iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 08:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】9月20日，中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對地理位置資訊伺服器GeoServer的重大層級漏洞CVE-2024-36401，自6月得到修補後，隔月便出現相關攻擊行動，並引起美國政府注意，將其列為已被利用的漏洞。</p> <p>半個月前資安業者Fortinet揭露相關漏洞利用攻擊的情況，推測駭客很有可能來自中國，本週另一家業者趨勢科技也公布調查結果印證這項推測，值得留意的是，他們看到的攻擊行動，發生在臺灣公部門。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165092"><strong style="font-size: 22px;">中國駭客Earth Baxia針對臺灣政府機關下手，藉由GeoServer已知漏洞發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig02-Earth-Baxia-Spear-Phishing-Exploits.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig02-Earth-Baxia-Spear-Phishing-Exploits.png" style="width: 300px; float: right;" /></a></p> <p>今年6月下旬地理位置資訊伺服器GeoServer修補重大層級漏洞CVE-2024-36401（CVSS風險評分為9.8），時隔不到一個月，美國網路安全暨基礎設施安全局（CISA）證實已出現攻擊行動。先前通報漏洞的資安業者Fortinet，透露相關資安事故，並指出從事活動的攻擊者，同時運用中國駭客慣用的惡意程式SideWalk，本週有其他資安公司公布新的攻擊行動。</p> <p>根據趨勢科技昨天揭露的調查報告指出，名為Earth Baxia的駭客組織今年7月針對臺灣某個政府機關發動攻擊，駭客利用釣魚郵件及CVE-2024-36401取得初始入侵管道，而能在受害主機植入Cobalt Strike相關元件，當中使用後門程式EagleDoor。研究人員根據駭客使用的伺服器進行調查，發現大部分架設在阿里雲，或是位於香港，而且，駭客使用的部分惡意程式樣本先前曾從中國上傳至VirusTotal，再加上Cobalt Strike伺服器多數位於中國，因此他們推測這些APT駭客來自中國。</p> <p>究竟這些駭客的攻擊目標為何？研究人員根據他們取得的釣魚郵件、誘餌檔案等資料，認為主要目標似乎是臺灣、菲律賓、韓國、越南、泰國的政府機關、電信業者、能源產業。但後來他們發現，中國也是這些駭客下手的範圍，不過，研究人員無法確認當地有那些產業受害。</p> <p><a href="https://www.ithome.com.tw/news/165095"><strong style="font-size: 22px;">勒索軟體劫持資料無處放，竟把歪腦筋動到Azure儲存桶與資料複製工具</strong></a></p> <p>為了脅迫受害組織支付贖金，勒索軟體駭客往往會先竊取內部資料再進行檔案加密，但現在駭客更換外流資料的管道，引起研究人員的注意。</p> <p>一般來說，勒索軟體駭客原本用來外流受害組織資料的管道，最常見的是利用雲端檔案共享服務Mega提供的公用程式MEGASync，或是能公開取得的Rclone，但資安業者ModePUSH發現，變臉（BianLian）、Rhysida等多個勒索軟體駭客組織，越來越頻繁地利用Azure Storage Explorer、AzCopy，將竊得的資料送到Azure Blob儲存桶。</p> <p>為何這些駭客選擇濫用Azure Blob儲存桶？研究人員指出，主要原因在於Azure是許多企業採用的服務，因此相關流量不太可能會遭到防火牆或是資安系統攔截；再者，駭客在短時間內外流竊得資料的過程，藉由Azure的延展性，他們可以因應這些非結構化的大量資料。</p> <p><a href="https://www.ithome.com.tw/news/165096"><strong style="font-size: 22px;">駭客組織Vice Society鎖定美醫療產業，散布勒索軟體INC Ransom</strong></a></p> <p>從今年初開始勒索軟體INC Ransom攻擊事故接連傳出，先是今年1月全錄企業解決方案（XBS）美國分公司受害，接著3月底駭客聲稱從蘇格蘭國家健康服務（NHS）竊得3 TB資料，8月初有一起資安事故針對美國密西根州醫療照護體系McLaren而來，到了這個月，有研究人員提出警告，表明這群駭客的主要目標就是美國的醫療體系。</p> <p>本週微軟威脅情報團隊指出，利用此勒索軟體犯案的駭客組織，是被稱為Vanilla Tempest、DEV-0832的駭客組織Vice Society，他們看到美國醫療產業成為他們的攻擊目標。一旦Vice Society成功入侵受害組織的網路環境，就會部署後門程式Supper、遠端監控及管理工具AnyDesk，以及雲端檔案共享服務的Mega資料同步工具。接著，駭客就會透過遠端桌面連線（RDP）進行橫向移動，並運用WMI部署勒索軟體的有效酬載。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.group-ib.com/blog/teamtnt/">駭客組織TeamTNT鎖定CentOS主機植入Rootkit</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.com/sambaspy-rat-targets-italian-users/113851/">義大利使用者遭巴西駭客鎖定，藉由釣魚郵件散布惡意程式SambaSpy</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/ransomhub-ransomware-group-kawasaki-europe-data-leak/">重機製造商Kawasaki歐洲分公司傳出遭駭，勒索軟體RansomHub聲稱竊得487 GB資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.huntress.com/blog/cracks-in-the-foundation-intrusions-of-foundation-accounting-software">營造業者採用的會計軟體遭到鎖定，駭客利用SQL Server漏洞取得管理員權限</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165090"><strong style="font-size: 22px;">GitLab揭露CVSS滿分漏洞，若不盡快修補，恐被繞過SAML身分驗證</strong></a></p> <p>9月17日GitLab發布社群版（CE）及企業版（EE）的17.3.3、17.2.7、17.1.8、17.0.8、16.11.10版更新，當中修補CVSS風險程度達到滿分（10分）的漏洞CVE-2024-45409，這項漏洞能用於繞過SAML身分驗證機制，存在於Ruby SAML程式庫元件Ruby-SAML，攻擊者可在未經身分驗證的情況下，利用漏洞存取已由身分驗證提供者（IdP）簽署的SAML檔案，進而偽造SAML的回應。</p> <p>這項漏洞發生的原因，在於Ruby-SAML無法正確驗證SAML回應的簽章，影響1.13.0至1.16.0版，以及12.2版以下的Ruby-SAML。對此，GitLab在公告中指出，IT人員應套用上述新版，或是手動將相依元件進行更新：omniauth-saml升級為2.2.1版、ruby-saml升級為1.17.0版，就能緩解漏洞帶來的危險。</p> <p>究竟這項漏洞是否遭到利用？GitLab並未說明，但他們特別提及如何檢測漏洞遭到利用，以及GitLab系統是否遭到入侵的方法，這意味著可能有駭客著手嘗試利用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://confluence.atlassian.com/security/security-bulletin-september-17-2024-1431249025.html">Atlassian發布9月例行更新，修補會引發阻斷服務攻擊的漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165093"><strong style="font-size: 22px;">Google強化瀏覽器密碼管理功能，讓使用者能跨平臺運用Passkey</strong></a></p> <p>Google周四（9月19日）宣布，即日起使用者將可透過安卓作業系統與Chrome中的Google Password Manager存放通行密鑰（Passkey），並同步到不同的平臺上使用，同時也新增了PIN碼保護通行密鑰。</p> <p>在此之前，使用者僅能將Passkey存放於安卓裝置內建的Google Password Manager，若要在其他裝置使用Passkey，必須透過安卓裝置掃描條碼取得相關授權。這次則是開放將Passkey存放於瀏覽器，目前相關功能已支援電腦版Chrome，ChromeOS則是在測試版階段。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165081"><strong>【9月19日】FBI接管中國駭客架設的大型殭屍網路Raptor Train</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165063"><strong>【9月18日】新興AI系統AutoGPT漏洞恐波及44萬軟體程式碼專案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165045"><strong>【9月16日】數發部公布親俄駭客發動大規模DDoS攻擊的影響範圍</strong></a></p> </div></div></div>
2024/9/20 17:08作者周峻佑https://www.ithome.com.tw/news/165098
駭客組織Vice Society鎖定美醫療產業，散布勒索軟體INC Ransom
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從今年初開始勒索軟體INC Ransom攻擊事故接連傳出，先是今年1月<a href="https://www.bleepingcomputer.com/news/security/xerox-says-subsidiary-xbs-us-breached-after-ransomware-gang-leaks-data/">全錄企業解決方案（XBS）美國分公司受害</a>，接著3月底<a href="https://www.bleepingcomputer.com/news/security/inc-ransom-threatens-to-leak-3tb-of-nhs-scotland-stolen-data/">駭客聲稱從蘇格蘭國家健康服務（NHS）竊得3 TB資料</a>，8月初有一起資安事故<a href="https://www.bleepingcomputer.com/news/security/mclaren-hospitals-disruption-linked-to-inc-ransomware-attack/">針對美國密西根州醫療照護體系McLaren而來</a>，到了這個月，有研究人員提出警告，表明這群駭客的主要目標就是美國的醫療體系。</p> <p>本週微軟威脅情報團隊指出，利用此勒索軟體犯案的駭客組織，<a href="https://x.com/MsftSecIntel/status/1836456406276342215">是被稱為Vanilla Tempest、DEV-0832的駭客組織Vice Society</a>，他們看到美國醫療產業成為他們的攻擊目標。關於受害組織的初期存取權限，Vice Society最初透過另一組人馬Storm-0494取得，而Storm-0494之所以能取得相關權限的方法，主要是因為使用惡意軟體Gootloader而得逞。</p> <p>一旦Vice Society成功入侵受害組織的網路環境，就會部署後門程式Supper、遠端監控及管理工具AnyDesk，以及雲端檔案共享服務的Mega資料同步工具。接著，駭客就會透過遠端桌面連線（RDP）進行橫向移動，並運用WMI部署勒索軟體的有效酬載。</p> </div></div></div>
2024/9/20 17:01作者周峻佑https://www.ithome.com.tw/news/165096
勒索軟體劫持大量資料無處放，竟把歪腦筋動到Azure雲端儲存桶與資料複製工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了脅迫受害組織支付贖金，勒索軟體駭客往往會先竊取內部資料再進行檔案加密，但現在駭客更換外流資料的管道，引起研究人員的注意。</p> <p>一般來說，勒索軟體駭客原本用來外流受害組織資料的管道，最常見的是利用雲端檔案共享服務Mega提供的公用程式MEGASync，或是能公開取得的Rclone，但資安業者ModePUSH發現，<a href="https://www.modepush.com/blog/highway-blobbery-data-theft-using-azure-storage-explorer">變臉（BianLian）、Rhysida等多個勒索軟體駭客組織</a>，越來越頻繁地利用Azure Storage Explorer、AzCopy，將竊得的資料送到Azure Blob儲存桶。</p> <p>研究人員指出，他們看到利用Azure Storage Explorer的資安事故，大部分是變臉所為，但也有Rhysida利用這項工具的情況。值得留意的是，雖然駭客主要是利用Windows版本的Azure Storage Explorer，但微軟也提供macOS、Linux版，意味著這種竊取資料手法也有機會用於其他平臺的電腦。</p> <p>值得一提的是，在實際的攻擊行動裡，駭客並非直接使用可執行檔，而是透過安裝的方式植入受害電腦，再者，為了讓安裝Azure Storage Explorer的過程順利，駭客還會事先裝好.NET 8相關元件，而這樣的行為，也成為防守方能夠識別相關勒索軟體攻擊行動的其中一種徵兆。</p> <p>為何這些駭客選擇濫用Azure Blob儲存桶？研究人員指出，主要原因在於Azure是許多企業採用的服務，因此相關流量不太可能會遭到防火牆或是資安系統攔截；再者，駭客在短時間內外流竊得資料的過程，藉由Azure的延展性，他們可以因應這些非結構化的大量資料。</p> <p>由於這些駭客在運用Azure Storage Explorer及AzCopy的過程裡，會留下相關作案痕跡，研究人員提供相關特徵，讓企業的資安人員能夠檢查是否遭到攻擊。</p> </div></div></div>
2024/9/20 15:40作者周峻佑https://www.ithome.com.tw/news/165095
中國駭客Earth Baxia針對臺灣政府機關下手，藉由GeoServer已知漏洞發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年6月下旬地理位置資訊伺服器GeoServer修補重大層級漏洞CVE-2024-36401（CVSS風險評分為9.8），時隔不到一個月，美國網路安全暨基礎設施安全局（CISA）證實已出現攻擊行動。先前通報漏洞的資安業者Fortinet，<a href="https://www.ithome.com.tw/news/164930">透露相關資安事故</a>，並指出從事活動的攻擊者，同時運用中國駭客慣用的惡意程式SideWalk，本週有其他資安公司公布新的攻擊行動。</p> <p>根據趨勢科技昨天揭露的調查報告指出，<a href="https://www.trendmicro.com/en_us/research/24/i/earth-baxia-spear-phishing-and-geoserver-exploit.html">名為Earth Baxia的駭客組織今年7月針對臺灣某個政府機關發動攻擊</a>，駭客利用釣魚郵件及CVE-2024-36401取得初始入侵管道，而能在受害主機植入Cobalt Strike相關元件，當中使用後門程式EagleDoor。研究人員根據駭客使用的伺服器進行調查，發現大部分架設在阿里雲，或是位於香港，而且，駭客使用的部分惡意程式樣本先前曾從中國上傳至VirusTotal，再加上Cobalt Strike伺服器多數位於中國，因此他們推測這些APT駭客來自中國。</p> <p>究竟這些駭客的攻擊目標為何？研究人員根據他們取得的釣魚郵件、誘餌檔案等資料，認為主要目標似乎是臺灣、菲律賓、韓國、越南、泰國的政府機關、電信業者、能源產業。但後來他們發現，中國也是這些駭客下手的範圍，不過，研究人員無法確認當地有那些產業受害。</p> <p>研究人員特別提及駭客利用GeoServer漏洞的情況，駭客先是下達curl和scp於受害主機下載、部署Cobalt Strike相關元件，然後藉由CVE-2024-36401執行。他們將Cobalt Strike偽裝成Edge，並透過DLL側載手法解密、載入Shell Code，最終於記憶體內執行EagleDoor。</p> <p>特別的是，這個後門程式能運用4種管道向C2伺服器進行通訊，這些包含DNS、HTTP、TCP通訊協定，最後一種則是透過加密通訊軟體Telegram進行，而這些方法當中，前3種利用指定通訊協定的方式，目的是傳送受害電腦的系統狀態資訊，至於主要的後門功能，像是檔案的下載、更新、送出，以及傳訊，實際上是利用Telegram的機器人API來進行，從受害電腦收集、竊取機密資料，再利用curl外流。</p> <p>值得留意的是，這些駭客於8月初調整攻擊手法，開始使用釣魚郵件做為接觸受害組織的手段，這些郵件會挾帶名為Ripcoy的誘餌檔案，此為微軟管理主控臺的單元控制檔案類型（.MSC），一旦使用者開啟檔案，內嵌的VBScript便會利用GrimResource手法從公有雲下載誘餌PDF文件、.NET應用程式及組態檔案，從而載入Cobalt Strike元件進行後續攻擊。</p> </div></div></div>
2024/9/20 12:55作者周峻佑https://www.ithome.com.tw/news/165092
Amazon針對EC服務發表影片生成工具以及AI銷售助理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周四（9/19）針對旗下電子商務平臺的賣家發表了多項AI工具，包括可用來生成廣告的<a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ads-generative-ai-video-generator-advertisers" target="_blank">Video Generator</a>，以及可協助銷售的<a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-project-amelia" target="_blank">Project Amelia</a>。</p> <p>Amazon一直試圖藉由人工智慧來提高用戶的生產力，去年發表的Image Generator只要利用產品圖片、產品描述與用戶評論，就能生成廣告圖片。而本周展開測試的Video Generator同樣只要利用產品圖片、賣點及功能描述，就能生成廣告影片；另外還有一個基於Image Generator的Live Image 功能，可用來生成動畫形式的短影片，不過，這兩項新功能目前都只支援美國市場。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-Amazon%20Ads_Video%20generator-2.jpg" style="width: 500px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Amazon</span></p> <p>根據動畫製作公司Wyzowl的調查，89%的消費者想要看到更多品牌影片，但企業卻說它們缺乏時間與成本來製作與執行影片行銷，Amazon期望Video Generator與Live Image 能夠降低企業製作動態廣告的門檻。</p> <p>Project Amelia則是針對Amazon站上的獨立賣家所設計的AI助理。主要功能包括可以回答賣家所提出的、有關Amazon Seller Central的各種問題；還能夠統整賣家的商品銷售資訊及流量，並與前一年的成績進行比較；亦支援開放式的問題，例如「還有300件商品在路上，但報告中沒看見，可以幫我查一下嗎？」接著Project Amelia就能提供個人化的指示，或是主動調查問題，聯繫供應商等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-Amazon_selling%20assistant_Project%20Amelia.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> <p>Amazon指出，對於獨立賣家來說，要管理一個成功的全球銷售業務可能需要應對許多複雜且具備挑戰性的領域，包括打造滿足買家需求的商品，遵守不同的法規與政策，推廣商品及品牌，預測銷售趨勢，以及監督供應鏈並確保適當的庫存水準等，Project Amelia將可讓賣家更輕鬆地管理與發展業務。</p> <p>其它Amazon針對電子商務賣家推出的AI工具還包括，只要輸入簡短描述及官網網址，或者是產品圖片，就能自動生成產品清單的AI工具；自動生成產品及品牌故事的A+ Content；以及可根據買家喜好所訂製的個人化產品介紹的AI工具。</p> </div></div></div>
2024/9/20 14:31作者陳曉莉https://www.ithome.com.tw/news/165094
Google透過Google Password Manager跨平臺同步Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周四（9/19）<a href="https://blog.google/technology/safety-security/google-password-manager-passkeys-update-september-2024/" target="_blank">宣布</a>，即日起使用者將可透過Android與Chrome瀏覽器中的Google Password Manager存放通行密鑰（Passkey），並將Passkey同步到不同的平臺上使用，同時也新增了Google Password Manager PIN來保護通行密鑰。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，在所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務。</p> <p>過去Google只允許使用者將Passkey存放到Android上的Google Password Manager，雖然使用者可以在其它裝置上使用Passkey，但也必須透過Android裝置掃描二維條碼來授權。</p> <p>現在Google則擴大支援，開放使用者把Passkey存放到Chrome瀏覽器中的Google Password Manager，並同步至不同的平臺，包括Windows、macOS與Linux等，ChromeOS也正在測試中。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-save%20passkeys%20to%20Google%20Password%20Manager%20on%20desktop-2.png" style="width: 600px;" /></p> <p>此外，為了保護這些Passkey，Google推出新的Google Password Manager PIN，在企圖於新裝置使用這些Passkey時，必須先輸入PIN碼，或是解鎖Android裝置螢幕。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-Google%20Password%20Manager-recovery%20pin.png" style="width: 600px;" /></p> <p>有鑑於Google Password Manager同時內建在Android及Chrome瀏覽器上，因此使用者現在就可替常用的應用程式建立Passkey，包括Google、Amazon或PayPal等，並以Passkey進行無密碼登入，而不必再下載額外的程式。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2024/9/20 13:49作者陳曉莉https://www.ithome.com.tw/news/165093
歐盟將在半年內讓蘋果iOS及iPadOS與第三方應用互動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）周四（9/19）<a href="https://ec.europa.eu/commission/presscorner/detail/en/IP_24_4761" target="_blank">啟動兩項規範程序</a>，以協助蘋果履行《數位市場法》（Digital Markets Act，DMA）的規定，允許第三方服務與由iOS及 iPadOS所控制的軟體及硬體功能互動，並準備在6個月內完成這兩項程序。</p> <p>DMA主要規範那些擁有龐大影響力，被視為守門人（Gatekeeper）的品牌與數位服務，以確保公平及開放的數位市場，蘋果的iOS在去年9月就被納入DMA的管轄範圍，iPadOS則是<a href="https://www.ithome.com.tw/news/162594" target="_blank">在今年4月</a>跟上iOS的腳步。</p> <p>儘管蘋果已於今年3月<a href="https://www.ithome.com.tw/news/161632" target="_blank">釋出</a>遵循DMA規範的iOS 17.4，且iPadOS必須符合DMA的截止日期為今年的10月30日，但EC在今年6月<a href="https://www.ithome.com.tw/news/163637" target="_blank">初步認定</a>蘋果App Store的開發者規定違反DMA，並要求限期改善，進而制定本周出爐的兩項規範程序。</p> <p>EC的第一項規範程序鎖定的是iOS的連結特性與功能，相關功能是用來連結裝置或供連結裝置使用的，例如智慧手錶、耳機或虛擬實境裝置，由於開發相關產品的公司必須仰賴與手機及其作業系統的有效互動能力，因此，EC計畫具體要求蘋果如何提供包括通知、裝置配對或連結等功能的有效互動能力。</p> <p>第二項規範程序關心的，則是蘋果處理第三方開發者所提出的與 iOS及iPadOS互動的請求，EC打算替蘋果建立一個流程，讓此一請求流程更加地透明、及時與公平。</p> <p>EC預計在半年內結束這兩項程序，但在過程中會與蘋果溝通，向其解釋守門人應採取的措施，並要求蘋果遵守DMA的互動義務。</p> </div></div></div>
2024/9/20 12:22作者陳曉莉https://www.ithome.com.tw/news/165091
GitLab揭露CVSS滿分漏洞，若不盡快修補，恐被繞過SAML身分驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月17日GitLab發布<a href="https://about.gitlab.com/releases/2024/09/17/patch-release-gitlab-17-3-3-released/">社群版（CE）及企業版（EE）的17.3.3、17.2.7、17.1.8、17.0.8、16.11.10版更新</a>，當中修補CVSS風險程度達到滿分（10分）的漏洞CVE-2024-45409，這項漏洞能用於繞過SAML身分驗證機制，存在於Ruby SAML程式庫元件Ruby-SAML，攻擊者可在未經身分驗證的情況下，利用漏洞存取已由身分驗證提供者（IdP）簽署的SAML檔案，進而偽造SAML的回應。</p> <p>這項漏洞發生的原因，在於Ruby-SAML無法正確驗證SAML回應的簽章，影響1.13.0至1.16.0版，以及12.2版以下的Ruby-SAML。對此，GitLab在公告中指出，IT人員應套用上述新版，或是手動將相依元件進行更新：omniauth-saml升級為2.2.1版、ruby-saml升級為1.17.0版，就能緩解漏洞帶來的危險。</p> <p>若IT人員無法更新上述元件，該如何減輕漏洞的影響？其中一項措施是為所有使用者啟用GitLab內建的雙因素驗證（2FA）機制，但該公司強調，若是套用身分驗證提供者提供的相關機制，並無法緩解漏洞。</p> <p>另一項緩解措施，則是停用該系統的SAML雙因素繞過功能。</p> <p>究竟這項漏洞是否遭到利用？GitLab並未說明，但他們特別提及如何檢測漏洞遭到利用，以及GitLab系統是否遭到入侵的方法，這意味著可能有駭客著手嘗試利用。</p> </div></div></div>
2024/9/20 10:45作者周峻佑https://www.ithome.com.tw/news/165090
