iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 33篇
近 24 小時: 33篇
近 7 天: 130篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 23:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 130 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】8月7日，法國博物館驚傳遭遇勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>奧運賽事正如火如荼進行，臺灣也有不少選手獲得佳績，但在此同時，提供擊劍和跆拳道比賽場地的法國巴黎大皇宮（Grand Palais Rmn），傳出遭遇網路攻擊，當地媒體取得知情人士的說法，這起事故是勒索軟體攻擊，駭客疑似打算向博物館索討贖金。</p> <p>不過，由於所有的博物館及奧運賽事皆正常運作，這樣的說法隨即就遭到否認，其中一個被點名的博物館羅浮宮出面反駁，他們並未遭遇勒索軟體攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164345"><strong style="font-size: 22px;">法國博物館傳出遭遇勒索軟體攻擊，但遭到相關單位否認</strong></a></p> <p>正當奧運在法國舉行之際，法國巴黎大皇宮（Grand Palais Rmn）<a href="https://presse.rmngp.fr/le-grandpalaisrmn-vise-par-une-cyberattaque/">證實</a>在8月3到4日晚間遭遇網路攻擊，他們的技術團隊全面動員因應，並尋求法國網路安全局（ANSSI）、文化部協助調查並重建網路環境。他們強調營運並未受到影響，即將於11日舉行的奧運賽事會正常進行，該機構管理的36家博物館及其精品商店均正常運作，而且，目前尚未發現駭客存取內部資料的跡象。但當地媒體取得知情人士的說法，這很有可能是勒索軟體攻擊事故。</p> <p>最早報導此事的媒體是巴黎人報（Le Parisien），他們在8月5日指出，攻擊者加密數個博物館的財務資料，而且資料已經外流，並打算索討贖金，這些博物館包含了羅浮宮。對此，羅浮宮幕僚長Matthias Grolier聲稱，他們沒有遭遇勒索軟體攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164347"><strong style="font-size: 22px;">新加坡1.3萬學生上課用平板筆電停擺，原因是數位教室管理平臺Mobile Guardian遇駭</strong></a></p> <p>專攻教育市場的行動裝置管理（MDM）方案業者Mobile Guardian發布資安公告，表示他們在8月4日遭遇資安事故，導致列管的iOS及ChromeOS裝置遭到未經授權存取，該公司北美、歐洲、新加坡等地區的用戶都受到影響，有部分用戶的裝置被遠端抹除內容。值得留意的是，臺灣也有學校採用他們的解決方案而可能受害。</p> <p>該公司宣稱僅有少部分的用戶裝置受到影響，並未說明實際數量。新加坡教育部指出，根據初步調查的結果，當地26所採用該廠牌MDM系統的中學，約有1.3萬名學生的設備資料遭到抹除，目前尚未發現攻擊者存取學生資料的跡象。</p> <p><a href="https://www.ithome.com.tw/news/164348"><strong style="font-size: 22px;">兩組北韓駭客利用竄改與有更新漏洞的遠端安全存取軟體，散布惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/A_yCBzi3I0x3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A_yCBzi3I0x3.png" style="width: 300px; float: right;" /></a>8月5日韓國國家網路安全中心（NCSC）發布資安公告，指出北韓駭客組織Kimsuky（APT43）、Andariel（APT45）利用VPN系統的軟體更新缺陷散布惡意程式，並破壞受害組織的網路環境。NCSC指出，雖然這些駭客發動攻擊的事故不時傳出，但這兩組人馬不僅同時對相同的企業組織出手，攻擊的動機也相同，這樣的情況相當罕見。</p> <p>而對於兩個駭客組織發動攻擊的目的，NCSC認為與北韓領導人金正恩在2023年1月提出全國工業現代化的專案有關，研判很有可能是要從受害組織竊取機密資料。</p> <p><a href="https://www.ithome.com.tw/news/164334"><strong style="font-size: 22px;">駭客疑似鎖定配置不當的Jupyter Notebook，企圖利用Minecraft套件將其打造成DDoS攻擊工具</strong></a></p> <p>在程式開發與資料科學領域常用的Jupyter Notebook，去年傳出駭客將其植入惡意程式用來挖礦，以及竊取AWS、Google Cloud帳密的情況，最近又出現新一波的攻擊行動，不同的是，駭客很有可能是將這類伺服器納入攻擊工具。</p> <p>資安業者Aqua Security揭露名為Panamorfi的DDoS攻擊行動，名為yawixooo的駭客利用Java打造、針對電玩遊戲Minecraft伺服開發的DDoS工具mineping作案，鎖定組態配置不當的互動式運算平臺Jupyter Notebook下手，植入mineping用來發動DDoS攻擊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.crowdstrike.com/blog/channel-file-291-rca-available/"><strong style="font-size: 20px;">針對7月19日全球更新大當機事故，CrowdStrike再度提出新的說明</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/hacker-scrapes-publishes-crowdstrike-ioc-list/">駭客組織USDoD聲稱握有資安業者CrowdStrike掌握的駭客名冊，以及2.5億筆入侵指標資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securitylabs.datadoghq.com/articles/stressed-pungsan-dprk-aligned-threat-actor-leverages-npm-for-initial-access/">北韓駭客組織Moonstone Sleet透過NPM套件向Windows電腦散布惡意程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=212026&SPOKE_DATE=20240805&COMPANY_ID=6751">資訊系統供應商智聯服務內部資訊系統遭到攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=161226&SPOKE_DATE=20240805&COMPANY_ID=9912">顯示器製造商偉聯科技傳出遭遇網路攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164342"><strong style="font-size: 22px;">Google發布8月份安卓例行更新，修補零時差漏洞CVE-2024-36971</strong></a></p> <p>8月5日Google針對安卓作業系統發布本月例行更新，總共公布、修補45個漏洞，其中包含一項零時差漏洞CVE-2024-36971。</p> <p>CVE-2024-36971最初在今年6月公布，存在Linux作業系統核心，問題是網路路由管理元件的記憶體釋放後，又能再存取使用（UAF），CVSS風險評為7.8分，Linux基金會已於同月著手修補。一旦攻擊者取得系統層級的權限，就有機會利用漏洞來竄改網路連線的組態。</p> <p>值得留意的是，Google在資安公告中提及，這項漏洞已出現針對性攻擊的跡象。換言之，有心人士能在具有這個漏洞的裝置上執行任意程式碼，而且，過程中無需使用者互動。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164335"><strong>【8月6日】達美航空、CrowdStrike將針對EDR系統大當機事故對簿公堂</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164301"><strong>【8月5日】研究人員公布去年中國駭客APT41攻擊臺灣研究機構的事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164277"><strong>【8月2日】駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件，目標是Raydium區塊鏈用戶</strong></a></p> </div></div></div>
2024/8/7 18:00作者周峻佑https://www.ithome.com.tw/news/164356
兩組北韓駭客利用竄改與有更新漏洞的遠端安全存取軟體，散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月5日<a href="https://www.ncsc.go.kr:4018/main/cop/bbs/selectBoardArticle.do?bbsId=SecurityAdvice_main&nttId=146934&pageIndex=1&searchCnd2=">韓國國家網路安全中心（NCSC）發布資安公告</a>，指出北韓駭客組織Kimsuky（APT43）、Andariel（APT45）利用VPN系統的軟體更新缺陷散布惡意程式，並破壞受害組織的網路環境。NCSC指出，雖然這些駭客發動攻擊的事故不時傳出，但這兩組人馬不僅同時對相同的企業組織出手，攻擊的動機也相同，這樣的情況相當罕見。</p> <p>而對於兩個駭客組織發動攻擊的目的，NCSC認為與北韓領導人金正恩在2023年1月提出全國工業現代化的專案有關，研判很有可能是要從受害組織竊取機密資料。</p> <p>這份公告揭露的第一起資安事故，是<a href="https://asec.ahnlab.com/en/61934/">資安業者AhnLab於今年2月公布的Kimsuky攻擊行動</a>，這些駭客在1月破壞韓國的營造貿業組織的網站，並向瀏覽的使用者散布惡意軟體。</p> <p>AhnLab當時透露，一旦員工成功登入該組織的網站，此系統就會以安全為由，要求使用者安裝名為NX_Prnman或TrustPKI的軟體，但這些安裝程式都遭到竄改。在使用者安裝的過程，就會一併將駭客的竊資軟體TrollAgent植入電腦。研究人員提及，駭客使用了韓國國防公司D2Innovation的名義為安裝程式簽章，而能繞過防毒軟體的偵測。</p> <p><a href="https://s4.itho.me/sites/default/files/images/A_yCBzi3I0x3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A_yCBzi3I0x3.png" style="width: 580px;" /></a></p> <p>若是使用者的電腦感染了竊資軟體，駭客將竊取瀏覽器儲存帳密、cookie、上網記錄、書籤等個人資料，以及GPKI憑證、SSH金鑰、Filezilla的組態設定。NCSC透露，這起事故的受害範圍，涵蓋當地營造業者、公共機構、地方政府機關。</p> <p>另一起資安事故則是發生在今年4月，駭客組織Andariel鎖定韓國國防VPN軟體VPN and server security的通訊協定，觸發特定的弱點，而能推送假的軟體更新，從而散布惡意程式DoraRAT。NCSC指出，這起攻擊行動的目標，是營造業者與機械器具公司。</p> <p><a href="https://s4.itho.me/sites/default/files/images/A_JTMlWOC1wg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A_JTMlWOC1wg.png" style="width: 580px;" /></a></p> <p>這項弱點可讓攻擊者利用封包欺騙使用者的電腦，從而誤導電腦合法伺服器已有更新檔案可下載，而能夠部署惡意程式。</p> <p>駭客利用DoraRAT竊取大型檔案，其中包含機械與設備設計文件，並將其傳送到C2伺服器。</p> </div></div></div>
2024/8/7 17:00作者周峻佑https://www.ithome.com.tw/news/164348
數位部開始推動公部門AI培訓計畫，今年底估培養至少700位公務員具備AI技能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院去年8月通過行政院及所屬機關使用生成式AI參考指引，為公部門運用生成式AI提供指引，並責由數位部建立相關規範及訓練機制，加速公部門運用AI提升行政效率，數位部今天（8/7）宣布啟動公部門AI培訓計畫，預估今年底可望培養至少700位公務人員具備AI基本技能。</p> <p>數位部即日起到年底將舉辦超過20場公部門AI實戰工作坊，另外，將提供線上AI學習資源，開放公務人員及一般民眾線上學習AI基本技能，期望不只政府部門運用AI提高行政及民生服務效率，一般企業也能運用AI提高生產力。</p> <p>數位部指出，公務人員掌握基本AI應用技能，是國家數位轉型的關鍵，因此策畫一系列AI實戰工作坊，內容涵蓋AI基礎知識、核心演算法、應用實例、實機操作等等。藉此提升不同單位、職級公務人員具備AI基本技能，至少培訓700位公務人員具備AI即戰力。</p> <p>目前數位部推動的AI培訓內容，以培訓AI應用的基礎認知，包括有哪些AI工具可以使用及生成式AI服務，並且依照行政院及所屬機關使用生成式AI參考指引，向公務人員宣導哪些公務行為不可使用公共的生成式AI服務。這些課程並沒有限制公務人員的身分，數位部強調只要公務上需要，都可以使用線上資源，線上AI課程也納入公務人員學習時數。</p> <p>此外，數位部也會和人事行政總處合作，針對公部門資訊人員、主管、機關首長，提供相關的AI培訓課程，不只是基層公務人員，讓資訊單位、主管、首長也具備合適的AI知識或技能。</p> <p>自總統賴清德在今年520上任後，提出將台灣發展為人工智慧島的願景，並由行政院長卓榮泰組成行動創新AI內閣，明確將推動政府機關採用AI列為智慧政府轉型的目標，以提高公務效率、民眾服務的目標。為了更積極推動公部門導入AI，卓榮泰今天也出席部會副首長AI共識營，宣示政府推動AI的決心。</p> </div></div></div>
2024/8/7 17:56作者蘇文彬https://www.ithome.com.tw/news/164354
新加坡1.3萬學生上課用平板筆電停擺，原因是數位教室管理平臺Mobile Guardian遇駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供學校及學區的行動裝置管理（MDM）方案業者Mobile Guardian發布資安公告，<a href="https://www.mobileguardian.com/security-incident-august-2024/">表示他們在8月4日遭遇資安事故</a>，導致列管的iOS及ChromeOS裝置遭到未經授權存取，該公司北美、歐洲、新加坡等地區的用戶都受到影響，值得留意的是，有部分用戶的裝置被遠端抹除內容。</p> <p>該公司表示，為了防止受害範圍擴大，他們已經停止伺服器的運作，使用者暫時無法存取該MDM平臺，學生的裝置也會受到影響。</p> <p>Mobile Guardian的行動裝置管理平臺專門針對K-12學校打造，不僅能管理多種平臺（安卓、Chromebook、iOS、Windows、macOS）的學生上課裝置，並結合教室管理工具、上網過濾，以及家長管控的功能。值得留意的是，臺灣也有學校採用他們的解決方案，有可能因此受害。</p> <p>值得留意的是，該公司宣稱僅有少部分的用戶裝置受到影響，並未說明實際數量。<a href="https://www.moe.gov.sg/news/press-releases/20240805-mobile-guardian-device-management-application-to-be-removed-from-personal-learning-devices">新加坡教育部指出</a>，根據初步調查的結果，當地26所採用該廠牌MDM系統的中學，約有1.3萬名學生的設備資料遭到抹除，目前尚未發現攻擊者存取學生資料的跡象。</p> <p>對此，新加坡教育部將移除所有iPad與Chromebook上的Mobile Guardian裝置管理應用程式，並設法將這些設備復原，為受害學生提供相關技術協助。</p> </div></div></div>
2024/8/7 16:00作者周峻佑https://www.ithome.com.tw/news/164347
Google發表TV Streamer取代Chromecast、公布第4代Nest溫控裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在宣布Nest裝置<a href="https://www.ithome.com.tw/news/164340" target="_blank">加入</a>Gemini AI功能同時，Google昨日也同步<a href="https://blog.google/products/google-nest/nest-thermostat-google-tv-streamer-design-details/" target="_blank">發表二款新智慧家庭裝置產品</a>，包括取代Chromecast的Google TV Streamer，以及第4代溫控裝置<a href="https://blog.google/products/google-nest/new-learning-thermostat/" target="_blank">Nest Learning Thermostat</a>。</p> <p>全新的Google TV Streamer為整合AI的家庭娛樂設備，旨在取代Chromecast。Google TV Streamer內建Google TV平臺軟體，可搭配Google Home系列及Matter標準相容裝置，成為智慧家庭中樞。</p> <p>在硬體規格方面，Google TV Streamer整合了MediaTek晶片（MT8696 MediaTek）、32GB記憶體及4K HDR Dolby Vision及Dolby Atmos影音規格。可支援YouTube TV、Netflix、Disney+、Apple TV及800多個免費頻道，提供付費與免費節目存取。內建的Google AI可根據用戶使用習慣及偏好顯示所有訂閱內容建議，用戶也可根據推薦為家中成員建立觀看清單。Google TV平臺上的Gemini（下圖）則可為節目內容生成簡介、評論和分季內容介紹，方便追劇。利用Google TV Streamer，用戶還可輸入或聲控下指令，將Google Photos的相片投影到閒置中的數位電視上，或是將手機節目或音樂串流到電視上播放。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-Google%20TV%20Streamer-4(1).jpg" style="width: 600px;" /></p> <p>為串流影音節目，Google TV Streamer支援Wi-Fi網路與乙太網路上網，在物聯網規格上，則內建Thread邊界路由器（border router）及Matter標準支援，允許用戶安全連接家中智慧門鎖及動作感測器。Google TV Streamer還有Google Home面板（下圖），可讀取支援的裝置，如Nest Doorbell拍攝的影像、Nest Learning Thermostat指數、設定家中照明和溫度、窗帘，還能和Google Home App自動同步。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-Google%20TV%20Streamer-3(1).png" style="width: 600px;" /></p> <p>第4代Nest Learning Thermostat LCD顯示器採無邊框設計，比前一代大60%，新的Dynamic Farsight設計讓溫、濕度、空氣品質及時間等數字看得更清楚。內建的AI功能可學習用戶使用習慣，還能提供節能建議，用戶可在Google Home App中選擇接受或拒絕。新一代Nest Learning Thermostat並加入整合通風系統的Smart Ventilation功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-Nest%20Learning%20Thermostat.png" style="width: 600px;" /></p> <p>Google TV Streamer定價99.99美元，有陶瓷白和榛果色，目前僅在美國Google Store上架。第4代Nest Learning Thermostat提供黑、銀、金三色選擇，售價$279.99美元，現在已提供預購，預計8月20日在美、加開賣。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2024/8/7 15:00作者林妍溱https://www.ithome.com.tw/news/164341
X控告廣告產業非法聯手抵制該平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.courthousenews.com/wp-content/uploads/2024/08/x-lawsuit-against-advertisers.pdf" target="_blank">X在本周控告</a>世界廣告主聯合會（World Federation of Advertisers，WFA），以及聯合利華（Unilever）、瑪氏食品（Mars）、醫療保健公司CVS Health及沃旭能源（Ørsted A/S）等業者聯手非法抵制該平臺，認為它們違反了反托拉斯法令。</p> <p>X的指控主要是針對WFA在2019年發起的全球負責任媒體聯盟（Global Alliance for Responsible Media，GARM），該聯盟建立了全球統一的品牌安全與媒體責任標準，以確保廣告不會出現在仇恨言論、暴力內容或不實資訊之旁。</p> <p>X於訴狀中指出，當馬斯克（Musk）在2022年11月收購Twitter時，身為GARM成員的許多廣告主聯繫了該聯盟，了解GARM對Twitter的看法，當時GARM表達了Twitter對遵守GARM標準的擔憂。一時之間，數十家廣告主同意並一同抵制了Twitter，取消或減少對Twitter的廣告支出。</p> <p>馬斯克對外宣稱，買下Twitter（2023年7月更名為X）的原因之一，便是要讓Twitter成為真正的言論自由平臺，因此，在馬斯克接管Twitter之後，Twitter的確放寬其內容審核標準，使得該平臺上的群魔亂舞，但之後卻又因馬斯克的個人喜好，而讓某些帳號直接被停權。</p> <p>放縱的內容讓廣告主開始逃竄，這或許無可厚非，但X指出，GARM不僅建議廣告主抵制Twitter，還因其行動造成Twitter營收下滑而展開慶祝，吹噓它們讓Twitter營收比預期少了80%。此外，就算X已經採用了與其競爭對手相當的品牌安全標準，並已達到或超越GARM所提出的標準，但相關的抵制與影響一直延續至今。</p> <p>X認為，GARM此一行為是赤裸裸的貿易限制，在一個可競爭的市場，每個社交平臺都會設定最適合該平臺及其用戶的品牌安全標準，而廣告主則可自行選擇投放廣告的平臺，但不同的廣告主透過集體行動來規定社交媒體的品牌安全標準，將會縮短競爭過程，也會讓擁有市場力量的廣告主觀點凌駕於消費者的利益之上。</p> </div></div></div>
2024/8/7 15:23作者陳曉莉https://www.ithome.com.tw/news/164346
Google發布8月份安卓例行更新，修補零時差漏洞CVE-2024-36971
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月5日Google針對安卓作業系統<a href="https://source.android.com/docs/security/bulletin/2024-08-01#Android-and-Google-service-mitigations">發布本月例行更新</a>，總共公布、修補45個漏洞，其中包含一項零時差漏洞CVE-2024-36971。</p> <p>CVE-2024-36971最初在今年6月公布，存在Linux作業系統核心，問題是網路路由管理元件的記憶體釋放後，又能再存取使用（UAF），CVSS風險評為7.8分，Linux基金會已於同月著手修補。一旦攻擊者取得系統層級的權限，就有機會利用漏洞來竄改網路連線的組態。</p> <p>而對於這項漏洞也影響安卓作業系統的情況，Google指出是他們旗下的威脅情報團隊（TAG）察覺此事。</p> <p>值得留意的是，Google在資安公告中提及，這項漏洞已出現針對性攻擊的跡象。換言之，有心人士能在具有這個漏洞的裝置上執行任意程式碼，而且，過程中無需使用者互動。</p> </div></div></div>
2024/8/7 12:23作者周峻佑https://www.ithome.com.tw/news/164342
Google DeepMind科學家Nicholas Carlini捍衛LLM，認為AI並未被過度炒作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在2022年11月底發表的ChatGPT引爆了全球的AI熱潮，業者爭相投入龐大資源以開發AI模型與服務，在經歷了超過一年的快速成長之後，今年開始出現AI已被過度炒作的聲浪，還有人說AI即將泡沫化，但Google DeepMind專門研究機器學習與電腦安全的科學家<a href="https://nicholas.carlini.com/writing/2024/how-i-use-ai.html" target="_blank">Nicholas Carlini並不這麼認為</a>，他以自身對AI的應用，來說明大型語言模型（LLM）是個真正有幫助，可以提高生產力的工具。</p> <p>Carlini表示，過去一年以來，他每周至少花幾個小時與各種不同的大型語言模型互動，對於這些LLM的進步能力印象深刻，網路上對於LLM的討論有樂觀也有悲觀，但他並不想爭論LLM的未來，只想提供身為一名研究人員與不同LLM之間的互動案例。</p> <p>其中，Carlini在LLM的協助下，使用過去從未用過的技術建置完整的Web應用程式；LLM教他如何使用從未用過的框架；將數十個程式轉換成C或Rust，以提高10~100倍的效能；裁剪大型程式碼庫以簡化專案；替他先前寫的每一篇研究論文撰寫實驗性程式碼；自動執行所有單調的任務或一次性腳本程式；在設定與配置新封包或專案時，幾乎完全取代了網頁搜尋；在除錯時可取代50%的網頁搜尋。</p> <p>Carlini所舉的例子大致可以分成學習及自動化無聊的任務，他說，這些例子只占了他使用LLM方式的不到2%，它們並不有趣，卻是他每天從事的任務。他只是要說，LLM真的是有用且可提高其生產力的工具，利用不同的LLM來替他的專案撰寫程式碼，至少可節省50%的時間。</p> <p>不過，批評AI是種炒作的看法卻是角度各異，不像是光靠Carlini的解釋就能滿足的。例如共同創辦非營利媒體The Markup的評論家<a href="https://www.nytimes.com/2024/05/15/opinion/artificial-intelligence-ai-openai-chatgpt-overrated-hype.html" target="_blank">Julia Angwin今年5月指出</a>，AI雖然征服了許多以前無法想像的任務，但之後的研究發現其某些成就被OpenAI誇大了，此外，AI模型通常可以產出一份還不錯的初稿，不過，修改它的時間大概等於她自己完成工作所需的時間。</p> <p>軟體工程專家<a href="https://www.linkedin.com/pulse/why-i-think-generative-ai-overhyped-jonathan-xia-ddzic" target="_blank">Jonathan Xia今年4月時表示</a>，生成式AI被炒作了。因為投資者給了太多的錢，期許那些遠遠還未得到證實的商業應用，而且現有的技術很快就會遇到難以突破的瓶頸。</p> <p>Xia說，他曾經以ChatGPT來寫程式碼，發現它產生的程式碼是合理的且格式簡潔，但卻是錯的。他還說生成程式碼已經是LLM最好的應用之一了，因為倘若以它來進行法律研究，它會生成不存在的案例；讓它跟客戶交談，可能會提供不存在的交易；而且永遠不會有原創，只是陳腔濫調。Xia也懷疑外界對於生成式AI可能會有指數型成長的論點。</p> <p>華盛頓郵報（The Washington Post）也<a href="https://www.washingtonpost.com/technology/2024/04/18/ai-bubble-hype-dying-money/" target="_blank">在今年4月認為</a>，AI泡沬正在破滅。該報所列出的原因主要是開發模型需要投入大規模的硬體資源與成本，但短期內無法看到相對應的回報。</p> <p>加拿大新聞人Paris Marx<a href="https://disconnect.blog/ai-hype-is-over-ai-exhaustion-is-setting-in/" target="_blank">亦於今年5月指出</a>，AI的泡沫化指日可待。Marx說，AI公司的估值已從最高點下滑，雲端供應商正在降低客戶對AI工具的期望，因為機器人依舊在犯錯，而且業者尚不知如何從如此昂貴的技術中賺錢，更把對氣候的承諾拋向了腦後。</p> </div></div></div>
2024/8/7 13:02作者陳曉莉https://www.ithome.com.tw/news/164344
法國龍頭博物館遭網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正當奧運在法國舉行之際，法國博物館法國巴黎大皇宮（Grand Palais Rmn）及羅浮宮於上周疑似遭到勒索軟體攻擊。</p> <p>大皇宮建物是法國古蹟、博物館，也是多家博物館及文化活動的管理單位。在今年奧運中，大皇宮也作為擊劍和跆拳道等競賽項目的場館。</p> <p>媒體<a href="https://www.leparisien.fr/high-tech/cybersecurite-le-grand-palais-et-plusieurs-musees-dont-le-louvre-victimes-dune-attaque-par-rancongiciel-05-08-2024-LYA4YVRAW5CQHPVRHSC3LAGPHM.php" target="_blank">Le Parisien</a>引述消息報導，法國巴黎大皇宮（Grand Palais Rmn）在8月3到4日之間遭到勒索軟體攻擊。報導指出，數個相關機構的財務資料系統遭到鎖定，資料已經被竊取，歹徒意在勒索贖金，此外，攻擊也波及了羅浮宮。</p> <p>消息遭官方否認。羅浮宮幕僚長<a href="https://x.com/matthiasgrolier/status/1820721589106725088" target="_blank">Matthias Grolier聲稱</a>羅浮宮沒有遭到任何勒索軟體攻擊。</p> <p><a href="https://presse.rmngp.fr/le-grandpalaisrmn-vise-par-une-cyberattaque/" target="_blank">大皇宮證實</a>在8月3、4日間遭網路攻擊。該單位說其技術團隊全力動員以緩解事件，而且聯絡法國相關單位分析情況，與回復網路運作。大皇宮雖然已通報法國主管機關，但有別於報導，該機構聲稱，唯一受影響的是36家書店和精品店，其網路和大皇宮網路是分開，IT單位很快就切斷網路以防止災害蔓延，因此他們沒有偵測到資料外洩，攻擊事件也未影響到業務運作，包括奧運賽事進行，而書店和精品店在網路中斷期間仍能向大眾開放。</p> <p>不過歷屆奧運等主要賽事向來是網路攻擊的焦點。資安專家警告，剩下的賽事包括帕奧期間，主辦單位或民眾仍然可能面臨各種網路威脅，包括假售票網站、社交工程攻擊、釣魚信件攻擊等。</p> </div></div></div>
2024/8/7 13:15作者林妍溱https://www.ithome.com.tw/news/164345
駭客疑似鎖定配置不當的Jupyter Notebook，企圖將其打造成攻擊Minecraft遊戲伺服器的工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在程式開發與資料科學領域常用的Jupyter Notebook，去年傳出駭客將其<a href="https://www.ithome.com.tw/news/159423">植入惡意程式用來挖礦，以及竊取AWS、Google Cloud帳密</a>的情況，最近又出現新一波的攻擊行動，不同的是，駭客很有可能是將這類伺服器改造成攻擊工具。</p> <p>資安業者Aqua Security揭露<a href="https://www.aquasec.com/blog/panamorfi-a-new-discord-ddos-campaign/">名為Panamorfi的DDoS攻擊行動</a>，名為yawixooo的駭客利用Java打造、針對電玩遊戲Minecraft伺服開發的DDoS工具mineping作案，鎖定組態配置不當的互動式運算平臺Jupyter Notebook下手。</p> <p>對於察覺這起攻擊行動的原因，研究人員在密罐陷阱（Honeypot）看到駭客的行蹤，對方下載檔案大小為17 MB的ZIP壓縮檔，內含2個JAR檔案conn.jar、mineping.jar，他們將這些檔案上傳到惡意軟體分析平臺VirusTotal，結果只有1家防毒引擎將其視為有害。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Panamorfi-Figure1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Panamorfi-Figure1.jpg" style="width: 580px;" /></a></p> <p>其中，名為connector的JAR檔案，內含初步攻擊的程式碼，主要功能是連結駭客控制的Discord頻道，讓攻擊者得以控制DDoS攻擊流程；而另一個JAR檔案mineping，則是可直接從GitHub取得的DDoS攻擊工具，駭客用來發動TCP洪水攻擊，並將結果回傳Discord頻道。</p> </div></div></div>
2024/8/6 17:41作者周峻佑https://www.ithome.com.tw/news/164334
Gemini AI躍上Google Home裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google下周舉行硬體發表會前夕，於昨（5）日<a href="https://blog.google/products/google-nest/gemini-google-home/" target="_blank">宣布為Nest系列</a>攝影機、智慧音箱、顯示器等Google Home裝置加入Gemini多模態模型能力。</p> <p>Google已為Nest Camera加入AI功能，像是簡單的動作偵測、人臉辨識或封包偵測，不過過去Nest Camera尚無法真正理解真實環境發生的事。在最新進展下，Nest Camera使用的AI模型已升級到Gemini多模態模型。隨著用戶使用一段時間，AI模型理解能力將從特定事物（如動作、人臉和封包等）擴及到更多種，並說出最重要的意義。結合Gemini模型的Google Home App可在用戶觀看Nest Camera拍攝的影片時，為影片產出文字描述或圖說，像是「狗在花園中挖洞」。</p> <p>Google Home App還能根據用戶輸入的問題搜尋目標。例如當用戶問腳踏車是否停在院子車道上，Home App能搜尋相機歷史紀錄，只提供最相關事件清單，並給出摘要資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-google%20home%20app-gemini-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>Google也為Home平臺加入自動化能力。Home App和自動化腳本編輯器（script editor）現在都能支援100多種家用自動化指令（如開／關、暫停、調暗／調亮），允許用戶設定、串連家中聯網裝置動作，例如說出或輸入「鎖上門、關閉浴室所有電源」。</p> <p>第二，Nest智慧音箱與顯示器內建的Google Assistant也獲得Gemini模型加持。首先，這些裝置以LLM強化媒體播放或計時設定，今年內Google還會利用Gemini模型為Google Assistant加入不同腔調、類型的新聲音，並提升其理解能力，使Assistant能接受自然語言提問，和用戶產生更流暢的雙向對話，或提供更有用的建議。</p> <p>這些新AI加持的功能將在今年下半，先以公眾測試版提供給Nest Aware訂閱用戶，預料會逐步增加功能，並開放更多用戶使用。</p> <p><span class="c-message__sender c-message_kit__sender" data-qa="message_sender" data-stringify-text="林妍溱" data-stringify-type="replace" style="box-sizing: inherit; color: rgb(29, 28, 29); word-break: break-word; font-weight: var(--custom-font-weight-black,900); font-family: Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures;"><span class="p-member_profile_hover_card" role="presentation" style="box-sizing: inherit; width: fit-content; height: fit-content; display: inline-flex;"><button class="c-link--button c-message__sender_button" data-message-sender="UBR7Y6HEV" data-qa="message_sender_name" style="box-sizing: inherit; cursor: pointer; background-image: initial; background-position: 0px 0px; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial; border-width: 0px; border-style: initial; border-color: initial; padding: 0px; font: inherit; overflow: initial; text-align: initial; vertical-align: baseline; margin: 0px;" tabindex="0" type="button"></button></span></span></p> </div></div></div>
2024/8/7 11:37作者林妍溱https://www.ithome.com.tw/news/164340
