iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 7篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 12:52
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【金融GAI先行者經驗：玉山金控】從單一應用邁向規模化發展，自建GAI開發框架支持不同業務需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前，玉山金控就開始布局生成式AI。從單一GenAI應用切入，一路發展出多款應用服務。今年初，玉山金更正式推出多功能的生成式AI平臺GENIE，可透過API方式，將GenAI整合到不同的應用場景和內部系統中，讓生成式AI更容易落地到多種工作流程中。</p> <p>今年上半年，玉山透過GENIE平臺推出了11項生成式AI應用服務，包含基礎和進階應用服務。前者包括了純文字和圖片生成、會議記錄生成和摘要總結翻譯等基礎服務，每項應用服務都能適用於多種場景。後者則是可以開發進階版的GenAI應用服務，提供特定場景、更複雜的功能。例如，法規文件比對、市場資訊摘要和生成，或運用客服資料進行顧客情緒分析。</p> <p>在發展通用技術平臺的過程中，玉山也不斷搜集更多適用GAI的場景，他們不僅關注舊場景，也探索因新技術誕生的新場景，更歸納出不同場景快速上手GenAI的作法。玉山銀行智能金融處資深副總工程師林鉦育透露：「要用新架構瞄準新場景，先從RAG（檢索增強生成）開始。」</p> <p>不過，到了今年下半年，隨著內部GAI應用發展數量和需求逐漸增加，玉山關注的焦點逐漸轉向，開始思考如何讓GAI應用走向規模化。</p> <p>一方面，不同業務單位有相似需求，需要共用的開發框架，讓同樣功能的元件，重複運用到不同場景，快速支持業務單位發展GAI應用。另一方面，玉山也開始設想，若未來需要將GAI發展至更多特殊場景，如配合集團海外戰略，得將服務推往國外，甚至是非英文語系國家中，「我們要怎麼做？」玉山銀行智能金融處主任工程師徐明霞開始思考更長期的課題。</p> <p>短期內，玉山需要一個GenAI開發框架，快速支持業務單位各種需求，但考慮到框架的永續性，玉山期望，開發框架也能彈性擴充，日後遇到從未接觸過的場景，也能快速因應。這個框架，不僅要讓開發者靈活運用各種元件打造GAI應用，還要整合新、舊元件，讓開發者發展GAI新元件同時，也能運用玉山過往的AI技術元件。</p> <p><strong><span style="color:#B22222;"><span style="font-size:28px;">現成開發框架存在限制，無法滿足彈性需求</span></span></strong></p> <p>一開始，玉山考慮採用現成的GenAI開發框架，進行可行性評估後發現，無法滿足他們的需求。</p> <p>首先，現成開發框架仍有不少限制。以目前流行的GenAI框架LangChain為例，這個框架將既有GenAI元件封包成固定形式，難以因應複雜的金融業務邏輯來調整。「有些資料處理過程需要結合業務邏輯，它（框架）沒辦法做到。」徐明霞說。特別是，要整合行內資料時，玉山技術團隊發現，「我們的資料結構不能夠契合這套框架。」</p> <p>現成開發框架無法因應業務需求調整，甚至難以串接行內資料，最終也導致，用LangChain開發出來的GenAI應用成效，不如玉山的預期。</p> <p>另外，由於GenAI技術尚在高速發展，部分現成開發框架迭代速度快，甚至更新版本時，不提供向下相容。對企業而言，這些情況徒增不少維運困擾，不適合長期運用。</p> <p>再來，當玉山想要整合新、舊元件時，發現「要將既有元件整合至現成框架，並不容易。」玉山銀行智能金融處主任工程師陳建安說。</p> <p>早在2018年，玉山就開始大力推動AI，發展至今，累積了不少自製的技術元件，包括語音辨識、圖片辨識、搜尋引擎等。這些過往發展的AI技術基礎，雖有利玉山快速發展GenAI，卻也延伸出新的技術挑戰。</p> <p>評估後發現行不通，玉山技術團隊決定不採用現成框架，而是模擬現成框架的架構，自行打造一個專屬玉山的GenAI開發框架。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從單一應用實作經驗起步，模擬現成框架設計，自建各種元件</strong></span></span></p> <p>玉山的作法是，模仿現成GenAI開發框架的設計架構，自行打造其中的各種元件。玉山用一隻GenAI應用的開發過程來實作，慢慢將這套應用開發模式，發展成一套完整開發框架。</p> <p>今年中，玉山技術團隊從頭打造出一款人資GenAI助手，開發過程中，玉山技術團隊自行開發了數個技術元件，例如，表格資料萃取、文件檔案萃取、簡報資料萃取等元件。並且，技術團隊也和業務單位合作，根據使用者需求來回調整，「自己可以直接調整內部元件，就不會被框架綁死。」徐明霞說。</p> <p>玉山這套自製GenAI框架，未來可以運用在其他場景，例如理專助手等財務知識場景，甚至也能擴展到客服場景。考量到未來這套框架需整合既有技術元件，目前玉山正在進行元件標準化作業，要讓新、舊元件都容易善用。</p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>不僅要打造開發框架，長遠目標是發展業務人員使用的AI開發平臺</strong></span></span></p> <p>雖然，玉山現階段目標是打造GAI開發框架，不過，玉山更長遠的目標是，打造一套「可供業管快速迭代生成式AI應用的框架，」陳建安說：「這個框架不只鎖定開發者，而是要讓業務單位可以提供自己的知識。」例如，未來的框架中可以提供低程式碼或無程式碼平臺，讓業務人員可以動手嘗試開發GAI應用。</p> <p>比起直接提供封裝完成的GAI應用，玉山更期望的是，業務人員也能靈活取用技術元件，來開發各種應用。</p> <p>早在過往玉山發展RPA技術時，就用半自動模式，「每一隻RPA程式，都得有人按下按鈕才會執行。」林鉦育解釋，為了做到靠人員監督RPA，玉山過去曾大規模訓練員工學習RPA技術，「讓使用者掌握基礎技術知識，業務人員才有能力思考如何將技術運用在業務場景。」</p> <p>玉山也將同樣的技術發展策略，套用到Chatbot發展，同樣由業務人員提供相關知識，來完成各項Chatbot應用。「我們想像GAI未來也會朝這個方向發展。」陳建安說。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>GENIE不僅是行員助手，還是讓行員能和技術元件溝通的入口</strong></span></span></p> <p>為了讓業務人員可以掌握基礎GAI知識，玉山除了在內部舉辦教育訓練，也期望透過GENIE平臺，讓業務人員先動手嘗試，對技術累積一定程度了解，「至少讓他們認知AI是什麼模樣。」陳建安說。</p> <p>甚至，玉山對GENIE平臺的想像，不僅是能加速業務流程、解決業務問題的行員OA助手，還是一個能讓業務人員與各種元件溝通的介面，「像是一個入口，背後疊加了許多服務。」陳建安解釋，當業務人員和GENIE平臺互動時，表面上看似在平臺上進行對話，實際卻是運用了平臺背後串接的各式元件，包括玉山自有的影像辨識、語音辨識等技術元件。</p> <p>今年9月初，玉山更近一步推出了GENIE 2.0平臺，不僅提升平臺背後串接的模型服務，也改善使用者介面設計，讓開發者更靈活收集使用者回饋。更關鍵的升級是，「直接抽換了底層，讓GENIE可以擴充其他元件。」林鉦育解釋，GENIE 2.0和1.0的最大差異，是從固定架構走向可擴充式的架構，「現在可以將第三方API放進平臺。」不只外部業者的API，連玉山既有發展的AI元件，也能用同樣的API形式整合到GENIE平臺。</p> <p>GENIE 2.0的登場，為玉山GenAI邁向規模化的發展之路，提供了更加強大的基礎。</p> <p> </p> <p><span style="color:#FFFF00;"><span style="font-size:36px;"><strong><span style="background-color:#000000;"> 玉山GenAI平臺GENIE從1.0走到2.0 </span></strong></span></span></p> <p><strong>今年上半年，玉山推出GENIE平臺1.0版，有兩大特色：API化服務和檢索增強生成（RAG）技術。一方面，GENIE是一隻獨立的API，可以整合到多種延伸應用服務，內部系統可以透過API串接來使用GENIE的功能。另一方面，玉山自建豐富的金融知識庫，藉RAG技術，來提升LLM模型回應金融領域問題的精準度。不過，1.0版的GENIE無法彈性增加其他元件，都得靠客製開發來整合。</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 玉山GenAI平臺GENIE1.0 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1204-%E5%B0%81%E9%9D%A2-%E7%8E%89%E5%B1%B1%E9%87%91_600-2.png" style="width: 600px;" /></p> <p><strong>到了今年9月，玉山推出GENIE2.0版，不僅改善了使用者介面設計和平臺背後串接的模型服務，更把平臺基礎架構抽換成可擴充的架構，容易整合更多功能元件。</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 玉山GenAI平臺GENIE2.0 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1204-%E5%B0%81%E9%9D%A2-%E7%8E%89%E5%B1%B1%E9%87%91_600-1.png" style="width: 600px;" /></p> <p><strong>甚至，GENIE的定位，也從單一API，成為一個能讓業務人員與各種元件溝通的介面。當業務人員和GENIE互動時，表面上是在平臺上進行對話，實際上運用了平臺背後串接的各式元件。除了既有Chatbot服務，玉山內部前端系統也能直接介接GAI應用服務，讓GenAI在無形中輔助業務人員完成工作任務。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／玉山金控</span></p> <p> </p> <p><span style="color:#FFFF00;"><span style="font-size:36px;"><strong><span style="background-color:#000000;"> 建立標準化評測機制，加速測試LLM模型 </span></strong></span></span></p> <p><span style="color:#FFFF00;"><span style="font-size:36px;"><strong><span style="background-color:#000000;"> 回應有效性 </span></strong></span></span></p> <p><strong>玉山的GAI應用主要由業務人員和開發人員共同協作完成。業務人員會先提供業務情境，由開發人員提供初版提示，待業務人員拿到提示後，可以在GENIE平臺上進行測試，並和開發人員討論模型回應結果，雙方合作修改多個提示版本後，協作打造出一款GenAI應用。</strong></p> <p><strong>不過，在修改提示階段，業務人員需要測試多種情境，並和開發人員來回確認測試情境結果，耗時又耗力。</strong></p> <p><strong>為了加速業務人員測試各種情境，玉山針對各個業務場景，額外設置測試集，透過LLM來為GAI應用評分，將GAI應用評測機制標準化。</strong></p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>建立評測機制後，省下一半的GAI應用開發時長</strong></span></span></p> <p><strong>在建立標準化測試流程時，玉山技術團隊會根據應用類型，切割出需要測試片段和測試種類，明確定義測試流程。再來，業務單位會負責提供測試資料集，包括真人回應的標準答案，以及標準答案對應分數。接著，技術團隊再運用這套資料集，比對真人回應和模型回應結果，以此建立模型回應評分機制。</strong></p> <p><strong>目前，玉山的測試集可分為兩類，一類是針對搜尋任務設計的測試集，另一類是針對回應內容設計的測試集。</strong></p> <p><strong>以人資助手為例，由於人資經常舉辦考試，因此，玉山技術團隊使用LLM模擬參與考試的行員。當業務人員修改提示，可以對照LLM參與考試的作答分數，來評測模型回應優劣。若LLM作答分數高，代表業務人員修改的提示、產出的模型回應內容有效，反之，若LLM考試分數低，則代表業務人員需要再修改模型回應。這是玉山其中一種測式模型回應內容的形式。</strong></p> <p><strong>另外，針對搜尋任務，玉山金控技術團隊在測試集中設計多種搜尋結果，讓業務人員可以判斷測試情境能否有效讓模型搜尋到正確資料，和正確回答問題。例如，當業務人員輸入特定測試情境，業務人員可以得知，模型在測試情境中能否搜尋到正確答案，以及能否正確回答問題，或是，模型能搜尋到部分答案，但無法完全回答問題。另外，LLM會針對模型回應的正確性進行評分，協助業務人員加速測試各種情境。</strong></p> <p><strong>玉山尚未建立評測機制前，開發人員需和技術人員反覆確認不同測試情境結果，單一應用歷經半年開發時長，才正式上線。建立評測機制後，則節省近一半開發時間，以玉山近期上線的隨行理專為例，僅花三個月，就從實驗走到正式上線。</strong></p> <p><a href="https://www.ithome.com.tw/article/165558" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="font-size: 22px;"><span style="background-color: rgb(255, 0, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1204-feng_mian_p1-yun_xuan_-open-960x420_kao_bei_0.jpg?itok=z8OnN9dk" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/10/18 09:25作者李昀璇https://www.ithome.com.tw/news/165551
【金融GAI先行者經驗：國泰金控】全集團統一GAI戰略與技術框架，加速子公司多元發展AI創新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早從2018年展開集團數據轉型的國泰金控，相當清楚大型企業擁抱AI的困難，光是讓業務同仁接納新技術、理解數據重要性，就是一段漫長的路。</p> <p>國泰金控2018年開始發展大數據生態圈，也推動小核心、大中臺、微服務等IT現代化工程，就是希望促進更多數據驅動的創新。國泰金2020年更進一步發展出CaaS服務模式，擴大更多數據資料和應用場景，也發展出了不少AI應用。</p> <p>但是，國泰金控資深副總經理姚旭杰坦言，過去推動數據轉型十分困難，業務人員得具備一定技術或學習新工具，否則無法直接與數據互動。</p> <p>GAI爆紅後，員工可以在ChatGPT中用自然語言描述需求，生成圖表或報告，在企業內部直接與數據互動，「這是之前做不到的事情。」姚旭杰強調：「生成式AI真的打開了數據價值。」</p> <p>看好新一波GAI浪潮，國泰金控全集團，從金控到子公司，紛紛展開不同的GAI創新嘗試。</p> <p>例如，去年中，國泰金控就運用GAI打造一個雲端知識顧問chatbot，能即時回覆雲端技術問題，分析子公司上雲問題、提供解方。今年，國泰世華銀行打造一款員工助手chatbot，能快速整理行內資訊，解答員工疑問。</p> <p>不僅如此，國泰子公司業務單位也開始運用GAI，解決業務場景中，長期面臨的痛點。像國泰人壽就用GAI打造智能對練工具，替代真人陪練，還可提升新人面對客戶的應對能力。國泰產險則用GenAI來萃取法院判決中的重要資訊，取代人工查找大量判決文件，讓理賠人員能快速參考判決，評估精神賠償金額。</p> <p>GAI爆紅不到兩年，國泰旗下子公司已各自累積不少GAI應用，部分應用正在實驗階段，部分應用則已正式上線。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>子公司GAI推進步調不同，集團難以有效集中技術資源</strong></span></span></p> <p>不過，隨著集團內部GAI應用逐漸增加、需求量不斷上升，治理層的挑戰也漸漸浮現。</p> <p>國泰內部去年開始湧現許多AI需求，隨著子公司各自發展GAI應用，集團難以有效集中技術資源，再加上子公司各自的技術基礎不同，推進步調開始出現落差。</p> <p>對多年前就推動數位轉型的國泰人壽來說，很快就能延續過往經驗，快速啟動全員GenAI計畫。國壽透過開辦訓練課程，讓員工了解GAI技術、思考如何將技術應用到業務場景，包括董事長和總經理都要接受一對一培訓課程。「在這樣的過程中，讓AI應用遍地開花。」國泰人壽數據暨人工智慧發展部協理莊淑儀說。對國泰人壽而言，GAI目前最大挑戰，「是需求很多，需從影響力來排序先後順序。」莊淑儀說。</p> <p>相比國泰人壽，國泰產險數位轉型起步較晚，礙於產業特性，更有許多業務場景仍採人工作業，較難快速導入新技術，但是，國泰產險督導吳香妮表示，這個處境，更激發了產險內部對GAI的強烈需求。在資源有限的情況下，國泰產險正和金控合作，藉助金控資源，共同推進GAI應用發展。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>成立AI卓越中心，排序集團AI應用發展順序</strong></span></span></p> <p>面對AI需求上升、子公司GAI推進步調不同的挑戰，國泰的GAI策略，是先從集團角度下手。今年9月，國泰金控在自家技術年會中，搶先金融同業，公布了集團的GAI戰略和技術框架。</p> <p>當時，國泰金宣布要透過「AI Ready」、「AI Native」、「AI Empower」三大AI發展策略，實現AIaaS戰略目標，要以AI作為集團核心，驅動轉型和推出創新服務，國泰金控數數發中心副總經理梁明喬說：「期待國泰能成為提供AI金融服務的科技公司。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1204_%E5%B0%81%E9%9D%A2_%E5%9C%8B%E6%B3%B0%E9%87%91_600-1.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong><span style="font-size: 18px;">國泰在自家技術年會上宣布AIaaS的戰略目標，要靠三大AI策略「AI Ready」、「AI Native」、「AI Empower」實現。</span></strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／國泰金控</span></p> <p>AI Ready策略是要打造集團統一技術發展框架，同步子公司間的策略和技術。AI Native則是要將AI嵌入不同業務運作，達到AI應用無所不在的目標。最後一項策略，AI Empower則要提升集團全員工AI和雲端思維，除了要推動雲端轉型和成立AI專責組織，還要在集團擴大AI影響力。</p> <p>不僅要建立統一的GAI技術框架，來實現三大AI發展策略，今年，國泰還在金控成立AI卓越中心，負責規畫全集團的AI應用發展，排序集團應用發展先後順序。在金控帶領下，各子公司也成立AI卓越中心，依循金控AI CoE策略方向，推動AI應用發展。</p> <p>國泰分四個階段來發展GAI，從基礎的AI工具，再來是AI助理和AI代理，最後要達到AI應用無所不在的願景。梁明喬強調，這四個階段並非循序漸進，「不是第一個做完，才到第二個。」他表示，目前國泰仍在打造AI工具和AI助理階段，未來會根據法規環境和技術成熟度，適時步入AI代理應用階段。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>打造集團統一GAI技術框架，集中子公司技術資源</strong></span></span></p> <p>在技術年會上，梁明喬揭露了集團統一的GAI技術框架GAIA。「GAIA是國泰生成式AI的基礎框架，也是發展AI即服務（AI as a Service）的核心。」他用一句話，點出GAIA的重要性。</p> <p>這個技術框架具備三大特點。第一，適用於地端和雲端環境。第二則可支援多模態或單一模態輸出。最後，也是梁明喬認為最重要的特點，「可以在這個架構中微調模型，進行彈性擴充。」</p> <p>GAIA包含三個核心模組，分別是知識庫、Model Hub，和護欄。梁明喬解釋，若將GAIA視為一座模型工廠，知識庫就是模型工廠的圖書館，不僅可協助降低AI幻覺問題，未來要微調模型，或打造RAG架構，專屬知識庫非常重要。</p> <p>GAIA的知識庫類型可分為對內和對外，對內包含HR知識庫、授信知識庫、洗防知識庫和內稽知識庫等，對外則包含貸款產品知識、壽險產險產品知識、理財產品知識等。</p> <p>Model Hub是國泰GAIA架構中的另一個核心，梁明喬說：「Model Hub就像是中央控制室。」不僅能提供多種模型選擇，包含雲端、地端、開源或閉源模型，也提供標準化API接口，能介接各種服務。最後，Model Hub也提供成本管理功能，協助開發者管控模型使用開銷。這是梁明喬認為十分重要的功能。</p> <p>最後一個核心，是國泰自行開發的護欄。梁明喬解釋，護欄如同模型工廠的警衛室，負責確保模型輸入和輸出的安全。GAIA的護欄設計包含複合式規格護欄和多層抽換模組護欄。前者是在知識庫連接模型時進行資訊過篩，後者則是在既有模型護欄上，再加上防護措施，例如增加業務專屬的業務護欄，實現多層次過濾機制。</p> <p>目前，國泰金控仍在持續完善GAIA架構，預計最快今年完工。不過，在建立統一技術框架的同時，各子公司仍在持續發展應用，因此，如何將各子公司發展的工程整合到GAIA框架，是國泰金控技術團隊現階段需要面對的一項挑戰。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>AI評測也是關鍵技術</strong></span></span></p> <p>除了GAI技術發展框架，AI評測平臺，也是國泰GAI發展策略的關鍵技術。這個評測平臺，會運用量化的AI評測指標，來評估AI模型是否符合公平性、可靠性等AI治理原則。檢測完成後，平臺會產出檢核報告，再交由專責單位決策模型上線與否。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1204_%E5%B0%81%E9%9D%A2_%E5%9C%8B%E6%B3%B0%E9%87%91_600-4.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size: 18px;"><strong>國泰金控打造AI評測平臺，確保模型從研發到上線都符合規範。</strong></span></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／國泰金控</span></span></p> <p>梁明喬表示，國泰根據金管會金融AI指引的六大原則和數發部AI評測中心的十大評測項目，訂定評測項目。並且，國泰透過自建問答集，來建立量化的評測指標。</p> <p>梁明喬坦言，將治理原則化為量化指標並不容易，需要設立多種適當的情境提問，才能有效檢測模型。</p> <p>目前，國泰鎖定的GenAI應用，分別是輔助員工、客戶、提升生產力和AI基礎設施4類GenAI應用。</p> <p>在員工場景中，國泰計畫要建立員工自助開發平臺、AI教練和業務團隊AI助手等應用，客戶場景則包含信用卡消費分析應用。常見的AI副駕駛（AI Copilot）則歸類在生產力應用。最後一項，AI基礎設施，則包含運用GenAI提升反詐技術和風險管理能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1204_%E5%B0%81%E9%9D%A2_%E5%9C%8B%E6%B3%B0%E9%87%91_600-2.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>在技術年會上，國泰公布了新的AI發展藍圖，透露了國泰未來的AI發展重點。首先，這張藍圖中的底層，數據架構層，涵蓋國泰AI發展的基礎設施，不僅包含國泰的地端資料倉儲、ML平臺，也納入了國泰計畫要在雲端環境建立的資料湖倉平臺。意味著，國泰未來的AI發展，將會奠定在雲地混合架構之上。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>數據架構層之上的是多元數據源層和數據與AI治理層，前者包含各種資料來源，例如，顧客旅程、客戶關係管理系統、交易數據、夥伴生態系數據等數據來源。後者則包含DataOps和MLops等平臺，國泰今年在技術年會首次曝光的AI評測平臺Cathay RAI，也並列在數據與AI治理層中。而在核心技術模組中，除了傳統AI技術模組，也包含國泰的GAI技術發展框架GAIA。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>這些AI技術未來都會運用在四種場景，包括風險管理、客群經營與行銷、投資與財務規劃，和營運效率優化，也就是國泰AI藍圖中的場景層。最後，國泰AI藍圖中的最上層，治理層，是國泰金控在今年設立的AI CoE，負責排序AI應用發展順序。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／國泰金控</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1204_%E5%B0%81%E9%9D%A2_%E5%9C%8B%E6%B3%B0%E9%87%91_600-3.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>國泰金控打造的GAI技術框架GAIA主要分為三大核心，分別是知識庫、Model Hub和護欄。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>知識庫如同GAIA的圖書館，能提供全集團對內和對外知識。對內知識庫包含各種內部服務，例如，HR知識庫、授信知識庫、洗防知識庫和內稽知識庫等，對外知識庫則包含各種產品知識，例如，貸款產品知識庫、產險壽險產品知識庫、理財產品知識庫，和信用卡產品知識庫。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>Model Hub則如同GAIA的中央控制室，可分為四大塊，分別是Model Menu、Model Registry、AI Gateway，和底層管理。Model Menu是一個模型清單，可提供多種模型選擇，包含雲端、地端、開源或閉源模型。Model Registry則包含模型服務臺和模型儲存庫。而AI Gateway包含標準化API接口，能介接各種服務，同時，也包含身份認證授權機制。在底層管理中，包含監控日誌蒐集、結果快取，另外，流量費用管理也並列其中。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>GAIA最後一個核心是護欄，如同GAIA的警衛室，負責管控模型服務輸入和輸出。GAIA的護欄是由國泰金控自建而成，包含複合式規格護欄和多層抽換模組護欄，前者是在知識庫連接不同模型時進行資訊過篩，後者則是額外防護措施，例如提供業務規則、基礎防護、安全強化等護欄。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>除了GAIA三大核心，國泰金控也規劃出GAIA的AI應用核心，包括資料檢索/摘要、解讀判斷、預測分析，和客製化生成等功能</strong></span>。</span><span style="color:#696969;"><span style="font-size:14px;">圖片來源／國泰金控</span></span></p> <p><a href="https://www.ithome.com.tw/article/165558" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="font-size: 22px;"><span style="background-color: rgb(255, 0, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1204-feng_mian_p1-yun_xuan_-open-960x420_kao_bei_0.jpg?itok=z8OnN9dk" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/10/18 09:26作者李昀璇https://www.ithome.com.tw/news/165557
AWS容器工具Finch開始支援Linux作業系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布容器工具<a href="https://aws.amazon.com/tw/blogs/opensource/announcing-finch-on-linux-for-container-development/">Finch開始支援Linux</a>。Finch是一個開源命令列工具，讓開發者可以在多個作業系統中建構並執行Linux容器。Finch提供一致的跨平臺體驗，讓開發者無論在macOS、Windows還是Linux上，都能使用相同的工具和工作流程，另外，Finch這次還加入對Docker API的支援，方便開發者延續現有Docker容器工作流程。</p> <p>Finch是一個開源工具，<a href="https://www.ithome.com.tw/news/154450">在2022年的時候公開</a>，僅提供macOS客戶端安裝程式，供開發者在macOS本地端創建、執行容器，以及發布OCI容器映像檔。而在最新的版本Finch加入支援Linux，現在已經可以在包括macOS和Windows三大作業系統上無縫執行容器。</p> <p>Finch本身的優點在於簡化容器開發流程並統一工具鏈，藉由支援開發者常用的Linux作業系統，開發團隊便可以在不同的作業系統間，使用相同的工具和命令，進一步提升生產力，有助於改善團隊協作，減少花費在工具設定和測試的時間，更專注於核心工作上。</p> <p>這次AWS更新的最大重點，便是讓Finch可以直接在Linux上建置和執行容器映像檔，而不再需要虛擬化技術，這與Finch在macOS和Windows上的運作方式不同。由於macOS和Windows不基於Linux核心，無法直接提供容器運作所需要的核心功能。</p> <p>因此Finch在macOS和Windows需要使用中繼元件Lima提供虛擬化技術，透過macOS的QEMU或Virtualization Framework模擬Linux所需要的核心功能，而Windows則使用WSL2（Windows Subsystem for Linux 2）來提供類似的虛擬化支援，讓Windows用戶也可以執行Linux容器。</p> <p>在Linux上Finch提供原生支援，容器技術包括Docker和containerd可直接使用Linux核心功能。像是透過Namespaces隔離不同的系統資源，使每個容器獨立運作，以及使用Cgroups控制和限制容器的CPU、記憶體等資源。新版Finch與Finch Daemon整合，還提供了Docker API的部分功能，讓習慣Docker工作流程的開發者，能夠使用熟悉的命令和工具來管理容器。</p> <p>隨著Finch支援Linux，開發團隊在不同作業系統之間可以使用統一的流程和工具，這將提高跨平臺協作效率。AWS也表示，Finch Daemon的整合目前僅涵蓋Docker API的核心部分，他們會繼續與社群合作，擴展更多功能。</p> <p>Finch的Linux支援已透過RPM套件的形式提供，適用於Amazon Linux 2和Amazon Linux 2023，用戶只需從YUM軟體庫下載並安裝就可以開始使用。其他Linux發行版的用戶也可以從Finch官網，或是GitHub儲存庫取得安裝指引並開始試用。</p> </div></div></div>
2024/10/18 08:25作者李建興https://www.ithome.com.tw/news/165556
英特爾AI PC全球出貨已超過2千萬臺，新處理器將AI PC擴大到桌機市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾今天(10/17)在臺展示一系列搭載代號Lunar Lake及Arrow Lake處理器的最新AI PC筆電及桌上型電腦、主機板等產品，將AI PC產品線擴大到桌上型電腦，並揭露英特爾AI PC在全球已出貨2千萬臺，目前已獲得超過300家ISV業者支持。</p> <p>ChatGPT帶動生成式AI浪潮，但是大型語言模型多仰賴大型AI資料中心及雲端運算資源，基於個人資料及企業資料的敏感性，AI模型向精簡化、小型化發展，讓手機、PC等AI運算能力有限的行動裝置也能在離線狀態下，在裝置上執行AI應用，不論是創作內容、生成摘要文字等等提高生產力，因應這樣的需求，去年底英特爾推出代號Meteor Lake的Core Ultra處理器，大力推動AI PC，處理器內整合NPU神經網路引擎，以分攤CPU、GPU執行AI工作負載，並提升PC的AI運算能力。</p> <p>今年再推出第二代Core Ultra，為代號Lunar Lake的Core Ultra 200V系列處理器，整合更強大的NPU，NPU效能達到48TOPS，如果加計CPU、GPU及NPU，第二代Core Ultra的整體平臺算力達到120TOPS，結合電源管理技術，提供接近全天的電池續航力。</p> <p>日前英特爾將AI PC擴大至桌上型電腦，發表代號Arrow Lake的Core Ultra 200S系列處理器，強調為英特爾首款AI PC桌上型處理器，內建8個新一代P-Core效能核心、16個E-Core效率核心，相較於前一代桌上型處理器，在單執行緒效能提升6%，多執行緒效能提升14%，而整合NPU提升桌上型電腦AI效能，英特爾宣稱在支援AI的創作應用程式中，可提高50%的效能，在日常應用中，功耗降低最多達58%。</p> <p>Core Ultra 200S系列桌上型處理器為英特爾第一款搭載NPU的桌上型處理器，內建NPU分擔AI工作負載後，得以釋放桌上型電腦的GPU，讓GPU用於提高遊戲畫面幀率，並且降低處理AI工作負載時的功耗，不過Core Ultra 200S內建的NPU只有13 TOPS，以CPU、GPU、NPU合計的平臺效能為36 TOPS，低於Core Ultra 200V系列的筆電處理器，也未達到微軟Copilot+PC所要求至少40TOPS的效能要求。</p> <p>最新的Core Ultra 200S系列桌上型處理器還支援2個Thunderbolt 4高速傳輸埠，以及Wi-Fi 6E、藍牙5.3規格，搭配Intel 800系列晶片組，支援多達24個的PCI e 4.0通道。其中在資料高速分享方面，英特爾現場展示AI PC筆電、桌上型電腦，利用Thunderbolt 4在兩臺電腦間高速分享資料，10GB的資料約在不到20秒時間從桌機分享至筆電。</p> <p>英特爾客戶端運算事業群副總裁暨客戶部總經理David Feng表示，英特爾自推出Core Ultra處理器後，已建立AI生態系，硬體方面，英特爾Core Ultra全球出貨已超過2千萬臺，並獲得超過300家ISV採用，在Core Ultra產品上提供AI加速功能。英特爾AI PC產品現在包括Core Ultra 200V系列行動處理器，以及Core Ultra 200S系列桌上型處理器，其中Core Ultra 200V系列行動處理器可支援微軟Copilot+PC的AI應用，用戶預計將在11月可以獲得升級至微軟Copilot+PC。</p> <p><span style="color:#B22222;"><strong>展示英特爾AI PC多項應用</strong></span></p> <p>英特爾今天也在現場展示多款由華碩、技嘉、ASRock等業者推出，將支援Core Ultra 200S系列處理器、Intel 800系列晶片組的最新主機板，以及宏碁、華碩、Lenovo、Dell等業者所推出搭載Core Ultra 200V系列行動處理器的筆電，並展示相關AI PC應用。</p> <p>英特爾即展示專為Core Ultra系列處理器及Intel Arc GPU設計的AI Playground開源軟體，AI Playground提供創作(Create)、強化(Enhance)、聊天(Answer)等生成式AI應用，其中的創作可讓使用者輸入文字生成圖像，強化則可以進一步改變創作圖像或輸入圖像的風格，聊天則可讓使用者在離線下，如同和ChatGPT互動生成文字內容，使用者也可在AI Playground輸入自己客製化的模型。</p> <p>AI Playground的創作功能，可讓使用者以文字生成圖像，並且設定生成圖像的畫質高低：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20241017_115233-600.jpg" style="width: 600px; height: 450px;" /></p> <p>另一項展示是VLC多媒體播放器的視覺檢索增強生成(RAG)，這項應用主要利用Core Ultra筆電的GPU，使用者可以在VLC的這個延伸套件中，在文字框中輸入想要尋找的場景，例如狗狗或汽車出現的片段，VLC就會自動搜尋影片的內容，列出影片中出現狗狗或汽車的場景，幫使用者快速找出想看的場景。</p> <p>現場展示VLC多媒體播放器的AI搜尋功能，例如在右側的文字框中輸入Sea Lion，由AI幫使用者快速找出影片中出現海獅的片段：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/vlcplayer.jpg" style="width: 600px; height: 423px;" /></p> <p>英特爾還展示Cephable在英特爾AI PC上所開發的應用，在遊戲中結合AI電腦視覺偵測，可以偵測螢幕前的玩家臉部表情、頭部擺動或是語音命令，來控制遊戲中的動作，例如遊戲主角的視覺移動或開槍等等，這項應用利用NPU來分擔GPU的AI工作負載。</p> <p>在Core Ultra 200V系列行動處理器及200S系列桌上型處理器之後，英特爾接下來將在明年第1季，準備再推出Intel Core Ultra H及HX系列，將AI PC應用帶到遊戲玩家、創作者的行動筆電，在降低功耗之下，提高行動電腦效能。</p> </div></div></div>
2024/10/17 18:34作者蘇文彬https://www.ithome.com.tw/news/165553
【資安日報】10月17日，Kubernetes映像檔製作工具存在重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年針對微服務管理平臺Kubernetes而來的攻擊行動，不時傳出相關事故，這樣的情況也使得不少研究人員調查這類系統的弱點，例如：出現在特定組態Azure Kubernetes服務（AKS）的<a href="https://www.ithome.com.tw/news/164619">權限提升漏洞WireServing</a>，以及<a href="https://www.ithome.com.tw/news/161050">Google Kubernetes Engine（GKE）重大風險漏洞Sys:All</a>，該漏洞能讓任何具有Google帳號的攻擊者接管配置不當的Kubernetes叢集。</p> <p>本月Kubernetes修補映像檔建置工具（Image Builder）的漏洞也相當值得留意，因為這些弱點有機會讓攻擊者取得虛擬機器（VM）的root權限。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=172839&SPOKE_DATE=20241016&COMPANY_ID=2450"><strong style="font-size: 22px;">通訊零售業者神腦國際傳出外部網路伺服器被駭客攻擊</strong></a></p> <p>10月16日連鎖通訊零售業者神腦國際於股市公開觀測站發布重大訊息，表明有外網伺服器遭到攻擊，在查知此事後，該公司立即啟動相關防護機制，並採取隔離措施因應。</p> <p>而對於這起事故可能會造成的影響，他們表示根據初步評估，尚未發現個資或是內部資料外洩的情況，對營運及服務無影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/volkswagen-says-it-infrastructure-not-affected-after-ransomware-gang-claims-data-theft/">勒索軟體駭客聲稱竊得汽車大廠福斯內部資料，該公司表示IT基礎設施不受影響</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://asec.ahnlab.com/en/83877/">北韓駭客ScarCruft利用IE零時差漏洞散布惡意程式</a></strong></p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165546"><strong style="font-size: 22px;">Kubernetes映像檔製作工具存在重大漏洞，恐曝露虛擬機器root權限</strong></a></p> <p>Kubernetes資安回應團隊近期公布映像檔建置工具（Image Builder）漏洞CVE-2024-9486、CVE-2024-9594，攻擊者有可能藉此得到虛擬機器（VM）的root權限，而這些漏洞發生的原因，源於映像檔建置過程中，使用了預設的帳密資料。這些漏洞影響0.1.37版以前的Kubernetes Image Builder，開發團隊發布0.1.38版緩解上述弱點。</p> <p>這兩項漏洞較為嚴重的是CVE-2024-9486，主要原因在於：以Proxmox提供者（provider）建置而成的虛擬機器映像，無法停用當中的預設帳號，若用這些映像檔建置節點，後續有心人士可透過這些預設帳密進行存取，藉此取得root權限，CVSS風險評分達到9.8。</p> <p>另一個漏洞CVE-2024-9594，則是涉及其他系統平臺提供者產生的映像檔，這些提供者包含Nutanix、OVA、QEMU，在映像建置過程也會啟用預設的帳密組態，而此預設帳密同樣可用於取得root權限，但不同的是，在映像檔建置完成後，這些帳密就會被停用。該漏洞被評為中度風險，CVSS評為6.3。</p> <p><a href="https://www.ithome.com.tw/news/165536"><strong style="font-size: 22px;">GitHub修補重大層級的SAML身分驗證繞過漏洞</strong></a></p> <p>10月10日GitHub發布Enterprise Server（GHES）更新3.14.2、3.13.5、3.12.10、3.11.16版，當中修補身分驗證繞過漏洞CVE-2024-9487、資訊洩漏漏洞CVE-2024-9539，以及1個尚未登記CVE編號的漏洞。</p> <p>其中，最值得留意的是被評為重大層級的CVE-2024-9487，攻擊者可藉由選用的加密斷言（assertion）功能繞過SAML單一簽入（SSO）身分驗證，而能在未經授權的情況下為使用者開通服務，或是存取GHES執行個體。此漏洞的4.0版CVSS風險評分達到9.5（滿分10分）。</p> <p>對於CVE-2024-9487發生的原因，GitHub表示是他們在今年5月緩解CVE-2024-4985（CVSS風險評為10分）的過程當中衍生。</p> <p><a href="https://www.ithome.com.tw/news/165548"><strong style="font-size: 22px;">Ubuntu身分驗證元件Authd存在高風險漏洞，攻擊者有機會發動UID欺騙攻擊</strong></a></p> <p>Canonical近期針對Ubuntu發布資安公告，揭露高風險漏洞CVE-2024-9312，這項弱點存在於身分驗證管理元件Authd，一旦攻擊者觸發漏洞，就有機會欺騙電腦，並針對特定使用者帳號進行未經授權存取，CVSS風險為7.6分，該公司提供0.3.6版Authd修補。</p> <p>究竟這項漏洞發生的原因為何？原因是Authd分配的UID是根據使用者名稱產生的純函數（pure function），再者，則是UID的集合太小，導致無法進行隨機分配。這樣的情況，使得該元件很可能會遭到利用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5580">Nvidia生成式AI框架NeMo存在缺陷，攻擊者有機會執行程式碼或竄改資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cloudstack.apache.org/blog/security-release-advisory-4.18.2.4-4.19.1.2/">Apache修補雲端基礎設施CloudStack高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.oracle.com/security-alerts/cpuoct2024.html">Oracle發布2024第3季重大修補更新，公布旗下產品逾200個漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165515"><strong style="font-size: 22px;">Amazon將全面擁抱Passkey</strong></a></p> <p>繼去年開始於電商服務部署通行密鑰（Passkey）之後，Amazon於10月15日宣布，迄今已有超過1.75億的用戶於的Amazon帳號上啟用Passkey，該公司也計畫明年逐步於其他應用及服務推出Passkey。</p> <p>目前Amazon支援Passkey的部分，主要是在網頁版、iOS及Android的購物應用，以及Audible有聲書應用系統，其中，行動用戶一旦設定了Passkey，它就會成為登入Amazon帳號的預設選項。根據Amazon的統計，以Passkey登入速度比其他方式快6倍，隨著愈來愈多用戶體驗到無密碼登入的方便，Passkey採用率每天都在成長。</p> <p><a href="https://www.ithome.com.tw/news/165358"><strong style="font-size: 22px;">幫使用者過濾釣魚網站，Google搜尋測試藍勾勾功能</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot_2024_10_03_at_9_18_53_AM.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_2024_10_03_at_9_18_53_AM.jpg" style="width: 300px; float: right;" /></a>根據科技新聞網站The Verge的報導，Google正在實驗可用來驗明正身的藍勾勾，在搜尋引擎結果中，包括微軟、Meta、Epic Games、蘋果、Amazon及HP的官網連結旁都出現了藍勾勾，可用來確認這些網站的身分，並協助使用者過濾網釣網站。</p> <p>Google也在藍勾勾顯示的旁邊提出說明，當中提到此標記的出現，是代表他們判斷現在瀏覽的網站就是代表該企業組織，但無法保證該企業或其產品資料的可信度。Google則向The Verge解釋，他們利用網站驗證、Merchant Center資料及人工審核等管道，來辨別網站的真偽。不過，目前該服務僅為小規模部署的實驗，尚未確定能否會成為正式功能。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165531"><strong>【10月16日】臺灣區塊鏈旅宿平臺業者雲端儲存庫疑似因配置不當，而可能曝露旅客資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165511"><strong>【10月15日】北韓駭客針對支付處理系統散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165488"><strong>【10月14日】Windows核心漏洞傳出遭伊朗駭客OilRig利用</strong></a></p> </div></div></div>
