iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 20篇
近 24 小時: 30篇
近 7 天: 133篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 14:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 133 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

提供應用程式為誘餌，駭客在Chrome、Edge植入惡意延伸套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瀏覽器已是大部分使用者不可或缺的工具，而且，常見的瀏覽器都能透過延伸套件來加入功能，這也使得駭客藉著散播惡意延伸套件的情況，越來越頻繁。</p> <p>資安業者ReasonLabs揭露<a href="https://reasonlabs.com/research/new-widespread-extension-trojan-malware-campaign">大規模惡意瀏覽器延伸套件攻擊行動</a>，駭客從2021年開始，透過Google廣告進行宣傳，假借提供多種應用程式當作誘餌，藉此在Chrome、Edge瀏覽器植入惡意延伸套件，他們估計至少有30萬用戶受害。</p> <p>攻擊者聲稱提供的應用程式包括：遊戲破解工具Roblox FPS Unlocker，串流平臺YouTube、抖音、Instagram的影片下載程式、電玩遊戲Wordle、Rummikub，以及任天堂主機模擬器Dolphin Emulator、遊戲管理平臺Steam，由此看來，這波攻擊鎖定的目標，似乎主要是遊戲玩家。除此之外，也有提供Chrome、密碼管理工具KeePass做為誘餌的情況。</p> <p>一旦使用者透過Google搜尋想要取得上述的應用程式，就有可能看到駭客的惡意廣告。若是點選廣告並依照指示下載安裝程式並執行，防毒軟體很有可能不會攔截，研究人員指出，原因是駭客為這些安裝程式使用Tommy Tech LTD名義<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">的合法</span>簽章，若將這些軟體檔案上傳到惡意軟體分析平臺VirusTotal檢測，結果是所有防毒引擎都沒有偵測出異狀。</p> <p>然而，使用者將其安裝到電腦，電腦將會被植入PowerShell指令碼，而這個指令碼具備4項功能，以其中一項而言，會透過加入機碼的方式，強制瀏覽器只能安裝Chrome Web Store、Edge Add-ons市集的惡意延伸套件，且此套件能盜取瀏覽器搜尋的結果，並將使用者重新導向特定的搜尋引擎。值得留意的是，使用者無法自行停用該套件，瀏覽器也會顯示瀏覽器目前組於所屬組織管理的狀態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/img65-extension.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/img65-extension.jpg" style="width: 580px;" /></a></p> <p>再者，PowerShell指令碼會停用瀏覽器的更新機制。</p> <p>接著，攻擊者也會竄改瀏覽器捷徑檔（LNK）內容，在使用者同時在啟動瀏覽器的過程中，一併載入本機的特定延伸套件，從而挾持瀏覽器的搜尋結果，並與C2進行通訊。而這個套件不會在瀏覽器的延伸套件管理介面呈現，一般使用者難以察覺。</p> <p>最後，這個PowerShell指令碼會與C2進行連線，回傳執行的結果，然後取得下個階段的惡意功能，過程中電腦會透過Invoke-Expression的PowerShell功能來進行，並竄改瀏覽器的DLL（chrome.dll、msedge.dll）來置換瀏覽器的搜尋引擎。</p> <p>在研究人員調查此事的過程裡，他們看到駭客使用的C2網域，大多數防毒引擎都尚未視為有害。此外，他們後來也看到此PowerShell指令碼的其他變種，有些使用一年前建立的網域進行C2通訊。</p> <p>這些受害電腦被植入的惡意套件當中，有些是透過Chrome store、Edge Add-ons這類瀏覽器延伸套件市集下載的，研究人員指出，針對Chrome的套件以Micro Search Chrome Extension最多，有超過18萬使用者下載，此外，還有Custom Search Bar、yglSearch、Your Search Bar，分別感染超過4萬臺電腦。</p> <p>至於針對Edge的部分，則是名為Simple New Tab的套件占大多數，有超過10萬臺電腦受害。</p> </div></div></div>
2024/8/12 16:25作者周峻佑https://www.ithome.com.tw/news/164418
微軟揭露未來一年在臺雲端發展新策略，將聚焦三大重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日在一場活動會後記者會上揭露未來一年在臺雲端發展新策略將有三大重點，分別是資安、AI賦能以及以資安為基礎、數據為核心，AI平臺作為工具串聯開發者和產業運用。</p> <p>在這三大發展策略中，台灣微軟總經理卞志祥表示，資安將是未來在臺灣發展策略中最重要的一環，不只要強化被動防禦，還要在產品設計階段就主動將資安考量融入，涵蓋整個設計開發環境。</p> <p>而在AI賦能發展策略上，微軟將重點放在如何將生成式AI與現有的深度學習AI技術在全雲端環境中進行整合，同時打通雲端、邊緣端和終端設備（如AI PC），以建立完整的生態系統和技術平臺。</p> <p>微軟第三個發展策略是扮演整體雲端AI平臺運用與開發的角色。卞志祥表示，微軟將持續以資安為基礎、數據為核心，AI平臺作為工具，串聯整個開發者社群和各產業的應用，讓AI可以對每家企業產生實質影響。例如過去一年，微軟已在臺灣培育了5萬名AI人才，並已在超過20個產業中，合計300家企業實際導入生成式AI應用。</p> <p>卞志祥指出，目前臺灣百大企業中，已有超過7成採用微軟AI服務，涵蓋多個主要產業，包括製造、零售、金融、醫療教育以及電信等。</p> <p>在應用層面，不同行業的優先應用場景各有不同。舉例來說，製造業方面，企業主要將GenAI應用於廠區監視系統，利用多模態GenAI分析即時影像、圖片、入侵者偵測以及不合規行為，也有高科技製造業者結合GenAI與以往的深度學習演算法的監督型AI，對異常影像、機臺震動或聲音進行綜合分析，用於現場即時判斷和派工。</p> <p>不僅如此，在醫療領域，GenAI已經開始應用於護理系統，協助護理師更快理解病患的狀況並迅速作出處理。此外，GenAI還與醫療紀錄系統結合，可根據病患訪診記錄即時提供建議，甚至應用於病理系統中。在金融業GenAI的應用也有，包括快速分析投資報告，以便在市場變化時迅速反應並為投資者提供建議。許多零售或電商則將GenAI應用在精準行銷和以客戶為中心的使用者行為追蹤兩大場景。</p> <p>瞄準臺灣企業積極上雲的需求，微軟早在2020年就宣布將在臺灣設立Azure資料中心，這是微軟在臺31年來最大規模的投資，也是微軟Azure的第66座雲端資料中心。在過去四年中，微軟一直對這座資料中心的建置進度保密，不願透露相關細節。</p> <p>但在日前舉行的DevDays Asia 2024亞太技術年會上，數位發展部部長黃彥男透露，微軟臺灣資料中心現已開始提供服務。不過，微軟臺灣資料中心開始提供Azure服務和全面啟用是兩個不同階段。</p> <p>在會後一場記者會上，卞志祥進一步指出，臺灣微軟資料中心架構非常龐大且複雜，不僅僅是單一座資料中心，而是有多座組成，提供高容錯能力和區域hub等級的資料中心，如此一來，才能夠全方面提供所有產業的應用。</p> <p>台灣微軟首席營運長陳慧蓉則表示，基於客戶隱私的考量，無法透露臺灣微軟資料中心具體營運時間和客戶名單。她也說，不管是通過本地或全球的服務，目標都是要提供客戶最佳的解決方案。</p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/8/12 16:03作者余至浩https://www.ithome.com.tw/news/164417
Black Forest Labs開源圖像生成模型Flux
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創如雨後春筍般地出現，在8月1日正式發表的黑森林實驗室<a href="https://blackforestlabs.ai/announcing-black-forest-labs/" target="_blank">（BlackForestLabs）</a>，於同一天推出了文字生成圖像模型FLUX.1 ，並宣稱其Elo積分凌駕了Stable Diffusion 3 Ultra、Ideogram、Midjourney 6.0及DALL·E 3。</p> <p>BlackForestLabs<a href="https://blackforestlabs.ai/our-team/" target="_blank">共同創辦人</a>之一的Andreas Blattmann專精於潛在擴散（Latent Diffusion）技術，曾任職於Stability AI，迄今該團隊已開發了多款用來生成圖像及影片的模型，包括VQGAN（Vector Quantized Generative Adversarial Network）、潛在擴散及穩定擴散模型，以及支援快速與即時生成的對抗性擴散蒸餾（Adversarial Diffusion Distillation，ADD）技術。</p> <p>除了已具備強大的模型基礎之外，BlackForestLabs目前已完成3,100萬美元的種子融資，主要由美國科技創投Andreessen Horowitz 領投，再加上許多天使投資人。</p> <p>BlackForestLabs所打造的FLUX.1有3種版本，分別是FLUX.1 pro、FLUX.1 dev與FLUX.1 schnell，其中，FLUX.1 pro為商業版，可支援客製化企業解決方案，強調具備頂級的提示遵循、視覺品質、圖像細節及多元化的輸出。</p> <p>至於FLUX.1 dev及FLUX.1 schnell皆為開源版，前者以指導蒸餾技術進行最佳化，並開放權重，僅限非商業使用；後者則是個精簡模型，適用於本地開發與個人使用，採用Apache2.0 授權。</p> <p>所有FLUX.1模型都支援不同的畫面比例，以及自10萬到200萬畫素的解析度，儘管現在只支援文字生成圖像，但下一步就會進化到文字生成影像。使用者可透過不同的平臺<a href="https://blackforestlabs.ai/#get-flux" target="_blank">試用上述版本</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-black-forest-labs%20flux%20on%20github.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-black-forest-labs%20flux%20on%20hugging%20face.png" style="width: 600px;" /></p> <p>現階段市場上既有的文字生成圖像模型包括Stability AI的開源模型Stable Diffusion，OpenAI的DALL-E 3，DeepAI，Midjourney，Google Imagen，以及Artbreeder等。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub、Hugging face</span></span></p> </div></div></div>
2024/8/12 14:36作者陳曉莉https://www.ithome.com.tw/news/164415
AI趨勢周報第258期：OpenAI發布重磅新功能，結構化輸出解決LLM生成格式不符痛點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0802～0809)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 結構化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> JSON </span></strong></span></p> <p><span style="font-size: 22px;"><strong>OpenAI發布結構化輸出新功能，解決LLM生成格式不符問題</strong></span></p> <p>JSON是一種常見的JavaScript物件表示標準格式，也是目前大型語言模型（LLM）常見的應用案例，比如給定資料，要求LLM生成符合JSON格式的答案。但問題是，LLM容易給出格式不符的回答。</p> <p>為解決這個痛點，OpenAI在自家API中新添結構化輸出（Structured Outputs）功能，來確保模型生成的答案，完全符合開發者所需的JSON結構。OpenAI API提供兩種結構化輸出使用方式，一是功能呼叫，適用於所有支援工具的模型，二是開發者可在response_format參數中使用新的json_schema選項，這適用於模型不呼叫工具，而是以結構化方式回應用戶的情境。這項新功能可用來打造爬蟲等工具，透過功能呼叫抓取所需資料、從非結構化資料中擷取結構化資料，再根據這些資料來回答用戶問題，對資料處理情境非常有幫助。<a href="https://openai.com/index/introducing-structured-outputs-in-the-api/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-12%20145845.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">LangChain </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDE </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>LangChain推出新開發環境，簡化LLM代理管理</strong></span></p> <p>大型語言模型（LLM）開發框架LangChain最近推出LangGraph Studio，是一款用於建置和測試AI代理的整合開發環境（IDE），來簡化複雜的AI代理應用開發。這個工具建立在LangGraph框架上，提供代理視覺化功能，比如圖形化顯示代理架構、顯示節點和分支等。同時，LangGraph Studio也提供互動式開發功能，開發者可觀察代理的執行過程和每個步驟的詳細資訊，像是如何使用搜尋、生成答案，開發者也能對複雜的多代理系統除錯，比如在步驟間暫停、修改。LangGraph Studio目前為Beta版，註冊LangSmith帳號即可使用。<a href="https://blog.langchain.dev/langgraph-studio-the-first-agent-ide/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Stable Fast 3D </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3D模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Stability AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>從2D到3D只需0.5秒，Stability AI釋出Stable Fast 3D新模型</strong></span></p> <p>Stability AI最近發表一款新模型Stable Fast 3D，可將平面的圖片轉為3D模型，只需要不到0.5秒，就能快速生成完整、自然的3D模型。目前，Stable Fast 3D已在Hugging Face平臺上架，並以Stability AI社群授權釋出。</p> <p>這款模型有幾個特點，首先是生成的3D模型的顏色，會盡量減少光照影響的痕跡，意即在不同環境光照下，都能呈現正確的顏色。使用者還能選擇四邊形或三角形網格重建功能，來更細緻的控制模型網格拓撲結構。再來，和前代相比，單個模型推理時間從10分鐘縮短至0.5秒，再加上新模型架構調整，其生成的3D網格和材質更加細緻，還能產生UV展開網格，對後續材質貼圖和細節表現非常重要，進一步擴大應用範圍。<a href="https://stability.ai/news/introducing-stable-fast-3d">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/uT96UCBSBko?si=vMvw_tQRzfRL2s9v" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 行政院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 預算 </span></strong></span></p> <p><span style="font-size:22px;"><strong>行政院長揭臺灣AI產業發展3面向政策</strong></span></p> <p>日前，行政院人事行政總處、數位發展部與臺灣人工智慧學校共同舉辦部會副首長AI共識營，行政院院長卓榮泰參訪時表示，為建構臺灣AI產業健全發展的基礎環境，政府將從政策面、法規面和執行面三方面著手。</p> <p>在政策面部分，行政院經濟發展委員會已將AI人才培育列為議重要討論議題，除了在7月18日召開的首場會議提出國家人才競爭力躍升方案，也依據經濟部規畫，預計8年內為各產業訓練20萬名AI人才，並推動育才、留才、攬才策略，持續引進外國人才來臺、根留臺灣，與本國人才一同學習、培訓。在法規面，則有國科會於7月15日預告的《人工智慧基本法》，持續整合各界意見。在執行面部分，行政院去年核定臺灣AI行動計畫2.0，也在今年6月6日核定人事行政總處的提升行政院公務人員AI知能實施計畫，要提供基層到高階公務人員一系列的培訓課程，來培育種子人才。</p> <p>卓榮泰也表示，2025年中央政府總預算案已進入最後定案階段，明年度的科技預算大幅提升，增幅達14.9%，投入AI、太空與通訊及半導體領域的科技預算分別約100億元、100億元和170億元。此外也編列近220億元預算，來協助五大信賴產業發展，要將臺灣從AI科技製造大國，轉型成為AI運用與解決方案輸出國。<a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/3a2dd264-794e-4854-bf9c-99590edb5e8c">（詳全文）</a></p> <p><img alt="" src="https://www.ey.gov.tw/File/76F1F2CC16CF32C1?S=L" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位部 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI培訓 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公務員 </span></strong></span></p> <p><span style="font-size:22px;"><strong>數位部推動公部門AI培訓計畫</strong></span></p> <p>8月7日，數位部宣布啟動公部門AI培訓計畫，預估今年底培養至少700位具備AI基本技能的公務人員。即日起到年底，數位部將舉辦超過20場的公部門AI實戰工作坊，同時會提供線上AI學習資源，開放公務人員和一般民眾線上學習AI基本技能。</p> <p>數位部指出，公務人員掌握基本AI應用技能，是國家數位轉型的關鍵，因此策畫一系列AI實戰工作坊，內容涵蓋AI基礎知識、核心演算法、應用實例、實機操作等層面，要提高不同單位、職級公務人員具備AI基本技能。同時，數位部也會和人事行政總處合作，針對公部門資訊人員、主管、機關首長，提供相關的AI培訓課程，不只是基層公務人員，讓資訊單位、主管、首長也具備合適的AI知識或技能。<a href="https://moda.gov.tw/press/press-releases/13258">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepMind </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 桌球 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 控制器 </span></strong></span></p> <p><span style="font-size:22px;"><strong>和業餘人類選手一樣強，DeepMind揭桌球機器人</strong></span></p> <p>Google DeepMind打造一款桌球機器人，具備業餘人類桌球選手的水準，程度勝過初學者，與中階選手對打也有55%的勝率。進一步來說，在現實世界任務中，達到人類水準的速度和表現，一直是機器人研究的指標，桌球也不例外。</p> <p>為挑戰這個題目，DeepMind研究員組隊，想設計出可與真人對打的桌球機器人。他們提出4大方法，首先是階級式和模組化的策略架構，由低階控制器和高階控制器組成，其中，低階控制器的技能描述器能對代理能力建模，也能橋接模擬環境與真實世界的落差，而高階控制器可用來選擇低階的技能。第二個方法是，將在模擬環境中學習到的內容，直接應用到現實；三是可即時適應陌生對手的能力。最後則是在真實世界中，與陌生的人類對手對打。這個桌球機器人可正手、反手打球，也能連續擊球、打到不同的位置，還能適應不同的球風。在29場與人類對手的比賽中，機器人勝率為45%，但若以程度區分，機器人完全打不贏高手，但贏了所有的初學者和部分中等程度的玩家。<a href="https://sites.google.com/view/competitive-robot-table-tennis">（詳全文）</a></p> <p><img alt="" src="https://lh4.googleusercontent.com/0FwJ5T3ES2NI14n2Dm6yEZA7sl3xrMHzJMNkvo6KUepaI_zSyAZI8zvG_1683zvHDFHpceSMFXPdTmPdfRq6TXnMaC2Itzxu-TGAWNoYinMsTH-HeZop6PBSEqWLuRZi8Q=w1280" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片分割 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SAM 2 </span></strong></span></p> <p><span style="font-size:22px;"><strong>突破影片物件分割難題，Meta釋出影片分割模型SAM 2</strong></span></p> <p>繼今年4月發表圖像物件分割AI模型Segment Anything Model後，Meta前陣子又釋出第二代分割模型Segment Anything Model 2（簡稱SAM 2），將分割物件的能力從圖像延伸到影片。也就是說，SAM 2可分割圖像和影片中的任何物件，還能即時在影片中的所有畫面追蹤該物件。要成功分割影片中的物件，難度很高，除了要了解實體在空間與時間中的位置，影片中的物件還可能因移動、變形、遮擋、照明變化或其它因素，在不同畫面間發生大變化，且影片品質通常低於圖像，難度又更高了。</p> <p>為克服這些困難，Meta建立一套影片物件分割資料集（SA-V Dataset），包含5.1萬個真實世界的影片，以及超過60萬個時空掩碼（Masklet），這些掩碼標註了物件在畫面中出現的時間點與位置，是目前最大的影片分割資料集。他們以這個資料集來訓練模型，經測試，SAM 2在17個零樣本影片資料集的互動式影片分割，明顯優於現有模型，且所需的人機互動次數減少了3倍左右。Meta指出，可同時分割圖像物件和影片物件的SAM 2，可用於自駕系統，來追蹤瀕臨絕種的動物，或應用於腹腔攝影鏡頭上來改善醫學檢查。SAM 2模型程式碼和權重已開源，資料集也CC BY 4.0授權開源。<a href="https://ai.meta.com/sam2/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-12%20150404.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini學院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google在臺深耕18年，下半年要將AI人才培訓擴大公部門</strong></span></p> <p>Google在臺經營邁入18年，Google臺灣總經理林雅芳盤點，自2018年，Google開始推動智慧臺灣計畫和各種倡議，來加速臺灣AI發展，同時也投資硬體基礎建設，如打造美國總部外最大的硬體研發基地、設置Google資料中心，甚至還有正在興建的3條海底纜線，預計在2026年降低臺灣網路使用者的上網延遲率、增加三分之一頻寬。</p> <p>不只是硬體，Google也在臺灣展開不少AI計畫，比如與長庚醫院開發乳癌早期檢測工具，也與中醫大附醫打造AI輔助醫師，今年6月也與健保署聯手，要用MedLM打造第二型糖尿病併發症風險。同時，Google也自2018年開始推動AI人才培育計畫，今年進一步推出AI全民通識課和Gemini學院，尤其已有1,500名中小學老師完成後者的培訓，下半年則要擴大到公務體系。</p> <p>至於開發者部分，Google也在今年於臺灣新添1位機器學習Google開發者專家（目前共3位），今年也培育了60多位AI開發技術社群領袖、訓練1,600位開發者投入生成式AI。另一方面，Google臺灣預計今年底再添11項研究專案資助計畫，來擴大學界合作，其中8項鎖定大型語言模型、機器學習，也計畫邀請學者擔任Google臺灣駐點科學家。<a href="https://taiwan.googleblog.com/2024/07/AI-Opportunity.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 人型機器人 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Figure 02 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>改進手部設計更靈活，最新人型機器人Figure 02亮相</strong></span></p> <p>專攻人型機器人的Figure Robotics揭露最新人型機器人Figure 02，高約168公分、重70公斤，續航時間為5小時、前進速度是每秒1.2公尺。與第一代相比，Figure 02外觀上更簡約美觀，其AI運算推理能力也提升了3倍，搭配6個RGB攝影機和內建的視覺語言模型（VLM），可更快感知周遭環境、做出決策。</p> <p>此外，該機器人也配置了麥克風和喇叭，可與人進行語音對話。這部分使用了與OpenAI聯手開發的AI模型，專門讓機器人有效理解和回應語音指令。另一方面，Figure 02改善了手部設計，為雙手大拇指新添1個自由度，共達到16個自由度，可承重20公斤、能更靈活執行多種任務。目前，該機器人已於BMW工廠內試運行。<a href="https://www.youtube.com/watch?v=0SRVJaOg9Co">（詳全文）</a></p> <p><img alt="" src="https://images.ctfassets.net/qx5k8y1u9drj/2oUM07hyEapemJNxfn3CKu/66915363ca119cfa05985d58614e968d/videa_carousell_image.jpg?fm=webp&w=1920&q=70" style="width: 736px; height: 590px;" /></p> <p>圖片來源／OpenAI、行政院、Google DeepMind、Meta、Figure Robotics</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 史丹佛大學AI實驗室打造alphaXiv公開討論平臺，可針對arXiv論文討論</strong></p> <p><strong>2. OpenAI悄悄釋出GPT-4o更新，發布新版模型GPT-4o-2024-08-06</strong></p> <p>資料來源：iThome整理，2024年8月</p> </div></div></div>
2024/8/12 15:14作者王若樸https://www.ithome.com.tw/news/164416
研究人員揭露AMD晶片的Sinkclose漏洞，存在近20年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者 IOActive的兩名安全研究人員Enrique Nissim與Krzysztof Okupski在上周舉行的Defcon駭客會議上，<a href="https://info.defcon.org/event/?id=54863" target="_blank">揭露了一個存在於AMD晶片的安全漏洞</a>，被研究人員命名為Sinkclose的漏洞將允許駭客於系統管理模式（System Management Mode，SMM）執行程式碼，而且已存在近20年。Sinkclose的漏洞編號為CVE-2023-31315，<a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7014.html" target="_blank">波及絕大多數的AMD處理器</a>，從行動處理器、桌面處理器、工作站處理器到資料中心處理器等，估計影響數億臺裝置。</p> <p>根據AMD的簡要說明，CVE-2023-31315漏洞存在於模型特定暫存器（Model Specific Register，MSR）的驗證不當，允許具備Ring 0存取權限的惡意程式，即便是在系統管理中斷（System Management Interrupt，SMI）上鎖時，都能修改SMM配置，因而可執行任意程式。</p> <p>至於Nissim與Okupski則說，SMM為x86架構最強大的執行模式之一，該層級的程式碼對於Hypervisor及作業系統等級的保護機制而言是不可見的，包括反欺騙引擎及反病毒系統；在研究AMD處理器時，他們發現用來保護SMM的一個重要元件含有缺陷，而且快20年了都沒有被發現。</p> <p>即使研究人員並未公布詳細的漏洞細節，也承諾尚不會釋出概念性驗證攻擊程式，<a href="https://www.wired.com/story/amd-chip-sinkclose-flaw/" target="_blank">但他們向Wired透露</a>，此一漏洞最早可追溯到2006年甚至更早之前的AMD晶片，但駭客必須先可存取AMD的PC或伺服器，之後擴張其權限，進而於晶片上植入無法受到系統或防毒軟體偵測或保護的惡意程式，就算是重新安裝作業系統也無濟於事。</p> <p>這個意思就是，倘若使用者的AMD處理器已被駭客入侵，唯一的解法就是將它丟掉，沒有其它的修補方法。</p> <p>不過，不管是IOActive或AMD都認為要攻陷CVE-2023-31315漏洞並不容易。</p> <p>AMD已於上周修補了大多數的處理器，但並不打算修補AMD Ryzen 3000 Series桌面處理器，使得<a href="https://community.amd.com/t5/processors/no-fix-for-new-sinkclose-exploit-on-3000-series-cpus/m-p/701290" target="_blank">有用戶抱怨</a>，3000系列是在2019年及2020年推出，它們存在還不到5年，還有很多人在使用，也依然強大，呼籲AMD應該要重視這些用戶。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0812-CVE-2023-31315-AMD%E5%AE%98%E7%B6%B2%E7%B4%80%E9%8C%84.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-AMD%20Ryzen%203000%20Series%20Desktop%20Processors-CVE-2023-31315-No%20fix%20planned.png" style="width: 600px;" /></a></p> </div></div></div>
2024/8/12 12:03作者陳曉莉https://www.ithome.com.tw/news/164412
Office尚無更新版的漏洞可能導致敏感資料外洩，多個版本受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38200" target="_blank">微軟上周警告</a>Office有一漏洞可能導致敏感資訊如NTLM驗證資料洩露給駭客，影響雲端與桌機版本Office，微軟預定在本周二（臺灣時間周三）釋出Office安全更新，但表示用戶暫無安全風險。</p> <p>編號CVE-2024-38200是由PrivSec Consulting研究人員Jim Rush及獨立研究人員Metin Yunus Kandemir發現，為一欺騙攻擊（spoofing vulnerability）漏洞，CVSS 風險值7.5 ，可造成敏感資訊洩露給未經授權的攻擊者。影響產品包括Office LTSC 2021、Office 2019、2016的64-bit和32-bit版本、與Microsoft 365 for Enterprise 32-bit、64-bit。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38200" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-Microsoft%20Office-CVE-2024-38200.png" style="width: 600px;" /></a></p> <p>微軟說明本漏洞的攻擊手法。在Web攻擊情境中，攻擊者中可能設立惡意網頁或濫用被駭網站代管惡意檔案，以便濫用該漏洞。攻擊者必須利用社交工程，像是郵件或即時通訊等手法誘使用戶點擊連結，並說服他們開啟惡意檔案。</p> <p>微軟並未描述Office何以出現漏洞，也未說明可能洩露的敏感資訊為何。但根據微軟提供的暫時性防禦方法，顯示可能曝光的是NTLM雜湊。該防禦方法說，配置「網路安全：限制NTLM：NTLM流量外流至遠端伺服器」政策，可設定防堵或稽核所有試圖從Windows Server 2008、Server 2008 R2等以上版本，經過NTLM驗證連向遠端Windows伺服器的行為。</p> <p>目前這漏洞是還沒有修補程式的，微軟預定在8月13日的安全更新（臺灣時間8月14日）修補本漏洞。但微軟說明，微軟在7月30日的Feature Flighting，已經包含了一個可提供防護的另一修補程式。Feature Flighting是以Feature Flags方式，在微軟控制下逐步部署軟體功能給用戶端的更新方法，涵括Office或Windows功能或安全更新。微軟說，所有有效版本的Office、Microsoft 365用戶都已獲得防護了，只是用戶到時還是必須升級到8/13/2024更新版以獲得最終版修補。</p> <p>在更新軟體到來之前，其他防護方法包括將用戶加入到「防護用戶的安全群組」，防止使用NTLM作為驗證機制。其次設定防火牆或VPN，封鎖TCP 445/SMB傳輸埠的向外流量，以防NTML驗證資訊送到外部檔案共享伺服器。</p> </div></div></div>
