iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 05:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】8月14日，微軟發布8月例行更新，公布多達10個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（8月13日）是許多軟體業者發布8月例行更新的日子，其中最值得留意的是微軟，雖然他們這次僅公布90個漏洞，較<a href="https://www.ithome.com.tw/news/163856">7月143個</a>有明顯減少的趨勢，但值得留意的是，揭露的零時差漏洞多達10個，其中有6個已被用於實際攻擊行動，美國網路安全暨基礎設施安全局（CISA）也證實這些漏洞遭到利用的現象，要求聯邦機構限期完成修補。</p> <p>其餘4個零時差漏洞也不能掉以輕心，當中有2個是研究人員稍早在2024黑帽大會公布，可被串連用於Windows Downdate降級攻擊而受到矚目。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164463"><strong style="font-size: 22px;">14億筆騰訊用戶資料驚傳流入駭客論壇</strong></a></p> <p>資安媒體Hackread近日發現，Breach Forums駭客論壇有一個名為Fenice的使用者，公布14億筆的騰訊用戶資料。而對於這批資料的來源，Hackread懷疑此資料庫源自於今年1月曝光的Mother of All Breaches（MOAB），因為在這個總計12 TB，內含3,800個資料夾與260億筆外洩資料的MOAB中，最多的就是騰訊的15億筆。</p> <p>資安專家認為MOAB是眾多外洩資料的合輯，之後並確定該資料來自外洩資料搜尋引擎Leak-Lookup。當時Leak-Lookup宣稱，是因為防火牆的配置錯誤才讓MOAB曝光。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/h/earth-baku-latest-campaign.html"><strong style="font-size: 20px;">中國駭客組織Earth Baku轉移目標，鎖定歐洲、中東、非洲地區發動攻擊</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.sonicwall.com/en-us/2024/08/beware-of-fake-winrar-websites-malware-hosted-on-github/">駭客在GitHub架設冒牌WinRAR網站，意圖散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cyble.com/blog/double-trouble-latrodectus-and-acr-stealer-observed-spreading-via-google-authenticator-phishing-site/">駭客假借提供密碼產生器Google Authenticator，意圖散布竊資軟體Latrodectus、ACR Stealer</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164472"><strong style="font-size: 22px;">微軟8月例行更新公布10個零時差漏洞，其中6個已出現實際攻擊</strong></a></p> <p>8月13日微軟發布本月份例行更新，總共修補90個漏洞，其中包含36個權限提升、4個安全功能繞過、28個遠端程式碼執行（RCE）、8個資訊洩露、6個阻斷服務（DoS），以及7個可用於欺騙攻擊。</p> <p>值得留意的是，微軟本次公布多達10個零時差漏洞，是今年微軟單月公告零時差漏洞數量最多的一次，其中有6個已被用於實際攻擊行動。此外，這次還包含一個尚未推出修補程式的零時差漏洞。</p> <p><a href="https://www.ithome.com.tw/news/164479"><strong style="font-size: 22px;">SAP揭露重大層級漏洞，攻擊者可趁機繞過身分驗證</strong></a></p> <p>本月SAP例行更新於8月13日發布，總共修補17個漏洞，其中有2個為重大層級，4個為高風險層級，其餘漏洞的危險程度則列為中度風險。</p> <p>根據CVSS風險評分，最嚴重的漏洞是CVE-2024-41730，此漏洞出現於商業智慧平臺BusinessObjects，起因是缺乏身分驗證的檢核，這項問題出現在啟用單一簽入（SSO）的企業環境，攻擊者可在未經身分驗證的情況下，利用REST端點竊得登入系統的憑證（Token），CVSS風險評為9.8分，影響430、440版系統。</p> <p>另一個重大層級漏洞是CVE-2024-29415，此漏洞發生在SAP Build Apps打造的應用程式，為伺服器請求偽造（SSRF）漏洞，CVSS風險評為9.1。</p> <p><a href="https://www.ithome.com.tw/news/164448"><strong style="font-size: 22px;">視窗作業系統通用事件記錄檔案系統CLFS元件存在漏洞，恐被用於阻斷服務攻擊</strong></a></p> <p></p> <p>在全球對於CrowdStrike更新出錯造成大規模Windows藍色當機（BSOD）心有餘悸之時，資安公司Fortra公開另一個可導致藍色當機的漏洞CVE-2024-6768，這個問題出現在通用事件記錄檔案系統（CLFS），一旦攻擊者藉此對CLFS.sys驅動程式發動攻擊，就有機會導致阻斷服務（DoS），進而引發藍色當機。</p> <p>此漏洞影響Widnows 10、Windows 11，以及Windows 2016至2022版伺服器作業系統，允許掌握低權限的攻擊者利用CLFS元件缺陷，透過特定操作強制呼叫核心函式KeBugCheckEx來引發當機的現象。研究人員指出，這個漏洞雖然不會直接造成資料洩漏或是系統入侵，但是會明顯影響系統的穩定性和可靠性，降低使用者對系統的信任度。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/adobe-calls-attention-to-massive-batch-of-code-execution-flaws/">Adobe發布8月例行更新，修補72個漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164456"><strong style="font-size: 22px;">NIST正式發布3款PQC標準，鼓勵各界盡快轉換以因應量子破密威脅</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">後量子密碼學（PQC）標準在8月13日正式發布，成為全球矚目的焦點，因為這次推出的3項新標準是為未來而準備，也就是為日後量子破密威脅所設計，如今美國國家標準暨技術研究院（NIST）首度宣布推出的是FIPS 203、FIPS 204、FIPS 205，接下來還有第4個標準將在年底出爐。</span></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">回顧PQC標準的制定，總共歷經8年時間，最早從2016年美國NIST就開始舉行PQC密碼學競賽，當時收到來自25個國家的82個提交演算法，之後進行了3輪淘汰賽，直到2022年先選出4個候選演算法，也就是CRYSTALS-Kyber、CRYSTALS-Dilithium、FALCON、SPHINCS+。目的就是選出可抵禦量子破密威脅的數學問題，以保護現在與未來的安全。</span></p> <p><a href="https://www.ithome.com.tw/news/164468"><strong style="font-size: 22px;">安全更新引發大當機，CrowdStrike傳有意買下修補程式管理新創Action1改善軟體開發流程</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">上個月CrowdStrike因EDR更新引發全球大停機災難，今年Pwnie Awards頒給該公司史詩級失敗（Most Epic Fail）獎項，該公司總裁Michael Sentonas到場領獎並表明他們會記取這次的教訓，如今傳出該公司有進一步的行動。根據資安新聞</span><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">媒體Cybersecurity Dive的報導，CrowdStrike計畫買下提供修補程式管理方案的新創業者Action1，以改善其軟體更新流程。</span></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">該媒體引述Action1執行長暨共同創辦人Alex Vovk寄給員工的備忘錄，顯示雙方正在進行協議。根據備忘錄，CrowdStrike和Action1正在洽談相關事宜，計畫以近10億美元進行併購。Alex Vovk對員工指出，這收購提案也證明Action1市場正在高速成長，很快將會實現年營收1億美元的目標。</span></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Action1向媒體證實備忘錄真實性，CrowdStrike拒絕評論此事。</span></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://moda.gov.tw/press/press-releases/13324"><strong style="font-size: 20px;">數位發展部率團參與資安會議DEF CON 32，分享臺灣網路安全與通訊韌性經驗</strong></a></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164452"><strong>【8月13日】韓國國防工業承包商傳出遭北韓駭客攻擊，軍事偵察機資料外流</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164421"><strong>【8月12日】研究人員揭露存在18年的瀏覽器漏洞，而且已有濫用漏洞行為，Linux及macOS電腦都可能中招</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164400"><strong>【8月9日】資安業者公布6起濫用雲端服務的後門程式攻擊行動，並指出有臺灣組織受害</strong></a></p> </div></div></div>
2024/8/14 18:08作者周峻佑https://www.ithome.com.tw/news/164484
35家金融業者組聯盟用AI模型偵測警示帳戶攔阻詐騙金流，下一步要用聯合學習精進模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>富邦金控在2022年研發出AI偵測技術「鷹眼防詐預測模型」，在金管會、刑事局、數位部等支持之下，2023年底分享該技術與其他金融業者共組鷹眼識詐聯盟，擴大金融科技防詐面向，現在已有35家金融機構先後加入聯盟，利用AI模型偵測異常交易，今天（8/14）鷹眼識詐聯盟展示成果，警示帳戶預先管控率最高達到80%，成功攔截逾3.6億元，避免遭詐騙集團移轉。鷹眼防詐預測模型下一步，將在10月開始運用聯合學習技術優化鷹眼防詐模型，提高防詐應變速度。</p> <p>過去金融業者仰賴人工方式，根據樣態、經驗各方面判斷，從數千萬筆交易中找出異常，然而，由於交易數量龐大，人工費時費力，且判斷的準確率不高，雖然各家金融業者投入人力辨別可疑交易及帳戶，但是在準確率不高之下，為避免影響正常顧客權益，不敢擅自管控警示帳戶，在防詐預警工作上顯得綁手綁腳，多仰賴銀行員對受害民眾的臨櫃防詐。</p> <p>富邦金控在2022年提出金融安全數位轉型藍圖，運用科技投入防詐工作，其中之一為透過鷹眼防詐預測模型警示帳戶預先管控，減少人工作業達99%，模型對異常帳戶辨別準確率也比人工方式提高559倍。金融業者共組鷹眼識詐聯盟，以今年1到6月導入成果，5家加入聯盟的金融業月平均預先管控比率在50%以上，甚至有一家業者達到80%，有7家金融業者比率在30到50%之間，預期未來在AI持續學習，比率穩步上升。</p> <p>檢察官出身的富邦金控副總經理的蔡佩玲表示，目前銀行在防詐上，銀行臨櫃攔阻雖然相當重要，但是在詐騙金流中，臨櫃只佔3成左右，其他近6成金流則是數位的方式，如果不借助科技的力量，很難只以人眼辨別攔阻網路上的詐騙金流，因此需要借助科技的力量，但是要運用科技並不容易，以鷹眼識詐聯盟為例，聯合35家金融業者，因各家業者的資料治理標準不同，為了運用應眼防詐預測模型，需花費相當多時間在資料治理、數位規格的統一，以及技術移轉、調校，聯盟成員每2到3周也需要交流。</p> <p>她表示，以往金融業者投入大量人力防詐，在聯盟成立10個月後，全臺已有6成的金融機構運用科技防詐，年底的目標是讓100%全部上線，讓AI機器人在全臺灣落地。在導入科技防詐後，預警時間大幅提前，以往金融機構無法預警，必需等到民眾被害報警，金融機構才啟動聯防，現在金融機構在聯盟成立後，可在民眾沒有報警的情形下，提早2周到3個月偵測到帳戶出現問題，預先管控帳戶。</p> <p>另外，以往民眾被騙後，被害人沒有報案，或不敢報案，金融機構無法預警防詐，現在在AI協助之下，透過AI模型建立預警，從今年初到現在，AI偵測共1.8萬件案子，這些案子中有50%以上為準確的。蔡佩玲指出，在被害民眾報警之前，或民眾不報警，金融業者都能知道，今年1到6月全體聯盟行攔阻金額共有3.6億元，這些錢不同於臨櫃攔阻在民眾匯出錢之前攔截，我們要做到的是即使民眾將錢匯出也能攔阻回來。</p> <p><span style="color:#B22222;"><strong>運用聯合學習精進AI模型</strong></span></p> <p>對於未來，蔡佩玲表示，未來聯盟有三大目標，第一個目標是，建立國家級鷹眼模型，目前AI模型在35家金融機構各自落地，未來結合隱私強化技術，運用聯合學習，跨金融機構訓練AI模型，可以自動調校，以快速因應詐騙手法變化；第二個目標是建立鷹眼照會機制，配合打詐專法實施，鷹眼聯盟成員間建立直接異常帳戶的警示訊息交換機，進一步預控措施。第三個則是從9月起，聯盟全體金融機構的線上線下防詐宣導。</p> <p>對於跨金融機構訓練鷹眼模型，蔡佩玲指出，目前35家金融業者以鷹眼模型為基礎，導入自家的特徵進一步優化，等於35家機構有各自的AI鷹眼同事，目前各家金融機構依照詐騙的犯罪手法各自調校，對於發現新的詐騙手法特徵，人工方式交流，再各自調校自家的模型。未來要利用聯合學習技術，讓各家業者不分享資料，但分享模型調校參數，透過自動交換，未來半小時內就能完成30多家機構的交換，可依照犯罪手法快速回應。</p> <p>她表示，希望在今年10月推動聯合學習，先與8家聯盟成員合作，由於聯盟學習需要更精細的資料規格，才能做到自動化，降低現在以人工的方式調校，目前的人工調校，從知道犯罪手法到人工調校約需3到6個月，因應時間較長，未來自動化後，半小時就能因應異常。</p> <p>由於不同金融機構在金融業務上的量體差異，蔡佩玲舉外籍移工匯款為例，單一家金融機構的外籍移工匯款量體不夠多，難以找到合適模型參數調校，但是透過聯合學習，便能從外籍移工匯款量體大的其他金融機構獲得參數，相較於單一金融機構業者自己不斷測試調校來得好。這也是聯合學習的好處。</p> </div></div></div>
2024/8/14 18:58作者蘇文彬https://www.ithome.com.tw/news/164486
NIST正式發布3款PQC標準，鼓勵各界盡快轉換以因應量子破密威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>後量子密碼學（PQC）標準在8月13日正式發布，成為全球矚目的焦點，因為這次推出的3項新標準是為未來而準備，也就是為日後量子破密威脅所設計，如今美國國家標準暨技術研究院（NIST）首度宣布推出的是<a href="https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.203.pdf">FIPS 203</a>、<a href="https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.204.pdf">FIPS 204</a>、<a href="https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.205.pdf">FIPS 205</a>，接下來還有第4個標準將在年底出爐。</p> <p>回顧PQC標準的制定，總共歷經8年時間，最早從2016年美國NIST就開始舉行PQC密碼學競賽，當時收到來自25個國家的82個提交演算法，之後進行了3輪淘汰賽，直到2022年先選出4個候選演算法，也就是CRYSTALS-Kyber、CRYSTALS-Dilithium 、 FALCON、SPHINCS+。目的就是選出可抵禦量子破密威脅的數學問題，以保護現在與未來的安全。</p> <p>不過，首批候選演算法在進入標準化程序後，有學者發表論文質疑一項數學方法，還好後來相關問題釐清。在今年初，一篇由北京清華大學陳一鐳撰寫的論文發表在ArXiv網站，聲稱基於網格密碼學（Lattice-based）的演算法實際上並無法對抗量子破密，由於首批4個候選演算法中，就有3個是基於網格密碼學，因此引起PQC學者相當大的關注，之後一周內有人發現其論文中的論點有一個缺陷，才消除這方面的疑慮。這也顯示，很多人持續在試圖破解這些演算法，但只要越經得起考驗，也就越會安全。</p> <h3><strong>FIPS 203作為通用加密的主要標準，FIPS 204作為數位簽章的主要標準</strong></h3> <p>歷經多年的發展，這些PQC加密方案終於在本週完成標準化程序，並且有3項PQC標準正式出爐，NIST也公開了更多關於新標準的細節。</p> <p>NIST表示，雖然自草案版本以來，這些標準沒有實質上的改變，但NIST現在更改了這些演算法的名稱，以指定最終標準使用的版本。具體而言，這次公布的聯邦資訊處理標準（FIPS）包括：</p> <p>●FIPS-203 （ML-KEM）<br /> ●FIPS-204 （ML-DSA）<br /> ●FIPS-205 （SLH-DSA）</p> <p>基本上，這些加密新標準可分成兩大應用面，一是通用加密（General encryption），用於保護在公共網路上交換的資訊，一是保護數位簽章（Protecting digital signatures），用於身分認證。</p> <p>在通用加密方面，以FIPS 203為主要標準，這項標準是基於CRYSTALS-Kyber演算法而來，現已重新命名為ML-KEM，代表Module-Lattice-Based的金鑰封裝機制（Key-Encapsulation Mechanism）。這項標準的優勢在於屬於相對小型的加密金鑰，可方便交換且執行快速。</p> <p>在數位簽章方面，以FIPS 204為主要標準，此標準使用CRYSTALS-Dilithium演算法，現已更名為ML-DSA，代表Module-Lattice-Based的數位簽章演算法。</p> <p>此外，FIPS 205也是為數位簽章設計的標準，這項標準使用Sphincs+演算法，現已更名為SLH-DSA，代表Stateless Hash-Based的數位簽章演算法。由於這項標準使用了與ML-DSA不同的數學方法，若是ML-DSA被發現有漏洞時，將可作為備用方法使用。</p> <h3><strong>PQC標準還在持續發展，FIPS 206預計在年底發布</strong></h3> <p>後續還有哪些重要發展？NIST表示，他們還有FIPS 206會在稍晚發布，估計是2024年底，此項標準是使用FALCON演算法，並會更名為FN-DSA。</p> <p>而且，PQC標準的評選也尚未結束，NIST還在繼續評估其他兩組演算法，希望這些演算法能成為備用的標準，以持續確保我們的安全。</p> <p>其中一組是通用加密類型，將選出不同於ML-KEM的數學方法，預計從3個演算法中選出1到2個。</p> <p>另一組是數位簽章類型，主要是NIST希望促進數位簽章組合多樣化，因此在2022年再次公開徵求額外的演算法，並已開始對其進行評估，預計將從15個演算法選出下一輪的名單，繼續進行測試、評估與分析。</p> <p>不過，在關注PQC標準發展之餘，NIST提醒大家，沒有必要等待未來的標準，現在就可以開始使用這3項新標準，立即為應對量子破密的潛在威脅做好準備。</p> <h3><strong>全面轉換需要時間，NIST呼籲現在就可以使用這3個PQC標準</strong></h3> <p>NIST強調，隨著量子運算技術的快速進步，一些專家已經預測，能夠破解當前加密方法的設備可能在十年內問世，這將對個人、組織，甚至整個國家的安全與隱私構成威脅。</p> <p>因此，負責PQC標準化專案的NIST數學家Dustin Moody表示，NIST鼓勵各界盡早開始轉換至這些新標準，並將其整合到現有系統中，因為全面轉換的過程將需要一定的時間。</p> <p>美國商務部標準暨技術副部長兼NIST院長Laurie E. Locascio也指出，量子運算技術有潛力幫助解決許多社會難題，而這些新標準則展示了NIST在推動技術進步的同時，致力於維護我們安全的承諾。</p> <p>事實上，臺灣也很重視這方面的發展，例如3個月前有新的行動，當時<a href="https://www.ithome.com.tw/news/162922">臺灣後量子資安產業聯盟宣布成立</a>，不僅希望加速我國後量子資安產業的發展，更重要是要確保臺灣具有後量子密碼準備能力。</p> <p>但還需要有更多企業組織意識到，公鑰密碼系統的全面升級與轉換已成為不可避免的趨勢。因為過去NIST與PQC專家就曾指出，目前網際網路上傳輸的所有資料，包括銀行交易、醫療紀錄以及加密通訊，都是透過RSA等加密演算法來保護。儘管現今的超級電腦幾乎無法破解這些演算法，但隨著量子電腦的快速發展，現有的RSA公鑰加密系統將面臨嚴重威脅，因此我們必須及早做好準備。</p> <p>如今，隨著新一代PQC標準的問世，盡快開始過渡到新標準將是重點。而在NIST提供的資源中，也說明可參考<a href="http://https://www.nccoe.nist.gov/crypto-agility-considerations-migrating-post-quantum-cryptographic-algorithms">國家網路安全卓越中心（NCCoE）之前就針對PQC遷徙所設立的專門頁面</a>，當中已經提供相關資源與指引。</p> </div></div></div>
2024/8/14 09:38作者羅正漢https://www.ithome.com.tw/news/164456
ChatGPT升級到GPT-4o
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google發表可以流暢與用戶對話的<a href="https://www.ithome.com.tw/news/164458" target="_blank">Gemini Live</a>同一天，OpenAI也正式<a href="https://x.com/ChatGPTapp/status/1823109016223957387" target="_blank">公告</a>，ChatGPT升級使用多模態模型GPT-4o。</p> <p>上周媒體就已<a href="https://www.ithome.com.tw/news/164406" target="_blank">發現</a>OpenAI悄悄發布了新版GPT-4o模型的更新版本，強調整體效能更快，前端回應表現也更好。模型更新版本名為GPT-4o-2024-08-06，主要提供給付費用戶，涵括以ChatGPT提示介面或API存取二種管道。有人覺得連免費的ChatGPT都更強大了。</p> <p>多模態模型允許用戶上傳程式碼、圖片或聲音檔作為輸入提示，ChatGPT也可以根據提示生成圖片。ChatGPT本來就以DALL-E-3模型為基礎生成圖片。ChatGPT升級到GPT-4o的意義在於，由於模型原生支援多模態資料，理應可以更快輸出回應，且生成品質也更好。</p> <p>但由於OpenAI沒有提供詳細說明，因此新模型提供了什麼改進或不同功能，或是ChatGPT免費版是否也使用新版本模型，都沒有獲得官方證實。有用戶覺得ChatGPT理解能力更好了，不過也有用戶<a href="https://twitter.com/BenjaminDEKR/status/1823122561124769793" target="_blank">認為</a>雖然改用了新模型，但輸入的圖片品質似乎沒什麼不同。</p> <p>目前可以確定的是，以提示介面和API存取的是不同版本GPT-4o。OpenAI對VentureBeat<a href="https://venturebeat.com/ai/openai-updates-chatgpt-to-new-model-that-exhibits-multi-step-reasoning/" target="_blank">說明</a>，提供給API存取的是更為開發人員優化的功能。例如在Azure平臺提供的GPT-4o版本簡化模型結構化輸出（structured output）的過程，允許開發人員指明希望從AI模型直接輸出的格式，產生的資料可無縫整合到其他系統，有助於提升開發生產力。</p> </div></div></div>
2024/8/14 14:09作者林妍溱https://www.ithome.com.tw/news/164460
14億筆騰訊用戶資料流入駭客論壇
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安媒體Hackread<a href="https://hackread.com/hackers-leak-1-4-billion-tencent-user-accounts-online/" target="_blank">近日發現</a>，一位名為Fenice的使用者於Breach Forums駭客論壇上公布了14億筆的騰訊用戶資料。</p> <p>騰訊為中國最大的網路公司，不僅是中國知名的遊戲開發業者，也打造出熱門的QQ與微信社交平臺，觸角還伸及教育及支付等領域。Fenice釋出的資料庫多達500GB，內含手機號碼、電子郵件信箱及QQ ID等騰訊用戶資訊。</p> <p>Hackread懷疑此一資料庫源自於今年1月曝光的<a href="https://www.ithome.com.tw/news/161004" target="_blank">Mother of All Breaches（MOAB）</a>，因為在這個總計12TB，內含3,800個資料夾與260億筆外洩資料的MOAB中，最多的就是騰訊的15億筆。</p> <p>資安專家認為MOAB是眾多外洩資料的合輯，之後並確定該資料來自於外洩資料搜尋引擎Leak-Lookup。當時Leak-Lookup<a href="https://x.com/LeakLookup/status/1749951429693919400" target="_blank">宣稱</a>，是因為防火牆的配置錯誤才讓MOAB曝光。</p> <p>Leak-Lookup不僅收集外洩資料，也提供付費搜尋服務，以讓使用者從眾多的資料外洩事故中查找資訊，包括姓名、電子郵件地址、使用者名稱、電話號碼及密碼等，儘管它宣稱該服務只能被用於個人安全，卻因該服務也會被犯罪集團利用而存在著爭議。</p> <p>Have I Been Pwned（HIBP）創辦人Troy Hunt<a href="https://www.troyhunt.com/the-data-breach-personal-stash-ecosystem/" target="_blank">形容</a>，類似Leak-Lookup的服務就好像是暗黑版的HIBP，市場上存在一個資料外洩的個人收藏生態體系，這些外洩資料有點像是棒球卡，人們彼此交換著手中沒有的卡片，只是棒球卡換走了就沒有了，但數位資料卻是愈換愈多，不斷地複製與膨脹。</p> </div></div></div>
2024/8/14 14:20作者陳曉莉https://www.ithome.com.tw/news/164463
安全更新引發大當機，CrowdStrike傳有意買下修補程式管理新創Action1改善軟體開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月因端點安全軟體更新引發全球IT停機災難，媒體Cybersecurity Dive<a href="https://www.cybersecuritydive.com/news/crowdstrike-pursuing-deal-action1/723849/" target="_blank">報導</a>CrowdStrike計畫買下提供修補程式管理方案的新創業者Action1，以改善其軟體更新流程。</p> <p>媒體取得Action1執行長暨共同創辦人Alex Vovk上周寄給員工的備忘錄，顯示雙方正在進行協議。根據備忘錄，CrowdStrike和Action1正在洽談，計畫以近10億美元收購後者。Vovk對員工指出，這收購提案也證明Action1市場正在高速成長，並且可以按計畫，很快實現年營收1億美元的目標。</p> <p>CrowdStrike拒絕評論，但Action1也向媒體證實備忘錄真實性。</p> <p>總部位於德州休士頓的Action1是由資深資安專家Alex Vovk及Mike Walters共同創辦，提供修補管理、遠端監控與遠端存取的多合一方案，主要特色在於P2P修補程式發送及整合式即時漏洞評估，協助企業發現漏洞、排定重要性並進行自動化修補OS及第三方應用程式的漏洞。</p> <p>這樁收購可向市場證明CrowdStrike改革的決心。CrowdStrike因為端點防護與回應（EDR）軟體更新問題，引發Windows機器出現錯誤訊息以及藍色死亡螢幕（BSOD）。微軟聲稱全球有850萬臺Windows機器受影響。雖然不到總數的1%，但已造成機場、醫院與港口等一定時間的停機，達美航空聲稱因此取消3,000多航班。</p> <p>這事件也立即影響CrowdStrike股價當天<a href="https://www.cnbc.com/2024/07/19/microsoft-crowdstrike-shares-fall-after-major-it-outage.html" target="_blank">大跌</a>11%，還有股東已經提告。達美航空則找來知名律師欲求償5億美元。</p> <p>CrowdStrike總裁Michael Sentonas上周還前往資安大會DEF CON大會Pwnie Awards<a href="https://www.ithome.com.tw/news/164446" target="_blank">領取</a>「史詩級失敗」的獎項，他說這個獎項要放在公司做為警惕。</p> </div></div></div>
2024/8/14 14:36作者林妍溱https://www.ithome.com.tw/news/164468
微軟8月例行更新公布10個零時差漏洞，其中6個已出現實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月13日微軟<a href="https://msrc.microsoft.com/update-guide/releaseNote/2024-Aug">發布本月份例行更新</a>，總共修補90個漏洞，其中包含36個權限提升、4個安全功能繞過、28個遠端程式碼執行（RCE）、8個資訊洩露、6個阻斷服務（DoS），以及7個可用於欺騙攻擊。</p> <p>值得留意的是，本次公布的漏洞當中，有多達10個零時差漏洞，是今年微軟單月公告零時差漏洞數量最多的一次，其中有6個已被用於實際攻擊行動。此外，這次還包含一個尚未推出修補程式的零時差漏洞。</p> <p>這些已被用於攻擊行動的漏洞是：Windows核心權限提升CVE-2024-38106、電源相依性協調器（Power Dependency Coordinator）權限提升CVE-2024-38107、指令碼引擎記憶體中斷CVE-2024-38178、專案管理軟體Project的遠端程式碼執行CVE-2024-38189、WinSock輔助功能驅動程式權限提升CVE-2024-38193，以及MoTW安全功能繞過CVE-2024-38213，CVSS風險評分介於6.5至8.8分，美國網路安全暨基礎設施安全局（CISA）也將這些漏洞<a href="https://www.cisa.gov/news-events/alerts/2024/08/13/cisa-adds-six-known-exploited-vulnerabilities-catalog">全數列入已被利用漏洞列表（KEV）</a>，要求聯邦機構在9月3日前完成修補。</p> <p>其中，風險評分最高的是CVE-2024-38189，濫用的前提是攻擊者要先引誘用戶開啟惡意Project專案檔案，若此時電腦停用Office阻止來自網際網路的巨集執行政策，就可能讓攻擊者觸發漏洞並遠端執行程式碼，此弱點的CVSS評分為8.8。</p> <p>還有一個高風險漏洞CVE-2024-38178，<a href="https://www.zerodayinitiative.com/blog/2024/8/13/the-august-2024-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）認為特別值得留意</a>，因為攻擊者要引誘使用者點選特製的URL，讓Edge在Internet Explorer（IE）模式下執行，從而觸發漏洞，由於這項漏洞與已經棄用的IE有關。ZDI認為相當不尋常。</p> <p>另外4個在微軟公告前已被揭露的漏洞，分別是Windows安全核心模式權限提升漏洞CVE-2024-21302、行式印表機後臺程序（Line Printer Daemon，LPD）服務遠端程式碼執行漏洞CVE-2024-38199、<a href="https://www.ithome.com.tw/news/164409">Office欺騙漏洞CVE-2024-38200</a>，以及Windows更新堆疊權限提升漏洞CVE-2024-38202，CVSS風險評分介於6.5至9.8。</p> <p>其中，最值得留意的，是資安業者SafeBreach於上週2024黑帽大會揭露的CVE-2024-21302、CVE-2024-38202，<a href="https://www.ithome.com.tw/news/164368">這兩個漏洞可被用於發動Windows Downdate降級攻擊</a>，將特定的系統元件降級為存在漏洞的舊版，但這次微軟僅對CVE-2024-21302提供修補，至於另一個漏洞CVE-2024-38202的更新程式，他們坦承仍在製作中。</p> <p>雖然微軟現在為CVE-2024-21302提供更新軟體，不過，<a href="https://www.rapid7.com/blog/post/2024/08/13/patch-tuesday-august-2024/">資安業者Rapid7警告他們的做法有不足之處</a>，因為這個修補程式並非自動修補資產，而是提供加入微軟簽章的撒銷政策，有可能在不當還原的情況下造成無限循環重新開機的風險。</p> </div></div></div>
