iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 07:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】10月16日，臺灣區塊鏈旅宿平臺業者雲端儲存庫疑似因配置不當，而可能曝露旅客資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端環境的配置不設防情況，不時有事故傳出，但過往公布曝露危險的多半是國外的企業組織，而在最近一起資安事故裡，有研究人員發現臺灣區塊鏈業者所有的資料庫。</p> <p>值得留意的是，在此儲存桶曝露的個資當中，超過9成電話號碼都是臺灣用戶所有，實際影響情況有待後續觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165514"><strong style="font-size: 22px;">臺灣區塊鏈業者奧丁丁雲端儲存桶配置不當，76萬臺灣旅客訂房資料曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1016-Owlnest-600.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Owlnest-600.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Cybernews報導，臺灣區塊鏈旅宿平臺業者奧丁丁（OwlTing）雲端儲存桶配置不當，且未做好防護，導致約76萬旅客訂房資料，包含姓名、電子郵件信箱，曝露在公開網際網路上。</p> <p>研究人員指出，公開的儲存桶中內有超過16.8萬份CSV及XLSX格式文件，內容則是76.5萬名客戶的個資，包括全名、電話號碼、約3,000名消費者的電子郵件，以及飯店訂房資訊如訂房日期、房號、房型、入住和退房、支付金額、幣別及預約服務等。外洩的個資如電子郵件或電話號碼可能被用於垃圾郵件、詐騙郵件、詐騙電話或釣魚簡訊等攻擊。</p> <p>我們向奧丁丁集團詢問是否真有此事，他們表示，經初步調查，發現暫存於AWS雲端服務的部分資料可能遭到未經授權的訪問，其中包含大量重複的訂房資訊，已立即展開清查並採取必要措施，並強調對此事件高度重視。</p> <p><a href="https://www.ithome.com.tw/news/165513"><strong style="font-size: 22px;">駭客兜售竊自思科的開發、憑證資料，聲稱將殃及微軟、AT&T</strong></a></p> <p>根據資安新聞網站Bleeping Computer報導，惡名昭彰的初始入侵管道掮客IntelBroker本周二在駭客論壇聲稱，他們今年10月6日夥同分別代號為EnergyWeaponUser和zjj的2名駭客駭入思科網路，竊走大量資料。思科表示，他們啟動調查確認此事真偽。</p> <p>IntelBroker聲稱手中握有思科的資料類型包括GitHub與GitLab專案、程式原始碼、思科機密檔案、產品檔案、憑證、API token、公私鑰、客服資料，以及在Azure、AWS等雲端服務帳號資訊，似乎大部分與開發專案相關。此駭客提供部分檔案擷圖作為證明，但並未說明盜走的資料量。</p> <p>一名研究人員從IntelBroker公布的資訊發現，受這批資料外洩影響的企業包括AT&T、Verizon、T-Mobile US、Vodafone、微軟、SAP，以及能源巨擘雪佛龍（Chevron）等。</p> <p><a href="https://www.ithome.com.tw/news/165516"><strong style="font-size: 22px;">逾8萬臺Fortinet設備曝露於今年2月公告的RCE漏洞</strong></a></p> <p>10月9日美國網路安全暨基礎設施安全局（CISA）提出警告，今年2月Fortinet修補的重大漏洞CVE-2024-23113已出現實際攻擊行動，要求聯邦機構限期修補，這樣的情況Fortinet也在11日證實，他們得知有外部調查發現漏洞遭到利用的情況。然而，如今有資安研究機構提出警告，仍有不少設備尚未套用更新而曝險。</p> <p>Shadowserver基金會指出，他們在10月12日發現有87,390個IP位址的Fortinet設備疑似曝露於該漏洞風險，其中數量最多的是美國，約有1.4萬臺，日本、印度居次，分別約有5,100、4,800臺。我們查詢該基金會14日偵測到的資料，臺灣有3,823臺設備曝險。</p> <p><a href="https://www.ithome.com.tw/news/165512"><strong style="font-size: 22px;">開源套件進入點可被攻擊者用於指令劫持</strong></a></p> <p>資安公司Checkmarx揭露新一波針對Python開源軟體生態系的攻擊，攻擊者可利用軟體套件中的進入點（Entry Point）木馬化命令列工具。透過該手法，攻擊者能夠將惡意程式偽裝成常見的第三方工具或是系統命令，讓受害者無意間執行惡意程式碼，以達成攻擊開發環境和企業基礎設施的目的。</p> <p>這項新的開源供應鏈攻擊之所以值得注意，研究人員指出，其具有極高的隱蔽性和靈活性，能夠在不被察覺的情況下木馬化命令列工具，並執行惡意程式碼。由於該攻擊主要針對開發工具以及開源生態系中常見的進入點功能，讓攻擊者可以劫持開發過程中常用的指令，對開發者或是企業造成嚴重安全威脅，不僅影響日常開發工作，還可能導致敏感資料洩漏，或是危及基礎設施安全。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=175238&SPOKE_DATE=20241015&COMPANY_ID=2332"><strong style="font-size: 22px;">友訊發布重大訊息，證實外部網路伺服器遭到攻擊</strong></a></p> <p></p> <p>10月15日網路設備製造商友訊於股市公開觀測站發布重大訊息，表明有外網伺服器遭到攻擊，他們在第一時間察覺便透過切斷網路的方式避免影響範圍擴大，全面啟動防禦機制因應。</p> <p>該公司也邀集外部資料業者與技術專家協同處理，並進行全面盤點。而對於這起事故可能會造成的影響，他們強調公司營運一切正常，評估對財務及業務無影響。</p>  <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.kaspersky.com/about/press-releases/kaspersky-uncovers-pipemagic-backdoor-attacks-businesses-through-fake-chatgpt-application">木馬程式PipeMagic透過冒牌ChatGPT散布，攻擊沙烏地阿拉伯組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/edrsilencer-red-team-tool-used-in-attacks-to-bypass-security/">紅隊演練工具EDRSilencer遭濫用，駭客藉此繞過資安防護機制</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/researchers-uncover-hijack-loader.html">駭客利用偷到的憑證為惡意程式Hijack Loader簽章</a></strong></p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165523"><strong style="font-size: 22px;">工業用路由器存在重大漏洞，臺廠Moxa發布新版韌體修補</strong></a></p> <p>10月14日臺灣工控設備製造商四零四科技（Moxa）發布資安公告，指出旗下部分行動通訊路由器、安全路由器、網路設備存在高風險漏洞CVE-2024-9137、CVE-2024-9139，並指出這些漏洞有可能導致未經授權存取或是系統損壞的情況，呼籲用戶應儘速套用新版韌體因應。</p> <p>根據CVSS風險評分的高低，較為嚴重的是評為重大層級的CVE-2024-9137，該公司特別提及，這項漏洞攻擊者能在未經身分驗證的情況下，遠端觸發。此弱點發生的原因在於，設備在透過Moxa服務向伺服器發送命令的過程中，未實施身分驗證程序，而能允許攻擊者執行特定命令，並進行未經授權的上傳、下載組態檔案，或是造成系統受損，3.1版CVSS風險評為9.4分（4.0版為8.8分）。</p> <p>另一個漏洞CVE-2024-9139也相當危險，攻擊者利用未適當限制執行方式的指令，藉由作業系統命令注入手法發動攻擊，而有機會執行任意程式碼，3.1版CVSS對此漏洞的風險評為7.2分（4.0版為8.6分）。</p> <p><a href="https://www.ithome.com.tw/news/165528"><strong style="font-size: 22px;">企業協作平臺Team+修補重大漏洞，若未更新，攻擊者可能趁機非法存取與操縱檔案</strong></a></p> <p>本週臺灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安公告，指出互動資通旗下的企業協作平臺Team+存在3項漏洞CVE-2024-9921、CVE-2024-9922、CVE-2024-9923，影響13.5.x版Team+，呼籲使用者要升級至14.0.0版緩解相關資安風險。</p> <p>根據CVSS風險評分，最嚴重的是SQL注入漏洞CVE-2024-9921，起因是此協作平臺尚未妥善驗證特定網頁參數，導致未經身分驗證的攻擊者有機會遠端注入任意SQL指令，從而讀取、修改、刪除資料庫內容，CVSS風險評為9.8分。</p> <p>我們也向互動資通進行確認，該公司表示在發現後已儘速完成修復，並於2個月前提供新版程式給客戶使用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9486-cvss-9-8-kubernetes-image-builder-flaw-exposes-vms-to-root-access/">Kubernetes映像檔製作工具存在重大漏洞，恐曝露虛擬機器root權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9312-ubuntu-authd-flaw-allows-user-id-spoofing/">Ubuntu存在高風險漏洞，攻擊者有機會發動使用者ID欺騙攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165511"><strong>【10月15日】北韓駭客針對支付處理系統散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165488"><strong>【10月14日】Windows核心漏洞傳出遭伊朗駭客OilRig利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165452"><strong>【10月11日】Mozilla修補遭到利用的Firefox零時差漏洞</strong></a></p> </div></div></div>
2024/10/16 18:39作者周峻佑https://www.ithome.com.tw/news/165531
HPE開創網路管理平臺典範，提供全新介面、持續強化AIOps
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/central-g-topology-sun-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2015年上半，HP完成併購Aruba Networks之後，年底HPE拆分出來，HP原本的網路業務後續全交由附屬於HPE的Aruba Networks負責，<a href="https://www.hpe.com/us/en/newsroom/press-release/2023/03/hewlett-packard-enterprise-fortifies-network-security-with-acquisition-of-security-service-edge-provider-axis-security.html">從2023年3月開始，HPE Aruba Networking這個名稱浮出檯面</a>，成為代表目前HPE網路產品與服務的品牌，<a href="https://www.hpe.com/us/en/newsroom/blog-post/2023/04/introducing-hpes-simplified-brand-architecture.html">4月HPE公告旗下品牌架構整併與簡化</a>，並且正式說明對HPE Aruba Networking這個品牌的期許。</p> <p>而在這段融合與成長的過程當中，適逢雲端服務、SD-WAN、5G專網、SSE與SASE、AI等應用起飛，HPE網路產品與服務業務面臨轉型與擴充的壓力，除了本身努力拓展相關技術，也透過併購其他公司補足，因此，從2016年起，陸續買下Rasa Networks（網路效能管理與分析）、Niara（網路攻擊偵測與事故應變）、Cape Networks（監控與改善Wi-Fi網路）、Silver Peak（SD-WAN）、Athonet（軟體行動網路核心）、Axis Security（SSE），後續HPE也基於這些技術而推出多種解決方案，例如，我們曾報導的<a href="https://www.ithome.com.tw/review/120898">Aruba IntroSpect</a>、<a href="https://www.ithome.com.tw/review/123203">Aruba NetInsight</a>、<a href="https://www.ithome.com.tw/review/130083">Aruba ClearPass Device Insight</a>、<a href="https://ithome.com.tw/review/150364">Aruba Central NetConductor</a>。</p> <p>在這些產品服務當中，HPE從2021年近期積極發展IT即服務GreenLake之後，標榜採用雲端原生技術的網路管理平臺<a href="https://community.hpe.com/t5/around-the-storage-block/accelerate-faster-with-unified-data-operations-as-a-service/ba-p/7131815">Aruba Central，更是此系列解決方案順利推入企業市場的關鍵平臺</a>，因為GreenLake搭配的雲端管理主控臺<a href="https://www.ithome.com.tw/pr/157567">Data Services Cloud Console（DSCC）</a>，正是立足於<a href="https://www.ithome.com.tw/review/138599">Aruba Central</a>的基礎發展而成的。事實上，Aruba Central是在2022年3月整合到GreenLake，<a href="https://www.hpe.com/us/en/newsroom/press-release/2022/03/hpe-greenlake-edge-to-cloud-platform-delivers-greater-choice-and-simplicity-with-unified-experience-new-cloud-services-and-expanded-partner-ecosystem.html">HPE也在當時宣布推出網路即服務（NaaS）解決方案</a>，名為GreenLake for Aruba networking，<a href="https://community.hpe.com/t5/networking/hpe-greenlake-for-aruba-is-now-hpe-greenlake-for-networking/ba-p/7219017">2023年11月更名為GreenLake for Networking</a>。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/OEIjbIKzmCs?si=eDzGnv5lqi5EOOaw" title="YouTube video player" width="560px"></iframe></div> <p><a href="https://s4.itho.me/sites/default/files/images/Aruba AIOps-2022-07-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20AIOps-2022-07-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Aruba AIOps-2022-07-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20AIOps-2022-07-5.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Aruba AIOps-2022-07-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20AIOps-2022-07-3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Aruba AIOps-2022-07-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20AIOps-2022-07-4.jpg" style="width: 298px;" /></a></p> <p>到了今年，為了突顯HPE Aruba Networking的產品技術整合，以及他們持續拓展AI for Networking的應用發展，在6月下半與HPE Discover年度用戶大會同時舉行的Atmosphere '24期間，<a href="https://www.hpe.com/us/en/newsroom/blog-post/2024/06/the-road-to-hpe-discover-2024-is-paved-with-network-innovations.html">HPE Aruba Networking 也趁這個機會宣傳</a>與展示<a href="https://www.youtube.com/watch?v=AqUtKurKAj4">雲端網路管理平臺Central</a>的最新功能特色，首先最令人驚豔的是，提供突破傳統管理主控臺風格的嶄新操作介面，既有用戶可透過一鍵切換，快速轉換網頁管理介面的風格，透過雲端原生服務，集中監控與管理橫跨有線網路、無線網路、資料中心網路、廣域網路等多種環境，提供資安優先、AI驅動的網路管理方式。時隔3個月後，<a href="https://community.arubanetworks.com/blogs/gregory-weaver1/2024/09/18/experience-the-power-of-new-hpe-aruba-networking-c">HPE Aruba Networking宣告Central新一代的技術升級進入公開預覽階段</a>，當中擴充多種功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-3.jpg" style="width: 600px;" /></a></p> <p>其中最顯而易見的特色，是提供新型網頁介面的快速切換選擇，帶來直觀易用、以網路維運人員為中心的操作體驗，不論是在網路環境的初期建置到中期上線營運階段，均能因此受惠，大幅提升作業效率，而且能善用資料的價值與深層AI的功能。</p> <p> <a href="https://s4.itho.me/sites/default/files/images/Central-classic.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-classic.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central-New-NOC2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-New-NOC2.jpg" style="width: 298px;" /></a></p> <p> <a href="https://s4.itho.me/sites/default/files/images/New Central-switching.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-switching.jpg" style="width: 298px;" /></a> </p> <p>除此之外，Central的新介面也導入以人為本的設計理念，能將網路各種狀態資料的取得、詮釋、理解，以更普及與平等的形式供給，使不同資歷與技能等級的網管人員都能方便參閱。舉例來說，領域專家與一、二線支援工程師，均可搭配不同的資料集進行複合多種議題的障礙排除，以及設定、維護錯綜複雜的網路環境。</p> <p>關於新介面的成形，核心平臺很重要，HPE Aruba Networking表示，他們採用當代的雲端服務法則進行組建，期盼未來十年能以此服務客戶，當中的資料湖可供應近乎即時、精準的資料分析功能，而且背後有AI技術支撐整個系統的運作，可協助大規模、不同樣態的資料集進行交互關聯處理，提供多維度的資料透視能力，產生可採取後續行動的深層見解、更精確的根本原因解讀，以及建議的處理方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AIOps-2024-03-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-2.jpg" style="width: 600px;" /></a></p> <p>在此同時，HPE Aruba Networking也預告後續將加入的特色，預計年底開放大家試用部分功能。</p> <p>首先，整合第三方廠商網路設備的監控機制（源於<a href="https://www.hpe.com/us/en/newsroom/press-release/2023/03/hewlett-packard-enterprise-to-acquire-opsramp-advancing-hybrid-cloud-leadership-and-expanding-hpe-greenlake-into-it-operations-management.html">2023年3月併購OpsRamp</a>所得到的技術）。</p> <p>第二，為了能夠更順暢地管理大量網路設定，Central的網路設備管理將增添通用組態模型（common configuration model）的配置，而能囊括有線網路設備、無線網路設備、網路閘道產品，並且將提供新的階層式組態設定功能，以及90種新的應用程式介面（API）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AIOps-2024-03-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-3.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>提供聚焦網路營運作業的操作介面，導入創新的多維度檢視</strong></span></h3> <p>基於這樣的資料架構，Central新介面導入多種概念的操作特色，網管人員透過一目了然、以實體為主（entity-centric）或不同時間點的動態資料分析導覽方式，可加速網路探查、全面呈現網路在任何時間點的狀態，能夠簡化分類與分析作業，也因此形成新的監控、統計報告、障礙排除特色。</p> <p>其實，這些特色在2023年4月就已預告，當時HPE Aruba Networking宣布，Central經過重新設計，能透過AIOps技術的運用而減少手動作業，從而簡化網路維運工作與改善生產力。</p> <h4><span style="color:#FF0000;"><strong>太陽系儀表板</strong></span></h4> <p>首先，Central提供以網管人員為中心（operator-centric）的操作介面設計，提供簡單易用的體驗，使不同技能等級的人員都能上手，而這個特色稱為<a href="https://www.arubanetworks.com/techdocs/new-central-staging/content/trb-tools/trb-aos-s.htm?Highlight=solar">太陽系（solar system）的檢視或儀表板</a>，提供直觀的導覽、減少人員的認知負擔。</p> <p>具體而言，太陽系儀表板列出網管5大主題：網路（Networks）、個人端裝置（Clients）、應用程式（Applications）、安全性（Security）、警示（Alerts），右繞在網頁介面左側的站點（site）形成可快速點選的主選單，就像多個行星環繞太陽。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AIOps-2024-03-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-6.jpg" style="width: 600px;" /></a></p> <p>若點選「網路」，可檢視區域網路、無線區域網路、廣域網路的網路設備（Devices），涵蓋Wi-Fi基地臺、交換器、閘道的連線組態、正常運作期間；點選「個人端裝置」，呈現網域使用者與連網裝置的存取組態／連至網際網路經過的網路設備、用量／連線效能、類型、行為／事件記錄。點選「應用程式」，會列出使用者存取的網路應用程式與網站類型，並且呈現效能表現分數／數位體驗品質、網路資源用量、資安風險評估程度（可信任度），以及這是否屬於企業批准的應用或網站。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-Devices.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-Devices.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-Applications.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-Applications.jpg" style="width: 600px;" /></a></p> <p>如果選擇「安全性」，網管人員可查看身分認證與授權的政策、入侵偵測系統或入侵防禦系統（IDS/IPS）、安全防護與服務品質確保政策的遵循、行為異常、威脅分數計算；假使按下「警示」，網管人員能夠針對連線、效能、組態、運作狀態的健全度，獲得AI輔助的問題診斷資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-alert.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-alert.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-alert2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-alert2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-alert3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-alert3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-alert4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-alert4.jpg" style="width: 298px;" /></a></p> <h4><span style="color:#FF0000;"><strong>日光輻射檢視</strong></span></h4> <p>針對實體與邏輯網路架構拓樸的呈現，<a href="https://www.arubanetworks.com/techdocs/new-central-staging/content/tplgy/tplgy-sunburst.htm">Central提供日光輻射型態檢視（sunburst views）</a>，將大型、錯綜複雜的網路轉換成多個層次的圖解。網管人員按下右上角「Toplogy」的圖示之後，可透過多層扇形色塊環繞分布的形式，呈現選定的站點環境當中，以實體互連的所有網路設備，網管人員能快速檢視每個站點的網路狀態是否正常運作，以及未列管的網路設備。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AIOps-2024-03-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-5.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central Sunburst1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central%20Sunburst1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/New Central Sunburst2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central%20Sunburst2.jpg" style="width: 298px;" /></a></p> <p>透過這樣的鳥瞰檢視方式，提供實體與邏輯連結的網路架構圖解，以及不同層級網路環境的效能，而且，各種屬性會散置於單一的轉換快照之中。HPE Aruba Networking表示，對於大型、錯綜複雜、階層的資料而言，此種互動式圖解是公認理想的設計模型，適用各種規模的網路環境，網管人員能運用最有效率的圖表呈現形式，透過快速尋找、縮放、轉動等方式進行導覽，並且針對不同網路元件套用多個圖解層級的顯示，如同操作Google地圖，查看網路運作的組態與狀態，進一步了解網路分段、連線接取方式、健康狀態、所在位置、是否處於上線狀態、熱絡與聚集程度（heat-maps）等屬性，而且能以動態分層（dynamic layers）的方式展現這些資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-new-Sunburst4.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/New Central-Sunburst4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-Sunburst4.jpg" style="width: 298px;" /></a></p> <h4><span style="color:#FF0000;"><strong>網路時間旅行</strong></span></h4> <p>Central提供業界首創的<a href="https://www.arubanetworks.com/techdocs/new-central-staging/content/udl/udl-slct-time.htm">網路時間旅行（network time travel）檢視功能</a>，將網路的即時資料點（point-in-time）進行結合脈絡的交互關聯處理，網管人員可透過滑動操作方式，更廣泛而有效率地查看網路在不同選定時間的狀態記錄，毋須再透過麻煩、累贅的方式，也能分析事件、記錄、擷取的封包。有了這樣可延展規模的網路拓樸檢視功能，網管人員只需透過幾個滑鼠點選動作，就能快速移至網路問題發生的可能時間點，以便查看細部資訊、找到出事的位置與理解成因，進而排除障礙。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central-Net Time Travel-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-Net%20Time%20Travel-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AIOps-2024-03-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-4.jpg" style="width: 600px;" /></a></p> <p>基本上，此項功能會搭配儲存事件、狀態、組態設定、記錄、統計報告與警示的複合資料集，建立一系列快照，網管人員只需透過滑鼠移動至所要查看的期間，就像按下倒退鍵，可拼湊出資訊、判斷問題的根本原因，HPE Aruba Networking認為，這能大幅改變、重新定義網路障礙排除的做法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Time%20Travel-A.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Time%20Travel-B.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Time%20Travel-C.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Time%20Travel-D.jpg" style="width: 600px;" /></p> <p>立足於上述新功能，Central還提供新的網路營運中心（Network Operator Center，NOC）儀表板，能夠針對多個地理區域的網路，提供更快速、更詳細的監控機制與統一的洞察分析。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-NOC-web.jpg" style="width: 600px;" /></p> <p>除此之外，Central現在也原生整合使用者體驗洞察（UXI），藉此擴充數位體驗監控（DEM）功能，而由於Central可結合UXI感測器使用，也促成IT人員能夠集中監控服務等級協議的遵循程度，而且，從使用者到應用程式均可控管。</p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-7-APP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-7-APP.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-6-UXI1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-6-UXI1.jpg" style="width: 298px;" /></a></p> <h3><strong><span style="color:#0000FF;">擴充AI輔助網路營運功能，持續增加自建生成式AI模型</span></strong></h3> <p>不只是操作介面迎接巨大變革，Central另一個長期發展的特色是提供AI洞察分析（AI insights），由於客戶快速增長，這項特色促成Central提供多種新功能，像是：改良的網路設備組態設定引擎、強化的網路可觀測性（network observability），以及AI生成的網路最佳化配置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AI Insights.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AI%20Insights.jpg" style="width: 600px;" /></a></p> <p>在2023年4月，HPE Aruba Networking預告Central將具備下列三種AIOps功能。首先，針對網路設備運作狀態與個人端體驗的管理，提供智慧型的擔保指標，加速第一線的網路故障資訊分類；第二，運用AI提供整個網路軟硬技術堆疊的洞察分析，強化根本原因分析、影響評估，以及精準建議的生成；第三，針對網路初期規畫與中期部署的工作流程，在不需顧慮網路設備與連網裝置的品牌差異之下，能提供100％的API支援，實現大規模的網路組態自動設定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central-root cause analysis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-root%20cause%20analysis.jpg" style="width: 600px;" /></a></p> <p>今年3月，Central的AIOps功能擴充有新進展，因為當中整合了多個自建的生成式AI大型語言模型。之所以能產生這些機器學習模型，源於HPE Aruba Networking本身建立的資料湖，收集將近4百萬臺列管的網路設備，以及超過10億臺用戶端點設備的遙測資料，後續透過這些大數據，促成預測性分析與推薦能力；而關於AI模型的設計方式，這裡也導入創新的預先處理與安全護欄機制，以改善使用者體驗與營運作業效率，並著重搜尋回應時間、準確度與資料隱私的處理效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central-Coverage-telemetry.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-Coverage-telemetry.jpg" style="width: 600px;" /></a></p> <blockquote><p>經過長期的發展、擴充與整合，HPE Aruba Networking Central這套雲端管理平臺，可橫跨多種網路環境，涵蓋區域網路、廣域網路、有線網路、無線網路、資料中心網路，以及邊緣運算網路，能夠管理自家多種網路設備、各種應用系統連網效能、個人端連網體驗。</p> </blockquote> <p>這些大型語言模型會納入Central的AI搜尋功能，再以此補足Central既有的機器學習AI，提供更深層的洞察見解、資料分析，以及更豐富的主動處理能力。</p> <p>AI搜尋先前就已採用多種大型語言模型，使Central能夠提升對話與摘要功能的速度、精準度，以及安全性，可運用進階的自然語言處理技術，更快找到網路環境的問題答案，提供更強大的搜尋體驗，而這些特色預計4月供應全球用戶。</p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-5-AI Search1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-5-AI%20Search1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-5-AI Search4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-5-AI%20Search4.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-5-AI Search2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-5-AI%20Search2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-5-AI Search3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-5-AI%20Search3.jpg" style="width: 298px;" /></a></p> <p>等到納入HPE本身訓練與調校的大型語言模型之後，Central會執行AI搜尋的引擎更換工作，用戶操作AI搜尋時，可在維持原有外觀介面的形式上，獲得更好的精準度、回應時間，以及資料隱私保護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central-AI Search how it works.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-AI%20Search%20how%20it%20works.jpg" style="width: 600px;" /></a></p> <p>關於精準度提升，HPE Aruba Networking運用專屬已訓練與調校的大型語言模型，而且，進行模型訓練的資料規模相當龐大，可達到其他雲端平臺的10倍，當中涵蓋自家人員撰寫的數萬份文件，以及自客戶端擷取、超過3百萬個AI搜尋提問而成的可延伸式基礎資料集，能夠增進AI搜尋理解用戶輸入問題的意圖，並且答覆用戶以網路行話描述的問題，並提供預先輸入、自動補足問題敘述的功能，以及進行搜尋互動過程的圖形介面導引——可直接切換至想要操作的圖形介面項目，進而提升回應品質與用戶滿意度。</p> <p>針對如何設定或啟動特定功能的問題，Central AI搜尋所用的生成式AI功能，可針對大量查詢結果，產生類似人為摘要處理過的答案，並提供得以進行生成式輸出的基礎文件網址連結，如此可大幅節省網管人員尋找文件答案的時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-4.jpg" style="width: 600px;" /></p> <blockquote><p>關於AI與網路應用之間的關係，可分為Networking for AI、AI for Networking，後者是HPE Aruba Networking這幾年持續發展的主題，產品技術長David Hughes表示，先前他們已持續投入AI分類的技術應用，如Client Insights，近期也積極運用生成式AI，強化AI搜尋的自然語言處理能力。</p> </blockquote> <p>至於安全與隱私保護，HPE Aruba Networking建置多個就地進行AI訓練與本身管理的大型語言模型，強化生成式AI的理解與內容提供品質之餘，由於能透過他們設置與管理的資料湖而不需經由外部API查詢，能降低相關的資料外洩風險；更特別的是，他們在此也設計出專屬語言模型，可用於判斷存取的個人識別資料（PII）與企業識別資料（CII），能協助Central的AI搜尋，更清楚理解用戶輸入的個人端裝置與站點名稱查詢，提供更精準的答案，而且能在1秒之內回覆網路營運相關問題，對於他們進行AI訓練的資料湖，能夠混淆、移除當中的識別資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AI Serach before after.