Walmart生成式AI應用實例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI應用 1 </span></strong></span></span><br /> <span style="color:#3399ff;"><span style="font-size:28px;"><strong>混用GAI和預測型AI分類商品，靠思維鏈優化提示工程找出高關聯商品組合</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1120-%E5%B0%81%E9%9D%A2P3%2BP4-600-1.png" style="width: 600px;" /></p> <p><strong>同一件商品，在不同情境下有不同用途。在不同顧客尋找同一件商品時，辨別他們心目中的用途，並呈現出用途相關的商品，是Walmart打造個人化電商體驗的重要一環。不只如此，完善了商品分類數據，也有助於搜尋、推薦、顧客意圖理解，以及發展其他各種會用到商品數據的應用。<br /> 為了做到這件事，Walmart打造了一套多對多商品分類法，利用自家開發的AI工具Ghotok，來配對商品目錄上能看到的主分類（Category），以及商品用途分類（Product Type），並評估兩種分類之間的關聯性，進而決定推薦或搜尋等頁面呈現出的相關商品。<br /> Ghotok同時應用了預測型AI與生成式AI。首先，會用領域專門的預測型AI模型，來評估商品的主分類和哪些用途分類有高關聯性，並記錄高關聯性的「主分類、用途分類」組合。接著，再利用思維鏈（Chain-of-thought）提示工程，讓生成式AI模型進一步從這些組合中找出最具關聯性的少數商品，呈現給顧客。<br /> Walmart有4億商品SKU、上千種主要商品分類和商品用途分類，產生的商品分類組合有上百萬種，數據規模非常龐大。設計商品分類方法時，必須兼具硬體運算成本管控，以及對語意理解的高精確度。這正是為什麼，Ghotok分類分為2個階段，採取先後使用預測型AI和生成式AI。</strong></p> <p><span style="font-size:20px;"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI應用 2 </span></strong></span></span><br /> <span style="color:#3399ff;"><span style="font-size:28px;"><strong>打造購物用聊天機器人，靠GAI比價、搜尋，甚至主動追問顧客需求</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1120-%E5%B0%81%E9%9D%A2P3%2BP4-600-3.png" style="width: 487px;" /></p> <p><strong>除了利用生成式AI來強化搜尋系統分類能力，Walmart還將生成式AI應用於消費者語意理解上。消費者不只可以使用關鍵字來搜尋商品，更可以利用自然語言來形容商品或商品使用情境。例如：輸入「我想要為周日足球觀賽派對準備」，Walmart搜尋功能就可以根據這個情境，橫跨不同分類，呈現出相關商品。<br /> 不只用生成式AI強化傳統搜尋體驗，他們還開發商品探索用的聊天機器人，有問答、搜尋和商品比較功能，還會摘要商品的描述及其他顧客的評價，供顧客進一步參考。未來，Walmart還計畫強化此機器人語意理解能力，主動根據個人情況追問問題，來提供超級個人化的購物建議，例如詢問消費者看電視情境及家裡客廳採光情況，來推薦電視規格。<br /> 應用生成式AI於搜尋，不只能強化跨分類搜尋能力，以呈現出更符合顧客需求的商品，同時也能從顧客對話中，更精確地理解、蒐集顧客需求。甚至，Walmart發現，當他們能呈現出與關鍵字語意上關聯性較低，但符合消費者潛在購買意願的其他商品，可以促成了更多衝動消費，提升了電商獲利能力。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 生成式AI應用 3 </span></strong></span></span><br /> <span style="color:#3399ff;"><span style="font-size:28px;"><strong>為不同職務建置GAI助手，門市店員幫手甚至能管理庫存和協助報廢</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1120-%E5%B0%81%E9%9D%A2P3%2BP4-600-4-V2.png" style="width: 600px;" /></p> <p><strong>在2023年，Walmart推出了總部員工用的超級App，<a href="mailto:Me@Campus">Me@Campus</a>。用生成式AI介面整合了自主學習、保險與福利資格查詢、薪資查詢、職涯發展、員工訓練、甚至是公司內導航等各種功能。<br /> 去年，他們在此App新增了生成式AI助手功能My Assistant，來進一步輔助知識管理及涉及圖文生成的業務。例如，回答員工福利問題或自主學習相關問題，或是用來摘要文件、生成文件草稿等行政作業輔助。<br /> 他們也將生成式AI導入門市店員的App中，利用Walmart內部文件及個別門市等級的數據，來提供日常門市營運問答、員工訓練輔助、庫存管理及查詢等知識管理功能。甚至，還能對廢棄物減量及處理提供建議。<br /> 廢棄物減量及處理功能是一個利用個別門市數據及Walmart內部最佳實踐數據打造的功能。當商品接近有效期限，甚至只是有缺陷，廢棄物減量系統便會根據情況，自動通知門市員工，並給予員工建議，包括降價商品、移動商品、將商品退給供應商，或是捐出此商品等。系統還會分析哪些商品在個別門市造成最多廢棄物，包括常態性或季節性報廢情況，並給出具體的處理指示，未來甚至還會呈現出其他門市的廢棄物處理方法，來促進門市間交流。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 生成式AI應用 4 </span></strong></span></span><br /> <span style="color:#3399ff;"><span style="font-size:28px;"><strong>用GAI打造多語系語音客服及個人化語音購物功能</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%96%E5%85%AD-%E8%AA%9E%E9%9F%B3%E8%B3%BC%E7%89%A91.jpg" style="width: 600px;" /></p> <p><strong>語音對話服務是另一個Walmart導入生成式AI的領域。他們打造了一個對話式AI平臺「Converse」，用來開發語音購物、語音客服、內部員工用語音助手等流程和應用。其中，語音購物功能是與Android和iOS兩大行動作業系統合作開發。這個平臺背後是一個多語言、多模態模型，一方面能支援海外語音對話應用，另一方面，當購物情境發展到更適合其他媒介的情況，系統也可以將整趟購物流程轉移到電商App等其他介面。多語言模型通常相當龐大，Walmart為了確保語音購物等體驗足夠即時，利用知識蒸餾法（Knowledge Distillation）來為模型瘦身，以達到毫秒級反應速度。<br /> 現有Walmart語音對話購物功能，可以搭配過往顧客購物紀錄來給出一定程度的個人化服務。例如，只需要講「請把洗髮精加入購物清單」，系統就可以自動把顧客過往愛買品牌的洗髮精加入購物車。後來，Walmart還開發出能在顧客詢問商品缺貨時，由語音購物機器人主動推薦替代品的功能。<br /> 未來，Walmart還計畫開發直接能跟語音機器人進行一般性對話，並讓顧客聲控機器人代操整個Walmart 電商及會員App的功能。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3399ff;"> 生成式AI未來應用 </span></strong></span></span><br /> <span style="color:#3399ff;"><span style="font-size:28px;"><strong>未來應用GAI到個人化AR購物及第三方供應商客服</strong></span></span><br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/1120-%E5%B0%81%E9%9D%A2P3%2BP4-600-2.png" style="width: 600px;" /></p> <p><strong>不只將生成式AI應用於傳統零售場景，Walmart還計畫將生成式AI應用於更多非傳統購物場景，例如AR購物場景。目前，Walmart App可以透過鏡頭掃描實際房間或人物，再於螢幕上模擬擺設家具、試穿衣物飾品。這些場景目前主要以傳統AI實現，Walmart打算用生成式AI來進一步強化。<br /> 一個做法是，打造生成式AI購物助手，在AR試用的介面中，即時根據消費者預算、偏好主題等需求，來協助消費者決策。<br /> 另一個計畫用生成式AI強化的購物場景是B2B2C商務。他們正在測試一個針對第三方電商市集賣家的客服機器人，讓他們可以針對商品上架、金流物流及其他賣家相關業務提問，提升賣家問題獲得解答的即時性，也降低Walmart客服負擔。架、金流物流及其他賣家相關業務提問，一方面提升賣家問題獲得解答的即時性，另一方面也降低Walmart客服負擔。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3366ff;"> 業界觀點：全國電子資訊管理處協理黃漢傑 </span></strong></span></span><br /> <span style="color:#3366ff;"><span style="font-size:28px;"><strong>零售業GAI應用，如何真正落地帶來效益才是關鍵</strong></span></span><br /> <strong>我看到Walmart生成式AI做法很驚訝，怎麼好像在看自己，原來零售業想的事情都一樣！」看完Walmart生成式AI應用，全國電子資訊管理處協理黃漢傑說，自家生成式AI應用規畫，許多領域也類似Walmart的方向。<br /> 他坦言，全國電子數據規模與開發量能，遠比Walmart來得小，他們選擇尋求市面上較成熟的解決方案，而非從頭開發。不過，全國想發展的生成式AI應用領域，不少和Walmart一樣，例如用於商品分類數據整理、內部知識管理助手、外部客服，甚至是結合生成式AI與AR購物場景等。<br /> 全國電子已經開始利用生成式AI，生成個人化購物體驗所需素材。他們還利用生成式AI整理了大量跨部門的數據，包括IT技術文件、家電規格與操作文件、行銷活動文件、業務最佳實踐方法文件等，現在正在以這些文件為基礎，打造內部知識管理系統。未來，將打造內部用KM機器人來進一步簡化內部文件存取難易度，更要建置外部客服機器人，提供電器需求規劃、產品諮詢等客戶服務。<br /> 看到了先行者的種種生成式AI用法，黃漢傑最在意的是，哪一種可以帶來實際效益，他不諱言：「IT部門想追求最新最厲害的技術，但有時候，做法會與企業的實際利益脫鉤。」黃漢傑更想知道的是，生成式AI該如何達成以下這些業務目的，例如創造業績、提升了特定工作流程效率、吸引更多消費者目光等。這才是他眼中，應用生成式AI的核心價值。<br /> 他進一步說明，許多新技術應用難以直接歸因出實際營收，至少要有量化指標可循。例如優化搜尋系統後，顧客尋找商品時間縮短多少？商品數據貼標時間節省了多少？都是可以為生成式AI應用價值背書的指標。<br /> 黃漢傑也提到，對全國電子有一大挑戰是如何將技術包裝成產品，實際落地。導入生成式AI技術後，如何結合現有技術、系統或介面？如何與行銷等其他非技術的業務策略並用？他希望學習先行者如何面臨這些課題。</strong></p> <p><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="background-color:#3366ff;"> 學界觀點：高科大行銷與流通管理系副教授歐宗殷 </span></strong></span></span><br /> <span style="color:#3366ff;"><span style="font-size:28px;"><strong>Walmart GAI應用兼具深度廣度，能創造四大價值</strong></span></span><br /> <strong>高雄科技大學行銷與流通管理系副教授歐宗殷觀察，Walmart生成式AI應用已經發展到相當後期的階段，且兼具深度與廣度。<br /> 歐宗殷曾借調到統一資訊擔任總經理，之後仍持續擔任顧問，協助統一集團發展數據、AI及生成式AI的應用。他從經驗歸納，零售業應用生成式AI有5個階段，依序是加速開發、分析消費紀錄及產品資訊等數據、建置企業綜合知識庫及知識管理工具、設計和影音等內容創作，最後走到顧客服務、行銷與推薦。這些做法背後有4個面向的價值，包括生成內容精準度、帶來實質效益、業務模式創新，和體驗優化。越後期的階段，這4種價值含量越高。Walmart生成式AI應用，就遍及了多個階段。<br /> 在這些階段的應用中，歐宗殷還看到Walmart展現出深度的技術與豐富的領域知識。尤其，Walmart第二階段的應用，也就是利用生成式AI處理上億商品數據分類時，利用思維鏈提示工程來有效描述出消費者使用意圖、行為模式、思考路徑。「這件事非常困難，背後就是他們雄厚Know-how。」另外，結合生成式AI與AR購物，也是高度創新的應用方法。<br /> 他並指出，Walmart第五階段生成式AI做法，進一步幫助了他們其他階段的做法。Walmart透過生成式AI強化顧客購物體驗同時，能更好蒐集消費者注重的價值與購物意圖，這些都是極具價值的資訊，可以再投入回第二、第三階段的生成式應用，也就是數據蒐集、分析與管理做法。<br /> 回頭看臺灣零售業，他說，目前業界較少大規模應用生成式AI於第五階段做法。不過，有一個第五階段應用，是業界聚焦的重要機會──用生成式AI來生成大量RMN行銷素材，並真正準確地用來提供個人化購物與行銷體驗。不過他也坦言：「目前臺灣業界距此還有一段路要走。」</strong></p> <p><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/165067" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/165067" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1200-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=r2uT6LEr" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/20 06:00作者郭又華https://www.ithome.com.tw/news/165048
Google在搜尋與廣告產品中應用C2PA標準，強化數位內容透明度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google進一步採取措施提高數位內容的透明度和安全性，藉由在自家產品<a href="https://blog.google/technology/ai/google-gen-ai-content-transparency-c2pa/">採用C2PA標準</a>，使用戶能夠更清楚了解圖片和影音等媒體，是否經過生成式人工智慧或其他工具編輯。這項措施也反映了Google與業界合作，以共同提升網路透明度的承諾。</p> <p>內容出處暨真實性聯盟（Coalition for Content Provenance and Authenticity，C2PA）是一個跨產業的的聯盟，目的在於替數位內容的真實性和來源，建立一套標準化的技術框架。該聯盟由Adobe、ARM、微軟與英特爾等企業發起，制定全球通用標準，供使用者可以確認網路上的圖片、影片和音訊等數位內容來源和修改歷史，藉此消除虛假資訊和內容竄改問題。</p> <p>Google指出，他們不只積極參與C2PA 2.1標準的開發，同時也正著手在其搜尋、廣告和YouTube等產品中採用C2PA 2.1標準。Google計畫將C2PA標準應用於搜尋產品中，當圖片包含C2PA後設資料，使用者可以透過關於此圖片（About this image）功能，查看圖片是否經生成式人工智慧或其他工具編輯過。同時，關於此圖片功能，也會應用於Google圖片搜尋、Lens和Circle to Search等服務，協助用戶取得圖片背景資訊。</p> <p>Google的廣告系統也開始整合C2PA後設資料，並逐步增加該技術應用的範圍。未來，C2PA後設資料將成為Google執行廣告政策的一項關鍵依據，有助於辨識廣告內容的來源和修改歷史。此外，YouTube也是Google應用C2PA技術的目標服務之一，讓由攝影機拍攝的影片，以C2PA後設資料顯示來源資訊，進一步提升內容的透明度和可信度。</p> <p>C2PA 2.1標準相較於之前的版本，重點在於其附加在數位內容中的內容憑證（Content Credentials），這些憑證能夠追蹤和紀錄內容的創建方式，諸如以攝影機拍攝，還是經過生成式人工智慧修改等。2.1版本在安全性有更進一步的強化，透過更為嚴格的驗證要求，能夠抵抗內容竄改攻擊，確保附加的資料不易被偽造或是改動。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0920-C2PA-content%20credential-2.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／C2PA</span></span></p> <p>簡單來說，C2PA 2.1標準中的內容憑證防竄改機制，主要仰賴加密雜湊和數位簽章來保護內容的完整性。每個憑證都會生成加密雜湊並且使用私鑰簽名，確保即便數位內容被更改，竄改也能夠被偵測出來。此外，數位浮水印技術也能用來確保即使內容憑證被移除，依然可以透過浮水印恢復相關憑證資料。C2PA 2.1中的標準Web API，則允許各種平臺恢復被移除或是替換的憑證資訊。這些方法的結合建立起強大的防竄改機制，有助於在生成式人工智慧時代保護內容創作者和消費者。</p> </div></div></div>
2024/9/20 08:40作者李建興https://www.ithome.com.tw/news/165082
關鍵作業生產力提升百倍，Walmart要大規模擁抱GAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>改用GAI輔助上億筆數據處理，媲美100倍人力的生產力！商品SKU 4億筆，年營收20兆元的全球零售龍頭Walmart，在倉儲管理、訂單履行、搜尋功能、商品推薦、店員服務優化，以及打造各式各樣營運和購物體驗時，都以這傲人規模的商品資料集作為基礎。不過，梳理幾億筆商品資料的艱鉅工程，誰來做？</p> <p>若是以前問這個問題，舉起手的是無數個數據團隊成員，必須日以繼夜的更新和完善商品資料，這些資料才能成為後續進階應用的養分。不過，現在Walmart有了一個新法寶，讓舉起手的人變少了。這個法寶正是近年爆紅的生成式AI技術。</p> <p>Walmart資深副總裁Stephanie Wissink在今年8月法說會揭露了不少生成式AI的成果，也透露未來要開始將GAI運用到供應商管理，像是第三方供應商的客服，意見彙整等。尤其有一項關鍵作業的成效驚人，引起各界高度關注，這是目前少數對外公開，跨國企業導入生成式AI的成效實例。</p> <p>他們用生成式AI來建立及完善商品目錄數據，支援至少8.5億筆資料的處理作業。「沒有生成式AI，在相同時間內完成同樣作業，需要近100倍人力。」Stephanie Wissink說，「提升了商品目錄數據品質，幾乎對於我們所有業務都有正面影響。」這是一項影響遍及Walmart所有業務和營運的關鍵作業，生成式AI創造了媲美100倍人手的生產力。</p> <p>參與過統一集團數據與AI發展的高雄科技大學行銷與流通管理系副教授歐宗殷觀察，Walmart生成式AI應用已經發展到相當後期的階段，且兼具深度與廣度。</p> <p>歐宗殷指出，零售業生成式AI發展有5個階段，從加速開發、分析消費紀錄及產品資訊等數據、建置企業綜合知識庫及知識管理工具、設計和影音等內容創作，最後一個階段是顧客服務、行銷與推薦。Walmart生成式AI應用已經擴及這5個階段，可以帶來四大類的價值，提高生成內容精準度、帶來實質效益、業務模式創新，和體驗優化。</p> <p>除了一開始提到的各式數據應用，Walmart優化商品資料品質還有助於門市販售商品選擇、利用電腦視覺等技術標註和新增更多商品資料、分群門市特性用於經營決策參考、商品訂價，甚至是更加了解顧客行為模式，並直接帶來營收。</p> <p>Walmart執行長Doug McMillon舉例，完善後的商品數據，會用於電商生成式AI搜尋功能，強化跨商品分類搜尋的能力。這有助於他們更細緻理解顧客的偏好和購買周期等行為模式。進而帶來更多營收，直接強化獲利能力。</p> <p>這是因為，搭配生成式AI技術的搜尋引擎，能透過語意分析、跨分類商品檢索等能力，呈現出與消費者輸入關鍵字本身未必直接相關，但符合消費者潛在購買意願的其他商品。這樣一來，既能提升客單價，也能進一步透過消費者購買與否，來了解更多消費者習性。</p> <p>Doug McMillon將這個現象類比做實體購物時的衝動消費。「人們走進實體店面時，常會購買不在購物清單上的東西。」這於實體零售已經自成一門學問：如何根據消費者習性，陳列看似不相關但有高機率被同時購買的東西──經典的尿布與啤酒故事。現在，電商的虛擬貨架也能呈現出這些促成衝動消費的商品。甚至，可以做到實體門市更加細緻，記錄每一筆這類消費行為，並以個人等級顆粒度，呈現出該顧客最有可能連帶購買的商品。</p> <p>利用生成式AI來大幅提升數據梳理效率，不只能節省人力成本，還連帶加速後續應用開發速度，有助於Walmart面對大型企業應用生成式AI一大挑戰，也就是如何持續高速創新。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1200-%E5%B0%81%E9%9D%A2P2-%E4%B8%BB%E6%96%87-600.png" style="width: 600px;" /></p> <p><span style="font-size: 16px;"><strong><span style="color: rgb(105, 105, 105);">Walmart大舉應用生成式AI到企業內外部場景。圖為他們結合AR技術與生成式AI打造而成的室內設計購物助手實驗原型，根據自然語言輸入來為顧客房間模擬擺設適合的商品。這些技術背後使用的商品數據，也會靠生成式AI清洗和梳理。</span></strong></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>Walmart應用生成式AI的4大挑戰</strong></span></span></p> <p>Walmart應用AI及生成式AI時，有4大挑戰：持續高速創新、數據及開發規模龐大、成本控制不易，以及需要執行複雜嚴謹的生成式AI治理政策。其中，持續高速創新是Walmart主任資料科學家Michael Pfaffenberger最為重視的。</p> <p>Michael Pfaffenberger說明，零售科技競爭非常激烈，就算Walmart在這戰場中算是領先者，仍時刻不能慢下創新腳步。同時，Walmart還有一些限制，使他們接觸新科技時更需要快馬加鞭開發進度。</p> <p>其中一個限制是，正式採用新技術的時機點較慢。就Walmart來說，財會部門需要控管和紀錄GenAI使用支出，且使用的服務需要具備更高服務水準，因此得等一般可用（Generally available）的商業級產品釋出才會啟用。新創或中小型企業，則沒有這麼重的包袱。</p> <p>他舉例，Azure開放使用GPT4-Turbo的時間比OpenAI開放試用版的日期晚了9天，且企業還需要等待廠商協助設定和導入，進入Walmart自家正式開發環境。這就會讓Walmart於競爭激烈的環境中晚了數周才起步。「這聽起來不久，但上市時間在生成式AI軍備競賽中非常重要。」他強調。</p> <p>第二個挑戰是數據及開發規模龐大。Walmart有近3億名會員、4億筆商品SKU、2百萬名員工、上萬家門市、月流量4億人次電商和無數家第一方及第三方供應商，產生驚人規模的數據。不只資料量日益增加，Walmart還不斷將生成式AI應用於更多、更大、更複雜的問題。這些因素，使Walmart必須在多雲端平臺及多地理區域增加開發資源，並確保系統有高可用性。</p> <p>規模龐大便會帶來第三個挑戰，開發成本控制不易。尤其是，以不犧牲功能性和效能為前提來控制成本。如何提高IT資源利用率，成為極其複雜但不得不面對的議題。例如，如何減少資源閒置時間、自動調整機器用量、有效的IT硬體及開發資源共享、採購高效能運算硬體或採用適當IT基礎架構等。</p> <p>第四是更強的AI治理需求，也就是如何避免生成式AI產出內容在倫理或法律上產生威脅，同時兼具應用的可用性和效能。這對Walmart來說不只是IT和數據部門的責任，更涉及了橫跨法務、公關、會計等部門。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>打造生成式AI「遊樂場」，標準化開發環境更鼓勵企業上下探索應用</strong></span></span></p> <p>Walmart原本就有一套MLOps平臺Elements，可以同時管理和運作百萬個模型，來支援2萬5千名IT團隊和資料科學團隊的各種AI應用。現今，此平臺也加入了生成式AI應用所需的開發資源，加入更多工具、相關模型等，系統性因應生成式AI發展的四大挑戰。</p> <p>不只大幅強化技術人員的AI軍火庫，Walmart更針對非IT人員開發了一個名為GenAI Playground的生成式AI沙盒工具。這個「遊樂場」提供各式開發工具及測試環境，也包含No-code開發工具，讓非IT或數據背景的員工，也能根據自己崗位需求和靈感，自行打造和試用生成式AI功能。</p> <p>除了打造全公司人人都可用的生成式AI應用開發工具之外，Walmart還有各種蒐集員工關於生成式AI應用發展及使用回饋的機制。例如，他們會定期開研討會，將業務人員和工程師齊聚一堂，由第一線業務人員提出需求和想法，並由工程師說明技術細節，藉此尋找新應用可能。他們也會蒐集員工使用生成式AI工具的數據來分析使用情況，並於這些工具中提供使用者回饋功能，鼓勵員工主動回報使用心得。</p> <p>藉由這些工具，Walmart已經開發出許多大規模生成式AI應用，囊擴對內和對外業務。這包括基礎資料梳理、生成式AI搜尋功能、電商購物助手機器人、總部員工生產力工具、門市營運輔助、員工學習及福利管理工具、語音客服與購物等。未來，還將進一步應用生成式AI於AR家具及服飾購物功能，以及第三方供應商的客服功能。</p> <p><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"><span style="color:#FFFFFF;"> </span><a href="https://www.ithome.com.tw/article/165067" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><a href="https://www.ithome.com.tw/article/165067" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1200-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=r2uT6LEr" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/20 06:00作者郭又華https://www.ithome.com.tw/news/165047
【大規模快速打造生成式AI應用的關鍵】從開發、維運到治理，Walmart全靠一站式AI開發平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何快速、大規模的開發生成式AI應用，並在上百萬AI模型平行執行的情況下顧及治理政策和系統效能？對Walmart來說，他們早在生成式AI時代來臨之前，就做好了準備。</p> <p>Walmart開發生成式AI的4大挑戰是：持續高速創新、數據及開發規模龐大、成本控制不易，以及需要嚴謹的治理政策。零售市場的激烈競爭和世界級的企業規模，這是每一次Walmart擁抱任何科技，都會面臨的挑戰。</p> <p>不論是一般AP的開發，到過去幾年的AI/ML應用，Walmart不斷思考因應這些挑戰的方法。其中一項關鍵策略是，統一25,000名IT人員所需的開發環境和資源調度，透過一站式平臺管理超大規模開發的種種面向，包括IT資源、成本、治理政策等，來增加開發效率。</p> <p>從2015到2019年，Walmart花了四年，從頭打造一套雲原生開發者平臺（Walmart Cloud Native Platform，簡稱WNCP），採取「三胞胎」雲端模型（Triplet model），以容器調度技術為基礎，橫跨Azure、AWS及Walmart私有雲，作為跨雲環境及跨開發生態系的抽象層。開發者可以一站式存取3大雲端平臺的數據處理工具、數十種數據來源、和其他開發工具及資源。此平臺也能自動轉化程式碼，以利自動化部署服務到這3朵雲及Walmart自家邊緣裝置。</p> <p>這個一站式的開發平臺，更為後來Walmart擴大AI/ML應用時，打下良好基礎。2021年，他們以WNCP的平臺工程及DevOps做法為基礎，打造了一套AI/ML開發平臺Elements，增加MLOps機制與工具，並與WNCP其他系統和技術原生整合。</p> <p>這種做法大幅降低了不同專案團隊評估開發工具的時間、準備開發環境的時間，以及整體開發和部署時間。Elements上線後，將模型實際落地到商業應用的時間，從2周減少到短短1小時內。</p> <p>當生成式AI浪潮來臨，Walmart便能用行之有年的MLOps原則、機制和工具，以及平臺工程經驗，來因應前述的4大挑戰。他們於Elements新增更多生成式AI開發和治理工具，以及多個LLM和其他不同模態的模型到Elements，以快速發展生成式AI實驗及應用。至今，Walmart隨時有上百萬個ML、AI、生成式AI模型執行，全都靠Elements開發、部署、管理。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用一站式界面和No-code工具降低開發門檻</strong></span></span></p> <p>Elements前端介面是一個以React.js做成的Web啟動臺，透過微服務及容器架構存取所有Elements甚至WNCP的後端資源。開發人員能於此一站式存取3朵雲上的開發工具及運算資源。</p> <p>這些工具包括可以視覺化建立和管理工作流的DAG設計器、AI專案管理、Python或R的互動式筆記本、批次數據處理任務管理，以及數據集和模型資產管理等。完整ML生命周期的作業，包括數據彙整、數據準備、特徵工程、模型訓練、模型實驗、模型評估、模型部署、模型監控、模型回饋及再訓練等，都能利用這些工具完成。</p> <p>此平臺上的開發環境不只服務資料工程師和AI工程師，更針對沒有AI背景的開發人員、資料科學家和分析師，提供了一系列No-code AI開發工具，增加他們數據探勘及實驗AI應用的能力。</p> <p>Elements還內建了全平臺通用的管理與維運功能，例如成本計算與控管、數據權限管理、程式碼版本控制、系統紀錄留存、系統異常報警、災難復原。</p> <p>Walmart從前端到後端全面整合AI開發相關功能，是希望確保使用者能自由選擇最適合的AI開發工具，同時能大規模自動化不同流程、重複使用IT資源、建立統一開發及治理標準，並一站式控管所有相關成本。不只如此，整合所有AI開發的IT資源使用需求，還有機會向雲端服務商協商更低的使用費。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>打造超大型AI開發平臺的9大關鍵考量</strong></span></span></p> <p>為了一站式支援超大規模的AI模型開發、執行、維運、管理與治理，Walmart打造Walmart平臺時，著眼在9大關鍵考量。3項開發面考量、5項維運需求以及1項治理目標。</p> <p>在開發面考量上，首先，此平臺須涵蓋AI開發完整生命周期，包括從數據彙整到模型部署的各個階段。部署後，還需定期監控模型的公平性和偏差，進行再訓練，以避免模型衰退。</p> <p>第2個考量點是開發工具完整性。Elements支援Python、PySpark、Scala、R和SQL 等程式語言，Jupyter、Theia、PyCharm和RStudio等開發環境，TensorFlow、Keras和 PyTorch等AI/ML 演算法和函式庫，以及Grafana和RShiny等報告工具。</p> <p>有了工具，還需要作為AI開發原料的數據。第3個考量點正是數據可用性，平臺必須讓使用者能快速存取數十種數據來源，以支援模型訓練和推論工作。</p> <p>第4到第8項維運類需求，則與大規模維運和可用性有關。第4個考量點是規模，平臺需能支援數百萬個模型平行執行時，這些模型依然維持高效能。第5到第8點分別是成本管理、運算硬體支援、可用性措施及地理位置。</p> <p>隨著數據量和演算法複雜度的增加，平臺必須能夠保持成本低廉。為了滿足大規模運算需求，平臺還必須支援多種運算資源，包括CPU、GPU及TPU。</p> <p>可用性方面，Walmart尤其重視災難復原能力，確保平臺能在多個地理區域和多個服務提供者之間的備援基礎設施上運行，以維持高可用性。</p> <p>地理位置上，Walmart有橫跨不同國家的數萬間分店和多個IT研發中心，必須同時考量雲端基礎設施以及邊緣設施的設置地點，確保不同區域都有高系統可用性、IT資源使用彈性和災難復原做法。尤其，需要部署模型在偏遠門市時，須追求低功耗、高可用性和低維護需求。</p> <p>最後一個關鍵考量點是治理，Walmart希望盡可能用簡單且標準化的流程和工具，來管理超大規模AI專案的開發模式、資訊安全和合規性。他們專門制定了一整套AI治理框架，並透過Elements平臺來實現此框架的指引。</p> <p><span style="font-size:28px;"><span style="color:#3399ff;"><strong>Walmart AI開發平臺的治理框架</strong></span></span></p> <p>AI治理不只是打造Elements平臺9大考量的重要一項，更涉及了法遵、道德、企業形象等面向，是Walmart企業治理政策中的重要一環，受到不同部門重視。制定AI與生成式AI治理框架時，Walmart用不同部門的主管及資深人員，組成數據科學治理委員會（Data Science Governance Council），來制定數據及AI相關的道德及負責任指引。</p> <p>IT及數據團隊則以這些指引為基礎，在Elements上設計AI治理做法與機制，以強化模型的安全性、透明性及公平性。安全性方面，存取控制機制確保只有經過認證和授權的使用者才能存取數據集、模型或筆記本；加密機制會全面加密靜態和動態數據，確保資料的完整性與保密性。責任歸屬機制則記錄了所有素材的擁有者，以在事件發生時快速辨認相關負責人員。</p> <p>為了進一步提升AI模型的可稽核性，平臺提供了全生命周期的稽核功能，確保所有利益相關者能觀察模型各個開發階段的情況。具體做法包括模型性能與健康狀的監控儀表板，還有數據飄移及偏差監控機制等，幫助用戶即時了解模型的狀況，並快速識別出需要再訓練的模型。</p> <p>針對敏感模型，平臺設有公平性與偏見監控機制和自動化評估機制，搭配模型可解釋性機制，使業務面的相關部門能夠更好理解模型的運作原理，增強對AI決策的信任。另外，Walmart還會於開發環境中提供多種模型，讓開發者根據模型生成模式，選擇任務適合的模型。</p> <p>隨著生成式AI崛起，AI治理的重要性和難度雙雙提升。正是因為有Elements作為所有AI/ML和生成式AI開發及管理的平臺，能一站式進行AI治理，Walmart才有信心，能應用生成式AI到直接面對超大規模消費者的產品，並為AI生成內容負起責任。</p> <p><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/165067" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/165067" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1200-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=r2uT6LEr" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/20 06:00作者郭又華https://www.ithome.com.tw/news/165049
零售龍頭如何擁抱GenAI
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1200-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=r2uT6LEr" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全面擁抱生成式AI的Walmart，從電商到門市，從總部到分店，從工程師到店員，都有專屬GenAI應用。這些應用不只大幅提升生產力，更帶來實質營收。甚至，不用等待內部AI團隊建置，非技術人員都能使用生成式AI開發沙盒，根據自己業務需求來探索和打造更多GAI使用情境</p> </div></div></div>
2024/9/20 06:00作者郭又華https://www.ithome.com.tw/article/165067
鼓勵機關用科技思維改善市政，桃市靠新科技加速智慧城市發展