2024/10/17 17:14作者周峻佑https://www.ithome.com.tw/news/165552
Ubuntu身分驗證元件Authd存在高風險漏洞，攻擊者有機會發動使用者ID欺騙攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Canonical近期針對Ubuntu發布資安公告，<a href="https://github.com/ubuntu/authd/security/advisories/GHSA-4gfw-wf7c-w6g2">揭露高風險漏洞CVE-2024-9312</a>，這項弱點存在於身分驗證管理元件Authd，一旦攻擊者觸發漏洞，就有機會欺騙電腦，並針對特定使用者帳號進行未經授權存取，CVSS風險為7.6分，該公司提供0.3.6版Authd修補。</p> <p>這項元件的功能，主要是提供雲端身分驗證系統的身分驗證及存取的安全管理，並藉由模組化設計而具備多種身分驗證功能，該元件目前支援存取Entra ID，開發團隊未來也打算支援其他的身分驗證提供者。</p> <p>究竟這項漏洞發生的原因為何？原因是Authd分配的UID是根據使用者名稱產生的純函數（pure function），再者，則是UID的集合太小，導致無法進行隨機分配。這樣的情況，使得該元件很可能會遭到利用。</p> <p>攻擊者可在取得本機權限的情況下，使用可能會造成衝突，或是與目標帳號UID符合的使用者名稱，來建立多個使用者帳號，這麼一來，攻擊者就有機會得到與目標用戶相同的存取權限。</p> <p>不僅如此，攻擊者還能試圖利用這項弱點操縱其他電腦上的資源。</p> <p>針對這項弱點，除了Canonical推出新版Authd，通報此事的研究人員認為，企業組織應考慮透過身分驗證提供者或其他的管道，發布不會造成衝突的UID來因應。</p> </div></div></div>
2024/10/17 16:45作者周峻佑https://www.ithome.com.tw/news/165548
AI趨勢周報第262期：AI如何成為敏捷團隊一員？Scrum.org營運長給答案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（1011～1017）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">敏捷開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Scrum </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 使用者故事 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AI如何成為敏捷團隊一員？Scrum.org營運長給答案</strong></span></p> <p>敏捷開發組織Scrum.org營運長Eric Naiburg前陣子撰文分享，AI加入敏捷開發Scrum，可提高團隊生產力。首先，Scrum是套敏捷開發框架，是一種軟體開發工作方法，其中有3個重要角色，包括敏捷教練（Scrum Master）、產品負責人（Product Owner）和開發者（Developer），這3種角色各司其職，搭配Scrum流程快速迭代、執行專案。</p> <p>Eric Naiburg針對這3大角色，分別說明AI可帶來哪些助益。比如敏捷教練可借AI來優化會議管理，像是用來安排管理會議行程、生成議程、記錄會議重點，或用Otter.ai等工具來轉錄、總結會議內容，進而在企業通訊工具Slack上交流討論，同時追蹤決策方向。又或是用AI來監管進度，比如不論是單一團隊還是跨團隊，AI可整合至Jira或AzureDevOps等管理工具中，來追蹤每個敏捷衝刺（Sprint）進度、提供流程指標視覺圖，以及針對潛在瓶頸給予建議。要是在衝刺回顧時，團隊參與度不高，敏捷教練也能請AI給些建議。</p> <p>再來，產品負責人則可用AI來確定產品待辦清單（Backlog）優先順序，比如分析市場趨勢、客戶回饋和使用資料來排序。同理，AI也能用來推估一些假設，像是「要是刪除這個功能，會產生哪些影響？」Eric Naiburg補充，雖然產品負責人和Scrum成員也能做到這件事，但通常時間有限，AI則能模擬多種情境，也能消除個人偏見。同時，AI也能協助精進Scrum中的使用者故事（User Story）、預測分析潛在影響、透過產品描述找出潛在使用者，或是用來進行產品發想和驗證，以及市場分析和競爭力分析等。</p> <p>對所有類型的開發者來說，AI可用來管理產品待辦清單，比如將使用者故事拆解為多個任務，再根據類似的待辦清單專案來預估所需的工作量。同時，他們也能用AI協助設計、開發產品原型，像是根據特定限制和要求，產生多種設計方案，開發者也能在AI產生的虛擬原型中，模擬各種條件和壓力測試，有助於在早期階段發現潛在問題。最後，軟體開發者也能藉助AI，來輔助程式碼撰寫和審查、自動化測試，以及生成測試資料。<a href="https://www.scrum.org/resources/blog/ai-scrum-team-member">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">多代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 部署 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基準測試 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>OpenAI開源多代理系統管理框架和AI代理基準測試</strong></span></p> <p>隨著大型語言模型（LLM）等AI應用轉向代理（Agent）系統發展，也出現不少多代理系統建置、部署和管理維運等問題。最近，OpenAI<a href="https://github.com/openai/swarm">開源一個Swarm框架</a>，專門用來解決多代理系統的這些問題。</p> <p>該框架由OpenAI解決方案團隊開發和管理，但他們首先表示，該框架目前屬於實驗階段，尚未作為正式生產環境所用，因此目前也不受OpenAI官方支援。雖然如此，團隊指出，Swarm使用2個核心抽象，包括代理和Handoffs，來將代理協作與代理執行任務輕量化、高可控且容易測試。</p> <p>同時，OpenAI也<a href="https://openai.com/index/mle-bench/">開源一套AI代理測試基準MLE-bench</a>，可評估代理執行機器學習工程任務的有效性。為打造這個測試基準，團隊從Kaggle收集了75個機器學習工程相關的競賽，提供多元挑戰來測試模型訓練、資料集準備和實驗執行等關鍵技能。他們也對多款LLM進行測試，發現自家經AIDE改良後的o1-preview模型表現最佳，相當於Kaggle銅牌。<a href="https://github.com/openai/swarm">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI資料中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核電 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 能源 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google採購先進核電來支援AI資料中心</strong></span></p> <p>本月14日，Google發文揭露AI資料中心用電新方向，他們與美國能源公司Kairos Power簽署協議，將使用其多個小型模組反應爐（SMR）產生的核電，來支援AI資料中心營運，預計2030年前部署第一座SMR，2035年前再部署其他SMR，預計可產生500MW無碳電力。</p> <p>過去，核能發電因安全隱憂、核廢料處理等因素，遭許多國家棄用。但隨著核能技術進步，以及AI的龐大電力需求，屬於低碳能源的核電再度受到重視。現階段的主流技術有壓水反應爐（PWR）、沸水反應爐（BWR）、快中子反應爐（FNR）、第四代核反應爐技術，以及SMR等。SMR不只安全性高，也比傳統核反應爐小很多，還能模組化組裝、方便部署。</p> <p>Google表示，這個SMR協議很重要，不只能支援AI發展，還能無時無刻產生無碳能源、滿足電力需求。而今年，美國科技大廠紛紛向核電靠攏，如Amazon在3月以6.5億美元的價格，向獨立電廠Talen Energy購買Cumulus資料中心園區，該園區可使用960 MW電力，並由Talen Energy位於附近的Susquehanna核電廠供電。微軟也在9月與美國核電營運商Constellation Energy簽署為期20年的購電協議。<a href="https://blog.google/outreach-initiatives/sustainability/google-kairos-power-nuclear-energy-agreement/">（詳全文）</a></p> <div class="media_embed" height="588px" width="1046px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="588px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/S163YUdfckg" title="Google's first advanced nuclear clean energy deal" width="1046px"></iframe></div> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> .NET </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI服務整合 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>簡化AI服務整合流程，微軟釋出新.NET函式庫</strong></span></p> <p>微軟最近推出一款全新的Microsoft.Extensions.AI預覽版套件，是一款專門針對.NET平臺設計的函式庫，提供標準化AI服務抽象層，來讓開發者更輕鬆地將AI整合到應用程式中。微軟打造這款套件，是要解決目前AI服務眾多、開發者需替每個服務實作不同整合方法，增加開發複雜度和維護成本的問題。</p> <p>進一步來說，Microsoft.Extensions.AI套件提供統一的C#抽象層，開發者可用相同的程式設計方式，來整合不同的AI服務。也就是說，無論使用OpenAI、Azure AI還是其他AI服務，開發者都可利用相同的程式碼結構和介面來操作，不必替每個服務單獨學習或寫不同的整合方式。此外，Microsoft.Extensions.AI套件還結合AI應用開發框架Semantic Kernel的高階功能，來提高開發AI應用程式的靈活性和擴展性。<a href="https://devblogs.microsoft.com/dotnet/introducing-microsoft-extensions-ai-preview/">（詳全文）</a></p> <p><img alt="" src="https://devblogs.microsoft.com/dotnet/introducing-microsoft-extensions-ai-preview/meai-architecture-diagram.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 程式碼 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini Code Assistant </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google推出企業級程式碼工具</strong></span></p> <p>日前，Google推出企業級AI程式碼輔助工具Gemini Code Assist Enterprise，可針對本地程式碼儲存庫進行深度分析、支援組織內部儲存庫和最佳實踐程式碼的客製化建議。開發者可在多種Google雲端服務和各種原始碼控制系統使用這個工具，加速程式開發工作流程。</p> <p>Google指出，Gemini Code Assist Enterprise所使用的Gemini模型，能處理更多的Token上下文，因此可協助完成更複雜的開發工作，如跨整個專案自動升級Java版本。Gemini Code Assist Enterprise也整合至BigQuery、Firebase、Colab Enterprise、Apigee等多種Google雲端服務，甚至能索引來自GitHub和GitLab的儲存庫、各種原始碼控制系統和自架服務儲存庫，來加速開發者跨不同平臺開發應用程式。<a href="https://cloud.google.com/blog/products/application-development/introducing-gemini-code-assist-enterprise">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/01._Gemini_Code_Assist_local_codebase_awareness.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 批次處理 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 查詢 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Anthropic </span></strong></span></p> <p><span style="font-size:22px;"><strong>Anthropic上線可批次處理LLM查詢的API</strong></span></p> <p>作為OpenAI主要競爭對手之一，Anthropic最近推出Message Batches API，可讓開發者用來異步處理大量查詢，其成本比調用標準API還便宜50%。適用於非時間敏感的任務。不過OpenAI已於今年4月，推出同樣號稱可節省50%成本的Batch API。</p> <p>Anthropic說明，開發者使用Message Batches API，每批次可送出最多1萬個查詢，且每批次的處理時間不到24小時。Message Batches API現為公開測試版，可支援Claude 3.5 Sonnet、Claude 3 Opus和Claude 3 Haiku等模型，Amazon Bedrock上的Claude用戶也能使用批次推論，接下來還會支援Google Cloud Vertex AI上的Claude用戶。<a href="https://www.anthropic.com/news/message-batches-api">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TikTok </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 廣告 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 受眾分析 </span></strong></span></p> <p><span style="font-size:22px;"><strong>TikTok發布AI廣告工具Smart+</strong></span></p> <p>最近，TikTok推出AI驅動的自動化廣告解決方案Smart+，能助廣告主改善廣告投放流程，來提高效益。該工具可自動化定位受眾、選擇素材、決定出價策略和測量成效，在精準接觸目標受眾的同時，強化廣告內容互動。這讓目前廣告市場中，除了Google的Performance Max和Meta的Advantage+自動化廣告解決方案外，又多了個工具選擇。</p> <p>Smart+是用TikTok平臺上大量的用戶行為資料，透過AI自動分析並選擇最佳受眾，讓廣告能展示給最相關的用戶。廣告主只需要輸入素材、預算和目標，Smart+就會自動化整個廣告投放過程，包括受眾定位、創意素材選擇以及出價策略調整。此外，Smart+還提供多種廣告活動選擇，像是可推動網頁流量的Web Campaigns、自動推薦商品的Catalog Ads、可增加應用程式安裝的App Campaigns，以及透過互動轉換高價值客戶的Lead Generation Campaigns。<a href="https://newsroom.tiktok.com/en-us/tiktok-is-building-for-the-future-with-smart-plus">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影像生成 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Firefly </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Adobe </span></strong></span></p> <p><span style="font-size:22px;"><strong>Adobe公開測試Firefly影像生成模型</strong></span></p> <p>Adobe在自家Adobe MAX創意大會上宣布，Firefly影像生成模型已進入公開測試階段，同時發表支援Creative Cloud各種應用的Firefly功能。進一步來說，去年3月問世的Firefly是一創意生成式AI系列模型，主要版本有可生成圖像的Firefly Image Model、可生成向量模型的Firefly Vector Model、可生成海報或傳單的Firefly Design Model，以及今年新增的影像生成模型Firefly Video Model。</p> <p>這1年多來，Adobe已將Firefly整合到自家Photoshop、Express、Illustrator及Substance 3D等應用中，也讓Firefly支援Creative Cloud應用流程。自Firefly發表以來，使用者用它生成的圖像已有130多億張了。新的Firefly Video Model允許使用者輸入文字敘述或靜態的參考圖像，並將它們轉成影像。該模型可用來生成自然世界的影片，或藉影像中的圖片來生成可填補空缺的B捲；也能利用攝影機的角度、運動及縮放等控制功能來建立完美視角；或者生成各種效果，再將它們整合至既有的影像上。<a href="https://news.adobe.com/news/2024/10/101424-adobe-launches-firefly-video-model">（詳全文）</a></p> <div class="media_embed" height="255px" width="453px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="255px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/puEgugluadk" title="Adobe Firefly Video Model Coming Soon | Adobe Video" width="453px"></iframe></div> <p>圖片來源／Google、微軟、Adobe</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 蘋果發表新一代iPad mini，支援生成式AI服務Apple Intelligence</strong></p> <p><strong>2. OpenAI擴點新加坡，成立亞太區營運中心</strong></p> <p><strong>3. Adobe即將推出免費的Content Authenticity服務，以驗證內容出處與真實性</strong></p> <p>資料來源：iThome整理，2024年10月</p> </div></div></div>
2024/10/17 16:47作者王若樸https://www.ithome.com.tw/news/165549
Kubernetes映像檔製作工具存在重大漏洞，恐曝露虛擬機器root權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Kubernetes資安回應團隊近期公布映像檔建置工具（Image Builder）漏洞<a href="https://github.com/kubernetes/kubernetes/issues/128006">CVE-2024-9486</a>、<a href="https://github.com/kubernetes/kubernetes/issues/128007">CVE-2024-9594</a>，攻擊者有可能藉此得到虛擬機器（VM）的root權限，而這些漏洞發生的原因，源於映像檔建置過程中，使用了預設的帳密資料。這些漏洞影響0.1.37版以前的Kubernetes Image Builder，開發團隊發布0.1.38版緩解上述弱點。</p> <p>這兩項漏洞較為嚴重的是CVE-2024-9486，主要原因在於：以Proxmox提供者（provider）建置而成的虛擬機器映像，無法停用當中的預設帳號，若用這些映像檔建置節點，後續有心人士可透過這些預設帳密進行存取，藉此取得root權限，CVSS風險評分達到9.8。</p> <p>另一個漏洞CVE-2024-9594，則是涉及其他系統平臺提供者產生的映像檔，這些提供者包含Nutanix、OVA、QEMU，在映像建置過程也會啟用預設的帳密組態，而此預設帳密同樣可用於取得root權限，但不同的是，在映像檔建置完成後，這些帳密就會被停用。該漏洞被評為中度風險，CVSS評為6.3。</p> <p>針對上述情形，Kubernetes資安回應團隊除提供新版映像檔建置工具，並呼籲用戶應透過這些已解決上述問題的工具，重建具有潛在風險的映像檔。</p> </div></div></div>
2024/10/17 15:48作者周峻佑https://www.ithome.com.tw/news/165546
FTC通過新規定，讓取消訂閱跟訂閱一樣容易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（Federal Trade Commission，FTC）周三（10/16）公布「點擊以取消」（click-to-cancel）的正式規定，要求商家要讓消費者取消訂閱跟購買訂閱時一樣容易。該規定將適用於任何媒體上的負面選擇（Negative Option）方案，預計會在《聯邦公報》（Federal Register）公布後的180天生效。</p> <p>負面選擇的定義是倘若消費者沒有明確表示「不要」（採取行動以拒絕或取消），商家就會認定消費者同意購買，或是開始收費，例如可免費試用30天的訂閱服務之後會自動收費，採取不取消就自動扣款的行銷手法。FTC每年都會收到數千筆與負面選擇有關的投訴，2021年時每天平均收到42筆，今年每天平均收到的投訴量則接近70筆。</p> <p>FTC主席Lina Khan 指出，企業常常讓人要跳過無數關卡才能取消訂閱，FTC的新規定將結束這些詭計與陷阱，沒有人應該為他們不再需要的服務付費。</p> <p>此外，在日益數位化的經濟中，企業更容易讓消費者註冊它們的產品及服務，本周所發表的是有關負面選擇規定的現代化版本，以對抗攸關訂閱、會員及其它經常性支付方案的不公平或欺騙性手法。</p> <p>該規定禁止商家採取負面選擇行銷時，扭曲任何重要的事實；在取得消費者的帳單資訊前必須揭露重要條款；在收費前，必須先獲得消費者對負面選擇的明確同意；也必須提供一個簡單的機制來取消負面選擇功能並立即停止收費。</p> </div></div></div>
2024/10/17 14:32作者陳曉莉https://www.ithome.com.tw/news/165540
Amazon宣布投資核能專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/165494" target="_blank">Google</a>之後，Amazon周三（10/16）<a href="https://www.aboutamazon.com/news/sustainability/amazon-nuclear-small-modular-reactor-net-carbon-zero" target="_blank">宣布</a>，已簽署3項協議以支持核能專案的開發，合作對象包括華盛頓州的公共電力機構<a href="https://www.energy-northwest.com/whoweare/news-and-info/Pages/Amazon-and-Energy-Northwest-announce-plans-to-develop--advanced-nuclear-technology-in-Washington.aspx" target="_blank">Energy Northwest</a>，專門開發核能技術的<a href="https://x-energy.com/media/news-releases/amazon-invests-in-x-energy-to-support-advanced-small-modular-nuclear-reactors-and-expand-carbon-free-power" target="_blank">X-energy</a>，以及維吉尼亞州的能源業者<a href="https://news.dominionenergy.com/2024-10-16-Dominion-Energy-and-Amazon-to-explore-advancement-of-Small-Modular-Reactor-SMR-nuclear-development-in-Virginia,1" target="_blank">Dominion Energy</a>。</p> <p>上述協議包括支援數個小型模組化反應爐（Small Modular Reactor，SMR）的建置，由於SMR的物理占地面積更小，因可建造在更靠近電網的位置，也能更快上線。</p> <p>Amazon Web Services（AWS）執行長Matt Garman表示，核能是一種安全的無碳能源，除了能夠支援營運的動力以滿足不斷增加的客戶需求之外，也能協助Amazon於2040年實現淨零碳的氣候承諾（Climate Pledge）。應對氣候變遷最快的方法之一就是讓社會遷移到無碳能源，而核能既無碳又能夠擴大規模，讓它成為Amazon的重要投資領域。</p> <p>Garman指出，與上述業者的協議將鼓勵建置新的核能技術，這些技術將在未來的數十年產生能源。</p> <p>其實Amazon今年7月就曾<a href="https://www.aboutamazon.com/news/sustainability/amazon-renewable-energy-goal" target="_blank">宣布</a>，該公司所投資的可再生能源，已經滿足了Amazon全球營運所消耗的電力，包括資料中心、企業大樓、零售商店，以及履行中心等，原本此一目標訂在2030年完成，但Amazon提前在2023年達標，並已連續4年成為全球可再生能源最大的企業買家。</p> <p>儘管如此，隨著業務與客戶的能源需求不斷成長，Amazon決定繼續投資可再生能源，並尋找其它的無碳能源，而核電即是其中之一。</p> <p>位於華盛頓州的Energy Northwest是由數十個公共電力系統組成的公共電力機構，主要經營核能發電，亦參與諸如風能、太陽能與水力發電等再生能源專案，旗下的 Columbia Generating Station是美國西北地區唯一的商業核電廠，替該州提供10%的電力需求。</p> <p>Amazon與Energy Northwest約定，將開發4種先進的SMR，這些SMR由Energy Northwest負責建置、持有與經營，估計第一階段可產生320MW的容量，並可增加至960MW，足以替美國逾77萬個家庭供電。</p> <p>X-Energy則是一家核反應爐與燃料技術供應商，同一天<a href="https://x-energy.com/media/news-releases/amazon-invests-in-x-energy-to-support-advanced-small-modular-nuclear-reactors-and-expand-carbon-free-power" target="_blank">宣布</a>獲得由Amazon領投的5億美元增資，將用來資助反應爐的計畫與授權，支援RISO-X燃料工廠的第一階段，以及支持未來使用Xe-100 SMR的無碳專案。</p> <p>Amazon僅簡單地說，將把X-Energy的先進核反應爐設計應用在Energy Northwest專案，此一投資包括開發SMR裝置的製造能力，以支援利用X-Energy技術建置的新能源專案，相關專案將帶來5 GW（5000 MW）的發電能力。</p> <p>X-Energy則解釋，雙方預計在2039年於美國上線超過5 GW的多種新電力專案，而這也是迄今SMR最大的商業部署目標。</p> <p>Amazon與Dominion Energy的合作同樣著重於SMR專案，打算在Dominion Energy既有的North Anna核電站附近開發SMR，可望替維吉尼亞地區帶來300 MW的電力。根據估計，該地區未來15年的電力需求將增加85%。</p> </div></div></div>
2024/10/17 13:30作者陳曉莉https://www.ithome.com.tw/news/165538
Amazon更新Kindle產品線，發表首個彩色版Kindle Colorsoft
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周三（10/16）<a href="https://www.aboutamazon.com/news/devices/new-kindle-color-scribe-paperwhite-entry" target="_blank">更新旗下的電子書閱讀裝置Kindle產品線</a>，包括入門款Kindle、進階版的Kindle Paperwhite，支援手寫的Kindle Scribe，以及首款彩色螢幕的Kindle Colorsoft。</p> <p>其中，只要109.99美元的入門款Kindle採用解析度為300 PPI的6吋螢幕，內建16GB儲存空間，重約158公克，新版具備更快的翻頁速度，更高的對比，最大設定的前燈亮度提高了25%，電池續航力為6周，而且不再只有黑色，新版還有抹茶色可供選擇。</p> <p>Kindle Paperwhite是Kindle的進階版，自2012年問世後就是Amazon最暢銷的Kindle版本。它採用7吋螢幕，內建16GB記憶體，重約211公克，電池續航力長達12周，新版的翻頁速度快了25%，對比也更高，售價為159.99美元。Kindle Paperwhite另外有一個內建32GB記憶體且支援無線充電的簽名版，售價則是199.99美元。</p> <p>重新設計的Kindle Scribe是個將電子書與筆記本合而為一的裝置，它採用10.2吋的螢幕，看書時可以呼叫Active Canvas來作筆記，並讓筆記成為書頁的一部分；它還內建筆記本，方便使用者隨意手寫記錄，可利用AI工具進行摘錄，或是將它們轉成文字寄出；內含Premium Pen手寫筆。Kindle Scribe也有12周的電池續航力，重約433公克，有16GB、32GB及64GB的版本可供選擇，最便宜的版本是399.99美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1017-Kindle%20Scribe.png" style="width: 600px;" /></p> <p>至於Kindle Colorsoft則是Amazon首度發表的彩色版Kindle。它採用7吋螢幕，重約219公克，內建32GB記憶體，電池續航力為8周，具備IPX8防水能力，支援無線充電。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1017-Kindle%20Colorsoft%20Signature%20Edition-PNG.png" style="width: 600px;" /></p> <p>Amazon表示，7吋的Colorsoft螢幕沒有傳統背光螢幕的刺眼眩光，它在螢幕層之間採用了客製化的塗層來強化色彩，一個具備微偏光裝置的導光板以減少散射光，亦於螢幕的多層結構中採用超薄塗層來改善光學性能。</p> <p>準確地說，Amazon此次發表的Colorsoft為簽名版，Kindle的基礎版通常只提供16GB的儲存空間，到了簽名版（Signature Edition）才會有更多空間及諸如無線充電等進階功能。Kindle Colorsoft的售價為279.99美元。</p> <p>在本周更新的Kindle產品中，Kindle與Kindle Paperwhite都已上市，Kindle Colorsoft簽名版將於10月30日上市，Kindle Scribe則會在12月4日上市。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> </div></div></div>
2024/10/17 12:21作者陳曉莉https://www.ithome.com.tw/news/165535
GitHub修補重大層級的SAML身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月10日GitHub發布Enterprise Server（GHES）更新<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.14.2">3.14.2</a>、<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.13.5">3.13.5</a>、<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.12.10">3.12.10</a>、<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.11.16">3.11.16</a>版，當中修補身分驗證繞過漏洞CVE-2024-9487、資訊洩漏漏洞CVE-2024-9539，以及1個尚未登記CVE編號的漏洞。</p> <p>其中，最值得留意的是被評為重大層級的CVE-2024-9487，攻擊者可藉由選用的加密斷言（assertion）功能繞過SAML單一簽入（SSO）身分驗證，而能在未經授權的情況下為使用者開通服務，或是存取GHES執行個體。此漏洞的4.0版CVSS風險評分達到9.5（滿分10分）。</p> <p>對於CVE-2024-9487發生的原因，GitHub表示是他們<a href="https://www.ithome.com.tw/news/163024">在今年5月緩解CVE-2024-4985</a>（CVSS風險評為10分）的過程當中衍生。</p> <p>不過，攻擊者若要利用這項漏洞，必須在特定條件才能觸發：他們要能夠存取已完成簽章簽署的SAML回應，或是相關的中繼資料文件，才有機會得逞。</p> <p>GitHub強調，並非所有的GHES都曝險。他們指出，預設組態的GHES並未啟動加密斷言機制，而不受影響；再者，若是未採用SAML單一簽入這類身分驗證機制，或用上述單一簽入但未搭配加密斷言的情況下，也不會受到這項漏洞資安風險的影響。</p> </div></div></div>
2024/10/17 12:31作者周峻佑https://www.ithome.com.tw/news/165536
英特爾在美國4州裁員逾2,000人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾近日裁減了包括奧勒岡、加州、德州與亞利桑納等4州的職位，影響員工可能超過2,000人。</p> <p>奧勒岡州當地<a href="https://www.oregonlive.com/silicon-forest/2024/10/intel-will-lay-off-1300-in-oregon-as-part-of-broader-companywide-cuts.html" target="_blank">媒體報導</a>，這家晶片大廠上周裁減了該州希爾斯伯勒（Hillsboro）市研發中心員工超過1,300人，佔該廠區員工數的6%。</p> <p>英特爾發言人指出，這波裁員是公司8月宣布廣泛性成本撙節行動的一環，是為了人事精簡艱難但必要的決定，以「支持公司轉型更精簡、簡單而敏捷的公司策略，以為長期成長準備」。8月初英特爾因上季財報不佳，<a href="https://www.theverge.com/2024/8/1/24210656/intel-is-laying-off-over-10000-employees-and-will-cut-10-billion-in-costs" target="_blank">宣布</a>年底前裁員15%並將縮減研發、行銷支出及「非關鍵」工作，以及重新檢視現有專案和設備的支出情形。以該公司12.5萬員工計算，可能有1.5萬到1.9萬人要捲鋪蓋走路。</p> <p>另外，<a href="https://www.theregister.com/2024/10/16/intel_layoffs/" target="_blank">The Register</a>蒐集美國州政府資訊報導，英特爾也分別在其他三州辦公室發出裁員通知，包括亞利桑納州近400人、加州300餘人，以及德州250人，使這波瘦身計畫影響約2,100名員工。</p> <p>在大規模裁員計畫下，英特爾上個月才透過分拆晶圓代工業務Foundry及優退計畫，裁減7,500名員工。若按照英特爾計畫的精簡幅度，可能還會有進一步組織調整動作。</p> </div></div></div>
2024/10/17 13:15作者林妍溱https://www.ithome.com.tw/news/165537
Mistral公布邊緣運算AI模型Les Ministraux
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創業者Mistral AI本周<a href="https://mistral.ai/news/ministraux/" target="_blank">公布Les Ministraux</a>，讓開發商及使用者可在筆電或智慧型手機等邊緣裝置上執行AI任務。</p> <p>兩款新模型各名為Ministral 3B與Ministral 8B，合稱Les Ministraux，是為裝置和邊緣應用場景開發的state-of-art模型。兩者支援128K脈絡長度（在vLLM框架上目前為32K），其中Ministral 8B還具有交錯滑動視窗（interleaved sliding-window）注意力模式，可支援更快、更省記憶體的推論作業。</p> <p>該公司強調，二款新模型已在參數100億以下類別模型中，將知識、常識、函式呼叫及效率能力提升到新境界，可用於多種個人或企業應用，像是裝置上翻譯、頻寬不佳地區的智慧助理、本地端分析或自主機器人。而若結合較大語言模型如Mistral Large，les Ministraux也能扮演多階段代理式工作流程的函式呼叫中介者角色，經微調後能根據使用者需求，在多種情境中處理輸入解析（input parsing）、任務路由或呼叫API，提供低成本及低延遲性的效益。</p> <p>這家新創業者也比較了和市場上參數量相仿的知名模型的比較，顯示在知識與常識、程式撰寫、數學解題、以及多語能力，Ministral 3B超越Meta Llama 3.2 3B及Google Gemma 2 2B，Ministral 8B則大部份超過Meta Llama 3.1 8B以及自家的Mistral 7B，只在程式撰寫任務上小輸Llama 3.1 8B。</p> <p>Mistral AI已透過Hugging Face<a href="https://huggingface.co/mistralai/Ministral-8B-Instruct-2410" target="_blank">公開Ministral-8B-Instruct-2410</a>供研究用途，支援中文等10種語言。使用者必須輸入基本聯絡資訊換取授權。二款模型不久後將提供給雲端合作夥伴。</p> <p>由Mistral AI的la Platforme平臺存取模型的費用方面，Ministral 8B為輸入/輸出每百萬token 0.1美元，Ministral 3B為輸入/輸出每百萬token 0.04美元。Ministral 8B提供商用及研究授權，較小的Ministral 3B只提供商用授權。若企業開發商想自行部署可聯絡Mistral AI，業者會協助為特定應用場景無損縮減模型。</p> </div></div></div>
2024/10/17 12:06作者林妍溱https://www.ithome.com.tw/news/165534
