iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 02:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

巴西全面封鎖X
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>巴西最高法院法官Alexandre de Moraes，在上周五（8/30）要求當地的電信業者封鎖X，甚至規定只要有任何公司或個人企圖利用虛擬私有網路（VPN）存取X，將會面臨每日高達5萬里奧（BRL）（約8,900美元）的罰款，更凍結了SpaceX在巴西的資產，顯然是與X所有人及SpaceX創辦人馬斯克（Elon Musk）結下了樑子。</p> <p>其實Moraes與馬斯克自今年4月以來便數度過招，起因是Moraes正在調查巴西的前任總統Jair Bolsonaro。Bolsonaro屬於右派總統，在2022年尋求連任失敗後，除了不承認落選之外還出走至美國，但其支持者襲擊了巴西的法院、國會及普拉納托宮（巴西總統府），企圖推翻選舉結果。</p> <p>於是，負責調查此事的Moraes封鎖了超過100個社交媒體帳戶，其中大多數是支持Bolsonaro、質疑選舉結果的右派選民，當中有部分帳戶位於X。馬斯克則對此感到不滿，除了拒絕關閉這些帳戶之外，還數度發文指責Moraes壓制保守派的聲音，是名獨裁者。</p> <p>Moraes並在上周三（8/28）要求X於巴西任命一名法定代理人，結果X亦拒絕遵循，進而導致了上周五的全面封鎖行動。</p> <p>根據外電報導，Moraes可能是被Musk惹惱了，最初的命令不僅要求電信業者封鎖X，也要求蘋果及Google的應用程式市集將X及VPN程式下架，不過，Moraes之後也撤回對程式市集的要求。</p> <p>巴西身為X全球第四大市場，擁有超過2,000萬名的X用戶，在X遭到封鎖後，由Twitter創辦人Jack Dorsey重新打造的微型部落格BlueSky湧入了大量的新用戶，<a href="https://bsky.app/profile/bsky.app/post/3l3277gkjjc2y" target="_blank">表示</a>在短短的3天內便吸引超過100萬名新用戶。</p> </div></div></div>
2024/9/2 12:30作者陳曉莉https://www.ithome.com.tw/news/164808
北韓駭客駭入Chromium漏洞植入rootkit程式Fudmodule
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟研究人員<a href="https://www.microsoft.com/en-us/security/blog/2024/08/30/north-korean-threat-actor-citrine-sleet-exploiting-chromium-zero-day/" target="_blank">發現</a>，北韓駭客組織濫用Chromium漏洞，以便在Windows PC核心植入惡意程式Fudmodule以竊取加密貨幣。</p> <p>微軟威脅情報小組暨微軟安全回應中心在8月19日發現，北韓駭客濫用當時尚未發現的Chromium漏洞執執行遠端程式碼執行（remote code execution，RCE）。該漏洞後被命名為CVE-2024-7971。微軟分析，這次攻擊背後是名為Citrine Sleet的北韓駭客組織，他們在受害Windows PC核心植入rootkit程式FudModule。</p> <p>CVE-2024-7971為存在Chromium V8 JavaScript及WebAssembly引擎的型態混淆漏洞，成功濫用可讓攻擊者在沙箱環境中的Chromium。受影響的是128.0.6613.84以前版本，Google已經在2024年8月21日釋出新版修補。CVE-2024-7971也是繼CVE-2024-4947和CVE-2024-5274後今年第三個V8型態混淆漏洞。</p> <p>Citrine Sleet又被稱為AppleJeus、Labyrinth Chollima、UNC4736和Hidden Cobra。過去這個組織經常鎖定管理加密貨幣的金融機構或個人以獲取財務利益。而在這次行動中，研究人員相信Citrine Sleet是透過社交工程誘騙用戶點選釣魚網站，當受害者連到惡意網域時，濫用CVE-2024-7971對沙箱環境的Chromium執行RCE，之後並在Windows記憶體中下載包含Windows沙箱逃逸（sandbox escape）攻擊程式及FudModule rootkit的shellcode。</p> <p>這個Windows沙箱逃逸攻擊程式則另外濫用了另一個零時差Windows權限擴張漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38106" target="_blank">CVE-2024-38106</a>。一旦成功，FudModule rootkit即被載入Windows核心，利用直接核心物件操弄（direct kernel object manipulation，DKOM）手法，擾亂核心安全機制、從user mode執行指令，以及透過核心讀寫原語（primitive）執行核心竄改活動。微軟推測，Citrine Sleet這波攻擊也是意在竊取加密貨幣。</p> <p>值得一提的是，CVE-2024-38106是由北韓駭客組織Diamond Sleet發現且首先濫用。但微軟之前研究發現Citrine Sleet和Diamond Sleet曾共用某些基礎架構和工具，因此微軟推測，Diamond Sleet和Citrine Sleet可能共用了關於CVE-2024-38106的知識。</p> <p>FudModule rootkit已多次在北韓駭客攻擊中使用。例如2022年9月ESET及AhnLAb研究人員觀察到駭客濫用CVE-2021-21551 Dell驅動程式漏洞植入FudModule變種，今年2月Avast研究人員也發現Windows AppLocker驅動程式漏洞（CVE-2024-21338）濫用。8月Gen Digital發現Winsock驅動程式漏洞CVE-2024-38193被Lazarus濫用後都被植入這個rootkit變種。</p> <p>CVE-2024-21338及CVE-2024-38106、CVE-2024-38193分別由微軟在2月及8月Patch Tuesday中修補。</p> </div></div></div>
2024/9/2 11:43作者林妍溱https://www.ithome.com.tw/news/164801
Docker-OSX映像檔儲存庫遭蘋果要求移除
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>許多開發人員在Docker上安裝macOS測試的Docker-OSX映像檔儲存庫，上周遭到蘋果以侵犯著作權的理由，要求移除。</p> <p>Docker-OSX是由代號Sick.Codes的開發人員建立的macOS VM容器，讓用戶可利用Docker在Windows或Linux平臺上執行macOS，用以測試應用，但不用購買macOS授權。但安全研究人員也可以用這方法來研究macOS的漏洞。Docker-OSX很受歡迎，在<a href="https://github.com/sickcodes/Docker-OSX" target="_blank">GitHub</a>上的Docker-OSX儲存庫有75萬人次下載，共獲得GitHub 4萬顆星。</p> <p>但是上周先是有用戶在<a href="https://github.com/sickcodes/Docker-OSX/issues/799" target="_blank">Reddit</a>反映找不到這個儲存庫。作者Sickcodes也在<a href="https://x.com/sickcodes/status/1828696525834457186" target="_blank">X證實</a>，在Docker Hub帳下的Docker-OSX儲存庫及所有映像檔、標籤等內容全遭到刪除，且沒有接到任何通知。隨後Docker方面<a href="https://x.com/Docker/status/1828850335328223434" target="_blank">回應</a>，這個儲存庫在蘋果以違反《數位千禧年版權法案》（Digital Millenium Copyright Act，DMCA）為由要求下移除。Docker同時也出示了代表蘋果的律師事務所的電子郵件，指出蘋果對macOS的安裝器和安裝擁有獨家權利，Docker-OSX的映像檔則是在未經授權下重製蘋果內容。此種未授權重製蘋果內容的行為，是侵害版權行為，並違反DMCA。因此蘋果要求Docker移除Docker-OSX目錄下的macOS安裝器及安裝映像檔。</p> <p>Sick.Codes對Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/docker-osx-image-used-for-security-research-hit-by-apple-dmca-takedown/" target="_blank">表示</a>，蘋果的作法違反了該公司善意安全研究專案（good-faith security research project）的精神。這個專案允許研究人員在蘋果抓蟲獎勵方案下測試其產品，Sick.Codes說他也曾經向微軟通報漏洞。但他表示，他協助蘋果安全研究的熱忱不會因此動搖，他還是會持續研究。</p> </div></div></div>
2024/9/2 12:04作者林妍溱https://www.ithome.com.tw/news/164805
Amazon傳10月發表新Alexa AI，要使用Claude AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>路透社<a href="https://www.reuters.com/technology/artificial-intelligence/amazon-turns-anthropics-claude-alexa-ai-revamp-2024-08-30/" target="_blank">報導</a>，由於自家研發效果不盡如人意，Amazon付費版AI助理Alexa預計10月中推出，將使用Anthropic的Claude AI模型。</p> <p>報導指出，使用自家模型的Remarkable Alexa在理解和處理用戶輸入文字和提示效能不佳，有時要6、7秒才能回應用戶，因而將使用Amazon投資的新創公司Anthropic開發的Claude為底層AI模型。</p> <p>消息人士透露，規劃中的Remarkable Alexa將收取5-10美元月費，預計提供新聞重點整理、AI輔助購物、以及兒童導向的聊天機器人等功能，但Amazon也將保留免費版的Alexa。報導指出，Remarkable Alexa預計10月推出，但之前會先在9月例行的裝置和服務發表大會上展示。</p> <p>Amazon去年<a href="https://www.ithome.com.tw/news/158265" target="_blank">改組</a>Alexa開發部門，要用生成式AI改造Alexa助理。類似Google Gemini，Amazon的計畫是推出付費訂閱的Remarkable Alexa服務，原本預訂6月推出，但引發內部雜音，因為部分員工<a href="https://www.ithome.com.tw/news/160943" target="_blank">認為</a>技術不夠成熟。</p> <p>此外有前員工<a href="https://x.com/mihail_eric/status/1800578001564057754" target="_blank">指出</a>，AIexa AI開發不如預期其來有自，像是過於繁瑣的行政流程，加上IT開發資源不足，阻礙Alexa的AI訓練資料取得及資源的取得，而組織零碎化難以開發協同實現也讓Alexa AI開發牛步。</p> <p>但Amazon否認是棄自家資產改用別人的技術，表示在機器學習上，Amazon會先使用自己的研發成果，如Titan，但同時也會使用多種合作夥伴的AI模型。</p> <p>為追趕競爭者，Amazon尋求引入外部資源。例如Amazon三月<a href="https://www.ithome.com.tw/news/162016" target="_blank">完成</a>對Anthropic 40億美元投資，也是該公司歷來最大金額投資。</p> <p>除了投資生成式AI公司，Amazon上周並<a href="https://www.aboutamazon.com/news/company-news/amazon-covariant-ai-robots" target="_blank">宣布</a>將聘請AI機器人新創公司Covariant共同創辦人以強化生產線AI機器人的能力。Covariant三名創辦人包括Pieter Abbel、Peter Chen和Rocky Duan，以及該公司1/4的員工將加入該公司的交付技術暨機器人團隊（Fulfillment Technologies & Robotics Team），並將授權其機器人基礎模型。</p> </div></div></div>
2024/9/2 12:15作者林妍溱https://www.ithome.com.tw/news/164806
【資安週報】2024年8月26日到8月30日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在8月最後一週的漏洞消息中，有5個漏洞利用狀況，其中金山WPS Office零時差漏洞CVE-2024-7262遭韓國駭客挖掘並利用最受矚目，因為金山應該早就知道漏洞已被利用的情況，並且悄悄在前幾個月就修補一小部分，再加上通報後金山的回應出現矛盾狀況，使得研究人員公開揭露這兩個漏洞，並且發布這次研究報告來僅告金山用戶。</p> <p>●韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace<br /> ●2個已遭利用零時差漏洞情形與Chrome有關，Google分別修補了存在V8的漏洞CVE-2024-7971、CVE-2024-7965。<br /> ●開源ERP系統Apache OFBiz在8月初修補的漏洞CVE-2024-38856，月底時被美國CISA列入已知漏洞利用清單<br /> ●WordPress外掛程式LiteSpeed Cache修補漏洞CVE-2024-28000，一週後已發現有鎖定的攻擊行動。</p> <p>還有一個是先前Versa Director零時差利用的後續消息，如今攻擊者的身分被揭曉，是中國國家級駭客Volt Typhoon所為，並且是美國電信業者旗下資安團隊揭露，指出有5家業者遭入侵，涵蓋ISP電信商業與MSP服務託管供應商，並說明早在6月就有鎖定的攻擊行動，而修補也是在當時就釋出。</p> <p>在資安威脅態勢上，我們列出5個重點新聞，其中下列第一則是前所未見的重導NFC、竊取感應支付的犯罪手法，由於在捷克已有3家銀行客戶受害，值得留意；第二則反應了新的APT威脅態勢，俄羅斯駭客APT29疑似取得商業間諜組織（CSV）的攻擊程式並加以改造，因為近期APT29使用的攻擊工具非常類似Intellexa與NSO Group開發的攻擊程式。</p> <p>●出現使用NFCGate的流量分析開源工具並重導NFC通訊流量的攻擊手法，可將受害者Android手機內的支付卡資訊傳給駭客。<br /> ●俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式<br /> ●RansomHub攻擊行動使用可破壞EDR運作的新版惡意驅動程式PoorTry<br /> ●發現新一款鎖定macOS攻擊的竊資軟體Cthulhu Stealer<br /> ●保險公司旗下風險管理業者揭露名為sedexp的Linux惡意軟體，會濫用Linux核心的裝置管理系統udev的規則，並在網頁伺服器竊取信用卡資料。</p> <p>至於資安事故焦點方面，美國西雅圖Tacoma國際機場（SEA）在24日傳出疑似遭到網路攻擊，且數天都還沒有恢復，不止影響網站、郵件系統等數個系統網路中斷，也影響行李托運相關的系統。</p> <p>在國內，則傳出一起因資安檢測引發駐點工程師誤刪檔案的事故，發生在勞動部勞動力發展署（勞發署）高屏澎東分署。該分署當日已證實廠商人員維護時發生人員作業疏失，造成部分電腦本機備份資料遭到刪除。</p> <p>不過，自由時報的報導中還透露更多消息，像是有484部電腦受影響，並提到廠商工程師是為了資訊安全檢查，將電腦D槽內檔案全部加密，包含歷年資料及正在進行的計劃都被刪光。但由於陳述較為凌亂、事件脈絡未能完全疏理，這讓外界更好奇事發經過，但目前也很難以釐清事件經過與原因。</p> <p>在國內資安社群動向方面，今年臺灣駭客年會（HITCON）社群場的舉辦，有多場精彩的漏洞挖掘經驗的公開。包括：戴夫寇爾資安研究人員蔡政達（Orange Tsai）闡釋Apache HTTP Server方面的研究，說明Confusion Attacks的新攻擊面；還有楊安傑（Angelboy）公開在Pwn2Own Vancouver 2024中攻下Windows 11的成果，並闡釋對於Kernel Streaming的研究歷程。而在本次大會活動方面，最特別是我們看到半導體封裝測試大廠日月光的參與，相當難得，他們資安團隊並設計了一個SOC事件調查的情境解題遊戲。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164701"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月26日】Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕</span></strong></a></h3> <p>加密即時通訊軟體Telegram近年來已成為許多駭客在從事網路犯罪的過程濫用的平臺，包括駭客之間用來討論如何犯案，或是用來代管、散布惡意軟體，甚至有人將Telegram頻道充當C2中繼站，這樣的情況也引發政府單位認為該平臺管理不力，逮捕其負責人的情況。</p> <p>值得一提的是，在為期超過2年的烏克蘭戰爭裡，不僅兩國駭客利用該平臺從事網路攻擊，就連政府高層也藉此向對方放話。</p> <h3><a href="https://www.ithome.com.tw/news/164717"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月27日】WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用</span></strong></a></h3> <p>為了提升使用者瀏覽網站的體驗，許多WordPress網站可能會導入外掛程式LiteSpeed Cache，但最近開發商修補的重大層級漏洞CVE-2024-28000，已有實際攻擊行動出現。</p> <p>由於此外掛程式全球有超過500萬個網站採用，但事隔一週仍有近4成尚未修補而成為駭客下手的目標。值得留意的是，該外掛程式今年已二度遭遇大規模漏洞攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164736"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月28日】Versa Director零時差漏洞成中國駭客用來入侵ISP的管道</span></strong></a></p> <p>本週SASE供應商Versa Networks發布了一則不太尋常的資安公告，提及SD-WAN管理主控臺Versa Director的高風險遭到APT駭客利用，他們將協助客戶儘速緩解漏洞。</p> <p>值得留意的是，該公司已於6月下旬發布修補程式，但為何事隔2個月特別發布資安公告？很有可能與近期電信業者Lumen公布相關攻擊事故有關，Lumen指出，這項漏洞在Versa修補之前就遭到利用。</p> <p><a href="https://www.ithome.com.tw/news/164763"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月29日】破壞EDR系統運作，惡意驅動程式PoorTry出現新手法</span></strong></a></p> <p>為了避免端點防護系統干擾勒索軟體加密檔案，最近2至3年，駭客利用含有弱點的驅動程式來達到目的，其中一款名為PoorTry的惡意驅動程式，最近引起研究人員高度關注。</p> <p>研究人員特別提及，此惡意驅動程式也納入了資料破壞軟體（Wiper）的功能，而能刪除EDR系統的EXE、DLL元件，使其無法再度運作。</p> <p><a href="https://www.ithome.com.tw/news/164780"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【8月30日】殭屍網路病毒Mirai變種透過陞泰網路攝影機漏洞散布</span></strong></a></p> <p>本月初美國網路安全暨基礎設施安全局（CISA）針對臺廠陞泰科技（Avtech）旗下的視訊監控攝影機漏洞提出警告，並指出廠商尚未提供修補程式，但已有攻擊行動出現。究竟該漏洞如何被用於攻擊，通報此事的資安業者最近透露更多資訊。</p> <p>他們提及駭客用來植入殭屍網路病毒Corona Mirai的情況，而這是約自2020年出現的Mirai變種病毒。</p> <p> </p> <p><strong><span style="color: rgb(255, 0, 0);">本星期漏洞利用狀況一覽表</span></strong></p> <p>零時差漏洞利用：3個</p> <p>CVE-2024-7262 ／ WPS Office漏洞（今年3月悄悄修補且未公開有攻擊行動，2024年8月28日ESET對外示警）<br /> CVE-2024-7971 ／ Chrome V8漏洞<br /> CVE-2024-7965 ／ Chrome V8漏洞</p> <p>本星期已知漏洞遭利用：2個</p> <p>CVE-2024-38856／ Apache OFBiz漏洞（8月5日公開，8月28日警告已遭利用）<br /> CVE-2024-28000／ WordPress外掛程式LiteSpeed Cache漏洞（8月21日公開，事隔一週兩家資安業者警告已遭利用）</p> </div></div></div>
2024/9/2 10:01作者羅正漢https://www.ithome.com.tw/news/164797
Elastic與AWS授權爭議落幕，Elasticsearch重新提供開源授權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elasticsearch原廠Elastic與雲端供應商AWS在2019年，為了Elasticsearch的授權槓上，不只隔空發文相互指責甚至對簿公堂。不過，就在2022年的時候，雙方就商標侵權訴訟中達成和解，並進一步深化合作。最新的發展是<a href="https://www.elastic.co/blog/elasticsearch-is-open-source-again">Elasticsearch重新提供開源授權，供使用者選擇使用AGPL（Affero General Public License）</a>。</p> <p>這起事件始可以追溯到2018年，當時AWS指控Elastic雖然Elasticsearch採用Apache 2.0授權，但是卻在程式碼庫中混入部分專有程式碼，使得Elasticsearch雖然名義上是開源專案，實際上卻轉向私有化，導致許多使用者在不知情的情況可能違反授權規範。為此AWS聯合Expedia、Netflix等公司合作，分叉了一個新的Elasticsearch開源版本。</p> <p>Elastic與AWS的戰爭，發生在開源軟體開發商和雲端服務供應商間矛盾加劇之際。雲端公司被指利用開源軟體賺錢，透過所謂露天採礦（Strip-Mining），也就是從開源社群挖掘軟體資源，將其重新包裝或是稍作修改後，作為自家商業服務銷售，卻又不回饋社群。</p> <p>當時包括MongoDB、Redis和CockroachDB等開源專案，都不滿雲端廠商用其開源專案推出雲端服務，不開源修改後的程式碼且不付費，因此接連修改授權限制雲端廠商的使用。Elasticsearch也在2021年的時候，宣布將Elasticsearch和Kibana從原本的Apache 2.0轉換到SSPL（Server Side Public License）以及Elastic雙授權。</p> <p>由於諸如SSPL這類授權未被開放原始碼促進會（OSI）認可為開源授權，雖然允許一定程度的自由使用和修改，並且目的在於保護軟體創作者的權益，對一般使用者來說仍擁有頗大的靈活性，但是對於商業和雲端使用情境則有更多限制，因此在嚴格的開源社群標準下，並不被視為真正的開源授權。</p> <p>AWS後來將Elasticsearch分叉版本更名為OpenSearch，Elastic和AWS的僵局在2022年得到解決，雙方就侵權訴訟達成協議並同意繼續合作，Elastic正式成為AWS的合作夥伴，降低了AWS與Elastic雲端服務的整合障礙，使雙方用戶受益。</p> <p>Elastic認為當初調整Elasticsearch使用SSPL和自家授權的目的已經達成，成功解決AWS當初分叉Elasticsearch所引發的混亂，因此現在Elasticsearch和Kibana除了SSPL和ELv2雙授權，還進一步第三種AGPL授權供使用者選用。</p> <p>AGPL是一個OSI認可的開源授權，要求在網路服務中使用和修改軟體時必須公開原始碼。與傳統的GPL相比，AGPL更適合網路應用和雲端服務，確保所有修改都必須共享。Elastic選擇AGPL作為授權選項之一，表達了他們對開源社群的承諾，也期望消除當初修改Elasticsearch和Kibana授權所引發的爭議。</p> </div></div></div>
2024/9/2 08:22作者李建興https://www.ithome.com.tw/news/164799
數位部擬於12月提出公務機關AI應用指引，要教機關評估AI工具、專案管理及做好風險控管
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位部正規畫2026年到2030年政府轉型發展目標，然而在2026年之前，數位部將先祭出配套措施，引導政府機關嚐試導入AI，其中之一是目前正在研擬中，預計今年12月將釋出的政府機關AI應用指引，數位部數位政府司長王誠明將其比喻為電玩攻略，數位部自己則將扮演教練，輔導玩家（機關）依照應用指引以達成轉型目標。</p> <p>王誠明表示，大型政府機關因擁有的資源較多，很早便投入發展AI應用，例如數據分析型AI或辨識型AI，相較於這些優等生，有的機關可能因為資源有限，或曾經測試AI應用，但發現相關的資料整備不足，服務訓練等配套做法也需調整，最終可能回到既有的做法，數位部希望拉齊各機關的水平，除了規畫中的2026年到2030年大型發展計畫，數位部也提出相關配套措施，如AI人才培訓，以及供機關導入AI之前的試驗環境，評估適合機關自己的LLM模型，還有供政府機關參考的AI應用指引。</p> <p>相較於行政院及所屬機關（構）使用生成式AI參考指引，從規範面要求公務人員使用生成式AI不得使用機敏資料，不得以生成式AI產生內容直接取代承辦人員客觀及專業判斷，需經過人工審核等等，透過規範面避免公關機關錯誤運用AI。</p> <p>王誠明認為這些屬於管制面的規範，缺少教導機關如何發展AI應用，「如同沒有教你怎麼開車，因此透過AI應用指引教導你如何開車」，他說。</p> <p><span style="color:#B22222;"><strong>歐盟將AI應用風險分為4級</strong></span></p> <p>然而在導入AI之前，應該先建立AI風險管理，避免AI帶來負面影響。依照國科會提出我國的人工智慧基本法第十條規定，應由數位部參國際標準或規範，提出與國際介接的人工智慧風險分級框架，王誠明指出，數位部尚未提出我國風險分級框架，數位部未來會參考國際規範，例如歐盟的AI Act法案風險管理框架、美國NIST提出的風險管理框架AI RMF等。</p> <p>以歐盟為例，AI Act將AI風險畫分為4級，不可接受的風險（Unacceptable Risk）、高風險（High Risk）、有限風險（Limited Risk）、最低風險（Minimal Risk），各自有其對應的義務及限制。不可接受的風險，例如在公共場所進行即時遠距生物辨識，或是對人們進行評分，以決定其待遇，或是利用潛意識、人類脆弱性的AI系統；高風險，指需要受到嚴格監管及評估的AI系統，例如應用在電力或交通等基礎建設、執法、邊境管理、僱用及勞動管理的AI系統等等。</p> <p>有限風險，需要滿足一定程度的公開透明義務，例如AI生成的內容需要標示AI生成，高擬真的AI客服，需要告知人們正與AI互動；至於最低風險，不需要特別的監管措施，例如AI驅動遊戲、垃圾郵件過濾等。</p> <p>換言之，除了不可接受的風險、最低風險之外，歐盟認為其他程度風險因為帶來的影響性，需要伴隨一定的人為監管措施。</p> <p><span style="color:#B22222;"><strong>AI應用指引涵蓋AI知識、評估、導入、營運管理</strong></span></p> <p>那麼數位部今年底將釋出的AI應用指引，可以為公務機關帶來哪些幫助？</p> <p>對此，王誠明表示，未來AI應用指引內容並非固定不變，會根據AI發展動態調整指引，鑑於公務人員面臨的問題，例如調查發現公務人員仍有不低的比率對AI的基本知識不足，因此未數位部的AI應用指引將包括AI基本知識，讓團隊成員得以溝通，讓公務人員具備寫AI採購的RFP能力。另外，考慮到缺乏符合機關需求的AI專案說明、實作面說明，未來AI應用指引也會提供AI專案管理所需知道的流程、檢核表，讓公務人員對AI專案管理有一定的認知，檢視專案各個階段是否達到其需求。</p> <p>數位部正由專家協助研擬AI應用指引，未來AI應用指引的內容將涵蓋AI概念介紹、AI服務評估、AI服務導入、AI營運管理4大章節，共23個子章節。「如同教導學習開車的步驟，拉上安全帶，發動引擎，放掉手煞車」，他說。</p> <p>AI概念介紹，包括AI的定義、幫助及限制、類別、法規，並且收錄公部門的應用實例，應用指引將AI分為辨別式AI及生成式AI，並介紹兩種類型各自的優缺點，適合的應用。</p> <p>AI服務評估方面，主要協助機關評估AI是否為適合的解決方案，包含機關面臨的問題如何定義、資料狀態是否準備妥當、政府公開的AI實證；AI服務導入，包含導入模式、AI專案過程、AI專案驗收標準等等；AI營運管理，涵蓋風險管理、倫理議題、資安、AI治理等等。</p> <p>數位部透露應用指引將AI專案生命周期分為5個階段，涵蓋AI場景評估，確認需求評估合適的解決方法，建置AI專案確認團隊成員，到資料準備及模型開發、測試及迭代、風險控制及專案追蹤，每個階段有其對應的目標及任務，數位部建議機關可以將流程導入整體的規畫，在公務人員在專案流程中得到指引。</p> <p>王誠明指出，AI專案管理比較困難的是，如何驗收AI專案，AI應用儘管合乎邏輯，但是仍可能因為資料產生偏誤，換言之，正常的訓練可能產生錯誤的結果，專案驗收時需要特別考慮偏誤的問題。未來AI應用指引對於專案驗收提供4個面向的驗收指標，包括模型性能標準、系統穩定性、使用者體驗標準、公平性指標，由於AI仍在發展中，因此指標也隨著變動。</p> <p>生成式AI帶動新一波AI應用後，王誠明表示，目前公務機關的生成式AI應用場景，以智慧客服、生成摘要，他認為這些僅是目前初步的用法，未來生成式AI將有更大潛力，例如服務流程設計，如何讓服務可以更有效率、更符合民眾的需求，甚至未來可以期待，針對民眾的需求設計服務流程。</p> <p> </p> </div></div></div>
2024/8/30 18:26作者蘇文彬https://www.ithome.com.tw/news/164798
勞發署驚傳駐點工程師誤刪檔案，影響484臺電腦硬碟資料，勞發署表示已陸續恢復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="http://news.ltn.com.tw/news/life/breakingnews/4782686">自由時報8月28日的報導</a>，勞動部勞動力發展署（勞發署）高屏澎東分署在22日委託廠商進行資安檢查，傳出駐點工程師輸錯代碼，導致高屏澎東分署各科室484臺電腦硬碟D槽檔案全數刪除的離譜情況，事發後勞發署資訊室尋求微軟協助，但最後只能救回部分資料，大部分透過微軟加密工具處理的檔案無法救回。</p> <p>對此，高屏澎東分署同日發布新聞稿做出說明，<a href="https://www.wda.gov.tw/News_Content.aspx?n=30&s=16906">證實此為廠商維護個人電腦作業的過程中</a>，因人員作業疏失，造成部分電腦本機備份資料遭到刪除，隨後就對誤刪資料進行處置，這些電腦當天就陸續復原。</p> <p>他們強調這起事故並非駭客入侵，亦無資料外洩的情況，機關所有服務及系統皆正常運作，並未因此事而受到中斷。未來高屏澎東分署將強化資訊設備維護作業程序管控，重新檢視資安管理制度，要求廠商加強資安教育訓練。</p> <p>不過，這起事故發生的過程，上述的公告並未提出說明。</p> <p>詭異的是，當天稍早自由時報引述知情人士的說法當中曾提到，這起事故被定調為「1130822事件」，與近期的資安檢查有關，為了檢查，所有人員將電腦D槽檔案加密，這些包含了歷年檔案及正在進行中的專案資料，而且影響範圍不只分署科室，屏東、台東、澎湖等就業中心的外部網站硬碟資料，也無法倖免。</p> <p>然而，這篇報導提到的狀況，也有幾個令人無法理解的地方。</p> <p>第一，工程師輸錯代碼導致資料刪除的情況。究竟什麼「代碼」能導致這樣的錯誤？</p> <p>第二，為何單位資安檢查會需要刪除如此大量的電腦檔案？用加密方式保護檔案，與檔案刪除理論上是兩件事情，這中間的關係是什麼？</p> <p>第三，為何要復原被刪除的檔案是透過線上救援請微軟公司協助，而非資訊部門或委外廠商處理？</p> <p>第四，被刪除的檔案多為與公務無直接關聯的私人檔案，有復原的必要嗎？</p> <p>第五，復原作業的過程中透過微軟加密工具加密的檔案救不回來？</p> <p>除此之外，該單位竟然容許使用者會把私人檔案存放於公務電腦，而到資安檢查才把D槽檔案加密處理迴避，也讓人感到訝異。</p> <p>其中，關於誤刪大量檔案的狀況，網路社團流傳的一種說法，是這名工程師本來下達刪除D槽所有EXE執行檔<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">的指</span>令，但將指令中的*.exe誤鍵為* .exe（星號後面多一個空白），而變成刪除D槽所有檔案的情況。但是否真是如此，也不得而知。</p> </div></div></div>
2024/8/30 11:51作者周峻佑https://www.ithome.com.tw/news/164774