AI晶片新創Groq完成6.4億美元的D輪增資，估值28億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發語言處理單元（Language Processing Unit，LPU）以加速推論的Groq，周一（8/5）<a href="https://wow.groq.com/news_press/groq-raises-640m-to-meet-soaring-demand-for-fast-ai-inference/" target="_blank">宣布</a>已完成6.4億美元的D輪增資，而此次該公司的估值達28億美元。</p> <p>Groq是由一群前Google工程師在2016年所創立，鎖定了特殊應用積體電路（ASIC）領域，並開發出LPU推論引擎，以加速大型語言模型的推論能力。Groq在今年3月<a href="https://wow.groq.com/news_press/groq-acquires-definitive-intelligence-to-launch-groqcloud/" target="_blank">買下</a>生成式AI解決方案供應商Definitive Intelligence，同時發表了整合其硬體資源與AI工具的GroqCloud服務。</p> <p>GroqCloud目前支援Meta的Llama、OpenAI的Whisper Large、Google Gemma與Mistral的Mixtral等開源模型，且迄今已吸引逾36萬名開發者。Groq表示，新資金將用來增加GroqCloud所支援的模型與功能，以及擴大其Token即服務（TaaS）的能力，包括額外部署10萬個LPU，以及招募更多人才。</p> <p>Groq的D輪增資是由BlackRock私募基金主導，並引進了思科及三星等策略資金。同一天Groq亦宣布將由曾主導HP供應鏈，以及<a href="http://www.intel.com/content/www/us/en/newsroom/news/ifs-march-2023-news.html" target="_blank">曾負責</a>英特爾代工服務（Intel Foundry Services）的Stuart Pann擔任Groq的營運長。</p> </div></div></div>
2024/8/7 11:08作者陳曉莉https://www.ithome.com.tw/news/164339
Windows智慧應用程式控制與SmartScreen存在漏洞，可被攻擊者輕易繞過
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastic安全研究實驗室<a href="https://www.elastic.co/security-labs/dismantling-smart-app-control">發現</a>，Windows的智慧應用程式控制（Smart App Control，SAC）和SmartScreen篩選工具存在弱點，可能讓攻擊者可以不觸發任何安全警告或是彈出視窗的情況下，獲得初步的存取權限。</p> <p>SmartScreen是微軟在Windows 8內建的作業系統功能，用於檢查具有網頁標記MotW（Mark of the Web）的檔案，預防網路釣魚和惡意程式碼攻擊。而微軟在Windows 11進一步引入智慧應用程式控制功能，以阻擋惡意和不受信任的應用程式。</p> <p>智慧應用程式控制是較SmartScreen更為進階的防護機制，當應用程式執行時會查詢微軟雲端服務上的資料，確認其安全性才允許執行，當智慧應用程式控制不知道應用程式是否安全，便只有具有效程式碼簽章才會被允許執行。在啟用智慧應用程式控制時，SmartScreen會取代並停用。</p> <p>研究人員發現了使用程式碼憑證來簽署惡意軟體，繞過智慧應用程式控制的方法。而且在智慧應用程式控制功能出現之前，攻擊者就已經使用這種方法來迴避偵測，最近攻擊者甚至還取得擴充驗證（Extend Validation，EV）來簽署應用程式。</p> <p>由於擴充驗證憑證需要經過身分認證，而且只能儲存在專門設計的硬體裝置上，因此要盜用這些憑證並不容易，但是攻擊者找到可以冒充企業來購買這些憑證的漏洞，研究人員指出，惡意軟體SolarMarker背後的惡意組織，在攻擊中使用了超過100個不同的簽章憑證。</p> <p>研究人員公開了三種針對基於聲譽的惡意軟體保護系統的攻擊方法，第一是利用良好聲譽的應用程式來繞過安全系統，第二則是將受控制的二進位檔案插入系統中，乍看之下無害，但實際卻可以執行惡意行為，這些二進位檔案在初期獲得良好聲譽，使其能夠規避偵測，在適當時機發動攻擊。第三種則是竄改檔案內容，攻擊者利用部分修改並不會影響檔案聲譽的漏洞，進行惡意操作。</p> <p>另外，資安人員還發現一種稱為LNK Stomping的攻擊手法，攻擊者可以利用Windows捷徑檔案進行攻擊。LNK Stomping是透過修改.lnk檔案的目標路徑或結構，讓系統在進行安全檢查之前移除MotW標籤，進而繞過SmartScreen和智慧應用程式控制的檢查。</p> <p>智慧應用程式控制和SmartScreen都存在一些根本的設計缺陷，允許攻擊者在沒有安全警告，且與用戶互動極少的情況下，獲得初步存取權限，研究人員提醒企業安全團隊還是要仔細檢查下載的內容，不要完全仰賴作業系統原生的安全功能。</p> </div></div></div>
2024/8/7 08:55作者李建興https://www.ithome.com.tw/news/164336
支援5G、增加WAN備援線路，Palo Alto推出新款網路防火牆
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/palo_alto_pa-415-5g_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著5G無線寬頻網路的普及，支援此種環境網路安全防護需求的產品日漸增加，從專攻核心網路的大型硬體設備與軟體虛擬化設備、容器化設備，拓展到邊緣網路的範疇，市面上，也出現越來越多廠商，提供5G網路支援的次世代防火牆，例如，<a href="https://www.alliedtelesis.com/tw/en/press/allied-telesis-announces-ar4050s-5g-mobile-broadband-utm-firewall-ideal-integrated-security">2022年有Allied Telesis推出的AR4050S-5G</a>，到了2023年，<a href="https://news.sophos.com/en-us/2023/02/16/sophos-introduces-5g-support-for-desktop-firewalls/">2月Sophos宣布XGS 116、126、136可選購5G網路模組</a>，<a href="https://www.ithome.com.tw/review/161806">10月Check Point發表的Quantum Rugged 1595R，可選購5G嵌入式數據機</a>，11月Palo Alto Networks推出的多款新一代硬體防火牆機型當中，也有一款標榜<a href="https://docs.paloaltonetworks.com/pan-os/11-1/pan-os-networking-admin/configure-interfaces/cellular-interfaces/configure-5g">可用於5G網路</a>的產品，稱為PA-415-5G，搭配嵌入式5G行動網路模組，本身整合了5G網路數據機與4支SDMA規格的天線（機箱前後各兩支），可快速部署、直接提供主要或備援的廣域網路（WAN）連接能力，因應業務關鍵應用系統的網路傳輸需求，毋須為了5G行動網路的連線而搭配額外的硬體設備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-415-5G-2024-02-oveeview.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/5g-cellular-interface-ip-runtime-info.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/5g-cellular-interface-ip-runtime-info.jpg" style="width: 600px;" /></a></p> <p>關於有線網路的配置，PA-415-5G總共內建9個GbE埠，裡面有8個埠都採用RJ-45接頭（Port 2至Port 9），而這當中的4個（Port 6至Port 9）可設定為乙太網路供電（PoE），每個埠可輸出91瓦的電力，剩下的1個埠可支援RJ-45與SFP（Port 1），用於遠端管理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Palo Alto-PA-415-5G-2023-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Palo%20Alto-PA-415-5G-2023-12.jpg" style="width: 600px;" /></a></p> <p>電源供應與設置環境的部分，PA-415-5G和PA-455，以及專攻OT場域的PA-450R一樣，都提供兩個接頭作為備援，前兩款搭配交流電（AC）電源轉接線，可安裝在平面或機櫃，PA-450R搭配交流電（DC）電源轉接線，可同時支援壁掛。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-415-5G-front.jpg" style="width: 600px;" /></p> <p>在解決方案的定位上，PA-415-5G隸屬於入門級產品PA-400系列，適用於大型企業的分支辦公室、零售業者的據點、中型企業，就網路與資安效能而言，PA-415-5G與PA-410、PA-415所差無幾，例如防火牆吞吐量為1.4或1.5 Gbps（同時啟用App-ID與事件記錄），威脅預防吞吐量均為0.8 Gbps（同時啟用App-ID、事件記錄、防毒、防間諜軟體、雲端惡意軟體防護、DNS防護、檔案阻擋），如果用於IPsec VPN，它們的吞吐量都是0.65 Gbps，同時連線數量最大均為6.4萬個，每秒可處理的新連線數量為1.1萬或1.14萬個。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-series overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-series%20overview.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/PA-400%20series%20Hardware.jpg" style="width: 298px;" /></p> <p>若是針對OT環境提供網路安全防護，同時需要支援5G行動網路連線，企業還可以選購其他機型，例如，<a href="https://docs.paloaltonetworks.com/whats-new/may-2024/pa-450r-5g-next-generation-firewall">Palo Alto Networks在今年5月新推出的硬體強固機型PA-450R-5G</a>，以及<a href="https://docs.paloaltonetworks.com/whats-new/june-2024/pa-410r-5g-next-generation-firewall">6月登場的PA-410R-5G</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-400 Series Performance.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-400%20Series%20Performance.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Palo Alto Networks PA-415-5G</strong><br /> ●原廠：Palo Alto Networks<br /> ●建議售價：廠商未提供<br /> ●網路介面：9個GbE埠（1個SFP/RJ45兩用埠、4個RJ45埠支援PoE、4個RJ-45埠），嵌入式5G行動網路模組，1個管理埠<br /> ●防火牆吞吐量：1.5 Gbps<br /> ●VPN吞吐量：0.65 Gbps<br /> ●防護功能全部啟用後的吞吐量：0.8 Gbps<br /> ●同時連線數：6.4萬個<br /> ●重量：3.56公斤</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/6 19:21作者李宗翰https://www.ithome.com.tw/review/164298
【資安日報】8月6日，達美航空、CrowdStrike將針對EDR系統大當機事故對簿公堂
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月19日臺灣時間下午發生的CrowdStrike更新出錯事故，導致全球各地都出現災情，其中最早傳出受害的是航空業者及醫療機構，如今有航空公司指控，他們因故招致業務停擺及名譽受損，求償5億美元。</p> <p>但CrowdStrike不以為然，認為該公司較晚復原與IT運作疏失有關，控告目的其實是在推卸責任。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164312"><strong style="font-size: 22px;">針對CrowdStrike的EDR系統大當機事故，達美航空打算求償5億美元</strong></a></p> <p>7月中CrowdStrike因安全軟體更新觸發Windows錯誤訊息及藍色死亡螢幕（BSOD），許多用戶採用應變措施以及後續更新版本後，陸續恢復上線。但達美航空（Delta Air）疑似因經歷比其他公司更長的混亂，促使該公司公開將責任歸罪到CrowdStrike頭上。</p> <p>這起事故發生後，達美航空執行長Ed Bastian說明該公司的受害情形：全公司4萬臺Windows伺服器必須手動重啟，其中一個和追蹤機組人員相關的工具受創最鉅，因其無法處理這次變更造成的系統負荷。最終，該公司和Delta Connection航空超過3,500個航班取消，以及數千班次延遲。值得留意的是，相較於其他受害的航空公司，達美航空晚了幾天恢復正常運作，必須支付7月19日到28日期間受影響旅客的賠償、行李、訂位費等，美國運輸部介入調查達美航空處置是否失當。</p> <p>為此達美航空公開指控CrowdStrike必須為其IT決策和停機回應方式負責，並求償5億美元。CrowdStrike法務長認為達美航空企圖誤導言論來轉移責任，並指出當時他們願意到場協助但遭到拒絕。</p> <p><a href="https://www.ithome.com.tw/news/164300"><strong style="font-size: 22px;">中國駭客組織Evasive Panda入侵網路服務供應商，藉由DNS中毒從事供應鏈攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/StormBamboo-image001.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/StormBamboo-image001.png" style="width: 300px; float: right;" /></a>駭客盯上不安全的軟體更新機制，藉機散布惡意程式的情況，不時有事故傳出，如今有研究人員發現，駭客竟針對網際網路服務供應商（ISP）發動攻擊，然後對部分的應用程式更新機制出手。資安業者Volexity揭露中國駭客組織Evasive Panda於去年中旬入侵ISP的攻擊行動，導致透過自動更新機制下載軟體的使用者受害，電腦被植入惡意程式。</p> <p>研究人員指出察覺這起攻擊行動的原因，他們起初偵測到搭載Windows與macOS作業系統的電腦感染Evasive Panda使用的惡意程式，但對於感染的來源最初難以確定，直到後來進一步追查，才確認是ISP層級的DNS中毒攻擊所致。駭客針對不安全的軟體更新機制下手，因為軟體開發商採用未加密的HTTP連線，且軟體更新過程並未驗證安裝程式的簽章，使得攻擊者有機可乘，用於派送Macma、MgBot等惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/164310"><strong style="font-size: 22px;">CISA對臺灣視訊監控設備廠商產品示警，表明產品漏洞已被用於攻擊行動</strong></a></p> <p>8月1日美國網路安全暨基礎設施安全局（CISA）提出警告，臺灣視訊監控解決方案業者陞泰科技（Avtech）旗下的視訊監控攝影機（IP Camera）AVM1203，存在高風險層級的命令注入漏洞CVE-2024-7029，並指出攻擊者不僅能遠端利用，觸發漏洞的難度不高，而且，已被用於攻擊行動。</p> <p>值得留意的是，CISA向陞泰通報此事並未得到回應，這項漏洞目前很有可能尚未得到修補。對此，他們認為用戶應聯繫這家廠商，取得進一步的資訊。</p> <p>該漏洞起初由資安業者Akamai向CISA通報，並經由不具名第三方組織驗證研究人員的發現，確認問題存在的產品，是搭配FullImg-1023-1007-1011-1009以前版本韌體的AVM1203。但CISA指出，他們不排除該廠牌其他型號的視訊監控攝影機、視訊監控影像儲存主機（NVR），也有可能存在這項弱點。</p> <p><a href="https://www.ithome.com.tw/news/164333"><strong style="font-size: 22px;">ERP系統OFBiz遭到殭屍網路Mirai鎖定，針對路徑穿越漏洞而來</strong></a></p> <p>SANS網路風暴中心針對Apache基金會維護的ERP系統OFBiz提出警告，利用重大漏洞CVE-2024-32113的攻擊暴增，這波行動駭客發出POST請求企圖觸發漏洞，目的是將殭屍網路病毒Mirai植入OFBiz，7月底單日通報數量一度暴衝至超過1,700個。</p> <p>這項漏洞Apache基金會在今年5月上旬發布新版18.12.13予以修補，並指出舊版OFBiz都存在這項弱點，起因是該系統對於路徑名稱的限制不當造成，CVSS風險評為9.1分。到了月底，有研究人員分析概念性驗證（PoC）程式碼，呼籲IT人員應儘速套用更新。</p> <p>SANS研究人員看到其中一個在受害系統植入惡意指令碼bin.sh的攻擊行動，駭客使用帶有「KrebsOnSecurity」的使用者代理字串（User Agent）。而根據研究人員掃描到的IP位址來看，過去曾被用於散布帶有Mirai變種程式的檔案，因此也被認為這類殭屍網路可能採納CVE-2024-32113漏洞濫用手法。</p> <p><a href="https://www.ithome.com.tw/news/164313"><strong style="font-size: 22px;">研究人員揭露鎖定臉書行動裝置用戶的電子商務詐騙活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0806-ERIAKOS Scam Campaign-Facebook-by Recorded Future-600.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0806-ERIAKOS%20Scam%20Campaign-Facebook-by%20Recorded%20Future-600.png" style="width: 300px; float: right;" /></a>美國資安業者Recorded Future上周揭露鎖定臉書用戶的電子商務詐騙活動ERIAKOS，駭客架設608個詐騙網站，並假冒知名品牌、透過惡意廣告散布，藉此竊取使用者的個人或金融資料。</p> <p>特別的是，這些詐騙網站只能透過行動裝置及特定廣告存取。若以電腦版瀏覽器點選惡意廣告，或是自行動瀏覽器直接輸入網址，都會出現404錯誤；假如從電腦版瀏覽器直接存取相關網址，則會出現與詐騙無關的網站。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/linux-kernel-impacted-by-new-slubstick-cross-cache-attack/"><strong style="font-size: 20px;">研究人員揭露Linux核心跨快取攻擊手法SLUBStick</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.theregister.com/2024/08/02/israeli_hacktivists/https://www.theregister.com/2024/08/02/israeli_hacktivists/">為報復以哈戰爭，以色列駭客WeRedEvils聲稱癱瘓伊朗的網際網路運作</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://bi.zone/eng/expertise/blog/bloody-wolf-primenyaet-kommercheskoe-vpo-strrat-protiv-organizatsiy-v-kazakhstane/">哈薩克企業組織遭到駭客團體Bloody Wolf鎖定，散布惡意程式Strrat</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="http://www.quorumcyber.com/insights/sharprhino-new-hunters-international-rat-identified-by-quorum-cyber/">勒索軟體駭客鎖定企業IT人員，企圖散布RAT木馬SharpRhino</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/surge-in-magniber-ransomware-attacks-impact-home-users-worldwide/">勒索軟體Magniber傳出針對個人使用者發動攻擊的情況大幅增加</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164319"><strong style="font-size: 22px;">Rockwall Automation可程式化邏輯控制器存在安全繞過漏洞</strong></a></p> <p>上週專精工業控制系統（ICS）的資安業者Claroty指出，Rockwell Automation旗下的可程式化邏輯控制器（PLC）設備ControlLogix 1756存在高風險層級的安全繞過漏洞CVE-2024-6242，攻擊者能藉由通用工業協定（CIP）路由，突破該廠商設下的插槽限用受信任元件（Trusted Slot）保護機制，從而對PLC的處理器卡發送提升權限的命令，CVSS風險評分為8.4（4.0版CVSS風險評分為7.3）。</p> <p>對此，Rockwell表示，採用1756機箱的ControlLogix及GuardLogix設備，以及ControlLogix的I/O模組，也存在相同的弱點，他們發布新版韌體予以修補。</p> <p>美國網路安全暨基礎設施安全局（CISA）也發布資安公告，指出這項漏洞是因為存在其他缺乏保護的存取通道所致，他們也提出緩解措施，若是IT人員無法即時套用相關韌體更新，應該透過最佳安全實踐，以及限縮可用的CIP命令來降低風險。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164301"><strong>【8月5日】研究人員公布去年中國駭客APT41攻擊臺灣研究機構的事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164277"><strong>【8月2日】駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件，目標是Raydium區塊鏈用戶</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164256"><strong>【8月1日】Azure服務出現不穩定的異常情況，微軟表示起因與DDoS攻擊有關</strong></a></p> </div></div></div>
2024/8/6 18:49作者周峻佑https://www.ithome.com.tw/news/164335
ERP系統OFBiz遭到殭屍網路Mirai鎖定，針對路徑穿越漏洞而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SANS網路風暴中心針對Apache基金會維護的ERP系統OFBiz提出警告，<a href="https://isc.sans.edu/diary/Increased%20Activity%20Against%20Apache%20OFBiz%20CVE-2024-32113/31132">利用重大漏洞CVE-2024-32113的攻擊暴增</a>，這波行動駭客發出POST請求企圖觸發漏洞，目的是將殭屍網路病毒Mirai植入OFBiz，7月底單日通報數量一度暴衝至超過1,700個。</p> <p>這項漏洞Apache基金會在<a href="https://lists.apache.org/thread/w6s60okgkxp2th1sr8vx0ndmgk68fqrd">今年5月上旬發布新版18.12.13予以修補</a>，並指出舊版OFBiz都存在這項弱點，起因是該系統對於路徑名稱的限制不當造成，CVSS風險評為9.1分。到了月底，<a href="https://xz.aliyun.com/t/14733?time__1311=GqAh7IqGrhkD%2FWNiQ%3DGQFitvoAIKr5G%3DFW4D">有研究人員分析概念性驗證（PoC）程式碼</a>，呼籲IT人員應儘速套用更新。</p> <p>此漏洞利用難度並不高，攻擊者只要找到能夠存取的URL，並插入分號，就能輕易觸發。他們看到其中一種利用漏洞的手法，是對下列網址發出POST請求：</p> <blockquote><p>/webtools/control/forgotPassword;/ProgramExport</p> </blockquote> <p>使用者甚至可以在不登入的情況下重設密碼，因為這個forgotPassword可公開存取且無需身分驗證，而ProgramExport則能夠執行任意程式碼。照理來說，這些部分的執行本來是受到管制，使用者必須登入才能存取，但因為駭客加入的分號觸發OFBiz解析錯誤，而能在不需經過身分驗證的情況下存取。</p> <p>此外，研究人員提到，雖然攻擊者必須使用POST請求才能利用漏洞，但請求網頁的內容（Body）並非必要條件。</p> <p>他們看到其中一個在受害系統植入惡意指令碼bin.sh的攻擊行動，駭客使用帶有「KrebsOnSecurity」的使用者代理字串（User Agent）。而根據研究人員掃描到的IP位址來看，過去曾被用於散布帶有Mirai變種程式的檔案，因此這個漏洞濫用也被認為可能會被這類殭屍網路所採納。</p> </div></div></div>
2024/8/6 17:01作者周峻佑https://www.ithome.com.tw/news/164333
Fintech周報第248期：媒體揭露摩根大通向員工推出自行研發的Gen AI工具，能勝任研究分析師工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">7/22~8/2金融科技精選新聞</span></span></h3> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根大通 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></h3> <h3>媒體揭露摩根大通向員工推出自行研發的Gen AI工具，能勝任研究分析師工作</h3> <p>近日，《金融時報》揭露摩根大通內部備忘錄，指出摩根大通推出了一款名為LLM Suite的平臺，並告訴員工這個平臺能勝任研究分析師的工作。該備忘錄中還提到，員工可以將LLM Suite視為分析師，提供特定主題的資訊、解決方式和建議。此外，媒體也揭露，摩根大通自行開發專用的LLM平臺，禁止員工使用ChatGPT或Gemini等開放一般民眾使用的聊天機器人。目前摩根大通約有五萬名員工可以使用LLM Suite。</p> <p>摩根大通不願證實《金融時報》刊出的消息，不過，摩根大通過去曾公開表示，內部正在使用提供市場投資建議的顧問工具。今年五月，摩根大通資產與財福管理部門執行長Mary Callahan Erdoes在<a href="https://www.jpmorganchase.com/content/dam/jpmc/jpmorgan-chase-and-co/investor-relations/documents/events/2024/jpmc-2024-investor-day/investor-day-2024-full-transcript.pdf">投資者日</a>提及，內部正在運用多項AI應用。其中一項應用是將內部市場投資策略長Michael Cembalest二十年來的市場投資經驗化為知識庫。當理專向顧問工具詢問投資建議時，等同運用了Michael Cembalest長年的投資見解，能用來協助理專提供客戶更好的投資建議。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI輔助 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub Copilot </span></strong></span></h3> <h3>澳洲澳盛銀行技術長點出採用GitHub Copilot的痛點：沒有指標衡量工具帶來的效益</h3> <p>澳洲澳盛銀行技術長Tim Hogarth近日在GitHub活動上表示，去年開始，他們提供內部3,000名工程師使用GitHub Copilot。但是，直到現在，大多數工程師並未將GitHub Copilot列為優先使用工具，「他們還在熟悉這項技術。」Tim Hogarth說。甚至，在澳盛銀行，GitHub Copilot的程式碼建議採用度低，不到50%。</p> <p>Tim表示，內部尚未建立指標，去明確衡量GitHub Copilot對IT營運帶來的集體效益。而且，當有特定IT團隊不願使用GitHub Copilot，Tim也無法確定是工具本身的技術問題、團隊問題，還是因為IT團隊面對的問題較特殊，導致GitHub Copilot的輔助功能派不上用場。這是銀行採用GitHub Copilot可能遇到的痛點。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根大通 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管 </span></strong></span></h3> <h3>擔憂消費者在差異化定價策略中遭歧視，美國監管機構要求摩根大通、萬事達卡等八家企業，提供定價服務詳細資訊</h3> <p>美國聯邦貿易委員會（FTC）近日表示，他們已要求摩根大通和萬事達卡等八間企業提供差異化定價策略資訊，包含企業開發定價服務的技術資訊，以及每個產品或服務運用的資料來源，細至每個資料來源的蒐集方法、蒐集資料的平臺或技術，以及負責蒐集資料的對象，都得提供給FTC。另外，FTC也要求八間企業提供使用定價產品的客戶名單，以及客戶運用產品的計畫等，同時，八間企業也得提供定價產品對消費者造成的潛在影響，包含消費者可能面臨的支付價格變動。</p> <p>FTC希望，透過瞭解定價策略，能確保消費者隱私權不被侵害，同時不被歧視。這八間企業包含摩根大通、萬事達卡、顧問公司麥肯錫和其餘五間軟體公司。</p> <p>摩根大通拒絕向媒體回應此事。今年四月，摩根大通銀行開金融業先例，推出媒體解決方案，讓企業主可以利用銀行擁有的8,000萬名顧客交易數據，精準投放行銷廣告。例如，當消費者在大通銀行的數位通路上查看優惠資訊時，平臺會根據消費者的歷史交易數據顯示優惠資訊。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料共享 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融監管 </span></strong></span></h3> <h3>為了加強金融防詐，澳洲國民銀行建議澳國政府放寬法律限制，開放金融機構與第三方供應商進行資料共享</h3> <p>近日，澳洲國民銀行發佈一份報告書，建議政府應重新檢視《反洗錢和反恐怖主義融資法》。他們提到，目前該法限制私人機構間的資料共享，導致金融機構無法運用第三方供應商的技術，不僅對創新造成負面影響，也阻礙了金融機構發展金融防詐、防洗錢能力。</p> <p>甚至，國民銀行也提到，生成式AI為金融機構帶來機會，能透過分析大量資料，來偵測、識別金融犯罪。然而，目前法律限制了金融機構與第三方供應商進行資料傳輸，阻礙了金融業發展生成式AI。因此，國民銀行建議政府應鬆綁《反洗錢和反恐怖主義融資法》中的資料共享限制，或是允許金融機構能合法和私人機構共享資訊，協助金融機構強化金融犯罪防範能力。</p> <p>在臺灣，相關討論也正在進行中。為了協助金融機構在符合法規的前提下，更順利使用客戶資料進行AI訓練和建模，今年五月，金管會發布「金融機構資料共享之資料治理諮詢文件」，希望透過客戶資料分級做法，簡化部分資料的運用措施，例如，針對部分資料，金融機構可以採取較簡易的方式取得客戶同意，再進行運用。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 瑞士證券交易所 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 交易中斷 </span></strong></span></h3> <h3>瑞士證券交易所因數據傳輸問題，暫停股票、債券、基金交易多達四小時</h3> <p>瑞士證券交易所在7月31日經歷近年來最嚴重的故障事故，因技術故障問題，瑞士證券交易所股票、債券、基金暫停交易三至四小時。瑞士證券交易所發言人向媒體表示，起初交易並未受到影響，問題出在數據傳輸，讓他們不得不暫停交易。在交易中斷期間，瑞士證券交易所在官網公告，內部一款名為MDDX的服務發生問題。這項服務負責從交易平臺傳輸市場資料給投資者和應用軟體服務提供者。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BaaS </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融科技策略 </span></strong></span></h3> <h3>日本Minna no Bank總裁分享自家BaaS業務策略</h3> <p>日本網路銀行Minna no Bank去年開始積極發展銀行即服務（Banking-as-a-Service），提供企業能更新的API，並已和六家金融業者、五家非金融業者展開合作。該銀行總裁永吉健一近日在活動上表示，他們的策略，是透過單獨提供 API 並與企業合作行銷的商業模式，來和其他業者競爭。</p> <p>相對於競爭對手鎖定提供企業API，永吉健一指出，Minna no Bank的BaaS業務重點是服務個人消費者需求，因此，他們鎖定的對象是面向消費者的服務提供商，透過這個類型的服務提供商，來創造合作行銷的商業模式。另外，永吉健一認為，Minna no Bank另一項優勢是擁有大量工程師和設計師，能靈活回應客戶需求。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰人壽 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>國泰人壽公開系統上雲歷程，一年完成17套系統遷雲</h3> <p>國泰人壽在2022年啟動上雲計畫，並在2023年選定17套系統先上雲，包括了16套行銷活動網站和機場旅平險系統。在評估階段中，國泰人壽IT團隊依據風險和商業價值高低，來篩選適合上雲的系統，再根據國泰金控自己訂定的 Cathay 6R 上雲遷移理論，來評估適合上雲形式。（<a href="https://www.ithome.com.tw/people/164191">詳全文</a>）</p> <p>在第一階段上雲計畫中，國泰人壽以低度調整應用程式架構的方式將系統上雲，例如，將活動網站資料庫依業務別拆分，讓系統能在微服務平臺上運作，不需大幅更改架構或替換整個系統。國泰人壽資訊團隊透過微服務、容器化架構實現快速上雲，再篩選適當工具，建立安全資料傳輸機制，歷經不斷測試和調整，確保系統穩定運行、使用者體驗一致，才正式切轉上雲。（<a href="https://www.ithome.com.tw/news/164185">詳全文</a>）</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 玉山銀行 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CI/CD </span></strong></span></h3> <h3>玉山銀行三階段自建跨團隊共用CI/CD的可觀測平臺，更有效找出開發流程問題和優化方向</h3> <p>玉山智金處DevOps團隊今年開始用開發者資料建立CI/CD可觀測性，除了提供量化指標，協助主管層級的決策者和資料科學家掌握CI/CD流程具體狀態，DevOps人員也開始能識別明確的問題出處，進行對應處理。</p> <p>玉山智金處建立CI/CD觀測性的第一步，是設定目標，確認需要的數據。第二步，是尋找資料來源並收集資料。最後一步，是定義資料分析需求的使用者，再進行資料分析。吳明倫表示，玉山定出三種資料分析需求的使用者，分別是主管層級的決策者、DevOps工程師和資料科學家。DevOps團隊依據三類使用者的特性，條列出各類使用者需要掌握的資料，針對各類使用者產出不同報表。（<a href="https://www.ithome.com.tw/news/164060">詳全文</a>）</p> <p>其他重要Fintech新聞</p> <ul> <li>印度國家支付公司NPCI因IT供應商遭勒索軟體攻擊，切斷了對數百家銀行的服務</li> <li>美國金融監理機構強調，銀行應加強與第三方合作的調查和監控</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／金管會</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年8月</p> <p></p> </div></div></div>
2024/8/6 16:24作者李昀璇https://www.ithome.com.tw/news/164328
Rockwall Automation可程式化邏輯控制器存在安全繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週專精工業控制系統（ICS）的<a href="https://claroty.com/team82/research/bypassing-rockwell-automation-logix-controllers-local-chassis-security-protection">資安業者Claroty指出</a>，Rockwell Automation旗下的可程式化邏輯控制器（PLC）設備ControlLogix 1756存在高風險層級的安全繞過漏洞CVE-2024-6242，攻擊者能藉由通用工業協定（CIP）路由，突破該廠商設下的插槽限用受信任元件（Trusted Slot）保護機制，從而對PLC的處理器卡發送提升權限的命令，CVSS風險評分為8.4（4.0版CVSS風險評分為7.3）。</p> <p>對此，<a href="https://www.rockwellautomation.com/en-us/trust-center/security-advisories/advisory.SD1682.html">Rockwell表示</a>，採用1756機箱的ControlLogix及GuardLogix設備，以及ControlLogix的I/O模組，也存在相同的弱點，他們發布新版韌體予以修補。</p> <p><a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-214-09">美國網路安全暨基礎設施安全局（CISA）也發布資安公告</a>，指出這項漏洞是因為存在其他缺乏保護的存取通道所致，他們也提出緩解措施，若是IT人員無法即時套用相關韌體更新，應該透過最佳安全實踐，以及限縮可用的CIP命令來降低風險。</p> <p>而對於這項漏洞發生的原因，Claroty表示，此設備的插槽都透過背板連接，並使用CIP進行路由，他們發現可以藉由特製的CIP封包，在存取處理器之前透過受信任的功能卡進行路由，而能穿越Rockwell設下的安全機制，在1756機箱的背板插槽之間進行「跳轉」。</p> <p>Rockwell設置的受信任插槽機制如何運作？Claroty表示，ControlLogix 1756支援多張網路卡連接人機介面（HMI）儀表板、工程師的工作站電腦，以及其他裝置。為了確保僅有其中一臺連線的裝置對PLC下達命令，Rockwall導入受信任插槽的功能，藉由機箱強制執行特定的安全政策，僅有得到授權的插槽能與其他裝置進行溝通，從而防堵未經授權的存取，或是疑似竄改的跡象。</p> <p>一旦啟動這種防護機制，控制器對於不受信任來源路徑的通訊，將會予以拒絕。當任何人想要透過可程式化軟體存取控制器，都必須在連接的模組進行身分驗證。不過，有部分模組可指定為受信任插槽，而能自由與部署在相同機箱的其他插槽通訊。</p> <p>但他們發現，處理器只會對最後一個插槽進行檢查，研究人員得以利用這項缺陷，使用不受信任的網路卡與處理器進行通訊。</p> </div></div></div>