2024/8/14 15:21作者周峻佑https://www.ithome.com.tw/news/164472
SAP揭露重大層級漏洞，攻擊者可趁機繞過身分驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月SAP例行更新於8月13日發布，<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/august-2024.html">該公司總共修補17個漏洞</a>，其中有2個為重大層級，4個為高風險層級，其餘漏洞的危險程度則列為中度風險。</p> <p>根據CVSS風險評分，最嚴重的漏洞是CVE-2024-41730，此漏洞出現於商業智慧平臺BusinessObjects，起因是缺乏身分驗證的檢核，這項問題出現在啟用單一簽入（SSO）的企業環境，攻擊者可在未經身分驗證的情況下，利用REST端點竊得登入系統的憑證（Token），CVSS風險評為9.8分，影響430、440版系統。</p> <p>SAP指出，攻擊者若成功利用漏洞，可能得以完全入侵該系統，從而嚴重影響系統的機密性、完整性，以及可用性。</p> <p>另一個重大層級漏洞是CVE-2024-29415，此漏洞發生在SAP Build Apps打造的應用程式，為伺服器請求偽造（SSRF）漏洞，CVSS風險評為9.1。</p> <p>這項漏洞涉及Node.js的IP元件缺陷，此元件用途是檢查IP位址是公開或是私有，在使用8進位表示127.0.0.1的時候，會將其識別為公開且全域可路由的IP位址。SAP指出，這項漏洞是先前另一個弱點CVE-2023-42282修補不全所致。</p> </div></div></div>
2024/8/14 16:17作者周峻佑https://www.ithome.com.tw/news/164479
導入QLC、提供122TB與E3外形，群聯新款PCIe 5 SSD上陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/qun_lian_phison_pascari_d200v_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼5月發表<a href="https://www.ithome.com.tw/review/162973">企業級PCIe 5.0固態硬碟產品X200系列</a>，採用的快閃記憶體類型是TLC，群聯電子（Phison）在8月第二週舉行的2024快閃記憶體高峰會（FMS），推出主打讀取密集工作負載的資料中心PCIe 5.0固態硬碟，名為D200V，採用的快閃記憶體類型是QLC，而且是鎧俠（Kioxia）發展的BiCS Flash第8代技術，並同樣提供雙埠配置。</p> <p>以儲存容量而言，D200V目前最大可供應到61.44 TB，上看122 TB，一舉超越市面上的商用PCIe固態硬碟產品，並且能夠用來更大程度地整併或取代傳統的冷儲存系統。而在產品外形的部分，D200V提供三種選擇，包括：最常用的2.5吋U.2，以及這兩年興起的E3.S，以及目前尚無其他固態硬碟廠商供應的E3.L。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/D200V-Product-Collage.jpg" style="width: 500px;" /></p> <p>群聯表示，最普及的U.2尺寸，會是他們優先推出的款式；E3.L尺寸的款式，預計今年第三季結束之前推出，而在FMS展覽期間，他們與永擎電子（ASRockRack）合作，展示搭配E3.L外形固態硬碟的伺服器1U12E-GENOA/EVAC；至於E3.S，則是後續提供。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Phison D200V with ASRockRack 1U12E-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Phison%20D200V%20with%20ASRockRack%201U12E-web.jpg" style="width: 600px;" /></a></p> <p>從存取效能來看，D200V由於本身是專攻讀取工作負載的產品，在循序讀取、隨機讀取（4K）這兩個層面（14,000 MB/s、300萬IOPS），與X200系列最大效能差不多（14,800 MB/s、300萬IOPS）。相對地，它們之間的寫入效能差距很大，例如，D200V循序寫入效能為2,100 MB/s，隨機寫入效能（16K）為1.56萬IOPS，而X200系列循序寫入效能最高8,700 MB/s，隨機寫入效能（4K）為90萬IOPS。</p> <p>關於D200V為何要標示16K隨機寫入效能？群聯表示，對於64 TB、128 TB這類大容量SSD而言，<a href="https://tw.micron.com/about/blog/company/innovations/real-life-workloads-more-efficient-large-ssd-capacities">16K大小的IU（Indirection Unit）的管理單位會逐漸變成行業常見規格</a>，而且相較於4K，定址只需用原本的1/4，可有效節省DDR的使用。</p> <p>就存取耐用度來比較，新推出的D200V每日寫入量只有0.3，既有的X200系列每日寫入量（DWPD）有3與1的區分，對應款式為X200E與X200P。</p> <p>關於耗電量的部分，若以儲存容量同為30.72 TB的款式相比，D200V最大為25瓦，X200P為35瓦。</p> <p>若資料中心固態硬碟不需要用到PCIe 5.0介面，群聯目前已提供支援PCIe 4.0介面的產品D100P，提供M.2 2280、M.2 22110、E1.S等三種外形，儲存容量有480 GB、960 GB、1920 GB、3840 GB，循序讀寫效能最大為6,800 MB/s與2,000 MB/s，隨機讀寫效能最大為90萬IOPS與7萬IOPS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2308023_FMS2024TableTopCard15x10-EnterprisePASCARI_080124_SSD-DSeries.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2308023_FMS2024TableTopCard15x10-EnterprisePASCARI_080124_SSD-DSeries.jpg" style="width: 600px;" /></a></p> <p>針對資料中心固態硬碟D系列產品線，群聯未來預計推出兩款PCIe 5.0介面、採用E1.S外形的款式，分別是每日寫入量為3的D200E，儲存容量為1.6 TB至3.2 TB，以及每日寫入量為1的D200P，儲存容量為1.92 TB至3.84 TB，循序讀寫效能均為14,000 MB/s、8,300 MB/s，隨機讀取效能均為300萬IOPS，隨機寫入效能方面，D200E為50萬IOPS，D200E為22萬IOPS。</p> <p>關於這兩款產品的出貨進度，群聯表示，他們希望今年第三季可以開始送樣。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Phison Pascari D200V</strong><br /> ●原廠：群聯電子<br /> ●建議售價：廠商未提供<br /> ●儲存容量：30.72 TB（U.2、E3.S），61.44 TB（U.2、E3.L），122.88 TB（U.2、E3.L）<br /> ●外形：U.2、E3.S、E3.L<br /> ●儲存媒體：3D NAND，QLC，BiCS FLASH第8代技術<br /> ●讀寫速度：循序14,000 MB/s與2,100 MB/s，隨機300萬IOPS（4K）與1.56萬IOPS（16K）<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用度：每日寫入量為0.3<br /> ●可靠度：250萬小時MTBF</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/14 16:21作者李宗翰https://www.ithome.com.tw/review/164407
Ivanti虛擬流量管理系統存在身分驗證繞過漏洞，已有概念性驗證程式碼公開，用戶應儘速處理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月12日Ivanti發布資安公告，指出旗下的<a href="https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Virtual-Traffic-Manager-vTM-CVE-2024-7593">虛擬流量管理系統Virtual Traffic Manager（vTM）存在重大層級的零時差漏洞CVE-2024-7593</a>，一旦攻擊者成功利用漏洞，就有機會繞過身分驗證並建立新的管理員帳號，CVSS風險評分為9.8。</p> <p>值得留意的是，雖然該公司表示尚未察覺用戶遭到漏洞攻擊的跡象，但已有公開的概念性驗證（PoC）程式碼，他們呼籲用戶儘速採取緩解措施因應。</p> <p>不過，並非所有版本的vTM都受到影響，Ivanti指出，今年3月發布的22.2R1、5月發布的22.7R2，皆不受這項漏洞影響，其餘版本預計8月19日這週發布更新，予以修補。</p> </div></div></div>
2024/8/14 16:44作者周峻佑https://www.ithome.com.tw/news/164482
Ruby on Rails 7.2預設啟用YJIT，最多可降低25％延遲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Ruby on Rails最新<a href="https://rubyonrails.org/2024/8/10/Rails-7-2-0-has-been-released">7.2版本</a>帶來許多重要更新，包括調整了生產環境的預設值，使開發者得以建立更高效的應用程式，並且加入開發環境容器的支援，另外，開發團隊還重新設計了Rails指南（Rails Guides），改進使用者查閱指南的體驗。</p> <p>Ruby on Rails藉由最佳化效能和改進開發體驗，使得該框架在生產環境表現更高效，也讓開發日常工作更順暢。效能最佳化是Ruby on Rails 7.2的重點之一，Ruby即時編譯器YJIT現在成為預設啟用的功能。YJIT是Ruby 3.1加入的新編譯器，能替Rails應用程式帶來約15％到25％的延遲改善，極大程度提升應用的反應速度，這對於需要處理大量並行請求的應用特別重要。</p> <p>Rails 7.2也在生產環境的設定上進行調整，將Puma網頁伺服器在處理請求使用的執行緒數，從原本預設的5降低至3，開發團隊指出，這個變動是參考長期應用程式實際運作經驗的結果，目的是要減少Ruby等待全域VM鎖（Global VM Lock，GVL）釋放的時間，進而提升應用程式在高負載情況下的效能表現。</p> <p>另外，Rails 7.2生成的Dockerfile現在會包含jemalloc。jemalloc是一個最佳化的記憶體分配器，能夠有效管理應用程式的記憶體使用，這個更新可以協助開發者在部署高負荷應用程式時，獲得更穩定的效能表現。</p> <p>而Rails 7.2也進一步簡化開發者本地開發環境配置，使團隊更容易保持一致的開發環境，加速開發過程。預設開發容器配置將包含Redis容器、資料庫容器、無頭Chrome容器，以及預設使用本地端磁碟儲存的Active Storage配置。開發者也可以在現有應用中添加開發容器配置，使得舊有專案也能獲得開發容器的便利。</p> <p>官方藉著Rails新版本推出，發布了全新設計的官方指南，具有現代化的外觀和簡單易用的介面。新的設計風格包括更一致的字體和色彩搭配，並使用新圖標和簡化的導覽結構，提升使用者在瀏覽指南時的整體體驗。</p> </div></div></div>
2024/8/14 08:56作者李建興https://www.ithome.com.tw/news/164450
美國聯邦法院首次裁定地理圍欄搜索令違憲，強調隱私權保護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦上訴法院剛對地理圍欄搜索令（Geofence Warrant）做出了關鍵性的<a href="https://www.ca5.uscourts.gov/opinions/pub/23/23-60321-CR0.pdf">判決</a>，認定這類搜索令違反美國憲法第四修正案保護公民免受不合理搜索和扣押的權力。這是針對一起涉及搶劫案件所做出的判決，案件中的被告因為地理圍欄搜索令所提供的證據而被定罪，因此決定上訴挑戰這類搜索令的合憲性。</p> <p>2018年的時候密西西比州的郵局發生一起搶劫襲擊美國郵政人員的事件，當時警方進行了數月調查，但卻都無法找到具體的嫌疑人，為了進一步追查，警方申請地理圍欄搜索令，涵蓋案發地點周圍的區域和案發一小時的時間範圍，而Google回應了多個裝置的資料，協助警方鎖定兩名被告。</p> <p>地理圍欄搜索令是一種執法手段，當美國警方沒有特定嫌疑人時，會透過申請此類搜索令，要求科技公司提供特定時間內，某一地理區域中所有裝置的位置資訊，這些資料將協助警方辨識可能在犯罪現場的潛在嫌疑人或是目擊者。</p> <p>警方透過地理圍欄搜索令找出搶劫案罪犯，但是被告提起上訴，認為這類搜索令違憲。而美國聯邦上訴法院也最終判決，裁定地理圍欄搜索令違反美國憲法第四修正案的規定。法院認為，這類搜索令過於廣泛，不能具體指向特定個人或是裝置，卻是要求對特定區域內的裝置進行搜索。</p> <p>法院雖然認為地理圍欄搜索令違憲，但是同時也認為，由於地理圍欄搜索令在2018年時仍是很新的概念，警方善意仰賴這種搜索令的情況下，仍可接受該證據，也就是說在該搶劫案中，所獲得的證據不會被排除。</p> <p>這個判決確立了美國對地理圍欄搜索令侵犯隱私的審查，並引起了人們對地理圍欄搜索令侵犯隱私的關注，美國聯邦上訴法院強調了普遍搜索違反憲法的原則，這個判例便是更明確規範美國第四修正案的適用範圍，規範美國警方避免使用這類搜索令進行調查。</p> </div></div></div>
2024/8/14 09:00作者李建興https://www.ithome.com.tw/news/164453
Google發表挑戰OpenAI進階語音模式的Gemini Live
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google今日在Pixel 9手機系列產品發表大會上，同時<a href="https://blog.google/products/gemini/made-by-google-gemini-ai-updates/" target="_blank">宣布多項相關的AI功能</a>，包括能流暢對話的Gemini Live，挑戰OpenAI ChatGPT進階語音模式（Advanced Voice Mode），以及將Gemini進一步整合到Android，以及YouTube等Google程式中。</p> <p>Gemini Live是提供行動對話體驗的聊天助理，讓手機用戶可和Gemini流暢對話。用戶除了可以口說和Gemini來回對話外，甚至能在Gemini Live回應過程中打斷、或中途喊停一會再接續。Gemini Live也能於Gemini App背景執行或手機鎖定時和用戶對話，一如用戶講電話一般。為了讓Gemini對話更豐富，Google也加入10種聲音選項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-gemini%20live.png" style="width: 534px;" /></p> <p>Gemini Live顯然是想挑戰日前才正式上線的ChatGPT進階語音模式（Advanced Voice Mode）。OpenAI 5月公布ChatGPT進階語音模式雖然表現令人驚豔，卻被爆其中一個聲音未經授權模仿了美國女星Scarlett Johansson，雖然OpenAI否認此事，卻也移除該聲音，並延後進階語音模式上線到<a href="https://www.ithome.com.tw/news/164251" target="_blank">8月初</a>，該模式才正式提供5種聲音，但僅向一小部分用戶開放使用，而且設定種種限制，像是ChatGPT無法模仿他人聲音，也不允許其他聲音輸入。</p> <p>Gemini Live即日已部署給訂閱Gemini Advanced方案的Android手機用戶，目前只支援英文，Google表示，幾個星期內會擴及iOS，並支援更多種語言。</p> <p>除了Gemini Live外，Google也宣布未來幾個星期內多款程式如Keep、YouTube Music、Task和Utilities或是行事曆（Calendar）都會整合Gemini外掛，用戶不必切換應用即可讓Gemini執行任務，像是讓它從Gmail找出友人寄來的食譜，並將其中一項食材加入Keep採購清單，或是讓Gemini從Google相簿抓出音樂會傳單，查詢當天是否有空、並設定購票提醒。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-Google%20apps-gemini.png" style="width: 424px;" /></p> <p>Google也讓Android進一步整合Gemini。只要長按電源鍵，或說聲「Hey Google」，就能召喚出Gemini助理。用戶可點選「Ask about this screen」詢問問題，或在使用YouTube時點選「Ask about this video」，例如列出旅遊影片的餐廳清單，再叫出Gemini在Google Maps上標註。Gemini也不只能讀取螢幕內容，還能和既有應用互動，像是將Gemini生成的圖片直接丟進Gmail和Google Messages。</p> <p>有別於Pixel 9系列上的AI功能以Gemini Nano為基礎，今日Gemini Live等新功能則是採用Google新模型如Gemini 1.5 Flash為底層技術，以提供較好的效能和回應品質。但Google不忘表示，新上線的功能仍可能會有回應時間需時較久，或是回應不準確或出現令人意外答案等問題。</p> <p>Google表示，未來幾個月內該公司會致力於提升Gemini效能和品質，並預告，Gemini還會整合到Google Home、電話（Phone）和訊息等其他應用中。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/8/14 11:12作者林妍溱https://www.ithome.com.tw/news/164458
Pixel 9系列亮相，深度整合Google Gemini
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/pixel/google-pixel-9-pro-xl/" target="_blank">Google周二（8/13）發布</a>了新一代的Android手機Pixel 9，包括Google Pixel 9、Google Pixel 9 Pro、Google Pixel 9 Pro XL，以及Google Pixel 9 Pro Fold，它們全都搭載Android 14作業系統，並深度整合Google Gemini人工智慧技術，而且擁有長達7年的Android更新服務，售價自799美元到1,700美元不等。Pixel 9系列即日起開放預購，並計畫於8月22日或9月4日出貨。</p> <p>Pixel 9系列的手機中，除了1,099美元的Google Pixel 9 Pro XL採用6.8吋螢幕之外，其它都採用6.3吋螢幕；只有入門款、售價為799美元的Google Pixel 9內建12GB記憶體之外，其它機種皆具備16GB記憶體；最貴的則是摺疊機Google Pixel 9 Pro Fold（下圖）的1,700美元；外觀及重量與Google Pixel 9幾乎一模一樣的Google Pixel 9 Pro，擁有更大的記憶體及更好的LTPO OLED螢幕，售價為999美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-Pixel%209%20Pro%20Fold-600.png" style="width: 500px;" /></p> <p>現代的智慧型手機，最受矚目的無疑是人工智慧（AI），例如三星已在今年初於Galaxy手機中<a href="https://www.ithome.com.tw/news/160904" target="_blank">整合</a>Google Gemini，蘋果也<a href="https://www.ithome.com.tw/news/163387" target="_blank">發表了</a>將進駐macOS Sequoia、iOS 18與iPadOS 18等蘋果作業系統的AI服務Apple Intelligence，並宣布將導入OpenAI的ChatGPT。</p> <p>Google也在Pixel 9中整合了Google Gemini，只要按下手機上的電源按鍵，便能啟用多模態的Gemini，它能夠以覆蓋層的形式出現在螢幕上，使用者可透過文字、語音或圖像與之交流，亦可直接將由Gemini生成的圖像貼在傳訊程式中。Pixel 9還提供了Add Me功能，使用擴增實境技術與AI將使用者嵌入照片中，成為團體照的一員。</p> <p>Pixel 9還有一款新的Pixel Studio應用，這是個圖像生成工具，整合雲端上的Imagen 3文字生成圖像模型，以及執行於Tensor G4上的裝置擴散模型。另一款Pixel Screenshots應用能夠協助使用者儲存、組織，以及調用曾經拍下的螢幕截圖，例如在抵達民宿時請它找出曾儲存的門鎖密碼。Call Notes則能記錄使用者的通話內容，還能協助摘要，只是在啟用時會通知各方。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0814-Pixel%20Studio-pixel%209-ai.png" style="width: 438px;" /></p> <p>不僅是Pixel手機，Google Gemini亦已支援來自數十家裝置製造商的數百款Android手機。</p> <p>Pixel 9系列已確定會在包括臺灣在內的逾20個國家<a href="https://support.google.com/store/answer/2462844?hl=en" target="_blank">上市</a>，亦已於臺灣市場開放<a href="https://store.google.com/tw/magazine/compare_pixel?hl=zh-TW" target="_blank">預購</a>。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/8/14 12:08作者陳曉莉https://www.ithome.com.tw/news/164459
【資安日報】8月13日，韓國國防工業承包商傳出遭北韓駭客攻擊，軍事偵察機資料外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週韓國媒體報導指出，他們專門用於在北韓領空從事情資蒐集的軍事偵察機，相關內部機密文件因北韓駭客對其國防供應商發動網路攻擊遭到外流，而這起網路攻擊，傳出是北韓領導人金正恩下令發起。</p> <p>值得留意的是，近期韓國國防工業的資安事故頻傳，根據韓京市場的報導，根據當地媒體韓京市場的報導，傳出研究人員竊取K-2坦克機密投靠新東家。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164436"><strong style="font-size: 22px;">韓國軍事偵察機的機密驚傳遭竊，起因是國防承包商受到北韓駭客攻擊</strong></a></p> <p>韓國媒體東亞日報報導，該國國防工業外包商遭北韓駭客攻擊，致用於北韓空中情蒐任務的2款軍事偵察機技術資料外流。</p> <p>報導指出，這家國防工業外包商生產在北韓領空偵察的重要機種，包括白頭號（Baekdu）、金剛號（Geumgang）間諜偵察機的相關軍事裝備操作和維護手冊。消息人士指出，根據初步調查，在這次駭客攻擊中，2款軍機的技術資料和規格、操作文件可能已外洩。</p> <p>他們也引述情報官員的說法，北韓領導人金正恩今年稍早下令發動密集駭客攻擊，取得韓國偵察機技術資訊以強化自產軍機的能力，同時規避偵察。</p> <p><a href="https://www.ithome.com.tw/news/164451"><strong style="font-size: 22px;">美國田納西州男子經營筆電農場，協助北韓駭客在美、英企業「工作」</strong></a></p> <p>美國司法部指控，居住於田納西州的38歲男子Matthew Isaac Knoot涉嫌參與北韓為籌措大規模殺傷性武器（Weapons of Mass Destruction，WMD）資金的非法武器專案。此人為試圖在美國及英國公司就業的海外IT工人提供遠距辦公的協助，而這些IT工人的真實身分就是北韓駭客。</p> <p>該名男子協助北韓駭客使用遭竊的身分冒充美國公民Andrew M，並在他的住所代管公務筆記型電腦，下載並安裝未經授權的軟體，以便駭客遠端存取，欺騙僱主這些駭客在美國遠距工作的假象。除此之外，Matthew Isaac Knoot也為這些駭客洗錢，將相關款項移轉到與北韓、中國駭客有關的戶頭。</p> <p><a href="https://www.ithome.com.tw/news/164447"><strong style="font-size: 22px;">微軟1月遭駭事故傳出英國內政部也是受害單位，郵件帳號遭俄羅斯駭客Midnight Blizzard入侵</strong></a></p> <p>今年1月微軟證實遭到俄羅斯駭客組織Midnight Blizzard（APT29）入侵的資安事故，駭客存取高階主管的電子郵件帳號，後來陸續傳出有客戶的帳號被入侵的情況，繼4月美國網路安全暨基礎設施安全局（CISA）承認聯邦機構受到波及，現在傳出有其他政府機關受害的情況。</p> <p>根據資安新聞網站The Record的報導，英國政府也遭受波及，Midnight Blizzard今年初也存取他們的電子郵件及個人資料。這些駭客起初的目標是向英國內政部提供服務的微軟，隨後藉由相關存取權限洩露英國內政部的資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://cip.gov.ua/en/news/khakeri-rozpovsyudzhuyut-shkidlive-programne-zabezpechennya-nibito-vid-imeni-sbu"><strong style="font-size: 20px;">駭客冒充烏克蘭安全局散布惡意軟體AnonVNC，攻擊烏克蘭政府超過100臺電腦</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.ru/how-the-cmoon-worm-collects-data/109988/">USB蠕蟲CMoon透過天然氣業者網站散布，企圖竊取俄羅斯企業組織資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://habr.com/ru/companies/f_a_c_c_t/news/831420/">網路間諜團體XDSpy鎖定俄羅斯及摩爾多瓦而來</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164426"><strong style="font-size: 22px;">M365 Copilot可被濫用進行釣魚攻擊</strong></a></p> <p>資安廠商Zenity在黑帽大會發表CopilotHunter與LOLCopilot，這兩個工具都是針對Microsoft 365 Copilot開發，CopilotHunter能夠掃描和列舉Copilot的資源與錯誤配置，而LOLCopilot則可執行模擬攻擊，濫用Copilot功能來收集資訊、洩漏資料甚至是進行釣魚攻擊。</p> <p>CopilotHunter和LOLCopilot安全工具在GitHub開源，協助企業發現和修補安全漏洞。CopilotHunter的核心功能是利用Microsoft 365 Copilot的錯誤配置進行安全掃描和分析，其具有兩個重要關鍵模組，分別針對掃描和列舉需求的Deep Scan和Enum。</p> <p>而LOLCopilot則是一款專為模擬攻擊設計的工具，透過Copilot收集敏感資料來進行針對性攻擊。與LOLCopilot相關的模組包括Whoami，可收集受感染使用者能夠存取的敏感資訊，包括電子郵件、檔案、行程安排等，全面了解使用者的存取權限，隨後使用Dump模組擷取和儲存這些資料，並利用Copilot繞過DLP技術，使敏感資料洩漏不被系統偵測的情況。</p> <p><a href="https://www.ithome.com.tw/news/164432"><strong style="font-size: 22px;">工控系統遠端存取解決方案Ewon Cosy+存在漏洞，攻擊者有機會取得root權限</strong></a></p> <p>資安業者SySS指出，HMS Networks旗下的工業級遠端存取解決方案Ewon Cosy+存在6項漏洞，這些漏洞涉及身分驗證不當、使用不必要的權限執行工作、寫死密碼、作業系統層級的命令注入、明文存放Cookie敏感資訊，以及網頁載入過程輸入出現不當處理的情況，攻擊者有機會藉由上述弱點破壞VPN設備，甚至解開韌體與密碼，並且接管外部設備的OpenVPN連線。</p> <p>對此，HMS Networks獲報後發布21.2s10版、22.1s3版韌體予以修補，研究人員也在上週末舉行的資安會議DEF CON 32公布相關細節。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.freebsd.org/security/advisories/FreeBSD-SA-24:08.openssh.asc">FreeBSD更新發布，修補OpenSSH高風險漏洞CVE-2024-7589</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164446"><strong style="font-size: 22px;">資安業者CrowdStrike獲頒Pwnie Awards史詩級失敗獎項</strong></a></p> <p><span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">7月19日</span>CrowdStrike因執行Windows系統EDR的配置更新，觸發邏輯錯誤而造成藍色當機，微軟透露約有850萬臺裝置受到影響，但此事波及全球的物流、民航、金融及醫療產業，迄今仍無法估算相關損失，受到影響的達美航空，甚至表明決定透過法律途徑向CrowdStrike求償。對此，在資安會議DEF CON 32舉行的Pwnie Awards頒獎典禮，CrowdStrike獲得了「史詩級失敗」（Most Epic Fail）獎項，該公司總裁Michael Sentonas親自到場領獎，並表示會放在公司顯眼的地方，藉此提醒員工這起事故帶來的教訓。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<a href="https://www.facebook.com/moda.gov.tw/posts/500967092749394"><strong style="font-size: 20px;">臺灣資安戰隊參與DEF CON資安搶旗賽，獲得第7名佳績</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164421"><strong>【8月12日】研究人員揭露存在18年的瀏覽器漏洞，而且已有濫用漏洞行為，Linux及macOS電腦都可能中招</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164400"><strong>【8月9日】資安業者公布6起濫用雲端服務的後門程式攻擊行動，並指出有臺灣組織受害</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164383"><strong>【8月8日】黑帽大會首度增設AI議程，趨勢科技展示深偽偵測技術</strong></a></p> </div></div></div>
2024/8/13 17:54作者周峻佑https://www.ithome.com.tw/news/164452
美國田納西州男子經營筆電農場，協助北韓駭客在美、英企業「工作」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客謀取歐美企業的職缺，從事遠距辦公，不僅賺取資金貢獻政府發展軍事武器，甚至聘僱他們的企業也有可能面臨資料外洩及資金遭竊的風險，繼上個月<a href="https://www.ithome.com.tw/news/164108">資安業者KnowBe4公布不慎聘僱到北韓駭客的情況</a>，最近美國執法單位也有新的動作，他們起訴一名經營筆電農場（Laptop Farm）的男子，並指控該人接應這些駭客在當地遠距工作的相關事宜。</p> <p>上週<a href="https://www.justice.gov/usao-mdtn/pr/department-disrupts-north-korean-remote-it-worker-fraud-schemes-through-charges-and">美國司法部指控</a>，居住於田納西州的38歲男子Matthew Isaac Knoot涉嫌參與北韓為籌措大規模殺傷性武器（Weapons of Mass Destruction，WMD）資金的非法武器專案。此人為試圖在美國及英國公司就業的海外IT工人提供遠距辦公的協助，而這些IT工人的真實身分就是北韓駭客。</p> <p>該名男子協助北韓駭客使用遭竊的身分冒充美國公民Andrew M，並在他的住所代管公務筆記型電腦，下載並安裝未經授權的軟體，以便駭客遠端存取，欺騙僱主這些駭客在美國遠距工作的假象。</p> <p>除此之外，Matthew Isaac Knoot也為這些駭客洗錢，將相關款項移轉到與北韓、中國駭客有關的戶頭。</p> <p>起訴書當中提及，Matthew Isaac Knoot在2022年7月至2023年8月，在自家經營筆電農場，當受害公司寄送IT工人的公務筆電到他家，這名男子就會存取這些電腦，安裝公司未授權的遠端桌面應用程式，並存取受害企業的內部網路環境。</p> <p>北韓駭客藉由遠端桌面應用程式，能夠在中國存取公務電腦，從而營造Andrew M.在田納西州住所遠距辦公的假象。</p> <p>直到法院去年8月初授權執法單位進行搜索，這名男子每個月從名為Yang Di的海外人士收到經營農場的費用。</p> <p>美國司法部指出，這些IT工人每人在這段期間獲得逾25萬美元的報酬，而受害企業在察覺上當後，必須花費超過50萬美元來復原網路環境、應用系統、裝置。不僅如此，Matthew Isaac Knoot還利用遭竊身分向美國國稅局（IRS）謊報收入。</p> <p>這名男子是美國第2個因經營筆電農場遭到指控的人士。今年5月，<a href="https://www.justice.gov/opa/pr/justice-department-announces-arrest-premises-search-and-seizures-multiple-website-domains">49歲的Christina Marie Chapman被控在自己住家為北韓IT工人代管筆電</a>，司法單位估計為IT工人創造逾680萬美元不法獲利，並指控這些駭客至少從其中兩家受害公司竊取機密資料。</p> </div></div></div>
