散布惡意軟體，當時這些駭客使用的網域，包括bootcdn[.]net、bootcss[.]com、staticfile[.]net、staticfile[.]org、unionadjs[.]com、xhsbpza[.]com、union.macoms[.]la、newcrbpc[.]com。</p> </div></div></div>
2024/7/2 17:27作者周峻佑https://www.ithome.com.tw/news/163742
冒牌IT技術支援網站假借提供PowerShell指令碼「解決」Windows更新錯誤，意圖散布竊資軟體Vidar St…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客佯稱應用程式錯誤，指示使用者依照指示操作，從而複製、貼上惡意PowerShell指令碼並執行的攻擊手法，上個月有研究人員揭露<a href="https://www.ithome.com.tw/news/163513">駭客組織ClearFake、TA571發動相關攻擊行動</a>，如今有人架設假的知識庫網站，目標顯然是那些會上網搜尋電腦更新錯誤問題解法的使用者，從事類似的攻擊行為。</p> <p>資安業者eSentire揭露<a href="https://www.esentire.com/blog/fake-it-support-website-leading-to-vidar-infection">一起散布竊資軟體Vidar Stealer的攻擊行動</a>，但這起攻擊行動的特別之處在於，攻擊者架設名為PCHelper Wizards的知識庫網站，聲稱能協助使用者修正Windows安裝更新產生的錯誤，然而一旦照做，執行對方提供的PowerShell指令碼，電腦就會下載惡意程式載入工具Hijack Loader（IDAT Loader），並注入netsh.exe處理程序執行，最終植入竊資軟體。</p> <p>在其中一起攻擊行動裡，對方號稱提供Windows更新過程出現0x80070643錯誤碼的解決方法。這是今年1月微軟例行更新（Patch Tuesady）當中，針對Windows 10使用者發布KB5034441更新，修補BitLocker安全功能繞過漏洞CVE-2024-20666，<a href="https://www.bleepingcomputer.com/news/microsoft/windows-10-kb5034441-security-update-fails-with-0x80070643-errors/">有部分使用者在安裝的過程出現上述錯誤代碼</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Fake-IT-Support-Website-Leading-Figure1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fake-IT-Support-Website-Leading-Figure1.jpg" style="width: 580px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fake-IT-Support-Website-Leading-Figure2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fake-IT-Support-Website-Leading-Figure2.jpg" style="width: 580px;" /></a></p> <blockquote><p>在駭客架設的網站中，提供了詳細的操作步驟，要使用者依照指示複製PowerShell指令碼，並打開電腦的終端機，點選滑鼠右鍵貼上、執行，使用者為了解決電腦出現的錯誤訊息，很有可能就會照著操作，而不慎在電腦執行駭客的惡意指令碼。</p> </blockquote> <p>研究人員解析對方提供的PowerShell指令碼，其內容經過Base64編碼處理，一旦執行，就會先下載特定的ZIP壓縮檔到電腦的暫存資料夾，然後使用URL產生POST請求，研究人員推測，這麼做的目的，很可能是用來向C2伺服器回報下載已經完成。</p> <p>接著，該指令碼解開ZIP檔並執行內含的惡意酬載，完成後又解碼另一組Base64字串，得到另一個URL並發出POST請求，向攻擊者回傳已感染成功的訊息。</p> <p>值得留意的是，這些駭客也上傳教學影片來試圖散布PowerShell指令碼。研究人員在調查的過程發現，有一支YouTube影片與之有關，其中內含來自機器人的評論，聲稱影片提供的方法確實有效。</p> </div></div></div>
2024/7/2 15:17作者周峻佑https://www.ithome.com.tw/news/163741
三大專營電支業者先後支援TWQR共同支付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>街口支付宣布7月開始，正式支援TWQR，至此街口、一卡通、全支付三大專營電支業者均支援TWQR，用戶可以喜好的電子支付App，掃描不同特約機構商家的TWQR立牌，完成跨店家掃碼支付。</p> <p>去年10月，財金公司正式推出電支跨機構共用平臺「購物」功能，以及QR Code共同支付規格TWQR，透過電支跨機構共用平臺「購物」功能及TWQR，讓消費者使用同一個電支App，可在採用TWQR的商家掃碼支付，不論該商家原本屬於某家電支業者或銀行的特約商家。</p> <p>3大專營電支業者中，旗下已有超過480萬用戶的全支付，今年3月率先宣布支援TWQR，用戶可以全支付App，在使用TWQR立牌的商家消費付款。而已有超過630萬用戶的一卡通於6月中開始支援TWQR。</p> <p>擁有650萬電支用戶的街口支付從7月開始支援TWQR。街口支付總經理范庭甄表示，街口支付開通 TWQR，希望能解決以往因各業者間QR Code無法互通，以及商家櫃檯必需擺放多個立牌，民眾結帳不便的痛點，現階段先協助合作商家完成 TWQR 立牌更換，通過教育訓練與使用說明，讓商家與用戶可透過TWQR完成交易，下一步將推出行銷優惠，養成使用TWQR的習慣。</p> <p>在一卡通、街口、全支付3家業者支援TWQR後，合計超過1700萬電支用戶可掃描TWQR付款，用戶只要使用一款電支App，就能在不同特約商家的TWQR掃碼付款。這些採用TWQR的商家，包括電支業者及銀行的特約商家，主要以正掃店家為主，由消費者掃描商家的QR Code，除了街口、一卡通、全支付，全盈支付、歐付寶、橘子支、台灣Pay等也已經支援TWQR。</p> <p>為推廣TWQR，目前電支業者、銀行也持續推廣特約商家更換採用TWQR，以擴大採用TWQR的商家數量。需注意的是，目前TWQR以正掃模式為主，即消費者持手機，以App掃描商家的TWQR，至於超商常見的被掃模式，消費者出示QR Code讓商家掃碼目前尚未開放。</p> </div></div></div>
2024/7/2 14:50作者蘇文彬https://www.ithome.com.tw/news/163740
OpenSSH含有可遠端攻陷伺服器的回歸漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Qualys 周一（7/1）<a href="https://blog.qualys.com/vulnerabilities-threat-research/2024/07/01/regresshion-remote-unauthenticated-code-execution-vulnerability-in-openssh-server" target="_blank">警告</a>，他們在基於glibc之Linux系統的Open Secure Shell（OpenSSH）伺服器上發現一個安全漏洞CVE-2024-6387，將允許未經授權的駭客自遠端執行任意程式，該漏洞波及了絕大多數的Linux版本。透過Censys與Shodan的掃描發現，網路上可能受影響的OpenSSH實例超過1,400萬個，但Qualys CSAM 3.0外部攻擊面管理工具的匿名資料則顯示，有70萬個曝露於公開網路上的OpenSSH實例確定含有該漏洞。</p> <p>OpenSSH是一個基於Secure Shell（SSH）協定的開源網路加密通訊工具，具備強大的加密能力以確保隱私與安全的檔案傳輸，為遠端伺服器管理及安全資料通訊的重要工具，最初是OpenBSD作業系統專案的一部分，約於2000年開始移植到其它平臺，它現為大多數主要Linux版本的基本配置，涵蓋Ubuntu、Debian、CentOS/RHEL、Fedora、openSUSE與macOS等。</p> <p>CVE-2024-6387為OpenSSH訊號處理程序的競爭條件漏洞，允許駭客在不需要身分驗證的情況下，自遠端執行任意程式，還能以最高權限執行，意味著能夠完全掌控被駭系統。</p> <p>不過，Qualys發現，這其實是個回歸漏洞，同樣的漏洞曾經出現在2006年的CVE-2006-5051，當時已被修復，卻又在2020年10月發布的OpenSSH 8.5p1版本中重現。</p> <p>受到該漏洞影響的版本為OpenSSH 4.4p1之前的版本，但只要曾修補CVE-2006-5051與CVE-2008-4109漏洞就不會受到影響；OpenSSH 4.4p1到OpenSSH 8.5p1則因部署了CVE-2006-5051而未遭波及；而OpenSSH 8.5p1至OpenSSH 9.8p1則是因意外刪除函數中的關鍵元件而讓漏洞重新出現。</p> <p>另一方面，由於OpenBSD作業系統團隊在2001年開發了一個安全機制來預防該漏洞，使得它並未受到該漏洞的牽連。</p> <p>Qualys建議使用者應該儘速部署可用的安全更新，強化存取控制，以及執行網路分段與入侵偵測來緩解可能的風險。</p> <p>OpenSSH團隊亦於本周一<a href="https://www.openssh.com/releasenotes.html" target="_blank">釋出了OpenSSH 9.8/9.8p1</a>，以修補CVE-2024-6387及另一個邏輯漏洞。該團隊亦說明，在實驗室環境下，要攻陷CVE-2024-6387需要不斷建立連結並持續6~8小時，直至達到伺服器極限，目前已於具備ASLR的32位元Linux系統上成功展現。理論上該漏洞也可能用來攻擊64位元的Linux系統，或是非glibc的系統，但前者尚未有人印證，後者則需深入研究。</p> </div></div></div>
2024/7/2 13:21作者陳曉莉https://www.ithome.com.tw/news/163737
法國打算控告Nvidia違反市場競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>路透社（Reuters）本周<a href="https://www.reuters.com/technology/french-antitrust-regulators-preparing-nvidia-charges-sources-say-2024-07-01/" target="_blank">引述消息來源報導</a>，法國競爭管理局Autorité de la concurrence（Autorité）即將控告Nvidia違反市場競爭。</p> <p>此一發展有跡可循。Nvidia已囊括全球8成以上的AI晶片市場，<a href="https://www.ithome.com.tw/news/163327" target="_blank">更曾一度站上全球市值最高的企業</a>，儘管隨後又再被微軟及蘋果追上，目前位居全球第三大企業，但Nvidia於AI時代的影響力已不言而喻。</p> <p>這兩年來AI的快速發展已至少引起美國及法國監管機構的注意，Autorité在6月下旬更曾發布一份<a href="https://www.autoritedelaconcurrence.fr/en/press-release/generative-artificial-intelligence-autorite-issues-its-opinion-competitive" target="_blank">攸關生成式AI市場競爭的報告</a>，為了確保所有家庭與企業都能使用所需的各種AI模型，以實現生成式AI所帶來的利益，該機構認為此一領域的競爭必須有利於創新，也應允許多個營運商的存在，因而在去年2月開始針對生成式AI領域的競爭運作展開調查並蒐集意見。</p> <p>該報告其實列出了現階段生成式AI領域的不同業者，包括Alphabet、微軟、Amazon、蘋果、Meta與Nvidia等主要科技業者，以及Anthropic、Hugging Face、Mistral AI與OpenAI等模型開發商，亦提及OVHCloud、CoreWeave與Jean Zay等其它提供AI服務的雲端供應商，或是ChatGPT等生成式AI應用。</p> <p>而在對Nvidia的描述中，該機構認為Nvidia所開發的GPU與CUDA軟體，或是其它業者開發的AI加速器（Google TPU），都在生成式AI模型的訓練、微調與推論上扮演了重要角色，它們不僅非常昂貴，也因需求激增而供不應求。</p> <p>此外，Autorité在調查時發現了晶片供應商濫用其地位的潛在風險，包括價格操縱、生產限制、不公平的合約條件與歧視行為；也對該領域依賴由Nvidia所開發、唯一與Nvidia GPU完全相容的CUDA晶片程式設計軟體感到擔憂；此外，Nvidia最近還宣布投資諸如CoreWeave等AI服務雲端供應商，進一步擴大了Nvidia的觸角與影響力。</p> <p>「樹大招風」適用於任何領域，且不僅是Nvidia，上述其它生成式AI的主要推動者也已經成為另一個遭監管機構點名的對象，例如微軟與OpenAI的合作已惹來英國、<a href="https://www.ithome.com.tw/news/160265" target="_blank">美國</a>與<a href="https://www.ithome.com.tw/news/160789" target="_blank">歐盟</a>的注意，且皆已展開調查。</p> </div></div></div>
2024/7/2 13:48作者陳曉莉https://www.ithome.com.tw/news/163738
思科針對網路設備作業系統NX-OS零時差漏洞提出警告，中國駭客Velvet Ant將其用於散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月1日思科針對旗下<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-nxos-cmd-injection-xD9OhyOP#details">網路設備作業系統NX-OS的漏洞CVE-2024-20399提出警告</a>，此為命令列介面（CLI）的命令注入漏洞，攻擊者可在通過身分驗證的情況下，在本機以root的權限，於目標裝置的底層作業系統執行任意命令，CVSS風險評為6.0分。值得留意的是，他們提及今年4月這項漏洞已被用於攻擊行動。</p> <p>這項漏洞發生的原因，主要是傳遞特定組態的CLI命令出現驗證不夠充分的情況，攻擊者可藉由含有偽造輸入的參數來配置CLI命令，從而觸發漏洞，而能以root權限在底層作業系統執行任意命令。</p> <p>值得留意的是，雖然思科強調攻擊者利用漏洞的前提，是必須取得管理員權限，並存取特定的組態命令，才會觸發，但他們也提及，攻擊者無須啟用bash-shell的功能，也不會留下執行run bash命令的相關系統事件記錄，而能夠對使用者隱藏Shell命令執行的蹤跡。</p> <p>該漏洞影響範圍相當廣泛，包含多層交換器MDS 9000，以及Nexus 3000、5500、5600、6000、7000交換器產品線，此外，設置為獨立NX-OS模式的Nexus 9000系列，也同樣可能曝露在這項漏洞的危險當中。思科發布新版軟體來進行修補，並強調沒有其他可用的緩解措施，呼籲IT人員要儘速套用。 </p> <p>而針對這項零時差漏洞被用於攻擊行動的情形，通報漏洞的資安業者Sygnia指出，<a href="https://www.sygnia.co/threat-reports-and-advisories/china-nexus-threat-group-velvet-ant-exploits-cisco-0-day/">中國駭客組織Velvet Ant成功利用這項漏洞</a>，在思科的Nexus裝置底層Linux作業系統執行命令，從<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">而</span>執行過往尚未被揭露的惡意程式，使得駭客能遠端存取Nexus設備，從中進行檔案上傳或是執行程式碼。</p> <p>針對這些駭客鎖定這類網路設備而來，研究人員指出，包含交換器在內的網路設備，往往缺乏監控，這些設備的事件記錄通常也並未集中控管，這樣的情況使得攻擊者有機可乘，在防守方不知情的狀態下從事各式攻擊行動。</p> </div></div></div>
2024/7/2 12:20作者周峻佑https://www.ithome.com.tw/news/163736
馬斯克的Grok-2、Grok-3將在8月、年底公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta、Google、Amazon及微軟各大廠掀起通用人工智慧（AGI）開發競賽。科技大亨馬斯克（Elon Musk）旗下xAI在趕進度，預計8月及年底，會接連公布生成式AI模型Grok-2及Grok-3。</p> <p>xAI分別於3月及4月公布Grok-1、<a href="https://www.ithome.com.tw/news/162050" target="_blank">Grok-1.5</a>後，本周稍早馬斯克透過X公布Grok-2預計8月推出。</p> <p>馬斯克主要是回應另一家AI新創Cohere執行長Aidan Gomez貼文提出，現在許多大型語言模型（LLM）使用的網路公開資料包含OpenAI模型產出的內容，這已成為該公司必須極力避免的問題。馬斯克附和說，要從LLM去除掉網際網路內容需要很大心力，而預計8月推出的Grok-2則在這方面「有很大進展」。</p> <p>這位科技大亨稍後又<a href="https://x.com/elonmusk/status/1807643760584708363" target="_blank">預告</a>Grok-3會在年底完成訓練。他並未提及Grok-3的任何技術細節，只提到以10萬顆Nvidia H100 GPU上訓練而成的Grok-3「是很特別的東西」。</p> <p class="rtecenter"><a href="https://x.com/elonmusk/status/1807643760584708363" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0702-grok%203-elon%20musk(1).png" style="width: 600px;" /></a></p> <p>Grok模型將主要作為X的聊天機器人Grok的底層。目前Grok只<a href="https://www.ithome.com.tw/news/162142" target="_blank">提供給付費用戶</a>。不過另一方面，較早前版本的模型如Grok-1，也已<a href="https://www.ithome.com.tw/news/161812" target="_blank">向大眾開源</a>。</p> </div></div></div>
2024/7/2 10:59作者林妍溱https://www.ithome.com.tw/news/163734
微軟擴大警告俄羅斯駭客事件的可能受害用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日因應俄羅斯駭客組織Midnight Blizzard入侵內部郵件系統事件，向更多用戶發出資料外洩的警告。</p> <p>6月底<a href="https://answers.microsoft.com/en-us/msoffice/forum/all/midnight-blizzard-data-sharing-request-email/1c1e90f6-43fc-4c91-ac77-3127fb6a340c" target="_blank">有用戶接獲</a>微軟寄發的資料外洩電子郵件通知。根據用戶張貼的信件內容，微軟告知，在Midnight Blizzard的攻擊中，用戶和微軟往來的郵件已遭俄國駭客存取。</p> <p>Midnight Blizzard是和俄羅斯情報單位關係密切的駭客組織，又稱Nobelium、Cozy Bear或APT 29。去年11月這群駭客經由密碼潑灑手法取得微軟Exchange Online測試帳號密碼，先是存取高層、法務及網路安全部門信件，今年再度攻擊微軟。微軟3月<a href="https://www.ithome.com.tw/news/161703" target="_blank">指出</a>，Midnight Blizzard利用之前攻擊獲得的員工憑證，已經存取微軟內部系統和產品程式碼。6月底的用戶通知顯示這起攻擊災害真正範圍，正隨著微軟調查持續展開。</p> <p>微軟將已遭駭客存取的企業客戶信件獨立出來存在個別安全系統中，要求客戶指派經授權人士檢視這批信件。微軟並提供相關資訊，包括TenantID、存取密碼及連結等，供企業指派的人士存取信件。</p> <p>微軟尚未證實此事。收到這批信件的企業用戶有多少也不得而知。</p> <p>以微軟提供眾多企業用戶雲端服務，被駭客入侵的災害勢必廣大。資安業者Darktrace<a href="https://darktrace.com/blog/how-to-protect-your-organization-against-microsoft-teams-phishing-attacks" target="_blank">發現</a>，上半年Teams釣魚訊息攻擊大增，研究人員研判，Midnight Blizzard可能從微軟竊取到企業用戶Microsoft 365帳號，設立新網域，再冒充受害企業的IT部門寄發釣魚Teams訊息給員工，以騙取其系統帳號。</p> <p>同時間Midnight Blizzard仍然持續活動。上周知名遠端桌面程式供應商<a href="https://www.ithome.com.tw/news/163714" target="_blank">TeamViewer公告</a>公司網路遭駭入，該公司相信攻擊者也是成員。</p> </div></div></div>
2024/7/2 11:17作者林妍溱https://www.ithome.com.tw/news/163735
【iThome 2024 CIO大調查系列2】生成式AI創新潮吹進各產業
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1188-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=0C58rT3H" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年，隨著生成式技術和工具的成熟，近2成臺灣大型企業開始受到衝擊，尤其是醫療、政府機構和服務業最迫切想用，3成5企業開始導入和實驗不同應用，還有3成企業展開計畫也準備搶進這股GAI應用新浪潮</p> </div></div></div>
2024/7/2 10:15未署名https://www.ithome.com.tw/article/163696
臺灣繁中LLM另一里程碑！Project TAME以5,000億個Token訓練而成並開源釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（7/1），長春集團、和碩聯合科技、長庚醫院、欣興電子、科技報橘和專攻法律AI的律果科技，與臺大資工系、臺大資管系就聯手揭露臺灣繁中大型語言模型（LLM）計畫TAiwan Mixture of Experts（簡稱Project TAME），以70億參數的開源模型Llama-3 70B為基礎，使用5,000億個Token和Nvidia開發者計畫技術訓練而成，具備石化、電子製造、醫療、媒體內容和法律等在地專業知識。Project TAME目前於GitHub上開源，團隊希望藉此拋磚引玉、吸引更多產業夥伴加入，來形塑臺灣產業專用AI應用生態系。</p> <p><span style="font-size:24px;"><strong>今年初發起計畫，3階段打造這款繁中LLM</strong></span></p> <p>早在今年1月，這些參與者就發起Project TAME，要打造繁中LLM。目前坊間雖有不少強大的LLM，如GPT系列、Claude系列、Llama系列模型等，但Project TAME主要開發者臺大資工系博士班候選人林彥廷表示，對本土企業和組織而言，仍需要表現穩定的繁中LLM才行。</p> <p>於是，這些本土企業聯手臺大，要打造這個繁中優化的模型TAME。該模型經3大階段訓練而成，包括利用臺灣本土資料進行連續預訓練，再來是生成多輪AI對話資料、進行微調，最後是模型與使用者真實互動，透過使用者回饋來微調模型。</p> <p>但光是第一階段，團隊就面臨2大難題：本土訓練資料來源，以及各領域專家確認資料來源與品質。為解決這個問題，他們採用聚集各領域專家、提供相關資料的模式，來因應資料不足的挑戰。而這些資料來源，包括了占所有訓練資料三分之一的合成資料（如合成教科書內容等），約1,000億Token左右，以及其他來自媒體、石化、法律、醫療、化工、製造業製程、遊戲等資料，包括來自網頁、社群平臺、資料庫、書籍、程式碼等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-07-01%20175631.png" /></p> <p>接著，在技術部分，團隊訓練的基礎模型有兩種，包括Meta的80億參數模型Llama-3 8B和700億參數Llama-3 70B，採用Nvidia NeMo、Nvidia NeMo Megatron兩種訓練框架，以及3D平行化、DeepSpeed Zero網路通訊優化器和Flash Attention等加速方法與工具，來訓練TAME模型。在推論部分，他們採用Nvidia TensorRT-LLM框架執行，另使用Nvidia建置的Taipei-1超級電腦（搭載DGX H100）算力來驅動模型訓練與推論。</p> <p>讓模型飽讀詩書、具備繁中基礎知識後，接下來就進入第二階段：監督式微調。在這階段，首先會從資料中取出提示，模型會根據提示來自我對話、生成多輪對話，最後根據這些對話資料來進行監督式微調。這些對話資料涵蓋了通用型和知識密集型資料。</p> <p>完成對話微調後，再來就是最後一階段，也就是透過模型與真人互動，來根據人類回饋微調模型，確保模型產出與人類偏好一致。為此，團隊也<a href="https://arena.twllm.com/">繁中LLM競技場</a>添加TAME，讓民眾在平臺上提問，並根據2個模型給出的回答，來評估模型表現。透過這種方式，就能進一步改善TAME模型的不足之處。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-07-01%20182915(1).png" /></p> <p><span style="font-size:24px;"><strong>在地文化理解力、專業知識能力實測皆第一</strong></span></p> <p>完成3階段的訓練後，接著，團隊利用標準化測試題目，來評估Project TAME模型表現。</p> <p>首先是包含各種本土考試科目的語義理解基準測試TMLU，不只有國高中文科、數理化等考題，還有教師資格、領隊、駕駛等考題。經測試，Project TAME的平均分數為71.3%，與Claude 3的73.6相差無幾，還勝過GPT-4、Gemini、Llama 3等模型。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-07-01%20175417.png" /></p> <p>再來，Project TAME模型還具備在地文化知識，能根據在地文化提示（如網友戲稱哪一項早餐店的產品有通腸效果）給出正確回答，正確率是所有評測模型中的最高的，達79.4。</p> <p>特別的是，Project TAME還在臺灣律師考試的選擇題部分拿下好成績，總共209題中拿下60.8分，一樣是所有測試模型中的最高分（如下圖），意味著TAME具備臺灣法律知識，比Claude-3（60.3）、GPT-4o（53.6）、TAIDE 8B（37.8）等模型還要厲害。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-07-01%20174941.png" /></p> <p><span style="font-size:24px;"><strong>Project TAME正式對外開源，不少領域已有初步應用</strong></span></p> <p>目前，<a href="https://github.com/MiuLab/Taiwan-LLM">Project TAME已正式開源，企業可免費下載使用</a>，民眾<a href="https://www.twllm.com">也能至模型聊天頁面測試</a>。另有亞太智能機器（APMIC）整合Project TAME，<a href="http://techorange.com/tame">提供聊天機器人測試頁</a>供使用者測試。</p> <p>林彥廷表示，為降低企業部署門檻，未來Project TAME可能朝混合專家模型（MoE）形式發展。因為，MoE由好幾個專家模型組成，可想像為各有各的擅長領域，因此相較於同參數量的傳統LLM，MoE可以其中一個或多個專家來回答問題，以較經濟的方式使用運算資源，進而降低模型推論成本。</p> <p>另一方面，根據團隊說明，Project TAME 700億參數模型符合企業導入的低成本需求，估算只需1,600萬臺幣、短短3.5小時（模型迭代一次）就能利用企業內部資料訓練模型，大幅降低導入成本和時間，可優化企業在運營管理、人員訓練、產品服務、客服等AI應用。</p> <p>在實際應用上，則涵蓋了電子製造、石化、醫療、法律和媒體等領域。以長春集團為例，他們就應用TAME於自家助理iGenie，搭配RAG資料庫，可正確使用繁體字回答公安問題，還能將不同語言、格式的物質安全資料表（SDS），正確轉換為中文版本，預計每年可節省330萬元的委外翻譯費用。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-07-01%20174852.png" /></p> <p>此外，長春集團也將TAME用於自家Email服務，如新建摘要、內容提示等，也用於會議逐字稿與摘要生成。</p> <p>長春集團資訊中心資深協理黃至善表示，希望TAME更精進，未來可用於原物料價格預測、企業戰情中心資訊分析和機器人大腦等3大領域。進一步來說，就價格預測而言，長春集團起初以回歸或時間序列模型測試，發現效果不好。</p> <p>後來ChatGPT這類LLM興起，他們開始投入研究，其做法是先向LLM（使用GPT-4o）詢問價格預測的指標，接著再詢問LLM，這些指標出現在哪些網頁、能否寫支爬蟲程式，來協助抓取指標資料。有了資料，最後再詢問LLM可用哪種模型來執行預測並寫一支預測程式，在得到LLM給出的Transformer程式後，團隊將指標資料輸入模型，得出的價格預測準確度可達7成，比過往方法有效。不過，他們也分析預測不準確之處，考慮多添加重要新聞，來強化模型表現。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-07-01%20174909.png" /></p> <p>就戰情中心來說，長春集團資訊中心將過去2年、去識別化的內部銷售資料與財務資料，再加上外部的關鍵經濟指標，來讓ChatGPT分析。他們很驚訝地發現，LLM可給出人類分析師沒注意的洞見，因此可呈現在戰情中心儀表板，結合其他資訊和互動式設計，來提供另一種資訊分析服務。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-07-01%20174927.png" /></p> <p>在機器人部分，長春集團希望打造通用的實體機器人，可在石化業危險場域代替真人作業。他們也與臺大合作，以LLM作為機器人大腦，透過自然語言指令來執行任務，如巡檢、倉儲物流等，預計明年會有進一步成果。</p> <p></p> </div></div></div>
2024/7/1 18:01作者王若樸https://www.ithome.com.tw/news/163730
