iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 6篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 14:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Meta釋出支援邊緣與行動裝置的Llama 3.2 1B/3B
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta本周發表了<a href="https://ai.meta.com/blog/llama-3-2-connect-2024-vision-edge-mobile-devices/" target="_blank">Llama 3.2</a>，包括視覺語言模型Llama 3.2 11B及Llama 3.2 90B，以及鎖定邊緣及行動裝置、輕量且只有文字的Llama 3.2 1B及Llama 3.2 3B，已開放使用者自<a href="https://llama.meta.com/" target="_blank">Llama官網</a>及<a href="https://huggingface.co/meta-llama" target="_blank">Hugging Face</a>上下載。</p> <p>其中，Llama 3.2 11B與Llama 3.2 90B主要支援圖像推論使用案例，可理解包含圖表、圖形及圖說在內的文件，或者是透過自然語言描述，於圖像中精確定位物件位置等視覺定位任務。例如使用者可詢問企業在去年哪個月的業績最好，Llama即可根據圖表回答；或者是基於地圖來回答路徑及距離等問題。</p> <p>至於輕量的Llama 3.2 1B及Llama 3.2 3B，則具備強大的文字生成及工具調用功能，允許開發人員建置個人化的裝置端代理應用程式，以讓資料保存於裝置上而不外流。</p> <p>Meta表示，於裝置端執行上述模型有兩大好處，一是提示與回應感覺像是即時的，二是不會將個人資料傳送到雲端，讓相關程式更具隱私，或者是控制將哪些查詢保留於裝置上，哪些則需送至雲上的大模型處理。</p> <p>此外，基準測試顯示，Llama 3.2的視覺模型在圖像辨識及許多視覺理解任務上，足以與Claude 3 Haiku和GPT4o-mini 競爭，Llama 3.2 3B在遵循指令、摘錄、重寫提示及工具使用等任務上的表現，超越了Gemma 2 2.6B與Phi 3.5-mini模型，至於Llama 3.2 1B某些部分的表現亦不輸Gemma與Phi。</p> </div></div></div>
2024/9/28 13:35作者陳曉莉https://www.ithome.com.tw/news/165241
PostgreSQL 17正式推出，效能、JSON處理與資料庫管理全面提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.postgresql.org/about/news/postgresql-17-released-2936/">PostgreSQL 17</a>正式發布，除了加入新的功能之外，也改進了效能表現以及開發者體驗。這個版本最佳化資料庫清理（Vacuum）、I/O效能和查詢執行，同時強化JSON資料處理能力，也對邏輯複寫（Logical Replication）、高可用性和主要版本升級支援進行改進。此外，PostgreSQL 17還新增了安全性管理、備份操作與監控分析等功能。</p> <p>這版本PostgreSQL資料庫清理（Vacuum）程序進行效能更好了，大幅減少內部記憶體的使用量。PostgreSQL 17新的內部記憶體結構可以降低多達20倍的資料占用，讓清理程序更快速，並減少對共享資源的需求。這樣的改進不只使得更多系統資源，能夠被用於處理日常工作負載，更有效提升資料庫整體效能，以及儲存空間回收效率，減少系統維護過程的效能影響。</p> <p>I/O效能方面，PostgreSQL 17針對高並行工作負載進行最佳化，透過最佳化預寫式日誌（Write-Ahead Log，WAL）的處理，寫入吞吐量可提升至2倍，增強了系統在高流量情境下的穩定性。此外，新的串流I/O介面加快了序列掃描和ANALYZE指令的效率，使得資料表的掃描和統計變得更快速。而這一系列的I/O改進，皆有助於大型資料庫的維運和分析作業。</p> <p>PostgreSQL 17在查詢功能上也有許多改進，包括針對B-tree索引和常見資料表表示式進行最佳化，提升了複雜查詢的效率，新功能則有BRIN索引現在支援平行建置，以及更高效的IN子句查詢，額外的SIMD支援，包括使用AVX-512加速bit_count函數，也讓運算更為高效。</p> <p>PostgreSQL 17強化了JSON資料的處理能力，新的JSON_TABLE功能可將JSON資料轉換成標準資料表。此外，PostgreSQL 17支援SQL/JSON建構函式和查詢函式，提供開發者更多操作JSON的方法。此版本還強化了jsonpath表示式，支援將JSON資料轉換成原生PostgreSQL型別。這些新的JSON功能讓開發者擁有更強大的工具，以處理日益增加的JSON資料結構應用。</p> <p>在這個版本之前，開發者進行主要版本升級時必須刪除邏輯複寫插槽（Slot），並在升級後重新同步資料，這是一個耗時的過程。而PostgreSQL 17升級不再需要刪除邏輯複寫插槽，簡化高可用性工作負載和主要版本升級的管理。</p> <p>PostgreSQL 17在安全性管理、備份操作和監控分析方面進行多項改進，包括添加sslnegotiation選項提升TLS連線的安全性，以及pg_maintain預定義角色簡化維護操作。pg_basebackup新工具提供增量備援支援，而pg_dump則是加入了--filter選項，供使用者在產生傾印檔案時，可以選擇要包含的物件。在監控方面，EXPLAIN新增了I/O讀寫時間和記憶體使用量的報告功能，並加入pg_wait_events系統檢視功能增加問題診斷效率。</p> </div></div></div>
2024/9/28 13:47作者李建興https://www.ithome.com.tw/news/165239
【資安日報】9月27日，駭客利用Docker引擎API進行挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客濫用Docker、Kubernetes等環境從事挖礦的事故，接連有事故傳出，本週有研究人員公布最新一波的攻擊行動，並指出攻擊者發起攻擊的管道，是曝露在網際網路的Docker引擎API。</p> <p>值得留意的是，駭客使用的惡意軟體具備類似蠕蟲的特性，會在成功入侵Docker端點後進行橫向移動，對其他的Docker Swarm、Kubernetes端點進行感染。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165207"><strong style="font-size: 22px;">Docker引擎API遭鎖定，駭客企圖從事挖礦攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/docker-attack.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/docker-attack.png" style="width: 300px; float: right;" /></a></p> <p>濫用Docker、Kubernetes等環境從事挖礦攻擊的情況一直都存在，本週有研究人員揭露新一波大規模行動。</p> <p>雲端監控服務業者Datadog旗下的資安實驗室發現，有人針對Docker引擎的API從事挖礦攻擊，並橫向移動到Docker Swarm、Kubernetes，以及其他能透過SSH存取的伺服器。駭客將受害主機加入他們控制的Docker Swarm叢集，並濫用Docker Swarm的編排（orchestration）功能進行C2通訊。</p> <p>除此之外，這些駭客也濫用Docker Hub，並上傳大量惡意映像檔。根據有效酬載當中寫死的檔案系統路徑，研究人員推測，對方還運用雲端IDE環境GitHub Codespaces的運算基礎架構。</p> <p><a href="https://www.ithome.com.tw/news/165221"><strong style="font-size: 22px;">駭客藉由惡意程式SnipBot竊取機密資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-488387-136801-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-488387-136801-3.png" style="width: 300px; float: right;" /></a></p> <p>這兩年鎖定烏克蘭及盟國而來的惡意軟體RomCom，如今出現新的變種，駭客濫用有效憑證對其簽章來迴避偵測，並藉此工具進行多階段攻擊，從而達到執行命令、下載其他惡意軟體的目的。</p> <p>資安業者Palo Alto Networks揭露惡意軟體RomCom的新變種SnipBot，並指出攻擊者可藉此於受害電腦執行命令，然後將附加模組植入受害電腦。研究人員與今年2月在資安事故看到SnipBot的資安業者Sophos聯手調查，並採集、分析攻擊者於受害電腦活動留下的痕跡。</p> <p>對於這個惡意程式的發展，研究人員指出，駭客是以RomCom 3.0為基礎進行打造，但具備後續的4.0版（趨勢科技將其命名為PeaPod）部分新技術，因此他們認為SnipBot就是RomCom 5.0。他們推測，駭客很有可能在去年12月就開始運用SnipBot。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.wsj.com/politics/national-security/china-cyberattack-internet-providers-260bd835">中國駭客Salt Typhoon傳出滲透美國ISP的網路環境</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/kimsuky-new-keylogger-backdoor-variant/">北韓駭客Kimsuky散布惡意程式KLogEXE、FPSpy</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cisa.gov/news-events/alerts/2024/09/24/cisa-adds-one-known-exploited-vulnerability-catalog">Ivanti在8月修補的應用程式交付系統vTM漏洞已出現攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180037&SPOKE_DATE=20240923&COMPANY_ID=6156">上櫃公司松上電子部分資訊系統遭遇網路攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.chinatimes.com/realtimenews/20240926004540-260417">漢翔工程師於Instagram張貼大量機敏資料，恐洩漏國機國造機密</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165226"><strong style="font-size: 22px;">Pure Storage修補儲存設備重大漏洞</strong></a></p> <p>本週Pure Storage發布資安公告，指出旗下儲存系統FlashArray和FlashBlade存在5項重大層級的漏洞，其中有2個CVSS風險評分達到了10分（滿分）的程度，可說是相當危險。這些漏洞攻擊者有機會用來執行任意程式碼、未經授權存取，甚至有可能破壞儲存設備的運作，該公司已發布新版軟體進行修補。</p> <p>對於這些漏洞在臺灣處理的情形，我們也詢問Pure Storage，他們表示已通知客戶，並正與他們密切合作以解決任何相關的問題。</p> <p><a href="https://www.ithome.com.tw/news/165230"><strong style="font-size: 22px;">TeamViewer修補兩個新揭露的高風險權限提升漏洞</strong></a></p> <p>9月25日TeamViewer發布資安公告，指出Windows版應用程式存在兩項高風險漏洞CVE-2024-7479、CVE-2024-7481，這些弱點有可能讓攻擊者提升本機權限，CVSS風險評分皆達到8.8，影響TeamViewer主機端（Host）與客戶端（Full Client）程式，該公司發布15.58.4版應用程式予以修補。</p> <p>這項漏洞發生的原因，在於遠端桌面軟體元件TeamViewer_service.exe的加密簽章驗證，出現處理不當的情況，使得不具高權限的攻擊者有機會提升權限，並安裝驅動程式。</p> <p><a href="https://www.ithome.com.tw/news/165233"><strong style="font-size: 22px;">回應8月CISA警告監控攝影機恐遭漏洞攻擊，陞泰表明該款產品已停產7年，但仍提供新版韌體修補漏洞</strong></a></p> <p>8月初美國網路安全暨基礎設施安全局（CISA）提出警告，臺灣視訊監控解決方案業者陞泰科技（Avtech）旗下的視訊監控攝影機（IP Camera）AVM1203，存在高風險層級的命令注入漏洞CVE-2024-7029（CVSS風險評分達到8.8），當時CISA指出，他們向陞泰通報此事並未得到回應，這項漏洞目前很有可能尚未得到修補，本週陞泰在網站發布聲明稿做出說明。</p> <p>該公司指出，CISA在資安公告裡提到的CVE-2024-7029，他們對於產品線進行全面檢測，確認目前銷售的機種並未存在這項漏洞。至於存在漏洞的AVM1203，已經停產接近7年，他們也決定破例提供1024版韌體予以修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165195"><strong style="font-size: 22px;">全球防詐立法態勢大轉變，要求金融、電信業失責需補償詐騙受害者</strong></a></p> <p>數位部預告限24小時下架詐騙廣告的政策，顯現臺灣政府近年打詐行動是持續加溫，但其他國家打詐的立法發展態勢也是如此，別以為企業被冒名詐騙事不關己，企業也要共同責任承擔，必需賠償詐騙受害者的損失。</p> <p>面對日益嚴峻的詐騙威脅，不只是臺灣政府，全球多國政府同樣都在立法提升打詐力道。投入防詐領域已有10年的臺灣上市公司Gogolook（走著瞧-創），該公司共同創辦人暨執行長郭建甫指出，有些主要國家已經率先立法來因應，而最新呈現的重要態勢在於：企業也要共同承擔責任，尤其是金融業、電信業與數位平臺。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165207"><strong>【9月26日】macOS版ChatGPT軟體存在可被竊密的漏洞SpAIware</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165183"><strong>【9月25日】UNC1860為攻擊中東企業組織的駭客開路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165170"><strong>【9月24日】北韓駭客散布惡意PyPI套件，意圖發動供應鏈攻擊</strong></a></p> </div></div></div>
2024/9/27 17:45作者周峻佑https://www.ithome.com.tw/news/165236
TeamViewer修補兩個新揭露的高風險權限提升漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月25日TeamViewer發布資安公告，指出Windows版應用程式<a href="https://www.teamviewer.com/en/resources/trust-center/security-bulletins/tv-2024-1006/">存在兩項高風險漏洞CVE-2024-7479、CVE-2024-7481</a>，這些弱點有可能讓攻擊者提升本機權限，CVSS風險評分皆達到8.8，影響TeamViewer主機端（Host）與客戶端（Full Client）程式，該公司發布15.58.4版應用程式予以修補。</p> <p>這項漏洞發生的原因，在於遠端桌面軟體元件TeamViewer_service.exe的加密簽章驗證，出現處理不當的情況，使得不具高權限的攻擊者有機會提升權限，並安裝驅動程式。</p> <p>不過，攻擊者如果想利用這項漏洞，必須先設法進到本機電腦、能夠存取Windows作業系統，才能以此方式提升權限。</p> </div></div></div>
2024/9/27 15:51作者周峻佑https://www.ithome.com.tw/news/165230
回應8月CISA警告監控攝影機恐遭漏洞攻擊，陞泰表明該款產品已停產7年，但仍提供新版韌體修補漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月初<a href="https://www.ithome.com.tw/news/164310">美國網路安全暨基礎設施安全局（CISA）提出警告</a>，臺灣視訊監控解決方案業者陞泰科技（Avtech）旗下的視訊監控攝影機（IP Camera）AVM1203，存在高風險層級的命令注入漏洞CVE-2024-7029（CVSS風險評分達到8.8），當時CISA指出，他們向陞泰通報此事並未得到回應，這項漏洞目前很有可能尚未得到修補，<a href="https://www.avtech.com.tw/img/CISA_announcement_tw.pdf">本週陞泰在網站發布聲明稿做出說明</a>。</p> <p>該公司指出，CISA在資安公告裡提到的CVE-2024-7029，他們對於產品線進行全面檢測，確認目前銷售的機種並未存在這項漏洞。至於存在漏洞的AVM1203，已經停產接近7年，他們也決定破例提供1024版韌體予以修補。</p> </div></div></div>
2024/9/27 16:40作者周峻佑https://www.ithome.com.tw/news/165233
Pure Storage修補儲存設備重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週Pure Storage發布資安公告，指出旗下<a href="https://support.purestorage.com/bundle/m_security_bulletins/page/Pure_Storage_Technical_Services/Field_Bulletins/Security_Bulletins/topics/concept/c_security_bulletin_for_2024_january_patch_bundle_for_flasharr.html">儲存系統FlashArray和FlashBlade存在5項重大層級的漏洞</a>，其中有2個CVSS風險評分達到了10分（滿分）的程度，可說是相當危險。這些漏洞攻擊者有機會用來執行任意程式碼、未經授權存取，甚至有可能破壞儲存設備的運作，該公司已發布新版軟體進行修補。</p> <p>對於這些漏洞在臺灣處理的情形，我們也詢問Pure Storage，他們表示已通知客戶，並正與他們密切合作以解決任何相關的問題。</p> <p>根據漏洞的CVSS風險評分高低而言，最嚴重的是分數達到滿分的CVE-2024-0001、CVE-2024-0002。其中，CVE-2024-0001影響6.3.0至6.3.14版、6.4.0至6.4.10版的FlashArray，起因是儲存設備初始化過程當中，用於陣列配置的本機帳號仍維持啟動的狀態，使得攻擊者有機會藉此得到權限提升。</p> <p>另一個漏洞CVE-2024-0002則與高權限帳號有關，攻擊者有機會藉此遠端存取磁碟陣列。該漏洞影響的產品是FlashArray的特定版本，涵蓋5.3.17至5.3.21版、6.0.7至6.0.9版、6.1.8至6.1.25版、6.2.0至6.2.17版、6.3.0至6.3.14版、6.4.0至6.4.10版，以及6.5.0版FlashArray。</p> <p>值得留意的是，CVE-2024-0003、CVE-2024-0004、CVE-2024-0005的嚴重程度也很高，這些漏洞的CVSS風險評估皆達到9.1分。其中的CVE-2024-0003，攻擊者可藉由遠端管理服務建置特權帳號，另外兩個漏洞，則能讓攻擊者遠端執行任意命令。</p> <p>縱觀受到上述漏洞影響的產品，FlashArray是最大苦主，FlashBlade用戶要注意CVE-2024-0005的風險。</p> </div></div></div>
2024/9/27 15:07作者周峻佑https://www.ithome.com.tw/news/165226
Google向歐盟控訴微軟雲端服務違反市場競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周向歐盟執委會（European Commission，EC）<a href="https://cloud.google.com/blog/topics/inside-google-cloud/filing-eu-complaint-against-microsoft-licensing/" target="_blank">投訴微軟</a>，指控微軟利用其作業系統優勢，提高用戶遷移到其它雲端平臺的成本，違反市場競爭法令。</p> <p>Google指出，微軟將客戶鎖在Azure的關鍵產品之一為Windows Server，這是在許多企業環境中必備的產品，也是應用程式、文件及服務的骨幹，已替微軟帶來數十億美元的營收，在企業支付Windows Server授權費時，理應得以在任何硬體上執行，然而，當雲端興起，企業開始將產品授權遷移到其它雲端平臺，原本微軟是允許的，但隨著Azure面臨愈來愈多的競爭，微軟導入了嚴重限制客戶選擇的新規則。</p> <p>例如微軟在2019年採用新的授權條款，以針對客戶在主要競爭對手平臺上使用Windows Server的企業施加經濟處罰。Google引用了微軟自己製作的、於Azure及AWS上執行Windows Server的<a href="https://web.archive.org/web/20230328163736/https://azure.microsoft.com/en-us/pricing/azure-vs-aws/cost-savings/" target="_blank">成本比較表</a>，指出把工作負載轉移到AWS的客戶必須支付高達5倍的費用；此外，微軟也對那些繼續於競爭平臺上執行Windows Server的客戶，祭出限制安全修補等其它互動門檻。</p> <p>研究顯示，在微軟變更授權條款後，微軟雲端服務的市占率便突然飆高。</p> <p>Google認為，微軟市占率的提升是以歐盟供應商為代價，同時令歐盟客戶面臨巨大的隱私成本，具限制的雲端授權作法將傷害企業，亦會阻礙歐洲的競爭力。</p> </div></div></div>
2024/9/27 15:14作者陳曉莉https://www.ithome.com.tw/news/165227
Docker引擎API遭鎖定，駭客企圖從事挖礦攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>濫用Docker、Kubernetes等環境從事挖礦攻擊的情況一直都存在，本週有研究人員揭露新一波大規模行動。</p> <p>雲端監控服務業者Datadog旗下的資安實驗室發現，<a href="https://securitylabs.datadoghq.com/articles/threat-actors-leveraging-docker-swarm-kubernetes-mine-cryptocurrency/">有人針對Docker引擎的API從事挖礦攻擊</a>，並橫向移動到Docker Swarm、Kubernetes，以及其他能透過SSH存取的伺服器。駭客將受害主機加入他們控制的Docker Swarm叢集，並濫用Docker Swarm的編排（orchestration）功能進行C2通訊。</p> <p>除此之外，這些駭客也濫用Docker Hub，並上傳大量惡意映像檔。根據有效酬載當中寫死的檔案系統路徑，研究人員推測，對方還運用雲端IDE環境GitHub Codespaces的運算基礎架構。</p> <p>攻擊者起初鎖定曝露在網際網路上的Docker API端點，在未經身分驗證的情況下執行惡意命令，過程中，也透過已經受害的節點執行masscan、zgrab等網路掃描工具來尋找目標，隨後濫用Docker的API植入Alpine容器，執行後續的攻擊流程。</p> <p>惡意軟體會先檢查目前環境是否具備特定的資料傳輸工具，以及執行的權限是否為root，完成後就會從GitHub取得挖礦軟體XMRig安裝指令碼，並搭配特定使用者字串進行部署。</p> <p>值得留意的是，攻擊者為了隱匿相關處理程序，從C2下載Linux物件共享檔案的處理程序隱藏工具，並藉由動態連結器挾持手法，將其設置為符合特定條件才動作的模式，例如，只要有執行檔啟動，就會觸發這項工具運作。</p> <p>上述攻擊行動完成後，駭客還會進一步橫向移動。他們運用kube.lateral.sh、spread_docker_local.sh、spread_ssh.sh等三種指令碼來進行，這些分別針對Kubernetes、Docker端點，以及SSH伺服器而來。</p> </div></div></div>
2024/9/27 14:27作者周峻佑https://www.ithome.com.tw/news/165225
Google的AI筆記助理NotebookLM現可輸入YouTube影片及聲音檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://blog.google/technology/ai/notebooklm-audio-video-sources/" target="_blank">更新了AI筆記助理NotebookLM</a>，新版支援YouTube影片及聲音檔案的輸入，還能與他人共享語音摘要（Audio Overviews）。</p> <p>NotebookLM是Google在<a href="https://blog.google/technology/ai/notebooklm-google-ai/" target="_blank">去年7月發表</a>的產品，這是一個由大型語言模型助攻的筆記軟體，根據Google的說法，它與傳統AI聊天機器人最大的差別在於NotebookLM允許使用者於筆記及來源中採用語言模型，此一Source-grounding的作法得以帶來一個熟悉使用者資訊的個人化AI，根據使用者指定的資料來生成答案，以執行摘要，回答問題，還能產生想法。</p> <p>相較之下，聊天機器人主要仰賴預先訓練的資料集，無法靈活引用具體文件，或提供更精確的回應。</p> <p>原本僅在美國市場測試，屬於實驗性產品的NotebookLM在今年6月擴展至全球200多個國家，而且採用Gemini 1.5 Pro作為它的底層模型，所支援的輸入格式涵蓋Google Docs、PDF及文字檔文件，以及Google Slides，網頁網址，YouTube網址，及音訊檔。</p> <p>當使用者上傳YouTube影片時，NotebookLM會摘錄重要的概念，還能透過引用直接連結至影片的文字轉錄，對於比較不同來源對於同一議題的觀點特別有幫助，此外，NotebookLM亦內建YouTube播放器以讓使用者直接觀看影片。NotebookLM亦能將上傳的音訊轉換成文字，並藉由搜尋快速定位到重要的段落，以提高團隊的專案效率。</p> <p>新版的NotebookLM新增了建立學習指南的功能，使用者只要輸入課堂上的錄音、手寫筆記及講座幻燈片等資料，它就能自動生成整合所有關鍵資訊的學習指南。</p> <p>9月上線的語音摘要功能可替使用者輸入的來源，包括文件或部落格文章，建立一個語音摘要，由兩位AI主持人針對來源內容進行討論，現在則可產生一個公共連結來與其他人分享。</p> </div></div></div>
2024/9/27 13:48作者陳曉莉https://www.ithome.com.tw/news/165224
駭客藉由惡意程式SnipBot竊取機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩年鎖定烏克蘭及盟國而來的<a href="https://www.ithome.com.tw/news/159425">惡意軟體RomCom</a>，如今出現新的變種，駭客濫用有效憑證對其簽章來迴避偵測，並藉此工具進行多階段攻擊，從而達到執行命令、下載其他惡意軟體的目的。</p> <p>資安業者Palo Alto Networks揭露<a href="https://unit42.paloaltonetworks.com/snipbot-romcom-malware-variant/">惡意軟體RomCom的新變種SnipBot</a>，並指出攻擊者可藉此於受害電腦執行命令，然後將附加模組植入受害電腦。研究人員與今年2月在資安事故看到SnipBot的資安業者Sophos聯手調查，並採集、分析攻擊者於受害電腦活動留下的痕跡。</p> <p>對於這個惡意程式的發展，研究人員指出，駭客是以RomCom 3.0為基礎進行打造，但具備後續的4.0版（趨勢科技將其命名為PeaPod）部分新技術，因此他們認為SnipBot就是RomCom 5.0。他們推測，駭客很有可能在去年12月就開始運用SnipBot。</p> <p>有鑑於受害企業組織所在的領域相當廣泛，研究人員難以確認意圖，但懷疑駭客主要目的不再是經濟利益，而是從事間諜活動。</p> <p>SnipBot會造成哪些問題？研究人員最早發現的攻擊型態是PDF檔案，電腦開啟這個檔案之後，就會彈出警示視窗，當中聲稱缺乏必須的字體而無法正法顯示內容，假若使用者依此指引而去下載相關字型套件，電腦就有可能遭到SnipBot感染。</p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-510168-136801-10.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-510168-136801-10.png" style="width: 580px;" /></a></p> <p>根據逆向工程的結果進行分析，駭客透過釣魚郵件啟動整個感染鏈，一旦使用者點選其中的URL，就會下載對方偽裝成PDF檔案的惡意程式下載工具，此執行檔搭配合法的證書簽章，並採用兩種手法迴避沙箱的偵測。</p> <p>其中一種是比對經過雜湊處理的名稱，以便確認原始檔名；另一種則是檢查特定的機碼，確認是否有超過100項最近開啟過的檔案，而這麼做的目的，就是確認受害電腦是否為沙箱環境。</p> <p>再者，這個惡意程式下載工具，同時利用視窗訊息為基礎的混淆手法，將惡意程式碼區分為多個區塊。此外，駭客也將C2網域、動態解析的API功能函數進行加密處理，防堵靜態偵測機制。</p> <p>一旦此惡意程式下載工具執行，就會從C2網域嘗試取得PDF檔案及SnipBot有效酬載。此惡意程式的主程式能讓攻擊者於受害電腦執行命令，或是上傳及下載檔案的功能，再者，攻擊者也能從伺服器下載相關附加模組，以便執行進一步的活動。</p> <p>實際上，駭客如何運用SnipBot？在其中一起攻擊行動裡，他們試圖收集受害組織內部網路資訊，接著將電腦裡的文件檔案、雲端檔案共享服務OneDrive的檔案，藉由WinRAR打包，並透過PuTTY外傳，這一系列竊取資料的過程，駭客也企圖藉由AD Explorer建立本機AD資料庫的快照。</p> </div></div></div>
2024/9/27 11:55作者周峻佑https://www.ithome.com.tw/news/165221
HPE推出邊緣運算伺服器，搭超微EPYC 8004處理器與E3.S SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_proliant_dl145_gen11_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在AI應用勢力抬頭之前，幾家主要伺服器廠商都持續經營邊緣運算的產品線，例如，我們過去曾報導<a href="https://www.ithome.com.tw/tags/ThinkEdge">聯想的ThinkEdge系列</a>，以及<a href="https://www.ithome.com.tw/tags/PowerEdge-XR">Dell的PowerEdge XR系列</a>，HPE先前主要是由<a href="https://www.ithome.com.tw/review/126064">Edgeline系列</a>擔綱，然而，後續很少看到他們主推這樣的硬體設備，而在今年9月，HPE突然宣布推出ProLiant DL145 Gen11，鎖定採用分散式組織架構的客戶市場，例如零售業與製造業，提供無縫整合至現場環境的部署與即時服務，協助企業在邊緣環境執行高負載的應用系統時，能藉此獲得更好的效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dl145 gen11 scaleup.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dl145%20gen11%20scaleup.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dl145%20gen11-Edge.jpg" style="width: 600px;" /></p> <p>相較於HPE既有伺服器產品，DL145同樣內建多種安全與管理功能，像是矽信任根、裝置身分IdevID、平臺憑證，並且整合HPE特有的iLO6、OneView，以及GreenLake for Compute Ops Management等遠端集中控管平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dl145 gen11-remote management.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dl145%20gen11-remote%20management.jpg" style="width: 600px;" /></a></p> <p>它最顯著的差異是設備外觀！DL145搭配寬15吋、深16吋的短型2U尺寸機箱——裝上前側面板後的深度為50.74公分，卸下前側面板後的深度為40.66公分，適用的溫度範圍是攝氏-5度到55度，而且前側面板也內建空氣過濾器，能符合電信機房網路設備要求的NEBS Level 3標準，能設置於高落塵、震動大的環境，並且支援機架、壁掛、平放在桌面等設備部署方式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dl145 gen11-compact size.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dl145%20gen11-compact%20size.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dl145 gen11 environment.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dl145%20gen11%20environment.jpg" style="width: 600px;" /></a></p> <p>基本上，這款伺服器的日常運作很安靜，執行繁重工作負載的噪音為40分貝。而且，提供強大運算能力之餘，也具有能源使用效率，可因應企業在分支據點的遠端伺服器部署需求，能大幅節省建置時間與IT人力，讓企業專注在核心業務的推動。</p> <p>值得注意的是，這款主打邊緣運算應用的伺服器，足以支撐128臺虛擬機器的執行，能夠負荷多種企業應用程式的運作，像是資產管理、POS銷售資訊處理、廠區現場環境專屬的資料分析、商業智慧、內容傳遞，以及人工智慧與機器學習的工作負載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dl45 gen11-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dl45%20gen11-overview.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DL145 gen11 meeting room.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL145%20gen11%20meeting%20room.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DL145 gen11-retails.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL145%20gen11-retails.jpg" style="width: 298px;" /></a></p> <p>單就處理器配置而言，DL145搭配單顆代號為Siena的AMD EPYC 8004系列，最多可提供64顆Zen4C高效率核心、128個執行緒，熱設計功耗為200瓦，而且，可支援存取頻寬更大的DDR5-4800記憶體（提供6個插槽，最大能安裝單支128 GB容量的記憶體），以及PCIe 5.0的超高速I/O介面——在機箱前側擴充，最多可安裝3張單寬尺寸的GPU加速卡，目前能搭配Nvidia入門級資料中心GPU產品L4，也能在這3個PCIe插槽當中，安裝GbE、10GbE、10GbE/25GbE網路卡，或儲存控制器MR216i-p Gen11、MR416i-p Gen11；除此之外，這裡也提供1個OCP 3.0插槽，可安裝GbE、10GbE、10GbE/25GbE網路卡，或是儲存控制器MR408i-o Gen11。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dl145 gen11 e3_s-pcie.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dl145%20gen11%20e3_s-pcie.jpg" style="width: 600px;" /></a></p> <p>DL145的儲存裝置搭配也相當獨特，HPE提供兩種儲存槽選擇，一種可安裝2臺2.5吋外形的SATA固態硬碟（單臺裝置的最大儲存容量為3.84 TB）或NVMe固態硬碟（單臺裝置的最大儲存容量為15.36 TB），另一種是搭配6臺E3.S外形的NVMe固態硬碟（單臺裝置的儲存容量為15.36 TB）。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>HPE ProLiant DL145 Gen11</strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U<br /> ●處理器：1顆AMD第四代EPYC 8004系列處理器（最多64核心）<br /> ●記憶體：6個DDR5-4800插槽，最大可安裝到768 GB<br /> ●硬碟容量：2臺2.5吋SATA/NVMe固態硬碟或6臺EDSFF E3.S外形NVMe固態硬碟，最大可安裝到92.16 TB（6 x 15.36 TB）<br /> ●擴充介面：4個PCIe 5.0 x16（2個全高全長，1個全高半長，1個OCP 3.0）<br /> ●電源供應器：1或2臺700瓦、900至1000瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/9/27 12:25作者李宗翰https://www.ithome.com.tw/review/165187