Martech雙周報第63期：不再只用關鍵字或標籤找，Pixability分析YouTube 36億部影片的內容及嵌入…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(1006~1019</strong></span><span style="color:#00ffff;"><strong>)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV廣告 #生成式AI #品牌安全 #小眾分眾行銷</span></span></strong><br /> <strong>不再只用關鍵字或標籤，Pixability分析YouTube 36億部影片的內容及嵌入向量，用於分眾行銷</strong></p> <p><a href="https://www.pixability.com/news/launch-of-genai-contextual-segments-for-youtube-to-drive-better-targeting-and-outcomes-for-advertisers/">Martech廠商Pixability推出生成式AI情境分眾行銷解決方案</a>，利用生成式AI將36億部YouTube影片內容的關鍵字轉為嵌入向量，結合其他情境類數據，挑選出不同細緻分類的優質影片名單，供廣告主挑選，投放自家廣告於這些影片前後。情境類數據包括品牌安全相關方針、IAB內容分類數據、語言數據、過去YouTube廣告成效數據，以及自家DE&I（多元共榮）方針等。</p> <p>投放廣告到YouTube時，為了增加接觸品牌受眾的機率，廣告主會希望廣告呈現於相關主題影片前後。尋找優質特定主題影片的常見做法是，從頻道表現、關鍵字、標籤、影片受眾等資訊來判斷。不過，這種做法一大問題是，容易忽略小型頻道，以及元數據標註不夠完善的影片。尤其，當廣告主品牌定位較特殊或目標客群較小眾時，可以投放的影片版位會顯得更有限。</p> <p>Pixability利用生成式AI來更準確地從36億影片中搜尋出特定主題影片，意味著廣告主有更多曝光選項，且減少了競爭知名頻道影片版位的需求。不只如此，廣告主還可以挑選更細緻、小眾的影片分類來投放廣告。</p> <p>Pixability還用前述數據來分析受眾的潛在興趣分類，以利廣告主在更多類型的影片廣告，接觸自己潛在受眾。例如，醫療器材品牌投放廣告於給中年男性時，會直覺的選擇投放到運動主題影片，但Pixability會根據這類受眾也常觀看的其他主題，例如新聞與政治類影片，來推薦更多可投放的影片分類給廣告主。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#論壇廣告 #關鍵字廣告 #AI關鍵字推薦</span></span></strong><br /> <strong>Reddit推出可以投放在文章列表和討論串中間的關鍵字廣告，還能自動推薦投放關鍵字</strong></p> <p><a href="https://www.business.reddit.com/blog/keyword-targeting">全球最大網路論壇Reddit推出關鍵字廣告服務</a>，根據文章標題、文章內容及討論串內容關鍵字來投放廣告。廣告主可以自行挑選與廣告相關的關鍵字，或使用Reddit AI推薦的關鍵字，來投廣到文章列表及討論串等介面。</p> <p>除了用關鍵字投放廣告，廣告主還可以在行銷活動管理介面設定廣告受眾群組，組合關鍵字、社群及興趣特徵等維度，作為投放策略。</p> <p>此服務還有自動選擇投放版面種類功能，利用機器學習來判斷廣告應該投放在文章列表還是討論串，才能最大化曝光或點擊等行銷目標。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI代理人 #生成式AI #行銷創意發想</span></span></strong><br /> <strong>艾思智創推出生成式AI行銷創意發想工具，能資蒐、分析產品定位甚至撰寫完整整合行銷企畫</strong></p> <p>Martech新創艾思智創推出名為ADGo的生成式AI創意行銷工具，能根據簡單產品或品牌描述，來進行資蒐、產品定位分析、行銷策略發想，甚至撰寫從籌備到執行每一個步驟細節的整合行銷企畫。</p> <p>此產品背後技術是由艾思智創自行打造，一套名為MAGICC（Multi-Agent Generative Idea Co-Creation）的AI代理人調度機制。首先，他們利用Sonnet 3.5及GPT-4o等多個不同LLM，來打造不同用途的代理人，例如消費者洞察、市場情報分析、社群媒體趨勢分析、競爭商品調研、市場情報分析等。他們所用數據包含行銷領域知識圖譜，以及行銷創意案例資料庫、人群報告、區域文化報告、社群資料等數據，用混合RAG技術來生成相關結果。最後，MAGICC會再綜合這些生成結果，產出行銷企畫等成品。艾思智創沒有揭露這些數據涵蓋哪些地域及時間。</p> <p>艾思智創表示，此服務不會儲存企業客戶資料，更不會用來訓練自家模型。此解決方案目前採季訂閱或年訂閱收費制度，沒有使用量上限，以貼近行銷創意發想需要大量試錯的需求。目前布爾喬亞公關顧問公司已經正式將此工具投入應用，來協助行銷企畫的初期創意發想。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#QRCode替代 #OMO行銷 #電腦視覺</span></span></strong><br /> <strong>QRCode的另一選擇，IRCode推出直接掃描圖片就可以連結到數位行銷內容的技術</strong></p> <p><a href="https://advertising.ircode.com/">科技新創IRCode推出一套與企業同名的技術</a>，使用者透過IRCode App掃描圖片，就會連結到品牌的數位行銷內容，例如相關資訊頁面、折價券領取、或其他數位內容。此技術操作及用途上類似於QRCode，但只需要掃描原本圖片──這便能避免QRCode放太小難掃描、放太大破壞視覺美感的困境。IRCode還有數據分析工具，供廣告主查詢使用者與自家IRCode行銷內容的互動情形。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ircode.png" style="width: 600px;" /></p> <p>這套技術背後的原理是，廣告主可以登記圖片及欲連結的行銷內容到IRCode平臺。使用者掃描同一張圖片時，便會上傳到平臺比對特徵值，並呈現出對應行銷內容。這樣一來，廣告主不用QR Code，就可以在DOOH廣告或產品包裝等地方嵌入數位行銷體驗。</p> <p>IRCode技術難以識別的圖片包括：單色或灰階圖片、從極端角度拍攝的圖片、部分被遮蔽的圖片、3D非平面圖片及雕像、模糊圖片。另外，也不能登記著名畫作或圖片到平臺上。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#影音廣告 #生成式AI #社群媒體行銷 #創作者行銷</span></strong></span><br /> <strong>Meta推出2個新生成式AI影音廣告編輯工具</strong></p> <p><a href="https://www.facebook.com/business/news/Unlock-Video-Performance-with-GenAI-and-Creator-Marketing">Meta宣布推出2個新的生成式AI影音行銷素材編輯工具。</a>第一是影片畫面延展功能，會自動生成符合影片畫面的內容，來延展影片尺寸。第二則是轉化靜態影像為動態影片的功能，可以讓圖片內的元素動起來，成為較活潑的動圖。<img alt="" class="_90f0 _9kug _21op _1-qs _9mk0 img" src="https://scontent.ftpe7-2.fna.fbcdn.net/v/t39.8562-6/461802805_458696443881598_4296199749702885933_n.gif?_nc_cat=111&ccb=1-7&_nc_sid=f537c7&_nc_ohc=t4Cx-QW6nYUQ7kNvgHkxM3a&_nc_zt=14&_nc_ht=scontent.ftpe7-2.fna&_nc_gid=A7VHxP2pT_DvBM8nhQ7eQ8Y&oh=00_AYCW5HD-01oMVJHRLQOrh4c_1lQLNrvx2FIMGvk6eCnVzg&oe=67155D5C" style="box-sizing: border-box; height: 450px;" /><img alt="" class="_90f0 _9kug _21op _1-qs _9mk0 img" src="https://scontent.ftpe7-1.fna.fbcdn.net/v/t39.8562-6/461844343_532283109411161_8683930522906200632_n.gif?_nc_cat=106&ccb=1-7&_nc_sid=f537c7&_nc_ohc=f_7xOr77MlkQ7kNvgHSSYyV&_nc_zt=14&_nc_ht=scontent.ftpe7-1.fna&_nc_gid=A7VHxP2pT_DvBM8nhQ7eQ8Y&oh=00_AYAdyNWcv-gxRLLJGcNkB-HNsh8_Z2EJ2kJOdfFClONstw&oe=67155234" style="box-sizing: border-box; height: 450px;" /></p> <p>另外，Meta也推出了一個新網紅影音行銷功能，廣告主可以將創作者原生影片收錄進自家廣告列表，以利後續用於其他行銷活動。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #數據梳理 #商品資搜</span></span></strong><br /> <strong>Happy Go怎麼用生成式AI</strong></p> <p>有80萬個合作通路、來自4,000個品牌上億筆商品資料的Happy Go，近期揭露自家生成式AI的一大用途──用來蒐集商品情資，強化商品分類並豐富上億商品數據。</p> <p>過往，他們有利用AI來對商品資訊進行斷字和分類，以利業務團隊檢索商品、擬定行銷策略。2023年生成式AI大爆紅後，更以此做法為基礎，進一步導入生成式AI來強化商品分類。</p> <p>具體做法是，利用不同模態的生成式AI模型來辨識商品和蒐集資訊，彙整商品或品牌的風格、特色，客群、大眾形象等資訊，並拋轉這些數據到自家MLOps平臺，作為既有AI商品分類模型再訓練的數據。</p> <p>Happy Go數據管理部協理黃士峰表示，這個做法，不僅大幅降低業務自行研究品牌資訊需求，甚至，可以超越Happy Go原本的商品分類框架，產生新分類。業務部門檢索商品分類或構思行銷角度時，便能有更多選項。（<a href="https://www.ithome.com.tw/news/165255">詳全文</a>）</p> <p><strong>更多Martech動態：</strong></p> <p>1. <a href="https://www.linkedin.com/pulse/helping-brands-engage-influence-buyers-new-advertising-crj9c/">LinkedIn推出直播內廣告功能，並新增多種AI廣告代投的設定選項</a></p> <p>2. Oracle在針對客服及現場服務的解決方案，推出一系列免費可用的生成式AI代理人</p> <p>3. <a href="https://business.adobe.com/products/adobe-experience-cloud-products.html">Adobe推出可以自動根據品牌政策及行銷策略來生成行銷素材的生成式AI解決方案</a></p> <p>4. <a href="https://ads.tiktok.com/business/en-US/blog/introducing-search-ads-campaign?ab_version=control">Tiktok推出關鍵字廣告及更多搜尋結果廣告設定選項</a></p> <p>5. <a href="https://www.adelaidemetrics.com/blog/attention-metrics-in-the-trade-desk-notes-from-the-field">The Trade Desk DSP進一步整合了測量廣告獲取注意力時間的功能</a></p> <p>資料來源：iThome整理，2024年10月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Pixability、IRCode、Meta、艾思智創</p> </div></div></div>
2024/10/17 09:38作者郭又華https://www.ithome.com.tw/news/165532
HashiCorp更新多項基礎設施生命周期工具，簡化用戶管理雲端資源擴展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hashicorp.com/blog/terraform-packer-nomad-and-waypoint-updates-help-scale-ilm-at-hashiconf-2024">基礎設施自動化工具廠商HashiCorp更新一系列基礎設施生命周期管理產品</a>，包括Terraform、Packer、Nomad和Waypoint，目的是要協助企業簡化大規模基礎設施管理流程，這些新功能可減少使用者手動操作的繁瑣，同時提高基礎設施的安全性與效率，以滿足越來越靈活的雲端應用需求。</p> <p>隨著數位應用發展，多雲環境和大規模應用部署，使得企業需要管理的基礎設施越來越複雜，HashiCorp基礎設施自動化工具Terraform和Packer，便能讓企業在雲端環境中，進行自動化配置和管理。這次HashiCorp更新多款工具，改進使用者在不同基礎設施階段的操作，讓建構、部署和持續管理基礎設施能夠更簡潔方便。</p> <p>首先是基礎設施建置階段，HCP Packer提供映像檔管理功能，其新增的CI/CD工作管線後設資料管理能夠追蹤每個映像檔的生成過程，並利用這些資訊進行早期風險控制，確保用戶使用的映像檔皆經過驗證且符合規範。HCP Packer加入了儲存桶層級的RBAC（Role-Based Access Control），進一步加強對映像檔的存取控制，確保不同角色的用戶只能存取必要的部分。</p> <p>Terraform基礎設施部署工具更新則增加了HCP Terraform Stacks，該功能可將多個Terraform模組整合成單一操作，避免基礎設施部署繁瑣的手動相依管理。HCP Terraform Stacks與HCP Packer緊密整合，使得Terraform能夠利用經過安全驗證的Packer映像檔，進行基礎設施快速部署。在需要大規模Kubernetes部署時，HCP Terraform Stacks新增的推延變更（Deferred Change）功能，可以讓用戶應對未知變化避免部署中斷。</p> <p>在基礎設施部署完成後的持續管理和最佳化階段，用戶則可以使用分散式負載調度工具Nomad和應用部署執行管理工具Waypoint。Nomad 1.9新的GPU支援功能，讓開發者能夠靈活配置高效能運算資源，在機器學習和人工智慧應用情境特別重要。HCP Waypoint新功能則提供自動化應用部署流程，讓平臺營運團隊可以利用標準化模版和附加元件，簡化內部開發流程提升基礎設施和應用開發之間的協作效率。</p> <p>HashiCorp新推出的HCP Terraform模組生命周期管理功能，提高模組的可視性，讓平臺團隊更容易掌握模組的版本。Terraform Migrate則可以協助用戶從社群版過渡到HCP Terraform或Terraform Enterprise，減少手動搬遷的風險和錯誤，同時維持基礎設施的狀態。</p> <p>另外，HashiCorp還推出了可用於管理機密資料的服務<a href="https://www.hashicorp.com/blog/hcp-vault-secrets-adds-enterprise-capabilities-for-auto-rotation-dynamic-secrets">HCP Vault Secrets</a>，專門針對憑證、API金鑰和密碼的服務。這項服務不僅能協助企業安全地儲存和管理機密資料，也提供自動化輪換、動態機密生成、精細存取控制等功能。HCP Vault Secrets的自動化流程可減少用戶手動管理機密的工作，進一步提升管理效率和安全性。</p> </div></div></div>
2024/10/16 23:49作者李建興https://www.ithome.com.tw/news/165530
【資安日報】10月16日，臺灣區塊鏈旅宿平臺業者雲端儲存庫疑似因配置不當，而可能曝露旅客資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端環境的配置不設防情況，不時有事故傳出，但過往公布曝露危險的多半是國外的企業組織，而在最近一起資安事故裡，有研究人員發現臺灣區塊鏈業者所有的資料庫。</p> <p>值得留意的是，在此儲存桶曝露的個資當中，超過9成電話號碼都是臺灣用戶所有，實際影響情況有待後續觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165514"><strong style="font-size: 22px;">臺灣區塊鏈業者奧丁丁雲端儲存桶配置不當，76萬臺灣旅客訂房資料曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1016-Owlnest-600.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Owlnest-600.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Cybernews報導，臺灣區塊鏈旅宿平臺業者奧丁丁（OwlTing）雲端儲存桶配置不當，且未做好防護，導致約76萬旅客訂房資料，包含姓名、電子郵件信箱，曝露在公開網際網路上。</p> <p>研究人員指出，公開的儲存桶中內有超過16.8萬份CSV及XLSX格式文件，內容則是76.5萬名客戶的個資，包括全名、電話號碼、約3,000名消費者的電子郵件，以及飯店訂房資訊如訂房日期、房號、房型、入住和退房、支付金額、幣別及預約服務等。外洩的個資如電子郵件或電話號碼可能被用於垃圾郵件、詐騙郵件、詐騙電話或釣魚簡訊等攻擊。</p> <p>我們向奧丁丁集團詢問是否真有此事，他們表示，經初步調查，發現暫存於AWS雲端服務的部分資料可能遭到未經授權的訪問，其中包含大量重複的訂房資訊，已立即展開清查並採取必要措施，並強調對此事件高度重視。</p> <p><a href="https://www.ithome.com.tw/news/165513"><strong style="font-size: 22px;">駭客兜售竊自思科的開發、憑證資料，聲稱將殃及微軟、AT&T</strong></a></p> <p>根據資安新聞網站Bleeping Computer報導，惡名昭彰的初始入侵管道掮客IntelBroker本周二在駭客論壇聲稱，他們今年10月6日夥同分別代號為EnergyWeaponUser和zjj的2名駭客駭入思科網路，竊走大量資料。思科表示，他們啟動調查確認此事真偽。</p> <p>IntelBroker聲稱手中握有思科的資料類型包括GitHub與GitLab專案、程式原始碼、思科機密檔案、產品檔案、憑證、API token、公私鑰、客服資料，以及在Azure、AWS等雲端服務帳號資訊，似乎大部分與開發專案相關。此駭客提供部分檔案擷圖作為證明，但並未說明盜走的資料量。</p> <p>一名研究人員從IntelBroker公布的資訊發現，受這批資料外洩影響的企業包括AT&T、Verizon、T-Mobile US、Vodafone、微軟、SAP，以及能源巨擘雪佛龍（Chevron）等。</p> <p><a href="https://www.ithome.com.tw/news/165516"><strong style="font-size: 22px;">逾8萬臺Fortinet設備曝露於今年2月公告的RCE漏洞</strong></a></p> <p>10月9日美國網路安全暨基礎設施安全局（CISA）提出警告，今年2月Fortinet修補的重大漏洞CVE-2024-23113已出現實際攻擊行動，要求聯邦機構限期修補，這樣的情況Fortinet也在11日證實，他們得知有外部調查發現漏洞遭到利用的情況。然而，如今有資安研究機構提出警告，仍有不少設備尚未套用更新而曝險。</p> <p>Shadowserver基金會指出，他們在10月12日發現有87,390個IP位址的Fortinet設備疑似曝露於該漏洞風險，其中數量最多的是美國，約有1.4萬臺，日本、印度居次，分別約有5,100、4,800臺。我們查詢該基金會14日偵測到的資料，臺灣有3,823臺設備曝險。</p> <p><a href="https://www.ithome.com.tw/news/165512"><strong style="font-size: 22px;">開源套件進入點可被攻擊者用於指令劫持</strong></a></p> <p>資安公司Checkmarx揭露新一波針對Python開源軟體生態系的攻擊，攻擊者可利用軟體套件中的進入點（Entry Point）木馬化命令列工具。透過該手法，攻擊者能夠將惡意程式偽裝成常見的第三方工具或是系統命令，讓受害者無意間執行惡意程式碼，以達成攻擊開發環境和企業基礎設施的目的。</p> <p>這項新的開源供應鏈攻擊之所以值得注意，研究人員指出，其具有極高的隱蔽性和靈活性，能夠在不被察覺的情況下木馬化命令列工具，並執行惡意程式碼。由於該攻擊主要針對開發工具以及開源生態系中常見的進入點功能，讓攻擊者可以劫持開發過程中常用的指令，對開發者或是企業造成嚴重安全威脅，不僅影響日常開發工作，還可能導致敏感資料洩漏，或是危及基礎設施安全。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=175238&SPOKE_DATE=20241015&COMPANY_ID=2332"><strong style="font-size: 22px;">友訊發布重大訊息，證實外部網路伺服器遭到攻擊</strong></a></p> <p></p> <p>10月15日網路設備製造商友訊於股市公開觀測站發布重大訊息，表明有外網伺服器遭到攻擊，他們在第一時間察覺便透過切斷網路的方式避免影響範圍擴大，全面啟動防禦機制因應。</p> <p>該公司也邀集外部資料業者與技術專家協同處理，並進行全面盤點。而對於這起事故可能會造成的影響，他們強調公司營運一切正常，評估對財務及業務無影響。</p>  <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.kaspersky.com/about/press-releases/kaspersky-uncovers-pipemagic-backdoor-attacks-businesses-through-fake-chatgpt-application">木馬程式PipeMagic透過冒牌ChatGPT散布，攻擊沙烏地阿拉伯組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/edrsilencer-red-team-tool-used-in-attacks-to-bypass-security/">紅隊演練工具EDRSilencer遭濫用，駭客藉此繞過資安防護機制</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/researchers-uncover-hijack-loader.html">駭客利用偷到的憑證為惡意程式Hijack Loader簽章</a></strong></p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165523"><strong style="font-size: 22px;">工業用路由器存在重大漏洞，臺廠Moxa發布新版韌體修補</strong></a></p> <p>10月14日臺灣工控設備製造商四零四科技（Moxa）發布資安公告，指出旗下部分行動通訊路由器、安全路由器、網路設備存在高風險漏洞CVE-2024-9137、CVE-2024-9139，並指出這些漏洞有可能導致未經授權存取或是系統損壞的情況，呼籲用戶應儘速套用新版韌體因應。</p> <p>根據CVSS風險評分的高低，較為嚴重的是評為重大層級的CVE-2024-9137，該公司特別提及，這項漏洞攻擊者能在未經身分驗證的情況下，遠端觸發。此弱點發生的原因在於，設備在透過Moxa服務向伺服器發送命令的過程中，未實施身分驗證程序，而能允許攻擊者執行特定命令，並進行未經授權的上傳、下載組態檔案，或是造成系統受損，3.1版CVSS風險評為9.4分（4.0版為8.8分）。</p> <p>另一個漏洞CVE-2024-9139也相當危險，攻擊者利用未適當限制執行方式的指令，藉由作業系統命令注入手法發動攻擊，而有機會執行任意程式碼，3.1版CVSS對此漏洞的風險評為7.2分（4.0版為8.6分）。</p> <p><a href="https://www.ithome.com.tw/news/165528"><strong style="font-size: 22px;">企業協作平臺Team+修補重大漏洞，若未更新，攻擊者可能趁機非法存取與操縱檔案</strong></a></p> <p>本週臺灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安公告，指出互動資通旗下的企業協作平臺Team+存在3項漏洞CVE-2024-9921、CVE-2024-9922、CVE-2024-9923，影響13.5.x版Team+，呼籲使用者要升級至14.0.0版緩解相關資安風險。</p> <p>根據CVSS風險評分，最嚴重的是SQL注入漏洞CVE-2024-9921，起因是此協作平臺尚未妥善驗證特定網頁參數，導致未經身分驗證的攻擊者有機會遠端注入任意SQL指令，從而讀取、修改、刪除資料庫內容，CVSS風險評為9.8分。</p> <p>我們也向互動資通進行確認，該公司表示在發現後已儘速完成修復，並於2個月前提供新版程式給客戶使用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9486-cvss-9-8-kubernetes-image-builder-flaw-exposes-vms-to-root-access/">Kubernetes映像檔製作工具存在重大漏洞，恐曝露虛擬機器root權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9312-ubuntu-authd-flaw-allows-user-id-spoofing/">Ubuntu存在高風險漏洞，攻擊者有機會發動使用者ID欺騙攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165511"><strong>【10月15日】北韓駭客針對支付處理系統散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165488"><strong>【10月14日】Windows核心漏洞傳出遭伊朗駭客OilRig利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165452"><strong>【10月11日】Mozilla修補遭到利用的Firefox零時差漏洞</strong></a></p> </div></div></div>
2024/10/16 18:39作者周峻佑https://www.ithome.com.tw/news/165531
HPE開創網路管理平臺典範，提供全新介面、持續強化AIOps
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/central-g-topology-sun-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2015年上半，HP完成併購Aruba Networks之後，年底HPE拆分出來，HP原本的網路業務後續全交由附屬於HPE的Aruba Networks負責，<a href="https://www.hpe.com/us/en/newsroom/press-release/2023/03/hewlett-packard-enterprise-fortifies-network-security-with-acquisition-of-security-service-edge-provider-axis-security.html">從2023年3月開始，HPE Aruba Networking這個名稱浮出檯面</a>，成為代表目前HPE網路產品與服務的品牌，<a href="https://www.hpe.com/us/en/newsroom/blog-post/2023/04/introducing-hpes-simplified-brand-architecture.html">4月HPE公告旗下品牌架構整併與簡化</a>，並且正式說明對HPE Aruba Networking這個品牌的期許。</p> <p>而在這段融合與成長的過程當中，適逢雲端服務、SD-WAN、5G專網、SSE與SASE、AI等應用起飛，HPE網路產品與服務業務面臨轉型與擴充的壓力，除了本身努力拓展相關技術，也透過併購其他公司補足，因此，從2016年起，陸續買下Rasa Networks（網路效能管理與分析）、Niara（網路攻擊偵測與事故應變）、Cape Networks（監控與改善Wi-Fi網路）、Silver Peak（SD-WAN）、Athonet（軟體行動網路核心）、Axis Security（SSE），後續HPE也基於這些技術而推出多種解決方案，例如，我們曾報導的<a href="https://www.ithome.com.tw/review/120898">Aruba IntroSpect</a>、<a href="https://www.ithome.com.tw/review/123203">Aruba NetInsight</a>、<a href="https://www.ithome.com.tw/review/130083">Aruba ClearPass Device Insight</a>、<a href="https://ithome.com.tw/review/150364">Aruba Central NetConductor</a>。</p> <p>在這些產品服務當中，HPE從2021年近期積極發展IT即服務GreenLake之後，標榜採用雲端原生技術的網路管理平臺<a href="https://community.hpe.com/t5/around-the-storage-block/accelerate-faster-with-unified-data-operations-as-a-service/ba-p/7131815">Aruba Central，更是此系列解決方案順利推入企業市場的關鍵平臺</a>，因為GreenLake搭配的雲端管理主控臺<a href="https://www.ithome.com.tw/pr/157567">Data Services Cloud Console（DSCC）</a>，正是立足於<a href="https://www.ithome.com.tw/review/138599">Aruba Central</a>的基礎發展而成的。事實上，Aruba Central是在2022年3月整合到GreenLake，<a href="https://www.hpe.com/us/en/newsroom/press-release/2022/03/hpe-greenlake-edge-to-cloud-platform-delivers-greater-choice-and-simplicity-with-unified-experience-new-cloud-services-and-expanded-partner-ecosystem.html">HPE也在當時宣布推出網路即服務（NaaS）解決方案</a>，名為GreenLake for Aruba networking，<a href="https://community.hpe.com/t5/networking/hpe-greenlake-for-aruba-is-now-hpe-greenlake-for-networking/ba-p/7219017">2023年11月更名為GreenLake for Networking</a>。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/OEIjbIKzmCs?si=eDzGnv5lqi5EOOaw" title="YouTube video player" width="560px"></iframe></div> <p><a href="https://s4.itho.me/sites/default/files/images/Aruba AIOps-2022-07-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20AIOps-2022-07-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Aruba AIOps-2022-07-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20AIOps-2022-07-5.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Aruba AIOps-2022-07-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20AIOps-2022-07-3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Aruba AIOps-2022-07-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20AIOps-2022-07-4.jpg" style="width: 298px;" /></a></p> <p>到了今年，為了突顯HPE Aruba Networking的產品技術整合，以及他們持續拓展AI for Networking的應用發展，在6月下半與HPE Discover年度用戶大會同時舉行的Atmosphere '24期間，<a href="https://www.hpe.com/us/en/newsroom/blog-post/2024/06/the-road-to-hpe-discover-2024-is-paved-with-network-innovations.html">HPE Aruba Networking 也趁這個機會宣傳</a>與展示<a href="https://www.youtube.com/watch?v=AqUtKurKAj4">雲端網路管理平臺Central</a>的最新功能特色，首先最令人驚豔的是，提供突破傳統管理主控臺風格的嶄新操作介面，既有用戶可透過一鍵切換，快速轉換網頁管理介面的風格，透過雲端原生服務，集中監控與管理橫跨有線網路、無線網路、資料中心網路、廣域網路等多種環境，提供資安優先、AI驅動的網路管理方式。時隔3個月後，<a href="https://community.arubanetworks.com/blogs/gregory-weaver1/2024/09/18/experience-the-power-of-new-hpe-aruba-networking-c">HPE Aruba Networking宣告Central新一代的技術升級進入公開預覽階段</a>，當中擴充多種功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-3.jpg" style="width: 600px;" /></a></p> <p>其中最顯而易見的特色，是提供新型網頁介面的快速切換選擇，帶來直觀易用、以網路維運人員為中心的操作體驗，不論是在網路環境的初期建置到中期上線營運階段，均能因此受惠，大幅提升作業效率，而且能善用資料的價值與深層AI的功能。</p> <p> <a href="https://s4.itho.me/sites/default/files/images/Central-classic.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-classic.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central-New-NOC2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-New-NOC2.jpg" style="width: 298px;" /></a></p> <p> <a href="https://s4.itho.me/sites/default/files/images/New Central-switching.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-switching.jpg" style="width: 298px;" /></a> </p> <p>除此之外，Central的新介面也導入以人為本的設計理念，能將網路各種狀態資料的取得、詮釋、理解，以更普及與平等的形式供給，使不同資歷與技能等級的網管人員都能方便參閱。舉例來說，領域專家與一、二線支援工程師，均可搭配不同的資料集進行複合多種議題的障礙排除，以及設定、維護錯綜複雜的網路環境。</p> <p>關於新介面的成形，核心平臺很重要，HPE Aruba Networking表示，他們採用當代的雲端服務法則進行組建，期盼未來十年能以此服務客戶，當中的資料湖可供應近乎即時、精準的資料分析功能，而且背後有AI技術支撐整個系統的運作，可協助大規模、不同樣態的資料集進行交互關聯處理，提供多維度的資料透視能力，產生可採取後續行動的深層見解、更精確的根本原因解讀，以及建議的處理方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AIOps-2024-03-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-2.jpg" style="width: 600px;" /></a></p> <p>在此同時，HPE Aruba Networking也預告後續將加入的特色，預計年底開放大家試用部分功能。</p> <p>首先，整合第三方廠商網路設備的監控機制（源於<a href="https://www.hpe.com/us/en/newsroom/press-release/2023/03/hewlett-packard-enterprise-to-acquire-opsramp-advancing-hybrid-cloud-leadership-and-expanding-hpe-greenlake-into-it-operations-management.html">2023年3月併購OpsRamp</a>所得到的技術）。</p> <p>第二，為了能夠更順暢地管理大量網路設定，Central的網路設備管理將增添通用組態模型（common configuration model）的配置，而能囊括有線網路設備、無線網路設備、網路閘道產品，並且將提供新的階層式組態設定功能，以及90種新的應用程式介面（API）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AIOps-2024-03-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-3.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>提供聚焦網路營運作業的操作介面，導入創新的多維度檢視</strong></span></h3> <p>基於這樣的資料架構，Central新介面導入多種概念的操作特色，網管人員透過一目了然、以實體為主（entity-centric）或不同時間點的動態資料分析導覽方式，可加速網路探查、全面呈現網路在任何時間點的狀態，能夠簡化分類與分析作業，也因此形成新的監控、統計報告、障礙排除特色。</p> <p>其實，這些特色在2023年4月就已預告，當時HPE Aruba Networking宣布，Central經過重新設計，能透過AIOps技術的運用而減少手動作業，從而簡化網路維運工作與改善生產力。</p> <h4><span style="color:#FF0000;"><strong>太陽系儀表板</strong></span></h4> <p>首先，Central提供以網管人員為中心（operator-centric）的操作介面設計，提供簡單易用的體驗，使不同技能等級的人員都能上手，而這個特色稱為<a href="https://www.arubanetworks.com/techdocs/new-central-staging/content/trb-tools/trb-aos-s.htm?Highlight=solar">太陽系（solar system）的檢視或儀表板</a>，提供直觀的導覽、減少人員的認知負擔。</p> <p>具體而言，太陽系儀表板列出網管5大主題：網路（Networks）、個人端裝置（Clients）、應用程式（Applications）、安全性（Security）、警示（Alerts），右繞在網頁介面左側的站點（site）形成可快速點選的主選單，就像多個行星環繞太陽。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AIOps-2024-03-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-6.jpg" style="width: 600px;" /></a></p> <p>若點選「網路」，可檢視區域網路、無線區域網路、廣域網路的網路設備（Devices），涵蓋Wi-Fi基地臺、交換器、閘道的連線組態、正常運作期間；點選「個人端裝置」，呈現網域使用者與連網裝置的存取組態／連至網際網路經過的網路設備、用量／連線效能、類型、行為／事件記錄。點選「應用程式」，會列出使用者存取的網路應用程式與網站類型，並且呈現效能表現分數／數位體驗品質、網路資源用量、資安風險評估程度（可信任度），以及這是否屬於企業批准的應用或網站。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-Devices.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-Devices.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-Applications.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-Applications.jpg" style="width: 600px;" /></a></p> <p>如果選擇「安全性」，網管人員可查看身分認證與授權的政策、入侵偵測系統或入侵防禦系統（IDS/IPS）、安全防護與服務品質確保政策的遵循、行為異常、威脅分數計算；假使按下「警示」，網管人員能夠針對連線、效能、組態、運作狀態的健全度，獲得AI輔助的問題診斷資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-alert.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-alert.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-alert2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-alert2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-alert3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-alert3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-alert4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-alert4.jpg" style="width: 298px;" /></a></p> <h4><span style="color:#FF0000;"><strong>日光輻射檢視</strong></span></h4> <p>針對實體與邏輯網路架構拓樸的呈現，<a href="https://www.arubanetworks.com/techdocs/new-central-staging/content/tplgy/tplgy-sunburst.htm">Central提供日光輻射型態檢視（sunburst views）</a>，將大型、錯綜複雜的網路轉換成多個層次的圖解。網管人員按下右上角「Toplogy」的圖示之後，可透過多層扇形色塊環繞分布的形式，呈現選定的站點環境當中，以實體互連的所有網路設備，網管人員能快速檢視每個站點的網路狀態是否正常運作，以及未列管的網路設備。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AIOps-2024-03-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-5.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central Sunburst1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central%20Sunburst1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/New Central Sunburst2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central%20Sunburst2.jpg" style="width: 298px;" /></a></p> <p>透過這樣的鳥瞰檢視方式，提供實體與邏輯連結的網路架構圖解，以及不同層級網路環境的效能，而且，各種屬性會散置於單一的轉換快照之中。HPE Aruba Networking表示，對於大型、錯綜複雜、階層的資料而言，此種互動式圖解是公認理想的設計模型，適用各種規模的網路環境，網管人員能運用最有效率的圖表呈現形式，透過快速尋找、縮放、轉動等方式進行導覽，並且針對不同網路元件套用多個圖解層級的顯示，如同操作Google地圖，查看網路運作的組態與狀態，進一步了解網路分段、連線接取方式、健康狀態、所在位置、是否處於上線狀態、熱絡與聚集程度（heat-maps）等屬性，而且能以動態分層（dynamic layers）的方式展現這些資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-new-Sunburst4.