iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 4篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 16:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

駭客FIN7以DeepNude生成器為誘餌來散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Silent Push<a href="https://www.silentpush.com/blog/fin7-malware-deepfake-ai-honeypot/" target="_blank">本周警告</a>，該公司在今年7月發現了屬於駭客組織FIN7的逾4,000個網域名稱與IP位址，並發現其中有7個網站是利用DeepNude來吸引受害者，進而於受害者系統上植入惡意程式。</p> <p>DeepNude是一款深度偽造的AI應用，可去除人類衣物來生成看起來真實的裸照，最早是在2019年推出，後來因為倫理爭議而被下架，現則被駭客用來作為攻擊誘餌。現身於2015年的FIN 7為俄羅斯駭客集團，他們入侵各大企業，竊取信用卡及金融卡資訊，亦於被害系統植入勒索軟體。</p> <p>調查發現，FIN7建立了7個色情網站，並於相關網站上提供DeepNude生成功能，並以免費下載或免費試用等方式，誘導使用者下載惡意程式，以竊取使用者的憑證與Cookie，或是允許駭客自遠端存取，進而下載其它惡意程式或植入勒索軟體等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1003-1003-DeepNude-FIN7-Silent%20Push-2.png" style="width: 500px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Silent Push</span></span></p> <p>研究人員指出，DeepNude Generator執行檔可直接從這些FIN7的網站下載，同時部署了許多複雜的技術來躲避偵測，像是使用多個打包器，把惡意程式嵌入Pascal程式碼中，或是利用基於Java的啟動器來隱藏或執行惡意程式。</p> </div></div></div>
2024/10/3 14:55作者陳曉莉https://www.ithome.com.tw/news/165307
Accenture將成立Nvidia事業群以協助企業採用AI代理人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球知名的管理諮詢及技術服務解決方案供應商埃森哲（Accenture）周三（10/2）<a href="https://newsroom.accenture.com/news/2024/accenture-and-nvidia-lead-enterprises-into-era-of-ai" target="_blank">宣布成立新的Nvidia事業群</a>，準備在全球培訓3萬名專業人員，以協助客戶重塑流程，並利用AI代理擴大企業對AI的採用。</p> <p>Accenture與Nvidia原本就有合作關係，Accenture今<a href="https://newsroom.accenture.com/news/2024/accenture-pioneers-custom-llama-llm-models-with-nvidia-ai-foundry" target="_blank">年7月推出</a>了基於Nvidia AI Foundry的AI Refinery框架。Nvidia AI Foundry為一可用來建置客製化模型以成就生成式AI的服務，AI Refinery則幫助客戶利用開源的Llama 3.1打造客製化模型。</p> <p>Accenture表示，市場對生成式AI的需求，讓該公司在剛結束的財年中，獲得了30億美元的預約服務，此一新的事業群，將協助客戶使用AI Refinery，來推動重塑流程，AI驅動的模擬及預測，以及發展具有自主性與決策能力的AI系統。AI Refinery將支援所有的公有雲與私有雲平臺，可無縫整合其它Accenture業務，在各種SaaS及Cloud AI生態系統中加速AI的採用。</p> <p>Nvidia事業群除了培訓3萬名人才，推動AI Refinery服務之外，也將專注於代理式AI系統的開發及應用，以及建立AI工程中心網路。目前已於加州、新加坡、東京、及倫敦等地設立了AI Refinery工程中心，而代理式AI系統屬於生成式AI的下一個階段，將可根據用戶的意圖自主行動，創建新的工作流程，根據環境作出適當決策，或重塑工作流程等。</p> <p>其實Accenture已與Indosat Group合作，在印尼推出了針對金融產業的第一個主權AI服務，以讓銀行業者能夠在部署AI的同時確保遵循法規並控制資料的使用。Accenture也在自家行銷活動中整合了具備自動化代理人的AI Refinery，發現可減少25~35%的手動步驟，節省6%的成本，而且遞交速度快了25~55%。</p> <p>未來Accenture也將推出一個新的Nvidia NIM代理人藍圖，用來模擬虛擬工廠的機器人活動，以協助企業建立自動化工廠。</p> </div></div></div>
2024/10/3 13:52作者陳曉莉https://www.ithome.com.tw/news/165305
家用、SMB單機版Office 2024上市
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周<a href="https://www.microsoft.com/zh-tw/microsoft-365/p/office-home-business-2024/CFQ7TTC0PBM7" target="_blank">宣布</a>適用消費及中小企業用戶的Windows、macOS Office 2024正式上市，售價8,790臺幣。</p> <p>單機版Office為買斷型的單機版套裝軟體，提供給不想加入Microsoft 365訂閱的消費者或中小企業。Office 2024支援Windows 10或11（但硬體要求必須至少具備1.6 GHz雙核心處理器），或是最新3代的macOS版電腦。</p> <p>Office 2024包含核心的文書應用程式，包括Word、Excel、PowerPoint、Outlook和OneNote。家用及中小企業版Office 2024也可和協同軟體Teams整合使用。微軟也透過電商網站提供<a href="http://24h.pchome.com.tw/prod/DSAEPD-A900HUUQ9?srsltid=AfmBOorM8YLuLY8-1r_CnvgnscG-wVaKa_b-HLLdRTsXPDwAa2_-0EAd" target="_blank">純家用版Office 2024</a>銷售，售價4,790臺幣，但功能方面，純家用版本只提供Word、Excel、PowerPoint和OneNote。</p> <p>新的<a href="https://www.microsoft.com/en-us/microsoft-365/blog/2024/09/30/office-2024-for-consumers-available-october-1/" target="_blank">單機版改進功能</a>像是Outlook強化搜尋功能、偵測身體不方便人士的accessibility checker。Excel提升同時開啟多個工作表時效能、方便貼入圖檔，以及隨資料變更時動態更新計算。Outlook for Mac版本用戶現在可客製觸控板左、右滑動手勢操控。此外，PowerPoint可在簡報中嵌入即時攝影機影片、或錄製旁白、動畫、轉場及墨水註記。OneNote則提供全螢幕墨水註記。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1003-office%202024-outlook.png" style="width: 600px;" /></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1003-office%202024-accessibility%20tools.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1003-office%202024-accessibility%20tools.jpg" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>微軟在FAQ中說明，以Office 2024撰寫的Windows文件，在Microsoft 365、Windows Office 2024、2021、2019、2016、 2013、2010及2007都能開啟，而Mac版本則可於Mac版Office 2011和2008應用程式中開啟。</p> <p>對於人數在5人以上的小型企業，微軟建議採購Office長期服務通道（Office Long Term Servicing Channel，LTSC）2024版本，強調能和訂閱版的Microsoft 365及通用的管理工具整合部署，簡化混合環境的管理。</p> <p>微軟提醒，安裝與啟用單機版Office仍需具備網路連線和登入Microsoft帳號。單一微軟帳號可啟用最多25個Office Home 2024、Office Home & Business 2024及Office Professional 2021授權。</p> </div></div></div>
2024/10/3 12:57作者林妍溱https://www.ithome.com.tw/news/165303
OpenAI增資66億美元，市值達1,570億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI周三（10/2）<a href="https://openai.com/index/scale-the-benefits-of-ai/" target="_blank">宣布</a>，已完成66億美元的增資活動，此次增資讓該公司的市值達到1,570億美元。今年初OpenAI員工出脫手中持股時，所估算的市值為860億美元，意謂著該公司在一年內的身價上漲了接近一倍。</p> <p>根據外電報導，此次的增資是由Thrive Capital領投，且包括微軟、Nvidia、軟體銀行（SoftBank）、Khosla Ventures、Altimeter Capital、Fidelity、Tiger Global與MGX都參與了此次的投資，至於原本打算要入股的蘋果則並未加入。</p> <p>華爾街日報（WSJ）引用消息來源<a href="https://www.wsj.com/tech/ai/openai-nearly-doubles-valuation-to-157-billion-in-funding-round-ee220607?st=qux6n1&reflink=desktopwebshare_permalink" target="_blank">指出</a>，Thrive Capital出資12.5億美元，微軟略低於10億美元，軟銀投資5億美元，Nvidia則投資1億美元。</p> <p>此外，<a href="https://www.ft.com/content/66e0653e-c446-47b2-8a7f-baa54ccbfb9a" target="_blank">金融時報</a>（FT）與WSJ都報導，OpenAI還希望投資者不要贊助其競爭對手，包括由OpenAI前員工創立的Anthropic，由OpenAI前首席科學家創立的Safe Superintelligence，或者是由馬斯克（Elon Musk）創立的xAI。</p> <p>OpenAI表示，新資金將用來維持與擴大該公司在前瞻AI研究上的領導地位，提高運算能力，並繼續打造能協助人們解決困難問題的工具，目標是讓人們能夠廣泛地存取先進智慧，與各個社群及國家合作，釋放AI的全部潛力。</p> </div></div></div>
2024/10/3 13:14作者陳曉莉https://www.ithome.com.tw/news/165304
輕量模型Gemini Nano開放測試，助Android裝置實現智慧化功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://android-developers.googleblog.com/2024/10/gemini-nano-experimental-access-available-on-android.html" target="_blank">開放Android開發者試用Gemini Nano</a>，該款模型可以在裝置上執行高效語言任務，且同時具備資料隱私、離線運作和成本效益等優勢。開發者可以透過Google提供的開發工具AI Edge SDK，簡單地在應用程式中整合模型，並自訂推理參數應用於多種場景。</p> <p>隨著人工智慧技術的發展，行動裝置上的智慧功能變得越來越重要，而Google藉由開放Gemini Nano模型，讓開發者在Android應用上也能提供類似Apple Intelligence的智慧化體驗。Gemini Nano早已經被用於多款Google應用程式，諸如Pixel截圖、Talkback和Recorder等，現在開放開發者實驗性存取。</p> <p>Gemini Nano是Google Gemini模型家族的成員之一，專門針對裝置端任務設計，可提供靈活且高效的智慧功能。Gemini Nano會在裝置端進行推理，也就是所有運算都會在裝置本地完成，不需要連接雲端伺服器，其優點在於敏感資料可以留存在裝置，增強了資料隱私性，其次是Gemini Nano無需網路連線也能提供完整功能，而這提升了使用體驗，此外，每次推理也不會產生額外的費用。</p> <p>由於裝置端生成式人工智慧模型，在較雲端伺服器運算能力低的裝置上運作，加上模型本身較雲端版本更小更具針對性，因此Gemini Nano模型適合執行更為明確任務，而非像是聊天機器人等開放式用例。</p> <p>Gemini Nano適用多種應用場景，包括智慧回覆、文本改寫、校對抑或是文件摘要。開發者可以透過AI Edge SDK進行整合，並控制諸如輸出隨機性、Top K和回應最大長度等推理參數，以滿足不同應用需求。</p> <p>目前開放給開發者測試的是Gemini Nano 2模型，相較前一代，Nano 2在品質上有明顯提升，雖然規模接近前一代的兩倍，但是Google指出，Nano 2在基準測試和實際應用表現都更為出色，能力甚至可媲美更大型的模型。</p> <p>Google開發了一個稱為AICore的Android系統服務，讓開發者可以簡單在裝置端執行模型，藉由AI Edge SDK與AICore的整合，開發者不需要自己發布執行環境、模型和其他元件，就可以直接執行生成式人工智慧。不過目前Gemini Nano僅支援Pixel 9系列裝置，未來還會擴展至更多設備。</p> </div></div></div>
2024/10/2 19:28作者李建興https://www.ithome.com.tw/news/165297
OpenAI公布Realtime API預覽版、GPT-4o圖片微調等開發服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在經過上周的高層人事<a href="https://www.ithome.com.tw/news/165197" target="_blank">出走</a>及超大型募資等爭議新聞後，OpenAI本周舉行開發者大會<a href="https://openai.com/devday/" target="_blank">DevDay</a>，宣布包含GPT-4o圖片微調、開發逼真對話功能的Realtime API等新功能，供開發人員開發結合GPT-4o、4o mini模型的AI應用。</p> <p>DevDay上OpenAI宣布的新功能包括Realtime API、視覺微調、提示快取（Prompt Caching in the API）以及模型蒸餾。其中Realtime API為beta版，讓開發商得以將接近ChatGPT進階語音模式（Advanced Voice Mode）的對話能力整合在自己的AI助理。</p> <p>Realtime API讓開發人員得以打造低延遲、多模態的口語對話體驗。目前支援文字、語音的輸出、輸入，也支援函式呼叫。Realtime API提供原生語音輸入、語音輸出的生成，無需文字轉換，意謂輸出延遲更低。此外，其模型具有自然可操控的人聲表現，能提供自然語調變化，能表達和語氣一致化的笑、低聲說話等聲音表情。</p> <p>昨日OpenAI宣布正式推出視覺微調功能。OpenAI<a href="https://www.ithome.com.tw/news/164598" target="_blank">在8月份</a>推出GPT-4o微調服務時，只支援上傳文字資料集微調，現在加入圖片支援。這表示開發人員可以上傳圖片資料集，以強化GPT-4o的圖像理解功能，用於開發具有進階視覺搜尋應用、自駕車或智慧城市的物件偵測應用，或是醫療影像分析。</p> <p>OpenAI表示，微調GPT-4o的圖像資料集不需太多，最少只需上傳100張圖像。在公開前，OpenAI已經和一些夥伴合作測試，包括東南亞最大餐食外送及汽車共享平臺Grab、企業流程AI代理開發商Automat和網頁AI開發助理開發商Coframe等。</p> <p>視覺微調服務基礎模型為gpt-4o-2024-08-06，在10月31日前提供每日100萬訓練字詞（token）免費。之後收費為每100萬字詞輸入25美元。若想使用推論服務，則費用為100萬字詞輸入3.75美元，100萬字詞輸出15美元。圖片輸入會依圖片大小字詞化（tokenized）以用於計價。</p> <p>第三項則是<a href="https://openai.com/index/api-prompt-caching/" target="_blank">API提示快取服務</a>。許多開發人員在不同API呼叫會重覆使用同一種操作，像是編輯codebase或設定聊天機器人多來回對話。使用提示快取可讓開發人員重覆使用輸入字詞，可減少50%開發成本及加速提示處理時間，降低延遲性。</p> <p>這項服務是將已運算過的提示的最長前綴字元（prefix）快取在API中，這功能會對1024字詞以上的提示提供快取。只要重覆使用到有共同前綴字元的，就會自動適用折扣，用戶不需設定。快取的字元一般會在停用5到10分鐘內清除，1小時內就會完全刪除。</p> <p>提示快取服務已經上線，提示快取會自動適用在最新版GPT-4o、GPT-4o mini、OpenAI o1-mini或是這些模型的微調版本。經過快取的提示，價格比未快取的提示來得低。例如以新的gpt-4o-2024-08-06模型為例，未快取與快取的費用各為2.50和1.25美元，而經過微調的模型則各為3.75和1.875美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-openai-Prompt%20Caching%20in%20the%20API.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">資料來源／OpenAI</span></span></p> <p>最後是模型蒸餾（model distillation）和評估。模型蒸餾允許開發人員使用大型模型微調成較小模型的成果，使模型適用於單一任務，有助於降低延遲性及降低成本。使用這項功能的步驟是，先以completions API儲存（用store參數）大模型的高品質成果，再評估大小模型建立基準線，之後選擇欲蒸餾的部分，用以微調小型模型。最後，再比較大模型及微調後的小模型效果。</p> </div></div></div>
2024/10/2 15:22作者林妍溱https://www.ithome.com.tw/news/165296
集保股東e化服務再進化，超過500萬App用戶明年將可用數位簽章免臨櫃辦理股務事務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>成立已有35年的臺灣集中保管結算所，在傳統的交割、保管業務之外，近幾年積極迎合數位時代，投入與股東相關的e化服務，先後推出eVoting、eMeeting、eNotice等線上服務，配合電子簽章法修法在今年5月開始施行，臺灣集中保管結算所規畫明年將推出eCounter，讓股務事務結合數位簽章，投資人免臨櫃辦理資訊變更，提供股民更大的便利性，明年底前擴大至App，讓超過500萬集保e手掌握App用戶，透過手機就能線上申辦股務變更。 </p> <p>臺灣集中保管結算所總經理陳德鄉表示，臺灣集中保管結算所原本的核心業務負責交割、實體有價證券的集中保管，公司約每十年一次轉型，從集保1.0發展至現在的2.0，在集保1.0時期負責股票的保管、結算交割，2.0時發展全面帳薄劃撥，推動股票集中保管，帳薄劃撥，使股票交割無移動化，1.0到2.0均屬於B2B，後續從3.0開始向多元發展，向發行無實體化及業務的多元發展，除了傳統的股票，還有債券、基金、期貨、跨境保管等等，整合券流、金流、資訊流整合服務平臺，涵蓋B2B及B2B2C業務。</p> <p>目前臺灣集中保管結算所正推動4.0，目標為強化數位發展及資安並重，加速數位發展，同時兼顧資安，第4階段加速數位服務發展，除了過去偏重的B2B，也涵蓋B2B2C、B2C2B、B2G等業務，特別是B2C方面，目標為提供投資人數位創新服務。</p> <p>陳德鄉指出，國內證券市場已廣泛應用數位憑證及簽章，從投資人線上開戶、證券下單、帳務查詢等等，數位服務需經過數位身分驗證，其他如表單簽署也應用數位簽章，目前臺灣集中保管結算所支援8大外部憑證，包括證券下單憑證、證期憑證、工商憑證、自然人憑證、行動自然人憑證等等，應用範圍包括證券業務、股務電子化服務、票券發行人及保證人、投信基金交易作業等等。</p> <p>另外，臺灣集中保管結算所根據金融服務業數位身分驗證指引，依數位服務場景的風險，需要相對應強度的數位身分驗證信賴度。今年初已盤點15項服務，未來將導入雙因子或多因子驗證，以強化身分驗證，預計在今年底完成。</p> <p>陳德鄉表示，過去臺灣集中保管結算所業務以B2B為主，即對參加人提供服務，約有9千多個參加人，包括5千個商業本票發行人，近3千個上市櫃、興櫃等公司，還有證券、銀行、保險、票券、投信、期貨等近1千個分支機構；臺灣集中保管結算所的服務從過去傳統B2B走向B2C，對集保而言，協助參加人提供服務給他們的客戶，由於B2C的C為自然人，因此行動裝置App發展也變得重要，服務也從過去被動轉為與投資人互動。</p> <p><span style="color:#B22222;"><strong>股東電子化服務將添新兵</strong></span></p> <p>目前臺灣集中保管結算所針對股東提供電子化服務，包括eVoting電子投票、eMeeting股東會視訊服務、eNotice股務事務電子通知，這些電子化服務的使用已有成果，例如1998年就推出的eVoting電子投票，即採用數位憑證、數位簽章技術建構電子投票平臺，目前已成為股東會主要參與管道，前年投票筆數突破千萬，今年已達到1,600多萬筆，2024年電子投票率達到6成。</p> <p>而2021年推出的eMeeting股東會視訊平臺，因應疫情的數位化需求，讓股東得以視訊會議方式參與股東會，並且使用電子投票，剛推出時僅17家發行公司採用，2024年成長至109家。至於eNotice股務事務電子通知，通知投資人股利、基金收益等資訊，目前約1208家發行公司加入，約75萬投資人透過eNotice獲得通知。</p> <p>集保準備在2025年3月底推出新服務eCounter股務事務e櫃檯，讓投資人可利用電子文件、數位簽章機制向股務單位申請辦理股務事務，加上既有的eVoting、eMeeting、eNotice，提供更完整的股東e化服務。</p> <p>陳德鄉指出，投資人使用電子化服務，可透過PC或行動裝置，在PC上使用CA憑證，行動裝置則透過App利用多種身分驗證方式，來登入4e服務平臺，而使用數位簽章留存相關的電子投票紀錄，即將推出的eCounter股務事務e櫃檯也會在股務變更書件時使用數位簽章留存相關紀錄。</p> <p><strong><span style="color:#B22222;">導入數位簽章讓投資人申辦股務事務不再需要臨櫃辦理</span></strong></p> <p>他表示，過去很多股東事務公告排除電子簽章法，電子簽章法修法於今年5月公告修正後，不能再以公告排除適用電子簽章法，需要以法律排除，股東事務現在可以適用電子簽章法，然而，各家公司導入電子簽章提供股東服務，可能有商機、使用筆數、成本、推動時間等不同考量，因此由臺灣集中保管結算所配合主管機關，建置B2C介面，根據投資人的股務請求作業，臺灣集中保管結算所將資料送到參加人，即B2C2B。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ecounter-600.jpg" style="width: 600px; height: 569px;" /></p> <p>以股東搬家需要變更通訊地址為例，目前股東需要分別臨櫃申請，根據持有股票，逐一到每家股務機構臨櫃辦理通訊地址變更，分別臨櫃耗費時間及成本，而使用紙本文件申辦，除了有遺失、損毀風險，紙本文件也不易保管，交接盤點也耗費時間及人力。</p> <p>未來提供投資人一站式服務，投資人利用臺灣集中保管結算所的eCounter平臺，通過身分驗證登入平臺，使用數位簽章遞交基本資料變更書件，平臺就會將書件資料送到各個股務單位審查、辦理變更。陳德鄉表示，這麼做的好處是，投資人免臨櫃，只要透過單一平臺就能辦理變更，提供便利性。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-10-02%20%E4%B8%8B%E5%8D%883_28_35.jpeg" style="width: 600px; height: 480px;" /></p> <p>配合電子簽章法修法進程，集保規畫，2025年3月底先推出PC版eCounter網站，提供使用者基本資料修改，例如戶名、ID、戶籍資料、通訊地址、連絡電話、股利配發集保帳號、銀行款項帳號等等，而在接下來，2025年12月底前推出行動版eCounter，將前項開放的股東服務擴大至手機App，附加於集保e手掌握App，股東可透過集保e手掌握App向臺網公司申請核發憑證，並支援行動自然人憑證。</p> <p>相較於前面兩者以開放基本服務為主，2027年3月底進一步開放股東權益變動功能，包括過戶（包含繼承證明、私讓等）、質權設定、股票掛失補發等等。</p> <p>目前集保e手掌握App用戶已超過500萬，未來該App在集保的B2C服務中扮演重要角色，陳德鄉表示，e手掌握App一路發展下來，從過去電子存摺概念，到用戶多元資產整合，用戶可以查詢個人所有證券資產，包括境內境外投資的基金，透過Open Banking 2.0查詢各往來銀行的存款餘額，將來再結合Open Banking 3.0可提供跨行轉帳功能，在資產整合方面，未來還會擴充期貨交易、附委託跨境有價證券保管，並且導入數位簽章的eCounter平臺，集保和臺網公司介接，讓用戶申請憑證，供投資人申辦服務使用。</p> <p>陳德鄉指出，臺灣集中保管結算所過去到現在支持金融發展，從臨櫃到免臨櫃，運用數位身分驗證供用戶查詢資料，後續運用數位憑證核發、數位簽章提供進階服務，如即將推出的eCounter平臺。為提升投資人對集保服務的滿意度，集保未來將多管齊下，首先是e手掌握App提供用戶多元資產整合，除了證券及基金之外，未來擴充期貨、銀行存款等，其次是提供投資人完整權益的e化查詢，包括eVoting、eMeeting、eNotice和新的eCounter。透過多元平臺服務，讓投資人得以e化操作更便利，提升金融服務的可及性、使用性，達到普惠金融的目的。</p> <p> </p> </div></div></div>
2024/10/2 15:39作者蘇文彬https://www.ithome.com.tw/news/165289
Nvidia開源能與GPT-4o媲美的NVLM 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia<a href="https://research.nvidia.com/labs/adlr/NVLM-1/" target="_blank">在上個月發表</a>了多模態大型語言模型NVLM 1.0，宣稱該模型將能與封閉的GPT-4o，或是開源的Llama 3-V 405B與InternVL 2媲美，目前Nvidia已開源NVLM 1.0模型的權重，以及基於Megatron-Core框架的程式碼。</p> <p>在NVLM 1.0的模型設計上，Nvidia全面比較了基於解碼器架構的模型，以及採用交叉注意力機制的模型，基於它們的優缺點提出了一種全新的架構，以同時提升訓練效率及多模態推論能力。</p> <p>NVLM 1.0 72B在許多基準測試上就算不是最突出的，但在視覺語言及純文字任務上，都展現出與Llama 3-V、GPT-4o、Claude 3.5 Sonnet及Gemini 1.5 Pro相當的水平，而NVLM 1.0 72B領先的基準測試則有衡量光學字元辨識能力的OCRBench，以及自然圖像理解能力的VQAv2。</p> <p>Nvidia解釋，Llama 3-V 70B與Llama 3-V 405B在純文字任務上的表現一致，主要是因其LLM主幹在執行多模態訓練期間被凍結，以確保文本任務能力不會因多模態訓練而下滑，但NVLM 1.0 72B的純文本數字及程式碼能力卻明顯優於LLM主幹，在多模態訓練之後的平均準確率增加了4.3%。</p> <p>NVLM 1.0 72B亦具備優秀的指令遵循能力，此外，由於它結合了OCR、推論、定位、常識、世界知識與程式碼撰寫能力，使得它具備了多元能力，例如它能夠理解abstract vs. paper網路迷因的幽默之處，這個熱門的迷因由兩張圖片組成，一張是山貓但寫著abstract，另一張是家貓但寫著paper，以用來表達摘要看起來很強大，但論文本身卻平凡無奇。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-NVLM%201_0-Nvidia-2(1).png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> </div></div></div>
2024/10/2 14:47作者陳曉莉https://www.ithome.com.tw/news/165295
微軟發表Copilot Vision、Think Deeper與Copilot Voice等AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周二（10/1）發表<a href="https://www.microsoft.com/en-us/microsoft-copilot/blog/2024/10/01/introducing-copilot-labs-and-copilot-vision/" target="_blank">Copilot Labs</a>，內含各種實驗性的新AI功能，首波包括可理解使用者所查看網頁的Copilot Vision，以及能夠回答複雜問題的Think Deeper。另也推出能與使用者語音交流的Copilot Voice，摘錄新聞或天氣消息的Copilot Daily，同時允許使用者直接於Microsoft Edge中的網址列輸入@copilot來啟用Copilot，或是輸入Bing generative search來體驗<a href="https://blogs.bing.com/search/October-2024/The-next-step-in-Bing-generative-search" target="_blank">生成式搜尋</a>。</p> <p>其中，<a href="https://www.youtube.com/watch?time_continue=55&v=z0MqgFjoQKg&embeds_referring_euri=https%3A%2F%2Fblogs.microsoft.com%2F" target="_blank">Copilot Voice</a>是一個AI語音助理，有4種不同的聲音，可於所有支援Copilot的平臺上使用，與使用者以語音對談，就像是朋友之間的聊天一樣。不過，它目前僅支援英文，以及只在美國、加拿大、英國、澳洲及紐西蘭等市場推出。微軟計畫很快就會將它擴展至更多市場及支援更多語言。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-Copilot%20Voice.png" style="width: 219px;" /></p> <p>Copilot Daily則是基於Copilot Voice的服務之一，使用者可以透過Copilot Voice的聲音來唸出新聞與天氣重點。微軟強調，將取得合法授權來支援Copilot Daily服務，現有的合作對象包括路透社（Reuters）、Axel Springer、Hearst Magazines、USA TODAY Network與金融時報（Financial Times）等，之後除了會新增內容合作夥伴之外，也會於Copilot Daily中嵌入額外的個人化與控制功能，即日起已於美國及英國上線。</p> <p>Copilot Voice與Copilot Daily目前皆可免費使用。</p> <p>至於Copilot Labs則是專門用來測試各種新的AI功能，現階段僅供少數的Copilot Pro付費用戶存取，第一波測試功能包括Copilot Vision與Think Deeper。</p> <p>根據微軟的說明，Copilot Vision為Edge中的視覺AI同伴，若使用者允許，它就能與使用者正在閱讀的網頁互動，或是建議下一步，像是請它摘錄，翻譯，或是協助完成某些任務。例如使用者正在裝修一套新公寓，Copilot Vision即可協助尋找傢俱，找到適合的配色，每一個選擇都能夠請它幫忙。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-Copilot%20Vision.png" style="text-align: center; width: 600px;" /></p> <p>Think Deeper負責回答更複雜的問題，具備更好的推論能力，例如使用者可詢問應該要搬到A城市還是B城市，或是詢問哪款汽車最適合使用者的需求，只是Think Deeper目前仍處於早期開發狀態。不管是Copilot Vision或Think Deeper，都會在今年秋天開放給少數Copilot Pro用戶測試。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-Copilot-think%20deeper.png" style="width: 450px;" /></p> <p>對於Edge與Copilot，微軟早就在Edge瀏覽器中整合了Copilot，協助使用者摘錄、翻譯或重寫，但現在使用者只要於Edge網址列中輸入@copilot，就能直接存取Copilot服務。</p> <p>另外，微軟今年7月<a href="https://www.ithome.com.tw/news/164104" target="_blank">開始</a>針對少數Bing搜尋用戶提供AI生成結果，現在則開放所有美國用戶於網址列上輸入Bing generative search就能體驗該功能，改善了結果的呈現方式，並提供資訊的引用與連結。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-Bing%20generative%20search.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> </div></div></div>