從MLOps到LLMOps，Line臺灣提示工程管理有一套
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了用機器學習（ML）來解決購物推薦問題，Line臺灣也開始擁抱大型語言模型（LLM），來提高工作生產力。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>運用LLM的3大挑戰</strong></span></span></p> <p>在剖析自家LLM實戰經驗前，Line臺灣機器學習工程師李婕瑜先是點出，企業運用LLM提高工作生產力時，所面臨的3大挑戰。</p> <p>首先，企業採用LLM，目的是要提高作業效率，尤其要能即時支援業務應用。這個需求，考驗了企業對LLM的維運管理能力，得要從原本熟悉的機器學習維運（MLOps），進入到大型語言模型維運（LLMOps）領域，學習新的流程整合與團隊協作。</p> <p>再來，穩定性也是一大挑戰。因為，LLM由提示（Prompt）驅動，這些提示以自然語言表達，不像是程式語言有固定、嚴謹的格式。也因此，提示變動靈活，可能多個字、改個字，LLM就會給出截然不同的答案。於是，企業得要做好提示管理，記錄提示版本，才能維持服務穩定。</p> <p>企業運用LLM，還會遇到安全性挑戰。因為這些LLM應用，不只要避免輸出歧視內容，也要符合AI相關法規，滿足透明性、可解釋等原則，像是要能解釋LLM為何給出特定答案等。李婕瑜指出，由於LLM應用場景廣泛，Line不只遵守安全法規，接下來還會多想一步、主動出擊，來尋找工具、確保LLM產出的答案更安全。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>LLM客服案件分類的提示管理</strong></span></span></p> <p>不只上述痛點，李婕瑜也分享，Line實際應用LLM時遇到的2項難題，包括如何審查LLM生成內容，以及LLM調整到什麼程度，才算是夠好。</p> <p>她以Line客服案件分類解釋器為例，Line臺灣本部每天會接收大量的客訴案件，但為釐清案件來優化整體Line服務方向，客服人員得先對案件貼標、分類，包括產品、政策、活動、系統問題、客服營運等類別。</p> <p>在這個專案中，Line想藉助LLM來輔助案件分類，自動產出客訴標籤和整理過的事件原因，來加速客服人員統整需改善之處。</p> <p>但在執行過程中，Line很快遇到了問題。因為LLM提示撰寫的技術門檻低，不只工程師，連業務、PM都能寫，造成提示內容多變，反而影響了LLM的產出和效能，Line甚至用R&R混亂來形容。</p> <p>為解決這個問題，Line採用了名為CO-STAR的提示詞撰寫架構，來切分提示任務。這幾個字母分別代表不同要素，比如C是指情境（Context），也就是在提示中描述任務概況、賦予LLM角色；O則指目標（Objective），即在提示中告知LLM想實現的目標，像是「給出案件類別，並總結案件始末」。</p> <p>再來是S，也就是回覆風格（Style），比如告訴LLM，要以客服身分回答問題。T則是語調（Tone），可以在提示中，要求LLM以溫柔的語調回覆。A則指受眾（Audience）目標，R是輸出的格式（Response），比如「將標籤和案件解釋區分開來」這類描述。</p> <p>有了CO-STAR切分提示任務，接著還要依據專案特性，來對6個提示類型排序，才能發揮效果。這是因為，每項LLM專案有其重點，以客服案件分類為例，C、O、R類提示更為重要。因此，Line將客服案件分類的提示任務，改以CORAST的順序來重排。</p> <p>下一步則是確認CORAST各階段的開發人員和驗收人員，比如在C階段，可由熟悉案件分類和定義的客服人員、業務人員來撰寫。又或是在S、T部分，客服人員有其偏好的風格和語調，因此可擔任驗收人員，開發人員只需專注格式處理及提示撰寫。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>LLM要優化到什麼程度才夠好？</strong></span></span></p> <p>不只如此，這個LLM案件分類專案，還有第2項挑戰，也就是LLM要優化到什麼程度，才算夠好。</p> <p>李婕瑜分析，當POC專案快速建立後，團隊會觀察LLM表現，來決定是否採用其他改善方法，來提高LLM效能。以Line客服案件分類解釋器為例，團隊將準確度作為模型表現評估的指標，要是LLM產出低於60%，意味著模型不清楚提示意思。</p> <p>此時，Line除了考慮常見的檢索增強生成（RAG）、微調等補強手段，還會衡量加入規則式解法、思維鏈（CoT）或少樣本學習等方法，來提高LLM生成準確度。</p> <p>再來，LLM如何才夠好，還與業務團隊的預期有關。意思是，開發團隊需與業務團隊討論，找出合理的初期LLM準確度共識，「最好是定在當前平均表現的正負10%，」李婕瑜建議。</p> <p>接下來，只需控管LLM輸出的內容格式統一，整合至既有服務中，LLM專案就大功告成了。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>可善用開源工具實作LLMOps</strong></span></span></p> <p>不只是提示管理，LLMOps也是應用LLM的一大課題。</p> <p>一般來說，LLM應用流程包括了選擇基礎模型、提示工程、評估結果、改善和最終部署上線。但Line思考，能否將人工需介入的流程，縮短為2步驟，即上傳測試資料、進行提示工程，其他的評估、找出改善空間、決定部署上線等步驟，則由工具自動執行。</p> <p>於是，Line自建一套內部LLM開發管理工具，不少專案都採用。但為了與社群分享這樣的架構，Line找到一款免費開源工具Pezzo，來說明如何建立LLM維運管理平臺。它的好處是，可集中管理不同專案的提示，簡化了提示編輯和版本管理，還能視覺化列出每個開發專案成本，讓使用者一眼掌握LLM專案概況。此外，李婕瑜也推薦開源的ML生命周期管理工具MLflow，因為MLflow也支援提示管理，可記錄不同提示版本表現和差異，兼顧ML和提示管理。</p> <p>有了這些工具，LLM流程流暢許多，比如在Pezzo中編輯提示後，開發者就能建立頁面，來輸入提示樣板後設資料，再讓使用者決定是否要做RAG。若需要，只需上傳所需資料即可，之後透過MLflow自動完成實驗。這些實驗數據，像是提示版本、分數、模型和時間等，最後都會呈現在起初建立的頁面，Line的LLM客服案件分類器也是如此管理。</p> <p>Line實作LLMOps，不單為了管理，還為因應法規（如國科會今年提出的AI基本法草案），來提早應對未來可能面臨的問責機制。因此，他們一方面建立問責制度，另一方面也開始評估，運用LLM檢測生成的廣告文案是否符合法規。李婕瑜舉例說明，廣告文案生成後，先經過禁用字詞掃描，通過後進行第二層審查，納入法規、可用詞與不可宣稱詞規範、Line內部法規，以及RAG連結的內部過往審核結果等資料，來讓LLM參考、判斷，廣告文案合規才會正式採用。這正是Line從LLMOps延伸思考的可行合規應用之一。</p> <p><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"> </span></strong></span></span><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/165216" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><a href="https://www.ithome.com.tw/article/165216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1201-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=51VTAnQL" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/27 12:30作者王若樸https://www.ithome.com.tw/news/165215
如何讓業務團隊信任推薦模型？Line祭出可信任框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一套AI系統不只要能解決商業問題，還要能獲得業務團隊信任且合規。因此，Line臺灣打造一套可信任評估框架，來讓自家模型更強健且可解釋，就算是不懂技術的業務團隊，也能解讀模型。Line購物有套精密的機器學習（ML）推薦系統Brickmaster，就在這個框架下展開。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>可信任含3大元素，鎖定4大推薦流程</strong></span></span></p> <p>這個「可信任」，包含了3項重要元素。Line臺灣電商資料科學家陳峻廷指出，首先是穩健性（Robustness），當購物平臺的商品，帶有誇大推銷說詞時，推薦系統要能夠偵測、剔除這些商品；又或是能辨別、找出有價值的評論，來推薦商品。</p> <p>再來是公平性（Fairness），重點要移除偏差（Bias）。舉例來說，若使用者不小心點擊沒興趣的Line官方帳號內容，這樣的資料，就不能輸入推薦模型，以免推薦錯誤商品給使用者。因此，開發團隊從資料處理下手，移除這類偏差，確保推薦系統的推薦不受干擾。</p> <p>第三個元素是透明性／可解釋性，指的是不論業務團隊還是利害關係人，都能了解ML模型資訊，甚至是特徵、推薦系統如何運作等。「這個元素對資料科學家和機器學習工程師來說很重要，」陳峻廷解釋，透明性／可解釋性能幫助團隊採用更好的微調方法，來降低部署模型的信任風險。</p> <p>陳峻廷指出，這個可信任框架會落實到推薦系統的4個運作階段中，包括資料準備、資料表徵（Representation）、推薦內容生成，到效能評估階段。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>實務解析可信任框架</strong></span></span></p> <p>首先，在資料準備階段，為確保訓練模型的資料乾淨且有效，Line團隊設置可信任資料前處理方法，來過濾原始資料，比如偵測異常資料、移除異常值等。</p> <p>過濾後的資料，就成為可信任的輸入資料，進入第二階段資料表徵處理。由於Line購物推薦系統採雙塔模型，也就是兩套類神經網路，各自處理使用者特徵和商品特徵，再計算兩者嵌入向量的相似度，來從千萬級商品庫中，選出用戶感興趣的推薦商品清單。為確保使用者向量和商品向量的可信任程度，Line設置一套向量品質檢測機制，來檢查模型產生的向量是否達標。</p> <p>下一階段，用模型產生推薦內容時，Line也設置了公平和透明機制，來確保模型推薦的內容，不會偏重某一族群或商品，並同步產出推薦結果解釋，來落實模型透明性。</p> <p>最後則是評估，也是陳峻廷認為最重要的環節。在Line臺灣，可信任評估分為2大方向，一是技術面評估，由電商團隊負責，另一是倫理面評估，如責任和社會影響性評估，則由其他團隊負責。</p> <p>從技術來看，Line還將可信任評估，細分為離線和線上兩種作法。其中，當推薦系統產生新場景時，會先啟動離線評估，來衡量是否合規，通過後再進行線上評估，沒問題才能部署上架。只要其中一類評估沒有合規，就退回檢查模型或特徵工程處理。</p> <p>陳峻廷點出，正因為這些評估機制，ML工程師和資料科學家在演算法的設計階段，會多想一步，盡可能滿足公平透明、可解釋要求，在源頭先做好可信任工作。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>離線評估是實戰前的演練</strong></span></span></p> <p>在兩種評估作法上，離線評估屬於事前的演練。</p> <p>這個離線評估，主要檢視3類對象，包括模型、商業表現和推薦系統整體健康度。模型部分是根據模型性質，如基於準確度或排名，來設置檢驗指標，像是精確度、召回率、NDCG等，來檢測模型能力。</p> <p>商業表現部分則檢視ML演算法，能否反映商業價值，如此才能說服業務團隊接受推薦系統。因此，要評估的面向有留客、新客推薦、收益，各自又有其指標，如點擊率（CTR）、客戶體驗的淨推薦值（NPS）、訂單轉換率（CVR）和商品交易總額（GMV）等。</p> <p>這類商業指標很多，但通常，「我們會設定可快速驗證的指標，如CTR，來確認推薦系統是否可行，」來快速衡量ML系統是否滿足商業問題。</p> <p>至於推薦系統整體健康度，則要檢視推薦系統能否長期運作。因此，檢視指標有推薦內容涵蓋範圍和多樣性，前者是指，推薦商品與全站商品的比重，比如是否只偏重熱門商品；多樣性則是指，推薦內容是否夠多元、而非偏重單一類商品，如只推薦咖啡。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>實戰測驗：線上評估</strong></span></span></p> <p>「離線評估若是打怪練習等，線上評估就是實戰實打，是最重要且直接的方式，測試推薦系統是否正確。」陳峻廷進一步解釋，線上評估像是一場AB測試，包含8個步驟，第一步是設置目標，該目標要明確易懂，比如新演算法是否比上一代好。接著是設置指標，找出合適的驗證指標，如點擊率、留客率、訂單轉換率等，正式採用前，還要進行AA測試，來驗證指標上線後的衡量效度。訂妥指標後，接著要決定實驗單位，比如以使用者ID當作最小實驗單位。</p> <p>下一步是預估採樣大小，可透過數據分析指標α、Power、Variance等來設定採樣大小。陳峻廷提醒，這個階段要留意最小成功指標，比如新演算法的點擊率最少要比舊方法高出2%，才能算成功。</p> <p>採樣預估完成後，進入隨機分組階段，將流量隨機分配到實驗組和對照組，各50%，來觀察新舊方法表現。陳峻廷表示，這個階段要注意兩組的獨立性，否則會評估失效。</p> <p>最後還有幾個步驟，包括估算時間、展開活動和結果測試。以上這8個步驟就是Line推薦模型所用的線上評估方法。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>如何解決線上評估的實務挑戰</strong></span></span></p> <p>發展這套線上評估的過程中，Line團隊曾遇過不少實務挑戰。陳峻廷舉例，實驗結果差異性不顯著就是一大挑戰，有兩種可能原因，一是新方法確實不好，二是有差異但不夠顯著，可透過擴大資料集規模來觀察，或是降低指標變異數，比如替換相似但變異數較小的指標，或是進行傾向分數配對（PSM）分析。</p> <p>另一個實務問題是樣本比率偏差（SRM），也就是AB測試時，若後端或API出現問題，導致組別數字差異越來越大，進而出現辛普森悖論，即分組數據和整體數據呈現相反趨勢，造成實驗失效。</p> <p>還有一項挑戰是新奇效應（Novelty effect），較常發生在業務場景，比如一個新的使用者介面，剛推出時成功吸引到使用者目光，一直點擊使用，但長期下來，效果趨於平緩，甚至不如剛上線時。這情況也可能相反，比如新功能上線初期可能不受喜愛，但用戶群忠實度高、最終還是會使用，長期下來，商業指標會是上升。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>LLM也能用來解釋模型</strong></span></span></p> <p>近年風生水起的大型語言模型（LLM），Line也積極用這項技術，來強化購物推薦系統的可信任程度。</p> <p>第一個LLM應用場景是特徵工程，工程師對LLM下提示，要求執行字符化（Tokenization）工作。陳峻廷指出，這個作法很有效，可幫助Line更好地萃取商品規格等關鍵資訊、加速後續向量生成，甚至比原本的BERT模型方法還要好。為了驗證這些向量的品質，他們採取探測（Probing）方式，從推薦系統的雙塔模型，設計探針來取得使用者向量和商品向量，再以RankMe等指標來評估向量品質。</p> <p>另一個使用LLM的地方是雙塔模型的解釋，比如將使用者特徵和商品特徵分別輸入LLM，再進行分數和解釋設定，就能得出結果，以此來驗證推薦系統。這就是Line以LLM強化可解釋性的作法。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/165216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/article/165216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1201-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=51VTAnQL" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/27 12:30作者王若樸https://www.ithome.com.tw/news/165214
從商業問題到落地應用，Line靠六階段方法論打造ML應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每一項ML系統，都是因一個商業問題而存在，這正是Line購物大力擁抱AI的目標，他們最關鍵的商業問題是提升銷售額，而機器學習團隊的任務，就是想辦法用ML來提高銷售額。</p> <p>不過，從商業問題出發，到落地成為一支AI應用，Line開發團隊有一套自己的方法論，這是一套涵蓋了整個機器學習（ML）生命周期的開發流程，從定義問題、將問題轉為ML問題、建模、執行AB測試、評估和決策等環節。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用ML方法解決商業問題</strong></span></span></p> <p>Line機器學習工程師黃昱睿指出，團隊接到商業需求時，先從定義問題開始，以提升銷售額的需求為例，考量了設計新產品、推行折價券和提高用戶體驗等3種實現策略，最終選擇ML可行性最高的第三種。</p> <p>那麼，如何利用ML方法，來兼顧獲利（即訂單成交量）與用戶體驗，開發團隊從Line購物使用者旅程找切入點。由於Line購物屬於導購平臺，專門提供商品、文章等頁面，來導引顧客到商品店家平臺，同時在過程中提供點數優惠或回饋，因此用戶購物旅程會經歷：頁面瀏覽、點擊有興趣的商品／商店／文章、頁面跳轉至商家商品、最終下單。</p> <p>在這段旅程中，Line鎖定下單前的「點擊有興趣商品」，作為ML問題切入點。也就是說，Line要預測使用者有興趣的商品，並在對的時間推薦給他們，來提高點擊率。</p> <p>為進一步將這個概念轉換為可行的ML方法，Line團隊先進行2個資料面分析。首先是推薦時間點，若鎖定使用者操作「當下」想購買的商品，就得依據使用者過去購買的資料來訓練模型，好讓模型預測有興趣的商品。但這類資料量少，會造成模型過度學習，進而影響推薦效果和使用者體驗。</p> <p>另一個考量是，模型要根據點擊次數來推薦商品，還是用戶「會點擊」的商品來推薦？也就是說，這個推薦模型該採用回歸模型，還是分類模型。</p> <p>「我們最後選擇分類模型，」黃昱睿解釋，電商場景中，通常有群重度使用者，他們的熱門商品點擊率和消費額遠大於一般用戶，因此以點擊次數來推薦商品，就會過於偏頗。</p> <p>於是，團隊將ML問題調整為「使用者未來幾天會點擊的商品」，不只能解決因資料稀疏、模型過度學習的問題，還能提前秀出使用者想要的商品，優化使用者體驗。</p> <p>這就是Line團隊將商業問題，轉換為ML問題的過程。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建模靠5步驟，完成還得不斷迭代</strong></span></span></p> <p>有了ML問題，接下來就是建模。建模一般有5個步驟，包括特徵工程、整合模型資料、模型訓練、模型推論，以及離線評估。</p> <p>在特徵工程階段，Line認為，頁面瀏覽、點擊和下單這類使用者行為，是決定點擊購買商品的關鍵。但光有這些特徵還不夠，還得與其他特徵做交叉群組計算，比如，年齡30歲至40歲點擊網站的次數，交叉比對年齡30歲至40歲且是男性、點擊該網站的次數，又或是再交叉比對其他屬性。</p> <p>多了這些資訊，就能協助團隊更準確觀察，使用者在特定時間是否會點擊該商品。尤其，黃昱睿點出，這種交叉計算資訊，可以補足同一個特徵未必持續有效的缺陷。完成特徵工程後，就可以進行模型資料的整合，準備進入訓練模型的階段。</p> <p>不同模型的訓練方式各有不同，但黃昱睿點出，模型訓練有2個常見要點，包括各項指標需與基準相比，以及比較多組模型成效。其中，這個基準可以是人工方法，也可以是傳統統計方法，ML工程師得觀察採用模型後，指標表現是否逐步提升。</p> <p>在推論部分，因Line購物推薦模型，主要比對使用者嵌入向量和商品嵌入向量的相關性來推薦，進行推論時得同時考慮向量大小和推論時間。</p> <p>「向量小、維度低，資料量少，推論速度快，」黃昱睿解釋，向量大則相反，因此如何拿捏向量大小與推論時間，得看應用場景和準確度等其他資料來決定。</p> <p>最後則是離線評估，就像是模型的「模擬考」，來確認模型學習成效，以及是否太貼近訓練資料、難以因應新資訊等問題。</p> <p>這就是Line購物推薦模型的建模5步驟。不過，一套模型得要多次執行這些步驟、不斷迭代，才能達到真正可用程度。因此黃昱睿表示，善用YAML配置檔輔助，可加速這個過程，節省工程師手動設置時間。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AB測試有4要點</strong></span></span></p> <p>接下來就是AB測試環節。在這個階段，Line團隊會將模型新作法和舊作法分為實驗組和對照組，來處理使用者或瀏覽記錄資訊，比較兩種作法的推薦成效。</p> <p>黃昱睿提醒有4個AB測試的基本概念，包括使用者要均勻分布，如隨機分組就是一種方法。再來，在同個實驗中，使用者組別要固定，比如在一段時間內，登入網站的同一位使用者，都要固定在A組。</p> <p>第三，若同個實驗中，實驗比率增加，如實驗範圍從10%擴大至20%時，實驗組的成員不變，即不能重新分組。最後，由於推薦系統屬於線上應用場景，因此測試時，要確保API也能高效率執行。</p> <p>每次AB測試時，Line還會為每次輸入的瀏覽記錄，貼上一個標籤（Tag），儲存至資料庫後，可進行後續分析。同理，他們也會在每次的瀏覽記錄中，加入一些資訊，比如這次實驗的唯一代碼，方便後續做不同實驗的比較。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>評估帶來的ML省思</strong></span></span></p> <p>有了實驗組和對照組後，就進入黃昱睿認為ML生命周期中「最重要的」階段：評估。在這個階段，Line關注的評估指標有ML指標和商業指標，如ML的精確度、平均排名倒數，或是商業的點擊率、轉化率、交易轉量等，不只能讓非技術的高層主管理解ML效益，也能衡量ML是否解決了商業問題。</p> <p>黃昱睿接著說明，要是評估發現ML指標表現亮眼，但商業指標沒有起色，這可能意味著，「原本定義的ML問題，沒有打中要害。」</p> <p>他以自己多年前的一項Email行銷專案為例，他與團隊打造一套ML模型，來預測使用者是否點擊Email內容。</p> <p>當時評估發現，模型預測精確度很高，但購買率還是很低。這是因為，當初團隊開發模型，只考量使用者是否點擊，並未納入後續的購買、成交等消費行為，這時就得回過頭去定義問題。</p> <p>不只如此，黃昱睿在後來一次次的評估中，觀察到推薦模型的特徵相關性，與原本想像的特徵，有很大的不同。</p> <p>Line購物推薦模型是用來預測使用者會點擊的商品，照常理來說，點擊行為應該是推薦成功與否，最相關的特徵。但他後來發現，並非如此，因為點擊並不是使用者完全主動的行為，而是網站先呈現內容，使用者才能點擊。「主動搜尋，才是相關性最高的特徵。」他坦言。也因此，Line後來強化購物推薦模型時，打算納入更多與搜尋相關的特徵。</p> <p>黃昱睿建議，開發者在建置推薦模型前，可先分析主動事件和被動事件，再找尋相關特徵，如此打造的推薦模型，效果會更好。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>上線後需監控ML效能與商業指標</strong></span></span></p> <p>推薦模型經評估可行、正式部署上線後，Line團隊還有套監控機制，時時把關模型效能。</p> <p>監控指標不只有特徵、ML效能指標，還要有商業指標，比如訂單量、點擊率，才能找出問題和改進方法。比如，使用者每天的商品點擊率遞減，團隊可從該商業指標發現問題，順藤摸瓜找出推薦模型效能逐步下降原因，介入調整。</p> <p>黃昱睿點出，理想的推薦系統生命周期，應該由ML工程師和產品負責人一起合作維護。「有時候推薦效果不好，不只是推薦的原因，」他舉例，曾經做過流失分析，就算對流失使用者發送優惠券，使用者仍不買單。這時，就需要ML工程師與產品負責人共同討論，比如重新設計或重新建模，來提高推薦成功率。</p> <p>「最理想的狀況是，工程師、產品負責人，甚至是企業中更多組織加入這整個ML生命周期，就能做出更完整的產品或服務，」他總結。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/165216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/article/165216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1201-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=51VTAnQL" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/27 12:30作者王若樸https://www.ithome.com.tw/news/165213
Line如何萬中選一精準推薦，購物平臺關鍵技術大剖析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「在數百萬到數千萬的商品中，如何快速找到用戶有興趣的商品，推薦給他們？」Line臺灣機器學習工程師黃耀慶這句話，點出推薦系統對Line購物的重要性和挑戰。</p> <p>Line購物是一個導購平臺，就像是消費者與店家的橋樑，將使用者導向成千上萬款商品各自的品牌商網站、電商平臺上的商品網頁。為了提高銷售量，得想辦法從百萬、甚至是千萬量級的商品數量，迅速找出使用者有興趣的幾個商品，推薦給他們。</p> <p>為此，Line團隊發展出一套高度個人化的購物推薦系統，光是推薦情境模組就有20多種，比如個人化文章推薦、降價商品推薦、搜尋關鍵字推薦，又或是類似商品推薦等。這套以機器學習驅動的核心推薦系統叫做Brickmaster，在2022年正式啟用。</p> <p>Line臺灣如何設計它，來因應多情境和海底撈針般的精準推薦挑戰？多位Line臺灣開發團隊成員，在Hello World開發者大會上揭露了背後的挑戰和開發經驗。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>分3階段打造精準推薦系統</strong></span></span></p> <p>首先，開發團隊將Line購物導購的推薦流程，切分為3大階段，一方面提高推薦精準度，又能整合不同消費者行為和業務考量的需求。</p> <p>第一步是「檢索（Retrieval）」，從包含千萬個商品的資料庫中，撈出數百個使用者可能感興趣的商品。接著是「排名（Ranking）」，根據使用者行為，將第一階段撈出的上百個候選推薦商品，縮小至數十個商品。</p> <p>最後是「重新排名（Re-rank）」，這是用來結合各種商業邏輯（如促銷活動、節日活動和商品獲益）、商品新鮮度和商品多樣性的考量，來調整候選推薦商品。完成這些階段後，系統可以產生一份用來吸引顧客的推薦商品清單。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>階段1：檢索</strong></span></span></p> <p>黃耀慶指出，與全站商品相比，使用者有興趣、會點擊的商品，幾乎只占了全站商品的「0.001%」想要從龐大的商品中，找出這麼少的目標商品，正是第一步，檢索階段的嚴峻挑戰。</p> <p>為快速從巨量商品中，找出使用者感有興趣的商品，Line採用推薦領域中經典的雙塔模型方法。這個雙塔模型可分為使用者塔（User tower）和商品塔（Item tower），兩個塔各為一套多層的類神經網路。</p> <p>其中，使用者塔用來處理使用者特徵，得到使用者的嵌入向量。商品塔則用於處理商品特徵，產出商品嵌入向量。這雙塔產出的使用者向量和商品向量，再經過內積運算，進行使用者－商品向量的相似度搜尋，經運算最終得到目標答案，也就是使用者有興趣點擊的商品清單。</p> <p>為讓模型精準產出使用者向量和商品向量，得先進行特徵工程。Line將雙塔模型所需的特徵分為兩種，即檔案和行為，比如在使用者特徵部分，就有使用者檔案（如基本資料）和使用者行為（如點擊次數、點擊品項），在商品特徵部分，則是商品檔案和商品行為，如商品名稱、ID、價格，以及同一商品被不同性別購買的次數、商品與不同族群的互動關係等。</p> <p>這些特徵涵蓋數值、類別和文字等3種類型，Line對這些類型特徵，各有其處理方式。比如針對數值型特徵進行標準化（Normalization），來縮小數值範圍、好讓類神經網路學習；又或是使用威爾遜得分區間（Wilson Score Interval），來減少數值的偏差。</p> <p>對於類別型特徵，也有幾種常見的處理方式，像是將商品品項轉換為數字編碼的獨熱編碼方法、確保順序邏輯的序數編碼等。文字型特徵則以BERT編碼來處理。</p> <p>在實務上，Line將雙塔模型拆為2種運作模式，商品塔採取離線處理，使用者塔則靠線上處理。這是因為，商品行為的改變頻率較低，但使用者喜好變動快速，模型得在短時間內處理，才能篩選出最貼近需求的商品。</p> <p>不只可以利用使用者與商品的相似度，來尋找推薦商品，也可以利用使用者最近喜歡的商品清單，來尋找更多使用者感興趣的同一類商品。這是Line購物在檢索階段，會使用的另一種商品相似度搜尋（Item to item）作法，一樣採用雙塔模型方法，只是將其中一塔改為使用者最近喜歡的商品，另一塔則是商品庫商品，透過比對使用者最近喜歡的商品特徵，以及商品庫商品最新特徵，來找出用戶可能有興趣的商品。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>階段2：排名</strong></span></span></p> <p>經過檢索階段，可以從上千萬個商品中，篩選出幾百個使用者感興趣的商品了。但這個數量還是太多，接下來藉由排名作法，找出優先推薦的項目。</p> <p>Line會根據使用者在Line購物「推薦版位」（比如夯話題）上的行為，推測使用者感興趣的濃厚程度，來排列候選推薦商品的順序。這可以想像為，另一種縮小推薦商品範圍的方法。</p> <p>在這個階段，Line團隊一樣採用類神經網路，來計算在推薦版位，使用者會點擊的商品。排名模型所處理的特徵有3種，包括使用者特徵、商品特徵，以及使用者－商品特徵（比如用戶對商品的點擊或購買次數）。</p> <p>在實務上，為支援龐大的運算需求，Line採用開源大數據處理工具PySpark，以分散式運算來執行排名模型的推論工作。這一步，就像是將原本一臺機器100秒才能完成的工作，分散給100臺機器處理，1秒就能完成該工作。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>階段3：再排名</strong></span></span></p> <p>完成第二階段的排名工作，篩選出使用者最有興趣到一般有興趣的商品排序後，還需要進行最後一步的調整，才推薦給使用者。</p> <p>調整條件可分為三類，包括商品多樣性、商品新鮮度和商業邏輯。進一步來說，商品多樣性是指，推薦商品要包含不同類型的商品，而不是前10名都推同一類型商品給用戶，比如滑鼠。</p> <p>就商品新鮮度而言，顧名思義是盡量推薦較新的商品給用戶。不過，新上架的商品缺乏足夠的資料，難以靠模型學習來篩選。於是，Line團隊改以規則式方法，讓新上架的商品，也能納入推薦商品名單內，來增加曝光度。於是，Line團隊改以規則式方法，將新上架的商品納入推薦商品名單內，來增加曝光度。這麼做，短期內點擊率雖會下降，但長期而言，有益於推薦系統發展。</p> <p>這是因為，當使用者接收到的推薦商品，都來自自己認知範圍內，久而久之容易膩。而保留流量給新品推薦，不只能讓使用者探索興趣，也能曝光新品、累積資料，利於後續模型訓練和推薦。</p> <p>最後的商業邏輯，則是指推薦商品要符合促銷活動、節假日活動或商品獲益考量。比如父親節時，提高當時時令禮品的權重。</p> <p>至此，「檢索」、「排名」、「再排名」這三大階段，構成了Line購物推薦系統的核心流程。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>善用開源技術提高模型處理效率</strong></span></span></p> <p>由於商品庫和用戶數量龐大，模型必須處理成千上萬個特徵，需要大量運算處理。因此，除了分散式處理特徵工程的PySpark，Line團隊還借助一些開源工具，來提高作業效率和各階段任務管理。</p> <p>這包括用來支援模型分散式訓練的數據函式庫Petastorm，用來管理和追蹤模型實驗成效的MLflow，能將PyTorch模型訓練程式碼模組化的PyTorch Lighting，以及視覺化管理模型訓練排程的Airflow。</p> <p>這些工具相互搭配，而且缺一不可。比如，PySpark借助多臺機器資源，來分散式執行Line購物商品和使用者特徵工程，Petastorm能快速打散Line購物累積的巨量資料並讀取，MLflow則用來追蹤推薦模型表現，比如實驗中哪些模型超參數效果最好，而PyTorch Lighning除了能將模型訓練模組化，還能簡潔記錄推薦模型資訊等。這些工具也是Line購物打造出超強推薦系統的關鍵。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/165216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/article/165216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1201-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=51VTAnQL" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/27 12:30作者王若樸https://www.ithome.com.tw/news/165212
Line購物推薦系統大剖析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1201-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=51VTAnQL" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>作為串接消費者和店家的導購平臺，Line購物營運全靠商品推薦。不只自建一套ML推薦系統，能從上千萬款商品中，找出0.001%高度吸引顧客的商品。還發展出可信任框架，確保模型公平、透明可解釋，讓業務團隊放心信任模型。現在更開始擁抱LLM來提高生產力。</p> </div></div></div>
2024/9/27 12:31作者王若樸https://www.ithome.com.tw/article/165216