2024/8/6 15:48作者周峻佑https://www.ithome.com.tw/news/164319
研究人員揭露鎖定臉書用戶的電子商務詐騙活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國資安業者R<a href="https://www.recordedfuture.com/research/eriakos-scam-campaign-detected" target="_blank">ecorded Future上周揭露</a>了一個鎖定臉書用戶的電子商務詐騙活動，此一被稱為ERIAKOS的活動涉及608個詐騙網站，它們假冒知名品牌並透過惡意廣告散布，藉以竊取使用者的個人或金融資料。更特別的是，這608個詐騙網站只能透過行動裝置及廣告存取。</p> <p>Recorded Future的支付詐欺情報（Payment Fraud Intelligence）團隊是在今年的4月17日偵測到ERIAKOS的活動，該活動是由608個詐騙網站組成，它們採用了同一個內容遞送網路（CDN），所有的網域名稱都是向阿里雲（Alibaba Cloud）註冊，使用兩個特定的IP位址，在主要網域及次要網域間都存在著特定的錯誤配置。</p> <p>駭客藉由臉書的惡意廣告來將受害者導至詐騙網站，研究人員發現，雖然臉書的廣告服務（Facebook Ads）偶爾會阻止詐騙廣告，甚至會封鎖負責相關廣告活動的帳戶，然而，駭客透過執行大規模卻短暫的廣告活動來躲避偵測，同時在這些詐騙網站上提供商品的限時優惠，以刺激消費者快速付款。</p> <p>不過，上述詐騙網站只能由行動瀏覽器透過惡意的臉書廣告才能存取；若以桌面瀏覽器點選惡意廣告，或是自行動瀏覽器直接輸入網址，都會出現404錯誤（下圖）；若是自桌面瀏覽器上直接輸入網址，則會出現與詐騙無關的網站。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0806-ERIAKOS%20Scam%20Campaign-Facebook-by%20Recorded%20Future-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Recorded Future</span></span></p> <p>這是Recorded Future首次看到的攻擊戰術、技巧與程序（TTP），猜測是駭客為了過濾受害者，降低被偵測的機率，並延長惡意活動時間的作法。</p> <p>研究人員認為，這類的詐騙攻擊經常替金融機構帶來損失或拒付糾紛，建議應將此一報告中的可疑商家列入黑名單，阻止消費者與這些商家的交易，同時監控歷史交易資料來偵測潛在風險，另也奉勸消費者應只在安全與可靠的網站上提供個人及付款資訊，並對未經請求的通訊或廣告保持警惕。</p> </div></div></div>
2024/8/6 14:28作者陳曉莉https://www.ithome.com.tw/news/164313
CISA對臺灣視訊監控設備廠商產品示警，表明產品漏洞已被用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月1日<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-214-07">美國網路安全暨基礎設施安全局（CISA）提出警告</a>，臺灣視訊監控解決方案業者陞泰科技（Avtech）旗下的視訊監控攝影機（IP Camera）AVM1203，存在高風險層級的命令注入漏洞CVE-2024-7029，並指出攻擊者不僅能遠端利用，觸發漏洞的難度不高，而且，已被用於攻擊行動。</p> <p>值得留意的是，CISA向陞泰通報此事並未得到回應，這項漏洞目前很有可能尚未得到修補。對此，他們認為用戶應聯繫這家廠商，取得進一步的資訊。</p> <p>該漏洞起初由資安業者Akamai向CISA通報，並經由不具名第三方組織驗證研究人員的發現，確認問題存在的產品，是搭配FullImg-1023-1007-1011-1009以前版本韌體的AVM1203。但CISA指出，他們不排除該廠牌其他型號的視訊監控攝影機、視訊監控影像儲存主機（NVR），也有可能存在這項弱點。</p> <p>一旦攻擊者成功利用這項漏洞，就能以正在執行的處理程序權限，注入、執行命令，4.0版CVSS風險評分達到8.7分（3.1版為8.8分）。</p> <p>由於陞泰尚未公布緩解措施，CISA也提出儘可能降低漏洞遭到利用的作法，這些措施包含：</p> <p>●確保視訊監控攝影機無法直接透過網際網路存取；<br /> ●將相關控制系統及攝影機放置於防火牆後面，並與企業的網路環境隔離；<br /> ●使用如VPN等較安全的方法遠端存取視訊監控攝影機。</p> </div></div></div>
2024/8/6 12:29作者周峻佑https://www.ithome.com.tw/news/164310
CrowdStrike為IT停機事件，與達美航空撕破臉互控
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>CrowdStrike 7月中引發的全球IT停機事件餘波蕩漾，其中之一是客戶達美航空（Delta Air）為此和CrowdStrike撕破臉。</p> <p>7月中CrowdStrike因安全軟體更新觸發Windows錯誤訊息及藍色死亡螢幕（BSOD），許多用戶採用應變措施以及後續更新版本後，陸續恢復上線。但達美航空卻經歷比其他公司更長的混亂，促使該公司公開將責任歸罪到CrowdStrike頭上。</p> <p>CrowdStrike事件發生後數日，達美航空執行長Ed Bastian透過<a href="https://news.delta.com/update-delta-customers-ceo-ed-bastian" target="_blank">官方部落格</a>說明該公司的受害情形。他說此事發生在公司業務最繁忙的周末時間，受到Windows當機影響，達美航空40,000臺Windows伺服器必須手動重啟，其中一個和追蹤機組人員相關的工具受創最鉅，因其無法處理這次變更造成的系統負荷。最終，該公司和Delta Connection航空超過3,500個航班取消，以及數千班次延遲。</p> <p>在眾多受到CrowdStrike影響IT運作的企業中，達美航空比其他公司更晚了幾天回復上線，迫使達美航空必須支付7月19日到7月28日期間受影響旅客的賠償、行李、訂位費等。此事讓美國運輸部<a href="https://x.com/USDOT/status/1815895239174799767" target="_blank">介入調查</a>達美航空處置是否得當。</p> <p>揹負公司形象及經濟損失的達美航空，公開指稱CrowdStrike必須為其IT決策和停機回應方式負責，揚言控告CrowdStrike求償5億美元。CrowdStrike法務長<a href="https://x.com/David_Slotnick/status/1820286332347760672" target="_blank">本周回信</a>駁斥其說法。CrowdStrike對達美航空企圖以誤導言論轉移責任，並全然否認自己IT運作疏失或處置錯誤感到失望。這家業者說曾在當時表示願提供到府協助，但遭到達美航空拒絕。</p> <p>CrowdStrike說，別家航空業者也遭遇同樣挑戰，但回復上線速度快得多，他們接受IT停機的責任，但不能接受達美將系統潰敗（meltdown）全部歸咎於該公司。該公司還將達美航空<a href="https://x.com/David_Slotnick/status/1818626067583680956" target="_blank">比喻為</a>美國西南航空。2022年聖誕假期之際，一場冬季暴風雪侵襲北美，造成數萬旅客滯留機場。在3,000多個取消航班中，2,800多個班次為西南航空所有。這家業者卻推說是惡劣天候所致。</p> <p>Delta訴訟還未成案，不過CrowdStrike因此事股價大跌，已經遭到至少一家股東<a href="https://apnews.com/article/crowdstrike-technology-outage-delta-airlines-90358ce65529048c8d7e8b3aa3c615aa" target="_blank">提告</a>。</p> </div></div></div>
2024/8/6 14:09作者林妍溱https://www.ithome.com.tw/news/164312
美法院判決Google非法壟斷線上搜尋、廣告市場，Google將上訴
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>纏訟數年的美國司法部控告Google非法壟斷線上搜尋、廣告市場官司，美國法院周一（8/5）判決Google利用不當通路手段維持非法壟斷地位。Google將尋求上訴。</p> <p>美國哥倫比亞地方法院法官Amit P. Mehta本周針對司法部，以及美國數州<a href="https://www.ithome.com.tw/news/140636" target="_blank">對Google提出的</a>線上搜尋及搜尋廣告市場的壟斷官司做出判決。在277頁的<a href="https://fingfx.thomsonreuters.com/gfx/legaldocs/gdpzmaxjxvw/United%20States%20v%20Google%2020240805.pdf" target="_blank">判決書</a>中，法官指出，經過仔細思量與參考證詞、證據，法院做出以下決議：Google是壟斷者（monopolist），且為維持壟斷地位而行動，違反了美國反托拉斯法。法院認定，Google透過獨家通路協議，在美國一般搜尋服務及一般文字廣告二種產品市場維持壟斷地位。</p> <p>2020年美國司法部連同包括佛州、德州等11州控告Google以不法手法維持其在美國搜尋服務、搜尋廣告及一般搜尋文字廣告市場上壟斷地位的行為。原告相信，搜尋巨人動用數十億利潤綑綁手機、瀏覽器及次世代裝置的搜尋管道，排擠競爭者，造成搜尋及搜尋廣告獨大地位。</p> <p>判決中列舉證據，Google透過和蘋果、Mozilla等瀏覽器簽下分潤協議，在其瀏覽器綁定Google搜尋為首選搜尋入口。在手機端，Google和三星、LG等智慧型手機業者簽定行動應用通路協議（Mobile Application Distribution Agreements，MADA）綁定Google Mobile Service（如Google Search Widget和Chrome），連微軟也不例外。在電信業者方面，AT&T與T-Mobile雙雙和Google簽定營收共享（Revenue Share Agreement，RSA）協議。這些協議內容或有差異，但結果都是為了鞏固Google搜尋在其平臺上的位置。根據判決，Google占桌機搜尋市場的90%，在手機平臺搜尋市場則高達95%。</p> <p>不過法官並未在判決中說明任何矯治方案。可能的矯治方案包括要求Google改變現有做法，或是將Google分成多個較小業務組織。</p> <p>本判決是Google的重大挫敗。本案約等同20世紀初司法部控告微軟搭售IE和Windows，雙方最後雖然和解，但微軟被迫將IE和Windows鬆綁，也導致IE在搜尋市場的敗退。Google法務長Kent Walker<a href="https://techcrunch.com/2024/08/05/google-loses-massive-antitrust-case-over-search/" target="_blank">對Techcrunch</a>表達Google立場，表示本判決代表法院肯定Google提供最好的搜尋引擎，但結論卻不允許Google服務更容易取得。Google將提起上訴。</p> <p>本案尚未塵埃落定。在Google上訴下，本案將會持續到明年，甚至2026年以後。</p> </div></div></div>
2024/8/6 12:21作者林妍溱https://www.ithome.com.tw/news/164309
OpenAI共同創辦人John Schulman加入Anthropic
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>11名OpenAI共同創辦人之一的John Schulman剛剛<a href="https://x.com/johnschulman2/status/1820610863499509855" target="_blank">宣布</a>，他將離開OpenAI並加入Anthropic，更專注地研究AI對齊，並在一個能夠回到技術工作的地方開啟新的職業生涯。而The Information則<a href="https://www.theinformation.com/articles/trio-of-leaders-leave-openai" target="_blank">報導</a>，打算離開OpenAI的不只是Schulman，另一名共同創辦人暨OpenAI董事長Greg Brockman正在休長假，而去年才加入的產品負責人Peter Deng也已經離職。</p> <p class="rtecenter"><a href="http://x.com/johnschulman2/status/1820610863499509855" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0806-John%20Schulman%20openai%20cofounder.png" style="width: 600px;" /></a></p> <p>今年以來離開OpenAI的主管中，不管是曾參與罷黜Sam Altman的共同創辦人<a href="https://www.ithome.com.tw/news/162887" target="_blank">Ilya Sutskever</a>，OpenAI超級對齊（Superalignment）團隊的共同主管Jan Leike，在OpenAI所扮演的角色都與安全有關，而Schulman亦如是，他是OpenAI的對齊科學主管。</p> <p>Schulman表示，他決定要在Anthropic追求上述目標，相信在那裡可以得到新的觀點，並和對相同主題感興趣的人共同進行研究。</p> <p>不過，Schulman也特別澄清，他的離開並非因為在OpenAI的對齊研究缺乏支持，相反的，OpenAI高層一直致力於投資該領域，而是他想要在下一階段的職業生涯中專注於自己想做的事，這是個個人的決定。</p> <p>Anthropic是由一對同樣也是出自OpenAI的兄妹檔Dario Amodei與Daniela Amodei在2021年所創辦，不僅吸引Google及Amazon爭相投資，更被視為是市場上最有機會挑戰OpenAI的競爭者。</p> <p>至於正在休長假的Brockman曾是OpenAI執行長Altman的主要支持者，OpenAI董事會在去年底開除Altman時，也跟著離職，之後再跟著Altman回鍋OpenAI。</p> <p>新聞曝光後，Brockman透過X<a href="https://x.com/gdb/status/1820644694264791459" target="_blank">表示</a>，他將直接休到年底，而這也是他在OpenAI自9年前成立以來第一次可以放鬆，但任務尚未完成，他們還要建立一個安全的通用人工智慧（AGI）。Brockman的發言確認了他正在休假，也暗示他還沒有要離開OpenAI。</p> <p>不論如何，OpenAI的11名共同創辦人中，現在只剩Altman及Wojciech Zaremba還在公司上班。</p> </div></div></div>
2024/8/6 12:46作者陳曉莉https://www.ithome.com.tw/news/164311
中國駭客組織Evasive Panda入侵網路服務供應商從事供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客盯上不安全的軟體更新機制，藉機散布惡意程式的情況，不時有事故傳出，如今有研究人員發現，駭客竟針對網際網路服務供應商（ISP）發動攻擊，然後對部分的應用程式更新機制出手。</p> <p>資安業者Volexity揭露中國駭客組織Evasive Panda（該業者稱為StormBamboo，賽門鐵克則叫做Daggerfly）<a href="https://www.volexity.com/blog/2024/08/02/stormbamboo-compromises-isp-to-abuse-insecure-software-update-mechanisms/">於去年中旬入侵ISP的攻擊行動</a>，導致透過自動更新機制下載軟體的使用者受害，電腦被植入惡意程式。</p> <p>研究人員指出察覺這起攻擊行動的原因，他們起初偵測到搭載Windows與macOS作業系統的電腦感染Evasive Panda使用的惡意程式，但對於感染的來源最初難以確定，直到後來進一步追查，才確認是ISP層級的DNS中毒攻擊所致。駭客針對不安全的軟體更新機制下手，因為該ISP採用未加密的HTTP連線，且軟體更新過程並未驗證安裝程式的簽章，使得攻擊者有機可乘，用於派送Macma、MgBot（該公司稱為PocoStick）等惡意程式。</p> <p>值得留意的是，這些駭客將中毒的DNS請求用來散布惡意程式。研究人員根據DNS紀錄內容，發現攻擊者控制的伺服器位於香港。起初Volexity推測，駭客入侵了受害組織的防火牆，但後來發現並非如此，各種證據指向ISP層級的DNS中毒攻擊。對此，研究人員向ISP通報此事並聯手進行調查，ISP重新啟動特定元件並將部分元件離線，從而緩解相關攻擊行動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/StormBamboo-image001.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/StormBamboo-image001.png" style="width: 580px;" /></a></p> <p>但這並非Volexity首度揭露駭客利用DNS中毒來存取目標網路環境的情況，研究人員曾在去年5月公布惡意軟體CatchDNS的攻擊行動，這起事故是與Evasive Panda有關的駭客組織DriftingBamboo所為，當時駭客在Sophos XG防火牆植入惡意程式。</p> <p>而針對這起攻擊事故，研究人員指出，Evasive Panda針對多家採用不安全更新機制的軟體供應商（如影音播放器5KPlayer），然後藉由DNS中毒來竄改特定的配置檔案，從而讓受害電腦以為有新版軟體可供套用，並從駭客的伺服器下載惡意程式，藉由PNG圖檔向Windows電腦植入MgBot，而對於macOS電腦，則是會下載名為Macma的惡意程式。研究人員特別提及Macma與Gimmick的程式碼，存在明顯的相似性。這樣的發現，與<a href="https://www.ithome.com.tw/news/164099">賽門鐵克推測駭客採用相同程式庫打造多種惡意程式</a>的說法有所交集。</p> <p>一旦駭客成功部署惡意程式後，就有可能進行後續的攻擊行動，研究人員看到其中一臺Mac電腦被植入惡意的Chrome擴充套件ReloadText，從而竊取瀏覽器個人設定，以及郵件資料。</p> </div></div></div>
2024/8/5 16:43作者周峻佑https://www.ithome.com.tw/news/164300
微軟Semantic Kernel套件強化AI開發，新增代理人框架支援多任務應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟在其人工智慧應用開發包<a href="https://github.com/microsoft/semantic-kernel/tree/main/dotnet/src/Agents">Semantic Kernel增加代理人框架</a>，使得開發者可以更簡單地建立多代理架構，讓人工智慧應用能夠更好地應付各種任務。</p> <p>Semantic Kernel是一個輕量級的開源開發工具包，讓開發者可以簡單地建置人工智慧代理。作為一個高效的中介軟體層，降低開發者將人工智慧模型整合到C#、Python或Java程式碼的工作，達到快速交付解決方案的目的。</p> <p>人工智慧代理人是專注特定任務和角色的實體，也就是說，每個代理人都配置特定的功能支援專門的任務。這種專業化有助於提高系統在特定領域的效能，此外，多代理人可以合作完成更複雜的任務，使系統有能力處理更為複雜的問題，並提供綜合且全面的解決方案，特別適用於需要多方面知識和技能的應用場景。</p> <p>多代理人框架的加入，也使得系統變得更模組化，開發者可以容易地增加、替換代理人和工具集，提高系統的靈活性和可擴充性。</p> <p>Semantic Kernel代理框架提供抽象層和具體的代理類型，供開發者能夠創建和管理專門的人工智慧代理，抽象的類型如Agent和AgentChat，而具體的代理類型包括ChatCompletionAgent和OpenAIAssistantAgent。ChatCompletionAgent可以用於實作聊天功能，而OpenAIAssistantAgent則可使用Open AI Assistant API。使用不同的代理類型，便可讓系統靈活應對不同的應用需求。</p> <p>微軟還在更新Semantic Kernel持續改進代理框架，官方也預告Semantic Kernel將會陸續加入其他新功能，包括Semantic Kernel Python代理框架，並支援即將推出的Open AI Assistant V2功能，同時Semantic Kernel也會提供代理串流處理等功能。</p> </div></div></div>
2024/8/6 09:38作者李建興https://www.ithome.com.tw/news/164302
【資安日報】8月5日，研究人員公布去年中國駭客APT41攻擊臺灣研究機構的事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著政治情勢日益緊張，中國駭客針對臺灣企業組織發動攻擊的情況不斷傳出，而在上週四又有這類事故的調查出爐，有資安廠商去年發現一個附屬於臺灣政府機關的研究機構遭駭。</p> <p>值得留意的是，在這起攻擊行動裡，駭客運用過往較為少見的手法，其中一種是利用舊版微軟Office軟體搭配的輸入法編輯器（IME），該元件推出已長達13年，且不再受到支援。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164297"><strong style="font-size: 22px;">臺灣研究機構遭中國駭客組織APT41攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CS-Avoid-Killing.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/CS-Avoid-Killing.png" style="width: 300px; float: right;" /></a></p> <p>惡名昭彰的中國駭客組織APT41近年來動作頻頻，這幾週以來，與他們有關的資安事故揭露接踵而來。自資安業者Mandiant公布該組織滲透全球航運、物流、媒體及娛樂產業的攻擊行動，有研究人員公布專門針對臺灣而來的資安事故。</p> <p>思科旗下威脅情報團隊Talos揭露APT41針對臺灣政府所屬研究機構的攻擊行動，遭駭單位是隸屬臺灣政府旗下的研究機構，專精於運算與科技領域，研判駭客的目的很有可能是竊取專利資料或是敏感的技術。</p> <p>研究人員去年8月偵測到受害組織的IP位址在下載PowerShell指令碼，並執行惡意命令的情況，事實上，根據他們的追蹤，這些駭客從去年7月開始，存取其中3臺主機，濫用微軟辦公室軟體Office的舊版輸入法編輯器（IME）檔案，以及已知漏洞CVE-2018-0824，將惡意程式ShadowPad、Cobalt Strike，以及其他後續作案的攻擊工具植入這個研究機構當中，至少有11天之久，但究竟有多少資料遭竊，思科並未透露。</p> <p><a href="https://www.ithome.com.tw/news/164275"><strong style="font-size: 22px;">新興攻擊手法濫用免費Cloudflare隧道服務，靈活交付惡意軟體</strong></a></p> <p>資安公司Proofpoint發現惡意人士透過TryCloudflare試用服務，大量濫用Cloudflare隧道（Tunnel）傳遞惡意軟體，隱藏其交付遠端存取木馬（RAT）的行動。這項新的攻擊手法，代表著攻擊者能夠靈活改變其基礎設施和戰術，並透過持續演進的伎倆提高攻擊成功率，降低被發現的機會。</p> <p>自2023年以來，濫用TryCloudflare隧道的行為變得越來越普遍，攻擊者持續改良戰術與手法，擴大活動範圍，傳遞資訊量從數百到數萬不等，影響達全球數千組織。研究人員觀察到，該攻擊活動通常圍繞在商業主題上，以發票、文件請求、包裹遞送或是稅務等作為誘餌，並使用英文、法文、西班牙文和德文，達到廣泛的攻擊效果。</p> <p>透過TryCloudflare傳遞的常見惡意軟體，包括Xworm、AsyncRAT、VenomRAT，而Remcos和GuLoader出現機會較少。研究人員表示，從他們發現此手法以來，背後操控的攻擊者已逐漸改變其戰術、技術和程式，試圖繞過偵測進行更高效的攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164291"><strong style="font-size: 22px;">DigiCert註銷逾8萬個SSL憑證</strong></a></p> <p>8月4日SSL數位憑證機構（CA）DigiCert突然宣布消息，表明要註銷未做好適當驗證的SSL憑證，數量超過8.3萬個，並要求用戶在周末前更換新憑證。為何要撤銷憑證？DigiCert坦承他們沒做好網域控制驗證（Domain Control Validation，DCV）。</p> <p>被註銷的憑證主要影響TLS憑證，以及少部分S/MIME憑證。若用戶S/MIME憑證遭到註銷，其電子郵件還是能使用，但無法使用電子郵件加密，因此，在用戶未能更換S/MIME憑證前，收件者只能仰賴郵件用戶端的信任警告來確保信件的安全性。</p> <p>根據DigiCert的Bugzilla報告，這次異動將影響6,807名訂閱用戶、83,267個憑證。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/sitting-ducks-dns-attacks-let-hackers-hijack-over-35-000-domains/"><strong style="font-size: 20px;">研究人員揭露DNS攻擊行動Sitting Ducks，逾3.5萬個網域遭到挾持</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.aquasec.com/blog/panamorfi-a-new-discord-ddos-campaign/">專門針對Minecraft伺服器的DDoS攻擊工具包鎖定配置不當的Jupyter Notebook而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/h/malvertising-campaign-fake-ai-editor-website-credential-theft.html">駭客在臉書上聲稱提供AI圖片編輯工具，意圖散布竊資軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.chinatimes.com/realtimenews/20240730005327-260407me-using-brute-ratel-175741987d87">審計部警告戶役政系統存在資安風險，內政部規畫回應將於今年底完成更新</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-214-07">CISA警告陞泰視訊監控設備漏洞已被用於攻擊行動</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164296"><strong style="font-size: 22px;">蘋果釋出各平臺安全更新，並針對macOS Monterey修補3月公布的RTKit零時差漏洞</strong></a></p> <p>7月29日蘋果針對macOS、iOS、iPadOS、watchOS、tvOS與visionOS釋出安全性更新，除了作業系統本身的漏洞之外，也處理多個開源專案元件漏洞。而在3月的時候，該公司對macOS Sonoma、iOS 17、iPadOS 17、tvOS、watchOS、visionOS修補的<a href="https://nvd.nist.gov/vuln/detail/cve-2024-23296">零時差漏洞CVE-2024-23296</a>，到了5月，他們也對macOS Ventura、iOS 16、iPadOS 16提供相關更新，現在則針對macOS Monterey用戶發布12.7.6版予以修補，並且提到該漏洞已被用於攻擊。</p> <p>CVE-2024-23296主要影響蘋果即時作業系統元件RTKit，擁有核心讀寫能力的攻擊者，便可繞過核心記憶體保護取得系統控制權，導致敏感資料洩漏，甚至是影響系統的穩定性。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164299"><strong style="font-size: 22px;">資安股又新增一生力軍，中華資安國際預計8月20日上興櫃</strong></a></p> <p>臺股交易雖然有起落漲跌，卻是交易相當熱絡，而近期又有一支新的股票公開上市，那就是中華電信集團資安專業服務公司──中華資安國際（股票代號7765）。將可以大幅刺激臺股市場，依據作業流程推論將於8月6日公開發行，預計於8月20日上興櫃。</p> <p>臺灣目前的資安類股包括：精誠（6214）、資通（2471）、安碁資訊（6690）、緯軟（4953）、是方（6561）、神準（3558）等企業，隨著中華資安國際於8月6日公開發行，預計8月20日上興櫃，也讓臺灣資安類股多一個選擇。</p> <p><a href="https://www.ithome.com.tw/news/164293"><strong style="font-size: 22px;">CISA任命首任AI長Lisa Einstein</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0805-CISA-Chief Artificial Intelligence Officer-lisa einstein.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-CISA-Chief%20Artificial%20Intelligence%20Officer-lisa%20einstein.jpg" style="width: 300px; float: right;" /></a>美國國土安全部旗下的網路安全暨基礎設施安全局（CISA）上周四（8月1日）揭露了該局的首位AI長Lisa Einstein，將負責管理CISA對AI的使用，同時確保其關鍵基礎設施的合作夥伴以安全及可靠的方式來開發及採用AI。</p> <p>CISA設立AI長的緣由，在於美國行政管理和預算局（OMB）今年3月發布適用於美國所有政府機關的AI政策，其中一項政策便是要求所有聯邦機構都必須設立負責主導與執行AI政策的AI長（Chief AI Officer，CAIO）。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164277"><strong>【8月2日】駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件，目標是Raydium區塊鏈用戶</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164256"><strong>【8月1日】Azure服務出現不穩定的異常情況，微軟表示起因與DDoS攻擊有關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164242"><strong>【7月31日】研究人員揭露針對性的PyPI惡意套件攻擊行動，意外扯出AI搜尋引擎被誤導的新型態社交工程危機</strong></a></p> </div></div></div>
2024/8/5 16:56作者周峻佑https://www.ithome.com.tw/news/164301
資安股又新增一生力軍，中華資安國際預計8月20日上興櫃
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺股交易雖然有起落漲跌，卻是交易相當熱絡，而近期又有一支新的股票公開上次，那就是中華電信集團資安專業服務公司──中華資安國際（股票代號7765）。將可以大幅刺激臺股市場，依據作業流程推論將於8月6日公開發行，預計於8月20日上興櫃。</p> <p>中華資安國際由中華電信轉投資的資安子公司，並於2018年1月16日正式成立，也呼應政府發展臺灣資安自主研發及鼓勵產業創新政策，可以透過產業及資安專業人才培育，打造一個安全、可信賴的資通訊環境。</p> <p>中華資安國際是中華電信轉投資的資安子公司，於2017年2月通過鼓勵內部員工創業鼓勵作業要點，鼓勵集團內不具有領先技術的優秀人才投入創業，而中華資安國際就是第一個是用這個獎勵作業要點的資安子公司。</p> <p>資安產業一直是臺灣產業轉型關鍵，而中華資安國際自2018年1月成立迄今，具有豐富的資安攻防實務經驗，並結合研發、實務、技術能力，提供事前檢測、事中監控應變和事後鑑識回復的資安產品和服務，以期能達到一站式滿足政府和企業的資安服務需求。</p> <p>臺灣目前的資安類股包括：精誠（6214）、資通（2471）、安碁資訊（6690）、緯軟（4953）、是方（6561）、神準（3558）等企業，隨著中華資安國際於8月6日公開發行，預計8月20日上興櫃，也讓臺灣資安類股多一個選擇。</p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/8/5 16:21作者黃彥棻https://www.ithome.com.tw/news/164299
臺灣研究機構遭中國駭客組織APT41攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡名昭彰的中國駭客組織APT41近年來動作頻頻，其動態尤其引人關注，自<a href="https://www.ithome.com.tw/news/164027">資安業者Mandiant公布該組織滲透全球航運、物流、媒體及娛樂產業的攻擊行動</a>，有研究人員公布專門針對臺灣而來的資安事故。</p> <p>思科旗下威脅情報團隊Talos揭露<a href="http://blog.talosintelligence.com/chinese-hacking-group-apt41-compromised-taiwanese-government-affiliated-research-institute-with-shadowpad-and-cobaltstrike-2/">APT41針對臺灣政府所屬研究機構的攻擊行動</a>，遭駭單位是隸屬臺灣政府旗下的研究機構，專精於運算與科技領域，研判駭客的目的很有可能是竊取專利資料或是敏感的技術。</p> <p>思科去年8月偵測到受害組織的IP位址在下載PowerShell指令碼，並執行惡意命令的情況，事實上，根據他們的追蹤，這些駭客從去年7月開始，存取其中3臺主機，濫用微軟辦公室軟體Office的舊版輸入法編輯器（IME）檔案，以及已知漏洞CVE-2018-0824，將惡意程式ShadowPad、Cobalt Strike，以及其他後續作案的攻擊工具植入這個研究機構當中，<a href="http://www.bloomberg.com/news/articles/2024-08-01/suspected-chinese-hackers-hit-taiwanese-research-center">至少有11天之久</a>，但究竟有多少資料遭竊，思科並未透露。</p> <p>對於這起事故的發現，研究人員指出，當這些駭客取得初始的存取權限後，他們開始在電腦執行惡意程式碼以便持續在該機構網路環境活動，在網頁伺服器植入Web Shell而能進行偵察並下達命令，最終部署惡意程式，而根據散布惡意程式的手法，研究人員大致區分成3種型態，包含了使用Web Shell、遠端桌面存取（RDP），以及反向Shell。</p> <p>研究人員提到，當駭客在試圖投放ShadowPad部分元件的過程裡，遭到受害主機上思科的資安防護系統攔截，於是駭客改變手法試圖繞過，並從架設在主機代管業者戰國策（<a href="http://www.nss.com[.]tw">www.nss.com[.]tw</a>）的C2伺服器下載Cobalt Strike。駭客使用能夠回避防毒軟體偵測的惡意程式載入工具，來啟動Cobalt Strike。</p> <p>在入侵的過程裡，駭客嘗試執行惡意程式UnmarshalPwn來利用CVE-2018-0824。此外，一旦後門成功部署，他們就會立刻清除Web Shell，或是用來存取的Guest帳號，研究人員指出，這些駭客相當謹慎。</p> <p><a href="https://s4.itho.me/sites/default/files/images/APT41-UnmarshalPwn.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/APT41-UnmarshalPwn.jpg" style="width: 580px;" /></a></p> <p>接著，這些駭客對於受害組織的網路環境進行偵察，過程中使用53781埠，但為何這麼做，研究人員表示不清楚。</p> <p>而對於駭客使用的惡意程式，研究人員提及駭客載入ShadowPad的方式出現新手法，那就是運用13年前的IME檔案imecmnt.exe來進行。</p> <p>再者，前述提到用來啟動Cobalt Strike的惡意程式載入工具，則是源自中國開源專案，而該專案設置的目的本來就是防止Cobalt Strike遭到防毒軟體攔截，駭客幾乎可說是拿現成的工具加以利用。研究人員提到，駭客下載、解密、執行Cobalt Strike Beacon的過程，完全在記憶體內執行，而不會在磁碟留下痕跡。</p> </div></div></div>
2024/8/5 15:10作者周峻佑https://www.ithome.com.tw/news/164297
Apple釋出各平臺安全更新，還針對舊版macOS修補RTKit零日漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple最新針對macOS、iOS、iPadOS、watchOS、tvOS與visionOS釋出<a href="https://support.apple.com/en-us/HT201222">安全性更新</a>，除了 Apple作業系統本身的漏洞之外，也處理了多個開源專案針對漏洞的更新。而在5月的時候，Apple對macOS中的零日漏洞CVE-2024-23296修補，現在也下放到更舊的版本macOS Monterey中，並且提到該漏洞已被用於進行攻擊。</p> <p>CVE-2024-23296漏洞主要影響Apple的即時作業系統RTKit，擁有核心讀寫能力的攻擊者，便可繞過核心記憶體保護取得系統控制權，導致敏感資料洩漏，甚至是影響系統的穩定性。該漏洞可能已被積極利用，Apple指出，有報告顯示已有攻擊者利用該漏洞進行攻擊。</p> <p>Apple針對CVE-2024-23296漏洞，從7月開始提供iOS、iPadOS與macOS的修補程式。目前包括iOS 16.7.8、iPadOS 16.7.8與macOS Monterey 12.7.6等較舊的作業系統版本都已經獲得修補，透過改進驗證機制後，解決記憶體可能的毀損問題，避免攻擊者藉由該漏洞進行攻擊。</p> <p>除此之外，Apple在macOS上還修正了OpenSSH的CVE-2024-6387安全漏洞，該漏洞允許未經授權的攻擊者，從遠端執行任意程式碼。由於OpenSSH為熱門的開源專案，因此CVE-2024-6387漏洞影響範圍極廣，大多數Linux版本都受到影響，而Apple軟體同樣也受到波及，目前已知macOS Monterey、Ventura、Sonoma都存在該漏洞，用戶應儘速更新已解決該問題。</p> <p>macOS、iOS、iPadOS中負責進行圖片解編碼任務的ImageIO，也受到開源專案中的漏洞影響，Apple修補了來自libtiff函式庫中CVE-2023-6277、CVE-2023-52356兩個漏洞，以及ImageIO處理惡意製作的檔案，可能導致應用程式意外終止的多個漏洞。</p> <p>Apple不久之前也針對iPhone 15 Pro與iPhone 15 Pro Max釋出iOS 18.1 Beta測試版，首度推出Apple Intelligence功能，使用者將可試用包括書寫工具等由生成式人工智慧模型所支援的功能。不過並非所有使用者都能夠試用Apple Intelligence，目前僅限於國家地區設置為美國，且語言預設使用美式英文的使用者。</p> </div></div></div>