2024/8/13 17:32作者周峻佑https://www.ithome.com.tw/news/164451
Windows 10與Server 2016以上版本CLFS.sys存在DoS漏洞，或致藍畫面當機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球IT還對CrowdStrike造成Windows藍畫面當機（BSOD）心有餘悸之時，資安公司Fortra公開了可造成Windows藍畫面的漏洞<a href="https://www.fortra.com/security/advisories/research/fr-2024-001">CVE-2024-6768</a>，攻擊者對CLFS.sys驅動程式發動DoS攻擊，進而導致Windows系統藍畫面當機。</p> <p>CLFS.sys是微軟Windows中的驅動程式，負責管理通用日誌檔案系統（CLFS）。CLFS提供支援應用程式和系統元件進行日誌紀錄的框架，能夠管理多日誌串流（Log Stream），這些日誌串流可用於系統恢復、資料同步和精確的操作追蹤。</p> <p>CVE-2024-6768是一個與CLFS.sys有關的拒絕服務（DoS）漏洞，這個漏洞影響了Windows 10、Windows 11、Windows Server 2016、Windows Server 2019和2022版本。該漏洞允許惡意且經過身分驗證的低權限用戶，利用CLFS.sys中的缺陷，透過特定操作強制呼叫核心函式KeBugCheckEx，進而導致Windows藍畫面當機。</p> <p>攻擊者利用CVE-2024-6768漏洞導致系統進入藍畫面當機狀態，致使系統暫時無法使用，透過反覆引發該漏洞，便能持續阻止系統正常運作，使組織的系統長時間停機。重要伺服器或是系統發生藍畫面當機導致業務中斷，特別是對於涉及財務交易、客戶服務或是核心業務的系統，可能會使資料丟失，對企業營運造成影響。</p> <p>這個漏洞雖然不會直接造成資料洩漏或是系統入侵，但是會明顯影響系統的穩定性和可靠性，降低使用者對系統的信任度。</p> <p>Fortra在去年底的時候就發現這個漏洞，提報給微軟並且附帶概念性驗證攻擊程式碼，但是微軟的工程師卻在1月的時候回覆無法重現漏洞，於是Fortra又提交了更多系統記憶體崩潰傾印和截圖給微軟，但微軟仍然表示無法重現問題，還關閉了案件。</p> <p>Fortra在2月底的時候再次重現該漏洞，並提供更多證據給微軟，在6月時通知微軟將申請CVE，最近Fortra在8月8日仍在最新更新的Windows 11和Windows Server 2022系統重現該漏洞，並在8月12日對外公開。</p> </div></div></div>
2024/8/13 16:49作者李建興https://www.ithome.com.tw/news/164448
CrowdStrike總裁親自領取「史詩級失敗」獎項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>CrowdStrike總裁Michael Sentonas上周出現在DEF CON的<a href="https://www.youtube.com/watch?v=6lLSdqUHNWM" target="_blank">Pwnie Awards頒獎典禮</a>上，並親自領取了「史詩級失敗」（Most Epic Fail）的資安獎項，臺下則響起一片歡呼聲來鼓勵Sentonas的勇氣。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0813-CrowdStrike_%40PwnieAwards_most%20epic%20fail_at%20%40defcon%20by%20%40arctic0x78%20on%20YouTube.png" style="width: 409px;" /></p> <p>CrowdStrike在今年的7月19日因執行Windows系統上的感應器配置更新，觸發了邏輯錯誤而造成Windows系統崩潰並出現藍色死亡畫面，雖然微軟宣稱大約只有850萬臺裝置受到影響，不到所有Windows裝置的1%，但此事波及了全球的物流、民航、金融及醫療產業，迄今仍無法估算相關損失，受到影響的達美航空甚至決定透過法律途徑<a href="https://www.ithome.com.tw/news/164312" target="_blank">向CrowdStrike求償</a>。</p> <p>Sentonas在接受了有半個人高的巨大獎座之後說，他們因為犯了可怕的錯誤才得到這個獎項，這不是個值得驕傲的獎項，卻是個重要的獎項，他要把它放在公司的顯眼處來提醒大家。</p> <p>Pwnie Awards始於2007年，被稱為資安界的奧斯卡獎，通常是伴隨著黑帽或DEF CON安全會議舉行，獎項包括最佳桌面臭蟲、行動臭蟲、最佳加密攻擊、最佳創新研究、史詩級成就，以及史詩級的失敗等。</p> <p><a href="https://pwnies.com/tsa-no-fly-list-exposed/" target="_blank">去年得到</a>史詩級失敗獎項的是美國國土安全部運輸安全管理局（Transportation Security Administration，TSA），因為無政府主義駭客Maia Crimew在TSA的伺服器上發現了禁飛名單，這是TSA提供給全球航空公司的名單，涉及逾150萬人，卻被放在公開網路上。</p> <p><a href="https://pwnies.com/hackerone-employee-caught-stealing-vulnerability-reports-for-personal-gains/" target="_blank">2022年的得主</a>是抓漏平臺HackerOne，因為HackerOne員工企圖竊取漏洞報告，並對外兜售以中飽私囊。</p> <p>身為全球最大軟體公司的微軟也曾<a href="https://pwnies.com/printnightmare/" target="_blank">在2021年</a>以PrintNightmare獲得史詩級失敗獎，得獎原因是微軟兩次修補它都沒成功，而且該漏洞還從本地權限擴張變成遠端程式攻擊。</p> </div></div></div>
2024/8/13 15:45作者陳曉莉https://www.ithome.com.tw/news/164446
微軟1月遭駭事故傳出英國內政部也是受害單位，郵件帳號遭俄羅斯駭客Midnight Blizzard入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月微軟證實遭到俄羅斯駭客組織Midnight Blizzard（APT29）入侵的資安事故，駭客存取高階主管的電子郵件帳號，後來陸續傳出有客戶的帳號被入侵的情況，繼4月美國網路安全暨基礎設施安全局（CISA）承認聯邦機構受到波及，現在傳出有其他政府機關受害的情況。</p> <p>根據資安新聞網站The Record的報導，英國政府也遭受波及，<a href="https://therecord.media/russia-hack-uk-government-home-office-microsoft">Midnight Blizzard今年初也存取他們的電子郵件及個人資料</a>。這些駭客起初的目標是向英國內政部提供服務的微軟，隨後藉由相關存取權限洩露英國內政部的資料。</p> <p>這項消息傳出後，英國政府發言人表示，俄羅斯駭客並未存取內政部經營的其他系統，這些系統也沒有遭到入侵的跡象。</p> <p>英國內政部5月2日向當地資料保護主管機關英國資訊專員辦公室（ICO）通報此事，此時距微軟公布資安事故已相隔4個月，但The Record提及，根據英國的資料保護法，當組織察覺資料外洩的72小時以內，就要通報主管機關，很有可能是內政部並未在相關時限內執行。不過，究竟英國內政部何時察覺遭受波及，該媒體並未進一步說明。</p> <p>對此，ICO發言人表示已了解這起資安事故，他們根據已掌握的資訊進行評估，認為暫時不需採取進一步行動。</p> </div></div></div>
2024/8/13 16:02作者周峻佑https://www.ithome.com.tw/news/164447
Fintech周報第249期：摩根大通正在測試生物辨識支付，玉山銀行正用微前端打造新一代行網銀，永豐銀則用GIA提供市…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">8/5~8/11金融科技精選新聞</span></span></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金管會 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 業務試辦 </span></strong></span></h3> <h3>金管會公布業務試辦放寬後首例申請案，鼓勵業者申請試辦財務評估模型</h3> <p>金管會在七月中宣布五大金融科技政策，其中一項是要大幅放寬銀保證業務試辦範圍，加大創新實驗範圍與力度。近日，金管會公開已有業者申請試辦「財務評估模型」，作為辦理無擔保授信業務評估方式，是金管會大幅放寬業務試辦的首案。</p> <p>銀行局長莊琇媛表示，業者希望利用財務評估模型，針對不便提供財力證明的客戶，評估其還款能力。然而，過去業者申請試辦時，因規範限制而未能申請成功。因此，莊琇媛提到，未來將會讓業者先行試辦，待試辦結束後，再依成效修正相關公會自律規範或函示。</p> <p>今年七月，金管會主委彭金隆曾表示，「金融業過去比較需要的不是挑戰法律限制，而是得到法規鬆綁。」因此，未來金管會將逐步放寬試辦範圍，第一階段是開放公會和周邊單位的自律規範，以及金管會發布的行政規則、函釋都可以做為業務試辦範圍。第二階段，則是納入金管會主政的法規命令、授權子法。</p> <p>此外，彭金隆也表示，未來會將金管會的商品和服務的審查程序，與沙盒實驗結果進行對接。例如，當沙盒實驗通過後，可以開放免除或簡化商品服務審核程序，增加落地可能性。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根大通 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生物辨識支付 </span></strong></span></h3> <h3>掃臉即付款！摩根大通正在測試生物辨識支付功能</h3> <p>摩根大通近日宣布，透過和生物辨識支付公司合作，他們正在和美國境內部分店家合作測試生物辨識支付，顧客掃描臉部就能完成支付，其中包括美國連鎖速食店Whataburge合作。</p> <p>摩根大通說明，該生物辨識支付功能需要消費者拍攝臉部照片，並將影像儲存在生物辨識支付公司的雲端空間，當消費者提出支付要求時，交易資訊會配對雲端儲存資料，並通知商家配對結果。消費者一旦註冊，就可以在任何參與測試的店家中使用這項技術。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 台新銀行 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI驗證 </span></strong></span></h3> <h3>台新銀行已針對金融LLM「台新腦」進行AI驗證，同時將測試機制整合至MLOps</h3> <p>金管會自今年六月發布「金融業運用人工智慧指引」，提供業者從AI系統開發到部署各個階段可遵循的處理機制。近日，國內也有金融業者開始將指引內容落實到LLM中。台新銀行透過合作廠商，針對自建的金融LLM「台新腦」進行驗證，不僅透過AI攻擊技術和方法，來測試AI系統的安全性和可信度，也將測試機制與機器學習開發與維運（MLOps）工作流程整合，讓模型從部署到上線的每個階段都能進行測試。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永豐銀行 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GenAI </span></strong></span></h3> <h3>永豐銀行推出運用生成式AI的服務，提供彙整上千篇國內外新聞資料的市場資訊摘要</h3> <p>永豐銀行近日推出一項運用生成式AI的服務，他們透過模型服務蒐集超過500家新聞媒體、上千篇新聞資料，依臺灣、美國與中國等三大市場分類並聚焦近5日重要事件，自動生成當日最新論述，讓顧客能快速理解市場資訊和趨勢。</p> <p>永豐銀行表示，這項服務運用生成式AI大量讀取新聞資料，結合質化論述和量化數據，加入時間序、新聞權重和永豐投顧展望參數，組成指令重寫文本，最終產出重要市場資訊。民眾能在永豐銀行官網、行動銀行和永豐銀行App上閱覽生成式AI服務摘要的市場資訊。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 玉山銀行 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新一代行網銀 </span></strong></span></h3> <h3>玉山銀行要用微前端、微服務打造新一代行網銀</h3> <p>玉山金控近日在法說會前記者會揭露，目前正在採用微前端、微服務架構打造新一代行網銀，預計今年能正式完成。玉山銀行數位暨客群處副處長邱雪姿表示，他們正在採用微前端和微服務技術打造新一代行網銀，透過這些技術，能將行網銀的功能個別模組化，讓IT人員僅需針對個別功能進行更新。另外，個別功能模組也會朝向跨平臺化，讓IT人員不需要因應不同平臺開發多個版本。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 大和證券 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核心系統改造 </span></strong></span></h3> <h3>日本大和證券採用容器化架構改造核心系統</h3> <p>日本大和證券近日宣布，他們成功將核心系統改造為容器化架構，在今年六月開始正式運作。同時，他們將應用程式架構劃分成不同功能模組，明確定義功能模組角色，透過API方式提供服務，讓IT人員能快速回應業務需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/messageImage_1723459211220.jpg" style="width: 600px;" /></p> <blockquote><p>大和證券採用容器化架構改造核心系統，有助於未來使用混和雲架構。</p> </blockquote> <p> </p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 登入異常 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永豐金證券 </span></strong></span></h3> <h3>登入程式效能欠佳致資料庫回應過慢，永豐金證券下單軟體登入異常</h3> <p>上周一臺股創史上最大跌點，永豐金證券下單軟體卻無法登入。當日，永豐金證券發布聲明表示，故障原因經查證為登入程式效能欠佳，導致登入過程中，資料庫回應速度緩慢，造成部分客戶登入異常。故障問題在當日上午11點多恢復，永豐金證券也表示，當日收盤後會進行系統調教作業。</p> <p>針對此事，金管會證期局主秘尚光琪事後在例行記者會上表示，交易所將會進行查核，假設發現永豐金證券與其他受雇人員違反證券法，會有相對應處置措施。</p> <h3>其他重要Fintech新聞</h3> <ul> <li>應用程式研究員揭露，Ｘ正在測試付款按鈕</li> <li>澳洲CommBank向全行員工推出AI學習影片，幫助行員掌握AI了解生成式AI技術和使用AI提升工作效率</li> <li>日本金融業者擔憂GPT-3.5 Turbo停止提供服務，將影響既有產品開發</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／金管會、日本大和證券</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年8月</p> <p></p> </div></div></div>
2024/8/13 11:21作者李昀璇https://www.ithome.com.tw/news/164430
GovTech月報第32期：數位部啟動公務員AI技能培訓計畫；央行已建立CBDC雛形平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0702~0805)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">智慧政府</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size:22px;"><strong>加速政府機關運用AI，數位部推動公務人員AI訓練課程</strong></span></p> <p>去年8月行政院擬定所屬公務機關使用生成式AI參考指引，數位部近期為推動各級政府機關運用AI技術，開始推動AI訓練課程，提升公務人員的AI技能，還包括運用AI提升民眾服務的品質、效率。</p> <p>數位部舉例，目前已有部分的政府機關運用AI，例如經濟部智慧局以圖找圖商標檢索系統，利用AI檢查商標是否被申請或註冊過；衛福部也推出健保醫療申報的智慧審查工具，由AI協助閱讀審查醫療檢查報告，協助審核健保醫療費用。</p> <p>數位部也和人事行政總處合作，針對公務人員推動AI訓練課程，包括對資訊主管規畫設計AI應用規劃和AI技術實戰課程；對一般公務人員則提供AI協助行政作業課程，例如資料處理、會議支援、文件編寫等。</p> <p>數位部推動的AI訓練計畫，包括實戰AI工作坊，內容包括AI基礎知識、核心演算法、應用實例、實機操作等，希望藉此提升不同單位、職級公務人員具備AI基本技能，至少培訓700位公務人員具備AI技能。另外，數位部也提供線上AI學習資源，公務人員、民眾都可利用線上資源學習AI基本技能。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">央行</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位貨幣</span></font></strong></p> <p><span style="font-size: 22px;"><strong>央行：已建立我國CBDC雛形平臺，將可支援數位券金流作業</strong></span></p> <p>央行近期在立法院報告我國CBDC數位貨幣推動現況，央行指出，目前我國CBDC尚未有明確推出時程，但是目前已建置CBDC雛形平臺，可發行少量數位現金，測試交易支付使用。</p> <p>按照央行的政策規畫，未來CBDC錢包可分為記名及不記名，其中記名錢包由中央機構進行KYC，並且受資料保護隱私規定，交易以去識別化技術進行，不會保存用戶的交易明細資料。未來考量數位落差，除了手機，也會針對不熟悉手機使用的高齡使用者，讓他們可以使用卡片離線支付。</p> <p>技術準備方面，目前央行已建置CBDC雛形平臺，將與數位部的政府機關發放共用平臺介接，未來政府機關得以透過發放共用平臺發放數位券，民眾使用錢包內的數位券消費之後，由央行處理用戶錢包內撥付、結清作業。儘管CBDC尚無推出的時間表，但央行已提升支付系統處理效能，例如CBDC雛形平臺支援數位券的金流作業，每秒交易筆數已可達到2萬TPS。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">個資保護</span></font></strong></p> <p><span style="font-size: 22px;"><b>俄羅斯新法案予加密貨幣挖礦合法化，進一步擁抱加密貨幣</b></span></p> <p>俄羅斯總統普丁近期簽署一項新法案，在政府可控管的框架下，賦予加密貨幣挖礦合法化，為該國繼開放跨境交易使用加密貨幣後，另一項最新的措施，讓俄羅斯從過去禁止的立場走向擁抱加密貨幣。</p> <p>普丁是在8月8日簽署新法案，正式納管加密貨幣挖礦，新法案規定只有向政府註冊的法人、個體工商戶才能挖礦，沒有超過能源消耗限額的公民，可以在沒有註冊之下，從事小規模挖礦。該法案也對數位貨幣的開採行為，包括礦工、礦池、挖礦基礎設施營運商等各方角色提出定義，視挖礦為經濟活動，而非發行數位貨幣。法案也要求礦工提供挖礦相關資訊，並且開放國外數位資產在俄羅斯區塊鏈平臺上交易，但是如果可能危害俄羅斯金融，央行有權禁止個別的數位資產交易。</p> <p>在稍早之前，7月底俄羅斯開放跨國交易中使用加密貨幣。原本俄羅斯政府對於加密貨幣採比較保守的心態，但是這幾年可能由於國際制裁，該國為突破困境，對加密貨幣的政策立場明顯轉向，試圖建立管理框架，積極擁抱加密貨幣的使用，以及相關開採行為。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">防詐</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p><span style="font-size: 22px;"><strong>政府加強科技防詐，數位部：用AI對抗AI詐騙</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4-600.jpg" style="width: 600px; height: 378px;" /></p> <p>政府持續打擊詐騙，數位部底下國家資通安全研究院近期指出，生成式AI使詐騙文本生成自動化，結合機器人帳號大量投放詐騙資訊，並透過按讚營造獲得支持的假象，在社團、群組擴大詐騙的影響力，應該妥善運用AI技術協助打詐，以AI對抗AI。</p> <p>資安院表示，根據AI偵測的結果，目前投放詐騙廣告的粉專帳號約有1.6萬個，以其中1千個帳號進行比對，可發現特徵相似但尚未投放詐騙廣告的粉專帳號約有10萬個，按此推估1.6萬個投放詐騙廣告的粉專帳號，其背後尚有160萬個粉專帳號可以使用。它們每天投放5千到1萬則、存活1到2天的詐騙廣告，並營造群眾支持的熱度，增加詐騙的效果。</p> <p>目前資安院也接受數位部委託，以詐騙關鍵字提取、資料探勘深化、訊息溯源等打詐技術，利用大數據分析、AI、機器學習等技術，以協助分析辨別詐騙威脅。AI可偽造文字、影音圖像，也能用於檢測及過濾，識別及清除機器人帳號，面對推陳出新的詐騙手法，需要從技術、法規、國際合作才能遏制詐騙行為。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">區塊鏈</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位轉型</span></font></strong></p> <p><span style="font-size:22px;"><strong>菲律賓將利用區塊鏈加速政府數位轉型</strong></span></p> <p>菲律賓政府近期宣布將採用區塊鏈技術，以加速向現代化的數位政府轉型，該國計畫透過區塊鏈，使將近100億的會計表格數位化，例如發票、收據、現金票據或特定銀行收據，利用區塊鏈技術，確保安全保存，同時也促成該國金融業的快速發展。</p> <p>該國將運用區塊鏈技術，來提高透明度、降低成本，為數位交易的參與者提升效率及安全。菲國政府將數位轉型視為一種手段，改善對民眾的基本服務，並降低腐敗鬥爭，並寄望政府紀錄及服務數位化，能提高國家的規畫及決策能力，並簡化商業交易。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">法案</span></font></strong></p> <p><strong><span style="font-size:22px;">瑞士政府通過數位身分法草案，為2026年推出數位身分系統熱身</span></strong></p> <p>瑞士政府近期通過數位身分的聯邦法律草案，作為瑞士政府推動數位身分的依據，瑞士政府預計2026年推出新的數位身分系統。</p> <p>瑞士政府法律事務委員會近期以9票對1票通過電子身分法草案，該委員會也提出幾項建議，例如當個人建立數位身分，可以自動比對驗證人臉與照片，以及信任基礎設施的軟體原始碼，如果涉及危害資料安全、侵害第三方權利，則不得公布原始程式碼。另外，電子身分資料僅能存放於政府的數位錢包（Digital Wallet），未來民間業者提供的數位錢包服務，只要符合政府規範，也能存放電子身分資料。</p> <p>瑞士推動數位身分的計畫並不順利，先前曾被瑞士民眾在2021年公投所否決，如今捲土重來再推動數位身分法律草案，目的為建立民眾自主權利的數位ID系統，讓使用者得以控制由政府發布的個人身分數據。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">資料共享</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">雲端</span></font></strong></p> <p><span style="font-size:22px;"><strong>澳洲與雲端業者合作，建置最高機密雲端服務供情報、國防機關資料共享</strong></span></p> <p>澳洲政府近期與公有雲業者合作，由業者打造澳洲專政府使用的最高機密雲（Top Secret Cloud），為其情報、國防機構提供機密資料安全托管服務，透過最高機密雲促成敏感性資料共享。</p> <p>這項合作將由雲端業者為澳洲建立具有主權的最高機密雲，並為當地創造約2千個工作機會，澳洲政府期望透過該業者雲端服務具有安全性、可靠性及彈性資源運用，針對澳洲的需求量身打造最高機密雲，以快速、大規模的安全共享、分析該國的最機密等級資料，並得以運用AI或機器學習技術達成一定的自動化。</p> <p>澳洲政府國防部門表示，該最高機密雲可以強化國防通訊網路的彈性，成為支持該國軍事行動的關鍵能力，並且和美國建立更大的相容、更深的合作關係。</p> <p> </p> <p>圖片來源／數位發展部、臺中市政府、臺南市政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.臺南市與環境部聯手，結合AI判煙等科技手段加強取締空污</strong></p> <p><strong>2.中國發射低軌衛星，擬建立自家衛星服務</strong></p> <p>資料來源：iThome整理，2024年7月</p> </div></div></div>
2024/8/13 15:10作者蘇文彬https://www.ithome.com.tw/news/164423
工控系統遠端存取解決方案Ewon Cosy+存在漏洞，攻擊者有機會取得root權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近5、6年，VPN系統常常是駭客試圖入侵企業網路環境的管道，攻擊者很可能利用相關漏洞突破防護措施，從而取得初始入侵的管道。而在工業控制系統（ICS）裡，不少操作人員也利用遠端存取的方式來進行作業，一旦相關的系統存在弱點，攻擊者也有機會對工控環境上下其手。</p> <p>資安業者SySS指出，<a href="https://blog.syss.com/posts/hacking-a-secure-industrial-remote-access-gateway/">HMS Networks旗下的工業級遠端存取解決方案Ewon Cosy+存在6項漏洞</a>，這些漏洞涉及身分驗證不當、使用不必要的權限執行工作、寫死密碼、作業系統層級的命令注入、明文存放Cookie敏感資訊，以及網頁載入過程輸入出現不當處理的情況，攻擊者有機會藉由上述弱點破壞VPN設備，甚至解開韌體與密碼，並且接管外部設備的OpenVPN連線。</p> <p>對此，HMS Networks獲報後發布21.2s10版、22.1s3版韌體予以修補，研究人員也在上週末舉行的資安會議DEF CON 32公布相關細節。</p> <p><a href="https://s4.itho.me/sites/default/files/images/hijack-cosy%2B.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/hijack-cosy%2B.png" style="width: 580px;" /></a></p> <p>針對這套遠端存取系統的架構，研究人員提出說明。Ewon Cosy+透過OpenVPN對廠商管理的平臺Talk2m進行路由，從而建立VPN連線，操作員藉此遠端存取工業控制閘道。</p> <p>研究人員發現，攻擊者可在上傳特製的OpenVPN組態的過程中，輸入額外的符號繞過過濾器的防護，觸發作業系統命令注入漏洞，甚至能藉由特定的OpenVPN組態產生反向Shell。</p> <p>由於OpenVPN執行使用root的權限，研究人員藉由上述管道也試圖對Ewon Cosy+進行root提權，後續他們也挖掘出跨網站指令碼（XSS）漏洞，未經身分驗證的攻擊者，能藉此利用事件記錄讓FTP服務中毒並觸發漏洞。</p> <p>接著，攻擊者有機會進一步擴大攻擊鏈，以便維持在受害設備運作，或是存取韌體特定的加密金鑰，或是解開韌體的更新檔案。再者，研究人員也發現寫死在可執行檔的金鑰，攻擊者可用來破解帳密資訊。</p> <p>另一方面，Cosy+與Talk2m的API通訊透過HTTPS進行，並透過雙向驗證TLS（mutual TLS，mTLS）機制保護，若是企業將Cosy+裝置指派給Talk2m帳號，將會產生憑證簽章請求（Certificate Signing Request，CSR）。但研究人員發現，攻擊者有機會濫用裝置的序號註冊CSR，而有可能覆蓋原本的VPN通訊，並對用戶端發動攻擊。</p> </div></div></div>
2024/8/13 12:23作者周峻佑https://www.ithome.com.tw/news/164432
傳南韓軍事偵察機機密遭北韓竊取
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南韓媒體<a href="https://www.donga.com/news/Politics/article/all/20240809/126426105/2" target="_blank">東亞日報</a>報導，南韓國防工業外包商遭北韓駭客攻擊，致用於北韓空中情蒐任務的二款軍事偵察機技術資料外流。</p> <p>報導指出，這家國防工業外包商生產南韓北韓空中偵察的重要資產，包括白頭號（Baekdu）、金剛號（Geumgang）間諜偵察機的相關軍事裝備操作和維護手冊。消息人士指出，根據初步調查，在這次駭客攻擊中，二款軍機的技術資料和規格、操作文件可能已外洩。</p> <p>報導並引述情報官員指出，北韓領導人金正恩今年稍早下令發動密集駭客攻擊，取得南韓偵察機技術資訊以強化自產軍機的能力，同時規避南韓的偵察。</p> <p>本周稍早，<a href="https://www.hankyung.com/article/202408078398i" target="_blank">韓京市場</a>報導，南韓警方破獲另一家國防外包商研究人員將K-2坦克黑豹機密外洩競爭者。黑豹（Black Panther）是由現代旗下的Hyundai Rotem生產，其先進的正壓通氣設備為因應北韓生化戰而設計。Hyundai Rotem外包商S的3名研究人員在跳槽競爭者A，以外插式硬碟機將正壓設備設計圖複製後提供給了新東家。3人也在本周遭移送法院。</p> </div></div></div>
2024/8/13 13:44作者林妍溱https://www.ithome.com.tw/news/164436
Sonos智慧喇叭漏洞讓駭客得以監聽使用者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國資安業者NCC Group在上周四（8/8）舉行的黑帽大會上，<a href="https://www.blackhat.com/us-24/briefings/schedule/#listen-up-sonos-over-the-air-remote-kernel-exploitation-and-covert-wiretap-38436" target="_blank">揭露了Sonos智慧喇叭的多個安全漏洞</a>，相關漏洞允許駭客自遠端監聽使用者。<a href="https://www.sonos.com/en/security-advisory-2024-0001" target="_blank">Sonos則在本月修補</a>了CVE-2023-50809與CVE-2023-50810，並說它們影響所有的S1與S2系統。</p> <p>Sonos為美國的音訊設備製造商，生產耳機、喇叭、聲霸卡或家庭劇院等產品，NCC Group則研究了Sonos One與Sonos Era 100，發現當中含有許多漏洞，且這些漏洞總計存在於24款Sonos產品上。</p> <p>Sonos One是2019年發表的智慧喇叭，頗受市場歡迎，但研究人員分析該裝置的Wi-Fi堆疊後，發現它的無線網路驅動程式含有許多問題，合併為CVE-2023-50809漏洞。至於Sonos Era 100則是旗艦機種，研究人員發現其引導程序（Bootloader）含有許多安全問題，可被用來執行程式或控制裝置。</p> <p>NCC Group的研究人員成功利用相關漏洞將Sonos喇叭變成竊聽器，以用來監聽喇叭附近的所有聲音。</p> <p>根據Sonos的說明，CVE-2023-50809屬於遠端程式執行漏洞，肇因於裝置的無線驅動程式無法妥善驗證WPA2 四向交握時的一個資訊元素，而可遭到低權限且近距離的駭客利用，以執行任意程式。</p> <p>而CVE-2023-50810則是個持續程式碼執行漏洞，存在於韌體中的U-Boot元件，允許駭客以Linux核心權限持續執行任意程式碼。駭客只要能實際存取該裝置，或是藉由某個運行時漏洞取得快閃記憶體的寫入權限，就能利用該漏洞。</p> <p>這兩個漏洞同時影響舊版的S1與新版的S2系統，Sonos裝置用戶可將韌體更新至Sonos S1 11.12及Sonos S2 15.9以進行修補。</p> </div></div></div>
