iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 26篇
近 7 天: 140篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/12 05:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 140 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Blackwell GPU伺服器即將登場，輝達新型DGX系統打頭陣
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_dgx_b200_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月GTC大會期間，<a href="https://www.ithome.com.tw/news/161831">Nvidia發表新一代GPU架構Blackwell</a>，也預告將推出B200 GPU與GB200 Grace Blackwell Superchip，搭載這些加速運算晶片的伺服器平臺HGX B200、<a href="https://www.ithome.com.tw/news/163407">GB200 NVL72</a>、AI整合應用設備系統DGX B200、DGX GB200，以及基於DGX B200或DGX GB200而成的整櫃型系統DGX SuperPOD。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia DGX timeline-20525.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20DGX%20timeline-20525.jpg" style="width: 600px;" /></a></p> <p>在這些產品當中，Nvidia率先在當時公布細部組態規格的是DGX B200，而在時隔7個月的此刻，執行長黃仁勳幾週前接受<a href="https://twitter.com/CNBC/status/1841590397983686916">美國CNBC電視臺專訪時表示，Blackwell已全面投入生產</a>，幾天後Nvidia將首批出爐的工程版DGX B200，送至近幾年引領全球生成式AI應用風潮的OpenAI公司辦公室，</p> <p> </p> <div class="media_embed"> <blockquote class="twitter-tweet" height="" width=""><p dir="ltr" lang="en" xml:lang="en"><a href="https://twitter.com/hashtag/NVIDIABlackwell?src=hash&ref_src=twsrc%5Etfw">#NVIDIABlackwell</a> has arrived. <a href="https://twitter.com/OpenAI?ref_src=twsrc%5Etfw">@OpenAI</a> , we’re excited to see what you can do with one of the first engineering builds of the <a href="https://twitter.com/hashtag/NVIDIADGX?src=hash&ref_src=twsrc%5Etfw">#NVIDIADGX</a> B200 system.</p> <p>Learn more about DGX B200 here: <a href="https://t.co/6oGaZuPkSV">https://t.co/6oGaZuPkSV</a> <a href="https://t.co/SGQstED295">https://t.co/SGQstED295</a> <a href="https://t.co/4kjHWukKb5">pic.twitter.com/4kjHWukKb5</a></p> <p>— NVIDIA (@nvidia) <a href="https://twitter.com/nvidia/status/1843709817430651197?ref_src=twsrc%5Etfw">October 8, 2024</a></p></blockquote> <script async="" charset="utf-8" height="" src="https://platform.twitter.com/widgets.js" width=""></script></div> <p> </p> <p>而在10月12日，根據科技媒體WccfTech的報導，他們發現伺服器與儲存設備供應商<a href="https://www.broadberry.com/xeon-scalable-processor-gen4-rackmount-servers/nvidia-dgx-b200">Broadberry Data Systems在網站列出DGX B200</a>，並公布起價為515,410.43美元（換算新台幣為1,660萬元）。從這些跡象來看，意味著DGX B200越來越接近正式上市的時刻。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Broadberry Data Systems-DGX recent models.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadberry%20Data%20Systems-DGX%20recent%20models.jpg" style="width: 600px;" /></a></p> <p>回顧3月Nvidia發布的新聞稿與產品規格，當中初步揭露DGX B200的主要特色，例如，可針對AI模型的訓練、微調、推論，提供統一的AI超級運算平臺；搭配8個Nvidia Blackwell架構的GPU，以及2個英特爾第五代Xeon Scalable處理器；機箱採用第六代氣冷、傳統機架式外形設計，能廣泛運用在全球各種產業；用戶能以此組建DGX SuperPOD，並且成立卓越AI中心，可支撐大型開發團隊的工作需求，執行各式各樣的職務。</p> <p>6月初在2024台北國際電腦展的前夕，黃仁勳介紹Nvidia目前與未來多種軟硬體技術之餘，也向全世界展示DGX B200，以及預載8個GPU的基板HGX B200、HGX B100。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Blackwell HGX offering-2024-06-02-1-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Blackwell%20HGX%20offering-2024-06-02-1-web.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Blackwell HGX offering-2024-06-02-2-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Blackwell%20HGX%20offering-2024-06-02-2-web.jpg" style="width: 600px;" /></a></p> <p>而關於DGX B200的運算能力突破，綜合Nvidia在5月更新的這款產品技術規格，若用於FP4精度的AI推論處理，可提供144 Petaflops的效能，以大模型GPT-MoE-1.8T執行即時推論，吞吐量可達到前代產品DGX H100的15倍；若用於FP8精度的AI訓練，可提供72 Petaflops的效能，以大模型GPT-MoE-1.8T執行AI訓練，速度為DGX H100的3倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DGX H200-realtime throghput.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20H200-realtime%20throghput.png" style="width: 298px;" /></a><a href="https://s4.itho.me/sites/default/files/images/DGX H200-training time.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DGX%20H200-training%20time.png" style="width: 298px;" /></a> </p> <p>就整臺系統的GPU記憶體總容量而言，DGX B200提供1.4 TB（1,440GB）的HBM3e，GPU記憶體總頻寬為64 TB/s。相較之下，現行的DGX H100，總共提供640 GB的HBM3，GPU記憶體總頻寬為26.8 TB/s，後續推出的DGX H200，提供1,128 GB的HBM3，GPU記憶體總頻寬為38.4 TB/s。</p> <p>關於I/O介面，DGX B200連接GPU之間的NVLink，屬於Nvidia發展的第五代技術，NVLink總頻寬為14.4 TB/s，同時，DGX B200也配備兩個第四代NVSwitch晶片；至於DGX H100與DGX H200連接GPU之間的NVLink，屬於第四代技術，NVLink總頻寬為7.2 TB/s，而且，這兩臺伺服器都配置4個第三代NVSwitch晶片。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia HGX B200-spec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20HGX%20B200-spec.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia HGX H100-spec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20HGX%20H100-spec.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Nvidia HGX H200-spec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20HGX%20H200-spec.jpg" style="width: 298px;" /></a></p> <p>在對外連接的網路介面，DGX B200內建ConnectX-7網路卡與BlueField-3資料處理器，可支援400Gb/s乙太網路或InfiniBand網路技術的使用，並分別搭配該公司的<a href="https://www.ithome.com.tw/tags/nvidia-spectrum-x">Spectrum-X</a>，或Quantum-2、<a href="https://www.ithome.com.tw/review/163475">Quantum-X800</a>網路平臺。</p> <p>值得注意的是，導入Blackwell架構GPU，雖然帶來強勁的運算效能，但熱設計功耗（TDP）也隨之增加，根據Nvidia公布的Blackwell架構白皮書，與DGX B200同樣採用8顆GPU配置的HGX B200，TDP為1,000瓦，而從整臺伺服器系統的角度來看，DGX B200的最大耗電量為14.3千瓦，既有的DGX H100與DGX H200均為10.2千瓦。或許是因為需要具備更大散熱能力的關係，DGX B200的機箱外形為10U高度，目前的DGX H100與DGX H200採用8U機箱。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HGX B200-B100.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HGX%20B200-B100.jpg" style="width: 400px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Nvidia DGX B200</strong></span><br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：10U<br /> ●處理器：2顆56核心Intel Xeon Platinum 8570（第五代Xeon Scalable）<br /> ●記憶體：2 TB，可設置4 TB<br /> ●儲存：8臺2.5吋U.2 3.84 TB NVMe SSD（RAID 0），搭配2臺M.2 1.92 TB NVMe SSD<br /> ●GPU加速模組：8個Nvidia B200（HBM3e記憶體總容量1440 GB）<br /> ●網路介面：400Gb/s InfiniBand或Ethernet；4個OSFP埠，可連接2張ConnectX-7網卡；2張雙埠QSFP112規格BlueField-3 DPU；1個雙埠100GbE網卡<br /> ●軟體：Nvidia AI Enterprise軟體套件、Nvidia Base Command雲端管理平臺、Linux作業系統（DGX OS 或Ubuntu）<br /> ●最大耗電量：14,300瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/10/19 01:36作者李宗翰https://www.ithome.com.tw/review/165533
健保署揭7大轉型政策進展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>健保署副署長龐一鳴在10月18日的臺灣醫院資訊主管會議中，揭露健保署正在推動的7大轉型政策進展，包括新添健康存摺SDK資料內容、建置家醫大平臺、已試辦電子處方箋、虛擬健保卡不再強求院內應用並聚焦居家醫療場景、建置健保署混合雲架構，以及基層診所HIS雲端化和FHIR癌藥事前審查示範等。</p> <p><span style="font-size:22px;"><strong>要新添健康存摺SDK資料內容，讓醫療照護App更個人化</strong></span></p> <p>首先，健康存摺SDK是健保署開發的套件，可讓醫院、業者等第三方單位申請介接，核准後就能將民眾同意分享的多種醫療資訊，像是就醫紀錄、檢驗結果（如血液、病理、癌症篩檢等），彙整至自家的App中，來提供更好的健康管理服務。</p> <p>目前，健保署正擴大健康存摺SDK資料內容，比如要介接長照資料、國健署資料等，來讓醫院可彙整的醫療資料更多元，進而發展更多加值應用。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%81%A5%E5%BA%B7%E5%AD%98%E6%91%BA.JPG" /></p> <p><span style="font-size:22px;"><strong>家醫大平臺彙整健康數據，還要落實分級醫療</strong></span></p> <p>再來，健保署也正打造家醫大平臺，要彙整各類民眾健康資料，如血糖、血壓、血脂、疫苗施打、戒菸、BC肝篩檢、癌症篩檢、營養睡眠、尿蛋白、視網膜眼底鏡等，來供收案醫師掌握民眾健康狀態，也供民眾了解自己的健康風險。</p> <p>透過整合這些數據，平臺就能達到4大目標，包括主動監測數據，將異常提醒醫師和個管師、及早溝通與衛教；或是提醒醫師潛在個案，來收案照護；另也能分析數據，制定個人化的治療方案；還有針對個人提供個人化衛教資訊。</p> <p>家醫大平臺還有個重要目標，也就是落實分級醫療。</p> <p>舉例來說，今年6月13日，健保署宣布與國衛院和Google聯手打造家醫大平臺首個AI疾病風險預測模型，也就是第二型糖尿病風險預測模型。</p> <p>而風險高低最後會以燈號表示，作為醫療分級參考，比如綠色為低風險、黃綠色為有風險、黃色是中風險、黃橙色中高風險、紅橙色高風險，紅色則是嚴重風險。其中，風險較低的民眾可建議至衛生所、門診就醫，黃色燈號則可轉介至地區醫院、黃橙色至區域醫院，高風險和嚴重風險則至醫學中心，以此達到分級醫療目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%88%86%E6%B5%81.JPG" /></p> <p><span style="font-size:22px;"><strong>已在花蓮試辦電子處方箋，虛擬健保卡將針對社區醫療推廣</strong></span></p> <p>今年，衛福部也推動FHIR電子處方箋發展，不只在4月公告電子處方箋交換欄位最新版（含12個區塊與50個欄位），目前也已在花蓮展開試辦，範圍包括醫院、診所和藥局。目前電子處方箋的做法是以紙本QR Code顯示，供民眾給藥局藥師掃描、調劑。</p> <p>龐一鳴指出，未來希望除了紙本QR Code，醫院App或健保快易通App中也能放置電子處方箋，來達到無紙化。再加上該QR Code經醫事人員卡加密產製，符合電子簽章法，因此，屆時民眾至藥局取藥，就不必再攜帶健保卡。</p> <p>健保署接下來將於花蓮試辦後，舉辦成果說明會。</p> <p>另一方面，虛擬健保卡也是健保署力推政策之一，但龐一鳴表示，目前健保署不強求醫院服務一定要採用虛擬健保卡，反而聚焦成效顯著的居家醫療、社區據點的醫療服務等場景。</p> <p>未來，虛擬健保卡也預計納入數位部開發的數位皮夾，來實現更多授權應用。</p> <p><span style="font-size:22px;"><strong>健保署展開混合雲管理架構轉型，推動診所HIS雲端化</strong></span></p> <p>不只如此，健保署也正進行自己的IT轉型，打造混合雲管理架構，來更好地營運健保系統。</p> <p>尤其，健保署將提高自家數位基礎建設的資安韌性和效能，如建置符合國際資安標準的機房，租用綠能機房和網路來提高服務效率。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B7%B7%E5%90%88.JPG" /></p> <p>龐一鳴也期望，藉由健保署本身上雲實例，來鼓勵醫院用雲。</p> <p>與此同時，基層診所醫療資訊系統（HIS）雲端化，也是健保署正推動的重要政策。龐一鳴表示，今年初，數位部數位產業署也透過「診所雲端資訊服務系統研發補助計畫」來補助醫資廠商打造雲端HIS，已有10多家廠商獲補助。明年開始，則將由健保署提供補助。</p> <p>這些廠商打造的雲端HIS，除了要有基本的預約掛號、批價、健保卡資料上傳等服務，也要能支援健保署相關API串接，如視訊診療、電子處方箋、電子病歷、家醫大平臺、虛擬健保卡等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A8%BA%E6%89%80.JPG" /></p> <p><span style="font-size:22px;"><strong>推動健保癌症資訊數位轉型</strong></span></p> <p>健保署的另一大轉型政策瞄準癌症資訊，包括篩檢、診斷、治療、追蹤等階段對應到的次世代基因定序資料收載、癌症重大傷病申請、癌藥事前審查申請，以及癌症個案療效追蹤等工作。</p> <p>目前轉型規畫的是癌藥事前審查，透過VPN電子病歷申請和FHIR格式檢核，來提高檢核流程自動化程度。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BA%8B%E5%89%8D%E5%AF%A9%E6%9F%A5.JPG" /></p> <p>也因此，衛福部制定了相關FHIR資料內容和欄位。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%AF%A9%E6%9F%A5FHIR.JPG" /></p> <p>龐一鳴表示，FHIR癌藥事前審查架構已大致完成，健保署也會示範上傳資料，並於12月舉辦發表會說明。他點出，FHIR癌藥事前審查所需交換的電子病歷資料相當複雜、挑戰度高，包括各種檢查、醫學影像、基因資料、細緻的用藥資料等，成功克服挑戰，不只能證明結構化審查可行、可擴大到其他領域，還更容易去識別化，達到審查公平。</p> <p></p> </div></div></div>
2024/10/19 00:20作者王若樸https://www.ithome.com.tw/news/165575
【資安日報】10月18日，紅隊演練工具EDRSilence遭濫用，16種EDR系統可能因此被「噤聲」
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客濫用防守方滲透測試工具的情況相當頻繁，最常見的是Cobalt Strike，利用Brute Ratel C4（BRC4）的情況不時傳出，但今年，出現駭客鎖定紅隊演練工具的現象。</p> <p>繼上個月思科揭露<a href="https://www.ithome.com.tw/news/164855">有人使用名為MacroPack的紅隊演練框架打造惡意檔案</a>，本週資安業者趨勢科技針對另一款工具EDRSilencer遭到濫用的情況提出警告，並指出已有駭客將其當作重要武器。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165571"><strong style="font-size: 22px;">紅隊演練工具EDRSilencer傳出遭濫用，駭客可藉此阻斷EDR連外而無法通報異常</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EDRSilencer-Fig10.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EDRSilencer-Fig10.png" style="width: 300px; float: right;" /></a>防守方用來進行滲透測試及紅隊演練的工具，被駭客拿來從事網路攻擊的現象，可說是越來越氾濫，其中最常見的是Cobalt Strike，利用Brute Ratel C4（BRC4）也有不少，但今年出現駭客採用其他工具的情況。</p> <p>根據資安業者趨勢科技的監控，有人利用名為EDRSilencer的紅隊演練工具從事攻擊行動，此工具利用視窗作業系統內建的Windows篩選平臺（Windows Filtering Platform，WFP），號稱能干擾市面上16款常見的端點偵測與回應（EDR）系統運作。</p> <p>究竟該紅隊演練工具如何運作？主要是藉由動態識別的方式，找出正在執行的EDR處理程序，接著，攻擊者建立WFP過濾器，以此封鎖EDR系統的IPv4、IPv6對外流量，使得端點代理程式無法對主控臺傳送遙測資料及警示訊息。</p> <p><a href="https://www.ithome.com.tw/news/165559"><strong style="font-size: 22px;">2023年被用來攻擊的漏洞，高達70%為零日漏洞</strong></a></p> <p>Google麾下的資安業者Mandiant本周公布了2023年的漏洞分析報告，指出去年遭到利用的138個安全漏洞中，有97個屬於零日漏洞（Zero-day），41個為N日漏洞（N-day），儘管先前即曾預測駭客對零日漏洞的利用會愈來愈多，但現況比他們原本評估要嚴重許多。</p> <p>研究人員評估N日漏洞威脅態勢，通常會統計漏洞公開到利用的時間（Time-to-exploit，TTE）作為評估的依據，結果發現，駭客利用漏洞的時間逐年縮短，例如2018至2019年的TTE為63天，2020到2021年是44天，2021到2022再減少至32天，然而，去年的TTE降幅是史上最大，平均只有5天。</p> <p>根據Mandiant的統計，過去幾年零日漏洞的比例大致占6成，但去年一舉增加至7成，研究人員不排除這可能是威脅態勢重要的轉折點。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.sonicwall.com/en-us/2024/10/horus-protector-part-2-the-new-malware-distribution-service/">惡意程式HORUS Protector號稱無法被資安系統偵測，吸引打手用於攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://any.run/cybersecurity-blog/phantomloader-and-ssload-analysis/">攻擊者挾持360防毒軟體散布惡意程式SSLoad</a></strong></p> <p></p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165567"><strong style="font-size: 22px;">Spring框架存在路徑穿越漏洞，恐對網頁應用程式造成資安風險</strong></a></p> <p>10月17日Spring開發團隊發布資安公告，指出Spring Framework存在路徑穿越漏洞CVE-2024-38819，該漏洞影響6.1.13、6.0.24、5.3.40及以下版本，他們推出6.1.14、6.0.25、5.3.41版進行修補。</p> <p>針對這項漏洞出現的原因，該公司表示，應用程式藉由網頁框架WebMvc.fn或WebFlux.fn提供靜態資源的過程中，容易受到路徑穿越攻擊，攻擊者只要發送惡意HTTP請求，就有機會藉由正在運作的Spring應用程式處理程序，取得檔案系統的任意檔案。</p> <p><a href="https://www.ithome.com.tw/news/165572"><strong style="font-size: 22px;">SolarWinds的IT服務臺系統存在重大漏洞，疑似已出現未經授權的攻擊行動</strong></a></p> <p>本週SolarWinds針對旗下的IT服務臺系統Web Help Desk發布資安公告，指出該系統存在重大層級的CVE-2024-28988，這項漏洞涉及Java的去序列化處理，攻擊者有機會遠端執行程式碼（RCE），影響12.8.3 HF2版以前的系統，CVSS風險評為9.8分，該公司推出12.8.3 HF3修補，並呼籲用戶儘速套用。</p> <p>SolarWind之所以發現這項漏洞，是因為接獲趨勢科技漏洞懸賞專案Zero Day Initiative（ZDI）的通報，值得留意的是，ZDI在調查漏洞的過程，觀察到未經授權的攻擊行動，這代表該漏洞可能已被駭客掌握，並實際嘗試利用的現象。</p> <p><a href="https://www.ithome.com.tw/news/165565"><strong style="font-size: 22px;">趨勢科技資安閘道系統Cloud Edge修補命令注入漏洞</strong></a></p> <p>10月15日趨勢科技針對旗下的資安防護設備Cloud Edge發布資安公告，指出該設備存在重大層級的命令注入漏洞CVE-2024-48904，影響執行5.6SP2、7.0版韌體的設備，CVSS風險評為9.8分，該公司已發布更新修補。</p> <p>而對於該漏洞帶來的影響，趨勢科技表示，攻擊者能夠遠端於設備上執行任意程式碼（RCE），但除此之外並未對於漏洞形成的原因進一步說明。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://my.f5.com/manage/s/article/K000140061 https://offsec.almond.consulting/privilege-escalation-f5-CVE-2024-45844.html">F5 BIG-IP存在高風險存取控制繞過漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-45216-critical-authentication-bypass-vulnerability-patched-in-apache-solr/">Apache基金會修補Solr身分驗證繞過漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165527"><strong style="font-size: 22px;">美國防部公布CMMC規則，認證等級從原先五級簡化為三級</strong></a></p> <p>經過長期的研擬，美國國防部於今年8月15日公布專注政府採購程序和合約要求的48 CFR草案；到10月15日這天，則將32 CFR最終版（Final Rule）公布在聯邦公報（Federal Register）上，並於60天後（12月14日）正式生效實施。</p> <p>美國國防部（DoD）將國防工業產業（Defense Industrial Base，DIB）的業者，區分為一線供應商（承包商）和二線以下的供應商（分包商），這些國防供應鏈的業者若面臨需要處理、傳輸和儲存與聯邦合約資訊（Federal Contract Information，FCI），以及受控未分類資訊（Controlled unclassified information，CUI）時，都需要依據保護相關資料所面臨的網路安全風險，取得「網路安全成熟度模型認證（Cybersecurity Maturity Model Certification）」，簡稱CMMC認證。</p> <p>目前推動美國國防供應鏈業者取得的CMMC規則（CMMC Rule）的認證，其主要目的就是，要評估美國國防部相關承包商與供應鏈業者的網路安全防護能力，而CMMC規則的修訂，不只是希望確保承包商能夠遵循最佳實務做法，以保護網路上的敏感資訊，同時也使中小型業者更容易遵守這些規範。</p> <p><a href="https://www.ithome.com.tw/news/165521"><strong style="font-size: 22px;">Google著手推送Android 15，主打裝置防盜能力</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1016-Android 15_Private space.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Android%2015_Private%20space.png" style="width: 300px; float: right;" /></a>本週二（10月15日）Google宣布，已開始向Pixel裝置部署Android 15。新一代作業系統強化防盜保護，並允許使用者建立私人應用程式區域（Private Space），存放具有敏感資料的應用程式。</p> <p>該公司平均每年發布一次安卓大改版，並根據技術的演進添增新功能，例如近來即開始利用AI來強化防盜功能，包括Theft Detection Lock及Remote Lock等，並適用於大多數Android 10以上的裝置。</p> <p>至於Android 15提供了額外的防盜功能，會針對某些設定添增身分驗證要求，例如要移除SIM卡或是關閉Find My Device功能時，也會在偵測到多次變更程式與設定的失敗後直接鎖定裝置。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-deprecates-pptp-and-l2tp-vpn-protocols-in-windows-server/">微軟宣布棄用Windows Server的PPTP、L2TP VPN通訊協定</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165552"><strong>【10月17日】Kubernetes映像檔製作工具存在重大漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165531"><strong>【10月16日】臺灣區塊鏈旅宿平臺業者雲端儲存庫疑似因配置不當，而可能曝露旅客資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165511"><strong>【10月15日】北韓駭客針對支付處理系統散布惡意軟體</strong></a></p> </div></div></div>
2024/10/18 17:37作者周峻佑https://www.ithome.com.tw/news/165573
紅隊演練工具EDRSilencer傳出遭濫用，駭客可藉此阻斷EDR聯外而無法通報異常
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>防守方用來進行滲透測試及紅隊演練的工具，被駭客拿來從事網路攻擊的現象，可說是越來越氾濫，其中最常見的是Cobalt Strike，利用Brute Ratel C4（BRC4）也有不少，但今年出現駭客採用其他工具的情況。</p> <p>根據資安業者趨勢科技的監控，<a href="https://www.trendmicro.com/en_us/research/24/j/edrsilencer-disrupting-endpoint-security-solutions.html">有人利用名為EDRSilencer的紅隊演練工具從事攻擊行動</a>，此工具利用視窗作業系統內建的Windows篩選平臺（Windows Filtering Platform，WFP），號稱能干擾市面上16款常見的端點偵測與回應（EDR）系統運作。</p> <p>研究人員指出，這款能夠直接從網路下載的紅隊演練工具，藉由阻斷EDR流量，進而迴避偵測，攻擊者得以讓惡意軟體隱匿於受害電腦不易察覺。</p> <p>究竟該紅隊演練工具如何運作？主要是藉由動態識別的方式，找出正在執行的EDR處理程序，接著，攻擊者建立WFP過濾器，以此封鎖EDR系統的IPv4、IPv6對外流量，使得端點代理程式無法對主控臺傳送遙測資料及警示訊息。</p> <p>為了驗證EDRSilencer是否真的能影響EDR系統運作，研究人員藉由另一款工具EDRNoiseMaker進行驗證，他們對於自家的Vision One進行測試，結果代理程式的流量都被封鎖，後來執行勒索軟體的時候，主控臺並未出現對應的事件記錄資料，並顯示受害裝置處於未活動的狀態。</p> <p>不過，駭客究竟如何將其用於實際攻擊行動？研究人員僅透露，他們透過遙測的資料發現，部分駭客試圖將這項紅隊演練工具作為重要的攻擊配備，這代表接下來很可能會出現相關活動。值得留意的是，駭客利用這項工具的情況可能已有先例，資安業者Acronis揭露<a href="https://www.ithome.com.tw/news/165014">鎖定臺灣無人機製造商的攻擊行動Operation WordDrone</a>裡，駭客當時壓制防毒軟體及EDR系統，並濫用Windows內建的防火牆封鎖流量，研究人員推測就是利用這項紅隊演練工具達到目的。</p> </div></div></div>
2024/10/18 16:46作者周峻佑https://www.ithome.com.tw/news/165571
SolarWinds服務臺存在重大漏洞，疑似已出現未經授權的攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週SolarWinds針對旗下的服務臺系統Web Help Desk發布資安公告，指出<a href="https://www.solarwinds.com/trust-center/security-advisories/cve-2024-28988">該系統存在重大層級的CVE-2024-28988</a>，這項漏洞涉及Java的去序列化，攻擊者有機會遠端執行程式碼（RCE），影響12.8.3 HF2版以前的系統，CVSS風險評為9.8分，該公司推出12.8.3 HF3修補，並呼籲用戶儘速套用。</p> <p>針對這項漏洞的發現，該公司指出他們是接獲趨勢科技漏洞懸賞專案Zero Day Initiative（ZDI）的通報，研究人員在調查另一項漏洞的過程，發現了CVE-2024-28988。</p> <p>值得留意的是，SolarWinds在這份公告裡提及，ZDI在調查過程觀察到未經授權的攻擊行動。這代表該漏洞可能已被駭客掌握，並實際嘗試利用的現象。</p> </div></div></div>
2024/10/18 17:20作者周峻佑https://www.ithome.com.tw/news/165572
Spring框架存在路徑穿越漏洞，恐對網頁應用程式造成資安風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月17日Spring開發團隊發布資安公告，指出Spring Framework<a href="https://spring.io/security/cve-2024-38819">存在路徑穿越漏洞CVE-2024-38819</a>，該漏洞影響6.1.13、6.0.24、5.3.40及以下版本，他們推出6.1.14、6.0.25、5.3.41版進行修補。</p> <p>針對這項漏洞出現的原因，該公司表示，應用程式藉由網頁框架WebMvc.fn或WebFlux.fn提供靜態資源的過程中，容易受到路徑穿越攻擊，攻擊者只要發送惡意HTTP請求，就有機會藉由正在運作的Spring應用程式處理程序，取得檔案系統的任意檔案。</p> <p>他們補充說明，這項漏洞相當類似於一個月前修補的CVE-2024-38816（CVSS風險為7.5分）。但究竟CVE-2024-38819有多嚴重？他們並未提供風險評分資訊。</p> </div></div></div>
2024/10/18 14:56作者周峻佑https://www.ithome.com.tw/news/165567
Sam Altman將加密貨幣公司Worldcoin更名為World Network
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由OpenAI共同創辦人Sam Altman與Alex Blania共同創辦的加密貨幣公司Worldcoin，周四（10/17）於美國舊金山辦了一場活動，<a href="https://world.org/blog/announcements/hello-world-5-key-announcements-from-new-world-event-san-francisco" target="_blank">宣布</a>將把Worldcoin更名為World Network（簡稱World），更新Orb裝置，推出World ID 3.0與World App 3.0，以及World Chain區塊鏈上線了。</p> <p>Altman於2021年<a href="https://www.ithome.com.tw/news/147437" target="_blank">創立</a>的Worldcoin，旨在打造一個普及的區塊鏈生態體系，讓全球的每一個人都能參與數位經濟，主要利用Orb裝置來掃描使用者的虹膜以驗證個人身分，並建立World ID。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-Sam%20Altman_Worldcoin_rename_World-Face%20Auth.jpg" style="width: 600px;" /></p> <p>根據本周的發表，新公司World Network的三大關鍵支柱為World Chain、World ID與Worldcoin。其中，World Chain是個支援活動與交易的區塊鏈，1,500萬名World ID與World App用戶正在遷移至World Chain，且上線首日便獲得Optimism、Alchemy、Uniswap、Safe、Dune與Etherscan等區塊鏈應用或服務供應商的支持，並已整合World ID，允許經過身分驗證的使用者率先存取區塊空間。</p> <p>而World ID 3.0則是新一代的數位身分，它導入World ID Credentials功能，允許World ID用戶於World App中存放支援NFC的護照，以後即不必透露真實身分就能證明其年齡與國籍。World Foundation已決定允許已驗證過護照的使用者，就算尚未完成Orb的身分驗證，都能領取WLD代幣。</p> <p>World ID 3.0亦整合了新的World ID Deep Face安全技術，結合Orb成像、個人資料監管與Face Auth，讓使用者得以驗證他們是否正在與真人交流，防堵日益增加的深度偽造威脅。</p> <p><a href="https://world.org/blog/announcements/world-unveils-new-orb-new-ways-to-verify-scale-network-1-billion-humans?forceLocale=true" target="_blank">新款Orb裝置</a>採用Nvidia Jetson晶片，以加快驗證速度，其AI性能幾乎是上一代的5倍，也強化了紅外線及可見光相機，並支援5G，以及可移除的SD卡。Orb的記憶體用來儲存可執行指令以替使用者拍照，並產生虹膜代碼，World強調，一旦Orb完成驗證，所有的圖像都會傳回使用者手機，並自Orb裝置永遠移除。相較於前一代，它少了30%的零件，組裝更容易，成本也更低，期望更快達到10億人的目標。</p> <p>至於World App 3.0現在嵌入了Mini Apps平臺，以讓第三方程式可於World App中運作，還可整合World ID、錢包及通訊錄。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1018-Sam%20Altman_Worldcoin_rename_World-World%20App%203_0-600.jpg" style="text-align: center; width: 520px;" /></p> <p>World表示，World App Wallet已是全球第三大加密貨幣錢包，交易量超過15億美元及1.5億次；World App 3.0已支援World Chain與World Pay，並具備新的Vault保管功能，以及更方便的存/提款功能。</p> </div></div></div>
2024/10/18 15:30作者陳曉莉https://www.ithome.com.tw/news/165568
趨勢科技資安閘道系統Cloud Edge修補命令注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月15日趨勢科技針對旗下的資安防護設備Cloud Edge發布資安公告，指出<a href="https://success.trendmicro.com/en-US/solution/KA-0017998">該設備存在重大層級的命令注入漏洞CVE-2024-48904</a>，影響執行5.6SP2、7.0版韌體的設備，CVSS風險評為9.8分，該公司已發布更新修補。</p> <p>Cloud Edge是適用於中小企業的雲端整合式資安威脅防護閘道，同時具備防火牆、入侵偵測（IDS）、電子郵件防護的功能，並能阻擋內部使用者存取惡意網址。若是這種設備存在弱點，對於企業帶來的影響可能會相當嚴重。</p> <p>而對於該漏洞帶來的影響，趨勢科技表示，攻擊者能夠遠端於設備上執行任意程式碼（RCE），但除此之外並未對於漏洞形成的原因進一步說明。</p> </div></div></div>
2024/10/18 12:30作者周峻佑https://www.ithome.com.tw/news/165565
X變更隱私政策，將允許第三方以該平臺內容訓練AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>X本周<a href="https://privacy.x.com/en/blog/2024/updates-tos-privacy-policy" target="_blank">宣布</a>，自11月15日起將更新其服務條款及隱私政策，內含更多與人工智慧（AI）及機器學習有關的內容，將允許第三方以該平臺的內容訓練AI模型。</p> <p>在<a href="https://x.com/en/tos" target="_blank">新版的服務條款</a>中，X載明了該平臺可利用使用者所張貼的文字或提供的資訊來改善服務，包括用來訓練該公司的機器學習與AI模型。</p> <p><a href="https://x.com/en/privacy" target="_blank">新版的隱私政策</a>除了有類似的說明之外，並有另一個與第三方合作對象的條款，指出倘若使用者決定分享資料，那麼X可能就會向第三方揭露其資訊，若使用者並未選擇退出，那麼第三方可能利用其資訊來訓練AI模型。</p> <p>其實X先前就<a href="https://www.ithome.com.tw/news/164166" target="_blank">承認</a>利用用戶推文來訓練其聊天機器人Grok的底層模型，並允許使用者退出，現在則打算開放第三方業者利用該平臺的內容，外界揣測，這可能是因為在馬斯克（Elon Musk）接手X之後，<a href="https://www.ithome.com.tw/news/164346" target="_blank">X的廣告營收</a>大幅下滑，只得尋求其它營收來源。</p> </div></div></div>
2024/10/18 12:11作者陳曉莉https://www.ithome.com.tw/news/165563