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「現在資訊科技的策略高度已經變得更高，一個科技的改變，很可能就會影響到各行各業」，桃園市政府智慧城鄉發展委員會主任委員吳肇銘說。</p> <p>桃園市長張善政上任後，發揮過去的科技背景，積極推動科技政策，並提出智慧桃園的願景，去年9月桃園市政府更將原本獨立的資訊科技局和研考會兩個機關合併為智慧城鄉發展委員會（簡稱智發會），扮演桃園市智慧化發展的新發動機，由桃園市研考會主委吳肇銘擔任智發會主委，他過去協助新北市的科技化發展，肩負桃園全市府各機關建立科技思維的重責大任。</p> <p>吳肇銘表示，在資科局與研考會合併前，市府資訊政策上採取分工，優點是各個機關責任清楚明確，但長久發展下來，容易導致各機關各自為政，缺乏統合性的科技思維或策略方向，當出現新興科技，因為不屬於各機關負責的業務，缺乏統合推動的動力。</p> <p>「現在資訊科技已經不是輔助政策，而是策略工具，市府各機關都應該具有科技思維，從科技的角度去思考，科技能帶來什麼優勢」，吳肇銘說。</p> <p><span style="font-size:28px;"><strong>引導市府各機關建立科技思維</strong></span></p> <p>談到科技思維的重要性，他以小吃店為例，一般多認為小吃店和科技沒有直接關係，然而當外送服務平臺興起後，衝擊了餐飲業的商業模式，仰賴附近消費者的傳統麵店，如果缺乏科技思維，沒有與外送服務平臺合作，當其他小吃店採用外送服務，雖然距離遙遠，仍能威脅本地的麵店生意。</p> <p>吳肇銘認為，科技思維對公務機關也相當重要，「公務機關的業務思維有一個令人覺得擔憂之處，公務人員因循前人教導的方式辦公」，公務人員如果沒有與時俱進，執行公務的方法可能來自他的老師，也就是該職位的前任公務員，不斷延續下來，公務員的做法可能和5年前，甚至是10年前相同，公務人員可能沿用十年前的方式來服務民眾。例如機關發出的公告，即使現今網路普及、雲端硬碟相當便利，仍要求民眾使用傳真機，或是要求附上文件及光碟。</p> <p>因此，智發會希望扮演跨局處溝通協調，同時扮演發動機的角色，推動桃園市政府整體科技思維。</p> <p>吳肇銘強調，市長期待智發會成立後，為市府建立一致性的資訊科技策略方向，帶動各機關往前走，避免各個機關各自發展、重覆投資，沒有統整行動方向而虛耗資源。</p> <p>以往各機關編列資訊預算,資科局僅協助依經費合理性進行審核,為統整資源,現在市府的資訊預算由智發會統籌策略方向並進行實質審查。此外,各機關若要發展新興、創新的資訊應用計畫,除了編列於機關的預算外,也可依智發會整體策略方向進行規畫,由智發會審核、優化,並提供預算補助。</p> <p><span style="font-size:28px;"><strong>推動跨機關資源運用</strong></span></p> <p>吳肇銘表示，智發會審核、優化各機關資訊應用時，主要有兩個方向，第一個是就機關資訊應用的目的，建議機關怎麼做會更好，或是採用哪種技術工具，第二個則是協助跨機關的資源運用。</p> <p>舉例來說，桃園市警察局有一套AI巡防系統，利用巡邏警車上的鏡頭，拍攝巡邏時的路邊影像，再由AI協助辨識影像中的車輛車牌號碼，警局日前也向智發會提出第二代AI巡防系統規畫，將利用靈活性更高的巡邏警用機車來蒐集影像。</p> <p>另一個單位也有類似的AI影像辨識應用，環保局取締排氣管非法改裝時，稽核人員在路邊定點設置腳架攝影機設備，拍攝來往車輛排氣管及車牌號碼，利用AI辨別車輛是否改裝排氣管，但是，這個做法得時時更換拍攝地點。</p> <p>智發會為推動跨機關的資源共享，協助說服警察局，將警用機車巡邏影像提供給環保局，利用AI辨識改裝的排氣管和車牌來取締。這是智發會發揮跨機關協調整合功能，資料面跨機關共享的例子。</p> <p><span style="font-size:28px;"><strong>優化數位化服務的流程</strong></span></p> <p>除了推動跨機關的資源共用，吳肇銘還觀察到另一個需要克服的問題，服務流程整合。儘管過去桃園市政府努力推動E化，例如民眾到市府官網線上申辦某項服務，下載表單填寫完後，再以電子郵件或掃描傳真給負責的申辦單位。但有位身障者市民透過1999專線反映，填寫完電子表單後，還必需要到郵局劃撥，對他相當不便。</p> <p>這位民眾的陳情內容一針見血，點出桃園市許多服務雖然數位化，但侷限於表單電子化，背後的流程仍然依循既有做法，換言之，電子化服務只做了半套，相較之下，民間企業採用線上支付提供客戶一條龍的服務。</p> <p>「下一個階段，計畫盤點現有線上申辦服務，從半套做到全套」，吳肇銘說，希望不只是文件電子化，而是整個流程真正的E化。例如民眾線上填寫電子表單，填妥後即轉發給相關單位，民眾不需再以其他方式回傳，至於金流的部分，未來可整合第三方支付或電子支付，讓民眾使用線上支付工具付款。</p> <p>吳肇銘認為，如果機關沒有意識到可以運用線上支付，民眾就難以真正享受到服務數位化帶來的便利性。過去研考會掌管的1999陳情系統，接到民眾陳情後，只能轉到相關負責單位處理。現在研考會與資科局合併為智發會後，智發會可以化被動為主動，召開機關協調會，先盤點所有電子化服務流程，以及所需資料的串接，以改進市府現有的數位服務。</p> <p>在民眾線上服務中，有一類只需填寫電子表單，不需要附上其他機關的證明文件，智發會將優先推動這類服務的流程整合。對於需要附上其他政府機關證明文件的服務，智發會考慮協助市府各機關介接中央的MyData平臺，未來在民眾同意授權之下，該機關就能通過MyData平臺，從其他政府機關取得民眾的證明文件。</p> <p>以婦女懷孕為例，當婦女到桃園的醫院確認懷孕後，醫院將相關資料傳給婦幼局，婦幼局就能著手準備，主動向準媽媽推播訊息，建議她申請媽媽專用的市民卡，可以跨局處整合婦幼局、衛生局、社會局的資料，讓準媽媽不需附上任何證明文件也能申辦，盡快讓她拿到市民卡，免費搭乘專車到醫院或診所產檢。這是吳肇銘描繪未來市政服務整合的樣貌。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E6%A1%83%E5%9C%92-%E5%9C%962-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="font-size:28px;"><strong>規畫推出市民卡2.0</strong></span></p> <p>身為六都之一，桃園市居住人口超過200萬，為服務市民，桃園市其實相當早便推出市民卡，由於提供豐富的民眾服務及福利，市民卡發卡量超過百萬張，但是由於種種原因，過去一年市民卡發展幾乎停滯不前。</p> <p>智發會目前正規畫推出市民卡2.0，最大特色是，改變了實體卡片的形式，考量到方便性，2.0版可以選擇用一組QR Code代替實體卡片，讓手機化身行動市民卡，例如進出圖書館、公共場所，可以憑手機上的QR Code進出場館。桃園正在部署各場館的掃碼設備，等到完成相關的準備工作，市民卡2.0預計年底才會推出。</p> <p>吳肇銘表示，新的市民卡將運用會員經濟的概念，以積點來鼓勵民眾嚮應市府的政策或活動，例如節能減碳的政策或活動，利用會員經濟的積點來吸引民眾。至於沒有居住在桃園的民眾，也會提供數位市民碼，等於數位市民，方便其他縣市民眾也能參與在桃園市舉辦的活動。</p> <p><span style="font-size:28px;"><strong>用AI輔助治理城事</strong></span></p> <p>為了實現智慧桃園的願景，桃園市政府鼓勵各機關要建立的科技思維，其中很重要的便是運用AI，近幾年市府各機關，例如環保局、警察局、水務局、工務局已發展相關的AI應用，並且已小有成果。</p> <p>例如環保局為維護環境品質，過去需要投入大量人力，監控、取締各種環境污染，耗費人力、時間、成本，他們積極運用AI，以工業排煙為例，在特定的地點架設攝影機，專門蒐集工廠排煙的影像畫面，由AI全天候偵測工廠排煙，一旦發現排煙顏色異於平常，系統就會向監控部門發出通知，由人員回看監控影像判斷是否為空氣污染。針對工業排放廢水污染河川，他們也運用AI來偵測工業區河水顏色是否出現異常。另外，為了避免營建工地造成的揚塵，影響附近居民的生活，環保局也利用攝影機，由AI來辨識工地揚塵程度，判斷揚塵達到標準，自動啟動灑水降低揚起沙塵。</p> <p>另外，對於開車或騎車通勤的民眾而言，除了交通路況，最關心的事可能便是道路品質，由於長期使用道路造成的損耗，路面可能出現大小不一的坑洞，傳統上工務局需要投入大量人力在道路巡查、工程修補，工務局建置新一代的道路養護資訊管理平臺，在傳統的道路巡查時，現在則導入AI來偵測路面破損，包括偵測時間、破損類別、位置，並判斷嚴重程度，將這些資料上傳至管理系統，方便管理人員根據資料，評估需要修補的道路優先順序，並調度工程人員前往修補。</p> <p>未來AI在各方面的城市治理仍有相當大的潛力。吳肇銘舉例，幼兒園虐童案件引發市議員及民眾關切，桃園市已要求公托幼兒園建置攝影機，讓父母即使白天上班工作，仍能隨時線上觀看孩子在幼兒園的情形，但是家長因為上班無法一直監看，未來可以導入AI偵測可疑動作，當偵測到疑似虐童畫面，即時向婦幼局發出通知，再由管理人員回看畫面判斷，儘早發現虐童案件發生。</p> <p>另外，先前提到桃園市警察局的AI巡查應用，利用高解析度的巡邏車拍攝畫面，取代人工方式，自動辨識車牌找出可疑車輛，智發會協調市警局分享拍攝畫面，讓水務局利用AI模型，辨識當下雨時，特定路段的路面積水達到輪胎的高度，以此判斷淹水程度。</p> <p>智發會自己也在1999市民專線導入生成式AI，桃園市1999每天約有2萬通電話，面對民眾各式各樣的陳情內容，讓話務人員難以招架，過去話務人員需要查詢相關資訊，才能回應民眾提出的問題。智發局運用生成式AI，從話務人員與民眾的對話，經過語意分析後理解民眾的需求，協助話務人員找到相關資訊應答，來提高1999專線話務人員應答效率。</p> <p>由於不同機關的E化程度不一，有些機關因為起步較晚，搜集到的資料相對較少，AI應用的發展也相對較慢，為提升市府機關運用AI，智發局也提出訓練課程，培訓這些機關的人員，還有開設工作坊，由機關人員提案，智發會媒合資訊服務單位來協助他們發展AI應用。</p> <p>吳肇銘認為，運用AI協助治理城市，除了提升公務效率，AI也在城市永續發展扮演重要角色，例如環境污染、防災的應用，市府在這些方面已有不錯的成績。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><strong>吳肇銘桃園市政府智慧城鄉發展委員會主任委員</strong></p> <p>學歷：中央大學資訊管理所博士</p> <p>經歷：原於中原大學資管系任教，2010年借調擔任新北市政府研考會主委，2016年回到中原大學，從事行政管理職務，2022年借調擔任桃園市政府研考會主委，隔年代理資科局長，2024年研考會與資科局合併為智慧城鄉發展委員會，成為智發會首任主委</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%87%E5%BD%AC-%E6%A1%83%E5%9C%92-%E5%9C%963-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 400px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機關檔案 </span></strong></span></p> <p><strong>桃園市政府</strong></p> <p>●地址：桃園市桃園區縣府路1號</p> <p>●成立時間：2014年12月</p> <p>●主要業務：桃園市政建設與市民服務</p> <p>●機關首長：張善政</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門主管職稱：智慧城鄉發展委員會主任委員</p> <p>●資訊部門主管姓名：吳肇銘</p> <p>●資訊部門人數：97人</p> <p>●IT預算：約7億元</p> <p>●資訊部門分工：綜合規劃組、管制考核組、基礎建設及資安組、智慧行政組、便民服務組、創新應用組、秘書室、會計室、人事室</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2015年：桃園市市民卡便民及管理系統上線；Open Data共通性介面暨匯流平臺上線，完成桃園市政府公務雲建置</p> <p>●2017年：建置整合式陳情列管系統、桃園市政府福利智慧雲系統，導入網頁版公文製作系統，以及AI智慧機器人市民諮詢服務</p> <p>●2018年：建置桃園網路e指通暨創新e化便利超商整合服務系統、虛擬實境共通平臺、智慧運籌暨大數據分析平臺</p> <p>●2020年：啟動智慧城市應用服務平臺上線</p> <p>●2024年：資訊科技局與研考會合併，成立智慧城鄉發展委員會，推動市府跨局處協調，智慧科技應用；導入超融合架構建置虛擬化平臺及異地備份機制；建置空間資訊圖台2.0版、陳情案件智能分析系統；推動市民卡2.0、行動里長2.0專案。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/wen_bin_-tao_yuan_-tu_1-she_ying_-hong_zheng_wei_-960.jpg" width="960" height="420" alt="" title="桃園市政府智慧城鄉發展委員會主任委員吳肇銘　（攝影／洪政偉）" /></div></div></div>
2024/9/20 06:00作者蘇文彬https://www.ithome.com.tw/people/165069
跟Walmart學怎麼用GAI
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月中，全球零售龍頭Walmart資深副總裁Stephanie Wissink在法說會時，公開了自家運用生成式AI的成效。他們用這項技術來建立及完善上億款商品的目錄數據，處理了8.5億筆資料作業，用同樣時間完成同樣的作業，「需要近100倍的人力。」這位高層強調。</p> <p>更重要的一點是，商品目錄資料品質的改善，幾乎影響了Walmart所有的業務，從門市銷售、電商營運、倉儲管理到供應鏈管理等，都帶來了正面影響，這是一項影響遍及Walmart所有業務和營運的關鍵作業，生成式AI創造了媲美100倍人手的生產力。</p> <p>Walmart的經驗引起了大家高度的討論，這是目前極少數公開成效的跨國企業生成式AI實例，甚至有資訊長告訴我，終於看到了一個真正有成效的GAI實例。知道這件事後，我就對Walmart怎麼導入和運用生成式AI非常好奇，我們負責零售科技的記者郭又華，盤點了他們所有公開的資料，也特別向業界、學校專家請教，寫出了<a href="https://www.ithome.com.tw/article/165067" target="_blank"><span style="color:#3366ff;">1200期的封面故事「零售龍頭如何擁抱 GenAI」</span></a>。</p> <p>我才知道，全球零售龍頭已經大規模地將生成式AI，導入到不同領域的業務和營運。他們打造了不同專門用途的Chatbot，從服務顧客的購物助手，到員工的超級個人化助理，供應商專門客服、還有支援數千家門市的店員助手。</p> <p>當一家門市有批商品即將到期時，店員助手可以提醒這家門市的店員，你們這家門市，哪些商品最可能因過期而報廢，得特別小心，甚至建議店員如何減少報廢品，提供降價促銷、調整貨架位置、退貨或捐做公益的具體執行作法。Walmart的GAI門市店員助手，不只是一個FAQ快速查詢窗口，而開始像是一位門市管理顧問的角色了。</p> <p>同事特別向高雄科技大學行銷與流通管理系副教授歐宗殷請教，他對Walmart生成式AI的觀察。歐老師曾借調到統一資訊擔任總經理，現在還是統一集團的顧問，協助統一集團發展各種數據、AI，甚至是最新的生成式AI應用。</p> <p>歐老師從過往的經驗歸納，零售業應用生成式AI時，可以分成5個階段，從加速開發、分析銷售與產品數據、建置企業KM工具、影音內容創作，到最後一個階段是用於顧客服務、行銷與推薦。每一個階段，都可以產生四種價值，從持續改善生成內容的精準度、創造實質效益、優化各種體驗，甚至是業務模式創新。越後期的階段，這四種價值的含量越高，對企業也越有價值。</p> <p>他認為，Walmart的生成式AI運用已經擴散到多個階段，尤其，Walmart在第五階段的GAI應用，例如用GAI強化購物體驗同時，又能搜集顧客看重的價值和購物意圖，這些資訊回過頭又能強化其他階段的做法，來強化對於銷售和產品數據的分析能力，甚至是自家企業管理的KM。</p> <p>GAI爆紅不過才2年，Walmart也不是憑空就發展到又廣又深的應用程度。這家零售龍頭過去花了好幾年，自行打造出了能善用多公雲資源的雲原生開發平臺，以及涵蓋MLOps一條龍的AI開發平臺，讓他們得以快速導入生成式AI，展開大規模的應用。</p> <p>Walmart的生成式AI規模化發展經驗，不只值得臺灣零售業借鏡，連金融業、服務業，這類顧客導向型產業，也能夠向零售龍頭好好學習。</p> <p><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/165067" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><a href="https://www.ithome.com.tw/article/165067" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1200-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=r2uT6LEr" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/walmart">walmart</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item even"><a href="/tags/gai">GAI</a></div><div class="field-item odd"><a href="/tags/genai">GenAI</a></div></div></div>
2024/9/20 06:00作者王宏仁https://www.ithome.com.tw/voice/165076
【資安日報】9月19日，FBI接管中國駭客架設的大型殭屍網路Raptor Train
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對中小企業、SOHO辦公室、家用網路設備而來的殭屍網路，近期有越來越多的情況，繼我們昨天報導<a href="https://www.ithome.com.tw/news/165059">殭屍網路Quad7最新一波的攻擊行動</a>之後，這幾天美國政府採取取締這類行為的行動，接管由中國駭客組織Flax Typhoon經營的殭屍網路Raptor Train。</p> <p>值得留意的是，這個殭屍網路由超過20個廠牌的網路設備組成，類型涵蓋相當廣泛，包括：數據機、路由器、IP攝影機、網路儲存設備等，遭到操控的連網設備數量也相當可觀。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://ithome.com.tw/news/165079"><strong style="font-size: 22px;">大型中國殭屍網路Raptor Train感染逾20萬臺SOHO路由器、IP攝影機</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/0919-Raptor Train botnet-Lumen.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0919-Raptor%20Train%20botnet-Lumen.png" style="width: 300px; float: right;" /></a></p> <p>美國司法部周三（9月18日）宣布，在法院的授權下，已破獲由超過20萬個裝置組成、名為Raptor Train的殭屍網路，同時相信此殭屍網路是由中國駭客組織Flax Typhoon委由中國業者Integrity Technology Group所建立。</p> <p>美國電信業者Lumen旗下資安團隊Black Lotus實驗室分析，駭客是利用眾多的安全漏洞，滲透超過20種不同品牌的不同裝置，包括數據機、路由器、IP攝影機、監視器及網路儲存伺服器等，並於眾多裝置中植入Nosedive惡意程式，還建立了多層次的管理架構。這些駭客利用Raptor Train對於臺灣及美國的軍事、政府、高等教育、電信及國防工業等領域，從事偵察、監控、竊取機密資料。</p> <p>美國聯邦調查局（FBI）在取得法院同意後，接管了Raptor Train的基礎設施。</p> <p><a href="https://ithome.com.tw/news/165078"><strong style="font-size: 22px;">臺美國防工業會議相關人士遭到鎖定，駭客發動網釣攻擊企圖竊取機密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-infection-chain-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-infection-chain-2.png" style="width: 300px; float: right;" /></a>美國與臺灣之間的國防工業會議United States Taiwan Defense Industry Conference已邁入第23屆，這項會議主要討論美國與臺灣國防之間的合作、國防採購流程，以及臺灣的國防需求，今年即將於9月22日至24日於美國賓州舉行，但在此之前傳出駭客鎖定相關人士發動網路攻擊的情形。</p> <p>資安業者Cyble指出，他們看到駭客用來發動攻擊的誘餌檔案，內容是即將舉行的美臺國防工業會議的報名表單，研判攻擊目標很有可能這場會議的與會者，例如：國防官員、政府代表、業界人士，以及與這場會議相關的人士。</p> <p>究竟駭客如何發動攻擊，研究人員表示並不清楚，但他們根據駭客散布的壓縮檔registration_form.pdf.zip進行分析，一旦使用者開啟當中偽裝成PDF檔案的Windows捷徑檔（LNK），駭客就會在後臺進行一系列的惡意行為。</p> <p><a href="https://ithome.com.tw/news/165080"><strong style="font-size: 22px;">中國駭客DragonRank攻擊亞洲、歐洲IIS伺服器，意圖操縱搜尋引擎排名</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-4ec480e6-392d-4116-bb0a-ab050b698905.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-4ec480e6-392d-4116-bb0a-ab050b698905.jpeg" style="width: 300px; float: right;" /></a>思科旗下威脅情報團隊Talos發現名為DragonRank的駭客組織，主要針對亞洲、歐洲國家而來，企圖利用惡意程式PlugX、BadIIS來操縱搜尋引擎最佳化（SEO）排名。駭客利用特定的網頁應用程式服務來部署Web Shell，然後進一步收集系統資訊並植入惡意軟體，並搜括各式帳密資料，至少有35臺IIS伺服器受害。</p> <p>根據駭客使用的工具，以及策略、技術、流程（TTP），研究人員認為攻擊者的身分是使用簡體中文溝通的駭客組織，主要標的是代管企業網站的IIS伺服器，駭客對其植入BadIIS，用來操縱搜尋引擎爬蟲，並左右受害網站的SEO排名。此外，駭客還能藉由這些IIS伺服器，向使用者散布詐騙網站。</p> <p>研究人員表示，這些駭客積極從事黑帽SEO活動，透過不道德的手段提高客戶的網路知名度，但與其他投入黑帽SEO的網路犯罪組織有所不同，DragonRank強調橫向移動及權限提升，目標是滲透到受害組織網路環境的其他伺服器，並進行控制，而非儘可能破壞大量網站伺服器來操縱搜尋引擎流量。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cloud.google.com/blog/topics/threat-intelligence/unc2970-backdoor-trojanized-pdf-reader">北韓駭客鎖定能源及航太產業，散布惡意軟體Mistpen</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://news.drweb.com/show/?i=14904&lng=en&c=5">防毒業者Dr.Web驚傳遭到入侵，暫時切斷所有伺服器的連線</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://appomni.com/ao-labs/servicenow-knowledge-bases-data-exposures-uncovered/">逾1千臺SerivceNow伺服器配置不當，恐曝露企業機敏資訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=142142&SPOKE_DATE=20240917&COMPANY_ID=2886">兆豐證實旗下證券投資信託子公司遭遇DDoS攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://ithome.com.tw/news/165071"><strong style="font-size: 22px;">Red Hat修補OpenShift重大層級漏洞</strong></a></p> <p>Red Hat今天針對容器應用平臺OpenShift發布4.13.50版更新，修補2項重大層級漏洞CVE-2024-45496、CVE-2024-7387，這些漏洞有可能讓攻擊者執行任意命令，或是提升權限，CVSS風險評分為9.9、9.1。</p> <p>回顧OpenShift今年的漏洞揭露與修補，上次嚴重性較高的漏洞是被評為8.0分的CVE-2024-6508，最新揭露的CVE-2024-45496，竟高達9.9分，令人訝異，此弱點的問題出在OpenShift的組建流程，在平臺組建初始化的步驟裡，名為git-clone的容器會以特殊權限啟動，而能夠無限制地存取節點。攻擊者可在取得開發者層級的權限下，在複製流程帶入特製的.gitconfig檔案，從而在運作的節點上執行任意命令。除此之外，攻擊者若是在具有特殊權限的容器當中的節點觸發漏洞，還能藉此得到容器具備的權限。</p> <p><a href="https://ithome.com.tw/news/165072"><strong style="font-size: 22px;">VMware vCenter伺服器存在重大漏洞，有可能讓攻擊者遠端執行任意程式碼</strong></a></p> <p>9月17日博通修補VMware vCenter Server的兩個漏洞：CVE-2024-38812、CVE-2024-38813，影響7.0及8.0版vCenter Server，以及4.x及5.x版Cloud Foundation，並指出這些漏洞相當嚴重，而且沒有其他的緩解措施，呼籲IT人員應儘速套用相關更新。</p> <p>上述漏洞之所以發現，是來自今年6月底中國舉行的漏洞挖掘競賽矩陣杯（Matrix Cup），當時有一支參賽隊伍TZL找到這些弱點，但究竟是否已被用於攻擊行動？博通的回答有點曖昧，他們表示，尚未察覺這些漏洞遭到「廣泛（in the wild）」利用的情形。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://chromereleases.googleblog.com/2024/09/stable-channel-update-for-desktop_17.html">Google發布Chrome大改版129，修補V8引擎高風險漏洞</a></strong></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165063"><strong>【9月18日】新興AI系統AutoGPT漏洞恐波及44萬軟體程式碼專案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165045"><strong>【9月16日】數發部公布親俄駭客發動大規模DDoS攻擊的影響範圍</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165015"><strong>【9月13日】中租、兆豐、彰銀接連遭遇DDoS攻擊發布重訊，俄羅斯駭客聲稱是他們所為</strong></a></p> </div></div></div>
2024/9/19 18:23作者周峻佑https://www.ithome.com.tw/news/165081
中國駭客DragonRank攻擊亞洲、歐洲IIS伺服器，意圖操縱搜尋引擎排名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科旗下威脅情報團隊Talos發現名為DragonRank的駭客組織，主要針對亞洲、歐洲國家而來，<a href="https://blog.talosintelligence.com/dragon-rank-seo-poisoning/">企圖利用惡意程式PlugX、BadIIS來操縱搜尋引擎最佳化（SEO）排名</a>。駭客利用特定的網頁應用程式服務來部署Web Shell，然後進一步收集系統資訊並植入惡意軟體，並搜括各式帳密資料，至少有35臺IIS伺服器受害。</p> <p>針對這波攻擊行動，研究人員指出，他們看到泰國、印度、韓國、比利時、荷蘭、中國出現受害主機，駭客攻擊的行業也相當廣泛，涵蓋珠寶、新聞媒體、研究服務、醫療保健、影視製作、製造、交通運輸、宗教組織、IT服務、農業等。</p> <p>根據駭客使用的工具，以及策略、技術、流程（TTP），研究人員認為攻擊者的身分是使用簡體中文溝通的駭客組織，主要標的是代管企業網站的IIS伺服器，駭客對其植入BadIIS，用來操縱搜尋引擎爬蟲，並左右受害網站的SEO排名。此外，駭客還能藉由這些IIS伺服器，向使用者散布詐騙網站。</p> <p>研究人員表示，這些駭客積極從事黑帽SEO活動，透過不道德的手段提高客戶的網路知名度，但與其他投入黑帽SEO的網路犯罪組織有所不同，DragonRank強調橫向移動及權限提升，目標是滲透到受害組織網路環境的其他伺服器，並進行控制，而非儘可能破壞大量網站伺服器來操縱搜尋引擎流量。</p> <p>攻擊者最初鎖定phpMyAdmin、WordPress等網頁應用程式服務的漏洞，一旦他們能夠遠端在受害網站執行任意程式碼，或是上傳檔案，就會部署Web Shell，從而控制伺服器。</p> <p>接著，駭客利用Web Shell收集系統資訊，並啟動PlugX、BadIIS，以及竊取帳密資料的工具，例如：Mimikatz、PrintNotifyPotato、BadPotato、GodPotato。</p> <p>值得留意的是，駭客也藉由Web Shell或是外流的帳密資料，利用遠端桌面連線（RDP）存取網路環境的其他IIS伺服器，進行橫向感染，在其中1臺伺服器上，研究人員看到駭客藉由特定工具將管理員權限複製到Guest帳號。</p> <p>而對於駭客執行惡意程式PlugX的手法，研究人員特別提及對方不光使用常見的側載手法，也濫用視窗作業系統的結構化例外狀況處理（Structured Exception Handling，SEH）機制，使得他們利用合法檔案載入惡意程式的過程，不會被資安防護機制懷疑有害。</p> </div></div></div>
2024/9/19 17:18作者周峻佑https://www.ithome.com.tw/news/165080
臺美國防工業會議相關人士遭到鎖定，駭客發動網釣攻擊企圖竊取機密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國與臺灣之間的國防工業會議United States Taiwan Defense Industry Conference已邁入第23屆，這項會議主要討論美國與臺灣國防之間的合作、國防採購流程，以及臺灣的國防需求，今年即將於9月22日至24日於美國賓州舉行，但在此之前傳出駭客鎖定相關人士發動網路攻擊的情形。</p> <p>資安業者Cyble指出，<a href="https://cyble.com/blog/stealthy-fileless-attack-targets-attendees-of-us-taiwan-defense-industry-event/">他們看到駭客用來發動攻擊的誘餌檔案</a>，內容是即將舉行的美臺國防工業會議的報名表單，研判攻擊目標很有可能這場會議的與會者，例如：國防官員、政府代表、業界人士，以及與這場會議相關的人士。</p> <p>究竟駭客如何發動攻擊，研究人員表示並不清楚，但他們根據駭客散布的壓縮檔registration_form.pdf.zip進行分析，一旦使用者開啟當中偽裝成PDF檔案的Windows捷徑檔（LNK），駭客就會在後臺進行一系列的惡意行為。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-infection-chain-2.png" style="width: 580px;" /></p> <p>此LNK檔案會開啟惡意程式及誘餌PDF檔案，為了迴避偵測，駭客使用.NET程式的混淆工具Confuser處理惡意程式，並將其存放於電腦的啟動資料夾，使得該程式能夠隨著電腦開機執行。</p> <p>而該惡意程式會從遠端伺服器取得其他作案工具，其中包含經過XOR演算法處理的DLL程式庫，駭客利用.NET的函數功能Assembly.Load，將解密的程式庫載入記憶體內，而不會在磁碟留下痕跡。</p> <p>接著，DLL檔案將會從駭客控制的伺服器下載C#程式碼，並在受害電腦上編碼，完成後也在記憶體內執行。研究人員在分析的過程，無法取得最終的有效酬載，但根據駭客的程式碼分析，他們推測此有效酬載的最終目的，是為了從受害電腦竊取機敏資料，而能讓攻擊者進行下個階段的惡意活動。</p> <p>至於攻擊者的身分，研究人員表示無法將這起事故的策略、技術、流程（TTP）與已知的駭客組織進行關聯，但他們推測，很有可能是長期針對臺灣的中國駭客所為。</p> </div></div></div>
2024/9/19 15:51作者周峻佑https://www.ithome.com.tw/news/165078