2024/10/2 12:34作者陳曉莉https://www.ithome.com.tw/news/165293
Chromebook部份機種加入AI專用實體鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼微軟的Copilot專用鍵後，Google也計畫為Chromebook電腦加入AI功能專屬實體按鍵。</p> <p>Google昨（1）日偕同品牌電腦夥伴三星與聯想<a href="https://blog.google/products/chromebooks/google-chromebook-update-october-2024/" target="_blank">公布最新Chromebook筆電</a>。其中三星的Samsung Galaxy Chromebook超輕薄筆電加入了Quick Insert實體鍵，成為Chromebook Plus系列首先實作的機種。Quick Insert鍵位於Tab下方，原屬於CapsLock鍵的地方。Google說，新增的Quick Insert鍵提供所有用戶需要的及時協助功能。</p> <p>Google將Quick Insert設計為呼叫出眾多AI功能的單一選單。首先是Help me write，是以Gemini模型為基礎的撰寫輔助功能，協助草擬或編修文字，<a href="https://www.ithome.com.tw/news/163163" target="_blank">之前已部署</a>到Workspace及Chromebook筆電。其次是表情符號及GIF檔等。Quick Insert它還列出用戶最近造訪過的網頁紀錄，無需搜尋或複製／貼上即可在別處增加連結。整合Google Drive的搜尋功能允許用戶直接搜尋相片、影片或文件檔案並貼在其他文件上。它還具備簡單的計算、單位轉換等功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1002-Google%20gemini-help%20me%20write.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Google</span></span></p> <p>目前只有Samsung Galaxy Chromebook Plus有Quick Insert實體鍵，其他Chromebook用戶仍然可以捷徑來呼叫出這些功能。不過明年起會有更多Chromebook和Chromebook Plus加入這個實體鍵。</p> <p>其他規格方面，Samsung Galaxy Chromebook僅重1.17公斤，具備15.6吋OLED螢幕，搭載8GB RAM的Intel Core 3（Raptor Lake-R）處理器，預計10月上市，售價339美元。</p> <p>聯想推出的Lenovo Chromebook Duet為11吋顯示器機種，搭載最高8GB RAM MediaTek Kompanio 838處理器，8MP後向式及5MP前向式攝影機提供串流視訊，分開銷售的Lenovo USI Pen 2方便做筆記。軟體方面，同樣提供AI功能包括Help me write、AI翻譯Live Translate、與同步聽寫聲音與生成重點摘要的Recorder等。</p> <p>Lenovo Chromebook Duet也預計10月上市，定價339美元，並提供Goodnotes for Web（筆記Web App）3個月免費訂閱。</p> </div></div></div>
2024/10/2 13:08作者林妍溱https://www.ithome.com.tw/news/165294
樹莓派推70美元AI相機，新舊型號開發板都相容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>樹莓派（Raspberry Pi）推出新的<a href="https://www.raspberrypi.com/news/raspberry-pi-ai-camera-on-sale-now/">人工智慧相機模組（AI Camera）</a>，其搭載Sony IMX500感測器並內建人工智慧加速器，可在各型號的樹莓派裝置上執行多種神經網路模型，提供進階影像處理能力。該人工智慧相機模組與樹莓派現有相機軟體堆疊無縫整合，供開發者開發靈活且高效的人工智慧解決方案。</p> <p>新推出的人工智慧相機模組搭載1200萬畫素的Sony IMX500感測器，像素大小為1.55微米*1.55微米，在低光環境能保持良好的感光能力、動態範圍和整體影像品質，並支援4056*3040（10fps）和2028*1520（30fps）兩種感測器模式。</p> <p>新人工智慧相機模組水平視角為78度，支援手動對焦，適用於不同影像處理場景。而其內建的RP2040微控制器則負責神經網路和韌體管理，內建的16MB記憶體，可用於快取最近使用的模型，進一步加快運算速度。</p> <p>樹莓派在今年6月的時候，先發表<a href="https://www.ithome.com.tw/news/163313">人工智慧開發套件模組（AI Kit）</a>，該模組與現在推出的人工智慧相機模組，差別在於人工智慧開發套件模組更適合需要執行複雜神經網路模型的應用，並且只相容於樹莓派 5。而且雖然人工智慧開發套件模組效能較強，但是需要搭配外部相機模組，總成本相對較高。</p> <p>相較於只支援樹莓派 5的人工智慧開發套件模組，人工智慧相機模組可與所有樹莓派型號相容，使用標準相機排線就能夠連接，對於沒有其他相機模組的用戶來說，人工智慧相機模組是更經濟的選擇。人工智慧相機模組可執行多種神經網路模型，在上傳模型時，較舊的樹莓派裝置需使用I2C通訊協定，而在樹莓派 5則可使用更快的自訂雙線通訊協定（Custom Two-Wire Protocol）。</p> <p>執行過程中，內建的影像訊號處理器會先把感測器拍到的原始影像，從單一顏色轉換成我們常見的彩色照片，再進行剪裁和縮放等初步處理，處理後的影像便會傳送到人工智慧加速器執行進一步的運算。待神經網路處理完成後，輸出結果會與原始影像一起被傳送回樹莓派主機。</p> <p>人工智慧相機模組適用於各種需要即時影像處理的應用，像是物體辨識、姿勢測量和監控系統。由於其內建人工智慧加速器，因此可在低功耗下快速執行神經網路模型，減輕樹莓派處理器的負擔，結合樹莓派相機軟體堆疊，開發者便能簡單部署各種智慧影像應用。</p> </div></div></div>
2024/10/2 08:48作者李建興https://www.ithome.com.tw/news/165281
PyTorch釋出可大幅改進AI模型運算效能的torchao函式庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PyTorch推出全新原生函式庫<a href="https://pytorch.org/blog/pytorch-native-architecture-optimization/">torchao</a>，透過低精度資料型態、量化和稀疏性技術，減少模型的計算成本和記憶體使用量，讓模型執行更高效能。torchao提供了一套易於使用的工具組，支援多種模型推理和訓練最佳化方法，可廣泛用於PyTorch模型，熱門的LLaMA 3和Diffusion模型皆可獲得顯著的效能提升。</p> <p>低精度資料型態是torchao加速的關鍵之一。該工具支援float8、int4等低精度資料型態，能有效減少計算成本和記憶體使用需求，像是在LLaMA 3 70B模型預訓練中，torchao提供了float8訓練流程，可將模型運算加速達1.5倍。開發者只需要使用convert_to_float8_training函式，即可將模型訓練運算轉換成float8，簡單實現高效訓練。</p> <p>在推理方面，torchao提供多種量化方式，包括權重量化（Weight-Only Quantization）和動態啟動量化（Dynamic Activation Quantization）。使用者可以透過API自行選擇適合的量化策略，以達到推理的最佳效能。</p> <p>torchao提供int4權重量化方法，可以將LLaMA 3 8B模型的推理速度提升達97%，而透過量化的鍵值快取，在128K上下文長度下顯示記憶體使用量可減少73%。此外，torchao的autoquant功能可自動替模型的每一層選擇最佳量化方式，減少開發者手動調整的麻煩。</p> <p>稀疏性技術也是torchao提升模型效率的重要手段，藉由引入稀疏性，torchao可最佳化模型參數計算，降低不必要的運算開銷，例如torchao結合稀疏性和量化技術，可讓ViT-H模型推理獲得5％速度提升。同時，torchao還可將權重量化成int4，並將鍵值快取量化成int8，使LLaMA 3.1 8B在完整的128K上下文長度下，僅佔用18.9GB的顯示記憶體。</p> <p>torchao不僅顯著提升LLaMA 3 8B模型的基準測試效能，還讓Diffusion模型Flux.1-Dev的推理速度提升53.88％。</p> <p>PyTorch官方未來將繼續更新torchao，支援精度低於int4以下的資料型態，開發更高吞吐量的推理核心，甚至拓展支援更多的硬體後端。</p> </div></div></div>
2024/10/2 09:07作者李建興https://www.ithome.com.tw/news/165290
【資安月報】2024年9月，數十個臺灣政府機關、企業的網站服務遭受DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月國內最盛大的活動是國際半導體展，當中的半導體資安最新概況，成為本月主要資安焦點之一，其他重要資安消息中，臺灣政府機關及企業本月遭遇多起網路攻擊，有的是企業組織自己宣布，有的是資安業者公布駭客攻擊手法提到臺灣有企業遭鎖定，我們整理7大焦點，幫助大家快速回顧本月重要新聞。</p> <p><span style="color:#FF0000;"><strong>展示PQC晶片與應用的公版平臺</strong></span></p> <p>資安已成2024國際半導體展重要一環，不論半導體設備合規、工控資安防護，已是這幾年常見的展出重點，特別的是，今年還有後量子資安產業聯盟的最新概況的揭露，例如，工研院秀出可供產業界開發PQC晶片與應用的公版平臺，以及多家業者投入PQC應用發展，由於從晶片設計到硬體設備、韌體、網路通訊等都需要PQC密碼標準的導入，因此協助產業串接驗證數位邏輯設計的發展亦受關注。</p> <p><strong><span style="color: rgb(255, 0, 0);">大規模DDoS攻擊再現</span></strong></p> <p>臺灣至少45個單位與企業遭受DDoS攻擊。過去臺灣遭受大規DDoS攻擊，大家可能都會聯想到是中國駭客組織雖為，像是兩年前美國眾議院議長裴洛西訪臺前後的攻擊事件，這次情況頗令人訝異，因為這次攻擊是親俄駭客NoName057發動，他們並宣稱是不滿我國總統賴清德引用中俄領土爭議來反駁中國收復臺灣的主張。但該組織對於中俄領土的說詞，其實反而吸引更多國際關注，並意識到俄羅斯領地不歸中國、臺灣也是如此的狀況，而其攻擊行動也呈現親俄分子跟隨中國對臺灣政府發動攻擊。</p> <p>另外值得留意的是，該組織相當猖狂，其實不只對臺灣多個政府和企業網站進行DDoS攻擊，在前半個月也以不同藉口持續對多國發動攻擊，包括烏克蘭、捷克、法國等地的政府機關網站。</p> <p><b style="color: rgb(255, 0, 0);">臺灣重大資安事件</b></p> <p>資安業者揭露多起駭客攻擊，其中幾起事件顯示臺灣政府與企業被鎖定，因此引發關注，另有4家上櫃公司揭露遭遇資安事故，涵蓋鋼鐵、半導體、環保與電子零組件業。<br /> <strong>●臺灣無人機製造商遭駭客鎖定。</strong>關於本土軍工產業遭鎖定的消息，近來持續受到關注，特別的是本月又有兩家資安業者揭露臺灣無人機製造商遭鎖定的狀況，一是趨勢科技揭露臺灣衛星及軍事工業今年持續遭鎖定，並指出攻擊者是中國駭客組織TIDrone，另一是Acronis研究人員揭露臺灣無人機業者遭鎖定，並指出攻擊手法包括濫用臺灣企業數位憑證，且可能涉及供應鏈攻擊。<br /> <strong>●臺灣政府機關在7月遭中國駭客Earth Baxia攻擊。</strong>趨勢科技指出其手法是藉由6月下旬GeoServer修補的漏洞取得初始入侵管道，並使用後門程式EagleDoor。<br /> <strong>●多家上櫃公司遭遇網路資安事件。</strong>有公司說明部份伺服器遭受駭客攻擊，例如，知名IC設計業者「創惟科技」，還有3家公司說明部分資訊系統遭受駭客網路攻擊，包括專注於複合螺絲及螺栓製造的「世鎧精密」、專注磁性元件與印刷電路板業務的「松上電子」，以及「崑鼎綠能環保」。</p> <p><font color="#ff0000"><b>殭屍網路威脅生生不息</b></font></p> <p>殭屍網路的威脅態勢不可輕忽，這個月不只是有殭屍網路Quad7最新一波攻擊行動的揭露，還有駭客組織入侵家用路由器來建立自身的物聯網殭屍網路的威脅態勢，要特別注意。繼去年打擊中國駭客Volt Typhoon使用的KV-botnet殭屍網路後，美國司法部今年9月宣布破獲由20萬網路設備組成的殭屍網路Raptor Train，並指出這是由中國駭客組織Flax Typhoon建立，目的是針對臺灣及美國的軍事、政府、高等教育、電信及國防工業等領域展開攻擊。</p> <p><span style="color:#FF0000;"><strong>當心勒索軟體RansomHub</strong></span></p> <p>在勒索軟體威脅方面，有一項消息值得關切，今年上半才現身的RansomHub勒索軟體，美國多個安全機構發布在8月底發布聯合公告，指出全球至少210個企業組織受害，因此提供該組織的入侵手法（TTP）與入侵指標（IOC），呼籲外界對於該組織所帶來的危害更要有所警覺。還可以留意的是，趨勢科技9月底揭露最新研究報告，指出該組織還會利用存在弱點的驅動程式來發動攻擊，並運用名為EDRKillShifter的工具，將防毒軟體或端點防護工具EDR停用。</p> <p><font color="#ff0000"><b>國家級駭客鎖定東南亞各國</b></font></p> <p>多年來中國駭客組織在網路上頻頻發動攻擊，持續引發資安界的重視，這個月又有許多攻擊行動被揭露，其中突顯亞洲、東南亞政府遭鎖定的情形。例如：<br /> ●思科威脅情報團隊Talos揭露中國駭客DragonRank的最新攻擊行動，主要針對亞洲、歐洲國家而來，並鎖定代管企業網站的IIS伺服器。<br /> ●資安業者Palo Alto Networks揭露中國駭客組織Stately Taurus的最新行動，是鎖定東南亞政府機關從事網路間諜活動。<br /> ●資安業者Sophos揭露中國政府主導的大規模網路間諜攻擊行動Operation Crimson Palace，東南亞政府持續遭鎖定。</p> <p><strong><font color="#ff0000">資安業者更新竟釀災</font></strong></p> <p>關於7月19日CrowdStrike更新引發的全球IT大當機事件，由於後續消息的不斷揭露，我們在9月初的封面故事進行完整回顧，幫助大家了解事件在臺灣與全球的影響，同時也統整出5大層面議題，包括：資安業者部署驗證測試發生的問題，微軟為何開放作業系統核心模式驅動程式使用，IT系統風險過於集中，企業應變能力的狀況，還有開發者寫出越界記憶體讀取的情形，也成為本次事件衍生議題。</p> <p> </p> <h2><strong><a href="https://www.ithome.com.tw/news/164880"><span style="color: rgb(178, 34, 34);">【資安週報】2024年9月2日到9月6日</span></a></strong></h2> <p>在9月第一星期的資安新聞，防護態勢上有兩個重點消息，第一個新聞突顯網際網路BGP路由安全的重要性，先前已有一些國家推動這項議題，像是去年荷蘭政府宣布全面導入RPKI標準，現在美國拿出具體規畫要求聯邦政府實施。至於臺灣，過去幾年TWNIC曾推動RPKI、路由來源驗證等，但後續發展狀況還需要大家關注。</p> <p>第二個新聞是呈現後量子密碼學（PQC）在產業的最新發展態勢，工研院在2024國際半導體展秀出後量子安全晶片公版的設計，而且有多家業者投入PQC應用發展，包括全濠、宇鼎、威宏、智能資安、竣盟科技、池安量子資安等。</p> <p>●美國白宮針對邊界閘道協定（BGP）安全問題，發布強化網路路由安全的藍圖，強調聯邦政府須以身作則，加速對BGP安全措施的採用。<br /> ●2024國際半導體展登場，數發部數產署與臺灣資安業者在「SECPAAS資安館」呈現半導體產業資安最新方案，其中又以PQC公版應用案例的發展最吸睛。</p> <p>關於威脅態勢方面，我們列出下列4大消息，其中法國資安業者開發的紅隊演練工具MacroPack遭濫用值得關注，因為其中有一起攻擊行動範圍涵蓋臺灣，另有兩個新聞與濫用合法雲端服務有關。</p> <p>●紅隊演練工具MacroPack遭多組攻擊者濫用，已發現4起攻擊行動。<br /> ●後門程式Voldemort的攻擊行動被揭露，濫用Google Sheets並假冒美、歐、亞洲稅務機關名義以竊取企業稅務資料。<br /> ●有鎖定M365用戶的攻擊活動在7月暴增，當中濫用微軟雲端簡報服務Sway來引誘受害者上當，並結合QR Code網釣手法。<br /> ●美國司法部宣布扣押俄羅斯用來散布不實言論的網域，以打擊俄羅斯持續操弄美國總統大選的行徑。</p> <p>在資安警訊與事件方面，有4則重要新聞，當中以RansomHub勒索軟體的相關消息最要重視，不僅多個美國政府機關發布聯合公告，揭露其手法與入侵指標，同時傳出美國石油公司Halliburton向美國SEC通報的網路安全事件，也是遭其所駭。</p> <p>●美政府警告半年前現身的RansomHub勒索軟體，受害者已超過210家。<br /> ●美國石油及天然氣業者Halliburton證實內部資料遭到外流<br /> ●英國倫敦交通局證實遭遇網路攻擊，傳出問題出在外部供應商系統。<br /> ●提供思科品牌服裝與配件的思科網路商店遭植入惡意JavaScript，信用卡資料、帳密恐外流。</p> <p>至於漏洞利用消息方面，居易的VigorConnect有兩個2021年修補的已知漏洞：CVE-2021-20123和CVE-2021-20124，用戶要注意是否已進行緩解或更新修補，因為它們近期被美國CISA列入已知漏洞利用清單，此外，上週Chrome零時差漏洞修補有後續消息揭露，指出北韓駭客Citrine Sleet是幕後挖掘漏洞並利用的組織，攻擊行動還利用了另一微軟零時差漏洞，而能在受害電腦作業系統核心植入rootkit程式FudModule。</p> <p>還有一個漏洞修補情形引起硬體安全界的重視，因為Yubico旗下FIDO裝置存在Eucleak弱點，Yubico指出這是英飛凌加密庫中關於ECDSA實作的旁路攻擊漏洞，將導致攻擊者有機會取得ECDSA金鑰。</p> <h2><a href="https://www.ithome.com.tw/news/165029"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年9月9日到9月13日</span></strong></a></h2> <p>回顧9月第二星期的資安新聞，有3起與臺灣息息相關的事件需要我們密切關注，包括臺灣多達45個單位與企業遭遇DDoS攻擊，以及臺灣無人機製造商被中國駭客鎖定攻擊，且疑似是涉及ERP相關的供應鏈攻擊。</p> <p>（一）中租、兆豐、彰銀以及臺灣證券交易所接連公告遭DDoS攻擊，親俄駭客NoName057宣稱是他們所為，還有多個臺灣政府機關也是這波攻擊目標。<br /> （二）中國駭客組織TIDrone今年不斷攻擊臺灣衛星及軍事工業，資安業者警告這些駭客似乎特別偏好攻擊無人機製造商。<br /> （三）臺灣無人機製造商遭攻擊行動Operation WordDrone鎖定被揭露，研究人員指出駭客使用舊版Word主程式，並關注為何是臺灣無人機產業遇害。</p> <p>關於第一則消息，親俄駭客NoName057近期先針對捷克、法國、烏克蘭的政府機關發動DDoS攻擊，自9月9日開始再針對我國網站攻擊，不僅持續鎖定臺灣政府機關，後續幾波又延伸到財稅單位、官股金融機構及部分企業。關於後續消息，<a href="https://www.facebook.com/moda.gov.tw/posts/523245727188197">數位發展部在周日9月14日召開記者會說明</a>，目前統計45件DDoS攻擊，各機關皆可於短時間內恢復，另指出我國遭受攻擊目標還包括地方稅務機構、區域民航站、主計總處、財金相關機關及部分電信業者等。</p> <p>這起事件不僅考驗國內應對DDoS的防護能力，特別的是，由於該組織宣稱攻擊原因是，不滿我國總統賴清德引用中俄領土爭議來反駁中國收復臺灣的主張，但該組織的說詞反而促使國際社會可以討論俄羅斯領地不歸中國、臺灣也是如此的狀況，並吸引到更多關注。</p> <p>第二與第三則消息有密切關聯，一是趨勢科技研究人員揭露，一是Acronis研究人員揭露，其共通點在於均指出臺灣無人機製造商遭駭客鎖定的狀況，並說明攻擊手法涉及利用Word與ERP軟體，可能涉及供應鏈攻擊情形。特別的是，Acronis還點出受害企業使用的鼎新電腦ERP軟體的程式可能遭竄改，鼎新電腦在Acronis揭露3日後做出回應，指出研究人員所提的「Digiwin」資料夾，實為協助企業服務的連線工具－－鼎新雲管家「DigiwinSCP」，目前已預防性關閉此連線並改用其他工具服務客戶。</p> <p>還有一起國內公司遭駭事件，發生在專注於複合螺絲及螺栓製造的臺灣上櫃公司世鎧精密，他們發布重訊說明公司部分資訊系統遭駭客發動加密攻擊。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商的每月例行安全更新修補發布，包括微軟、SAP、Adobe等，在盡速更新修補之餘，有7個漏洞利用情形需要特別重視。<br /> ●微軟修補4個已被用於攻擊行動的零時差漏洞，分別是涉及Windows MOTW的CVE-2024-38217，Windows Installer的CVE-2024-38014，Windows Update的CVE-2024-43491，以及Publisher保護機制的CVE-2024-38226。<br /> ●SonicWall在8月下旬修補的SonicOS重大漏洞CVE-2024-40766，9月初有多家資安業者示警指出已發現針對該漏洞的攻擊行動。<br /> ●有兩個早年的漏洞被美國CISA列入已知利用清單（KEV），分別是2017年Linux Kernel PIE的CVE-2017-1000253，以及開源圖像處理軟體ImageMagick的CVE-2016-3714。</p> <p>在資安事件與威脅態勢方面，國際間有多個重要消息，當中以Fortinet遭駭事故受矚目，該公司在24小時內發出公告證實此事，承認是存放於第三方雲端共享硬碟內的有限檔案遭未經授權存取，並表示該公司的產品及服務未受影響，後續Fortinet臺灣也說明此次事件對臺灣的客戶並未造成任何影響。</p> <p>●有人在Breach Forum論壇發文聲稱入侵Fortinet的Azure SharePoint帳戶並竊取440 GB資料，Fortinet證實第三方雲端共享硬碟出現未經授權存取。<br /> ●法國IT顧問公司Capgemini疑似發生資安事故，有人在駭客論壇公布20GB的資料，涉及該公司檔案、程式碼與客戶資料。<br /> ●卡巴斯基提供移除惡意程式rootkit的工具TDSSKiller，竟遭勒索軟體RansomHub駭客利用此工具來關閉EDR。<br /> ●微軟免費開發工具遭中國駭客Stately Taurus濫用，企圖滲透東南亞政府機關竊取機密。<br /> ●中國政府主導的網路間諜行動Operation Crimson Palace被揭露，有3波鎖定東南亞的攻擊行動至少4個駭客組織參與，且其入侵手法會利用公開工具隱匿行蹤。</p> <p>在資安防禦動向上，以國際支付巨擘在資安領域的投入最受關注。由於早年我們經常看到VISA舉辦資安高峰會，公布支付安全的進展，揭露針對交易安全的紅隊攻擊演練，以及併購資安業者等，最近Mastercard也展示他們對資安的重視與投資，不僅在上個月舉行的Black Hat USA 2024大會參展，如今他們更是宣布以26.5億美元併購威脅情報供應商Recorded Future。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/165106"><strong><span style="color: rgb(178, 34, 34);">【資安週報】2024年9月16日到9月20日</span></strong></a></h2> <p>中秋假期間的資安威脅不容小覷，近期有多個攻擊行動被揭露，其中兩起消息值得留意，一是資安業者揭露中國駭客Earth Baxia今年7月曾針對臺灣某個政府機關發動攻擊，值得注意的是，該攻擊利用GeoServer已知漏洞發動攻擊，並植入後門程式EagleDoor；一是發現中國駭客鎖定代管企業網站的IIS伺服器入侵的情形，主要利用特定的網頁應用程式服務來部署Web Shell，而其針對的目標是歐亞地區的企業網站。</p> <p>●臺灣政府機關遭中國駭客Earth Baxia攻擊，資安業者指出是其手法是藉由GeoServer已知漏洞發動攻擊。<br /> ●中國駭客DragonRank攻擊亞洲、歐洲IIS伺服器，還會利用惡意程式PlugX、BadIIS來操縱搜尋引擎的排名。<br /> ●惡意程式Amadey竊取帳密資料有新招，利用瀏覽器的Kiosk模式來提升憑證竊取的攻擊成功率。<br /> ●防毒業者Dr.Web驚傳遭入侵，暫時切斷所有伺服器的連線。<br /> ●臺美國防工業會議相關人士遭到鎖定，資安業者Cyble揭露發現相關誘餌檔案，是偽裝PDF檔案的Windows捷徑檔。</p> <p>在漏洞消息方面，本周有多個漏洞利用狀況，我們注意到前不久修補的IE漏洞CVE-2024-43461，出現新的變化——當時微軟指出該漏洞並未被大規模利用，一星期後確認該漏洞在修補之前就被利用。<br /> ●微軟本月修補的Windows MSHTML平臺漏洞CVE-2024-43461，後續發現在修補前已遭Void Banshee駭客組織利用。<br /> ●Progress在8月底修補WhatsUp Gold的漏洞CVE-2024-6670，資安業者警告已出現實際攻擊行動。<br /> ●Ivanti修補Cloud Services Appliance已遭利用的2個零時差漏洞：CVE-2024-8963 、CVE-2024-8190。<br /> ●Apache HugeGraph-Server在4月修補的漏洞CVE-2024-27348，最近發現遭積極利用。<br /> ●多個舊漏洞被美CISA列入已知漏洞利用清單，包括微軟的漏洞（CVE-2020-0618）、Oracle的漏洞（CVE-2022-21445、CVE-2020-14644），以及Adobe的漏洞（CVE-2013-0643、CVE-2013-0648、CVE-2014-0497、CVE-2014-0502）。</p> <p>還有多個漏洞修補消息需盡速因應，包括：GitLab修補CVSS滿分漏洞，以及OpenShift、VMware vCenter伺服器、新興AI系統AutoGPT、Docker、D-Link Wi-Fi路由器等的漏洞修補。</p> <p>特別的是，本星期還有一類型資安新聞也成重要焦點，因為駭客攻擊家用連網設備的消息不斷，涵蓋家用路由器與Android電視機上盒。</p> <p>例如，殭屍網路Quad7最新一波攻擊行動的揭露，繼先前TP-Link路由器發現被鎖定，如今攻擊範圍擴大，兆勤（Zyxel）、華碩、Ruckus等廠牌的路由器產品都成鎖定目標；還有美司法部宣布破獲中國駭客組織Flax Typhoon委由中國業者Integrity Technology Group建立的Raptor Train殭屍網路。</p> <p>上百萬Android電視機上盒的韌體遭植入後門程式的狀況，亦受不少人關注，是本周資安新聞排行的焦點。研究人員指出這是在今年8月發現，受害裝置多為知名度較低的品牌，但尚不清楚感染途徑。</p> <p>由於近年來駭客組織入侵家用路由器來建立自身的物聯網殭屍網路，其態勢是日益嚴峻，像是去年美國即拿下中國駭客Volt Typhoon使用的KV-botnet殭屍網路，因此如何持續緩解這方面的威脅，相當關鍵。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/165238"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0923~0927，有駭客假冒GitHub站方並以漏洞處理名義發送社交工程詐騙信</span></strong></a></h2> <p>在9月最後一星期的資安新聞中，在威脅態勢上，有兩則鎖定開發人員的網路威脅消息值得關切。</p> <p>一是近期許多GitHub用戶反映收到電子郵件通知，聲稱用戶參與的專案有處理儲存庫的資安漏洞要處理，但該郵件內的連結是指向github-scanner[.]com，這根本不是GitHub的網域，目的就是欺騙不謹慎檢查網域的用戶，另一起是北韓駭客Citrine Sleet於PyPI上傳惡意Python套件，吸引開發人員上當的攻擊活動，研究人員指出很可能是為了發動供應鏈攻擊；還有鎖定雲端挖礦的威脅值得持續留意，有兩起鎖定不同系統的揭露。</p> <p>●駭客網釣佯稱GitHub用戶自己的儲存庫有資安漏洞需要處理，目的是散布竊資軟體Lumma Stealer。<br /> ●北韓駭客Citrine Sleet上傳惡意Python套件，意圖散布RAT木馬PondRAT。<br /> ●Docker引擎API遭鎖定，有駭客發動大規模挖礦攻擊行動。<br /> ●資安業者針對駭客組織TeamTNT疑似重出江湖提出警告，並揭露近期鎖定CentOS的虛擬專屬伺服器。<br /> ●揭露新的安卓金融木馬Octo2，已發現歐洲國家出現受害裝置</p> <p>在資安事件方面，在國內有3起新聞，都是上櫃公司發布資安事件重大訊息，包含知名IC設計的創惟，以及專注磁性元件與印刷電路板業務的松上，特別的是，松上在資訊揭露上相當主動，於官方網站也有同步發布消息；在國際間則有一起關於水利關鍵基礎遭遇網路攻擊的消息，所幸不影響其服務與用水。</p> <p>●上櫃綠能環保「崑鼎」揭露部分資訊系統遭受駭客攻擊<br /> ●上櫃半導體業「創惟」說明部份伺服器遭受駭客攻擊<br /> ●上櫃電子零組件業「松上」揭露部分資訊系統遭受駭客攻擊<br /> ●美國堪薩斯州供水設施宣布遭遇網路安全事件，被迫切換手動操作因應。</p> <p>在漏洞消息方面，本星期有一個漏洞利用需要優先注意，那就是8月初修補Ivanti的Virtual Traffic Manager漏洞CVE-2024-7593，如今發現已有攻擊者鎖定該漏洞利用。</p> <p>特別的是，本週的重大漏洞修補新聞相當多，有3項涉及開源需儘速檢查因應，包括：圖像化資料分析系統Grafana開發團隊修補軟體開發套件，FreeBSD開發團隊針對Hypervisor元件的修補，資料庫管理工具pgAdmin開發團隊的修補；在產品面也有多個重大漏洞修補發布，需要用戶儘速處理，包括：臺廠Cellopoint針對郵件安全閘道的修補，Pure Storage針對旗下儲存系統FlashArray和FlashBlade的修補，Acronis備份軟體Plug-in程式的修補，以及晶片製造廠商Microchip針對ASF進階軟體框架的修補。</p> <p>另外值得一提，8月初美國CISA警告臺廠陞泰科技（Avtech）旗下視訊監控攝影機AVM1203的重大漏洞被攻擊者散布Mirai變種，時隔近一個月陞泰科技終於回應，指出該產品停產近7年，但他們決定破例提供新版韌體予以修補。</p> <p>在網路威脅防禦的面向，這一星期有兩大焦點，首先，是臺廠網擎資訊在Hello World Dev Conference的一場演說上，解析本土電子郵件系統防禦的演進與挑戰，當中並呼籲國內IT主管需改變思維：「千萬不要覺得一家公司的CVE（通用漏洞揭露）很多，就認為他們不安全」，這是廠商負責任的態度，勇於及時公布，並且分享情資讓大家趕快更新。</p> <p>另一是Gogolook呼籲企業需負起責任應對網路詐騙，目前全球已有主要國家率先立法因應，包括臺灣、英國、歐盟、美國、新加坡等，也有少數企業已經強烈意識到企業要更主動保護消費者，不僅推動詐騙偵測阻擋及識詐教育，同時將「防詐政策與作為」納入永續報告書。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165169">2024年8月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/164223">2024年7月資安月報</a></h3> <h3><a href="https://ithome.com.tw/news/164110">2024年6月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/163420">2023年5月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162730">2024年4月資安月報</a></h3> <h3><a href="https://www.ithome.com.tw/news/162577">2024年3月資安月報</a></h3> <p> </p> </div></div></div>