2024/8/12 10:47作者林妍溱https://www.ithome.com.tw/news/164409
Windows 3D版小畫家可能將在11月4日除役
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一度用來取代小畫家的3D版小畫家（Paint 3D），在不受用戶青睞8年後，微軟預計將在11月除役。</p> <p>媒體Windows Latest在Beta頻道的Windows 11更新<a href="https://www.windowslatest.com/2024/08/10/microsoft-is-killing-off-paint-3d-after-trying-and-failing-to-replace-classic-paint-on-windows-11-10/" target="_blank">發現</a>，開啟3D版小畫家時會顯示微軟公告，說明這個繪圖軟體將從11月4日起從Microsoft Store移除，未來亦不會再提供更新。</p> <p>3D版小畫家是微軟於2016年2月推出，並包含在2017年Windows 10 Fall Creators Update更新中成為內建應用程式。微軟預計3D版小畫家永久取代經典版小畫家（Paint）；微軟一開始於2017年宣布終止小畫家，但在用戶強烈要求下，<a href="https://www.ithome.com.tw/news/115779" target="_blank">同意</a>開放小畫家在Microsoft Store（原名Windows Store）供免費下載。</p> <p>雖然微軟為新版小畫家加入功能，又與Windows緊密整合，但並不受歡迎。在檔案總管中，微軟將之與桌面、相片、文件等重要應用的捷徑並列，也整合在（按右鍵出現的）情境選單中。你也無法利用「解除安裝」功能移除。</p> <p>2018年微軟終於退讓，允許用戶從Windows 10 19H1從開始選單中<a href="https://www.ithome.com.tw/news/126506" target="_blank">移除</a>3D版小畫家等自有應用，2021年的Windows 10 21H2中，又允許用戶從情境選單<a href="https://www.windowslatest.com/2021/04/18/microsoft-is-slowly-giving-up-on-paint-3d-apps-integration-in-windows-10/" target="_blank">移除</a>「以小畫家3D編輯」的選項。2個月後微軟<a href="https://www.ithome.com.tw/news/145251" target="_blank">宣布</a>全新電腦或全新安裝（clean install）的Windows 11不會安裝包含3D版小畫家、Skype等應用程式，但想要用的使用者仍然可以從Microsoft Store上下載。因此，這次宣布，將完全切斷3D版小畫家的下載入口。</p> <p>這次除役，讓3D版小畫家加入Cortana、OneNote、Skype、天氣、3D列印、接龍遊戲、剪取與繪圖、郵件、行事曆、便利貼等，真正成為歷史的一部分。</p> </div></div></div>
2024/8/12 11:05作者林妍溱https://www.ithome.com.tw/news/164410
Snowflake正式開放跨區域AI推論功能，從AWS平臺著手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI分析雲端服務商Snowflake<a href="https://medium.com/snowflake/announcing-cross-region-inference-on-snowflake-cortex-ai-ab3baed935ce" target="_blank">宣布</a>其Cortex AI服務套件啟用跨區域推論功能，以滿足某些區域沒有可用推論服務的用戶需求，本功能最先從Amazon Web Services（AWS）開始部署。</p> <p>隨著更強大的大語言模型（LLM）出現，讓生成式AI服務快速增長。但有些用戶區域並沒有那麼快部署模型，限制了應用開發速度。Snowflake 的Cortex AI的跨區域推論已從測試版正式上線，讓用戶透過簡單設定，即可存取不同雲端區域上偏好的LLM。</p> <p>這新功能可提升Snowflake Cortex LLM以及使用該LLM的功能，像是Snowflake Copilot和Cortex Analyst的用處。Cortex Analyst為Snowflake 6月份新<a href="https://www.snowflake.com/blog/cortex-ai-advances-enterprise-ai-no-code-development/" target="_blank">宣布</a>的服務，讓企業用戶可運用儲存在Snowflake上的分析資料，以無程式碼方式開發資料導向的AI助理應用，即將以公測版上線。</p> <p><a href="https://docs.snowflake.com/en/guides-overview-ai-features" target="_blank">Snowflake Cortex</a>是一組使用LLM模型的AI功能，提供理解非結構化資料、回應自由提問，以及提供智慧輔助等AI服務。Cortex在三大雲端平臺，包括AWS、Azure、與Google Cloud Platform（GCP）上都有代管服務。不過現在支援跨區域推論的，只有AWS。如果用戶在Azure或GCP上設定上述參數，呼叫就會導向AWS。</p> <p>跨區域功能是預設關閉的，用戶須自行設定開啟。只要透過管理員用戶帳號，在帳號層級（account-level）設定參數CORTEX_ENABLED_CROSS_REGION，即可配置想執行推論的區域。可以選擇區域的參數值有三：AWS_US、AWS_EU和AWS_APJ。（配置方法如ALTER ACCOUNT SET CORTEX_ENABLED_CROSS_REGION = ‘AWS_US’;）用戶選定三大區域之一後， Cortex AI會自動選擇細部區域，例如AWS_US中可能分配到AWS us-east-1或us-west-2。</p> <p>Snowflake表示日後會持續將這功能推向Azure、GCP等其他平臺上。</p> </div></div></div>
2024/8/12 11:15作者林妍溱https://www.ithome.com.tw/news/164411
提升網路資安防護力，Fortinet系統平臺2024年度大改版
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/fortios_7.6-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年4月Fortinet年度用戶大會期間，他們宣布網路防火牆搭配的作業系統FortiOS，將推出7.6版，強調這是唯一融合網路、安全防護、資安織網（Security Fabric）三大領域更新功能的作業系統，可提供新的生成式AI、資料防護、代管服務，以及單一代理程式（unified agent）等多種特色，協助用戶以更理想的方式緩解風險、降低複雜度，以及實現卓越的使用者體驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-06-FortiOS 7_6 創新與增強的功能.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-FortiOS%207_6%20%E5%89%B5%E6%96%B0%E8%88%87%E5%A2%9E%E5%BC%B7%E7%9A%84%E5%8A%9F%E8%83%BD.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/FortiOS 7_6-2024-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FortiOS%207_6-2024-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FortiOS 7_6-2024-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FortiOS%207_6-2024-1.jpg" style="width: 600px;" /></a></p> <p>而在兩個月前舉行的Fortinet Accelerate 2024臺灣站巡迴研討會，這個資安平臺的重大改版就是他們第一場宣講的議題，到了6月中之後，新版終於正式出爐，Fortinet後續也完整公布各種相關文件，像是改版注意事項、管理者指南、參考手冊。FortiOS上一次發布重大改版是2023年5月，當時的版本是7.4。</p> <p>根據FortiOS 7.6正式版文件來看，<a href="https://docs.fortinet.com/document/fortigate/7.6.0/new-features/770045/overview">Fortinet總共列出13個類別、120項新增或改良特色</a>。以資安防護方面而言，新版在應用程式控管機制當中，增設<a href="https://docs.fortinet.com/document/fortigate/7.6.0/new-features/639769/introducing-domain-fronting-protection">網域前緣防護（Domain fronting protection）功能</a>，可同時在代理伺服器與基於代理伺服器的防火牆政策運用。透過這項機制，FortiGate能在HTTP標頭比對連線請求的網域是否符合主機的網域，再藉此允許、阻擋或監督網路流量，預防網域不匹配狀況而導致的非法存取行為。</p> <p>在防毒過濾的部分，<a href="https://www.fortinet.com/lat/corporate/about-us/newsroom/press-releases/2018/third-generation-network-security">2018年3月發表的FortiOS 6.0開始提供內容撤除與重建服務（CDR）</a>，預設掃描PDF檔案與Office檔案，FortiOS 7.4提供用戶決定個別啟用PDF檔案掃描與Office檔案掃描的選項，而且Office檔案掃描的類型不只是Microsoft Office檔案，也額外涵蓋OpenOffice檔案、RTF檔案、XLSB檔案。到了最新推出的FortiOS 7.6，Fortinet對於Office檔案掃描的類型，也涵蓋到Microsoft OneNote檔案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FortiOS 7_6-Content Disarm and Reconstruction (CDR) of Microsoft OneNote files.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FortiOS%207_6-Content%20Disarm%20and%20Reconstruction%20(CDR)%20of%20Microsoft%20OneNote%20files.jpg" style="width: 600px;" /></a></p> <p>關於防毒處理的模式上，FortiOS也有改良，例如，原本能夠提供兩種：基於流向（flow-based）、基於代理伺服器（proxy-based），先前提供<a href="https://docs.fortinet.com/document/fortigate/6.4.8/administration-guide/872942/proxy-mode-stream-based-scanning">代理模式的串流掃描（Proxy mode stream-based scanning）</a>，7.6版開始提供<a href="https://docs.fortinet.com/document/fortigate/7.6.0/administration-guide/164602/flow-mode-stream-based-scanning-new">流向模式的串流掃描（Flow mode stream-based scanning）</a>，Fortinet表示，在流量模式搭配AV engine 7.0（7.00030）的狀態下，FortiOS可自動採用串流防毒掃描技術比對HTML與JavaScript，AV engine能決定必要的暫存檔案數量大小，並在特定的執行個體當中掃描這些局部的暫存內容，而不需要暫存整個檔案，能有效改善記憶體用量。若遇到串流掃描無法支援的檔案類型與組態，會改用傳統掃描模式。</p> <p>FortiOS長期提供的資料外洩預防（DLP），也在<a href="https://docs.fortinet.com/document/fortigate/7.6.0/new-features/559168/fortiguard-managed-dlp-dictionaries">7.6版增加新特色</a>。針對取下FortiGuard提供的 DLP特徵套件之後的處理，提供高、中、低這3種信心等級的選項，企業能在指定不同的DLP字典時，搭配所需的信心等級——若選高級，可提供最精準、最低程度的誤判；選中級，能平衡處理數量與精準度；選低級，可列出所有符合條件的狀況，但可能導致較高的誤判。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FortiOS 7_6-DLP1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FortiOS%207_6-DLP1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/FortiOS 7_6-DLP2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FortiOS%207_6-DLP2.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Fortinet FortiOS 7.6</strong><br /> ●原廠：Fortinet<br /> ●建議售價：廠商未提供<br /> ●版號：7.6.0 build 3401<br /> ●適用機型：FortiGate、FortiWiFi、FortiGate Rugged、FortiFirewall、FortiGate VM<br /> ●資安防護引擎版本：AV Engine 7.00030，IPS Engine 7.01014<br /> ●安全織網配合的產品與版本：FortiAnalyzer 7.6.0、FortiManager 7.6.0、FortiExtender 7.4.0以後版本、FortiSwitch OS 6.4.6 build 0470以後版本、FortiAP 7.2.2以後版本、FortiAP-U 6.2.5以後版本、FortiAP-W2 7.2.2以後版本、FortiClient EMS 7.0.3 build 0229以後版本、FortiClient 7.0.2或7.0.3以後版本、FortiSandbox 2.3.3與4.2.0<br /> ●虛擬化環境支援：Citrix Hypervisor 8.2 Express Edition, CU1、Linux KVM（Ubuntu 22.04.3 LTS、Red Hat Enterprise Linux release 8.4、SUSE Linux Enterprise Server 12 SP3 release 12.3）、Microsoft（Windows Server 2019、Hyper-V Server 2019）、XenServer 3.4.3與4.1以後版本、VMware ESXi 6.5/6.7/7.0/8.0</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/11 11:57作者李宗翰https://www.ithome.com.tw/review/164355
Apple調整歐盟DMA新規措施，仍遭Epic Games執行長猛烈批評
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了符合歐盟的《數位市場法》（Digital Markets Act，DMA），Apple在一月的時候公開一系列因應措施，包括引入新的收費結構，對使用替代App Store的開發商，收取以使用者為基數的核心技術費（Core Technology Fee），並對使用替代支付工具的交易抽取傭金。Apple新措施引來開發商激烈批評，他們認為Apple沒有誠意符合《數位市場法》的精神。</p> <p>歐盟執委會（European Commission，EC）在3月的時候對Apple等公司啟動調查，而在6月的時候調查結果出爐，歐盟執委會認定Apple違反《數位市場法》，因為Apple並未在App Store提供任何商業條款，允許開發者自由引導消費者採取更便宜的選擇，反而是限制開發者不得在應用程式提供價格資訊，也沒有提供開發者能推廣優惠的購買途徑。</p> <p>另外，雖然Apple允許開發者向使用者提供外部連結，但是對其進行諸多限制，Apple要求應用程式中的外部連結必須為靜態連結，也就是說URL必須為固定的，無法根據用戶的不同而變化，連結也需要直接指向開發者的網站和頁面，且不能包含任何參數，這大幅限制開發者追蹤或是客製化用戶體驗的自由。歐盟執委會同時也認為，Apple針對替代App Store和支付工具的收費超過合理範圍。</p> <p>Apple一月所公開因應《數位市場法》的措施，會向選擇使用替代App Store的開發者，收取每位用戶0.5歐元的核心技術費（Core Technology Fee），而使用替代的支付方法，則Apple會向開發者抽取17%的佣金，包括應用程式內的導購。</p> <p>回應歐盟執委會的意見和巨額罰款壓力，Apple<a href="https://developer.apple.com/support/dma-and-apps-in-the-eu/#payment-options">再次調整規範</a>。在收費結構方面，Apple仍然保留核心技術費用，要求每年超過一百萬次首次安裝的應用程式開發者，對每個首次安裝支付0.5歐元的費用，Apple強調，他們評估核心技術費用只有少於1％的開發者需要支付。</p> <p>只不過開發者現在可以在應用程式中，自由推廣和引導用戶至外部網站進行購買，<a href="https://developer.apple.com/support/alternative-payment-options-on-the-app-store-in-the-eu/">Apple</a>也還是會對使用替代支付工具收取傭金，和外部購買的交易收取5%的初次獲客費，以及視情況收取5％到20％不等的商店服務費用。</p> <p>在歐盟擁有1億Apple用戶的Spotify，一月的時候就曾猛烈抨擊Apple在歐盟地區新設置的核心技術費，該收費結構將使他們客戶獲取成本10倍飆漲，迫使開發者維持現階段的方案。而Epic Games執行長Tim Sweeney這次也持續<a href="https://x.com/TimSweeneyEpic/status/1821594291602649143">猛烈批評</a>Apple的新方案，認為Apple對轉向替代App Store的開發者收取15％非法費用，他認為這些條款使開發者無法在具有經濟效益的情況下，同時在Apple App Store和替代App Store中發布應用，阻礙新進App Store的競爭和成長。</p> </div></div></div>
2024/8/10 04:30作者李建興https://www.ithome.com.tw/news/164404
科技業者資料庫配置不當，導致美國460萬選民資料曝露網上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VPN評比公司Vpnmentor的資安研究人員Jeremiah Fowler，近期<a href="https://www.vpnmentor.com/news/report-election-records-breach/">發現</a>美國伊利諾州部分郡的選民和選舉資料庫未受密碼保護，包括投票登記、選票模板和個人資料相關的大量檔案出現在網際網路上，Jeremiah Fowler在經過調查之後，發現這些資料庫由一家名為Platinum Technology Resource的公司管理，目前他已經通知相關單位處理。</p> <p>Jeremiah Fowler進一步分析，發現伊利諾州13個郡有選舉資料洩漏的情況，這些資料庫均未使用密碼保護直接對外公開，共有460萬選民資料，另外，他還發現了15個雖有設置密碼，但是存在潛在安全風險的資料庫，這些資料庫暴露了儲存選民或是選舉檔案的路徑，可能成為攻擊者的目標。</p> <p>雖然Jeremiah Fowler在第一時間通知負責的公司Platinum Technology Resource，但是該公司並未立即處理，因此Jeremiah Fowler轉為聯絡技術支援公司Magenium，Magenium在確認之後立即限制這些資料庫公開存取權限。不過目前不清楚這些選舉資料庫對外公開已有多久時間，需要經過內部數位鑑識之後，才能確定是否存在可疑存取或是資料洩漏的狀況。</p> <p>這個事件之所以值得關注，重點在於涉及選民與選舉資料的洩漏，不僅威脅個人隱私安全，也可能對選舉的完整性，包括公正性、透明性和可信度造成影響。Jeremiah Fowler認為要避免類似事件再次發生，組織應該採用更複雜，且不易猜測的資料庫名稱格式，並且強化存取控制措施保護敏感資料，同時也需要定期進行安全稽核和風險評估，確保資料庫安全性。</p> </div></div></div>
2024/8/10 04:32作者李建興https://www.ithome.com.tw/news/164405
OpenAI悄悄釋出GPT-4o更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI上周悄悄釋出多模態模型GPT-4o的更新版，宣稱提升開發速度、效能更高、價格更便宜。</p> <p>有別於5月的盛大公布，名為GPT-4o-2024-08-06的GPT-4o最新版本是被<a href="https://www.tomsguide.com/ai/chatgpt/did-openai-just-give-chatgpt-a-secret-update-ive-found-it-faster-more-responsive-and-more-creative" target="_blank">媒體</a>發現，以及在非官方通路如<a href="https://azure.microsoft.com/en-us/blog/announcing-a-new-openai-feature-for-developers-on-azure/" target="_blank">Azure</a>上公布。</p> <p>OpenAI說明，GPT-4o-2024-08-06更新重點之一在簡化GPT-4o及GPT-4o mini模型的結構化輸出（structured output）的過程，允許開發人員指明希望從AI模型直接輸出的格式，產生的資料可無縫合到其他系統，這對過去得花時間驗證和格式化AI輸出的開發人員特別有用，有助於提升生產力。此外，OpenAI也宣稱改善了模型回應速度。<a href="https://www.tomsguide.com/ai/chatgpt/did-openai-just-give-chatgpt-a-secret-update-ive-found-it-faster-more-responsive-and-more-creative" target="_blank">媒體測試</a>過後，發現除了前端表現提升，後端基礎架構可能也經過強化，支援更長的輸出，並提升了系統整體回應效能。媒體相信，這是在Anthropic等新創公司競爭下，OpenAI不得不提升ChatGPT的品質。</p> <p>OpenAI同時<a href="https://openai.com/api/pricing/" target="_blank">下調</a>了更新版GPT-4o的API存取價格。每100萬輸入、輸出token為2.5美元與10美元。由Batch API存取時，同樣輸入/輸出單位價格為1.25美元和5美元，都比GPT-4o低25%到50%。</p> <p>新版模型似乎也某程度部署到免費版ChatGPT上。但是不確定效能是否和付費版一樣好；雖然有人認為其程式撰寫及創作能力更佳，但也有多名用戶<a href="https://community.openai.com/t/im-going-to-be-honest-here-since-the-release-of-the-gpt-[…]tic-my-gpt-responses-are-not-what-they-used-to-be/886938/4" target="_blank">抱怨</a>GPT-4o理解問題能力不足，回答也錯誤百出。</p> <p>OpenAI選擇低調公布這次更新，原因可能和近日高層人事大地震有關。繼5月間共同創辦人之一的<a href="https://www.ithome.com.tw/news/162887" target="_blank">Ilya Sutskever</a>及AI倫理主持人Jan Leike離去後，本周另一名共同創辦人<a href="https://www.ithome.com.tw/news/164311" target="_blank">John Schulman</a>跳槽競爭對手Anthropic，而曾和執行長Sam Altman共進退的技術長Greg Brockman也請休長假，可能是離職前兆。</p> </div></div></div>
2024/8/10 04:19作者林妍溱https://www.ithome.com.tw/news/164406
【資安日報】8月9日，資安業者公布6起濫用雲端服務的後門程式攻擊行動，並指出有臺灣組織受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們昨天報導有研究人員在國際資安大型會議Black Hat USA 2024公布藉由視窗作業系統更新機制「降級」的攻擊手法，這次也有研究人員公布對於特定威脅態勢的觀察，指出這種攻擊手法現在不僅變得非常頻繁，而且，還變得更加刁鑽。</p> <p>這項威脅態勢，就是駭客濫用雲端服務來掩蓋非法行動的情況。在針對臺灣、香港、越南組織的攻擊行動裡，後門程式Grager存取充當C2的OneDrive帳號手法相當特別。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164395"><strong style="font-size: 22px;">研究人員揭露合法雲端服務被用於散布後門程式的態勢日趨複雜，臺灣也有組織遇害</strong></a></p> <p>資安業者賽門鐵克指出，由於攻擊者希望避免引人注目並降低維護基礎設施的成本，他們發現有越來越多駭客加入濫用雲端服務的行列，並開發更多用於這類攻擊的作案工具。研究人員在黑帽大會的議程上，公布相關調查結果。</p> <p>在這些攻擊行動裡，我們認為名為Grager的後門程式最值得留意，原因是這起資安事故的攻擊目標涵蓋臺灣。研究人員在今年4月，看到中國駭客組織UNC5330針對臺灣、香港、越南的企業組織，部署這支後門程式。</p> <p>駭客究竟如何尋找攻擊目標，研究人員並未說明，但他們提及惡意檔案來自冒牌的7-Zip網站，一旦使用者依照指示進行下載、安裝MSI檔，電腦就會在部署此壓縮軟體的過程，一併將惡意程式載入工具Tonerjam植入，並用來解密、執行後門程式Grager。而這支後門程式啟動時，會解密用戶端ID（client_id）並根據儲存體（Blob）更新存取OneDrive的憑證（Token），從而與駭客控制的OneDrive帳號連線。</p> <p><a href="https://www.ithome.com.tw/news/164388"><strong style="font-size: 22px;">6月WhatsUp Gold修補漏洞，8月初駭客攻擊行動開始現蹤</strong></a></p> <p>今年6月Progress針對網路監控系統WhatsUp Gold發布更新，當中修補重大層級的漏洞CVE-2024-4883、CVE-2024-4884、CVE-2024-4885（CVSS風險評分皆達到9.8），攻擊者能在未經授權的情況下，利用這些漏洞遠端執行任意程式碼（RCE），如今有研究人員提出警告，部分漏洞已出現實際攻擊行動。</p> <p>Shadowserver基金會提出警告，他們自8月1日看到來自6個IP位址的攻擊行動，駭客利用CVE-2024-4885，企圖存取WhatsUp Gold系統的/NmAPI/RecurringReport。</p> <p>研究人員特別提到，由於這項漏洞的概念性驗證程式碼（PoC）已被公開，駭客無需自行從頭拆解，就能快速將漏洞用於攻擊行動，IT人員應盡快套用相關更新。目前而言，Shadowserver基金會與該組織的全球漏洞濫用儀表板，都尚未公布目前曝險的系統數量。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.oligo.security/blog/0-0-0-0-day-exploiting-localhost-apis-from-the-browser"><strong style="font-size: 20px;">瀏覽器存在長達18年的漏洞被用於攻擊行動，Chrome、Firefox、Safari都中招</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.menlosecurity.com/blog/google-drawings-and-whatsapp-zero-hour-open-redirection-phish-exposed">駭客濫用Google Drawing和WhatsApp功能從事網釣攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/application-security/how-to-weaponize-microsoft-copilot-for-cyberattackers">研究人員公布駭客如何將人工智慧機器人Copilot變成武器</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.vpnmentor.com/news/report-election-records-breach/">460萬美國選民資料曝露，起因是科技業者伺服器配置不當</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164396"><strong style="font-size: 22px;">系統背景自動產生的影子資源恐出現弱點！研究人員揭AWS服務存在Bucket Monopoly、Shadow Resources漏洞</strong></a></p> <p>資安業者Aqua Security的研究人員於今年2月，找到6個AWS重大層級的漏洞，並指出這些漏洞可讓攻擊者破壞所有帳號，有可能導致帳號遭到接管，或是遠端執行任意程式碼、資料外洩、曝露義感資料、引發服務中斷的情形。對此，AWS獲報後進行相關驗證，並自3月至6月逐步完成修補。研究人員也在黑帽大會上公布相關的調查結果。</p> <p>這些漏洞主要偏重於「影子資源」的層面，這類資源的來源，是使用者在進行AWS服務的相關設定過程裡，由系統在背景自動產生的資源，因此這類資源的運作狀態，一般使用者往往不會特別留意。</p> <p>其中一個漏洞被稱做Bucket Monopoly，起因是S3儲存桶使用了容易被猜到的AWS帳號ID，由於這個ID原本不被視為敏感資料，而讓攻擊者有機可乘。另一個研究人員公布的弱點被稱為Shadow Resources，攻擊者可在使用者不知情的狀態下，藉此產生AWS S3的服務元件。</p> <p><a href="https://www.ithome.com.tw/news/164398"><strong style="font-size: 22px;">RISC-V處理器存在GhostWrite漏洞，攻擊者有機會取得設備完整控制權</strong></a></p> <p>德國CISPA亥姆霍茲資訊安全中心發現，阿里巴巴旗下的半導體業者平頭哥（T-Head）生產的RISC-V處理器玄鐵C910，存在名為GhostWrite的漏洞，攻擊者在具備特定權限的情況下，能從記憶體讀取或寫入資料，而有機會得到完整、不受限制的存取權限。研究人員也在Black Hat USA 2024國際資安會議上，揭露相關細節。</p> <p>值得留意的是，雖然這項弱點主要是出現在玄鐵C910，但有鑑於是目前速度最快的處理器，影響的範圍並不小，包括個人電腦、筆電、容器，以及在雲端伺服器執行的虛擬機器（VM）。</p> <p>研究人員已確認曝險的設備如下： Scaleway Elastic Metal RV裸機（Bare Metal）雲端實體，以及Sipeed Lichee Pi 4A、Milk-V Meles、BeagleV-Ahead單板電腦（SBC）；再者，部分Lichee運算叢集、筆電、電玩主機也存在這項弱點。</p> <p> </p> <p><a href="https://www.ithome.com.tw/news/164393"><strong style="font-size: 22px;">已結束生命週期的思科IP電話存在重大漏洞，未經驗證的攻擊者能以root權限執行作業系統層級命令</strong></a></p> <p>思科本周發布安全公告，已結束生命週期（EOL）的IP電話設備出現多項漏洞，包含3項可執行任意指令的重大漏洞，影響Small Business SPA300和SPA500系列機種，該公司不打算提供修補程式，呼籲用戶儘速汰換設備。</p> <p>這次修補的漏洞有5項，影響IP電話系統的網頁管理介面軟體，其中3項特別值得注意，編號分別為CVE-2024-20450、CVE-2024-20452和CVE-2024-20454，屬於風險值9.8的任意指令執行漏洞，可讓未經驗證的遠端攻擊者以root權限，於電話設備的作業系統執行任意命令。</p> <p>值得留意的是，因為這些設備生命週期已經結束，思科強調不會提供修補。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/application-security/hazy-issue-entra-id-privileged-users-become-global-admins">研究人員揭露微軟Entra ID隱藏的身分驗證機制，恐讓攻擊者取得全域管理員權限</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.reuters.com/markets/deals/cybersecurity-firm-trend-micro-explores-sale-sources-say-2024-08-08/"><strong style="font-size: 22px;">趨勢科技傳出有意吸引買家出售</strong></a></p> <p></p> <p>路透社取得知情人士的消息在8月8日指出，市值約9,500億日元（65億美元）的趨勢科技在吸引外界購買的興趣後，正在考慮出售，消息一出，我們向趨勢科技進一步確認此事，該公司表示對於謠傳訊息不予評論，身為公開發行上市的資訊安全公司，持續專注以領先業界的資安平臺進行營運並服務客戶。</p> <p><a href="https://www.ithome.com.tw/news/164261"><strong style="font-size: 22px;">蘋果同態加密技術以開源Swift開源套件釋出</strong></a></p> <p>蘋果在自家服務引入同態加密（Homomorphic Encryption）技術保護用戶隱私，近日也把該加密技術Swift實作開源出來，讓開發者可以更簡單地在程式中應用同態加密。</p> <p>該公司開源Swift同態加密套件使用了Swift Crypto中高效能低階加密原語，支援伺服器端Swift，並且可使用Benchmark函式庫進行簡單的基準測試。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164383"><strong>【8月8日】黑帽大會首度增設AI議程，趨勢科技展示深偽偵測技術</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164356"><strong>【8月7日】法國博物館驚傳遭遇勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164335"><strong>【8月6日】達美航空、CrowdStrike將針對EDR系統大當機事故對簿公堂</strong></a></p> </div></div></div>