2024/8/5 16:09作者李建興https://www.ithome.com.tw/news/164296
支援三大OS、拉攏PC用戶，Nvidia推AI開發快速上手工具
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/2024-01-mistral-7b-fine-tuning-project-nvidia-ai-workbench-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想要發展技術自主程度相對較高的AI應用系統，大家一開始面臨的最大的困難，是不知該從何處著手，從軟體開發平臺、雲端服務、硬體設備，都有許多搭配方式可選，尤其是軟體相關工具，有各式各樣的應用程式開發框架（framework）、程式庫（library）、軟體開發套件（SDK）、容器（container）、模型（model）、資料集（dataset）。</p> <p>單就強調高度整合的開發環境而言，三大雲端服務業者都提供相關的工具，像是AWS的SageMaker Studio、微軟的Azure AI Studio、Google Cloud的Vertex AI Studio，有些硬體運算廠商也提供這類工具，例如，英特爾目前有OpenVINO Toolkit、oneAPI Toolkits，以及前身為cnvrg.io的Intel Tiber AI Studio，Nvidia在去年8月舉行的<a href="https://developer.nvidia.com/blog/develop-and-deploy-scalable-generative-ai-models-seamlessly-with-nvidia-ai-workbench/">SIGGRAPH 2023大會發表Nvidia AI Workbench</a>，今年3月的GTC 2024大會正式推出，<a href="https://developer.nvidia.com/blog/streamline-ai-powered-app-development-with-nvidia-rtx-ai-toolkit-for-windows-rtx-pcs/">到了6月，他們釋出囊括這套工具的Nvidia RTX AI Toolkit</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-SIGGRAPH-Nvidia AI Workbench1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-SIGGRAPH-Nvidia%20AI%20Workbench1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-SIGGRAPH-Nvidia AI Workbench2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-SIGGRAPH-Nvidia%20AI%20Workbench2.jpg" style="width: 400px;" /></a></p> <p>而對於Nvidia而言，他們想透過Nvidia AI Workbench，提供統一、易用的工具套件，協助開發者能夠運用個人電腦、工作站，以及遠端資料中心、公有雲、Nvidia DGX Cloud的GPU資源，快速建立預先完成訓練（pretrained）的生成式AI模型，並且進行測試與內容組成的自定，而且能在此集中管理資料、模型、資源、運算的需求，以及更順暢的協同作業與部署。</p> <p>Nvidia希望藉此降低大家著手進行企業AI專案的複雜度，提供能在本機電腦執行的簡化操作介面，開發者能運用自定的資料，針對源於開放原始碼AI軟體與模型資源庫Hugging Face、程式碼共享平臺GitHub、Nvidia GPU雲端軟體開發型錄服務NGC的模型，並且可以根據本身的需求、經過幾個點選動作，在此進行修改與執行，之後可橫跨多種平臺，輕鬆共享這些已完成調整的模型。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia AI Workbench-2024-03-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI%20Workbench-2024-03-1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI%20Workbench-2024-03-2.jpg" style="width: 500px;" /></p> <p>相對地，開發者也能透過這套高度整合的AI輔助開發工具，在JupyterLab、VS Code這兩種整合式開發環境，以原生操作、高度共通與透明的方式，管理多臺硬體設備執行的工作，從多個開放原始碼軟體儲存庫與Nvida提供的AI/ML軟體平臺，拉取所有必備的企業級AI模型、框架、軟體開發套件、程式庫。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-08-Nvidia AI-Workbench-workflow-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-08-Nvidia%20AI-Workbench-workflow-web.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia AI Workbench-2024-03-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI%20Workbench-2024-03-6.jpg" style="width: 600px;" /></a></p> <p>為何Nvidia AI Workbench能同時支援本機與遠端執行？事實上，在個人電腦安裝這套AI工具時，採用主從式（client-server）的架構進行部署，使用者操作介面是執行在搭配Nvidia RTX GPU的桌上型電腦、筆電、工作站，作為工具的基本資源，而且能經由SSH安全加密連線協定，與同臺電腦與遠端伺服器安裝的Workbench Service服務溝通，如此一來，能在多個團隊人員個別的工作站本機進行初期開發，後續等到AI訓練工作規模變大時，可轉移到資料中心或雲端服務、用性能更強大的運算資源完成工作。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/MTA3D4LJfc0?si=XhEzkrEDvpOMdMsX&start=60" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>至於Nvidia AI Workbench整合的軟體開發協作機制，也支援用戶內部自建自管的容器登錄服務（registry），以及Git伺服器。基本上，這套軟體開發平臺採用聚焦在個別專案（project）的基礎架構，裡面有一套Git儲存庫，蘊含多個可描述內容與彼此關係、組態設定的指令、執行方式的中繼資料檔案（metadata files）。同時，Nvidia AI Workbench處理的存放位置或相依於使用者的資料，都會清清楚楚地呈現，並且注入執行階段環境（runtime），以便這些資訊不會寫死在專案當中。而這樣的專案架構，有助於自動執行版本管理、容器管理、機密資訊處理等複雜的工作，也能適用於多個團隊的協同合作。</p> <p>而在去年8月Nvidia AI Workbench最初發表之際，有多家工作站與伺服器大廠商表態支援，像是<a href="https://www.dell.com/zh-tw/blog/end-to-end-genai-development-invoke-nvidia-ai-workbench-and-precision/">Dell</a>、HPE、HP、Lambda Labs、<a href="https://news.lenovo.com/accelerating-the-opportunities-of-generative-ai-with-lenovo-ai-workstations-and-nvidia/">聯想</a>、Supermicro，能以此突顯他們提供的實體（本機）與虛擬型態（遠端）GPU工作站，開發者不僅可以運用搭配Nvidia RTX世代GPU的Windows或Linux系統電腦或工作站，進行企業級生成式AI專案的初始建立、測試驗證，以及精密微調，也能以簡單的方式存取位於資料中心與雲端服務業者的GPU運算個體，而在AI系統需要更大的執行規模時，得以順利擴展硬體資源。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/ntMRzPzSvM4?si=ATuzxgqaQ5zTS-TA" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>今年1月，Nvidia AI Workbench釋出Beta版，Nvidia揭露可安裝在3種作業系統，分別是Windows 11、Ubuntu 22.04、macOS 11與後續版本；在軟體開發環境的支援上，用戶可透過這套工具的桌面App與命令列介面，存取相容於Git的版本控制系統，執行拉取、推送、餵補；容器執行階段的引擎，可選擇Docker或Podman；在預設搭配的應用程式框架的系統基礎映像，原本只有NGC型錄提供的Python Basic、PyTorch Basic，此時增添3個：CUDA 11.0、CUDA 12.0、CUDA 12.2；關於協助開發者上手的參考範例專案，Nvidia在此提供Mistral（採用QLoRA PEFT微調Mistral 7B模型）、檢索增強生成（RAG）、NeMotron-3（採用Nvidia NeMo微調Nemotron-3 8B模型）等3種。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-01-mistral-7b-fine-tuning-project-nvidia-ai-workbench-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-01-mistral-7b-fine-tuning-project-nvidia-ai-workbench-web.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI%20Workbench-2024-03-3.jpg" style="width: 600px;" /></p> <p>3月GTC 2024大會期間，Nvidia AI Workbench 1.0版正式推出，開放免費下載，用戶可藉此從Nvidia API型錄或直接在本機電腦的AI推論微服務（NIM），結合雲服務端點（cloud endpoints）來部署生成式AI模型，而在整合開發環境的部分，這一版開始支援VS Code，開發者可在此調度指揮GPU環境當中的容器化專案，關於專案搭配的基礎系統映像，開發者也能在建立專案時，選擇自己的容器映像作為基礎系統映像，但條件是這個映像必須使用遵循基礎映像規格的映像標籤。</p> <p>1.0版也改善套件管理與安裝方式。開發者可透過Workbench的使用者操作介面，直接進行管理，並且將所需的套件增添到容器當中；對於Windows與macOS的用戶而言，可以更容易安裝Nvidia AI Workbench，同時，在Docker容器執行階段的運用上，也提供更好的支援。</p> <p>截至7月初為止，Nvidia AI Workbench後續又經歷幾個小改版，例如，5月底釋出的1.1版，作業系統增加支援更多人使用的Windows 10，7月1.2版登場，作業系統增加支援今年4月最新推出的Ubuntu 24.04。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20AI%20Workbench-2024-03-5.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Nvidia AI Workbench</strong><br /> ●原廠：Nvidia<br /> ●建議售價：免費<br /> ●作業系統需求：Windows 10（21H2 19044版以後）與Windows 11（21H2 22000版以後）、Ubuntu 22.04與Ubuntu 24.04、macOS 12<br /> ●硬體需求：本機或遠端電腦，16GB記憶體、硬碟空間41 GB<br /> ●容器執行環境：Docker或Podman<br /> ●預設提供容器：PyTorch for AI Workbench、Python Basic for AI Workbench、Python with CUDA 11.7/12.0/12.2、RAPIDS with CUDA 12.0<br /> ●程式碼撰寫與執行環境：JupyterLab、VS Code、純文字編輯器<br /> ●協同工作環境：GitHub、GitLab</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/5 12:35作者李宗翰https://www.ithome.com.tw/review/164281
CISA任命首個AI長Lisa Einstein
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國國土安全部旗下的網路安全暨基礎設施安全局（CISA）上周四（8/1）<a href="https://www.cisa.gov/news-events/news/cisa-names-first-chief-artificial-intelligence-officer" target="_blank">揭露了該局的首位AI長Lisa Einstein</a>，將負責管理CISA對AI的使用，同時確保其關鍵基礎設施的合作夥伴以安全及可靠的方式來開發及採用AI。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-CISA-Chief%20Artificial%20Intelligence%20Officer-lisa%20einstein.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／CISA</span></span></p> <p>美國行政管理和預算局（Office of Management and Budget，<a href="https://www.ithome.com.tw/news/162036" target="_blank">OMB）在今年3月發布</a>了首個橫跨美國所有政府機關的AI政策，其中一項政策便是要求每一個聯邦機構都必須設立負責主導與執行AI政策的AI長（Chief AI Officer，CAIO）。</p> <p>當時OMB希望各個聯邦機構必須在60天內指定AI長，估計需要100名AI長。一時之間可擔任AI長的人工智慧專家炙手可熱，目前<a href="https://ai.gov/ai-in-gov/" target="_blank">美國政府已列出</a>了逾60個聯邦機構的AI長。</p> <p>Einstein在2022年時即擔任CISA網路安全諮詢委員會的執行董事，2023年成為CISA的AI資深顧問，現在則被賦予更重要的AI長職務。Einstein說，AI工具可以加速人類的進步，但只有在開發與部署AI工具之際，共同努力以優先考慮安全及可靠性時，才能真正享受AI的好處，並避免誤用或濫用所造成的傷害。</p> </div></div></div>
2024/8/5 13:09作者陳曉莉https://www.ithome.com.tw/news/164293
熱門廣告攔截工具uBlock Origin即將遭Chrome棄用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門的廣告及追蹤器攔截工具<a href="https://github.com/uBlockOrigin/uBlock-issues/wiki/About-Google-Chrome%27s-%22This-extension-may-soon-no-longer-be-supported%22" target="_blank">uBlock Origin本周提醒</a>，用戶將於Chrome擴充功能頁面看到警告，宣稱系統可能會在近期內停止支援uBlock Origin（uBO）。這是因為Chrome即將從Manifest V2遷移到Manifest V3，且自上個月釋出的Chrome 127開始，針對那些基於Manifest V2的擴充程式祭出停用警告，uBO即為其中之一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-uBlock%20issues-chrome%20extension-600.png" style="width: 420px;" /></p> <p>Manifest為一JSON文件，主要用來描述瀏覽器擴充程式的結構與行為，Google於Manifest V3中變更了廣告攔截及隱私等擴充程式用來封鎖與變更網路連結的WebRequest API，引發相關開發者的反彈，最終Google在V3中大幅提高了declarativeNetRequest的規則數量，允許擴充程式自背景採用DOM API，同意快速批准簡易的安全更新，並支援開發者回滾更新版本。Google自<a href="https://www.ithome.com.tw/news/163266" target="_blank">今年6月展開</a>遷移行動，計畫於明年初完成。</p> <p>uBO是個開源專案，強調在不消耗太多CPU及記憶體的前提下可過濾追蹤器、廣告及惡意網址，現有超過3,400萬名Chrome用戶<a href="https://chromewebstore.google.com/detail/ublock-origin/cjpalhdlnbpafiamejdnhcphjbkeiagm" target="_blank">安裝了該擴充程式</a>。<a href="https://chromewebstore.google.com/detail/ublock-origin/cjpalhdlnbpafiamejdnhcphjbkeiagm" target="_blank">Chrome線上應用程式商店（Chrome Web Store）</a>目前排行比它高的類似程式還有AdBlock與Adblock Plus，它們分別有5,900萬名及4,000萬名用戶。</p> <p>uBlock Origin團隊表示，uBO是個Manifest V2擴充程式，而且沒有Manifest V3版本，因此Chrome會建議使用者尋找替代的擴充程式；為此，該團隊盡最大努力將uBO的篩檢清單轉換成符合Manifest V3框架的作法，打造出uBO Lite（uBOL），uBOL同樣強調效率及可靠性，因此必須犧牲許多於Manifest V3框架上無法實現的功能，只能說是uBO的精簡版。</p> <p>該團隊也公布了<a href="https://github.com/uBlockOrigin/uBOL-home/wiki/Frequently-asked-questions-(FAQ)" target="_blank">uBO及uBOL的比較與差異</a>供使用者參考，指出uBOL並不會自動替換uBO，使用者必須自行選擇與安裝uBOL。</p> <p>此外，uBlock Origin團隊表明會繼續開發uBO，因為還有一些瀏覽器不會棄用Manifest V2，例如Firefox。</p> <p>其實不只是uBO，Chrome用戶最近應該會看到其它擴充程式要被停用的警告，它們都是因為不支援Manifest V3而即將與Chrome絕緣。</p> </div></div></div>
2024/8/5 11:24作者陳曉莉https://www.ithome.com.tw/news/164290
DigiCert註銷逾8萬個SSL憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SSL數位憑證機構（Certificate Authority，CA）<a href="https://www.digicert.com/support/certificate-revocation-incident" target="_blank">DigiCert昨（4）日宣布</a>已註銷未做好適當驗證的8萬多個憑證，並要求用戶在本周末前更換新憑證。</p> <p>撤銷憑證的原因是DigiCert未能做好網域控制驗證（Domain Control Validation，DCV）。DCV是指DigiCert將憑證發放給客戶前，會先驗證他們呼叫憑證的網域名是否具有控管或持有權利。其中一種方法是客戶在其網域名的DNS別名（CNAME）紀錄加入一組由DigiCert提供的隨機值，DigiCert之後會進行DNS查詢驗證是否找到相同的隨機值，符合者才會獲得提供網域控制權，即獲頒憑證。</p> <p>而DigiCert提供在DNS CNAME增加隨機值的方法之一，是利用前綴（prefix）格式，以底線符號加入隨機值。這種格式的前綴是為了確保隨機值不會和使用相同隨機值的實際網域名搞混。雖然DNS CNAME紀錄未前綴加入隨機值的機率不高，但仍然存在；最近DigiCert發現在CNAME-based的網域驗證案例中，有將近0.4%已通過者其CNAME並未加入底線前綴的隨機值。按照CA/Browser Forum（CABF）的規定，這些網域憑證必須在24小時內註銷，無一例外。</p> <p>被註銷的憑證主要影響TLS憑證，少部份S/MIME憑證也受影響。若用戶S/MIME憑證遭到註銷，其電子郵件還是能使用，但無法使用電子郵件加密，因此，在用戶未能更換S/MIME憑證前，收件者只能仰賴郵件用戶端的信任警告來確保信件的安全性。</p> <p>根據DigiCert的bugzilla報告，這次事件影響6,807名訂閱用戶的83,267張數位憑證。</p> <p>DigiCert要求用戶必須在世界協調時間（UTC）8月9日20:30（臺灣時間8月10日凌晨4:30）前換用新憑證。TLS/SSL憑證用戶可<a href="https://www.digicert.com/support/certificate-revocation-incident" target="_blank">登入DigiCert CertCentral帳號</a>檢視被註銷的憑證，以及產生新的憑證。S/MIME憑證用戶也可在CertCentral帳號下依據指示讀取已註銷憑證及產生新憑證。</p> </div></div></div>
2024/8/5 11:43作者林妍溱https://www.ithome.com.tw/news/164291
全球首部人工智慧法案歐盟AI Act生效了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由歐盟建立的全球首個人工智慧（AI）法案<a href="https://commission.europa.eu/news/ai-act-enters-force-2024-08-01_en" target="_blank">AI Act在8月1日正式生效了</a>，它替所有歐盟國家導入了一個統一的AI風險框架，同時替AI開發者與部署者擬定了清楚的責任與義務。此一法案將由歐盟執委會（European Commission，EC）旗下的AI辦公室（AI Office）負責推動與執行。</p> <p>AI Act定義了4種AI風險與行為準則，大多數的AI系統屬於最小風險，例如垃圾郵件過濾程式或AI遊戲等，這些系統不必承擔義務，但可以自願採用額外的行為準則。其次則是特定的透明度風險，要求諸如聊天機器人等系統必須明白讓用戶知道，他們正在與機器人互動，且某些由AI生成的內容也必須標記。</p> <p>被歸類為高風險的AI系統必須符合更嚴格的要求，例如基於AI的醫療軟體，或者是用來招募人才的AI系統等，都必須配備風險緩解系統，採用高品質的資料集，擁有清楚的使用者資訊，以及受到人類監督等。</p> <p>而在《黑鏡》（Black Mirror）等影集中曾經出現，整個人類社會彼此評分的AI系統則被視為不可接受的風險。不管是由政府或企業主導的「社會評分」（social scoring）AI系統，都被認為威脅到人類的基本權利，而直接被禁止。</p> <p>歐盟執委會表示，歐盟立志成為安全AI的全球領導者，藉由制定基於人權與基本價值觀的強大監管框架，將可開發一個造福所有人的AI生態體系。</p> <p>為了協助企業遵守AI Act，EC正著手制定通用AI（GPAI）模型供應商的行為守則，正式守則可望於明年4月之前出爐。</p> <p>雖然AI Act已經生效，但不同規則的實施時間不同，例如不可接受風險的AI系統禁令會在6個月後實施；歐盟會員國必須在明年的8月2日以前指定主管部門，以負責監督AI系統規則的部署；通用AI模型的規則將在12個月後實施；而絕大多數的AI Act規則要到2026年的8月2日才上線。</p> </div></div></div>
2024/8/5 12:01作者陳曉莉https://www.ithome.com.tw/news/164292
Google延攬Character.AI高層，創辦人回鍋前公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周與AI新創公司Character.AI簽定技術授權合作，並延攬曾是前Google AI部門員工的創辦人。</p> <p>創立於2022年的Character.AI主要業務是開發個人化AI通訊加值服務，像是建立可和用戶對談的迪士尼動畫主角（如米奇）AI虛擬化身的<a href="https://blog.character.ai/introducing-character-calls/" target="_blank">Character Calls</a>，以及上傳用戶說話樣本自建AI角色聲音的Character Voice。在和Google的非獨家技術授權協議中，Character.AI將授權Google使用其LLM技術。此外，本項合作可能包含Google一筆金額不詳的投資。Character.AI表示，這項合作可增加Character.AI的資金，支持其持續成長並專注在個人化AI產品上。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0805-character%20ai-android-600(1).png" style="width: 600px;" /></p> <p>但雙方合作更重要的一部份是Character.AI的核心員工，包括創辦人Noam Shazeer及Daniel De Freitas及數名研發人員，也將加入Google。其中執行長Shazeer也是Google前員工，他在Google任職期間擔任Google對話式AI模型LaMDA（Language Model for Dialogue Applications）專案的主導人，他在2021年離職創辦Character.AI，並獲得私募基金公司16z支持，加入Google意謂著又將回鍋前東家。Shazeer和De Freitas會加入Google DeepMind部門，但詳細角色和職責還不明。</p> <p>而在兩名高層離開後，Character.AI將由法務長Dominic Perella擔任臨時CEO。Perella曾是社群App開發商Snap高層，去年年中才加入Character.AI。<a href="https://blog.character.ai/our-next-phase-of-growth/" target="_blank">該公司表示</a>未來會持續投資模型後訓練能力，搭配自有或開源LLM開發新服務。</p> <p>Google與Character.AI的合作，和微軟投資新創業者Inflection.AI的手法十分相似。微軟3月延攬Inflection AI二名共同創辦人Mustafa Suleyman及Karén Simonyan加入新成立的Microsoft AI部門，其中曾任DeepMind的Suleyman將任該部門執行長，Simonyan則任該部門首席科學家，二公司也簽定了非獨家技術授權協議。兩家大廠雖然未收購AI新創業者，但由於延攬了其核心員工，特別容易招來反壟斷主管機關的關切。英國主管機關競爭與市場委員會（Competition and Markets Committee，CMA）已經<a href="https://www.ithome.com.tw/news/163972" target="_blank">宣布著手調查</a>微軟和Inflection的合作案。</p> </div></div></div>
2024/8/5 10:31作者林妍溱https://www.ithome.com.tw/news/164285
Nvidia下一代AI晶片傳設計瑕疵將延後至少1季推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體報導，Nvidia下一代AI晶片Blackwell B200因設計上的瑕疵，將延後推出至少3個月。</p> <p>媒體<a href="https://www.theinformation.com/articles/nvidias-new-ai-chip-is-delayed-impacting-microsoft-google-meta?rc=v4bmzs" target="_blank">The Information引述</a>二家Nvidia的合作夥伴報導，微軟通知這二家業者，設計瑕疵使Blackwell B200推出被迫延遲至少3個月，無法依預定於今年第4季出貨。<a href="https://www.bloomberg.com/news/articles/2024-08-03/nvidia-s-new-ai-chip-delayed-due-to-design-flaws-information" target="_blank">彭博則推測</a>，其中一名消息來源是微軟員工。</p> <p>Blackwell B系列是H100系列的新一代GPU。消息如果屬實，將打臉Nvidia的說法。本周稍早Nvidia才公布下一代晶片Blackwell B100與B200工程樣本，並說進度按預定時程。這意謂著客戶最快要等到2025年第1季才能拿到最新一代AI晶片。</p> <p>GPU交貨延遲勢必讓亟於推出開發AI模型及應用服務的平臺大廠跳腳。目前AI大廠從Meta、微軟、xAI傳已下單購買30萬顆B200 GPU，不過Nvidia客戶之一的Meta早已懷疑Nvidia可能得要到明年第2季才能交貨。</p> <p>另外，如果B200真的延後出貨，Nvidia也並非近日唯一這麼決定的晶片業者。AMD原本預定7月31日推出Zen 5架構桌機版處理器Ryzen 9000系列，但在即將推出前夕<a href="https://www.anandtech.com/show/21489/amd-delays-ryzen-9000-launch-1-to-2-weeks-due-to-chip-quality-issues" target="_blank">宣布</a>因為「品質問題」將推遲1到2周。</p> <p>延後推出總好過推出後發生問題。7月底許多用戶搭載英特爾Core 13或14代桌機處理器的電腦當機問題，這家CPU業者證實原因出於「運作電壓過高」。<a href="https://www.theverge.com/2024/7/26/24206529/intel-13th-14th-gen-crashing-instability-cpu-voltage-q-a" target="_blank">英特爾承諾</a>8月中釋出微機碼解決問題，並對當機的處理器延長保固期間二年。但<a href="https://www.tomshardware.com/pc-components/gpus/nvidia-blackwell-gpus-allegedly-delayed-due-to-design-flaws" target="_blank">Tom's Hardware報導</a>，已經當掉的處理器已無法復原。</p> </div></div></div>
2024/8/5 10:48作者林妍溱https://www.ithome.com.tw/news/164286
【資安週報】2024年7月29日到8月2日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期的資安新聞中，在資安威脅態勢上，我們認為有3項消息需要特別重視，涵蓋勒索軟體、網釣攻擊、GitHub遭濫用。</p> <p>（一）駭客開出的勒索金額出現獅子大開口的情形，在Zscaler的一份最新報告指出，勒索軟體集團Dark Angels今年成功勒索一家企業7,500萬美元（約24億元），區塊鏈分析業者Chainalysis也證實此情形，並擔心引起其他駭客集團仿效。</p> <p>（二）有資安業者揭露一起大規模網路釣魚攻擊行動，攻擊者竟然可以發送具有通過SPF和DKIM簽章驗證的大量郵件，調查後發現，駭客疑似利用Proofpoint的郵件防護服務漏洞EchoSpoofing。Proofpoint也提出說明，表示這起事件呈現的弱點並非他們的系統獨有。</p> <p>（三）關於程式碼儲存庫GitHub遭駭客濫用的情形，最近又有新的發現，有資安業者示警，發現駭客組織Stargazers Ghost專門經營大量帳號並提供儲存庫讓駭客與犯罪集團使用，進而形成龐大的網路犯罪生態圈。</p> <p>在APT威脅與資安事件方面，主要有2個重點，分別是關於APT45、APT10的攻擊活動揭露，還有國內外的2起重大資安事件。我們整理如下：<br /> ●近日北韓駭客組織APT45的攻擊行動被大量揭露，包括Google旗下Madiant、微軟，還有美國司法部起訴APT45中一名北韓駭客成員Rim Jong Hyok，當中更是透露受害者不只美空軍基地、NASA，還有臺灣與美、韓的國防承包商。<br /> ●在上個月，日本JPCERT/CC揭露當地製造業、研究機構發動攻擊遭受攻擊，被植入後門程式NoopDoor，如今有資安業者公布該惡意程式細節並指出是中國駭客組織APT10所慣用的惡意程式。<br /> ●華經資訊發布資安重訊，說明已啟動相關防禦機制與復原作業。<br /> ●日本夏普的網路商店Cocoro Store遭入侵，逾10萬人個資恐外流。</p> <p>在漏洞消息方面，本星期共有7個漏洞利用狀況，其中Broadcom在6月底修補VMware ESXi的漏洞CVE-2024-37085最要注意。因為通報的微軟最近揭露相關細節，並指出這個漏洞在修補前就已遭多個攻擊者鎖定利用。換言之，該漏洞在當時就已是零時差漏洞被積極利用，但修補釋出當時公告並未提及此一狀況。</p> <p>其他已知漏洞遭利用的情形，有2個是7月初才修補，包括： ServiceNow的漏洞（CVE-2024-4879、CVE-2024-5217），以及Twilio的Authy漏洞（CVE-2024-3989），還有1個是去年底Acronis修補的漏洞（CVE-2023-45249）。特別的是，2012年微軟修補的IE漏洞（CVE-2012-4792），最近也被美國CISA列入已知漏洞利用清單。</p> <p>還有一個Secure Boot繞過漏洞「PKfail」的揭露，有資安業者發現共發現22個獨特但不可信的平臺金鑰，影響將近900款產品，包括技嘉、Supermicro、Dell等9大業者，並指出這是韌體供應鏈在加密金鑰管理實務上的嚴重問題。</p> <p>關於0719的CrowdStrike引發大當機事件，持續有後續消息，例如，有駭客趁機利用這起事故鎖定CrowdStrike用戶發動攻擊，佯稱提供當機報告程式，但其目的是散步惡意軟體；iThome持續追蹤當時的發生狀況原因，以及對於整個資安產業的影響，我們找到幾位臺灣資安專家，分享對此事故的觀察，他們指出CrowdStrike的病毒特徵碼設計不良之餘，也提及類似CrowdStrike更新出包的意外，是所有端點防護公司都可能發生的，因此，要避免類似意外發生，一定需要重複經過各種驗證程序。</p> <p>至於資安防禦態勢上，有3個重要消息不容錯過，涵蓋AI評估測試、同態加密技術相關工具的釋出，以及cookie theft的防範。例如，美國CISA釋出可用於評估AI安全及可靠性的軟體測試平臺的Dioptra 1.0版，以及Apple將自家發展用於保護隱私的同態加密技術，以開源Swift開源套件釋出。此外，Google為了應對現在許多竊資軟體具有cookie theft手段，宣布將針對Windows版Chrome瀏覽器，提供應用程式導向的加密（App-Bound Encryption）。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164175"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月29日】北韓駭客APT45遭美國司法部通緝，揭露受害者涵蓋美國、臺灣、韓國的國防承包商</span></strong></a></h3> <p>近日北韓駭客組織APT45的攻擊行動被大量揭露，但值得注意的是，美國司法部也公告緝拿該組織一位北韓駭客成員，當中意外揭露了有臺灣國防承包商也是APT45的受害者。</p> <p>由於許多媒體報導可能忽略了這一消息，但這樣的狀況是需要我們國防單位去進一步了解。</p> <h3><a href="https://www.ithome.com.tw/news/164205"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月30日】上個月公告、修補的VMware ESXi身分驗證繞過漏洞，去年已有多組人馬將其用於攻擊行動</span></strong></a></h3> <p>VMware虛擬化平臺的漏洞，最近幾年已是駭客頻頻鎖定的攻擊目標，這樣的情況，在最近微軟發布的漏洞警訊也能反映這種情況。</p> <p>研究人員針對博通上個月發布的身分驗證繞過漏洞CVE-2024-3708進行調查，指出這項漏洞已在去年就遭到利用，而且，Storm-0506、Storm-1175、Octo Tempest、Manatee Tempest等多個駭客組織都加入利用漏洞的行列。</p> <p><a href="https://www.ithome.com.tw/news/164242"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月31日】研究人員揭露針對性的PyPI惡意套件攻擊行動，意外扯出AI搜尋引擎被誤導的新型態社交工程危機</span></strong></a></p> <p>透過NPM、PyPI等軟體套件儲存庫發動攻擊的情況日益頻繁，但通常都是針對特定套件的使用者下手，透過模仿網域名稱的手法，引誘開發人員上當，但如今出現了結合社交工程的攻擊手法。</p> <p>例如，資安業者Checkmarx近期揭露的惡意PyPI套件攻擊行動，駭客的目的是竊取特定用戶的Google Cloud帳密資料，但為了誘騙使用者，疑似還設置專門的LinkedIn帳號，並誤導知名的AI搜尋引擎產生錯誤的結果。</p> <p><a href="https://www.ithome.com.tw/news/164256"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月1日】Azure服務出現不穩定的異常情況，微軟表示起因與DDoS攻擊有關</span></strong></a></p> <p>本週再度傳出微軟多項雲端服務運作異常的現象，許多使用者面臨不穩定，甚至是無法存取，由於一週前才<a href="https://www.ithome.com.tw/news/164028">發生了類似的情況</a>，因此，這起事故發生的原因，引起許多用戶的高度關注。</p> <p>7月31日微軟對此提出說明，起因是Azure的基礎設施遭到DDoS攻擊時，他們實作的防護措施竟然放大了流量而釀禍，導致重要元件運作效能大幅降低，嚴重影響各項雲端服務的運作。</p> <p><a href="https://www.ithome.com.tw/news/164277"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月2日】駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件，目標是Raydium區塊鏈用戶</span></strong></a></p> <p>過往駭客發動惡意NPM、PyPI套件攻擊，通常會針對知名套件的使用者而來，藉由網域名稱模仿的手法讓開發人員上當。但如今，駭客改變了做法，他們利用網路問答平臺，假裝認真解答問題，藉此散布惡意套件。</p> <p>最近資安業者Checkmarx揭露的資安事故，就是這種例子。駭客在Stack Exchange針對特定問題進行回答，「順便」提供惡意套件的下載連結，使得用戶降低警覺而有可能因此上當。</p> </div></div></div>