2024/8/13 14:16作者陳曉莉https://www.ithome.com.tw/news/164438
AI業者與Linux基金會共推開放AI模型倡議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數家AI業者與Linux基金會<a href="https://www.prnewswire.com/news-releases/linux-foundation-welcomes-the-open-model-initiative-to-promote-openly-licensed-ai-models-302219826.html" target="_blank">宣布</a>成立開放模型倡議（Open Model Initiatives，OMI），以推動高品質的開放授權AI模型的開發和採用。</p> <p>OMI旨在推動以「不可撤回（irrevocable）的開放授權」來訓練和開發AI模型而沒有刪除條款或經常性費用。創始會員包括Invoke、CivitAI、Comfy Org，並獲得AI開發平臺Wand及非營利的Sentient基金會的支持。OMI也成為Linux基金會管理的官方開源基金會，並由其後者的指導委員會治理。</p> <p>Invoke是實作Stable Diffusion（SD）模型的雲端創意引擎，整合SD的文字生成圖片、圖片生成圖片模型及其WebUI，讓藝術家、創作者自創視覺媒體內容。而Civitai是一個AI圖片生成平臺，提供創作者發現生成AI圖片的模型，以及AI生成圖片的社群共享平臺，將生成的圖片和他人共享。ComfyUI也是以SD模型為基礎的WebUI生成平臺。</p> <p>Invoke指出，開放授權讓個人或企業在其他人作品基礎上進一步研發，但是現在圖片和影片生成模型被以嚴格限制的非商業授權釋出，這類授權限制新穎智財的所有權，受限的功能無法回應社群需求。有鑒於新模型建立和開發的複雜性和成本，他們相信，協同和團結是確保強大的AI工具廣為社群取用之必需。這個倡議即希望能建立一個支持開源工具正向成長和可近用性的社群。</p> <p>為了促進真正開源、合乎倫理的強大生成式AI模型的開發，OMI工作重點包括建立治理框架和工作小組，以建立協同式社群，並將執行調查蒐集關於未來開源模型研究和訓練的回饋意見。在實際工作上，OMI將建立模型相容性和meta data的共享標準；開發訓練和良性譯寫（captioning）的透明資料集；完成目標式紅隊演練的Alpha test模型；預計年底釋出具有微調腳本的Alpha版模型。</p> <p>工作小組成員及模型開發相關資源，已公布在OMI的<a href="https://c212.net/c/link/?t=0&l=en&o=4230848-1&h=3641515116&u=https%3A%2F%2Fdiscord.gg%2FKGpkjAPpTf&a=Discord" target="_blank">Discord</a>和<a href="https://c212.net/c/link/?t=0&l=en&o=4230848-1&h=299264118&u=https%3A%2F%2Fgithub.com%2FOpen-Model-Initiative&a=GitHub" target="_blank">GitHub</a>上。</p> <p>不過正由於AI模型訓練及執行成本高昂，要業者開放模型供他人存取需要更強有力的說詞。大部份自行開發的業者若非獲得強大財源如OpenAI、Stability AI、Anthropic、Mistral AI，或是本身為科技巨擘如微軟、Google、Meta，即使是這些業者，也都不可能永遠免費提供；業者都在盤算如何包裝市場可接受的付費AI方案，或綑綁其他服務產品，例如AI PC或生產力套件。</p> </div></div></div>
2024/8/13 11:56作者林妍溱https://www.ithome.com.tw/news/164431
英特爾廣泛釋出最新微碼解決13、14代處理器的瑕疵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>晶片大廠英特爾已經<a href="https://community.intel.com/t5/Processors/Microcode-0x129-Update-for-Intel-Core-13th-and-14th-Gen-Desktop/m-p/1622129" target="_blank">釋出</a>最新微碼（microcode），並擴大硬體合作夥伴釋出，解決引發數月來發生大規模13、14代處理器運作不穩災情的瑕疵。</p> <p>英特爾目前已將新的微碼修補0x129交給OEM/ODM合作夥伴，以解決Core 13和14代桌機處理器電壓呼叫不正確，造成運作電壓升高的問題。這組修補程式將會透過BIOS更新，而非作業系統更新釋出給用戶電腦。</p> <p>這是英特爾為了解決春天許多Intel Core 13、14代處理器用戶的電腦問題，當時用戶打電玩時發生<a href="https://www.theverge.com/2024/4/9/24125036/intel-game-crash-13900k-14900k-fortnite-unreal-engine-investigation" target="_blank">軟體當機</a>，迫使遊戲軟體商出面建議調整BIOS。經過長時間調查，英特爾7月底<a href="https://www.reddit.com/r/intel/comments/1e9mf04/intel_core_13th14th_gen_desktop_processors/" target="_blank">證實</a>是因2023年製程氧化問題，導致處理器運行電壓升高，進而引發「運作不穩定」甚至處理器崩潰。上周<a href="https://www.asus.com/support/faq/1053745/" target="_blank">華碩</a>與<a href="https://www.msi.com/news/detail/BIOS-Update-For-Intel-Core-14th-and-13th-Gen-Desktop-Processor-Instability-144258" target="_blank">微星</a>率先釋出包含0x129微碼修補程式的BIOS更新解決其產品問題。最新一波修補則提供給所有OEM/ODM。英特爾表示正和OEM/ODM夥伴合作，確保BIOS更新的驗證和部署。</p> <p>除了稍早提供的延長保固外，英特爾已發布三次緩解，時間點分別是在今年5月透過產品預設設定、6月的微碼0x125修復i9處理器eTVB演算法瑕疵、以及現在的0x129。0x129會將電壓呼叫限制在1.55V以上，作為之前未出現癥狀的處理器的預防措施。這新微碼主要是改善K、KF、KS系列處理器的運作狀況。英特爾也證實，根據測試，未來英特爾產品不會再受影響。</p> <p>不過最新微碼並不能修復已經發生崩潰的處理器問題。</p> <p>英特爾聲稱，根據內部測試，處理器安裝微碼的機器，在一些Cinebench、3Dmark、WebXPRT 4等工具影響「有限」，而在電玩軟體測試也僅少數有明顯影響。但該公司說，對系統效能的影響則視配置及其他因素而定。最新微碼也不影響用戶超頻。</p> <p>英特爾表示，會持續研究緩解方法，以解決導致13、14代桌機處理器發生最低工作電壓（Vmin）變動的問題，並承諾會在8月底報告最新進度。</p> </div></div></div>
2024/8/13 10:56作者林妍溱https://www.ithome.com.tw/news/164428
微軟揭露OpenVPN的4個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟資深安全研究人員Vladimir Tokarev 在上周四（8/8）舉行的黑帽大會上，揭露了<a href="https://blackhat.com/us-24/briefings/schedule/#ovpnx--zero-days-leading-to-rce-lpe-and-kce-via-byovd-affecting-millions-of-openvpn-endpoints-across-the-globe-38900" target="_blank">OpenVPN上的4個零時差漏洞</a>，此一系列被Tokarev命名為OVPNX的漏洞可被串連以實現權限擴張或遠端程式攻擊，同一天微軟亦於官方部落格<a href="https://www.microsoft.com/en-us/security/blog/2024/08/08/chained-for-attack-openvpn-vulnerabilities-discovered-leading-to-rce-and-lpe/" target="_blank">公布</a>更多細節。</p> <p>OpenVPN為一虛擬私人網路（VPN）的開源專案，建立於2001年，它在路由或橋接的配置上，透過技術來建立安全的端對端連結，被廣泛應用於各式作業系統上，從Windows、macOS、Android、iOS到BSD等，根據Enlyft的<a href="https://enlyft.com/tech/products/openvpn" target="_blank">統計</a>，全球約有6,000家企業使用OpenVPN，意謂著有數百或數千萬臺裝置安裝了OpenVPN。</p> <p>OVPNX漏洞包括了存在於Windows TAP驅動程式的CVE-2024-1305，可形成服務阻斷攻擊，而CVE-2024-24974、CVE-2024-27459與CVE-2024-27903，則皆存在於負責管理OpenVPN服務進程的openvpnserv元件中，依序可造成未經授權的存取、服務阻斷/權限擴張，以及遠端程式攻擊。</p> <p>微軟的威脅情報團隊說明，他們一開始是要檢查如何以開源的OpenVPN專案來強化企業的安全標準，當時也順便檢查了其它兩個熱門的VPN解決方案，卻在這兩個VPN上都發現了CVE-2024-1305漏洞，這使得他們開始把目標對準其它具備同樣問題的驅動程式，並在發現OpenVPN也擁有同樣漏洞之後，決定調查Windows系統上的OpenVPN架構與安全性，才進而找到其它3個漏洞。</p> <p>駭客要利用OVPNX漏洞的首要之務是必須先取得OpenVPN憑證，不管是偷、盜或購買，在取得憑證後，駭客即可串連 CVE-2024-24974與CVE-2024-27903 來實現遠端程式執行；或是結合CVE-2024-27459與CVE-2024-27903來擴張本地權限。Tokarev說，這類的攻擊鏈可能令駭客得以完全掌控目標端點，進而造成資料外洩，系統遭到危害，或是未經授權的機密資訊存取等後果。</p> <p>OpenVPN在今年3月收到微軟的通知之後，當月即釋出OpenVPN 2.5.10及2.6.10來修補相關的安全漏洞，現在的OpenVPN版本已進展到OpenVPN 2.5.11與OpenVPN 2.6.12 。</p> </div></div></div>
2024/8/13 11:15作者陳曉莉https://www.ithome.com.tw/news/164429
Microsoft 365 Copilot可被濫用進行釣魚攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安廠商Zenity的共同創辦人暨技術長Michael Bargury在黑帽大會<a href="https://labs.zenity.io/p/links-materials-living-off-microsoft-copilot#lol-copilot">發表</a>了兩大工具，分別是CopilotHunter與LOLCopilot。這兩個工具都是針對Microsoft 365 Copilot開發，CopilotHunter能夠掃描和列舉Copilot的資源與錯誤配置，而LOLCopilot則可執行模擬攻擊，濫用Copilot功能來收集資訊、洩漏資料甚至是進行釣魚攻擊。</p> <p><a href="https://labs.zenity.io/p/hsc24">CopilotHunter和LOLCopilot安全工具在GitHub開源</a>，協助企業發現和修補安全漏洞。CopilotHunter的核心功能是利用Microsoft 365 Copilot的錯誤配置進行安全掃描和分析，其具有兩個重要關鍵模組，分別針對掃描和列舉需求的Deep Scan和Enum。</p> <p>Deep Scan模組會執行深度掃描，發現網際網路上的公開Copilot Studio資源，其使用了Copilot Studio和Power Platform的內建機制，以及諸如FFUF和Puppeteer等工具，來辨識可能存在配置錯誤和暴露於組織外部的資源。而Enum模組則會利用Platform API子網域名來擷取環境ID和租戶ID，而這些ID將作為其他掃描模組提供基礎資料，向後續分析和漏洞掃描提供參照資料。</p> <p>而LOLCopilot則是一款專為模擬攻擊設計的工具，透過Copilot收集敏感資料來進行針對性攻擊。與LOLCopilot相關的模組包括Whoami，可收集受感染使用者能夠存取的敏感資訊，包括電子郵件、檔案、行程安排等，全面了解使用者的存取權限，隨後使用Dump模組擷取和儲存這些資料，並利用Copilot繞過DLP技術，使敏感資料洩漏不被系統偵測的情況。</p> <p>LOLCopilot的Spearphishing模組則會針對最近與受害者有互動過的合作夥伴，生成高度客製化的釣魚郵件，試圖引誘他們執行不安全的操作，這些攻擊策略因為高度模仿受害者的寫作風格，致使攻擊更加難以被目標辨識。</p> </div></div></div>
2024/8/13 08:18作者李建興https://www.ithome.com.tw/news/164426
NPM大量垃圾套件氾濫，影響開源生態系安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司<a href="https://blog.phylum.io/the-great-npm-garbage-patch/" target="_blank">Phylum研究人員發現</a>，NPM（Node Package Manager）平臺目前正面臨嚴重的垃圾套件氾濫問題，這些套件主要與一個名為Tea協定的去中心化專案有關，垃圾套件目的是操縱Tea協定來誇大開發者的貢獻，以賺取加密貨幣獎勵。</p> <p>從今年2月開始，NPM上發布的套件數量明顯增加，在4月8日達到高峰，一天甚至會有超過4.8萬個套件上傳。其中許多套件是以自動化工具生成，內容毫無實質價值，僅是為了利用Tea協定的獎勵系統賺取獎勵。這些垃圾套件的特徵，通常包含無意義的套件名稱，以及虛假的相依套件清單，並且有一個名為tea.yaml的檔案，來標示專案所有者。</p> <p>這些垃圾套件增加的速度飛快，在2024年第二季，已經約有50萬個垃圾套件被上傳到NPM，占總套件發布量的21.25％到25.5％，如果僅計算新套件，垃圾套件的占比甚至高達68.66％到74.67％。</p> <p>研究人員指出，雖然目前尚未發現這些垃圾套件包含或是執行狹義的惡意行為，但是大量上傳垃圾套件本身就是一種惡意，且可能存在一些潛在的安全風險。由於大多數垃圾套件具有無意義或是隨機名稱，因此一般開發者不太可能誤裝這些套件，但是其中像是為web3-cover的部分套件命名具有特定意思，便可能使開發者意外引入，進一步增加風險。</p> <p>而且這些垃圾套件可能會對基於NPM資料訓練的模型產生影響，導致模型輸出錯誤，造成「垃圾進垃圾出」的現象。大規模的垃圾套件也阻礙開源套件平臺，對套件進行安全性評估的能力，雖然開發者可能不會主動安裝這些套件，但是複雜的相依項目鏈，可能導致開發者無意中引入這些套件，為實際惡意行為提供掩護。</p> <p>NPM已經開始移除部分垃圾套件，但是移除的速度還是跟不上垃圾套件發布的速度，而Tea協定專案已經意識到這個問題，正在調整機制，避免這個機制被濫用。這個問題並非NPM獨有，包括Rubygems也出現類似的垃圾套件問題。</p> </div></div></div>
2024/8/12 22:35作者李建興https://www.ithome.com.tw/news/164419
Android裝置串流測試服務啟動，三星、小米和Oppo加入早期存取計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google將開放<a href="https://android-developers.googleblog.com/2024/08/android-device-streaming-announcing-early-access.html">Android裝置串流（Android Device Streaming）測試</a>功能，給申請的開發者優先試用，開發者將可以使用資料中心內的Android裝置，實際測試他們的應用程式。位於資料中心的裝置操作畫面，會直接遠端串流到Android Studio上，供開發者在開發環境中實際進行操作和測試。目前Android裝置串流功能開放申請，3家OEM廠商包括三星、小米和Oppo裝置參與測試。</p> <p>Google透過將合作的OEM廠商裝置實驗室，連接到Android裝置串流服務中，供開發者使用更多類型的實體裝置，測試他們的應用程式。</p> <p>官方進一步解釋，Android裝置串流服務，是以OmniLab裝置平臺建構而成，可以確保測試過程中的安全和效能。其透過加密的ADB（Android Debug Bridge）連接，開發者在Android Studio中就可直接遠端操作裝置。ADB是一個命令列工具，可以用於和Android裝置進行通訊和除錯，原本就是Android開發中重要部分，支援的操作包括安裝和卸載應用程式、查看裝置日誌、傳輸檔案，或是在裝置執行命令等。</p> <p>Google即將在今年稍晚啟動早期存取計畫，讓參與計畫的開發者，可以使用Android裝置串流連接到Google OEM合作夥伴三星、小米和Oppo的裝置，這些廠商的實驗室散布世界各地，開發者透過使用Android Studio中的Android裝置串流功能，並且結合使用Firebase專案就可進行存取，而Firebase專案管理員擁有可以啟用或是停用各個OEM實驗室的權限。</p> </div></div></div>
2024/8/12 22:37作者李建興https://www.ithome.com.tw/news/164422
【資安日報】8月12日，研究人員揭露存在18年的瀏覽器漏洞，而且已有濫用漏洞行為，Linux及macOS電腦都可能中招
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般而言，駭客利用瀏覽器的漏洞，通常是打算藉此入侵受害者的電腦，或是竊取瀏覽器存放的使用者資料，但最近研究人員揭露的漏洞0.0.0.0 Day相當特別，因為這項漏洞影響的範圍並未包含數量龐大的Windows用戶，而是搭載Linux與macOS作業系統的電腦。</p> <p>但值得留意的是，這項漏洞已被用來從事攻擊行動，駭客藉此存取特定應用系統的伺服器，從而執行任意程式碼，或是提升權限。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164420"><strong style="font-size: 22px;">多個瀏覽器存在長達18年的漏洞，Chrome、Firefox、Safari都面臨危機</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/66b2fe7e6bcd68cdf517aceb_AD_4nXdcQY_ZfbLgcpZvou7dcKn1D7_LFKLDQB58w2DQalkP_bffPgUc5aPuTu6Moos-DX_FNlWSCYols2CxGCE2VfRBQRjtSrtUx6nRHAXlXPGVbPYRT0Lf5yQIXlrGCT3qbtc7Hgxkp2lqwCZWjj4fWaCKVuD8.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/66b2fe7e6bcd68cdf517aceb_AD_4nXdcQY_ZfbLgcpZvou7dcKn1D7_LFKLDQB58w2DQalkP_bffPgUc5aPuTu6Moos-DX_FNlWSCYols2CxGCE2VfRBQRjtSrtUx6nRHAXlXPGVbPYRT0Lf5yQIXlrGCT3qbtc7Hgxkp2lqwCZWjj4fWaCKVuD8.gif" style="width: 300px; float: right;" /></a>資安業者Oligo Security針對名為0.0.0.0 Day的漏洞提出警告，此漏洞允許惡意網站繞過瀏覽器的安全機制，與受害組織網路環境運作的服務進行互動，使得攻擊者有機會對於電腦本機服務進行未經授權存取，或是遠端執行任意程式碼。</p> <p>這項漏洞的影響範圍相當廣，不只使用Chrome、Firefox為基礎的瀏覽器受到影響，就連Safari也無法倖免。不過，該漏洞主要影響執行macOS及Linux作業系統的電腦，並未波及Windows用戶。</p> <p>值得留意的是，這項漏洞已被用於實際攻擊行動。研究人員指出，今年3月人工智慧框架Ray攻擊行動ShadowRay、7月底揭露的SeleniumGreed，攻擊者都藉由向0.0.0.0發出請求而得逞。</p> <p><a href="https://www.ithome.com.tw/news/164418"><strong style="font-size: 22px;">提供應用程式為誘餌，駭客在Chrome、Edge植入惡意延伸套件</strong></a></p> <p>瀏覽器已是大部分使用者不可或缺的工具，而且，常見的瀏覽器都能透過延伸套件來加入功能，這也使得駭客藉著散播惡意延伸套件的情況，越來越頻繁。</p> <p>資安業者ReasonLabs揭露大規模惡意瀏覽器延伸套件攻擊行動，駭客從2021年開始，透過Google廣告進行宣傳，假借提供多種應用程式當作誘餌，藉此在Chrome、Edge瀏覽器植入惡意延伸套件，他們估計至少有30萬用戶受害。</p> <p>攻擊者聲稱提供的應用程式包括：遊戲破解工具Roblox FPS Unlocker，串流平臺YouTube、抖音、Instagram的影片下載程式、電玩遊戲Wordle、Rummikub，以及任天堂主機模擬器Dolphin Emulator、遊戲管理平臺Steam，由此看來，這波攻擊鎖定的目標，似乎主要是遊戲玩家。除此之外，也有提供Chrome、密碼管理工具KeePass做為誘餌的情況。</p> <p><a href="https://www.ithome.com.tw/news/164405"><strong style="font-size: 22px;">IT業者資料庫配置不當，曝露美國460萬選民資料</strong></a></p> <p>VPN評比公司Vpnmentor指出，近期發現美國伊利諾州部分郡的選民和選舉資料庫未受密碼保護，包括投票登記、選票模板和個人資料相關的大量檔案出現在網際網路，研究人員發現這些資料庫由名為Platinum Technology Resource的公司管理，目前已經通知相關單位處理。</p> <p>研究人員進一步分析曝光的資料，發現伊利諾州13個郡有選舉資料洩漏的情況，這些資料庫均未使用密碼保護，共存放460萬選民資料，另外，他還發現了15個雖有設置密碼，但是存在潛在安全風險的資料庫，這些資料庫暴露了儲存選民或是選舉檔案的路徑，可能成為攻擊者的目標。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://securityaffairs.com/166895/cyber-warfare-2/donald-trumps-campaign-hacked.html"><strong style="font-size: 20px;">川普競選團隊傳出遭遇伊朗國家級駭客攻擊</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cyberresilience.com/threatintel/apt-group-kimsuky-targets-university-researchers/">北韓駭客kimsuky鎖定研究人員及教授發動網路間諜攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.ru/eastwind-apt-campaign/110020/">中國駭客APT31、APT27發起攻擊行動EastWind，散布後門程式CloudSorcerer</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/over-40000-internet-exposed-ics-devices-found-in-us-censys/">美國逾4萬臺工業控制設備曝露在網際網路，逾半數與大樓自動化有關</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164412"><strong style="font-size: 22px;">研究人員揭露AMD晶片存在近20年的SinkClose漏洞</strong></a></p> <p>資安業者IOActive研究人員Enrique Nissim與Krzysztof Okupski在資安會議DEF CON 32上，揭露AMD晶片漏洞SinkClose，此漏洞將允許駭客於系統管理模式（System Management Mode，SMM）執行程式碼，而且已存在近20年。SinkClose被登記為CVE-2023-31315列管，波及絕大多數的AMD處理器，從行動處理器、桌面處理器、工作站處理器到資料中心處理器等，估計影響數億臺裝置。</p> <p>對此，AMD也提出說明，CVE-2023-31315漏洞存在於模型特定暫存器（Model Specific Register，MSR）的驗證不當，允許具備Ring 0存取權限的惡意程式，即便是在系統管理中斷（System Management Interrupt，SMI）上鎖時，都能修改SMM配置，因而可執行任意程式。</p> <p>值得留意的是，AMD已對大部分處理器進行修補，但唯獨排除Ryzen 3000系列處理器，而這些處理器在2019年至2020年之間推出，還有不少人使用，因而招致用戶抱怨。</p> <p><a href="https://www.ithome.com.tw/news/164409"><strong style="font-size: 22px;">Office存在可能導致敏感資料外洩的漏洞，微軟目前尚未提供修補程式</strong></a></p> <p>8月8日微軟警告Office存在漏洞CVE-2024-38200，有可能導致NTLM驗證資料等敏感資訊洩露給駭客，影響雲端與桌機版本Office，微軟預定在本月例行更新（Patch Tuesday）釋出安全更新，但聲稱用戶暫無安全風險。</p> <p>此漏洞由PrivSec Consulting研究人員Jim Rush及獨立研究人員Metin Yunus Kandemir發現，為欺騙攻擊漏洞，CVSS風險值為7.5 ，可造成敏感資訊洩露給未經授權的攻擊者。影響產品包括Office LTSC 2021、Office 2019、Office 2016，以及企業版的Microsoft 365，而且，64位元和32位元版本都受到影響。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.crowdstrike.com/blog/tech-analysis-addressing-claims-about-falcon-sensor-vulnerability/">中國資安業者宣稱造成全球EDR大當機的問題可被用於攻擊，遭到CrowdStrike否認</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164400"><strong>【8月9日】資安業者公布6起濫用雲端服務的後門程式攻擊行動，並指出有臺灣組織受害</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164383"><strong>【8月8日】黑帽大會首度增設AI議程，趨勢科技展示深偽偵測技術</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164356"><strong>【8月7日】法國博物館驚傳遭遇勒索軟體攻擊</strong></a></p> </div></div></div>
2024/8/12 17:39作者周峻佑https://www.ithome.com.tw/news/164421
瀏覽器存在長達18年的漏洞被用於攻擊行動，Chrome、Firefox、Safari都中招
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Oligo Security針對<a href="https://www.oligo.security/blog/0-0-0-0-day-exploiting-localhost-apis-from-the-browser">名為0.0.0.0 Day的漏洞提出警告</a>，此漏洞允許惡意網站繞過瀏覽器的安全機制，與受害組織網路環境運作的服務進行互動，使得攻擊者有機會對於電腦本機服務進行未經授權存取，或是遠端執行任意程式碼。</p> <p>這項漏洞的影響範圍相當廣，不只使用Chrome、Firefox為基礎的瀏覽器受到影響，就連Safari也無法倖免。不過，該漏洞主要影響執行macOS及Linux作業系統的電腦，並未波及Windows用戶。</p> <p>研究人員指出這項漏洞發生的原因，在於瀏覽器產業缺乏標準化，各家瀏覽器安全機制的作法存在差異，使得看似無害的IP位址0.0.0.0，成為攻擊者能夠加以利用的管道。</p> <p><a href="https://s4.itho.me/sites/default/files/images/66b2fe7e6bcd68cdf517aceb_AD_4nXdcQY_ZfbLgcpZvou7dcKn1D7_LFKLDQB58w2DQalkP_bffPgUc5aPuTu6Moos-DX_FNlWSCYols2CxGCE2VfRBQRjtSrtUx6nRHAXlXPGVbPYRT0Lf5yQIXlrGCT3qbtc7Hgxkp2lqwCZWjj4fWaCKVuD8.gif"><img alt="" src="https://s4.itho.me/sites/default/files/images/66b2fe7e6bcd68cdf517aceb_AD_4nXdcQY_ZfbLgcpZvou7dcKn1D7_LFKLDQB58w2DQalkP_bffPgUc5aPuTu6Moos-DX_FNlWSCYols2CxGCE2VfRBQRjtSrtUx6nRHAXlXPGVbPYRT0Lf5yQIXlrGCT3qbtc7Hgxkp2lqwCZWjj4fWaCKVuD8.gif" style="width: 580px;" /></a></p> <p>值得留意的是，<a href="https://bugzilla.mozilla.org/show_bug.cgi?id=354493">這項漏洞曾在18年前被提出探討</a>，但直到今年4月Oligo Security向瀏覽器主要業者通報，相關的因應行動才有了明確進展。例如，發展與維護Chrome的Google將於128版封鎖0.0.0.0的存取，蘋果目前已在WebKit排版引擎進行調整，主導Firefox發展的Mozilla獲報後，也著手處理此事。</p> <p>不僅如此，這種漏洞已被實際用於攻擊行動。</p> <p>其中一個是<a href="https://www.ithome.com.tw/news/162102#ShadowRay">今年3月揭露的人工智慧框架Ray攻擊行動ShadowRay</a>，駭客鎖定的目標，是開發人員主機上（即Ray叢集）執行的AI工作負載。駭客透過釣魚郵件或惡意網站提供惡意連結，一旦開發人員點選，就會觸發JavaScript指令碼，將HTTP請求發送到Ray使用的http://0[.]0[.]0[.]0:8265，從而觸發瀏覽器的漏洞，使得攻擊者能對該AI系統執行任意程式碼、執行反向Shell，或是竄改配置。</p> <p>另一起攻擊行動，則是<a href="https://www.wiz.io/blog/seleniumgreed-cryptomining-exploit-attack-flow-remediation-steps">資安業者Wiz在7月底揭露的SeleniumGreed</a>，駭客的目標是自動化測試平臺Selenium Grid，意圖將這類伺服器用於挖礦牟利。Oligo Security指出，駭客使用特製的有效酬載向http://0[.]0[.]0[.]0:4444/發出POST請求，就有機會遠端執行任意程式碼。</p> <p>最後一個研究人員提及的例子，是<a href="https://www.oligo.security/shelltorch">他們去年向Amazon及Meta通報的漏洞ShellTorch（CVE-2023-43654）</a>，這項漏洞位於AI框架PyTorch的元件TorchServe，研究人員指出，開發人員若不修補，攻擊者也有機會利用0.0.0.0 Day來觸發。</p> </div></div></div>
2024/8/12 17:28作者周峻佑https://www.ithome.com.tw/news/164420