2024/10/1 17:37作者羅正漢https://www.ithome.com.tw/news/165258
【資安日報】10月1日，駭客組織Storm-0501將攻擊範圍延伸到雲端環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓攻擊行動帶來更大的危害，不少駭客將範圍從受害組織的內部網路環境，延伸到雲端環境。最近微軟揭露駭客組織Storm-0501的攻擊行動，就是典型的例子。</p> <p>研究人員特別提及這些駭客作案手法與過往最大的不同之處，在於他們對雲端身分管理服務Entra ID、Entra Connect等元件進行滲透，得逞後於雲端環境植入後門程式，以便存取受害組織的內部網路環境。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165275"><strong style="font-size: 22px;">駭客組織Storm-0501偷走憑證攻入Entra ID，橫向移動範圍從內部跨至雲端</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-storm-0501-attack-chain-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-storm-0501-attack-chain-1.png" style="width: 300px; float: right;" /></a></p> <p>微軟揭露駭客組織Storm-0501最新一波的攻擊行動，這些駭客鎖定美國政府機關、製造業、交通運輸、執法部門發動多階段攻擊，破壞混合雲環境的安全，並從本地橫向移動到雲端，從而外洩受害組織資料、竊取帳密資料、部署後門程式及勒索軟體。</p> <p>研究人員特別提及，這些駭客利用薄弱的憑證及權限過高的帳號，而能從受害組織的內部環境轉移到雲端環境。駭客先是竊得憑證用來控制內部網路環境，最終在雲端環境設置能持續運作的後門程式，並將勒索軟體植入組織內部。</p> <p>值得留意的是，駭客在近期的活動裡，透過Entra ID（原Azure AD）橫向移動到雲端環境，並藉由後門持續存取，其中他們濫用Entra Connect（原Azure AD Connect）的同步元件，而能同時挖掘本機與雲端同步帳號的帳密資料，在部分攻擊行動裡，攻擊者會停用多因素驗證（MFA）的網域管理員，挾持雲端連線階段（Session）以達到目的。</p> <p><a href="https://www.ithome.com.tw/news/165278"><strong style="font-size: 22px;">駭客鎖定俄語使用者用HTML偷渡手法散布DCRat木馬</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DCRat-7.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/DCRat-7.jpeg" style="width: 300px; float: right;" /></a></p> <p>自2018年出現的RAT木馬程式Dark Crystal RAT（簡稱DCRat），具備竊取機密資訊、執行Shell命令、側錄鍵盤輸入的內容等功能，開發者以租用型式（Malware as a Service，MaaS）提供駭客運用，如今在最新一波攻擊行動裡，駭客結合了HTML偷渡（HTML Smuggling）手法來進行散布。</p> <p>資安業者Netskope揭露鎖定俄語使用者的DCRat攻擊行動，駭客設置冒牌的HTML網頁，假借提供TrueConf和VK Messenger等應用程式的名義，引誘使用者上當。但究竟駭客如何讓受害者接觸這些冒牌網頁？研究人員表示不清楚。</p> <p>值得留意的是，一旦使用者存取這些網頁，瀏覽器就會逕自下載受到密碼保護的ZIP壓縮檔。駭客也在網頁列出密碼，若是使用者依照指示解開壓縮檔，電腦有可能會因此感染DCRat。</p> <p><a href="https://www.ithome.com.tw/news/165263"><strong style="font-size: 22px;">Rackspace內部系統遭入侵，問題出在第三方應用程式</strong></a></p> <p>根據The Register報導，雲端運算平臺Rackspace內部使用的IT監控軟體存在零時差漏洞，讓駭客藉以駭入公司系統，並存取了該公司管理憑證及企業客戶資料。</p> <p>Rackspace說明，9月24日該公司發現，第三方IT管理應用程式存在遠端程式碼執行（RCE）零時差漏洞。駭客藉此漏洞，存取了該公司3臺內部監控用的網頁伺服器，以及「部分監控資訊」。</p> <p>這第三方應用程式來自臺灣的飛立德（ScienceLogic），該公司提供AIOps及IT基礎架構監控平臺，為Rackspace用以監控內部系統營運。Rackspace說接獲飛立德通知漏洞消息，該公司也立即採取行動，隔離受影響的機器，並且通知客戶。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=65123&SPOKE_DATE=20241001&COMPANY_ID=2892"><strong style="font-size: 22px;">第一銀行網銀遭到DDoS攻擊</strong></a></p> <p></p> <p>9月30日第一金融控股（第一金）於股市公開觀測站發布重大訊息，指出旗下子公司第一銀行的網路銀行網站「第e個網」遭遇網路DDoS攻擊，他們在察覺此事後立即啟動相關防禦機制，網站服務未受影響。</p> <p>而對於此事可能造成的損失或是影響，該公司表示，目前評估對銀行日常營運尚無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cyble.com/blog/nexe-backdoor-unleashed-patchwork-apt-groups-sophisticated-evasion-of-defenses/">駭客組織Patchwork鎖定中國企業組織，散布後門程式Nexe</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cyfirma.com/research/osint-investigation-hunting-malicious-infrastructure-linked-to-transparent-tribe/">巴基斯坦駭客Transparent Tribe鎖定印度Linux電腦而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.sekoia.io/hadooken-and-k4spreader-the-8220-gangs-latest-arsenal/">駭客組織8220散布惡意軟體Hadooken及K4Spreader挾持雲端環境</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.afp.com/en/agency/press-releases-newsletter/afp-detects-attack-its-it-systems">法新社傳出遭遇網路攻擊，波及合作夥伴IT系統及內容交付</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cna.com.tw/news/afe/202409300422.aspx">樂天信用卡遭駭客攻擊未緊急應變，金管會列6大缺失、罰250萬</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165280"><strong style="font-size: 22px;">WatchGuard身分驗證系統存在重大漏洞</strong></a></p> <p>資安業者WatchGuard發布資安公告，指出身分驗證系統Authentication Gateway的單一簽入（SSO）元件，存在弱點CVE-2024-6592、CVE-2024-6593、CVE-2024-6594，CVSS風險評分介於7.5至9.1。對此，他們已發布12.10.2版Authentication Gateway（又稱為Single Sign-On Agent），以及Windows、macOS用戶端程式Single Sign-On Client新版12.7、12.5.4予以修補。</p> <p>根據CVSS風險評分高低，較值得留意的是被列為重大層級的CVE-2024-6592、CVE-2024-6593，兩者之所以被認定為漏洞，是因為Authentication Gateway與Single Sign-On Client之間，出現不正確授權的情況，其中CVE-2024-6592影響Windows及macOS用戶端，另一個漏洞僅有Windows用戶端受到波及。</p> <p><a href="https://www.ithome.com.tw/news/165277"><strong style="font-size: 22px;">購物網站外掛TI WooCommerce Wishlist存在重大漏洞，恐影響10萬網站</strong></a></p> <p>資安業者Patchstack指出，WordPress外掛程式TI WooCommerce Wishlist存在重大層級的漏洞CVE-2024-43917，此漏洞允許任意使用者在WordPress網站資料庫執行不受限制的SQL查詢，而且，攻擊者可在無須取得特殊權限的狀況下，利用這項弱點，CVSS風險評為9.3分（後來NVD認為有9.8分）。值得留意的是，目前這項漏洞尚未得到修補，因此研究人員呼籲，網站管理員最好儘速停用並刪除此外掛程式</p> <p>此重大層級漏洞發生的原因，在於SQL命令使用的特殊元素的不當處理所致，導致攻擊者能在未經身分驗證的情況下觸發漏洞，研究人員也公布2種漏洞利用的概念性驗證程式碼。</p> <p><a href="https://www.ithome.com.tw/news/165243"><strong style="font-size: 22px;">Kia網站漏洞可讓攻擊者駭入並控制車子，2013年以後車款受影響</strong></a></p> <p>資安研究人員Sam Curry所組成的研究團隊於今年6月發現韓國汽車大廠起亞（Kia）網站的數項漏洞，其中包含客戶網站owners.kia.com的漏洞，能讓攻擊者建立特製的App，而能在大約30秒內駭入車輛並遠端控制主要功能。攻擊者還能暗中取得車主個資，包括：姓名、電話、電子郵件與地址，甚至有機會利用這些資訊在車主不知情下，取得車輛控制權。值得留意的是，該公司從2013年到2025年生產的數十款車型都受到影響，幾乎所有車輛都能遠端定位、開車門、發動引擎、開啟方向燈，部分甚至能遠端啟動攝影機。</p> <p>研究人員在Kia經銷商網站冒充登錄新經銷商，驗證新帳號，取得有效存取令牌後，以此新令牌呼叫後臺API，從回傳的HTTP回應取得必要參數，存取Kia經銷商上的所有經銷商端點。研究人員還可利用電郵和取得的必要參數，降級受害車主等級，加入自己的電子郵件信箱，綁定並設為車子的主要用戶。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165259"><strong>【9月30日】Unix與Linux普遍內建的列印系統CUPS存在重大漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165236"><strong>【9月27日】駭客利用Docker引擎API進行挖礦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165207"><strong>【9月26日】macOS版ChatGPT軟體存在可被竊密的漏洞SpAIware</strong></a></p> <p> </p> </div></div></div>
2024/10/1 17:32作者周峻佑https://www.ithome.com.tw/news/165282
駭客鎖定俄語使用者用HTML偷渡手法散布DCRat木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2018年出現的RAT木馬程式Dark Crystal RAT（簡稱DCRat），具備竊取機密資訊、執行Shell命令、側錄鍵盤輸入的內容等功能，開發者以租用型式（Malware as a Service，MaaS）提供駭客運用，如今在最新一波攻擊行動裡，駭客結合了HTML偷渡（HTML Smuggling）手法來進行散布。</p> <p>資安業者Netskope揭露<a href="https://www.netskope.com/blog/dcrat-targets-users-with-html-smuggling">鎖定俄語使用者的DCRat攻擊行動</a>，駭客設置冒牌的HTML網頁，假借提供TrueConf和VK Messenger等應用程式的名義，引誘使用者上當。但究竟駭客如何讓受害者接觸這些冒牌網頁？研究人員表示不清楚。</p> <p>值得留意的是，一旦使用者存取這些網頁，瀏覽器就會逕自下載受到密碼保護的ZIP壓縮檔。駭客也在網頁列出密碼，若是使用者依照指示解開壓縮檔，電腦有可能會因此感染DCRat。</p> <p>究竟壓縮檔的內容為何？研究人員指出是偽裝成安裝程式的RAR自解壓縮檔（SFX），而這個執行檔當中，又包含批次檔及另一個受到密碼保護的RAR自解壓縮檔。</p> <p>研究人員指出，駭客利用含有密碼的壓縮檔而能成功迴避偵測，因為他們將ZIP檔上傳惡意軟體分析平臺VirusTotal，結果所有防毒引擎都無法察覺有害；但解開後無密碼保護的RAR自解壓縮檔，情況就完全不一樣了，因為此時VirusTotal的72個引擎當中，多達49個將其視為有害。</p> </div></div></div>
2024/10/1 16:06作者周峻佑https://www.ithome.com.tw/news/165278
WatchGuard身分驗證系統存在重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者WatchGuard發布資安公告，指出身分驗證系統Authentication Gateway的單一簽入（SSO）元件，存在弱點<a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2024-00014">CVE-2024-6592</a>、<a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2024-00015">CVE-2024-6593</a>、<a href="https://www.watchguard.com/wgrd-psirt/advisory/wgsa-2024-00016">CVE-2024-6594</a>，CVSS風險評分介於7.5至9.1。對此，他們已發布12.10.2版Authentication Gateway（又稱為Single Sign-On Agent），以及Windows、macOS用戶端程式Single Sign-On Client新版12.7、12.5.4予以修補。</p> <p>根據CVSS風險評分高低，較值得留意的是被列為重大層級的CVE-2024-6592、CVE-2024-6593，兩者之所以被認定為漏洞，是因為Authentication Gateway與Single Sign-On Client之間，出現不正確授權的情況，其中CVE-2024-6592影響Windows及macOS用戶端，另一個漏洞僅有Windows用戶端受到波及。</p> <p>對於CVE-2024-6592的部分，攻擊者在得到網路存取權限的情況下，可藉由偽造的通訊來觸發，擷取通過身分驗證的使用者名稱及群組成員身分，或將任意帳號及群組資訊傳送到Authentication Gateway。</p> <p>至於另一個漏洞CVE-2024-6593，攻擊者有機會在取得網路環境的存取權限後，執行部分管理命令。</p> <p>不過，該公司強調，攻擊者無法利用這些漏洞取得帳密資料，他們也尚未發現漏洞被用於實際攻擊。但值得留意的是，通報此事的資安業者RadTeam Pentesting<a href="https://github.com/RedTeamPentesting/watchguard-sso-client">已公布概念性驗證程式碼</a>（PoC），IT人員還是要儘速採取行動因應。</p> </div></div></div>
2024/10/1 16:54作者周峻佑https://www.ithome.com.tw/news/165280
駭客組織Storm-0501偷走憑證攻入Entra ID，橫向移動範圍從內部跨至雲端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟揭露<a href="https://www.microsoft.com/en-us/security/blog/2024/09/26/storm-0501-ransomware-attacks-expanding-to-hybrid-cloud-environments/">駭客組織Storm-0501最新一波的攻擊行動</a>，這些駭客鎖定美國政府機關、製造業、交通運輸、執法部門發動多階段攻擊，破壞混合雲環境，並從本地橫向移動到雲端，從而外洩受害組織資料、竊取帳密資料、部署後門程式及勒索軟體。</p> <p>研究人員特別提及，這些駭客利用薄弱的憑證及權限過高的帳號，而能從受害組織的內部環境轉移到雲端環境。駭客先是竊得憑證用來控制內部網路環境，最終在雲端環境設置能持續運作的後門程式，並將勒索軟體植入組織內部。</p> <p>究竟駭客如何入侵受害組織，主要從初始入侵管道掮客Storm-0249、Storm-0900得到相關資訊，藉由外流的帳密資料，或是尚未修補漏洞並曝露於網際網路的應用系統而得逞。在最近的攻擊行動裡，研究人員看到對方利用的漏洞，包括：Zoho ManageEngine漏洞CVE-2022-47966、Citrix NetScaler漏洞CVE-2023-4966，以及Adobe ColdFusion 2016漏洞CVE-2023-29300或CVE-2023-38203。</p> <p>一旦攻擊者成功入侵，並取得程式碼執行的權限，就會進行廣泛的偵察，利用Windows公用程式及開源工具，尋找高價值資產及網域資訊，在部分攻擊行動裡，駭客使用PowerShell指令碼對AD進行偵察。完成後，他們會部署Level.io、AnyDesk、NinjaOne等多種遠端監管工具（RMM），以便持續存取受害裝置。</p> <p>接著，駭客藉由受害電腦的管理員權限，利用網路偵察工具Impacket的模組SecretsDump，挖掘其他帳號的存取權限。此外，這些駭客也企圖從密碼管理工具KeePass，竊取相關機密資料。</p> <p>而對於駭客橫向移動的方式，研究人員指出是透過Cobalt Strike進行，藉由偷來的憑證與這套工具提供的C2功能（Cobalt Strike Beacon）連接所有端點進行通訊，然後以網域管理員權限控制網域控制器，最終於受害組織網路環境部署勒索軟體。</p> <p>值得留意的是，駭客在近期的活動裡，透過Entra ID（原Azure AD）橫向移動到雲端環境，並藉由後門持續存取，其中他們濫用Entra Connect（原Azure AD Connect）的同步元件，而能同時挖掘本機與雲端同步帳號的帳密資料，在部分攻擊行動裡，攻擊者會停用多因素驗證（MFA）的網域管理員，挾持雲端連線階段（Session）以達到目的。</p> </div></div></div>
2024/10/1 14:53作者周峻佑https://www.ithome.com.tw/news/165275
購物網站外掛TI WooCommerce Wishlist存在重大漏洞，恐影響10萬網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Patchstack指出，WordPress外掛程式<a href="https://patchstack.com/articles/unpatched-sql-injection-vulnerability-in-ti-woocommerce-wishlist-plugin/">TI WooCommerce Wishlist存在重大層級的漏洞CVE-2024-43917</a>，此漏洞允許任意使用者在WordPress網站資料庫執行不受限制的SQL查詢，而且，攻擊者利用這項弱點無須取得特殊權限，CVSS風險評為9.3分（<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-43917">後來NVD認為有9.8分</a>）。值得留意的是，目前這項漏洞尚未得到修補，因此研究人員呼籲，網站管理員最好儘速停用並刪除此外掛程式。</p> <p>這項外掛程式的功能，就是能讓網站管理者在WooCommerce購物網站快速設置願望清單的機制，有超過10萬個網站部署，算是同類型當中相當受到歡迎的外掛程式。</p> <p>而此重大層級漏洞發生的原因，在於SQL命令使用的特殊元素的不當處理所致，導致攻擊者能在未經身分驗證的情況下觸發漏洞，研究人員也公布2種漏洞利用的概念性驗證程式碼。</p> <p>研究人員於今年7月18日進行通報，但開發商並未回應，也並未著手修補，WordPress外掛程式審核團隊於9月12日暫停提供下載。</p> </div></div></div>
2024/10/1 15:33作者周峻佑https://www.ithome.com.tw/news/165277
Liquid AI發表非Transformer的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年才成立的Liquid AI周一（9/30）<a href="https://www.liquid.ai/liquid-foundation-models#reimagining-model-architectures" target="_blank">發表</a>了3個Liquid基礎模型（Liquid Foundation Models，LFMs），分別是LFM-1.3B、LFM-3.1B 及LFM-40.3B。Liquid AI利用非Transformer架構來建置模型，並宣稱旗下模型在基準測試上，已凌駕那些規模相同的Transformer模型。</p> <p>Liquid AI的4名創辦人都來自麻省理工學院（MIT）的計算機科學與人工智慧實驗室（CSAIL），致力於從第一原則（First principles）出發來建立新一代的基礎模型。</p> <p>目前深度學習與自然語言處理的主流架構為Transformer，它採用自我注意力機制，來補捉序列中單字之間的關係，而不仰賴傳統的循環神經網絡（RNN）或卷積神經網絡（CNN），包括OpenAI GPT，Meta BART，或是Google T5等模型都是基於Transformer。</p> <p>至於第一代的Liquid AI LFMs則是深受動力系統、訊號處理，以及數值線性代數的影響所打造的大型神經網路，且它們是通用的AI模型，能針對特定類型的資料進行建模，涵蓋影片、音訊、文字、時間序列及訊號等。Liquid AI表示，該公司的名字即是在向動態與自適應學習系統的根源致敬。</p> <p>Liquid AI解釋，相較於Transformer架構，LFMs所占用的記憶體更少，特別是在更大量的輸入時。這是因為Transformer模型在處理長輸入時，需要保存鍵值（KV）快取，且這個快取會隨著序列長度而增加，使得愈長的輸入就會讓Transformer模型占用更多記憶體；而LFMs則能有效地壓縮輸入資料，而降低對硬體資源的要求。因此，在同樣的硬體上，LFMs能夠處理更長的序列。</p> <p>在首波釋出的3種模型中，LFM-1.3B專為資源高度受限的環境所設計，LFM-3.1B 則是針對邊緣部署執行了最佳化，LFM-40.3B屬於專家混合（MoE）模型，是替相對複雜的任務所設計，同時Liquid AI也強調，其目標是開發能與現階段最好的LLM較勁的創新模型。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/1001-Liquid%20AI-LFM-%E5%AE%98%E6%96%B9%E5%9C%96%E7%89%87.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1001-Liquid%20AI-LFM-%E5%AE%98%E6%96%B9%E5%9C%96%E7%89%87(1).png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Liquid AI</span></span></p> <p>其中，LFM-1.3B在許多基準測試中擊敗了1B領域的眾多好手，包括蘋果的OpenELM、Meta的Llama 3.2、微軟的Phi 1.5或是Stability的Stable LM 2，Liquid AI說，這是首次有非GPT架構的模型明顯超越Transformer模型。</p> <p>而LFM-3.1B不僅超越了3B領域的各種Transformer模型、混合模型與RNN模型，甚至超越了前一代的7B與13B模型，不管是Google的Gemma 2，蘋果的AFM Edge AFM，Meta的Llama 3.2，微軟的Phi-3.5都屈居下風。</p> <p>LFM-40.3B則強調模型規模與輸出品質之間的平衡，儘管擁有400億個參數，但執行時啟用120億個參數來推論，能比美比自己還大的模型，此外，其MoE架構能實現更高的吞吐量，也能部署在更具成本效益的硬體上。</p> <p>現階段的LFMs擅長一般知識及專業知識，也能處理數學及邏輯推理，並可有效率地處理長文任務，主要支援英文，也支援中文、法文、德文、西班牙文、日文、韓文與阿拉伯文。較不擅長的則有零樣本的程式碼任務，精確的數值計算，具時效性的資訊，也無法計算Strawberry這個字中有多少個R，以及尚未部署人類偏好的優化。</p> </div></div></div>
2024/10/1 16:15作者陳曉莉https://www.ithome.com.tw/news/165279
Microsoft Defender for Individuals現可偵測不安全的Wi-Fi網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟周一（9/30）<a href="https://techcommunity.microsoft.com/t5/security-compliance-and-identity/keep-your-online-activity-safer-on-public-wi-fi-with-microsoft/ba-p/4251376" target="_blank">宣布</a>，付費的Microsoft Defender for Individuals服務現在已可偵測不安全或可疑的Wi-Fi網路，並提醒使用者，使用者則可在接到通知後，啟用VPN功能來保護連線。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1001-Microsoft%20Defender%20for%20individuals-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Microsoft Defender是微軟所開發的安全服務，它內建在Windows作業系統中，提供基本功能的免費服務，另有許多進階付費服務，如Microsoft Defender XDR、Microsoft Defender for Endpoint或Microsoft Defender for Office 365，而Microsoft Defender for Individuals則為Microsoft 365訂閱服務的功能之一。</p> <p>微軟是在去年<a href="https://techcommunity.microsoft.com/t5/security-compliance-and-identity/introducing-credit-monitoring-and-privacy-protection-for/ba-p/3931972" target="_blank">開始</a>於Microsoft Defender for Individuals提供VPN服務，但將其稱為隱私保護（Privacy Protection）功能，而且僅適用於Android裝置及美國市場，讓用戶在使用公開Wi-Fi網路時可啟用它來保護隱私，今年4月將它擴展至英國市場，並新增對iOS的支援。</p> <p>而今，此一Microsoft Defender for Individuals的VPN功能同時支援Android、iOS、Windows與macOS裝置，並擴大於德國及加拿大市場推出，很快就會在歐洲、亞洲與拉丁美州市場上線。</p> <p>此外，它還能自動偵測不安全的Wi-Fi網路，像是那些安全加密較薄弱的公共Wi-Fi熱點，也能利用Defender啟發式分析，來檢查可疑的Wi-Fi網路，如訊號強度、加密類型或是連線過程中有否不尋常行為等，在偵測到奇怪網路時就會通知使用者，並建議他們啟用VPN。</p> </div></div></div>
2024/10/1 12:29作者陳曉莉https://www.ithome.com.tw/news/165274
Happy Go將生成式AI用於商品情資蒐集，強化商品分類並豐富上億商品數據
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>擁有超過80萬個合作通路的聯合集點卡Happy Go（鼎鼎聯合行銷），近日揭露自家如何利用生成式AI，來強化4,000多個品牌、上億件商品數據的分類，進而支援業務部門更好的用數據來制定行銷策略。</p> <p><strong>擁抱AI和生成式AI來強化商品數據處理及分析能力</strong></p> <p>Happy Go數據管理部協理黃士峰表示，作為一個行銷服務廠商，如何用數據來支援行銷決策，是他們成立20年來不斷尋找新解方的課題。隨著Happy Go發展更多品牌，開始蒐集數位廣告、市場調查等數據，他們掌握了更多、更複雜的數據，既有技術也逐漸難以支援這些數據的處理需求。「只用關鍵字來查找資料的話，檢索『書套』的時候會出現『女秘書套裝』。」黃士峰笑道。</p> <p>隨著數據基礎建設到位，他們開始利用AI來支援數據梳理與分析。2022年，他們開始利用NLP技術來解析不同格式數據，再用分類型AI技術，每天把上億筆數據分為大中小三層，共1,200多種預先定義好的分類。他們還打造MLOps平臺，標準化模型開發周期各環節，將原本以季為單位的再訓練時程縮短到可以每個月一次，讓業務部門可以用更具時效性、更精準的數據來行銷。</p> <p>2023年生成式AI大爆紅後，Happy Go更發現，生成式AI可以進一步強化業務部門的數據應用能力。</p> <p>「除了產品分類，業務團隊還希望知道這個商品的品牌是什麼，它有什麼風格、特色，客群是誰，大眾形象為何？」黃士峰解釋。以往，遑論上億件商品，連幾千個合作品牌，要人工蒐集、彙整相關資訊，都是艱鉅挑戰。不過，使用生成式AI，就可以做到。</p> <p>他們採用公有雲上的生成式AI解決方案，將Claude、Stable Diffusion等不同模態的模型用於商品辨識和資訊蒐集，並串接到自家MLOps平臺，作為既有AI商品分類模型再訓練的數據。</p> <p>黃士峰坦言，生成式AI蒐集並輸出的商品資訊並非100%精準，甚至有可能包含幻覺。「不過，我們原本是完全無法蒐集這些資料，所以能開始蒐集已經是質變。」目前，整體商品分類機制的準確率約為90%。</p> <p>利用生成式AI來蒐集商品和品牌的額外資料，不僅大幅降低業務自行研究品牌資訊需求，甚至，可以超越Happy Go原本的商品分類框架，產生新分類。業務部門檢索商品分類或構思行銷角度時，便能有更多選項。</p> <p><strong>下一步是打造自助式生成式AI工具平臺</strong></p> <p>Happy Go還有意將生成式AI應用到更多業務環節中。未來，他們計畫打造自助式生成式AI平臺，來輔助日常業務。</p> <p>黃士峰觀察，已有部分員工用雲端生成式AI工具，蒐集網路資訊、整理顧客數據或是生成簡報提案素材等業務。不過，內部數據需經過審查機制，或請數據團隊處理才能上雲。由員工各自報銷訂閱費用，也造成行政資源消耗。</p> <p>目前，數據部門打算繼續在各部門推廣ChatGPT等工具。過一段時日，蒐集了真正有價值、切合痛點的使用情境後，再針對這些關鍵情境打造生成式AI平臺，整合所需工具，以及使用這些工具所需的數據處理、帳號權限管理、訂閱費用付款等機制。</p> <p>黃士峰表示，去年3月，Happy Go數據團隊就已經串接了雲端生成式AI工具的API。之所以不急著做出這個平臺，是因為Happy Go發展新數據應用及AI專案時，只聚焦於能帶來確實、重大影響的使用情境，避免開發量能浪費。</p> <p></p> <p> </p> </div></div></div>