美國破獲中國駭客主導的、由逾20萬個裝置組成的殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部周三（9/18）<a href="https://www.justice.gov/opa/pr/court-authorized-operation-disrupts-worldwide-botnet-used-peoples-republic-china-state" target="_blank">宣布</a>，在法院的授權下，已破獲一個由超過20萬個裝置組成、名為Raptor Train的殭屍網路，同時相信此一殭屍網路是由中國駭客組織Flax Typhoon委由中國業者Integrity Technology Group所建立。</p> <p>美國電信業者Lumen Technologies旗下資安團隊<a href="https://blog.lumen.com/derailing-the-raptor-train/" target="_blank">Black Lotus Labs分析</a>，駭客是利用眾多的安全漏洞，滲透超過20種不同品牌的不同裝置，包括數據機、路由器、IP攝影機、監視器及網路儲存伺服器等，並於眾多裝置中植入Nosedive惡意程式，還建立了多層次的管理架構，允許駭客自遠端執行命令，包括上傳或下載文件，或是執行分散式服務阻斷（DDoS）攻擊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0919-Raptor%20Train%20botnet-Lumen.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Lumen</span></span></p> <p>Black Lotus Labs是在去年7月發現此一早自2021年便開始活動的Raptor Train，Flax Typhoon主要利用Raptor Train針對臺灣及美國的軍事、政府、高等教育、電信及國防工業等領域展開攻擊，多是偵察、監控或竊取資訊，尚未被用來發動DDoS攻擊。曾被納入Raptor Train殭屍網路的裝置超過20萬臺，但最高活躍裝置則是6萬臺。</p> <p>美國聯邦調查局（FBI）在取得法院同意後，接管了Raptor Train殭屍網路的基礎設施，並在不危及裝置合法功能的前提下，向遭到感染的裝置發送禁用命令。駭客或許也意識到執法機構正企圖瓦解其殭屍網路，因此在FBI採取行動的期間，針對FBI用來破壞Raptor Train的基礎設施展開DDoS攻擊，只是無功而返。</p> </div></div></div>
2024/9/19 16:37作者陳曉莉https://www.ithome.com.tw/news/165079
Red Hat修補OpenShift重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Red Hat今天針對容器應用平臺OpenShift<a href="https://access.redhat.com/errata/RHSA-2024:6691">發布4.13.50版更新</a>，修補2項重大層級漏洞<a href="https://access.redhat.com/security/cve/CVE-2024-45496">CVE-2024-45496</a>、<a href="https://access.redhat.com/security/cve/CVE-2024-7387">CVE-2024-7387</a>，這些漏洞有可能讓攻擊者執行任意命令，或是提升權限，CVSS風險評分為9.9、9.1。</p> <p>回顧OpenShift今年的漏洞揭露與修補，上次嚴重性較高的漏洞是被評為8.0分的CVE-2024-6508，最新揭露的CVE-2024-45496，竟高達9.9分，令人訝異，此弱點的問題出在OpenShift的組建流程，在平臺組建初始化的步驟裡，名為git-clone的容器會以特殊權限啟動，而能夠無限制地存取節點。攻擊者可在取得開發者層級的權限下，在複製流程帶入特製的.gitconfig檔案，從而在運作的節點上執行任意命令。除此之外，攻擊者若是在具有特殊權限的容器當中的節點觸發漏洞，還能藉此得到容器具備的權限。</p> <p>另一項漏洞CVE-2024-7387，則是出現在openshift/builder元件裡，攻擊者有機會藉由路徑穿越進行命令注入攻擊，而能在執行建構容器的OpenShift節點執行任意命令。這項漏洞發生在BuildConfig組態的特定屬性，使得攻擊者有機會覆寫特權容器裡的執行檔，而能在執行容器的節點上執行任意命令。</p> </div></div></div>
2024/9/19 11:52作者周峻佑https://www.ithome.com.tw/news/165071
VMware vCenter伺服器存在重大漏洞，有可能讓攻擊者遠端執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月17日博通修補VMware vCenter Server的兩個漏洞：<a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24968">CVE-2024-38812、CVE-2024-38813</a>，影響7.0及8.0版vCenter Server，以及4.x及5.x版Cloud Foundation，並指出這些漏洞相當嚴重，而且沒有其他的緩解措施，呼籲IT人員應儘速套用相關更新。</p> <p>其中，危險程度較為嚴重的是CVE-2024-38812，此為記憶體緩衝區溢位漏洞，出現於DCERPC通訊協定的實作上，一旦攻擊者能透過網路存取vCenter Server，就有機會藉由傳送特製網路封包觸發，若是得逞，攻擊者就能遠端執行任意程式碼，CVSS風險評為9.8分。</p> <p>至於另一個漏洞CVE-2024-38813，則是可被用於提升權限，攻擊者假如能夠透過網路存取vCenter Server，並傳送特製的網路封包，就有機會觸發、利用這個弱點，從而將權限提升為root，CVSS風險評分為7.5。</p> <p>上述漏洞之所以發現，是來自今年6月底中國舉行的漏洞挖掘競賽矩陣杯（Matrix Cup），當時有一支參賽隊伍TZL找到這些弱點，但究竟是否已被用於攻擊行動？博通的回答有點曖昧，他們表示，<a href="https://blogs.vmware.com/cloud-foundation/2024/09/17/vmsa-2024-0019-questions-answers/">尚未察覺這些漏洞遭到「廣泛（in the wild）」利用的情形</a>。</p> </div></div></div>
2024/9/19 12:38作者周峻佑https://www.ithome.com.tw/news/165072
自己當主角的AI社交網路SocialAI登上iOS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新創公司Friendly Apps所打造的AI社交網路SocialAI本周<a href="https://apps.apple.com/us/app/socialai-ai-social-network/id6670229993" target="_blank">登上了iOS平臺</a>，SocialAI是個全新的社交網路概念，因為它的社交圈是由機器人組成的，使用者還可選擇不同個性的追隨者。</p> <p>SocialAI平臺基本上就是個供使用者自由發揮的園地，除了使用者之外沒有其它的真人，所有的追隨者都是機器人，還可設定要使用哪種個性的機器人，像是支持者、酸民、粉絲、批評者、書呆子、夢想家、仇恨者、老師或好奇寶寶等數種類別，還可隨時刪除或新增不同個性的機器人，一旦使用者張貼文章，這些AI機器人就會紛紛跳出來留言。</p> <p>Friendly Apps的官網上只簡單地<a href="https://www.friendlyapps.co/" target="_blank">寫著</a>，現在這麼多產品設計都專注於保留用戶，進而損及使用者的心理健康，倘若改變此事將會如何？</p> <p>SocialAI即允許使用者根據自己的心情與想法來體驗與AI的交流，還說該程式可以作為心理治療、寫日記或是只是感覺被傾聽的工具。即有媒體評論，SocialAI就像是個保有自己隱私，卻又有人關注的日記本。</p> <p>現階段SocialAI只有英文版與英文介面，但張貼中文時，這些AI機器人依舊能夠辨識與回應，只是它們回應的都是英文。</p> </div></div></div>
2024/9/19 15:48作者陳曉莉https://www.ithome.com.tw/news/165077
上有政策，下有對策，X溜回巴西市場了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>巴西最高法院在今年8月底下令電信業者全面<a href="https://www.ithome.com.tw/news/164808" target="_blank">封鎖X</a>，不過，巴西的網路與電信供應商協會Abrint周三（9/18）<a href="https://abrint.com.br/nota-sobre-o-funcionamento-do-aplicativo-x/" target="_blank">指出</a>，X連夜更新其架構，同時自動更新使用者手機上的程式，透過將X的IP連至Cloudflare的服務繞過巴西的禁令。</p> <p>Cloudflare為一雲端反向代理服務供應商，反向代理意謂著它代表多個後端伺服器來接受請求，並將請求分發到適當的後端伺服器上，主要目的是為了負載均衡，強化安全及提高性能。</p> <p>Abrint解釋，先前巴西的電信及ISP業者之所以能夠封鎖X，是因為X使用特定的IP位址，業者只要封鎖IP就好，但在X改用了Cloudflare服務之後，新系統使用持續變更的動態IP，而且當中的許多IP還與不同的合法服務共享，包括銀行及大型網路平臺在內，使得巴西業者無法在不影響其它服務的前提下封鎖X。</p> <p>為了不影響重要的網路服務，於是巴西的電信業者與ISP業者都在等待巴西國家通訊管理局Anatel的進一步指示，而不敢擅自封鎖X流量。</p> <p>根據Abrint的說法，X的更新至少讓占當地寬頻市場超過53%的眾多網路供應商不敢輕舉妄動，讓X暫時重返巴西市場，並等待來自Anatel的技術分析與指導。</p> </div></div></div>
2024/9/19 15:07作者陳曉莉https://www.ithome.com.tw/news/165074
YouTube Shorts將整合影片生成模型Veo以協助建立影片背景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>YouTube本周<a href="https://blog.youtube/news-and-events/made-on-youtube-2024/" target="_blank">宣布</a>，旗下短影音服務YouTube Shorts將在年底把Google DeepMind的影片生成模型Veo整合至Dream Screen中，協助使用者創作更夢幻，也更栩栩如生的影片背景。</p> <p><a href="https://support.google.com/youtube/answer/15260303?hl=en&sjid=8059084347896872375-AP" target="_blank">Dream Screen</a>是YouTube於去年底推出的實驗性功能，只要輸入文字敘述，即可生成靜態圖像，使用者可選擇直接使用該圖像或是讓它變成動畫，再使其成為短影音的背景。Dream Screen迄今仍只於某些國家進行封閉測試。</p> <p>至於Veo則是DeepMind在今年<a href="https://blog.google/technology/ai/google-generative-ai-veo-imagen-3/#veo" target="_blank">發表</a>的影片生成模型，能以各種電影及視覺風格生成超過1分鐘的1080p影片。DeepMind強調Veo可準確捕捉使用者的提示語氣，以產生更貼切的影片。</p> <p>YouTube表示，當結合Dream Screen與Veo之後，使用者將可替原本無法視覺化的概念注入活力，例如說書的BookTuber或許可以踩進經典小說《秘密花園》的書頁，或是讓設計師直接將概念視覺化。</p> <p>此外，Veo還能替Shorts生成一支獨立的6秒影片，利用既有的影片素材，讓Veo生成可匹配並補足既有短影音的內容。</p> <p>藉由Veo創作的影片將會添加基於SynthID的浮水印，也會透過標籤向大眾傳達相關內容是由AI所生成。</p> </div></div></div>
2024/9/19 13:29作者陳曉莉https://www.ithome.com.tw/news/165073
緩衝記憶體配置1GiB，Toshiba資料中心硬碟邁入11代
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/toshiba_mg11xi_lie_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧三大廠商近期發表的商用硬碟新品趨勢，最大儲存容量的規格不斷突破。以去年第四季為例，Seagate推出24 TB硬碟Exos X24，<a href="https://www.ithome.com.tw/review/160013">WD推出24 TB硬碟Ultrastar DC HC580</a>，以及可供應26 TB、27 TB、28 TB容量的硬碟Ultrastar DC HC680；今年上半，這兩家廠商紛紛預告將推出30 TB以上容量的硬碟，像是<a href="https://www.seagate.com/tw/zh/products/enterprise-drives/exos-x/x-mozaic/">Seagate的Mozaic 3+</a>，將提供30 TB與32 TB容量的產品，WD在2024 Computex期間表示，將推出<a href="https://www.westerndigital.com/company/newsroom/press-releases/2024/2024-06-06-western-digital-introduces-new-ai-data-cycle-storage-framework">Ultrastar DC HC690</a>，儲存容量上看32 TB。</p> <p>對比動作頻頻的上述兩家廠商，Toshiba在2022年10月推出<a href="https://www.ithome.com.tw/review/155685">最大容量為20 TB的傳統磁記錄（CMR）硬碟MG10系列</a>，隔年9月發表<a href="https://www.ithome.com.tw/review/159033">最大容量為22 TB的CMR硬碟MG10F系列</a>，到了一年後的此刻，他們終於發表下一代資料中心CMR硬碟MG11系列，現在已開始對市場供應樣品，能在既有IT基礎架構快速擴充單位儲存密度的規模，因應雲端服務、資料中心，以及企業儲存系統的建置需求，可支援資料儲存、線上備份與歸檔，以及視訊監控應用系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Toshiba MG HDD-2024-09-SAS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Toshiba%20MG%20HDD-2024-09-SAS.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Toshiba MG HDD-2024-09-SATA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Toshiba%20MG%20HDD-2024-09-SATA.jpg" style="width: 600px;" /></a></p> <p>MG11系列同樣採用10碟片、氦氣封裝設計，並且運用Toshiba發展的磁通控制-微波輔助磁記錄（Flux Control Microwave Assisted Magnetic Recording，FC-MAMR）技術，最大容量為24 TB，每張碟片可存放2.4 TB的資料量，而且一口氣也提供22 TB、20 TB、18 TB、14 TB容量的款式，可選擇6Gb SATA與12Gb SAS這兩種介面，若需要更高的安全性，此系列的5種儲存容量都推出支援自我加密硬碟（SED），以及銷毀快速刪除（Sanitize Instant Erase，SIE）的款式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Toshiba MG11 series spec-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Toshiba%20MG11%20series%20spec-2.jpg" style="width: 400px;" /></a></p> <p>相較於市面上的硬碟產品，所配置的緩衝記憶體容量多為512 MiB或256 MiB，MG11系列首開先例內建到1GiB（1024 MiB），而且，以24 TB容量的款式而言，持續傳輸率上看295 MiB/s（309.3 MB/s），比起上一代產品（MG10系列為268 MiB/s），提升10％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Toshiba%20MG11%20series%20spec-1.jpg" style="width: 600px;" /></p> <p>Toshiba這次的產品發表，也涵蓋另一個新推出的系列疊瓦磁記錄（SMR）硬碟，名為MA11系列，與MG11系列並稱為Mx11系列。這款產品屆時提供28 TB與27 TB等兩種儲存容量，僅支援6Gb SATA介面，預告今年第四季開始出貨。</p> <p>此系列硬碟是基於與MG11系列共通的架構而成，同樣採用10碟片設計，也導入FC-MAMR技術，每張碟片最大可存放2.8 TB，而且在寫入資料的過程當中，可以使用主機管理型SMR技術，並透過重疊磁軌的方式增加硬碟儲存容量。</p> <p>對於資料中心業者而言，若能採用針對MA11系列主機管理型SMR技術進行最佳化的軟體，即可透過更高的儲存密度運用，進而獲得更大的成本改善效益。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Toshiba MG11系列</strong><br /> ●原廠：Toshiba<br /> ●建議售價：廠商未提供<br /> ●外觀尺寸：3.5吋<br /> ●機械設計：氦氣封裝<br /> ●容量：24 TB、22 TB、20 TB、18 TB、16 TB、14 TB<br /> ●傳輸規格：6Gb SATA、12Gb SAS<br /> ●支援磁碟格式：512e<br /> ●緩衝記憶體：1 GiB<br /> ●轉速：7200轉<br /> ●最大持續傳輸率：295 MiB/s<br /> ●工作負載耐用度：每年550 TB<br /> ●平均故障間隔時間（MTBF）：250萬小時<br /> ●耗電量：執行隨機讀寫作業時，SATA介面20至24TB機型為8.11瓦，SAS介面20至24TB機型為8.57瓦<br /> ●重量：730克</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/9/19 09:27作者李宗翰https://www.ithome.com.tw/review/165033
Elasticsearch重新開源後，AWS也將OpenSearch移交Linux基金會
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/164799">在最近Elastic宣布Elasticsearch專案提供開源授權之後</a>，由AWS領頭創建的Elasticsearch分叉專案OpenSearch，現在<a href="https://opensearch.org/blog/building-the-future-of-OpenSearch-together/">隸屬於Linux基金會旗下的OpenSearch軟體基金會</a>，實現由社群主導的開放式治理模型。轉移後的OpenSearch專案依然於GitHub進行維護，並且將繼續採用Apache 2.0授權。</p> <p>OpenSearch的出現源自於Elastic和AWS之間的爭議，由於Elastic調整Elasticsearch的授權，轉向使用更為嚴格的商業授權，使得AWS無法繼續使用原本的開源版本，因此聯合Expedia、Netflix等公司推出Elasticsearch分叉版本。而Elastic修改Elasticsearch授權的原因，是認為雲端供應商大量使用開源社群資源，卻未提供合理回饋。</p> <p>雙方在商業與法律上的對立，在AWS將Elasticsearch分叉版本更名為OpenSearch之後逐漸獲得緩解，Elastic也在近期宣布Elasticsearch再次提供開源授權，供使用者選擇使用AGPL（Affero General Public License）。</p> <p>現在AWS也決定將OpenSearch專案交給Linux基金會，而這是AWS將該專案從內部管理，轉移到由社群主導的開放式治理架構的重要一步。雖然OpenSearch從2021年創立以來，就訴求開放透明，除了保持和Elasticsearch相容之外，也與社群合作共同推進技術發展。OpenSearch轉移至中立非營利基金會，代表著將會有更多來自不同組織的貢獻者，能夠參與專案開發。</p> <p>OpenSearch轉移的重點在於強化社群參與，降低專案受單一供應商的影響，確保專案能夠繼續推進。在OpenSearch專案完成轉移之後，技術指導委員會（TSC）將負責專案的技術決策，而管理委員會則負責分配資源與專案發展。這些變化使得OpenSearch的治理模式更加透明，也擴大來自AWS以外的貢獻者參與。</p> </div></div></div>
2024/9/18 21:48作者李建興https://www.ithome.com.tw/news/165064
【資安日報】9月18日，新興AI系統AutoGPT漏洞恐波及44萬軟體程式碼專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI應用當紅，這類應用系統的漏洞也隨之引起關注。最近有研究人員針對新興AI系統AutoGPT揭露漏洞CVE-2024-6091，這項漏洞源自於過濾可用的Shell命令機制，一旦被利用，攻擊者就有機會執行任意命令。</p> <p>值得留意的是，AutoGPT受到許多開發者關注，迄今已有超過44萬個分叉AutoGPT的軟體程式碼專案，這些專案很有可能也曝露於相關的資安風險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165059"><strong style="font-size: 22px;">殭屍網路Quad7鎖定兆勤VPN設備、Ruckus無線路由器而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/quad7-chart1-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/quad7-chart1-2.png" style="width: 300px; float: right;" /></a></p> <p>鎖定中小企業、SOHO族、家用網路設備的殭屍網路，最近2到3年有越來越氾濫的情況。例如，資安業者Sekoia揭露殭屍網路Quad7最新一波的攻擊行動，就是典型的例子。研究人員在2個月前看到駭客鎖定TP-Link路由器而來，如今對方擴大攻擊範圍，開始針對兆勤（Zyxel）、華碩、Ruckus等廠牌的網路設備下手。</p> <p>這個殭屍網路也被稱做7777、xlogin，這個威脅命名的由來，是因為受害的路由器都會開放Telnet連線及7777埠，而這個連接埠正是TP-Link設備的管理連接埠。此外，駭客也利用11288埠設置SOCKS代理伺服器，目的是對M365帳號進行暴力破解攻擊。</p> <p>不久之後，研究人員找到另一個專門綁架華碩路由器的殭屍網路alogin（也稱為63256），背後的攻擊者身分，他們推測很可能是經營Quad7的駭客。在循線進一步調查後，發現駭客也鎖定Ruckus路由器、Axentra網路儲存設備、兆勤VPN設備，架設殭屍網路rlogin、axlogin、zylogin。</p> <p><a href="https://www.ithome.com.tw/news/165061"><strong style="font-size: 22px;">北韓駭客透過LinkedIn尋找目標，企圖散布惡意軟體RustDoor</strong></a></p> <p>北韓駭客鎖定加密貨幣產業的求職者從事攻擊行動的情況，近期有不少事故傳出，引起美國政府多次發出警告，呼籲民眾線上求職要提高警覺。本月初美國聯邦調查局（FBI）再度針對此種攻擊發布資安公告，有資安業者公布細節。</p> <p>資安業者Jamf指出，這些駭客會檢視LinkedIn等社群網站的活動狀態，尋找下手的目標：加密貨幣產業的從業人員，駭客通常聲稱他們是專精去中心化金融科技公司的人力資源團隊，引誘求職者上當。</p> <p>關於FBI在公告提及數種向受害者散布惡意程式的手法，研究人員提出更具體的說明，其中又以假借測試求職者能力為由，要求進行就業前測驗的情況相當值得注意，其中涉及不標準或是未知的NPM套件、PyPI套件、GitHub儲存庫。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.modepush.com/blog/highway-blobbery-data-theft-using-azure-storage-explorer">勒索軟體駭客濫用微軟Azure雲端服務竊取資料</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165060"><strong style="font-size: 22px;">新興AI系統AutoGPT存在重大漏洞，逾44萬個軟體程式碼專案恐曝險</strong></a></p> <p>專門針對機器學習與人工智慧系統的漏洞懸賞專案Huntr指出，號稱能根據使用者需求自主執行任務的新興AI應用系統AutoGPT，存在重大層級的作業系統命令注入漏洞CVE-2024-6091，該弱點出現在AutoGPT處理禁用Shell命令的方式，攻擊者有機會藉由更改過的路徑，就能繞過相關防護．CVSS風險評分達到9.8，近日開發團隊已發布更新予以修補。</p> <p>通報此事的研究人員PinkDraconian指出，他們發現只要強制AI使用完整路徑執行指令，攻擊者就有機會繞過AutoGPT停用特定Shell命令的限制。</p> <p>為了驗證漏洞的概念與可行性，研究人員也公布示範此種威脅的程式碼。他們透過.env檔案，將whoami、/bin/whoami列入停用名單，然後將原本的whoami命令更換為/bin/./whoami，就能繞過AutoGPT的黑名單。</p> <p><a href="https://www.ithome.com.tw/news/165062"><strong style="font-size: 22px;">D-Link修補Wi-Fi路由器高風險漏洞</strong></a></p> <p>本週D-Link發布資安公告，指出旗下的DIR-X5460、DIR-X4860、COVR-X1870等無線路由器設備存在5項漏洞：CVE-2024-45694、CVE-2024-45695、CVE-2024-45696、CVE-2024-45697、CVE-2024-45698，CVSS風險評分介於8.8至9.8，他們發布新版韌體予以修補。</p> <p>值得留意的是，上述的弱點都是經由台灣電腦網路危機處理暨協調中心（TWCERT/CC）通報，D-Link強調他們在接獲通報的90天內完成修補，但未透露這段期間是否已出現漏洞遭到利用的情況。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://mikko-kenttala.medium.com/zero-click-calendar-invite-critical-zero-click-vulnerability-chain-in-macos-a7a434fc887b">重大層級macOS行事曆應用程式漏洞恐影響數百萬用戶，攻擊者有機會零點擊觸發</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.tenable.com/blog/cloudimposer-executing-code-on-millions-of-google-servers-with-a-single-malicious-package">GCP存在漏洞CloudImposer，攻擊者有機會透過供應鏈攻擊利用</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blogs.vmware.com/cloud-foundation/2024/09/17/vmsa-2024-0019-questions-answers/">VMware vCenter伺服器存在重大漏洞，有可能讓攻擊者遠端執行任意程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.solarwinds.com/trust-center/security-advisories/cve-2024-28991">SolarWinds修補權限管理系統ARM重大漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165045"><strong>【9月16日】數發部公布親俄駭客發動大規模DDoS攻擊的影響範圍</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165015"><strong>【9月13日】中租、兆豐、彰銀接連遭遇DDoS攻擊發布重訊，俄羅斯駭客聲稱是他們所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164991"><strong>【9月12日】CosmicBeetle駭客針對中小企業發動勒索軟體攻擊</strong></a></p> </div></div></div>
2024/9/18 18:59作者周峻佑https://www.ithome.com.tw/news/165063
新興AI系統AutoGPT存在重大漏洞，逾44萬個軟體程式碼專案恐曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門針對機器學習與人工智慧系統的漏洞懸賞專案Huntr指出，號稱能根據使用者需求自主執行任務的新興AI應用系統AutoGPT，存在<a href="https://huntr.com/bounties/8a742c13-bb5e-4bc9-8b86-049d8a386050">重大層級的作業系統命令注入漏洞CVE-2024-6091</a>，該弱點出現在AutoGPT處理禁用Shell命令的方式，攻擊者有機會藉由更改過的路徑，就能繞過相關防護．CVSS風險評分達到9.8，近日開發團隊已發布更新予以修補。</p> <p>什麼是AutoGPT？這是以GPT-4為基礎開發的AI代理程式，號稱是全自動的人工智慧系統，能夠根據使用者下達的任務指令，經過分析後自行設立下個階段的目標，並進一步執行，過程裡還能透過網路搜尋取得完成任務的相關資料，用戶無須參與中間的過程，迄今已有超過16.7萬名GitHub開發者肯定這個專案（給予星號標記），並且有44萬個由AutoGPT分叉出來的專案採用，換言之，這些專案很可能也曝露在相關風險之下。</p> <p>通報此事的研究人員PinkDraconian指出，他們發現只要強制AI使用完整路徑執行指令，攻擊者就有機會繞過AutoGPT停用特定Shell命令的限制。</p> <p>為了驗證漏洞的概念與可行性，研究人員也公布示範此種威脅的程式碼。他們透過.env檔案，將whoami、/bin/whoami列入停用名單，然後將原本的whoami命令更換為/bin/./whoami，就能繞過AutoGPT的黑名單。</p> </div></div></div>
2024/9/18 16:09作者周峻佑https://www.ithome.com.tw/news/165060
北韓駭客透過LinkedIn尋找目標，企圖散布惡意軟體RustDoor
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客鎖定加密貨幣產業的求職者從事攻擊行動的情況，近期有不少事故傳出，引起美國政府多次發出警告，呼籲民眾線上求職要提高警覺。本月初美國聯邦調查局（FBI）再度針對此種攻擊發布資安公告，有資安業者公布進一步細節。</p> <p><a href="https://www.jamf.com/blog/jamf-threat-labs-observes-targeted-attacks-amid-fbi-warnings/">資安業者Jamf指出</a>，這些駭客會檢視LinkedIn等社群網站的活動狀態，來尋找下手的目標，主要針對的是加密貨幣產業的從業人員，駭客通常會佯稱是專精去中心化金融科技公司的人力資源團隊，來引誘求職者上當。</p> <p>研究人員指出，FBI在公告中提及數種向受害者散布惡意程式的手法，其中又以假借測試求職者能力為由，要求進行就業前測驗的情況相當值得注意，其中涉及不標準或是未知的NPM套件、PyPI套件、GitHub儲存庫。</p> <p>他們看到駭客向求職的開發人員寄送用來進行測驗的壓縮檔案，此為Visual Studio專案的程式碼挑戰（coding challenge），對方要求開發人員使用C#，將Slack訊息轉換成CSV格式檔案。</p> <p>然而一旦求職的開發人員照做，他們的電腦就有可能藉由埋藏在csproj檔案的惡意程式碼，使用curl下載第二階段有效酬載，研究人員分析後得知，此惡意軟體是macOS後門RustDoor（也稱作Thiefbucket）。</p> </div></div></div>
2024/9/18 16:57作者周峻佑https://www.ithome.com.tw/news/165061