2024/8/9 16:59作者周峻佑https://www.ithome.com.tw/news/164400
零售IT雙周報第40期：Line推出官方帳號開店幫手，可在聊天室經營電商且內建金物流解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0728~0810)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#LineOA #通訊軟體電商 #金物流解決方案</span></span></strong><br /> <strong>Line推出官方帳號開店幫手，主打聊天室內無跳轉購物且內建金物流解決方案</strong></p> <p><a href="https://ec.linebiz.com/faq/13/173">Line推出名為官方帳號開店幫手的開店功能</a>，可在官方帳號（OA）聊天室中直接使用電商功能，不論消費者是否已加入OA好友，都能從直播節目連結或展示型廣告等連結，進入商店和商品頁面。Line用戶也能將電商商品作為訊息傳送到其他聊天室。</p> <p>此功能內建金物流解決方案，金流支援Line Pay和藍新金流平臺，物流則支援不同物流業者宅配及超商物流方案。採用中高流量以上方案且有統編資料的OA用戶，可於OA後臺啟用此功能，開通電商功能或交易成功不須支付費用，但需要支付金流交易手續費。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#商家檔案管理 #商家訊息發布 #GoogleMap商家檔案</span></span></strong><br /> <strong>統一資訊推出商家檔案智慧服務平臺，用於分析連鎖品牌的Google商家檔案評論和評分</strong></p> <p>統一資訊推出商家檔案智慧服務平臺，可以管理、分析連鎖品牌Google商家檔案，甚至追蹤其他商家的商家檔案。此平臺可以一站式查詢旗下分店的所有評論，並以日、周、月單位產出分店評論情況、消費者整體意見回饋和搜尋到商家的關鍵字等資料的摘要及數據報表。此平臺還可以一次發布訊息到多家分店商家檔案，省去一一發布所需的大量時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B5%B1%E4%B8%80%E8%B3%87%E8%A8%8A%E7%AE%A1%E7%90%86%E5%B9%B3%E5%8F%B0.jpeg" style="width: 600px;" /></p> <p>不只如此，此平臺還有監看其他商家檔案統計資料的功能，可用來掌握競爭商家的服務表現與動態，有助於行銷推動。</p> <p>目前統一超、家樂福、鬍鬚張等品牌已採用此平臺，意味著它至少可以支援有7,000家分店的品牌。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#無人結帳 #無人商店 #多模態AI模型</span></span></strong><br /> <strong>Amazon用多模態模型強化Just Walk Out技術辨識商品取放的精確度及效率</strong></p> <p><a href="https://www.aboutamazon.com/news/retail/amazon-just-walk-out-improves-accuracy">Amazon揭露自家無人結帳技術Just Walk Out的辨識能力強化。</a>Just Walk Out技術會利用AI分析貨架重量感應器和門市天花板攝影機訊號，來判讀消費者取放商品的行為。過往，此技術主要以個別商品為主體，來處理與該商品相關的感應器訊號。新模式下，則是會同時判讀鄰近區域所有訊號，來判讀商品是否被取放。</p> <p>新做法好處是，能更好的解讀複雜商品取放情境。舉例來說，如果現場有兩名消費者，分別用不同順序取放了同一區域的物品，甚至同時伸手拿同一個物品，且阻擋到攝影機視線。新的感應器訊號處理模式，就能更好判讀到底誰拿走了哪些商品。</p> <p>這個改變背後關鍵是，Amazon改用了一個新的多模態Transformer模型來支援Just Walk Out。此模型不只能同時處理不同訊號源資訊來判讀商品取放，更會根據實際發生情況來自我學習，以在未來遭遇複雜商品取放情境時，更正確的解讀感應器訊號。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amzjwk.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店平臺 #C2C電商平臺 #客流經營 #賣場經營</span></span></strong><br /> <strong>露天市集和Cyberbiz聯合推出雙平臺開店服務，結合前者高人流量及後者商家經營工具的優勢</strong></p> <p>C2C電商平臺露天市集及開店平臺Cyberbiz昨（7/31）宣布聯合推出「平臺+品牌官網」雙平臺開店服務。當商家使用雙平臺開店服務，消費者可以在露天可以搜尋到商家商品，點進去會先進到露天商品頁面瀏覽資訊。點擊購買時，就會跳轉到商家的Cyberbiz品牌官網，用訪客身分結帳，或登入品牌自己的會員後再結帳。</p> <p>此服務結合露天每月破1,100萬人流量和搜尋媒合演算法，以及Cyberbiz線上線下零售營運技術，使商家有機會在高流量平臺電商曝光，又有自家官網可以深度經營會員及品牌形象。（<a href="https://www.ithome.com.tw/news/164248">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #非規格品 #C2C電商</span></span></strong><br /> <strong>有400萬件商品的二手服飾電商ThredUp推出進階搜尋和文字生成穿搭範例等生成式AI購物功能</strong></p> <p>上架超過400萬件商品的二手服飾電商ThredUp推出一系列<a href="https://www.businesswire.com/news/home/20240805270174/en/ThredUp-Launches-Suite-of-AI-Shopping-Features">生成式AI購物輔助功能</a>。其一是可以輸入模糊條件或使用情境的搜尋功能。第二是可以根據圖片、部分圖片、或Instagram貼文，來搜尋同款或類似商品的圖片搜尋功能。</p> <p>第三個功能較特別，是文字轉模擬穿搭功能，可以根據自然語言輸入，例如「適合秋天婚禮的裝扮」，來生成從頭到腳的穿搭建議。使用者還能微調生成結果，包括顏色、風格、露膚程度等參數，再結合前述圖片搜尋功能來尋找相符商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tugai.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧購物車 #智慧零售門市</span></span></strong><br /> <strong>全球超過7千家分店的Aldi South Group大規模導入實體門市科技，包括即時貨架狀態瀏覽、循燈找物及智慧購物車</strong></p> <p>11個市場有超過7千家分店的<a href="https://www.instacart.com/company/pressreleases/instacart-and-aldi-south-group-expand-omnichannel-partnership/">大型跨國零售集團Aldi South Group大規模導入零售科技商Instacart的購物輔助技術到實體門市。</a>在美國門市，消費者將能用Instacart手機App查詢門市內的商品是否有貨、瀏覽實體貨架的商品清單、商品資訊，以及查詢店內促銷活動。消費者還能透過App啟動貨架上的示意燈，以快速尋找商品。</p> <p>在奧地利門市，Aldi South Group則開始試用智慧購物車，消費者將商品放進購物車後，推車經過專門通道就會自動結帳。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1.<a href="https://www.ithome.com.tw/news/164218">日本夏普網路商店、食品配送服務網站遭入侵，超過10萬人個資面臨外流風險</a></p> <p>2. <a href="https://seekingalpha.com/article/4708913-ebay-inc-ebay-q2-2024-earnings-call-transcript">eBay生成式AI上架工具見效，減少了二位數百分比的上架時間並大幅提升商家滿意度分數（CSAT）到90%</a></p> <p>3. <a href="https://corporate.walmart.com/news/2024/07/29/new-tech-and-collaborations-at-walmart-and-sams-club-boost-operational-efficiency-and-reduce-food-waste">Walmart將導入可以自動拆封即期商品包裝的技術到千家分店，加速廚餘回收流程並解放店員人力</a></p> <p>4. <a href="https://www.tacobell.com/newsroom/yum-brands-to-expand-voice-ai-technology">墨西哥連鎖餐飲龍頭Taco Bell將擴大使用AI得來速點餐到上百家分店</a></p> <p>資料來源：iThome整理，2024年8月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Line、統一資訊、Amazon、ThredUp</p> <p></p> </div></div></div>
2024/8/9 17:54作者郭又華https://www.ithome.com.tw/news/164399
研究人員揭露合法雲端服務被用於散布後門程式的態勢，臺灣也有組織遇害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客在攻擊行動裡濫用合法雲端服務的情況，因為能夠藉由這些服務的正常流量掩蓋非法行為，使得資安系統可能不會觸發警報，這樣的手法已是經常出現，最近有資安業者表示，他們看到今年這樣的態勢出現顯示增加的情況。</p> <p>資安業者賽門鐵克指出，由於攻擊者希望避免引人注目並降低維護基礎設施的成本，<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/cloud-espionage-attacks">他們發現有越來越多駭客加入濫用雲端服務的行列</a>，並開發更多用於這類攻擊的作案工具。<a href="https://www.blackhat.com/us-24/sponsored-sessions/schedule/#cloud-cover-how-sophisticated-malicious-actors-are-leveraging-legitimate-cloud-services-41726">研究人員在黑帽大會的議程上</a>，公布相關調查結果。</p> <p>值得留意的是，雖然研究人員表示駭客很可能會濫用微軟OneDrive或Google Drive，但在他們公布的6起惡意程式攻擊裡，有超過半數都利用OneDrive。</p> <p>在這些攻擊行動裡，我們認為名為Grager的後門程式最值得留意，原因是這起資安事故的攻擊目標涵蓋臺灣。研究人員在今年4月，看到中國駭客組織UNC5330針對臺灣、香港、越南的企業組織，部署這支後門程式。</p> <p>駭客究竟如何尋找攻擊目標，研究人員並未說明，但他們提及惡意檔案來自冒牌的7-Zip網站，一旦使用者依照指示進行下載、安裝MSI檔，電腦就會在部署此壓縮軟體的過程，一併將惡意程式載入工具Tonerjam植入，並用來解密、執行後門程式Grager。</p> <p>而這支後門程式啟動時，會解密用戶端ID（client_id）並根據儲存體（Blob）更新存取OneDrive的憑證（Token），從而與駭客控制的OneDrive帳號連線。該後門程式能收集系統資訊，讓攻擊者能上傳、下載，或是執行檔案，並截取檔案系統的相關資料，包括磁碟容量與類型資訊。</p> <p>另一個鎖定南亞媒體而來的後門程式GoGra，研究人員認為也相當值得留意，因為，駭客將微軟的郵件服務充當C2伺服器。</p> <p>究竟駭客如何對後門程式下達命令？研究人員指出，此後門程式會讀取寄件人為FNU LNU的電子郵件，這些信件的主旨皆以Input開頭，而後門程式使用特定金鑰並透過密碼區塊連結（Cipher Block Chaining）模式的AES-256演算法，解密命令的內容，並透過cmd.exe執行。</p> <p>當駭客交付的命令完成後，GoGra會將執行結果加密處理，並以Output為主旨的信件，回傳給前述的使用者。</p> <p>而對於攻擊者的身分，研究人員指出是<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/harvester-new-apt-attacks-asia">他們3年前揭露的國家級駭客Harvester</a>，這些駭客主要鎖定南亞組織發動攻擊。</p> <p>還有被用於攻擊美國及歐洲IT服務業者的惡意程式OneDriveTools相當特別，此為多階段執行的後門程式，攻擊過程濫用多種雲端服務。攻擊者初期先執行惡意程式下載工具，透過圖學資料分析服務Microsoft Graph的API進行身分驗證，然後從OneDrive下載第二階段酬載並執行。</p> <p>接著，攻擊者從程式碼儲存庫GitHub下載OneDriveTools最終的惡意酬載，並在OneDrive與受害電腦建立特定的資料夾，讓受害電腦透過OneDrive回傳受到感染的情況，並接收駭客的命令。</p> <p>值得留意的是，攻擊者為了隱匿行蹤，他們使用名為Whipweave的隧道工具，連線到稱做Orbweaver的<a href="https://www.ithome.com.tw/news/163058">Operational Relay Box（ORB）</a>網路，從而混淆攻擊來源。</p> </div></div></div>
2024/8/9 14:35作者周峻佑https://www.ithome.com.tw/news/164395
AWS服務存在Bucket Monopoly、Shadow Resources漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端服務的運作相當複雜，尤其是有許多服務於背景運作，甚至有可能作為其他服務運作的其中一環，若是這些服務運作的方式不夠安全，很有可能引發嚴重的後果。</p> <p>資安業者Aqua Security的研究人員於今年2月，找到6個AWS重大層級的漏洞，<a href="https://www.darkreading.com/remote-workforce/critical-aws-vulnerabilities-allow-s3-attack-bonanza">並指出這些漏洞可讓攻擊者破壞所有帳號</a>，有可能導致帳號遭到接管，或是遠端執行任意程式碼、資料外洩、曝露義感資料、引發服務中斷的情形。對此，AWS獲報後進行相關驗證，並自3月至6月逐步完成修補。<a href="https://www.aquasec.com/news/critical-vulnerabilities-aws/">研究人員也在黑帽大會上公布相關的調查結果</a>。</p> <p>這些漏洞主要偏重於「影子資源」的層面，這類資源的來源，是使用者在進行AWS服務的相關設定過程裡，由系統在背景自動產生的資源，因此這類資源的運作狀態，一般使用者往往不會特別留意。</p> <p>而對於漏洞的影響範圍，研究人員指出涵蓋多項服務，包括：CloudFormation、Glue、EMR、SageMaker、ServiceCatalog、CodeStar。使用者首次在新地點建立服務的過程裡，系統會自動建立具有特定名稱的S3儲存桶，這個名稱包含用ID、服務名稱、地區。</p> <p>其中一個漏洞被稱做Bucket Monopoly，起因是S3儲存桶使用了容易被猜到的AWS帳號ID，由於這個ID原本不被視為敏感資料，而讓攻擊者有機可乘。</p> <p>攻擊者可藉由上述儲存桶名稱可預測的規則，搶在目標用戶之前在其他地區的資料中心建立儲存桶並植入惡意程式碼，使得受害組織試圖在新區域啟用服務時，惡意程式碼便會不知不覺在組織的環境內執行，從而讓攻擊者建立管理員帳號並取得控制權。</p> <p>研究人員指出，根據他們的分析，這種ID應被視為機密，因為攻擊者一旦取得這類資料，就有機會進行相關攻擊。就算攻擊者無法直接破解控制使用者帳號，但還是能藉由這項資訊，收集用戶的各式資料。</p> <p>針對這項問題，AWS已變更預設組態，經過調整的服務將不會自動產生儲存桶的名稱，若是儲存桶名稱已經存在，系統則會加上隨機的識別碼。</p> <p>另一個研究人員公布的弱點被稱為Shadow Resources，攻擊者可在使用者不知情的狀態下，藉此產生AWS S3的服務元件。</p> <p>研究人員起初在CloudFormation察覺此事，攻擊者可在目標用戶尚未啟用的AWS地區當中，使用現有的堆疊及名稱建立帳號，來搶占資源，當受害者將工作負載轉移到新區域，就有可能不知不覺使用攻擊者控制的S3儲存桶而受到控制。</p> <p>這項弱點發生的原因在於，使用者透過AWS管理主控臺在CloudFormation建立堆疊的過程中，AWS會自動建立存放CloudFormation範本的S3儲存桶，而這個儲存桶的名稱也同樣具備相同的特性，使得攻擊者有機會用來發動攻擊。</p> </div></div></div>
2024/8/9 16:06作者周峻佑https://www.ithome.com.tw/news/164396
RISC-V處理器存在GhostWrite漏洞，攻擊者有機會取得設備完整控制權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源指令集架構RISC-V通常被用於針對特定類型的應用系統，打造專屬的處理器，涵蓋各種類型的嵌入式系統、微控制器、資料中心的高效運算伺服器等，最近有研究人員揭露採用RISC-V架構的處理器漏洞。</p> <p>德國CISPA亥姆霍茲資訊安全中心發現，阿里巴巴旗下的半導體業者平頭哥（T-Head）生產的RISC-V處理器玄鐵C910，<a href="https://ghostwriteattack.com/">存在名為GhostWrite的漏洞</a>，攻擊者在具備特定權限的情況下，能從記憶體讀取或寫入資料，而有機會得到完整、不受限制的存取權限。<a href="https://www.securityweek.com/ghostwrite-vulnerability-facilitates-attacks-on-devices-with-risc-v-cpu/">研究人員也在Black Hat USA 2024國際資安會議上，揭露相關細節</a>。</p> <p>值得留意的是，雖然這項弱點主要是出現在玄鐵C910，但有鑑於是目前速度最快的處理器，影響的範圍並不小，包括個人電腦、筆電、容器，以及在雲端伺服器執行的虛擬機器（VM）。</p> <p>研究人員已確認曝險的設備如下： Scaleway Elastic Metal RV裸機（Bare Metal）雲端實體，以及Sipeed Lichee Pi 4A、Milk-V Meles、BeagleV-Ahead單板電腦（SBC）；再者，部分Lichee運算叢集、筆電、電玩主機也存在這項弱點。</p> <p>攻擊者若要觸發漏洞，必須在目標裝置執行不具特殊權限的程式碼，這種情況在多用戶及雲端系統的環境帶來嚴重威脅。研究人員展示如何透過GhostWrite來取得root權限，以及從記憶體取得管理員密碼。</p> <p>特別的是，這項漏洞與過往揭露的處理器漏洞有所不同，研究人員指出是處理器架構上的臭蟲，不涉及推測執行與側通道攻擊。值得留意的是，雖然目前尚未出現該漏洞遭到利用的跡象，但研究人員指出，他們也沒有工具或是方法能夠偵測相關攻擊。</p> </div></div></div>
2024/8/9 16:48作者周峻佑https://www.ithome.com.tw/news/164398
Cloud周報第207期：第二季全球雲端基礎設施服務市場規模達790億美元，三大公雲加總市占逾7成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（08/01～08/07）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟宣布與程式碼代管平臺GitHub合作，要將Azure AI服務帶給一億名GitHub開發者</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(12).png" style="width: 600px; height: 360px;" /></p> <p>微軟近日宣布將成為程式碼代管平臺GitHub的合作夥伴，將把自家Azure AI服務帶給GitHub社群中的一億名開發者用戶。</p> <p>微軟表示，通過與GitHub的合作，這些開發者將能夠直接從GitHub.com網站建立自己的AI應用程式，並能夠與GitHubCodespaces和Visual Studio Code程式編碼器進行整合，包括從Playground中編寫程式碼，接著在Codespaces中使用模型，再通過Azure進行部署。</p> <p>GE Healthcare計畫利用AWS的Bedrock生成式AI託管服務建立和部署客製化的生成式AI應用程式，專用於醫療保健的服務需求。這些應用將與AWSHealthLake和AWS HealthImaging整合，用於分析各種類型的患者數據，從而提高臨床效率和更好地患者護理。</p> <p>微軟計畫透過GitHub Models模型服務向開發者提供Azure AI的模型，包括Llama 3.1、GPT-4o、GPT-4o mini、Phi 3和Mistral Large 2等。開發者可以使用GitHub Models內建的Playground存取每個模型，並在GitHub中免費測試不同的提示和模型參數。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端營收 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">亞馬遜AWS第二季營收成長接近2成達262億美元</span></strong></p> <p>亞馬遜Amazon近日公布今年第二季財報，該季締造了1,480億美元的營收，成長10%，其中，AWS的營收占了262.8億美元，成長19%，營業利潤為93.3億美元，成長74%。</p> <p>Amazon執行長Andy Jassy於財報會議中表示，該季營業利潤的大幅提升，除了採行成本最佳化作業發揮成效之外，也拜企業積極推動IT現代化之賜，越來越多企業將本地端架構轉移至雲端。</p> <p>此外，即使Amazon的AI業務還處於早期階段，但其年化收入率（Annualized Return）已達數十億美元。Andy Jassy指出，該公司內部已利用Amazon Q的程式碼轉換功能，在短短的幾個月內遷移了超過3萬個Java JDK應用程式，節省了2.6億美元的成本，以及4,500名開發者一年工作時間。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 三大公雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">第二季全球雲端基礎設施服務市場規模達790億美元，AWS仍逾3成的市占率居冠</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(6).jpg" style="width: 600px; height: 405px;" /></p> <p>市場研究機構Synergy Research Group的調查顯示，儘管受到經濟、貨幣和政治因素的影響，全球雲端市場在今年第二季依然保持強勁增長。</p> <p>根據調查，本季企業在全球雲端基礎設施服務上的支出達到790億美元，比去年同期增加了22%，即成長141億美元。Synergy Research Group指出，這是繼2023年營收略有放緩後，連續第三季同比增長率達至少20％。</p> <p>在雲端基礎設施服務方面，Synergy預估該季雲端基礎設施服務（包括IaaS、PaaS和託管私有雲服務）的收入達到791億美元，其中IaaS和PaaS服務依然是主要收入來源，該季增長了23%。</p> <p>從市占率來看，三大公有雲業者中，亞馬遜AWS以32%的市占率領先，微軟Azure緊隨其後，市占率達到23％，而Google Cloud的市占率也達到了12％。這三家業者的合計市占率達到了73%。。</p> <p>此外，全球各地區的雲端市場也持續強勁增長。其中亞太地區增長最為顯著，印度、日本、澳洲和韓國的年增長率均達到25%。美國市場在第二季的增長率為22%。在歐洲，最大的雲端市場是英國和德國，而愛爾蘭、義大利和西班牙的增長率最高。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">國泰人壽 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲旅程 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">國泰人壽揭近2年的上雲旅程，完成將十多套套系統遷移上雲</span></strong></p> <p>國泰人壽近日揭露過去近2年的上雲旅程，到去年底已完成將16套雲端行銷系統和一套旅平險系統轉換上雲。</p> <p>國泰人壽自2022年啟動系統上雲計畫，在該年年中完成第一套系統上雲的UAT測試，接著陸續將更多系統搬上公雲進行環境測試，包括整合測試、功能測試，期間也完成壓力、滲透測試等環境平測。</p> <p>遷雲過程中，國泰人壽除了將既有應用程式轉為容器化微服務架構，也和非IT人員討論雲端架構合規性，並建立安全資料傳輸機制。耗時約一年半，國泰人壽去年底開始透過雲端正式對外服務，並完成將17套系統遷移上雲，包括16套雲端行銷系統和一套旅平險系統。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">碳排 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟Azure碳排優化服務進入公開預覽</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(9).png" style="width: 600px; height: 338px;" /></p> <p>微軟Azure近日宣布其碳排優化服務Carbon Optimization現已推出公開預覽。這是微軟在今年2月推出的其中一個碳排優化工具，透過該工具，Azure開發人員不僅可以快速查看Azure使用各項服務所產生的排放資訊，迅速掌握整體碳排放情況，還能視覺化呈現逐月的排放變化趨勢。</p> <p>IBM表示，這項新的雲端沙箱服務能夠追蹤伺服器的效能指標，如記憶體、CPU、網路和I/O利用率等，從而確保應用程式在短期和長期執行過程中，提供其所需的運算能力並控制預算。此沙箱在IBM Cloud VPC上自動化執行，並採用Terraform和IBM Cloud Schematics作為程式框架來管理，服務則按小時計費。</p> <p>Carbon Optimization包含了多項功能，例如針對排放資訊提供更細緻的分類，如服務類型、地理位置等。該工具還推出最佳化建議的功能，協助用戶通過取消或調整閒置的資源來減少碳排放和雲端成本，此外，還提供角色存取控制機制，加強對排放資料的權限管理。</p> <p>該服務也與另一款預覽的Azure Emissions Insights方案整合，可在Microsoft Fabric數據平臺中進行進階的排放分析。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 圖像生成模型 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS更新Bedrock，推出第二版Titan Image Generator圖像生成模型</span></strong></p> <p>日前，AWS宣布在其生成式AI服務Bedrock中，正式推出Titan Image Generator v2圖像生成模型。Titan Image Generator是Amazon自行開發的Titan系列基礎模型之一，能夠透過自然語言文本生成圖像，也可用於編輯現有圖像或生成圖像的變化。</p> <p>相較於前一版本，Titan Image Generator v2加入了多項新功能。舉例來說，新推出的影像調節功能（Image Conditioning）可以根據使用者提供的參考圖像和文字提示調整輸出的圖像，包括參考的構圖和結構，以符合使用者對畫面的要求。</p> <p>此外，帶有調色板的圖像指導功能可以透過提供十六進位格式的顏色清單和文字提示，來精確控制生成圖像的調色。其他新功能還包括背景移除物件影像和主題一致性功能。</p> <p>Amazon Titan Generator v2模型現已在美東和美西部分區域的Amazon Bedrock中推出。</p> <p> </p> <p>圖片來源／Amazon、Azure、Synergy Research Group</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.Microsoft 365再發生部分服務不穩、無法存取問題，原因是DDoS攻擊防護功能異常</strong></p> <p><strong>2.SAP推出SAP PLM方案的雲端新功能，能夠原生連接SAP雲端ERP和供應鏈管理平臺</strong></p> <p><strong>3.GCP推出預覽版Spanner Graph服務，結合圖形資料庫功能與Spanner資料庫代管服務</strong></p> <p><strong>4.微軟Azure Container Storage服務現已推出，可為容器原生提供磁碟區管理服務</strong></p> <p><strong>資料來源：iThome整理，2024年月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/8/9 14:18作者余至浩https://www.ithome.com.tw/news/164389
6月WhatsUp Gold修補漏洞，8月初駭客攻擊行動開始現蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月<a href="https://community.progress.com/s/article/WhatsUp-Gold-Security-Bulletin-June-2024">Progress針對網路監控系統WhatsUp Gold發布更新</a>，當中修補重大層級的漏洞CVE-2024-4883、CVE-2024-4884、CVE-2024-4885（CVSS風險評分皆達到9.8），攻擊者能在未經授權的情況下，利用這些漏洞遠端執行任意程式碼（RCE），如今有研究人員提出警告，部分漏洞已出現實際攻擊行動。</p> <p>Shadowserver基金會提出警告，<a href="https://x.com/Shadowserver/status/1821121075704647731">他們自8月1日看到來自6個IP位址的攻擊行動</a>，駭客利用CVE-2024-4885，企圖存取WhatsUp Gold系統的/NmAPI/RecurringReport。</p> <p>研究人員特別提到，由於這項漏洞的概念性驗證程式碼（PoC）已被公開，駭客無需自行從頭拆解，就能快速將漏洞用於攻擊行動，IT人員應盡快套用相關更新。目前而言，Shadowserver基金會與該組織的全球漏洞濫用儀表板，都尚未公布目前曝險的系統數量。</p> </div></div></div>
2024/8/9 11:35作者周峻佑https://www.ithome.com.tw/news/164388
Dell再裁員1.3萬，將聚焦AI、伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/dell-layoffs-sales-workers-restructuring-process-csg-ai-modernization-2024-8" target="_blank">Business Insider</a>報導，電腦大廠Dell因應AI時代來臨，近日再傳裁員12,500人。</p> <p>媒體報導，這次裁員主要裁撤職位落在業務部門及管理層級。報導引述Dell高層主管Bill Scannell與John Byrne對內公開信的內容，Dell將裁撤數層管理人事，以及重新對投資重點排序。一名員工匿名<a href="https://www.livemint.com/companies/company-results/dell-fires-12-500-employees-in-major-shift-toward-ai-report-11723004175038.html" target="_blank">指出</a>，這次裁減的員工大部分是經理、協理和副總級，多個組織被整併，縮小經理和員工比，現在一個經理需管理15人。此外行銷及營運部門也受到影響。</p> <p>彭博則<a href="https://www.bloomberg.com/news/articles/2024-08-05/dell-layoffs-hit-sales-team-with-new-unit-focused-on-ai" target="_blank">報導</a>，透過這次裁員，Dell希望能因應AI時代的挑戰，新業務團隊將更著重AI有關的銷售，像是Dell伺服器。</p> <p>Dell證實裁員消息，表示透過go-to-market部門改組及一系列行動，公司將變得更精實。但是Dell並未證實裁撤人數。</p> <p>去年Dell則在2波行動中<a href="https://www.crn.com/news/computing/2024/dell-has-laid-off-13-000-employees-in-one-year-amid-slump" target="_blank">裁員</a>1.3萬。15個月下來，已有超過2.5萬名員工失去工作。若從去年年初的13萬計算，經過數波人事精簡，現有Dell員工數為10萬人。</p> <p>根據Dell最新<a href="https://tinyurl.com/2laye3jk" target="_blank">財報</a>截自2024年5月，該公司營收2,220億美元，成長6%，主要來自伺服器及儲存設備的基礎架構方案業務成長22%，而筆電等用戶端營收則勉強持平。</p> </div></div></div>