2024/10/1 12:47作者郭又華https://www.ithome.com.tw/news/165255
AI晶片新創Cerebras申請IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發AI訓練及推論晶片的Cerebras Systems，本周向美國證券交易委員會（SEC）提出了首次股票公開發行<a href="https://www.sec.gov/Archives/edgar/data/2021728/000162828024041596/cerebras-sx1.htm" target="_blank">（IPO）的申請書</a>，打算以CBRS的代號登上美國那斯達克（Nasdaq）股市。</p> <p>Cerebras Systems的創業團隊在2007年曾創立伺服器公司SeaMicro，並在2012年以3.34億美元賣給了AMD，再於2016年共創Cerebras Systems。不過，Cerebras一直到2019年才開始創造營收。</p> <p>Cerebras被視為少數可與Nvidia競爭的對手，在今年8月<a href="https://www.ithome.com.tw/news/164723" target="_blank">推出的AI推論解決方案</a>Cerebras Inference，號稱是全球最快的相關解決方案，比基於Nvidia GPU的大型雲端解決方案快上20倍，但價格只需1/5，性價比高達100倍；亦說Cerebras Inference所採用的第三代AI晶圓級處理器Wafer Scale Engine 3（WSE-3），表現勝過Nvidia的H100與B200。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1001-WSE-3.png" style="width: 600px;" /></p> <p>該公司在2022年的營收為2,460萬美元，2023年成長至7,870萬美元，今年上半年的營收則已達到1.36億美元，不過，Cerebras在2022年虧損了1.78億美元，2023年虧損1.27億美元，今年上半年虧損6,660萬美元。</p> </div></div></div>
2024/10/1 11:43作者陳曉莉https://www.ithome.com.tw/news/165273
Rackspace內部系統遭駭客侵入，問題出在他們採用的第三方應用程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.theregister.com/2024/09/30/rackspace_zero_day_attack/" target="_blank">The Register報導</a>，雲端運算平臺Rackspace內部使用的IT監控軟體零時差漏洞，讓駭客藉以駭入公司系統，並存取了該公司管理憑證及企業客戶資料。</p> <p>Rackspace說明，9月24日該公司發現它使用的第三方IT管理應用程式，存在遠端程式碼執行零時差漏洞。駭客藉由這軟體漏洞存取了該公司三臺內部監控用的Web伺服器，以及「部份監控資訊」。</p> <p>這第三方應用程式來自臺灣的飛立德（ScienceLogic），該公司提供AIOps及IT基礎架構監控平臺，為Rackspace用以監控內部系統營運。</p> <p>Rackspace說接獲飛立德通知漏洞消息，該公司也立即採取行動，隔離受影響的機器，並且通知客戶。</p> <p>Rackspace在上周以信件通知受影響的客戶，說明可能外洩的資訊。根據The Register取得的客戶通知函，Rackspace外洩的資料包括客戶帳戶名稱、帳戶號、Rackspace內部產生的裝置ID、裝置名稱和相關資訊、IP位址、以及AES256加密的Rackspace內部裝置代理程式憑證。</p> <p>Rackspace告訴客戶，事件沒有影響Rackspace任何產品、平臺、解決方案或公司業務，也不影響對客戶服務。但為謹慎起見，該公司已著手輪換了裝置代理程式憑證，客戶端無需動作。</p> <p>有多少客戶受影響目前不得而知。</p> <p>這是近二年Rackspace第二度已知的客戶資料外洩。2022年底其代管的Exchange郵件服務遭到<a href="https://www.ithome.com.tw/news/155072" target="_blank">勒索軟體攻擊</a>，導致數千用戶系統中斷，部份客戶資料遭駭客存取。</p> </div></div></div>
2024/10/1 10:39作者林妍溱https://www.ithome.com.tw/news/165263
明碼儲存數位用戶密碼，Meta被愛爾蘭政府罰款9,100萬歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>社群平臺Meta數年前被發現未加密儲存用戶密碼，上周遭愛爾蘭資料保護主管機關<a href="https://www.dataprotection.ie/en/news-media/press-releases/DPC-announces-91-million-fine-of-Meta" target="_blank">處以9,100萬歐元罰金</a>。</p> <p>2019年3月Meta被發現以明碼儲存用戶密碼，其愛爾蘭分公司向愛爾蘭資料保護委員會（Data Protection Commission，DPC）坦承它不慎以明文形式將「某部份」用戶密碼儲存在內部系統，DPC於4月啟動調查。經過5月調查，今年6月DPC做出裁決草案，這份草案獲得歐盟會員國主管機關無異議通過。DPC也在9月26日通知Meta最終裁決，包含9,100萬歐元罰款。</p> <p>根據愛爾蘭主管機關的調查，Meta的罪狀包括未能通知，亦未能文件記錄其明碼儲存用戶密碼的個資外洩事件，他們也未能使用適當的技術或組織措施防止用戶密碼遭未授權處理，以及確保用戶密碼的長期機密性。簡而言之，Meta行為已經違反了歐盟隱私法GDPR。</p> <p>安全專家<a href="https://krebsonsecurity.com/2019/03/facebook-stored-hundreds-of-millions-of-user-passwords-in-plain-text-for-years/" target="_blank">Brian Krebs報導</a>2019年Meta的資安事件，估計共有2億到6億臉書用戶密碼以明文儲存，以致可為該公司2萬員工搜尋得到，外洩事件最早可追溯到2012年。而且根據Meta／臉書內部調查，log顯示，2,000名臉書工程師已對儲存的用戶密碼資料庫做了大約900萬次查詢。最終被曝光事件影響的臉書用戶人數不得而知。Meta對當局說，這些密碼並未被外部人士存取。</p> <p>這已是Meta多次挨罰中的最新記錄。去年5月Meta因把歐盟用戶的個資傳送到美國，<a href="https://www.ithome.com.tw/news/157007" target="_blank">遭罰</a>12億歐元，是GDPR金額歷來最高的罰單。2022年Meta的臉書因資料保存不當，讓他人從其平臺擷取5億用戶個資<a href="https://www.ithome.com.tw/news/154464" target="_blank">被罰</a>2.65億歐元。其餘這家社群平臺也先後因Instagram、WhatsApp、臉書資料處理<a href="https://www.ithome.com.tw/news/155007" target="_blank">被開罰單</a>。Meta自2018年向歐盟繳交罰金已經高達25億歐元，是罰款最大戶。</p> </div></div></div>
2024/10/1 10:51作者林妍溱https://www.ithome.com.tw/news/165265
Rails 8.0預配置Kamal 2供開發者簡單部署Docker容器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以程式語言Ruby編寫的網頁應用框架<a href="https://rubyonrails.org/2024/9/27/rails-8-beta1-no-paas-required">Rails 8</a>即將發布，官方先在Rails World大會公開多項新版本亮點。Rails 8的新功能包括簡化部署流程、減少外部服務依賴，以及強化SQLite在生產環境中的使用。Rails 8的更新重點在於透過Kamal 2、Solid Adapters以及內建工具的改進，降低應用部署門檻，使開發者能夠更快速地將應用程式推向生產環境。</p> <p>Rails 8透過整合Kamal 2和Thruster，提供開發者更加簡單且高效的部署解決方案。傳統應用程式部署過程通常牽涉多個外部服務和複雜配置，而藉由使用Kamal 2，開發者只需要執行單一指令，就可以將全新的Linux主機快速配置成應用伺服器，官方指出，整體部署時間可縮短至兩分鐘以內。</p> <p>Rails 8內建的Docker支援和經過改進的Dockerfile，讓開發者可以簡單地將應用程式打包成容器，以符合生產環境的需求。新的Dockerfile採用Thruster代理，可直接在Puma前端提供加速和資源管理，用戶不再需要在網頁伺服器前架設Nginx等代理伺服器，預設的Rails 8容器已準備立即接受來自網路的流量。</p> <p>Kamal 2專屬代理服務Kamal Proxy則實現了多應用支援、零停機部署和Let’s Encrypt自動化SSL憑證配置，減少開發者在應用部署過程中的繁瑣工作。Kamal 2也調整了機密資訊管理策略，內建整合1Password、Bitwarden和LastPass。而這些新功能讓Rails 8能夠提供完整解決方案，處理應用程式在生產環境中的部署和營運。</p> <p>Rails 8還加入了Solid Cable、Solid Cache和Solid Queue三個全新Solid Adapters，取代外部服務相依性。Solid Cable取代Redis作為WebSocket訊息中繼伺服器，主要負責WebSocket的資訊傳遞，透過輪詢方式將應用訊息傳遞給不同的客戶端。</p> <p>而Solid Cache則是取代Redis或Memcached快取HTML片段，藉由使用磁碟而非記憶體進行儲存，提供更大且成本更低的快取空間。Solid Queue不僅取代了Redis，也取代Resque、Delayed Job或Sidekiq等開發者常用任務執行框架，支援高效能任務調度，不只是PostgreSQL、MySQL，現在也可執行於SQLite之上，降低部署的複雜性。</p> <p>Rails 8的三個Solid Adapters可減少應用對外部服務的相依性，讓部署變得更簡單。藉由使用SQLite作為後端儲存，開發者便不再需要使用Redis、Memcached等服務，這讓小型應用或是剛起步的專案，可以快速部署到生產環境，而不用考慮複雜的伺服器架構。</p> <p>雖然Rails 8.0仍在Beta 1的階段，但是已經在Shopify、GitHub等大型應用中經過廣泛測試，此外，新的部署工具、Solid Cache和Solid Queue也已在37signals的Basecamp和HEY等應用中執行超過18個月，足以證明其穩定性。</p> </div></div></div>
2024/9/30 22:29作者李建興https://www.ithome.com.tw/news/165256
【資安日報】9月30日，Unix與Linux普遍內建的列印系統CUPS存在重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾天有許多漏洞相關的消息揭露，其中有一起引起資安圈的高度關注，原因是透露此事的研究人員指出，漏洞的CVSS風險評分達到了9.9，而且，這樣的漏洞存在於Unix與Linux普遍內建的列印系統CUPS當中，可能有數十萬臺設備曝險。</p> <p>這樣的情況，一度有人認為可能會造成類似Log4Shell的危機，而使得資安圈不敢掉以輕心。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165257"><strong style="font-size: 22px;">Unix與Linux普遍內建的列印系統CUPS存在9.9分重大漏洞，攻擊者有機會遠端執行任意程式碼</strong></a></p> <p>資安研究人員Simone Margaritelli指出，Unix通用列印系統（Common UNIX Printing System，CUPS）存在一系列的漏洞，攻擊者有機會從遠端連入具有此弱點的Unix或Linux系統，執行任意程式碼，並透露問題出在CUPS有CVSS風險評分達到9.9的漏洞，相當危險。由於CUPS廣泛運用於Linux及Unix作業系統，這批漏洞有可能帶來相當大的危害。</p> <p>研究人員發現，如果電腦或伺服器啟用了cups-browsed處理程序，攻擊者就能監聽UDP連接埠631埠，並且到這些系統當中，建立PostScript印表機描述檔案（PPD）的惡意印表機，手動連接啟用該服務的電腦。</p> <p>如此一來，攻擊者就能從遠端進行惡意印表機的部署，若使用者利用這臺印表機進行列印，攻擊者的惡意指令就會在Unix或Linux本機系統執行。</p> <p><a href="https://www.ithome.com.tw/news/165247"><strong style="font-size: 22px;">Progress修補WhatsUp Gold 高風險漏洞</strong></a></p> <p>軟體業者Progress發布9月份安全更新，推出24.0.1版網路管理軟體WhatsUp Gold，修補多項高風險漏洞。</p> <p>值得留意的是，本次公告內容只提及漏洞名稱、CVSS風險評分、通報人員身分。這6項漏洞中，CVE-2024-8785及CVE-2024-46909為CVSS評分達到9.8的重大層級漏洞，分別源自Tenable和趨勢科技研究人員通報。其餘4項漏洞CVE-2024-46905、CVE-2024-46906、CVE-2024-46907及CVE-2024-46908皆為CVSS評分8.8的高風險漏洞，由趨勢科技ZDI研究人員通報。</p> <p><a href="https://www.ithome.com.tw/news/165252"><strong style="font-size: 22px;">HPE Aruba修補無線基地臺重大層級的命令注入漏洞</strong></a></p> <p>9月24日HPE Aruba Networking發布資安公告，該公司旗下的Wi-Fi基地臺存在重大漏洞CVE-2024-42505、CVE-2024-42506、CVE-2024-42507，影響執行Instant AOS-8與AOS 10作業系統的網路設備，這些漏洞出現在Aruba的基地臺管理通訊協定（Aruba's<br /> Access Point management protocol，PAPI），為命令注入漏洞，攻擊者可用來遠端執行任意命令，CVSS風險評分達到9.8。</p> <p>這些命令注入漏洞存在於命令列介面（CLI）服務，攻擊者可在未通過身分驗證的情況下，傳送特製封包到採用PAPI協定的UDP埠（8211埠），從而觸發上述弱點，一旦成功，攻擊者就能以特殊權限的使用者身分，於作業系統底層執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/165250"><strong style="font-size: 22px;">Nvidia容器工具包存在重大漏洞，逾三分之一雲端環境恐曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/spzTBsjncV.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/spzTBsjncV.png" style="width: 300px; float: right;" /></a>資安業者Wiz揭露位於Nvidia Container Toolkit的安全漏洞CVE-2024-0132，它允許駭客突破容器的隔離限制而存取主機，CVSS風險評為9.0分，Nvidia亦發布1.16.2版修補。</p> <p>CVE-2024-0132為時間檢查與時間使用（TOCTOU）漏洞，發生在檢查資源狀態與使用該資源間的時間差中，在預設的配置下執行特定的容器映像檔就會觸發該漏洞，允許駭客存取主機的檔案系統，成功的利用可導致程式執行、服務阻斷攻擊、權限擴張、資訊揭露或是竄改資料等行為。</p> <p>有鑑於Nvidia為全球最大的顯示晶片供應商，Wiz估計，全球有33%的雲端環境都安裝了Nvidia Container Toolkit而可能曝險。</p> <p><a href="https://www.ithome.com.tw/news/165252"><strong style="font-size: 22px;">HashiCorp修補帳密管理工具Vault高風險漏洞</strong></a></p> <p>9月26日雲端服務基礎設施自動化業者HashiCorp發布資安公告，指出旗下的機敏資訊（secrets）管理工具Vault存在高風險漏洞CVE-2024-7594，同時影響社群版（Community Edition）與企業版（Enterprise），對此，他們發布社群版1.17.6，以及企業版1.17.6、1.16.10、1.15.15予以修補。</p> <p>這項漏洞發生的原因，在於SSH機敏資訊引擎的valid_principals列表預設不須具備任何參數，一旦valid_principals及default_user欄位尚未設定，任何得到授權的使用者請求的SSH憑證，將能對任何本機使用者進行身分驗證，CVSS風險評分為7.7。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/168953/ics-scada/openplc-critical-flaw.html">OpenPLC存在重大漏洞，攻擊者可發送特製請求觸發</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/proxmox-virtual-environment-and-mail-gateway-exposed-to-critical-api-vulnerability/">Proxmox虛擬化平臺、郵件安全閘道的API存在高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cyberdanube.com/en/en-multiple-vulnerabilities-in-riello-netman-204/index.html">Riello不斷電系統存在漏洞，恐導致設備遭到接管</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.pentestpartners.com/security-blog/proroute-h685-4g-router-vulnerabilities/">Proroute旗下4G路由器存在高風險命令注入漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.videolan.org/security/sb-vlc3021.html">影音播放器VLC Media Player修補高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165219"><strong style="font-size: 22px;">Firefox被控侵犯用戶隱私</strong></a></p> <p>非營利的歐洲數位人權中心None of Your Business（NOYB）向奧地利資料保護機構（DSB）投訴，指控Mozilla基金會在Firefox瀏覽器中內建的隱私保護歸因（Privacy Preserving Attribution，PPA）在未取得使用者同意之前便預設啟用，違反GDPR。</p> <p>NOYB認為，Mozilla企圖在不於各個網站蒐集個人資料的情況下衡量廣告效果，但事實上，有部分的追蹤能力直接轉移到Firefox上，雖然相較於在美國常見的無限追蹤，PPA的侵入性較小，但根據GDPR，它依然侵犯了使用者的權利，因為它並沒有取得使用者的明確同意。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165236"><strong>【9月27日】駭客利用Docker引擎API進行挖礦</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165207"><strong>【9月26日】macOS版ChatGPT軟體存在可被竊密的漏洞SpAIware</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165183"><strong>【9月25日】UNC1860為攻擊中東企業組織的駭客開路</strong></a></p> </div></div></div>
2024/9/30 18:15作者周峻佑https://www.ithome.com.tw/news/165259
HPE Aruba修補無線基地臺重大層級的命令注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月24日HPE Aruba Networking發布資安公告，該公司<a href="https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw04712en_us">旗下的Wi-Fi基地臺存在重大漏洞CVE-2024-42505、CVE-2024-42506、CVE-2024-42507</a>，影響執行Instant AOS-8與AOS 10作業系統的網路設備，這些漏洞出現在Aruba的存取點管理通訊協定（Aruba's<br /> Access Point management protocol，PAPI），為命令注入漏洞，攻擊者可用來遠端執行任意命令，CVSS風險評分達到9.8。</p> <p>這些命令注入漏洞存在於命令列介面（CLI）服務，攻擊者可在未通過身分驗證的情況下，傳送特製封包到採用PAPI協定的UDP埠（8211埠），從而觸發上述弱點，一旦成功，攻擊者就能以特殊權限的使用者身分，於作業系統底層執行任意程式碼。</p> <p>針對漏洞影響的範圍，該公司表示，執行AOS-10.6.0.2、10.4.1.3，以及Instant AOS-8.12.0.1、8.10.0.13以下版本的無線基地臺設備，就有可能受到影響，Mobility Conductor、Mobility Controller、SD-WAN閘道不受影響。他們呼籲用戶將路由器的作業系統更新至AOS-10.7.0.0、10.6.0.3、10.6.0.3，以及Instant AOS-8.12.0.2、8.10.0.14以上的版本來因應。</p> <p>針對無法及時套用新版作業系統的設備，IT人員還是能夠減輕這些漏洞帶來的危險。對於執行AOS-8.x的裝置，IT人員可下達命令啟用cluster-security功能因應，而對於執行AOS-10的裝置，則是要考慮封鎖UDP的8211埠來因應。</p> </div></div></div>
2024/9/30 16:16作者周峻佑https://www.ithome.com.tw/news/165253
Unix與Linux普遍內建的列印系統CUPS存在9.9分重大漏洞，攻擊者有機會遠端執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員Simone Margaritelli指出，<a href="https://www.evilsocket.net/2024/09/26/Attacking-UNIX-systems-via-CUPS-Part-I/">Unix通用列印系統（Common UNIX Printing System，CUPS）存在一系列的漏洞</a>，攻擊者有機會從遠端連入具有此弱點的Unix或Linux系統，執行任意程式碼，並透露<a href="https://x.com/howardl3/status/1839103445296394554">問題出在CUPS有CVSS風險評分達到9.9的漏洞</a>，相當危險。由於CUPS廣泛運用於Linux及Unix作業系統，這批漏洞有可能帶來相當大的危害。</p> <p>這批漏洞包括：CVE-2024-47076、CVE-2024-47175、CVE-2024-47176、CVE-2024-47177，存在libcupsfilters、libppd、cups-browsed、cups-filters等元件。</p> <p>研究人員發現，如果電腦或伺服器啟用了cups-browsed處理程序，攻擊者就能監聽UDP連接埠631埠，並且到這些系統當中，建立PostScript印表機描述檔案（PPD）的惡意印表機，手動連接啟用該服務的電腦。</p> <p>如此一來，攻擊者就能從遠端進行惡意印表機的部署，若使用者利用這臺印表機進行列印，攻擊者的惡意指令就會在Unix或Linux本機系統執行。</p> <p>值得留意的是，由於大多數的Linux作業系統、部分BSD作業系統、ChromeOS、Solaris都內建CUPS，且有部分預設啟用，研單就網際網路環境而言，研究人員目前發現啟用cups-browsed的系統多達數十萬臺，因此他呼籲使用者最好停用、刪除cups-browsed服務，並更新CUPS套件，若是無法採取以上措施，應封鎖所有UDP連接埠631埠的流量。</p> <p>不過，<a href="https://www.bleepingcomputer.com/news/security/cups-flaws-enable-linux-remote-code-execution-but-theres-a-catch/">有些研究人員認為</a>，這些漏洞的實際影響可能相當有限，因為上述的漏洞攻擊手法存在兩項限制，首先電腦或伺服器必須啟用cups-browsed服務，再者，攻擊者必須誘騙使用者利用新印表機執行列印。</p> </div></div></div>
2024/9/30 17:33作者周峻佑https://www.ithome.com.tw/news/165257
HashiCorp修補帳密管理工具Vault高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月26日雲端服務基礎設施自動化業者HashiCorp發布資安公告，指出旗下的<a href="https://discuss.hashicorp.com/t/hcsec-2024-20-vault-ssh-secrets-engine-configuration-did-not-restrict-valid-principals-by-default/70251">機敏資訊（secrets）管理工具Vault存在高風險漏洞CVE-2024-7594</a>，同時影響社群版（Community Edition）與企業版（Enterprise），對此，他們發布社群版1.17.6，以及企業版1.17.6、1.16.10、1.15.15予以修補。</p> <p>這項漏洞發生的原因，在於SSH機敏資訊引擎的valid_principals列表預設不須具備任何參數，一旦valid_principals及default_user欄位尚未設定，任何得到授權的使用者請求的SSH憑證，將能對任何本機使用者進行身分驗證，CVSS風險評分為7.7。</p> <p>由於valid_principals欄位的用途，是提供SSH伺服器驗證Vault產生的憑證，若是該欄位設定為空字串或是零規則（zero principals），在特定情況的所有規則之下，憑證都會是有效的。為了防範上述弱點，該公司在Vault的SSH機敏資訊引擎加入allow_empty_principals組態，並預設為關閉，但需要維持相容性的用戶，仍可更改這項設定以維持向下相容。</p> <p>針對這項漏洞的緩解，HashiCorp認為用戶應評估處理該弱點而可能產生的風險，若是無法部署新版Vault，應考慮調整SSH機敏資訊引擎的欄位valid_principals，將其設置為非空值。</p> </div></div></div>
2024/9/30 14:56作者周峻佑https://www.ithome.com.tw/news/165252
Meta發表只要300美元的Meta Quest 3S
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta上周發表混合實境頭戴裝置<a href="https://about.fb.com/news/2024/09/meta-quest-3s-our-most-affordable-mixed-reality-headset/" target="_blank">Meta Quest 3S</a>，它是Meta Quest 3的低價版，售價為299.99美元，已開放預購，預計於10月15日出貨；同一天Meta也宣布將Meta Quest 3的價格從649.99美元降至499.99美元。</p> <p>Meta現為全球虛擬實境（VR）及混合實境（MR）頭戴裝置的霸主，Counterpoint今年第二季的<a href="https://www.counterpointresearch.com/insights/global-xr-ar-vr-headsets-market-share/" target="_blank">調查顯示</a>，Meta去年第四季的占有率高達78%，但在蘋果於今年第一季推出要價3,499美元的<a href="https://www.ithome.com.tw/news/160739" target="_blank">Vision Pro</a>之後，蘋果在該季一舉拿下16%的市占率，反之Meta則跌至64%。</p> <p>嘗鮮的民眾在今年第二季退燒，蘋果跌至3%，Meta市占再爬到74%，第二名則是中國Pico的8%。</p> <p>Meta Quest 3S與Meta Quest 3採用同樣的高通晶片Snapdragon XR2 Gen 2，同樣128GB的記憶體。但Meta Quest 3S只有128GB的儲存空間，採用Fresnel鏡片，螢幕解析度為1,832 x 1,920，刷新率有90Hz及120Hz兩種選擇；而Meta Quest 3的儲存空間為512GB，使用Pancake鏡片，解析度為2,064 x 2,208，支援72Hz、80Hz、90Hz及120Hz的刷新率。</p> <p>除了價格之外，Meta Quest 3S另一項優於Meta Quest 3的表現，是它的電池續航力可達2.5個小時，Meta Quest 3則只有2.2個小時。</p> <p>儘管Meta<a href="https://www.meta.com/quest/compare/" target="_blank">列出了</a>4款Meta Quest 供使用者比較及選購，但最便宜的、只要199.99美元的Meta Quest 2已經沒有庫存，外傳Meta將終結此一產品。</p> </div></div></div>
2024/9/30 13:36作者陳曉莉https://www.ithome.com.tw/news/165249
Nvidia Container Toolkit漏洞影響33%的雲端環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Wiz Research上周<a href="https://www.wiz.io/blog/wiz-research-critical-nvidia-ai-vulnerability" target="_blank">揭露</a>一個位於Nvidia Container Toolkit的安全漏洞CVE-2024-0132，它允許駭客突破容器的隔離限制而存取主機。Nvidia亦已於上周<a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5582" target="_blank">修補</a>了此一被列為重大等級的安全漏洞。</p> <p>Nvidia Container Toolkit是個專供容器化環境使用的工具套件，可在Docker與Kubernetes等容器平臺上，分配GPU資源予容器，以加速各種運算任務。</p> <p>根據Nvidia的說明，CVE-2024-0132為一時間檢查與時間使用（TOCTOU）漏洞，發生在檢查資源狀態與使用該資源間的時間差中，在預設的配置下執行特定的容器映像檔就會觸發該漏洞，允許駭客存取主機的檔案系統，成功的利用可導致程式執行、服務阻斷攻擊、權限擴張、資訊揭露或是竄改資料等行為。</p> <p>該漏洞波及Nvidia Container Toolkit v1.16.1及之前的版本，Nvidia已於上周釋出v1.16.2進行修補。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0930-NVIDIA%20Container%20Toolkit-CVE%E2%80%912024-0132.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> <p>有鑑於Nvidia現為全球最大的AI/GPU晶片供應商，Wiz Research估計，全球有33%的雲端環境都安裝了Nvidia Container Toolkit函式庫，曝露於CVE-2024-0132漏洞中。</p> <p>Wiz Research亦提醒，倘若使用者自不可靠的來源下載惡意的容器映像檔，駭客即有機會接管其工作站；或者是在Kubernetes等共用環境中，具備容器部署權的駭客將可逃離該容器並取得於同一節點、甚至同一叢集執行的其它應用程式的資料與秘密，從而影響整個環境。</p> </div></div></div>