D-Link修補Wi-Fi路由器高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週D-Link發布資安公告，指出<a href="https://supportannouncement.us.dlink.com/security/publication.aspx?name=SAP10412">旗下的DIR-X5460、DIR-X4860、COVR-X1870等無線路由器設備存在5項漏洞</a>：CVE-2024-45694、CVE-2024-45695、CVE-2024-45696、CVE-2024-45697、CVE-2024-45698，CVSS風險評分介於8.8至9.8，他們發布新版韌體予以修補。</p> <p>值得留意的是，上述的弱點都是經由台灣電腦網路危機處理暨協調中心（TWCERT/CC）通報，D-Link強調他們在接獲通報的90天內完成修補，但未透露這段期間是否已出現漏洞遭到利用的情況。</p> <p>根據CVSS風險評分，這些漏洞當中較為嚴重的是被評為重大層級的CVE-2024-45694、CVE-2024-45695、CVE-2024-45697，其中，CVE-2024-45694、CVE-2024-45695與路由器的網頁服務有關，為記憶體緩衝區溢位漏洞，攻擊者可在未經身分驗證的情況下，遠端在設備上執行任意程式碼；另一個漏洞CVE-2024-45697則與產品隱藏的功能有關，在建立WAN連接埠連線時，路由器會逕自啟用Telnet服務，<a href="https://www.twcert.org.tw/tw/cp-132-8088-590ed-1.html">攻擊者有機會利用寫死的帳號資料存取，並執行作業系統層級命令</a>。</p> </div></div></div>
2024/9/18 17:47作者周峻佑https://www.ithome.com.tw/news/165062
殭屍網路Quad7鎖定兆勤VPN設備、Ruckus無線路由器而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定中小企業、SOHO族、家用網路設備的殭屍網路，最近2到3年有越來越氾濫的情況。例如，資安業者Sekoia揭露殭屍網路Quad7最新一波的攻擊行動，就是典型的例子。研究人員在2個月前看到駭客鎖定TP-Link路由器而來，如今<a href="https://blog.sekoia.io/a-glimpse-into-the-quad7-operators-next-moves-and-associated-botnets/">對方擴大攻擊範圍</a>，開始針對兆勤（Zyxel）、華碩、Ruckus等廠牌的網路設備下手。</p> <p>這個殭屍網路也被稱做7777、xlogin，這個威脅命名的由來，是因為受害的路由器都會開放Telnet連線及7777埠，而這個連接埠正是TP-Link設備的管理連接埠。此外，駭客也利用11288埠設置SOCKS代理伺服器，目的是對M365帳號進行暴力破解攻擊。</p> <p>不久之後，研究人員找到另一個專門綁架華碩路由器的殭屍網路alogin（也稱為63256），背後的攻擊者身分，他們推測很可能是經營Quad7的駭客。在循線進一步調查後，發現駭客也鎖定Ruckus路由器、Axentra網路儲存設備、兆勤VPN設備，架設殭屍網路rlogin、axlogin、zylogin。</p> <p>值得留意的是，這些駭客不只根據特定廠牌的網路設備組織多個殭屍網路，研究人員發現，駭客也在部分受害設備植入名為Updtae的後門程式，此為使用HTTP連線的反向Shell。他們推測原因是避免留下存取登入介面的記錄，促使資安人員在觀察網際網路的活動過程當中，不易察覺異狀。再者，這些駭客也似乎打算棄用開源的SOCKS代理伺服器進行通訊的管道。</p> <p>另一種駭客使用的新工具，是名為FsyNet的bash檔案，用途是進行中繼攻擊。</p> </div></div></div>
2024/9/18 14:56作者周峻佑https://www.ithome.com.tw/news/165059
Mozilla將在12月關閉去中心化社交平臺Mozilla.Social
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla本周<a href="https://support.mozilla.org/en-US/kb/mozilla-social-faq" target="_blank">宣布</a>，將在今年的12月17日終止對Mozilla.Social的實驗，並關閉此一Mastodon實例，同時開放使用者在此之前下載曾上傳的資料。</p> <p>Mozilla是在2023年初<a href="https://www.ithome.com.tw/news/154818" target="_blank">推出</a>Mozilla.Social，以推動及測試Fediverse的發展。Fediverse是由Federation（聯邦）及Universe（宇宙）兩個字所組成，描述的是允許不同網站可彼此互通的社交網路服務，大多數的Fediverse平臺都是開源的，並採用ActivityPub協定來連結，包括Mastodon、PeerTube、Pixelfed及Funkwhale等不同的社交網路都利用ActivityPub來互通，其中，Mastodon是個類似Twitter的微型部落格平臺，也是Mozilla.Social的基礎。</p> <p>迄今Mozilla僅提供如何自Mozilla.Social下載資料的說明，但並未解釋為何要關閉該服務。</p> <p>不過，從某些方面其實可看出端倪，例如Mozilla今年2月展開<a href="https://www.ithome.com.tw/news/161280" target="_blank">裁員</a>，外傳縮減了包括Mozilla.Social在內的人力，以聚焦於AI及手機程式，或者是從Mozilla.Social上可<a href="https://mozilla.social/explore" target="_blank">看到</a>，該平臺的活躍用戶不到300人，相較之下，最熱門的Mastodon實例Mastodon.Social<a href="https://mastodon.social/explore" target="_blank">活躍用戶數</a>已超過24萬人。</p> </div></div></div>
2024/9/18 12:23作者陳曉莉https://www.ithome.com.tw/news/165057
微軟、BlackRock及MGX共組AI合作投資框架，以解決AI運算與能源問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（9/17）<a href="https://news.microsoft.com/2024/09/17/blackrock-global-infrastructure-partners-microsoft-and-mgx-launch-new-ai-partnership-to-invest-in-data-centers-and-supporting-power-infrastructure/" target="_blank">宣布</a>，已與BlackRock、Global Infrastructure Partners（GIP）及MGX共同設立「全球AI基礎設施投資合作夥伴」（Global AI Infrastructure Investment Partnership，GAIIP），主要投資位於美國的新建或擴張的資料中心，而Nvidia也將在其中扮演支援的角色，提供其在AI資料中心與AI工廠上的專業知識。</p> <p>在GAIIP的參與者中，除了微軟之外，BlackRock屬於全球性的投資管理公司，GIP則專門投資基礎設施，MGX是今年才於阿布達比設立的AI與先進技術投資公司，且BlackRock已準備於今年10月1日以前完成對GIP的收購，換句話說，未來的GAIIP將由微軟、BlackRock與MGX主導。</p> <p>根據GAIIP的規畫，該組織將會積極與產業領導者合作，協助強化AI供應鏈及能源採購，最初將自投資者、資產擁有者，以及企業募得300億美元的私募股權資金，再藉由債務融資等方式調動多達1,000億美元的投資潛力。</p> <p>整體而言，GAIIP大多數的投資將位於美國，包括新建與擴建的資料中心，以滿足日益增加的運算需求，以及替相關運算創造新的電力來源，以推動AI創新與經濟成長，其餘的則會投資於美國的合作夥伴國家。</p> <p>BlackRock執行長Larry Fink指出，動員私人資本來建置諸如資料中心與電力等AI基礎設施，將帶動數十兆美元的長期投資機會。資料中心是數位經濟的基石，相關投資將有助於推動經濟成長，創造就業機會以及促進AI技術的創新。</p> <p>金融時報（Financial Times，FT）<a href="https://www.ft.com/content/4441114b-a105-439c-949b-1e7f81517deb" target="_blank">分析</a>，GAIIP將是美國華爾街史上最大的投資基金之一，目的是為了解決打造AI產品時所需的驚人電力與數位基礎設施，根據業界的估計，AI產品在未來幾年便會面臨嚴重的容量瓶頸，並使現有的能源基礎設施不堪負荷。</p> </div></div></div>
2024/9/18 12:50作者陳曉莉https://www.ithome.com.tw/news/165058
iOS 18開始支援RCS，能與Android互通訊息
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於本周一（9/16）<a href="https://www.apple.com/newsroom/2024/09/ios-18-is-available-today-making-iphone-more-personal-and-capable-than-ever/" target="_blank">釋出iOS 18</a>，並於此一新作業系統上開始支援由GSM協會（GSMA）主導的豐富通訊服務（Rich Communication Services，RCS）協定，意謂著iPhone與Android手機用戶將可透過Wi-Fi網路或行動網路，利用內建的傳訊程式進行交流。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0918-iOS%2018-Messages%20app%20supports%20RCS.png" style="width: 247px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／蘋果</span></span></p> <p>相較於行動平臺上內建的簡訊功能，RCS提供更強大的通訊功能，包括可以寄送高品質的圖片、影片或聲音；也能支援群組聊天；可看到訊息是否已被讀取或對方是否正在輸入；能分享即時位置；而且得以跨平臺通訊。簡單地說，RCS的運作就像是WhatsApp或Facebook Messenger，但使用者無需額外安裝程式，因為它已被整合在行動作業系統的傳訊功能上。</p> <p>為了建立RCS協定的實現標準，GSMA在2016年頒布了RCS Universal Profile，以定義RCS的運作方式及技術規範，另一方面，Google在2015年就<a href="https://www.ithome.com.tw/news/99059" target="_blank">收購</a>了開發RCS技術的Jibe Mobile，自此便陸續推廣RCS，去年便有超過10億名使用者於Google Messages中啟用了RCS，至於蘋果則是一直到iOS 18才開始支援RCS。</p> <p>GSMA<a href="https://www.gsma.com/newsroom/article/rcs-nowin-ios-a-new-chapter-for-mobile-messaging/" target="_blank">表示</a>，RCS Universal Profile已同時現身於iOS及Android上，代表使用者在與其它平臺上的聯絡人傳訊時，已可看見對方是否已讀取、正在輸入，或是使用其它的RCS功能，帶來比文字簡訊（SMS）或多媒體簡訊（MMS）更豐富也更無縫的傳訊體驗。</p> <p>此外，RCS Universal Profile的下一個目標將是增添諸如跨平臺端對端加密的用戶保護機制，而Google<a href="https://www.linkedin.com/posts/elweber_rcs-now-inios-a-new-chapter-for-mobile-activity-7241839492997783552-IObw" target="_blank">則說，</a>該公司自2020年便於Google Messages中的RCS通訊導入端對端加密，現正進行更廣泛的合作，以期儘快實現RCS的跨平臺端對端加密。</p> <p>不過，就算蘋果iOS及Google Android都已支援RCS，目前還是有許多使用者不得其門而入。要跨平臺使用RCS有許多條件，包括作業系統的支援，行動營運商的支援，必須於設定中啟用RCS，具備Wi-Fi或行動網路，以及對方也必須支援及啟用RCS才行。</p> </div></div></div>
2024/9/18 12:04作者陳曉莉https://www.ithome.com.tw/news/165054
明年起，Amazon將要求員工每周要進公司5天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon執行長Andy Jassy周一（9/16）<a href="https://www.aboutamazon.com/news/company-news/ceo-andy-jassy-latest-update-on-amazon-return-to-office-manager-team-ratio" target="_blank">宣布</a>了該公司的新政策，表示將努力維護公司文化，調整組織結構，並將恢復疫情之前的辦公室工作模式，自2025年的1月2日開始實施。這意味著Amazon自明年起將要求員工每周要進辦公室5天。</p> <p>身為全球最大的電子商務平臺與雲端平臺，Amazon具備嚴謹的辦公室政策，亦即正常狀況下員工每天都會進公司，但也容許在突發狀況下，例如家人生病了，或是需要獨處以寫完程式，進入遠端工作模式。然而，COVID-19疫情改變了這個情況，Amazon開始大規模地允許員工遠端上班，在疫情稍緩後則開始要求員工每周至少進辦公室3天，這樣的狀態已維持了15個月。</p> <p>然而，從明年開始，Amazon的上班政策將回到疫情前的模式，亦即原則上每周要進辦公室5天，也可以在情有可原的狀態下遠端工作。Jassy認為，在辦公室一起工作有許多顯著的優點，同事間更容易協作、學習，也更有效率。</p> <p>此外，Jassy也打算讓Amazon的組織更為扁平，並去除官僚文化。要求內部高階管理團隊在明年第一季以前，把個人貢獻者及管理者的人數比例提高15%以上，以減少管理層級，降低組織的複雜性；Jassy亦已建立一個「官僚信箱」（Bureaucracy Mailbox），只要有員工發現官僚主義或是不必要的官僚流程，就能利用該信箱來投訴，他將閱讀相關郵件並採取相應的行動。</p> <p>華爾街日報（WSJ）<a href="https://www.wsj.com/business/amazon-tells-workers-to-return-to-office-five-days-a-week-42a32ec8" target="_blank">分析</a>，已有部分Amazon員工因此而離職，使得有人推測Amazon此舉是一種變相裁員，同時也可能引來其它科技公司的效法。</p> <p>該報還引用遠端上班政策分析平臺Flex Index的資料，表示今年第三季只有33%的美國公司要求員工必須全職到辦公室，而在員工超過1,000人的科技公司中，只有7%的公司有同樣的要求。</p> </div></div></div>
2024/9/17 14:27作者陳曉莉https://www.ithome.com.tw/news/165052
微軟公布企業多人AI協作平臺Copilot Pages、Copilot in Excel with Python
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周一<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2024/09/16/microsoft-365-copilot-wave-2-pages-python-in-excel-and-agents/" target="_blank">公布</a>最新一波Copilot功能，包括多人AI協作平臺Copilot Pages，讓團隊成員可和AI助理互動協同，而M365的Excel也加入Copilot以Python執行進階分析、機器學習的功能。</p> <p>Copilot Pages是微軟Microsoft 365 Copilot Wave 2的活動中公布一系列企業AI助理新功能之一。微軟形容它是為多人AI協同而設計的一致化動態空間。Copilot Pages可容納團隊以AI生成的內容，並在此編輯、增刪並和其他人共享。工作團隊還可以和Copilot AI助理合作，並即時看到同事與AI的互動情形，當它是公司同事一份子。作為一個共享空間，Pages也允許用戶從自有電腦加入資料、檔案或貼上其他網頁。微軟指出，Copilot Pages是微軟為知識工作提供的新設計系統的第一步，也體現了多人和AI協同是全新的工作型態。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0917-Microsoft%20365%20Copilot_Copilot%20Pages-2.jpg" style="width: 600px;" /></p> <p>Copilot Pages功能即日起開始部署給付費的Microsoft 365 Copilot客戶，會在今年9月底前正式上線。微軟計畫未來幾個星期內，將把Copilot Pages提供給以Microsoft Entra帳號登入的免費版Copilot，提供企業資料防護、Pages及Web grounding的整合。此外，除了現在Copilot整合在Microsoft 365 （M365）App外，不久後也會整合到Outlook及Teams中。</p> <p>此外，微軟還宣布強化M365中的Copilot功能，以及Copilot agent。M365方面，微軟現在宣布Copilot in Excel功能正式上線，用戶可以自然語言要求Copilot把資料整理成表格、製作圖表、樞紐圖、也支援公式指令如XLOOKUP、SUMIF。不僅如此，繼2023年在Excel加入Python支援，現在Copilot in Excel也可以支援以Python處理資料，以便支援進階分析，如預測、風險分析、機器學習和複雜資料的視覺化，微軟強調一切都以自然語言為之，無需寫程式。目前Copilot in Excel with Python為公測版。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0917-Microsoft%20365%20Copilot%20in%20Excel%20with%20Python.png" style="width: 314px;" /></p> <p>微軟也為PowerPoint的Copilot正式加入敍事功能Narrative builder及簡報生成功能，可協助行銷人員草擬行銷故事，並運用公司品牌簡報範本，之後Copilot還可從SharePoint Asset Library加入公司許可的圖片，製作公司行銷簡報。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0917-Microsoft%20365%20Copilot%20in%20PowerPoint_Narrative%20builder.png" style="width: 600px;" /></p> <p>其他還包括將Copilot整合在Teams中，可快速檢視會議聽寫（transcript）文字及會議對話，提供概念；整合在Outlook中的Copilot可據郵件內容和員工角色，自動產生每封郵件的概念及重要性排序概要，之後用戶也能以特定主題、關鍵字或人員來訓練Copilot；Word中的Copilot可整合公司網路上的Word、PowerPoint、PDF、加密文件及郵件、會議記錄等，幫助用戶撰寫文件，新功能預計可在頁面（on-canvas）啟動，或在文中（inline）顯示建議；在OneDrive中的Copilot則可理解所有檔案，提供內容概要，比較最多5份檔案，方便用戶搜尋需要的資訊，且無需開啟檔案。</p> <p>上述新功能中，除了Outlook中的Copilot在9月提供公測，其餘則會在本月底前正式上線。</p> <p>最後，微軟也宣布可自動化執行商業流程的Copilot agent正式上線。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2024/9/17 13:55作者林妍溱https://www.ithome.com.tw/news/165050
英特爾將把Intel Foundry獨立成子公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國半導體設計及製造商英特爾（Intel）周一（9/16）<a href="https://www.intc.com/news-events/press-releases/detail/1710/a-message-from-intel-ceo-pat-gelsinger-to-employees" target="_blank">發表</a>一系列的組織重整與策略聯盟計畫，包括將把晶圓代工業務Intel Foundry獨立成子公司，暫停波蘭與德國的擴張計畫，出售部分Altera股份以改善財務狀況，另也宣布與AWS的合作及獲得美國晶片法案《CHIPS Act》的30億美元資金。在眾多好消息的刺激下，英特爾當天股價上漲了6.36%，盤後再上漲7.99%，股價回到了22.58美元。</p> <p>英特爾在今年8月的第二季財報會議上<a href="https://www.ithome.com.tw/news/164272" target="_blank">宣布</a>要裁撤15%的員工以撙節支出，本周該公司表示已達成於年底裁員1.5萬人之目標的一半以上，並將在10月中旬通知其它受到影響的員工。除了裁員之外，英特爾也將在明年底減少或出售於全球所持有的2/3房地產。</p> <p>該公司還計畫將在2021年<a href="https://www.ithome.com.tw/news/143423" target="_blank">發布</a>的晶圓代工服務Intel Foundry，獨立成為內部的子公司。讓Intel Foundry脫離英特爾將可提高該服務的透明度、增加靈活性、保持競爭優勢，以及優化資本效率。Amazon Web Services（AWS）已準備利用Intel Foundry的Intel 18A製程來生產AI晶片。</p> <p>未來英特爾將把重心放在x86架構及AI相關業務，並簡化產品組合。</p> <p>除了加強與AWS的合作、獲得《CHIPS Act》資金、處分房地產之外，英特爾亦打算出售部分Altera的股份來開源。Altera為一可程式化邏輯元件（PLD）製造商，它創立於1983年，<a href="https://www.ithome.com.tw/news/96343" target="_blank">於2015年</a>被英特爾以167億美元收購。</p> <p>在上一季創下16億美元的淨虧損之後，英特爾執行長Pat Gelsinger表示，現在外界的目光都集中在該公司，他們需要爭取每一個機會，而且要好好的執行，而這也是英特爾四十多年來最重要的轉型，現在的英特爾必須保持對創新的專注，同時成為經營效率及財務表現的引擎。</p> </div></div></div>
2024/9/17 14:07作者陳曉莉https://www.ithome.com.tw/news/165051
Docker調漲訂閱價最高達80％，11月中開始生效
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.docker.com/blog/november-2024-updated-plans-announcement/">Docker宣布對產品及訂閱方案進行重大調整</a>，現在整合Docker Desktop、Docker Hub、Docker Build Cloud、Docker Scout及Testcontainers Cloud等工具至單一訂閱方案中，提供開發者更多資源與靈活性。但是隨著新功能的加入，Docker同時也調漲價格，Docker Pro與Docker Team方案價格大幅上漲，並且引入基於使用量的定價模式。這些變更將從2024年11月15日開始生效。</p> <p>Docker指出，調整價格的主要理由在於回應開發者社群的需求，提供更多的功能和靈活的方案。隨著工具和技術的快速發展，開發者面臨更加複雜的開發流程，因而需要更多的工具支援。Docker透過增加資源、提升效能和強化安全性，試圖滿足開發者的需求，並同時對定價做出調整。</p> <p>具體來說，Docker調整了不同訂閱方案的價格和使用權益。Docker Pro年度方案的每月價格從5美元提高到9美元，漲幅80%，Docker Team年度方案則從每位使用者每月9美元，漲價至15美元，漲幅達66.67％，而Docker Business價格維持不變。</p> <p>隨著價格升高，Docker也增加每個方案可使用的資源，像是Docker Build Cloud的建置分鐘數增加，Testcontainers Cloud也包含了更多執行時間。另外，Docker Hub現在添加了對映像檔擷取和存取限制，進一步細分消費價格的結構。</p> <p>新方案新增的多項功能，包括Docker Scout持續漏洞分析，能夠協助開發者強化軟體供應鏈的安全性。還有結合原生ARM和AMD雲端建置工具的Docker Build Cloud，提供開發者更高的建置速度，最多可加速達39倍。Testcontainers Cloud的自動化測試功能，目標在於滿足企業級的測試需求。這些新功能有助於加速開發流程，也讓使用者能夠更好地管理系統安全性和效能。</p> <p>雖然Docker調漲價格的同時，也增加了更多資源與功能，但對於不使用這些新功能的用戶，實際獲得的價值可能低於多支付的價格。在2022年10月，Docker也曾調漲過價格，當時Docker Team方案上漲約28.57％，Business方案上漲約14.29％。另外，Docker當時也增加Team訂閱上限只能有100位使用者的限制，要求人數更多的組織使用更高層級的訂閱方案。</p> </div></div></div>
2024/9/17 09:35作者李建興https://www.ithome.com.tw/news/165046
【資安日報】9月16日，數發部公布親俄駭客發動大規模DDoS攻擊的影響範圍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週四（12日）中租控股、兆豐金控、彰化銀行發布重大訊息，證實公司部分網站遭遇DDoS攻擊而面臨服務中斷的情況，臺灣證券交易所同日也傳出受害；親俄駭客組織NoName057、RipperSec聲稱是他們所為，但究竟有多少企業組織受害？數位發展部週末召開記者會提出說明。</p> <p>他們指出這波攻擊行動在10日出現，總共至少有45起攻擊，大部分受害的企業組織皆能快速應變，短時間就能恢復網站運作。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165042"><strong style="font-size: 22px;">針對0912親俄駭客對臺網站發動DDoS攻擊，4天之內已有45起事故</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/S__146325509.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/S__146325509.jpg" style="width: 300px; float: right;" /></a></p> <p>9月10日親俄駭客組織NoName057聲稱，將對臺灣政府機關、關鍵基礎設施的網站發動一系列的DDoS攻擊，並將這場行動命名為OpsTaiwan，起因是總統賴清德在接受媒體採訪的回答，當時他針對中國政府一再主張的維護領土完整性，認為他們應該要奪回清朝簽訂璦琿條約而割讓俄羅斯的土地，此言引發駭客不滿；另一個駭客組織RipperSec則表示，要與NoName057共同對臺發動攻擊，到了12日，有多個軍方機構與企業傳出網站遭到DDoS攻擊的消息，例如，中租控股、兆豐金控、彰化銀行發布重大訊息，表示他們的網站遭遇DDoS攻擊，但究竟有多少企業組織成為兩個親俄駭客下手的目標？數位發展部14日召開記者會，說明此次資安事故的規模。</p> <p>數位部表示，他們在這波攻擊行動出現後已掌握相關情資，並提到早在10日，就有部分網站受到DDoS攻擊侵擾，導致對外服務出現不穩定的情況，根據他們的統計，總共出現45起攻擊事故，對象包括地方稅務機構、區域民航站、主計總處、金融機構、電信業者。</p> <p>數位部指出，這些遭到攻擊的企業組織大多在第一時間啟動相關機制因應，目前尚未出現系統遭到破壞的跡象，大部分機構能在短時間恢復網站運作。</p> <p><a href="https://www.ithome.com.tw/news/165038"><strong style="font-size: 22px;">惡意程式Amadey竊取帳密資料有新招，利用瀏覽器的Kiosk模式來進行</strong></a></p> <p>資安研究團隊Open Analysis Labs（OALabs）揭露惡意程式Amadey最近活動，他們採取竊取帳密資料的新招術，這群歹徒先是啟動瀏覽器的Kiosk模式，然後存取特定服務的首頁（通常是Google），並脅迫使用者輸入相關資料，再將憑證盜走。</p> <p>他們察覺駭客新手法的原因，在於Amadey從遠端伺服器下載竊資軟體StealC之餘，也會一併部署AutoIT指令碼Credential Flusher，該工具會檢查使用者電腦上的瀏覽器，再以Kiosk模式啟動。由於這種模式原本是用於公共場所展示特定資訊，瀏覽器會隱藏網址列並以全螢幕執行，停用關閉應用程式的快速鍵，攻擊者這麼做，使得用戶很可能因為不知道如何處理，依照指示輸入帳密資料而讓對方得逞。</p> <p><a href="https://www.ithome.com.tw/news/165034"><strong style="font-size: 22px;">130萬臺安卓電視機上盒遭植入後門</strong></a></p> <p>防毒業者Doctor Web今年8月在安卓電視機上盒上發現後門程式，因其變更裝置系統檔案區被防毒程式偵測曝光，它鎖定執行AOSP的電視機上盒韌體檔案系統植入後門程式，以便之後攻擊者可下令下載和安裝第三方軟體。研究人員以其植入的元件而命名為Android.Vo1d。</p> <p>分析顯示，Android.Vo1d的模組（vold、wd），功能包括下載與執行C&C伺服器指令要求的執行檔、安裝加密daemon，還能監測特定目錄以安裝APK檔。研究人員估計，197國用戶的近130萬臺Android電視機上盒遭到感染。受害者主要分佈在中東、非洲、南美及亞洲，如巴西、摩洛哥、巴基斯坦、沙烏地阿拉伯、此外也包含俄羅斯、馬來西亞及印尼等。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/24/g/CVE-2024-38112-void-banshee.html">駭客組織Void Banshee利用MSHTML欺騙漏洞從事攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cloud-security/fortinet-customer-data-breach-third-party">針對Fortinet資料外洩事故，研究人員揭露更多發現</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.theregister.com/2024/09/11/hunters_ransom_icbc_london/">勒索團體聲稱攻入中國工商銀行倫敦分行，偷走520萬個檔案，遭竊資料量高達6.2 TB</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.aquasec.com/blog/hadooken-malware-targets-weblogic-applications/">惡意軟體Hadooken鎖定Oracle WebLogic伺服器而來</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165043"><strong style="font-size: 22px;">GitLab修補重大層級的管道執行漏洞</strong></a></p> <p>上週GitLab發布社群版（CE）及企業版（EE）17.3.2、17.2.5、17.1.7版更新，總共修補17個漏洞，其中最值得留意的是被列為重大層級的CVE-2024-6678，此漏洞影響8.14以後的版本，允許攻擊者在特定的環境下，以任意使用者觸發自動化工作Pipeline機制，CVSS風險評為9.9分（滿分10分）。</p> <p>值得留意的是，針對能濫用Pipeline機制的漏洞，GitLab已在6月、7月修補相關漏洞。今年6月，他們修補了CVE-2024-5655，隔月緩解CVE-2024-6385，這兩個漏洞皆為重大層級，CVSS風險評分為9.6。</p> <p><a href="https://www.ithome.com.tw/news/165044"><strong style="font-size: 22px;">Docker修補電腦版應用程式RCE漏洞</strong></a></p> <p>近期Docker發布電腦版應用程式Docker Desktop更新4.34.2版，修補2項高風險層級的漏洞CVE-2024-8695、CVE-2024-8696，攻擊者可濫用惡意延伸套件，而有機會遠端執行任意程式碼（RCE），4.0版CVSS風險評分為9.0、8.9，3.1版CVSS風險則都達到了9.8分的程度。</p> <p>對於這些漏洞發生的原因，資安新聞網站Cybersecurity News指出弱點發生在於該應用程式處理延伸套件的資訊，例如：套件說明、版本更新記錄、發布的URL，攻擊者一旦在延伸套件的相關欄位輸入有問題的內容，就有機會愚弄Docker Desktop，而能在受害電腦執行任意程式碼。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/09/apple-vision-pro-vulnerability-exposed.html">蘋果修補Vision Pro虛擬鍵盤漏洞GAZEploit</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165015"><strong>【9月13日】中租、兆豐、彰銀接連遭遇DDoS攻擊發布重訊，俄羅斯駭客聲稱是他們所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164991"><strong>【9月12日】CosmicBeetle駭客針對中小企業發動勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164966"><strong>【9月11日】微軟發布9月例行更新，揭露與修補4個已被用於攻擊行動的零時差漏洞</strong></a></p> </div></div></div>