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AI%20Serach%20before%20after.png" style="width: 600px;" /></a></p> <p>而在6月舉行的Atmosphere '24期間，HPE Aruba Networking表示，AI insights數量擴增至3倍，資料湖的遙測對象涵蓋超過16億個用戶端點，以及460萬臺網路列管設備。基於這樣的規模，添加更多模型，以便預測特定組態變更後的效能提升，模擬啟用資安功能之後面臨的風險，調校網路運作效率而能省下電力，並且推薦更適合使用的資安政策。</p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-2.jpg" style="width: 600px;" /></a></p> <blockquote><p>HPE Aruba Networking設置專屬資料湖，匯集的資料規模相當龐大，產品技術長David Hughes在6月的Atmosphere '24大會期間表示，他們的遙測資料，涵蓋超過10億臺用戶端點、四百多萬網路設備、數萬名用戶、三十多種垂直產業，以此訓練、執行AI模型，挖掘洞察分析、標示異常活動，協助更快解決問題。</p> </blockquote> <h3><a href="https://s4.itho.me/sites/default/files/images/Central Network Optimization-AI0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Network%20Optimization-AI0.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central Network Optimization-AI1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Network%20Optimization-AI1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central Network Optimization-AI2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Network%20Optimization-AI2.jpg" style="width: 198px;" /></a></h3> <h3><span style="color:#0000FF;"><strong>新增資安層面的可觀測性呈現與監控功能</strong></span></h3> <p>因為邊緣運算與AI應用的拓展，以及開放員工自帶手機、筆電（BYOD）、工作現場或廠區的業務應用設備，企業網路環境可能存在大量非列管的物聯網裝置，以及IT與OT連網設備，對於HPE Aruba Networking而言，Central支援ClearPass Device Insight，透過這樣的選用功能，提供進階的裝置探查（Device Discovery）、進階的裝置分類（Device Classification）、裝置監控（Device Monitoring）。</p> <p>在今年5月初舉行的2024 RSA資安大會期間，HPE Aruba Networking宣布Central新增AI驅動的物聯網探查與分類功能，能夠透過提供強化的連網裝置能見度與身分識別，以及持續監控不常見或非法的行為，而能呈現物聯網資安風險。</p> <p>而且，Central搭配基於Central的Client Insights服務而成的AI組態剖析（AI-powered profiling），本身可運用多個機器學習模型，分析動態裝置的屬性——涵蓋流量模式，以及連線狀態、網路常駐（network residency）等行為特徵，以便精準分類、辨識這些裝置屬於物聯網設備或傳統設備。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central Client Insights AI Model.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Client%20Insights%20AI%20Model.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Central Client Profiling-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Client%20Profiling-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central Client Profiling-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Client%20Profiling-2.jpg" style="width: 298px;" /></a></p> <p>此外，Central本身的AIOps功能，先前就能用來建立自動化的網路活動基準，以便進行障礙排除與矯正作業，如今Central可運用AI將上述機制延伸到個別連網裝置，能促成更精準、自動的數位指紋採集與分析，以此支援零信任資安，並且可運用行為基準（behavior baselines）的作法，標示已遭駭與受到攻擊等異常部分。</p> <p>Centra的AI組態剖析也加入其他改善資安的AI功能，例如運用AIOps與機器學習模型，能在Wi-Fi基地臺持續一段期間都處於低度活動狀態，而令其休眠，可藉此免除惡意活動潛入的機會、縮小攻擊面。</p> <p>時隔3個月後，HPE Aruba Networking宣布Central擴增新的資安功能：基於行為分析而成的網路偵測與應變（behavioral analytics-based NDR）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central-NDR-2024-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-NDR-2024-06-1.jpg" style="width: 600px;" /></a></p> <p>這項NDR同樣運用HPE Aruba Networking本身維護與管理的資料湖，進行AI模型的訓練與部署，可針對支援關鍵業務應用流程、卻具有資安弱點的物聯網設備，進行異常活動的監控與偵測。隨著物聯網在企業環境扮演的角色日益吃重，例如，能提供更多資料進行AI訓練與建構生成式AI模型，企業對於網路流量模式、連線狀態、動態裝置屬性變化的偵測需求，也日益急迫，因為透過這些資訊的彙整分析，可協助用戶察覺物聯網設備是否已遭到入侵。</p> <p>透過AI驅動的行為分析，Central的NDR能突顯整個網路存在的不尋常活動，以及潛藏的資安威脅，它會細心監督流量模式與裝置屬性的異動，提供即時的深入分析，以便及早發現資料外洩行為，也會偵測異常狀況、提出明智的政策設定建議，以強化網路主動防禦能力，適應日趨複雜的數位環境，而且，能整合既有設定、無需為此建置額外的硬體設備。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central Optimization recommendation1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Optimization%20recommendation1.jpg" style="width: 600px;" /></a></p> <p> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>HPE Aruba Networking Central</strong></span><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●解決方案供應型態：SaaS雲端服務、on‑premises企業自建自管、VPC虛擬私有雲、NaaS網路即服務、代管服務模式<br /> ●支援網路設備：Wi-Fi基地臺Instant AP系列、AOS-S交換器系列、AOS-CX交換器系列、閘道系列（SD-WAN、WLAN/VPN）<br /> ●管理單位：群組、站點、標籤<br /> ●控管功能：統計報表、狀態監控、事件與警示通知、組態設定、AI深層洞察分析</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/10/16 18:23作者李宗翰https://www.ithome.com.tw/review/165335
美國防部10月15日公布CMMC 2.0版，12月16日開始分階段實施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國的國防工業基地（Defense Industrial Base，DIB）業者，國防部（DoD）區分為一線供應商（承包商）和二線供應商（分包商），這些業者若面臨處理、傳輸和儲存與聯邦合約資訊（Federal Contract Information，FCI）以及受控未分類資訊（Controlled unclassified information，CUI），都需要依據保護相關資料所面臨的網路安全風險，取得「網路安全成熟度模型認證（Cybersecurity Maturity Model Certification）」，簡稱CMMC。</p> <p>經過長期的研擬，10月15日這天，美國國防部將CMMC 2.0最終版（Final Rule）公布在聯邦公報（Federal Register），六十天後（12月16日）正式生效；此次CMMC 2.0版將原先1.0版的五個等級認證，簡化成為三個等級，以三年、四個階段實施三個等級的認證，預計2027年12月16日全面納入國防採購合約。</p> <p>CMMC 2.0版認證的主要目的，就是要評估美國國防部相關承包商與供應鏈業者的網路安全防護能力，而2.0版的修訂，不只是希望確保承包商能夠遵循最佳實務做法，以保護網路上的敏感資訊，同時也使中小型業者（SMB）更容易遵守這些規範。</p> <h2><strong>規範國防承包商保護FCI和CUI的網路安全措施</strong></h2> <p>CMMC 計劃源自於美國國防部長期以來為保護國防工業基地的數據安全所做的努力。在該項計畫啟動之前，許多國防承包商依賴於自我聲明（self-attestation）的方式，確認其網絡安全措施是否符合 NIST SP 800-171 的要求。然而，隨著網絡威脅的不斷增長，這種方式存在許多不足之處，導致 DoD無法全面掌握承包商是否真正落實所需的安全控制。為了提高透明度與安全性，國防部 2019 年正式宣布 CMMC計畫，旨在通過第三方評估認證制度，加強對承包商網絡安全狀況的監管。</p> <p>推動CMMC的目的是驗證國防承包商，是否遵守針對聯邦合約資訊（FCI）和受控未分類資訊（CUI）的現有保護措施，並在與網路安全威脅（包括APT威脅）風險相稱的級別保護該資訊。</p> <p>CMMC 2.0版將評估等級，從原先1.0版的五個減少到三個，簡化中小企業取得認證的流程。該版也明定三個等級的認證內容，必須符合聯邦採購條例第52.204-21部分（Federal Acquisition Regulation part 52.204-21）以及美國NIST SP 800-171第2版和SP 800-172對網路安全的要求，更明確指出CMMC第三級認證必須遵守的24項NIST SP 800-172的要求。</p> <p>《聯邦法規彙編》（Code of Federal Regulations）的第32篇（32 CFR）規範美國國防部政策、管理和行政職能，CMMC相關規範就屬於32 CFR的一部分，針對處理聯邦合約資訊和受控未分類資訊的國防承包商，提供明確的網路安全規範，確保國防工業基地（DIB）的資訊安全。</p> <p>聯邦合約資訊是指由美國政府提供，或由承包商在履行合約時所生成的未公開信息，不屬於受控未分類資訊，但仍需基本保護，而處理FCI的國防承包商需達到CMMC第1級認證的要求。</p> <p>至於受控未分類資訊，則是需要根據法律、政策或合約進行特別保護的敏感訊息，包括國防技術與數據、個人身分資料（PII）等，處理這類資訊的國防承包商，需達到CMMC第2級或CMMC第3級認證的要求。</p> <h2><strong>CMMC 2.0版的三個認證等級和實施時間</strong></h2> <p>CMMC源自美國總統歐巴馬2010年11月4日簽署行政命令13556，該命令要求建立統一的計畫管理受控非分類資訊，希望針對政府內部管理未分類但需要保護的資訊，卻面臨不同保護標準的問題，提出解決之道。</p> <p>美國國防部（DoD）2019年宣布開始發展CMMC，希望為美國國防工業基地建立更為嚴格的網路安全框架，因應日益複雜的網路威脅；而之所以提出CMMC，目標就是取代過往自我驗證的安全模式，以強化網路安全要求。</p> <p>在2020年9月29日，美國國防部在聯邦公報（Federal Register）發布CMMC 1.0版的臨時最終規則（final rule），確立CMMC 1.0的基本框架，不僅定義了逐步實施CMMC的初步計畫，美國國防部也開始進行五年的分階段實施計畫。</p> <p>CMMC 1.0版於2020年11月30日正式生效，意味著五年分階段實施計畫開始執行，美國國防部也要求國防產業承包商，必須取得CMMC相關認證以履行合約。</p> <p>在2021年11月，美國國防部針對來自業界和大眾意見，發布CMMC 2.0版修正草案，將CMMC認證層級從原先的五個層級減至三個，目的在於簡化承包商的合規過程，並確保有效的網路安全措施得以實施。</p> <p>直到今年10月15日，CMMC 2.0最終版（final rule）才公布在聯邦公報（Federal Register），並於六十天後（今年12月16日）正式生效；另外，在三年內，也將分成四個階段實施CMMC認證。</p> <p>而國防工業基地（DIB）相關的企業也應採取相關行動，評估其對現有資安要求的遵守情況，以及是否準備好遵守CMMC評估。另外，國防工業基地的成員也能用雲服務的產品，滿足網路安全要求，這些都必須作為CMMC要求的一部分進行評估。</p> <p>CMMC對國防供應鏈管理有直接的影響，根據這當中的要求，主要承包商必須確保其供應鏈中的所有分包商，同樣符合相應等級的安全要求。這意味著，任何與FCI或CUI有關的資料數據，只要流通到供應鏈的任何一個環節，該環節的承包商都需達到相應的CMMC認證標準。</p> <h3><span style="color:#0000CD;"><strong>第一階段：CMMC第1級認證─—自我評估</strong></span></h3> <p>CMMC第1級認證要求就是要做到「基本網路安全防護」，自2024年12月16日開始實施，主要適用對象是：針對處理聯邦合約資訊的承包商，必須符合《聯邦採購條例》（FAR）52.204-21的15項安全控制措施，而這些主要是保護非敏感信息的基本措施。</p> <p>至於評估方式，主要是相關的承包商要做自我評估（Self-Assessment），每年更新一次，將自評結果記錄在供應商績效風險系統（SPRS）。</p> <h3><span style="color:#0000CD;"><strong>第二階段：CMMC第2級認證──自我評估及第三方評估機構（C3PAO）評估</strong></span></h3> <p>CMMC第2級認證要求就是要做到「中等網路安全防護」，自2025年12月16日開始實施，主要適用對象是：針對處理受控未分類資訊的承包商，必須在FAR規定的基礎上，做到符合NIST SP 800-171第2版中所規定的110項安全措施，這些安全措施對CUI的保護，要求比CMMC第1級認證更嚴格，適用於更敏感的信息，需要更高級別安全防護的承包商。</p> <p>至於評估方式有兩種，第一種是承包商可以選擇自我評估（Self-Assessment），要求承包商定期進行完整的網路安全檢查，確認其組織已經實施並符合NIST SP 800-171第2版的110項網路安全要求，這些要求涵蓋了資料保護、存取控制、以及系統安全等範疇，適用於處理CUI的環境。</p> <p>這個自我評估必須每三年進行一次完整的自我評估，並確認其符合所有要求，這些自我評估的結果都需要記錄在供應商績效風險系統（SPRS）中；在三年內都必須保持合規的同時，承包商還需每年進行一次自我確認（Annual Affirmation）來確認其安全狀況沒有改變。</p> <p>如果承包商在評估過程中未能完全符合安全要求，承包商會暫時獲得「有條件」的認證資格，但必須制定行動計畫與里程碑（POA&M），在180天內完成所有剩餘的安全要求，否則其資格將失效。</p> <p>第二種評估方式就是，聘請第三方評估機構（C3PAO）針對處理受控非分類資訊（CUI）承包商進行評估，同樣必須做到NIST SP 800-171第2版的110項網路安全要求，而第三方評估機構也會針對承包商的系統、政策和實施過程進行檢測和驗證。</p> <p>第三方評估的結果也會記錄在，國防部用來記錄和管理承包商的網路安全狀態的CMMC eMASS（Enterprise Mission Assurance Support Service）專用系統中，認證完成後，也必須要將結果提交到供應商績效風險系統（SPRS），以確認美國國防部可以追蹤承包商的網路安全評估結果以及合規狀態。</p> <p>第三方評估機構（C3PAO）也會將評估的結果提供給承包商，合格的承包商也會獲得認證，認證有效期限為三年。倘若接受檢測的承包商有任何安全要求尚未達標，承包商可以制定行動計畫與里程碑（POA&M），來完成剩餘的、尚未達標的安全要求，但這些計畫必須在180天內完成並進行改善，否則其資格將失效。</p> <p>至於，CMMC第2級認證中，自我評估及第三方評估機構（C3PAO）評估的差異，主要在於評估方式的嚴謹性。</p> <h3><span style="color:#0000CD;"><strong>第三階段：CMMC第3級認證─由政府單位DIBCAC主導的評估</strong></span></h3> <p>CMMC第3級認證就是要做到「高級網路安全防護」，自2026年12月16日開始實施，這一階段需要更加嚴格的網路安全控制措施和第三方評估。</p> <p>主要適用對象是：處理高度敏感受控非分類資訊（CUI），或涉及與國防相關的承包商，在CMMC第2級認證的基礎上，做到符合NIST SP 800-171的110項安全措施外，還需額外增加NIST SP 800-172中的24項加強安全要求的措施。</p> <p>主要是針對需要高度安全的系統，尤其是涉及國家安全的關鍵技術或數據，會由國防部國防合約管理局（DCMA）網路安全評估中心（DIBCAC）主導CMMC第3級認證的評估。</p> <p>這是一個由政府主導的評估認證，評估的結果也會記錄在，國防部用來記錄和管理承包商的網路安全狀態的CMMC eMASS（Enterprise Mission Assurance Support Service）專用系統，不僅每三年需更新一次評估結果，也需要將結果提交供應商績效風險系統（SPRS）。</p> <h3><span style="color:#0000CD;"><strong>第四階段：CMMC將全面納入國防採購合約</strong></span></h3> <p>自2027年12月16日起，所有國防部相關合約將全面納入CMMC認證規範，所有涉及聯邦合約資訊（FCI）或受控非分類資訊（CUI）的合約，都必須達到指定的CMMC認證層級，並且符合合約中所有的網路安全控制措施，才能夠參與合約的競標和履行。</p> <p>CMMC的要求將從2024年12月16日起，逐步被納入國防部的合約，逐步擴展到更多國防部的合約中，特別是涉及更高敏感度數據（CUI）的合約。到2027年達到全面覆蓋。</p> <p>分階段實施CMMC認證，就是希望逐步加強對國防承包商的網路安全要求，提供足夠的時間，讓國防承包商可以達到所需的安全標準，並完成相關的安全控制措施。</p> <p>推動CMMC帶來的優勢，包括：保護敏感資訊以支援和保護作戰人員；實施國防工業基地（DIB）網路安全標準，以應對不斷變化的網路威脅；確保問責制，同時最大限度地減少遵守美國國防部（DoD）要求的障礙；延續網路安全和網路彈性的協作文化；通過高專業和道德標準，維護公眾信任，</p> <p>另外，國防工業基地（DIB）的成員，也可以使用雲服務產品滿足網路安全要求，這些要求，必須作為CMMC認證要求的一部分進行評估。</p> <p>美國國防部的後續國防聯邦採購法規補充（Defense Federal Acquisition Regulation Supplement，DFARS）規則變更，將於2025年初至中期發布，並以合約方式實施CMMC計畫；一旦DFARS規則生效，國防部便會在招標和合約納入CMMC要求，作為簽訂合約的條件，相關需要處理、儲存或傳輸聯邦合約資訊或受控未分類資訊的承包商，都必須取得相對應的CMMC認證級別。</p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/10/16 17:51作者黃彥棻https://www.ithome.com.tw/news/165527
企業協作平臺Team+存在重大漏洞，攻擊者有機會進行未經授權存取、操縱檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週臺灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安公告，指出互動資通旗下的企業協作平臺Team+存在3項漏洞<a href="https://www.twcert.org.tw/tw/cp-132-8124-d9b92-1.html">CVE-2024-9921</a>、<a href="https://www.twcert.org.tw/tw/cp-132-8126-5d9d2-1.html">CVE-2024-9922</a>、<a href="https://www.twcert.org.tw/tw/cp-132-8128-772aa-1.html">CVE-2024-9923</a>，影響13.5.x版Team+，呼籲使用者要升級至14.0.0版緩解相關資安風險。</p> <p>根據CVSS風險評分，最嚴重的是SQL注入漏洞CVE-2024-9921，起因是此協作平臺尚未妥善驗證特定網頁參數，導致未經身分驗證的攻擊者有機會遠端注入任意SQL指令，從而讀取、修改、刪除資料庫內容，CVSS風險評為9.8分。</p> <p>其餘2個漏洞CVE-2024-9922、CVE-2024-9923，皆為路徑穿越漏洞，當中危險程度較高的是CVE-2024-9922，攻擊者可在未通過身分驗證的情況下，用來讀取任意檔案，CVSS風險評為7.5；另一個漏洞CVE-2024-9923，則能用來搬移檔案，攻擊者必須事先得到管理員權限，才能遠端將任意檔案移動到網站根目錄並進行存取，CVSS評分為4.9。</p> <p>我們也向互動資通進行確認，該公司表示在發現後已儘速完成修復，並於2個月前提供新版程式給客戶使用。</p> </div></div></div>
2024/10/16 18:03作者周峻佑https://www.ithome.com.tw/news/165528
工業用路由器存在重大漏洞，臺廠Moxa發布新版韌體修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月14日臺灣工控設備製造商四零四科技（Moxa）發布資安公告，指出旗下部分行動通訊路由器、安全路由器、網路設備<a href="https://www.moxa.com/en/support/product-support/security-advisory/mpsa-241154-missing-authentication-and-os-command-injection-vulnerabilities-in-routers-and-network-security-appliances">存在高風險漏洞CVE-2024-9137、CVE-2024-9139</a>，並指出這些漏洞有可能導致未經授權存取或是系統損壞的情況，呼籲用戶應儘速套用新版韌體因應。</p> <p>根據CVSS風險評分的高低，較為嚴重的是評為重大層級的CVE-2024-9137，該公司特別提及，這項漏洞攻擊者能在未經身分驗證的情況下，遠端觸發。此弱點發生的原因在於，設備在透過Moxa服務向伺服器發送命令的過程中，未實施身分驗證程序，而能允許攻擊者執行特定命令，並進行未經授權的上傳、下載組態檔案，或是造成系統受損，3.1版CVSS風險評為9.4分（4.0版為8.8分）。</p> <p>另一個漏洞CVE-2024-9139也相當危險，攻擊者利用未適當限制執行方式的指令，藉由作業系統命令注入手法發動攻擊，而有機會執行任意程式碼，3.1版CVSS對此漏洞的風險評為7.2分（4.0版為8.6分）。</p> <p>而對於這些漏洞的影響範圍，包括資安路由器EDR-8010、EDR-G9004、EDR-G9010、NAT-102系列，以及無線寬頻通訊路由器OnCell G4302-LTE4、軌道車輛路由器TN-4900系列機種。對於無法即時套用新版韌體的企業組織，Moxa也列出緩解建議，包括減少裝置曝露於網際網路、透過防火牆限制存取，以及採用入侵偵測系統（IDS）、入侵防禦系統（IPS）來偵測及防範漏洞利用的情況。我們也向Moxa進一步確認此事，該公司表示，尚未接到客戶反映出現重大影響的情況。</p> </div></div></div>
2024/10/16 15:42作者周峻佑https://www.ithome.com.tw/news/165523
解決傳統AR裝置暈眩痛點，臺大團隊打造光場擴增實境顯示技術應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺大團隊在國科會計畫支持下，今（10月16日）展示成功挑戰技術難題、自行研發的光場擴增實境（AR）顯示技術，能解決人眼視覺輻輳調節衝突（VAC）問題。也就是說，有了這個技術，使用者配戴AR裝置時，就不會再感到暈眩或缺乏深度感知了。這項技術適合高精度醫學應用，團隊也與醫療團隊聯手，找出可行的應用場景，像是胃部影像3D重建、AR導引微創介入手術，可解決傳統醫學影像受限於平面視角、缺乏深度訊息的問題，進而提高醫學訓練效率、優化病情診斷和治療。</p> <p><strong style="font-size: 22px;">比起傳統AR技術，光場顯示技術可解決眼睛對焦問題</strong></p> <p>進一步來說，該技術由臺大電信工程學研究所教授陳宏銘聯手臺大醫院院長吳明賢團隊和臺大衍生新創公司兆輝光電共同開發，整合了光學元件設計、光場顯示校正與優化技術、光場醫學影像生成和用戶介面設計等技術。</p> <p>與傳統的AR顯示技術相比，光場顯示技術有多種優勢，特別是解決傳統AR裝置，常見的暈眩和眼睛疲勞問題。</p> <p>這是因為，傳統AR裝置的呈現方式，會讓使用者無法同步調整眼睛焦距和視線，導致暈眩和疲勞。但，光場顯示技術可將場景中的光線投射至眼睛，就像在觀看實物一樣，能自由調整焦距來看清立體物體，大幅提高舒適度和真實感。</p> <p>也因為這個特性，光場顯示器能再現物體的細微深度差異，提供更精確的三維感知。這個優點在醫學應用中，特別重要。例如，在AR微創手術中，光場顯示技術能精準呈現器官、重要血管和神經的位置，作為清晰的視覺指引，來幫助醫生進行更精確的操作和決策。</p> <p>雖然光場顯示技術有諸多優點，但因各種挑戰，光場近眼顯示器仍很少見。臺大團隊則克服了這些挑戰，靠臺灣自有的半導體製造和電子加工技術，來自主生產超高解析度微型發光二極體（Micro LED）顯示器，成為高品質光場近眼顯示器的關鍵元件。</p> <p>此外，他們也仰賴臺灣在光學元件設計和製造方面的優勢，有效降低開發成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-10-16%20140422.png" /></p> <p><span style="font-size:22px;"><strong>聯手臨床團隊，探索光場顯示技術應用領域</strong></span></p> <p>與此同時，研發團隊也與臨床醫師合作，找出可行的應用領域。其一就是透過三維重建和注視技術，來將原本平面的胃鏡影像，重建為三維立體的胃部模型；再加上目光追蹤技術，能更還原當初醫師判讀過程的凝視順序。</p> <p>這個應用不只能用於精準定位病灶、供外科醫師手術參考，還能還原資深醫師判讀的目光路徑，來輔助年輕醫師找到問題、提高學習效率。</p> <p>臺大團隊也表示，AR導引微創手術系統是目前醫療市場熱門的應用領域，他們研發的自動對位技術，可應用來將器官的數位雙生（Digital twins）與真實人體對齊。意思是，在未來，醫師不必在手術中使用輻射線醫學影像，就能透視人體、精準定位器官位置。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-10-16%20140613.png" /></p> <p></p> </div></div></div>
2024/10/16 14:19作者王若樸https://www.ithome.com.tw/news/165520
奧丁丁雲端儲存庫配置不當，近7萬臺灣旅客訂房資料曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安新聞<a href="https://cybernews.com/security/taiwan-visitors-exposed-in-massive-data-leak-owlting/" target="_blank">Cybernews報導</a>，臺灣區塊鏈旅宿平臺業者奧丁丁（OwlTing）雲端儲存庫配置不當未做好防護，導致約7萬訂房旅客包含姓名、住家地址曝露在公開網際網路上。</p> <p>Cybernews是在今年7月底進行例行性調查時，發現一個內含大量檔案的Amazon S3儲存桶（bucket）因配置不當而曝露在網際網路上。經過研究，這個資料儲存桶屬於旅宿業訂房及內部管理系統供應商奧丁丁。</p> <p>奧丁丁提供以太坊區塊鏈為架構開發的旅宿業訂房及內部管理系統，除了臺灣總部外，並在美國、日本、泰國、馬來西亞、香港、新加坡設有分公司。它的<a href="https://www.owlting.com/owlnest/?l=tw" target="_blank">旅宿管理系統</a>可串接第三方訂房平臺，包括Bookings，<a href="https://smartcityonline.org.tw/scheme.php?id=57" target="_blank">早期還有</a>Expedia、Hotels.com、Agoda等。</p> <p>根據Cybernews團隊的研究，公開的儲存桶中內有超過16.8萬份CSV及XLSX格式文件，內容則是超過7.7萬名客戶的個資，包括全名、電話號碼和部份約（約3,000名）消費者的電子郵件，以及飯店訂房資訊如訂房日期、房號、房型、入住和退房、支付金額、幣別及預約服務等。外洩的個資如電子郵件或電話號碼可能被用於垃圾郵件、詐騙郵件、詐騙電話或釣魚簡訊等攻擊。</p> <p>Cybernews分析顯示，電話號碼曝光的消費者有92%為臺灣人，其他則來自日本、南韓、香港、新加坡、馬來西亞、泰國等，另外還有數百名歐洲消費者資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Owlnest-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cybernews</span></span></p> <p>奧丁丁證實此事，且迅速修正問題。該公司回應媒體，沒有任何敏感資訊因此洩露。</p> <p>AWS S3等雲端儲存庫配置不當讓資料曝險事件屢見不鮮，大從<a href="https://www.ithome.com.tw/news/118756" target="_blank">美國國防部</a>、<a href="https://www.ithome.com.tw/news/114996" target="_blank">美國共和黨</a>、<a href="https://www.ithome.com.tw/news/129798" target="_blank">Meta</a>都曾發生過。由於這類管理疏失太多，引來網路駭客的注意，研究人員<a href="https://www.ithome.com.tw/news/131816" target="_blank">發現</a>，一個駭客組織發展出在未上鎖的Amazon S3上植入惡意程式的攻擊手法。</p> </div></div></div>
2024/10/16 14:24作者林妍溱https://www.ithome.com.tw/news/165514
Google著手部署Android 15，私人空間上陣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周二（10/15）<a href="https://blog.google/products/android/android-15/" target="_blank">宣布</a>，已開始向Pixel裝置部署Android 15。新一代的平臺強化了防盜保護，並允許使用者建立私人空間（Private Space），以作為數位保險箱。</p> <p>Google平均每年更新一次主要的Android版本，並根據技術的演進添增新功能，例如近來即開始利用AI來強化Android的<a href="https://www.ithome.com.tw/news/165357" target="_blank">防盜功能</a>，包括Theft Detection Lock及Remote Lock等，並適用於大多數Android 10以上的裝置。</p> <p>至於Android 15上則有額外的防盜功能，會針對某些設定添增身分驗證要求，例如要移除SIM卡或是關閉Find My Device功能時，也會在偵測到多次變更程式與設定的失敗後直接鎖住裝置。</p> <p>Android 15還有一個類似數位保險箱的私人空間功能。使用者可建立一個私人空間來存放各種敏感程式，例如社交程式、約會程式或金融程式等，當該空間被鎖住時，不管是從程式清單、檢視最近應用程式，或是從通知及設定中，都看不到置放於該空間中的程式。要存取私人空間必須進行額外的身分驗證，使用者還能選擇於手機上隱藏私人空間的存在。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Android%2015_Private%20space.png" style="width: 520px;" /></p> <p>此外，Android 15也改善了平板與摺疊裝置的工作能力，例如讓這些裝置可更容易固定及取消工作列（Taskbar），也能客製化工作列，放上常用的程式以提高工作效率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Android%2015_%20pin%20taskbar%20on%20the%20screen.png" style="width: 600px;" /></p> <p>其它功能還包括允許電信營運商的傳訊程式可在缺乏行動或Wi-Fi網路時，透過衛星來傳訊；強化對通行密鑰（Passkey）的支援，對於那些採用Passkeys功能進行身分驗證的程式，只要點擊一下就能登入。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2024/10/16 15:14作者陳曉莉https://www.ithome.com.tw/news/165521
英特爾與AMD攜手推動x86架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）與AMD周二（10/15）<a href="https://www.amd.com/en/newsroom/press-releases/2024-10-15-intel-and-amd-form-x86-ecosystem-advisory-group-to-accelerate.html" target="_blank">攜手成立</a>x86生態系統諮詢小組（x86 ecosystem advisory group），兩大處理器競爭對手將共同維持x86架構產業的穩定，推動架構的互通性，簡化軟體開發，以因應未來的處理器需求。</p> <p>x86架構是英特爾於1978年推出的處理器指令集架構，而英特爾與AMD所開發的處理器都使用該架構，目前x86不論是在個人電腦、伺服器或高效能運算領域都屬於主流架構，只是日益面臨各種挑戰，像是動態的AI任務，客製化晶片，3D封裝與系統架構的進步，以及Arm架構的入侵。</p> <p>除了英特爾與AMD之外，該小組的成員還包括Linux之父Linus Torvalds，Epic Games創辦人暨執行長Tim Sweeney，以及博通（Broadcom）、Dell、Google、HPE、HP、聯想、Meta、微軟、甲骨文及紅帽。</p> <p>英特爾執行長 Pat Gelsinger指出，人們正處於x86架構與其生態系統數十年來最大的轉折點，需要更高階的客製化、相容性及可擴充性，以滿足現在與未來的客戶需求。AMD執行長蘇姿丰則說，此一小組將確保x86繼續發展成為開發人員及客戶首選的運算平臺。</p> <p>博通執行長Hock Tan也認為人們正處於運算歷史的十字路口，如今的x86架構決策將會影響未來數十年的程式設計模型、框架與及系統。</p> <p>因此，此一x86生態系統諮詢小組將聯合產業的領導者，透過一套更統一的指令與架構介面來形塑x86的未來，並推動開發人員的創新。計畫強化x86產品之間的相容性、可預測性與一致性，因此，將向x86硬體與軟體社群徵詢基本功能與特色的技術意見，共同打造一致的x86架構功能與程式設計模型，並將它們擴展到所有領域，涵蓋資料中心、雲端、客戶端、邊緣及嵌入式裝置等。</p> <p>目標是強化軟體及硬體之間的相容性，並加速客戶自新功能中受益的能力；簡化架構指南以提升軟體的一致性，並標準化英特爾與AMD之x86產品的介面；讓新功能得以更廣泛也更有效率地整合到作業系統、框架及應用程式中。</p> </div></div></div>
2024/10/16 14:00作者陳曉莉https://www.ithome.com.tw/news/165517
蘋果發表新一代iPad mini
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周二（10/15）<a href="https://www.apple.com/newsroom/2024/10/apple-introduces-powerful-new-ipad-mini-built-for-apple-intelligence/" target="_blank">發表了新一代的iPad mini</a>，它採用與iPhone 15 Pro一致的A17 Pro晶片，並支援生成式AI服務Apple Intelligence。這是蘋果的第7代iPad mini，上一次更新是在2021年。</p> <p>iPad mini 7採用8.3吋的Liquid Retina螢幕，搭載iPadOS 18作業系統。全新A17 Pro處理器帶來更強大的CPU與GPU，並具備比iPad mini 6快兩倍的Neural Engine，後置相機支援1,200萬畫素與Smart HDR 4，Camera程式也以機器學習技術來偵測及掃描文件。</p> <p>A17 Pro是在去年隨著iPhone 15 Pro系列的手機問世，它配備一個6核心的CPU，以及一個5核心的GPU，相較於iPad mini 6，iPad mini 7的CPU性能提升了30%，GPU性能則增加25%。</p> <p>整合到iPadOS 18的Apple Intelligence則提供了寫作功能Writing Tools（下圖），能理解脈絡、更聰明的Siri，以及更方便的Memories功能與照片編輯工具，未來也將內建ChatGPT。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-new%20iPad%20mini%20built%20for%20Apple%20Intelligence-PNG.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>iPad mini最低售價為499美元（新臺幣16,900元），提供128GB儲存空間，是上一代最低階的2倍，有藍色、紫色、星光色與深空灰等4種顏色，已於包括臺灣在內的29個國家開放預購，預計於10月23日出貨。另有449美元的教育版價格。</p> </div></div></div>
2024/10/16 14:06作者陳曉莉https://www.ithome.com.tw/news/165518
逾8萬臺Fortinet設備曝露於今年2月公告的RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月9日<a href="https://www.ithome.com.tw/news/165432">美國網路安全暨基礎設施安全局（CISA）提出警告</a>，今年2月Fortinet修補的重大漏洞CVE-2024-23113已出現實際攻擊行動，要求聯邦機構限期修補，這樣的情況<a href="https://www.fortiguard.com/psirt/FG-IR-24-029">Fortinet也在11日證實</a>，他們得知有外部調查發現漏洞遭到利用的情況。然而，如今有資安研究機構提出警告，仍有不少設備尚未套用更新而曝險。</p> <p>Shadowserver基金會指出，他們在10月12日<a href="https://x.com/Shadowserver/status/1845478432479846737">發現有87,390個IP位址的Fortinet設備疑似曝露於該漏洞風險</a>，其中數量最多的是美國，約有1.4萬臺，日本、印度居次，分別約有5,100、4,800臺。我們查詢該基金會14日偵測到的資料，臺灣有3,823臺設備曝險。</p> <p>由於這項漏洞影響範圍涉及Fortinet多項解決方案，涵蓋網路防火牆作業系統FortiOS、網頁安全閘道FortiProxy、特權存取管理系統FortiPAM、交換器集中管理平臺FortiSwitch Manager、應用程式防火牆FortiWeb，這意味著駭客可能會在不同類型的資安系統嘗試利用漏洞。</p> </div></div></div>
2024/10/16 12:41作者周峻佑https://www.ithome.com.tw/news/165516