【資安週報】2024年8月5日到8月9日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這一星期Black Hat USA 2024於美國拉斯維加斯登場，今年是第27屆，照往年慣例，有很多資安新聞都在此時發布，特別的是，今年新納入的AI Summit研討會於當地時間6日舉行，趨勢科技也在一場演說中展示偵測深偽（Deepfake）商用解決方案，同時闡釋AI世代的企業資安風險管理差異，幫助大家因應未來的局勢。</p> <p>黑帽大會主活動於7日與8日展開，當中有許多全球頂尖資安研究人員揭露最新的研究成果，我們在這一星期資安日報的新聞，也陸續報導相關消息。</p> <p>●賽門鐵克揭露6起攻擊者濫用合法雲端服務的攻擊行動，不僅指出這些手法日趨複雜，特別的是，研究人員提及中國駭客組織UNC5330散布Grager後門程式，攻擊目標是臺灣、香港、越南的企業組織。<br /> ●德國CISPA亥姆霍茲資訊安全中心揭露GhostWrite漏洞，問題發生在阿里巴巴旗下平頭哥半導體（T-Head）所生產的RISC-V處理器玄鐵C910，並指出其影響範圍可能很廣泛且難以修補。<br /> ●Zenity研究人員公布了如何將Copilot變成駭客武器的最新研究，並釋出新的LOLCopilot紅隊工具模組，當中主要探討駭客如何在滲透後利用Microsoft Copilot來搜尋、解析並竊取敏感資料，而且不會產生日誌。<br /> ●資安業者Bitdefender揭露Solarman太陽能發電監控系統、寧波德業（Deye）逆變器的漏洞，兩家業者在接獲通報後皆著手修補。（研究人員是在美國黑帽大會附近另一場於8日到11日舉行的DEF CON 32資安會議展示這項成果。）</p> <p>臺灣資安研究人員也在本次黑帽大會揭露重要發現。例如，<a href="https://blog.orange.tw/2024/08/confusion-attacks-ch.html?fbclid=IwY2xjawEmX_pleHRuA2FlbQIxMQABHZvi4Nuzpa9EUZIMW14BlGl9n70C1V-oVwHKYdXvEBoPHkhPvZqv292TJA_aem_yW8w1R3MJFLqgj44eEnFOg">戴夫寇爾首席資安研究員Orange Tsai（蔡政達）</a>，今年他揭開名為Confusion Attacks的全新攻擊面向，當中探索了Apache HTTP Server中存在的架構問題，並在攻擊研究中找到9個漏洞，而Orange先前也已將這些漏洞通報給Apache軟體基金會，在7月已有修補釋出（還有1個漏洞的CVE編號待公布）；<a href="https://www.blackhat.com/us-24/briefings/schedule/#attention-is-all-you-need-for-semantics-detection-a-novel-transformer-on-neural-symbolic-approach-39527">睿控網安的研究人員鄭仲倫（Mars Cheng）、馬聖豪、林怡安‍</a>則公開資安防護上對於惡意程式分析的新方法，主要針對攻擊者將惡意程式碼混淆以規避偵測與分析的問題，提出一種新穎且基於神經網路的符號執行大型語言模型（LLM）－－CuIDA，以模擬人類專家分析策略來進行，並可在不對加殼器進行解壓或解密的情況下，直接檢測被保護的可執行文件。</p> <p>在漏洞消息與方面，本星期共有3個漏洞利用狀況值得我們重視，其中一項已知漏洞的防範，需要國內特別重視，因為資安業者指出有中國駭客利用該漏洞入侵臺灣研究機構。</p> <p>（一）思科旗下Talos揭露APT41針對臺灣政府所屬研究機構的攻擊行動，當中具體列出該組織的手法，以及使用已知漏洞<span style="color:#0000FF;">CVE-2018-0824</span>，將惡意程式ShadowPad、Cobalt Strike等攻擊工具植入這個研究機構。<br /> （二）開源ERP系統Apache OFBiz在今年5月修補的漏洞<span style="color:#0000FF;">CVE-2024-32113</span>，大家要當心！因為最近出現攻擊者鎖定利用這個管道的狀況。SANS網路風暴中心指出，最近利用此漏洞的攻擊行動，其目的是將殭屍網路病毒Mirai植入OFBiz。<br /> （三）在Android的8月例行更新中，包含1個已遭利用的零時差漏洞<span style="color:#0000FF;">CVE-2024-36971</span>修補。該漏洞今年6月公布時存在Linux作業系統核心，但該漏洞也影響到Android系統，後續Google TAG小組發現有此漏洞的針對性攻擊跡象。</p> <p>還有2個與臺灣有關的漏洞消息，首先是美國CISA針對臺灣視訊監控設備廠商陞泰科技（Avtech）發布警告，指出其產品存在漏洞<span style="color:#0000FF;">CVE-2024-7029</span>並被用於攻擊行動，但陞泰尚未公布緩解措施，因此CISA特別提供可降低此漏洞遭利用的作法；另一是上月底PKfail漏洞揭露後，<a href="https://www.gigabyte.com/tw/Support/Security/2205">技嘉於8月1日</a>回應此問題的解法，他們表示，將在8月、9月釋出不同平臺的新版BIOS，予以修補。</p> <p>在資安事件方面，有2起消息與國內上市櫃公司有關，還有MDM業者遭駭引發上萬平板筆電無法使用，以及DigiCert撤銷8萬憑證的情形。我們整理如下：<br /> ●上市電腦及週邊設備業偉聯科技在8月5日發布資安重訊，說明部份資訊系統遭受駭客網路攻擊事件。<br /> ●上櫃資訊服務業智聯服務在8月5日發布資安重訊，說明部份僅供內部人員使用的資訊系統遭受駭客攻擊。<br /> ●在法國奧運賽事期間，當地博物館法國巴黎大皇宮說明遭遇網路攻擊事件，但也指出僅影響博物館內的書店與精品店。<br /> ●行動裝置管理（MDM）方案業者Mobile Guardian遭駭，導致列管的大量iOS及ChromeOS裝置遭未經授權存取，而這起事故也造成許多災情，例如新加坡就有1.3萬學生上課用的平板筆電無法使用。<br /> ●SSL數位憑證機構DigiCert宣布撤銷8萬多個憑證，影響6千多用戶，原因是他們自身未做好網域控制驗證。</p> <p>在資安防禦動向上，有兩個重要消息，一是中華資安國際預計於8月20日登錄興櫃，為臺灣證券市場新增一個資安生力軍；另一是美國CISA首任AI長在8月初出爐，這是因為美國OMB在今年3月的規範，強調在AI時代需有人來主導及監督如何使用AI技術，並考慮安全及可靠性，以此幫助眾人真正獲得AI帶來的好處。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164301"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月5日】研究人員公布去年中國駭客APT41攻擊臺灣研究機構的事故</span></strong></a></h3> <p>隨著政治情勢日益緊張，中國駭客針對臺灣企業組織發動攻擊的情況不斷傳出，而在上週四又有這類事故的調查出爐，有資安廠商去年發現一個附屬於臺灣政府機關的研究機構遭駭。</p> <p>值得留意的是，在這起攻擊行動裡，駭客運用過往較為少見的手法，其中一種是利用舊版微軟Office軟體搭配的輸入法編輯器（IME），該元件推出已長達13年，且不再受到支援。</p> <h3><a href="https://www.ithome.com.tw/news/164335"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月6日】達美航空、CrowdStrike將針對EDR系統大當機事故對簿公堂</span></strong></a></h3> <p>7月19日臺灣時間下午發生的CrowdStrike更新出錯事故，導致全球各地都出現災情，其中最早傳出受害的是航空業者及醫療機構，如今有航空公司指控，他們因故招致業務停擺及名譽受損，求償5億美元。</p> <p>但CrowdStrike不以為然，認為該公司較晚復原與IT運作疏失有關，控告目的其實是在推卸責任。</p> <p><a href="https://www.ithome.com.tw/news/164356"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月7日】法國博物館驚傳遭遇勒索軟體攻擊</span></strong></a></p> <p>奧運賽事正如火如荼進行，臺灣也有不少選手獲得佳績，但在此同時，提供擊劍和跆拳道比賽場地的法國巴黎大皇宮（Grand Palais Rmn），傳出遭遇網路攻擊，當地媒體取得知情人士的說法，這起事故是勒索軟體攻擊，駭客疑似打算向博物館索討贖金。</p> <p>不過，由於所有的博物館及奧運賽事皆正常運作，這樣的說法隨即就遭到否認，其中一個被點名的博物館羅浮宮出面反駁，他們並未遭遇勒索軟體攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164383"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月8日】黑帽大會首度增設AI議程，趨勢科技展示深偽偵測技術</span></strong></a></p> <p>在全球目光集中在奧運的同時，上週末（8月3日）重量級資安會議黑帽大會Black Hat USA 2024正式在美國拉斯維加斯展開，前4天是資安訓練活動，最後兩天則有超過100場精選議程。</p> <p>其中最吸引眾人注意的安排，是大會前一天舉辦AI Summit研討會，趨勢科技也在上午議程展示偵測深偽（Deepfake）的商用解決方案。</p> <p><a href="https://www.ithome.com.tw/news/164400"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月9日】資安業者公布6起濫用雲端服務的後門程式攻擊行動，並指出有臺灣組織受害</span></strong></a></p> <p>我們昨天報導有研究人員在國際資安大型會議Black Hat USA 2024公布藉由視窗作業系統更新機制「降級」的攻擊手法，這次也有研究人員公布對於特定威脅態勢的觀察，指出這種攻擊手法現在不僅變得非常頻繁，而且，還變得更加刁鑽。</p> <p>這項威脅態勢，就是駭客濫用雲端服務來掩蓋非法行動的情況。在針對臺灣、香港、越南組織的攻擊行動裡，後門程式Grager存取充當C2的OneDrive帳號手法相當特別。</p> </div></div></div>
2024/8/12 13:08作者羅正漢https://www.ithome.com.tw/news/164408
提供應用程式為誘餌，駭客在Chrome、Edge植入惡意延伸套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瀏覽器已是大部分使用者不可或缺的工具，而且，常見的瀏覽器都能透過延伸套件來加入功能，這也使得駭客藉著散播惡意延伸套件的情況，越來越頻繁。</p> <p>資安業者ReasonLabs揭露<a href="https://reasonlabs.com/research/new-widespread-extension-trojan-malware-campaign">大規模惡意瀏覽器延伸套件攻擊行動</a>，駭客從2021年開始，透過Google廣告進行宣傳，假借提供多種應用程式當作誘餌，藉此在Chrome、Edge瀏覽器植入惡意延伸套件，他們估計至少有30萬用戶受害。</p> <p>攻擊者聲稱提供的應用程式包括：遊戲破解工具Roblox FPS Unlocker，串流平臺YouTube、抖音、Instagram的影片下載程式、電玩遊戲Wordle、Rummikub，以及任天堂主機模擬器Dolphin Emulator、遊戲管理平臺Steam，由此看來，這波攻擊鎖定的目標，似乎主要是遊戲玩家。除此之外，也有提供Chrome、密碼管理工具KeePass做為誘餌的情況。</p> <p>一旦使用者透過Google搜尋想要取得上述的應用程式，就有可能看到駭客的惡意廣告。若是點選廣告並依照指示下載安裝程式並執行，防毒軟體很有可能不會攔截，研究人員指出，原因是駭客為這些安裝程式使用Tommy Tech LTD名義<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">的合法</span>簽章，若將這些軟體檔案上傳到惡意軟體分析平臺VirusTotal檢測，結果是所有防毒引擎都沒有偵測出異狀。</p> <p>然而，使用者將其安裝到電腦，電腦將會被植入PowerShell指令碼，而這個指令碼具備4項功能，以其中一項而言，會透過加入機碼的方式，強制瀏覽器只能安裝Chrome Web Store、Edge Add-ons市集的惡意延伸套件，且此套件能盜取瀏覽器搜尋的結果，並將使用者重新導向特定的搜尋引擎。值得留意的是，使用者無法自行停用該套件，瀏覽器也會顯示瀏覽器目前組於所屬組織管理的狀態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/img65-extension.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/img65-extension.jpg" style="width: 580px;" /></a></p> <p>再者，PowerShell指令碼會停用瀏覽器的更新機制。</p> <p>接著，攻擊者也會竄改瀏覽器捷徑檔（LNK）內容，在使用者同時在啟動瀏覽器的過程中，一併載入本機的特定延伸套件，從而挾持瀏覽器的搜尋結果，並與C2進行通訊。而這個套件不會在瀏覽器的延伸套件管理介面呈現，一般使用者難以察覺。</p> <p>最後，這個PowerShell指令碼會與C2進行連線，回傳執行的結果，然後取得下個階段的惡意功能，過程中電腦會透過Invoke-Expression的PowerShell功能來進行，並竄改瀏覽器的DLL（chrome.dll、msedge.dll）來置換瀏覽器的搜尋引擎。</p> <p>在研究人員調查此事的過程裡，他們看到駭客使用的C2網域，大多數防毒引擎都尚未視為有害。此外，他們後來也看到此PowerShell指令碼的其他變種，有些使用一年前建立的網域進行C2通訊。</p> <p>這些受害電腦被植入的惡意套件當中，有些是透過Chrome store、Edge Add-ons這類瀏覽器延伸套件市集下載的，研究人員指出，針對Chrome的套件以Micro Search Chrome Extension最多，有超過18萬使用者下載，此外，還有Custom Search Bar、yglSearch、Your Search Bar，分別感染超過4萬臺電腦。</p> <p>至於針對Edge的部分，則是名為Simple New Tab的套件占大多數，有超過10萬臺電腦受害。</p> </div></div></div>
2024/8/12 16:25作者周峻佑https://www.ithome.com.tw/news/164418
微軟揭露未來一年在臺雲端發展新策略，將聚焦三大重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟近日在一場活動會後記者會上揭露未來一年在臺雲端發展新策略將有三大重點，分別是資安、AI賦能以及以資安為基礎、數據為核心，AI平臺作為工具串聯開發者和產業運用。</p> <p>在這三大發展策略中，台灣微軟總經理卞志祥表示，資安將是未來在臺灣發展策略中最重要的一環，不只要強化被動防禦，還要在產品設計階段就主動將資安考量融入，涵蓋整個設計開發環境。</p> <p>而在AI賦能發展策略上，微軟將重點放在如何將生成式AI與現有的深度學習AI技術在全雲端環境中進行整合，同時打通雲端、邊緣端和終端設備（如AI PC），以建立完整的生態系統和技術平臺。</p> <p>微軟第三個發展策略是扮演整體雲端AI平臺運用與開發的角色。卞志祥表示，微軟將持續以資安為基礎、數據為核心，AI平臺作為工具，串聯整個開發者社群和各產業的應用，讓AI可以對每家企業產生實質影響。例如過去一年，微軟已在臺灣培育了5萬名AI人才，並已在超過20個產業中，合計300家企業實際導入生成式AI應用。</p> <p>卞志祥指出，目前臺灣百大企業中，已有超過7成採用微軟AI服務，涵蓋多個主要產業，包括製造、零售、金融、醫療教育以及電信等。</p> <p>在應用層面，不同行業的優先應用場景各有不同。舉例來說，製造業方面，企業主要將GenAI應用於廠區監視系統，利用多模態GenAI分析即時影像、圖片、入侵者偵測以及不合規行為，也有高科技製造業者結合GenAI與以往的深度學習演算法的監督型AI，對異常影像、機臺震動或聲音進行綜合分析，用於現場即時判斷和派工。</p> <p>不僅如此，在醫療領域，GenAI已經開始應用於護理系統，協助護理師更快理解病患的狀況並迅速作出處理。此外，GenAI還與醫療紀錄系統結合，可根據病患訪診記錄即時提供建議，甚至應用於病理系統中。在金融業GenAI的應用也有，包括快速分析投資報告，以便在市場變化時迅速反應並為投資者提供建議。許多零售或電商則將GenAI應用在精準行銷和以客戶為中心的使用者行為追蹤兩大場景。</p> <p>瞄準臺灣企業積極上雲的需求，微軟早在2020年就宣布將在臺灣設立Azure資料中心，這是微軟在臺31年來最大規模的投資，也是微軟Azure的第66座雲端資料中心。在過去四年中，微軟一直對這座資料中心的建置進度保密，不願透露相關細節。</p> <p>但在日前舉行的DevDays Asia 2024亞太技術年會上，數位發展部部長黃彥男透露，微軟臺灣資料中心現已開始提供服務。不過，微軟臺灣資料中心開始提供Azure服務和全面啟用是兩個不同階段。</p> <p>在會後一場記者會上，卞志祥進一步指出，臺灣微軟資料中心架構非常龐大且複雜，不僅僅是單一座資料中心，而是有多座組成，提供高容錯能力和區域hub等級的資料中心，如此一來，才能夠全方面提供所有產業的應用。</p> <p>台灣微軟首席營運長陳慧蓉則表示，基於客戶隱私的考量，無法透露臺灣微軟資料中心具體營運時間和客戶名單。她也說，不管是通過本地或全球的服務，目標都是要提供客戶最佳的解決方案。</p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/8/12 16:03作者余至浩https://www.ithome.com.tw/news/164417
Black Forest Labs開源圖像生成模型Flux
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創如雨後春筍般地出現，在8月1日正式發表的黑森林實驗室<a href="https://blackforestlabs.ai/announcing-black-forest-labs/" target="_blank">（BlackForestLabs）</a>，於同一天推出了文字生成圖像模型FLUX.1 ，並宣稱其Elo積分凌駕了Stable Diffusion 3 Ultra、Ideogram、Midjourney 6.0及DALL·E 3。</p> <p>BlackForestLabs<a href="https://blackforestlabs.ai/our-team/" target="_blank">共同創辦人</a>之一的Andreas Blattmann專精於潛在擴散（Latent Diffusion）技術，曾任職於Stability AI，迄今該團隊已開發了多款用來生成圖像及影片的模型，包括VQGAN（Vector Quantized Generative Adversarial Network）、潛在擴散及穩定擴散模型，以及支援快速與即時生成的對抗性擴散蒸餾（Adversarial Diffusion Distillation，ADD）技術。</p> <p>除了已具備強大的模型基礎之外，BlackForestLabs目前已完成3,100萬美元的種子融資，主要由美國科技創投Andreessen Horowitz 領投，再加上許多天使投資人。</p> <p>BlackForestLabs所打造的FLUX.1有3種版本，分別是FLUX.1 pro、FLUX.1 dev與FLUX.1 schnell，其中，FLUX.1 pro為商業版，可支援客製化企業解決方案，強調具備頂級的提示遵循、視覺品質、圖像細節及多元化的輸出。</p> <p>至於FLUX.1 dev及FLUX.1 schnell皆為開源版，前者以指導蒸餾技術進行最佳化，並開放權重，僅限非商業使用；後者則是個精簡模型，適用於本地開發與個人使用，採用Apache2.0 授權。</p> <p>所有FLUX.1模型都支援不同的畫面比例，以及自10萬到200萬畫素的解析度，儘管現在只支援文字生成圖像，但下一步就會進化到文字生成影像。使用者可透過不同的平臺<a href="https://blackforestlabs.ai/#get-flux" target="_blank">試用上述版本</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-black-forest-labs%20flux%20on%20github.png" style="width: 600px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-black-forest-labs%20flux%20on%20hugging%20face.png" style="width: 600px;" /></p> <p>現階段市場上既有的文字生成圖像模型包括Stability AI的開源模型Stable Diffusion，OpenAI的DALL-E 3，DeepAI，Midjourney，Google Imagen，以及Artbreeder等。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub、Hugging face</span></span></p> </div></div></div>
2024/8/12 14:36作者陳曉莉https://www.ithome.com.tw/news/164415
AI趨勢周報第258期：OpenAI發布重磅新功能，結構化輸出解決LLM生成格式不符痛點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞(0802～0809)</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 結構化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> JSON </span></strong></span></p> <p><span style="font-size: 22px;"><strong>OpenAI發布結構化輸出新功能，解決LLM生成格式不符問題</strong></span></p> <p>JSON是一種常見的JavaScript物件表示標準格式，也是目前大型語言模型（LLM）常見的應用案例，比如給定資料，要求LLM生成符合JSON格式的答案。但問題是，LLM容易給出格式不符的回答。</p> <p>為解決這個痛點，OpenAI在自家API中新添結構化輸出（Structured Outputs）功能，來確保模型生成的答案，完全符合開發者所需的JSON結構。OpenAI API提供兩種結構化輸出使用方式，一是功能呼叫，適用於所有支援工具的模型，二是開發者可在response_format參數中使用新的json_schema選項，這適用於模型不呼叫工具，而是以結構化方式回應用戶的情境。這項新功能可用來打造爬蟲等工具，透過功能呼叫抓取所需資料、從非結構化資料中擷取結構化資料，再根據這些資料來回答用戶問題，對資料處理情境非常有幫助。<a href="https://openai.com/index/introducing-structured-outputs-in-the-api/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-12%20145845.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">LangChain </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IDE </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>LangChain推出新開發環境，簡化LLM代理管理</strong></span></p> <p>大型語言模型（LLM）開發框架LangChain最近推出LangGraph Studio，是一款用於建置和測試AI代理的整合開發環境（IDE），來簡化複雜的AI代理應用開發。這個工具建立在LangGraph框架上，提供代理視覺化功能，比如圖形化顯示代理架構、顯示節點和分支等。同時，LangGraph Studio也提供互動式開發功能，開發者可觀察代理的執行過程和每個步驟的詳細資訊，像是如何使用搜尋、生成答案，開發者也能對複雜的多代理系統除錯，比如在步驟間暫停、修改。LangGraph Studio目前為Beta版，註冊LangSmith帳號即可使用。<a href="https://blog.langchain.dev/langgraph-studio-the-first-agent-ide/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Stable Fast 3D </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 3D模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Stability AI </span></strong></span></p> <p><span style="font-size: 22px;"><strong>從2D到3D只需0.5秒，Stability AI釋出Stable Fast 3D新模型</strong></span></p> <p>Stability AI最近發表一款新模型Stable Fast 3D，可將平面的圖片轉為3D模型，只需要不到0.5秒，就能快速生成完整、自然的3D模型。目前，Stable Fast 3D已在Hugging Face平臺上架，並以Stability AI社群授權釋出。</p> <p>這款模型有幾個特點，首先是生成的3D模型的顏色，會盡量減少光照影響的痕跡，意即在不同環境光照下，都能呈現正確的顏色。使用者還能選擇四邊形或三角形網格重建功能，來更細緻的控制模型網格拓撲結構。再來，和前代相比，單個模型推理時間從10分鐘縮短至0.5秒，再加上新模型架構調整，其生成的3D網格和材質更加細緻，還能產生UV展開網格，對後續材質貼圖和細節表現非常重要，進一步擴大應用範圍。<a href="https://stability.ai/news/introducing-stable-fast-3d">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/uT96UCBSBko?si=vMvw_tQRzfRL2s9v" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 行政院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 預算 </span></strong></span></p> <p><span style="font-size:22px;"><strong>行政院長揭臺灣AI產業發展3面向政策</strong></span></p> <p>日前，行政院人事行政總處、數位發展部與臺灣人工智慧學校共同舉辦部會副首長AI共識營，行政院院長卓榮泰參訪時表示，為建構臺灣AI產業健全發展的基礎環境，政府將從政策面、法規面和執行面三方面著手。</p> <p>在政策面部分，行政院經濟發展委員會已將AI人才培育列為議重要討論議題，除了在7月18日召開的首場會議提出國家人才競爭力躍升方案，也依據經濟部規畫，預計8年內為各產業訓練20萬名AI人才，並推動育才、留才、攬才策略，持續引進外國人才來臺、根留臺灣，與本國人才一同學習、培訓。在法規面，則有國科會於7月15日預告的《人工智慧基本法》，持續整合各界意見。在執行面部分，行政院去年核定臺灣AI行動計畫2.0，也在今年6月6日核定人事行政總處的提升行政院公務人員AI知能實施計畫，要提供基層到高階公務人員一系列的培訓課程，來培育種子人才。</p> <p>卓榮泰也表示，2025年中央政府總預算案已進入最後定案階段，明年度的科技預算大幅提升，增幅達14.9%，投入AI、太空與通訊及半導體領域的科技預算分別約100億元、100億元和170億元。此外也編列近220億元預算，來協助五大信賴產業發展，要將臺灣從AI科技製造大國，轉型成為AI運用與解決方案輸出國。<a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/3a2dd264-794e-4854-bf9c-99590edb5e8c">（詳全文）</a></p> <p><img alt="" src="https://www.ey.gov.tw/File/76F1F2CC16CF32C1?S=L" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位部 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI培訓 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公務員 </span></strong></span></p> <p><span style="font-size:22px;"><strong>數位部推動公部門AI培訓計畫</strong></span></p> <p>8月7日，數位部宣布啟動公部門AI培訓計畫，預估今年底培養至少700位具備AI基本技能的公務人員。即日起到年底，數位部將舉辦超過20場的公部門AI實戰工作坊，同時會提供線上AI學習資源，開放公務人員和一般民眾線上學習AI基本技能。</p> <p>數位部指出，公務人員掌握基本AI應用技能，是國家數位轉型的關鍵，因此策畫一系列AI實戰工作坊，內容涵蓋AI基礎知識、核心演算法、應用實例、實機操作等層面，要提高不同單位、職級公務人員具備AI基本技能。同時，數位部也會和人事行政總處合作，針對公部門資訊人員、主管、機關首長，提供相關的AI培訓課程，不只是基層公務人員，讓資訊單位、主管、首長也具備合適的AI知識或技能。<a href="https://moda.gov.tw/press/press-releases/13258">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepMind </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 桌球 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 控制器 </span></strong></span></p> <p><span style="font-size:22px;"><strong>和業餘人類選手一樣強，DeepMind揭桌球機器人</strong></span></p> <p>Google DeepMind打造一款桌球機器人，具備業餘人類桌球選手的水準，程度勝過初學者，與中階選手對打也有55%的勝率。進一步來說，在現實世界任務中，達到人類水準的速度和表現，一直是機器人研究的指標，桌球也不例外。</p> <p>為挑戰這個題目，DeepMind研究員組隊，想設計出可與真人對打的桌球機器人。他們提出4大方法，首先是階級式和模組化的策略架構，由低階控制器和高階控制器組成，其中，低階控制器的技能描述器能對代理能力建模，也能橋接模擬環境與真實世界的落差，而高階控制器可用來選擇低階的技能。第二個方法是，將在模擬環境中學習到的內容，直接應用到現實；三是可即時適應陌生對手的能力。最後則是在真實世界中，與陌生的人類對手對打。這個桌球機器人可正手、反手打球，也能連續擊球、打到不同的位置，還能適應不同的球風。在29場與人類對手的比賽中，機器人勝率為45%，但若以程度區分，機器人完全打不贏高手，但贏了所有的初學者和部分中等程度的玩家。<a href="https://sites.google.com/view/competitive-robot-table-tennis">（詳全文）</a></p> <p><img alt="" src="https://lh4.googleusercontent.com/0FwJ5T3ES2NI14n2Dm6yEZA7sl3xrMHzJMNkvo6KUepaI_zSyAZI8zvG_1683zvHDFHpceSMFXPdTmPdfRq6TXnMaC2Itzxu-TGAWNoYinMsTH-HeZop6PBSEqWLuRZi8Q=w1280" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Meta </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片分割 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SAM 2 </span></strong></span></p> <p><span style="font-size:22px;"><strong>突破影片物件分割難題，Meta釋出影片分割模型SAM 2</strong></span></p> <p>繼今年4月發表圖像物件分割AI模型Segment Anything Model後，Meta前陣子又釋出第二代分割模型Segment Anything Model 2（簡稱SAM 2），將分割物件的能力從圖像延伸到影片。也就是說，SAM 2可分割圖像和影片中的任何物件，還能即時在影片中的所有畫面追蹤該物件。要成功分割影片中的物件，難度很高，除了要了解實體在空間與時間中的位置，影片中的物件還可能因移動、變形、遮擋、照明變化或其它因素，在不同畫面間發生大變化，且影片品質通常低於圖像，難度又更高了。</p> <p>為克服這些困難，Meta建立一套影片物件分割資料集（SA-V Dataset），包含5.1萬個真實世界的影片，以及超過60萬個時空掩碼（Masklet），這些掩碼標註了物件在畫面中出現的時間點與位置，是目前最大的影片分割資料集。他們以這個資料集來訓練模型，經測試，SAM 2在17個零樣本影片資料集的互動式影片分割，明顯優於現有模型，且所需的人機互動次數減少了3倍左右。Meta指出，可同時分割圖像物件和影片物件的SAM 2，可用於自駕系統，來追蹤瀕臨絕種的動物，或應用於腹腔攝影鏡頭上來改善醫學檢查。SAM 2模型程式碼和權重已開源，資料集也CC BY 4.0授權開源。<a href="https://ai.meta.com/sam2/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-12%20150404.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini學院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google在臺深耕18年，下半年要將AI人才培訓擴大公部門</strong></span></p> <p>Google在臺經營邁入18年，Google臺灣總經理林雅芳盤點，自2018年，Google開始推動智慧臺灣計畫和各種倡議，來加速臺灣AI發展，同時也投資硬體基礎建設，如打造美國總部外最大的硬體研發基地、設置Google資料中心，甚至還有正在興建的3條海底纜線，預計在2026年降低臺灣網路使用者的上網延遲率、增加三分之一頻寬。</p> <p>不只是硬體，Google也在臺灣展開不少AI計畫，比如與長庚醫院開發乳癌早期檢測工具，也與中醫大附醫打造AI輔助醫師，今年6月也與健保署聯手，要用MedLM打造第二型糖尿病併發症風險。同時，Google也自2018年開始推動AI人才培育計畫，今年進一步推出AI全民通識課和Gemini學院，尤其已有1,500名中小學老師完成後者的培訓，下半年則要擴大到公務體系。</p> <p>至於開發者部分，Google也在今年於臺灣新添1位機器學習Google開發者專家（目前共3位），今年也培育了60多位AI開發技術社群領袖、訓練1,600位開發者投入生成式AI。另一方面，Google臺灣預計今年底再添11項研究專案資助計畫，來擴大學界合作，其中8項鎖定大型語言模型、機器學習，也計畫邀請學者擔任Google臺灣駐點科學家。<a href="https://taiwan.googleblog.com/2024/07/AI-Opportunity.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 人型機器人 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Figure 02 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> VLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>改進手部設計更靈活，最新人型機器人Figure 02亮相</strong></span></p> <p>專攻人型機器人的Figure Robotics揭露最新人型機器人Figure 02，高約168公分、重70公斤，續航時間為5小時、前進速度是每秒1.2公尺。與第一代相比，Figure 02外觀上更簡約美觀，其AI運算推理能力也提升了3倍，搭配6個RGB攝影機和內建的視覺語言模型（VLM），可更快感知周遭環境、做出決策。</p> <p>此外，該機器人也配置了麥克風和喇叭，可與人進行語音對話。這部分使用了與OpenAI聯手開發的AI模型，專門讓機器人有效理解和回應語音指令。另一方面，Figure 02改善了手部設計，為雙手大拇指新添1個自由度，共達到16個自由度，可承重20公斤、能更靈活執行多種任務。目前，該機器人已於BMW工廠內試運行。<a href="https://www.youtube.com/watch?v=0SRVJaOg9Co">（詳全文）</a></p> <p><img alt="" src="https://images.ctfassets.net/qx5k8y1u9drj/2oUM07hyEapemJNxfn3CKu/66915363ca119cfa05985d58614e968d/videa_carousell_image.jpg?fm=webp&w=1920&q=70" style="width: 736px; height: 590px;" /></p> <p>圖片來源／OpenAI、行政院、Google DeepMind、Meta、Figure Robotics</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 史丹佛大學AI實驗室打造alphaXiv公開討論平臺，可針對arXiv論文討論</strong></p> <p><strong>2. OpenAI悄悄釋出GPT-4o更新，發布新版模型GPT-4o-2024-08-06</strong></p> <p>資料來源：iThome整理，2024年8月</p> </div></div></div>