網飛營收與付費會員都成長14%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球最大串流影音平臺Netflix（網飛）周四（10/17）<a href="https://s22.q4cdn.com/959853165/files/doc_financials/2024/q3/FINAL-Q3-24-Shareholder-Lettter.pdf" target="_blank">公布</a>其第三季財報，該季網飛創下98.25億美元的營收，比去年同期成長14.7%，串流付費會員達到2.82億人，成長14.4%，每股盈餘為5.4美元。當天網飛盤後股價上漲了5.05%，躍上722.35美元。</p> <p>網飛最大的市場為美國及加拿大（UCAN），營收為43.2億美元，成長16%；居次的是歐洲、中東及非洲（EMEA），營收為31.3億美元，同樣成長16%；拉丁美洲（LATAM）營收為12.4億美元，成長9%；而亞太地區（APAC）營收為12.3億美元，成長19%，是該季營收成長最快的地區。</p> <p>該季網飛新增了510萬名訂閱用戶，超越華爾街分析師所預期的450萬名。</p> <p>今年第三季最受用戶青睞的網飛電影為《當我們盟在一起》（The Union）與《逆嶺》（Rebel Ridge），觀看次數皆突破1億次，最受歡迎的影集為《模範愛侶》（The Perfect Couple），觀看次數超過6,500萬次，至於在臺灣受到關注的《黑白大廚：料理階級大戰》（Culinary Class Wars）則有1,100萬的觀看次數。</p> </div></div></div>
2024/10/18 12:41作者陳曉莉https://www.ithome.com.tw/news/165566
要用IT支援未來10年營運，京站POS核心架構大改造
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>四年前，京站實業（以下稱京站）啟動13年來最大一次的POS升級，更是歷年來最大規模的POS資訊架構翻新，不僅同時更換約400臺POS機的軟硬體，還採用混合雲架構作為新的系統架構。負責督導、管理京站IT部門的京站實業總經理王大政明白指出：「這麼做的目的，就是為了支援未來5到10年公司營運發展所需。」</p> <p>成立2007年的京站實業，主打複合式百貨商場，經過10多年發展，不僅吸引超過400個品牌進駐，更要因應單日高達10萬人的人潮湧入。</p> <p>隨著規模擴大，京站近年來更開設分店，擴大經營據點。可是，京站銷售核心的POS系統還是用13年前的舊系統，不論在功能和應用上已經漸漸跟不上公司發展腳步，難以支援未來營運成長，因此，京站4年前決定進行POS系統全面大升級。</p> <p>王大政指出，決定更換老舊POS的原因在於，當市場變化需要新增功能時，現有POS已無法支援其需求，或必須投入大量時間修改程式來加以支援。</p> <p>尤其，近幾年來，民眾消費付款逐漸轉向行動支付，顧客更偏好使用手機掃碼付款，但京站舊有的POS機難以與主流行動支付應用程式連接。</p> <p>為了支援這些新支付選項，只能透過外掛方式串接，每增加一種支付方式就需撰寫新的外掛程式，不僅耗費時間，也增加了後續維護和管理的負擔。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>汰換沿用已久的核心POS，改用新系統取代</strong></span></span></p> <p>他直言，透過行動支付外掛形式不是理想的解決方式。持續添加外掛會導致系統愈加複雜，加上這些外掛程式往往需要客製，長期如此，容易加重系統和程式的管理負擔，最終需要投入更多時間和維護成本。</p> <p>因此，京站在4年前決定展開核心系統大改造，要透過翻新POS，提升相容性與彈性，確保能應用於現代化的業務場景，以支援未來5到10年公司營運發展需求。</p> <p>導入新系統過程中，京站資訊團隊面臨不少挑戰。例如京站目前約有400個櫃位，超過九成五的專櫃都配備了POS主機。為了盡量不影響日常營運，團隊必須以最短時間完成主機更換，確保系統順利上線。一共花了1至2天才完成所有主機汰換作業。</p> <p>京站臺北店於2020年先完成POS主機更新，小碧潭店隨後跟進，並將商場資料透過VPN傳送到臺北店的機房，統一集中管理。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>不只新增API串接的支付功能，新POS還能發送電子禮卷</strong></span></span></p> <p>京站新一代POS系統中，不僅僅是硬體和功能大升級，更大幅提升了應用支援能力。</p> <p>像在多元支付方面，新版POS能透過API串接各種行動支付平臺，而無需額外安裝外掛程式，不僅提升了支付服務串接速度，也讓京站對行動支付的支援更具彈性。</p> <p>京站新POS系統自2020年上線以來，不只自家支付，還可支援多種掃碼支付、主流行動平臺感應支付等超過20種支付方式。王大政表示：「全面更換POS後，現在可以支援所有你能想到的支付方式。」</p> <p>不只更容易運用API串接，這套POS系統本身也有更多現代化的應用方式。</p> <p>以促銷活動為例，過去消費者得先到專門的贈品服務臺，用發票兌換實體禮券，才能到櫃位使用折抵。而現在，新版POS系統強化與後臺系統的整合後，直接在櫃位的POS機，不只是收券折抵，現在還能直接發券給顧客。</p> <p>結帳前，櫃臺人員詢問顧客有無會員、載具和停車需求時，POS系統可以調出會員消費資料，只要額度達到促銷活動門檻，櫃檯人員可直接用POS機將電子禮券發送至會員的手機App，讓顧客不用再多跑一趟贈品服務臺。</p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>設計兩種不同尺寸的POS機型對應不同大小的專櫃需求</strong></span></span></p> <p>王大政表示，過去的POS機，主要功能是收集交易與支付相關資料，如支付款項或回收實體禮券，但新版POS機功能更全面，不僅能收集資料，也能即時撈取會員資訊，來發展更多應用。</p> <p>京站目前使用兩種POS機型，一種是標準型，尺寸較大，由螢幕、主機和錢箱組成，並包含各種感應裝置；另一種是縮小型，尺寸約為標準型的一半，取消雙螢幕，專為較小的專櫃設計。</p> <p>王大政表示，早期京站在每個樓層都設置3～4臺公共收銀臺，消費者到專櫃購物時，專櫃店員需前往公共收銀臺才能完成交易，後來逐漸改為自收模式，現在每個專櫃都配備一臺POS機，讓各專櫃可以自行結帳。</p> <p>不過，新POS系統上線後，京站仍會保留公共收銀臺，來提供小型專櫃報帳使用或應對突發狀況之用，如專櫃機臺當機等情況。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>開始建構混合雲架構，新POS系統優先採用</strong></span></span></p> <p>不光是翻新核心POS系統，京站資訊架構也逐漸朝向現代化IT架構來發展。</p> <p>京站於2021年開始導入混合雲架構，增加資源擴展的彈性，以及提升IT運作效率，並且先從新POS系統導入時開始採用。</p> <p>資訊團隊一方面將交易系統部署於公雲，提升處理效率，另一方面，考量到資料安全與存取需求，像是會員系統的資料庫等，則保留在本地端。</p> <p>王大政表示，商場POS系統採用混合雲架構的好處是，能夠兼顧雲地的優勢，不過他目前未考慮轉向全雲環境的計畫，未來則將視公司規模及發展需求，逐步增加雲端應用。</p> <p>在備援策略上，京站原本就有兩套線上主機互為備援，其中一套在京站，另一套放在集團母公司作為備援主機。此外，還有設置第三套作為離線備援。當第一套主機出問題時，第二套主機能馬上接手。自混合雲架構的新POS系統上線後，更進一步強化備援機制，增加了雲地備援。</p> <p>但是，僅僅更換POS系統還不夠，王大政指出，這些POS的銷售資料、顧客資料、財務資料最後會收進到ERP系統進行整合與分析，幫助營運決策，但這套ERP系統也沿用已久，因此，京站目前正在規畫翻新ERP系統，應對未來營運發展需求。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>下一步將翻新老舊ERP</strong></span></span></p> <p>根據規畫，新ERP系統不僅將涵蓋財務分析、付款結算功能，還會整合更多模組，如採購、預算管理、人力資源出勤和薪資等。</p> <p>新ERP系統未來在行銷上也能夠提升會員管理效率。尤其，10多年發展下來，京站會員數約四十萬，增加到現在約有110萬人。如何運用這些會員數據和顧客消費行為，協助公司優化營運，提高顧客體驗，成為資訊部門未來的重要任務。</p> <p>王大政強調：「百貨商場的資訊系統的核心不僅要收集資料，更重要的是如何消化和運用這些資料，這才是關鍵所在。」</p> <p>目前京站平日進站人數約有7至8萬，假日更超過10萬人。為了追蹤進出店的人流變化，京站幾年前導入了一套人流系統，搭配感測器，可用於統計進店和出店人數，協助京站優化營運管理與策略制定。</p> <p>這套系統可以用計算和記錄每個出入口的人流數據，包括進出人流數以及每位顧客的平均停留時間等，營運團隊會將這些人流數據與當日的交易數據進行比對，分析交易量、提袋率，以及不同進出口的每月人流變化，藉此作為提升顧客體驗和交易效率的參考依據。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1204_cio_%E4%BA%AC%E7%AB%99%E5%AF%A6%E6%A5%AD_600_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><strong style="color: rgb(178, 34, 34); font-size: 28px;">重新調整IT組織，支援未來業務發展</strong></p> <p>京站近幾年對IT更加依賴，甚至於2020年進行IT組織調整，將資訊部門自管理處獨立出來，成立商業系統資訊處，支援未來業務發展。資訊處下設有規劃整合部與作業服務部，分別負責應用軟體開發和硬體維護。</p> <p>近年來，京站也持續投入機房硬體升級，逐步汰換老舊設備。例如2021年開始導入超融合架構，整合伺服器、儲存與網路設備，取代傳統的分散式系統架構，提升整體運算效能與管理效率。</p> <p>在網路架構上也有調整。由於京站的與集團總公司有共用部分網路架構，因此，京站資訊團隊也計畫將自己的網路架構完全自總公司獨立出來，以減少兩端網路系統之間的相互依賴，降低駭客入侵的風險。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>AI技術導入將是未來發展重點，鼓勵IT人員提升AI技術知識</strong></span></span></p> <p>對IT人員的培育，王大政有更高期許。他表示，資訊人員不只要全面的掌握現有IT設備運作，還需制定計畫持續更新與優化系統，以滿足公司未來5到10年資訊運用需求。</p> <p>他特別指出，AI技術的導入將是未來的發展重點，鼓勵資訊團隊積極提升AI技術知識，進一步支援行銷、客服等部門的數位應用。</p> <p>就像現今的生成式AI不僅能寫程式，還能創作歌曲、繪畫甚至拍攝影片。王大政表示，未來這類AI也可以運用在內部，協助人員處理例行性工作。</p> <p>例如，ERP系統中的部分工作與BI分析相關任務，目前仍採半人工方式處理，未來就可交由AI接手，進一步緩解人力不足的壓力。</p> <p>京站近幾年也積極運用IT提升商場的能源管理效率，加速實現節能目標。在京站商場的用電中，一般分為動力（如電梯、電扶梯、排煙系統、抽油煙機、水處理設備和空調設備）和非動力用電（如送風機、照明、插座），其中耗電最高的是動力用電，以空調用電占比最高，達到55%。</p> <p>王大政提到說，為了監測冰水主機的能耗狀況，京站正在建立一套監測系統，可監控商場空調的溫度變化情形。</p> <p>這套系統不僅有助於改善商場室內空調的能耗狀況，還能配合台電的調度需求，追蹤不同時段的用電情況和溫度變化，從而更精準地管控空調電力，例如決定何時關閉某臺冰水主機以減少用電。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>京站實業總經理王大政</strong></span></p> <p>●學歷：世新大學大眾傳播科系學士</p> <p>●經歷：在百貨商場累積約40年經驗，2007年進入日勝生集團下的京站實業，先後擔任管理處副總經理、資深副總經理，負責督導整個京站IT系統的建置，包括POS系統全面翻新，去年接任總經理一職後，未來更積極透過IT加速公司營運發展</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1204_cio_%E4%BA%AC%E7%AB%99%E5%AF%A6%E6%A5%AD_300_%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.JPG" style="width: 300px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><span style="color:#3399ff;"><strong>京站實業</strong></span></p> <p>●地址：臺北市大同區承德路一段1號</p> <p>●網址：<a href="http://www.qsquare.com.tw">www.qsquare.com.tw</a></p> <p>●成立時間：2007年</p> <p>●主要業務：購物中心、電子商務等</p> <p>●員工數：220人</p> <p>●董事長：林怡均</p> <p>●總經理：王大政</p> <p>●資本額：6億元</p> <p>●年營收：約13.9億元（2023年）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門名稱：商業系統資訊處</p> <p>●直屬主管姓名：王大政</p> <p>●資訊部門人數：9人</p> <p>●資訊部門分工：規劃整合部（負責公司相關的應用系統，日常的維運協助各使用單位，整合需求並協同系統廠商進行功能的優化）；作業服務部（負責維護資訊相關硬體設備、各作業主機服務及網路控管）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 數位大事記 </span></strong></span></p> <p>●2020年：全面更換POS、資訊部門自管理處獨立出來成立商業系統資訊處、京站行動Q卡推出Q PAY功能</p> <p>●2021年：建構混合雲、導入超融合基礎架構，整合伺服器、儲存和網路資源</p> <p>●2023年：集團資安聯合查核</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1204_cio_jing_zhan_shi_ye_960_she_ying_hong_zheng_wei_.jpg" width="960" height="420" alt="" title="京站實業總經理王大政　（攝影／洪政偉）" /></div></div></div>
2024/10/18 11:17作者余至浩https://www.ithome.com.tw/people/165560
走過GAI興奮期，性價比成新焦點
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日前，OpenAI剛結束了一年一度的DevDay活動，但出人意外的，今年度的開發日的盛況不如去年，就連線上即時直播也沒有，更沒有往年全球開發者熬夜一睹最新GenAI發展的火熱。</p> <p>就連Meta公司今年度的Connect大會中，引人討論最熱烈的話題，竟然不是最多人用的開源Llama模型釋出超強新版本，而是最新亮相的AR眼鏡Orion產品原型。</p> <p>難道生成式AI（GenAI）技術熱潮退燒了嗎？是，也不是。</p> <p>隨著科技巨頭不斷翻新自家LLM，大家對於GenAI各種嶄新能力越來越習以為常，不容易再出現去年那種驚為天人的興奮感。取而代之的是，今年能讓眾人感受眼睛一亮的，不是更多創新應用，而是效益更明確，甚至是高性價比的GenAI應用。全球零售龍頭Walmart在8月法說會上揭露的GenAI應用，就是一個最好的例子。</p> <p>擁有4億款商品的Walmart，借助生成式AI技術輔助人工作業，來完善龐大商品目錄的內容，處理超過8.5億筆資料作業，大大改善了商品目錄的數據品質，根據他們自己評估，「沒有生成式AI，在相同時間內完成同樣作業，需要近100倍人力。」換句話說，在這項任務上，生成式AI帶來了100倍人手的生產力。這項數據改善，更影響到Walmart各項業務和營運的提升。這是少數公開，有明確效果的大型企業生成式AI案例，也引起很大的討論，甚至有資訊主管直言，這是他看到的第一個明確帶來很大效益的應用。</p> <p>考量到成本效益，不只是昂貴的算力成本，還有龐大的資料搜集和處理成本，很多企業不再堅持重頭打造LLM，轉而先嘗試用提示工程，直接用廠商的LLM服務，來開發GenAI應用，希望先打造出最小可行產品（MVP）版本，再逐漸擴充功能，行有餘力（或有成效）才進一步投入LLM微調。</p> <p>也有率先嘗試GenAI技術和開發的先行者企業，不只遇到低技術門檻（甚至可說是無技術門檻）的提示工程，帶來開發與業務協作的新考驗，更考慮到GenAI發展規模化的挑戰，必須建立一套可重複利用，容易推廣到更多場景、更多業務部門的架構。</p> <p><a href="https://www.ithome.com.tw/article/165558" target="_blank"><span style="color:#3366ff;">1204期封面故事「向金融先行者學GAI創新」</span></a>，就是希望向三家大型金控學習，玉山金控、永豐金控、國泰金控，借鏡他們率先投入生成式AI開發的經驗。</p> <p>這三家金控都是去年就積極開始開發GenAI應用，各自都有不少應用成果，有些用於服務內部員工，或整合到內部系統和流程，也有金控開始用GenAI來提供對外的正式服務。他們都是生成式AI的先行者。</p> <p>永豐金嘗試調整開發和業務兩種角色在GenAI開發中的協作關係，甚至要推動業務人員主導提示工程的GenAI開發模式，讓GenAI更快也更貼近業務場景的需求。</p> <p>玉山開始聚焦發展GenAI規模化能力的基礎架構，不只將自家的多功能類ChatGPT平臺，從封閉架構轉為可擴充架構，更容易整合第三方API和自家累積多年的AI元件，還要自行設計共用的GenAI開發框架，來加快更多不同場景應用的開發。</p> <p>國泰金控則兵分兩路，一方面積極鼓勵集團內子公司各自發展GenAI，找出更多生成式AI的適用場景，同時練兵。另一方面則開始統一全集團的AI發展藍圖，以原有的大數據生態圈基礎，拓展到AI領域的戰略布局，甚至在今年9月發表了一套生成式AI技術發展框架，要來拉齊和加速集團各子公司的GenAI發展步調。</p> <p>他們每一家的GenAI發展過程和策略，各有偏好而略為不同，所瞄準的應用場景和發展規模也有各自的特色。這三家精彩的GenAI經驗，提供了不同面向，又能互補的GenAI探索經驗，值得大家借鏡！</p> <p><a href="https://www.ithome.com.tw/article/165558" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="font-size: 22px;"><span style="background-color: rgb(255, 0, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1204-feng_mian_p1-yun_xuan_-open-960x420_kao_bei_0.jpg?itok=z8OnN9dk" style="width: 550px;" /></strong></span></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/genai">GenAI</a></div><div class="field-item odd"><a href="/tags/%E5%85%88%E8%A1%8C%E8%80%85">先行者</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/%E7%8E%89%E5%B1%B1%E9%87%91%E6%8E%A7">玉山金控</a></div><div class="field-item even"><a href="/tags/%E6%B0%B8%E8%B1%90%E9%87%91%E6%8E%A7">永豐金控</a></div><div class="field-item odd"><a href="/tags/%E5%9C%8B%E6%B3%B0%E9%87%91%E6%8E%A7">國泰金控</a></div></div></div>
2024/10/18 11:42作者王宏仁https://www.ithome.com.tw/voice/165561
淺談永續報告書標準
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-esglu_se_shu_wei_zhuan_xing_tu_pian_lai_yuan_qi_feng_zi_xun_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>台灣金管會於2022年發布「上市櫃公司永續發展路徑圖」，要求上市櫃公司應自2024年起於年報揭露氣候相關資訊，其中實收資本額20億元以下之上市櫃公司須於2025年編製永續報告書。</p> <p>永續報告書的標準是現代企業在追求永續發展的過程中所依循的指導原則之一。因此選擇適合的標準對企業來說至關重要，因為這將直接影響到其對ESG各方面報告的品質、透明度和可信度。</p> <p>以下介紹三種主流ESG永續報告書標準：</p> <p><span style="color:#B22222;"><strong>GRI標準</strong></span></p> <p>全球永續性報告協會（Global Reporting Initiative，簡稱GRI）為獨立的國際性組織，2016年正式推出GRI永續性報導準則（GRI Sustainability Reporting Standards），成為全球第一個使用最廣泛的永續性報導的全球標準。</p> <p>GRI是最廣泛使用的永續報告標準之一，其框架提供了一套全面的指南，幫助企業評估和報告其經濟、環境和社會績效。GRI標準強調了利益相關者參與、透明度和可比性的重要性，並提供了一個統一的框架，使得不同企業可以進行比較分析。</p> <p><span style="color:#B22222;"><strong>SASB標準</strong></span></p> <p>SASB（Sustainable Accounting Standards Board）全名為「永續會計準則委員會」，永續會計標準委員會是一個非營利組織，於2011年在美國舊金山成立。</p> <p>主要宗旨為在促進企業除了財務上的表現之外，也要揭露其對於該企業具有「財務重大性」（Materiality）的資訊，包括企業在營運當中對於「環境」、「社會資源」、「人力資源」、「企業領導力與公司治理」和「商業模式與創新」等五大項永續主題當中，與該行業具有必要性的指標。</p> <p>SASB專注於制定與財務報告類似的標準，以衡量公司在ESG領域的績效。它提供了行業特定的指標，以幫助企業更好地理解他們所處的市場環境。SASB標準將ESG因素納入財務報告，進而使得投資者能夠更全面地評估公司的價值和風險。</p> <p><span style="color:#B22222;"><strong>TCFD框架</strong></span></p> <p>TCFD是由國際金融穩定委員會（FSB）在2015年成立的氣候相關財務揭露小組（TCFD，Task Force on Climate-related Financial Disclosures）。相較於前面兩項GRI、SASB標準，「TCFD準則」著重企業如何因應氣候風險，TCFD提供了一套關於如何揭示氣候相關風險和機會的指導原則，這對於那些希望在氣候變化和永續性方面提供更全面信息的企業尤其重要。TCFD框架強調了風險披露的重要性，並鼓勵企業將氣候相關信息整合到其財務報告中。</p> <p>在選擇ESG永續報告標準時，企業應該考慮到自身的行業特性、利益相關者需求、資源和能力，以及標準的國際認可度，選擇符合企業本身適合的標準。</p> <p><span style="color:#3399ff;"><span style="font-size:28px;"><strong>ESG報告之GRI</strong></span></span></p> <p>全球報告倡議組織（Global Reporting Initiative，GRI）為獨立的國際標準組織，其2016年發布的GRI準則為目前全球最主要的CSR報告書參考依據，約75%的全球大企業CSR報告書皆使用此標準當作主要依據。</p> <p>另外2021年10月全球報告倡議組織也公布了《新版GRI通用準則2021》（GRI Universal Standards 2021），並於2023年1月1日正式生效。因此意味2023年企業若要發行2022年永續報告書時，就要依循新版的通用準則2021，並符合新版通用準則要求進行揭露。</p> <p>在新版通用準則中，要求企業針對其營運對經濟、環境、社會之衝擊影響需揭露得更為完善、全面，並將過往各企業容易忽視的人權議題與盡職調查也納入一定要揭露的標準規範中。</p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>GRI框架說明</strong></span></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 一、通用準則 </span></strong></span></p> <p>通用準則是GRI框架的基本部分，適用於所有企業無論其所在行業或規模。這些準則包括了報告的原則、內容和要求，以及如何構建報告的結構和格式。通用準則確保了報告的一致性、可比性和可信度。</p> <p>GRI框架的通用準則包括GRI 1、GRI 2和GRI 3：</p> <p>1. GRI 1是基礎標準，介紹了GRI準則的目的與體系，以及永續性報告的關鍵概念。</p> <p>2. GRI 2聚焦於一般揭露，涵蓋組織的治理架構、策略以及倫理標準等方面。</p> <p>3. GRI 3則指導組織如何識別、選擇並報告其重大主題和邊界。</p> <p>通用準則涵蓋了以下主題：組織概況、報告範圍、報告目標和目標、報告準則、報告原則、管理意見和確認、報告的內容、基本準則原則、報告範圍和顯著主題的確認、報告受眾、報告的媒體和語言、報告的時限。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 二、行業準則 </span></strong></span></p> <p>行業準則是針對特定行業或部門的準則，提供了更具體和適用於該行業的報告指導。這些準則根據行業特性和風險標準，提供了行業相關的報告主題和指標，幫助企業更好地理解其所處的市場環境，並確定最相關的ESG問題。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#000000;"> 三、主題準則 </span></strong></span></p> <p>主題準則是針對特定主題或議題的準則，主要在提供更深入和詳細的報告指導。這些準則涵蓋了一系列ESG主題，例如氣候變化、人權、供應鏈管理等，旨在幫助企業更好地了解和報告其在特定主題下的績效和影響。</p> <p>主題準則通常提供了更具體的報告指標和建議，以幫助企業更有效地管理相關風險和機會，並提高報告的質量和價值。</p> <p>GRI主題準則包括特定主題內容，用於決定重大主題，有助於組織實現永續發展。其中特定主題準則分為經濟（GRI 201∼207）、環境（GRI 301∼308）、社會（GRI 401∼419）這些標準提供了詳細的指導，幫助組織評估及報告特定主題上的績效和影響。</p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>完成ESG報告書並揭露時須注意事項</strong></span></span></p> <p>企業在好不容易完成ESG報告書後，要注意是否有依循GRI準則中的九項要求，才能依循GRI準則進行報導，這九項要求則是確保企業的永續報告書全面、準確且有用。</p> <p><strong>1. 應用報導原則：</strong>組織必須遵循GRI報告原則，這些原則提供了報告質量的基礎指南，包括準確性、透明性、平衡性、及時性等。</p> <p><strong>2. 報導GRI 2：一般揭露2021中的揭露項目：</strong>組織需報告關於其組織概況、策略、倫理和完整性、治理、利害關係人參與及報告實踐的資訊。</p> <p><strong>3. 決定重大主題：</strong>透過一個正式的過程，識別和決定對組織及其利害關係人來說最重要的永續發展議題。</p> <p><strong>4. 報導 GRI 3：重大主題2021中的揭露項目：</strong>基於決定的重大主題，報告該過程、重大主題列表及管理每個重大主題的方式。</p> <p><strong>5. 針對每個重大主題，報導GRI主題準則中的揭露項目：</strong>對於每個被識別為重大的主題，報告相關的GRI主題準則中的具體揭露項目。</p> <p><strong>6. 針對組織無法符合的揭露項目及要求提供省略理由：</strong>如果組織無法提供某個要求的資訊，必須在報告中說明省略的理由。</p> <p><strong>7. 發布GRI內容索引表：</strong>創建一個索引表，列出報告中包含的所有GRI標準和揭露項目，並指示讀者在報告的哪個部分可以找到這些資訊。</p> <p><strong>8. 提供使用聲明：</strong>在報告中明確聲明該報告是否依照GRI標準，以及是依據哪個選項（「依循」或「參考」）來進行的。</p> <p><strong>9. 通報GRI：</strong>向GRI報告或通知您的報告，這一步可依據企業自己本身的需求決定，並非強制性。<strong>（本文摘錄整理自《ESG綠色數位轉型》第五章，碁峰資訊提供）</strong></p> <p class="rtecenter"><a href="https://www.gotop.com.tw/books/bookdetails.aspx?types=a&bn=ACN038200" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961_ESG%E8%BD%89%E5%9E%8B_600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <a href="https://www.gotop.com.tw/books/bookdetails.aspx?types=a&bn=ACN038200" target="_blank">ESG綠色數位轉型：AIoT永續與雙軸轉型應用</a></strong></p> <p>裴有恆、李奇翰、林玲如／著</p> <p>碁峰資訊出版</p> <p>定價：450元</p> <p><span style="color:#ffffff;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB_ESG%E8%BD%89%E5%9E%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E4%B8%AD%E8%8F%AF%E4%BA%9E%E5%A4%AA%E6%99%BA%E6%85%A7%E7%89%A9%E8%81%AF%E7%99%BC%E5%B1%95%E5%8D%94%E6%9C%83.png" style="width: 150px;" /></p> <p><strong>裴有恆</strong></p> <p>Rich老師，為AIOT綠色數位轉型顧問，美國南加大電腦工程碩士（主修人工智慧）畢業，1997年起從事物聯網、元宇宙等相關工作十多年，2014年起專職企業講師與顧問，有超過100家企業內訓，30家企業輔導經驗，著有多本AIoT及數位轉型書籍，為多家媒體特約作者，現為FB社團「i聯網」、「智慧健康與醫療」，臉書「數智創新力」頻道創辦人，昱創企管顧問有限公司總經理，發願成為綠色數位轉型傳教士。<a href="https://www.apac-aiot.org/teams" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_中華亞太智慧物聯發展協會</span></span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB_2_ESG%E8%BD%89%E5%9E%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E4%B8%AD%E8%8F%AF%E4%BA%9E%E5%A4%AA%E6%99%BA%E6%85%A7%E7%89%A9%E8%81%AF%E7%99%BC%E5%B1%95%E5%8D%94%E6%9C%83.png" style="width: 150px;" /></p> <p><strong>李奇翰</strong></p> <p>現任中華亞太智慧物聯發展協會理事長，台灣人工智慧協會理事/人工智慧倫理推動小組召集人。希望未來可以協助台灣中小企業利用AI+IOT的方式，創造出新服務及新價值，也寄望藉由推動企業AI治理，減少及避免未來AI將會可能造成的經濟及社會衝擊，真正落實企業永續理念。<a href="https://www.apac-aiot.org/teams" target="_blank"><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源_中華亞太智慧物聯發展協會</span></span></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB_3_ESG%E8%BD%89%E5%9E%8B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E4%B8%AD%E8%8F%AF%E4%BA%9E%E5%A4%AA%E6%99%BA%E6%85%A7%E7%89%A9%E8%81%AF%E7%99%BC%E5%B1%95%E5%8D%94%E6%9C%83.png" style="width: 150px;" /></p> <p><strong>林玲如</strong></p> <p>學的是精算數學、永續系統發展(Sustainable System Development)，從軟體及顧問業協助企業/政府整體規劃，跨入證券/壽險/金控領域(外商16年本地12年)負責/參與規劃轉型、資訊管理、風控與治理、ESG導入、數據分析/人工智慧應用、差異化健康照護等等；長期支援金融體系、大健康產業之轉型規劃與實踐、擔任集團金融科技創新智庫。現任國民年金監理委員、臺灣金融科技協會監事及系統動力學臺灣分會組織委員。<a href="https://www.apac-aiot.org/teams" target="_blank"><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源_中華亞太智慧物聯發展協會</span></span></a></p> </div></div></div>
2024/10/18 12:00未署名https://www.ithome.com.tw/article/165493
去年被用來攻擊的漏洞中，高達7成為零日漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google麾下的資安業者Mandiant本周公布了<a href="https://cloud.google.com/blog/topics/threat-intelligence/time-to-exploit-trends-2023" target="_blank">2023年的漏洞分析報告</a>，指出去年遭到利用的138個安全漏洞中，有97個屬於零日漏洞（Zero-day），41個為N日漏洞（N-day），儘管先前即曾預測駭客對零日漏洞的利用會愈來愈多，但現況比他們原本以為的更嚴重。</p> <p>所謂的零日漏洞指的是尚未修補就被攻陷的安全漏洞，N日漏洞則是已公開且有修補程式之後再被攻陷的漏洞。</p> <p>資安業者通常是以利用時間（Time-to-exploit，TTE）來定義漏洞自被修補（或未修補）至實際遭到攻擊的平均時間，Mandiant則發現，駭客利用漏洞的時間逐年縮短，例如2018至2019年的TTE為63天，2020到2021年是44天，2021到2022再減少至32天，然而，去年的TTE降幅是史上最大，平均只有5天。</p> <p>其實最近這幾年遭到攻擊的零日漏洞數量都比N日多，但維持穩定比例，例如2020至2021年的比例為61:39，2021年至2022年為62:38，卻在去年脫序至70:30，Mandiant尚不確定這是一次性的，或為一個重要的轉折。</p> <p>此外，對於那些N日漏洞遭到利用的時間點，有12%的漏洞是在修補程式現身的第一天就被利用，29%是在修補的一周內被利用，56%是在一個月內被利用。顯示漏洞最有可能遭到利用的時間點是在修補後的一個月內，與以往的統計一致。在41個N日漏洞中，有75%的攻擊程式是在漏洞尚未被利用前就發布，只有25%是在漏洞遭利用後才發布。</p> <p>在去年被利用的138個漏洞中，分屬53家不同的業者，有8個源自Google，微軟與蘋果各占7個，第四名的Adobe也有6個。</p> </div></div></div>
2024/10/18 11:00作者陳曉莉https://www.ithome.com.tw/news/165559
應對GenAI浪潮！國網中心揭露未來AI超級電腦算力擴展藍圖，目標5年內整體總算力達280 PFlops
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了今年7月上線的<a href="https://www.ithome.com.tw/news/163835">新創一號</a>，國網中心近日揭露了未來5年的算力擴展藍圖，計畫啟用5座AI超級電腦，整體總算力可達280 PFlops，以應對產業對於GenAI應用日益增長的算力需求。</p> <p>國網中心的發展藍圖，包括HPC、網路基礎設施、AI與大數據4大方向。尤其是AI領域，因應這兩年生成式AI技術的迅速發展，國網中心不僅自2022年起讓超級電腦台灣杉二號開始分擔GenAI算力，協助產業界推動相關應用。到2023年時，國網中心建置了專用運算主機，配備72片的H100 GPU，具備約3.8 PFlops算力，提供臺灣的TAIDE大型語言模型訓練專用。今年7月，國網中心啟用的超級電腦創進一號，則採用CPU架構，提供3.4 PFlops算力，專用於科學工程用途。</p> <p>但是，為滿足產業對GenAI應用日益增長的算力需求，提升運算能力成為國網中心未來發展的重點方向。國網中心主任張朝亮近日於一場AI活動中揭露了國網中心未來5年的運算擴展藍圖，進一步說明如何強化算力支援，推動國內AI技術發展與創新。</p> <p><strong><span style="font-size:26px;">計畫啟用5座AI超級電腦，合計總算力可達280PFlops</span></strong></p> <p>根據國網中心的中長期大型AI算力部建計畫，未來將啟用5座AI超級電腦，其中兩座AI超級電腦，以GPU為核心，預計分別於2024年和2025年完工啟用，分別將提供16 PFlops 和100 PFlops 的算力。</p> <p>其中，具備100 PFlops算力的AI超級電腦主機，將搭載1,680個GPU、25PB儲存空間，並配備200Gbps InfiniBand高速網路，未來將可支援多元且更廣泛的應用需求。若對比今年5月公布的全球超級電腦前500強榜單中，這臺AI超級電腦將位列第11名。</p> <p>此外，另有兩座超級電腦將於2026和2027年啟用，採用GPU和CPU的混合架構，分別提供80 PFlops和35 PFlops的算力。</p> <p>長遠來看，到2028年，國網中心將整合量子運算，使超級電腦的整體算力可達280 PFlops，未來可用於量子AI等技術的開發與應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240927_065213936.jpg" style="width: 600px; height: 337px;" /></p> <p>國網中心大力擁抱雲端翻新架構打造新一代高速運算主機，建立雲端基礎的服務環境，讓使用者能夠透過雲端平臺以容器化方式存取運算資源，簡化開發流程及後端計算管理。並分兩階段推動，第一階段採用先導服務主機，以GPU伺服器為主，優化服務大型語言模型開發、AI共用運算服務與大型科學運用應用，第二階段則將導入雲端AI運算主機，配備更強大的GPU伺服器、資料儲存和高速網路設施，提供高效能運算能力，支援更多異質環境的應用研究及開發需求。</p> <p>除了國網中心的超級電腦之外，在國科會提出的「大南方計畫」建置計畫中，將於2029年在沙崙部建一座算力可達200 PFlops的AI超級電腦，未來啟用後將提供南部學研界和業界開發使用。</p> <p><strong><span style="font-size:26px;">不只國網中心建置超級電腦，民間企業積極布局AI算力服務市場</span></strong></p> <p>不只國網中心建置超級電腦，企業積極布局AI算力服務市場，許多業者紛紛投入大型AI算力建設。例如，Nvidia推出的Taipei-1，搭載512個H100 GPU，算力達22.3 PFlops，而鴻海則計畫在高雄打造一座算力超過90 exaflops的超級電腦。</p> <p>配合AI算力的發展，國網中心在網路與資料中心建設方面也有相關建置計畫，包括將在南科建置IDC雲端資料中心，預計於明年初完工，並於年中陸續進駐HPC、GPU等設備，未來IDC啟用後除了可供AI研究，國網中心也將拓展更多服務模式，如主機代管服務等。</p> <p>在網路方面，在2022年啟用FOX網路交換中心後，國網中心規畫未來3～4年年將分階段完成南北骨幹網路光纖的建置，強化全國的資料傳輸能力。</p> <p><strong><span style="font-size:26px;">國網中心將推出國網AI雲服務作為新一代雲端服務平臺</span></strong></p> <p>除了擴增算力之外，國網中心聚焦的另一大重點就是雲端服務。張朝亮表示，雲端在AI發展中扮演著重要角色，不僅提供便利的雲端入口和友善的使用介面，讓所有人都能很容易介接使用，還能提供強大運算資源，處理AI開發所需的大量數據。</p> <p>他坦言，過去HPC主要集中於科學和工程計算，但在過去五年中，AI已成為主流。因此，每個HPC中心都在擴展GPU算力，並思考如何提升雲端服務以更好地滿足客戶需求。</p> <p>張朝亮表示，國網中心將推出國網AI雲服務（NCHC AI Cloud service, NAICS）作為新一代雲端服務平臺。他指出，這套平臺不僅具備更強大的運算服務，支援多元AI試算環境與應用場景，還整合更多資源，介接主流公雲。根據國網中心的規畫，初期將建構包括IAAS和PAAS在內的雲端基礎服務，到2025年將進一步提升並整合HPC與雲端服務，新增更多雲端功能選項，同時推出HPC高速運算與HFS高速儲存整合服務，以提升效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240927_065239695.jpg" style="width: 600px; height: 337px;" /></p> <p>國網中心還計畫於2024至2027年建置一套雲端資料分析平臺，針對資料的機敏性建立可信環境，強化資料保護與隱私保障。在設計上，張朝亮表示，此平臺將依據資料敏感程度區分為隱私工作區和公共工作區。考量到資料的機敏性，使用者未來可以選擇採用隱私公共工作區域，使用隔離的雲端服務。在這個隔離的雲端環境區域中，外部資料交換僅限唯讀模式，所有資料將儲存在國網中心的機敏商用儲存系統中，確保安全性。他說，未來包括生醫、國土治理、國防科技、科學計算等都能運用這個平臺來進行開發，進行數據存取，確保資料的完整性。</p> <p>此外，國網中心近期將啟動新計畫，將在雲端環境中打造國產晶片技術PoC實驗平臺。張朝亮也說，未來，國內晶片設計業者在開發Edge晶片或AI ASIC晶片時，就可以用這個平臺進行測試與驗證，加速產品開發進程。</p> </div></div></div>
2024/10/18 11:12作者余至浩https://www.ithome.com.tw/news/165543
向金融先行者學GAI創新
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1204-feng_mian_p1-yun_xuan_-open-960x420_kao_bei_0.jpg?itok=z8OnN9dk" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-featured-article-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/taxonomy/term/75">專題故事</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">GenAI掀起了全球企業AI創新的浪潮，臺灣也不例外，企業如何找出高性價比的GenAI應用場景，成了新一波AI創新的焦點。如何因應GenAI開發流程變革、提高全員創新速度、統整全集團技術戰力，從三家率先擁抱GenAI創新的先行者企業，可以借鏡一二。</p> </div></div></div>
2024/10/18 09:25作者李昀璇https://www.ithome.com.tw/article/165558