Amazon將全面擁抱Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於<a href="https://www.ithome.com.tw/news/159335" target="_blank">去年</a>開始於電子商務服務中部署通行密鑰（Passkey）之後，Amazon周二（10/15）<a href="https://www.aboutamazon.com/news/retail/amazon-passwordless-sign-in-passkey" target="_blank">宣布</a>，迄今已有超過1.75億的用戶於他們的Amazon帳號上啟用Passkey，也計畫明年逐步於其它Amazon應用及服務推出Passkey。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，於所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務。以Passkey來登入服務既不用記住密碼，也比利用簡訊傳送一次性代碼的雙因素身分驗證來得安全。</p> <p>目前Amazon已於網頁版、iOS及Android上的購物應用，以及Audible有聲書應用中支援Passkey，其中，行動用戶一旦設定了Passkey，它就會成為登入Amazon帳號的預設選擇。根據Amazon的統計，以Passkey登入是其它方式的6倍快，隨著愈來愈多用戶體驗到無密碼登入的方便性，Passkey的採用率每天都在成長。</p> <p>Amazon電子商務資深副總裁Dave Treadwell表示，Passkey可替買家帶來易用性與安全性，儘管在可見的未來依然會存在著密碼，但Passkey卻是正確的方向，Amazon很高與成為Passkey的早期採用者。</p> <p>其實<a href="https://www.ithome.com.tw/news/156706" target="_blank">Google</a>、<a href="https://www.ithome.com.tw/news/162656" target="_blank">微軟</a>及<a href="https://support.apple.com/zh-tw/guide/iphone/iphf538ea8d0/ios" target="_blank">蘋果</a>皆已支援Passkey，專門推動可減輕對密碼依賴之各種身分驗證標準的開放聯盟FIDO Alliance，也在<a href="https://www.ithome.com.tw/news/165496" target="_blank">本周發表</a>一標準草案，打算利用憑證交換協定（Credential Exchange Protocol，CXP）與憑證交換格式（Credential Exchange Format，CXF）來推動Passkey與其它憑證的可攜能力。</p> </div></div></div>
2024/10/16 12:12作者陳曉莉https://www.ithome.com.tw/news/165515
【統一集團AI顧問現身說法】零售業應用生成式AI五大階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>距生成式AI爆紅已經兩年，零售業開始有先行者大規模應用此技術到對內及對外生產流程：二手市集巨頭eBay推出自動生成商品描述、分類和建議售價的賣家輔助工具；電商巨擘Amazon上線了串接電商平臺各種功能及數據的買家與賣家對話式助理；零售龍頭Walmart利用生成式AI建立及完善上億款商品的目錄數據，用媲美100倍人力的生產力，處理了8.5億筆資料作業。</p> <p>其他零售業者如何向這些領頭羊學習？高雄科技大學行銷與流通管理系副教授歐宗殷綜合自身經驗及國內外企業案例，歸納出零售業應用生成式AI的5大階段，「在一個階段做紮實了，才容易發展下個階段。」他說。歐宗殷曾借調到統一資訊擔任總經理，之後仍持續擔任顧問，協助統一集團發展數據、AI及生成式AI的應用。</p> <p>這5大階段，依序是加速開發、分析消費紀錄及產品資訊等數據、建置企業綜合知識庫及知識管理工具、設計和影音等內容創作，以及顧客服務、行銷與推薦。每個階段都可以產生4類價值，包括提高生成內容精準度、帶來實質效益、業務模式創新，和體驗優化。越後期的階段，這4種價值的含量越高，與顧客互動程度也越高。</p> <p><span style="color:#B22222;"><strong>第一階段是加速企業開發</strong></span>，例如自動生成程式碼、偵錯程式碼、產生程式碼說明文件等。eBay甚至利用生成式AI來找出程式碼重複，並根據eBay內部不同服務的耦合及依賴性，來協助工程團隊更新開發框架及函式庫。</p> <p><span style="color:#B22222;"><strong>第二階段是分析消費紀錄及產品資訊等數據</strong></span>。這個階段，企業將生成式AI用來蒐集和分析零售業最大宗的兩類數據──顧客與商品。自動貼標商品與顧客屬性、消費模式洞察、梳理及豐富數據等，都屬於此階段。Walmart就用生成式AI豐富了8.5億筆數據，若在相同時間只使用人力，需要近百倍人頭數。</p> <p><span style="color:#B22222;"><strong>第三階段是企業知識庫及KM工具建置</strong></span>。此階段，企業不只用生成式AI處理消費及產品數據，還包括內部技術文件、員工訓練文件、最佳實踐政策、甚至程式碼等數據。並且，還會用生成式AI打造一個可以輕鬆存取這些數據的介面。美國大型連鎖超市Target就在近2,000間分店上線了店員生成式AI助理，可以根據自然語言對話內容，來快速提取Target內部文件，回覆約40萬名店員的門市營運相關問題，例如會員卡申辦流程、停電時如何重啟POS機等。</p> <p><span style="color:#B22222;"><strong>第四階段則是內容創作，包括文字、語音、圖片、影片和設計生成</strong></span>。內容創作可以應用於內部文件或行銷素材生成，例如全國電子就利用生成式AI生成大量行銷用素材，希望依照顧客喜好呈現出對應素材，提供個人化體驗。甚至可以進一步結合賣家或顧客體驗，例如露天市集推出賣場美化工具，利用生成式AI支援賣場素材優化及版面配置。</p> <p><span style="color:#B22222;"><strong>第五階段則是直接應用於顧客服務、行銷與推薦</strong></span>。歐宗殷指出，此階段難度最高，因為企業必須考量到生成式AI產生幻覺等風險，如何提供顧客精準、正確的生成內容，是一大難題。Amazon就分別針對買家與賣家打造了生成式AI助理，前者能搜尋、比價、推薦產品、主動更新產品最新消息，和追蹤顧客過往清單狀態，後者則能提供個人化建議、分析賣場數據，甚至主動幫忙追查異常情況。</p> <p>企業如何進一步發展更後期階段的生成式AI應用？歐宗殷建議，可以從生成式AI應用的4大價值中，挑選自己最重視的項目來強化。例如，著重精確度，可以結合傳統預測型AI與生成式AI來打造應用，以降低生成式AI隨機性；著重實質效益，則需強化IT支出管理並制定測量實質效益的機制；著重業務模式創新和體驗優化，則可以將生成式AI技術結合到AR/VR購物、行動商務等不同購物模式及體驗。</p> <p>歐宗殷觀察，臺灣零售業主要在第三到第四階段，且有一類GAI第五階段應用開始在臺成形。「許多臺灣零售業者想發展RMN，並希望能用生成式AI來生成大量素材，準確地提供個人化購物與行銷體驗。」不過，他也坦言：「距離這個應用，臺灣零售業還有一段路要走。」</p> <p>他進一步說明，要真正善用GAI輔助RMN，首先要做好消費紀錄及產品資訊分析，才能根據這些數據來生成素材，並在實務上投入這些素材於個人化體驗。也就是說，紮實發展第二到第四階段的應用是先決條件。</p> <p>歐宗殷也分享了一個另類的生成式AI應用第五階段案例。該企業將生成式AI應用於客服，但不是直接用聊天機器人與顧客對話，而是利用生成式AI將顧客發言摘要成簡單、有條理，且不情緒化的內容，再由真人客服應答。「這樣一來，既能避免生成式AI對顧客說錯話，還能提升客服人員效率。」他評論。「透過恰當的機制設計，可以降低生成式AI產生幻覺，衝擊顧客體驗的風險。」</p> </div></div></div>
2024/10/16 09:39作者郭又華https://www.ithome.com.tw/news/165492
開源套件進入點可被攻擊者用於指令劫持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://checkmarx.com/blog/this-new-supply-chain-attack-technique-can-trojanize-all-your-cli-commands/">資安公司Checkmarx揭露新一波針對Python開源軟體生態系的攻擊</a>，攻擊者可利用軟體套件中的進入點（Entry Point）木馬化命令列工具。透過該手法，攻擊者能夠將惡意程式偽裝成常見的第三方工具或是系統命令，讓受害者無意間執行惡意程式碼，以達成攻擊開發環境和企業基礎設施的目的。</p> <p>這項新的開源供應鏈攻擊之所以值得注意，研究人員指出，其具有極高的隱蔽性和靈活性，能夠在不被察覺的情況下木馬化命令列工具，並執行惡意程式碼。由於該攻擊主要針對開發工具以及開源生態系中常見的進入點功能，讓攻擊者可以劫持開發過程中常用的指令，對開發者或是企業造成嚴重安全威脅，不僅影響日常開發工作，還可能導致敏感資料洩漏，或是危及基礎設施安全。</p> <p>所謂的進入點，指的是Python等軟體套件管理系統中的機制，讓開發者可以將特定功能以命令列命令的形式公開，讓終端使用者不需了解軟體內部程式碼結構就可以執行特定命令，通常應用於創建命令列腳本或是定義套件的系統功能。</p> <p>不過，研究人員發現，攻擊者也可以濫用進入點機制植入惡意程式碼，例如攻擊者可以創建偽裝成開發工具的惡意套件，藉由進入點功能將這些惡意功能綁定到命令列工具上，當使用者執行受影響的命令時，惡意程式碼便會在不被發覺的情況下自動執行。另外，攻擊者還可使用一種稱為命令打包（Command Wrapping）的技術，在執行合法命令的同時，隱蔽地執行惡意程式碼，使得攻擊更難被發現。</p> <p>雖然研究人員以Python生態系中的PyPI套件系統說明進入點濫用攻擊，但是研究人員也指出，npm、Ruby Gems、NuGet、Dart Pub和Rust Crates等多種程式語言開源生態系皆易受影響。攻擊者也可以鎖定各種常被用於開發、部署和營運的命令列工具進行劫持，諸如Docker、npm、git、kubectl、terraform與dotnet等。該攻擊可對開發者或是企業造成嚴重破壞，尤其是在CI/CD環境中，攻擊者甚至可取得雲端基礎設施的控制。</p> </div></div></div>
2024/10/16 08:29作者李建興https://www.ithome.com.tw/news/165512
駭客兜售聲稱竊自思科的開發、憑證資料，可能殃及微軟、AT&T
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/cisco-investigates-breach-after-stolen-data-for-sale-on-hacking-forum/" target="_blank">報導</a>，日前駭客在暗網兜售聲稱是來自思科系統的多種公司資料，包括GitHub專案文件、公司機密文件、程式原始碼與涵括微軟、AT&T等客戶資料。思科將著手調查。</p> <p>知名駭客IntelBroker本周二在駭客論壇<a href="https://x.com/H4ckManac/status/1845884053574025416" target="_blank">公布</a>此事。他聲稱今年10月6日夥同分別代號為EnergyWeaponUser和zjj的另二名駭客駭入思科網路，竊走大量資料。</p> <p>他聲稱手中握有思科的資料類型包括GitHub與GitLab專案、程式原始碼、思科機密檔案、產品檔案、憑證、API token、公私鑰、客服資料，以及在Azure、AWS等數十類，似乎大部份與開發專案相關。他還分享了部分檔案擷圖作為證明。不過駭客並未說明盜走的多少量有多大。</p> <p>一名研究人員從IntelBroker公布的資訊<a href="https://x.com/darkeye_team/status/1846023952575221848" target="_blank">發現</a>，受思科資料外洩影響的客戶包括AT&T、Verizon、T-Mobile US、Vodafone、微軟、SAP、及能源巨擘雪佛龍（Chevron）等。</p> <p>消息人士告訴媒體，攻擊者是先駭入思科使用的某家第三方DevOps與軟體開發平臺，再藉此存取思科系統和資料。但思科在此之前是否察覺網路被駭不得而知。</p> <p>周二思科表示，看到公司被駭的消息後已啟動調查，確認駭客所言真假。</p> <p>知名廠商網路，包括<a href="https://www.scworld.com/brief/t-mobile-refutes-intelbroker-hacking-claims" target="_blank">T-Mobile</a>、<a href="https://www.ithome.com.tw/news/163539" target="_blank">AMD</a>、<a href="https://cybernews.com/security/threat-actor-intelbroker-claims-apple-amd/" target="_blank">蘋果</a>、防火牆業者<a href="https://www.ithome.com.tw/news/162839" target="_blank">Zscaler都</a>曾是InterBroker的受害者，並被他出售或公布機密資料。</p> </div></div></div>
2024/10/16 08:40作者林妍溱https://www.ithome.com.tw/news/165513
MedTech醫療科技雙周報第38期：美國釋出2024-2030年聯邦醫療IT策略計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（1001～1015）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">醫療IT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HHS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料交換</span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國釋出2024-2030年聯邦醫療IT策略計畫</strong></span></p> <p>今年9月最後一天，美國衛生及公共服務部（HHS）公布最終版2024-2030年聯邦醫療IT策略計畫，點出聯邦層級接下來6年的醫療IT目標，要來改善電子醫療資訊（EHI）的存取、創造更公平的醫療照護體驗，以及落實國家公共衛生基礎設施現代化。</p> <p>進一步來說，該計畫包含提倡健康福祉、強化照護提供與體驗、加速研究創新，以及以醫療資料連結醫療系統等4大目標。其中，前3個目標是要強化醫療IT使用者的體驗，最後一個目標著重支援這些使用者所需的政策和技術。這4個目標又可細分為幾個子目標，比如在強化照護提供與體驗下，照護提供方可以有信心地使用醫療IT工具，又或是在加速研究創新中，研究者和醫療IT使用者能夠存取高品質醫療資料，以及在以醫療資料連結醫療系統中，建置現代化且整合式的公衛醫療資料系統和基礎建設，來支援社區健康發展。</p> <p>除了說明大框架，該計畫也聚焦公平、AI、資料交換等議題。在公平部分，則延續聯邦政府方向，繼續使用醫療IT來改善人群的醫療服務平等性。在AI部分，該計畫提供一系列聯邦政府可參考的策略，來確保AI可以被醫療IT使用者（病患、醫療機構）使用、可安全且負責任地被部署，以及可摒除演算法偏差。在資料交換領域，該計畫則將持續推動以FHIR為基礎的國家級資料交換框架TECFA，且為兼顧交換資料的品質，該計畫也提出策略，來解決聯邦政府與標準制定組織、州政府、地方政府和醫療IT開發者間的協作問題。<a href="https://www.healthit.gov/buzz-blog/health-it/setting-our-sights-toward-a-healthier-more-innovative-data-driven-future-2">（詳全文）</a></p> <p><img alt="" src="https://www.healthit.gov/buzz-blog/wp-content/uploads/2024/09/ASTP-2024-2030-Strategic-Plan_slide-7-2048x1152.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 嬌生 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新藥發現 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>嬌生揭醫療AI應用領域，瞄準外科、新藥發現和臨床試驗</strong></span></p> <p>嬌生日前發表一篇官方部落格文章，介紹自己如何運用AI強化醫療照護。比如在手術學習領域，嬌生醫療技術數位化全球副總裁Shan Jegatheeswaran指出，他們透過AI，幾分鐘就能將一場數小時的手術錄影影片精彩片段剪輯出來，比過往人工的數小時、數天還要有效率。這些剪輯出來的重要片段，可供外科醫師重新觀看、學習和討論治療策略。</p> <p>再來是新藥開發，嬌生表示，傳統的新藥發現漫長又複雜，研究團隊需先了解哪些生物和遺傳變異會導致疾病。而透過AI分析電子健康記錄、實驗室結果或基因定序數據，就能幫助找出特定疾病原因。有了疾病標靶，嬌生就以AI協助找出可與標靶作用的分子，並透過AI設計、優化這些分子，來開發為有效對抗疾病、副作用最小的候選藥物。目前，嬌生正與外部機構合作，來實現這個目標。</p> <p>臨床試驗也是嬌生運用AI的領域。他們有2種用法，一是用來尋找臨床試驗患者與地點，比如用機器學習演算法分析大型去識別化資料集，來加速找出可能從新藥中受益的患者臨床研究地點。如此，臨床試驗團隊可將這些地點納入考量，而非如傳統方法，只集中在醫學中心進行臨床試驗。另一種用法是增加多元性，包括找出不同患者地點和醫療機構，研究團隊再從這些地點招募符合條件的患者，來參加臨床試驗。其他領域還有以AI強化個人化治療，以及運用AI分析需求波動和供應商績效，來預測可能擾亂藥物和醫療產品供應鏈的即時事件，確保醫療產品能盡快到達患者家中。<a href="https://www.jnj.com/innovation/artificial-intelligence-in-healthcare">（詳全文）</a></p> <p><img alt="" src="https://jnj-content-lab2.brightspotcdn.com/dims4/default/fe4c22f/2147483647/strip/true/crop/1920x1079+0+0/resize/1441x810!/format/webp/quality/90/?url=https%3A%2F%2Fjnj-production-jnj.s3.us-east-1.amazonaws.com%2Fbrightspot%2F16%2F64%2F6e97e66f472d9d2a21ab333202d5%2F1024-ai-tech-workers-ledev2.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臨床驗證 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公平性 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 衛福部 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>衛福部攜16家醫院成立3大類型AI中心 </strong></span></p> <p>本月7日，衛福部宣布成立負責任AI執行中心、臨床AI取證驗證中心，以及AI影響性研究中心等三大類型AI中心，由橫跨北、中、南的16家醫院來營運，如臺大、中榮、北榮、成大、中醫大、三總、林口長庚等指標醫院。這3大AI中心的起源，來自衛福部今年7月23日公告的3大AI中心補助計畫。他們舉辦全國性教育訓練後，於8月1日截止收件，並邀集國內外專家3階段評選，最終從30家醫院中，選出16家醫院共19案。</p> <p>這3大AI中心的目的，是要解決醫院發展醫療AI的3大痛點，補足智慧醫療落地的最後一哩路。比如，負責任AI執行中心是要解決醫療AI透明性、資料安全等問題，由中心制定符合資安與隱私保護的管理辦法，以及AI模型生命周期管理辦法，來確保模型在臨床使用具有持續可靠性。</p> <p>而臨床AI取證驗證中心則由衛福部資訊處與食藥署（TFDA）合作，要解決醫療AI取證過程冗長、驗證資料不足的問題。因此，該中心將預先組成醫院聯盟，先準備跨體系、跨層級的電子病歷資料，來加速協助驗證AI模型。至於AI影響性研究中心，則是要解決智慧醫材產品納入健保給付的問題，該中心由衛福部與健保署合作，將建立跨體系、跨層級臨床試驗機制，設置實驗組和對照組，來研究該醫療AI的臨床效益，並將報告交由健保署團隊參考，來決定是否納入給付等細節。<a href="https://www.mohw.gov.tw/cp-16-80155-1.html">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/ub6gQ636b10?si=uodlK91EbHPQycTy" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Copilot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療資料 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟新添多款醫療AI工具</strong></span></p> <p>日前，微軟發表幾款醫療雲工具，包括在Azure AI Studio中新添醫療AI模型、在資料分析平臺Microsoft Fabric中添加健康資料新解決方案、在Copilot Studio中納入醫療代理服務，以及AI驅動的護理文書工作簡化解決方案。</p> <p>進一步來說，這次新添的醫療AI模型，是一系列多模態醫學影像基礎模型，由微軟與Providence、Paige.ai等合作夥伴共同開發，可用來分析多種醫療數據，從醫學影像到基因組學和臨床記錄都可以。醫院可透過這些模型，快速打造、微調和部署合適的AI應用，降低從頭自建的成本。</p> <p>而Microsoft Fabric的新解決方案，目前為公開預覽階段，有幾個特點，包括能整合分析各種對話資料（比如與患者對話的語音、逐字稿）、轉換社會健康決定因子（SDOH）公共資料集、美國醫療保險Medicare申請資料處理、患者照護分析等。再來，微軟也在Copilot Studio中推出醫療代理服務公開預覽版，可用來打造掛號排程、臨床試驗匹配、患者分診等的Copilot代理。<a href="https://www.microsoft.com/en-us/industry/blog/healthcare/2024/10/10/introducing-healthcare-agent-service-in-microsoft-copilot-studio/">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎模型 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Nvidia在AI高峰會揭露美國公部門醫療AI實例</strong></span></strong></p> <p>Nvidia在10月舉辦的AI高峰會中，揭露幾項美國公部門採用自家最新AI加速工具的實例，比如美國國家癌症研究院（NCI）就採用幾個Nvidia MONAI中的AI模型，來進行醫學影像處理，像是用VISTA-3D NIM基礎模型來對3D電腦斷層掃描進行影像分割與標註，又或是美國國衛院旗下團隊使用生成式AI代理Nvidia NIM Agent Blueprint，來加速開發新藥分子。</p> <p>其中，Nividia NIM是一系列雲原生微服務，可協助AI模型部署和執行，NIM Agent Blueprint則是已經預訓練、客製化的工作流程目錄。Nvidia表示，這兩款工具可讓公部門醫療研究者快速使用先進的AI模型，也能以自有資料快速客製化。<a href="https://blogs.nvidia.com/blog/us-healthcare-ai-agents/">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">教育 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問到寶 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>新竹臺大分院用微軟Azure OpenAI打造教育整合平臺</strong></span></strong></p> <p>最近，新竹臺大分院揭露一款生成式AI互動教育平臺「問到寶」，由該院跨專業醫療照護團隊和微軟，以將近一年的時間打造而成，可提供線上教育、衛教問答和輔助技術發展，讓學習資源和課程更靈活、更個人化。</p> <p>進一步來說，該平臺可根據每位使用者的學習需求、風格和速度，量身打造教學內容，同時，它也能協助教師，根據不同學生需求進行項目評估、成績評定、出勤追蹤，以及協助課程規化等行政任務。比如，使用者可用該平臺對長篇文章或英文文獻摘要，平臺也能根據關鍵字，來生成教學教案及評量，協助教師教材準備、產生擬真場景圖等。此外，該平臺還有AI增強語音識別功能，能讓語言障礙人士理解衛教內容。<a href="https://www.hch.gov.tw/?aid=503&pid=0&page_name=detail&iid=316">（詳全文）</a></p> <p><img alt="" src="https://www.hch.gov.tw/public/news1/503/17277500645993.png" /></p> <p>圖片來源／HHS、嬌生、衛福部、臺大新竹分院</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. <a href="https://en.vietnamplus.vn/e-health-and-judicial-records-provided-via-vneid-nationwide-post297561.vnp">越南正式啟用全國性電子健康記錄App VNeID</a></strong></strong></p> <p>資料來源：iThome整理，2024年10月</p> </div></div></div>
2024/10/15 19:19作者王若樸https://www.ithome.com.tw/news/165510
【資安日報】10月15日，北韓駭客針對支付處理系統散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國曾在2018、2020年警告北韓駭客利用名為FASTCash的惡意軟體，針對金融機構支付相關系統下手的情況，事隔4年，這些駭客擴大攻擊範圍，對於更多型態的支付系統開發專屬的FASTCash。</p> <p>值得留意的是，這次他們鎖定的目標，是執行特定版本Ubuntu的支付處理系統，相當具有針對性。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165497"><strong style="font-size: 22px;">北韓駭客散布惡意軟體FASTCash，意圖洗劫提款機</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FASTCash-26.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/FASTCash-26.png" style="width: 300px; float: right;" /></a></p> <p>專門針對金融機構支付相關系統的惡意程式FASTCash，北韓駭客將其用於攻擊行動的情況陸續引起美國政府關注，如今有研究人員發現駭客擴大了攻擊範圍，開發新的惡意程式變種。</p> <p>資安研究員HaxRob揭露最新一波的攻擊行動，駭客使用的惡意程式在去年6月上傳到惡意程式分析平臺VirusTotal，為專門針對Ubuntu 22.04 LTS版打造的Linux惡意軟體，研究人員特別提及，該變種程式與過往出現的Windows版及AIX版本存在高度相似之處。</p> <p>攻擊如何進行？駭客主要是針對持卡人帳號餘額不足被拒絕交易的情況而來，竄改其結果為「核可」，一旦攻擊者成功操縱相關訊息，並傳回銀行的中央系統，持有提款卡的車手就有機會從ATM領到錢。</p> <p><a href="https://www.ithome.com.tw/news/165503"><strong style="font-size: 22px;">寶可夢電玩遊戲開發商證實遭遇資料外洩事故</strong></a></p> <p>上週有人在社群網站X、Reddit、Discord，以及資料外洩網站宣稱，他們竊得正在開發的新寶可夢遊戲的原始碼及相關檔案，後來遊戲開發公司證實，確實出現資料外洩的情況。</p> <p>專門為任天堂開發寶可夢電玩遊戲的業者Game Freak於10月10日公告，坦承公司現任員工、離職員工、承包商的個人資料遭竊。他們在今年8月察覺伺服器遭到未經授權的第三方存取的現象，洩漏的資料包含姓名及公司電子郵件信箱，筆數為2,606筆。該公司將進一步聯絡所有受到影響的人士，並在網站上公告此事。</p> <p>不過，針對正在開發的遊戲資料是否外洩，Game Freak並未進一步說明。資安新聞網站Bleeping Computer指出，根據這份公告，玩家的資料不在這起事故影響的範圍之內。</p> <p><a href="https://www.ithome.com.tw/news/165506"><strong style="font-size: 22px;">國家級駭客利用Ivanti CSA漏洞進行網路滲透</strong></a></p> <p>一週前資安業者Ivanti發布資安公告，指出旗下雲端服務應用平臺Cloud Services Appliance（CSA）存在3項漏洞CVE-2024-9379、CVE-2024-9380、CVE-2024-9381，已有部分用戶系統遭遇漏洞濫用活動，如今有研究人員指出，有國家級駭客正在利用這些漏洞從事攻擊行動。</p> <p>資安業者Fortinet指出，9月9日他們在客戶的環境偵測到漏洞利用攻擊行動，進一步調查發現，攻擊者利用了已知的命令注入漏洞CVE-2024-8190，以及當時尚未公開的路徑穿越漏洞CVE-2024-8963、命令注入漏洞CVE-2024-9380。值得留意的是，隔日Ivanti對於CVE-2024-8190發布資安公告，駭客竟是對其進行修補，這麼做的目的，就是為了避免受到其他人馬及資安人員的干擾。</p> <p><a href="https://www.ithome.com.tw/news/165487"><strong style="font-size: 22px;">兆勤警告防火牆設備遭到鎖定，攻擊者利用已知漏洞建立SSL VPN通道</strong></a></p> <p>上週兆勤（Zyxel Networks）針對旗下USG Flex、ATP系列防火牆用戶提出警告，指出他們在歐洲、中東、非洲地區（EMEA）的團隊發現鎖定該廠牌資安設備的攻擊行動，駭客針對特定的漏洞而來，呼籲用戶要採取相關行動因應。</p> <p>根據他們的調查，攻擊者藉由漏洞竊得有效的帳密資料，並能為臨時使用者建立SSL VPN通道，而且，還會竄改防火牆的資安政策，並藉此控制防火牆、存取網路環境。該公司提及，攻擊者使用的臨時使用者名稱包含了SUPPOR87、SUPPOR817，以及VPN。</p> <p>不過，對於駭客利用的漏洞，兆勤並未進一步說明細節。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/gmail-scam-alert-hackers-spoof-google-to-steal-credentials/">駭客冒充Google企圖竊取Gmail用戶帳密資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/banking-trojan-trickmo-compromised-13000-devices-now-steals-device-unlock-patterns-and-pins/">金融木馬TrickMo入侵1.3萬臺裝置，企圖竊取螢幕解鎖資訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/thousands-of-fortinet-devices-remain-exposed-to-rce-cve-2024-23113-vulnerability/">逾8萬臺Fortinet設備曝露於今年2月公告的RCE漏洞</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/github-enterprise-server-patches-critical-security-flaw-cve-2024-9487-cvss-9-5/">GitHub修補重大層級的SAML身分驗證繞過漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/github-enterprise-server-patches-critical-security-flaw-cve-2024-9487-cvss-9-5/">Splunk修補重大層級的RCE漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165496"><strong style="font-size: 22px;">FIDO聯盟發表新規範，推動憑證可攜</strong></a></p> <p>專門推動各種身分驗證標準、以減輕對密碼依賴的開放聯盟FIDO Alliance，周一（10月14日）發表新規範，包括憑證交換協定（Credential Exchange Protocol，CXP）與憑證交換格式（Credential Exchange Format，CXF），以推動憑證的可攜，包括通行密鑰（Passkey）與其他憑證。</p> <p>此一草案是由1Password、蘋果、Bitwarden、Dashlane、Enpass、Google、微軟、NordPass、Okta、三星及SK Telecom等FIDO聯盟成員所組成的憑證供應商特別興趣小組（Credential Provider Special Interest Group）共同制定，意謂著它們都將加入憑證可攜的行列。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165488"><strong>【10月14日】Windows核心漏洞傳出遭伊朗駭客OilRig利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165452"><strong>【10月11日】Mozilla修補遭到利用的Firefox零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165409"><strong>【10月9日】零信任之父第一手導讀零信任架構</strong></a></p> </div></div></div>
2024/10/15 19:47作者周峻佑https://www.ithome.com.tw/news/165511
國家級駭客利用Ivanti CSA漏洞進行網路滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一週前<a href="https://www.ithome.com.tw/news/165408">資安業者Ivanti發布資安公告</a>，指出旗下雲端服務應用平臺Cloud Services Appliance（CSA）存在3項漏洞CVE-2024-9379、CVE-2024-9380、CVE-2024-9381，已有部分用戶系統遭遇漏洞濫用活動，如今有研究人員指出，有國家級駭客正在利用這些漏洞從事攻擊行動。</p> <p>資安業者Fortinet指出，<a href="https://www.fortinet.com/blog/threat-research/burning-zero-days-suspected-nation-state-adversary-targets-ivanti-csa">9月9日他們在客戶的環境偵測到漏洞利用攻擊行動</a>，進一步調查發現，攻擊者利用了已知的命令注入漏洞CVE-2024-8190，以及當時尚未公開的路徑穿越漏洞CVE-2024-8963、命令注入漏洞CVE-2024-9380。值得留意的是，隔日Ivanti對於CVE-2024-8190發布資安公告，駭客竟是對其進行修補，這麼做的目的，就是為了避免受到其他人馬及資安人員的干擾。</p> <p>等到駭客成功破壞CSA，也利用Ivanti後端微軟SQL資料庫的注入漏洞CVE-2024-29824，從而對受害組織部署的Ivanti Endpoint Manager（EPM）啟用xp_cmdshell處理程序，而能在SQL伺服器遠端執行程式碼。</p> <p>接著，這些駭客在SQL伺服器建立名為mssqlsvc的帳號，並關閉主機的防火牆功能，然後對受害組織網路環境進行偵察，並透過DNS隧道外流竊得的資料。</p> <p>研究人員發現，駭客也在CSA以Linux系統核心元件sysinitd.ko的名義，植入了rootkit程式，目的就是能持續於受害設備活動，就算IT人員將CSA恢復原廠設定，rootkit還是有機會留存下來。</p> </div></div></div>
2024/10/15 16:51作者周峻佑https://www.ithome.com.tw/news/165506
北韓駭客散布惡意軟體FASTCash，意圖洗劫提款機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門針對金融機構支付相關系統的惡意程式FASTCash，北韓駭客將其用於攻擊行動的情況陸續引起美國政府關注，如今有研究人員發現，駭客擴大了攻擊範圍，開發新的惡意程式變種。</p> <p>資安研究員HaxRob揭露<a href="https://doubleagent.net/fastcash-for-linux/">最新一波的攻擊行動</a>，駭客使用的惡意程式在去年6月上傳到惡意程式分析平臺VirusTotal，為專門針對Ubuntu 22.04 LTS版打造的Linux惡意軟體，研究人員特別提及，該變種程式與過往出現的Windows版及AIX版本存在高度相似之處。</p> <p>針對該惡意程式的來歷，最早是美國網路安全暨基礎設施安全局（CISA）於2018年12月提出警告，指出使用該惡意程式的駭客為Hidden Cobra；後來，美國網路司令部於2020年也提出警告，當時犯案的駭客組織是Lazarus（APT38）。</p> <p>此Linux版惡意程式是以共用程式庫的形式實作而成，可注入既有系統以ptrace進行系統呼叫的處理程序，後續攔截與竄改交易訊息。</p> <p>支付交易伺服器主要的用途，是處理自動櫃員機（ATM）、收銀機（PoS）終端與銀行中央系統之間的通訊，若這類系統被植入FASTCash，會攔截、操縱支付卡及信用卡交易訊息。</p> <p>攻擊如何進行？駭客主要是針對持卡人帳號餘額不足被拒絕交易的情況而來，竄改其結果為「核可」，一旦攻擊者成功操縱相關訊息，並傳回銀行的中央系統，持有提款卡的車手就有機會從ATM領到錢。</p> <p>值得留意的是，研究人員發現的時候，尚未有防毒引擎將該Linux惡意程式視為有害，這意味著駭客犯案很可能不受資安防護系統牽制。同時，VirusTotal在今年9月也出現新的Windows版FASTCash，這代表駭客正在積極開發相關作案工具。</p> </div></div></div>
2024/10/15 15:32作者周峻佑https://www.ithome.com.tw/news/165497
嬌生如何運用AI優化新藥發現和疾病治療
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月10日，嬌生（Johnson & Johnson）<a href="https://www.jnj.com/innovation/artificial-intelligence-in-healthcare">發表一篇部落格文章</a>，揭露自己如何運用AI來優化手術學習、加速新藥發現、臨床試驗、個人化療法和供應鏈預測等。嬌生執行副總暨資訊長Jim Swanson首先點出，美國FDA至今已核准900多項醫療AI產品，而接下來幾年，AI將越發重要，尤其在嬌生內部，「已經用來協助員工偵測更早期的疾病階段、加速新藥發現、幫助臨床試驗招募，以及在手術前繪製患者解剖圖，並協助外科醫生預測最合適的手術工具，」他說。</p> <p>嬌生將醫療AI應用於幾大領域，首先是手術學習，嬌生醫療技術數位化全球副總裁Shan Jegatheeswaran指出，他們透過AI，幾分鐘就能將一場數小時的手術錄影影片精彩片段剪輯出來，比過往人工的數小時、數天還要有效率。</p> <p>這些剪輯出來的重要片段，可供外科醫師重新觀看、學習和討論治療策略。嬌生旗下醫療科技公司也在今年中開發一款Polyphonic數位系統，可讓外科醫師遠端連線、與住院醫師和同業觀看手術室影片，來提供即時指導、手術分析和教育講解，並在部分醫院展開試點計畫。</p> <p>再來是新藥開發，嬌生表示，傳統的新藥發現漫長又複雜，研究團隊需先了解哪些生物和遺傳變異會導致疾病。而透過AI分析電子健康記錄、實驗室結果或基因定序數據，就能幫助找出特定疾病原因。有了疾病標靶，嬌生就以AI協助找出可與標靶作用的分子，並透過AI設計、優化這些分子，來開發為有效對抗疾病、副作用最小的候選藥物。目前，嬌生正與外部機構合作，來實現這個目標。</p> <p>臨床試驗也是嬌生運用AI的領域。他們有2種用法，一是用來尋找臨床試驗患者與地點，比如用機器學習演算法分析大型去識別化資料集，來加速找出可能從新藥中受益的患者臨床研究地點。如此，臨床試驗團隊可將這些地點納入考量，而非如傳統方法，只集中在醫學中心進行臨床試驗。另一種用法是增加多元性，包括找出不同患者所在地和醫療機構，研究團隊再從這些地點招募符合條件的患者，來參加臨床試驗。</p> <p>嬌生也以AI強化個人化治療，以膀胱癌為例，嬌生正開發一款AI驅動的生物標記檢測方法，可偵測患者的腫瘤是否會發生FGFR變異，如此就能進一步給予個人化治療。目前嬌生正評估這項技術的臨床效用，將繼續探索潛在用法。</p> <p>最後，為了確保藥物和醫療產品能快速到達患者手中，嬌生也正研究，要用AI分析需求波動和供應商績效，來預測可能擾亂藥物和醫療產品供應鏈的即時事件（如天氣和市場問題），來確保這些產品盡快到達患者家中。</p> <p></p> </div></div></div>