2024/8/12 15:14作者王若樸https://www.ithome.com.tw/news/164416
研究人員揭露AMD晶片的Sinkclose漏洞，存在近20年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者 IOActive的兩名安全研究人員Enrique Nissim與Krzysztof Okupski在上周舉行的Defcon駭客會議上，<a href="https://info.defcon.org/event/?id=54863" target="_blank">揭露了一個存在於AMD晶片的安全漏洞</a>，被研究人員命名為Sinkclose的漏洞將允許駭客於系統管理模式（System Management Mode，SMM）執行程式碼，而且已存在近20年。Sinkclose的漏洞編號為CVE-2023-31315，<a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7014.html" target="_blank">波及絕大多數的AMD處理器</a>，從行動處理器、桌面處理器、工作站處理器到資料中心處理器等，估計影響數億臺裝置。</p> <p>根據AMD的簡要說明，CVE-2023-31315漏洞存在於模型特定暫存器（Model Specific Register，MSR）的驗證不當，允許具備Ring 0存取權限的惡意程式，即便是在系統管理中斷（System Management Interrupt，SMI）上鎖時，都能修改SMM配置，因而可執行任意程式。</p> <p>至於Nissim與Okupski則說，SMM為x86架構最強大的執行模式之一，該層級的程式碼對於Hypervisor及作業系統等級的保護機制而言是不可見的，包括反欺騙引擎及反病毒系統；在研究AMD處理器時，他們發現用來保護SMM的一個重要元件含有缺陷，而且快20年了都沒有被發現。</p> <p>即使研究人員並未公布詳細的漏洞細節，也承諾尚不會釋出概念性驗證攻擊程式，<a href="https://www.wired.com/story/amd-chip-sinkclose-flaw/" target="_blank">但他們向Wired透露</a>，此一漏洞最早可追溯到2006年甚至更早之前的AMD晶片，但駭客必須先可存取AMD的PC或伺服器，之後擴張其權限，進而於晶片上植入無法受到系統或防毒軟體偵測或保護的惡意程式，就算是重新安裝作業系統也無濟於事。</p> <p>這個意思就是，倘若使用者的AMD處理器已被駭客入侵，唯一的解法就是將它丟掉，沒有其它的修補方法。</p> <p>不過，不管是IOActive或AMD都認為要攻陷CVE-2023-31315漏洞並不容易。</p> <p>AMD已於上周修補了大多數的處理器，但並不打算修補AMD Ryzen 3000 Series桌面處理器，使得<a href="https://community.amd.com/t5/processors/no-fix-for-new-sinkclose-exploit-on-3000-series-cpus/m-p/701290" target="_blank">有用戶抱怨</a>，3000系列是在2019年及2020年推出，它們存在還不到5年，還有很多人在使用，也依然強大，呼籲AMD應該要重視這些用戶。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0812-CVE-2023-31315-AMD%E5%AE%98%E7%B6%B2%E7%B4%80%E9%8C%84.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-AMD%20Ryzen%203000%20Series%20Desktop%20Processors-CVE-2023-31315-No%20fix%20planned.png" style="width: 600px;" /></a></p> </div></div></div>
2024/8/12 12:03作者陳曉莉https://www.ithome.com.tw/news/164412
Office尚無更新版的漏洞可能導致敏感資料外洩，多個版本受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38200" target="_blank">微軟上周警告</a>Office有一漏洞可能導致敏感資訊如NTLM驗證資料洩露給駭客，影響雲端與桌機版本Office，微軟預定在本周二（臺灣時間周三）釋出Office安全更新，但表示用戶暫無安全風險。</p> <p>編號CVE-2024-38200是由PrivSec Consulting研究人員Jim Rush及獨立研究人員Metin Yunus Kandemir發現，為一欺騙攻擊（spoofing vulnerability）漏洞，CVSS 風險值7.5 ，可造成敏感資訊洩露給未經授權的攻擊者。影響產品包括Office LTSC 2021、Office 2019、2016的64-bit和32-bit版本、與Microsoft 365 for Enterprise 32-bit、64-bit。</p> <p class="rtecenter"><a href="http://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38200" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0812-Microsoft%20Office-CVE-2024-38200.png" style="width: 600px;" /></a></p> <p>微軟說明本漏洞的攻擊手法。在Web攻擊情境中，攻擊者中可能設立惡意網頁或濫用被駭網站代管惡意檔案，以便濫用該漏洞。攻擊者必須利用社交工程，像是郵件或即時通訊等手法誘使用戶點擊連結，並說服他們開啟惡意檔案。</p> <p>微軟並未描述Office何以出現漏洞，也未說明可能洩露的敏感資訊為何。但根據微軟提供的暫時性防禦方法，顯示可能曝光的是NTLM雜湊。該防禦方法說，配置「網路安全：限制NTLM：NTLM流量外流至遠端伺服器」政策，可設定防堵或稽核所有試圖從Windows Server 2008、Server 2008 R2等以上版本，經過NTLM驗證連向遠端Windows伺服器的行為。</p> <p>目前這漏洞是還沒有修補程式的，微軟預定在8月13日的安全更新（臺灣時間8月14日）修補本漏洞。但微軟說明，微軟在7月30日的Feature Flighting，已經包含了一個可提供防護的另一修補程式。Feature Flighting是以Feature Flags方式，在微軟控制下逐步部署軟體功能給用戶端的更新方法，涵括Office或Windows功能或安全更新。微軟說，所有有效版本的Office、Microsoft 365用戶都已獲得防護了，只是用戶到時還是必須升級到8/13/2024更新版以獲得最終版修補。</p> <p>在更新軟體到來之前，其他防護方法包括將用戶加入到「防護用戶的安全群組」，防止使用NTLM作為驗證機制。其次設定防火牆或VPN，封鎖TCP 445/SMB傳輸埠的向外流量，以防NTML驗證資訊送到外部檔案共享伺服器。</p> </div></div></div>
2024/8/12 10:47作者林妍溱https://www.ithome.com.tw/news/164409
Windows 3D版小畫家可能將在11月4日除役
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一度用來取代小畫家的3D版小畫家（Paint 3D），在不受用戶青睞8年後，微軟預計將在11月除役。</p> <p>媒體Windows Latest在Beta頻道的Windows 11更新<a href="https://www.windowslatest.com/2024/08/10/microsoft-is-killing-off-paint-3d-after-trying-and-failing-to-replace-classic-paint-on-windows-11-10/" target="_blank">發現</a>，開啟3D版小畫家時會顯示微軟公告，說明這個繪圖軟體將從11月4日起從Microsoft Store移除，未來亦不會再提供更新。</p> <p>3D版小畫家是微軟於2016年2月推出，並包含在2017年Windows 10 Fall Creators Update更新中成為內建應用程式。微軟預計3D版小畫家永久取代經典版小畫家（Paint）；微軟一開始於2017年宣布終止小畫家，但在用戶強烈要求下，<a href="https://www.ithome.com.tw/news/115779" target="_blank">同意</a>開放小畫家在Microsoft Store（原名Windows Store）供免費下載。</p> <p>雖然微軟為新版小畫家加入功能，又與Windows緊密整合，但並不受歡迎。在檔案總管中，微軟將之與桌面、相片、文件等重要應用的捷徑並列，也整合在（按右鍵出現的）情境選單中。你也無法利用「解除安裝」功能移除。</p> <p>2018年微軟終於退讓，允許用戶從Windows 10 19H1從開始選單中<a href="https://www.ithome.com.tw/news/126506" target="_blank">移除</a>3D版小畫家等自有應用，2021年的Windows 10 21H2中，又允許用戶從情境選單<a href="https://www.windowslatest.com/2021/04/18/microsoft-is-slowly-giving-up-on-paint-3d-apps-integration-in-windows-10/" target="_blank">移除</a>「以小畫家3D編輯」的選項。2個月後微軟<a href="https://www.ithome.com.tw/news/145251" target="_blank">宣布</a>全新電腦或全新安裝（clean install）的Windows 11不會安裝包含3D版小畫家、Skype等應用程式，但想要用的使用者仍然可以從Microsoft Store上下載。因此，這次宣布，將完全切斷3D版小畫家的下載入口。</p> <p>這次除役，讓3D版小畫家加入Cortana、OneNote、Skype、天氣、3D列印、接龍遊戲、剪取與繪圖、郵件、行事曆、便利貼等，真正成為歷史的一部分。</p> </div></div></div>
2024/8/12 11:05作者林妍溱https://www.ithome.com.tw/news/164410
Snowflake正式開放跨區域AI推論功能，從AWS平臺著手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI分析雲端服務商Snowflake<a href="https://medium.com/snowflake/announcing-cross-region-inference-on-snowflake-cortex-ai-ab3baed935ce" target="_blank">宣布</a>其Cortex AI服務套件啟用跨區域推論功能，以滿足某些區域沒有可用推論服務的用戶需求，本功能最先從Amazon Web Services（AWS）開始部署。</p> <p>隨著更強大的大語言模型（LLM）出現，讓生成式AI服務快速增長。但有些用戶區域並沒有那麼快部署模型，限制了應用開發速度。Snowflake 的Cortex AI的跨區域推論已從測試版正式上線，讓用戶透過簡單設定，即可存取不同雲端區域上偏好的LLM。</p> <p>這新功能可提升Snowflake Cortex LLM以及使用該LLM的功能，像是Snowflake Copilot和Cortex Analyst的用處。Cortex Analyst為Snowflake 6月份新<a href="https://www.snowflake.com/blog/cortex-ai-advances-enterprise-ai-no-code-development/" target="_blank">宣布</a>的服務，讓企業用戶可運用儲存在Snowflake上的分析資料，以無程式碼方式開發資料導向的AI助理應用，即將以公測版上線。</p> <p><a href="https://docs.snowflake.com/en/guides-overview-ai-features" target="_blank">Snowflake Cortex</a>是一組使用LLM模型的AI功能，提供理解非結構化資料、回應自由提問，以及提供智慧輔助等AI服務。Cortex在三大雲端平臺，包括AWS、Azure、與Google Cloud Platform（GCP）上都有代管服務。不過現在支援跨區域推論的，只有AWS。如果用戶在Azure或GCP上設定上述參數，呼叫就會導向AWS。</p> <p>跨區域功能是預設關閉的，用戶須自行設定開啟。只要透過管理員用戶帳號，在帳號層級（account-level）設定參數CORTEX_ENABLED_CROSS_REGION，即可配置想執行推論的區域。可以選擇區域的參數值有三：AWS_US、AWS_EU和AWS_APJ。（配置方法如ALTER ACCOUNT SET CORTEX_ENABLED_CROSS_REGION = ‘AWS_US’;）用戶選定三大區域之一後， Cortex AI會自動選擇細部區域，例如AWS_US中可能分配到AWS us-east-1或us-west-2。</p> <p>Snowflake表示日後會持續將這功能推向Azure、GCP等其他平臺上。</p> </div></div></div>
2024/8/12 11:15作者林妍溱https://www.ithome.com.tw/news/164411
提升網路資安防護力，Fortinet系統平臺2024年度大改版
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/fortios_7.6-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年4月Fortinet年度用戶大會期間，他們宣布網路防火牆搭配的作業系統FortiOS，將推出7.6版，強調這是唯一融合網路、安全防護、資安織網（Security Fabric）三大領域更新功能的作業系統，可提供新的生成式AI、資料防護、代管服務，以及單一代理程式（unified agent）等多種特色，協助用戶以更理想的方式緩解風險、降低複雜度，以及實現卓越的使用者體驗。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-06-FortiOS 7_6 創新與增強的功能.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-FortiOS%207_6%20%E5%89%B5%E6%96%B0%E8%88%87%E5%A2%9E%E5%BC%B7%E7%9A%84%E5%8A%9F%E8%83%BD.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/FortiOS 7_6-2024-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FortiOS%207_6-2024-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FortiOS 7_6-2024-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FortiOS%207_6-2024-1.jpg" style="width: 600px;" /></a></p> <p>而在兩個月前舉行的Fortinet Accelerate 2024臺灣站巡迴研討會，這個資安平臺的重大改版就是他們第一場宣講的議題，到了6月中之後，新版終於正式出爐，Fortinet後續也完整公布各種相關文件，像是改版注意事項、管理者指南、參考手冊。FortiOS上一次發布重大改版是2023年5月，當時的版本是7.4。</p> <p>根據FortiOS 7.6正式版文件來看，<a href="https://docs.fortinet.com/document/fortigate/7.6.0/new-features/770045/overview">Fortinet總共列出13個類別、120項新增或改良特色</a>。以資安防護方面而言，新版在應用程式控管機制當中，增設<a href="https://docs.fortinet.com/document/fortigate/7.6.0/new-features/639769/introducing-domain-fronting-protection">網域前緣防護（Domain fronting protection）功能</a>，可同時在代理伺服器與基於代理伺服器的防火牆政策運用。透過這項機制，FortiGate能在HTTP標頭比對連線請求的網域是否符合主機的網域，再藉此允許、阻擋或監督網路流量，預防網域不匹配狀況而導致的非法存取行為。</p> <p>在防毒過濾的部分，<a href="https://www.fortinet.com/lat/corporate/about-us/newsroom/press-releases/2018/third-generation-network-security">2018年3月發表的FortiOS 6.0開始提供內容撤除與重建服務（CDR）</a>，預設掃描PDF檔案與Office檔案，FortiOS 7.4提供用戶決定個別啟用PDF檔案掃描與Office檔案掃描的選項，而且Office檔案掃描的類型不只是Microsoft Office檔案，也額外涵蓋OpenOffice檔案、RTF檔案、XLSB檔案。到了最新推出的FortiOS 7.6，Fortinet對於Office檔案掃描的類型，也涵蓋到Microsoft OneNote檔案。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FortiOS 7_6-Content Disarm and Reconstruction (CDR) of Microsoft OneNote files.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FortiOS%207_6-Content%20Disarm%20and%20Reconstruction%20(CDR)%20of%20Microsoft%20OneNote%20files.jpg" style="width: 600px;" /></a></p> <p>關於防毒處理的模式上，FortiOS也有改良，例如，原本能夠提供兩種：基於流向（flow-based）、基於代理伺服器（proxy-based），先前提供<a href="https://docs.fortinet.com/document/fortigate/6.4.8/administration-guide/872942/proxy-mode-stream-based-scanning">代理模式的串流掃描（Proxy mode stream-based scanning）</a>，7.6版開始提供<a href="https://docs.fortinet.com/document/fortigate/7.6.0/administration-guide/164602/flow-mode-stream-based-scanning-new">流向模式的串流掃描（Flow mode stream-based scanning）</a>，Fortinet表示，在流量模式搭配AV engine 7.0（7.00030）的狀態下，FortiOS可自動採用串流防毒掃描技術比對HTML與JavaScript，AV engine能決定必要的暫存檔案數量大小，並在特定的執行個體當中掃描這些局部的暫存內容，而不需要暫存整個檔案，能有效改善記憶體用量。若遇到串流掃描無法支援的檔案類型與組態，會改用傳統掃描模式。</p> <p>FortiOS長期提供的資料外洩預防（DLP），也在<a href="https://docs.fortinet.com/document/fortigate/7.6.0/new-features/559168/fortiguard-managed-dlp-dictionaries">7.6版增加新特色</a>。針對取下FortiGuard提供的 DLP特徵套件之後的處理，提供高、中、低這3種信心等級的選項，企業能在指定不同的DLP字典時，搭配所需的信心等級——若選高級，可提供最精準、最低程度的誤判；選中級，能平衡處理數量與精準度；選低級，可列出所有符合條件的狀況，但可能導致較高的誤判。</p> <p><a href="https://s4.itho.me/sites/default/files/images/FortiOS 7_6-DLP1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FortiOS%207_6-DLP1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/FortiOS 7_6-DLP2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/FortiOS%207_6-DLP2.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Fortinet FortiOS 7.6</strong><br /> ●原廠：Fortinet<br /> ●建議售價：廠商未提供<br /> ●版號：7.6.0 build 3401<br /> ●適用機型：FortiGate、FortiWiFi、FortiGate Rugged、FortiFirewall、FortiGate VM<br /> ●資安防護引擎版本：AV Engine 7.00030，IPS Engine 7.01014<br /> ●安全織網配合的產品與版本：FortiAnalyzer 7.6.0、FortiManager 7.6.0、FortiExtender 7.4.0以後版本、FortiSwitch OS 6.4.6 build 0470以後版本、FortiAP 7.2.2以後版本、FortiAP-U 6.2.5以後版本、FortiAP-W2 7.2.2以後版本、FortiClient EMS 7.0.3 build 0229以後版本、FortiClient 7.0.2或7.0.3以後版本、FortiSandbox 2.3.3與4.2.0<br /> ●虛擬化環境支援：Citrix Hypervisor 8.2 Express Edition, CU1、Linux KVM（Ubuntu 22.04.3 LTS、Red Hat Enterprise Linux release 8.4、SUSE Linux Enterprise Server 12 SP3 release 12.3）、Microsoft（Windows Server 2019、Hyper-V Server 2019）、XenServer 3.4.3與4.1以後版本、VMware ESXi 6.5/6.7/7.0/8.0</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/8/11 11:57作者李宗翰https://www.ithome.com.tw/review/164355
Apple調整歐盟DMA新規措施，仍遭Epic Games執行長猛烈批評
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了符合歐盟的《數位市場法》（Digital Markets Act，DMA），Apple在一月的時候公開一系列因應措施，包括引入新的收費結構，對使用替代App Store的開發商，收取以使用者為基數的核心技術費（Core Technology Fee），並對使用替代支付工具的交易抽取傭金。Apple新措施引來開發商激烈批評，他們認為Apple沒有誠意符合《數位市場法》的精神。</p> <p>歐盟執委會（European Commission，EC）在3月的時候對Apple等公司啟動調查，而在6月的時候調查結果出爐，歐盟執委會認定Apple違反《數位市場法》，因為Apple並未在App Store提供任何商業條款，允許開發者自由引導消費者採取更便宜的選擇，反而是限制開發者不得在應用程式提供價格資訊，也沒有提供開發者能推廣優惠的購買途徑。</p> <p>另外，雖然Apple允許開發者向使用者提供外部連結，但是對其進行諸多限制，Apple要求應用程式中的外部連結必須為靜態連結，也就是說URL必須為固定的，無法根據用戶的不同而變化，連結也需要直接指向開發者的網站和頁面，且不能包含任何參數，這大幅限制開發者追蹤或是客製化用戶體驗的自由。歐盟執委會同時也認為，Apple針對替代App Store和支付工具的收費超過合理範圍。</p> <p>Apple一月所公開因應《數位市場法》的措施，會向選擇使用替代App Store的開發者，收取每位用戶0.5歐元的核心技術費（Core Technology Fee），而使用替代的支付方法，則Apple會向開發者抽取17%的佣金，包括應用程式內的導購。</p> <p>回應歐盟執委會的意見和巨額罰款壓力，Apple<a href="https://developer.apple.com/support/dma-and-apps-in-the-eu/#payment-options">再次調整規範</a>。在收費結構方面，Apple仍然保留核心技術費用，要求每年超過一百萬次首次安裝的應用程式開發者，對每個首次安裝支付0.5歐元的費用，Apple強調，他們評估核心技術費用只有少於1％的開發者需要支付。</p> <p>只不過開發者現在可以在應用程式中，自由推廣和引導用戶至外部網站進行購買，<a href="https://developer.apple.com/support/alternative-payment-options-on-the-app-store-in-the-eu/">Apple</a>也還是會對使用替代支付工具收取傭金，和外部購買的交易收取5%的初次獲客費，以及視情況收取5％到20％不等的商店服務費用。</p> <p>在歐盟擁有1億Apple用戶的Spotify，一月的時候就曾猛烈抨擊Apple在歐盟地區新設置的核心技術費，該收費結構將使他們客戶獲取成本10倍飆漲，迫使開發者維持現階段的方案。而Epic Games執行長Tim Sweeney這次也持續<a href="https://x.com/TimSweeneyEpic/status/1821594291602649143">猛烈批評</a>Apple的新方案，認為Apple對轉向替代App Store的開發者收取15％非法費用，他認為這些條款使開發者無法在具有經濟效益的情況下，同時在Apple App Store和替代App Store中發布應用，阻礙新進App Store的競爭和成長。</p> </div></div></div>
2024/8/10 04:30作者李建興https://www.ithome.com.tw/news/164404
科技業者資料庫配置不當，導致美國460萬選民資料曝露網上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VPN評比公司Vpnmentor的資安研究人員Jeremiah Fowler，近期<a href="https://www.vpnmentor.com/news/report-election-records-breach/">發現</a>美國伊利諾州部分郡的選民和選舉資料庫未受密碼保護，包括投票登記、選票模板和個人資料相關的大量檔案出現在網際網路上，Jeremiah Fowler在經過調查之後，發現這些資料庫由一家名為Platinum Technology Resource的公司管理，目前他已經通知相關單位處理。</p> <p>Jeremiah Fowler進一步分析，發現伊利諾州13個郡有選舉資料洩漏的情況，這些資料庫均未使用密碼保護直接對外公開，共有460萬選民資料，另外，他還發現了15個雖有設置密碼，但是存在潛在安全風險的資料庫，這些資料庫暴露了儲存選民或是選舉檔案的路徑，可能成為攻擊者的目標。</p> <p>雖然Jeremiah Fowler在第一時間通知負責的公司Platinum Technology Resource，但是該公司並未立即處理，因此Jeremiah Fowler轉為聯絡技術支援公司Magenium，Magenium在確認之後立即限制這些資料庫公開存取權限。不過目前不清楚這些選舉資料庫對外公開已有多久時間，需要經過內部數位鑑識之後，才能確定是否存在可疑存取或是資料洩漏的狀況。</p> <p>這個事件之所以值得關注，重點在於涉及選民與選舉資料的洩漏，不僅威脅個人隱私安全，也可能對選舉的完整性，包括公正性、透明性和可信度造成影響。Jeremiah Fowler認為要避免類似事件再次發生，組織應該採用更複雜，且不易猜測的資料庫名稱格式，並且強化存取控制措施保護敏感資料，同時也需要定期進行安全稽核和風險評估，確保資料庫安全性。</p> </div></div></div>
2024/8/10 04:32作者李建興https://www.ithome.com.tw/news/164405
OpenAI悄悄釋出GPT-4o更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI上周悄悄釋出多模態模型GPT-4o的更新版，宣稱提升開發速度、效能更高、價格更便宜。</p> <p>有別於5月的盛大公布，名為GPT-4o-2024-08-06的GPT-4o最新版本是被<a href="https://www.tomsguide.com/ai/chatgpt/did-openai-just-give-chatgpt-a-secret-update-ive-found-it-faster-more-responsive-and-more-creative" target="_blank">媒體</a>發現，以及在非官方通路如<a href="https://azure.microsoft.com/en-us/blog/announcing-a-new-openai-feature-for-developers-on-azure/" target="_blank">Azure</a>上公布。</p> <p>OpenAI說明，GPT-4o-2024-08-06更新重點之一在簡化GPT-4o及GPT-4o mini模型的結構化輸出（structured output）的過程，允許開發人員指明希望從AI模型直接輸出的格式，產生的資料可無縫合到其他系統，這對過去得花時間驗證和格式化AI輸出的開發人員特別有用，有助於提升生產力。此外，OpenAI也宣稱改善了模型回應速度。<a href="https://www.tomsguide.com/ai/chatgpt/did-openai-just-give-chatgpt-a-secret-update-ive-found-it-faster-more-responsive-and-more-creative" target="_blank">媒體測試</a>過後，發現除了前端表現提升，後端基礎架構可能也經過強化，支援更長的輸出，並提升了系統整體回應效能。媒體相信，這是在Anthropic等新創公司競爭下，OpenAI不得不提升ChatGPT的品質。</p> <p>OpenAI同時<a href="https://openai.com/api/pricing/" target="_blank">下調</a>了更新版GPT-4o的API存取價格。每100萬輸入、輸出token為2.5美元與10美元。由Batch API存取時，同樣輸入/輸出單位價格為1.25美元和5美元，都比GPT-4o低25%到50%。</p> <p>新版模型似乎也某程度部署到免費版ChatGPT上。但是不確定效能是否和付費版一樣好；雖然有人認為其程式撰寫及創作能力更佳，但也有多名用戶<a href="https://community.openai.com/t/im-going-to-be-honest-here-since-the-release-of-the-gpt-[…]tic-my-gpt-responses-are-not-what-they-used-to-be/886938/4" target="_blank">抱怨</a>GPT-4o理解問題能力不足，回答也錯誤百出。</p> <p>OpenAI選擇低調公布這次更新，原因可能和近日高層人事大地震有關。繼5月間共同創辦人之一的<a href="https://www.ithome.com.tw/news/162887" target="_blank">Ilya Sutskever</a>及AI倫理主持人Jan Leike離去後，本周另一名共同創辦人<a href="https://www.ithome.com.tw/news/164311" target="_blank">John Schulman</a>跳槽競爭對手Anthropic，而曾和執行長Sam Altman共進退的技術長Greg Brockman也請休長假，可能是離職前兆。</p> </div></div></div>