2024/8/9 12:28作者林妍溱https://www.ithome.com.tw/news/164391
微軟與Palantir合作以支援國防及情報業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周四（8/8）<a href="https://news.microsoft.com/2024/08/08/palantir-and-microsoft-partner-to-deliver-enhanced-analytics-and-ai-services-to-classified-networks-for-critical-national-security-operations/" target="_blank">宣布</a>，將與大數據分析業者Palantir合作，在微軟的政府及機密雲端中提供Palantir及Azure OpenAI服務予國防及情報組織，此一合作案讓Palantir當天股價大漲11.25%，以29.28美元作收。</p> <p>根據雙方的協議，Palantir將在Azure Government、Azure Government Secret 及 Top Secret等微軟雲端環境中部署Foundry、Gotham、Apollo與AIP等產品。其中，Foundry為一資料整合與分析服務，Gotham為軍方與反恐分析師所使用的情報及防禦工具，Apollo則是個跨環境的持續整合與交付（CI/CD）平臺，AIP指的是Palantir的AI平臺。</p> <p>此外，Palantir也將成為微軟Secret與Top Secret環境中，Azure OpenAI Service的早期採用者。</p> <p>政府機構一直是Palantir的主要客戶，在該公司<a href="https://investors.palantir.com/news-details/2024/Palantir-Reports-Revenue-Growth-of-27-Year-Over-Year-and-Raises-Full-Year-Revenue-Guidance-Record-GAAP-EPS-of-0.06-in-Q2-2024/=0" target="_blank">今年第二季</a>所創造的6.78億美元中，有3.71億美元來自政府合約、成長23%，3.07億美元來自商業合約、成長33%。</p> <p>微軟表示，此一整合解決方案將使得國防與情報領域的物流、合約、或行動規畫人員可藉由AI，來安全地建置與管理各種任務。</p> </div></div></div>
2024/8/9 12:44作者陳曉莉https://www.ithome.com.tw/news/164392
思科二款已EoL的IP電話機有重大安全漏洞，可引發遠端任意指令執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科本周發布<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-spa-http-vulns-RJZmX2Xz" target="_blank">安全公告</a>，IP電話機系列軟體出現多項漏洞，包含3項可執行任意指令的重大漏洞，影響二款沒有修補程式的舊IP電話產品，思科鼓勵用戶升級。</p> <p>這次修補的漏洞有5項，影響思科Cisco Small Business SPA300 Series和SPA500 Series IP電話機上的Web管理介面（UI）軟體。二款產品皆為適用中小企業的IP電話機。其中三項特別值得注意，編號分別為CVE-2024-20450、CVE-2024-20452和CVE-2024-20454，屬於風險值9.8的任意指令執行漏洞。這三項漏洞可讓未經驗證的遠端攻擊者在話機上的OS以root權限執行任意指令。</p> <p>這些漏洞發生未能對輸入的HTTP封包適切檢查錯誤。攻擊者可傳送惡意HTTP呼叫到目標裝置來濫用漏洞。成功的濫用即可引發內部緩衝溢位，並以根（root）權限執行任意指令。</p> <p>另外二項漏洞，包括2024-20451與CVE-2024-20453，為影響Web管理介面的阻斷服務（DoS）漏洞。漏洞出於管理介面未能檢查HTTP封包錯誤，使攻擊者得以傳送惡意HTTP封包到二款話機的Web UI以濫用漏洞。成功的濫用可讓攻擊者引發不預期受害裝置重覆載入，導致DoS情境。二項漏洞風險值皆為7.5。</p> <p>思科警告，漏洞沒有迴避方法，但業者也未發布軟體更新。思科解釋，這是因為產品已經來到生命周期終點（Endo of Lifecycle,EoL），因此鼓勵用戶升級成更新一代產品。</p> <p>思科旗下產品安全事件回應團隊目前尚未接獲有任何漏洞濫用的通報。</p> </div></div></div>
2024/8/9 13:09作者林妍溱https://www.ithome.com.tw/news/164393
DeepMind的桌球機器人已達業餘的人類選手水準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想打桌球卻找不到對手嗎？沒關係，Google DeepMind的一群科學家已經成功<a href="https://sites.google.com/view/competitive-robot-table-tennis" target="_blank">打造出桌球機器人</a>，而且該名機器人具備了業餘人類桌球選手的水準，雖然它還打不贏高手，但它贏過了所有的初學者，與中階選手的比賽也有55%的勝率。</p> <p>在現實世界的任務中實現人類水準的速度及性能，一直是機器人研究的北極星指標，桌球也不例外，現在的桌球機器人只有最低階的發球機，尚無可與人類對打的機器人。或許是大家對此一研究太感興趣，於此一《<a href="https://arxiv.org/abs/2408.03906" target="_blank">Achieving Human Level Competitive Robot Table Tennis</a>》論文中掛名的作者超過25位。</p> <p>DeepMind研究人員對此一論文的主要貢獻有四，一是分層與模組化的策略架構，以低階控制器來負責機器人的具體技能，並由高階控制器來選擇與調度低階控制器；二是把自模擬環境中所學習的內容直接應用到現實的技術；三是可即時適應陌生對手的能力；最後則是在實際的賽事中對抗陌生對手的用戶研究。</p> <p>這個桌球機器人可以打正手、反手，能夠連續擊球，可以打到不同的位置，還能適應不同的球風，在29場與陌生人類較勁的比賽中，機器人贏了45%，如果區分這些人類玩家的程度，機器人完全打不贏高手，但贏了所有的初學者，跟中等程度的玩家比賽，機器人也贏了55%。研究人員認為它已經具備了業餘人類選手的水準。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/abi84lnjNV4?si=UGCMmAwk4Mf9PrlV" title="YouTube video player" width="560px"></iframe></div> </div></div></div>
2024/8/9 13:16作者陳曉莉https://www.ithome.com.tw/news/164394
英國對Amazon與Anthropic的投資案展開調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國競爭與市場管理局（Competition and Markets Authority，CMA）周四（8/8）<a href="https://www.gov.uk/cma-cases/amazon-slash-anthropic-partnership-merger-inquiry" target="_blank">宣布</a>，將對Amazon與Anthropic之間的投資關係展開調查。Anthropic為市場上新興且看起來非常有前景的AI業者，不過，Amazon/Anthropic並非CMA在AI領域唯一的調查目標，去年底CMA即針對Microsoft / OpenAI的合作關係展開<a href="https://www.gov.uk/cma-cases/microsoft-slash-openai-partnership-merger-inquiry" target="_blank">調查</a>，也在上個月開始<a href="https://www.gov.uk/cma-cases/alphabet-inc-google-llc-slash-anthropic-merger-inquiry" target="_blank">調查</a>Alphabet與Anthropic的合作。</p> <p>Anthropic是由一對兄妹Dario Amodei與Daniela Amodei在2021年所創立，兩位先前都是OpenAI的工程師，所建置的Claude模型被視為是OpenAI GPT最大的競爭者，不管是Amazon或Alphabet都對Anthropic很感興趣並相繼投入資金，其中，Amazon已於今年3月<a href="https://www.ithome.com.tw/news/162016" target="_blank">完成</a>所承諾的40億美元注資，此一交易還包括Anthropic將使用AWS Trainium與Inferentia晶片來建構、訓練及部署模型，也將以AWS作為其關鍵任務工作負載的主要雲端供應商，包括安全研究與未來的基礎模型開發。</p> <p>至於Alphabet亦承諾要投資20億美元予Anthropic。</p> <p>相較於針對不同的合作展開調查，其實CMA更在意的是整個AI生態體系的競爭狀況，特別是認為各大AI基礎模型（FM）與關鍵參與者之間的合作關係，可能會強化FM價值鏈業者的現有市場地位。</p> <p>CMA在今年4月發表的一份<a href="https://www.gov.uk/government/news/cma-seeks-views-on-ai-partnerships-and-other-arrangements" target="_blank">報告</a>中，把Google、Amazon、微軟（Microsoft）、Meta及蘋果（Apple）及Nvidia等公司稱為GAMMAN，認為這6大科技業者都在FM價值鏈上扮演重要的角色，例如它們全都自行開發FM，且當時的Amazon、Google與微軟都各自有合作密切的FM開發商，也讓CMA擔心，這些全球最重要的技術公司可能會嚴重影響FM市場的發展，危及開放與公平競爭，最終損害企業與消費者。</p> <p>不過，目前的AI領域仍處於大量投資階段，也不乏新創或開源模型，因此，就算CMA對現階段的市場布局感到擔憂並展開調查，但先前進行的Microsoft / OpenAI與Alphabet/Anthropic調查都停留在蒐集意見的第一階段，並未有進一步的行動，此次對Amazon/Anthropic的調查亦是屬於第一階段的意見蒐集。</p> </div></div></div>
2024/8/9 12:13作者陳曉莉https://www.ithome.com.tw/news/164390
【iThome 2024 CIO大調查系列5】臺灣企業DevOps再進化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1194-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=o4l3GmQM" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>連續第三年，iThome盤點臺灣大型企業的DORA指標數據，揭露臺灣各產業的DevOps交付能力，1成金融業達到全球卓越團隊的水準，多數臺灣企業仍停留在中低階水準。頂尖企業積極強化DevOps，注重安全開發的DevSecOps和借重AI輔助的AIOps是新方向，更有18%企業用GAI輔助來加速開發</p> </div></div></div>
2024/8/9 10:45作者王宏仁https://www.ithome.com.tw/article/164376
【iThome 2024 CIO大調查系列5｜DevOps採用】DevOps採用率破2成5，開發安全和AI化維運是新目標
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1194-feng_mian_2-devopscai_yong_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">隨著越來越多企業推動IT現代化，擁抱雲原生技術，DevOps也成了企業軟體開發轉型的焦點，採用企業越來越多，根據iThome CIO大調查，到今年底，預估達到25.6%的採用率，大約是每四家就有一家企業採用。</p> <p dir="ltr">各產業中，以金融業最積極，採用率原本就居各產業之冠，今年底持續提高，將達到40.7%之多。服務業是今年採用率增加最多的產業，從去年的25%，一口氣今年預計增加到30%。企業投入的DevOps預算，整體產業平均達到372萬元，也以金融業最高，達到839萬元，這兩年積極投入軟體開發轉型的政府機關，也持續投入不少預算來推動DevOps，平均預算達到597萬元，僅次於金融業。不過，政府學校的DevOps採用率，因為少數學校啟動數位轉型和IT現代化，重新檢討開發流程和做法，今年不升反而略降。</p> <p dir="ltr">各產業DevOps預算和去年有很大的變化，服務業、一般製造業和政府學校的預算都增加了2～3成，來加速推動，反而去年積極發展DevOps的醫院，隨著相關工具軟硬體建置後，今年反而縮減了快2成預算，轉而開始強化人員DevOps能力的訓練。</p> <p dir="ltr">採用現代化的DevOps作法之後，企業開始採用更多Ops優化作法，尤其，今年高達5成CIO的年度優先目標是推動資安轉型，資安左移就是其中一項重點，因此，今年高達17.1%的企業要導入DevSecOps來強化開發安全，採用率幾乎是去年的2倍多。又以金融業和服務業今年要採用的企業較多，皆超過了2成4，醫療業更是從去年1.8%採用率，今年暴增到14.3%，幾乎每七家醫院就有一家今年要導入DevSecOps。這些企業希望進一步提升原有的DevOps流程，在開發流程上游就開始強化安全，甚至是預設採取更安全的軟體架構設計。</p> <p dir="ltr">不只是安全開發的重視程度大增，隨著GAI技術和工具崛起，雲端業者紛紛推出了用GAI輔助的維運助手，也想要用AI優化IT維運，推動AIOps的企業比例，也從去年的3.1%，今年增加到8.3%。在IT維運人力有限的情況下，這兩年積極上雲的醫療業是最積極採用AIOps的產業，今年高達17.9%的醫院，想用AI輔助，來改善基礎架構資源的調度和提供，加快各項開發環境的準備速度。金融和高科技業者今年也有近1成企業想採用AIOps。開發流程高度自動化的GitOps和雲端維運成本管理優化的FinOps，這兩項採用率也比去年略高。這些Ops優化發展，都是臺灣企業DevOps再進化的新方向。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A22-600-1.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A22-600-2.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A22-600-3-PDN.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A22-600-4.png" style="width: 600px;" /></p> <p><span style="font-size:16px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/164376" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> <strong>相關報導</strong> </span></span><strong style="font-size: 16px;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1194-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=o4l3GmQM" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/9 10:50作者王宏仁https://www.ithome.com.tw/article/164370
【iThome 2024 CIO大調查系列5｜四大交付指標】破2成企業部署與復原能力有國際水準，交付瓶頸是更新準備太慢
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1194-feng_mian_3-si_da_jiao_fu_zhi_biao_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">連續第三年，我們用國際慣用的DevOps能力指標DORA來衡量臺灣企業的IT團隊能力，在四項指標中，臺灣企業今年在部署頻率，部署失敗後的復原時間，這兩項能力明顯提升，達到國際水準的企業將近2成，比去年增加了不少。</p> <p dir="ltr">Google旗下有一個專門研究DevOps評估方法的研究團隊DORA（DevOps Research and Assessment）所發展出來的DevOps能力指標，因此，這套指標也被稱為DORA指標。連續第9年，DORA團隊用了這套指標進行全球企業的網路問卷調查，並在年底發表當年調查結果，累計到2023年，超過3萬6千多名企業IT人員參與調查。這是國際上衡量企業DevOps能力最具公信力的指標之一。</p> <p dir="ltr">Google在2023年12月，公布了2023年全球DORA能力大調查的盤點結果，發表了一份2023年《加速發展：開發運作現狀報告》，去年這個版本首度推出了中文版。DORA指標幾年下來，衡量的項目越來越廣，去年甚至增加了生成式AI對於企業IT團隊的技術工作影響的調查，但是，一直有四個最主要的DevOps交付能力指標，也是國際最常見的DevOps能力指標。</p> <p dir="ltr">這四個指標包括了平均部署頻率、更新準備時間、平均復原時間、變更失敗率。其中，平均復原時間過去是指系統故障後的恢復時間，但是，在去年DORA調查中，更聚焦在DevOps能力上，更明確地定義為更新引起的系統當機或失敗後，系統復原的平均時間。我們在iThome CIO大調查中，也用與DORA全球大調查同樣的題目和同樣的企業自評方式，來盤點臺灣企業的DevOps能力，進而與國際水準進行比較。在2024年CIO大調查中，我們參考了DORA 2023年大調查報告來進行。</p> <p dir="ltr">針對企業關鍵AP在四大指標的能力水準上，臺灣企業關鍵AP的平均部署頻率，高達19.9%，可以達到按需部署，也就是可以一天多次部署的能力，遠高於去年的14.3%，更多臺灣企業在這一項達到國際水準。另外在更新準備時間上，則有6.2%企業能在一小時內完成，只比去年的5.4%略多一些。關鍵AP變更失敗率指標，向來是臺灣企業強項，今年高達49.5%企業低於5%，約6成7低於10%，也優於去年。</p> <p dir="ltr">此外，在部署失敗後的平均復原時間上，今年更有21.4%的企業可在一小時內恢復，去年只有14.5%企業能達到這個水準。</p> <p dir="ltr">整體來說，四大指標中，臺灣企業有三項指標遠優於去年，尤其是平均部署頻率和平均復原時間，只有更新準備時間是臺灣企業今年DevOps能力再提升的瓶頸。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A23-%E5%9B%9B%E5%A4%A7%E4%BA%A4%E4%BB%98%E6%8C%87%E6%A8%99-600-1.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A23-%E5%9B%9B%E5%A4%A7%E4%BA%A4%E4%BB%98%E6%8C%87%E6%A8%99-600-2.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A23-%E5%9B%9B%E5%A4%A7%E4%BA%A4%E4%BB%98%E6%8C%87%E6%A8%99-600-3.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A23-%E5%9B%9B%E5%A4%A7%E4%BA%A4%E4%BB%98%E6%8C%87%E6%A8%99-600-4.png" style="width: 600px;" /></p> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> <p><a href="https://www.ithome.com.tw/article/164376" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> <strong>相關報導</strong> </span></span><strong style="font-size: 16px;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1194-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=o4l3GmQM" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/9 10:52作者王宏仁https://www.ithome.com.tw/article/164373
【iThome 2024 CIO大調查系列5｜DORA指標】6%臺灣企業DevOps能力達國際水準創新高，金融業卓越團…
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1194-feng_mian_4-dorazhi_biao_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球DORA指標不只用四大指標來衡量DevOps團隊的各項能力，更依據每年全球調查水準，綜合四項指標，定義出不同能力高低的等級，來反應企業IT團隊的整體DevOps能力水準。</p> <p>臺灣企業今年達到DevOps卓越團隊等級的企業，達到6%，這是我們連續第三年調查的新高，幾乎是去年1.1%的6倍之多。臺灣採用DevOps的企業約四分之一，其中更有6%的團隊達到國際級水準，這也反映出臺灣企業DevOps能力在過去一年明顯提高。</p> <p>卓越團隊的定義，會隨著當年全球DORA調查結果，而略有不同，2023年最新版DORA報告中，卓越團隊在四項指標的要求上，三項與前一年相同，包括了平均部署頻率達到按需部署、更新準備時間在一天以內、平均復原時間也不超過一小時，但在變更失敗率指標的要求，則從去年的15%以下，提高到了必須在5%失敗率以下。全球2023年達到卓越團隊的比例達到18%，另外有31％企業，達到高階團隊的水準，臺灣整體產業距離這個水準還有不小的距離。</p> <p>雖然臺灣今年有更多企業達到卓越團隊的程度，但在高階團隊的企業比例，則是從去年的52%，在今年下滑到只剩下25％。高階團隊比例下滑的關鍵原因是，DORA在2023年調查中，觀察到全球企業的DevOps能力提高了，也調高了對高階團隊的能力要求，尤其在變更失敗率上，過去只要在30%以下就屬於高階團隊，但在2023年，必須達到10%以下失敗率，才能進入高階團隊的水準，因此，去年5成高階團隊的臺灣企業，幾乎有半數企業的變更失敗率沒有達標，因此，臺灣企業今年高階團隊大幅減少到只有25%。</p> <p>從各產業來看，金融業DevOps表現最好，高達10.8%金融業者達到卓越團隊的水準，次高是近兩年積極推動IT現代化和上雲的醫療業，也有8.7%醫院達到卓越水準。政府學校今年卓越團隊的比例掛零，去年雖有7.7%政府學校達到卓越水準，但因為變更失敗率過高，隨著DORA調高標準，政府學校這些團隊在今年紛紛掉到高階團隊的等級。</p> <p>DORA全球調查去年也首度將GAI影響納入調查項目中，了解企業IT技術工作，有哪些項目開始受到GAI的影響。我們則進一步調查臺灣企業哪些IT技術工作開始採用GAI來加速，其中，已有18.5%臺灣企業開始用GAI輔助軟體開發，也有17.5%臺灣企業用GAI來優化自己的程式碼，又以服務業最積極，破2成3的服務業者開始用GAI來輔助開發，DevOps能力較弱的一般製造業，也有高達22.7%企業開始採用GAI輔助開發。用GAI來提高軟體開發速度和生產力，是生成式AI最直接也是最明顯的效益，臺灣企業今年也開始借重GAI技術和工具，來提高自己的DevOps戰力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A24-DORA%E6%8C%87%E6%A8%99-600-1.png" style="width: 600px;" /></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1194-%E5%B0%81%E9%9D%A24-DORA%E6%8C%87%E6%A8%99-600-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A24-DORA%E6%8C%87%E6%A8%99-600-2.png" style="width: 600px;" /></a></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A24-DORA%E6%8C%87%E6%A8%99-600-3.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A24-DORA%E6%8C%87%E6%A8%99-600-4.png" style="width: 600px;" /></p> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> <p><a href="https://www.ithome.com.tw/article/164376" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:24px;"><span style="font-size:22px;"><span style="background-color:#3399ff;"> <strong>相關報導</strong> </span></span><strong style="font-size: 16px;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1194-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=o4l3GmQM" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/9 10:54作者王宏仁https://www.ithome.com.tw/article/164375
GAI開始加速企業IT戰力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是我們連續第三年，用全球DORA指標，來盤點臺灣企業的DevOps能力，採用同一套標準，不只可以讓企業用來和臺灣同業、同產業的比較，更可以用來比較臺灣企業和全球企業的開發能力。</p> <p>Google旗下的DevOps評估研究團隊DORA已經連續9年（今年正在進行第10年的調查），調查全球企業的DevOps能力。調查所用的這一套DORA指標，逐漸擴大涵蓋到更多面向，但其中，最核心的是用來衡量DevOps交付能力的四大指標，這是國際間最常用來衡量一家企業DevOps能力的指標。臺灣也越來越多企業用這個指標，來衡量自家IT團隊的開發能力，作為持續改進的參考。</p> <p>iThome CIO大調查從2022年開始，採用同樣的網路自評，同樣的問題和答案選項，來問臺灣企業的IT主管，今年是第三年。企業DevOps交付能力的高低，與他們所面臨的挑戰大小相關，隨著越來越多企業擁抱雲原生技術，諸如微服務架構、容器化技術、跨雲多雲混合雲架構的採用率年年提高，微服務架構的企業採用率從去年的21.1%，今年底將增加到24.9%，K8s與容器技術的採用率從去年的25.4%，今年也增加到26.8%。多雲混合架構的企業採用率也從去年22.7%，今年增加到26.3%。</p> <p>但是，企業所面臨的IT環境更多元，軟體開發複雜度、基礎架構資源的調度和維運考驗也比過去更嚴峻。這些挑戰，一方面驅使企業必須更積極擁抱DevOps等現代化開發工具來優化開發流程，另一方面也提高了企業優化DevOps交付速度和品質的難度。從我們的CIO調查，可以觀察到企業擁抱IT現代化過程的迫切性和困難。</p> <p>臺灣企業DevOps採用率從2022年底的19.4%，2023年底增加到23%，今年底更預估會繼續提高到25.6%，平均每四家企業就有一家要擁抱DevOps，今年又以金融業的DevOps採用率最高，預估達到40.7%，服務業和醫療業也高達3成。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/164370" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A22-600-1.png" style="width: 600px;" /></a></p> <p>不只越來越多企業擁抱DevOps，企業對於DevOps的能力也一年比一年更強，從臺灣企業DORA指標數據來看，今年達到卓越團隊等級的臺灣企業，達到6%，去年只有1.1%的企業達到這個國際水準，幾乎是五到六倍的成長，反映出臺灣企業快速跟上的現象。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/164375" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A24-DORA%E6%8C%87%E6%A8%99-600-1.png" style="width: 600px;" /></a></p> <p>從單項指標數據來看，臺灣企業關鍵AP的平均部署頻率，高達19.9%具備按需部署能力，比去年的14.3%提高了不少。在AP變更失敗率指標（高達49.5%企業的失敗率低於5%）和部署失敗後的平均復原時間（21.4%企業今年可在1小時內恢復），這兩項能力也明顯比去年有更多企業達到卓越團隊水準。只有更新準備時間的提升較少，如只有6.2%企業能在一小時內完成，比去年的5.4%略多一些。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/164373" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A23-%E5%9B%9B%E5%A4%A7%E4%BA%A4%E4%BB%98%E6%8C%87%E6%A8%99-600-1.png" style="width: 600px;" /></a></p> <p>部署頻率和更新準備時間可以反映出企業的團隊開發速度，而變更失敗率和平均復原時間則反映了企業軟體開發的品質和穩定性。臺灣企業在品質和穩定性上明顯的提升，而開發速度上，則偏重部署頻率的提升，考驗IT基礎架構資源調度與CD自動化能力的更新準備工作，則還有提升的空間。</p> <p>不過，從今年調查中，可以看到近2成的臺灣企業，開始運用生成式AI來輔助軟體開發，26.3%企業用GAI撰寫開發文件，18.5%企業用來輔助程式碼撰寫，也有17.5%企業用於優化程式碼，這都有助於提高企業軟體開發的品質，也能加速企業軟體開發交互的速度，從今年臺灣企業DORA數據的提升，也能看到GAI效能開始發酵。</p> <p>但這只是剛起步，而不是終點，隨著GAI輔助開發工具，越來越成熟，願意嘗試，懂得善用GAI輔助開發的企業，有機會再進一步加速自己的IT開發戰力，明年有機會看到更多臺灣企業達到DevOps卓越團隊的水準！</p> <p><a href="https://www.ithome.com.tw/article/164376" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> <strong>相關報導</strong> </span></span><strong style="font-size: 16px;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1194-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=o4l3GmQM" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ithome-2024-cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">iThome 2024 CIO大調查</a></div><div class="field-item odd"><a href="/tags/cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">CIO大調查</a></div><div class="field-item even"><a href="/tags/devops">DevOps</a></div><div class="field-item odd"><a href="/tags/%E9%96%8B%E7%99%BC">開發</a></div><div class="field-item even"><a href="/tags/%E7%B6%AD%E9%81%8B">維運</a></div><div class="field-item odd"><a href="/tags/aiops">AIOps</a></div><div class="field-item even"><a href="/tags/finops">FinOps</a></div></div></div>
2024/8/9 10:56作者王宏仁https://www.ithome.com.tw/voice/164371
JavaScript執行環境Bun效能大幅提升，網頁應用框架express.js請求吞吐量增50%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以執行速度著稱的JavaScript執行環境Bun，在其最新版本<a href="https://bun.sh/blog/bun-v1.1.22#less-memory-usage">1.1.22</a>又對效能進行了一系列的強化，網頁應用框架Express.js的執行速度進一步提升，ES模組在Windows上的執行速度也更快了，POST請求時Bun.serve()速度快了10％，而記憶體使用量大幅減少，對Node.js相容性獲得改善。整體來說新版本Bun的開發體驗和程式執行效率都有顯著提升。</p> <p>Bun相較於Node.js是更為現代化的JavaScript執行環境，以其高效能和豐富內建工具著稱。Bun在處理HTTP請求和模組載入方面都比Node.js更快，應用程式的執行效率也較好，而且原生支援JavaScript、TypeScript和JSX/TSX，讓開發者使用起來更方便。</p> <p>Bun 1.1.22的效能改進是一大重點，首先，Express.js框架在Bun中的效能獲得大幅提升，請求吞吐量相比上一版本提高了50％，Express.js在Bun中執行速度是Node.js的3倍。另外，針對Windows平臺的最佳化，ES模組的載入速度提升達4倍，開發團隊解釋，原本只在Linux和macOS實作的並行轉譯（Concurrent Transpilation）技術現在也上到Windows中。</p> <p>此外，Bun高效能HTTP伺服器功能Bun.serve()，處理Post請求的吞吐量提升10％，特別是在程式碼不需要讀取請求主體，例如上傳的資料或表單等情況，效能提升更為明顯。以上這些改進都大幅提升Bun在處理高負載應用程式時的效率和反應速度。</p> <p>新版本Bun在記憶體使用量也有改善，透過最佳化模組原始碼釋放時機，達到在使用bun—hot重新載入程式碼時，記憶體使用量減少一半。開發團隊也修復了一個匯入或是要求已經被回收的模組，會保留其原始碼引用的錯誤，而這也進一步減少記憶體消耗。</p> <p>在Node.js相容性方面，Bun做了大量改進和錯誤修正，確保Node.js函式庫可以在Bun中順暢運作，也使得開發者將應用程式從Node.js搬遷至Bun更加容易，提高了Bun的實用性和穩定性。</p> </div></div></div>