2024/8/4 18:03作者羅正漢https://www.ithome.com.tw/news/164279
Google AI即將進駐Chrome桌面版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/chrome/google-chrome-ai-features-august-2024-update/" target="_blank">Google周四（8/1）宣布</a>，即將於桌面版的Chrome瀏覽器引進3項AI功能，分別是Google Lens、Tab compare，以及以自然語言搜尋歷史紀錄。</p> <p>Google Lens為Google所開發的影像辨識工具，一開始是個獨立程式，繼之曾陸續被整合至Google Camera、Google Photos、Google Assistant與Gemini，現在它則將進駐桌面版的Chrome瀏覽器。</p> <p>依照Google的規畫，未來幾天更新的Chrome瀏覽器就會於網址列上出現Google Lens的圖示，當使用者瀏覽時，只要發現有興趣的圖像，就能直接將該圖示拉至圖像上，並於側邊欄上展示相關的搜尋結果；接著還可執行多重搜尋，例如尋找不同的顏色、品牌或其它詳細資訊等；若不滿意還可輸入其它問題以更深入了解特定主題，並由基於Gemini模型的AI來回應。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0802-Chrome%20AI%20features-3.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0802-Chrome%20AI%20features-2.png" style="width: 600px;" /></p> <p><a href="https://www.youtube.com/watch?v=43YUCNEHBHU" target="_blank">Google展示</a>了如何將Google Lens圖示拖曳到網頁上的某個行李箱，再於側邊欄上尋找不同顏色的同款行李箱。或者是把Google Lens圖示移到一株盆栽上，於側邊欄以自然語言詢問該盆栽的照顧方法。</p> <p>此外，使用者還可將Google Lens拖曳至影片中的圖像進行辨識與搜尋。除了拖曳Google Lens圖示之外，亦可藉由點選Google Lens圖示或透過功能表來啟用該功能。</p> <p>至於Tab compare，以及以自然語言搜尋歷史紀錄則計畫在幾周後先行於美國登場。前者看起來是個非常方便的購物功能，當使用者於網路上搜尋某個類別的商品時，經常會以不同的分頁來研究類似的產品，但Tab compare功能可在一個頁面上整合這些不同分頁上的產品並進行比較，例如它們的價格、規格、價格與評價等，而不必再自行不斷切換分頁。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0802-Chrome_Tab_Compare(2).png" style="width: 600px;" /></p> <p>以自然語言來搜尋歷史紀錄也頗令人期待，例如可以在Chrome歷史紀錄中搜尋「我上次看的那家冰淇淋店是哪家」，Google AI就會從紀錄中找出使用者曾經瀏覽的相關頁面。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0802-Chrome_Search_History(2).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/8/2 20:26作者陳曉莉https://www.ithome.com.tw/news/164282
新興攻擊手法濫用免費Cloudflare隧道服務，靈活交付惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Proofpoint<a href="https://www.proofpoint.com/us/blog/threat-insight/threat-actor-abuses-cloudflare-tunnels-deliver-rats">發現</a>惡意人士透過TryCloudflare服務，大量濫用Cloudflare隧道（Tunnel）服務傳遞惡意軟體，隱藏其交付遠端存取木馬（Remote Access Trojans，RAT）的行動。這項新的攻擊手法，代表著攻擊者能夠靈活改變其基礎設施和戰術，並透過演進攻擊技術提高攻擊成功率，並降低被發現的機會。</p> <p>Proofpoint正在追蹤一群利用Cloudflare隧道服務，傳遞惡意軟體的網路犯罪活動，透過濫用Cloudflare的TryCloudflare功能，攻擊者不用建立帳號，就能夠創建一次性的隧道。</p> <p>隧道技術類似VPN或是SSH，用於遠端存取不在本地網路的資料和資源，使用者每次建立TryCloudflare隧道都會生成一個隨機子網域名，使流量經過Cloudflare伺服器代理傳遞，而這提供了攻擊者一個便利且低成本的方式，進一步掩蓋自己的真實位置。</p> <p>自2023年以來，濫用TryCloudflare隧道的行為變得越來越普遍，攻擊者演進其戰術與技術，擴大攻擊活動範圍，傳遞資訊量從數百到數萬不等，影響達全球數千組織。研究人員觀察到，該攻擊活動通常圍繞在商業主題上，以發票、文件請求、包裹遞送或是稅務等作為誘餌，並使用英文、法文、西班牙文和德文，達到廣泛的攻擊效果。</p> <p>透過TryCloudflare傳遞的常見惡意軟體包括Xworm、AsyncRAT 和 VenomRAT，而Remcos和GuLoader則出現機會漸少。研究人員表示，從他們發現此手法以來，背後操控的攻擊者已逐漸改變其戰術、技術和程式，試圖繞過偵測進行更高效的攻擊。</p> <p>攻擊者利用Cloudflare隧道的靈活性，展示他們有能力迅速建構和撤除攻擊基礎設施，增加了這些攻擊被追蹤和封鎖的難度，而這種手法也間接使靜態封鎖清單等安全措施失效。</p> <p>攻擊者使用Python腳本和WebDAV、SMB等其他技術進行攻擊，這代表攻擊者有能力將惡意軟體安裝到受害者的裝置上，即便這些裝置沒有預先安裝能執行這些腳本的軟體，資安人員認為，企業應該限制安裝和使用不必要的軟體和服務，減少惡意軟體進入系統的途徑。不過由於這些攻擊都需要受害者多次互動，因此也表示之間有許多可以辨識和阻止攻擊的機會。</p> </div></div></div>
2024/8/2 20:39作者李建興https://www.ithome.com.tw/news/164275
Stability AI發表Stable Fast 3D新模型，從單張圖生成3D模型只要0.5秒
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stability AI發表可利用圖片生成3D模型的新模型<a href="https://stability.ai/news/introducing-stable-fast-3d">Stable Fast 3D</a>，該模型運作效能高，只需要不到0.5秒，就能快速生成完整且自然的3D模型。目前Stable Fast 3D已經在Hugging Face平臺上架，並且以Stability AI社群授權釋出。</p> <p>Stable Fast 3D只需要單張圖片，就可快速生成高品質3D模型，這些模型提供精確的UV網格展開（UV Unwrapping），方便使用者進行細緻的材質貼圖，而且也包含材質參數配置，能夠被用來控制模型表面外觀和質感，透過提供詳細的參數，讓模型能夠更真實的呈現。</p> <p>Stable Fast 3D所生成的模型顏色，會盡量減少光照影響的痕跡，也就是說，生成的模型顏色，不包括光影效果，這樣的模型在不同的環境光照下，都可以呈現出正確的顏色，而不會受到特定光照條件限制。使用者如果需要，也可以選擇四邊形或是三角形網格重建功能，只要100至200毫秒即可完成，就能夠更細緻的控制模型網格拓撲結構。</p> <p>該新模型的出現，展現了Stability AI在以圖生成3D模型技術的大幅進展。Stable Fast 3D具有更高的精確度和效率，極大程度降低了生成時間，相較之前的SV3D模型，單個模型推理時間從10分鐘縮短至0.5秒，生成效率的提升也就增加了模型實際應用的價值。</p> <p>而且因為Stable Fast 3D的架構經過調整，其生成的3D網格和材質更加細緻，能夠生成UV展開網格，對於後續材質貼圖和細節表現非常重要，此外，能夠生成不受光影影響的模型顏色，也擴大了可支援應用的場景種類。</p> </div></div></div>
2024/8/2 21:07作者李建興https://www.ithome.com.tw/news/164278
Martech雙周報第59期：Google宣布不停用第三方Cookie，但新增瀏覽器層級的使用者授權啟用選項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0721~0803)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#第三方Cookie #第一方數據 #個資隱私 #瀏覽器廣告</span></strong></span><br /> <strong>Google宣布不停用第三方Cookie，但後續將新增瀏覽器層級的使用者授權選項</strong></p> <p>自Google宣布停用第三方Cookie已經過了4年，多次延期後，今年年初終於開始逐步停用。<a href="https://privacysandbox.com/news/privacy-sandbox-update/">但，就在幾日前，Google又再次改口，宣布續用第三方Cookie。</a></p> <p>再次變卦的主要理由是，Google自己提出的替代方案Privacy Sandbox（隱私權沙盒）成熟度不足，屢遭外界嚴重質疑。IAB、Criteo等業界權威組織及企業各自發表了研究來質疑其行銷效果，更有以英國競爭及市場管理局（Competition and Markets Authority，CMA）為首的主管機關指控此技術安全性不足，且Google有利用此項技術鞏固廣告壟斷地位嫌疑。</p> <p>這4年來，數位行銷界有許多號稱更保護隱私的技術和做法崛起，例如數據無塵室、第一方數據聯盟等，但第三方Cookie目前仍支援著大部分數位廣告投放。根據eMarketer調查，美國除了零售和保險業，其他產業的廣告投放活動，超過8成會使用第三方Cookie。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/emktck.png" style="height: 500px;" /></p> <p>第三方Cookie續用，看似能讓一切回歸舊做法，但這次Google祭出的做法，非常類似於對Martech業界造成巨大衝擊的iOS 14.5新隱私政策App追蹤透明度（App Tracking Transparency，ATT）。蘋果做法是，以裝置為單位詢問使用者是否願意被追蹤，Google預告的做法則是，以瀏覽器為單位詢問使用者是否授權啟用第三方Cookie。</p> <p>ATT政策上線，使廣告主幾乎不能追蹤iOS用戶行為，且蘋果隨即開始大力布局自家數位行銷業務，被競爭者指控ATT雖打著隱私名號，實則是打造封閉廣告生態圈的一步棋。Google目前沒有明確表示，授權詢問的做法是否與ATT同樣是預設不同意。不過，業界擔憂，若大部分使用者都不同意，結果將會與停用第三方Cookie幾乎無異。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#SEO #自然流量 #AI</span></strong><br /> <strong>OpenAI發表對話式搜尋引擎SearchGPT，承諾將會以曝光出版方為介面設計原則</strong></p> <p><a href="https://openai.com/index/searchgpt-prototype/">OpenAI發布用LLM支援的對話式搜尋引擎SearchGPT</a>。相較於微軟Bing AI及Google Generative Search的AI搜尋引擎，嘗試強調聊天機器人特性，乃至於原始資料出處能見度相當低，SearchGPT介面設計上更加強調新聞網站、部落格等出版方的曝光及流量獲取。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/genai1.png" style="width: 700px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/genai2.png" style="width: 600px;" /></p> <blockquote><p>相較於微軟和Google的生成式AI搜尋功能，OpenAI的產品在介面設計上更強調原始資料曝光</p> </blockquote> <p>前述3種生成式AI搜尋功能，都可以用AI生成對話來彙整搜尋問題的答案，不過SearchGPT會呈現出更多出版方網站的原始內容，介面設計上也不只有AI生成文字，而是在視覺上強調原始資料連結，並嘗試創作多個讓使用者點進原始網站的機會，包括資料後面附上的連結、介面底部的參考連結、占螢幕面積三分之一的其他參考網站及資料等。</p> <p>OpenAI承諾，會持續和出版方溝通此產品的設計，來降低對原始網站流量的衝擊，甚至嘗試透過此產品增加出版方網站流量。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#短影音行銷 #短影音電商 #行銷分析工具</span></strong></span><br /> <strong>Tiktok推出行銷用第三方應用程式市集，全數App都可免費試用</strong></p> <p><a href="https://www.tiktok.com/business/en-CA/blog/tiktok-app-center-for-business">短影音平臺Tiktok推出App Center for Business</a>，這是一個蒐集了第三方應用程式及服務的市集，包含了電商解決方案、創作工具、帳戶管理、素材管理、行銷活動管理、數據報告及分析、潛在客戶開發、外部數據整合、其他專業服務，共9類應用程式或服務。此外，Tiktok還要求上架平臺的廠商，必須要提供某種程度的免費試用期選項，來增加企業採購彈性。不過，企業應注意各家廠商的免費試用方案會有些許差異。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#醫療用CDP #機敏資料處理</span></strong></span><br /> <strong>Tealium推出醫療用CDP，內建醫療法遵及多種機敏資料處理機制</strong></p> <p>CDP用來支援個人化醫療服務設計，確實技術上可行，不過，醫療資料高度機敏，實務使用上有許多限制。<a href="https://www.globenewswire.com/news-release/2024/07/23/2917252/0/en/Tealium-for-Healthcare-enables-enterprises-to-establish-digital-trust-with-patients-and-physicians.html">CDP大廠Telium便是鎖定此業界痛點，推出醫療業專用CDP</a>，除了常見CDP功能外，還有患者數據使用授權管理、內建敏感資料混淆及遮蔽功能、以及醫療數據使用的法規遵循機制等，專門為醫療業數據運用法遵而設計的功能。</p> <p>此CDP還能和其他大型數據廠商產品串接，來進行更多數據處理作業。Tealium並宣稱，他們自己及合作廠商的技術能力及數據處理做法，能支援美國醫療主管機關規定，並依法簽訂醫療數據使用協議。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#CDP顧問指南 #CDP採購條件</span></strong></span><br /> <strong>採購CDP該看哪些條件？CDP Institue推出CDP顧問商挑選指南</strong></p> <p>CDP產業研究機構<a href="https://www.cdpinstitute.org/resources/service-provider-capabilities-report/?077efd5c77">CDP Institute發布CDP服務提供商能力盤點報告</a>，根據產業別及服務內容，作為CDP採購分析維度。產業別包括：零售業、媒體及出版業、金融及保險業、旅遊及餐飲業、電信及公共事業、製造及工業、快消品業、科技業、教育業、醫療保健、汽車業、政府及非營利組織等。服務內容則包括系統需求和廠商選擇、數據倉儲系統開發、CDP系統部署和營運、客戶數據管理和系統整合、行銷策略和規劃、行銷方案開發、數據分析和AI建模等。</p> <p>Martech產品評估一直以來是一件難事，尤其是CDP這類功能多元、操作複雜，且常常附帶顧問等售後服務的產品。雖然這篇指南是針對CDP顧問或SI廠商進行評估，且並非所有廠商都有在臺灣服務，但這些比較維度，仍能作為企業評估採購CDP產品的參考。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#RMN #行銷追蹤</span></strong></span><br /> <strong>ANA的RMN市調：後進品牌只敢試水溫，原因仍是跨RMN追蹤不便</strong></p> <p><a href="https://www.ana.net/miccontent/show/id/87291">美國國家廣告商聯合會（ANA）推出RMN市場調查報告</a>。調查顯示，RMN市場高速成長，且廣告主普遍看好RMN並有意於此通路投放廣告，甚至認為是必須投放。不過，市面上做RMN的零售業者越來越多，跨不同家RMN測量行銷成效的難題反而更加凸顯，使廣告主不敢投入大量行銷預算。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ANARMN.jpg" style="width: 600px;" /></p> <p>調查顯示，目前有在RMN投廣的廣告主，近半是早在2019便開始，意味著近幾年來採用此行銷通路的品牌較少。有用RMN的廣告主，有65%不打算於未來2年內加碼預算。不只如此，高達87%尚未使用RMN行銷的廣告主表示，2年內「不確定要用」或「確定不要用」RMN行銷。這些廣告主對於RMN疑慮依舊──最大疑慮是跨平臺數據整合，次高的疑慮則是難以歸因轉換率。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#隱私法遵 #個資加密 #去識別化</span></strong></span><br /> <strong>FTC警告：加密後個資用於行銷，法規上仍視為具有識別能力的資料</strong></p> <p>隱私權抬頭，號稱去識別化的個人化行銷科技如雨後春筍冒出，許多都是資料混淆或加密技術，把Email、手機等個資轉換成一串亂碼，來投放廣告。<a href="https://www.ftc.gov/policy/advocacy-research/tech-at-ftc/2024/07/no-hashing-still-doesnt-make-your-data-anonymous">有鑑於此，美國聯邦貿易委員會（FTC）特地提出警告，只要資料能對應到某一個人，就算不會直接反映出具體個資，執法上仍會視為類似於個資的「具識別能力」資料。</a></p> <p>FTC進一步強調，就算是用雜湊（Hashing）加密法，把個資轉為不可逆向工程的雜湊值，這一串看似無意義的值仍代表一個個體。許多Martech廠商或企業將這些雜湊值視為去識別化資料，還將許多機敏資訊存在這些雜湊值名下，甚至分享給第三者，仍構成隱私侵犯，且有觸法嫌疑，FTC也針對多起這類事件提告過。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. 客服平臺Super 8利用廣告商禾多移動的客群辨識技術與大量零售業者數據，來強化生成式AI客服功能</p> <p>2. <a href="https://www.ftc.gov/news-events/news/press-releases/2024/07/ftc-issues-orders-eight-companies-seeking-information-surveillance-pricing">美國FTC開始偵查並有意打擊利用個資來達成個人化定價的做法</a></p> <p>3. <a href="https://www.businesswire.com/news/home/20240723709853/en/Engagys-and-Redpoint-Global-Partner-to-Transform-Health-Plan-Member-Engagement">醫療顧問公司Engagys與CDP廠商Redpoint Global合作，利用消費者數據強化個人化醫療產品行銷</a></p> <p>資料來源：iThome整理，2024年8月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Google、微軟、OpenAI、ANA</p> <p></p> </div></div></div>
2024/8/2 19:20作者郭又華https://www.ithome.com.tw/news/164280
【資安日報】8月2日，駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件，目標是Raydium區塊鏈…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客發動惡意NPM、PyPI套件攻擊，通常會針對知名套件的使用者而來，藉由網域名稱模仿的手法讓開發人員上當。但如今，駭客改變了做法，他們利用網路問答平臺，假裝認真解答問題，藉此散布惡意套件。</p> <p>最近資安業者Checkmarx揭露的資安事故，就是這種例子。駭客在Stack Exchange針對特定問題進行回答，「順便」提供惡意套件的下載連結，使得用戶降低警覺而有可能因此上當。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164267"><strong style="font-size: 22px;">Raydium區塊鏈用戶遭到鎖定，駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Photo5_BlogSPL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Photo5_BlogSPL.jpg" style="width: 300px; float: right;" /></a>惡意套件攻擊結合社交工程手法的情況，最近不斷出現，例如，有人為了引誘特定目標下載惡意PyPI套件，疑似藉由假LinkedIn帳號誤導AI搜尋引擎，類似的混合攻擊手法又有新的案例出現。</p> <p>資安業者Checkmarx揭露從6月底出現的惡意PyPI套件攻擊行動，駭客在6月25日上傳無害的軟體套件到PyPI儲存庫，但到了7月3日顯露意圖，發布多個惡意版本套件。研究人員指出，攻擊者主要目標是區塊鏈平臺Raydium、Solana的用戶，意圖將他們的加密貨幣資產耗盡，超過2千人下載相關套件而可能受害。</p> <p>比較特別的是，駭客為了引誘使用者上當、下載惡意套件，他們透過名為Stack Exchange的網路問答網站來進行宣傳，藉由在熱門討論串提供看似有用的答案來進行。</p> <p><a href="https://www.ithome.com.tw/news/164274"><strong style="font-size: 22px;">中國駭客組織APT10鎖定日本關鍵基礎設施、學術機構，利用後門程式LodeInfo、NoopDoor從事網路間諜攻擊</strong></a></p> <p>上個月日本電腦緊急應變團隊暨協調中心（JPCERT/CC）揭露攻擊行動MirrorFace的最新態勢，當中提及駭客鎖定當地製造業、研究機構發動攻擊，企圖在這些企業組織植入後門程式NoopDoor，如今有資安業者公布與這支惡意程式有關的細節。</p> <p>根據資安業者Cybereason的調查，中國駭客組織APT10使用LodeInfo與NoopDoor兩款惡意程式，鎖定日本企業組織發起名為Cuckoo Spear的攻擊行動，而能在受害組織的網路環境活動長達2至3年。他們提及這項攻擊行動與駭客組織Earth Kasha，以及另一起攻擊行動MirrorFace有所關連，因為這三個行動所用的武器有個共通點，那就是APT10慣用的惡意程式LodeInfo。</p> <p>研究人員提到，駭客在使用NoopDoor的攻擊行動，同時運用後門程式LodeInfo，然後使用新的後門程式竊取受害組織資料。他們看到駭客的攻擊目標是日本的關鍵基礎設施及學術機構，推測駭客的目的是從事網路間諜活動。</p> <p><a href="https://www.ithome.com.tw/news/164260"><strong style="font-size: 22px;">可惡安卓惡意軟體BingoMod，盜完銀行帳戶還順手抹除裝置</strong></a></p> <p>資安公司Cleafy研究發現了新種類的Android惡意軟體，並命名為 BingoMod。BingoMod會試圖接管裝置上銀行帳戶並且轉移金錢，在成功完成盜取任務後，攻擊者便會抹除受感染的裝置，消除BingoMod的活動痕跡，增加資安人員調查的難度。</p> <p>BingoMod屬於遠端存取木馬（RAT），攻擊者可以利用它遠端控制受感染的裝置，並且利用裝置上詐騙（On Device Fraud）技術接管銀行帳戶。BingoMod主要透過簡訊釣魚的方式散布，其通常會偽裝成合法的防毒軟體，一旦BingoMod安裝至受害者裝置上，便會要求用戶啟用無障礙服務，當用戶授予請求權限，BingoMod APK便會開始自我解壓縮，並且執行惡意酬載。</p> <p>此惡意軟體雖然擁有類似於Brata惡意軟體的裝置抹除能力，但因為BingoMod相對簡單，所以研究人員猜測其裝置抹除功能，比較像是一種簡單的退出策略。</p> <p><a href="https://www.ithome.com.tw/news/164276"><strong style="font-size: 22px;">研究人員揭露專門竊取安卓手機簡訊的大規模攻擊行動，範圍橫跨113個國家</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture9.jpg" style="width: 300px; float: right;" /></a></p> <p>用手機產生動態密碼（OTP）的多因素驗證機制相當普遍，廣受許多企業的採用，但駭客也試圖入侵手機竊取這類資訊，從而闖入受害者所屬的企業組織網路環境。</p> <p>資安業者Zimperium指出，他們自2022年2月開始，追蹤專門針對安卓裝置的竊取簡訊攻擊行動，這段期間他們找到超過10.7萬個相關惡意應用程式，駭客鎖定、監控至少600種知名廠牌的動態密碼資訊，其中部分廠牌的用戶多達數億，範圍橫跨全球113個國家，主要目標是印度及俄羅斯使用者。</p> <p>值得留意的是，攻擊者能夠迴避許多防毒軟體的偵測，因此，行動裝置可能需要透過多種管道來強化安全。</p> <p><a href="https://www.ithome.com.tw/news/164259"><strong style="font-size: 22px;">解析0719全球電腦大當機原因，資安專家推測CrowdStrike病毒特徵碼設計不良，造成藍色當機畫面</strong></a></p> <p>從早期的防毒軟體到現在的EDR軟體，這些防護端點設備的資安軟體，早成為個人電腦使用者與駭客對峙的第一線戰場。日前資安軟體CrowdStrike因為EDR軟體更新出包，引發全球約850萬臺微軟電腦，出現藍色當機畫面（BSOD）的資安事件。</p> <p>雖然真正的原因，還是必須等CrowdStrike完整調查並公布後，才可能有進一步的了解，不過，根據對微軟作業系統安全有研究的匿名資安專家的推測，CrowdStrike之所以更新出錯，原因在於掛載設計不良的特徵碼包，導致作業系統核心的驅動邏輯出現問題（Parser解析邏輯不良），所以會誤用不存在記憶體的指標null-pointer讀取內容，造成BSOD藍色當機畫面。</p> <p>這次事故發生之後，也引發其他的討論，例如，作業系統是否應該允許資安產品拿到高權限？有臺灣資安業者對此持肯定態度，他們認為，若要偵測到惡意程式的運作，這類端點防護產品就必須對作業系統擁有更高的權限，才可以更早攔截到惡意程式的運作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://securityaffairs.com/166432/hacking/vmware-esxi-cve-2024-37085-vulnerable-instances.html"><strong style="font-size: 20px;">逾2萬臺VMware ESXi伺服器曝露在已被利用的CVE-2024-37085危險當中</strong></a></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.recordedfuture.com/research/eriakos-scam-campaign-detected">研究人員揭露臉書詐騙攻擊行動Eriakos，利用數百個網站竊取用戶財務資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/threat-actor-abuses-cloudflare-tunnels-deliver-rats">Cloudflare試用服務遭濫用，駭客藉此散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://medium.com/@knownsec404team/the-patchwork-group-has-updated-its-arsenal-launching-attacks-for-the-first-time-using-brute-ratel-175741987d87">駭客組織Patchwork濫用滲透測試工具Brute Ratel C4攻擊不丹</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://about.fb.com/news/2024/07/combating-financial-sextortion-scams-from-nigeria/">奈及利亞駭客濫用逾6萬個Instagram帳號，鎖定美國進行性勒索</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164169"><strong style="font-size: 22px;">美國釋出用來評估AI安全的Dioptra平臺</strong></a></p> <p>美國國家標準暨技術研究院（NIST）釋出Dioptra 1.0，這是用來評估AI安全及可靠性的軟體測試平臺，支援AI風險管理框架（AI RMF）的測量功能，可評估、分析及追蹤AI風險。</p> <p>Dioptra最早現身於2022年，當時NIST形容是可用來評估適合用來保護機器學習系統之安全技術與解決方案的方法，並讓研究人員比較用來對抗不同攻擊、資料集或各種狀況的方法。</p> <p>而今釋出的Dioptra 1.0版預計提供幾項功能，一為模型測試，如第一方於開發生命周期中評估AI模型，或是第二方在收購前或於實驗室環境中以Dioptra來評估AI模型，以及身為第三方的審計員或合規官員用來評估模型的法規與道德標準。</p> <p><a href="https://www.ithome.com.tw/news/164165"><strong style="font-size: 22px;">Google著手處理Chrome密碼管理工具的臭蟲</strong></a></p> <p>日前有多名Chrome用戶在Reddit上反映，儲存在Chrome瀏覽器的密碼全部消失，而且將密碼備份匯入後也會立即不見。用戶發現在升級到127.0.6533.73版本後，才出現儲存密碼全部消失、無法按原本設定自動填入的情況。</p> <p>Google接獲通報後進行調查，並在將近18小時後緊急修補完成，並發布狀態頁解釋。根據Google初步分析，原因是Google產品開發部門對Chrome的產品行為做了變更，但未做好功能保護，導致密碼管理器無法儲存或找到密碼。實際上，密碼並未消失或被重設；用戶仍然能儲存密碼，但卻無法檢視。</p> <p>本問題影響Chrome M127版本，約有25%用戶已經部署了這次變更，其中近2%出現密碼神祕消失的情形。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164256"><strong>【8月1日】Azure服務出現不穩定的異常情況，微軟表示起因與DDoS攻擊有關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164242"><strong>【7月31日】研究人員揭露針對性的PyPI惡意套件攻擊行動，意外扯出AI搜尋引擎被誤導的新型態社交工程危機</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164205"><strong>【7月30日】上個月公告、修補的VMware ESXi身分驗證繞過漏洞，去年已有多組人馬將其用於攻擊行動</strong></a></p> </div></div></div>
2024/8/2 16:53作者周峻佑https://www.ithome.com.tw/news/164277
中國駭客組織APT10鎖定日本關鍵基礎設施、學術機構，利用後門程式LodeInfo、NoopDoor從事網路間諜攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月日本電腦緊急應變團隊暨協調中心（JPCERT/CC）揭露<a href="https://www.ithome.com.tw/news/164009">攻擊行動MirrorFace的最新態勢</a>，當中提及駭客鎖定當地製造業、研究機構發動攻擊，企圖在這些企業組織植入後門程式NoopDoor，如今有資安業者公布與這支惡意程式有關的細節。</p> <p>根據資安業者Cybereason的調查，<a href="https://www.cybereason.com/blog/cuckoo-spear">中國駭客組織APT10使用LodeInfo與NoopDoor兩款惡意程式</a>，鎖定日本企業組織發起名為Cuckoo Spear的攻擊行動，而能在受害組織的網路環境活動長達2至3年。他們提及這項攻擊行動與駭客組織Earth Kasha，以及另一起攻擊行動MirrorFace有所關連，因為這三個行動所用的武器有個共通點，那就是APT10慣用的惡意程式LodeInfo。</p> <p>研究人員提到，駭客在使用NoopDoor的攻擊行動，同時運用後門程式LodeInfo，然後使用新的後門程式竊取受害組織資料。他們看到駭客的攻擊目標是日本的關鍵基礎設施及學術機構，推測駭客的目的是從事網路間諜活動。</p> <p>僅管這群攻擊者會運用不同手段接觸目標，但最主要的方式還是使用網路釣魚，然而，這些駭客現在<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">也</span>開始調整策略，利用漏洞來入侵受害組織，而這樣的發現與JPCERT/CC公布資訊互相呼應。</p> <p>接著，駭客會試圖在受害電腦上植入NoopDoor，這個後門程式採模組化設計，並透過網域名稱生成演算法（DGA）進行C2通訊。攻擊者利用名為NoopLdr的惡意程式載入工具將NoopDoor解密、執行。</p> <p>為了維持NoopDoor持續在受害電腦運作，駭客根據不同情境，使用了3種方法來達到目的。</p> <p>其中一種是透過工作排程執行公用程式MSBuild，載入惡意的XML檔案，從而在執行時編譯、啟動惡意程式載入工具。</p> <p>另一種則是濫用WMI事件，攻擊者利用ActiveScript執行JavaScript引擎，觸發MSBuild執行NoopDoor的載入工具。</p> <p>最後一種藉由設置惡意服務，載入未經簽章的DLL檔案來達到目的。</p> <p>研究人員指出，駭客同時使用LodeInfo、NoopDoor兩支後門程式攻擊時，很有可能以LodeInfo為主，NoopDoor為輔，而這樣的做法讓駭客能長時間存取受害組織網路環境。</p> </div></div></div>
2024/8/2 15:29作者周峻佑https://www.ithome.com.tw/news/164274
研究人員揭露專門竊取安卓手機簡訊的大規模攻擊行動，範圍橫跨113個國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用手機產生動態密碼（OTP）的多因素驗證機制相當普遍，廣受許多企業的採用，但駭客也試圖入侵手機竊取這類資訊，從而闖入受害者所屬的企業組織網路環境。</p> <p>資安業者Zimperium指出，他們自2022年2月開始，<a href="https://www.zimperium.com/blog/unmasking-the-sms-stealer-targeting-several-countries-with-deceptive-apps/">追蹤專門針對安卓裝置的竊取簡訊攻擊行動</a>，這段期間他們找到超過10.7萬個相關惡意應用程式，駭客鎖定、監控至少600種知名廠牌的動態密碼資訊，其中部分廠牌的用戶多達數億，範圍橫跨全球113個國家，主要目標是印度及俄羅斯使用者。</p> <p><a href="https://s4.itho.me/sites/default/files/images/MlFbLepNuUnuwdYeRI0A2Q.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/MlFbLepNuUnuwdYeRI0A2Q.png" style="width: 580px;" /></a></p> <p>在這波行動裡，大部分（95%）的惡意應用程式並未具備駭客宣稱的功能，攻擊者基礎設施的規模也相當龐大，不僅有13個C2伺服器用來接收惡意軟體偷到的簡訊內容，約有2,600個Telegram機器人與之相關，攻擊者可能藉此散布部分惡意應用程式。</p> <p>值得留意的是，攻擊者能夠迴避許多防毒軟體的偵測，因此，行動裝置可能需要透過多種管道來強化安全。</p> <p>究竟駭客如何發起攻擊行動？他們先冒充Google Play應用程式市集發送廣告，或是藉由自動化的Telegram機器人，向目標使用者取得聯繫，提供APK檔案，一旦使用者依照指示安裝，手機就會側載惡意軟體，向使用者請求讀取簡訊的權限。</p> <p>若是使用者同意這項授權要求，此惡意程式就會與C2伺服器連線，接收並執行命令，以及收集受害手機裡的資料。特別的是，這些惡意軟體最初是透過Firebase資料庫取得C2伺服器IP位址，但後來駭客調整手法，改用GitHub儲存庫，或是直接在惡意軟體內嵌C2伺服器IP位址。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Picture9.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Picture9.jpg" style="width: 580px;" /></a></p> <p>接著，該惡意程式會建立專屬通道，回傳竊得的簡訊內容，並解析當中是否含有動態密碼相關資訊。最終該惡意軟體會維持隱藏狀態，不斷監控受害手機的簡訊內容，以便隨時攔截用於驗證的動態密碼。</p> </div></div></div>
2024/8/2 16:19作者周峻佑https://www.ithome.com.tw/news/164276