2024/8/10 04:19作者林妍溱https://www.ithome.com.tw/news/164406
【資安日報】8月9日，資安業者公布6起濫用雲端服務的後門程式攻擊行動，並指出有臺灣組織受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>我們昨天報導有研究人員在國際資安大型會議Black Hat USA 2024公布藉由視窗作業系統更新機制「降級」的攻擊手法，這次也有研究人員公布對於特定威脅態勢的觀察，指出這種攻擊手法現在不僅變得非常頻繁，而且，還變得更加刁鑽。</p> <p>這項威脅態勢，就是駭客濫用雲端服務來掩蓋非法行動的情況。在針對臺灣、香港、越南組織的攻擊行動裡，後門程式Grager存取充當C2的OneDrive帳號手法相當特別。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164395"><strong style="font-size: 22px;">研究人員揭露合法雲端服務被用於散布後門程式的態勢日趨複雜，臺灣也有組織遇害</strong></a></p> <p>資安業者賽門鐵克指出，由於攻擊者希望避免引人注目並降低維護基礎設施的成本，他們發現有越來越多駭客加入濫用雲端服務的行列，並開發更多用於這類攻擊的作案工具。研究人員在黑帽大會的議程上，公布相關調查結果。</p> <p>在這些攻擊行動裡，我們認為名為Grager的後門程式最值得留意，原因是這起資安事故的攻擊目標涵蓋臺灣。研究人員在今年4月，看到中國駭客組織UNC5330針對臺灣、香港、越南的企業組織，部署這支後門程式。</p> <p>駭客究竟如何尋找攻擊目標，研究人員並未說明，但他們提及惡意檔案來自冒牌的7-Zip網站，一旦使用者依照指示進行下載、安裝MSI檔，電腦就會在部署此壓縮軟體的過程，一併將惡意程式載入工具Tonerjam植入，並用來解密、執行後門程式Grager。而這支後門程式啟動時，會解密用戶端ID（client_id）並根據儲存體（Blob）更新存取OneDrive的憑證（Token），從而與駭客控制的OneDrive帳號連線。</p> <p><a href="https://www.ithome.com.tw/news/164388"><strong style="font-size: 22px;">6月WhatsUp Gold修補漏洞，8月初駭客攻擊行動開始現蹤</strong></a></p> <p>今年6月Progress針對網路監控系統WhatsUp Gold發布更新，當中修補重大層級的漏洞CVE-2024-4883、CVE-2024-4884、CVE-2024-4885（CVSS風險評分皆達到9.8），攻擊者能在未經授權的情況下，利用這些漏洞遠端執行任意程式碼（RCE），如今有研究人員提出警告，部分漏洞已出現實際攻擊行動。</p> <p>Shadowserver基金會提出警告，他們自8月1日看到來自6個IP位址的攻擊行動，駭客利用CVE-2024-4885，企圖存取WhatsUp Gold系統的/NmAPI/RecurringReport。</p> <p>研究人員特別提到，由於這項漏洞的概念性驗證程式碼（PoC）已被公開，駭客無需自行從頭拆解，就能快速將漏洞用於攻擊行動，IT人員應盡快套用相關更新。目前而言，Shadowserver基金會與該組織的全球漏洞濫用儀表板，都尚未公布目前曝險的系統數量。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.oligo.security/blog/0-0-0-0-day-exploiting-localhost-apis-from-the-browser"><strong style="font-size: 20px;">瀏覽器存在長達18年的漏洞被用於攻擊行動，Chrome、Firefox、Safari都中招</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.menlosecurity.com/blog/google-drawings-and-whatsapp-zero-hour-open-redirection-phish-exposed">駭客濫用Google Drawing和WhatsApp功能從事網釣攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/application-security/how-to-weaponize-microsoft-copilot-for-cyberattackers">研究人員公布駭客如何將人工智慧機器人Copilot變成武器</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.vpnmentor.com/news/report-election-records-breach/">460萬美國選民資料曝露，起因是科技業者伺服器配置不當</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164396"><strong style="font-size: 22px;">系統背景自動產生的影子資源恐出現弱點！研究人員揭AWS服務存在Bucket Monopoly、Shadow Resources漏洞</strong></a></p> <p>資安業者Aqua Security的研究人員於今年2月，找到6個AWS重大層級的漏洞，並指出這些漏洞可讓攻擊者破壞所有帳號，有可能導致帳號遭到接管，或是遠端執行任意程式碼、資料外洩、曝露義感資料、引發服務中斷的情形。對此，AWS獲報後進行相關驗證，並自3月至6月逐步完成修補。研究人員也在黑帽大會上公布相關的調查結果。</p> <p>這些漏洞主要偏重於「影子資源」的層面，這類資源的來源，是使用者在進行AWS服務的相關設定過程裡，由系統在背景自動產生的資源，因此這類資源的運作狀態，一般使用者往往不會特別留意。</p> <p>其中一個漏洞被稱做Bucket Monopoly，起因是S3儲存桶使用了容易被猜到的AWS帳號ID，由於這個ID原本不被視為敏感資料，而讓攻擊者有機可乘。另一個研究人員公布的弱點被稱為Shadow Resources，攻擊者可在使用者不知情的狀態下，藉此產生AWS S3的服務元件。</p> <p><a href="https://www.ithome.com.tw/news/164398"><strong style="font-size: 22px;">RISC-V處理器存在GhostWrite漏洞，攻擊者有機會取得設備完整控制權</strong></a></p> <p>德國CISPA亥姆霍茲資訊安全中心發現，阿里巴巴旗下的半導體業者平頭哥（T-Head）生產的RISC-V處理器玄鐵C910，存在名為GhostWrite的漏洞，攻擊者在具備特定權限的情況下，能從記憶體讀取或寫入資料，而有機會得到完整、不受限制的存取權限。研究人員也在Black Hat USA 2024國際資安會議上，揭露相關細節。</p> <p>值得留意的是，雖然這項弱點主要是出現在玄鐵C910，但有鑑於是目前速度最快的處理器，影響的範圍並不小，包括個人電腦、筆電、容器，以及在雲端伺服器執行的虛擬機器（VM）。</p> <p>研究人員已確認曝險的設備如下： Scaleway Elastic Metal RV裸機（Bare Metal）雲端實體，以及Sipeed Lichee Pi 4A、Milk-V Meles、BeagleV-Ahead單板電腦（SBC）；再者，部分Lichee運算叢集、筆電、電玩主機也存在這項弱點。</p> <p> </p> <p><a href="https://www.ithome.com.tw/news/164393"><strong style="font-size: 22px;">已結束生命週期的思科IP電話存在重大漏洞，未經驗證的攻擊者能以root權限執行作業系統層級命令</strong></a></p> <p>思科本周發布安全公告，已結束生命週期（EOL）的IP電話設備出現多項漏洞，包含3項可執行任意指令的重大漏洞，影響Small Business SPA300和SPA500系列機種，該公司不打算提供修補程式，呼籲用戶儘速汰換設備。</p> <p>這次修補的漏洞有5項，影響IP電話系統的網頁管理介面軟體，其中3項特別值得注意，編號分別為CVE-2024-20450、CVE-2024-20452和CVE-2024-20454，屬於風險值9.8的任意指令執行漏洞，可讓未經驗證的遠端攻擊者以root權限，於電話設備的作業系統執行任意命令。</p> <p>值得留意的是，因為這些設備生命週期已經結束，思科強調不會提供修補。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/application-security/hazy-issue-entra-id-privileged-users-become-global-admins">研究人員揭露微軟Entra ID隱藏的身分驗證機制，恐讓攻擊者取得全域管理員權限</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.reuters.com/markets/deals/cybersecurity-firm-trend-micro-explores-sale-sources-say-2024-08-08/"><strong style="font-size: 22px;">趨勢科技傳出有意吸引買家出售</strong></a></p> <p></p> <p>路透社取得知情人士的消息在8月8日指出，市值約9,500億日元（65億美元）的趨勢科技在吸引外界購買的興趣後，正在考慮出售，消息一出，我們向趨勢科技進一步確認此事，該公司表示對於謠傳訊息不予評論，身為公開發行上市的資訊安全公司，持續專注以領先業界的資安平臺進行營運並服務客戶。</p> <p><a href="https://www.ithome.com.tw/news/164261"><strong style="font-size: 22px;">蘋果同態加密技術以開源Swift開源套件釋出</strong></a></p> <p>蘋果在自家服務引入同態加密（Homomorphic Encryption）技術保護用戶隱私，近日也把該加密技術Swift實作開源出來，讓開發者可以更簡單地在程式中應用同態加密。</p> <p>該公司開源Swift同態加密套件使用了Swift Crypto中高效能低階加密原語，支援伺服器端Swift，並且可使用Benchmark函式庫進行簡單的基準測試。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164383"><strong>【8月8日】黑帽大會首度增設AI議程，趨勢科技展示深偽偵測技術</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164356"><strong>【8月7日】法國博物館驚傳遭遇勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164335"><strong>【8月6日】達美航空、CrowdStrike將針對EDR系統大當機事故對簿公堂</strong></a></p> </div></div></div>
2024/8/9 16:59作者周峻佑https://www.ithome.com.tw/news/164400
零售IT雙周報第40期：Line推出官方帳號開店幫手，可在聊天室經營電商且內建金物流解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0728~0810)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#LineOA #通訊軟體電商 #金物流解決方案</span></span></strong><br /> <strong>Line推出官方帳號開店幫手，主打聊天室內無跳轉購物且內建金物流解決方案</strong></p> <p><a href="https://ec.linebiz.com/faq/13/173">Line推出名為官方帳號開店幫手的開店功能</a>，可在官方帳號（OA）聊天室中直接使用電商功能，不論消費者是否已加入OA好友，都能從直播節目連結或展示型廣告等連結，進入商店和商品頁面。Line用戶也能將電商商品作為訊息傳送到其他聊天室。</p> <p>此功能內建金物流解決方案，金流支援Line Pay和藍新金流平臺，物流則支援不同物流業者宅配及超商物流方案。採用中高流量以上方案且有統編資料的OA用戶，可於OA後臺啟用此功能，開通電商功能或交易成功不須支付費用，但需要支付金流交易手續費。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#商家檔案管理 #商家訊息發布 #GoogleMap商家檔案</span></span></strong><br /> <strong>統一資訊推出商家檔案智慧服務平臺，用於分析連鎖品牌的Google商家檔案評論和評分</strong></p> <p>統一資訊推出商家檔案智慧服務平臺，可以管理、分析連鎖品牌Google商家檔案，甚至追蹤其他商家的商家檔案。此平臺可以一站式查詢旗下分店的所有評論，並以日、周、月單位產出分店評論情況、消費者整體意見回饋和搜尋到商家的關鍵字等資料的摘要及數據報表。此平臺還可以一次發布訊息到多家分店商家檔案，省去一一發布所需的大量時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%B5%B1%E4%B8%80%E8%B3%87%E8%A8%8A%E7%AE%A1%E7%90%86%E5%B9%B3%E5%8F%B0.jpeg" style="width: 600px;" /></p> <p>不只如此，此平臺還有監看其他商家檔案統計資料的功能，可用來掌握競爭商家的服務表現與動態，有助於行銷推動。</p> <p>目前統一超、家樂福、鬍鬚張等品牌已採用此平臺，意味著它至少可以支援有7,000家分店的品牌。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#無人結帳 #無人商店 #多模態AI模型</span></span></strong><br /> <strong>Amazon用多模態模型強化Just Walk Out技術辨識商品取放的精確度及效率</strong></p> <p><a href="https://www.aboutamazon.com/news/retail/amazon-just-walk-out-improves-accuracy">Amazon揭露自家無人結帳技術Just Walk Out的辨識能力強化。</a>Just Walk Out技術會利用AI分析貨架重量感應器和門市天花板攝影機訊號，來判讀消費者取放商品的行為。過往，此技術主要以個別商品為主體，來處理與該商品相關的感應器訊號。新模式下，則是會同時判讀鄰近區域所有訊號，來判讀商品是否被取放。</p> <p>新做法好處是，能更好的解讀複雜商品取放情境。舉例來說，如果現場有兩名消費者，分別用不同順序取放了同一區域的物品，甚至同時伸手拿同一個物品，且阻擋到攝影機視線。新的感應器訊號處理模式，就能更好判讀到底誰拿走了哪些商品。</p> <p>這個改變背後關鍵是，Amazon改用了一個新的多模態Transformer模型來支援Just Walk Out。此模型不只能同時處理不同訊號源資訊來判讀商品取放，更會根據實際發生情況來自我學習，以在未來遭遇複雜商品取放情境時，更正確的解讀感應器訊號。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amzjwk.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#開店平臺 #C2C電商平臺 #客流經營 #賣場經營</span></span></strong><br /> <strong>露天市集和Cyberbiz聯合推出雙平臺開店服務，結合前者高人流量及後者商家經營工具的優勢</strong></p> <p>C2C電商平臺露天市集及開店平臺Cyberbiz昨（7/31）宣布聯合推出「平臺+品牌官網」雙平臺開店服務。當商家使用雙平臺開店服務，消費者可以在露天可以搜尋到商家商品，點進去會先進到露天商品頁面瀏覽資訊。點擊購買時，就會跳轉到商家的Cyberbiz品牌官網，用訪客身分結帳，或登入品牌自己的會員後再結帳。</p> <p>此服務結合露天每月破1,100萬人流量和搜尋媒合演算法，以及Cyberbiz線上線下零售營運技術，使商家有機會在高流量平臺電商曝光，又有自家官網可以深度經營會員及品牌形象。（<a href="https://www.ithome.com.tw/news/164248">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #非規格品 #C2C電商</span></span></strong><br /> <strong>有400萬件商品的二手服飾電商ThredUp推出進階搜尋和文字生成穿搭範例等生成式AI購物功能</strong></p> <p>上架超過400萬件商品的二手服飾電商ThredUp推出一系列<a href="https://www.businesswire.com/news/home/20240805270174/en/ThredUp-Launches-Suite-of-AI-Shopping-Features">生成式AI購物輔助功能</a>。其一是可以輸入模糊條件或使用情境的搜尋功能。第二是可以根據圖片、部分圖片、或Instagram貼文，來搜尋同款或類似商品的圖片搜尋功能。</p> <p>第三個功能較特別，是文字轉模擬穿搭功能，可以根據自然語言輸入，例如「適合秋天婚禮的裝扮」，來生成從頭到腳的穿搭建議。使用者還能微調生成結果，包括顏色、風格、露膚程度等參數，再結合前述圖片搜尋功能來尋找相符商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tugai.png" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#智慧購物車 #智慧零售門市</span></span></strong><br /> <strong>全球超過7千家分店的Aldi South Group大規模導入實體門市科技，包括即時貨架狀態瀏覽、循燈找物及智慧購物車</strong></p> <p>11個市場有超過7千家分店的<a href="https://www.instacart.com/company/pressreleases/instacart-and-aldi-south-group-expand-omnichannel-partnership/">大型跨國零售集團Aldi South Group大規模導入零售科技商Instacart的購物輔助技術到實體門市。</a>在美國門市，消費者將能用Instacart手機App查詢門市內的商品是否有貨、瀏覽實體貨架的商品清單、商品資訊，以及查詢店內促銷活動。消費者還能透過App啟動貨架上的示意燈，以快速尋找商品。</p> <p>在奧地利門市，Aldi South Group則開始試用智慧購物車，消費者將商品放進購物車後，推車經過專門通道就會自動結帳。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1.<a href="https://www.ithome.com.tw/news/164218">日本夏普網路商店、食品配送服務網站遭入侵，超過10萬人個資面臨外流風險</a></p> <p>2. <a href="https://seekingalpha.com/article/4708913-ebay-inc-ebay-q2-2024-earnings-call-transcript">eBay生成式AI上架工具見效，減少了二位數百分比的上架時間並大幅提升商家滿意度分數（CSAT）到90%</a></p> <p>3. <a href="https://corporate.walmart.com/news/2024/07/29/new-tech-and-collaborations-at-walmart-and-sams-club-boost-operational-efficiency-and-reduce-food-waste">Walmart將導入可以自動拆封即期商品包裝的技術到千家分店，加速廚餘回收流程並解放店員人力</a></p> <p>4. <a href="https://www.tacobell.com/newsroom/yum-brands-to-expand-voice-ai-technology">墨西哥連鎖餐飲龍頭Taco Bell將擴大使用AI得來速點餐到上百家分店</a></p> <p>資料來源：iThome整理，2024年8月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Line、統一資訊、Amazon、ThredUp</p> <p></p> </div></div></div>
2024/8/9 17:54作者郭又華https://www.ithome.com.tw/news/164399
研究人員揭露合法雲端服務被用於散布後門程式的態勢，臺灣也有組織遇害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客在攻擊行動裡濫用合法雲端服務的情況，因為能夠藉由這些服務的正常流量掩蓋非法行為，使得資安系統可能不會觸發警報，這樣的手法已是經常出現，最近有資安業者表示，他們看到今年這樣的態勢出現顯示增加的情況。</p> <p>資安業者賽門鐵克指出，由於攻擊者希望避免引人注目並降低維護基礎設施的成本，<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/cloud-espionage-attacks">他們發現有越來越多駭客加入濫用雲端服務的行列</a>，並開發更多用於這類攻擊的作案工具。<a href="https://www.blackhat.com/us-24/sponsored-sessions/schedule/#cloud-cover-how-sophisticated-malicious-actors-are-leveraging-legitimate-cloud-services-41726">研究人員在黑帽大會的議程上</a>，公布相關調查結果。</p> <p>值得留意的是，雖然研究人員表示駭客很可能會濫用微軟OneDrive或Google Drive，但在他們公布的6起惡意程式攻擊裡，有超過半數都利用OneDrive。</p> <p>在這些攻擊行動裡，我們認為名為Grager的後門程式最值得留意，原因是這起資安事故的攻擊目標涵蓋臺灣。研究人員在今年4月，看到中國駭客組織UNC5330針對臺灣、香港、越南的企業組織，部署這支後門程式。</p> <p>駭客究竟如何尋找攻擊目標，研究人員並未說明，但他們提及惡意檔案來自冒牌的7-Zip網站，一旦使用者依照指示進行下載、安裝MSI檔，電腦就會在部署此壓縮軟體的過程，一併將惡意程式載入工具Tonerjam植入，並用來解密、執行後門程式Grager。</p> <p>而這支後門程式啟動時，會解密用戶端ID（client_id）並根據儲存體（Blob）更新存取OneDrive的憑證（Token），從而與駭客控制的OneDrive帳號連線。該後門程式能收集系統資訊，讓攻擊者能上傳、下載，或是執行檔案，並截取檔案系統的相關資料，包括磁碟容量與類型資訊。</p> <p>另一個鎖定南亞媒體而來的後門程式GoGra，研究人員認為也相當值得留意，因為，駭客將微軟的郵件服務充當C2伺服器。</p> <p>究竟駭客如何對後門程式下達命令？研究人員指出，此後門程式會讀取寄件人為FNU LNU的電子郵件，這些信件的主旨皆以Input開頭，而後門程式使用特定金鑰並透過密碼區塊連結（Cipher Block Chaining）模式的AES-256演算法，解密命令的內容，並透過cmd.exe執行。</p> <p>當駭客交付的命令完成後，GoGra會將執行結果加密處理，並以Output為主旨的信件，回傳給前述的使用者。</p> <p>而對於攻擊者的身分，研究人員指出是<a href="https://symantec-enterprise-blogs.security.com/threat-intelligence/harvester-new-apt-attacks-asia">他們3年前揭露的國家級駭客Harvester</a>，這些駭客主要鎖定南亞組織發動攻擊。</p> <p>還有被用於攻擊美國及歐洲IT服務業者的惡意程式OneDriveTools相當特別，此為多階段執行的後門程式，攻擊過程濫用多種雲端服務。攻擊者初期先執行惡意程式下載工具，透過圖學資料分析服務Microsoft Graph的API進行身分驗證，然後從OneDrive下載第二階段酬載並執行。</p> <p>接著，攻擊者從程式碼儲存庫GitHub下載OneDriveTools最終的惡意酬載，並在OneDrive與受害電腦建立特定的資料夾，讓受害電腦透過OneDrive回傳受到感染的情況，並接收駭客的命令。</p> <p>值得留意的是，攻擊者為了隱匿行蹤，他們使用名為Whipweave的隧道工具，連線到稱做Orbweaver的<a href="https://www.ithome.com.tw/news/163058">Operational Relay Box（ORB）</a>網路，從而混淆攻擊來源。</p> </div></div></div>
2024/8/9 14:35作者周峻佑https://www.ithome.com.tw/news/164395
AWS服務存在Bucket Monopoly、Shadow Resources漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端服務的運作相當複雜，尤其是有許多服務於背景運作，甚至有可能作為其他服務運作的其中一環，若是這些服務運作的方式不夠安全，很有可能引發嚴重的後果。</p> <p>資安業者Aqua Security的研究人員於今年2月，找到6個AWS重大層級的漏洞，<a href="https://www.darkreading.com/remote-workforce/critical-aws-vulnerabilities-allow-s3-attack-bonanza">並指出這些漏洞可讓攻擊者破壞所有帳號</a>，有可能導致帳號遭到接管，或是遠端執行任意程式碼、資料外洩、曝露義感資料、引發服務中斷的情形。對此，AWS獲報後進行相關驗證，並自3月至6月逐步完成修補。<a href="https://www.aquasec.com/news/critical-vulnerabilities-aws/">研究人員也在黑帽大會上公布相關的調查結果</a>。</p> <p>這些漏洞主要偏重於「影子資源」的層面，這類資源的來源，是使用者在進行AWS服務的相關設定過程裡，由系統在背景自動產生的資源，因此這類資源的運作狀態，一般使用者往往不會特別留意。</p> <p>而對於漏洞的影響範圍，研究人員指出涵蓋多項服務，包括：CloudFormation、Glue、EMR、SageMaker、ServiceCatalog、CodeStar。使用者首次在新地點建立服務的過程裡，系統會自動建立具有特定名稱的S3儲存桶，這個名稱包含用ID、服務名稱、地區。</p> <p>其中一個漏洞被稱做Bucket Monopoly，起因是S3儲存桶使用了容易被猜到的AWS帳號ID，由於這個ID原本不被視為敏感資料，而讓攻擊者有機可乘。</p> <p>攻擊者可藉由上述儲存桶名稱可預測的規則，搶在目標用戶之前在其他地區的資料中心建立儲存桶並植入惡意程式碼，使得受害組織試圖在新區域啟用服務時，惡意程式碼便會不知不覺在組織的環境內執行，從而讓攻擊者建立管理員帳號並取得控制權。</p> <p>研究人員指出，根據他們的分析，這種ID應被視為機密，因為攻擊者一旦取得這類資料，就有機會進行相關攻擊。就算攻擊者無法直接破解控制使用者帳號，但還是能藉由這項資訊，收集用戶的各式資料。</p> <p>針對這項問題，AWS已變更預設組態，經過調整的服務將不會自動產生儲存桶的名稱，若是儲存桶名稱已經存在，系統則會加上隨機的識別碼。</p> <p>另一個研究人員公布的弱點被稱為Shadow Resources，攻擊者可在使用者不知情的狀態下，藉此產生AWS S3的服務元件。</p> <p>研究人員起初在CloudFormation察覺此事，攻擊者可在目標用戶尚未啟用的AWS地區當中，使用現有的堆疊及名稱建立帳號，來搶占資源，當受害者將工作負載轉移到新區域，就有可能不知不覺使用攻擊者控制的S3儲存桶而受到控制。</p> <p>這項弱點發生的原因在於，使用者透過AWS管理主控臺在CloudFormation建立堆疊的過程中，AWS會自動建立存放CloudFormation範本的S3儲存桶，而這個儲存桶的名稱也同樣具備相同的特性，使得攻擊者有機會用來發動攻擊。</p> </div></div></div>
2024/8/9 16:06作者周峻佑https://www.ithome.com.tw/news/164396
RISC-V處理器存在GhostWrite漏洞，攻擊者有機會取得設備完整控制權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源指令集架構RISC-V通常被用於針對特定類型的應用系統，打造專屬的處理器，涵蓋各種類型的嵌入式系統、微控制器、資料中心的高效運算伺服器等，最近有研究人員揭露採用RISC-V架構的處理器漏洞。</p> <p>德國CISPA亥姆霍茲資訊安全中心發現，阿里巴巴旗下的半導體業者平頭哥（T-Head）生產的RISC-V處理器玄鐵C910，<a href="https://ghostwriteattack.com/">存在名為GhostWrite的漏洞</a>，攻擊者在具備特定權限的情況下，能從記憶體讀取或寫入資料，而有機會得到完整、不受限制的存取權限。<a href="https://www.securityweek.com/ghostwrite-vulnerability-facilitates-attacks-on-devices-with-risc-v-cpu/">研究人員也在Black Hat USA 2024國際資安會議上，揭露相關細節</a>。</p> <p>值得留意的是，雖然這項弱點主要是出現在玄鐵C910，但有鑑於是目前速度最快的處理器，影響的範圍並不小，包括個人電腦、筆電、容器，以及在雲端伺服器執行的虛擬機器（VM）。</p> <p>研究人員已確認曝險的設備如下： Scaleway Elastic Metal RV裸機（Bare Metal）雲端實體，以及Sipeed Lichee Pi 4A、Milk-V Meles、BeagleV-Ahead單板電腦（SBC）；再者，部分Lichee運算叢集、筆電、電玩主機也存在這項弱點。</p> <p>攻擊者若要觸發漏洞，必須在目標裝置執行不具特殊權限的程式碼，這種情況在多用戶及雲端系統的環境帶來嚴重威脅。研究人員展示如何透過GhostWrite來取得root權限，以及從記憶體取得管理員密碼。</p> <p>特別的是，這項漏洞與過往揭露的處理器漏洞有所不同，研究人員指出是處理器架構上的臭蟲，不涉及推測執行與側通道攻擊。值得留意的是，雖然目前尚未出現該漏洞遭到利用的跡象，但研究人員指出，他們也沒有工具或是方法能夠偵測相關攻擊。</p> </div></div></div>
2024/8/9 16:48作者周峻佑https://www.ithome.com.tw/news/164398