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/New Central-Sunburst4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-Sunburst4.jpg" style="width: 298px;" /></a></p> <h4><span style="color:#FF0000;"><strong>網路時間旅行</strong></span></h4> <p>Central提供業界首創的<a href="https://www.arubanetworks.com/techdocs/new-central-staging/content/udl/udl-slct-time.htm">網路時間旅行（network time travel）檢視功能</a>，將網路的即時資料點（point-in-time）進行結合脈絡的交互關聯處理，網管人員可透過滑動操作方式，更廣泛而有效率地查看網路在不同選定時間的狀態記錄，毋須再透過麻煩、累贅的方式，也能分析事件、記錄、擷取的封包。有了這樣可延展規模的網路拓樸檢視功能，網管人員只需透過幾個滑鼠點選動作，就能快速移至網路問題發生的可能時間點，以便查看細部資訊、找到出事的位置與理解成因，進而排除障礙。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central-Net Time Travel-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-Net%20Time%20Travel-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AIOps-2024-03-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-4.jpg" style="width: 600px;" /></a></p> <p>基本上，此項功能會搭配儲存事件、狀態、組態設定、記錄、統計報告與警示的複合資料集，建立一系列快照，網管人員只需透過滑鼠移動至所要查看的期間，就像按下倒退鍵，可拼湊出資訊、判斷問題的根本原因，HPE Aruba Networking認為，這能大幅改變、重新定義網路障礙排除的做法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Time%20Travel-A.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Time%20Travel-B.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Time%20Travel-C.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Time%20Travel-D.jpg" style="width: 600px;" /></p> <p>立足於上述新功能，Central還提供新的網路營運中心（Network Operator Center，NOC）儀表板，能夠針對多個地理區域的網路，提供更快速、更詳細的監控機制與統一的洞察分析。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-NOC-web.jpg" style="width: 600px;" /></p> <p>除此之外，Central現在也原生整合使用者體驗洞察（UXI），藉此擴充數位體驗監控（DEM）功能，而由於Central可結合UXI感測器使用，也促成IT人員能夠集中監控服務等級協議的遵循程度，而且，從使用者到應用程式均可控管。</p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-7-APP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-7-APP.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-6-UXI1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-6-UXI1.jpg" style="width: 298px;" /></a></p> <h3><strong><span style="color:#0000FF;">擴充AI輔助網路營運功能，持續增加自建生成式AI模型</span></strong></h3> <p>不只是操作介面迎接巨大變革，Central另一個長期發展的特色是提供AI洞察分析（AI insights），由於客戶快速增長，這項特色促成Central提供多種新功能，像是：改良的網路設備組態設定引擎、強化的網路可觀測性（network observability），以及AI生成的網路最佳化配置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AI Insights.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AI%20Insights.jpg" style="width: 600px;" /></a></p> <p>在2023年4月，HPE Aruba Networking預告Central將具備下列三種AIOps功能。首先，針對網路設備運作狀態與個人端體驗的管理，提供智慧型的擔保指標，加速第一線的網路故障資訊分類；第二，運用AI提供整個網路軟硬技術堆疊的洞察分析，強化根本原因分析、影響評估，以及精準建議的生成；第三，針對網路初期規畫與中期部署的工作流程，在不需顧慮網路設備與連網裝置的品牌差異之下，能提供100％的API支援，實現大規模的網路組態自動設定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central-root cause analysis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-root%20cause%20analysis.jpg" style="width: 600px;" /></a></p> <p>今年3月，Central的AIOps功能擴充有新進展，因為當中整合了多個自建的生成式AI大型語言模型。之所以能產生這些機器學習模型，源於HPE Aruba Networking本身建立的資料湖，收集將近4百萬臺列管的網路設備，以及超過10億臺用戶端點設備的遙測資料，後續透過這些大數據，促成預測性分析與推薦能力；而關於AI模型的設計方式，這裡也導入創新的預先處理與安全護欄機制，以改善使用者體驗與營運作業效率，並著重搜尋回應時間、準確度與資料隱私的處理效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central-Coverage-telemetry.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-Coverage-telemetry.jpg" style="width: 600px;" /></a></p> <blockquote><p>經過長期的發展、擴充與整合，HPE Aruba Networking Central這套雲端管理平臺，可橫跨多種網路環境，涵蓋區域網路、廣域網路、有線網路、無線網路、資料中心網路，以及邊緣運算網路，能夠管理自家多種網路設備、各種應用系統連網效能、個人端連網體驗。</p> </blockquote> <p>這些大型語言模型會納入Central的AI搜尋功能，再以此補足Central既有的機器學習AI，提供更深層的洞察見解、資料分析，以及更豐富的主動處理能力。</p> <p>AI搜尋先前就已採用多種大型語言模型，使Central能夠提升對話與摘要功能的速度、精準度，以及安全性，可運用進階的自然語言處理技術，更快找到網路環境的問題答案，提供更強大的搜尋體驗，而這些特色預計4月供應全球用戶。</p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-5-AI Search1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-5-AI%20Search1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-5-AI Search4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-5-AI%20Search4.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-5-AI Search2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-5-AI%20Search2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-5-AI Search3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-5-AI%20Search3.jpg" style="width: 298px;" /></a></p> <p>等到納入HPE本身訓練與調校的大型語言模型之後，Central會執行AI搜尋的引擎更換工作，用戶操作AI搜尋時，可在維持原有外觀介面的形式上，獲得更好的精準度、回應時間，以及資料隱私保護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central-AI Search how it works.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-AI%20Search%20how%20it%20works.jpg" style="width: 600px;" /></a></p> <p>關於精準度提升，HPE Aruba Networking運用專屬已訓練與調校的大型語言模型，而且，進行模型訓練的資料規模相當龐大，可達到其他雲端平臺的10倍，當中涵蓋自家人員撰寫的數萬份文件，以及自客戶端擷取、超過3百萬個AI搜尋提問而成的可延伸式基礎資料集，能夠增進AI搜尋理解用戶輸入問題的意圖，並且答覆用戶以網路行話描述的問題，並提供預先輸入、自動補足問題敘述的功能，以及進行搜尋互動過程的圖形介面導引——可直接切換至想要操作的圖形介面項目，進而提升回應品質與用戶滿意度。</p> <p>針對如何設定或啟動特定功能的問題，Central AI搜尋所用的生成式AI功能，可針對大量查詢結果，產生類似人為摘要處理過的答案，並提供得以進行生成式輸出的基礎文件網址連結，如此可大幅節省網管人員尋找文件答案的時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-4.jpg" style="width: 600px;" /></p> <blockquote><p>關於AI與網路應用之間的關係，可分為Networking for AI、AI for Networking，後者是HPE Aruba Networking這幾年持續發展的主題，產品技術長David Hughes表示，先前他們已持續投入AI分類的技術應用，如Client Insights，近期也積極運用生成式AI，強化AI搜尋的自然語言處理能力。</p> </blockquote> <p>至於安全與隱私保護，HPE Aruba Networking建置多個就地進行AI訓練與本身管理的大型語言模型，強化生成式AI的理解與內容提供品質之餘，由於能透過他們設置與管理的資料湖而不需經由外部API查詢，能降低相關的資料外洩風險；更特別的是，他們在此也設計出專屬語言模型，可用於判斷存取的個人識別資料（PII）與企業識別資料（CII），能協助Central的AI搜尋，更清楚理解用戶輸入的個人端裝置與站點名稱查詢，提供更精準的答案，而且能在1秒之內回覆網路營運相關問題，對於他們進行AI訓練的資料湖，能夠混淆、移除當中的識別資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AI Serach before after.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AI%20Serach%20before%20after.png" style="width: 600px;" /></a></p> <p>而在6月舉行的Atmosphere '24期間，HPE Aruba Networking表示，AI insights數量擴增至3倍，資料湖的遙測對象涵蓋超過16億個用戶端點，以及460萬臺網路列管設備。基於這樣的規模，添加更多模型，以便預測特定組態變更後的效能提升，模擬啟用資安功能之後面臨的風險，調校網路運作效率而能省下電力，並且推薦更適合使用的資安政策。</p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-2.jpg" style="width: 600px;" /></a></p> <blockquote><p>HPE Aruba Networking設置專屬資料湖，匯集的資料規模相當龐大，產品技術長David Hughes在6月的Atmosphere '24大會期間表示，他們的遙測資料，涵蓋超過10億臺用戶端點、四百多萬網路設備、數萬名用戶、三十多種垂直產業，以此訓練、執行AI模型，挖掘洞察分析、標示異常活動，協助更快解決問題。</p> </blockquote> <h3><a href="https://s4.itho.me/sites/default/files/images/Central Network Optimization-AI0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Network%20Optimization-AI0.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central Network Optimization-AI1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Network%20Optimization-AI1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central Network Optimization-AI2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Network%20Optimization-AI2.jpg" style="width: 198px;" /></a></h3> <h3><span style="color:#0000FF;"><strong>新增資安層面的可觀測性呈現與監控功能</strong></span></h3> <p>因為邊緣運算與AI應用的拓展，以及開放員工自帶手機、筆電（BYOD）、工作現場或廠區的業務應用設備，企業網路環境可能存在大量非列管的物聯網裝置，以及IT與OT連網設備，對於HPE Aruba Networking而言，Central支援ClearPass Device Insight，透過這樣的選用功能，提供進階的裝置探查（Device Discovery）、進階的裝置分類（Device Classification）、裝置監控（Device Monitoring）。</p> <p>在今年5月初舉行的2024 RSA資安大會期間，HPE Aruba Networking宣布Central新增AI驅動的物聯網探查與分類功能，能夠透過提供強化的連網裝置能見度與身分識別，以及持續監控不常見或非法的行為，而能呈現物聯網資安風險。</p> <p>而且，Central搭配基於Central的Client Insights服務而成的AI組態剖析（AI-powered profiling），本身可運用多個機器學習模型，分析動態裝置的屬性——涵蓋流量模式，以及連線狀態、網路常駐（network residency）等行為特徵，以便精準分類、辨識這些裝置屬於物聯網設備或傳統設備。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central Client Insights AI Model.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Client%20Insights%20AI%20Model.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Central Client Profiling-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Client%20Profiling-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central Client Profiling-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Client%20Profiling-2.jpg" style="width: 298px;" /></a></p> <p>此外，Central本身的AIOps功能，先前就能用來建立自動化的網路活動基準，以便進行障礙排除與矯正作業，如今Central可運用AI將上述機制延伸到個別連網裝置，能促成更精準、自動的數位指紋採集與分析，以此支援零信任資安，並且可運用行為基準（behavior baselines）的作法，標示已遭駭與受到攻擊等異常部分。</p> <p>Centra的AI組態剖析也加入其他改善資安的AI功能，例如運用AIOps與機器學習模型，能在Wi-Fi基地臺持續一段期間都處於低度活動狀態，而令其休眠，可藉此免除惡意活動潛入的機會、縮小攻擊面。</p> <p>時隔3個月後，HPE Aruba Networking宣布Central擴增新的資安功能：基於行為分析而成的網路偵測與應變（behavioral analytics-based NDR）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central-NDR-2024-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-NDR-2024-06-1.jpg" style="width: 600px;" /></a></p> <p>這項NDR同樣運用HPE Aruba Networking本身維護與管理的資料湖，進行AI模型的訓練與部署，可針對支援關鍵業務應用流程、卻具有資安弱點的物聯網設備，進行異常活動的監控與偵測。隨著物聯網在企業環境扮演的角色日益吃重，例如，能提供更多資料進行AI訓練與建構生成式AI模型，企業對於網路流量模式、連線狀態、動態裝置屬性變化的偵測需求，也日益急迫，因為透過這些資訊的彙整分析，可協助用戶察覺物聯網設備是否已遭到入侵。</p> <p>透過AI驅動的行為分析，Central的NDR能突顯整個網路存在的不尋常活動，以及潛藏的資安威脅，它會細心監督流量模式與裝置屬性的異動，提供即時的深入分析，以便及早發現資料外洩行為，也會偵測異常狀況、提出明智的政策設定建議，以強化網路主動防禦能力，適應日趨複雜的數位環境，而且，能整合既有設定、無需為此建置額外的硬體設備。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central Optimization recommendation1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Optimization%20recommendation1.jpg" style="width: 600px;" /></a></p> <p> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>HPE Aruba Networking Central</strong></span><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●解決方案供應型態：SaaS雲端服務、on‑premises企業自建自管、VPC虛擬私有雲、NaaS網路即服務、代管服務模式<br /> ●支援網路設備：Wi-Fi基地臺Instant AP系列、AOS-S交換器系列、AOS-CX交換器系列、閘道系列（SD-WAN、WLAN/VPN）<br /> ●管理單位：群組、站點、標籤<br /> ●控管功能：統計報表、狀態監控、事件與警示通知、組態設定、AI深層洞察分析</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/10/16 18:23作者李宗翰https://www.ithome.com.tw/review/165335
美國防部10月15日公布CMMC 2.0版，12月16日開始分階段實施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國的國防工業基地（Defense Industrial Base，DIB）業者，國防部（DoD）區分為一線供應商（承包商）和二線供應商（分包商），這些業者若面臨處理、傳輸和儲存與聯邦合約資訊（Federal Contract Information，FCI）以及受控未分類資訊（Controlled unclassified information，CUI），都需要依據保護相關資料所面臨的網路安全風險，取得「網路安全成熟度模型認證（Cybersecurity Maturity Model Certification）」，簡稱CMMC。</p> <p>經過長期的研擬，10月15日這天，美國國防部將CMMC 2.0最終版（Final Rule）公布在聯邦公報（Federal Register），六十天後（12月16日）正式生效；此次CMMC 2.0版將原先1.0版的五個等級認證，簡化成為三個等級，以三年、四個階段實施三個等級的認證，預計2027年12月16日全面納入國防採購合約。</p> <p>CMMC 2.0版認證的主要目的，就是要評估美國國防部相關承包商與供應鏈業者的網路安全防護能力，而2.0版的修訂，不只是希望確保承包商能夠遵循最佳實務做法，以保護網路上的敏感資訊，同時也使中小型業者（SMB）更容易遵守這些規範。</p> <h2><strong>規範國防承包商保護FCI和CUI的網路安全措施</strong></h2> <p>CMMC 計劃源自於美國國防部長期以來為保護國防工業基地的數據安全所做的努力。在該項計畫啟動之前，許多國防承包商依賴於自我聲明（self-attestation）的方式，確認其網絡安全措施是否符合 NIST SP 800-171 的要求。然而，隨著網絡威脅的不斷增長，這種方式存在許多不足之處，導致 DoD無法全面掌握承包商是否真正落實所需的安全控制。為了提高透明度與安全性，國防部 2019 年正式宣布 CMMC計畫，旨在通過第三方評估認證制度，加強對承包商網絡安全狀況的監管。</p> <p>推動CMMC的目的是驗證國防承包商，是否遵守針對聯邦合約資訊（FCI）和受控未分類資訊（CUI）的現有保護措施，並在與網路安全威脅（包括APT威脅）風險相稱的級別保護該資訊。</p> <p>CMMC 2.0版將評估等級，從原先1.0版的五個減少到三個，簡化中小企業取得認證的流程。該版也明定三個等級的認證內容，必須符合聯邦採購條例第52.204-21部分（Federal Acquisition Regulation part 52.204-21）以及美國NIST SP 800-171第2版和SP 800-172對網路安全的要求，更明確指出CMMC第三級認證必須遵守的24項NIST SP 800-172的要求。</p> <p>《聯邦法規彙編》（Code of Federal Regulations）的第32篇（32 CFR）規範美國國防部政策、管理和行政職能，CMMC相關規範就屬於32 CFR的一部分，針對處理聯邦合約資訊和受控未分類資訊的國防承包商，提供明確的網路安全規範，確保國防工業基地（DIB）的資訊安全。</p> <p>聯邦合約資訊是指由美國政府提供，或由承包商在履行合約時所生成的未公開信息，不屬於受控未分類資訊，但仍需基本保護，而處理FCI的國防承包商需達到CMMC第1級認證的要求。</p> <p>至於受控未分類資訊，則是需要根據法律、政策或合約進行特別保護的敏感訊息，包括國防技術與數據、個人身分資料（PII）等，處理這類資訊的國防承包商，需達到CMMC第2級或CMMC第3級認證的要求。</p> <h2><strong>CMMC 2.0版的三個認證等級和實施時間</strong></h2> <p>CMMC源自美國總統歐巴馬2010年11月4日簽署行政命令13556，該命令要求建立統一的計畫管理受控非分類資訊，希望針對政府內部管理未分類但需要保護的資訊，卻面臨不同保護標準的問題，提出解決之道。</p> <p>美國國防部（DoD）2019年宣布開始發展CMMC，希望為美國國防工業基地建立更為嚴格的網路安全框架，因應日益複雜的網路威脅；而之所以提出CMMC，目標就是取代過往自我驗證的安全模式，以強化網路安全要求。</p> <p>在2020年9月29日，美國國防部在聯邦公報（Federal Register）發布CMMC 1.0版的臨時最終規則（final rule），確立CMMC 1.0的基本框架，不僅定義了逐步實施CMMC的初步計畫，美國國防部也開始進行五年的分階段實施計畫。</p> <p>CMMC 1.0版於2020年11月30日正式生效，意味著五年分階段實施計畫開始執行，美國國防部也要求國防產業承包商，必須取得CMMC相關認證以履行合約。</p> <p>在2021年11月，美國國防部針對來自業界和大眾意見，發布CMMC 2.0版修正草案，將CMMC認證層級從原先的五個層級減至三個，目的在於簡化承包商的合規過程，並確保有效的網路安全措施得以實施。</p> <p>直到今年10月15日，CMMC 2.0最終版（final rule）才公布在聯邦公報（Federal Register），並於六十天後（今年12月16日）正式生效；另外，在三年內，也將分成四個階段實施CMMC認證。</p> <p>而國防工業基地（DIB）相關的企業也應採取相關行動，評估其對現有資安要求的遵守情況，以及是否準備好遵守CMMC評估。另外，國防工業基地的成員也能用雲服務的產品，滿足網路安全要求，這些都必須作為CMMC要求的一部分進行評估。</p> <p>CMMC對國防供應鏈管理有直接的影響，根據這當中的要求，主要承包商必須確保其供應鏈中的所有分包商，同樣符合相應等級的安全要求。這意味著，任何與FCI或CUI有關的資料數據，只要流通到供應鏈的任何一個環節，該環節的承包商都需達到相應的CMMC認證標準。</p> <h3><span style="color:#0000CD;"><strong>第一階段：CMMC第1級認證─—自我評估</strong></span></h3> <p>CMMC第1級認證要求就是要做到「基本網路安全防護」，自2024年12月16日開始實施，主要適用對象是：針對處理聯邦合約資訊的承包商，必須符合《聯邦採購條例》（FAR）52.204-21的15項安全控制措施，而這些主要是保護非敏感信息的基本措施。</p> <p>至於評估方式，主要是相關的承包商要做自我評估（Self-Assessment），每年更新一次，將自評結果記錄在供應商績效風險系統（SPRS）。</p> <h3><span style="color:#0000CD;"><strong>第二階段：CMMC第2級認證──自我評估及第三方評估機構（C3PAO）評估</strong></span></h3> <p>CMMC第2級認證要求就是要做到「中等網路安全防護」，自2025年12月16日開始實施，主要適用對象是：針對處理受控未分類資訊的承包商，必須在FAR規定的基礎上，做到符合NIST SP 800-171第2版中所規定的110項安全措施，這些安全措施對CUI的保護，要求比CMMC第1級認證更嚴格，適用於更敏感的信息，需要更高級別安全防護的承包商。</p> <p>至於評估方式有兩種，第一種是承包商可以選擇自我評估（Self-Assessment），要求承包商定期進行完整的網路安全檢查，確認其組織已經實施並符合NIST SP 800-171第2版的110項網路安全要求，這些要求涵蓋了資料保護、存取控制、以及系統安全等範疇，適用於處理CUI的環境。</p> <p>這個自我評估必須每三年進行一次完整的自我評估，並確認其符合所有要求，這些自我評估的結果都需要記錄在供應商績效風險系統（SPRS）中；在三年內都必須保持合規的同時，承包商還需每年進行一次自我確認（Annual Affirmation）來確認其安全狀況沒有改變。</p> <p>如果承包商在評估過程中未能完全符合安全要求，承包商會暫時獲得「有條件」的認證資格，但必須制定行動計畫與里程碑（POA&M），在180天內完成所有剩餘的安全要求，否則其資格將失效。</p> <p>第二種評估方式就是，聘請第三方評估機構（C3PAO）針對處理受控非分類資訊（CUI）承包商進行評估，同樣必須做到NIST SP 800-171第2版的110項網路安全要求，而第三方評估機構也會針對承包商的系統、政策和實施過程進行檢測和驗證。</p> <p>第三方評估的結果也會記錄在，國防部用來記錄和管理承包商的網路安全狀態的CMMC eMASS（Enterprise Mission Assurance Support Service）專用系統中，認證完成後，也必須要將結果提交到供應商績效風險系統（SPRS），以確認美國國防部可以追蹤承包商的網路安全評估結果以及合規狀態。</p> <p>第三方評估機構（C3PAO）也會將評估的結果提供給承包商，合格的承包商也會獲得認證，認證有效期限為三年。倘若接受檢測的承包商有任何安全要求尚未達標，承包商可以制定行動計畫與里程碑（POA&M），來完成剩餘的、尚未達標的安全要求，但這些計畫必須在180天內完成並進行改善，否則其資格將失效。</p> <p>至於，CMMC第2級認證中，自我評估及第三方評估機構（C3PAO）評估的差異，主要在於評估方式的嚴謹性。</p> <h3><span style="color:#0000CD;"><strong>第三階段：CMMC第3級認證─由政府單位DIBCAC主導的評估</strong></span></h3> <p>CMMC第3級認證就是要做到「高級網路安全防護」，自2026年12月16日開始實施，這一階段需要更加嚴格的網路安全控制措施和第三方評估。</p> <p>主要適用對象是：處理高度敏感受控非分類資訊（CUI），或涉及與國防相關的承包商，在CMMC第2級認證的基礎上，做到符合NIST SP 800-171的110項安全措施外，還需額外增加NIST SP 800-172中的24項加強安全要求的措施。</p> <p>主要是針對需要高度安全的系統，尤其是涉及國家安全的關鍵技術或數據，會由國防部國防合約管理局（DCMA）網路安全評估中心（DIBCAC）主導CMMC第3級認證的評估。</p> <p>這是一個由政府主導的評估認證，評估的結果也會記錄在，國防部用來記錄和管理承包商的網路安全狀態的CMMC eMASS（Enterprise Mission Assurance Support Service）專用系統，不僅每三年需更新一次評估結果，也需要將結果提交供應商績效風險系統（SPRS）。</p> <h3><span style="color:#0000CD;"><strong>第四階段：CMMC將全面納入國防採購合約</strong></span></h3> <p>自2027年12月16日起，所有國防部相關合約將全面納入CMMC認證規範，所有涉及聯邦合約資訊（FCI）或受控非分類資訊（CUI）的合約，都必須達到指定的CMMC認證層級，並且符合合約中所有的網路安全控制措施，才能夠參與合約的競標和履行。</p> <p>CMMC的要求將從2024年12月16日起，逐步被納入國防部的合約，逐步擴展到更多國防部的合約中，特別是涉及更高敏感度數據（CUI）的合約。到2027年達到全面覆蓋。</p> <p>分階段實施CMMC認證，就是希望逐步加強對國防承包商的網路安全要求，提供足夠的時間，讓國防承包商可以達到所需的安全標準，並完成相關的安全控制措施。</p> <p>推動CMMC帶來的優勢，包括：保護敏感資訊以支援和保護作戰人員；實施國防工業基地（DIB）網路安全標準，以應對不斷變化的網路威脅；確保問責制，同時最大限度地減少遵守美國國防部（DoD）要求的障礙；延續網路安全和網路彈性的協作文化；通過高專業和道德標準，維護公眾信任，</p> <p>另外，國防工業基地（DIB）的成員，也可以使用雲服務產品滿足網路安全要求，這些要求，必須作為CMMC認證要求的一部分進行評估。</p> <p>美國國防部的後續國防聯邦採購法規補充（Defense Federal Acquisition Regulation Supplement，DFARS）規則變更，將於2025年初至中期發布，並以合約方式實施CMMC計畫；一旦DFARS規則生效，國防部便會在招標和合約納入CMMC要求，作為簽訂合約的條件，相關需要處理、儲存或傳輸聯邦合約資訊或受控未分類資訊的承包商，都必須取得相對應的CMMC認證級別。</p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/10/16 17:51作者黃彥棻https://www.ithome.com.tw/news/165527
企業協作平臺Team+存在重大漏洞，攻擊者有機會進行未經授權存取、操縱檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週臺灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安公告，指出互動資通旗下的企業協作平臺Team+存在3項漏洞<a href="https://www.twcert.org.tw/tw/cp-132-8124-d9b92-1.html">CVE-2024-9921</a>、<a href="https://www.twcert.org.tw/tw/cp-132-8126-5d9d2-1.html">CVE-2024-9922</a>、<a href="https://www.twcert.org.tw/tw/cp-132-8128-772aa-1.html">CVE-2024-9923</a>，影響13.5.x版Team+，呼籲使用者要升級至14.0.0版緩解相關資安風險。</p> <p>根據CVSS風險評分，最嚴重的是SQL注入漏洞CVE-2024-9921，起因是此協作平臺尚未妥善驗證特定網頁參數，導致未經身分驗證的攻擊者有機會遠端注入任意SQL指令，從而讀取、修改、刪除資料庫內容，CVSS風險評為9.8分。</p> <p>其餘2個漏洞CVE-2024-9922、CVE-2024-9923，皆為路徑穿越漏洞，當中危險程度較高的是CVE-2024-9922，攻擊者可在未通過身分驗證的情況下，用來讀取任意檔案，CVSS風險評為7.5；另一個漏洞CVE-2024-9923，則能用來搬移檔案，攻擊者必須事先得到管理員權限，才能遠端將任意檔案移動到網站根目錄並進行存取，CVSS評分為4.9。</p> <p>我們也向互動資通進行確認，該公司表示在發現後已儘速完成修復，並於2個月前提供新版程式給客戶使用。</p> </div></div></div>
2024/10/16 18:03作者周峻佑https://www.ithome.com.tw/news/165528
工業用路由器存在重大漏洞，臺廠Moxa發布新版韌體修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月14日臺灣工控設備製造商四零四科技（Moxa）發布資安公告，指出旗下部分行動通訊路由器、安全路由器、網路設備<a href="https://www.moxa.com/en/support/product-support/security-advisory/mpsa-241154-missing-authentication-and-os-command-injection-vulnerabilities-in-routers-and-network-security-appliances">存在高風險漏洞CVE-2024-9137、CVE-2024-9139</a>，並指出這些漏洞有可能導致未經授權存取或是系統損壞的情況，呼籲用戶應儘速套用新版韌體因應。</p> <p>根據CVSS風險評分的高低，較為嚴重的是評為重大層級的CVE-2024-9137，該公司特別提及，這項漏洞攻擊者能在未經身分驗證的情況下，遠端觸發。此弱點發生的原因在於，設備在透過Moxa服務向伺服器發送命令的過程中，未實施身分驗證程序，而能允許攻擊者執行特定命令，並進行未經授權的上傳、下載組態檔案，或是造成系統受損，3.1版CVSS風險評為9.4分（4.0版為8.8分）。</p> <p>另一個漏洞CVE-2024-9139也相當危險，攻擊者利用未適當限制執行方式的指令，藉由作業系統命令注入手法發動攻擊，而有機會執行任意程式碼，3.1版CVSS對此漏洞的風險評為7.2分（4.0版為8.6分）。</p> <p>而對於這些漏洞的影響範圍，包括資安路由器EDR-8010、EDR-G9004、EDR-G9010、NAT-102系列，以及無線寬頻通訊路由器OnCell G4302-LTE4、軌道車輛路由器TN-4900系列機種。對於無法即時套用新版韌體的企業組織，Moxa也列出緩解建議，包括減少裝置曝露於網際網路、透過防火牆限制存取，以及採用入侵偵測系統（IDS）、入侵防禦系統（IPS）來偵測及防範漏洞利用的情況。我們也向Moxa進一步確認此事，該公司表示，尚未接到客戶反映出現重大影響的情況。</p> </div></div></div>
2024/10/16 15:42作者周峻佑https://www.ithome.com.tw/news/165523
解決傳統AR裝置暈眩痛點，臺大團隊打造光場擴增實境顯示技術應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺大團隊在國科會計畫支持下，今（10月16日）展示成功挑戰技術難題、自行研發的光場擴增實境（AR）顯示技術，能解決人眼視覺輻輳調節衝突（VAC）問題。也就是說，有了這個技術，使用者配戴AR裝置時，就不會再感到暈眩或缺乏深度感知了。這項技術適合高精度醫學應用，團隊也與醫療團隊聯手，找出可行的應用場景，像是胃部影像3D重建、AR導引微創介入手術，可解決傳統醫學影像受限於平面視角、缺乏深度訊息的問題，進而提高醫學訓練效率、優化病情診斷和治療。</p> <p><strong style="font-size: 22px;">比起傳統AR技術，光場顯示技術可解決眼睛對焦問題</strong></p> <p>進一步來說，該技術由臺大電信工程學研究所教授陳宏銘聯手臺大醫院院長吳明賢團隊和臺大衍生新創公司兆輝光電共同開發，整合了光學元件設計、光場顯示校正與優化技術、光場醫學影像生成和用戶介面設計等技術。</p> <p>與傳統的AR顯示技術相比，光場顯示技術有多種優勢，特別是解決傳統AR裝置，常見的暈眩和眼睛疲勞問題。</p> <p>這是因為，傳統AR裝置的呈現方式，會讓使用者無法同步調整眼睛焦距和視線，導致暈眩和疲勞。但，光場顯示技術可將場景中的光線投射至眼睛，就像在觀看實物一樣，能自由調整焦距來看清立體物體，大幅提高舒適度和真實感。</p> <p>也因為這個特性，光場顯示器能再現物體的細微深度差異，提供更精確的三維感知。這個優點在醫學應用中，特別重要。例如，在AR微創手術中，光場顯示技術能精準呈現器官、重要血管和神經的位置，作為清晰的視覺指引，來幫助醫生進行更精確的操作和決策。</p> <p>雖然光場顯示技術有諸多優點，但因各種挑戰，光場近眼顯示器仍很少見。臺大團隊則克服了這些挑戰，靠臺灣自有的半導體製造和電子加工技術，來自主生產超高解析度微型發光二極體（Micro LED）顯示器，成為高品質光場近眼顯示器的關鍵元件。</p> <p>此外，他們也仰賴臺灣在光學元件設計和製造方面的優勢，有效降低開發成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-10-16%20140422.png" /></p> <p><span style="font-size:22px;"><strong>聯手臨床團隊，探索光場顯示技術應用領域</strong></span></p> <p>與此同時，研發團隊也與臨床醫師合作，找出可行的應用領域。其一就是透過三維重建和注視技術，來將原本平面的胃鏡影像，重建為三維立體的胃部模型；再加上目光追蹤技術，能更還原當初醫師判讀過程的凝視順序。</p> <p>這個應用不只能用於精準定位病灶、供外科醫師手術參考，還能還原資深醫師判讀的目光路徑，來輔助年輕醫師找到問題、提高學習效率。</p> <p>臺大團隊也表示，AR導引微創手術系統是目前醫療市場熱門的應用領域，他們研發的自動對位技術，可應用來將器官的數位雙生（Digital twins）與真實人體對齊。意思是，在未來，醫師不必在手術中使用輻射線醫學影像，就能透視人體、精準定位器官位置。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-10-16%20140613.png" /></p> <p></p> </div></div></div>
2024/10/16 14:19作者王若樸https://www.ithome.com.tw/news/165520
奧丁丁雲端儲存庫配置不當，近7萬臺灣旅客訂房資料曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安新聞<a href="https://cybernews.com/security/taiwan-visitors-exposed-in-massive-data-leak-owlting/" target="_blank">Cybernews報導</a>，臺灣區塊鏈旅宿平臺業者奧丁丁（OwlTing）雲端儲存庫配置不當未做好防護，導致約7萬訂房旅客包含姓名、住家地址曝露在公開網際網路上。</p> <p>Cybernews是在今年7月底進行例行性調查時，發現一個內含大量檔案的Amazon S3儲存桶（bucket）因配置不當而曝露在網際網路上。經過研究，這個資料儲存桶屬於旅宿業訂房及內部管理系統供應商奧丁丁。</p> <p>奧丁丁提供以太坊區塊鏈為架構開發的旅宿業訂房及內部管理系統，除了臺灣總部外，並在美國、日本、泰國、馬來西亞、香港、新加坡設有分公司。它的<a href="https://www.owlting.com/owlnest/?l=tw" target="_blank">旅宿管理系統</a>可串接第三方訂房平臺，包括Bookings，<a href="https://smartcityonline.org.tw/scheme.php?id=57" target="_blank">早期還有</a>Expedia、Hotels.com、Agoda等。</p> <p>根據Cybernews團隊的研究，公開的儲存桶中內有超過16.8萬份CSV及XLSX格式文件，內容則是超過7.7萬名客戶的個資，包括全名、電話號碼和部份約（約3,000名）消費者的電子郵件，以及飯店訂房資訊如訂房日期、房號、房型、入住和退房、支付金額、幣別及預約服務等。外洩的個資如電子郵件或電話號碼可能被用於垃圾郵件、詐騙郵件、詐騙電話或釣魚簡訊等攻擊。</p> <p>Cybernews分析顯示，電話號碼曝光的消費者有92%為臺灣人，其他則來自日本、南韓、香港、新加坡、馬來西亞、泰國等，另外還有數百名歐洲消費者資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Owlnest-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cybernews</span></span></p> <p>奧丁丁證實此事，且迅速修正問題。該公司回應媒體，沒有任何敏感資訊因此洩露。</p> <p>AWS S3等雲端儲存庫配置不當讓資料曝險事件屢見不鮮，大從<a href="https://www.ithome.com.tw/news/118756" target="_blank">美國國防部</a>、<a href="https://www.ithome.com.tw/news/114996" target="_blank">美國共和黨</a>、<a href="https://www.ithome.com.tw/news/129798" target="_blank">Meta</a>都曾發生過。由於這類管理疏失太多，引來網路駭客的注意，研究人員<a href="https://www.ithome.com.tw/news/131816" target="_blank">發現</a>，一個駭客組織發展出在未上鎖的Amazon S3上植入惡意程式的攻擊手法。</p> </div></div></div>
2024/10/16 14:24作者林妍溱https://www.ithome.com.tw/news/165514