【資安日報】7月1日，遠端桌面連線解決方案業者TeamViewer傳出遭俄羅斯駭客APT29入侵，該公司強調旗下產品未…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週最為駭人的新聞，莫過於有超過10萬網站採用的瀏覽器相容性程式庫polyfill傳出供應鏈攻擊，但上週也有另一起資安事故相當值得留意，那就是知名的遠端桌面連線解決方案業者TeamViewer遇害的消息。</p> <p>他們在週末公布了初步調查的結果，指出攻擊者是俄羅斯駭客APT29，並強調他們旗下的產品與公司內部環境互相隔離，目前尚未發現遭到入侵的跡象。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163714"><strong style="font-size: 22px;">TeamViewer疑遭俄羅斯駭客駭入，但強調產品未受影響</strong></a></p> <p>知名遠端桌面程式供應商TeamViewer公告疑似遭到俄羅斯駭客駭入公司網路，但強調客戶資料和產品未被駭客存取。TeamViewer安全部門於6月26日偵測到內部IT環境有不正常活動，一名員工帳號遭到未經授權人士存取，立即回應阻止並和外部專家啟動調查，並實施補正措施。周五TeamViewer公布初步調查結果。證據顯示，這起事件可能和名為APT 29（或稱為Midnight Blizzard）的俄羅斯駭客有關。</p> <p>但TeamViewer表示，公司內部IT環境、產品環境和TeamViewer的連線平臺是相互隔離的，旨在防範未授權存取和不同環境間的橫向移動，且該公司採取多層次的縱深防護策略。TeamViewer指出，沒有證據顯示其產品環境或客戶資料受到影響。但該公司強調會持續調查。</p> <p><a href="https://www.ithome.com.tw/news/163713"><strong style="font-size: 22px;">南韓電信商KT被控在用戶電腦植入惡意程式，該公司宣稱是為了限制檔案分享流量</strong></a></p> <p>根據韓國媒體JTBC報導，當地電信業者KT（KT Corp）被控在60萬用戶電腦中植入惡意程式，以限制用戶利用其網路進行P2P網路檔案分享行為。該公司在4年前被指控在用戶電腦植入惡意程式，當地警方上月針對此事進行最新一波調查行動，並由媒體近日報導而曝光。</p> <p>這起事故爆發的原因，在於2020年韓國BitTorrent檔案分享服務業者WebHard的用戶，在論壇反映無法使用服務及檔案消失等異狀。這些用戶使用其他網際網路服務都沒有問題，但無法和別人點對點（P2P）分享檔案。經過資安業者調查發現，這些電腦都被駭客攻擊並安裝惡意程式，該程式在用戶電腦上建立陌生資料夾或隱藏文件、檔案，導致用戶無從分享檔案，有人電腦甚至因此當機，他們的共通點皆為KT用戶。</p> <p>根據當地媒體報導，這起「攻擊」持續了5個月，Web Hard公司估計，每天有2萬台PC遭到感染，一個月下來約有60萬用戶受害。對此KT聲稱，WebHard本身就是非法行為，他們不得已才祭出限制流量的手法。但為何透過駭客行為於客戶電腦植入惡意軟體，KT並未做出說明。</p> <p><a href="https://www.ithome.com.tw/news/163727"><strong style="font-size: 22px;">國家級駭客近3個月發動大規模網釣攻擊行動，對方鎖定超過十種類型產業的高階主管為主要目標，超過4萬人受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/LegalQloud_BPgDtb24HQ.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LegalQloud_BPgDtb24HQ.png" style="width: 300px; float: right;" /></a>專精於上網安全的資安業者Menlo Security揭露3起由國家級駭客發起的網路釣魚攻擊行動LegalQloud、Eqooqp、Boomer，這些事故在近3個月裡，造成超過4萬名使用者受害，當中包含了重要銀行機構、保險業界龍頭、法律公司、政府機關、醫療照護機構的高階主管。</p> <p>針對這樣的現象，研究人員指出，他們看到這種國家級駭客的網路攻擊行動與日遽增，如今已影響至少超過三分之一美國民眾，而且，這些攻擊的規模及複雜程度都不斷增加，其共通點在於，駭客鎖定瀏覽器而來，並不斷調整戰術，使得現有的上網安全管制機制，例如：上網安全閘道（SWG）、安全服務邊界（SSE），難以遏止相關攻擊行動。</p> <p>針對這3起攻擊行動，該資安業者也點出了其規模及態勢。他們發現駭客利用超過3千個網域，並針對政府機關及10個以上的產業而來其中，駭客發送的大量惡意連結當中，使用者被引誘而點選連入的比例高達60％，但他們也提及，其中有四分之一的網址，無法透過URL過濾機制察覺有害。</p> <p><a href="https://www.ithome.com.tw/news/163723"><strong style="font-size: 22px;">查看軟體開發人員職缺資訊要小心！研究人員揭露間諜軟體MerkSpy攻擊行動，駭客散播可濫用已知MSHTML漏洞Word檔作為網路釣魚誘餌</strong></a></p> <p>2021年9月被揭露、駭客曾大肆利用的MSHTML零時差漏洞CVE-2021-40444，如今傳出有人再度利用這項漏洞，將其用來散布惡意程式。</p> <p>資安業者Fortinet揭露近期利用這項漏洞的攻擊行動，主要針對北美和印度而來。對方先是透過內含軟體開發人員職缺的工作說明Word檔案，一旦使用者開啟，就有可能觸發CVE-2021-40444，從而向遠端伺服器取得有效酬載olerender.html。但究竟駭客如何散布上述惡意Word檔案，研究人員並未說明。</p> <p>一旦啟動，這個HTML檔案便會檢查受害電腦的作業系統組態，並解開嵌入的Shell Code，然後擷取Windows作業系統的API「VirtualProtect」和「CreateThread」，從而在受害電腦植入間諜軟體MerkSpy，並能在系統內秘密運作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/f/water-sigbin-xmrig.html"><strong style="font-size: 20px;">駭客組織8220鎖定Oracle WebLogic伺服器已知漏洞而來，透過PowerShell指令碼散布挖礦軟體</strong></a></p> <p></p> <p>◆<a href="https://www.cisa.gov/news-events/alerts/2024/06/26/cisa-adds-three-known-exploited-vulnerabilities-catalog"><strong style="font-size: 20px;">CISA針對地理位置資訊伺服器GeoServer、Linux核心、郵件伺服器Roundcube遭到利用的漏洞提出警告</strong></a></p> <p></p> <p>◆<a href="http://www.greynoise.io/blog/perma-vuln-d-link-dir-859-cve-2024-0769"><strong style="font-size: 20px;">今年初公布的D-Link無線路由器DIR-859重大層級資訊洩漏漏洞傳出遭到利用，駭客用來收集裝置的帳密資訊</strong></a></p> <p></p> <p>◆<a href="https://www.esentire.com/blog/fake-it-support-website-leading-to-vidar-infection"><strong style="font-size: 20px;">冒牌IT技術支援網站假借提供PowerShell指令碼「修補」Windows臭蟲，並透過YouTube頻道散布</strong></a></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163728"><strong style="font-size: 22px;">GitLab存在重大漏洞，攻擊者可冒用任意用戶身分執行Pipeline工作流程</strong></a></p> <p>6月26日GitLab針對社群版（CE）及企業版（EE）發布重大修補更新17.1.1、17.0.3、16.11.5版，總共修補14個漏洞，其中最值得留意的部分，是列為重大層級的CVE-2024-5655，CVSS風險評為9.6分。</p> <p>這項漏洞影響15.8至16.11.4、17.0.0 至17.0.2，以及17.1.0至17.1.0版，無論CE或EE版都會受到影響。開發團隊指出，一旦攻擊者觸發漏洞，就可能在特定情況下，以其他使用者的身分存取Pipeline工作流程。</p> <p>雖然目前此漏洞尚未出現遭到利用的跡象，但有鑑於資安問題極為嚴重，開發團隊呼籲使用者應儘速套用新版程式。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="http://supportportal.juniper.net/s/article/2024-06-Out-Of-Cycle-Security-Bulletin-Session-Smart-Router-SSR-On-redundant-router-deployments-API-authentication-can-be-bypassed-CVE-2024-2973"><strong style="font-size: 20px;">Juniper Networks緊急修補重大層級身分驗證繞過漏洞CVE-2024-2973</strong></a></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163669"><strong style="font-size: 22px;">推動零信任架構加速資安轉型，臺北市府今年內釋出AI使用規範</strong></a></p> <p>「至少在我任期內，臺北市政府正轉型朝向實踐零信任的政府機關」，臺北市政府資訊局長趙式隆一語道出，臺北市正推動資安轉型。趙式隆以零信任作為分水嶺，他將零信任之前視為舊資安，而在零信任之後則是新資安，過去北市在舊資安已打下良好基礎，然而面對層出不窮的風險，臺北市為強化資安，近幾年積極推動資安轉型至新資安。</p> <p>臺北市一方面規畫配合中央政府的政策推動零信任架構，另方面也與時俱進，與外部業者合作，汲取國外的新觀念及作法，例如臺北市與Cisco在資安方面簽署合作備忘錄，將國外的觀念作法引進國內，針對國內的環境、法規架構，先進行POC測試，評估是否適合引進國內，作為後續擴大投資參考。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163709"><strong>【6月28日】前幾天Polyfill.io供應鏈攻擊事件曝光震撼整個IT界，後續傳出中國CDN業者另起爐灶，再度對10萬網站下手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163687"><strong>【6月27日】舊版瀏覽器網站相容套件Polyfill.io被中國公司買下，驚傳被植入惡意程式碼，恐影響逾10萬網站</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163663"><strong>【6月26日】惡意軟體沙箱服務業者Any.Run遭到網釣攻擊，所有員工收到內部人員寄來的釣魚信</strong></a></p> </div></div></div>
2024/7/1 18:07作者周峻佑https://www.ithome.com.tw/news/163731
查看軟體開發人員職缺資訊作要小心！研究人員揭露間諜軟體MerkSpy攻擊行動，駭客散播可濫用已知MSHTML漏洞Wor…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2021年9月被揭露、駭客曾大肆利用的<a href="https://www.ithome.com.tw/news/146913">MSHTML零時差漏洞CVE-2021-40444</a>，如今傳出有人再度利用這項漏洞，將其用來散布惡意程式。</p> <p>這項漏洞發生的原因，在於Internet Explorer（IE）瀏覽器排版引擎MSHTML存在可被利用的漏洞，使得攻擊者能引誘使用者開啟特定Office檔案，從而遠端控制電腦並執行任意程式碼，CVSS風險評分為8.8，當時多家資安業者都發現利用相關攻擊行動，而使得這項漏洞受到各界關注，但事隔3年，如今又傳出漏洞利用攻擊事故。</p> <p>資安業者Fortinet揭露<a href="https://www.fortinet.com/blog/threat-research/merkspy-exploiting-cve-2021-40444-to-infiltrate-systems">近期利用這項漏洞的攻擊行動</a>，主要針對北美和印度而來。對方先是透過內含軟體開發人員職缺的工作說明Word檔案，一旦使用者開啟，就有可能觸發CVE-2021-40444，從而向遠端伺服器取得有效酬載olerender.html。但究竟駭客如何散布上述惡意Word檔案，研究人員並未說明。</p> <p>研究人員提及，駭客精心設計這個HTML檔案，為了埋藏攻擊意圖，他們在檔案開頭填滿無害的指令碼，並在文件結尾隱藏Shell Code及注入的處理程序。</p> <p>一旦啟動，這個HTML檔案便會檢查受害電腦的作業系統組態，並解開嵌入的Shell Code，然後擷取Windows作業系統的API「VirtualProtect」和「CreateThread」。</p> <p>這些駭客先是利用VirtualProtect竄改記憶體的權限，將Shell Code寫入記憶體，接著透過CreateThread來執行。研究人員指出，對方這麼做是為了確保惡意程式碼能順利執行。</p> <p>而這個Shell Code的主要功能，是充當惡意程式下載工具，從遠端伺服器下載佯裝成Google軟體更新的惡意程式，然後對其進行解碼並執行其中的有效酬載。而這個惡意程式經過深度的編碼處理，能夠成功地躲避標準的安全防護功能。</p> <p>經由上述過程植入受害電腦的有效酬載，受到VMProtect保護，並將間諜軟體MerkSpy注入系統處理程序，而能在系統內秘密運作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/merkspy-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/merkspy-1.png" style="width: 580px;" /></a></p> <p>值得留意的是，駭客也將MerkSpy偽裝成Google軟體更新工具，並在開機預設執行的程序當中，植入名為Google Update的項目，以便在電腦啟動時載入，而能在受害者不知情的情況下持續運作。</p> <p>而MerkSpy的主要功能，包括拍下螢幕截圖、側錄使用者鍵盤輸入的內容、搜刮Chrome存放的帳密資料，並存取MetaMask加密貨幣錢包的延伸套件，然後將相關資料傳送到攻擊者的伺服器。</p> </div></div></div>
2024/7/1 15:40作者周峻佑https://www.ithome.com.tw/news/163723
國家級駭客近3個月發動大規模網釣攻擊行動，對方以十多個產業高階主管為主要目標，超過4萬人受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專精於上網安全的資安業者Menlo Security揭露3起由國家級駭客發起的網路釣魚攻擊行動LegalQloud、Eqooqp、Boomer，<a href="https://www.menlosecurity.com/press-releases/menlo-security-exposes-three-new-nation-state-campaigns">這些事故在近3個月裡，造成超過4萬名使用者受害</a>，當中包含了重要銀行機構、保險業界龍頭、法律公司、政府機關、醫療照護機構的高階主管。</p> <p>針對這樣的現象，研究人員指出，他們看到這種國家級駭客的網路攻擊行動與日遽增，如今已影響至少超過三分之一美國民眾，而且，這些攻擊的規模及複雜程度都不斷增加，其共通點在於，駭客鎖定瀏覽器而來，並不斷調整戰術，使得現有的上網安全管制機制，例如：上網安全閘道（SWG）、安全服務邊界（SSE），難以遏止相關攻擊行動。</p> <p>針對這3起攻擊行動，該資安業者也點出了其規模及態勢。他們發現駭客利用超過3千個網域，並針對政府機關及10個以上的產業而來。其中，駭客每發送的10個惡意連結當中，就有6個會遇到使用者上當點選的情況，但他們也提及，其中有四分之一的網址，無法透過URL過濾機制察覺有害。</p> <p>針對其中一起名為LegalQloud的攻擊行動，攻擊者偽裝成合法的公司行號，主要目標是竊得受害者的微軟帳號資料。而為了迴避偵測，這些駭客使用騰訊雲代管的主機，從而繞過上網過濾的存取控制列表。研究人員根據該廠牌的雲端遙測及開源威脅情報OSINT，確認至少有500家企業遭到駭客鎖定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/LegalQloud_BPgDtb24HQ.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/LegalQloud_BPgDtb24HQ.png" style="width: 580px;" /></a></p> <p>這起攻擊行動的起點，主要是駭客透過電子郵件寄送惡意連結，一旦收信人點選，就會被帶往攻擊者控制的網域，對方引誘他們點選下載文件檔案的連結。</p> <p>若是使用者照做，對方就會將他們帶往含有所屬公司名稱的網域，引誘輸入微軟帳密資料，並從中進行側錄。</p> <p>另一起名為Eqooqp的攻擊行動，主要是針對政府機關、金融保險、製造業而來，但也有其他企業受害的情形。對方租用名為NakedPages的網釣工具包，從事對手中間人攻擊（AiTM），研究人員推測攻擊者的身分是DEV-1101（或Storm-1101）。</p> <p>駭客先是寄送含有HTML附件的電子郵件，此附件檔案內含JavaScript程式碼，一旦收信人開啟附件，電腦就會發出JSON格式的HTTP GET請求，對方便會引導受害者到惡意網站，藉由AiTM手法挾持他們的微軟帳號。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Eqooqp_wPsgbnI205.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Eqooqp_wPsgbnI205.png" style="width: 580px;" /></a></p> <p>最後一種攻擊行動Boomer，攻擊者主要的目標是政府機關及醫療照護機構，研究人員指出，對方採取相當先進的迴避手段，例如：採用自製的HTTP標頭、追蹤cookie、偵測機器人、加密程式碼，並且透過伺服器產生動態的釣魚網頁，並冒充微軟及Adobe來竊取相關帳號資料。</p> <p>這些駭客使用的釣魚網頁相當特別，駭客似乎套用相同的範本產生，且具備使用者預期的品牌商標，但沒有拼字或文法上的錯誤，而很容易讓人信以為真，依照指示輸入帳密資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Boomer_UJsz2CrcNP.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Boomer_UJsz2CrcNP.png" style="width: 580px;" /></a></p> <p>值得留意的是，當使用者試圖輸入資料進行互動，駭客的網頁應用程式會開啟動態對話框。對方在使用者輸入相關帳號資料送出，會顯示登入失敗的錯誤訊息，並在第3次宣稱帳號遭到鎖定，並將他們重新導向Google網站。</p> </div></div></div>
2024/7/1 17:29作者周峻佑https://www.ithome.com.tw/news/163727
GitLab存在重大漏洞，攻擊者可冒用任意用戶身分執行Pipeline工作流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月26日GitLab針對社群版（CE）及企業版（EE）<a href="https://about.gitlab.com/releases/2024/06/26/patch-release-gitlab-17-1-1-released/">發布重大修補更新17.1.1、17.0.3、16.11.5版</a>，總共修補14個漏洞，其中最值得留意的部分，是列為重大層級的<a href="https://about.gitlab.com/releases/2024/06/26/patch-release-gitlab-17-1-1-released/#run-pipelines-as-any-user">CVE-2024-5655</a>，CVSS風險評為9.6分。</p> <p>這項漏洞影響15.8至16.11.4、17.0.0 至17.0.2，以及17.1.0至17.1.0版，無論CE或EE版都會受到影響。開發團隊指出，一旦攻擊者觸發漏洞，就有機會在特定情況下以其他使用者的身分存取Pipeline工作流程。</p> <p>稍微值得慶幸的是，目前尚未出現遭到利用的跡象。但有鑑於這項漏洞極為嚴重，開發團隊還是呼籲使用者應儘速套用新版程式。</p> <p>但由於這項漏洞涉及Pipeline，開發團隊也指出更新後會出現兩項重大變更。</p> <p>其中一項是MR重新鎖定的工作流程會受到改變，以便在合併請求的時候，因先前的目標分支被合併而自動重新定位，導致含有這類流程的Pipeline可能會無法自動執行。使用者必須手動啟動Pipeline，才能讓持續整合（CI）執行相關變更。</p> <p>另一個則與身分驗證有關。透過CI_JOB_TOKEN進行的GraphQL身分驗證機制，在本次更新版本皆預設為停用，使用者若要存取GraphQL的API，必須指定其中一種Token進行驗證。</p> </div></div></div>
2024/7/1 17:58作者周峻佑https://www.ithome.com.tw/news/163728
Hugging Face第二屆LLM排行榜出爐，中國LLM表現出色
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>機器學習模型與資料集共享平臺<a href="https://huggingface.co/spaces/open-llm-leaderboard/blog" target="_blank">Hugging Face上周公布</a>第二屆的開源大型語言模型（LLM）排行榜，表現最佳的是由阿里巴巴所釋出的Qwen 2，且在前十名的LLM中，就有5個來自中國。</p> <p>Hugging Face主要使用六大測試基準，包括大規模的多工語言理解MMLU-Pro，知識問答GPQA，多步驟的軟性推理MuSR，啟發式數學MATH，指令遵循能力IFEval，以及具挑戰性的任務BBH等。</p> <p>而排名在前十大的開源LLM依序是阿里巴巴 Qwen 2 -72B，Meta Llama 3-70B，微軟Phi-3-Medium-4K-Instruct，零一萬物的Yi-1.5-34B，CohereForAI的c4ai-command-r-plus，Abacus.AI的Smaug-72B，Qwen 1.5-110B，Phi-3-Small-128K-Instruct，以及Yi-1.5-9B。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0701-hugging%20face-rank-600.png" style="width: 600px;" /></p> <p>在<a href="https://huggingface.co/spaces/open-llm-leaderboard/open_llm_leaderboard" target="_blank">完整的排行榜</a>中可以看到每個開源模型的平均表現，以及於不同基準測試中的表現，其中，Qwen 2 -72B在各項基準的平均表現為43.02，明顯凌駕第二名Meta Llama 3-70B的36.67。</p> <p>Hugging Face共同創辦人暨執行長Clement Delangue在結果出爐的當時<a href="https://x.com/ClementDelangue/status/1805989925080219927" target="_blank">表示</a>，該平臺總計使用了300個H100 GPU來測試市場上的開源LLM，不僅是由源自中國阿里巴巴的Qwen 2 -72B勝出，中國在開源LLM市場上也占據主導地位，此外，對最近更新的模型來說，過去的基準變更太容易了，如同高中生在解決國中生的問題一樣。</p> <p>Delangue還發現兩件有趣的事，一是打造模型的開發者愈來愈注重各種主要的測試基準，而忽略或犧牲了其它基準；其次則是越大的模型並不總是越聰明。</p> <p>不過，就在Google上周釋出開源的<a href="https://www.ithome.com.tw/news/163705" target="_blank">Gemma 2</a>之後，DeepMind的首席研究人員Armand Joulin便<a href="https://x.com/armandjoulin/status/1807397866152849867" target="_blank">宣布</a>，Gemma 2-27B已是市場上最好的開源模型。Gemma採用與Gemini同樣的研究及技術而打造，第二代提供了9B及27B兩種版本，Joulin宣稱就算Gemma 2-27B的模型規模比其它競爭對手小了2.5倍，卻已是最好的開源模型。</p> <p>另一方面，Large Model Systems Organization（lmsys.org）也<a href="https://x.com/lmsysorg/status/1807241279560171896/photo/1" target="_blank">呼應</a>了Joulin的說法，指出在Google釋出Gemma 2以來便開始蒐集開發者的測試意見，已有超過5,000名開發者認為Gemma 2-27B已勝過Meta Llama 3-70B，為市場上最好的開源模型，不過，lmsys.org的調查一來專注於聊天機器人領域，二來是由開發者進行比較與投票，與Hugging Face所採取的方式不同。</p> </div></div></div>
2024/7/1 14:31作者陳曉莉https://www.ithome.com.tw/news/163717
Chrome即將支援Unrestricted WebUSB功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Chrome團隊正在開發一項名為<a href="https://chromestatus.com/feature/5106506475503616" target="_blank">Unrestricted WebUSB</a>的新功能，將允許隔離的網頁程式存取原本被禁止存取的介面與裝置，計畫現身於Chrome 128。</p> <p>WebUSB是個JavaScript API規格，允許網頁應用程式與USB裝置進行通訊，例如印表機/掃描器、感應器或是開發板等，為了安全性，在任何通訊前除了必須明確取得使用者授權之外，它也列出了無法存取的介面及裝置黑名單，包括鍵盤、滑鼠、硬碟、隨身碟、路由器或是實體金鑰等。</p> <p>而新的Unrestricted WebUSB功能則可繞過相關的限制，允許可靠且隔離的網頁應用程式在取得使用者同意之後，存取上述的黑名單介面與裝置。</p> <p>Unrestricted WebUSB將隨著Chrome 128而出爐，Chrome 128的測試版預計於7月24日出爐，正式版則會在8月14日推出。</p> </div></div></div>
2024/7/1 14:50作者陳曉莉https://www.ithome.com.tw/news/163718
Quora的Poe聊天機器人可存取付費牆後的文章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wired.com/story/quora-chatbot-poe-download-paywalled-articles/" target="_blank">Wired上周踢爆</a>，知名問答平臺Quora在去年<a href="https://www.ithome.com.tw/news/155420" target="_blank">發表的聊天機器人Poe</a>可讓使用者存取付費牆後的文章，包括紐約時報、彭博社及404 Media等付費新聞網站。</p> <p>根據報導，只要在Poe上輸入任何具備付費牆之文章的URL，Poe就會回覆一個數百字的文章摘要，並有涵蓋上述的部分媒體品牌可回覆一個包含整篇文章的HTML文件，讓使用者直接從Poe的伺服器下載。不過，在Wired披露此事之後，Poe下載付費媒體完整內容的功能似乎已被移除。</p> <p>在被提醒可能侵犯版權之後，Quora向Wired解釋，Poe並沒有訓練自己的AI模型，但該平臺有一個功能，允許用戶提交一個URL供機器人查看，但機器人只能看到公開的網頁內容，很樂意與媒體合作來確保付費內容不會提供給Poe用戶。此外，Poe所提供的文件是根據使用者的指示建立的，其概念類似雲端儲存、稍後閱讀或網頁剪輯產品，Quora認為這些都符合著作權法。</p> <p>Quora的言下之意是這些呈現付費牆內容的模型都不是來自於該公司。事實上，Poe支援不同的模型，包括GPT-4、Claude 3 Opus、Mistral Large、Gemini 1.5 Pro 、DALL-E 3、SDXL或Playground等，並讓使用者可選擇或比較不同模型的結果。</p> </div></div></div>
2024/7/1 12:58作者陳曉莉https://www.ithome.com.tw/news/163716
Google Vertex AI平臺新增Grounding功能解決AI幻覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大語言模型最大問題之一是幻覺，而解決AI幻覺的方法之一是grounding。<a href="https://cloud.google.com/blog/products/ai-machine-learning/rag-and-grounding-on-vertex-ai/" target="_blank">Google上周宣布</a>Cloud AI平臺Vertex AI新增包括以Google搜尋、第三方資料、混合搜尋的grounding功能，以減少AI幻覺。</p> <p>Google Cloud Vertex AI 4月<a href="https://www.ithome.com.tw/news/162190" target="_blank">發表</a>Agent Builder時，包含擷取增強生成（retrieval augmented generation，RAG）可以Google搜尋為Gemini輸出結果grounding的能力，現在又再新增數項grounding功能供用戶選擇，包括以Google搜尋grounding的能力新增動態擷取（dynamic retrieval）、以高傳真模式grounding、以第三方資料集grounding，以及擴大向量搜尋（vector search），實現關鍵字和向量混合搜尋功能。</p> <p>首先，以Google搜尋為Gemini模型grounding時，Gemini會進行Google搜尋，利用相關搜尋結果，如事實來生成輸出，藉此達成grounding。Grounding是指提供LLM真實世界的例子或相關資料，使之與模型的抽象知識整合，達到貼近真實、減少幻覺的目的，進而提升LLM產出結果的品質。</p> <p>Google說，以這方法減少幻覺最大優點是簡單，但問題是使用Google搜尋grounding會增加運算成本，再者Gemini訓練夠紮實，不需每次查詢都grounding。因此，第二項方法中，Google將為Vertex AI加入動態擷取，讓Gemini動態選擇是否要動用Google搜尋，也可只使用模型既有知識，藉此平衡成本效益和回應品質。這功能很快會上線。</p> <p>RAG-based代理程式生成結果是整合模型內在知識和企業資料提供的情境（context），這在大多數應用場景是可行的，但有嚴格法規的產業，如金融服務業、健康和保險業卻要求模型根據給定的情境來生成回應。為此，在第三項功能中，Google Cloud已開始實驗Grounded Generation API的高傳真模式（high-fidelity mode）grounding。這功能使用經微調的Gemini 1.5 Flash模型，支援重要企業應用場景，像是為多篇文件摘錄重點或對一組財務資料擷取資料。減少資料幻覺，啟用高傳真模式時，答案中的句子都會附有來源，提供資料可信度，此外也會提供grounding的信心分數。</p> <p>第三，從下一季開始，Vertex AI將提供以專門領域第三方資料grounding的功能。這可讓企業為生成式AI代理程式整合外部資料，以推升生成結果的真實性。Google Cloud正在和權威的資料供應商，像是評級公司穆迪（Moody's）、MSCI（摩根士丹利資本編製的股價指數）、企業資料來源Zoominfo、Thomson Reuters等合作，將其資料整合到本項服務中。</p> <p>最後，針對具有內嵌（embedding）的應用場景，像是推薦系統、廣告發送與RAG語義搜尋等，Vertex AI擴充向量搜尋（vector search）以支援混合搜尋（hybrid search）。內嵌是指將詞語句子、圖片等複雜資料轉化為固定維度的數值向量的技術，以捕捉語義關係並用於自然語言處理任務。</p> <p>透過支援混合搜尋，Vertex AI可結合向量搜尋及關鍵字搜尋技巧，以提供相關及精準回應。現在該功能已進入公測。此外，Google也補充，Vertex AI最新的文字內嵌模型（text-embedding-004及text-multilingual-embedding-002）生成品質更超過前幾版。</p> </div></div></div>