2024/8/9 08:41作者李建興https://www.ithome.com.tw/news/164385
【如何平臺化整合500萬會員數據】Line TV導入CDP一站式管理4大通路會員足跡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前，影音串流平臺Line TV即有500萬名活躍會員，在Line、網站、手機App、電視App等4種通路留下數位足跡，產生大量數據。這些數據為行銷部門帶來了優化決策的機會，但也為數據團隊帶來難題。</p> <p>這是因為，Line TV不同通路的數據散落於不同系統，規模龐大且種類繁多。雖然Line TV原本有一套廣告數據的蒐集和報表機制，可以自動產生制式報表。不過，為了嘗試不同行銷策略，行銷人員常需要取得既有機制沒有提供的數據。此時就得由數據團隊支援，由資料分析師手動撈取指定欄位的資料，人工製作出報表。Line TV數據團隊不到10人，要支援全公司各單位數據作業請求，人力十分吃緊，也較難以即時回應作業請求。</p> <p>Line TV用戶增長經理詹博詳坦言：「整個流程長達兩周，很難快速對用戶行為快速反應！」所以，Line TV投入百萬元預算，決定導入CDP（顧客數據平臺），來提升數據應用效率。</p> <p>他們期望導入CDP，以易用的介面呈現數據，讓行銷團隊能自己處理更多數據作業，不必全靠數據團隊。也希望提升影音推薦、廣告投放、驗證決策等作業的效率，並從數據中探索更多洞察及應用可能。</p> <p><span style="font-size:28px;"><strong>導入前置作業花半年，教育訓練再一季</strong></span></p> <p>有些電商導入CDP只需1個月，遇到客製化開發或系統串接需求，則會用上3個月。但光是導入CDP的前置準備，Line TV就花上了半年，因為他們的特殊數據應用需求。</p> <p>首先，Line TV用戶數多，活動足跡橫跨許多不同種通路，且有免費的廣告觀看制（AVOD）跟付費訂閱觀看制（SVOD）兩種商業模式。這些與使用者相關的資料，種類繁多，且規模龐大。</p> <p>考量到數據匯入與儲存的成本，他們必須仔細挑選匯入CDP的資料種類。花了一番時間，Line TV彙整了數據部門、行銷部門及其他可能會用到CDP的部門釐清需求，以挑選數據來源及匯入欄位。</p> <p>不只如此，Line TV為了遵循韓國集團總部的資料使用規範，還需要再斥資上百萬元，請廠商客製資料庫架構，在雲端CDP處理數據階段使用去識別化資料，將數據匯回自動化行銷系統後才匹配個別用戶身分，來發送行銷訊息。</p> <p>最後經過一系列數據梳理、匯入、正確性驗證作業，根據行銷需求設定CDP模組參數後，才完成CDP的建置。</p> <p>CDP正式上線，詹博詳表示，行銷人員花了1至2個月熟悉主要功能後，開始浮現第一個也是最重要的效益──數據應用時效性大幅提升。從受眾資料撈取、進行行銷、事後分析整個流程所需的時間來統計，導入CDP後，數據分析師可以減少70%的作業時間。</p> <p>詹博詳補充，由於一開始花費許多時間對齊新技術與實際業務中的數據使用情境，CDP較好與既有行銷策略結合，行銷人員使用CDP的意願也十分積極。熟悉操作後，更會根據新的使用需求，主動要求匯入更多種數據到CDP。</p> <p>正式上線4至5個月後，行銷人員開始運用更進階的操作，例如設計自動化行銷流程、使用不同數據分析模組等，不需要數據團隊，便能利用CDP來進行更深度的數據分析，以及不同自動化行銷做法。</p> <p><span style="font-size:28px;"><strong>根據數據修正行銷目標及設計跨通路行銷活動</strong></span></p> <p>Line TV用CDP交叉分析多項關鍵用戶數據，包括用戶身分、用戶訂閱方案、購買行為、觀劇種類、點擊、進出站時間、為內容評分的頻率等，發現了過往未曾知曉的用戶行為特徵，可用來調整行銷目標及做法。</p> <p>例如，他們發現免費用戶觀劇時段平均分布在一個月中，觀劇主題有高度關聯性，但訂閱用戶則是一口氣看完高話題性影劇後就會不上線。或者，用戶在不同裝置上，觀看的時段和內容類型也各有偏好。例如用戶常用手機在日間觀看連續劇，電視則用於晚上看電影。這些特徵數據都是認識用戶、修正行銷策略的依據。</p> <p>甚至，啟用CDP分析數據一段時間後，Line TV發現，用戶流失情況比想像中更嚴重，才驚覺，原本以獲取新客為主軸的行銷策略方向不對，因而大幅改為以留存舊客為主。</p> <p>他們重新改以留存用戶為出發點，來分析用戶行為，發現不同訂閱方案的會員，各自有類似流失模式，可以從中找出關鍵溝通時機點和內容，來嘗試增加留存率。例如，在一部劇快看完時對AVOD用戶推薦新劇，或是於訂閱方案快到期時溝通會員權益等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-LINE-%E6%B4%AA%E6%94%BF%E5%81%89-%E6%94%9D%E5%BD%B1.JPG" style="width: 450px;" /></p> <p><span style="color:#696969;"><strong>Line TV用戶增長經理詹博詳表示，導入CDP最大效益是應用數據於行銷所需時間從數周縮短到以日為單位，減少了70%所需時間。</strong></span><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>透過CDP統整數據，使跨通路行銷變得可能</strong></span></p> <p>為了善用CDP的分析工具，Line TV行銷部門也得具備新的能力，需要學習MA（自動化行銷，Marketing Automation）旅程的設計。</p> <p>詹博詳進一步說明，不同行銷通路的成效測量依據、時效性、成本、溝通力度都不同，MA旅程設計是思考，在特定行銷目的下，如何有效搭配Line官方帳號、簡訊、EDM等通路的行銷行為。透過CDP統整不同通路的行銷數據後，他們才開始根據通路特性，來組合出跨通路行銷活動。</p> <p>詹博詳說，Line TV目前有2套重要的MA旅程，一套用來溝通VIP用戶留存，另一套則用來挽回已取消訂閱的流失用戶，這也是他們導入CDP後的重要效益。</p> <p>另外，Line TV還用CDP來支援廣告投放，一面投放廣告，一面追蹤用戶，來調整投放策略，大幅提升了廣告轉換率。</p> <p>進行各式數位行銷同時，他們也利用CDP上的A/B測試模組，來測試行銷成果和驗證自己對用戶的了解。他們會測試用戶的觀劇主題偏好，以及測試對不同用戶族群的有效溝通策略。例如，要推薦影劇內容，還是給予方案優惠，抑或是提醒VIP權益，才能達到最高成效。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-LINE-600-1.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><strong>Line TV用戶足跡遍布不同通路及裝置，包含桌機瀏覽器網頁、行動網頁、兩大作業系統App，還有電視及Line官方帳號。過往這些數據都散布於不同系統中，如何有效率從企業高度來綜合分析數據、擬定行銷做法，是一大挑戰。</strong><span style="font-size:14px;">圖片來源／Line TV</span></span></p> <p><span style="font-size:28px;"><strong>數據應用彈性及數據價值發掘仍有需求未滿足</strong></span></p> <p>詹博詳坦言，導入CDP後，確實大幅提升數據應用及行銷的效率，不過，CDP並非萬靈丹，實務上仍有4項不足，兩項是彈性不足的問題，另外兩項是進階應用的挑戰。</p> <p>首先，影音串流業行銷活動需要時常更換素材，來跟上快速推陳出新的影視內容。但他們現有的CDP，一旦更換素材，就需要建立新MA旅程，相當不便。目前Line TV只能用增加人工作業來彌補。</p> <p>再來，受限於平臺和數據源，CDP現有資料新鮮度以天為單位來提供，雖然比過去2周為單位的時效性快了許多，但還是很難執行更即時性反應用戶行為的行銷策略，例如用戶出現特定行為，10秒後發送指定行銷訊息。</p> <p>第三項不足是分眾行銷的精準度受限於行銷人員的數據分析能力。就算用AI輔助圈選行銷的受眾，但仍需行銷人員先從數據報表找出模式，人工定義出明確的用戶條件，無法用例如「我想要找高潛力訂閱用戶」這種條件較抽象，但更貼近行銷目標的條件來圈選。最後一項是，Line TV無法進行更精準的定價，他們希望能根據多維度數據，來推出因人而異的賣場或方案，類似於機票平臺動態定價功能。</p> <p>為了深化顧客數據分析的應用，Line TV透過持續A/B測試，讓行銷團隊與數據團隊密切協作，嘗試更多分析專案，一面確認行銷成效，一面逐步微調行銷做法，也持續探索其他AI工具對數據行銷的應用可能性。</p> </div></div></div>
2024/8/9 06:00作者郭又華https://www.ithome.com.tw/news/164364
擁抱容器化與雲端打造靈活IT，東海要推動AIoT打造智慧校園
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提到中部知名的私立大學，相信不少人會想到位於臺中，以秀麗校園環境讓人留下深刻印象的東海大學，這所成立超過一甲子的老牌私立大學，以宗教教育、人文學風聞名，在國內高等教育中占有獨特地位。</p> <p>在理工及科技至上的現代大學教育中，東海大學並沒有在現代教育中落後，該校致力於轉型為人文、科學思維兼具的大學，在占地133公頃的校區，為國內私立學校中面積最大的學校，校園內隨處可見綠樹、草地，濃厚歷史氣息的古樸建築，寧靜校園的背後是看不見的智慧化管理。</p> <p>該校去年將電算中心與圖書館合併為圖書暨資訊處（後面簡稱為圖資處），由過去近十年曾擔任電算中心主任及圖書館長的圖資長楊朝棟帶領，協助東海大學的資訊化、智慧化校園發展。</p> <p><span style="font-size:28px;"><strong>打造智慧校園</strong></span></p> <p>身為資工系終身特聘教授的楊朝棟熱心展示他所帶領的實驗室運用圖資處建置VACS運算資源的最新AIoT研究成果，結合電腦視覺技術及監控畫面，例如圖書館內即時監控影像結合人工智慧影像辨識技術，利用物件偵測模型YOLO，他們測試YOLOv4到v10不同版本，來自動辨識圖書館內即時監控畫面，辨識圖書館內的人或椅子。</p> <p>這項應用不只是圖書館內的影像，還可以串接其他鏡頭的畫面，例如學校大門口的監控影像，用以辨識校門口來往的行人、汽機車，經過特別訓練，甚至還能辨識實習農牧場內的動植物，辨識牧場內被認養的牛隻特徵及位置，或是農作物的生長情形。</p> <p>楊朝棟表示，經過實測，相同的監控畫面，不同版本YOLO模型對物件辨識度存在差異，依照影像畫面品質、訓練資料的完整性，特定場景可能適合使用某個YOLO版本，其他場景則可能適合別的版本，需要經過不斷的測試找出適合使用的模型。他並展示手機拍攝即時影像畫面也能搭配YOLO辨識物品。</p> <p>目前他們已和臺中沙鹿的光田醫院科專合作，利用監視器畫面結合電腦視覺，偵測輪椅數量準備是否足夠，當發現可供使用的輪椅數量不夠時，以Line通知相關人員添加輪椅。另外，東海和臺中榮總合作，以遷移式學習技術辨別病人表情，以此判斷病人的胸痛程度，當判斷病人胸痛程度可能較高時，提醒醫護人員加強照護。</p> <p>因校園占地廣大，涵蓋農牧場、東海湖、教堂，東海建置物聯網加強對校園的環境監測，在校內建置LPWAN低功耗廣域網路通訊，共建置3個LoRa無線通訊基地臺。此外，還有由電信商提供的NB-IoT，搭配開發板開發的物聯網裝置，蒐集戶外環境的感測數據，監測校園內的空氣品質及水質，對於需要取得畫面影像如實習牧場則靠Wi-Fi或4G、5G網路傳輸。</p> <p>由於LPWAN在室內的訊號較差，室內主要靠Wi-Fi無線網路，過去幾年學校已升級至Wi-Fi 5或Wi-Fi 6，但是因應增加的無線網路需求，校方已計畫升級至Wi-Fi 6或6E。</p> <p>學校也特別設計一個智慧校園網頁，涵蓋智慧服務、智慧管理、智慧學校、智慧環境等面向，師生除了數位學習平臺，可以檢視網路管理，結合校園內的物聯網及智慧電表，使用者還可以查詢校園內各個單位用電。</p> <p>由於火力發電廠、工業區、焚化爐造成空氣污染，空氣品質不佳一直是臺中地區面臨的問題，東海也在廣大的校園內各處建置感測器，結合物聯網來監測空氣品質，學生及教職員就能利用智慧校園網頁隨時查詢校內空品，還能查詢環境部、地方環保局空氣盒子偵測的空氣品質。</p> <p><span style="font-size:28px;"><strong>針對校內需求推出生成式AI機器人</strong></span></p> <p>一直以來東海大學予人的印象偏向人文教育，在AI興起之後，這所老字號私立大學也從2018年開始改善軟硬體環境，以提昇AI教學能量，學生在通識教育學習Python程式語言及AI思維，後續則在各個學院專業課程學習AI相關應用。東海自行開發A12Think、A12Code，讓學生學習以電腦科學的流程圖思維方式解決問題，降低寫Python程式碼，來建置基本的AI應用。圖書暨資訊處也負責完備校內AI教學、研究所需的軟硬體環境，建置AI雲端運算資源，今年還建置新的AI電腦教室，採用高階GPU的AI NB。</p> <p>鑑於生成式AI在全球帶動風潮，可以自然語言進行人機對話，生成式AI可針對使用者的提問或要求回應，驅動聊天機器人創新應用，雖然使用者可以免費使用ChatGPT等生成式AI服務，但是東海仍決定基於校內需求，推出自己的生成式AI機器人。</p> <p>為了盡快讓師生能夠使用，當時規畫開發東海的生成式AI機器人，僅有微軟及Google的生成式AI技術能夠選擇，由於當時Google發展起步較晚，最後他們選擇微軟的方案推出機器人，提供對話、翻譯、摘要文字、撰寫文字等等。去年底正式推出生成式AI機器人咚咚妞，包括Teams、Line兩個平臺版本，該機器人是採用微軟Open AI的付費技術，使用者可以與機器人進行文字對話，請求翻譯中英文、摘要、生成內容等等，其中Line版本機器人提供學校師生及校外人士使用，連結東海校園內資訊，使用者可以與Line版機器人以自然語言的方式對話，來查詢校內服務，至於Teams版本機器人需要學校帳號登入，但是可連接外部資料。</p> <p>透過生成式AI機器人，使用者能夠設定主題及條件，要求生成式AI機器人協助撰寫電子郵件內容，或是請機器人協助翻譯老師或學生的論文。由於為付費服務，為避免遭到濫用產生高額費用，校方為這個生成式AI機器人設計總量限制機制。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-CIO-%E6%8A%BD%E8%A8%80-PNG.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>加速圖書館資訊化發展</strong></span></p> <p>圖書館與電算中心合併後，圖資處加速校內的資訊化發展，特別是圖書館業務資訊化程度。</p> <p>傳統上，圖書館業務為圖書館藏、圖書檢索及借還書業務，不論是借還書、書籍整理都仰賴人力，因此圖書館員額編制原本有7個組，後來縮減人力至4個組，到楊朝棟擔任圖資長，目前圖書館員額僅剩2個組，在員額編制不再增加之下，如何提高圖書館資訊化發展，達到節省人力的目的，成為楊朝棟上任後的挑戰。</p> <p>「圖書館的業務已不只有單純的借還書服務，現在提供更多元化的服務」，楊朝棟說，曾任電算中心主任及圖書館館長的他，相當熟悉資訊及圖書業務兩個單位的工作，因此擔任圖資長後，加速推動圖書館資訊化服務，借重電算中心的資訊人力，加速其資訊化發展，例如原本圖書館的數位服務組，在組織調整後改由電算中心服務櫃臺支援，今年7月更進一步推出基於Google Gemini的智慧圖書館員。</p> <p>另外，圖書館也汰換舊版網頁，新網頁提供更多的資訊，除了導入嚮應式設計，圖書館樓層導覽也提供立體樓層導覽，讓師生可以從立體樓層導覽介面中，檢視圖書館內不同樓層資訊，特別的是，這幾年隨著智慧校園發展，校內透過建置IoT物聯網強化校園管理，圖書館各樓層也建置感測器，以蒐集不同樓層的室內空氣品質數據，師生能夠從樓層導覽資訊檢視各樓層的即時空氣品質，包括圖書館內各樓層的溫溼度、二氧化碳濃度。</p> <p>楊朝棟表示，過去圖書館內因為資訊人力有限，必需委托外部廠商協助，然而由於預算有限，圖書館的資訊化工作的推動上相較為緩慢，現在，圖書館與電算中心合併，在電算中心資訊人力協助之下，具備自行開發能力，在愈來愈受到重視的資訊安全方面，也能藉此提高圖書館的資安管理層級。</p> <p><span style="font-size:28px;"><strong>校務系統擁抱容器化及雲端服務</strong></span></p> <p>在校務營運上，由於創校較早，東海大學最初資訊環境是架構在大型主機上，後來轉為伺服器，採用虛擬化架構，2021年開始導入超融合架構，近幾年其校務行政系統開始擁抱容器化，朝向向輕量化發展，並將部分服務遷移到公有雲。</p> <p>圖書館在與電算中心合併之前，因資訊人力有限，只能在傳統主機部署服務，兩個單位合併之後，借助電算中心的人力，將圖書館原有的多媒體視聽資料、特色典藏、電子資料整合等服務部署至雲端，以降低地端主機的維運成本，維運則交由公有雲業者處理。</p> <p>校務行政系統去年開始導入容器化，至今年5月正式轉為容器化架構，完成雲端化的準備。</p> <p>楊朝棟表示，傳統虛擬機耗用比較多的資源，並且使用實體機部署虛擬機，對實體機的依賴較高，採用容器化技術架構，以微服務方式部署，具有輕量化特性，占用的資源比較少，部署也比較快速，並且部署於公有雲，當面臨需求突然增加，可以快速加開容量，增加十倍或上百倍的資源。</p> <p>以選課系統為例，為明顯具有期間性的需求，只有學生選課期間為使用高峰，過去使用虛擬機容易受到網路影響，現在選課系統採用容器化，並且轉移到雲端，可以彈性資源運用滿足使用高低峰的需求變化。</p> <p>然而，東海並未將所有校務系統上雲，學校目前使用甲骨文資料庫，如果要將資料庫也搬上雲，則可能需要花費更多經費在授權費，因此對於高度依賴地端資料庫的部分系統，考慮到和地端資料庫頻繁存取，可能導致較高的費用，部分系統沒有轉移至雲端。</p> <p>目前東海擁抱三大公有雲服務，校內資訊系統大多使用在臺灣境內的本地資料中心，生成式AI機器人、官網分別採用另兩種公有雲服務，以兼顧境內資料中心就近使用、資源彈性運用優勢。</p> <p>電算中心與圖書館合併，肩負校務資訊化發展，「過去IT屬於技術單位，現在則是服務單位，不僅服務面向更廣，且提供售後服務，致力研發新的系統」，楊朝棟對於IT單位扮演的角色轉變有感而發地說。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>東海大學圖書暨資訊處圖資長楊朝棟</strong></p> <p>學歷：交大資訊科學所博士</p> <p>經歷：曾於臺北捷運擔任助理工程師，以國防役身分在國家太空中心擔任副研究員，2001年進入東海大學擔任資工系副教授，歷任教授、終身特聘教授，並曾任軟體工程與技術中心主任、電算中心主任、圖書館長等職務，2023年電算中心與圖書館合併，升任圖資長</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-CIO-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89-600.jpg" style="width: 450px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">攝影／洪政偉</span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 機關檔案 </span></span></strong></p> <p><strong>東海大學</strong></p> <p>●地址：臺中市西屯區臺灣大道四段1727號</p> <p>●網址：<a href="https://www.thu.edu.tw/">https://www.thu.edu.tw/</a></p> <p>●成立時間：1955年</p> <p>●主要業務：綜合型大學</p> <p>●員工數：2,230人</p> <p>●校長：張國恩</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：圖書暨資訊處圖資長</p> <p>●資訊部門主管姓名：楊朝棟</p> <p>●資訊部門人數：45人</p> <p>●資訊部門分工：處本部、讀者服務組、書刊採編組、數位服務組、系統發展組及資安網路組</p> <p>●IT預算：約8,181萬元（含圖書館）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2018年：LineBot服務上線、iLearn數位學習平臺上線</p> <p>●2019年：東海AI雲平臺2.0上線，校內支援行動支付</p> <p>●2022年：全校導入Google Workspace教育版</p> <p>●2023年：圖書館與電子計算機中心合併為圖書暨資訊處；生成式AI機器人「咚咚妞」正式上線，支援Teams與Line兩大平臺</p> <p>●2024年：推動校務行政系統轉換容器架構，改善主機容量及效能；AI智慧圖書館員服務；建置新的AI NB電腦教室，推動校內AI發展</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1194-cio-she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="東海大學圖書暨資訊處圖資長楊朝棟　（攝影／洪政偉）" /></div></div></div>
2024/8/9 06:00作者蘇文彬https://www.ithome.com.tw/people/164365
玉山金控揭露兩項金融科技進展，要用微前端、微服務打造新一代行網銀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山金控今日在法說會前記者會揭露，目前正在採用微前端、微服務架構打造新一代行網銀，預計今年能正式完成。另外，針對生成式AI發展，玉山金在有兩個重要發展目標，第一，持續提高數位金融作業時間，「從日轉換到一小時為目標。」第二，持續發展AI副駕駛概念，推出更多輔助員工作業的應用。</p> <p>針對新一代行網銀計畫，玉山金控董事長黃男州點出，加快行網銀技術運用速度，是玉山的重要考量。他解釋，隨著行網銀的重要性提升，技術需求也快速演變，然而，舊有技術的更新速度較慢，難以跟上迅速提升的技術需求。例如，當IT人員要修改行網銀某項功能，須要因應不同平臺，開發多個版本，拖慢了整體更新速度。</p> <p>所以，為了加快行網銀更新速度，提升功能擴充性，玉山銀行數位暨客群處副處長邱雪姿表示，他們正在採用微前端和微服務技術打造新一代行網銀，透過這些技術，能將行網銀的功能個別模組化，讓IT人員僅需針對個別功能進行更新。另外，個別功能模組也會朝向跨平臺化，讓IT人員不需要因應不同平臺開發多個版本。「我們希望採用類似卡片的架構形式，當要修改某個功能，只要抽出其中一張，換上新卡片，就能完成更新。」黃男州則用卡片的例子補充說明。</p> <p>針對生成式AI發展，玉山銀行智能金融處資深副總工程師林鉦育表示，玉山明年生成式AI發展主軸會延續今年的兩大路線，第一，深化AI Agent應用，第二，推廣AI Copilot使用。他解釋，玉山會以穩定、安全服務為目標發展AI Agent，持續提高各項金融作業時間，計算周期也會逐漸從日轉換到一小時。另外，針對協助行員作業的AI Copilot，玉山明年會陸續在理財、程式開發、客服、法遵等場景提供服務。</p> <p></p> </div></div></div>
2024/8/8 19:21作者李昀璇https://www.ithome.com.tw/news/164384
【資安日報】8月8日，黑帽大會首度增設AI議程，趨勢科技展示深偽偵測技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球目光集中在奧運的同時，上週末（8月3日）重量級資安會議黑帽大會Black Hat USA 2024正式在美國拉斯維加斯展開，前4天是資安訓練活動，最後兩天則有超過100場精選議程。</p> <p>其中最吸引眾人注意的安排，是大會前一天舉辦AI Summit研討會，趨勢科技也在上午議程展示偵測深偽（Deepfake）的商用解決方案。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164336"><strong style="font-size: 22px;">Windows智慧應用程式控制與SmartScreen存在漏洞，可被攻擊者輕易繞過</strong></a></p> <p>Elastic安全研究實驗室發現，Windows的智慧應用程式控制（Smart App Control，SAC）和SmartScreen篩選工具存在弱點，可能讓攻擊者在不觸發任何安全警告，或是彈出視窗的情況下，獲得初步的存取權限。</p> <p>研究人員發現了使用程式碼憑證來簽署惡意軟體，繞過智慧應用程式控制的方法。而且在智慧應用程式控制功能出現之前，攻擊者就已經使用這種方法來迴避偵測，最近攻擊者甚至還取得擴充驗證（Extend Validation，EV）來簽署應用程式。</p> <p>他們公開3種方法，用於攻擊基於信譽比對的惡意軟體保護系統，第一是利用良好聲譽的應用程式來繞過安全系統，第二則是將受控制的二進位檔案插入系統中，乍看之下無害，實際卻可以執行惡意行為，這些二進位檔案在初期獲得良好聲譽，使其能夠規避偵測，在適當時機發動攻擊。第三種則是竄改檔案內容，攻擊者利用部分修改並不會影響檔案聲譽的漏洞，進行惡意操作。</p> <p><a href="https://www.ithome.com.tw/news/164367"><strong style="font-size: 22px;">微軟指控達美航空拒絕協助、系統太舊，導致IT難復原</strong></a></p> <p>達美航空<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">（Delta Airlines）</span>在7月19日的CrowdStrike軟體更新事件中，遭遇重大IT停機事故及損失，打算向CrowdStrike求償5億美元。對此，<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">微軟本周選擇站在CrowdStrike同一陣線，指控達美航空拒絕協助，以及該公司的基礎架構太過老舊，才導致IT系統長時間停擺。</span></p> <p>微軟說，從7月19日事發到7月23日之間，他們每天以電子郵件連繫達美航空，表示願意無償提供協助，但皆遭到拒絕。7月24日，微軟執行長Satya Nadella親自聯繫達美執行長Ed Bastian，也未接獲回應。</p> <p>而對於達美航空拒絕微軟的協助，原因很有可能是受影響的系統由其他IT業者提供，而非使用微軟的Azure架構，並認為該航空業者持續延用老舊IT基礎架構而難以復原。</p> <p><a href="https://www.ithome.com.tw/news/164382"><strong style="font-size: 22px;">針對MFT檔案傳輸系統MOVEit零時差漏洞攻擊事故，Progress證實美國證交所對其進行調查</strong></a></p> <p>去年6月爆發的MFT檔案傳輸系統MOVEit Transfer零時差漏洞大規模攻擊，美國證券交易委員會（SEC）傳出10月對Progress發出傳票，對其公司進行調查，最近Progress提交的8-K表單證實此事，並表示調查已經完成，執法單位不會對他們採取法律行動。</p> <p>值得留意的是，Progress並未因此完全解除司法困境，因為他們還是要面對麻薩諸塞州聯邦法院的數百起集體訴訟。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/critical-progress-whatsup-rce-flaw-now-under-active-exploitation/"><strong style="font-size: 20px;">網路監控系統WhatsUp Gold的重大層級漏洞傳出已被用於攻擊行動</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cisa.gov/news-events/alerts/2024/08/07/royal-ransomware-actors-rebrand-blacksuit-fbi-and-cisa-release-update-advisory">勒索軟體駭客Royal東山再起並組成BlackSuit再度犯案，2年內已索討5億美元</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/cloud-espionage-attacks">南亞媒體組織遭到Go語言打造的後門程式GoGra攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164368"><strong style="font-size: 22px;">研究人員揭露Windows更新機制缺陷，並宣稱能重新引入已修補漏洞</strong></a></p> <p>駭客利用使用者尚未套用更新程式的已知漏洞發動攻擊，可說是極為常見，但乖乖定期安裝更新軟體就能高枕無憂嗎？有研究人員指出，有機會透過「降級（Downgrade）」攻擊手法，從而導致作業系統軟體漏洞再度出現，得以再度利用並危害受害電腦。</p> <p>資安業者SafeBreach的研究人員指出，他們發現一種無法偵測的降級攻擊手法，過程中利用視窗作業系統的自動更新機制Microsoft Update弱點，從而提升權限並繞過各式安全機制，讓完全修補的Windows電腦曝露在原本微軟公布的數千個漏洞風險當中。研究人員強調，這種降級手法不僅無法偵測、難以察覺，甚至有可能無法復原。他們將在Black Hat USA 2024、DEF CON 32兩項資安會議上，展示相關研究成果。</p> <p>針對這些Microsoft Update弱點的發現，研究人員認為，資安界需投入作業系統降級攻擊的相關研究，作業系統供應商也要對此提高警覺。因為他們在過程中，發現微軟並未採取相關的保護措施，來防止重要系統元件被降級，而這樣的威脅，也可能存在於其他作業系統。</p> <p><a href="https://www.ithome.com.tw/news/164374"><strong style="font-size: 22px;">M365網路釣魚防護警示可遮蔽，有心人士可透過CSS樣式表隱藏</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/V07S48S.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/V07S48S.png" style="width: 300px; float: right;" /></a>釣魚郵件攻擊橫行，收信軟體搭配相關的警示機制提醒使用者提高警覺，但這樣的機制也可能被干擾，導致使用者無法看到相關訊息。</p> <p>例如，收信軟體Outlook在用戶收到鮮少往來的電子郵件信箱寄出的信件時，會顯示警告訊息，提醒用戶這封信件可能有問題，這項功能微軟稱做首次聯絡安全提示（First Contact Safety Tip），是Microsoft 365當中的Exchange Online Protection（EOP）及Microsoft Defender提供的釣魚防護機制，如今研究人員發現，攻擊者找到方法隱藏這種警示訊息，增加網路釣魚攻擊成功率。</p> <p>資安業者Certitude指出，微軟將這項警示訊息放置在電子郵件的主體（Body）開頭，攻擊者其實能藉由指定郵件的階層樣式表（CSS）隱藏相關訊息。了實際驗證上述手法可行，他們在寄出的郵件加入特定的CSS樣式表，將背景及字體都變成白色，就能阻止收信人看到警示。</p> <p><a href="https://www.ithome.com.tw/news/164378"><strong style="font-size: 22px;">太陽能發電系統存在重大漏洞，若不修補恐導致大規模停電</strong></a></p> <p>隨著國際局勢日趨緊張，駭客針對關鍵基礎設施下手的情況越來越常見，這類設施的安全也得到更大的重視。最近有研究人員發現，特定廠牌的太陽能發電（PV）系統存在弱點，一旦攻擊者對其下手，後果將不堪設想。</p> <p>資安業者Bitdefender發現Solarman的太陽能發電監控平臺、寧波德業（Deye）的逆變器存在漏洞，採用這些設備的太陽能發電系統橫跨全球逾190個國家、多達1千萬個發電裝置，能夠產生195千兆瓦的電力，占全球太陽能發電五分之一，一旦相關漏洞遭到利用，攻擊者就有機會癱瘓電網，從而導致停電。對此，兩家供應商在接獲通報後，皆著手修補。研究人員也將於DEF CON 32資安會議上，展示他們的研究成果。</p> <p>單就Solarman而言，這家廠商不只生產相關監控系統，也授權其他廠商生產部分發電基礎設施，而且，也有Solarman監控系統搭配其他廠牌逆變器的發電系統，因此漏洞影響範圍將超過上述規模。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.sonarsource.com/blog/government-emails-at-risk-critical-cross-site-scripting-vulnerability-in-roundcube-webmail/"><strong style="font-size: 20px;">郵件伺服器Roundcube存在漏洞，攻擊者可在受害者的瀏覽器執行JavaScript指令碼</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chrome-firefox-updates-patch-serious-vulnerabilities/">Google發布Chrome 127更新、Mozilla推出Firefox 129，修補高風險層級漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164363"><strong style="font-size: 22px;">趨勢科技在黑帽大會展示深偽偵測技術，強調企業需重新設想AI時代的網路風險管理</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/zhu_tu_ai_summit_black_hat_usa_2024_qu_shi_ke_ji_deep_fake.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/zhu_tu_ai_summit_black_hat_usa_2024_qu_shi_ke_ji_deep_fake.jpg" style="width: 300px; float: right;" /></a>AI資安的風險與機會，已是企業生存發展的重要課題，在美國拉斯維加斯舉辦的黑帽大會（Black Hat USA 2024），主要議程於本月7日與8日展開，不過今年黑帽大會有個延伸活動相當特別，那就是AI Summit研討會，於6日搶先登場。趨勢科技也在AI Summit發表演說，宣布推出商用的深偽偵測技術解決方案，也呼籲在AI時代下的資安，需朝向新一代網路風險管理方式發展。</p> <p>事實上，生成式AI的應用與風險持續受到全世界與所有產業的關注，然而，目前絕大多數企業仍不知所措，趨勢科技在黑帽大會對此提出說明，協助企業瞭解有了AI該怎麼管理，並期勉大家要懂得用AI來做風險管理，才能因應未來的局勢。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164356"><strong>【8月7日】法國博物館驚傳遭遇勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164335"><strong>【8月6日】達美航空、CrowdStrike將針對EDR系統大當機事故對簿公堂</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164301"><strong>【8月5日】研究人員公布去年中國駭客APT41攻擊臺灣研究機構的事故</strong></a></p> </div></div></div>