Google著手部署Android 15，私人空間上陣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周二（10/15）<a href="https://blog.google/products/android/android-15/" target="_blank">宣布</a>，已開始向Pixel裝置部署Android 15。新一代的平臺強化了防盜保護，並允許使用者建立私人空間（Private Space），以作為數位保險箱。</p> <p>Google平均每年更新一次主要的Android版本，並根據技術的演進添增新功能，例如近來即開始利用AI來強化Android的<a href="https://www.ithome.com.tw/news/165357" target="_blank">防盜功能</a>，包括Theft Detection Lock及Remote Lock等，並適用於大多數Android 10以上的裝置。</p> <p>至於Android 15上則有額外的防盜功能，會針對某些設定添增身分驗證要求，例如要移除SIM卡或是關閉Find My Device功能時，也會在偵測到多次變更程式與設定的失敗後直接鎖住裝置。</p> <p>Android 15還有一個類似數位保險箱的私人空間功能。使用者可建立一個私人空間來存放各種敏感程式，例如社交程式、約會程式或金融程式等，當該空間被鎖住時，不管是從程式清單、檢視最近應用程式，或是從通知及設定中，都看不到置放於該空間中的程式。要存取私人空間必須進行額外的身分驗證，使用者還能選擇於手機上隱藏私人空間的存在。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Android%2015_Private%20space.png" style="width: 520px;" /></p> <p>此外，Android 15也改善了平板與摺疊裝置的工作能力，例如讓這些裝置可更容易固定及取消工作列（Taskbar），也能客製化工作列，放上常用的程式以提高工作效率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Android%2015_%20pin%20taskbar%20on%20the%20screen.png" style="width: 600px;" /></p> <p>其它功能還包括允許電信營運商的傳訊程式可在缺乏行動或Wi-Fi網路時，透過衛星來傳訊；強化對通行密鑰（Passkey）的支援，對於那些採用Passkeys功能進行身分驗證的程式，只要點擊一下就能登入。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2024/10/16 15:14作者陳曉莉https://www.ithome.com.tw/news/165521
英特爾與AMD攜手推動x86架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）與AMD周二（10/15）<a href="https://www.amd.com/en/newsroom/press-releases/2024-10-15-intel-and-amd-form-x86-ecosystem-advisory-group-to-accelerate.html" target="_blank">攜手成立</a>x86生態系統諮詢小組（x86 ecosystem advisory group），兩大處理器競爭對手將共同維持x86架構產業的穩定，推動架構的互通性，簡化軟體開發，以因應未來的處理器需求。</p> <p>x86架構是英特爾於1978年推出的處理器指令集架構，而英特爾與AMD所開發的處理器都使用該架構，目前x86不論是在個人電腦、伺服器或高效能運算領域都屬於主流架構，只是日益面臨各種挑戰，像是動態的AI任務，客製化晶片，3D封裝與系統架構的進步，以及Arm架構的入侵。</p> <p>除了英特爾與AMD之外，該小組的成員還包括Linux之父Linus Torvalds，Epic Games創辦人暨執行長Tim Sweeney，以及博通（Broadcom）、Dell、Google、HPE、HP、聯想、Meta、微軟、甲骨文及紅帽。</p> <p>英特爾執行長 Pat Gelsinger指出，人們正處於x86架構與其生態系統數十年來最大的轉折點，需要更高階的客製化、相容性及可擴充性，以滿足現在與未來的客戶需求。AMD執行長蘇姿丰則說，此一小組將確保x86繼續發展成為開發人員及客戶首選的運算平臺。</p> <p>博通執行長Hock Tan也認為人們正處於運算歷史的十字路口，如今的x86架構決策將會影響未來數十年的程式設計模型、框架與及系統。</p> <p>因此，此一x86生態系統諮詢小組將聯合產業的領導者，透過一套更統一的指令與架構介面來形塑x86的未來，並推動開發人員的創新。計畫強化x86產品之間的相容性、可預測性與一致性，因此，將向x86硬體與軟體社群徵詢基本功能與特色的技術意見，共同打造一致的x86架構功能與程式設計模型，並將它們擴展到所有領域，涵蓋資料中心、雲端、客戶端、邊緣及嵌入式裝置等。</p> <p>目標是強化軟體及硬體之間的相容性，並加速客戶自新功能中受益的能力；簡化架構指南以提升軟體的一致性，並標準化英特爾與AMD之x86產品的介面；讓新功能得以更廣泛也更有效率地整合到作業系統、框架及應用程式中。</p> </div></div></div>
2024/10/16 14:00作者陳曉莉https://www.ithome.com.tw/news/165517
蘋果發表新一代iPad mini
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周二（10/15）<a href="https://www.apple.com/newsroom/2024/10/apple-introduces-powerful-new-ipad-mini-built-for-apple-intelligence/" target="_blank">發表了新一代的iPad mini</a>，它採用與iPhone 15 Pro一致的A17 Pro晶片，並支援生成式AI服務Apple Intelligence。這是蘋果的第7代iPad mini，上一次更新是在2021年。</p> <p>iPad mini 7採用8.3吋的Liquid Retina螢幕，搭載iPadOS 18作業系統。全新A17 Pro處理器帶來更強大的CPU與GPU，並具備比iPad mini 6快兩倍的Neural Engine，後置相機支援1,200萬畫素與Smart HDR 4，Camera程式也以機器學習技術來偵測及掃描文件。</p> <p>A17 Pro是在去年隨著iPhone 15 Pro系列的手機問世，它配備一個6核心的CPU，以及一個5核心的GPU，相較於iPad mini 6，iPad mini 7的CPU性能提升了30%，GPU性能則增加25%。</p> <p>整合到iPadOS 18的Apple Intelligence則提供了寫作功能Writing Tools（下圖），能理解脈絡、更聰明的Siri，以及更方便的Memories功能與照片編輯工具，未來也將內建ChatGPT。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-new%20iPad%20mini%20built%20for%20Apple%20Intelligence-PNG.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>iPad mini最低售價為499美元（新臺幣16,900元），提供128GB儲存空間，是上一代最低階的2倍，有藍色、紫色、星光色與深空灰等4種顏色，已於包括臺灣在內的29個國家開放預購，預計於10月23日出貨。另有449美元的教育版價格。</p> </div></div></div>
2024/10/16 14:06作者陳曉莉https://www.ithome.com.tw/news/165518
逾8萬臺Fortinet設備曝露於今年2月公告的RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月9日<a href="https://www.ithome.com.tw/news/165432">美國網路安全暨基礎設施安全局（CISA）提出警告</a>，今年2月Fortinet修補的重大漏洞CVE-2024-23113已出現實際攻擊行動，要求聯邦機構限期修補，這樣的情況<a href="https://www.fortiguard.com/psirt/FG-IR-24-029">Fortinet也在11日證實</a>，他們得知有外部調查發現漏洞遭到利用的情況。然而，如今有資安研究機構提出警告，仍有不少設備尚未套用更新而曝險。</p> <p>Shadowserver基金會指出，他們在10月12日<a href="https://x.com/Shadowserver/status/1845478432479846737">發現有87,390個IP位址的Fortinet設備疑似曝露於該漏洞風險</a>，其中數量最多的是美國，約有1.4萬臺，日本、印度居次，分別約有5,100、4,800臺。我們查詢該基金會14日偵測到的資料，臺灣有3,823臺設備曝險。</p> <p>由於這項漏洞影響範圍涉及Fortinet多項解決方案，涵蓋網路防火牆作業系統FortiOS、網頁安全閘道FortiProxy、特權存取管理系統FortiPAM、交換器集中管理平臺FortiSwitch Manager、應用程式防火牆FortiWeb，這意味著駭客可能會在不同類型的資安系統嘗試利用漏洞。</p> </div></div></div>
2024/10/16 12:41作者周峻佑https://www.ithome.com.tw/news/165516
Amazon將全面擁抱Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於<a href="https://www.ithome.com.tw/news/159335" target="_blank">去年</a>開始於電子商務服務中部署通行密鑰（Passkey）之後，Amazon周二（10/15）<a href="https://www.aboutamazon.com/news/retail/amazon-passwordless-sign-in-passkey" target="_blank">宣布</a>，迄今已有超過1.75億的用戶於他們的Amazon帳號上啟用Passkey，也計畫明年逐步於其它Amazon應用及服務推出Passkey。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，於所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務。以Passkey來登入服務既不用記住密碼，也比利用簡訊傳送一次性代碼的雙因素身分驗證來得安全。</p> <p>目前Amazon已於網頁版、iOS及Android上的購物應用，以及Audible有聲書應用中支援Passkey，其中，行動用戶一旦設定了Passkey，它就會成為登入Amazon帳號的預設選擇。根據Amazon的統計，以Passkey登入是其它方式的6倍快，隨著愈來愈多用戶體驗到無密碼登入的方便性，Passkey的採用率每天都在成長。</p> <p>Amazon電子商務資深副總裁Dave Treadwell表示，Passkey可替買家帶來易用性與安全性，儘管在可見的未來依然會存在著密碼，但Passkey卻是正確的方向，Amazon很高與成為Passkey的早期採用者。</p> <p>其實<a href="https://www.ithome.com.tw/news/156706" target="_blank">Google</a>、<a href="https://www.ithome.com.tw/news/162656" target="_blank">微軟</a>及<a href="https://support.apple.com/zh-tw/guide/iphone/iphf538ea8d0/ios" target="_blank">蘋果</a>皆已支援Passkey，專門推動可減輕對密碼依賴之各種身分驗證標準的開放聯盟FIDO Alliance，也在<a href="https://www.ithome.com.tw/news/165496" target="_blank">本周發表</a>一標準草案，打算利用憑證交換協定（Credential Exchange Protocol，CXP）與憑證交換格式（Credential Exchange Format，CXF）來推動Passkey與其它憑證的可攜能力。</p> </div></div></div>
2024/10/16 12:12作者陳曉莉https://www.ithome.com.tw/news/165515
【統一集團AI顧問現身說法】零售業應用生成式AI五大階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>距生成式AI爆紅已經兩年，零售業開始有先行者大規模應用此技術到對內及對外生產流程：二手市集巨頭eBay推出自動生成商品描述、分類和建議售價的賣家輔助工具；電商巨擘Amazon上線了串接電商平臺各種功能及數據的買家與賣家對話式助理；零售龍頭Walmart利用生成式AI建立及完善上億款商品的目錄數據，用媲美100倍人力的生產力，處理了8.5億筆資料作業。</p> <p>其他零售業者如何向這些領頭羊學習？高雄科技大學行銷與流通管理系副教授歐宗殷綜合自身經驗及國內外企業案例，歸納出零售業應用生成式AI的5大階段，「在一個階段做紮實了，才容易發展下個階段。」他說。歐宗殷曾借調到統一資訊擔任總經理，之後仍持續擔任顧問，協助統一集團發展數據、AI及生成式AI的應用。</p> <p>這5大階段，依序是加速開發、分析消費紀錄及產品資訊等數據、建置企業綜合知識庫及知識管理工具、設計和影音等內容創作，以及顧客服務、行銷與推薦。每個階段都可以產生4類價值，包括提高生成內容精準度、帶來實質效益、業務模式創新，和體驗優化。越後期的階段，這4種價值的含量越高，與顧客互動程度也越高。</p> <p><span style="color:#B22222;"><strong>第一階段是加速企業開發</strong></span>，例如自動生成程式碼、偵錯程式碼、產生程式碼說明文件等。eBay甚至利用生成式AI來找出程式碼重複，並根據eBay內部不同服務的耦合及依賴性，來協助工程團隊更新開發框架及函式庫。</p> <p><span style="color:#B22222;"><strong>第二階段是分析消費紀錄及產品資訊等數據</strong></span>。這個階段，企業將生成式AI用來蒐集和分析零售業最大宗的兩類數據──顧客與商品。自動貼標商品與顧客屬性、消費模式洞察、梳理及豐富數據等，都屬於此階段。Walmart就用生成式AI豐富了8.5億筆數據，若在相同時間只使用人力，需要近百倍人頭數。</p> <p><span style="color:#B22222;"><strong>第三階段是企業知識庫及KM工具建置</strong></span>。此階段，企業不只用生成式AI處理消費及產品數據，還包括內部技術文件、員工訓練文件、最佳實踐政策、甚至程式碼等數據。並且，還會用生成式AI打造一個可以輕鬆存取這些數據的介面。美國大型連鎖超市Target就在近2,000間分店上線了店員生成式AI助理，可以根據自然語言對話內容，來快速提取Target內部文件，回覆約40萬名店員的門市營運相關問題，例如會員卡申辦流程、停電時如何重啟POS機等。</p> <p><span style="color:#B22222;"><strong>第四階段則是內容創作，包括文字、語音、圖片、影片和設計生成</strong></span>。內容創作可以應用於內部文件或行銷素材生成，例如全國電子就利用生成式AI生成大量行銷用素材，希望依照顧客喜好呈現出對應素材，提供個人化體驗。甚至可以進一步結合賣家或顧客體驗，例如露天市集推出賣場美化工具，利用生成式AI支援賣場素材優化及版面配置。</p> <p><span style="color:#B22222;"><strong>第五階段則是直接應用於顧客服務、行銷與推薦</strong></span>。歐宗殷指出，此階段難度最高，因為企業必須考量到生成式AI產生幻覺等風險，如何提供顧客精準、正確的生成內容，是一大難題。Amazon就分別針對買家與賣家打造了生成式AI助理，前者能搜尋、比價、推薦產品、主動更新產品最新消息，和追蹤顧客過往清單狀態，後者則能提供個人化建議、分析賣場數據，甚至主動幫忙追查異常情況。</p> <p>企業如何進一步發展更後期階段的生成式AI應用？歐宗殷建議，可以從生成式AI應用的4大價值中，挑選自己最重視的項目來強化。例如，著重精確度，可以結合傳統預測型AI與生成式AI來打造應用，以降低生成式AI隨機性；著重實質效益，則需強化IT支出管理並制定測量實質效益的機制；著重業務模式創新和體驗優化，則可以將生成式AI技術結合到AR/VR購物、行動商務等不同購物模式及體驗。</p> <p>歐宗殷觀察，臺灣零售業主要在第三到第四階段，且有一類GAI第五階段應用開始在臺成形。「許多臺灣零售業者想發展RMN，並希望能用生成式AI來生成大量素材，準確地提供個人化購物與行銷體驗。」不過，他也坦言：「距離這個應用，臺灣零售業還有一段路要走。」</p> <p>他進一步說明，要真正善用GAI輔助RMN，首先要做好消費紀錄及產品資訊分析，才能根據這些數據來生成素材，並在實務上投入這些素材於個人化體驗。也就是說，紮實發展第二到第四階段的應用是先決條件。</p> <p>歐宗殷也分享了一個另類的生成式AI應用第五階段案例。該企業將生成式AI應用於客服，但不是直接用聊天機器人與顧客對話，而是利用生成式AI將顧客發言摘要成簡單、有條理，且不情緒化的內容，再由真人客服應答。「這樣一來，既能避免生成式AI對顧客說錯話，還能提升客服人員效率。」他評論。「透過恰當的機制設計，可以降低生成式AI產生幻覺，衝擊顧客體驗的風險。」</p> </div></div></div>
2024/10/16 09:39作者郭又華https://www.ithome.com.tw/news/165492
開源套件進入點可被攻擊者用於指令劫持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://checkmarx.com/blog/this-new-supply-chain-attack-technique-can-trojanize-all-your-cli-commands/">資安公司Checkmarx揭露新一波針對Python開源軟體生態系的攻擊</a>，攻擊者可利用軟體套件中的進入點（Entry Point）木馬化命令列工具。透過該手法，攻擊者能夠將惡意程式偽裝成常見的第三方工具或是系統命令，讓受害者無意間執行惡意程式碼，以達成攻擊開發環境和企業基礎設施的目的。</p> <p>這項新的開源供應鏈攻擊之所以值得注意，研究人員指出，其具有極高的隱蔽性和靈活性，能夠在不被察覺的情況下木馬化命令列工具，並執行惡意程式碼。由於該攻擊主要針對開發工具以及開源生態系中常見的進入點功能，讓攻擊者可以劫持開發過程中常用的指令，對開發者或是企業造成嚴重安全威脅，不僅影響日常開發工作，還可能導致敏感資料洩漏，或是危及基礎設施安全。</p> <p>所謂的進入點，指的是Python等軟體套件管理系統中的機制，讓開發者可以將特定功能以命令列命令的形式公開，讓終端使用者不需了解軟體內部程式碼結構就可以執行特定命令，通常應用於創建命令列腳本或是定義套件的系統功能。</p> <p>不過，研究人員發現，攻擊者也可以濫用進入點機制植入惡意程式碼，例如攻擊者可以創建偽裝成開發工具的惡意套件，藉由進入點功能將這些惡意功能綁定到命令列工具上，當使用者執行受影響的命令時，惡意程式碼便會在不被發覺的情況下自動執行。另外，攻擊者還可使用一種稱為命令打包（Command Wrapping）的技術，在執行合法命令的同時，隱蔽地執行惡意程式碼，使得攻擊更難被發現。</p> <p>雖然研究人員以Python生態系中的PyPI套件系統說明進入點濫用攻擊，但是研究人員也指出，npm、Ruby Gems、NuGet、Dart Pub和Rust Crates等多種程式語言開源生態系皆易受影響。攻擊者也可以鎖定各種常被用於開發、部署和營運的命令列工具進行劫持，諸如Docker、npm、git、kubectl、terraform與dotnet等。該攻擊可對開發者或是企業造成嚴重破壞，尤其是在CI/CD環境中，攻擊者甚至可取得雲端基礎設施的控制。</p> </div></div></div>
2024/10/16 08:29作者李建興https://www.ithome.com.tw/news/165512
駭客兜售聲稱竊自思科的開發、憑證資料，可能殃及微軟、AT&T
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/cisco-investigates-breach-after-stolen-data-for-sale-on-hacking-forum/" target="_blank">報導</a>，日前駭客在暗網兜售聲稱是來自思科系統的多種公司資料，包括GitHub專案文件、公司機密文件、程式原始碼與涵括微軟、AT&T等客戶資料。思科將著手調查。</p> <p>知名駭客IntelBroker本周二在駭客論壇<a href="https://x.com/H4ckManac/status/1845884053574025416" target="_blank">公布</a>此事。他聲稱今年10月6日夥同分別代號為EnergyWeaponUser和zjj的另二名駭客駭入思科網路，竊走大量資料。</p> <p>他聲稱手中握有思科的資料類型包括GitHub與GitLab專案、程式原始碼、思科機密檔案、產品檔案、憑證、API token、公私鑰、客服資料，以及在Azure、AWS等數十類，似乎大部份與開發專案相關。他還分享了部分檔案擷圖作為證明。不過駭客並未說明盜走的多少量有多大。</p> <p>一名研究人員從IntelBroker公布的資訊<a href="https://x.com/darkeye_team/status/1846023952575221848" target="_blank">發現</a>，受思科資料外洩影響的客戶包括AT&T、Verizon、T-Mobile US、Vodafone、微軟、SAP、及能源巨擘雪佛龍（Chevron）等。</p> <p>消息人士告訴媒體，攻擊者是先駭入思科使用的某家第三方DevOps與軟體開發平臺，再藉此存取思科系統和資料。但思科在此之前是否察覺網路被駭不得而知。</p> <p>周二思科表示，看到公司被駭的消息後已啟動調查，確認駭客所言真假。</p> <p>知名廠商網路，包括<a href="https://www.scworld.com/brief/t-mobile-refutes-intelbroker-hacking-claims" target="_blank">T-Mobile</a>、<a href="https://www.ithome.com.tw/news/163539" target="_blank">AMD</a>、<a href="https://cybernews.com/security/threat-actor-intelbroker-claims-apple-amd/" target="_blank">蘋果</a>、防火牆業者<a href="https://www.ithome.com.tw/news/162839" target="_blank">Zscaler都</a>曾是InterBroker的受害者，並被他出售或公布機密資料。</p> </div></div></div>
2024/10/16 08:40作者林妍溱https://www.ithome.com.tw/news/165513
MedTech醫療科技雙周報第38期：美國釋出2024-2030年聯邦醫療IT策略計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（1001～1015）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">醫療IT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HHS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料交換</span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國釋出2024-2030年聯邦醫療IT策略計畫</strong></span></p> <p>今年9月最後一天，美國衛生及公共服務部（HHS）公布最終版2024-2030年聯邦醫療IT策略計畫，點出聯邦層級接下來6年的醫療IT目標，要來改善電子醫療資訊（EHI）的存取、創造更公平的醫療照護體驗，以及落實國家公共衛生基礎設施現代化。</p> <p>進一步來說，該計畫包含提倡健康福祉、強化照護提供與體驗、加速研究創新，以及以醫療資料連結醫療系統等4大目標。其中，前3個目標是要強化醫療IT使用者的體驗，最後一個目標著重支援這些使用者所需的政策和技術。這4個目標又可細分為幾個子目標，比如在強化照護提供與體驗下，照護提供方可以有信心地使用醫療IT工具，又或是在加速研究創新中，研究者和醫療IT使用者能夠存取高品質醫療資料，以及在以醫療資料連結醫療系統中，建置現代化且整合式的公衛醫療資料系統和基礎建設，來支援社區健康發展。</p> <p>除了說明大框架，該計畫也聚焦公平、AI、資料交換等議題。在公平部分，則延續聯邦政府方向，繼續使用醫療IT來改善人群的醫療服務平等性。在AI部分，該計畫提供一系列聯邦政府可參考的策略，來確保AI可以被醫療IT使用者（病患、醫療機構）使用、可安全且負責任地被部署，以及可摒除演算法偏差。在資料交換領域，該計畫則將持續推動以FHIR為基礎的國家級資料交換框架TECFA，且為兼顧交換資料的品質，該計畫也提出策略，來解決聯邦政府與標準制定組織、州政府、地方政府和醫療IT開發者間的協作問題。<a href="https://www.healthit.gov/buzz-blog/health-it/setting-our-sights-toward-a-healthier-more-innovative-data-driven-future-2">（詳全文）</a></p> <p><img alt="" src="https://www.healthit.gov/buzz-blog/wp-content/uploads/2024/09/ASTP-2024-2030-Strategic-Plan_slide-7-2048x1152.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 嬌生 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新藥發現 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>嬌生揭醫療AI應用領域，瞄準外科、新藥發現和臨床試驗</strong></span></p> <p>嬌生日前發表一篇官方部落格文章，介紹自己如何運用AI強化醫療照護。比如在手術學習領域，嬌生醫療技術數位化全球副總裁Shan Jegatheeswaran指出，他們透過AI，幾分鐘就能將一場數小時的手術錄影影片精彩片段剪輯出來，比過往人工的數小時、數天還要有效率。這些剪輯出來的重要片段，可供外科醫師重新觀看、學習和討論治療策略。</p> <p>再來是新藥開發，嬌生表示，傳統的新藥發現漫長又複雜，研究團隊需先了解哪些生物和遺傳變異會導致疾病。而透過AI分析電子健康記錄、實驗室結果或基因定序數據，就能幫助找出特定疾病原因。有了疾病標靶，嬌生就以AI協助找出可與標靶作用的分子，並透過AI設計、優化這些分子，來開發為有效對抗疾病、副作用最小的候選藥物。目前，嬌生正與外部機構合作，來實現這個目標。</p> <p>臨床試驗也是嬌生運用AI的領域。他們有2種用法，一是用來尋找臨床試驗患者與地點，比如用機器學習演算法分析大型去識別化資料集，來加速找出可能從新藥中受益的患者臨床研究地點。如此，臨床試驗團隊可將這些地點納入考量，而非如傳統方法，只集中在醫學中心進行臨床試驗。另一種用法是增加多元性，包括找出不同患者地點和醫療機構，研究團隊再從這些地點招募符合條件的患者，來參加臨床試驗。其他領域還有以AI強化個人化治療，以及運用AI分析需求波動和供應商績效，來預測可能擾亂藥物和醫療產品供應鏈的即時事件，確保醫療產品能盡快到達患者家中。<a href="https://www.jnj.com/innovation/artificial-intelligence-in-healthcare">（詳全文）</a></p> <p><img alt="" src="https://jnj-content-lab2.brightspotcdn.com/dims4/default/fe4c22f/2147483647/strip/true/crop/1920x1079+0+0/resize/1441x810!/format/webp/quality/90/?url=https%3A%2F%2Fjnj-production-jnj.s3.us-east-1.amazonaws.com%2Fbrightspot%2F16%2F64%2F6e97e66f472d9d2a21ab333202d5%2F1024-ai-tech-workers-ledev2.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臨床驗證 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公平性 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 衛福部 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>衛福部攜16家醫院成立3大類型AI中心 </strong></span></p> <p>本月7日，衛福部宣布成立負責任AI執行中心、臨床AI取證驗證中心，以及AI影響性研究中心等三大類型AI中心，由橫跨北、中、南的16家醫院來營運，如臺大、中榮、北榮、成大、中醫大、三總、林口長庚等指標醫院。這3大AI中心的起源，來自衛福部今年7月23日公告的3大AI中心補助計畫。他們舉辦全國性教育訓練後，於8月1日截止收件，並邀集國內外專家3階段評選，最終從30家醫院中，選出16家醫院共19案。</p> <p>這3大AI中心的目的，是要解決醫院發展醫療AI的3大痛點，補足智慧醫療落地的最後一哩路。比如，負責任AI執行中心是要解決醫療AI透明性、資料安全等問題，由中心制定符合資安與隱私保護的管理辦法，以及AI模型生命周期管理辦法，來確保模型在臨床使用具有持續可靠性。</p> <p>而臨床AI取證驗證中心則由衛福部資訊處與食藥署（TFDA）合作，要解決醫療AI取證過程冗長、驗證資料不足的問題。因此，該中心將預先組成醫院聯盟，先準備跨體系、跨層級的電子病歷資料，來加速協助驗證AI模型。至於AI影響性研究中心，則是要解決智慧醫材產品納入健保給付的問題，該中心由衛福部與健保署合作，將建立跨體系、跨層級臨床試驗機制，設置實驗組和對照組，來研究該醫療AI的臨床效益，並將報告交由健保署團隊參考，來決定是否納入給付等細節。<a href="https://www.mohw.gov.tw/cp-16-80155-1.html">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/ub6gQ636b10?si=uodlK91EbHPQycTy" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Copilot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療資料 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟新添多款醫療AI工具</strong></span></p> <p>日前，微軟發表幾款醫療雲工具，包括在Azure AI Studio中新添醫療AI模型、在資料分析平臺Microsoft Fabric中添加健康資料新解決方案、在Copilot Studio中納入醫療代理服務，以及AI驅動的護理文書工作簡化解決方案。</p> <p>進一步來說，這次新添的醫療AI模型，是一系列多模態醫學影像基礎模型，由微軟與Providence、Paige.ai等合作夥伴共同開發，可用來分析多種醫療數據，從醫學影像到基因組學和臨床記錄都可以。醫院可透過這些模型，快速打造、微調和部署合適的AI應用，降低從頭自建的成本。</p> <p>而Microsoft Fabric的新解決方案，目前為公開預覽階段，有幾個特點，包括能整合分析各種對話資料（比如與患者對話的語音、逐字稿）、轉換社會健康決定因子（SDOH）公共資料集、美國醫療保險Medicare申請資料處理、患者照護分析等。再來，微軟也在Copilot Studio中推出醫療代理服務公開預覽版，可用來打造掛號排程、臨床試驗匹配、患者分診等的Copilot代理。<a href="https://www.microsoft.com/en-us/industry/blog/healthcare/2024/10/10/introducing-healthcare-agent-service-in-microsoft-copilot-studio/">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎模型 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Nvidia在AI高峰會揭露美國公部門醫療AI實例</strong></span></strong></p> <p>Nvidia在10月舉辦的AI高峰會中，揭露幾項美國公部門採用自家最新AI加速工具的實例，比如美國國家癌症研究院（NCI）就採用幾個Nvidia MONAI中的AI模型，來進行醫學影像處理，像是用VISTA-3D NIM基礎模型來對3D電腦斷層掃描進行影像分割與標註，又或是美國國衛院旗下團隊使用生成式AI代理Nvidia NIM Agent Blueprint，來加速開發新藥分子。</p> <p>其中，Nividia NIM是一系列雲原生微服務，可協助AI模型部署和執行，NIM Agent Blueprint則是已經預訓練、客製化的工作流程目錄。Nvidia表示，這兩款工具可讓公部門醫療研究者快速使用先進的AI模型，也能以自有資料快速客製化。<a href="https://blogs.nvidia.com/blog/us-healthcare-ai-agents/">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">教育 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問到寶 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>新竹臺大分院用微軟Azure OpenAI打造教育整合平臺</strong></span></strong></p> <p>最近，新竹臺大分院揭露一款生成式AI互動教育平臺「問到寶」，由該院跨專業醫療照護團隊和微軟，以將近一年的時間打造而成，可提供線上教育、衛教問答和輔助技術發展，讓學習資源和課程更靈活、更個人化。</p> <p>進一步來說，該平臺可根據每位使用者的學習需求、風格和速度，量身打造教學內容，同時，它也能協助教師，根據不同學生需求進行項目評估、成績評定、出勤追蹤，以及協助課程規化等行政任務。比如，使用者可用該平臺對長篇文章或英文文獻摘要，平臺也能根據關鍵字，來生成教學教案及評量，協助教師教材準備、產生擬真場景圖等。此外，該平臺還有AI增強語音識別功能，能讓語言障礙人士理解衛教內容。<a href="https://www.hch.gov.tw/?aid=503&pid=0&page_name=detail&iid=316">（詳全文）</a></p> <p><img alt="" src="https://www.hch.gov.tw/public/news1/503/17277500645993.png" /></p> <p>圖片來源／HHS、嬌生、衛福部、臺大新竹分院</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. <a href="https://en.vietnamplus.vn/e-health-and-judicial-records-provided-via-vneid-nationwide-post297561.vnp">越南正式啟用全國性電子健康記錄App VNeID</a></strong></strong></p> <p>資料來源：iThome整理，2024年10月</p> </div></div></div>
2024/10/15 19:19作者王若樸https://www.ithome.com.tw/news/165510
【資安日報】10月15日，北韓駭客針對支付處理系統散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國曾在2018、2020年警告北韓駭客利用名為FASTCash的惡意軟體，針對金融機構支付相關系統下手的情況，事隔4年，這些駭客擴大攻擊範圍，對於更多型態的支付系統開發專屬的FASTCash。</p> <p>值得留意的是，這次他們鎖定的目標，是執行特定版本Ubuntu的支付處理系統，相當具有針對性。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165497"><strong style="font-size: 22px;">北韓駭客散布惡意軟體FASTCash，意圖洗劫提款機</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FASTCash-26.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/FASTCash-26.png" style="width: 300px; float: right;" /></a></p> <p>專門針對金融機構支付相關系統的惡意程式FASTCash，北韓駭客將其用於攻擊行動的情況陸續引起美國政府關注，如今有研究人員發現駭客擴大了攻擊範圍，開發新的惡意程式變種。</p> <p>資安研究員HaxRob揭露最新一波的攻擊行動，駭客使用的惡意程式在去年6月上傳到惡意程式分析平臺VirusTotal，為專門針對Ubuntu 22.04 LTS版打造的Linux惡意軟體，研究人員特別提及，該變種程式與過往出現的Windows版及AIX版本存在高度相似之處。</p> <p>攻擊如何進行？駭客主要是針對持卡人帳號餘額不足被拒絕交易的情況而來，竄改其結果為「核可」，一旦攻擊者成功操縱相關訊息，並傳回銀行的中央系統，持有提款卡的車手就有機會從ATM領到錢。</p> <p><a href="https://www.ithome.com.tw/news/165503"><strong style="font-size: 22px;">寶可夢電玩遊戲開發商證實遭遇資料外洩事故</strong></a></p> <p>上週有人在社群網站X、Reddit、Discord，以及資料外洩網站宣稱，他們竊得正在開發的新寶可夢遊戲的原始碼及相關檔案，後來遊戲開發公司證實，確實出現資料外洩的情況。</p> <p>專門為任天堂開發寶可夢電玩遊戲的業者Game Freak於10月10日公告，坦承公司現任員工、離職員工、承包商的個人資料遭竊。他們在今年8月察覺伺服器遭到未經授權的第三方存取的現象，洩漏的資料包含姓名及公司電子郵件信箱，筆數為2,606筆。該公司將進一步聯絡所有受到影響的人士，並在網站上公告此事。</p> <p>不過，針對正在開發的遊戲資料是否外洩，Game Freak並未進一步說明。資安新聞網站Bleeping Computer指出，根據這份公告，玩家的資料不在這起事故影響的範圍之內。</p> <p><a href="https://www.ithome.com.tw/news/165506"><strong style="font-size: 22px;">國家級駭客利用Ivanti CSA漏洞進行網路滲透</strong></a></p> <p>一週前資安業者Ivanti發布資安公告，指出旗下雲端服務應用平臺Cloud Services Appliance（CSA）存在3項漏洞CVE-2024-9379、CVE-2024-9380、CVE-2024-9381，已有部分用戶系統遭遇漏洞濫用活動，如今有研究人員指出，有國家級駭客正在利用這些漏洞從事攻擊行動。</p> <p>資安業者Fortinet指出，9月9日他們在客戶的環境偵測到漏洞利用攻擊行動，進一步調查發現，攻擊者利用了已知的命令注入漏洞CVE-2024-8190，以及當時尚未公開的路徑穿越漏洞CVE-2024-8963、命令注入漏洞CVE-2024-9380。值得留意的是，隔日Ivanti對於CVE-2024-8190發布資安公告，駭客竟是對其進行修補，這麼做的目的，就是為了避免受到其他人馬及資安人員的干擾。</p> <p><a href="https://www.ithome.com.tw/news/165487"><strong style="font-size: 22px;">兆勤警告防火牆設備遭到鎖定，攻擊者利用已知漏洞建立SSL VPN通道</strong></a></p> <p>上週兆勤（Zyxel Networks）針對旗下USG Flex、ATP系列防火牆用戶提出警告，指出他們在歐洲、中東、非洲地區（EMEA）的團隊發現鎖定該廠牌資安設備的攻擊行動，駭客針對特定的漏洞而來，呼籲用戶要採取相關行動因應。</p> <p>根據他們的調查，攻擊者藉由漏洞竊得有效的帳密資料，並能為臨時使用者建立SSL VPN通道，而且，還會竄改防火牆的資安政策，並藉此控制防火牆、存取網路環境。該公司提及，攻擊者使用的臨時使用者名稱包含了SUPPOR87、SUPPOR817，以及VPN。</p> <p>不過，對於駭客利用的漏洞，兆勤並未進一步說明細節。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/gmail-scam-alert-hackers-spoof-google-to-steal-credentials/">駭客冒充Google企圖竊取Gmail用戶帳密資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/banking-trojan-trickmo-compromised-13000-devices-now-steals-device-unlock-patterns-and-pins/">金融木馬TrickMo入侵1.3萬臺裝置，企圖竊取螢幕解鎖資訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/thousands-of-fortinet-devices-remain-exposed-to-rce-cve-2024-23113-vulnerability/">逾8萬臺Fortinet設備曝露於今年2月公告的RCE漏洞</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/github-enterprise-server-patches-critical-security-flaw-cve-2024-9487-cvss-9-5/">GitHub修補重大層級的SAML身分驗證繞過漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/github-enterprise-server-patches-critical-security-flaw-cve-2024-9487-cvss-9-5/">Splunk修補重大層級的RCE漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165496"><strong style="font-size: 22px;">FIDO聯盟發表新規範，推動憑證可攜</strong></a></p> <p>專門推動各種身分驗證標準、以減輕對密碼依賴的開放聯盟FIDO Alliance，周一（10月14日）發表新規範，包括憑證交換協定（Credential Exchange Protocol，CXP）與憑證交換格式（Credential Exchange Format，CXF），以推動憑證的可攜，包括通行密鑰（Passkey）與其他憑證。</p> <p>此一草案是由1Password、蘋果、Bitwarden、Dashlane、Enpass、Google、微軟、NordPass、Okta、三星及SK Telecom等FIDO聯盟成員所組成的憑證供應商特別興趣小組（Credential Provider Special Interest Group）共同制定，意謂著它們都將加入憑證可攜的行列。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165488"><strong>【10月14日】Windows核心漏洞傳出遭伊朗駭客OilRig利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165452"><strong>【10月11日】Mozilla修補遭到利用的Firefox零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165409"><strong>【10月9日】零信任之父第一手導讀零信任架構</strong></a></p> </div></div></div>
2024/10/15 19:47作者周峻佑https://www.ithome.com.tw/news/165511
國家級駭客利用Ivanti CSA漏洞進行網路滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一週前<a href="https://www.ithome.com.tw/news/165408">資安業者Ivanti發布資安公告</a>，指出旗下雲端服務應用平臺Cloud Services Appliance（CSA）存在3項漏洞CVE-2024-9379、CVE-2024-9380、CVE-2024-9381，已有部分用戶系統遭遇漏洞濫用活動，如今有研究人員指出，有國家級駭客正在利用這些漏洞從事攻擊行動。</p> <p>資安業者Fortinet指出，<a href="https://www.fortinet.com/blog/threat-research/burning-zero-days-suspected-nation-state-adversary-targets-ivanti-csa">9月9日他們在客戶的環境偵測到漏洞利用攻擊行動</a>，進一步調查發現，攻擊者利用了已知的命令注入漏洞CVE-2024-8190，以及當時尚未公開的路徑穿越漏洞CVE-2024-8963、命令注入漏洞CVE-2024-9380。值得留意的是，隔日Ivanti對於CVE-2024-8190發布資安公告，駭客竟是對其進行修補，這麼做的目的，就是為了避免受到其他人馬及資安人員的干擾。</p> <p>等到駭客成功破壞CSA，也利用Ivanti後端微軟SQL資料庫的注入漏洞CVE-2024-29824，從而對受害組織部署的Ivanti Endpoint Manager（EPM）啟用xp_cmdshell處理程序，而能在SQL伺服器遠端執行程式碼。</p> <p>接著，這些駭客在SQL伺服器建立名為mssqlsvc的帳號，並關閉主機的防火牆功能，然後對受害組織網路環境進行偵察，並透過DNS隧道外流竊得的資料。</p> <p>研究人員發現，駭客也在CSA以Linux系統核心元件sysinitd.ko的名義，植入了rootkit程式，目的就是能持續於受害設備活動，就算IT人員將CSA恢復原廠設定，rootkit還是有機會留存下來。</p> </div></div></div>