【資安日報】8月30日，殭屍網路病毒Mirai變種透過陞泰網路攝影機漏洞散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月初美國網路安全暨基礎設施安全局（CISA）針對臺廠陞泰科技（Avtech）旗下的視訊監控攝影機漏洞提出警告，並指出廠商尚未提供修補程式，但已有攻擊行動出現。究竟該漏洞如何被用於攻擊，通報此事的資安業者最近透露更多資訊。</p> <p>他們提及駭客用來植入殭屍網路病毒Corona Mirai的情況，而這是約自2020年出現的Mirai變種病毒。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164771"><strong style="font-size: 22px;">臺廠陞泰網路攝影機韌體漏洞被用於散布Mirai變種病毒</strong></a></p> <p>8月初美國網路安全暨基礎設施安全局（CISA）提出警告，臺灣視訊監控解決方案業者陞泰科技（Avtech）旗下的視訊監控攝影機存在命令注入漏洞CVE-2024-7029，已被用於攻擊行動但尚未修補，本週通報此事的資安業者Akamai公布相關細節。</p> <p>研究人員發現，攻擊者利用這項漏洞，從去年12月開始散布稱為Corona Mirai的Mirai變種。此殭屍網路病毒疑似2020年就開始活動，在這波攻擊中，這隻惡意程式以23、2323、37215埠，透過Telnet連線存取大量主機或受害裝置，還會在感染主機的控制臺列印出Corona字串。值得留意的是，此漏洞的概念性驗證程式碼（PoC），在5年前就被公開。</p> <p><a href="https://www.ithome.com.tw/news/164777"><strong style="font-size: 22px;">俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式</strong></a></p> <p>Google威脅分析小組（TAG）指出，他們在利用蒙古政府網站展開水坑攻擊的活動中，發現了俄羅斯駭客APT29所使用的攻擊工具，非常類似商業監控業者（Commercial Surveillance Vendors，CSV）Intellexa與NSO Group開發的攻擊程式，但究竟駭客如何取得，研究人員表示不清楚。</p> <p>研究人員指出，APT29所使用的攻擊程式都經過了微幅修改，但與Intellexa或NSO Group的攻擊程式最大的不同在於，最初這些攻擊程式都是利用零時差漏洞，而在APT29使用時，這些漏洞成為已公開的N日漏洞。</p> <p><a href="https://www.ithome.com.tw/news/164779"><strong style="font-size: 22px;">8月20日美國半導體製造商Microchip證實遭遇網路攻擊，部分工廠產能降低</strong></a></p> <p>SEMICON半導體展即將於下週登場，而半導體資安已是近年來的焦點，上週恰巧有半導體業者遭到網路攻擊，再度突顯這個領域的資安重要性。</p> <p>苦主是微控制器和類比元件製造商Microchip，他們前一陣子向美國證券交易委員會（SEC）呈報8-K表單，通報他們在8月17日偵測到資訊系統出現惡意行為，事隔2天，該公司確認這起事故為未經授權人士擾亂部分伺服器及業務的運作，立即採取相關措施因應，包括隔離、關閉受影響系統，並尋求外部資安顧問協助調查。</p> <p>而對於這起事故帶來的影響，Microchip坦承部分生產設施的營運狀況低於正常水準，將影響他們交付訂單的能力。</p> <p><a href="https://www.ithome.com.tw/news/164774"><strong style="font-size: 22px;">勞發署驚傳駐點工程師誤刪檔案，影響484臺電腦硬碟資料，勞發署表示已陸續恢復</strong></a></p> <p>根據自由時報8月28日的報導，勞動部勞動力發展署（勞發署）高屏澎東分署在22日委託廠商進行資安檢查，傳出駐點工程師輸錯代碼，導致高屏澎東分署各科室484臺電腦硬碟D槽檔案全數刪除的離譜情況，事發後勞發署資訊室尋求微軟協助，但最後只能救回部分資料，大部分透過微軟加密工具處理的檔案無法救回。</p> <p>對此，高屏澎東分署同日發布新聞稿做出說明，證實此為廠商維護個人電腦作業的過程中，因人員作業疏失，造成部分電腦本機備份資料遭到刪除，隨後就對誤刪資料進行處置，這些電腦當天就陸續復原。他們強調這起事故並非駭客入侵，亦無資料外洩的情況，機關所有服務及系統皆正常運作，並未因此事而受到中斷。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.trendmicro.com/en_us/research/24/h/threat-actors-target-middle-east-using-fake-tool.html"><strong style="font-size: 20px;">冒牌Palo Alto Networks的VPN工具鎖定企業而來</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/h/cve-2023-22527-cryptomining.html">Atlassian Confluence重大漏洞遭到利用，攻擊者意圖挾持伺服器挖礦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.huntress.com/blog/advanced-persistent-threat-targeting-vietnamese-human-rights-defenders">越南人權組織成駭客組織APT32的攻擊目標</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164716"><strong style="font-size: 22px;">macOS版微軟M365應用程式存在共通漏洞，攻擊者有機會藉此繞過系統權限</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dylib_injection.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dylib_injection.jpg" style="width: 300px; float: right;" /></a>思科旗下威脅情報團隊Talos在macOS版的Microsoft 365辦公室套裝軟體，最近找到8個漏洞，並指出攻擊者若是將惡意程式庫注入應用程式，就有機會觸發這些漏洞，從而取得使用者授予應用程式的權限，例如：存取麥克風、視訊鏡頭、資料夾、螢幕錄製、使用者輸入等資源，一旦攻擊者掌握這些權限，就有可能洩露敏感資訊，甚至提升權限。</p> <p>研究人員表示，攻擊者可利用這些漏洞得到應用程式已取得的權限，從而繞過作業系統的安全防護框架Transparency, Consent, and Control（TCC），過程中完全不需向使用者取得額外的驗證，只要成功利用漏洞，就能直接取得使用者已授予M365應用程式的所有權限。</p> <p>這些漏洞若遭到利用，可能產生那些後果？研究人員指出，攻擊者可在使用者不知情的情況下利用他們的電子郵件帳號寄信、錄製聲音和影片、拍照，過程中完全無須使用者互動。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://sec.cloudapps.cisco.com/security/center/viewErp.x?alertId=ERP-75417">思科發布NX-OS更新，修補DHCPv6高風險漏洞</a></strong></p> <p></p> <p>◆<a href="https://publisher.hitachienergy.com/preview?DocumentID=8DBD000160&LanguageCode=en&DocumentPartId=&Action=Launch"><strong style="font-size: 20px;">日立修補SCADA電力系統重大漏洞</strong></a></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164763"><strong>【8月29日】破壞EDR系統運作，惡意驅動程式PoorTry出現新手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164736"><strong>【8月28日】Versa Director零時差漏洞成中國駭客用來入侵ISP的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164717"><strong>【8月27日】WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用</strong></a></p> </div></div></div>
2024/8/30 15:38作者周峻佑https://www.ithome.com.tw/news/164780
8月20日美國半導體製造商Microchip證實遭遇網路攻擊，部分工廠產能降低
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SEMICON半導體展即將於下週登場，而半導體資安已是近年來的焦點，上週恰巧有半導體業者遭到網路攻擊，再度突顯這個領域的資安重要性。</p> <p>苦主是微控制器和類比元件製造商Microchip，他們前一陣子向美國證券交易委員會（SEC）<a href="https://www.sec.gov/Archives/edgar/data/827054/000082705424000153/mchp-20240820.htm">呈報8-K表單</a>，通報他們在8月17日偵測到資訊系統出現惡意行為，事隔2天，該公司確認這起事故為未經授權人士擾亂部分伺服器及業務的運作，立即採取相關措施因應，包括隔離、關閉受影響系統，並尋求外部資安顧問協助調查。</p> <p>而對於這起事故帶來的影響，Microchip坦承部分生產設施的營運狀況低於正常水準，將影響他們交付訂單的能力。根據8K表單所示，Microchip提到這起事故仍在調查，對於其影響範圍、攻擊性質，他們還無法確定，關於是否對財務造成重大影響，還需要進一步評估。</p> </div></div></div>
2024/8/30 15:11作者周峻佑https://www.ithome.com.tw/news/164779
可自動化生成程式碼的Codeium完成1.5億美元的C輪增資，估值12.5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供程式碼生成的AI公司Codeium周四（8/29）<a href="https://codeium.com/blog/series-c-annoucement" target="_blank">宣布</a>，已完成1.5億美元的C輪增資，估值12.5億美元。此次的增資是由現有投資者General Catalyst 領投，也是由現有投資者Kleiner Perkins及Greenoaks 參與。</p> <p>Varun Mohan與Douglas Chen在2021年創立了Exafunction，這是一家GPU虛擬化公司，但他們在A輪增資後意識到生成式AI的潛力，決定利用自己的基礎設施來建立一個全棧AI程式碼撰寫平臺Codeium，也在2022年直接更名為Codeium。</p> <p>Codeium定位為基於尖端AI技術的程式碼加速工具套件，目前主要提供兩項功能，一是自動建議並完成程式碼的輸入，二是利用自然語言搜尋儲存庫。它支援逾70種程式語言，表明並非要取代軟體工程師，認為開發人員依然主導及負責所生成的程式碼，強調任何人都不應完成依賴任何東西，即便是超能力。</p> <p>Codeium最受開發人員推崇的是它宣布「永遠」不向個人開發人員收費，而僅向企業<a href="https://codeium.com/pricing" target="_blank">收取</a>管理功能及GPT-4的訂閱費用。這讓成立不到兩年的Codeium已吸引超過70萬名的個人用戶，且企業產品的經常性年收入也已達到8位數（數千萬美元）。目前Codeium約有80名員工。</p> <p>根據<a href="https://techcrunch.com/2024/08/29/github-copilot-competitor-codeium-raises-150m-at-a-1-25b-valuation/" target="_blank">TechCrunch</a>的報導，Codeium甫於今年1月完成6,500萬美元的B輪增資，當時估值為5億美元，不到一年的時間身價即漲了1倍以上。此外，Mohan還向該報表示，迄今根本尚未用到今年1月所募集的資金。</p> </div></div></div>
2024/8/30 14:23作者陳曉莉https://www.ithome.com.tw/news/164778
Google發布三款Gemini 1.5實驗模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://twitter.com/OfficialLoganK/status/1828480081574142227" target="_blank">本周宣布</a>透過Google AI Studio測試數款Gemini模型實驗更新版，宣稱比前代更小、更好、更強大。</p> <p>Gemini 1.5 Flash是介於Pro和最新的Nano之間的輕量級LLM。本周發布的三款實驗模型中，Gemini 1.5 Flash與Gemini 1.5 Pro各有一個品質改進版。根據Google<a href="https://ai.google.dev/gemini-api/docs/models/experimental-models" target="_blank">描述</a>，Gemini 1.5 Pro（gemini-1.5-pro-exp-0827）強化了程式撰寫及對複雜提示的理解能力。而gemini-1.5-flash-exp-0827則是「大幅改善Gemini 1.5-Flash模型」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0830-google%20gemini%20api-model(1).png" style="width: 600px;" /></p> <p>第三個模型是Google為輕量級的Gemini 1.5 Flash推出新的小型參數版本Gemini 1.5 Flash-8B（gemini 1.5 Flash-8B-exp-0827），強調模型能力不輸於參數量較多的Gemini 1.5 Flash。</p> <p>三款模型已透過AI平臺<a href="https://ai.google.dev/" target="_blank">Google AI Studio</a>供開發人員試用。</p> <p>這次宣布前，Google也在8月初<a href="https://developers.googleblog.com/en/gemini-15-flash-updates-google-ai-studio-gemini-api/" target="_blank">宣布</a>Gemini 1.5 Flash大降價、開放微調等新措施。</p> <p>在價格方面，Gemini 1.5 Flash輸入價格為每百萬字詞（token）$0.0751美元，輸出費用為每百萬字詞$0.3美元，各比原先降價78%和71%。</p> <p>Google並宣布Gemini 1.5 Flash開放所有開發人員，透過Gemini API和Google AI Studio以文字微調。AI Studio存取也擴及所有Google Workspace用戶。其他宣布包括Gemini API新增100多種語言查詢支援，以及改版文件UI和API參照。</p> <p>本月Google又<a href="https://www.ithome.com.tw/news/164458" target="_blank">宣布</a>以1.5 Flash為基礎的Gemini Live，能和人流暢對談，挑戰OpenAI進階語音模式。</p> </div></div></div>
2024/8/30 13:30作者林妍溱https://www.ithome.com.tw/news/164776
俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google威脅分析小組（Threat Analysis Group，TAG）近日<a href="https://blog.google/threat-analysis-group/state-backed-attackers-and-commercial-surveillance-vendors-repeatedly-use-the-same-exploits/" target="_blank">揭露</a>，他們在一個利用蒙古政府網站展開水坑攻擊的活動中，發現了俄羅斯駭客APT29所使用的攻擊工具非常類似商業監控業者（Commercial Surveillance Vendors，CSV）Intellexa與NSO Group所開發的攻擊程式，而且就算這些零日（Zero-Day）攻擊程式已變成N日（N-Day）攻擊程式，還是能有效攻擊那些尚未修補的受害者。</p> <p>TAG分別是在去年的11月、今年的2月，以及今年7月觀察到相關攻擊行動。駭客先是危害了蒙古國的官網及外交部網站，再於網站上植入了鎖定iPhone（CVE-2023-41993）及Android（CVE-2024-5274及CVE-2024-4671）漏洞的攻擊程式，藉由水坑攻擊以竊取受害者的憑證Cookie。</p> <p>由於此次的駭客與2021年利用CVE-2021-1879漏洞來攻擊西方政府官員的俄羅斯駭客APT29，都採用了同樣的Cookie竊取框架，使得TAG認為他們是同一批人。</p> <p>此外，TAG還發現駭客在去年11月及今年2月攻陷CVE-2023-41993漏洞的攻擊程式，與Intellexa所開發的攻擊程式非常相似，而在今年7月攻陷CVE-2024-5274的攻擊程式則與NSO Group所開發的很像，所打造的CVE-2024-4671攻擊程式也是從Intellexa的CVE-2021-37973攻擊程式而來。</p> <p>APT29所使用的攻擊程式都經過了微幅修改，但與Intellexa或NSO Group的攻擊程式最大的不同在於，最初這些攻擊程式都是利用零日漏洞，而在APT29使用時，這些漏洞都已被修補，已成為N日漏洞。</p> <p>TAG表示，他們並不確定APT29如何取得相關的攻擊程式，但企圖彰顯這些由商業監控業者所開發的攻擊程式終究會淪落到國家級駭客的手上，此外，水坑攻擊依然是利用N日漏洞的有效途徑，可大規模地針對那些可能沒有修補的使用者進行攻擊。</p> <p>NSO Group與Intellexa都專門開發商業間諜軟體，已分別在<a href="https://www.ithome.com.tw/news/147654" target="_blank">2021年</a>11月及<a href="https://www.state.gov/the-united-states-adds-foreign-companies-to-entity-list-for-malicious-cyber-activities-2/" target="_blank">去年</a>7月被列入美國《實體名單》（Entity List），美國政府認定它們參與惡意網路活動，禁止美國個人及業者與其交易。</p> </div></div></div>
2024/8/30 13:46作者陳曉莉https://www.ithome.com.tw/news/164777
【iThome 2024 CIO大調查系列6】2024年政府學校新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1196-zheng_fu_xue_xiao_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了強化數位韌性，數位轉型與資安轉型仍舊是政府學校CIO今年的重要目標，這兩類預算是八大投資中的最大宗，雲端投資的比重這兩年明顯提高，今年成長到2千多萬元。政府學校今年的新興技術採用態勢，也和去年有很大的不同，尤其是「智慧國家」成了政府機關新的政策方向下，不只積極要求公務人員人人開始學GAI，也讓各種資料與AI新興技術在今年的排名竄升，成了各產業中該類爆紅技術最多的產業。</p> <p>政府學校今年有多項資料與AI技術爆紅，包括了GAI技術、行動AI應用、AIoT、負責任AI，另外也有不少政府機關今年要建置，讓碳足跡儀表板的採用率排名大躍升。在基礎架構上，邊緣運算架構的採用率排名也爆增，成了政府機關IT基礎架構中的爆紅技術。</p> <p>ChatGPT類應用、非生成式AI/ML應用、RPA流程自動化和資料湖仍是政府學校載資料和AI類技術的主流，在AP架構與開發上，微服務架構、OpenAI架構、敏捷開發、DevOps和DevSecOps都是主流。而和其他產業一樣，多雲混合雲架構和K8s容器技術也都是在IT基礎架構的主流。</p> <p>不過，政府學校也有多項主流新興技術的採用率，今年開始下滑，有些則進入停滯狀態，值得留意，今年採用率下滑的主流技術包括了K8s容器技術與DevOps，而進入停滯的主流技術則包括了敏捷開發、Open API架構和非生成式AI/ML應用這三項主流應用。</p> <p>另外，5G專網、無伺服器技術、SBOM軟體物料清單和平臺工程的採用率今年都嚴重下跌超過5名，這幾項落入了退燒技術，其中5G專網不只排名大幅下滑，採用率今年也比去年更低。年下滑，今年也進入停滯。另外還有三項採用率歸零的新興技術，包括了原本政府學校就少見的混沌工程，以及MLOps和向量資料庫。</p> <p> </p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1196-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-%E6%94%BF%E5%BA%9C%E5%AD%B8%E6%A0%A1-(170)-600-%E5%B0%8F%E5%9C%96.png" style="width: 600px;" /></a></p> <p><strong style="white-space-collapse: preserve; color: rgb(128, 128, 128); font-family: Arial, sans-serif; font-size: 14.6667px; background-color: rgb(247, 247, 247);">技術雷達圖設計說明：</strong><span style="white-space-collapse: preserve; color: rgb(128, 128, 128); font-family: Arial, sans-serif; font-size: 14.6667px; background-color: rgb(247, 247, 247);">38項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「其它新興科技」，再按照2023與2024年的熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（去年到今年的排名上升5名者）、主流技術（今年預估採用率超過整體平均採用率13.7%）、崛起技術（今年預估採用率低於整體平均採用率 13.7%）和最外圈是退燒技術（今年比去年的排名下滑5名者）。同一圈中2024年預估採用率越高者，越靠近核心。紅色三角形代表企業採用率的增加幅度（增加超過5%者1個紅三角，超過10%者2個紅三角），綠色三角代表該項今年採用率減少者。兩年相比，採用率相同者，以黑色三角來帶代表。位於第四圈外者代表今年採用率降到0%。</span></p> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> <p><a href="https://www.ithome.com.tw/article/164659" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1196-feng_mian_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=Xk3ieTol" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 12:26作者王宏仁https://www.ithome.com.tw/article/164658
【iThome 2024 CIO大調查系列6】2024年高科技製造業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1196-gao_ke_ji_zhi_zao_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安、企業永續和AI是高科技製造業CIO今年並重的三大IT目標。ESG永續目標的優先順序還比去年提高了一名。2成高科技業已經開始採用生成式Ai應用，少數高科技業者甚至開始擴大採用規模，另有四成正在準備導入中。在高科技製造中，IT往往是內部先期採用GAI技術的單位，許多技術性工作開始採用GAI來輔助，3成企業的IT也懂得用GAI學習新技能。</p> <p>高科技製造業今年的技術採用態勢和去年有很大的不同，GAI技術、碳足跡儀表板、FIDO、DevSecOps和SBOM軟體物料清單和AIOps是採用率排名竄升的爆紅技術從爆紅技術項目，就可以看出高科技製造業今年三軸轉型並重策略下的技術布局調整。</p> <p>其中，又以GAI技術、碳足跡儀表板、DevSecOps和AIOps這四項技術，不只今年的排名暴增，採用率也大增，不論哪一項，都比去年多了15%的企業，今年要開始採用。K8s容器技術、多雲混合雲架構仍是IT基礎架構的主流，不過，多雲架構的採用率正在下滑，值得觀察後續發展。高科技製造業是相對積極開始衡量上雲成本的產業，FinOps採用趨勢開始在高科技業崛起。</p> <p>有幾項技術今年跌落到退燒技術的範疇，值得留意，尤其是IT基礎架構上，5G專網、SDDC軟體定義資料中心和SRE，另外，AIoT、區塊鏈技術和GitOps的技術也落入退燒區。這些技術的採用率不是下滑，就是停滯不動，被其他新興技術快速超越了。與數位雙生相關的AR/VR元宇宙應用，今年的採用率也有點下滑，快要跌出崛起技術的區域。</p> <p> </p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1196-%E9%AB%98%E7%A7%91%E6%8A%80%E8%A3%BD%E9%80%A0-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-%E9%AB%98%E7%A7%91%E6%8A%80%E8%A3%BD%E9%80%A0-600-%E5%B0%8F%E5%9C%96-PNG.png" style="width: 600px;" /></a></p> <p class="rtecenter"><strong style="color: rgb(128, 128, 128); font-family: Arial, sans-serif; font-size: 14.6667px; white-space-collapse: preserve;">技術雷達圖設計說明：</strong><span style="color: rgb(128, 128, 128); font-family: Arial, sans-serif; font-size: 14.6667px; white-space-collapse: preserve;">38項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「其它新興科技」，再按照2023與2024年的熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（去年到今年的排名上升5名者）、主流技術（今年預估採用率超過整體平均採用率13.7%）、崛起技術（今年預估採用率低於整體平均採用率 13.7%）和最外圈是退燒技術（今年比去年的排名下滑5名者）。同一圈中2024年預估採用率越高者，越靠近核心。紅色三角形代表企業採用率的增加幅度（增加超過5%者1個紅三角，超過10%者2個紅三角），綠色三角代表該項今年採用率減少者。兩年相比，採用率相同者，以黑色三角來帶代表。位於第四圈外者代表今年採用率降到0%。</span></p> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> </div></div></div>
2024/8/30 11:34作者王宏仁https://www.ithome.com.tw/article/164635
【iThome 2024 CIO大調查系列6】2024年一般製造業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1196-yi_ban_zhi_zao_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從疫情解除後，ESG浪潮和數位轉型的趨勢化，持續帶動一般製造業加碼IT投資，其中，IT現代化是一般製造今年的IT發展重點，也帶動了今年一般製造業在DevOps的投資，資安和ESG轉型則持續推動，這兩項都是一般製造業CIO今年相當重要的目標。</p> <p>多雲混合雲架構是一般製造業基礎架構的主流，人手不足情況下，免程式碼開發技術成了一般製造業的重要工具，是AP架構與開發類的主流。超過5成的一般製造業今年將優先完成碳盤查及碳足跡監測的系統化工作，碳足跡儀表板建置也是主流新興技術。</p> <p>雖然一般製造業今年大數據投資下滑，但是他們對於各項資料與AI技術的採用率，依舊非常積極。現成的ChatGPT類應用、RAP流程自動化、非生成式的AI/ML應用和AIoT都是一般製造業的主流資料與AI類技術。</p> <p>值得注意的是，非生成式的AI/ML應用雖然仍是主流，但是採用率今年沒有繼續增加，反倒是GAI技術開始急起直追，正逼近1成的採用率。</p> <p>平臺工程和FIDO網路身分識別，意外的成了一般製造業的兩項爆紅技術，不少一般製造業今年想要採用平臺工程，這也讓這項技術今年的排名突然竄升超過5名，成了一般製造業的爆紅技術。而智慧工廠、智慧物聯網的應用則帶動了FIDO網路身分識別的採用率，成了另一項排名爆紅的技術。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1196-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600-%E5%A4%A7%E5%9C%96-PNG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-%E4%B8%80%E8%88%AC%E8%A3%BD%E9%80%A0-600-PNG.png" style="width: 600px;" /></a></p> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"><span style="color:#808080;"><span id="docs-internal-guid-88a09a9a-7fff-9de9-ef19-f3a4afda4dd0"><span style="font-size: 11pt; font-family: Arial, sans-serif; background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"><strong>技術雷達圖設計說明：</strong>38項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「其它新興科技」，再按照2023與2024年的熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（去年到今年的排名上升5名者）、主流技術（今年預估採用率超過整體平均採用率13.7%）、崛起技術（今年預估採用率低於整體平均採用率 13.7%）和最外圈是退燒技術（今年比去年的排名下滑5名者）。同一圈中2024年預估採用率越高者，越靠近核心。紅色三角形代表企業採用率的增加幅度（增加超過5%者1個紅三角，超過10%者2個紅三角），綠色三角代表該項今年採用率減少者。兩年相比，採用率相同者，以黑色三角來帶代表。位於第四圈外者代表今年採用率降到0%。</span></span></span></p> <div> </div> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> <p><a href="https://www.ithome.com.tw/article/164659" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1196-feng_mian_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=Xk3ieTol" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 11:35作者王宏仁https://www.ithome.com.tw/article/164634
【iThome 2024 CIO大調查系列6】2024年服務業新興技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1196-fu_wu_ye_-960-jpg.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even"> <p>iThome</p> </div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>連續三年IT預算兩位數成長的服務業，特別積極擁抱GAI技術浪潮，數位轉型預算今年也達到兩位數的13.1%之高。服務業向來是最積極擁抱公雲的產業，過去幾年積極採用DevOps，今年進一步開始重視開發安全左移的DevSecOps。</p> <p>服務業今年有四大爆紅技術，包括了DevSecOps 、GAI技術、FIDO網路身分識別和5G專網。</p> <p>臺灣開放5G專網的申請在今年6月剛滿一年，根據數位產業署的統計，臺灣企業導入5G專網的應用類型，以智慧工廠類應用最大宗，約占3成，但是有2成3的5G專網應用是智慧展演，7.7%則用於智慧旅遊，這兩項應用成果，也帶動了5G專網技術突然成了服務業今年的爆紅技術。為了降低數位通路的摩擦力，服務業在FIDO網路身分識別的採用率今年也增加了不少，今年多了1成5的企業要開始導入FIDO。</p> <p>在IT基礎架構的主流是多雲混合雲架構和K8s容器技術，前者的採用率持續提高，蛋服務業的K8s容器技術採用率今年進入停滯的情況，值得觀察，企業開始減少自建K8s環境，開始採用更多現成的雲端服務，這也是受到ChatGPT類應用採用率大增的影響，為了更快擁抱GAI，今年多了一成多的服務業者，直接採用現成的ChatGPT服務，倒是SDDC軟體定義資料中心的採用率今年有些微提高。</p> <p>服務業在資料與AI技術的主流，除了ChatGPT類應用之外，也還持續加碼採用原本的非生成式AI/ML技術，RPA流程自動化、CDP顧客數據平臺、行動AI應用也都是主流，資料湖雖然名列主流技術之中，但是今年的採用率正在下滑，有些服務業開始考慮不要自己建置龐大的資料湖設施，而是改用雲端業者的服務。</p> <p>DevOps、敏捷開發、微服務架構、Open API、中臺架構和GitOps這幾項則是服務業AP架構和開發領域的主流，尤其服務業比其他產業更重視GitOps，採用的企業一年比一年更多。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1196-%E6%9C%8D%E5%8B%99%E6%A5%AD-600-%E5%A4%A7%E5%9C%96.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1196-%E6%9C%8D%E5%8B%99%E6%A5%AD-600-%E5%B0%8F%E5%9C%96.png" style="width: 600px;" /></a></p> <p><strong style="white-space-collapse: preserve; color: rgb(128, 128, 128); font-family: Arial, sans-serif; font-size: 14.6667px; background-color: rgb(247, 247, 247);">技術雷達圖設計說明：</strong><span style="white-space-collapse: preserve; color: rgb(128, 128, 128); font-family: Arial, sans-serif; font-size: 14.6667px; background-color: rgb(247, 247, 247);">38項新興技術分為四類，包括了「IT基礎架構」、「AP架構與開發」、「Data與AI」和「其它新興科技」，再按照2023與2024年的熱門程度變化，分為四個圈，每個圈中的技術代表不同的等級：爆紅技術（去年到今年的排名上升5名者）、主流技術（今年預估採用率超過整體平均採用率13.7%）、崛起技術（今年預估採用率低於整體平均採用率 13.7%）和最外圈是退燒技術（今年比去年的排名下滑5名者）。同一圈中2024年預估採用率越高者，越靠近核心。紅色三角形代表企業採用率的增加幅度（增加超過5%者1個紅三角，超過10%者2個紅三角），綠色三角代表該項今年採用率減少者。兩年相比，採用率相同者，以黑色三角來帶代表。位於第四圈外者代表今年採用率降到0%。</span></p> <p><strong style="font-size: 16px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(255, 140, 0);"> 問卷說明 </span></span> iThome CIO暨資安大調查執行期間從2024年2月15日到3月15日，對臺灣大型企業、歷屆CIO大調查企業、政府機關和大學的IT與資安主管，進行線上問卷，有效問卷422家。填答者中，企業CIO則占了71.8%，企業資安最高主管則占了62.8%。產業分布上，一般製造業17.8%、高科技製造業22.7%、服務業23.7%、金融業12.8%、醫療業13.3％、政府與學校則占了9.7%。</strong></p> <p><a href="https://www.ithome.com.tw/article/164659" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1196-feng_mian_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=Xk3ieTol" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 11:58作者王宏仁https://www.ithome.com.tw/article/164636