2024/9/30 13:53作者陳曉莉https://www.ithome.com.tw/news/165250
【資安週報】0923~0927，有駭客假冒GitHub站方並以漏洞處理名義發送社交工程詐騙信
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在9月最後一星期的資安新聞中，在威脅態勢上，有兩則鎖定開發人員的網路威脅消息值得關切。</p> <p>一是近期許多GitHub用戶反映收到電子郵件通知，聲稱用戶參與的專案有處理儲存庫的資安漏洞要處理，但該郵件內的連結是指向github-scanner[.]com，這根本不是GitHub的網域，目的就是欺騙不謹慎檢查網域的用戶，另一起是北韓駭客Citrine Sleet於PyPI上傳惡意Python套件，吸引開發人員上當的攻擊活動，研究人員指出很可能是為了發動供應鏈攻擊；還有鎖定雲端挖礦的威脅值得持續留意，有兩起鎖定不同系統的揭露。</p> <p>●駭客網釣佯稱GitHub用戶自己的儲存庫有資安漏洞需要處理，目的是散布竊資軟體Lumma Stealer。<br /> ●北韓駭客Citrine Sleet上傳惡意Python套件，意圖散布RAT木馬PondRAT。<br /> ●Docker引擎API遭鎖定，有駭客發動大規模挖礦攻擊行動。<br /> ●資安業者針對駭客組織TeamTNT疑似重出江湖提出警告，並揭露近期鎖定CentOS的虛擬專屬伺服器。<br /> ●揭露新的安卓金融木馬Octo2，已發現歐洲國家出現受害裝置</p> <p>在資安事件方面，在國內有3起新聞，都是上櫃公司發布資安事件重大訊息，包含知名IC設計的創惟，以及專注磁性元件與印刷電路板業務的松上，特別的是，松上在資訊揭露上相當主動，於官方網站也有同步發布消息；在國際間則有一起關於水利關鍵基礎遭遇網路攻擊的消息，所幸不影響其服務與用水。</p> <p>●上櫃綠能環保「崑鼎」揭露部分資訊系統遭受駭客攻擊<br /> ●上櫃半導體業「創惟」說明部份伺服器遭受駭客攻擊<br /> ●上櫃電子零組件業「松上」揭露部分資訊系統遭受駭客攻擊<br /> ●美國堪薩斯州供水設施宣布遭遇網路安全事件，被迫切換手動操作因應。</p> <p>在漏洞消息方面，本星期有一個漏洞利用需要優先注意，那就是8月初修補Ivanti的Virtual Traffic Manager漏洞CVE-2024-7593，如今發現已有攻擊者鎖定該漏洞利用。</p> <p>特別的是，本週的重大漏洞修補新聞相當多，有3項涉及開源需儘速檢查因應，包括：圖像化資料分析系統Grafana開發團隊修補軟體開發套件，FreeBSD開發團隊針對Hypervisor元件的修補，資料庫管理工具pgAdmin開發團隊的修補；在產品面也有多個重大漏洞修補發布，需要用戶儘速處理，包括：臺廠Cellopoint針對郵件安全閘道的修補，Pure Storage針對旗下儲存系統FlashArray和FlashBlade的修補，Acronis備份軟體Plug-in程式的修補，以及晶片製造廠商Microchip針對ASF進階軟體框架的修補。</p> <p>另外值得一提，8月初美國CISA警告臺廠陞泰科技（Avtech）旗下視訊監控攝影機AVM1203的重大漏洞被攻擊者散布Mirai變種，時隔近一個月陞泰科技終於回應，指出該產品停產近7年，但他們決定破例提供新版韌體予以修補。</p> <p>在網路威脅防禦的面向，這一星期有兩大焦點，首先，是臺廠網擎資訊解析本土電子郵件系統防禦的演進與挑戰，當中並呼籲國內IT主管需改變思維：「千萬不要覺得一家公司的CVE（通用漏洞揭露）很多，就認為他們不安全」，這是廠商負責任的態度，勇於及時公布，並且分享情資讓大家趕快更新。</p> <p>另一是Gogolook呼籲企業需負起責任應對網路詐騙，目前全球已有主要國家率先立法因應，包括臺灣、英國、歐盟、美國、新加坡等，也有少數企業已經強烈意識到企業要更主動保護消費者，不僅推動詐騙偵測阻擋及識詐教育，同時將「防詐政策與作為」納入永續報告書。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165136"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月23日】中國聲稱遭我國成立的駭客組織攻擊</span></strong></a></h3> <p>近半個月來中國駭客鎖定臺灣的資安事故頻傳，然而今天中國卻聲稱，他們遭到我國成立的駭客組織「Anonymous64」攻擊的情況，並公布其中3名成員的姓名及照片。</p> <p>然而從中國提出的指控，他們並未提出為何該組織與資通電軍有關？國防部發布的公開聲明當中，也僅有駁斥相關指控不實，後續的情況有待進一步觀察。</p> <h3><a href="https://www.ithome.com.tw/news/165170"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月24日】北韓駭客散布惡意PyPI套件，意圖發動供應鏈攻擊</span></strong></a></h3> <p>北韓駭客針對開發人員從事攻擊行動的情況，不時傳出有關事故，其中一種攻擊類型，就是上架惡意NPM、PyPI套件，引誘開發人員上當而下載、安裝，於受害電腦植入惡意軟體。過往這種攻擊的目的，主要是為了洗劫開發人員的加密貨幣資產，如今駭客的目的出現變化。</p> <p>本週資安業者Palo Alto Networks揭露的資安事故，就是這種例子，駭客真正的目的，是為了發動供應鏈攻擊。</p> <p><a href="https://www.ithome.com.tw/news/165183"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月25日】UNC1860為攻擊中東企業組織的駭客開路</span></strong></a></p> <p>駭客從事網路攻擊活動，朝向分工的方式進行可說是越來越普遍，其中一種是專門取得目標企業組織初始入侵管道的歹徒（Initial Access Broker，IAB），他們向其他網路罪犯兜售這種管道，如今國家級駭客也出現的類似的分工，有專門的組織從事類似IAB的行為。</p> <p>資安業者Mandiant發現，伊朗駭客UNC1860在成功入侵目標組織後，會藉由惡意軟體控制工具，為接手從事攻擊行動的駭客，提供以遠端桌面連線存取目標網路環境的能力。</p> <p><a href="https://www.ithome.com.tw/news/165207"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月26日】macOS版ChatGPT軟體存在可被竊密的漏洞SpAIware</span></strong></a></p> <p>生成式AI的應用當紅，相關應用系統的資安漏洞也隨之引起研究人員關注，本週有研究人員公布存在於ChatGPT的漏洞SpAIware，並指出攻擊者可對使用macOS版應用程式的使用者下手，從而側錄其對話內容。</p> <p>值得留意的是，利用這項弱點的概念性驗證攻擊當中，其實串連了多個環節，其中之一就是ChatGPT的新功能「記憶（Memory）」機制，攻擊者藉此讓所有ChatGPT回覆的資訊都帶有惡意內容。</p> <p><a href="https://www.ithome.com.tw/news/165236"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【9月27日】駭客利用Docker引擎API進行挖礦</span></strong></a></p> <p>駭客濫用Docker、Kubernetes等環境從事挖礦的事故，接連有事故傳出，本週有研究人員公布最新一波的攻擊行動，並指出攻擊者發起攻擊的管道，是曝露在網際網路的Docker引擎API。</p> <p>值得留意的是，駭客使用的惡意軟體具備類似蠕蟲的特性，會在成功入侵Docker端點後進行橫向移動，對其他的Docker Swarm、Kubernetes端點進行感染。</p> <p> </p> </div></div></div>
2024/9/27 18:22作者羅正漢https://www.ithome.com.tw/news/165238
加州州長否決可關閉模型的AI法案SB 1047
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>加州州長周日（9/29）<a href="https://www.gov.ca.gov/wp-content/uploads/2024/09/SB-1047-Veto-Message.pdf" target="_blank">Gavin Newsom 否決</a>了一項具爭議的AI法案SB 1047，該法案要求模型開發者必須設計一個可完全關閉模型的能力，也必須經過第三方審核，以防止AI帶來重大傷害。</p> <p>Newsom說，全球50家領先的AI公司有32家位於加州，它們是現代歷史上最重要進步技術之一的先驅，有許多與AI相關的法案在今年送到他桌上，但SB 1047放大了關於部署AI可能出現威脅的說法，爭議之一為應否將開發AI的成本及運算數字作為納入監管的門檻，SB 1047只針對大規模模型的要求可能帶來一種虛假的安全感，因為小模型跟大模型一樣、甚至更危險，通過SB 1047的代價可能是削弱有利於公共利益的進步創新。</p> <p>Newsom認為，要監管一個尚處於起步階段的技術，需要一個微妙平衡，但SB 1047並未考慮AI系統是否部署於高風險環境中，是否涉及關鍵決策，或者是使用敏感資料，反而就算是大型模型的最基本功能都必須符合嚴格的標準，這不應是保護公眾免受AI威脅的最佳方法。</p> <p>總之，雖然SB 1047法案當初主要的爭議在於要求開發者得以控制模型的開關，但Newsom卻是以該法案的適用範圍過於狹窄而予以否決。</p> <p>全球第一個AI法案是由歐盟催生的AI Act，它定義了4種風險等級不同的AI系統與其行為準測，最高風險的AI系統必須符合最嚴格的要求，諸如AI醫療軟體，亦有某些AI系統直接被禁止，例如由政府或企業主導的「社會評分」（social scoring）AI系統。AI Act已於今年8月1日<a href="https://www.ithome.com.tw/news/164292" target="_blank">正式生效</a>，歐盟各國將陸續於兩年內實施。</p> </div></div></div>
2024/9/30 11:25作者陳曉莉https://www.ithome.com.tw/news/165248
IBM量子資料中心升級使用Heron量子處理器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2024-09-26-ibm-expands-quantum-data-center-in-poughkeepsie,-new-york-to-advance-algorithm-discovery-globally" target="_blank">IBM上周宣布</a>位於紐約州的量子資料中心打造完成，宣稱是全球單一地點擁有最多可用「公用設施規模」（utility-scale）量子電腦的資料中心。開放第三方單位透過雲端使用這座量子電腦。</p> <p>IBM表示，這座位於紐約州Poughkeepsie市的資料中心，是IBM雲端對外提供服務的十多座量子電腦的其中一座。而IBM去年宣布的最新量子處理器 Quantum Heron，現在也已正式部署到該公司量子資料中心。</p> <p>IBM首先<a href="https://www.ithome.com.tw/news/160171" target="_blank">去年宣布</a>的Heron（蒼鷺）是133量子位元可調式耦合量子處理器，效能較之前的127量子位元的Eagle處理器提高達3到5倍。不過在最新的資料中心，IBM宣稱Quantum Heron為156量子位元處理器，搭載它的量子系統比前一代系統效能提高16倍，速度則增25倍。</p> <p>最新量子資料中心除了包含2臺Heron量子電腦，其餘電腦也都能以「公用設施規模」運作，意指執行量子電路的準確性高於以傳統電腦模擬量子電腦。軟體部分則使用IBM量子軟體堆疊Qiskit，可簡化編程設定。IBM說這有助於開發新的量子演算法。</p> <p>IBM計畫和當地政府合作持續升級這座量子資料中心，以支援更複雜及更大的量子應用。此外，IBM說第二座量子資料中心即將在德國Ehningen市開幕。</p> </div></div></div>
2024/9/30 10:34作者林妍溱https://www.ithome.com.tw/news/165246
Progress Software修補WhatsUp Gold 6項高風險安全漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>軟體業者Progress Software上周在<a href="https://community.progress.com/s/article/WhatsUp-Gold-Security-Bulletin-September-2024" target="_blank">9月份安全更新</a>，修補知名網路設備監控軟體WhatsUp Gold多項漏洞。</p> <p>該公司產品團隊上周發布WhatsUp Gold 24.0.1，以修補之前版本發現的6項漏洞。該部門並主動通知用戶，要求應下載WhatsUp Gold 24.0.1安裝器（installer），並在WhatsUp Gold伺服器上依提示執行安裝器。</p> <p>不過Progress Software的公告只提供漏洞名稱、風險值及通報人員。這6項漏洞中，CVE-2024-8785及CVE-2024-46909為CVSS 9.8的漏洞，分別為Tenable和趨勢科技研究人員通報。其餘4項漏洞CVE-2024-46905、CVE-2024-46906、CVE-2024-46907及CVE-2024-46908皆為8.8的漏洞，同來自趨勢科技ZDI研究人員的通報。</p> <p>根據WhatsUp Gold 24.0.1的<a href="https://community.progress.com/s/products-list" target="_blank">客戶聯絡訊息</a>，若用戶不升級，則產品都可能曝險。</p> </div></div></div>
2024/9/30 10:43作者林妍溱https://www.ithome.com.tw/news/165247
微軟為Windows AI功能Recall加強安全功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在因隱私疑慮延遲將近3個月後，<a href="https://blogs.windows.com/windowsexperience/2024/09/27/update-on-recall-security-and-privacy-architecture/" target="_blank">微軟上周再公布</a>Windows Copilot+ PC的AI功能Recall安全功能，加密儲存、整合生物驗證功能Windows Hello，以及虛擬隔離區技術，為其重新推出鋪路。</p> <p>Recall是微軟AI PC的代表性功能，原先預定連同宏碁、華碩、HP等品牌商的Copilot+ PC系列一同上市。它主要是藉由定期快照記錄使用者在PC上的上網或PC活動並加上索引，以時間軸供用戶檢視、搜尋，必要時回復之前應用程式執行狀態。但這項功能仰賴PC持續蒐集資料，引發資安專家隱私疑慮。另外，安全專家Kevin Beaumont在微軟5月首度公布Recall功能不久，便發現快照未經加密儲存在Windows Copilot+ PC上的資料庫，可能讓惡意程式或攻擊者取得用戶重要資訊，如密碼或銀行帳戶。Recall原先是預設啟動，但在外界批評下，微軟6月宣布改成用戶選擇加入（opt-in）且預設關閉，之後Recall迄今未能隨Copilot+ PC推出。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-copilot%20%2BPC-recall-microsoft.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>上周在官方部落格中，微軟宣布Recall新增的安全功能，包括加密儲存、整合生物驗證功能Windows Hello，以及虛擬隔離區技術。首先，新版Recall中，快照（snapshot）和任何相關資訊都會保持加密儲存在向量資料庫中，加密金鑰經由晶片的信賴平臺模組（Trusted Platform Module，TPM）和用戶的Windows Hello進階簽入安全身份綁在一起，只能在虛擬化安全隔離區（VBS Enclave）中使用。這表示其他人都無法存取這些金鑰，因而無法解密資訊。</p> <p>此外，Recall的使用和Windows Hello 進階簽入安全身份驗證功能綁定，Recall的操作，像是搜尋Recall內容、變更設定或存取Recall UI都需Windows Hello驗證。但經過驗證只能短暫解密Recall內容供用戶查詢，未來搜尋還是必須再次驗證，以免被惡意程式「搭便車」。Recall也透過限流（rate-limiting）及防範密碼猜測（anti-hammering）措施防範惡意程式。Recall配置過後，目前支援使用PIN作輔助驗證，以防生物驗證感測器毁損。</p> <p>其次，執行快照和相關資料的Recall服務只存在VBS（Virtualization Based Security）隔離區（enclave）中，和外部隔離。唯一能離開VBS隔離區的資訊，是使用者主動以Recall呼叫的資訊。VBS隔離區用的是和Azure相同的Hypervisor技術把應用記憶體隔離在受保護區域，可免於Windows核心和管理員的存取。只有用戶以Windows Hello憑證驗證後，用戶才能呼叫出Recall快照。</p> <p>Recall預定隨同Windows 11 24H2釋出。至於24H2何時釋出，日前也有人誤以為是2024年10月8日。<a href="https://techcommunity.microsoft.com/t5/windows-it-pro-blog/enhanced-data-protection-with-windows-and-microsoft-copilot/ba-p/4246428" target="_blank">微軟隨後澄清</a>，10月8日微軟會釋出軟體功能及安全更新，但並非主要升級版的24H2。也就是Recall應該不會在10月初問世。</p> <p>微軟再次強調Recall是選擇加入（opt-in）功能，用戶資訊都是儲存於本機，Windows儲存快照前會尋求用戶許可，且不會分享給微軟和第三方廠商。用戶也可以隨時刪除快照，或關閉Recall。未來如果加入分享資料的功能，也都會尋求用戶明顯同意。</p> </div></div></div>
2024/9/30 10:10作者林妍溱https://www.ithome.com.tw/news/165245
Dell要求業務部員工一周返公司辦公5天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技大廠Dell上周發布命令，要求從9月30日起業務部員工要一周到公司上班5天。</p> <p>一名自稱是Dell員工的Reddit用戶，<a href="https://www.reddit.com/r/remotework/comments/1fq5nu4/dell_is_now_100_rto_at_least_sales_and_sales/?rdt=49171" target="_blank">本周稍早貼出</a>一則Dell的業務部人事公告。他為了避免貼照片會被反查出IP位址，因而手打信件文字內容。</p> <p>根據該公告，Dell業務部主管指出，業務團隊是一個結合活力和協同與持續改進文化的環境，必須要在辦公室集體合作，而且資料顯示，業務團隊在公司的生產力最高。</p> <p>因此，Dell要求從9月30日起，所有全球業務部員工不論職能角色，都應進辦公室上班，一周五天。而無法進辦公室的前線銷售人員，應優先和客戶及合作夥伴面對面洽公。遠端業務團隊則持續遠端作業。Dell未來幾周內會再宣布遠端員工工作事宜。</p> <p>Dell高層指出，產業和技術變遷快速，公司必須確保快速掌握機會，未來，遠端工作將只是例外，而非常態。對於一些已經習於一周進公司三天的員工可能需要花時間準備，像是臨時住宿等，Dell說正在安排「週邊區域能量」解決未來需求。</p> <p>這是繼9月中Amazon<a href="https://ithome.com.tw/news/165052" target="_blank">宣布</a>後，又一家科技巨擘取消遠端作業，顯示在不景氣下，科技大廠似乎不再容忍員工鬆弛的工作步調。<a href="https://www.theregister.com/2024/02/20/dell_rto_mandate/" target="_blank">The Register</a>引述消息來源指出，疫情期間隨企業實施居家辦公，Dell享受業績暢旺的好處，但近二年疫情紅利告罄，<a href="https://www.dell.com/en-us/dt/corporate/newsroom/announcements/detailpage.press-releases~usa~2024~08~dell-technologies-delivers-second-quarter-fiscal-2025-financial-results.htm#/filter-on/Country:en-us" target="_blank">上季Dell營收</a>250億美元，年增9%，每股盈餘大增86%，其中雖然用戶端營收124億美元下跌4%，但基礎架構端業績創下38%成長，來到史上新高的116億美元，網路端也增加86%來到77億美元。</p> <p>這紙命令是否有效貫徹則令人懷疑。今年年中<a href="https://www.ithome.com.tw/news/163606" target="_blank">外洩的</a>Dell內部問卷調查結果顯示，員工寧願放棄升遷換取在家作業的自由。但另一方面，有人<a href="https://www.theregister.com/2024/09/26/dell_sales_staff_full_rto/" target="_blank">猜測</a>科技大廠想藉此激化員工主動離職，以便減少裁員的成本，而且這命令對於原本就更需花時間照顧家中的女性員工影響更大於男性員工。Dell返公司上班令是否擴及其他部門不得而知。</p> <p>根據分析機構<a href="https://www.statista.com/statistics/264917/number-of-employees-at-dell-since-1996/" target="_blank">Statista</a>估計，Dell近年持續精簡人員，員工數從2020年的16萬，到今年約為12萬人。Dell 8月才<a href="https://www.livemint.com/companies/news/dell-mandates-in-office-work-for-global-sales-team-after-laying-off-over-12000-employees-11727403301204.html" target="_blank">裁減</a>了1.2萬名員工。</p> </div></div></div>
2024/9/29 00:34作者林妍溱https://www.ithome.com.tw/news/165242
Kia網站漏洞可讓攻擊者駭入並控制車子，2013年以後車款受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>安全研究人員<a href="https://samcurry.net/hacking-kia" target="_blank">發現</a>汽車大廠Kia面向客戶的網站有項漏洞，可被攻擊者取得車主重要資訊，只要輸入車牌號碼就能控制車子，包括遠端定位、解鎖或啟動車子。所幸Kia已經修補了這項漏洞。</p> <p>資安研究人員Sam Curry等人今年6月發現Kia數項漏洞，包含一個客戶網站(owners.kia.com)漏洞，後者能讓攻擊者建立一個駭客App，在大約30秒內駭入車子，遠端控制主要功能。攻擊者還能暗中取得車主個資包括姓名、電話、電子郵件與地址，利用這些資訊在車主不知情下，取得車輛控制權。</p> <p>研究人員在兩年前搜羅出許多車廠IT系統的漏洞，今年決定重新審視車廠們是否解決問題，而Kia是這次行動的首個目標。研究人員在Kia經銷商網站冒充登錄新經銷商，驗證新帳號，取得有效存取令牌後，以此新令牌呼叫後臺API，從回傳的HTTP回應取得必要參數，存取Kia經銷商上的所有經銷商端點。研究人員還可利用電郵和取得的必要參數，降級受害車主等級，加入自己的電郵信箱，綁定並設為車子的主要用戶。最終，他們取得Kia車輛控制權，執行想要的控制。</p> <p>在示範影片中，研究人員照下車牌輸入開發的攻擊程式，即可成功存取車輛，並執行部份功能，像是車輛定位、開車門、發動車子、按喇叭等。</p> <p>根據研究人員列表，顯示從2013年到2025年最新款，數十款車型都受到本漏洞影響，幾乎所有車款都能遠端車輛定位、開車門、發動車子、按喇叭、閃方向燈，其中數款還可以遠端啟動攝影機。</p> <p>Kia在獲得通報後，已經在8月修補了這項漏洞。研究人員從未發布這駭客工具，Kia也為研究團隊背書，他們並未惡意濫用這漏洞。</p> </div></div></div>
2024/9/29 00:56作者林妍溱https://www.ithome.com.tw/news/165243
Google DeepMind公布加速晶片設計的AI模型，已設計3代TPU
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind部門上周<a href="https://deepmind.google/discover/blog/how-alphachip-transformed-computer-chip-design/" target="_blank">公布</a>優化晶片設計的AI模型，正名為AlphaChip。</p> <p>2020年DeepMind團隊在科學期刊《自然Nature》上<a href="https://www.nature.com/articles/s41586-021-03544-w" target="_blank">公布</a>用以設計晶片布局的增強式學習（reinforcement learning）方法，之後也將之在GitHub上<a href="https://github.com/google-research/circuit_training" target="_blank">開源</a>。上周該團隊發表了《自然期刊》補遺，補充說明方法及對晶片設計的影響。Google本周公布該模型正式名稱AlphaChip。Google說，自2020年來，該公司已經用AlphaChip模型設計了3代自己的AI加速器TPU，這些晶片讓該公司可以根據Google Transformer架構大規模擴大AI模型。</p> <p>AlphaChip在一個空白晶片上，每次舖設一組電路，直到完成所有元件，然後根據最後電路布局的品質獲取回饋。新的邊緣式圖像神經網路讓AlphaChip得以學習互聯的晶片元件之間關係，發展出泛化到其他晶片的方法，藉此逐漸改善每一代布局設計。</p> <p>設計TPU布局階段，經過預訓練之後，Google在最新TPU block上執行AlphaChip產生布局設計。由於運用增強式學習，AlphaChip晶片布局能力愈來愈好也愈快，和人類一樣。Google說，近三代TPU，從TPU v5e、TPU v5p到第6代TPU的Trillium，AlphaChip的晶片布局品質更提升，整體布局規劃貢獻比例也更多，布局的區塊（block）由10增加為25，且減少的線長（wirelength）比例，也從3.2%提升為6.2%，證明能加速設計周期，催生更高效能的晶片。</p> <p>AlphaChip除了用於設計如TPU等專用AI加速器，也為Alphabet生成了其他晶片，像是第一塊通用型Arm-based資料中心處理器的Google Axion Processor。使用AlphaChips設計的外部單位則包括聯發科，它擴展AlphaChip的設計來設計其三星手機使用的5G晶片天璣（Dimensity）系列。</p> <p>現在AlphaChip涉入的晶片設計階段也更廣，現在擴及邏輯合成（logic synthesis）和巨集選擇（macro selection）。</p> <p>為了方便開發人員試用AlphaChip，DeepMind也<a href="https://github.com/google-research/circuit_training/?tab=readme-ov-file#PreTrainedModelCheckpoint" target="_blank">公布</a>預訓練的檢查點（checkpoint）作為共享資源。</p> </div></div></div>
2024/9/29 01:07作者林妍溱https://www.ithome.com.tw/news/165244
Meta釋出支援邊緣與行動裝置的Llama 3.2 1B/3B
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta本周發表了<a href="https://ai.meta.com/blog/llama-3-2-connect-2024-vision-edge-mobile-devices/" target="_blank">Llama 3.2</a>，包括視覺語言模型Llama 3.2 11B及Llama 3.2 90B，以及鎖定邊緣及行動裝置、輕量且只有文字的Llama 3.2 1B及Llama 3.2 3B，已開放使用者自<a href="https://llama.meta.com/" target="_blank">Llama官網</a>及<a href="https://huggingface.co/meta-llama" target="_blank">Hugging Face</a>上下載。</p> <p>其中，Llama 3.2 11B與Llama 3.2 90B主要支援圖像推論使用案例，可理解包含圖表、圖形及圖說在內的文件，或者是透過自然語言描述，於圖像中精確定位物件位置等視覺定位任務。例如使用者可詢問企業在去年哪個月的業績最好，Llama即可根據圖表回答；或者是基於地圖來回答路徑及距離等問題。</p> <p>至於輕量的Llama 3.2 1B及Llama 3.2 3B，則具備強大的文字生成及工具調用功能，允許開發人員建置個人化的裝置端代理應用程式，以讓資料保存於裝置上而不外流。</p> <p>Meta表示，於裝置端執行上述模型有兩大好處，一是提示與回應感覺像是即時的，二是不會將個人資料傳送到雲端，讓相關程式更具隱私，或者是控制將哪些查詢保留於裝置上，哪些則需送至雲上的大模型處理。</p> <p>此外，基準測試顯示，Llama 3.2的視覺模型在圖像辨識及許多視覺理解任務上，足以與Claude 3 Haiku和GPT4o-mini 競爭，Llama 3.2 3B在遵循指令、摘錄、重寫提示及工具使用等任務上的表現，超越了Gemma 2 2.6B與Phi 3.5-mini模型，至於Llama 3.2 1B某些部分的表現亦不輸Gemma與Phi。</p> </div></div></div>
2024/9/28 13:35作者陳曉莉https://www.ithome.com.tw/news/165241