2024/10/15 15:40作者王若樸https://www.ithome.com.tw/news/165498
寶可夢電玩遊戲開發商證實遭遇資料外洩事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週有人在社群網站X、Reddit、Discord，以及資料外洩網站宣稱，<a href="http://x.com/CentroLeaks/status/1845200311767503173">他們竊得正在開發的新寶可夢遊戲的原始碼及相關檔案</a>，後來遊戲開發公司證實，確實出現資料外洩的情況。</p> <p>專門為任天堂開發寶可夢電玩遊戲的業者Game Freak<a href="https://www.gamefreak.co.jp/wordpress/wp-content/uploads/2024/10/info20241010.pdf">於10月10日公告</a>，坦承公司現任員工、離職員工、承包商的個人資料遭竊。他們在今年8月察覺伺服器遭到未經授權的第三方存取的現象，洩漏的資料包含姓名及公司電子郵件信箱，筆數為2,606筆。該公司將進一步聯絡所有受到影響的人士，並在網站上公告此事。</p> <p>不過，針對正在開發的遊戲資料是否外洩，Game Freak並未進一步說明。<a href="https://www.bleepingcomputer.com/news/security/pokemon-dev-game-freak-confirms-breach-after-stolen-data-leaks-online/">資安新聞網站Bleeping Computer指出</a>，根據這份公告，玩家的資料不在這起事故影響的範圍之內。</p> <p>兩週之前，也有遊戲開發業者遭遇網路攻擊的情況。例如，10月初加拿大業者Red Barrels透露遭到攻擊，而有可能導致遊戲的修補程式及附加內容的發布延後，勒索軟體Nitrogen聲稱是他們所為。</p> </div></div></div>
2024/10/15 16:08作者周峻佑https://www.ithome.com.tw/news/165503
FIDO聯盟發表新規範以推動憑證可攜
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門推動各種身分驗證標準、以減輕對密碼依賴的開放聯盟FIDO Alliance，周一（10/14）<a href="https://fidoalliance.org/fido-alliance-publishes-new-specifications-to-promote-user-choice-and-enhanced-ux-for-passkeys/" target="_blank">發表了一組新規範</a>，包括憑證交換協定（Credential Exchange Protocol，CXP）與憑證交換格式（Credential Exchange Format，CXF），以推動憑證的可攜，包括通行密鑰（Passkey）與其它憑證。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，於所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務。Passkey被視為比密碼安全又方便的憑證，不管是微軟、蘋果或Google等科技業者皆已支援Passkey。</p> <p>FIDO聯盟表示，安全憑證交換是該聯盟的焦點，新的工作草案將能進一步加速Passkey的採用並改善用戶體驗，迄今已有超過120億個網路帳號是透過Passkey存取。相較於傳統密碼或是雙因素身分驗證，採用Passkey登入可減少網路釣魚，消除重複使用的密碼，而且登入速度提升了75%，登入成功率也增加了20%。</p> <p>只不過，現階段尚無法在不同的密碼管理員或生態系統間安全地移動Passkey，CXP與CXF這兩個規範草案定義了如何將憑證從一個憑證管理員安全地傳送到另一個憑證管理員，確保傳輸不是以明文進行。</p> <p>此一草案是由1Password、蘋果、Bitwarden、Dashlane、Enpass、Google、微軟、NordPass、Okta、三星及SK Telecom等FIDO聯盟成員所組成的憑證供應商特別興趣小組（Credential Provider Special Interest Group）共同制定，意謂著它們都將加入憑證可攜的行列。</p> </div></div></div>
2024/10/15 15:03作者陳曉莉https://www.ithome.com.tw/news/165496
微軟AI研究副總裁Sebastien Bubeck將跳槽至OpenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>The Information<a href="https://www.theinformation.com/briefings/microsoft-ai-researcher-sebastien-bubeck-to-join-openai?rc=rgg6ax" target="_blank">報導</a>，微軟AI副總裁Sebastien Bubeck即將跳槽至OpenAI，惟尚不確定職稱。而微軟也已向其它媒體證實此事。</p> <p>Bubeck尚未透過個人網站或X上宣布此事，仍<a href="http://sbubeck.com/" target="_blank">描述</a>自己為微軟的分散式科學家，已在微軟待了10年，過去主要研究機器學習中的凸優化、線上演算法與對抗魯棒性，現在則更專注於理解智慧是如何從大型語言模型中出現，並以其提高LLM的智慧，可能有助於打造通用人工智慧（AGI）。</p> <p>Maginative則<a href="https://www.maginative.com/article/microsoft-ai-heavyweight-sebastien-bubeck-joins-openai/" target="_blank">報導</a>，Bubeck的研究在開發微軟的Phi系列小語言模型上發揮了重要作用。</p> <p>微軟向路透社（Reuters）等媒體<a href="https://www.reuters.com/technology/microsofts-vp-genai-research-join-openai-2024-10-14/" target="_blank">證實</a>，Bubeck已經決定要離開微軟，以進一步開發AGI，感謝Bubeck對微軟的貢獻，並期待藉由與OpenAI合作與Bubeck再續前緣。</p> </div></div></div>
2024/10/15 13:45作者陳曉莉https://www.ithome.com.tw/news/165495
Google向Kairos Power購買核電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周一（10/14）<a href="https://blog.google/outreach-initiatives/sustainability/google-kairos-power-nuclear-energy-agreement/" target="_blank">宣布</a>，已與Kairos Power簽署購電協議，將向該公司所開發的多個小型模組反應爐（Small Modular Reactor，SMR）購買核能，預計於2030年前部署首個SMR，之後至2035年再部署其它的SMR，估計可替美國電網帶來500 MW的無碳電力。而不只是Google，包括微軟與Amazon也都開始部署核電。</p> <p>過去，核能發電因為安全隱憂，核廢料的處理問題，再加上擔心核能被用來發展武器等因素，而遭到許多國家棄用；然而，隨著核能技術的進步，AI對電力的龐大需求，能源危機，再加上核電其實是種低碳能源，使得核能發電再度受到重視，現階段的主流技術包括壓水反應爐（Pressurized Water Reactor，PWR），沸水反應爐（Boiling Water Reactor，BWR），快中子反應爐（Fast Neutron Reactor，FNR），第四代核反應爐技術，以及SMR等。</p> <p>其中，SMR除了安全性高之外，它比傳統核反應爐小很多，還能夠模組化組裝，方便部署。Kairos Power主要<a href="https://kairospower.com/technology/" target="_blank">開發</a>氟化鹽冷高溫反應爐（Fluoride Salt-cooled High Temperature Reactor，FHR），利用顆粒的TRISO燃料結合低壓的氟化物鹽冷卻劑，以高效與靈活的蒸汽循環系統，將熱量轉換成電力。</p> <p>Google表示，這是個重要的協議，一來需要新電力來支援AI技術，二來核能解決方案提供一個乾淨且全天候的電源，得以無時無刻利用無碳能源來滿足電力需求。核能將能補充Google在太陽能及風能等可再生能源的使用，且新一代的核反應爐具備簡化的設計與強大的安全性，更小的尺寸及模組化設計還能改善部署的時間與靈活性。</p> <p>Kairos Power<a href="https://kairospower.com/external_updates/google-and-kairos-power-partner-to-deploy-500-mw-of-clean-electricity-generation/" target="_blank">解釋</a>，該公司將會開發、建造與經營一系列先進的反應爐工廠，並根據雙方的協議提供電力、服務或環境屬性（如再生能源證書）予Google，這些工廠將會設在適當的區域以替Google資料中心提供電力。</p> <p>今年美國的科技大廠紛紛向核電靠攏。例如Amazon在今年3月以6.5億美元的價格，向獨立電廠Talen Energy購買了Cumulus資料中心園區，該園區可使用960 MW電力，並由<a href="https://ir.talenenergy.com/news-releases/news-release-details/talen-energy-announces-sale-zero-carbon-data-center-campus" target="_blank">Talen Energy</a>位於附近的Susquehanna核電廠供電。Susquehanna為全美十大核電廠之一。</p> <p><a href="https://www.constellationenergy.com/newsroom/2024/Constellation-to-Launch-Crane-Clean-Energy-Center-Restoring-Jobs-and-Carbon-Free-Power-to-The-Grid.html" target="_blank">微軟</a>亦於今年9月與美國能源公司Constellation Energy簽署為期20年的購電協議，Constellation是美國主要的核電站營運商，其執行長Joe Dominguez明白表示，若是要替包括資料中心在內等關鍵行業隨時提供大量無碳且可靠的能源，核電站是唯一能始終如一兌現該承諾的能源。</p> </div></div></div>
2024/10/15 13:19作者陳曉莉https://www.ithome.com.tw/news/165494
Adobe公開測試Firefly影像生成模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Adobe在周一（10/14）舉行的Adobe MAX創意大會上<a href="https://news.adobe.com/news/2024/10/101424-adobe-launches-firefly-video-model" target="_blank">宣布</a>，Firefly影像生成模型（Firefly Video Model）已邁入有限的公開測試階段，同時發表支援Creative Cloud各種應用的Firefly功能。自2023年3月首次發布Firefly以來，使用者用它所生成的圖像已超過130億張。</p> <p>去年3月問世的Firefly為一創意生成式AI家族，主要成員包括可生成圖像的Firefly Image Model，可生成向量模型的Firefly Vector Model，可生成海報或傳單的Firefly Design Model，以及今年新增的影像生成模型Firefly Video Model，這一年多來，Adobe已將Firefly整合到Photoshop、Express、Illustrator及Substance 3D等應用中，亦讓Firefly支援Creative Cloud應用的許多流程。現階段的Firefly可辨識超過100種的文字提示。</p> <p>新的Firefly Video Model允許使用者輸入文字敘述或靜態的參考圖像，並將它們轉成影像。該模型可用來生成自然世界的影片；或是藉由影像中的圖片來生成可填補空缺的B捲；也能利用攝影機的角度、運動及縮放等控制功能來建立完美視角；或者生成各種效果，再將它們整合至既有的影像上。</p> <p>在Adobe所提供的<a href="https://blog.adobe.com/en/publish/2024/10/14/generate-video-beta-on-firefly-web-app" target="_blank">案例</a>中，使用者只要利用文字描述場景、紋理、顏色、景深、前景、拍攝風格及角色的動態，系統就能自動生成影片。</p> <p>至於現身於Creative Cloud中的新功能則包括現身於Premiere Pro測試版中的Generative Extend，它奠基於Firefly Video Model，允許使用者延伸影片的片段，以填補影像素材的空隙。另也強化了Firefly Image 3，加快其生成圖像的速度，約是以往模型的4倍快。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/3x-QahB3PdQ?si=9P_j4kAUNKOrOQls" title="YouTube video player" width="560px"></iframe></div> <p>於Photoshop中出現的生成式工作區（Generative Workspace）測試版則是提供一個讓不同設計師共同腦力激盪的園地。在Illustrator中的新版Firefly Video Model可進一步控制單一圖案中元素之間的間距，改變元素結合的緊密度。</p> <p>有限公開測試代表使用者必須提出<a href="https://www.adobe.com/products/firefly/features/ai-video-generator.html" target="_blank">申請</a>才能試用Firefly Video Model，但試用期間是免費的。</p> <p>本周Adobe亦開始預覽<a href="https://blog.adobe.com/en/publish/2024/10/14/new-creative-beginnings-gen-ai-redefining-ideation-with-project-concept" target="_blank">Project Concept</a>，協助設計師利用AI來發現、創造及分享概念。Adobe指出，早期的創作經常受限於資源，藉由AI的協助，創作者將能快速地整合靈感與資產，此一支援多人協作Project Concept預計很快就會進入封閉測試階段。</p> </div></div></div>
2024/10/15 11:09作者陳曉莉https://www.ithome.com.tw/news/165491
Google推企業級Gemini Code Assist，可根據組織程式碼儲存庫生成建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google現推出企業級人工智慧程式碼輔助工具<a href="https://cloud.google.com/blog/products/application-development/introducing-gemini-code-assist-enterprise">Gemini Code Assist Enterprise</a>，該工具提供本地程式碼儲存庫深度分析，支援組織內部儲存庫和最佳實踐程式碼客製化建議。開發者可在多種Google雲端服務，以及各種原始碼控制系統使用這項工具，加速程式開發工作流程。</p> <p>Gemini Code Assist Enterprise是建立於Google早前推出人工智慧程式碼輔助工具Gemini Code Assist之上的延伸版本。一般版的Gemini Code Assist主要著重於根據開發者的上下文，自動生成程式碼建議，而Gemini Code Assist Enterprise則新增了程式碼客製化建議能力，能夠依據組織內部的程式碼庫和企業自家最佳實踐生成建議，這將使得生成建議更符合企業特定開發需求。</p> <p>Google強調，Gemini Code Assist Enterprise所使用的Gemini模型，能夠處理更多的Token上下文，因此可協助開發完成更複雜的開發工具，例如跨整個專案自動升級Java版本。Gemini Code Assist Enterprise也整合至BigQuery、Firebase、Colab Enterprise、Apigee等多種Google雲端服務，甚至能夠索引來自GitHub和GitLab的儲存庫等、各種原始碼控制系統和自架服務的儲存庫，讓開發者能夠跨不同平臺加速應用程式開發。</p> <p>除了Gemini Code Assist Enterprise之外，還有多款具備類似程式碼客製化建議功能的工具，例如GitHub Copilot Enterprise與Amazon Q Developer等，也都可以整合企業內部的程式碼儲存庫，並根據企業的開發最佳實踐，生成專屬的程式碼建議，在開發過程中提供開發者與上下文相關建議，並能確保生成的程式碼符合企業特定標準和需求。</p> </div></div></div>
2024/10/15 08:32作者李建興https://www.ithome.com.tw/news/165489
兆勤警告防火牆設備遭到鎖定，攻擊者利用已知漏洞建立SSL VPN通道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週兆勤（Zyxel Networks）針對旗下<a href="https://support.zyxel.eu/hc/en-us/articles/21878875707410-Zyxel-USG-FLEX-and-ATP-series-Upgrading-your-device-and-ALL-credentials-to-avoid-hackers-attacks">USG Flex、ATP系列防火牆用戶提出警告</a>，指出他們在歐洲、中東、非洲地區（EMEA）的團隊發現鎖定該廠牌資安設備的攻擊行動，駭客針對特定的漏洞而來，呼籲用戶要採取相關行動因應。</p> <p>根據他們的調查，攻擊者藉由漏洞竊得有效的帳密資料，並能為臨時使用者建立SSL VPN通道，而且，還會竄改防火牆的資安政策，並藉此控制防火牆、存取網路環境。該公司提及，攻擊者使用的臨時使用者名稱包含了SUPPOR87、SUPPOR817，以及VPN。</p> <p>不過，對於駭客利用的漏洞，兆勤並未進一步說明細節。</p> <p>針對受這波攻擊影響的範圍，該公司指出涵蓋執行ZLD V4.32至5.38版韌體的防火牆，而且啟用遠端管理或SSL VPN的功能。此外，這些遭到攻擊的防火牆，管理員及使用者的帳密資料，過往未曾進行更新。但他們強調，執行Nebula雲端管理模式的防火牆不受影響。</p> <p>根據他們的調查，一旦防火牆遭到入侵，IT人員會看到一些不尋常的狀況，例如：出現特定帳號名稱的SSL VPN連線，而且這些連線通常是從無法識別的IP位址登入，再者，防火牆的規則也可能會出現被竄改的情形。若是啟動SecuReporter事件記錄功能，管理者可以看到攻擊者利用管理員帳號進行連線的記錄。</p> <p>若是確認防火牆遭到入侵，該公司指出IT人員應升級最新的5.39版韌體，並更換所有的管理員及使用者密碼，移除並強制登出來路不明的帳號，以及刪除完全開放WAN、SSL VPN區域連線的防火牆規則。此外，他們也呼籲用戶套用最佳實務來提升防護強度。</p> <p>針對此事我們也向兆勤詢問，該公司表示攻擊者很有可能利用已經公開的漏洞，對EMEA用戶發動攻擊，他們將持續進行監控，並呼籲用戶儘速採用行動來降低風險。</p> </div></div></div>
2024/10/14 17:53作者周峻佑https://www.ithome.com.tw/news/165487
【資安日報】10月14日，Windows核心漏洞傳出遭伊朗駭客OilRig利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末有數起攻擊行動引起資安圈高度關注，其中一起就是伊朗駭客OilRig對於阿拉伯聯合大公國（UAE）及周邊海灣地區攻擊升溫，而其中一種提升權限的方法，就是利用今年6月微軟公告的已知漏洞CVE-2024-30088。</p> <p>值得留意的是，這些駭客向來針對石油及天然氣相關的關鍵基礎設施下手，一旦得逞，很有可能左右這些能源的供應。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165484"><strong style="font-size: 22px;">Windows核心漏洞遭伊朗駭客OilRig用於提升權限，便於後續植入後門程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Simnavaz-Fig01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Simnavaz-Fig01.png" style="width: 300px; float: right;" /></a>微軟今年6月修補高風險權限提升漏洞CVE-2024-30088，該漏洞存在於Windows作業系統核心，CVSS風險評為7.0分，當時該公司就表示很有可能已經被利用，如今有研究人員證實，駭客確實將其用於攻擊行動。</p> <p>資安業者趨勢科技揭露匿稱為APT34、Europium、Helix Kitten的伊朗駭客組織OilRig近期的攻擊行動，這些駭客主要的攻擊目標是能源產業，尤其是與石油及天然氣相關的關鍵基礎設施，研究人員發現，最近幾個月以來，該組織針對阿拉伯聯合大公國（UAE）及周邊海灣地區政府部門的攻擊行動，出現顯著增加的現象，過程裡駭客運用架構複雜的後門程式，企圖挖掘受害Exchange伺服器的帳密資料，並在作案工具加入CVE-2024-30088，以便於受害環境當中提升權限。</p> <p>一旦他們成功進入受害組織的網路環境，就會下載遠端管理工具ngrok進行橫向移動，從而存取網域控制器（DC）。過程中駭客使用公開工具RunPE-In-Memory將二進位程式載入記憶體內運作，從而觸發CVE-2024-30088提升權限。</p> <p><a href="https://www.ithome.com.tw/news/165467"><strong style="font-size: 22px;">卡西歐遭勒索軟體攻擊，攻擊者也曾駭入臺灣公司</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/underground-casio.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/underground-casio.jpg" style="width: 300px; float: right;" /></a>日本電子大廠卡西歐（Casio）證實遭勒索軟體攻擊，造成公司多個系統無法使用，以及數量尚未確定的員工資料及部分客戶個資外洩。附帶一提的是，發動攻擊的駭客組織曾對臺灣廠商下手。</p> <p>上周卡西歐透過官網公告，10月5日該公司確認遭網路攻擊，經過調查顯示，未經授權的存取，致使該公司部份伺服器故障，造成多個系統無法運作，並導致一些服務斷線迄今。10月11日卡西歐公布初步調查結果，該公司及其關聯公司部分個資和機密資訊已外洩。</p> <p>而對於攻擊者的身分，根據資安新聞網站Bleeping Computer的報導，很有可能是專門使用勒索軟體Underground從事攻擊行動的俄羅斯駭客組織RomCom（Storm-0978）。根據8月資安業者Fortinet公布調查該組織的結果，指出其中有臺灣的工廠於7月18日受害。</p> <p><a href="https://www.ithome.com.tw/news/165448"><strong style="font-size: 22px;">9月俄羅斯防毒軟體業者Dr.Web遇網攻，有烏克蘭駭客聲稱是他們所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dumpforums-russian-cybersecurity-firm-dr-web-breach-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dumpforums-russian-cybersecurity-firm-dr-web-breach-6.jpg" style="width: 300px; float: right;" /></a>9月17日俄羅斯防毒業者Dr.Web發布公告，指出14日遭遇目標式攻擊，駭客企圖破壞他們的基礎設施，但並未成功。當時該公司將所有的資源切斷網路連線，並進行檢查，他們一度暫停更新病毒特徵碼資料庫。事隔近1個月，這起事故有了新的發展。</p> <p>根據資安新聞網站HackRaed的報導，10月8日有人在支持烏克蘭的駭客論壇DumpForums宣稱，這起事故是他們所為，該組人馬已成功入侵該防毒業者的基礎設施，並在短短幾天內存取伺服器及資源，總共竊得超過10 TB內部資料。</p> <p>對此Dr.Web在10月9日發布聲明，表示他們知悉有人在Telegram頻道宣稱成功攻擊基礎設施的情況，並強調這些描述大多都是假的，該公司開發環境及客戶資料並未受到這起資安事故影響，他們的軟體元件及病毒資料庫也不會對用戶造成威脅。</p> <p><a href="https://www.ithome.com.tw/news/165466"><strong style="font-size: 22px;">OpenAI取締駭客用AI進行認知作戰</strong></a></p> <p>OpenAI近日公布非法使用整頓報告，揭露駭客以其AI工具撰寫惡意程式及生成內容，散布到X、Meta等社群平臺發動認知作戰的趨勢。</p> <p>過去3個月OpenAI偵測並阻止5起使用其模型協助欺騙性行動的隱匿式影響力作戰，其中2起和俄羅斯有關，中國和伊朗相關活動各1起，以及與以色列商業公司有關的活動。其中俄羅斯利用其模型設計X、Telegram、臉書、9GAG等社群平臺的政治宣傳訊息，或開發貼文及按讚機器人，用於對烏克蘭、波羅的海地區用戶認知作戰。疑似與中國公安部有關的駭客組織Spamouflage，利用Meta散布批評異議人士如蔡霞的內容。</p> <p>伊朗組織國際虛擬媒體聯盟（IUVM）以AI優化網站主題及內容，散布反美、反以色列的內容。以色列則是由民間公司STOIC發動Zero Zeno活動，在社群平臺、YouTube釋放反哈瑪斯、支持占領加薩走廊、反印度執政黨BJP訊息。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cofense.com/blog/tax-extension-malware-campaign">駭客濫用GitHub儲存庫評論埋藏惡意軟體Remcos RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cisa.gov/news-events/alerts/2024/10/10/best-practices-configure-big-ip-ltm-systems-encrypt-http-persistence-cookies">F5 BIG-IP設備被攻擊者用於偵察、映射網路環境的伺服器</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/inc-ransomware-rebrand-to-lynx/">勒索軟體Inc捲土重來，駭客打造Lynx從事攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.torproject.org/new-release-tails-6-8-1/">Tor瀏覽器用戶遭到Firefox零時差漏洞鎖定</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165435"><strong style="font-size: 22px;">SAP發布10月例行更新，呼籲用戶儘速修補BusinessObjects重大漏洞</strong></a></p> <p>SAP發布10月份例行安全更新，總共包含6則新的資安公告，並更新6則已經發布的公告。根據CVSS風險評分的高低，最嚴重的是在8月已經修補的商業智慧平臺BusinessObjects漏洞CVE-2024-41730。</p> <p>這項漏洞發生的原因是缺乏身分驗證的檢核，導致在啟用單一簽入（SSO）的企業環境中，攻擊者有機會在未經授權的情況下，竊得登入系統的憑證（Token），CVSS風險達到9.8分。資安業者Onapsis指出，該公司本月更新公告內容，主要是為SBOP BI Platform Servers 4.2 SP009提供對應的修補程式。</p> <p><a href="https://www.ithome.com.tw/news/165423"><strong style="font-size: 22px;">Apache Avro軟體開發套件存在高風險漏洞，攻擊者有機會遠端於Java應用程式執行任意程式碼</strong></a></p> <p>10月3日Apache基金會發布公告，表明旗下的資料序列化框架Avro存在資安漏洞CVE-2024-47561，該漏洞發生在Java軟體開發套件（SDK），CVSS風險評分達到7.3，影響1.11.3之前的版本，該基金會發布1.11.4及1.12.0修補。</p> <p>開發團隊表示，問題出在舊版Avro的Java SDK處理Schema過程中，攻擊者有機會觸發漏洞並執行任意程式碼，呼籲用戶儘速套用新版程式，後續他們回答提問時提到：假如使用者能夠提供自己的Schema，任何應用程式都有可能受到影響。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/researchers-uncover-major-security.html">工控製造訊息規範MMS通訊協定存在重大漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165398"><strong style="font-size: 22px;">導入零信任架構的五步驟：從內向外的安全策略</strong></a></p> <p>零信任架構的提出者、也是現任Illumio傳道士John Kindervag表示，零信任的實施可以分成五個步驟，這些步驟目的在於在簡化安全流程，確保系統的每個保護面得到充分保護。</p> <p>導入零信任的第一步是：明確定義需要保護的核心資產、最具有價值的保護標的為何，就是「保護面」（Protect Surface）。第二步，企業組織必須全面了解系統的交易流，因為只有在理解這些流動的基礎上，才能準確地設計出合適的安全策略，以保護每個保護面。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165452"><strong>【10月11日】Mozilla修補遭到利用的Firefox零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165409"><strong>【10月9日】零信任之父第一手導讀零信任架構</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165396"><strong>【10月8日】美國水力關鍵基礎設施再傳遭遇網路攻擊</strong></a></p> </div></div></div>
2024/10/14 18:07作者周峻佑https://www.ithome.com.tw/news/165488
Windows核心漏洞遭伊朗駭客OilRig用於提升權限，便於後續植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://www.ithome.com.tw/news/163421">今年6月</a>修補高風險權限提升漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-30088">CVE-2024-30088</a>，該漏洞存在於Windows作業系統核心，CVSS風險評為7.0分，當時該公司就表示很有可能已經被利用，如今有研究人員證實，駭客確實將其用於攻擊行動。</p> <p>資安業者趨勢科技揭露<a href="https://www.trendmicro.com/en_us/research/24/j/earth-simnavaz-cyberattacks-uae-gulf-regions.html">匿稱為APT34、Europium、Helix Kitten的伊朗駭客組織OilRig近期的攻擊行動</a>，這些駭客主要的攻擊目標是能源產業，尤其是與石油及天然氣相關的關鍵基礎設施，研究人員發現，該組織最近幾個月針對阿拉伯聯合大公國（UAE）及周邊海灣地區政府部門的攻擊行動出現顯著增加的現象，過程裡駭客運用架構複雜的後門程式，企圖挖掘受害Exchange伺服器的帳密資料，並在作案工具加入CVE-2024-30088，以便於受害環境當中提升權限。</p> <p>針對駭客的攻擊行動，最初是針對存在弱點的網頁伺服器植入Web Shell，駭客藉此於受害主機執行PowerShell程式碼，並且下載、上傳檔案。</p> <p>一旦他們成功進入受害組織的網路環境，就會下載遠端管理工具ngrok進行橫向移動，從而存取網域控制器（DC）。過程中駭客使用公開工具RunPE-In-Memory將二進位程式載入記憶體內運作，從而觸發CVE-2024-30088提升權限。</p> <p>接著，駭客植入能攔截密碼的DLL程式庫，並於Exchange伺服器部署能洩露敏感資料的後門程式，而收集到的資料則會轉送到駭客的電子郵件信箱。研究人員指出，這些駭客還會藉由受害組織向其他政府機關下手，進行供應鏈攻擊。</p> </div></div></div>
2024/10/14 16:56作者周峻佑https://www.ithome.com.tw/news/165484
零售IT雙周報第43期：不用再翻翻找找！Amazon打造物流士用AI車廂內揀貨助手，到送貨點就會標註出對應物件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0922~1005)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#訂單履行 #物件辨識 #司機送貨</span></strong></span><br /> <strong>不用再翻翻找找！Amazon打造物流士用AI車廂內揀貨助手，投影出圈圈叉叉標出當下送貨點所需商品</strong></p> <p>將商品放進貨車車廂時，貨運司機往往需要同時考量空間最大化利用和送貨順序等複雜的因素，到每個送貨點，還需要翻找車廂內商品，閱讀商品描述、條碼、標籤、收貨資訊，才能蒐集齊該站點所需商品。這個翻找和揀貨過程每個站點都會花上幾分鐘，一天下來消耗可觀時間成本。</p> <p><a href="https://www.aboutamazon.com/news/transportation/amazon-vapr-delivery-van-packages">因應此痛點，Amazon打造了一套AI車廂內揀貨助手Vision-Assisted Package Retrieval （VAPR）</a>。到達一個送貨點時，AI會辨認出該站點所需商品，用貨架上投影機打上綠色的圈，並於其他商品投影紅色的叉。這樣一來，司機便能快速集齊要拿下車的商品。Amazon計畫在2025年初啟用超過1,000臺搭載VAPR的貨車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/vapr2.jpg" style="width: 600px;" /></p> <p>VAPR技術基礎是Amazon物流中心內的商品視覺辨識技術Amazon Robotics Identification （AR-ID），可以即時定位和解讀多個條碼，用來取代手動掃描包裝條碼。搭載AR-ID的VAPR能利用專門為貨車車廂光照條件設計的鏡頭，來辨認不同包裝特徵及標籤，接著，再利用車內投影機標示出商品是否屬於該送貨點。</p> <p>初期測試顯示，VAPR把一個送貨點的揀貨時間從2至5分鐘縮短到1分鐘左右，一趟能省下司機約30分鐘。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#生成式AI #AI客服 #LLM #個人化購物 #AR購物 #沉浸式電商 #AdaptiveRetail</span></strong></span><br /> <strong>Walmart揭露一系列Adaptive Retail戰略新做法，利用生成式AI打造更多不同購物接觸點的個人化體驗</strong></p> <p><a href="https://corporate.walmart.com/news/2024/10/09/walmart-reveals-plan-for-scaling-artificial-intelligence-generative-ai-augmented-reality-and-immersive-commerce-experiences">零售龍頭Walmart近日揭露自家零售戰略Adaptive Retail的更多具體做法</a>，利用許多自家開發的AI與生成式AI技術，來大規模生成素材，支援不同購物通路的個人化體驗。</p> <p>第一個關鍵做法是Wallaby，一系列利用Walmart數十年數據訓練而成的零售領域LLM。這些LLM是他們在自家不同通路生成個人化體驗素材的技術基礎，也會與其他LLM並用。</p> <p>第二項做法是打造一個生成式AI客服機器人，能根據顧客身分來存取顧客訂單、退換貨請求等資訊，以進一步理解顧客需求，來應答或採取行動。</p> <p>第三是打造一個「內容決策平臺」（Content Decision Platform）。在顧客造訪電商等線上通路時，先用預測型AI等技術來分析顧客行為，再用生成式AI產出對應內容──而非只是利用AI重新排列組合不同版面元素。目前Walmart電商網站已經有部分內容採用此做法。他們預計明年年底於美國市場全面應用此技術，在每一個顧客造訪電商時，生成專屬首頁。</p> <p>第四個做法是打造AR平臺Retina，利用RPA、AI與生成式AI技術，來生成成千上萬個3D素材，用於AR購物體驗。目前Retina支援Walmart大大小小共10個AR購物體驗，以及沉浸式電商API（Immersive Commerce API）。後者是一個供外部開發者用來打造沉浸式電商的服務，目前開發者已經能透過Unity來存取此API。Walmart未來還計畫利用此平臺來打造頭戴式裝置的AR購物體驗，以及將現行AR購物體驗拓展到其他國家市場。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#LBS行銷 #遊戲化行銷 #門市內行銷 #智慧購物車</span></strong><br /> <strong>利用顧客數據及門市內地理位置數據，Instacart為智慧購物車打造門市內遊戲化行銷體驗</strong></p> <p>零售行銷科技廠商Instacart結合顧客數據與門市內走道等級的地理位置和商品數據，為旗下智慧購物車Caper Cart<a href="https://www.instacart.com/company/pressreleases/instacart-launches-new-gamified-capabilities-savings-on-caper-carts/">新增了3種LBS行銷功能</a>：LBS購物遊戲、LBS折價券與LBS廣告。</p> <p>購物遊戲是顧客在門市內購物過程中參與的互動任務，透過Caper Cart螢幕呈現。顧客可以透過完成特定挑戰來獲得獎勵，例如「尋寶遊戲」，於顧客所在位置呈現出商品限時折價優惠。或者，完成多次來店或重複購買等，包裝成遊戲任務的忠誠度計畫，來獲得折扣。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/capercart.jpg" style="width: 600px;" /></p> <p>LBS折價券功能是傳送顧客所在走道附近商品的折扣通知。這項技術利用Caper Cart的室內定位能力，搭配顧客購買紀錄或購物車內容，提供個人化優惠。與此類似的LBS廣告功能，則是呈現特定商品或品牌的行銷素材，讓顧客快速加入購物車。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#視覺化搜尋 #以圖搜圖</span></strong></span><br /> <strong>Amazon推出5種商品視覺搜尋功能</strong></p> <p><a href="https://www.aboutamazon.com/news/retail/visual-search-shopping-features">Amazon推出了5種新的商品視覺化搜尋功能</a>，包含視覺化建議，影像加文字的搜尋，相似商品視覺化推薦，搜尋結果播放影片以及圈選搜尋。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/avs1.png" style="width: 600px;" /></p> <p>視覺建議功能會根據顧客輸入的搜尋詞呈現相關商品圖片，顧客可以點選最接近心目中商品的照片進行搜尋。影像加文字搜尋是，顧客上傳商品圖片來以圖尋找商品時，可以搭配描述文字來進一步描述搜尋結果。相似商品推薦功能，則是呈現顯示視覺上與一件商品相似的產品。搜尋結果中的影片，顧名思義是直接在搜尋結果頁面呈現商品影片。圈選搜尋則可圈出圖片中的特定單品，來快速以圖搜尋商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/avs%202.jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#視覺化搜尋 #以圖搜圖</span></strong></p> <p><strong>Google推出3種商品視覺搜尋功能</strong></p> <p><a href="https://blog.google/products/shopping/visual-search-lens-shopping/">Google近期也推出3種商品視覺搜尋功能</a>：Google Lens搜尋、即時搜尋螢幕畫面上物品，以及影像加文字的搜尋。Google Lens搜尋商品類似於以圖搜圖功能，使用者即時拍照或上傳照片到Google Lens，便會呈現出商品搜尋結果頁面，頁面包括價格、優惠和評論資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gvs.jpg" style="height: 500px;" /></p> <p>即時搜尋螢幕畫面上物品功能，是用Android圈選搜尋功能來以圖搜圖；影像加文字搜尋功能則是可以搭配描述文字來獲得更精確的搜尋結果。</p> <p>這些視覺化搜尋結果來自Google自家收錄了450億項商品的Shopping Graph資料集。使用者上傳圖片後，系統便是利用電腦視覺技術，與Shopping Graph數據比對出相似商品。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#生成式AI #顧客教育</span></strong></span><br /> <strong>Amazon推出又一生成式AI購物助手，根據搜尋商品類型呈現相關知識以協助購物決策</strong></p> <p>推出生成式AI對話式購物助手Rufus後，<a href="https://www.aboutamazon.com/news/retail/amazon-ai-shopping-guides-product-research-recommendations">Amazon推出又一生成式AI購物輔助功能</a>，在購客搜尋商品時，呈現購物時相關知識，包括建議考慮條件、熱門品牌、更多商品專屬分類等，以協助購物決策。例如，搜尋電視商品時，會生成解析度、面板分類、更新率等知識，或是室外電視、可攜帶電視等專屬於電視的分類等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amzguidejpg.jpg" style="width: 500px;" /></p> <p>此功能支援超過100類商品，相關知識是由LLM蒐集商品目錄中的特徵、使用情境、功能、品牌和術語，再根據顧客搜尋內容生成。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#RMN #日本全家 #OMO行銷</span></strong></span><br /> <strong>日本全家怎麼做RMN</strong></p> <p>近日一場活動中，日本全家便利商店行銷長足立光介紹自家RMN布局。日本全家RMN FamilyMart Media的主要行銷通路包括門市螢幕FamilyMartVision和支付工具 FamiPay。</p> <p>主要行銷形式是，利用第一方數據，來投放影音數位廣告。他們也會製作行銷內容，投放到社群媒體等外部通路，例如推特、Line、臉書等。日本全家數據來源包含自家線上App及線下會員消費數據，以及電信商Docomo、連鎖賣場唐吉訶德等合作廠商數據，手握超過3,500萬筆廣告ID。追蹤RMN行銷成效做法是，交叉分析消費行為、App使用情況、AI 攝影機數據、問卷調查等數據。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/jpfmm(1).jpg" style="width: 600px;" /></p> <p>相較臺灣全家，日本全家做法更像是傳統程式化數位廣告加上門市內展示廣告，利用數據來大規模推送格式較標準化的廣告。臺灣全家則更類似整合行銷，為不同行銷案件設計不同通路和行銷手法，廣告格式也更多元，除了靜態和動態影像，還有App上多種互動式行銷模組、個人化商場、票券等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#LLMOps #推薦系統 #Line購物</span></strong></span><br /> <strong>Line購物如何打造導購推薦系統</strong></p> <p>收錄千萬商品的導購型電商Line購物如何利用機器學習，甚至生成式AI，來找出0.001%高度吸引顧客的商品？他們打造了一套以機器學習驅動的核心推薦系統Brickmaster，用檢索、排名、再排名3階段，逐步挑選出商品給顧客。</p> <p>Brickmaster背後利用哪些數據、如何設計ML機制、如何打造可信任框架讓非技術主管也能對推薦成效一目了然？本刊封面故事<a href="https://www.ithome.com.tw/article/165216">Line購物推薦系統大剖析</a>會進一步說明。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. Walmart會員制零售品牌Sam’s Club將推出3,000坪的無人結帳店</p> <p>2. <a href="https://www.ithome.com.tw/news/165365">駭客鎖定Adobe Commerce、Magento購物網站今年6月公布的重大漏洞CosmicSting下手</a></p> <p>3. <a href="https://www.aboutamazon.com/amazon-fulfillment-center-robotics-ai">Amazon啟用55個足球場大的物流中心，自動化機械數量是過往物流中心10倍多</a></p> <p>資料來源：iThome整理，2024年10月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Amazon、Instacart、Google、郭又華攝影</p> <p></p> </div></div></div>