ChatGPT用戶突破2億，不到一年翻倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI的ChatGPT每周經常用戶數，已經突破2億，距離1億用戶數的時間點不到一年。</p> <p><a href="https://www.axios.com/2024/08/29/openai-chatgpt-200-million-weekly-active-users" target="_blank">Axios</a>首先引用OpenAI說法報導此事。OpenAI執行長Sam Altman透過聲明稿指出，人們在每日生活中都使用該公司工具，在醫療或在教育等領域創造嶄新價值，像協助日常作業、解決困難問題，或釋放創造力。</p> <p>OpenAI也對<a href="https://www.theverge.com/2024/8/29/24231685/openai-chatgpt-200-million-weekly-users" target="_blank">The Verge</a>證實這項數據。OpenAI去年11月<a href="https://www.ithome.com.tw/news/159674" target="_blank">公布</a>ChatGPT每周經常用戶來到1億，意謂在10個月內，ChatGPT用戶就翻倍了。</p> <p>根據OpenAI的資料，財星五百大企業中有92%已經使用OpenAI產品，同時，在OpenAI推出更便宜、更聰明的模型GPT-4o mini後，ChatGPT API用量也成長了一倍。</p> <p>OpenAI於2022年11月上線公測ChatGPT後即已引發熱潮，並成為生成式AI的領導者，曾有投資銀行<a href="https://www.ithome.com.tw/news/155395" target="_blank">預測</a>去年初用戶數來到1億。儘管Google、微軟和Meta都推出了AI助理，但ChatGPT仍然是生成式AI的代表。</p> <p>而為鞏固ChatGPT的用戶基礎，OpenAI接續推出多種產品，包括多模態模型GPT-4o、GPT-4o mini、客製化AI助理服務GPTs等、以及發展企業版本與客製、顧問服務。OpenAI甚至透過和蘋果<a href="https://www.ithome.com.tw/news/163657" target="_blank">合作</a>，使ChatGPT得以進駐桌機市場。媒體<a href="https://www.ithome.com.tw/news/160633" target="_blank">報導</a>，OpenAI去年營收已達16億。</p> <p>雖然相較其支出，公司營收還相當小，但OpenAI似乎完全不需擔心資金來源。華爾街日報報導，已經獲得微軟上百億美元投資的OpenAI<a href="https://www.ithome.com.tw/news/164742" target="_blank">計畫</a>再募資數十億美元，使公司估值接近1,000億美元。彭博<a href="https://www.bloomberg.com/news/articles/2024-08-29/nvidia-has-held-discussions-about-joining-openai-s-funding-round" target="_blank">報導</a>，除了微軟，連蘋果、Nvidia可能也有意投資。</p> </div></div></div>
2024/8/30 17:00作者林妍溱https://www.ithome.com.tw/news/164773
國內網路攝影機存在5年的漏洞被駭遭植入Mirai變種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員<a href="https://www.akamai.com/blog/security-research/2024-corona-mirai-botnet-infects-zero-day-sirt" target="_blank">發現</a>，臺灣監控攝影機業者陞泰科技（AVTECH）的閉路電視攝影機軟體漏洞遭到駭客濫用，以植入殭屍網路軟體Mirai變種。</p> <p>漏洞是由內容遞送網路（CDN）廠商Akamai的資安研究人員Aline Eliovich發現，位於陞泰科技閉路電視（CCTV）攝影機一款舊式產品的韌體中，編號CVE-2024-7029。漏洞是出於陞泰科技攝影機產品和亮度有關的功能參數，可導致遠端程式碼執行（remote code execution）及指令注入，CVSS風險評分達8.7分。</p> <p>本漏洞影響陞泰科技執行韌體版本FullImg-1023-1007-1011-1009的舊型產品AVM1203。<a href="https://www.avtech.com.tw/Search.aspx?Key=AVM1203" target="_blank">AVM1203</a>廣泛用於企業、金融機構、公、私立醫院及運輸業。</p> <p class="rtecenter"><a href="http://www.avtech.com.tw/Search.aspx?Key=AVM1203" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0830-AVM1203.png" style="width: 600px;" /></a></p> <p>雖然Akamai是在本周才公布這項漏洞研究發現，但已通報主管機關。美國網路安全暨基礎架構管理署（CISA）8月初已經<a href="https://www.ithome.com.tw/news/164310" target="_blank">發布</a>安全公告，本漏洞不但能為遠端濫用，且觸發漏洞的難度不高。</p> <p>研究人員發現，攻擊者已經利用這項漏洞散布稱為Corona Mirai的Mirai變種。Corona Mirai也是一種殭屍網路軟體，疑似2020年就開始活動。在最新的攻擊中，這隻惡意程式以port 23、2323與37215透過Telnet連結大量主機（或受害裝置），還會在感染主機的控制臺列印出Corona字串。</p> <p>值得一提的是，雖然研究人員是在今年3月18日觀察到攻擊，但分析顯示，該變種最早2023年12月就開始活動，CVE-2024-7029的概念驗證（PoC）則至少在2019年就已公開流傳，但直到今年8月才被賦予漏洞編號。</p> <p>CVE-2024-7029迄今尚未修補。研究人員建議，確保安全最好方法是不再使用有漏洞但沒有修補程式的設備。</p> <p>另外，Corona Mirai的攻擊並不只攻擊陞泰科技CVE-2024-7029，資安研究人員發現，該殭屍網路軟體已成功濫用其他漏洞，包括其他AVTECH漏洞、一項Hadoop YARN RCE<a href="https://www.trendmicro.com/en_us/research/21/g/threat-actors-exploit-misconfigured-apache-hadoop-yarn.html" target="_blank">漏洞</a>、CVE-2014-8361和CVE-2017-17215等。</p> </div></div></div>
2024/8/30 11:07作者林妍溱https://www.ithome.com.tw/news/164771
傳聞微軟、Nvidia與蘋果都將參與OpenAI新一輪募資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼日前<a href="https://www.ithome.com.tw/news/164742" target="_blank">報導</a>OpenAI正準備展開新一輪募資，且估值超過1,000憶美元之後，華爾街日報（WSJ）再度<a href="https://www.wsj.com/tech/ai/openai-apple-funding-chatgpt-50754cd6" target="_blank">指出</a>，除了Thrive Capital與微軟之外，Nvidia與蘋果都可能參與OpenAI此次的募資。彭博社（Bloomberg）亦有類似的<a href="https://www.bloomberg.com/news/articles/2024-08-29/nvidia-has-held-discussions-about-joining-openai-s-funding-round" target="_blank">報導</a>。</p> <p>微軟是最早挹注OpenAI的業者，據稱已投入130億美元，擁有OpenAI約49%的分潤權利，且微軟於旗下的眾多服務中都整合了OpenAI技術。而蘋果則是今年6月才<a href="https://www.ithome.com.tw/news/163387" target="_blank">宣布</a>與OpenAI合作，並<a href="https://www.ithome.com.tw/news/163890" target="_blank">差點成為</a>OpenAI董事會觀察員。</p> <p>至於身為全球最大AI晶片供應商的Nvidia，則一直是OpenAI的供應商與合作夥伴。</p> <p>據傳OpenAI此次打算募集數十億美元，當中Thrive Capital準備投入10億美元，彭博社引述消息來源表示，Nvidia已討論是否要出資1億美元。至於微軟與蘋果的投資金額則不明。</p> </div></div></div>
2024/8/30 11:19作者陳曉莉https://www.ithome.com.tw/news/164772
【靠數位轉型加速永續發展，靠智能化、自動化與數位化更快實現淨零】用IT超越自動化控管極限，日月光讓永續管理更智慧化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「要進步越來越難。」日月光高雄廠企業職安處副處長顏俊明坦言，隨著日月光永續發展到一定階段，達成永續目標的挑戰也越來越大。他說，這是日月光永續發展的困境，需要依賴數位科技來解決。</p> <p>日月光半導體製造股份有限公司（以下稱日月光）永續轉型之路，最早可追溯至2007年的減碳旅程，開始透過碳盤查、產品碳足跡建立，達到節省能耗與減少碳排放。</p> <p>早在2009年，日月光就提出10年10％減量計畫，目標在2017年將單位產品溫室氣體排放量比2007年減少一成，還成立永續發展委員會，由各BU副總擔任該委員會永續發展委員，負責規畫公司未來的永續發展策略與目標。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>永續從碳盤查及碳足跡建立做起，逐年減少碳排放與能耗</strong></span></span></p> <p>為了達成十年減量目標，日月光在這段期間一方面全面展開碳盤查和產品碳足跡，來蒐集和盤點範疇一到範疇二溫室氣體排放情況；另一方面，採取節能和節水措施，提升廠內空壓、空調、水資源系統的運作效率與能源回收，逐步減少碳排放和降低環境的衝擊。此外，還將永續開始落實到新建廠及既有建物的設計，導入綠建築，提升節能和水回收率，也減少二氧化碳排放量。</p> <p>2012年，日月光開始在廠房導入能源管理系統，強化能源數據分析和即時監控，進一步提升能源使用效率。這讓日月光的能源管理進展到數位化的管理模式。</p> <p>除了減碳行動擴大到上下游供應鏈廠商，日月光對內則積極推動工廠用水減量、廢水回收再利用，以減少對環境的影響。</p> <p>日月光在2015年更啟用了全集團的第一座大型中水回收廠，初期每日可處理2萬噸廢水，回收1萬噸潔淨水。滿載運轉時，每年可減少超過360萬噸廢水，相當於1,440座奧林匹克游泳池的水量。該回收廠替日月光因此減少用水量並提升回水再利用效率。</p> <p>2016年左右，日月光提出永續發展長期策略，以低碳使命、循環再生、社會共融與價值共創4大主軸，展開全面且長期的永續行動。隔年，日月光訂定集團碳管理策略，以「節能」、「綠能」、「儲能」三大方針邁向低碳發展。</p> <p>日月光10多年前就開始發展永續，隨著進展達到一個階段，想要進步變得越來越困難。顏俊明就指出，節能和節水雖然可以通過硬體設備效率改善實現一定效果，但這些手段難以應對生產過程中的瞬間變化，也無法實現即時需量反應。當人力控制達到極限時，必須開始尋求新的改進途徑。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>2018年是轉型的關鍵年，靠IT驅動永續轉型再升級</strong></span></span></p> <p>2018年是日月光永續轉型的關鍵年，他們決定將數位科技融入永續轉型中，使節能減碳、節水手段更精進、更智慧化，加速其達成永續目標。</p> <p>顏俊明指出，自2018年開始，日月光大規模引入智慧工廠理念，並將其應用於永續推動中。這樣的運作使得節能、節水和智慧監控變得更加精準、更到位，甚至可以完全由智慧系統自動調節，而無需依賴人工控制，達到更高效的管理。</p> <p>像是在節能減碳上，日月光也在2018年高雄廠CSR報告中，揭露了這一套碳管理資訊平臺的架構，涵蓋了碳排放資料庫、溫室氣體管理、低碳產品應用以及低碳建築管理共4大模組功能。</p> <p>這套系統在2019年上線，推出溫室氣體管理功能，一年後，碳管理範圍更擴大至範疇三，涵蓋供應鏈上下游的碳排放量。日月光後來建立原物料碳排放資料庫，可於系統中顯示物料碳排資訊，便於優先選用低碳材料，進一步推動產品碳足跡的減量。</p> <p>導入碳管理資訊平臺，使日月光可以用系統化方式來管理和追蹤各廠區的碳排放量與強度，作為日後擬定減量方案參考依據。同時，日月光也開始推動內部碳定價機制，將碳費與財務資訊結合，以便將碳排放成本反映於營運中有效追蹤和評估碳成本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1197%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="font-size:16px;"><strong><span style="color: rgb(105, 105, 105);">2023年，日月光成立淨零辦公室，由該辦公室負責擬定三大階段淨零排放途徑，還規畫2050淨零行動地圖，作為未來30年淨零行動方針，提出了供應鏈、能源、碳平臺與綠色工廠四大管理基礎，與製造轉型、能源轉換、資源循環與數位轉型四大關鍵策略，落實永續中長期目標。從這份淨零行動地圖中，列出日月光未來各階段的發展重點。例如2025年起，擴大投資再生能源，並強化供應鏈碳足跡的減量；到2030年，則計畫納入零碳製程氣體及碳權／負碳技術的評估。</span></strong></span><span style="color: rgb(105, 105, 105);">圖片來源／日月光高雄廠2023年永續報告</span></span></p> <p>在水資源永續發展方面，不僅僅透過減量、再利用與回收措施，日月光自2018年起，開始用數位科技強化水資源管理。例如建立水資源管理e化平臺，搭配用水／回收水資料庫、各廠區水平衡圖等資料，掌握每日水情資訊，可作為檢視各製造廠區水資源的重要指標。</p> <p>到了2023年，日月光進一步導入水情智慧管理，結合水情燈號預警，提升水資源風險的預警及應變能力，同時強化各製造廠間的水網支援。此外，還推出行動化應用，可即時推送停水和水情資訊給相關人員，以便第一時間就能進行調度與配水，確保工廠穩定運作。</p> <p>顏俊明表示，將永續推動結合IT技術最大影響，在於平臺化、資訊數位化的建立，使永續單位能夠透過數位工具與推播，讓各單位主管掌握最新、即時的現場狀況。</p> <p>2018年，日月光為了推動智慧製造導入大數據分析、AI技術，後來也將這些技術應用於節能減碳、節水等環境永續發展中，也帶動日月光永續轉型進一步升級。</p> <p>例如，在能源管理方面，不光是採取管理優化、減量管制、效能提升、自動監控等措施，日月光還透過大數據掌握用電數據變化，並利用AI進行更精確控制，大幅提升能源管理效率。</p> <p>又以冰水主機系統為例，過去這類系統通常依賴傳統PLC進行控制，日月光後來也用AI優化達到最佳化控制。透過AI即時運算和節能模組能預測未來12小時的空調需求，自動調整冰水主機與無塵室風機運轉，進而強化即時管理與提升節能效率。日月光評估採用這種的方式每年可減少排放433噸二氧化碳當量，創造年約250萬元的經濟效益。此外。日月光也將AI運用在廠區工程監管、自動化設備維修、現場巡檢等提高環境及作業安全。</p> <p>在工廠生產流程中，日月光也用AI改善製程碳排。例如，過去，電鍍植球製程中必須使用含氟氣體進行化學性蝕刻，但在製程過程得排放大量含氟氣體。因此，日月光開始嘗試透過AI模擬，評估使用氬氣與氧氣替代含氟氣體進行物理性蝕刻，預期可大幅降低溫室氣體的排放。</p> <p>在廢水處理方面，日月光開發了AI智能加藥控制模組，不僅可監控廢水廠水質狀況，避免因過度加藥造成過多污泥，導致排放水質未達標。此外，還提供了預測水質異常的功能，提前發出預警，幫助相關人員更早進行應對處置。</p> <p>2021年，日月光更揭示2050年淨零排放目標，以科學化的減碳目標為基礎，承諾2030年達「辦公室據點」100%淨零排放，2050年達成「辦公室據點」及「生產據點」100%淨零排放的目標。</p> <p>從這一年開始，日月光在新建廠房中導入智慧建築設計指標，打造節能永續的智慧化綠色工廠，並透過資通訊、感知監測及系統整合等管理技術的應用，達到節約能源及人力。</p> <p>借重IT改革管理幾年來，導入大數據、AI後，日月光已經整合了智慧化能源管理、用電即時平臺管理作為節能推行主軸。日月光的節能策略，也從「自動化」進階到「智慧化」模式，開始實現工廠大型設備預測保養維護、高能耗設備能源效率提升。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>組建跨部門永續團隊，更導入現代化IT敏捷開發加速應用上線</strong></span></span></p> <p>為了將數位科技融入到永續轉型中，日月光永續部門逐步深化與IT部門的合作。2018年，日月光完成首座智慧工廠後，兩部門的協作越來越緊密，共同推動永續專案執行。</p> <p>截至目前，日月光高雄廠的跨部門永續團隊規模超過千人，設立不同團隊負責執行各類專案，例如節電大聯盟就是一個跨多部門組成的大型永續團隊，專注於節能專案推動和能源管理優化。</p> <p>由於日月光每年超過上百件永續專案，為了加快應用開發與上線，日月光在2020年開始採用了IT現代化的開發做法，組建了混合的敏捷團隊，透過小步快跑、快速迭代的方式推動各項永續專案，以便縮短永續應用的開發，讓這些應用能很快推上線。顏俊明表示，這個敏捷團隊到現在已經有六年的實踐經驗。</p> <p>不只是科技人才的培育，永續人才也是擴大永續轉型成果的戰力。日月光在2023年大舉展開內部永續人才的培育，除了派出廠內人才參與外部培訓，也找來外部分享溫室氣體盤查的知識，提高員工對於永續發展、碳盤查的基礎認知，更為因應減碳設立新職位。日月光在2023年高雄廠CSR報告中，就揭露了該公司從這一年開始設立溫室氣體管理官，由各主要製造廠區及行政單位的廠處長擔任，負責碳排熱點掌控、減碳成效審視與進度追蹤。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>公布2050淨零行動地圖，並提出四大永續管理基礎及四大關鍵策略</strong></span></span></p> <p>在2022年，日月光更制定了到2050年的淨零行動藍圖，並設立短、中、長期執行項目，逐步推進淨零目標。</p> <p>2023年是邁向數位與永續雙軸轉型的重要一年。日月光雙軸轉型的策略，不僅透過智慧技術賦能，將企業營運與永續績效相連結，還要在製程中應用AI技術提升工廠生產效率及市場影響力，更要延伸數位轉型的智慧製造對永續發展創造效益，進一步邁向智能化、自動化、數位化管理模式。</p> <p>日月光高雄廠總經理羅瑞榮在2023年高雄廠CSR報告中強調，將數位轉型的成果延伸至永續發展，實現智能化、自動化、數位化的永續管理，進一步實現智慧製造與永續發展的雙軸轉型。這是日月光未來能夠落實永續願景，實現2050淨零的一大關鍵。</p> <p>到2023年，日月光成立淨零辦公室，由該辦公室負責擬定三大階段淨零排放途徑，還規畫2050淨零行動地圖，作為未來30年淨零行動方針，提出了供應鏈、能源、碳平臺與綠色工廠四大管理基礎，與製造轉型、能源轉換、資源循環與數位轉型四大關鍵策略，落實永續中長期目標。</p> <p>從這份淨零行動地圖中，詳細列出日月光未來各階段的發展重點。例如，2024年將建立供應鏈管理平臺，推動供應鏈減碳；2025年起，擴大投資再生能源，並強化供應鏈碳足跡的減量；到2030年，則計畫納入零碳製程氣體及碳權／負碳技術的評估。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1197%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87600-1.png" style="width: 600px;" /></p> <p><span style="font-size:16px;"><span style="color: rgb(105, 105, 105);"><strong>在節能減碳上，日月光在2018年高雄廠CSR報告中揭露了一套碳管理資訊平臺的架構，涵蓋了碳排放資料庫、溫室氣體管理、低碳產品應用以及低碳建築管理共4大模組功能。這套系統在2019年上線，推出溫室氣體管理功能，一年後，碳管理範圍更擴大至範疇三，供應鏈上下游的碳排放量。日月光後來建立原物料碳排放資料庫，便於優先選用低碳材料，進一步推動產品碳足跡的減量。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／日月光高雄廠2023年永續報告</span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>日月光2023年永續轉型成果</strong></span></span></p> <p>近幾年，日月光積極擴大對環境永續投資，持續引進數位科技工具，加速推動永續目標達成，也讓日月光在節能減碳、水資源等永續推動取得不少成果。</p> <p>日月光在能源管理系統中導入智慧化管理後，大幅提升工廠能源管理效率，使去年節能改善幅度達5.2%，且用電密集度較2015年降低了16.7%。此外，導入碳管理平臺以來，統計2017~2020年底，日月光已累積減碳量達51,227噸二氧化碳當量，相當於132座大安森林公園的年吸碳量。</p> <p>這幾年，靠著IT助力，日月光在水資源管理效率也有顯著提升，從2018年每滴水只能重複使用2.59次，到了2023年增加至4.18次，等於是每滴水可以多用1.59次，這個數字顯示出日月光在水資源運用高效率。</p> <p>日月光中水回收廠也導入數位科技，提升製程廢水再利用效率。光是在2023年，這座中水回收廠一年就提供了日月光高雄廠，約561萬噸的回收水，回收率達75%。等於廠區每送出1,000噸製程廢水，經日月光中水回收廠處理後平均可釋出750噸中水再運用。</p> <p>日月光在綠色工廠導入資訊化、數位化科技來加強推動永續發展，幫助這些綠色廠房在2020~2023年間一共減碳43.3萬噸，節水3,037萬噸，節能95.1萬兆瓦時，以及減廢2.6萬噸。其中，K24廠在2019年還進一步取得低碳建築最高等級「鑽石級」認證，其碳排放量較一般廠房減少26.83%，約減少595,403噸二氧化碳排放量。</p> <p>日月光高雄廠副總經理李政傑在2024年3月一場數位永續雙軸轉型論壇上，提出了未來淨零行動執行策略，包括溫室氣體管理、減碳與抵換、循環經濟、供應鏈管理，並將以數位轉型加速布建綠色製程，提升能資源使用效率、源頭管理與循環再利用，以及強化低碳韌性，實踐淨零承諾。</p> <p>自2018年以來，日月光利用IT驅動加速永續轉型再進化，不僅僅是用來提升能源管理效率、減少碳排和提高水資源再利用率而已，也為日月光往後數位永續雙軸轉型，實現2050淨零目標奠定重要基礎。</p> <p>「IT技術能加速永續目標的達成，提升管理效率。」副處長顏俊明的一句話，點出了IT在日月光永續轉型中的關鍵作用。</p> <p><a href="https://www.ithome.com.tw/article/164769" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 09:20作者余至浩https://www.ithome.com.tw/news/164765
日月光永續轉型發展史
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <blockquote><p><span style="font-size:20px;"><span style="color:#696969;"><strong>日月光半導體製造股份有限公司（以下稱日月光）永續轉型之路，最早可追溯至2007年的減碳旅程，開始透過碳盤查、產品碳足跡建立，達到節省能耗與減少碳排放。</strong></span></span></p> <p><strong><span style="font-size:20px;"><span style="color:#696969;">2018年是日月光永續轉型的關鍵年，他們決定將數位科技融入永續轉型中，使節能減碳、節水手段更精進、更智慧化，加速其達成永續目標。</span></span></strong></p> </blockquote> <p><strong style="font-size: 28px; color: rgb(255, 255, 255);"><span style="background-color:#ff3300;"> 永續發展時期 </span></strong></p> <p><span style="font-size:20px;"><strong>開始透過碳盤查、產品碳足跡建立，節省能源耗用</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2007年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●啟動內部碳盤查</span>。完成並通過ISO 14064-1溫室氣體盤查與查證。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●全面推動內部溫室氣體自願減量改善</span>，優先提升廠內空壓、空調、水資源系統效率與能源回收。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2008年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●參與國際CDP（碳揭露專案）碳揭露</span>。每年揭露氣候變遷及溫室氣體排放量的相關訊息。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2009年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●提出10年10％減量計畫</span>。目標在2017年將單位產品溫室氣體排放量比2007年減少10%。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●永續資訊揭露</span>。首次發行集團永續報告書，揭露公司碳排在內等溫室氣體排放資訊。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●永續發展委員會成立</span>。由各BU副總經理擔任該委員永續發展委員，負責規劃公司未來的永續發展策略與目標。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●開始推動碳足跡和產品環境宣告</span>。與台積公司制定首份積體電路的產品類別規則（IC PCR），涵蓋能源使用、水資源使用與污染物、廢棄物及空氣污染物產生量以及碳足跡，可作為半導體產業進行環保產品宣告的依據。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●高雄K12新廠導入綠建築</span>，節能20%、水回收率超85%，每年減少11,000噸二氧化碳，相當於30座大安森林公園的年吸碳量。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2010~2014年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●新建廠及既有建物導入綠建築</span>。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2010年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●產品碳足跡資訊揭露</span>。優先推動L/F、BGA、CSP、Flip Chip等主要封裝產品的碳足跡盤查，並完成碳足跡驗證。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2011~2016年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●推動全面產品碳足跡</span>。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2012年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●開始產品水足跡盤查</span>。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2012～2014年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●產品導入生態化設計</span>。從產品設計和技術導入開始，納入低污染、低耗能、節水等環保與安全考量，降低環境衝擊。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2012年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●用系統化管理掌握能耗</span>。導入ISO 50001能源管理系統，強化能源數據分析與即時監控，提升能源使用效率。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2014年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●推動綠色電力並認購綠電</span>。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2015~2018年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●推動供應鏈溫室氣體盤查、用水減量</span>。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2015年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●首座半導體中水回收廠啟用，</span><span style="color:#000000;">每日處理2萬噸廢水，回收1萬噸潔淨水</span>。滿載運轉時，年減少廢水超過360萬噸，相當於1,440座奧林匹克游泳池的水量。</strong></span></p> <p><span style="font-size:20px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2015%E5%B9%B4%EF%BC%9A%E3%80%88%E5%9C%961%E3%80%89.jpg" style="width: 600px;" /></strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2016年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●推動供應鏈減碳</span>。開始進行範疇三排放盤點與鑑別，將減碳作為擴展至上下游供應鏈廠商。</strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#000000;"> 2017年：</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●訂定集團碳管理策略</span>，以「節能」、「綠能」、「儲能」三大方針，推動日月光低碳發展。</strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●</span><span style="color:#000000;">推動再生能源憑證作為碳管理工具。</span></strong></span></p> <p><span style="font-size:20px;"><strong><span style="color:#008000;">●</span><span style="color:#000000;">成立氣候變遷管理小組。</span></strong></span></p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#ff3300;"> 永續轉型時期 </span></strong></span></span></p> <p><strong><span style="font-size:20px;">開始結合數位科技，強化內部低碳管理與溫室氣體減量、水資源管理</span></strong></p> <p><strong><span style="font-size:20px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/2018%E5%B9%B4%EF%BC%9A%E3%80%88%E5%9C%962%E3%80%89.png" style="width: 600px;" /></span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2018年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●轉型推動關鍵的一年</span>，開始利用資訊化與數位科技加速達成永續目標。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●擬定能源節能策略</span>，涵蓋管理優化、減量管制、效能提升以及自動監控，持續精進各廠區能源管理</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●導入氣候變遷相關財務揭露(TCFD)框架</span>。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●導入碳管理資訊平臺</span>，強化內部低碳管理與溫室氣體減量。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●建置水資源管理e化平臺</span>，有效掌握每日水情資訊，提升水資源管理效能。</span></strong></p> <p><strong><span style="font-size:20px;">●推動供應鏈「溫室氣體減量」與「水資源回收再利用」並制定減量目標。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2019～2020年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●推動溫室氣體範疇三全面盤查</span>（參考2019年CSR p21）</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2019年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●全面導入循環經濟</span>。高雄廠全面將循環經濟思維融入到「清潔生產」的流程管理中，降低對環境的衝擊。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●導入大數據分析與人工智慧</span>，使用AI對用電數據進行分析和控制，達到能源管理及優化。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●K24新廠取得低碳建築標章最高等級「鑽石級」認證</span> ，碳排放量較一般廠房減少26.83%，約減少595,403噸二氧化碳排放量。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●</span>高雄廠改以ISO 14064-1:2018新版溫室氣體排放標準完成盤查作業。