Cloud周報第207期：第二季全球雲端基礎設施服務市場規模達790億美元，三大公雲加總市占逾7成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（08/01～08/07）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟宣布與程式碼代管平臺GitHub合作，要將Azure AI服務帶給一億名GitHub開發者</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%961-%E5%9C%961_Cloud%E5%91%A8%E5%A0%B1(12).png" style="width: 600px; height: 360px;" /></p> <p>微軟近日宣布將成為程式碼代管平臺GitHub的合作夥伴，將把自家Azure AI服務帶給GitHub社群中的一億名開發者用戶。</p> <p>微軟表示，通過與GitHub的合作，這些開發者將能夠直接從GitHub.com網站建立自己的AI應用程式，並能夠與GitHubCodespaces和Visual Studio Code程式編碼器進行整合，包括從Playground中編寫程式碼，接著在Codespaces中使用模型，再通過Azure進行部署。</p> <p>GE Healthcare計畫利用AWS的Bedrock生成式AI託管服務建立和部署客製化的生成式AI應用程式，專用於醫療保健的服務需求。這些應用將與AWSHealthLake和AWS HealthImaging整合，用於分析各種類型的患者數據，從而提高臨床效率和更好地患者護理。</p> <p>微軟計畫透過GitHub Models模型服務向開發者提供Azure AI的模型，包括Llama 3.1、GPT-4o、GPT-4o mini、Phi 3和Mistral Large 2等。開發者可以使用GitHub Models內建的Playground存取每個模型，並在GitHub中免費測試不同的提示和模型參數。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端營收 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">亞馬遜AWS第二季營收成長接近2成達262億美元</span></strong></p> <p>亞馬遜Amazon近日公布今年第二季財報，該季締造了1,480億美元的營收，成長10%，其中，AWS的營收占了262.8億美元，成長19%，營業利潤為93.3億美元，成長74%。</p> <p>Amazon執行長Andy Jassy於財報會議中表示，該季營業利潤的大幅提升，除了採行成本最佳化作業發揮成效之外，也拜企業積極推動IT現代化之賜，越來越多企業將本地端架構轉移至雲端。</p> <p>此外，即使Amazon的AI業務還處於早期階段，但其年化收入率（Annualized Return）已達數十億美元。Andy Jassy指出，該公司內部已利用Amazon Q的程式碼轉換功能，在短短的幾個月內遷移了超過3萬個Java JDK應用程式，節省了2.6億美元的成本，以及4,500名開發者一年工作時間。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端市場 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 三大公雲 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">第二季全球雲端基礎設施服務市場規模達790億美元，AWS仍逾3成的市占率居冠</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%962-%E5%9C%962_Cloud%E5%91%A8%E5%A0%B1(6).jpg" style="width: 600px; height: 405px;" /></p> <p>市場研究機構Synergy Research Group的調查顯示，儘管受到經濟、貨幣和政治因素的影響，全球雲端市場在今年第二季依然保持強勁增長。</p> <p>根據調查，本季企業在全球雲端基礎設施服務上的支出達到790億美元，比去年同期增加了22%，即成長141億美元。Synergy Research Group指出，這是繼2023年營收略有放緩後，連續第三季同比增長率達至少20％。</p> <p>在雲端基礎設施服務方面，Synergy預估該季雲端基礎設施服務（包括IaaS、PaaS和託管私有雲服務）的收入達到791億美元，其中IaaS和PaaS服務依然是主要收入來源，該季增長了23%。</p> <p>從市占率來看，三大公有雲業者中，亞馬遜AWS以32%的市占率領先，微軟Azure緊隨其後，市占率達到23％，而Google Cloud的市占率也達到了12％。這三家業者的合計市占率達到了73%。。</p> <p>此外，全球各地區的雲端市場也持續強勁增長。其中亞太地區增長最為顯著，印度、日本、澳洲和韓國的年增長率均達到25%。美國市場在第二季的增長率為22%。在歐洲，最大的雲端市場是英國和德國，而愛爾蘭、義大利和西班牙的增長率最高。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">國泰人壽 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 上雲旅程 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">國泰人壽揭近2年的上雲旅程，完成將十多套套系統遷移上雲</span></strong></p> <p>國泰人壽近日揭露過去近2年的上雲旅程，到去年底已完成將16套雲端行銷系統和一套旅平險系統轉換上雲。</p> <p>國泰人壽自2022年啟動系統上雲計畫，在該年年中完成第一套系統上雲的UAT測試，接著陸續將更多系統搬上公雲進行環境測試，包括整合測試、功能測試，期間也完成壓力、滲透測試等環境平測。</p> <p>遷雲過程中，國泰人壽除了將既有應用程式轉為容器化微服務架構，也和非IT人員討論雲端架構合規性，並建立安全資料傳輸機制。耗時約一年半，國泰人壽去年底開始透過雲端正式對外服務，並完成將17套系統遷移上雲，包括16套雲端行銷系統和一套旅平險系統。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">碳排 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟Azure碳排優化服務進入公開預覽</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%40%E5%9C%963-%E5%9C%963_Cloud%E5%91%A8%E5%A0%B1(9).png" style="width: 600px; height: 338px;" /></p> <p>微軟Azure近日宣布其碳排優化服務Carbon Optimization現已推出公開預覽。這是微軟在今年2月推出的其中一個碳排優化工具，透過該工具，Azure開發人員不僅可以快速查看Azure使用各項服務所產生的排放資訊，迅速掌握整體碳排放情況，還能視覺化呈現逐月的排放變化趨勢。</p> <p>IBM表示，這項新的雲端沙箱服務能夠追蹤伺服器的效能指標，如記憶體、CPU、網路和I/O利用率等，從而確保應用程式在短期和長期執行過程中，提供其所需的運算能力並控制預算。此沙箱在IBM Cloud VPC上自動化執行，並採用Terraform和IBM Cloud Schematics作為程式框架來管理，服務則按小時計費。</p> <p>Carbon Optimization包含了多項功能，例如針對排放資訊提供更細緻的分類，如服務類型、地理位置等。該工具還推出最佳化建議的功能，協助用戶通過取消或調整閒置的資源來減少碳排放和雲端成本，此外，還提供角色存取控制機制，加強對排放資料的權限管理。</p> <p>該服務也與另一款預覽的Azure Emissions Insights方案整合，可在Microsoft Fabric數據平臺中進行進階的排放分析。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">AWS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 圖像生成模型 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS更新Bedrock，推出第二版Titan Image Generator圖像生成模型</span></strong></p> <p>日前，AWS宣布在其生成式AI服務Bedrock中，正式推出Titan Image Generator v2圖像生成模型。Titan Image Generator是Amazon自行開發的Titan系列基礎模型之一，能夠透過自然語言文本生成圖像，也可用於編輯現有圖像或生成圖像的變化。</p> <p>相較於前一版本，Titan Image Generator v2加入了多項新功能。舉例來說，新推出的影像調節功能（Image Conditioning）可以根據使用者提供的參考圖像和文字提示調整輸出的圖像，包括參考的構圖和結構，以符合使用者對畫面的要求。</p> <p>此外，帶有調色板的圖像指導功能可以透過提供十六進位格式的顏色清單和文字提示，來精確控制生成圖像的調色。其他新功能還包括背景移除物件影像和主題一致性功能。</p> <p>Amazon Titan Generator v2模型現已在美東和美西部分區域的Amazon Bedrock中推出。</p> <p> </p> <p>圖片來源／Amazon、Azure、Synergy Research Group</p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.Microsoft 365再發生部分服務不穩、無法存取問題，原因是DDoS攻擊防護功能異常</strong></p> <p><strong>2.SAP推出SAP PLM方案的雲端新功能，能夠原生連接SAP雲端ERP和供應鏈管理平臺</strong></p> <p><strong>3.GCP推出預覽版Spanner Graph服務，結合圖形資料庫功能與Spanner資料庫代管服務</strong></p> <p><strong>4.微軟Azure Container Storage服務現已推出，可為容器原生提供磁碟區管理服務</strong></p> <p><strong>資料來源：iThome整理，2024年月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/8/9 14:18作者余至浩https://www.ithome.com.tw/news/164389
6月WhatsUp Gold修補漏洞，8月初駭客攻擊行動開始現蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月<a href="https://community.progress.com/s/article/WhatsUp-Gold-Security-Bulletin-June-2024">Progress針對網路監控系統WhatsUp Gold發布更新</a>，當中修補重大層級的漏洞CVE-2024-4883、CVE-2024-4884、CVE-2024-4885（CVSS風險評分皆達到9.8），攻擊者能在未經授權的情況下，利用這些漏洞遠端執行任意程式碼（RCE），如今有研究人員提出警告，部分漏洞已出現實際攻擊行動。</p> <p>Shadowserver基金會提出警告，<a href="https://x.com/Shadowserver/status/1821121075704647731">他們自8月1日看到來自6個IP位址的攻擊行動</a>，駭客利用CVE-2024-4885，企圖存取WhatsUp Gold系統的/NmAPI/RecurringReport。</p> <p>研究人員特別提到，由於這項漏洞的概念性驗證程式碼（PoC）已被公開，駭客無需自行從頭拆解，就能快速將漏洞用於攻擊行動，IT人員應盡快套用相關更新。目前而言，Shadowserver基金會與該組織的全球漏洞濫用儀表板，都尚未公布目前曝險的系統數量。</p> </div></div></div>
2024/8/9 11:35作者周峻佑https://www.ithome.com.tw/news/164388
Dell再裁員1.3萬，將聚焦AI、伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businessinsider.com/dell-layoffs-sales-workers-restructuring-process-csg-ai-modernization-2024-8" target="_blank">Business Insider</a>報導，電腦大廠Dell因應AI時代來臨，近日再傳裁員12,500人。</p> <p>媒體報導，這次裁員主要裁撤職位落在業務部門及管理層級。報導引述Dell高層主管Bill Scannell與John Byrne對內公開信的內容，Dell將裁撤數層管理人事，以及重新對投資重點排序。一名員工匿名<a href="https://www.livemint.com/companies/company-results/dell-fires-12-500-employees-in-major-shift-toward-ai-report-11723004175038.html" target="_blank">指出</a>，這次裁減的員工大部分是經理、協理和副總級，多個組織被整併，縮小經理和員工比，現在一個經理需管理15人。此外行銷及營運部門也受到影響。</p> <p>彭博則<a href="https://www.bloomberg.com/news/articles/2024-08-05/dell-layoffs-hit-sales-team-with-new-unit-focused-on-ai" target="_blank">報導</a>，透過這次裁員，Dell希望能因應AI時代的挑戰，新業務團隊將更著重AI有關的銷售，像是Dell伺服器。</p> <p>Dell證實裁員消息，表示透過go-to-market部門改組及一系列行動，公司將變得更精實。但是Dell並未證實裁撤人數。</p> <p>去年Dell則在2波行動中<a href="https://www.crn.com/news/computing/2024/dell-has-laid-off-13-000-employees-in-one-year-amid-slump" target="_blank">裁員</a>1.3萬。15個月下來，已有超過2.5萬名員工失去工作。若從去年年初的13萬計算，經過數波人事精簡，現有Dell員工數為10萬人。</p> <p>根據Dell最新<a href="https://tinyurl.com/2laye3jk" target="_blank">財報</a>截自2024年5月，該公司營收2,220億美元，成長6%，主要來自伺服器及儲存設備的基礎架構方案業務成長22%，而筆電等用戶端營收則勉強持平。</p> </div></div></div>
2024/8/9 12:28作者林妍溱https://www.ithome.com.tw/news/164391
微軟與Palantir合作以支援國防及情報業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周四（8/8）<a href="https://news.microsoft.com/2024/08/08/palantir-and-microsoft-partner-to-deliver-enhanced-analytics-and-ai-services-to-classified-networks-for-critical-national-security-operations/" target="_blank">宣布</a>，將與大數據分析業者Palantir合作，在微軟的政府及機密雲端中提供Palantir及Azure OpenAI服務予國防及情報組織，此一合作案讓Palantir當天股價大漲11.25%，以29.28美元作收。</p> <p>根據雙方的協議，Palantir將在Azure Government、Azure Government Secret 及 Top Secret等微軟雲端環境中部署Foundry、Gotham、Apollo與AIP等產品。其中，Foundry為一資料整合與分析服務，Gotham為軍方與反恐分析師所使用的情報及防禦工具，Apollo則是個跨環境的持續整合與交付（CI/CD）平臺，AIP指的是Palantir的AI平臺。</p> <p>此外，Palantir也將成為微軟Secret與Top Secret環境中，Azure OpenAI Service的早期採用者。</p> <p>政府機構一直是Palantir的主要客戶，在該公司<a href="https://investors.palantir.com/news-details/2024/Palantir-Reports-Revenue-Growth-of-27-Year-Over-Year-and-Raises-Full-Year-Revenue-Guidance-Record-GAAP-EPS-of-0.06-in-Q2-2024/=0" target="_blank">今年第二季</a>所創造的6.78億美元中，有3.71億美元來自政府合約、成長23%，3.07億美元來自商業合約、成長33%。</p> <p>微軟表示，此一整合解決方案將使得國防與情報領域的物流、合約、或行動規畫人員可藉由AI，來安全地建置與管理各種任務。</p> </div></div></div>
2024/8/9 12:44作者陳曉莉https://www.ithome.com.tw/news/164392
思科二款已EoL的IP電話機有重大安全漏洞，可引發遠端任意指令執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科本周發布<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-spa-http-vulns-RJZmX2Xz" target="_blank">安全公告</a>，IP電話機系列軟體出現多項漏洞，包含3項可執行任意指令的重大漏洞，影響二款沒有修補程式的舊IP電話產品，思科鼓勵用戶升級。</p> <p>這次修補的漏洞有5項，影響思科Cisco Small Business SPA300 Series和SPA500 Series IP電話機上的Web管理介面（UI）軟體。二款產品皆為適用中小企業的IP電話機。其中三項特別值得注意，編號分別為CVE-2024-20450、CVE-2024-20452和CVE-2024-20454，屬於風險值9.8的任意指令執行漏洞。這三項漏洞可讓未經驗證的遠端攻擊者在話機上的OS以root權限執行任意指令。</p> <p>這些漏洞發生未能對輸入的HTTP封包適切檢查錯誤。攻擊者可傳送惡意HTTP呼叫到目標裝置來濫用漏洞。成功的濫用即可引發內部緩衝溢位，並以根（root）權限執行任意指令。</p> <p>另外二項漏洞，包括2024-20451與CVE-2024-20453，為影響Web管理介面的阻斷服務（DoS）漏洞。漏洞出於管理介面未能檢查HTTP封包錯誤，使攻擊者得以傳送惡意HTTP封包到二款話機的Web UI以濫用漏洞。成功的濫用可讓攻擊者引發不預期受害裝置重覆載入，導致DoS情境。二項漏洞風險值皆為7.5。</p> <p>思科警告，漏洞沒有迴避方法，但業者也未發布軟體更新。思科解釋，這是因為產品已經來到生命周期終點（Endo of Lifecycle,EoL），因此鼓勵用戶升級成更新一代產品。</p> <p>思科旗下產品安全事件回應團隊目前尚未接獲有任何漏洞濫用的通報。</p> </div></div></div>
2024/8/9 13:09作者林妍溱https://www.ithome.com.tw/news/164393
DeepMind的桌球機器人已達業餘的人類選手水準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想打桌球卻找不到對手嗎？沒關係，Google DeepMind的一群科學家已經成功<a href="https://sites.google.com/view/competitive-robot-table-tennis" target="_blank">打造出桌球機器人</a>，而且該名機器人具備了業餘人類桌球選手的水準，雖然它還打不贏高手，但它贏過了所有的初學者，與中階選手的比賽也有55%的勝率。</p> <p>在現實世界的任務中實現人類水準的速度及性能，一直是機器人研究的北極星指標，桌球也不例外，現在的桌球機器人只有最低階的發球機，尚無可與人類對打的機器人。或許是大家對此一研究太感興趣，於此一《<a href="https://arxiv.org/abs/2408.03906" target="_blank">Achieving Human Level Competitive Robot Table Tennis</a>》論文中掛名的作者超過25位。</p> <p>DeepMind研究人員對此一論文的主要貢獻有四，一是分層與模組化的策略架構，以低階控制器來負責機器人的具體技能，並由高階控制器來選擇與調度低階控制器；二是把自模擬環境中所學習的內容直接應用到現實的技術；三是可即時適應陌生對手的能力；最後則是在實際的賽事中對抗陌生對手的用戶研究。</p> <p>這個桌球機器人可以打正手、反手，能夠連續擊球，可以打到不同的位置，還能適應不同的球風，在29場與陌生人類較勁的比賽中，機器人贏了45%，如果區分這些人類玩家的程度，機器人完全打不贏高手，但贏了所有的初學者，跟中等程度的玩家比賽，機器人也贏了55%。研究人員認為它已經具備了業餘人類選手的水準。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/abi84lnjNV4?si=UGCMmAwk4Mf9PrlV" title="YouTube video player" width="560px"></iframe></div> </div></div></div>
2024/8/9 13:16作者陳曉莉https://www.ithome.com.tw/news/164394
英國對Amazon與Anthropic的投資案展開調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國競爭與市場管理局（Competition and Markets Authority，CMA）周四（8/8）<a href="https://www.gov.uk/cma-cases/amazon-slash-anthropic-partnership-merger-inquiry" target="_blank">宣布</a>，將對Amazon與Anthropic之間的投資關係展開調查。Anthropic為市場上新興且看起來非常有前景的AI業者，不過，Amazon/Anthropic並非CMA在AI領域唯一的調查目標，去年底CMA即針對Microsoft / OpenAI的合作關係展開<a href="https://www.gov.uk/cma-cases/microsoft-slash-openai-partnership-merger-inquiry" target="_blank">調查</a>，也在上個月開始<a href="https://www.gov.uk/cma-cases/alphabet-inc-google-llc-slash-anthropic-merger-inquiry" target="_blank">調查</a>Alphabet與Anthropic的合作。</p> <p>Anthropic是由一對兄妹Dario Amodei與Daniela Amodei在2021年所創立，兩位先前都是OpenAI的工程師，所建置的Claude模型被視為是OpenAI GPT最大的競爭者，不管是Amazon或Alphabet都對Anthropic很感興趣並相繼投入資金，其中，Amazon已於今年3月<a href="https://www.ithome.com.tw/news/162016" target="_blank">完成</a>所承諾的40億美元注資，此一交易還包括Anthropic將使用AWS Trainium與Inferentia晶片來建構、訓練及部署模型，也將以AWS作為其關鍵任務工作負載的主要雲端供應商，包括安全研究與未來的基礎模型開發。</p> <p>至於Alphabet亦承諾要投資20億美元予Anthropic。</p> <p>相較於針對不同的合作展開調查，其實CMA更在意的是整個AI生態體系的競爭狀況，特別是認為各大AI基礎模型（FM）與關鍵參與者之間的合作關係，可能會強化FM價值鏈業者的現有市場地位。</p> <p>CMA在今年4月發表的一份<a href="https://www.gov.uk/government/news/cma-seeks-views-on-ai-partnerships-and-other-arrangements" target="_blank">報告</a>中，把Google、Amazon、微軟（Microsoft）、Meta及蘋果（Apple）及Nvidia等公司稱為GAMMAN，認為這6大科技業者都在FM價值鏈上扮演重要的角色，例如它們全都自行開發FM，且當時的Amazon、Google與微軟都各自有合作密切的FM開發商，也讓CMA擔心，這些全球最重要的技術公司可能會嚴重影響FM市場的發展，危及開放與公平競爭，最終損害企業與消費者。</p> <p>不過，目前的AI領域仍處於大量投資階段，也不乏新創或開源模型，因此，就算CMA對現階段的市場布局感到擔憂並展開調查，但先前進行的Microsoft / OpenAI與Alphabet/Anthropic調查都停留在蒐集意見的第一階段，並未有進一步的行動，此次對Amazon/Anthropic的調查亦是屬於第一階段的意見蒐集。</p> </div></div></div>
2024/8/9 12:13作者陳曉莉https://www.ithome.com.tw/news/164390
【iThome 2024 CIO大調查系列5】臺灣企業DevOps再進化
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1194-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=o4l3GmQM" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>連續第三年，iThome盤點臺灣大型企業的DORA指標數據，揭露臺灣各產業的DevOps交付能力，1成金融業達到全球卓越團隊的水準，多數臺灣企業仍停留在中低階水準。頂尖企業積極強化DevOps，注重安全開發的DevSecOps和借重AI輔助的AIOps是新方向，更有18%企業用GAI輔助來加速開發</p> </div></div></div>
2024/8/9 10:45作者王宏仁https://www.ithome.com.tw/article/164376
【iThome 2024 CIO大調查系列5｜DevOps採用】DevOps採用率破2成5，開發安全和AI化維運是新目標
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1194-feng_mian_2-devopscai_yong_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">隨著越來越多企業推動IT現代化，擁抱雲原生技術，DevOps也成了企業軟體開發轉型的焦點，採用企業越來越多，根據iThome CIO大調查，到今年底，預估達到25.6%的採用率，大約是每四家就有一家企業採用。</p> <p dir="ltr">各產業中，以金融業最積極，採用率原本就居各產業之冠，今年底持續提高，將達到40.7%之多。服務業是今年採用率增加最多的產業，從去年的25%，一口氣今年預計增加到30%。企業投入的DevOps預算，整體產業平均達到372萬元，也以金融業最高，達到839萬元，這兩年積極投入軟體開發轉型的政府機關，也持續投入不少預算來推動DevOps，平均預算達到597萬元，僅次於金融業。不過，政府學校的DevOps採用率，因為少數學校啟動數位轉型和IT現代化，重新檢討開發流程和做法，今年不升反而略降。</p> <p dir="ltr">各產業DevOps預算和去年有很大的變化，服務業、一般製造業和政府學校的預算都增加了2～3成，來加速推動，反而去年積極發展DevOps的醫院，隨著相關工具軟硬體建置後，今年反而縮減了快2成預算，轉而開始強化人員DevOps能力的訓練。</p> <p dir="ltr">採用現代化的DevOps作法之後，企業開始採用更多Ops優化作法，尤其，今年高達5成CIO的年度優先目標是推動資安轉型，資安左移就是其中一項重點，因此，今年高達17.1%的企業要導入DevSecOps來強化開發安全，採用率幾乎是去年的2倍多。又以金融業和服務業今年要採用的企業較多，皆超過了2成4，醫療業更是從去年1.8%採用率，今年暴增到14.3%，幾乎每七家醫院就有一家今年要導入DevSecOps。這些企業希望進一步提升原有的DevOps流程，在開發流程上游就開始強化安全，甚至是預設採取更安全的軟體架構設計。</p> <p dir="ltr">不只是安全開發的重視程度大增，隨著GAI技術和工具崛起，雲端業者紛紛推出了用GAI輔助的維運助手，也想要用AI優化IT維運，推動AIOps的企業比例，也從去年的3.1%，今年增加到8.3%。在IT維運人力有限的情況下，這兩年積極上雲的醫療業是最積極採用AIOps的產業，今年高達17.9%的醫院，想用AI輔助，來改善基礎架構資源的調度和提供，加快各項開發環境的準備速度。金融和高科技業者今年也有近1成企業想採用AIOps。開發流程高度自動化的GitOps和雲端維運成本管理優化的FinOps，這兩項採用率也比去年略高。這些Ops優化發展，都是臺灣企業DevOps再進化的新方向。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A22-600-1.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A22-600-2.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A22-600-3-PDN.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A22-600-4.png" style="width: 600px;" /></p> <p><span style="font-size:16px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#FF8C00;"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></span></p> <p><a href="https://www.ithome.com.tw/article/164376" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> <strong>相關報導</strong> </span></span><strong style="font-size: 16px;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1194-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=o4l3GmQM" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/9 10:50作者王宏仁https://www.ithome.com.tw/article/164370
【iThome 2024 CIO大調查系列5｜四大交付指標】破2成企業部署與復原能力有國際水準，交付瓶頸是更新準備太慢
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1194-feng_mian_3-si_da_jiao_fu_zhi_biao_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">連續第三年，我們用國際慣用的DevOps能力指標DORA來衡量臺灣企業的IT團隊能力，在四項指標中，臺灣企業今年在部署頻率，部署失敗後的復原時間，這兩項能力明顯提升，達到國際水準的企業將近2成，比去年增加了不少。</p> <p dir="ltr">Google旗下有一個專門研究DevOps評估方法的研究團隊DORA（DevOps Research and Assessment）所發展出來的DevOps能力指標，因此，這套指標也被稱為DORA指標。連續第9年，DORA團隊用了這套指標進行全球企業的網路問卷調查，並在年底發表當年調查結果，累計到2023年，超過3萬6千多名企業IT人員參與調查。這是國際上衡量企業DevOps能力最具公信力的指標之一。</p> <p dir="ltr">Google在2023年12月，公布了2023年全球DORA能力大調查的盤點結果，發表了一份2023年《加速發展：開發運作現狀報告》，去年這個版本首度推出了中文版。DORA指標幾年下來，衡量的項目越來越廣，去年甚至增加了生成式AI對於企業IT團隊的技術工作影響的調查，但是，一直有四個最主要的DevOps交付能力指標，也是國際最常見的DevOps能力指標。</p> <p dir="ltr">這四個指標包括了平均部署頻率、更新準備時間、平均復原時間、變更失敗率。其中，平均復原時間過去是指系統故障後的恢復時間，但是，在去年DORA調查中，更聚焦在DevOps能力上，更明確地定義為更新引起的系統當機或失敗後，系統復原的平均時間。我們在iThome CIO大調查中，也用與DORA全球大調查同樣的題目和同樣的企業自評方式，來盤點臺灣企業的DevOps能力，進而與國際水準進行比較。在2024年CIO大調查中，我們參考了DORA 2023年大調查報告來進行。</p> <p dir="ltr">針對企業關鍵AP在四大指標的能力水準上，臺灣企業關鍵AP的平均部署頻率，高達19.9%，可以達到按需部署，也就是可以一天多次部署的能力，遠高於去年的14.3%，更多臺灣企業在這一項達到國際水準。另外在更新準備時間上，則有6.2%企業能在一小時內完成，只比去年的5.4%略多一些。關鍵AP變更失敗率指標，向來是臺灣企業強項，今年高達49.5%企業低於5%，約6成7低於10%，也優於去年。</p> <p dir="ltr">此外，在部署失敗後的平均復原時間上，今年更有21.4%的企業可在一小時內恢復，去年只有14.5%企業能達到這個水準。</p> <p dir="ltr">整體來說，四大指標中，臺灣企業有三項指標遠優於去年，尤其是平均部署頻率和平均復原時間，只有更新準備時間是臺灣企業今年DevOps能力再提升的瓶頸。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A23-%E5%9B%9B%E5%A4%A7%E4%BA%A4%E4%BB%98%E6%8C%87%E6%A8%99-600-1.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A23-%E5%9B%9B%E5%A4%A7%E4%BA%A4%E4%BB%98%E6%8C%87%E6%A8%99-600-2.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A23-%E5%9B%9B%E5%A4%A7%E4%BA%A4%E4%BB%98%E6%8C%87%E6%A8%99-600-3.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1194-%E5%B0%81%E9%9D%A23-%E5%9B%9B%E5%A4%A7%E4%BA%A4%E4%BB%98%E6%8C%87%E6%A8%99-600-4.png" style="width: 600px;" /></p> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> <p><a href="https://www.ithome.com.tw/article/164376" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><span style="font-size: 22px;"><span style="background-color: rgb(51, 153, 255);"> <strong>相關報導</strong> </span></span><strong style="font-size: 16px;"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1194-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=o4l3GmQM" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/9 10:52作者王宏仁https://www.ithome.com.tw/article/164373