【金融GAI先行者經驗：永豐金控】GAI提示調整是最大挑戰，業務人員能否高度參與開發成關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在2020年，永豐金控就定調以AI做為集團數位轉型核心。四年來，永豐內部累積超過百個AI專案，使用超過上百個AI模型。GAI爆紅後，永豐快速跟上趨勢，甚至是臺灣第一批將GAI運用在對外服務的企業。</p> <p>除了在銀行對內推出員工專用GAI小幫手，輔助員工日常工作任務。近期，永豐銀行和永豐金證券更進一步推出面對顧客的GAI服務，前者提供顧客上千篇國內外新聞資料的市場資訊摘要，後者運用生成式AI彙整市場資訊，提供個股新聞摘要和市場輿情分析。</p> <p>為了打造GAI應用，永豐也嘗試不少現成開發框架，例如LangChain發展早期，永豐就開始採用。不過，走的早，也讓永豐面臨不少挑戰。首先，永豐採用的GAI開發框架快速迭代，徒增不少開發團隊的維運工作。例如LangChain框架向下相容性差，不僅新舊版本互不相容，甚至有幾次改版，讓永豐開發團隊不得不重構原有開發邏輯，造成不少開發困擾。</p> <p>為了應對現成GAI開發工具的不穩定，永豐透過增加抽象層，來運用不同開發框架，避免被既有開發框架綁住。考量專案特性，永豐還會採用不同的開發框架。例如，對外的GAI應用，永豐會採用大型科技業者的技術架構，確保服務穩定性，對內的小型專案，則鼓勵開發團隊嘗試各種開發框架來練功。</p> <p>不過，永豐金控科技長張天豪強調，嘗試多框架是階段性做法，未來會減少所用的技術框架，來降低架構複雜度，「長期來說，我們想要打造一個專屬永豐、快速開發生成式AI應用的套件或平臺。」他說明，這個內部自行研發的平臺，底層將提供不同開發套件，來加速開發人員作業。平臺中間是API層，要'讓業務人員容易透過API，來使用多種LLM模型服務。平臺最上層則是一個低程式碼（Low-code）開發介面，提供不同使用者，包括業務人員，不需要撰寫太多程式碼，就能調整、測試提示。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>提示工程顛覆既有AI開發流程，如何有效檢核模型回應是挑戰</strong></span></span></p> <p>為何採取三層式的GAI開發平臺，與永豐的GAI發展策略密切相關，最關鍵的是，低程式碼介面的設計，主要目的是為了讓業務人員能快速檢核提示效果，甚至，讓業務人員能主導GAI應用開發。</p> <p>提示工程改變了永豐既有AI應用開發模式，如何有效檢核模型效果，成為永豐開發團隊的最大挑戰。永豐的GAI策略，正是要推動業務人員成為GAI應用開發中的主角。「工程師沒有能力判斷，自己調整的提示夠不夠好，」張天豪點出開發GAI應用和傳統AI應用最大的差異，這也是顛覆既有軟體開發流程的主因。</p> <p>傳統AI開發流程中，開發人員可以根據模型回應結果的準確度，逐步調整、提升模型效果，但在提示工程中，建模不再是開發人員主要職責，如何有效調整提示、生成更理想的回應，並且讓幻覺問題處在可控範圍內才是關鍵。可是，當GAI應用越是貼近業務場景，開發人員越難有客觀的模型準確度指標可參考，唯有具備領域知識的業務人員，才能判斷模型生成回應的好壞。這就導致，開發人員需要和業務人員反覆溝通，才能檢核模型效果。</p> <p>對永豐來說，如何建立開發人員和業務人員協作的開發流程，是一大挑戰，光是找到適合溝通測試案例的工具，就是一道難題。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>提示每更新一次就要業務人員協助測試</strong></span></span></p> <p>由於LLM先天的幻覺問題，即便是同樣提示，都可能產出不同回應，每當開發人員更新提示，業務人員就得重新檢視測試結果，來確認新產出的模型回應沒有偏差。</p> <p>永豐現行的開發流程是，開發人員會撰寫出第一版提示，再由業務人員協助測試不同的情境、檢視模型回應內容，並提供修改建議，再交給開發人員，根據這些建議來修改提示，然後再一次，找來業務人員重新檢視同一批測試情境的模型回應，確保新版提示沒有造成偏差，「這是業務同仁非常不喜歡的地方。」張天豪說。</p> <p>為了雙方討論測試案例，目前，永豐金GAI應用開發團隊採用了Excel表單。當開發人員執行完提示，會以在Excel表單，彙整所有測試案例的模型回應結果，提供給業務人員。</p> <p>不是沒想過換掉Excel，張天豪提到，內部曾自製過一款網頁工具，提供業務人員確認每一版提示的模型回應，但是，「很難開發出UI/UX贏過Excel的工具，」他進一步解釋，在Excel中，使用者可以快速在不同格內容間遊走，隨時對特定內容進行標註或編輯，操作十分自由。其他現成的協作工具或自製網頁工具，未必能達到Excel的靈活度。</p> <p>例如有100個測試案例，熟諳Excel操作的業務人員，自己懂得選用紅色底色，來標記效果不好的模型回應，不需要額外說明，開發人員看到就能明白標記涵義。但是，運用其他協作工具時，使用者介面未必對業務人員足夠友善，業務人員找不到完善的標註方式，就必須改用口述或電子郵件額外說明，徒增溝通困擾。</p> <p>「我們希望技術進步，但實務上，GAI是為了解決業務問題。」張天豪表示，在GAI開發上，永豐的原則，是以業務人員需求作為主要考量，所以，採用他們熟悉的Excel，仍是目前最適合的解決方案。「最終目標會淘汰Excel，不過，需要一些時間。」張天豪說。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>永豐期望推動由業務人員負責調整提示</strong></span></span></p> <p>意識到原有的開發流程行不通，永豐金正在朝向由業務人員負責調整提示，減少多次來回溝通的情況。永豐銀行近期推出的一款面對顧客的GAI服務「投資水晶球」，能提供顧客上千篇國內外新聞資料的市場資訊摘要，正是透過非開發人員調整提示開發而成。</p> <p>為了打造這款面對顧客的GAI服務，永豐銀行內部組成跨部門的專案團隊，包括資訊處、財富金融處等單位，並和永豐金控、永豐投顧合作，共同完成開發。和一般對內GAI應用不同，這款服務並非由業務單位直接和開發團隊對接，而是由PM單位綜合企劃處負責專案規劃和執行。</p> <p>不同於永豐目前的GAI專案開發流程，這個專案是由專案團隊人員負責調整提示。具體開發流程是，專案團隊人員收到初版提示後，先在員工專用的GAI小幫手中，測試自己的提示詞，確認無誤後，再交由開發人員執行提示。這個過程會反覆執行，直到模型回應達到理想程度。溝通過程中，開發人員也會針對專案團隊人員的提示，提供修改建議，例如增加參數限制等。</p> <p>另一方面，專案團隊每月都會進行專案會議，針對模型回應給予建議。除了匯集跨部門意見，專案團隊也會徵求法務意見，確保對外GAI服務的合規性。</p> <p>目前，永豐銀行每周約更新三次服務內容，更新內容前，會先由永豐投顧人員審核內容，才對外發布。雖然服務已經正式上線，永豐銀行的專案團隊仍持續測試新推出的LLM，若新版模型效果較強，則會改為採用更新的模型服務。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>業務人員才是GAI應用開發主角</strong></span></span></p> <p>為了讓業務人員能深度參與開發，永豐金從集團策略角度，建立、培養新的開發文化。</p> <p>目前，永豐金集團內部已經開設許多GAI課程，包含高階主管在內，人人都要參與培訓課程。例如，永豐銀行今年在全行開設12場GAI課程，包含金控董總及高階主管、業務高度相關人員，乃至全行員工，都要在課程中學習GAI應用概念、實作提示工程，掌握GAI基礎概念。</p> <p>同時，張天豪也嘗試說服業務單位，「調整提示是業務同仁的工作。」在溝通過程中，他嘗試讓業務單位同理，即便是自己帶領的開發團隊，也正在面臨角色轉變挑戰。</p> <p>在GAI專案中，開發人員成為輔助開發的角色，他們不再需要建模，而是協助業務人員修改、執行提示，並將結果回傳給業務人員。張天豪解釋，這個過程十分繁冗，「對一些喜歡研發的工程師而言，是他們不喜歡的工作。」</p> <p>為了減少開發人員從事繁冗作業，永豐金也正在研究替代方案。目前，永豐金正著手研究自動增強提示機制的有效性，「輸入一個提示後，會輸出更好的提示。」張天豪解釋。若實驗成功，有望緩解業務和開發人員的溝通不順，讓開發人員更專注在技術性任務。</p> <p>從傳統AI走到GAI，張天豪認為，「每個人的角色都會改變。」過往AI開發人員期待從事研發工作，如今，卻僅能運用科技大廠建立的模型。開發人員研發能力無處可施，難免感到沮喪，「但我告訴他們（開發人員），沒辦法，時代就是這樣。」</p> <p>更進一步，張天豪不斷激勵開發團隊，希望開發人員重新思考自己的未來。「當每天的工作可能改變，甚至過去學校習得的技能，有朝一日完全用不到時，該怎麼辦？」他強調，GAI時代，每個參與開發的角色，都得重新思考自己的定位，而如何落實新開發文化，將會是企業重要課題。</p> <p> </p> <h1><span style="color:#FFFF00;"><strong><span style="font-size:36px;"><span style="background-color:#000000;"> 兩種GAI應用開發流程大比較 </span></span></strong></span></h1> <p><span style="font-size:24px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3333ff;"> 永豐金現行做法 </span></span> <span style="color:#3333ff;">開發人員主導提示工程的GAI開發</span></strong></span></p> <p><span style="font-size:24px;"><strong><span style="color:#0000CD;"><img alt="" src="https://s4.itho.me/sites/default/files/images/1204-%E5%B0%81%E9%9D%A2-%E6%B0%B8%E8%B1%90%E9%87%91-600-A-(2).png" style="width: 545px;" /></span></strong></span></p> <p><strong>在永豐金，目前大多數GAI流程還是由開發人員負責撰寫、調整提示，業務人員負責檢核模型回應。首先，業務人員向開發人員提出GAI需求，由開發人員提供初版提示。接著，業務人員協助測試各種情境、檢視模型回應內容，並提供修改建議。開發人員根據這些建議重新調整提示命令後，再找業務人員來測試模型回應，若有問題或不符需求，再次找開發人員調整提示，並且再次找業務人員評估結果。因為開發人員無法檢驗生成結果是否符合業務需求，得和業務人員反覆來回多次，甚至數十次，調整與驗證後，才能完成GAI應用的開發。</strong></p> <p><span style="font-size:24px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#008000;"> 未來理想模式 </span></span> <span style="color:#008000;">業務人員主導提示工程的GAI開發</span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1204-%E5%B0%81%E9%9D%A2-%E6%B0%B8%E8%B1%90%E9%87%91-600-B-(2).png" style="width: 547px;" /></p> <p><strong>目前多數GAI開發由開發人員負責調整提示，也開始有少數企業由業務人員主導提示工程，這也是永豐金控科技長張天豪心中的理想作法。業務人員提出需求後，開發人員先設計初版提示，再讓業務人員測試、確認模型生成效果，但最大不同是，業務人員在測試的過程中，自行調整提示，減少和開發人員來回溝通修改提示的過程。業務人員僅需將調整後的自訂提示，交由開發人員整合到GAI應用中的模型預設提示，業務人員再來驗收最後的GAI應用。</strong></p> <p> </p> <p><span style="font-size:36px;"><span style="color:#FFFF00;"><strong><span style="background-color:#000000;"> AI應用不能單靠AI專家，</span></strong></span><strong style="color: rgb(255, 255, 0);"><span style="background-color:#000000;">永豐要讓業務員 </span></strong></span></p> <p><span style="font-size:36px;"><strong style="color: rgb(255, 255, 0);"><span style="background-color:#000000;"> 成為GAI開發主角 </span></strong></span></p> <p><strong>提示工程的特性，不僅衝擊既有AI開發流程，更扭轉了開發人員和業務人員在GAI專案的角色。</strong></p> <p><strong>在GAI專案中，開發人員無法單靠自己的技術能力完成，得借助業務人員的領域知識，來調整提示。過往AI開發流程中，業務人員提出需求後，由開發人員建立、訓練和調教模型，最終提供服務。這個合作模式行之有年，業務人員早已習慣。因此，「業務人員很難想像，在GAI開發過程中，自己竟然是主角。」永豐金控科技長張天豪強調。</strong></p> <p><strong>永豐想要推動的變革是，在AI應用開發中，將業務人員推向更核心的位置。不過，要在集團內推動這個觀念，並不容易。GAI爆紅後，永豐很快就從集團角度做出應變，從開設GAI課程開始，讓業務人員掌握提示工程技巧。</strong></p> <p><strong>這不是一時興起的計畫，而是來自多年AI發展的經驗。過去，永豐發展AI時，就十分看重業務人員在應用開發時擔任的角色。甚至，集團能從零開始，發展出上百個AI專案，關鍵就在技術單位和業務單位的密切合作。</strong></p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>持續在集團推廣重要觀念：想打造成功AI應用，得和業務單位密切合作</strong></span></span></p> <p><strong>2020年，永豐金控定調以AI作為集團數位轉型核心。當時，張天豪為了在集團推廣AI，選擇從應用角度切入，以「顧客行銷基因」作為第一批業務單位合作專案，透過AI來協助業務單位進行精準行銷。通過概念驗證，取得業務單位認可後，技術團隊順利將這項實驗專案轉為正式專案。</strong></p> <p><strong>如今，顧客行銷基因專案提供了上百款商品或服務的推薦指數，協助永豐集團內多個業務單位提升商品行銷效益。這是永豐在AI發展歷程中的一項關鍵應用，也是促進永豐集團近一步推廣AI的重要專案。</strong></p> <p><strong>有了幾次和業務單位合作的成功案例後，張天豪更有信心在集團推動AI。不過，他並不是向業務單位強調AI技術的優勢，而是向業務單位表達一個重要新觀念：「打造AI應用不能單靠AI專家。」唯有和業務單位合作，才能產出成功的AI應用或服務。</strong></p> <p><strong>甚至，張天豪還認為，若比較業務和技術單位對AI應用開發的重要性，「業務單位可能占6或7，我們（技術單位）只有4或3。」</strong></p> <p><strong>這個觀念，後來體現在永豐訂定的AI發展策略上。2022年，永豐宣布三大AI策略，要從業務行銷、風險決策、流程營運三大場景發展AI應用。永豐不單從技術看AI，因為，張天豪認為，從技術面切入，容易忽略金融業實際需求。</strong></p> <p><strong>當時，永豐的AI策略，便是以應用為主，透過這三大類場景，讓AI逐步落地到集團內每個角落。如今，永豐發展GAI，更強調了業務單位的重要性，甚至，張天豪也將業務人員視為GAI應用開發的主角，以這項策略推進GAI發展。</strong></p> <p><a href="https://www.ithome.com.tw/article/165558" target="_blank"><span style="color:#FFFFFF;"><span style="font-size:20px;"><strong><span style="font-size:22px;"><span style="background-color:#ff00ff;"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1204-feng_mian_p1-yun_xuan_-open-960x420_kao_bei_0.jpg?itok=z8OnN9dk" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/10/18 09:25作者李昀璇https://www.ithome.com.tw/news/165547
【金融GAI先行者經驗：玉山金控】從單一應用邁向規模化發展，自建GAI開發框架支持不同業務需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前，玉山金控就開始布局生成式AI。從單一GenAI應用切入，一路發展出多款應用服務。今年初，玉山金更正式推出多功能的生成式AI平臺GENIE，可透過API方式，將GenAI整合到不同的應用場景和內部系統中，讓生成式AI更容易落地到多種工作流程中。</p> <p>今年上半年，玉山透過GENIE平臺推出了11項生成式AI應用服務，包含基礎和進階應用服務。前者包括了純文字和圖片生成、會議記錄生成和摘要總結翻譯等基礎服務，每項應用服務都能適用於多種場景。後者則是可以開發進階版的GenAI應用服務，提供特定場景、更複雜的功能。例如，法規文件比對、市場資訊摘要和生成，或運用客服資料進行顧客情緒分析。</p> <p>在發展通用技術平臺的過程中，玉山也不斷搜集更多適用GAI的場景，他們不僅關注舊場景，也探索因新技術誕生的新場景，更歸納出不同場景快速上手GenAI的作法。玉山銀行智能金融處資深副總工程師林鉦育透露：「要用新架構瞄準新場景，先從RAG（檢索增強生成）開始。」</p> <p>不過，到了今年下半年，隨著內部GAI應用發展數量和需求逐漸增加，玉山關注的焦點逐漸轉向，開始思考如何讓GAI應用走向規模化。</p> <p>一方面，不同業務單位有相似需求，需要共用的開發框架，讓同樣功能的元件，重複運用到不同場景，快速支持業務單位發展GAI應用。另一方面，玉山也開始設想，若未來需要將GAI發展至更多特殊場景，如配合集團海外戰略，得將服務推往國外，甚至是非英文語系國家中，「我們要怎麼做？」玉山銀行智能金融處主任工程師徐明霞開始思考更長期的課題。</p> <p>短期內，玉山需要一個GenAI開發框架，快速支持業務單位各種需求，但考慮到框架的永續性，玉山期望，開發框架也能彈性擴充，日後遇到從未接觸過的場景，也能快速因應。這個框架，不僅要讓開發者靈活運用各種元件打造GAI應用，還要整合新、舊元件，讓開發者發展GAI新元件同時，也能運用玉山過往的AI技術元件。</p> <p><strong><span style="color:#B22222;"><span style="font-size:28px;">現成開發框架存在限制，無法滿足彈性需求</span></span></strong></p> <p>一開始，玉山考慮採用現成的GenAI開發框架，進行可行性評估後發現，無法滿足他們的需求。</p> <p>首先，現成開發框架仍有不少限制。以目前流行的GenAI框架LangChain為例，這個框架將既有GenAI元件封包成固定形式，難以因應複雜的金融業務邏輯來調整。「有些資料處理過程需要結合業務邏輯，它（框架）沒辦法做到。」徐明霞說。特別是，要整合行內資料時，玉山技術團隊發現，「我們的資料結構不能夠契合這套框架。」</p> <p>現成開發框架無法因應業務需求調整，甚至難以串接行內資料，最終也導致，用LangChain開發出來的GenAI應用成效，不如玉山的預期。</p> <p>另外，由於GenAI技術尚在高速發展，部分現成開發框架迭代速度快，甚至更新版本時，不提供向下相容。對企業而言，這些情況徒增不少維運困擾，不適合長期運用。</p> <p>再來，當玉山想要整合新、舊元件時，發現「要將既有元件整合至現成框架，並不容易。」玉山銀行智能金融處主任工程師陳建安說。</p> <p>早在2018年，玉山就開始大力推動AI，發展至今，累積了不少自製的技術元件，包括語音辨識、圖片辨識、搜尋引擎等。這些過往發展的AI技術基礎，雖有利玉山快速發展GenAI，卻也延伸出新的技術挑戰。</p> <p>評估後發現行不通，玉山技術團隊決定不採用現成框架，而是模擬現成框架的架構，自行打造一個專屬玉山的GenAI開發框架。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從單一應用實作經驗起步，模擬現成框架設計，自建各種元件</strong></span></span></p> <p>玉山的作法是，模仿現成GenAI開發框架的設計架構，自行打造其中的各種元件。玉山用一隻GenAI應用的開發過程來實作，慢慢將這套應用開發模式，發展成一套完整開發框架。</p> <p>今年中，玉山技術團隊從頭打造出一款人資GenAI助手，開發過程中，玉山技術團隊自行開發了數個技術元件，例如，表格資料萃取、文件檔案萃取、簡報資料萃取等元件。並且，技術團隊也和業務單位合作，根據使用者需求來回調整，「自己可以直接調整內部元件，就不會被框架綁死。」徐明霞說。</p> <p>玉山這套自製GenAI框架，未來可以運用在其他場景，例如理專助手等財務知識場景，甚至也能擴展到客服場景。考量到未來這套框架需整合既有技術元件，目前玉山正在進行元件標準化作業，要讓新、舊元件都容易善用。</p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>不僅要打造開發框架，長遠目標是發展業務人員使用的AI開發平臺</strong></span></span></p> <p>雖然，玉山現階段目標是打造GAI開發框架，不過，玉山更長遠的目標是，打造一套「可供業管快速迭代生成式AI應用的框架，」陳建安說：「這個框架不只鎖定開發者，而是要讓業務單位可以提供自己的知識。」例如，未來的框架中可以提供低程式碼或無程式碼平臺，讓業務人員可以動手嘗試開發GAI應用。</p> <p>比起直接提供封裝完成的GAI應用，玉山更期望的是，業務人員也能靈活取用技術元件，來開發各種應用。</p> <p>早在過往玉山發展RPA技術時，就用半自動模式，「每一隻RPA程式，都得有人按下按鈕才會執行。」林鉦育解釋，為了做到靠人員監督RPA，玉山過去曾大規模訓練員工學習RPA技術，「讓使用者掌握基礎技術知識，業務人員才有能力思考如何將技術運用在業務場景。」</p> <p>玉山也將同樣的技術發展策略，套用到Chatbot發展，同樣由業務人員提供相關知識，來完成各項Chatbot應用。「我們想像GAI未來也會朝這個方向發展。」陳建安說。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>GENIE不僅是行員助手，還是讓行員能和技術元件溝通的入口</strong></span></span></p> <p>為了讓業務人員可以掌握基礎GAI知識，玉山除了在內部舉辦教育訓練，也期望透過GENIE平臺，讓業務人員先動手嘗試，對技術累積一定程度了解，「至少讓他們認知AI是什麼模樣。」陳建安說。</p> <p>甚至，玉山對GENIE平臺的想像，不僅是能加速業務流程、解決業務問題的行員OA助手，還是一個能讓業務人員與各種元件溝通的介面，「像是一個入口，背後疊加了許多服務。」陳建安解釋，當業務人員和GENIE平臺互動時，表面上看似在平臺上進行對話，實際卻是運用了平臺背後串接的各式元件，包括玉山自有的影像辨識、語音辨識等技術元件。</p> <p>今年9月初，玉山更近一步推出了GENIE 2.0平臺，不僅提升平臺背後串接的模型服務，也改善使用者介面設計，讓開發者更靈活收集使用者回饋。更關鍵的升級是，「直接抽換了底層，讓GENIE可以擴充其他元件。」林鉦育解釋，GENIE 2.0和1.0的最大差異，是從固定架構走向可擴充式的架構，「現在可以將第三方API放進平臺。」不只外部業者的API，連玉山既有發展的AI元件，也能用同樣的API形式整合到GENIE平臺。</p> <p>GENIE 2.0的登場，為玉山GenAI邁向規模化的發展之路，提供了更加強大的基礎。</p> <p> </p> <p><span style="color:#FFFF00;"><span style="font-size:36px;"><strong><span style="background-color:#000000;"> 玉山GenAI平臺GENIE從1.0走到2.0 </span></strong></span></span></p> <p><strong>今年上半年，玉山推出GENIE平臺1.0版，有兩大特色：API化服務和檢索增強生成（RAG）技術。一方面，GENIE是一隻獨立的API，可以整合到多種延伸應用服務，內部系統可以透過API串接來使用GENIE的功能。另一方面，玉山自建豐富的金融知識庫，藉RAG技術，來提升LLM模型回應金融領域問題的精準度。不過，1.0版的GENIE無法彈性增加其他元件，都得靠客製開發來整合。</strong></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 玉山GenAI平臺GENIE1.0 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1204-%E5%B0%81%E9%9D%A2-%E7%8E%89%E5%B1%B1%E9%87%91_600-2.png" style="width: 600px;" /></p> <p><strong>到了今年9月，玉山推出GENIE2.0版，不僅改善了使用者介面設計和平臺背後串接的模型服務，更把平臺基礎架構抽換成可擴充的架構，容易整合更多功能元件。</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 玉山GenAI平臺GENIE2.0 </span></span></strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1204-%E5%B0%81%E9%9D%A2-%E7%8E%89%E5%B1%B1%E9%87%91_600-1.png" style="width: 600px;" /></p> <p><strong>甚至，GENIE的定位，也從單一API，成為一個能讓業務人員與各種元件溝通的介面。當業務人員和GENIE互動時，表面上是在平臺上進行對話，實際上運用了平臺背後串接的各式元件。除了既有Chatbot服務，玉山內部前端系統也能直接介接GAI應用服務，讓GenAI在無形中輔助業務人員完成工作任務。</strong><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／玉山金控</span></p> <p> </p> <p><span style="color:#FFFF00;"><span style="font-size:36px;"><strong><span style="background-color:#000000;"> 建立標準化評測機制，加速測試LLM模型 </span></strong></span></span></p> <p><span style="color:#FFFF00;"><span style="font-size:36px;"><strong><span style="background-color:#000000;"> 回應有效性 </span></strong></span></span></p> <p><strong>玉山的GAI應用主要由業務人員和開發人員共同協作完成。業務人員會先提供業務情境，由開發人員提供初版提示，待業務人員拿到提示後，可以在GENIE平臺上進行測試，並和開發人員討論模型回應結果，雙方合作修改多個提示版本後，協作打造出一款GenAI應用。</strong></p> <p><strong>不過，在修改提示階段，業務人員需要測試多種情境，並和開發人員來回確認測試情境結果，耗時又耗力。</strong></p> <p><strong>為了加速業務人員測試各種情境，玉山針對各個業務場景，額外設置測試集，透過LLM來為GAI應用評分，將GAI應用評測機制標準化。</strong></p> <p><span style="font-size:22px;"><span style="color:#B22222;"><strong>建立評測機制後，省下一半的GAI應用開發時長</strong></span></span></p> <p><strong>在建立標準化測試流程時，玉山技術團隊會根據應用類型，切割出需要測試片段和測試種類，明確定義測試流程。再來，業務單位會負責提供測試資料集，包括真人回應的標準答案，以及標準答案對應分數。接著，技術團隊再運用這套資料集，比對真人回應和模型回應結果，以此建立模型回應評分機制。</strong></p> <p><strong>目前，玉山的測試集可分為兩類，一類是針對搜尋任務設計的測試集，另一類是針對回應內容設計的測試集。</strong></p> <p><strong>以人資助手為例，由於人資經常舉辦考試，因此，玉山技術團隊使用LLM模擬參與考試的行員。當業務人員修改提示，可以對照LLM參與考試的作答分數，來評測模型回應優劣。若LLM作答分數高，代表業務人員修改的提示、產出的模型回應內容有效，反之，若LLM考試分數低，則代表業務人員需要再修改模型回應。這是玉山其中一種測式模型回應內容的形式。</strong></p> <p><strong>另外，針對搜尋任務，玉山金控技術團隊在測試集中設計多種搜尋結果，讓業務人員可以判斷測試情境能否有效讓模型搜尋到正確資料，和正確回答問題。例如，當業務人員輸入特定測試情境，業務人員可以得知，模型在測試情境中能否搜尋到正確答案，以及能否正確回答問題，或是，模型能搜尋到部分答案，但無法完全回答問題。另外，LLM會針對模型回應的正確性進行評分，協助業務人員加速測試各種情境。</strong></p> <p><strong>玉山尚未建立評測機制前，開發人員需和技術人員反覆確認不同測試情境結果，單一應用歷經半年開發時長，才正式上線。建立評測機制後，則節省近一半開發時間，以玉山近期上線的隨行理專為例，僅花三個月，就從實驗走到正式上線。</strong></p> <p><a href="https://www.ithome.com.tw/article/165558" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="font-size: 22px;"><span style="background-color: rgb(255, 0, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1204-feng_mian_p1-yun_xuan_-open-960x420_kao_bei_0.jpg?itok=z8OnN9dk" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/10/18 09:25作者李昀璇https://www.ithome.com.tw/news/165551
【金融GAI先行者經驗：國泰金控】全集團統一GAI戰略與技術框架，加速子公司多元發展AI創新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早從2018年展開集團數據轉型的國泰金控，相當清楚大型企業擁抱AI的困難，光是讓業務同仁接納新技術、理解數據重要性，就是一段漫長的路。</p> <p>國泰金控2018年開始發展大數據生態圈，也推動小核心、大中臺、微服務等IT現代化工程，就是希望促進更多數據驅動的創新。國泰金2020年更進一步發展出CaaS服務模式，擴大更多數據資料和應用場景，也發展出了不少AI應用。</p> <p>但是，國泰金控資深副總經理姚旭杰坦言，過去推動數據轉型十分困難，業務人員得具備一定技術或學習新工具，否則無法直接與數據互動。</p> <p>GAI爆紅後，員工可以在ChatGPT中用自然語言描述需求，生成圖表或報告，在企業內部直接與數據互動，「這是之前做不到的事情。」姚旭杰強調：「生成式AI真的打開了數據價值。」</p> <p>看好新一波GAI浪潮，國泰金控全集團，從金控到子公司，紛紛展開不同的GAI創新嘗試。</p> <p>例如，去年中，國泰金控就運用GAI打造一個雲端知識顧問chatbot，能即時回覆雲端技術問題，分析子公司上雲問題、提供解方。今年，國泰世華銀行打造一款員工助手chatbot，能快速整理行內資訊，解答員工疑問。</p> <p>不僅如此，國泰子公司業務單位也開始運用GAI，解決業務場景中，長期面臨的痛點。像國泰人壽就用GAI打造智能對練工具，替代真人陪練，還可提升新人面對客戶的應對能力。國泰產險則用GenAI來萃取法院判決中的重要資訊，取代人工查找大量判決文件，讓理賠人員能快速參考判決，評估精神賠償金額。</p> <p>GAI爆紅不到兩年，國泰旗下子公司已各自累積不少GAI應用，部分應用正在實驗階段，部分應用則已正式上線。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>子公司GAI推進步調不同，集團難以有效集中技術資源</strong></span></span></p> <p>不過，隨著集團內部GAI應用逐漸增加、需求量不斷上升，治理層的挑戰也漸漸浮現。</p> <p>國泰內部去年開始湧現許多AI需求，隨著子公司各自發展GAI應用，集團難以有效集中技術資源，再加上子公司各自的技術基礎不同，推進步調開始出現落差。</p> <p>對多年前就推動數位轉型的國泰人壽來說，很快就能延續過往經驗，快速啟動全員GenAI計畫。國壽透過開辦訓練課程，讓員工了解GAI技術、思考如何將技術應用到業務場景，包括董事長和總經理都要接受一對一培訓課程。「在這樣的過程中，讓AI應用遍地開花。」國泰人壽數據暨人工智慧發展部協理莊淑儀說。對國泰人壽而言，GAI目前最大挑戰，「是需求很多，需從影響力來排序先後順序。」莊淑儀說。</p> <p>相比國泰人壽，國泰產險數位轉型起步較晚，礙於產業特性，更有許多業務場景仍採人工作業，較難快速導入新技術，但是，國泰產險督導吳香妮表示，這個處境，更激發了產險內部對GAI的強烈需求。在資源有限的情況下，國泰產險正和金控合作，藉助金控資源，共同推進GAI應用發展。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>成立AI卓越中心，排序集團AI應用發展順序</strong></span></span></p> <p>面對AI需求上升、子公司GAI推進步調不同的挑戰，國泰的GAI策略，是先從集團角度下手。今年9月，國泰金控在自家技術年會中，搶先金融同業，公布了集團的GAI戰略和技術框架。</p> <p>當時，國泰金宣布要透過「AI Ready」、「AI Native」、「AI Empower」三大AI發展策略，實現AIaaS戰略目標，要以AI作為集團核心，驅動轉型和推出創新服務，國泰金控數數發中心副總經理梁明喬說：「期待國泰能成為提供AI金融服務的科技公司。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1204_%E5%B0%81%E9%9D%A2_%E5%9C%8B%E6%B3%B0%E9%87%91_600-1.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><strong><span style="font-size: 18px;">國泰在自家技術年會上宣布AIaaS的戰略目標，要靠三大AI策略「AI Ready」、「AI Native」、「AI Empower」實現。</span></strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／國泰金控</span></p> <p>AI Ready策略是要打造集團統一技術發展框架，同步子公司間的策略和技術。AI Native則是要將AI嵌入不同業務運作，達到AI應用無所不在的目標。最後一項策略，AI Empower則要提升集團全員工AI和雲端思維，除了要推動雲端轉型和成立AI專責組織，還要在集團擴大AI影響力。</p> <p>不僅要建立統一的GAI技術框架，來實現三大AI發展策略，今年，國泰還在金控成立AI卓越中心，負責規畫全集團的AI應用發展，排序集團應用發展先後順序。在金控帶領下，各子公司也成立AI卓越中心，依循金控AI CoE策略方向，推動AI應用發展。</p> <p>國泰分四個階段來發展GAI，從基礎的AI工具，再來是AI助理和AI代理，最後要達到AI應用無所不在的願景。梁明喬強調，這四個階段並非循序漸進，「不是第一個做完，才到第二個。」他表示，目前國泰仍在打造AI工具和AI助理階段，未來會根據法規環境和技術成熟度，適時步入AI代理應用階段。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>打造集團統一GAI技術框架，集中子公司技術資源</strong></span></span></p> <p>在技術年會上，梁明喬揭露了集團統一的GAI技術框架GAIA。「GAIA是國泰生成式AI的基礎框架，也是發展AI即服務（AI as a Service）的核心。」他用一句話，點出GAIA的重要性。</p> <p>這個技術框架具備三大特點。第一，適用於地端和雲端環境。第二則可支援多模態或單一模態輸出。最後，也是梁明喬認為最重要的特點，「可以在這個架構中微調模型，進行彈性擴充。」</p> <p>GAIA包含三個核心模組，分別是知識庫、Model Hub，和護欄。梁明喬解釋，若將GAIA視為一座模型工廠，知識庫就是模型工廠的圖書館，不僅可協助降低AI幻覺問題，未來要微調模型，或打造RAG架構，專屬知識庫非常重要。</p> <p>GAIA的知識庫類型可分為對內和對外，對內包含HR知識庫、授信知識庫、洗防知識庫和內稽知識庫等，對外則包含貸款產品知識、壽險產險產品知識、理財產品知識等。</p> <p>Model Hub是國泰GAIA架構中的另一個核心，梁明喬說：「Model Hub就像是中央控制室。」不僅能提供多種模型選擇，包含雲端、地端、開源或閉源模型，也提供標準化API接口，能介接各種服務。最後，Model Hub也提供成本管理功能，協助開發者管控模型使用開銷。這是梁明喬認為十分重要的功能。</p> <p>最後一個核心，是國泰自行開發的護欄。梁明喬解釋，護欄如同模型工廠的警衛室，負責確保模型輸入和輸出的安全。GAIA的護欄設計包含複合式規格護欄和多層抽換模組護欄。前者是在知識庫連接模型時進行資訊過篩，後者則是在既有模型護欄上，再加上防護措施，例如增加業務專屬的業務護欄，實現多層次過濾機制。</p> <p>目前，國泰金控仍在持續完善GAIA架構，預計最快今年完工。不過，在建立統一技術框架的同時，各子公司仍在持續發展應用，因此，如何將各子公司發展的工程整合到GAIA框架，是國泰金控技術團隊現階段需要面對的一項挑戰。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>AI評測也是關鍵技術</strong></span></span></p> <p>除了GAI技術發展框架，AI評測平臺，也是國泰GAI發展策略的關鍵技術。這個評測平臺，會運用量化的AI評測指標，來評估AI模型是否符合公平性、可靠性等AI治理原則。檢測完成後，平臺會產出檢核報告，再交由專責單位決策模型上線與否。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1204_%E5%B0%81%E9%9D%A2_%E5%9C%8B%E6%B3%B0%E9%87%91_600-4.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size: 18px;"><strong>國泰金控打造AI評測平臺，確保模型從研發到上線都符合規範。</strong></span></span><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／國泰金控</span></span></p> <p>梁明喬表示，國泰根據金管會金融AI指引的六大原則和數發部AI評測中心的十大評測項目，訂定評測項目。並且，國泰透過自建問答集，來建立量化的評測指標。</p> <p>梁明喬坦言，將治理原則化為量化指標並不容易，需要設立多種適當的情境提問，才能有效檢測模型。</p> <p>目前，國泰鎖定的GenAI應用，分別是輔助員工、客戶、提升生產力和AI基礎設施4類GenAI應用。</p> <p>在員工場景中，國泰計畫要建立員工自助開發平臺、AI教練和業務團隊AI助手等應用，客戶場景則包含信用卡消費分析應用。常見的AI副駕駛（AI Copilot）則歸類在生產力應用。最後一項，AI基礎設施，則包含運用GenAI提升反詐技術和風險管理能力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1204_%E5%B0%81%E9%9D%A2_%E5%9C%8B%E6%B3%B0%E9%87%91_600-2.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>在技術年會上，國泰公布了新的AI發展藍圖，透露了國泰未來的AI發展重點。首先，這張藍圖中的底層，數據架構層，涵蓋國泰AI發展的基礎設施，不僅包含國泰的地端資料倉儲、ML平臺，也納入了國泰計畫要在雲端環境建立的資料湖倉平臺。意味著，國泰未來的AI發展，將會奠定在雲地混合架構之上。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>數據架構層之上的是多元數據源層和數據與AI治理層，前者包含各種資料來源，例如，顧客旅程、客戶關係管理系統、交易數據、夥伴生態系數據等數據來源。後者則包含DataOps和MLops等平臺，國泰今年在技術年會首次曝光的AI評測平臺Cathay RAI，也並列在數據與AI治理層中。而在核心技術模組中，除了傳統AI技術模組，也包含國泰的GAI技術發展框架GAIA。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>這些AI技術未來都會運用在四種場景，包括風險管理、客群經營與行銷、投資與財務規劃，和營運效率優化，也就是國泰AI藍圖中的場景層。最後，國泰AI藍圖中的最上層，治理層，是國泰金控在今年設立的AI CoE，負責排序AI應用發展順序。</strong></span></span><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／國泰金控</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1204_%E5%B0%81%E9%9D%A2_%E5%9C%8B%E6%B3%B0%E9%87%91_600-3.png" style="width: 600px;" /></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>國泰金控打造的GAI技術框架GAIA主要分為三大核心，分別是知識庫、Model Hub和護欄。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>知識庫如同GAIA的圖書館，能提供全集團對內和對外知識。對內知識庫包含各種內部服務，例如，HR知識庫、授信知識庫、洗防知識庫和內稽知識庫等，對外知識庫則包含各種產品知識，例如，貸款產品知識庫、產險壽險產品知識庫、理財產品知識庫，和信用卡產品知識庫。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>Model Hub則如同GAIA的中央控制室，可分為四大塊，分別是Model Menu、Model Registry、AI Gateway，和底層管理。Model Menu是一個模型清單，可提供多種模型選擇，包含雲端、地端、開源或閉源模型。Model Registry則包含模型服務臺和模型儲存庫。而AI Gateway包含標準化API接口，能介接各種服務，同時，也包含身份認證授權機制。在底層管理中，包含監控日誌蒐集、結果快取，另外，流量費用管理也並列其中。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>GAIA最後一個核心是護欄，如同GAIA的警衛室，負責管控模型服務輸入和輸出。GAIA的護欄是由國泰金控自建而成，包含複合式規格護欄和多層抽換模組護欄，前者是在知識庫連接不同模型時進行資訊過篩，後者則是額外防護措施，例如提供業務規則、基礎防護、安全強化等護欄。</strong></span></span></p> <p><span style="color:#3399ff;"><span style="font-size:18px;"><strong>除了GAIA三大核心，國泰金控也規劃出GAIA的AI應用核心，包括資料檢索/摘要、解讀判斷、預測分析，和客製化生成等功能</strong></span>。</span><span style="color:#696969;"><span style="font-size:14px;">圖片來源／國泰金控</span></span></p> <p><a href="https://www.ithome.com.tw/article/165558" target="_blank"><span style="color: rgb(255, 255, 255);"><span style="font-size: 20px;"><strong><span style="font-size: 22px;"><span style="background-color: rgb(255, 0, 255);"> 相關報導 </span></span><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1204-feng_mian_p1-yun_xuan_-open-960x420_kao_bei_0.jpg?itok=z8OnN9dk" style="width: 550px;" /></strong></span></span></a></p> </div></div></div>