臺灣AI人才缺口年增7%，臺灣人工智慧學校年底前開辦工程級AI認證，要吸引技術和非技術人培養AI場域問題解決能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣人工智慧學校從去年第四季展開全民AI素養的推動計畫，也開始提供AI人才分級認證，臺灣人工智慧學校校務長蔡明順在今年AI年會上揭露了推動臺灣AI人才培育的成果，他也預告今年底前將開辦工程級認證AITCE。</p> <p>他以波特五力分析來剖析一個國家要發展AI，需要有腦力、算力、電力、財力和數據力，其中，腦力指需要擁有更多高素質的AI人才。他觀察，早在2017年，臺灣就開始討論AI人才的缺口，但是因為生成式AI的浪潮，現在大家開始焦慮。</p> <p>根據臺灣人工智慧學校盤點，臺灣AI職缺目前每個月大概有2.9萬個職缺，最缺AI人才的產業包括了電子資訊業、軟體業、半導體業和傳產製造，光是這四個產業的職缺需求，就占了近9成，高達2.5萬個職缺，其他產業，如文法商、金融、批發零售、設計和服務產業的職缺約占13%。</p> <p>儘管政府也展開提前人才布局，例如經濟部計畫到2028年要訓練20萬名AI人才。但蔡明順指出，臺灣AI人才缺口，不論數量或是素質都不足，這股AI人才需求還會持續增加，他預估每年職缺數將增加約7%。</p> <p>臺灣人工智慧學校在去年年會宣布了AI人才分級認證計畫，將推出三個等級的AI人才認證，包括了素養級認證AITCL，工程級認證AITCE和管理及認證AITCM。</p> <p>AITCL認證用來評估是否具備基本的AI素養，像是AI基礎知識，生成式AI使用、倫理和規範等。AITCE工程級認證則要用來評估，是否具備了程式設計基礎能力、資料處理分析、機器學習和深度學習演算法和應用能力，更重要的是能否用這些技術來動手解決場域的問題。最後一項管理級認證AITCM則要用來衡量，是否有能力在實際情境中建立安全、效能優良的AI系統，要具備AI安全、AI資安、AI策略、架構設計和AI倫理的知識，也要具備管理治理能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E4%BA%BA%E6%89%8D%E4%B8%89%E7%B4%9A%E8%AA%8D%E8%AD%89.jpeg" /></p> <p>素養級認證AITCL已經在今年7月正式開辦，測驗範圍包括了9大項，像是人工智慧概念、機器學習和深度學習、遷移學習、聯邦學習、雲端運算、邊緣運算、AI輔助數位孿生、生成式AI和人工智慧安全，針對這些不同類型AI的概念理解應用為主的測驗為主。統計到今年9月，已有110家企業參與素養級認證，240人通過取得認證，目前的通過率約93%。臺灣人工智慧學校今年積極舉辦不同主題的產業工作坊，也在今年第二季開放素養認證實作班，來提高有意考證者的能力。</p> <p>蔡明順表示，工程級認證AITCE預計於今年年底前開辦，不只想培養更多技術型工程師，也希望可以吸引更多非技術人員也能具備工程級的AI能力。在正式開辦認證前，他們也會找來試用企業，讓他們派員參與測試，驗證這些認證測驗的效度。至於第三級的管理級認證AITCM，目前規畫於明年上半年開辦。</p> <p>下一步，蔡明順表示，人工智慧學校百工百業推動策略，準備往次系統，準系統領域發展，讓成熟系統可以落地，也將分重點型產業和高衝擊職能兩大領域來推動。</p> <p>他也提出8項值得關注的AI進展和挑戰，尤其像是AI Safety議題發展，治理與安全成為先進國家爭取話語權的手段，而推動全民AI素養和AI人才的識別與認證，有助於加速產業與政府AI化。</p> </div></div></div>
2024/9/27 12:50作者王宏仁https://www.ithome.com.tw/news/165223
GAI品管是門新技藝
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年看到的GAI浪潮，開始跟去年有很大的不同，臺灣企業不再擔心生成式AI的幻覺風險，轉為正面思考，想辦法找出最適合生成式AI發揮的場景。</p> <p>GAI浪潮關注焦點的轉向，不只臺灣，國外也是如此，許多企業不再一昧追逐大型語言模型的規格和效能比較，轉而更聚焦於尋找有高價值效益比的應用場景。</p> <p>科技巨頭依舊不斷推出更強大的LLM模型和GAI產品，但光是基礎的GAI開發工具和框架，已經可以讓企業進行各式各樣的驗證，甚至打造正式服務。<a href="https://www.ithome.com.tw/article/164014" target="_blank"><span style="color:#3333ff;">我們年初的CIO大調查顯示</span></a>，3成臺灣大型企業積極投入GAI的POC驗證，今年可說是企業GAI的POC之年。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/164014" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GAI%E5%B0%81%E9%9D%A2p2-%E8%A1%9D%E6%93%8A-600-3-PNG.png" style="width: 600px;" /></a></p> <p>最近一個月，我更拜訪不少企業，採訪他們嘗試生成式AI應用的成果。不約而同，他們都看上了提示工程的威力，不需要太多軟體開發知識，連非技術人員也能運用提示命令，打造出很有生產力的GAI應用。</p> <p>有家醫學中心就打造出多款不同特定用途的GAI助手，從護士、醫生、藥師到營養師，都因此改善了特定繁瑣工作的效率，省下了不少時間，例如他們用GAI生成護理病摘的草稿，幫日班護士整理一整天所有負責病人的照護摘要紀錄，再由真人護士確認後才存檔，就縮短了不少交班的時間。</p> <p>光是在7月，全院超過5萬人次使用，使用人次在半年內翻了一倍，這家醫院的醫事人員真的感受到這些GAI助手的效益，越來越願意在工作流程中使用。</p> <p>讓我驚訝的是，不只是用量的倍增，而是結合了提示工程、HIS系統串接和簡單程式碼處理之後，可以讓GAI產出內容中的數字，統計到7月為止，一次都沒有出錯。不論是病摘中提到的病人身體狀況，診療數據，服藥紀錄，檢驗結果數據，都沒有出錯。甚至，他們幾乎靠提示工程，就能做到大部分的效果。他們的經驗，打破了我對生成式AI的擔心，有方法可以做到高度的準確性。</p> <p>另外有兩家金控的GAI開發成果，也開始展現出效益，不只找到有價值效益的內部場景，其中一家還將GAI用於對外正式服務。</p> <p>Line臺灣則有多位工程師在我們剛結束的Hello World開發者大會上，分享了打造購物平臺背後推薦系統的關鍵，也提到在傳統ML的特徵工程階段，用LLM來幫忙萃取商品規格等關鍵資訊，或是用LLM來強化對ML的可解釋性。這是iThome 1201期<a href="https://www.ithome.com.tw/article/165216" target="_blank"><span style="color:#3333ff;">封面故事「Line購物推薦系統大剖析」</span></a>的亮點之一。</p> <p>不過，這些企業也都提到，提示工程對於傳統軟體開發流程帶來很大衝擊，甚至有時候會扭轉開發人員在GAI專案中的角色。</p> <p>因為提示工程的門檻很低，人人都可以下指令，但只要指令稍有增減，也會產生不一樣的生成結果，需要反覆檢查，來確保生成內容的品質。再加上這些LLM生成的結果，高度貼近業務場景，需要領域知識豐富的資深業務或使用者，才有能力判斷好壞，有時只靠IT都無法辨識。這就導致，IT需要與業務人員來來回回，反覆驗證LLM生成的結果，互動次數遠高於敏捷開發的頻率，甚至有資訊主管認為，在生成式AI應用開發中，業務人員才是開發的主角。如何讓忙碌的業務老手，加入開發流程，分擔起開發責任，是一大挑戰，光是找到非技術人員也擅長的測試案例溝通工具，就不好挑選。</p> <p>若是更複雜的情況，專案中的不同角色，業務單位、PM、開發成員，人人都能自己手動修改提示，更容易讓LLM生成結果的品質上下波動、時好時差。</p> <p>針對這個新挑戰，每家企業各自發展出他們自己一套GAI開發和提示工程管理作法，有的靠熱情的資深使用者，發揮工人智慧的彈性，有的則調整IT與業務的協作方式，還有想要大規模應用的企業則是建立標準化的品管測試流程，或像Line則善用開源工具建立LLMOps管理平臺。</p> <p>這些作法雖然不同，都是依據各自GAI應用情境、效益期待、人才和軟硬體資源而衍生的好方法，都值得想要運用GAI的企業參考。他們各自發展出適合他們自己的GAI品管作法，不只是借重技術，甚至是需要講究運用的藝術。</p> <p>但最重要的是，從這些GAI先行者企業的實戰經驗，可以看到，生成結果的品質控管，將是打造GAI應用的關鍵課題。GAI品管，也將是企業IT需要學習、鍛鍊的新技藝。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/165216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/article/165216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1201-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=51VTAnQL" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/line">Line</a></div><div class="field-item odd"><a href="/tags/%E6%8E%A8%E8%96%A6%E7%B3%BB%E7%B5%B1">推薦系統</a></div><div class="field-item even"><a href="/tags/line%E8%B3%BC%E7%89%A9">Line購物</a></div><div class="field-item odd"><a href="/tags/%E6%8F%90%E7%A4%BA%E7%AE%A1%E7%90%86">提示管理</a></div><div class="field-item even"><a href="/tags/%E6%8F%90%E7%A4%BA%E5%B7%A5%E7%A8%8B">提示工程</a></div><div class="field-item odd"><a href="/tags/llm">LLM</a></div><div class="field-item even"><a href="/tags/%E8%AA%9E%E8%A8%80%E6%A8%A1%E5%9E%8B">語言模型</a></div><div class="field-item odd"><a href="/tags/llmops">LLMOps</a></div></div></div>
2024/9/27 13:11作者王宏仁https://www.ithome.com.tw/voice/165218
Automattic與WP Engine撕破臉，禁止WP Engine存取WordPress資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發WordPress的Automattic與提供WordPress代管服務的WP Engine，在本周四（9/26）正式撕破臉了，當天<a href="http://wordpress.org/news/2024/09/wp-engine-banned/" target="_blank">Automattic</a><a href="https://wordpress.org/news/2024/09/wp-engine-banned/" target="_blank">宣布</a>禁止WP Engine存取WordPress.org，意謂著由WP Engine代管的WordPress用戶，將無法直接自後臺系統執行更新或安裝WordPress主題與外掛程式。WP Engine則<a href="https://x.com/wpengine/status/1839246341660119287" target="_blank">批評</a>Automattic執行長Matt Mullenweg濫用了他對WordPress的控制權。</p> <p>Mullenweg不滿WP Engine已經很久了，他在9月21日發表<a href="https://wordpress.org/news/2024/09/wp-engine/" target="_blank">一篇文章</a>，宣稱WP Engine的行銷及廣告都令人誤以為該公司是WordPress的官方供應商，但在2018年收購WP Engine的私募股權公司Silver Lake，就算每年藉由WordPress創造5億美元的收入，但每周<a href="https://wordpress.org/five-for-the-future/pledge/wp-engine/" target="_blank">對WordPress專案的回饋</a>只有40小時，與其規模相當的Automattic，每周回饋時數高達3,988小時。</p> <p>此外，WordPress有一個Revisions修正功能，它會記錄使用者對文章或頁面的每一次更新，如同維基百科（Wikipedia），但WP Engine卻把它關閉了。Mullenweg認為，這是保護用戶資料的核心功能，WP Engine則為了節省成本而關閉了該功能。</p> <p>WP Engine宣稱自己是第一名的WordPress平臺，主要提供企業解決方案、工具及服務，已代管120萬個WordPress網站。<a href="https://x.com/wpengine/status/1838289970169287141" target="_blank">該公司反駁</a>Mullenweg的說法，認為WordPress的生態系統早就遠遠超過了核心的開源專案，他們自豪於對該系統的廣泛貢獻，相關攻擊是不真實的。</p> <p>雙方還互相寄送停終（Cease and Desist）信件，Automattic在23日要求WP Engine不得再未經授權使用WordPress與WooCommerce商標；WP Engine則在24日要求Automattic與Mullenweg停止並撤回對WP Engine的不實指控及有害言論；接著Automattic便在26日封鎖了WP Engine存取WordPress.org的能力。</p> <p>WordPress.org提供了免費的WordPress程式碼、主題、外掛程式，以及自動化的功能與安全更新，遭到封鎖的WP Engine<a href="https://wpenginestatus.com/incidents/640187" target="_blank">向用戶解釋</a>，這代表使用者無法再透過WP Admin安裝或更新主題及外掛程式，現階段對網站的效能、可靠或安全性並無影響，也不會危及使用者更新內容或程式碼。</p> <p class="rtecenter"><a href="http://wpenginestatus.com/incidents/640187" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0927-WP%20engine-Plugin%20and%20Theme%20Update%20Restrictions.png" style="width: 600px;" /></a></p> <p>造成騷動的Mullenweg透過<a href="https://ma.tt/2024/09/wordpress-engine/" target="_blank">另一篇文章</a>解釋了他的態度，指出WP Engine侵犯了 WordPress的商標，且Automattic長期以來一直試圖與WP Engine達成授權協議，但對方一直在敷衍，然後WP Engine便越過了底線。</p> <p>Mullenweg說，他們希望WP Engine支付授權費，或是對開源專案作出實際的貢獻，任何從開源專案賺進數億美元的企業都應該有所回饋，倘若企業不願意，那麼就不能使用相關的商標。WP Engine可以去找另一個採用授權更寬鬆且沒有商標的開源專案，若企圖自WordPress社群中受惠，便需尊重WordPress的商標與IP。</p> <p>一名WordPress核心開發人員<a href="https://www.reddit.com/r/Wordpress/comments/1fpeqn2/plugin_repository_inaccessible_to_wp_engine/" target="_blank">在Reddit上透露</a>，Mullenweg在行動前並未與WordPress貢獻者社群溝通，該社群目前陷入了巨大的沈默，並密切關注事件的發展。</p> </div></div></div>
2024/9/27 11:57作者陳曉莉https://www.ithome.com.tw/news/165222
Firefox被控侵犯用戶隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非營利的歐洲數位人權中心None of Your Business（NOYB）本周向奧地利資料保護機構<a href="https://noyb.eu/en/firefox-tracks-you-privacy-preserving-feature" target="_blank">（DSB）投訴</a>，指控Mozilla在Firefox瀏覽器中內建的隱私保護歸因（Privacy Preserving Attribution，PPA）在未取得使用者同意之前，便預設啟用，違反《歐盟通用資料保護規則》（GDPR）。</p> <p>Mozilla是在今年7月釋出的Firefox 128開始<a href="https://support.mozilla.org/en-US/kb/privacy-preserving-attribution" target="_blank">實驗PPA</a>，以替廣告主衡量廣告效果。它讓Firefox掌控歸因過程，捨去傳統的跨站追蹤技術，宣稱可減少廣告主對用戶行為的監控；例如當網站顯示廣告時，Firefox會記錄該廣告的印象，若用戶之後造訪廣告目標網站並執行諸如購買商品等重要動作，Firefox即會生成加密報告，再藉由分散式聚合協定（DAP）將結果匿名提交，廣告主只會收到匯總報告，無法辨識個別使用者的行為。</p> <p>NOYB認為，Mozilla企圖在不於各個網站蒐集個人資料的情況下衡量廣告效果，但事實上，有部分的追蹤能力直接轉移到Firefox上，雖然相較於在美國常見的無限追蹤，PPA的侵入性較小，但根據GDPR，它依然侵犯了使用者的權利，因為它並沒有取得使用者的明確同意。</p> <p>令NOYB更惱怒的是，Mozilla效能團隊的技術主管<a href="https://mastodon.social/@Schouten_B/112784434152717689" target="_blank">Bas Schouten在解釋</a>為何預設便啟用PPA，而非讓使用者主動加入（Opt-In）時，認為只有使用者可以作出明智決定時，Opt-In選項才有意義，因為要解釋PPA這樣的系統太難了，一個容易發現的退出（Opt-Out）選項再加上部落格的說明文章才是正確的。Schouten的態度等於是把大多數使用者都當作笨蛋。</p> <p>NOYB要求奧地利的DSB調查此事，命令Mozilla當主動告知用戶其資料處理活動，以讓使用者能夠方便地切換到Opt-In選系統，而Mozilla也應刪除所有非法取得的資料。</p> </div></div></div>
2024/9/27 10:14作者陳曉莉https://www.ithome.com.tw/news/165219
【專訪金管會綜規處處長胡則華】剖析金管會五大金融科技政策，關鍵推手揭更多執行細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年七月，金管會主委彭金隆提出了新的五大金融科技施政方向，涵蓋近20項措施。「會盡快落實法規，在市場上推出相關措施，協助臺灣金融科技發展。」彭金隆強調。</p> <p>彭金隆當時表示，這五項沒有涵蓋到所有的金融科技政策，而是彙整各方意見，找出金融業現階段迫切需要的方向，包括了擴大容錯空間加大創新領域、鼓勵金融業者團體合作研發技術、探索金融科技發展機會、支持純網路金融發展，和全方位引領金融科技發展。</p> <p>「鼓勵容錯是非常重要的改革方向。」金管會綜合規劃處處長胡則華補充。從2020年的金融科技路徑圖1.0，去年的路徑圖2.0，到新主委提出的五大金融科技策略，都是由金管會綜合規劃處負責推動，胡則華也是關鍵推手。她揭露了這五大金融科技施政方向更多的細節和新進展。</p> <p>胡則華解釋，過往，主管機關對金融機構的可容錯空間較狹窄，金融機構對金融科技業者的態度亦然，限制了整個市場的創新發展機會。因此，金管會期望先打開自己的觀念，透過鬆綁試辦和創新實驗，來鼓勵金融業者嘗試創新，「試了之後不行，或商業模式不好，甚至是不賺錢，最後不落地也無妨。」甚至，胡則華期待，未來能邀請金融業者交流失敗經驗，促進更開放的容錯文化，「就算是失敗經驗，也是非常好的經驗，能讓其他人不重蹈覆轍。」</p> <h3>大幅放寬業務試辦和創新實驗範圍</h3> <p>五大金融科技策略中，彭金隆提出的第一項策略，是要擴大容錯空間，加大創新領域，其中一項重要措施，是大幅放寬銀證保業務試辦和創新實驗範圍。</p> <p>胡則華解釋，過往試辦範圍僅限合法或處於模糊地帶的案例，即便申請案僅違反行政規則，也不能試辦。現在則是放寬限制，只要是金管會權責範圍內可調整的法規，即使違反現行規範，業者也能申請試辦。第一階段是開放公會和周邊單位的自律規範，以及金管會發布的行政規則、函釋作為試辦範圍。第二階段，則是納入金管會主政的法規命令、授權子法。</p> <p>今年八月初，已有銀行業者遞出首例試辦申請，要以「財務評估模型」作為辦理無擔保授信業務的評估方式。近期，保險業者也跟上，申請試辦旅平險集體彙繳件靠專屬網頁完成身分驗證，取代傳統親簽程序。</p> <p>除了放寬業務試辦範圍，彭金隆也要擴大創新實驗範圍。以往創新實驗申請條件嚴格，胡則華表示：「須要修法的案例才能申請，」並且，審核過程中，評估小組不只負責驗證個別實驗案商模和技術，還得評估新市場對金融業產生的影響。</p> <p>「如何確定一個小小實驗可以放大至市場？」胡則華指出，這個疑慮，是創新實驗案件審核嚴格的主因。因為一旦通過單一實驗案，等同開放了全新的金融服務市場。由於審核過程繁冗，漸漸地，業者申請意願降低，創新實驗案件逐年減少。</p> <p>彭金隆的策略是，開放不涉及修法的案例也能申請創新實驗，讓監理沙盒成為技術驗證場域。「類似背書、驗證機制，」胡則華舉例說明，未來新創業者欲推出創新服務或產品，可透過監理沙盒申請技術驗證，經評估小組審核後取得評估報告，「新創業者就能以評估報告向金融機構說明，這些服務或產品受人肯定。」</p> <h3>推動金融機構成立創投基金，促進金融科技業獲得資金挹注</h3> <p>彭金隆提出的第二項金融科技策略，是鼓勵金融業者打團體戰，除了開放金融機構能授權技術，讓小型金融機構能共享研發量能，也鼓勵業者共同投資金融科技技術和研發。這項策略不僅是針對金融機構，同時期望協助金融科技業者獲得更多資源。</p> <p>臺灣金融科技公司得到的投資金額，僅占所有新創公司獲得資金的 5.2%，遠低於國際上的14%，這個數據反映出，臺灣投資者對金融科技業的投資意願較低。</p> <p>「金融科技公司最大困難是資金。」胡則華解釋，這些業者主要投資者大多是傳統金融機構，常有一種「我投資你後，你的業務要提供給我用」的心態，這種「地盤」心態，導致金融科技業者難以爭取其他投資。甚至，目前臺灣能評估金融科技公司潛力的人才稀缺，更不利於金融科技業獲得資金挹注。</p> <p>金管會的作法是，推動金融機構聯合成立創投基金，多家金融機構成為有限合夥人，委託專門管理公司尋找合適的金融科技公司作為投資標的，如此一來，金融科技公司不會因此被貼標，資金成長空間能擴大，又能培養評估金融科技公司潛力的相關人才。這是胡則華近期最想促成的一項計畫之一。</p> <h3>虛擬資產監管採自律規範先行、傳統金融業者合作實驗實體資產代幣化</h3> <p>五大金融科技策略中，彭金隆特別針對虛擬資產提出相關措施，包括要推動實體資產代幣化、開放金融業辦理虛擬資產保管業務，和促進VASP規範化發展。</p> <p>金管會對虛擬資產的監管作法開始不一樣了。胡則華解釋，以往訂定監管法規，多由主管機關訂出監管框架，「現在則和虛擬資產業者合作訂立框架，讓產業生態圈能符合大家的需求。」例如，VASP業者採自律規範先行的監管模式，待自律規範發展成熟後，才會進一步形成VASP專法。</p> <p>今年六月，集保公司和六家金融機構成立「現實世界資產代幣化小組」（簡稱RWA小組），分為基金組和債券組，共同實驗相關技術和推動事宜。</p> <p>胡則華解釋，實體資產代幣化跟虛擬通貨保管緊密連結，先藉由成立工作小組，讓金融機構探討實體資產代幣化所需的基礎建設和法規調整方向，再逐步開放金融業辦理虛擬資產保管業務。她進一步透露，RWA小組預計今年12月開始POC，債券組預計採用聯盟鏈方式運作，基金組則預計採公鏈形式。</p> <h3>放寬純網銀業務範圍與線下活動限制，還要重啟純網保申請</h3> <p>除了虛擬資產，彭金隆也相當關注網路金融業的發展，計畫放寬純網銀業務範圍與線下活動限制，並將重啟純網保。業界習慣將網路銀行和網路保險公司，稱為純網銀、純網保，彭金隆曾指出：「深植人心的概念是，這類公司不可以有實體，但觀察國際的網路金融業並不全然如此。」因此，他表示，未來會以客戶體驗和安全角度，來考量網路金融業的業務擴展方向，「不會硬性規定一定要在網路上完成。」甚至，也計畫未來更大幅度檢討網路金融業政策，以貼近民眾需要和市場需求。</p> <h3>完善資料共享、金融Fast-ID驗證轉接中心預計年底開始試辦</h3> <p>彭金隆的最後一項金融科技策略，是全方位引領金融科技發展，包括要完善資料共享機制，續辦金融科技發展路徑圖和簡化金融數位身分驗證等措施。</p> <p>針對資料共享機制，胡則華表示，金管會預計年底前發布「金融機構資料共享之資料治理指引」，作為金融機構進行資料共享的參考依據，提供不同資料對應的資料保護機制。接著，金管會將著手修改金融機間資料共享指引，逐步開放非金融機構的金融業者參與資料共享。</p> <p>胡則華補充了另外一項做法，要從金融服務角度扶植創新，金管會在8月甫將「金融FIDO」更名為「金融Fast-ID」，就是為了實現這項政策。「不會只對金融業特別照顧，而是同時支持金融服務在新技術的運用和發展。」胡則華點出彭金隆主委的期望。透過金融Fast-ID，金融業能以驗證過的身分作為基礎，逐步將數位身分驗證應用擴展至其他產業，最終成為一個跨產業的數位身分驗證機制。</p> <p>金管會的作法，是先藉由金融Fast-ID驗證轉接中心，讓小型金融機構能運用大型金融機構驗證過的身份，接著讓金融周邊單位適用金融Fast-ID，最後再逐步擴展至跨領域場景。例如，胡則華提到，數位部MyData平臺開始計畫要採用金融Fast-ID，這意味著，其他政府機關提供的服務，未來也能用金融Fast-ID作為身分驗證機制。時程規劃上，胡則華表示，金融Fast-ID驗證轉接中心預計年底開始試辦，於明年六月正式運作。</p> <p>這些重大政策推動，未來將由金管會增設的金融市場發展與創新處統籌辦理。胡則華提到，彭金隆主委特別叮囑，未來這個單位需要即時了解外界想法，「尤其是法規面建議，」包括專家、學者，和業者意見。</p> <p></p> </div></div></div>
2024/9/27 10:23作者李昀璇https://www.ithome.com.tw/news/165186
聯合集點龍頭20年數據力，下一步是深化生成式AI應用
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近一、兩年，走到哪，都能看到「加入會員」的招攬，多是為了蒐集你我的數位足跡，來強化行銷精準度。數據驅動行銷是這幾年襲捲各行各業的一大課題。不過，在全臺有超過80萬間特約通路的老牌聯合集點卡Happy Go，已經做這件事足足有20年。</p> <p>Happy Go是全臺最大聯合集點卡，如今有上萬間特約商店，一年經手1,100萬名會員，超過50億點數的交易數據。這龐大的數據，透過分析工具、AI模型、生成式AI工具等技術，可以用來提升行銷精準度和員工生產力。他們近年甚至將這些數據驅動行銷的技術商品化，自己也轉型為兼具行銷服務和販售Martech產品的廠商。</p> <p>鼎鼎聯合行銷數據管理部協理黃士峰說，這一切數據應用的基礎，早在Happy Go一個會員都沒有時，就已經開始建立。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>成立初期便導入數據倉儲，為發展數據應用奠定基礎</strong></span></span></p> <p>2005年Happy Go成立之初，企業高層確信行銷背後必須用成熟的數據基礎建設撐腰。當時，「總經理認為，不論未來怎麼用，至少數據一定要先蒐集。」黃士峰說，他們一開始即投下重本，導入時下價格相當高昂的Teradata數據倉儲，來累積會員行為等數據。</p> <p>時任副理的黃士峰回憶，當年以傳統數據分析和探勘為主，並陸續導入了BI和Data Mart等數據應用。累積了10年後，讓Happy Go打下了扎實的數據資產和應用經驗基礎。</p> <p>到了2015年，面臨業務型態拓展，他們必須做出更大幅度改變，以應對新的數據處理需求。Happy Go在這一年成立了市場調查品牌和數位廣告品牌，黃士峰表示，這兩大產品線，讓他們可以從更多不同的角度，蒐集會員及非會員數據，不過，這種更多維度、更大量非結構化數據的處理需求，也為Happy Go帶來了全新的挑戰。</p> <p>尤其，Happy Go當時用的傳統資料倉儲，難以應付新的資料處理需求，只能嘗試使用PostgreSQL RDBMS，搭配自製的Python數據處理工具，來分擔與日俱增的作業。</p> <p>2017年，隨著數據處理作業量和對企業決策的重要性提升，Happy Go正式成立數據部門，聘請了第一任數據長，也嘗試自行研發，開發AI顧客分群功能，不過，受限於投入成本、AI人才和算力硬體的不足，未能開發出準確度夠高的解決方案，只能暫時放棄發展AI領域應用。數據部門回頭聚焦與業務需求密切相關的種種數據技術發展。</p> <p>黃士峰說，這次失敗經驗讓數據部門深刻體會到，發展數據應用必須與業務需求緊密掛鉤。直到今日，他們仍秉持這個原則。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>大規模擁抱公有雲，導入現代化數據處理技術</strong></span></span></p> <p>2019年，Happy Go展開數位轉型，推出點數和支付合一的支付服務，會員App也大改版，這些轉型與再次業務拓展的新戰略，又帶來了新一波數據處理需求。</p> <p>此時，他們已經有1,000萬名會員，在不同接觸點產生了大量數據處理需求，包括App上的交易、行銷活動資格判斷、特殊累點活動等，超出了既有數據處理工具的負荷。</p> <p>「尤其是前端系統帶來的數據處理負擔更重，甚至出現過，一個活動12個小時都算不完的案例。」黃士峰說，前端採用的OTLP資料庫，主要用於線上交易處理，難以支援分析運算。</p> <p>為了將前端龐大分析需求，轉移到後端分攤，他們推動了數位轉型期間，第一個重大的數據科技改革──建立雲端數據中臺。</p> <p>黃士峰導入公雲巨頭的雲端資料倉儲服務Redshift，取代了PostgreSQL資料庫及Python自製工具。以雲端倉儲作為數據中臺，透過API串接前端系統及地端的Teradata數據倉儲、BI工具、CDP等後端系統。</p> <p>導入數據中臺後，對業務行銷活動帶來很大的彈性。「過去一天只能推出1、2檔的大型行銷活動，資料運算時間縮短後，現在一天要推出10檔都沒問題。」黃士峰說。</p> <p>隨著數據處理需求規模不斷提升，再加上業界AI應用實例開始出現，Happy Go有意再次挑戰發展AI，因而，決定也將地端的主要資料倉儲，轉移到雲端。不過，沒有繼續採用同一款雲端倉儲，而是改導入了與地端數據倉儲操作類似的Azure Synapse，再橫跨到AWS與Redshift串接。</p> <p>黃士峰補充，採取多雲架構，雖然會產生跨雲數據傳輸成本，但仍比原本採用地端數據倉儲的成本低。一大原因是，目前Happy Go服務型態下，需要即時行銷的情境較少，數據大多可以採取批次拋轉的模式。</p> <p>「相較於電商或導購網，強調即時吸引消費者下單，我們行銷服務目的以加深品牌印象為主。」黃士峰解釋，這意味著行銷客戶和廣告主對於即時行銷需求相對較小。</p> <p>再加上，雖然技術上做得到即時行銷，但數據團隊實測後發現，提供即時行銷服務的成本相較既有服務高出2至4倍。秉持著只支援業務核心需求的原則，他們決定，暫時不進一步發展即時行銷技術。</p> <p>在重大數據基礎建設上雲後，Happy Go數據團隊可以更好支援既有業務端行銷需求，更能利用公雲上的工具及硬體資源，發展一系列大數據以及AI應用來支援行銷。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1201-CDO-600.JPG" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);"> 攝影／洪政偉</span></span></p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>再次挑戰發展AI，圍繞實際業務痛點來打造應用</strong></span></span></p> <p>因為多年前的失敗經驗，Happy Go二度挑戰發展AI應用時，堅持從解決業務重要痛點著手。</p> <p>他們第一個鎖定的痛點是，如何更細緻處理超大量數據。</p> <p>Happy Go坐擁千萬名會員消費行為，上萬家特約商店商品資訊，加上數位廣告、市場調查等數據，規模龐大，但格式不統一。如何精細的綜合分析這些數據，來驅動更精準的行銷，是業務部門重要需求。</p> <p>數據部門先利用NLP技術解析不同格式數據，再用分類型AI技術，每天將上億筆數據分為大中小三層，共1,200多種預先定義好的分類。黃士峰說，這個機制準確率約為95%，且會不斷自我優化，至今仍在服役。</p> <p>去年，Happy Go更發展了兩個重要AI應用。其一是「類似受眾分析」（Lookalike），以活躍會員的數據特徵，靠人工智慧找出其他可能具有類似喜好的受眾。</p> <p>黃士峰進一步解釋，雖然會員規模很大，但個別會員留下的數據豐富程度和面向不盡相同。以特定條件篩選受眾時，符合條件的人數可能低於預計的曝光數量。</p> <p>此時，類似受眾分析就能派上用場。甚至可以用來拓展新廣告客源，黃士峰說明，只要向廣告投放業主取得一點種子受眾資料，就可以用這套技術類推並圈選更多可投放受眾。</p> <p>第二個應用則是嘗試在App上提供個人化內容和廣告，光是導入公雲現成的AI個人化行銷服務，就提高了5成的廣告點擊率。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>擁抱生成式AI但不一頭熱，持續聚焦於解決業務實際痛點</strong></span></span></p> <p>生成式AI在2023年初爆紅時，Happy Go就開始投入研究和應用。他們先後使用兩家公雲的生成式AI服務，來強化商品數據分類機制。黃士峰指出，利用生成式AI，能達成更多原本無法做到數據蒐集和處理。</p> <p>他舉例：「過往用NLP技術，可以分析產品規格等數據。但是，不同品牌的風格、客群、消費者心目中形象為何？這些要靠生成式AI來整理。」黃士峰將生成式AI視為超強商品數據蒐集機制，可以大幅降低業務自行研究品牌資訊需求。甚至，可以超越Happy Go原本的商品分類框架，生成新分類。業務部門檢索商品分類或構思行銷角度時，便能有更多選項。</p> <p>Happy Go建置了一套MLOps平臺結合了自行開發的自動化數據處理機制，以及公有雲上的MLOps功能，用來加速ML開發周期流程，尤其是數據彙整、訓練資料標記及採樣等環節。生成式AI技術，就是在此與其他既有AI應用結合──例如將AI生成的數據，作為既有AI商品分類模型再訓練的數據。</p> <p>黃士峰說，有了MLOps平臺，模型再訓練效率便從以季為單位，縮短到最快每月一次。</p> <p>下一步生成式AI應用，Happy Go計畫逐步打造自助式生成式AI平臺，用來輔助員工日常業務。</p> <p>黃士峰觀察，已有員工用雲端生成式AI工具，蒐集網路資訊、整理顧客數據或是生成簡報提案素材等業務。不過，內部數據需經過審查機制，或請數據團隊處理才能上雲。由員工各自報銷訂閱費用，也造成行政資源消耗。</p> <p>「打造單一平臺，是希望整合常用生成式AI工具，以及使用這些工具所需的數據處理、帳號權限管理、訂閱費用付款等機制。」他解釋。</p> <p>去年3月，Happy Go數據團隊已經串接了雲端生成式AI工具的API，但黃士峰不急著做出這個平臺。反而是，先在各部門推動ChatGPT等工具，蒐集真正有價值、切合痛點的使用情境。</p> <p>他們依然記取著7年前AI專案失敗的經驗。發展新數據應用及AI專案時，他們只聚焦於能帶來確實、重大影響的使用情境。</p> <p>「我們希望開發出來的數據和AI應用，是為業務部門雪中送炭，而非錦上添花，甚至可有可無。」黃士峰如此表示。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CDO小檔案 </span></strong></span></p> <p><strong>鼎鼎聯合行銷數據管理部協理黃士峰</strong></p> <p>學歷：美國北阿拉巴馬大學企業管理碩士</p> <p>經歷：曾任職於中國信託商業銀行、美商天睿資訊、東捷資訊、亞太電信、藍新科技等企業，於數據領域深耕10餘年。現擔任Happy Go數據管理部協理，主導數據科技開發與應用</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1201-CDO-400.JPG" style="width: 401px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>鼎鼎聯合行銷</strong></p> <p>成立時間：2004年10月22日</p> <p>業務介紹：藉由聯合集點卡點數串連集團各產業，並以會員經營助攻集團事業版圖。後推出旗下市調顧問品牌Go Survey及iConnect智能媒體服務，同時藉由市場調查及廣告的數據來進一步強化行銷能力。前年結合AI科技運用和行銷知識及自家豐富數據，推出CRM+會員經營加值新服務</p> <p>董事長：徐旭東</p> <p>總經理：李明城</p> <p>網址：<a href="http://www.happygocard.com.tw">www.happygocard.com.tw</a></p> <p>地址：新北市板橋區新站路16號22樓</p> <p>員工人數：130位</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>2005年：推出全國首家「跨產業、跨通路、跨品牌」的紅利點數平臺，第一年即成功招募250萬會員</p> <p>2007年：推出全臺首家公益捐點平臺，關心弱勢孩童，將快樂多一點的品牌精神傳遞到每個角落；與全家便利超商合作，提升累兌點便利性</p> <p>2009年：突破500萬名會員</p> <p>2011年：首創跨產業聯合集點卡成為電子發票載具，獲財政部電子發票優良協辦廠商肯定</p> <p>2013年：落實新個資法管理辦法，並獲2013年BSI資安年會「資安防護卓越管理」獎</p> <p>2015年：成立市調顧問品牌Go Survey及iConnect智能媒體服務，協助集團及品牌客戶；首度跨足日本，會員可在日本超過300家特約商店享集點服務</p> <p>2016年：策略結盟日本點數龍頭T Point，推出「Happy Go全日通」，攜手打造亞洲最大點數生活圈</p> <p>2019年：推出點金合一的行動支付服務Happy Go Pay；Happy Go App全新改版上線</p> <p>2020年：Happy Go榮獲DMA年度最佳數據洞察創新獎及對話影響力獎</p> <p>2021年：與美食平臺Ocard和RE紅包合作，擴大點數生活圈；響應政府推廣雲端發票，共推「雲端發票存起來載具歸戶Happy Go」；使用AWS Redshift作為數據中臺</p> <p>2022年：推出全新「CRM+會員經營加值新服務」；打造MLOps平臺；啟動企業永續倡議元年，發行以永續為題的NFT</p> <p>2023年：導入託管式AI服務來強化個人化行銷功能；宣布成為開店平臺Shopline策略合作夥伴，提供智能會員分析與行銷平臺服務；宣布結盟悠遊卡公司進行全方位策略合作</p> <p>2024年：利用生成式AI來強化商品分類與貼標</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1201-cdo-960.jpg" width="960" height="420" alt="" title="鼎鼎聯合行銷數據管理部協理黃士峰　（攝影／洪政偉）" /></div></div></div>