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2020年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●高雄廠完成供應鏈範疇三排放全面盤查</span>，並開始規畫範疇三溫室氣體減量措施。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●高雄廠節電大聯盟成立</span>。透過各廠交流、專家讀書會和節能競賽等活動，推動節能精進，並擴展至所有製造廠，優化能源管理。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●建立原物料碳排放資料庫</span>，可於系統中顯示物料碳排資訊，以優先選用低碳材料，推動產品碳足跡減量。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●推動內部碳定價機制</span>。規畫廠內節能方案、循環經濟及新購設備的效益評估，未來將導入碳費模式，結合碳費用與財務資訊，將碳排放成本反映於營運。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2020年底成果：</span></span></strong></span></p> <p><strong><span style="font-size:20px;">●高雄廠每單位營收的溫室氣體排放量較2015年降低6.45%，製程水回收率達80.8%，平均每滴水可反覆使用3.11次。廢棄物回收率達86.3%。推動91項循環經濟專案，創造1.5億元經濟效益，減少4,088噸二氧化碳排放。</span></strong></p> <p><strong><span style="font-size:20px;">節能減碳專案3年成果：</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●</span>累積減碳額度達51,227噸二氧化碳當量，2020年減碳量為11,315噸二氧化碳當量。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2021年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●宣示2050年淨零排放目標</span>。承諾2030年達「辦公室據點」100%淨零排放，2050 年達成「辦公室據點」及「生產據點」100%淨零排放的目標。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●設定科學化的減碳目標</span>。採用SBTi科學基礎減量目標指引，設定範疇一與二以2016年為基礎至2030年減量35%及範疇三以2020年為基礎至2030年減量15%。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2021年底成果：</span></span></strong></span></p> <p><strong><span style="font-size:20px;">高雄廠每單位營收的溫室氣體排放量較2015年降低25.94%。水資源管理上，每滴水可以重覆使用3.27次。更推動了232件循環經濟專案，創造6.03億元的經濟效益，減少23,497噸二氧化碳當量，廢棄物回收率達87%。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2022年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●制定高雄廠淨零規劃行動藍圖</span>，規劃至2050年前各階段的執行項目，以實現淨零目標。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●訂定碳管理主要行動策略與四大執行項目</span>。行動策略中包含範疇一二三的溫室氣體減量措施。四大執行策略則包括溫室氣體管理、減碳與抵換、循環經濟、供應鏈管理。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●高雄廠率先導入碳定價</span>，規劃2025年透過技術roll out讓80%以上廠區實施內部碳定價。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●導入廠務設備智慧化管理</span>。導入AI於冰水機負載管理系統，通過分析運作歷史數據，搭配演算法與學習模式，實現效益最佳化。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2022年底成果：</span></span></strong></span></p> <p><strong><span style="font-size:20px;">●完成逾百件節能專案，年節電量39,676兆瓦時（MWh），節電率2.92%，用電密集度較2015年減少近30%。再生能源使用6,213兆瓦時。水資源管理方面，每滴水可重複使用3.71次。成立塑膠循環中心，將廢塑膠回收再製垃圾袋。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2023年：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●成立淨零辦公室</span>，負責擬定三大階段淨零排放途徑，並規劃高雄廠2050淨零行動地圖與中長期目標。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●設立溫室氣體管理官</span>，由各製造廠區及行政單位廠處長擔任，負責碳排熱點掌控、減碳成效審視與進度追蹤。</span></strong></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●用AI協助改善製程排放減量</span>。透過AI模擬氬氣和氧氣進行物理蝕刻，以評估新氣體取代含氟氣體對生產效率的影響，作為電鍍植球製程的低碳排放替代方案。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2023年底成果：</span></span></strong></span></p> <p><strong><span style="font-size:20px;">●年節電量為68,018兆瓦時，節電率達5.2％，用電密集度較2015年降低16.7%。製程水回收率達85%。每滴水可反覆使用達4.18次。再生能源使用13,570兆瓦時。推動循環經濟效益達15.4億元，環境效益達63,330噸二氧化碳當量。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2024年３月：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●在高雄智慧城市展上展示智慧水務新應用</span>，利用AI預測水質變化，選擇最佳加藥時機，達成加藥減量30%及污泥減量35%的目標。在節電上，也將AI應用於無塵室空調系統，每年可減少23%的空調用電量，相當7,434戶家庭用電，約占高雄市楠梓區10%家庭年用電量。</span></strong></p> <p><span style="color:#FFFFFF;"><strong><span style="font-size:20px;"><span style="background-color:#000000;"> 2024年中：</span></span></strong></span></p> <p><strong><span style="font-size:20px;"><span style="color:#008000;">●首座AI節能機房年底啟用（PUE低於1.2）</span>。</span></strong></p> <p><strong><span style="font-size:20px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024%E5%B9%B4%E4%B8%AD%EF%BC%9A%E3%80%88%E5%9C%963%E3%80%89%E6%94%9D%E5%BD%B1%E4%BD%99%E8%87%B3%E6%B5%A9.jpg" style="width: 600px;" /></span></strong></p> <p><strong><span style="color:#696969;">圖片來源／日月光、攝影／余至浩<br /> 資料來源：日月光CSR報告，iThome整理，2024年8月</span></strong></p> <p><a href="https://www.ithome.com.tw/article/164769" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 09:21作者余至浩https://www.ithome.com.tw/news/164764
日月光不只打造智慧工廠，更用GenAI優化製程也要發展多元AI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1197%E5%B0%81%E9%9D%A2-%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E7%99%BC%E5%B1%95%E5%8F%B2-%E5%A4%A7%E5%9C%96(1).png" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1197%E5%B0%81%E9%9D%A2-%E6%99%BA%E6%85%A7%E5%B7%A5%E5%BB%A0%E7%99%BC%E5%B1%95%E5%8F%B2-%E5%A4%A7%E5%9C%96.png" style="width: 600px;" /></a></p> <p>日月光在永續發展方面雖然起步較早，但推動永續轉型升級的關鍵，則仰賴日月光多年來數位轉型的智慧製造推動成果，將這些成熟的數位科技、AI技術帶進永續轉型中，使得節能減碳、節水手段更精進、更智慧化，加速達成永續目標。</p> <p>日月光很早展開了數位轉型，朝向智慧工廠轉型。日月光希望透過智慧製造帶動生產的升級，將工業化基礎提升至更高水平，實現更高效的智慧控制生產模式，不只要提升生產效率和產品品質，更要提高產業競爭力。</p> <p>2011年，日月光成立自動化委員會，由各製造廠的自動化團隊以及資訊管理中心組成，共同推動生產流程自動化，不光是提高生產效率，更為往後發展智慧製造奠定重要基礎。</p> <p>到了2015年，日月光進一步啟動自動化關燈工廠建置計畫，以「自動化」、「高異質性機器設備整合」與「高異質性微系統封裝整合」三大主軸推動工廠智慧化的數位轉型。</p> <p>2018年是日月光AI技術發展的關鍵一年。這一年日月光開始將AI應用於智慧製造中，持續提升工廠生產良率與效能。同年，日月光啟用第一座關燈智慧工廠。</p> <p>往後幾年，日月光更持續擴大智慧工廠的部署，截至目前已累計有46座關燈工廠。也因為這些智慧製造成果，使日月光智慧工廠在2022年獲得世界經濟論壇認證，成為全球燈塔工廠之一。</p> <p>隨著AI應用日益成熟，日月光在2021年建構IAI（Industry AI）平臺，大力推動AI全民化應用，進一步將AI應用從內場域製造推向組織內部，從智慧資安、品質檢驗、智慧診斷，到智慧設計、參數最佳化以及智慧營運等領域。</p> <p>在2021年高雄廠CSR報告中，揭露了更多日月光AI落地的成果。在這一年，日月光在工廠一共部署了36支影像AI模型，用於檢驗圖像資料品質、偵測未知瑕疵、分析圖像特徵及小樣本訓練。還開發出有多達90支AI模型，用於異常偵測分析、趨勢預測及時序分析與預測等。</p> <p>不光是工廠生產採用，日月光也用AI優化產品設計，例如用AI模擬產品3D弧線圖和3D循環預測，藉此降低新產品導入的不良品的風險。導入這項AI應用後，日月光2021年一共解析13,598張BD圖資、59,621條3D弧線預測，以及完成2,351自動短路檢查。</p> <p>日月光不只將AI應用在製造端，結合深度學習和大數據，搭配自動化機器人技術，提升生產效能。隨著AI展現智慧製造成果後，日月光後來也將AI應用於廠務節能減碳等環保永續項目。</p> <p>不只打造智慧工廠，日月光去年開始採用生成式AI技術，來優化製程也要發展多元AI應用。日月光還將在今年底啟用首座AI節能機房，以滿足未來更多AI應用發展所需。</p> <p>這些數位轉型的成果，未來也將成為加速日月光永續轉型升級再進化的關鍵。</p> <p><a href="https://www.ithome.com.tw/article/164769" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 09:23作者余至浩https://www.ithome.com.tw/news/164766
【日月光智慧水務應用實例】一滴水重複用4.18次！日月光如何靠IT實現超高回收水再利用率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「一滴水可用4.18次。」這是日月光水資源管理去年的新進展。</p> <p>日月光的一滴水旅程，從自來水進廠區開始，經過製程使用，再經中水回收廠回收後再運用，整個過程每滴水可重覆循環使用4.18次後才放流，離開工廠。這個數字顯示出日月光在水資源運用高效率，背後的關鍵是IT的運用。</p> <p>水在半導體製程中非常重要，不論是在切割和研磨製程中，都需要大量的純水，進行清洗和冷卻，日月光工廠每天所需的水量非常龐大，因此，如何節水和改善水質，來減少廢水排放、降低環境衝擊，是日月光在水資源永續發展中的重要目標。</p> <p>自2018年起，日月光將數位科技融入永續轉型，也應用於水資源管理，透過這些措施提升用水效率，降低水資源的耗用，達到更高效的水資源管理。</p> <p>在廢水回收再利用方面，除了各廠自行循環用水之外，日月光還透過一座大型中水回收廠，將製程廢水進一步淨化過濾，再回送產線使用。這座廢水回收廠中結合了許多數位科技、AI技術，持續提升其回水再利用效率。從這座中水廠能一窺日月光運用IT提高中水回收效率的做法。</p> <p>半導體製成所用的純水，水質純淨度得達到4個9，才能避免雜質影響到製程。所以，水廠中的每一滴水，皆需經過多道過濾機制，包括多層過濾系統（MMF），超濾膜系統（UF），以及逆滲透系統(RO)等，才能將淨化後的回收水再利用於製程中。</p> <p>流程上，當製程廢水進入回收廠後，首先經過底層的生物池降解，再進到上一層的MMF，去除水中的顆粒物質，接著經由UF進一步濾除細小顆粒及膠態物質，最後進到RO除去剩餘顆粒雜質。經過層層過濾處理後，水質才可達到幾乎99.99%的純淨度，最後再回送至產線製程使用。這些關鍵設施的處理效率，都會直接影響最後計算出來的每滴水再利用次數。</p> <p>為了提高回收利用率，日月光中水廠中設有多道機制來記錄和追蹤每一層過濾和處理過程，中水廠甚至設立了一個專人即時監控的中控室，所有數據最後會集中到廠房三樓的中控室進行管理和監控。管理人員可即時從螢幕上查看並分析這些數據，確保水資源的高效利用，一旦回收系統出狀況，也能第一時間介入處理，避免影響到後續的製程。</p> <p>搭配控制中心，日月光有一套監控及資料擷取系統，全程監控廢水處理過程中的各項指數，同時搭配排水監測系統，持續監控放流水的品質。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1197%E5%B0%81%E9%9D%A2-%E6%87%89%E7%94%A8-960.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;"><span style="font-size:16px;"><strong>日月光的一滴水旅程，從自來水進廠區開始，經過製程使用，再經中水回收廠回收後再運用，整個過程每滴水可重覆循環使用4.18次後才放流，中水回收廠回收率可達75％，等於廠區每送出1,000噸製程廢水，經日月光中水回收廠處理後平均可釋出750噸中水再運用。</strong></span>圖片來源／日月光</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>監控用水數據確保水質與跨廠調度</strong></span></span></p> <p>除了監控廢水處理狀況外，日月光中水回收廠兼具有調度中心功能，可以隨時掌握各廠的水使用狀況，以便在水情吃緊時，可以透過廠內水網絡支援。</p> <p>日月光過去已有建立一套水資源管理e化平臺，可搭配用水/ 回收水資料庫、各廠區水平衡圖等資料，監看每日水情資訊。</p> <p>去年，日月光導入一套水情燈號預警系統，不僅能夠監控外部水源供應資訊，還能即時掌握每棟工廠的用水及蓄水量資訊，強化供水調配支援能力，此外，還結合行動化應用，一旦發生停水和水情異動，相關人員可透過手機查看，以便迅速應對處理。</p> <p>值得一提的是，在這套系統中，日月光還建立廠區缺水韌性機制，利用AI模型分析工廠每天的用水量和現有儲水量，推估每間工廠的水存量可使用時間，以便提前調度水網進行支援。這些措施讓日月光可以智慧化地管理水資源風險，應對氣候異常帶來的水資源不足的挑戰。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%A0%E5%9C%96%E6%AA%94%EF%BC%9A%E8%87%B3%E6%B5%A9-%E6%B0%B4%E6%83%85-%E5%9C%962%20.png" style="width: 552px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;"><span style="font-size:16px;"><strong>日月光去年導入一套水情燈號預警系統，不僅能夠監控外部水源供應資訊，還能即時掌握每棟工廠的用水及蓄水量資訊，包括中水回收的數據，強化供水調配支援能力，此外，還結合行動化應用，一旦發生停水和水情異動，相關人員可透過手機查看，以便迅速應對處理。</strong></span>圖片來源／日月光</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>結合AI提高回水廠回水利用和管理效率</strong></span></span></p> <p>隨著日月光永續計畫開始引進AI，這幾年，日月光也用AI來提高回水廠水資源利用和管理效率。像是用來輔助回收廠設備的維修，如決定何時替UF設備清洗，這類作業過去往往需要現場檢查，以確認是否存在堵塞情況，若是沒有即時清洗，就會影響流速，一段時間後，也會導致出現UF設備堵塞情況，而影響回水再利用效率。</p> <p>可是，在中水廠廠內很多套UF設備，人員常常需要花很多時間逐一檢查，也較缺乏效率。為了改善這個問題，他們開始結合數據分析與數位圖表工具，將水壓力變化等資訊視覺化，協助人員可以更容易地掌握每天這些數據的趨勢變化，了解各設備的堵塞情況，而不需要到現場查看，也減輕人員負擔，甚至他們也開始用AI輔助進行預警，透過這樣的方式，來預防堵塞，提升回水再利用效率。不過，即使借助AI判斷，最後也都會由人工確認才會展開行動。</p> <p>不只設備維修，在回收流程中也用AI來優化。例如在廢水處理上，日月光自行開發了一款AI廢水智能化加藥控制模組，掌握廢水廠水質狀況，並且可預測放流水水質，提前預警水質異常，縮短異常應變反應時間。導入 AI 模組後，日月光表示，廢水系統加藥量降低30%，污泥也減量35%。</p> <p>又如日月光廠區會用離子交換樹脂（2B3T）來吸附流水中的離子，提升中水的純淨度，後來，日月光也用AI模型計算2B3T再生時間，取代傳統人工定時操作，不只減少人為失誤風險，也達到最佳產水能力，他們評估，每年可減少工廠自來水使用水量560萬噸。</p> <p>這座中水廠全天運作，控制中心採24小時，兩班制輪班，為提升作業便利性，在中水廠中導入了行動平板，便於人員巡視可以記錄與查看設施運作狀況。</p> <p>日月光持續擴充中水廠的硬體設施與優化系統，目前每日可以處理多達3萬噸的水，都是靠數位科技和AI來提高回收效率。從2015年啟用，統計至2023年3月，累計已回收的生產用水達3千萬噸，相當於省下高雄市民約一個半月的用水量。</p> <p>光是在2023年，這座中水回收廠一年就提供了日月光高雄廠，約561萬噸的回收水，回收率達75%。</p> <p><a href="https://www.ithome.com.tw/article/164769" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 09:24作者余至浩https://www.ithome.com.tw/news/164767
【永續第一線經驗：日月光高雄廠企業職安處副處長顏俊明】日月光永續團隊是敏捷團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了推動節能減碳，加速永續目標達成，日月光一年執行超過上百件永續專案，這些專案大大小小，都需要仰賴IT部門的協助，以便讓這些應用能夠更快上線，為此，日月光還採用IT現代化的開發做法，建立混合團隊，以小步快跑、快速迭代的方式推動各項永續專案，「這些團隊的組成會隨著專案不同而調整，展現出高度的敏捷性，甚至可以說是一個敏捷團隊」日月光高雄廠企業職安處副處長顏俊明這樣說道。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>將數位科技融入到永續轉型</strong></span></span></p> <p>企業職安處是日月光高雄廠負責永續推動的主要單位。顏俊明表示，日月光早期專注於數位轉型，於2011年成立智慧製造委員會。隨著數位轉型成果逐漸顯現，永續委員會進一步將轉型成果納入，利用數位科技協助達成永續發展目標，加速永續進程。</p> <p>顏俊明指出，過去日月光的節能目標通常僅符合經濟部能源局的要求，例如每年節能1%到2%。但透過數位科技的應用，日月光的節能目標，可以從1～2%，改定為更高的3～5%目標。</p> <p>不同以往依賴人為控制的節能做法，目標設定上較為保守，而數位科技的導入，讓日月光能設立更具挑戰性的目標。他強調：「這正是數位科技的最大優勢。」</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>永續部門和IT部門如何深化合作</strong></span></span></p> <p>為了將數位科技融入到永續轉型中，日月光永續部門逐步深化與IT部門的合作，日月光自2018年完成首座智慧工廠後，兩部門的協作越來越緊密。可是，由於初期始缺乏共通語言，彼此溝通不易，他表示，雙方在前期花了不少時間將各自的專業語言轉化為對方能理解的內容。</p> <p>例如，永續部門推動企業永續管理師培訓及ISO-14064溫室氣體管理課程，並邀請IT部門參與；而IT部門與自動化小組也開設自動化專班、智能工程學院及資安學院，推廣至包括永續單位在內的各部門，幫助他們初步了解並應用數位工具。</p> <p>他表示，透過這樣過程，讓雙方在語言和資訊交流上更加順暢，有效解決原有的溝通困難。</p> <p>日月光對於IT相當倚重，因為日月光高層相當清楚，驅動公司永續發展的關健，正是資訊化與數位科技應用，因此，日月光透過永續發展委員會的專案運作，導入多種數位工具，以實現各項永續目標。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>日月光永續專案團隊是一個混合的敏捷團隊組成</strong></span></span></p> <p>由於發展智慧製造，需要現代化技術才能實現，也讓日月光的IT現代化，開發方式也跟著轉變，採用更敏捷的現代化的開發模式。</p> <p>2020年，日月光永續發展開始進到下一階段，日月光開始採用DevOps敏捷開發，來進行永續專案開發，並組建由IT部門與永續部門成員組成的混合團隊，雙方協同合作，以小步快跑、快速迭代開發。</p> <p>在處理流程中，永續單位會根據管理需求和法規要求先完成流程整理，向IT負責窗口提出需求。接著，雙方共同討論並制定IT規格書，再交由開發團隊來開發。</p> <p>跨部門組成的敏捷團隊通過快速系統功能交付和意見回饋，讓開發出來的系統或功能能更符合永續單位的需求。顏俊明表示，這個混合的敏捷團隊到現在已經有6年實踐經驗了。</p> <p>顏俊明進一步說明，當公司達到一定程度的規模時，很難逐一處理每件事。例如，永續單位的成員可能需要對接兩個IT團隊，而一名IT人員也可能同時對應不同單位的需求，他表示，建立敏捷團隊的好處，可以讓跨部門的合作更具彈性。</p> <p>截至目前，日月光高雄廠的跨部門永續團隊規模超過千人，設立不同團隊負責執行各類專案，例如節電大聯盟就是一個跨多部門組成的大型永續團隊，包括生產營運單位、廠務單位等專注於節能專案推動和能源管理優化。</p> <p>在專案管理和追蹤上，永續單位也透過一套數位圖表工具，追蹤每個專案的執行進度和這些的異動。另外也會定期檢視專案執行進度，尤其是大型專案，永續發展委員會平均每兩至三周召開主題式會議，向總經理報告高雄廠的現況、未來計畫及執行情況。</p> <p>不僅如此，IT部門開發了多個No-Code應用平臺，降低數位永續應用的進入門檻與縮短開發時間。</p> <p>透過圖形介面和拖拉方式，即使非專業程式設計人員也能迅速上手，使用這些No-Code工具組合出應用程式的處理流程，並依據這些流程建構不同的永續應用。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>導入工廠碳排即時監控，每層樓的碳排都能追蹤</strong></span></span></p> <p>多年合作，由IT和永續單位組成的敏捷團隊，帶來在永續應用上不少成果。例如建立化學品現場濃度即時監控機制就是其中一項永續專案應用成果。</p> <p>過往，化學品濃度的監控主要依賴每半年的作業環境監測，後來，IT部門結合感知器與監測平臺，能夠即時了解作業現場化學品的濃度狀況，當濃度接近異常之前，提前做出應變。</p> <p>借助IT，日月光在工廠碳排管理做法上也持續精進，例如日月光原本就已建立一套能源管理平臺，用於追蹤和管理工廠能耗跟排碳狀況，但過去僅能依據整棟建築的數據推估碳排量，無法細分到每個樓層的即時碳排放的狀況。今年，該平臺則是可以更進一步監看每棟廠房樓層的數據，實現更細緻的碳排管理，最大化減碳或節能的效益。</p> <p>此外，該平臺還能提供每日碳排數據，便於各廠區的溫管官掌握每天的能耗和碳排放狀況，作為後續碳排放即時控制與改善的參考依據。</p> <p>顏俊明解釋，半導體生產涉及工單與客戶需求，產品可能需要經過不同的工序和站點。例如，一個產品可能需經過五個站點，而另一個則需經過六個站點，不同站點可能位在不同樓層，對於碳排的影響可能會有所差別，因此，需要更細致的數據收集和現場監控。</p> <p>「我們目前能夠掌握將近30棟建築物、20多間工廠的每層樓碳排數據。」他表示，未來，對新進單一高用電設備須更節能並能掌握即時能耗監控。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用AI分析歷史運作、環境數據有效改善冰水機系統的能耗</strong></span></span></p> <p>日月光導入AI的永續專案也不少，例如在能源管理優化上，日月光導入AI於冰水機負載管理系統中，整合了冰水機的歷史運作資訊、外部氣溫和濕度狀況，搭配演算法與學習模式，調整冰機運轉和控制，最佳化廠內冰水機系統的效益。</p> <p>不僅如此，顏俊明也提到，日月光近期正在執行其中一項重要專案，要用AI協助製程溫室氣體排放減量。</p> <p>過去，電鍍植球製程中必須使用含氟氣體進行化學性蝕刻，但在製程過程也得排放大量含氟氣體。因此，他們開始嘗試透過AI模擬，評估使用氬氣與氧氣替代含氟氣體進行物理性蝕刻，預期可大幅降低溫室氣體的排放量，以達到源頭減量。另外，也正在嘗試開發ChatGPT類的應用，來提供內部人員的知識問答。</p> <p><span style="font-size:20px;"><span style="background-color:#3399ff;"> </span></span><a href="https://www.ithome.com.tw/article/164769" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="background-color:#3399ff;">相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/8/30 09:24作者余至浩https://www.ithome.com.tw/news/164768
日月光永續轉型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1197-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=jLCvRZNn" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日月光10多年前就開始發展永續，但隨著進展達到一個階段，想要進步，變得越來越困難，轉而從2018年起，決定將數位科技融入永續轉型中，使得節能減碳、節水手段更精進、更智慧化，加速達成永續目標</p> <p> </p> </div></div></div>
2024/8/30 09:30作者余至浩https://www.ithome.com.tw/article/164769
微軟將跨平臺開源.NET框架Mono專案移交WineHQ管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mono-project.com/">Mono專案將由WineHQ組織接手管理</a>，而微軟目前已經將原本Mono Runtime轉移到dotnet/runtime程式碼庫中，並敦促現有Mono使用者和基於Mono應用程式框架的維護者，都遷移使用新的.NET平臺。 <br /> <br /> WineHQ是負責維護和開發Wine的開源專案組織，而Wine是一個知名工具，提供相容層可以讓Windows應用程式在Linux、macOS和Unix-like作業系統上執行，透過將Windows API呼叫轉換成POSIX呼叫，可讓Windows應用程式不需要修改即可在非Windows環境下執行。</p> <p>微軟在2001年推出Mono，該專案的目的是提供跨平臺的.NET實作，使開發者可以在不同的作業系統上執行.NET應用程式。之後微軟開發了.NET Core和其後續的.NET版本，提供與Mono類似的跨平臺功能，跨平臺開發重心移往.NET，而Mono的更新便放緩，Mono最後一次重大更新是在2019年7月，之後都僅進行小規模修補，最近一次修補更新是在2024年2月。</p> <p>隨著微軟逐步轉移重心，現在WineHQ將接手成為Mono專案管理者，負責該專案的未來發展和維護。現有mono/mono及其他相關程式碼庫將繼續可用，雖然部分程式碼庫可能會封存，但是原始碼依然可以被存取和使用。另外，微軟現有的Mono二進位檔案也將會在未來至少四年繼續提供下載。這個作法確保Mono專案的延續，同時讓用戶有時間過渡到新的架構。</p> <p>微軟在dotnet/runtime程式碼庫中維護一個Mono Runtime分支。微軟已經逐步將使用原本的Mono工作負載，搬遷到新的分支上。目前這項搬遷工作已經完成，微軟也建議現有的Mono開發者以及相關的應用程式框架開發者，同樣轉移到.NET平臺以使用更新功能。</p> </div></div></div>
2024/8/30 08:23作者李建興https://www.ithome.com.tw/news/164761
【iThome 2024 CIO大調查系列6】2024企業技術雷達圖
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1196-feng_mian_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=Xk3ieTol" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從IT基礎架構現代化技術，AP架構與開發趨勢，到各類資料與AI技術，38項新興IT技術，422家臺灣大型企業如何選擇？企業技術雷達圖，讓你用一張圖快速了解大型企業的2024年技術布局和採用趨勢</p> </div></div></div>
2024/8/30 09:08作者王宏仁https://www.ithome.com.tw/article/164659
在軟體中建置可演化性