2024/10/18 09:26作者李昀璇https://www.ithome.com.tw/news/165557
AWS容器工具Finch開始支援Linux作業系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS宣布容器工具<a href="https://aws.amazon.com/tw/blogs/opensource/announcing-finch-on-linux-for-container-development/">Finch開始支援Linux</a>。Finch是一個開源命令列工具，讓開發者可以在多個作業系統中建構並執行Linux容器。Finch提供一致的跨平臺體驗，讓開發者無論在macOS、Windows還是Linux上，都能使用相同的工具和工作流程，另外，Finch這次還加入對Docker API的支援，方便開發者延續現有Docker容器工作流程。</p> <p>Finch是一個開源工具，<a href="https://www.ithome.com.tw/news/154450">在2022年的時候公開</a>，僅提供macOS客戶端安裝程式，供開發者在macOS本地端創建、執行容器，以及發布OCI容器映像檔。而在最新的版本Finch加入支援Linux，現在已經可以在包括macOS和Windows三大作業系統上無縫執行容器。</p> <p>Finch本身的優點在於簡化容器開發流程並統一工具鏈，藉由支援開發者常用的Linux作業系統，開發團隊便可以在不同的作業系統間，使用相同的工具和命令，進一步提升生產力，有助於改善團隊協作，減少花費在工具設定和測試的時間，更專注於核心工作上。</p> <p>這次AWS更新的最大重點，便是讓Finch可以直接在Linux上建置和執行容器映像檔，而不再需要虛擬化技術，這與Finch在macOS和Windows上的運作方式不同。由於macOS和Windows不基於Linux核心，無法直接提供容器運作所需要的核心功能。</p> <p>因此Finch在macOS和Windows需要使用中繼元件Lima提供虛擬化技術，透過macOS的QEMU或Virtualization Framework模擬Linux所需要的核心功能，而Windows則使用WSL2（Windows Subsystem for Linux 2）來提供類似的虛擬化支援，讓Windows用戶也可以執行Linux容器。</p> <p>在Linux上Finch提供原生支援，容器技術包括Docker和containerd可直接使用Linux核心功能。像是透過Namespaces隔離不同的系統資源，使每個容器獨立運作，以及使用Cgroups控制和限制容器的CPU、記憶體等資源。新版Finch與Finch Daemon整合，還提供了Docker API的部分功能，讓習慣Docker工作流程的開發者，能夠使用熟悉的命令和工具來管理容器。</p> <p>隨著Finch支援Linux，開發團隊在不同作業系統之間可以使用統一的流程和工具，這將提高跨平臺協作效率。AWS也表示，Finch Daemon的整合目前僅涵蓋Docker API的核心部分，他們會繼續與社群合作，擴展更多功能。</p> <p>Finch的Linux支援已透過RPM套件的形式提供，適用於Amazon Linux 2和Amazon Linux 2023，用戶只需從YUM軟體庫下載並安裝就可以開始使用。其他Linux發行版的用戶也可以從Finch官網，或是GitHub儲存庫取得安裝指引並開始試用。</p> </div></div></div>
2024/10/18 08:25作者李建興https://www.ithome.com.tw/news/165556
英特爾AI PC全球出貨已超過2千萬臺，新處理器將AI PC擴大到桌機市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾今天(10/17)在臺展示一系列搭載代號Lunar Lake及Arrow Lake處理器的最新AI PC筆電及桌上型電腦、主機板等產品，將AI PC產品線擴大到桌上型電腦，並揭露英特爾AI PC在全球已出貨2千萬臺，目前已獲得超過300家ISV業者支持。</p> <p>ChatGPT帶動生成式AI浪潮，但是大型語言模型多仰賴大型AI資料中心及雲端運算資源，基於個人資料及企業資料的敏感性，AI模型向精簡化、小型化發展，讓手機、PC等AI運算能力有限的行動裝置也能在離線狀態下，在裝置上執行AI應用，不論是創作內容、生成摘要文字等等提高生產力，因應這樣的需求，去年底英特爾推出代號Meteor Lake的Core Ultra處理器，大力推動AI PC，處理器內整合NPU神經網路引擎，以分攤CPU、GPU執行AI工作負載，並提升PC的AI運算能力。</p> <p>今年再推出第二代Core Ultra，為代號Lunar Lake的Core Ultra 200V系列處理器，整合更強大的NPU，NPU效能達到48TOPS，如果加計CPU、GPU及NPU，第二代Core Ultra的整體平臺算力達到120TOPS，結合電源管理技術，提供接近全天的電池續航力。</p> <p>日前英特爾將AI PC擴大至桌上型電腦，發表代號Arrow Lake的Core Ultra 200S系列處理器，強調為英特爾首款AI PC桌上型處理器，內建8個新一代P-Core效能核心、16個E-Core效率核心，相較於前一代桌上型處理器，在單執行緒效能提升6%，多執行緒效能提升14%，而整合NPU提升桌上型電腦AI效能，英特爾宣稱在支援AI的創作應用程式中，可提高50%的效能，在日常應用中，功耗降低最多達58%。</p> <p>Core Ultra 200S系列桌上型處理器為英特爾第一款搭載NPU的桌上型處理器，內建NPU分擔AI工作負載後，得以釋放桌上型電腦的GPU，讓GPU用於提高遊戲畫面幀率，並且降低處理AI工作負載時的功耗，不過Core Ultra 200S內建的NPU只有13 TOPS，以CPU、GPU、NPU合計的平臺效能為36 TOPS，低於Core Ultra 200V系列的筆電處理器，也未達到微軟Copilot+PC所要求至少40TOPS的效能要求。</p> <p>最新的Core Ultra 200S系列桌上型處理器還支援2個Thunderbolt 4高速傳輸埠，以及Wi-Fi 6E、藍牙5.3規格，搭配Intel 800系列晶片組，支援多達24個的PCI e 4.0通道。其中在資料高速分享方面，英特爾現場展示AI PC筆電、桌上型電腦，利用Thunderbolt 4在兩臺電腦間高速分享資料，10GB的資料約在不到20秒時間從桌機分享至筆電。</p> <p>英特爾客戶端運算事業群副總裁暨客戶部總經理David Feng表示，英特爾自推出Core Ultra處理器後，已建立AI生態系，硬體方面，英特爾Core Ultra全球出貨已超過2千萬臺，並獲得超過300家ISV採用，在Core Ultra產品上提供AI加速功能。英特爾AI PC產品現在包括Core Ultra 200V系列行動處理器，以及Core Ultra 200S系列桌上型處理器，其中Core Ultra 200V系列行動處理器可支援微軟Copilot+PC的AI應用，用戶預計將在11月可以獲得升級至微軟Copilot+PC。</p> <p><span style="color:#B22222;"><strong>展示英特爾AI PC多項應用</strong></span></p> <p>英特爾今天也在現場展示多款由華碩、技嘉、ASRock等業者推出，將支援Core Ultra 200S系列處理器、Intel 800系列晶片組的最新主機板，以及宏碁、華碩、Lenovo、Dell等業者所推出搭載Core Ultra 200V系列行動處理器的筆電，並展示相關AI PC應用。</p> <p>英特爾即展示專為Core Ultra系列處理器及Intel Arc GPU設計的AI Playground開源軟體，AI Playground提供創作(Create)、強化(Enhance)、聊天(Answer)等生成式AI應用，其中的創作可讓使用者輸入文字生成圖像，強化則可以進一步改變創作圖像或輸入圖像的風格，聊天則可讓使用者在離線下，如同和ChatGPT互動生成文字內容，使用者也可在AI Playground輸入自己客製化的模型。</p> <p>AI Playground的創作功能，可讓使用者以文字生成圖像，並且設定生成圖像的畫質高低：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20241017_115233-600.jpg" style="width: 600px; height: 450px;" /></p> <p>另一項展示是VLC多媒體播放器的視覺檢索增強生成(RAG)，這項應用主要利用Core Ultra筆電的GPU，使用者可以在VLC的這個延伸套件中，在文字框中輸入想要尋找的場景，例如狗狗或汽車出現的片段，VLC就會自動搜尋影片的內容，列出影片中出現狗狗或汽車的場景，幫使用者快速找出想看的場景。</p> <p>現場展示VLC多媒體播放器的AI搜尋功能，例如在右側的文字框中輸入Sea Lion，由AI幫使用者快速找出影片中出現海獅的片段：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/vlcplayer.jpg" style="width: 600px; height: 423px;" /></p> <p>英特爾還展示Cephable在英特爾AI PC上所開發的應用，在遊戲中結合AI電腦視覺偵測，可以偵測螢幕前的玩家臉部表情、頭部擺動或是語音命令，來控制遊戲中的動作，例如遊戲主角的視覺移動或開槍等等，這項應用利用NPU來分擔GPU的AI工作負載。</p> <p>在Core Ultra 200V系列行動處理器及200S系列桌上型處理器之後，英特爾接下來將在明年第1季，準備再推出Intel Core Ultra H及HX系列，將AI PC應用帶到遊戲玩家、創作者的行動筆電，在降低功耗之下，提高行動電腦效能。</p> </div></div></div>
2024/10/17 18:34作者蘇文彬https://www.ithome.com.tw/news/165553
【資安日報】10月17日，Kubernetes映像檔製作工具存在重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年針對微服務管理平臺Kubernetes而來的攻擊行動，不時傳出相關事故，這樣的情況也使得不少研究人員調查這類系統的弱點，例如：出現在特定組態Azure Kubernetes服務（AKS）的<a href="https://www.ithome.com.tw/news/164619">權限提升漏洞WireServing</a>，以及<a href="https://www.ithome.com.tw/news/161050">Google Kubernetes Engine（GKE）重大風險漏洞Sys:All</a>，該漏洞能讓任何具有Google帳號的攻擊者接管配置不當的Kubernetes叢集。</p> <p>本月Kubernetes修補映像檔建置工具（Image Builder）的漏洞也相當值得留意，因為這些弱點有機會讓攻擊者取得虛擬機器（VM）的root權限。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=172839&SPOKE_DATE=20241016&COMPANY_ID=2450"><strong style="font-size: 22px;">通訊零售業者神腦國際傳出外部網路伺服器被駭客攻擊</strong></a></p> <p>10月16日連鎖通訊零售業者神腦國際於股市公開觀測站發布重大訊息，表明有外網伺服器遭到攻擊，在查知此事後，該公司立即啟動相關防護機制，並採取隔離措施因應。</p> <p>而對於這起事故可能會造成的影響，他們表示根據初步評估，尚未發現個資或是內部資料外洩的情況，對營運及服務無影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/volkswagen-says-it-infrastructure-not-affected-after-ransomware-gang-claims-data-theft/">勒索軟體駭客聲稱竊得汽車大廠福斯內部資料，該公司表示IT基礎設施不受影響</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://asec.ahnlab.com/en/83877/">北韓駭客ScarCruft利用IE零時差漏洞散布惡意程式</a></strong></p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165546"><strong style="font-size: 22px;">Kubernetes映像檔製作工具存在重大漏洞，恐曝露虛擬機器root權限</strong></a></p> <p>Kubernetes資安回應團隊近期公布映像檔建置工具（Image Builder）漏洞CVE-2024-9486、CVE-2024-9594，攻擊者有可能藉此得到虛擬機器（VM）的root權限，而這些漏洞發生的原因，源於映像檔建置過程中，使用了預設的帳密資料。這些漏洞影響0.1.37版以前的Kubernetes Image Builder，開發團隊發布0.1.38版緩解上述弱點。</p> <p>這兩項漏洞較為嚴重的是CVE-2024-9486，主要原因在於：以Proxmox提供者（provider）建置而成的虛擬機器映像，無法停用當中的預設帳號，若用這些映像檔建置節點，後續有心人士可透過這些預設帳密進行存取，藉此取得root權限，CVSS風險評分達到9.8。</p> <p>另一個漏洞CVE-2024-9594，則是涉及其他系統平臺提供者產生的映像檔，這些提供者包含Nutanix、OVA、QEMU，在映像建置過程也會啟用預設的帳密組態，而此預設帳密同樣可用於取得root權限，但不同的是，在映像檔建置完成後，這些帳密就會被停用。該漏洞被評為中度風險，CVSS評為6.3。</p> <p><a href="https://www.ithome.com.tw/news/165536"><strong style="font-size: 22px;">GitHub修補重大層級的SAML身分驗證繞過漏洞</strong></a></p> <p>10月10日GitHub發布Enterprise Server（GHES）更新3.14.2、3.13.5、3.12.10、3.11.16版，當中修補身分驗證繞過漏洞CVE-2024-9487、資訊洩漏漏洞CVE-2024-9539，以及1個尚未登記CVE編號的漏洞。</p> <p>其中，最值得留意的是被評為重大層級的CVE-2024-9487，攻擊者可藉由選用的加密斷言（assertion）功能繞過SAML單一簽入（SSO）身分驗證，而能在未經授權的情況下為使用者開通服務，或是存取GHES執行個體。此漏洞的4.0版CVSS風險評分達到9.5（滿分10分）。</p> <p>對於CVE-2024-9487發生的原因，GitHub表示是他們在今年5月緩解CVE-2024-4985（CVSS風險評為10分）的過程當中衍生。</p> <p><a href="https://www.ithome.com.tw/news/165548"><strong style="font-size: 22px;">Ubuntu身分驗證元件Authd存在高風險漏洞，攻擊者有機會發動UID欺騙攻擊</strong></a></p> <p>Canonical近期針對Ubuntu發布資安公告，揭露高風險漏洞CVE-2024-9312，這項弱點存在於身分驗證管理元件Authd，一旦攻擊者觸發漏洞，就有機會欺騙電腦，並針對特定使用者帳號進行未經授權存取，CVSS風險為7.6分，該公司提供0.3.6版Authd修補。</p> <p>究竟這項漏洞發生的原因為何？原因是Authd分配的UID是根據使用者名稱產生的純函數（pure function），再者，則是UID的集合太小，導致無法進行隨機分配。這樣的情況，使得該元件很可能會遭到利用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5580">Nvidia生成式AI框架NeMo存在缺陷，攻擊者有機會執行程式碼或竄改資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cloudstack.apache.org/blog/security-release-advisory-4.18.2.4-4.19.1.2/">Apache修補雲端基礎設施CloudStack高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.oracle.com/security-alerts/cpuoct2024.html">Oracle發布2024第3季重大修補更新，公布旗下產品逾200個漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165515"><strong style="font-size: 22px;">Amazon將全面擁抱Passkey</strong></a></p> <p>繼去年開始於電商服務部署通行密鑰（Passkey）之後，Amazon於10月15日宣布，迄今已有超過1.75億的用戶於的Amazon帳號上啟用Passkey，該公司也計畫明年逐步於其他應用及服務推出Passkey。</p> <p>目前Amazon支援Passkey的部分，主要是在網頁版、iOS及Android的購物應用，以及Audible有聲書應用系統，其中，行動用戶一旦設定了Passkey，它就會成為登入Amazon帳號的預設選項。根據Amazon的統計，以Passkey登入速度比其他方式快6倍，隨著愈來愈多用戶體驗到無密碼登入的方便，Passkey採用率每天都在成長。</p> <p><a href="https://www.ithome.com.tw/news/165358"><strong style="font-size: 22px;">幫使用者過濾釣魚網站，Google搜尋測試藍勾勾功能</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot_2024_10_03_at_9_18_53_AM.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot_2024_10_03_at_9_18_53_AM.jpg" style="width: 300px; float: right;" /></a>根據科技新聞網站The Verge的報導，Google正在實驗可用來驗明正身的藍勾勾，在搜尋引擎結果中，包括微軟、Meta、Epic Games、蘋果、Amazon及HP的官網連結旁都出現了藍勾勾，可用來確認這些網站的身分，並協助使用者過濾網釣網站。</p> <p>Google也在藍勾勾顯示的旁邊提出說明，當中提到此標記的出現，是代表他們判斷現在瀏覽的網站就是代表該企業組織，但無法保證該企業或其產品資料的可信度。Google則向The Verge解釋，他們利用網站驗證、Merchant Center資料及人工審核等管道，來辨別網站的真偽。不過，目前該服務僅為小規模部署的實驗，尚未確定能否會成為正式功能。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165531"><strong>【10月16日】臺灣區塊鏈旅宿平臺業者雲端儲存庫疑似因配置不當，而可能曝露旅客資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165511"><strong>【10月15日】北韓駭客針對支付處理系統散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165488"><strong>【10月14日】Windows核心漏洞傳出遭伊朗駭客OilRig利用</strong></a></p> </div></div></div>
2024/10/17 17:14作者周峻佑https://www.ithome.com.tw/news/165552
Ubuntu身分驗證元件Authd存在高風險漏洞，攻擊者有機會發動使用者ID欺騙攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Canonical近期針對Ubuntu發布資安公告，<a href="https://github.com/ubuntu/authd/security/advisories/GHSA-4gfw-wf7c-w6g2">揭露高風險漏洞CVE-2024-9312</a>，這項弱點存在於身分驗證管理元件Authd，一旦攻擊者觸發漏洞，就有機會欺騙電腦，並針對特定使用者帳號進行未經授權存取，CVSS風險為7.6分，該公司提供0.3.6版Authd修補。</p> <p>這項元件的功能，主要是提供雲端身分驗證系統的身分驗證及存取的安全管理，並藉由模組化設計而具備多種身分驗證功能，該元件目前支援存取Entra ID，開發團隊未來也打算支援其他的身分驗證提供者。</p> <p>究竟這項漏洞發生的原因為何？原因是Authd分配的UID是根據使用者名稱產生的純函數（pure function），再者，則是UID的集合太小，導致無法進行隨機分配。這樣的情況，使得該元件很可能會遭到利用。</p> <p>攻擊者可在取得本機權限的情況下，使用可能會造成衝突，或是與目標帳號UID符合的使用者名稱，來建立多個使用者帳號，這麼一來，攻擊者就有機會得到與目標用戶相同的存取權限。</p> <p>不僅如此，攻擊者還能試圖利用這項弱點操縱其他電腦上的資源。</p> <p>針對這項弱點，除了Canonical推出新版Authd，通報此事的研究人員認為，企業組織應考慮透過身分驗證提供者或其他的管道，發布不會造成衝突的UID來因應。</p> </div></div></div>
2024/10/17 16:45作者周峻佑https://www.ithome.com.tw/news/165548
AI趨勢周報第262期：AI如何成為敏捷團隊一員？Scrum.org營運長給答案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（1011～1017）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">敏捷開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Scrum </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 使用者故事 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>AI如何成為敏捷團隊一員？Scrum.org營運長給答案</strong></span></p> <p>敏捷開發組織Scrum.org營運長Eric Naiburg前陣子撰文分享，AI加入敏捷開發Scrum，可提高團隊生產力。首先，Scrum是套敏捷開發框架，是一種軟體開發工作方法，其中有3個重要角色，包括敏捷教練（Scrum Master）、產品負責人（Product Owner）和開發者（Developer），這3種角色各司其職，搭配Scrum流程快速迭代、執行專案。</p> <p>Eric Naiburg針對這3大角色，分別說明AI可帶來哪些助益。比如敏捷教練可借AI來優化會議管理，像是用來安排管理會議行程、生成議程、記錄會議重點，或用Otter.ai等工具來轉錄、總結會議內容，進而在企業通訊工具Slack上交流討論，同時追蹤決策方向。又或是用AI來監管進度，比如不論是單一團隊還是跨團隊，AI可整合至Jira或AzureDevOps等管理工具中，來追蹤每個敏捷衝刺（Sprint）進度、提供流程指標視覺圖，以及針對潛在瓶頸給予建議。要是在衝刺回顧時，團隊參與度不高，敏捷教練也能請AI給些建議。</p> <p>再來，產品負責人則可用AI來確定產品待辦清單（Backlog）優先順序，比如分析市場趨勢、客戶回饋和使用資料來排序。同理，AI也能用來推估一些假設，像是「要是刪除這個功能，會產生哪些影響？」Eric Naiburg補充，雖然產品負責人和Scrum成員也能做到這件事，但通常時間有限，AI則能模擬多種情境，也能消除個人偏見。同時，AI也能協助精進Scrum中的使用者故事（User Story）、預測分析潛在影響、透過產品描述找出潛在使用者，或是用來進行產品發想和驗證，以及市場分析和競爭力分析等。</p> <p>對所有類型的開發者來說，AI可用來管理產品待辦清單，比如將使用者故事拆解為多個任務，再根據類似的待辦清單專案來預估所需的工作量。同時，他們也能用AI協助設計、開發產品原型，像是根據特定限制和要求，產生多種設計方案，開發者也能在AI產生的虛擬原型中，模擬各種條件和壓力測試，有助於在早期階段發現潛在問題。最後，軟體開發者也能藉助AI，來輔助程式碼撰寫和審查、自動化測試，以及生成測試資料。<a href="https://www.scrum.org/resources/blog/ai-scrum-team-member">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">多代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 部署 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基準測試 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>OpenAI開源多代理系統管理框架和AI代理基準測試</strong></span></p> <p>隨著大型語言模型（LLM）等AI應用轉向代理（Agent）系統發展，也出現不少多代理系統建置、部署和管理維運等問題。最近，OpenAI<a href="https://github.com/openai/swarm">開源一個Swarm框架</a>，專門用來解決多代理系統的這些問題。</p> <p>該框架由OpenAI解決方案團隊開發和管理，但他們首先表示，該框架目前屬於實驗階段，尚未作為正式生產環境所用，因此目前也不受OpenAI官方支援。雖然如此，團隊指出，Swarm使用2個核心抽象，包括代理和Handoffs，來將代理協作與代理執行任務輕量化、高可控且容易測試。</p> <p>同時，OpenAI也<a href="https://openai.com/index/mle-bench/">開源一套AI代理測試基準MLE-bench</a>，可評估代理執行機器學習工程任務的有效性。為打造這個測試基準，團隊從Kaggle收集了75個機器學習工程相關的競賽，提供多元挑戰來測試模型訓練、資料集準備和實驗執行等關鍵技能。他們也對多款LLM進行測試，發現自家經AIDE改良後的o1-preview模型表現最佳，相當於Kaggle銅牌。<a href="https://github.com/openai/swarm">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI資料中心 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 核電 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 能源 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google採購先進核電來支援AI資料中心</strong></span></p> <p>本月14日，Google發文揭露AI資料中心用電新方向，他們與美國能源公司Kairos Power簽署協議，將使用其多個小型模組反應爐（SMR）產生的核電，來支援AI資料中心營運，預計2030年前部署第一座SMR，2035年前再部署其他SMR，預計可產生500MW無碳電力。</p> <p>過去，核能發電因安全隱憂、核廢料處理等因素，遭許多國家棄用。但隨著核能技術進步，以及AI的龐大電力需求，屬於低碳能源的核電再度受到重視。現階段的主流技術有壓水反應爐（PWR）、沸水反應爐（BWR）、快中子反應爐（FNR）、第四代核反應爐技術，以及SMR等。SMR不只安全性高，也比傳統核反應爐小很多，還能模組化組裝、方便部署。</p> <p>Google表示，這個SMR協議很重要，不只能支援AI發展，還能無時無刻產生無碳能源、滿足電力需求。而今年，美國科技大廠紛紛向核電靠攏，如Amazon在3月以6.5億美元的價格，向獨立電廠Talen Energy購買Cumulus資料中心園區，該園區可使用960 MW電力，並由Talen Energy位於附近的Susquehanna核電廠供電。微軟也在9月與美國核電營運商Constellation Energy簽署為期20年的購電協議。<a href="https://blog.google/outreach-initiatives/sustainability/google-kairos-power-nuclear-energy-agreement/">（詳全文）</a></p> <div class="media_embed" height="588px" width="1046px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="588px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/S163YUdfckg" title="Google's first advanced nuclear clean energy deal" width="1046px"></iframe></div> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> .NET </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI服務整合 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span></p> <p><span style="font-size:22px;"><strong>簡化AI服務整合流程，微軟釋出新.NET函式庫</strong></span></p> <p>微軟最近推出一款全新的Microsoft.Extensions.AI預覽版套件，是一款專門針對.NET平臺設計的函式庫，提供標準化AI服務抽象層，來讓開發者更輕鬆地將AI整合到應用程式中。微軟打造這款套件，是要解決目前AI服務眾多、開發者需替每個服務實作不同整合方法，增加開發複雜度和維護成本的問題。</p> <p>進一步來說，Microsoft.Extensions.AI套件提供統一的C#抽象層，開發者可用相同的程式設計方式，來整合不同的AI服務。也就是說，無論使用OpenAI、Azure AI還是其他AI服務，開發者都可利用相同的程式碼結構和介面來操作，不必替每個服務單獨學習或寫不同的整合方式。此外，Microsoft.Extensions.AI套件還結合AI應用開發框架Semantic Kernel的高階功能，來提高開發AI應用程式的靈活性和擴展性。<a href="https://devblogs.microsoft.com/dotnet/introducing-microsoft-extensions-ai-preview/">（詳全文）</a></p> <p><img alt="" src="https://devblogs.microsoft.com/dotnet/introducing-microsoft-extensions-ai-preview/meai-architecture-diagram.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 程式碼 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Gemini Code Assistant </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google推出企業級程式碼工具</strong></span></p> <p>日前，Google推出企業級AI程式碼輔助工具Gemini Code Assist Enterprise，可針對本地程式碼儲存庫進行深度分析、支援組織內部儲存庫和最佳實踐程式碼的客製化建議。開發者可在多種Google雲端服務和各種原始碼控制系統使用這個工具，加速程式開發工作流程。</p> <p>Google指出，Gemini Code Assist Enterprise所使用的Gemini模型，能處理更多的Token上下文，因此可協助完成更複雜的開發工作，如跨整個專案自動升級Java版本。Gemini Code Assist Enterprise也整合至BigQuery、Firebase、Colab Enterprise、Apigee等多種Google雲端服務，甚至能索引來自GitHub和GitLab的儲存庫、各種原始碼控制系統和自架服務儲存庫，來加速開發者跨不同平臺開發應用程式。<a href="https://cloud.google.com/blog/products/application-development/introducing-gemini-code-assist-enterprise">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-cloudblog-publish/original_images/01._Gemini_Code_Assist_local_codebase_awareness.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 批次處理 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 查詢 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Anthropic </span></strong></span></p> <p><span style="font-size:22px;"><strong>Anthropic上線可批次處理LLM查詢的API</strong></span></p> <p>作為OpenAI主要競爭對手之一，Anthropic最近推出Message Batches API，可讓開發者用來異步處理大量查詢，其成本比調用標準API還便宜50%。適用於非時間敏感的任務。不過OpenAI已於今年4月，推出同樣號稱可節省50%成本的Batch API。</p> <p>Anthropic說明，開發者使用Message Batches API，每批次可送出最多1萬個查詢，且每批次的處理時間不到24小時。Message Batches API現為公開測試版，可支援Claude 3.5 Sonnet、Claude 3 Opus和Claude 3 Haiku等模型，Amazon Bedrock上的Claude用戶也能使用批次推論，接下來還會支援Google Cloud Vertex AI上的Claude用戶。<a href="https://www.anthropic.com/news/message-batches-api">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> TikTok </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 廣告 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 受眾分析 </span></strong></span></p> <p><span style="font-size:22px;"><strong>TikTok發布AI廣告工具Smart+</strong></span></p> <p>最近，TikTok推出AI驅動的自動化廣告解決方案Smart+，能助廣告主改善廣告投放流程，來提高效益。該工具可自動化定位受眾、選擇素材、決定出價策略和測量成效，在精準接觸目標受眾的同時，強化廣告內容互動。這讓目前廣告市場中，除了Google的Performance Max和Meta的Advantage+自動化廣告解決方案外，又多了個工具選擇。</p> <p>Smart+是用TikTok平臺上大量的用戶行為資料，透過AI自動分析並選擇最佳受眾，讓廣告能展示給最相關的用戶。廣告主只需要輸入素材、預算和目標，Smart+就會自動化整個廣告投放過程，包括受眾定位、創意素材選擇以及出價策略調整。此外，Smart+還提供多種廣告活動選擇，像是可推動網頁流量的Web Campaigns、自動推薦商品的Catalog Ads、可增加應用程式安裝的App Campaigns，以及透過互動轉換高價值客戶的Lead Generation Campaigns。<a href="https://newsroom.tiktok.com/en-us/tiktok-is-building-for-the-future-with-smart-plus">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影像生成 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Firefly </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Adobe </span></strong></span></p> <p><span style="font-size:22px;"><strong>Adobe公開測試Firefly影像生成模型</strong></span></p> <p>Adobe在自家Adobe MAX創意大會上宣布，Firefly影像生成模型已進入公開測試階段，同時發表支援Creative Cloud各種應用的Firefly功能。進一步來說，去年3月問世的Firefly是一創意生成式AI系列模型，主要版本有可生成圖像的Firefly Image Model、可生成向量模型的Firefly Vector Model、可生成海報或傳單的Firefly Design Model，以及今年新增的影像生成模型Firefly Video Model。</p> <p>這1年多來，Adobe已將Firefly整合到自家Photoshop、Express、Illustrator及Substance 3D等應用中，也讓Firefly支援Creative Cloud應用流程。自Firefly發表以來，使用者用它生成的圖像已有130多億張了。新的Firefly Video Model允許使用者輸入文字敘述或靜態的參考圖像，並將它們轉成影像。該模型可用來生成自然世界的影片，或藉影像中的圖片來生成可填補空缺的B捲；也能利用攝影機的角度、運動及縮放等控制功能來建立完美視角；或者生成各種效果，再將它們整合至既有的影像上。<a href="https://news.adobe.com/news/2024/10/101424-adobe-launches-firefly-video-model">（詳全文）</a></p> <div class="media_embed" height="255px" width="453px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="255px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/puEgugluadk" title="Adobe Firefly Video Model Coming Soon | Adobe Video" width="453px"></iframe></div> <p>圖片來源／Google、微軟、Adobe</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 蘋果發表新一代iPad mini，支援生成式AI服務Apple Intelligence</strong></p> <p><strong>2. OpenAI擴點新加坡，成立亞太區營運中心</strong></p> <p><strong>3. Adobe即將推出免費的Content Authenticity服務，以驗證內容出處與真實性</strong></p> <p>資料來源：iThome整理，2024年10月</p> </div></div></div>
2024/10/17 16:47作者王若樸https://www.ithome.com.tw/news/165549
Kubernetes映像檔製作工具存在重大漏洞，恐曝露虛擬機器root權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Kubernetes資安回應團隊近期公布映像檔建置工具（Image Builder）漏洞<a href="https://github.com/kubernetes/kubernetes/issues/128006">CVE-2024-9486</a>、<a href="https://github.com/kubernetes/kubernetes/issues/128007">CVE-2024-9594</a>，攻擊者有可能藉此得到虛擬機器（VM）的root權限，而這些漏洞發生的原因，源於映像檔建置過程中，使用了預設的帳密資料。這些漏洞影響0.1.37版以前的Kubernetes Image Builder，開發團隊發布0.1.38版緩解上述弱點。</p> <p>這兩項漏洞較為嚴重的是CVE-2024-9486，主要原因在於：以Proxmox提供者（provider）建置而成的虛擬機器映像，無法停用當中的預設帳號，若用這些映像檔建置節點，後續有心人士可透過這些預設帳密進行存取，藉此取得root權限，CVSS風險評分達到9.8。</p> <p>另一個漏洞CVE-2024-9594，則是涉及其他系統平臺提供者產生的映像檔，這些提供者包含Nutanix、OVA、QEMU，在映像建置過程也會啟用預設的帳密組態，而此預設帳密同樣可用於取得root權限，但不同的是，在映像檔建置完成後，這些帳密就會被停用。該漏洞被評為中度風險，CVSS評為6.3。</p> <p>針對上述情形，Kubernetes資安回應團隊除提供新版映像檔建置工具，並呼籲用戶應透過這些已解決上述問題的工具，重建具有潛在風險的映像檔。</p> </div></div></div>
2024/10/17 15:48作者周峻佑https://www.ithome.com.tw/news/165546
FTC通過新規定，讓取消訂閱跟訂閱一樣容易
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國聯邦交易委員會（Federal Trade Commission，FTC）周三（10/16）公布「點擊以取消」（click-to-cancel）的正式規定，要求商家要讓消費者取消訂閱跟購買訂閱時一樣容易。該規定將適用於任何媒體上的負面選擇（Negative Option）方案，預計會在《聯邦公報》（Federal Register）公布後的180天生效。</p> <p>負面選擇的定義是倘若消費者沒有明確表示「不要」（採取行動以拒絕或取消），商家就會認定消費者同意購買，或是開始收費，例如可免費試用30天的訂閱服務之後會自動收費，採取不取消就自動扣款的行銷手法。FTC每年都會收到數千筆與負面選擇有關的投訴，2021年時每天平均收到42筆，今年每天平均收到的投訴量則接近70筆。</p> <p>FTC主席Lina Khan 指出，企業常常讓人要跳過無數關卡才能取消訂閱，FTC的新規定將結束這些詭計與陷阱，沒有人應該為他們不再需要的服務付費。</p> <p>此外，在日益數位化的經濟中，企業更容易讓消費者註冊它們的產品及服務，本周所發表的是有關負面選擇規定的現代化版本，以對抗攸關訂閱、會員及其它經常性支付方案的不公平或欺騙性手法。</p> <p>該規定禁止商家採取負面選擇行銷時，扭曲任何重要的事實；在取得消費者的帳單資訊前必須揭露重要條款；在收費前，必須先獲得消費者對負面選擇的明確同意；也必須提供一個簡單的機制來取消負面選擇功能並立即停止收費。</p> </div></div></div>
2024/10/17 14:32作者陳曉莉https://www.ithome.com.tw/news/165540