2024/7/1 12:17作者林妍溱https://www.ithome.com.tw/news/163715
TeamViewer疑遭俄羅斯駭客駭入，但強調產品未受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名遠端桌面程式供應商<a href="https://www.teamviewer.com/en/resources/trust-center/statement/" target="_blank">TeamViewer公告疑</a>似遭到俄羅斯駭客駭入公司網路，但強調客戶資料和產品未被駭客存取。</p> <p>TeamViewer安全部門於上周三（6/26）偵測到內部IT環境有不正常活動，一名員工帳號遭到未經授權人士存取，立即回應阻止並和外部專家啟動調查，並實施補正措施。</p> <p>上周五，TeamViewer公布初步調查結果。證據顯示，這起事件可能和APT 29或微軟稱之為Midnight Blizzard的俄羅斯駭客有關。Midnight Blizzard正是2020年駭入IT管理軟體SolarWinds供應鏈的組織，藉由在其Windows DLL檔案植入後門，再透過SolarWinds軟體更新部署給其政府和企業用戶，以對用戶發動間諜攻擊。去年11月Midnight Blizzard利用密碼潑灑成功入侵微軟Exchange Online測試帳號，存取高層、法務及網路安全部門信件，今年再度攻擊微軟，3月<a href="https://www.ithome.com.tw/news/161703" target="_blank">該公司證實</a>，俄國駭客利用之前攻擊獲得的員工憑證，已經存取微軟內部系統和產品程式碼。</p> <p>但TeamViewer表示，公司內部IT環境、產品環境和TeamViewer的連線平臺是相互隔離的，旨在防範未授權存取和不同環境間的橫向移動，且該公司採取多層次的縱深防護策略。TeamViewer指出，沒有證據顯示其產品環境或客戶資料受到影響。但該公司強調會持續調查。</p> <p>TeamViewer是很受歡迎的遠端桌面程式及遠端裝置管理方案，因而也成駭客下手的偏好目標。2016年它就曾遭中國駭客<a href="https://www.ithome.com.tw/news/130782" target="_blank">入侵</a>並植入後門程式，但當時並未主動公布此事。去年10月安全研究人員<a href="https://www.ithome.com.tw/news/159425" target="_blank">揭露</a>，俄羅斯駭客Romcom發動攻擊，濫用TeamViewer以DLL側載（DLL Side-loading）手法，在受害電腦上執行RAT程式。</p> </div></div></div>
2024/7/1 11:28作者林妍溱https://www.ithome.com.tw/news/163714
檔案分享服務業者指控Korean Telecom在用戶電腦植入惡意程式，以限制檔案分享流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mnews.jtbc.co.kr/News/Article.aspx?news_id=NB12201880" target="_blank">南韓媒體報導</a>，南韓電信業者KT（Korean Telecom）在60萬用戶電腦中植入惡意程式，以限制用戶利用其網路進行P2P網路檔案分享行為。</p> <p>KT是在4年前被指控在用戶電腦植入惡意程式，南韓警方上月就此進行最新一波調查行動，並由媒體近日報導此事。</p> <p>2020年一家南韓BitTorrent檔案分享服務業者WebHard用戶，在論壇反映無法使用服務及檔案消失等異狀。這些用戶使用其他網際網路服務都沒有問題，但就是無法和別人點對點分享檔案。經過安全業者調查發現，這些用戶電腦都被駭客攻擊並安裝惡意程式，該程式在用戶電腦上建立陌生資料夾或隱藏文件、檔案，使用戶無從分享檔案，有人電腦甚至因此當機。</p> <p>所有發生這些問題的用戶另一共通點是皆為KT用戶。警方介入調查發現，這起駭客攻擊來源指向KT的一處資料中心，顯示是KT對使用WebHard服務的用戶電腦下載了限制服務的程式。</p> <p>根據媒體報導，這起「攻擊」持續了5個月，Web Hard公司估計，每天有2萬台PC遭到感染，一個月下來約60萬用戶受害，這家業者指控這是KT對其服務網路的駭入攻擊，但KT認為該BT服務本身就是一種非法行為，它不得已才祭出限制流量的手段。</p> <p><a href="https://torrentfreak.com/south-korean-isp-infected-torrenting-subscribers-with-malware-240625/" target="_blank">Torrentfreak網站解釋</a>，檔案分享在南韓仍然非常受歡迎。新聞中的檔案分享服務是以 BitTorrent協定的網格系統（Grid System）為基礎。由於此類服務流量非常占頻寬，因而引起ISP的注意，也常和這類業者發生衝突，但該公司宣稱透過減少用戶將檔案存在其伺服器，反而省了KT巨大成本。</p> <p>南韓警方去年去KT發動搜索和扣押，指控其違反該國通訊祕密保護法和資通訊網路法，並將13名KT員工及合作業者員工移送調查。<a href="https://tinyurl.com/2qsbcw29" target="_blank">媒體報導</a>，法院判決有利KT，因為Web Hard 公司並未支付KT網路使用費，也未向用戶明白解釋其網格服務的運作，KT封鎖該業者網路流量情有可原。</p> </div></div></div>
2024/7/1 10:54作者林妍溱https://www.ithome.com.tw/news/163713
GAI創新實驗潮來了
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月展開的iThome CIO大調查，最近公布了各產業2024年度IT趨勢的調查結果，不意外地，生成式AI浪潮，已經開始影響臺灣大型企業今年的IT戰略。</p> <p>2022年底崛起的生成式AI，在2023年展開了一場激烈的科技巨頭技術追逐戰，幾家大廠之間的技術競爭，彷彿像是在科技高速公路上的飛車追逐，搶先起跑的OpenAI不時加速，想要拉大距離維持領先地位，與他們同夥的微軟也趁機跟進趨前。沒多久，Google狹龐大AI燃料加速逼近，雲端龍頭AWS也搶搭開源技術火車追上，新創Mistral AI和Anthropic像黑馬般的竄起，讓整個技術賽局更加火熱。</p> <p>到了今年，技術競賽依舊火熱，但逐漸形成了GAI技術領先群，彼此的技術差距逐漸縮小，晚出手的蘋果，更裝上了以隱私為名的翅膀，彎道超車，擠進了領先車隊之中。</p> <p>生成式AI技術的競爭，光是單看技術，就讓人眼花繚亂，不知該押寶哪一款。但是，在今年，GAI相關工具鏈，開始發展出了企業級的工具，這才是讓企業有能力進行GAI創新的軍火庫。</p> <p>兩大GAI巨頭，微軟和Google，紛紛祭出了涵蓋GAI應用開發生命周期的開發工具，也不約而同地都聚焦AI代理，開始提供這種型態GAI應用需要的工具和元件。各種不同類型用途的專門AI助手，紛紛正式推出，或開始整合到企業慣用的辦公室軟體或生產力工具中，開發人員更開始擁有了能力媲美開發同儕（可進行結對開發）的AI夥伴。個人運算裝置，不論筆電、平板、手機都開始或即將內建NPU來提高AI算力，主流作業系統內，開始提供或支援新的GAI執行，讓各種AP或App都能快速整合GAI的能力。</p> <p><a href="https://www.ithome.com.tw/article/163677" target="_blank">從今年CIO大調查可以看到</a>，17.6%企業CIO自評，GAI今年會大幅衝擊所屬產業和企業，尤其是醫療和政府學校，更是超過2、3成企業強烈感受到GAI帶來的衝擊感。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/163677" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-AI%E5%89%B5%E6%96%B0-600-1-P%EF%BC%AE%EF%BC%A7(1).png" style="width: 600px;" /></a></p> <p>也因此，今年，許多企業紛紛開始嘗試各種GAI工具。服務業和醫療業最積極，各有近1成企業，開始在正式環境中引進 GAI，也有3成企業今年展開了各項PoC驗證和實驗，想要找出可行又有價值的應用場景，金融業、醫療業、政府學校都有過半企業進入GAI導入和驗證階段。還有3成企業正在評估和規畫GAI技術，準備跟進這一波應用創新實驗潮。就算是腳步相對較慢的一般製造業，雖然展開實驗的企業不到2成，但也有32.1%一般製造業者開始規畫導入。</p> <p>生成式AI的創新，沒有現成的成功方程式，對所有人而言，都是站在相同的技術起跑線，相繼開跑。過往的技術實力、資料豐厚度、資料治理成熟度等優勢，讓企業擁有更紮實的底氣，更容易展開創新實驗。</p> <p>GAI創新的競賽，就像在未知大海中尋找新世界，得不斷嘗試實驗、積極探索，又同時戒備風險和威脅。雖然沒有人握有勝利地圖，每個產業的挑戰，適合GAI發揮的場景也不盡相同，每一家企業想達成的目標，和手上可用的資源更有極大的落差。但不論如何，大膽嘗試的心態，接受挫敗的寬容，和不斷迭代改善的能力，這三項，才是企業更快找到新世界的指南針，也是GAI創新實驗潮最關鍵的三項特質。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">CIO大調查</a></div><div class="field-item odd"><a href="/tags/it%E8%B6%A8%E5%8B%A2">IT趨勢</a></div><div class="field-item even"><a href="/tags/it%E9%A0%90%E7%AE%97">IT預算</a></div><div class="field-item odd"><a href="/tags/genai">GenAI</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/gai">GAI</a></div></div></div>
2024/7/1 10:02作者王宏仁https://www.ithome.com.tw/voice/163678
強化SASE資安防護力，思科跨入SSE安全存取應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_secure_access-main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衝擊全球持續三年的COVID-19疫情，促使企業與組織提供員工在任何地點連網辦公的需求暴增，連帶推動安全存取服務邊緣（SASE）類型的解決方案在IT市場崛起，以網路與資安大廠思科（Cisco）為例，持續提供與拓展相關產品與服務，並予以統合。</p> <p>他們先在2020年中主推2017併購Viptela而來的SD-WAN，整合多功能資安防護雲端服務服務<a href="https://www.ithome.com.tw/review/113766">Cisco Umbrella</a>，提供囊括雲端管理SD-WAN與雲端供應資安等兩大面向的SASE架構。</p> <p>2021年3月底於線上舉行的年度用戶大會期間，思科預告旗下多款資安產品統合在<a href="https://www.ithome.com.tw/review/138483">SecureX品牌</a>，並宣布所有SASE產品將以單一解決方案的形式供應。而在涵蓋連網（SD-WAN）、控制（雲端資安）之餘，Cisco SASE擴充更多功能，例如前者增加支援基於Meraki雲端網路管理平臺而成的SD-WAN，後者能使用基於Cisco Umbrella而供應的多種防禦技術，像是：<a href="https://www.ithome.com.tw/tags/casb">雲端存取安全代理（CASB）</a>、<a href="https://www.ithome.com.tw/tags/DLP">資料外洩預防（DLP）</a>、<a href="https://www.ithome.com.tw/tags/RBI">遠端瀏覽器隔離（RBI）</a>，以及雲端惡意軟體偵測（移除雲端檔案儲存環境存在的惡意軟體）等。</p> <p>這套SASE解決方案還結合思科2018年8月買下的Duo，得以使用<a href="https://duo.com/blog/duos-passwordless-authentication-is-coming?_gl=1*iletjy*_ga*MjA5Mzc1NTAxNi4xNjMzNTA3Mjgz*_ga_KP8QEFW4ML*MTcwNDg2ODU1OS43MC4xLjE3MDQ4NjkyOTEuMzguMC4w#eyJoYXNoIjoiIiwic2VhcmNoIjoiP19nbD0xKmlsZXRqeSpfZ2EqTWpBNU16YzFOVEF4Tmk0eE5qTXpOVEEzTWpneipfZ2FfS1A4UUVGVzRNTCpNVGN3TkRnMk9EVTFPUzQzTUM0eExqRTNNRFE0TmpreU9URXVNemd1TUM0dyJ9">非密碼型態的身分認證（Passwordless authentication</a>），並且在連網與控制這兩個層面當中，強化遠端安全存取及零信任網路存取（ZTNA），同時Cisco SASE也納入可觀測性（Observability）類型產品，而其技術源頭是思科2020年8月買下的ThousandEyes。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco SSE-2023-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20SSE-2023-12.jpg" style="width: 600px;" /></a></p> <blockquote><p>對於思科而言，他們發展的SASE解決方案包含兩大部分，其中的SSE負責守護企業連線安全，並且在這個模式下，提供多種網路與內容安全，以及零信任網路存取（ZTNA）的功能。<br /> 初期他們提供基於DNS防護的雲端資安解決方案Umbrella來對應SSE，後續Umbrella擴充「網際網路安全閘道（SIG）」層面的功能，當中涵蓋網頁安全閘道（SWG）、雲端防火牆（FWaaS）、雲端存取安全代理（CASB）、資料外洩預防（DLP），到了現在，增添基於App Connector的零信任網路存取、零信任存取中繼（ZTA Relay），從而進化成最新推出的Cisco Secure Acess來統籌所有的功能。</p> </blockquote> <p>到了2023年6月舉行的年度用戶大會，思科立足於原本的SASE解決方案，發表新的安全服務邊緣（SSE）解決方案，名為Cisco Secure Access，提供單一平臺、可橫跨任何地點、裝置、應用程式的安全存取，7月開始限量供應，預計10月正式上線，</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-3.jpg" style="width: 600px;" /></a></p> <p>而在2024年1月，思科舉行Cisco Secure Access活動臺北場，也等於宣告這套解決方案進入臺灣市場。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-01-2.jpg" style="width: 600px;" /></p> <p>思科強調，這套SSE系統具有三大特色。首先，提供通用的存取體驗，使用者可透過統一、簡單的作法，即可存取所有應用程式與資源，而且能在不需人為介入協助的狀態下，以聰明、安全的方式引導連至企業內部環境或公開網路的流量。</p> <p>第二，提供單一、位於雲端服務的管理主控臺，思科SSE將多種功能合而為一，成為容易使用、而且能保護所有網路流量的解決方案，藉此簡化資安維運的工作。系統管理者、資安分析人員只需要從一個網站入口就能看到所有流量、設定全部政策，以及分析各種資安風險，而不需管理一大堆工具，能使IT環境的作業效率提升、成本降低，而且不失使用彈性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-12-Cisco Secure Access-SSE-SASE-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-12-Cisco%20Secure%20Access-SSE-SASE-web.jpg" style="width: 600px;" /></a></p> <blockquote><p>對於思科而言，他們發展的SASE解決方案包含兩大部分，其中的SSE負責守護企業連線安全，並且在這個模式下，提供多種網路與內容安全，以及零信任網路存取（ZTNA）的功能。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-features-2023-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-features-2023-12.jpg" style="width: 600px;" /></a></p> <blockquote><p>思科安全服務邊緣解決方案包含4大功能：網頁安全閘道、雲端存取安全代理、零信任網路存取，以及防火牆即服務，再加上多種延伸的內容與網路保護功<br /> 能，像是資料外洩預防、DNS安全、沙箱檢測、遠端瀏覽器隔離，以及網路威脅情報服務，也能搭配思科SD-WAN、XDR、數位體驗監控系統、多因素驗<br /> 證身分管理系統。</p> </blockquote> <p>第三，加快偵測與應變速度，此套解決方案提供分析功能，可提升調查事故的能力，而且幕後有思科Talos網路威脅情報服務幫忙，能夠偵測與阻擋更多惡意行為與駭客攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-12-Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-12-Arch.jpg" style="width: 600px;" /></a></p> <blockquote><p>圖中是Cisco Secure Access的完整架構，從中可看到列管端點、非列管端點，以及企業內部環境的使用者與設備連至網際網路、公有雲或私有雲，以及資料中心或分支辦公室的流量，如何經過這套解決方案提供加密通道連線存取，以及網路、內容資安防護功能進行處理，下圖是細部政策處理流程，可看出針對不同類型的遠端存取流量，這套解決方案提供對應的步驟與流量。</p> </blockquote> <p>值得注意的是，思科為了這個解決方案，也和行動裝置廠商共同發展兼具安全性與使用體驗的遠端工作存取方式。例如，他們目前已經與蘋果公司合作，將Cisco Secure Access提供的零信任存取功能併入iOS與macOS作業系統，提供原生操作體驗，促使安全存取應用程式能夠普及，而且能簡化IT人員的相關管理工作，也能提升每個使用者的保護力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Mobile.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Mobile.jpg" style="width: 600px;" /></a></p> <p>除了多種功能的整合、強化，以及端點裝置的原生支援，就服務層面而言，Cisco Secure Access本身也是<a href="https://www.ithome.com.tw/tech/162652">Cisco Security Cloud資安雲平臺</a>的一環，可延伸運用思科其他資安與網路產品，同時能整合第三方廠商的解決方案。</p> <p>這套SSE系統底層的IT基礎架構也相當特別，思科表示，當中採用了混合型態的網路服務供應點（POP），由思科本身設置的多個資料中心與公有雲業者的環境來擔綱，可快速延伸至<a href="https://docs.sse.cisco.com/sse-user-guide/docs/secure-access-regions">全球各個地區</a>，以便就近服務用戶。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Regions-Global.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Regions-Global.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Regions.jpg" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Regions-Global%20in%20Regions.jpg" style="width: 600px;" /></p> <h3><strong><span style="color:#0000FF;">提供多種資安防護功能</span></strong></h3> <p>對比市場上既有的SASE/SSE解決方案，Cisco Secure Access最大的差異在於，思科強調，可提供最有彈性的ZTNA存取方式，當中結合VPN即服務（VPNaaS），以及基於個人端程式（client-based）與無個人端程式（clientless）的ZTNA管道，並且能夠支援任何應用系統、網路連接埠，以及通訊協定，涵蓋基於網際網路、SaaS雲端服務，以及組織內部等環境的應用系統，希望使用者能以最有效率、安全的方法登入IT系統，進而快速開始工作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ciscco Secure Access-2023-06-Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ciscco%20Secure%20Access-2023-06-Arch.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-Demo1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-Demo1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-Demo2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-Demo2.jpg" style="width: 298px;" /></a></p> <p>以提供安全的遠端存取而言，首先，在運作架構的設計上，傳統SASE解決方案，往往採用反向代理（reverse proxy），Cisco Secure Access採用更先進的零信任存取中繼（relay），可對企業與組織的資料處理與檢測點，提供更多控制方式，進而減少可遭受攻擊的面向，提升企業隱私防護，對於用戶而言，思科認為他們的解決方案可以更容易建立政策，無論特定流量透過路由交給雲端安全服務處理，或直送至網路邊緣端的安全設備。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Traffic Flow.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Traffic%20Flow.jpg" style="width: 600px;" /></a></p> <blockquote><p>此圖是Cisco Secure Access細部的政策處理流程，可看出不同類型的遠端存取流量，這套解決方案會提供對應的步驟與流量。</p> </blockquote> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Security Inspection.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Security%20Inspection.jpg" style="width: 600px;" /></a></p> <p>根據思科去年8月發布的產品技術規格簡介文件，Cisco Secure Access在ZTNA呈現的特色，主要是透過應用程式代理（Application proxy），在不需將應用程式暴露在網際網路的架構下，可提供透明、安全的遠端存取管道，也能隱藏個人端存取內部應用程式的網路傳輸細節，因此，可預防駭客透過IP網路的勘察、甚至侵入個人端裝置，而得知任何資訊。</p> <p>Cisco Secure Access的另一個大賣點，是同時提供多元的資安防護功能，以及統一的系統管理儀表板，兼顧簡化的操作方式、高度工作效率，以及理想的使用成效。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Unified.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Unified.jpg" style="width: 600px;" /></a></p> <p> <a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-Demo3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-Demo3.jpg" style="width: 299px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-Demo4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-Demo4.jpg" style="width: 298px;" /></a> </p> <p>目前，Cisco Secure Access提供的資安防護功能如下：</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Security Stack.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Security%20Stack.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-01-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-01-1.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>零信任網路存取</strong></span></p> <p>針對企業與組織IT環境或雲端服務環境的內部應用系統，可藉由ZTNA提供細緻、個別程式專屬的存取方式，用戶可透過預先定義的存取政策，落實最小權限的原則，並獲得具有前後脈絡的存取行為洞察分析，更加精細地限制不當的存取，而且能在使用者存取應用程式取得明確許可，無論位在何處，均可居中代理。思科此處提供的ZTNA有兩種存取方式：採用個人端程式（Cisco Secure Client），以及無個人端程式（亦即經由瀏覽器來提供存取），可進行基於SAML的身分認證，也能運用內建的身分識別提供者（IdP），以及實施基於應用程式的存取政策控管。</p> <p><span style="color:#FF0000;"><strong>VPN即服務（VPNaaS）</strong></span></p> <p>將VPN提升至雲端服務的層次，因應ZTNA難以涵蓋全部的企業與組織內部應用程式，思科提供基於雲端型態的VPN即服務，可囊括遠端安全存取，以及針對非網頁類型的網際網路存取流量，可支援多種應用情境，像是分割加密通道與完整通道、點對點通訊、自帶憑證（BYO certificate）、分割DNS、動態分割DNS；而在身分認證的處理上，用戶可運用SAML、憑證、RADIUS、LDAP方式進行；關於便利一般使用者操作的方式上，思科在此提供持續經由VPN傳輸（always on VPN），以及登入前就啟動VPN；而在簡化IT維運管理方面，可運用本地IP資源共用池（Local IP Pool）、多重VPN設定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-VPNaaS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-VPNaaS.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>網頁安全閘道器（SWG）</strong></span></p> <p>透過代理伺服器架構進行網頁流量的深層與細緻控管，涵蓋網址與內容過濾，以及進階的應用系統控制，針對選定的加密流量進行解密處理、政策強制實施。對於所有流經80埠與443埠的網頁流量，這項功能可以進行記錄與檢測，並運用IPsec加密通道、Proxy自動設定組態（PAC）檔案，以及代理伺服器鏈接（proxy chaining）等作法，將所有流量轉送至此進行處理，進而完整透視當中進行的連線行為，實施URL網址與應用程式層級的控管，以及進階的網路威脅防護，目前可運用的防護包括：網址的過濾、下載檔案的惡意軟體掃描、特定類型檔案的阻擋存取、針對部分連網應用程式的禁用、全部或選定的網路加密流量解密、通報完整的URL網址與網路身分識別，以及後面將會提到的沙箱檢測。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-SWG3.jpg" style="width: 298px;" /></a></p> <p><strong><span style="color:#FF0000;">雲端存取安全代理（CASB）</span></strong></p> <p>提供雲端應用程式的探查、風險分數的評估、非法行為的阻擋、雲端惡意軟體的偵測，以及租戶的控制，藉此提供雲端應用程式偵測與通報能力，揭發員工的影子IT活動，以便更妥善管理雲端服務的採用、降低資安風險，以及限制或阻擋各種應用程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CASB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CASB.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>資料外洩預防（DLP）</strong></span></p> <p>思科在此提供超過190種的內容分析器，涵蓋GDPR、 PCI-DSS、HIPAA、PII、PHI等法規遵循的要求，用戶可定義違反資料外洩預防要求的政策，預防敏感資訊經由資安服務支援的各種應用系統不當傳遞，而造成洩漏。實作上，思科此處整合的DLP解決方案，透過網頁安全閘道Proxy即時線上分析，察覺是否有人正在外洩敏感資料，並搭配Restful API、提供頻外（out-of-band）監控能力，分析儲存在雲端服務的靜態資料，掌握與控管正在離開企業與組織的資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-DLP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-DLP.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>防火牆即服務（FWaaS）</strong></span></p> <p>提供網路第3層、第4層、第7層的防火牆監控機制，並且結合入侵防禦系統Snort 3的技術，而獲得特徵碼比對的網路威脅偵測能力，可透過網路流量的深層透視與控管，涵蓋多個通訊埠與協定的動向，防護範圍包含行動App、點對點檔案共享軟體、視訊線上會議軟體，以及任何非網頁或非DNS的網路流量，提升網路安全成效。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CFW.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CFW.