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-yan_jin_shi_xi_tong_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>翻新現有架構並加入可演化性，很有挑戰性。如果開發人員從未在架構中建置過簡易變更，那麼這種變更就不太可能自發出現。無論多麼有才華的架構師，都無法在不付出巨大努力的情況下將一個Big Ball of Mud（大泥球）轉變為現代微服務架構。幸運的是，透過在現有架構中加入一些彈性點，專案可以在不改變整個架構的前提下獲得好處。</p> <p><span style="font-size:28px;"><strong>移除非必要的變異性</strong></span></p> <p>Continuous Delivery（持續交付）的目標之一是穩定性（stability），也就是以已知的良好部分為基礎，繼續建構。這一目標的常見表現形式是現代DevOps對建置不可變基礎設施（immutable infrastructure）的看法。</p> <p>現代DevOps用不可變的基礎設施（immutable infrastructure）取代了雪花（snowflakes），從而區域性解決了動態平衡問題。雪花基礎設施（snowflake infrastructure）代表的是由營運人員手工製作的資產，所有未來的維護工作都由人工完成。不可變的基礎設施是指完全以程式化的方式定義的系統。對系統的所有更動都必須透過原始碼進行，而不是修改執行中的作業系統。因此，從營運的角度來看，整個系統都是不可變的：一旦系統啟動，就不會再發生其他變化。</p> <p>雖然不變性聽起來似乎是可演化性的對立面，但事實恰恰相反。軟體系統由數以千計的互動部分組成，所有的這些元件之間都存在緊密的依存關係。遺憾的是，開發人員仍在為這些元件中的某一個發生變化所帶來的意外副作用而苦惱。藉由鎖定意外變化的可能性，我們可以控制更多導致系統脆弱的因素。開發人員努力用常數取代程式碼中的變數，以縮簡變化的維度。DevOps將這一概念引入營運工作，使其更具宣告性（declarative）。</p> <p>不可變的基礎設施遵循我們「去除不必要的變數」的建議。建置不斷演化的軟體系統意味著要盡可能控制越多的未知因素越好。要建置能夠預測作業系統最新的服務套件（service pack）會如何影響應用程式的適應性函數，幾乎是不可能的。取而代之，每次執行部署管線時，開發人員都要重新建置基礎設施，盡可能積極地捕捉破壞性變更。如果開發人員能夠從需要考量的要素中，移除像作業系統這種可變但已知的基礎組成部分，他們就能減輕持續測試的負擔。</p> <p>架構師可以找到各種途徑將可變事物轉換為常數。許多團隊還將不可變基礎設施的建議推廣到開發環境中。有多少次，某個團隊成員感嘆：「但它在我的機器上就能執行！」？確保每個開發人員都擁有完全相同的映像，眾多不必要的變數就會消失。舉例來說，大多數開發團隊都會透過儲存庫（repositories）自動更新開發程式庫，但IDE等工具的更新呢？將開發環境捕捉為不可變的基礎設施，開發人員就可以始終在相同的基礎上工作。</p> <p><span style="font-size:28px;"><strong>優先選擇可演化而非可預測</strong></span></p> <p>未知的未知數是軟體系統的剋星。許多專案在開始時都會列出一系列已知的未知數（known unknowns）：開發人員知道他們為此必須學習有關的領域知識和技術。然而，專案也會受到未知的未知數（unknown unknowns）之影響：沒有人知道會出現，但卻意外現身的東西。這就是為什麼所有的「Big Design Up Front（大規模預先設計）」軟體專案都會受挫：架構師無法針對未知的未知因素進行設計。</p> <p>雖然沒有一種架構能在未知中生存，但我們知道，動態平衡會使得可預測性（predictability）在軟體中變得無用。取而代之，我們更傾向於在軟體中建置可演化性（evolvability）：如果專案可以輕易整合變化，那麼架構師就不需要水晶球了。架構不是一項單純的前期活動：專案在其整個生命週期中會以明確或意想不到的方式不斷發生變化。為了隔絕變化帶來的影響，開發人員經常會使用反腐層（anticorruption layer）作為一種常見的保護措施。</p> <p><span style="font-size:28px;"><strong>建立反腐層</strong></span></p> <p>專案經常需要將自身與提供附帶基礎設施的程式庫耦合在一起，如訊息佇列、搜尋引擎等。Abstraction Distraction反模式描述一種情況，即一個專案自身與外部程式庫（無論是商業程式庫還是開源程式庫）有過多「連接」。一旦開發人員需要升級或更換程式庫時，使用該程式庫的大部分應用程式碼都會有基於之前程式庫抽象層的假設。領域驅動設計（domain-driven design）包含一種防止這種現象發生的保護措施，稱為「反腐層（anticorruption layer）」。這裡有個例子。</p> <p>敏捷架構師在做決策時推崇「最後負責時刻（last responsible moment）」原則，用來應對專案中常見的過早購入複雜性的危險。我們為一家從事汽車批發銷售的客戶，斷斷續續地開發了一個Ruby on Rails專案。應用程式上線後，出現了一個意想不到的工作流程。使用者需要一種方式來起始上傳動作，然後透過一些UI機制（如進度列）來了解進度，或者稍後再回頭檢視批次處理是否完成。翻譯成專業術語就是，他們需要非同步上傳（asynchronous upload）。</p> <p>訊息佇列（message queue）是解決此問題的一種傳統架構方案，團隊討論是否要將某個開源佇列新增到架構中。許多專案在此關頭的一種常見陷阱是這樣的態度：「我們知道我們最終會需要一個訊息佇列來處理很多事情，所以我們現在就去買一個最豪華的佇列，然後再慢慢學著善用它」。這種做法的問題在於技術債（technical debt）：專案中本不該存在的東西，卻妨礙了本該存在的東西。大多數開發人員都把難以維護的舊程式碼視為技術債的唯一形式，但專案也可能在無意中經由過早的複雜性買入技術債。</p> <p>對於此專案，架構師鼓勵開發人員尋找比較簡單的方式。有位開發人員發現了BackgrounDRb，這是一個非常簡單的開源程式庫，可以模擬由關聯式資料庫所支援的單一訊息佇列。架構師知道這個簡單的工具可能永遠無法擴充到未來的其他問題，但她沒有其他反對意見。她沒有試圖預測未來的使用情況，而是將其置於API之後，使其相對容易替換。</p> <p>在一週年紀念日前後，出現了第二個非同步需求，是與銷售有關的定時事件。架構師對情況進行了評估，認為使用第二個BackgrounDRb實體就足夠了，於是將其安裝到位，並繼續工作。在兩週年左右，出現了第三個需求，要求不斷更新快取和摘要等值。團隊意識到，當前的解決方案無法處理新的工作量。不過，他們現在對應用程式需要什麼樣的非同步行為有了很好的認識。於是，專案轉向了Starling，這是一個簡單但更為傳統的訊息佇列。由於最初的解決方案被隔離在一個介面之後，兩名開發人員只用了不到一次迭代（在那個專案上花了一週時間）就完成了轉換，而且沒有影響到在該專案上工作的其他開發人員。</p> <p>因為架構師已經設置了一個帶有介面的反腐層，因此更換功能就成了機械性的工作。建立反腐層可以鼓勵架構師思考他們需要從程式庫獲得什麼樣的語意（semantics），而不是特定API的語法（syntax）。但這並不是為所有東西建立抽象層（abstract all the things）的藉口！有些開發社群喜歡搶先使用抽象層，甚至到了模糊焦點的程度，但當你必須呼叫一個Factory來獲取對某個Thing的一個遠端介面的一個proxy時，事情就會變得難以理解。幸運的是，大多數現代語言和IDE都允許開發人員及時（just in time）抽取出介面。如果一個專案發現自己繫結到了一個需要改變的過時程式庫，IDE就可以代表開發人員提取介面（extract an interface），從而形成一個Just In Time（JIT，剛好及時）的反腐層。</p> <p>控制應用程式中的耦合點，特別是與外部資源的耦合點，是架構師的關鍵職責之一。試著找出新增依存關係的實際時機。作為一名架構師，請記住依存關係會帶來好處，但同時也會帶來限制。請確保更新、依存關係管理等方面的收益大於成本。<strong>（本文摘錄整理自《建立演進式系統架構》第7章，碁峰資訊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BC%94%E9%80%B2%E5%BC%8F%E7%B3%BB%E7%B5%B1-600-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 建立演進式系統架構：支援常態性的變更第二版</strong>（Building Evolutionary Architectures, 2nd Edition）</p> <p>Neal Ford, Rebecca Parsons, Patrick Kua, Pramod Sadalage／著；黃銘偉／譯</p> <p>碁峰資訊出版</p> <p>定價：580元</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BC%94%E9%80%B2%E5%BC%8F%E7%B3%BB%E7%B5%B1-250-1.jpg" style="width: 150px;" /></p> <p><strong>Neal Ford</strong><br /> Neal Ford是Thoughtworks公司總監、軟體架構師和「迷因牧人(meme wrangler)」。<a href="https://www.thoughtworks.com/profiles/n/neal-ford" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Thoughtworks</span></span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BC%94%E9%80%B2%E5%BC%8F%E7%B3%BB%E7%B5%B1-250-2.jpg" style="width: 150px;" /><br /> <strong>Rebecca Parsons</strong><br /> Rebecca Parsons博士是Thoughtworks的CTO。<a href="https://www.thoughtworks.com/profiles/leaders/rebecca-parsons" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Thoughtworks</span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BC%94%E9%80%B2%E5%BC%8F%E7%B3%BB%E7%B5%B1-250-3.jpg" style="width: 150px;" /><br /> <strong>Patrick Kua</strong><br /> Patrick Kua是擁有20多年經驗的資深技術領導者。<a href="https://www.thoughtworks.com/profiles/p/patrick-kua" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Thoughtworks</span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%BC%94%E9%80%B2%E5%BC%8F%E7%B3%BB%E7%B5%B1-250-4.jpg" style="width: 150px;" /><br /> <strong>Pramod Sadalage</strong><br /> Pramod Sadalage是Thoughtworks公司Data and DevOps總監，負責在資料庫專業人員和應用程式開發人員之間架起橋樑。<a href="https://www.thoughtworks.com/profiles/p/pramod-sadalage" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Thoughtworks</span></a></p> </div></div></div>
2024/8/30 06:00未署名https://www.ithome.com.tw/article/164702
勒索軟體BlackByte利用VMware虛擬化平臺漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月VMware修補虛擬化平臺ESXi的身分驗證繞過漏洞CVE-2024-37085，隔月微軟警告<a href="https://www.ithome.com.tw/news/164182">有多個勒索軟體駭客組織將其用於攻擊行動</a>，如今也有其他駭客組織跟進。</p> <p>根據思科旗下威脅情報團隊Talos的監控，<a href="https://blog.talosintelligence.com/blackbyte-blends-tried-and-true-tradecraft-with-newly-disclosed-vulnerabilities-to-support-ongoing-attacks/">勒索軟體駭客組織BlackByte就是一例</a>。</p> <p>BlackByte疑似透過暴力破解取得初始存取權限，利用VPN存取受害組織內部網路環境，然後入侵2個管理員層級的帳號提升權限，其中1個帳號的用途，是存取vCenter伺服器；接著，攻擊者為每個ESXi伺服器設置AD網域物件並加入網域，然後又建立其他帳號並加入名為ESX Admins的AD群組。駭客這麼做，是為了利用CVE-2024-37085，從而讓該群組的成員提升在ESXi的權限，控制虛擬機器（VM）、竄改伺服器配置、存取系統事件記錄，或是監控效能。</p> <p>這些駭客利用SMB及RDP這兩個遠端存取管道，進入受害組織的其他系統、資料夾及檔案，並透過NTLM進行身分驗證。他們也藉由竄改系統登錄檔，或是手動從重要系統移除EDR系統的方式，來降低受害組織的資安防護強度，其中1起事故駭客甚至竄改ESXi主機的root密碼。</p> <p>值得留意的是，這些駭客除了利用上述漏洞，攻擊手法也出現變化，首先，是勒索軟體在啟動的過程中，會一口氣部署4個用於自帶驅動程式（BYOVD）攻擊的驅動程式，這些元件來自微星系統超頻工具Afterburner、Dell用戶端韌體更新工具、技嘉主機板公用程式，以及防毒軟體Zemana。這些駭客並非首度濫用合法驅動程式，但研究人員指出，過往這些駭客只會運用2至3支驅動程式。</p> <p>此外，駭客在偵察過程濫用特定使用者帳號，並利用SRVSVC命名管道及特定功能，找出網路環境的共用資料夾。</p> <p>在此同時，駭客會竄改Windows電腦的登錄機碼，停用防毒軟體Microsoft Defender，並將EXE檔列入白名單，然後刪除System32資料夾的特定檔案，例如：taskmgr.exe、perfmon.exe、shutdown.exe。</p> </div></div></div>
2024/8/29 18:29作者周峻佑https://www.ithome.com.tw/news/164762
【資安日報】8月29日，破壞EDR系統運作，惡意驅動程式PoorTry出現新手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了避免端點防護系統干擾勒索軟體加密檔案，最近2至3年，駭客利用含有弱點的驅動程式來達到目的，其中一款名為PoorTry的惡意驅動程式，最近引起研究人員高度關注。</p> <p>研究人員特別提及，此惡意驅動程式也納入了資料破壞軟體（Wiper）的功能，而能刪除EDR系統的EXE、DLL元件，使其無法再度運作。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164748"><strong style="font-size: 22px;">遊戲黑神話：悟空當紅，電玩平臺Steam遭遇大規模DDoS攻擊</strong></a></p> <p>大型電玩遊戲黑神話：悟空於8月20日正式發布，並在電玩平臺Steam售出超過1千萬套而成為熱門話題，上週末卻傳出玩家無法登入遊戲的情況，外界猜測是上線人員過多造成。但後續有資安業者發布消息，認為這是大規模DDoS攻擊事故。</p> <p>24日Steam中國代理商完美世界在網站公告，Steam遭到DDoS攻擊而可能影響遊戲執行，當地資安業者奇安信於隔日透露這起攻擊行動的規模，駭客動用了近60個殭屍網路，攻擊指令24日晚間暴增超過2萬倍，對13個國家、107臺Steam伺服器IP位址，輪番發動攻擊。</p> <p>奇安信於28日透露更多細節，指出這起攻擊行動大致分成4波，攻擊者選擇在各時區遊戲玩家集中上線的時段發動攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164744"><strong style="font-size: 22px;">惡意驅動程式PoorTry被用於抹除EDR系統主要元件</strong></a></p> <p>攻擊者使用含有弱點的驅動程式，從而得到系統核心層級的權限，干擾防毒軟體或EDR運作，其中一種被勒索軟體駭客利用的驅動程式PoorTry（或叫做BurntCigar），最近被發現更具破壞威力。</p> <p>資安業者Sophos在今年7月的勒索軟體RansomHub攻擊行動裡，看到駭客試圖加密電腦檔案，而被他們的端點防護機制CryptoGuard攔截。研究人員在事件調查的過程中，發現駭客在數臺電腦部署PoorTry及載入工具StoneStop，而這些新版惡意工具與過往最大的差異，在於阻擾端點防護系統運作的方式。</p> <p>研究人員指出，這起攻擊行動的過程裡，駭客利用這種惡意驅動程式來破壞EDR系統的運作，像是移除或是竄改核心通知功能，他們總共看到7個裝置輸入和輸出控制（IOCTL）程式碼傳送到EDR核心模式的元件，然後利用EDR Killer的功能終止相關處理程序，並抹除這類系統的重要EXE、DLL檔案，使得EDR系統無法再度運作。</p> <p><a href="https://www.ithome.com.tw/news/164762"><strong style="font-size: 22px;">勒索軟體BlackByte利用VMware虛擬化平臺漏洞發動攻擊</strong></a></p> <p>今年6月VMware修補虛擬化平臺ESXi的身分驗證繞過漏洞CVE-2024-37085，隔月微軟警告有多個勒索軟體駭客組織將其用於攻擊行動，如今也有其他駭客組織跟進。</p> <p>根據思科旗下威脅情報團隊Talos的監控，勒索軟體駭客組織BlackByte就是一例。</p> <p>BlackByte疑似透過暴力破解取得初始存取權限，利用VPN存取受害組織內部網路環境，然後入侵2個管理員層級的帳號提升權限，其中1個帳號的用途，是存取vCenter伺服器；接著，攻擊者為每個ESXi伺服器設置AD網域物件並加入網域，然後又建立其他帳號並加入名為ESX Admins的AD群組。駭客這麼做，是為了利用CVE-2024-37085，從而讓該群組的成員提升在ESXi的權限，控制虛擬機器（VM）、竄改伺服器配置、存取系統事件記錄，或是監控效能。</p> <p><a href="https://www.ithome.com.tw/news/164760"><strong style="font-size: 22px;">韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-3.png" style="width: 300px; float: right;" /></a>資安業者ESET在追蹤韓國駭客組織APT-C-60的攻擊行動過程中，發現怪異的試算表檔案，一旦執行就有可能在受害電腦載入該組織的惡意程式下載元件。研究人員經過調查，發現駭客運用Windows版WPS Office的程式碼執行漏洞，目標是在東亞組織植入後門程式SpyGlace。</p> <p>研究人員指出，駭客利用的漏洞被登記為CVE-2024-7262，4.0版CVSS風險評分達到9.3，這項漏洞存在12.2.0.13110至12.2.0.16412版WPS Office，起因是名為promecefpluginhost.exe的元件存在路徑驗證不當的情況，攻擊者一旦利用，就有機會載入任意的Windows程式庫。研究人員分析根本原因，結果找到另一個漏洞CVE-2024-7263，CVSS風險評分同樣為9.3分。</p> <p><a href="https://www.ithome.com.tw/news/164740"><strong style="font-size: 22px;">Telegram創辦人被控散布兒童性剝削內容及多項犯罪，以500萬歐元交保</strong></a></p> <p>上周在法國被逮捕的Telegram創辦人暨執行長Pavel Durov，本周三（8月28日）以500萬歐元交保，法國指控Durov共謀管理網路平臺以推動非法交易，共謀散布兒童性剝削內容（Child Sexual Abuse Material，CSAM），還說Telegram幾乎不與執法機關合作。法國正在調查Durov，並要求他不得離境。</p> <p>根據Politico報導，法國在今年3月針對Telegram的兄弟檔創辦人Nikolai Durov與Pavel Durov發出逮捕令，主要是因為Telegram拒絕配合法國執法機構對CSAM散布的調查。彭博社（Bloomberg）與金融時報（FT）亦指出，法國對Durov的指控主要是共謀犯罪，涵蓋販毒、洗錢、散布CSAM或仇恨言論等，再加上Telegram幾乎不與執法機構合作，等於是忽視這些犯罪的存在。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://www.netskope.com/blog/phishing-in-style-microsoft-sway-abused-to-deliver-quishing-attacks"><strong style="font-size: 20px;">QR Code網釣駭客濫用微軟Sway設置冒牌網站</strong></a></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-241a">伊朗國家級駭客與勒索軟體駭客狼狽為奸，向美國國防、教育、金融、醫療機構進行勒索</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.microsoft.com/en-us/security/blog/2024/08/28/peach-sandstorm-deploys-new-custom-tickler-malware-in-long-running-intelligence-gathering-operations/">伊朗駭客組織APT33鎖定美國與阿拉伯聯合大公國散布後門程式</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://sec.stealthcopter.com/wpml-rce-via-twig-ssti/"><strong style="font-size: 20px;">WordPress多語系外掛WPML存在重大漏洞，攻擊者可用來遠端執行程式碼</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.fortra.com/security/advisories/product-security/fi-2024-011">Fortra公布檔案傳輸工具FileCatalyst寫死密碼漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164736"><strong>【8月28日】Versa Director零時差漏洞成中國駭客用來入侵ISP的管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164717"><strong>【8月27日】WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164701"><strong>【8月26日】Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕</strong></a></p> </div></div></div>
2024/8/29 18:36作者周峻佑https://www.ithome.com.tw/news/164763
Martech雙周報第61期：Netflix大舉導入程序化廣告相關行銷科技，完善串流廣告平臺功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0818~0831)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#串流平臺廣告 #DCR #程序化廣告 #行銷成效追蹤</span></span></strong><br /> <strong>持續擁抱廣告業務，Netflix整合更多數位行銷通路及多方面Martech服務</strong></p> <p>開始經營廣告業務後，<a href="https://about.netflix.com/en/news/netflix-closes-successful-upfront-and-expands-advertiser-capabilities">Netflix積極轉型為一個數位廣告平臺，與數位廣告不同面向的科技廠商合作來完善廣告業務。</a>近日，他們正式與The Trade Desk、Google Display & Video 360及Microsoft的DSP合作，開放程序化購買廣告功能，同時也導入Google Campaign Manager 360及Innovid作第三方曝光成效驗證技術，以及導入DoubleVerify和Integral Ad Science技術來把關廣告欺詐。他們還預告，今年秋天將支援NielsenOne、Lucid、EDO、NCSolutions、Kantar和 Affinity Solutions等多家廠商來追蹤廣告成效。</p> <p>另一方面，他們與Snowflake、InfoSum和LiveRamp等數據處理商共同打造數據無塵室（DCR），與廣告主在符合隱私法規的環境下交流受眾重疊情況、廣告觸及範圍和頻率等數據。</p> <p>相較於廣告主直接透過Netflix自有通路購買廣告，並由Netflix單方面告知行銷成效，這一系列做法讓Netflix更符合業界程序化數位廣告的標準做法，有利於打破數據及成效隔閡，提升對廣告主吸引力。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#第三方Cookie #瀏覽器廣告</span></span></strong><br /> <strong>eMarketer調查：未來美國市場有高達87%瀏覽器使用者無法用第三方Cookie追蹤</strong></p> <p>儘管Google宣布不再停用第三方Cookie，但提出的配套措施是，讓使用者一次性決定是否授權第三方Cookie追蹤。業界擔憂，此做法實質上是借使用者之手停用了第三方Cookie。針對此疑慮，<a href="https://www.emarketer.com/content/nearly-all-us-browsers-could-become-cookieless-future">研究機構eMarketer調查了美國瀏覽器使用者接受追蹤用Cookie的習慣</a>，並根據結果建議，廣告界仍需積極布局Cookieless解決方案，並不會因為Google名義上續用第三方Cookie而改變。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/351370.png" style="height: 550px;" /></p> <p>調查顯示，現行主動詢問但預設同意的第三方Cookie授權機制下，只有17% Chrome使用者會一律選擇接受，相當於整體美國瀏覽器使用者13%。報告進一步寫道，假設Edge也如預期在2024年完成第三方Cookie退場，則未來只有這13%的人會繼續同意被第三方Cookie追蹤，意味著第三方Cookie追蹤法會幾乎完全失效。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#跨生態圈投廣 #搜尋廣告</span></span></strong><br /> <strong>Google Search Ads 360開始支援微軟自動競價工具及投廣於微軟搜尋通路</strong></p> <p><a href="https://blog.google/products/marketingplatform/360/search-ads-360-adds-support-for-microsoft-automated-bidding/">Google搜尋廣告管理平臺Search Ads 360開始支援微軟自動競價工具Automated Bidding</a>，同時在兩生態系的行銷通路進行廣告投放，並同時利用兩家的AI技術來優化投放策略，即時調整競價預算。</p> <p>支援廣告主同時使用兩方競價技術的是Google跨平臺行銷成效追蹤技術Floodlight。此技術會蒐集廣告主不同通路的行銷活動數據，作為單一數據來源，並共享所需數據給微軟Automated Bidding，作為後者優化行銷策略的依據。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO #生成式AI搜尋</span></span></strong><br /> <strong>大型廣告出版商認為Google生成式AI搜尋功能對網站流量影響尚不明顯</strong></p> <p>生成式AI摘要的功能，會不會衝擊廣告出版商網站的點擊率或互動率，是Google推出AI Overviews摘要功能後，業界一大擔憂。近期，美國大型出版商Dotdash Meredith和Ziff Davis紛紛揭露自家統計數據，都認為目前Google生成式AI搜尋功能AI Overviews沒有明顯影響。這兩家企業都是每月可觸及上億人次的出版商。</p> <p><a href="https://ir.iac.com/static-files/e9c52890-76bd-4555-9927-89e7a6810a35">Dotdash Meredith在股東信中寫道</a>，AI生成答案目前在他們搜尋曝光佔比約為15%，其中在健康、科技和金融領域的頻率最高。曝光於AI Overviews與否，對使用者點擊率（CTR）影響目前仍然不大。<a href="https://discountingcashflows.com/company/ZD/transcripts/">Ziff Davis則在法說會中表示</a>，旗下以有機搜尋流量為主要流量來源的網域中，只有8%來自AI Overviews，影響也不大。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#社群媒體行銷 #行銷成效追蹤</span></span></strong><br /> <strong>X（推特）新增貼文互動情形追蹤工具，能追蹤關鍵字熱門度和貼文互動率的時間趨勢</strong></p> <p><a href="https://twitter.com/verified/status/1827099222652678424">Ｘ新增了一個貼文成效追蹤工具Insights</a>，能視覺化呈現關鍵字熱門時間分析，以及這些含有這些關鍵字貼文的完整列表。另一個重要功能是，呈現出貼文在不同時間的互動數據，以了解貼文或關鍵字何時開始獲得或失去受眾關注。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/twttt.png" style="width: 600px;" /></p> <p>這些功能有助於廣告主平臺趨勢探索、安排貼文時間，以及觀察產業熱門主題變化。不過，目前此工具僅限認證組織（Verified Organizations）帳號使用，光是成為基本認證組織帳號，月費就高達200美元。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AR行銷 #AR硬體 #第三方AR行銷素材創作</span></span></strong><br /> <strong>Meta將終止AR行銷素材創作平臺Spark的服務</strong></p> <p><a href="https://spark.meta.com/blog/meta-spark-announcement">在Meta即將發表自家AR眼鏡Orion之際，他們宣布終止營運AR行銷素材創作平臺Spark。</a>這是一個用來創作AR行銷素材的平臺，用於Facebook和Instagram等社群媒體。Meta說明，未來將只支援由Meta官方開發、管理的AR元素，第三方創作的素材則會在2025年初停止支援。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://www.evidenza.ai/">Martech新創Evidenza推出利用生成式AI產出虛擬顧客，再對他們進行品牌市調等各式顧客調查的解決方案</a></p> <p>2. <a href="https://onetouchintelligence.com/streamtrak-fast-and-curious/">One Touch Intelligence調查顯示目前美國CTV通路的廣告版位過剩，原因是版位供過於求及影片素材製作成本過高</a></p> <p>3. <a href="https://www.linkedin.com/feed/update/urn:li:activity:7224722503342956545/">近期Google出現廣告主帳號被系統擅自為非自家商品投廣，甚至為競爭對手投廣的事件。</a></p> <p>4. Google開始嘗試在有機搜尋結果上標註「內容和標題如一」的認證，而非只是在廣告搜尋結果上</p> <p>資料來源：iThome整理，2024年8月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Netflix、eMarketer、X (Twitter)</p> <p></p> </div></div></div>
2024/8/29 18:38作者郭又華https://www.ithome.com.tw/news/164737
韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>韓國駭客組織鎖定辦公室套裝軟體WPS Office挖掘零時差漏洞，並用於實際攻擊行動，引起研究人員高度關注。</p> <p>資安業者ESET在追蹤<a href="https://www.welivesecurity.com/en/eset-research/analysis-of-two-arbitrary-code-execution-vulnerabilities-affecting-wps-office/">韓國駭客組織APT-C-60的攻擊行動過程中</a>，發現怪異的試算表檔案，一旦執行就有可能在受害電腦載入該組織的惡意程式下載元件。研究人員經過調查，發現駭客運用Windows版WPS Office的程式碼執行漏洞，目標是在東亞組織植入後門程式SpyGlace。</p> <p>研究人員指出，駭客利用的漏洞被登記為CVE-2024-7262，4.0版CVSS風險評分達到9.3，這項漏洞存在12.2.0.13110至12.2.0.16412版WPS Office，起因是名為promecefpluginhost.exe的元件存在路徑驗證不當的情況，攻擊者一旦利用，就有機會載入任意的Windows程式庫。研究人員分析根本原因，結果找到另一個漏洞CVE-2024-7263，CVSS風險評分同樣為9.3分。</p> <p>這些駭客如何利用CVE-2024-7262？當受害者以WPS Office開啟駭客提供的試算表檔案，電腦就會由wps.exe載入qingbangong.dll，驗證試算表的URL部分功能參數，接著啟動promecefpluginhost.exe，最終載入名為ksojscore.dll的程式庫與C2通訊，下載、執行後門程式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/figure-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/figure-3.png" style="width: 580px;" /></a></p> <p>研究人員認為，無論APT-C-60是自行挖掘或是購買漏洞，利用這種漏洞必須對應用程式內部進行研究，並且了解Windows如何載入處理程序，由於WPS Office有不少亞洲用戶，他們認為這代表該組織專門鎖定東亞國家而來。</p> <p>針對駭客使用的這項漏洞，研究人員認為極為狡猾，因為可被用於欺騙用戶點選看似正常的試算表檔案，攻擊者還能搭配MHTML檔案，讓漏洞能夠遠端觸發。</p> <p>罕見的是，ESET在公布調查結果的時候，首先提及漏洞通報的經過，突顯金山很可能早就知道漏洞已被利用的情況，後續處理過程卻不透明。</p> <p>駭客從2月開始利用漏洞後，金山已於3月底悄悄修補了CVE-2024-7672，但並未公告此事，直到4月ESET研究人員分析已上傳到VirusTotal的惡意檔案，發現該漏洞已被用於實際攻擊行動的情況。</p> <p>研究人員進一步調查修補程式碼，發現金山並未完整修補，仍有部分程式碼存在相關弱點CVE-2024-7673，他們後來在5月底通報，金山在6月下旬表示尚在解決問題，到了8月22日卻又改口承認，已於5月底就完成修補。</p> </div></div></div>
2024/8/29 16:51作者周峻佑https://www.ithome.com.tw/news/164760