Amazon宣布投資核能專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/165494" target="_blank">Google</a>之後，Amazon周三（10/16）<a href="https://www.aboutamazon.com/news/sustainability/amazon-nuclear-small-modular-reactor-net-carbon-zero" target="_blank">宣布</a>，已簽署3項協議以支持核能專案的開發，合作對象包括華盛頓州的公共電力機構<a href="https://www.energy-northwest.com/whoweare/news-and-info/Pages/Amazon-and-Energy-Northwest-announce-plans-to-develop--advanced-nuclear-technology-in-Washington.aspx" target="_blank">Energy Northwest</a>，專門開發核能技術的<a href="https://x-energy.com/media/news-releases/amazon-invests-in-x-energy-to-support-advanced-small-modular-nuclear-reactors-and-expand-carbon-free-power" target="_blank">X-energy</a>，以及維吉尼亞州的能源業者<a href="https://news.dominionenergy.com/2024-10-16-Dominion-Energy-and-Amazon-to-explore-advancement-of-Small-Modular-Reactor-SMR-nuclear-development-in-Virginia,1" target="_blank">Dominion Energy</a>。</p> <p>上述協議包括支援數個小型模組化反應爐（Small Modular Reactor，SMR）的建置，由於SMR的物理占地面積更小，因可建造在更靠近電網的位置，也能更快上線。</p> <p>Amazon Web Services（AWS）執行長Matt Garman表示，核能是一種安全的無碳能源，除了能夠支援營運的動力以滿足不斷增加的客戶需求之外，也能協助Amazon於2040年實現淨零碳的氣候承諾（Climate Pledge）。應對氣候變遷最快的方法之一就是讓社會遷移到無碳能源，而核能既無碳又能夠擴大規模，讓它成為Amazon的重要投資領域。</p> <p>Garman指出，與上述業者的協議將鼓勵建置新的核能技術，這些技術將在未來的數十年產生能源。</p> <p>其實Amazon今年7月就曾<a href="https://www.aboutamazon.com/news/sustainability/amazon-renewable-energy-goal" target="_blank">宣布</a>，該公司所投資的可再生能源，已經滿足了Amazon全球營運所消耗的電力，包括資料中心、企業大樓、零售商店，以及履行中心等，原本此一目標訂在2030年完成，但Amazon提前在2023年達標，並已連續4年成為全球可再生能源最大的企業買家。</p> <p>儘管如此，隨著業務與客戶的能源需求不斷成長，Amazon決定繼續投資可再生能源，並尋找其它的無碳能源，而核電即是其中之一。</p> <p>位於華盛頓州的Energy Northwest是由數十個公共電力系統組成的公共電力機構，主要經營核能發電，亦參與諸如風能、太陽能與水力發電等再生能源專案，旗下的 Columbia Generating Station是美國西北地區唯一的商業核電廠，替該州提供10%的電力需求。</p> <p>Amazon與Energy Northwest約定，將開發4種先進的SMR，這些SMR由Energy Northwest負責建置、持有與經營，估計第一階段可產生320MW的容量，並可增加至960MW，足以替美國逾77萬個家庭供電。</p> <p>X-Energy則是一家核反應爐與燃料技術供應商，同一天<a href="https://x-energy.com/media/news-releases/amazon-invests-in-x-energy-to-support-advanced-small-modular-nuclear-reactors-and-expand-carbon-free-power" target="_blank">宣布</a>獲得由Amazon領投的5億美元增資，將用來資助反應爐的計畫與授權，支援RISO-X燃料工廠的第一階段，以及支持未來使用Xe-100 SMR的無碳專案。</p> <p>Amazon僅簡單地說，將把X-Energy的先進核反應爐設計應用在Energy Northwest專案，此一投資包括開發SMR裝置的製造能力，以支援利用X-Energy技術建置的新能源專案，相關專案將帶來5 GW（5000 MW）的發電能力。</p> <p>X-Energy則解釋，雙方預計在2039年於美國上線超過5 GW的多種新電力專案，而這也是迄今SMR最大的商業部署目標。</p> <p>Amazon與Dominion Energy的合作同樣著重於SMR專案，打算在Dominion Energy既有的North Anna核電站附近開發SMR，可望替維吉尼亞地區帶來300 MW的電力。根據估計，該地區未來15年的電力需求將增加85%。</p> </div></div></div>
2024/10/17 13:30作者陳曉莉https://www.ithome.com.tw/news/165538
Amazon更新Kindle產品線，發表首個彩色版Kindle Colorsoft
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon周三（10/16）<a href="https://www.aboutamazon.com/news/devices/new-kindle-color-scribe-paperwhite-entry" target="_blank">更新旗下的電子書閱讀裝置Kindle產品線</a>，包括入門款Kindle、進階版的Kindle Paperwhite，支援手寫的Kindle Scribe，以及首款彩色螢幕的Kindle Colorsoft。</p> <p>其中，只要109.99美元的入門款Kindle採用解析度為300 PPI的6吋螢幕，內建16GB儲存空間，重約158公克，新版具備更快的翻頁速度，更高的對比，最大設定的前燈亮度提高了25%，電池續航力為6周，而且不再只有黑色，新版還有抹茶色可供選擇。</p> <p>Kindle Paperwhite是Kindle的進階版，自2012年問世後就是Amazon最暢銷的Kindle版本。它採用7吋螢幕，內建16GB記憶體，重約211公克，電池續航力長達12周，新版的翻頁速度快了25%，對比也更高，售價為159.99美元。Kindle Paperwhite另外有一個內建32GB記憶體且支援無線充電的簽名版，售價則是199.99美元。</p> <p>重新設計的Kindle Scribe是個將電子書與筆記本合而為一的裝置，它採用10.2吋的螢幕，看書時可以呼叫Active Canvas來作筆記，並讓筆記成為書頁的一部分；它還內建筆記本，方便使用者隨意手寫記錄，可利用AI工具進行摘錄，或是將它們轉成文字寄出；內含Premium Pen手寫筆。Kindle Scribe也有12周的電池續航力，重約433公克，有16GB、32GB及64GB的版本可供選擇，最便宜的版本是399.99美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1017-Kindle%20Scribe.png" style="width: 600px;" /></p> <p>至於Kindle Colorsoft則是Amazon首度發表的彩色版Kindle。它採用7吋螢幕，重約219公克，內建32GB記憶體，電池續航力為8周，具備IPX8防水能力，支援無線充電。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1017-Kindle%20Colorsoft%20Signature%20Edition-PNG.png" style="width: 600px;" /></p> <p>Amazon表示，7吋的Colorsoft螢幕沒有傳統背光螢幕的刺眼眩光，它在螢幕層之間採用了客製化的塗層來強化色彩，一個具備微偏光裝置的導光板以減少散射光，亦於螢幕的多層結構中採用超薄塗層來改善光學性能。</p> <p>準確地說，Amazon此次發表的Colorsoft為簽名版，Kindle的基礎版通常只提供16GB的儲存空間，到了簽名版（Signature Edition）才會有更多空間及諸如無線充電等進階功能。Kindle Colorsoft的售價為279.99美元。</p> <p>在本周更新的Kindle產品中，Kindle與Kindle Paperwhite都已上市，Kindle Colorsoft簽名版將於10月30日上市，Kindle Scribe則會在12月4日上市。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Amazon</span></span></p> </div></div></div>
2024/10/17 12:21作者陳曉莉https://www.ithome.com.tw/news/165535
GitHub修補重大層級的SAML身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月10日GitHub發布Enterprise Server（GHES）更新<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.14.2">3.14.2</a>、<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.13.5">3.13.5</a>、<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.12.10">3.12.10</a>、<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.11.16">3.11.16</a>版，當中修補身分驗證繞過漏洞CVE-2024-9487、資訊洩漏漏洞CVE-2024-9539，以及1個尚未登記CVE編號的漏洞。</p> <p>其中，最值得留意的是被評為重大層級的CVE-2024-9487，攻擊者可藉由選用的加密斷言（assertion）功能繞過SAML單一簽入（SSO）身分驗證，而能在未經授權的情況下為使用者開通服務，或是存取GHES執行個體。此漏洞的4.0版CVSS風險評分達到9.5（滿分10分）。</p> <p>對於CVE-2024-9487發生的原因，GitHub表示是他們<a href="https://www.ithome.com.tw/news/163024">在今年5月緩解CVE-2024-4985</a>（CVSS風險評為10分）的過程當中衍生。</p> <p>不過，攻擊者若要利用這項漏洞，必須在特定條件才能觸發：他們要能夠存取已完成簽章簽署的SAML回應，或是相關的中繼資料文件，才有機會得逞。</p> <p>GitHub強調，並非所有的GHES都曝險。他們指出，預設組態的GHES並未啟動加密斷言機制，而不受影響；再者，若是未採用SAML單一簽入這類身分驗證機制，或用上述單一簽入但未搭配加密斷言的情況下，也不會受到這項漏洞資安風險的影響。</p> </div></div></div>
2024/10/17 12:31作者周峻佑https://www.ithome.com.tw/news/165536
英特爾在美國4州裁員逾2,000人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾近日裁減了包括奧勒岡、加州、德州與亞利桑納等4州的職位，影響員工可能超過2,000人。</p> <p>奧勒岡州當地<a href="https://www.oregonlive.com/silicon-forest/2024/10/intel-will-lay-off-1300-in-oregon-as-part-of-broader-companywide-cuts.html" target="_blank">媒體報導</a>，這家晶片大廠上周裁減了該州希爾斯伯勒（Hillsboro）市研發中心員工超過1,300人，佔該廠區員工數的6%。</p> <p>英特爾發言人指出，這波裁員是公司8月宣布廣泛性成本撙節行動的一環，是為了人事精簡艱難但必要的決定，以「支持公司轉型更精簡、簡單而敏捷的公司策略，以為長期成長準備」。8月初英特爾因上季財報不佳，<a href="https://www.theverge.com/2024/8/1/24210656/intel-is-laying-off-over-10000-employees-and-will-cut-10-billion-in-costs" target="_blank">宣布</a>年底前裁員15%並將縮減研發、行銷支出及「非關鍵」工作，以及重新檢視現有專案和設備的支出情形。以該公司12.5萬員工計算，可能有1.5萬到1.9萬人要捲鋪蓋走路。</p> <p>另外，<a href="https://www.theregister.com/2024/10/16/intel_layoffs/" target="_blank">The Register</a>蒐集美國州政府資訊報導，英特爾也分別在其他三州辦公室發出裁員通知，包括亞利桑納州近400人、加州300餘人，以及德州250人，使這波瘦身計畫影響約2,100名員工。</p> <p>在大規模裁員計畫下，英特爾上個月才透過分拆晶圓代工業務Foundry及優退計畫，裁減7,500名員工。若按照英特爾計畫的精簡幅度，可能還會有進一步組織調整動作。</p> </div></div></div>
2024/10/17 13:15作者林妍溱https://www.ithome.com.tw/news/165537
Mistral公布邊緣運算AI模型Les Ministraux
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創業者Mistral AI本周<a href="https://mistral.ai/news/ministraux/" target="_blank">公布Les Ministraux</a>，讓開發商及使用者可在筆電或智慧型手機等邊緣裝置上執行AI任務。</p> <p>兩款新模型各名為Ministral 3B與Ministral 8B，合稱Les Ministraux，是為裝置和邊緣應用場景開發的state-of-art模型。兩者支援128K脈絡長度（在vLLM框架上目前為32K），其中Ministral 8B還具有交錯滑動視窗（interleaved sliding-window）注意力模式，可支援更快、更省記憶體的推論作業。</p> <p>該公司強調，二款新模型已在參數100億以下類別模型中，將知識、常識、函式呼叫及效率能力提升到新境界，可用於多種個人或企業應用，像是裝置上翻譯、頻寬不佳地區的智慧助理、本地端分析或自主機器人。而若結合較大語言模型如Mistral Large，les Ministraux也能扮演多階段代理式工作流程的函式呼叫中介者角色，經微調後能根據使用者需求，在多種情境中處理輸入解析（input parsing）、任務路由或呼叫API，提供低成本及低延遲性的效益。</p> <p>這家新創業者也比較了和市場上參數量相仿的知名模型的比較，顯示在知識與常識、程式撰寫、數學解題、以及多語能力，Ministral 3B超越Meta Llama 3.2 3B及Google Gemma 2 2B，Ministral 8B則大部份超過Meta Llama 3.1 8B以及自家的Mistral 7B，只在程式撰寫任務上小輸Llama 3.1 8B。</p> <p>Mistral AI已透過Hugging Face<a href="https://huggingface.co/mistralai/Ministral-8B-Instruct-2410" target="_blank">公開Ministral-8B-Instruct-2410</a>供研究用途，支援中文等10種語言。使用者必須輸入基本聯絡資訊換取授權。二款模型不久後將提供給雲端合作夥伴。</p> <p>由Mistral AI的la Platforme平臺存取模型的費用方面，Ministral 8B為輸入/輸出每百萬token 0.1美元，Ministral 3B為輸入/輸出每百萬token 0.04美元。Ministral 8B提供商用及研究授權，較小的Ministral 3B只提供商用授權。若企業開發商想自行部署可聯絡Mistral AI，業者會協助為特定應用場景無損縮減模型。</p> </div></div></div>
2024/10/17 12:06作者林妍溱https://www.ithome.com.tw/news/165534
Martech雙周報第63期：不再只用關鍵字或標籤找，Pixability分析YouTube 36億部影片的內容及嵌入…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(1006~1019</strong></span><span style="color:#00ffff;"><strong>)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV廣告 #生成式AI #品牌安全 #小眾分眾行銷</span></span></strong><br /> <strong>不再只用關鍵字或標籤，Pixability分析YouTube 36億部影片的內容及嵌入向量，用於分眾行銷</strong></p> <p><a href="https://www.pixability.com/news/launch-of-genai-contextual-segments-for-youtube-to-drive-better-targeting-and-outcomes-for-advertisers/">Martech廠商Pixability推出生成式AI情境分眾行銷解決方案</a>，利用生成式AI將36億部YouTube影片內容的關鍵字轉為嵌入向量，結合其他情境類數據，挑選出不同細緻分類的優質影片名單，供廣告主挑選，投放自家廣告於這些影片前後。情境類數據包括品牌安全相關方針、IAB內容分類數據、語言數據、過去YouTube廣告成效數據，以及自家DE&I（多元共榮）方針等。</p> <p>投放廣告到YouTube時，為了增加接觸品牌受眾的機率，廣告主會希望廣告呈現於相關主題影片前後。尋找優質特定主題影片的常見做法是，從頻道表現、關鍵字、標籤、影片受眾等資訊來判斷。不過，這種做法一大問題是，容易忽略小型頻道，以及元數據標註不夠完善的影片。尤其，當廣告主品牌定位較特殊或目標客群較小眾時，可以投放的影片版位會顯得更有限。</p> <p>Pixability利用生成式AI來更準確地從36億影片中搜尋出特定主題影片，意味著廣告主有更多曝光選項，且減少了競爭知名頻道影片版位的需求。不只如此，廣告主還可以挑選更細緻、小眾的影片分類來投放廣告。</p> <p>Pixability還用前述數據來分析受眾的潛在興趣分類，以利廣告主在更多類型的影片廣告，接觸自己潛在受眾。例如，醫療器材品牌投放廣告於給中年男性時，會直覺的選擇投放到運動主題影片，但Pixability會根據這類受眾也常觀看的其他主題，例如新聞與政治類影片，來推薦更多可投放的影片分類給廣告主。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#論壇廣告 #關鍵字廣告 #AI關鍵字推薦</span></span></strong><br /> <strong>Reddit推出可以投放在文章列表和討論串中間的關鍵字廣告，還能自動推薦投放關鍵字</strong></p> <p><a href="https://www.business.reddit.com/blog/keyword-targeting">全球最大網路論壇Reddit推出關鍵字廣告服務</a>，根據文章標題、文章內容及討論串內容關鍵字來投放廣告。廣告主可以自行挑選與廣告相關的關鍵字，或使用Reddit AI推薦的關鍵字，來投廣到文章列表及討論串等介面。</p> <p>除了用關鍵字投放廣告，廣告主還可以在行銷活動管理介面設定廣告受眾群組，組合關鍵字、社群及興趣特徵等維度，作為投放策略。</p> <p>此服務還有自動選擇投放版面種類功能，利用機器學習來判斷廣告應該投放在文章列表還是討論串，才能最大化曝光或點擊等行銷目標。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI代理人 #生成式AI #行銷創意發想</span></span></strong><br /> <strong>艾思智創推出生成式AI行銷創意發想工具，能資蒐、分析產品定位甚至撰寫完整整合行銷企畫</strong></p> <p>Martech新創艾思智創推出名為ADGo的生成式AI創意行銷工具，能根據簡單產品或品牌描述，來進行資蒐、產品定位分析、行銷策略發想，甚至撰寫從籌備到執行每一個步驟細節的整合行銷企畫。</p> <p>此產品背後技術是由艾思智創自行打造，一套名為MAGICC（Multi-Agent Generative Idea Co-Creation）的AI代理人調度機制。首先，他們利用Sonnet 3.5及GPT-4o等多個不同LLM，來打造不同用途的代理人，例如消費者洞察、市場情報分析、社群媒體趨勢分析、競爭商品調研、市場情報分析等。他們所用數據包含行銷領域知識圖譜，以及行銷創意案例資料庫、人群報告、區域文化報告、社群資料等數據，用混合RAG技術來生成相關結果。最後，MAGICC會再綜合這些生成結果，產出行銷企畫等成品。艾思智創沒有揭露這些數據涵蓋哪些地域及時間。</p> <p>艾思智創表示，此服務不會儲存企業客戶資料，更不會用來訓練自家模型。此解決方案目前採季訂閱或年訂閱收費制度，沒有使用量上限，以貼近行銷創意發想需要大量試錯的需求。目前布爾喬亞公關顧問公司已經正式將此工具投入應用，來協助行銷企畫的初期創意發想。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#QRCode替代 #OMO行銷 #電腦視覺</span></span></strong><br /> <strong>QRCode的另一選擇，IRCode推出直接掃描圖片就可以連結到數位行銷內容的技術</strong></p> <p><a href="https://advertising.ircode.com/">科技新創IRCode推出一套與企業同名的技術</a>，使用者透過IRCode App掃描圖片，就會連結到品牌的數位行銷內容，例如相關資訊頁面、折價券領取、或其他數位內容。此技術操作及用途上類似於QRCode，但只需要掃描原本圖片──這便能避免QRCode放太小難掃描、放太大破壞視覺美感的困境。IRCode還有數據分析工具，供廣告主查詢使用者與自家IRCode行銷內容的互動情形。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ircode.png" style="width: 600px;" /></p> <p>這套技術背後的原理是，廣告主可以登記圖片及欲連結的行銷內容到IRCode平臺。使用者掃描同一張圖片時，便會上傳到平臺比對特徵值，並呈現出對應行銷內容。這樣一來，廣告主不用QR Code，就可以在DOOH廣告或產品包裝等地方嵌入數位行銷體驗。</p> <p>IRCode技術難以識別的圖片包括：單色或灰階圖片、從極端角度拍攝的圖片、部分被遮蔽的圖片、3D非平面圖片及雕像、模糊圖片。另外，也不能登記著名畫作或圖片到平臺上。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#影音廣告 #生成式AI #社群媒體行銷 #創作者行銷</span></strong></span><br /> <strong>Meta推出2個新生成式AI影音廣告編輯工具</strong></p> <p><a href="https://www.facebook.com/business/news/Unlock-Video-Performance-with-GenAI-and-Creator-Marketing">Meta宣布推出2個新的生成式AI影音行銷素材編輯工具。</a>第一是影片畫面延展功能，會自動生成符合影片畫面的內容，來延展影片尺寸。第二則是轉化靜態影像為動態影片的功能，可以讓圖片內的元素動起來，成為較活潑的動圖。<img alt="" class="_90f0 _9kug _21op _1-qs _9mk0 img" src="https://scontent.ftpe7-2.fna.fbcdn.net/v/t39.8562-6/461802805_458696443881598_4296199749702885933_n.gif?_nc_cat=111&ccb=1-7&_nc_sid=f537c7&_nc_ohc=t4Cx-QW6nYUQ7kNvgHkxM3a&_nc_zt=14&_nc_ht=scontent.ftpe7-2.fna&_nc_gid=A7VHxP2pT_DvBM8nhQ7eQ8Y&oh=00_AYCW5HD-01oMVJHRLQOrh4c_1lQLNrvx2FIMGvk6eCnVzg&oe=67155D5C" style="box-sizing: border-box; height: 450px;" /><img alt="" class="_90f0 _9kug _21op _1-qs _9mk0 img" src="https://scontent.ftpe7-1.fna.fbcdn.net/v/t39.8562-6/461844343_532283109411161_8683930522906200632_n.gif?_nc_cat=106&ccb=1-7&_nc_sid=f537c7&_nc_ohc=f_7xOr77MlkQ7kNvgHSSYyV&_nc_zt=14&_nc_ht=scontent.ftpe7-1.fna&_nc_gid=A7VHxP2pT_DvBM8nhQ7eQ8Y&oh=00_AYAdyNWcv-gxRLLJGcNkB-HNsh8_Z2EJ2kJOdfFClONstw&oe=67155234" style="box-sizing: border-box; height: 450px;" /></p> <p>另外，Meta也推出了一個新網紅影音行銷功能，廣告主可以將創作者原生影片收錄進自家廣告列表，以利後續用於其他行銷活動。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #數據梳理 #商品資搜</span></span></strong><br /> <strong>Happy Go怎麼用生成式AI</strong></p> <p>有80萬個合作通路、來自4,000個品牌上億筆商品資料的Happy Go，近期揭露自家生成式AI的一大用途──用來蒐集商品情資，強化商品分類並豐富上億商品數據。</p> <p>過往，他們有利用AI來對商品資訊進行斷字和分類，以利業務團隊檢索商品、擬定行銷策略。2023年生成式AI大爆紅後，更以此做法為基礎，進一步導入生成式AI來強化商品分類。</p> <p>具體做法是，利用不同模態的生成式AI模型來辨識商品和蒐集資訊，彙整商品或品牌的風格、特色，客群、大眾形象等資訊，並拋轉這些數據到自家MLOps平臺，作為既有AI商品分類模型再訓練的數據。</p> <p>Happy Go數據管理部協理黃士峰表示，這個做法，不僅大幅降低業務自行研究品牌資訊需求，甚至，可以超越Happy Go原本的商品分類框架，產生新分類。業務部門檢索商品分類或構思行銷角度時，便能有更多選項。（<a href="https://www.ithome.com.tw/news/165255">詳全文</a>）</p> <p><strong>更多Martech動態：</strong></p> <p>1. <a href="https://www.linkedin.com/pulse/helping-brands-engage-influence-buyers-new-advertising-crj9c/">LinkedIn推出直播內廣告功能，並新增多種AI廣告代投的設定選項</a></p> <p>2. Oracle在針對客服及現場服務的解決方案，推出一系列免費可用的生成式AI代理人</p> <p>3. <a href="https://business.adobe.com/products/adobe-experience-cloud-products.html">Adobe推出可以自動根據品牌政策及行銷策略來生成行銷素材的生成式AI解決方案</a></p> <p>4. <a href="https://ads.tiktok.com/business/en-US/blog/introducing-search-ads-campaign?ab_version=control">Tiktok推出關鍵字廣告及更多搜尋結果廣告設定選項</a></p> <p>5. <a href="https://www.adelaidemetrics.com/blog/attention-metrics-in-the-trade-desk-notes-from-the-field">The Trade Desk DSP進一步整合了測量廣告獲取注意力時間的功能</a></p> <p>資料來源：iThome整理，2024年10月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Pixability、IRCode、Meta、艾思智創</p> </div></div></div>
2024/10/17 09:38作者郭又華https://www.ithome.com.tw/news/165532
HashiCorp更新多項基礎設施生命周期工具，簡化用戶管理雲端資源擴展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hashicorp.com/blog/terraform-packer-nomad-and-waypoint-updates-help-scale-ilm-at-hashiconf-2024">基礎設施自動化工具廠商HashiCorp更新一系列基礎設施生命周期管理產品</a>，包括Terraform、Packer、Nomad和Waypoint，目的是要協助企業簡化大規模基礎設施管理流程，這些新功能可減少使用者手動操作的繁瑣，同時提高基礎設施的安全性與效率，以滿足越來越靈活的雲端應用需求。</p> <p>隨著數位應用發展，多雲環境和大規模應用部署，使得企業需要管理的基礎設施越來越複雜，HashiCorp基礎設施自動化工具Terraform和Packer，便能讓企業在雲端環境中，進行自動化配置和管理。這次HashiCorp更新多款工具，改進使用者在不同基礎設施階段的操作，讓建構、部署和持續管理基礎設施能夠更簡潔方便。</p> <p>首先是基礎設施建置階段，HCP Packer提供映像檔管理功能，其新增的CI/CD工作管線後設資料管理能夠追蹤每個映像檔的生成過程，並利用這些資訊進行早期風險控制，確保用戶使用的映像檔皆經過驗證且符合規範。HCP Packer加入了儲存桶層級的RBAC（Role-Based Access Control），進一步加強對映像檔的存取控制，確保不同角色的用戶只能存取必要的部分。</p> <p>Terraform基礎設施部署工具更新則增加了HCP Terraform Stacks，該功能可將多個Terraform模組整合成單一操作，避免基礎設施部署繁瑣的手動相依管理。HCP Terraform Stacks與HCP Packer緊密整合，使得Terraform能夠利用經過安全驗證的Packer映像檔，進行基礎設施快速部署。在需要大規模Kubernetes部署時，HCP Terraform Stacks新增的推延變更（Deferred Change）功能，可以讓用戶應對未知變化避免部署中斷。</p> <p>在基礎設施部署完成後的持續管理和最佳化階段，用戶則可以使用分散式負載調度工具Nomad和應用部署執行管理工具Waypoint。Nomad 1.9新的GPU支援功能，讓開發者能夠靈活配置高效能運算資源，在機器學習和人工智慧應用情境特別重要。HCP Waypoint新功能則提供自動化應用部署流程，讓平臺營運團隊可以利用標準化模版和附加元件，簡化內部開發流程提升基礎設施和應用開發之間的協作效率。</p> <p>HashiCorp新推出的HCP Terraform模組生命周期管理功能，提高模組的可視性，讓平臺團隊更容易掌握模組的版本。Terraform Migrate則可以協助用戶從社群版過渡到HCP Terraform或Terraform Enterprise，減少手動搬遷的風險和錯誤，同時維持基礎設施的狀態。</p> <p>另外，HashiCorp還推出了可用於管理機密資料的服務<a href="https://www.hashicorp.com/blog/hcp-vault-secrets-adds-enterprise-capabilities-for-auto-rotation-dynamic-secrets">HCP Vault Secrets</a>，專門針對憑證、API金鑰和密碼的服務。這項服務不僅能協助企業安全地儲存和管理機密資料，也提供自動化輪換、動態機密生成、精細存取控制等功能。HCP Vault Secrets的自動化流程可減少用戶手動管理機密的工作，進一步提升管理效率和安全性。</p> </div></div></div>
2024/10/16 23:49作者李建興https://www.ithome.com.tw/news/165530
【資安日報】10月16日，臺灣區塊鏈旅宿平臺業者雲端儲存庫疑似因配置不當，而可能曝露旅客資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端環境的配置不設防情況，不時有事故傳出，但過往公布曝露危險的多半是國外的企業組織，而在最近一起資安事故裡，有研究人員發現臺灣區塊鏈業者所有的資料庫。</p> <p>值得留意的是，在此儲存桶曝露的個資當中，超過9成電話號碼都是臺灣用戶所有，實際影響情況有待後續觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165514"><strong style="font-size: 22px;">臺灣區塊鏈業者奧丁丁雲端儲存桶配置不當，76萬臺灣旅客訂房資料曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1016-Owlnest-600.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Owlnest-600.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Cybernews報導，臺灣區塊鏈旅宿平臺業者奧丁丁（OwlTing）雲端儲存桶配置不當，且未做好防護，導致約76萬旅客訂房資料，包含姓名、電子郵件信箱，曝露在公開網際網路上。</p> <p>研究人員指出，公開的儲存桶中內有超過16.8萬份CSV及XLSX格式文件，內容則是76.5萬名客戶的個資，包括全名、電話號碼、約3,000名消費者的電子郵件，以及飯店訂房資訊如訂房日期、房號、房型、入住和退房、支付金額、幣別及預約服務等。外洩的個資如電子郵件或電話號碼可能被用於垃圾郵件、詐騙郵件、詐騙電話或釣魚簡訊等攻擊。</p> <p>我們向奧丁丁集團詢問是否真有此事，他們表示，經初步調查，發現暫存於AWS雲端服務的部分資料可能遭到未經授權的訪問，其中包含大量重複的訂房資訊，已立即展開清查並採取必要措施，並強調對此事件高度重視。</p> <p><a href="https://www.ithome.com.tw/news/165513"><strong style="font-size: 22px;">駭客兜售竊自思科的開發、憑證資料，聲稱將殃及微軟、AT&T</strong></a></p> <p>根據資安新聞網站Bleeping Computer報導，惡名昭彰的初始入侵管道掮客IntelBroker本周二在駭客論壇聲稱，他們今年10月6日夥同分別代號為EnergyWeaponUser和zjj的2名駭客駭入思科網路，竊走大量資料。思科表示，他們啟動調查確認此事真偽。</p> <p>IntelBroker聲稱手中握有思科的資料類型包括GitHub與GitLab專案、程式原始碼、思科機密檔案、產品檔案、憑證、API token、公私鑰、客服資料，以及在Azure、AWS等雲端服務帳號資訊，似乎大部分與開發專案相關。此駭客提供部分檔案擷圖作為證明，但並未說明盜走的資料量。</p> <p>一名研究人員從IntelBroker公布的資訊發現，受這批資料外洩影響的企業包括AT&T、Verizon、T-Mobile US、Vodafone、微軟、SAP，以及能源巨擘雪佛龍（Chevron）等。</p> <p><a href="https://www.ithome.com.tw/news/165516"><strong style="font-size: 22px;">逾8萬臺Fortinet設備曝露於今年2月公告的RCE漏洞</strong></a></p> <p>10月9日美國網路安全暨基礎設施安全局（CISA）提出警告，今年2月Fortinet修補的重大漏洞CVE-2024-23113已出現實際攻擊行動，要求聯邦機構限期修補，這樣的情況Fortinet也在11日證實，他們得知有外部調查發現漏洞遭到利用的情況。然而，如今有資安研究機構提出警告，仍有不少設備尚未套用更新而曝險。</p> <p>Shadowserver基金會指出，他們在10月12日發現有87,390個IP位址的Fortinet設備疑似曝露於該漏洞風險，其中數量最多的是美國，約有1.4萬臺，日本、印度居次，分別約有5,100、4,800臺。我們查詢該基金會14日偵測到的資料，臺灣有3,823臺設備曝險。</p> <p><a href="https://www.ithome.com.tw/news/165512"><strong style="font-size: 22px;">開源套件進入點可被攻擊者用於指令劫持</strong></a></p> <p>資安公司Checkmarx揭露新一波針對Python開源軟體生態系的攻擊，攻擊者可利用軟體套件中的進入點（Entry Point）木馬化命令列工具。透過該手法，攻擊者能夠將惡意程式偽裝成常見的第三方工具或是系統命令，讓受害者無意間執行惡意程式碼，以達成攻擊開發環境和企業基礎設施的目的。</p> <p>這項新的開源供應鏈攻擊之所以值得注意，研究人員指出，其具有極高的隱蔽性和靈活性，能夠在不被察覺的情況下木馬化命令列工具，並執行惡意程式碼。由於該攻擊主要針對開發工具以及開源生態系中常見的進入點功能，讓攻擊者可以劫持開發過程中常用的指令，對開發者或是企業造成嚴重安全威脅，不僅影響日常開發工作，還可能導致敏感資料洩漏，或是危及基礎設施安全。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=175238&SPOKE_DATE=20241015&COMPANY_ID=2332"><strong style="font-size: 22px;">友訊發布重大訊息，證實外部網路伺服器遭到攻擊</strong></a></p> <p></p> <p>10月15日網路設備製造商友訊於股市公開觀測站發布重大訊息，表明有外網伺服器遭到攻擊，他們在第一時間察覺便透過切斷網路的方式避免影響範圍擴大，全面啟動防禦機制因應。</p> <p>該公司也邀集外部資料業者與技術專家協同處理，並進行全面盤點。而對於這起事故可能會造成的影響，他們強調公司營運一切正常，評估對財務及業務無影響。</p>  <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.kaspersky.com/about/press-releases/kaspersky-uncovers-pipemagic-backdoor-attacks-businesses-through-fake-chatgpt-application">木馬程式PipeMagic透過冒牌ChatGPT散布，攻擊沙烏地阿拉伯組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/edrsilencer-red-team-tool-used-in-attacks-to-bypass-security/">紅隊演練工具EDRSilencer遭濫用，駭客藉此繞過資安防護機制</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2024/10/researchers-uncover-hijack-loader.html">駭客利用偷到的憑證為惡意程式Hijack Loader簽章</a></strong></p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165523"><strong style="font-size: 22px;">工業用路由器存在重大漏洞，臺廠Moxa發布新版韌體修補</strong></a></p> <p>10月14日臺灣工控設備製造商四零四科技（Moxa）發布資安公告，指出旗下部分行動通訊路由器、安全路由器、網路設備存在高風險漏洞CVE-2024-9137、CVE-2024-9139，並指出這些漏洞有可能導致未經授權存取或是系統損壞的情況，呼籲用戶應儘速套用新版韌體因應。</p> <p>根據CVSS風險評分的高低，較為嚴重的是評為重大層級的CVE-2024-9137，該公司特別提及，這項漏洞攻擊者能在未經身分驗證的情況下，遠端觸發。此弱點發生的原因在於，設備在透過Moxa服務向伺服器發送命令的過程中，未實施身分驗證程序，而能允許攻擊者執行特定命令，並進行未經授權的上傳、下載組態檔案，或是造成系統受損，3.1版CVSS風險評為9.4分（4.0版為8.8分）。</p> <p>另一個漏洞CVE-2024-9139也相當危險，攻擊者利用未適當限制執行方式的指令，藉由作業系統命令注入手法發動攻擊，而有機會執行任意程式碼，3.1版CVSS對此漏洞的風險評為7.2分（4.0版為8.6分）。</p> <p><a href="https://www.ithome.com.tw/news/165528"><strong style="font-size: 22px;">企業協作平臺Team+修補重大漏洞，若未更新，攻擊者可能趁機非法存取與操縱檔案</strong></a></p> <p>本週臺灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安公告，指出互動資通旗下的企業協作平臺Team+存在3項漏洞CVE-2024-9921、CVE-2024-9922、CVE-2024-9923，影響13.5.x版Team+，呼籲使用者要升級至14.0.0版緩解相關資安風險。</p> <p>根據CVSS風險評分，最嚴重的是SQL注入漏洞CVE-2024-9921，起因是此協作平臺尚未妥善驗證特定網頁參數，導致未經身分驗證的攻擊者有機會遠端注入任意SQL指令，從而讀取、修改、刪除資料庫內容，CVSS風險評為9.8分。</p> <p>我們也向互動資通進行確認，該公司表示在發現後已儘速完成修復，並於2個月前提供新版程式給客戶使用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9486-cvss-9-8-kubernetes-image-builder-flaw-exposes-vms-to-root-access/">Kubernetes映像檔製作工具存在重大漏洞，恐曝露虛擬機器root權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-9312-ubuntu-authd-flaw-allows-user-id-spoofing/">Ubuntu存在高風險漏洞，攻擊者有機會發動使用者ID欺騙攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165511"><strong>【10月15日】北韓駭客針對支付處理系統散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165488"><strong>【10月14日】Windows核心漏洞傳出遭伊朗駭客OilRig利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165452"><strong>【10月11日】Mozilla修補遭到利用的Firefox零時差漏洞</strong></a></p> </div></div></div>
2024/10/16 18:39作者周峻佑https://www.ithome.com.tw/news/165531
HPE開創網路管理平臺典範，提供全新介面、持續強化AIOps