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CFW-IPS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-CFW-IPS.jpg" style="width: 298px;" /></a></p> <p><span style="color:#FF0000;"><strong>DNS層級的防護（DNS-layer security）</strong></span></p> <p>基於網域名稱服務（DNS）的解析與查詢，在連線建立之前，也就是尚未經由任何通訊埠或協定傳遞至企業內部網路環境或端點之前，即可阻擋使用者連至惡意或非必要的網址，對於連至惡意網站或不符合上網政策的存取活動，能予以攔截、限制，達到預防網路威脅的目的。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-12-Umbrella.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-12-Umbrella.png" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>內用網路安全存取（Secure Private Access）</strong></span></p> <p>能保護所有企業與組織內部應用程式的存取，涵蓋使用其他通訊埠與協定的非標準化系統，以及透過多個通道、點對點連線傳輸的軟體程式，提供零信任網路存取與VPN即服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private Access1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private%20Access1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private AccessA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private%20AccessA.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private AccessB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private%20AccessB.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private AccessC.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Private%20AccessC.jpg" style="width: 198px;" /></a></p> <p><strong><span style="color:#FF0000;">網際網路應用程式的安全存取（Secure Internet Access）</span></strong></p> <p>針對橫跨多種網路環境、分支辦公室，以及四處移動的使用者，在存取公開SaaS應用程式或其他類型雲端服務時，可藉此防護與管理相關的網際網路存取活動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Internet Access.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-02-Internet%20Access.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure Internet Access1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure%20Internet%20Access1.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure Internet Access2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure%20Internet%20Access2.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure Internet Access3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure%20Internet%20Access3.jpg" style="width: 148px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure Internet Access4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-Secure%20Internet%20Access4.jpg" style="width: 148px;" /></a></p> <p><span style="color:#FF0000;"><strong>遠端瀏覽器隔離（Remote Browser Isolation，RBI）</strong></span></p> <p>將上網設備與存取網站的流量區隔開來，使用者無法直接觸及透過網頁瀏覽器散播的惡意威脅，能以更安全的方式存取具有風險的網站，進而保護企業與組織的資安。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-RBI1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-RBI1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2023-06-RBI2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2023-06-RBI2.jpg" style="width: 600px;" /></a></p> <p><span style="color:#FF0000;"><strong>惡意軟體安全分析與沙箱檢測</strong></span></p> <p>結合進階的沙箱檢測機制（sandboxing）與網路威脅情報服務，保護企業與組織免於惡意軟體的侵襲，用戶可完整存取Cisco Secure Malware Analytics（前身為2014年併購的ThreatGRID），而能在雜物箱（glovebox）開啟惡意檔案，追蹤檔案執行的動作，捕捉檔案產生的網路活動。</p> <h3><strong><span style="color:#0000FF;">下一步擴大支援更多行動裝置的應用 </span></strong></h3> <p>在零信任網路存取的架構中，Cisco Secure Access採用的中繼架構，是基於兩種先進、高效率的通訊協定：QUIC（HTTP/3），以及架構在QUIC之上的MASQUE（Multiplexed Application Substrate over QUIC Encryption），而能支援所有的應用程式、通訊埠，以及協定，並在減少資源暴露在外的狀態下，仍能作到超細緻的零信任控制、雙向混淆（bi-directional obfuscation）、效能改善，全面防護內部應用程式的存取。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ciscco Secure Access-2023-06-Apple1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ciscco%20Secure%20Access-2023-06-Apple1.jpg" style="width: 600px;" /></a></p> <p>而在行動裝置的原生支援上，Cisco Secure Access先預告與展示蘋果iOS平臺的零信任存取，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-iOS.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Apple2.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Apple4.jpg" style="width: 298px;" /></p> <p>去年12月提到三星Galaxy系列手機與平板也將提供這樣的安全機制，使用設備的人員就能經由Cisco Secure Access存取工作資源，而且套用零信任存取政策控管。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Android.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Android.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung1.jpg" style="width: 70px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung2.jpg" style="width: 70px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung3.jpg" style="width: 70px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-2024-06-Samsung5.jpg" style="width: 70px;" /></a></p> <p>思科表示，上述行動裝置的零信任存取架構，運用MASQUE代理伺服器與QUIC協定，因此，能在保護企業IT資源的同時，也提供快速存取的便利性——使用內部應用程式需橫跨網際網路時，預防以未加密的狀態暴露在外，而且還能針對個別應用程式提供受到政策控管的存取方式，減少惡意威脅在內部網路橫向移動的風險。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CSA-QUIC Masque-2024-02.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CSA-QUIC%20Masque-2024-02.png" style="width: 600px;" /></a></p> <p>除此之外，Cisco Secure Access也結合了VPN即服務，可透過單一安全個人端程式（Cisco Secure Client）的搭配使用，提供另一種安全連線方式，也能對所有應用程式進行身分與裝置安全狀態的檢查，無論使用者要存取網際網路、SaaS雲端服務，或是企業與組織的應用系統，均能以簡易、輕鬆的方式進行，只需登入就能開始工作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Secure Access-Demo5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Secure%20Access-Demo5.jpg" style="width: 600px;" /></a></p> <p>強調便利性、安全性之餘，可用性的水準也是企業與組織評估是否長期採用的關鍵，對此思科也公開向大家承諾，Cisco Secure Access將提供99.999％（5個9）的服務等級協議（SLA）。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Cisco Secure Access</strong><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●版本：Secure Access Essentials、Secure Access Advantage<br /> ●核心功能：零信任網路存取（ZTNA）、網站安全閘道（SWG）、雲端存取安全代理（CASB）、防火牆即服務（FWaaS）與入侵防禦系統（IPS）<br /> ●延伸功能：多重模式資料外洩防護（multimode DLP）、DNS安全防護、沙箱檢測、遠端瀏覽器隔離（RBI）、網路威脅情報服務、數位體驗監控分析（DEM insights）<br /> ●零信任存取類型：網際網路安全存取（Secure Internet Access）、私有網路安全存取（Secure Private Access）<br /> ●選購解決方案：SD-WAN、XDR、Duo MFA/SSO、CSPM</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/6/30 17:14作者李宗翰https://www.ithome.com.tw/review/160782
Google翻譯利用AI新增對粵語等110種新語言的支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://blog.google/products/translate/google-translate-new-languages-2024/" target="_blank">宣布</a>，Google翻譯已利用<a href="https://ai.google/discover/palm2/" target="_blank">PaLM 2大型語言模型</a>新增對110種<a href="https://support.google.com/translate/answer/15139004?visit_id=638551412056656998-2006381606&p=TranslateNewLanguages2024&rd=1" target="_blank">新語言的支援</a>，包括香港地區所使用的粵語、巴基斯坦最常用的Punjabi，以及已失去最後一位母語人士的Manx等，讓現在的Google翻譯所支援的語言達到243種。</p> <p>此次Google所支援的新語言代表全球超過6.14億的使用者，約占全球人口的8%，有些是使用人數超過1億的主要語言，但大多數是土著的小社群在使用，也有少數幾乎沒有母語人士。整體而言，約有1/4的新語言來自非洲。</p> <p>其中，粵語長期以來一直是Google翻譯最需要的語言之一，但因為粵語在寫作上經常跟普通話重疊，因此很難找到資料並訓練模型。Manx則是英國曼島（Isle of Man）的傳統語言，為凱爾特（Celtic）語族的語言，其最後一位母語者已在1974年去世，現在僅有數千人使用Manx。另一個有趣的語言則是NKo，它是西非曼丁（Manding）語系的一種標準化形式，將所有方言統一為一種通用語言，還擁有一個專門替它開發資源與技術的活躍社群，NKo的字母是在1949年才發明。</p> <p>Google說明，在增添翻譯服務的新語言時，Google考慮了各種變種與拼法，因為不同的地區及方言，都有不同的拼寫標準，且有很多語言缺乏標準形式，很難出現所謂的正確變種，因此Google優先考慮每種語言最常用的變種，並利用PaLM 2模型來學習相近的各種語言，隨著技術的進步再加上與專業語言學家及母語人士的合作，未來的Google翻譯可望支援更多的語言變體及拼法慣例。</p> <p>對新語言的支援將直接出現在網頁、Android及iOS的Google翻譯服務上。</p> </div></div></div>
2024/6/28 20:30作者陳曉莉https://www.ithome.com.tw/news/163700
OpenAI揭露可用來發現ChatGPT生成程式碼臭蟲的CriticGPT模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/finding-gpt4s-mistakes-with-gpt-4/" target="_blank">OpenAI周四（6/27）揭露</a>一個奠基於GPT-4的新模型CriticGPT，它目前扮演人類訓練師的AI助手角色，可用來審查ChatGPT所生成的程式碼，並找出錯誤。</p> <p>現階段的ChatGPT也是基於GPT-4模型，它藉由人類反饋的強化學習（Reinforcement Learning from Human Feedback，RLHF）來調整其輸出表現，亦即由人類訓練師根據模型的行動來提供反饋或意見，而CriticGPT也能用來審核ChatGPT輸出程式碼時的表現，OpenAI正在將CriticGPT整合到RLHF的標籤管道中，以替人類訓練師提供明確的AI說明。</p> <p>OpenAI指出，隨著模型行為與推論的進步，ChatGPT變得更加精確，錯誤也變得更為微妙，令人類的AI訓練師更難找出其錯誤之處，並對RLHF方法造成了挑戰，使得模型的調整愈來愈困難，這使得他們訓練CriticGPT來進行評論，以突顯ChatGPT輸出的錯誤。</p> <p>根據OpenAI的測試，人類訓練師在取得CriticGPT的協助之後，審核ChatGPT生成程式碼的表現在大多數時候（60%），優於沒有CriticGPT幫忙的時候。</p> <p>總之，OpenAI發現，在CriticGPT的協助下，人類訓練師不僅得以發現更多的問題，而且還能藉由CriticGPT強化人類的技能，提出更全面的批評，還能減少幻覺錯誤。</p> <p>只是CriticGPT現階段仍有其侷限性，例如所支援的答案很短，也還會產生幻覺，尚未能解決分散的錯誤，也還無法處理過於複雜的任務或回應。</p> </div></div></div>
2024/6/28 20:30作者陳曉莉https://www.ithome.com.tw/news/163703
【資安日報】6月28日，前幾天Polyfill.io供應鏈攻擊事件曝光震撼整個IT界，後續傳出中國CDN業者另起爐灶，…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名的網站功能相容性程式庫polyfill.io本週傳出供應鏈攻擊，研究人員提出警告，他們發現程式碼在中國CDN業者今年初接手後，就開始植入惡意程式，由於採用這款程式庫的網站眾多，且不乏許多知名企業組織與政府單位，所以，這起供應鏈攻擊引發軟體開發與資安領域的密集關注，如今出現新的進展。</p> <p>有研究人員發現，在Namecheap註銷polyfill.io之後，經營者透過新的polyfill[.]com提供服務，並聲稱相關服務透過Cloudflare快取未含供應鏈風險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163707"><strong style="font-size: 22px;">發動供應鏈攻擊的Polyfill.io經營者傳出另起爐灶，再度向超過10萬網站傳送惡意程式碼</strong></a></p> <p>本週二（6月25日）專精電子商務網站安全的資安業者Sansec提出警告，知名的網站功能相容性程式庫polyfill.io，自今年2月賣給中國內容傳遞網路（CDN）業者方能（Funnuul）後，傳出被植入惡意程式碼的情況，導致使用該程式庫的網站遭到感染，用戶被導向賭博網站及其他惡意網站。針對這起事故，如今出現新的發展。</p> <p>根據資安新聞網站Bleeping Computer的報導，他們發現Polyfill.io相關網域疑似遭到網域名稱服務供應商Namecheap註銷，但經營者透過新的網域polyfill[.]com，開始提供名為Polyfill JS CDN的服務，並認為有人在誹謗他們，強調他們所有的內容都是透過靜態快取提供，並透過雲端服務業者Cloudflare進行快取，而不存在供應鏈風險。</p> <p>針對polyfill.io聲稱所有內容經過Cloudflare快取，Cloudflare表示，他們並未授權該經營者使用該公司的名稱，也未曾推薦polyfill.io的服務，他們要求對方刪除相關內容，但polyfill.io置之不理。對此，Cloudflare認為，這是該服務經營者不可信任的警訊。</p> <p><a href="https://www.ithome.com.tw/news/163704"><strong style="font-size: 22px;">角川集團遭勒索軟體攻擊事故，駭客組織BlackSuit聲稱是他們做的</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/kadokawa-blacksuit.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/kadokawa-blacksuit.jpg" style="width: 300px; float: right;" /></a>6月上旬日本知名的影片共享平臺Niconico傳出服務異常，隨後事態擴大，母公司角川集團發出聲明證實，不光是Niconico，角川網站及電商平臺Ebten都受到影響。該集團後來在14日證實遭遇勒索軟體攻擊，並透露資安事故發生的過程，事隔兩週，這起事故出現新的發展。</p> <p>6月22日角川發出聲明，表示已有媒體報導透露攻擊者的身分，並認為這麼做將助長網路犯罪，甚至有可能會使犯罪者受益。究竟攻擊者的身分為何？根據本週資安新聞網站Bleeping Computer報導，勒索軟體駭客Black Suit聲稱是他們所為，這些駭客宣稱約在一個月前開始存取該集團的網路環境，成功存取控制中心之後，他們就加密了整個網路環境，包含多玩國（Dwango）、Niconico、角川書店，以及其他子公司，並從中竊得1.5 TB內部資料。</p> <p><a href="https://www.ithome.com.tw/news/163686"><strong style="font-size: 22px;">駭客組織Boolka對於全球網站發動SQL注入攻擊，意圖對使用者電腦植入木馬程式Bmanger</strong></a></p> <p>資安業者Group-IB揭露名為Boolka的駭客組織，該組織從2022年開始，對於全球各地的網站隨機發動SQL注入攻擊，目的是針對瀏覽這些網站的使用者，散布名為Bmanager的模組化木馬程式。</p> <p>研究人員指出，過去3年這些駭客鎖定存在弱點的網站，藉由惡意的JavaScript指令碼進行感染，從而能在受害網站上截取使用者輸入的任何資料。但除了竊取使用者輸入的個人資料，他們也看到駭客使用名為BeEF的惡意軟體傳送框架，對存取受害網站的使用者散布Bmanager。駭客將使用者重新導向假的網頁，聲稱必須安裝指定的瀏覽器延伸套件才能正常檢視內容，然而一旦照做，電腦就有可能被植入木馬程式。</p> <p><a href="https://www.ithome.com.tw/news/163682"><strong style="font-size: 22px;">AI裝置Rabbit r1遭爆洩露眾多API金鑰</strong></a></p> <p>新創業者Rabbit與消費者裝置製造商Teenage Engineering合作開發的AI裝置Rabbit r1，本周遭爆外洩許多API金鑰，將允許任何人讀取Rabbit r1所生成的內容，或是讓所有的Rabbit r1變磚，還能竄改Rabbit r1的回應或是置換Rabbit r1的聲音，更令人訝異的是，研究人員指出Rabbit早就知道其裝置的API金鑰外洩，卻一直未採取行動。</p> <p>發現相關漏洞的是專門針對Rabbit r1專案進行逆向工程的Rabbitude社群，研究人員表示，他們在今年5月存取Rabbit r1的程式碼庫，並發現其中含有許多寫死的API金鑰，包括將文字轉譯成語音的ElevenLabs、語音轉文字的Azure系統、評論服務Yelp，以及Google Maps。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/teamviewers-corporate-network-was-breached-in-alleged-apt-hack/"><strong style="font-size: 20px;">遠端桌面連線解決方案供應商TeamViewer傳出內部網路遭APT駭客入侵</strong></a></p> <p>◆<a href="https://www.reversinglabs.com/blog/a-lurking-npm-package-makes-the-case-for-open-source-health-checks"><strong style="font-size: 20px;">惡意NPM套件鎖定AWS用戶而來，先休眠4個月減少他人關注</strong></a></p> <p>◆<a href="https://www.theregister.com/2024/06/27/kt_p2p_malware_claim/"><strong style="font-size: 20px;">韓國網路服務供應商KT傳出針對使用網路硬碟的用戶植入惡意程式碼，60萬用戶受害</strong></a></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://about.gitlab.com/releases/2024/06/26/patch-release-gitlab-17-1-1-released/#run-pipelines-as-any-user"><strong style="font-size: 20px;">GitLab存在重大漏洞，攻擊者可冒用任意用戶身分執行Pipeline工作流程</strong></a></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163694"><strong style="font-size: 22px;">Amazon S3首度整合惡意程式偵測，一年限量免費使用</strong></a></p> <p>AWS在re:Inforce 2024雲端安全會議發表多項資安服務，其中最受矚目的當屬物件儲存服務Amazon S3首度整合GuardDuty惡意程式掃描過濾功能，並且自發表後一年內提供限量免費使用。</p> <p>AWS的惡意程式防護服務GuardDuty保護的範圍，繼Amazon EC2、EKS、ECS、AWS Lambda、Fargate之後，也擴及物件儲存服務Amazon S3。過去S3儲存物件的防毒掃描，必須整合第三方資安公司的防護服務，而新推出的GuardDuty Malware Protection for S3服務，則會在用戶上傳物件檔案至S3時自動啟動掃描，檢測潛在的惡意程式、病毒或可疑內容，再放行至對應的儲存貯體；如果掃描後發現潛在威脅，可疑的上傳物件就會被移至隔離區。</p> <p>GuardDuty Malware Protection for S3可視為S3預設防毒防駭功能，因為過往AWS的服務要使用GuardDuty防護服務的話，都必須先啟用GuardDuty服務，不過GuardDuty Malware Protection for S3卻首度提供不需啟用GuardDuty服務，而可直接使用掃毒與惡意程式過濾功能。</p> <p><a href="https://www.ithome.com.tw/news/163651"><strong style="font-size: 22px;">高雄市府3作法加速推動資安轉型，更以AI強化城市治理</strong></a></p> <p>近年來發展快速的高雄市，因應愈來愈高的威脅，在中央的補助之下，高雄市增加對資安的投資，高雄市政府資訊中心主任劉俊傑表示，目前高雄市政府在強化資安正推動3項做法，第一項做法是建立主動防禦，過去的資安策略較為被動防禦，例如採購防火牆、防毒軟體等，現在轉向採用比較主動式的防禦，例如蒐集Log資料，包括端點資料，以主動分析發現異常事件。</p> <p>他以紅軍演練為例，傳統委託業者扮演紅隊，利用駭客入侵找出哪裡有弱點，但市府進一步希望掌握入侵可能留下哪些Log資料，透過工具設定檢視規則，主動掃描新的Log，當發現可疑的異常情形，再由專業人員進一步分析。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://googleprojectzero.blogspot.com/2024/06/project-naptime.html"><strong style="font-size: 20px;">Google推出人工智慧技術驅動的漏洞研究專案Naptime</strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163687"><strong>【6月27日】舊版瀏覽器網站相容套件Polyfill.io被中國公司買下，驚傳被植入惡意程式碼，恐影響逾10萬網站</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163663"><strong>【6月26日】惡意軟體沙箱服務業者Any.Run遭到網釣攻擊，所有員工收到內部人員寄來的釣魚信</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163648"><strong>【6月25日】中國駭客組織RedJuliett近半年鎖定臺灣高科技產業、外交經濟、社會運動團體從事網路間諜攻擊</strong></a></p> </div></div></div>
2024/6/28 17:52作者周峻佑https://www.ithome.com.tw/news/163709
發動供應鏈攻擊的Polyfill.io經營者傳出另起爐灶，再度向超過10萬網站傳送惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（6月25日）<a href="https://www.ithome.com.tw/news/163667">專精電子商務網站安全的資安業者Sansec提出警告</a>，知名的網站功能相容性程式庫polyfill.io，自今年2月賣給中國內容傳遞網路（CDN）業者方能（Funnuul）後，傳出被植入惡意程式碼的情況，導致使用該程式庫的網站遭到感染，用戶被導向賭博網站及其他惡意網站。</p> <p>由於全球有超過10萬個網站採用這項程式庫，包含學術期刊線上網站Journal STORage（JSTOR）、世界經濟論壇等知名組織，<a href="https://twitter.com/silentpush_labs/status/1806055707642384802">亦有不少美國聯邦機構</a>，這項供應鏈攻擊的影響範圍相當廣。針對這起事故，如今出現新的發展。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/polyfill-claims-it-has-been-defamed-returns-after-domain-shut-down/">資安新聞網站Bleeping Computer的報導</a>，他們發現<a href="https://twitter.com/malwrhunterteam/status/1806074377383121148">Polyfill.io相關網域疑似遭到網域名稱服務供應商Namecheap註銷</a>，但經營者透過新的網域polyfill[.]com，<a href="https://twitter.com/Polyfill_Global/status/1805923380857897277">開始提供名為Polyfill JS CDN的服務</a>，並認為有人在誹謗他們，強調他們所有的內容都是透過靜態快取提供，並<a href="https://twitter.com/Polyfill_Global/status/1805707089672815039">透過雲端服務業者Cloudflare進行快取</a>，而不存在供應鏈風險。</p> <blockquote class="twitter-tweet"><p dir="ltr" lang="en" xml:lang="en">Someone has maliciously defamed us. We have no supply chain risks because all content is statically cached. Any involvement of third parties could introduce potential risks to your website,<br /> but no one would do this as it would be jeopardize our own reputation.</p> <p>We have already…</p> <p>— Polyfill (@Polyfill_Global) <a href="https://twitter.com/Polyfill_Global/status/1805923380857897277?ref_src=twsrc%5Etfw">June 26, 2024</a></p></blockquote> <script async="" src="https://platform.twitter.com/widgets.js" charset="utf-8"></script><p>然而，代號為mdmck10的研究人員發現，polyfill[.]com網站內容，<a href="https://x.com/mdmck10/status/1806021891401912574">與專為NPM及GitHub用戶打造的開源CDN服務jsDelivr CDN網站雷同</a>，幾乎像是複製貼上，甚至有部分保留了jsDelivr的名稱。而且，polyfill[.]com也同樣提供jsDelivr網站上的Globalping分析服務。</p> <p>另一家資安業者Socket，<a href="https://socket.dev/blog/namecheap-takes-down-polyfill-io-service-following-supply-chain-attack">針對此事公布更多來龍去脈</a>；<a href="https://twitter.com/feross/status/1806110677612040233">該公司執行長Feross Aboukhadijeh呼籲</a>，若是有人採用了polyfill[.]com提供的CDN服務，應儘速移除。</p> <p>針對polyfill.io聲稱所有內容經過Cloudflare快取，Cloudflare表示，<a href="https://blog.cloudflare.com/automatically-replacing-polyfill-io-links-with-cloudflares-mirror-for-a-safer-internet">他們並未授權該經營者使用該公司的名稱，也未曾推薦polyfill.io的服務</a>，他們要求對方刪除相關內容，但polyfill.io置之不理。對此，Cloudflare認為，這是該服務經營者不可信任的警訊。</p> <p>該公司也為旗下的網站用戶提供替代方案，免費用戶將自動啟用，付費用戶可選擇是否啟用，或是套用自己的替代做法。</p> <p>值得留意的是，<a href="https://twitter.com/spazef0rze/status/1805645015663673670">Google也開始對廣告廠商發出通報</a>，指出他們發現來自polyfill.io、bootcss.com等網站的第三方程式庫存在資安問題，若是站方採用這類元件，這些程式庫有可能在站方不知情的情況下，將瀏覽網站的使用者擅自重新導向到特定網站。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GQ7wLbHXYAA4Owx.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GQ7wLbHXYAA4Owx.png" style="width: 580px;" /></a></p> </div></div></div>