2024/9/27 09:17作者郭又華https://www.ithome.com.tw/people/165217
零售IT雙周報第42期：Amazon發表商家經營助手Project Amelia，能根據個別商家數據提供個人化建議及輔助
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0915~0928)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI代理人 #AI商家經營助手 #生成式AI</span></span><br /> Amazon發表商家經營助手Project Amelia，能給個人化建議、分析賣場數據，還能主動幫忙追查異常情況</strong></p> <p><a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-project-amelia">Amazon推出生成式AI商家經營助手Project Amelia，號稱訓練資料包含Amazon自家零售營運知識，能理解個別賣家業務的特性，並「回答最複雜的問題」。</a></p> <p>Project Amelia有3大關鍵功能，知識性問答、數據提取與分析、主動代理解決問題。知識性問答包括一般常識問答，以及賣場經營建議。例如，詢問「下一個假期檔期我應該怎麼做？」，Project Amelia便會根據賣家商品特性，給予具體建議，如應該主打哪一種商品類別、應該先備貨到哪裡、採取哪種行銷策略等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pa1(1).jpg" style="width: 600px;" /></p> <p>數據提取與分析功能，則可以查詢賣家關鍵數據與指標，如人流量、營收、平均客單價等，還可以進行分析，例如比較客單價每周變化等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pa2.jpg" style="width: 600px;" /></p> <p>主動代理解決問題功能，則是可以根據賣家情況，提出問題解決建議，甚至主動提供查詢相關資訊或聯絡相關人員等協助。例如，如果詢問「我有300件衣服還沒送到，怎麼回事？」Project Amelia會自告奮勇，展開調查、製作報告並連絡相關人員。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pa3.jpg" style="width: 600px;" /></p> <p>Project Amelia和正式推出的消費者購物助手Rufus一樣，深度整合使用者數據，會提供高度個人化回答。從Rufus上線不久就開始出現RMN廣告的先例來看，Project Amelia在輔助賣家之餘，也可能被Amazon用來行銷各種賣家服務，如供應鏈管理服務或廣告服務等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #購物助手 #員工助手 #供應商助手 #知識管理 #AI開發平臺</span></span></strong><br /> <strong>Walmart如何應用和開發GenAI</strong></p> <p><a href="https://www.ithome.com.tw/news/165047">零售龍頭Walmart在法說會揭露自家一個生成式AI應用做法，引起高度討論──利用生成式AI來建立及完善8.5億筆商品目錄數據，提升了近100倍人力的生產力</a>。這只是他們生成式AI眾多做法之一，支援內部作業方面，他們還混用GAI和預測型AI分類商品，靠思維鏈優化提示工程找出高關聯商品組合；為總部和分店等不同職務建置GAI助手，協助從文案構思到庫存管理和報廢等作業等。</p> <p>他們也將生成式AI應用於不同購物場景，例如打造購物用聊天機器人，靠GAI比價、搜尋，甚至主動追問顧客需求；用GAI打造多語系語音客服及個人化語音購物功能等。未來，他們還要應用GAI到個人化AR購物，及針對B2B2C賣場第三方供應商的客服機器人等。</p> <p>為了大力擁抱生成式AI，並支援超大規模GAI開發與應用，他們打造了一個可以管理所有AI專案的開發平臺，甚至還建置了一個非技術人員用的生成式AI實驗沙盒，來讓企業上下都能協助發展生成式AI應用。（<a href="https://www.ithome.com.tw/article/165067">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #零售廣告 #購物趨勢分析</span></span></strong><br /> <strong>Google更新多項零售相關工具，包括生成式AI業績分析助手及廣告投放選項等</strong></p> <p><a href="https://blog.google/products/shopping/helping-retailers-prep-for-holiday/">Google宣布推出4項針對零售業者的新功能，包括購物趨勢洞察、生成式AI洞察總結功能、廣告同步店內庫存，以及新的廣告目標選項。</a></p> <p>購物趨勢洞察和生成式AI洞察總結是在商家管理中心Merchant Center上的新功能，前者是可以分析與零售業者相關的熱門購物趨勢，包括按主題和產品分類排列查詢熱門搜尋趨勢等，開放給全球商家使用。後者則是用生成式AI摘要產品表現等業績數據，並給出建議措施。生成式AI助手功能目前只開放美國商家使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gmc.png" style="width: 600px;" /></p> <p>另外兩類新功能則是廣告功能更新。自動同步店內庫存是可以自動在Google Ads中顯示商家即時庫存。新的廣告目標選項，則包括在Performance Max與搜尋廣告中更細緻調整獲取新客、提升購物轉換率等目標的行銷活動。商家還能針對不同廣告格式排除不同品牌，以更細緻控制特定品牌商品曝光時機。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#沉浸式電商 #訂價工具 #區域訂價 #OMO零售 #開店平臺</span></span></strong><br /> <strong>Roblox宣布推出更多工具來支援平臺上的沉浸式零售</strong></p> <p>近月，已經有許多大型品牌和零售業者在元宇宙遊戲巨頭Roblox發展實際商業活動，而非只是行銷用展演體驗。例如Walmart、e.l.f. Cosmetics、Fandango 和 Warner Bros等。<a href="https://corp.roblox.com/newsroom/2024/09/rdc-2024-robloxs-next-frontier">為了支援平臺上更多零售活動，Roblox宣布推出更多工具與措施。</a></p> <p>其中一個是預計數月後推出的訂價工具，通過自動化價格測試，輔助商家識別最具吸引力的訂價策略。還會根據玩家所在地來訂價，以符合當地物價。</p> <p>另一方面，Roblox也宣布將與多家電商平臺策略結盟。目前，他們預計<a href="https://www.shopify.com/news/shopify-roblox">導入Shopify的結帳系統</a>到自家平臺中，玩家購買Shopify商品時，便可以在Roblox介面完成所有操作。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#供應鏈管理 #訂單履行</span></span></strong><br /> <strong>Amazon推出託管式供應鏈管理解決方案，根據商家數據來調整庫存調度及訂單履行做法</strong></p> <p><a href="https://www.aboutamazon.com/news/small-business/supply-chain-by-amazon-service-drives-higher-sales-conversion-for-independent-sellers">Amazon推出了託管式供應鏈解決方案Fully-Managed Supply Chain by Amazon。</a>這是個服務以原本Supply Chain by Amazon服務為基礎，但賣家只需提供商品資訊和承運商取貨地點，Amzon就能代為完成後續承運商取貨、庫存整合、補貨以及商品庫存位置調度等作業。這項服務還會基於商家需求、庫存情況和成本等數據，持續調整供應鏈管理方案。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #跨通路行銷 #實體門市廣告</span></span></strong><br /> <strong>五金行巨頭Lowels擴大經營RMN，進一步新增實體郵件、Google付費搜尋等行銷通路</strong></p> <p>RMN熱潮持續蔓延，不只Walmart等有賣FPCG商品、坐擁巨量數據的零售業者，連五金這類消費頻率較低的零售型態，業者也能把第一方數據用來發展多種型態的廣告業務。</p> <p><a href="https://corporate.lowes.com/newsroom/press-releases/lowes-enhances-retail-media-network-rebrand-and-expanded-portfolio-omnichannel-advertising-solutions-08-08-24">已經發展RMN 4年的北美第二大五金零售商Lowe’s將進一步新增行銷型態，包括Gmail信件廣告、實體門市音訊廣告、付費搜尋廣告以及個人化實體郵件。</a></p> <p>新增這些通路後，Lowe's RMN涵蓋行銷通路將橫跨線上線下，以及許多非自有通路。這些行銷通路包括：Lowe's官方網站及應用程式上的展示型廣告和贊助產品廣告、實體門市音訊廣告、透過Yahoo DSP投放於網頁、影片、CTV、DOOH、串流音訊平臺與Podcast等通路的程式化廣告，以及在Google、Meta 和 Pinterest平臺投放的電子郵件、付費搜尋和社群媒體廣告。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #影像生成 #影片生成</span></span></strong><br /> <strong>Amazon推出影片生成及動圖生成功能，可用於商品描述及廣告</strong></p> <p><a href="https://www.aboutamazon.com/news/innovation-at-amazon/amazon-ads-generative-ai-video-generator-advertisers">Amazon宣布正在測試影片生成及動圖生成功能。</a>前者可以根據產品圖片、賣點及功能描述，來生成廣告影片。後者則是以原始產品圖片為基礎生成動圖，例如讓葉子呈現被風吹的樣子，或是讓杯子上冒出一陣陣熱煙。這些生成素材可以用於Amazon電商商品頁面，或是用於投放Amazon RMN廣告。目前只開放美國部分商家試用。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">更多零售IT動態：</span></span></strong></p> <p>1. 創業家兄弟預計第四季推出對話式AI導購機器人</p> <p>2. <a href="https://www.ithome.com.tw/news/164713">量販店巨頭Target正式推出生成式AI店員助手，全美近2,000門市都在用</a></p> <p>3. <a href="https://blog.google/products/shopping/virtual-try-on-dresses/">Google推出虛擬試穿連身衣物的功能</a>，<a href="https://blog.google/products/shopping/virtual-try-on-dresses/">利用生成式AI和AR技術打造而成</a></p> <p>4. <a href="https://news.depop.com/company-news/depop-launches-ai-powered-listing-from-one-photo/">服飾電商平臺Depop推出能只憑一張照片就AI生成商品描述的功能</a></p> <p>5. <a href="https://www.prweb.com/releases/family-dollar-selects-dunnhumby-ai-platform-to-power-customer-driven-category-management-and-merchandising-nationwide-302241653.html">大型連鎖廉價雜貨店Family Dollar導入AI選品技術來決定每家店鋪的上架商品</a></p> <p>資料來源：iThome整理，2024年9月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Amazon、Google</p> <p></p> </div></div></div>
2024/9/26 18:55作者郭又華https://www.ithome.com.tw/news/165209
AI助力鯨魚保育，Google新模型可精準辨識8種鯨魚叫聲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google持續投入資源，開發可用於辨識鯨魚聲音的人工智慧模型，<a href="https://research.google/blog/whistles-songs-boings-and-biotwangs-recognizing-whale-vocalizations-with-ai/">最新的多物種鯨魚聲音模型</a>能夠辨識8種鯨魚的叫聲，並進一步細分其中兩種鯨魚的不同發聲類型，共可產生12個分類。這項技術不僅提升鯨魚聲音分類的準確性，也揭露了布氏鯨等難以觀察鯨種的行為模式，對鯨魚保育和生態研究提供有力的工具。目前該模型已公開供學術人員下載使用。</p> <p>Google從2018年起，便與美國國家海洋和大氣管理局（NOAA）的太平洋群島漁業科學中心合作，展開鯨魚叫聲分類的研究工作。最初他們針對<a href="https://www.ithome.com.tw/news/126728">座頭鯨開發偵測模型</a>，成功辨識座頭鯨的鳴叫聲，也揭露了座頭鯨在特定時間地點的鳴叫規律和模式，甚至發現了座頭鯨的新棲息地。</p> <p>而在之後，Google又與加拿大漁業及海洋部（DFO）、Rainforest Connection合作，<a href="https://www.ithome.com.tw/news/135590">針對瀕臨絕種的南方定居型虎鯨開發偵測模型</a>，並將其應用在水下麥克風監測網路，即時回報虎鯨位置給DFO和相關單位。</p> <p>過去的這些研究成為Google開發多物種鯨魚聲音模型的基礎，該模型除了座頭鯨、虎鯨，現在可以辨識的鯨魚還包括藍鯨、長鬚鯨、小鬚鯨、布氏鯨、北大西洋露脊鯨和北太平洋露脊鯨。多物種鯨魚聲音模型的開發並不容易，因為鯨魚聲音的頻率範圍極廣，從藍鯨10 Hz的低頻到齒鯨超過 120 kHz的高頻，對模型的靈敏度要求極高。</p> <p>研究人員在開發多物種鯨魚聲音模型時，首先將原始音訊轉換為時頻譜（Spectrogram），作為模型辨識聲音的基礎，每個時窗包含5秒鐘的聲音片段。接著，模型會對這些時頻譜進行處理，運用一種稱為梅爾刻度的方法調整聲音的頻率，並透過壓縮和正規化突出聲音的特徵。最後模型會根據處理後的時頻譜，將其分類為12種鯨魚鳴叫類別。</p> <p>由於海中存在各種聲音，因此研究人員也加入大量的背景聲音訓練模型，以確保模型可以準確辨識鯨魚聲音並排除雜音。實驗結果顯示，多物種鯨魚聲音模型能夠良好地區分不同種類的鯨魚，特別是小鬚鯨和布氏鯨的聲音。</p> <p>值得一提的是，NOAA最初確認布氏鯨獨特的「Biotwang」鳴叫聲，隨後研究人員利用Google的多物種鯨魚聲音模型對Biotwang聲音特徵進行標記，並應用在大量的音訊資料中，發現布氏鯨多次出現在太平洋西北地區，並且進一步揭露布氏鯨的族群差異和季節性遷徙習性。</p> </div></div></div>
2024/9/26 23:06作者李建興https://www.ithome.com.tw/news/165208
金管會：電子簽章法修法為金融服務數位化發展提供重要基礎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「電子簽章法修正可以觸發新產品或交易方式的改變，也是數位法的重要里程碑」，金管會副主委邱淑貞今天（9/26）在一場電子簽章法研討會中說。<span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"> </span></p> <p>電子簽章法自20多年前推出，儘管國內數位經濟快速發展，但電子簽章法一直沒有修法，數位部成立後，蒐集各界意見積極推動修法，以滿足現今數位經濟發展的需要，今年立法院通過修法，並於在今年5月由總統公布施行，數位部也著手推動相關子法調整，包括電子簽章法實行細則修正草案、憑證實務作業基礎應載明事項草案、外國憑證機構許可辦法草案，相關子法修法已在8月23日預告，將於10月22日預告截止。<span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"> </span></p> <p>新的電子簽章法施行後，近幾年推動金融科技創新發展的金管會也樂觀其成。邱淑貞表示，電子簽章法修法三個重點，首先是電子簽章和文本簽章有相同的功能效益，其次是提供相對使用人表達意見的機會，最後是數位簽章推定為本人親自簽章，因為法律定位更明確，提高對使用電子簽章的信賴度，這是所有交易的重要基礎。</p> <p>她回憶在20多年前仍在公務機關服務，當時電子簽章法上路，各部會擔心帶來的衝擊，公告排除適用的業務，以銀行業為例，當時公告排除9項，後來經過多次調整已降至0項，保險業當時公告排除18項，經過8次調整後降至0項，顯示銀行業、保險業對使用電子簽章已有一定的信心，至於證券業因為數位化上有較多方面的考量，當初公告排除有102項，後來經過17次調整，目前仍剩下11項排除適用，目前證交所、集保仍在研議，計畫再作調整。<span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"> </span></p> <p>電子簽章法修法為何重要？邱淑貞直言，任何金融交易的第一步就是身分認證，如果身分確認是虛偽的，後續的交易都是虛偽的、不能被接受，只有確認身分是真實的，才是真正的交易。<span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"> </span></p> <p>邱淑貞認為在整個金融服務數位化推動中，有幾件事最為重要，第一個就是身分確認，確認交易者的真實身分，第二個是個人資料保護，因為信賴服務業者，使用者才願意提供資料給業者，第三是資安是否符合標準，資料傳輸是不是夠安全，唯有建立起這些機制，才能擴大整個生態圈。<span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"> </span></p> <p>在身分確認部分，電子簽章法修法已提供基本的身分信賴，其他如資安、資料保護、當事人意願，以及資料傳輸，甚至將資料提供其他單位使用等等，這些也需要建立信賴度。<span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"> </span></p> <p><strong><span style="color:#B22222;">金融服務數位化發展有成</span></strong></p> <p>近幾年國內推動金融服務數位化發展已有部分成果。在銀行業方面，2015年金管會推動打造數位金融環境3.0，當時的目標是讓存款、放款、信用卡、理財等服務可以在線上完成，其中數位帳戶開戶，到2023年底已達到1,968萬戶，顯示數位化服務已廣泛被接受，另外，也開放純網銀，提供數位化服務給年輕人選擇。<span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; vertical-align: baseline; white-space-collapse: preserve;"> </span></p> <p>至於保險業方面，放寬線上保險服務，今年1到6月網路投保的契約金額約為25.77億元，顯示許多的旅行平安保險、機車保險透過線上完成。理財方面，17家金融機構提供線上機器人理財服務，金額已達到95億元；證券業務方面，已有7成以上使用電子下單，期貨則有9成以上使用電子下單。</p> <p>儘管數位化服務現在已有成果，邱淑貞指出，金管會未來仍會持續推動數位化，包括數位化發展的金融交易便利性、方式及產品，金管會鼓勵新創業者透過試辦或實驗和金融機構合作。</p> <p>由於數位身分在金融服務照數位化發展相當重要，金管會也在數位身分認證放寬限制，2022年推動數位身分認證及授權，吸引17家金融機構申請，現在10家機構通過審核可以辦理；另外，雖然現在仍是以實體卡片作為身分認證為媒介，未來軟體憑證認證等相關技術持續發展創新，對數位身分建立更深厚的信賴基礎。</p> <p><span style="color:#B22222;"><strong>5大策略推動金融科技發展</strong></span></p> <p>在彭金隆擔任主委後，目前金管會正推動金融科技的5大發展策略，第1個策略是放寬實驗，不論試辦或金融科技實驗，放寬實驗對象、因應環境儘快調整法規；第2個是鼓勵團體合作，讓金融機構可以授權專利等方式，組成金融科技聯盟共同發展市場；第3個策略是協助金融機構創新，金管會提出幾個主題式的創新，例如如何讓實體資產數位化，讓交易更快速、劃分的細緻度更小等，未來虛擬資產保管也會適度開放。</p> <p>第4個策略是鼓勵網路金融發展，包括已開放的純網銀，還有數位保險，利用金融科技讓使用者更方便，有更多數位保險商品可選擇；第5是全方位領導金融科技發展，從金管會、業界到生態全方位發展，金管會正規劃成立新的處，專門推動金融科技，包括法規調適、周邊發展等，在資料共享方面，目前是以金融機構對金融機構資料共享，未來希望在資安、個資保護共識之下，讓金融機構和非金融機構合作。</p> <p>邱淑貞表示，金管會的目標是穩健、創新，在掌控風險的前提下，鼓勵業者合作、策略聯盟等方式，讓金融科技創新能夠落實。</p> <div> </div> </div></div></div>
2024/9/26 23:18作者蘇文彬https://www.ithome.com.tw/news/165211
國泰金控宣布AIaaS戰略目標！首度公開生成式AI技術發展框架GAIA
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國泰金控今日在自家技術年會上，正式宣佈AIaaS的戰略目標，不僅要以AI作為集團核心，驅動轉型和推出創新服務，同時，「期待國泰能成為提供AI金融服務的科技公司。」國泰金控數數發副總經理梁明喬說。在活動中，國泰金控首度公開生成式AI技術發展框架GAIA，也揭露了內部AI評測機制。</p> <p>早在2018年，國泰金控就開始發展大數據，從打造大數據生態圈起步，逐步擴大金融生態系。到了今年，國泰金控宣布在數據發展上進入第三階段，將透過「AI Ready」、「AI Native」、「AI Empower」三大AI發展策略，實現AIaaS戰略目標。</p> <p>首先，AI Ready是要打造集團統一技術發展框架，同步子公司間的策略和技術。梁明喬公開展示國泰AI發展藍圖，藍圖共分為六層，從下而上，底層為數據架構層，接著是多元數據源層、數據和AI治理層、核心技術模組層、應用場景層，最上層則為組織層。其中，因應集團發展生成式AI，國泰在核心技術模組層加入生成式AI開發框架GAIA，在數據和AI治理層則加入AI評測機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-09-26%20%E4%B8%8A%E5%8D%889_53_49.png" style="width: 600px;" /></p> <p>AI Native策略則是要將AI嵌入不同業務運作。為了實現這項目標，國泰金控今年設立了AI卓越中心，負責排序集團AI資源，和決策AI開發場景。目前，國泰金控鎖定四大GenAI場景，分別是員工、客戶、生產力，和AI基礎架構。其中，在員工場景中，國泰金控內部已打造一款AI員工助手平臺，可協助回應員工提出的業務問題。</p> <p>最後一項策略，AI Empower，則是要提升集團全員工AI和雲端思維，除了要推動雲端轉型和成立AI專責組織，還要在集團擴大AI影響力。今年初，國泰金控和子公司成立AI專責單位，全集團共有近千名雲端、AI和數據專業人員，負責向全集團5萬名員工提供AI服務。</p> <h3>首度公開生成式AI技術發展框架GAIA</h3> <p>國泰金控開發的生成式AI開發框架GAIA包含三個主要模組，分別是知識庫、Model hub，和護欄。梁明喬指出，知識庫可協助降低AI幻覺問題，並且，「未來若要Finetune模型，或打造LLM模型的RAG架構，專屬知識庫就非常重要。」梁明喬說。</p> <p>國泰金控展示的知識庫類型可分為對內和對外，對內包含HR知識庫、授信知識庫、洗防知識庫和內稽知識庫等，對外則包含貸款產品知識、壽險產險產品知識、理財產品知識等。</p> <p>針對GAIA框架中的Model hub模組，梁明喬說：「Model Hub就是一個中央控制室。」這個模組不僅能提供多種模型選擇，包含雲端、地端、開源或閉源模型，也提供API接口，能介接各種服務。模組中也提供成本管理功能，能協助開發者管控模型使用開銷。</p> <p>GAIA框架中還包含國泰金控自行開發的護欄模組，包含複合式規格護欄和多層抽換模組護欄，前者是在知識庫連接模型時進行資訊過篩，後者則是自建額外防護措施，例如提供業務專屬的業務護欄。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-09-26%20%E4%B8%8A%E5%8D%889_56_09.png" style="width: 600px;" /></p> <h3>建立AI評測中心，確保AI從開發到上線都符合規範</h3> <p>除了公開成式AI技術發展框架，國泰金控今日也公開負責任AI策略。在治理面，國泰金控要建立AI評測中心，專責確保AI發展合規。技術上，國泰要將治理原則化為具體指標，並藉由評測工具確保AI從開發到上線都符合規範。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-09-26%20%E4%B8%8A%E5%8D%8810_03_35.png" style="width: 600px;" /></p> <p>梁明喬表示，國泰的AI評測機制會以AI運用原則、生命週期和模型類型三大構面發展。首先，他們根據金管會金融AI指引的六大原則和數發部AI評測中心的十大評測項目，訂定評測項目。在AI模型生命週期中，國泰會使用評測工具檢核AI模型，最後產出評測報告。不過，梁明喬坦言，將治理原則化為量化指標並不容易，需要設立多種適當的情境和提問，才能有效檢測模型回應。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-09-26%20%E4%B8%8A%E5%8D%8810_09_00.png" style="width: 600px;" /></p> <blockquote><p>藉由國泰金控建立的AI評測機制，員工能在AI助手平臺檢視AI模型回應的公平性。（圖片來源：國泰金控）</p> </blockquote> <p></p> </div></div></div>
2024/9/26 19:06作者李昀璇https://www.ithome.com.tw/news/165210
【資安日報】9月26日，macOS版ChatGPT軟體存在可被竊密的漏洞SpAIware
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI的應用當紅，相關應用系統的資安漏洞也隨之引起研究人員關注，本週有研究人員公布存在於ChatGPT的漏洞SpAIware，並指出攻擊者可對使用macOS版應用程式的使用者下手，從而側錄其對話內容。</p> <p>值得留意的是，利用這項弱點的概念性驗證攻擊當中，其實串連了多個環節，其中之一就是ChatGPT的新功能「記憶（Memory）」機制，攻擊者藉此讓所有ChatGPT回覆的資訊都帶有惡意內容。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165206"><strong style="font-size: 22px;">勒索軟體RansomHub利用EDRKillShifter載入作案工具，癱瘓防毒及EDR產品的防護</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EDRKillShifter-Fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EDRKillShifter-Fig1.png" style="width: 300px; float: right;" /></a></p> <p>為了加密受害電腦檔案，勒索軟體駭客RansomHub會運用名為EDRKillShifter的工具，將防毒軟體或端點防護工具EDR停用，該勒索軟體運作已超過半年，迄今超過210個企業組織受害，而受到資安圈高度關注。但駭客如何運用EDRKillShifter達到目的？有研究人員公布更多細節。</p> <p>資安業者趨勢科技指出，駭客已將EDRKillShifter整合到他們的攻擊鏈，而這個惡意程式之所以能攻入受害者電腦，主要是利用存在弱點的驅動程式，但除此之外，駭客也企圖讓這支程式持續於受害電腦運作，目的是讓整個攻擊流程都能不受干擾。</p> <p>值得留意的是，攻擊者不只將EDRKillShifter用於阻礙防毒軟體及EDR的運作，還將其當作惡意程式載入工具，來執行各階段的作案工具。</p> <p><a href="https://www.ithome.com.tw/news/165203"><strong style="font-size: 22px;">安卓金融木馬Octo2鎖定歐洲國家，接管受害裝置</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Slide4-Sep-20-2024-10-23-20-9512-AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Slide4-Sep-20-2024-10-23-20-9512-AM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者ThreatFabric針對安卓金融木馬Octo2的攻擊行動提出警告，根據他們的研究，該惡意程式以名為Octo（也叫做ExobotCompact）的木馬程式為基礎進行開發，而且，為了提高裝置接管（Device Takeover，DTO）攻擊的可用性，攻擊者改良遠端控制功能的穩定性，也納入複雜的混淆技術，從而迴避相關偵測機制。值得留意的是，在部分歐洲國家已出現實際攻擊行動。</p> <p>根據研究人員收集的威脅情報指出，首度出現的Octo2，在義大利、波蘭、摩爾多瓦、匈牙利都有活動跡象，駭客假借提供Chrome、NordVPN，以及名為Enterprise Europe Network的應用程式為誘餌，引誘使用者上當。</p> <p>一旦使用者執行駭客提供的檔案，手機就會被植入惡意程式Zombinder，接著攻擊者會聲稱為了符合Google的使用者資料隱私政策，要求使用者同意安裝必要的外掛程式，而這個外掛就是Octo2。之所以這麼做，目的就是要繞過Google從Android 13導入的新防護機制。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/analysis-pentest-tool-splinter/">駭客利用Rust打造的紅隊演練工具Splinter從事攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.proofpoint.com/us/blog/threat-insight/security-brief-actor-uses-compromised-accounts-customized-social-engineering">北美交通物流業者遭到鎖定，駭客散布惡意軟體Lumma Stealer、NetSupport</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/09/transportation-companies-hit-by.html">汽車經銷商AutoCanada傳出遭Hunter International洩露員工資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.bushidotoken.net/2024/09/examining-mobile-threats-from-russia.html">俄羅斯駭客偏好針對安卓、iOS行動裝置下手，從事網路間諜活動、竊取機密及軍事情報</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/technology/mozilla-accused-of-tracking-users-in-firefox-without-consent/">Mozilla基金會傳出透過Firefox隱私功能，未經同意追蹤使用者上網行為</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165198"><strong style="font-size: 22px;">macOS版ChatGPT軟體存在漏洞，攻擊者恐藉此將間諜軟體植入AI工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/chatgpt-macos-persisten3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/chatgpt-macos-persisten3.png" style="width: 300px; float: right;" /></a></p> <p>今年2月OpenAI宣布將為ChatGPT提供名為記憶（Memory）的功能，並於9月初正式開放所有用戶使用，但有研究人員發現，電腦版應用程式弱點，有機會讓攻擊者將間諜軟體植入AI系統。</p> <p>資安研究員Johann Rehberger揭露名為SpAIware的弱點，攻擊者可藉由第三方網站進行提示注入（Prompt Injection）攻擊手法，將含有能竊取使用者資訊的間諜軟體注入ChatGPT的記憶區，因此，在macOS版應用程式當中，使用者與AI機器人對話的內容，將會持續傳送到攻擊者的伺服器。OpenAI獲報後，已發布新版應用程式予以修補。</p> <p>究竟要如何發動SpAIware攻擊？具體而言，攻擊者要引誘使用者分析不受信任的檔案，或是將他們導向不受信任的網站，而這個網站含有控制ChatGPT及插入惡意資料而能滲透ChatGPT記憶功能的命令。一旦得逞，應用程式就會將使用者後續的聊天內容傳送給攻擊者。</p> <p><a href="https://www.ithome.com.tw/news/165202"><strong style="font-size: 22px;">資料庫管理工具pgAdmin存在重大漏洞，攻擊者可繞過OAuth身分驗證流程挾持用戶資料</strong></a></p> <p>9月23日PostgreSQL資料庫管理工具pgAdmin 4發布8.12版，當中修補重大層級漏洞CVE-2024-9014，這項漏洞存在8.11版之前的所有版本，若不處理，很有可能對使用者資料造成危害。</p> <p>細部而言，此項資安弱點的問題出在OAuth2身分驗證機制，攻擊者有機會藉此取得用戶端ID及帳密機敏資料（Secret），進而在未經授權的情況下存取使用者的資料，CVSS風險評分為9.9（滿分10分）。</p> <p><a href="https://www.ithome.com.tw/news/165142"><strong style="font-size: 22px;">Acronis修補備份軟體Plug-in程式的重大資安漏洞</strong></a></p> <p>資料保護軟體與服務廠商Acronis，於9月16日發布旗下Acronis Backup備份軟體Plug-in程式的更新通報，提醒用戶盡速更新軟體，以修補其中含有的重大資安漏洞CVE-2024-8767。</p> <p>CVE-2024-8767是Acronis評為嚴重性9.9分（滿分10分）的重大漏洞，問題出在Plug-in程式的權限設定不當，可能會讓受影響的伺服器發生敏感資訊外洩的狀況，並讓攻擊者執行未授權的操作。</p> <p>受這個漏洞影響的Acronis Backup備份Plug-in程式，包括搭配cPanel & WHM、Plesk與DirectAdmin等3款Linux平臺主機與網站管理工具的Plug-in程式，這些Plug-in程式的用途是將前述管理工具的資料，備份到Acronis Backup環境中。Acronis建議將搭配cPanel & WHM與Plesk的Plug-in程式，分別更新到1.8.0版，而搭配DirectAdmin的Plug-in則更新到1.2.0版。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165183"><strong>【9月25日】UNC1860為攻擊中東企業組織的駭客開路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165170"><strong>【9月24日】北韓駭客散布惡意PyPI套件，意圖發動供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165136"><strong>【9月23日】中國聲稱遭我國成立的駭客組織攻擊</strong></a></p> </div></div></div>