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/central-g-topology-sun-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2015年上半，HP完成併購Aruba Networks之後，年底HPE拆分出來，HP原本的網路業務後續全交由附屬於HPE的Aruba Networks負責，<a href="https://www.hpe.com/us/en/newsroom/press-release/2023/03/hewlett-packard-enterprise-fortifies-network-security-with-acquisition-of-security-service-edge-provider-axis-security.html">從2023年3月開始，HPE Aruba Networking這個名稱浮出檯面</a>，成為代表目前HPE網路產品與服務的品牌，<a href="https://www.hpe.com/us/en/newsroom/blog-post/2023/04/introducing-hpes-simplified-brand-architecture.html">4月HPE公告旗下品牌架構整併與簡化</a>，並且正式說明對HPE Aruba Networking這個品牌的期許。</p> <p>而在這段融合與成長的過程當中，適逢雲端服務、SD-WAN、5G專網、SSE與SASE、AI等應用起飛，HPE網路產品與服務業務面臨轉型與擴充的壓力，除了本身努力拓展相關技術，也透過併購其他公司補足，因此，從2016年起，陸續買下Rasa Networks（網路效能管理與分析）、Niara（網路攻擊偵測與事故應變）、Cape Networks（監控與改善Wi-Fi網路）、Silver Peak（SD-WAN）、Athonet（軟體行動網路核心）、Axis Security（SSE），後續HPE也基於這些技術而推出多種解決方案，例如，我們曾報導的<a href="https://www.ithome.com.tw/review/120898">Aruba IntroSpect</a>、<a href="https://www.ithome.com.tw/review/123203">Aruba NetInsight</a>、<a href="https://www.ithome.com.tw/review/130083">Aruba ClearPass Device Insight</a>、<a href="https://ithome.com.tw/review/150364">Aruba Central NetConductor</a>。</p> <p>在這些產品服務當中，HPE從2021年近期積極發展IT即服務GreenLake之後，標榜採用雲端原生技術的網路管理平臺<a href="https://community.hpe.com/t5/around-the-storage-block/accelerate-faster-with-unified-data-operations-as-a-service/ba-p/7131815">Aruba Central，更是此系列解決方案順利推入企業市場的關鍵平臺</a>，因為GreenLake搭配的雲端管理主控臺<a href="https://www.ithome.com.tw/pr/157567">Data Services Cloud Console（DSCC）</a>，正是立足於<a href="https://www.ithome.com.tw/review/138599">Aruba Central</a>的基礎發展而成的。事實上，Aruba Central是在2022年3月整合到GreenLake，<a href="https://www.hpe.com/us/en/newsroom/press-release/2022/03/hpe-greenlake-edge-to-cloud-platform-delivers-greater-choice-and-simplicity-with-unified-experience-new-cloud-services-and-expanded-partner-ecosystem.html">HPE也在當時宣布推出網路即服務（NaaS）解決方案</a>，名為GreenLake for Aruba networking，<a href="https://community.hpe.com/t5/networking/hpe-greenlake-for-aruba-is-now-hpe-greenlake-for-networking/ba-p/7219017">2023年11月更名為GreenLake for Networking</a>。</p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/OEIjbIKzmCs?si=eDzGnv5lqi5EOOaw" title="YouTube video player" width="560px"></iframe></div> <p><a href="https://s4.itho.me/sites/default/files/images/Aruba AIOps-2022-07-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20AIOps-2022-07-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Aruba AIOps-2022-07-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20AIOps-2022-07-5.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Aruba AIOps-2022-07-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20AIOps-2022-07-3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Aruba AIOps-2022-07-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aruba%20AIOps-2022-07-4.jpg" style="width: 298px;" /></a></p> <p>到了今年，為了突顯HPE Aruba Networking的產品技術整合，以及他們持續拓展AI for Networking的應用發展，在6月下半與HPE Discover年度用戶大會同時舉行的Atmosphere '24期間，<a href="https://www.hpe.com/us/en/newsroom/blog-post/2024/06/the-road-to-hpe-discover-2024-is-paved-with-network-innovations.html">HPE Aruba Networking 也趁這個機會宣傳</a>與展示<a href="https://www.youtube.com/watch?v=AqUtKurKAj4">雲端網路管理平臺Central</a>的最新功能特色，首先最令人驚豔的是，提供突破傳統管理主控臺風格的嶄新操作介面，既有用戶可透過一鍵切換，快速轉換網頁管理介面的風格，透過雲端原生服務，集中監控與管理橫跨有線網路、無線網路、資料中心網路、廣域網路等多種環境，提供資安優先、AI驅動的網路管理方式。時隔3個月後，<a href="https://community.arubanetworks.com/blogs/gregory-weaver1/2024/09/18/experience-the-power-of-new-hpe-aruba-networking-c">HPE Aruba Networking宣告Central新一代的技術升級進入公開預覽階段</a>，當中擴充多種功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-3.jpg" style="width: 600px;" /></a></p> <p>其中最顯而易見的特色，是提供新型網頁介面的快速切換選擇，帶來直觀易用、以網路維運人員為中心的操作體驗，不論是在網路環境的初期建置到中期上線營運階段，均能因此受惠，大幅提升作業效率，而且能善用資料的價值與深層AI的功能。</p> <p> <a href="https://s4.itho.me/sites/default/files/images/Central-classic.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-classic.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central-New-NOC2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-New-NOC2.jpg" style="width: 298px;" /></a></p> <p> <a href="https://s4.itho.me/sites/default/files/images/New Central-switching.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-switching.jpg" style="width: 298px;" /></a> </p> <p>除此之外，Central的新介面也導入以人為本的設計理念，能將網路各種狀態資料的取得、詮釋、理解，以更普及與平等的形式供給，使不同資歷與技能等級的網管人員都能方便參閱。舉例來說，領域專家與一、二線支援工程師，均可搭配不同的資料集進行複合多種議題的障礙排除，以及設定、維護錯綜複雜的網路環境。</p> <p>關於新介面的成形，核心平臺很重要，HPE Aruba Networking表示，他們採用當代的雲端服務法則進行組建，期盼未來十年能以此服務客戶，當中的資料湖可供應近乎即時、精準的資料分析功能，而且背後有AI技術支撐整個系統的運作，可協助大規模、不同樣態的資料集進行交互關聯處理，提供多維度的資料透視能力，產生可採取後續行動的深層見解、更精確的根本原因解讀，以及建議的處理方式。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AIOps-2024-03-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-2.jpg" style="width: 600px;" /></a></p> <p>在此同時，HPE Aruba Networking也預告後續將加入的特色，預計年底開放大家試用部分功能。</p> <p>首先，整合第三方廠商網路設備的監控機制（源於<a href="https://www.hpe.com/us/en/newsroom/press-release/2023/03/hewlett-packard-enterprise-to-acquire-opsramp-advancing-hybrid-cloud-leadership-and-expanding-hpe-greenlake-into-it-operations-management.html">2023年3月併購OpsRamp</a>所得到的技術）。</p> <p>第二，為了能夠更順暢地管理大量網路設定，Central的網路設備管理將增添通用組態模型（common configuration model）的配置，而能囊括有線網路設備、無線網路設備、網路閘道產品，並且將提供新的階層式組態設定功能，以及90種新的應用程式介面（API）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AIOps-2024-03-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-3.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>提供聚焦網路營運作業的操作介面，導入創新的多維度檢視</strong></span></h3> <p>基於這樣的資料架構，Central新介面導入多種概念的操作特色，網管人員透過一目了然、以實體為主（entity-centric）或不同時間點的動態資料分析導覽方式，可加速網路探查、全面呈現網路在任何時間點的狀態，能夠簡化分類與分析作業，也因此形成新的監控、統計報告、障礙排除特色。</p> <p>其實，這些特色在2023年4月就已預告，當時HPE Aruba Networking宣布，Central經過重新設計，能透過AIOps技術的運用而減少手動作業，從而簡化網路維運工作與改善生產力。</p> <h4><span style="color:#FF0000;"><strong>太陽系儀表板</strong></span></h4> <p>首先，Central提供以網管人員為中心（operator-centric）的操作介面設計，提供簡單易用的體驗，使不同技能等級的人員都能上手，而這個特色稱為<a href="https://www.arubanetworks.com/techdocs/new-central-staging/content/trb-tools/trb-aos-s.htm?Highlight=solar">太陽系（solar system）的檢視或儀表板</a>，提供直觀的導覽、減少人員的認知負擔。</p> <p>具體而言，太陽系儀表板列出網管5大主題：網路（Networks）、個人端裝置（Clients）、應用程式（Applications）、安全性（Security）、警示（Alerts），右繞在網頁介面左側的站點（site）形成可快速點選的主選單，就像多個行星環繞太陽。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AIOps-2024-03-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-6.jpg" style="width: 600px;" /></a></p> <p>若點選「網路」，可檢視區域網路、無線區域網路、廣域網路的網路設備（Devices），涵蓋Wi-Fi基地臺、交換器、閘道的連線組態、正常運作期間；點選「個人端裝置」，呈現網域使用者與連網裝置的存取組態／連至網際網路經過的網路設備、用量／連線效能、類型、行為／事件記錄。點選「應用程式」，會列出使用者存取的網路應用程式與網站類型，並且呈現效能表現分數／數位體驗品質、網路資源用量、資安風險評估程度（可信任度），以及這是否屬於企業批准的應用或網站。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-Devices.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-Devices.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-Applications.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-Applications.jpg" style="width: 600px;" /></a></p> <p>如果選擇「安全性」，網管人員可查看身分認證與授權的政策、入侵偵測系統或入侵防禦系統（IDS/IPS）、安全防護與服務品質確保政策的遵循、行為異常、威脅分數計算；假使按下「警示」，網管人員能夠針對連線、效能、組態、運作狀態的健全度，獲得AI輔助的問題診斷資訊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-alert.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-alert.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-alert2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-alert2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-alert3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-alert3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central New-Solar system2-alert4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20New-Solar%20system2-alert4.jpg" style="width: 298px;" /></a></p> <h4><span style="color:#FF0000;"><strong>日光輻射檢視</strong></span></h4> <p>針對實體與邏輯網路架構拓樸的呈現，<a href="https://www.arubanetworks.com/techdocs/new-central-staging/content/tplgy/tplgy-sunburst.htm">Central提供日光輻射型態檢視（sunburst views）</a>，將大型、錯綜複雜的網路轉換成多個層次的圖解。網管人員按下右上角「Toplogy」的圖示之後，可透過多層扇形色塊環繞分布的形式，呈現選定的站點環境當中，以實體互連的所有網路設備，網管人員能快速檢視每個站點的網路狀態是否正常運作，以及未列管的網路設備。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AIOps-2024-03-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-5.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central Sunburst1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central%20Sunburst1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/New Central Sunburst2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central%20Sunburst2.jpg" style="width: 298px;" /></a></p> <p>透過這樣的鳥瞰檢視方式，提供實體與邏輯連結的網路架構圖解，以及不同層級網路環境的效能，而且，各種屬性會散置於單一的轉換快照之中。HPE Aruba Networking表示，對於大型、錯綜複雜、階層的資料而言，此種互動式圖解是公認理想的設計模型，適用各種規模的網路環境，網管人員能運用最有效率的圖表呈現形式，透過快速尋找、縮放、轉動等方式進行導覽，並且針對不同網路元件套用多個圖解層級的顯示，如同操作Google地圖，查看網路運作的組態與狀態，進一步了解網路分段、連線接取方式、健康狀態、所在位置、是否處於上線狀態、熱絡與聚集程度（heat-maps）等屬性，而且能以動態分層（dynamic layers）的方式展現這些資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-new-Sunburst4.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/New Central-Sunburst4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-Sunburst4.jpg" style="width: 298px;" /></a></p> <h4><span style="color:#FF0000;"><strong>網路時間旅行</strong></span></h4> <p>Central提供業界首創的<a href="https://www.arubanetworks.com/techdocs/new-central-staging/content/udl/udl-slct-time.htm">網路時間旅行（network time travel）檢視功能</a>，將網路的即時資料點（point-in-time）進行結合脈絡的交互關聯處理，網管人員可透過滑動操作方式，更廣泛而有效率地查看網路在不同選定時間的狀態記錄，毋須再透過麻煩、累贅的方式，也能分析事件、記錄、擷取的封包。有了這樣可延展規模的網路拓樸檢視功能，網管人員只需透過幾個滑鼠點選動作，就能快速移至網路問題發生的可能時間點，以便查看細部資訊、找到出事的位置與理解成因，進而排除障礙。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central-Net Time Travel-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-Net%20Time%20Travel-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AIOps-2024-03-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AIOps-2024-03-4.jpg" style="width: 600px;" /></a></p> <p>基本上，此項功能會搭配儲存事件、狀態、組態設定、記錄、統計報告與警示的複合資料集，建立一系列快照，網管人員只需透過滑鼠移動至所要查看的期間，就像按下倒退鍵，可拼湊出資訊、判斷問題的根本原因，HPE Aruba Networking認為，這能大幅改變、重新定義網路障礙排除的做法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Time%20Travel-A.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Time%20Travel-B.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Time%20Travel-C.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Time%20Travel-D.jpg" style="width: 600px;" /></p> <p>立足於上述新功能，Central還提供新的網路營運中心（Network Operator Center，NOC）儀表板，能夠針對多個地理區域的網路，提供更快速、更詳細的監控機制與統一的洞察分析。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-NOC-web.jpg" style="width: 600px;" /></p> <p>除此之外，Central現在也原生整合使用者體驗洞察（UXI），藉此擴充數位體驗監控（DEM）功能，而由於Central可結合UXI感測器使用，也促成IT人員能夠集中監控服務等級協議的遵循程度，而且，從使用者到應用程式均可控管。</p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-7-APP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-7-APP.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-6-UXI1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-6-UXI1.jpg" style="width: 298px;" /></a></p> <h3><strong><span style="color:#0000FF;">擴充AI輔助網路營運功能，持續增加自建生成式AI模型</span></strong></h3> <p>不只是操作介面迎接巨大變革，Central另一個長期發展的特色是提供AI洞察分析（AI insights），由於客戶快速增長，這項特色促成Central提供多種新功能，像是：改良的網路設備組態設定引擎、強化的網路可觀測性（network observability），以及AI生成的網路最佳化配置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AI Insights.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AI%20Insights.jpg" style="width: 600px;" /></a></p> <p>在2023年4月，HPE Aruba Networking預告Central將具備下列三種AIOps功能。首先，針對網路設備運作狀態與個人端體驗的管理，提供智慧型的擔保指標，加速第一線的網路故障資訊分類；第二，運用AI提供整個網路軟硬技術堆疊的洞察分析，強化根本原因分析、影響評估，以及精準建議的生成；第三，針對網路初期規畫與中期部署的工作流程，在不需顧慮網路設備與連網裝置的品牌差異之下，能提供100％的API支援，實現大規模的網路組態自動設定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central-root cause analysis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-root%20cause%20analysis.jpg" style="width: 600px;" /></a></p> <p>今年3月，Central的AIOps功能擴充有新進展，因為當中整合了多個自建的生成式AI大型語言模型。之所以能產生這些機器學習模型，源於HPE Aruba Networking本身建立的資料湖，收集將近4百萬臺列管的網路設備，以及超過10億臺用戶端點設備的遙測資料，後續透過這些大數據，促成預測性分析與推薦能力；而關於AI模型的設計方式，這裡也導入創新的預先處理與安全護欄機制，以改善使用者體驗與營運作業效率，並著重搜尋回應時間、準確度與資料隱私的處理效率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central-Coverage-telemetry.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-Coverage-telemetry.jpg" style="width: 600px;" /></a></p> <blockquote><p>經過長期的發展、擴充與整合，HPE Aruba Networking Central這套雲端管理平臺，可橫跨多種網路環境，涵蓋區域網路、廣域網路、有線網路、無線網路、資料中心網路，以及邊緣運算網路，能夠管理自家多種網路設備、各種應用系統連網效能、個人端連網體驗。</p> </blockquote> <p>這些大型語言模型會納入Central的AI搜尋功能，再以此補足Central既有的機器學習AI，提供更深層的洞察見解、資料分析，以及更豐富的主動處理能力。</p> <p>AI搜尋先前就已採用多種大型語言模型，使Central能夠提升對話與摘要功能的速度、精準度，以及安全性，可運用進階的自然語言處理技術，更快找到網路環境的問題答案，提供更強大的搜尋體驗，而這些特色預計4月供應全球用戶。</p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-5-AI Search1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-5-AI%20Search1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-5-AI Search4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-5-AI%20Search4.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-5-AI Search2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-5-AI%20Search2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-5-AI Search3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-5-AI%20Search3.jpg" style="width: 298px;" /></a></p> <p>等到納入HPE本身訓練與調校的大型語言模型之後，Central會執行AI搜尋的引擎更換工作，用戶操作AI搜尋時，可在維持原有外觀介面的形式上，獲得更好的精準度、回應時間，以及資料隱私保護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central-AI Search how it works.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-AI%20Search%20how%20it%20works.jpg" style="width: 600px;" /></a></p> <p>關於精準度提升，HPE Aruba Networking運用專屬已訓練與調校的大型語言模型，而且，進行模型訓練的資料規模相當龐大，可達到其他雲端平臺的10倍，當中涵蓋自家人員撰寫的數萬份文件，以及自客戶端擷取、超過3百萬個AI搜尋提問而成的可延伸式基礎資料集，能夠增進AI搜尋理解用戶輸入問題的意圖，並且答覆用戶以網路行話描述的問題，並提供預先輸入、自動補足問題敘述的功能，以及進行搜尋互動過程的圖形介面導引——可直接切換至想要操作的圖形介面項目，進而提升回應品質與用戶滿意度。</p> <p>針對如何設定或啟動特定功能的問題，Central AI搜尋所用的生成式AI功能，可針對大量查詢結果，產生類似人為摘要處理過的答案，並提供得以進行生成式輸出的基礎文件網址連結，如此可大幅節省網管人員尋找文件答案的時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-4.jpg" style="width: 600px;" /></p> <blockquote><p>關於AI與網路應用之間的關係，可分為Networking for AI、AI for Networking，後者是HPE Aruba Networking這幾年持續發展的主題，產品技術長David Hughes表示，先前他們已持續投入AI分類的技術應用，如Client Insights，近期也積極運用生成式AI，強化AI搜尋的自然語言處理能力。</p> </blockquote> <p>至於安全與隱私保護，HPE Aruba Networking建置多個就地進行AI訓練與本身管理的大型語言模型，強化生成式AI的理解與內容提供品質之餘，由於能透過他們設置與管理的資料湖而不需經由外部API查詢，能降低相關的資料外洩風險；更特別的是，他們在此也設計出專屬語言模型，可用於判斷存取的個人識別資料（PII）與企業識別資料（CII），能協助Central的AI搜尋，更清楚理解用戶輸入的個人端裝置與站點名稱查詢，提供更精準的答案，而且能在1秒之內回覆網路營運相關問題，對於他們進行AI訓練的資料湖，能夠混淆、移除當中的識別資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central AI Serach before after.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20AI%20Serach%20before%20after.png" style="width: 600px;" /></a></p> <p>而在6月舉行的Atmosphere '24期間，HPE Aruba Networking表示，AI insights數量擴增至3倍，資料湖的遙測對象涵蓋超過16億個用戶端點，以及460萬臺網路列管設備。基於這樣的規模，添加更多模型，以便預測特定組態變更後的效能提升，模擬啟用資安功能之後面臨的風險，調校網路運作效率而能省下電力，並且推薦更適合使用的資安政策。</p> <p><a href="https://s4.itho.me/sites/default/files/images/New Central-2024-06-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Central-2024-06-2.jpg" style="width: 600px;" /></a></p> <blockquote><p>HPE Aruba Networking設置專屬資料湖，匯集的資料規模相當龐大，產品技術長David Hughes在6月的Atmosphere '24大會期間表示，他們的遙測資料，涵蓋超過10億臺用戶端點、四百多萬網路設備、數萬名用戶、三十多種垂直產業，以此訓練、執行AI模型，挖掘洞察分析、標示異常活動，協助更快解決問題。</p> </blockquote> <h3><a href="https://s4.itho.me/sites/default/files/images/Central Network Optimization-AI0.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Network%20Optimization-AI0.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central Network Optimization-AI1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Network%20Optimization-AI1.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central Network Optimization-AI2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Network%20Optimization-AI2.jpg" style="width: 198px;" /></a></h3> <h3><span style="color:#0000FF;"><strong>新增資安層面的可觀測性呈現與監控功能</strong></span></h3> <p>因為邊緣運算與AI應用的拓展，以及開放員工自帶手機、筆電（BYOD）、工作現場或廠區的業務應用設備，企業網路環境可能存在大量非列管的物聯網裝置，以及IT與OT連網設備，對於HPE Aruba Networking而言，Central支援ClearPass Device Insight，透過這樣的選用功能，提供進階的裝置探查（Device Discovery）、進階的裝置分類（Device Classification）、裝置監控（Device Monitoring）。</p> <p>在今年5月初舉行的2024 RSA資安大會期間，HPE Aruba Networking宣布Central新增AI驅動的物聯網探查與分類功能，能夠透過提供強化的連網裝置能見度與身分識別，以及持續監控不常見或非法的行為，而能呈現物聯網資安風險。</p> <p>而且，Central搭配基於Central的Client Insights服務而成的AI組態剖析（AI-powered profiling），本身可運用多個機器學習模型，分析動態裝置的屬性——涵蓋流量模式，以及連線狀態、網路常駐（network residency）等行為特徵，以便精準分類、辨識這些裝置屬於物聯網設備或傳統設備。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central Client Insights AI Model.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Client%20Insights%20AI%20Model.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Central Client Profiling-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Client%20Profiling-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Central Client Profiling-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Client%20Profiling-2.jpg" style="width: 298px;" /></a></p> <p>此外，Central本身的AIOps功能，先前就能用來建立自動化的網路活動基準，以便進行障礙排除與矯正作業，如今Central可運用AI將上述機制延伸到個別連網裝置，能促成更精準、自動的數位指紋採集與分析，以此支援零信任資安，並且可運用行為基準（behavior baselines）的作法，標示已遭駭與受到攻擊等異常部分。</p> <p>Centra的AI組態剖析也加入其他改善資安的AI功能，例如運用AIOps與機器學習模型，能在Wi-Fi基地臺持續一段期間都處於低度活動狀態，而令其休眠，可藉此免除惡意活動潛入的機會、縮小攻擊面。</p> <p>時隔3個月後，HPE Aruba Networking宣布Central擴增新的資安功能：基於行為分析而成的網路偵測與應變（behavioral analytics-based NDR）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central-NDR-2024-06-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central-NDR-2024-06-1.jpg" style="width: 600px;" /></a></p> <p>這項NDR同樣運用HPE Aruba Networking本身維護與管理的資料湖，進行AI模型的訓練與部署，可針對支援關鍵業務應用流程、卻具有資安弱點的物聯網設備，進行異常活動的監控與偵測。隨著物聯網在企業環境扮演的角色日益吃重，例如，能提供更多資料進行AI訓練與建構生成式AI模型，企業對於網路流量模式、連線狀態、動態裝置屬性變化的偵測需求，也日益急迫，因為透過這些資訊的彙整分析，可協助用戶察覺物聯網設備是否已遭到入侵。</p> <p>透過AI驅動的行為分析，Central的NDR能突顯整個網路存在的不尋常活動，以及潛藏的資安威脅，它會細心監督流量模式與裝置屬性的異動，提供即時的深入分析，以便及早發現資料外洩行為，也會偵測異常狀況、提出明智的政策設定建議，以強化網路主動防禦能力，適應日趨複雜的數位環境，而且，能整合既有設定、無需為此建置額外的硬體設備。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Central Optimization recommendation1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Central%20Optimization%20recommendation1.jpg" style="width: 600px;" /></a></p> <p> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>HPE Aruba Networking Central</strong></span><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●解決方案供應型態：SaaS雲端服務、on‑premises企業自建自管、VPC虛擬私有雲、NaaS網路即服務、代管服務模式<br /> ●支援網路設備：Wi-Fi基地臺Instant AP系列、AOS-S交換器系列、AOS-CX交換器系列、閘道系列（SD-WAN、WLAN/VPN）<br /> ●管理單位：群組、站點、標籤<br /> ●控管功能：統計報表、狀態監控、事件與警示通知、組態設定、AI深層洞察分析</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2024/10/16 18:23作者李宗翰https://www.ithome.com.tw/review/165335
美國防部10月15日公布CMMC 2.0版，12月16日開始分階段實施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國的國防工業基地（Defense Industrial Base，DIB）業者，國防部（DoD）區分為一線供應商（承包商）和二線供應商（分包商），這些業者若面臨處理、傳輸和儲存與聯邦合約資訊（Federal Contract Information，FCI）以及受控未分類資訊（Controlled unclassified information，CUI），都需要依據保護相關資料所面臨的網路安全風險，取得「網路安全成熟度模型認證（Cybersecurity Maturity Model Certification）」，簡稱CMMC。</p> <p>經過長期的研擬，10月15日這天，美國國防部將CMMC 2.0最終版（Final Rule）公布在聯邦公報（Federal Register），六十天後（12月16日）正式生效；此次CMMC 2.0版將原先1.0版的五個等級認證，簡化成為三個等級，以三年、四個階段實施三個等級的認證，預計2027年12月16日全面納入國防採購合約。</p> <p>CMMC 2.0版認證的主要目的，就是要評估美國國防部相關承包商與供應鏈業者的網路安全防護能力，而2.0版的修訂，不只是希望確保承包商能夠遵循最佳實務做法，以保護網路上的敏感資訊，同時也使中小型業者（SMB）更容易遵守這些規範。</p> <h2><strong>規範國防承包商保護FCI和CUI的網路安全措施</strong></h2> <p>CMMC 計劃源自於美國國防部長期以來為保護國防工業基地的數據安全所做的努力。在該項計畫啟動之前，許多國防承包商依賴於自我聲明（self-attestation）的方式，確認其網絡安全措施是否符合 NIST SP 800-171 的要求。然而，隨著網絡威脅的不斷增長，這種方式存在許多不足之處，導致 DoD無法全面掌握承包商是否真正落實所需的安全控制。為了提高透明度與安全性，國防部 2019 年正式宣布 CMMC計畫，旨在通過第三方評估認證制度，加強對承包商網絡安全狀況的監管。</p> <p>推動CMMC的目的是驗證國防承包商，是否遵守針對聯邦合約資訊（FCI）和受控未分類資訊（CUI）的現有保護措施，並在與網路安全威脅（包括APT威脅）風險相稱的級別保護該資訊。</p> <p>CMMC 2.0版將評估等級，從原先1.0版的五個減少到三個，簡化中小企業取得認證的流程。該版也明定三個等級的認證內容，必須符合聯邦採購條例第52.204-21部分（Federal Acquisition Regulation part 52.204-21）以及美國NIST SP 800-171第2版和SP 800-172對網路安全的要求，更明確指出CMMC第三級認證必須遵守的24項NIST SP 800-172的要求。</p> <p>《聯邦法規彙編》（Code of Federal Regulations）的第32篇（32 CFR）規範美國國防部政策、管理和行政職能，CMMC相關規範就屬於32 CFR的一部分，針對處理聯邦合約資訊和受控未分類資訊的國防承包商，提供明確的網路安全規範，確保國防工業基地（DIB）的資訊安全。</p> <p>聯邦合約資訊是指由美國政府提供，或由承包商在履行合約時所生成的未公開信息，不屬於受控未分類資訊，但仍需基本保護，而處理FCI的國防承包商需達到CMMC第1級認證的要求。</p> <p>至於受控未分類資訊，則是需要根據法律、政策或合約進行特別保護的敏感訊息，包括國防技術與數據、個人身分資料（PII）等，處理這類資訊的國防承包商，需達到CMMC第2級或CMMC第3級認證的要求。</p> <h2><strong>CMMC 2.0版的三個認證等級和實施時間</strong></h2> <p>CMMC源自美國總統歐巴馬2010年11月4日簽署行政命令13556，該命令要求建立統一的計畫管理受控非分類資訊，希望針對政府內部管理未分類但需要保護的資訊，卻面臨不同保護標準的問題，提出解決之道。</p> <p>美國國防部（DoD）2019年宣布開始發展CMMC，希望為美國國防工業基地建立更為嚴格的網路安全框架，因應日益複雜的網路威脅；而之所以提出CMMC，目標就是取代過往自我驗證的安全模式，以強化網路安全要求。</p> <p>在2020年9月29日，美國國防部在聯邦公報（Federal Register）發布CMMC 1.0版的臨時最終規則（final rule），確立CMMC 1.0的基本框架，不僅定義了逐步實施CMMC的初步計畫，美國國防部也開始進行五年的分階段實施計畫。</p> <p>CMMC 1.0版於2020年11月30日正式生效，意味著五年分階段實施計畫開始執行，美國國防部也要求國防產業承包商，必須取得CMMC相關認證以履行合約。</p> <p>在2021年11月，美國國防部針對來自業界和大眾意見，發布CMMC 2.0版修正草案，將CMMC認證層級從原先的五個層級減至三個，目的在於簡化承包商的合規過程，並確保有效的網路安全措施得以實施。</p> <p>直到今年10月15日，CMMC 2.0最終版（final rule）才公布在聯邦公報（Federal Register），並於六十天後（今年12月16日）正式生效；另外，在三年內，也將分成四個階段實施CMMC認證。</p> <p>而國防工業基地（DIB）相關的企業也應採取相關行動，評估其對現有資安要求的遵守情況，以及是否準備好遵守CMMC評估。另外，國防工業基地的成員也能用雲服務的產品，滿足網路安全要求，這些都必須作為CMMC要求的一部分進行評估。</p> <p>CMMC對國防供應鏈管理有直接的影響，根據這當中的要求，主要承包商必須確保其供應鏈中的所有分包商，同樣符合相應等級的安全要求。這意味著，任何與FCI或CUI有關的資料數據，只要流通到供應鏈的任何一個環節，該環節的承包商都需達到相應的CMMC認證標準。</p> <h3><span style="color:#0000CD;"><strong>第一階段：CMMC第1級認證─—自我評估</strong></span></h3> <p>CMMC第1級認證要求就是要做到「基本網路安全防護」，自2024年12月16日開始實施，主要適用對象是：針對處理聯邦合約資訊的承包商，必須符合《聯邦採購條例》（FAR）52.204-21的15項安全控制措施，而這些主要是保護非敏感信息的基本措施。</p> <p>至於評估方式，主要是相關的承包商要做自我評估（Self-Assessment），每年更新一次，將自評結果記錄在供應商績效風險系統（SPRS）。</p> <h3><span style="color:#0000CD;"><strong>第二階段：CMMC第2級認證──自我評估及第三方評估機構（C3PAO）評估</strong></span></h3> <p>CMMC第2級認證要求就是要做到「中等網路安全防護」，自2025年12月16日開始實施，主要適用對象是：針對處理受控未分類資訊的承包商，必須在FAR規定的基礎上，做到符合NIST SP 800-171第2版中所規定的110項安全措施，這些安全措施對CUI的保護，要求比CMMC第1級認證更嚴格，適用於更敏感的信息，需要更高級別安全防護的承包商。</p> <p>至於評估方式有兩種，第一種是承包商可以選擇自我評估（Self-Assessment），要求承包商定期進行完整的網路安全檢查，確認其組織已經實施並符合NIST SP 800-171第2版的110項網路安全要求，這些要求涵蓋了資料保護、存取控制、以及系統安全等範疇，適用於處理CUI的環境。</p> <p>這個自我評估必須每三年進行一次完整的自我評估，並確認其符合所有要求，這些自我評估的結果都需要記錄在供應商績效風險系統（SPRS）中；在三年內都必須保持合規的同時，承包商還需每年進行一次自我確認（Annual Affirmation）來確認其安全狀況沒有改變。</p> <p>如果承包商在評估過程中未能完全符合安全要求，承包商會暫時獲得「有條件」的認證資格，但必須制定行動計畫與里程碑（POA&M），在180天內完成所有剩餘的安全要求，否則其資格將失效。</p> <p>第二種評估方式就是，聘請第三方評估機構（C3PAO）針對處理受控非分類資訊（CUI）承包商進行評估，同樣必須做到NIST SP 800-171第2版的110項網路安全要求，而第三方評估機構也會針對承包商的系統、政策和實施過程進行檢測和驗證。</p> <p>第三方評估的結果也會記錄在，國防部用來記錄和管理承包商的網路安全狀態的CMMC eMASS（Enterprise Mission Assurance Support Service）專用系統中，認證完成後，也必須要將結果提交到供應商績效風險系統（SPRS），以確認美國國防部可以追蹤承包商的網路安全評估結果以及合規狀態。</p> <p>第三方評估機構（C3PAO）也會將評估的結果提供給承包商，合格的承包商也會獲得認證，認證有效期限為三年。倘若接受檢測的承包商有任何安全要求尚未達標，承包商可以制定行動計畫與里程碑（POA&M），來完成剩餘的、尚未達標的安全要求，但這些計畫必須在180天內完成並進行改善，否則其資格將失效。</p> <p>至於，CMMC第2級認證中，自我評估及第三方評估機構（C3PAO）評估的差異，主要在於評估方式的嚴謹性。</p> <h3><span style="color:#0000CD;"><strong>第三階段：CMMC第3級認證─由政府單位DIBCAC主導的評估</strong></span></h3> <p>CMMC第3級認證就是要做到「高級網路安全防護」，自2026年12月16日開始實施，這一階段需要更加嚴格的網路安全控制措施和第三方評估。</p> <p>主要適用對象是：處理高度敏感受控非分類資訊（CUI），或涉及與國防相關的承包商，在CMMC第2級認證的基礎上，做到符合NIST SP 800-171的110項安全措施外，還需額外增加NIST SP 800-172中的24項加強安全要求的措施。</p> <p>主要是針對需要高度安全的系統，尤其是涉及國家安全的關鍵技術或數據，會由國防部國防合約管理局（DCMA）網路安全評估中心（DIBCAC）主導CMMC第3級認證的評估。</p> <p>這是一個由政府主導的評估認證，評估的結果也會記錄在，國防部用來記錄和管理承包商的網路安全狀態的CMMC eMASS（Enterprise Mission Assurance Support Service）專用系統，不僅每三年需更新一次評估結果，也需要將結果提交供應商績效風險系統（SPRS）。</p> <h3><span style="color:#0000CD;"><strong>第四階段：CMMC將全面納入國防採購合約</strong></span></h3> <p>自2027年12月16日起，所有國防部相關合約將全面納入CMMC認證規範，所有涉及聯邦合約資訊（FCI）或受控非分類資訊（CUI）的合約，都必須達到指定的CMMC認證層級，並且符合合約中所有的網路安全控制措施，才能夠參與合約的競標和履行。</p> <p>CMMC的要求將從2024年12月16日起，逐步被納入國防部的合約，逐步擴展到更多國防部的合約中，特別是涉及更高敏感度數據（CUI）的合約。到2027年達到全面覆蓋。</p> <p>分階段實施CMMC認證，就是希望逐步加強對國防承包商的網路安全要求，提供足夠的時間，讓國防承包商可以達到所需的安全標準，並完成相關的安全控制措施。</p> <p>推動CMMC帶來的優勢，包括：保護敏感資訊以支援和保護作戰人員；實施國防工業基地（DIB）網路安全標準，以應對不斷變化的網路威脅；確保問責制，同時最大限度地減少遵守美國國防部（DoD）要求的障礙；延續網路安全和網路彈性的協作文化；通過高專業和道德標準，維護公眾信任，</p> <p>另外，國防工業基地（DIB）的成員，也可以使用雲服務產品滿足網路安全要求，這些要求，必須作為CMMC認證要求的一部分進行評估。</p> <p>美國國防部的後續國防聯邦採購法規補充（Defense Federal Acquisition Regulation Supplement，DFARS）規則變更，將於2025年初至中期發布，並以合約方式實施CMMC計畫；一旦DFARS規則生效，國防部便會在招標和合約納入CMMC要求，作為簽訂合約的條件，相關需要處理、儲存或傳輸聯邦合約資訊或受控未分類資訊的承包商，都必須取得相對應的CMMC認證級別。</p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2024/10/16 17:51作者黃彥棻https://www.ithome.com.tw/news/165527