健保署揭露智慧醫療等4面向進展，持續推動次世代數位醫療平臺計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>健保署署長石崇良日前<a href="http://www.youtube.com/live/hmoSCvKsenQ?si=I55Ic8C-38uhowc3&t=18229">在今年度行政院生技產業策略諮議委員會議（BTC）中，</a>揭露衛福部和健保署IT重點進展，包括在法規調試部分，已制定衛生福利資料管理條例，要保障民眾健保資料運用的退出權，另在智慧醫療部分，則將於2025年開始打造衛生所公版IT系統、持續推動FHIR標準和診所上雲。至於精準醫療和市場面向，則要整合NGS檢測資料至健保雲端查詢系統、將數位醫療納入健保暫時性支付等措施。</p> <p><span style="font-size:22px;"><strong>根據BTC去年建議調整4大政策方向</strong></span></p> <p>BTC是行政院在2005年成立的國家級組織，透過每年召開會議，來給出未來一年的生技醫藥產業發展建議，是政府制定施政方向的重要參考。在每年度的BTC大會中，政府單位也會針對過去建議和未來政策方向，給出整體報告。</p> <p>在今年8月26日展開的BTC大會中，健保署署長石崇良指出，去年BTC提出8大策略共21項建議，其中4大策略與健保署切身相關，包括法規調試、資料治理、智慧醫療和市場准入等共10項建議。健保署也根據這些建議，在過去1年進行改善，可分為法規調試、智慧醫療、精準醫療和市場准入等4個領域。</p> <p><span style="font-size:22px;"><strong>調整1：法規調試</strong></span></p> <p>在法規調試部分，健保署協助推動了4大法規，包括人體生物資料庫管理條例、衛生福利資料管理條例、通訊診察治療辦法修正案以及再生醫療雙法。</p> <p>就人體生物資料管理條例來說，目的是要讓資料庫數位轉型，因此擴大了生物資料庫範圍（納入基因、醫學影像）、提高資料庫整合串接和後續應用、制定資料管理措施（含蒐集、利用與國際傳輸），以及建置合規、安全的資料儲存和利用環境。石崇良點出，該條例草案已預告過一次，預計今年下半年送行政院審議。</p> <p>再來，衛生福利資料管理條例的出現，是要因應2022年8月大法官第13號的違憲判決，來提高健保資料授權使用的明確性和民眾退出權，保障人民資料隱私權。這個條例草案已於今年3月預告，並在8月9日函報行政院，預計下個會期於立法院審查。</p> <p>另一個法規是今年7月1日正式上路的修正版通訊診察治療辦法，擴大了適用遠距醫療的特殊情形、放寬處方開立、增加通訊診療項目，以及增加資安規範。</p> <p>還有一個法規是再生醫療雙法，更明確規範了再生醫療製劑的生命周期管理，並在今年6月19日由總統正式發布。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-29%20160751.png" /></p> <p><span style="font-size:22px;"><strong>調整2：智慧醫療</strong></span></p> <p>接著，在智慧醫療面向，一大亮點是推動次世代數位醫療平臺計畫。石崇良表示，這個政策是根據BTC建議而規畫，要來解決不同醫療機構間，資料難以互通的問題，也要順勢推動醫院醫療資訊系統（HIS）轉型、採用國際醫療資料交換標準FHIR。</p> <p>這個次世代數位醫療平臺（DHP）計畫可分為金字塔3個層級，其中最底層瞄準衛生所，由衛福部打造公版系統，來供衛生所使用、降低維運成本，預計2025年至2027年完成。中層則瞄準區域／地區醫院（包含部立醫院），石崇良表示，這類型醫院大多採用廠商系統，因此衛福部將建置公版基礎建設，來讓廠商依架構規格，發展客製化模組，供地區和區域醫院使用，一樣預計2025年啟動、2027年完成。最高一層鎖定醫學中心，要透過發展FHIR標準，來讓醫學中心系統與衛福部資料中臺介接，預計2024年啟動、2026年完工。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-29%20160903.png" /></p> <p>至於次世代數位醫療平臺本身，可分為底層、共通模組層和應用層等3大層，底層包括了SDK（如資安防護SDK、LLM/影像分析SDK、UI/UX SDK等），容器化的模組、框架和函式庫，如資安模組、AI/GenAI模組框架和函式庫，另還有API框架，像是FHIR API、EMR API、規則引擎等。</p> <p>共通模組層是指與醫療相關的通用模組，如跨院資料交換模組、用戶認證模組、健保申報模組、預約掛號、行動簽章等模組。往上一層則是醫療應用層，包含了醫療資訊系統HIS、護理資訊系統NIS、PACS影像儲傳系統、臨床決策系統和遠距醫療服務等系統服務。</p> <p>這個平臺的開發和建置，採共創模式，由業界專家討論底層架構標準，同時由有意願的業者來開發共通模組和醫療應用。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-29%20160947.png" /></p> <p>次世代數位醫療平臺的建置不止於此，石崇良點出，該計畫還包括臺灣智慧醫療生態系的養成，要建置3大AI中心和AI SMART市集。其中，3大AI中心是指負責任AI執行中心、AI取證驗證中心、AI影響性研究中心，目前已接受醫院遞交申請，預計8月底公布結果。而AI SMART市集則是指，以FHIR為標準打造的智慧醫療應用程式市集，可接軌國際SMART on FHIR市集，是臺灣接軌國際的重要環節。</p> <p>另一個智慧醫療面向的進展亮點，則是健保數位升級，尤其是健保雲和診所雲的發展。石崇良表示，今年健保署已將基本架構規畫好，明年開始擴大診所雲的推動，讓更多診所從過去的地端系統轉為雲端化。同時，他們也會推廣健康存摺SDK，讓更多民間業者申請介接、彙整健康數據。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-29%20161150.png" /></p> <p><span style="font-size:22px;"><strong>調整3&4：精準醫療與市場准入</strong></span></p> <p>在精準醫療面向，健保署已在今年5月將次世代基因定序（NGS）納入健保給付，接下來計畫打造國家級基因資料庫，也要整合NGS檢測資料至健保雲端查詢系統，來讓不同醫院醫師查詢、避免重複檢查。</p> <p>為形成精準醫療生態系，健保署也計畫建置NGS資料收載平臺，來收錄醫院自有實驗室或委外實驗室檢測資料，以及用藥追蹤等資料，來將這些真實世界資料（RWD）與國家級人體生物資料庫平臺整合，供後續研究、研發和科技評估參考。此外，健保署也將推動成立癌症新藥基金，來促進精準醫療生態發展。</p> <p>至於市場准入面向，重點則有將數位醫療納入健保暫時性支付，尤其今年在衡量AI輔助診斷工具納入健保的成本效益和財務衝擊，預計年底完成評估。石崇良指出，這個案例可作為之後數位醫療工具納入健保給付的參考。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-29%20161245.png" /></p> <p>對於尚未納入健保暫時支付的醫療科技，健保署將建置全國性的醫療費用資訊平臺，透過數位化和智慧化工具，如NLP工具來處理非結構化資料，來簡化自費項目收費審查流程。</p> <p>最後，為加速智慧醫材發展，衛福部將推動智慧醫材全方位輔導培育暨產業鏈結加值計畫，預計2026年啟動至2029年止。其特點有4大項，包括進行智慧醫材諮詢輔導時，導入病人為中心及全生命周期概念；協助收集真實世界數據，來加速指標性智慧醫材落地臨床應用；透過健保沙盒，來對智慧醫材進行臨床效益和健保給付評估；針對智慧醫材產品發展，提供國際法規參考。</p> <p><a href="https://drive.google.com/file/d/1DzbqUcobx36TcIWTPbOyQGCetQ3jgwYr/view">完整簡報於此</a>。</p> <p></p> </div></div></div>
2024/8/29 16:20作者王若樸https://www.ithome.com.tw/news/164759
遊戲黑神話：悟空當紅，電玩平臺Steam遭遇大規模DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型電玩遊戲黑神話：悟空於8月20日正式發布，並在電玩平臺Steam售出超過1千萬套而成為熱門話題，上週末卻傳出玩家無法登入遊戲的情況，外界猜測是上線人員過多造成。但後續有資安業者發布消息，認為這是大規模DDoS攻擊事故。</p> <p>24日Steam中國代理商完美世界在網站公告，Steam遭到DDoS攻擊而可能影響遊戲執行，當地資安業者奇安信<a href="https://www.qianxin.com/news/detail?news_id=12378">於隔日透露這起攻擊行動的規</a>模，駭客動用了近60個殭屍網路，攻擊指令24日晚間暴增超過2萬倍，對13個國家、107臺Steam伺服器IP位址，輪番發動攻擊。</p> <p>奇安信於28日透露更多細節，<a href="https://blog.xlab.qianxin.com/more_ddos_details_on_steam_cn/">指出這起攻擊行動大致分成4波，攻擊者選擇在各時區遊戲玩家集中上線的時段發動攻擊</a>。</p> <p>第一波出現在東半球24日中午，影響7個地區的Steam伺服器，時間接近1個小時；第二波同樣針對東半球，發生在24日晚間，駭客針對13個地區的伺服器發動攻擊，為期時間接近5小時最長，但是中間有間斷的情況。</p> <p>接下來的兩波攻擊，針對西半球及歐洲，而且，持續時間大幅縮短。第三波針對西半球，發生在當地24日晚間，攻擊者針對13個地區伺服器發動攻擊，過程接近15分鐘。最後一波則是發生在歐洲，也影響13個地區的伺服器，但時間不到2分鐘。</p> <p><a href="https://s4.itho.me/sites/default/files/images/steam_pic_ddos.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/steam_pic_ddos.png" style="width: 580px;" /></a></p> <p>研究人員指出，鎖定Steam發動DDoS攻擊的情況相當常見，但規模如此龐大的事故並不尋常，他們指出攻擊達到高峰時，駭客下達的命令多達25萬次，而且攻擊範圍也涵蓋遊戲代理商架設的Steam伺服器，這樣的情況，已經遠超過電信業者Verizon及其他知名企業遭遇的攻擊規模。</p> <p>再加上在黑神話：悟空正式推出之前，Steam並未發生如此規模的攻擊行動，研究人員認為駭客顯然是針對這款遊戲而來。</p> <p>而對於發動這波攻擊的殭屍網路，其中研究人員認為最值得留意的是殭屍網路Aisuru，駭客宣稱部署超過3萬個殭屍網路機器人，攻擊威力最大約為1.3 Tbps至2 Tbps。</p> </div></div></div>
2024/8/29 15:02作者周峻佑https://www.ithome.com.tw/news/164748
8萬臺灣企業開發者的成長課題
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「臺灣有多少開發者？」每一年，我會接到好幾通這樣的詢問來電或郵件。</p> <p>產業主管機關想知道該投入多少政策資源培育人才？科技大廠人資主管要評估在地IT人才庫夠不夠？公雲巨頭和晶片業者為了布局臺灣開發者生態圈而問，新創想衡量跨海招募開發好手的必要性。還有中小企業的IT主管很擔心，大廠搶過的開發人力還剩下多少？</p> <p>根據iThome 2024年CIO大調查，今年在臺灣兩千大規模企業中工作的開發人力，推估約8萬4千人。這些大企業中所有的IT從業人員約14萬人，其中約6成4是開發人員，這個比例一年比一年高，3年前只有5成3，今年已經來到6成多，企業越來越需要更多的開發能量和能力。</p> <p>這還沒有涵蓋到臺灣所有從事開發工作，或是具備開發能力的人才，還有更多小公司，獨立開發者，App開發團隊，甚至是就學中的開發人才。但，真正面對、解決大型企業級IT需求的開發者，大約就是這個數字，8萬4千人，他們也是臺灣開發者的核心。</p> <p>開發者的宿命（對有些人來則是種樂趣），就是得不斷學習、追逐新的技術發展。十年前，容器、K8s、微服務架構等雲原生技術體系，才剛成形，現在已經成了IT現代化的主流，是各大企業數位轉型的重要資訊基礎架構，更不用說最夯的生成式AI，ChatGPT爆紅不到3年，GAI輔助開發已經成了CIO非考慮不可的技術決策。</p> <p>從我們今年調查可以看到，越來越多企業的IT部門，開始嘗試、運用不同的生成式AI技術，來輔助IT的技術性工作。26%企業用GAI撰寫文件，18.5%開始嘗試GAI輔助軟體開發和程式碼優化，1成企業開始參考GAI資安助手給的建議。IT人手不足的服務業和一般製造業，這兩個產業更有破2成企業開始用GAI輔助軟體開發。若以8萬4千名企業開發從業人員來推估，可以大膽猜測，臺灣至少超過1萬5千名開發者，開始嘗試GAI輔助軟體開發，這真的是一個龐大的數據，超過1萬人已跟上最新的軟體開發GAI浪潮。</p> <p>但只是嘗試、開始用，還不夠，LLM模型、GAI工具快速進化，隔一年，就會有很大的變化，去年還在談GAI代理人應用的崛起，今年就出現了代理型流程的GAI開發（Agentic Workflow）話題。</p> <p>早在 2015年，我們就積極引介國外的Web實戰和最新的技術潮流來臺，回應臺灣開發者的焦慮和好奇。那一年開始，臺灣最大的Web開發者大會誕生，幾年來，邀請過不少國際大師級專家來臺分享，如JavaScript之父Brendan Eich、PHP之父Rasmus Lerdorf、 JSON格式發明人Douglas Crockford、《DOM Scripting》網頁開發暢銷書作者Jeremy Keith。後來幾年，更有不同國際大企業來臺分享自家開發實踐。去年，<a href="https://www.ithome.com.tw/article/160006" target="_blank"><span style="color:#3366ff;">Zalando前工程經理Andrew Howden就分享了</span></a>，一家5千億營收的歐洲電商巨頭，如何從一支PHP下單網站，發展到2千人雲原生開發團隊的轉型，獲得滿堂掌聲。</p> <p>但是，開發者的成長課題，遠不只有Web開發經驗的交流和學習，這正是為何今年我們進一步擴大開發者大會的議題範圍，從 Modern Web開發大會，轉型為<a href="https://hwdc.ithome.com.tw/2024" target="_blank"><span style="color:#3333ff;">Hello World開發者大會（HWDC）</span></a>，不只網頁開發，還涵蓋了各種開發技術、敏捷開發、開發安全、企業開發實踐、開發領導力，以及最新的AI開發浪潮，不只是臺灣最大的Web開發者大會，而要創造臺灣最大的軟體開發者的交流，光是各種開發議題的工作坊，多達48場，其中11場是AI技術與工具的工作坊。破百場議程分享中也有16場談AI開發經驗。</p> <p>開發者這幾年，相當的辛苦，好幾位IT主管都曾向我抱怨，成長課題越來越重要，得更努力才能跟上這股新科技的潮流。</p> <p>臺灣需要更多開發者間的經驗交流和學習，更多開發新手，得向擅長不同開發技術的前輩學習。各產業的企業都得借鏡科技先行企業的經驗，加速自己的步伐。各領域資深開發者之間，也得互相激盪，累積更多跨領域的觸發。CIO更需要強化開發團隊的戰力，更快掌握更多新技術。這些都是8萬名臺灣企業開發者的成長課題。</p> <p><a href="https://hwdc.ithome.com.tw/2024" target="_blank"><span style="color:#3333ff;">Hello World開發者大會</span></a>，這是我們想打造的臺灣開發者學習空間，推薦大家來玩，來成長。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/hello-world%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%A7%E6%9C%83">Hello World開發者大會</a></div><div class="field-item odd"><a href="/tags/hwdc">HWDC</a></div></div></div>
2024/8/29 14:32作者王宏仁https://www.ithome.com.tw/voice/164747
惡意驅動程式PoorTry被用於抹除EDR系統主要元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者使用含有弱點的驅動程式，從而得到系統核心層級的權限，干擾防毒軟體或EDR運作，其中一種被勒索軟體駭客利用的驅動程式PoorTry（或叫做BurntCigar），最近被發現更具破壞威力。</p> <p>資安業者Sophos在<a href="https://news.sophos.com/en-us/2024/08/27/burnt-cigar-2/">今年7月的勒索軟體RansomHub攻擊行動</a>裡，看到駭客試圖加密電腦檔案，而被他們的端點防護機制CryptoGuard攔截。研究人員在事件調查的過程中，發現駭客在數臺電腦部署PoorTry及載入工具StoneStop，而這些新版惡意工具與過往最大的差異，在於阻擾端點防護系統運作的方式。</p> <p>研究人員指出，這起攻擊行動的過程裡，駭客利用這種惡意驅動程式來破壞EDR系統的運作，像是移除或是竄改核心通知功能，他們總共看到7個裝置輸入和輸出控制（IOCTL）程式碼傳送到EDR核心模式的元件，然後利用EDR Killer的功能終止相關處理程序，並抹除這類系統的重要EXE、DLL檔案，使得EDR系統無法再度運作。</p> <p>他們特別提及，去年<a href="http://www.ithome.com.tw/news/157011#poortry">趨勢科技發現的PoorTry</a>其實已納入相關的破壞功能，但直到這起攻擊行動才實際運用。</p> <p>針對這樣的態勢，研究人員指出，PoorTry發展至今，已從原本單純讓防毒軟體、EDR與系統脫鉤的工具，發展成類似Rootkit的惡意軟體，不只能對於控制低階作業系統功能的API進行控制，也可以直接從磁碟破壞EDR系統，從而為勒索軟體的加密工作鋪平道路。目前他們已確認有5個勒索軟體駭客組織使用這項工具，這些組織是：BlackCat、Cuba、LockBit、Medusa、RansomHub。</p> <p>此惡意驅動程式最早在2022年底由資安業者<a href="https://www.mandiant.com/resources/blog/hunting-attestation-signed-malware">Mandiant</a>、<a href="https://news.sophos.com/en-us/2022/12/13/signed-driver-malware-moves-up-the-software-trust-chain/">Sophos</a>、<a href="https://www.sentinelone.com/labs/driving-through-defenses-targeted-attacks-leverage-signed-malicious-microsoft-drivers/">SentinelOne</a>不約而同發現，趨勢科技隔年發現勒索軟體駭客BlackCat用於另一波的行動，並指出駭客為該驅動程式加入許多新功能。</p> </div></div></div>
2024/8/29 12:40作者周峻佑https://www.ithome.com.tw/news/164744
Google Gemini新增可客製化的個人助理Gem、全面部署Imagen 3圖片生成模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google昨（28）日<a href="https://blog.google/products/gemini/google-gemini-update-august-2024/" target="_blank">宣布</a>Gemini AI服務改版，加入可客製的個人AI助理Gem，以及高品質圖片生成模型Imagen 3全面部署到免費及付費版服務。此外，生成人物圖片的功能也重新上線。</p> <p>Gem是Google I/O曾預覽過的功能，是可客製化版本的Gemini。用戶可針對特定主題或目的客製化成特殊主題專家。用戶可自建一個專家團隊協助完成重大專案、為大型活動腦力激盪，或為社群平臺貼文撰寫標題。Google說，只要撰寫指令、給個名字就完成了，它還會記得用戶輸入的詳細指令，可節省重複性或困難任務的AI助理的開發時間。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0829-Gem.png" style="width: 483px;" /></p> <p>過幾天，這項功能會推向有150多國家地區的Gemini Advanced、或是Business及Enterprise版本訂閱用戶。Gem共支援30多種語言，但Gemini應用程式必須同樣支援使用者所在的國家/地區和語言，才能在該程式中使用這項功能。</p> <p>為協助用戶入手，Google已預建了一些用於困難任務的Gems。像是引導學習的學習教練、幫忙想點子的腦力激盪者、可制訂自我提升計畫的生涯規劃顧問、改善文法到文章結構的撰文編輯，以及撰寫程式的小幫手等。</p> <p>另外，本月<a href="https://www.ithome.com.tw/news/164516" target="_blank">稍早</a>只提供美國市場的圖像生成模型Imagen 3，未來幾天內將全面部署到Gemini AI助理。</p> <p>Imagen 3為一潛在擴散模型（latent diffusion model），能根據用戶輸入的文字提示產生高品質圖片。Google說，DeepMind團隊大幅提升Imagen 3提示理解能力，使模型能了解並遵循落落長、充滿形容詞和複雜的提示，並生成細節繁複、色彩鮮豔、以及視覺設計更豐富的圖片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0829-imagen%203.png" style="width: 600px;" /></p> <p>Imagen 3在多項測試中，超越競爭者如DALL-E 3、Midjourney v6、Stable Diffusion（SD）3 Large、SD XL 1.0等模型。</p> <p>由於Imagen<a href="https://www.ithome.com.tw/news/161434" target="_blank">剛上線時</a>曾讓Gemini鬧出生成黑人美國開國元勛、或是女性教宗圖片的錯誤，讓Google延後Gemini人物圖片生成的服務上線。和Gem一樣，這項功能目前僅開放給Gemini Advanced、Business、和Enterprise方案用戶，僅提供英文版。Google說會持續改進其技術能力，以及安全與品質監控工具，也會提供清楚的產品原則。</p> <p>Google說，Imagen 3內建安全護欄並遵循產品設計倫理原則。此外，一如Imagen 2，新版本也使用了Google自有開發的浮水印技術SynthID防範冒充真人創作。用戶握有控制權，若生成的圖不滿意也可令Gemini重新生成圖片。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/8/29 12:41作者林妍溱https://www.ithome.com.tw/news/164745
瀏覽器公司Brave傳裁員14%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Techcrunch<a href="https://techcrunch.com/2024/08/28/brave-lays-off-27-employees/" target="_blank">報導</a>，獨立瀏覽器開發商Brave近日悄悄裁減了27名員工。</p> <p>依據第三方研究機構Pitchbook的數據，Brave員工數約為190人，因此這波裁員比例約為14%。Brave證實裁員，但並未透露確切的裁員規模。</p> <p>而這也是這家瀏覽器暨搜尋業者繼去年10月裁員9%後，第二波為人知的人事精簡行動。</p> <p>創立於2015年的Brave原本是封鎖所有分析與追蹤元件的隱私瀏覽器，2019年擴大獲利策略，推出隱私廣告及加密貨幣回饋方案Brave Rewards，允許隱私廣告露出的用戶可獲得廣告分潤。Brave 近年在AI風潮下，也推出了Leo助理Leo chatbot及自有AI模型。</p> <p>今年Brave並將Leo chatbot整合到搜尋服務中，供用戶以自然語言搜尋網際網路。此外，Brave也推出月費14.99美元的Leo Premium，提供付費用戶更多AI模型存取權及用量。</p> <p>不過Brave並未說明，AI營運的成本是否和此次裁員有關。</p> </div></div></div>
2024/8/29 13:01作者林妍溱https://www.ithome.com.tw/news/164746
OpenAI打算再融資，這次估值將超過1,000億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報（WSJ）本周引述消息來源<a href="https://www.wsj.com/tech/ai/openai-in-talks-for-funding-round-valuing-it-above-100-billion-4f0550c5?st=nx0j2f01jkw4yna" target="_blank">報導</a>，OpenAI正在協商新一輪的融資，打算募集數十億美元，而此次所估算的OpenAI身價將超過1,000億美元。</p> <p>OpenAI自於2022年11月推出ChatGPT聊天機器人之後，身價扶搖直上，在2023年1月獲得微軟注資100億美元，當時OpenAI的估值為290億美元，已是2021年的兩倍；在OpenAI於2023年第四季開放員工出售股票時，估值則為860億美元，接近年初的3倍。</p> <p>根據報導，此次OpenAI的融資活動將由創投Thrive Capital領投，將投資10億美元，微軟也可能會加碼。此外，就算不是正式的融資活動，觀察OpenAI股票在二級市場的價格，其估值也已超過1,000億美元。</p> <p>The Information日前曾<a href="https://www.ithome.com.tw/news/162048" target="_blank">揭露</a>，微軟與OpenAI正在規畫一項資料中心專案，準備於6年內投入超過1,000億美元以建置多座超級電腦。</p> </div></div></div>
2024/8/29 12:10作者陳曉莉https://www.ithome.com.tw/news/164742
Nvidia財報出爐，營收再成長122%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia周三（8/28）<a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-second-quarter-fiscal-2025" target="_blank">公布截</a>至今年7月28日的2025財年第二季財報，該季Nvidia創下300億美元的營收，比去年同期成長122%，比上一季增加15%。當中，資料中心營收再創263億美元的新紀錄，比去年成長154%，比上一季成長16%。儘管財報超出預期，但Blackwell的延後上市，或許再加上對下一季的持平展望，讓Nvidia當天的盤後股價下滑了6.89%，跌至116.95美元。</p> <p>在300億美元的營收中，有263億美元來自於資料中心，占Nvidia總營收的87.7%；遊戲營收為29億美元，比上一季成長9%，比上一年成長16%；專業視覺化營收為4.54億美元，比上一季成長6%，比上一年成長20%；汽車與機器人業務則創下3.46億美元的營收，比上一季成長5%，比上一年成長37%。該季Nvidia的每股盈餘為0.68美元。</p> <p>AI帶動了Nvidia的資料中心業務，讓資料中心成為Nvidia成長最快也占比最高的營收來源。且根據估計，在全球AI晶片的銷售中，就有8成來自Nvidia。</p> <p>Nvidia創辦人暨執行長黃仁勳表示，市場對<a href="https://www.ithome.com.tw/news/150060" target="_blank">Hopper</a>的需求依然強勁，但對Blackwell的期待則令人難以置言，隨著全球資料中心正在全面推動加速運算與生成式AI，讓Nvidia的營收創下新紀錄。</p> <p>不過，原本預期會在第三季出貨的新一代Blackwell晶片，卻才開始送樣，分析師估計應會到第四季才開始出貨。另外，Nvidia預期下一季的收入約為325億美元。</p> </div></div></div>
2024/8/29 10:33作者陳曉莉https://www.ithome.com.tw/news/164739
企業更需要新技術的適應力
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年iThome CIO大調查中，<a href="https://www.ithome.com.tw/article/164620" target="_blank"><span style="color:#3333ff;">有項企業對於生成式AI浪潮的準備度盤點</span></a>，不論在資料面、技術架構、戰略、風險治理、人才的能力上，多數CIO都自評自家企業的準備遠遠不夠，只有1成企業在資料與戰略面有較高的準備度，GAI人才更是嚴重不足，只有4.6%的企業有足夠的人才儲備。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/164620" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/196-%E5%B0%81%E9%9D%A2p2-GAI-600-3-PNG.png" style="width: 600px;" /></a></p> <p>就連IT預算向來比其他產業高很多的金融業，也只有17%金融業者做好資料準備，8成金融CIO自認在技術面和戰略面的準備不夠高，治理與人才的準備度更低。這樣結果讓我相當驚訝，但又不意外。</p> <p>生成式AI浪潮帶來的影響是根本性的，不只是AI技術面的突破，諸如辦公室生產力的提升、程式碼開發輔助、複雜基礎架構維運的優化，明顯讓企業看到成果，甚至改變了不少企業原本的作業模式。</p> <p>全球零售龍頭Walmart，最近在一場財報法說會議中就透露，要維護超過4億款商品品項的目錄非常困難，後來，他們改用生成式AI來處理高達8.5億筆的資料。「沒有生成式AI，在相同時間內完成同樣作業，需要近100倍人力。」Walmart資深副總裁Stephanie Wissink直言。提高產品目錄資料品質的好處，不只可以改善商品搜尋和產品推薦，連倉儲管理、訂單履行到店員服務都能有不小的優化。</p> <p>Walmart不只將生成式AI用於整理型錄資料，更有一款內部員工用的GAI助手，可以回答門市營運管理、庫存管理、保險與福利、薪資管理、員工訓練等數十種類問題。對外更打造了可提供超級個人化建議的GAI購物助手，也正在開發一款給第三方賣家的客服Chatbot。</p> <p>不只Walmart，已有許多企業看好，也逐漸找出生成式AI的價值和影響，而不只是趕搭ChatGPT熱潮而已。根據我們今年的CIO大調查，高達3成的臺灣企業正在嘗試和驗證GAI技術的各種可行性和場景。</p> <p>但是，生成式AI竄紅到現在，不過短短2年，科技巨頭們激烈競爭，紛紛投入龐大資本打造AI硬體設備，來加速大型語言模型的訓練，例如Meta用3千臺伺服器共2萬5千顆GPU的超大叢集，訓練4,050億參數的Llama 3模型，只花了54天，幾乎可以說只花了2個月就能改版。指標性大型語言模型幾乎是一年一次大改版，科技巨頭更推出各種GAI工具和服務，這些服務也隨著大型語言模型改版，而快速升級，甚至翻新。</p> <p>生成式AI技術和工具的快速演化之快，企業很難有足夠資源和人力，跟上科技巨頭不斷加速的技術競賽，才剛學會一項GAI技術或工具，可能就開始出現新版本的預覽。這也難怪，今年大調查中，幾乎很少有CIO認為自己做好了面對生成式AI浪潮的準備。</p> <p>就算準備不足，企業還是超想用生成式AI，高達4成企業要求CIO將AI創新列為年度目標，生成式AI就是關鍵。臺灣企業幾乎沒有能力自行從頭訓練LLM，必須善用科技巨頭的技術和服務，將各種雲端GAI技術和服務，串接到自家應用中整合，這又考驗企業的IT現代化程度和雲原生技術力。企業IT必須要能適應高速競爭下快速演化的生成式AI生態圈，以及GAI所連帶加速的既有技術領域，例如全新的GAI輔助開發模式。</p> <p>對新技術的適應力（Adaptability）將會成為企業IT需要的新能力，快速掌握一項新技術的變化，甚至有能力快速套用到自家的開發流程中，整合到自家應用系統中，企業過去在敏捷開發，DevOps、雲原生技術架構的累積和能力，都會是企業更快速掌握新技術變動的基礎。</p> <p>Walmart也有一套可以因應新技術不斷演化的作法，他們打造了一套內部用的生成式AI沙盒（GenAI Playground），提供多種GAI最新開發工具及測試環境，讓員工自己嘗試GAI，甚至提供了No-Code開發工具，連不熟技術的業務人員也能用GAI來創新，加入新技術的應用和創新的行列。不論GAI技術怎麼進化，Walmart這個做法，有機會進一步邁向全員創新，這是企業對新技術展現適應力最好的例子。</p> <p><a href="https://www.ithome.com.tw/article/164659" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1196-feng_mian_-p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=Xk3ieTol" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ithome-2024-cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">iThome 2024 CIO大調查</a></div><div class="field-item odd"><a href="/tags/cio%E5%A4%A7%E8%AA%BF%E6%9F%A5">CIO大調查</a></div><div class="field-item even"><a href="/tags/walmart">walmart</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div></div></div>
2024/8/29 10:49作者王宏仁https://www.ithome.com.tw/voice/164660
Telegram創辦人被控散布CSAM與其它犯罪，以500萬歐元交保
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周在法國被<a href="https://www.ithome.com.tw/news/164687" target="_blank">逮捕</a>的Telegram創辦人暨執行長Pavel Durov，本周三（8/28）以500萬歐元交保，但法國指控Durov共謀管理網路平臺以推動非法交易，共謀散布兒童性剝削內容（Child Sexual Abuse Material，CSAM），還說Telegram幾乎不與執法機關合作。法國正在調查Durov，並要求他不得離境。</p> <p>根據<a href="https://www.politico.eu/article/exclusive-telegram-ceo-brother-nikolai-durov-wanted-france-authorities-pavel-durov/" target="_blank">POLITICO</a>的報導，法國是在今年3月針對Telegram的兄弟檔創辦人Nikolai Durov與Pavel Durov發出了逮捕令，主要是因為Telegram拒絕配合法國執法機構對CSAM散布的調查。</p> <p>報導指出，法國調查人員在Telegram上臥底，以調查CSAM案件，發現了一名涉嫌自製並散布CSAM、也涉嫌非禮兒童的Telegram用戶，這使得法國企圖與Telegram交涉以確定該名用戶的真實身分，但Telegram卻無任何回應。</p> <p>而<a href="https://www.bloomberg.com/news/articles/2024-08-28/telegram-ceo-charged-in-france-for-alleged-criminal-use-of-app" target="_blank">彭博社</a>（Bloomberg）與<a href="https://www.ft.com/content/750b2fe4-5a1f-4484-a193-bb23e1b6475d" target="_blank">金融時報</a>（FT）的報導亦顯示，法國對Durov的指控主要是共謀犯罪，不管是販毒、洗錢、散布CSAM或仇恨等，再加上Telegram幾乎不與執法機構合作，等於是忽視這些犯罪的存在。</p> <p>目前並無任何證據顯示Durov直接參與了相關的犯罪行為，在Durov遭到逮捕時，Telegram也曾發表聲明，指出宣稱Telegram或其所有人應對該平臺遭到濫用而負責是荒謬的。</p> </div></div></div>
2024/8/29 11:01作者陳曉莉https://www.ithome.com.tw/news/164740
Nvidia公布Blackwell平臺AI推論Llama 2執行效能，為前代GPU 4倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia昨（28）日公布財報，並<a href="https://blogs.nvidia.com/blog/mlperf-inference-benchmark-blackwell/" target="_blank">公布</a>下一代GPU架構Blackwell的執行效能，宣稱執行Llama 2的效能是前代產品的4倍。</p> <p>Nvidia希望趁財報，為其預計第4季上市的Blackwell平臺晶片包括B100、B200暖場，但報導指出，新晶片因設瑕疵，推出時程可能會延遲到2025年第2季。</p> <p>Nvidia宣稱，在最新的MLPerf Inference 4.1標竿測試中，Nvidia平臺做過所有資料中心的測試，其中Blackwell平臺產品執行MLPerf最大的LLM工作負載Llama 2 70B的測試效能，比前一代Nvidia H100 Tensor Core GPU快高達4倍，這要拜第二代Transformer人工智慧引擎和FP4精度的Tensor Core核心所賜。</p> <p>最新的MLPerf標竿測試加入新的測試項目。其中包含專家混合（Mixture of Experts，MoE）模型，特別是Mixtral 8x7B模型。MoE模型之所以大行其道，是因為可支援多種任務、回答多種問題的企業開發需求，而且由於每次推論只需啟動幾個專家（而非整個模型），效能也更高。另一方面，LLM的推論應用持續增長，也推升對運算的需求，使多GPU（multi-GPU）運算成為必要。</p> <p>有鑒於此，Nvidia指出，前代Hopper架構為基礎的Nvidia NVLink互連技術和NV Switch晶片已經支援大型模型的即時推論。而新一代的Blackwell平臺將進一步以72顆GPU及更大的NVLink網域擴展NV Switch晶片的能力。</p> <p>除了新Blackwell架構，Nvidia並宣稱其H200 GPU搭載推論軟體Triton Inference Server在最近一次MLPerf測試表現，比前一次提升27%。而在邊緣運算平臺上，NVIDIA Jetson AGX Orin SOM（system-on-modules）在執行GPT-J LLM模型的測試中，傳輸量提升6.2倍，而延遲性則改善2.4倍。Nvidia表示，這效能表現讓Jetson平臺很適合於本地執行LLM、視覺transformer模型及Stable Diffusion模型等任務。</p> </div></div></div>