2024/8/8 17:49作者周峻佑https://www.ithome.com.tw/news/164383
太陽能發電系統存在重大漏洞，若不修補恐導致大規模停電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著國際局勢日趨緊張，駭客針對關鍵基礎設施下手的情況越來越常見，這類設施的安全也得到更大的重視。最近有研究人員發現，特定廠牌的太陽能發電（PV）系統存在弱點，一旦攻擊者對其下手，後果將不堪設想。</p> <p>資安業者Bitdefender發現<a href="https://www.bitdefender.com/blog/labs/60-hurts-per-second-how-we-got-access-to-enough-solar-power-to-run-the-united-states/">Solarman的太陽能發電監控平臺、寧波德業（Deye）的逆變器存在漏洞</a>，採用這些設備的太陽能發電系統橫跨全球逾190個國家、多達1千萬個發電裝置，能夠產生195千兆瓦的電力，占全球太陽能發電五分之一，一旦相關漏洞遭到利用，攻擊者就有機會癱瘓電網，從而導致停電。對此，兩家供應商在接獲通報後，皆著手修補。研究人員也將於DEF CON 32資安會議上，展示他們的研究成果。</p> <p>單就Solarman而言，這家廠商不只生產相關監控系統，也授權其他廠商生產部分發電基礎設施，而且，也有Solarman監控系統搭配其他廠牌逆變器的發電系統，因此漏洞影響範圍將超過上述規模。</p> <p>大致而言，Bitdefender發現的資安漏洞，與憑證（Token）的管理不當，以及傳送過多使用者資訊導致的資料外洩有關。</p> <p>他們發現Solarman平臺有3項漏洞，其中一個是可用來接管帳號的弱點，與OAuth身分驗證有關的API端點可被用來為任意使用者產生適用憑證，攻擊者可藉由JSON有效酬載來控制特定的使用者帳號，進而竄改逆變器的配置而寧波德業的設備也存在相同的弱點。</p> <p>另一個則是憑證重複使用的情況，研究人員發現由寧波德業雲端平臺簽章的憑證，竟然也能在Solarman使用，並能完全存取相同ID的使用者帳號，若是使用者並未採取相關隔離措施，這種情況有可能導致廣泛的未經授權存取。</p> <p>Solarman平臺的第三個漏洞，則是在API端點回傳過多企業組織資訊的情況，而有可能曝露電子郵件信箱及電話號碼等個資，攻擊者可試圖收集相關資訊用於後續攻擊，甚至串連前述可接管帳號的漏洞，掌握太陽能發電裝置的地理位址與產生電力的能力。</p> <p>至於寧波德業的設備資安漏洞，不只是前述接管帳號的弱點，還包含其他兩項漏洞。其中一個是帳密寫死弱點，攻擊者可藉由特定帳號得到相關憑證，並能對所有裝置進行存取。</p> <p>另一個則是在特定的API端點上，研究人員發現回傳過多使用者個資的情況，而能用來洩露相關資料。</p> </div></div></div>
2024/8/8 16:34作者周峻佑https://www.ithome.com.tw/news/164378
針對MFT檔案傳輸系統MOVEit零時差漏洞攻擊事故，Progress證實美國證交所對其進行調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年6月爆發的MFT檔案傳輸系統MOVEit Transfer零時差漏洞大規模攻擊，美國證券交易委員會（SEC）傳出10月對Progress發出傳票，對其公司進行調查，<a href="https://www.sec.gov/Archives/edgar/data/876167/000087616724000138/prgs-20240806.htm">最近Progress提交的8-K表單證實此事</a>，並表示調查已經完成，執法單位不會對他們採取法律行動。</p> <p>值得留意的是，Progress並未因此完全解除司法困境，因為他們還是要面對<a href="https://www.mad.uscourts.gov/caseinfo/multi-district-litigation.htm#:~:text=MDL%203083%3A%20In%20Re%3A%20MOVEit%20Customer%20Data%20Security%20Breach%20Litigation">麻薩諸塞州聯邦法院的數百起集體訴訟</a>。</p> <p>事實上，MOVEit Transfer資安事故受害規模相當大，<a href="https://www.emsisoft.com/en/blog/44123/unpacking-the-moveit-breach-statistics-and-analysis/">根據資安業者Emsisoft的統計</a>，截至今年6月28日，他們確認有2,773個企業組織受害，95,788,491人個資外洩。</p> </div></div></div>
2024/8/8 16:59作者周峻佑https://www.ithome.com.tw/news/164382
M365網路釣魚防護警示可遮蔽，有心人士可透過CSS樣式表隱藏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>釣魚郵件攻擊橫行，收信軟體搭配相關的警示機制提醒使用者提高警覺，但這樣的機制，也有機會被動手腳，讓使用者無法看到相關訊息。</p> <p>例如，收信軟體Outlook在用戶收到鮮少往來的電子郵件信箱寄出的信件時，會顯示警告訊息，提醒用戶這封信件可能有問題，這項功能微軟稱做首次聯絡安全提示（First Contact Safety Tip），是Microsoft 365當中的Exchange Online Protection（EOP）及Microsoft Defender提供的釣魚防護機制，如今研究人員發現，攻擊者有機會隱藏這種警示訊息，使得網路釣魚攻擊的成功機率增加。</p> <p><a href="https://certitude.consulting/blog/en/o365-anti-phishing-measures">資安業者Certitude指出</a>，微軟將這項警示訊息放置在電子郵件的主體（Body）開頭，這意味著攻擊者有機會藉由指定郵件的階層樣式表（CSS）來隱藏相關訊息。他們進行概念性驗證展示，在寄出的郵件加入特定的CSS樣式表，將背景及字體都變成白色，使得收信人不會看到有關的警示訊息。</p> <p><a href="https://s4.itho.me/sites/default/files/images/V07S48S.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/V07S48S.png" style="width: 580px;" /></a></p> <p>研究人員進一步對郵件進行更改，讓郵件看起來像是經過加密及簽章處理，而具有Outlook加上的圖示，而達到幾可亂真的效果。</p> <p>雖然這兩種手法並不完美，較為細心的收信人有機會察覺異狀而提高警覺，但研究人員認為，這樣的做法還是會讓許多粗心的使用者上當，而讓攻擊者能夠得逞，以便執行下一步的攻擊行動。</p> <p>對此，Certitude今年2月通報相關發現，微軟確認並肯定研究人員揭露的缺陷，並表示因為不符合立刻進行處理的標準，他們暫時不會進行處理，但將會作為未來改進產品的參考。</p> </div></div></div>
2024/8/8 15:39作者周峻佑https://www.ithome.com.tw/news/164374
研究人員揭露Windows更新機制缺陷，並宣稱能重新引入已修補漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用使用者尚未套用更新程式的已知漏洞發動攻擊，可說是極為常見，但乖乖定期安裝更新軟體就能高枕無憂嗎？有研究人員指出，有機會透過「降級（Downgrade）」攻擊手法，從而導致作業系統軟體漏洞再度出現，得以再度利用並危害受害電腦。</p> <p>資安業者SafeBreach的研究人員指出，<a href="https://www.safebreach.com/blog/downgrade-attacks-using-windows-updates/">他們發現一種無法偵測的降級攻擊手法</a>，過程中利用視窗作業系統的自動更新機制Microsoft Update弱點，從而提升權限並繞過各式安全機制，讓完全修補的Windows電腦曝露在原本微軟公布的數千個漏洞風險當中。研究人員強調，這種降級手法不僅無法偵測、難以察覺，甚至有可能無法復原。他們將在<a href="https://www.blackhat.com/us-24/briefings/schedule/index.html?_gl=1*172n0ga*_gcl_au*NjM0MTYzNjI0LjE3MTU3MDMxMTU.#windows-downdate-downgrade-attacks-using-windows-updates-38963">Black Hat USA 2024</a>、<a href="https://defcon.org/html/defcon-32/dc-32-speakers.html#54522">DEF CON 32</a>兩項資安會議上，展示相關研究成果。</p> <p>基本上，降級攻擊並非全新手法，已有駭客用於實際行動。研究人員提及去年出現的UEFI Bootkit惡意程式BlackLotus，駭客在攻擊過程裡，就是藉由這種手法，將Windows開機管理程式還原成含有CVE-2022-21894的版本，從而繞過安全開機（Secure Boot）的機制。</p> <p>針對這些Microsoft Update弱點的發現，研究人員認為，資安界需投入作業系統降級攻擊的相關研究，作業系統供應商也要對此提高警覺。因為他們在過程中，發現微軟並未採取相關的保護措施，來防止重要系統元件被降級，而這樣的威脅，也可能存在於其他作業系統。</p> <p>再者，他們認為無論功能有多舊，開發作業系統的團隊應該不厭其煩地審查所有設計的功能，因為，這次研究人員能夠藉由虛擬化堆疊機制達成降級攻擊，原因就與虛擬化安全（Virtualization-Based Security，VBS）的設計缺陷有關，而這項功能已推出接近十年，換言之，研究人員利用的缺陷有可能在這段期間遭到濫用。</p> <p>研究人員分析了Microsoft Update更新機制的流程，打造名為Windows Downdate的降級工具，並展示將名為AFD.sys的核心驅動程式降級為存在漏洞的舊版本，從而用來達到作業系統核心層級的程式碼執行攻擊。</p> <p>對此，SafeBreach於今年2月向微軟通報漏洞，這些漏洞包含了Windows更新堆疊權限提升，以及Windows安全核心模式的權限提升弱點，分別登記為CVE-2024-38202、 CVE-2024-21302，CVSS風險評分為7.3、6.7，但值得留意的是，事隔半年，這些漏洞尚未得到修補。</p> <p>微軟也對研究人員揭露的漏洞提出說明，<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38202">CVE-2024-38202存在於Windows備份機制</a>，使得擁有基本權限的使用者能夠藉此VBS存在弱點的舊版元件。他們認為攻擊者需要與特權使用者進行互動，才有機會成功利用漏洞。</p> <p>而對於另一個漏洞CVE-2024-21302，微軟則是指出<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21302">存在於所有支援VBS的視窗作業系統</a>，攻擊者可在取得管理員權限的情況下，將系統檔案更換成舊版，而能重新引發漏洞，並有機會外洩由VBS保護的資料。</p> <p>針對尚未發布相關更新的原因，<a href="https://www.bleepingcomputer.com/news/microsoft/windows-update-downgrade-attack-unpatches-fully-updated-systems/">微軟透露正在著手製作更新程式</a>，一旦使用者套用，將會撤銷舊版的VBS系統檔案來減少攻擊面，但因為影響檔案數量龐大，他們需要較多時間測試。</p> </div></div></div>
2024/8/8 12:52作者周峻佑https://www.ithome.com.tw/news/164368
微軟指達美航空拒絕協助、系統太舊導致IT潰敗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周在CrowdStrike和達美航空（Delta Airlines）因IT停機事件的爭執中選擇站在CrowdStrike同一陣線，指達美航空拒絕協助以及基礎架構太過老舊等遠、近因，才導致長時間IT系統無法回復。</p> <p>達美航空在7月19日的CrowdStrike軟體更新事件中，遭遇重大IT停機事故及損失。達美公司上個月指出，受到CrowdStrike軟體引發Windows系統當機影響，逾40,000臺Windows伺服器必須手動重啟，其中一個和追蹤機組人員相關的工具無法處理這次變更造成的系統負荷。最終，該公司和旗下航空超過3,500個航班取消，以及數千班次延遲，並且必須賠償7月19日到28日的旅客損失。</p> <p>這家航空公司公開歸咎外，也計畫向CrowdStrike求償5億美元。但CrowdStrike上周<a href="https://www.ithome.com.tw/news/164312" target="_blank">反擊</a>，指達美推卸責任，試圖將罪過全部推給CrowdStrike。</p> <p>達美航空可能也聯繫了微軟，因此微軟方面本周回信達美航空的代表律師David Boies反擊。Boies以21世紀初美國司法部控告微軟一案成名。他<a href="https://www.cnbc.com/2024/07/29/delta-hires-david-boies-to-seek-damages-from-crowdstrike-microsoft-.html" target="_blank">獲聘</a>向CrowdStrike求償。在信中，微軟代表律師對接到信件表達驚訝，指出達美一開始就拒絕外界協助。</p> <p>微軟說，從事發當日7月19日起到7月23日，微軟員工天天以電子郵件連繫達美航空，表示願意無償提供協助，但皆遭到拒絕。7月22日在許多航空公司已回復時，微軟再度連繫達美，又接到達美航空員工回覆微軟「All good.」加以拒絕。7月24日，甚至微軟執行長Satya Nadella都向達美執行長Ed Bastian發信，也未接獲回應。</p> <p>微軟相信，達美航空拒絕微軟協助，顯然是因為其無法重置的IT系統，包括機組人員追蹤及排程系統，是由其他科技業者如IBM提供，跑在這些業者的系統，而非微軟Windows或Azure上。微軟又說，經過持續調查，微軟了解到何以其他航空公司能比達美航空更快更早全面恢復運作。達美航空似乎沒有為了客戶或乘客利益現代化其IT基礎架構。</p> <p>微軟聲稱，Windows是開放系統，支援第三方開發商如CrowdStrike，第三方軟體得以開發核心驅動程式，而為兼顧安全和韌性，第三方程式可使用核心模式驅動程式在啟動過程保護Windows系統，而這些程式也必須兼顧安全和韌性。</p> <p>最後，微軟說，面對達美航空的「虛偽和傷害性公開陳述」，如果該公司選擇循法律途徑，微軟也將積極捍衛立場。除了達美外，CrowdStrike已經因這次事件被一家法人股東提告。</p> <p>達美航空本周對媒體<a href="https://www.pcmag.com/news/microsoft-delta-struggled-after-crowdstrike-crash-because-outdated-it-infrastructure" target="_blank">指出</a>，該公司在IT投資數十億美元，每年在IT營運支出也高達數十億美元，暗示並不像微軟所說未現代化IT系統。</p> </div></div></div>
2024/8/8 12:21作者林妍溱https://www.ithome.com.tw/news/164367
你還記得或曾聽過在DOS下運作的WordStar嗎？粉絲重新免費釋出WordStar 7.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾獲得雨果獎（Hugo Award）、星雲獎（Nebula Award）與其它眾多科幻小說獎項的加拿大作家Robert Sawyer，在上周釋出了WordStar 7.0 Archive。WordStar是MicroPro在1978年所發表的文字處理程式，主要在MS-DOS平臺上運作，MicroPro在1993年就解散了，最後一個WordStar版本即為7.0。身為WordStar粉絲的Sawyer整理了最後一個版本及相關的手冊，供外界免費<a href="https://sfwriter.com/ws7.htm" target="_blank">下載</a>。</p> <p class="rtecenter"><a href="http://sfwriter.com/ws7.htm" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0808-WordStar-by%20Robert%20J_%20Sawyer-2.jpg" style="width: 500px;" /></a></p> <p>DOS時代的文字處理程式都是採用命令列介面，而WordStar則是第一款提供郵件合併及文本所見即所得（WYSIWYG）的文字處理器，還能夠自動換行，標記頁面分隔位置，亦可同時打開與編輯多個文件。除了MS-DOS之外，WordStar也支援CP/M、Apple II 與IBM PC，而成為當時最受歡迎的文字處理程式之一。 </p> <p>在個人電腦邁入Windows時代之後，雖然MicroPro曾經開發WordStar for Windows版本，但並未受到青睞，也不敵當時的Microsoft Word與WordPerfect，再加上MicroPro態度與策略上的失誤，而令WordStar逐漸式微。</p> <p>然而，就算MicroPro已經解散，WordStar停留在7.0，無人維護或更新，卻依然有死忠用戶，例如《冰與火之歌》（A Song of Ice and Fire）及《權力的遊戲》（Game of Thrones）的作者George Martin在2020年時宣稱，他還在一臺裝了DOS的電腦上以MicroPro 4.0進行創作。專門寫吸血鬼故事的小說家Anne Rice也是WordStar的愛用者，曾說WordStar是合乎邏輯的，完美的，相較之下，Microsoft Word純粹是瘋狂。</p> <p>而Sawyer更說，WordStar是世界上最好的文字處理程式，他所有的25部小說都是用WordStar寫的，就算MicroPro早就解散，WordStar已被棄置，但他還是在使用它。有鑑於迄今仍缺乏一個完整的網路檔案來記錄WordStar最終版本與所有的使用手冊，因此他花了幾周來整理它們，並開放下載。</p> <p>Sawyer集結成檔的WordStar 7.0 Archive含有可完整安裝的WordStar程式，以及已打包成可搜尋之PDF檔的7本操作手冊，這些手冊總計超過1,000頁，另有兩個隨插即用的套件，分別採用DOSBox-X及vDosPlus模擬器，以於Windows上執行WordStar。Linux與macOS用戶也可採用其它的DOSBox-X版本來安裝WordStar 7.0 。</p> <p>由於Sawyer嘗試彙整所有可用的WordStar資源，包括CompuServe WordStar論壇上的內容在內，使得WordStar 7.0 Archive的檔案大小多達700MB，內含超過3,600個檔案。</p> <p>Sawyer表示，除了他非常喜歡WordStar之外，也為了那些曾以WordStar寫作卻已不在人世的作家。他希望若有天他離開了，他的遺囑執行人也能在自己的電腦上處理他的電子手稿。</p> </div></div></div>
2024/8/8 13:00作者陳曉莉https://www.ithome.com.tw/news/164369
Reddit將測試AI搜尋結果頁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Reddit本周表示，將在今年測試AI搜尋結果頁服務，加入Google及OpenAI的行列。</p> <p>Reddit執行長Steve Huffman本周在財報會議上<a href="https://www.engadget.com/social-media/reddit-ceo-teases-ai-search-features-and-paid-subreddits-225636988.html" target="_blank">對投資人表示</a>，今年稍晚，該公司將開始測試以AI為基礎的新搜尋結果頁，能摘要重點，並推薦搜尋內容，協助用戶更深入了解產品、遊戲或發現Reddit上的新社群。除了AI搜尋結果外，Reddit也透露會有付費版subreddit的服務規劃。</p> <p>Reddit即將測試的AI搜尋頁是在輸入關鍵字詞後，搜尋結果清單最上方呈現、由AI生成的摘要內容。這摘要可幫助用戶更快掌握重點，便於進一步探究。Hoffman並未說明測試何時開始，但表示會同時使用自行開發及第三方業者開發的模型。</p> <p>Reddit這項AI搜尋結果服務會使用何種營收模式，或是使用哪些模型還不明朗，但是可望是Reddit在今年3月正式股票公開發行（IPO）後，創新服務與拓展營收的最新嘗試。今年5月Reddit和OpenAI<a href="https://www.ithome.com.tw/news/162945" target="_blank">簽定</a>合作，允許OpenAI可使用Reddit平臺內容訓練AI模型，並透過API存取把Reddit內容帶到ChatGPT及其它新產品提供給用戶，或讓OpenAI的工具「更好地理解與呈現Reddit內容」。在此之前，Reddit也同意讓Google合法使用其平臺內容訓練AI。</p> <p>AI搜尋結果頁也是新興的AI服務。Google已公布能提供AI生成答案的AI Overview，只是正在努力修正<a href="https://www.ithome.com.tw/news/163138" target="_blank">給出</a>離譜搜尋建議的錯誤。微軟也在本月初<a href="https://learn.microsoft.com/en-us/microsoft-copilot-studio/nlu-boost-node" target="_blank">提供</a>了一項Copilot開發功能，可讓Copilot加值應用結合Bing搜尋結果，為用戶生成摘要內容。</p> <p>另一方面，OpenAI上個月<a href="https://www.ithome.com.tw/news/164147" target="_blank">公布</a>了SearchGPT原型，也將加入戰局。SearchGPT號稱使用來自網路的最新資訊，快速且直接地回答用戶問題，協助他們更快、更輕鬆地找到想要的內容，也會提供相關資訊的來源連結。</p> </div></div></div>
2024/8/8 12:05作者林妍溱https://www.ithome.com.tw/news/164366
趨勢科技在黑帽大會展示深偽偵測技術，強調企業需重新設想AI時代的網路風險管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【拉斯維加斯直擊】AI資安的風險與機會，已是企業生存發展的重要課題，在美國拉斯維加斯舉辦的黑帽大會（Black Hat USA 2024），主要議程於太平洋時區8月7日與8日展開，不過今年有一個新的特色，本屆大會首度舉行AI Summit研討會，已於太平洋時區8月6日率先登場。趨勢科技也在AI Summit上午議程發表演說，成為本場活動的焦點之一，</p> <p>該公司不僅宣布推出商用的深偽偵測技術解決方案，也呼籲在AI時代下的資安，需要朝向新一代網路風險管理方式發展。</p> <p>事實上，生成式AI的應用與風險持續受到全世界與所有產業的關注，然而，目前絕大多數企業仍不知所措，趨勢科技在黑帽大會對此提出說明，協助企業瞭解有了AI該怎麼管理，並期勉大家要懂得用AI來做風險管理，才能因應未來的局勢。</p> <h3><strong>企業需對3大不受控的AI風險做好準備</strong></h3> <p>回顧企業IT十年變局，在2010年代，雲端運算與數位轉型興起，大家聚焦於雲端的發展與保護，到了2020年代，AI與自動化的興起，所有的發展與保護則是圍繞在這些技術而進行。趨勢科技執行長陳怡樺在本場演說中首先登場表示。</p> <p>而我們從近年趨勢科技的發展路線來看，的確也是隨著AI驅動而發展，不論是Security for AI，或是AI for Security。</p> <p>現今有那些AI風險最需關注？趨勢科技產品管理副總經理Rachel Jin（金靜秀）特別提到兩個層面。</p> <p>她首先指出，大家需要為不受控管的AI（Rogue AI）做好準備，這樣的新風險以手段來區分，可分成三種類型，包括：</p> <p>第一種是顛覆式的脫離控制（Subverted Rogues），聚焦於AI系統服務的攻擊，通常採用的手段就是提示注入（Prompt injection），以及AI越獄（Jailbreak AI），以掌控LLMs。以提示注入而言，指的是透過操縱LLMs的輸入或提示來利用其漏洞的攻擊類型，以AI越獄而言，是可導致防護圍欄失效的技術，造成系統違反原本規範的策略。</p> <p>第二種是惡意的脫離控制（Mailcious Rogues），這是指在作業系統上部署惡意，可竊取電腦上的資源。簡單來說，這種偏向傳統惡意程式，但是在AI時代產生的。</p> <p>第三種是意外的脫離控制（Accidental Rogues），這是指人為犯錯導致的異常，像是設定不當、人為疏失等造成的風險。</p> <p>上述這方面的威脅已獲得重視，從今年年初開始，我們看到已有許多科技大廠發展AI Gateway這種類型的產品，趨勢也不例外。</p> <h3><strong>正式公開Deepfake檢測功能的資安防護應用形式，將透過他們的產品提供一般使用者與企業用戶</strong></h3> <p>另一個層面是談論已久的深度偽造（Deepfake）技術的威脅，儘管這個問題重視已久，這幾年來Deepfake技術門檻也在持續降低，但是，如何有效應對一直是大家都在關心的問題</p> <p>事實上，在前幾年，我們就看到一些科技大廠發起Deepfake偵測競賽，就是希望大家發展這方面的防護技術，鼓勵開發出偵測模型以辨識惡意偽造的影片。因為這不僅影響企業，Deepfake的虛假資訊也可能用於影響政治、社會、軍事或經濟。</p> <p>特別的是，趨勢科技在這方面已有新的突破，日前他們正式宣布推出深偽偵測技術的解決方案，提供給一般使用者的Trend Micro Deepfake Inspector，而在企業端產品方面，後續Trend Vision One平臺也將提供此一深偽偵測技術，已支援多種視訊會議產品的偵測，讓使用者可在用戶端Agent中啟用這項功能。</p> <p>在本場演說中，Rachel Jin就特別展示這方面的攻擊情境，例如，攻擊者先是藉由生成式AI快速建立網釣郵件，接著用Deepfake技術快速偽造一家公司財務長與高階主管的長相，讓參加視訊會議的人僅憑肉眼無法分辨出有偽造的情形。但在深偽偵測技術之下，將可在視訊會議進行時，自動辨識出Deepfake技術並跳出通知，通知企業使用者目前召開的視訊會議中，有會議成員可能是假的，是透過Deepfake偽造的。</p> <h3><strong>代理式AI發展將進一步強化AI資安，網路風險管理也成資安維運的全新主軸</strong></h3> <p>由於AI資安還在持續演進發展中，若從整體來看，企業現在應具備甚麼樣的觀念？Rachel Jin表示，大家不僅需要了解AI風險，也要有新一代網路風險管理的觀念。</p> <p>她希望大家想一想，隨著AI時代的開展，我們難道還要繼續使用傳統的SIEM、傳統的SOAR，以及傳統的網路風險管理方法？</p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖1)AI Summit Black Hat USA 2024_趨勢科技Deep fake_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)AI%20Summit%20Black%20Hat%20USA%202024_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80Deep%20fake_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>原因在於，AI本身也有世代差異，例如，傳統生成式AI在資安上的應用，大多是對話式導向，但現在發展的代理式AI（Agentic AI），比起傳統生成式AI有很大不同，不論是在使用者體驗，威脅防禦、風險緩解，都將有更好的效益。</p> <p>以使用者體驗為例，傳統生成式AI的做法，只是從連接到後端資訊檢索系統的聊天機器人來取得資料，而代理式AI的作法，將是目標驅動的解決方案助手，能夠跨領域解決問題，也可以根據用戶目標與環境自行定義自動化規則，甚至主動發送發送批准通知。</p> <p>換言之，對話式AI助理只是第一步，利用代理式AI可以幫助推理、整合所有資料，讓企業以更好的方式管理網路安全，才能真正掌控資料，而不僅僅是保存資料。</p> <p>而且，趨勢科技現在更強調的是，要從網路風險管理角度去切入，此舉明顯呼應近年網路安全治理的態勢，幫助資安人員與企業高層的溝通。這並非特例，前陣子我們介紹NIST CSF網路安全框架，就已經提到此一態勢。</p> <p>綜觀這些變化，不只網路安全框架有這樣的新轉變，強調從網路安全治理出發，提升風險管理的高度，從產品技術資安業者來看，趨勢科技也預期在代理式AI與各項資安產品的結合發展下，要朝向網路風險管理去發展。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)AI%20Summit%20Black%20Hat%20USA%202024_%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80Deep%20fake_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <h3><strong>2024年的AI與資安發展，從兩大面向思考</strong></h3> <p>關於Deepfake的現實威脅發生的態勢，以及AI世代的企業資安風險管理，與過去的資安風險管理有何重要區別？</p> <p>Rachel Jin演講結束後，也回答我們現場提出的這些問題，她指出，一年之前很少有企業認為需要分辨Deepfake的防護機制，但在2024年初之後有了明顯轉變，首先是傳出Deepfake技術確實讓BEC威脅更升級的真實事件，一名跨國企業員工由於駭客寄送釣魚郵件、假冒總部財務長召開視訊會議，遂依照指示轉帳，事後向總公司確認才發現上當，被騙走2億港幣，這項消息被香港警方曝光，接著是大約半年前，趨勢科技開始發現，有一些客戶提到他們需要這類型解決方案，因為他認為員工們並沒有辦法識別是否為Deepfake。</p> <p>對於AI世代的企業資安風險管理差異，Rachel Jin認為可從兩大面向來看待，一是當企業有了AI要怎麼管理，另一是要用AI來做風險管理。</p> <p>以前者而言，當企業開始使用生成式AI，好處是效率提高，但相關風險也伴隨而來，因此我們需要相應的解決方案。</p> <p>例如，過去有Shadow IT的問題，現在也是會有Shadow AI的問題，企業如何知道員工是否使用企業允許的AI，還有先前提到的提示注入與越獄，以及敏感資料洩露的風險。</p> <p>還有一個較特別的場景是，現在許多企業可能會訓練自己的模型，因此，當企業組織要建立LLM，就需要建立自己的資料中心，這時企業必須重視AI資料中心的保護，而且是要重視五大層面的保護，包括：資料、模型、應用程式、使用方式、基礎架構。</p> <p>另一個面向是要用AI來做風險管理，例如趨勢科技去年6月推出Companion AI資安助理，但這只是第一步。</p> <p>未來隨著代理式AI的應用發展，不僅可借助AI異動關聯出攻擊路徑，更重要是能從前30天內的攻擊路徑，預測出接下來會發生什麼樣的攻擊。換言之，過去是事件發生才去阻擋，未來將轉型成更為主動的行為，能夠及早建立緩解計畫。再者，過去要產生SOAR的自動化腳本，其實很花時間，現在用AI將會變得相當不一樣，AI將驅動著各式資安產品轉型。</p> <p>Rachel Jin強調，AI將會徹底顛覆以前的資安管理方式，所以AI時代下，大家需要新一代的網路風險管理。至於趨勢科技為何現在會從風險管理角度切入，這主要基於先前發展攻擊面風險管理（ASRM）解決方案的經驗，察覺企業高層關心的重點在於風險，這會是很好的溝通方式。</p> <p>據了解，在Trend Vision One平臺上，隨著代理式AI可以快速統整更多資訊，趨勢科技之後也將在管理介上，從風險角度出發，讓資安高層也能知道可能風險損失指標，有利於跟董事會報告。而這種作法，似乎也呼應了趨勢科技所強調的網路風險管理的發展方向。</p> <p> </p> </div></div></div>
2024/8/7 20:48作者羅正漢https://www.ithome.com.tw/news/164363
OpenAI API新增結構化輸出功能，精確輸出JSON資料格式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在其API中加入<a href="https://openai.com/index/introducing-structured-outputs-in-the-api/">結構化輸出（Structured Outputs）功能</a>，確保模型生成的輸出，能夠完全符合開發者所提供的JSON結構。這項功能可被用於建構爬蟲等工具，透過功能呼叫抓取需要的資料，從非結構化資料中擷取結構化資料，並根據這些資料回答用戶問題，對於資料輸入和處理情境非常有用。</p> <p>雖然之前OpenAI就已經在API推出JSON模式，試圖更好地提供結構化的資料，讓開發者能夠用於建構可靠的應用程式，但是雖然JSON模式可以提高JSON檔案輸出的可靠性，但是卻不能保證模型的回應能夠完全符合特定的結構。</p> <p>而OpenAI API新加入的結構化輸出功能，便能準確地回應開發者對JSON檔案的需求，避免需要使用開源工具、提示並反覆試錯來要求模型輸出符合需求的格式。官方提到，結構化輸出透過約束OpenAI模型來符合開發者的結構，並訓練模型更好地理解複雜JSON結構以解決這個問題。</p> <p>OpenAI API提供兩種結構化輸出使用方式，以符合開發者提供的JSON結構，第一種是功能呼叫，適用於所有支援工具的模型，開發者在功能定義中設定strict:true，就能啟動結構化輸出功能。第二種則是開發者可以在response_format參數中使用新的json_schema選項，這適用於在模型不呼叫工具，而是以結構化方式回應用戶的情境。</p> <p>目前OpenAI已經更新Python和Node SDK，原生支援結構化輸出，這代表開發者可以像是使用Pydantic或是Zod物件一樣，簡單地提供工具的結構或回應格式，SDK將會自動處理資料型別轉換，將開發者的資料型別轉換為支援的JSON結構。</p> </div></div></div>