2024/9/26 17:09作者周峻佑https://www.ithome.com.tw/news/165207
macOS版ChatGPT存在漏洞，攻擊者恐藉此將間諜軟體植入AI工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月OpenAI宣布將為ChatGPT提供名為<a href="https://openai.com/index/memory-and-new-controls-for-chatgpt/">記憶（Memory）</a>的功能，並於9月初正式開放所有用戶使用，但有研究人員發現，電腦版應用程式弱點，有機會讓攻擊者將間諜軟體植入AI系統。</p> <p>資安研究員Johann Rehberger揭露<a href="https://embracethered.com/blog/posts/2024/chatgpt-macos-app-persistent-data-exfiltration/">名為SpAIware的弱點</a>，攻擊者可藉由第三方網站進行提示注入（Prompt Injection）攻擊手法，將含有能竊取使用者資訊的間諜軟體注入ChatGPT的記憶區，從而能夠持續將macOS版應用程式當中，使用者與AI機器人對話的內容，傳送到攻擊者的伺服器上。對此，OpenAI獲報後，已發布新版應用程式予以修補。</p> <p>什麼是記憶功能？這項功能的主要用途，在於使用者與ChatGPT的過程，可以要求AI機器人記住特定內容，而能在後續的對話內容可以加以運用，提供更符合使用者需求的答案。此外，使用者也可以對於ChatGPT記下的內容進行管理，或是要求忘掉部分資訊。</p> <p>究竟要如何發動SpAIware攻擊？具體而言，攻擊者要引誘使用者分析不受信任的檔案，或是將他們導向不受信任的網站，而這個網站含有控制ChatGPT及插入惡意資料滲透過記憶的命令。一旦得逞，應用程式就會將使用者後續的聊天內容傳送給攻擊者。研究人員也公布概念性驗證影片，並指出這項攻擊的過程裡，使用者不易察覺有異。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/zb0q5AW5ns8?si=3r2Ivq26qFTLd-O0" title="YouTube video player" width="560"></iframe></p> </div></div></div>
2024/9/26 14:36作者周峻佑https://www.ithome.com.tw/news/165198
資料庫管理工具pgAdmin存在重大漏洞，攻擊者可繞過OAuth身分驗證流程挾持用戶資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月23日PostgreSQL資料庫管理工具pgAdmin 4發布<a href="https://www.pgadmin.org/docs/pgadmin4/8.12/release_notes_8_12.html">8.12版</a>，當中修補重大層級漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-9014">CVE-2024-9014</a>，這項漏洞存在於8.11版之前的所有版本，若不處理，很有可能對使用者資料造成危害。</p> <p>這項漏洞存在於OAuth2身分驗證機制，攻擊者有機會藉此取得用戶端ID及帳密機敏資料（Secret），進而在未經授權的情況下存取使用者的資料，CVSS風險評分為9.9（滿分10分）。</p> <p>附帶一提的是，新版pgAdmin 4不光修補上述漏洞，也帶來13項新功能及臭蟲修復。</p> </div></div></div>
2024/9/26 15:24作者周峻佑https://www.ithome.com.tw/news/165202
安卓金融木馬Octo2鎖定歐洲國家，接管受害裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者ThreatFabric針對<a href="https://www.threatfabric.com/blogs/octo2-european-banks-already-under-attack-by-new-malware-variant">安卓金融木馬Octo2的攻擊行動</a>提出警告，並指出該惡意程式以名為Octo（也叫做ExobotCompact）的木馬程式為基礎進行開發，駭客為提高裝置接管（Device Takeover，DTO）攻擊的可用性，他們改良遠端控制功能的穩定性，同時也納入複雜的混淆技術，從而迴避相關偵測機制。值得留意的是，在部分歐洲國家已出現實際攻擊行動。研究人員指出，駭客的目標，其實是將這支金融木馬用於攻擊全球的銀行用戶。</p> <p>研究人員指出，根據他們收集的威脅情報，首度出現的Octo2在義大利、波蘭、摩爾多瓦、匈牙利出現，駭客假借提供Chrome、NordVPN，以及名為Enterprise Europe Network的應用程式為誘餌，引誘使用者上當。</p> <p>一旦使用者執行駭客提供的檔案，手機就會被植入惡意程式Zombinder，接著攻擊者會聲稱為了符合Google的使用者資料隱私政策，要求使用者同意安裝必要的外掛程式，而這個外掛就是Octo2。研究人員指出，駭客這麼做的目的，就是為了繞過Google從Android 13導入的新防護機制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/octo_zombinder.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/octo_zombinder.png" style="width: 400px;" /></a></p> <p>研究人員表示，開發該惡意程式的犯罪集團正積極推廣駭客運用，起因是今年發布第一代Octo的原始碼外流，導致有其他駭客開發衍生版本瓜分原本使用Octo的駭客。因此，原開發團隊積極發布新的Octo2，並對該惡意程式持續進行改良，目的就是希望吸引用戶回頭。</p> <p>Octo2主要改進的層面當中，大多集中於遠端控制連線及裝置接管攻擊的程式穩定性，其中一種是能夠藉由減少網路傳輸到C2的資料量，，並降低惡意程式傳送到C2的螢幕截圖品質，而能提高連線的穩定性。</p> <p>但除了上述的運作穩定性，駭客導入更刁鑽的手法來迴避偵測也相當值得留意，新版惡意程式駭客實作更為複雜的混淆機制，其啟動過程必須解密、動態載入額外的本機程式庫，然後密碼有效酬載、產生加密金鑰，以及C2網域名稱，而其中的C2網域名稱，駭客以日期為基礎，打造一種網域名稱生成演算法（DGA），來產生C2伺服器的名稱。</p> </div></div></div>
2024/9/26 16:17作者周峻佑https://www.ithome.com.tw/news/165203
美國FTC針對不實炒作AI能力的公司採取行動，包括DoNotPay在內
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（FTC）周三（9/25）<a href="https://www.ftc.gov/news-events/news/press-releases/2024/09/ftc-announces-crackdown-deceptive-ai-claims-schemes" target="_blank">揭露「AI守法行動」</a>（Operation AI Comply），已採取5項法律行動來對抗那些不實炒作AI技術，或是出售不良AI技術的業者，其中之一是由史丹佛大學學生Joshua Browder在2016年<a href="https://www.ithome.com.tw/news/106767" target="_blank">發表的</a>DoNotPay聊天機器人。</p> <p>FTC表示，市場上有愈來愈多與AI有關的各種宣傳，例如經常承諾可藉由自動化及解決問題來改善人們的生活，然而，使用AI工具來欺騙、誤導或詐欺使用者是違法的。</p> <p>第一波被FTC提告的5家業者包括DoNotPay、Ascend Ecom、Ecommerce Empire Builders、Rytr與FBA Machine。其中，DoNotPay提供的是機器人律師服務，宣稱可代替人類律師，每季的訂閱費用為36美元，但FTC卻發現DoNotPay無法證明機器人的律師等同於人類律師，而且DoNotPay還提供了一個可笑的服務，表示只要提供電子郵件，就能偵測商業網站是否違反數百項的聯邦法令。</p> <p>Rytr提供的則是AI助手服務，其中一項功能可用來生成推薦與評論。然而，FTC指出，Rytr所生成的許多評論與使用者的輸入無關，意謂著該服務生成了大量的不實資訊，並污染了市場。</p> <p>至於Ascend Ecom、Ecommerce Empire Builders或FBA Machine都涉及電子商務服務，皆不實宣稱利用其AI工具就可替使用者建立線上商店，創造每月數千至上萬美元的被動收入，非但沒能實現，還拒絕退款。</p> </div></div></div>
2024/9/26 16:35作者陳曉莉https://www.ithome.com.tw/news/165204
Meta取得Threads.com網址
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>眼尖的媒體發現，Meta旗下的<a href="https://www.whois.com/whois/threads.com" target="_blank">Instagram已經取得</a>了Threads.com的網域名稱。目前Threads服務的網址為Threads.net。</p> <p>Threads是Meta為了與X相抗衡而推出的微型部落格服務，於<a href="https://www.ithome.com.tw/news/157630" target="_blank">去年7月</a>正式上線，網址為Threads.net。當時的Threads.com網域名稱的所有人為一家名為Threads的新創，主要開發類似Slack的協作通訊平臺。</p> <p>不過，Threads共同創辦人暨執行長Rousseau Kazi<a href="https://x.com/rousseaukazi/status/1798724339841319186" target="_blank">今年6月宣布</a>，該團隊已賣給了Shopify。</p> <p>根據Kazi的描述，從Instagram Threads上線以來，該公司便出現了出售網域名稱的機會，而且幾乎在同一段時間，有不同的公司找上門來，企圖收購該團隊，過去他們通常會拒絕收購，但現在情況已然不同，一來不想再花時間重塑品牌，二來科技的快速發展，令他們對於可加入一個執行大規模創新與實驗的地方感到興奮。</p> <p>現階段並不確定Meta是從Threads還是Shopify手上買下Threads.com。</p> </div></div></div>
2024/9/26 16:48作者陳曉莉https://www.ithome.com.tw/news/165205
勒索軟體RansomHub利用EDRKillShifter載入作案工具，並癱瘓防毒及EDR防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了攻擊流程能如期加密受害電腦檔案，勒索軟體駭客RansomHub在從事攻擊行動當中，會運用<a href="https://www.ithome.com.tw/news/164521">名為EDRKillShifter的工具</a>，將防毒軟體或端點防護工具EDR停用，該勒索軟體運作已超過半年，<a href="https://www.ithome.com.tw/news/164809">迄今超過210個企業組織受害</a>，而受到資安圈高度關注。但駭客如何運用EDRKillShifter來達到目的？有研究人員公布更多細節。</p> <p>資安業者趨勢科技指出，<a href="https://www.trendmicro.com/en_us/research/24/i/how-ransomhub-ransomware-uses-edrkillshifter-to-disable-edr-and-.html">這些駭客已將EDRKillShifter整合到他們的攻擊鏈當中</a>，這個惡意程式主要是利用存在弱點的驅動程式，從而破壞EDR端點防護機制，但除此之外，駭客也企圖讓這支程式持續於受害電腦運作，目的是讓整個攻擊流程都能不受干擾。</p> <p>針對駭客的攻擊流程，研究人員指出通常是透過釣魚郵件、已知漏洞、密碼潑灑攻擊等手法，針對曝露於網際網路的應用系統及端點電腦，來取得初始入侵的管道。其中一個駭客利用的漏洞，是4年前揭露的Zerologon（CVE-2020-1472）。</p> <p>在成功進入目標組織的網路環境後，攻擊者會使用232.bat、tdskiller.bat、killdeff.bat、LogDel.bat等一系列的批次檔，竄改系統組態、終止特定處理程序、停用防毒軟體Microsoft Defender，並竄改事件記錄，目的是掩蓋攻擊者的行蹤。</p> <p>接著，這些駭客藉由本機安全認證子系統服務（LSASS）轉存帳密資料來提升權限，並濫用NetScan、AnyDesk對網路環境進行偵察，以便橫向移動、竊取資料，以及部署勒索軟體。</p> <p>而在上述攻擊的過程裡，攻擊者不只將EDRKillShifter用於阻礙防毒軟體及EDR的運作，還將其當作惡意程式載入工具，來執行各階段的作案工具。駭客必須下達含有密碼的命令才能啟動EDRKillShifter，該執行檔執行時會解密其嵌入的資源，並在記憶體內執行，同時濫用存在弱點的驅動程式，取得運作所需的資料。</p> </div></div></div>
2024/9/26 17:01作者周峻佑https://www.ithome.com.tw/news/165206
Cloud周報第211期：美華納兄弟探索公司導入雲端GenAI優化影片字幕，讓字幕製作時間縮短80%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（09/19～09/25）</strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> WBD </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">美華納兄弟探索公司導入雲端GenAI提升作業效率，並先用於優化影片字幕的製作</span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap43(1).png" style="width: 600px; height: 296px;" /></p> <p>旗下擁有Warner Bros、Discovery、HBO、CNN、Max等知名頻道的美國華納兄弟探索公司（Warner Bros. Discover,WBD）近日宣布開始在內部導入GenAI技術提高作業效率，並先運用在優化自家影片字幕的製作，來提升字幕的精確性，進而提高用戶的觀看體驗。</p> <p>傳統的字幕製作是一項勞動密集且耗時的過程。為了提高效率，WBD最近決定採用了Google生成式AI平臺Vertex AI開發出自家的字幕GenAI模型，並先運用在無腳本節目的字幕製作上，大幅優化字幕處理流程。</p> <p>WBD首席技術長 Avi Saxena表示，導入GenAI技術，不僅有助於加快字幕處理流程，而且還提高了效率，同時降低了成本。</p> <p>與手動添加字幕相比，WBD表示，使用GenAI能將字幕生成時間縮短多達80%，字幕製作成本減少約50%，同時還能有效降低錯誤率，提供觀眾更一致、精確的字幕品質。不過，即使借助AI製作，最後也都會由人工確認字幕品質。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Snap </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Sna的聊天機器人My AI開始整合Google Gemini模型，強化其多模態處理能力</span></strong></p> <p>開發出知名圖片分享軟體Snapchat的Snap最近宣布將擴大與Google Cloud戰略合作，將整合Google Cloud的生成式AI模型Gemini到自家的聊天機器人 My AI中，強化其多模態處理能力。</p> <p>Snap去年推出My AI，最初採用<em>OpenAI</em> 的GPT模型，為Snapchat用戶提供更加互動的體驗。此次整合Google Cloud的多模態模型Gemini，可以使My AI，同時支援文字、音訊、圖像、視訊和程式碼等多種類型資訊。</p> <p>透過Vertex AI平臺，Snap將Gemini整合到Snapchat應用程式中，提供創新的功能，例如用戶可以在旅途中要求My AI翻譯路牌，或或拍攝零食時詢問哪一款更健康。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">雲端叢集系統 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> OCI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">基於Blackwell平臺架構設計，Oracle推出第一套可達ZB級運算規模的雲端運叢集系統</span></strong></p> <p>在近日舉行的Oracle CloudWorld 2024大會上，Oracle宣布推出採用Nvidia Blackwell平臺設計，運算量可達到ZB等級（10的21次方）的雲端運叢集系統OCI Supercluster，Oracle宣稱這是全球最大的雲端AI超級電腦，可協助企業加速建立、訓練和部署下一代 AI 模型。</p> <p>Oracle指出，該超級電腦配備多達131,072個Nvidia GPU，其GPU數量是橡樹嶺國家實驗室Frontier超級電腦的三倍多，更是其他超大規模資料中心的六倍多，若搭配ConnectX-7 NIC或 Quantum-2 InfiniBand高速網路，可在雲端環境提供高達2.4 zettaflops（每秒浮點運算次數）的AI運算能力。</p> <p>企業能在OCI Supercluster上選擇最新的Nvidia GPU，並部署於本地、公有雲和主權雲。這套基於Blackwell架構的系統預計將於明年上半年推出。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">資料落地 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GitHub </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">GitHub企業版雲端服務在歐盟推出資料落地功能，強化企業資料主權和法規要求</span></strong></p> <p><strong><span style="font-size: 22px;"><img alt="" src="https://s4.itho.me/sites/default/files/images/Snap40.png" style="width: 600px; height: 268px;" /></span></strong></p> <p>程式碼代管平臺業者GitHub最近在企業版GitHub雲端服務中推出資料落地（Data Residency）新功能，讓開發人員在開發程式時可以選擇將雲端程式碼和儲存庫儲存在境內，確保這些資料不出境，強化企業資料主權和滿足法規監管要求。</p> <p>GitHub的資料落地功能建立在微軟Azure技術基礎上，供企業能夠將資料存放在指定區域，也提供Azure的安全防護及災難復原功能，另外，該功能也提供專屬命名空間，與開源的github.com環境完全隔離，避免企業內部與開源社群資料出現混淆風險。</p> <p>GitHub將在10月底起在歐盟開始提供資料落地服務，未來進一步將該功能擴展至澳洲、亞洲和拉丁美洲等其他地區。</p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">甲古骨文</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> FFCM </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">甲骨文推出新的管理監控雲端服務，專用於金融犯罪與合規管理</span></strong></p> <p>甲骨文近日推出新的管理監控雲端服務，專用於金融犯罪與合規 (FCCM) 管理，包括提供金融犯罪和合規管理監控與互動視覺化功能，助銀行有效掌控風險並符合合規與報告需求。</p> <p>在這項雲端管理監控服務中， Oracle提供一套業務分析報告系統，搭配視覺化儀表板，讓反洗錢人員及其團隊可以更容易數據中掌握目前狀況，並提供合規團隊關鍵績效指標 (KPI)及其存取權限。</p> <p>透過這套系統，銀行能可更有效評估各業務部門的金融犯罪風險，並積極作出決策，提升FCCM問題的應對能力。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">C8g</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AWS </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">AWS正式推出採用Graviton 4處理器的C8g執行個體，CPU數量比前一代多三倍</span></strong></p> <p>AWS近日推出最新的C8g執行個體，並採用自家設計的Graviton 4處理器，專用於ML推理、HPC等運算密集型工作負載。</p> <p>跟前一代相比，C8g執行個體使用AWS最新的Graviton4處理器，不僅CPU數量上增加了三倍，記憶體也提升三倍，達到384GB，記憶體頻寬增加了 75%，L2快取容量更是翻倍，這些提升讓 C8g 執行個體能夠處理更大規模工作負載，加速資料處理並降低TCO。該實例還提供高達50 Gbps的網路頻寬和高達40 Gbps的Amazon EBS頻寬。</p> <p>C8g實例提供兩種裸機大小，分別是metal-24xl 和 metal-48xl。現已在美國東、西部和歐洲部分區域推出。</p> <p>除了C8g之外，AWS 也推出了 M8g 執行個體，搭載同樣的 Graviton 4 處理器，適用於通用型工作負載。</p> <p> </p> <p>圖片來源／GitHub、Google Cloud</p> <p> </p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.Google向歐盟控訴微軟壟斷，限制歐洲客戶轉移至其他雲端系統</strong></p> <p><strong>2.Google的Vertex AI上架最新Llama 3.2模型，專用於邊緣設備視覺和輕量級模型文本應用 </strong></p> <p><strong>3.Red Hat更新OpenShift平臺，修補2項重大層級漏洞</strong></p> <p><strong>4.Salesforce收購非結構化資料處理工具商Zoomin，強化數據雲的資料整合能力 </strong></p> <p><strong>資料來源：iThome整理，2024年9月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/9/26 08:58作者余至浩https://www.ithome.com.tw/news/165191
Meta揭露重量只有100公克的AR眼鏡Orion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta於本周三（9/25）舉行的Connect大會上<a href="https://www.meta.com/zh-tw/blog/quest/orion-ar-glasses-augmented-reality/" target="_blank">發表了新一代的AR眼鏡Orion</a>，Meta創辦人暨執行長<a href="https://www.facebook.com/photo?fbid=10115852256687321&set=pcb.10115852256976741" target="_blank">祖克柏（Mark Zuckerberg）將它稱為</a>迄今最先進的AR眼鏡，它不再是個笨重的頭戴式裝置，而是個一支重量只有100公克的粗框眼鏡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-Meta-AI%E7%9C%BC%E9%8F%A1-Orion-5.png" style="width: 600px;" /></p> <p>Orion眼鏡的視角為70度，儘管小於人眼的180度視角，或者是HTC Vive Pro 2的130度視角，以及Meta Quest 3的120度視角，但Orion卻是迄今擁有最大視角的最小AR眼鏡；並允許使用者透過語音、眼球移動、手勢及肌電圖（Electromyography，EMG）腕帶進行輸入。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0926-Meta-AR%E7%9C%BC%E9%8F%A1Orion-EMG%E8%85%95%E5%B8%B6.png" style="width: 600px;" /></p> <p>Meta認為，AR眼鏡將是推動以人為中心的運算革命的關鍵。因為它實現了不受智慧型手機螢幕限制的數位體驗，藉由大型的全息顯示，使用者可將實體世界當作螢幕，把2D及3D內容放在任何想要的位置上；它還能整合各種AI來感應及理解使用者周圍的世界，以預測及主動滿足使用者的需求；而輕巧的外型設計則同時適合戶內或戶外使用，也讓人們能夠看見彼此的眼睛及表情。</p> <p>Orion眼鏡的硬體除了眼鏡本身之外，還包括EMG腕帶及無線運算圓盤。眼鏡用來執行所有的手部追蹤、眼球追蹤、同時定位與地圖構建（SLAM），以及將AR圖像精確鎖定於現實世界中的圖像演算法；無線運算圓盤主要用來減輕眼鏡的負擔，用來處理其它應用程式的邏輯，以維持眼鏡的小巧，延長電池壽命及減少延遲。</p> <p>至於EMG腕帶是用來偵測肌肉運算所產生的電子訊號，並轉成命令，例如彎曲食指可能是點選，旋轉手腕是滾動，或是利用手指組合來當作命令的捷徑。</p> <p>Orion的內部代號為Project Nazare，目前仍處於原型階段。Meta強調，即使它不會被送到消費者手上，但它已不僅是個研究原型，而是個非常精緻的產品原型，只是該公司決定先專心進行內部開發，繼續突破技術的界限，不急著讓它上市。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/2CJsnyS8u3c?si=aUySI8IeycKLSEv9&start=204" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> </div></div></div>
2024/9/26 14:49作者陳曉莉https://www.ithome.com.tw/news/165199
迪士尼打擊Disney+帳號共享，擴大至北美及亞太市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>迪士尼公司（The Walt Disney Company，Disney）周三（9/25）<a href="https://thewaltdisneycompany.com/paid-sharing-disney-explainer/" target="_blank">宣布擴大其付費共享計畫</a>，讓訂閱用戶額外付費以與居住在不同地方的親友分享Disney+服務，目的是為了打擊帳號共享行為，<a href="https://www.ithome.com.tw/news/156466" target="_blank">向Netflix看齊</a>。</p> <p>許多影片串流服務都有高階的家庭訂閱選項，允許一次登入多臺裝置，這也讓不少使用者在訂閱了支援多個裝置的高階選項後，與親友分享自己的帳號。然而，不管是Netflix或迪士尼都規定，此一家庭訂閱僅適用於同住在一起的家人，它們會根據用戶的訂閱活動、使用裝置及網路等因素，來自動偵測及確定所謂的家庭範圍。</p> <p>一旦有位於不同住宅的使用者登入並企圖更新位置，Disney+系統即會送出一次性的驗證碼至訂閱用戶的電子郵件信箱中，以要求確認。</p> <p>其實迪士尼今年夏天就先於特定市場測試付費共享計畫，如今將擴大至美國、加拿大、哥斯大黎加、瓜地馬拉、歐洲，以及亞太地區。</p> <p>此外，現在如果要在自己的Disney+帳號中增加住家以外的成員，Disney+ Basic用戶必須額外支付6.99美元，若是Disney+ Premium則必須額外支付9.99美元，而且不管是哪種方案，都只有一個額外成員的名額。</p> </div></div></div>
2024/9/26 15:06作者陳曉莉https://www.ithome.com.tw/news/165200
OpenAI技術長、研究長與研究副總都將離職，外傳準備新設營利公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI技術長Mira Murati周三（9/25）透過自己的X帳號<a href="https://x.com/miramurati/status/1839025700009030027?s=46" target="_blank">對外宣布</a>即將離職，OpenAI執行長Sam Altman很快便<a href="https://x.com/sama/status/1839093415226524114" target="_blank">作出回應</a>，並說研究長Bob McGrew與研究副總裁Barret Zoph也已經決定要離開OpenAI，同一天市場就傳出OpenAI正計畫從非營利組織轉型成營利公司。OpenAI的變化之快總是令人目不暇給。</p> <p>現年35歲的Murati是在2018年才加入OpenAI，任職超過6年，她說離開是件很難抉擇的事，但她想要有更多的時間及空間來從事自己的探索，而現在最重要的事便是好好地交接。</p> <p>Altman則是在當天早上才收到Murati的辭呈，同時對外分享McGrew與Zoph也要離開的消息，解釋他們是個別且友好的作出離職決定，並說感謝他們對OpenAI的貢獻。</p> <p>Altman亦公布了新的人事部署，包括原本的研究副總裁Mark Chen被拔擢為資深研究副總裁，負責帶領OpenAI的研究單位並與科學長Jakub Pachocki合作；原本負責安全的Matt Knight也被升職為OpenAI的資安長；研究科學家Josh Achiam則將擔任任務對齊的負責人。</p> <p>在高階主管相繼宣布離職之後，Altman企圖安撫人心，表示領導階層的變動是公司的自然發展，特別是那些要求嚴格且發展迅速的公司，他不會假裝這麼突然的事件是自然的，但OpenAI亦不是一家正常的公司，他接受Murati的解釋。</p> <p>而在高層大風吹的同一天，市場又傳出OpenAI打算將核心業務重組成一家營利性的公司，此一新公司將不再受到非營利的OpenAI董事會控制。</p> <p>在OpenAI<a href="https://openai.com/our-structure/" target="_blank">既有的架構</a>中，握有最大權力的是OpenAI董事會，它掌控著非營利的OpenAl Nonprofit，OpenAl Nonprofit則擁有一家由OpenAl Nonprofit、員工及股東組成的控股公司，由控股公司持有有限獲利公司OpenAI Global，而微軟與OpenAI的合作即是建立在OpenAI Global上。</p> <p>根據<a href="https://www.wsj.com/tech/ai/openai-chief-technology-officer-resigns-7a8b4639" target="_blank">華爾街日報</a>（The Wall Street Journal，WSJ）與<a href="https://www.reuters.com/technology/artificial-intelligence/openai-remove-non-profit-control-give-sam-altman-equity-sources-say-2024-09-25/" target="_blank">路透社</a>（Reuters）的報導，這家新公司將是所謂的B型企業（Benefit Corporation），混合了非營利與營利組織的特色，會同時考量股東、員工及社會利益，而且不會再受到OpenAI董事會的控制。</p> <p>媒體分析指出，此一新的OpenAI公司將對投資人更具吸引力，不像OpenAI Global有著獲利限制，此外，原本沒有任何OpenAI股權的Altman也將獲得這家新公司的股權。</p> <p>現階段OpenAI正在展開新一輪的增資，身價可能高達1,500億美元，且據傳包括微軟、Nvidia與蘋果都有意願參與。</p> </div></div></div>
2024/9/26 11:08作者陳曉莉https://www.ithome.com.tw/news/165197
研究人員打造出可100%破解reCAPTCHAv2的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞士蘇黎世聯邦理工學院（ETH Zurich）的3名研究人員，在今年7月於日本舉行的COMPSAC 2024研討會上發表了一份研究報告《Breaking reCAPTCHAv2》，指出他們利用最新的You Only Look Once（YOLO）模型破解了用來驗證來者是人類或機器人的Google reCAPTCHAv2，在解決人機驗證（Captcha）上的表現與人類相當，某些情況甚至超越人類，能夠100%繞過reCAPTCHAv2，並已於本月<a href="https://arxiv.org/abs/2409.08831" target="_blank">分享至開放的學術論文平臺arXiv</a>。</p> <p>reCAPTCHAv2為Google所開發的工具，主要用來區分人類及機器人（自動化程序），以防止網站遭到惡意攻擊，不管是垃圾留言，暴力破解或是抓取資料等。它有兩種執行模式，一是只要打勾就能驗證，二是圖像驗證，要求人類選擇所指定的圖像，此一研究主要針對圖像驗證。至於現身於2016年的YOLO則是個基於深度學習技術的即時物體檢測模型，可快速識別並定位圖像中的物體，最新的版本是去年問世的YOLOv8 。</p> <p>ETH Zurich的Andreas Plesner、Tobias Vontobel與Roger Wattenhofer使用預訓練的YOLOv8模型進行圖像分割，並透過1.4萬張已標記的圖像來微調YOLOv8，以執行圖像分類任務，不過，除了模型之外，研究人員還加入了許多元素，包括模擬人類移動滑鼠的行為，使用VPN，添加真實用戶的瀏覽歷史紀錄與Cookie等，以繞過reCAPTCHAv2的諸多防禦機制。</p> <p>過去其實有許多研究人員都試圖破解reCAPTCHAv2的圖像驗證，但成功率只介於68%~71%之間，上述的改善讓ETH Zurich研究人員100%得以利用自動化程序繞過此一驗證機制，同時發現reCAPTCHAv2有很大一部分仰賴Cookie及瀏覽器歷史紀錄，來評估使用者是否為人類。</p> <p>研究人員指出，有鑑於Captcha是用來區分人類與機器人，因此，一個好的Captcha應該恰巧位於人類能力的下限，以及機器能力的上限，然而，隨著AI的進步，機器人能力持續提升，該界限不斷地上移，也讓維持一個有效的Captcha愈來愈具挑戰性，而當機器人能夠100%繞過reCAPTCHAv2時，也代表人們正式進入了一個超越Captcha的時代，應該尋找或設計新的技術來因應此一變遷。</p> </div></div></div>
2024/9/25 21:30作者陳曉莉https://www.ithome.com.tw/news/165189
GitHub在歐盟推資料落地服務，強化企業用戶的資料控制能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub宣布將於2024年10月29日，在歐盟推出<a href="https://github.blog/engineering/engineering-principles/github-enterprise-cloud-with-data-residency/">GitHub Enterprise Cloud資料落地（Data Residency）</a>功能，供企業將程式碼和儲存庫存放在特定地區。這項新功能滿足企業對資料控制的需求，其利用微軟Azure基礎設施，提供資料安全性、業務連續性和災難恢復能力。GitHub團隊指出，內部已經利用該功能進行測試和部署，確認其穩定性和可靠性，並計畫將該功能擴展至更多地區。</p> <p>由於各國和區域法規的要求，企業可能需要遵守嚴格的資料政策。資料落地可確保資料被安全存放於特定地理區域，而這對跨國企業尤為重要，因各國對資料隱私和安全有著不同規範，藉由資料落地確保敏感資料不會被跨境傳輸，而且隨著GitHub Copilot等人工智慧開發工具興起，也能保證訓練資料和模型的儲存位置符合各國法規要求。</p> <p>GitHub表示，多年來他們收到來自全球企業用戶的強烈要求，希望能夠提供資料落地功能，使其對程式碼和儲存庫資料存放位置有更多控制能力，以確保資料主權與資料保護。</p> <p>GitHub的資料落地功能建立在微軟Azure技術基礎上，供企業能夠將資料存放在指定區域，獲得進階資料安全保護，另外，該功能也提供專屬命名空間，與開源的github.com環境完全隔離，避免企業內部與開源社群資料出現混淆風險。</p> <p>為了驗證資料落地功能的穩定性和可靠性，在功能開發過程中，GitHub也積極在內部使用，並建立獨立的資料落地環境。GitHub指出，他們已經進行超過8,000次部署，全面測試功能的穩定性。每個月GitHub持續執行超過1,000次的GitHub Actions作業，在驗證功能成熟度的過程，也依實際運作資料對系統效能進行最佳化。</p> <p>GitHub在10月29日於歐盟推出的資料落地功能，只是全球擴展計畫的第一步，GitHub還計畫在之後進一步將該功能擴展至澳洲、亞洲和拉丁美洲等其他地區，使其客戶擁有更好的資料控制能力。除了地理區域的擴展，GitHub還會繼續改進資料落地功能，確保安全性和效能品質，以適應不同需求和法遵標準。</p> </div></div></div>