2024/8/29 11:19作者林妍溱https://www.ithome.com.tw/news/164741
Redis鎖定AI應用開發推出RAG等一系列新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>記憶體資料庫Redis公司推出<a href="https://redis.io/blog/introducing-another-era-of-fast/">一系列產品功能更新</a>，以支援企業人工智慧應用程式開發。功能更新包括Redis for AI、Redis Flex、Redis Copilot和Redis資料整合等，這些新功能不只提供更高效的人工智慧開發工具、靈活的基礎架構，同時也強化資料整合能力，以支援快速且可擴展的應用程式開發。</p> <p>許多資料庫滿足人工智慧應用開發需求，開始添加專門的功能，Redis也不例外。Redis for AI提供了多項人工智慧應用程式開發功能，首先是支援檢索增強生成（RAG），結合快速的Redis記憶體資料庫，其提供一個即時架構，能加快生成式人工智慧應用程式的回應速度。而新的語義快取功能，則可以快速檢索已儲存的答案，減少呼叫大型語言模型的成本。</p> <p>Redis for AI還有大型語言模型記憶功能，提供個人化用戶對話。而代理記憶功能可加速代理的複雜推理功能，提供更準確和快速的回答。Redis for AI還有加入特徵儲存功能，可在生產環境中向機器學習提供低於1毫秒的高速預測，大幅提升模型的效能。</p> <p>由於Redis近期收購了鍵值儲存引擎Speedb，由該引擎支援的Redis Flex也成為本次更新的一部分。Redis Flex是一個可大幅降低快取成本的服務，官方指出，開發者能以相同的價格獲得5倍的快取容量。過去，Redis的自動分層功能只適用於大型快取，而小型快取因為成本、策略和應用上的限制，常導致快取未命中，而Redis Flex則針對DRAM和SSD儲存設計，進一步最佳化了快取的執行效能，提供比傳統記憶體解決方案更低成本的快取服務。</p> <p>Redis也提供了一款名為Redis Copilot的免費虛擬助手，協助開發者快速檢索文字訊息、生成程式碼片段和指令，並且可以使用自然語言進行資料查詢。Redis Copilot與一般虛擬助理使用體驗類似，只不過更貼近Redis自家各項功能與需求，使開發者能夠獲得更精確的回應。</p> <p>此外，Redis還推出新的資料整合功能，其目的在於加速應用程式的運作。資料整合透過自動化資料工作管線，從外部資料庫同步資料到Redis中。開發者只需要使用API就可進行連接，不僅簡化開發過程，也提高了資料的可靠性。</p> </div></div></div>
2024/8/29 08:19作者李建興https://www.ithome.com.tw/news/164735
【資安日報】8月28日，Versa Director零時差漏洞成中國駭客用來入侵ISP的管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週SASE供應商Versa Networks發布了一則不太尋常的資安公告，提及SD-WAN管理主控臺Versa Director的高風險遭到APT駭客利用，他們將協助客戶儘速緩解漏洞。</p> <p>值得留意的是，該公司已於6月下旬發布修補程式，但為何事隔2個月特別發布資安公告？很有可能與近期電信業者Lumen公布相關攻擊事故有關，Lumen指出，這項漏洞在Versa修補之前就遭到利用。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164722"><strong style="font-size: 22px;">美國ISP遭到中國駭客Volt Typhoon入侵，利用Versa Director零時差漏洞而得逞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Versa1_1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Versa1_1.jpg" style="width: 300px; float: right;" /></a>8月26日SASE供應商Versa Networks揭露高風險漏洞CVE-2024-39717，並指出這項漏洞存在於SD-WAN管理主控臺Versa Director的圖形介面客製化功能，攻擊者可藉由這項漏洞上傳假冒為PNG圖檔的惡意程式，值得留意的是，該公司特別提及這項已於6月下旬修補的漏洞，有APT駭客用於實際攻擊行動，呼籲用戶要儘速套用修補程式，並採取最佳安全實務的相關措施，隔日，美國網路安全暨基礎設施安全局（CISA）也將這項漏洞列入已被利用的漏洞名冊（KEV）。</p> <p>但究竟Versa提及的APT駭客是誰？電信業者Lumen旗下的資安實驗室Black Lotus指出，這波攻擊行動是中國駭客Volt Typhoon所為，有5家網路服務供應商（ISP）及代管服務供應商（MSP）受害，其中有4家為美國公司。一旦駭客成功利用漏洞，就會於網路環境部署名為VersaMem的Web Shell，藉此收集帳密資料，而能進入下游客戶的網路環境。</p> <p><a href="https://www.ithome.com.tw/news/164725"><strong style="font-size: 22px;">即時通訊軟體Pidgin外掛程式市集被用於散布惡意程式DarkGate</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GV7ESmUXMAAteSt.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GV7ESmUXMAAteSt.jpeg" style="width: 300px; float: right;" /></a>8月22日即時通訊軟體Pidgin發布公告，指出於7月6日上架的惡意外掛程式ss-otr（ScreenShareOTR）含有鍵盤側錄程式，而且還可能進行螢幕截圖將使用者操作畫面外流，他們在8月16日接獲通報，隨即將此外掛程式下架，並著手調查，呼籲已經安裝此外掛程式的用戶立即移除。</p> <p>針對這起惡意外掛程式的資安事故，資安業者ESET也著手調查此事，指出該外掛程式Windows版檔案名稱為ss-otr-1-1-0_installer_win32.exe，具有來自波蘭公司Interrex的有效簽章，雖然使用者依照指示安裝確實會在Pidgin加入駭客宣稱的功能，但內含的惡意程式碼會從C2伺服器下載PowerShell指令碼並執行，然後於受害電腦植入惡意程式DarkGate。</p> <p>研究人員進一步指出，駭客不光針對Windows用戶，Linux用戶也無法倖免。駭客也實作具有類似功能的Linux外掛程式pidgin-screenshare.so，同樣能夠下載並執行惡意指令碼。</p> <p><a href="https://www.ithome.com.tw/news/164731"><strong style="font-size: 22px;">勒索軟體Razr濫用雲端服務PythonAnywhere從事攻擊行動</strong></a></p> <p>雲端沙箱服務供應商Any.Run揭露名為Razr的勒索軟體，並指出駭客在作案過程當中，濫用名為PythonAnywhere的雲端程式碼執行服務，存放勒索軟體的有效酬載，以及受害電腦資訊。</p> <p>經過研究人員進一步分析，他們發現此勒索軟體的運作過程中，會產生唯一的受害電腦識別碼（ID）、加密金鑰，以及初始攻擊向量（Initialization Vector），並將這些資料以未加密處理的JSON檔案傳送至外部伺服器，然後於密碼區塊鏈（Cipher Block Chaining，CBC）模式下，透過AES-256演算法執行檔案加密。</p> <p><a href="https://www.ithome.com.tw/news/164698"><strong style="font-size: 22px;">PowerShell惡意軟體下載工具PeakLight埋藏在記憶體內運作，散布多種惡意程式</strong></a></p> <p>資安業者Mandiant最近揭露惡意程式下載工具PeakLight攻擊行動，駭客假借提供盜版電影為由，散布帶有捷徑檔案（LNK）的ZIP壓縮檔，一旦使用者開啟LNK檔，電腦就與特定的內容交付網路（CDN）連線，下載名為PeakLight的惡意程式下載工具，然後於受害電腦植入LummaC2（Lumma Stealer）、ShadowLadder（Hijack Loader）、CryptBot等惡意酬載。</p> <p>根據LNK檔的命令，大致可分成兩種，其中一種是濫用公用程式forfiles.exe尋找win.ini檔案，並啟動PowerShell，然後透過公用程式mshta.exe從特定網域搜尋下載、執行第二階段酬載；另一種則是直接執行PowerShell，啟動mshta.exe下載有效酬載，但特別的是，攻擊者下達命令時，會用到萬用符號，但為何要這麼做，研究人員沒有解釋。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.xlab.qianxin.com/more_ddos_details_on_steam_cn/"><strong style="font-size: 20px;">中國3A大作黑悟空當紅，電玩平臺Steam遭遇大規模DDoS攻擊</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.com/hz-rat-attacks-wechat-and-dingtalk/113513/">使用中國即時通訊軟體的macOS用戶遭到鎖定，駭客企圖散布後門程式HZ RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://asia.nikkei.com/Spotlight/Cybersecurity/China-seen-using-white-hat-hackers-to-boost-cyberattack-capability">中國政府要求白帽駭客參與網路攻擊</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://thehackernews.com/2024/08/over-1-million-domains-at-risk-of.html"><strong style="font-size: 20px;">百萬網域曝露Sitting Ducks網域挾持弱點</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://embracethered.com/blog/posts/2024/m365-copilot-prompt-injection-tool-invocation-and-data-exfil-using-ascii-smuggling/">M365 Copilot存在ASCII走私漏洞，攻擊者恐藉此竊取資料</a></strong></p> <p> </p> <p> </p> <h3><strong>【資安防護措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164718"><strong style="font-size: 22px;">數位部開始測試打詐通報查詢網，透過自動化加快詐騙訊息處理流程</strong></a></p> <p>數位部長黃彥男上任滿百天，對外展示上任後的小成績單，其中在政府力推的打詐方面，他表示，在立法院三讀通過的打詐專法，相關子法也將於年底前完成。另外，由數位部建置的打詐通報查詢網也已開始封測，未來內部測試順利，行政院通過後，將會開放民眾使用。</p> <p>數位部政務次長林宜敬指出，當民眾在臉書看到疑似詐騙廣告內容，可將廣告連結複製貼上打詐通報查詢網，除了民眾通報之外，打詐通報查詢網結合資安院開發的AI偵測技術，可以自動偵測巡檢詐騙廣告，每月可偵測超過50萬筆廣告，宣稱偵測準確度達93%。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164717"><strong>【8月27日】WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164701"><strong>【8月26日】Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164662"><strong>【8月23日】協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料</strong></a></p> </div></div></div>
2024/8/28 18:13作者周峻佑https://www.ithome.com.tw/news/164736
BTC提出智慧醫療發展建議，強調AI新藥設計、次世代醫療IT系統開發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年度行政院生技產業策略諮議委員會議（BTC）在28日<a href="https://www.youtube.com/watch?v=g2QhHKWUuW0">閉幕會中提出智慧醫療發展建言</a>，供政府部會作為未來施政的重要參考。這些建議特別聚焦AI技術應用和醫療IT轉型，涵蓋3大議題、6大面向共25項建議，如AI新藥設計、運用IoT和AI優化供應鏈管理，以及持續推動次世代醫療資訊系統開發等。</p> <p><span style="font-size:22px;"><strong>3大議題涵蓋智慧創新、生醫永續和健康臺灣</strong></span></p> <p>BTC委員代表閻雲進一步說明，這3大議題包括智慧創新、生醫永續和健康臺灣。其中，智慧創新有3個目標，包括要加速新穎性生醫產品的開發、強化轉譯研究，以及用AI等跨域科技來發展臺灣的關鍵技術，像是新藥製造、檢測技術、在宅醫療科技和創新醫材等。</p> <p>生醫永續則是指打造臺灣品牌、往全球發展，而健康臺灣是要建置更完善的法制環境和科技應用（如智慧醫療、居家／遠距醫療、生醫數據應用），來推動全人健康照護和生醫產業發展策略。</p> <p>閻雲表示，這3大議題還可細分為6大面向，包括AI賦能應用、醫療資訊／健康數據、精準健康／全人健康照護、人才／資金、落地發展／市場准入，以及國際鏈接／市場布局，這6大面向下共包含了25項建議。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-08-28%20190528.png" /></p> <p><span style="font-size:22px;"><strong>AI、IT轉型成今年建議亮點</strong></span></p> <p>有別於去年，今年的建議大力強調AI應用和醫療IT發展。</p> <p>比如在AI賦能面向，BTC建議將AI用於4大領域，包括<strong>研發、檢測、製程</strong>和<strong>智慧健康</strong>，在研發部分，建議將AI用於藥物探索、藥物設計、篩選和開發等領域。檢測部分，則是要發展AI高解析度影像分析、打造疾病風險評估平臺，以及早期篩檢和診斷平臺。製程部分是要用IoT和AI，來加速開發、優化製程、生產營運和供應鏈管理。</p> <p>智慧健康部分的建議是要發展AI生醫軟硬體，而且要結合民間、醫學中心，來成立健康數據服務公司。閻雲表示，這項成立公司的建議是創舉也是期待，希望國家來共同推動，加速發展智慧健康檢測系統、建立更有效的個人化精準健康醫療和預防醫學。</p> <p>在醫療資訊面向，一大重點是推動次世代醫療資訊（HIS）系統轉型。</p> <p>這個IT轉型有幾個特色，如介接國際醫療資料標準、導入AI先進工具，來優化數據品質、加速資料處理（如非結構化資料）。該計畫初期階段對象為醫學中心、區域／地區醫院、衛生所和基層診所，至於長照和健檢機構，則會納入中長期階段來發展。</p> <p>閻雲指出，各種來源數據的整合也很重要，包括電子病歷系統、健保資料庫、穿戴式裝置等來源數據，需要有互操作性，以便介接次世代醫療資訊系統，進行後續分析應用。</p> <p>在醫療資料的運用上，BTC也建議政府部會參照國際標準，建立非遺傳基因資料的去識別化標準和法規，並加速這些數據於產業的應用。</p> <p>另一方面，即便是在精準健康／全人健康照護面向，也強調AI等技術的介入。比如，BTC建議聚焦全民早期篩檢、早期診斷和預防醫學，其中一個建議做法是靠穿戴式裝置、AR互動軟體和AI個人化輔助，來加強體適能維持。同時，BTC也建議整合醫療院所與長照照護場域的系統整合，鼓勵不同檢測和遠距醫療平臺的數據串接與介面標準化，政府還應推動實驗沙盒計畫、場域驗證。甚至，BTC建議公私協力，將健康臺灣納入永續發展（ESG）目標，要共同制定數據共享政策、發展智慧照護產業，改善不健康餘命年數。</p> <p><span style="font-size:22px;"><strong>人才、市場發展也聚焦AI和IT</strong></span></p> <p>再來，在人才與資金面向，也有AI的影子。</p> <p>比如，BTC建議政府推動補助、獎勵和配套優惠措施，來培育和延攬AI、轉譯研究、臨床研究設計等領域的國內外中高階人才。BTC也建議政府引導生技、數據相關科學和資訊工程等跨領域課程設計，來培育跨領域生醫人才。</p> <p>在落地發展／市場准入面向，BTC建議，針對已取證的智慧醫材，透過健保沙盒模式在醫院試行、確定成本效益後，除了納入健保給付，也要優化產品、輸出到海外市場。</p> <p>他們也建議發展以效益為指標的給付模式，來鼓勵導入創新應用，並納入商業保險這類健保經費以外的新資源，來促進生醫產業發展。</p> <p><a href="https://stp.nstc.gov.tw/File/333941694FDA1796">完整建議於此</a>。</p> <p></p> </div></div></div>
2024/8/28 19:10作者王若樸https://www.ithome.com.tw/news/164738
即時通訊軟體Pidgin外掛程式市集被用於散布惡意程式DarkGate
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月22日<a href="https://pidgin.im/posts/2024-08-malicious-plugin/">即時通訊軟體Pidgin發布公告</a>，指出於7月6日上架的惡意外掛程式ss-otr（ScreenShareOTR）含有鍵盤側錄程式，而且還可能進行螢幕截圖將使用者操作畫面外流，他們在8月16日接獲通報，隨即將此外掛程式下架，並著手調查，呼籲已經安裝此外掛程式的用戶立即移除。</p> <p>Pidgin維護團隊提及，這個外掛程式最可疑之處在於，開發者只提供安裝程式，並未提供原始碼，他們未來將要求所有的外掛程式都必須具備OSI核可的開源授權，並儘可能驗證是否安全才核可上架。</p> <p>針對這起惡意外掛程式的資安事故，<a href="https://x.com/ESETresearch/status/1828114327976415445">資安業者ESET也著手調查此事</a>，指出該外掛程式Windows版檔案名稱為ss-otr-1-1-0_installer_win32.exe，具有來自波蘭公司Interrex的有效簽章，雖然使用者依照指示安裝確實會在Pidgin加入駭客宣稱的功能，但內含的惡意程式碼會從C2伺服器下載PowerShell指令碼並執行，然後於受害電腦植入惡意程式DarkGate。</p> <p>研究人員進一步指出，駭客不光針對Windows用戶，Linux用戶也無法倖免。駭客也實作具有類似功能的Linux外掛程式pidgin-screenshare.so，同樣能夠下載並執行惡意指令碼。</p> <p>針對駭客存放上述惡意外掛程式的伺服器，研究人員表示，此伺服器也代管名為Omemo、Pidgin Paranoia、Master Password、Window Merge、HTTP File Upload的惡意外掛程式，這代表上述的ss-otr僅是攻擊行動的一部分，目前他們已公布入侵指標（IoC）讓資安人員參考。</p> </div></div></div>
2024/8/28 15:53作者周峻佑https://www.ithome.com.tw/news/164725
勒索軟體Razr濫用雲端服務PythonAnywhere從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端沙箱服務供應商Any.Run<a href="https://x.com/anyrun_app/status/1826595314486116479">揭露名為Razr的勒索軟體</a>，並指出駭客在作案過程當中，濫用名為PythonAnywhere的雲端程式碼執行服務，存放勒索軟體的有效酬載，以及受害電腦資訊。</p> <p>PythonAnywhere是以Python為基礎打造而成的平臺，提供整合開發環境（IDE），以及網頁伺服器的功能，使用者只要透過瀏覽器就能存取這個Python開發環境。這家公司於2022年被資料分析業者Anaconda買下，並以獨立品牌運作至今。</p> <p>經過研究人員進一步分析，他們發現此勒索軟體的運作過程中，會產生唯一的受害電腦識別碼（ID）、加密金鑰，以及初始攻擊向量（Initialization Vector），並將這些資料以未加密處理的JSON檔案傳送至外部伺服器，然後於密碼區塊鏈（Cipher Block Chaining，CBC）模式下，透過AES-256演算法執行檔案加密。</p> <p>他們也發現在這波攻擊行動裡，有多個Webhook被重新導向Discord的情況，而這些Webhook與特定的雜湊值有關，但究竟這些Webhook有何用途，研究人員並未說明。</p> </div></div></div>
2024/8/28 17:09作者周峻佑https://www.ithome.com.tw/news/164731
數位部長黃彥男揭露AI為下階段政府轉型發展關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位發展部長黃彥男今天(8/28)在2024數位政府高峰會中揭露，下一階段政府數位發展規畫方向，呼應總統打造臺灣成為AI島的願景，政府將運用AI以提升公務行政效率，並提供24/7即時回應的便捷服務。</p> <p>該規畫稱為智能革新數位領航計畫，執行期間為2026年到2030年(民國115年到119年)，目前正由數位部規畫研擬中，可能在年底到明年才會公開詳細的計畫內容。</p> <p>黃彥男揭示該計畫的概述內容，智能革新數位領航計畫分為便捷、效能兩大方面，首先在便捷服務部分，著重於發展智慧客服、智慧祕書、智慧助手，其中智慧客服提供民眾24/7即時回應，以提高公共服務的可及性和滿意度；智慧祕書則提供個性化的精準服務，減少民眾等待及查詢時間；智慧櫃臺則協助民眾完成業務申辦流程．提高成功率及便利性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(81).jpg" style="width: 960px; height: 420px;" /></p> <p>效能方面，著重發展各種智慧助手，以提升公務人員處理業務與申辦審查效率，降低人為錯誤、提升決策品質，並發展其他創新智慧應用，各部會需利用這5年期間，整備資料發展資訊業務助手、行政業務助手、特定業務助手，並且訓練智能模型，創新應用試驗及導入。</p> <p><span style="color:#B22222;"><strong>以配套措施輔助公務機關導入AI</strong></span></p> <p>負責輔導公務機關導入AI的數位部提出幾項配套措施，包括提出政府AI應用發展指引與技術、管理指南，推動政府AI人才培育，以及建立政府大型語言模型的應用試驗場域。</p> <p>黃彥男指出，數位部未來要成為推動政府革新的教練，一方面參考國內AI基本法、行政院及所屬機關(構)使用生成式AI參考指引，以及國外相關法案，如歐盟新近推行的AI Act法案，NIST AI RMF風險管理框架等，提出國內發展AI應用的管理參考；另一方面是扮演教練，協助機關依照AI應用指引、AI技術，提高公務機行政效能、發展創新應用。</p> <p>數位部正在規畫的政府機關人工智慧應用參考指引(草案)，目前參考指引已先由數位部研擬草案、內部討論，今年10月將會先確認草案內容，11月蒐集內外部意見及調整草案內容，12月完成試行版本，參考指引從輔導公務機關的角度，介紹AI基本概念、協助機關公務人員評估AI是否為解決方案、協助AI服務導入，以及協助機關AI專案管理、風險控管、AI治理。</p> <p>在政府AI人培計畫，由數位部持續性、系統性培訓及技術支持，讓公務人員具備運用AI的技能，以改善公共服務，目標是讓公務人員可應用的領域、相關法規規範，具備AI基礎認識，可運用AI工具提升效率，並且可開發自動化RPA程式，利用簡易工具開發AI軟體。</p> <p>人培計畫涵蓋各職務公務人員，包括高階公務人員的共識營，例如日前已舉辦的副首長共識營，並透過AI推動實務種子人員課程，舉辦AI實務課程、工作坊，以及公部門的AI應用成果競賽，讓AI深入公務機關各層級人員。</p> <p>在建立政府大型語言模型的應用試驗場域上，由於各機關業務性質差異，為提供試驗找出最適合自己業務場景需求的LLM應用，數位部將建置大型語言模型的應用試驗場域，供中央機關在導入AI應用前先進行POC測試。</p> <p>數位部計畫提供包括TAIDE等10個以上開源或封閉式語言模型，供各機關測試驗證，並進行客製化的訓練或調整，這些模型可由數位部建置AI Bots市集，類似於App市集的概念和其他單位分享，數位部希望提供至少20種共通性AI Bots，包括數據分析、資料清理、資料視覺化、翻譯等AI Bots，供有需要的其他機關應用，以節省開發成本、擴大效益。</p> <p>下一階段的政府轉型發展，除了推動機關導入AI，革新公務行政效率、便捷公共服務之外，數位部也列舉其他持續發展的項目，例如在政府資料交換方面，推動更多的政府機關運用T-Road進行安全的資料交換，並且以零信任架構確保資訊安全；另外，還有推動民生關鍵系統韌性，讓關鍵民生系統的核心利用跨境公雲，當國內發生緊急狀態，仍能透過境外公雲維持基本運作，並且利用公雲備份資料，在事後重建系統及服務。</p> <p>未來幾年，數位部輔導公務機關導入AI，包括生成式AI，黃彥男表示，應當要善用生成式AI帶來數位轉型突破，傳統的痛點例如重覆性高且冗長的作業、人工方式難以發現複雜資料關聯性、人為查找資料有限、人工作業疏失等等，運用生成式AI帶動轉型，能夠自動化提高生產力、避免人為疏失、控制複雜程式、洞察分析資料關聯性、處理大量資料文件。</p> <p>他也列舉10大生成式AI可能的運用場景，包括知識管理、專案管理、資料治理、資料分析、文件審核、文件處理、寫程式碼等等。其中寫程式碼特別讓他有感，工程師出身的黃彥男曾是工程師，撰寫程式碼，他認為生成式AI應用在寫程式碼，減輕工程師的開發工作負擔，未來工程師的工作必需要會下指令，由生成式AI產生程式碼，工程師再進一步檢視優化。</p> <p>未來生成式AI在公務機關的應用潛力，例如結合語言模型建立生成式AI回應機制，提高對民眾問題的理解度，找出關聯性的資訊精準回答，或以自然語言對話式回應，像是我的E政府，未來民眾可以自然語言提出問題，由AI精準回應；在法務應用上，利用生成式AI協助檢察官產生書類草稿，減輕檢察書類製作時間。</p> <p>黃彥男也提醒公務機關運用生成式AI，應小心的4種偏誤，包括資料偏差、關聯偏差、自動化偏誤、確認偏誤，目前數位部已成立AI評測中心，針對LLM以安全性、公平性、準確性、彈性、可解釋性等共10項AI評測項目，預防上述AI偏誤可能造成的風險。</p> </div></div></div>
2024/8/28 17:36作者蘇文彬https://www.ithome.com.tw/news/164732
Cerebras發表Cerebras Inference，號稱全球最快AI推論解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發AI運算系統的Cerebras Systems周二（8/27）<a href="https://cerebras.ai/press-release/cerebras-launches-the-worlds-fastest-ai-inference" target="_blank">發表了</a>AI推論解決方案Cerebras Inference，它在Llama 3.1 8B模型上每秒可生成1,800個Token，在Llama 3.1 70B模型上每秒可生成450個Token，號稱是全球最快的AI推論解決方案，比基於Nvidia GPU的大型雲端解決方案快上20倍，但價格只需1/5，性價比高達100倍。</p> <p>Cerebras Inference奠基在第三代AI加速系統Cerebras CS-3，該系統的核心為第三代AI晶圓級處理器Wafer Scale Engine 3（WSE-3）。</p> <p>Cerebras曾經<a href="https://cerebras.ai/product-chip/" target="_blank">比較過</a>WSE-3與Nvidia H100，指出WSE-3的晶片尺寸是H100的57倍，核心數量是H100的52倍，晶片記憶體是H100的800倍，記憶體頻寬更是H100的7,000倍；也<a href="https://cerebras.ai/blog/cerebras-cs-3-vs-nvidia-b200-2024-ai-accelerators-compared" target="_blank">曾比較</a>Cerebras CS-3與Nvidia B200，顯示CS-3的表現同樣大幅勝過B200。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-Cerebras-AI%20processor-WSE-3.png" style="width: 400px;" /></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-Training%20Performance-Cerebras%20CS-3-Nvidia%20B200.png" style="width: 450px;" /></p> <p>目前Cerebras已被視為少數能與Nvidia匹敵的競爭對手，並已計畫於今年下半年首次公開發行股票。</p> <p>剛上線的<a href="https://cerebras.ai/" target="_blank">Cerebras Inference</a>有免費版、開發者版及企業版，目前其免費版很慷慨地提供了每日10萬次的免費推論；開發者版在Llama 3.1 8B與Llama 3.1 70B模型上每生成100萬個Token的價格分別是0.1美元與0.6美元；而提供微調、客製化服務及專門支援的企業版則可直接聯繫Cerebras以議價。</p> <p>Cerebras還<a href="https://cerebras.ai/blog/introducing-cerebras-inference-ai-at-instant-speed" target="_blank">比較</a>了Cerebras Inference以及各大主要AI雲端服務在基於Llama 3.1 8B模型的性能表現，發現它以每秒生成1,800個Token的速度，遠遠領先Groq的750個、Fireworks AI的257個、together.ai的225個、perplexity的165個、OctoAI的164個、AWS的93個，以及Azure的79個。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0828-Cerebras%20Inference-2.png" style="width: 600px;" /></p> <p>提供獨立AI基準測試的Artificial Analysis執行長Micah Hill-Smith指出，Cerebras在AI推論基準測試上領先群倫，它與GPU解決方案根本是不同等級，此外，Cerebras Inference上的Llama 3.1 8B/70B達到與Meta官方一樣的16bit精度成果，對於有即時及高容量要求的AI應用開發者而言特別有吸引力。</p> <p>此外，推論是AI運算中成長最快的領域，約占整體AI硬體市場的70%。Cerebras形容，每秒可生成上千Token的高速推論，堪比寬頻網路的問世，預告了AI應用的新時代，讓開發人員能夠建置需要複雜、多步驟並即時執行任務的新一代AI應用。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cerebras Systems</span></p> </div></div></div>
2024/8/28 15:36作者陳曉莉https://www.ithome.com.tw/news/164723
Google Meet測試可自動作筆記的AI功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周二（8/27）<a href="https://workspaceupdates.googleblog.com/2024/08/take-notes-for-me-google-meet-gemini.html" target="_blank">宣布</a>，已開始於Google Meet中測試可自動作筆記的「take notes for me」功能，此一基於Google Gemini技術的功能相當於可協助使用者撰寫會議紀綠，將率先部署至特定的Google Workspace客戶，且目前也僅支援英文口語會議。</p> <p>一旦有人啟用了作筆記的功能，所有的與會者都會收到通知，也可隨時察看迄今的會議紀錄；在會議結束後，會議召集人與啟用該功能的使用者都會收到電子郵件，內附會議紀錄文件的連結，該文件也會被附加到Google Calendar的活動中，以讓內部會議的參與者得以存取。</p> <p>此一功能明顯是要讓與會者更專心地參與討論，而無需分心記筆記或撰寫會議紀錄。</p> <p>不過，現階段該功能僅適用於購買或訂閱Gemini Enterprise、Gemini Education Premium或AI Meetings & Messaging AI等服務的Google Workspace客戶使用，預計於9月上旬即可部署完成。</p> </div></div></div>
2024/8/28 15:59作者陳曉莉https://www.ithome.com.tw/news/164726