2024/10/14 14:47作者郭又華https://www.ithome.com.tw/news/165462
WordPress擅自分叉WP Engine的ACF外掛
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress與WP Engine<a href="https://www.ithome.com.tw/news/165222" target="_blank">之間的紛爭</a>似乎愈演愈烈了，WordPress創辦人Matt Mullenweg 上周六（10/12）<a href="https://wordpress.org/news/2024/10/secure-custom-fields/" target="_blank">宣布</a>，已援引WordPress外掛程式準則中的<a href="https://github.com/wordpress/wporg-plugin-guidelines/blob/trunk/guideline-18.md" target="_blank">第18條</a>，將隸屬於WP Engine的進階客製化欄位（Advanced Custom Fields，ACF）外掛程式分叉成安全客製化欄位（Secure Custom Fields，SCF）。</p> <p>該條款主要保留了WordPress維護外掛程式目錄的權利，而相較於ACF，SCF主要移除了商業升級服務，並修復了ACF中的安全問題。現在連進原本屬於ACF的<a href="https://tw.wordpress.org/plugins/advanced-custom-fields/" target="_blank">外掛程式網頁</a>，出現的已是SCF。此舉意謂著ACF用戶若使用WordPress.org的更新服務，即會直接被置換成SCF。</p> <p>ACF團隊<a href="https://x.com/wp_acf/status/1845169499064107049" target="_blank">表示</a>，在長達21年的WordPress歷史中，建立者從未在沒有經過同意的情況下，單方面地奪走一個正在積極開發的外掛程式，但ACF已被WordPress.org接管。一名自由軟體開發者Gavin Anderegg也替ACF發聲，<a href="https://anderegg.ca/2024/10/13/acf-has-been-hijacked" target="_blank">指出</a>SCF並非真的是個分叉，Mullenweg基本上是劫持了WordPress社群最著名的外掛程式之一。</p> <p>ACF團隊<a href="https://www.advancedcustomfields.com/blog/acf-plugin-no-longer-available-on-wordpress-org/" target="_blank">說明</a>，ACF是個複雜的外掛程式，擁有超過20萬行程式碼，自從加入WP Engine之後，這兩年發布超過15個版本，Mullenweg的更新，是惡意地要將數萬個ACF安裝置換成不可靠的程式碼。</p> <p>Anderegg指出，他原本以為WordPress只會在外掛程式目錄中移除ACF，從沒想到會劫持ACF。而不管是Anderegg或是先前曾<a href="https://www.ithome.com.tw/news/165444" target="_blank">批評</a>Automattic的<a href="https://world.hey.com/dhh/open-source-royalty-and-mad-kings-a8f79d16" target="_blank">David Heinemeier Hansso</a>n，都認為Mullenweg的行為已趨近瘋狂。</p> <p>Hansson說，在這一場合約的糾紛中，利用像是WordPress這樣的開源專案當作籌碼，並以外掛程式註冊表當作武器，危害了開源社群這幾十年來的和平，呼籲Mullenweg停止這樣的行為。</p> <p>其實Mullenweg最近還做了另外一件事，在使用者要<a href="https://login.wordpress.org/" target="_blank">登入</a>WordPress.org時，除了輸入帳號及密碼之外，也要求使用者要勾選「我與WP Engine毫無關係」（I am not affiliated with WP Engine in any way, financially or otherwise）的選擇框，才能成功登入。</p> </div></div></div>
2024/10/14 13:47作者陳曉莉https://www.ithome.com.tw/news/165480
【資安週報】1007~1011，零信任之父在臺親自解析零信任架構，同時點出4大誤解需要釐清
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在10月雙十國慶這一星期，在關注慶祝活動與中共軍事演習行動之餘，資安相關新聞同樣引人注目，在資安防禦消息方面，零信任議題的最受關注，因為全球第一個提出零信任架構的資安專家John Kindervag今年二度來臺，特別的是，上月他是在SEMICON Taiwan 2024召開的半導體資安趨勢高峰論壇發表演說，顯示零信任在全球資安已是顯學，半導體產業要做好資安，當然也必須了解並落實這個概念。</p> <p>近年來零信任雖然受到各界廣泛討論，但也漸漸產生一些認定與推動的歧見，此次John Kindervag遠道而來，分享其在網路戰爭與零信任架構上的深刻見解，因此他特別點出4個常見謬誤，以及企業導入零信任架構的五步驟，有助於大家重新正確理解零信任的基本概念。</p> <p>在資安事件方面，有3起與臺灣息息相關的事件需要我們重視，其中以駭客組織NoName057對臺發動第二波DDoS攻擊最受關注，包括聯電、緯創、世芯等半導體大廠，以及知名傳產台塑化，均發布資安重訊說明遭遇DDoS攻擊。由於這些消息發布多集中於週末期間，加上該駭客組織攻擊歐洲多國關鍵CI網站服務之後，一再鎖定臺灣攻擊，這種騷擾式攻擊恐成常態，國人應持續警戒，不可鬆懈。</p> <p>●聯電、緯創、世芯、松上、台塑化、發布重訊表示遭DDoS攻擊，親俄駭客組織NoName057再次宣稱是他們所為，數十個市公所與地檢署網站也是其目標。<br /> ●儲存設備業者喬鼎資訊發布重大訊息，說明遭遇網路攻擊，已啟動防護機制並對受害主機進行隔離。<br /> ●網傳PChome疑似資料庫外洩，網路家庭澄清並無此事，但該公司研判可能遭遇撞庫攻擊惹議，後續狀況值得留意。<br /> ●富達投資向美國緬因州等通報客戶個資外洩事故，7.7萬客戶個資受影響。<br /> ●Internet Archive遭駭，首頁內容遭置換，並發生逾3,100萬筆帳號外洩。</p> <p>這一星期適逢多家IT廠商發布每月例行安全更新，包含微軟、SAP等眾多業者針對多項重大漏洞釋出修補，企業組織應盡快進行評估與落實修補、緩解弱點的作業，還有6個漏洞已發現遭利用，格外需要留意。</p> <p>●微軟修補5個已被公開的零時差漏洞，其中有2個已遭利用，分別是涉及MSHTML的漏洞CVE-2024-43573，以及涉及MMC的漏洞CVE-2024-43572。<br /> ●高通修補多款晶片組中的零時差漏洞CVE-2024-43037，Google TAG指出已有利用跡象，後續Andorid系統的修補時程值得留意。<br /> ●Ivanti修補雲端服務設備CSA的3個零時差漏洞，分別是CVE-2024-9379、CVE-2024-9380、CVE-2024-9381，指出已有部分用戶的系統遭遇漏洞濫用活動。<br /> ●Fortinet在2月修補的已知漏洞CVE-2024-23113，近日發現有攻擊者針對未修補用戶來攻擊的情形。</p> <p>至於資安威脅態勢方面，大型電信公司遭滲透一事，引發國際關注。美國有多家電信業者遭遭中國駭客組織Salt Typhoon入侵，包括AT&T、Verizon與Lumen，而且駭客是針對特定目標而來，也就是針對美國政府合法向電信業要求資料的系統。此事件不僅引發美國政府的高度關注，全球電信業者也需要警惕。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165372"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月7日】親俄駭客傳出再度發動DDoS攻擊，多家上市櫃公司網站受到影響</span></strong></a></h3> <p>親俄駭客NoName057因總統賴清德接受媒體採訪的回答裡，提及中國政府一再主張的維護領土完整性，認為他們應該要奪回清朝簽訂璦琿條約而割讓俄羅斯的土地，而引起駭客不滿，已於9月發起一波DDoS攻擊行動，上週又有企業組織傳出受害，並於股市公開觀測站發布重大訊息。</p> <p>值得留意的是，這些駭客不光針對企業而來，他們這次的目標也涵蓋臺灣多個政府機關。</p> <h3><a href="https://www.ithome.com.tw/news/165396"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月8日】美國水力關鍵基礎設施再傳遭遇網路攻擊</span></strong></a></h3> <p>最近幾年針對美國水力設施發動攻擊的情況不時傳出，例如：去年底<a href="https://www.ithome.com.tw/news/160133">伊朗駭客Cyber Av3ngers攻擊賓州阿里奎帕市水務局</a>，理由是該機構採用以色列自動化控制業者Unitronics的系統而成為目標；今年4月，<a href="https://www.ithome.com.tw/news/162507">德州小鎮供水系統傳出因遭到攻擊而失控</a>，資安業者Mandiant指出，很有可能是俄羅斯駭客Sandworm所為。這些事故多半針對地方供水系統而來，如今有橫跨14個州的業者American Water遭到網路攻擊而引起關注。</p> <p>值得留意的是，雖然該公司強調營運並未受到影響，但其網站至截稿為止並未恢復正常，實際影響有待觀察。</p> <p><a href="https://www.ithome.com.tw/news/165409"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月9日】零信任之父第一手導讀零信任架構</span></strong></a></p> <p>隨著資安威脅與日俱增，零信任架構成為最近幾年的熱門話題。但究竟什麼是零信任架構？在14年前提出此戰略理念的零信任之父John Kindervag，日前在國際半導體展（SEMICON 2024）召開的半導體資安趨勢高峰論壇發表演說，指出其核心理念就是「拒絕信任」。</p> <p>他以美國特勤局保護總統的策略來比喻零信任架構，揭示零信任3個核心理念的關鍵要素，企業組織也應該依循這樣的策略，保護資料及網路環境的資產。</p> <p><a href="https://www.ithome.com.tw/news/165452"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月11日】Mozilla修補遭到利用的Firefox零時差漏洞</span></strong></a></p> <p>近期針對瀏覽器的零時差漏洞攻擊不時傳出，其中又以鎖定市占率最高的Chrome較為常見，<a href="https://www.bleepingcomputer.com/news/security/google-tags-a-tenth-chrome-zero-day-as-exploited-this-year/">今年已出現9個零時差漏洞</a>，由於採用其排版引擎開發的瀏覽器也相當多，這些漏洞也同樣波及Edge、Brave、Vivaldi等應用程式，因而受到高度關注。</p> <p>相較之下，利用Firefox未公開漏洞的情況較為少見。最近Mozilla基金會的資安公告引起外界的注意，原因是他們近期修補的一項重大漏洞，已出現實際利用的情況。</p> </div></div></div>
2024/10/14 09:44作者羅正漢https://www.ithome.com.tw/news/165468
Ubuntu屆滿20歲，發布Ubuntu 24.10
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Canonical在10月10日發布了<a href="https://ubuntu.com/blog/canonical-releases-ubuntu-24-10-oracular-oriole" target="_blank">Ubuntu 24.10</a>，宣告Ubuntu正式邁入20歲。Canonical是利用年份及月份來命名Ubuntu，第一個版本是在2004年10月發表的Ubuntu 4.10，因此Ubuntu 24.10就是它的20歲版本。</p> <p>Ubuntu是個基於Debian的開源Linux作業系統，自2004年首次發表以來，很快便成為全球最受歡迎的Linux發行版。它每半年會有一個臨時版（Interim release），提供9個月的支援，每兩年會有一個長期支援版，提供5年的支援，其長期支援版的編號如20.04、22.04或24.04，Ubuntu 24.10則屬於臨時版。</p> <p>Ubuntu 24.10支援最新的Linux 6.11核心，搭載最新的GNOME 47桌面環境，整合了Valkey，強化安全性，同時加入了20周年的紀念元素。</p> <p>過去Canonical通常會使用相對穩定的Linux核心，但從Ubuntu 24.10開始，Canonical決定採用最新的Linux核心，這是一個重大的政策轉變，同時也意味著Ubuntu將可取得最新的Linux功能，也能支援更多的新硬體。GNOME 47除了改善使用者體驗之外，亦強化了效能及穩定性。</p> <p>此外，Ubuntu 24.10是首個預設包含OpenVEX及OSV格式漏洞報告的臨時版本，藉由採用開放標準來降低管理漏洞的複雜度。開源漏洞專案（Open Source Vulnerabilities，OSV）成員暨Google資深軟體工程師Oliver Chang表示，管理開源依賴項的已知漏洞非常困難，Canonical採用了OSV標準將替眾多開源專案簡化此一流程。</p> <p>Ubuntu 24.10也整合了高效能的鍵值資料儲存系統Valkey，可支援快取、訊息佇列及排行榜等任務，可作為獨立伺服器，也能於叢集中運作，已向後移植至Ubuntu 24.04 LTS，也會包含在未來的Ubuntu版本中。</p> <p>而為了慶祝20歲生日，Ubuntu 24.10還提供特殊的斑棕色，周年紀念桌布，以及最原始的啟動聲音。</p> <p>根據市場調查機構Statcounter Global Stats的<a href="https://gs.statcounter.com/os-market-share/desktop/worldwide" target="_blank">調查</a>，桌面作業系統前兩名依序是Windows的73.31%與macOS的15.45%，而Linux則以4.5%排名第三，超越Google Chrome OS的2.25%。而Stack Overflow也<a href="https://survey.stackoverflow.co/2024/technology#1-operating-system" target="_blank">調查</a>了最受開發人員青睞的作業系統，前兩名一樣由Windows及macOS占據，但Ubuntu以27.7%排名第三，是最受市場歡迎的Linux發行版，Debian則以9.8%排名第七。</p> </div></div></div>
2024/10/14 11:32作者陳曉莉https://www.ithome.com.tw/news/165469
卡西歐遭勒索軟體攻擊，攻擊者也曾駭入臺灣公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本消費電子大廠卡西歐（Casio）<a href="https://www.casio.co.jp/release/2024/1011-incident/" target="_blank">上周證實</a>，公司遭勒索軟體攻擊，造成公司多個系統一周無法使用，以及為數不詳的員工資料及部分客戶個資外洩。這個組織並在今年7月攻擊一家臺灣廠商。</p> <p>上周卡西歐透過<a href="https://www.casio.co.jp/release/2024/1008-incident/" target="_blank">官網公告</a>，10月5日該公司確認遭網路攻擊，經過調查顯示，未經授權的存取，致使該公司部份伺服器故障，造成多個系統無法運作，並導致一些服務斷線迄今。10月11日卡西歐公布初步調查結果，該公司及其關聯公司部分個資和機密資訊已外洩。</p> <p class="rtecenter"><a href="https://world.casio.com/news/2024/1011-incident/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-casio-1011-Ransomware%20Attack(2).png" style="width: 600px;" /></a></p> <p>Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/underground-ransomware-claims-attack-on-casio-leaks-stolen-data/" target="_blank">報導</a>，Underground背後的駭客組織宣稱犯案。駭客也在其網站公布其受害公司名單，以及一批卡西歐資料內容。</p> <p>資安業者Fortinet說明，這個組織名為RomCom或Storm-0978，專門部署Underground。Fortinet分析，該駭客組織是濫用Microsoft Office和HTML RCE漏洞CVE-2023-36884以入侵受害者網路，也可能使用電子郵件、或從其他駭客購得存取資料。微軟已在8月份的Patch Tuesday予以修補。</p> <p>根據Fortinet的研究，RomCom公布的受害名單光是從今年2月到7月就有十多家，包含一家臺灣公司。</p> <p>作為最新的受害者，卡西歐說明，10月初的攻擊外洩的資訊包括員工（包括臨時和約聘員工）個資、關聯企業的部份員工的個資、合作夥伴個資，以及應徵者個資、使用過卡西歐服務的部份客戶資訊。此外，卡西歐也被竊走合作夥伴合約、發票、銷售，及其和關係企業的法務、財敄、人事規劃、客服、銷售和技術資訊。</p> </div></div></div>
2024/10/13 20:32作者林妍溱https://www.ithome.com.tw/news/165467
OpenAI取締駭客用AI進行認知作戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://openai.com/global-affairs/an-update-on-disrupting-deceptive-uses-of-ai/" target="_blank">公布</a>非法使用整頓報告，揭露駭客以其AI工具撰寫惡意程式及生成內容，散布到X、Meta等社群平臺發動認知作戰的趨勢。</p> <p>OpenAI推出各種允許開發人員用以開發、微調模型的線上工具，並且致力於執行防範濫用及促進AI內容透明度的政策，其中特別著重隱匿影響力作戰（influence operations，IO，即認知作戰）的偵測和防堵，這類攻擊旨在隱藏行為者的真實身份或意見並操弄公眾意見或影響政治運作結果。</p> <p>根據公布的<a href="https://downloads.ctfassets.net/kftzwdyauwt9/5IMxzTmUclSOAcWUXbkVrK/3cfab518e6b10789ab8843bcca18b633/Threat_Intel_Report.pdf" target="_blank">報告</a>，過去三個月OpenAI偵測並阻止了5起使用其模型協助欺騙性行動的隱匿式影響力作戰，二起和俄羅斯有關，中國和伊朗相關活動各一起，以及一起和以色列商業公司有關的活動。其中俄羅斯利用其模型設計X、Telegram或臉書、9GAG等社群平臺的政治宣傳訊息，或開發貼文及按讚機器人用於對烏克蘭、波羅的海地區用戶認知作戰。可能和中國公安部有關的中國組織Spamouflage，利用Meta散布批評異議人士如蔡霞的內容。</p> <p>伊朗組織國際虛擬媒體聯盟（IUVM）以AI優化網站主題及內容，散布反美、反以色列的內容。以色列則是由民間公司STOIC發動Zero Zeno活動，在社群平臺、YouTube釋放反哈瑪斯、支持占領加薩走廊、反印度執政黨BJP訊息。</p> <p>OpenAI分析近來AI濫用行為，包含以AI設計或優化社群或網站主題與內容，以及利用AI機器人（bot）自行回應貼文、按讚以壯大聲勢。但目前無法做到全由AI生成內容，仍然必須搭配人類小編撰寫文字或從網路上複製謎因。</p> <p>OpenAI重申，該公司已為模型加入安全防護，包括拒絕生成違規的圖片和文字，且使用自製AI工具協助偵測和分析違法使用。</p> <p>有趣的是，雖然OpenAI推出AI工具強化內容平臺的用戶參與度，但OpenAI分析研究顯示，使用AI有助於提升生產力，不過在X、Telegram、Facebook、Medium、Google Blogspot和小型論壇散布AI生成的內容，似乎無助於大幅提升讀者參與度。</p> </div></div></div>
2024/10/13 20:13作者林妍溱https://www.ithome.com.tw/news/165466
英特爾推出AI PC處理器Arrow Lake，主打AI、低耗電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周在<a href="https://www.ithome.com.tw/news/165447" target="_blank">AMD</a>發表新GPU加速器同時，英特爾<a href="https://www.intel.com/content/www/us/en/newsroom/news/core-ultra-200s-series-desktop.html#gs.gjeohj" target="_blank">公布</a>代號Arrow Lake的AI PC處理器Core Ultra 200S系列，主打專用AI執行效能及超低耗電，最多比上一代省電58%，且執行AI應用比對手快50%。</p> <p>英特爾表示Core Ultra 200S系列為PC將把AI PC功能帶入桌機平臺，並將引進第一批玩家級AI PC。Core Ultra 200S系列包含5款，價格294美元的從14核Core Ultra 245KF到589美元的24核Core Ultra 9 285K。最高階的Core Ultra 9 285K最多可包含8個次世代效能核心（P-Core），及最多16個省電核心（E-Core），其中P-Core也號稱是桌機處理器效能最快，在多執行緒工作負載比前一代Intel Core i9（14900K）的效能提高14%。</p> <p>Core Ultra 200S將在2024年10月24日於零售與線上通路開賣，搭載這款處理器的PC也會同時上市。</p> <p>根據<a href="https://download.intel.com/newsroom/2024/client-computing/Product-Brief-Intel-Core-Ultra-200S-series-processors.pdf" target="_blank">官方資料</a>，Ultra 200S新採用整合式NPU及Xe LPG Graphics架構GPU用於AI加速。專用NPU可提供13 TOP/s的AI算力，GPU最高提供8 TOP/s，CPU最高提供15 TOPs，總和平臺算力可達36 TOPs。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Intel%20Core%20Ultra%20200S-2.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／英特爾</span></span></p> <p>今年6月英特爾公布的Lunar Lake處理器已具備48 TOPS算力，但是英特爾稱Arrow Lake是該公司第一款，也是最好的玩家級的AI PC處理器，理由是它是首款有專用AI加速器（NPU）的玩家級PC處理器。</p> <p>Core Ultra 200S系列強調內容製作和電玩應用執行上具備強大效能。英特爾說明，Core Ultra 200S（Ultra 9 285K）執行AI創作者應用，如製作影片或圖片時，效能比競爭者（AMD Ryzen 9）高50%，創新設計將AI運算執行在專屬NPU上，使獨立Xe GPU的效能可用於遊戲影格效率（frame rate），因而大幅降低AI作業負載的能耗，實現遊戲中的輔助應用場景，像是臉部和動作追蹤，卻不影響遊戲效能。</p> <p>而在每日一般應用中，Core Ultra 200S也號稱在耗電省58%，在電玩應用則最高省電165瓦，單一執行緒應用效能較前代高6%，而在多執行應用效能最多快14%。</p> <p>其他規格方面，Core Ultra 200S系列採用的Intel 800系列晶片組，將平臺相容性擴展到24 PCIe 4.0 lane、最多8 TATA 3.0 ports及最多10 USB 3.2 port，可使用最新路連網或儲存設備。新系列支援2 Thunderbolt 4 ports、Wi-Fi 6E及Bluetooth 5.3。其新的記憶體控制器支援新的XMP和CUDIMM DDR5，每DIMM 48GB，總和最高192GB。Ultra 200S並以Silicon Security Engine提供硬體驗證，確保經授權的人員和應用才能存取資料。</p> </div></div></div>
2024/10/12 22:55作者林妍溱https://www.ithome.com.tw/news/165465
AI趨勢周報第261期：UI螢幕互動成多模態模型新戰場，蘋果揭露新研究成果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（1004～1010）</span></h3> <h3><span style="font-size: 13px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span><span style="font-size: 13px;"> </span><span style="font-size: 13px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> UI螢幕 </span></strong></span><span style="font-size: 13px;"> </span><span style="font-size: 13px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MM1.5 </span></strong></span></h3> <p><span style="font-size: 22px;"><strong>UI螢幕互動成多模態模型新戰場，蘋果揭露新研究成果</strong></span></p> <p>蘋果發表多模態大型語言模型MM1.5系列模型，透過訓練階段精挑細選的資料混合方法，提高了模型對多文字圖像理解、視覺引用和定位（Grounding）以及多圖像推理的能力。該模型架構以前一代模型MM1架構為基礎，訓練原則也延續以資料為中心，探索在不同訓練周期中，不同的混合資料方法對模型表現的影響。</p> <p>舉例來說，團隊在MM1.5持續預訓練階段，導入高品質的OCR資料和合成圖說，可大幅提升模型對多文字圖像的理解力。又或是在監督式微調階段，對不同類型資料的影響進行分析，找出最佳的視覺指令微調資料混合方法。MM1.5系列模型的大小從10億參數到300億參數不等，採用不同類型架構，如密集模型和專家混合（MoE）模型。團隊表示，即使是10億參數和30億參數的小規模模型，透過精細的資料管理和訓練策略，也能發揮強大表現。</p> <p>特別的是，蘋果還同時打造了專門處理影片理解的模型MM1.5-Video，以及專門理解行動裝置UI（如iPhone螢幕）的MM1.5-UI模型。他們強調，將多模態模型應用於行動裝置螢幕互動，比如代表使用者與裝置互動或與使用者一起理解UI，是一項有潛力的應用場景，可提高使用效率和生產力。而MM1.5-UI單一模型，就能執行多種視覺引用和定位任務，還能摘要UI螢幕上的功能，甚至透過與使用者對話來互動。雖然模型拿下SOTA表現，團隊將繼續優化模型，比如透過多模態融合方法，將文字、圖片和使用者互動資料融合，設計出更複雜的網路架構，來讓模型參考多種資料來源、提高對行動裝置UI的理解。<a href="https://huggingface.co/papers/2409.20566">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-10-11%20180406.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">諾貝爾物理獎 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 神經網路 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>兩位機器學習先鋒獲得諾貝爾物理獎</strong></span></p> <p>瑞典皇家科學院日前宣布2024年諾貝爾物理獎得主，包括現年91歲的John Hopfield和76歲的Geoffrey Hinton，來表彰他們從1980年代開始，就以人工神經網路打下機器學習基礎。瑞典皇家科學院表示，人們談論的AI，通常指以人工神經網路為基礎的機器學習，也就是受大腦結構啟發，在人工神經網路中，大腦的神經元由不同值的節點來表現，節點之間透過連結來相互影響，如同大腦中的突觸，並可調整連結的強弱。</p> <p>其中，Hopfield是著名的理論物理學家及神經科學家，曾建立開創性的Hopfield網路，以一種特殊的方式來儲存並重建模式（Pattern）。簡單地說，該網路是透過物理學中，能量最小化的過程來進行自我組織與學習，成為之後許多深度學習研究的靈感來源。Hinton則以Hopfield網路為基礎，利用統計物理學工具，以不同方式建立了Boltzmann機器網路，能自動學習、辨識資料中的特徵，比如分類圖片，此舉推動了機器學習的重大發展。<a href="https://www.nobelprize.org/prizes/physics/2024/press-release/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 配樂 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta預告影片生成AI模型Movie Gen</strong></span></p> <p>Meta最近揭露AI影片生成模型Meta Movie Gen，可生成高品質的圖片和影片、音效或配樂，效能比OpenAI Sora等先進模型要好。不過，Movie Gen還在開發中，Meta在官方部落格稱其為AI媒體研究的重大突破，具多模態能力，可處理圖片、影像和聲音，開發者輸入文字提示即可產生影片和音訊、編輯現有影片，或是將圖片轉化為影片，克服了生成影片常出現的物件扭曲／模糊、動作不自然、或罕見動作不完整等問題。</p> <p>早在2022年，Meta就發布第一代多模態AI模型Make-A-Scene，能產製影音、圖片和3D動畫，第二代則是基於擴散模型的Llama Image基礎模型，提供更高影音品質及圖片編輯功能。Movie Gen屬於第三代，融合所有模態，是以經授權或公開可用的資料集訓練而成的300億參數Transformer模型。該模型有4個版本，包括影片生成、個人化影片生成、精準影片編輯和聲音生成版本。Meta指出，Movie Gen將成為Meta未來多項新服務的底層引擎，比如明年將用於IG，未來也會整合其他平臺產品。<a href="https://ai.meta.com/research/movie-gen/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-10-12%20at%209_34_03%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 3D </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Depth Pro </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果新模型1秒內將2D圖片轉為3D</strong></span></p> <p>蘋果日前展示最新視覺模型Depth Pro，能在不使用相機影像情況下，將2D圖片轉化成3D圖，在V100 GPU上0.3秒就完成。Depth Pro是一種零樣本單眼深度估計（Monocular depth estimation）的基礎模型，能在高解析度深度圖片中，加入細節銳利度，成為高品質3D圖像。</p> <p>使用單眼深度估計技術的好處是，可應用於任何類型圖片，還能零樣本訓練出具可量測的深度，能準確重製物件形狀、場景布局。尤其，這種模型預測方法不需要感測器數據，即可準確預測，也能用任何單一圖片來合成想要的圖片。</p> <p>在研究方法上，團隊使用2個視覺Transformer（ViT）模型，包括影像補片編碼器和一個影像編碼器，前者將圖片切成小補片，完成特徵提取、推論圖片像素的深度，後者以上下文訊息提升深度估計的準確性。在後處理階段，團隊以真實和合成資料集來提升量測準確性，以及物件邊界追蹤能力，再加上另一個影像編碼器模型提供的焦距估計，來優化3D圖片生成結果。最後，蘋果也發布Depth Pro模型程式碼和加權值。<a href="https://machinelearning.apple.com/research/depth-pro">（詳全文）</a></p> <p><img alt="" src="https://mlr.cdn-apple.com/media/depth_pro_teaser_5556ec04fe.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini Nano </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Android </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>輕量模型Gemini Nano開放測試</strong></span></p> <p>Google最近提供開發工具AI Edge SDK，Android開發者可用來試用Gemini Nano模型，打造各種場景的Android應用。進一步來說，Gemini Nano是Google Gemini系列模型之一，專門針對裝置端任務設計，模型可在裝置端完成所有運算，不需連接雲端伺服器。也就是說，敏感資料可留在裝置，且模型無需網路連線，也能提供完整功能。</p> <p>Gemini Nano適用的場景有智慧回覆、文本改寫、校對或是文件摘要，開發者可透過AI Edge SDK整合，控制輸出隨機性、Top K和回應最大長度等推理參數，來滿足不同應用需求。目前，Google開放給開發者測試的是Gemini Nano 2模型，而且，Google也開發一套Android系統服務AICore，可讓開發者簡單在裝置端執行模型，不必自己發布執行環境、模型和其他元件。<a href="https://android-developers.googleblog.com/2024/10/gemini-nano-experimental-access-available-on-android.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Copilot Labs </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 瀏覽體驗 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟發表新Copilot AI服務與功能</strong></span></p> <p>最近，微軟發表AI服務Copilot Labs，內含各種實驗性的新AI功能，首波新功能包括可理解使用者所查看網頁的Copilot Vision、能回答複雜問題的Think Deeper。其中，Copilot Vision是瀏覽器Edge的視覺AI助手，使用者允許，它就能與使用者正在閱讀的網頁互動，或是建議下一步，如摘錄、翻譯、尋找商品等。Think Deeper負責回答複雜問題，如使用者可詢問應該要搬到A城市還是B城市，或詢問哪款汽車最適合使用者的需求。</p> <p>同時，微軟也推出能與使用者語音交流的Copilot Voice、可摘錄新聞或天氣消息的Copilot Daily，其中，Copilot Voice是一個AI語音助理，有4種不同聲音，可在所有支援Copilot的平臺上使用。但該功能目前僅支援英文，只在美國、加拿大、英國、澳洲及紐西蘭等市場推出。Copilot Daily則是Copilot Voice衍生服務之一，使用者可透過Copilot Voice聲音，來唸出新聞與天氣重點。Copilot Voice與Copilot Daily目前皆免費使用。此外，微軟還更新瀏覽體驗，使用者能直接在Microsoft Edge中的網址列，輸入@copilot來啟用Copilot，或輸入Bing generative search來體驗生成式搜尋。<a href="https://www.microsoft.com/en-us/microsoft-copilot/blog/2024/10/01/introducing-copilot-labs-and-copilot-vision/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 運算效能 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> torchao </span></strong></span></p> <p><span style="font-size:22px;"><strong>可大幅改進AI模型運算效能！PyTorch釋出torchao函式庫</strong></span></p> <p>PyTorch最近發布全新原生函式庫torchao，透過低精度資料型態、量化和稀疏性技術，減少模型的計算成本和記憶體使用量，讓模型執行更有效率。torchao提供一套容易上手的工具組，支援多種模型推論和訓練最佳化方法，可廣泛用於PyTorch模型，LLaMA 3和Diffusion模型的效能都顯著提升。</p> <p>低精度資料型態是torchao加速的關鍵之一，該工具支援float8、int4等低精度資料型態，能有效減少計算成本和記憶體使用需求，像是在LLaMA 3 70B模型預訓練中，torchao提供了float8訓練流程，可將模型運算加速達1.5倍。在推論方面，torchao提供多種量化方式，包括權重量化和動態啟動量化。使用者可透過API自行選擇適合的量化策略，來達到最佳推論效能。稀疏性技術也是torchao提升模型效率的重要手段，有了稀疏性，torchao可最佳化模型參數計算，降低不必要的運算耗能。<a href="https://pytorch.org/blog/pytorch-native-architecture-optimization/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多模態模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NVLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Nvidia開源媲美GPT-4o的多模態模型NVLM 1.0</strong></span></p> <p>Nvidia在上個月發表多模態大型語言模型NVLM 1.0，號稱能與封閉的GPT-4o或開源的Llama 3-V 405B、InternVL 2等模型媲美，最近則開源NVLM 1.0模型權重，接下來還會提供基於Megatron-Core框架的程式碼。就NVLM 1.0模型設計來說，Nvidia先是比較解碼器架構模型，也採用交叉注意力機制模型，根據其優缺點提出一種全新架構，來提升訓練效率和多模態推論能力。</p> <p>NVLM 1.0 72B在許多基準測試上雖然不是最突出，但在視覺語言及純文字任務上，都與Llama 3-V、GPT-4o、Claude 3.5 Sonnet和Gemini 1.5 Pro等模型相當，尤其在衡量光學字元辨識能力的OCRBench、自然圖像理解能力的VQAv2基準測試表現優異。NVLM 1.0 72B的指令遵循能力也不錯，且由於結合了OCR、推論、定位、常識、世界知識與程式碼撰寫等能力，綜合理解能力也更強大。<a href="https://nvlm-project.github.io/">（詳全文）</a></p> <p><img alt="" src="https://nvlm-project.github.io/jensen_v3.png" /></p> <p>圖片來源／蘋果、Meta、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. OpenAI釋出更快的語音辨識模型Whisper large-v3-turbo</strong></p> <p><strong>2. <a href="https://github.com/Doriandarko/o1-engineer?utm_campaign=Data%20Points&utm_source=hs_email&utm_medium=email&_hsenc=p2ANqtz-8Oit_bI2dCPM_umZ2otE05qE4G9L4xQVx4OffZa2O5oYfMHgxeiP1Dl8lk-B0SrQg4FUS8">O1-engineer程式碼撰寫工具在GitHub上開源，以OpenAI API驅動</a></strong></p> <p>資料來源：iThome整理，2024年10月</p> </div></div></div>