PostgreSQL 17正式推出，效能、JSON處理與資料庫管理全面提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.postgresql.org/about/news/postgresql-17-released-2936/">PostgreSQL 17</a>正式發布，除了加入新的功能之外，也改進了效能表現以及開發者體驗。這個版本最佳化資料庫清理（Vacuum）、I/O效能和查詢執行，同時強化JSON資料處理能力，也對邏輯複寫（Logical Replication）、高可用性和主要版本升級支援進行改進。此外，PostgreSQL 17還新增了安全性管理、備份操作與監控分析等功能。</p> <p>這版本PostgreSQL資料庫清理（Vacuum）程序進行效能更好了，大幅減少內部記憶體的使用量。PostgreSQL 17新的內部記憶體結構可以降低多達20倍的資料占用，讓清理程序更快速，並減少對共享資源的需求。這樣的改進不只使得更多系統資源，能夠被用於處理日常工作負載，更有效提升資料庫整體效能，以及儲存空間回收效率，減少系統維護過程的效能影響。</p> <p>I/O效能方面，PostgreSQL 17針對高並行工作負載進行最佳化，透過最佳化預寫式日誌（Write-Ahead Log，WAL）的處理，寫入吞吐量可提升至2倍，增強了系統在高流量情境下的穩定性。此外，新的串流I/O介面加快了序列掃描和ANALYZE指令的效率，使得資料表的掃描和統計變得更快速。而這一系列的I/O改進，皆有助於大型資料庫的維運和分析作業。</p> <p>PostgreSQL 17在查詢功能上也有許多改進，包括針對B-tree索引和常見資料表表示式進行最佳化，提升了複雜查詢的效率，新功能則有BRIN索引現在支援平行建置，以及更高效的IN子句查詢，額外的SIMD支援，包括使用AVX-512加速bit_count函數，也讓運算更為高效。</p> <p>PostgreSQL 17強化了JSON資料的處理能力，新的JSON_TABLE功能可將JSON資料轉換成標準資料表。此外，PostgreSQL 17支援SQL/JSON建構函式和查詢函式，提供開發者更多操作JSON的方法。此版本還強化了jsonpath表示式，支援將JSON資料轉換成原生PostgreSQL型別。這些新的JSON功能讓開發者擁有更強大的工具，以處理日益增加的JSON資料結構應用。</p> <p>在這個版本之前，開發者進行主要版本升級時必須刪除邏輯複寫插槽（Slot），並在升級後重新同步資料，這是一個耗時的過程。而PostgreSQL 17升級不再需要刪除邏輯複寫插槽，簡化高可用性工作負載和主要版本升級的管理。</p> <p>PostgreSQL 17在安全性管理、備份操作和監控分析方面進行多項改進，包括添加sslnegotiation選項提升TLS連線的安全性，以及pg_maintain預定義角色簡化維護操作。pg_basebackup新工具提供增量備援支援，而pg_dump則是加入了--filter選項，供使用者在產生傾印檔案時，可以選擇要包含的物件。在監控方面，EXPLAIN新增了I/O讀寫時間和記憶體使用量的報告功能，並加入pg_wait_events系統檢視功能增加問題診斷效率。</p> </div></div></div>
2024/9/28 13:47作者李建興https://www.ithome.com.tw/news/165239
【資安日報】9月27日，駭客利用Docker引擎API進行挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客濫用Docker、Kubernetes等環境從事挖礦的事故，接連有事故傳出，本週有研究人員公布最新一波的攻擊行動，並指出攻擊者發起攻擊的管道，是曝露在網際網路的Docker引擎API。</p> <p>值得留意的是，駭客使用的惡意軟體具備類似蠕蟲的特性，會在成功入侵Docker端點後進行橫向移動，對其他的Docker Swarm、Kubernetes端點進行感染。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165207"><strong style="font-size: 22px;">Docker引擎API遭鎖定，駭客企圖從事挖礦攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/docker-attack.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/docker-attack.png" style="width: 300px; float: right;" /></a></p> <p>濫用Docker、Kubernetes等環境從事挖礦攻擊的情況一直都存在，本週有研究人員揭露新一波大規模行動。</p> <p>雲端監控服務業者Datadog旗下的資安實驗室發現，有人針對Docker引擎的API從事挖礦攻擊，並橫向移動到Docker Swarm、Kubernetes，以及其他能透過SSH存取的伺服器。駭客將受害主機加入他們控制的Docker Swarm叢集，並濫用Docker Swarm的編排（orchestration）功能進行C2通訊。</p> <p>除此之外，這些駭客也濫用Docker Hub，並上傳大量惡意映像檔。根據有效酬載當中寫死的檔案系統路徑，研究人員推測，對方還運用雲端IDE環境GitHub Codespaces的運算基礎架構。</p> <p><a href="https://www.ithome.com.tw/news/165221"><strong style="font-size: 22px;">駭客藉由惡意程式SnipBot竊取機密資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-488387-136801-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-488387-136801-3.png" style="width: 300px; float: right;" /></a></p> <p>這兩年鎖定烏克蘭及盟國而來的惡意軟體RomCom，如今出現新的變種，駭客濫用有效憑證對其簽章來迴避偵測，並藉此工具進行多階段攻擊，從而達到執行命令、下載其他惡意軟體的目的。</p> <p>資安業者Palo Alto Networks揭露惡意軟體RomCom的新變種SnipBot，並指出攻擊者可藉此於受害電腦執行命令，然後將附加模組植入受害電腦。研究人員與今年2月在資安事故看到SnipBot的資安業者Sophos聯手調查，並採集、分析攻擊者於受害電腦活動留下的痕跡。</p> <p>對於這個惡意程式的發展，研究人員指出，駭客是以RomCom 3.0為基礎進行打造，但具備後續的4.0版（趨勢科技將其命名為PeaPod）部分新技術，因此他們認為SnipBot就是RomCom 5.0。他們推測，駭客很有可能在去年12月就開始運用SnipBot。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.wsj.com/politics/national-security/china-cyberattack-internet-providers-260bd835">中國駭客Salt Typhoon傳出滲透美國ISP的網路環境</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/kimsuky-new-keylogger-backdoor-variant/">北韓駭客Kimsuky散布惡意程式KLogEXE、FPSpy</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cisa.gov/news-events/alerts/2024/09/24/cisa-adds-one-known-exploited-vulnerability-catalog">Ivanti在8月修補的應用程式交付系統vTM漏洞已出現攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=180037&SPOKE_DATE=20240923&COMPANY_ID=6156">上櫃公司松上電子部分資訊系統遭遇網路攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.chinatimes.com/realtimenews/20240926004540-260417">漢翔工程師於Instagram張貼大量機敏資料，恐洩漏國機國造機密</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165226"><strong style="font-size: 22px;">Pure Storage修補儲存設備重大漏洞</strong></a></p> <p>本週Pure Storage發布資安公告，指出旗下儲存系統FlashArray和FlashBlade存在5項重大層級的漏洞，其中有2個CVSS風險評分達到了10分（滿分）的程度，可說是相當危險。這些漏洞攻擊者有機會用來執行任意程式碼、未經授權存取，甚至有可能破壞儲存設備的運作，該公司已發布新版軟體進行修補。</p> <p>對於這些漏洞在臺灣處理的情形，我們也詢問Pure Storage，他們表示已通知客戶，並正與他們密切合作以解決任何相關的問題。</p> <p><a href="https://www.ithome.com.tw/news/165230"><strong style="font-size: 22px;">TeamViewer修補兩個新揭露的高風險權限提升漏洞</strong></a></p> <p>9月25日TeamViewer發布資安公告，指出Windows版應用程式存在兩項高風險漏洞CVE-2024-7479、CVE-2024-7481，這些弱點有可能讓攻擊者提升本機權限，CVSS風險評分皆達到8.8，影響TeamViewer主機端（Host）與客戶端（Full Client）程式，該公司發布15.58.4版應用程式予以修補。</p> <p>這項漏洞發生的原因，在於遠端桌面軟體元件TeamViewer_service.exe的加密簽章驗證，出現處理不當的情況，使得不具高權限的攻擊者有機會提升權限，並安裝驅動程式。</p> <p><a href="https://www.ithome.com.tw/news/165233"><strong style="font-size: 22px;">回應8月CISA警告監控攝影機恐遭漏洞攻擊，陞泰表明該款產品已停產7年，但仍提供新版韌體修補漏洞</strong></a></p> <p>8月初美國網路安全暨基礎設施安全局（CISA）提出警告，臺灣視訊監控解決方案業者陞泰科技（Avtech）旗下的視訊監控攝影機（IP Camera）AVM1203，存在高風險層級的命令注入漏洞CVE-2024-7029（CVSS風險評分達到8.8），當時CISA指出，他們向陞泰通報此事並未得到回應，這項漏洞目前很有可能尚未得到修補，本週陞泰在網站發布聲明稿做出說明。</p> <p>該公司指出，CISA在資安公告裡提到的CVE-2024-7029，他們對於產品線進行全面檢測，確認目前銷售的機種並未存在這項漏洞。至於存在漏洞的AVM1203，已經停產接近7年，他們也決定破例提供1024版韌體予以修補。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165195"><strong style="font-size: 22px;">全球防詐立法態勢大轉變，要求金融、電信業失責需補償詐騙受害者</strong></a></p> <p>數位部預告限24小時下架詐騙廣告的政策，顯現臺灣政府近年打詐行動是持續加溫，但其他國家打詐的立法發展態勢也是如此，別以為企業被冒名詐騙事不關己，企業也要共同責任承擔，必需賠償詐騙受害者的損失。</p> <p>面對日益嚴峻的詐騙威脅，不只是臺灣政府，全球多國政府同樣都在立法提升打詐力道。投入防詐領域已有10年的臺灣上市公司Gogolook（走著瞧-創），該公司共同創辦人暨執行長郭建甫指出，有些主要國家已經率先立法來因應，而最新呈現的重要態勢在於：企業也要共同承擔責任，尤其是金融業、電信業與數位平臺。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165207"><strong>【9月26日】macOS版ChatGPT軟體存在可被竊密的漏洞SpAIware</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165183"><strong>【9月25日】UNC1860為攻擊中東企業組織的駭客開路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165170"><strong>【9月24日】北韓駭客散布惡意PyPI套件，意圖發動供應鏈攻擊</strong></a></p> </div></div></div>
2024/9/27 17:45作者周峻佑https://www.ithome.com.tw/news/165236
TeamViewer修補兩個新揭露的高風險權限提升漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月25日TeamViewer發布資安公告，指出Windows版應用程式<a href="https://www.teamviewer.com/en/resources/trust-center/security-bulletins/tv-2024-1006/">存在兩項高風險漏洞CVE-2024-7479、CVE-2024-7481</a>，這些弱點有可能讓攻擊者提升本機權限，CVSS風險評分皆達到8.8，影響TeamViewer主機端（Host）與客戶端（Full Client）程式，該公司發布15.58.4版應用程式予以修補。</p> <p>這項漏洞發生的原因，在於遠端桌面軟體元件TeamViewer_service.exe的加密簽章驗證，出現處理不當的情況，使得不具高權限的攻擊者有機會提升權限，並安裝驅動程式。</p> <p>不過，攻擊者如果想利用這項漏洞，必須先設法進到本機電腦、能夠存取Windows作業系統，才能以此方式提升權限。</p> </div></div></div>
2024/9/27 15:51作者周峻佑https://www.ithome.com.tw/news/165230
回應8月CISA警告監控攝影機恐遭漏洞攻擊，陞泰表明該款產品已停產7年，但仍提供新版韌體修補漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>8月初<a href="https://www.ithome.com.tw/news/164310">美國網路安全暨基礎設施安全局（CISA）提出警告</a>，臺灣視訊監控解決方案業者陞泰科技（Avtech）旗下的視訊監控攝影機（IP Camera）AVM1203，存在高風險層級的命令注入漏洞CVE-2024-7029（CVSS風險評分達到8.8），當時CISA指出，他們向陞泰通報此事並未得到回應，這項漏洞目前很有可能尚未得到修補，<a href="https://www.avtech.com.tw/img/CISA_announcement_tw.pdf">本週陞泰在網站發布聲明稿做出說明</a>。</p> <p>該公司指出，CISA在資安公告裡提到的CVE-2024-7029，他們對於產品線進行全面檢測，確認目前銷售的機種並未存在這項漏洞。至於存在漏洞的AVM1203，已經停產接近7年，他們也決定破例提供1024版韌體予以修補。</p> </div></div></div>
2024/9/27 16:40作者周峻佑https://www.ithome.com.tw/news/165233
Pure Storage修補儲存設備重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週Pure Storage發布資安公告，指出旗下<a href="https://support.purestorage.com/bundle/m_security_bulletins/page/Pure_Storage_Technical_Services/Field_Bulletins/Security_Bulletins/topics/concept/c_security_bulletin_for_2024_january_patch_bundle_for_flasharr.html">儲存系統FlashArray和FlashBlade存在5項重大層級的漏洞</a>，其中有2個CVSS風險評分達到了10分（滿分）的程度，可說是相當危險。這些漏洞攻擊者有機會用來執行任意程式碼、未經授權存取，甚至有可能破壞儲存設備的運作，該公司已發布新版軟體進行修補。</p> <p>對於這些漏洞在臺灣處理的情形，我們也詢問Pure Storage，他們表示已通知客戶，並正與他們密切合作以解決任何相關的問題。</p> <p>根據漏洞的CVSS風險評分高低而言，最嚴重的是分數達到滿分的CVE-2024-0001、CVE-2024-0002。其中，CVE-2024-0001影響6.3.0至6.3.14版、6.4.0至6.4.10版的FlashArray，起因是儲存設備初始化過程當中，用於陣列配置的本機帳號仍維持啟動的狀態，使得攻擊者有機會藉此得到權限提升。</p> <p>另一個漏洞CVE-2024-0002則與高權限帳號有關，攻擊者有機會藉此遠端存取磁碟陣列。該漏洞影響的產品是FlashArray的特定版本，涵蓋5.3.17至5.3.21版、6.0.7至6.0.9版、6.1.8至6.1.25版、6.2.0至6.2.17版、6.3.0至6.3.14版、6.4.0至6.4.10版，以及6.5.0版FlashArray。</p> <p>值得留意的是，CVE-2024-0003、CVE-2024-0004、CVE-2024-0005的嚴重程度也很高，這些漏洞的CVSS風險評估皆達到9.1分。其中的CVE-2024-0003，攻擊者可藉由遠端管理服務建置特權帳號，另外兩個漏洞，則能讓攻擊者遠端執行任意命令。</p> <p>縱觀受到上述漏洞影響的產品，FlashArray是最大苦主，FlashBlade用戶要注意CVE-2024-0005的風險。</p> </div></div></div>
2024/9/27 15:07作者周峻佑https://www.ithome.com.tw/news/165226
Google向歐盟控訴微軟雲端服務違反市場競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周向歐盟執委會（European Commission，EC）<a href="https://cloud.google.com/blog/topics/inside-google-cloud/filing-eu-complaint-against-microsoft-licensing/" target="_blank">投訴微軟</a>，指控微軟利用其作業系統優勢，提高用戶遷移到其它雲端平臺的成本，違反市場競爭法令。</p> <p>Google指出，微軟將客戶鎖在Azure的關鍵產品之一為Windows Server，這是在許多企業環境中必備的產品，也是應用程式、文件及服務的骨幹，已替微軟帶來數十億美元的營收，在企業支付Windows Server授權費時，理應得以在任何硬體上執行，然而，當雲端興起，企業開始將產品授權遷移到其它雲端平臺，原本微軟是允許的，但隨著Azure面臨愈來愈多的競爭，微軟導入了嚴重限制客戶選擇的新規則。</p> <p>例如微軟在2019年採用新的授權條款，以針對客戶在主要競爭對手平臺上使用Windows Server的企業施加經濟處罰。Google引用了微軟自己製作的、於Azure及AWS上執行Windows Server的<a href="https://web.archive.org/web/20230328163736/https://azure.microsoft.com/en-us/pricing/azure-vs-aws/cost-savings/" target="_blank">成本比較表</a>，指出把工作負載轉移到AWS的客戶必須支付高達5倍的費用；此外，微軟也對那些繼續於競爭平臺上執行Windows Server的客戶，祭出限制安全修補等其它互動門檻。</p> <p>研究顯示，在微軟變更授權條款後，微軟雲端服務的市占率便突然飆高。</p> <p>Google認為，微軟市占率的提升是以歐盟供應商為代價，同時令歐盟客戶面臨巨大的隱私成本，具限制的雲端授權作法將傷害企業，亦會阻礙歐洲的競爭力。</p> </div></div></div>
2024/9/27 15:14作者陳曉莉https://www.ithome.com.tw/news/165227
Docker引擎API遭鎖定，駭客企圖從事挖礦攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>濫用Docker、Kubernetes等環境從事挖礦攻擊的情況一直都存在，本週有研究人員揭露新一波大規模行動。</p> <p>雲端監控服務業者Datadog旗下的資安實驗室發現，<a href="https://securitylabs.datadoghq.com/articles/threat-actors-leveraging-docker-swarm-kubernetes-mine-cryptocurrency/">有人針對Docker引擎的API從事挖礦攻擊</a>，並橫向移動到Docker Swarm、Kubernetes，以及其他能透過SSH存取的伺服器。駭客將受害主機加入他們控制的Docker Swarm叢集，並濫用Docker Swarm的編排（orchestration）功能進行C2通訊。</p> <p>除此之外，這些駭客也濫用Docker Hub，並上傳大量惡意映像檔。根據有效酬載當中寫死的檔案系統路徑，研究人員推測，對方還運用雲端IDE環境GitHub Codespaces的運算基礎架構。</p> <p>攻擊者起初鎖定曝露在網際網路上的Docker API端點，在未經身分驗證的情況下執行惡意命令，過程中，也透過已經受害的節點執行masscan、zgrab等網路掃描工具來尋找目標，隨後濫用Docker的API植入Alpine容器，執行後續的攻擊流程。</p> <p>惡意軟體會先檢查目前環境是否具備特定的資料傳輸工具，以及執行的權限是否為root，完成後就會從GitHub取得挖礦軟體XMRig安裝指令碼，並搭配特定使用者字串進行部署。</p> <p>值得留意的是，攻擊者為了隱匿相關處理程序，從C2下載Linux物件共享檔案的處理程序隱藏工具，並藉由動態連結器挾持手法，將其設置為符合特定條件才動作的模式，例如，只要有執行檔啟動，就會觸發這項工具運作。</p> <p>上述攻擊行動完成後，駭客還會進一步橫向移動。他們運用kube.lateral.sh、spread_docker_local.sh、spread_ssh.sh等三種指令碼來進行，這些分別針對Kubernetes、Docker端點，以及SSH伺服器而來。</p> </div></div></div>
2024/9/27 14:27作者周峻佑https://www.ithome.com.tw/news/165225
Google的AI筆記助理NotebookLM現可輸入YouTube影片及聲音檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://blog.google/technology/ai/notebooklm-audio-video-sources/" target="_blank">更新了AI筆記助理NotebookLM</a>，新版支援YouTube影片及聲音檔案的輸入，還能與他人共享語音摘要（Audio Overviews）。</p> <p>NotebookLM是Google在<a href="https://blog.google/technology/ai/notebooklm-google-ai/" target="_blank">去年7月發表</a>的產品，這是一個由大型語言模型助攻的筆記軟體，根據Google的說法，它與傳統AI聊天機器人最大的差別在於NotebookLM允許使用者於筆記及來源中採用語言模型，此一Source-grounding的作法得以帶來一個熟悉使用者資訊的個人化AI，根據使用者指定的資料來生成答案，以執行摘要，回答問題，還能產生想法。</p> <p>相較之下，聊天機器人主要仰賴預先訓練的資料集，無法靈活引用具體文件，或提供更精確的回應。</p> <p>原本僅在美國市場測試，屬於實驗性產品的NotebookLM在今年6月擴展至全球200多個國家，而且採用Gemini 1.5 Pro作為它的底層模型，所支援的輸入格式涵蓋Google Docs、PDF及文字檔文件，以及Google Slides，網頁網址，YouTube網址，及音訊檔。</p> <p>當使用者上傳YouTube影片時，NotebookLM會摘錄重要的概念，還能透過引用直接連結至影片的文字轉錄，對於比較不同來源對於同一議題的觀點特別有幫助，此外，NotebookLM亦內建YouTube播放器以讓使用者直接觀看影片。NotebookLM亦能將上傳的音訊轉換成文字，並藉由搜尋快速定位到重要的段落，以提高團隊的專案效率。</p> <p>新版的NotebookLM新增了建立學習指南的功能，使用者只要輸入課堂上的錄音、手寫筆記及講座幻燈片等資料，它就能自動生成整合所有關鍵資訊的學習指南。</p> <p>9月上線的語音摘要功能可替使用者輸入的來源，包括文件或部落格文章，建立一個語音摘要，由兩位AI主持人針對來源內容進行討論，現在則可產生一個公共連結來與其他人分享。</p> </div></div></div>
2024/9/27 13:48作者陳曉莉https://www.ithome.com.tw/news/165224
駭客藉由惡意程式SnipBot竊取機密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩年鎖定烏克蘭及盟國而來的<a href="https://www.ithome.com.tw/news/159425">惡意軟體RomCom</a>，如今出現新的變種，駭客濫用有效憑證對其簽章來迴避偵測，並藉此工具進行多階段攻擊，從而達到執行命令、下載其他惡意軟體的目的。</p> <p>資安業者Palo Alto Networks揭露<a href="https://unit42.paloaltonetworks.com/snipbot-romcom-malware-variant/">惡意軟體RomCom的新變種SnipBot</a>，並指出攻擊者可藉此於受害電腦執行命令，然後將附加模組植入受害電腦。研究人員與今年2月在資安事故看到SnipBot的資安業者Sophos聯手調查，並採集、分析攻擊者於受害電腦活動留下的痕跡。</p> <p>對於這個惡意程式的發展，研究人員指出，駭客是以RomCom 3.0為基礎進行打造，但具備後續的4.0版（趨勢科技將其命名為PeaPod）部分新技術，因此他們認為SnipBot就是RomCom 5.0。他們推測，駭客很有可能在去年12月就開始運用SnipBot。</p> <p>有鑑於受害企業組織所在的領域相當廣泛，研究人員難以確認意圖，但懷疑駭客主要目的不再是經濟利益，而是從事間諜活動。</p> <p>SnipBot會造成哪些問題？研究人員最早發現的攻擊型態是PDF檔案，電腦開啟這個檔案之後，就會彈出警示視窗，當中聲稱缺乏必須的字體而無法正法顯示內容，假若使用者依此指引而去下載相關字型套件，電腦就有可能遭到SnipBot感染。</p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-510168-136801-10.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-510168-136801-10.png" style="width: 580px;" /></a></p> <p>根據逆向工程的結果進行分析，駭客透過釣魚郵件啟動整個感染鏈，一旦使用者點選其中的URL，就會下載對方偽裝成PDF檔案的惡意程式下載工具，此執行檔搭配合法的證書簽章，並採用兩種手法迴避沙箱的偵測。</p> <p>其中一種是比對經過雜湊處理的名稱，以便確認原始檔名；另一種則是檢查特定的機碼，確認是否有超過100項最近開啟過的檔案，而這麼做的目的，就是確認受害電腦是否為沙箱環境。</p> <p>再者，這個惡意程式下載工具，同時利用視窗訊息為基礎的混淆手法，將惡意程式碼區分為多個區塊。此外，駭客也將C2網域、動態解析的API功能函數進行加密處理，防堵靜態偵測機制。</p> <p>一旦此惡意程式下載工具執行，就會從C2網域嘗試取得PDF檔案及SnipBot有效酬載。此惡意程式的主程式能讓攻擊者於受害電腦執行命令，或是上傳及下載檔案的功能，再者，攻擊者也能從伺服器下載相關附加模組，以便執行進一步的活動。</p> <p>實際上，駭客如何運用SnipBot？在其中一起攻擊行動裡，他們試圖收集受害組織內部網路資訊，接著將電腦裡的文件檔案、雲端檔案共享服務OneDrive的檔案，藉由WinRAR打包，並透過PuTTY外傳，這一系列竊取資料的過程，駭客也企圖藉由AD Explorer建立本機AD資料庫的快照。</p> </div></div></div>
2024/9/27 11:55作者周峻佑https://www.ithome.com.tw/news/165221
HPE推出邊緣運算伺服器，搭超微EPYC 8004處理器與E3.S SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_proliant_dl145_gen11_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在AI應用勢力抬頭之前，幾家主要伺服器廠商都持續經營邊緣運算的產品線，例如，我們過去曾報導<a href="https://www.ithome.com.tw/tags/ThinkEdge">聯想的ThinkEdge系列</a>，以及<a href="https://www.ithome.com.tw/tags/PowerEdge-XR">Dell的PowerEdge XR系列</a>，HPE先前主要是由<a href="https://www.ithome.com.tw/review/126064">Edgeline系列</a>擔綱，然而，後續很少看到他們主推這樣的硬體設備，而在今年9月，HPE突然宣布推出ProLiant DL145 Gen11，鎖定採用分散式組織架構的客戶市場，例如零售業與製造業，提供無縫整合至現場環境的部署與即時服務，協助企業在邊緣環境執行高負載的應用系統時，能藉此獲得更好的效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dl145 gen11 scaleup.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dl145%20gen11%20scaleup.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/dl145%20gen11-Edge.jpg" style="width: 600px;" /></p> <p>相較於HPE既有伺服器產品，DL145同樣內建多種安全與管理功能，像是矽信任根、裝置身分IdevID、平臺憑證，並且整合HPE特有的iLO6、OneView，以及GreenLake for Compute Ops Management等遠端集中控管平臺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dl145 gen11-remote management.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dl145%20gen11-remote%20management.jpg" style="width: 600px;" /></a></p> <p>它最顯著的差異是設備外觀！DL145搭配寬15吋、深16吋的短型2U尺寸機箱——裝上前側面板後的深度為50.74公分，卸下前側面板後的深度為40.66公分，適用的溫度範圍是攝氏-5度到55度，而且前側面板也內建空氣過濾器，能符合電信機房網路設備要求的NEBS Level 3標準，能設置於高落塵、震動大的環境，並且支援機架、壁掛、平放在桌面等設備部署方式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dl145 gen11-compact size.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dl145%20gen11-compact%20size.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dl145 gen11 environment.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dl145%20gen11%20environment.jpg" style="width: 600px;" /></a></p> <p>基本上，這款伺服器的日常運作很安靜，執行繁重工作負載的噪音為40分貝。而且，提供強大運算能力之餘，也具有能源使用效率，可因應企業在分支據點的遠端伺服器部署需求，能大幅節省建置時間與IT人力，讓企業專注在核心業務的推動。</p> <p>值得注意的是，這款主打邊緣運算應用的伺服器，足以支撐128臺虛擬機器的執行，能夠負荷多種企業應用程式的運作，像是資產管理、POS銷售資訊處理、廠區現場環境專屬的資料分析、商業智慧、內容傳遞，以及人工智慧與機器學習的工作負載。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dl45 gen11-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dl45%20gen11-overview.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DL145 gen11 meeting room.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL145%20gen11%20meeting%20room.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DL145 gen11-retails.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL145%20gen11-retails.jpg" style="width: 298px;" /></a></p> <p>單就處理器配置而言，DL145搭配單顆代號為Siena的AMD EPYC 8004系列，最多可提供64顆Zen4C高效率核心、128個執行緒，熱設計功耗為200瓦，而且，可支援存取頻寬更大的DDR5-4800記憶體（提供6個插槽，最大能安裝單支128 GB容量的記憶體），以及PCIe 5.0的超高速I/O介面——在機箱前側擴充，最多可安裝3張單寬尺寸的GPU加速卡，目前能搭配Nvidia入門級資料中心GPU產品L4，也能在這3個PCIe插槽當中，安裝GbE、10GbE、10GbE/25GbE網路卡，或儲存控制器MR216i-p Gen11、MR416i-p Gen11；除此之外，這裡也提供1個OCP 3.0插槽，可安裝GbE、10GbE、10GbE/25GbE網路卡，或是儲存控制器MR408i-o Gen11。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dl145 gen11 e3_s-pcie.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dl145%20gen11%20e3_s-pcie.jpg" style="width: 600px;" /></a></p> <p>DL145的儲存裝置搭配也相當獨特，HPE提供兩種儲存槽選擇，一種可安裝2臺2.5吋外形的SATA固態硬碟（單臺裝置的最大儲存容量為3.84 TB）或NVMe固態硬碟（單臺裝置的最大儲存容量為15.36 TB），另一種是搭配6臺E3.S外形的NVMe固態硬碟（單臺裝置的儲存容量為15.36 TB）。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong>HPE ProLiant DL145 Gen11</strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U<br /> ●處理器：1顆AMD第四代EPYC 8004系列處理器（最多64核心）<br /> ●記憶體：6個DDR5-4800插槽，最大可安裝到768 GB<br /> ●硬碟容量：2臺2.5吋SATA/NVMe固態硬碟或6臺EDSFF E3.S外形NVMe固態硬碟，最大可安裝到92.16 TB（6 x 15.36 TB）<br /> ●擴充介面：4個PCIe 5.0 x16（2個全高全長，1個全高半長，1個OCP 3.0）<br /> ●電源供應器：1或2臺700瓦、900至1000瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/9/27 12:25作者李宗翰https://www.ithome.com.tw/review/165187