2024/9/25 21:58作者李建興https://www.ithome.com.tw/news/165190
【資安日報】9月25日，UNC1860為攻擊中東企業組織的駭客開路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客從事網路攻擊活動，朝向分工的方式進行可說是越來越普遍，其中一種是專門取得目標企業組織初始入侵管道的歹徒（Initial Access Broker，IAB），他們向其他網路罪犯兜售這種管道，如今國家級駭客也出現的類似的分工，有專門的組織從事類似IAB的行為。</p> <p>資安業者Mandiant發現，伊朗駭客UNC1860在成功入侵目標組織後，會藉由惡意軟體控制工具，為接手從事攻擊行動的駭客，提供以遠端桌面連線存取目標網路環境的能力。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165181"><strong style="font-size: 22px;">UNC1860挖掘滲透中東企業組織的初始管道，替攻擊這些目標的駭客開路</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/unc1860-temple-of-oats-fig1_max-1700x1700.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/unc1860-temple-of-oats-fig1_max-1700x1700.png" style="width: 300px; float: right;" /></a>資安業者Mandiant揭露伊朗駭客組織UNC1860，並指出這些駭客疑似隸屬伊朗情報與國家安全部（MOIS），根據他們看到駭客專屬的作案工具，推測這群歹徒可能專為其他網路犯罪組織提供受害組織初始入侵管道（Initial Access Broker，IAB）。</p> <p>這些駭客起初鎖定曝露於網際網路的伺服器植入名為StayShante的Web Shell，企圖取得受害組織的網路環境初始存取權限，一旦得逞，他們就會部署其他惡意程式，例如：TofuDrv、TofuLoad，來取得進一步的控制權，這些被植入的作案工具比一般的後門程式更為隱密，因為駭客會試圖消除惡意程式對C2基礎設施的依賴，使防守方難以偵測行蹤。</p> <p>而在UNC1860成功掌握受害組織網路環境的存取管道後，他們便會透過具備圖形操作介面的惡意軟體控制工具TemplePlay、ViroGreen，為接手從事進一步攻擊行動的駭客，提供以遠端桌面連線（RDP）存取受害組織網路環境的能力。</p> <p><a href="https://www.ithome.com.tw/news/165122"><strong style="font-size: 22px;">全球電子郵件系統安全亮紅燈！網擎解析郵件伺服器軟體資安危機</strong></a></p> <p>電子郵件是眾多資安廠商公認最主要的網路攻擊起點，從2023年下半到現在，就有多起相關的資安事故與漏洞濫用事件躍上媒體版面，知名的郵件伺服器與郵件安全閘道陸續傳出災情，像是：Microsoft 365雲端服務的Outlook Web Access in Exchange Online（OWA），以及Outlook.com（HPE、歐美政府），開放原始碼電子郵件系統Zimbra，Barracuda郵件安全閘道設備，以及Cisco郵件安全閘道。</p> <p>對於專營郵件伺服器與郵件安全系統的網擎資訊而言，也深刻體認到資安局勢日趨嚴峻，執行長廖長健在9月11日舉行的Hello World開發者大會首日下午的演講指出，作為防禦方，採取相關措施有三個基本的前提：首先，攻擊者已有產品完整實驗環境；第二，攻擊者可以輕易找到目標伺服器；第三，攻擊者已有目標環境的使用者帳號。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/kansas-water-facility-switches-to-manual-operations-following-cyberattack/">美國堪薩斯州供水設施遭遇網路攻擊，被迫切換手動操作</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.threatfabric.com/blogs/octo2-harder-better-faster-stronger-new-banking-malware-variant-spotted-attacking-europe">安卓木馬Octo2鎖定歐洲國家，接管受害裝置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/snipbot-romcom-malware-variant/">烏克蘭軍方遭到鎖定，駭客藉由惡意程式SnipBot發動攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://veriti.ai/blog/diddy-do-it-or-did-cybercriminals-how-hackers-are-turning-scandals-into-cyber-attacks/">惡意軟體PDiddySploit假借名人醜聞文章散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/infostealer-malware-bypasses-chromes-new-cookie-theft-defenses/">竊資軟體傳出已繞過Chrome保護Cookie及機敏資料的機制</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165151"><strong style="font-size: 22px;">FreeBSD修補Hypervisor元件重大層級漏洞</strong></a></p> <p>9月19日FreeBSD開發團隊發布資安公告，他們發布14.1-STABLE、14.1-RELEASE-p5、14.0-RELEASE-p11、13.4-STABLE、13.4-RELEASE-p1，以及13.3-RELEASE-p7更新，目的是修補重大層級的漏洞CVE-2024-41721，這項漏洞存在於名為bhyve(8)的Hypervisor元件，屬於記憶體越界讀取（OBR）弱點，CVSS風險評為9.8分。</p> <p>此漏洞發生的原因，在於bhyve透過虛擬USB控制器（XHCI）模擬裝置的過程中，缺乏充分的程式碼驗證，可能導致記憶體越界讀取，從而允許任意寫入檔案或是遠端執行程式碼的情況。</p> <p>這項漏洞無緩解措施，因此FreeBSD維護團隊呼籲儘速更新。但他們也提及，若是未使用XHCI模擬機制的用戶，不會受到這項漏洞影響。</p> <p><a href="https://www.ithome.com.tw/news/165179"><strong style="font-size: 22px;">Cellopoint修補郵件安全閘道重大漏洞，用戶應儘速更新防止管理員權限被奪走</strong></a></p> <p>臺灣電腦網路危機處理暨協調中心（TWCERT/CC）9月20日針對基點資訊（Cellopoint）郵件安全閘道系統Secure Email Gateway（SEG）提出警告，指出該系統4.2.1至4.5.0版存在漏洞CVE-2024-9043，此為重大層級的記憶體緩衝區溢位漏洞，CVSS風險達到9.8分。對此，該公司已於8月發布資安公告，並指出他們在Build 20240712之後的版本修正相關弱點。</p> <p>針對這項漏洞發生的原因，基點資訊指出，起因是該系統處理稽核請求的身分驗證處理程序feedbackd存在弱點，一旦攻擊者向前端網頁發送特製的稽核請求，網頁向feedbackd轉送的過程就會觸發漏洞，導致該處理程序當機。由於前端網頁未能正確處理當機情形，使得前述的稽核請求能夠通過身分驗證，最終攻擊者成功取得系統管理員身分。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165170"><strong>【9月24日】北韓駭客散布惡意PyPI套件，意圖發動供應鏈攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165136"><strong>【9月23日】中國聲稱遭我國成立的駭客組織攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165098"><strong>【9月20日】中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關</strong></a></p> </div></div></div>
2024/9/25 17:16作者周峻佑https://www.ithome.com.tw/news/165183
傳輸速度達27 Gbps，Netgear首款Wi-Fi 7 Mesh系統登臺
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/netgear_orbi_970_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在4年前，我們曾介紹Netgear推出的家用路由器網狀系統<a href="https://www.ithome.com.tw/review/136399">Orbi 850系列</a>，是針對Wi-Fi 6無線網路建置需求而來的產品，2020年6月發表<a href="https://investor.netgear.com/releases/press-release-details/2020/NETGEAR-Extends-WiFi-6-Leadership-With-2nd-Orbi-Mesh-System-Delivering-Gigabit-WiFi-Everywhere-in-the-Home/default.aspx">Orbi 750系列</a>，2021年10月發表<a href="https://investor.netgear.com/releases/press-release-details/2021/NETGEAR-Adds-the-Worlds-First-Quad-Band-WiFi-6E-Mesh-System-to-the-Orbi-Family/default.aspx">Orbi 960系列</a>，開始主打Wi-Fi 6E支援，2022年10月推出支援Wi-Fi 6與提供10GbE埠的<a href="https://investor.netgear.com/releases/press-release-details/2022/NETGEAR-Paves-the-Way-for-the-Fastest-Home-Broadband-Speeds-Available-With-New-10-Gig-Orbi-Tri-Band-Wifi-6-Mesh-System/default.aspx">Orbi 860系列</a>，到了2023年9月，終於發表主打Wi-Fi 7支援的Orbi 970系列，相隔一年後的此刻，代理商瀚錸科技宣布將這批產品引進臺灣市場，目前已通過電信管制射頻器材型式認證。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear RBE970-certified.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RBE970-certified.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Netgear RBE971-certified.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20RBE971-certified.jpg" style="width: 298px;" /></a></p> <p>Orbi 970系列最大賣點，在於總共能提供27 Gbps傳輸效能（BE27000），相較於Wi-Fi 6產品（AX11000），速度增長幅度達到2.4倍，可支援200臺裝置的上網需求，設備內建12支天線、實現360度的訊號範圍覆蓋。若是用戶採購三件式包裝的RBE973S（1主機2衛星）可涵蓋1萬平方呎（281坪），比起Orbi 960系列，增加10％；若是兩件式包裝的RBE972S（1主機1衛星）可涵蓋6,600平方呎（185坪）；若是單件式包裝的路由器RBE971S（1主機），或是單臺衛星延伸器RBE970，可涵蓋3,300平方呎（92坪）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear Orbi 970-throughput.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Orbi%20970-throughput.jpg" style="width: 398px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/970-Antenna-61K%2B9luC7xL__AC_SL1200-_.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/970-Antenna-61K%2B9luC7xL__AC_SL1200-_.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RBE971_WEBUI-small.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RBE971_WEBUI-small.jpg" style="width: 398px;" /></a></p> <p>就硬體架構而言，Orbi 970系列採用的無線通訊晶片是<a href="https://www.qualcomm.com/products/internet-of-things/networking/wi-fi-networks/networking-pro-series/qualcomm-networking-pro-1620-platform">高通Networking Pro 1620 Platform</a>，支援4個頻段、16個串流，匯聚的無線網路容量最高可達33 Gbps，可負擔2千臺裝置的同時連線需求。相較之下，先前推出的Wi-Fi 7基地臺與路由器，若採用高通的晶片，大部分是<a href="https://www.qualcomm.com/products/internet-of-things/networking/wi-fi-networks/networking-pro-series/qualcomm-networking-pro-1220-platform">Networking Pro 1220 Platform</a>，支援3個頻段、12個串流，匯聚的無線網路容量最高可達21 Gbps，可負擔2千臺裝置的同時連線需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Qualcomm Netgear Wi-Fi7 Mesh-2024-09-B.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcomm%20Netgear%20Wi-Fi7%20Mesh-2024-09-B.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Qualcom Wi-Fi 7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qualcom%20Wi-Fi%207.jpg" style="width: 298px;" /></a></p> <p>如同市面上標榜Wi-Fi 7規格的基地臺與路由器，Orbi 970系列可運用2.4 GHz、5 GHz、6 GHz這三種頻段，支援高容量的頻道320 MHz，以及正交振幅調變4096-QAM，而且，這批機型也沿襲Netgear Orbi系列特有的專屬回程傳輸（Dedicated Backhaul），額外設置獨立的5GHz頻段，連接Orbi路由器主機與Orbi衛星延伸器，因此，總共提供4個頻段，同時，它們還能活用Wi-Fi 7新增的多重連結操作（MLO），將這個專用的5 GHz頻段與6 GHz頻段結合起來，Orbi路由器與Orbi衛星延伸器的連線速度可增加1倍，進而達到10 Gbps等級的無線回程傳輸能力，提供更低的存取延遲與更順暢的連線速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Wi-Fi%207%20Orbi%20backhaul.jpg" style="width: 600px;" /></p> <p>而在有線網路的連接能力上，無論是Orbi路由器RBE971或Orbi衛星延伸器RBE970，至少都內建1個10GbE網路埠與2個2.5GbE埠。以Orbi路由器而言，Netgear在此提供2個10GbE埠（WAN埠與LAN埠各1個），以及4個2.5GbE埠（均為LAN埠）；至於Orbi衛星延伸器，提供1個10GbE埠，以及2個2.5GbE埠（3個皆為LAN埠）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Orbi%20router%20hardware.png" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Orbi%20satellite%20hardware.png" style="width: 298px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Orbi%20970-10GbE.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>Netgear Orbi 970系列</strong><br /> ●代理商：瀚錸科技<br /> ●建議售價：RBE971S（單主機）37,800元，RBE972S（1主機1衛星）67,900元，RBE973S（1主機2衛星）97,000元<br /> ●無線網路規格：802.11 a/b/g/n/ac/ax/be、12支內部天線<br /> ●頻段與連線速度：總共為27 Gbps，1個6GHz、4096 QAM模式為11,530 Mbps，2個5GHz、4096 QAM模式，各為8,647Mbps、5,765Mbps，1個2.4 GHz、1024QAM模式為1,147 Mbps，均為4x4天線架構<br /> ●配件：1臺Orbi路由器RBE971、1或多臺Orbi衛星延伸器RBE970、2公尺網路線、2個19V/3.16A電源變壓器<br /> ●可支援無線網路設備數量：200臺<br /> ●網路埠：Orbi路由器有6個（4個2.5 GbE埠、2個10 GbE埠），Orbi衛星延伸器有3個（2個2.5 GbE埠、1個10GbE埠）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/9/25 17:43作者李宗翰https://www.ithome.com.tw/review/165105
UNC1860挖掘滲透中東企業組織的初始管道，替攻擊這些目標的駭客開路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Mandiant揭露<a href="https://cloud.google.com/blog/topics/threat-intelligence/unc1860-iran-middle-eastern-networks/">伊朗駭客組織UNC1860</a>，並指出這些駭客疑似隸屬伊朗情報與國家安全部（MOIS），根據他們看到駭客專屬的作案工具，推測這群歹徒可能專為其他網路犯罪組織提供受害組織初始入侵管道（Initial Access Broker，IAB）。</p> <p>研究人員指出，就攻擊手法與目標而言，UNC1860同於其他伊朗駭客，如Scarred Manticore、Storm-0861、Shrouded Snooper等，主要都是針對中東地區的電信業者及政府機關發動攻擊。但在去年10月資料破壞軟體BabyWiper攻擊行動裡，UNC1860就傳出負責供應受害組織的存取管道，如今研究人員掌握進一步證據，佐證上述的分工情形。</p> <p>這些駭客起初鎖定曝露於網際網路的伺服器植入名為StayShante的Web Shell，企圖取得受害組織的網路環境初始存取權限，一旦得逞，他們就會部署其他惡意程式，例如：TofuDrv、TofuLoad，來取得進一步的控制權，這些被植入的作案工具比一般的後門程式更為隱密，因為駭客會試圖消除惡意程式對C2基礎設施的依賴，使防守方難以偵測行蹤。</p> <p>研究人員提及，駭客植入的作案工具採用被動連線的手法，不會直接發出存取C2的流量，另一方面，駭客對惡意程式下達命令的流量，則是透過各種動態的來源，像是VPN節點、其他受害電腦，甚至是受害組織網路環境的另一個網段，導致防禦方監控網路流量變得更加困難。</p> <p>其中，TofuDrv、TofuLoad都利用了過往未曾發現的輸入及輸出控制命令進行通訊，從而降低被端點資安軟體EDR察覺的機會；另一個被動運作的後門程式TempleDrop，會濫用伊朗防毒軟體Sheed AV的驅動程式元件，避免駭客的作案工具遭到竄改；除此之外，這場攻擊也出現TempleLock、RotPipe等工具的蹤跡，以TempleLock為例，能用來停用Windows事件記錄並抹除作案痕跡。</p> <p>再者，無論Web Shell還是惡意程式，都使用HTTPS加密連線通訊，研究人員無法從網路流量得知攻擊者下達的命令，或是取得有效酬載。</p> <p>而在UNC1860成功掌握受害組織網路環境的存取管道後，他們便會透過具備圖形操作介面的惡意軟體控制工具TemplePlay、ViroGreen，為接手從事進一步攻擊行動的駭客，提供以遠端桌面連線（RDP）存取受害組織網路環境的能力。</p> <p>根據上述的作案工具發現，研究人員指出，突顯這些駭客具備對Windows核心元件的逆向工程技能，以及迴避偵測的能力，因此他們造成的威脅不容小覷。</p> </div></div></div>
2024/9/25 16:32作者周峻佑https://www.ithome.com.tw/news/165181
Cellopoint修補郵件安全閘道重大漏洞，用戶應儘速更新防止管理員權限被奪走
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣電腦網路危機處理暨協調中心（TWCERT/CC）9月20日<a href="https://www.twcert.org.tw/tw/cp-132-8102-b94a9-1.html">針對基點資訊（Cellopoint）郵件安全閘道系統Secure Email Gateway（SEG）提出警告</a>，指出該系統4.2.1至4.5.0版存在漏洞CVE-2024-9043，此為重大層級的記憶體緩衝區溢位漏洞，CVSS風險達到9.8分。對此，該公司<a href="https://www.cellopoint.com/post/seg-feedback-2024?lang=zh">已於8月發布資安公告</a>，並指出他們在Build 20240712之後的版本修正相關弱點。</p> <p>針對這項漏洞發生的原因，基點資訊指出，起因是該系統處理稽核請求的身分驗證處理程序feedbackd存在弱點，一旦攻擊者向前端網頁發送特製的稽核請求，網頁向feedbackd轉送的過程就會觸發漏洞，導致該處理程序當機。由於前端網頁未能正確處理當機情形，使得前述的稽核請求能夠通過身分驗證，最終攻擊者成功取得系統管理員身分。</p> <p>針對這項弱點的處理，基點資訊表示，他們接獲通報後，在7月12日修正前端網頁的弱點，排除偵測feedbackd當機異常的情況，到了8月14日，已清除殘留系統的連線階段（Session）快取資料。</p> <p>若是IT人員無法即時套用相關更新，基點資訊指出，管理者可藉由SEG的登入IP位址控管功能，僅批准特定IP位址的電腦才能存取此系統，限縮駭客利用此漏洞的管道。</p> </div></div></div>
2024/9/25 14:36作者周峻佑https://www.ithome.com.tw/news/165179
英特爾推出搭載P-core效能核心的Xeon 6處理器，更新AI加速器Gaudi 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾在今年Computex電腦展發表Xeon 6處理器，由搭載效率核心(E-core)版本的Xeon 6處理器先打頭陣，本周英特爾再補齊Xeon 6處理器產品線，推出搭載效能核心(P-core)版本，提高核心數及記憶體頻寬，最高至128個核心。</p> <p>Xeon 6為伺服器專用處理器，是英特爾首款採用Intel 3節點設計的產品，其中分為搭載E-core效率核心版本（代號Sierra Forest），以及搭載P-core效能核心版本（代號Granite Rapids）。今年6月，英特爾先推出E-core版Xeon 6處理器，鎖定超多核心需求，最高擁有144個E-Core核心，主要鎖定高密度、高能源效率資料中心使用需求，適用於雲原生、CDN、微服務架構等應用。</p> <p>至於新推出的P-core版本Xeon 6處理器，鎖定密集型工作負載需求，AI及高效能運算市場，不僅增加核心數，並且將AI加速功能嵌入到每個核心，記憶體頻寬也加倍。英特爾稱該處理器適用於邊緣、資料中心到雲端的AI運算需求，強調能在不需獨立加速器之下，執行數十億參數的AI模型。</p> <p>根據官網的訊息，Xeon 6900P系列搭載的P-core為超執行緒核心，針對AI、HPC、資料等工作負載需求，採用矩陣引擎，最高擁有128個核心，最多504MB的快取記憶體；而E-core版本的Xeon 6700E系列，使用單執行緒提高核心密度，並且省略矩陣引擎，單處理器最高擁有144個核心，英特爾計畫今年底再推出更高核心數，將單插槽核心數推升至288個核心。</p> <p>除了P-core版Xeon 6的推出，英特爾也更新旗下的AI加速器Gaudi 3，強調為大規模生成式AI需求設計的Gaudi 3，擁有64個張量處理器核心、8個矩陣乘法引擎，內建128GB HBM2e記憶體，支援24個200Gb的網路埠，使新的Gaudi 3 提升20%的吞吐量，英特爾強調和Nvidia的H100相比，在Llama 2 70B推論時，同樣成本下提供2倍的效能。</p> <p>英特爾指出，Gaudi 3支援PyTorch框架、Hugging Face Transformer、Diffuser模型。目前英特爾已和合作夥伴聯手，針對生成式AI最佳化的方案，例如戴爾合作規畫設計RAG方案。</p> <p> </p> </div></div></div>
2024/9/25 14:55作者蘇文彬https://www.ithome.com.tw/news/165180
卡巴斯基公布網路追蹤報告，顯示Google主導了全球的使用者追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者卡巴斯基（Kaspersky）本周公布了這一年來的<a href="https://securelist.com/web-trackers-report-2023-2024/113778/" target="_blank">網路追蹤報告</a>，指出Google是使用者網路活動的最大監控者，因為Google的追蹤系統幾乎在Kaspersky有進行研究的地區中都占了前幾名的位置。</p> <p>卡巴斯基是在所有安全解決方案中都嵌入了一個名為Do Not Track（DNT）的元件，它的預設值是關閉的，需要使用者手動啟用，但啟用後即能阻止載入那些企圖追蹤使用者網路行為的元素，包括Cookie、Web信標、社交媒體追蹤器，以及使用者或裝置指紋等。儘管卡巴斯基僅在逾30個國家設有辦公室，但產品銷售擴及全球200個國家。</p> <p>調查顯示，自2023年7月至2024年6月間，DNT總計被觸發超過380億次（38,725,551,855），卡巴斯基在每個地區列出最常偵測到的25種追蹤服務，發現有8個追蹤服務幾乎在每個地區都上榜，當中有一半來自Google，分別是用來管理廣告活動的Google Display & Video 360，分析用戶行為及網站流量的Google Analytics，監控廣告活動的Google AdSense，以及專門蒐集影片觀看行為的YouTube Analytics。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-Web%20tracking%20report-kaspersky.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／卡巴斯基</span></span></p> <p>卡巴斯基指出，Google除了在俄羅斯或獨立國協等少數國家沒有取得領先之外，在其它地區或國家通常是最大的追蹤者，展現出極強的主導地位，例如Google Display & Video 360在許多地區的追蹤市占率都超過20%，包括南亞（25.47%）、中東（22.92%）、拉丁美洲（20.13%）及東亞（24.45%）。值得注意的是，包括俄羅斯在內的這些獨立國協，多由當地的追蹤服務品牌領先。</p> <p>Google Analytics在南亞、中東、拉丁美洲及東亞的市占率，也分別達到13.97%、14.12%、14.89%及13.83%；Google AdSense在上述地區的市占率分別是6.85%、6.91%、6.01%與6.61%；YouTube Analytics則為12.71%、12.30%、8.89%與11.66%。</p> <p>至於除了Google之外，最熱門的另外4個追蹤服務則是美國專門追蹤網路應用效能的New Relic，蒐集查詢、位置及顯示廣告的Bing搜尋引擎，蒐集自家網路服務與其它網站互動狀況的微軟追蹤系統，以及Amazon的追蹤系統。</p> </div></div></div>
2024/9/25 12:33作者陳曉莉https://www.ithome.com.tw/news/165178
Google更新Gemini 1.5 Flash/Pro，調降Gemini 1.5 Pro價格
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developers.googleblog.com/zh-hans/updated-production-ready-gemini-models-reduced-15-pro-pricing-increased-rate-limits-and-more/" target="_blank">Google周二（9/24）更新</a>Gemini 1.5 Flash與Gemini 1.5 Pro，釋出Gemini-1.5-Pro-002與Gemini-1.5-Flash-002，主要提高了這兩款模型的輸出速度，調高其速率限制，以及調降Gemini 1.5 Pro的價格。</p> <p>Gemini 1.5是個多模態模型，支援200萬個Token的脈絡長度，它能處理長達1,000頁的PDF檔案，從超過1萬行程式碼的儲存庫中回答問題，也可自1小時的影片中擷取重要資訊。相較於今年5月的Gemini 1.5 Flash/Pro版本，新版不管是在 MMLU-Pro、MATH或HiddenMath等基準測試上都有明顯的長進，在視覺理解或生成Python程式碼也表現得更好。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-gemini%201_5_update-benchmarks_(1).png" style="width: 600px;" /></p> <p>此外，Gemini 1.5 Flash/Pro擁有一個更簡潔的表達方式，不管是在回答問題、進行摘要或汲取內容上，新模型的預設輸出長度都比前一版短了5~20%，以方便使用並降低成本。</p> <p>本周Google亦宣布調降Gemini 1.5 Pro價格，前提是提示少於12.8萬個Token，那麼其輸入Token價格調降了64%，輸出Token則調降52%，新增快取Token價格亦降低了64%，且自今年的10月1日起生效，屆時每100萬個輸入Token的價格為1.25美元，每100萬個Token的輸出價格為2.5美元，可望降低使用Gemini 1.5 Pro的成本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0925-gemini%201_5%20pro%20price.png" style="width: 600px;" /></p> <p>而所謂的速率限制指的是開發人員每分鐘可發送請求的次數（Requests Per Minute，RPM），其中，Gemini 1.5 Flash的速率限制從1000 RPM提高到2000 RPM，Gemini 1.5 Pro則從360 RPM提高到1000 RPM，且Google預計未來幾周將持續提高Gemini API的速率限制。</p> <p>Gemini 1.5 Flash在速度上的改善則較為明顯，它的輸出速度是最初版本的2倍，延遲則只有原來的1/3。</p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2024/9/25 10:45作者陳曉莉https://www.ithome.com.tw/news/165174
Deno 2.0大改全域變數向Node.js靠攏
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deno.com/blog/v2.0-release-candidate#changes-to-global-variables">Deno 2.0的開發已接近完成，進入候選版本的階段</a>。在Deno 2.0版本中，將有兩大重要變更，第一是全域變數的改變，第二則是相依性管理的更新。當初Deno的出現，以改進Node.js的不足為主打，但是從這次全域變數的政策調整來看，Deno似乎從過去試圖走出獨特路線，轉向更務實的妥協，逐漸回歸與Node.js更相近的設計。</p> <p>在Deno 2.0中，全域變數有兩項重大變更，第一是移除window全域變數，第二則是引入Node.js的process全域變數。Deno從1.0版本就引入window全域變數，目的是希望Deno能夠盡可能和瀏覽器相容，但是沒想到window卻成為許多開發者的問題來源。window是瀏覽器環境中的全域物件，代表瀏覽器的全域範圍，因此當前端JavaScript程式碼在瀏覽器中執行時，window可以正常運作，但是於伺服器端環境卻不適用。</p> <p>Deno是一個伺服器端的JavaScript執行環境，因此Deno中的window全域變數，常讓開發者誤以為在操作瀏覽器環境，window包含大量在瀏覽器中才具意義的API，因此當開發者不小心在Deno中使用，則會引發錯誤。有鑑於此，Deno 1.40開始便建議開發者不要使用window，改用globalThis或是self，而在Deno 2.0則會移除window全域變數。globalThis是ECMAScript標準中的統一全域物件，因此可在瀏覽器、Node.js和Deno中使用。</p> <p>Deno 2.0的另一項全域變數改變，是引入Node.js重要全域物件process。process提供存取系統資訊、環境變數、命令列參數等功能。原本在Deno中的設計，要求開發者使用process必須顯式匯入node:process，但對於仰賴process作為全域變數的Node.js程式和框架來說，這項要求帶來額外的負擔。</p> <p>現在Deno為了相容性需求，讓更多應用程式可以輕鬆無縫移植到Deno，因此在Deno 2.0中引入process全域變數。不過官方仍建議開發者盡量使用顯式匯入方法，因此也添加一條新的lint規則，在編輯器中提示並且協助開發者快速進行修正。</p> <p>Deno 2.0相依項目管理方面，新增了jsr:和npm:前綴以區分不同來源的套件，避免名稱衝突。另外，Deno支援子路徑規範，解決過去無法解析包含/子路徑的問題。deno add與deno remove子命令的加入，簡化了相依項目的添加和移除過程。而且當專案包含package.json，Deno則會優先將NPM相依項目新增到該檔案，支援開發和生產相依項目分離管理。</p> </div></div></div>
2024/9/24 22:18作者李建興https://www.ithome.com.tw/news/165172