2024/10/15 16:51作者周峻佑https://www.ithome.com.tw/news/165506
北韓駭客散布惡意軟體FASTCash，意圖洗劫提款機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門針對金融機構支付相關系統的惡意程式FASTCash，北韓駭客將其用於攻擊行動的情況陸續引起美國政府關注，如今有研究人員發現，駭客擴大了攻擊範圍，開發新的惡意程式變種。</p> <p>資安研究員HaxRob揭露<a href="https://doubleagent.net/fastcash-for-linux/">最新一波的攻擊行動</a>，駭客使用的惡意程式在去年6月上傳到惡意程式分析平臺VirusTotal，為專門針對Ubuntu 22.04 LTS版打造的Linux惡意軟體，研究人員特別提及，該變種程式與過往出現的Windows版及AIX版本存在高度相似之處。</p> <p>針對該惡意程式的來歷，最早是美國網路安全暨基礎設施安全局（CISA）於2018年12月提出警告，指出使用該惡意程式的駭客為Hidden Cobra；後來，美國網路司令部於2020年也提出警告，當時犯案的駭客組織是Lazarus（APT38）。</p> <p>此Linux版惡意程式是以共用程式庫的形式實作而成，可注入既有系統以ptrace進行系統呼叫的處理程序，後續攔截與竄改交易訊息。</p> <p>支付交易伺服器主要的用途，是處理自動櫃員機（ATM）、收銀機（PoS）終端與銀行中央系統之間的通訊，若這類系統被植入FASTCash，會攔截、操縱支付卡及信用卡交易訊息。</p> <p>攻擊如何進行？駭客主要是針對持卡人帳號餘額不足被拒絕交易的情況而來，竄改其結果為「核可」，一旦攻擊者成功操縱相關訊息，並傳回銀行的中央系統，持有提款卡的車手就有機會從ATM領到錢。</p> <p>值得留意的是，研究人員發現的時候，尚未有防毒引擎將該Linux惡意程式視為有害，這意味著駭客犯案很可能不受資安防護系統牽制。同時，VirusTotal在今年9月也出現新的Windows版FASTCash，這代表駭客正在積極開發相關作案工具。</p> </div></div></div>
2024/10/15 15:32作者周峻佑https://www.ithome.com.tw/news/165497
嬌生如何運用AI優化新藥發現和疾病治療
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月10日，嬌生（Johnson & Johnson）<a href="https://www.jnj.com/innovation/artificial-intelligence-in-healthcare">發表一篇部落格文章</a>，揭露自己如何運用AI來優化手術學習、加速新藥發現、臨床試驗、個人化療法和供應鏈預測等。嬌生執行副總暨資訊長Jim Swanson首先點出，美國FDA至今已核准900多項醫療AI產品，而接下來幾年，AI將越發重要，尤其在嬌生內部，「已經用來協助員工偵測更早期的疾病階段、加速新藥發現、幫助臨床試驗招募，以及在手術前繪製患者解剖圖，並協助外科醫生預測最合適的手術工具，」他說。</p> <p>嬌生將醫療AI應用於幾大領域，首先是手術學習，嬌生醫療技術數位化全球副總裁Shan Jegatheeswaran指出，他們透過AI，幾分鐘就能將一場數小時的手術錄影影片精彩片段剪輯出來，比過往人工的數小時、數天還要有效率。</p> <p>這些剪輯出來的重要片段，可供外科醫師重新觀看、學習和討論治療策略。嬌生旗下醫療科技公司也在今年中開發一款Polyphonic數位系統，可讓外科醫師遠端連線、與住院醫師和同業觀看手術室影片，來提供即時指導、手術分析和教育講解，並在部分醫院展開試點計畫。</p> <p>再來是新藥開發，嬌生表示，傳統的新藥發現漫長又複雜，研究團隊需先了解哪些生物和遺傳變異會導致疾病。而透過AI分析電子健康記錄、實驗室結果或基因定序數據，就能幫助找出特定疾病原因。有了疾病標靶，嬌生就以AI協助找出可與標靶作用的分子，並透過AI設計、優化這些分子，來開發為有效對抗疾病、副作用最小的候選藥物。目前，嬌生正與外部機構合作，來實現這個目標。</p> <p>臨床試驗也是嬌生運用AI的領域。他們有2種用法，一是用來尋找臨床試驗患者與地點，比如用機器學習演算法分析大型去識別化資料集，來加速找出可能從新藥中受益的患者臨床研究地點。如此，臨床試驗團隊可將這些地點納入考量，而非如傳統方法，只集中在醫學中心進行臨床試驗。另一種用法是增加多元性，包括找出不同患者所在地和醫療機構，研究團隊再從這些地點招募符合條件的患者，來參加臨床試驗。</p> <p>嬌生也以AI強化個人化治療，以膀胱癌為例，嬌生正開發一款AI驅動的生物標記檢測方法，可偵測患者的腫瘤是否會發生FGFR變異，如此就能進一步給予個人化治療。目前嬌生正評估這項技術的臨床效用，將繼續探索潛在用法。</p> <p>最後，為了確保藥物和醫療產品能快速到達患者手中，嬌生也正研究，要用AI分析需求波動和供應商績效，來預測可能擾亂藥物和醫療產品供應鏈的即時事件（如天氣和市場問題），來確保這些產品盡快到達患者家中。</p> <p></p> </div></div></div>
2024/10/15 15:40作者王若樸https://www.ithome.com.tw/news/165498
寶可夢電玩遊戲開發商證實遭遇資料外洩事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週有人在社群網站X、Reddit、Discord，以及資料外洩網站宣稱，<a href="http://x.com/CentroLeaks/status/1845200311767503173">他們竊得正在開發的新寶可夢遊戲的原始碼及相關檔案</a>，後來遊戲開發公司證實，確實出現資料外洩的情況。</p> <p>專門為任天堂開發寶可夢電玩遊戲的業者Game Freak<a href="https://www.gamefreak.co.jp/wordpress/wp-content/uploads/2024/10/info20241010.pdf">於10月10日公告</a>，坦承公司現任員工、離職員工、承包商的個人資料遭竊。他們在今年8月察覺伺服器遭到未經授權的第三方存取的現象，洩漏的資料包含姓名及公司電子郵件信箱，筆數為2,606筆。該公司將進一步聯絡所有受到影響的人士，並在網站上公告此事。</p> <p>不過，針對正在開發的遊戲資料是否外洩，Game Freak並未進一步說明。<a href="https://www.bleepingcomputer.com/news/security/pokemon-dev-game-freak-confirms-breach-after-stolen-data-leaks-online/">資安新聞網站Bleeping Computer指出</a>，根據這份公告，玩家的資料不在這起事故影響的範圍之內。</p> <p>兩週之前，也有遊戲開發業者遭遇網路攻擊的情況。例如，10月初加拿大業者Red Barrels透露遭到攻擊，而有可能導致遊戲的修補程式及附加內容的發布延後，勒索軟體Nitrogen聲稱是他們所為。</p> </div></div></div>
2024/10/15 16:08作者周峻佑https://www.ithome.com.tw/news/165503
FIDO聯盟發表新規範以推動憑證可攜
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門推動各種身分驗證標準、以減輕對密碼依賴的開放聯盟FIDO Alliance，周一（10/14）<a href="https://fidoalliance.org/fido-alliance-publishes-new-specifications-to-promote-user-choice-and-enhanced-ux-for-passkeys/" target="_blank">發表了一組新規範</a>，包括憑證交換協定（Credential Exchange Protocol，CXP）與憑證交換格式（Credential Exchange Format，CXF），以推動憑證的可攜，包括通行密鑰（Passkey）與其它憑證。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，於所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務。Passkey被視為比密碼安全又方便的憑證，不管是微軟、蘋果或Google等科技業者皆已支援Passkey。</p> <p>FIDO聯盟表示，安全憑證交換是該聯盟的焦點，新的工作草案將能進一步加速Passkey的採用並改善用戶體驗，迄今已有超過120億個網路帳號是透過Passkey存取。相較於傳統密碼或是雙因素身分驗證，採用Passkey登入可減少網路釣魚，消除重複使用的密碼，而且登入速度提升了75%，登入成功率也增加了20%。</p> <p>只不過，現階段尚無法在不同的密碼管理員或生態系統間安全地移動Passkey，CXP與CXF這兩個規範草案定義了如何將憑證從一個憑證管理員安全地傳送到另一個憑證管理員，確保傳輸不是以明文進行。</p> <p>此一草案是由1Password、蘋果、Bitwarden、Dashlane、Enpass、Google、微軟、NordPass、Okta、三星及SK Telecom等FIDO聯盟成員所組成的憑證供應商特別興趣小組（Credential Provider Special Interest Group）共同制定，意謂著它們都將加入憑證可攜的行列。</p> </div></div></div>
2024/10/15 15:03作者陳曉莉https://www.ithome.com.tw/news/165496
微軟AI研究副總裁Sebastien Bubeck將跳槽至OpenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>The Information<a href="https://www.theinformation.com/briefings/microsoft-ai-researcher-sebastien-bubeck-to-join-openai?rc=rgg6ax" target="_blank">報導</a>，微軟AI副總裁Sebastien Bubeck即將跳槽至OpenAI，惟尚不確定職稱。而微軟也已向其它媒體證實此事。</p> <p>Bubeck尚未透過個人網站或X上宣布此事，仍<a href="http://sbubeck.com/" target="_blank">描述</a>自己為微軟的分散式科學家，已在微軟待了10年，過去主要研究機器學習中的凸優化、線上演算法與對抗魯棒性，現在則更專注於理解智慧是如何從大型語言模型中出現，並以其提高LLM的智慧，可能有助於打造通用人工智慧（AGI）。</p> <p>Maginative則<a href="https://www.maginative.com/article/microsoft-ai-heavyweight-sebastien-bubeck-joins-openai/" target="_blank">報導</a>，Bubeck的研究在開發微軟的Phi系列小語言模型上發揮了重要作用。</p> <p>微軟向路透社（Reuters）等媒體<a href="https://www.reuters.com/technology/microsofts-vp-genai-research-join-openai-2024-10-14/" target="_blank">證實</a>，Bubeck已經決定要離開微軟，以進一步開發AGI，感謝Bubeck對微軟的貢獻，並期待藉由與OpenAI合作與Bubeck再續前緣。</p> </div></div></div>
2024/10/15 13:45作者陳曉莉https://www.ithome.com.tw/news/165495
Google向Kairos Power購買核電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周一（10/14）<a href="https://blog.google/outreach-initiatives/sustainability/google-kairos-power-nuclear-energy-agreement/" target="_blank">宣布</a>，已與Kairos Power簽署購電協議，將向該公司所開發的多個小型模組反應爐（Small Modular Reactor，SMR）購買核能，預計於2030年前部署首個SMR，之後至2035年再部署其它的SMR，估計可替美國電網帶來500 MW的無碳電力。而不只是Google，包括微軟與Amazon也都開始部署核電。</p> <p>過去，核能發電因為安全隱憂，核廢料的處理問題，再加上擔心核能被用來發展武器等因素，而遭到許多國家棄用；然而，隨著核能技術的進步，AI對電力的龐大需求，能源危機，再加上核電其實是種低碳能源，使得核能發電再度受到重視，現階段的主流技術包括壓水反應爐（Pressurized Water Reactor，PWR），沸水反應爐（Boiling Water Reactor，BWR），快中子反應爐（Fast Neutron Reactor，FNR），第四代核反應爐技術，以及SMR等。</p> <p>其中，SMR除了安全性高之外，它比傳統核反應爐小很多，還能夠模組化組裝，方便部署。Kairos Power主要<a href="https://kairospower.com/technology/" target="_blank">開發</a>氟化鹽冷高溫反應爐（Fluoride Salt-cooled High Temperature Reactor，FHR），利用顆粒的TRISO燃料結合低壓的氟化物鹽冷卻劑，以高效與靈活的蒸汽循環系統，將熱量轉換成電力。</p> <p>Google表示，這是個重要的協議，一來需要新電力來支援AI技術，二來核能解決方案提供一個乾淨且全天候的電源，得以無時無刻利用無碳能源來滿足電力需求。核能將能補充Google在太陽能及風能等可再生能源的使用，且新一代的核反應爐具備簡化的設計與強大的安全性，更小的尺寸及模組化設計還能改善部署的時間與靈活性。</p> <p>Kairos Power<a href="https://kairospower.com/external_updates/google-and-kairos-power-partner-to-deploy-500-mw-of-clean-electricity-generation/" target="_blank">解釋</a>，該公司將會開發、建造與經營一系列先進的反應爐工廠，並根據雙方的協議提供電力、服務或環境屬性（如再生能源證書）予Google，這些工廠將會設在適當的區域以替Google資料中心提供電力。</p> <p>今年美國的科技大廠紛紛向核電靠攏。例如Amazon在今年3月以6.5億美元的價格，向獨立電廠Talen Energy購買了Cumulus資料中心園區，該園區可使用960 MW電力，並由<a href="https://ir.talenenergy.com/news-releases/news-release-details/talen-energy-announces-sale-zero-carbon-data-center-campus" target="_blank">Talen Energy</a>位於附近的Susquehanna核電廠供電。Susquehanna為全美十大核電廠之一。</p> <p><a href="https://www.constellationenergy.com/newsroom/2024/Constellation-to-Launch-Crane-Clean-Energy-Center-Restoring-Jobs-and-Carbon-Free-Power-to-The-Grid.html" target="_blank">微軟</a>亦於今年9月與美國能源公司Constellation Energy簽署為期20年的購電協議，Constellation是美國主要的核電站營運商，其執行長Joe Dominguez明白表示，若是要替包括資料中心在內等關鍵行業隨時提供大量無碳且可靠的能源，核電站是唯一能始終如一兌現該承諾的能源。</p> </div></div></div>
2024/10/15 13:19作者陳曉莉https://www.ithome.com.tw/news/165494
Adobe公開測試Firefly影像生成模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Adobe在周一（10/14）舉行的Adobe MAX創意大會上<a href="https://news.adobe.com/news/2024/10/101424-adobe-launches-firefly-video-model" target="_blank">宣布</a>，Firefly影像生成模型（Firefly Video Model）已邁入有限的公開測試階段，同時發表支援Creative Cloud各種應用的Firefly功能。自2023年3月首次發布Firefly以來，使用者用它所生成的圖像已超過130億張。</p> <p>去年3月問世的Firefly為一創意生成式AI家族，主要成員包括可生成圖像的Firefly Image Model，可生成向量模型的Firefly Vector Model，可生成海報或傳單的Firefly Design Model，以及今年新增的影像生成模型Firefly Video Model，這一年多來，Adobe已將Firefly整合到Photoshop、Express、Illustrator及Substance 3D等應用中，亦讓Firefly支援Creative Cloud應用的許多流程。現階段的Firefly可辨識超過100種的文字提示。</p> <p>新的Firefly Video Model允許使用者輸入文字敘述或靜態的參考圖像，並將它們轉成影像。該模型可用來生成自然世界的影片；或是藉由影像中的圖片來生成可填補空缺的B捲；也能利用攝影機的角度、運動及縮放等控制功能來建立完美視角；或者生成各種效果，再將它們整合至既有的影像上。</p> <p>在Adobe所提供的<a href="https://blog.adobe.com/en/publish/2024/10/14/generate-video-beta-on-firefly-web-app" target="_blank">案例</a>中，使用者只要利用文字描述場景、紋理、顏色、景深、前景、拍攝風格及角色的動態，系統就能自動生成影片。</p> <p>至於現身於Creative Cloud中的新功能則包括現身於Premiere Pro測試版中的Generative Extend，它奠基於Firefly Video Model，允許使用者延伸影片的片段，以填補影像素材的空隙。另也強化了Firefly Image 3，加快其生成圖像的速度，約是以往模型的4倍快。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/3x-QahB3PdQ?si=9P_j4kAUNKOrOQls" title="YouTube video player" width="560px"></iframe></div> <p>於Photoshop中出現的生成式工作區（Generative Workspace）測試版則是提供一個讓不同設計師共同腦力激盪的園地。在Illustrator中的新版Firefly Video Model可進一步控制單一圖案中元素之間的間距，改變元素結合的緊密度。</p> <p>有限公開測試代表使用者必須提出<a href="https://www.adobe.com/products/firefly/features/ai-video-generator.html" target="_blank">申請</a>才能試用Firefly Video Model，但試用期間是免費的。</p> <p>本周Adobe亦開始預覽<a href="https://blog.adobe.com/en/publish/2024/10/14/new-creative-beginnings-gen-ai-redefining-ideation-with-project-concept" target="_blank">Project Concept</a>，協助設計師利用AI來發現、創造及分享概念。Adobe指出，早期的創作經常受限於資源，藉由AI的協助，創作者將能快速地整合靈感與資產，此一支援多人協作Project Concept預計很快就會進入封閉測試階段。</p> </div></div></div>
2024/10/15 11:09作者陳曉莉https://www.ithome.com.tw/news/165491
Google推企業級Gemini Code Assist，可根據組織程式碼儲存庫生成建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google現推出企業級人工智慧程式碼輔助工具<a href="https://cloud.google.com/blog/products/application-development/introducing-gemini-code-assist-enterprise">Gemini Code Assist Enterprise</a>，該工具提供本地程式碼儲存庫深度分析，支援組織內部儲存庫和最佳實踐程式碼客製化建議。開發者可在多種Google雲端服務，以及各種原始碼控制系統使用這項工具，加速程式開發工作流程。</p> <p>Gemini Code Assist Enterprise是建立於Google早前推出人工智慧程式碼輔助工具Gemini Code Assist之上的延伸版本。一般版的Gemini Code Assist主要著重於根據開發者的上下文，自動生成程式碼建議，而Gemini Code Assist Enterprise則新增了程式碼客製化建議能力，能夠依據組織內部的程式碼庫和企業自家最佳實踐生成建議，這將使得生成建議更符合企業特定開發需求。</p> <p>Google強調，Gemini Code Assist Enterprise所使用的Gemini模型，能夠處理更多的Token上下文，因此可協助開發完成更複雜的開發工具，例如跨整個專案自動升級Java版本。Gemini Code Assist Enterprise也整合至BigQuery、Firebase、Colab Enterprise、Apigee等多種Google雲端服務，甚至能夠索引來自GitHub和GitLab的儲存庫等、各種原始碼控制系統和自架服務的儲存庫，讓開發者能夠跨不同平臺加速應用程式開發。</p> <p>除了Gemini Code Assist Enterprise之外，還有多款具備類似程式碼客製化建議功能的工具，例如GitHub Copilot Enterprise與Amazon Q Developer等，也都可以整合企業內部的程式碼儲存庫，並根據企業的開發最佳實踐，生成專屬的程式碼建議，在開發過程中提供開發者與上下文相關建議，並能確保生成的程式碼符合企業特定標準和需求。</p> </div></div></div>
2024/10/15 08:32作者李建興https://www.ithome.com.tw/news/165489
兆勤警告防火牆設備遭到鎖定，攻擊者利用已知漏洞建立SSL VPN通道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週兆勤（Zyxel Networks）針對旗下<a href="https://support.zyxel.eu/hc/en-us/articles/21878875707410-Zyxel-USG-FLEX-and-ATP-series-Upgrading-your-device-and-ALL-credentials-to-avoid-hackers-attacks">USG Flex、ATP系列防火牆用戶提出警告</a>，指出他們在歐洲、中東、非洲地區（EMEA）的團隊發現鎖定該廠牌資安設備的攻擊行動，駭客針對特定的漏洞而來，呼籲用戶要採取相關行動因應。</p> <p>根據他們的調查，攻擊者藉由漏洞竊得有效的帳密資料，並能為臨時使用者建立SSL VPN通道，而且，還會竄改防火牆的資安政策，並藉此控制防火牆、存取網路環境。該公司提及，攻擊者使用的臨時使用者名稱包含了SUPPOR87、SUPPOR817，以及VPN。</p> <p>不過，對於駭客利用的漏洞，兆勤並未進一步說明細節。</p> <p>針對受這波攻擊影響的範圍，該公司指出涵蓋執行ZLD V4.32至5.38版韌體的防火牆，而且啟用遠端管理或SSL VPN的功能。此外，這些遭到攻擊的防火牆，管理員及使用者的帳密資料，過往未曾進行更新。但他們強調，執行Nebula雲端管理模式的防火牆不受影響。</p> <p>根據他們的調查，一旦防火牆遭到入侵，IT人員會看到一些不尋常的狀況，例如：出現特定帳號名稱的SSL VPN連線，而且這些連線通常是從無法識別的IP位址登入，再者，防火牆的規則也可能會出現被竄改的情形。若是啟動SecuReporter事件記錄功能，管理者可以看到攻擊者利用管理員帳號進行連線的記錄。</p> <p>若是確認防火牆遭到入侵，該公司指出IT人員應升級最新的5.39版韌體，並更換所有的管理員及使用者密碼，移除並強制登出來路不明的帳號，以及刪除完全開放WAN、SSL VPN區域連線的防火牆規則。此外，他們也呼籲用戶套用最佳實務來提升防護強度。</p> <p>針對此事我們也向兆勤詢問，該公司表示攻擊者很有可能利用已經公開的漏洞，對EMEA用戶發動攻擊，他們將持續進行監控，並呼籲用戶儘速採用行動來降低風險。</p> </div></div></div>
2024/10/14 17:53作者周峻佑https://www.ithome.com.tw/news/165487
【資安日報】10月14日，Windows核心漏洞傳出遭伊朗駭客OilRig利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末有數起攻擊行動引起資安圈高度關注，其中一起就是伊朗駭客OilRig對於阿拉伯聯合大公國（UAE）及周邊海灣地區攻擊升溫，而其中一種提升權限的方法，就是利用今年6月微軟公告的已知漏洞CVE-2024-30088。</p> <p>值得留意的是，這些駭客向來針對石油及天然氣相關的關鍵基礎設施下手，一旦得逞，很有可能左右這些能源的供應。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165484"><strong style="font-size: 22px;">Windows核心漏洞遭伊朗駭客OilRig用於提升權限，便於後續植入後門程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Simnavaz-Fig01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Simnavaz-Fig01.png" style="width: 300px; float: right;" /></a>微軟今年6月修補高風險權限提升漏洞CVE-2024-30088，該漏洞存在於Windows作業系統核心，CVSS風險評為7.0分，當時該公司就表示很有可能已經被利用，如今有研究人員證實，駭客確實將其用於攻擊行動。</p> <p>資安業者趨勢科技揭露匿稱為APT34、Europium、Helix Kitten的伊朗駭客組織OilRig近期的攻擊行動，這些駭客主要的攻擊目標是能源產業，尤其是與石油及天然氣相關的關鍵基礎設施，研究人員發現，最近幾個月以來，該組織針對阿拉伯聯合大公國（UAE）及周邊海灣地區政府部門的攻擊行動，出現顯著增加的現象，過程裡駭客運用架構複雜的後門程式，企圖挖掘受害Exchange伺服器的帳密資料，並在作案工具加入CVE-2024-30088，以便於受害環境當中提升權限。</p> <p>一旦他們成功進入受害組織的網路環境，就會下載遠端管理工具ngrok進行橫向移動，從而存取網域控制器（DC）。過程中駭客使用公開工具RunPE-In-Memory將二進位程式載入記憶體內運作，從而觸發CVE-2024-30088提升權限。</p> <p><a href="https://www.ithome.com.tw/news/165467"><strong style="font-size: 22px;">卡西歐遭勒索軟體攻擊，攻擊者也曾駭入臺灣公司</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/underground-casio.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/underground-casio.jpg" style="width: 300px; float: right;" /></a>日本電子大廠卡西歐（Casio）證實遭勒索軟體攻擊，造成公司多個系統無法使用，以及數量尚未確定的員工資料及部分客戶個資外洩。附帶一提的是，發動攻擊的駭客組織曾對臺灣廠商下手。</p> <p>上周卡西歐透過官網公告，10月5日該公司確認遭網路攻擊，經過調查顯示，未經授權的存取，致使該公司部份伺服器故障，造成多個系統無法運作，並導致一些服務斷線迄今。10月11日卡西歐公布初步調查結果，該公司及其關聯公司部分個資和機密資訊已外洩。</p> <p>而對於攻擊者的身分，根據資安新聞網站Bleeping Computer的報導，很有可能是專門使用勒索軟體Underground從事攻擊行動的俄羅斯駭客組織RomCom（Storm-0978）。根據8月資安業者Fortinet公布調查該組織的結果，指出其中有臺灣的工廠於7月18日受害。</p> <p><a href="https://www.ithome.com.tw/news/165448"><strong style="font-size: 22px;">9月俄羅斯防毒軟體業者Dr.Web遇網攻，有烏克蘭駭客聲稱是他們所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dumpforums-russian-cybersecurity-firm-dr-web-breach-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dumpforums-russian-cybersecurity-firm-dr-web-breach-6.jpg" style="width: 300px; float: right;" /></a>9月17日俄羅斯防毒業者Dr.Web發布公告，指出14日遭遇目標式攻擊，駭客企圖破壞他們的基礎設施，但並未成功。當時該公司將所有的資源切斷網路連線，並進行檢查，他們一度暫停更新病毒特徵碼資料庫。事隔近1個月，這起事故有了新的發展。</p> <p>根據資安新聞網站HackRaed的報導，10月8日有人在支持烏克蘭的駭客論壇DumpForums宣稱，這起事故是他們所為，該組人馬已成功入侵該防毒業者的基礎設施，並在短短幾天內存取伺服器及資源，總共竊得超過10 TB內部資料。</p> <p>對此Dr.Web在10月9日發布聲明，表示他們知悉有人在Telegram頻道宣稱成功攻擊基礎設施的情況，並強調這些描述大多都是假的，該公司開發環境及客戶資料並未受到這起資安事故影響，他們的軟體元件及病毒資料庫也不會對用戶造成威脅。</p> <p><a href="https://www.ithome.com.tw/news/165466"><strong style="font-size: 22px;">OpenAI取締駭客用AI進行認知作戰</strong></a></p> <p>OpenAI近日公布非法使用整頓報告，揭露駭客以其AI工具撰寫惡意程式及生成內容，散布到X、Meta等社群平臺發動認知作戰的趨勢。</p> <p>過去3個月OpenAI偵測並阻止5起使用其模型協助欺騙性行動的隱匿式影響力作戰，其中2起和俄羅斯有關，中國和伊朗相關活動各1起，以及與以色列商業公司有關的活動。其中俄羅斯利用其模型設計X、Telegram、臉書、9GAG等社群平臺的政治宣傳訊息，或開發貼文及按讚機器人，用於對烏克蘭、波羅的海地區用戶認知作戰。疑似與中國公安部有關的駭客組織Spamouflage，利用Meta散布批評異議人士如蔡霞的內容。</p> <p>伊朗組織國際虛擬媒體聯盟（IUVM）以AI優化網站主題及內容，散布反美、反以色列的內容。以色列則是由民間公司STOIC發動Zero Zeno活動，在社群平臺、YouTube釋放反哈瑪斯、支持占領加薩走廊、反印度執政黨BJP訊息。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cofense.com/blog/tax-extension-malware-campaign">駭客濫用GitHub儲存庫評論埋藏惡意軟體Remcos RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cisa.gov/news-events/alerts/2024/10/10/best-practices-configure-big-ip-ltm-systems-encrypt-http-persistence-cookies">F5 BIG-IP設備被攻擊者用於偵察、映射網路環境的伺服器</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/inc-ransomware-rebrand-to-lynx/">勒索軟體Inc捲土重來，駭客打造Lynx從事攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.torproject.org/new-release-tails-6-8-1/">Tor瀏覽器用戶遭到Firefox零時差漏洞鎖定</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165435"><strong style="font-size: 22px;">SAP發布10月例行更新，呼籲用戶儘速修補BusinessObjects重大漏洞</strong></a></p> <p>SAP發布10月份例行安全更新，總共包含6則新的資安公告，並更新6則已經發布的公告。根據CVSS風險評分的高低，最嚴重的是在8月已經修補的商業智慧平臺BusinessObjects漏洞CVE-2024-41730。</p> <p>這項漏洞發生的原因是缺乏身分驗證的檢核，導致在啟用單一簽入（SSO）的企業環境中，攻擊者有機會在未經授權的情況下，竊得登入系統的憑證（Token），CVSS風險達到9.8分。資安業者Onapsis指出，該公司本月更新公告內容，主要是為SBOP BI Platform Servers 4.2 SP009提供對應的修補程式。</p> <p><a href="https://www.ithome.com.tw/news/165423"><strong style="font-size: 22px;">Apache Avro軟體開發套件存在高風險漏洞，攻擊者有機會遠端於Java應用程式執行任意程式碼</strong></a></p> <p>10月3日Apache基金會發布公告，表明旗下的資料序列化框架Avro存在資安漏洞CVE-2024-47561，該漏洞發生在Java軟體開發套件（SDK），CVSS風險評分達到7.3，影響1.11.3之前的版本，該基金會發布1.11.4及1.12.0修補。</p> <p>開發團隊表示，問題出在舊版Avro的Java SDK處理Schema過程中，攻擊者有機會觸發漏洞並執行任意程式碼，呼籲用戶儘速套用新版程式，後續他們回答提問時提到：假如使用者能夠提供自己的Schema，任何應用程式都有可能受到影響。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/researchers-uncover-major-security.html">工控製造訊息規範MMS通訊協定存在重大漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165398"><strong style="font-size: 22px;">導入零信任架構的五步驟：從內向外的安全策略</strong></a></p> <p>零信任架構的提出者、也是現任Illumio傳道士John Kindervag表示，零信任的實施可以分成五個步驟，這些步驟目的在於在簡化安全流程，確保系統的每個保護面得到充分保護。</p> <p>導入零信任的第一步是：明確定義需要保護的核心資產、最具有價值的保護標的為何，就是「保護面」（Protect Surface）。第二步，企業組織必須全面了解系統的交易流，因為只有在理解這些流動的基礎上，才能準確地設計出合適的安全策略，以保護每個保護面。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165452"><strong>【10月11日】Mozilla修補遭到利用的Firefox零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165409"><strong>【10月9日】零信任之父第一手導讀零信任架構</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165396"><strong>【10月8日】美國水力關鍵基礎設施再傳遭遇網路攻擊</strong></a></p> </div></div></div>
2024/10/14 18:07作者周峻佑https://www.ithome.com.tw/news/165488
Windows核心漏洞遭伊朗駭客OilRig用於提升權限，便於後續植入後門程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://www.ithome.com.tw/news/163421">今年6月</a>修補高風險權限提升漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-30088">CVE-2024-30088</a>，該漏洞存在於Windows作業系統核心，CVSS風險評為7.0分，當時該公司就表示很有可能已經被利用，如今有研究人員證實，駭客確實將其用於攻擊行動。</p> <p>資安業者趨勢科技揭露<a href="https://www.trendmicro.com/en_us/research/24/j/earth-simnavaz-cyberattacks-uae-gulf-regions.html">匿稱為APT34、Europium、Helix Kitten的伊朗駭客組織OilRig近期的攻擊行動</a>，這些駭客主要的攻擊目標是能源產業，尤其是與石油及天然氣相關的關鍵基礎設施，研究人員發現，該組織最近幾個月針對阿拉伯聯合大公國（UAE）及周邊海灣地區政府部門的攻擊行動出現顯著增加的現象，過程裡駭客運用架構複雜的後門程式，企圖挖掘受害Exchange伺服器的帳密資料，並在作案工具加入CVE-2024-30088，以便於受害環境當中提升權限。</p> <p>針對駭客的攻擊行動，最初是針對存在弱點的網頁伺服器植入Web Shell，駭客藉此於受害主機執行PowerShell程式碼，並且下載、上傳檔案。</p> <p>一旦他們成功進入受害組織的網路環境，就會下載遠端管理工具ngrok進行橫向移動，從而存取網域控制器（DC）。過程中駭客使用公開工具RunPE-In-Memory將二進位程式載入記憶體內運作，從而觸發CVE-2024-30088提升權限。</p> <p>接著，駭客植入能攔截密碼的DLL程式庫，並於Exchange伺服器部署能洩露敏感資料的後門程式，而收集到的資料則會轉送到駭客的電子郵件信箱。研究人員指出，這些駭客還會藉由受害組織向其他政府機關下手，進行供應鏈攻擊。</p> </div></div></div>
2024/10/14 16:56作者周峻佑https://www.ithome.com.tw/news/165484