從MLOps到LLMOps，Line臺灣提示工程管理有一套
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了用機器學習（ML）來解決購物推薦問題，Line臺灣也開始擁抱大型語言模型（LLM），來提高工作生產力。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>運用LLM的3大挑戰</strong></span></span></p> <p>在剖析自家LLM實戰經驗前，Line臺灣機器學習工程師李婕瑜先是點出，企業運用LLM提高工作生產力時，所面臨的3大挑戰。</p> <p>首先，企業採用LLM，目的是要提高作業效率，尤其要能即時支援業務應用。這個需求，考驗了企業對LLM的維運管理能力，得要從原本熟悉的機器學習維運（MLOps），進入到大型語言模型維運（LLMOps）領域，學習新的流程整合與團隊協作。</p> <p>再來，穩定性也是一大挑戰。因為，LLM由提示（Prompt）驅動，這些提示以自然語言表達，不像是程式語言有固定、嚴謹的格式。也因此，提示變動靈活，可能多個字、改個字，LLM就會給出截然不同的答案。於是，企業得要做好提示管理，記錄提示版本，才能維持服務穩定。</p> <p>企業運用LLM，還會遇到安全性挑戰。因為這些LLM應用，不只要避免輸出歧視內容，也要符合AI相關法規，滿足透明性、可解釋等原則，像是要能解釋LLM為何給出特定答案等。李婕瑜指出，由於LLM應用場景廣泛，Line不只遵守安全法規，接下來還會多想一步、主動出擊，來尋找工具、確保LLM產出的答案更安全。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>LLM客服案件分類的提示管理</strong></span></span></p> <p>不只上述痛點，李婕瑜也分享，Line實際應用LLM時遇到的2項難題，包括如何審查LLM生成內容，以及LLM調整到什麼程度，才算是夠好。</p> <p>她以Line客服案件分類解釋器為例，Line臺灣本部每天會接收大量的客訴案件，但為釐清案件來優化整體Line服務方向，客服人員得先對案件貼標、分類，包括產品、政策、活動、系統問題、客服營運等類別。</p> <p>在這個專案中，Line想藉助LLM來輔助案件分類，自動產出客訴標籤和整理過的事件原因，來加速客服人員統整需改善之處。</p> <p>但在執行過程中，Line很快遇到了問題。因為LLM提示撰寫的技術門檻低，不只工程師，連業務、PM都能寫，造成提示內容多變，反而影響了LLM的產出和效能，Line甚至用R&R混亂來形容。</p> <p>為解決這個問題，Line採用了名為CO-STAR的提示詞撰寫架構，來切分提示任務。這幾個字母分別代表不同要素，比如C是指情境（Context），也就是在提示中描述任務概況、賦予LLM角色；O則指目標（Objective），即在提示中告知LLM想實現的目標，像是「給出案件類別，並總結案件始末」。</p> <p>再來是S，也就是回覆風格（Style），比如告訴LLM，要以客服身分回答問題。T則是語調（Tone），可以在提示中，要求LLM以溫柔的語調回覆。A則指受眾（Audience）目標，R是輸出的格式（Response），比如「將標籤和案件解釋區分開來」這類描述。</p> <p>有了CO-STAR切分提示任務，接著還要依據專案特性，來對6個提示類型排序，才能發揮效果。這是因為，每項LLM專案有其重點，以客服案件分類為例，C、O、R類提示更為重要。因此，Line將客服案件分類的提示任務，改以CORAST的順序來重排。</p> <p>下一步則是確認CORAST各階段的開發人員和驗收人員，比如在C階段，可由熟悉案件分類和定義的客服人員、業務人員來撰寫。又或是在S、T部分，客服人員有其偏好的風格和語調，因此可擔任驗收人員，開發人員只需專注格式處理及提示撰寫。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>LLM要優化到什麼程度才夠好？</strong></span></span></p> <p>不只如此，這個LLM案件分類專案，還有第2項挑戰，也就是LLM要優化到什麼程度，才算夠好。</p> <p>李婕瑜分析，當POC專案快速建立後，團隊會觀察LLM表現，來決定是否採用其他改善方法，來提高LLM效能。以Line客服案件分類解釋器為例，團隊將準確度作為模型表現評估的指標，要是LLM產出低於60%，意味著模型不清楚提示意思。</p> <p>此時，Line除了考慮常見的檢索增強生成（RAG）、微調等補強手段，還會衡量加入規則式解法、思維鏈（CoT）或少樣本學習等方法，來提高LLM生成準確度。</p> <p>再來，LLM如何才夠好，還與業務團隊的預期有關。意思是，開發團隊需與業務團隊討論，找出合理的初期LLM準確度共識，「最好是定在當前平均表現的正負10%，」李婕瑜建議。</p> <p>接下來，只需控管LLM輸出的內容格式統一，整合至既有服務中，LLM專案就大功告成了。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>可善用開源工具實作LLMOps</strong></span></span></p> <p>不只是提示管理，LLMOps也是應用LLM的一大課題。</p> <p>一般來說，LLM應用流程包括了選擇基礎模型、提示工程、評估結果、改善和最終部署上線。但Line思考，能否將人工需介入的流程，縮短為2步驟，即上傳測試資料、進行提示工程，其他的評估、找出改善空間、決定部署上線等步驟，則由工具自動執行。</p> <p>於是，Line自建一套內部LLM開發管理工具，不少專案都採用。但為了與社群分享這樣的架構，Line找到一款免費開源工具Pezzo，來說明如何建立LLM維運管理平臺。它的好處是，可集中管理不同專案的提示，簡化了提示編輯和版本管理，還能視覺化列出每個開發專案成本，讓使用者一眼掌握LLM專案概況。此外，李婕瑜也推薦開源的ML生命周期管理工具MLflow，因為MLflow也支援提示管理，可記錄不同提示版本表現和差異，兼顧ML和提示管理。</p> <p>有了這些工具，LLM流程流暢許多，比如在Pezzo中編輯提示後，開發者就能建立頁面，來輸入提示樣板後設資料，再讓使用者決定是否要做RAG。若需要，只需上傳所需資料即可，之後透過MLflow自動完成實驗。這些實驗數據，像是提示版本、分數、模型和時間等，最後都會呈現在起初建立的頁面，Line的LLM客服案件分類器也是如此管理。</p> <p>Line實作LLMOps，不單為了管理，還為因應法規（如國科會今年提出的AI基本法草案），來提早應對未來可能面臨的問責機制。因此，他們一方面建立問責制度，另一方面也開始評估，運用LLM檢測生成的廣告文案是否符合法規。李婕瑜舉例說明，廣告文案生成後，先經過禁用字詞掃描，通過後進行第二層審查，納入法規、可用詞與不可宣稱詞規範、Line內部法規，以及RAG連結的內部過往審核結果等資料，來讓LLM參考、判斷，廣告文案合規才會正式採用。這正是Line從LLMOps延伸思考的可行合規應用之一。</p> <p><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"> </span></strong></span></span><span style="font-size:22px;"><strong><span style="background-color:#3399ff;"><a href="https://www.ithome.com.tw/article/165216" target="_blank"><span style="color:#FFFFFF;">相關報導</span></a><span style="color:#FFFFFF;"> </span></span></strong></span><span style="color:#FFFFFF;"><span style="font-size:22px;"><strong><a href="https://www.ithome.com.tw/article/165216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1201-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=51VTAnQL" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/27 12:30作者王若樸https://www.ithome.com.tw/news/165215
如何讓業務團隊信任推薦模型？Line祭出可信任框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一套AI系統不只要能解決商業問題，還要能獲得業務團隊信任且合規。因此，Line臺灣打造一套可信任評估框架，來讓自家模型更強健且可解釋，就算是不懂技術的業務團隊，也能解讀模型。Line購物有套精密的機器學習（ML）推薦系統Brickmaster，就在這個框架下展開。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>可信任含3大元素，鎖定4大推薦流程</strong></span></span></p> <p>這個「可信任」，包含了3項重要元素。Line臺灣電商資料科學家陳峻廷指出，首先是穩健性（Robustness），當購物平臺的商品，帶有誇大推銷說詞時，推薦系統要能夠偵測、剔除這些商品；又或是能辨別、找出有價值的評論，來推薦商品。</p> <p>再來是公平性（Fairness），重點要移除偏差（Bias）。舉例來說，若使用者不小心點擊沒興趣的Line官方帳號內容，這樣的資料，就不能輸入推薦模型，以免推薦錯誤商品給使用者。因此，開發團隊從資料處理下手，移除這類偏差，確保推薦系統的推薦不受干擾。</p> <p>第三個元素是透明性／可解釋性，指的是不論業務團隊還是利害關係人，都能了解ML模型資訊，甚至是特徵、推薦系統如何運作等。「這個元素對資料科學家和機器學習工程師來說很重要，」陳峻廷解釋，透明性／可解釋性能幫助團隊採用更好的微調方法，來降低部署模型的信任風險。</p> <p>陳峻廷指出，這個可信任框架會落實到推薦系統的4個運作階段中，包括資料準備、資料表徵（Representation）、推薦內容生成，到效能評估階段。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>實務解析可信任框架</strong></span></span></p> <p>首先，在資料準備階段，為確保訓練模型的資料乾淨且有效，Line團隊設置可信任資料前處理方法，來過濾原始資料，比如偵測異常資料、移除異常值等。</p> <p>過濾後的資料，就成為可信任的輸入資料，進入第二階段資料表徵處理。由於Line購物推薦系統採雙塔模型，也就是兩套類神經網路，各自處理使用者特徵和商品特徵，再計算兩者嵌入向量的相似度，來從千萬級商品庫中，選出用戶感興趣的推薦商品清單。為確保使用者向量和商品向量的可信任程度，Line設置一套向量品質檢測機制，來檢查模型產生的向量是否達標。</p> <p>下一階段，用模型產生推薦內容時，Line也設置了公平和透明機制，來確保模型推薦的內容，不會偏重某一族群或商品，並同步產出推薦結果解釋，來落實模型透明性。</p> <p>最後則是評估，也是陳峻廷認為最重要的環節。在Line臺灣，可信任評估分為2大方向，一是技術面評估，由電商團隊負責，另一是倫理面評估，如責任和社會影響性評估，則由其他團隊負責。</p> <p>從技術來看，Line還將可信任評估，細分為離線和線上兩種作法。其中，當推薦系統產生新場景時，會先啟動離線評估，來衡量是否合規，通過後再進行線上評估，沒問題才能部署上架。只要其中一類評估沒有合規，就退回檢查模型或特徵工程處理。</p> <p>陳峻廷點出，正因為這些評估機制，ML工程師和資料科學家在演算法的設計階段，會多想一步，盡可能滿足公平透明、可解釋要求，在源頭先做好可信任工作。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>離線評估是實戰前的演練</strong></span></span></p> <p>在兩種評估作法上，離線評估屬於事前的演練。</p> <p>這個離線評估，主要檢視3類對象，包括模型、商業表現和推薦系統整體健康度。模型部分是根據模型性質，如基於準確度或排名，來設置檢驗指標，像是精確度、召回率、NDCG等，來檢測模型能力。</p> <p>商業表現部分則檢視ML演算法，能否反映商業價值，如此才能說服業務團隊接受推薦系統。因此，要評估的面向有留客、新客推薦、收益，各自又有其指標，如點擊率（CTR）、客戶體驗的淨推薦值（NPS）、訂單轉換率（CVR）和商品交易總額（GMV）等。</p> <p>這類商業指標很多，但通常，「我們會設定可快速驗證的指標，如CTR，來確認推薦系統是否可行，」來快速衡量ML系統是否滿足商業問題。</p> <p>至於推薦系統整體健康度，則要檢視推薦系統能否長期運作。因此，檢視指標有推薦內容涵蓋範圍和多樣性，前者是指，推薦商品與全站商品的比重，比如是否只偏重熱門商品；多樣性則是指，推薦內容是否夠多元、而非偏重單一類商品，如只推薦咖啡。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>實戰測驗：線上評估</strong></span></span></p> <p>「離線評估若是打怪練習等，線上評估就是實戰實打，是最重要且直接的方式，測試推薦系統是否正確。」陳峻廷進一步解釋，線上評估像是一場AB測試，包含8個步驟，第一步是設置目標，該目標要明確易懂，比如新演算法是否比上一代好。接著是設置指標，找出合適的驗證指標，如點擊率、留客率、訂單轉換率等，正式採用前，還要進行AA測試，來驗證指標上線後的衡量效度。訂妥指標後，接著要決定實驗單位，比如以使用者ID當作最小實驗單位。</p> <p>下一步是預估採樣大小，可透過數據分析指標α、Power、Variance等來設定採樣大小。陳峻廷提醒，這個階段要留意最小成功指標，比如新演算法的點擊率最少要比舊方法高出2%，才能算成功。</p> <p>採樣預估完成後，進入隨機分組階段，將流量隨機分配到實驗組和對照組，各50%，來觀察新舊方法表現。陳峻廷表示，這個階段要注意兩組的獨立性，否則會評估失效。</p> <p>最後還有幾個步驟，包括估算時間、展開活動和結果測試。以上這8個步驟就是Line推薦模型所用的線上評估方法。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>如何解決線上評估的實務挑戰</strong></span></span></p> <p>發展這套線上評估的過程中，Line團隊曾遇過不少實務挑戰。陳峻廷舉例，實驗結果差異性不顯著就是一大挑戰，有兩種可能原因，一是新方法確實不好，二是有差異但不夠顯著，可透過擴大資料集規模來觀察，或是降低指標變異數，比如替換相似但變異數較小的指標，或是進行傾向分數配對（PSM）分析。</p> <p>另一個實務問題是樣本比率偏差（SRM），也就是AB測試時，若後端或API出現問題，導致組別數字差異越來越大，進而出現辛普森悖論，即分組數據和整體數據呈現相反趨勢，造成實驗失效。</p> <p>還有一項挑戰是新奇效應（Novelty effect），較常發生在業務場景，比如一個新的使用者介面，剛推出時成功吸引到使用者目光，一直點擊使用，但長期下來，效果趨於平緩，甚至不如剛上線時。這情況也可能相反，比如新功能上線初期可能不受喜愛，但用戶群忠實度高、最終還是會使用，長期下來，商業指標會是上升。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>LLM也能用來解釋模型</strong></span></span></p> <p>近年風生水起的大型語言模型（LLM），Line也積極用這項技術，來強化購物推薦系統的可信任程度。</p> <p>第一個LLM應用場景是特徵工程，工程師對LLM下提示，要求執行字符化（Tokenization）工作。陳峻廷指出，這個作法很有效，可幫助Line更好地萃取商品規格等關鍵資訊、加速後續向量生成，甚至比原本的BERT模型方法還要好。為了驗證這些向量的品質，他們採取探測（Probing）方式，從推薦系統的雙塔模型，設計探針來取得使用者向量和商品向量，再以RankMe等指標來評估向量品質。</p> <p>另一個使用LLM的地方是雙塔模型的解釋，比如將使用者特徵和商品特徵分別輸入LLM，再進行分數和解釋設定，就能得出結果，以此來驗證推薦系統。這就是Line以LLM強化可解釋性的作法。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/165216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/article/165216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1201-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=51VTAnQL" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/27 12:30作者王若樸https://www.ithome.com.tw/news/165214
從商業問題到落地應用，Line靠六階段方法論打造ML應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每一項ML系統，都是因一個商業問題而存在，這正是Line購物大力擁抱AI的目標，他們最關鍵的商業問題是提升銷售額，而機器學習團隊的任務，就是想辦法用ML來提高銷售額。</p> <p>不過，從商業問題出發，到落地成為一支AI應用，Line開發團隊有一套自己的方法論，這是一套涵蓋了整個機器學習（ML）生命周期的開發流程，從定義問題、將問題轉為ML問題、建模、執行AB測試、評估和決策等環節。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>用ML方法解決商業問題</strong></span></span></p> <p>Line機器學習工程師黃昱睿指出，團隊接到商業需求時，先從定義問題開始，以提升銷售額的需求為例，考量了設計新產品、推行折價券和提高用戶體驗等3種實現策略，最終選擇ML可行性最高的第三種。</p> <p>那麼，如何利用ML方法，來兼顧獲利（即訂單成交量）與用戶體驗，開發團隊從Line購物使用者旅程找切入點。由於Line購物屬於導購平臺，專門提供商品、文章等頁面，來導引顧客到商品店家平臺，同時在過程中提供點數優惠或回饋，因此用戶購物旅程會經歷：頁面瀏覽、點擊有興趣的商品／商店／文章、頁面跳轉至商家商品、最終下單。</p> <p>在這段旅程中，Line鎖定下單前的「點擊有興趣商品」，作為ML問題切入點。也就是說，Line要預測使用者有興趣的商品，並在對的時間推薦給他們，來提高點擊率。</p> <p>為進一步將這個概念轉換為可行的ML方法，Line團隊先進行2個資料面分析。首先是推薦時間點，若鎖定使用者操作「當下」想購買的商品，就得依據使用者過去購買的資料來訓練模型，好讓模型預測有興趣的商品。但這類資料量少，會造成模型過度學習，進而影響推薦效果和使用者體驗。</p> <p>另一個考量是，模型要根據點擊次數來推薦商品，還是用戶「會點擊」的商品來推薦？也就是說，這個推薦模型該採用回歸模型，還是分類模型。</p> <p>「我們最後選擇分類模型，」黃昱睿解釋，電商場景中，通常有群重度使用者，他們的熱門商品點擊率和消費額遠大於一般用戶，因此以點擊次數來推薦商品，就會過於偏頗。</p> <p>於是，團隊將ML問題調整為「使用者未來幾天會點擊的商品」，不只能解決因資料稀疏、模型過度學習的問題，還能提前秀出使用者想要的商品，優化使用者體驗。</p> <p>這就是Line團隊將商業問題，轉換為ML問題的過程。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>建模靠5步驟，完成還得不斷迭代</strong></span></span></p> <p>有了ML問題，接下來就是建模。建模一般有5個步驟，包括特徵工程、整合模型資料、模型訓練、模型推論，以及離線評估。</p> <p>在特徵工程階段，Line認為，頁面瀏覽、點擊和下單這類使用者行為，是決定點擊購買商品的關鍵。但光有這些特徵還不夠，還得與其他特徵做交叉群組計算，比如，年齡30歲至40歲點擊網站的次數，交叉比對年齡30歲至40歲且是男性、點擊該網站的次數，又或是再交叉比對其他屬性。</p> <p>多了這些資訊，就能協助團隊更準確觀察，使用者在特定時間是否會點擊該商品。尤其，黃昱睿點出，這種交叉計算資訊，可以補足同一個特徵未必持續有效的缺陷。完成特徵工程後，就可以進行模型資料的整合，準備進入訓練模型的階段。</p> <p>不同模型的訓練方式各有不同，但黃昱睿點出，模型訓練有2個常見要點，包括各項指標需與基準相比，以及比較多組模型成效。其中，這個基準可以是人工方法，也可以是傳統統計方法，ML工程師得觀察採用模型後，指標表現是否逐步提升。</p> <p>在推論部分，因Line購物推薦模型，主要比對使用者嵌入向量和商品嵌入向量的相關性來推薦，進行推論時得同時考慮向量大小和推論時間。</p> <p>「向量小、維度低，資料量少，推論速度快，」黃昱睿解釋，向量大則相反，因此如何拿捏向量大小與推論時間，得看應用場景和準確度等其他資料來決定。</p> <p>最後則是離線評估，就像是模型的「模擬考」，來確認模型學習成效，以及是否太貼近訓練資料、難以因應新資訊等問題。</p> <p>這就是Line購物推薦模型的建模5步驟。不過，一套模型得要多次執行這些步驟、不斷迭代，才能達到真正可用程度。因此黃昱睿表示，善用YAML配置檔輔助，可加速這個過程，節省工程師手動設置時間。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>AB測試有4要點</strong></span></span></p> <p>接下來就是AB測試環節。在這個階段，Line團隊會將模型新作法和舊作法分為實驗組和對照組，來處理使用者或瀏覽記錄資訊，比較兩種作法的推薦成效。</p> <p>黃昱睿提醒有4個AB測試的基本概念，包括使用者要均勻分布，如隨機分組就是一種方法。再來，在同個實驗中，使用者組別要固定，比如在一段時間內，登入網站的同一位使用者，都要固定在A組。</p> <p>第三，若同個實驗中，實驗比率增加，如實驗範圍從10%擴大至20%時，實驗組的成員不變，即不能重新分組。最後，由於推薦系統屬於線上應用場景，因此測試時，要確保API也能高效率執行。</p> <p>每次AB測試時，Line還會為每次輸入的瀏覽記錄，貼上一個標籤（Tag），儲存至資料庫後，可進行後續分析。同理，他們也會在每次的瀏覽記錄中，加入一些資訊，比如這次實驗的唯一代碼，方便後續做不同實驗的比較。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>評估帶來的ML省思</strong></span></span></p> <p>有了實驗組和對照組後，就進入黃昱睿認為ML生命周期中「最重要的」階段：評估。在這個階段，Line關注的評估指標有ML指標和商業指標，如ML的精確度、平均排名倒數，或是商業的點擊率、轉化率、交易轉量等，不只能讓非技術的高層主管理解ML效益，也能衡量ML是否解決了商業問題。</p> <p>黃昱睿接著說明，要是評估發現ML指標表現亮眼，但商業指標沒有起色，這可能意味著，「原本定義的ML問題，沒有打中要害。」</p> <p>他以自己多年前的一項Email行銷專案為例，他與團隊打造一套ML模型，來預測使用者是否點擊Email內容。</p> <p>當時評估發現，模型預測精確度很高，但購買率還是很低。這是因為，當初團隊開發模型，只考量使用者是否點擊，並未納入後續的購買、成交等消費行為，這時就得回過頭去定義問題。</p> <p>不只如此，黃昱睿在後來一次次的評估中，觀察到推薦模型的特徵相關性，與原本想像的特徵，有很大的不同。</p> <p>Line購物推薦模型是用來預測使用者會點擊的商品，照常理來說，點擊行為應該是推薦成功與否，最相關的特徵。但他後來發現，並非如此，因為點擊並不是使用者完全主動的行為，而是網站先呈現內容，使用者才能點擊。「主動搜尋，才是相關性最高的特徵。」他坦言。也因此，Line後來強化購物推薦模型時，打算納入更多與搜尋相關的特徵。</p> <p>黃昱睿建議，開發者在建置推薦模型前，可先分析主動事件和被動事件，再找尋相關特徵，如此打造的推薦模型，效果會更好。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>上線後需監控ML效能與商業指標</strong></span></span></p> <p>推薦模型經評估可行、正式部署上線後，Line團隊還有套監控機制，時時把關模型效能。</p> <p>監控指標不只有特徵、ML效能指標，還要有商業指標，比如訂單量、點擊率，才能找出問題和改進方法。比如，使用者每天的商品點擊率遞減，團隊可從該商業指標發現問題，順藤摸瓜找出推薦模型效能逐步下降原因，介入調整。</p> <p>黃昱睿點出，理想的推薦系統生命周期，應該由ML工程師和產品負責人一起合作維護。「有時候推薦效果不好，不只是推薦的原因，」他舉例，曾經做過流失分析，就算對流失使用者發送優惠券，使用者仍不買單。這時，就需要ML工程師與產品負責人共同討論，比如重新設計或重新建模，來提高推薦成功率。</p> <p>「最理想的狀況是，工程師、產品負責人，甚至是企業中更多組織加入這整個ML生命周期，就能做出更完整的產品或服務，」他總結。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/165216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/article/165216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1201-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=51VTAnQL" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/27 12:30作者王若樸https://www.ithome.com.tw/news/165213
Line如何萬中選一精準推薦，購物平臺關鍵技術大剖析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「在數百萬到數千萬的商品中，如何快速找到用戶有興趣的商品，推薦給他們？」Line臺灣機器學習工程師黃耀慶這句話，點出推薦系統對Line購物的重要性和挑戰。</p> <p>Line購物是一個導購平臺，就像是消費者與店家的橋樑，將使用者導向成千上萬款商品各自的品牌商網站、電商平臺上的商品網頁。為了提高銷售量，得想辦法從百萬、甚至是千萬量級的商品數量，迅速找出使用者有興趣的幾個商品，推薦給他們。</p> <p>為此，Line團隊發展出一套高度個人化的購物推薦系統，光是推薦情境模組就有20多種，比如個人化文章推薦、降價商品推薦、搜尋關鍵字推薦，又或是類似商品推薦等。這套以機器學習驅動的核心推薦系統叫做Brickmaster，在2022年正式啟用。</p> <p>Line臺灣如何設計它，來因應多情境和海底撈針般的精準推薦挑戰？多位Line臺灣開發團隊成員，在Hello World開發者大會上揭露了背後的挑戰和開發經驗。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>分3階段打造精準推薦系統</strong></span></span></p> <p>首先，開發團隊將Line購物導購的推薦流程，切分為3大階段，一方面提高推薦精準度，又能整合不同消費者行為和業務考量的需求。</p> <p>第一步是「檢索（Retrieval）」，從包含千萬個商品的資料庫中，撈出數百個使用者可能感興趣的商品。接著是「排名（Ranking）」，根據使用者行為，將第一階段撈出的上百個候選推薦商品，縮小至數十個商品。</p> <p>最後是「重新排名（Re-rank）」，這是用來結合各種商業邏輯（如促銷活動、節日活動和商品獲益）、商品新鮮度和商品多樣性的考量，來調整候選推薦商品。完成這些階段後，系統可以產生一份用來吸引顧客的推薦商品清單。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>階段1：檢索</strong></span></span></p> <p>黃耀慶指出，與全站商品相比，使用者有興趣、會點擊的商品，幾乎只占了全站商品的「0.001%」想要從龐大的商品中，找出這麼少的目標商品，正是第一步，檢索階段的嚴峻挑戰。</p> <p>為快速從巨量商品中，找出使用者感有興趣的商品，Line採用推薦領域中經典的雙塔模型方法。這個雙塔模型可分為使用者塔（User tower）和商品塔（Item tower），兩個塔各為一套多層的類神經網路。</p> <p>其中，使用者塔用來處理使用者特徵，得到使用者的嵌入向量。商品塔則用於處理商品特徵，產出商品嵌入向量。這雙塔產出的使用者向量和商品向量，再經過內積運算，進行使用者－商品向量的相似度搜尋，經運算最終得到目標答案，也就是使用者有興趣點擊的商品清單。</p> <p>為讓模型精準產出使用者向量和商品向量，得先進行特徵工程。Line將雙塔模型所需的特徵分為兩種，即檔案和行為，比如在使用者特徵部分，就有使用者檔案（如基本資料）和使用者行為（如點擊次數、點擊品項），在商品特徵部分，則是商品檔案和商品行為，如商品名稱、ID、價格，以及同一商品被不同性別購買的次數、商品與不同族群的互動關係等。</p> <p>這些特徵涵蓋數值、類別和文字等3種類型，Line對這些類型特徵，各有其處理方式。比如針對數值型特徵進行標準化（Normalization），來縮小數值範圍、好讓類神經網路學習；又或是使用威爾遜得分區間（Wilson Score Interval），來減少數值的偏差。</p> <p>對於類別型特徵，也有幾種常見的處理方式，像是將商品品項轉換為數字編碼的獨熱編碼方法、確保順序邏輯的序數編碼等。文字型特徵則以BERT編碼來處理。</p> <p>在實務上，Line將雙塔模型拆為2種運作模式，商品塔採取離線處理，使用者塔則靠線上處理。這是因為，商品行為的改變頻率較低，但使用者喜好變動快速，模型得在短時間內處理，才能篩選出最貼近需求的商品。</p> <p>不只可以利用使用者與商品的相似度，來尋找推薦商品，也可以利用使用者最近喜歡的商品清單，來尋找更多使用者感興趣的同一類商品。這是Line購物在檢索階段，會使用的另一種商品相似度搜尋（Item to item）作法，一樣採用雙塔模型方法，只是將其中一塔改為使用者最近喜歡的商品，另一塔則是商品庫商品，透過比對使用者最近喜歡的商品特徵，以及商品庫商品最新特徵，來找出用戶可能有興趣的商品。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>階段2：排名</strong></span></span></p> <p>經過檢索階段，可以從上千萬個商品中，篩選出幾百個使用者感興趣的商品了。但這個數量還是太多，接下來藉由排名作法，找出優先推薦的項目。</p> <p>Line會根據使用者在Line購物「推薦版位」（比如夯話題）上的行為，推測使用者感興趣的濃厚程度，來排列候選推薦商品的順序。這可以想像為，另一種縮小推薦商品範圍的方法。</p> <p>在這個階段，Line團隊一樣採用類神經網路，來計算在推薦版位，使用者會點擊的商品。排名模型所處理的特徵有3種，包括使用者特徵、商品特徵，以及使用者－商品特徵（比如用戶對商品的點擊或購買次數）。</p> <p>在實務上，為支援龐大的運算需求，Line採用開源大數據處理工具PySpark，以分散式運算來執行排名模型的推論工作。這一步，就像是將原本一臺機器100秒才能完成的工作，分散給100臺機器處理，1秒就能完成該工作。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>階段3：再排名</strong></span></span></p> <p>完成第二階段的排名工作，篩選出使用者最有興趣到一般有興趣的商品排序後，還需要進行最後一步的調整，才推薦給使用者。</p> <p>調整條件可分為三類，包括商品多樣性、商品新鮮度和商業邏輯。進一步來說，商品多樣性是指，推薦商品要包含不同類型的商品，而不是前10名都推同一類型商品給用戶，比如滑鼠。</p> <p>就商品新鮮度而言，顧名思義是盡量推薦較新的商品給用戶。不過，新上架的商品缺乏足夠的資料，難以靠模型學習來篩選。於是，Line團隊改以規則式方法，讓新上架的商品，也能納入推薦商品名單內，來增加曝光度。於是，Line團隊改以規則式方法，將新上架的商品納入推薦商品名單內，來增加曝光度。這麼做，短期內點擊率雖會下降，但長期而言，有益於推薦系統發展。</p> <p>這是因為，當使用者接收到的推薦商品，都來自自己認知範圍內，久而久之容易膩。而保留流量給新品推薦，不只能讓使用者探索興趣，也能曝光新品、累積資料，利於後續模型訓練和推薦。</p> <p>最後的商業邏輯，則是指推薦商品要符合促銷活動、節假日活動或商品獲益考量。比如父親節時，提高當時時令禮品的權重。</p> <p>至此，「檢索」、「排名」、「再排名」這三大階段，構成了Line購物推薦系統的核心流程。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>善用開源技術提高模型處理效率</strong></span></span></p> <p>由於商品庫和用戶數量龐大，模型必須處理成千上萬個特徵，需要大量運算處理。因此，除了分散式處理特徵工程的PySpark，Line團隊還借助一些開源工具，來提高作業效率和各階段任務管理。</p> <p>這包括用來支援模型分散式訓練的數據函式庫Petastorm，用來管理和追蹤模型實驗成效的MLflow，能將PyTorch模型訓練程式碼模組化的PyTorch Lighting，以及視覺化管理模型訓練排程的Airflow。</p> <p>這些工具相互搭配，而且缺一不可。比如，PySpark借助多臺機器資源，來分散式執行Line購物商品和使用者特徵工程，Petastorm能快速打散Line購物累積的巨量資料並讀取，MLflow則用來追蹤推薦模型表現，比如實驗中哪些模型超參數效果最好，而PyTorch Lighning除了能將模型訓練模組化，還能簡潔記錄推薦模型資訊等。這些工具也是Line購物打造出超強推薦系統的關鍵。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/165216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/article/165216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1201-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=51VTAnQL" style="width: 550px;" /></a></strong></span></span></p> </div></div></div>