英特爾宣布將裁撤15%員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球桌上型電腦處理器龍頭英特爾（Intel）周四（8/1）<a href="http://www.intc.com/news-events/press-releases/detail/1704/intel-reports-second-quarter-2024-financial-results" target="_blank">公布今年第二季財報</a>，該季英特爾創下128億美元的營收，比去年同期下滑1%，淨虧損16億美元，為此，英特爾宣布將全面撙節支出，打算至少裁撤15%的員工。</p> <p>該季有74億美元來自用戶端運算部門的貢獻，成長9%；30億美元來自資料中心與AI部門，下滑3%；網路及邊緣營收為13億美元，下滑1%；負責晶片代工的Intel Foundry則創下43億美元的營收，成長4%；可程式化邏輯元件Altera的營收為3.61億美元，下滑57%；自駕車業務Mobileye營收為4.4億美元，下滑3%，此外，上述營收還必須扣除43億美元的部門間交易。</p> <p>英特爾執行長Pat Gelsinger坦承，該季的財務表現令人失望。而財務長David Zinsner則說，由於英特爾在該季加速開發AI產品，非核心業務的支出高過正常水準，再加上未實現的產能，而使得毛利受到影響。</p> <p>這使得英特爾決定展開組織重整，目標是在2025年減少100億美元以上的營運成本與資本支出，計畫裁員至少15%，且大部分的裁撤行動會在今年內完成。</p> <p>目前英特爾的全球員工數為121,800人，裁撤15%意謂著將有超過1.8萬人受到此波裁員行動的影響。財報披露後，已積弱不振許久的英特爾股價在當天盤後重挫18.9%，跌至23.56美元。</p> </div></div></div>
2024/8/2 14:55作者陳曉莉https://www.ithome.com.tw/news/164272
GitHub提供便捷語言模型測試平臺，簡化生成式AI應用開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://github.blog/news-insights/product-news/introducing-github-models/">GitHub推出Models新平臺</a>，可供開發者試用多種大型語言模型，並在遊樂場（Playground）模型測試環境中測試不同的提示詞和參數。開發者可以使用瀏覽器IDE Codespaces實驗和開發，並利用範例程式碼整合模型，當測試完成，還可以簡單地將新功能應用到專案中，部署至生產環境。</p> <p>開發者現在可以利用GitHub內建的模型遊樂場，免費試用Llama 3.1、GPT-4o、GPT-4o mini、Phi 3以及Mistral Large 2模型，只要透過滑鼠點擊，就可迅速測試當前多種熱門的私有和開放模型，進行人工智慧應用程式實驗、比較甚至是部署。</p> <p>官方指出，因為每個軟體應用都是特殊的，模型在功能、效能和成本上也不一樣。透過GitHub提供的模型套件，開發者可以更快地進行試驗和學習。GitHub不只是提供遊樂場讓開發者測試模型，同時也建立了一個工作流程，讓開發者可以更快地將人工智慧應用，從概念性驗證階段過渡到生產階段。</p> <p>借助Codespaces，開發者可以將模型推理程式碼，應用到自己的專案上進行試驗，官方也準備了各種語言的框架樣板程式碼，方便開發者在各種場景進行測試。一旦開發者在遊樂場和Codespaces中試驗完畢，就能將測試的結果合併到應用程式中，並運用GitHub Actions進行提示詞評估等各種自動化操作，最後使用Azure AI將應用部署到生產環境中，而這只需用Azure訂閱和憑證替換GitHub個人存取令牌即可。</p> <p>GitHub Models目前仍在測試階段，當服務正式推出時，官方將會在平臺添加更多語言和模型支援。官方也承諾，GitHub Models中的任何提示詞以及輸出，都不會與模型提供者共享，也不會用於訓練和改進模型。</p> </div></div></div>
2024/8/2 15:00作者李建興https://www.ithome.com.tw/news/164271
Amazon財報出爐，AWS成長19%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周四（8/1）公布<a href="https://ir.aboutamazon.com/news-release/news-release-details/2024/Amazon.com-Announces-Second-Quarter-Results/default.aspx" target="_blank">今年第二季財報</a>，該季Amazon締造了1,480億美元的營收，成長10%，其中，AWS的營收占了262.8億美元，成長19%。</p> <p>Amazon北美零售業務在第二季帶進900.3億美元的營收，成長9%，營業利潤為50.7億美元，成長57%；國際零售業務營收為316.6億美元，成長6.6%，營業利潤為2.7億美元，去年同期則是虧損近9億美元；AWS營收為262.8億美元，成長19%，營業利潤為93.3億美元，成長74%。</p> <p>整體而言，該季Amazon的營業利潤達到146.7億美元，相較於去年大幅增加了91%。</p> <p>Amazon執行長Andy Jassy於財報會議中表示，該季營業利潤的大幅提升源自於Amazon已完成了大多數的成本最佳化作業，此外，各個企業也再度將精力投入於現代化其基礎設施，自本地端架構轉移至雲端。此外，即使Amazon的AI業務還處於早期階段，但其年化收入率已達數十億美元。</p> <p>對於正急速發展的AI領域，即使與Nvidia已建立密切的合作關係，但Amazon仍然試圖打造自家的AI晶片，包括專門用來訓練模型的Trainium，以及專門執行推論的Inferentia，以提供更好的性價比；另也推出機器學習平臺Amazon SageMaker，打造企業用聊天機器人Amazon Q。</p> <p>Jassy說，該公司內部已利用Amazon Q的程式碼轉換功能，在短短的幾個月內遷移了超過3萬個Java JDK應用程式，節省了2.6億美元的成本，以及4,500名開發者一年的工作時間，這是個顛覆性的改變。</p> </div></div></div>
2024/8/2 15:16作者陳曉莉https://www.ithome.com.tw/news/164273
【I/O規格更新潮來臨，6大I/O介面同步世代交替】AI驅動資料中心I/O加速進化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1193-feng_mian_p2p3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著AI應用的興起，帶動了企業IT基礎設施規格的全面升級，也讓我們在時隔5、6年之後的現在，再次回歸到資料中心I/O規格更新這個議題。</p> <p>過去，我們曾在2018年製作報導的封面故事<a href="https://www.ithome.com.tw/article/126643" target="_blank"><span style="color:#3366ff;">「I/O介面更新潮正式啟動」</span></a>，以及2019年的封面故事<a href="https://www.ithome.com.tw/article/131562" target="_blank"><span style="color:#3366ff;">「資料中心超高速網路時代來臨」</span></a>，介紹上一輪的I/O技術更新風潮，當時在大型資料中心建設，與巨量資料分析等應用的引領之下，帶動一波I/O介面規格的更新潮，促使32Gb FC、25Gb乙太網路、NVMe，以及100Gb等級乙太網路與InfiniBand等I/O技術，邁向普及應用。</p> <p>過去兩年以來，在機器學習與生成式AI技術應用的帶動之下，又掀起新一輪I/O技術更新風潮。AI應用不僅需要更高的運算能力，也需要容量更大、存取速度更快的儲存設備，同時還需要傳輸吞吐能力更大的I/O介面，來滿足運算與儲存單元之間龐大的資料傳輸要求。</p> <p>為了因應AI應用近乎無止盡成長、膨脹的資料傳輸流量需求，不僅促使PCIe 5.0、400Gb等級乙太網路與InfiniBand等新一代I/O規格，迅速進入實用化，另一方面，推出已久、但應用遲遲沒有打開局面的64Gb FC與SAS-4等介面，也連帶出現轉機，開始獲得較普遍的採用。</p> <p>而這一系列的發展突破，也讓資料中心的I/O架構，在短短不到兩年之內，有了煥然一新的面貌。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>伺服器內部I/O與外部I/O規格同步進化</strong></span></span></p> <p>關於資料中心應用的I/O技術，我們可以簡單區分為「伺服器內部I/O」與「伺服器外部I/O」等2大類。</p> <p>伺服器內部I/O指的是伺服器內部元件，如CPU、GPU、記憶體與周邊裝置如磁碟機、網路卡等，互連使用的I/O介面，如PCIe、SATA、SAS等。</p> <p>伺服器外部I/O指的是伺服器與外部裝置，如伺服器與其他伺服器、網路設備、儲存設備之間，跨機箱與機櫃相互連結所使用的I/O介面，像是：乙太網路、InfiniBand，還有FC等。</p> <p>另外，還有一些I/O介面，同時兼具內部I/O與外部I/O的功能，最典型的例子便是SAS介面。</p> <p>5、6年前的上一輪I/O介面更新潮，主要聚焦在伺服器外部I/O的更新，當時引進的新規格中，除了嫁接在PCIe上的NVMe介面以外，其餘新規格都是屬於外部I/O介面。</p> <p>而這一輪I/O介面更新潮，同時涵蓋伺服器內部I/O與外部I/O介面，以兩大基礎I/O介面為首——作為內部I/O基礎介面的PCIe，以及最廣獲使用外部I/O介面乙太網路，另外再加上InfiniBand、FC、SAS等介面，都在過去1、2年內，出現開始導入新一代規格的風潮。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>內部I/O介面的世代交替</strong></span></span></p> <p>近兩年來，伺服器內部I/O介面最重要的進展，便是作為通用基礎互連介面的PCIe，以及作為Nvidia GPU專屬互連介面的NVLink與NVSwitch，這2個方面的規格更新。</p> <p>作為伺服器主機基礎I/O介面的PCIe，也可以稱作是「I/O介面的I/O介面」，幾乎所有周邊裝置或其他I/O介面，都是直接或間接透過PCIe的介接與運算核心連結。另外還有一些I/O介面，是直接嫁接在PCIe的實體層上，算是PCIe的衍生介面，例如用於SSD儲存裝置的NVMe，還有CXL記憶體互連技術等。</p> <p>PCIe自擺脫3.0時期長達10年的停滯後，這幾年明顯加速發展，當前的主流是PCIe 4.0，今年起，PCIe 5.0也進入伺服器平臺普遍支援階段，周邊裝置的支援也顯著的增加，特別是基於PCIe 5.0的NVMe SSD產品。下一代的PCIe 6.0於去年出現第一批元件層級產品，最新一代的PCIe 7.0，今年初完成初步規格制定，預定明年便能推出正式版規格。</p> <p>不過，比起PCIe的更新，更受人矚目的是GPU專屬互連介面的發展，在AI相關應用的帶動下，GPU已經取代CPU，成為當前資料中心運算能力的主要來源，連帶也讓Nvidia的專屬GPU互連介面NVLink，成為重要性不下於PCIe的另一伺服器內部I/O介面規格。</p> <p>在Nvidia之外，AMD與Intel也各有專屬的GPU互連介面規格，也就是Infinity Fabric與Xe Link，但無論規格、應用普及程度還是影響力，都遠不能與Nvidia的NVLink相比。</p> <p>至於多家廠商聯合發展的UALink規格，目前也還未問世，距離「成氣候」的階段還很遙遠。因而Nvidia的NVLink，當前幾乎也就等同於GPU互連傳輸技術的代名詞。</p> <p>Nvidia發展NVLink的目的，是滿足多GPU協同作業環境下的巨量傳輸頻寬需求，NVLink用於GPU與GPU之間的直連，再結合NVSwitch連接多組NVLink，組成更大的GPU連結架構。</p> <p>透過NVLink與NVSwitch，Nvidia不僅可為自身GPU提供數倍於PCIe的高頻寬，而且，還憑藉封閉規格的完全自主優勢，架構更迭的速度非常快。</p> <p>自Nvidia於2014年發表第1代NVLink以來，短短10年內就推出5個世代，稍晚於2017年問世的NVSwich，迄今也發展了4個世代。最新的第5代NVLink與第4代NVSwitch，都是今年伴隨著新一代GPU運算架構Blackwell一同推出。</p> <p>值得一提的是，Nvidia在2022年推出第4代NVLink與第3代NVSwitch，也以NVSwtch技術為基礎，推出獨立NVLink Switch網路交換器，藉此將原本用於伺服器內部的NVLink與NVSwitch技術，擴展到跨機箱與機櫃的外部互連環境，從而能組成更大規模的GPU運算環境。</p> <p>由於NVSwtch與NVLink Switch兩者系出同源，Nvidia目前已統一稱為NVLink Switch。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>外部I/O介面的進化</strong></span></span></p> <p>包括通用的乙太網路在內，以及主要用於高效能運算領域的InfiniBand，還有FC與SAS兩種儲存專用介面，都在這兩年有了規格發展，或是產品應用方面的重要進展。</p> <p>在乙太網路方面，在AI應用的推動下，短短幾年時間內，200/400GbE規格便從迅速從上行/骨幹/核心網路（Uplink/Spine/Core）應用，開始擴展到TOR/伺服器端，下一代的800GbE應用環境也開始成形。</p> <p>IEEE 802.3小組早從2017年起，就陸續制定一系列200/400GbE規格，相關產品也在2018年開始推出市場，但直到5、6年前，TOR與伺服器端的主要乙太網路規格，仍以10GbE為主流，部分開始導入25GbE規格，上行/骨幹/核心網路多半是40/100GbE，只有少數大型用戶開始導入200/400GbE。</p> <p>但為了滿足AI應用無止盡般的資料傳輸需求，近兩年來，200/400GbE迅速進入AI伺服器端應用，200/400GbE網路卡已經是當前GPU伺服器常見的配備。不過在AI應用環境之外，多數資料中心的乙太網路架構，仍以100/40/25/10GbE為主。</p> <p>在800GbE方面，乙太網路技術聯盟（Ethernet Technology Consortium）在2020年完成800GbE規格制定，相關產品則在這兩年間陸續問世，第一批800GbE交換器，是在2022年上半年現身於市場，最早的800Gb網路卡也在今年發表（即Nvidia的ConnectX-8，但尚未正式上市），完整的應用環境應該會在1、2年內逐漸成形。</p> <p>除了傳輸頻寬的增長，超級乙太網路聯盟（Ultra Ethernet Consortium，UEC）也正在制定改進的乙太網路傳輸協定，以求改善乙太網路在高效能應用領域的效能表現，進而挑戰InfiniBand的地位。</p> <p>而當前統治高效能運算領域網路應用的InfiniBand，目前普遍使用的規格是100Gb EDR與200Gb HDR，但面對乙太網路競爭，新規格的發展也跟著加速。</p> <p>由於資料鏈結層、流量控制與組網方式的差異，在同等頻寬的條件下，InfiniBand的效能要優於乙太網路，可靠性也較佳，而乙太網路的主要優點則是較低的成本。但近幾年來，乙太網路憑藉更迅速的頻寬規格增長，已相當程度抵銷InfiniBand的優勢，迫使InfiniBand不得不跟著提高頻寬作為對應。</p> <p>原本InfiniBand大致是以4年的頻率更新規格，56Gb的FDR是2011年問世，在2014、2018、2022年，依序推出100Gb的EDR，200Gb的HDR，以及400Gb的NDR，但這樣的傳輸速度增長，已落後乙太網路2年以上。</p> <p>於是，負責規格制定的InfiniBand貿易協會（InfiniBand Trade Association），在2024年推出800Gb的XDR規格，緊接著Nvidia也發表800Gb XDR交換器，算是跟上乙太網路的傳輸頻寬規格。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>儲存I/O介面新進展</strong></span></span></p> <p>最後來看看FC與SAS這2種老牌儲存專用介面，近幾年都同樣遭遇發展與應用停滯困境，而現在則出現復甦跡象。</p> <p>目前最新的FC介面，是2018年制定完成的第7代64Gb FC，支援的HBA卡與SAN交換器產品在2019到2020年間陸續上市。但是受到儲存網路「乙太網路化」發展的衝擊，64Gb FC的應用進展十分緩慢，僅有交換器與板卡端產品支援，儲存產品端採用的廠商不多，以致FC SAN領域的主流規格，仍是問世多年的16Gb與32Gb FC，進而也影響到下一代FC規格的制定。</p> <p>依照早期的規畫，第8代128Gb FC應該會在2021年間完成規格制訂，但實際上推出時間一延再延，直到2024年中的現在，仍未實際問世。</p> <p>儘管FC介面在下一代規格方面尚未有具體成果，但在應用方面，近來則有一些好消息傳出——64Gb FC開始獲得NetApp、IBM、Hitachi Vantara、Pure Storage多家一線大廠的儲存設備支援，可望逐漸改變FC主流應用規格長期停滯在32Gb FC的情況。</p> <p>單就SAS介面而言，過去10年以來，在NVMe與NVMe-oF規格的擠壓之下，逐漸失去標準磁碟裝置介面與後端儲存介面的地位，連帶也導致新一代SAS規格的發展與應用，都陷入停滯，直到近一年多來，才在規格發展與應用兩方面，同時出現重要進展。</p> <p>在規格發展方面，目前SAS介面最新規格是2017年制訂的SAS-4，也就是24G SAS。依照原本的路線圖，下一步的發展應該是頻寬加倍的SAS-5，即48G SAS。但負責制定規格的SCSI貿易協會（SCSI Trade Association，STA），在2023年底，提出異於原本路線圖的規畫，放棄48G SAS這條提高頻寬的路線，改為沿用既有的24G SAS實體層，搭配強化上層協定可靠性、安全性與效率的24G+ SAS。</p> <p>而在產品應用方面，在NVMe介面的擠壓下，讓SAS-4的產品應用受到很大的局限，市場主流應用的SAS規格，仍停留在上一代SAS-3，SAS-4陷入乏人問津的窘境，只有少數板卡與SSD產品支援SAS-4。</p> <p>不過，到了今年，情況終於稍有改觀，因為開始出現第一批支援SAS-4介面的伺服器與外接儲存設備，有望打破停滯的局面。</p> <p>接下來我們將分別針對內部I/O與外部I/O，進一步介紹相關技術近期的更迭情況。</p> <hr /> <p><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#696969;"> 資料中心6大主要I/O介面的近期發展歷程 </span></strong></span></span></p> <p><span style="color:#696969;"><strong>我們將近10年來，資料中心6種主要I/O介面的發展演進情況，簡略整理於下圖。</strong></span></p> <p><span style="color:#696969;"><strong>自2022年至今，短短不到兩年，這6大I/O介面的發展與演進都出現明顯加速，正好對應生成式AI技術的興起。</strong></span></p> <p><span style="color:#696969;"><strong>在PCIe方面，PCIe 5.0開始全面為伺服器主機平臺支援，周邊也顯著增加；Nvidia則在這段期間內推出2個世代的NVLink與NVSwitch；乙太網路方面，則是200/400GbE規格開始普遍為GPU平臺支援與採用，800GbE規格產品也正式問世；至於InfiniBand，則是接連推出400Gb NDR與800Gb XDR等2個新世代。</strong></span></p> <p><span style="color:#696969;"><strong>最後在FC與SAS方面，雖然在新規格方面尚無具體進展，但數年來乏人問津的64Gb FC與SAS-4等2種規格，在近期開始獲得較普遍的應用。</strong></span></p> <p><span style="color:#696969;"><strong>另外，要特別注意的是，NVLink/NVSwitch與InfiniBand這兩種I/O介面，產品應用演進與規格更迭的方式，與其他4種I/O介面有根本的差異。</strong></span></p> <p><span style="color:#696969;"><strong>PCIe、乙太網路、FC、SAS都是大量供應商參與的開放生態環境，所以在規格與產品更迭方面，可從供應商支援程度，區分出不同的成熟度階段，從最初的規格發布，到少數廠商先行支援，最後成為業界普遍支援與供應產品（圖中藍色階段）。</strong></span></p> <p><span style="color:#696969;"><strong>NVLink/NVSwitch則是Nvidia的私有專屬規格，相關產品供應也屬於封閉的生態環境；InfiniBand雖然形式上屬於開放性規格，但實質上是由Nvidia/Mellanox壟斷相關產品的發展與供應，基本上也是屬於封閉性或半封閉性生態環境。由於這兩種I/O介面都是單一廠商主導規格發展與產品供應，所以，也不存在其他介面更迭演進時，廠商端不同的成熟度階段區分。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%EF%BC%88%E8%A3%9C%E6%B5%AE%E6%B0%B4%E5%8D%B0%EF%BC%891193-%E5%B0%81%E9%9D%A2P2%2BP3-600-1-%E5%A4%A7%E5%9C%96.png" target="_blank"><span style="color:#696969;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/1193-%E5%B0%81%E9%9D%A2P2%2BP3-600-1-%E5%B0%8F%E5%9C%96.png" style="width: 600px;" /></strong></span></a></p> <hr /> <p><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#696969;"> 關乎資料中心傳輸效率的神經線路：6大I/O介面 </span></strong></span></span></p> <p><span style="color:#696969;"><strong>作為伺服器內部I/O基礎介面的PCIe，構成Nvidia多GPU協同運作互連架構的NVLink/NVSwitch，最廣獲使用的通用網路技術乙太網路，主宰高效能運算網路互連應用的InfiniBand，還有儲存網路環境普遍使用的FC介面，以及兼具磁碟介面與外接儲存擴充介面的SAS，構成了當前資料中心最重要的6種I/O技術。</strong></span></p> <p><span style="color:#696969;"><strong>其中PCIe又延伸發展出用於連接SSD的NVMe介面，而NVMe協定與乙太網路、InfiniBand與FC等網路介面的結合，則衍生出一系列用於外接的NVMe-over-Fabric介面，另外NVSwitch也衍生出用於跨機箱/機櫃外接應用的NVLink Switch，都兼具內接與外接I/O能力。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/%EF%BC%88%E8%A3%9C%E6%B5%AE%E6%B0%B4%E5%8D%B0%EF%BC%891193-%E5%B0%81%E9%9D%A2P2%2BP3-600-2-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1193-%E5%B0%81%E9%9D%A2P2%2BP3-600-2-%E5%B0%8F%E5%9C%96(1).png" style="width: 600px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多關於</span></span></span></strong></a><strong><span style="font-size: 22px;"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">I/O規格更新潮</span></span></a></span></strong><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">的系列報導 </span></span></span></strong></a></p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1193-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=2y_Yapvf" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cie">CIe</a></div><div class="field-item odd"><a href="/tags/nvlink">NVLink</a></div><div class="field-item even"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item odd"><a href="/tags/gpu">GPU</a></div><div class="field-item even"><a href="/tags/io">I/O</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div><div class="field-item even"><a href="/tags/pcie">PCIe</a></div><div class="field-item odd"><a href="/tags/%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF">乙太網路</a></div><div class="field-item even"><a href="/tags/ai">AI</a></div></div></div>
2024/8/2 13:57作者張明德https://www.ithome.com.tw/tech/164262
【內部I/O：新世代PCIe與NVLink實用化，倍增傳輸頻寬】伺服器核心I/O架構大進化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1193-feng_mian_p4p5-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從作為伺服器的I/O介面骨幹的PCIe，於4、5年前全面邁入PCIe 4.0世代後，緩解長期以來伺服器I/O架構的不均衡問題。儘管目前PCIe 4.0已能滿足絕大多數周邊裝置的傳輸需求，但AI應用興起，以及GPU配置的普及，又帶來更大的資料傳輸流量要求，進而也促使PCIe 5.0進入普及階段，以及新一代PCIe 6.0規格的發展，同時也在PCIe之外，催生出GPU專用的超高速傳輸介面規格，這也讓伺服器內部I/O架構，有了大不同於以往的面貌。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>PCIe 5.0為下一世代需求做好準備</strong></span></span></p> <p>在當前的伺服器I/O架構中，PCIe可說是最基礎的I/O介面，幾乎所有周邊裝置或其他I/O介面，都是直接或間接透過PCIe的介接，來與運算核心連結。</p> <p>過去兩年來，PCIe介面的發展，正處於PCIe 4.0與5.0的轉換過渡期。不過，從PCIe 4.0向5.0的過渡，其中的意涵並不同於幾年前從PCIe 3.0到4.0的交替。</p> <p>當初是因為PCI-SIG組織的PCIe 4.0規格制定延宕，以及Intel平臺對PCIe 4.0的支援過晚，才導致主流規格在PCIe 3.0停滯過久，成為伺服器I/O架構的瓶頸。</p> <p>而就今日的應用情境來說，由於GPU的直連傳輸已轉向採用專用介面，不再依靠PCIe，對於其餘的伺服器I/O傳輸應用，PCIe 4.0仍能滿足絕大多數的需求，只有一些要求極端傳輸效能的應用或周邊，才實際需要PCIe 5.0的頻寬，包括400Gb等級以上的網路卡，要求10GB/s等級以上傳輸速度的高階SSD，以及發展中的CXL共享記憶體技術等。</p> <p>所以先前從PCIe 3.0到4.0的升級，是「滯後」的升級，目的是要「追趕」實際需求；而現在從PCIe 4.0到5.0的升級，可算是「提前」的升級，「預先」為日後的需求做好準備，以免重蹈過晚替換PCIe 3.0的覆轍。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>PCIe 5.0時代正式來臨</strong></span></span></p> <p>PCI-SIG在2019年5月正式發布PCIe 5.0規格後，第一批支援PCIe 5.0的主機與周邊產品，便在2021年下半年到2022年初陸續問世，但直到2023年，市場主流規格仍是PCIe 4.0，只有部分高階主機與SSD產品才支援PCIe 5.0。到了今年，這個情況才有所改變。</p> <p>觀察PCIe 5.0普及程度的最佳指標，便是每年的Computex展。在去年的Computex，出現了第一批支援PCIe 5.0的主機板與伺服器產品，但多數產品仍只支援PCIe 4.0。到了今年Computex，所有展出主機板與伺服器產品幾乎都支援PCIe 5.0，也出現不少PCIe 5.0 SSD產品，意味整個應用生態系已基本成形。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>邁向PCIe 6.0與7.0</strong></span></span></p> <p>彷彿是要追趕因PCIe 4.0延宕而損失的時光，負責PCIe規格制定的PCI-SIG組織，明顯加快了新一代PCIe規格制定。發布PCIe 5.0正式規格時隔僅僅2年半之後，便宣布PCIe 6.0制定完成，同年也宣布將發展PCIe 7.0，預定2025年完成。</p> <p>相較於過去的PCIe規格，PCIe 6.0與7.0引進了重大的技術變革，以4級脈衝調變（PAM4）技術，取代自PCIe 3.0沿用到5.0的不歸零（NRZ）調變技術，可在相同頻率內承載兩倍資料，幫助PCIe 6.0與7.0實現翻倍的頻寬增長。</p> <p>但PAM4編碼錯誤率也比NRZ高出許多，故需另外結合前向糾錯技術（FEC）來確保資料完整性，然而這又會帶來延遲增加、減少頻寬利用率的代價。儘管如此，PAM調變藉由較高的資料承載能力，已成為當前超高速網路傳輸技術普遍使用的信號調變技術，後面介紹的NVLink，以及400Gb等級以上乙太網路等，也都採用這項技術。</p> <p>雖然PCI-SIG加快制定新一代規格的步伐，但在產品應用方面，並不能跟上這樣快的更新頻率。PCI-SIG曾樂觀地預測，最快在2024年初便能見到PCIe 6.0被應用在實際產品上，隨後PCIe 7.0也將在2027年內進入實際應用。但現實中，直到已經進入2024年下半的今日，尚未有採用PCIe 6.0的產品進入市場。</p> <p>從目前來看，PCIe 6.0的產品應用速度，將會落後於前2代的PCIe 4.0與5.0。以PCIe 4.0來說，2017年6月正式版規格發布後，該年年底到2018年初，第一批支援產品就隨之問世；PCIe 5.0自規格發布到首批產品問世，也只相隔2年左右；至於PCIe 6.0，恐怕會拖到3年以上。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GPU專屬傳輸架構的興起</strong></span></span></p> <p>相較於10年前，當前伺服器內部I/O架構最大的變化，便是出現了GPU專用的直連傳輸通道。以Nvidia為首，隨後AMD與Intel陸續跟進，先後推出搭配自身GPU的互連傳輸技術。</p> <p>事實上，直到7、8年前，GPU之間也是透過PCIe來相互連接，例如Nvidia最早的多GPU直連技術——GPUDirect P2P，便是讓多個GPU透過PCIe，直接存取彼此內建的記憶體。問題在於，對於GPU直連應用，2010年代初期當時主流的PCIe 3.0，頻寬早已不敷所需，即便是當時發展中的PCIe 4.0，頻寬也略嫌不足，促使Nvidia打造自身專屬的GPU直連傳輸技術，成果便是NVLink。</p> <p>NVLink是Nvidia專屬的GPU點對點直連匯流排技術，可以擺脫PCIe帶來的瓶頸，第1代的NVLink就能提供最大160GB/s的總頻寬，是PCIe 3.0x16（32 GB/s）的5倍以上，相當程度解決GPU相互直連的傳輸頻寬需求，可藉此將多個GPU連結組成一個GPU運算陣列。</p> <p>由於NVLink的點對點直連傳輸架構，能為個別GPU提供的傳輸鏈路有限，於是Nvidia接著在2017年推出NVSwitch交換器晶片，可以連結2組NVLink，從而構成規模更大的GPU運算陣列。</p> <p>稍後在2022年，NVLink又對NVLink做了重大擴展，首先是採用新式調變技術、進一步提高頻寬，其次是同步發表2項延伸技術：</p> <p>一是NVLink C2C，C2C即Chip to Chip之意，可為CPU與CPU，或CPU與GPU，提供高速的雙向直連傳輸。二是NVLink Switch，這是以NVSwitch為基礎，所衍生的獨立交換器產品，可將NVLink的連接擴展到機箱之外，提供跨機箱之間的GPU相互直連。</p> <p>先前的NVLink與NVSwitch，都是提供Scale-Up縱向形式的GPU直連擴展，用於連結單一GPU伺服器節點內的多個GPU。而NVLink Switch提供了Scale-Out橫向形式的GPU直連擴展，可以連結多臺GPU伺服器節點，從而極大幅度地擴張NVLink網域內直連GPU數量。</p> <p>另一方面，過去利用乙太網路或InfiniBand介接的跨GPU伺服器節點互連，雖然也能串連多臺GPU伺服器，建構出大型GPU運算網路，但節點之間並非GPU直連架構，傳輸效能會受中介網路的制約。而NVLink Switch是以NVLink直連形式實現跨節點互連，能維持NVLink的低延遲與高傳輸效能。由於NVSwtch與NVLink Switch系出同源，Nvidia目前已統一稱為NVLink Switch。</p> <p>到2024年為止，NVLink已經發展了5個世代，總頻寬從160 GB/s逐步提高到1800 GB/s，每顆GPU的最大鏈結數量從4個提高到18個。NVLink Switch也已發展到第4代，GPU直連傳輸頻寬從300 GB/s提高到1800 GB/s，允許直連的GPU數量更從16個大幅提高到576個。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AMD與Intel的GPU互連架構</strong></span></span></p> <p>在陸續推出NVLink、NVLink Switch與NVLink C2C之後、Nvidia也完成自身的伺服器I/O架構轉型，運算核心單元完全依靠自身專屬架構互連，至於PCIe則退居次要角色，只剩下連接網路、儲存等周邊裝置的用途。</p> <p>這也讓Nvidia徹底擺脫PCIe的制肘，可以透過自身專屬I/O架構，連結大量的GPU，建構出超大規模、超高密度的GPU運算環境，這也是10年前無法想像的。因而NVLink也就成為Nvidia維持GPU「霸業」的護城河之一。</p> <p>而NVLink的成功，自然也促使競爭對手AMD與Intel跟進，推出類似的技術。</p> <p>AMD的GPU互連I/O，是由Infinity Fabric晶片互連匯流排延伸發展而來。2017年問世的第1代Infinity Fabric，是搭配當時推出的第1代Zen架構處理器，作為CCX處理器核心模組間的互連通道，類似傳統chiplet之間Hypertransport匯流排升級版本，AMD又稱為全域記憶體互連介面（xGMI）。</p> <p>接著，跟隨第2代Zen架構處理器一同發表的第2代Infinity Fabric，不僅提高傳輸頻寬，並新增GPU與GPU互連功能，具備類似Nvidia NVLink的功能，AMD也將應用這種I/O技術的處理器架構，命名為Infinity Architecture。</p> <p>然後，便是2020年初發布的第3代Infinity Fabric，在先前的CPU互連與GPU互連功能外，增加CPU與GPU互連能力，同時也提高了傳輸頻寬。再來是2023年與Instinct MI300 GPU平臺一同發表的第4代Infinity Fabric，除了進一步提高頻寬，還擴展了連接能力，可為GPU、CPU、FPGA、快取記憶體，甚至第3方晶片組提供高速互連通道。</p> <p>針對跨GPU伺服器節點的互連，AMD提供的解決方案則是透過RDMA乙太網路，來介接Infinity Fabric節點，但這屬於傳統的跨節點網路互連架構，與Nvidia利用NVLink Switch實現跨節點GPU直連相比，有著本質上的差異。</p> <p>至於Intel的GPU互連I/O技術，則是2019年底發表Xe GPU架構時，提及的Xe Link互連架構，後來在2022年底跟著Data Center Max系列GPU一同發表。Xe Link可為Max系列GPU卡提供多卡串聯，或是為OAM子板模組的GPU提供內部互連。</p> <p>對於跨伺服器節點的互連，Intel則提供基於直連銅纜的Xe Link Glueless，以及基於InfiniBand網路等2種方案，分別可連結64組與512組OAM模組，但都屬於傳統的跨節點網路中介互連，不同於Nvidia跨節點GPU直連。</p> <p>除了自身發展的Xe Link，Intel另外在2019年透過併購Habana Labs，而取得後者在Gaudi系列AI加速器上，所應用的整合式乙太網路互連技術，利用整合在晶片上的10或24個100/200GbE埠，可透過低成本的乙太網路，實現從內到外的高頻寬GPU直連。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>GPU I/O架構的競爭</strong></span></span></p> <p>包括Nvidia的NVLink，AMD的Infinity Fabric與Intel的Xe Link，均提供單一節點內的多GPU互連，以及跨多節點的GPU互連，但在傳輸效能與跨節點連結能力方面，存在相當大的差距。</p> <p>以NVLink第4代與第5代為例，每個GPU可獲得的理論總頻寬達到900 GB/s與1800 GB/s。</p> <p>而AMD用於搭配MI300X GPU的最新Infinity Fabric第4代，每個GPU理論最大總頻寬為896 GB/s。</p> <p>至於Intel Xe Link，可支援最大8組Xe GPU單元（Xe HPC Stack）互連，每組Xe GPU單元的最大總頻寬為371GB/s。</p> <p>單就傳輸效能規格來看，AMD Infinity Fabric與Intel Xe Link，都只相當於1、2個世代以前的NVLink規格。</p> <p>在跨節點互連方面，Nvidia可透過NVLink Switch，實現跨節點NVLink直連，從節點內部到外部都是NVLink直連到底。而AMD Infinity Fabric與Intel Xe Link，都只能提供個別節點內部的GPU直連，至於跨外部連結都需透過乙太網路介接，效能與Nvidia有著根本差距。</p> <p>傳輸效能與跨節點連結能力，也制約AMD與Intel GPU的效能發揮。事實上，AMD與Intel的個別GPU效能規格，往往不亞於Nvidia的GPU，部分特性甚至猶有過之，但現實環境大都需要多GPU協同運作，而AMD與Intel的GPU直連I/O架構，在多GPU互連環境下，就會暴露總頻寬遠不如Nvidia的問題，連結的GPU數量越多，差距越顯著。而且，AMD與Intel都缺乏NVLink Switch這種外部直連擴展技術，當互連GPU超過8個，須透過外部網路介接實現跨節點互連，因而也會惡化頻寬與延遲表現。</p> <p>相較下，Intel透過併購取得的Gaudi系列AI加速器，採取基於乙太網路的低成本互連路線，反而更有競爭力，利用整合在晶片內的200GbE埠，同時用於內部與外部互連。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>通用GPU I/O架構的嘗試</strong></span></span></p> <p>比起GPU晶片本身的規格與效能特性，或是搭配GPU的CUDA程式開發框架，Nvidia的I/O架構，其實才是競爭對手更難以跨越的障礙。</p> <p>無論AMD或Intel，單打獨鬥都不會是Nvidia的對手，唯一的辦法是團結求存，於是，以這兩大晶片廠商為首，加上Broadcom、Cisco這兩大網通廠商，還有Google、HPE、Meta、微軟，一共有8家IT大廠今年的5月宣布合作，發展加速器晶片互連I/O架構，稱作UALink（Ultra Accelerator Link），企圖以此抗衡Nvidia的NVLink。</p> <p>UALink預定2025年發表1.0版規範，依目前傳出的消息，一種可能框架是以Infinity Fabric結合乙太網路，分別構成新協定的上層與底層，藉此實現跨節點內、外的GPU直連架構。</p> <p>UALink最吸引人之處，是可藉此打破Nvidia的規格壟斷，以及多供應商參與帶來的通用性與成本效益。問題在於，Nvidia並不會停下腳步等待競爭對手，依過去經驗來看，Nvidia幾乎每隔2年就會更新一代NVLink規格，待UALink進入實用階段，NVLink屆時也可望進化1到2個世代，從而持續保持領先。在UALink能發揮多供應商參與的群聚效應之前，NVLink可望仍能長期維持優勢。</p> <hr /> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> PCIe與NVLink的傳輸效能發展過程對照 </span></strong></span></span><br /> <span style="color:#696969;"><strong>我們將PCIe與NVLink等兩種傳輸介面，各個世代的傳輸效能規格，依發表時間整理成圖表，其中PCIe介面的傳輸頻寬以16 lane規格雙向頻寬為代表，NVLink則以單一GPU理論上所能獲得的總頻寬為基準。<br /> 從此圖可看出，相較於同世代PCIe，NVLink一般都擁有5倍左右的傳輸頻寬優勢。<br /> 除了頻寬優勢，比起PCIe這種必須適應各式各樣周邊裝置與應用環境的開放性業界標準規格，NVLink是Nvidia專為自身GPU直連傳輸需求，量身打造的專屬規格，享有規格封閉與完全自主的優勢，因此更新速度也十分頻繁與穩定，近來都是每兩年更新一代。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1193-%E5%B0%81%E9%9D%A2P4%2BP5-600-1(3).png" style="width: 600px;" /></p> <hr /> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> 擺脫PCIe的制肘：Nvidia的I/O架構轉型 </span></strong></span></span><br /> <span style="color:#696969;"><strong>下圖為NVLink問世以前，典型的GPU對GPU，與GPU對CPU互連架構，GPU與GPU或CPU之間，都是透過PCIe介面互連，但PCIe同時是伺服器內部眾多周邊設備共同使用的傳輸通道，因而PCIe的效能與資源也就成為制約GPU I/O效能的瓶頸。這也促使Nvidia另行發展NVLink傳輸架構，以求擺脫PCIe的制肘。</strong>圖片來源／WikiChip</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1193-%E5%B0%81%E9%9D%A2P4%2BP5-600-2(A).png" style="width: 600px;" /></p> <p><strong style="color: rgb(105, 105, 105);">下圖為Nvidia去年發表的Grace Hopper超級晶片I/O架構，在GPU之間與GPU到CPU之間，分別採用NVLink與NVLink C2C介面互連，PCIe只作為次要角色、用於CPU對外連接，只配置了4組16通道的PCIe 5.0介面。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Nvidia</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1193-%E5%B0%81%E9%9D%A2P4%2BP5-600-2(B).png" style="width: 600px;" /></p> <p><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多關於</span></span></span></strong></a><strong><span style="font-size: 22px;"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">I/O規格更新潮</span></span></a></span></strong><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">的系列報導 </span></span></span></strong></a></p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1193-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=2y_Yapvf" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/cie">CIe</a></div><div class="field-item odd"><a href="/tags/nvlink">NVLink</a></div><div class="field-item even"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item odd"><a href="/tags/gpu">GPU</a></div><div class="field-item even"><a href="/tags/io">I/O</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div><div class="field-item even"><a href="/tags/pcie">PCIe</a></div><div class="field-item odd"><a href="/tags/%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF">乙太網路</a></div><div class="field-item even"><a href="/tags/ai">AI</a></div></div></div>