2024/9/16 17:24作者周峻佑https://www.ithome.com.tw/news/165045
GitLab修補重大層級的管道執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週GitLab<a href="https://about.gitlab.com/releases/2024/09/11/patch-release-gitlab-17-3-2-released/#execute-environment-stop-actions-as-the-owner-of-the-stop-action-job">發布社群版（CE）及企業版（EE）17.3.2、17.2.5、17.1.7版更新</a>，總共修補17個漏洞，其中最值得留意的是被列為重大層級的CVE-2024-6678，此漏洞影響8.14以後的版本，允許攻擊者在特定的環境下，以任意使用者觸發自動化工作Pipeline機制，CVSS風險評為9.9分（滿分10分）。</p> <p>值得留意的是，針對能濫用Pipeline機制的漏洞，GitLab已在6月、7月修補相關漏洞。今年6月，<a href="https://www.ithome.com.tw/news/163728">他們修補了CVE-2024-5655</a>，<a href="https://www.ithome.com.tw/news/163918">隔月緩解CVE-2024-6385</a>，這兩個漏洞皆為重大層級，CVSS風險評分為9.6。</p> <p>附帶一提的是，這次GitLab也公布4個高風險漏洞，分別是：CVE-2024-8124、CVE-2024-8635、CVE-2024-8640、CVE-2024-8641，CVSS評分介於6.7至8.5。</p> </div></div></div>
2024/9/16 16:32作者周峻佑https://www.ithome.com.tw/news/165043
Docker修補電腦版應用程式RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期Docker發布<a href="https://docs.docker.com/desktop/release-notes/#4342">電腦版應用程式Docker Desktop更新4.34.2版</a>，修補2項高風險層級的漏洞CVE-2024-8695、CVE-2024-8696，攻擊者可濫用惡意延伸套件，而有機會遠端執行任意程式碼（RCE），4.0版CVSS風險評分為9.0、8.9，3.1版CVSS風險則都達到了9.8分的程度。</p> <p>值得留意的是，這項漏洞影響所有版本Docker Desktop，涵蓋Windows、Windows on Arm、Intel版Mac、M系列晶片Mac，以及Debian、Arch等環境執行的Docker Desktop，都存在這項漏洞。</p> <p>對於這些漏洞發生的原因，資安新聞網站Cybersecurity News<a href="https://securityonline.info/cve-2024-8695-cve-2024-8696-two-critical-rce-flaws-discovered-in-docker-desktop/">指出弱點發生在於該應用程式處理延伸套件的資訊</a>，例如：套件說明、版本更新記錄、發布的URL，攻擊者一旦在延伸套件的相關欄位輸入有問題的內容，就有機會愚弄Docker Desktop，而能在受害電腦執行任意程式碼。</p> </div></div></div>
2024/9/16 17:13作者周峻佑https://www.ithome.com.tw/news/165044
憲兵指揮部、中華電信傳出遭親俄駭客DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月10日親俄駭客組織NoName057聲稱，<a href="https://dailydarkweb.net/rippersec-and-noname057-launch-ddos-attacks-on-taiwanese-government-sites/">將對臺灣政府機關、關鍵基礎設施的網站發動一系列的DDoS攻擊行動Operation #OpsTaiwan</a>，起因是總統賴清德在接受採訪時表示，<a href="https://www.cna.com.tw/news/aipl/202409030049.aspx">中國政府若要維護領土完整性，應該要奪回清朝根據璦琿條約割讓給俄羅斯的土地</a>，這樣的說法引起他們的不滿；另一個駭客組織RipperSec則表示，要與NoName057共同對臺發動攻擊，後來在12日，<a href="https://www.ithome.com.tw/news/164999">中租控股、兆豐金控、彰化銀行發布重大訊息</a>，表示他們的網站遭遇DDoS攻擊，接著有國防單位、電信業者也傳出遭到相關攻擊。</p> <p>根據聯合新聞網的報導，<a href="https://udn.com/news/story/7240/8227085">13日晚間憲兵指揮部網站暫停服務</a>，並顯示因網站系統更新，他們規畫從13日到18日實施相關維護作業，同日晚間憲兵指揮部發出新聞稿，表示他們在下午6時21分察覺異常，第一時間啟動防禦復原機制因應。而這樣的情況，媒體指出就是親俄駭客NoName057發動DDoS攻擊導致。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ministry-of-national-defense.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ministry-of-national-defense.jpg" style="width: 580px;" /></a></p> <p>附帶一提的是，<a href="https://www.cna.com.tw/news/aipl/202409130362.aspx">海軍司令部也在網站上發布類似的公告</a>，但並非真的遭到攻擊，而是採取預防措施暫時關閉。</p> <p>另一方面，也有電信業者遭受攻擊的情況，而傳出是RipperSec所為。中華電信透露他們遭遇攻擊，在13日晚間7時25分網站連線數大幅增加至平常的2.5倍，但因為他們已持續導入CDN等保護機制，網站正常運作不受影響。</p> <p>但除了上述機關，12日下午<a href="https://www.cna.com.tw/news/afe/202409120361.aspx">台灣證券交易所、行政院主計總處網站傳出網站無法存取的情況</a>；13日上午台灣高鐵、台灣Pay等多個單位也遭到攻擊，只是因為防範得宜，網站運作未受到影響。但究竟有多少企業組織成為兩個親俄駭客下手的目標？數位發展部透露整起事故的規模。</p> <p><a href="https://moda.gov.tw/press/press-releases/14146">14日數位部指出</a>，他們在這波攻擊行動出現後就掌握相關情資，在10日開始就有部分網站受到DDoS攻擊侵擾，導致對外服務出現不穩定的情況，他們統計總共出現45起攻擊事故，對象包括地方稅務機構、區域民航站、主機總處、金融機構、電信業者。</p> <p>這些遭到攻擊的企業組織大多在第一時間啟動相關機制因應，目前尚未出現系統遭到破壞的跡象，大部分機構能在短時間恢復網站運作。</p> </div></div></div>
2024/9/16 15:45作者周峻佑https://www.ithome.com.tw/news/165042
惡意程式Amadey有新招，利用瀏覽器的Kiosk模式來竊取憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Open Analysis Labs（OALabs）最近<a href="https://research.openanalysis.net/credflusher/kiosk/stealer/stealc/amadey/autoit/2024/09/11/cred-flusher.html" target="_blank">揭露</a>，知名惡意程式Amadey最近採取了一個用來竊取憑證的新招術，就是以Kiosk模式啟動瀏覽器，並連至特定服務的首頁，通常是Google，迫使使用者輸入憑證，再將憑證盜走。</p> <p>Amadey現身於2018年，它能夠接收駭客的命令以竊取敏感資訊並安裝其它惡意程式，於地下論壇上的售價為500美元。</p> <p>然而，OALabs在8月時發現受害裝置在感染Amadey之後，Amadey除了自駭客控制的遠端伺服器下載憑證竊取程式StealC之外，也會部署憑證刷新工具（Credential Flusher），此一工具是個AutoIt腳本程式，它會先檢查受害裝置上所安裝的瀏覽器，選擇瀏覽器（優先順序是Edge，Chrome及Brave），再以Kiosk模式啟動該瀏覽器，並將瀏覽器導至Google登入頁面。</p> <p>Kiosk模式也可稱為自助終端模式，主要用於公共場所的資訊展示，因此它通常是全螢幕的，隱藏了網址列，禁用ESC或Alt+F4等退出視窗的快捷鍵，而且如果使用者關閉了瀏覽器，重啟後也可能再度進入Kiosk模式。包括Chrome、Edge、Firefox與Safari等瀏覽器都有類似的功能。</p> <p>於是，當使用者被迫留在Kiosk模式的Google登入頁面時，陷入了進退兩難的困境，有可能會輸入Google憑證企圖脫身，然後就被瀏覽器存下來，接著遭StealC盜走。</p> <p>此一新的手法結合了傳統的惡意程式與新的社交工程技術，以提高攻擊的成功率。</p> </div></div></div>
2024/9/16 14:28作者陳曉莉https://www.ithome.com.tw/news/165038
具爭議的加州AI法案能否通過將在9月底見真章
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國加州參議員及議會分別在今年5月與8月底通過了AI法案SB 1047，已交予加州州長Gavin Newsom，Newsom必須在今年9月30日以前接受或否決該法案，就在<a href="https://www.documentcloud.org/documents/25056617-ca-sb-1047-openai-opposition-letter" target="_blank">OpenAI公開反對</a>該法案之際，由上百個來自OpenAI、Google DeepMind、Anthropic、Meta與xAI等AI公司的員工，卻連袂<a href="https://calltolead.org/" target="_blank">贊成該法案</a>。</p> <p>SB 1047的全名為《前沿人工智慧模型的安全可靠創新法案》（<a href="https://leginfo.legislature.ca.gov/faces/billTextClient.xhtml?bill_id=202320240SB1047" target="_blank">Safe and Secure Innovation for Frontier Artificial Intelligence Models Act</a>），該法案是為了確保AI模型的安全及可控性，防止AI可能帶來的潛在危害，以及強化開發AI的透明度與問責。</p> <p>具體而言，該法案要求開發者在訓練模型前，必須遵守該法案的要求，其中之一是必須設計一個能夠完全關閉模型的能力；制定書面的安全協議；保留安全協議副本至少5年；禁止將模型用於可能造成重大傷害的應用；禁止公開或商業使用具不合理風險的模型；從2026年起必須經由第三方審核。</p> <p>目前身為全球AI龍頭的OpenAI早就反對該法案。反對理由包括認為AI革命才剛開始，加州應該趁此時推動其經濟活力，但SB 1047卻威脅了它的成長，減緩創新步伐，還可能讓世界級工程師與企業家離開加州。</p> <p>此外，OpenAI也認為，若AI可能威脅國家安全，那麼應該是從聯邦的角色來制定政策，而非由各州拼湊的不同政策，統一的政策將可替AI實驗室與開發人員帶來確定性，同時維護大眾安全。</p> <p>由英特爾、AMD、Linux基金會、Meta及IBM共同成立的AI聯盟（AI Alliance）同樣也<a href="https://thealliance.ai/core-projects/sb1047" target="_blank">反對SB 1047</a>。AI聯盟的立場與OpenAI不同，因為此一聯盟主要推動的是開源模型，指出開源一直是一種更安全也更透明的技術開發方式，但SB 1047要求開發者必須能夠完全控制模型的關閉幾乎是不可行的，因為當開源模型被第三方下載之後，開發者就無法再控制該模型。</p> <p>不過，有上百個來自主流AI公司的開發人員、科學家或研究人員，卻連署呼籲加州州長Newsom應該簽署該法案。他們在聲明書上表示，相信最強大的AI模型可能很快就會帶來嚴重風險，諸如擴大生物武器的使用範圍，或是針對關鍵基礎設施的網路攻擊，要求AI公司測試AI模型，並針對此類風險實施合理的保障措施是可行且適當的。</p> <p>公開署名的有Anthropic運算主管James Bradbury，曾於Google Brain任職的圖靈獎得主Geoffrey Hinton，xAI的法務長Rob Keele 等，還有部分員工可能怕被秋後算帳而選擇匿名。</p> </div></div></div>
2024/9/16 11:46作者陳曉莉https://www.ithome.com.tw/news/165036
【資安週報】2024年9月9日到9月13日
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧9月第二星期的資安新聞，有3起與臺灣息息相關的事件需要我們密切關注，包括臺灣多達45個單位與企業遭遇DDoS攻擊，以及臺灣無人機製造商被中國駭客鎖定攻擊，且疑似是涉及ERP相關的供應鏈攻擊。</p> <p>（一）中租、兆豐、彰銀以及臺灣證券交易所接連公告遭DDoS攻擊，親俄駭客NoName057宣稱是他們所為，還有多個臺灣政府機關也是這波攻擊目標。<br /> （二）中國駭客組織TIDrone今年不斷攻擊臺灣衛星及軍事工業，資安業者警告這些駭客似乎特別偏好攻擊無人機製造商。<br /> （三）臺灣無人機製造商遭攻擊行動Operation WordDrone鎖定被揭露，研究人員指出駭客使用舊版Word主程式，並關注為何是臺灣無人機產業遇害。</p> <p>關於第一則消息，親俄駭客NoName057近期先針對捷克、法國、烏克蘭的政府機關發動DDoS攻擊，自9月9日開始再針對我國網站攻擊，不僅持續鎖定臺灣政府機關，後續幾波又延伸到財稅單位、官股金融機構及部分企業。關於後續消息，<a href="https://www.facebook.com/moda.gov.tw/posts/523245727188197">數位發展部在周日9月14日召開記者會說明</a>，目前統計45件DDoS攻擊，各機關皆可於短時間內恢復，另指出我國遭受攻擊目標還包括地方稅務機構、區域民航站、主計總處、財金相關機關及部分電信業者等。</p> <p>這起事件不僅考驗國內應對DDoS的防護能力，特別的是，由於該組織宣稱攻擊原因是，不滿我國總統賴清德引用中俄領土爭議來反駁中國收復臺灣的主張，但該組織的說詞反而使國際社會可以體認俄羅斯領地不歸中國、臺灣也是如此的狀況，並吸引到更多關注與討論。</p> <p>第二與第三則消息有密切關聯，一是趨勢科技研究人員揭露，一是Acronis研究人員揭露，其共通點在於均指出臺灣無人機製造商遭駭客鎖定的狀況，並說明攻擊手法涉及利用Word與ERP軟體，可能涉及供應鏈攻擊情形。特別的是，Acronis還點出受害企業使用的鼎新電腦ERP軟體的程式可能遭竄改，鼎新電腦在Acronis揭露3日後做出回應，指出研究人員所提的「Digiwin」資料夾，實為協助企業服務的連線工具－－鼎新雲管家「DigiwinSCP」，目前已預防性關閉此連線並改用其他工具服務客戶。</p> <p>還有一起國內公司遭駭事件，發生在專注於複合螺絲及螺栓製造的臺灣上櫃公司世鎧科技，他們發布重訊說明公司部分資訊系統遭駭客發動加密攻擊。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商的每月例行安全更新修補發布，包括微軟、SAP、Adobe等，在盡速更新修補之餘，有7個漏洞利用情形需要特別重視。<br /> ●微軟修補4個已被用於攻擊行動的零時差漏洞，分別是涉及Windows MOTW的CVE-2024-38217，Windows Installer的CVE-2024-38014，Windows Update的CVE-2024-43491，以及Publisher保護機制的CVE-2024-38226。<br /> ●SonicWall在8月下旬修補的SonicOS重大漏洞CVE-2024-40766，9月初有多家資安業者示警指出已發現針對該漏洞的攻擊行動。<br /> ●有兩個早年的漏洞被美國CISA列入已知利用清單（KEV），分別是2017年Linux Kernel PIE的CVE-2017-1000253，以及開源圖像處理軟體ImageMagick的CVE-2016-3714。</p> <p>在資安事件與威脅態勢方面，國際間有多個重要消息，當中以Fortinet遭駭事故受矚目，該公司在24小時內發出公告證實此事，承認是存放於第三方雲端共享硬碟內的有限檔案遭未經授權存取，並表示該公司的產品及服務未受影響，後續Fortinet臺灣也說明此次事件對臺灣的客戶並未造成任何影響。</p> <p>●有人在Breach Forum論壇發文聲稱入侵Fortinet的Azure SharePoint帳戶並竊取440 GB資料，Fortinet證實第三方雲端共享硬碟出現未經授權存取。<br /> ●法國IT顧問公司Capgemini疑似發生資安事故，有人在駭客論壇公布20GB的資料，涉及該公司檔案、程式碼與客戶資料。<br /> ●卡巴斯基提供移除惡意程式rootkit的工具TDSSKiller，竟遭勒索軟體RansomHub駭客利用此工具來關閉EDR。<br /> ●微軟免費開發工具遭中國駭客Stately Taurus濫用，企圖滲透東南亞政府機關竊取機密。<br /> ●中國政府主導的網路間諜行動Operation Crimson Palace被揭露，有3波鎖定東南亞的攻擊行動至少4個駭客組織參與，且其入侵手法會利用公開工具隱匿行蹤。</p> <p>在資安防禦動向上，以國際支付巨擘在資安領域的投入最受關注。由於早年我們經常看到VISA舉辦資安高峰會，公布支付安全的進展，揭露針對交易安全的紅隊攻擊演練，以及併購資安業者等，最近Mastercard也展示他們對資安的重視與投資，不僅在上個月舉行的Black Hat USA 2024大會參展，如今他們更是宣布以26.5億美元併購威脅情報供應商Recorded Future。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164937"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月9日】鎖定臺灣衛星及軍事工業的中國駭客組織TIDrone引起研究人員關注</span></strong></a></h3> <p>臺海局勢日益緊張，中國駭客對臺發動攻擊也更加頻繁，過往這些駭客的目標，往往鎖定政府機關、高科技產業、教育機構，但如今出現專門攻擊臺灣新興國防科技產業的駭客組織。</p> <p>上週趨勢科技揭露的中國駭客TIDrone，就是典型的例子，駭客不斷針對臺灣衛星、軍事工業下手，特別的是，他們偏好攻擊無人機製造商，但為何如此？研究人員並未說明。</p> <h3><a href="https://www.ithome.com.tw/news/164953"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月10日】勒索軟體駭客將SonicWall防火牆重大漏洞用於實際攻擊</span></strong></a></h3> <p>資安業者SonicWall指出，他們在8月修補的重大漏洞CVE-2024-40766，疑似被用於攻擊行動，如今陸續有資安業者公布調查結果，印證真有此事。</p> <p>其中，最早透露的是資安業者Arctic Wolf，他們指出是使用勒索軟體Akira的駭客所為，昨日另一家資安業者Rapid7也公布他們的發現，值得一提的是，這樣的情況也得到美國網路安全暨基礎設施安全局（CISA）證實，因為他們將這項漏洞加入已遭利用的漏洞名冊（KEV）。</p> <p><a href="https://www.ithome.com.tw/news/164966"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月11日】微軟發布9月例行更新，揭露與修補4個已被用於攻擊行動的零時差漏洞</span></strong></a></p> <p>微軟近期發布了9月份的例行更新（Patch Tuesday），漏洞數量較上個月明顯變少，但IT人員仍然不能掉以輕心，因為本次公布的4個零時差漏洞，皆已遭到駭客利用。</p> <p>值得留意的是，CVSS風險評分最高的CVE-2024-43491，這項漏洞影響特定版本的Windows 10，會將部分元件還原成尚未修補的舊版，引起研究人員高度關注。</p> <p><a href="https://www.ithome.com.tw/news/164991"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月12日】CosmicBeetle駭客針對中小企業發動勒索軟體攻擊</span></strong></a></p> <p>有些駭客為了增加成功犯案的機率，他們採取與眾不同的做法，像是資安業者ESET近期透露對於駭客組織CosmicBeetle活動的觀察，就是典型的例子。</p> <p>這些駭客雖然擁有自行開發的勒索軟體，但他們也成為勒索軟體駭客RansomHub附屬組織而能借助其工具；另一方面，這些駭客也聲稱是LockBit，向受害組織進行恐嚇。</p> <p><a href="https://www.ithome.com.tw/news/165015"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月13日】中租、兆豐、彰銀接連遭遇DDoS攻擊發布重訊，俄羅斯駭客聲稱是他們所為</span></strong></a></p> <p>最近與臺灣最為相關的資安事故，莫過於資安業者趨勢科技、Acronis先後揭露鎖定無人機製造商的攻擊行動，但昨天有3家上市公司發布重大訊息，表明他們網站遭到DDoS攻擊的情況，尤其是過往鮮少有企業因DDoS攻擊發布重訊，這樣的資安事故相當值得關注。</p> <p>值得留意的是，宣稱犯案的駭客組織，是最近2年專門針對協助烏克蘭的歐美國家下手的俄羅斯駭客NoName057，以近半個月而言，該組織在針對捷克、法國、烏克蘭政府機關發動攻擊之外，也鎖定臺灣發動攻擊。</p> <p> </p> <p><strong><span style="color: rgb(255, 0, 0);">本星期漏洞利用狀況一覽表</span></strong></p> <p>零時差漏洞利用：3個</p> <p>CVE-2024-7262 ／ WPS Office漏洞（今年3月悄悄修補且未公開有攻擊行動，2024年8月28日ESET對外示警）<br /> CVE-2024-7971 ／ Chrome V8漏洞<br /> CVE-2024-7965 ／ Chrome V8漏洞</p> <p>本星期已知漏洞遭利用：2個</p> <p>CVE-2024-38856／ Apache OFBiz漏洞（8月5日公開，8月28日警告已遭利用）<br /> CVE-2024-28000／ WordPress外掛程式LiteSpeed Cache漏洞（8月21日公開，事隔一週兩家資安業者警告已遭利用）</p> </div></div></div>
2024/9/16 10:09作者羅正漢https://www.ithome.com.tw/news/165029
OpenAI新一代具關聯思考能力的模型o1，可逐步分析推理精確解答問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/learning-to-reason-with-llms/">OpenAI推出全新大型語言模型o1</a>，其推理能力大幅提升，在數學、程式設計和博士程度的科學問題等基準測試中表現優異，大幅超越先前發表的GPT-4o模型。o1模型的特點在於透過關聯思考（Chain of Thought），在多數複雜推理任務中表現接近甚至超越人類專家。在最新的美國國際數學邀請賽（AIME）中取得接近全國前500名的成績，o1也是目前第一個在GPQA科學測試中超越人類博士的模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-OpenAI%20o1-GPQA.png" style="width: 446px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／OpenAI</span></p> <p>OpenAI o1是一個針對複雜推理問題設計的新一代大型語言模型，相較於之前的模型，o1透過強化學習來增強其推理能力，能夠對問題進行深度思考。官方解釋，o1關聯思考（Chain of Thought）的能力模擬人類解題時邏輯推理過程，藉由分步驟分析問題，再做出回應。而這種能力大幅提升o1處理複雜任務的準確性和可靠性。</p> <p>在數學以及程式設計領域，o1的表現尤為亮眼，展現了解決高難度問題所需要的強大推理能力。以2024年的AIME數學考試為例，o1單次嘗試就可解決74％的題目，而透過共識決方法，也就是經多次解法的綜合判斷，準確度可以提高至93％。在程式設計領域，o1在Codeforces競技程式測試表現也相當優異，針對國際資訊奧林匹亞（International Olympiad in Informatics，IOI）調校的模型變體o1-ioi，其Elo評分達到1807，超過93％的人類競爭者。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-OpenAI%20o1-International%20Olympiad%20in%20Informatics%EF%BC%8CIOI.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>o1有能力逐步分析問題，拆解複雜步驟並自動修正錯誤，而透過強化學習，則又能從每次的嘗試中學習改進，持續最佳化其解題技巧，這讓o1模型在解決需要深度推理的問題時，具備更高的準確性、效率和穩定性。</p> <p>目前OpenAI已經釋出o1早期版本OpenAI o1-preview，使用者已經可以在ChatGPT中進行測試，並開放給部分受信任的API使用者。<a href="https://github.blog/news-insights/product-news/openai-o1-in-github-copilot/">GitHub</a>也展示了o1模型在程式設計的能力，包括o1-preview如何協助開發者最佳化複雜演算法，甚至找出並解決造成應用程式效能低落的問題程式碼。GitHub官方預計之後會將o1-preview和輕量級o1-mini加入到可選模型的行列，目前開發者需要先透過Azure AI申請早期存取。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-OpenAI%20o1%20in%20GitHub%20Copilot.png" style="width: 450px;" /></p> <p>除了OpenAI o1在程式設計和數學問題上的先進發展，其他組織也在推進類似的技術進步。DeepMind在今年7月的時候，也展示了其能夠解決數學難題的人工智慧模型AlphaGeometry 2，該模型可解決了2024年國際數學奧林匹亞競賽（IMO）6道數學難題中的4道題目，達到了銀牌得主的水準。不過，AlphaGeometry 2並非典型的大型語言模型，而是基於Gemini語言模型的神經符號（Neuro-Symbolic）混合系統，專門為處理複雜數學問題的推理和解答而設計。</p> </div></div></div>
2024/9/16 08:28作者李建興https://www.ithome.com.tw/news/165026
130萬臺Android電視機上盒遭植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員<a href="https://news.drweb.com/show/?i=14900&lng=en" target="_blank">發現</a>超過130萬臺Android電視機上盒韌體遭到植入後門程式，以用於日後下載惡意程式。</p> <p>Doctor Web研究人員今年8月在Android電視機上盒上發現這隻後門程式，因其變更裝置系統檔案區被防毒程式偵測曝光，它鎖定執行AOSP的電視機上盒韌體檔案系統植入後門程式，以便之後攻擊者可下令下載和安裝第三方軟體。研究人員以其植入的元件而命名為Android.Vo1d。</p> <p>分析顯示，Android.Vo1d的模組（vold、wd），功能包括下載與執行C&C伺服器指令要求的執行檔、安裝加密daemon，還能監測特定目錄以安裝APK檔。研究人員估計，197國用戶的近130萬臺Android電視機上盒遭到感染。受害者主要分佈在中東、非洲、南美及亞洲，如巴西、摩洛哥、巴基斯坦、沙烏地阿拉伯、此外也包含俄羅斯、馬來西亞及印尼等。</p> <p>這些區域的受害裝置主要是較不知名的Android機上盒，可能是較低價的品牌（R4、TV BOX、KJ-SMART4KVIP）。研究人員推測，較低價品牌用的是經常是較早版本的Android，有漏洞但也未能獲得Google支援。雖然有些受害裝置執行的是Android 10或12，但也有古早版本如舊Android 7.1的。此外，這些產品的用戶也較沒有安全意識，會下載第三方App或非官方版韌體，但卻沒有安裝防毒軟體。</p> <p>不過研究人員尚不清楚Android.Vo1d的感染途徑。可能路徑是濫用舊版Android的漏洞以取得root權限，另一可能是用戶從非官方平臺下載被植入惡意root存取程式的韌體。</p> <p>Google<a href="https://arstechnica.com/security/2024/09/researchers-still-dont-know-how-1-3-million-android-streaming-boxes-were-backdoored/" target="_blank">澄清</a>，這些市場上執行AOSP（Android Open Source Project）卻宣稱為Android TV OS裝置很多，且上面也有Google App及Play Store，但這些都非經Google授權，因此不會獲得Play Protect安全防護。</p> <p>Google並<a href="https://www.android.com/tv/" target="_blank">提供</a>明列授權Android TV軟體的機上盒品牌清單，供用戶判別是否買到正牌的Android TV裝置。</p> </div></div></div>
2024/9/16 08:45作者林妍溱https://www.ithome.com.tw/news/165034
Google公布解決幻覺的AI模型DataGemma
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI模型以產生幻覺及誤導性的答案為人詬病，Google上周<a href="https://blog.google/technology/ai/google-datagemma-ai-llm/" target="_blank">公開</a>最新模型DataGemma，號稱大幅降低幻覺問題。</p> <p>Google表示，DataGemma是第一個將大型語言模型（LLM）和來自Google開源知識圖譜（knowledge graph）Data Commons的各種現實世界資料連結的案例，目的在藉由以現實世界的統計資訊構連LLM，以減少AI幻覺。</p> <p>目前Google已經在<a href="https://huggingface.co/collections/google/datagemma-release-66df7636084d2b150a4e6643" target="_blank">Hugging Face公布</a>DataGemma模型程式碼及其他資訊。</p> <p>Data Commons是Google建立且開源的知識圖譜，資料源是值得信賴的組織，像是聯合國、世界衛生組織、美國疾管局、和美國人口普查局等。Data Commons涵括健康、經濟、人口和環境等多種主題，包含超過2400億豐富資料點，統計變項橫跨數萬種。Data Commons使用者可以Google開發的AI自然語言介面查詢，研究人員可以查詢像是非洲電力普及率增長最大的國家，或是收入和美國各郡糖尿病關係之類的議題。</p> <p>針對Data Commons資料源，Google利用二種方法提升DataGemma的理解能力，以更貼近事實。一是檢索交錯生成（Retrieval-Interleaved Generation，RIG），二是檢索增強生成（Retrieval-Augmented Generation，RAG）。第一種方式中，當用戶以DataGemma生成回應，它會從Data Commons尋找統計資料並取得答案。Google說，RIG方法並不新，但特別用在DataGemma框架的作法卻是唯一。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0916-DataGemma-RIG.png" style="width: 400px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>第二種方式中，當用戶查詢DataGemma時，它會運用Gemini 1.5長脈絡空間，先從Data Commons取得上下文資訊，再生成回應，藉此減少幻覺、提升回應品質。</p> <p>Google之前已利用開源的Gemma和Gemma 2為基礎，使用RIG和RAG微調出變種版本，而這次則是以Gemma 2為基礎，再以<a href="https://huggingface.co/google/datagemma-rig-27b-it" target="_blank">RIG</a>及<a href="https://huggingface.co/google/datagemma-rag-27b-it" target="_blank">RAG</a>方法，分別生成DataGemma 2個27B版本變種，現已分別在Hugging Face平臺公開。Google計畫持續改善方法，最後會將這些方法學整合到開源的輕量模型Gemma，以及Gemini家族模型。一開始將局部開放給少數人試用，再階段性逐步擴大開放。</p> </div></div></div>