2024/6/28 16:52作者周峻佑https://www.ithome.com.tw/news/163707
Meta發表LLM Compiler，以最佳化程式碼生成及編譯器能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta周四（6/27）<a href="https://ai.meta.com/research/publications/meta-large-language-model-compiler-foundation-models-of-compiler-optimization/" target="_blank">發表了LLM Compiler</a>，此為奠基於程式碼生成模型<a href="https://www.ithome.com.tw/news/161085" target="_blank">Code Llama</a>的新模型，額外強化了對編譯器中介語言（IR）、組合語言及最佳化技術的理解，可用來改善所生成的程式碼品質，<a href="https://huggingface.co/collections/facebook/llm-compiler-667c5b05557fe99a9edd25cb" target="_blank">目前已可透過Hugging face取得</a>。</p> <p><a href="https://x.com/AIatMeta/status/1806361623831171318" target="_blank">Meta表示</a>，LLM Compiler模型能夠模擬編譯器的功能，得以預測哪些最佳化步驟能夠達到最佳的程式碼尺寸，或是將以已編譯的程式碼轉換回原本的語言，目前提供7B與13B兩種版本，透過相對寬鬆的授權允許研究及商業使用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-Meta%20LLM%20Compiler.png" style="width: 600px;" /></p> <p>這是因為Meta認為，儘管大型語言模型（LLM）在各種軟體工程及程式碼任務中展現卓越的能力，但它們在程式碼及編譯器最佳化領域上的應用，卻未得到充分的探索，訓練LLM是個資源密集，需要大量GPU時間與大量資料收集、可能令人望之卻步的任務，而LLM Compiler即是個專為最佳化程式碼任務所設計的預訓練模型，並可供公開使用。</p> <p>LLM Compiler已於5,460億個LLVM-IR與組合程式碼的Token上進行訓練，指令亦已經過微調以更好地編譯器的行為，開發者可透過客製化的商業授權以進行廣泛的運用，現有具備70億參數及130億參數的兩種模型可供選擇。</p> <p>Meta還展示了經過微調的模型版本，這些版本在優化程式碼大小，以及將x86_64和ARM組合語言反組譯回LLVM-IR的能力方面取得了顯著的進展。具體來說，這些模型可達到77%的程式碼最佳化潛力，以及45%的反組譯回路，當中的14%是精確匹配的能力。</p> </div></div></div>
2024/6/28 16:27作者陳曉莉https://www.ithome.com.tw/news/163706
Google釋出Gemma 2，提供9B及27B兩種版本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://blog.google/technology/developers/google-gemma-2/" target="_blank">釋出了Gemma 2</a>，相較於<a href="https://www.ithome.com.tw/news/161409" target="_blank">第一代</a>僅提供20億（2B）及70億（7B）參數的版本，第二代提供了9B及27B兩種版本，除了具備更高的性能之外，也能在單個Nvidia H100 Tensor Core GPU或TPU上實現，大幅降低部署成本，開發人員現在已可透過Google AI Studio、Kaggle及Hugging Face Models存取Gemma 2，下個月便會現身於Google雲端機器學習平臺Vertex AI上。</p> <p>Gemma是個開源且輕量版的AI模型，採用與Gemini同樣的研究及技術而打造，Gemma 2不僅在所有基準測試上都超越Gemma 1，9B版本的Gemma 2在MMLU、BBH及GSM8K測試，也都超越8B版本的Llama 3；27B版本的Gemma 2在MMLU、GSM8K、MATH等測試，則超越擁有314B參數的Grok-1。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-Gemma_2_performance_final.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>此外，Google表示，27B版本的Gemma 2其設計就是為了要讓它能夠在單個Google Cloud TPU主機，或是單個Nvidia A100 80GB Tensor Core GPU，以及單個Nvidia H100 Tensor Core GPU執行全精度的高效推論，在維持高性能的同時大幅降低成本，讓開發者更容易部署AI。</p> <p>因此，Gemma 2可在高階遊戲筆電、高階桌上型電腦，以及雲端上執行。Google建議使用者可於Google AI Studio上以最高精度執行，在CPU上透過Gemma.cpp 使用量化版本來解鎖本地端性能；也能透過Hugging Face Transformers，於具備Nvidia RTX或GeForce RTX的家中電腦使用。</p> <p>相較於第一代，Gemma 2不僅有更高的性能、推論效率，並強化了安全，也更容易整合到使用者的工作流程中，它支援Hugging Face Transformers、JAX、PyTorch及TensorFlow等AI框架，並針對Nvidia的加速基礎設施進行優化，也能作為Nvidia NIM推論服務，之後也會針對Nvidia的自然語言處理解決方案NeMo展開最佳化。</p> <p>為了打造更安全的AI應用，即日起開發者已可利用Python函式庫對模型及資料進行比較評估，於程式中產生視覺化的結果，此外，Google也正準備替Gemma模型開源文字浮水印技術SynthID。</p> <p>自Google於今年初開源第一代Gemma後，該模型已被下載超過1,000萬次，其中一個Navarasa專案即利用Gemma來建立一個支援多元化印度語言的微調模型。</p> </div></div></div>
2024/6/28 16:00作者陳曉莉https://www.ithome.com.tw/news/163705
針對角川集團遭勒索軟體攻擊事故，傳出是駭客組織BlackSuit所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月上旬<a href="https://www.ithome.com.tw/news/163495">日本知名的影片共享平臺Niconico傳出服務異常</a>，隨後事態擴大，母公司角川集團發出聲明證實，不光是Niconico，角川網站及電商平臺Ebten都受到影響。該集團後來在14日證實遭遇勒索軟體攻擊，並透露資安事故發生的過程，事隔兩週，這起事故出現新的發展。</p> <p>6月22日角川發出聲明，<a href="https://tp.kadokawa.co.jp/.assets/240622_release_zA69Tsjh.pdf">表示</a>已有媒體報導透露攻擊者的身分，並認為這麼做將助長網路犯罪，甚至有可能會使犯罪者受益。對此，他們考慮循求法律途徑求償。</p> <p>究竟攻擊者的身分為何？根據本週資安新聞網站Bleeping Computer報導，<a href="https://www.bleepingcomputer.com/news/security/blacksuit-ransomware-gang-claims-attack-on-kadokawa-corporation/">勒索軟體駭客Black Suit聲稱是他們所為</a>，這些駭客宣稱約在一個月前開始存取該集團的網路環境，由於語言的差異，他們花費不少時間偵察、了解總公司與子公司的網路如何連結，理解該集團IT部門建置的混亂架構，並認為角川的網路架構配置不當，所有不同的網路與角川大型基礎架構連結，並透過虛擬化平臺VMware ESXi、vSphere建置的全球控制點進行管理。</p> <p>駭客宣稱在成功存取控制中心之後，他們就加密了整個網路環境，包含多玩國（Dwango）、Niconico、角川書店，以及其他子公司，都在他們加密檔案的範圍。</p> <p>另一方面，對方也表示從角川的網路環境竊取約1.5 TB的內部資料，這些包括合約、DocuSign文件、法律文件、各服務平臺使用者資料、員工個資、業務規畫、專案相關資料、財務資料，以及其他內部使用的機密資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/kadokawa-blacksuit.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/kadokawa-blacksuit.jpg" style="width: 580px;" /></a></p> <p>這些駭客要脅角川，若是不付錢，他們將在7月1日公布所有竊得的資料。</p> <p>而對於這起資安事故後續處理情形，<a href="https://tp.kadokawa.co.jp/.assets/240627_release_en_wD9vY5XU.pdf">角川在27日發出新的聲明</a>，表示他們正著手架構安全的網路及伺服器環境，會以業務考量為優先，復原會計相關的系統，預計在7月初會完成。該集團也透露，目前出版書籍的狀況有受到影響，雖然新出版的書籍仍能維持正常速度出貨，但部分出版品降為正常的三分之一，他們將尋求替代方式減少衝擊。</p> <p>至於是否有客戶資料外洩的情況，該公司表示尚在調查，但強調他們所有系統並未存放信用卡資料，這方面的資料不會因此事故曝光。</p> </div></div></div>
2024/6/28 14:26作者周峻佑https://www.ithome.com.tw/news/163704
零售IT雙周報第37期：Amazon如何用AI在物流中心攔截問題商品，提升顧客滿意度並降低物流和耗損成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="color: rgb(0, 0, 255);">重點新聞(0617~0629)</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺 #品質管理 #智慧物流 #生成式AI</span></span></strong><br /> <strong>Amazon如何用AI在物流中心挑出受損品及錯規格的商品</strong></p> <p>Amazon揭露<a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ai-sustainability-carbon-footprint-product-defects">自家如何在物流中心利用AI來挑出受損品及不符訂單規格的商品</a>。他們將此技術稱為Project P.I.。出貨前，商品會經過一個掃描器，Project P.I.會用電腦視覺技術抓出商品受損或不符合訂單規格的情況，如書本封面折到、衣服錯尺寸等，並標註出問題商品，供作業人員調查。</p> <p>不只如此，Project P.I.還搭載了多模態LLM技術，用來理解過往發生類似商品受損或規格錯誤的狀況，以強化判斷問題商品能力，甚至辨識出同類型商品出問題的常見模式。接著，Amazon可以就這些出問題的常見模式，跟供應商共同探討未來改善方法。</p> <p>Amazon表示，用Project P.I.提早辨識出有問題的商品，不僅能提升整體顧客滿意度，同時還能達到節省成本及環保效果。這些辨識出有問題的商品不一定要丟棄，還能放到Amazon自家二手市集販賣，或捐出，或將這些商品用於他處。反之，若沒有及時發現問題商品就出貨，顧客退貨時會消耗包裝及物流資源。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電子標籤 #OMO零售</span></span></strong><br /> <strong>Walmart將於2,300間門市大規模導入電子貨架標籤，能快速更新資訊還可支援補貨及揀貨等作業</strong></p> <p><a href="https://corporate.walmart.com/news/2024/06/06/new-tech-better-outcomes-digital-shelf-labels-are-a-win-for-customers-and-associates">Walmart宣布將於2026年前在2,300家門市內導入電子貨架標籤。</a>一間Walmart門市約有120,000類商品，也就是說至少會啟用2.7億個電子貨架標籤。Walmart表示，導入電子標籤不只能用於快速更新價格和優惠資訊，還將用於協助門市人員作業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/walmarttag.jpg" style="width: 600px;" /></p> <p>補貨時，門市人員可以遠端操控該貨架電子標籤示意燈，以利他們找到對應貨架。同理，在支援線上下單線下取貨（BOPIS）或從門市內貨架挑揀外送用商品時，也可以遙控對應貨架示意燈，來加速揀貨作業。這意味著，隨著OMO零售成熟，電子貨架標籤的效益不僅限於支援實體門市管理，還能進一步拓展到強化數位零售效率。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#OMO零售 #會員經營 #跨商家導流</span></span><br /> 全家會員App整合日本代購電商比比昂購物功能，還會根據全家自家會</strong><strong>員喜好來分眾推播商品</strong></p> <p>全家便利商店與日本代購電商比比昂合作，將後者電商功能整合到前者會員App中。消費者可以利用全家會員身分一鍵註冊比比昂會員，也能直接在全家App中瀏覽比比昂的商品。經實測，此功能操作介面與流暢度媲美原生功能，不會像開啟App內建瀏覽器連接到外部網站一樣卡頓。此電商功能還會依照全家會員個人喜好數據，對會員進行分眾行銷，呈現不同商品於主頁。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fmmbba.jpg" style="height: 450px;" /></p> <p>以線下零售為主的全家將外部電商整合到自家會員App，不僅能增加一個消費者打開App等數位通路的誘因，還能進一步蒐集會緣於外部通路的消費喜好數據。對合作電商來說，則是新增了一個獲客管道，還能利用全家會員數據來對潛在客戶進行分眾行銷。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AMR #自動化物流</span></span></strong><br /> <strong>網家A7物流中心開始導入上百臺AMR，提升3倍揀貨效率</strong></p> <p>網家於林口A7物流中心的3層樓中導入了上百臺智慧物流機器人（AMR），用來揀貨到工作站，節省作業人員親自揀貨的勞務。PChome表示，導入這些機器人後，揀貨模式從以人就物，改為以物就人，作業員步行距離縮短了一半，揀貨效率也提升了3倍。</p> <p>此機器人另一個好處是不需要環境照明即可揀貨，因此能節省貨架區照明成本。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #圖片背景生成</span></span></strong><br /> <strong>eBay推出用生成式AI製作商品圖片背景的功能</strong></p> <p>C2C電商巨頭eBay持續發展對圖像類AI相關應用，<a href="https://innovation.ebayinc.com/tech/features/background-swap-tool-turns-any-photo-into-a-studio-quality-product-image/">近期推出可以輕鬆替換商品圖片背景的功能</a>。過往，eBay已經有圖片去背功能，現在則能進一步生成出多種背景圖樣，來替換原本背景。若商家對AI生成的背景圖不滿意，還能簡單的編輯圖片，或是重新生成更多不同樣式。此功能目前只在iOS商家App上線，未來數月會上線到Android版App。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ebaygai.jpg" style="width: 700px;" /></p> <p>雖然這類生成式AI技術已經不算新穎，不過eBay自己推出此功能，有望降低更多中小型商家利用生成式AI來提升賣場圖片素材品質的門檻。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #聊天機器人 #線上訂位</span></span><br /> 台灣大哥大與Line、inline聯手，瞄準餐飲業者推出AI語音訂位服務</strong></p> <p>台灣大哥大與Line、碩網資訊、inline合作，共同推出AI語音預約訂位服務。消費者可透過播打電話或Line電話來訂位，以及查詢、修改及取消訂位。此服務背後技術是台灣大哥大的行動市話服務、碩網資訊的語意辨識及語音合成技術、Line的Clova聊天機器人，以及inline的線上訂位服務。</p> <p>除此之外，消費者若在訂位時，附帶提問用餐相關問題，例如店家周邊停車資訊、用餐時間限制、兒童用餐、座位等用餐環境相關問題，會由ChatGPT 3.5判斷應答。（<a href="https://www.ithome.com.tw/news/163200">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. <a href="https://www.prnewswire.com/news-releases/toysrus-studios-and-native-foreign-use-openais-sora-to-narrate-the-origin-story-of-beloved-toyrus-brand-302180332.html">玩具反斗城成為第一個用文字轉影音的生成式AI Sora打造行銷用影片的零售商</a></p> <p>2. Costco也要開始做RMN，將1.3億會員數據用於數位行銷</p> <p>3. 韓國公正交易委員會以操控演算法來增加自有品牌出現頻率為由，對酷澎祭出等同新臺幣33億元罰款</p> <p>4. <a href="https://www.prnewswire.com/news-releases/albertsons-media-collective-partners-with-rokt-to-extend-its-retail-media-ecosystem-adds-non-endemic-ads-across-its-portfolio-of-brands-302167123.html">北美第二大連鎖超市Albertsons開放非供應商在旗下RMN投廣</a></p> <p>資料來源：iThome整理，2023年6月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Amazon、Walmart、eBay</p> <p></p> </div></div></div>
2024/6/28 13:20作者郭又華https://www.ithome.com.tw/news/163699
防堵濫用AI模型行為，OpenAI將封鎖不支援地區的API流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI採取更積極措施，防堵中國、伊朗及俄羅斯等國用戶存取其AI模型。中國業者已經摩拳擦掌準備搶占OpenAI留下的市場空缺。</p> <p>今年5月OpenAI基於<a href="https://www.ithome.com.tw/news/163297" target="_blank">偵測到</a>數個區域人士濫用其AI模型產出及發布文章，企圖影響戰爭、政治或引發種族、宗教不安，對中國、俄羅斯、伊朗採取措施，<a href="https://openai.com/index/disrupting-deceptive-uses-of-AI-by-covert-influence-operations/" target="_blank">封鎖</a>這些地區的人士或App存取OpenAI網站或API。</p> <p>本周OpenAI電子郵件<a href="https://community.openai.com/t/identifying-api-keys-with-traffic-from-unsupported-regions/837837" target="_blank">通知一名開發商</a>，因偵測到其API使用包含「不支援」地區的流量。OpenAI指出該公司將從7月9日起，採取進一步措施封鎖不支援國家地區的API流量。這封訊息暗示，若屆時還有類似情形，可能會被封鎖存取OpenAI的API。</p> <p class="rtecenter"><a href="http://community.openai.com/t/identifying-api-keys-with-traffic-from-unsupported-regions/837837" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0628-open%20ai-api-block-600.png" style="width: 600px;" /></a></p> <p>媒體也<a href="https://www.dailysabah.com/business/tech/chinese-ai-firms-court-openai-users-as-it-plans-api-restrictions" target="_blank">報導</a>，中國用戶已接獲OpenAI郵件訊息，警告他們位處該公司現階段不支援的地區，告知7月初會有進一步封鎖來自這些地區的API流量。</p> <p>OpenAI此舉形同暫時撤出中國市場，可能重演2010年Google退出中國市場後，給了俄羅斯Yandex及百度坐大的歷史。</p> <p>百度本周<a href="https://mp.weixin.qq.com/s/rznAUNO8uazBWjhNc9VSzQ" target="_blank">宣布</a>用戶移轉方案，招來中國用戶轉到其AI平臺智能雲千帆。該公司提供首次使用主力模型及輕量模型5,000萬token免費，針對OpenAI移轉用戶則提供號稱同等級的ERNIE 3.5 token套裝方案。此外模型訓練、微調、SDK搬移工具及搬移服務也都免費。</p> <p>根據時代雜誌<a href="https://time.com/6992026/openai-china-ai/" target="_blank">報導</a>，阿里巴巴／騰訊支持的<a href="https://mp.weixin.qq.com/s/PcwstlCtZVL4LJY37bfX_g" target="_blank">百川智能</a>、商湯科技<a href="https://mp.weixin.qq.com/s/nDJF5JG5OtVeHTQfKY5N7A" target="_blank">「日日新」</a>、<a href="https://open.bigmodel.cn/" target="_blank">智譜</a>皆祭出零元移轉的方案，連微軟也和當地業者合作類似方案，向OpenAI用戶招手。</p> </div></div></div>
2024/6/28 12:01作者林妍溱https://www.ithome.com.tw/news/163698
蘋果開放產品維修使用第三方顯示器與電池、開放歐洲用戶自行維修
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2024/06/apple-expands-self-service-repair-diagnostics-support-to-europe/" target="_blank">蘋果昨（27）日宣布</a>，將允許iPhone維修顯示器和電池使用第三方零件，而不影響功能。蘋果同時宣布自助維修支援軟體擴大部署到歐洲32國，允許這些國家的消費者能DIY維修。</p> <p>蘋果過去為人詬病的一點是，不允許用戶找非授權經銷商或使用非蘋果零件維修iPhone或Mac電腦等產品。消費者iPhone若使用第三方零件，不僅保固會失效，也會導致特定功能失去作用。例如換了非原廠顯示器後，iOS/Mac的原彩（True Tone）功能會無法使用，這功能可偵測外在環境光線強弱而自動調整手機內容的顏色和亮度。此外，若iPhone更換了非原廠電池，在電池狀態（battery health）檢視功能也將無法顯示特定量測值，像是最大電量及充電次數等。</p> <p><a href="https://support.apple.com/content/dam/edam/applecare/images/en_US/otherassets/programs/Longevity_by_Design.pdf" target="_blank">蘋果最新文件說明</a>，今年下半，為提供第三方零件更好的支援，蘋果將允許其產品使用第三方顯示器和電池時，原彩和電池狀態資訊二項功能將可正常作用。在前者，若消費者更換非蘋果顯示器不滿意，可以透過「設定」App來關閉原彩功能。針對電池狀態資訊，蘋果會顯示第三方電池量測值，同時顯示蘋果無法驗證本資訊的警告通知。蘋果鼓勵所有使用非原廠電池的消費者應確定產品滿足嚴格的安全要求。</p> <p>此外，<a href="https://www.apple.com/newsroom/2024/06/apple-expands-self-service-repair-diagnostics-support-to-europe/" target="_blank">蘋果並在本周宣布</a>，蘋果自助服務維修診斷（Apple Diagnostics for Self Service Repair，簡稱診斷）軟體將開放歐洲32國，包括英、德、法、荷等國用戶下載。這個軟體是去年6月首先在美國提供，允許消費者享有和蘋果授權經銷維修商及獨立維修業者同等測試零件功能及效能的權利，以找出需要維修的部分。現在連同美國，該診斷軟體共支援33國及24種語言地區。這個診斷軟體明年將再擴大到加拿大。</p> <p>除了擴大到更多國家，蘋果本周也擴大可適用自助維修的蘋果產品。去年6月一開始這方案僅允許13吋M2 MacBook Air及MacBook Pro，<a href="https://www.theverge.com/2023/12/13/23999669/apple-self-service-repair-diagnostics-m2-macbook-iphone-15" target="_blank">去年12月</a>擴大到iPhone 15、更多M2-based電腦及Mac Studio。最新宣布下，支援產品進一步增加搭載M3晶片的MacBook Air，共支援42項蘋果產品。</p> </div></div></div>
2024/6/28 10:55作者林妍溱https://www.ithome.com.tw/news/163697
【iThome 2024 CIO大調查系列2｜CIO觀點】旅宿業大缺工怎麼解，大倉久和用生成式AI留住潛在商機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「電話一直響，沒有人來接，潛在房客就這樣流失了。」大倉久和飯店資訊部經理林峻正形容旅宿業者缺工時會發生的情境。</p> <p>「如果AI能接起電話回應，甚至滿房時，推薦其他有空房的時間，就能保留住這些商機。」林峻正認為，這正是服務業重啟數位轉型的一大推力──用科技彌補缺工帶來的潛在損失。</p> <p>許多旅宿業者數位轉型腳步較為緩慢，在這波大缺工潮中，才終於開始思考如何用IT來增加效率、降低成本，以因應缺工窘境。開始有更多企業主意識到，利用IT取代人力，更符合長期經濟效益。</p> <p>林峻正坦言：「一個員工一年人事薪水要四十萬，但一個自動化機器人可能只要幾千塊，不用教育訓練，還可以24小時工作。」</p> <p>林峻正說明，旅宿業者會先拆分內外勤不同職位的工作內容，盤點出高重複性、低難度的項目，再用不同技術來打造出自動化機制，紓緩缺工壓力。常見的工作項目包括線上客服、語音客服、客房服務、系統表單填寫、工作流程管理、教育訓練等。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>利用生成式AI及RPA機器人來取代高重複性、低難度勞務</strong></span></span></p> <p>在飯店業所用的工作自動化技術中，生成式AI是非常重要的一類技術。林峻正認為，疫情爆發以來，不同服務業先後開始投資數據類科技，但市場上沒有出現特別新的數據類產品，許多企業不會再加碼更多預算來投資大數據，也無法將數據科技應用到更多場景。直到2023年，生成式AI浪潮席捲全球，許多導入門檻低、應用方法簡單的工具陸續問世，使許多企業趨之若鶩。</p> <p>以旅宿業來說，要導入CDP等較進階的數據科技產品，不只需要先花費許多功夫在數據清洗和整合等準備作業上，就算成功導入，效益也未必能馬上反應於在營收上。反觀生成式AI類產品中，有許多可以直接應用在服務端，例如客服、資料整理、簡單的問答機器人等，能有效輔助甚至取代人工勞務，成效立竿見影，因而特別受到旅宿業青睞。</p> <p>大倉久和現在就有打算利用市面上專門打造給旅宿業用的GPT類工具，來打造智慧客服及內部知識管理用的問答機器人，用生成式AI輔助基礎但重要的業務流程。林峻正也列舉了其他旅宿業常見的生成式AI應用方法，包括教育訓練、會議紀錄及工作項目追蹤等。</p> <p>RPA機器人也是一項重要的勞力缺口彌補工具。林峻正說明，旅宿業內部有許多工作流程有待自動化。例如，過往旅宿業許多系統之間的數據拋轉作業都仰賴人工作業。這包含將外部OTA（Online Travel Agency，線上旅行社）訂房資訊輸入到自家訂房系統，或是從從餐廳訂位系統抄寫數據到會員系統等。除了系統間數據拋轉，飯店業還有大量紙本資訊需要人為輸入，例如信用卡授權書、訂房確認書等紙本文件。</p> <p>旅宿業人力尚足時，一直沒有數位化這些作業的強烈誘因。如今，旅宿業面臨人手嚴重不足，IT部門便需要整合系統和打造RPA機器人，協助各部門快速完成這些作業，釋放出更多人力。林峻正補充，系統整合同時能進一步提升旅宿業者IT體質，使IT能不只能加速既有業務流程，更能打造更多新應用來進一步加速企業營運效率。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>ESG是推動數位轉型的另一大因素</strong></span></span></p> <p>不過，大缺工不是唯一一個驅使旅宿業者數位轉型的外部因素。</p> <p>林峻正說，政府及民間都積極推動ESG，是旅宿業者數位轉型另一大動力。大倉久和也將數位轉型目標對齊ESG指標，來決定優先實施的做法。</p> <p>其中一項基本但重要的措施是無紙化作業，作為許多數位轉型措施的先置作業，更作為ESG一環，許多仍有大量紙本作業的旅宿業者，終於趁著這個時機，開始將紙本文件掃描為數位文件，並導入數位簽核系統，數位化原本的紙本作業流程。</p> <p>另一項重要轉型項目是用電量監控。以大倉久和為例，他們計畫打造儀表板來監控用電量，甚至要利用AIoT技術，來自動化調節設備用電。</p> <p>林峻正還以自家做法為例，說明旅宿業其他受到大環境影響而不得不推動的數位轉型項目。例如，因應法規做資安轉型，提交個人資料安全維護計畫，以及，因應疫後消費習慣，翻新數位通路的介面和底層顧客數據分析技術等。</p> </div></div></div>