【資安日報】9月24日，北韓駭客散布惡意PyPI套件，意圖發動供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客針對開發人員從事攻擊行動的情況，不時傳出有關事故，其中一種攻擊類型，就是上架惡意NPM、PyPI套件，引誘開發人員上當而下載、安裝，於受害電腦植入惡意軟體。過往這種攻擊的目的，主要是為了洗劫開發人員的加密貨幣資產，如今駭客的目的出現變化。</p> <p>本週資安業者Palo Alto Networks揭露的資安事故，就是這種例子，駭客真正的目的，是為了發動供應鏈攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165168"><strong style="font-size: 22px;">北韓駭客Citrine Sleet上傳惡意Python套件，意圖散布RAT木馬PondRAT</strong></a></p> <p>北韓駭客近年來鎖定軟體開發人員的攻擊行動變得更加頻繁，這包含了針對正在求職的開發人員散布惡意軟體，以及藉由惡意軟體套件發動攻擊的情況，而最近，有研究人員揭露針對Linux、macOS使用者的攻擊行動。</p> <p>資安業者Palo Alto Networks指出，他們看到別名為AppleJeus、Gleaming Pisces的北韓駭客Citrine Sleet，於PyPI上傳惡意Python套件real-ids、coloredtxt、beautifultext、minisound，一旦開發人員上當，在開發環境部署，電腦就有可能被植入惡意軟體PondRAT。</p> <p>而對於駭客的目的，研究人員評估，很有可能是為了要藉由開發人員的端點電腦從事供應鏈攻擊，將受害電腦作為存取軟體業者的主要媒介，接著進一步挖掘入侵軟體公司客戶的管道。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-mallox-ransomware-linux-variant-based-on-leaked-kryptina-code/">勒索軟體Mallox擴大攻擊版圖，使用Kryptina程式碼打造Linux版加密工具</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securelist.com/necro-trojan-is-back-on-google-play/113881/">安卓木馬Necro上架Google Play市集，感染逾1千萬臺裝置</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.googlecloudcommunity.com/gc/Community-Blog/Finding-Malware-Unveiling-RECORDSTEALER-with-Google-Security/ba-p/803490">駭客假借提供應用程式及破解軟體，散布竊資軟體RecordStealer</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/atandt-pays-13-million-fcc-settlement-over-2023-data-breach/">針對2023年資料外洩事故，AT&T向FCC支付1,300萬美元尋求和解</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/kaspersky-deletes-itself-installs-ultraav-antivirus-without-warning/">美國卡巴斯基用戶電腦的防毒軟體遭到無預警刪除，並被植入「UltraAV」</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165153"><strong style="font-size: 22px;">Grafana修補軟體開發套件資訊洩露漏洞</strong></a></p> <p>上週圖像化資料分析系統Grafana開發團隊發布資安公告，指出他們提供的外掛程式軟體開發套件（SDK）grafana-plugin-sdk-go，存在重大層級的資訊洩露漏洞CVE-2024-8986，0.249.0版及之前版本都受到影響，4.0版CVSS風險評分達到9.1，開發團隊目前已發布0.250.0版進行修補。</p> <p>關於這項漏洞發生的原因，Grafana指出，問題出在此開發套件在編譯二進位檔案的過程當中，會同時加入相關中繼資料，其中包含外掛程式的程式庫URI資訊，若是URI含有帳密資料，就有可能導致此類資料隨著編譯完成的檔案流出，發生資料外洩危機。</p> <p><a href="https://www.ithome.com.tw/news/165166"><strong style="font-size: 22px;">Microchip進階軟體框架存在重大RCE漏洞</strong></a></p> <p>卡內基美隆大學所屬的電腦網路危機處理暨協調中心（CERT/CC）指出，Microchip進階軟體框架（Advanced Software Framework，ASF）存在可被用於遠端執行任意程式碼（RCE）的重大層級漏洞CVE-2024-7490，影響3.52.0.2574版以下所有的ASF，4.0版CVSS風險評分為9.5。值得留意的是，因Microchip已不再提供ASF相關支援，將不會對該漏洞進行修補。</p> <p>這項漏洞存在於tinydhcp伺服器元件，發生的原因在於，ASF的DHCP通訊協定實作無法進行輸入驗證，導致攻擊者有機會藉此導致記憶體緩衝區溢位，進而能夠遠端執行程式碼。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165154"><strong style="font-size: 22px;">Telegram調整隱私政策，同意交出用戶IP位址及電話予執法機構</strong></a></p> <p>上個月Telegram創辦人暨執行長Pavel Durov在法國被捕，並以500萬歐元交保，外傳原因是Telegram拒絕交出嫌犯資料，Durov被控共謀散布兒童性剝削內容（Child Sexual Abuse Material，CSAM），此事近期出現新的發展。</p> <p>本周一（9月23日）<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">Durov</span>透過自己的頻道宣布，為了進一步扼止不法份子濫用Telegram Search，他們更新服務條款及隱私政策，倘若違反該平臺的政策，將會把用戶的IP位址及電話號碼，提供給提出執法要求的執法機構。Durov強調，該公司將在全球市場採用一致的服務條款與隱私政策。</p> <p><a href="https://www.ithome.com.tw/news/165157"><strong style="font-size: 22px;">美國商務部提議禁止中國與俄羅斯連網汽車的軟硬體</strong></a></p> <p>美國商務部（Department of Commerce，DoC）9月23日提出了「法規命令訂定通知」（Notice of proposed rulemaking，NPRM），為了保護美國不受特定國家連網汽車技術的危害，將禁止來自中國與俄羅斯的連網汽車硬體及軟體，特別是當今在中國汽車製造商企圖主導全球連網汽車市場，假若該法規通過，軟體禁令將於2027年生效，硬體禁令則會在2029年生效。</p> <p>商務部認為，有鑑於連網汽車上的某些軟體及硬體能夠捕獲有關地理位置或關鍵基礎設施的資訊，替攻擊者提供破壞車輛或基礎設施的機會，特別是來自中國及俄羅斯的連網汽車中所使用的某些技術構成了極為嚴重的威脅，因而提議禁止進口或銷售源自中國或俄羅斯的實體設計、開發、製造或供應的某些連網汽車系統。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165136"><strong>【9月23日】中國聲稱遭我國成立的駭客組織攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165098"><strong>【9月20日】中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165081"><strong>【9月19日】FBI接管中國駭客架設的大型殭屍網路Raptor Train</strong></a></p> </div></div></div>
2024/9/24 17:08作者周峻佑https://www.ithome.com.tw/news/165170
Grafana修補軟體開發套件資訊洩露漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週圖像化資料分析系統Grafana開發團隊<a href="https://grafana.com/security/security-advisories/cve-2024-8986/">發布資安公告</a>，指出他們提供的外掛程式軟體開發套件（SDK）grafana-plugin-sdk-go，存在重大層級的資訊洩露漏洞CVE-2024-8986，0.249.0版及之前版本都受到影響，4.0版CVSS風險評分達到9.1，開發團隊目前已發布0.250.0版進行修補。</p> <p>關於這項漏洞發生的原因，Grafana指出，問題出在此開發套件在編譯二進位檔案的過程當中，會同時加入相關中繼資料，其中包含外掛程式的程式庫URI資訊，若是URI含有帳密資料，就有可能導致此類資料隨著編譯完成的檔案流出，發生資料外洩危機。</p> </div></div></div>
2024/9/24 12:23作者周峻佑https://www.ithome.com.tw/news/165153
Microchip進階軟體框架存在重大RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>卡內基美隆大學所屬的電腦網路危機處理暨協調中心（CERT/CC）指出，Microchip進階軟體框架（Advanced Software Framework，ASF）存在<a href="https://kb.cert.org/vuls/id/138043">可被用於遠端執行任意程式碼（RCE）的重大層級漏洞CVE-2024-7490</a>，影響3.52.0.2574版以下所有的ASF，4.0版CVSS風險評分為9.5。值得留意的是，因Microchip已不再提供ASF相關支援，將不會對該漏洞進行修補。</p> <p>這項漏洞存在於tinydhcp伺服器元件，發生的原因在於，ASF的DHCP通訊協定實作無法進行輸入驗證，導致攻擊者有機會藉此導致記憶體緩衝區溢位，進而能夠遠端執行程式碼。</p> <p>細部而言，該漏洞出現於所有公開的ASF程式碼基礎（codebase）範例當中，攻擊者可發送特製的DHCP請求造成記憶體緩衝區溢位，並且觸發這項漏洞。</p> <p>他們也提及這項弱點出現在物聯網相關應用的程式碼，因此可能會廣泛存在許多地方；再者，tinydhcp的分叉（fork）版本也可能容易受到該漏洞的影響。</p> <p>該如何緩解這個漏洞？CERT/CC認為，將tinydhcp更換成另一個不受影響的元件，有可能達到緩解的效果，但目前尚未發現其他可行做法。</p> </div></div></div>
2024/9/24 15:36作者周峻佑https://www.ithome.com.tw/news/165166
北韓駭客Citrine Sleet上傳惡意Python套件，意圖散布RAT木馬PondRAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客近年來鎖定軟體開發人員的攻擊行動變得更加頻繁，這包含了針對正在求職的開發人員散布惡意軟體，以及藉由惡意軟體套件發動攻擊的情況，而最近，有研究人員揭露針對Linux、macOS使用者的攻擊行動。</p> <p>資安業者Palo Alto Networks指出，他們看到別名為AppleJeus、Gleaming Pisces的北韓駭客Citrine Sleet，<a href="https://unit42.paloaltonetworks.com/gleaming-pisces-applejeus-poolrat-and-pondrat/?web_view=true">於PyPI上傳惡意Python套件real-ids、coloredtxt、beautifultext、minisound</a>，一旦開發人員上當，在開發環境部署，電腦就有可能被植入惡意軟體PondRAT。</p> <p>根據程式碼的相似特徵，以及過往發現駭客的攻擊手法特質，研究人員從而認為攻擊者的身分很有可能就是Citrine Sleet。</p> <p>而對於駭客的目的，研究人員評估，很有可能是為了要藉由開發人員的端點電腦從事供應鏈攻擊，將受害電腦作為存取軟體業者的主要媒介，接著進一步挖掘入侵軟體公司客戶的管道。</p> <p>另一方面，他們也找到惡意程式PoolRAT的Linux版變種，該惡意程式駭客曾在3年前用於攻擊3CX網路電話環境，他們將PoolRAT與PondRAT進行比對，認為PondRAT是RoolRAT的簡化版本。</p> </div></div></div>
2024/9/24 16:36作者周峻佑https://www.ithome.com.tw/news/165168
【資安月報】2024年8月
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2024年8月資安新聞，本月適逢Black Hat USA 2024與Def Con大會於美國拉斯維加斯登場，最新漏洞與研究成果揭露的消息不斷，持續引發資安研究人員的重視，還有其他重要資安防護與威脅方面的消息也不能忽視，我們整理6大焦點，幫助大家快速回顧重要資安態勢。</p> <p><strong><span style="color:#FF0000;">焦點1：</span></strong>在一年一度的Black Hat USA大會上，每年都有許多全球頂尖資安研究人員揭露最新的研究成果，今年也不例外，包括臺灣的戴夫寇爾首席資安研究員蔡政達（Orange Tsai），他不僅探索了Apache HTTP Server中存在的架構問題，揭開名為Confusion Attacks的全新攻擊面向。</p> <p>而在關注這些漏洞研究之餘，今年還有一個很特別的重點，由於2024年底適逢美國總統大選，因此本屆Black Hat大會開場主題座談，就是聚焦民主與選舉安全的探討，場中不僅有美國CISA局長Jen Easterly出席，還有歐盟ENISA網路安全與營運長Hans de Vries，以及英國NCSC執行長Felicity Oswald，強調鞏固投票安全機制之餘，新挑戰是面對選舉過程的錯誤訊息的傳播，指出對手更專注在破壞選舉過程的印象，而不是直接入侵選舉過程。換句話說，他們的目的是讓選民感到他們的選票沒有保障。</p> <p><span style="color:#FF0000;"><strong>焦點2：</strong></span>因應日後量子破密威脅所設計的後量子密碼學（PQC）標準，在8月13日有3款標準率先正式出爐。</p> <p>美國NIST指出，在通用加密方面，以FIPS 203（ML-KEM）為主要標準，在數位簽章方面，以FIPS 204為主要標準（ML-DSA），FIPS 205（SLH-DSA）可作為備用方法使用。</p> <p>雖然PQC標準還在持續發展，像是FIPS 206預計在年底發布，並且還在繼續評估其他演算法，但由於全面轉換需要時間，如今這3個PQC標準已經發布，需要更多企業組織意識到：公鑰密碼系統的全面升級與轉換，現在就應該著手準備與進行。</p> <p><span style="color:#FF0000;"><strong>焦點3：</strong></span>趨勢科技在黑帽大會展示深度偽造（Deepfake）偵測技術解決方案受矚目，因為這方面的威脅討論多年，過去我們常看到一些科技大廠發起這方面的偵測競賽，希望大家發展防護技術，如今該公司不僅先釋出提供給一般使用者的工具，也透露這樣的功能將納入其商用解決方案之中。</p> <p>此外，到了8月底，另一家以影音工具聞名的訊連科技在他們的用戶大會上，公開說明已開發出DeepFake深偽偵測工具。這些商用產品的新功能發表，均顯示這方面技術的突破。</p> <p><span style="color:#FF0000;"><strong>焦點4：</strong></span>關於駭客鎖定企業產品的零時差漏洞利用上，這個月有一起重大事件發生，那就是──SASE供應商Versa Networks的產品遭鎖定，導致造成5家ISP網路服務供應商及MSP代管服務供應商受害。</p> <p>這起事件是電信業者Lumen旗下的資安實驗室Black Lotus Labs揭露，指出是中國駭客組織Volt Typhoon發起Versa Director零時差利用攻擊（CVE-2024-39717），並說明其攻擊手法，包括駭客先透過曝露於公開網路的Versa管理埠存取系統，再利用零時差漏洞並部暑一個名為VersaMem的Web Shell，藉此攔截與蒐集憑證，使攻擊者能以經過驗證的用戶身分，存取下游的客戶網路。</p> <p>值得我們注意的是，駭客鎖定企業產品的零時差漏洞利用的狀況日益嚴峻，並有越來越多IT供應商成為目標，Versa Networks這次事件就是最新一例，中國駭客鎖定其產品的零時差漏洞來入侵ISP與MSP業者。</p> <p><span style="color:#FF0000;"><strong>焦點5：</strong></span>在勒索軟體威脅方面，這個月有兩大值得關注的焦點，首先我們看到，Zscaler一份最新報告指出，有勒索軟體集團Dark Angels今年成功勒索一家企業7,500萬美元（約24億元），也就是不只勒索金額獅子大開口，而且還勒索成功，區塊鏈分析業者Chainalysis也證實此狀況。這樣的態勢，引起這些業者憂心有其他駭客集團仿效。</p> <p>另一是今年上半才現身的RansomHub勒索軟體，美國多個安全機構發布在8月發布聯合公告，指出全球至少210個企業組織受害，因此提供該組織的入侵手法（TTP）與入侵指標（IOC），呼籲外界對於該組織所帶來的危害更要有所警覺。</p> <p><span style="color:#FF0000;"><strong>焦點6：</strong></span>在AI資安方面，近期有不少重要新聞，像是微軟、Nvidia、英特爾及Google等宣布成立安全AI聯盟CoSAI，目標是建立一個協作生態體系，以解決開發者與採用者在確保AI技術安全時，面臨遵循指南與標準不一或各自獨立的狀況。</p> <p>這個月還有一些重要新聞同樣值得關注，例如，今年美國政府正強調AI長的重要性，以負責主導及監督AI技術的使用，並考慮安全及可靠性；在AI安全及可靠性評估的工具方面，美國CISA釋出相關軟體測試平臺Dioptra 1.0版；在產業端有趨勢科技強調用AI做資安風險管理要有新作法，特別的是，他們還預告要用AI幫助計算風險損失金額，並能預測攻擊路徑。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/164279"><span style="color: rgb(178, 34, 34);">【資安週報】2024年7月29日到8月2日</span></a></strong></h2> <p>這一星期的資安新聞中，在資安威脅態勢上，我們認為有3項消息需要特別重視，涵蓋勒索軟體、網釣攻擊、GitHub遭濫用。</p> <p>（一）駭客開出的勒索金額出現獅子大開口的情形，在Zscaler的一份最新報告指出，勒索軟體集團Dark Angels今年成功勒索一家企業7,500萬美元（約24億元），區塊鏈分析業者Chainalysis也證實此情形，並擔心引起其他駭客集團仿效。</p> <p>（二）有資安業者揭露一起大規模網路釣魚攻擊行動，攻擊者竟然可以發送具有通過SPF和DKIM簽章驗證的大量郵件，調查後發現，駭客疑似利用Proofpoint的郵件防護服務漏洞EchoSpoofing。Proofpoint也提出說明，表示這起事件呈現的弱點並非他們的系統獨有。</p> <p>（三）關於程式碼儲存庫GitHub遭駭客濫用的情形，最近又有新的發現，有資安業者示警，發現駭客組織Stargazers Ghost專門經營大量帳號並提供儲存庫讓駭客與犯罪集團使用，進而形成龐大的網路犯罪生態圈。</p> <p>在APT威脅與資安事件方面，主要有2個重點，分別是關於APT45、APT10的攻擊活動揭露，還有國內外的2起重大資安事件。我們整理如下：<br /> ●近日北韓駭客組織APT45的攻擊行動被大量揭露，包括Google旗下Madiant、微軟，還有美國司法部起訴APT45中一名北韓駭客成員Rim Jong Hyok，當中更是透露受害者不只美空軍基地、NASA，還有臺灣與美、韓的國防承包商。<br /> ●在上個月，日本JPCERT/CC揭露當地製造業、研究機構發動攻擊遭受攻擊，被植入後門程式NoopDoor，如今有資安業者公布該惡意程式細節並指出是中國駭客組織APT10所慣用的惡意程式。<br /> ●華經資訊發布資安重訊，說明已啟動相關防禦機制與復原作業。<br /> ●日本夏普的網路商店Cocoro Store遭入侵，逾10萬人個資恐外流。</p> <p>在漏洞消息方面，本星期共有7個漏洞利用狀況，其中Broadcom在6月底修補VMware ESXi的漏洞CVE-2024-37085最要注意。因為通報的微軟最近揭露相關細節，並指出這個漏洞在修補前就已遭多個攻擊者鎖定利用。換言之，該漏洞在當時就已是零時差漏洞被積極利用，但修補釋出當時公告並未提及此一狀況。</p> <p>其他已知漏洞遭利用的情形，有2個是7月初才修補，包括： ServiceNow的漏洞（CVE-2024-4879、CVE-2024-5217），以及Twilio的Authy漏洞（CVE-2024-3989），還有1個是去年底Acronis修補的漏洞（CVE-2023-45249）。特別的是，2012年微軟修補的IE漏洞（CVE-2012-4792），最近也被美國CISA列入已知漏洞利用清單。</p> <p>還有一個Secure Boot繞過漏洞「PKfail」的揭露，有資安業者發現共發現22個獨特但不可信的平臺金鑰，影響將近900款產品，包括技嘉、Supermicro、Dell等9大業者，並指出這是韌體供應鏈在加密金鑰管理實務上的嚴重問題。</p> <p>關於0719的CrowdStrike引發大當機事件，持續有後續消息，例如，有駭客趁機利用這起事故鎖定CrowdStrike用戶發動攻擊，佯稱提供當機報告程式，但其目的是散步惡意軟體；iThome持續追蹤當時的發生狀況原因，以及對於整個資安產業的影響，我們找到幾位臺灣資安專家，分享對此事故的觀察，他們指出CrowdStrike的病毒特徵碼設計不良之餘，也提及類似CrowdStrike更新出包的意外，是所有端點防護公司都可能發生的，因此，要避免類似意外發生，一定需要重複經過各種驗證程序。</p> <p>至於資安防禦態勢上，有3個重要消息不容錯過，涵蓋AI評估測試、同態加密技術相關工具的釋出，以及cookie theft的防範。例如，美國CISA釋出可用於評估AI安全及可靠性的軟體測試平臺的Dioptra 1.0版，以及Apple將自家發展用於保護隱私的同態加密技術，以開源Swift開源套件釋出。此外，Google為了應對現在許多竊資軟體具有cookie theft手段，宣布將針對Windows版Chrome瀏覽器，提供應用程式導向的加密（App-Bound Encryption）。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164408"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月5日到8月9日</span></strong></a></h2> <p>這一星期Black Hat USA 2024於美國拉斯維加斯登場，今年是第27屆，照往年慣例，有很多資安新聞都在此時發布，特別的是，今年新納入的AI Summit研討會於當地時間6日舉行，趨勢科技也在一場演說中展示偵測深偽（Deepfake）商用解決方案，同時闡釋AI世代的企業資安風險管理差異，幫助大家因應未來的局勢。</p> <p>黑帽大會主活動於7日與8日展開，當中有許多全球頂尖資安研究人員揭露最新的研究成果，我們在這一星期資安日報的新聞，也陸續報導相關消息。</p> <p>●賽門鐵克揭露6起攻擊者濫用合法雲端服務的攻擊行動，不僅指出這些手法日趨複雜，特別的是，研究人員提及中國駭客組織UNC5330散布Grager後門程式，攻擊目標是臺灣、香港、越南的企業組織。<br /> ●德國CISPA亥姆霍茲資訊安全中心揭露GhostWrite漏洞，問題發生在阿里巴巴旗下平頭哥半導體（T-Head）所生產的RISC-V處理器玄鐵C910，並指出其影響範圍可能很廣泛且難以修補。<br /> ●Zenity研究人員公布了如何將Copilot變成駭客武器的最新研究，並釋出新的LOLCopilot紅隊工具模組，當中主要探討駭客如何在滲透後利用Microsoft Copilot來搜尋、解析並竊取敏感資料，而且不會產生日誌。<br /> ●資安業者Bitdefender揭露Solarman太陽能發電監控系統、寧波德業（Deye）逆變器的漏洞，兩家業者在接獲通報後皆著手修補。（研究人員是在美國黑帽大會附近另一場於8日到11日舉行的DEF CON 32資安會議展示這項成果。）</p> <p>臺灣資安研究人員也在本次黑帽大會揭露重要發現，並且於臺灣時間周末登場，因此我們在本期資安週報先行整理。例如，<a href="http://blog.orange.tw/2024/08/confusion-attacks-ch.html?fbclid=IwY2xjawEmX_pleHRuA2FlbQIxMQABHZvi4Nuzpa9EUZIMW14BlGl9n70C1V-oVwHKYdXvEBoPHkhPvZqv292TJA_aem_yW8w1R3MJFLqgj44eEnFOg">戴夫寇爾首席資安研究員蔡政達（Orange Tsai）</a>，今年他揭開名為Confusion Attacks的全新攻擊面向，當中探索了Apache HTTP Server中存在的架構問題，並在攻擊研究中找到9個漏洞，而Orange先前也已將這些漏洞通報給Apache軟體基金會，在7月已有修補釋出（還有1個漏洞的CVE編號待公布）；<a href="https://www.blackhat.com/us-24/briefings/schedule/#attention-is-all-you-need-for-semantics-detection-a-novel-transformer-on-neural-symbolic-approach-39527">睿控網安的研究人員鄭仲倫、馬聖豪、林怡安‍</a>則公開資安防護上對於惡意程式分析的新方法，主要針對攻擊者將惡意程式碼混淆以規避偵測與分析的問題，提出一種新穎且基於神經網路的符號執行大型語言模型－－CuIDA，以模擬人類專家分析策略來進行，並可在不對加殼器進行解壓或解密的情況下，直接檢測被保護的可執行文件。</p> <p>在漏洞消息方面，本星期共有3個漏洞利用狀況值得我們重視，其中一項已知漏洞的防範，需要國內特別重視，因為資安業者指出有中國駭客利用該漏洞入侵臺灣研究機構。</p> <p>（一）思科旗下Talos揭露APT41針對臺灣政府所屬研究機構的攻擊行動，當中具體列出該組織的手法，以及使用已知漏洞<span style="color: rgb(0, 0, 255);">CVE-2018-0824</span>，將惡意程式ShadowPad、Cobalt Strike等攻擊工具植入這個研究機構。<br /> （二）開源ERP系統Apache OFBiz在今年5月修補的漏洞<span style="color: rgb(0, 0, 255);">CVE-2024-32113</span>，大家要當心！因為最近出現攻擊者鎖定利用這個管道的狀況。SANS網路風暴中心指出，最近利用此漏洞的攻擊行動，其目的是將殭屍網路病毒Mirai植入OFBiz。<br /> （三）在Android的8月例行更新中，包含1個已遭利用的零時差漏洞<span style="color: rgb(0, 0, 255);">CVE-2024-36971</span>修補。該漏洞今年6月公布時存在Linux作業系統核心，但該漏洞也影響到Android系統，後續Google TAG小組發現有此漏洞的針對性攻擊跡象。</p> <p>還有2個與臺灣有關的漏洞消息，首先是美國CISA針對臺灣視訊監控設備廠商陞泰科技（Avtech）發布警告，指出其產品存在漏洞<span style="color: rgb(0, 0, 255);">CVE-2024-7029</span>並被用於攻擊行動，但陞泰尚未公布緩解措施，因此CISA特別提供可降低此漏洞遭利用的作法；另一是上月底PKfail漏洞揭露後，<a href="https://www.gigabyte.com/tw/Support/Security/2205">技嘉於8月1日</a>回應此問題的解法，他們表示，將在8月、9月釋出不同平臺的新版BIOS，予以修補。</p> <p>在資安事件方面，有2起消息與國內上市櫃公司有關，還有MDM業者遭駭引發上萬平板筆電無法使用，以及DigiCert撤銷8萬憑證的情形。我們整理如下：<br /> ●上市電腦及週邊設備業「偉聯科技」在8月5日發布資安重訊，說明部份資訊系統遭受駭客網路攻擊事件。<br /> ●上櫃資訊服務業「智聯服務」在8月5日發布資安重訊，說明部份僅供內部人員使用的資訊系統遭受駭客攻擊。<br /> ●在法國奧運賽事期間，當地博物館法國巴黎大皇宮說明遭遇網路攻擊事件，但也指出僅影響博物館內的書店與精品店。<br /> ●行動裝置管理（MDM）方案業者Mobile Guardian遭駭，導致列管的大量iOS及ChromeOS裝置遭未經授權存取，而這起事故也造成許多災情，例如新加坡就有1.3萬學生上課用的平板筆電無法使用。<br /> ●SSL數位憑證機構DigiCert宣布撤銷8萬多個憑證，影響6千多用戶，原因是他們自身未做好網域控制驗證。</p> <p>在資安防禦動向上，有兩個重要消息，一是中華資安國際預計於8月20日登錄興櫃，為臺灣證券市場新增一個資安生力軍；另一是美國CISA首任AI長在8月初出爐，這是因為美國OMB在今年3月的規範，強調在AI時代需有人來主導及監督如何使用AI技術，並考慮安全及可靠性，以此幫助眾人真正獲得AI帶來的好處。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164538"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月12日到8月16日</span></strong></a></h2> <p>在本星期資安周報中，在資安防禦上有一個重要消息，後量子密碼學（PQC）標準正式出爐，首先發布的有3個標準，分別是FIPS 203、FIPS 204與FIPS 205，這意味著PQC邁入新的里程碑，如今企業組織在因應未來量子破密威脅上，已經可以開始行動，因為將公鑰密碼系統轉換需要一定的時間。</p> <p>國內還有3項發展值得關注，包括數位部公布確保機關之間資料安全傳輸的T-Road最新進展，以及鷹眼識詐聯盟揭露AI偵測技術用於金融防詐的成效，以及專注詐騙防治與數位安全議題的「臺灣數位信任協會」成立；而在資安產品動向上，趨勢科技這禮拜揭露資安防護產品的AI應用發展，他們表示，正在發展計算網路安全風險可能損失金額，以及預測攻擊路徑等功能。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商釋出每月例行安全更新，企業在因應各項修補之餘，也要留意一個狀況，攻擊者正持續挖掘大量未知漏洞，也針對已知漏洞快速利用於攻擊行動。</p> <p>以微軟而言，這次修補了多達10個零時差漏洞，數量之多，放眼過去幾年也相當罕見，而且其中有6個已是零時差漏洞利用的狀況，包括：CVE-2024-38189、CVE-2024-38178、CVE-2024-38213、CVE-2024-38193、CVE-2024-38106、CVE-2024-38107，都是修補釋出前、攻擊者已先挖出漏洞並用於攻擊行動。此外，還有SolarWinds Web Help Desk有一個漏洞CVE-2024-28986，13日才宣布先釋出一個熱修補程式（Hotfix），16日美國CISA警告已有攻擊者正在利用。</p> <p>近期還有個涉及Windows CLFS的漏洞被公開也成大家關注的焦點，因為研究人員指出該漏洞可導致系統出現藍色當機（BSoD）的狀況。</p> <p>此外，由於8月上旬的美國黑帽大會與DEF CON剛剛結束，前一星期就有不少研究人員公開最新漏洞研究成果的新聞，這星期持續有相關報導。例如：</p> <p>●微軟研究人員揭露OVPNX，指出OpenVPN存在4個零時差漏洞。<br /> ●資安業者SafeBreach揭露QuickShell，指出Google檔案鄰近分享工具Quick Share存在一系列漏洞。<br /> ●資安業者SySS揭露工控系統遠端存取解決方案Ewon Cosy+存在6項漏洞<br /> ●英國資安業者NCC Group揭露Sonos智慧喇叭漏洞讓駭客得以監聽使用者<br /> ●資安業者Semperis揭露微軟Entra ID的弱點UnOAuthorized</p> <p>值得一提的是，在本屆DEF CON CTF搶旗競賽中，臺灣派出資安戰隊「If this works we'll get fewer for next year」，在全球1,742隊參賽的激烈戰況中，以第10名進入總決賽，之後在12支隊伍比拼下獲得第7名，再次取得不錯的成績。</p> <p>在資安事件焦點方面，有兩個關於資料外洩的新聞，一是有人在Breach Forums駭客論壇公布14億筆騰訊用戶資料，另一是南韓國防工業外包商傳出遭北韓駭客攻擊，導致空中偵察機的技術資料與規格與手冊外洩。</p> <p>還有一條新聞也引發了許多人討論，是因為傳出微軟將從Windows 11 24H2開始，以微軟帳號登入的新用戶，將預設啟用BitLocker加密功能，雖然此舉對於電腦內硬碟帶來更高保護，但引發一些反彈聲浪，包括影響系統效能，以及BitLocker的加密金鑰怕遺失等。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/164683"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月19日到8月23日</span></strong></a></h2> <p>這一星期的資安威脅態勢，有多起新聞是聚焦在偽冒、配置錯誤這兩大議題，成為不可忽視的風險熱點，突顯企業、個人在網路安全上的潛在薄弱環節。</p> <p>以偽冒事件而言，有3則消息，其中一起偽冒情境相當獨特，是讓用戶誤以為電腦更新進行中，但實際是利用遠端存取竊取資料。</p> <p>●駭客偽造WinRAR網站，建立與正牌官網（win-rar.com）一字之差的偽冒網站（win-rar.co），雖然此做法並不新奇，但涉及熱門軟體而受關注。<br /> ●惡意廣告運用動態關鍵字插入技術，鎖定特定公司或產品線並假冒其名義，例如假冒Google的行動中，還會利用Google Looker Studio製作圖片來假冒搜尋頁面，並透過圖片內嵌惡意連結引導至假冒的技術支援頁面。<br /> ●駭客組織先利用社交工程手法，並透過遠端連線請求傳送假的Windows Update的執行檔，特別的是，該程式的作用僅是偽冒出Windows更新的畫面，背後則是利用遠端存取竊取受害者的網路共享資料夾，再留下勒索訊息。</p> <p>以配置錯誤而言，本星期有3則新聞值得關注，下列第一則已有攻擊行動需特別注意，研究人員指出，有11萬個網域成為攻擊者可鎖定的對象，第二則有數千個公開的SuiteCommerce受影響，並且研究人員已經揭露這樣的問題，用戶需在攻擊者關注此攻擊面下，儘速對相關組態進行檢查。</p> <p>●出現一波向企業勒索的攻擊行動，是攻擊者鎖定在AWS公開曝險的bucket，並利用企業的雲端應用環境設定不當，進而得以竊取包含像是驗證憑證的環境變項檔（.env）檔竊取重要資料，並向受害組織勒索。<br /> ●針對Oracle旗下的雲端ERP平臺NetSuite，研究人員指出存在用戶配置錯誤情況相當廣泛，原因在於名為SuiteCommerce電商網站元件中一項CRT的存取控制錯誤組態造成，提醒相關用戶應加強這方面的管理，以避免資料外洩。<br /> ●航班追蹤平臺FlightAware發布資安事件公告，指出在7月底發現因配置錯誤問題，發生外洩該平臺用戶個資的事故。</p> <p>在資安事件方面，有5則重要新聞，當中以臺灣大學院校遭遇後門程式Msupedge攻擊的揭露最受關注，而且，值得警惕的是，入侵原因是未修補今年6月PHP程式語言修補重大漏洞；臺灣最大電子佈告欄（BBS）PTT傳出資料外洩的消息也引發關注，對此消息，<a href="https://www.facebook.com/PttTW/posts/913357430830764">批踢踢實業坊（Ptt.cc）已在隔日發布聲明</a>，傳聞中所稱取得的資料，應係自公開看板上所抓取的文章，並未發現有任何機密資訊受到危害。</p> <p>●國內有大學院校遭遇後門程式Msupedge的攻擊行動<br /> ●中國對臺認知作戰升級，在今年5月盜取飛官社群網站帳號抵毀國軍。<br /> ●PTT驚傳遭到入侵，駭客聲稱取得3.5萬筆資料。<br /> ●美國半導體製造商Microchip傳出遭遇網路攻擊，造成工廠產能降低的影響。<br /> ●豐田美國分公司遭公布24GB公司資料，駭客表示是從其備份伺服器竊取。</p> <p>至於這一星期的漏洞利用消息，有1個零時差漏洞利用情形，Versa Networks旗下可簡化SASE服務的Versa Director平臺的漏洞CVE-2024-39717，美國CISA警告已獲知有主動利用的證據。</p> <p>還有5個漏洞利用要留意，包括：今年1月修補的 Jenkins CLI漏洞（CVE-2024-23897），以及前幾年多個已知漏洞，微軟Exchange Server漏洞（CVE-2021-31196），Linux Kernel漏洞（CVE-2022-0185 ），大華IP攝影機漏洞（CVE-2021-33044、CVE-2021-33045）。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/164797"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年8月26日到8月30日</span></strong></a></h2> <p>在8月最後一週的漏洞消息中，有5個漏洞利用狀況，其中金山WPS Office零時差漏洞CVE-2024-7262遭韓國駭客挖掘並利用最受矚目，因為金山應該早就知道漏洞已被利用的情況，並且悄悄在前幾個月就修補一小部分，再加上通報後金山的回應出現矛盾狀況，使得研究人員公開揭露這兩個漏洞，並且發布這次研究報告來警告金山用戶。</p> <p>●韓國駭客利用WPS Office零時差漏洞，企圖於東亞組織植入後門SpyGlace<br /> ●2個已遭利用零時差漏洞情形與Chrome有關，Google分別修補了存在V8的漏洞CVE-2024-7971、CVE-2024-7965。<br /> ●開源ERP系統Apache OFBiz在8月初修補的漏洞CVE-2024-38856，月底時被美國CISA列入已知漏洞利用清單<br /> ●WordPress外掛程式LiteSpeed Cache修補漏洞CVE-2024-28000，一週後已發現有鎖定的攻擊行動。</p> <p>還有一個是先前Versa Director零時差利用的後續消息，如今攻擊者的身分被揭曉，是中國國家級駭客Volt Typhoon所為，並且是美國電信業者旗下資安團隊揭露，指出有5家業者遭入侵，涵蓋ISP電信商業與MSP服務託管供應商，並說明早在6月就有鎖定的攻擊行動，而修補也是在當時就釋出。</p> <p>在資安威脅態勢上，我們列出5個重點新聞，其中下列第一則是前所未見的重導NFC、竊取感應支付的犯罪手法，由於在捷克已有3家銀行客戶受害，值得留意；第二則反映了新的APT威脅態勢，俄羅斯駭客APT29疑似取得商業間諜組織（CSV）的攻擊程式並加以改造，因為近期APT29使用的攻擊工具非常類似Intellexa與NSO Group開發的攻擊程式。</p> <p>●出現使用NFCGate的流量分析開源工具並重導NFC通訊流量的攻擊手法，可將受害者Android手機內的支付卡資訊傳給駭客。<br /> ●俄羅斯駭客APT29開始利用Intellexa與NSO Group所開發的攻擊程式<br /> ●RansomHub攻擊行動使用可破壞EDR運作的新版惡意驅動程式PoorTry<br /> ●發現新一款鎖定macOS攻擊的竊資軟體Cthulhu Stealer<br /> ●保險公司旗下風險管理業者揭露名為sedexp的Linux惡意軟體，會濫用Linux核心的裝置管理系統udev的規則，並在網頁伺服器竊取信用卡資料。</p> <p>至於資安事故焦點方面，美國西雅圖Tacoma國際機場（SEA）在24日傳出疑似遭到網路攻擊，且數天都還沒有恢復，不止影響網站、郵件系統等數個系統網路中斷，也影響行李托運相關的系統。</p> <p>在國內，則傳出一起因資安檢測引發駐點工程師誤刪檔案的事故，發生在勞動部勞動力發展署（勞發署）高屏澎東分署。該分署當日已證實廠商人員維護時發生人員作業疏失，造成部分電腦本機備份資料遭到刪除。</p> <p>不過，自由時報的報導中還透露更多消息，像是有484部電腦受影響，並提到廠商工程師是為了資訊安全檢查，將電腦D槽內檔案全部加密，包含歷年資料及正在進行的計劃都被刪光。但由於陳述較為凌亂、事件脈絡未能完全疏理，這讓外界更好奇事發經過，但目前也很難以釐清事件經過與原因。</p> <p>在國內資安社群動向方面，今年臺灣駭客年會（HITCON）社群場的舉辦，有多場精彩的漏洞挖掘經驗的公開。包括：戴夫寇爾資安研究人員蔡政達（Orange Tsai）闡釋Apache HTTP Server方面的研究，說明Confusion Attacks的新攻擊面，還有楊安傑（Angelboy）公開在Pwn2Own Vancouver 2024中攻下Windows 11的成果，並闡釋對於Kernel Streaming的研究歷程。而在本次大會活動方面，最特別是我們看到半導體封裝測試大廠日月光的參與，相當難得，他們資安團隊並設計了一個SOC事件調查的情境解題遊戲。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/164223">2024年7月資安月報</a></h3> <h3><a href="https://ithome.com.tw/news/164110">2024年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/163420">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162730">2024年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162577">2024年3月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/161921">2024年2月資安月報</a></h3> <p> </p> <h3> </h3> <p> </p> </div></div></div>