2024/10/11 18:28作者王若樸https://www.ithome.com.tw/news/165461
微軟逐步擴大公測Windows 11 24H2，加入Sudo for Windows，更新開始選單、移除WordPad…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周<a href="https://blogs.windows.com/windows-insider/2024/10/11/announcing-windows-11-insider-preview-build-26120-2122-dev-channel/" target="_blank">宣布</a>Windows 11下半年主要更新測試版24H2已透過Dev Channel頻道釋出給Insiders方案用戶，加入Sudo for Windows，更新了開始選單，並終於移除WordPad及Mixed Reality。</p> <p>透過Dev Channel的變更、功能更新或修補程式將分成二種方式釋出，一是部署給啟動Windows Update主動接收更新的Insiders測試用戶，二是釋出給Dev Channel的所有用戶。測試版釋出預告正式版即將釋出給一般PC用戶。</p> <p>剛釋出的更新版為Preview Build 26120.2122（KB5044374），包含新加入功能、功能更新，以及取消的功能。其中開始選單（Start menu）加入「建議」，即Microsoft Store推薦的應用程式，但這更偏向廣告式的推薦，用戶可以從設定中關閉。新的通知（Notification）功能允許用戶停止某些應用的通知關閉建議。點擊通知右上角的省略號（…）選單，或在「設定 > 系統 > 通知」中即可選擇關閉選項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Windows%2011%20Insider%20Preview-%20recommended%20app%20on%20the%20Start%20menu.png" style="width: 600px;" /></p> <p>Sudo for Windows功能正式加入，讓用戶直接從Windows上未提升權限的主控臺工作階段以管理員身分執行提升權限命令的新方法，一如Linux和Mac的Sudo。但這功能預設關閉，用戶必須到「設定>開發人員」開啟。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Sudo%20for%20Windows.png" style="width: 600px;" /></p> <p>Wi-Fi連線對初次安裝Windows的用戶來說是很困擾的事，如果Windows未內建用戶Wi-Fi路由器的驅動程式。Windows 11 24H2允許用戶以USB隨身碟安裝Wi-Fi路由器的驅動程式來解決問題。但是用戶還是需要登入微軟帳號。</p> <p>更新版Windows 11加入的受保護的列印模式（protected print mode）中，Windows將預設支援通用驅動程式，逐步淘汰對第三方列印驅動程式的支援。微軟短期內不會終止對第三方列印驅動程式的支援，但是外部廠商遲早應支援Internet Printing Protocol（IPP）標準。</p> <p>Checkpoint cumulative updates是一項加快每次更新的新功能，它是為了解決全新更新（clean install）用戶或久久更新一次的PC每次冗長的更新困擾而設計。微軟將特定版號的Windows更新列為檢查點（checkpoint），用戶下次更新時，Windows會檢查這次更新和上個檢查點版本之間有變更的地方，沒變更的地方即無需下載。</p> <p>其他重要新增功能包括預覽Windows Sandbox用戶端App，Sandbox是一個輕量級虛擬化環境，讓用戶在VM中運行不受信任的應用程式。功能包含執行時剪貼簿重定向、聲音和影片輸入控制，以及執行時與主機共享資料夾的功能，還支援命令行。這些功能可以透過省略號（…）設定。虛擬硬碟（VHD/VHDx）功能新增卸載虛擬硬碟的按鈕。在VHD或VHDx的屬性（Properties）中即可找到本功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Windows%2011%20Insider%20Preview-Windows%20Sandbox.png" style="width: 600px;" /></p> <p>也有些東西要從24H2消失。首先，繼本月初<a href="https://www.theverge.com/2024/10/1/24259369/microsoft-hololens-2-discontinuation-support" target="_blank">宣布</a>終止支援HoloLens 2後，Windows 11 24H2也不再內建Mixed Reality。另外去年<a href="https://www.ithome.com.tw/news/158561" target="_blank">預告</a>淘汰的小作家（WordPad），微軟正式在24H2中移除。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2024/10/12 21:08作者林妍溱https://www.ithome.com.tw/news/165464
【資安日報】10月11日，Mozilla修補遭到利用的Firefox零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期針對瀏覽器的零時差漏洞攻擊不時傳出，其中又以鎖定市占率最高的Chrome較為常見，<a href="https://www.bleepingcomputer.com/news/security/google-tags-a-tenth-chrome-zero-day-as-exploited-this-year/">今年已出現9個零時差漏洞</a>，由於採用其排版引擎開發的瀏覽器也相當多，這些漏洞也同樣波及Edge、Brave、Vivaldi等應用程式，因而受到高度關注。</p> <p>相較之下，利用Firefox未公開漏洞的情況較為少見。最近Mozilla基金會的資安公告引起外界的注意，原因是他們近期修補的一項重大漏洞，已出現實際利用的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165450"><strong style="font-size: 22px;">Veeam備份軟體漏洞遭勒索軟體Akira、Fog濫用，至少發動4起攻擊行動</strong></a></p> <p>9月初備份與資料保護軟體廠商Veeam修補旗下備份軟體Backup & Replication漏洞CVE-2024-40711，問題在於，系統對資料的可信度未進行驗證，就進行反序列化處理，攻擊者可在未經授權的情況下，藉由惡意酬載遠端執行程式碼（RCE），CVSS風險評分達到9.8，當時通報此事的資安業者Code White呼籲企業要儘速修補，並認為接下來該漏洞很有可能會遭到勒索軟體駭客利用，如今有研究人員證實這項推論已經成真。</p> <p>資安業者Sophos指出，他們過去1個月追蹤利用這項已知漏洞的攻擊行動，駭客藉由外流的帳密與該漏洞，嘗試建立帳號並部署勒索軟體Akira、Fog。</p> <p>勒索軟體駭客利用Backup & Replication已知漏洞的情況已非首例，例如：今年7月，資安業者Group-IB指出有人利用去年3月修補的CVE-2023-27532，企圖部署勒索軟體Estate。</p> <p><a href="https://www.ithome.com.tw/news/165432"><strong style="font-size: 22px;">今年初修補的Fortinet資安系統RCE漏洞被用於實際攻擊行動，並得到CISA證實</strong></a></p> <p>美國網路安全暨基礎架構安全管理局（Cybersecurity and Infrastructure Security Agency，CISA）本周公告，Fortinet在8個月前修補的重大風險漏洞已發生濫用事件，要求聯邦機構於10月30日前完成修補。</p> <p>遭到濫用的漏洞為CVE-2024-23113，為FortiOS防火牆作業系統fgfmd程式的格式化字串漏洞，攻擊者可透過操弄輸入的訊息格式觸發，而在未經授權情況下在FortiOS執行任意程式碼或指令，本漏洞風險值達9.8，Fortinet已在今年2月修補。</p> <p>值得留意的是，CVE-2024-23113影響Fortinet多項產品，包括防火牆FortiGate、網頁安全閘道FortiProxy、特權存取管理FortiPAM、交換器集中管理平臺FortiSwitch Manager。</p> <p><a href="https://www.ithome.com.tw/news/165431"><strong style="font-size: 22px;">富達投資被駭，7.7萬客戶資料外洩</strong></a></p> <p>跨國金融業者富達投資（Fidelity Investments）本月稍早通報州主管機關，公司系統遭駭客存取，致使大約7.7萬名客戶個資外洩。</p> <p>富達投資已在本周以電子郵件通知受影響消費者。根據該公司提供給官方的文件，在今年8月17到19日之間，外部組織利用2名客戶新增的帳號非授權存取了公司系統，並取得客戶資料。該公司立即採取行動切斷了存取管道。</p> <p>富達提供給另一個州政府的文件中，透露這次外洩的客戶個資包含社會安全號碼、駕照號碼、銀行帳號，這是最近1年富達第5起資料外洩事故。</p> <p><a href="https://www.ithome.com.tw/news/165426"><strong style="font-size: 22px;">Internet Archive遭駭，逾3,100萬筆帳號外洩</strong></a></p> <p>網際網路檔案館（Internet Archive，IA）周三（10月9日）遭到駭客入侵，駭客塗改了該平臺的首頁，宣稱其安全性弱不禁風，而且已與Have I Been Pwned（HIBP）分享了所盜走的逾3,100萬筆帳號。</p> <p>1996年成立的IA為一非營利組織，定位為數位圖書館，宗旨為讓所有的知識普遍化，於是該站搜集了各式各樣的數位內容，包括網頁、軟體、遊戲、音樂、影片及數百萬本圖書，最有名的工具之一是「時光機」（Wayback Machine），允許人們存取特定時間、或許已經消失的網頁。</p> <p>Internet Archive創辦人Brewster Kahle證實確有此事，表示該網站遭到分散式服務阻斷（DDoS）攻擊，駭客藉由JS程式庫進行汙染，外洩了使用者名稱、電子郵件，以及經加鹽處理的密碼。該平臺緊急關閉JS函式庫，全面清理系統，同時升級安全機制因應。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://jscrambler.com/blog/the-mongolian-skimmer">駭客濫用萬國碼在電商網站埋藏側錄工具Mongolian Skimmer</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-uk-warn-of-russian-apt29-hackers-targeting-zimbra-teamcity-servers/">俄羅斯駭客APT29鎖定Zimbra、TeamCity伺服器下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/casio-hit-by-cyberattack/">卡西歐傳出遭到網路攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165442"><strong style="font-size: 22px;">Mozilla發布Firefox更新，修補已遭利用的零時差漏洞</strong></a></p> <p>10月9日Mozilla基金會發布資安公告，緊急修補Firefox重大層級的零時差漏洞CVE-2024-9680，這項漏洞由資安業者ESET通報，存在於Animation元件的時間軸，為記憶體釋放後再存取使用（Use After Free）漏洞，CVSS風險評分達到9.8（滿分10分），該基金會發布Firefox 131.0.2，以及長期支援版（ESR）128.3.1、115.16.1修補。值得留意的是，已有攻擊者試圖利用這項漏洞。</p> <p>針對這項漏洞帶來的影響，Mozilla基金會指出，攻擊者若是觸發漏洞，就有機會藉由Animation元件的時間軸，引發記憶體釋放後再存取使用的現象，而能在特定處理程序執行程式碼。</p> <p>他們特別提及，已接獲漏洞被實際利用的通報。究竟駭客如何利用漏洞？該基金會並未進一步說明。</p> <p><a href="https://www.ithome.com.tw/news/165424"><strong style="font-size: 22px;">Palo Alto Networks修補產品轉移工具重大漏洞</strong></a></p> <p>資安業者Palo Alto Networks發布安全公告，修補平臺轉移工具Palo Alto Networks Expedition的重大風險漏洞，這些弱點可能用於遠端程式碼執行、密碼外洩與釣魚攻擊。</p> <p>這批修補的漏洞包括編號CVE-2024-9463到CVE-2024-9467的7項漏洞，皆與防火牆組態轉移工具Expedition有關。根據CVSS風險評分，其中，以作業系統命令注入漏洞CVE-2024-9463及CVE-2024-9464最為嚴重，資安風險各為9.9分與9.4分，能讓攻擊者以root權限執行任意指令，濫用漏洞皆能導致執行PAN-OS作業系統的防火牆的使用者名稱、明文儲存的密碼、裝置配置和裝置API洩露。</p> <p>另一個被列為重大層級的是SQL注入漏洞CVE-2024-9465，濫用的結果可導致未經授權的攻擊者外洩Expedition資料庫內容，導致密碼雜湊值、用戶名稱、裝置配置和裝置API曝光，攻擊者還可利用這些資訊在Expedition系統讀取和新增任意檔案。該漏洞風險值為9.2。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://about.gitlab.com/releases/2024/10/09/patch-release-gitlab-17-4-2-released/">GitLab發布17.4.2新版，修補任意分支管道執行漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://helpx.adobe.com/security/products/magento/apsb24-73.html">Adobe修補電子商務平臺重大層級漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165220"><strong style="font-size: 22px;">Gogolook揭露併購ScamAdviser的後續發展</strong></a></p> <p>隨著防詐需求持續成長，臺灣廠商的發展動向與成長情形，也成各界關切焦點。以阻擋惡意電話與簡訊Whoscall聞名的Gogolook（走著瞧-創），去年在創新板掛牌上市、今年5月則宣布併購荷蘭數位防詐服務商ScamAdviser。</p> <p>在併購案宣布4個月後，該公司於9月24日首度公布最新的全球發展策略，當中宣布一項重大轉變，未來將以ScamAdviser為品牌，加速拓展全球企業防詐市場，希望從東亞切入更廣泛的國際市場。</p> <p>在這次改變下，企業端防詐領域的ScamAdviser將成為Gogolook的三大事業體之一，其他事業體則是消費防詐領域的Whoscall，以及金融科技領域的袋鼠金融。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165409"><strong>【10月9日】零信任之父第一手導讀零信任架構</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165396"><strong>【10月8日】美國水力關鍵基礎設施再傳遭遇網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165372"><strong>【10月7日】親俄駭客傳出再度發動DDoS攻擊，多家上市櫃公司網站受到影響</strong></a></p> </div></div></div>
2024/10/11 16:52作者周峻佑https://www.ithome.com.tw/news/165452
Veeam備份軟體漏洞遭勒索軟體Akira、Fog濫用，至少發動4起攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月初備份與資料保護軟體廠商Veeam<a href="https://www.ithome.com.tw/news/164972">修補旗下備份軟體Backup & Replication漏洞CVE-2024-40711</a>，問題在於，系統對資料的可信度未進行驗證，就進行反序列化處理，攻擊者可在未經授權的情況下，藉由惡意酬載遠端執行程式碼（RCE），CVSS風險評分達到9.8，當時通報此事的資安業者Code White呼籲企業要儘速修補，<a href="https://x.com/codewhitesec/status/1831720125747069389">並認為接下來該漏洞很有可能會遭到勒索軟體駭客利用</a>，如今有研究人員證實這項推論已經成真。</p> <p>資安業者Sophos指出，<a href="https://infosec.exchange/@SophosXOps/113284564225476186">他們過去1個月追蹤利用這項已知漏洞的攻擊行動</a>，駭客藉由外流的帳密與該漏洞，嘗試建立帳號並部署勒索軟體Akira、Fog。</p> <p>在這些攻擊行動裡，駭客初期都是針對並未採用多因素驗證（MFA）且已被入侵的VPN閘道下手，其中部分系統甚至採用已不再受到支援的舊版軟體。</p> <p>再者，攻擊者透過8000連接埠觸發Veeam漏洞，藉由Veeam.Backup.MountService.exe產生net.exe，並產生名為point的本機帳號，接著，他們將該帳號加入本機管理員及遠端桌面使用者群組。</p> <p>研究人員在其中一起事故發現攻擊者企圖散布Fog，不久之後，就發現另一起部署Akira的活動，他們總共找到4起漏洞利用事故，相關指標皆與Akira及Fog過往的攻擊行動特徵相符。</p> <p>比較特別的是，在其中一起Fog資安事故當中，攻擊者在未受保護的Hyper-V伺服器部署勒索軟體，並利用rclone外洩竊得的資料。</p> <p>勒索軟體駭客利用Backup & Replication已知漏洞的情況已非首例，例如：今年7月，資安業者Group-IB指出<a href="https://www.ithome.com.tw/news/163936">有人利用去年3月修補的CVE-2023-27532，企圖部署勒索軟體Estate</a>。</p> </div></div></div>
2024/10/11 15:57作者周峻佑https://www.ithome.com.tw/news/165450
9月俄羅斯防毒軟體業者Dr.Web遇網攻，有烏克蘭駭客聲稱是他們所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月17日<a href="https://news.drweb.com/show/?i=14904&lng=en">俄羅斯防毒業者Dr.Web發布公告</a>，指出14日遭遇目標式攻擊，駭客企圖破壞他們的基礎設施，但並未成功。當時該公司將所有的資源切斷網路連線，並進行檢查，他們一度暫停更新病毒特徵碼資料庫。事隔近1個月，這起事故有了新的發展。</p> <p>根據資安新聞網站HackRaed的報導，<a href="https://hackread.com/dumpforums-russian-cybersecurity-firm-dr-web-data-breach/">10月8日有人在支持烏克蘭的駭客論壇DumpForums宣稱</a>，這起事故是他們所為，該組人馬已成功入侵該防毒業者的基礎設施，並在短短幾天內存取伺服器及資源，總共竊得超過10 TB內部資料。</p> <p>這些駭客也號稱從GitLab伺服器竊取資料，並指出當中存放了內部開發專案相關檔案，包含公司郵件伺服器、Confluence、Redmine、Jenkins、Manti、RocketChat。</p> <p>此外，他們甚至表明下載含有全部用戶端的資料庫檔案，並在自己經營的論壇公布相關內容。</p> <p>值得留意的是，這些駭客表明掌握了該公司網域控制器，使得他們能夠在其網路環境活動1個月而不被發現，並且持續挖掘大量的敏感資料。</p> <p>對此Dr.Web在10月9日<a href="http://news.drweb.com/show/?i=14921&lng=en">發布聲明</a>，表示他們知悉有人在Telegram頻道宣稱成功攻擊基礎設施的情況，並強調這些描述大多都是假的，該公司開發環境及客戶資料並未受到這起資安事故影響，他們的軟體元件及病毒資料庫也不會對用戶造成威脅。</p> <p>Dr.Web透露攻擊者打算藉此勒索，但他們不予理會，執法單位已介入調查。針對這起事故，他們正對於Telegram頻道流傳的螢幕截圖進行檢查，確保自家資料並未受害。</p> </div></div></div>
2024/10/11 15:02作者周峻佑https://www.ithome.com.tw/news/165448
Cloud周報第212期：SAP推出生成式AI助理Joule的擴展功能，增加可自訂技能的協作型AI代理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（09/26～10/02）</strong></span></p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生成式AI助理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SAP</span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">SAP擴展生成式AI助理Joule加入新功能，增加可自訂技能的協作型AI代理</span></strong></p> <p>在近日舉行SAP TechEd技術大會，SAP宣布將擴展生成式AI助理Joule的功能，包括推出可自訂技能的協作型AI代理，未來可以結合跨業務領域的專業知識，透過協作完成複雜的工作流程。</p> <p>透過Joule的新功能，企業可以根據需求自訂協作型AI代理的不同技能，以應對各類業務需求。SAP舉例，在糾紛解決管理上，協作型AI代理可以用來分析並處理爭議情況，例如發票不正確、遺失、未分配的信用以及被拒絕或重複付款等問題。在財務會計領域，則能自動化帳單支付、發票處理和帳本更新，簡化關鍵財務流程，同時快速解決不一致或錯誤。</p> <p>此外，SAP 也為開發人員推出了一系列新產品，例如在SAP Build推出生成式 AI功能，可以提供程式碼解釋和文件搜尋，縮短Java和avaScript開發人員的開發，還時間，此外，增加可擴充的精靈功能，開發人員從雲端版SAP S/4HANA就能對SAP Build進行存取，同時ABAP 開發人員也能從SAP Build 存取 ABAP Cloud 開發工具。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4o </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟Azure OpenAI推出低延遲GPT-4o模型公開預覽，可支援即時語音與音訊互動 </span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-10-04%20%E4%B8%8A%E5%8D%888_44_58.png" style="width: 600px; height: 289px;" /></p> <p>就在OpenAI發表低延遲的GPT-4o即時API服務後，微軟隨後更新Azure OpenAI服務，推出了低延遲GPT-4o模型API公開預覽，支援即時語音與音訊互動，適用於即時互動的場景，如客戶支援、語音助理和即時語音翻譯。</p> <p>GPT-4o即時API是Azure OpenAI的GPT-4o模型系列之一，透過API，企業可以直接將其整合到內部應用程式，支援低延遲語音輸入和輸出，打造出更自然的語音對話應用程式。該模型提升語音回應速度，減少延遲並提供更流暢的互動體驗。API支援多語言對話，可廣泛應用於客服助理、內容創作和即時音訊翻譯等領域。</p> <p>該版本的GPT-4o模型初期僅在美國東部和瑞典中部地區推出。目前，德國Bosch已採用此模型，用於汽車環境中的虛擬實境培訓，能接收語音指導指令。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">GCP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機密運算 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google Cloud更新機密運算產品線，推出C3和C3D兩款VM機密運算服務</span></strong></p> <p>Google Cloud近日更新機密運算產品線，正式推出C3和C3D兩款Google Cloud機密VM（Confidential VMs）服務，前者採用的處理器是英特爾第4代Intel Xeon處理器，內建TDX虛擬機硬體隔離技術，後者則是AMD第4代EPYC，內建SEV安全加密虛擬化技術，藉此強化對運算基礎架構的安全防護。</p> <p>相較前一版本，新的機密運算執行個體服務C3，採用AMX指令集擴展架構內建CPU加速，可加速AI和ML工作負載。此外，利用TDX技術，新版本上也能整合通用加密運算平臺Anjuna Seaglass與Google Cloud機密VM。</p> <p>另一方面，採用了AMD SEV技術的C3D，不只使用硬體的記憶體加密來加強資料機密性，還可以在性能更強的硬體上執行，並能結合Google Titanium硬體提升處理效能。</p> <p>目前C3D執行個體服務已推出，而C3則先在亞洲、美國和歐洲部分區域推出。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Azure</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬機器 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">配備141GB的HBM記憶體，Azure最新AI超級運算最佳化虛擬機器亮相</span></strong></p> <p>微軟 Azure 近日推出 AI 超級運算最佳化虛擬機器 ND H200 v5，具備更大 HBM 容量，支援更高訓練樣本數，並提升GPU利用率與吞吐量，可用於大型語言模型（LLM）和小語言模型 (SLM) 的推理工作負載。</p> <p>與上一代ND H100 v5 相比，Azure ND H200 v5配備8個Nvidia H200 Tensor Core GPU，不只運算效能更強，HBM記憶體也增加了 76%，達到141GB，頻寬提升 43%達到4.8 TB/s，能更快地存取模型參數，降低應用程式延遲。新款VM還能在單一VM的記憶體中存取更複雜的LLM，而不需要分散在多個VM上執行。</p> <p>此外，在設計上，ND H200 v5可以更有效地管理模型權重、鍵值快取和訓練樣本的GPU記憶體，提升 GenAI 推理工作負載的吞吐量、延遲及成本效率。微軟指出，該版本在執行LLAMA 3.1 405B模型的推理工作時，吞吐量比前一代提升 35%。</p> <p>ND H200 v5也預先整合多項服務，包括 Azure Batch、Azure Kubernetes 服務、Azure OpenAI 服務和Azure機器學習，讓企業可快速部署應用。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Vodafone</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">英國電信商Vodafone與Google擴大聯手，未來10年將在非洲和歐洲大推雲端服務和GenAI</span></strong></p> <p>英國跨國電信商Vodafone與Google近日宣布將簽署一項總值10億美元、為期 10 年的戰略合作協議，在此合作下，Vodafone將為非洲和歐洲客戶提供Google cloud雲端服務和Gemini生成式服務，進一步推動這些地區的數位轉型與應用創新。</p> <p>Vodafone和Google合作的首要重點是幫助企業和消費端行動用戶導入最新的硬體，如Google Pixel設備，和AI及雲端應用程式在內的數位技術。</p> <p>Vodafone計畫2025年先在歐洲少部分國家推出Google One AI Premium 訂閱計畫，讓企業用戶將能夠使用Google生成式 AI 平臺Gemini Advanced，應用於內部系統，並提供視覺、文字及音訊等功能支援。</p> <p>在安全上，Vodafone將利用Google雲端安全營運平臺為其企業客戶開發新的雲原生安全服務。</p> <p> </p> <p>圖片來源／微軟</p> <p> </p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.本土車廠納智捷採用Google生成式AI模型Gemini打造AI智能客服系統</strong></p> <p><strong>2.微軟雲端資料庫服務AlloyDB的ScaNN向量索引功能現已推出，支援最多10億個向量執行搜索</strong></p> <p><strong>3.甲骨文將砸65億美元在馬來西亞擴大投資雲端運算與AI</strong></p> <p><strong>4.Arduino Cloud雲端物聯網平臺正式上架AWS市集</strong></p> <p><strong>資料來源：iThome整理，2024年10月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/10/11 14:33作者余至浩https://www.ithome.com.tw/news/165320
企業不用電也能賺電費
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年4月3日，早上7點58分9秒，分散全臺各地2,600座Gogoro電動機車充電站，其中數百座在10秒內緊急停止充電，長達12分鐘，讓全臺電網多了6MW電力可用。台塑生醫在彰化一座觀光工廠原本自用的儲能系統，同樣在10秒內緊急全力放電，將電力回補到全臺電網之中。</p> <p>不只這兩家企業，全臺還有數十家企業，上百個據點，聯手供電，或者停止用電，10秒內共回饋510MW的電力到台電電網，相當於中火一部機組的發電量。</p> <p>因為這一刻，花蓮發生了臺灣25年來規模最大的地震，威力逼近921，台電8部發電機組跳脫，損失3,200MW（千瓩）的電力，相當於平常早上瞬時發電量的一成。</p> <p>電力系統就像是一座蹺蹺板，台電必須將電網頻率維持在預設的每秒60赫茲，過高或過低，都可能造成各種工業、民生用電系統，機組設備，甚至是醫院的不穩，甚至運作出錯。</p> <p>一但頻率上升或下降的速度太快，會觸發電力系統的保護機制，關閉（跳脫）機組來避免損壞，但這會進一步減少供電，帶來連鎖效應，導致更多發電機組跳脫。就像花蓮這次接近921規模的7級強震，幾秒內因為機組跳脫，減少近1成供電量，也讓頻率快速偏移標準的60 Hz。</p> <p>台電過去因應供電快速減少的常見對策，是緊急主動對部分用戶限電或斷電，減少用電量，才能避免更大規模的被動停電，快速平衡電網頻率。遇到這種大規模的供電損失，10秒鐘內與10分鐘內的因應，是避免更大規模，甚至是全臺大停電的關鍵。</p> <p>但在3年前，2021年，台電上線了一套電力交易平臺，就像是一座虛擬電廠，可以調度近百家民間企業的電力使用，有的企業可以緊急回補供電，就像台塑生醫的彰化觀光工廠，有的企業則是可以停止用電來減少用電，例如Gogoro電動機車充電站。正是因為這座平臺，才能減緩花蓮強震引起的瞬間大量供電損失的影響，沒有發生連鎖停電效應，避免了全臺大停電的災情。</p> <p>目前有將近100家民間企業成為合格的電力交易平臺業者，有些是聚合商，類似中盤商，一家整合了更下游數十家小企業的電力使用。台電電力交易平臺為了隨時掌握這些民間企業上千個據點每一秒的電力資訊，來因應不同電力調度的需求。一天要搜集上億筆用電紀錄，一年資料量破TB。</p> <p>台電足足花了4年，才打造出這套電力交易平臺，採取預先調度規畫的作法，稱為「日前輔助服務市場」，這是亞洲首創的作法，提前一天媒合電力調度的購買，像花蓮強震當天的電力調度，就是依據前一天媒合的契約來執行。</p> <p>在臺北市羅斯福路台電大樓內，有一間電力交易中心的戰情室，20名專家，365天，24小時三班制輪班，來監控全臺電力交易的供需。尤其，臺灣再生能源供電比例超過1成，甚至越來越高，任何氣候變化，都會對電力供應產生很大的影響，所以，台電也找來經濟、會計、氣象、資訊以及大數據分析等領域專家進駐，來支援更複雜，更多變的電力運用。</p> <p>民間企業可以自行報價，決定自己每一度電的電價，台電則用公開競標方式，再靠電腦程式執行電力系統最佳化的配置。台電從電價報價便宜者開始購買，用電量越大，就會自動購買報價越高的民間企業。</p> <p>更特別的是，民間企業可以「賣電」給台電，甚至可以把「不用電」的權利，賣給台電。就像Gogoro發電站，就是在花蓮強震時，停止用電12分鐘，等於挪出了相當於6MW的電力，給台電調度，台電也會依照前一天簽約的報價，付錢給Gogoro，買「不用電」的電費。</p> <p>像台塑生醫在彰化觀光工廠的儲能系統，原本只是自用，2年前成為合格電力交易業者，至今就多賺了750萬元，也是一筆不少的外快！就連臺北京站商場的空調主機也加入了電力交易，一但有需要，也可能暫時停止運轉半小時、一小時，不會影響到賣場顧客的舒適度，又可以賣「不用電」的權利給台電，等於可以多賺一筆電費。企業節能省電，不只是一昧的節流，現在又多了一種「開源」的新選擇。</p> <p><strong><strong><strong><strong><strong><a href="https://www.ithome.com.tw/article/165438" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1203-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=tBlYc-8N" style="width: 550px;" /></span></span></a></strong></strong></strong></strong></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%A3%E9%9B%BB">賣電</a></div><div class="field-item odd"><a href="/tags/%E9%9B%BB%E5%8A%9B%E4%BA%A4%E6%98%93">電力交易</a></div><div class="field-item even"><a href="/tags/%E5%8F%B0%E9%9B%BB">台電</a></div><div class="field-item odd"><a href="/tags/%E9%9B%BB%E7%B6%B2">電網</a></div><div class="field-item even"><a href="/tags/%E6%97%A5%E5%89%8D%E8%BC%94%E5%8A%A9%E6%9C%8D%E5%8B%99%E5%B8%82%E5%A0%B4">日前輔助服務市場</a></div><div class="field-item odd"><a href="/tags/%E5%9C%B0%E9%9C%87">地震</a></div></div></div>
2024/10/11 13:29作者王宏仁https://www.ithome.com.tw/voice/165446