2024/6/28 09:17作者郭又華https://www.ithome.com.tw/news/163655
【iThome 2024 CIO大調查系列2｜CIO觀點】進軍數位通路更擁抱生成式AI，全國電子靠數位轉型開源節流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全國電子近一兩年的數位做法，是圍繞著人力資源限制及消費者習慣來進行。一方面，服務業人力資源難以補充，他們有意靠IT來取代人工作業，提升生產力。另一方面，則是要迎頭趕上疫後以來的OMO零售及個人化服務趨勢。</p> <p>他們今年大舉進軍數位通路，打造行動電商App和行動支付功能，更建立了號稱元宇宙商店的虛擬3D門市，用不同數位形式，來呈現自家商品及購物體驗。配合進軍數位通路策略，他們還發展數位會員管理系統，用來追蹤顧客數位足跡，以支援全國電子分析顧客喜好後，對顧客進行個人化行銷。</p> <p>他們還積極擁抱去年爆紅的生成式AI技術，逐步應用在更多業務流程中。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>3階段發展生成式AI，謹慎驗證AI產出內容精準度</strong></span></span></p> <p>為了擁抱生成式AI來強化營運效率，全國電子從去年開始，陸續整合、清洗不同系統的數據，來發展家電領域的專屬AI模型。全國電子資訊管理處協理黃漢傑表示，他們依照應用難度低至高，分3階段來發展生成式AI應用。</p> <p>第一階段最簡單，是利用生成式AI來生成行銷素材。配合全國電子大舉發展數位通路的策略，他們希望能提供個人化體驗，依照顧客喜好呈現出對應素材。為此，他們利用生成式AI來快速、大量產生多樣化圖文素材。這個應用的導入門檻相對低，幾乎不需要運用到全國電子內部的營運或家電領域數據，行銷人員就可以直接開始使用。</p> <p>全國電子目前所處的第二階段是，利用生成式AI工具來快速理解、整理內部資訊。這包括內部不同IT系統的操作方法，以及各式各樣家電的規格及操作方法等數據。他們先用些整理完的數據，來打造內部知識管理用的問答工具，供內部人員快速查詢業務所需資訊。這些數據還要用來支援下一個生成式AI應用發展階段，也就是用這些數據來打造更多、更完善的應用。</p> <p>相較於第二階段只是對內用問答工具，全國電子應用生成式AI的第三階段是打造完整內部客服與外部客服，可以用自然語言進行流暢溝通。對內，可以用於員工訓練或查詢各式知識；對外，則可以對顧客提供電器需求規劃、產品諮詢等客戶服務。黃漢傑說，之所以還沒有走到這階段，是因為全國電子希望先確保AI回答問題的準確性，再正式將生成式AI應用於對外客服。</p> <p>他進一步說明，隨著各種生成式AI工具問世，企業應用AI技術的門檻大幅降低。不過，企業難以控制生成式AI產出內容，屬於易學難精的一種技術，因此全國電子在應用時，態度非常謹慎。他們打算先用真人驗證自家AI能穩定產出高品質答案，同時，評估是否能應用其他技術，來驗證或強化生成式AI產出內容品質。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位轉型重視長期開源節流</strong></span></span></p> <p>今年CIO大調查中，服務業IT部門在採用GAI技術時，較其他產業都更重視商業面目的，例如降低成本、增加營收等。黃漢傑評論，全國電子IT部門也十分重視整體企業商業面目標，而非只是被動滿足其他部門IT需求。甚至，他們不只重視短期營收效益，更重視長期的開源節流。</p> <p>他說，有些企業投資數據建設一段時間，卻看不見效益反映於營收上，因而感到卻步。不過，數據科技在前置作業階段的效益，例如數據清洗、整合，都是反映在企業IT體質上，而非營收。要放眼長期，才能看見數據科技帶來的商業面好處。</p> <p>以全國電子為例，過往需要靠店員及總部人員統整顧客喜好數據，但有了會員管理系統等數據建設，這些人力便能轉而投入其他事務，這是節流。數據科技還可以明確追蹤消費者足跡，容易量化出營收效益，例如行銷轉換率、沉睡顧客喚醒等，是開源。這些都是經歷了數據科技導入的前置作業之後，會逐漸浮現出來的商業面效益。他說，數據就是每個企業的金庫，可以從中找出獲利的機會，或是改善營運績效的方式。「只不過，要先妥善整合好數據，才能有效發揮價值。」</p> </div></div></div>
2024/6/28 09:18作者郭又華https://www.ithome.com.tw/news/163668
【iThome 2024 CIO大調查系列2｜CIO觀點】推動零信任架構加速資安轉型，臺北市府今年內釋出AI使用規範
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「至少在我任期內，臺北市政府正轉型朝向實踐零信任的政府機關」，臺北市政府資訊局長趙式隆一語道出，臺北市正推動資安轉型。</p> <p>趙式隆以零信任作為分水嶺，他將零信任之前視為舊資安，而在零信任之後則是新資安，過去北市在舊資安已打下良好基礎，然而面對層出不窮的風險，臺北市為強化資安，近幾年積極推動資安轉型至新資安。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>配合中央推動零信任架構</strong></span></span></p> <p>臺北市一方面規畫配合中央政府的政策推動零信任架構，另方面也與時俱進，與外部業者合作，汲取國外的新觀念及作法，例如臺北市與Cisco在資安方面簽署合作備忘錄，將國外的觀念作法引進國內，針對國內的環境、法規架構，先進行POC測試，評估是否適合引進國內，作為後續擴大投資參考。</p> <p>由於臺北市推動資訊向上集中，因此資訊局統籌規畫導入零信任，擴大投資分階段導入零信任機制，先從各局處的共同系統著手，資訊局推動零信任架構，除了軟硬體採購，也為各局處教育訓練，各局處配合市府技術發展進程。目前臺北市政府已向中央政府爭取經費補助，未來如果獲得補助，配合中央政府推動零信任架構政策。</p> <p>除了依照政府零信任架構的推動策略，市政府也思考在身分識別，將近期三讀通過的電子簽章法納入通盤考量。由於電子簽章法規定政府機關公告排除適用電子簽章，將在一年後終止，市政府計畫先在內部先推廣運用電子簽章，未來內部推動如果成效良好，再進一步推向市府便民服務。</p> <p>趙式隆表示，現在市府內部約有9成以上公文已數位化，但涉及採購的密件公文礙於法規，仍使用紙本公文、手工蓋章，難以做到公文全數位化，電子簽章法的通過，有機會讓臺北市實現電子化公文最後一哩。「電子簽章法三讀通過，代表數位化的身分驗證，從真實世界到虛擬世界，兩個世界的整合是大家期待的普世價值，政府可以率先完成這件事」，他說。</p> <p>不論是零信任架構的身分鑑別，或是電子簽章法的數位身分，趙式隆認為兩者都是處理身分的驗證（Authentication），電子簽章法的通過，等於提供新的身分驗證選擇（Option），相當於放寬身分驗證方式，但是，隨放寬而來的風險也需要一併考量，目前國內政府機關還沒有這樣的嘗試，市府希望率先嘗試，未來將實務推動經驗提供外界參考。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>以5年10億元經費補助各局處發展人工智慧應用</strong></span></span></p> <p>除了資通安全轉型，臺北市也積極發展人工智慧應用。過去資訊局統籌分配臺北市政府資訊預算，但往往僅能提供各局處申請維護既有資訊系統費用，難以支持各局處發展創新應用，因此臺北市啟動新的作法，從明年開始以5年10億元預算，即1年2億元的預算，推動競爭型科專計畫，響應市長發展人工智慧的願景，各局處需提出AI相關計畫，由資訊局邀請外部委員，從技術、法規、倫理、採購各方面進行審議。</p> <p>趙式隆表示，臺北市希望透過獨立預算，由熟悉不同業務的各局處提出相關計畫，擴大投資AI，使其在臺北市遍地開花。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>制定市府AI管理規範</strong></span></span></p> <p>至於ChatGPT帶動的生成式AI，臺北市政府以慎重方式使用生成式AI，市政府規畫包括生成式AI在內制定一套完整規範，資訊局參考歐盟最新法規，目前已研擬草案提供給各局處以蒐集意見，後續將召開專家委員會，聽取專家的意見，預計今年內就會正式公布。</p> <p>儘管正式規範尚未推出，臺北市並沒有禁止使用生成式AI，趙式隆提出大原則是機敏性資料，由各局處自行判斷是否運用機敏性資料，並且負起責任，如果沒有涉及隱私或侵權則可使用生成式AI，北市教育局開放學校老師使用生成式AI產生考題。</p> <p>考慮到使用生成式AI公共服務如ChatGPT有一定的風險，臺北市政府要求提供AI學習的資料必需為開放資料，例如臺北市資料大平臺的資料，或是市府各機關網站的公開資訊。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>生成式AI應用涉及機敏性資料必需落地</strong></span></span></p> <p>至於機敏性資料使用生成式AI，則必需在具有主權算力環境下，使用具有較高控制權的大型語言模型。「在機敏性資料使用生成式AI來提高工作效率、提升服務品質，特別具有價值，這是不可避免的，因此軟硬體都需要較高的主導權」，趙式隆說。</p> <p>臺北市政府規畫建置主權算力，目前評估幾個可能的作法，包括建置共通機房，採購機器設備，建立完全自有的算力，另一個則是，向資料中心業者購買專屬的算力，運算資源與其他使用者為實體獨立。臺北市政府資訊局未來希望爭取預算，投入建置主權算力，並且能夠落地的大型語言模型為主，例如國科會力推的TAIDE，臺北市政府與TAIDE研發團隊合作，市府也與獨立發展繁體中文大型語言模型的聯發科合作，還有其他的開源LLM。</p> <p>趙式隆表示，不同的大型語言模型各自有不同的專精領域，未來可以交互使用，但涉及到機敏資料，必需要能落實在臺北市具有控制權的主權算力環境。</p> <p>北市已小規模測試生成式AI在公務的應用，包括輔助新手公務員生成公文草稿，還有針對話務量相當高的1999專線，民眾經常撥打1999陳情、詢問事項，以生成式AI技術開發互動式知識管理，協助客服快速取得相關資訊，再由客服調整回覆資訊給民眾。另外，還有協助機關回覆議員索取資料等等。</p> <p>趙式隆表示，不論是公文內部使用或對外服務民眾、議員索資，不會直接以生成式AI產出內容提供給議員、民眾，需要搭配人力配套執行，短時間內不會很快推出，明年上半年可能有機會。除了這些應用，資訊局目前也測試將市府網站上公告的文件資料，這些文件內容可能篇幅較長，為方便民眾快速掌握文件內容，市府正測試運用生成式AI產生文件摘要的功能。</p> </div></div></div>
2024/6/28 09:18作者蘇文彬https://www.ithome.com.tw/news/163669
【iThome 2024 CIO大調查系列2｜服務業IT趨勢1】從省科技錢到用科技省錢，服務業數位轉型力道重啟
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-feng_mian_-fu_wu_ye_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年，各產業IT預算加碼幅度大多回升，平均成長率為10%。去年不景氣仍守住2位數大關的服務業，今年也持續提升IT預算，幅度為11.7%。細看服務業IT預算各項目，讓人眼睛一亮的是數位轉型預算成長率從去年7.8%增加到13.1%。服務業不僅加碼數位轉型力道更強，更是各產業中唯一一個預算成長率為正的產業。</p> <p>這股數位轉型動能從哪來？首先是疫後OMO熱潮，至今不但沒有消退，更是深化、廣化。已經經營線上線下通路的服務業，開始進一步打通通路間數據流、增加數據分析及應用方法、甚至用來開發新業務。同時，仍有一些服務業者，直到最近才開始正式進軍數位通路，或大幅翻新舊有數位通路。</p> <p>不只如此，相較於去年，許多企業因為經濟不景氣而省IT錢，今年企業則開始用IT來省錢，用科技增加生產力，甚至取代人力。</p> <p>促使服務業者這麼做的一大理由是，已經持續數年的缺工問題。要維持企業正常營運，不因人手不足而流失更多商機，服務業者必須重新審視既有工作分配方式，由科技代勞高重複性、低難度的作業，將人力用在刀口上。</p> <p>另一個原因則是，2023年起，市面上出現了一類低導入門檻、高即用性的好用工具──生成式AI類工具。可以生成圖片和文字的生成式AI類工具，對服務業可說是再適合不過。對外客服、接待、點餐、行銷，對內知識整理、文件梳理、創意提案，都是可以用生成式AI來輔助，甚至完全取代的應用場景。這些都有助於減緩缺工壓力。再來，許多套裝生成式AI工具還不需要與導入企業的系統密切整合，只需要簡單設定和操作知識就能用，導入門檻低又能快速見效。</p> <p>積極擁抱生成式AI工具，也使服務業投資大數據的預算有著驚人成長率，從去年預算減少2.2%，變成今年增加17.3%，成長幅度近2成。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>最擁抱公雲的產業，一半企業將上雲作為因應ESG策略</strong></span></span></p> <p>服務業仍然是最積極擁抱雲端科技的產業。服務業企業雲原生應用比例及企業應用上公雲比例在各產業中都最高，且兩指標從2023年到2024年底的預估成長率也是各產業最高，前者預計成長5.7%到35.6%，後者則是成長6.5%到31.7%。</p> <p>不只採用比例最高，服務業擁抱雲端科技的力道也最大，雲原生比例超過50%的企業比例和AP上公雲超過50%的企業比例，都遠高於其他產業。採用FinOps（雲端維運成本管理）、多雲混合雲，以及將上雲作為因應ESG策略的企業比例，服務業都穩居全產業之首。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD1-600-4-PNG.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:20作者郭又華https://www.ithome.com.tw/article/163680
【iThome 2024 CIO大調查系列2｜服務業IT趨勢2】服務業最積極擁抱GAI應用，聚焦可量化商業面成果
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-feng_mian_-fu_wu_ye_2-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2023年，生成式AI應用遍地開花，服務業是最積極摘下這些花朵的產業。</p> <p>面對生成式AI浪潮，服務業比其他產業都更鼓勵員工使用GAI（如ChatGPT），從個人層級擁抱這些應用。從組織層級，他們也更積極使用GAI來提高人員生產力。一年來，高達15%服務業者已經走到正式上線生成式AI應用階段，甚至是進一步深化應用範圍。這個比例較整體產業高出一倍，凸顯出服務業採用此新興技術的步伐快速。</p> <p>雖然服務業最積極採用GAI工具，但資安方面更著重強化員工GAI（如ChatGPT）資安意識，較少服務業者特別強化機敏資料保護機制。一個原因是，服務業許多生成式AI應用場景，不需要使用到機敏資料，例如行銷素材生成。</p> <p>另一個原因來自於服務業者導入GAI應用的模式。許多服務業偏好採用低導入門檻、開箱即用的生成式AI工具，或者是直接使用ChatGPT，共通點是，都不需要跟其他系統高度整合，因此資安疑慮較少。正是這種先採用簡單的工具、「先用再說」的態度，使服務業GAI導入進程領跑其他產業。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GAI是靠IT節省成本的重要解決方案</strong></span></span></p> <p>服務業者採用GAI時，非常注重商業面成果。相比於「累積AI經驗與實力」這種難量化成果的目標，服務業者導入GAI時更注重直接的商業面成果。舉例來說，降低成本、改良既有產品或服務、設計新產品或服務、擴大營收、獲取更多新顧客、開拓新事業等，都是服務業資訊主管導入GAI應用時，較其他產業更重視的目標。</p> <p>服務業如此聚焦於商業面成果，一大原因是因為總體經濟環境和大缺工窘境，迫使他們利用科技來降低成本及人力需求。生成式AI應用，就是IT部門用來省錢的一種重要做法。</p> <p>許多生成式AI工具導入技術門檻低、使用成本低、操作容易，且容易立即看到成效。這些特質，使服務業IT願意積極嘗試用生成式AI工具，來取代部分高重複性、低難度勞務，進而省錢、省人力。要達成這些目的，IT部門也面臨新課題，必須理解不同部門業務流程，拆解出真正可用GAI取代的環節。同時，還需確保生成式AI工具產出內容的精確度。</p> <p>進入實戰的服務業者們，將GAI用在哪些場景？IT技術性工作方面，服務業與其他產業聚焦的用途大致相同，不外乎撰寫文件、學習新技能、撰寫與優化程式碼，以及解答技術問題。IT部門以外，常見用途則包括專門領域的知識管理、打造文書類RPA流程、產出行銷素材、智慧客服、接待、點餐、創意提案等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-4-PNG.png" style="text-align: center; width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-1-PNG(1).png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-2-P%EF%BC%AE%EF%BC%A7.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%9C%8D%E5%8B%99%E6%A5%AD2-600-3-PNG(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:22作者郭又華https://www.ithome.com.tw/article/163683
【iThome 2024 CIO大調查系列2｜政府學校IT趨勢1】兼顧資安轉型與數位韌性，AI成為創新應用及分析決策利器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-feng_mian_-zheng_fu_xue_xiao_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ithome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">今年政府及學校的IT預算為2.11億元，較去年成長5.8%，雖然不及去年疫情後的IT預算成長幅度新高的8.9%，但顯示政府及學校IT預算逐漸恢復穩步成長。</p> <p dir="ltr">近幾年在資安即國安的政策下，強化資安一直是最多CIO的目標，今年雖然仍是最多CIO的目標，但是比例從2023年87.8%下滑到2024年的78%。這不代表資安不再受到重視，相反地，因應遠距上班、上雲等彈性的工作型態、外部資源彈性運用，資安風險隨之增加，加上兩岸情勢更為緊張，CIO投注更多心力在其他方面，例如推動資安轉型、數位韌性。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>7成CIO將資安轉型、強化數位韌性列為年度目標</strong></span></span></p> <p dir="ltr">其中推動資安轉型，面對資訊安全的風險增加，政府學校從過去被動建置防火牆、找漏洞、更新，化被動為主動，部署主動防禦，或是強調永不信任、都要驗證的零信任機制，零信任機制也是目前政府積極推動的資安防禦政策。去年的調查中，資安轉型排名為第8名，約4成的政府及學校CIO列為目標，今年調查則一舉提高到70.7%。</p> <p dir="ltr">而隨著全球極端氣候，以及兩岸情勢緊張，天災人禍可能無預警發生，措手不及之下可能導致網路通訊中斷、政府服務受阻，因此近幾年政府力推數位韌性，去年5成8的CIO將強化數位韌性列為目標，今年提高到70.7%。</p> <p dir="ltr">值得注意的是，隨著AI成為提升內部營運效率、對外服務的新技術，AI創新應用與服務已逐漸成為各產業轉型發展的趨勢，政府及學校也不例外，去年只有約26.8%的CIO將AI創新應用與服務列為目標，並未進入前十大目標，但是今年調查發現該比例增加至56.1%，為政府學校CIO年度十大目標的第4名。</p> <p dir="ltr">政府學校也積極推動以數據分析為基礎的決策，由於面臨的龐大數據，因此運用AI進行數據分析輔助決策也成為政府學校的目標，去年約2成的CIO將AI強化分析與決策列為目標，今年比例提高到近4成。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位轉型與資安仍是投資兩大重點，雲端投資增加</strong></span></span></p> <p dir="ltr">在8大領域IT投資方面，數位轉型、資訊安全仍是政府及學校的投資第一、二名，投資占IT預算的比重，分別為13.4%、11.8%。這兩年雲端投資顯著成長，雲端投資從去年1,544萬元成長到今年的2,070萬元，占IT預算比重將近1成，預算僅次於數位轉型、資安，雲端的投資金額，可能與政府近幾年放寬限制，推動政府對民服務上雲，以及因應天災人禍導致國內大規模災害發生，健保、交通、戶政、財稅等18項民生關鍵系統上雲有關，需投入更多的預算在相關上雲準備工作上。</p> <p dir="ltr">從調查來看政府學校IT的雲化發展，對雲的投資也反映在政府學校應用上公雲的比例，從2023年底的19.54%，預期到2024年上升到23.33%。不過，雲原生應用比例則從32.96%，略微下降至29.37%。</p> <p dir="ltr">至於其他重點IT投資占比皆不到5%，雖然占比並不高，但是投資金額成長幅度卻有明顯變化，例如今年對邊緣運算IoT的投資金額成長138.9%達到442萬元，對AI機器學習投資金額成長64.7%至359萬元。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A11-600-4-PNG.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:25作者蘇文彬https://www.ithome.com.tw/article/163632
【iThome 2024 CIO大調查系列2｜政府學校IT趨勢2】超過4成政府學校CIO今年將採用ChatGPT類應用
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188zheng_fu_xue_xiao_2-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">ChatGPT在全球帶動生成式AI、LLM快速發展，並逐漸受到政府及企業的重視，AI成為新一波數位轉型發展的焦點。行政院去年通過所屬機關使用生成式AI參考指引，為公務機關使用GAI揭示參考性的原則，今年新政府開始執政，宣示推動公務機關運用AI創新應用服務、提高行政效率，AI成為政府轉型的下一步。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>逾4成3今年將採用ChatGPT類應用</strong></span></span></p> <p dir="ltr">根據調查，在眾多技術中，RPA流程自動化頗受青睞，特別在金融業，高達6成採用RPA，在一般製造、高科技製造、服務業也是有一定的比例採用，但是ChatGPT類應用從去年開始逐漸受到重視，各產業整體採用的比例為27.7%。</p> <p dir="ltr">今年ChatGPT類應用各產業整體採用比例上升到41.2%，如果單看政府學校，ChatGPT類應用採用比例為43.9%，位居第1名，為最多政府學校CIO採用的技術，其次是微服務架構，GAI技術、多雲混合雲、AI/ML應用以相同比例居第3、4、5名，顯示政府學校採用最多前5名技術，與AI相關就有占了3項。</p> <p dir="ltr">至於第6到10名技術以現代化IT技術為主，讓政府學校IT體質彈性運用資源，並且標準化、更安全、加快開發步調，例如Kubernetes、Open API、FIDO無密碼身分識別、敏捷開發等等。</p> <p dir="ltr"><span style="color:#3399ff;"><span style="font-size:28px;"><strong>先確保資料安全、員工意識再評估如何運用GAI</strong></span></span></p> <p dir="ltr">相較於其他產業，政府公務機關受外界監督，因此對GAI的採用多抱持謹慎的態度，從政府學校因應GAI採用的前十大對策中，可看到6成CIO加強員工的資安意識，4成3加強機敏資料保護，顯示先強化員工素養、資料保護的前提下，再評估如何運用GAI，如透過種子團隊先以小規模嘗試GAI，或是內部系統嘗試串接GAI，外部服務嘗試串接GAI等。</p> <p dir="ltr">值得注意的是，在政府學校對GAI的對策中，在內網限制禁用ChatGPT的比例為7.3%，該比例較去年的調查些微提升；另外，相較於公共服務模式的ChatGPT，政府學校基於機敏資料保護，發展企業用GPTs應用的比例為7.3%，而使用開源LLM自行訓練的也有9.8%。</p> <p dir="ltr">身為機關、組織整體資訊政策規畫者，12.3%調整現有AI發展策略，在我們與部分的CIO的採訪中，雖然行政院已提出生成式AI參考指引，但有機關規畫內部的AI管理規範，依照不同的業務情境，來進一步控管各部門運用GAI。</p> <p dir="ltr">今年CIO大調查顯示，鼓勵創新、提高員工生產力是政府學校採用GAI的主要考量，在缺乏人力的情況下，讓人力得以投入更有價值的工作上，並且導入GAI以符合政府學校的數位轉型需求。</p> <p dir="ltr">調查顯示，目前政府學校運用GAI，約3成4用於撰寫文件，將近3成用於學習新技能，2成4則是用於程式碼撰寫，也有一部分運用在大量數據的分析應用，例如資料分析、資安分析，大量程式碼分析優化，以及知識管理的技術解答等等。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A12-600-4-PNG.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:27作者蘇文彬https://www.ithome.com.tw/article/163633
【iThome 2024 CIO大調查系列2｜CIO觀點】旭榮集團靠IT強化減碳來獲取更多訂單，看重GAI潛力先鼓吹員…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「要延續企業的發展，一定要做好數位轉型與永續轉型，才有機會接到訂單」旭榮集團總管理處IT系統專案部資深經理林宗霖明白表示。</p> <p>身為50年老牌本土紡織廠，旭榮集團雖是私有企業，並未公開上市，但卻很早就開始推動ESG永續轉型，從2022年起先後完成了中國常州與越南染廠範疇一、範疇二碳排總量盤查，並在今年2月正式通過了SBTi科學淨零碳排目標審核，成為紡織業中少數幾家確定未來減碳目標的本土企業之一，展現了其減碳的決心。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>導入新數位管理系統，優化工廠能耗管理</strong></span></span></p> <p>旭榮的淨零排放策略主要聚焦在減少碳排和抵減兩大主軸，在減少碳排方面，旭榮大大仰賴IT來加速推動工廠整體減碳作業，例如在能源間接排放管理上，旭榮近年來導入了一套名為 IDCC（Intelligent Data Control Center）的數位管理系統。這套系統能夠將整個生產管理流程納入其中，優化工廠能耗管理，並對齊可持續發展目標（SDGs）。他表示，這套數位化管理系統能夠分析供料、織造、染整和倉儲的即時 KPI 數據，並以視覺化的方式呈現結果，同時提供異常管理分析，減少異常的發生。此外，旭榮還建置了自動倉儲系統，進一步提高了能源效率。</p> <p>旭榮在工廠中部署了大量感測器和智慧電表，持續蒐集能耗、各項動力成本和用水數據，並將其整合到IDCC系統中統一管理，加強碳排放數據的蒐集和管理。在用水改善方面，旭榮在染廠導入中水回用系統進行水循環再利用，截至目前，已節省超過4,300座國際標準游泳池的水量。另外所有染廠均已完成太陽能板的部署，可供應廠內10～15％用電。</p> <p>林宗霖強調，旭榮投入數位轉型與永續發展的原因，簡單來說，就是為了求生存並延續企業的發展。他觀察到，越來越多的品牌商客戶開始重視其供應商的永續發展，並將優先選擇那些在永續和減碳方面表現較好的業者。</p> <p>例如有家知名運動品牌商提出了Life Cycle Assessment （LCA）專案，要蒐集產品生命周期的碳排放數據，來符合其減碳路徑的要求，逐步落實減碳目標，也要求供應商的配合來蒐集完整的數據。在挑選供應商的過程中，他們會派人定期走訪旭榮工廠，了解生產狀況、數位化發展和減碳作為，來作為供應商挑選的參考依據之一。</p> <p>他表示，旭榮原本就已導入一套 IDCC 數位管理系統，能整合工廠中機臺的能耗、動力成本和用水數據，並將這些數據回傳到後端進行分析和儲存。後來，他們改進這套系統，可以兼顧 LCA 數據收集和分析的需求。因此讓他們可以被該品牌商選中，成為三家供應商之一。</p> <p>不只是完成碳盤查，他表示，目前旭榮已經可以因應國際品牌的要求，提供包含碳足跡在內的生產追溯。</p> <p>甚至在範疇三的供應鏈碳管理方面，旭榮近期也計畫打造自己的紡織數位雲平臺，未來可透過雲端平臺的API串接，自動取得上下游供應鏈源頭的碳排數據。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來將評估在內部KM系統上引進GenAI</strong></span></span></p> <p>除了ESG永續發展，在數位轉型方面，旭榮過去10多年來一路從數位化、自動化、智慧化BI，發展到智慧化AI，自3年前展開多方AI的探索，例如利用AI進行紡織成品的品檢，也嘗試在製造過程中應用AI。林宗霖表示，接下來他們將持續評估數據建模，利用AI最佳化染劑配比，提高生產一次成功率。此外，還在業務端評估如匯率預測等風險較低的應用。</p> <p>生成式AI技術在去年快速爆紅，今年進到企業應用階段，越來越多生成式AI產品、工具甚至開源模型推出，降低企業進入的門檻。林宗霖非常重視生成式AI的議題，不只鼓勵各單位可以多方嘗試，甚至還舉辦多場AI教育訓練，增強員工對新興科技的認識和應用，包含如何利用這個工具，有哪一些平臺可供選擇，或是辦理徵稿活動，促進員工使用AI。例如利用生成式AI規畫業務行程和客戶互動。同時也會提醒使用這類AI時的注意事項。</p> <p>他透露，目前IT部門也有開始採用GPT-4o模型的ChatGPT，應用在資料庫中處理SQL語法的優化。</p> <p>他表示，未來將會評估在公司內部的知識管理系統上應用生成式AI，但在製造現場或製程方面，則會傾向於採用傳統或較成熟的預測建模方法，甚至使用更具可解釋性的決策樹。</p> </div></div></div>
2024/6/28 09:29作者余至浩https://www.ithome.com.tw/news/163649