2024/9/24 16:51作者羅正漢https://www.ithome.com.tw/news/165169
FreeBSD修補虛擬機元件重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月19日FreeBSD開發團隊<a href="https://www.freebsd.org/security/advisories/FreeBSD-SA-24:15.bhyve.asc">發布資安公告</a>，他們發布14.1-STABLE、14.1-RELEASE-p5、14.0-RELEASE-p11、13.4-STABLE、13.4-RELEASE-p1，以及13.3-RELEASE-p7更新，目的是修補重大層級的漏洞CVE-2024-41721，這項漏洞存在於名為bhyve(8)的Hypervisor元件，屬於記憶體越界讀取（OBR）弱點，CVSS風險評為9.8分。</p> <p>此漏洞發生的原因，在於bhyve透過虛擬USB控制器（XHCI）模擬裝置的過程中，缺乏充分的程式碼驗證，可能導致記憶體越界讀取，從而允許任意寫入檔案或是遠端執行程式碼的情況。</p> <p>攻擊者若要利用這項弱點，可利用惡意軟體取得指定權限，並透過虛擬機器（VM）觸發漏洞，引發bhyve當機，可能於主機bhyve使用者空間層級的處理程序中，得以執行程式碼，由於該Hypervisor程式通常都會以root執行，換言之，攻擊者等於可藉此任意執行程式碼。</p> <p>這項漏洞無緩解措施，因此FreeBSD維護團隊呼籲儘速更新。但他們也提及，若是未使用XHCI模擬機制的用戶，不會受到這項漏洞影響。</p> </div></div></div>
2024/9/24 11:38作者周峻佑https://www.ithome.com.tw/news/165151
Cloudflare釋出免費工具來制止AI爬蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI模型的出現改變了網路爬蟲的生態，為了讓網站能夠管理AI網路爬蟲的資料搜刮，Cloudflare本周<a href="https://blog.cloudflare.com/cloudflare-ai-audit-control-ai-content-crawlers/" target="_blank">發表</a>了一系列工具，包括可用來察看AI爬蟲具體活動的AI Audit，可一鍵封鎖所有AI爬蟲的Block AI Scrapers and Crawlers，亦準備推出新元件，以讓網站管理者可以設定特定內容的價格，並向模型供應商收費。</p> <p>Cloudflare解釋，過去網路爬蟲只有好跟壞兩種，好爬蟲以搜尋引擎爬蟲為代表，讓使用者可發現網站並替網站帶來流量，壞爬蟲則可能會攻擊網站、利用自動化功能奪取優先權，或是存取用以競爭的資料。然而，AI時代帶來了第三種AI爬蟲，這些爬蟲試圖掃描網站的公開內容，並用來訓練模型，儘管它們並不會破壞或攻擊網站，但它們也不會替網站帶來流量，而是利用網站的內容來創造自己的價值。</p> <p>過去Cloudflare建置了Cloudflare Bot Management平臺，以讓網站管理員可區分不同的爬蟲，並決定允許或阻止它們，現在Cloudflare則開發AI Audit，可用來察看AI爬蟲的各種行為，包括爬蟲的類型、造訪的頻率，或是所掃描的內容，以準確了解AI爬蟲的行為，決定是否控制它們。</p> <p>若還不確定該如何處理這些AI爬蟲，網站管理員可以藉由新的Block AI Scrapers and Crawlers功能，一鍵封鎖所有的AI爬蟲。</p> <p>在這兩個新的免費功能之外，網站管理員也可透過既有的Web Application Firewall（WAF）功能，更精細地控制所要允許或封鎖的爬蟲。</p> <p>Cloudflare指出，除了上述的選擇之外，他們認為網站應該也要能夠得到合理的補償，因此正在規畫一個新的元件，允許網站擁有者可替該站或特定內容設定價格，要求以AI爬蟲掃描該站的模型供應商付費。</p> </div></div></div>
2024/9/24 16:16作者陳曉莉https://www.ithome.com.tw/news/165167
Fintech周報第253期：凱基證券推出AI助理，能提供上市櫃近兩千檔個股長短線投資建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 dir="ltr" style="margin: 10pt 0px 4pt; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.38; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">9/9~9/23金融科技精選新聞</span></span></h3> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 凱基證券 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI助理 </span></strong></span></h3> <h3>凱基證券推出AI助理，能提供上市櫃近兩千檔個股長短線投資建議</h3> <p>凱基證券近日在下單App推出AI助理服務，能針對上市櫃近兩千檔個股提供短線AI預測和長線研究報告。凱基證券表示，這款AI助理運用機器學習來預測個股未來一周的漲跌，並依據凱基投顧資深分析師撰寫的研究報告，來提供個股長線預測。除了文字內容，這款AI助理也提供語音功能，能解說每一檔個股投資資訊。</p> <p>另外，凱基證券也推出客製化通知服務，可以依據客戶的庫存、自選股和交易行為偏好傳送通知。例如，投資人若偏好參與股票抽籤，一旦有市價、承銷價價差超過10%的新股抽籤，下單App即會主動傳送通知。</p> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融資安 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DDoS </span></strong></span></h3> <h3>兆豐、彰銀接連發布重訊揭露遭DDoS攻擊，證交所也遭殃</h3> <p>近日，親俄駭客組織宣稱已對臺灣政府發起DDoS攻擊，瞄準包括證交所、兆豐金、彰化銀等金融機構網站。9月12日，兆豐金控和彰化銀行接連發布重訊說明官網遭遇DDoS攻擊。兆豐金控表示，受影響範圍包括兆豐集團的金控、證券、票券及投信公司網站，彰化銀行則表示，他們的銀行官網遭受網路DDoS攻擊。所幸兩家金融業者都於第一時間啟動相關防禦復原機制，網站皆迅速恢復正常運作。</p> <p>另外，證交所12日下午也傳出大當機，當日晚間證交所也證實，下午發現大量來自國外IP對證交所官網發送無效查詢，影響官網服務，所幸異常查詢量並未達到公司網路服務頻寬上限，其它網站服務並未受到影響。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 摩根大通 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></h3> <h3>摩根大通營運長：短期內AI和LLM影響最大的場景是提升營運效率</h3> <p>摩根大通營運長Daniel Pinto近日在巴克萊全球金融服務會議上表示，未來三到五年內，AI和大型語言模型的結合，將會帶來顯著改變。他認為，短期至中期內，AI和LLM最有潛力的場景是提升營運效率，「不是在同樣的預算內處理更多工作，就是減少支出。」</p> <p>Pinto提到，內部正在進行兩件事，第一，審視每個大型營運場景的工作流程，並運用AI和LLM優化流程。第二，Pinto證實內部已推出<span style="color:#FF0000;">一款</span>名為LLM Suite的GenAI平臺，提供給14萬名員工使用，幫助員工提升日常工作效率。今年七月，有外媒揭露摩根大通內部備忘錄，指出員工可以將LLM Suite視為分析師，提供特定主題的資訊、解決方式和建議。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國泰金控 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數據上雲 </span></strong></span></h3> <h3>國泰金控啟動數據上雲，計畫搭建雲端湖倉平臺集中數據分析和視覺化圖表產製需求</h3> <p>國泰金控近日宣布啟動數據上雲，計畫搭建國泰金控雲端湖倉平臺（Data Lakehouse）<span style="color:#FF0000;">，</span>將既有的資料儲存分析架構，結合雲端技術，集中雲端數據單位提供的數據分析和視覺化資訊圖表產製需求，同時加強雲端服務應用管控。</p> <p>另外，國泰金控也說明，國泰金控雲端湖倉平臺將參考集中式地端湖倉平臺應用模式，讓前端應用透過雲端數據中臺介接雲端湖倉平臺。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核心系統 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 金融上雲 </span></strong></span></h3> <h3>日本主要地方銀行開始進行核心系統上雲，預計2027年正式啟用</h3> <p>日本靜岡銀行在去年12月宣布「雲端優先」計畫，打算集團擁有的200套系統逐步遷移至公雲，核心系統也包括在內。近日，日本靜岡銀行宣布，已完成核心系統上公雲的技術驗證，將正式啟動核心系統上雲工程，預計在2027年正式運作。</p> <p>其實。靜岡銀行剛在2021年啟用開放式架構的核心系統，不到三年，又快速投入核心系統上公雲的大型IT計畫。這間銀行願意大膽投資核心轉型，源自更大的戰略目標。去年中，為了因應不斷變化的社會和產業環境，靜岡銀行宣布啟動中期經營計畫，而數位轉型也被列入五大戰略目標。走向公雲正是靜岡銀行數位轉型的重要策略方向。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 保險AI </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GAI </span></strong></span></h3> <h3>澳洲保險巨頭Suncorp運用生成式AI開發框架服務打造GAI應用</h3> <p>澳洲保險公司Suncorp近日在一場活動中表示，內部打造了一款生成式AI助手SunGPT，協助超過一千多名保險業務員快速查詢理賠和保單等資訊。並且，Suncorp正在開發20個生成式AI應用，目標是在今年將應用整合至保險業務流程中。</p> <p>Suncorp表示，他們運用了軟體公司提供的生成式AI開發框架服務，能快速運用和管理多個雲端大廠的LLM服務。不過，在開發生成式AI應用的過程中，Suncorp花費許多時間在準確性、擴展性、效能和成本四者間找尋適當平衡。Suncorp技術長Kranthi Nekkalapu提到，嘗試降低GAI服務成本時，準確性可能會因此降低，然而，追求高度準確，恐無法讓GAI應用更即時回覆。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數位貨幣 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 區塊鏈 </span></strong></span></h3> <h3>香港金管局啟動數位港元計畫第二階段，聯合11間跨產業公司在正式環境中實驗數位貨幣</h3> <p>香港金管局近日啟動數位港元先行計畫第二階段，將由11間跨產業公司合作實驗數位港元和代幣化存款應用，瞭解個人和企業使用數位貨幣時的商模和技術可用性。金管局表示，在第二階段中，11間參與企業將在三大場景實驗數位港元和代幣化存款，分別是代幣化資產結算、可程式化和離線支付，同時驗證商模和技術可行性。預計在明年底前公布計畫成果。</p> <p>香港金管局在2022年11月推動數位港元先行計畫第一階段。當時，金管局開發數位港元沙盒，供計畫參與企業快速進行概念驗證、開發和測試應用。不過，第一階段僅開放小規模測試，到了第二階段才開始在正式場景中進行較大規模的測試。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 掌紋支付 </span></strong></span><span style="font-size: 18.6667px;"> </span><span style="font-size: 18.6667px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微信支付 </span></strong></span></h3> <h3>中國微信支付將掌紋支付擴大至澳門，但僅限中國用戶使用</h3> <p>中國微信支付近日宣布在澳門推出掌紋支付，用戶只須在設備上刷掌，就能完成付款。為了鎖定中國遊客，微信支付首先在賭場、度假村，和表演場地等60間店家推出掌紋支付。騰訊表示，未來計畫將這項技術擴大至澳門更多場景。不過，澳門的掌紋支付功能，必須用中國境內註冊的錢包帳戶，來啟動才能使用。</p> <p>微信支付在去年五月開始在中國境內推出掌紋支付，目前，掌紋支付已應用在中國的零售、餐飲、交通、充電器租借等場景。例如，在廣東，就有超過1,500家便利商店支援掌紋支付。</p> <h3>其它重要Fintech新聞</h3> <ul> <li>隨著監理機構不斷加強監管銀行在金融科技上的合作，美國多間銀行接連宣布退出BaaS業務</li> <li>Google錢包宣布將支援一卡通 iPASS</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2024年9月</p> <p></p> </div></div></div>
2024/9/24 11:54作者李昀璇https://www.ithome.com.tw/news/165152
Sam Altman宣稱智慧時代的特徵為無比繁榮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI的創辦人暨執行長Sam Altman周一（9/23）張貼一篇以「智慧時代」（<a href="https://ia.samaltman.com/" target="_blank">The Intelligence Age</a>）為名的文章，指出人們正站在由運算、能源及意志舖設的智慧時代的路口，AI將能協助人們創造任何想像得到的東西，孩子會擁有不同學科的多個虛擬教師，智慧時代的明確特徵就是無比繁榮。</p> <p>Altman這篇文章無疑是在描繪AI的樂觀及遠大的前景，適逢OpenAI正展開新一輪的<a href="https://www.ithome.com.tw/news/164742" target="_blank">募資</a>，且根據紐約時報（The New York Times）的<a href="https://www.nytimes.com/2024/09/12/business/dealbook/openai-valuation-artificial-intelligence.html" target="_blank">報導</a>，OpenAI此次的增資目標是讓該公司的市值達到1,500億美元。根據Companies Market Cap的<a href="https://companiesmarketcap.com/" target="_blank">資訊</a>，1,500億美元的市場已名列全球前一百大企業。</p> <p>此外，該市值讓OpenAI接近迪士尼（Walt Disney）的1,686億美元，Morgan Stanley的1,657億美元，匯豐銀行（HSBC）的1,647億美元，以及AT&T的1,540億美元，並超過拼多多的1,420億美元，Honywell的1,323億美元與安聯（Allianz）的1,279億美元。</p> <p>Altman認為，人類從石器時代一路進步到農業時代及工業時代，現在正要踩進智慧時代。在這個新時代，每個人都可擁有一個由不同領域之虛擬專家組成的AI團隊，創造可想到的任何東西；小孩將擁有不同學科的虛擬教師，提供個人化的教學；AI還能用來改善醫療保健，建置任何類型的軟體。</p> <p>Altman說，未來的光明連現在的筆墨都難以形容，但智慧時代的明確特徵便是無比繁榮。然而，若想將AI交到更多人的手中，需要降低運算成本，而且讓它唾手可及，但這需要大量的能源與晶片，倘若無法建立足夠的基礎設施，AI將成為非常有限的資源，並成為富人的工具。</p> <p>對於AI今日的成就，Altman認為是深度學習技術發揮了作用，並說人們有機會在數千天內擁有超級智慧（Superintelligence，指的是AI能力遠遠超越人類），就算需要更長的時間，他也有達到Superintelligence的信心。</p> </div></div></div>
2024/9/24 14:34作者陳曉莉https://www.ithome.com.tw/news/165155
美國商務部提議禁止中國與俄羅斯的連網汽車硬體及軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國商務部（Department of Commerce，DoC）周一（9/23）<a href="https://www.whitehouse.gov/briefing-room/statements-releases/2024/09/23/fact-sheet-protecting-america-from-connected-vehicle-technology-from-countries-of-concern/" target="_blank">提出了「法規命令訂定通知」</a>（Notice of proposed rulemaking，NPRM），為了保護美國不受特定國家連網汽車技術的危害，將禁止來自中國與俄羅斯的連網汽車硬體及軟體，特別是在中國汽車製造商企圖主導全球連網汽車市場的今日，若通過，軟體禁令將於2027年生效，硬體禁令則會在2029年生效。</p> <p>DoC說，連網汽車有許多好處，從提高行車安全到協助司機導航，但它們也帶來了日益增加的新威脅，像是控制車輛的移動，蒐集敏感的司機與乘客資料，蒐集自駕車配備的攝影機及感應器資料，並記錄詳細的美國基礎設施資訊。</p> <p>商務部認為，有鑑於連網汽車上的某些軟體及硬體能夠捕獲有關地理位置或關鍵基礎設施的資訊，替惡意行為者提供破壞車輛或基礎設施的機會，特別是來自中國及俄羅斯的連網汽車中所使用的某些技術構成了特別嚴重的威脅，因而提議禁止進口或銷售源自中國或俄羅斯的實體設計、開發、製造或供應的某些連網汽車系統。</p> <p>具體而言，此一規定涵蓋的是用來連結汽車及實體世界的汽車連網系統（Vehicle Connectivity Systems，VCS），涉及利用藍牙、行動網路、衛星或Wi-Fi模組連網的系統及零件，以及不需要人類司機的自動駕駛系統（Automated Driving Systems，ADS）。</p> <p>因此，採用VCS與ADS軟體的連網汽車將會被限制進口或銷售，進口VCS硬體設備同樣也會受限。</p> <p>目前此一NPRM必須先經過大眾討論及意見審查，才能成為正式規則。倘若通過，那麼對軟體的禁令將在2027年生效，硬體禁令則會在2029年生效。</p> </div></div></div>
2024/9/24 14:54作者陳曉莉https://www.ithome.com.tw/news/165157
Telegram變更隱私政策，同意交出用戶IP及電話予執法機構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram創辦人暨執行長Pavel Durov周一（9/23）透過自己的頻道宣布，為了進一步扼止不法份子濫用Telegram Search，已更新其服務條款及隱私政策，倘若違反該平臺的政策，將會把用戶的IP位址及電話號碼提交給擁有有效法律要求的執法機構。</p> <p>Durov上個月在法國被<a href="https://www.ithome.com.tw/news/164687" target="_blank">逮捕</a>，並以500萬歐元<a href="https://www.ithome.com.tw/news/164740" target="_blank">交保</a>。外傳他是因為拒絕交出嫌犯資料，才被指控共謀散布兒童性剝削內容（Child Sexual Abuse Material，CSAM）。</p> <p>本周Durov指出，Telegram上的搜尋（Search）是個很強大的功能，它允許使用者尋找公開的頻道及機器人，然而，卻有人濫用該功能來販售非法商品，違反該平臺的服務條款。該平臺的管理員在過去幾周已利用AI來強化Search的安全，於搜尋結果中移除了所有有問題的內容，此外，為了進一步扼止這些濫用Telegram Search的不法份子，Telegram亦更新其服務條款及隱私政策，闡明只要執法機構取得了法院命令，同時確定用戶違反該平臺的規定，那麼就會交出用戶的IP位址及電話號碼。</p> <p>Durov還強調，將在全球市場採用一致的服務條款與隱私政策。</p> <p>Telegram是在隱私條款的8.3.條中提到執法機構，<a href="https://telegram.org/privacy?setln=fa" target="_blank">新版</a>清楚地寫著，倘若Telegram收到有效的命令，確認用戶涉及犯罪行動且違反Telegram服務條款，那麼Telegram將會分析其命令，並可能揭露用戶位址及電話號碼予執法機構。</p> <p>而在<a href="https://web.archive.org/web/20240915161210/https://telegram.org/privacy?setln=fa" target="_blank">舊版</a>中的8.3條，儘管也說倘若收到確認用戶為恐怖份子嫌犯的法院命令，Telegram可能會交出用戶IP位址與電話號碼，但後面補了一句「迄今此事從未發生過」（So far, this has never happened. ）</p> <p>看起來Durov已經同意把CSAM嫌犯資料交予法國政策，而且新政策也將適用於其它市場。</p> </div></div></div>
2024/9/24 12:53作者陳曉莉https://www.ithome.com.tw/news/165154
DirectX 12支援開源SPIR-V著色器，進入跨平臺繪圖API新時代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://devblogs.microsoft.com/directx/directx-adopting-spir-v/" target="_blank">微軟宣布</a>從著色器程式開發標準Shader Model 7開始，逐步以SPIR-V取代DXIL，而這代表著DirectX 12後將走向開放標準的道路。微軟和Khronos、Google等組織合作，計畫透過這項改變推動GPU程式設計創新，同時加速新硬體功能的普及，進一步提升開發者的生產力。該政策將分數年逐步實現，確保開發生態系的平穩過渡。</p> <p>過去Direct3D使用的是以LLVM為基礎的DXIL格式，支援各種著色器功能，諸如光線追蹤和工作圖（Work Graph）等，而現在微軟決定新增採用SPIR-V開放標準。SPIR-V是一個由Khronos所開發的二進位中介表示格式，用來編譯和執行GPU上著色器和計算程式，其支援諸如Vulkan和OpenCL等多種繪圖API。</p> <p>SPIR-V具備良好的可擴展性，同時也支援新的硬體和技術，已是現代GPU程式廣泛使用的標準。微軟透過讓Direct3D支援該開放標準，統一著色器的中介格式，這將讓開發者可以更輕鬆地利用現有工具和技術，進行跨平臺GPU程式開發。</p> <p>微軟計畫推出專屬SPIR-V環境，來支援Direct3D現有與未來的著色器程式開發。新功能會透過SPIR-V擴充實現，確保開發者在技術過渡階段，仍然可以使用Direct3D原本所提供的靈活性和功能。同時，微軟也將提供工具，讓SPIR-V和DXIL兩種格式能夠雙向轉換，藉由漸進式過渡政策，確保開發者能夠平穩適應新格式，並且逐步更新工具和驅動程式。</p> <p>對於使用AgilitySDK開發Direct3D應用程式的開發者，這項轉換不會帶來太多工作流程改變，不過官方指出，開發用來編輯和操作編譯後著色器的工具開發者，就可能會因為技術轉換，而需要對工具進行變更和調整。</p> <p>由於SPIR-V核心設計具有良好的可擴展性，因此可以更好地支援GPU API新功能，透過統一標準中介格式，開發者無論是在Direct3D還是其他繪圖API，都能夠更快地採用新功能。而對硬體供應商和微軟本身來說，也可以將資源投入在差異化功能開發，而不需要重新建構受廣泛支援的基礎功能。</p> <p>這項政策的實施將持續數年，微軟希望及早公開相關資訊，使開發者和其合作夥伴有時間準備，以順利應對接下來的技術轉換工作。</p> </div></div></div>
2024/9/24 08:17作者李建興https://www.ithome.com.tw/news/165143
【資安日報】9月23日，中國聲稱遭我國成立的駭客組織攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近半個月來中國駭客鎖定臺灣的資安事故頻傳，然而今天中國卻聲稱，他們遭到我國成立的駭客組織「Anonymous64」攻擊的情況，並公布其中3名成員的姓名及照片。</p> <p>然而從中國提出的指控，他們並未提出為何該組織與資通電軍有關？國防部發布的公開聲明當中，也僅有駁斥相關指控不實，後續的情況有待進一步觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165129"><strong style="font-size: 22px;">中國聲稱遭我國成立的駭客組織攻擊，資通電軍表示並非事實</strong></a></p> <p>今天（9月23日）中國國家安全部在中國中央電視臺網站發布文章指控，名為Anonymous64的駭客組織，針對中國及港澳地區頻繁發動網路攻擊，企圖取得企業組織的入口網站、電子看板、網路電視的控制，上傳抨擊中國政府政治制度及執政方針的內容，他們調查後認為，這些駭客的身分，是隸屬我國國防部資通電軍旗下的「網路戰聯隊網路環境研析中心」，他們公布3名資通電軍人員姓名和照片，揚言已進行立案調查。</p> <p>對此，隸屬於我國國防部的軍聞社發布報導駁斥這項指控，資通電軍表示，他們的主要任務是負責國防資訊及網路安全維護，這些指控並非事實。中國持續透過軍機、軍艦，以及網路攻擊等手段侵擾臺灣，才是破壞區域和平的始作俑者。</p> <p><a href="https://www.ithome.com.tw/news/165123"><strong style="font-size: 22px;">駭客組織TeamTNT鎖定CentOS主機植入Rootkit</strong></a></p> <p>約在4到5年前出現，專門鎖定雲端環境下手從事挖礦的駭客組織TeamTNT，傳出近期再度出沒的跡象，這次目標是執行CentOS作業系統的虛擬專屬伺服器（VPS）。資安業者Group-IB指出，於2022年消聲匿跡的TeamTNT，去年疑似再度從事活動的情況，駭客先是透過SSH連線存取目標主機，透過暴力破解來得到初始存取的管道，得逞後上傳了惡意指令碼。</p> <p>值得留意的是，這波攻擊駭客試圖阻止伺服器管理員進行復原。駭客先是使用chattr命令來鎖定、控制檔案屬性，接著，他們透過另一項工具tntrecht停用chattr，阻止管理員復原這些已竄改的檔案屬性。接著，這些駭客也鎖定該系統，並阻止管理員重開機、關機，或是恢復存取權限。最終他們使用後門帳號及授權金鑰，而能夠透過SSH來存取受害主機。</p> <p><a href="https://www.ithome.com.tw/news/165120"><strong style="font-size: 22px;">駭客謊稱GitHub的專案有資安漏洞，想趁機散布竊資軟體Lumma Stealer</strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，有人鎖定經常使用GitHub、維護或追蹤特定開源專案的開發人員，寄送釣魚郵件來散布竊資軟體Lumma Stealer。攻擊者使用惡意GitHub帳號，在目標儲存庫通報新問題（issue），聲稱該專案存在安全漏洞，誘騙想要協助處理的用戶存取冒牌的GitHub Scanner網域，一旦使用者照做，電腦就有可能被植入惡意軟體。</p> <p>這起事故被揭露的原因，是該新聞網站接獲許多GitHub用戶反映，他們表示，一直收到自己參與的專案電子郵件通報，要求他們去處理儲存庫的資安漏洞，並存取github-scanner[.]com進一步了解相關資訊。</p> <p>一旦使用者依照信件的說明存取該網站，網頁就會要他們進行圖靈驗證，要依照指示證明他們是人類。假如使用者照做，電腦就會執行駭客透過網站後臺貼上的惡意程式碼，下載執行檔l6E.exe，Bleeping Computer經過分析，確認該執行檔就是竊資軟體Lumma Stealer。</p> <p><a href="https://s4.itho.me/sites/default/files/images/email-min.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/email-min.jpg" style="width: 580px;" /></a></p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=63920&SPOKE_DATE=20240923&COMPANY_ID=6104"><strong style="font-size: 22px;">上櫃IC設計業者創惟部分資訊系統遭遇駭客攻擊</strong></a></p> <p>今天上櫃IC設計業者創惟於股市公開資訊觀測站發布重大訊息，表示他們有部分系統遭到網路攻擊，他們隨即啟動防禦復原機制，並邀集外部資安公司及技術專家協同處理，資訊系統陸續恢復正常，他們評估，這起資安事故對公司營運無重大影響。</p> <p>這起事故的發現，起因是他們偵測到網路傳輸異常，後續追查發現部分伺服器遭受駭客攻擊，但該公司是否遭遇勒索軟體攻擊？他們並未進一步說明。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=233037&SPOKE_DATE=20240922&COMPANY_ID=6803"><strong style="font-size: 22px;">上櫃綠能環保業者崑鼎部分資訊系統遭遇網路攻擊</strong></a></p> <p>9月21日上櫃綠能環保業者崑鼎發布重大訊息，表示他們有部分資訊系統遭到網路攻擊，但根據初步評估，本次事故對公司營運並未造成重大影響。</p> <p>他們察覺遭到網路攻擊的原因，是因為網路傳輸出現異常，在資安單位啟動防禦復原機制，並尋求外部資安業者及技術專家協同處理，資訊系統已陸續恢復。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/dell-investigates-data-breach-claims-after-hacker-leaks-employee-info/">Dell驚傳1萬名員工資料流入駭客論壇</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="http://go.recordedfuture.com/hubfs/reports/cta-2024-0917.pdf">駭客組織Marko Polo藉由社交網站平臺散布竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cleafy.com/cleafy-labs/a-new-trickmo-saga-from-banking-trojan-to-victims-data-leak">安卓木馬TrickMo假冒Google Play更新名義植入受害手機</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securitylabs.datadoghq.com/articles/abusing-entra-id-administrative-units/">身分驗證系統Entra ID管理功能可被濫用，攻擊者有機會能持續於受害組織活動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://therecord.media/us-hits-intellexa-sanctions-treasury">美國再度制裁商業間諜軟體業者Intellexa</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165119"><strong style="font-size: 22px;">微軟準備棄用Windows Server Update Services</strong></a></p> <p>微軟產品經理Nir Froimovici表示，有鑑於他們已透過雲端來簡化Windows的管理，因此他們決定棄用Windows Server Update Services（WSUS），將不再開發新的WSUS功能，建議IT人員遷移到雲端工具，例如：Windows Autopatch、Microsoft Intune、Azure Update Manager。不過，該公司強調，即將上市的Windows Server 2025，仍會提供WSUS。</p> <p>此舉引來了不少IT人員的不滿，有人說透過雲端管理可能不適用於某些環境，例如那些為了安全而採用隔離網路的系統；也有人說WSUS非常簡單，但Azure相當複雜，會加重IT人員的管理負擔；還有人批評微軟只是希望企業組織付費訂閱雲端服務。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165098"><strong>【9月20日】中國駭客Earth Baxia利用GeoServer已知漏洞，攻擊臺灣政府機關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165081"><strong>【9月19日】FBI接管中國駭客架設的大型殭屍網路Raptor Train</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165063"><strong>【9月18日】新興AI系統AutoGPT漏洞恐波及44萬軟體程式碼專案</strong></a></p> </div></div></div>
2024/9/23 18:06作者周峻佑https://www.ithome.com.tw/news/165136