AMD發表MI325X加速器以與Nvidia較勁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>超微半導體（AMD）於本周四（10/10）<a href="https://ir.amd.com/news-events/press-releases/detail/1220/amd-delivers-leadership-ai-performance-with-amd-instinct" target="_blank">發表了</a>Instinct MI325X加速器，宣稱其記憶體容量與頻寬都超越Nvidia H200，在推論表現上亦優於Nvidia H200。</p> <p>AMD Instinct MI325X加速器是基於AMD CDNA 3架構，專為基礎模型訓練、微調與推論等AI任務而設計，配備256GB HBM3E記憶體，提供6.0TB/s的頻寬，分別是Nvidia H200的1.8及1.3倍，FP16和FP8運算性能的峰值亦是Nvidia H200的1.3倍。</p> <p>應用在FP16格式的Mistral 7B模型上，Instinct MI325X提供了1.3倍的推論性能，FP8的Llama 3.1 70B模型上，有1.2倍的推論性能，若是在FP16的Mixtral 8x7B模型上，亦有1.4倍的推論性能。</p> <p>基於Hopper架構的H200是目前市場上最高階的Nvidia AI GPU，Instinct MI325X預計於今年底出貨，儘管後者晚了一年問世，但至少出現了足以與Nvidia媲美的GPU產品，而且價格可能更低廉。</p> <p>AMD並未公布Instinct MI325X的售價，但說包括Dell、Eviden、技嘉、HP、聯想及超微在內的業者，都會在明年第一季採用Instinct MI325X。</p> <p>為了趕上AI晶片龍頭Nvidia，AMD已規畫加快產品腳步，每年都會發表新晶片，例如明年將發表MI350，2026年則會有MI400。</p> </div></div></div>
2024/10/11 14:13作者陳曉莉https://www.ithome.com.tw/news/165447
Automattic與WP Engine之爭，遭批評違反開源精神
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Automattic在<a href="https://www.ithome.com.tw/news/165222" target="_blank">今年9月下旬批評</a>WP Engine對WordPress專案貢獻太少，禁止WP Engine存取WordPress.org，對此Ruby on Rails框架作者<a href="https://world.hey.com/dhh/automattic-is-doing-open-source-dirty-b95cf128" target="_blank">David Heinemeier Hansson本周批評</a>，Automattic正在損害開源精神。</p> <p>WP Engine主要提供WordPress的企業解決方案、工具及服務，為WordPress主要的代管服務供應商之一。但Automattic執行長Matt Mullenweg認為，一來外界長期誤認WP Engine屬於WordPress，他希望WP Engine能夠付費取得商標授權，二來WP Engine對WordPress的回饋甚少，使得他決定拒絕WP Engine存取WordPress.org。</p> <p>根據<a href="https://www.cnbc.com/2024/10/05/wordpress-ceo-matt-mullenweg-goes-nuclear-on-silver-lake-wp-engine-.html" target="_blank">CNBC的報導</a>，其實Automattic之後曾經暫時解除對WP Engine的封鎖，並提出了和解條件，要求WP Engine將月收入的8%當作授權費付給Automattic，或者是以那8%作為員工薪水，而這些員工則專門開發可貢獻給WordPress.org的WordPress功能。</p> <p>由於WP Engine並未答應，使得Automattic再於10月1日封鎖了WP Engine。</p> <p>開發Ruby on Rails開源網頁應用框架，現為37signals技術長的David Heinemeier Hansson指出，Automattic向WP Engine要求8%的營收完全不合理，不僅將危害WordPress，還會對開源社群帶來更嚴重的影響。</p> <p>Hansson指出，開源在過去幾十年來之所以如此成功，關鍵部分在於其授權制度的明確與確定性。這讓使用者可以在開源上建構業務，而無需擔心無意義的索賠或勒索，諸如MIT、BSD 或 GPL等常見的授權中，最重要的一點是軟體沒有提供任何形式的保證，有些則會要求任何修改都必須開源。</p> <p>然而，任何主要的授權都沒有類似「軟體是免費的，但如果專案所有人認為你太過成功，那麼你就必須支付營收的8%來支援該專案。」這樣的條款。</p> <p>Hansson說，他所關心的是開源授權的完整性，而它正受到Automattic欲分享WP Engine收入的直接攻擊。</p> <p>事實上，Automattic執行長<a href="https://ma.tt/2024/10/alignment/" target="_blank">Matt Mullenweg坦承</a>，絕大多數的Automattic員工並不同意他的行為，於是他提出了一個優退方案，在10月3日前離職者可獲得3萬美元或6個月的薪資，而且這些人將不會再被Automattic僱用，以留下真正認同公司理念的人，結果有159人提出辭呈，占整體員工的8.4%。</p> <p>Mullenweg說，在執行此一方案之後他感到輕鬆多了，感謝那些離開的人，也很開心能夠與留下來的同事們一同奮鬥。</p> </div></div></div>
2024/10/11 12:25作者陳曉莉https://www.ithome.com.tw/news/165444
台電打造電力交易平臺，快速結合民間可用電力，提升電力調度的靈活性和系統韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="font-size:20px;"><strong>台電打造的電力交易平臺，讓臺灣能夠快速結合民間可用電力，提升電力調度的靈活性和系統韌性，不只確保電網在突發情況下能迅速反應與調度，維持全臺電網穩定，更展現了臺灣不斷電的數位韌性。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0403%E5%BC%B7%E9%9C%87%E9%9B%BB%E5%8A%9B%E8%AA%BF%E5%BA%A6%E6%99%82%E5%BA%8F-3.png" style="width: 552px;" /></p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>花蓮發生7.2級強震（2024/4/3 7:58:09）</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#006400;"><strong>10秒先增加1部中火電量的民間電力</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>多機組跳脫損失3.2GW電力（約6部中火電量）</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#006400;"><strong>10分鐘增加4部中火電量的民間電力</strong></span></span></p> <p><span style="font-size:22px;"><span style="color:#006400;"><strong>10分鐘後全臺電力系統頻率回穩</strong></span></span></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／台電</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 民間電力調度實例：Gogoro </span></strong></span></p> <p><span style="font-size:28px;"><span style="color:#3399ff;"><strong>不用電支援電網穩定！上千座換電站變身虛擬電廠</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600%EF%BC%9AGogoro-%E8%87%B3%E6%B5%A9-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Gogoro.png" style="width: 600px;" /></p> <p><strong>Gogoro在全臺設有超過2,600座電動機車充電站，除了為用戶提供電池更換服務外，這些站點如今也成為虛擬電廠的一部分，透過全臺串聯的換電站進行快速電力調控，協助台電維持電網平衡與穩定。</strong></p> <p><strong>目前，約1,000個Gogoro電池交換站已參與台電的電力交易平臺，採用靜態調頻備轉<strong><strong>（sReg）</strong></strong>方案，能在10秒內響應台電的電力調度需求。當Gogoro電池交換站自動偵測電網頻率低於設定門檻時，智慧調控系統會在10秒內暫停對這些交換站的電池進行充電，透過減少電力負載，協助電網恢復穩定。換句話說，這些電動車充電站在不使用電力的情況下，便能支援台電維持電網穩定。Gogoro 表示，若全數站點參與電力調度，將能為臺北市民生用電供電約45分鐘。</strong></p> <p><strong>今年的0403大地震及 0415地震期間，兩次地震引發的供電異常及低頻事件中，Gogoro分別提供了12分鐘至30分鐘，多達6MW至11MW不等的降載支援，相當於16戶家庭夏季的用電量。</strong></p> <p><strong>除了不充電降低負載外，Gogoro的電池交換站也具備充放電功能，未來在不影響車主使用的前提下，智慧電池中的儲存電力可回饋至電網，透過對電網進行放電，進一步協助電網穩定。</strong></p> <p><strong>參與台電的電力輔助服務，對Gogoro而言能拓展營收來源，利用現有的充電站資源，不需要額外投資成本。儘管收益有限，但由於高利潤率，仍可為Gogoro帶來附加價值。</strong><strong><strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Gogoro</span></strong></strong></p> <p> </p> <p><strong><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 民間電力調度實例：台塑生醫 </span></strong></span></strong></strong></p> <p><strong><strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>觀光工廠儲能櫃不只自用，2年多賺750萬元</strong></span></span></strong></strong></p> <p class="rtecenter"><strong><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600%EF%BC%9A%E5%8F%B0%E5%A1%91-1-%E8%87%B3%E6%B5%A9-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%B0%E5%A1%91%E7%94%9F%E9%86%AB.png" style="width: 600px;" /></strong></strong></p> <p><strong><strong><strong>以清潔用品、保健品、保養品起家的台塑生醫，最近幾年也因應集團跨足新能源產業領域，於彰化觀光工廠建立了一套容量可達1.2 MW的儲能系統。這套儲能系統最初主要供內部使用，並對民眾開放展示。後來，台塑生醫加入台電的電力交易平臺，將此儲能系統用於支援台電的電力調度。</strong></strong></strong></p> <p><strong><strong><strong>今年過年期間，再生能源的電力比例明顯提高，滲透率最高達到52%，也就是說，台電每發出10度電中有52%來自再生能源。這使得台電的頻率處於較不穩定狀態，尤其在天候影響下，當再生能源供應不足時，台塑生醫的儲能櫃會自動啟動，迅速補充電力，維持系統穩定。</strong></strong></strong></p> <p><strong><strong><strong><strong><strong><strong>台塑生醫採用靜態調頻備轉方案，能在10秒內全力放電配合台電調度需求。為了有效管理和監控儲能電力，他們自行打造了一套能源管理系統 (EMS)，一旦系統偵測到電網頻率降至59.88赫茲(Hz)，便會在10秒內控制儲能櫃全力放電。</strong></strong></strong></strong></strong></strong></p> <p><strong><strong><strong>這套EMS系統不僅能隨時掌握台電系統頻率和儲能功率輸出的變化趨勢，還能查看每日參與電力調度的時間排程，並提供收益試算功能，顯示每年、每月甚至前一天的收益。此外，系統也提供各項服務指標，包括得標率和執行率，幫助台塑生醫持續改善效能。</strong></strong></strong></p> <p><strong><strong><strong>參與電力交易平臺2年多，截至今年，總累計收益試算達750萬元，也為台塑生醫帶來額外收益。</strong></strong></strong></p> <p><strong><strong><strong>台塑生醫未來規畫參與增強型動態調頻備轉( E-dReg）方案，並考慮將集團內的即時需量負載進行整合，透過EMS系統參與台電的電力交易。</strong></strong></strong></p> <p><strong><strong><span style="font-size: 14px; color: rgb(105, 105, 105);">圖片來源／台塑生醫</span></strong></strong></p> <p><strong><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 民間電力調度實例：京站實業 </span></strong></span></strong></strong></p> <p><strong><strong><span style="color:#3399ff;"><span style="font-size:28px;"><strong>百貨商場空調也能參與，及時少用就可提高電網韌性</strong></span></span></strong></strong></p> <p class="rtecenter"><strong><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/600%EF%BC%9A%E4%BA%AC%E7%AB%99-1-%E8%87%B3%E6%B5%A9-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E4%BA%AC%E7%AB%99%E5%AF%A6%E6%A5%AD.png" style="width: 600px;" /></strong></strong></p> <p><strong><strong><strong>國內購物商場京站實業自2021年參與台電的電力交易平臺，開始將位在北車的京站商場內的大型空調設備當作可以調度的電力資源來運用，用來支援台電的電力調度之用。</strong></strong></strong></p> <p><strong><strong><strong>在京站商場的用電中，一般分為動力（如電梯、電扶梯、排煙系統、抽油煙機、水處理設備和空調設備）和非動力用電（如送風機、照明、插座），其中耗電最高的是動力用電，以空調用電占比最高，達到55%。</strong></strong></strong></p> <p><strong><strong><strong>在參與電力交易平臺後，京站採用了即時備轉的方案，能在10分鐘內配合台電進行電力調度。</strong></strong></strong></p> <p><strong><strong><strong>一旦收到台電的通知，京站就會調整冰水主機的出水溫度和回水溫度，來調和商場室內的冷氣溫度，在不影響顧客購物體驗的情況下，藉由減少空調設備的冷氣噸數，來微調室內的溫度，以減少用電，進而協助台電電網的回穩。</strong></strong></strong></p> <p><strong><strong><strong>為了監測冰水主機的能耗狀況，京站正在建立一套監測系統，可監控商場空調的溫度變化情形。這套系統不僅有助於改善空調的節能，還能配合台電的調度需求，追蹤不同時段的用電情況和溫度變化，從而更精準地管控空調電力，例如決定何時關閉某臺冰水主機以減少用電。</strong></strong></strong></p> <p><strong><strong><strong>近年來，京站也開始強化節能措施，期望透過參與台電的電力交易平臺，進一步提升商場的能源管理效率，加速實現節能目標。</strong></strong></strong><strong><strong><strong><strong><strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／京站實業</span></strong></strong></strong></strong></strong></p> <p> </p> <p><strong><strong><strong><strong><strong><a href="https://www.ithome.com.tw/article/165438" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:24px;"><strong><span style="background-color:#3399ff;"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1203-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=tBlYc-8N" style="width: 550px;" /></strong></span></span></a></strong></strong></strong></strong></strong></p> </div></div></div>
2024/10/11 13:12作者余至浩https://www.ithome.com.tw/news/165385
SAP發布10月例行更新，呼籲用戶儘速修補BusinessObjects重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SAP發布<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/october-2024.html">10月份例行安全更新</a>，總共包含6則新的資安公告，並更新6則已經發布的公告。根據CVSS風險評分的高低，最嚴重的是在<a href="https://www.ithome.com.tw/news/164479">8月已經修補的商業智慧平臺BusinessObjects漏洞CVE-2024-41730</a>，這項漏洞發生的原因是缺乏身分驗證的檢核，導致在啟用單一簽入（SSO）的企業環境中，攻擊者有機會在未經授權的情況下，竊得登入系統的憑證（Token），CVSS風險達到9.8分。<a href="https://onapsis.com/blog/sap-patch-day-october-2024/">資安業者Onapsis指出</a>，該公司本月更新公告內容，主要是為SBOP BI Platform Servers 4.2 SP009提供對應的修補程式。</p> <p>另一項該公司提供額外修補程式的高風險漏洞，是今年7月公告的CVE-2024-39592，這項漏洞發生在產品設計成本估算（Product Design Cost Estimating，PDCE）系統，涉及缺乏身分驗證檢核，CVSS風險為7.7，本月SAP對於SEM-BW 600至SEM-BW 748等附加軟體元件，也提供對應的更新軟體。</p> <p>針對本月SAP新公告的漏洞，首先受到研究人員注意的是與Log4j和Spring框架有關的4項漏洞，這些漏洞影響3.0版Enterprise Project Connection，CVSS風險評為8.0。其中的CVE-2024-22259、CVE-2024-38808、CVE-2024-38809，發生在該系統採用的Spring框架，CVE-2022-23302則存在於Log4j元件，這些漏洞的CVSS風險介於4.3至8.8。</p> <p>另一個高風險漏洞的資安公告，與BusinessObjects產品線有關，這項漏洞涉及Web Intelligence Reporting Server元件，攻擊者可在通過身分驗證的情況下發送偽造的請求，就有機會從提供服務的主機下載任何檔案，從而高度影響應用系統的機密性，CVSS風險評為7.7分。</p> </div></div></div>
2024/10/11 11:04作者周峻佑https://www.ithome.com.tw/news/165435
【彈性調度民間可用電力，花蓮強震後10分鐘穩住全臺電網的關鍵】臺灣電網韌性強化有更創新做法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>時間回到4月3日這天上午7時58分09秒，臺灣花蓮發生芮氏規模7.2的強震，是自921以來25年來規模最大的地震，當時不僅造成全臺上百處建物毀損，也瞬間導致台電8部發電機組跳脫，損失高達3,200MW（千瓩）的電力，相當於臺中火力發電廠6部機組的發電量。</p> <p>可是，這次的0403大地震，規模雖接近921地震，但僅造成少數地方停電，影響約37萬戶，並未引發全臺大規模停電。關鍵在於台電運用一套由民間電力組成的電池儲能系統發揮了關鍵作用。</p> <p>強震發生時，這套系統在1秒內迅速啟動救援，讓儲能電池快速放電，合計10秒內增加了510MW的電力，相當於中火一部機組的發電量，才得以防止電力系統的頻率驟降，避免引發更多機組跳脫及連鎖反應。隨後，更透過抽蓄水力放水發電，增加了約中火4部機組的電量，持續穩住頻率，最終在10分鐘內成功讓系統頻率回穩，避免造成全國性停電的發生。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>為何電力系統必須維持在60赫茲</strong></span></span></p> <p>穩定電力系統頻率在60赫茲（Hz）是台電電力調度的關鍵任務之一。因為臺灣電力系統的設計是以60Hz為基準，當頻率低於60Hz代表系統發電少於用電量，反之亦然。而頻率過高或過低都可能影響各種工業與民生用電系統、設備的不穩或損壞。也可能因為發電機組的保護機制動作造成機組跳脫，導致電力系統的頻率持續下降，若未及時處理，進而引發連鎖反應跳脫更多機組，最終可能導致全系統停擺。</p> <p>若因地震颱風等重大事故造成系統頻率快速且大幅下降時，例如當頻率降到59.2Hz時或低於59.5Hz超過50秒，台電目前常見的對策是，會透過各項低頻卸載或限電等措施分階段減少用電量來恢復系統頻率，最大程度降低對系統的影響，避免進一步造成大規模停電。</p> <p>0403地震雖瞬間失去大量電力，但台電的儲能系統能夠迅速支援，彌補發電機組跳脫的電力缺口，全靠台電在3年前打造的一套電力交易平臺，快速調度民間電力資源來因應不足的電力缺口，防止頻率快速下降，才能爭取緊急應變時間。負責維運這套電力交易平臺的關鍵單位，就是台電電力調度處。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>靠電力交易平臺及時調度民間可用電力，爭取緊急應變時間</strong></span></span></p> <p>台電電力調度處處長周芳正認為，0403強震未如921地震般造成全臺大規模停電，除了天時地利人和的因素，更關鍵的是，「民間的儲能第一時間介入，將頻率控制在一定範圍內，才得以採取後續行動，將影響降至最低。」所以，像Gogoro、工廠，甚至是百貨都可以成為支持台灣電網韌性的關鍵。例如電動車電池充電站、醫院的緊急發電機、百貨商場的冷氣空調都能夠在突發狀況中迅速提供調度，穩定電網運作。</p> <p>台電在這套平臺首度採用創新的經濟共享電力交易商業模式，吸引民間可供調度的彈性電力資源加入，簽約參與不同的電力調度模式。對參與調度的企業而言，釋放這些電力，不只是供電，甚至是適時減少用電，都可以獲得額外收益。台電定期依據民間企業提供的電力容量、效能、執行時間及服務指標進行結算來付款。</p> <p>這一起0403大地震事件的電力救援更大意義在於，展現了臺灣不斷電的數位韌性，透過電力交易平臺，臺灣能夠結合民間可用電力，提升電力調度的靈活性和韌性，確保電網在突發情況下能迅速反應與調度，維持在全臺電網穩定。</p> <p>電力交易平臺2021年推出上線後，台電首先推出「日前輔助服務市場」形式，在用電日之前，提前訂定電力調度價格的調度方式。參與企業須經過申請成為合格交易者，採取公開競標，由合格電力交易者自由報價。報價結束後。台電會匯集電力系統、發電負載及業者報價等資料，透過電腦程式執行電力系統最佳化配置，決定用電調度當日的民間資源使用時間與使用量。周芳正說：「電力交易平臺的日前輔助服務市場是亞洲第一個建立的輔助服務市場」。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-%E5%B0%81%E9%9D%A2-%E4%B8%BB%E6%96%87-600-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%8F%B0%E9%9B%BB.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong><span style="font-size: 18px;">台電在這個日前輔助服務市場的服務中，提供了4種電力交易單位，分別是調頻備轉、電能移轉複合動態調節備轉容量（E-dReg）、即時備轉和補充備轉。每個交易單位適用情境和用途各有不同，滿足電力調度的需求。</span></strong><span style="font-size: 14px;">（圖片來源／台電）</span></span></p> <p>台電在這個日前輔助服務市場的服務中，提供了4種電力交易單位，也代表了不同的調度方案，分別是調頻備轉、電能移轉複合動態調節備轉容量（E-dReg）、即時備轉和補充備轉。每個交易單位適用情境和用途各有不同，滿足電網調度的需求。例如，調頻備轉多採用儲能設備，通常用於需要快速反應的情況，如大量機組突然跳脫。這種備轉當偵測到頻率偏差時，能在1秒內迅速充或放電。相比之下，即時備轉和補充備轉則依賴發電機組或需量反應（用戶採取減少用電措施），反應時間介於10至30分鐘內，配合調度指令進行負載抑低。</p> <p>在調頻備轉方案中，對於頻率的反應存在差異，例如動態調頻備轉（dReg）會在頻率低於59.75Hz時進行全力放電，而靜態調頻備轉（sReg）則在頻率低於59.88Hz時觸發啟動。台電去年新增了E-dReg，則是兼具調頻備轉快速反應和緊急調度等多用途功能。</p> <p>周芳正形容，調頻備轉和E-dReg，就像短跑型選手，能在短時間內快速衝刺，撐住驟降的電網頻率，可以應用在突發性的狀況，例如機組跳脫，造成供需不平衡的情況；而即時和補充備轉則像接力選手，負責後續電力調度的支援，反應雖較慢，但可持續較長時間。</p> <p>由於台電在此平臺上交易購買的是「服務」，而非「商品」，參與的合格交易者需要符合台電的規格，包括能有效減少供電壓力或提供足夠的供電能力，但對於達成方式則沒有限制，例如能使用發電機組供電，也可以透過需量反應來實現。<br /> 過去臺灣電力調度有開源和節流兩種策略，他表示，電力交易平臺在節流方面發揮了關鍵作用，因為平台上使用的電力資源來自民間既有設施，如醫院和工廠的緊急發電機、儲能設備及自用發電設備。此外，透過需量反應調整用電習慣，減少尖峰用電，能有效緩解短期供電壓力。</p> <p>0403大地震期間，台電透過144個dReg案場及4個E-dReg案場的即時放電，瞬間釋放510MW電力，才能夠在強震導致電力機組跳脫的情況下，撐住快速下降的頻率，為後續的緊急應變爭取了寶貴的時間。</p> <p>甚至，近期發生兩部機組同時跳機，總損失達1,200MW。以往這類的事件一旦超過1,000MW或1,200MW，停電風險就會大幅上升，幾乎導致全國性停電。現在有了電力交易平臺的調頻備轉等儲能系統，「我們已經不再擔心」他說。</p> <p>周芳正強調，使用電力交易平臺，不僅能夠強化電力系統的韌性，降低事故發生的機率與嚴重度，也能夠活化民間資源與促進產業活絡。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>再生能源比重越高，越需要電力調度來因應氣候變化</strong></span></span></p> <p>尤其，2023年台電系統年發電量將近2,500億度，其中再生能源占比10.55%。隨著再生能源發電比例的提升，受氣候因素影響，電力系統面臨負載陡升及夜尖峰挑戰，這將增加電力預測與調度的困難。但電力交易平臺能改善這個問題。例如遇到光電不穩定時，可使用即時備轉和補充備轉來因應，不需要啟動反應較慢的傳統發電機組，「即時備轉和補充備轉使用頻率不高，但在關鍵時刻卻能發揮重要作用。」他表示。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>設立戰情室，監控全臺電力調度</strong></span></span></p> <p>台電還設立了一間電力交易中心的戰情室，可以用來監看電力交易平臺每天交易和運作情況，確保平臺的穩定運作。從戰情室大型螢幕牆上，現場調度人員可以快速查看現在系統頻率隨時間變化的趨勢，以及整體民間電力資源的使用狀況，還可以進一步查看各個電力交易單位的運作情況，甚至監控民間業者的執行情況與排程，以確保電力系統的精準調度。</p> <p>電力交易平臺上線至今也獲得不少重要的成果，參與容量逐年成長，從2022年的100MW增至2023年的500MW。截至9月，合計總量已達1,599.5MW，相當於約有1.5部核能機組的量。</p> <p>參與合格交易者到今年10月增加到95家，涵蓋多個產業。製造業的群創、友達、台達和台灣康寧；航空業的漢翔；百貨業的京站、台北101和維多利亞酒店；飯店業的加賀屋；醫療機構如彰基醫院、雙和醫院和敏盛醫院；水泥製造業的台泥，以及電信業的中華電信等。</p> <p>台電不僅自行打造電力交易平臺，還設計了聚合商的角色，用來整合各產業的民間業者，並透過代理需量反應資源參與平臺的運作。他表示，聚合商在台電交易平臺中扮演著重要角色，能有效整合分散在全臺各地的民間資源，並促進創意合作，比如Gogoro、京站就是透過聚合商參與。此外，當用戶面臨技術上的困難時，聚合商也能提供直接協助。</p> <p>台電的電力交易平臺在技術應用上也有不少突破，例如能即時掌握這些民間案場可用電力的狀態，更新頻率更達到秒級，此外，通訊方面，採用SD-WAN通訊技術，取代過去傳統的IPSec VPN通道，來與合格交易者傳遞訊息，不僅具備自動偵測通訊品質和自動調整路徑的能力，還能強化資訊安全。</p> <p>在電力交易平臺中導入了AI技術，分別應用於短期負載預測，提高預測精度，以及模擬電力系統的發電與用電行為，實現電力資源配置最佳化排程等。<br /> 除了日前輔助服務市場，台電規畫研擬日內輔助服務市場，未來可以提供當日小時前甚至即時的交易，甚至隨著技術和法令成熟，也將研擬規畫新的輔助服務市場，例如日前電能市場等，讓未來電能可以自由買賣。</p> <p> </p> <p><span style="font-size:24px;"><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> </span></span></span><a href="https://www.ithome.com.tw/article/165438" target="_blank"><span style="color:#FFFFFF;"><span style="font-size: 24px;"><strong><span style="background-color:#3399ff;">相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1203-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=tBlYc-8N" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/10/11 11:57作者余至浩https://www.ithome.com.tw/news/165436
臺灣電網數位韌性背後的IT關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每一天，台電電力交易平臺要處理上億筆電力資料，來掌握民間電力資源的即時狀態，迅速應對電力系統變化。隨著輔助服務態樣越來越多和參與者不斷增加，未來規畫導入微服務架構，加速新服務和功能的推出。</p> <p>「一開始建立電力交易平臺，就以證券交易所平臺等級，來思考整體系統規畫。」台電電力調度處處長周芳正表示，這樣的設計正是為了因應未來更多種服務的擴展能力，滿足電力市場需求的變化和更多元的交易模式。</p> <p>在台電強化電網韌性計畫中，電力交易平臺扮演了虛擬電廠調度的關鍵角色，負責整合分散於各地的民間可用電力資源，為電力系統提供輔助服務，以便在電力需求波動或突發況下迅速調度資源，提升整體電網的穩定與韌性。</p> <p>臺灣在2017年通過《電業法》後，台電開始規畫打造這套電力交易平臺，整合民間電力資源建構更具韌性的電網。為了打造這套關鍵平臺，台電找上資策會團隊合作，由其負責電力交易平臺資通訊系統開發與建置，如調度系統等。</p> <p>最初，台電建先建立平臺原型，進行內部測試，經過一年的測試與調整，2020年開始建置正式平臺，並在2021年正式上線，推出電力系統的日前輔助服務。隨著平臺發展，提供的電力交易單位，從原來一種增加為三種，去年更增加一種，因應輔助服務多元交易的需求，進而提升電力調度的彈性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1203%E5%B0%81%E9%9D%A2-%E5%B9%B3%E8%87%BA-600.png" style="text-align: center; width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>應對電力系統變化，更要掌握民間電力資源的即時狀態</strong></span></span></p> <p>從規畫到正式啟用上線，花了約4年。在建置過程中，台電面臨不少技術挑戰，不僅需採用專用電表以提供即時的民間電力數據，還導入了新通訊技術，建立更安全可靠的訊息傳遞管道。</p> <p>由於民間電力資源分散各地，為了能更迅速應對電力系統變化，電力交易平臺在設計上特別強調即時通訊的能力，資料更新頻率得達到每秒等級，以便精準掌握民間可用電力資源的即時狀態，才能在緊急情況下進行快速調度，特別是儲能設備，一旦偵測到頻率變化便會自動反應，透過即時資料回報，才能根據實際狀況迅速調整。</p> <p>可是，台電的AMI智慧電表通常每15分鐘回傳一次用電數據。為此，台電採用另一款專用電表，取得更即時的民間電力數據，此外，在通訊方面也採用智慧電網IEC 61850和DNP 3.0取代舊通訊標準，藉此提高數據回傳效率。</p> <p>不僅如此，台電過去慣用IPSec VPN通道，作為與合作業者間的訊息傳遞管道，由於電力交易需要一一和越來越多的業者介接，常因設備、通訊協定或參數設定等問題產生諸多困難，使得介接處理流程非常耗時。</p> <p>為了解決這個問題，台電後來採用軟體定義廣域網路技術SD-WAN，以軟體方式建立VPN通道，取代了既有VPN專線，提供更迅速且安全的通訊管道。</p> <p>周芳正表示，由於SD-WAN本身具備自動調整路徑和優化通訊品質功能，不只能讓合格業者快速且直接地連接到平臺，同時也能有效進行管控，並強化資訊安全。</p> <p>電力交易平臺上線迄今3年多，目前有95家合格業者，提供超過430個民間電力資源，若是考慮到聚合商，每一家聚合商可能代理多家企業，實際參與平臺的企業可能破百家以上。</p> <p>為確保能夠整合更多業者及資源加入平臺，台電在平臺上線前也進行過更大連線規模的壓力測試，200名參與者，每位參與者提供5個資源，共計1,000個資源進行測試，也就是目前串接來源數量的兩倍，整套系統仍舊可以正常運作。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>一天得處理3.2GB資料量</strong></span></span></p> <p>周芳正表示，電力交易平臺目前平均一天收到的資料量約3.2GB。換句話說，一年累計的資料量超過1TB。為了儲存這些資料，台電持續進行資料的擴充，對於保留超過三年的資料，也會壓縮成其他格式進行保存。</p> <p>從技術架構來看，台電電力交易平臺主要由13個核心模組組成，涵蓋註冊、公告、報價、通訊、ETP系統調度介面、現行運轉計畫平臺（COP）、通訊與調度、通知、結算、PLEXOS介面模組、最佳化模組、短期負載預測、再生能源預測等模組，各自負責不同的功能和任務，為日前輔助服務市場提供所需的資訊服務。</p> <p>在這套平臺中，台電導入不少自動化機制，提高平臺營運和管理效率。以日前輔助服務為例，幾乎是全天營運交易流程，因此不論是處理合格交易者報價、電力調度處最佳化排程作業、輔助服務調度使用及輔助服務報酬結算，都靠自動化來處理，有效節省人力。</p> <p>像是調度日的排程上，台電使用PLEXOS模型，可準確模擬電力系統的發電與用電行為，將電力系統的物理特性納入考量，求得全系統電力資源配置最佳化排程的結果。</p> <p>調度日後，經由電力交易平臺的結算模組可自動化計算各交易資源的服務報酬，提供合格交易者報酬預結算明細以利確認。</p> <p>台電也用AI，來提升短期負載預測模組的預測精準度，採用殘差類神經網路技術和多重方程時間序列模開發出AI預測模型，並搭配整體學習（Ensemble learning）進行模型融合。該模型能夠根據歷史用電量趨勢、考慮天氣變化、節慶假日等因素，推估即時的全系統用電總需求量，在用電日之前，作為民間電力資源配置及決定時段的重要參考。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>下一步規畫導入微服務架構</strong></span></span></p> <p>隨著服務項目的增加和民間參與者的持續增長，台電不斷深化電力交易平臺的發展，以支援未來更多的服務擴充和多元交易模式。此外，台電也規畫導入微服務架構，翻新現有平臺的資訊架構，以提升開發與維護的彈性。</p> <p>負責建置電力交易平臺的資策會開發團隊，後來獨立出來成立一家資訊公司新捷能資訊。該公司總經理梁敏雄指出，由於現行模組功能不斷擴充，加上資源增多，各模組使用者也不同與資源樣態越來越複雜，增加開發和維護管理的複雜度，必須採用更彈性的架構。</p> <p>梁敏雄表示，未來電力交易平臺將拆解成多個獨立的微服務模組，讓每個模組可獨立開發、部署和更新，從而加快新功能的擴展，避免單一模組的更改影響到其他模組。此外，導入微服務後，能針對不同使用者的需求進行特別設計和功能擴充，同時加強資安管理。</p> <p>近兩年，台電也加強與第三方業者平臺的整合，例如聚合商現在可以透過呼叫API方式取得公告排程和調度指令等相關資訊，但出於資安考量，台電目前不考慮採用Open API架構。</p> <p>周芳正表示，未來台電規畫研擬日內輔助服務市場，將能提供當日小時前甚至即時的電力交易。在排程方面，將逐步從每小時排程縮短到每15分鐘，可以提供更準確的電力調度。</p> <p>隨著技術和法令成熟，台電將規畫新的輔助服務市場，如日前電能市場，讓電能可以自由買賣，進一步吸引更多穩定可靠的外部電力資源進入市場，強化電網的韌性與穩定。</p> <p>台電還計畫導入市場管理系統MMS於平臺中，透過EMMS串接各式數位創新技術，如AI、區塊鏈等，實現全面分散式資源即時經濟調度。以區塊鏈為例，未來可應用於智慧電表中，當進行多對多的綠電交易時，就能透過區塊鏈，確保電表記錄的真實性與可追溯性。</p> <p><span style="font-size: 24px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 153, 255);"> </span></span></span><a href="https://www.ithome.com.tw/article/165438" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><strong><span style="background-color: rgb(51, 153, 255);">相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1203-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=tBlYc-8N" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/10/11 11:58作者余至浩https://www.ithome.com.tw/news/165437
7級強震不斷電的數位韌性
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1203-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=tBlYc-8N" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧臺灣4月3日發生的7.2強震，規模雖接近當年的921，卻沒有造成全臺大規模的停電，關鍵就在於台電打造的電力交易平臺，讓臺灣能夠快速結合民間可用電力，提升電力調度的靈活性和系統韌性，不只確保電網在突發情況下能迅速反應與調度，維持全臺電網穩定，更展現了臺灣不斷電的數位韌性。</p> </div></div></div>
2024/10/11 11:58作者余至浩https://www.ithome.com.tw/article/165438