零售IT雙周報第43期：不用再翻翻找找！Amazon打造物流士用AI車廂內揀貨助手，到送貨點就會標註出對應物件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0922~1005)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#訂單履行 #物件辨識 #司機送貨</span></strong></span><br /> <strong>不用再翻翻找找！Amazon打造物流士用AI車廂內揀貨助手，投影出圈圈叉叉標出當下送貨點所需商品</strong></p> <p>將商品放進貨車車廂時，貨運司機往往需要同時考量空間最大化利用和送貨順序等複雜的因素，到每個送貨點，還需要翻找車廂內商品，閱讀商品描述、條碼、標籤、收貨資訊，才能蒐集齊該站點所需商品。這個翻找和揀貨過程每個站點都會花上幾分鐘，一天下來消耗可觀時間成本。</p> <p><a href="https://www.aboutamazon.com/news/transportation/amazon-vapr-delivery-van-packages">因應此痛點，Amazon打造了一套AI車廂內揀貨助手Vision-Assisted Package Retrieval （VAPR）</a>。到達一個送貨點時，AI會辨認出該站點所需商品，用貨架上投影機打上綠色的圈，並於其他商品投影紅色的叉。這樣一來，司機便能快速集齊要拿下車的商品。Amazon計畫在2025年初啟用超過1,000臺搭載VAPR的貨車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/vapr2.jpg" style="width: 600px;" /></p> <p>VAPR技術基礎是Amazon物流中心內的商品視覺辨識技術Amazon Robotics Identification （AR-ID），可以即時定位和解讀多個條碼，用來取代手動掃描包裝條碼。搭載AR-ID的VAPR能利用專門為貨車車廂光照條件設計的鏡頭，來辨認不同包裝特徵及標籤，接著，再利用車內投影機標示出商品是否屬於該送貨點。</p> <p>初期測試顯示，VAPR把一個送貨點的揀貨時間從2至5分鐘縮短到1分鐘左右，一趟能省下司機約30分鐘。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#生成式AI #AI客服 #LLM #個人化購物 #AR購物 #沉浸式電商 #AdaptiveRetail</span></strong></span><br /> <strong>Walmart揭露一系列Adaptive Retail戰略新做法，利用生成式AI打造更多不同購物接觸點的個人化體驗</strong></p> <p><a href="https://corporate.walmart.com/news/2024/10/09/walmart-reveals-plan-for-scaling-artificial-intelligence-generative-ai-augmented-reality-and-immersive-commerce-experiences">零售龍頭Walmart近日揭露自家零售戰略Adaptive Retail的更多具體做法</a>，利用許多自家開發的AI與生成式AI技術，來大規模生成素材，支援不同購物通路的個人化體驗。</p> <p>第一個關鍵做法是Wallaby，一系列利用Walmart數十年數據訓練而成的零售領域LLM。這些LLM是他們在自家不同通路生成個人化體驗素材的技術基礎，也會與其他LLM並用。</p> <p>第二項做法是打造一個生成式AI客服機器人，能根據顧客身分來存取顧客訂單、退換貨請求等資訊，以進一步理解顧客需求，來應答或採取行動。</p> <p>第三是打造一個「內容決策平臺」（Content Decision Platform）。在顧客造訪電商等線上通路時，先用預測型AI等技術來分析顧客行為，再用生成式AI產出對應內容──而非只是利用AI重新排列組合不同版面元素。目前Walmart電商網站已經有部分內容採用此做法。他們預計明年年底於美國市場全面應用此技術，在每一個顧客造訪電商時，生成專屬首頁。</p> <p>第四個做法是打造AR平臺Retina，利用RPA、AI與生成式AI技術，來生成成千上萬個3D素材，用於AR購物體驗。目前Retina支援Walmart大大小小共10個AR購物體驗，以及沉浸式電商API（Immersive Commerce API）。後者是一個供外部開發者用來打造沉浸式電商的服務，目前開發者已經能透過Unity來存取此API。Walmart未來還計畫利用此平臺來打造頭戴式裝置的AR購物體驗，以及將現行AR購物體驗拓展到其他國家市場。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#LBS行銷 #遊戲化行銷 #門市內行銷 #智慧購物車</span></strong><br /> <strong>利用顧客數據及門市內地理位置數據，Instacart為智慧購物車打造門市內遊戲化行銷體驗</strong></p> <p>零售行銷科技廠商Instacart結合顧客數據與門市內走道等級的地理位置和商品數據，為旗下智慧購物車Caper Cart<a href="https://www.instacart.com/company/pressreleases/instacart-launches-new-gamified-capabilities-savings-on-caper-carts/">新增了3種LBS行銷功能</a>：LBS購物遊戲、LBS折價券與LBS廣告。</p> <p>購物遊戲是顧客在門市內購物過程中參與的互動任務，透過Caper Cart螢幕呈現。顧客可以透過完成特定挑戰來獲得獎勵，例如「尋寶遊戲」，於顧客所在位置呈現出商品限時折價優惠。或者，完成多次來店或重複購買等，包裝成遊戲任務的忠誠度計畫，來獲得折扣。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/capercart.jpg" style="width: 600px;" /></p> <p>LBS折價券功能是傳送顧客所在走道附近商品的折扣通知。這項技術利用Caper Cart的室內定位能力，搭配顧客購買紀錄或購物車內容，提供個人化優惠。與此類似的LBS廣告功能，則是呈現特定商品或品牌的行銷素材，讓顧客快速加入購物車。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#視覺化搜尋 #以圖搜圖</span></strong></span><br /> <strong>Amazon推出5種商品視覺搜尋功能</strong></p> <p><a href="https://www.aboutamazon.com/news/retail/visual-search-shopping-features">Amazon推出了5種新的商品視覺化搜尋功能</a>，包含視覺化建議，影像加文字的搜尋，相似商品視覺化推薦，搜尋結果播放影片以及圈選搜尋。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/avs1.png" style="width: 600px;" /></p> <p>視覺建議功能會根據顧客輸入的搜尋詞呈現相關商品圖片，顧客可以點選最接近心目中商品的照片進行搜尋。影像加文字搜尋是，顧客上傳商品圖片來以圖尋找商品時，可以搭配描述文字來進一步描述搜尋結果。相似商品推薦功能，則是呈現顯示視覺上與一件商品相似的產品。搜尋結果中的影片，顧名思義是直接在搜尋結果頁面呈現商品影片。圈選搜尋則可圈出圖片中的特定單品，來快速以圖搜尋商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/avs%202.jpg" style="width: 600px;" /></p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#視覺化搜尋 #以圖搜圖</span></strong></p> <p><strong>Google推出3種商品視覺搜尋功能</strong></p> <p><a href="https://blog.google/products/shopping/visual-search-lens-shopping/">Google近期也推出3種商品視覺搜尋功能</a>：Google Lens搜尋、即時搜尋螢幕畫面上物品，以及影像加文字的搜尋。Google Lens搜尋商品類似於以圖搜圖功能，使用者即時拍照或上傳照片到Google Lens，便會呈現出商品搜尋結果頁面，頁面包括價格、優惠和評論資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gvs.jpg" style="height: 500px;" /></p> <p>即時搜尋螢幕畫面上物品功能，是用Android圈選搜尋功能來以圖搜圖；影像加文字搜尋功能則是可以搭配描述文字來獲得更精確的搜尋結果。</p> <p>這些視覺化搜尋結果來自Google自家收錄了450億項商品的Shopping Graph資料集。使用者上傳圖片後，系統便是利用電腦視覺技術，與Shopping Graph數據比對出相似商品。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#生成式AI #顧客教育</span></strong></span><br /> <strong>Amazon推出又一生成式AI購物助手，根據搜尋商品類型呈現相關知識以協助購物決策</strong></p> <p>推出生成式AI對話式購物助手Rufus後，<a href="https://www.aboutamazon.com/news/retail/amazon-ai-shopping-guides-product-research-recommendations">Amazon推出又一生成式AI購物輔助功能</a>，在購客搜尋商品時，呈現購物時相關知識，包括建議考慮條件、熱門品牌、更多商品專屬分類等，以協助購物決策。例如，搜尋電視商品時，會生成解析度、面板分類、更新率等知識，或是室外電視、可攜帶電視等專屬於電視的分類等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/amzguidejpg.jpg" style="width: 500px;" /></p> <p>此功能支援超過100類商品，相關知識是由LLM蒐集商品目錄中的特徵、使用情境、功能、品牌和術語，再根據顧客搜尋內容生成。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#RMN #日本全家 #OMO行銷</span></strong></span><br /> <strong>日本全家怎麼做RMN</strong></p> <p>近日一場活動中，日本全家便利商店行銷長足立光介紹自家RMN布局。日本全家RMN FamilyMart Media的主要行銷通路包括門市螢幕FamilyMartVision和支付工具 FamiPay。</p> <p>主要行銷形式是，利用第一方數據，來投放影音數位廣告。他們也會製作行銷內容，投放到社群媒體等外部通路，例如推特、Line、臉書等。日本全家數據來源包含自家線上App及線下會員消費數據，以及電信商Docomo、連鎖賣場唐吉訶德等合作廠商數據，手握超過3,500萬筆廣告ID。追蹤RMN行銷成效做法是，交叉分析消費行為、App使用情況、AI 攝影機數據、問卷調查等數據。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/jpfmm(1).jpg" style="width: 600px;" /></p> <p>相較臺灣全家，日本全家做法更像是傳統程式化數位廣告加上門市內展示廣告，利用數據來大規模推送格式較標準化的廣告。臺灣全家則更類似整合行銷，為不同行銷案件設計不同通路和行銷手法，廣告格式也更多元，除了靜態和動態影像，還有App上多種互動式行銷模組、個人化商場、票券等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#LLMOps #推薦系統 #Line購物</span></strong></span><br /> <strong>Line購物如何打造導購推薦系統</strong></p> <p>收錄千萬商品的導購型電商Line購物如何利用機器學習，甚至生成式AI，來找出0.001%高度吸引顧客的商品？他們打造了一套以機器學習驅動的核心推薦系統Brickmaster，用檢索、排名、再排名3階段，逐步挑選出商品給顧客。</p> <p>Brickmaster背後利用哪些數據、如何設計ML機制、如何打造可信任框架讓非技術主管也能對推薦成效一目了然？本刊封面故事<a href="https://www.ithome.com.tw/article/165216">Line購物推薦系統大剖析</a>會進一步說明。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p>1. Walmart會員制零售品牌Sam’s Club將推出3,000坪的無人結帳店</p> <p>2. <a href="https://www.ithome.com.tw/news/165365">駭客鎖定Adobe Commerce、Magento購物網站今年6月公布的重大漏洞CosmicSting下手</a></p> <p>3. <a href="https://www.aboutamazon.com/amazon-fulfillment-center-robotics-ai">Amazon啟用55個足球場大的物流中心，自動化機械數量是過往物流中心10倍多</a></p> <p>資料來源：iThome整理，2024年10月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Amazon、Instacart、Google、郭又華攝影</p> <p></p> </div></div></div>
2024/10/14 14:47作者郭又華https://www.ithome.com.tw/news/165462
WordPress擅自分叉WP Engine的ACF外掛
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress與WP Engine<a href="https://www.ithome.com.tw/news/165222" target="_blank">之間的紛爭</a>似乎愈演愈烈了，WordPress創辦人Matt Mullenweg 上周六（10/12）<a href="https://wordpress.org/news/2024/10/secure-custom-fields/" target="_blank">宣布</a>，已援引WordPress外掛程式準則中的<a href="https://github.com/wordpress/wporg-plugin-guidelines/blob/trunk/guideline-18.md" target="_blank">第18條</a>，將隸屬於WP Engine的進階客製化欄位（Advanced Custom Fields，ACF）外掛程式分叉成安全客製化欄位（Secure Custom Fields，SCF）。</p> <p>該條款主要保留了WordPress維護外掛程式目錄的權利，而相較於ACF，SCF主要移除了商業升級服務，並修復了ACF中的安全問題。現在連進原本屬於ACF的<a href="https://tw.wordpress.org/plugins/advanced-custom-fields/" target="_blank">外掛程式網頁</a>，出現的已是SCF。此舉意謂著ACF用戶若使用WordPress.org的更新服務，即會直接被置換成SCF。</p> <p>ACF團隊<a href="https://x.com/wp_acf/status/1845169499064107049" target="_blank">表示</a>，在長達21年的WordPress歷史中，建立者從未在沒有經過同意的情況下，單方面地奪走一個正在積極開發的外掛程式，但ACF已被WordPress.org接管。一名自由軟體開發者Gavin Anderegg也替ACF發聲，<a href="https://anderegg.ca/2024/10/13/acf-has-been-hijacked" target="_blank">指出</a>SCF並非真的是個分叉，Mullenweg基本上是劫持了WordPress社群最著名的外掛程式之一。</p> <p>ACF團隊<a href="https://www.advancedcustomfields.com/blog/acf-plugin-no-longer-available-on-wordpress-org/" target="_blank">說明</a>，ACF是個複雜的外掛程式，擁有超過20萬行程式碼，自從加入WP Engine之後，這兩年發布超過15個版本，Mullenweg的更新，是惡意地要將數萬個ACF安裝置換成不可靠的程式碼。</p> <p>Anderegg指出，他原本以為WordPress只會在外掛程式目錄中移除ACF，從沒想到會劫持ACF。而不管是Anderegg或是先前曾<a href="https://www.ithome.com.tw/news/165444" target="_blank">批評</a>Automattic的<a href="https://world.hey.com/dhh/open-source-royalty-and-mad-kings-a8f79d16" target="_blank">David Heinemeier Hansso</a>n，都認為Mullenweg的行為已趨近瘋狂。</p> <p>Hansson說，在這一場合約的糾紛中，利用像是WordPress這樣的開源專案當作籌碼，並以外掛程式註冊表當作武器，危害了開源社群這幾十年來的和平，呼籲Mullenweg停止這樣的行為。</p> <p>其實Mullenweg最近還做了另外一件事，在使用者要<a href="https://login.wordpress.org/" target="_blank">登入</a>WordPress.org時，除了輸入帳號及密碼之外，也要求使用者要勾選「我與WP Engine毫無關係」（I am not affiliated with WP Engine in any way, financially or otherwise）的選擇框，才能成功登入。</p> </div></div></div>
2024/10/14 13:47作者陳曉莉https://www.ithome.com.tw/news/165480
【資安週報】1007~1011，零信任之父在臺親自解析零信任架構，同時點出4大誤解需要釐清
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在10月雙十國慶這一星期，在關注慶祝活動與中共軍事演習行動之餘，資安相關新聞同樣引人注目，在資安防禦消息方面，零信任議題的最受關注，因為全球第一個提出零信任架構的資安專家John Kindervag今年二度來臺，特別的是，上月他是在SEMICON Taiwan 2024召開的半導體資安趨勢高峰論壇發表演說，顯示零信任在全球資安已是顯學，半導體產業要做好資安，當然也必須了解並落實這個概念。</p> <p>近年來零信任雖然受到各界廣泛討論，但也漸漸產生一些認定與推動的歧見，此次John Kindervag遠道而來，分享其在網路戰爭與零信任架構上的深刻見解，因此他特別點出4個常見謬誤，以及企業導入零信任架構的五步驟，有助於大家重新正確理解零信任的基本概念。</p> <p>在資安事件方面，有3起與臺灣息息相關的事件需要我們重視，其中以駭客組織NoName057對臺發動第二波DDoS攻擊最受關注，包括聯電、緯創、世芯等半導體大廠，以及知名傳產台塑化，均發布資安重訊說明遭遇DDoS攻擊。由於這些消息發布多集中於週末期間，加上該駭客組織攻擊歐洲多國關鍵CI網站服務之後，一再鎖定臺灣攻擊，這種騷擾式攻擊恐成常態，國人應持續警戒，不可鬆懈。</p> <p>●聯電、緯創、世芯、松上、台塑化、發布重訊表示遭DDoS攻擊，親俄駭客組織NoName057再次宣稱是他們所為，數十個市公所與地檢署網站也是其目標。<br /> ●儲存設備業者喬鼎資訊發布重大訊息，說明遭遇網路攻擊，已啟動防護機制並對受害主機進行隔離。<br /> ●網傳PChome疑似資料庫外洩，網路家庭澄清並無此事，但該公司研判可能遭遇撞庫攻擊惹議，後續狀況值得留意。<br /> ●富達投資向美國緬因州等通報客戶個資外洩事故，7.7萬客戶個資受影響。<br /> ●Internet Archive遭駭，首頁內容遭置換，並發生逾3,100萬筆帳號外洩。</p> <p>這一星期適逢多家IT廠商發布每月例行安全更新，包含微軟、SAP等眾多業者針對多項重大漏洞釋出修補，企業組織應盡快進行評估與落實修補、緩解弱點的作業，還有6個漏洞已發現遭利用，格外需要留意。</p> <p>●微軟修補5個已被公開的零時差漏洞，其中有2個已遭利用，分別是涉及MSHTML的漏洞CVE-2024-43573，以及涉及MMC的漏洞CVE-2024-43572。<br /> ●高通修補多款晶片組中的零時差漏洞CVE-2024-43037，Google TAG指出已有利用跡象，後續Andorid系統的修補時程值得留意。<br /> ●Ivanti修補雲端服務設備CSA的3個零時差漏洞，分別是CVE-2024-9379、CVE-2024-9380、CVE-2024-9381，指出已有部分用戶的系統遭遇漏洞濫用活動。<br /> ●Fortinet在2月修補的已知漏洞CVE-2024-23113，近日發現有攻擊者針對未修補用戶來攻擊的情形。</p> <p>至於資安威脅態勢方面，大型電信公司遭滲透一事，引發國際關注。美國有多家電信業者遭遭中國駭客組織Salt Typhoon入侵，包括AT&T、Verizon與Lumen，而且駭客是針對特定目標而來，也就是針對美國政府合法向電信業要求資料的系統。此事件不僅引發美國政府的高度關注，全球電信業者也需要警惕。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/165372"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月7日】親俄駭客傳出再度發動DDoS攻擊，多家上市櫃公司網站受到影響</span></strong></a></h3> <p>親俄駭客NoName057因總統賴清德接受媒體採訪的回答裡，提及中國政府一再主張的維護領土完整性，認為他們應該要奪回清朝簽訂璦琿條約而割讓俄羅斯的土地，而引起駭客不滿，已於9月發起一波DDoS攻擊行動，上週又有企業組織傳出受害，並於股市公開觀測站發布重大訊息。</p> <p>值得留意的是，這些駭客不光針對企業而來，他們這次的目標也涵蓋臺灣多個政府機關。</p> <h3><a href="https://www.ithome.com.tw/news/165396"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月8日】美國水力關鍵基礎設施再傳遭遇網路攻擊</span></strong></a></h3> <p>最近幾年針對美國水力設施發動攻擊的情況不時傳出，例如：去年底<a href="https://www.ithome.com.tw/news/160133">伊朗駭客Cyber Av3ngers攻擊賓州阿里奎帕市水務局</a>，理由是該機構採用以色列自動化控制業者Unitronics的系統而成為目標；今年4月，<a href="https://www.ithome.com.tw/news/162507">德州小鎮供水系統傳出因遭到攻擊而失控</a>，資安業者Mandiant指出，很有可能是俄羅斯駭客Sandworm所為。這些事故多半針對地方供水系統而來，如今有橫跨14個州的業者American Water遭到網路攻擊而引起關注。</p> <p>值得留意的是，雖然該公司強調營運並未受到影響，但其網站至截稿為止並未恢復正常，實際影響有待觀察。</p> <p><a href="https://www.ithome.com.tw/news/165409"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月9日】零信任之父第一手導讀零信任架構</span></strong></a></p> <p>隨著資安威脅與日俱增，零信任架構成為最近幾年的熱門話題。但究竟什麼是零信任架構？在14年前提出此戰略理念的零信任之父John Kindervag，日前在國際半導體展（SEMICON 2024）召開的半導體資安趨勢高峰論壇發表演說，指出其核心理念就是「拒絕信任」。</p> <p>他以美國特勤局保護總統的策略來比喻零信任架構，揭示零信任3個核心理念的關鍵要素，企業組織也應該依循這樣的策略，保護資料及網路環境的資產。</p> <p><a href="https://www.ithome.com.tw/news/165452"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【10月11日】Mozilla修補遭到利用的Firefox零時差漏洞</span></strong></a></p> <p>近期針對瀏覽器的零時差漏洞攻擊不時傳出，其中又以鎖定市占率最高的Chrome較為常見，<a href="https://www.bleepingcomputer.com/news/security/google-tags-a-tenth-chrome-zero-day-as-exploited-this-year/">今年已出現9個零時差漏洞</a>，由於採用其排版引擎開發的瀏覽器也相當多，這些漏洞也同樣波及Edge、Brave、Vivaldi等應用程式，因而受到高度關注。</p> <p>相較之下，利用Firefox未公開漏洞的情況較為少見。最近Mozilla基金會的資安公告引起外界的注意，原因是他們近期修補的一項重大漏洞，已出現實際利用的情況。</p> </div></div></div>
2024/10/14 09:44作者羅正漢https://www.ithome.com.tw/news/165468
Ubuntu屆滿20歲，發布Ubuntu 24.10
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Canonical在10月10日發布了<a href="https://ubuntu.com/blog/canonical-releases-ubuntu-24-10-oracular-oriole" target="_blank">Ubuntu 24.10</a>，宣告Ubuntu正式邁入20歲。Canonical是利用年份及月份來命名Ubuntu，第一個版本是在2004年10月發表的Ubuntu 4.10，因此Ubuntu 24.10就是它的20歲版本。</p> <p>Ubuntu是個基於Debian的開源Linux作業系統，自2004年首次發表以來，很快便成為全球最受歡迎的Linux發行版。它每半年會有一個臨時版（Interim release），提供9個月的支援，每兩年會有一個長期支援版，提供5年的支援，其長期支援版的編號如20.04、22.04或24.04，Ubuntu 24.10則屬於臨時版。</p> <p>Ubuntu 24.10支援最新的Linux 6.11核心，搭載最新的GNOME 47桌面環境，整合了Valkey，強化安全性，同時加入了20周年的紀念元素。</p> <p>過去Canonical通常會使用相對穩定的Linux核心，但從Ubuntu 24.10開始，Canonical決定採用最新的Linux核心，這是一個重大的政策轉變，同時也意味著Ubuntu將可取得最新的Linux功能，也能支援更多的新硬體。GNOME 47除了改善使用者體驗之外，亦強化了效能及穩定性。</p> <p>此外，Ubuntu 24.10是首個預設包含OpenVEX及OSV格式漏洞報告的臨時版本，藉由採用開放標準來降低管理漏洞的複雜度。開源漏洞專案（Open Source Vulnerabilities，OSV）成員暨Google資深軟體工程師Oliver Chang表示，管理開源依賴項的已知漏洞非常困難，Canonical採用了OSV標準將替眾多開源專案簡化此一流程。</p> <p>Ubuntu 24.10也整合了高效能的鍵值資料儲存系統Valkey，可支援快取、訊息佇列及排行榜等任務，可作為獨立伺服器，也能於叢集中運作，已向後移植至Ubuntu 24.04 LTS，也會包含在未來的Ubuntu版本中。</p> <p>而為了慶祝20歲生日，Ubuntu 24.10還提供特殊的斑棕色，周年紀念桌布，以及最原始的啟動聲音。</p> <p>根據市場調查機構Statcounter Global Stats的<a href="https://gs.statcounter.com/os-market-share/desktop/worldwide" target="_blank">調查</a>，桌面作業系統前兩名依序是Windows的73.31%與macOS的15.45%，而Linux則以4.5%排名第三，超越Google Chrome OS的2.25%。而Stack Overflow也<a href="https://survey.stackoverflow.co/2024/technology#1-operating-system" target="_blank">調查</a>了最受開發人員青睞的作業系統，前兩名一樣由Windows及macOS占據，但Ubuntu以27.7%排名第三，是最受市場歡迎的Linux發行版，Debian則以9.8%排名第七。</p> </div></div></div>
2024/10/14 11:32作者陳曉莉https://www.ithome.com.tw/news/165469
卡西歐遭勒索軟體攻擊，攻擊者也曾駭入臺灣公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本消費電子大廠卡西歐（Casio）<a href="https://www.casio.co.jp/release/2024/1011-incident/" target="_blank">上周證實</a>，公司遭勒索軟體攻擊，造成公司多個系統一周無法使用，以及為數不詳的員工資料及部分客戶個資外洩。這個組織並在今年7月攻擊一家臺灣廠商。</p> <p>上周卡西歐透過<a href="https://www.casio.co.jp/release/2024/1008-incident/" target="_blank">官網公告</a>，10月5日該公司確認遭網路攻擊，經過調查顯示，未經授權的存取，致使該公司部份伺服器故障，造成多個系統無法運作，並導致一些服務斷線迄今。10月11日卡西歐公布初步調查結果，該公司及其關聯公司部分個資和機密資訊已外洩。</p> <p class="rtecenter"><a href="https://world.casio.com/news/2024/1011-incident/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1013-casio-1011-Ransomware%20Attack(2).png" style="width: 600px;" /></a></p> <p>Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/underground-ransomware-claims-attack-on-casio-leaks-stolen-data/" target="_blank">報導</a>，Underground背後的駭客組織宣稱犯案。駭客也在其網站公布其受害公司名單，以及一批卡西歐資料內容。</p> <p>資安業者Fortinet說明，這個組織名為RomCom或Storm-0978，專門部署Underground。Fortinet分析，該駭客組織是濫用Microsoft Office和HTML RCE漏洞CVE-2023-36884以入侵受害者網路，也可能使用電子郵件、或從其他駭客購得存取資料。微軟已在8月份的Patch Tuesday予以修補。</p> <p>根據Fortinet的研究，RomCom公布的受害名單光是從今年2月到7月就有十多家，包含一家臺灣公司。</p> <p>作為最新的受害者，卡西歐說明，10月初的攻擊外洩的資訊包括員工（包括臨時和約聘員工）個資、關聯企業的部份員工的個資、合作夥伴個資，以及應徵者個資、使用過卡西歐服務的部份客戶資訊。此外，卡西歐也被竊走合作夥伴合約、發票、銷售，及其和關係企業的法務、財敄、人事規劃、客服、銷售和技術資訊。</p> </div></div></div>
2024/10/13 20:32作者林妍溱https://www.ithome.com.tw/news/165467
OpenAI取締駭客用AI進行認知作戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://openai.com/global-affairs/an-update-on-disrupting-deceptive-uses-of-ai/" target="_blank">公布</a>非法使用整頓報告，揭露駭客以其AI工具撰寫惡意程式及生成內容，散布到X、Meta等社群平臺發動認知作戰的趨勢。</p> <p>OpenAI推出各種允許開發人員用以開發、微調模型的線上工具，並且致力於執行防範濫用及促進AI內容透明度的政策，其中特別著重隱匿影響力作戰（influence operations，IO，即認知作戰）的偵測和防堵，這類攻擊旨在隱藏行為者的真實身份或意見並操弄公眾意見或影響政治運作結果。</p> <p>根據公布的<a href="https://downloads.ctfassets.net/kftzwdyauwt9/5IMxzTmUclSOAcWUXbkVrK/3cfab518e6b10789ab8843bcca18b633/Threat_Intel_Report.pdf" target="_blank">報告</a>，過去三個月OpenAI偵測並阻止了5起使用其模型協助欺騙性行動的隱匿式影響力作戰，二起和俄羅斯有關，中國和伊朗相關活動各一起，以及一起和以色列商業公司有關的活動。其中俄羅斯利用其模型設計X、Telegram或臉書、9GAG等社群平臺的政治宣傳訊息，或開發貼文及按讚機器人用於對烏克蘭、波羅的海地區用戶認知作戰。可能和中國公安部有關的中國組織Spamouflage，利用Meta散布批評異議人士如蔡霞的內容。</p> <p>伊朗組織國際虛擬媒體聯盟（IUVM）以AI優化網站主題及內容，散布反美、反以色列的內容。以色列則是由民間公司STOIC發動Zero Zeno活動，在社群平臺、YouTube釋放反哈瑪斯、支持占領加薩走廊、反印度執政黨BJP訊息。</p> <p>OpenAI分析近來AI濫用行為，包含以AI設計或優化社群或網站主題與內容，以及利用AI機器人（bot）自行回應貼文、按讚以壯大聲勢。但目前無法做到全由AI生成內容，仍然必須搭配人類小編撰寫文字或從網路上複製謎因。</p> <p>OpenAI重申，該公司已為模型加入安全防護，包括拒絕生成違規的圖片和文字，且使用自製AI工具協助偵測和分析違法使用。</p> <p>有趣的是，雖然OpenAI推出AI工具強化內容平臺的用戶參與度，但OpenAI分析研究顯示，使用AI有助於提升生產力，不過在X、Telegram、Facebook、Medium、Google Blogspot和小型論壇散布AI生成的內容，似乎無助於大幅提升讀者參與度。</p> </div></div></div>
2024/10/13 20:13作者林妍溱https://www.ithome.com.tw/news/165466
英特爾推出AI PC處理器Arrow Lake，主打AI、低耗電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周在<a href="https://www.ithome.com.tw/news/165447" target="_blank">AMD</a>發表新GPU加速器同時，英特爾<a href="https://www.intel.com/content/www/us/en/newsroom/news/core-ultra-200s-series-desktop.html#gs.gjeohj" target="_blank">公布</a>代號Arrow Lake的AI PC處理器Core Ultra 200S系列，主打專用AI執行效能及超低耗電，最多比上一代省電58%，且執行AI應用比對手快50%。</p> <p>英特爾表示Core Ultra 200S系列為PC將把AI PC功能帶入桌機平臺，並將引進第一批玩家級AI PC。Core Ultra 200S系列包含5款，價格294美元的從14核Core Ultra 245KF到589美元的24核Core Ultra 9 285K。最高階的Core Ultra 9 285K最多可包含8個次世代效能核心（P-Core），及最多16個省電核心（E-Core），其中P-Core也號稱是桌機處理器效能最快，在多執行緒工作負載比前一代Intel Core i9（14900K）的效能提高14%。</p> <p>Core Ultra 200S將在2024年10月24日於零售與線上通路開賣，搭載這款處理器的PC也會同時上市。</p> <p>根據<a href="https://download.intel.com/newsroom/2024/client-computing/Product-Brief-Intel-Core-Ultra-200S-series-processors.pdf" target="_blank">官方資料</a>，Ultra 200S新採用整合式NPU及Xe LPG Graphics架構GPU用於AI加速。專用NPU可提供13 TOP/s的AI算力，GPU最高提供8 TOP/s，CPU最高提供15 TOPs，總和平臺算力可達36 TOPs。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Intel%20Core%20Ultra%20200S-2.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／英特爾</span></span></p> <p>今年6月英特爾公布的Lunar Lake處理器已具備48 TOPS算力，但是英特爾稱Arrow Lake是該公司第一款，也是最好的玩家級的AI PC處理器，理由是它是首款有專用AI加速器（NPU）的玩家級PC處理器。</p> <p>Core Ultra 200S系列強調內容製作和電玩應用執行上具備強大效能。英特爾說明，Core Ultra 200S（Ultra 9 285K）執行AI創作者應用，如製作影片或圖片時，效能比競爭者（AMD Ryzen 9）高50%，創新設計將AI運算執行在專屬NPU上，使獨立Xe GPU的效能可用於遊戲影格效率（frame rate），因而大幅降低AI作業負載的能耗，實現遊戲中的輔助應用場景，像是臉部和動作追蹤，卻不影響遊戲效能。</p> <p>而在每日一般應用中，Core Ultra 200S也號稱在耗電省58%，在電玩應用則最高省電165瓦，單一執行緒應用效能較前代高6%，而在多執行應用效能最多快14%。</p> <p>其他規格方面，Core Ultra 200S系列採用的Intel 800系列晶片組，將平臺相容性擴展到24 PCIe 4.0 lane、最多8 TATA 3.0 ports及最多10 USB 3.2 port，可使用最新路連網或儲存設備。新系列支援2 Thunderbolt 4 ports、Wi-Fi 6E及Bluetooth 5.3。其新的記憶體控制器支援新的XMP和CUDIMM DDR5，每DIMM 48GB，總和最高192GB。Ultra 200S並以Silicon Security Engine提供硬體驗證，確保經授權的人員和應用才能存取資料。</p> </div></div></div>
2024/10/12 22:55作者林妍溱https://www.ithome.com.tw/news/165465
AI趨勢周報第261期：UI螢幕互動成多模態模型新戰場，蘋果揭露新研究成果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（1004～1010）</span></h3> <h3><span style="font-size: 13px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 蘋果 </span></strong></span><span style="font-size: 13px;"> </span><span style="font-size: 13px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> UI螢幕 </span></strong></span><span style="font-size: 13px;"> </span><span style="font-size: 13px; color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MM1.5 </span></strong></span></h3> <p><span style="font-size: 22px;"><strong>UI螢幕互動成多模態模型新戰場，蘋果揭露新研究成果</strong></span></p> <p>蘋果發表多模態大型語言模型MM1.5系列模型，透過訓練階段精挑細選的資料混合方法，提高了模型對多文字圖像理解、視覺引用和定位（Grounding）以及多圖像推理的能力。該模型架構以前一代模型MM1架構為基礎，訓練原則也延續以資料為中心，探索在不同訓練周期中，不同的混合資料方法對模型表現的影響。</p> <p>舉例來說，團隊在MM1.5持續預訓練階段，導入高品質的OCR資料和合成圖說，可大幅提升模型對多文字圖像的理解力。又或是在監督式微調階段，對不同類型資料的影響進行分析，找出最佳的視覺指令微調資料混合方法。MM1.5系列模型的大小從10億參數到300億參數不等，採用不同類型架構，如密集模型和專家混合（MoE）模型。團隊表示，即使是10億參數和30億參數的小規模模型，透過精細的資料管理和訓練策略，也能發揮強大表現。</p> <p>特別的是，蘋果還同時打造了專門處理影片理解的模型MM1.5-Video，以及專門理解行動裝置UI（如iPhone螢幕）的MM1.5-UI模型。他們強調，將多模態模型應用於行動裝置螢幕互動，比如代表使用者與裝置互動或與使用者一起理解UI，是一項有潛力的應用場景，可提高使用效率和生產力。而MM1.5-UI單一模型，就能執行多種視覺引用和定位任務，還能摘要UI螢幕上的功能，甚至透過與使用者對話來互動。雖然模型拿下SOTA表現，團隊將繼續優化模型，比如透過多模態融合方法，將文字、圖片和使用者互動資料融合，設計出更複雜的網路架構，來讓模型參考多種資料來源、提高對行動裝置UI的理解。<a href="https://huggingface.co/papers/2409.20566">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-10-11%20180406.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">諾貝爾物理獎 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 神經網路 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>兩位機器學習先鋒獲得諾貝爾物理獎</strong></span></p> <p>瑞典皇家科學院日前宣布2024年諾貝爾物理獎得主，包括現年91歲的John Hopfield和76歲的Geoffrey Hinton，來表彰他們從1980年代開始，就以人工神經網路打下機器學習基礎。瑞典皇家科學院表示，人們談論的AI，通常指以人工神經網路為基礎的機器學習，也就是受大腦結構啟發，在人工神經網路中，大腦的神經元由不同值的節點來表現，節點之間透過連結來相互影響，如同大腦中的突觸，並可調整連結的強弱。</p> <p>其中，Hopfield是著名的理論物理學家及神經科學家，曾建立開創性的Hopfield網路，以一種特殊的方式來儲存並重建模式（Pattern）。簡單地說，該網路是透過物理學中，能量最小化的過程來進行自我組織與學習，成為之後許多深度學習研究的靈感來源。Hinton則以Hopfield網路為基礎，利用統計物理學工具，以不同方式建立了Boltzmann機器網路，能自動學習、辨識資料中的特徵，比如分類圖片，此舉推動了機器學習的重大發展。<a href="https://www.nobelprize.org/prizes/physics/2024/press-release/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Meta </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 配樂 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Meta預告影片生成AI模型Movie Gen</strong></span></p> <p>Meta最近揭露AI影片生成模型Meta Movie Gen，可生成高品質的圖片和影片、音效或配樂，效能比OpenAI Sora等先進模型要好。不過，Movie Gen還在開發中，Meta在官方部落格稱其為AI媒體研究的重大突破，具多模態能力，可處理圖片、影像和聲音，開發者輸入文字提示即可產生影片和音訊、編輯現有影片，或是將圖片轉化為影片，克服了生成影片常出現的物件扭曲／模糊、動作不自然、或罕見動作不完整等問題。</p> <p>早在2022年，Meta就發布第一代多模態AI模型Make-A-Scene，能產製影音、圖片和3D動畫，第二代則是基於擴散模型的Llama Image基礎模型，提供更高影音品質及圖片編輯功能。Movie Gen屬於第三代，融合所有模態，是以經授權或公開可用的資料集訓練而成的300億參數Transformer模型。該模型有4個版本，包括影片生成、個人化影片生成、精準影片編輯和聲音生成版本。Meta指出，Movie Gen將成為Meta未來多項新服務的底層引擎，比如明年將用於IG，未來也會整合其他平臺產品。<a href="https://ai.meta.com/research/movie-gen/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Screen%20Shot%202024-10-12%20at%209_34_03%20PM.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 3D </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Depth Pro </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果新模型1秒內將2D圖片轉為3D</strong></span></p> <p>蘋果日前展示最新視覺模型Depth Pro，能在不使用相機影像情況下，將2D圖片轉化成3D圖，在V100 GPU上0.3秒就完成。Depth Pro是一種零樣本單眼深度估計（Monocular depth estimation）的基礎模型，能在高解析度深度圖片中，加入細節銳利度，成為高品質3D圖像。</p> <p>使用單眼深度估計技術的好處是，可應用於任何類型圖片，還能零樣本訓練出具可量測的深度，能準確重製物件形狀、場景布局。尤其，這種模型預測方法不需要感測器數據，即可準確預測，也能用任何單一圖片來合成想要的圖片。</p> <p>在研究方法上，團隊使用2個視覺Transformer（ViT）模型，包括影像補片編碼器和一個影像編碼器，前者將圖片切成小補片，完成特徵提取、推論圖片像素的深度，後者以上下文訊息提升深度估計的準確性。在後處理階段，團隊以真實和合成資料集來提升量測準確性，以及物件邊界追蹤能力，再加上另一個影像編碼器模型提供的焦距估計，來優化3D圖片生成結果。最後，蘋果也發布Depth Pro模型程式碼和加權值。<a href="https://machinelearning.apple.com/research/depth-pro">（詳全文）</a></p> <p><img alt="" src="https://mlr.cdn-apple.com/media/depth_pro_teaser_5556ec04fe.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini Nano </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Android </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>輕量模型Gemini Nano開放測試</strong></span></p> <p>Google最近提供開發工具AI Edge SDK，Android開發者可用來試用Gemini Nano模型，打造各種場景的Android應用。進一步來說，Gemini Nano是Google Gemini系列模型之一，專門針對裝置端任務設計，模型可在裝置端完成所有運算，不需連接雲端伺服器。也就是說，敏感資料可留在裝置，且模型無需網路連線，也能提供完整功能。</p> <p>Gemini Nano適用的場景有智慧回覆、文本改寫、校對或是文件摘要，開發者可透過AI Edge SDK整合，控制輸出隨機性、Top K和回應最大長度等推理參數，來滿足不同應用需求。目前，Google開放給開發者測試的是Gemini Nano 2模型，而且，Google也開發一套Android系統服務AICore，可讓開發者簡單在裝置端執行模型，不必自己發布執行環境、模型和其他元件。<a href="https://android-developers.googleblog.com/2024/10/gemini-nano-experimental-access-available-on-android.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Copilot Labs </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 瀏覽體驗 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟發表新Copilot AI服務與功能</strong></span></p> <p>最近，微軟發表AI服務Copilot Labs，內含各種實驗性的新AI功能，首波新功能包括可理解使用者所查看網頁的Copilot Vision、能回答複雜問題的Think Deeper。其中，Copilot Vision是瀏覽器Edge的視覺AI助手，使用者允許，它就能與使用者正在閱讀的網頁互動，或是建議下一步，如摘錄、翻譯、尋找商品等。Think Deeper負責回答複雜問題，如使用者可詢問應該要搬到A城市還是B城市，或詢問哪款汽車最適合使用者的需求。</p> <p>同時，微軟也推出能與使用者語音交流的Copilot Voice、可摘錄新聞或天氣消息的Copilot Daily，其中，Copilot Voice是一個AI語音助理，有4種不同聲音，可在所有支援Copilot的平臺上使用。但該功能目前僅支援英文，只在美國、加拿大、英國、澳洲及紐西蘭等市場推出。Copilot Daily則是Copilot Voice衍生服務之一，使用者可透過Copilot Voice聲音，來唸出新聞與天氣重點。Copilot Voice與Copilot Daily目前皆免費使用。此外，微軟還更新瀏覽體驗，使用者能直接在Microsoft Edge中的網址列，輸入@copilot來啟用Copilot，或輸入Bing generative search來體驗生成式搜尋。<a href="https://www.microsoft.com/en-us/microsoft-copilot/blog/2024/10/01/introducing-copilot-labs-and-copilot-vision/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> PyTorch </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 運算效能 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> torchao </span></strong></span></p> <p><span style="font-size:22px;"><strong>可大幅改進AI模型運算效能！PyTorch釋出torchao函式庫</strong></span></p> <p>PyTorch最近發布全新原生函式庫torchao，透過低精度資料型態、量化和稀疏性技術，減少模型的計算成本和記憶體使用量，讓模型執行更有效率。torchao提供一套容易上手的工具組，支援多種模型推論和訓練最佳化方法，可廣泛用於PyTorch模型，LLaMA 3和Diffusion模型的效能都顯著提升。</p> <p>低精度資料型態是torchao加速的關鍵之一，該工具支援float8、int4等低精度資料型態，能有效減少計算成本和記憶體使用需求，像是在LLaMA 3 70B模型預訓練中，torchao提供了float8訓練流程，可將模型運算加速達1.5倍。在推論方面，torchao提供多種量化方式，包括權重量化和動態啟動量化。使用者可透過API自行選擇適合的量化策略，來達到最佳推論效能。稀疏性技術也是torchao提升模型效率的重要手段，有了稀疏性，torchao可最佳化模型參數計算，降低不必要的運算耗能。<a href="https://pytorch.org/blog/pytorch-native-architecture-optimization/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 多模態模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> NVLM </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Nvidia開源媲美GPT-4o的多模態模型NVLM 1.0</strong></span></p> <p>Nvidia在上個月發表多模態大型語言模型NVLM 1.0，號稱能與封閉的GPT-4o或開源的Llama 3-V 405B、InternVL 2等模型媲美，最近則開源NVLM 1.0模型權重，接下來還會提供基於Megatron-Core框架的程式碼。就NVLM 1.0模型設計來說，Nvidia先是比較解碼器架構模型，也採用交叉注意力機制模型，根據其優缺點提出一種全新架構，來提升訓練效率和多模態推論能力。</p> <p>NVLM 1.0 72B在許多基準測試上雖然不是最突出，但在視覺語言及純文字任務上，都與Llama 3-V、GPT-4o、Claude 3.5 Sonnet和Gemini 1.5 Pro等模型相當，尤其在衡量光學字元辨識能力的OCRBench、自然圖像理解能力的VQAv2基準測試表現優異。NVLM 1.0 72B的指令遵循能力也不錯，且由於結合了OCR、推論、定位、常識、世界知識與程式碼撰寫等能力，綜合理解能力也更強大。<a href="https://nvlm-project.github.io/">（詳全文）</a></p> <p><img alt="" src="https://nvlm-project.github.io/jensen_v3.png" /></p> <p>圖片來源／蘋果、Meta、Nvidia</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. OpenAI釋出更快的語音辨識模型Whisper large-v3-turbo</strong></p> <p><strong>2. <a href="https://github.com/Doriandarko/o1-engineer?utm_campaign=Data%20Points&utm_source=hs_email&utm_medium=email&_hsenc=p2ANqtz-8Oit_bI2dCPM_umZ2otE05qE4G9L4xQVx4OffZa2O5oYfMHgxeiP1Dl8lk-B0SrQg4FUS8">O1-engineer程式碼撰寫工具在GitHub上開源，以OpenAI API驅動</a></strong></p> <p>資料來源：iThome整理，2024年10月</p> </div></div></div>