Fintech周報第251期：永豐金證券運用生成式AI彙整市場資訊，提供個股新聞摘要和市場輿情分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">8/19~8/27金融科技精選新聞</span></span></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAI </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永豐金證券 </span></strong></span></h3> <h3>永豐金證券運用生成式AI彙整市場資訊，提供個股新聞摘要和市場輿情分析</h3> <p>永豐金證券近日在下單App上推出兩項生成式AI應用，分別是「AI市場輿情」與「今日新聞快訊」2項功能，前者透過生成式AI彙整市場消息，透過輿情橫條圖顏色占比，提供客戶在投資時參考，後者則是透過生成式AI摘要前一日新聞摘要。永豐金證券表示，目前每日會針對168檔熱門臺股標的，提供AI市場輿情資訊。</p> <p>耗時一年完成這兩項應用開發，永豐金證券提到，開發中最大挑戰是讓GAI聽懂人類指令，並且要正確生成資訊。在開發過程中，團隊不斷訓練AI學習機制，才讓應用順利上線。永豐金證券表示，目前該應用設有客戶回饋機制，未來蒐集到的客戶評價都會成為優化生成式AI技術的一部份。他們也透露，下一階段預計針對客戶庫存標的，提供客制化的每日新聞內容。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAI </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 客服 </span></strong></span></h3> <h3>日本住信SBI網絡銀行開始運用生成式AI接聽客服來電</h3> <p>日本住信SBI網路銀行近日宣佈，內部已經開始運用GPT-4o模型來接聽客服電話。他們透過一套AI平臺打造虛擬助理，當客戶撥打至客服時，會先由虛擬助理以對話形式進行回覆。住信SBI網路銀行表示，該AI平臺結合自然語言處理（NLP）、自然語言理解（NLU）和對話管理技術，能識別客戶的需求並進一步指導客戶。若AI判斷須由真人客服處理，則會自動將客戶轉接至真人客服。</p> <p>不過，目前住信SBI網路銀行僅將生成式AI應用於客服服務中部分查詢服務，未來才會逐步擴大應對範圍。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 保險上雲 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>保險局發布保險委外規定修正，明定雲端冷儲存等更多保險上雲項目免申請</h3> <p>既去年八月金管會鬆綁上雲規定，近日，金管會再度修正發布「保險業作業委託他人處理應注意事項」，相較去年八月，此次修正明定更多免申報委外項目，讓保險業者執行上雲時，更能確保合規性。</p> <p>例如，保險局此次在委外問答集中明列16項免申報事項，其中包括訂購視訊會議軟體或服務、購買洗錢防制資料庫、購買雲端辦公室自動化服務系統等，皆不需向金管會申請核准。另外，保險業將客戶資料或其程式、資料庫與作業系統之備份檔案於境外公有雲進行冷儲存，同樣無須向金管會申請核准。（<a href="https://www.ithome.com.tw/news/164587">詳全文</a>）</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融創新試辦 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 網路保險服務 </span></strong></span></h3> <h3>鬆綁金融試辦申請後第二案！保險業者針對旅平險集體投保案例，試辦線上同意投保</h3> <p>金管會在七月中宣布大幅放寬銀保證業務試辦範圍後，已有銀行業者在八月初遞出首例試辦申請，近日，保險業者也跟上，申請試辦旅平險集體彙繳件時，能透過專屬網頁完成身分驗證，取代傳統親簽程序。</p> <p>過往金管會僅開放政府機關、村里辦公室和學校舉辦的國內旅遊活動，在集體投保旅平險時，可透過網路形式同意投保。然而，此次試辦申請則擴大至一般家庭旅遊和旅行社，並涵蓋國外旅遊。保險局副局長蔡火炎表示，此案預計試辦6個月，預定目標總量1,000件，試辦關鍵成敗在於，不能出現非本人投保情況，若發生則代表身分驗證系統不完善。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAI </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 永豐金證券 </span></strong></span></h3> <h3>金管會鬆綁數位帳戶開戶對象，3人以上公司、組織或團體也能線上開戶</h3> <p>金管會近日擴大所有非個人客戶都能納入線上開戶受理對象，包括公司、組織或團體等，可採用線上申請、線下對保的方式開立數位帳戶。金管會表示，公司負責人可透過上傳公司相關證明文件，並以憑證簽章及視訊或臨櫃進行驗證，完成線上申請數位帳戶。</p> <p>金管會去年八月公布金融科技路徑圖2.0，而開放3人以上法人線上開戶，被列為今年的重要推動亮點。此外，根據金融科技路徑圖2.0規劃，今年金管會還預計會發布跨市場資料共享之資料治理指引。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料共享 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 香港金管局 </span></strong></span></h3> <h3>香港金管局宣布銀行可透過官方數據平臺快速取得企業客戶資訊，加速企業線上開戶、KYC流程</h3> <p>香港金管局近日宣布，開放境內銀行可透過名為「商業數據通」的數據平臺，快速取得香港公司註冊處的資料，包括公司名稱、註冊辦事處地址和股本結構等企業客戶資料。如此一來，將有助加速中小企業線上開戶、金融機構偵測詐騙活動和KYC等業務流程。</p> <p>香港金管局在2022年推出數據平臺「商業數據通」，主要使用者為中小企業和金融機構。當中小企業授權資料給第三方企業或機構，第三方企業或機構可透過「商業數據通」將資料授權提供給金融機構，讓金融機構可運用中小企業數據，提升自家金融服務品質。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Home_intro_after_tch-1(1).gif" style="width: 600px;" /></p> <p>起初，金管局規劃這項平臺，是為了加速中小企業貿易融資流程。根據香港金管局提供的資訊，該平臺上線至今年6月底，已促成超過27,000件貸款申請和審查。如今，這個數據平臺則開始能串接政府機關提供的企業註冊資訊。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ATM當機 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 中信銀行 </span></strong></span></h3> <h3>中信ATM當機、網路銀行和App無法登入，耗時12分鐘恢復正常運作</h3> <p>8月23日晚間，有民眾反應中國信託銀行ATM當機，網路銀行和APP無法登入。銀行局副局長童政彰近日在例行記者會上表示，中信資訊人員在8月23日晚間8點半發現資料庫運作有異常，晚間9點8分完成資料庫重啟，於9點20分全面恢復正常運作。童政彰表示，銀行局已馬上要求中信銀行協助客戶處理衍生問題，並且，此案已比照重大偶發事件通報，後續中信銀行將提供完整報告供銀行局檢視。</p> <p>其他重要Fintech新聞</p> <ul> <li>媒體報導金管會擬規畫特定簡訊發送代碼，讓民眾快速識別訊息發送者是否為銀行</li> <li>日本NEC與10間日本地方銀行組成生成式AI研究小組，共同開發、驗證生成式AI應用</li> <li>瑞士央行啟用即時支付系統，約有60家金融機構參與使用</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／永豐金證券</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年8月</p> <p></p> </div></div></div>
2024/8/28 11:54作者李昀璇https://www.ithome.com.tw/news/164721
中國駭客藉由Versa Director漏洞入侵美國ISPs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國電信業者Lumen Technologies旗下資安團隊Black Lotus Labs，本周二（8/27）<a href="https://blog.lumen.com/taking-the-crossroads-the-versa-director-zero-day-exploitation/" target="_blank">公布了</a>發現Versa Networks旗下Versa Director零時差漏洞CVE-2024-39717的過程，該團隊相信利用該漏洞的是中國國家級駭客Volt Typhoon，已知入侵5家業者，涵蓋網路服務供應商（ISP）、託管服務供應商（MSP），以及資訊技術領域的業者，當中有4家業者位於美國。</p> <p>Versa Networks定位為安全存取服務邊緣（Secure Access Service Edge，SASE）供應商，這是零信任架構的一環，用以保護傳統網路邊界內部與外部的網路元素，涉及軟體定義廣域網路（SD-WAN）、虛擬私人網路（VPN）、安全網站閘道（SWG）、雲端存取安全代理（CASB）、防火牆，以及零信任網路存取等。至於Versa Director則是Versa Networks服務的管理平臺，用以建立、管理及監控各種Versa服務，簡化SD-WAN與各種網路服務的支付及管理。</p> <p><a href="https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-39717" target="_blank">CVE-2024-39717</a>漏洞則存在於Versa Director中。Versa Director的圖像使用者介面有一個可以客製化介面的功能，只有在以Provider-Data-Center-Admin或Provider-Data-Center-System-Admin身分登入時才得以存取，不過，CVE-2024-39717卻讓該功能可被用來上傳偽裝成圖像檔、採用.png副檔名的惡意檔案。</p> <p>Black Lotus Labs團隊發現，早在今年6月就有駭客利用CVE-2024-39717展開攻擊，駭客先透過曝露於公開網路的Versa管理埠存取系統，再部署針對該漏洞所設計的、名為VersaMem的Web Shell。VersaMem的主要功能是攔截與蒐集憑證，以讓駭客能夠光明正大地進入下游的客戶網路，VersaMem亦是模組化的，允許駭客載入其它的Java程式碼以於記憶體中執行。</p> <p>至於Versa Networks則<a href="https://versa-networks.com/blog/versa-security-bulletin-update-on-cve-2024-39717-versa-director-dangerous-file-type-upload-vulnerability/" target="_blank">解釋</a>，該公司先後於2015年及2017年公布了防火牆要求（Firewall Requirements）與系統強化要求（System Hardening），若用戶沒有遵循上述要求，便會於公開網路上曝露一個管理埠，而讓駭客取得了最初的存取權限；駭客接著即可透過CVE-2024-39717漏洞上傳惡意檔案。</p> <p>此一漏洞波及所有沒有部署上述要求，並使用Versa Director的Versa SD-WAN用戶，受影響的版本包括Versa Director 21.2.2/21.2.3/22.1.1/22.1.2/22.1.3。根據Versa Networks的說法，CVE-2024-39717雖然是一個高風險漏洞，但並不容易遭到利用。</p> <p>其實Versa Networks早在今年6月就修補了各個版本的CVE-2024-39717漏洞，但不管是美國網路安全暨基礎設施安全局<a href="https://www.cisa.gov/news-events/alerts/2024/08/27/versa-networks-releases-advisory-vulnerability-versa-director-cve-2024-39717" target="_blank">（CISA）</a>、Versa Networks或Black Lotus Labs卻又在本周大張旗鼓地披露此一漏洞，或許是因為Black Lotus Labs發現，直至今年8月初駭客仍在利用此一漏洞，因而出面呼籲Versa用戶應該詳閱安全公告，實施Versa所提供的防火牆與系統強化要求，修補安全漏洞，並搜尋系統上是否含有各式入侵指標（IOC）。</p> </div></div></div>
2024/8/28 12:07作者陳曉莉https://www.ithome.com.tw/news/164722
Windows控制臺可能暫時不會消失了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周傳出微軟可能要從Windows淘汰經典的控制臺（Control Panel）功能，改由設定（Setting）App完全取代，令許多人感到惋惜。不過微軟最新公告顯示，控制臺可能又會再多留一段時間。</p> <p>根據微軟Windows系統配置工具網頁之前對控制臺的描述，眾多媒體<a href="https://www.ithome.com.tw/news/164640" target="_blank">判斷</a>微軟真的要棄用使用了39年的控制臺功能。當時微軟<a href="https://x.com/tomwarren/status/1828005075941245122/photo/2" target="_blank">提及</a>，微軟正著手淘汰控制臺，以轉向設定App，後者提供更現代與更簡潔的使用體驗。</p> <p>不過上周末<a href="https://arstechnica.com/gadgets/2024/08/microsoft-formally-deprecates-the-39-year-old-windows-control-panel/" target="_blank">Ars Technica</a>以及<a href="https://x.com/tomwarren/status/1828005075941245122" target="_blank">The Verge</a>發現，這段文字已經經過修改。微軟最新用語是「許多控制臺的設定正逐漸轉移到設定App，後者提供更現代而簡潔的使用體驗。」</p> <p>文字的變更是出於回應大批使用者的要求，還是只是微軟為了釐清誤會而修改不得而知。但媒體推測，控制臺應該暫時還會留在Windows上，至少<a href="https://arstechnica.com/gadgets/2024/06/windows-11-24h2-is-released-to-the-public-but-only-on-copilot-pcs-for-now/" target="_blank">Windows 24H2</a>還保留了這功能。</p> <p>2012年微軟推出Windows 8時首度推出「設定」App，之後許多功能逐漸由控制臺轉到設定App，引發用戶懷疑微軟是不是打算以之取代控制臺。但微軟多年來也都不願說明。</p> <p>不過針對二度的文字說明代表的意義，微軟也都沒有回應媒體。</p> <p>控制臺早在1985年Windows 1.0推出時就已存在。39年來不論Windows品牌改了多少，控制臺一直都在，只是也保留了許多舊時代元素。例如控制臺設計語言或許有些演進，例如現在採用圓角、具光澤的介面，但是有許多部份，例如鍵盤、滑鼠及時間／日期設定的UI都和Windows NT時代相去不遠。</p> <p>事實上，要取代控制臺並不容易。作為一個經典功能，控制臺控管Windows大量物件和功能，雖然look and feel較為陳舊，但有許多用戶認為透過控制臺還是比設定App容易管理Windows。這也說明了何以控制臺停用的消息引發業界震撼。</p> <p>但長期而言，停用控制臺只是時間問題。微軟指出，設定App是客製和管理Windows設定的主要應用程式，以簡潔、好用、易用為設定宗旨，提供比控制臺更直覺和使用者友善的使用經驗，而且也持續更新以支援最新Windows功能。</p> </div></div></div>
2024/8/28 10:47作者林妍溱https://www.ithome.com.tw/news/164719
Meta將使用地熱發電支持資料中心營運
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta昨（27）日<a href="https://about.fb.com/news/2024/08/new-geothermal-energy-project-to-support-our-data-centers/" target="_blank">宣布</a>將採用地熱電能作為其資料中心的運作能源。</p> <p>Meta在美國能源部舉行的地熱能工作坊宣布，將與Sage Geosystems簽定最新合作，將使用Sage全新的地壓地熱型系統（Geopressured Geothermal System，GSS）提供的無碳電以支持Meta資料中心運作。雙方表示，這是美國第一樁使用這類新型地熱發電用於資料中心的合作案，也擴大美國地熱能的實際使用。</p> <p>在美國，GGS發電目前主要使用地區為內華達、猶他州及加州。Sage新式地熱電能方案來自乾熱岩層（Hot Dry Rock）為主要資源，比傳統的熱液型（hydrothermal）地熱發電資源更為豐沛，這使GGS成為擴充性更高的方案，有望在美國及全球其他地區快速擴展。</p> <p>Meta和Sage的合作計畫2027年上線營運。雙方計畫到2027年能產生150百萬千瓦的地熱電，以支援Meta愈來愈多的資料中心。</p> <p>這是Meta使用潔淨能源的最新進展。Meta迄今已經採購了12,000百萬千瓦可再生能源。該公司相信自己是全球最大的可再生能源法人買家。</p> <p>此外，Meta也承諾加速朝向淨零目標。Meta<a href="https://sustainability.atmeta.com/energy/" target="_blank">目標是</a>2025年以前，Meta支持的86項風電和太陽能發電專案將回饋9.8 GW（980萬千瓦）給美國電力網格，造福美國24州及74郡。臉書並宣示2030年要實現水資源正效益（Water positive），即復育的水資源，超過使用的水量。</p> </div></div></div>
2024/8/28 11:06作者林妍溱https://www.ithome.com.tw/news/164720
【資安日報】8月27日，WordPress網站加速外掛LiteSpeed Cache漏洞已遭利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升使用者瀏覽網站的體驗，許多WordPress網站可能會導入外掛程式LiteSpeed Cache，但最近開發商修補的重大層級漏洞CVE-2024-28000，已有實際攻擊行動出現。</p> <p>由於此外掛程式全球有超過500萬個網站採用，但事隔一週仍有近4成尚未修補而成為駭客下手的目標。值得留意的是，該外掛程式今年已二度遭遇大規模漏洞攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164712"><strong style="font-size: 22px;">WordPress網站加速外掛LiteSpeed Cache存在重大漏洞，500萬網站伺服器曝險</strong></a></p> <p>上週資安業者Patchstack率先揭露WordPress外掛程式LiteSpeed Cache重大層級的權限提升漏洞CVE-2024-28000（CVSS風險評分9.8），另一家專攻這網站平臺資安防護應用的廠商Wordfence兩天後也發文警告，提醒大家注意此漏洞可能造成大規模網站曝險。這個外掛程式的主要功能是加快網站的回應時間，由於全球有超過500萬個網站部署，這樣的漏洞很有可能被盯上，引發大規模攻擊，果不其然，已有嘗試利用漏洞的攻擊行動。</p> <p>值得留意的是，事隔一週，兩家資安業者都發現該漏洞已被用於攻擊行動，但目前約有6成網站升級6.4、6.4.1版，換言之，仍有近4成網站曝險。根據Wordfence的調查，在最近24小時裡，他們發現並封鎖了51,858起鎖定漏洞的攻擊行動，這樣的情況反映已有駭客專門鎖定這項漏洞進行利用。</p> <p>駭客鎖定LiteSpeed Cache已非首例，今年5月，有人針對跨網站指令碼漏洞CVE-2023-40000（CVSS風險評為8.3分），試圖在WordPress網站建立管理員帳號，從而接管網站，駭客從單一來源IP位址進行至少120萬次漏洞利用嘗試。</p> <p><a href="https://www.ithome.com.tw/news/164689"><strong style="font-size: 22px;">竊資軟體Cthulhu Stealer鎖定macOS用戶電子錢包、帳號密碼而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 1_Replacement.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%201_Replacement.png" style="width: 300px; float: right;" /></a>資安業者Cado Security揭露自2023年底現身的惡意程式Cthulhu Stealer，專門鎖定macOS電腦用戶竊取密碼、cookies或其他敏感資訊。</p> <p>此竊資軟體本身是蘋果磁碟映像檔（.DMG），開發者以Go語言打造，並以租用型式提供駭客運用，可附加於x86、Arm執行檔偷渡到受害電腦。攻擊者曾經聲稱提供磁碟清理工具CleanMyMac、遊戲軟體俠盜獵車手IV（Grand Theft Auto IV）、破解工具Adobe GenP的名義，散布這款竊資軟體。</p> <p>一旦用戶下載對方提供的DMG檔案並執行，此映像檔會要求用戶開啟檔案，並啟動macOS命令列工具osascript，要求用戶輸入特定敏感資訊，包括cookies、帳號或電子錢包密碼。研究人員歸納Cthulhu的竊取目標，包含Chrome與Firefox瀏覽器的cookies、Telegram密碼、Apple Keychain、SafeStorage、Minecraft帳號，以及十多種電子錢包應用如Chrome Extension Wallet、MetaMask、XDeFI、Coinbase或Blockchain Wallet等。</p> <p><a href="https://www.ithome.com.tw/news/164703"><strong style="font-size: 22px;">西雅圖機場Seattle Tacoma傳出遭遇網路攻擊，IT服務中斷超過48小時</strong></a></p> <p>太平洋時間8月24日上午，西雅圖大型國際機場Seattle Tacoma（SEA-TAC）部分系統斷線導致多項服務中斷，疑似發生網路攻擊。機場飛航主任Lance Lyttle於記者會說明，這起事件造成數個系統網路中斷，包括網站及電子郵件系統，旅客航站及機場安全系統未受影響，因此所有進出關檢查措施皆正常運行。為了及早恢復系統營運，機場人員正持續趕工。</p> <p>由於系統斷線，也導致25、26日多起班機延誤與取消。根據飛機追蹤網站FlightAware的記錄，周日西雅圖機場有375班次延遲、6班次取消，周一則有218班次延遲、10班次取消，但無法確定原因是否與網路攻擊有關。根據美聯社報導，以西雅圖機場為營運樞紐的阿拉斯加航空與泛美航空，並未回報服務問題，但是機場的行李分類系統無法運作，機場與部分航空公司都提醒旅客盡可能不要託運行李。此外機場的失物查詢系統也無法作業。由於服務中斷超過2天，外界推測很有可能遭遇勒索軟體攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164706"><strong style="font-size: 22px;">Uber把司機資料送至美國，遭荷蘭判罰2.9億歐元</strong></a></p> <p>荷蘭資料保護主管機構（Data Protection Authority，DPA）周一（8月26日）向Uber處以2.9億歐元罰款，原因是Uber將歐盟的計程車司機資料在未妥善保護的情況下傳送至美國。</p> <p>此事件源自法國人權組織Ligue des droits de l’Homme（LDH）收到逾170名當地司機投拆，LDH隨後將此案上交至法國的DPA，由於Uber的歐洲總部位於荷蘭，因此法國DPA向荷蘭DPA告狀。荷蘭DPA發現，Uber蒐集了歐洲司機的敏感資訊，並將它們保留在美國伺服器，包括這些司機的帳戶細節與計程車執照，以及位置資料、照片、支付細節、身分文件，甚至是司機的犯罪與醫療資料。此外，Uber是在未經法律及技術框架的保護下將資料傳送至美國，且時間長達2年，嚴重違反GDPR。</p> <p>對此，荷蘭DPA祭出2.9罰款，這是Uber第3次受罰，金額創下GDPR最高的紀錄。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<a href="https://blog.sucuri.net/2024/08/wordpress-websites-used-to-distribute-clearfake-trojan-malware.html"><strong style="font-size: 20px;">WordPress網站遭到感染，駭客對用戶佯稱必須執行PowerShell指令「修復」才能正常瀏覽網站</strong></a></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-exchange-online-mistakenly-tags-emails-as-malware/">Exchange Online傳出誤報，部分電子郵件被標記含有惡意軟體遭到隔離</a></strong></p> <p></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164704"><strong style="font-size: 22px;">SonicWall修補防火牆作業系統不當存取控制漏洞</strong></a></p> <p>SonicWall本周發布安全公告，修補防火牆作業系統SonicOS可能導致駭客存取資源，甚至引發防火牆當機的高風險漏洞CVE-2024-40766，此漏洞位於SonicOS管理介面，原因是對存取呼叫控管不當。攻擊者可傳送特製呼叫濫用本漏洞，未經授權下即可存取資源，在特定情況下，甚至能引發防火牆當機。本漏洞CVSS風險值為9.3，屬重大層級漏洞。</p> <p>本漏洞影響SonicWall防火牆第5代（SOHO系列），以及部分第6代、第7代防火牆設備，該公司發布新版作業系統予以修補。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<a href="https://www.securityweek.com/chinese-apt-volt-typhoon-caught-exploiting-versa-networks-sd-wan-zero-day/"><strong style="font-size: 20px;">SASE供應商Versa修補零時差漏洞，傳出已遭到中國駭客Volt Typhoon利用</strong></a></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.horizon3.ai/attack-research/disclosures/traccar-5-remote-code-execution-vulnerabilities/">開源GPS追蹤系統Traccar存在路徑穿越漏洞，未經身分驗證的攻擊者可遠端執行程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://chromereleases.googleblog.com/2024/08/stable-channel-update-for-desktop_21.html">Google修補Chrome今年第10個零時差漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164701"><strong>【8月26日】Telegram創辦人暨執行長Pavel Durov傳出遭到逮捕</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164662"><strong>【8月23日】協作平臺Slack搭載的AI功能有漏洞，恐曝露私人頻道機密資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164632"><strong>【8月22日】企業自訂AI副手功能的工具Copilot Studio存在SSRF漏洞</strong></a></p> </div></div></div>
2024/8/27 17:42作者周峻佑https://www.ithome.com.tw/news/164717
數位部開始測試打詐通報查詢網，從通報、確認到下架用自動化加快詐騙訊息處理流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數位部長黃彥男上任滿百天，對外展示上任後的小成績單，其中在政府力推的打詐方面，他表示，在立法院三讀通過的打詐專法，相關子法也將於年底前完成。另外，由數位部建置的打詐通報查詢網也已開始封測，未來內部測試順利，行政院通過後，將會開放民眾使用。</p> <p>黃彥男在今年520上任後，其任務之一是加速國內數位經濟的發展，協助政府及產業數位轉型，數位部與其他部會合作，以確保數位高速公路的資料交換順暢，促進數位經濟發展，並且改善數位高速公路的數位韌性，同時也要避免數位高速公路的不好影響，也就是網路詐騙廣告盛行。</p> <p>黃彥男表示，數位部身為網路廣告平臺、電商、第三方支付、線上遊戲的主管機關，這4項數位產業容易遭到詐騙集團的利用，成為詐騙的工具，因此打詐專法從源頭從源頭管理，達到一定規模的網路平臺依法需驗證廣告主身分，降低假冒他人名義的詐騙廣告風險。另外，境外數位平臺業者也需書面提報境內的法律代表，以配合打詐相關的法遵要求，以及保留資料供檢調追查等等。</p> <p><span style="color:#B22222;"><strong>建置打詐通報查詢網提高處理的自動化流程</strong></span></p> <p>由於詐騙集團假冒知名人士身分，以不實的廣告誘騙民眾投資，民眾在難以驗證真偽的情形下，可能因此不慎遭到詐騙，造成財產損失，因此數位部也展示科技防詐手段，打詐通報查詢網，目前先推出第1版，正進行封閉測試。</p> <p>數位部政務次長林宜敬指出，當民眾在臉書看到疑似詐騙廣告內容，可將廣告連結複製貼上打詐通報查詢網，查詢結果顯示該廣告已被其他人通報為可疑訊息，可以檢視可疑訊息的網址、內容摘要，以及該訊息目前的處理進度，例如該訊息最先由資安院AI掃描後通報，並向金管會請求確認，後續收到金管會確認為詐騙訊息，後續再通知臉書移除該訊息，在臉書移除該訊息之前，民眾可將該訊息連結回貼至該訊息下方的留言，先提醒其他網友該訊息為詐騙內容。</p> <p>除了民眾通報之外，打詐通報查詢網結合資安院開發的AI偵測技術，鑑於詐騙集團利用假帳號刊登詐騙內容層出不窮，資安院今年6月展示的這項AI偵測技術，可以自動偵測巡檢詐騙廣告，每月可偵測超過50萬筆廣告，宣稱偵測準確度達93%。</p> <p>打詐通報查詢網的首頁還會顯示詐騙訊息排行榜，顯示過去24小時最多人點閱的詐騙訊息，右下角顯示紅色警示文字，確認該可疑訊息為詐騙內容，右下角顯示黃色則代表正在確認中，綠色則代表排除為詐騙內容。另外，打詐通報查詢網也匯整民眾通報及資安院AI偵測的詐騙訊息樣態分布情形，如國內常見的投資詐騙訊息、網路交友詐騙等等。</p> <p><span style="color:#B22222;"><strong>對可疑訊息建立報案、分案、確認、通知下架4流程</strong></span></p> <p>打詐通報查詢網針對可疑訊息背後包括4個流程，報案、分案、確認、通知下架，提高對可疑資訊的自動化處理流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/4step.jpg" style="width: 600px; height: 572px;" /></p> <p>林宜敬指出，首先是報案，除了一般民眾自行通報網路上的可疑訊息，還有資安院利用AI偵測技術，每20分鐘掃描一次，一天可查獲5千到1萬筆可疑訊息，並直接介接到打詐通報查詢網，遭冒用身分的知名人士也可利用查詢網報案。報案後回到數位部，利用AI技術分案，經由人工確認後，直接發信向知名人士查證可疑訊息真偽，當知名人士按下信件內的確認鈕，證實其身分遭到冒用，系統就會自動通知臉書、Google、IG、Line等平臺立即下架。</p> <p>如果是政府機關遭冒用，分案後就會向相關的政府機關作確認，例如金融類可疑訊息向金管會確認，醫療相關可疑訊息向衛福部，經政府機關確認為詐騙訊息無誤之後，再通知網路廣告平臺下架可疑訊息。</p> <p>林宜敬表示，查詢網的目的是讓民眾能夠簡單、快速查詢某則可疑訊息是否為詐騙訊息，另外，過去在各機關間的公文往來可能耗費許多天，現在打詐通訊查詢網運用科技加快分案處理時間，包含後半部流程通知網路平臺下架也利用科技加快下架，「我們希望詐騙訊息存在網路的時間愈短愈好」。</p> <p>例如資安院AI於8月27日上午8:22分掃描查獲一則與金管會有關的可疑訊息，上午9:20分向金管會確認，金管會於9:27分確認為詐騙訊息，後續再向臉書通知下架移除該訊息。</p> <p>至於知名公眾人物遭到冒用，打詐通報查詢網之前，他們利用公眾人物的反詐通報專用郵箱，作為公眾人物的專門通報管道，目前數位部已和謝金河、486等44位知名人士合作，並公布公眾人物反詐通報專用郵箱使用情形，從7月8日最高收到216筆通報，後續可能因為打詐通報下架處理產生效果，使得詐騙集團避免再冒用這些名人散播詐騙訊息，數位部收到這些知名人士的通報數量顯著減少，8月12日收到53筆。</p> <p>「相較於初期人工、半人工方式處理，打詐通報查詢網藉由提高自動化處理，我們希望將平均處理時間降到很低的程度」，林宜敬說。目前打詐通報查詢網開始封閉測試，還不夠完美，未來需要持續改善精進，打詐與詐騙是不斷攻防，詐騙集團不斷利用假帳號、多樣態的詐騙訊息，打詐也需要發展新科技，以科技對抗科技詐騙，以AI對抗AI詐騙。</p> </div></div></div>
2024/8/27 18:20作者蘇文彬https://www.ithome.com.tw/news/164718
量販店巨頭Target正式上線生成式AI店員助手，全美近2,000門市都在用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日法說會中，美國大型連鎖量販店Target揭露，已正式上線店員生成式AI助手到全美近2,000間門市的手持裝置上，且8月初起上線3周就累積了超過50,000次使用次數。</p> <p>這個生成式AI助手名為Store Companion，是一個知識管理用問答機器人，可以根據自然語言對話來快速提取Target內部文件，來回覆約40萬名店員的門市營運相關問題，例如會員卡申辦流程、停電時如何重啟POS機等。Target COO Michael Fiddelke表示，此功能上線3周就已經有超過50,000次使用次數，且店員與助手平均對話時間低於1分鐘，顯示店員問題能快速被解決。</p> <p>生成式AI已經成為美國大型零售業者用來提升門市員工生產力的重要工具。另一實體零售巨頭Walmart，也將生成式AI導入門市店員的App中，利用Walmart內部文件及細緻到個別門市等級的高時效性數據，來提供日常門市營運問答、貨架狀態及商品位置查詢、庫存管理及查詢、員工訓練輔助，甚至廢棄物減量及處理建議等功能。</p> <p>不只將生成式AI用於提升員工效率，Target還應用此技術於電商體驗，包括搜尋和產品頁面的關聯性商品推薦、評論總結、商品標題完善等。未來數月預計全面開放對話式搜尋功能，可以根據消費者自然語言輸入來引導他們尋找適當商品，甚至提醒消費者可能忘記購買的項目。Target還表示，內部正在測試數十種生成式AI應用，不過未揭露更多細節。</p> <p>另外，儘管全球自助結帳機市場仍持續成長，不過Target近月反而加開更多人工結帳動線，將自助結帳機定位為分流工具，只接受10件或以下商品的訂單。這是根據半年A/B測試結果而制定的做法──限定自助結帳機商品數，反而能消化2倍顧客數量。這個做法使顧客對等待時間及結帳體驗的滿意分數達到6年來新高。</p> <p> </p> <p></p> </div></div></div>
2024/8/27 18:34作者郭又華https://www.ithome.com.tw/news/164713
macOS版微軟M365應用程式存在共通漏洞，攻擊者有機會藉此繞過系統權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科旗下威脅情報團隊Talos在macOS版的Microsoft 365辦公室套裝軟體，<a href="https://blog.talosintelligence.com/how-multiple-vulnerabilities-in-microsoft-apps-for-macos-pave-the-way-to-stealing-permissions/">最近找到8個漏洞</a>，並指出攻擊者若是將惡意程式庫注入應用程式，就有機會觸發這些漏洞，從而取得使用者授予應用程式的權限，例如：存取麥克風、視訊鏡頭、資料夾、螢幕錄製、使用者輸入等資源，一旦攻擊者掌握這些權限，就有可能洩露敏感資訊，甚至提升權限。</p> <p>此次漏洞揭露涵蓋的Office應用程式，包含Word（CVE-2024-41165）、Excel（CVE-2024-43106）、PowerPoint（CVE-2024-39804）、Outlook（CVE-2024-42220）、OneNote（CVE-2024-41159），以及Teams（CVE-2024-41138、CVE-2024-41145、CVE-2024-42004）。</p> <p>上述漏洞的CVSS風險評分皆為7.1，研究人員表示，攻擊者可利用這些漏洞得到應用程式已取得的權限，從而繞過作業系統的安全防護框架Transparency, Consent, and Control（TCC），過程中完全不需向使用者取得額外的驗證，只要成功利用漏洞，就能直接取得使用者已授予M365應用程式的所有權限。</p> <p>這些漏洞若遭到利用，可能產生那些後果？研究人員指出，攻擊者可在使用者不知情的情況下利用他們的電子郵件帳號寄信、錄製聲音和影片、拍照，過程中完全無須使用者互動。</p> <p>研究人員將上述發現進行通報，但微軟認為這些漏洞的風險並不高，而且有部分應用程式的運作過程裡，必須載入未經簽署的程式庫才能支援外掛程式，因此僅對OneNote、Teams進行處理。換言之，其餘4個M365應用程式仍曝露相關風險。</p> </div></div></div>
2024/8/27 17:27作者周峻佑https://www.ithome.com.tw/news/164716