Mozilla發布Firefox更新，修補已遭利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月9日Mozilla基金會發布資安公告，<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2024-51/">緊急修補Firefox重大層級的零時差漏洞CVE-2024-9680</a>，這項漏洞由資安業者ESET通報，存在於Animation元件的時間軸，為記憶體釋放後再存取使用（Use After Free）漏洞，CVSS風險評分達到9.8（滿分10分），該基金會發布Firefox 131.0.2，以及長期支援版（ESR）128.3.1、115.16.1修補。值得留意的是，已有攻擊者試圖利用這項漏洞。</p> <p>針對這項漏洞帶來的影響，Mozilla基金會指出，攻擊者若是觸發漏洞，就有機會藉由Animation元件的時間軸，引發記憶體釋放後再存取使用的現象，而能在特定處理程序執行程式碼。</p> <p>他們特別提及，已接獲漏洞被實際利用的通報。究竟駭客如何利用漏洞？該基金會並未進一步說明。</p> <p>想要修補上述漏洞並不難，因為Firefox會自行下載新版程式，並在功能選單提醒軟體更新，用戶應依照指示套用並重新啟動瀏覽器，即可緩解這項漏洞。</p> </div></div></div>
2024/10/11 12:09作者周峻佑https://www.ithome.com.tw/news/165442
羅氏重新定位IT角色展開變革，擁抱敏捷組織全面扁平化
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>四年前，羅氏大藥廠臺灣位於40樓的辦公室中，有間很特別的玻璃屋，牆上貼著一棵大大的蘋果樹海報。樹上貼了一張張便條紙，員工們常稱這些便條紙是一顆一顆的蘋果，滿滿都是公司團隊寫下的痛點。自2020年這棵蘋果樹出現以來，許多痛點已用新方法解決，甚至成為IT聯手業務的新典範。這就是臺灣羅氏大藥廠CIO吳明杰上任後，推動轉型的重要成果之一。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>IT角色轉換是羅氏IT轉型重點</strong></span></span></p> <p>吳明杰回憶，2019年，他進入臺灣羅氏大藥廠不久後，就得負責推動一項IT轉型的大工程。這項轉型計畫，不只要將IT從維運導向角色，轉換為商業夥伴角色，同時還要創造策略價值（Strategic value）。</p> <p>目標雖有，如何實現，還得靠自己定義策略和方法。於是，他爬梳了羅氏大藥廠的IT生態，區分出IT服務對象。首先是對內，也就是協助員工，用IT技術優化流程和系統，比如打造特定系統，來協助藥廠作業流程合法合規，又或是維運企業資源規畫（ERP）系統、客戶關係管理（CRM）系統和商業智慧（Data Intelligence）等企業常見工具。</p> <p>再來是對外，也就是協助業務團隊服務羅氏大藥廠的外部顧客，像是醫療機構、醫師、病友團體，甚至是政府單位。比如，開發系統來協助醫師治療、衛教和實驗，又或是運用新技術，來為病友團體打造用藥和病程追蹤數位工具，也能協助業務團隊提高與這些顧客的互動程度。</p> <p>這樣的生態，是羅氏大藥廠臺灣IT部門過去多年來的日常，讓他們養成了接收需求、解決需求的固定思維，以追求「內部卓越營運」為主的習慣。</p> <p>但吳明杰話鋒一轉，這幾年來，新技術和新IT工具的迭代越來越快，使用門檻也越來越低，這讓羅氏大藥廠意識到，傳統IT角色和思維開始過時了。「IT應該思考，如何運用這些技術和工具，在既有基礎上，創造更高的價值、提供更多賦能。」他說。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從戰略高度賦予IT新角色和目標</strong></span></span></p> <p>因此，臺灣羅氏大藥廠從戰略高度，賦予IT新角色，讓IT不再是根據需求解決問題的被動後勤，轉而要主動出擊、與業務團隊聯手，成為商業夥伴，用IT創造更多價值和賦能。</p> <p>「也就是從傳統IT，轉換為策略型IT，」吳明杰用一句話，點出最本質的改變。</p> <p>吳明杰重新定義了IT的新角色，劃定出3大工作目標，除了維持既有維運工作，還要用從內部服務延伸到外部共創價值，以及最後一項，也是他最看重的「創新」目標。</p> <p>這3大目標看似獨立，卻又環環相扣，比如，創新可結合外部顧客參與，來開發更好用的顧客系統和工具、提高外部顧客體驗，又或是結合既有IT工作，來用新技術改善內部作業流程。</p> <p>舉例來說，臺灣羅氏大藥廠IT大幅導入機器人流程自動化（RPA），來優化內部品管和臨床團隊工作，像是將臨床部門的許可證申請流程自動化，將員工從低價值的工作中解放，來從事更多高價值工作。這是從創新思維來思考既有維運工作的提升。</p> <p>另一個例子是，IT聯手業務展開一項試點專案，導入當時新穎的聲音辨識技術和裝置，獲得病患同意後紀錄他的生活習慣和病程趨勢，協助醫生衡量病友健康狀況。這項專案並非是羅氏大藥廠原本的對外服務，但卻可以用來強化醫生、病友等這類外部顧客體驗，創造更多價值。</p> <p>IT部門主導的創新，還不只如此。吳明杰點出，除了邀請新創公司進駐合作、找出醫療生態系的AI應用切入點，以及與學校展開開放式創新、利用複雜的圖學網路分析技術爬梳人際網絡外，他們自己還啟動了幾個重要工作，包括成立創新實驗室、大規模導入設計思考（Design Thinking）和敏捷式開發。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-CIO-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>設置創新實驗室落實敏捷開發</strong></span></span></p> <p>這個創新實驗室，就是2020年初在IT座位區旁架設的透明玻璃屋。這個玻璃屋有3面牆，一面牆上貼了一棵蘋果樹，上面貼滿了痛點便條紙。另一面牆是「採收」過的蘋果，也就是IT分門別類過的痛點便條紙，還有一面是既有資源和工具的盤點，方便團隊聚集在透明屋中，快速討論、動手解題。</p> <p>設立這個創新實驗室的目的，不只要解決問題，還要用來實作出設計思考和敏捷開發的途徑。</p> <p>吳明杰解釋，臺灣羅氏團隊投資許多時間和資源，聘請師資開課、教導設計思考和敏捷式開發，甚至鼓勵同仁考取敏捷專業證照。</p> <p>為了將設計思考和敏捷式開發落實到實務工作中，他們讓公司各部門的同仁在玻璃屋中寫下業務痛點和提案，IT團隊則每隔1、2周進屋檢視，將問題分類，比如是顧客參與類，還是作業維運類，並判斷可用哪些既有資源來解題。</p> <p>這個過程也不是由上而下指派業務人員來撰寫痛點，而是開放給他們自由提案。隨著，IT解決的痛點越來越多，也有越來越多業務人員主動走過來，寫下他們最切身的問題。</p> <p>對吳明杰來說，這個過程很重要，這是「將想法視覺化」的重要步驟，如此才能界定問題、更好地尋找解決方案。在尋找答案的過程中，臺灣羅氏團隊按設計思考流程，來將問題轉換為可行的專案，並與業務同仁組成敏捷開發小組，快速迭代原型，直到解決問題。</p> <p>這間透明的創新實驗室啟用4年來，成功孵化了不少創意提案，也將許多IT技術融合至各部門的工作流程中，如RPA、聲音辨識技術、AI分析等。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>全球組織轉型接續展開</strong></span></span></p> <p>到了2022年，位於瑞士的羅氏大藥廠總部更發起一項任務，要求羅氏全球分部進行IT組織大轉型，臺灣也在內。</p> <p>這波組織轉型，是要將相同技能的人力，整併到同一個單位中。以IT為例，就是要整合羅氏原本旗下的幾大IT單位，包括藥廠部門IT與診斷部門IT，兩者合而為一、成為「Roche One IT」。</p> <p>這個整合後的組織，羅氏大藥廠用「Chapter」（中譯分會組織）和「Domain」來描述，凡是在同一個Chapter中的人力，都具備相似專業技能，可共享知識、標準化工作。這個做法參考了敏捷開發方法中的橫向組織結構，在垂直任務編組的小隊（Squad）組織架構中，採取的橫向組織形式，讓同一類人才組成共享團體，最典型的例子是音樂串流平臺Spotify採取這樣的編制，來進行大規模敏捷開發。</p> <p>這樣的組織轉型，讓羅氏大藥廠的人力編制更加「扁平化」了，不只打破傳統企業由上而下的垂直結構、減少管理層次，也打破傳統的人才綁定慣例，給人才更多可能，去學習新知識和技能，而非只專注於同一地區的同一產品。</p> <p>吳明杰舉例，一位原本專門維運臺灣區ERP系統的IT，在新組織編制中，就會歸屬到一個全球性IT的Chapter團隊，可以讓這位IT有機會負責維運其他亞洲區，甚至是歐洲分部的ERP系統，甚至可以跨領域維護生成式AI應用。</p> <p>羅氏大藥廠總部希望藉這場轉型，帶來4大優勢，包括產出更多協作價值、加速交付流程、培養更多人才，以及從過往的「由上而下」組織架構，轉換為「賦能」為主的組織架構。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>新角色還需要培養新能力</strong></span></span></p> <p>在這波組織轉型中，吳明杰自己的職位也跟著改變，從臺灣區CIO轉換成為亞太區資訊夥伴的Chapter Section Lead一職，主要任務也從管理臺灣區IT事務，變成帶領其他亞太區14個分部的資訊夥伴主管，達到其工作目標。</p> <p>這個轉變，打破了傳統CIO框架，釋放更多可能性和挑戰，來處理原本CIO份內之外的工作。</p> <p>不只協助其他IT主管，這個Chapter Section Lead新角色，格外需要幾項重要能力的培養，包括了領導管理、技術推廣和熟稔生態系夥伴等，每個能力又可細分成初階、中階和高階這3個等級。</p> <p>就領導管理來說，目的是要與同仁溝通、取得共識，來制定可衡量的指標，進一步實現商業夥伴目標。技術推廣則是學習和理解技術運用，而熟稔生態系夥伴是指，在醫療保健生態系中，尋找能創造價值的地方，比如IT與銷售團隊一起拜訪外部顧客，理解用戶痛點的同時，還要有能力更清楚掌握生態系樣貌，並用IT來解決問題、創造價值。</p> <p>吳明杰坦言，這次組織轉型帶來不少挑戰，尤其得面對「不同文化、不同國家的商業環境和成熟度。」他認為，應對每個需求並達成目標，是一個不斷學習的過程，必須更加理解亞洲其他國家地區的文化差異，以及各分部的策略方向，比如是以策略導向還是運營為導向，如此才能貼近需求、協助分部IT主管達成目標，「這也是我一直在學習的方向。」</p> <p>也因此，在接下來的1年，他鎖定2方向作為精進目標，其一就是繼續加強這些能力的培養，另一則是繼續以設計思考原則，來優化敏捷組織的運作。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>生成式AI是新課題，有潛力協助高層策略規畫</strong></span></span></p> <p>未來的課題不只如此，近來大放異彩的生成式AI，正是羅氏大藥廠下一波的重點技術，總部更發起了一項伽利略專案，來推廣這類技術應用。</p> <p>比如，羅氏大藥廠採用商用生成式AI解決方案，自行微調模型打造出自己的ChatGPT，也就是Roche Chat，用來解決內部員工的疑難雜症，像是文件摘要、法律文件翻譯等。對外也有一套生成式AI工具，可協助合作廠商與客戶之間的協作。對吳明杰自己來說，生成式AI有著巨大潛力，其發展也日益重要、進展迅速，但擁有適當技能的人才，才是數位轉型的成功關鍵。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>吳明杰　羅氏大藥廠亞太區資訊合夥負責人</strong></span></p> <p>學歷：劍橋大學企管碩士畢業</p> <p>經歷：累積超過18年藥廠、汽車、顧問領域專業經驗，專注於資訊、策略和專案執行等領域，近期經歷包括2018年於太古汽車集團擔任資訊主管，2019年進入羅氏大藥廠擔任臺灣區CIO，2022年經歷組織轉型，成為亞太區資訊合夥負責人至今</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1203-CIO-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%EF%BC%8F%E7%BE%85%E6%B0%8F%E5%A4%A7%E8%97%A5%E5%BB%A0.jpg" style="width: 400px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／羅氏大藥廠</span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>羅氏大藥廠</strong></span></p> <p>●地址：臺北市南港區經貿一路170號10樓</p> <p>●網址：<a href="http://www.roche.com.tw">www.roche.com.tw</a></p> <p>●成立時間：1967年成立臺灣分公司</p> <p>●主要業務：製藥，鎖定癌症、免疫、感染性疾病、眼科及中樞神經系統等五大領域</p> <p>●總部：瑞士巴賽爾（Basel）</p> <p>●員工數：250人</p> <p>●總經理：Girish Mulye</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門名稱：Global Informatics Partnering Success</p> <p>●資訊部門主管職稱：APAC Chapter Lead - Informatics Partnering</p> <p>●資訊部門主管姓名：吳明杰</p> <p>●資訊部門人數：30多人（亞太區）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位大事記 </span></strong></span></p> <p>●1967年：羅氏大藥廠臺灣分公司成立</p> <p>●2019年：臺灣區IT轉型展開，將IT角色重新定位為商業夥伴，主動出擊解決商業問題；國家衛生研究院與羅氏集團簽訂合作備忘錄，要發展精準醫療</p> <p>●2020年：成立創新實驗室，以設計思考和敏捷開發方式執行創新專案</p> <p>●2022年：羅氏總部推動組織轉型，臺灣區CIO轉型為亞太區資訊合夥負責人；臺灣羅氏與華碩簽署備忘錄，運用醫療大數據研究平臺推動精準醫療；羅氏集團將雲端工作遷移到AWS，使用高效能運算、分析、機器學習、資料庫、儲存和安全等功能加速藥物研發</p> <p>●2023年：羅氏總部應用AI技術協助找出肺癌患者</p> <p>●2024年：羅氏集團研發AI連續血糖監測器，獲歐盟EC智慧醫材許可</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1203-cio-she_ying_hong_zheng_wei_-960.jpg" width="960" height="420" alt="" title="羅氏大藥廠亞太區資訊合夥負責人吳明杰　（攝影／洪政偉）" /></div></div></div>
2024/10/11 12:13作者王若樸https://www.ithome.com.tw/people/165443
今年初修補的Fortinet RCE漏洞已遭濫用攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國網路安全暨基礎架構安全管理署（Cybersecurity and Infrastructure Security Agency，CISA）<a href="https://www.cisa.gov/news-events/alerts/2024/10/09/cisa-adds-three-known-exploited-vulnerabilities-catalog" target="_blank">本周公告</a>，防火牆產品Fortinet一項已修補8個月的重大風險漏洞已發生濫用事件，呼籲用戶更新到最新版本。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1011-Known%20Exploited%20-CISA-CVE-2024-23113-fortinet.png" style="width: 600px;" /></p> <p>遭到濫用的漏洞為<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-23113" target="_blank">CVE-2024-23113</a>，它是一個存在FortiOS fgfmd精靈程式的格式化字串漏洞，攻擊者可透過操弄輸入的叫呼訊息格式觸發，而在未經授權情況下在FortiOS上執行任意程式碼或指令。本漏洞風險值達9.8。Fortinet已在今年2月修補完成。</p> <p>CVE-2024-23113影響Fortinet多項產品，包括FortiOS、代理伺服器FortiProxy、特權存取管理FortiPAM及集中管理平臺FortiSwitchManager。CISA呼籲美國聯邦政府單位應立即採取防護措施。</p> <p>CVE-2024-23113是CISA新增入已知被濫用漏洞名單的三項漏洞之一。另二項為Ivanti服務的SQL程式碼注入及OS指令注入漏洞，業者已在本周稍早公告透過<a href="https://www.ithome.com.tw/news/165408" target="_blank">10月份更新修補</a>。</p> </div></div></div>
2024/10/11 10:07作者林妍溱https://www.ithome.com.tw/news/165432
Fidelity Investments被駭，7.7萬客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>跨國金融業者富達投資（Fidelity Investments）本月稍早<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/a4103ed8-3176-4ca0-99e6-4a320f1c3b32.html?7194ef805fa2d04b0f7e8c9521f97343" target="_blank">通報州主管機關</a>，公司系統遭駭客存取，致使大約7.7萬名客戶個資外洩。</p> <p>富達投資已在本周以電子郵件通知受影響消費者。根據該公司提供給官方的文件，在今年8月17到19日之間，一個外部組織利用二名客戶新增的帳號非授權存取了公司系統，並取得客戶資料。該公司立即採取行動切斷了存取管道。</p> <p>富達提供給另一州政府的<a href="https://www.mass.gov/doc/data-breach-report-2024/download" target="_blank">文件中</a>，顯示這次外洩的客戶個資包含社會安全號、駕照號碼及銀行帳號。</p> <p>富達投資將對受影響的客戶提供24個月的個資外洩監控服務。</p> <p>這是12個月以來富達第5度已知的資料外洩。今年3月及7月富達集團各因客戶資料外洩通報主管機關，前幾次案例分別發生在富達投資壽險、富達投信，各自造成用戶的社會安全號碼、銀行帳號或駕照證號外洩。</p> </div></div></div>
2024/10/11 09:00作者林妍溱https://www.ithome.com.tw/news/165431
【2024舊金山AMD發表會直擊】AMD發表最高192核心的第5代EPYC處理器，推出新Instinct MI325X…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在美國舊金山舉行的AMD Advancing AI全球發表會中，AMD發表資料中心CPU、GPU、網路及AI PC最新產品，其中資料中心CPU發表了代號為Turin的第5代EPYC處理器9005系列，新的伺服器專用處理器採用Zen 5架構，核心數從8到192核心，搭載新處理器的伺服器預計2025年第1季推出。同場發表的還有AI資料中心專用GPU，Instinct系列加速器，包括Insinct MI325X及明年將推出的MI350系列。</p> <p>AMD執行長蘇姿丰在發表會中表示，在快速發展的AI應用，AI正從分析式AI應用到生成式AI應用，並向代理型的AI應用發展，AMD的策略是在企業的各種AI工作負載提供對應的運算引擎，包括AMD EPYC處理器，以及Instinct系列加速器。</p> <p>首先在資料中心伺服器，蘇姿丰指出，AMD EPYC處理器的市場營收佔比不斷增加，從2018年營收佔比只有2%，目前營收佔比已達到34%，目前仍在成長中，迄今已有超過350款OEM平臺，超過950個雲端執行個體採用EPYC處理器。</p> <p>AMD正式發表代號Turin的第5代EPYC伺服器專用處理器，採用3奈米及4奈米製程，內含1,500億個電晶體，核心數從8個核心到最多192個核心，功耗從最低155瓦到500瓦，時脈達5GHz；新一代EPYC處理器相容於第4代EPYC處理器Genoa的SP5平臺，並支援12Ch DDR5-6400記憶體，在I/O方面，採用trusted I/O技術，支援機密運算。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-10-10%20%E4%B8%8B%E5%8D%882_28_09.jpeg" style="width: 600px; height: 308px;" /></p> <p>第5代EPYC處理器支援Scale-up向上擴充及Scale-out橫向，其中Scale-up版本內建16個Zen 5 CCDs，擁有128個核心、256個執行緒，而Scale-out版本內建12個Zen 5c CCDs，雖然CCDs數量比較少，但是最多有192個Zen 5c核心、384個執行緒。</p> <p>回顧EPYC處理器從2017年的第1代EPYC，到2024年的第5代，處理器內的CPU核心數從最初的32個核心，到現在的192個核心，核心數增加6倍，效能方面，第5代EPYC處理器比第1代EPYC提升11倍的效能。</p> <p>AMD也從不同角度比較新一代EPYC處理器所能帶來的效益，例如在虛擬化的軟體授權成本方面，以同樣64個核心的第5代EPYC處理器9575F和第4代EPYC的9554、英特爾第5代Xeon 8592+作比較，第5代EPYC處理器9575F的單一核心效能，較AMD前一代EPYC，英特爾第5代Xeon處理器效能分別高出1.2倍、1.6倍；單單以第5代EPYC處理器和競爭對手英特爾的產品相比，相當於在相同虛擬化軟體授權成本下，效能多出60%。</p> <p>在AI及推論效能方面，相同處理器在機器學習及端到端AI，第5代EPYC和競爭對手相比擁有3倍、3.8倍的AI效能。</p> <p>第5代EPYC處理器更多的CPU核心，在資料中心有限的空間、供電下，可減少伺服器數量，AMD以1000臺老舊的2P英特爾Xeon Platium 8280伺服器為例，如果汰換為現代伺服器，採用第5代EPYC處理器的伺服器，伺服器數量可減少至131臺，相當於7:1伺服器數量整併比例，減少伺服器數量，意謂著降低TCO總持有成本，減少伺服器用電。</p> <p><span style="color:#B22222;"><strong>同步發表Instinct MI325X加速器，明年下半年再推MI350</strong></span></p> <p>在資料中心專用GPU方面，去年夏天AMD發表Instinct MI300系列，包括APU設計的MI300A，以及MI300X，AMD也推廣ROCm開放軟體平臺，擴大ROCm對AI函式庫的支援，向開發社群招手，擴大Instinct加速器的生態系。</p> <p>蘇姿丰表示，ROCm經過不斷的調整，在推論及訓練效能已提升2倍效能，支援的模型數量上，透過和Hugging face深化合作，現在支援的模型數量已超過1百萬個。此外，也和AI開發社群、新創深化合作，例如PyTorch、ONNX、TensorFlow，擴大AI生態系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-10-10%20%E4%B8%8B%E5%8D%882_13_50.jpeg" style="width: 600px; height: 349px;" /></p> <p>今年AMD更新Instinct系列加速器，發表MI325X加速器，採用CDNA 3架構，內建更大的256GB HBM3E記憶體，記憶體頻寬提高到每秒6TB，FP16效能測試下，可達到1.3PF，在FP8效能測試下，可達到2.6PF。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20241010_092722.jpeg" style="width: 600px; height: 450px;" /></p> <p>AMD 以MI325X和Nvidia H200 HGX相比，MI325X最大可支援2TB HBM3E，為H200HGX的1.8倍記憶體容量，記憶體頻寬最多可每秒48TB，為H200的1.3倍，在AI模型訓練及推論效能也有所提升。MI325X並未公布價格，但將在今年第4季開始生產，相關系統將在明年第1季推出，根據AMD公布的資料，Dell、技嘉、HPE、Lenovo、Supermicro將會採用。</p> <p>根據AMD的Instinct系列產品規畫，明年下半年將會發表MI350系列，MI350將會採用3奈米製程，支援FP4及FP6資料類型，並且有別於先前採用的CDNA 3架構，MI350開始採用新的CDNA 4架構，和舊架構相比，推論效能可望達到35倍之多。</p> <p>AMD展示Instinct MI355X在FP16及FP8測試下，其效能表要比MI325X高出1.8倍，在FP6及FP4，可達到9.2PF。</p> <p>看好資料中心AI加速器市場持續成長，年複合成長率超過6成，可望從2023年450億美元成長到2028年的5,000億美元，AMD展現持續投入資料中心GPU市場的決心，除了明年下半年的MI350系列，先預告2026年將推出MI400系列，採用下一代CDNA架構。</p> <p>因應資料中心處理AI工作負載的需求增加，除了發表新一代EPYC處理器，以及Instinct系列AI加速器，資料中心網路產品方面，AMD發表第3代P4引擎，每秒處理多達1.2億個封包，400GB/s傳輸速度。</p> <p>今天發表採用新的P4引擎資料中心DPU產品，包括AMD Pensando Salina 400，以及另一款也採用P4引擎的Pensando Pollara 400，Pollara支援Ultra Ethernet Consortium聯盟即將推出的UEC1.0標準，支援可編程的硬體Pipeline，提供最高6倍效能加速。</p> <div> </div> </div></div></div>
2024/10/11 06:11作者蘇文彬https://www.ithome.com.tw/news/165430
【2024舊金山AMD發表會直擊】商用AI PC處理器亮相，NPU效能最高可達55 TOPS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看準AI PC市場成長潛力，AMD在美國舊金山發表活動中，發表一系列AI相關運算產品，其中在PC方面，迎合企業對於AI PC的需求，發表Ryzen AI Pro 300系列商用處理器，主打商用AI PC市場，內建NPU具備效能最高達55TOPS，支援微軟Copilot+PC，並且最多達到23個小時電池續航力，該公司也預告2025年將有超過100款Ryzen AI Pro電腦產品推出。</p> <p>在今年Computex，AMD針對微軟Copilot+PC需求，推出第三代Ryzen AI處理器，代號為Strix Point的Ryzen AI 300系列，採用Zen 5核心，最高內建12個核心、24個執行緒，搭配XDNA 2架構的NPU，其NPU效能可達到50TOPS，達到微軟Copilot+PC要求NPU效能至少40 TOPS的要求，在當時優於高通、英特爾等處理器NPU效能。</p> <p>AMD擴大第三代Ryzen AI處理器陣容，今天(10/11)在美國舊金山正式發表Ryzen AI Pro 300系列商用處理器，和鎖定消費市場的Ryzen AI 300系列處理器不同，支援AMD Pro的商用PC規格，強調迎合企業IT需要的簡化管理、穩定，以及支援多層的安全性設計。</p> <p>Ryzen AI Pro 300系列同樣採用Zen 5架構CPU核心，共推出3款處理器，由低階到進階，分別為Ryzen AI 7 Pro 360、Ryzen AI 9 HX Pro 370、Ryzen AI 9 HX Pro 375，從內建8核心及16個執行緒，到內建12個核心、24個執行緒，處理器時脈最高至5.1GHz；在GPU方面，採用下一代的RDNA 3.5架構，內含16個GPU計算單元，根據AMD的資料，3款處理器分別採用AMD Radeon 880M或890M Graphics。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-10-10%20%E4%B8%8A%E5%8D%883_04_52.jpeg" style="width: 600px; height: 327px;" /></p> <p>新的Ryzen AI Pro處理器也採用XDNA 2的NPU架構，其NPU效能介於50到55 TOPS，相較於前一代商用處理器(AMD Ryzen Pro 8040系列)提升3倍，並強調為首款支援微軟Copilot+PC的商用PC處理器，能夠在裝置端執行AI應用，例如快速幫助使用者搜尋瀏覽過網頁、簡報、郵件的Recall，以及圖像生成的Cocreator，可即時翻譯超過40種語言為英文字幕的Live Caption。</p> <p>目前在主流的PC處理器上，AMD在NPU效能上達到55TOPS，不僅是自家Ryzen Pro 8040系列NPU效能的3倍，高於蘋果M4處理器的38TOPS，並且高於英特爾Core Ultra vPro的NPU效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-10-10%20%E4%B8%8A%E5%8D%884_23_05.jpeg" style="width: 600px; height: 311px;" /></p> <p>在筆電等行動PC重視的電池續航力方面，最多可達到23個小時，電池續航力接近1天，以一般使用行為來看，可達到多天使用時間。</p> <p>AMD推出新款Ryzen AI Pro商用PC處理器，以對應英特爾同樣鎖定商用PC定位的vPro處理器，AMD也不忘比較與競爭對手的效能表現，以AMD Ryzen AI 7 Pro 360、Ryzen AI 9 HX Pro 375來和英特爾Core Ultra 7 165U及165H的vPro處理器比較，在Cinebench R24 n-thread的CPU效能測試下，分別高出競爭對手3成及4成，而在Procyon Office Productivity生產力效能測試方面，則是比競爭對手高出9%及14%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-10-10%20%E4%B8%8A%E5%8D%883_07_34.jpeg" style="width: 600px; height: 323px;" /></p> <p>針對AI PC的AI應用生態，AMD透過Ryzen AI軟體和企業ISV強化合作關係，例如微軟、Adobe、Zoom、Splashtop等業者，讓預訓練的AI模型，經過權重量化，搭配ONNX Runtime，讓AI應用能夠支援Ryzen AI產品，Ryzen AI Pro 300系列商用處理器的效能得以發揮。</p> <p>至於企業關心的資安上，AMD和第三方業者合作，在硬體、作業系統以多層次安全設計強化商用處理器產品的安全性，例如避免員工電腦遺失的AMD Memory Guard，內建AMD Secure Processor 2.0，AMD也和ISV合作，發展資安的AI應用，例如和Bufferzone合作AI的反釣魚技術，以及和Dynamo AI合作，針對高度監管的醫療或金融產業，提升AI決策的透明度。</p> </div></div></div>
2024/10/11 06:13作者蘇文彬https://www.ithome.com.tw/news/165429
Apache Avro軟體開發套件存在高風險漏洞，攻擊者有機會遠端於Java應用程式執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月3日Apache基金會發布公告，表明旗下的資料序列化框架Avro<a href="https://lists.apache.org/thread/c2v7mhqnmq0jmbwxqq3r5jbj1xg43h5x">存在資安漏洞CVE-2024-47561</a>，該漏洞發生在Java軟體開發套件（SDK），CVSS風險評分達到7.3，影響1.11.3之前的版本，該基金會發布1.11.4及1.12.0修補。</p> <p>開發團隊表示，問題出在舊版Avro的Java SDK處理Schema過程中，攻擊者有機會觸發漏洞並執行任意程式碼，呼籲用戶儘速套用新版程式，後續他們回答提問時提到：假如使用者能夠提供自己的Schema，任何應用程式都有可能受到影響。</p> <p>資安新聞網站Hacker News對<a href="https://thehackernews.com/2024/10/critical-apache-avro-sdk-flaw-allows.html">這項漏洞提出進一步說明</a>，假如使用者能夠提供自己的Schema，任何應用程式都有可能受到影響。</p> <p>資安新聞網站Hacker News的相關報導，也引用資安業者Qualys威脅研究團隊經理Mayuresh Dani的說法，他表示，該弱點的位置是從Schema收到反序列化輸入過程。根據該公司掌握的威脅情報，目前尚未有人提供概念性驗證程式碼（PoC），但他們表示這項漏洞在透過ReflectData與SpecificData指令處理套件時就會出現，而且，攻擊者可透過分散式事件處理平臺Kafka利用。</p> <p>Dani指出，大多數採用Avro的企業組織位於美國，若是他們不予修補、監督或採取保護措施，就有可能產生很多安全問題。</p> </div></div></div>
2024/10/10 14:56作者周峻佑https://www.ithome.com.tw/news/165423
美國政府考慮提議拆分Google
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國法院8月判決Google在搜尋及廣告市場有壟斷行為，而提告的美國政府提議多項修正措施，包括拆分這家網路及軟體巨擘。</p> <p>哥倫比亞特區聯邦地方法官Amit P. Mehta 8月針對司法部及美國數州對Google提起的線上搜尋及搜尋廣告市場的壟斷官司，<a href="https://www.ithome.com.tw/news/164309" target="_blank">判決</a>Google具有壟斷行為（monopolist）。本周法院公布33頁由<a href="https://www.documentcloud.org/documents/25196894-doj-filing-re-google-antitrust-remedies" target="_blank">美國司法部提交文件</a>，針對Google以營收共享、集中用戶使用資料、搜尋第三方網站內容以進行AI訓練等手段擴大搜尋優勢，以及壟斷搜尋廣告的行為，提議多種矯治措施的框架。</p> <p>其中，為了防範Google藉由營收共享給裝置或瀏覽器業者獨享用戶平臺，司法部的提議小至要求Google告知用戶選擇權利、禁止使用預安裝或預設合約使Google成為預設搜尋，大到以行為和結構式手段，禁止Google利用Chrome、Play、Android等產品偏袒Google搜尋及相關功能如AI。結構層面的矯治意謂著要讓Google出售這些業務。</p> <p>在其他矯治手段方面，司法部希望能迫使Google在不影響用戶隱私下，透過API開放Google搜尋的索引、feeds、模型，以及Google行動版搜尋結果、功能及底層排序信號給競爭者。</p> <p>其次，由於Google使用第三方內容訓練AI演算法方面，美國政府要求Google允許第三方網站退出（opt-out）其資料擷取，並禁止Google和內容網站簽定排除其他AI業者的合約．</p> <p>最後，美國政府認為，Google透過強大的演算法和廣告平臺控制了大部分的搜尋廣告投放。因此司法部要求Google改變或取消一些使廣告主依賴Google的限制性條款，並要求Google提高廣告投放的透明度，確保其他廣告平臺的公平競爭權。</p> <p><a href="https://blog.google/outreach-initiatives/public-policy/doj-search-remedies-framework/" target="_blank">Google回應</a>，美國司法部的提議框架，遠超過本案法律議題。而且其提議諸多不合理。包括要求Google分享資料才會危及用戶隱私，而限制Google AI技術，正是在AI發展關鍵期傷害美國創新能力。Google也聲稱其在搜尋廣告市場的優勢是因為其技術創新和用戶信任，而不是不公平競爭或壟斷行為，而市場上有多個其他搜尋引擎和廣告平臺，這表明市場並非完全被其壟斷。</p> <p>針對拆分Chrome、Android部門，Google表示，兩者合併運行，才能讓使用者免費使用，而且安全，可快速連網，拆分兩者將破壞這商業模式，提升用戶裝置成本、並減弱Android和Google Play對抗蘋果iPhone/App Store的能力。</p> </div></div></div>
2024/10/10 15:54作者林妍溱https://www.ithome.com.tw/news/165427
Internet Archive遭駭，逾3,100萬筆帳號外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網際網路檔案館（Internet Archive，IA）周三（10/9）遭到駭客入侵，駭客塗改了該平臺的首頁，宣稱其安全性弱不禁風，而且已與Have I Been Pwned（HIBP）分享了所盜走的逾3,100萬筆帳號。</p> <p>1996年成立的IA為一非營利組織，定位為數位圖書館，宗旨為讓所有的知識普遍化，於是該站搜集了各式各樣的數位內容，包括網頁、軟體、遊戲、音樂、影片及數百萬本圖書，最有名的工具之一是「時光機」（Wayback Machine），允許人們存取特定時間、或許已經消失的網頁。</p> <p>當天存取IA的使用者會看到一個視窗，宣稱該站已遭駭客挾持，並說Internet Archive其實是在許多棍棒上運作，一直處於遭到災難性安全漏洞的邊緣，而且事情已經發生了，看看在HIBP上的3,100萬筆用戶資料。</p> <p>IA創辦人Brewster Kahle<a href="https://x.com/brewster_kahle/status/1844183111514603812" target="_blank">證實</a>了此事，指出Internet Archive遭到分散式服務阻斷（DDoS）攻擊，駭客還藉由JS函式庫玷污該站，外洩了使用者名稱、電子郵件，以及加鹽的加密密碼。該平臺緊急關閉JS函式庫，全面清理系統，同時升級安全機制以作因應。</p> <p>另一方面，HIBP的確已經出現了源自Internet Archive的<a href="https://haveibeenpwned.com/" target="_blank">外洩資料庫</a>。</p> <p>HIBP創辦人Troy Hunt<a href="https://x.com/troyhunt/status/1844148532703526928" target="_blank">解釋</a>，其實他早在9月30日就收到IA的外洩資料庫，只是當時他在旅行，沒有注意到此事的嚴重性，一直到10月6日才通知IA，雙方並協議要在10月9日對外揭露，結果當天IA剛好又遭到駭客入侵，種種跡象顯示IA不只遭到一次攻擊。</p> <p>使用者只要在HIBP網站上輸入自己的電子郵件，就能知道自己的郵件信箱是否曾經出現在哪些資料外洩事件中。</p> <p>代號為SN_Blackmeta的駭客組織<a href="https://x.com/Sn_darkmeta/status/1844080692772401399" target="_blank">宣稱</a>他們是此一攻擊的幕後黑手，還說在數小時內連續發動幾波成功的攻擊，導致Internet Archive的所有系統都當機。</p> </div></div></div>
2024/10/10 15:39作者陳曉莉https://www.ithome.com.tw/news/165426
溫布頓網球賽的線審明年將被AI取代
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全英草地網路與槌球俱樂部（All England Lawn Tennis and Croquet Club，All England Club）<a href="https://www.wimbledon.com/en_GB/news/articles/2024-10-09/2024-10-09_operational_updates_for_the_championships_2025.html" target="_blank">周三（10/9）宣布</a>，明年起於該場地舉辦的溫布頓網球錦標賽（Wimbledon）將以即時電子線審（Live Electronic Line Calling，Live ELC）來取代人類線審。這些穿著整潔、站在或蹲在球場邊線及底線的人類線審，已於該球場存在147年，並已是大滿貫賽事的一大特色。</p> <p>其實在四大網球公開賽中，澳洲網球公開賽（Australian Open）是最早採用電子線審的大滿貫賽事，美國公開賽（US Open）也自2018年全面改用電子線審，若再加上溫布頓網球錦標賽，那麼只剩下法國網球公開賽（French Open）還會出現人類線審。</p> <p>這些網球公開賽早就開始測試或使用電子線審，All England Club也說，他們是在今年舉行的錦標賽期間展開了廣泛的測試，並且經過大量的考慮及詢問，才決定全面採用Live ELC。明年的溫布頓網球錦標賽將在2025年6月30日至7月13日舉行。</p> <p>All England Club執行長Sally Bolton表示，今年的測試顯示Live ELC技術已足夠強大，成為提高裁判準確性的關鍵步驟；球員則可面對與其它賽事的同樣條件。</p> <p>儘管透過AI或電子線審將可減少比賽的爭議，但也有球迷對這樣的改變感到失望。衛報（The Guardian）<a href="https://www.theguardian.com/sport/2024/oct/09/tennis-wimbledon-abolishes-line-judges-after-147-years-electronic-line-calling" target="_blank">分析</a>，有些人懷念球場上有更多的人，或是球員與線審之間的互動，而且許多主審都是從邊審而來，失去了培育主審的環境。</p> </div></div></div>
2024/10/10 16:12作者陳曉莉https://www.ithome.com.tw/news/165428