2024/10/11 18:28作者王若樸https://www.ithome.com.tw/news/165461
微軟逐步擴大公測Windows 11 24H2，加入Sudo for Windows，更新開始選單、移除WordPad…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周<a href="https://blogs.windows.com/windows-insider/2024/10/11/announcing-windows-11-insider-preview-build-26120-2122-dev-channel/" target="_blank">宣布</a>Windows 11下半年主要更新測試版24H2已透過Dev Channel頻道釋出給Insiders方案用戶，加入Sudo for Windows，更新了開始選單，並終於移除WordPad及Mixed Reality。</p> <p>透過Dev Channel的變更、功能更新或修補程式將分成二種方式釋出，一是部署給啟動Windows Update主動接收更新的Insiders測試用戶，二是釋出給Dev Channel的所有用戶。測試版釋出預告正式版即將釋出給一般PC用戶。</p> <p>剛釋出的更新版為Preview Build 26120.2122（KB5044374），包含新加入功能、功能更新，以及取消的功能。其中開始選單（Start menu）加入「建議」，即Microsoft Store推薦的應用程式，但這更偏向廣告式的推薦，用戶可以從設定中關閉。新的通知（Notification）功能允許用戶停止某些應用的通知關閉建議。點擊通知右上角的省略號（…）選單，或在「設定 > 系統 > 通知」中即可選擇關閉選項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Windows%2011%20Insider%20Preview-%20recommended%20app%20on%20the%20Start%20menu.png" style="width: 600px;" /></p> <p>Sudo for Windows功能正式加入，讓用戶直接從Windows上未提升權限的主控臺工作階段以管理員身分執行提升權限命令的新方法，一如Linux和Mac的Sudo。但這功能預設關閉，用戶必須到「設定>開發人員」開啟。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Sudo%20for%20Windows.png" style="width: 600px;" /></p> <p>Wi-Fi連線對初次安裝Windows的用戶來說是很困擾的事，如果Windows未內建用戶Wi-Fi路由器的驅動程式。Windows 11 24H2允許用戶以USB隨身碟安裝Wi-Fi路由器的驅動程式來解決問題。但是用戶還是需要登入微軟帳號。</p> <p>更新版Windows 11加入的受保護的列印模式（protected print mode）中，Windows將預設支援通用驅動程式，逐步淘汰對第三方列印驅動程式的支援。微軟短期內不會終止對第三方列印驅動程式的支援，但是外部廠商遲早應支援Internet Printing Protocol（IPP）標準。</p> <p>Checkpoint cumulative updates是一項加快每次更新的新功能，它是為了解決全新更新（clean install）用戶或久久更新一次的PC每次冗長的更新困擾而設計。微軟將特定版號的Windows更新列為檢查點（checkpoint），用戶下次更新時，Windows會檢查這次更新和上個檢查點版本之間有變更的地方，沒變更的地方即無需下載。</p> <p>其他重要新增功能包括預覽Windows Sandbox用戶端App，Sandbox是一個輕量級虛擬化環境，讓用戶在VM中運行不受信任的應用程式。功能包含執行時剪貼簿重定向、聲音和影片輸入控制，以及執行時與主機共享資料夾的功能，還支援命令行。這些功能可以透過省略號（…）設定。虛擬硬碟（VHD/VHDx）功能新增卸載虛擬硬碟的按鈕。在VHD或VHDx的屬性（Properties）中即可找到本功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1012-Windows%2011%20Insider%20Preview-Windows%20Sandbox.png" style="width: 600px;" /></p> <p>也有些東西要從24H2消失。首先，繼本月初<a href="https://www.theverge.com/2024/10/1/24259369/microsoft-hololens-2-discontinuation-support" target="_blank">宣布</a>終止支援HoloLens 2後，Windows 11 24H2也不再內建Mixed Reality。另外去年<a href="https://www.ithome.com.tw/news/158561" target="_blank">預告</a>淘汰的小作家（WordPad），微軟正式在24H2中移除。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2024/10/12 21:08作者林妍溱https://www.ithome.com.tw/news/165464
【資安日報】10月11日，Mozilla修補遭到利用的Firefox零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期針對瀏覽器的零時差漏洞攻擊不時傳出，其中又以鎖定市占率最高的Chrome較為常見，<a href="https://www.bleepingcomputer.com/news/security/google-tags-a-tenth-chrome-zero-day-as-exploited-this-year/">今年已出現9個零時差漏洞</a>，由於採用其排版引擎開發的瀏覽器也相當多，這些漏洞也同樣波及Edge、Brave、Vivaldi等應用程式，因而受到高度關注。</p> <p>相較之下，利用Firefox未公開漏洞的情況較為少見。最近Mozilla基金會的資安公告引起外界的注意，原因是他們近期修補的一項重大漏洞，已出現實際利用的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165450"><strong style="font-size: 22px;">Veeam備份軟體漏洞遭勒索軟體Akira、Fog濫用，至少發動4起攻擊行動</strong></a></p> <p>9月初備份與資料保護軟體廠商Veeam修補旗下備份軟體Backup & Replication漏洞CVE-2024-40711，問題在於，系統對資料的可信度未進行驗證，就進行反序列化處理，攻擊者可在未經授權的情況下，藉由惡意酬載遠端執行程式碼（RCE），CVSS風險評分達到9.8，當時通報此事的資安業者Code White呼籲企業要儘速修補，並認為接下來該漏洞很有可能會遭到勒索軟體駭客利用，如今有研究人員證實這項推論已經成真。</p> <p>資安業者Sophos指出，他們過去1個月追蹤利用這項已知漏洞的攻擊行動，駭客藉由外流的帳密與該漏洞，嘗試建立帳號並部署勒索軟體Akira、Fog。</p> <p>勒索軟體駭客利用Backup & Replication已知漏洞的情況已非首例，例如：今年7月，資安業者Group-IB指出有人利用去年3月修補的CVE-2023-27532，企圖部署勒索軟體Estate。</p> <p><a href="https://www.ithome.com.tw/news/165432"><strong style="font-size: 22px;">今年初修補的Fortinet資安系統RCE漏洞被用於實際攻擊行動，並得到CISA證實</strong></a></p> <p>美國網路安全暨基礎架構安全管理局（Cybersecurity and Infrastructure Security Agency，CISA）本周公告，Fortinet在8個月前修補的重大風險漏洞已發生濫用事件，要求聯邦機構於10月30日前完成修補。</p> <p>遭到濫用的漏洞為CVE-2024-23113，為FortiOS防火牆作業系統fgfmd程式的格式化字串漏洞，攻擊者可透過操弄輸入的訊息格式觸發，而在未經授權情況下在FortiOS執行任意程式碼或指令，本漏洞風險值達9.8，Fortinet已在今年2月修補。</p> <p>值得留意的是，CVE-2024-23113影響Fortinet多項產品，包括防火牆FortiGate、網頁安全閘道FortiProxy、特權存取管理FortiPAM、交換器集中管理平臺FortiSwitch Manager。</p> <p><a href="https://www.ithome.com.tw/news/165431"><strong style="font-size: 22px;">富達投資被駭，7.7萬客戶資料外洩</strong></a></p> <p>跨國金融業者富達投資（Fidelity Investments）本月稍早通報州主管機關，公司系統遭駭客存取，致使大約7.7萬名客戶個資外洩。</p> <p>富達投資已在本周以電子郵件通知受影響消費者。根據該公司提供給官方的文件，在今年8月17到19日之間，外部組織利用2名客戶新增的帳號非授權存取了公司系統，並取得客戶資料。該公司立即採取行動切斷了存取管道。</p> <p>富達提供給另一個州政府的文件中，透露這次外洩的客戶個資包含社會安全號碼、駕照號碼、銀行帳號，這是最近1年富達第5起資料外洩事故。</p> <p><a href="https://www.ithome.com.tw/news/165426"><strong style="font-size: 22px;">Internet Archive遭駭，逾3,100萬筆帳號外洩</strong></a></p> <p>網際網路檔案館（Internet Archive，IA）周三（10月9日）遭到駭客入侵，駭客塗改了該平臺的首頁，宣稱其安全性弱不禁風，而且已與Have I Been Pwned（HIBP）分享了所盜走的逾3,100萬筆帳號。</p> <p>1996年成立的IA為一非營利組織，定位為數位圖書館，宗旨為讓所有的知識普遍化，於是該站搜集了各式各樣的數位內容，包括網頁、軟體、遊戲、音樂、影片及數百萬本圖書，最有名的工具之一是「時光機」（Wayback Machine），允許人們存取特定時間、或許已經消失的網頁。</p> <p>Internet Archive創辦人Brewster Kahle證實確有此事，表示該網站遭到分散式服務阻斷（DDoS）攻擊，駭客藉由JS程式庫進行汙染，外洩了使用者名稱、電子郵件，以及經加鹽處理的密碼。該平臺緊急關閉JS函式庫，全面清理系統，同時升級安全機制因應。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://jscrambler.com/blog/the-mongolian-skimmer">駭客濫用萬國碼在電商網站埋藏側錄工具Mongolian Skimmer</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/us-uk-warn-of-russian-apt29-hackers-targeting-zimbra-teamcity-servers/">俄羅斯駭客APT29鎖定Zimbra、TeamCity伺服器下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/casio-hit-by-cyberattack/">卡西歐傳出遭到網路攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165442"><strong style="font-size: 22px;">Mozilla發布Firefox更新，修補已遭利用的零時差漏洞</strong></a></p> <p>10月9日Mozilla基金會發布資安公告，緊急修補Firefox重大層級的零時差漏洞CVE-2024-9680，這項漏洞由資安業者ESET通報，存在於Animation元件的時間軸，為記憶體釋放後再存取使用（Use After Free）漏洞，CVSS風險評分達到9.8（滿分10分），該基金會發布Firefox 131.0.2，以及長期支援版（ESR）128.3.1、115.16.1修補。值得留意的是，已有攻擊者試圖利用這項漏洞。</p> <p>針對這項漏洞帶來的影響，Mozilla基金會指出，攻擊者若是觸發漏洞，就有機會藉由Animation元件的時間軸，引發記憶體釋放後再存取使用的現象，而能在特定處理程序執行程式碼。</p> <p>他們特別提及，已接獲漏洞被實際利用的通報。究竟駭客如何利用漏洞？該基金會並未進一步說明。</p> <p><a href="https://www.ithome.com.tw/news/165424"><strong style="font-size: 22px;">Palo Alto Networks修補產品轉移工具重大漏洞</strong></a></p> <p>資安業者Palo Alto Networks發布安全公告，修補平臺轉移工具Palo Alto Networks Expedition的重大風險漏洞，這些弱點可能用於遠端程式碼執行、密碼外洩與釣魚攻擊。</p> <p>這批修補的漏洞包括編號CVE-2024-9463到CVE-2024-9467的7項漏洞，皆與防火牆組態轉移工具Expedition有關。根據CVSS風險評分，其中，以作業系統命令注入漏洞CVE-2024-9463及CVE-2024-9464最為嚴重，資安風險各為9.9分與9.4分，能讓攻擊者以root權限執行任意指令，濫用漏洞皆能導致執行PAN-OS作業系統的防火牆的使用者名稱、明文儲存的密碼、裝置配置和裝置API洩露。</p> <p>另一個被列為重大層級的是SQL注入漏洞CVE-2024-9465，濫用的結果可導致未經授權的攻擊者外洩Expedition資料庫內容，導致密碼雜湊值、用戶名稱、裝置配置和裝置API曝光，攻擊者還可利用這些資訊在Expedition系統讀取和新增任意檔案。該漏洞風險值為9.2。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://about.gitlab.com/releases/2024/10/09/patch-release-gitlab-17-4-2-released/">GitLab發布17.4.2新版，修補任意分支管道執行漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://helpx.adobe.com/security/products/magento/apsb24-73.html">Adobe修補電子商務平臺重大層級漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165220"><strong style="font-size: 22px;">Gogolook揭露併購ScamAdviser的後續發展</strong></a></p> <p>隨著防詐需求持續成長，臺灣廠商的發展動向與成長情形，也成各界關切焦點。以阻擋惡意電話與簡訊Whoscall聞名的Gogolook（走著瞧-創），去年在創新板掛牌上市、今年5月則宣布併購荷蘭數位防詐服務商ScamAdviser。</p> <p>在併購案宣布4個月後，該公司於9月24日首度公布最新的全球發展策略，當中宣布一項重大轉變，未來將以ScamAdviser為品牌，加速拓展全球企業防詐市場，希望從東亞切入更廣泛的國際市場。</p> <p>在這次改變下，企業端防詐領域的ScamAdviser將成為Gogolook的三大事業體之一，其他事業體則是消費防詐領域的Whoscall，以及金融科技領域的袋鼠金融。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165409"><strong>【10月9日】零信任之父第一手導讀零信任架構</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165396"><strong>【10月8日】美國水力關鍵基礎設施再傳遭遇網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165372"><strong>【10月7日】親俄駭客傳出再度發動DDoS攻擊，多家上市櫃公司網站受到影響</strong></a></p> </div></div></div>
2024/10/11 16:52作者周峻佑https://www.ithome.com.tw/news/165452
Veeam備份軟體漏洞遭勒索軟體Akira、Fog濫用，至少發動4起攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月初備份與資料保護軟體廠商Veeam<a href="https://www.ithome.com.tw/news/164972">修補旗下備份軟體Backup & Replication漏洞CVE-2024-40711</a>，問題在於，系統對資料的可信度未進行驗證，就進行反序列化處理，攻擊者可在未經授權的情況下，藉由惡意酬載遠端執行程式碼（RCE），CVSS風險評分達到9.8，當時通報此事的資安業者Code White呼籲企業要儘速修補，<a href="https://x.com/codewhitesec/status/1831720125747069389">並認為接下來該漏洞很有可能會遭到勒索軟體駭客利用</a>，如今有研究人員證實這項推論已經成真。</p> <p>資安業者Sophos指出，<a href="https://infosec.exchange/@SophosXOps/113284564225476186">他們過去1個月追蹤利用這項已知漏洞的攻擊行動</a>，駭客藉由外流的帳密與該漏洞，嘗試建立帳號並部署勒索軟體Akira、Fog。</p> <p>在這些攻擊行動裡，駭客初期都是針對並未採用多因素驗證（MFA）且已被入侵的VPN閘道下手，其中部分系統甚至採用已不再受到支援的舊版軟體。</p> <p>再者，攻擊者透過8000連接埠觸發Veeam漏洞，藉由Veeam.Backup.MountService.exe產生net.exe，並產生名為point的本機帳號，接著，他們將該帳號加入本機管理員及遠端桌面使用者群組。</p> <p>研究人員在其中一起事故發現攻擊者企圖散布Fog，不久之後，就發現另一起部署Akira的活動，他們總共找到4起漏洞利用事故，相關指標皆與Akira及Fog過往的攻擊行動特徵相符。</p> <p>比較特別的是，在其中一起Fog資安事故當中，攻擊者在未受保護的Hyper-V伺服器部署勒索軟體，並利用rclone外洩竊得的資料。</p> <p>勒索軟體駭客利用Backup & Replication已知漏洞的情況已非首例，例如：今年7月，資安業者Group-IB指出<a href="https://www.ithome.com.tw/news/163936">有人利用去年3月修補的CVE-2023-27532，企圖部署勒索軟體Estate</a>。</p> </div></div></div>
2024/10/11 15:57作者周峻佑https://www.ithome.com.tw/news/165450
9月俄羅斯防毒軟體業者Dr.Web遇網攻，有烏克蘭駭客聲稱是他們所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>9月17日<a href="https://news.drweb.com/show/?i=14904&lng=en">俄羅斯防毒業者Dr.Web發布公告</a>，指出14日遭遇目標式攻擊，駭客企圖破壞他們的基礎設施，但並未成功。當時該公司將所有的資源切斷網路連線，並進行檢查，他們一度暫停更新病毒特徵碼資料庫。事隔近1個月，這起事故有了新的發展。</p> <p>根據資安新聞網站HackRaed的報導，<a href="https://hackread.com/dumpforums-russian-cybersecurity-firm-dr-web-data-breach/">10月8日有人在支持烏克蘭的駭客論壇DumpForums宣稱</a>，這起事故是他們所為，該組人馬已成功入侵該防毒業者的基礎設施，並在短短幾天內存取伺服器及資源，總共竊得超過10 TB內部資料。</p> <p>這些駭客也號稱從GitLab伺服器竊取資料，並指出當中存放了內部開發專案相關檔案，包含公司郵件伺服器、Confluence、Redmine、Jenkins、Manti、RocketChat。</p> <p>此外，他們甚至表明下載含有全部用戶端的資料庫檔案，並在自己經營的論壇公布相關內容。</p> <p>值得留意的是，這些駭客表明掌握了該公司網域控制器，使得他們能夠在其網路環境活動1個月而不被發現，並且持續挖掘大量的敏感資料。</p> <p>對此Dr.Web在10月9日<a href="http://news.drweb.com/show/?i=14921&lng=en">發布聲明</a>，表示他們知悉有人在Telegram頻道宣稱成功攻擊基礎設施的情況，並強調這些描述大多都是假的，該公司開發環境及客戶資料並未受到這起資安事故影響，他們的軟體元件及病毒資料庫也不會對用戶造成威脅。</p> <p>Dr.Web透露攻擊者打算藉此勒索，但他們不予理會，執法單位已介入調查。針對這起事故，他們正對於Telegram頻道流傳的螢幕截圖進行檢查，確保自家資料並未受害。</p> </div></div></div>
2024/10/11 15:02作者周峻佑https://www.ithome.com.tw/news/165448
Cloud周報第212期：SAP推出生成式AI助理Joule的擴展功能，增加可自訂技能的協作型AI代理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);"><strong>重點新聞（09/26～10/02）</strong></span></p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">生成式AI助理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SAP</span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">SAP擴展生成式AI助理Joule加入新功能，增加可自訂技能的協作型AI代理</span></strong></p> <p>在近日舉行SAP TechEd技術大會，SAP宣布將擴展生成式AI助理Joule的功能，包括推出可自訂技能的協作型AI代理，未來可以結合跨業務領域的專業知識，透過協作完成複雜的工作流程。</p> <p>透過Joule的新功能，企業可以根據需求自訂協作型AI代理的不同技能，以應對各類業務需求。SAP舉例，在糾紛解決管理上，協作型AI代理可以用來分析並處理爭議情況，例如發票不正確、遺失、未分配的信用以及被拒絕或重複付款等問題。在財務會計領域，則能自動化帳單支付、發票處理和帳本更新，簡化關鍵財務流程，同時快速解決不一致或錯誤。</p> <p>此外，SAP 也為開發人員推出了一系列新產品，例如在SAP Build推出生成式 AI功能，可以提供程式碼解釋和文件搜尋，縮短Java和avaScript開發人員的開發，還時間，此外，增加可擴充的精靈功能，開發人員從雲端版SAP S/4HANA就能對SAP Build進行存取，同時ABAP 開發人員也能從SAP Build 存取 ABAP Cloud 開發工具。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Azure OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4o </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">微軟Azure OpenAI推出低延遲GPT-4o模型公開預覽，可支援即時語音與音訊互動 </span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202024-10-04%20%E4%B8%8A%E5%8D%888_44_58.png" style="width: 600px; height: 289px;" /></p> <p>就在OpenAI發表低延遲的GPT-4o即時API服務後，微軟隨後更新Azure OpenAI服務，推出了低延遲GPT-4o模型API公開預覽，支援即時語音與音訊互動，適用於即時互動的場景，如客戶支援、語音助理和即時語音翻譯。</p> <p>GPT-4o即時API是Azure OpenAI的GPT-4o模型系列之一，透過API，企業可以直接將其整合到內部應用程式，支援低延遲語音輸入和輸出，打造出更自然的語音對話應用程式。該模型提升語音回應速度，減少延遲並提供更流暢的互動體驗。API支援多語言對話，可廣泛應用於客服助理、內容創作和即時音訊翻譯等領域。</p> <p>該版本的GPT-4o模型初期僅在美國東部和瑞典中部地區推出。目前，德國Bosch已採用此模型，用於汽車環境中的虛擬實境培訓，能接收語音指導指令。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">GCP </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機密運算 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">Google Cloud更新機密運算產品線，推出C3和C3D兩款VM機密運算服務</span></strong></p> <p>Google Cloud近日更新機密運算產品線，正式推出C3和C3D兩款Google Cloud機密VM（Confidential VMs）服務，前者採用的處理器是英特爾第4代Intel Xeon處理器，內建TDX虛擬機硬體隔離技術，後者則是AMD第4代EPYC，內建SEV安全加密虛擬化技術，藉此強化對運算基礎架構的安全防護。</p> <p>相較前一版本，新的機密運算執行個體服務C3，採用AMX指令集擴展架構內建CPU加速，可加速AI和ML工作負載。此外，利用TDX技術，新版本上也能整合通用加密運算平臺Anjuna Seaglass與Google Cloud機密VM。</p> <p>另一方面，採用了AMD SEV技術的C3D，不只使用硬體的記憶體加密來加強資料機密性，還可以在性能更強的硬體上執行，並能結合Google Titanium硬體提升處理效能。</p> <p>目前C3D執行個體服務已推出，而C3則先在亞洲、美國和歐洲部分區域推出。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Azure</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 虛擬機器 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">配備141GB的HBM記憶體，Azure最新AI超級運算最佳化虛擬機器亮相</span></strong></p> <p>微軟 Azure 近日推出 AI 超級運算最佳化虛擬機器 ND H200 v5，具備更大 HBM 容量，支援更高訓練樣本數，並提升GPU利用率與吞吐量，可用於大型語言模型（LLM）和小語言模型 (SLM) 的推理工作負載。</p> <p>與上一代ND H100 v5 相比，Azure ND H200 v5配備8個Nvidia H200 Tensor Core GPU，不只運算效能更強，HBM記憶體也增加了 76%，達到141GB，頻寬提升 43%達到4.8 TB/s，能更快地存取模型參數，降低應用程式延遲。新款VM還能在單一VM的記憶體中存取更複雜的LLM，而不需要分散在多個VM上執行。</p> <p>此外，在設計上，ND H200 v5可以更有效地管理模型權重、鍵值快取和訓練樣本的GPU記憶體，提升 GenAI 推理工作負載的吞吐量、延遲及成本效率。微軟指出，該版本在執行LLAMA 3.1 405B模型的推理工作時，吞吐量比前一代提升 35%。</p> <p>ND H200 v5也預先整合多項服務，包括 Azure Batch、Azure Kubernetes 服務、Azure OpenAI 服務和Azure機器學習，讓企業可快速部署應用。</p> <p> </p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Vodafone</span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google Cloud </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;">英國電信商Vodafone與Google擴大聯手，未來10年將在非洲和歐洲大推雲端服務和GenAI</span></strong></p> <p>英國跨國電信商Vodafone與Google近日宣布將簽署一項總值10億美元、為期 10 年的戰略合作協議，在此合作下，Vodafone將為非洲和歐洲客戶提供Google cloud雲端服務和Gemini生成式服務，進一步推動這些地區的數位轉型與應用創新。</p> <p>Vodafone和Google合作的首要重點是幫助企業和消費端行動用戶導入最新的硬體，如Google Pixel設備，和AI及雲端應用程式在內的數位技術。</p> <p>Vodafone計畫2025年先在歐洲少部分國家推出Google One AI Premium 訂閱計畫，讓企業用戶將能夠使用Google生成式 AI 平臺Gemini Advanced，應用於內部系統，並提供視覺、文字及音訊等功能支援。</p> <p>在安全上，Vodafone將利用Google雲端安全營運平臺為其企業客戶開發新的雲原生安全服務。</p> <p> </p> <p>圖片來源／微軟</p> <p> </p> <p><strong><strong><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多Cloud動態 </span></strong></span></strong></strong></strong></p> <p><strong>1.本土車廠納智捷採用Google生成式AI模型Gemini打造AI智能客服系統</strong></p> <p><strong>2.微軟雲端資料庫服務AlloyDB的ScaNN向量索引功能現已推出，支援最多10億個向量執行搜索</strong></p> <p><strong>3.甲骨文將砸65億美元在馬來西亞擴大投資雲端運算與AI</strong></p> <p><strong>4.Arduino Cloud雲端物聯網平臺正式上架AWS市集</strong></p> <p><strong>資料來源：iThome整理，2024年10月</strong></p> <div class="notranslate" style="all: initial;"> </div> </div></div></div>
2024/10/11 14:33作者余至浩https://www.ithome.com.tw/news/165320
企業不用電也能賺電費
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年4月3日，早上7點58分9秒，分散全臺各地2,600座Gogoro電動機車充電站，其中數百座在10秒內緊急停止充電，長達12分鐘，讓全臺電網多了6MW電力可用。台塑生醫在彰化一座觀光工廠原本自用的儲能系統，同樣在10秒內緊急全力放電，將電力回補到全臺電網之中。</p> <p>不只這兩家企業，全臺還有數十家企業，上百個據點，聯手供電，或者停止用電，10秒內共回饋510MW的電力到台電電網，相當於中火一部機組的發電量。</p> <p>因為這一刻，花蓮發生了臺灣25年來規模最大的地震，威力逼近921，台電8部發電機組跳脫，損失3,200MW（千瓩）的電力，相當於平常早上瞬時發電量的一成。</p> <p>電力系統就像是一座蹺蹺板，台電必須將電網頻率維持在預設的每秒60赫茲，過高或過低，都可能造成各種工業、民生用電系統，機組設備，甚至是醫院的不穩，甚至運作出錯。</p> <p>一但頻率上升或下降的速度太快，會觸發電力系統的保護機制，關閉（跳脫）機組來避免損壞，但這會進一步減少供電，帶來連鎖效應，導致更多發電機組跳脫。就像花蓮這次接近921規模的7級強震，幾秒內因為機組跳脫，減少近1成供電量，也讓頻率快速偏移標準的60 Hz。</p> <p>台電過去因應供電快速減少的常見對策，是緊急主動對部分用戶限電或斷電，減少用電量，才能避免更大規模的被動停電，快速平衡電網頻率。遇到這種大規模的供電損失，10秒鐘內與10分鐘內的因應，是避免更大規模，甚至是全臺大停電的關鍵。</p> <p>但在3年前，2021年，台電上線了一套電力交易平臺，就像是一座虛擬電廠，可以調度近百家民間企業的電力使用，有的企業可以緊急回補供電，就像台塑生醫的彰化觀光工廠，有的企業則是可以停止用電來減少用電，例如Gogoro電動機車充電站。正是因為這座平臺，才能減緩花蓮強震引起的瞬間大量供電損失的影響，沒有發生連鎖停電效應，避免了全臺大停電的災情。</p> <p>目前有將近100家民間企業成為合格的電力交易平臺業者，有些是聚合商，類似中盤商，一家整合了更下游數十家小企業的電力使用。台電電力交易平臺為了隨時掌握這些民間企業上千個據點每一秒的電力資訊，來因應不同電力調度的需求。一天要搜集上億筆用電紀錄，一年資料量破TB。</p> <p>台電足足花了4年，才打造出這套電力交易平臺，採取預先調度規畫的作法，稱為「日前輔助服務市場」，這是亞洲首創的作法，提前一天媒合電力調度的購買，像花蓮強震當天的電力調度，就是依據前一天媒合的契約來執行。</p> <p>在臺北市羅斯福路台電大樓內，有一間電力交易中心的戰情室，20名專家，365天，24小時三班制輪班，來監控全臺電力交易的供需。尤其，臺灣再生能源供電比例超過1成，甚至越來越高，任何氣候變化，都會對電力供應產生很大的影響，所以，台電也找來經濟、會計、氣象、資訊以及大數據分析等領域專家進駐，來支援更複雜，更多變的電力運用。</p> <p>民間企業可以自行報價，決定自己每一度電的電價，台電則用公開競標方式，再靠電腦程式執行電力系統最佳化的配置。台電從電價報價便宜者開始購買，用電量越大，就會自動購買報價越高的民間企業。</p> <p>更特別的是，民間企業可以「賣電」給台電，甚至可以把「不用電」的權利，賣給台電。就像Gogoro發電站，就是在花蓮強震時，停止用電12分鐘，等於挪出了相當於6MW的電力，給台電調度，台電也會依照前一天簽約的報價，付錢給Gogoro，買「不用電」的電費。</p> <p>像台塑生醫在彰化觀光工廠的儲能系統，原本只是自用，2年前成為合格電力交易業者，至今就多賺了750萬元，也是一筆不少的外快！就連臺北京站商場的空調主機也加入了電力交易，一但有需要，也可能暫時停止運轉半小時、一小時，不會影響到賣場顧客的舒適度，又可以賣「不用電」的權利給台電，等於可以多賺一筆電費。企業節能省電，不只是一昧的節流，現在又多了一種「開源」的新選擇。</p> <p><strong><strong><strong><strong><strong><a href="https://www.ithome.com.tw/article/165438" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 24px;"><span style="background-color: rgb(51, 153, 255);"> 相關報導 </span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1203-feng_mian_p1-zhi_hao_-open-960x420_kao_bei_0.jpg?itok=tBlYc-8N" style="width: 550px;" /></span></span></a></strong></strong></strong></strong></strong></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%B3%A3%E9%9B%BB">賣電</a></div><div class="field-item odd"><a href="/tags/%E9%9B%BB%E5%8A%9B%E4%BA%A4%E6%98%93">電力交易</a></div><div class="field-item even"><a href="/tags/%E5%8F%B0%E9%9B%BB">台電</a></div><div class="field-item odd"><a href="/tags/%E9%9B%BB%E7%B6%B2">電網</a></div><div class="field-item even"><a href="/tags/%E6%97%A5%E5%89%8D%E8%BC%94%E5%8A%A9%E6%9C%8D%E5%8B%99%E5%B8%82%E5%A0%B4">日前輔助服務市場</a></div><div class="field-item odd"><a href="/tags/%E5%9C%B0%E9%9C%87">地震</a></div></div></div>
2024/10/11 13:29作者王宏仁https://www.ithome.com.tw/voice/165446
AMD發表MI325X加速器以與Nvidia較勁
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>超微半導體（AMD）於本周四（10/10）<a href="https://ir.amd.com/news-events/press-releases/detail/1220/amd-delivers-leadership-ai-performance-with-amd-instinct" target="_blank">發表了</a>Instinct MI325X加速器，宣稱其記憶體容量與頻寬都超越Nvidia H200，在推論表現上亦優於Nvidia H200。</p> <p>AMD Instinct MI325X加速器是基於AMD CDNA 3架構，專為基礎模型訓練、微調與推論等AI任務而設計，配備256GB HBM3E記憶體，提供6.0TB/s的頻寬，分別是Nvidia H200的1.8及1.3倍，FP16和FP8運算性能的峰值亦是Nvidia H200的1.3倍。</p> <p>應用在FP16格式的Mistral 7B模型上，Instinct MI325X提供了1.3倍的推論性能，FP8的Llama 3.1 70B模型上，有1.2倍的推論性能，若是在FP16的Mixtral 8x7B模型上，亦有1.4倍的推論性能。</p> <p>基於Hopper架構的H200是目前市場上最高階的Nvidia AI GPU，Instinct MI325X預計於今年底出貨，儘管後者晚了一年問世，但至少出現了足以與Nvidia媲美的GPU產品，而且價格可能更低廉。</p> <p>AMD並未公布Instinct MI325X的售價，但說包括Dell、Eviden、技嘉、HP、聯想及超微在內的業者，都會在明年第一季採用Instinct MI325X。</p> <p>為了趕上AI晶片龍頭Nvidia，AMD已規畫加快產品腳步，每年都會發表新晶片，例如明年將發表MI350，2026年則會有MI400。</p> </div></div></div>
2024/10/11 14:13作者陳曉莉https://www.ithome.com.tw/news/165447