2024/8/2 14:00作者張明德https://www.ithome.com.tw/tech/164263
【外部I/O：乙太網路與IB角逐AI市場，SAS與FC力爭突圍】AI與儲存網路新規格應用大爆發
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1193feng_mian_-zhu_wen_3-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SCSI Trade Association</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由AI應用推動的I/O架構加速演進，其中一個重要影響，便是將原本高效能運算（HPC）領域的高效能網路架構需求，帶進一般企業資料中心，因應AI應用的資料傳輸需求，促成200/400Gb等級以上的高速乙太網路與InfiniBand（IB），開始在企業端應用普及。另一相對不起眼、卻仍十分重要的影響，是促使FC與SAS這兩種老牌儲存介面，在數年沉寂後出現新發展。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>乙太網路與InfiniBand的競爭</strong></span></span></p> <p>目前高效能運算領域最常使用的網路規格有這4種：InfiniBand、乙太網路、Omni-Path、以及SlingShot。前兩種在TOP500超級電腦的使用比例，合計佔8成以上，競爭主要也在兩者之間展開。</p> <p>由於InfiniBand與乙太網路是高效能運算最普遍使用的網路規格，所以當AI應用帶來高效能網路需求擴散後，最常被用戶選用的網路架構也是這兩種。</p> <p>InfiniBand的優勢在於更高的效率（延遲、頻寬）與可靠性，而乙太網路則以成本取勝，2者在TOP500的整體比重不相上下，但是在頂尖的TOP100超級電腦中，InfiniBand用戶數量有壓倒性優勢，這也反映出兩者的效能／成本特性——以效能為最優先考量的用戶，大多選擇InfiniBand；對成本較敏感的用戶，則傾向乙太網路。</p> <p>過去6、7年以來，乙太網路憑藉較迅速的頻寬增長，逆轉了頻寬不如InfiniBand的長期劣勢，當200/400GbE與800GbE推出時，InfiniBand還分別停留在100Gb EDR，以及200Gb HDR。隨著InfiniBand在2022與2024年接連推出400Gb NDR與800Gb XDR，如今已趕上乙太網路的頻寬。</p> <p>乙太網路方面，除了繼續發展頻寬更高的新規格，如1.6TbE，由多家一線大廠組成的超級乙太網路聯盟（Ultra Ethernet Consortium，UEC），也正在發展改進的乙太網路堆疊架構，以求提升AI與HPC領域的效能表現。</p> <p>UEC的具體工作是制定新的超級乙太網路傳輸（Ultra Ethernet Transport，UET）協定，取代既有的RoCE協定。</p> <p>RoCE可說是把InfiniBand的RDMA傳輸架構移植到IP與乙太網路而成，兼具RDMA低延遲與乙太網路低成本特色，但在壅塞控制、負載平衡等方面，仍有一系列不足之處。而UET協定除了透過新的傳輸層來改善雍塞管理，也將改進延遲、安全性與多供應商支援的API，這些特性顯然都是針對InfiniBand而來，同時又沒有後者被單一供應商（Nvidia/Mellanox）控制的問題。</p> <p>預計第1版UET協定將於今年第3季發布，第1批支援產品很快就會跟著問世，屆時應該會刺激InfiniBand出現新發展。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>陷入困境的老牌儲存介面</strong></span></span></p> <p>長期統治儲存I/O規格的FC與SAS等2種介面，最近這幾年在新興技術的衝擊下，都出現發展遲滯的困境，不僅新規格的產品支援應用緩慢，下一代規格也陷入難產，這種情況在今年終於有轉機</p> <p>乙太網路技術的迅速進步，大幅侵蝕FC介面在儲存區域網路（SAN）的版圖，這也導致新一代FC規格的應用推廣遭遇困難。目前最新的FC規格，是2018年底便制定完成第7代FC，也就是64Gb FC，依過去FC介面典型應用過程，第一批支援64Gb FC的SAN網路設備，應在2020年前後問世，到2021到2022年間，主流儲存設備也會開始支援。</p> <p>但實際上，64Gb FC網路設備雖然大致按期問世，但在儲存設備方面，遲遲沒獲得主流儲存產品普遍支援。</p> <p>這樣的情況，也影響到下一代FC規格的發展。依照早期的規畫，第8代FC，也就是128Gb FC應該在2021年推出，但實際上，到了2024年中的今日，128Gb FC規格仍未能問世，這也破壞原本FC介面規格每4至5年便更新一代的週期。</p> <p>SAS介面也遭遇類似困境。最新一代的SAS-4，即24G SAS，早在2017年便宣布完成規格制定，但此時遭遇NVMe的競爭與衝擊，以致市場普及陷入困難。</p> <p>隨著固態儲存持續發展，高效能取向的儲存應用已經全面轉向NVMe介面；對於非效能取向的中、低階儲存裝置來說，既有SAS-3便能滿足要求，無須升級SAS-4。導致SAS-4陷入高不成、低不就的窘境，儲存廠商也缺乏支援誘因。直到距SAS-4發布的6年多後（2024年初），支援此規格的產品仍十分有限。只有幾款SSD， HBA卡與RAID卡。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>FC與SAS應用的轉機</strong></span></span></p> <p>就在我們以為FC與SAS介面似乎被市場主流遺忘與放棄時，過去半年多以來，出現新的轉機。</p> <p>在FC方面，下一代的128Gb FC依舊了無聲息，但64Gb FC應用有新的進展。一線儲存大廠中，自Pure Storage在2021年宣布支援64Gb FC後，接下來兩年多都未見到其餘廠商跟進。不過，到了2023下半年，HPE為Alletra MP儲存陣列新增了64Gb FC選項。在2024年初，又陸續有大廠在新推出的主力產品線中支援64Gb FC，包括NetApp的AFF A70、A90與A1K，Hitachi Vantara的VSP One Block，還有IBM的FlashSystem 5300等。這也意味著64Gb FC開始進入主流儲存產品，延宕許久的64Gb FC儲存應用，終於有了起色。</p> <p>在SAS方面，我們在今年Computex展區，首次見到廠商現場陳列支援SAS-4規格的主機端與外接儲存設備，包括：技嘉旗下有幾款新推出的伺服器產品，註明熱抽換磁碟槽規格同時支援NVMe/SATA/SAS-4介面，可直接安裝SAS-4介面磁碟，營邦展出基於SAS-4的4U高密度擴充儲存櫃。這也讓SAS-4的產品應用，終於開始進入完整系統層級。</p> <p>在規格發展方面，新一代SAS規格也有具體消息傳出。依照負責規格制定的STA協會原有路線圖，下一代應是頻寬加倍的48G SAS，然而，後來情況有變化。因為STA去年底透露，下一代將轉向發展既有24G SAS的強化版本：24G+ SAS，沿用現有24G SAS實體層，搭配強化的上層規範。調整路線的目的，是迴避與NVMe的競爭，使SAS走向與NVMe不同應用方向，預定24G+ SAS規格2024年中以後完成制定，在2025到2026年左右，進入終端用戶產品。</p> <p><span style="font-size:22px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#696969;"> InfiniBand的頻寬發展路線 </span></strong></span></span><br /> <span style="color:#696969;"><strong>InfiniBand相較於乙太網路，擁有低延遲與高可靠性的優勢之餘，過去也擁有頻寬優勢，但自200/400GbE推出後，InfiniBand的最大頻寬就被乙太網路超越。目前最新的800Gb XDR已趕上800GbE規格，接著還預計在2027與2030年推出1600Gb GDR與3200Gb LDR。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／InfiniBand Trade Association</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1193%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%873-600-1.jpg" style="width: 600px;" /></p> <p><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#696969;"> 改弦易轍的SAS介面發展路線 </span></span></span><br /> <span style="color:#696969;">為了迴避與NVMe的競爭，STA去年宣布放棄每世代都提高一倍傳輸速率的傳統規畫，以基於現有24G規格，強化安全性與可靠性的24G+ SAS，替代原本做為下一代規格的48G SAS。</span></strong><span style="font-size: 14px; color: rgb(105, 105, 105);">圖片來源／SCSI Trade Association</span></p> <p class="rtecenter"><span style="color:#696969;"><span style="font-size:14px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1193%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%873-600-2.jpg" style="width: 600px;" /></span></span></p> <p><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 更多關於</span></span></span></strong></a><strong><span style="font-size:22px;"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">I/O規格更新潮</span></span></a></span></strong><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;">的系列報導 </span></span></span></strong></a></p> <p><strong><span style="font-size:22px;"><span style="color:#FFFFFF;"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1193-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=2y_Yapvf" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/io">I/O</a></div><div class="field-item odd"><a href="/tags/%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF">乙太網路</a></div><div class="field-item even"><a href="/tags/ib">IB</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/sas">SAS</a></div><div class="field-item odd"><a href="/tags/fc">FC</a></div><div class="field-item even"><a href="/tags/%E5%84%B2%E5%AD%98%E7%B6%B2%E8%B7%AF%E6%96%B0%E8%A6%8F%E6%A0%BC">儲存網路新規格</a></div><div class="field-item odd"><a href="/tags/infiniband">InfiniBand</a></div></div></div>
2024/8/2 14:04作者張明德https://www.ithome.com.tw/tech/164266
資料中心I/O架構新面貌
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1193-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=2y_Yapvf" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI帶來無底洞般的運算能力要求，也帶來幾乎永無止盡的傳輸流量需求，促使I/O技術在這兩年迅速進展，以作為伺服器內部I/O骨幹的PCIe，以及作為外部I/O基礎的乙太網路等2大互連技術為核心，整個資料中心的I/O架構都出現規格的更迭</p> </div></div></div>
2024/8/2 14:10作者張明德https://www.ithome.com.tw/article/164269
老將與新秀之爭
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>巴黎奧運於7月底正式展開，精彩賽事受到全球關注，年長運動選手參賽的消息相當受到矚目，例如我們有桌球選手莊智淵、射擊選手林怡君，分別參加奧運6次與5次之多，兩位都是43歲，而代表盧森堡參賽的61歲桌球選手倪夏蓮，更是令人讚嘆，29日首戰擊敗土耳其選手晉級，智利也有58歲選手曾之穎參賽，可惜落敗無法繼續挑戰。</p> <p>隨著醫學與運動科學的進步，可提升運動員的健康與延長競技生涯，而且，年長者雖然有著體能與反應速度下滑的劣勢，但要克敵制勝，他們仍保有許多無可取代的競爭優勢，天下雜誌的報導也引用倪夏蓮雙打搭檔德努特（Sarah De Nutte）的說法指出，可透過智取，掌握比賽，「她的球風不是靠體力，而是要對手屈從於她的節奏」。</p> <p>這讓我想到今年在臺灣掀起觀看風潮的日本動漫畫《葬送的芙莉蓮》，裡面多次談到老手與新手的優勢，提醒我們技術、能力固然重要，戰術的有效運用更是關鍵。</p> <p>例如，欺敵、盡可能隱瞞自身實力，使對手輕忽，產生防禦空隙進而趁機反擊，芙莉蓮的弟子費倫描述她不會正面跟魔族戰鬥，會欺騙敵人、從而消滅，芙莉蓮的師父教導她要花一輩子去欺騙魔族。</p> <p>這裡也多次提到新手的另一個優勢，那就是敏捷、對於新技術的接受度更高。</p> <p>芙莉蓮最初提到經常把與魔物戰鬥的工作交給費倫，理由是弟子能夠比較快完成，因為施展魔法的速度比她還快。包括我在內的很多讀者，可能會覺得這是老手想偷懶的託詞或藉口，而沒注意到這段對話的意義。</p> <p>之後芙莉蓮與費倫參加另一場競賽，為了擊敗對手，再度提到低估敵人實力的風險，並且解釋為何新手能夠比較快發動魔法。她表示，因為新手所用的魔法是他們一開始就學習的，已經銘記在心、成為能力具備的重要基礎（甚至可說是本能），但這些魔法對於老手而言，是後來才開始學習而不夠熟悉的，因此，實際運用時，存在著思考與行動的延遲，雖然可能差距在一瞬之間，但如果抓住這個機會，就足以改變整個局面。</p> <p>到了另一場與兩位大魔族的對決，芙莉蓮團隊再次印證欺敵、攻速快的效果之餘，還突顯其他策略的重要性，那就是耐心等待關鍵時刻的出現、向敵人迅速輸出高密度的攻擊力量，「真正的絕招，要在確定能獲勝的時候才使用」，以及面對敵人時，除了思考當下的因應之道，也要挪出一些心力，製造更多對己方有利的因素，例如，幫忙解除團隊夥伴的困境，信賴他們能抗衡與分散對手注意力，做出最佳判斷與行動，從而使自己也獲得更多援助。</p> <p>關於如何快、能有多快，同樣成為當前IT發展的重要議題，也是<a href="https://www.ithome.com.tw/article/164269" target="_blank"><span style="color:#3366ff;">這期封面故事《資料中心I/O架構新面貌》</span></a>探討的重要動機，我們針對6大I/O介面：PCIe、NVLink、乙太網路、InfiniBand、FC、SAS，整理近期因AI浪潮而升溫的種種跡象。這當中有非常資深的技術，像是乙太網路有51年歷史，FC有36年，InfiniBand有25年，PCIe有21年，SAS有20年，這些I/O介面本身與衍生的生態系統都相當廣泛，而這兩年來因資料中心GPU與大型AI應用走紅的NVLink，也已經發展10年。</p> <p>它們各有擅場，雖然大家都關注是否會有彼此取代的狀況，但顯然都有持續發展、進化的必要性，而共容共存。然而，未來也可能出現其他規格或技術架構與其競爭。</p> <p>例如，去年7月成立的超級乙太網路聯盟（Ultra Ethernet Consortium，UEC），今年3月發表1.0版規格概要白皮書，強調現行的遠端記憶體直接存取技術（RDMA）運用，以及超級乙太網路傳輸協定（UET）都會是未來乙太網路技術能否更充分支援AI的關鍵。</p> <p>為了對抗市場獨大的NVLink，今年5月底Computex開展前夕，8家大廠宣布合作發展加速器晶片互連I/O架構，稱為超級加速器連結（UALink），後市可期。</p> <p>對於整個IT業界而言，當然都樂見成熟技術與新創技術的自我進化與彼此競爭，因為可提供大家更多的選擇，減少受到特定技術綑綁的局限，然而，這勢必會面臨一定程度的發展風險，對於用戶與供應鏈合作廠商而言，如果想要兼顧既有投資的保障與及早創新的布局，目前恐怕很難做出最佳抉擇，而需多方押寶。</p> <p><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> 更多關於</span></span></span></strong></a><strong><span style="font-size: 22px;"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">I/O規格更新潮</span></span></a></span></strong><a href="https://www.ithome.com.tw/article/164269" target="_blank"><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);">的系列報導 </span></span></span></strong></a></p> <p><strong><span style="font-size: 22px;"><span style="color: rgb(255, 255, 255);"><a href="https://www.ithome.com.tw/article/164269" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1193-feng_mian_p1-ming_de_-open-960x420_kao_bei_0.jpg?itok=2y_Yapvf" style="width: 550px;" /></a></span></span></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/io%E4%BB%8B%E9%9D%A2">I/O介面</a></div><div class="field-item odd"><a href="/tags/sas">SAS</a></div><div class="field-item even"><a href="/tags/nvlink">NVLink</a></div><div class="field-item odd"><a href="/tags/pcie-50">PCIe 5.0</a></div><div class="field-item even"><a href="/tags/gpu">GPU</a></div><div class="field-item odd"><a href="/tags/io">I/O</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83">資料中心</a></div><div class="field-item odd"><a href="/tags/pcie">PCIe</a></div><div class="field-item even"><a href="/tags/%E4%B9%99%E5%A4%AA%E7%B6%B2%E8%B7%AF">乙太網路</a></div><div class="field-item odd"><a href="/tags/ai">AI</a></div><div class="field-item even"><a href="/tags/infiniband">InfiniBand</a></div><div class="field-item odd"><a href="/tags/ualink">UALink</a></div></div></div>
2024/8/2 14:11作者李宗翰https://www.ithome.com.tw/voice/164270
Raydium區塊鏈用戶遭到鎖定，駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意套件攻擊結合社交工程手法的情況，最近不斷出現，例如，有人為了引誘特定目標下載惡意PyPI套件，<a href="https://www.ithome.com.tw/news/164240">疑似藉由假LinkedIn帳號誤導AI搜尋引擎</a>，類似的混合攻擊手法又有新的案例出現。</p> <p>資安業者Checkmarx揭露<a href="https://checkmarx.com/blog/stackexchange-abused-to-spread-malicious-python-package-that-drains-victims-crypto-wallets/">從6月底出現的惡意PyPI套件攻擊行動</a>，駭客在6月25日上傳無害的軟體套件到PyPI儲存庫，但到了7月3日顯露意圖，發布多個惡意版本套件。研究人員指出，攻擊者主要目標是區塊鏈平臺Raydium、Solana的用戶，意圖將他們的加密貨幣資產耗盡，超過2千人下載相關套件而可能受害。</p> <p>比較特別的是，駭客為了引誘使用者上當、下載惡意套件，他們透過名為Stack Exchange的網路問答網站來進行宣傳，藉由在熱門討論串提供看似有用的答案來進行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Photo5_BlogSPL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Photo5_BlogSPL.jpg" style="width: 580px;" /></a></p> <p>另一個值得留意的地方，在於研究人員特別提及防毒軟體、EDR系統都無法識別駭客散布的惡意套件，使得攻擊者能夠得逞。</p> <p>研究人員提到，雖然駭客上架的初始版本PyPI套件沒有直接的攻擊意圖，但這個套件可當作攻擊者的跳板，讓受害電腦接觸外部資源，從而下載、執行惡意指令碼，並從受害電腦挖掘有價值的資料。攻擊者竊取的資料範圍很廣泛，包括瀏覽器、加密貨幣錢包、即時通訊軟體的使用者資料。</p> <p>他們也看到駭客藉由惡意程式截取螢幕畫面，並在受害電腦尋找與加密貨幣有關的關鍵字，及其他敏感資訊，像是GitHub復原碼或是BitLocker金鑰。最終對方利用壓縮軟體打包竊得資料，並透過Telegram機器人回傳到C2伺服器。</p> <p>此外，攻擊者使用的惡意指令碼當中，含有後門程式，使得攻擊者有機會遠端控制受害電腦，並能持續存取或是進行後續的攻擊行為。</p> <p>究竟駭客如何散布惡意套件，研究人員提及駭客看上Raydium並未經營自己的Python套件的情況，直接冒用此區塊鏈專案的名稱製作軟體套件，而無須藉由拼寫錯誤及冒用網域名稱的手法來進行。</p> <p>而為了讓攻擊目標得知相關套件並下載，駭客在Stack Exchange建立帳號，並在與軟體套件相關的主題留下評論，研究人員提到，駭客的回答相當詳細，導致使用者可能會降低戒心，存取駭客提供的下載連結。</p> <p>但這並非首度藉由網路問答平臺散布惡意PyPI套件的情況，今年5月，資安業者Sonatype揭露<a href="https://www.sonatype.com/blog/pypi-crypto-stealer-targets-windows-users-revives-malware-campaign">有人濫用StackOverflow的攻擊事故</a>。</p> </div></div></div>
2024/8/2 12:33作者周峻佑https://www.ithome.com.tw/news/164267
蘋果第二季財報出爐，Mac/iPad銷售成長，iPhone下滑
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果周四（8/1）<a href="https://www.apple.com/newsroom/2024/08/apple-reports-third-quarter-results/" target="_blank">公布今年第二季的財務報告</a>，該季蘋果創下858億美元的營收，比去年同期成長5%，淨收入為214.5億美元，成長7.9%，表現超乎華爾街分析師的預期。</p> <p>858億美元的營收中有616億美元來自產品，另外的242億美元為服務營收，分別成長1.6%及14%。它們占了蘋果總收入的72%與28%，顯示服務營收占比已逼近1/3。</p> <p>從產品類別來看，iPhone營收為393億美元，下滑1%；Mac營收為70億美元，成長2.5%；iPad營收為71.6億美元，成長24%；穿戴/家用/配件營收為81億美元，下滑2.3%。</p> <p>觀察蘋果的市場分布，美洲地區以376.8億美元的營收貢獻居冠，成長6.5%；居次的是歐洲的218.9億美元，成長8.3%；大中華區以147.3億美元位居第三，下滑了6.5%。</p> <p>曾為蘋果第二大市場的中國，近來的表現大不如前，外界分析其主要原因為這些年來中國與美國之間的政治與經濟角力，促使中國政府不僅扶植自家的華為，去年還開始禁止於政府機關內使用iPhone。為此，蘋果更破天荒地在中國以各種優惠方式來調降iPhone 15的售價，雖然<a href="https://www.apple.com.cn/shop/buy-iphone/iphone-15" target="_blank">蘋果中國官網</a>上最低階的iPhone 15價格依舊是5,999元人民幣，但<a href="https://item.jd.com/10101280866519.html" target="_blank">其它網路賣場</a>上的價格已經降至4,700元人民幣左右。</p> <p>根據市場研究機構Canalys<a href="https://www.canalys.com/newsroom/china-smartphone-market-Q2-2024" target="_blank">今年第二季的調查</a>，中國智慧型手機市場於該季成長了10%，出貨量超過7,000萬臺，但蘋果的市占率卻從去年同期的16%跌至今年的14%，並從第二名跌至第六名。此外，這也是中國手機市場上第一次出現前五大製造商皆由本土業者包辦的情況。</p> </div></div></div>
2024/8/2 13:00作者陳曉莉https://www.ithome.com.tw/news/164268
高效管理者如何委派工作
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-gao_xiao_jing_li_ren_shou_ce_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商業周刊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在開發中國家，泥地是主要的疾病來源。病原體會在土壤中生存，灰塵是引發呼吸疾病的主要原因。蓋雅翠．達塔（Gayatri Datar）下定決心改變這種情形。她和同學組隊，取史丹佛附近乾涸的湖底泥巴做實驗，發現有一種鋪地板的流程，只需要混凝土的零頭價格，就能封住泥土地。蓋雅翠即將改變十億人的生活。</p> <p>蓋雅翠搬到東非盧安達，成立社會企業EarthEnable，在當地鋪設有助於健康的平價地板。有兩年時間，她增加進度的方法是廢寢忘食，能工作多少小時，就工作多少小時。蓋雅翠誤以為委派工作（delegation）的用途是減輕自己的工作量，因此把部分的工作交給別人。然而，別人做的工作讓她不滿意時，她通常會收回來自己做。</p> <p>可想而知，EarthEnable的成長出現停滯，未能達成目標，因為蓋雅翠的做法無法擴大規模。只有一個蓋雅翠，如果EarthEnable要能觸及數百萬弱勢家庭，她需要從根本上改變領導風格。蓋雅翠從盧安達的家打電話給我，她提到：「事業成長需要你停止親自產出，改把力氣用在建立組織上。」</p> <p><span style="font-size:28px;"><strong>技能、能力與能做多少事</strong></span></p> <p>蓋雅翠學習如何委派工作後，EarthEnable脫胎換骨。蓋雅翠有很好的產品，她唯一需要做的，就只有找出如何能擴大組織的規模。蓋雅翠開始了解，委派工作的重點不是把雜事丟給別人，而是擴展組織能做多少事的能力。</p> <p>委派工作的第一件事，將是區分眼前的任務（task）與完成那件事所需的技能（skill）。舉例來說，想像你的玩具店打算舉辦一次性夏季大拍賣，你需要替這次的優惠活動規畫人力。這屬於一項任務。然而，完成這個任務的技能，包括建立試算表、檢視過往流量、分析歷史銷售後做出預測。</p> <p>如果你錯過和家人共進晚餐，自己跳下去做，當然人力安排計畫會更快出爐。然而，你將因此錯過在組織內培養相關技能與擴大規模的機會。組織裡的人如果學會了，還能延伸到其他任務，例如安排假日班表、年度營運計畫、決定星期日是否要延長營業時間，最終替十二間玩具分店安排好人力，而不只是一間──訓練大家替夏季大拍賣規畫人力，可以連帶地教會很多事。</p> <p>由於委派新技能會花的時間，通常比你親自做還長，你需要判斷投資這個時間是否會替組織帶來足夠的報酬。方法是評估在六個月期間，你將應用那項技能的次數與時數。如果答案是十小時，那麼依據六個月原則（six-month rule），你會願意多花十小時教其他人那項技能，不再自己做。</p> <p>此外，委派也是評估團隊成員能力（capability）的工具。如果你正在決定是否要把旗下成績最好的銷售人員，提拔為銷售經理，那麼可以利用委派這項工具，判斷這個人是否準備好升遷。我們在史丹佛舉的例子是食品製造商特朗尼（Torani，這間公司提供全球飲料使用的糖漿與調味劑）。執行長梅蘭妮．戴貝寇（Melanie Dulbecco）打算在銷售部挑一個人，升為副總裁。她向史丹佛學生解釋，自己是如何運用委派的概念，把幾個專案交給內部的升遷人選，並很快就在過程中判斷，誰已經做好最完整的升遷準備。</p> <p><span style="font-size:28px;"><strong>運用「SCS」原則</strong></span></p> <p>SCS是「明確、共創、支持」（specific, co-create, and support）的縮寫，也是指以這三個原則有效委任的心態。把SCS謹記在心，就能避免掉進糟糕委派的主要陷阱。最棒的是，不論你委派的任務是預約明天晚上吃飯的地方，或是開發與建造二十萬平方英尺的物流中心，SCS都適用。</p> <p><span style="color:#B22222;"><strong>明確：Specific</strong></span></p> <p>人類很糟糕的一點，就是會為了省眼前的幾分鐘，浪費未來的無數小時。我們在交代工作時貪圖省事，沒做好前期的工作，先仔細定義交付事項。雖然當下能偷懶個幾分鐘，但等到工作成果不如預期，將得花很多小時補救。</p> <p>舉個例子來講，想像你不確定是否要續租目前的辦公室，或者該另覓新地點。缺乏效率的做法將是吩咐某個下屬：「你研究一下這件事，然後告訴我是否該續約。」你告訴自己，這種不提供細節的馬虎做法是在授權他人，但實際上只是在當甩手掌櫃。最後的結果就是你同時浪費自己和員工的時間。員工將浪費時間探索你不關心的事，回報後你覺得不行，提出更多要求，叫他們繼續找，來來回回無數次。還不如直接告訴員工：</p> <p>「我們的租約還有五個月到期。我滿意我們付的市場價格，但我對其他的選項感興趣。你去看看哪些辦公室在出租，而且符合以下的條件。先從寇蒂斯兄弟開始，那家是我們找過的辦公室仲介。我們需要依據類別（辦公、倉庫、車輛存放），預測各需要多少平方英尺的空間，而且要位於開車二十分鐘，就能抵達關鍵客戶所在地的地理圍欄（geo-fence）內。這部分你可以利用Geotech的地圖軟體。麻煩你附上可能選項的照片，以及關鍵的租約條件。給我十頁的報告，而且我會是唯一看這份報告的人。內容要精確，但不必到簡報的品質。我隨後會寄簡短的電子郵件提醒你。」</p> <p>這不算事事都插手的微管理（micromanagement）。明確提出你的指示並不會讓員工因此失去自由，導致他們在推薦新辦公室的地點時無法應用判斷力。陷入微管理的經理把注意力放在與結果無關的瑣事，要求員工必須照他們的方法做事，不去管那對最後的工作成果來講是否有差別。</p> <p><span style="color:#B22222;"><strong>共創：Co-create</strong></span></p> <p>不過，做到以上的明確原則還不夠完美，因為沒有太多的共創成分。三個臭皮匠總是勝過一個諸葛亮，也因此回頭看剛才的指示：</p> <p>「……要位於開車二十分鐘，就能抵達關鍵客戶所在地的地理圍欄內。這部分你可以利用Geotech的地圖軟體。」</p> <p>加入「共創」後，你可以考慮改成說：</p> <p>「我們的關鍵客戶所在地，也是你在推薦時要考量的因子。你認為這部分我們可以如何確認這點？」</p> <p>雖然這樣講話像是在玩文字遊戲，你明明已經知道可以用Geotech查，為什麼不直接告訴員工你要什麼？答案是我們不能獨占創意與創造力的樂趣。說不定員工推薦的軟體還會考量送貨的頻率，或是提高更常拜訪的顧客權重——多出你沒想到的功能。</p> <p>你希望明確提供方向的部分，一定要說清楚是否允許員工提出更好的方案，因為如果你明講希望有他們的共創，員工或許會提出以下的實用建議：</p> <p>「關於可能的新辦公室選項，我能不能直接放進仲介準備的介紹？雖然仲介的資訊會多過您要求的事項，但不必自己準備量身打造的介紹，就能省下很多小時。此外，我想問一下我們目前的房東，看看在接下來三年，他那邊還有沒有離這裡不遠的其他空間。」</p> <p><span style="color:#B22222;"><strong>支持：Support</strong></span></p> <p>我吃過苦頭後，才發現支持的重要性。我曾在營收每六個月就翻倍的公司擔任執行長。由於變化速度實在太快，我們資深團隊面臨的任務，先前沒有任何成員有過經驗。漸漸的，有一位主管跟不上，漏洞愈來愈大。等我發現問題有多嚴重，我要求她離開公司。然而，整件事的主要問題出在我如何管理我的委派方式。</p> <p>俄羅斯有一句諺語：「要信任，但也要查證。」這句話在雷根總統與蘇聯領袖戈巴契夫（Mikhail Gorbachev）的談判期間很出名，但也適合拿來提醒有效委派要注意的事。提供支持的方法是一路上設下策略檢核點，不要到了尾聲才來看有沒有成功。委派工作時，你該做的不是對最終的工作成果指手畫腳，也不是把專案扔給下屬就不管了。你應該協助你的團隊成功。在定期的檢核點確認是否有成員遇上困難，找出你原本的計畫是否不夠明確，需要額外的指引或資源。有了檢核點就能中途修正，增加成功機率。<strong>（本文摘錄整理自《高效經理人手冊》，商業周刊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E9%AB%98%E6%95%88%E7%B6%93%E7%90%86%E4%BA%BA%E6%89%8B%E5%86%8A-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_商業周刊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 高效經理人手冊：史丹佛商學院最熱門管理課，鍛鍊主管5大卓越執行力</strong></p> <p>大衛．道森（David Dodson）／著；許恬寧／譯</p> <p>商業周刊出版</p> <p>定價：420元</p> <p><a href="https://daviddodsonauthor.com/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98%E5%9C%962_%E9%AB%98%E6%95%88%E7%B6%93%E7%90%86%E4%BA%BA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_David%20Dodson.jpg" style="width: 180px;" /></a></p> <p><a href="https://daviddodsonauthor.com/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_David Dodson</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>大衛．道森（David Dodson）</strong></p> <p>史丹佛經濟系、工商管理碩士，前麥肯錫顧問。現任教史丹佛商學院，教學卓越，榮獲兩次MSx教學卓越獎，2023年《經濟學人》列為史丹佛大學三門「最熱門」課程之一。</p> <p>道森同時也是戰績彪炳的連續創業家、執行長、40多間企業董事，以及150多家公司的主動型投資人。</p> </div></div></div>