2024/8/7 21:33作者李建興https://www.ithome.com.tw/news/164349
Flutter 3.24大更新強化GPU渲染與多平臺支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://medium.com/flutter/whats-new-in-flutter-3-24-6c040f87d1e4">Flutter 3.24</a>迎來許多新功能和改進，除了框架和介面操作本身有許多更新之外，多項渲染相關的功能都獲得強化，像是渲染引擎Impeller效能強化，官方還推出Flutter GPU低階繪圖API，支援更複雜的圖形應用。</p> <p>渲染引擎Impeller獲得一系列文字渲染效能改進，像是文字的粗細、間距和字距調整的顯示品質都已經與傳統渲染器相當，另外表情符號的滾動效能也有提升，解決了頁面滾動時大量表情符號造成卡頓的現象。</p> <p>不過，Impeller要上到Android作業系統則還需要再等等，因為Android 14上的臭蟲，影響了Platform Views API的使用，導致Impeller在Android上的預覽期延長。雖然目前這個臭蟲已經被修復，但是由於許多已部署的裝置，仍會持續執行未修復的Android版本一陣子。官方為了要確保Flutter能在廣泛的裝置上順利運作，預告在今年稍晚的穩定版本，才會將Impeller設為預設渲染器。</p> <p>Flutter 3.24加入稱為Flutter GPU的低階繪圖API，允許開發者使用Dart程式碼，以及GLSL著色器創建自定義渲染器，而且不需要用到任何原生平臺的程式碼。Flutter GPU擴展了可以直接在Flutter中渲染的內容，支援創建複雜的進階圖形和3D場景，這對於像是遊戲或是視覺化工具，需要高效能繪圖渲染的應用非常有用。</p> <p>Flutter GPU的渲染功能依賴Impeller渲染引擎，其提供的繪圖API讓開發者可以完全控制渲染過程的各個階段，其提供的靈活性，對於創建複雜的解決方案非常重要。目前Flutter GPU支援iOS、macOS和Android，官方計畫在未來推展到所有Flutter支援的平臺。</p> <p>Flutter也強化了對網頁平臺的支援，新增Web多視圖嵌入功能，這讓開發者可以將內容同時渲染到不同的HTML元素中，實作靈活的網頁應用。Web多視圖嵌入功能可動態添加和移除視圖，並支援每個視圖自定義初始資料，適合像是儀表板、資料視覺化、互動式多媒體內容等複雜的網頁應用。</p> <p>還有一項對iOS與macOS開發者的好消息，Flutter 3.24開始初步支援Swift Package Manager，這介接了Flutter擴充與Swift套件生態系，且由於Swift Package Manager與Xcode綑綁在一起，開發者使用Flutter開發Apple平臺應用，便不再需要安裝Ruby和CocoaPods。</p> </div></div></div>
2024/8/7 21:41作者李建興https://www.ithome.com.tw/news/164361
【資安日報】8月7日，法國博物館驚傳遭遇勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>奧運賽事正如火如荼進行，臺灣也有不少選手獲得佳績，但在此同時，提供擊劍和跆拳道比賽場地的法國巴黎大皇宮（Grand Palais Rmn），傳出遭遇網路攻擊，當地媒體取得知情人士的說法，這起事故是勒索軟體攻擊，駭客疑似打算向博物館索討贖金。</p> <p>不過，由於所有的博物館及奧運賽事皆正常運作，這樣的說法隨即就遭到否認，其中一個被點名的博物館羅浮宮出面反駁，他們並未遭遇勒索軟體攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164345"><strong style="font-size: 22px;">法國博物館傳出遭遇勒索軟體攻擊，但遭到相關單位否認</strong></a></p> <p>正當奧運在法國舉行之際，法國巴黎大皇宮（Grand Palais Rmn）<a href="https://presse.rmngp.fr/le-grandpalaisrmn-vise-par-une-cyberattaque/">證實</a>在8月3到4日晚間遭遇網路攻擊，他們的技術團隊全面動員因應，並尋求法國網路安全局（ANSSI）、文化部協助調查並重建網路環境。他們強調營運並未受到影響，即將於11日舉行的奧運賽事會正常進行，該機構管理的36家博物館及其精品商店均正常運作，而且，目前尚未發現駭客存取內部資料的跡象。但當地媒體取得知情人士的說法，這很有可能是勒索軟體攻擊事故。</p> <p>最早報導此事的媒體是巴黎人報（Le Parisien），他們在8月5日指出，攻擊者加密數個博物館的財務資料，而且資料已經外流，並打算索討贖金，這些博物館包含了羅浮宮。對此，羅浮宮幕僚長Matthias Grolier聲稱，他們沒有遭遇勒索軟體攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164347"><strong style="font-size: 22px;">新加坡1.3萬學生上課用平板筆電停擺，原因是數位教室管理平臺Mobile Guardian遇駭</strong></a></p> <p>專攻教育市場的行動裝置管理（MDM）方案業者Mobile Guardian發布資安公告，表示他們在8月4日遭遇資安事故，導致列管的iOS及ChromeOS裝置遭到未經授權存取，該公司北美、歐洲、新加坡等地區的用戶都受到影響，有部分用戶的裝置被遠端抹除內容。值得留意的是，臺灣也有學校採用他們的解決方案而可能受害。</p> <p>該公司宣稱僅有少部分的用戶裝置受到影響，並未說明實際數量。新加坡教育部指出，根據初步調查的結果，當地26所採用該廠牌MDM系統的中學，約有1.3萬名學生的設備資料遭到抹除，目前尚未發現攻擊者存取學生資料的跡象。</p> <p><a href="https://www.ithome.com.tw/news/164348"><strong style="font-size: 22px;">兩組北韓駭客利用竄改與有更新漏洞的遠端安全存取軟體，散布惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/A_yCBzi3I0x3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A_yCBzi3I0x3.png" style="width: 300px; float: right;" /></a>8月5日韓國國家網路安全中心（NCSC）發布資安公告，指出北韓駭客組織Kimsuky（APT43）、Andariel（APT45）利用VPN系統的軟體更新缺陷散布惡意程式，並破壞受害組織的網路環境。NCSC指出，雖然這些駭客發動攻擊的事故不時傳出，但這兩組人馬不僅同時對相同的企業組織出手，攻擊的動機也相同，這樣的情況相當罕見。</p> <p>而對於兩個駭客組織發動攻擊的目的，NCSC認為與北韓領導人金正恩在2023年1月提出全國工業現代化的專案有關，研判很有可能是要從受害組織竊取機密資料。</p> <p><a href="https://www.ithome.com.tw/news/164334"><strong style="font-size: 22px;">駭客疑似鎖定配置不當的Jupyter Notebook，企圖利用Minecraft套件將其打造成DDoS攻擊工具</strong></a></p> <p>在程式開發與資料科學領域常用的Jupyter Notebook，去年傳出駭客將其植入惡意程式用來挖礦，以及竊取AWS、Google Cloud帳密的情況，最近又出現新一波的攻擊行動，不同的是，駭客很有可能是將這類伺服器納入攻擊工具。</p> <p>資安業者Aqua Security揭露名為Panamorfi的DDoS攻擊行動，名為yawixooo的駭客利用Java打造、針對電玩遊戲Minecraft伺服開發的DDoS工具mineping作案，鎖定組態配置不當的互動式運算平臺Jupyter Notebook下手，植入mineping用來發動DDoS攻擊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.crowdstrike.com/blog/channel-file-291-rca-available/"><strong style="font-size: 20px;">針對7月19日全球更新大當機事故，CrowdStrike再度提出新的說明</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/hacker-scrapes-publishes-crowdstrike-ioc-list/">駭客組織USDoD聲稱握有資安業者CrowdStrike掌握的駭客名冊，以及2.5億筆入侵指標資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securitylabs.datadoghq.com/articles/stressed-pungsan-dprk-aligned-threat-actor-leverages-npm-for-initial-access/">北韓駭客組織Moonstone Sleet透過NPM套件向Windows電腦散布惡意程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=212026&SPOKE_DATE=20240805&COMPANY_ID=6751">資訊系統供應商智聯服務內部資訊系統遭到攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=161226&SPOKE_DATE=20240805&COMPANY_ID=9912">顯示器製造商偉聯科技傳出遭遇網路攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164342"><strong style="font-size: 22px;">Google發布8月份安卓例行更新，修補零時差漏洞CVE-2024-36971</strong></a></p> <p>8月5日Google針對安卓作業系統發布本月例行更新，總共公布、修補45個漏洞，其中包含一項零時差漏洞CVE-2024-36971。</p> <p>CVE-2024-36971最初在今年6月公布，存在Linux作業系統核心，問題是網路路由管理元件的記憶體釋放後，又能再存取使用（UAF），CVSS風險評為7.8分，Linux基金會已於同月著手修補。一旦攻擊者取得系統層級的權限，就有機會利用漏洞來竄改網路連線的組態。</p> <p>值得留意的是，Google在資安公告中提及，這項漏洞已出現針對性攻擊的跡象。換言之，有心人士能在具有這個漏洞的裝置上執行任意程式碼，而且，過程中無需使用者互動。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164335"><strong>【8月6日】達美航空、CrowdStrike將針對EDR系統大當機事故對簿公堂</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164301"><strong>【8月5日】研究人員公布去年中國駭客APT41攻擊臺灣研究機構的事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164277"><strong>【8月2日】駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件，目標是Raydium區塊鏈用戶</strong></a></p> </div></div></div>
2024/8/7 18:00作者周峻佑https://www.ithome.com.tw/news/164356
兩組北韓駭客利用竄改與有更新漏洞的遠端安全存取軟體，散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月5日<a href="https://www.ncsc.go.kr:4018/main/cop/bbs/selectBoardArticle.do?bbsId=SecurityAdvice_main&nttId=146934&pageIndex=1&searchCnd2=">韓國國家網路安全中心（NCSC）發布資安公告</a>，指出北韓駭客組織Kimsuky（APT43）、Andariel（APT45）利用VPN系統的軟體更新缺陷散布惡意程式，並破壞受害組織的網路環境。NCSC指出，雖然這些駭客發動攻擊的事故不時傳出，但這兩組人馬不僅同時對相同的企業組織出手，攻擊的動機也相同，這樣的情況相當罕見。</p> <p>而對於兩個駭客組織發動攻擊的目的，NCSC認為與北韓領導人金正恩在2023年1月提出全國工業現代化的專案有關，研判很有可能是要從受害組織竊取機密資料。</p> <p>這份公告揭露的第一起資安事故，是<a href="https://asec.ahnlab.com/en/61934/">資安業者AhnLab於今年2月公布的Kimsuky攻擊行動</a>，這些駭客在1月破壞韓國的營造貿業組織的網站，並向瀏覽的使用者散布惡意軟體。</p> <p>AhnLab當時透露，一旦員工成功登入該組織的網站，此系統就會以安全為由，要求使用者安裝名為NX_Prnman或TrustPKI的軟體，但這些安裝程式都遭到竄改。在使用者安裝的過程，就會一併將駭客的竊資軟體TrollAgent植入電腦。研究人員提及，駭客使用了韓國國防公司D2Innovation的名義為安裝程式簽章，而能繞過防毒軟體的偵測。</p> <p><a href="https://s4.itho.me/sites/default/files/images/A_yCBzi3I0x3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A_yCBzi3I0x3.png" style="width: 580px;" /></a></p> <p>若是使用者的電腦感染了竊資軟體，駭客將竊取瀏覽器儲存帳密、cookie、上網記錄、書籤等個人資料，以及GPKI憑證、SSH金鑰、Filezilla的組態設定。NCSC透露，這起事故的受害範圍，涵蓋當地營造業者、公共機構、地方政府機關。</p> <p>另一起資安事故則是發生在今年4月，駭客組織Andariel鎖定韓國國防VPN軟體VPN and server security的通訊協定，觸發特定的弱點，而能推送假的軟體更新，從而散布惡意程式DoraRAT。NCSC指出，這起攻擊行動的目標，是營造業者與機械器具公司。</p> <p><a href="https://s4.itho.me/sites/default/files/images/A_JTMlWOC1wg.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/A_JTMlWOC1wg.png" style="width: 580px;" /></a></p> <p>這項弱點可讓攻擊者利用封包欺騙使用者的電腦，從而誤導電腦合法伺服器已有更新檔案可下載，而能夠部署惡意程式。</p> <p>駭客利用DoraRAT竊取大型檔案，其中包含機械與設備設計文件，並將其傳送到C2伺服器。</p> </div></div></div>
2024/8/7 17:00作者周峻佑https://www.ithome.com.tw/news/164348
數位部開始推動公部門AI培訓計畫，今年底估培養至少700位公務員具備AI技能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院去年8月通過行政院及所屬機關使用生成式AI參考指引，為公部門運用生成式AI提供指引，並責由數位部建立相關規範及訓練機制，加速公部門運用AI提升行政效率，數位部今天（8/7）宣布啟動公部門AI培訓計畫，預估今年底可望培養至少700位公務人員具備AI基本技能。</p> <p>數位部即日起到年底將舉辦超過20場公部門AI實戰工作坊，另外，將提供線上AI學習資源，開放公務人員及一般民眾線上學習AI基本技能，期望不只政府部門運用AI提高行政及民生服務效率，一般企業也能運用AI提高生產力。</p> <p>數位部指出，公務人員掌握基本AI應用技能，是國家數位轉型的關鍵，因此策畫一系列AI實戰工作坊，內容涵蓋AI基礎知識、核心演算法、應用實例、實機操作等等。藉此提升不同單位、職級公務人員具備AI基本技能，至少培訓700位公務人員具備AI即戰力。</p> <p>目前數位部推動的AI培訓內容，以培訓AI應用的基礎認知，包括有哪些AI工具可以使用及生成式AI服務，並且依照行政院及所屬機關使用生成式AI參考指引，向公務人員宣導哪些公務行為不可使用公共的生成式AI服務。這些課程並沒有限制公務人員的身分，數位部強調只要公務上需要，都可以使用線上資源，線上AI課程也納入公務人員學習時數。</p> <p>此外，數位部也會和人事行政總處合作，針對公部門資訊人員、主管、機關首長，提供相關的AI培訓課程，不只是基層公務人員，讓資訊單位、主管、首長也具備合適的AI知識或技能。</p> <p>自總統賴清德在今年520上任後，提出將台灣發展為人工智慧島的願景，並由行政院長卓榮泰組成行動創新AI內閣，明確將推動政府機關採用AI列為智慧政府轉型的目標，以提高公務效率、民眾服務的目標。為了更積極推動公部門導入AI，卓榮泰今天也出席部會副首長AI共識營，宣示政府推動AI的決心。</p> </div></div></div>
2024/8/7 17:56作者蘇文彬https://www.ithome.com.tw/news/164354
新加坡1.3萬學生上課用平板筆電停擺，原因是數位教室管理平臺Mobile Guardian遇駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供學校及學區的行動裝置管理（MDM）方案業者Mobile Guardian發布資安公告，<a href="https://www.mobileguardian.com/security-incident-august-2024/">表示他們在8月4日遭遇資安事故</a>，導致列管的iOS及ChromeOS裝置遭到未經授權存取，該公司北美、歐洲、新加坡等地區的用戶都受到影響，值得留意的是，有部分用戶的裝置被遠端抹除內容。</p> <p>該公司表示，為了防止受害範圍擴大，他們已經停止伺服器的運作，使用者暫時無法存取該MDM平臺，學生的裝置也會受到影響。</p> <p>Mobile Guardian的行動裝置管理平臺專門針對K-12學校打造，不僅能管理多種平臺（安卓、Chromebook、iOS、Windows、macOS）的學生上課裝置，並結合教室管理工具、上網過濾，以及家長管控的功能。值得留意的是，臺灣也有學校採用他們的解決方案，有可能因此受害。</p> <p>值得留意的是，該公司宣稱僅有少部分的用戶裝置受到影響，並未說明實際數量。<a href="https://www.moe.gov.sg/news/press-releases/20240805-mobile-guardian-device-management-application-to-be-removed-from-personal-learning-devices">新加坡教育部指出</a>，根據初步調查的結果，當地26所採用該廠牌MDM系統的中學，約有1.3萬名學生的設備資料遭到抹除，目前尚未發現攻擊者存取學生資料的跡象。</p> <p>對此，新加坡教育部將移除所有iPad與Chromebook上的Mobile Guardian裝置管理應用程式，並設法將這些設備復原，為受害學生提供相關技術協助。</p> </div></div></div>
2024/8/7 16:00作者周峻佑https://www.ithome.com.tw/news/164347
Google發表TV Streamer取代Chromecast、公布第4代Nest溫控裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在宣布Nest裝置<a href="https://www.ithome.com.tw/news/164340" target="_blank">加入</a>Gemini AI功能同時，Google昨日也同步<a href="https://blog.google/products/google-nest/nest-thermostat-google-tv-streamer-design-details/" target="_blank">發表二款新智慧家庭裝置產品</a>，包括取代Chromecast的Google TV Streamer，以及第4代溫控裝置<a href="https://blog.google/products/google-nest/new-learning-thermostat/" target="_blank">Nest Learning Thermostat</a>。</p> <p>全新的Google TV Streamer為整合AI的家庭娛樂設備，旨在取代Chromecast。Google TV Streamer內建Google TV平臺軟體，可搭配Google Home系列及Matter標準相容裝置，成為智慧家庭中樞。</p> <p>在硬體規格方面，Google TV Streamer整合了MediaTek晶片（MT8696 MediaTek）、32GB記憶體及4K HDR Dolby Vision及Dolby Atmos影音規格。可支援YouTube TV、Netflix、Disney+、Apple TV及800多個免費頻道，提供付費與免費節目存取。內建的Google AI可根據用戶使用習慣及偏好顯示所有訂閱內容建議，用戶也可根據推薦為家中成員建立觀看清單。Google TV平臺上的Gemini（下圖）則可為節目內容生成簡介、評論和分季內容介紹，方便追劇。利用Google TV Streamer，用戶還可輸入或聲控下指令，將Google Photos的相片投影到閒置中的數位電視上，或是將手機節目或音樂串流到電視上播放。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-Google%20TV%20Streamer-4(1).jpg" style="width: 600px;" /></p> <p>為串流影音節目，Google TV Streamer支援Wi-Fi網路與乙太網路上網，在物聯網規格上，則內建Thread邊界路由器（border router）及Matter標準支援，允許用戶安全連接家中智慧門鎖及動作感測器。Google TV Streamer還有Google Home面板（下圖），可讀取支援的裝置，如Nest Doorbell拍攝的影像、Nest Learning Thermostat指數、設定家中照明和溫度、窗帘，還能和Google Home App自動同步。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-Google%20TV%20Streamer-3(1).png" style="width: 600px;" /></p> <p>第4代Nest Learning Thermostat LCD顯示器採無邊框設計，比前一代大60%，新的Dynamic Farsight設計讓溫、濕度、空氣品質及時間等數字看得更清楚。內建的AI功能可學習用戶使用習慣，還能提供節能建議，用戶可在Google Home App中選擇接受或拒絕。新一代Nest Learning Thermostat並加入整合通風系統的Smart Ventilation功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-Nest%20Learning%20Thermostat.png" style="width: 600px;" /></p> <p>Google TV Streamer定價99.99美元，有陶瓷白和榛果色，目前僅在美國Google Store上架。第4代Nest Learning Thermostat提供黑、銀、金三色選擇，售價$279.99美元，現在已提供預購，預計8月20日在美、加開賣。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2024/8/7 15:00作者林妍溱https://www.ithome.com.tw/news/164341
X控告廣告產業非法聯手抵制該平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.courthousenews.com/wp-content/uploads/2024/08/x-lawsuit-against-advertisers.pdf" target="_blank">X在本周控告</a>世界廣告主聯合會（World Federation of Advertisers，WFA），以及聯合利華（Unilever）、瑪氏食品（Mars）、醫療保健公司CVS Health及沃旭能源（Ørsted A/S）等業者聯手非法抵制該平臺，認為它們違反了反托拉斯法令。</p> <p>X的指控主要是針對WFA在2019年發起的全球負責任媒體聯盟（Global Alliance for Responsible Media，GARM），該聯盟建立了全球統一的品牌安全與媒體責任標準，以確保廣告不會出現在仇恨言論、暴力內容或不實資訊之旁。</p> <p>X於訴狀中指出，當馬斯克（Musk）在2022年11月收購Twitter時，身為GARM成員的許多廣告主聯繫了該聯盟，了解GARM對Twitter的看法，當時GARM表達了Twitter對遵守GARM標準的擔憂。一時之間，數十家廣告主同意並一同抵制了Twitter，取消或減少對Twitter的廣告支出。</p> <p>馬斯克對外宣稱，買下Twitter（2023年7月更名為X）的原因之一，便是要讓Twitter成為真正的言論自由平臺，因此，在馬斯克接管Twitter之後，Twitter的確放寬其內容審核標準，使得該平臺上的群魔亂舞，但之後卻又因馬斯克的個人喜好，而讓某些帳號直接被停權。</p> <p>放縱的內容讓廣告主開始逃竄，這或許無可厚非，但X指出，GARM不僅建議廣告主抵制Twitter，還因其行動造成Twitter營收下滑而展開慶祝，吹噓它們讓Twitter營收比預期少了80%。此外，就算X已經採用了與其競爭對手相當的品牌安全標準，並已達到或超越GARM所提出的標準，但相關的抵制與影響一直延續至今。</p> <p>X認為，GARM此一行為是赤裸裸的貿易限制，在一個可競爭的市場，每個社交平臺都會設定最適合該平臺及其用戶的品牌安全標準，而廣告主則可自行選擇投放廣告的平臺，但不同的廣告主透過集體行動來規定社交媒體的品牌安全標準，將會縮短競爭過程，也會讓擁有市場力量的廣告主觀點凌駕於消費者的利益之上。</p> </div></div></div>
2024/8/7 15:23作者陳曉莉https://www.ithome.com.tw/news/164346
Google發布8月份安卓例行更新，修補零時差漏洞CVE-2024-36971
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月5日Google針對安卓作業系統<a href="https://source.android.com/docs/security/bulletin/2024-08-01#Android-and-Google-service-mitigations">發布本月例行更新</a>，總共公布、修補45個漏洞，其中包含一項零時差漏洞CVE-2024-36971。</p> <p>CVE-2024-36971最初在今年6月公布，存在Linux作業系統核心，問題是網路路由管理元件的記憶體釋放後，又能再存取使用（UAF），CVSS風險評為7.8分，Linux基金會已於同月著手修補。一旦攻擊者取得系統層級的權限，就有機會利用漏洞來竄改網路連線的組態。</p> <p>而對於這項漏洞也影響安卓作業系統的情況，Google指出是他們旗下的威脅情報團隊（TAG）察覺此事。</p> <p>值得留意的是，Google在資安公告中提及，這項漏洞已出現針對性攻擊的跡象。換言之，有心人士能在具有這個漏洞的裝置上執行任意程式碼，而且，過程中無需使用者互動。</p> </div></div></div>
2024/8/7 12:23作者周峻佑https://www.ithome.com.tw/news/164342
Google DeepMind科學家Nicholas Carlini捍衛LLM，認為AI並未被過度炒作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在2022年11月底發表的ChatGPT引爆了全球的AI熱潮，業者爭相投入龐大資源以開發AI模型與服務，在經歷了超過一年的快速成長之後，今年開始出現AI已被過度炒作的聲浪，還有人說AI即將泡沫化，但Google DeepMind專門研究機器學習與電腦安全的科學家<a href="https://nicholas.carlini.com/writing/2024/how-i-use-ai.html" target="_blank">Nicholas Carlini並不這麼認為</a>，他以自身對AI的應用，來說明大型語言模型（LLM）是個真正有幫助，可以提高生產力的工具。</p> <p>Carlini表示，過去一年以來，他每周至少花幾個小時與各種不同的大型語言模型互動，對於這些LLM的進步能力印象深刻，網路上對於LLM的討論有樂觀也有悲觀，但他並不想爭論LLM的未來，只想提供身為一名研究人員與不同LLM之間的互動案例。</p> <p>其中，Carlini在LLM的協助下，使用過去從未用過的技術建置完整的Web應用程式；LLM教他如何使用從未用過的框架；將數十個程式轉換成C或Rust，以提高10~100倍的效能；裁剪大型程式碼庫以簡化專案；替他先前寫的每一篇研究論文撰寫實驗性程式碼；自動執行所有單調的任務或一次性腳本程式；在設定與配置新封包或專案時，幾乎完全取代了網頁搜尋；在除錯時可取代50%的網頁搜尋。</p> <p>Carlini所舉的例子大致可以分成學習及自動化無聊的任務，他說，這些例子只占了他使用LLM方式的不到2%，它們並不有趣，卻是他每天從事的任務。他只是要說，LLM真的是有用且可提高其生產力的工具，利用不同的LLM來替他的專案撰寫程式碼，至少可節省50%的時間。</p> <p>不過，批評AI是種炒作的看法卻是角度各異，不像是光靠Carlini的解釋就能滿足的。例如共同創辦非營利媒體The Markup的評論家<a href="https://www.nytimes.com/2024/05/15/opinion/artificial-intelligence-ai-openai-chatgpt-overrated-hype.html" target="_blank">Julia Angwin今年5月指出</a>，AI雖然征服了許多以前無法想像的任務，但之後的研究發現其某些成就被OpenAI誇大了，此外，AI模型通常可以產出一份還不錯的初稿，不過，修改它的時間大概等於她自己完成工作所需的時間。</p> <p>軟體工程專家<a href="https://www.linkedin.com/pulse/why-i-think-generative-ai-overhyped-jonathan-xia-ddzic" target="_blank">Jonathan Xia今年4月時表示</a>，生成式AI被炒作了。因為投資者給了太多的錢，期許那些遠遠還未得到證實的商業應用，而且現有的技術很快就會遇到難以突破的瓶頸。</p> <p>Xia說，他曾經以ChatGPT來寫程式碼，發現它產生的程式碼是合理的且格式簡潔，但卻是錯的。他還說生成程式碼已經是LLM最好的應用之一了，因為倘若以它來進行法律研究，它會生成不存在的案例；讓它跟客戶交談，可能會提供不存在的交易；而且永遠不會有原創，只是陳腔濫調。Xia也懷疑外界對於生成式AI可能會有指數型成長的論點。</p> <p>華盛頓郵報（The Washington Post）也<a href="https://www.washingtonpost.com/technology/2024/04/18/ai-bubble-hype-dying-money/" target="_blank">在今年4月認為</a>，AI泡沬正在破滅。該報所列出的原因主要是開發模型需要投入大規模的硬體資源與成本，但短期內無法看到相對應的回報。</p> <p>加拿大新聞人Paris Marx<a href="https://disconnect.blog/ai-hype-is-over-ai-exhaustion-is-setting-in/" target="_blank">亦於今年5月指出</a>，AI的泡沫化指日可待。Marx說，AI公司的估值已從最高點下滑，雲端供應商正在降低客戶對AI工具的期望，因為機器人依舊在犯錯，而且業者尚不知如何從如此昂貴的技術中賺錢，更把對氣候的承諾拋向了腦後。</p> </div></div></div>
2024/8/7 13:02作者陳曉莉https://www.ithome.com.tw/news/164344
法國龍頭博物館遭網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正當奧運在法國舉行之際，法國博物館法國巴黎大皇宮（Grand Palais Rmn）及羅浮宮於上周疑似遭到勒索軟體攻擊。</p> <p>大皇宮建物是法國古蹟、博物館，也是多家博物館及文化活動的管理單位。在今年奧運中，大皇宮也作為擊劍和跆拳道等競賽項目的場館。</p> <p>媒體<a href="https://www.leparisien.fr/high-tech/cybersecurite-le-grand-palais-et-plusieurs-musees-dont-le-louvre-victimes-dune-attaque-par-rancongiciel-05-08-2024-LYA4YVRAW5CQHPVRHSC3LAGPHM.php" target="_blank">Le Parisien</a>引述消息報導，法國巴黎大皇宮（Grand Palais Rmn）在8月3到4日之間遭到勒索軟體攻擊。報導指出，數個相關機構的財務資料系統遭到鎖定，資料已經被竊取，歹徒意在勒索贖金，此外，攻擊也波及了羅浮宮。</p> <p>消息遭官方否認。羅浮宮幕僚長<a href="https://x.com/matthiasgrolier/status/1820721589106725088" target="_blank">Matthias Grolier聲稱</a>羅浮宮沒有遭到任何勒索軟體攻擊。</p> <p><a href="https://presse.rmngp.fr/le-grandpalaisrmn-vise-par-une-cyberattaque/" target="_blank">大皇宮證實</a>在8月3、4日間遭網路攻擊。該單位說其技術團隊全力動員以緩解事件，而且聯絡法國相關單位分析情況，與回復網路運作。大皇宮雖然已通報法國主管機關，但有別於報導，該機構聲稱，唯一受影響的是36家書店和精品店，其網路和大皇宮網路是分開，IT單位很快就切斷網路以防止災害蔓延，因此他們沒有偵測到資料外洩，攻擊事件也未影響到業務運作，包括奧運賽事進行，而書店和精品店在網路中斷期間仍能向大眾開放。</p> <p>不過歷屆奧運等主要賽事向來是網路攻擊的焦點。資安專家警告，剩下的賽事包括帕奧期間，主辦單位或民眾仍然可能面臨各種網路威脅，包括假售票網站、社交工程攻擊、釣魚信件攻擊等。</p> </div></div></div>