【iThome 2024 CIO大調查系列2｜CIO觀點】禾伸堂靠IT推動雙軸轉型，落實ESG永續也要加速工廠轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為40年老牌本土被動元件製造商，禾伸堂企業也面臨政府課徵碳費帶來的衝擊。</p> <p>ESG永續發展已成為了企業必須重視的重要議題，尤其為落實永續淨零政策，臺灣今年將開始徵收碳費，針對用電大戶的碳排放量課稅，許多企業將根據每年使用碳排放量繳交費用，不只是進行碳排放數據搜集、監控，也得積極展開減碳的工作，落實 ESG，逐步邁向永續發展。</p> <p>碳費成為企業的新成本來源，碳排放量越多，企業所需支付的成本就越高，這迫使企業必須開始重視減碳的作為，甚至要採取更低碳的生產流程，並串接各種碳排放數據，建立更明確的碳成本，加速永續轉型。</p> <p>為了因應2024年碳費徵收制度，禾伸堂早早開始了節能減碳計畫，不僅在工廠部署太陽能板，以供應工廠所需的電力，去年展開了ISO14064- 1:2018 溫室氣體盤查，並成立推動小組進行溫室氣體排放盤查減量計畫。</p> <p>這家製造商還制定了短中長期的減碳目標，計畫在2024年將百萬顆產品的年排放強度較2019年減少10%，並在2050年達到相當於2005年排放量的50%的減量。禾伸堂IT也成為了加速公司實現永續目標和推動減碳的重要關鍵。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>數位轉型需求和ESG永續並重</strong></span></span></p> <p>禾伸堂目前正積極推動雙軸轉型策略，一方面加速工廠的數位轉型，另一方面也要因應ESG落實永續發展的要求。禾伸堂企業資訊中心協理郭建中坦言，目前他們遇到的最大考驗是，如何兼顧數位轉型需求和ESG永續發展，成了禾伸堂IT面臨的重要挑戰。</p> <p>幾年前，禾伸堂積極在工廠的數位轉型導入了IoT技術，希望能夠打造工業4.0的智慧工廠。目前在工廠擁有多達1千臺機臺設備，其中已有300臺機臺部署了IoT感測器，持續蒐集機臺參數數據，並將這些數據回傳到後端的資料庫進行監控與分析。他表示，這些感測器的建設和數據蒐集及儲存，都需要消耗電力，也增加了工廠和機房用電量，因而增加了碳排放量。</p> <p>為了降低轉型對環境的衝擊，符合ESG的減碳要求，禾伸堂從幾個面向著手，一方面持續收集和監控碳排放數據，作為改善碳排的參考，同時也提高種電的比例，減少非綠色能源使用。此外，在IT採購方面，開始考慮環境因素的IT友善程度，例如，在選擇CPU時傾向於選擇低耗能的CPU，如Arm架構的CPU相比於x86架構的CPU更加節能。禾伸堂不僅逐步增加Arm架構伺服器的採用比例，工廠部署的大量IoT裝置也都使用Arm處理器。</p> <p>更進一步，禾伸堂將朝向雲原生架構發展。郭建中規畫將來的IT架構完全轉向Cloud Native，先從IoT環境開始進行轉換，改用Kubernetes平臺處理和儲存IoT數據，然後逐步擴展到其他IT系統。</p> <p>他指出，這樣做的好處，在於能夠增加資源運用的彈性與擴充性。此外，考慮到安全因素，禾伸堂並沒有將這個雲原生環境放上公雲，而是選擇在地端進行部署，以確保對於數據和系統的安全和管控。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來將聚焦邊緣端的 GenAI應用</strong></span></span></p> <p>近幾年，禾伸堂在AI發展上也有不少投入，例如導入AI技術進行瑕疵檢測，搭配結合攝影機來辨識和找出來產品上的瑕疵，以提高生產效率與產品的良率。不僅如此，他們還計畫未來在MES系統中加入AI機制，使MES具備自主判斷能力，能夠由AI協助處理條件判斷式的問題。</p> <p>不光如此，企業GenAI應用在今年受到高度矚目，許多企業今年不是計畫導入，就是已經開始利用這項技術，來提高員工生產力、優化內部流程和加速數位轉型。</p> <p>郭建中指出，目前他們正在研究和評估生成式AI的企業方案，但比起立刻採用，郭建中採取的策略是從底層資料的準備開始著手，他強調，建立完整且充足的資料是首要任務，因為如果資料量不足，生成式AI助手很難提供其所需的答案。</p> <p>在GenAI應用上，郭建中表示，未來將聚焦在邊緣端的GenAI應用。例如利用GenAI進行工廠IoT數據進階分析與判斷，或是結合影像辨識的GenAI應用等。</p> </div></div></div>
2024/6/28 09:29作者余至浩https://www.ithome.com.tw/news/163650
【iThome 2024 CIO大調查系列2｜CIO觀點】高雄市府3作法加速推動資安轉型，更以AI強化城市治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來發展快速的高雄市，因應愈來愈高的威脅，在中央的補助之下，高雄市增加對資安的投資，高雄市政府資訊中心主任劉俊傑表示，目前高雄市政府在強化資安正推動3項做法，第一項做法是建立主動防禦，過去的資安策略較為被動防禦，例如採購防火牆、防毒軟體等，現在轉向採用比較主動式的防禦，例如蒐集Log資料，包括端點資料，以主動分析發現異常事件。他以紅軍演練為例，傳統委託業者扮演紅隊，利用駭客入侵找出哪裡有弱點，但市府進一步希望掌握入侵可能留下哪些Log資料，透過工具設定檢視規則，主動掃描新的Log，當發現可疑的異常情形，再由專業人員進一步分析。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建立主動偵測防禦、強化資安管理制度、產官學合作培養稽核能力</strong></span></span></p> <p>去年資訊中心開始導入這套做法，先用於偵測資訊中心底下的系統，今年計畫擴大到高雄市政府B級機關，明年再納入C級機關，其他機關由於沒有自己的資訊系統，因此明年可望納入整個市府的資訊系統。不只是市府內的資訊系統，甚至要將這套偵測機制在2026年擴大到OT系統，例如交通號誌系統、水閘門控制系統等等。</p> <p>除了導入主動偵測防禦機制，劉俊傑指出，過去資安以技術為主，現在逐漸回歸到資安風險管理，類似網路世界的風險管理，如同實體世界購買保險的風險分散、風險管理，市府規畫先強化完備資安管理制度，根據這些管理制度需求，規畫應該採購哪些資安設備。「軟硬體技術面的解決方案應該輔助制度能夠做得更快、更好，更省時省力，達到更好的效果」，劉俊傑說。</p> <p>因此，第二個做法是推動專案強化市府的資安管理制度，包括國家資通安全管理法及子法，政府推動的資安治理成熟度，以及國際上的ISO 27001、ISO27701、ISO27008等等，以往這些管理制度、標準各自推動，可能導致重覆執行，市府計畫將這些制度及標準整併，以更有效率的方式推動落實管理制度，強化資安風險管理。高雄市政府也希望利用自動化工具，讓推動管理制度更便利。</p> <p>鑑於管理制度需要定期稽核，因此第三個做法是推動產官學合作，由於市府底下有200多個機關，以現有的人力難以逐一稽核各個機關，傳統的稽核方式是高中低所有風險等級一次稽核，劉俊傑認為，這麼做不符合風險管理的角度，因此調整做法，先稽核每個機關的高風險項目，再稽核較低的風險項目。另外，依照法規要求，不同資安責任等級機關需要的資安專責人員，這些人雖需具備相關證照，但缺乏稽核的經驗，由於不能稽核自己所在的機關，市府鼓勵專責人員稽核其他機關，並委託外部業者扮演教練的角度，針對稽核主題提供檢核表，並且先教育訓練市府的資安稽核人員，至於人力不足的問題，市府與學校合作，透過資安研究領域的老師尋找適合的學生，協助市府的資安稽核工作，由業者帶領市府的資安專責人員、學生進行稽核，為了鼓勵學生參加，市府聯合產官學頒發獎狀或證書予學生，對其未來就業加分。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>運用AI改善城市治理</strong></span></span></p> <p>目前高雄市政府也積極運用AI改善市政、民眾服務，主要分為兩個方向，一個是透過智慧城市專案，媒合各個局處面臨問題，和外部民間企業的資源，來測試運用新科技解決問題，AI即是其中一例，例如運用AI協助輕軌偵測軌道上的異物、是否淹水，加強軌道運輸的安全管理，或是在KTV等場所，利用附近監視器及麥克風，透過AI辨識影像、聲音判斷是否發生高風險的行為，聯絡快打部隊前往處理。</p> <p>另一方向是市府的聊天機器人，過去運用NLP技術的聊天機器人，但會有回答錯誤的情形，市府與資訊服務業者合作，計畫運用生成式AI技術，利用RAG技術克服公部門資料外洩的風險，並且降低生成式AI的幻覺問題。</p> <p>劉俊傑表示，先蒐集各機關網站QA資料，作為檢索的資料，再運用生成式AI（微軟Open AI企業版，具有專屬資料庫）以比較自然的方式回答民眾的問題，將幻覺限制在可控的資料範圍內，初步評估成效不錯。另外，目前民眾陳情撥打1999專線話務量龐大，並且民眾經常會詢問客服某個特定單位窗口的分機號碼，他認為未來1999可運用生成式AI技術的聊天機器人，來降低真人客服的工作負擔。</p> <p>今年高雄市府也測試微軟Copilot，目前先由資訊中心測試產生會議紀錄、摘要，未來如果效果不錯再擴大至其他單位，然而，劉俊傑也表示，確實在某些方面能夠節省時間，由於訂閱的費用並不低，並非每位同仁都需要使用，並不會採購大量Copilot授權讓每位同仁都能使用。</p> <p>至於產生公文部分，因公文牽涉市府對外的公權力，政府機關在外界高度關切下，較不被允許出錯，需要更慎重的評估考量是否用於產生公文。「先從基本公務上，讓大家使用比較熟悉，且對使用者規範有概念後，再一步步導入比較嚴謹的公文系統」，劉俊傑說。</p> <p>儘管目前高雄市政府測試Copilot企業版服務，仍是雲端部署的服務，但劉俊傑表示，今年Computex電腦展中，邊緣端的AI運算成為趨勢，全才型的生成式AI固然很好，但各局處僅需要專精特定業務領域資料的AI知識助理，隨著小參數模型發展，未來幾年他相信地端AI應用方案將會愈來愈成熟。</p> <p>除了投資資安與AI，高雄市政府近幾年也積極整併各局處的小機房，資訊向上集中至資訊中心管理，高度虛擬化的大機房，以私有雲方式服務其他局處，利用資訊向上集中，讓IT預算高低不一的各局處可以統一作資料備分。</p> <p>由於資訊向上集中，也讓IT的系統備援更為重要，因此高雄市政府也強化數位韌性，今年將過去位於鳳山的縣府機房改建為第一備援機房，用以備援市府大部分的VM。另外，市府也與AWS公有雲合作，租用2臺伺服器，可使用80個VM虛擬機器，定時將各局處單位共同且重要的VM備分到AWS，例如市府官網、公文系統、API平臺等，讓位於境外的公有雲作為第二備援中心。經過測試，如果高雄市政府四維的資料中心系統出現異常，約5到10分鐘內可以由AWS境外的VM支援。</p> </div></div></div>
2024/6/28 09:30作者蘇文彬https://www.ithome.com.tw/news/163651
【iThome 2024 CIO大調查系列2｜各產業IT趨勢總論】GAI浪潮開始衝擊臺灣大型企業，三產業破4成企業積極…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-feng_mian_-aichuang_xin_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是生成式AI創新大爆發的一年。生成式AI開始影響，甚至是改變臺灣的大型企業，<strong><span style="color:#B22222;">高達17.6%的企業CIO評估，自家企業或所屬產業，2024年會因生成式AI而大受衝擊</span></strong>，其中有些現在就開始感受到衝擊。又以人力密集需求高的醫療和政府學校，感受到的生成式AI衝擊感最強烈，超過兩、三成的CIO如此認為。對這些企業而言，生成式AI不是未來的課題，而是今年需要面對的挑戰。</p> <p>不少企業早在去年，就開始嘗試生成式AI，除了鼓勵員工嘗試之外，去年已有2企業開始評估生成式AI技術的可行性，更有一成多的企業設立了種子團隊來嘗試生成式AI。</p> <p>到了今年，隨著企業級GAI相關技術和開發工具，在今年陸續出現，更加速了這股GAI浪潮，開始影響到臺灣各個產業。在今年3月，已有8.8%企業認為，生成式AI技術已經大幅改變了所屬產業和自家企業。不只是服務業，就連高科技製造業、一般製造業也開始有少數企業CIO感受到衝擊。</p> <p><span style="color:#B22222;"><strong>整體產業平均高達近9成企業認為，自家企業有需要採用生成式AI</strong></span>，有些企業就算所屬產業還沒有受到衝擊，也打算跟進嚐鮮。不過，今年真正開展開計畫和行動的企業大約是七成。其中，金融業和政府學校的需求最高，高達96.2%金融業者自評有需要採用，政府學校也高達95%。需求最低的產業是一般製造業，不過也有近8成企業自評有採用需求。</p> <p>為了因應這波GAI浪潮的衝擊，不少企業紛紛積極嘗試，尋找可行的GAI應用方式和場景。去年那一群積極嘗試的企業，模索到了部分可行的應用場景，因此，7%領頭羊企業已開始在正式環境中採用GAI，尤以服務業和醫療業較多。</p> <p>近3成企業今年開始導入，展開各種PoC驗證實驗，另外還有3成企業正在計畫，準備跟進。金融業、醫療和政府學校都過超過半數企業，在今年積極擁抱GAI，開始嘗試，誰能更快以合理資源和成本，找出更有價值的生成式AI應用場景和做法，就能在逐漸成形的創新競爭浪潮中搶先一步。</p> <p>ChatGPT讓企業高層或一般員工感受到生成式AI的威力，不過，對企業來說，不見得所有工作或業務，都能夠或適合引進生成式AI技術。許多企業仍舊處於導入和驗證階段，還有另外一個AI監理與法遵風險的考量，讓企業不敢冒進，就算在正式環境中採用，也會搭配真人把關，或者避開可能有法遵風險潛在法遵風險的應用場景。</p> <p>不過，<span style="color:#B22222;"><strong>金管會在去年發布了《人工智慧法案金融業運用AI指引》草案</strong></span>，這是國內第一份產業AI指引。在去年發布了草案之後，從四大AI系統生命周期，包括了系統規畫設計、資料搜集和輸入、模型建立及驗證，到系統部署與監控，來規範各階段的採用建議。這份指引，迅速成為各產業引進生成式AI時的參考採用原則，企業為了避免日後所屬主管機關跟進發布同樣的產業AI指引，相當重視這份產業AI指引。這份指引在今年6月正式發布，也修正了諸多實務執行上的細節，例如針對不同部署方式而有不同的考量，更明定了高風險AI系統可視需要引進第三方審查評測，也放寬AI可解釋性的要求，不用解釋無法取得的AI模型運作細節，而是由採用企業自行說明在自家AI系統中的運作情況即可。</p> <p>臺灣第一份產業AI指引出爐，有助於加快企業在正式環境中採用生成式AI的腳步，不用面對未來可能的法遵風險自行摸索，而能依據不同AI法遵的規範方向，預作準備，更放心的嘗試生成式AI的應用場景。這一步，將成為企業從實驗驗證階段，跨入正式採用的關鍵助力，可以預期，從2024年下半年開始，會有更多企業開始將生成式AI整合到正式環境，與內部系統或對外產品與服務中採用，這也會帶來臺灣另一波生成式AI應用的爆發。文⊙王宏仁 </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-AI%E5%89%B5%E6%96%B0-600-1-P%EF%BC%AE%EF%BC%A7.png" style="width: 600px;" /></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1188-%E5%B0%81%E9%9D%A2-AI%E5%89%B5%E6%96%B0-600-2-%E5%8E%9F%E5%9C%96-PNG(2).png"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E5%B0%81%E9%9D%A2-AI%E5%89%B5%E6%96%B0-600-2-PNG.png" style="width: 600px;" /></a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 08:52作者王宏仁https://www.ithome.com.tw/article/163677
【iThome 2024 CIO大調查系列2｜高科技製造業IT趨勢2】超過兩成高科技製造業者已導入GAI應用，少數更開…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-gao_ke_ji_2-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高科技製造業CIO今年的目標不僅是發展ESG和資安，還比以往更加重視AI，特別是ChatGPT類應用和生成式AI（GAI）技術，使得生成式AI成為高科技製造業今年最火紅的新興科技。</p> <p>高科技製造業今年CIO年度目標中，<span style="color:#B22222;"><strong>ESG企業永續排名提升一名，成為第二大年度目標</strong></span>。超過4成高科技製造業今年把永續發展列為年度優先目標，僅次於強化資安，顯示配合公司永續目標依然是CIO今年很重要的任務，至於資安在今年依舊十分重要，有超過7成的高科技製造企業列為年度優先目標。</p> <p>不過，值得一提的是，在這些年度目標中，AI受到CIO更多的重視，<span style="color:#B22222;"><strong>今年在用AI創新應用與服務，以及用AI強化分析與決策這兩項目標的排名有很大進步</strong></span>，從原本的第十名之外，大幅提升至第五和第六名，甚至超越了數位轉型的目標。</p> <p>近4成的高科技製造業CIO將AI創新應用與服務以及AI強化分析與決策列為年度目標。這些CIO對於AI更加重視，也反應在AI投資上比去年增長2成。另外從高科技製造業採用十大熱門新興技術中，也能看出這個趨勢，高科技製造企業今年計畫導入的新興技術中，前十名中有四項與AI 相關，且採用比例都有所增長。例如近2成高科技製造業今年要導入行動AI應用，去年僅不到一成。</p> <p>尤其是去年ChatGPT應用的出現，掀起了新AI應用風潮，許多企業今年開始在內部嘗試導入這類應用，使得ChatGPT類應用在今年一舉成為企業最受歡迎的新興科技。近四成的高科技製造業將其列為今年優先導入的重點。</p> <p>ChatGPT背後關鍵技術是GAI技術，包含LLM、圖片生成、影片生成等，帶動了企業對於GAI技術的採用，甚至今年計畫導入GAI技術的高科技製造業比去年增長3倍。超過2成高科技製造業CIO要導入GAI技術，希望藉此來提高員工生產力和優化內部流程，甚至利用AI加速內部轉型。</p> <p>從高科技製造業GAI成熟分布來看，也能反映出，高科技製造業目前所身處的GAI應用階段。整體來看，超過兩成高科技製造業者已導入GAI應用，少數更開始擴大採用。另外有超過5成高科技製造業不是今年開始計畫採用，就是已經進到導入和驗證的階段。不過，仍有快4成的高科技製造業尚未採用。</p> <p><span style="color:#B22222;"><strong>高科技製造企業IT 部門是公司內部最早採用GAI的內部單位之一</strong></span>，在許多技術性工作中已經開始採用GAI。近3成高科技製造業IT部門開始用GAI培訓人員學習新技能，讓IT人員能夠更快掌握新技能，提升工作效率。此外，也有超過兩成的高科技製造業IT是將GAI用於文件撰寫文件和程式碼優化。另有超過一成高科技製造業IT則是將GAI應用在程式碼撰寫、資料分析和團隊協作上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E9%AB%98%E7%A7%91%E6%8A%802-600-4-PNG.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#FF8C00;"> 問卷說明 </span></strong></span><span style="color:#696969;"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:12作者余至浩https://www.ithome.com.tw/article/163675
【iThome 2024 CIO大調查系列2｜一般製造業IT趨勢】ESG和數位轉型並重，7成一般製造業者已經是轉型領先者
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1188-yi_ban_zhi_zao_1-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般製造業今年的IT預算平均達到3,373萬元，儘管與高科技業的預算金額相比仍有不小差距，但預算增長達到10.4%，不僅高於去年的7.4%，也超過了高科技業的6.2%成長率。這反映出在疫情解除後，一般製造業並沒有縮減IT預算，反而在ESG浪潮和數位轉型的驅動下，進一步加碼投資。</p> <p>儘管今年的IT預算高於去年，但一般製造業CIO在八大重點IT投資項目中，相比去年整體投資上較為保守，僅有DevOps和資安預算有超過1成的增長，尤其是DevOps預算更有近3成增長。<strong><span style="color:#B22222;">今年一般製造業技術轉型的投資重點主要在IT現代化，也帶動了DevOps的投資</span></strong>，進一步強化IT開發戰力。至於大數據的投資比重則持續減少，成為所有IT投資項目中負成長最多的項目。</p> <p>數位轉型依然是一般製造業所有IT投資項目中占比最高的項目，達到520萬元，幾乎占了整體IT預算的一成五。不過相比去年，一般製造業在數位轉型投資力道稍微減弱，反映出一般製造業不再像疫情期間那樣加速推動內部轉型，而是回歸原有的轉型步調來推動。</p> <p>從一般製造業數位轉型成熟度分布來看，也能反應這樣的趨勢。過去3年疫情，促使一般製造業者將轉型計畫提前實施，帶動一波數位轉型的加速。到了今年，超過7成的一般製造業者已經是轉型領先者，而轉型落後者的比例則下降到了約10%。</p> <p>另從一般製造業CIO年度目標來看，<span style="color:#B22222;"><strong>數位轉型和ESG企業永續在今年都相當重要</strong></span>，分占年度目標的3、4名。今年超過4成一般製造業CIO將這兩項列為年度優先目標，僅次於強化資安與確保IT穩定與一致的目標。</p> <p>臺灣今年碳費將上路，一般製造業中有不少是用電大戶，未來每年不僅需要定期進行碳盤查，還得依據自身碳排放量繳交碳費，因此，如何用系統化方式定期進行碳盤查及產品碳足跡追蹤變得更為重要。這已成為一般製造業CIO今年首要任務。</p> <p>從一般製造業因應ESG的六大IT對策來看，<span style="color:#B22222;"><strong>超過半數的一般製造業CIO今年優先完成碳盤查及碳足跡監測的系統化工作；其次是ERP支援ESG資訊搜集</strong></span>，也有超過三成計畫導入了這項功能，以建立明確的碳成本。這反映出，隨著今年碳價的公布，一般製造業CIO必須將碳成本與內部財務系統整合，以便掌握生產過程中的碳成本，並納入企業營運決策。此外，今年也有約兩成一般製造業要建置碳足跡儀表板，讓公司管理或營運高層能夠根據這些資訊制定減碳策略。</p> <p>但是，一般製造業在ESG和數位轉型並重的情況下，帶來了新的挑戰。如何兼顧IT轉型和環境永續發展，將成為CIO們今年的新課題。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-3-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-1-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-2-PNG.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1188-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A01-600-4-PNG.png" style="width: 600px;" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></strong></span><span style="color: rgb(105, 105, 105);"><strong> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> </div></div></div>
2024/6/28 09:16作者余至浩https://www.ithome.com.tw/article/163676
【re:Inforce 2024】Amazon S3首度整合惡意程式偵測，一年限量免費使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在re:Inforce 2024雲端安全會議發表多項資安服務，其中最受矚目的當屬物件儲存服務Amazon S3首度整合GuardDuty惡意程式掃描過濾功能，並且自發表後一年內提供限量免費使用。</p> <p>AWS的惡意程式防護服務GuardDuty保護的範圍，繼Amazon EC2、EKS、ECS、AWS Lambda、Fargate之後，也擴及物件儲存服務Amazon S3。過去S3儲存物件的防毒掃描，必須整合第三方資安公司的防護服務，而新推出的GuardDuty Malware Protection for S3服務，則會在用戶上傳物件檔案至S3時自動啟動掃描，檢測潛在的惡意程式、病毒或可疑內容，再放行至對應的儲存貯體；如果掃描後發現潛在威脅，可疑的上傳物件就會被移至隔離區。</p> <p>GuardDuty Malware Protection for S3可視為S3預設防毒防駭功能，因為過往AWS的服務要使用GuardDuty防護服務的話，都必須先啟用GuardDuty服務，不過GuardDuty Malware Protection for S3卻首度提供不需啟用GuardDuty服務，而可直接使用掃毒與惡意程式過濾功能。</p> <p>上述兩種模式的差異在於，有啟用GuardDuty服務的話，啟用的帳號會被賦予一個偵測識別碼，物件掃描結果會以該識別碼記錄下來，因此可以關連到所屬GuardDuty帳號，而如果同一帳號之下的其他服務也有使用GuardDuty，就可以在GuardDuty主控臺集中管理，檢視所有服務的掃描結果、可疑事件與防護狀態等。</p> <p>而單獨使用GuardDuty Malware Protection for S3的模式，雖因不需先啟用GuardDuty而能以簡單快速的方式啟動防護，不過也由於未啟用GuardDuty而無偵測識別碼，因此適合只有S3服務需要使用惡意程式防護功能，而無需使用GuardDuty完整功能的用戶。</p> <p>GuardDuty Malware Protection for S3掃描對象的設定，可以掃描所有新增至儲存貯體的檔案物件，或是只掃描符合特定前綴條件的物件，最多可設定5項條件。而掃描記錄亦可依結果標注相對應狀態的標籤，並傳送到EventBridge，用戶可據此安排後續的工作流程，用戶亦可自訂標籤，以利後續處理。</p> <p>GuardDuty Malware Protection for S3依目前提供截至2025年6月11日每月掃描限量1GB、1千次存取的免費使用額度。</p> </div></div></div>
2024/6/27 23:55作者吳其勳https://www.ithome.com.tw/news/163694
金管會修法擴大電支特約機構涵蓋外送、計程車等平臺，開放專營電支業者上雲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今天(6/27)預告「電子支付機構業務管理規則」修正草案，該草案修改13條，新增1條文，包括放寬特約機構範圍，將外送、計程車、停車平臺及業者納入電子支付範圍，並且，開放一卡通、街口、全支付等專營電支業者使用雲端服務。</p> <p>金管會表示，過去在疫情期間，帶動零接觸經濟需求，電子支付帳戶使用人數逐年增加，為滿足國人民生支付需求，同時因應電支機構業務發展需要，修正法規擴大支付範圍，此次修法有3大重點。</p> <p><span style="color:#B22222;"><strong>第1點，授權電支業者評估特約商家自動扣款交易</strong></span></p> <p>在電子支付的代理收付實質交易的自動扣款上，原本法規採正面表列方式，例如水電、政府規費等可以電子支付代理收付實質交易的自動扣款，然而考量到市場變化快速，若有不特定金額自動扣款的交易樣態，透過修法或解釋可能緩不濟急，並限制電支業者的業務發展。</p> <p>修正草案基於風險導向的規管精神，捨棄正面表列，授權電支業者依照銀行公會全國聯合會制定的資安、業務自律規範，評估特約機構的交易安全機制、交易爭議處理流程符合規範後，提供電支代理收付實質交易的自動扣款。</p> <p>換言之，原本金管會正面表列，僅開放水電、政府規費等可使用電支自動扣款交易，在修法之後，授權電支業者自行評估特約商家，只要符合一定的資安、業務自律規範，也能使用電支的自動扣款功能。</p> <p><span style="color:#B22222;"><strong>第2個重點，外送、計程車、停車平臺業者納入支付範圍</strong></span></p> <p>依原本管理規則第15條規定，特約機構應為最終收款方，但是金融業者、便利超商因為其代收的角色，可排除限制。</p> <p>金管會表示，疫情帶動零接觸經濟之下，國人已習慣透過平臺業者使用服務，例如外送平臺業者、計程車平臺業者、停車服務平臺，因這些平臺服務的交易特性屬於小額、非接觸消費，因此修法，只要建置相關的風險控管，外送、計程車、停車平臺可被列入電支支付的特約機構，進一步擴大電支的支付範圍。</p> <p><span style="color:#B22222;"><strong>第3點，開放專營電支業者上雲</strong></span></p> <p>因應開放金融業上雲，兼營電支機構多為金融機構，已可依照「金融機構作業委託他人處理內部作業制度及程序辦法」，金管會為監管一致性，草案新增45條之1，讓專營電支業者委外作業得以使用雲端服務，該條款要求專營電支業者，應對使用雲端服務訂定政策及原則，以及擬定風險管控措施，注意委託雲端服務業者的適度分散，並且電支業者對委託雲端業者負有最終監督義務，可自行或委託第三人查核雲端服務業者。</p> <p>電支業者傳輸或儲存客戶資料至雲端，必需經過資料加密或代碼化，並建立加密金鑰管理機制；此外，必需確保擁有資料完整所有權，需確保雲端服務業者沒有取得資料的權限。資料儲存以境內為原則，如儲存於境外，電支業者需具有指定資料處理及儲存地的權利，且境外資料保護法規不能低於我國，另外，除了經金管會核准，客戶重要資料應在我國留存備分。</p> <p>目前「金融機構作業委託他人處理內部作業制度及程序辦法」修正草案已在行政院公報及金管會網站上預告，以蒐集外界意見。</p> </div></div></div>
2024/6/27 18:51作者蘇文彬https://www.ithome.com.tw/news/163690
專門鎖定Redis伺服器的殭屍網路P2PInfect出現新的攻擊手法，駭客為其加入勒索軟體模組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自去年7月被發現的殭屍網路P2PInfect，主要的攻擊目標是分散式資料庫Redis伺服器，並運用其運算資源挖礦，但最近研究人員發現，有駭客在這款殭屍網路病毒納入勒索軟體功能，而有可能對目標伺服器進行檔案挾持。</p> <p>資安業者Cado發現<a href="https://www.cadosecurity.com/blog/from-dormant-to-dangerous-p2pinfect-evolves-to-deploy-new-ransomware-and-cryptominer">新的P2PInfect攻擊行動</a>，他們看到受害Redis伺服器在感染殭屍網路病毒後，會從特定的URL下載勒索軟體rsagen並執行，並對於資料庫檔案SQLITE3、SQL、DB，文件檔案DOC、XLS，以及影音檔案MKV、WAV、MP3等，執行檔案加密作業，並留下勒索訊息。</p> <p><a href="https://s4.itho.me/sites/default/files/images/P2PInfect-rsagen-note.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/P2PInfect-rsagen-note.png" style="width: 580px;" /></a></p> <p>照理而言，Redis通常不會將資料存放於磁碟，即使勒索軟體取得高權限執行，很可能只能加密Redis組態配置檔案，雖然IT人員可指定將資料儲存到名為RDB的檔案裡，但這類檔案並不在勒索軟體的加密範圍，究竟駭客要如何綁架Redis伺服器，研究人員表示仍不清楚。</p> <p>除了上述的勒索軟體模組，研究人員指出與過往的版本相比，這個殭屍網路病毒也在其他層面出現大幅度的變化。首先，他們發現對方重新利用Rust非同步框架Tokio打造，並透過UPX加殼處理，而且，主要執行檔被剝離，且有部分程式碼經過混淆處理，這樣的做法使得靜態分析難以識別這款惡意程式。</p> <p>另一方面，此殭屍網路病毒具備新的使用者模式Rootkit元件，使得該病毒能夠藉由挾持合法的處理程序，埋藏惡意處理程序及相關檔案。</p> <p>再者，則是攻擊者可能採用障眼法，因為他們起初看到對方在P2Pinfect嵌入名為miner的執行檔，但這項元件實際上未曾被使用。後來研究人員在P2Pinfect主程式運作約5分鐘後，才看到挖礦程式啟動。</p> <p>究竟對方賺了多少錢？研究人員看到駭客賺得71個門羅幣（XMR），相當於9,660英鎊（約新臺幣39.7萬元），對方的礦池卻顯示僅有1臺機器執行挖礦，每個月約能產生15英鎊，對比P2Pinfect殭屍網路的規模，這種現象極為不合理，他們推測，駭客另有實際在挖礦的礦池。</p> </div></div></div>