企業協作平臺Team+存在重大漏洞，攻擊者有機會進行未經授權存取、操縱檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週臺灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安公告，指出互動資通旗下的企業協作平臺Team+存在3項漏洞<a href="https://www.twcert.org.tw/tw/cp-132-8124-d9b92-1.html">CVE-2024-9921</a>、<a href="https://www.twcert.org.tw/tw/cp-132-8126-5d9d2-1.html">CVE-2024-9922</a>、<a href="https://www.twcert.org.tw/tw/cp-132-8128-772aa-1.html">CVE-2024-9923</a>，影響13.5.x版Team+，呼籲使用者要升級至14.0.0版緩解相關資安風險。</p> <p>根據CVSS風險評分，最嚴重的是SQL注入漏洞CVE-2024-9921，起因是此協作平臺尚未妥善驗證特定網頁參數，導致未經身分驗證的攻擊者有機會遠端注入任意SQL指令，從而讀取、修改、刪除資料庫內容，CVSS風險評為9.8分。</p> <p>其餘2個漏洞CVE-2024-9922、CVE-2024-9923，皆為路徑穿越漏洞，當中危險程度較高的是CVE-2024-9922，攻擊者可在未通過身分驗證的情況下，用來讀取任意檔案，CVSS風險評為7.5；另一個漏洞CVE-2024-9923，則能用來搬移檔案，攻擊者必須事先得到管理員權限，才能遠端將任意檔案移動到網站根目錄並進行存取，CVSS評分為4.9。</p> <p>我們也向互動資通進行確認，該公司表示在發現後已儘速完成修復，並於2個月前提供新版程式給客戶使用。</p> </div></div></div>
2024/10/16 18:03作者周峻佑https://www.ithome.com.tw/news/165528
工業用路由器存在重大漏洞，臺廠Moxa發布新版韌體修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月14日臺灣工控設備製造商四零四科技（Moxa）發布資安公告，指出旗下部分行動通訊路由器、安全路由器、網路設備<a href="https://www.moxa.com/en/support/product-support/security-advisory/mpsa-241154-missing-authentication-and-os-command-injection-vulnerabilities-in-routers-and-network-security-appliances">存在高風險漏洞CVE-2024-9137、CVE-2024-9139</a>，並指出這些漏洞有可能導致未經授權存取或是系統損壞的情況，呼籲用戶應儘速套用新版韌體因應。</p> <p>根據CVSS風險評分的高低，較為嚴重的是評為重大層級的CVE-2024-9137，該公司特別提及，這項漏洞攻擊者能在未經身分驗證的情況下，遠端觸發。此弱點發生的原因在於，設備在透過Moxa服務向伺服器發送命令的過程中，未實施身分驗證程序，而能允許攻擊者執行特定命令，並進行未經授權的上傳、下載組態檔案，或是造成系統受損，3.1版CVSS風險評為9.4分（4.0版為8.8分）。</p> <p>另一個漏洞CVE-2024-9139也相當危險，攻擊者利用未適當限制執行方式的指令，藉由作業系統命令注入手法發動攻擊，而有機會執行任意程式碼，3.1版CVSS對此漏洞的風險評為7.2分（4.0版為8.6分）。</p> <p>而對於這些漏洞的影響範圍，包括資安路由器EDR-8010、EDR-G9004、EDR-G9010、NAT-102系列，以及無線寬頻通訊路由器OnCell G4302-LTE4、軌道車輛路由器TN-4900系列機種。對於無法即時套用新版韌體的企業組織，Moxa也列出緩解建議，包括減少裝置曝露於網際網路、透過防火牆限制存取，以及採用入侵偵測系統（IDS）、入侵防禦系統（IPS）來偵測及防範漏洞利用的情況。我們也向Moxa進一步確認此事，該公司表示，尚未接到客戶反映出現重大影響的情況。</p> </div></div></div>
2024/10/16 15:42作者周峻佑https://www.ithome.com.tw/news/165523
解決傳統AR裝置暈眩痛點，臺大團隊打造光場擴增實境顯示技術應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺大團隊在國科會計畫支持下，今（10月16日）展示成功挑戰技術難題、自行研發的光場擴增實境（AR）顯示技術，能解決人眼視覺輻輳調節衝突（VAC）問題。也就是說，有了這個技術，使用者配戴AR裝置時，就不會再感到暈眩或缺乏深度感知了。這項技術適合高精度醫學應用，團隊也與醫療團隊聯手，找出可行的應用場景，像是胃部影像3D重建、AR導引微創介入手術，可解決傳統醫學影像受限於平面視角、缺乏深度訊息的問題，進而提高醫學訓練效率、優化病情診斷和治療。</p> <p><strong style="font-size: 22px;">比起傳統AR技術，光場顯示技術可解決眼睛對焦問題</strong></p> <p>進一步來說，該技術由臺大電信工程學研究所教授陳宏銘聯手臺大醫院院長吳明賢團隊和臺大衍生新創公司兆輝光電共同開發，整合了光學元件設計、光場顯示校正與優化技術、光場醫學影像生成和用戶介面設計等技術。</p> <p>與傳統的AR顯示技術相比，光場顯示技術有多種優勢，特別是解決傳統AR裝置，常見的暈眩和眼睛疲勞問題。</p> <p>這是因為，傳統AR裝置的呈現方式，會讓使用者無法同步調整眼睛焦距和視線，導致暈眩和疲勞。但，光場顯示技術可將場景中的光線投射至眼睛，就像在觀看實物一樣，能自由調整焦距來看清立體物體，大幅提高舒適度和真實感。</p> <p>也因為這個特性，光場顯示器能再現物體的細微深度差異，提供更精確的三維感知。這個優點在醫學應用中，特別重要。例如，在AR微創手術中，光場顯示技術能精準呈現器官、重要血管和神經的位置，作為清晰的視覺指引，來幫助醫生進行更精確的操作和決策。</p> <p>雖然光場顯示技術有諸多優點，但因各種挑戰，光場近眼顯示器仍很少見。臺大團隊則克服了這些挑戰，靠臺灣自有的半導體製造和電子加工技術，來自主生產超高解析度微型發光二極體（Micro LED）顯示器，成為高品質光場近眼顯示器的關鍵元件。</p> <p>此外，他們也仰賴臺灣在光學元件設計和製造方面的優勢，有效降低開發成本。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-10-16%20140422.png" /></p> <p><span style="font-size:22px;"><strong>聯手臨床團隊，探索光場顯示技術應用領域</strong></span></p> <p>與此同時，研發團隊也與臨床醫師合作，找出可行的應用領域。其一就是透過三維重建和注視技術，來將原本平面的胃鏡影像，重建為三維立體的胃部模型；再加上目光追蹤技術，能更還原當初醫師判讀過程的凝視順序。</p> <p>這個應用不只能用於精準定位病灶、供外科醫師手術參考，還能還原資深醫師判讀的目光路徑，來輔助年輕醫師找到問題、提高學習效率。</p> <p>臺大團隊也表示，AR導引微創手術系統是目前醫療市場熱門的應用領域，他們研發的自動對位技術，可應用來將器官的數位雙生（Digital twins）與真實人體對齊。意思是，在未來，醫師不必在手術中使用輻射線醫學影像，就能透視人體、精準定位器官位置。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202024-10-16%20140613.png" /></p> <p></p> </div></div></div>
2024/10/16 14:19作者王若樸https://www.ithome.com.tw/news/165520
奧丁丁雲端儲存庫配置不當，近7萬臺灣旅客訂房資料曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安新聞<a href="https://cybernews.com/security/taiwan-visitors-exposed-in-massive-data-leak-owlting/" target="_blank">Cybernews報導</a>，臺灣區塊鏈旅宿平臺業者奧丁丁（OwlTing）雲端儲存庫配置不當未做好防護，導致約7萬訂房旅客包含姓名、住家地址曝露在公開網際網路上。</p> <p>Cybernews是在今年7月底進行例行性調查時，發現一個內含大量檔案的Amazon S3儲存桶（bucket）因配置不當而曝露在網際網路上。經過研究，這個資料儲存桶屬於旅宿業訂房及內部管理系統供應商奧丁丁。</p> <p>奧丁丁提供以太坊區塊鏈為架構開發的旅宿業訂房及內部管理系統，除了臺灣總部外，並在美國、日本、泰國、馬來西亞、香港、新加坡設有分公司。它的<a href="https://www.owlting.com/owlnest/?l=tw" target="_blank">旅宿管理系統</a>可串接第三方訂房平臺，包括Bookings，<a href="https://smartcityonline.org.tw/scheme.php?id=57" target="_blank">早期還有</a>Expedia、Hotels.com、Agoda等。</p> <p>根據Cybernews團隊的研究，公開的儲存桶中內有超過16.8萬份CSV及XLSX格式文件，內容則是超過7.7萬名客戶的個資，包括全名、電話號碼和部份約（約3,000名）消費者的電子郵件，以及飯店訂房資訊如訂房日期、房號、房型、入住和退房、支付金額、幣別及預約服務等。外洩的個資如電子郵件或電話號碼可能被用於垃圾郵件、詐騙郵件、詐騙電話或釣魚簡訊等攻擊。</p> <p>Cybernews分析顯示，電話號碼曝光的消費者有92%為臺灣人，其他則來自日本、南韓、香港、新加坡、馬來西亞、泰國等，另外還有數百名歐洲消費者資訊。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Owlnest-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cybernews</span></span></p> <p>奧丁丁證實此事，且迅速修正問題。該公司回應媒體，沒有任何敏感資訊因此洩露。</p> <p>AWS S3等雲端儲存庫配置不當讓資料曝險事件屢見不鮮，大從<a href="https://www.ithome.com.tw/news/118756" target="_blank">美國國防部</a>、<a href="https://www.ithome.com.tw/news/114996" target="_blank">美國共和黨</a>、<a href="https://www.ithome.com.tw/news/129798" target="_blank">Meta</a>都曾發生過。由於這類管理疏失太多，引來網路駭客的注意，研究人員<a href="https://www.ithome.com.tw/news/131816" target="_blank">發現</a>，一個駭客組織發展出在未上鎖的Amazon S3上植入惡意程式的攻擊手法。</p> </div></div></div>
2024/10/16 14:24作者林妍溱https://www.ithome.com.tw/news/165514
Google著手部署Android 15，私人空間上陣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周二（10/15）<a href="https://blog.google/products/android/android-15/" target="_blank">宣布</a>，已開始向Pixel裝置部署Android 15。新一代的平臺強化了防盜保護，並允許使用者建立私人空間（Private Space），以作為數位保險箱。</p> <p>Google平均每年更新一次主要的Android版本，並根據技術的演進添增新功能，例如近來即開始利用AI來強化Android的<a href="https://www.ithome.com.tw/news/165357" target="_blank">防盜功能</a>，包括Theft Detection Lock及Remote Lock等，並適用於大多數Android 10以上的裝置。</p> <p>至於Android 15上則有額外的防盜功能，會針對某些設定添增身分驗證要求，例如要移除SIM卡或是關閉Find My Device功能時，也會在偵測到多次變更程式與設定的失敗後直接鎖住裝置。</p> <p>Android 15還有一個類似數位保險箱的私人空間功能。使用者可建立一個私人空間來存放各種敏感程式，例如社交程式、約會程式或金融程式等，當該空間被鎖住時，不管是從程式清單、檢視最近應用程式，或是從通知及設定中，都看不到置放於該空間中的程式。要存取私人空間必須進行額外的身分驗證，使用者還能選擇於手機上隱藏私人空間的存在。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Android%2015_Private%20space.png" style="width: 520px;" /></p> <p>此外，Android 15也改善了平板與摺疊裝置的工作能力，例如讓這些裝置可更容易固定及取消工作列（Taskbar），也能客製化工作列，放上常用的程式以提高工作效率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-Android%2015_%20pin%20taskbar%20on%20the%20screen.png" style="width: 600px;" /></p> <p>其它功能還包括允許電信營運商的傳訊程式可在缺乏行動或Wi-Fi網路時，透過衛星來傳訊；強化對通行密鑰（Passkey）的支援，對於那些採用Passkeys功能進行身分驗證的程式，只要點擊一下就能登入。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2024/10/16 15:14作者陳曉莉https://www.ithome.com.tw/news/165521
英特爾與AMD攜手推動x86架構
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英特爾（Intel）與AMD周二（10/15）<a href="https://www.amd.com/en/newsroom/press-releases/2024-10-15-intel-and-amd-form-x86-ecosystem-advisory-group-to-accelerate.html" target="_blank">攜手成立</a>x86生態系統諮詢小組（x86 ecosystem advisory group），兩大處理器競爭對手將共同維持x86架構產業的穩定，推動架構的互通性，簡化軟體開發，以因應未來的處理器需求。</p> <p>x86架構是英特爾於1978年推出的處理器指令集架構，而英特爾與AMD所開發的處理器都使用該架構，目前x86不論是在個人電腦、伺服器或高效能運算領域都屬於主流架構，只是日益面臨各種挑戰，像是動態的AI任務，客製化晶片，3D封裝與系統架構的進步，以及Arm架構的入侵。</p> <p>除了英特爾與AMD之外，該小組的成員還包括Linux之父Linus Torvalds，Epic Games創辦人暨執行長Tim Sweeney，以及博通（Broadcom）、Dell、Google、HPE、HP、聯想、Meta、微軟、甲骨文及紅帽。</p> <p>英特爾執行長 Pat Gelsinger指出，人們正處於x86架構與其生態系統數十年來最大的轉折點，需要更高階的客製化、相容性及可擴充性，以滿足現在與未來的客戶需求。AMD執行長蘇姿丰則說，此一小組將確保x86繼續發展成為開發人員及客戶首選的運算平臺。</p> <p>博通執行長Hock Tan也認為人們正處於運算歷史的十字路口，如今的x86架構決策將會影響未來數十年的程式設計模型、框架與及系統。</p> <p>因此，此一x86生態系統諮詢小組將聯合產業的領導者，透過一套更統一的指令與架構介面來形塑x86的未來，並推動開發人員的創新。計畫強化x86產品之間的相容性、可預測性與一致性，因此，將向x86硬體與軟體社群徵詢基本功能與特色的技術意見，共同打造一致的x86架構功能與程式設計模型，並將它們擴展到所有領域，涵蓋資料中心、雲端、客戶端、邊緣及嵌入式裝置等。</p> <p>目標是強化軟體及硬體之間的相容性，並加速客戶自新功能中受益的能力；簡化架構指南以提升軟體的一致性，並標準化英特爾與AMD之x86產品的介面；讓新功能得以更廣泛也更有效率地整合到作業系統、框架及應用程式中。</p> </div></div></div>
2024/10/16 14:00作者陳曉莉https://www.ithome.com.tw/news/165517
蘋果發表新一代iPad mini
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周二（10/15）<a href="https://www.apple.com/newsroom/2024/10/apple-introduces-powerful-new-ipad-mini-built-for-apple-intelligence/" target="_blank">發表了新一代的iPad mini</a>，它採用與iPhone 15 Pro一致的A17 Pro晶片，並支援生成式AI服務Apple Intelligence。這是蘋果的第7代iPad mini，上一次更新是在2021年。</p> <p>iPad mini 7採用8.3吋的Liquid Retina螢幕，搭載iPadOS 18作業系統。全新A17 Pro處理器帶來更強大的CPU與GPU，並具備比iPad mini 6快兩倍的Neural Engine，後置相機支援1,200萬畫素與Smart HDR 4，Camera程式也以機器學習技術來偵測及掃描文件。</p> <p>A17 Pro是在去年隨著iPhone 15 Pro系列的手機問世，它配備一個6核心的CPU，以及一個5核心的GPU，相較於iPad mini 6，iPad mini 7的CPU性能提升了30%，GPU性能則增加25%。</p> <p>整合到iPadOS 18的Apple Intelligence則提供了寫作功能Writing Tools（下圖），能理解脈絡、更聰明的Siri，以及更方便的Memories功能與照片編輯工具，未來也將內建ChatGPT。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1016-new%20iPad%20mini%20built%20for%20Apple%20Intelligence-PNG.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>iPad mini最低售價為499美元（新臺幣16,900元），提供128GB儲存空間，是上一代最低階的2倍，有藍色、紫色、星光色與深空灰等4種顏色，已於包括臺灣在內的29個國家開放預購，預計於10月23日出貨。另有449美元的教育版價格。</p> </div></div></div>
2024/10/16 14:06作者陳曉莉https://www.ithome.com.tw/news/165518
逾8萬臺Fortinet設備曝露於今年2月公告的RCE漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>10月9日<a href="https://www.ithome.com.tw/news/165432">美國網路安全暨基礎設施安全局（CISA）提出警告</a>，今年2月Fortinet修補的重大漏洞CVE-2024-23113已出現實際攻擊行動，要求聯邦機構限期修補，這樣的情況<a href="https://www.fortiguard.com/psirt/FG-IR-24-029">Fortinet也在11日證實</a>，他們得知有外部調查發現漏洞遭到利用的情況。然而，如今有資安研究機構提出警告，仍有不少設備尚未套用更新而曝險。</p> <p>Shadowserver基金會指出，他們在10月12日<a href="https://x.com/Shadowserver/status/1845478432479846737">發現有87,390個IP位址的Fortinet設備疑似曝露於該漏洞風險</a>，其中數量最多的是美國，約有1.4萬臺，日本、印度居次，分別約有5,100、4,800臺。我們查詢該基金會14日偵測到的資料，臺灣有3,823臺設備曝險。</p> <p>由於這項漏洞影響範圍涉及Fortinet多項解決方案，涵蓋網路防火牆作業系統FortiOS、網頁安全閘道FortiProxy、特權存取管理系統FortiPAM、交換器集中管理平臺FortiSwitch Manager、應用程式防火牆FortiWeb，這意味著駭客可能會在不同類型的資安系統嘗試利用漏洞。</p> </div></div></div>
2024/10/16 12:41作者周峻佑https://www.ithome.com.tw/news/165516
Amazon將全面擁抱Passkey
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼於<a href="https://www.ithome.com.tw/news/159335" target="_blank">去年</a>開始於電子商務服務中部署通行密鑰（Passkey）之後，Amazon周二（10/15）<a href="https://www.aboutamazon.com/news/retail/amazon-passwordless-sign-in-passkey" target="_blank">宣布</a>，迄今已有超過1.75億的用戶於他們的Amazon帳號上啟用Passkey，也計畫明年逐步於其它Amazon應用及服務推出Passkey。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，於所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務。以Passkey來登入服務既不用記住密碼，也比利用簡訊傳送一次性代碼的雙因素身分驗證來得安全。</p> <p>目前Amazon已於網頁版、iOS及Android上的購物應用，以及Audible有聲書應用中支援Passkey，其中，行動用戶一旦設定了Passkey，它就會成為登入Amazon帳號的預設選擇。根據Amazon的統計，以Passkey登入是其它方式的6倍快，隨著愈來愈多用戶體驗到無密碼登入的方便性，Passkey的採用率每天都在成長。</p> <p>Amazon電子商務資深副總裁Dave Treadwell表示，Passkey可替買家帶來易用性與安全性，儘管在可見的未來依然會存在著密碼，但Passkey卻是正確的方向，Amazon很高與成為Passkey的早期採用者。</p> <p>其實<a href="https://www.ithome.com.tw/news/156706" target="_blank">Google</a>、<a href="https://www.ithome.com.tw/news/162656" target="_blank">微軟</a>及<a href="https://support.apple.com/zh-tw/guide/iphone/iphf538ea8d0/ios" target="_blank">蘋果</a>皆已支援Passkey，專門推動可減輕對密碼依賴之各種身分驗證標準的開放聯盟FIDO Alliance，也在<a href="https://www.ithome.com.tw/news/165496" target="_blank">本周發表</a>一標準草案，打算利用憑證交換協定（Credential Exchange Protocol，CXP）與憑證交換格式（Credential Exchange Format，CXF）來推動Passkey與其它憑證的可攜能力。</p> </div></div></div>
2024/10/16 12:12作者陳曉莉https://www.ithome.com.tw/news/165515
【統一集團AI顧問現身說法】零售業應用生成式AI五大階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>距生成式AI爆紅已經兩年，零售業開始有先行者大規模應用此技術到對內及對外生產流程：二手市集巨頭eBay推出自動生成商品描述、分類和建議售價的賣家輔助工具；電商巨擘Amazon上線了串接電商平臺各種功能及數據的買家與賣家對話式助理；零售龍頭Walmart利用生成式AI建立及完善上億款商品的目錄數據，用媲美100倍人力的生產力，處理了8.5億筆資料作業。</p> <p>其他零售業者如何向這些領頭羊學習？高雄科技大學行銷與流通管理系副教授歐宗殷綜合自身經驗及國內外企業案例，歸納出零售業應用生成式AI的5大階段，「在一個階段做紮實了，才容易發展下個階段。」他說。歐宗殷曾借調到統一資訊擔任總經理，之後仍持續擔任顧問，協助統一集團發展數據、AI及生成式AI的應用。</p> <p>這5大階段，依序是加速開發、分析消費紀錄及產品資訊等數據、建置企業綜合知識庫及知識管理工具、設計和影音等內容創作，以及顧客服務、行銷與推薦。每個階段都可以產生4類價值，包括提高生成內容精準度、帶來實質效益、業務模式創新，和體驗優化。越後期的階段，這4種價值的含量越高，與顧客互動程度也越高。</p> <p><span style="color:#B22222;"><strong>第一階段是加速企業開發</strong></span>，例如自動生成程式碼、偵錯程式碼、產生程式碼說明文件等。eBay甚至利用生成式AI來找出程式碼重複，並根據eBay內部不同服務的耦合及依賴性，來協助工程團隊更新開發框架及函式庫。</p> <p><span style="color:#B22222;"><strong>第二階段是分析消費紀錄及產品資訊等數據</strong></span>。這個階段，企業將生成式AI用來蒐集和分析零售業最大宗的兩類數據──顧客與商品。自動貼標商品與顧客屬性、消費模式洞察、梳理及豐富數據等，都屬於此階段。Walmart就用生成式AI豐富了8.5億筆數據，若在相同時間只使用人力，需要近百倍人頭數。</p> <p><span style="color:#B22222;"><strong>第三階段是企業知識庫及KM工具建置</strong></span>。此階段，企業不只用生成式AI處理消費及產品數據，還包括內部技術文件、員工訓練文件、最佳實踐政策、甚至程式碼等數據。並且，還會用生成式AI打造一個可以輕鬆存取這些數據的介面。美國大型連鎖超市Target就在近2,000間分店上線了店員生成式AI助理，可以根據自然語言對話內容，來快速提取Target內部文件，回覆約40萬名店員的門市營運相關問題，例如會員卡申辦流程、停電時如何重啟POS機等。</p> <p><span style="color:#B22222;"><strong>第四階段則是內容創作，包括文字、語音、圖片、影片和設計生成</strong></span>。內容創作可以應用於內部文件或行銷素材生成，例如全國電子就利用生成式AI生成大量行銷用素材，希望依照顧客喜好呈現出對應素材，提供個人化體驗。甚至可以進一步結合賣家或顧客體驗，例如露天市集推出賣場美化工具，利用生成式AI支援賣場素材優化及版面配置。</p> <p><span style="color:#B22222;"><strong>第五階段則是直接應用於顧客服務、行銷與推薦</strong></span>。歐宗殷指出，此階段難度最高，因為企業必須考量到生成式AI產生幻覺等風險，如何提供顧客精準、正確的生成內容，是一大難題。Amazon就分別針對買家與賣家打造了生成式AI助理，前者能搜尋、比價、推薦產品、主動更新產品最新消息，和追蹤顧客過往清單狀態，後者則能提供個人化建議、分析賣場數據，甚至主動幫忙追查異常情況。</p> <p>企業如何進一步發展更後期階段的生成式AI應用？歐宗殷建議，可以從生成式AI應用的4大價值中，挑選自己最重視的項目來強化。例如，著重精確度，可以結合傳統預測型AI與生成式AI來打造應用，以降低生成式AI隨機性；著重實質效益，則需強化IT支出管理並制定測量實質效益的機制；著重業務模式創新和體驗優化，則可以將生成式AI技術結合到AR/VR購物、行動商務等不同購物模式及體驗。</p> <p>歐宗殷觀察，臺灣零售業主要在第三到第四階段，且有一類GAI第五階段應用開始在臺成形。「許多臺灣零售業者想發展RMN，並希望能用生成式AI來生成大量素材，準確地提供個人化購物與行銷體驗。」不過，他也坦言：「距離這個應用，臺灣零售業還有一段路要走。」</p> <p>他進一步說明，要真正善用GAI輔助RMN，首先要做好消費紀錄及產品資訊分析，才能根據這些數據來生成素材，並在實務上投入這些素材於個人化體驗。也就是說，紮實發展第二到第四階段的應用是先決條件。</p> <p>歐宗殷也分享了一個另類的生成式AI應用第五階段案例。該企業將生成式AI應用於客服，但不是直接用聊天機器人與顧客對話，而是利用生成式AI將顧客發言摘要成簡單、有條理，且不情緒化的內容，再由真人客服應答。「這樣一來，既能避免生成式AI對顧客說錯話，還能提升客服人員效率。」他評論。「透過恰當的機制設計，可以降低生成式AI產生幻覺，衝擊顧客體驗的風險。」</p> </div></div></div>
2024/10/16 09:39作者郭又華https://www.ithome.com.tw/news/165492
開源套件進入點可被攻擊者用於指令劫持
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://checkmarx.com/blog/this-new-supply-chain-attack-technique-can-trojanize-all-your-cli-commands/">資安公司Checkmarx揭露新一波針對Python開源軟體生態系的攻擊</a>，攻擊者可利用軟體套件中的進入點（Entry Point）木馬化命令列工具。透過該手法，攻擊者能夠將惡意程式偽裝成常見的第三方工具或是系統命令，讓受害者無意間執行惡意程式碼，以達成攻擊開發環境和企業基礎設施的目的。</p> <p>這項新的開源供應鏈攻擊之所以值得注意，研究人員指出，其具有極高的隱蔽性和靈活性，能夠在不被察覺的情況下木馬化命令列工具，並執行惡意程式碼。由於該攻擊主要針對開發工具以及開源生態系中常見的進入點功能，讓攻擊者可以劫持開發過程中常用的指令，對開發者或是企業造成嚴重安全威脅，不僅影響日常開發工作，還可能導致敏感資料洩漏，或是危及基礎設施安全。</p> <p>所謂的進入點，指的是Python等軟體套件管理系統中的機制，讓開發者可以將特定功能以命令列命令的形式公開，讓終端使用者不需了解軟體內部程式碼結構就可以執行特定命令，通常應用於創建命令列腳本或是定義套件的系統功能。</p> <p>不過，研究人員發現，攻擊者也可以濫用進入點機制植入惡意程式碼，例如攻擊者可以創建偽裝成開發工具的惡意套件，藉由進入點功能將這些惡意功能綁定到命令列工具上，當使用者執行受影響的命令時，惡意程式碼便會在不被發覺的情況下自動執行。另外，攻擊者還可使用一種稱為命令打包（Command Wrapping）的技術，在執行合法命令的同時，隱蔽地執行惡意程式碼，使得攻擊更難被發現。</p> <p>雖然研究人員以Python生態系中的PyPI套件系統說明進入點濫用攻擊，但是研究人員也指出，npm、Ruby Gems、NuGet、Dart Pub和Rust Crates等多種程式語言開源生態系皆易受影響。攻擊者也可以鎖定各種常被用於開發、部署和營運的命令列工具進行劫持，諸如Docker、npm、git、kubectl、terraform與dotnet等。該攻擊可對開發者或是企業造成嚴重破壞，尤其是在CI/CD環境中，攻擊者甚至可取得雲端基礎設施的控制。</p> </div></div></div>
2024/10/16 08:29作者李建興https://www.ithome.com.tw/news/165512
駭客兜售聲稱竊自思科的開發、憑證資料，可能殃及微軟、AT&T
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/cisco-investigates-breach-after-stolen-data-for-sale-on-hacking-forum/" target="_blank">報導</a>，日前駭客在暗網兜售聲稱是來自思科系統的多種公司資料，包括GitHub專案文件、公司機密文件、程式原始碼與涵括微軟、AT&T等客戶資料。思科將著手調查。</p> <p>知名駭客IntelBroker本周二在駭客論壇<a href="https://x.com/H4ckManac/status/1845884053574025416" target="_blank">公布</a>此事。他聲稱今年10月6日夥同分別代號為EnergyWeaponUser和zjj的另二名駭客駭入思科網路，竊走大量資料。</p> <p>他聲稱手中握有思科的資料類型包括GitHub與GitLab專案、程式原始碼、思科機密檔案、產品檔案、憑證、API token、公私鑰、客服資料，以及在Azure、AWS等數十類，似乎大部份與開發專案相關。他還分享了部分檔案擷圖作為證明。不過駭客並未說明盜走的多少量有多大。</p> <p>一名研究人員從IntelBroker公布的資訊<a href="https://x.com/darkeye_team/status/1846023952575221848" target="_blank">發現</a>，受思科資料外洩影響的客戶包括AT&T、Verizon、T-Mobile US、Vodafone、微軟、SAP、及能源巨擘雪佛龍（Chevron）等。</p> <p>消息人士告訴媒體，攻擊者是先駭入思科使用的某家第三方DevOps與軟體開發平臺，再藉此存取思科系統和資料。但思科在此之前是否察覺網路被駭不得而知。</p> <p>周二思科表示，看到公司被駭的消息後已啟動調查，確認駭客所言真假。</p> <p>知名廠商網路，包括<a href="https://www.scworld.com/brief/t-mobile-refutes-intelbroker-hacking-claims" target="_blank">T-Mobile</a>、<a href="https://www.ithome.com.tw/news/163539" target="_blank">AMD</a>、<a href="https://cybernews.com/security/threat-actor-intelbroker-claims-apple-amd/" target="_blank">蘋果</a>、防火牆業者<a href="https://www.ithome.com.tw/news/162839" target="_blank">Zscaler都</a>曾是InterBroker的受害者，並被他出售或公布機密資料。</p> </div></div></div>
2024/10/16 08:40作者林妍溱https://www.ithome.com.tw/news/165513