2024/8/7 13:15作者林妍溱https://www.ithome.com.tw/news/164345
駭客疑似鎖定配置不當的Jupyter Notebook，企圖將其打造成攻擊Minecraft遊戲伺服器的工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在程式開發與資料科學領域常用的Jupyter Notebook，去年傳出駭客將其<a href="https://www.ithome.com.tw/news/159423">植入惡意程式用來挖礦，以及竊取AWS、Google Cloud帳密</a>的情況，最近又出現新一波的攻擊行動，不同的是，駭客很有可能是將這類伺服器改造成攻擊工具。</p> <p>資安業者Aqua Security揭露<a href="https://www.aquasec.com/blog/panamorfi-a-new-discord-ddos-campaign/">名為Panamorfi的DDoS攻擊行動</a>，名為yawixooo的駭客利用Java打造、針對電玩遊戲Minecraft伺服開發的DDoS工具mineping作案，鎖定組態配置不當的互動式運算平臺Jupyter Notebook下手。</p> <p>對於察覺這起攻擊行動的原因，研究人員在密罐陷阱（Honeypot）看到駭客的行蹤，對方下載檔案大小為17 MB的ZIP壓縮檔，內含2個JAR檔案conn.jar、mineping.jar，他們將這些檔案上傳到惡意軟體分析平臺VirusTotal，結果只有1家防毒引擎將其視為有害。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Panamorfi-Figure1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Panamorfi-Figure1.jpg" style="width: 580px;" /></a></p> <p>其中，名為connector的JAR檔案，內含初步攻擊的程式碼，主要功能是連結駭客控制的Discord頻道，讓攻擊者得以控制DDoS攻擊流程；而另一個JAR檔案mineping，則是可直接從GitHub取得的DDoS攻擊工具，駭客用來發動TCP洪水攻擊，並將結果回傳Discord頻道。</p> </div></div></div>
2024/8/6 17:41作者周峻佑https://www.ithome.com.tw/news/164334
Gemini AI躍上Google Home裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google下周舉行硬體發表會前夕，於昨（5）日<a href="https://blog.google/products/google-nest/gemini-google-home/" target="_blank">宣布為Nest系列</a>攝影機、智慧音箱、顯示器等Google Home裝置加入Gemini多模態模型能力。</p> <p>Google已為Nest Camera加入AI功能，像是簡單的動作偵測、人臉辨識或封包偵測，不過過去Nest Camera尚無法真正理解真實環境發生的事。在最新進展下，Nest Camera使用的AI模型已升級到Gemini多模態模型。隨著用戶使用一段時間，AI模型理解能力將從特定事物（如動作、人臉和封包等）擴及到更多種，並說出最重要的意義。結合Gemini模型的Google Home App可在用戶觀看Nest Camera拍攝的影片時，為影片產出文字描述或圖說，像是「狗在花園中挖洞」。</p> <p>Google Home App還能根據用戶輸入的問題搜尋目標。例如當用戶問腳踏車是否停在院子車道上，Home App能搜尋相機歷史紀錄，只提供最相關事件清單，並給出摘要資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0807-google%20home%20app-gemini-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>Google也為Home平臺加入自動化能力。Home App和自動化腳本編輯器（script editor）現在都能支援100多種家用自動化指令（如開／關、暫停、調暗／調亮），允許用戶設定、串連家中聯網裝置動作，例如說出或輸入「鎖上門、關閉浴室所有電源」。</p> <p>第二，Nest智慧音箱與顯示器內建的Google Assistant也獲得Gemini模型加持。首先，這些裝置以LLM強化媒體播放或計時設定，今年內Google還會利用Gemini模型為Google Assistant加入不同腔調、類型的新聲音，並提升其理解能力，使Assistant能接受自然語言提問，和用戶產生更流暢的雙向對話，或提供更有用的建議。</p> <p>這些新AI加持的功能將在今年下半，先以公眾測試版提供給Nest Aware訂閱用戶，預料會逐步增加功能，並開放更多用戶使用。</p> <p><span class="c-message__sender c-message_kit__sender" data-qa="message_sender" data-stringify-text="林妍溱" data-stringify-type="replace" style="box-sizing: inherit; color: rgb(29, 28, 29); word-break: break-word; font-weight: var(--custom-font-weight-black,900); font-family: Slack-Lato, Slack-Fractions, appleLogo, sans-serif; font-size: 15px; font-variant-ligatures: common-ligatures;"><span class="p-member_profile_hover_card" role="presentation" style="box-sizing: inherit; width: fit-content; height: fit-content; display: inline-flex;"><button class="c-link--button c-message__sender_button" data-message-sender="UBR7Y6HEV" data-qa="message_sender_name" style="box-sizing: inherit; cursor: pointer; background-image: initial; background-position: 0px 0px; background-size: initial; background-repeat: initial; background-attachment: initial; background-origin: initial; background-clip: initial; border-width: 0px; border-style: initial; border-color: initial; padding: 0px; font: inherit; overflow: initial; text-align: initial; vertical-align: baseline; margin: 0px;" tabindex="0" type="button"></button></span></span></p> </div></div></div>
2024/8/7 11:37作者林妍溱https://www.ithome.com.tw/news/164340
AI晶片新創Groq完成6.4億美元的D輪增資，估值28億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發語言處理單元（Language Processing Unit，LPU）以加速推論的Groq，周一（8/5）<a href="https://wow.groq.com/news_press/groq-raises-640m-to-meet-soaring-demand-for-fast-ai-inference/" target="_blank">宣布</a>已完成6.4億美元的D輪增資，而此次該公司的估值達28億美元。</p> <p>Groq是由一群前Google工程師在2016年所創立，鎖定了特殊應用積體電路（ASIC）領域，並開發出LPU推論引擎，以加速大型語言模型的推論能力。Groq在今年3月<a href="https://wow.groq.com/news_press/groq-acquires-definitive-intelligence-to-launch-groqcloud/" target="_blank">買下</a>生成式AI解決方案供應商Definitive Intelligence，同時發表了整合其硬體資源與AI工具的GroqCloud服務。</p> <p>GroqCloud目前支援Meta的Llama、OpenAI的Whisper Large、Google Gemma與Mistral的Mixtral等開源模型，且迄今已吸引逾36萬名開發者。Groq表示，新資金將用來增加GroqCloud所支援的模型與功能，以及擴大其Token即服務（TaaS）的能力，包括額外部署10萬個LPU，以及招募更多人才。</p> <p>Groq的D輪增資是由BlackRock私募基金主導，並引進了思科及三星等策略資金。同一天Groq亦宣布將由曾主導HP供應鏈，以及<a href="http://www.intel.com/content/www/us/en/newsroom/news/ifs-march-2023-news.html" target="_blank">曾負責</a>英特爾代工服務（Intel Foundry Services）的Stuart Pann擔任Groq的營運長。</p> </div></div></div>
2024/8/7 11:08作者陳曉莉https://www.ithome.com.tw/news/164339
Windows智慧應用程式控制與SmartScreen存在漏洞，可被攻擊者輕易繞過
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastic安全研究實驗室<a href="https://www.elastic.co/security-labs/dismantling-smart-app-control">發現</a>，Windows的智慧應用程式控制（Smart App Control，SAC）和SmartScreen篩選工具存在弱點，可能讓攻擊者可以不觸發任何安全警告或是彈出視窗的情況下，獲得初步的存取權限。</p> <p>SmartScreen是微軟在Windows 8內建的作業系統功能，用於檢查具有網頁標記MotW（Mark of the Web）的檔案，預防網路釣魚和惡意程式碼攻擊。而微軟在Windows 11進一步引入智慧應用程式控制功能，以阻擋惡意和不受信任的應用程式。</p> <p>智慧應用程式控制是較SmartScreen更為進階的防護機制，當應用程式執行時會查詢微軟雲端服務上的資料，確認其安全性才允許執行，當智慧應用程式控制不知道應用程式是否安全，便只有具有效程式碼簽章才會被允許執行。在啟用智慧應用程式控制時，SmartScreen會取代並停用。</p> <p>研究人員發現了使用程式碼憑證來簽署惡意軟體，繞過智慧應用程式控制的方法。而且在智慧應用程式控制功能出現之前，攻擊者就已經使用這種方法來迴避偵測，最近攻擊者甚至還取得擴充驗證（Extend Validation，EV）來簽署應用程式。</p> <p>由於擴充驗證憑證需要經過身分認證，而且只能儲存在專門設計的硬體裝置上，因此要盜用這些憑證並不容易，但是攻擊者找到可以冒充企業來購買這些憑證的漏洞，研究人員指出，惡意軟體SolarMarker背後的惡意組織，在攻擊中使用了超過100個不同的簽章憑證。</p> <p>研究人員公開了三種針對基於聲譽的惡意軟體保護系統的攻擊方法，第一是利用良好聲譽的應用程式來繞過安全系統，第二則是將受控制的二進位檔案插入系統中，乍看之下無害，但實際卻可以執行惡意行為，這些二進位檔案在初期獲得良好聲譽，使其能夠規避偵測，在適當時機發動攻擊。第三種則是竄改檔案內容，攻擊者利用部分修改並不會影響檔案聲譽的漏洞，進行惡意操作。</p> <p>另外，資安人員還發現一種稱為LNK Stomping的攻擊手法，攻擊者可以利用Windows捷徑檔案進行攻擊。LNK Stomping是透過修改.lnk檔案的目標路徑或結構，讓系統在進行安全檢查之前移除MotW標籤，進而繞過SmartScreen和智慧應用程式控制的檢查。</p> <p>智慧應用程式控制和SmartScreen都存在一些根本的設計缺陷，允許攻擊者在沒有安全警告，且與用戶互動極少的情況下，獲得初步存取權限，研究人員提醒企業安全團隊還是要仔細檢查下載的內容，不要完全仰賴作業系統原生的安全功能。</p> </div></div></div>
2024/8/7 08:55作者李建興https://www.ithome.com.tw/news/164336
支援5G、增加WAN備援線路，Palo Alto推出新款網路防火牆
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/palo_alto_pa-415-5g_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著5G無線寬頻網路的普及，支援此種環境網路安全防護需求的產品日漸增加，從專攻核心網路的大型硬體設備與軟體虛擬化設備、容器化設備，拓展到邊緣網路的範疇，市面上，也出現越來越多廠商，提供5G網路支援的次世代防火牆，例如，<a href="https://www.alliedtelesis.com/tw/en/press/allied-telesis-announces-ar4050s-5g-mobile-broadband-utm-firewall-ideal-integrated-security">2022年有Allied Telesis推出的AR4050S-5G</a>，到了2023年，<a href="https://news.sophos.com/en-us/2023/02/16/sophos-introduces-5g-support-for-desktop-firewalls/">2月Sophos宣布XGS 116、126、136可選購5G網路模組</a>，<a href="https://www.ithome.com.tw/review/161806">10月Check Point發表的Quantum Rugged 1595R，可選購5G嵌入式數據機</a>，11月Palo Alto Networks推出的多款新一代硬體防火牆機型當中，也有一款標榜<a href="https://docs.paloaltonetworks.com/pan-os/11-1/pan-os-networking-admin/configure-interfaces/cellular-interfaces/configure-5g">可用於5G網路</a>的產品，稱為PA-415-5G，搭配嵌入式5G行動網路模組，本身整合了5G網路數據機與4支SDMA規格的天線（機箱前後各兩支），可快速部署、直接提供主要或備援的廣域網路（WAN）連接能力，因應業務關鍵應用系統的網路傳輸需求，毋須為了5G行動網路的連線而搭配額外的硬體設備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-415-5G-2024-02-oveeview.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/5g-cellular-interface-ip-runtime-info.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/5g-cellular-interface-ip-runtime-info.jpg" style="width: 600px;" /></a></p> <p>關於有線網路的配置，PA-415-5G總共內建9個GbE埠，裡面有8個埠都採用RJ-45接頭（Port 2至Port 9），而這當中的4個（Port 6至Port 9）可設定為乙太網路供電（PoE），每個埠可輸出91瓦的電力，剩下的1個埠可支援RJ-45與SFP（Port 1），用於遠端管理。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Palo Alto-PA-415-5G-2023-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Palo%20Alto-PA-415-5G-2023-12.jpg" style="width: 600px;" /></a></p> <p>電源供應與設置環境的部分，PA-415-5G和PA-455，以及專攻OT場域的PA-450R一樣，都提供兩個接頭作為備援，前兩款搭配交流電（AC）電源轉接線，可安裝在平面或機櫃，PA-450R搭配交流電（DC）電源轉接線，可同時支援壁掛。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-415-5G-front.jpg" style="width: 600px;" /></p> <p>在解決方案的定位上，PA-415-5G隸屬於入門級產品PA-400系列，適用於大型企業的分支辦公室、零售業者的據點、中型企業，就網路與資安效能而言，PA-415-5G與PA-410、PA-415所差無幾，例如防火牆吞吐量為1.4或1.5 Gbps（同時啟用App-ID與事件記錄），威脅預防吞吐量均為0.8 Gbps（同時啟用App-ID、事件記錄、防毒、防間諜軟體、雲端惡意軟體防護、DNS防護、檔案阻擋），如果用於IPsec VPN，它們的吞吐量都是0.65 Gbps，同時連線數量最大均為6.4萬個，每秒可處理的新連線數量為1.1萬或1.14萬個。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-series overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-series%20overview.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/PA-400%20series%20Hardware.jpg" style="width: 298px;" /></p> <p>若是針對OT環境提供網路安全防護，同時需要支援5G行動網路連線，企業還可以選購其他機型，例如，<a href="https://docs.paloaltonetworks.com/whats-new/may-2024/pa-450r-5g-next-generation-firewall">Palo Alto Networks在今年5月新推出的硬體強固機型PA-450R-5G</a>，以及<a href="https://docs.paloaltonetworks.com/whats-new/june-2024/pa-410r-5g-next-generation-firewall">6月登場的PA-410R-5G</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PA-400 Series Performance.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PA-400%20Series%20Performance.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Palo Alto Networks PA-415-5G</strong><br /> ●原廠：Palo Alto Networks<br /> ●建議售價：廠商未提供<br /> ●網路介面：9個GbE埠（1個SFP/RJ45兩用埠、4個RJ45埠支援PoE、4個RJ-45埠），嵌入式5G行動網路模組，1個管理埠<br /> ●防火牆吞吐量：1.5 Gbps<br /> ●VPN吞吐量：0.65 Gbps<br /> ●防護功能全部啟用後的吞吐量：0.8 Gbps<br /> ●同時連線數：6.4萬個<br /> ●重量：3.56公斤</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/6 19:21作者李宗翰https://www.ithome.com.tw/review/164298
【資安日報】8月6日，達美航空、CrowdStrike將針對EDR系統大當機事故對簿公堂
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月19日臺灣時間下午發生的CrowdStrike更新出錯事故，導致全球各地都出現災情，其中最早傳出受害的是航空業者及醫療機構，如今有航空公司指控，他們因故招致業務停擺及名譽受損，求償5億美元。</p> <p>但CrowdStrike不以為然，認為該公司較晚復原與IT運作疏失有關，控告目的其實是在推卸責任。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164312"><strong style="font-size: 22px;">針對CrowdStrike的EDR系統大當機事故，達美航空打算求償5億美元</strong></a></p> <p>7月中CrowdStrike因安全軟體更新觸發Windows錯誤訊息及藍色死亡螢幕（BSOD），許多用戶採用應變措施以及後續更新版本後，陸續恢復上線。但達美航空（Delta Air）疑似因經歷比其他公司更長的混亂，促使該公司公開將責任歸罪到CrowdStrike頭上。</p> <p>這起事故發生後，達美航空執行長Ed Bastian說明該公司的受害情形：全公司4萬臺Windows伺服器必須手動重啟，其中一個和追蹤機組人員相關的工具受創最鉅，因其無法處理這次變更造成的系統負荷。最終，該公司和Delta Connection航空超過3,500個航班取消，以及數千班次延遲。值得留意的是，相較於其他受害的航空公司，達美航空晚了幾天恢復正常運作，必須支付7月19日到28日期間受影響旅客的賠償、行李、訂位費等，美國運輸部介入調查達美航空處置是否失當。</p> <p>為此達美航空公開指控CrowdStrike必須為其IT決策和停機回應方式負責，並求償5億美元。CrowdStrike法務長認為達美航空企圖誤導言論來轉移責任，並指出當時他們願意到場協助但遭到拒絕。</p> <p><a href="https://www.ithome.com.tw/news/164300"><strong style="font-size: 22px;">中國駭客組織Evasive Panda入侵網路服務供應商，藉由DNS中毒從事供應鏈攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/StormBamboo-image001.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/StormBamboo-image001.png" style="width: 300px; float: right;" /></a>駭客盯上不安全的軟體更新機制，藉機散布惡意程式的情況，不時有事故傳出，如今有研究人員發現，駭客竟針對網際網路服務供應商（ISP）發動攻擊，然後對部分的應用程式更新機制出手。資安業者Volexity揭露中國駭客組織Evasive Panda於去年中旬入侵ISP的攻擊行動，導致透過自動更新機制下載軟體的使用者受害，電腦被植入惡意程式。</p> <p>研究人員指出察覺這起攻擊行動的原因，他們起初偵測到搭載Windows與macOS作業系統的電腦感染Evasive Panda使用的惡意程式，但對於感染的來源最初難以確定，直到後來進一步追查，才確認是ISP層級的DNS中毒攻擊所致。駭客針對不安全的軟體更新機制下手，因為軟體開發商採用未加密的HTTP連線，且軟體更新過程並未驗證安裝程式的簽章，使得攻擊者有機可乘，用於派送Macma、MgBot等惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/164310"><strong style="font-size: 22px;">CISA對臺灣視訊監控設備廠商產品示警，表明產品漏洞已被用於攻擊行動</strong></a></p> <p>8月1日美國網路安全暨基礎設施安全局（CISA）提出警告，臺灣視訊監控解決方案業者陞泰科技（Avtech）旗下的視訊監控攝影機（IP Camera）AVM1203，存在高風險層級的命令注入漏洞CVE-2024-7029，並指出攻擊者不僅能遠端利用，觸發漏洞的難度不高，而且，已被用於攻擊行動。</p> <p>值得留意的是，CISA向陞泰通報此事並未得到回應，這項漏洞目前很有可能尚未得到修補。對此，他們認為用戶應聯繫這家廠商，取得進一步的資訊。</p> <p>該漏洞起初由資安業者Akamai向CISA通報，並經由不具名第三方組織驗證研究人員的發現，確認問題存在的產品，是搭配FullImg-1023-1007-1011-1009以前版本韌體的AVM1203。但CISA指出，他們不排除該廠牌其他型號的視訊監控攝影機、視訊監控影像儲存主機（NVR），也有可能存在這項弱點。</p> <p><a href="https://www.ithome.com.tw/news/164333"><strong style="font-size: 22px;">ERP系統OFBiz遭到殭屍網路Mirai鎖定，針對路徑穿越漏洞而來</strong></a></p> <p>SANS網路風暴中心針對Apache基金會維護的ERP系統OFBiz提出警告，利用重大漏洞CVE-2024-32113的攻擊暴增，這波行動駭客發出POST請求企圖觸發漏洞，目的是將殭屍網路病毒Mirai植入OFBiz，7月底單日通報數量一度暴衝至超過1,700個。</p> <p>這項漏洞Apache基金會在今年5月上旬發布新版18.12.13予以修補，並指出舊版OFBiz都存在這項弱點，起因是該系統對於路徑名稱的限制不當造成，CVSS風險評為9.1分。到了月底，有研究人員分析概念性驗證（PoC）程式碼，呼籲IT人員應儘速套用更新。</p> <p>SANS研究人員看到其中一個在受害系統植入惡意指令碼bin.sh的攻擊行動，駭客使用帶有「KrebsOnSecurity」的使用者代理字串（User Agent）。而根據研究人員掃描到的IP位址來看，過去曾被用於散布帶有Mirai變種程式的檔案，因此也被認為這類殭屍網路可能採納CVE-2024-32113漏洞濫用手法。</p> <p><a href="https://www.ithome.com.tw/news/164313"><strong style="font-size: 22px;">研究人員揭露鎖定臉書行動裝置用戶的電子商務詐騙活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0806-ERIAKOS Scam Campaign-Facebook-by Recorded Future-600.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/0806-ERIAKOS%20Scam%20Campaign-Facebook-by%20Recorded%20Future-600.png" style="width: 300px; float: right;" /></a>美國資安業者Recorded Future上周揭露鎖定臉書用戶的電子商務詐騙活動ERIAKOS，駭客架設608個詐騙網站，並假冒知名品牌、透過惡意廣告散布，藉此竊取使用者的個人或金融資料。</p> <p>特別的是，這些詐騙網站只能透過行動裝置及特定廣告存取。若以電腦版瀏覽器點選惡意廣告，或是自行動瀏覽器直接輸入網址，都會出現404錯誤；假如從電腦版瀏覽器直接存取相關網址，則會出現與詐騙無關的網站。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.bleepingcomputer.com/news/security/linux-kernel-impacted-by-new-slubstick-cross-cache-attack/"><strong style="font-size: 20px;">研究人員揭露Linux核心跨快取攻擊手法SLUBStick</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.theregister.com/2024/08/02/israeli_hacktivists/https://www.theregister.com/2024/08/02/israeli_hacktivists/">為報復以哈戰爭，以色列駭客WeRedEvils聲稱癱瘓伊朗的網際網路運作</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://bi.zone/eng/expertise/blog/bloody-wolf-primenyaet-kommercheskoe-vpo-strrat-protiv-organizatsiy-v-kazakhstane/">哈薩克企業組織遭到駭客團體Bloody Wolf鎖定，散布惡意程式Strrat</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="http://www.quorumcyber.com/insights/sharprhino-new-hunters-international-rat-identified-by-quorum-cyber/">勒索軟體駭客鎖定企業IT人員，企圖散布RAT木馬SharpRhino</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/surge-in-magniber-ransomware-attacks-impact-home-users-worldwide/">勒索軟體Magniber傳出針對個人使用者發動攻擊的情況大幅增加</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164319"><strong style="font-size: 22px;">Rockwall Automation可程式化邏輯控制器存在安全繞過漏洞</strong></a></p> <p>上週專精工業控制系統（ICS）的資安業者Claroty指出，Rockwell Automation旗下的可程式化邏輯控制器（PLC）設備ControlLogix 1756存在高風險層級的安全繞過漏洞CVE-2024-6242，攻擊者能藉由通用工業協定（CIP）路由，突破該廠商設下的插槽限用受信任元件（Trusted Slot）保護機制，從而對PLC的處理器卡發送提升權限的命令，CVSS風險評分為8.4（4.0版CVSS風險評分為7.3）。</p> <p>對此，Rockwell表示，採用1756機箱的ControlLogix及GuardLogix設備，以及ControlLogix的I/O模組，也存在相同的弱點，他們發布新版韌體予以修補。</p> <p>美國網路安全暨基礎設施安全局（CISA）也發布資安公告，指出這項漏洞是因為存在其他缺乏保護的存取通道所致，他們也提出緩解措施，若是IT人員無法即時套用相關韌體更新，應該透過最佳安全實踐，以及限縮可用的CIP命令來降低風險。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164301"><strong>【8月5日】研究人員公布去年中國駭客APT41攻擊臺灣研究機構的事故</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164277"><strong>【8月2日】駭客透過網路問答平臺Stack Exchange散布惡意PyPI套件，目標是Raydium區塊鏈用戶</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164256"><strong>【8月1日】Azure服務出現不穩定的異常情況，微軟表示起因與DDoS攻擊有關</strong></a></p> </div></div></div>
2024/8/6 18:49作者周峻佑https://www.ithome.com.tw/news/164335
ERP系統OFBiz遭到殭屍網路Mirai鎖定，針對路徑穿越漏洞而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SANS網路風暴中心針對Apache基金會維護的ERP系統OFBiz提出警告，<a href="https://isc.sans.edu/diary/Increased%20Activity%20Against%20Apache%20OFBiz%20CVE-2024-32113/31132">利用重大漏洞CVE-2024-32113的攻擊暴增</a>，這波行動駭客發出POST請求企圖觸發漏洞，目的是將殭屍網路病毒Mirai植入OFBiz，7月底單日通報數量一度暴衝至超過1,700個。</p> <p>這項漏洞Apache基金會在<a href="https://lists.apache.org/thread/w6s60okgkxp2th1sr8vx0ndmgk68fqrd">今年5月上旬發布新版18.12.13予以修補</a>，並指出舊版OFBiz都存在這項弱點，起因是該系統對於路徑名稱的限制不當造成，CVSS風險評為9.1分。到了月底，<a href="https://xz.aliyun.com/t/14733?time__1311=GqAh7IqGrhkD%2FWNiQ%3DGQFitvoAIKr5G%3DFW4D">有研究人員分析概念性驗證（PoC）程式碼</a>，呼籲IT人員應儘速套用更新。</p> <p>此漏洞利用難度並不高，攻擊者只要找到能夠存取的URL，並插入分號，就能輕易觸發。他們看到其中一種利用漏洞的手法，是對下列網址發出POST請求：</p> <blockquote><p>/webtools/control/forgotPassword;/ProgramExport</p> </blockquote> <p>使用者甚至可以在不登入的情況下重設密碼，因為這個forgotPassword可公開存取且無需身分驗證，而ProgramExport則能夠執行任意程式碼。照理來說，這些部分的執行本來是受到管制，使用者必須登入才能存取，但因為駭客加入的分號觸發OFBiz解析錯誤，而能在不需經過身分驗證的情況下存取。</p> <p>此外，研究人員提到，雖然攻擊者必須使用POST請求才能利用漏洞，但請求網頁的內容（Body）並非必要條件。</p> <p>他們看到其中一個在受害系統植入惡意指令碼bin.sh的攻擊行動，駭客使用帶有「KrebsOnSecurity」的使用者代理字串（User Agent）。而根據研究人員掃描到的IP位址來看，過去曾被用於散布帶有Mirai變種程式的檔案，因此這個漏洞濫用也被認為可能會被這類殭屍網路所採納。</p> </div></div></div>
2024/8/6 17:01作者周峻佑https://www.ithome.com.tw/news/164333