2024/6/27 16:24作者周峻佑https://www.ithome.com.tw/news/163685
【資安日報】6月27日，舊版瀏覽器網站相容套件Polyfill.io被中國公司買下，驚傳被植入惡意程式碼，恐影響逾10…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定網站而來的供應鏈攻擊頻傳，在昨天我們報導有人對<a href="https://www.ithome.com.tw/news/163662">上架到WordPress.org市集的外掛程式植入惡意程式碼</a>後，有另一款熱門的網站程式庫Polyfill.io，也傳出更換經營團隊後，被植入惡意內容。</p> <p>值得留意的是，這個程式庫在輾轉交給中國一家內容傳遞網路（CDN）業者經營後，該業者就開始隨意竄改回傳用戶端的檔案，使得研究人員呼籲網站管理者應儘速移除，並尋求替代方案。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163667"><strong style="font-size: 22px;">易主後的polyfill.io被用來執行供應鏈攻擊</strong></a></p> <p>專門偵測電子商務惡意軟體與安全漏洞的資安業者Sansec周二（6月25日）警告，知名的Polyfill程式庫polyfill.io自今年2月賣給一家中國業者之後，開始嵌入惡意程式，將造訪使用其服務的網站使用者重新引導至體育賭博或其他惡意網站，呼籲網站管理人員應該關閉Polyfill，或是改用其他較為可靠的服務，例如：Fastly、Cloudflare提供的解決方案。</p> <p>此程式庫的主要功能，是在舊版瀏覽器中補充或模擬現代瀏覽器所支援的功能，當舊版瀏覽器用戶存取的網站採用現代化瀏覽器所支援的新功能時，網站即可導入該函式庫來實現相同的功能，讓網頁於舊版瀏覽器上能夠正常運作，目前全球有超過10萬個網站嵌入該函式庫而曝險。</p> <p><a href="https://www.ithome.com.tw/news/163671"><strong style="font-size: 22px;">勒索軟體LockBit聲稱入侵美國聯準會，竊得33 TB敏感資料，但傳出遭駭的實際上是一家銀行</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg" style="width: 300px; float: right;" /></a>根據資安新聞網站SecurityAffair、Cybernews報導，6月24日惡名昭彰的勒索軟體駭客組織LockBit聲稱，他們駭入美國聯邦儲備系統（聯準會）的系統，竊得33 TB敏感資料，當中包含了「美國的銀行秘密」，要脅若不在期眼內付錢，將於25日公布這批資料。然而，這些駭客並未公布部分內容供買家查證，引起多名資安專家質疑，認為LockBit這麼做其實只是在虛張聲勢。</p> <p>隔天，該組織公布了21個下載連結，但值得留意的是，有部分疑似來自美國金融機構Evolve Bank and Trust，而且，這些駭客還附上聯準會6月14日針對這家金融機構進行執法行動的新聞稿，當時聯準會表示這家銀行在洗錢防治、風險管理、消費者法規遵循的執行上出現瑕疵。</p> <p>但這些資料究竟來自聯準會還是Evolve Bank and Trust？網路威脅監控公司HackManac透露，根據駭客公布的資料，對方顯然入侵了Evolve Bank and Trust，但目前並未發現機密文件的情況，該公司仍著手持續調查當中。</p> <p><a href="https://www.ithome.com.tw/news/163672"><strong style="font-size: 22px;">微軟旗下語音技術廠商管理不當，離職員工竊取美國賓州醫院百萬病患個資</strong></a></p> <p>美國賓州醫療院所Geisinger Health去年因微軟IT管理不當，讓一名員工離職後仍可存取其系統並竊取超過100萬名病人個資。</p> <p>根據Geisinger的說明，去年11月29日Geisinger發現隷屬於微軟的Nuance員工存取其病患資訊系統，而且是在他被公司解職後2天所為。在獲得客戶通知後，Nuance已永久終止這名前員工的系統存取權。目前這名員工已遭到逮捕，將面臨起訴。</p> <p>微軟在2021年併購語音技術供應商Nuance，並將其技術整合AI模型提供語音聽寫方案DAX，後者可用於醫療情境，像是產生臨床筆記、醫囑、電子病歷等。這並非Nuance首度因IT管理不當的釀禍，2018年舊金山公共健康部也遭Nuance離職員工存取了當地醫療網絡的IT系統。</p> <p><a href="https://www.ithome.com.tw/news/163685"><strong style="font-size: 22px;">專門鎖定Redis伺服器的殭屍網路P2PInfect出現新的攻擊手法，駭客為其加入勒索軟體模組</strong></a></p> <p>自去年7月被發現的殭屍網路P2PInfect，主要的攻擊目標是分散式資料庫Redis伺服器，並運用其運算資源挖礦，但最近研究人員發現，有駭客在這款殭屍網路病毒納入勒索軟體功能，而有可能對目標伺服器進行檔案挾持。</p> <p>資安業者Cado發現新的P2PInfect攻擊行動，他們看到受害Redis伺服器在感染殭屍網路病毒後，會從特定的URL下載勒索軟體rsagen並執行，並對於資料庫檔案SQLITE3、SQL、DB，文件檔案DOC、XLS，以及影音檔案MKV、WAV、MP3等，執行檔案加密作業，並留下勒索訊息。</p> <p>除了上述的勒索軟體模組，研究人員指出與過往的版本相比，這個殭屍網路病毒也在其他層面出現大幅度的變化。首先，他們發現對方重新利用Rust非同步框架Tokio打造，並透過UPX加殼處理，而且，主要執行檔被剝離，且有部分程式碼經過混淆處理，這樣的做法使得靜態分析難以識別這款惡意程式。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.cadosecurity.com/blog/from-dormant-to-dangerous-p2pinfect-evolves-to-deploy-new-ransomware-and-cryptominer"><strong style="font-size: 20px;">專門鎖定Redis伺服器的殭屍網路P2PInfect出現新的攻擊手法，駭客為其加入勒索軟體模組</strong></a></p> <p>◆<a href="https://https://thehackernews.com/2024/06/new-"><strong style="font-size: 20px;">駭客組織Boolka鎖定網站發動SQL注入攻擊，意圖植入木馬程式Bmanger</strong></a></p> <p>◆<a href="https://www.cleafy.com/cleafy-labs/medusa-reborn-a-new-compact-variant-discovered"><strong style="font-size: 20px;">金融木馬Medusa鎖定安卓用戶下手，攻擊範圍遍及歐美7個國家</strong></a></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/polyfillio-javascript-supply-chain-attack-impacts-over-100k-sites/"><strong style="font-size: 20px;">舊版瀏覽器網站相容套件Polyfill被中國公司買下並植入惡意程式碼，恐影響10萬網站</strong></a></p> <p>◆<a href="https://snailload.com/"><strong style="font-size: 20px;">研究人員揭露新的攻擊手法SnailLoad，藉由網路延遲的變化推測用戶的活動內容</strong></a></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/163674"><strong style="font-size: 22px;">蘋果發布AirPods韌體更新，修補藍牙耳機配對漏洞</strong></a></p> <p>6月25日蘋果針對旗下藍牙耳機AirPods發布韌體更新6A326、6F8，修補身分驗證漏洞CVE-2024-27867，這項漏洞影響第2代以上的AirPods、所有型號的AirPods Pro、AirPods Max，以及Beats旗下的Powerbeats Pro、Beats Fit Pro。</p> <p>而對於這項漏洞帶來的影響，蘋果指出，當使用者的耳機在搜尋已成功配對的裝置時，攻擊者若是在藍牙訊號的範圍內，就有機會冒充已配對的裝置，從而取得存取耳機的權限。換言之，攻擊者可能藉此竊聽用戶的聲音。</p> <p><a href="https://www.ithome.com.tw/news/163681"><strong style="font-size: 22px;">研究人員針對西門子修補的SICAM設備漏洞提出警告，若不修補有可能被用於針對能源產業攻擊</strong></a></p> <p>今年5月、6月西門子針對旗下工業控制系統SICAM產品線發布例行更新，針對CVE-2024-31484、CVE-2024-31485、CVE-2024-31486進行公告，這些漏洞影響終端機單元A8000、AK3、TM、BC系列，以及強化電網感應器（Enhanced Grid Sensor，EGS）、SICAM 8電力自動化平臺，而這些系統主要是針對變電站自動化打造的電網解決方案，一旦遭到利用，影響層面可能將會相當廣泛。</p> <p>本週通報上述漏洞的資安業者SEC Consult說明相關細節，公布這些漏洞發生的原因，並展示概念性驗證（PoC）程式碼。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/article/163451"><strong style="font-size: 22px;">4成企業今年要招募資安好手，資安事件應變人才最搶手</strong></a></p> <p>這幾年，兩大法遵推力下，包括影響公部門資安人力的政府資安管理法，以及主管機關對上市櫃公司的資安要求，大幅帶動了企業對於資安人力的建置，根據2024 iThome CIO大調查的統計結果來看，企業平均專責資安人力達到了4.8人，尤以金融業的平均11.6人最多，其次是政府學校（4.4人）、高科技製造業（4.1人），醫療則是資安人力最少的產業，只有2.4人，比一般製造業的平均人數（2.9人）還要低。</p> <p>不過，企業現有資安人力，遠低於資安長心中理想的團隊規模，要足以對抗企業當前資安威脅，資安長期望平均要達到5.9人，換句話說，現有4.8人的規模，還少了近四分之一的人手。各產業都有資安人手達不到資安長期望的情況，又以醫療業和政府學校的落差最大。</p> <p>今年有4成企業要招募資安職缺，平均招募人數是2.7人，又以政府學校的招募人數需求最多，達到6.1人，主要來自少數一級政府機關、大型國營企業、大型學校為了資安轉型而展開的人力需求擴編，才拉高了整體平均值。其次，金融業平均要招募4.2人，也遠高於其他產業的平均資安人力需求量。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/163663"><strong>【6月26日】惡意軟體沙箱服務業者Any.Run遭到網釣攻擊，所有員工收到內部人員寄來的釣魚信</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163648"><strong>【6月25日】中國駭客組織RedJuliett近半年鎖定臺灣高科技產業、外交經濟、社會運動團體從事網路間諜攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/163630"><strong>【6月24日】北美汽車經銷商軟體服務業者CDK Global遭攻擊而停擺，傳出是勒索軟體BlackSuit所為</strong></a></p> </div></div></div>
2024/6/27 17:44作者周峻佑https://www.ithome.com.tw/news/163687
研究人員針對西門子修補的SICAM設備漏洞提出警告，若不修補有可能被用於針對能源產業攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年<a href="https://cert-portal.siemens.com/productcert/html/ssa-871704.html">5月</a>、<a href="https://cert-portal.siemens.com/productcert/html/ssa-620338.html">6月</a>西門子針對旗下工業控制系統SICAM產品線發布例行更新，針對CVE-2024-31484、CVE-2024-31485、CVE-2024-31486進行公告，這些漏洞影響終端機單元A8000、AK3、TM、BC系列，以及強化電網感應器（Enhanced Grid Sensor，EGS）、SICAM 8電力自動化平臺，而這些系統主要是針對變電站自動化打造的電網解決方案，一旦遭到利用，影響層面可能將會相當廣泛。</p> <p>本週通報上述漏洞的資安業者SEC Consult<a href="https://sec-consult.com/vulnerability-lab/advisory/multiple-vulnerabilities-in-siemens-power-automation-products-cp-8000-cp-8021-cp8-022-cp-8031-cp-8050-sicore/">說明相關細節</a>，他們指出，這些漏洞最早通報的是去年4月找到的CVE-2024-31484，但在一年後找到CVE-2024-31486，西門子才在今年進行處理，但為何會間隔1年才處理CVE-2024-31484，雙方並未對此做出說明。</p> <p>研究人員也公布這些漏洞發生的原因，並展示概念性驗證（PoC）程式碼。</p> <p>針對記憶體緩衝區過度讀取（buffer-overread）漏洞CVE-2024-31484，若是攻擊者加以利用，將能透過未經授權的記憶體緩衝區過度讀取，導致資訊洩露的情況。這項漏洞發生的原因，在於HTTP標頭Session-ID數值，被strncpy呼叫及使用時，出現不正常終止的現象，使得攻擊者有機會從記憶體讀取敏感資料。</p> <p>對於權限提升漏洞CVE-2024-31485的部分，攻擊者可在通過身分驗證的情況下，藉由這項缺乏輸入清理的弱點，實現權限升級，而該漏洞發生的原因，主要是具備viewer層級的角色就有機會截取其他使用者網頁介面的未加密流量，因此，攻擊者可截取權限較高的使用者帳號及密碼資料，從而存取這種帳號來提升權限。</p> <p>最後一個漏洞CVE-2024-31486，發生的原因在於部分SICAM設備存放MQTT密碼的做法並不安全，使得攻擊者有機會發動硬體攻擊，或是透過Shell存取的方式，取得儲存的密碼資訊。這項弱點發生在部署OPUPI0 MQTT應用程式的可程式化邏輯控制器（PLC），因為在連線的MQTT伺服器上，密碼以明文儲存，攻擊者有可能藉由程式碼執行弱點，或是檔案洩露漏洞，甚至是實際存取裝置，從而讀取密碼。</p> </div></div></div>
2024/6/27 15:02作者周峻佑https://www.ithome.com.tw/news/163681
駭客組織Boolka對於全球網站發動SQL注入攻擊，意圖對使用者電腦植入木馬程式Bmanger
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Group-IB揭露<a href="https://www.group-ib.com/blog/boolka/">名為Boolka的駭客組織</a>，該組織從2022年開始，對於全球各地的網站隨機發動SQL注入攻擊，目的是對瀏覽網站的使用者散布名為Bmanager的模組化木馬程式。</p> <p>研究人員指出，過去3年這些駭客鎖定存在弱點的網站，藉由惡意的JavaScript指令碼進行感染，從而能在受害網站上截取使用者輸入的任何資料。</p> <p>一旦使用者存取遭到感染的網站，攻擊者的指令碼就會被下載及執行，向攻擊者伺服器發送請求，然後透過植入網站上的表單，截取使用者輸入的內容。此指令碼積極監控使用者與表單之間的互動，只要用表單上的元素有所變動，或是被使用者點選，對方就會對輸入內容進行截取，並將其經過Base64演算法處理，再傳輸至攻擊者的伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/blog-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog-1.png" style="width: 580px;" /></a></p> <p>但除了竊取使用者輸入的個人資料，他們也看到駭客使用名為BeEF的惡意軟體傳送框架，對存取受害網站的使用者散布Bmanager。駭客將使用者重新導向假的網頁，聲稱必須安裝指定的瀏覽器延伸套件才能正常檢視內容，然而一旦照做，電腦就有可能被植入木馬程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/unnamed-5-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/unnamed-5-1.png" style="width: 580px;" /></a></p> <p>此惡意程式可根據攻擊者的需求，安裝4種攻擊模組，這些分別是：收集受害電腦檔案工具Bmbackup、記錄正在運作的應用程式的Bmhook、側錄鍵盤輸入內容的Bmlog，以及外流檔案的Bmreader。</p> </div></div></div>
2024/6/27 17:10作者周峻佑https://www.ithome.com.tw/news/163686
AI裝置Rabbit r1遭爆外洩眾多API金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新創業者Rabbit與消費者裝置製造商Teenage Engineering合作開發的AI裝置Rabbit r1，本周遭爆外洩許多API金鑰，將允許任何人讀取Rabbit r1所生成的內容，或是讓所有的Rabbit r1變磚，還能竄改Rabbit r1的回應或是置換Rabbit r1的聲音，更令人訝異的是，研究人員指出Rabbit r1早就知道其裝置的API金鑰外洩，卻一直未採取行動。</p> <p>甫於去年才成立的Rabbit主要開發支援自然語言介面的作業系統與硬體，所打造的rabbit OS是基於大型語言模型（LLM）及大型動作模型（Large Action Model ，LAM），意味著其指令不僅可生成解答，還可用來執行動作。Rabbit在今年1月<a href="https://www.rabbit.tech/newsroom/introducing-r1" target="_blank">發表了</a>委由Teenage Engineering製造的AI裝置Rabbit r1，售價199美元，<a href="https://www.rabbit.tech/newsroom/r1-lam-updates" target="_blank">已於今年3月出貨</a>。</p> <p>Rabbit r1是個小型裝置，具備SIM卡插槽，能與LLM對話，可透過Perplexity進行搜尋，支援AI視覺，能夠進行雙向翻譯，也可利用AI來摘要文字，其LAM功能則包括播放Spotify等音樂程式、叫車或叫外賣。不過，SIM卡只是用來使用網路，Rabbit r1並非手機，既不支援撥打電話，亦無簡訊功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0627-rabbit%20r1.png" style="width: 500px;" /></p> <p>發現相關漏洞的是專門針對Rabbit r1專案進行反向工程的<a href="https://rabbitu.de/articles/security-disclosure-1" target="_blank">Rabbitude社群</a>，研究人員表示，他們在今年5月存取了Rabbit r1的程式碼庫，並發現其中含有許多寫死的API金鑰，包括將文字轉譯成語音的ElevenLabs、語音轉文字的Azure系統、評論服務Yelp，以及Google Maps。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0627-rabbitude(1).png" style="width: 500px;" /></p> <p>其中的ElevenLabs金鑰甚至具備了完整權限，允許任何人取得該服務的完整歷史紀錄，變更及刪除所使用的聲音，添加客製化的文字置換能力，更有令Rabbit r1裝置變磚的能力。</p> <p>研究人員還指出，其實Rabbit團隊也知道其API金鑰已經外洩，卻未採取任何行動，任由它們存在於程式碼中，之所以未公布所有細節是為了尊重Rabbit r1用戶，而非Rabbit。</p> <p>在Rabbit r1上市後，也有許多媒體測試了該裝置，對它的評價還低於Humane的<a href="https://www.ithome.com.tw/news/162250" target="_blank">Ai Pin</a>，例如<a href="https://www.engadget.com/rabbit-r1-review-a-199-ai-toy-that-fails-at-almost-everything-161043050.html" target="_blank">Engadget</a>稱這個AI玩具在各方面都是失敗的，<a href="https://www.pcmag.com/reviews/rabbit-r1" target="_blank">PCMag</a>還說它的優點只有便宜跟造型可愛，其它不管是性能、功能、操作介面或電池壽命都不怎樣；<a href="https://www.tomsguide.com/ai/rabbit-r1-review" target="_blank">Tom's Guide</a>更直接勸告消費者不要買Rabbit r1。Rabbit未曾公布Rabbit r1的銷售量。</p> <p>同樣身為AI裝置，曾經備受期待，卻在產品現身後評價不佳的Ai Pin，其製造商Humane已傳出<a href="https://www.ithome.com.tw/news/163054" target="_blank">有意求售</a>的消息。</p> </div></div></div>
2024/6/27 15:28作者陳曉莉https://www.ithome.com.tw/news/163682
7家AI資料集供應商成立聯盟，推動符合著作權法的AI模型開發標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7家涉及音樂、聲音、影像、文字與技術的AI資料集供應商，在周三（6/26）<a href="https://www.thedpa.ai/post/leading-dataset-licensors-unite-to-launch-the-dataset-providers-alliance-dpa" target="_blank">共同宣布成立資料集供應商聯盟</a>（Dataset Providers Alliance ，DPA），將致力於推動AI與機器學習（ML）資料集之智慧財產權的負責任與合乎道德的授權活動，以於快速發展的AI及ML領域中宣導內容創作者的權利。</p> <p>相較於<a href="https://www.ithome.com.tw/news/162587" target="_blank">金融時報</a>、華爾街日報、<a href="https://www.ithome.com.tw/news/163046" target="_blank">紐約時報</a>、美國唱片業協會（RIAA）或Reddit等知名組織直接與AI業者簽署協議，DPA的創始成員多半為新創，採用聯盟型態或許可取得更好的談判籌碼。</p> <p>這7家業者包括全球音樂授權機構Rightsify，去年才成立且專門提供AI音樂資料集的GCX，專注於視覺AI解決方案的vAIsual，專門提供資料標註服務的Pixta AI，廣納音樂、圖像、視覺與創意藝術家的社群平臺ado，專門供應高品質影片及書籍文字以訓練AI模型的Calliope Networks，以及資料商店Datarade等。</p> <p>DPA的任務包括推動AI與ML資料集知識產權內容授權的透明度與標準化，教育市場使用合法資料的重要性，推動資料供應商，推動AI/ML研究人員及業界合作夥伴之間的溝通與合作，宣導內容創作者與權利人的權益，以及在鼓勵與開發尖端AI/ML技術的同時確保智慧財產權的保護。</p> <p>簡言之，DPA是要建立訓練AI模型所使用資料的合法授權的透明度及標準化，並準備在今年7月發表一份有關資料集授權標準的白皮書，讓DPA成為資料集供應商的代言人，並讓開發者得以存取大量高品質的AI訓練內容。</p> </div></div></div>
2024/6/27 14:21作者陳曉莉https://www.ithome.com.tw/news/163679
勒索軟體LockBit聲稱入侵美國聯準會，竊得33 TB敏感資料，但傳出遭駭的實際上是一家銀行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站SecurityAffair、Cybernews報導，6月24日惡名昭彰的勒索軟體駭客組織LockBit聲稱，<a href="https://securityaffairs.com/164873/cyber-crime/lockbit-claims-hacked-us-federal-reserve.html">他們駭入美國聯邦儲備系統（聯準會）的系統</a>，竊得33 TB敏感資料，當中包含了「美國的銀行秘密」，要脅若不在期眼內付錢，將於25日公布這批資料。然而，這些駭客並未公布部分內容供買家查證，引起多名資安專家質疑，LockBit這麼做其實只是在虛張聲勢。</p> <p>隔天，<a href="https://cybernews.com/news/lockbit-ransomware-us-federal-reserve-published/">該組織公布了21個下載連結</a>，但值得留意的是，有部分疑似來自美國金融機構Evolve Bank and Trust，而且，這些駭客還附上聯準會6月14日<a href="https://www.federalreserve.gov/newsevents/pressreleases/enforcement20240614a.htm">針對這家金融機構進行執法行動的新聞稿</a>，當時聯準會表示這家銀行在洗錢防治、風險管理、消費者法規遵循的執行上出現瑕疵。</p> <p><a href="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/federal-reserve-lockbit-claim.jpg" style="width: 580px;" /></a></p> <p>但這些資料究竟來自聯準會還是Evolve Bank and Trust？<a href="https://www.bleepingcomputer.com/news/security/lockbit-lied-stolen-data-is-from-a-bank-not-us-federal-reserve/">網路威脅監控公司HackManac透露</a>，根據駭客公布的資料，對方顯然入侵了Evolve Bank and Trust，但目前並未發現機密文件的情況，該公司仍著手持續調查當中。</p> <p>資安新聞網站Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/lockbit-lied-stolen-data-is-from-a-bank-not-us-federal-reserve/">向這家金融機構進行確認</a>，他們表示得知有駭客組織在暗網發布非法取得的資料，正在著手調查此事，而對於受到影響的客戶，他們將會提供信用監控及身分盜用保護服務。</p> </div></div></div>
2024/6/27 10:55作者周峻佑https://www.ithome.com.tw/news/163671
蘋果發布AirPods韌體更新，修補藍牙耳機配對漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月25日蘋果針對旗下藍牙耳機AirPods<a href="https://support.apple.com/zh-tw/HT214111">發布韌體更新6A326、6F8</a>，修補身分驗證漏洞CVE-2024-27867，這項漏洞影響第2代以上的AirPods、所有型號的AirPods Pro、AirPods Max，以及Beats旗下的Powerbeats Pro、Beats Fit Pro。</p> <p>而對於這項漏洞帶來的影響，蘋果指出，當使用者的耳機在搜尋已成功配對的裝置時，攻擊者若是在藍牙訊號的範圍內，就有機會冒充已配對的裝置，從而取得存取耳機的權限。換言之，攻擊者可能藉此竊聽用戶的聲音。</p> <p>他們也對於韌體派送的部分提出說明，指出使用者若是透過iPhone、iPad、Mac電腦與耳機連線，就會自動派送相關的韌體更新。</p> <p>若成功取得上述更新，第2及第3代AirPods、第1代AirPods Pro、AirPods Max將會執行6A326版韌體；第2代AirPods Pro及Powerbeats Pro、Beats Fit Pro則會搭載6F8版韌體。</p> </div></div></div>
2024/6/27 11:29作者周峻佑https://www.ithome.com.tw/news/163674
微軟管理不當，致離職員工竊取美醫院百萬病患個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國賓州一家醫療院所Geisinger Health去年因微軟IT管理不當，讓一名員工離職後仍可存取其系統並竊取超過100萬病患個資。</p> <p>Geisinger Health是美國知名醫療院所，擁有10個院區、2.6萬名員工包括1,600多位醫師，其醫療計畫下的企業及政府方案有60萬會員，年營收100億美元。</p> <p><a href="https://www.geisinger.org/about-geisinger/news-and-media/news-releases/2024/06/24/18/17/geisinger-provides-notice-of-nuances-data-security-incident" target="_blank">Geisinger說明</a>，去年11月29日Geisinger發現隷屬於微軟的Nuance員工存取其病患資訊系統，而且是在他被公司解職後2天所為。在獲得客戶通知後，Nuance已永久終止這名前員工的系統存取權。目前這名員工已遭到逮捕，將面臨起訴。</p> <p>微軟是在2021年<a href="https://www.ithome.com.tw/news/143790" target="_blank">收購</a>語音技術供應商Nuance，並將其技術整合AI模型提供語音聽寫方案<a href="https://www.ithome.com.tw/news/156015" target="_blank">DAX</a>，後者可用於醫療情境，像是產生臨床筆記、醫囑、電子病歷等。</p> <p>經過調查，這起事件導致Geisinger超過100萬病患資訊被這名前微軟員工存取。遭到存取的資訊包括病患姓名、生日、住家地址、入／出院及轉診號碼、病歷號、種族、性別、電話及醫療設施名稱縮寫。但保險理賠、保險資訊、信用卡、銀行帳戶及其他財務資訊、與社會安全號碼都未受影響。</p> <p>媒體The Register報導，這不是Nuance第一次IT管理不當。2018年舊金山公共健康部也<a href="https://www.nbcbayarea.com/news/local/sf-public-health-officials-inform-895-patients-about-data-breach/178406/" target="_blank">遭Nuance離職員工存取</a>了當地醫療網絡的IT系統，包括2家醫院近900名病患的醫療謄寫紀錄。</p> </div></div></div>
2024/6/27 10:57作者林妍溱https://www.ithome.com.tw/news/163672