2024/9/16 09:18作者林妍溱https://www.ithome.com.tw/news/165035
【資安日報】9月13日，中租、兆豐、彰銀接連遭遇DDoS攻擊發布重訊，俄羅斯駭客聲稱是他們所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近與臺灣最為相關的資安事故，莫過於資安業者趨勢科技、Acronis先後揭露鎖定無人機製造商的攻擊行動，但昨天有3家上市公司發布重大訊息，表明他們網站遭到DDoS攻擊的情況，尤其是過往鮮少有企業因DDoS攻擊發布重訊，這樣的資安事故相當值得關注。</p> <p>值得留意的是，宣稱犯案的駭客組織，是最近2年專門針對協助烏克蘭的歐美國家下手的俄羅斯駭客NoName057，以近半個月而言，該組織在針對捷克、法國、烏克蘭政府機關發動攻擊之外，也鎖定臺灣發動攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/164999"><strong style="font-size: 22px;">中租、兆豐、彰銀接連發布重訊揭露遭DDoS攻擊，還有臺灣多個政府機關也是目標</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NoName057_Frence_B.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/NoName057_Frence_B.jpg" style="width: 300px; float: right;" /></a>在9月12日，國內有3家上市公司接連發布重訊說明網站遭遇DDoS攻擊。我們先是注意到上市租賃業中租控股在12日早上6時55分發布重大訊息，說明偵測到網站遭受DDoS攻擊，並且有服務中斷的情形，不過該公司表示，事發當下資訊部門已啟動相關防禦機制與復原作業，網站已經恢復正常運作。</p> <p>到了晚間，國內兩家上市金融業也因為遭遇DDoS攻擊，緊急發布相關資安重訊。先是兆豐金控在晚間6時52分發布重大訊息，說明遭遇大規模DDoS攻擊，包括兆豐集團的金控、證券、票券及投信公司網站都受影響，再來是彰化銀行在晚間11時49分也發布重大訊息，說明他們的銀行官網遭受網路DDoS攻擊。所幸兩家金融業者都表示已於第一時間啟動相關防禦復原機制，立即啟動相關防禦機制，網站皆已恢復正常運作。</p> <p>值得注意的是，已有駭客組織高調宣布犯案。根據自由時報報導指出，這是名為NoName057的親俄駭客組織所為。對於攻擊原因，報導中指出對方是因我國總統賴清德近日引用中俄領土爭議，來反駁中國收復臺灣的主張，但此說法目前僅是攻擊者發文的片面之詞，邏輯上自打嘴巴。</p> <p><a href="https://www.ithome.com.tw/news/165013"><strong style="font-size: 22px;">資安業者Fortinet驚傳外流440 GB資料，該公司證實遭駭</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/A_G2rmMAeI70.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/A_G2rmMAeI70.png" style="width: 300px; float: right;" /></a>代號為Fortibitch的駭客周四（9月12日）於Breach Forum駭客論壇聲稱，成功入侵資安業者Fortinet的Azure SharePoint帳號，竊得440 GB資料，Fortinet在24小時內便出面證實此事，但強調遭到入侵的共享雲端硬碟中，其實只存放不到0.3%客戶的部分資料。</p> <p>對此事件，Fortinet表示，未經授權的不明人士存取該公司位於第三方雲端共享硬碟中的部分檔案，目前並未發現影響客戶的惡意活動，該公司的產品及服務都沒有受到影響，駭客也沒能存取Fortinet其他資源，該公司的企業網路並未遭到存取，或被植入勒索軟體。值得一提的是這名駭客企圖向Fortinet勒索，但Fortinet執行長Ken Xie表明不會付錢。</p> <p><a href="https://www.ithome.com.tw/news/165004"><strong style="font-size: 22px;">有人公布法國IT顧問業者Capgemini公司檔案、程式碼、客戶資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GXEBoq5WcAAFBCv.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GXEBoq5WcAAFBCv.jpg" style="width: 300px; float: right;" /></a>代號為grep的用戶在駭客論壇上貼文宣稱，9月初法國IT顧問業者Capgemini的資安事故是他們所為。這名人士表示，他們從Capgemini數個資料庫竊走資料，包括程式原始碼、憑證、API金鑰、專案文件、員工資料、網路威脅報告，以及客戶T-Mobile的虛擬機器（VM）事件記錄等。這名人士指出，由於資料太多，他們最後決定只竊取公司機密資料及大型檔案，檔案大小總計20 GB。</p> <p>新聞網站The Register取得駭客掌握的Capgemini公司員工資料，包括姓名、郵件信箱、用戶名稱和密碼雜湊資料。其他還有備份檔、該公司客戶的內部系統及組態設定檔等。</p> <p>The Register報導，Capgemini被駭一事近日已在業界傳開，但該公司始終沒有出面說明。這次Capgemini也未回覆媒體問題或評論此事。</p> <p><a href="https://www.ithome.com.tw/news/165014"><strong style="font-size: 22px;">駭客鎖定臺灣無人機製造商發起Operation WordDrone攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/a7d426124ec95f4aca98c7cee6894980.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/a7d426124ec95f4aca98c7cee6894980.png" style="width: 300px; float: right;" /></a>繼資安業者趨勢科技發現偏好攻擊臺灣無人機製造商的中國駭客組織TIDrone，有其他資安業者也公布相關資安事故的調查結果。本週資安業者Acronis指出，今年4月至7月，他們看到駭客利用舊版Word 2010主程式，針對臺灣無人機製造商發起攻擊行動Operation WordDrone。</p> <p>究竟駭客如何入侵受害組織，研究人員表示他們無法找到明確證據，但他們提及，首度看到相關的惡意軟體，是出現在鼎新電腦ERP軟體的程式資料夾「Digiwin」，駭客竄改其更新程式Update.exe，置換成用於攻擊的Word主程式檔案（WinWord.exe）。對於相關發現，再加上此ERP系統部分元件存在CVE-2024-40521等已知漏洞，研究人員推測攻擊者很有可能利用該ERP軟體從事供應鏈攻擊。</p> <p>研究人員指出，有鑑於駭客濫用具有長效期的臺灣企業數位憑證，所有的C2伺服器也全部位於臺灣，因此他們認定這是極具針對性的攻擊行動，並向台灣電腦網路危機處理暨協調中心（TWCERT/CC）通報此事。</p> <p><a href="https://www.ithome.com.tw/news/165007"><strong style="font-size: 22px;">Progress旗下兩款產品傳出有資安漏洞</strong></a></p> <p>今年8月中旬Progress針對網管軟體WhatsUp Gold發布資安公告，指出該系統存在SQL注入漏洞CVE-2024-6670、CVE-2024-6671、CVE-2024-6672，CVSS風險評分介於8.8至9.8分，其中被列為重大層級的CVE-2024-6670與CVE-2024-6671，攻擊者更是無須通過身分驗證就能利用。如今有研究人員指出，已出現實際攻擊行動。</p> <p>資安業者趨勢科技發現，在8月30日通報漏洞的研究團隊Summoning Team公布概念性驗證（PoC）程式碼之後，5個小時內開始出現漏洞攻擊，駭客利用的漏洞，就是重大層級的CVE-2024-6670與CVE-2024-6671。</p> <p>由於鎖定Progress旗下產品漏洞的攻擊行動頻傳，近期該公司公布的另一項CVSS風險度達到滿分（10分）的漏洞，也相當值得留意。9月5日Progress針對旗下應用程式交付控制系統LoadMaster發布資安公告，指出該系統存在CVE-2024-7591，此為輸入驗證不當的弱點，未經身分驗證的攻擊者可透過特製的HTTP請求，遠端存取管理介面，從而執行任何系統層級的命令。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/nca-arrests-walsall-teenager-tfl-cyber-attack/">英國逮捕對倫敦交通局發動網路攻擊的嫌犯</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://about.gitlab.com/releases/2024/09/11/patch-release-gitlab-17-3-2-released/">GitLab修補重大層級的管道執行漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/palo-alto-networks-patches-dozens-of-vulnerabilities/">Palo Alto Networks針對旗下產品發布更新，修補防火牆作業系統高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/cisco-patches-high-severity-vulnerabilities-in-network-operating-system/">思科修補網路設備作業系統IOS XR高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://chromereleases.googleblog.com/2024/09/stable-channel-update-for-desktop_10.html">Google發布Chrome 128更新，修補Skia元件高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165010"><strong style="font-size: 22px;">萬事達卡宣布以26.5億美元買下資安業者Recorded Future</strong></a></p> <p>萬事達卡（Mastercard）在9月12日宣布，將以26.5億美元從私募股權基金Insight Partners買下威脅情報供應商Recorded Future，強化該公司用來保護數位經濟的洞察力與情報，涵蓋支付生態體系及其他廣泛領域。此交易預計明年第一季完成。</p> <p>萬事達卡表示，Recorded Future的技術能分析廣泛的資料並提供見解，即時揭露潛在威脅，若再輔以AI與其他技術，將可強化萬事達卡在身分辨識、欺詐預防、即時決策與網路安全服務上的能力，也替其金融機構網路帶來更多的威脅情報能力。</p> <p>雙方都透過AI來分析全球數十億個資料點來辨識潛在威脅，萬事達卡說，結合這些團隊、技術與專業知識，將能帶來更強大的實踐，並在網路安全與智慧上發揮更大的協同應處。</p> <p><a href="https://www.ithome.com.tw/news/164973"><strong style="font-size: 22px;">強化軟體供應鏈安全，JFrog推出Runtime即時安全監控解決方案</strong></a></p> <p>DevOps工具廠商JFrog宣布推出JFrog Runtime安全解決方案，來因應日益嚴重的軟體供應鏈攻擊。JFrog Runtime重點在於執行時的即時威脅偵測和修復，在應用程式運作的時候持續監控可能出現的安全威脅，縮短曝露風險的時間，補充了開發階段靜態安全偵測的不足。</p> <p>JFrog Runtime專門針對應用程式的執行，透過持續監控Kubernetes叢集的行為、資料流和執行環境，即時發現威脅並採取行動。與傳統的靜態安全偵測不同，JFrog Runtime在應用程式實際執行時進行安全監控，辨識未經授權的行動、權限升級和系統異常等潛在威脅。這種動態監控方式特別適用於當前雲端和容器化應用，降低企業受動態環境中安全漏洞的影響。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/164991"><strong>【9月12日】CosmicBeetle駭客針對中小企業發動勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164966"><strong>【9月11日】微軟發布9月例行更新，揭露與修補4個已被用於攻擊行動的零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/164953"><strong>【9月10日】勒索軟體駭客將SonicWall防火牆重大漏洞用於實際攻擊</strong></a></p> </div></div></div>
2024/9/13 16:34作者周峻佑https://www.ithome.com.tw/news/165015
駭客鎖定臺灣無人機製造商發起Operation WordDrone攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼資安業者趨勢科技發現<a href="https://www.ithome.com.tw/news/164935">偏好攻擊臺灣無人機製造商的中國駭客組織TIDrone</a>，有其他資安業者也公布相關資安事故的調查結果。</p> <p>本週資安業者Acronis指出，今年4月至7月，他們看到駭客利用舊版Word 2010主程式，<a href="https://www.acronis.com/en-us/cyber-protection-center/posts/operation-worddrone-drone-manufacturers-are-being-targeted-in-taiwan/">針對臺灣無人機製造商發起攻擊行動Operation WordDrone</a>。</p> <p>究竟駭客如何入侵受害組織，研究人員表示他們無法找到明確證據，但他們提及，首度看到相關的惡意軟體，是出現在鼎新電腦ERP軟體的程式資料夾「Digiwin」，駭客竄改其更新程式Update.exe，置換成用於攻擊的Word主程式檔案（WinWord.exe）。對於相關發現，再加上此ERP系統部分元件存在CVE-2024-40521等已知漏洞，研究人員推測攻擊者很有可能利用該ERP軟體從事供應鏈攻擊。</p> <p>研究人員指出，有鑑於駭客濫用具有長效期的臺灣企業數位憑證，所有的C2伺服器也全部位於臺灣，因此他們認定這是極具針對性的攻擊行動，並向台灣電腦網路危機處理暨協調中心（TWCERT/CC）通報此事。</p> <p>對於察覺這起攻擊行動的過程，Acronis因為是使用該廠牌XDR系統Acronis Advanced Security的用戶反映偵測到可疑的Word程式行為，卻無法確認該應用程式存取那些文件檔案，從而介入調查。研究人員發現，攻擊者發出的請求相當可疑，命令的路徑相當不尋常，而且還使用了未曾出現過的SvcLoad參數。</p> <p>值得留意的是，受害電腦實際上已部署另一個版本的Word，而用於從事可疑行為的應用程式，是2010版Word主程式，攻擊者意圖用來維持在受害電腦上活動。</p> <p>根據攻擊者下載作案工具的資料夾內容，駭客很有可能是利用特定版本Word的漏洞，側載執行惡意DLL程式庫wwlib.dll，進而存取經加密處理的gimaqkwo.iqq，並取出有效酬載執行。</p> <p>接著，駭客運用Install.dll元件，將特定處理程序部署為服務，並在命令加入/SvcLoad的參數，讓相關工具持續在受害電腦運作。但研究人員提及，這項元件也能讓攻擊者透過工作排程達到目的。</p> <p>最終，駭客載入另一個DLL的程式庫ClientEndPoint.dll，並清除作案過程產生的掛鉤，並對於知名防毒軟體和EDR進行壓制，藉由Windows內建的防火牆功能封鎖相關處理程序，研究人員推測，對方使用名為EDRSilencer的工具來達到目的。</p> </div></div></div>
2024/9/13 16:15作者周峻佑https://www.ithome.com.tw/news/165014
資安業者Fortinet證實遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一個代號為Fortibitch的駭客周四（9/12）於Breach Forum駭客論壇上宣布，他已入侵資安業者Fortinet的Azure SharePoint帳戶，並取得了440GB的資料，Fortinet在24小時內便出面<a href="https://www.fortinet.com/blog/business-and-technology/notice-of-recent-security-incident" target="_blank">證實</a>了此事，但說遭到駭客入侵的共享雲端硬碟中，只存放了不到0.3%客戶的有限資料。</p> <p>根據Fortinet的官方說法，有一名個人未經授權存取了Fortinet位於第三方雲端共享硬碟中的有限檔案，除了迄今並沒有發現任何影響客戶的惡意活動之外，該公司的產品及服務都沒有受到影響，駭客也沒能存取Fortinet的其它資源，Fortinet企業網路並沒有被存取或被植入勒索軟體。</p> <p>此外，Fortinet也直接與客戶協調，同時支援客戶的風險緩解計畫；另也立即展開調查，終止未經授權的存取來控制事件，亦制定額外的內部流程來杜絕重蹈覆轍，包括加強帳戶監控與威脅偵測。</p> <p>其實Fortinet並未揭露遭駭的第三方雲端服務。但Hackread<a href="https://hackread.com/fortinet-confirms-data-breach-hacker-data-leak/" target="_blank">報導</a>，Fortibitch宣稱他入侵了隸屬於Fortinet的Azure SharePoint實例，取得了440GB的資料，還將它們轉移至自己的Amazon S3儲存庫中、公布自己的帳戶資訊開放大家下載。</p> <p>Fortibitch還企圖向Fortinet勒索，但遭Fortinet執行長Ken Xie拒絕，Xie說他情願吃大便也不願支付贖金。</p> </div></div></div>
2024/9/13 16:06作者陳曉莉https://www.ithome.com.tw/news/165013
萬事達卡將買下資安業者Recorded Future
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>萬事達卡（Mastercard）周四（9/12）<a href="https://www.mastercard.com/news/press/2024/september/mastercard-invests-in-continued-defense-of-global-digital-economy-with-acquisition-of-recorded-future/" target="_blank">宣布</a>，將以26.5億美元從 Insight Partners手裡買下威脅情報供應商Recorded Future，將強化該公司用來保護數位經濟的洞察力與情報，涵蓋支付生態體系及其它更廣泛的領域。雙方預計於明年第一季完成交易。</p> <p>Recorded Future成立於2009年，浸淫於網路威脅情報市場，在2019年以7.8億美元賣給了私募股權基金Insight Partners，現在又轉手賣給了萬事達卡。目前Recorded Future在75個國家擁有逾1,900家客戶，當中包括45個國家的政府以及逾一半的Fortune 100企業。至於萬事達卡則是個金融組織，擁有逾2.5萬個金融機構會員，這些會員發行了各種Mastercard品牌的信用卡與金融卡。</p> <p>萬事達卡表示，全球網路的防禦需求從未如此強調，新技術讓網路威脅的風險不斷升高，今年的網路犯罪行為就對全球造成9.2兆美元的經濟損失。而Recorded Future則能分析廣泛的資料來提供見解，即時揭露潛在威脅，若再輔以Recorded Future的AI與其它技術，將可強化萬事達卡在身分辨識、欺詐預防、即時決策與網路安全服務上的能力，也替其金融機構網路帶來更多的威脅情報能力。</p> <p>其實萬事達卡與Recorded Future已經攜手開發一項基於AI的新服務，可在金融卡被盜用時，更快也更準確地提醒金融機構，且自今年初上線以來，識別率已達去年同期的兩倍。</p> <p>雙方都透過AI來分析全球數十億個資料點來辨識潛在威脅，萬事達卡說，結合這些團隊、技術與專業知識，將能帶來更強大的實踐，並在網路安全與智慧上發揮更大的協同協應。</p> </div></div></div>
2024/9/13 14:39作者陳曉莉https://www.ithome.com.tw/news/165010
Progress旗下兩款產品傳出有資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年8月中旬Progress針對網管軟體WhatsUp Gold發布資安公告，<a href="https://community.progress.com/s/article/WhatsUp-Gold-Security-Bulletin-August-2024">指出該系統存在SQL注入漏洞CVE-2024-6670、CVE-2024-6671、CVE-2024-6672</a>，CVSS風險評分介於8.8至9.8分，其中被列為重大層級的CVE-2024-6670與CVE-2024-6671，攻擊者更是無須通過身分驗證就能利用。如今有研究人員指出，已出現實際攻擊行動。</p> <p>資安業者趨勢科技發現，在8月30日通報漏洞的研究團隊Summoning Team<a href="https://summoning.team/blog/progress-whatsup-gold-sqli-cve-2024-6670/">公布概念性驗證（PoC）程式碼</a>之後，<a href="https://www.trendmicro.com/en_us/research/24/i/whatsup-gold-rce.html">5個小時內開始出現漏洞攻擊</a>，駭客利用的漏洞，就是重大層級的CVE-2024-6670與CVE-2024-6671。</p> <p>研究人員先是看到駭客繞過WhatsUp Gold的身分驗證機制，然後濫用Active Monitor的PowerShell指令碼功能，上傳惡意程式碼。</p> <p>接著，駭客利用WhatsUp Gold的元件NmPoller.exe執行Active Monitor的PowerShell指令碼內容，該系統就會從Webhook.site網站下載惡意指令碼a.ps1並執行。</p> <p><a href="https://s4.itho.me/sites/default/files/images/WhatsUpGoldRCE-Fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/WhatsUpGoldRCE-Fig1.png" style="width: 580px;" /></a></p> <p>為了持續於受害伺服器活動，這些駭客利用a.ps1下載遠端存取工具，並透過msiexec.exe部署，這些工具包含了Atera Agent、Radmin、SimpleHelp Remote Access、Splashtop Remote。</p> <p>究竟駭客的動機為何，因研究人員已阻斷駭客的後續行動而無法得知，但根據使用上述遠端存取工具的行為來看，他們認為攻擊者的身分，很有可能是使用勒索軟體犯案的駭客。</p> <p>這並非WhatsUp Gold已知漏洞被用於實際攻擊行動的首例，今年8月，<a href="https://www.ithome.com.tw/news/164388">有人鎖定Progress於6月修補的重大層級漏洞CVE-2024-4885</a>（CVSS風險度為9.8分），企圖存取WhatsUp Gold系統的/NmAPI/RecurringReport。</p> <p>由於鎖定Progress旗下產品漏洞的攻擊行動頻傳，近期該公司公布的另一項CVSS風險度達到滿分（10分）的漏洞，也相當值得留意。9月5日Progress針對旗下應用程式交付控制系統LoadMaster發布資安公告，指出<a href="https://support.kemptechnologies.com/hc/en-us/articles/29196371689613-LoadMaster-Security-Vulnerability-CVE-2024-7591">該系統存在CVE-2024-7591</a>，此為輸入驗證不當的弱點，未經身分驗證的攻擊者可透過特製的HTTP請求，遠端存取管理介面，從而執行任何系統層級的命令。</p> <p>這項漏洞影響7.2.60.0版以前的LoadMaster，以及7.1.35.11版以前的Multi-Tenant Hypervisor（LoadMaster MT），該公司發布附加套件予以修補，並呼籲IT人員應儘速套用，他們強調，目前尚未發現漏洞遭到利用的情況，也沒有客戶受到影響。</p> <p>不過，對於LoadMaster MT的部分，該公司也提及，個別的LoadMaster虛擬網路功能（VNF），或是這套系統的管理節點元件，同樣曝露於這項漏洞的風險當中，IT人員也要套用前述的附加套件因應。</p> </div></div></div>
2024/9/13 11:04作者周峻佑https://www.ithome.com.tw/news/165007
搶搭141GB記憶體輝達GPU，AWS推出H200執行個體服務
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_ec2_p5e-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI、大語言模型這兩年暴紅，許多企業與組織均投入相關的應用開發，導致Nvidia Hopper架構資料中心GPU產品H100供不應求，企業除了自行採購、建置搭配這款GPU的伺服器，透過公有雲業者提供的GPU加速運算執行個體服務，也是一種管道，不過，直到去年下半、甚至到今年上半，<a href="https://www.ithome.com.tw/tags/nvidia-h100-gpu-cloud">三大公有雲的用戶才能在網頁管理主控臺，直接選取與建立搭配Nvidia H100 GPU的執行個體服務</a>。</p> <p>以AWS為例，他們營運的這類雲端運算服務<a href="https://www.ithome.com.tw/review/158051">Amazon EC2 P5</a>，是在去年6月推出，提供一種執行個體組態p5.48xlarge，搭配8個Nvidia H100，每個GPU內建80 GB容量的HBM3記憶體；11月底他們預告將推出新的GPU加速運算執行個體服務，稱為Amazon EC2 P5e，搭配8個H200，每個GPU內建141 GB容量的HBM3e記憶體，單就GPU記憶體而言，容量增加80％，存取速度提升40％。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-11-AWS%20Keynote-P5.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia-AWS reinvent GPU-2023-11-29_111054.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia-AWS%20reinvent%20GPU-2023-11-29_111054.jpg" style="width: 600px;" /></a></p> <p>時隔9個多月之後，AWS宣布Amazon EC2 P5e上線，是第一家正式供應Nvidia H200 GPU配置的公有雲業者，目前僅開放美國東部（俄亥俄）的區域使用，可經由Amazon EC2用於機器學習的容量區塊定價模式進行訂購，即可使用名為p5e.48xlarge的執行個體組態。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS P5e-console1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20P5e-console1.jpg" style="width: 600px;" /></a></p> <p>P5e採用8個Nvidia H200 GPU，總共能提供1128 GB的高頻寬記憶體，其他組態沿襲P5，仍是搭配AMD第三代EPYC處理器、2 TiB記憶體、30 TB NVMe儲存空間，以及匯聚頻寬為3200 Gbps的第二代EFA網路介面。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EC2%20P5e-CPU2.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS P5e-CPU.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20P5e-CPU.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，網路存取頻寬的突破並非一蹴可幾，AWS在2020年11月推出的Nvidia A100 GPU執行個體服務P4d，當中搭配的EFA網卡，頻寬為400 Gbps，開始支援Nvidia GPUDirect RDMA技術，實現GPU之間的直接溝通，進而獲得較低的存取延遲、運算效能規模可橫向擴充的效益；到了2023年下半，AWS推出的Nvidia H100 GPU執行個體服務P5，開始搭配第二代EFA網路卡，頻寬可達到3200 Gbps，一口氣提升至8倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS EC2 P5-Network.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EC2%20P5-Network.jpg" style="width: 600px;" /></a></p> <p>AWS也揭露<a href="https://aws.amazon.com/blogs/machine-learning/amazon-ec2-p5e-instances-are-generally-available/">P5e用於大語言模型推論的效能測試成果</a>。若執行Llama 3.1-70B模型，相較於P5，P5e的吞吐量領先幅度為87.1％，成本節省40％；若執行Llama 3.1-405B模型，相較於設置兩個P5，使用單個P5e時，吞吐量領先幅度可望達到70％，成本節省69％。</p> <p>在此同時，AWS也預告很快將推出p5e的網路最佳化配置變體，稱為P5en，在同樣都是搭配Nvidia H200 GPU之餘，主要差異會是採用訂製型英特爾第四代Xeon Scalable處理器，屆時將能提供PCIe 5.0介面，將CPU與GPU之間的I/O頻寬增加至4倍，並且進一步降低網路延遲，從而改善工作負載的執行效能。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>AWS Amazon EC2 P5e</strong><br /> ●原廠：AWS<br /> ●建議售價：用於機器學習的容量區塊定價為每小時43.26美元<br /> ●基礎運算規格：AMD第三代EPYC處理器（7R13）<br /> ●提供服務規模選擇與最大組態：p5e.48xlarge，192顆虛擬處理器、2048 GiB記憶體、8臺3.84 TB本機儲存、8張Nvidia H200 GPU、網路頻寬為3,200 Gbps，網路儲存：使用AWS區塊儲存服務EBS，存取頻寬為80 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/9/13 12:09作者李宗翰https://www.ithome.com.tw/review/164992