MedTech醫療科技雙周報第38期：美國釋出2024-2030年聯邦醫療IT策略計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（1001～1015）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">醫療IT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> HHS </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 資料交換</span></strong></span></p> <p><span style="font-size: 22px;"><strong>美國釋出2024-2030年聯邦醫療IT策略計畫</strong></span></p> <p>今年9月最後一天，美國衛生及公共服務部（HHS）公布最終版2024-2030年聯邦醫療IT策略計畫，點出聯邦層級接下來6年的醫療IT目標，要來改善電子醫療資訊（EHI）的存取、創造更公平的醫療照護體驗，以及落實國家公共衛生基礎設施現代化。</p> <p>進一步來說，該計畫包含提倡健康福祉、強化照護提供與體驗、加速研究創新，以及以醫療資料連結醫療系統等4大目標。其中，前3個目標是要強化醫療IT使用者的體驗，最後一個目標著重支援這些使用者所需的政策和技術。這4個目標又可細分為幾個子目標，比如在強化照護提供與體驗下，照護提供方可以有信心地使用醫療IT工具，又或是在加速研究創新中，研究者和醫療IT使用者能夠存取高品質醫療資料，以及在以醫療資料連結醫療系統中，建置現代化且整合式的公衛醫療資料系統和基礎建設，來支援社區健康發展。</p> <p>除了說明大框架，該計畫也聚焦公平、AI、資料交換等議題。在公平部分，則延續聯邦政府方向，繼續使用醫療IT來改善人群的醫療服務平等性。在AI部分，該計畫提供一系列聯邦政府可參考的策略，來確保AI可以被醫療IT使用者（病患、醫療機構）使用、可安全且負責任地被部署，以及可摒除演算法偏差。在資料交換領域，該計畫則將持續推動以FHIR為基礎的國家級資料交換框架TECFA，且為兼顧交換資料的品質，該計畫也提出策略，來解決聯邦政府與標準制定組織、州政府、地方政府和醫療IT開發者間的協作問題。<a href="https://www.healthit.gov/buzz-blog/health-it/setting-our-sights-toward-a-healthier-more-innovative-data-driven-future-2">（詳全文）</a></p> <p><img alt="" src="https://www.healthit.gov/buzz-blog/wp-content/uploads/2024/09/ASTP-2024-2030-Strategic-Plan_slide-7-2048x1152.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 嬌生 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 新藥發現 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>嬌生揭醫療AI應用領域，瞄準外科、新藥發現和臨床試驗</strong></span></p> <p>嬌生日前發表一篇官方部落格文章，介紹自己如何運用AI強化醫療照護。比如在手術學習領域，嬌生醫療技術數位化全球副總裁Shan Jegatheeswaran指出，他們透過AI，幾分鐘就能將一場數小時的手術錄影影片精彩片段剪輯出來，比過往人工的數小時、數天還要有效率。這些剪輯出來的重要片段，可供外科醫師重新觀看、學習和討論治療策略。</p> <p>再來是新藥開發，嬌生表示，傳統的新藥發現漫長又複雜，研究團隊需先了解哪些生物和遺傳變異會導致疾病。而透過AI分析電子健康記錄、實驗室結果或基因定序數據，就能幫助找出特定疾病原因。有了疾病標靶，嬌生就以AI協助找出可與標靶作用的分子，並透過AI設計、優化這些分子，來開發為有效對抗疾病、副作用最小的候選藥物。目前，嬌生正與外部機構合作，來實現這個目標。</p> <p>臨床試驗也是嬌生運用AI的領域。他們有2種用法，一是用來尋找臨床試驗患者與地點，比如用機器學習演算法分析大型去識別化資料集，來加速找出可能從新藥中受益的患者臨床研究地點。如此，臨床試驗團隊可將這些地點納入考量，而非如傳統方法，只集中在醫學中心進行臨床試驗。另一種用法是增加多元性，包括找出不同患者地點和醫療機構，研究團隊再從這些地點招募符合條件的患者，來參加臨床試驗。其他領域還有以AI強化個人化治療，以及運用AI分析需求波動和供應商績效，來預測可能擾亂藥物和醫療產品供應鏈的即時事件，確保醫療產品能盡快到達患者家中。<a href="https://www.jnj.com/innovation/artificial-intelligence-in-healthcare">（詳全文）</a></p> <p><img alt="" src="https://jnj-content-lab2.brightspotcdn.com/dims4/default/fe4c22f/2147483647/strip/true/crop/1920x1079+0+0/resize/1441x810!/format/webp/quality/90/?url=https%3A%2F%2Fjnj-production-jnj.s3.us-east-1.amazonaws.com%2Fbrightspot%2F16%2F64%2F6e97e66f472d9d2a21ab333202d5%2F1024-ai-tech-workers-ledev2.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 臨床驗證 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公平性 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 衛福部 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>衛福部攜16家醫院成立3大類型AI中心 </strong></span></p> <p>本月7日，衛福部宣布成立負責任AI執行中心、臨床AI取證驗證中心，以及AI影響性研究中心等三大類型AI中心，由橫跨北、中、南的16家醫院來營運，如臺大、中榮、北榮、成大、中醫大、三總、林口長庚等指標醫院。這3大AI中心的起源，來自衛福部今年7月23日公告的3大AI中心補助計畫。他們舉辦全國性教育訓練後，於8月1日截止收件，並邀集國內外專家3階段評選，最終從30家醫院中，選出16家醫院共19案。</p> <p>這3大AI中心的目的，是要解決醫院發展醫療AI的3大痛點，補足智慧醫療落地的最後一哩路。比如，負責任AI執行中心是要解決醫療AI透明性、資料安全等問題，由中心制定符合資安與隱私保護的管理辦法，以及AI模型生命周期管理辦法，來確保模型在臨床使用具有持續可靠性。</p> <p>而臨床AI取證驗證中心則由衛福部資訊處與食藥署（TFDA）合作，要解決醫療AI取證過程冗長、驗證資料不足的問題。因此，該中心將預先組成醫院聯盟，先準備跨體系、跨層級的電子病歷資料，來加速協助驗證AI模型。至於AI影響性研究中心，則是要解決智慧醫材產品納入健保給付的問題，該中心由衛福部與健保署合作，將建立跨體系、跨層級臨床試驗機制，設置實驗組和對照組，來研究該醫療AI的臨床效益，並將報告交由健保署團隊參考，來決定是否納入給付等細節。<a href="https://www.mohw.gov.tw/cp-16-80155-1.html">（詳全文）</a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/ub6gQ636b10?si=uodlK91EbHPQycTy" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Copilot </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療資料 </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟新添多款醫療AI工具</strong></span></p> <p>日前，微軟發表幾款醫療雲工具，包括在Azure AI Studio中新添醫療AI模型、在資料分析平臺Microsoft Fabric中添加健康資料新解決方案、在Copilot Studio中納入醫療代理服務，以及AI驅動的護理文書工作簡化解決方案。</p> <p>進一步來說，這次新添的醫療AI模型，是一系列多模態醫學影像基礎模型，由微軟與Providence、Paige.ai等合作夥伴共同開發，可用來分析多種醫療數據，從醫學影像到基因組學和臨床記錄都可以。醫院可透過這些模型，快速打造、微調和部署合適的AI應用，降低從頭自建的成本。</p> <p>而Microsoft Fabric的新解決方案，目前為公開預覽階段，有幾個特點，包括能整合分析各種對話資料（比如與患者對話的語音、逐字稿）、轉換社會健康決定因子（SDOH）公共資料集、美國醫療保險Medicare申請資料處理、患者照護分析等。再來，微軟也在Copilot Studio中推出醫療代理服務公開預覽版，可用來打造掛號排程、臨床試驗匹配、患者分診等的Copilot代理。<a href="https://www.microsoft.com/en-us/industry/blog/healthcare/2024/10/10/introducing-healthcare-agent-service-in-microsoft-copilot-studio/">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微服務 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎模型 </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>Nvidia在AI高峰會揭露美國公部門醫療AI實例</strong></span></strong></p> <p>Nvidia在10月舉辦的AI高峰會中，揭露幾項美國公部門採用自家最新AI加速工具的實例，比如美國國家癌症研究院（NCI）就採用幾個Nvidia MONAI中的AI模型，來進行醫學影像處理，像是用VISTA-3D NIM基礎模型來對3D電腦斷層掃描進行影像分割與標註，又或是美國國衛院旗下團隊使用生成式AI代理Nvidia NIM Agent Blueprint，來加速開發新藥分子。</p> <p>其中，Nividia NIM是一系列雲原生微服務，可協助AI模型部署和執行，NIM Agent Blueprint則是已經預訓練、客製化的工作流程目錄。Nvidia表示，這兩款工具可讓公部門醫療研究者快速使用先進的AI模型，也能以自有資料快速客製化。<a href="https://blogs.nvidia.com/blog/us-healthcare-ai-agents/">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">教育 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 問到寶 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>新竹臺大分院用微軟Azure OpenAI打造教育整合平臺</strong></span></strong></p> <p>最近，新竹臺大分院揭露一款生成式AI互動教育平臺「問到寶」，由該院跨專業醫療照護團隊和微軟，以將近一年的時間打造而成，可提供線上教育、衛教問答和輔助技術發展，讓學習資源和課程更靈活、更個人化。</p> <p>進一步來說，該平臺可根據每位使用者的學習需求、風格和速度，量身打造教學內容，同時，它也能協助教師，根據不同學生需求進行項目評估、成績評定、出勤追蹤，以及協助課程規化等行政任務。比如，使用者可用該平臺對長篇文章或英文文獻摘要，平臺也能根據關鍵字，來生成教學教案及評量，協助教師教材準備、產生擬真場景圖等。此外，該平臺還有AI增強語音識別功能，能讓語言障礙人士理解衛教內容。<a href="https://www.hch.gov.tw/?aid=503&pid=0&page_name=detail&iid=316">（詳全文）</a></p> <p><img alt="" src="https://www.hch.gov.tw/public/news1/503/17277500645993.png" /></p> <p>圖片來源／HHS、嬌生、衛福部、臺大新竹分院</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. <a href="https://en.vietnamplus.vn/e-health-and-judicial-records-provided-via-vneid-nationwide-post297561.vnp">越南正式啟用全國性電子健康記錄App VNeID</a></strong></strong></p> <p>資料來源：iThome整理，2024年10月</p> </div></div></div>
2024/10/15 19:19作者王若樸https://www.ithome.com.tw/news/165510
【資安日報】10月15日，北韓駭客針對支付處理系統散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國曾在2018、2020年警告北韓駭客利用名為FASTCash的惡意軟體，針對金融機構支付相關系統下手的情況，事隔4年，這些駭客擴大攻擊範圍，對於更多型態的支付系統開發專屬的FASTCash。</p> <p>值得留意的是，這次他們鎖定的目標，是執行特定版本Ubuntu的支付處理系統，相當具有針對性。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165497"><strong style="font-size: 22px;">北韓駭客散布惡意軟體FASTCash，意圖洗劫提款機</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FASTCash-26.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/FASTCash-26.png" style="width: 300px; float: right;" /></a></p> <p>專門針對金融機構支付相關系統的惡意程式FASTCash，北韓駭客將其用於攻擊行動的情況陸續引起美國政府關注，如今有研究人員發現駭客擴大了攻擊範圍，開發新的惡意程式變種。</p> <p>資安研究員HaxRob揭露最新一波的攻擊行動，駭客使用的惡意程式在去年6月上傳到惡意程式分析平臺VirusTotal，為專門針對Ubuntu 22.04 LTS版打造的Linux惡意軟體，研究人員特別提及，該變種程式與過往出現的Windows版及AIX版本存在高度相似之處。</p> <p>攻擊如何進行？駭客主要是針對持卡人帳號餘額不足被拒絕交易的情況而來，竄改其結果為「核可」，一旦攻擊者成功操縱相關訊息，並傳回銀行的中央系統，持有提款卡的車手就有機會從ATM領到錢。</p> <p><a href="https://www.ithome.com.tw/news/165503"><strong style="font-size: 22px;">寶可夢電玩遊戲開發商證實遭遇資料外洩事故</strong></a></p> <p>上週有人在社群網站X、Reddit、Discord，以及資料外洩網站宣稱，他們竊得正在開發的新寶可夢遊戲的原始碼及相關檔案，後來遊戲開發公司證實，確實出現資料外洩的情況。</p> <p>專門為任天堂開發寶可夢電玩遊戲的業者Game Freak於10月10日公告，坦承公司現任員工、離職員工、承包商的個人資料遭竊。他們在今年8月察覺伺服器遭到未經授權的第三方存取的現象，洩漏的資料包含姓名及公司電子郵件信箱，筆數為2,606筆。該公司將進一步聯絡所有受到影響的人士，並在網站上公告此事。</p> <p>不過，針對正在開發的遊戲資料是否外洩，Game Freak並未進一步說明。資安新聞網站Bleeping Computer指出，根據這份公告，玩家的資料不在這起事故影響的範圍之內。</p> <p><a href="https://www.ithome.com.tw/news/165506"><strong style="font-size: 22px;">國家級駭客利用Ivanti CSA漏洞進行網路滲透</strong></a></p> <p>一週前資安業者Ivanti發布資安公告，指出旗下雲端服務應用平臺Cloud Services Appliance（CSA）存在3項漏洞CVE-2024-9379、CVE-2024-9380、CVE-2024-9381，已有部分用戶系統遭遇漏洞濫用活動，如今有研究人員指出，有國家級駭客正在利用這些漏洞從事攻擊行動。</p> <p>資安業者Fortinet指出，9月9日他們在客戶的環境偵測到漏洞利用攻擊行動，進一步調查發現，攻擊者利用了已知的命令注入漏洞CVE-2024-8190，以及當時尚未公開的路徑穿越漏洞CVE-2024-8963、命令注入漏洞CVE-2024-9380。值得留意的是，隔日Ivanti對於CVE-2024-8190發布資安公告，駭客竟是對其進行修補，這麼做的目的，就是為了避免受到其他人馬及資安人員的干擾。</p> <p><a href="https://www.ithome.com.tw/news/165487"><strong style="font-size: 22px;">兆勤警告防火牆設備遭到鎖定，攻擊者利用已知漏洞建立SSL VPN通道</strong></a></p> <p>上週兆勤（Zyxel Networks）針對旗下USG Flex、ATP系列防火牆用戶提出警告，指出他們在歐洲、中東、非洲地區（EMEA）的團隊發現鎖定該廠牌資安設備的攻擊行動，駭客針對特定的漏洞而來，呼籲用戶要採取相關行動因應。</p> <p>根據他們的調查，攻擊者藉由漏洞竊得有效的帳密資料，並能為臨時使用者建立SSL VPN通道，而且，還會竄改防火牆的資安政策，並藉此控制防火牆、存取網路環境。該公司提及，攻擊者使用的臨時使用者名稱包含了SUPPOR87、SUPPOR817，以及VPN。</p> <p>不過，對於駭客利用的漏洞，兆勤並未進一步說明細節。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/gmail-scam-alert-hackers-spoof-google-to-steal-credentials/">駭客冒充Google企圖竊取Gmail用戶帳密資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/banking-trojan-trickmo-compromised-13000-devices-now-steals-device-unlock-patterns-and-pins/">金融木馬TrickMo入侵1.3萬臺裝置，企圖竊取螢幕解鎖資訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/thousands-of-fortinet-devices-remain-exposed-to-rce-cve-2024-23113-vulnerability/">逾8萬臺Fortinet設備曝露於今年2月公告的RCE漏洞</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/github-enterprise-server-patches-critical-security-flaw-cve-2024-9487-cvss-9-5/">GitHub修補重大層級的SAML身分驗證繞過漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/github-enterprise-server-patches-critical-security-flaw-cve-2024-9487-cvss-9-5/">Splunk修補重大層級的RCE漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/165496"><strong style="font-size: 22px;">FIDO聯盟發表新規範，推動憑證可攜</strong></a></p> <p>專門推動各種身分驗證標準、以減輕對密碼依賴的開放聯盟FIDO Alliance，周一（10月14日）發表新規範，包括憑證交換協定（Credential Exchange Protocol，CXP）與憑證交換格式（Credential Exchange Format，CXF），以推動憑證的可攜，包括通行密鑰（Passkey）與其他憑證。</p> <p>此一草案是由1Password、蘋果、Bitwarden、Dashlane、Enpass、Google、微軟、NordPass、Okta、三星及SK Telecom等FIDO聯盟成員所組成的憑證供應商特別興趣小組（Credential Provider Special Interest Group）共同制定，意謂著它們都將加入憑證可攜的行列。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/165488"><strong>【10月14日】Windows核心漏洞傳出遭伊朗駭客OilRig利用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165452"><strong>【10月11日】Mozilla修補遭到利用的Firefox零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/165409"><strong>【10月9日】零信任之父第一手導讀零信任架構</strong></a></p> </div></div></div>
2024/10/15 19:47作者周峻佑https://www.ithome.com.tw/news/165511
國家級駭客利用Ivanti CSA漏洞進行網路滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一週前<a href="https://www.ithome.com.tw/news/165408">資安業者Ivanti發布資安公告</a>，指出旗下雲端服務應用平臺Cloud Services Appliance（CSA）存在3項漏洞CVE-2024-9379、CVE-2024-9380、CVE-2024-9381，已有部分用戶系統遭遇漏洞濫用活動，如今有研究人員指出，有國家級駭客正在利用這些漏洞從事攻擊行動。</p> <p>資安業者Fortinet指出，<a href="https://www.fortinet.com/blog/threat-research/burning-zero-days-suspected-nation-state-adversary-targets-ivanti-csa">9月9日他們在客戶的環境偵測到漏洞利用攻擊行動</a>，進一步調查發現，攻擊者利用了已知的命令注入漏洞CVE-2024-8190，以及當時尚未公開的路徑穿越漏洞CVE-2024-8963、命令注入漏洞CVE-2024-9380。值得留意的是，隔日Ivanti對於CVE-2024-8190發布資安公告，駭客竟是對其進行修補，這麼做的目的，就是為了避免受到其他人馬及資安人員的干擾。</p> <p>等到駭客成功破壞CSA，也利用Ivanti後端微軟SQL資料庫的注入漏洞CVE-2024-29824，從而對受害組織部署的Ivanti Endpoint Manager（EPM）啟用xp_cmdshell處理程序，而能在SQL伺服器遠端執行程式碼。</p> <p>接著，這些駭客在SQL伺服器建立名為mssqlsvc的帳號，並關閉主機的防火牆功能，然後對受害組織網路環境進行偵察，並透過DNS隧道外流竊得的資料。</p> <p>研究人員發現，駭客也在CSA以Linux系統核心元件sysinitd.ko的名義，植入了rootkit程式，目的就是能持續於受害設備活動，就算IT人員將CSA恢復原廠設定，rootkit還是有機會留存下來。</p> </div></div></div>
2024/10/15 16:51作者周峻佑https://www.ithome.com.tw/news/165506
北韓駭客散布惡意軟體FASTCash，意圖洗劫提款機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門針對金融機構支付相關系統的惡意程式FASTCash，北韓駭客將其用於攻擊行動的情況陸續引起美國政府關注，如今有研究人員發現，駭客擴大了攻擊範圍，開發新的惡意程式變種。</p> <p>資安研究員HaxRob揭露<a href="https://doubleagent.net/fastcash-for-linux/">最新一波的攻擊行動</a>，駭客使用的惡意程式在去年6月上傳到惡意程式分析平臺VirusTotal，為專門針對Ubuntu 22.04 LTS版打造的Linux惡意軟體，研究人員特別提及，該變種程式與過往出現的Windows版及AIX版本存在高度相似之處。</p> <p>針對該惡意程式的來歷，最早是美國網路安全暨基礎設施安全局（CISA）於2018年12月提出警告，指出使用該惡意程式的駭客為Hidden Cobra；後來，美國網路司令部於2020年也提出警告，當時犯案的駭客組織是Lazarus（APT38）。</p> <p>此Linux版惡意程式是以共用程式庫的形式實作而成，可注入既有系統以ptrace進行系統呼叫的處理程序，後續攔截與竄改交易訊息。</p> <p>支付交易伺服器主要的用途，是處理自動櫃員機（ATM）、收銀機（PoS）終端與銀行中央系統之間的通訊，若這類系統被植入FASTCash，會攔截、操縱支付卡及信用卡交易訊息。</p> <p>攻擊如何進行？駭客主要是針對持卡人帳號餘額不足被拒絕交易的情況而來，竄改其結果為「核可」，一旦攻擊者成功操縱相關訊息，並傳回銀行的中央系統，持有提款卡的車手就有機會從ATM領到錢。</p> <p>值得留意的是，研究人員發現的時候，尚未有防毒引擎將該Linux惡意程式視為有害，這意味著駭客犯案很可能不受資安防護系統牽制。同時，VirusTotal在今年9月也出現新的Windows版FASTCash，這代表駭客正在積極開發相關作案工具。</p> </div></div></div>
2024/10/15 15:32作者周峻佑https://www.ithome.com.tw/news/165497
嬌生如何運用AI優化新藥發現和疾病治療
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月10日，嬌生（Johnson & Johnson）<a href="https://www.jnj.com/innovation/artificial-intelligence-in-healthcare">發表一篇部落格文章</a>，揭露自己如何運用AI來優化手術學習、加速新藥發現、臨床試驗、個人化療法和供應鏈預測等。嬌生執行副總暨資訊長Jim Swanson首先點出，美國FDA至今已核准900多項醫療AI產品，而接下來幾年，AI將越發重要，尤其在嬌生內部，「已經用來協助員工偵測更早期的疾病階段、加速新藥發現、幫助臨床試驗招募，以及在手術前繪製患者解剖圖，並協助外科醫生預測最合適的手術工具，」他說。</p> <p>嬌生將醫療AI應用於幾大領域，首先是手術學習，嬌生醫療技術數位化全球副總裁Shan Jegatheeswaran指出，他們透過AI，幾分鐘就能將一場數小時的手術錄影影片精彩片段剪輯出來，比過往人工的數小時、數天還要有效率。</p> <p>這些剪輯出來的重要片段，可供外科醫師重新觀看、學習和討論治療策略。嬌生旗下醫療科技公司也在今年中開發一款Polyphonic數位系統，可讓外科醫師遠端連線、與住院醫師和同業觀看手術室影片，來提供即時指導、手術分析和教育講解，並在部分醫院展開試點計畫。</p> <p>再來是新藥開發，嬌生表示，傳統的新藥發現漫長又複雜，研究團隊需先了解哪些生物和遺傳變異會導致疾病。而透過AI分析電子健康記錄、實驗室結果或基因定序數據，就能幫助找出特定疾病原因。有了疾病標靶，嬌生就以AI協助找出可與標靶作用的分子，並透過AI設計、優化這些分子，來開發為有效對抗疾病、副作用最小的候選藥物。目前，嬌生正與外部機構合作，來實現這個目標。</p> <p>臨床試驗也是嬌生運用AI的領域。他們有2種用法，一是用來尋找臨床試驗患者與地點，比如用機器學習演算法分析大型去識別化資料集，來加速找出可能從新藥中受益的患者臨床研究地點。如此，臨床試驗團隊可將這些地點納入考量，而非如傳統方法，只集中在醫學中心進行臨床試驗。另一種用法是增加多元性，包括找出不同患者所在地和醫療機構，研究團隊再從這些地點招募符合條件的患者，來參加臨床試驗。</p> <p>嬌生也以AI強化個人化治療，以膀胱癌為例，嬌生正開發一款AI驅動的生物標記檢測方法，可偵測患者的腫瘤是否會發生FGFR變異，如此就能進一步給予個人化治療。目前嬌生正評估這項技術的臨床效用，將繼續探索潛在用法。</p> <p>最後，為了確保藥物和醫療產品能快速到達患者手中，嬌生也正研究，要用AI分析需求波動和供應商績效，來預測可能擾亂藥物和醫療產品供應鏈的即時事件（如天氣和市場問題），來確保這些產品盡快到達患者家中。</p> <p></p> </div></div></div>
2024/10/15 15:40作者王若樸https://www.ithome.com.tw/news/165498
寶可夢電玩遊戲開發商證實遭遇資料外洩事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週有人在社群網站X、Reddit、Discord，以及資料外洩網站宣稱，<a href="http://x.com/CentroLeaks/status/1845200311767503173">他們竊得正在開發的新寶可夢遊戲的原始碼及相關檔案</a>，後來遊戲開發公司證實，確實出現資料外洩的情況。</p> <p>專門為任天堂開發寶可夢電玩遊戲的業者Game Freak<a href="https://www.gamefreak.co.jp/wordpress/wp-content/uploads/2024/10/info20241010.pdf">於10月10日公告</a>，坦承公司現任員工、離職員工、承包商的個人資料遭竊。他們在今年8月察覺伺服器遭到未經授權的第三方存取的現象，洩漏的資料包含姓名及公司電子郵件信箱，筆數為2,606筆。該公司將進一步聯絡所有受到影響的人士，並在網站上公告此事。</p> <p>不過，針對正在開發的遊戲資料是否外洩，Game Freak並未進一步說明。<a href="https://www.bleepingcomputer.com/news/security/pokemon-dev-game-freak-confirms-breach-after-stolen-data-leaks-online/">資安新聞網站Bleeping Computer指出</a>，根據這份公告，玩家的資料不在這起事故影響的範圍之內。</p> <p>兩週之前，也有遊戲開發業者遭遇網路攻擊的情況。例如，10月初加拿大業者Red Barrels透露遭到攻擊，而有可能導致遊戲的修補程式及附加內容的發布延後，勒索軟體Nitrogen聲稱是他們所為。</p> </div></div></div>
2024/10/15 16:08作者周峻佑https://www.ithome.com.tw/news/165503
FIDO聯盟發表新規範以推動憑證可攜
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門推動各種身分驗證標準、以減輕對密碼依賴的開放聯盟FIDO Alliance，周一（10/14）<a href="https://fidoalliance.org/fido-alliance-publishes-new-specifications-to-promote-user-choice-and-enhanced-ux-for-passkeys/" target="_blank">發表了一組新規範</a>，包括憑證交換協定（Credential Exchange Protocol，CXP）與憑證交換格式（Credential Exchange Format，CXF），以推動憑證的可攜，包括通行密鑰（Passkey）與其它憑證。</p> <p>Passkey是由一組金鑰組成，其中的公鑰用於註冊網站或App，私鑰則是存放在用戶裝置上，於所登入的服務註冊了Passkey之後，使用者即可利用裝置上的生物辨識功能或裝置PIN碼來登入各式服務。Passkey被視為比密碼安全又方便的憑證，不管是微軟、蘋果或Google等科技業者皆已支援Passkey。</p> <p>FIDO聯盟表示，安全憑證交換是該聯盟的焦點，新的工作草案將能進一步加速Passkey的採用並改善用戶體驗，迄今已有超過120億個網路帳號是透過Passkey存取。相較於傳統密碼或是雙因素身分驗證，採用Passkey登入可減少網路釣魚，消除重複使用的密碼，而且登入速度提升了75%，登入成功率也增加了20%。</p> <p>只不過，現階段尚無法在不同的密碼管理員或生態系統間安全地移動Passkey，CXP與CXF這兩個規範草案定義了如何將憑證從一個憑證管理員安全地傳送到另一個憑證管理員，確保傳輸不是以明文進行。</p> <p>此一草案是由1Password、蘋果、Bitwarden、Dashlane、Enpass、Google、微軟、NordPass、Okta、三星及SK Telecom等FIDO聯盟成員所組成的憑證供應商特別興趣小組（Credential Provider Special Interest Group）共同制定，意謂著它們都將加入憑證可攜的行列。</p> </div></div></div>
2024/10/15 15:03作者陳曉莉https://www.ithome.com.tw/news/165496
微軟AI研究副總裁Sebastien Bubeck將跳槽至OpenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>The Information<a href="https://www.theinformation.com/briefings/microsoft-ai-researcher-sebastien-bubeck-to-join-openai?rc=rgg6ax" target="_blank">報導</a>，微軟AI副總裁Sebastien Bubeck即將跳槽至OpenAI，惟尚不確定職稱。而微軟也已向其它媒體證實此事。</p> <p>Bubeck尚未透過個人網站或X上宣布此事，仍<a href="http://sbubeck.com/" target="_blank">描述</a>自己為微軟的分散式科學家，已在微軟待了10年，過去主要研究機器學習中的凸優化、線上演算法與對抗魯棒性，現在則更專注於理解智慧是如何從大型語言模型中出現，並以其提高LLM的智慧，可能有助於打造通用人工智慧（AGI）。</p> <p>Maginative則<a href="https://www.maginative.com/article/microsoft-ai-heavyweight-sebastien-bubeck-joins-openai/" target="_blank">報導</a>，Bubeck的研究在開發微軟的Phi系列小語言模型上發揮了重要作用。</p> <p>微軟向路透社（Reuters）等媒體<a href="https://www.reuters.com/technology/microsofts-vp-genai-research-join-openai-2024-10-14/" target="_blank">證實</a>，Bubeck已經決定要離開微軟，以進一步開發AGI，感謝Bubeck對微軟的貢獻，並期待藉由與OpenAI合作與Bubeck再續前緣。</p> </div></div></div>
2024/10/15 13:45作者陳曉莉https://www.ithome.com.tw/news/165495
Google向Kairos Power購買核電
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周一（10/14）<a href="https://blog.google/outreach-initiatives/sustainability/google-kairos-power-nuclear-energy-agreement/" target="_blank">宣布</a>，已與Kairos Power簽署購電協議，將向該公司所開發的多個小型模組反應爐（Small Modular Reactor，SMR）購買核能，預計於2030年前部署首個SMR，之後至2035年再部署其它的SMR，估計可替美國電網帶來500 MW的無碳電力。而不只是Google，包括微軟與Amazon也都開始部署核電。</p> <p>過去，核能發電因為安全隱憂，核廢料的處理問題，再加上擔心核能被用來發展武器等因素，而遭到許多國家棄用；然而，隨著核能技術的進步，AI對電力的龐大需求，能源危機，再加上核電其實是種低碳能源，使得核能發電再度受到重視，現階段的主流技術包括壓水反應爐（Pressurized Water Reactor，PWR），沸水反應爐（Boiling Water Reactor，BWR），快中子反應爐（Fast Neutron Reactor，FNR），第四代核反應爐技術，以及SMR等。</p> <p>其中，SMR除了安全性高之外，它比傳統核反應爐小很多，還能夠模組化組裝，方便部署。Kairos Power主要<a href="https://kairospower.com/technology/" target="_blank">開發</a>氟化鹽冷高溫反應爐（Fluoride Salt-cooled High Temperature Reactor，FHR），利用顆粒的TRISO燃料結合低壓的氟化物鹽冷卻劑，以高效與靈活的蒸汽循環系統，將熱量轉換成電力。</p> <p>Google表示，這是個重要的協議，一來需要新電力來支援AI技術，二來核能解決方案提供一個乾淨且全天候的電源，得以無時無刻利用無碳能源來滿足電力需求。核能將能補充Google在太陽能及風能等可再生能源的使用，且新一代的核反應爐具備簡化的設計與強大的安全性，更小的尺寸及模組化設計還能改善部署的時間與靈活性。</p> <p>Kairos Power<a href="https://kairospower.com/external_updates/google-and-kairos-power-partner-to-deploy-500-mw-of-clean-electricity-generation/" target="_blank">解釋</a>，該公司將會開發、建造與經營一系列先進的反應爐工廠，並根據雙方的協議提供電力、服務或環境屬性（如再生能源證書）予Google，這些工廠將會設在適當的區域以替Google資料中心提供電力。</p> <p>今年美國的科技大廠紛紛向核電靠攏。例如Amazon在今年3月以6.5億美元的價格，向獨立電廠Talen Energy購買了Cumulus資料中心園區，該園區可使用960 MW電力，並由<a href="https://ir.talenenergy.com/news-releases/news-release-details/talen-energy-announces-sale-zero-carbon-data-center-campus" target="_blank">Talen Energy</a>位於附近的Susquehanna核電廠供電。Susquehanna為全美十大核電廠之一。</p> <p><a href="https://www.constellationenergy.com/newsroom/2024/Constellation-to-Launch-Crane-Clean-Energy-Center-Restoring-Jobs-and-Carbon-Free-Power-to-The-Grid.html" target="_blank">微軟</a>亦於今年9月與美國能源公司Constellation Energy簽署為期20年的購電協議，Constellation是美國主要的核電站營運商，其執行長Joe Dominguez明白表示，若是要替包括資料中心在內等關鍵行業隨時提供大量無碳且可靠的能源，核電站是唯一能始終如一兌現該承諾的能源。</p> </div></div></div>
2024/10/15 13:19作者陳曉莉https://www.ithome.com.tw/news/165494
Adobe公開測試Firefly影像生成模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Adobe在周一（10/14）舉行的Adobe MAX創意大會上<a href="https://news.adobe.com/news/2024/10/101424-adobe-launches-firefly-video-model" target="_blank">宣布</a>，Firefly影像生成模型（Firefly Video Model）已邁入有限的公開測試階段，同時發表支援Creative Cloud各種應用的Firefly功能。自2023年3月首次發布Firefly以來，使用者用它所生成的圖像已超過130億張。</p> <p>去年3月問世的Firefly為一創意生成式AI家族，主要成員包括可生成圖像的Firefly Image Model，可生成向量模型的Firefly Vector Model，可生成海報或傳單的Firefly Design Model，以及今年新增的影像生成模型Firefly Video Model，這一年多來，Adobe已將Firefly整合到Photoshop、Express、Illustrator及Substance 3D等應用中，亦讓Firefly支援Creative Cloud應用的許多流程。現階段的Firefly可辨識超過100種的文字提示。</p> <p>新的Firefly Video Model允許使用者輸入文字敘述或靜態的參考圖像，並將它們轉成影像。該模型可用來生成自然世界的影片；或是藉由影像中的圖片來生成可填補空缺的B捲；也能利用攝影機的角度、運動及縮放等控制功能來建立完美視角；或者生成各種效果，再將它們整合至既有的影像上。</p> <p>在Adobe所提供的<a href="https://blog.adobe.com/en/publish/2024/10/14/generate-video-beta-on-firefly-web-app" target="_blank">案例</a>中，使用者只要利用文字描述場景、紋理、顏色、景深、前景、拍攝風格及角色的動態，系統就能自動生成影片。</p> <p>至於現身於Creative Cloud中的新功能則包括現身於Premiere Pro測試版中的Generative Extend，它奠基於Firefly Video Model，允許使用者延伸影片的片段，以填補影像素材的空隙。另也強化了Firefly Image 3，加快其生成圖像的速度，約是以往模型的4倍快。</p> <p></p><div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/3x-QahB3PdQ?si=9P_j4kAUNKOrOQls" title="YouTube video player" width="560px"></iframe></div> <p>於Photoshop中出現的生成式工作區（Generative Workspace）測試版則是提供一個讓不同設計師共同腦力激盪的園地。在Illustrator中的新版Firefly Video Model可進一步控制單一圖案中元素之間的間距，改變元素結合的緊密度。</p> <p>有限公開測試代表使用者必須提出<a href="https://www.adobe.com/products/firefly/features/ai-video-generator.html" target="_blank">申請</a>才能試用Firefly Video Model，但試用期間是免費的。</p> <p>本周Adobe亦開始預覽<a href="https://blog.adobe.com/en/publish/2024/10/14/new-creative-beginnings-gen-ai-redefining-ideation-with-project-concept" target="_blank">Project Concept</a>，協助設計師利用AI來發現、創造及分享概念。Adobe指出，早期的創作經常受限於資源，藉由AI的協助，創作者將能快速地整合靈感與資產，此一支援多人協作Project Concept預計很快就會進入封閉測試階段。</p> </div></div></div>
2024/10/15 11:09作者陳曉莉https://www.ithome.com.tw/news/165491
Google推企業級Gemini Code Assist，可根據組織程式碼儲存庫生成建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google現推出企業級人工智慧程式碼輔助工具<a href="https://cloud.google.com/blog/products/application-development/introducing-gemini-code-assist-enterprise">Gemini Code Assist Enterprise</a>，該工具提供本地程式碼儲存庫深度分析，支援組織內部儲存庫和最佳實踐程式碼客製化建議。開發者可在多種Google雲端服務，以及各種原始碼控制系統使用這項工具，加速程式開發工作流程。</p> <p>Gemini Code Assist Enterprise是建立於Google早前推出人工智慧程式碼輔助工具Gemini Code Assist之上的延伸版本。一般版的Gemini Code Assist主要著重於根據開發者的上下文，自動生成程式碼建議，而Gemini Code Assist Enterprise則新增了程式碼客製化建議能力，能夠依據組織內部的程式碼庫和企業自家最佳實踐生成建議，這將使得生成建議更符合企業特定開發需求。</p> <p>Google強調，Gemini Code Assist Enterprise所使用的Gemini模型，能夠處理更多的Token上下文，因此可協助開發完成更複雜的開發工具，例如跨整個專案自動升級Java版本。Gemini Code Assist Enterprise也整合至BigQuery、Firebase、Colab Enterprise、Apigee等多種Google雲端服務，甚至能夠索引來自GitHub和GitLab的儲存庫等、各種原始碼控制系統和自架服務的儲存庫，讓開發者能夠跨不同平臺加速應用程式開發。</p> <p>除了Gemini Code Assist Enterprise之外，還有多款具備類似程式碼客製化建議功能的工具，例如GitHub Copilot Enterprise與Amazon Q Developer等，也都可以整合企業內部的程式碼儲存庫，並根據企業的開發最佳實踐，生成專屬的程式碼建議，在開發過程中提供開發者與上下文相關建議，並能確保生成的程式碼符合企業特定標準和需求。</p> </div></div></div>
2024/10/15 08:32作者李建興https://www.ithome.com.tw/news/165489
兆勤警告防火牆設備遭到鎖定，攻擊者利用已知漏洞建立SSL VPN通道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週兆勤（Zyxel Networks）針對旗下<a href="https://support.zyxel.eu/hc/en-us/articles/21878875707410-Zyxel-USG-FLEX-and-ATP-series-Upgrading-your-device-and-ALL-credentials-to-avoid-hackers-attacks">USG Flex、ATP系列防火牆用戶提出警告</a>，指出他們在歐洲、中東、非洲地區（EMEA）的團隊發現鎖定該廠牌資安設備的攻擊行動，駭客針對特定的漏洞而來，呼籲用戶要採取相關行動因應。</p> <p>根據他們的調查，攻擊者藉由漏洞竊得有效的帳密資料，並能為臨時使用者建立SSL VPN通道，而且，還會竄改防火牆的資安政策，並藉此控制防火牆、存取網路環境。該公司提及，攻擊者使用的臨時使用者名稱包含了SUPPOR87、SUPPOR817，以及VPN。</p> <p>不過，對於駭客利用的漏洞，兆勤並未進一步說明細節。</p> <p>針對受這波攻擊影響的範圍，該公司指出涵蓋執行ZLD V4.32至5.38版韌體的防火牆，而且啟用遠端管理或SSL VPN的功能。此外，這些遭到攻擊的防火牆，管理員及使用者的帳密資料，過往未曾進行更新。但他們強調，執行Nebula雲端管理模式的防火牆不受影響。</p> <p>根據他們的調查，一旦防火牆遭到入侵，IT人員會看到一些不尋常的狀況，例如：出現特定帳號名稱的SSL VPN連線，而且這些連線通常是從無法識別的IP位址登入，再者，防火牆的規則也可能會出現被竄改的情形。若是啟動SecuReporter事件記錄功能，管理者可以看到攻擊者利用管理員帳號進行連線的記錄。</p> <p>若是確認防火牆遭到入侵，該公司指出IT人員應升級最新的5.39版韌體，並更換所有的管理員及使用者密碼，移除並強制登出來路不明的帳號，以及刪除完全開放WAN、SSL VPN區域連線的防火牆規則。此外，他們也呼籲用戶套用最佳實務來提升防護強度。</p> <p>針對此事我們也向兆勤詢問，該公司表示攻擊者很有可能利用已經公開的漏洞，對EMEA用戶發動攻擊，他們將持續進行監控，並呼籲用戶儘速採用行動來降低風險。</p> </div></div></div>
2024/10/14 17:53作者周峻佑https://www.ithome.com.tw/news/165487