2024/8/2 12:00未署名https://www.ithome.com.tw/article/164197
Cloud周報第206期：日本電信商NTT Docomo開發新型雲端渲染技術，可透過雲端在手機觀看高解析度的3D影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（07/25～07/31）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 奇異 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">奇異醫療與AWS展開策略合作，將開發醫療保健專用GenAI應用</span></strong></p> <p>奇異（GE）旗下醫療設備供應商GE Healthcare近日宣布將與AWS展開策略合作，共同開發專用基礎模型和GenAI的應用程式，協助臨床醫生改善醫療診斷和患者護理服務。</p> <p>GE HealthCare全球首席科技長Taha Kass-Hout表示，透過將生成式AI與GE專業知識相結合，將開啟醫療保健的新時代。</p> <p>GE Healthcare計畫利用AWS的Bedrock生成式AI託管服務建立和部署客製化的生成式AI應用程式，專用於醫療保健的服務需求。這些應用將與AWSHealthLake和AWS HealthImaging整合，用於分析各種類型的患者數據，從而提高臨床效率和更好地患者護理。</p> <p>此外，GE HealthCare採用AWS機器學習平臺SageMaker開發的自己的基礎模型，並對其應用程式進行現代化改造，同時將開發和部署可用網路的醫學影像應用程式。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 甲骨文 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">搶攻醫療門診AI應用！甲骨文推出醫療臨床專用生成式AI助手Oracle Clinical Digital Assistant</span></strong></p> <p><strong><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(7)(4).png" style="width: 600px; height: 339px;" /></span></strong></p> <p>甲骨文（Orac l e）近日推出一款醫療臨床專用的生成式AI助手Oracle Clinical DigitalAssistant，可適用於美國門診診所。該助手將結合生成式人工智慧、臨床智慧、多模式語音和螢幕輔助功能。</p> <p>這個AI助手與Oracle Health電子健康記錄（EHR）整合，透過結合臨床自動化、生成的對話筆記以及直接在護理站點提供的臨床隨訪建議，改善醫患之間的互動體驗。例如，護理人員只需詢問生成式AI助手，即可取得患者病史的關鍵資訊，如最新的血液檢查結果，還可以透過EHR記錄中的內容獲取更完整的資訊，從而節省護理人員的查找時間。</p> <p>Oracle生成式AI助手可在幾分鐘生成患者記錄的註釋，並支援轉診和處方單的草擬以供批准，以及安排後續實驗室和預約。目前已有10多家美國診所或醫院展開試用。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端營收 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">生成式AI需求提升，微軟本季智慧雲端營收成長15％接近三百億美元</span></strong></p> <p>微軟日前公布了第4季營收，得益於雲端服務和商業軟體產品業績的增長，微軟整體營收高於市場預期，但是Azure增長則未達預期，導致其股價盤後下跌8%。</p> <p>本季中，微軟營收達到647億美元，成長15％，淨利為220億美元。全年總營收為2,451億美元，成長16%，淨利881億美元。</p> <p>在生成式AI需求的推動下，智慧雲端營收是微軟本季最高的收入來源，達285億美元，成長19%。其中Azure和其他雲端服務收入成長29%，推動伺服器產品和雲端服務收入成長21%。</p> <p>在生產力和業務流程方面，該季營收達到203億美元，成長11%。Office365商業收入增長13%，Office消費產品和雲端服務收入也有3%成長，Dynamics產品和雲端服務營收則增長16%。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">IDC </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端市場 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">IDC調查：全球公雲服務支出預計到2024年將達8千億美元</span></strong></p> <p>市場調查機構IDC近日公布全球軟體和公有雲服務調查，指出全球公雲服務支出預計到2024年將達8,050億美元，到2028年更將翻倍成長。IDC預期，未來4年年度支出成長將略有放緩，但未來5年複合年增長率（CAGR）仍將達19.4%。</p> <p>從產業類別來看，銀行業、軟體和資訊服務以及零售業是採用公雲占比最多的三大行業，其中2024年公雲支出將達1,900億美元，IDC預估，到2028年，支出成長最快的產業是資本市場、生命科學和保險行業。</p> <p>從應用來看，以SaaS占整體公雲支出最高，達到40%，其次是內容工作流程和管理應用程式以及協作應用程式。到2024年，PaaS和IaaS將各占公雲支出的近20%。</p> <p>從地理區域來看，美國依舊是最大的公有雲服務市場，預計2024年支出將超過4,320億美元。到2024年，西歐將成為第二大市場，支出接近1,670億美元，其次是亞太地區（不包括日本和中國），支出將超過510億美元。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端渲染 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NTT Docomo </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">NTT Docomo開發新型雲端渲染技術，可在手機觀看高解析度的3D影片，未來還能應用在工業數位分身</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(9)(2).png" style="width: 600px; height: 294px;" /></p> <p>日本電信商NTT Docomo和NTT通訊近日成功完成了其自行開發的多平臺雲端渲染技術的驗證，強調用戶未來可透過雲端在智慧型手機上觀看高解析度的3D影片。</p> <p>Docomo表示，過去3D影像處理需要經過複雜運算處理，使得在手機等運算有限的裝置應用上十分困難，為了解決這個問題。Docomo將新的雲端渲染技術整合到3D影像處理應用程式中，先在雲端中將高負載、高精度3D視訊處理分散在雲端運算環境中處理，接著在邊緣運算環境中部署，以便可使用標準平板電腦和智慧型手機存取高清3D視訊。</p> <p>Docomo表示，這項技術未來也可應用到工業場景中，建立工廠或產線的數位分身。此外在土木工程和建築工地上也有相關應用。該技術預計明年4月商用。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端沙箱 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">IBM推出新的雲端沙箱服務，可在隔離非生產環境中測試新Xeon處理器在應用程式中執行的效能</span></strong></p> <p>近日，IBM推出新的雲端沙箱服務，可讓企業用戶使用IBM Cloud Virtual Servers for VPC在隔離的非生產環境中，測試第二代和第四代Intel Xeon等最新處理器在各種應用程式中的效能。</p> <p>IBM表示，這項新的雲端沙箱服務能夠追蹤伺服器的效能指標，如記憶體、CPU、網路和I/O利用率等，從而確保應用程式在短期和長期執行過程中，提供其所需的運算能力並控制預算。此沙箱在IBM Cloud VPC上自動化執行，並採用Terraform和IBM Cloud Schematics作為程式框架來管理，服務則按小時計費。</p> <p>在新的IBM Cloud VPC沙箱內進行測試時，企業可以選擇使用Monte Carlo模擬、Huggingface或Presto進行基準測試，也可以部署自訂應用程式。此外，還能測試多個自然語言處理模型的任務，包括Bert-base-uncased和Roberta-base等。</p> <p> </p> <p>圖片來源／N Docomo、Oracle</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.阿里雲與奧林匹克轉播服務公司OBS合推OBS雲端3.0平臺，加快奧運圖像和影片的即時傳遞</strong></p> <p><strong>2.Google Cloud現已推出Private Marketplace私有市集服務，允許用戶僅能購買和部署經過批准的雲端產品</strong></p> <p><strong>3.傳雲端資安新創Wiz拒絕谷歌230億美元收購提議，將尋求IPO</strong></p> <p><strong>4.美國聯邦貿易委員會對IBM擬以64億美元收購HashiCorp的交易案啟動反壟斷調查</strong></p> <p><strong>資料來源：iThome整理，2024年7月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/8/2 09:43作者余至浩https://www.ithome.com.tw/news/164243
可惡Android惡意軟體BingoMod，盜完銀行帳戶還順手抹除裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Cleafy研究<a href="https://www.cleafy.com/cleafy-labs/bingomod-the-new-android-rat-that-steals-money-and-wipes-data" target="_blank">發現了新種類的Android惡意軟體</a>，並命名為 BingoMod。BingoMod會試圖接管裝置上銀行帳戶並且轉移金錢，在成功完成盜取任務後，攻擊者便會抹除受感染的裝置，消除BingoMod的活動痕跡，增加BingoMod被調查的困難度。</p> <p>BingoMod屬於遠端存取木馬（RAT），攻擊者可以利用它遠端控制受感染的裝置，並且利用裝置上詐騙（On Device Fraud）技術接管銀行帳戶。BingoMod主要透過簡訊釣魚的方式散布，其通常會偽裝成合法的防毒軟體，一旦BingoMod安裝至受害者裝置上，便會要求用戶啟用無障礙服務，當用戶授予請求權限，BingoMod APK便會開始自我解壓縮，並且執行惡意酬載（Payload）。</p> <p>BingoMod利用無障礙服務監控鍵盤紀錄，竊取用戶輸入的敏感資訊，並攔截金融機構透過簡訊發送的交易驗證碼，進一步竊取受害者身分並進行金融詐騙。另外，BingoMod還會透過遠端控制功能，讓攻擊者可以完全操縱受感染裝置，從遠端執行諸如點擊、填寫表單和打開應用程式等操作。</p> <p>同時，BingoMod還會使用Media Projection API獲取即時螢幕內容，把這些資料傳送給攻擊者，使其能夠監控裝置運作。此惡意軟體的釣魚手段包括覆蓋攻擊和虛假通知，誘使用戶輸入敏感資訊並且進一步傳播惡意軟體。</p> <p>不僅如此，BingoMod通常在成功竊取受害者銀行財務後，還會遠端抹除裝置。雖然研究人員指出，此功能僅限於清除裝置的外部儲存，但是攻擊者也可能透過BingoMod遠端存取能力，從系統設定中執行完整清除。</p> <p>BingoMod特性使其成為一個具高度威脅性的惡意軟體，對受感染裝置的控制能力極高，可以執行廣泛的惡意活動。研究人員認為BingoMod的開發者可能缺乏進階的惡意軟體技術或經驗，僅用了基本的混淆技術和簡單功能，相較於複雜性，開發者可能更重視功能快速實作。</p> <p>BingoMod雖然擁有類似於Brata惡意軟體的裝置抹除能力，但因為BingoMod相對簡單，所以研究人員猜測BingoMod裝置抹除功能，比較像是一種簡單的退出策略。</p> <p>防止BingoMod的措施除了避免點擊不明訊息中的連結，也要小心應用程式的權限請求，確保安裝可靠的防毒軟體和安全應用程式，同時也要為所有敏感帳戶啟用雙因素驗證，並且經常檢查金融交易紀錄，及早發現任何可疑和未經授權的活動。</p> </div></div></div>
2024/8/2 08:36作者李建興https://www.ithome.com.tw/news/164260
Apple將自家使用的同態加密技術，以開源Swift開源套件釋出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple在自家服務<a href="https://www.swift.org/blog/announcing-swift-homomorphic-encryption/" target="_blank">引入同態加密（Homomorphic Encryption）技術</a>保護用戶隱私，同時也把該加密技術Swift實作開源出來，讓開發者可以更簡單地在程式中應用同態加密。</p> <p>同態加密技術可以在不解密的情況下，對加密資料進行計算，也就是計算過程不需要揭露資料的原始內容，而且計算結果也是加密的，唯有擁有解密金鑰的一方，才能解密並查看最終結果。同態性是這種加密技術的關鍵，也就是加密資料和解密資料上進行數學運算後，會產生相同的結果，當明文資料執行同態操作結果是A，則對應加密資料經過同一操作後，解密後的結果也會是A。</p> <p>對開發者來說，客戶端可以將加密的資料發送到伺服器中，伺服器在加密資料上進行操作並回傳結果，而伺服器執行過程中不需解密原始資料，也沒有存取解密金鑰的權限。這種方法應用在雲端服務，可進行敏感資料計算並保護用戶資料隱私安全。</p> <p>傳統私密資訊擷取（Private Information Retrieval，PIR）的實作方法，是讓伺服器把整個資料庫發送到客戶端進行本地端處理，如此可以避免伺服器掌握正在查詢的關鍵字，但僅適用於小型且不會頻繁更新的資料庫。</p> <p>而使用同態加密技術則可擴大應用場景，Apple在自家使用同態加密技術的具體案例之一，是iOS 18的Live Caller ID Lookup功能，該新功能提供來電顯示和垃圾電話過濾服務，Live Caller ID Lookup會使用同態加密發送加密查詢至伺服器，伺服器便會根據電話號碼資訊進行查詢，但是又不會知道請求中具體的電話號碼。</p> <p>Apple所開源Swift同態加密套件使用了Swift Crypto中高效能低階加密原語，支援伺服器端Swift，並且可使用Benchmark函式庫進行簡單的基準測試。</p> </div></div></div>
2024/8/2 08:44作者李建興https://www.ithome.com.tw/news/164261
績效控跟工作狂的差異
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0726_gao_ji_xiao_xin_zhi_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">天下文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>小改變，卻能帶來大改善的例子，讓人想起古希臘數學家阿基米德的名言：「給我一個支點和一支夠長的槓桿，我就能撐起地球。」聰明的重新設計工作，就是要找到那個支點，並以聰明的方式來利用它。這就是聰明工作，如此一來才能事半功倍。</p> <p>是否職位較高的人才能重新設計工作？我們的研究發現，其實大多數的人都做得到。根據我們的調查，不論職位高低，或是資歷深淺，重新設計工作的能力都不相上下。</p> <p><span style="font-size:28px;"><strong>重新設計工作，你也可以</strong></span></p> <p>整體而言，各行各業的人都能夠重新設計他們的工作。當然，資淺的人能重新設計的空間較有限，主管階級能改變的範圍較大。</p> <p>儘管如此，絕大多數的工作都賦予你一定程度的自由來決定要做什麼，以及怎麼做。重點只在於，怎麼改變最能創造價值？我們再來看看兩個重新設計工作的實用技巧。</p> <p><span style="color:#B22222;"><strong>找出痛點</strong></span></p> <p>要尋找重新設計工作的機會，你可以從「痛點」下手，也就是困擾很多人的棘手問題。</p> <p>45歲的卡門是商業分析師，在總部位於紐澤西的壽險公司工作。她必須處理公司保險代理人的薪資，而這些保險代理人分布在全國各地。多年來，她協助這些保險代理人處理所謂傷病的第三方賠償，其中涉及很多繁瑣的步驟和稅金的申報。卡門幾乎每天都會接到來自保險代理人的抱怨電話，整個申報過程對他們來說就像迷宮一樣，文件常常就這麼卡住，因而火冒三丈。</p> <p>這就是一個痛點。</p> <p>有一天，卡門覺得實在忍無可忍，於是請公司電腦程式師幫忙簡化申報流程。後來，「我們把這個複雜的系統簡化，變成單一使用者介面，讓使用者只要點擊幾下就完成了，系統就會自動分類。」現在，保險代理人登入這個系統，只要幾分鐘就可完成申報作業。卡門在重新設計工作方面的表現獲得最高分（7分），在我們研究的5,000人中排在前15%。</p> <p>如果你能發現痛點，幫助同事、顧客和供應商解決讓他們深感苦惱的問題，你的工作就能創造很大的價值。人愈痛苦，就會叫得愈大聲。一旦有了解決辦法，讓人得以離苦得樂，你創造的價值就愈大。</p> <p><span style="color:#B22222;"><strong>問笨問題</strong></span></p> <p>有時，我們因陷在某個既定的想法或方法中，因此想像不出重新設計工作的好點子。我們都認為鐵錘是用來把釘子釘到牆上的，這就是鐵錘的用途；學校教室是教學的地方，而老師則是站在教室前面講課的人，而非像教練一樣幫助個別學生。但真的是這樣嗎？</p> <p>如平克（Dan Pink）在《動機，單純的力量》一書所言，我們很容易陷入「功能固著」的心理，因為受制於先前經驗，自覺或不自覺的認定某種東西只具有特定功能，因此會固著於以前的做事方式，無法跳脫束縛、解決問題。</p> <p>我們必須甩開熟悉的枷鎖，用新的眼光來看為什麼事情要這麼做，以及是否有更好的做事方式，才能重新設計工作，並帶來更大的效能。要怎麼做呢？從問「笨問題」開始：</p> <p>為什麼報告要用很多投影片？為什麼要在星期一早上開會？為什麼我們要報帳？為什麼我們要進行年度績效評估？</p> <p>一旦你養成問笨問題的習慣，就會常常思索「如果這樣，會怎樣」的問題。問笨問題加上「如果這樣，會怎樣」的思索，就能讓你破除習慣的束縛、突破思考的盲點，想出重新設計的妙點子，提升績效。</p> <p>今天，很多人的工作方式依然和工業革命之初無大差別。</p> <p>然而，現在科技正在顛覆工作的傳統思維，有愈來愈多人不想像過去一樣工作，並質疑該怎麼做才能更不費力，成效卻更好。在這個不斷變動的時代，一家公司只有藉由產品和服務的創新才能超越其他公司。個人也一樣，必須藉由工作創新，才能有突出表現。</p> <p>重新設計工作的人，會努力做對的事，並把事做對。在我們的研究中，表現最傑出的人都知道關於改變的基本道理：不能一件事還沒做完，就急著進行下一件。但一旦你做了改變，就必須堅持下去，精益求精。</p> <p><span style="font-size:28px;"><strong>打動人心，最有效的方法之一</strong></span></p> <p>在現代職場，能為自己的目標喉舌，以求取所需的支援，只是眾多人際互動技巧之一。很多人都以為，必須先提出理性訴求，別人才會支持我們的計畫和目標；運用邏輯和數據，詳細解釋為何要進行這樣的案子，才能贏得贊同。</p> <p>一般人很容易落入更賣命工作的苦勞模式中，以為用更多的電郵、投影片、文件、報告和數據來淹沒對方，就能成功說服。然而，如果別人不聽你說，或是根本不接收你的訊息，你講再多遍，也只是白費工夫。</p> <p>在研究中，我們發現，各行各業的高績效人士通常不會先把理性訴求搬上檯面，他們會採取幾種說服策略，來推動自己的點子與提案。他們用聰明方法說服，不用蠻力來使人屈服。善於說服、激勵他人的人，除了會講理，最重要的是能夠擄獲人心。不少研究也指出領導人在提出願景、目標或計畫時，必須讓人感到興奮，才能贏得真心支持。</p> <p>根據賓州大學心理學教授達克沃斯（Angela Duckworth）的研究，恆毅力（grit）是一種追求長期目標的毅力和熱情；為何有些人可以成功，其他人不行，關鍵就在恆毅力。</p> <p>在我們的研究中，說服高手在達成目標的過程之中，也會利用恆毅力來克服阻礙，但他們不是只會埋頭苦幹，使盡全力去克服困難，而是利用策略來聰明化解歧見，打動人心。</p> <p>懂得打動人心，並運用巧毅力，別人才會更願意支持你，助你達成目標。在我們的5,000人研究中，在說服方面表現最好的人，比起不善於說服者，績效排名領先15個百分等級。</p> <p>在我們的研究中，不管什麼職位，位居經理人或只是基層員工，能在打動人心和運用巧毅力兩方面獲得高分的人，績效表現都十分傑出；但如果只有一方面表現佳，績效就沒有那麼好了。由此可見，只要用對方法，任何人都可以在組織內推動新點子、發揮影響力。</p> <p>要打動人心，最有效的方法之一，是同時激起他人的負面情緒以及正面情緒；讓人對現況失望，但同時對未來感到興奮。</p> <p>華頓商學院教授博格（Jonah Berger）在《瘋潮行銷》一書探討網路上訊息的傳播，特別是挑起「高喚起情緒」的重要。這種情緒會「使人進入啟動狀態，心跳加快、血壓上升，準備行動。」</p> <p>興奮與歡喜，以及焦慮與憤怒，都屬於高喚起情緒，而滿足與悲傷則是低喚起情緒。博格與行為經濟學家米爾克曼（Katherine Milkman）研究在《紐約時報》發表超過三個月的文章，發現如能成功引發讀者的高喚起情緒，文章登上電郵轉傳熱門文章榜的比率，比喚起其他情緒高出24至38%。讀者會因這些高喚起情緒而採取行動，博格下結論說：「讓人瘋狂，別讓人難過。」</p> <p>要說服他人，就不要讓人傷心或自滿；讓人興奮或生氣，才能促使人改採新行動。</p> <p>為了打動人心，並獲得他人支持，你必須激起他們的高喚起情緒，讓他們對現況感到焦慮，同時對你提出的目標感到歡喜、興奮。如果你能成功激發出這樣的情緒，就能說服別人，跟隨你的領導。<strong>（本文摘錄整理自《高績效心智（暢銷新編版）》，天下文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0726_%E9%AB%98%E7%B8%BE%E6%95%88%E5%BF%83%E6%99%BA_600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／天下文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 高績效心智：全新聰明工作學，讓你成為最厲害的1%</strong><span style="font-size:14px;">（暢銷新編版）</span></p> <p>莫頓．韓森（Morten T. Hansen）／著</p> <p>廖月娟／譯</p> <p>天下文化出版</p> <p>定價：500元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0726_%E9%AB%98%E7%B8%BE%E6%95%88%E5%BF%83%E6%99%BA_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Morten%20T_%20Hansen.jpg" style="width: 170px;" /></p> <p><a href="https://www.mortenhansen.com/about/" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Morten T. Hansen</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>莫頓．韓森（Morten T. Hansen）</strong></p> <p>加州大學管理學教授，也在法國歐洲工商管理學院、蘋果大學任教。</p> <p>三度入選「全球50大管理思想家」，被譽為「管理學界最有影響力的聲音」，是研究企業績效與個人表現的世界級權威。曾任教於哈佛商學院，和《從A到A+》作者柯林斯合著國際暢銷書《十倍勝，絕不單靠運氣》，也曾在波士頓顧問集團任職，為全球企業提供諮詢服務。</p> <p>史丹佛大學商學院博士，曾獲傅爾布萊特獎學金資助，研究論文多次獲獎。經常受邀到各國演講，協助企業、經理人和工作者有更傑出表現。</p> </div></div></div>
2024/8/2 06:00未署名https://www.ithome.com.tw/article/164056
國壽靠IT快速對齊市場驟變，大舉上雲更要建立純雲作業能力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>對國泰人壽而言，上雲是為了跟上保險業激烈的市場演變，這是來自三年前全球疫情衝擊的經驗。當時，臺灣進入三級警戒，保險局一周內拍板，開放業者辦理遠距投保，作為保險業務員執業的替代措施。如何快速建立投保、理賠等線上服務，成為當時保險業IT最大挑戰。</p> <p>但是，要快速建立一套新的運作環境可不容易。尤其既有地端資源有限，為了採購一套硬體設備，歷經簽核、議價、下單等過程，到貨後還得進行上線和測試。掌理國泰人壽基礎設施的國泰人壽系統資訊部協理吳明憲直言，光是船運就要等三個月。「如果別家保險公司採用公雲，迅速完成建置，我們卻要等快半年，怎麼跟人家競爭？」吳明憲一句話來點出保險業上公雲的必要性。一次市場驟變，驅使國泰人壽進一步思考採用公雲，綜合考量後，國泰人壽在2022年展開系統上雲的評估，一步步實現系統上雲計畫。</p> <p><span style="font-size:28px;"><strong>過往就曾採用私有雲技術，發展中臺環境</strong></span></p> <p>這並不是國泰人壽第一次採用雲端技術。早在2015年，國泰人壽為了因應業務量大增伴隨'的系統連線需求，開始發展私有雲，逐步將傳統系統架構轉換為多機叢集的雲端架構，打造新一代資訊系統。</p> <p>國泰人壽系統資訊部協理吳明憲回憶，當時將運作在IBM Power系列主機的周邊系統，遷移至X86架構伺服器上，來發展微服務架構的中臺環境。</p> <p>不同於2015年的架構調整，國泰人壽這次的公雲評估，更在意的是如何彈性運用資源。</p> <p>吳明憲指出，國壽現有地端資源足以支援營運需求，能支持高達2萬名壽險業務員同時連線，但他強調，「無法確定未來流量是否會更大。」</p> <p>另外，吳明憲表示，現有地端資源得經過不斷地改良和調整，擴增大量設備，才能支援高峰流量需求，但是，「事實上，平日可能只要支援3千人連線的流量。」</p> <p>吳明憲點出，雲端資源以量計價，還可以動態調整，避免多餘硬體設備的成本開銷，「資源擴充的靈活度，是國泰人壽採用公有雲的一大考量。」</p> <p>2022年，國泰人壽跟進採用國泰金控制定的上雲策略，開始進行雲環境就緒（Cloud Ready）架構的準備，著手相關評估，在地端機房部門成立雲端團隊，由金控提供培訓，將國泰人壽既有的地端維運人員轉型為雲端人才。完成相關評估後，國泰人壽在2023年選定17套系統先上雲，包括了16套行銷活動網站和機場旅平險系統。</p> <p><span style="font-size:28px;"><strong>風險、商業價值和技術成本是系統上雲評估關鍵</strong></span></p> <p>國泰人壽如何一步步實現系統上公雲計畫？第一步，是先依據風險和商業價值高低，來篩選適合上雲的系統，第二步，根據技術成本高低，來考量系統上雲方式。</p> <p>吳明憲根據系統的重要性評估上雲風險，判斷系統上雲後，對公司營運影響程度。例如，核心系統涵蓋重要業務，上雲可能對營運造成影響，反觀，活動網站流量變化大，在使用量低時上雲，較不會影響營運。</p> <p>考量商業價值時，則是挑選出使用量較大或流量變化大的系統。根據兩項評估條件，吳明憲和團隊盤點了上百套系統，最後從活動網站系統下手，選出16套使用量和變動量大的活動網站，包含每年舉辦的客戶子女獎學金活動網站，和健走公益活動網站等。</p> <p>另外，考量機場旅平險系統營運時間特殊，時常與IT設備維運時間衝突，導致維運人員修理、更新設備時，往往會影響到系統運作。因此，國泰人壽也將機場旅平險系統列入第一階段的上雲系統。</p> <p><span style="font-size:28px;"><strong>低度調整應用程式架構，讓系統達到上雲最適狀態</strong></span></p> <p>篩選出上雲系統後，如何根據系統特性，決定最適合的上雲形式，更是一門學問。</p> <p>吳明憲表示，IT團隊根據國泰金控自己訂定的 Cathay 6R 上雲遷移理論，來評估適合形式，其中，技術成本是主要考量依據。國壽希望以最少的技術成本，讓系統達到上雲最適狀態。</p> <p>吳明憲解釋，以活動網站為例，該類系統採用了較現代化的 Spring Boot 框架，對照金控的上雲方法論，僅需低度調整應用程式架構即可，例如，將活動網站資料庫依業務別拆分，讓系統能在微服務平臺上運作，不需大幅更改架構或替換整個系統。</p> <p>國泰人壽的作法，並不是要將所有系統改造為微服務、容器化架構，而是將這兩項技術作為系統上雲的手段之一。吳明憲解釋，微服務架構除了能讓系統更方便上雲，各個服務獨立運作，可針對單一服務使用量計費，不僅能節省整體開銷，團隊更能細緻管控各個服務使用量及成本。</p> <p>將應用程式調整成微服務架構後，國泰人壽採 PaaS 模式將應用程式上雲。建立雲端基礎設施環境時，則會依據服務供應情況採用 SaaS 或 IaaS 模式。若供應商有提供對應服務，則會直接採用SaaS模式訂閱服務，若沒有，則會採用虛擬機模式上雲。</p> <p>以國泰人壽內部的程式碼防竄改系統為例，目前，國泰人壽使用的雲端供應商並未提供相關服務，因此，他們選擇在雲端環境建立虛擬機，透過 IaaS 模式將這個原本在地端的系統遷移上雲。</p> <p>在挑選雲端環境周邊工具時，吳明憲特別重視供應商綁定問題。</p> <p>目前，國泰人壽僅採用一家雲端供應商的服務，「但我們會保持一定程度的可遷移能力。」吳明憲強調，像是選擇支援通用介面的服務，盡量不用供應商的獨門技術。</p> <p>例如，挑選資料庫服務時，得留意資料庫服務是否支援標準 SQL 語法，避免日後難以遷移至其他公雲。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%90%B3%E6%98%8E%E6%86%B2-600-2_%E5%9C%8B%E6%B3%B0%E4%BA%BA%E5%A3%BD_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>今年還要將14套系統上雲，讓既有上雲系統朝向純雲端運作模式</strong></span></p> <p>完成第一階段系統上雲計畫後，國泰人壽也累積了足夠的系統上雲經驗和能力，今年正式步入大規模上雲階段。IT最高主管國泰人壽副總經理王富民更下達了年度目標，要再將14套系統上雲，包括7套活動網站和7套業務類、服務類系統。</p> <p>另一項重要目標，要讓已上雲的系統朝向「純雲」運作。吳明憲解釋，第一階段上雲的17套系統運作時，部分操作仍須連接至地端。</p> <p>例如，當保戶在活動網站填寫業務人員代碼，系統需要連接部署在地端的人事系統，才能查詢資料，「如果地端不能運作，活動網站部分功能會連帶被影響。」吳明憲點出了這些系統上雲後最大擔憂。</p> <p>在上雲第一階段中，國泰人壽主要將應用程式改為微服務架構，達到系統上雲最適狀態。</p> <p>而在大規模上雲階段，國泰人壽納入了活動網站以外的系統，不同類型系統上雲的作法也大不相同。吳明憲以人事系統舉例說明，考量這款系統不需經常修改，他們計畫採用 IaaS 上雲模式，運用虛擬機將人事系統直接遷移上雲。未來，國泰人壽新開發的系統也會優先考慮在雲端環境上建立。</p> <p>除了要在今年將14套周邊系統上雲，吳明憲透露，內部正在嘗試將核心系統部分業務遷移上雲。他解釋，壽險核心系統中包含新契約、投保、理賠和保費等作業，其中，投保和理賠作業的流量變化較大，所以，「國泰人壽已經計畫將這兩個部分上雲。」今年，國泰人壽從網路投保旅平險系統開始試行，先改寫系統，再近一步評估是否上雲。吳明憲表示，考量核心系統上雲風險較大，國泰人壽並未將核心系統上雲列入今年年度目標。</p> <p>開始採用公雲服務後，控管成本成為重要課題。為了讓維運人員更快速掌握每月開銷變化，今年初，國泰人壽啟動 FinOps 計畫，由內部團隊自建雲端費用管理儀表板，大至專案消耗費用高低，小至網路流量、CPU 負載和磁碟機花費成本等等。</p> <p><span style="font-size:28px;"><strong>因應雲端時代，地端人才關鍵能力開始轉變</strong></span></p> <p>回看第一階段上雲旅程，吳明憲點出，國泰人壽過往累積的轉型經驗，在這次計畫帶來不少助力。</p> <p>早在20年前，國泰人壽推動過一次IT變革，將傳統大型主機封閉式架構，轉換為 Java 語言的開放架構。「那時候開始學會容器概念。」這個經驗，讓他在主導上雲過程中，更容易掌握微服務架構技術原理。</p> <p>執行上雲計畫過程中，最大挑戰並非來自技術問題，而是法規和人才培育。吳明憲回憶，早在金管會宣布鬆綁上雲規範前，內部就開始進行上雲報准程序，直到八月新規範上路，大幅簡化上雲流程，為團隊開闢一條暢通的路，才順利將系統逐一遷移上雲。</p> <p>另一方面，維運地端和雲端基礎設施需要的關鍵能力大不同，如何籌組雲端團隊，將既有地端人才培育成雲端人才更是不容易。吳明憲的作法是，在部門底下設立一支雲端團隊，逐一了解、找出雲端有興趣的地端管理人員，將這批人手調派至雲端團隊中，再透過金控提供教育訓練，來培育這支團隊。</p> <p>吳明憲指出，傳統地端機房人員不需要學習軟體開發，但是，開始採用公雲服務後，機房維運人員也得開始使用程式，來建立基礎設施環境，「人人都會成為軟體開發人員。」這句話點出，在雲端時代下，IT從業人員的技能得更加地全面化，才能跟上這波趨勢。國泰人壽也正在迎戰這波人才轉型挑戰。文⊙李昀璇</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>國泰人壽系統資訊部協理吳明憲</strong></p> <p>學歷：成功大學土木工程碩士</p> <p>經歷：在國壽擁有長達20年IT經歷，從維運基礎設施開始做起，職涯途中曾轉至程式開發相關部門，從事應用系統軟體開發，先後又從事了壽險核心系統和投資系統的維運工作，最後回到系統資訊部擔任協理，掌理基礎設施，是支持國壽IT運作的主要執行者之一。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1192-%E5%90%B3%E6%98%8E%E6%86%B2-600_%E5%9C%8B%E6%B3%B0%E4%BA%BA%E5%A3%BD_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 250px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">（攝影／洪政偉）</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>國泰人壽</strong></p> <p>●地址：台北市大安區仁愛路四段296號</p> <p>●成立時間：1962年</p> <p>●主要業務：人身保險的銷售及其相關業務</p> <p>●員工數：截至2024年5月，共29,161人</p> <p>●營業收入：2024年1月至6月，共4,106億元</p> <p>●董事長：熊明河</p> <p>●總經理：劉上旗</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：副總經理</p> <p>●資訊部門直屬主管：王富民</p> <p>●資訊部門分工：系統資訊部、壽險資訊部、行銷資訊部、投資資訊部</p> <p>●資訊部門人數：569人</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●1975年：正式啟用大型主機電腦系統（第一代資訊系統）</p> <p>●1990年：建置全省300個連線服務據點的全國連線作業網（第二代資訊系統）</p> <p>●2002年：建置傳統主機異地備援中心</p> <p>●2009年：將壽險核心系統轉換至開放平臺（第三代資訊系統）</p> <p>●2012年：保險業務導入行動化</p> <p>●2016年：資訊系統轉換至私有雲運算平臺（第四代資訊系統）、資訊系統雙活中心（Active-Active）的建置</p> <p>●2018年：微服務平台建置、客戶關係管理系統（CRM2.0）建置</p> <p>●2019年：開始規劃和建置數位工作區平台（VDI）</p> <p>●2020年：開始導入醫療數位影像AI輔助診斷</p> <p>●2022年：啟動上雲計畫</p> <p>●2023年：16套行銷活動網站和1套機場旅平險系統，共17套系統上雲</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1192-wu_ming_xian_960_guo_tai_ren_shou_she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="國泰人壽系統資訊部協理吳明憲（攝影／洪政偉）" /></div></div></div>
2024/8/2 06:00作者李昀璇https://www.ithome.com.tw/people/164191