美國FDA批准蘋果AirPods Pro的助聽器功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國食品藥物管理局（FDA）周四（9/12）<a href="https://www.fda.gov/news-events/press-announcements/fda-authorizes-first-over-counter-hearing-aid-software" target="_blank">宣布</a>，已批准首款非處方的助聽軟體功能，可於蘋果的AirPods Pro耳機上使用。這代表使用者可直接將相容的AirPods Pro當作助聽器使用，以替18歲以上、患有輕度至中度聽力障礙的使用者放大聲音。</p> <p>調查顯示，美國有超過3,000萬的成年人擁有某種程度的聽力損失，相關症狀可能是由衰老、曝露於嘈雜的噪音下，或者是其它因素引起的，進而對溝通、人際關係、學習、工作或情緒產生負面影響，使用助聽器則可改善認知下滑及抑鬱的現象。</p> <p>過去美國使用者要購買助聽器需要醫生的處方簽，不過，FDA在2022年制定了非處方助聽器法規，允許輕度及中度聽力損失的成年人可直接自商店購買助聽器。但此次的宣布則是首次批准了基於軟體的助聽設備。</p> <p>儘管蘋果已於本周稍早<a href="https://www.ithome.com.tw/news/164939" target="_blank">發表了</a>AirPods Pro 2的助聽器功能，但FDA解釋，此次通過的助聽器功能（Hearing Aid Feature，HAF）是個純軟體的行動醫療應用程式，可與相容的AirPods Pro一起使用，它採用自適應（self-fitting）策略，讓使用者在沒有聽力專家的協助下進行調整來滿足自己的聽力需求。</p> <p>此外，HAF可透過iOS裝置進行設定，包括iPhone或iPad，先透過HealthKit來測試使用者聽力以客製化HAF，之後還可微調音量、語調及兩耳的平衝。</p> <p>蘋果針對118名患有輕度與中度聽力損失的使用者進行測試，發現採用自適應的受試者，以及接受專業協助的受試者，在同一個裝置上的感受是類似的，且於耳道內放大聲音或於噪音環境中的語音理解的能力，都與專業協助的結果相當。此一測試彰顯了使用者不一定要依賴專家的協助，只要自行測試與調節就能滿足需求。</p> <p>目前確定已相容於HAF的裝置為蘋果在2022年9月發表的AirPods Pro 2，這是個具備降噪能力的無線藍牙耳機，蘋果預計於今年秋天更新其韌體，新增主動聽力保護能力，以提供聽力測驗，以及非處方的助聽器功能。AirPods Pro 2在臺灣的售價為7,490元新臺幣。</p> </div></div></div>
2024/9/13 12:10作者陳曉莉https://www.ithome.com.tw/news/165009
駭客公布疑似Capgemini 20GB公司檔案、程式碼、客戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一名駭客本周稍早公布疑似來自法國IT顧問商Capgemini的公司文件、機密資訊及客戶資料約20GB。</p> <p>Capgemini總部位於巴黎，提供IT顧問諮詢及規劃、導入服務。根據該公司<a href="https://investors.capgemini.com/en/publication/fy-2023-results/" target="_blank">資訊</a>，Capgemini在全球39國有分公司，2023年全年營收225億歐元。</p> <p>一名代號為grep的用戶在駭客論壇上貼文宣稱，Capgemini 9月稍早遭駭事件為其所為。他說自Capgemini數個資料庫竊走並刪除資料，包括程式原始碼、憑證、API金鑰、專案文件、員工資料、網路威脅報告，以及其客戶T-Mobile的VM log等。他說受害者有太多資料，他最後決定只竊取了屬於公司機密及大型檔案、總計20GB。</p> <p class="rtecenter"><a href="https://x.com/DarkWebInformer/status/1833248415683170763/photo/1" style="text-align: center;" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0913-Capgemini-2.png" style="width: 600px;" /></a></p> <p>為佐證其說法，這名使用者張貼宣稱是T-Mobile的VM log螢幕擷圖。</p> <p>The Register額外<a href="https://www.theregister.com/2024/09/12/capgemini_breach_data_dump/" target="_blank">取得</a>駭客公布的Capgemini公司員工資料，包括姓名、郵件信箱、用戶名稱和密碼雜湊。其他還有備份檔、該公司客戶內部系統及設定檔等。</p> <p>The Register報導，Capgemini被駭一事近日已在業界傳言，但該公司始終沒有出面說明。這次Capgemini也未回覆媒體問題或評論遭駭一事。</p> </div></div></div>
2024/9/13 10:28作者林妍溱https://www.ithome.com.tw/news/165004
歐盟主管機關對Google AI模型啟動資料保護調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>愛爾蘭資料保護委員會（Data Protection Commission）周四<a href="https://www.dataprotection.ie/en/news-media/press-releases/data-protection-commission-launches-inquiry-google-ai-model" target="_blank">宣布</a>啟動調查，以了解Google訓練其生成式AI模型時，是否有依要求評估對歐盟用戶的個資風險。</p> <p>愛爾蘭DPC將對Google愛爾蘭啟動跨境法定調查（cross-border statutory inquiry），以了解Google開發基礎AI模型PaLM2時，處理歐盟或歐洲經濟區用戶個資之前，是否有遵守資料保護影響評估（Data Protection Impact Assessment，DPIA）提出的要求。歐盟主管機關說明，DPIA定義資料處理的範疇、目的等，以幫助資料控制者（data controller）了解其對用戶個資進行處理時，是否可能引發高風險，侵害個人基礎權利和個人自由。</p> <p>歐盟的資料保護影響評估（<a href="https://gdpr.eu/data-protection-impact-assessment-template/" target="_blank">DPIA</a>）是根據《通用資料保護條例》（GDPR）規定的程序，旨在協助組織在處理個人資料時，評估和降低潛在的風險，以確保遵守資料保護要求。</p> <p>這次調查也是愛爾蘭當局和歐盟其他會員國主管機關，對AI模型及系統業者資料處理規範的一環。</p> <p>同時，這次調查也顯示歐盟對美國AI業者抱持保留態度。Meta也是在歐盟及英國主管機關反對下，延後Meta AI在當地的上線。7月間Meta<a href="https://www.ithome.com.tw/news/163995" target="_blank">宣布</a>多模態AI服務也不會在歐盟地區上線。X也在8月<a href="https://www.dataprotection.ie/en/news-media/press-releases/dpc-welcomes-xs-agreement-suspend-its-processing-personal-data-purpose-training-ai-tool-grok" target="_blank">決定</a>擱置使用歐盟區用戶個資訓練Grok AI模型的計置。Meta和X的行動都獲得了愛爾蘭政府的歡迎。</p> </div></div></div>
2024/9/13 10:48作者林妍溱https://www.ithome.com.tw/news/165005
【因應GAI啟動集團AI 2.0戰略布局】中華電信打造AI虛擬助理提升千萬客戶服務品質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為國內老牌電信公司，中華電信約2萬名員工中，其中不少是中高齡的資深員工，他們正面臨一波龐大的員工退休潮，光是2023年，退休員工超過1,300人，更有4千人將在5年內屆齡退休。大量有經驗的員工退休，如何補充新血，傳承經驗是一大難題。如何提高員工生產力，成了中華電信持續成長的重要挑戰。</p> <p>中華電信這幾年致力於運用科技，提升員工生產力、內部營運效率，例如5年前他們啟動新一波策略轉型，業務及組織面調整，從電信供應商角色，轉型為以客戶為中心，畫分個人家庭、企業、國際三大分公司，並整合集團資訊及技術研發資源，支援業務發展。在IT方面，也通過資訊系統改造，向現代化、雲化發展，降低成本，增加資源彈性運用，加快軟體開發、更版、部署，推出資通訊服務來迎合市場需求。</p> <p>中華電信也導入數位科技來提升營運效率，由於旗下業務涵蓋行動網路、固網、寬頻上網、市話、MOD、海纜、衛星等眾多通訊業務，這些業務更擁有數百萬，甚至上千萬用戶，龐大的用戶需求帶來大量工作負擔，因此在E化、M化後，自動化、智慧化是這家老牌電信公司下階段發展的重要目標，一方面提高員工生產力，提升整體營運效率，一方面克服退休潮及新進人員可能帶來的經驗傳承不及問題。</p> <p>AI就是中華電信近幾年積極導入的新科技，作為老牌電信公司，中華電信的AI發展史可以分為5個階段，第一階段從1950到1990年，以規則為基礎，從1991年到2009年開始以統計方法為基礎的大數據分析應用，2010年到2017年，中華電信開始投入發展神經網路的監督式學習，這些都是中華電信自己形容是AI 1.0的應用，舉凡運用AI模型辨識語音、文字、影像，例如語音轉文字、文字轉語音技術，還有準確辨識影像中的車牌號碼、人流、人臉辨識等等。</p> <p>2017年到2021年發展語言模型，包括預訓練、參數微調，2023年則從AI 1.0向2.0發展，也就是生成式AI。</p> <p><span style="font-size:28px;"><strong>成立AI策略委員會，從AI 1.0進化到2.0</strong></span></p> <p>去年7月中華電信總經理林昭陽上任後，曾多次對外表示看好生成式AI的應用潛力，2023年更成立AI 2.0企業策略委會員，推動全集團的AI 2.0策略布局。</p> <p>該委員會由中華電信管理高層擔任，由董事長督導，總經理擔任主委，4位總公司執行副總擔任委員，顯示集團對於GAI應用發展的重視。策略委員會底下又分為業務及技術推動兩大分組，其中技術推動組涵蓋技術、平臺、資料、治理4個小分組，業務推動組分為業務及應用兩個小分組，對內推動AI 2.0應用擴散，提升員工業務效率，內服外用，進而對外提供相關服務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1199-cover-2-600(3).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:16px;"><strong>中華電信在2023年下半年設立AI 2.0企業策略委員會，啟動集團的GAI布局，該委員會由董事長督導，總經理擔任主任委員，大力推動GAI的技術、業務應用。其中技術包含治理、資料、平臺及技術，業務應用則推動內部GAI應用及外部服務。</strong></span></span><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">（圖片來源／中華電信）</span></span></p> <p>在AI應用之前，需要先擬定原則，因此該委員會也參考國內外的相關規範，包括行政院提出的公關機關生成式AI應用規範等，訂定AI治理原則，例如透明、不可侵權、可回溯性等等，這些原則不只作為中華電信內部AI治理準則，也涵蓋提供外部客戶的AI相關服務。</p> <p>中華電信執行副總經理兼技術長黃志雄認為，過去使用的辨識型AI由於並非多模態，且需要專家訓練，多為單一領域的應用，而生成式AI的創作能力帶來更大的想像，其應用幾乎涵蓋產銷人發財，各行各業幾乎都能夠使用，應用的潛力更為廣泛。</p> <p><span style="font-size:28px;"><strong>全力發展AI算力、平臺到應用</strong></span></p> <p>「IT轉型是打造數位神經系統，AI則是這個數位神經系統的大腦，通過以AI作為數位神經系統的大腦，強化我們內部營業效益或是對外業務擴展，帶來非常突破性的進展」，黃志雄說明，AI在中華電信轉型過程中的重要性。</p> <p>中華電信從3個層次推動，在底層的基礎建設層次，建置內部或外部可以使用的GPU as a Service，即AI算力雲，而在IDC方面，中華電信也規畫因應企業建置AI機房的需要，計畫建置AIDC機房，提供代建代維。</p> <p>至於中間的平臺層次，廣泛支援各種開源或付費大型語言模型，近幾年中華電信號召相關的人才加入，提高對大型語言模型的深度瞭解，以推薦客戶適合的模型，可運用多年累積經驗，協助調校大型語言模型參數。</p> <p><span style="font-size:28px;"><strong>首先發展智慧客服等6項GAI 應用</strong></span></p> <p>而在上層應用方面，發展各種垂直領域的AI 2.0內外部應用，中華電信設立AI策略委員會後，提出6個觸媒計畫發展GAI應用，這6個子計畫包括智慧客服、智慧櫃臺、法律助理、SDLC、M365 Copilot、算力雲，其中智慧客服與智慧櫃臺主要提升客戶服務能量，法律助理則是協助法務人員撰寫法律契約，M365 Copilot則提供員工個人生產力。中華電信期望通過6項生成式AI應用能夠快速見效，並吸引更多內部單位加入，進一步擴散應用。</p> <p>以客服為例，中華電信現有2千多位客服人員，24小時服務上千萬行動用戶、數百萬寬頻用戶、近千萬市話用戶，如此龐大用戶為客服帶來相當大工作負荷，客戶提出的需求五花八門，可能是與帳務有的問題，或是某個服務的申請或技術障礙解決有關，不只是用戶，非用戶也會進線提出問題，例如舉辦行銷活動，造成短時間內大量客服電話進線，這些都增加客服工作量。</p> <p>為了減輕客服的工作負擔，他們在幾年前就發展問答機器人，推出智慧文字客服，讓民眾的問題可以透過問題機器人完成，來提高用戶的自助服務率，而不需進到真人客服。現在，他們更進一步結合生成式AI，在客戶與客服對談中理解客戶的意圖，針對客戶的問題找到相關資訊，並且協助客服人員妥善應答處理。</p> <p>中華電信董事長郭水義也曾對外說明自家的AI 2.0應用，他以智慧客服作為範例，整合AI知識庫Copilot技術，以生成式AI模型，加上Prompt Engineering，AI訓練師建置和更新知識庫，縮短7成的人工建置時間。</p> <p>另外，在軟體開發方面，他們也應用生成式AI在軟體開發生命周期（Software Development Life Cycle,SDLC），以軟體開發的前期為例，訪談客戶的需求後，過去人員要撰寫客戶需求書、系統規格書等，主要以人工登打，現在透過生成式AI輔助生成需求書、規格書，縮短花費的時間。</p> <p>不只是軟體開發的前期規格文件，程式碼撰寫方面，他們也利用生成式AI虛擬助理來協助，例如AI虛擬助理生成網頁，AI虛擬助理依照開發人員的要求調整，再生成Code，送到測試環境，再來回調整優化。</p> <p>中華電信資訊技術分公司總經理楊慧琪表示，今年中華電信才開始運用生成式AI在SDLC，用於提高軟體開發生命周期各階段的工作效率，目前測試結果獲得不錯的反應，具體的效益還有待時間來驗證。在SDLC整個流程試著導入生成式，目標是將整個生命周期的工作效率提升30%以上。</p> <p>從成立AI 2.0策略委員會，到6個應用觸媒計畫，中華電信結合長久以來累積的知識庫及專業領域的專家推動生成式AI應用。除了提升員工的工作效率，也能緩解退休潮造成的人才斷層、經驗傳承問題。</p> <p>「生成式AI生成內容看似無中生有，實際上背後海納百川，運用多年下來累積的大量歷史資料才能做到，發展生成式AI應用能力，同樣需以資料作為基礎，建構特定領域的KM，再發展相關應用」，黃志雄說。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1199-cover-2-600(1)%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size:16px;"><strong>中華電信執行副總暨技術長黃志雄表示，生成式AI生成內容看似無中生有，實際上背後海納百川，運用多年下來累積的大量歷史資料才能做到，發展生成式AI應用能力，同樣需以資料作為基礎，建構特定領域的KM，再發展相關應用。</strong></span><span style="font-size: 14px;">（攝影／洪政偉）</span></span></p> <p><span style="font-size:28px;"><strong>用生成式AI處理用戶漫遊紙本帳單</strong></span></p> <p>現在不只是6項應用，其他單位也感受到GAI帶來的好處，發展更多GAI應用，例如用戶到國外旅遊使用國際漫遊，國外漫遊合作的電信商提供中華電信該用戶所使用漫遊服務的帳單，然而這些帳單可能形式不一，可能是紙本傳真、電子郵件等不同形式，中華電信需要投入大量人力處理。</p> <p>為了讓整個處理過程自動化，他們利用OCR辨識漫遊紙本帳單，再由生成式AI去解讀，生成標準化的帳務重點資訊，再送進資訊系統。但是，仰賴生成式AI來處理漫遊紙本帳單，替代過去人工作業的方式，這樣做雖然能夠節省時間，仍要建立多種機制，以提高生成式資訊的正確性。</p> <p>中華電信運用長久以來所積累的領域知識、經驗，並投入領域專家，運用RAG、Prompt Engineering等技術，讓GAI生成內容「有所本」，提高生成內容的正確度、可被信賴，並且克服退休潮導致有經驗的員工大量流失，新手員工專業領域知識經驗不足的問題。</p> <p>以客服為例，客服人員流動率較高，少子化招工不易，客服人員代表公司對外服務客戶，新進客服人員都需要經過一定訓練，但是，中華電信底下行動網路、寬頻網路、市話、MOD等各種業務龐雜，面對客戶提出各式各樣的問題，新進人員往往不容易快速找到資訊，因此他們在客服人員值機應答工作，將過去累積的問答知識庫，結合生成式AI，幫助客服人員快速找到資訊。</p> <p>在生成式AI的值機應答協助之下，加快新手客服人員的養成速度，客服應答也能達到一定的水準，並且降低客服對於難以回答的疑難雜症，進入1.5線尋求資深或技術人員支援的比例，同時縮短客戶等待回應時間。</p> <p>同樣的情形也在網路維運管理，電信事業屬於關鍵基礎建設，中華電信投入大量人力維護網路基礎建設的正常運作，設備如果出現異常導致服務中斷，可能影響廣大用戶的生活，或是工程人員到用戶家中進行安裝檢修，網路維護工作高度仰賴人員經驗，雖然新手可以查詢相關資料，在缺乏領域經驗之下，反覆查找耗費時間，並不容易找到需要的相關知識。</p> <p>中華電信運用生成式AI發展家用寬頻安裝維運虛擬專員，當工程維護人員到客戶家中維修，如果遇到疑難雜症，透過App與虛擬專員對話，相當於多了一位助手，幫助工程人員快速查找知識庫中的相關資訊，傳承維運專家多年累積的知識經驗。</p> <p>黃志雄表示，過去在網路維運上，利用AI監控及預測設備的劣化，當預測即將發生故障前，及早汰換設備避免客訴產生，但是生成式AI應用在數位孿生（Digital Twin），對網路維運、韌性提升也相當重要，例如當發生災害時，研擬不同的行動方案，利用Digital Twin模擬環境，藉此觀察不同行動方案產生的效果，能夠提升網路韌性。</p> <p><span style="font-size:28px;"><strong>建立算力池、算力雲服務</strong></span></p> <p>由於AI需要大量的算力，因此在AI2.0的策略中也包含了基礎建設部分，中華電信已有全盤布局。他們已盤點全國各地機房資源，計畫建構算力池，先滿足內部AI應用需要及外部客戶應用的需要打造AI算力雲，考慮到目前GPU供貨問題，採用Nvidia DGX，採用8片H100，結合原先已構建的GPU資源，以建立可滿足模型訓練需要的AI算力。</p> <p>至於IDC機房，中華電信集團下的IDC機房，在國內IDC市場占有一席之地，因應客戶建立AI機房的需要，該公司計畫建置AIDC機房，符合AI運算伺服器需要的高用電、地板載重、充足機房空間，提供代建代維或顧問服務。</p> <p><span style="font-size:28px;"><strong>應用平臺工程概念快速擴散內部GAI應用</strong></span></p> <p>在歷經約一年時間發展，為讓AI進一步擴大應用領域，今年建置共用平臺，讓產銷人發財不同領域員工，即使不會AI相關技術，也不會軟體開發，只要將他們的業務資料整理好後，通過該平臺產生自己業務上的小幫手。</p> <p>運用平臺工程的概念，將跨領域業務共用的功能，例如權限管理、資料庫納入共用平臺，搭配No-code、Low-code工具，即使不會軟體開發的員工也能簡單地產生他們業務上需要的AI助理。</p> <p>楊慧琪表示，中華電信投入發展平臺工程基本功已有一段時間，考慮到生成式AI近幾年發展相當快，未來可能成為每位員工業務上都需要的基礎幫手，今年將生成式AI納進平臺工程，希望能擴散產生更多的AI 2.0應用。</p> <p>而對使用單位而言，業務工作上如果想要使用生成式AI，透過該平臺，能夠簡單打造其業務領域的AI助理，這個概念不只是內部，也計畫推向外部，例如基於AI算力基礎架構的AI Factory平臺，讓客戶可以通過AI Factory的生產線概念打造垂直領域的GAI應用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1199-cover-2-600(2)-%E6%94%9D%E5%BD%B1-%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:16px;"><strong>中華電信資訊技術分公司總經理楊慧琪表示，中華電信投入平臺工程基本功已有一段時間，生成式AI近幾年快速發展，未來每位員工可能需要基礎AI助理，運用平臺工程概念，希望擴散更多的生成式AI應用。</strong></span><span style="font-size:14px;">（圖片來源／中華電信）</span></span></p> <p><span style="font-size:24px;"><strong><span style="background-color:#3399ff;"><span style="color:#FFFFFF;"> </span><a href="https://www.ithome.com.tw/article/165006" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><a href="https://www.ithome.com.tw/article/165006" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1199-feng_mian_p1-wen_bin_-open-960x420_kao_bei_.jpg?itok=MhNXTKQM" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/13 11:00作者蘇文彬https://www.ithome.com.tw/news/164988
【從組織、業務及資訊面推動策略轉型】中華電信加速IT雲化發展推動雙軸轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「IT轉型是打造數位神經系統，AI則是這個數位神經系統的大腦，通過以AI作為數位神經系統的大腦，強化我們內部營業效益或是對外業務擴展，帶來非常突破性的進展」，中華電信執行副總兼技術長黃志雄點明IT與AI在中華電信近幾年數位轉型發展的重要性。</p> <p>企業推動數位轉型，無非是透過運用數位工具提升自身的營運效率，藉此強化競爭力，IT轉型如同重塑身體，讓身體能夠更敏捷、更靈活的行動，以快速因應外部變化調整，AI如同身體的大腦，判斷身體應該如何行動才能更省力、更有效率，但是由於過去AI 1.0屬於辨識型應用，且多以單一領域應用為主，去年下半年中華電信啟動AI 2.0轉型，以GAI為基礎發展各種應用，透過內容生成、多輪對話應答、加快知識管理，讓身體各部位動作更有效率。</p> <p>然而，中華電信穩坐國內電信龍頭，為什麼要推動策略轉型，推動內部IT改造，向現代化、雲化發展，並且導入AI提升營運效率？</p> <p>時間要回到5年前，儘管當時公司仍然獲利成長，但中華電信預見傳統電信市場變化，啟動策略轉型計畫，從以往專門提供寬頻上網、行動網路的電信網路服務商角色，轉變為以客戶需求為導向的ICT資通訊服務科技公司。</p> <p>因為追劇、看YouTube、短影音或瀏覽社交網路已是許多人的日常，網路內容消費是大勢所趨，然而，隨著網路使用量不斷增加，傳統電信業者每年要投入大量資本維運網路基礎建設，興建最新的網路服務。以行動上網為例，當初5家電信業者投入上千億元標金取得無線頻譜，建設綿密的5G行動基地臺，但免費使用網路服務不斷侵蝕傳統電信服務，電信業者不只面臨同業的資費、服務競爭，更面臨資訊科技業的異業競爭，導致電信業務獲利逐漸下滑。</p> <p>眼看大型網路平臺因為流量帶動營收成長，電信業者自嘲在數位經濟時代下只能扮演「笨水管」角色，紛紛策略轉型，從傳統只賣電信網路服務，轉為資通訊科技服務，中華電信也不例外。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>策略轉型帶動組織調整</strong></span></span></p> <p>身為臺灣最大的綜合型電信商，長年來設立多個子公司，來服務不同領域的龐大顧客。中華電信很清楚傳統電信業者面臨的處境，今天可能是市場龍頭業者，但明天就可能被淘汰，策略轉型不得不為。</p> <p>中華電信的轉型策略，在業務面部分，除了既有核心電信業務，並以核心技術發展新興業務，透過與其他業者的結盟合作，擴大資安、AI、5G、物聯網、大數據、雲端等新興科技業務，希望逐步提高資通訊服務營收比重，擺脫網路通訊基礎建設者的角色。</p> <p>中華電信將原本按照產品服務畫分的組織型態，如負責行動通訊服務的行動分公司、負責固網業務的數據分公司，負責國際通訊的國際分公司，以及北區分公司、南區分公司、電信研究院等。</p> <p>2年前他們推動組織調整，按市場客戶群畫分，重新調整為三大分公司：個人家庭分公司、企業客戶分公司、國際電信分公司，分別鎖定不同的客戶群，三家分公司都涵蓋行網、固網業務。在研發及技術支援部分，確立三大技術群：資訊技術分公司、網路技術分公司、電信研究院，負責IT、網路通訊及前瞻技術的研發。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>內部IT推動現代化及雲化發展</strong></span></span></p> <p>配合該公司的願景、策略轉型需要，過去5年，中華電信內部IT也悄悄推動一波改造工作，以成為雲化資訊服務公司為目標，具體分為3大策略：改造、加速及賦能。改造是成為以客戶為中心的標準、開放、敏捷雲化營運及平臺系統，加速則是發展資訊服務產品，建構數位服務生態，賦能則是加速集團成為Digital Telco，提升資通訊服務營收。</p> <p>黃志雄表示，對內推動數位化提升營運效率，對外則是以客戶為中心的營運系統轉型，推動IT能力的升級，由內而外的資訊服務能力，公司的目標是，內部使用成效好的應用，包裝為資訊服務向外推薦給客戶。</p> <p>中華電信內部IT架構改造，不少系統由於發展較早，為單體式應用，缺乏靈活彈性，因此改造為前中後臺的清晰架構，搭配現代化IT的開放、標準技術，例如運用API元件讓前臺的邏輯較容易彈性組裝應變。</p> <p>來提升資訊力、內部營運效率，包括E化、M化，並導入RPA推動流程自動化，降低員工的工作負擔。</p> <p>另外，中華電信也針對BSS營運支援系統進行調速，以呼應該公司以客戶為中心的轉型目標，重新強化內部的大數據分析應用，加深對客戶的瞭解程度，改善精準行銷或提升客戶服務品質。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>擴大雲化發展加速雙軸雙轉</strong></span></span></p> <p>中華電信的轉型策略中，重要的目標是推動雲化改造，過去中華電信依業務畫分多個分公司，各個分公司各自管理的機房，甚至早期部分的資訊系統有自己的獨立機房，這些傳統機房數量眾多且分散，導致管理上的困難，加上軟硬體重覆投資的問題嚴重，因此通過機房整併，以及雲化發展，包括雲原生技術採用、混合雲，讓資源彈性運用、降低機房維運成本。</p> <p>這個雲化轉型策略由資訊技術分公司負責，中華電信在內部成雲端卓越中心（Cloud Center of Excellence，CCoE），由技術長帶領，更系統性推動雲化發展，他們從科級、處級推動雲基礎架構的規畫、入雲流程、雲端治理等工作，同時也招募雲端相關人才，如負責輔導及訓練的雲端架構師。</p> <p>雲化發展讓資訊系統的資源使用更有彈性，包括地端現代化機房、私有雲機房，或是三大公有雲，建立混合雲、多雲的管理架構，他們將內部開發、上線、維運環境一致化，來提升部署及上版速度，同時降低傳統機房的設備援購、維運成本、軟體授權等成本，此外，中華電信也通過導入FinOps來加強管理雲端使用成本及資源的合理性。</p> <p>中華電信資訊技術分公司總經理楊慧琪表示，目前內部資訊系統的原生雲化比重已達到2至3成，未來隨著更多系統完成，將加快雲化的速度，希望在2027年達到全部系統雲化的目標。</p> <p>雲化發展不只是實現數位轉型，其中節能效益也是該公司推動淨零轉型中的科技減碳重要手段，換言之，為其實現數位轉型、淨零轉型雙軸轉型的重要作法。</p> <p>去年開始擔任中華電信總經理林昭陽曾在公開活動表示，相較於傳統機房搬到私有雲節省56%用電，將傳統機房搬到公有雲可帶來79%的節約用電，今年4月初他已要求未來將500多個資訊系統搬到雲端。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>強化資料治理提升資訊力，強化決策及競爭力</strong></span></span></p> <p>為推動大數據分析、雲化、AI應用，中華電信為了以資料驅動創新，強化決策及競爭力，他們也開始加強內部資料治理，從系統開發源頭確保資料儲存、存取、授權、運用等安全與資料品質，通過系統性管理制度提升資料應用價值。由於業務龐雜，資料散落各個單位，中華電信未來數年持續推動資料治理架構革新。</p> <p>首先，在2022年先以資料治理來梳理業務詞彙，降低跨業務溝通成本，由於中華電信旗下各事業單位龐雜，同一個資料在不同單位可能不同的定義。</p> <p>資料治理的重要性，以建立能源管理中心（Energy Operation Center）為例，需要盤查各個單位用電情形，然而，各個單位的用語、計算單位差異相當大，例如有的單位用電使用kWh，有的單位則使用度，此外，依照電表電耗的有無分為4種用電情境，有的情境因為共用分攤電費，所以沒有用電的具體數據。因此他們在資料治理的第一步，就是盤點各單位資料，並且建立一致性的標準，做到書同文、車同軌。</p> <p>為提升客戶經營及業務推廣，同時也通過改善資料品質，中華提升數據分析決策的能力，提高營運數據分析準確度，優化內部營運效率。</p> <p>另外，藉由提升後的資料品質與量，提高資料的可信度，於是在隔年進一步用於更細緻化會員經營、精準行銷、強化機房韌性，並且先將50%的業務關鍵元資料納入管理，建立關鍵資料資產；他們培養內部人才取得CDMP數據管理認證，同時也將資料治理納入SDLC系統發展生命周期，讓系統開發流程與資料治理更深度的結合。</p> <p>今年他們計畫將100%的業務關鍵元資料納入管理，建立完整的關鍵資料資產，此外，因應AI技術發展，為使AI能發揮最大效益，今年將非結構化資料納入資料治理的一部分，將他們內部轉型過程中，資料治理經驗及技術整合為顧問服務，鎖定大型企業的數位轉型需求。</p> <p><span style="font-size: 24px;"><strong><span style="background-color: rgb(51, 153, 255);"><span style="color: rgb(255, 255, 255);"> </span><a href="https://www.ithome.com.tw/article/165006" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><strong><a href="https://www.ithome.com.tw/article/165006" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1199-feng_mian_p1-wen_bin_-open-960x420_kao_bei_.jpg?itok=MhNXTKQM" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/13 11:03作者蘇文彬https://www.ithome.com.tw/news/165000
老牌電信啟動AI轉型2.0
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1199-feng_mian_p1-wen_bin_-open-960x420_kao_bei_.jpg?itok=MhNXTKQM" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中華電信去年啟動AI新戰略，從AI 1.0轉向2.0發展，導入GAI虛擬助理，從櫃臺、客服、網路維運、客戶裝機查修，到軟體開發、法律、人資、行政，用智慧化應對少子化缺工、員工退休潮衝擊，查找知識經驗、生成內容，來提高員工生產力，加快回應客戶需求，改善千萬客戶服務體驗</p> </div></div></div>
2024/9/13 11:03作者蘇文彬https://www.ithome.com.tw/article/165006