2024/9/27 12:30作者王若樸https://www.ithome.com.tw/news/165212
Line購物推薦系統大剖析
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1201-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=51VTAnQL" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>作為串接消費者和店家的導購平臺，Line購物營運全靠商品推薦。不只自建一套ML推薦系統，能從上千萬款商品中，找出0.001%高度吸引顧客的商品。還發展出可信任框架，確保模型公平、透明可解釋，讓業務團隊放心信任模型。現在更開始擁抱LLM來提高生產力。</p> </div></div></div>
2024/9/27 12:31作者王若樸https://www.ithome.com.tw/article/165216
臺灣AI人才缺口年增7%，臺灣人工智慧學校年底前開辦工程級AI認證，要吸引技術和非技術人培養AI場域問題解決能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣人工智慧學校從去年第四季展開全民AI素養的推動計畫，也開始提供AI人才分級認證，臺灣人工智慧學校校務長蔡明順在今年AI年會上揭露了推動臺灣AI人才培育的成果，他也預告今年底前將開辦工程級認證AITCE。</p> <p>他以波特五力分析來剖析一個國家要發展AI，需要有腦力、算力、電力、財力和數據力，其中，腦力指需要擁有更多高素質的AI人才。他觀察，早在2017年，臺灣就開始討論AI人才的缺口，但是因為生成式AI的浪潮，現在大家開始焦慮。</p> <p>根據臺灣人工智慧學校盤點，臺灣AI職缺目前每個月大概有2.9萬個職缺，最缺AI人才的產業包括了電子資訊業、軟體業、半導體業和傳產製造，光是這四個產業的職缺需求，就占了近9成，高達2.5萬個職缺，其他產業，如文法商、金融、批發零售、設計和服務產業的職缺約占13%。</p> <p>儘管政府也展開提前人才布局，例如經濟部計畫到2028年要訓練20萬名AI人才。但蔡明順指出，臺灣AI人才缺口，不論數量或是素質都不足，這股AI人才需求還會持續增加，他預估每年職缺數將增加約7%。</p> <p>臺灣人工智慧學校在去年年會宣布了AI人才分級認證計畫，將推出三個等級的AI人才認證，包括了素養級認證AITCL，工程級認證AITCE和管理及認證AITCM。</p> <p>AITCL認證用來評估是否具備基本的AI素養，像是AI基礎知識，生成式AI使用、倫理和規範等。AITCE工程級認證則要用來評估，是否具備了程式設計基礎能力、資料處理分析、機器學習和深度學習演算法和應用能力，更重要的是能否用這些技術來動手解決場域的問題。最後一項管理級認證AITCM則要用來衡量，是否有能力在實際情境中建立安全、效能優良的AI系統，要具備AI安全、AI資安、AI策略、架構設計和AI倫理的知識，也要具備管理治理能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AI%E4%BA%BA%E6%89%8D%E4%B8%89%E7%B4%9A%E8%AA%8D%E8%AD%89.jpeg" /></p> <p>素養級認證AITCL已經在今年7月正式開辦，測驗範圍包括了9大項，像是人工智慧概念、機器學習和深度學習、遷移學習、聯邦學習、雲端運算、邊緣運算、AI輔助數位孿生、生成式AI和人工智慧安全，針對這些不同類型AI的概念理解應用為主的測驗為主。統計到今年9月，已有110家企業參與素養級認證，240人通過取得認證，目前的通過率約93%。臺灣人工智慧學校今年積極舉辦不同主題的產業工作坊，也在今年第二季開放素養認證實作班，來提高有意考證者的能力。</p> <p>蔡明順表示，工程級認證AITCE預計於今年年底前開辦，不只想培養更多技術型工程師，也希望可以吸引更多非技術人員也能具備工程級的AI能力。在正式開辦認證前，他們也會找來試用企業，讓他們派員參與測試，驗證這些認證測驗的效度。至於第三級的管理級認證AITCM，目前規畫於明年上半年開辦。</p> <p>下一步，蔡明順表示，人工智慧學校百工百業推動策略，準備往次系統，準系統領域發展，讓成熟系統可以落地，也將分重點型產業和高衝擊職能兩大領域來推動。</p> <p>他也提出8項值得關注的AI進展和挑戰，尤其像是AI Safety議題發展，治理與安全成為先進國家爭取話語權的手段，而推動全民AI素養和AI人才的識別與認證，有助於加速產業與政府AI化。</p> </div></div></div>
2024/9/27 12:50作者王宏仁https://www.ithome.com.tw/news/165223
GAI品管是門新技藝
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年看到的GAI浪潮，開始跟去年有很大的不同，臺灣企業不再擔心生成式AI的幻覺風險，轉為正面思考，想辦法找出最適合生成式AI發揮的場景。</p> <p>GAI浪潮關注焦點的轉向，不只臺灣，國外也是如此，許多企業不再一昧追逐大型語言模型的規格和效能比較，轉而更聚焦於尋找有高價值效益比的應用場景。</p> <p>科技巨頭依舊不斷推出更強大的LLM模型和GAI產品，但光是基礎的GAI開發工具和框架，已經可以讓企業進行各式各樣的驗證，甚至打造正式服務。<a href="https://www.ithome.com.tw/article/164014" target="_blank"><span style="color:#3333ff;">我們年初的CIO大調查顯示</span></a>，3成臺灣大型企業積極投入GAI的POC驗證，今年可說是企業GAI的POC之年。</p> <p class="rtecenter"><a href="https://www.ithome.com.tw/article/164014" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GAI%E5%B0%81%E9%9D%A2p2-%E8%A1%9D%E6%93%8A-600-3-PNG.png" style="width: 600px;" /></a></p> <p>最近一個月，我更拜訪不少企業，採訪他們嘗試生成式AI應用的成果。不約而同，他們都看上了提示工程的威力，不需要太多軟體開發知識，連非技術人員也能運用提示命令，打造出很有生產力的GAI應用。</p> <p>有家醫學中心就打造出多款不同特定用途的GAI助手，從護士、醫生、藥師到營養師，都因此改善了特定繁瑣工作的效率，省下了不少時間，例如他們用GAI生成護理病摘的草稿，幫日班護士整理一整天所有負責病人的照護摘要紀錄，再由真人護士確認後才存檔，就縮短了不少交班的時間。</p> <p>光是在7月，全院超過5萬人次使用，使用人次在半年內翻了一倍，這家醫院的醫事人員真的感受到這些GAI助手的效益，越來越願意在工作流程中使用。</p> <p>讓我驚訝的是，不只是用量的倍增，而是結合了提示工程、HIS系統串接和簡單程式碼處理之後，可以讓GAI產出內容中的數字，統計到7月為止，一次都沒有出錯。不論是病摘中提到的病人身體狀況，診療數據，服藥紀錄，檢驗結果數據，都沒有出錯。甚至，他們幾乎靠提示工程，就能做到大部分的效果。他們的經驗，打破了我對生成式AI的擔心，有方法可以做到高度的準確性。</p> <p>另外有兩家金控的GAI開發成果，也開始展現出效益，不只找到有價值效益的內部場景，其中一家還將GAI用於對外正式服務。</p> <p>Line臺灣則有多位工程師在我們剛結束的Hello World開發者大會上，分享了打造購物平臺背後推薦系統的關鍵，也提到在傳統ML的特徵工程階段，用LLM來幫忙萃取商品規格等關鍵資訊，或是用LLM來強化對ML的可解釋性。這是iThome 1201期<a href="https://www.ithome.com.tw/article/165216" target="_blank"><span style="color:#3333ff;">封面故事「Line購物推薦系統大剖析」</span></a>的亮點之一。</p> <p>不過，這些企業也都提到，提示工程對於傳統軟體開發流程帶來很大衝擊，甚至有時候會扭轉開發人員在GAI專案中的角色。</p> <p>因為提示工程的門檻很低，人人都可以下指令，但只要指令稍有增減，也會產生不一樣的生成結果，需要反覆檢查，來確保生成內容的品質。再加上這些LLM生成的結果，高度貼近業務場景，需要領域知識豐富的資深業務或使用者，才有能力判斷好壞，有時只靠IT都無法辨識。這就導致，IT需要與業務人員來來回回，反覆驗證LLM生成的結果，互動次數遠高於敏捷開發的頻率，甚至有資訊主管認為，在生成式AI應用開發中，業務人員才是開發的主角。如何讓忙碌的業務老手，加入開發流程，分擔起開發責任，是一大挑戰，光是找到非技術人員也擅長的測試案例溝通工具，就不好挑選。</p> <p>若是更複雜的情況，專案中的不同角色，業務單位、PM、開發成員，人人都能自己手動修改提示，更容易讓LLM生成結果的品質上下波動、時好時差。</p> <p>針對這個新挑戰，每家企業各自發展出他們自己一套GAI開發和提示工程管理作法，有的靠熱情的資深使用者，發揮工人智慧的彈性，有的則調整IT與業務的協作方式，還有想要大規模應用的企業則是建立標準化的品管測試流程，或像Line則善用開源工具建立LLMOps管理平臺。</p> <p>這些作法雖然不同，都是依據各自GAI應用情境、效益期待、人才和軟硬體資源而衍生的好方法，都值得想要運用GAI的企業參考。他們各自發展出適合他們自己的GAI品管作法，不只是借重技術，甚至是需要講究運用的藝術。</p> <p>但最重要的是，從這些GAI先行者企業的實戰經驗，可以看到，生成結果的品質控管，將是打造GAI應用的關鍵課題。GAI品管，也將是企業IT需要學習、鍛鍊的新技藝。</p> <p><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"> </span></strong></span></span><span style="font-size: 22px;"><strong><span style="background-color: rgb(51, 153, 255);"><a href="https://www.ithome.com.tw/article/165216" target="_blank"><span style="color: rgb(255, 255, 255);">相關報導</span></a><span style="color: rgb(255, 255, 255);"> </span></span></strong></span><span style="color: rgb(255, 255, 255);"><span style="font-size: 22px;"><strong><a href="https://www.ithome.com.tw/article/165216" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1201-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=51VTAnQL" style="width: 550px;" /></a></strong></span></span></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/line">Line</a></div><div class="field-item odd"><a href="/tags/%E6%8E%A8%E8%96%A6%E7%B3%BB%E7%B5%B1">推薦系統</a></div><div class="field-item even"><a href="/tags/line%E8%B3%BC%E7%89%A9">Line購物</a></div><div class="field-item odd"><a href="/tags/%E6%8F%90%E7%A4%BA%E7%AE%A1%E7%90%86">提示管理</a></div><div class="field-item even"><a href="/tags/%E6%8F%90%E7%A4%BA%E5%B7%A5%E7%A8%8B">提示工程</a></div><div class="field-item odd"><a href="/tags/llm">LLM</a></div><div class="field-item even"><a href="/tags/%E8%AA%9E%E8%A8%80%E6%A8%A1%E5%9E%8B">語言模型</a></div><div class="field-item odd"><a href="/tags/llmops">LLMOps</a></div></div></div>
2024/9/27 13:11作者王宏仁https://www.ithome.com.tw/voice/165218
Automattic與WP Engine撕破臉，禁止WP Engine存取WordPress資源
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發WordPress的Automattic與提供WordPress代管服務的WP Engine，在本周四（9/26）正式撕破臉了，當天<a href="http://wordpress.org/news/2024/09/wp-engine-banned/" target="_blank">Automattic</a><a href="https://wordpress.org/news/2024/09/wp-engine-banned/" target="_blank">宣布</a>禁止WP Engine存取WordPress.org，意謂著由WP Engine代管的WordPress用戶，將無法直接自後臺系統執行更新或安裝WordPress主題與外掛程式。WP Engine則<a href="https://x.com/wpengine/status/1839246341660119287" target="_blank">批評</a>Automattic執行長Matt Mullenweg濫用了他對WordPress的控制權。</p> <p>Mullenweg不滿WP Engine已經很久了，他在9月21日發表<a href="https://wordpress.org/news/2024/09/wp-engine/" target="_blank">一篇文章</a>，宣稱WP Engine的行銷及廣告都令人誤以為該公司是WordPress的官方供應商，但在2018年收購WP Engine的私募股權公司Silver Lake，就算每年藉由WordPress創造5億美元的收入，但每周<a href="https://wordpress.org/five-for-the-future/pledge/wp-engine/" target="_blank">對WordPress專案的回饋</a>只有40小時，與其規模相當的Automattic，每周回饋時數高達3,988小時。</p> <p>此外，WordPress有一個Revisions修正功能，它會記錄使用者對文章或頁面的每一次更新，如同維基百科（Wikipedia），但WP Engine卻把它關閉了。Mullenweg認為，這是保護用戶資料的核心功能，WP Engine則為了節省成本而關閉了該功能。</p> <p>WP Engine宣稱自己是第一名的WordPress平臺，主要提供企業解決方案、工具及服務，已代管120萬個WordPress網站。<a href="https://x.com/wpengine/status/1838289970169287141" target="_blank">該公司反駁</a>Mullenweg的說法，認為WordPress的生態系統早就遠遠超過了核心的開源專案，他們自豪於對該系統的廣泛貢獻，相關攻擊是不真實的。</p> <p>雙方還互相寄送停終（Cease and Desist）信件，Automattic在23日要求WP Engine不得再未經授權使用WordPress與WooCommerce商標；WP Engine則在24日要求Automattic與Mullenweg停止並撤回對WP Engine的不實指控及有害言論；接著Automattic便在26日封鎖了WP Engine存取WordPress.org的能力。</p> <p>WordPress.org提供了免費的WordPress程式碼、主題、外掛程式，以及自動化的功能與安全更新，遭到封鎖的WP Engine<a href="https://wpenginestatus.com/incidents/640187" target="_blank">向用戶解釋</a>，這代表使用者無法再透過WP Admin安裝或更新主題及外掛程式，現階段對網站的效能、可靠或安全性並無影響，也不會危及使用者更新內容或程式碼。</p> <p class="rtecenter"><a href="http://wpenginestatus.com/incidents/640187" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0927-WP%20engine-Plugin%20and%20Theme%20Update%20Restrictions.png" style="width: 600px;" /></a></p> <p>造成騷動的Mullenweg透過<a href="https://ma.tt/2024/09/wordpress-engine/" target="_blank">另一篇文章</a>解釋了他的態度，指出WP Engine侵犯了 WordPress的商標，且Automattic長期以來一直試圖與WP Engine達成授權協議，但對方一直在敷衍，然後WP Engine便越過了底線。</p> <p>Mullenweg說，他們希望WP Engine支付授權費，或是對開源專案作出實際的貢獻，任何從開源專案賺進數億美元的企業都應該有所回饋，倘若企業不願意，那麼就不能使用相關的商標。WP Engine可以去找另一個採用授權更寬鬆且沒有商標的開源專案，若企圖自WordPress社群中受惠，便需尊重WordPress的商標與IP。</p> <p>一名WordPress核心開發人員<a href="https://www.reddit.com/r/Wordpress/comments/1fpeqn2/plugin_repository_inaccessible_to_wp_engine/" target="_blank">在Reddit上透露</a>，Mullenweg在行動前並未與WordPress貢獻者社群溝通，該社群目前陷入了巨大的沈默，並密切關注事件的發展。</p> </div></div></div>
2024/9/27 11:57作者陳曉莉https://www.ithome.com.tw/news/165222
Firefox被控侵犯用戶隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非營利的歐洲數位人權中心None of Your Business（NOYB）本周向奧地利資料保護機構<a href="https://noyb.eu/en/firefox-tracks-you-privacy-preserving-feature" target="_blank">（DSB）投訴</a>，指控Mozilla在Firefox瀏覽器中內建的隱私保護歸因（Privacy Preserving Attribution，PPA）在未取得使用者同意之前，便預設啟用，違反《歐盟通用資料保護規則》（GDPR）。</p> <p>Mozilla是在今年7月釋出的Firefox 128開始<a href="https://support.mozilla.org/en-US/kb/privacy-preserving-attribution" target="_blank">實驗PPA</a>，以替廣告主衡量廣告效果。它讓Firefox掌控歸因過程，捨去傳統的跨站追蹤技術，宣稱可減少廣告主對用戶行為的監控；例如當網站顯示廣告時，Firefox會記錄該廣告的印象，若用戶之後造訪廣告目標網站並執行諸如購買商品等重要動作，Firefox即會生成加密報告，再藉由分散式聚合協定（DAP）將結果匿名提交，廣告主只會收到匯總報告，無法辨識個別使用者的行為。</p> <p>NOYB認為，Mozilla企圖在不於各個網站蒐集個人資料的情況下衡量廣告效果，但事實上，有部分的追蹤能力直接轉移到Firefox上，雖然相較於在美國常見的無限追蹤，PPA的侵入性較小，但根據GDPR，它依然侵犯了使用者的權利，因為它並沒有取得使用者的明確同意。</p> <p>令NOYB更惱怒的是，Mozilla效能團隊的技術主管<a href="https://mastodon.social/@Schouten_B/112784434152717689" target="_blank">Bas Schouten在解釋</a>為何預設便啟用PPA，而非讓使用者主動加入（Opt-In）時，認為只有使用者可以作出明智決定時，Opt-In選項才有意義，因為要解釋PPA這樣的系統太難了，一個容易發現的退出（Opt-Out）選項再加上部落格的說明文章才是正確的。Schouten的態度等於是把大多數使用者都當作笨蛋。</p> <p>NOYB要求奧地利的DSB調查此事，命令Mozilla當主動告知用戶其資料處理活動，以讓使用者能夠方便地切換到Opt-In選系統，而Mozilla也應刪除所有非法取得的資料。</p> </div></div></div>
2024/9/27 10:14作者陳曉莉https://www.ithome.com.tw/news/165219
【專訪金管會綜規處處長胡則華】剖析金管會五大金融科技政策，關鍵推手揭更多執行細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年七月，金管會主委彭金隆提出了新的五大金融科技施政方向，涵蓋近20項措施。「會盡快落實法規，在市場上推出相關措施，協助臺灣金融科技發展。」彭金隆強調。</p> <p>彭金隆當時表示，這五項沒有涵蓋到所有的金融科技政策，而是彙整各方意見，找出金融業現階段迫切需要的方向，包括了擴大容錯空間加大創新領域、鼓勵金融業者團體合作研發技術、探索金融科技發展機會、支持純網路金融發展，和全方位引領金融科技發展。</p> <p>「鼓勵容錯是非常重要的改革方向。」金管會綜合規劃處處長胡則華補充。從2020年的金融科技路徑圖1.0，去年的路徑圖2.0，到新主委提出的五大金融科技策略，都是由金管會綜合規劃處負責推動，胡則華也是關鍵推手。她揭露了這五大金融科技施政方向更多的細節和新進展。</p> <p>胡則華解釋，過往，主管機關對金融機構的可容錯空間較狹窄，金融機構對金融科技業者的態度亦然，限制了整個市場的創新發展機會。因此，金管會期望先打開自己的觀念，透過鬆綁試辦和創新實驗，來鼓勵金融業者嘗試創新，「試了之後不行，或商業模式不好，甚至是不賺錢，最後不落地也無妨。」甚至，胡則華期待，未來能邀請金融業者交流失敗經驗，促進更開放的容錯文化，「就算是失敗經驗，也是非常好的經驗，能讓其他人不重蹈覆轍。」</p> <h3>大幅放寬業務試辦和創新實驗範圍</h3> <p>五大金融科技策略中，彭金隆提出的第一項策略，是要擴大容錯空間，加大創新領域，其中一項重要措施，是大幅放寬銀證保業務試辦和創新實驗範圍。</p> <p>胡則華解釋，過往試辦範圍僅限合法或處於模糊地帶的案例，即便申請案僅違反行政規則，也不能試辦。現在則是放寬限制，只要是金管會權責範圍內可調整的法規，即使違反現行規範，業者也能申請試辦。第一階段是開放公會和周邊單位的自律規範，以及金管會發布的行政規則、函釋作為試辦範圍。第二階段，則是納入金管會主政的法規命令、授權子法。</p> <p>今年八月初，已有銀行業者遞出首例試辦申請，要以「財務評估模型」作為辦理無擔保授信業務的評估方式。近期，保險業者也跟上，申請試辦旅平險集體彙繳件靠專屬網頁完成身分驗證，取代傳統親簽程序。</p> <p>除了放寬業務試辦範圍，彭金隆也要擴大創新實驗範圍。以往創新實驗申請條件嚴格，胡則華表示：「須要修法的案例才能申請，」並且，審核過程中，評估小組不只負責驗證個別實驗案商模和技術，還得評估新市場對金融業產生的影響。</p> <p>「如何確定一個小小實驗可以放大至市場？」胡則華指出，這個疑慮，是創新實驗案件審核嚴格的主因。因為一旦通過單一實驗案，等同開放了全新的金融服務市場。由於審核過程繁冗，漸漸地，業者申請意願降低，創新實驗案件逐年減少。</p> <p>彭金隆的策略是，開放不涉及修法的案例也能申請創新實驗，讓監理沙盒成為技術驗證場域。「類似背書、驗證機制，」胡則華舉例說明，未來新創業者欲推出創新服務或產品，可透過監理沙盒申請技術驗證，經評估小組審核後取得評估報告，「新創業者就能以評估報告向金融機構說明，這些服務或產品受人肯定。」</p> <h3>推動金融機構成立創投基金，促進金融科技業獲得資金挹注</h3> <p>彭金隆提出的第二項金融科技策略，是鼓勵金融業者打團體戰，除了開放金融機構能授權技術，讓小型金融機構能共享研發量能，也鼓勵業者共同投資金融科技技術和研發。這項策略不僅是針對金融機構，同時期望協助金融科技業者獲得更多資源。</p> <p>臺灣金融科技公司得到的投資金額，僅占所有新創公司獲得資金的 5.2%，遠低於國際上的14%，這個數據反映出，臺灣投資者對金融科技業的投資意願較低。</p> <p>「金融科技公司最大困難是資金。」胡則華解釋，這些業者主要投資者大多是傳統金融機構，常有一種「我投資你後，你的業務要提供給我用」的心態，這種「地盤」心態，導致金融科技業者難以爭取其他投資。甚至，目前臺灣能評估金融科技公司潛力的人才稀缺，更不利於金融科技業獲得資金挹注。</p> <p>金管會的作法是，推動金融機構聯合成立創投基金，多家金融機構成為有限合夥人，委託專門管理公司尋找合適的金融科技公司作為投資標的，如此一來，金融科技公司不會因此被貼標，資金成長空間能擴大，又能培養評估金融科技公司潛力的相關人才。這是胡則華近期最想促成的一項計畫之一。</p> <h3>虛擬資產監管採自律規範先行、傳統金融業者合作實驗實體資產代幣化</h3> <p>五大金融科技策略中，彭金隆特別針對虛擬資產提出相關措施，包括要推動實體資產代幣化、開放金融業辦理虛擬資產保管業務，和促進VASP規範化發展。</p> <p>金管會對虛擬資產的監管作法開始不一樣了。胡則華解釋，以往訂定監管法規，多由主管機關訂出監管框架，「現在則和虛擬資產業者合作訂立框架，讓產業生態圈能符合大家的需求。」例如，VASP業者採自律規範先行的監管模式，待自律規範發展成熟後，才會進一步形成VASP專法。</p> <p>今年六月，集保公司和六家金融機構成立「現實世界資產代幣化小組」（簡稱RWA小組），分為基金組和債券組，共同實驗相關技術和推動事宜。</p> <p>胡則華解釋，實體資產代幣化跟虛擬通貨保管緊密連結，先藉由成立工作小組，讓金融機構探討實體資產代幣化所需的基礎建設和法規調整方向，再逐步開放金融業辦理虛擬資產保管業務。她進一步透露，RWA小組預計今年12月開始POC，債券組預計採用聯盟鏈方式運作，基金組則預計採公鏈形式。</p> <h3>放寬純網銀業務範圍與線下活動限制，還要重啟純網保申請</h3> <p>除了虛擬資產，彭金隆也相當關注網路金融業的發展，計畫放寬純網銀業務範圍與線下活動限制，並將重啟純網保。業界習慣將網路銀行和網路保險公司，稱為純網銀、純網保，彭金隆曾指出：「深植人心的概念是，這類公司不可以有實體，但觀察國際的網路金融業並不全然如此。」因此，他表示，未來會以客戶體驗和安全角度，來考量網路金融業的業務擴展方向，「不會硬性規定一定要在網路上完成。」甚至，也計畫未來更大幅度檢討網路金融業政策，以貼近民眾需要和市場需求。</p> <h3>完善資料共享、金融Fast-ID驗證轉接中心預計年底開始試辦</h3> <p>彭金隆的最後一項金融科技策略，是全方位引領金融科技發展，包括要完善資料共享機制，續辦金融科技發展路徑圖和簡化金融數位身分驗證等措施。</p> <p>針對資料共享機制，胡則華表示，金管會預計年底前發布「金融機構資料共享之資料治理指引」，作為金融機構進行資料共享的參考依據，提供不同資料對應的資料保護機制。接著，金管會將著手修改金融機間資料共享指引，逐步開放非金融機構的金融業者參與資料共享。</p> <p>胡則華補充了另外一項做法，要從金融服務角度扶植創新，金管會在8月甫將「金融FIDO」更名為「金融Fast-ID」，就是為了實現這項政策。「不會只對金融業特別照顧，而是同時支持金融服務在新技術的運用和發展。」胡則華點出彭金隆主委的期望。透過金融Fast-ID，金融業能以驗證過的身分作為基礎，逐步將數位身分驗證應用擴展至其他產業，最終成為一個跨產業的數位身分驗證機制。</p> <p>金管會的作法，是先藉由金融Fast-ID驗證轉接中心，讓小型金融機構能運用大型金融機構驗證過的身份，接著讓金融周邊單位適用金融Fast-ID，最後再逐步擴展至跨領域場景。例如，胡則華提到，數位部MyData平臺開始計畫要採用金融Fast-ID，這意味著，其他政府機關提供的服務，未來也能用金融Fast-ID作為身分驗證機制。時程規劃上，胡則華表示，金融Fast-ID驗證轉接中心預計年底開始試辦，於明年六月正式運作。</p> <p>這些重大政策推動，未來將由金管會增設的金融市場發展與創新處統籌辦理。胡則華提到，彭金隆主委特別叮囑，未來這個單位需要即時了解外界想法，「尤其是法規面建議，」包括專家、學者，和業者意見。</p> <p></p> </div></div></div>
2024/9/27 10:23作者李昀璇https://www.ithome.com.tw/news/165186